art. 13

Artykuł 13 Ochrona danych osobowych 1.   Każde państwo członkowskie zapewnia, by w odniesieniu do wszelkich operacji przetwarzania danych osobowych na podstawie niniejszej dyrektywy, każdemu pasażerowi przysługiwało prawo do ochrony jego danych osobowych, prawo dostępu do tych danych, ich poprawiania, usunięcia i ograniczania oraz prawo do odszkodowania i prawo do sądowych środków ochrony prawnej, odpowiadające prawom ustanowionym w prawie Unii i w prawie krajowym oraz w ramach wdrożenia art. 17, 18, 19 i 20 decyzji ramowej 2008/977/WSiSW. Artykuły te zatem stosuje się. 2.   Każde państwo członkowskie stanowi, że przepisy przyjęte w prawie krajowym w ramach wdrożenia art. 21 i 22 decyzji ramowej 2008/977/WSiSW w odniesieniu do poufności przetwarzania oraz bezpieczeństwa danych stosuje się także do wszelkich operacji przetwarzania danych osobowych na podstawie niniejszej dyrektywy. 3.   Niniejsza dyrektywa nie ma wpływu na możliwość stosowania dyrektywy Parlamentu Europejskiego i Rady 95/46/WE (13) do przetwarzania danych osobowych przez przewoźników lotniczych, w szczególności w zakresie ich obowiązku podjęcia odpowiednich środków technicznych i organizacyjnych w celu ochrony bezpieczeństwa i poufności danych osobowych. 4.   Państwa członkowskie zakazują przetwarzania danych PNR ujawniających rasę lub pochodzenie etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, stan zdrowia, życie seksualne lub orientację seksualną danej osoby. W przypadku otrzymania przez JIP danych PNR ujawniających takie informacje, dane takie są niezwłocznie usuwane. 5.   Państwa członkowskie zapewniają, by JIP prowadziły dokumentację dotyczącą wszystkich systemów i procedur przetwarzania, za które są odpowiedzialne. Dokumentacja ta zawiera co najmniej: a) nazwę i dane kontaktowe organizacji oraz imiona i nazwiska i dane kontaktowe personelu JIP, którym powierzono przetwarzanie danych PNR wraz z poszczególnymi poziomami prawa dostępu; b) wnioski złożone przez właściwe organy i JIP w innych państwach członkowskich; c) wszystkie wnioski o przekazanie i przypadki przekazania danych PNR do państwa trzeciego. JIP na wniosek krajowego organu nadzorczego udostępnia mu całą dokumentację. 6.   Państwa członkowskie zapewniają, by JIP prowadziła ewidencję co najmniej następujących operacji przetwarzania: zbieranie, przeglądanie, ujawnianie i usuwanie. W ewidencji przeglądania i ujawniania podaje się w szczególności cel, datę i godzinę takich operacji oraz, w miarę możliwości, tożsamość osoby, która przeglądała lub ujawniła dane PNR, a także tożsamość odbiorców tych danych. Ewidencja jest wykorzystywana wyłącznie w celu: weryfikacji, monitorowania własnej działalności, zapewnienia integralności i bezpieczeństwa danych lub audytu. JIP, na wniosek krajowego organu nadzorczego, udostępnia mu tę ewidencję. Ewidencję tę przechowuje się przez okres pięciu lat. 7.   Państwa członkowskie zapewniają, by ich JIP wdrożyła odpowiednie środki techniczne i organizacyjne oraz procedury techniczne i organizacyjne, by zapewnić wysoki poziom bezpieczeństwa odpowiedni do zagrożenia związanego z przetwarzaniem danych PNR oraz do charakteru tych danych. 8.   Jeżeli naruszenie ochrony danych osobowych może nieść duże zagrożenie dla ochrony danych osobowych lub naruszać prywatność osoby, której dane dotyczą, państwa członkowskie zapewniają, by JIP bez zbędnej zwłoki poinformowała o takim naruszeniu osobę, której dane dotyczą, oraz krajowy organ nadzorczy.