Streszczenie opinii w sprawie wniosku Komisji dotyczącego rozporządzenia w sprawie zgłaszania zdarzeń w lotnictwie cywilnym oraz uchylenia dyrektywy 2003/42/WE, rozporządzenia Komisji (WE) nr 1321/2007, rozporządzenia Komisji (WE) nr 1330/2007 i art. 19 rozporządzenia (UE) nr 996/2010.

Streszczenie opinii Europejskiego Inspektora Ochrony Danych w sprawie wniosku Komisji dotyczącego rozporządzenia w sprawie zgłaszania zdarzeń w lotnictwie cywilnym oraz uchylenia dyrektywy 2003/42/WE, rozporządzenia Komisji (WE) nr 1321/2007, rozporządzenia Komisji (WE) nr 1330/2007 i art. 19 rozporządzenia (UE) nr 996/2010

(Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD: http://www.edps.europa.eu)

(2013/C 358/11)

(Dz.U.UE C z dnia 7 grudnia 2013 r.)

1. Wprowadzenie

1.1. Konsultacja przez EIOD

1. W dniu 18 grudnia 2012 r. Komisja przyjęła wniosek dotyczący rozporządzenia w sprawie zgłaszania zdarzeń w lotnictwie cywilnym oraz uchylenia dyrektywy 2003/42/WE, rozporządzenia Komisji (WE) nr 1321/2007, rozporządzenia Komisji (WE) nr 1330/2007 i art. 19 rozporządzenia (UE) nr 996/2010 ("wniosek") ¹ . Wniosek został przesłany do konsultacji przez EIOD w dniu 8 stycznia 2013 r.

2. EIOD z uznaniem przyjmuje fakt, iż Komisja zwróciła się do niego o konsultację, a także to, że w preambule wniosku umieszczono odniesienie do niniejszej opinii. Przed przyjęciem wniosku EIOD miał możliwość przedstawienia Komisji nieformalnych uwag.

1.2. Cele i zakres wniosku

3. Trzy instrumenty, które mają zostać uchylone przez wniosek, organizują zgłaszanie zdarzeń w następujący sposób: dyrektywa 2003/42/WE ² zobowiązuje każde z państw członkowskich do utworzenia systemu obowiązkowego zgłaszania zdarzeń. Zgodnie z tym prawodawstwem pracownicy lotnictwa zobowiązani są do zgłaszania zdarzeń ³ zaobserwowanych w trakcie codziennej bieżącej pracy za pośrednictwem systemu utworzonego przez zatrudniająca ich organizację ⁴ . Ponadto państwa członkowskie mają gromadzić, przechowywać, chronić i udostępniać sobie wzajemnie informacje o zdarzeniach. Uzupełnieniem tego prawodawstwa są dwa instrumenty ustanawiające przepisy wykonawcze: rozporządzenie Komisji nr 1321/2007 ⁵ ustanawiające centralne archiwum informacji o zdarzeniach w lotnictwie cywilnym (ECR), do którego przekazywane są wszystkie informacje o zdarzeniach w lotnictwie cywilnym zgromadzone przez państwa członkowskie, oraz rozporządzenie Komisji (WE) nr 1330/2007 ⁶ ustanawiające zasady odnoszące się do udostępniania informacji zawartych w tym archiwum.

4. Celem wniosku, który opiera się na dyrektywie 2003/42/WE, jest ulepszenie istniejących systemów zgłaszania zdarzeń w lotnictwie cywilnym, zarówno na poziomie krajowym, jak i europejskim. Zaproponowano w nim między innymi następujące zmiany:

– zapewnienie zgłaszania wszystkich istotnych zdarzeń oraz kompletności i wysokiej jakości zgłaszanych i przechowywanych danych,

– stworzenie systemu dobrowolnego zgłaszania w uzupełnieniu do systemu obowiązkowego zgłaszania,

– wprowadzenie wymogu zgłaszania zdarzeń i organizacji przekazywania takich zgłoszeń do ECR nie tylko przez państwa członkowskie, ale również przez organizacje,

– zachętę do zgłaszania dzięki zharmonizowanej ochronie osób zgłaszających zdarzenia przed karą ze strony zwierzchników lub przed ściganiem sądowym,

– zapewnianie odpowiedniego dostępu do informacji znajdujących się w ECR.

1.3. Cel opinii EIOD

5. Zgodnie z wnioskiem zdarzenia są zgłaszane przez pracowników własnym organizacjom, które z kolei przechowują informacje na ich temat w bazie danych i zgłaszają je wyznaczonym właściwym organom krajowym lub Europejskiej Agencji Bezpieczeństwa Lotniczego (EASA). Organy te, wspólnie z EASĄ i Komisją, przekazują informacje o zdarzeniach w lotnictwie cywilnym do ECR, którym zarządza Komisja. Ponadto Komisja przetwarza dane dotyczące zainteresowanych stron, które występują z wnioskiem o dostęp do informacji przechowywanych w ECR.

6. EIOD przyznaje, iż wniosek nie ma na celu regulacji przetwarzania danych osobowych. Informacje, które mają być przechowywane, zgłaszane i przekazywane, mogą jednak dotyczyć możliwych do zidentyfikowania w sposób bezpośredni lub pośredni osób fizycznych, takich jak osoba zgłaszająca, osoby trzecie uczestniczące w zgłoszonych zdarzeniach oraz zainteresowane strony występujące z wnioskiem o dostęp ⁷ . Zgłaszane informacje mogą dotyczyć nie tylko problemów technicznych, ale także np. pasażerów dopuszczających się aktów przemocy, niezdolności załogi do działania lub incydentów związanych ze zdrowiem ⁸ .

7. W związku z powyższym w niniejszej opinii analizowane są te elementy wniosku, które dotyczą przetwarzania danych osobowych. Jako podstawę wykorzystano wcześniejszą opinię EIOD ⁹ w sprawie jednego z rozporządzeń, których uchylenia dotyczy wniosek ¹⁰ .

4. Wnioski

46. EIOD z uznaniem przyjmuje uwagę, z jaką potraktowano kwestię ochrony danych osobowych, szczególnie poprzez zobowiązanie do usuwania danych osobowych w przypadku znacznej części danych przetwarzanych w związku ze zgłaszaniem zdarzeń. Inspektor przypomina jednak, że przetwarzane dane będą w dalszym ciągu danymi osobowymi, a tym samym z uznaniem przyjmuje odniesienia do zastosowania unijnego prawodawstwa dotyczącego ochrony danych. Zaproponowane przepisy zapewniają co najwyżej częściową anonimizację.

47. EIOD zaleca doprecyzowanie zakresu usuwania danych osobowych. Inspektor proponuje w szczególności wprowadzenie w tekście następujących poprawek:

– w preambule: doprecyzowanie, iż usuwanie danych osobowych w rozumieniu wniosku ma charakter względny i nie odpowiada pełnej anonimizacji. Ponadto, zgodnie z powyższymi zaleceniami, w preambule należy również wyjaśnić, że środki polegające na usuwaniu danych osobowych i pełnej anonimizacji należy stosować w różnych kontekstach,

– w art. 16: wskazanie, iż w przypadku danych dostępnych dla niezależnych podmiotów obsługujących należy jak najszybciej usunąć lub wykreślić dane osobowe, chyba że przechowywanie takich danych jest uzasadnione, np. przez konieczność spełnienia innych wymogów prawnych dotyczących organizacji,

– w celu doprecyzowania zakresu usuwania danych osobowych EIOD zaleca zastąpienie w art. 16 ust. 1 i 2 terminu "dane osobowe" terminem "informacje osobiste" oraz dodanie odniesienia do możliwości identyfikacji w oparciu o szczegóły techniczne, zgodnie z art. 2 ust. 1,

– zgodnie z art. 5 ust. 6 państwa członkowskie i organizacje mogą utworzyć dodatkowe systemy zgłaszania. Należy wskazać, że również z takich informacji powinny być usuwane dane osobowe. W związku z tym EIOD zaleca doprecyzowanie w art. 16 ust. 2, iż dane osobowe powinny być usuwane również z systemów gromadzenia i przetwarzania systemów gromadzenia informacji dotyczących bezpieczeństwa utworzonych zgodnie z art. 5 ust. 6,

– w art. 13 ust. 10: wskazanie, iż informacje przed publikacją powinny być anonimizowane ¹¹ ,

– w art. 11 ust. 4: wskazanie, iż informacje udostępniane zainteresowanym stronom wymienionym w załączniku III i niezwiązane z ich własnymi urządzeniami, operacjami lub dziedziną działalności powinny być przekazywane nie tylko w postaci zbiorczej lub z usunięciem danych osobowych, jak wymaga tego art. 11 ust. 4, ale także w pełni zanonimizowane.

48. EIOD zaleca określenie we wniosku, kto będzie administratorem każdej bazy danych. Zaleca również zdefiniowanie w załączniku I i II, w art. 5 ust. 6 wszystkich kategorii danych, które mają być przetwarzane, oraz odpowiednie doprecyzowanie art. 7 ust. 1 i art. 11 ust. 1. Jeżeli nie jest możliwe wskazanie wszystkich zdarzeń i pól danych, które mają być przetwarzane zgodnie z art. 7 ust. 1, art. 5 ust. 3 i 6 i art. 11 ust. 1, w artykułach tych należy przynajmniej wspomnieć, że dodatkowe informacje niewymagane przez wniosek nie powinny zawierać szczególnych kategorii danych zdefiniowanych w art. 8 dyrektywy 95/46/WE i art. 10 rozporządzenia (WE) nr 45/2001 ("dane szczególnie chronione").

49. EIOD zaleca również określenie okresów, w trakcie których dane będą przechowywane w bazach danych, praw osób, których dane dotyczą, oraz środków bezpieczeństwa, które należy wdrożyć.

50. W przypadku przekazywania do organizacji z państw trzecich lub organizacji międzynarodowych organizacje takie powinny zobowiązać się do zapewnienia odpowiednich gwarancji, które należy określić w formie wiążącego instrumentu. Gwarancje takie powinny być oparte na zasadach ochrony danych określonych w przyjętych przez Komisję standardowych klauzulach umownych dotyczących przekazywania danych do państw trzecich i mogłyby zostać włączone do wniosku w formie załącznika.

51. W kwestii przetwarzania danych zainteresowanych stron występujących z wnioskiem o dostęp do ECR EIOD zaleca określenie we wniosku środków ochrony danych mających zastosowanie do przetwarzania danych dotyczących osób trzecich (np. tego, jak długo dane są przechowywane po przyznaniu lub odmowie dostępu, oraz kto ma dostęp do takich danych). Ponadto w formularzu w załączniku IV oprócz informacji o dostępie do informacji ¹² powinna znaleźć się również informacja o polityce prywatności.

52. Wreszcie, w preambule należy uzasadnić konieczność przetwarzania danych szczególnie chronionych z wszelkich przyczyn opisanych w art. 8 ust. 2-4 dyrektywy 95/46/WE i art. 10 ust. 2-4 rozporządzenia (WE) nr 45/2001. EIOD zaleca również przyjęcie dodatkowych gwarancji w związku z przetwarzaniem szczególnych kategorii danych, takich jak bardziej rygorystyczne środki bezpieczeństwa, zakaz ujawniania powiązanych kategorii danych osobom trzecim niepodlegającym przepisom prawa unijnego dotyczącego ochrony danych oraz ograniczenie ich ujawniania do innych zainteresowanych stron. Ponadto przetwarzanie tych kategorii danych może podlegać wstępnej kontroli ze strony unijnych krajowych organów ochrony danych i EIOD.

Sporządzono w Brukseli dnia 10 kwietnia 2013 r.

	Giovanni BUTTARELLI
	Zastępca Europejskiego Inspektora Ochrony Danych

1 COM(2012) 776 final.

2 Dyrektywa 2003/42/WE Parlamentu Europejskiego i Rady z dnia 13 czerwca 2003 r. w sprawie zgłaszania zdarzeń w lotnictwie cywilnym (Dz.U. L 167 z 4.7.2003, s. 23).

3 Zdarzenia obejmują wszelkie istotne przypadki związane z bezpieczeństwem lotniczym, w tym incydenty, wypadki i poważne incydenty (zob. art. 2 ust. 8 wniosku).

4 Zgodnie z definicją zawartą we wniosku "organizacja" oznacza "każdą organizację dostarczającą wyroby lub usługi lotnicze, co obejmuje zwłaszcza operatorów statków powietrznych, zatwierdzone organizacje obsługi technicznej, organizacje odpowiedzialne za projekt typu lub produkcję statków powietrznych, instytucje zapewniające służby żeglugi powietrznej oraz certyfikowane lotniska" (zob. art. 2 ust. 9 wniosku).

5 Rozporządzenie Komisji (WE) nr 1321/2007 z dnia 12 listopada 2007 r. ustanawiające przepisy wykonawcze w zakresie włączania do centralnego archiwum informacji o zdarzeniach w lotnictwie cywilnym (Dz.U. L 294 z 13.11.2007, s. 3).

6 Rozporządzenie Komisji (WE) nr 1330/2007 z dnia 24 września 2007 r. ustanawiające przepisy wykonawcze w zakresie przekazywania zainteresowanym stronom informacji o zdarzeniach w lotnictwie cywilnym (Dz.U. L 295 z 14.11.2007, s. 7).

7 W kwestii danych osobowych zob. szczególnie pkt 3.1.

8 Zob. załącznik I do wniosku "Wykaz incydentów podlegających zgłaszaniu w ramach systemu obowiązkowego zgłaszania zdarzeń".

9 Zob. opinia EIOD dotycząca wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie badania wypadków i incydentów w lotnictwie cywilnym oraz zapobiegania im (Dz.U. C 132 z 21.5.2010, s. 1).

10 Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 996/2010 z dnia 20 października 2010 r. w sprawie badania wypadków i incydentów w lotnictwie cywilnym oraz zapobiegania im oraz uchylające dyrektywę 94/56/WE (Dz.U. L 295 z 12.11.2010, s. 35).

11 Tj. należy zapewnić brak możliwości identyfikacji osób fizycznych przy uwzględnieniu wszelkich środków, którymi według racjonalnego prawdopodobieństwa może posłużyć się administrator albo inna osoba.

12 Punkt 7 załącznika IV.

• Identyfikator: Dz.U.UE.C.2013.358.19
• Rodzaj: Informacja
• Tytuł: Streszczenie opinii w sprawie wniosku Komisji dotyczącego rozporządzenia w sprawie zgłaszania zdarzeń w lotnictwie cywilnym oraz uchylenia dyrektywy 2003/42/WE, rozporządzenia Komisji (WE) nr 1321/2007, rozporządzenia Komisji (WE) nr 1330/2007 i art. 19 rozporządzenia (UE) nr 996/2010.
• Data aktu: 10/04/2013
• Data ogłoszenia: 07/12/2013