Ukraine: Opinion on the Draft Law of Ukraine “On the Usage of Passenger Information for Combating Terrorism, Serious and Especially Serious Crimes"

Warsaw, 13 June 2025 Opinion-Nr.: TERR-UKR/526/2025 [NR]

OPINION ON THE DRAFT LAW OF UKRAINE “ON THE USAGE OF PASSENGER INFORMATION FOR COMBATING TERRORISM, SERIOUS AND ESPECIALLY SERIOUS CRIMES”

UKRAINE This Opinion has benefited from contributions made by Mr. Karim Labib, Senior Expert in Criminal Law, Anti-money Laundering and Countering the Financing of Terrorism (AML/CFT) and Terrorism; and Ms. Nazli Yildirim Schierkolk, Independent Expert on Security Sector Reform and Human Rights.

Based on an unofficial English translation of the Draft Law provided by the Security Service of Ukraine.

OSCE Office for Democratic Institutions and Human Rights

Ul. Miodowa 10, PL-00-251 Warsaw Office: +48 22 520 06 00, Fax: +48 22 520 0605 www.legislationline.org Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

EXECUTIVE SUMMARY AND KEY RECOMMENDATIONS

The development of a Draft Law on the Use of Passenger Information for Combating Terrorism and Serious Crimes marks a significant and timely effort by Ukraine to establish a comprehensive legal framework for the processing of Advance Passenger Information (API) and Passenger Name Record (PNR) data in the context of air travel. Whilst many provisions align with international obligations, gaps remain that prevent full compliance with international personal data protection standards and the right to privacy, as derived from the international and regional human rights instruments. The Draft Law could also be improved not to unduly impact individuals’ right to freedom of movement and not to directly or indirectly affect the rights of individuals in need of specific protection, such as refugees and asylum-seekers, children and victims of trafficking. In particular, some adjustments should be made, particularly concerning personal data purpose limitation, proportionality, data retention, automated processing, data transfers, and individual rights. Refining the scope of the Draft Law to clearly limit data processing to clearly defined terrorist and serious crimes with a direct or indirect link to air travel would help ensure compliance with the principle of purpose limitation and prevent overly broad application. Similarly, reducing the retention period for PNR data to six months, with extensions up to five years allowed only where there is an objective and specific need, would better reflect the requirement of proportionality. Incorporating robust safeguards for automated data processing, including mandatory human review, exclusion of discriminatory profiling, and clear, objective criteria, would strengthen protections against potential arbitrary application. It would also be valuable to reinforce the rights of individuals by explicitly providing access to their data, the ability to correct or delete it, and effective remedies in case of misuse. Implementing the recommended changes will enhance compliance with international and regional human rights instruments and better balance security objectives with human rights obligations. More specifically, and in addition to what is stated above, ODIHR makes the following recommendations to further enhance the compliance of the Draft Law with applicable regional and international human rights standards and OSCE commitments: A. With respect to purpose limitation: 1. to align the purpose of the PNR data collection, namely for the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crimes only, to prevent disproportionate data collection and it being used as a mass surveillance tool, exceeding the aims laid out in international standards; [par 58]

2 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

2. to reflect in the Draft Law to delete other third-party personal data immediately and permanently by the PIU upon receipt; [par 60] B. to ensure that data collection is limited to what is strictly required for the purpose of preventing, detecting, investigating and prosecuting terrorism and serious crimes in line with the principle of data minimization and to provide an explicit stipulation about the duty to immediately and permanently delete data that is outside of the prescribed categories in the Draft Law, including any sensitive data; [par 63] C. to reflect in Article 18 of the Draft Law that: - the non-automated review should exclude any discriminatory results; - the PIU shall not transfer the results of those automated processing operations to the competent authorities when they conclude, following that review, that they do not have anything capable of giving rise, to the requisite legal standard, to a reasonable suspicion of involvement in terrorist offences or serious crime in respect of the persons identified by means of those automated processing operations or when they have reason to believe that those processing operations lead to discriminatory result; - the PIU establishes, in a clear and precise manner, objective review criteria enabling PIU agents in charge of individual review to verify, on the one hand, whether and to what extent a positive match concerns effectively an individual who may be involved in the terrorist offences or serious crime and must, therefore, be subject to further examination by the competent authorities referred to Article 7 of the EU PNR Directive, as well as, on the other hand, the non-discriminatory nature of automated processing operations and, in particular, the pre-determined criteria and databases used; - Any pre-established criteria against which PNR data are compared do not lead to unlawful differentiation and ensure that discriminatory results are excluded; - A safeguard clause concerning asylum applications is included in this provision; [pars 68-70] D. to explicitly list the authorized bodies either in the Draft Law, or as and annex to the Draft Law or make a refence to the relevant legislation which regulate these authorized bodies and to elaborate the mechanisms of independent review prior to responding to duly reasoned request from competent authorities for the purposes of preventing, detecting, investigating and prosecuting terrorist offences or serious crime; [pars 71-72] E. to provide in Article 24 of the Draft Law that before entering into an API/PNR data sharing agreement, or sharing such data on an ad hoc basis, an assessment should be made of the counterpart’s record on human rights and data protection, as well as of the legal safeguards and institutional controls that govern the recipient authority, to ensure that the third country meets equivalent protection standards. This agreement should also be re-assessed regularly or as warranted; [par 82] F. to put in place effective human rights safeguards to protect passengers from being wrongfully placed under suspicion for involvement in terrorism or other serious crimes and refrain from discriminatory profiling on the basis of PNR 3 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

data in listing the tasks of the National Contact Point in Article 15. Risk criteria and profiles need to be targeted, proportionate and specific and should mandate the relevant authorities to provide necessary guidance for individual reviews to prevent discriminatory results; [par 86] G. to clarify in Article 21 of the Draft Law that the PNR data protection officers can report to the Commissioner directly and in confidentiality, and that they can refer cases to the Commissioner and undertake other actions; [par 95] and H. to ensure that any oversight of compliance with data regulation is carried out independently by the authorized body, which is granted the necessary resources and powers to fulfil its mandate in a manner consistent with international instruments and to ensure that this body, or the Human Rights Commissioner, be given full and unhindered access to all information processed by the PIU as well as pre-determined criteria and databases to be able to fulfil its mandate. [pars 98-99] These and additional Recommendations, are included throughout the text of this Opinion, highlighted in bold.

As part of its mandate to assist OSCE participating States in implementing their OSCE human dimension commitments, ODIHR reviews, upon request, draft and existing laws to assess their compliance with international human rights standards and OSCE commitments and provides concrete recommendations for improvement.

4 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

TABLE OF CONTENTS I. I NTRODUCTION ...................................................................... 6 II. S COPE OF THE O PINION .......................................................... 6 III. L EGAL A NALYSIS AND R ECOMMENDATIONS ............................. 7 1. Relevant International Human Rights Standards and OSCE Human Dimension Commitments .................................................................................................................. 7 Standards Pertaining to Collection, Processing and Sharing of Data in the Context of Air Travels ............................................................................................ 8 Data Protection and Right to Privacy .................................................................. 13 1.2.1. Right to Privacy......................................................................................................14 Right to Data Protection ................................................................................................16 1.2.3. Potential Impact on Other Human Rights and Fundamental Freedoms .......................20 2. Background .................................................................................................................... 21 3. Collection, Processing and Sharing API/PNR Data .................................................. 21 Purpose Limitation ............................................................................................... 21 Collection and Processing of API/PNR Data ...................................................... 23 Automated Processing .......................................................................................... 25 Data Sharing with Authorized Bodies ................................................................. 27 Data Retention ...................................................................................................... 29 International Co-operation .................................................................................. 30 4. Non-Discrimination ...................................................................................................... 31 5. Duty to Inform and Security of Personal Data ............................................................... 34 6. Independent Oversight................................................................................................. 36 7. Appeals Mechanisms and Judicial Review................................................................. 37 8. Recommendations Related to the Process of Preparing and Adopting the Draft Law 38

ANNEX: Draft Law of Ukraine “On the Usage of Passenger Information for Combating Terrorism, Serious and Especially Serious Crimes”

5 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

I. INTRODUCTION

1. On 20 September 2024, the Deputy Head of the Security Service of Ukraine sent to the OSCE Office for Democratic Institutions and Human Rights (hereinafter “ODIHR”) a request for a legal review of the Draft Law of Ukraine “On the Usage of Passenger Information for Combating Terrorism, Serious and Especially Serious Crimes” (hereinafter “the Draft Law”). 2. On 17 October 2024, ODIHR responded to this request, confirming the Office’s readiness to prepare a legal opinion on the compliance of the Draft Law with international human rights standards and OSCE human dimension commitments. In light of the subject- matter, ODIHR invited the Border Security and Management Unit of the OSCE Secretariat to contribute to this legal review. 3. This Opinion was prepared in response to the above request. ODIHR conducted this assessment within its mandate to assist the OSCE participating States in the implementation of their OSCE human dimension commitments.1

II. SCOPE OF THE OPINION

4. The scope of this Opinion covers only the Draft Law submitted for review. Thus limited, the Opinion does not constitute a full and comprehensive review of the entire legal and institutional framework regulating information gathering for the purpose of combating terrorism, serious and especially serious crimes in Ukraine. 5. The Opinion raises key issues and provides indications of areas of concern. In the interest of conciseness, it focuses more on those provisions that require amendments or improvements than on the positive aspects of the Draft Law. The ensuing legal analysis is based on international and regional human rights and rule of law standards, norms and recommendations as well as relevant OSCE human dimension commitments. The Opinion also highlights, as appropriate, good practices from other OSCE participating States in this field. When referring to national legislation, ODIHR does not advocate for any specific country model; it rather focuses on providing clear information about applicable international standards while illustrating how they are implemented in practice in certain national laws. Any country example should always be approached with caution since it cannot necessarily be replicated in another country and has always to be considered in light of the broader national institutional and legal framework, as well as country context and political culture. 6. Moreover, in accordance with the Convention on the Elimination of All Forms of Discrimination against Women2 (hereinafter “CEDAW”) and the 2004 OSCE Action Plan for the Promotion of Gender Equality3 and commitments to mainstream gender into OSCE activities, programmes and projects, the Opinion integrates, as appropriate, a gender and diversity perspective.

1 In particular, ODIHR conducted this assessment within its mandate as established by the OSCE Bucharest Plan of Action for Combating Terrorism. See pars 6, 18 and 22 of the Annex to OSCE Ministerial Council Decision MC(9).DEC/1, Bucharest, 3-4 December 2001. 2 UN Convention on the Elimination of All Forms of Discrimination against Women (hereinafter “CEDAW”), adopted by General Assembly resolution 34/180 on 18 December 1979. Ukraine deposited its instrument of ratification of this Convention on 12 March 1981. 3 See OSCE Action Plan for the Promotion of Gender Equality, adopted by Decision No. 14/04, MC.DEC/14/04 (2004), par 32. 6 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” 7. This Opinion is based on an unofficial English translation of the Draft Law provided by the Security Service of Ukraine, which is attached to this document as an Annex. Errors from translation may result. The Opinion is also available in Ukrainian. However, the English version remains the only official version of the Opinion. 8. In view of the above, ODIHR would like to stress that this Opinion does not prevent ODIHR from formulating additional written or oral recommendations or comments on respective subject matters in Ukraine in the future.

III. LEGAL ANALYSIS AND RECOMMENDATIONS

1. RELEVANT INTERNATIONAL HUMAN RIGHTS S TANDARDS AND OSCE HUMAN DIMENSION COMMITMENTS

9. Over the last decades there has been an increase of people travelling by air. Simultaneously, innovations resulting in bigger airplanes have led to a need for more efficient and effective passenger flows at airports. In 2019, the International Civil Aviation Organisation (hereinafter “ICAO”) reported 4.5 billion passengers were globally carried by air transport on scheduled services.4 These passenger flows put increasing pressure on the international air borders. Against this background, over the last decade there has been a growing body of international and regional legally binding and soft law instruments on the collection, processing and sharing of Advance Passenger Information (API) and Passenger Name Record (PNR) data, especially in the context of countering terrorism and other serious crimes. 10. API data is a set of information concerning the travellers directly taken from their passports, combined with flight information collected at check-in and transferred to the border agencies of the country of destination. The processing of API is a border management tool aiming to enhance effectiveness and efficiency of border checks, by facilitating and speeding up traveller clearance, as well as an instrument to counter irregular immigration.5 11. PNR data is unverified information provided by passengers either directly or through travel agencies and collected by air carriers to enable the reservation and check-in processes. The analysis of PNR data can provide the authorities with important elements from a criminal intelligence point of view, allowing them to detect suspicious travel patterns and identify associates of criminals and terrorists, in particular those previously unknown to law enforcement.6 12. The collection of personal data contained in API and PNR datasets, its use, sharing and processing, which may also impact decision-making at international borders, have serious implications with respect to individuals’ rights to respect for private and family life, to freedom of movement (rights of persons to leave any country and to return to their country of origin), and to seek asylum, and potentially also other fundamental rights and freedoms (particularly freedom of expression, political participation, freedoms of peaceful assembly, of association, and religion or belief), and to be free from discrimination.

4 International Civil Aviation Organisation (ICAO), The World of Air Transport in 2019. 5 COM (2022) 729 Proposal for a Regulation Of The European Parliament And Of The Council On the collection and transfer of advance passenger information (API) for enhancing and facilitating external border controls, amending Regulation (EU) 2019/817 and Regulation (EU) 2018/1726, and repealing Council Directive 2004/82/EC, (hereinafter “EU API Proposal”), page 1, 6 European Commission – Passenger Data.

7 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” 13. At the outset, it must be underlined that the necessity and proportionality of non-targeted, bulk collection and processing of passenger data for the purpose of countering terrorism and other serious crime have been questioned – particularly due to the lack of serious, reliable, and verifiable evidence supporting its effectiveness, and concerns about the reliability of such systems, especially given how even small errors can have significant consequences when applied to the very large number of air travellers.7 While it goes beyond the scope of this Opinion to assess the necessity and effectiveness of such schemes, the present legal analysis aims to provide recommendations to ensure that the API/PNR scheme contemplated in the Draft Law is compliant with international human rights standards and OSCE commitments.

Standards Pertaining to Collection, Processing and Sharing of Data in the Context of Air Travels

14. Within the UN system, in the context of countering terrorism, the United Nations Security Council (hereinafter “UNSC”) adopted several resolutions, calling upon Member States and airlines to collect and process relevant passenger data. In 2014, the UNSC Resolution 2178 called upon UN Member States to require that airlines operating in their territories provide API to the appropriate national authorities in order to detect the departure from their territories, or attempted entry into or transit through their territories, by means of civil aircraft, of individuals designated by the Committee established pursuant to resolutions 1267 (1999) and 1989 (2011) (and later 2253 (2015)) (“the UNSC Committee”); in addition, UN Member States were urged to report any such departure from their territories, or such attempted entry into or transit through their territories, of such individuals to the UNSC Committee, as well as to share this information with the State of residence or nationality, as appropriate and in accordance with domestic law and international obligations.8 15. In 2016, the UNSC Resolution 2309 required that “airlines operating in their territories provide advance passenger information to the appropriate national authorities in order to detect the departure from their territories, or attempted entry into or transit through their territories, by means of civil aircraft, of individuals designated by the Committee pursuant to resolutions 1267 (1999), 1989 (2011) and 2253 (2015)”.9 16. In December 2017, the UNSC unanimously adopted Resolution 2396.10 Building upon previous Resolutions 2178 (2014) and 2309 (2016), it decides that UN Member States shall collect API and PNR data. As UNSC Resolution 2396 was adopted under Chapter VII of the UN Charter and includes language suggesting the intent to be legally binding,11 compliance with this obligation is mandatory for all UN Member States. This Resolution establishes that states “…shall require airlines operating in their territories to provide API to the appropriate national authorities, in accordance with domestic law and international obligations…” and “…to ensure API is analysed by all relevant authorities,

7 See e.g., the European Data Protection Supervisor Opinions, especially Opinion 5/2015 on the EU PNR Directive and the Opinion on the EU-Canada draft agreement; see also Special Rapporteur on the Promotion and Protection of Human Rights and Fundamental Freedoms while Countering Terrorism, Position Paper on the United Nations Countering Terrorist Travel (‘CT Travel’) Programme and the goTravel Software Solution (2023). See also ODIHR, Policy Brief: Border Management and Human Rights - Collection, processing and sharing of personal data and the use of new technologies in the counter-terrorism and freedom of movement context (2021), p. 13, and references therein. 8 UNSC Committee pursuant to resolutions 1267 (1999) 1989 (2011) and 2253 (2015) concerning Islamic State in Iraq and the Levant (Da’esh), Al-Qaida and associated individuals, groups, undertakings and entities; see UNSC, S/RES/2178 (2014), para. 9 9 UNSC, S/RES/2178 (2016), para. 6g. 10 UNSC, S/RES/2396 (2017). 11 While the UNSC has general powers under Articles 24 and 25 of the UN Charter to adopt binding decisions, which do not need to be always taken under Chapter VII of the UN Charter, the binding effect of the provisions of a resolution of the UNSC is to be determined in each case, having regard to the terms of the resolution to be interpreted, the discussions leading to it, the Charter provisions invoked and, in general, all circumstances that might assist in determining the legal consequences of the resolution of the Security Council. See International Court of Justice (ICJ), Advisory Opinion on the Legal Consequences for States of the Continued Presence of South Africa in Namibia (South West Africa) notwithstanding Security Council Resolution 276 (1970), 21 June 1971, paras. 113-114. 8 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” with full respect for human rights and fundamental freedoms for the purpose of preventing, detecting, and investigating terrorist offenses and travel…”12 The Resolution also decides that “…Member States shall develop the capability to collect, process and analyse, in furtherance of ICAO standards and recommended practices, passenger name record (PNR) data and to ensure PNR data is used by and shared with all their competent national authorities, with full respect for human rights and fundamental freedoms for the purpose of preventing, detecting and investigating terrorist offenses … and also urges ICAO to work with its Member States to establish a standard for the collection, use, processing and protection of PNR data.”13 17. Another key instrument in this area is the Convention on International Civil Aviation (also referred to as “the Chicago Convention”).14 Article 37 of the Chicago Convention mandates the International Civil Aviation Organisation (ICAO) to “adopt and amend as may be necessary…, international standards and recommended practices and procedures dealing with….customs and immigration procedures…”.15 In this context, ICAO developed ‘International Standards and Recommended Practices’, which forms the Annex 9 to the Chicago Convention. The standards and practices are regularly updated, most recently in July 2022.16 Chapter 9 of Annex 9 is exclusively dedicated to passenger data exchange systems, outlining standards and practices in regulating API and PNR. Annex 9 stipulates robust standards and safeguards for the personal data protection aspects of regulating API/PNR, including on safeguards on legality, necessity and proportionality, standards on access to PNR and the duty to inform the data subject, safeguards against automated processing of PNR data, standards on independent oversight of PNR data, safeguards against discrimination and standards and recommended practices on processing PNR data.17 18. In December 2016, OSCE Ministerial Council adopted the Decision No. 6/16 on ‘Enhancing the Use of Advance Passenger Information’ which commits participating States to establish national API systems in accordance with the provisions contained in ICAO’s Annex 9 to the Chicago Convention and aligned with the ICAO Guidelines on API, including those on privacy and data protection, in order to effectively collect passenger and/or crew data from airlines operating in their territories.18 It is noteworthy that the OSCE Decision makes an explicit reference to privacy and data protection standards. 19. At the Council of Europe level, the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data19 and the Convention on Access to Official Documents20 should also be taken into consideration with respect to the present topic. 20. As a candidate for accession to the European Union, Ukraine also needs to align its national legislation with the EU acquis and thus, the relevant EU treaty provisions, Regulations and Directives are also of relevance to this Opinion. In this respect it is noted that the Draft Law was developed as part of a comprehensive assessment of the

12 UNSC, S/RES/2396 (2017), para. 11. 13 UNSC, S/RES/2396 (2017), para. 12. 14 Ukraine submitted a notification of adherence on 10 August 1992. 15 The Convention on International Civil Aviation (Chicago Convention) was signed on 7 December 1944 by 52 States. Ukraine submitted its instrument of accession to the Chicago Convention on 10 August 1992. 16 ICAO, Annex 9 to the Convention on International Civil Aviation, International Standards and Recommended Practices, Sixteenth Edition, July 2022. 17 Chicago Convention, Annex 9, Chapter 9. 18 OSCE Ministerial Council, MC.DEC/6/16, Enhancing The Use Of Advance Passenger Information, Article 1. 19 Council of Europe, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (CETS No. 108), 28 January 1981, ratified by Ukraine on 30 September 2010 and which entered into force on 1 January 2011. Its Protocol (CETS No. 223) has not yet been signed nor ratified by Ukraine. 20 Council of Europe, Convention on Access to Official Documents (CETS No. 205), 18 June 2009, signed by Ukraine on 12 April 2018, ratified by Ukraine on 19 August 2020 and entered into force on 1 December 2020. 9 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” transposition of European Union legal standards into the legislation of Ukraine and with a view to carry out the implementation of the EU PNR Directive, aimed at the legislative regulation of obtaining, processing and use of such information for countering terrorism and serious crime. 21. In the European Union (EU), the collection, processing, and sharing of API/PNR data is regulated by Directives, which are binding on EU Member States as to the results to be achieved and must be transposed into the national legislation. On 27 April 2016, the European Parliament and Council adopted the Directive on the use of PNR data for the prevention, detection, investigation, and prosecution of terrorist offences and serious crimes (hereinafter the “EU PNR Directive”).21 The Directive defines the responsibilities of EU Member States regarding the collection of PNR data, requiring them to establish specific entities responsible for the collection, storage, and processing of PNR data (the so-called passenger information units (PIUs)) and adopt a list of competent authorities entitled to request or receive PNR data. The PIUs are in charge of collecting PNR data from airlines, comparing PNR data against relevant law enforcement databases and processing them against pre-determined criteria, to identify persons potentially involved in a terrorist offence or serious crime, and, disseminating PNR data to national competent authorities, Europol, and PIUs of other EU countries, either spontaneously or in response to duly reasoned requests.22 22. The EU PNR Directive also provides important data protection safeguards, namely that sensitive data must not be processed and that data must be depersonalised after six months, may be re-personalised only under strict conditions, must be deleted after five years, and that a data protection officer is appointed in each PIU and independent national supervisory authorities must oversee the processing activities. The EU PNR Directive is the most comprehensive and detailed legal tool in the European region regulating the processing of PNR data. 23. The Court of Justice of the European Union (CJEU) provided a ruling on the legality of the EU PNR Directive which further underlined that the Directive must be read in the light of Articles 7 (Respect for private and family life), 8 (Protection of personal data) and 21 (Non-discrimination) as well as Article 52(1) (Legality, Necessity and Proportionality of Restrictions) of the EU Charter of Fundamental Rights and clarified the application of necessity, proportionality, and data protection standards under EU law. The recent Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of the CJEU ruling provides further useful guidance.23 In the judgement, the CJEU affirmed that the collection and use of PNR data must be strictly limited to combatting terrorist offenses (defined under EU Directive 2017/541)24 and to serious crime (as defined by the PNR Directive and linked to organized crime or offenses punishable by severe penalties). Vague or overbroad definitions of terrorism or serious crimes contravene the principle of purpose limitation, rendering the interference with privacy disproportionate.25 As for the indiscriminate collection of all passengers’ PNR data, it may only be justified under exceptional circumstances, such as a genuine and sufficiently serious threat to public security. Bulk collection for all

21 European Union, Directive (EU) 2016/681 of the European Parliament and of the Council of 27 April 2016 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime (hereinafter “EU PNR Directive”). 22 European Commission, Passenger Data. 23 See European Data Protection Board (EDPB), Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025. 24 For some comments regarding the human rights compliance of the definition of “Terrorist Offence” in the EU Directive 2017/541 on Combatting Terrorism, see ODIHR Note on the Proposed Revision of the Definition of Terrorist Offences in Article 1 of the Council of Europe Convention on the Prevention of Terrorism (2023), especially para. 12. 25 For detailed discussion, see: CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 141-175; Special Rapporteur on the Promotion and Protection of Human Rights and Fundamental Freedoms while Countering Terrorism, Report to General Assembly 76th session, 3 August 2021, A/76/261, para. 16. 10 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” passengers without differentiation or a concrete link to public security risks exceeds proportionality requirements. In any case, bulk collection must not lead to the permanent, systematic surveillance of all travellers.26 The CJEU further held that retention periods must be strictly necessary and proportionate to the public security objective. Key requirements in this regard include to have short retention periods for initial analysis, that data should be retained for a short, pre-defined period (6 months) before anonymization and that data access after anonymization must be tied to specific cases, with judicial or administrative approval. Beyond this period, retention is only allowed if there is an ongoing investigation or link to a specific threat and retaining non-anonymized data beyond 6 months is permissible only when strictly justified by case-specific risks.27 The CJEU further held that automated processing of PNR data is permissible but must be limited to identifying passengers who may be involved in terrorist or serious criminal activities and to avoid using discriminatory criteria (e.g., based on “race”,28 religion, or ethnicity). In addition, automated matches must be verified by a human before enforcement action is taken and fully automated decision-making without human intervention risks violating privacy and due process rights. 29 24. With respect to transfers of PNR data to third countries, the latter must ensure an equivalent level of data protection to that provided under EU law. Such transfers must be based on agreements or adequacy decisions under the General Data Protection Regulation’s framework30 and limit transfers to cases where the receiving state will use the data exclusively for combating terrorism or serious crime. Data-sharing agreements with countries lacking robust protections or unclear safeguards contravene EU data protection standards.31 Before transferring PNR data, it is also fundamental that an assessment be made of the third country’s record on human rights and data protection, as well as of the legal safeguards and institutional controls and oversight that govern the authority receiving such data.32 There should also be a clear undertaking not to transfer such PNR data which is likely to be used for purposes that violate human rights, e.g., that would ultimately result in torture or other ill-treatment or would enable a country to repress free speech or human rights defenders or allow further human rights violations.33

26 For detailed discussion, see: CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 158-175; D. Lowe, The European Union’s Passenger Name Record Data Directive 2016/681: Is it fit for purpose? International Criminal Law Review 17 (1), 2017, p. 27. 27 For detailed discussion, see: CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 214-228; 248-262; Privacy International, Response to Model Legal Provisions, 16 Nov 2021, p. 4, 6. 28 While recognizing that the term “race” is a purely social construct that has no basis as a scientific concept, for the purpose of the opinion, the term “race” or “racial” may be used in reference to international instruments using such a term to ensure that all discriminatory actions based on a person’s (perceived or actual) alleged “race”, ancestry, ethnicity, colour or nationality are covered - while generally preferring the use of alternative terms such “national or ethnic origin”; the use of the term ‘race’ in this Opinion shall not imply endorsement by ODIHR of any theory based on the existence of different ‘races’ (see e.g., 2022 ODIHR Practical Guide on Hate Crime Laws, revised edition, footnote 14 and Sub-Section 2.3.1 and references therein). 29 For detailed discussion, see: CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, 21 Jun 2022, paras. 176-181, 202-213. 30 The European Commission has the power to determine, on the basis of Article 45 of Regulation (EU) 2016/679Regulation (EU) 2016/679 whether a country outside the EU offers an adequate level of data protection. 31 For detailed discussion, see: CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 183-192; Privacy International, Response to Model Legal Provisions, 16 Nov 2021, p. 5-6.; Special Rapporteur on the Promotion and Protection of Human Rights and Fundamental Freedoms while Countering Terrorism, Response to Call for Input by OHCHR on Privacy in Digital Age, p. 6-8. 32 See e.g., as a comparison, UN Special Rapporteur on the protection and promotion of human rights while countering terrorism, Compilation of Good Practices on Legal and Institutional Frameworks and Measures that Ensure Respect for Human Rights by Intelligence Agencies while Countering Terrorism (2010), Practice 33; see also ODIHR, Guidelines on Addressing the Threats and Challenges of “Foreign Terrorist Fighters” (2018), page 43. 33 See e.g., Venice Commission, Report on the Democratic Oversight of Signals Intelligence Agencies, CDL-AD(2015)011; 2015 Update of the 2007 Report on the Democratic Oversight of the Security Services and Report on the Democratic Oversight of Signals Intelligence Agencies, CDL-AD(2015)006, para. 75. See also UN Special Rapporteur on the protection and promotion of human rights while countering terrorism, Compilation of Good Practices on Legal and Institutional Frameworks and Measures that Ensure Respect for Human Rights by Intelligence Agencies while Countering Terrorism (2010), Practice 33; and ODIHR, Guidelines on Addressing the Threats and Challenges of “Foreign Terrorist Fighters” (2018), page 43. 11 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” 25. Individuals whose PNR data are collected must have enforceable rights, including the right to access, rectify, and delete their data, and the right to an effective remedy in case of violation that must be prompt, practical rather than theoretical, accessible (without undue practical or financial barriers) and before an independent authority.34 They also have the right to be informed of data processing practices and must have judicial or administrative remedies to challenge unlawful processing.35 Failure to provide accessible rights and remedies for passengers undermines accountability and transparency obligations. Further, PNR data may be cross-checked against predefined watchlists. If this is the case, these watchlists should be precise, regularly updated, and based on objective criteria, not leading to profiling based on sensitive personal data or protected characteristics (e.g., “race”, religion, or ethnicity); and individuals must have an effective mechanism to challenge their inclusion on such a watchlist.36 Flawed or outdated watchlists, coupled with inadequate oversight, risk false positives and unjustified restrictions on freedom of movement. 26. It is also important to understand the context in which the PNR data processing are operated and potential implications, especially in the context of border management. PNR data reveal passengers’ travel patterns and given the extensive information being collected, may also reveal sensitive data, such as ethnic origin, political opinion, religion or belief, or information concerning health or sexual life,37 which might put people at risk of discrimination or other human rights abuses, even if the PNR Directive provides that such sensitive data may not be processed.38 The automated processing of PNR data has the potential to reinforce discriminatory practices by associating personal traits with specific risks. Advance sharing of PNR data could also lead to restrictions on freedom of movement or may prevent people from effectively seeking asylum. PNR data enable public authorities to track persons who allegedly pose a risk to a country’s security – based on the automated processing of their data. At the same time, different authorities are involved (e.g., law enforcement, border control authorities, and customs authorities) in accessing and processing the data. There is thus a greater risk of data misuse. An oversight body should have a strong mandate to exercise its responsibilities and be provided the competencies and powers to ensure compliance with human rights. The automated processing of PNR data may trigger further risk due to the lack of transparency and understanding surrounding automated systems. 27. Until 28 January 2025, the collection, processing and sharing of API data was regulated by the Council Directive 2004/82/EC of 29 April 2004 on the obligation of carriers to communicate passenger data (hereinafter the “EU API Directive”).39 This Directive imposed obligations on air carriers to transmit, upon request, API data to the EU Member State of destination prior to the flight’s take-off. This concerns inbound flights from a third country and aims to improve border control. On 28 January 2025, two new Regulations entered into force, namely (i) on the collection and transfer of API for

34 Article 2 (3) of the ICCPR (read together with UN Human Rights Committee, General Comment No. 31, UN Doc. CCPR/C/21/Rev.1/Add.13 (2004)); and Article 13 of the ECHR (and relevant caselaw of the ECtHR: see Caselaw Guide on Article 13 of the ECHR as of February 2025, especially paras. 32-55). 35 For detailed discussion, see: D. Lowe, The European Union’s Passenger Name Record Data Directive 2016/681: Is it fit for purpose? International Criminal Law Review 17 (1), 2017, p. 27; E. Brouwer, The EU Passenger Name Record (PNR) System and Human Rights: Transferring Passenger Data or Passenger Freedom?, 2009, p. 26-28. 36 For detailed discussion, see: Special Rapporteur on the Promotion and Protection of Human Rights and Fundamental Freedoms while Countering Terrorism, ODIHR Expert Consultation Meeting on Human Rights Challenges related to Information gathering and sharing and new Technologies in Border Management in the Counter-Terrorism and freedom of Movement, 15 June 2020, p. 3. 37 Council of Europe, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (CETS No. 108), Article 6. 38 See EU PNR Directive 2016/681, Article 13. See also ODIHR, Policy Brief: Border Management and Human Rights - Collection, processing and sharing of personal data and the use of new technologies in the counter-terrorism and freedom of movement context (2021), p. 13. 39 Council Directive 2004/82/EC of 29 April 2004 on the obligation of carriers to communicate passenger data <https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A32004L0082>. 12 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” facilitating external border checks40 (hereinafter “new EU API Regulation 2025/12 for border checks”) and (ii) on the collection and transfer of advance passenger information (API) for the prevention, detection, investigation and prosecution of terrorist offences and serious crime41 (hereinafter “new EU API Regulation 2025/13 on terrorist offences and serious crimes”) – or together referred to as “new EU API Regulations”. These new regulations aim to introduce uniform requirements for the collection of API data by carriers, increase quality of API data, the collection of data by air carriers using automated means, mandatory transfer of data to Member States and increase the efficient transfer of data by air carriers to Member States, while aiming to ensure full compliance with EU data protection rules.42 It is also clarified that the rules of the EU PNR Directive apply in respect of matters not specifically covered by new EU API Regulation 2025/13 on terrorist offences and serious crimes, especially regarding the rules on the subsequent processing of the API data received by the PIUs, exchange of information between Member States, conditions of access by the EU Agency for Law Enforcement Cooperation (Europol), transfers to third countries, retention and depersonalisation, as well as the protection of personal data.43

Data Protection and Right to Privacy

28. Human rights and fundamental freedoms are often curtailed for the presumed benefit of security. While human rights and security issues are sometimes conceptualised in an inverse relation to each other – i.e., in order to increase security one must reduce human rights, OSCE human dimension commitments and the UN approach underline that effective security measures and the protection of human rights are not conflicting but mutually reinforcing.44 As such, respect for human rights and fundamental freedoms for all, democracy and the rule of law is at the core of the OSCE’s comprehensive concept of security45 and should constitute the fundamental basis of any security sector reform.46 29. The OSCE participating States have acknowledged47 the importance of the “human security” approach which places the rights and security needs of individuals at the heart of the security functions. This approach recognizes that the primary aim of security sector institutions is to adequately and effectively provide services to all individuals in the community, regardless of their national or ethnic origin, political or other opinion, sex, gender identity or sexual orientation, religion or belief or any other status.48 Security sector, including law enforcement and border management, is subject to the same standards of good governance as any other public sector, and is to provide security in an

40 Regulation (EU) 2025/12 of the European Parliament and of the Council of 19 December 2024 on the collection and transfer of advance passenger information for enhancing and facilitating external border checks, amending Regulations (EU) 2018/1726 and (EU) 2019/817, and repealing Council Directive 2004/82/EC. 41 Regulation (EU) 2025/13 of the European Parliament and of the Council of 19 December 2024 on the collection and transfer of advance passenger information for the prevention, detection, investigation and prosecution of terrorist offences and serious crime, and amending Regulation (EU) 2019/818. 42 <https://ec.europa.eu/commission/presscorner/detail/en/ip_24_1262>. 43 See new EU API Regulation 2025/13 on terrorist offences and serious crimes, Recital 5. 44 ODIHR, Background Paper on Addressing Transnational Threats and Challenges in the OSCE Region: the Human Dimension (2012). See also UN General Assembly, 15 September 2005, A/60/L.1, par 72; and UN Secretary- General, Kofi Annan, Statement to the Security Council on 18 January 2002. 45 OSCE, Istanbul Charter for European Security (1999), par 19. 46 See OSCE, Charter on Preventing and Combating Terrorism, 10th Ministerial Council Meeting, Porto 2002, pars 5-7; and OSCE Consolidated Framework for the Fight against Terrorism, adopted by Decision no. 1063 of the Permanent Council, at its 934th Plenary Meeting on 7 December 2012 (PC.DEC/1063). See also UN, Global Counter-Terrorism Strategy and Plan of Action (2006), Pillar IV; and OSCE Ministerial Statement supporting the UN Global Counter-Terrorism Strategy (MC.DOC/3/07, 30 November 2007). See also the Joint Statement of the UN High Commissioner for Human Rights, the Secretary General of the Council of Europe and ODIHR Director (29 November 2001). 47 OSCE, Strategy to Address Threats to Security and Stability in the 21st Century, Maastricht, 2003. 48 See e.g., Geneva Centre for Security Sector Governance (DCAF), ODIHR and UN Women, A Security Sector Governance Approach to Women, Peace and Security: Policy Brief (2019), page 2; and ODIHR, Background Paper on Addressing Transnational Threats and Challenges in the OSCE Region: the Human Dimension (2012), page 2. 13 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” accountable and effective way, within a framework of democratic civilian control, rule of law and respect for human rights, including gender equality.49 30. In the context of border management and data collection, fundamental human rights come into play. It is noteworthy that the UNSC Resolution 2396 calls for the collection, processing and analysis of API and PNR data in line with domestic law and international obligations, and with full respect for human rights and fundamental freedoms.50 The resolution restricts the use of PNR data to the prevention, detection and investigation of terrorist offences.51 It can thus be inferred that states, in establishing the legal framework regulating API and PNR data, are bound by their commitments under international law to respect and protect fundamental human rights.

Right to Privacy

31. Without the effective enjoyment of the right to privacy, the full enjoyment of a broad range of other rights is endangered. The protection of personal data is intrinsically tied to the right to privacy, and is particularly relevant in the context of data processing for border management purposes, and especially in the context of counter-terrorism. 32. The right to respect for private and family life is enshrined in key international and regional instruments, including Article 17 of the International Covenant on Civil and Political Rights52 (ICCPR), Article 8 of the European Convention on Human Rights and Fundamental Freedoms53 (ECHR) and Article 7 of the EU Charter of Fundamental Rights. 33. As noted by the UN Special Rapporteur on the Right to Privacy, “[i]t is necessary for States to establish a system to safeguard the right to personal data protection so that data subjects are aware of the processing to which their personal data are subjected, can exercise proper control over their data and, in the event of a violation, can opt for a remedy with a view to the reparation or restitution of the right or compensation for the damage caused, as the case may be… In the digital age, not only must States respect and refrain from violating the rights to privacy and data protection, but their obligations also include positive measures to promote the effective enjoyment of these rights.”54 In the area of API/PNR data collection and sharing, there is an interaction of authorities with private sector actors, namely airline companies, which warrants particular care in discharging existing duties in compliance with respect for privacy rights. In this regard, it is noted that in the OSCE Ministerial Council Decision No. 6/16, OSCE participating States committed to establish API systems in accordance with data protection and privacy standards. 34. Article 7 of the EU Fundamental Charter also protects the right to privacy, which corresponds to Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms (hereinafter “the ECHR”) with the meaning and scope of this right being the same. Consequently, the limitations which may legitimately be imposed on this right are the same as those allowed by Article 8 of the ECHR. Interference with the right to respect for private life is only acceptable if it complies with the strict requirements of Article 8 (2) ECHR, meaning that such interference must be “in

49 OSCE Secretary General, Report on the OSCE Approach to Security Sector Governance and Reform (SSG/R) (2019), page 2. 50 UNSC, S/RES/2396 (2017),, paras. 11-13. 51 UNSC, S/RES/2396 (2017), paras. 11-13. 52 UN International Covenant on Civil and Political Rights (ICCPR), adopted by the UN General Assembly by resolution 2200A (XXI) of 16 December 1966. Ukraine deposited its instrument of ratification of the ICCPR on 12 November 1973. Article 17 states that “no one may be subjected to arbitrary or unlawful interference with their privacy, home or correspondence, nor to unlawful attacks on their honour and reputation”. 53 Council of Europe (CoE), Convention for the Protection of Human Rights and Fundamental Freedoms, entered into force on 3 September 1953. Ukraine deposited its instrument of ratification of the ECHR on 11 September 1997. 54 UNGA Human Rights Council, A/HRC/55/46, Report of the Special Rapporteur on the right to privacy: Legal safeguards for personal data protection and privacy in the digital age, 18 January 2024, paras. 12-13. 14 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” accordance with the law”, must pursue a “legitimate aim” (these aims are the protection of national security, public safety or the economic well-being of the country, the prevention of disorder or crime, the protection of health or morals, or the protection of the rights and freedoms of others) and must be “necessary in a democratic society” and strictly proportionate to the aim pursued. 35. In the EU, data protection is a right in and of itself which is reflected in Article 8 of the EU Charter of Fundamental Rights and Article 16 of the Treaty of the Functioning of the European Union (hereinafter “TFEU”). The CJEU observed that the collection, processing, storing and transfer of API/PNR data – as required by Security Council resolutions 2396 (2017) and Security Council resolutions 2482 (2019)55– constitute per se a serious interference with the right to privacy.56 36. Interferences with the right to respect for private and family life protected inter alia by Article 17 of the ICCPR, Article 8 of the ECHR and Article 7 of the EU Charter of Fundamental Rights may, however, be justified provided they are based on law, necessary and proportionate to pursue a legitimate aim.57 In addition, the restriction must be non- discriminatory (Articles 2 and 26 of the ICCPR, Article 14 of the ECHR and Protocol 12 to the ECHR58 and Article 21 of the EU Charter of Fundamental Rights). 37. The requirement that the interference be based in law not only requires that the restriction should have an explicit basis in domestic law, but also refers to the quality of the law in question, which should be clear, foreseeable, and adequately accessible.59 As such the said legislation must be sufficiently clear and precise to enable individuals to act in accordance with the law, while demarcating clearly the scope of discretion for public authorities and providing a reasonable indication as to how these provisions will be interpreted and applied.60 Proportionality requires that the chosen measure must be appropriate, least intrusive and proportionate stricto sensu to achieve the pursued aim. Accordingly, the collection, processing, storing and transfer of API/PNR data must be appropriate and proportional to the purpose of combatting terrorism or serious crime offenses. The law needs to authorize the collection, processing, storing and transfer of API/PNR data by competent authorities; have a purpose limitation of API/PNR data collection, processing, storing and transfer to narrowly defined offenses of (strictly and precisely defined) terrorism61 and serious crime offenses; ensure that the collection of personal information is limited to what is directly relevant and necessary to accomplish a specified purpose; ensure the accuracy, confidentiality and integrity of the data; regulate competencies to avoid the abuse of API/PNR data, and lastly include protections of data subject rights and ensure access to effective remedies in case of violation.62

55 UNSC, S/RES/2396 (2017),, para. 12; and UNSC, S/Res/2482 (2019), para. 15. 56 See CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 111. 57 Article 8(2) of the ECHR provides: “There shall be no interference by a public authority with the exercise of this right except such as is in accordance with the law and is necessary in a democratic society in the interests of national security, public safety or the economic well-being of the country, for the prevention of disorder or crime, for the protection of health or morals, or for the protection of the rights and freedoms of others”. See also CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 113. 58 Ukraine ratified the Protocol no. 12 to the ECHR on 27 March 2006 and it entered into force on 1 July 2006. 59 See e.g., UN Human Rights Committee, General Comment No. 16: Article 17 (Right to Privacy), The Right to Respect of Privacy, Family, Home and Correspondence, and Protection of Honour and Reputation; see also ECtHR, Silver and Others v. the United Kingdom, no. 5947/72; 6205/73; 7052/75; 7061/75; 7107/75; 7113/75; 7136/75, 25 March 1983, para. 87. 60 See, for example, ECtHR, Lebois v. Bulgaria, no. 67482/14, 19 October 2017, paras. 66-67. See also e.g., Venice Commission, Rule of Law Checklist, CDL-AD(2016)007, para. 58. In addition, see ECtHR, The Sunday Times v. the United Kingdom (No. 1), no. 6538/74, where the Court ruled that “the law must be formulated with sufficient precision to enable the citizen to regulate his conduct,” by being able to foresee what is reasonable and what type of consequences an action may cause.” 61 On the definition of “terrorism”, see ODIHR Note on the Proposed Revision of the Definition of Terrorist Offences in Article 1 of the Council of Europe Convention on the Prevention of Terrorism (2023). For a proposed model definition of terrorism based on those criteria see UN Special Rapporteur on counter-terrorism, Report to the UN Human Rights Council (“Ten areas of best practices in countering terrorism”), UN Doc. A/ HRC/16/51, 22 December 2010, para. 28. 62 See also: CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 141-119-140. 15 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” Right to Data Protection

38. The right to data protection is not a stand-alone right under the ICCPR. At the same time, the UN Human Rights Committee has clarified that Article 17 of the ICCPR also requires that “every individual should have the right to ascertain in an intelligible form, whether, and if so, what personal data is stored in automatic data files, and for what purposes. Every individual should also be able to ascertain which public authorities or private individuals or bodies control or may control their files. If such files contain incorrect personal data or have been collected or processed contrary to the provisions of the law, every individual should have the right to request rectification or elimination.” 63 Two UN resolutions adopted in 2016 and 2017 are also of relevance as these refer to the responsibility of the private sector to respect human rights. The resolutions call upon companies to inform users about the collection, use, sharing and retention of personal data and to establish transparent processing policies.64 According to the UN Special Rapporteur on the right to privacy “[p]rocessing of personal data must be carried out respectfully and in accordance with a series of principles and requirements, thus ensuring that it is done properly while guaranteeing privacy and the unhindered development of personality, among other rights…. To achieve this goal, data subjects must be able to exercise control over their personal information, which is why data protection and privacy laws grant them a number of rights.”65 Some of these rights are of particular relevance in the context of API/PNR data collection and processing as will be discussed later. 39. The right to personal data protection is similarly not a stand-alone right in the ECHR, but the ECtHR has acknowledged that the protection of personal data is of fundamental importance to a person’s enjoyment of his or her right to respect for private and family life, home and correspondence, as guaranteed by Article 8 of the Convention.66 In its judgments, the ECtHR relies on the right to respect privacy with regard to the automatic processing of personal data as laid out in the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (Convention 108)67 and the amending Protocol68 thereto – not yet ratified by Ukraine (also known as the modernized Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, hereinafter referred to as “modernized Convention 108”). Modernized Convention 108 provides binding commitments in the field of data protection and is of global dimension and has a horizontal scope of application, thus applying to both public and private sector data processing. 40. The modernized Convention 108 applies to all data processing carried out by both the private and public sectors, including data processing by the judiciary and law enforcement authorities. Personal data is defined as “any information relating to an identified or identifiable individual”. Such data cover not only information directly identifying the “data subject” (such as a name and surname) but also any element indirectly identifying a person (such as an internet protocol or “IP” address). Under Article 2 of Convention 108, “data processing” includes “any operation or set of operations performed on personal data, such as the collection, storage, preservation,

63 See e.g., UN Human Rights Committee, General Comment No. 16: Article 17 (Right to Privacy), The Right to Respect of Privacy, Family, Home and Correspondence, and Protection of Honour and Reputation, para. 10. 64 UN, General Assembly, Revised draft resolution on the right to privacy in the digital age, A/C.3/71/L.39/ Rev.1, New York, 16 November 2016; UN, Human Rights Council, The right to privacy in the digital age, A/HRC/34/L.7/Rev.1, 22 March 2017. 65 UN, Report of the Special Rapporteur on the right to privacy, Legal safeguards for personal data protection and privacy in the digital age, A/HRC/55/46, paras 22-23. 66 European Court of Human Rights, Guide on case-law of the Convention – Data protection, 31 August 2024 (latest update), para 3. 67 Council of Europe, Convention for the protection of individuals with regard to the processing of personal data, 28 January 1981. Ratified by Ukraine on 6 July 2010. 68 Council of Europe, Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (CETS No. 223). Ukraine has not signed nor ratified this Protocol. 16 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” alteration, retrieval, disclosure, making available, erasure, or destruction of, or the carrying out of logical and/or arithmetical operations on such data”. It aims to protect data subjects against abuses that may result from the processing of personal data, and regulates the transborder sharing of personal data. Under Article 6 of modernized Convention 108, personal data revealing “racial” origin, political opinions, religious or other beliefs, and information on an individual’s health or sex life, or on any criminal convictions, cannot be automatically processed unless domestic law provides for appropriate safeguards complementing those of Convention 108, and which shall “guard against the risks that the processing of sensitive data may present for the interests, rights and fundamental freedoms of the data subject, notably a risk of discrimination” (new Article 6(1) and (2) of the modernized Convention 108). Information falling within these categories, described as “sensitive”, warrant a heightened degree of protection and additional safeguards69 and the automatic processing of such sensitive data “shall only be allowed where appropriate safeguards are enshrined in law”.. 41. To assess if a certain measure meets the condition of being “necessary in a democratic society”, the ECtHR examines whether the measure complies with the requirements listed in Article 5 of Convention 108. Thus, it reviews whether personal data undergoing automatic processing was obtained and processed fairly and lawfully. To assess if the interference had a legitimate aim, it analyses whether the requirement that personal data undergoing automatic processing must have been collected for explicit, specified and legitimate purposes, has or has not been met. The ECtHR examines whether, in particular, the requirements to minimise the amount of data collected, to ensure that they are accurate, adequate, relevant and not excessive in relation to the purposes for which they are processed, to limit the duration of their storage, to use them for the purposes for which those data have been collected and to ensure transparency in data processing have been met.70 42. Another key principle is that the sharing of personal data between parties to the Convention 108 is guaranteed, though that restrictions on sharing information can be introduced where the receiving state’s regulations does not provide equivalent protection to the sending state. Convention 108 also regulates the mandatory establishment of national data protection supervisory authorities, amongst others. 43. In the EU, the right to data protection is considered a fundamental right distinct from the right to privacy. Article 8 of the EU Charter of Fundamental Rights not only affirms the right to data protection but also outlines the fundamental principles tied to it. It specifies that data processing must be conducted fairly, for clear purposes, and based on either the individual’s consent or a legitimate legal basis. Furthermore, individuals are entitled to

69 The Protocol (CETS: 223) amending the Convention 108 (or modernized Convention 108), though not yet signed nor ratified by Ukraine, specifies that the automatic processing of such sensitive data “shall only be allowed where appropriate safeguards are enshrined in law, complementing those of [the] Convention”, which shall “guard against the risks that the processing of sensitive data may present for the interests, rights and fundamental freedoms of the data subject, notably a risk of discrimination” (proposed new Article 6(1) and (2) of the Convention). The Explanatory Report to the Protocol 223 further provides examples of the types of additional safeguards that could be considered alone or in combination regarding the handling of such sensitive data, including the data subject’s explicit consent, a law covering the intended purpose and means of the processing or indicating the exceptional cases where processing such data would be permitted, a professional secrecy obligation, measures following a risk analysis (risk assessment prior to processing should assess whether data are protected against unauthorised access, modification and removal/ destruction and should seek to embed high standards of security throughout the processing; such an assessment should be informed by considerations of necessity and proportionality, and the fundamental data protection principles across the range of risks including physical accessibility, networked access to devices and data, and the backup and archiving of data; see Convention 108, Guidelines on the Protection of Individuals with regard to the Processing of Personal Data by and for Political Campaigns (2021), para. 4.3.5); a particular and qualified organisational or technical security measure; see Explanatory Report – CETS 223 – Automatic Processing of Personal Data (Amending Protocol), 10 October 2018, para. 56. 70 European Court of Human Rights, Guide on case-law of the Convention – Data protection, 31 August 2024 (latest update), para. 108. 17 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” access their personal data and request corrections, with compliance being monitored by an independent authority.71 44. The General Data Protection Regulation (hereinafter “GDPR”)72 is a key data protection instrument in the EU. It provides data protection rights in all areas, except law enforcement, which is governed by the Law Enforcement Directive 2016/680 (hereinafter “LED”).73 With respect to PNR information specifically, data must be transferred or processed in accordance with the GDPR (see Article 21 (2) PNR Directive with reference to the predecessor of the GDPR, namely EU Directive 95/46/EC) unless there is a criminal justice (terrorism or serious crime) objective, in which case the LED rules apply. 45. Article 5 of the GDPR sets out the principles governing the processing of personal data. These principles include, lawfulness, fairness and transparency; purpose limitation; data minimisation; data accuracy; storage limitation; integrity and confidentiality. 74 46. In Chapter III of the GDPR, the rights of the data subject are laid out, which include access to and transparency of information (Articles 13 and 15 GDPR). Therefore, every data subject has the right to information about any data controller’s processing of his or her personal data, subject to limited exemption. Other rights of data subjects, especially relevant to API/PNR data processing, include the right of access to their own data and to obtain certain information about the processing; to have data rectified by the controller processing their data, if the data are inaccurate (Article 16 GDPR); the right to have the controller erase their data, as appropriate, if the controller is processing their data illegally (Article 17 GDPR); the right to temporarily restrict processing and have their data ported to another controller under certain conditions; the right to object to processing on grounds relating to their particular situation and the use of their data for direct marketing purposes (Article 21 GDPR). Article 25 GDPR establishes the idea of data protection "by design and by default”. This requires that controllers put in place appropriate technical and organisational measures that are designed to implement data protection principles. This entails that when programming, designing and conceptualizing systems and programs, as well as when acquiring systems and services from third parties, the controller has to ensure that data protection is taken into account and that the principles of the GDPR are properly integrated into the processing activity. A Data Protection Impact Assessment (DPIA) helps identify when a certain processing operation (or a set of operations with

71 EU Fundamental Rights Agency, Council of Europe and European Data Protection Supervisor, Handbook on European Data Protection Law – 2018 edition, p. 19. 72 Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation, “GDPR”). 73 EU Directive 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, OJ L 119, 4 May 2016. 74 The lawfulness principle is detailed in Article 6 (1) which requires that any processing operation must be based on at least one of the six legal bases in the exhaustive list provided (i.e., the legal bases requirement is met when consent from the person concerned is obtained; data processing is necessary for the performance of a contract; data processing is necessary because there is a legal obligation to do so; data processing is necessary for the protection of vital interests; data processing is necessary for the performance of a task carried out in the public interest / in the exercise of official authority; or data processing is necessary for representing legitimate interests). The meaning of the principle of transparency could be derived from Recital 39 GDPR which states that, “it should be transparent to natural persons that personal data concerning them are collected, used, consulted or otherwise processed and to what extent the personal data are or will be processed”; data subjects should be “made aware of risks, rules, safeguards, and rights in relation to the processing... and how to exercise their rights”; all information communicated should be “accessible and easy to understand” and in “clear and plain language”. The principle of purpose limitation, which is also enshrined in Article 8 (2) of the EU Charter of Fundamental Rights, ensures that personal data is only used for the stated and specified purpose(s); purpose limitation should ensure that controllers do not engage in further processing of the collected data when such processing exceeds the original aim or is incompatible with the specified purpose. The data minimisation principle is essentially a proportionality principle as any interference with the fundamental right to data protection must be proportionate and any processing of personal data must be necessary. Article 5 (1) (e) of the GDPR requires the controller to limit the period of collection of personal data to what is strictly necessary for the purpose. Article 5 (1) (d) requires that personal data must be accurate and, where necessary, kept up to date, and that all reasonable steps be taken to delete or rectify inaccurate data promptly. The principle of storage limitation requires that data processing is limited by time (recital 39 of the GDPR provides that “[i]n order to ensure that the personal data are not kept longer than necessary, time limits should be established by the controller for erasure or for a periodic review”). The principle of confidentiality and integrity is detailed in Article 32 of the GDPR. 18 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” similar characteristics) presents a high risk to the rights and freedoms of natural persons (Article 35). Data subjects also have the right to complain to the supervisory authority and have the right to an effective judicial remedy. A key right for data subjects is not to be subject to decisions based solely on automated processing, including profiling, that have legal effects or that significantly affect him or her. Other rights include, obtaining human intervention on the part of the controller and expressing their point of view and contest a decision based on automated processing. The ECtHR also recognizes some of these rights through its case-law.75 47. The CJEU dealt with the issue of data protection rules that are applicable to automated PNR data processing in the case of Ligue des droits humains.76 As noted above the EU PNR Directive authorizes the sharing of PNR data by airline companies with state authorities (law enforcement), exclusively for the purposes of the fight against terrorism and other forms of serious crime (Article 1(2) EU PNR Directive). 48. The CJEU ruled that the GDPR applies to the processing of personal data under national laws that implement the API Directive and the PNR Directive, covering both private operators and public authorities. However, it does not apply to data processing carried out by the PIUs, or public authorities competent for the purposes of preventing, detecting, investigating and prosecuting terrorist offences and serious crime. Additionally, PNR data collection and transfers from private sector entities to relevant state authorities, such as PIUs, must comply with the GDPR.77 Any exceptions, such as those specified in Article 23(1)(f) of the GDPR (which covers transfers for the prevention, investigation, detection, or prosecution of criminal offenses or the execution of criminal penalties, including safeguarding public security), must be interpreted in line with the right to privacy (Article 7) and personal data protection (Article 8) as guaranteed in the EU Charter of Fundamental Rights. Moreover, PIUs and other law enforcement bodies under the PNR Directive must handle the transferred personal data according to GDPR standards, unless the processing is linked to criminal justice objectives (such as terrorism or serious crime), in which case the LED rules take precedence. The processing of personal data by PIUs is driven by the specific requests from the competent authorities. Regarding the processing of API data, the CJEU's decision indicates that the LED does not apply. Since the primary purpose of API data collection is for border control, all operations related to the processing of this data must be governed by the GDPR. The LED only becomes relevant when API data is used for law enforcement purposes as defined in national legislation (Article 6(1) of the API Directive). 49. Under Article 47 of the EU Charter of Fundamental Rights, individuals have the right to an effective remedy if their data protection rights are violated. This means that individuals can challenge decisions made by data controllers and seek redress, including compensation for damages. 50. According to the UN Special Rapporteur on the Right to Privacy several data protection rights can be derived from various international and regional instruments. These rights include, the right to information, right of access, right to rectification, right to update information in digital media, right to deletion, right to be forgotten, right to restriction of processing, right to data portability, right to object, right not to be subject to a decision based on automated processing, including profiling, and right to a digital will.78 The UN

75 European Court of Human Rights, Guide on case-law of the Convention – Data protection, 31 August 2004 (latest update), Chapter II.B. 76 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022. 77 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 83-84. 78 UN, A/HRC/55/46, Report of the Special Rapporteur on the Right to Privacy - Legal safeguards for personal data protection and privacy in the digital age, 18 January 2024. 19 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” Special Rapporteur also developed a set of guiding principles, derived from the modernized Convention 108 and General Assembly resolution 45/95,79 in addition to the GDPR, which include the principles of legality, lawfulness and legitimacy, consent, transparency, purpose, fairness, proportionality, minimization, quality, responsibility and security.80

Potential Impact on Other Human Rights and Fundamental Freedoms

51. The gathering, processing, and sharing of personal data contained in API and PNR datasets, which may impact decision-making at international borders, could also result in other human rights violations.81 Wrong or mismatched API or PNR data entries might impact an individual’s right to freedom of movement and other rights. Article 12 of the ICCPR guarantees everyone’s right to leave any country, including his/her own, and the right to enter one’s own country.82 While the entry of a non-national to the territory of a State may be subject to restrictions, any restrictions must be compliant with international human rights obligations, and take account of other rights such as non-discrimination, prohibition of cruel, inhuman or degrading treatment and respect for family life. 52. Depending on how the API/PNR data influence potential decisions taken in border management and security, it can also directly and indirectly affect the rights of individuals in specific need of protection, such as refugees and asylum-seekers, children and victims of trafficking. The principle of best interest of the child should be respected (see Article 3 of the Convention on the Rights of the Child). The use of PNR as an immigration control measure should be avoided. The right to seek and enjoy asylum is enshrined in Article 14 of the Universal Declaration of Human Rights (UDHR) and further developed in the 1951 Refugee Convention and its Protocol.83 The international protection framework of the Convention sets out the fundamental rights of refugees and related state obligations, including the prohibition of forcible return to a country where one’s life or freedom would be threatened (non-refoulement).84 States shall not return non-nationals to a country where there is a real risk of that person being subjected to torture or other cruel, inhuman or degrading treatment or punishment,85 risks of violations to the rights to life86 or to the integrity or freedom of the person,87 flagrant violation with respect to arbitrary

79 Entitled “Guidelines for the regulation of computerized personal data files 80 UN, Note by the Secretary-General, A/77/196*, Right to Privacy - Report prepared by the Special Rapporteur on the right to privacy, 20 July 2022. 81 See e.g., ODIHR, Policy Brief: Border Management and Human Rights - Collection, processing and sharing of personal data and the use of new technologies in the counter-terrorism and freedom of movement context (2021). 82 The right to leave any country may be subject to certain restrictions but only as far as the restrictions are provided by law, are necessary, proportionate and non-discriminatory; regarding the right to return to one’s own country, the ICCPR also underlined that the meaning of “own country” is broader than the concept “country of nationality” and embraces also non-nationals with special ties to the country, such as long-term residents; see UN Human Rights Committee, General Comment No. 27: Article 12 (Freedom of Movement), UN Doc. CCPR/C/21/Rev.1/Add.9, 2 November 1999, para. 20. See also the OSCE commitments on freedom of movement, Vienna 1989, para. 20. 83 The Convention relating to the Status of Refugees (1951), was adopted by the United Nations Conference of Plenipotentiaries on the Status of Refugees and Stateless Persons, held at Geneva from 2 to 25 July 1951. Ukraine acceded to the Convention on 10 June 2002. 84 Article 33 of the Convention relating to the Status of Refugees. The principle of non-refoulement is also enshrined in international human rights law, which prohibits the return of anyone to any country where he or she may be exposed to risks of torture or o ther serious human rights violations. The absolute prohibition of torture entails an absolute prohibition of refoulement to torture under all circumstances. For an overview see OHCHR “The Principle of non-refoulement under international human rights law”. 85 See the UN Convention Against Torture and Cruel, Inhuman or Degrading Treatment or Punishment (adopted on 10 December 1984, entered into force on 26 June 1987, Ukraine ratified the UN CAT on 24 February 1987), 1465 UNTS 85, Article 3; International Convention for the Protection of All Persons from Enforced Disappearance (adopted on 20 December 2006, entered into force on 23 December 2010, Ukraine acceded to the CRPD on 14 August 2015), 2716 UNTS 3, Article 16; Articles 2(1) and 7 of the ICCPR (see CCPR, General Comment no. 20 (1992), para. 9, which indicates that this obligation is reflected in Article 7 of the ICCPR, whilst General Comment no. 31 (2004), UN Doc. CCPR/C/21/Rev.1/Add.13, para. 12, recognizes the non-refoulement principle in Article 2 of the ICCPR). See also e.g., para. 31 of 2018 CCPR General Comment no. 36. 86 See e.g., UN Special Rapporteur on Counter-Terrorism and Human Rights, Annual Report: Ten areas of best practices in countering terrorism, UN Doc. A/HRC/16/51, 22 December 2010, para. 38 and Practice 10.5; and UN Secretary General, Report on the protection of human rights and fundamental freedoms while countering terrorism, A/63/337, 28 August 2008, para. 45. See also OHCHR, Technical Note on the Principle of Non-Refoulement under International Human Rights Law (2018), page 1; and CCPR, General Comment no. 31 (2004), para. 12. 87 Ibid. para. 45 (2008 UN Secretary General’s Report); and page 1 (2018 OHCHR Technical Note on Non-Refoulement). 20 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” imprisonment,88 enforced disappearance,89 risk of manifestly unfair trial,90 serious forms of sexual and gender-based violence,91 prolonged solitary confinement92 or other serious human rights violations93. In addition to their non-refoulement obligations under international refugee and human rights law, States Parties must also take into account the provisions of the UN Protocol to Prevent, Suppress and Punish Trafficking in Persons, especially Women and Children of 2000 to the UN Convention against Transnational Organized Crime94 (hereinafter “the UN Palermo Protocol”), in accordance with the saving clause in Article 14 (1) for victims of trafficking in persons.

2. BACKGROUND

53. As noted above, the Draft Law was developed as part of a comprehensive assessment of the transposition of European Union legal standards into the legislation of Ukraine. 54. Article 7 of the Law of Ukraine "On Combating Terrorism" authorizes the Antiterrorist Center at the Security Service of Ukraine to coordinate at the national level the implementation of the UN Security Council resolution on countering international terrorism, cooperation with special services, law enforcement bodies of foreign states and international organizations on countering terrorism and exchange of available passenger information on international flights. 55. For the purpose of implementation of the abovementioned regulation, the Security Service of Ukraine, together with other institutions of the security and defense sector, and international partners, including the OSCE’s Support Program to Ukraine, has developed the Draft Law of Ukraine “On the Usage of Passenger Information for Combating Terrorism, Serious and Especially Serious Crimes”.

3. COLLECTION, PROCESSING AND SHARING API/PNR DATA

Purpose Limitation

56. Article 2 of the Draft Law states the purpose of collecting API and PNR data. API data is collected to improve border control and combat “illegal migration”,95 whereas PNR is obtained for the purpose of combating international terrorism and other “serious” and

88 See e.g., European Court of Human Rights, Othman (Abu Qatada) v. United Kingdom,no. 8139/09, 17 January 2012, para. 233. 89 See Article 16 of the International Convention for the Protection of All Persons from Enforced Disappearance, adopted by the UN General Assembly by Resolution A/RES/61/177 of 20 December 2006 (which entered into force on 23 December 2010, Ukraine acceded to the Convention on 14 August 2015). 90 UN Secretary General, Report on the protection of human rights and fundamental freedoms while countering terrorism, A/63/337, 28 August 2008, para. 45; and OHCHR, Technical Note on the Principle of Non-Refoulement under International Human Rights Law (2018), p. 1. See also, European Court of Human Rights, Othman (Abu Qatada) v. United Kingdom (Application no. 8139/09, 17 January 2012), paras. 258-262. 91 Ibid. page 1 (2018 OHCHR Technical Note on Non-Refoulement). See also e.g., UN CAT Committee, Njamba and Balikosa v. Sweden, Communication no. 322/2007, 3 June 2010, para. 9.5; and CEDAW Committee, General Recommendation no. 32 (2014), para. 23. 92 UN Secretary General, Report on the protection of human rights and fundamental freedoms while countering terrorism, A/63/337, 28 August 2008, paras. 39 and 42; and ibid. page 1 (2018 OHCHR Technical Note on Non-Refoulement). See also e.g., CCPR, General Comment no. 20 (1994), para. 6. 93 UN Human Rights Committee, Kindler v. Canada, Communication no. 470/1991, at para. 13.2: “If a State party extradites a person within its jurisdiction in circumstances such that as a result there is a real risk that his or her rights under the Covenant will be violated in another jurisdiction, the State party itself may be in violation of the Covenant”; and ARJ v. Australia, UN Doc. CCPR/C/60/D/692/1996, 11 August 1997, para. 6.9, referring to risk of any serious human rights violation triggering non-refoulement obligations. 94 Protocol to Prevent, Suppress and Punish Trafficking in Persons Especially Women and Children, (hereinafter the “Palermo Protocol”) supplementing the United Nations Convention against Transnational Organized Crime. Protocol adopted by GA resolution 55/25 of 15 November 2000. 95 For the purpose of this Opinion, the term “illegal migration” is used in quotation marks to refer to the terminology used in EU Directives and Regulations, although noting that the use of the word “illegal” when referring to migrants negatively impacts the general public’s perception of migrants, risks legitimizing policies that are not in line with human rights guarantees and contributing to xenophobia and discrimination (see e.g., CoE, Expert Council on NGO Laws, Using Criminal Law to Restrict the Work of NGOs Supporting Refugees and Other Migrants in CoE Member States (2019), para. 131 (iii)). 21 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” “especially serious” crimes. The new EU API Regulation 2025/13 aims to establish clear, harmonised and effective rules at Union level on the collection and transfer of API data for the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crimes, while making it clear that the Regulation does not permit the collection or transfer of API data on intra-EU flights for the purpose of combating “illegal immigration”.96 57. The use of API data contemplated in the Draft Law is generally in line with international standards (border control and countering irregular migration),97 although to align with the new EU API Regulation 2025/13, the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crimes would need to be added. It would then also be made clear that the collection or transfer of API data on intra-EU flights for the purpose of combating “illegal immigration is prohibited. 58. At the same time, the purpose of processing PNR data envisaged in the Draft Law is drafted more broadly than what is recommended by international standards. According to UNSC Resolutions referred above, PNR data should only be processed for countering and investigating terrorist offences. The Standards of Annex 9 of the Chicago Convention and the EU PNR Directive expanded this scope to also include “serious crimes”, with the latter specifically listing the serious crimes for which PNR can be processed.98 The new EU API Regulation 2025/13 cross-refers to the list of serious crimes of Annex 2 of the EU PNR Directive. The Draft Law specifically also foresees the processing of PNR data to combat the “movement of persons involved in terrorist activities” (Article 2). This formulation is rather problematic and vague enough to increase the risk of having PNR data being used as a general immigration control measure, which would not be compliant with international standards. It is recommended to align the purpose of the PNR data collection, namely for the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crimes only, to prevent disproportionate data collection and it being used as a mass surveillance tool, exceeding the aims laid out in international standards. Though going beyond the scope of this Opinion, it is also fundamental to ensure that the respective criminal offences are clearly defined in line with international human rights standards, while strictly circumscribing each of the constitutive elements of the said serious crimes, to avoid potential for arbitrary application and overreach of the law.99 59. Moreover, the CJEU, in its judgment in the case of Ligue des droits humains ruled that EU Member States should ensure that their national implementations of the PNR Directive are effectively limited to combating terrorist offences and serious crimes “having an objective link, even if only an indirect one, with the carriage of passengers by air”.100 It should not be applied to combat ordinary crime.101 To address purpose limitation, the definitions of “serious and especially serious crimes” under Article 1 of the Draft Law should be clarified and narrowly drafted to meet the specificity requirements. It is noted that Article 3 (9) of the EU PNR Directive defines “serious crimes” as those mentioned in its Annex 2 and which are subject to a custodial sentence or detention for a maximum period of at least three years. While the Draft Law uses the

96 See new EU API Regulation 2025/13 on terrorist offences and serious crimes, Recitals 4 and 32. 97 In the Netherlands, the Royal Military and Border Police, which is tasked with border checks on individuals and combatting irregular migration, does not have access to PNR data. It only has access to API data. This is in line with the EU PNR Directive which allows for the processing of PNR data only for preventing, detecting, investigating prosecuting terrorist offences and serious crimes. International Experience and Good Practices in API/PNR Andrew Priestley, Marc Beauvais, 2021 p. 26. 98 EU PNR Directive (2016/681), Annex 2 lists the serious crimes. 99 On the definition of “terrorism”, see ODIHR Note on the Proposed Revision of the Definition of Terrorist Offences in Article 1 of the Council of Europe Convention on the Prevention of Terrorism (2023). 100 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para 157. 101 Court of Justice of the European Union, Press Release No: 105/22 https://curia.europa.eu/jcms/upload/docs/application/pdf/2022- 06/cp220105en.pdf 22 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” same list of “serious crimes” and specifies that this definition involves crimes with punishment of imprisonment for “more than five years (serious) and more than ten years (especially serious)”, it does not ensure that the scope is limited to those crimes “having an objective link, even if only an indirect one, with the carriage of passengers by air”. In order to establish an objective link, there need to be objective criteria to set up a connection between PNR data and combating serious crime and terrorist offences. While a direct link relates to “offences targeting the carriage of passengers by air as well as offences committed during or through travel by air”,102 an indirect link covers all situations where there is no direct link but where serious crime and terrorist offences may be prevented, detected, investigated or prosecuted with the help of processing PNR data of selected connections or flights, i.e., in particular, when air transport is used as a means of preparing such offences or evading criminal prosecution.103 It is therefore recommended to reduce the scope of the criminal offences for which the processing of PNR data (and API data in light of the new EU API Regulation 2025/13) may happen according to the Draft Law reflecting the direct or indirect link with the carriage of passengers by air. 60. Finally, it is also important to address the issue of personal data of third parties that may be collected. Such data only falls within the scope of the PNR Directive insofar as it relates directly to the flight operated and the passenger concerned, i.e., those related to the payment information and billing address of a person that purchased the ticket on behalf of the passenger insofar as it directly relates to the flight, and the contact details of a parent or guardian who is dropping off or picking up a passenger who is an unaccompanied minor.104 Otherwise, all other third-party personal data must be deleted immediately and permanently by the PIU upon receipt. It is recommended to supplement the Draft Law in this respect.

RECOMMENDATION A.1 It is recommended to align the purpose of the PNR data collection, namely for the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crimes only, to prevent disproportionate data collection and it being used as a mass surveillance tool, exceeding the aims laid out in international standards.

RECOMMENDATION A.2

To reflect in the Draft Law to delete other third-party personal data immediately and permanently by the PIU upon receipt.

Collection and Processing of API/PNR Data

61. A passenger data single window is a facility that allows parties involved in passenger transport by air to lodge standardized passenger information, such as API/PNR, through a single data entry point to fulfil all regulatory requirements relating to the entry and/or

102 See CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 155. 103 See European Data Protection Board (EDPB), Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025, para. 9. 104 See European Data Protection Board (EDPB), Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025, para. 5. 23 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” exit of passengers that may be imposed by various agencies of states. The single window concept places the onus on the authorities to manage the single window and to ensure that the participating authorities or agencies are either given access to the information or actually given the information by the managing authority. It eliminates the need for the traveller or transporter to submit the same data to several different border control agencies within the same state. 62. Article 5 of the Draft Law authorizes the centralized single window system to transmit API data to the National Center and PNR data to the National Contact Point (which is the Passenger Information Unit or “PIU” as referred to in Article 4 of the EU PNR Directive). The procedure for the operation of the single window is determined by several bodies, including state border protection body, the Antiterrorist Center at the Security Service and the central body in charge of civil aviation and use of airspace, in accordance with the procedure established by law. Whilst this approach appears to align with Standards 9.1 and 9.1.1 of Annex 9 to the Chicago Convention, such phrasing is open-ended, and does not require the necessary legal safeguards to be put in place, including that any procedure set up for the single window meets cybersecurity standards respecting passengers’ right to privacy. It is recommended to strengthen this provision by requiring compliance of the single window system with cybersecurity protection standards. 63. Articles 8 and 13 of the Draft Law concern the collection of API and PNR data respectively. The components of the PNR data largely matches the data listed in the EU PNR Directive. The only differences between the two are that the Draft Law requests the reservation identification number whereas this is not listed in the EU PNR Directive. Instead, the EU PNR Directive requests the PNR record locator. Secondly, the Draft Law requires extensive information concerning ticket payment, yet it does not include billing address which is exclusively required by the EU PNR Directive. Articles 8 and 13 include data fields (e.g. payment details) which may be excessive in view of Annex 9 to the Chicago Convention, Standard 9.22, which mandates data minimization. At the same time it is noted that the CJEU addressed the question of whether the data fields of the EU PNR Directive meet the requirements of clarity and precision and it viewed the data fields collected through the PNR Directive as of sufficiently clear and precise nature overall. It noted that certain data fields (namely information related to billing/payment, frequent flyer programs but also ‘general remarks’) need to be interpreted in accordance with specific considerations set out in the judgement of Ligues des droits humains.105 It is nonetheless recommended to ensure that data collection is limited to what is strictly required for the purpose of preventing, detecting, investigating and prosecuting terrorism and serious crimes in line with the principle of data minimization and to provide an explicit stipulation about the duty to immediately and permanently delete data that is outside of the prescribed categories in the Draft Law. 64. According to Article 6 (1) of the EU PNR Directive, airlines may collect certain information for their services (such as special food requests – halal meat, kosher food – or special health requests –insulin pump, oxygen tank etc.) which is ‘sensitive data’ that potentially reveals ethnic/“racial” origin, religion or health status and should therefore not be processed as part of the PNR data. Such information should be immediately and permanently deleted and it is recommended to supplement the Draft Law in this respect.106

105 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras 126-140. 106 International Experience and Good Practices in API/PNR Andrew Priestley, Marc Beauvais, 2021 p.39 24 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

RECOMMENDATION B. To ensure that data collection is limited to what is strictly required for the purpose of preventing, detecting, investigating and prosecuting terrorism and serious crimes in line with the principle of data minimization and to provide an explicit stipulation about the duty to immediately and permanently delete data that is outside of the prescribed categories in the Draft Law, including any sensitive data.

Automated Processing

65. According to Article 18 of the Draft Law, the data entered into the National PNR Processing System shall be automatically compared with the relevant data of automated information and reference systems, registers and data banks, which are managed by state bodies or operators, to which the National Contact Point has access. The latter body is the “PIU as defined by the EU PNR Directive according to which the PIU is in charge of collecting PNR data from airlines, comparing PNR data against relevant law enforcement databases and processing them against pre-determined criteria, to identify persons potentially involved in a terrorist offence or serious crime, and disseminating PNR data to national competent authorities, Europol, and PIUs of other EU countries, either spontaneously or in response to duly reasoned requests. This is in line with the definition in Article 1 of the Draft Law. Article 18 also provides that the matches obtained as a result of the preliminary automated comparison are subject to mandatory individual verification by the National Contact Point staff. 107 It further clarifies that personal data is processed in compliance with the requirements of the Law of Ukraine “On Personal Data Protection”. 66. It is important that the Draft Law includes additional and sufficient safeguards with respect to the automated processing of data. The EU PNR Directive requires that “…the competent authorities shall not take any decision that produces an adverse legal effect on a person or significantly affects a person only by reason of the automated processing of PNR data” and that such “decisions shall not be taken on the basis of a person's race or ethnic origin, political opinions, religion or philosophical beliefs, trade union membership, health, sexual life or sexual orientation”.108 The CJEU has also specified that the automated processing when an advance assessment of PNR data is carried out must be limited and accompanied by several safeguards. Indeed, high error rates may result from automated systems which create false positives, thereby disproportionately affecting innocent passengers.109 67. Article 8 of EU Regulation 2025/13 and Article 21 of the EU Charter of Fundamental Rights require that the collection and processing of passenger data by air carriers and competent authorities shall not result in discrimination against persons on the grounds of sex, race, colour, ethnic or social origin, genetic features, language, religion or other

107 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 152. see also: EU PNR Directive (2016/681), Article 6 (5). The EU PNR Directive for example provides that EU Member States ensure that any positive match resulting from the automated processing of PNR data is individually reviewed by non-automated means to verify whether the competent authority needs to take action under national law. 108 EU PNR Directive (2016/681), Article 7(6). 109 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 106, 123-124. 25 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” belief, political opinion, membership of a national minority, property, birth, disability, age or sexual orientation. 68. Therefore, the non-automated review should aim to exclude any discriminatory results.110 The Draft Law should also make it clear that the PIU shall not transfer the results of those automated processing operations to the competent authorities when they conclude, following that review, that they do not have anything capable of giving rise, to the requisite legal standard, to a reasonable suspicion of involvement in terrorist offences or serious crime in respect of the persons identified by means of those automated processing operations or when they have reason to believe that those processing operations lead to discriminatory results.111 States must ensure that the PIU establishes, in a clear and precise manner, objective review criteria enabling PIU agents in charge of individual review to verify, on the one hand, whether and to what extent a positive match concerns effectively an individual who may be involved in the terrorist offences or serious crime and must, therefore, be subject to further examination by the competent authorities referred to Article 7 of the EU PNR Directive, as well as, on the other hand, the non- discriminatory nature of automated processing operations and, in particular, the pre- determined criteria and databases used.112 Where applicable, PIU should give preference to the result of the individual review conducted by non-automated means by the PIU over that obtained by automated processing.113 It is also important to provide for “…clear and precise rules capable of providing guidance and support for the analysis carried out by the agents in charge of the individual review, for the purposes of ensuring full respect for the fundamental rights enshrined in Articles 7, 8 and 21 of the Charter and, in particular, guarantee a uniform administrative practice within the PIU that observes the principle of non-discrimination.”114 Finally, states are required to ensure that the PIUs maintain documentation relating to all processing of PNR data carried out in connection with the advance assessment, including in the context of the individual review by non- automated means, for the purpose of verifying its lawfulness and for the purpose of self-monitoring.115 69. ICAO standards also have concrete safeguards against automated processing of personal data.116 These standards require that automated processing of PNR data should be based on objective, precise, specific criteria that effectively indicate the existence of a risk without leading to unlawful differentiation and that decisions that produce significant adverse actions affecting the legal interests of individuals are not based solely on the automated processing of PNR data. 70. It is recommended that Article 18 of the Draft Law reflect the above-mentioned safeguards explicitly and require that any pre-established criteria against which PNR data are compared do not lead to unlawful differentiation and ensure that discriminatory results are excluded. Moreover, it is recommended that a safeguard clause concerning asylum applications is included in this provision in line with the Preamble of the EU PNR Directive, which states that “[t]he result of processing PNR

110 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 203. 111 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 204. 112 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 206. 113 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 208. 114 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 205. 115 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 202-212. 116 ICAO Annex 9, Article 9.28. 26 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” data should in no circumstances be used by Member States as a ground to circumvent their international obligations under the Convention of 28 July 1951 relating to the Status of Refugees as amended by the Protocol of 31 January 1967, nor should it be used to deny asylum seekers safe and effective legal avenues into the territory of the Union to exercise their right to international protection”.117

RECOMMENDATION C. To reflect in Article 18 of the Draft Law that: - The non-automated review should exclude any discriminatory results - The PIU shall not transfer the results of those automated processing operations to the competent authorities when they conclude, following that review, that they do not have anything capable of giving rise, to the requisite legal standard, to a reasonable suspicion of involvement in terrorist offences or serious crime in respect of the persons identified by means of those automated processing operations or when they have reason to believe that those processing operations lead to discriminatory result - The PIU establishes, in a clear and precise manner, objective review criteria enabling PIU agents in charge of individual review to verify, on the one hand, whether and to what extent a positive match concerns effectively an individual who may be involved in the terrorist offences or serious crime and must, therefore, be subject to further examination by the competent authorities referred to Article 7 of the EU PNR Directive, as well as, on the other hand, the non-discriminatory nature of automated processing operations and, in particular, the pre-determined criteria and databases used - Any pre-established criteria against which PNR data are compared do not lead to unlawful differentiation and ensure that discriminatory results are excluded - A safeguard clause concerning asylum applications is included in this provision

Data Sharing with Authorized Bodies

71. Article 19 regulates the sharing of API/PNR data with the “authorised bodies” in Ukraine. The Draft Law defines these bodies quite broadly (under Article 1), without naming any specific institutions. However, according to the EU PNR Directive, states should adopt a list of the competent authorities entitled to request or receive PNR data or the result of processing those data from the PIU in order to examine that information further or to take appropriate action for the purposes of preventing, detecting, investigating and prosecuting terrorist offences or serious crime.118 It is therefore advised that the Draft Law explicitly lists the authorized bodies either in the Draft Law, or as and annex to the Draft Law or refers to the relevant legislation which regulate these authorized bodies.

117 EU PNR Directive, Preamble Para 21 118 EU PNR Directive Article 7 (1). 27 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” 72. With respect to duly reasoned request based on sufficient grounds from the competent authorities to provide and process PNR data in specific cases for the purposes of preventing, detecting, investigating and prosecuting terrorist offences or serious crime – as envisaged in Article 6 (2) (b) of the EU PNR Directive, the CJEU stated that “it is essential that disclosure of PNR data for the purposes of subsequent assessment be, as a general rule, except in the event of duly justified urgency, subject to a prior review carried out either by a court or by an independent administrative authority”.119 To prevent the unlimited use of the data for the purpose of law enforcement, this independence is indeed essential. As underlined by the European Data Protection Board (hereinafter “EDPB”), “leaving the prior review to an independent officer or staff of a specific section within an administrative authority, that is not independent in itself, would in principle not be in line with what the CJEU Judgment envisaged in terms of independence. The same would apply to an independent officer or staff of a specific section within the authority involved in the conduct of the criminal investigation.”120 The Draft Law should further elaborate the mechanisms of independent review prior to responding to duly reasoned requests from competent authorities for the purposes of preventing, detecting, investigating and prosecuting terrorist offences or serious crime. 73. Article 16 (5) tasks the PNR Processing System with recording of all access to PNR data. However, this clause should be further elaborated. As per the EU PNR Directive, states shall keep records of at least the collection, consultation, disclosure and erasure (of PNR data). The records of consultation and disclosure should include, in particular, the purpose, date and time of such operations and, as far as possible, the identity of the person who consulted or disclosed the PNR data and the identity of recipients of those data. The records shall be used solely for the purposes of verification, of self-monitoring, of ensuring data integrity and data security or of auditing. The PIU shall make the records available, upon request, to the ‘national supervisory authority’.121 Accordingly the Draft Law should reflect a more detailed stipulation of the information to be collected with respect to access to PNR data in paragraph 5 of Article 16. 74. Article 11 (4) of the Draft Law makes a reference to registration of all cases of obtaining access to API data by the National API Processing System. Whilst it is a good practice to keep logs of all processing operations relating to API data, it should elaborate further on the manner of keeping of logs. As per the new EU API Regulation 2025/13 on terrorist offences and serious crimes, the logs shall cover date, time, place of transfer of API data.122 Logs should not contain any personal data other than information to identify the staff member of the body in charge of API processing. The logs should only be used for ensuring the security and integrity of the API data and the lawfulness of the processing, and they should be accessible to national data protection supervisory authorities.123

119 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 223. See also EDPB, Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025, paras. 25-26. 120 EDPB, Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025, para. 24. 121 EU PNR Directive, Article 13 (6). 122 See new EU API Regulation 2025/13 on terrorist offences and serious crimes, Article 17. 123 https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52022PC0729 Article 13 28 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

RECOMMENDATION D To explicitly list the authorized bodies either in the Draft Law, or as and annex to the Draft Law or make a refence to the relevant legislation which regulate these authorized bodies and to elaborate the mechanisms of independent review prior to responding to duly reasoned request from competent authorities for the purposes of preventing, detecting, investigating and prosecuting terrorist offences or serious crime.

Data Retention

75. Articles 9 and 17 of the Draft Law concern retention of API and PNR data, respectively. According to Article 9, API data should be retained as temporary files, and the National Centre for API Data Processing on International Flights (“National API Processing Centre”) must delete data within 24 hours after transmission. It also provides that air carriers must delete the data within 24 hours of arrival. These are in line with the existing EU API Directive. It should be noted that the new EU API Regulations extend these timelines from 24 to 48 hours.124 76. Article 17 of the Draft Law mandates the retention of PNR data for five years after its collection. After six months from the moment of collection by the National Contact Point certain data must be depersonalized. Article 17 also includes a clause allowing a deviation from the standard timelines as provided in Annex 9 to the Chicago Convention recommended practices 9.32 and 9.33, when required in the course of an investigation, prosecution or court proceeding.125 The EU PNR Directive expands the abovementioned grounds by including prevention and detection of terrorist offences or serious crimes as well, stating that “Member States shall ensure that the PNR data are deleted permanently upon expiry of the period referred to in paragraph 1. This obligation shall be without prejudice to cases where specific PNR data have been transferred to a competent authority and are used in the context of specific cases for the purposes of preventing, detecting, investigating or prosecuting terrorist offences or serious crime, in which case the retention of such data by the competent authority shall be regulated by national law”.126 77. There is no consistent policy regarding the maximum retention period for API or PNR data across the OSCE region. The Consultative Committee to Convention 108 emphasized that data retention periods should be clearly defined and limited to what is strictly necessary for the intended purpose. While the Committee acknowledged that anonymizing passenger data after a certain period can reduce some risks associated with prolonged retention, it pointed out that such anonymized data can still allow for the identification of individuals. As a result, this data remains personal data and must adhere to appropriate retention limits to prevent long-term surveillance. Additionally, the collection of health data alongside other personal information could raise further human rights concerns for international travellers by air, land, and sea.127

124 Article 8 of the new EU API Regulation 2025/12 and Article 6 of the new EU API Regulation 2025/13 on terrorist offences and serious crimes. 125 ICAO Annex 9 – Article 9.32 126 EU PNR Directive Article 12 (4) 127 ODIHR, Policy Brief: Border Management and Human Rights - Collection, processing and sharing of personal data and the use of new technologies in the counter-terrorism and freedom of movement context, 2021, p. 14. 29 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” 78. While Article 12 of the PNR Directive refers to a retention period of five years, the retention of PNR data pursuant to Article 12 cannot be justified in the absence of an objective connection between that retention and the objectives pursued by the PNR Directive.128 The CJEU has held in its caselaw that the retention period of five years “…read in conjunction with Articles 7 and 8 as well as Article 52(1) of the Charter of Fundamental Rights, must be interpreted as precluding national legislation […], applicable indiscriminately to all air passengers, including those for whom neither the advance assessment […] nor any verification carried out during the period of six months referred to in Article 12 (2) of the said directive nor any other circumstance have revealed the existence of objective material capable of establishing a risk that relates to terrorist offences or serious crime having an objective link, even if only an indirect one, with the carriage of passengers by air”.129 As underlined by the European Data Protection Board, it is thus “precluded to set a general retention period going beyond the initial period of six months” and after the initial period of six months, “individual PNR data sets may only be processed if for the respective data sets there is objective material capable of establishing a connection with the objectives pursued by processing under the PNR Directive, and only as long as it is necessary and proportionate”.130 79. Therefore, Article 17 of the Draft Law should be amended to provide for a general retention period of six months, which may be expanded to up to five years when there exists objective material capable of establishing a risk that relates to terrorist offences or serious crime having an objective direct or indirect link with the carriage of passengers by air – while retaining the above-mentioned exceptions. Moreover, a standard clause that the PNR data should be deleted after the retention period should also be included.

International Co-operation

80. Article 24 of the Draft Law explicitly links data sharing to international treaties ratified by Ukraine. This emanates from Standard 9.25 of Annex 9 to the Chicago Convention. As noted above, under EU law, transfers of PNR data to third countries must ensure an equivalent level of data protection to that provided under EU law, be based on agreements or adequacy decisions under the GDPR framework and states must limit transfers to cases where the receiving state will use the data exclusively for combating terrorism or serious crime. Before transferring PNR data, it is also fundamental that an assessment be made of the recipient country’s record on human rights and data protection, as well as of the legal safeguards and institutional controls and oversight that govern the authority receiving such data.131 As noted above, there should also be a clear undertaking not to transfer such PNR data which is likely to be used for purposes that violate human rights. Data-sharing agreements with countries lacking robust personal data and human rights

128 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 299. See also EDPB, Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025, para. 30. 129 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 299. 130 See EDPB, Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025, para. 29. 131 See e.g., as a comparison, UN Special Rapporteur on the protection and promotion of human rights while countering terrorism, Compilation of Good Practices on Legal and Institutional Frameworks and Measures that Ensure Respect for Human Rights by Intelligence Agencies while Countering Terrorism (2010), Practice 33; see also ODIHR, Guidelines on Addressing the Threats and Challenges of “Foreign Terrorist Fighters” (2018), page 43. 30 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” protections or unclear safeguards contravene EU data protection standards132 and international human rights obligations, more generally. 81. Where such adequate data protection standards and safeguards are lacking, this could prove to be an obstacle to information sharing between OSCE participating States. Sharing of PNR data across borders will only be lawful if the standards of privacy and data protection are safeguarded in both the sending and the receiving country. As noted in the ODIHR Policy Brief: Border Management and Human Rights, “…sharing of data under such [in the absence of guarantees] circumstances not only undermines data protection standards but could also result in other human rights violations (e.g., undue restrictions on freedom of movement, discrimination, unlawful detention or inhuman and degrading treatment or punishment) where human rights protections are inadequate in the receiving country. This could put not only the individual traveller at risk but also their families or associates.”133 Sharing of this data can put refugees and asylum seekers at particular risk, if as a result, they are prevented from leaving their or another country. Therefore, when developing and implementing API and PNR systems, states need to put in place effective human rights safeguards to protect individuals from being wrongfully placed under suspicion for involvement in terrorism or other crimes. 82. Before entering into agreements for sharing of API and PNR data, states must ascertain that privacy and data protection, as well as other human rights safeguards, are fully in place and respected in partner countries with which such information is sought to be shared.134 These safeguards to ensure equivalent protection for data shared with third countries are not reflected in Article 24. It is therefore recommended to supplement Article 24 of the Draft Law to provide that before entering into an API/PNR data sharing agreement, or sharing such data on an ad hoc basis, an assessment should be made of the counterpart’s record on human rights and data protection, as well as of the legal safeguards and institutional controls that govern the recipient authority, to ensure that the third country meet equivalent protection standards. This agreement should also be re-assessed regularly or as warranted.

RECOMMENDATION E. To provide in Article 24 of the Draft Law that before entering into an API/PNR data sharing agreement, or sharing such data on an ad hoc basis, an assessment should be made of the counterpart’s record on human rights and data protection, as well as of the legal safeguards and institutional controls that govern the recipient authority, to ensure that the third country meets equivalent protection standards. This agreement should also be re-assessed regularly or as warranted.

4. NON-DISCRIMINATION

83. PNR data contain detailed information that may reveal sensitive personal data, such as ethnicity, political opinions, religion, health, or sexual orientation, which could expose

132 For detailed discussion, see: CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 183-192; Special Rapporteur on the Promotion and Protection of Human Rights and Fundamental Freedoms while Countering Terrorism, Response to Call for Input by OHCHR on Privacy in Digital Age, p. 6-8. 133 ODIHR, Policy Brief: Border Management and Human Rights - Collection, processing and sharing of personal data and the use of new technologies in the counter-terrorism and freedom of movement context, 2021, p. 15. 134 ODIHR, Policy Brief: Border Management and Human Rights - Collection, processing and sharing of personal data and the use of new technologies in the counter-terrorism and freedom of movement context, 2021, p. 15. 31 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” certain individuals to discrimination or human rights violations. Even when legislation prohibits the processing of sensitive data, there is still a risk that conclusions could be drawn indirectly, such as inferring someone’s religious beliefs from meal preferences or political views from travel patterns. Sharing API or PNR data in advance could also lead to restrictions on the freedom of movement, particularly for political dissidents or asylum seekers.135 Standard 9.30 of Annex 9 to the Chicago Convention provides that states shall not use PNR data revealing an individual’s “racial” or ethnic origin, political opinions, religious or philosophical beliefs, trade union membership or data concerning their health, sexual life or sexual orientation, other than in exceptional and immediate circumstances to protect the vital interests of the data subject or of another natural person. 84. As noted, the EU PNR Directive obliges designated national security authorities, the PIUs, to automatically process PNR data against pre-existing databases and so-called “pre-determined criteria” criteria (Article 6 (3) (a) and (b) of the EU PNR Directive). Therefore, other than detecting the cross-border movement of known persons, PNR data is also used to identify as yet unknown threats by processing passengers’ data against pre- determined criteria, which are specific risk indicators. The latter are essentially algorithms which contain “search criteria, based on the past and ongoing criminal investigations and intelligence, which allow to filter out passengers [who correspond] to certain abstract profiles […]”.136 These pre-determined criteria serve to “identify persons involved in criminal or terrorist activities who are, as of yet, not known to the law enforcement authorities.”137 These criteria are set by the PIUs and updated based on new data and patterns available in the system. The automated processing of data has many implications for the right to privacy and right to data protection as also has been acknowledged by the CJEU.138 85. The CJEU has highlighted the risk of discrimination in this respect. While the PNR Directive acknowledges such risks in Article 6 (4), the CJEU in the Ligues droits humains case emphasised that that provision covers both direct and indirect discrimination.139 This is particularly important because pre-established criteria may rely on seemingly harmless personal information, which could nonetheless serve as indirect indicators of prohibited traits. For instance, a person’s address might be used as a proxy for their religion, “race”, or ethnic background. As noted above, the CJEU held that algorithms need to be targeted, proportionate, and specific ensuring they are non-discriminatory.140 This principle has broader significance, particularly in the field of migration. The Court noted that high false-positive rates, seen in statistics from EU Member States, could compromise the system’s appropriateness and proportionality.141 Therefore, the CJEU emphasized the importance of regularly reviewing the strict necessity of the pre-determined criteria.142 It

135 ODIHR, Policy Brief: Border Management and Human Rights - Collection, processing and sharing of personal data and the use of new technologies in the counter-terrorism and freedom of movement context, 2021, p. 15. 136 European Commission, Report from the Commission to the European Parliament and the Council on the review of Directive 2016/681 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime {COM(2020) 305 final}, 24 July 2020 p. 11 footnote 36. 137 European Commission, Report from the Commission to the European Parliament and the Council on the review of Directive 2016/681 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime {COM(2020) 305 final}, 24 July 2020 p. 24. 138 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022. In para 103 the CJEU notes with references to previous caselaw that “Against this background, it should be borne in mind that the Court has already held that the extent of the interference which automated analyses of PNR data entail in respect of the rights enshrined in Articles 7 and 8 of the Charter essentially depends on the pre-determined models and criteria and on the databases on which that type of data processing is based (Opinion 1/15 (EU-Canada PNR Agreement) of 26 July 2017, EU:C:2017:592, paragraph 172).” 139 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 197. 140 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 198. 141 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 123. 142 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 201. 32 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” also noted that EU Member States should establish clear and precise rules that provide guidance for the individual review process with a view to prevent both discriminatory outcomes and erroneous matches from being passed on to the relevant authorities, which could unjustly subject passengers to suspicion of involvement in terrorism or serious crimes. Furthermore, as underlined above, the Court also emphasized that the findings from individual human reviews should take precedence over those generated by automated systems.143 86. The legal drafters should put in place effective human rights safeguards to protect passengers from being wrongfully placed under suspicion for involvement in terrorism or other serious crimes and refrain from discriminatory profiling on the basis of PNR data. In listing the tasks of the National Contact Point, Article 15 of the Draft Law makes a reference to “monitoring, processing and analyzing passenger check- in record […] data in order to update, update, create (cancel) risk profiles or criteria for identifying persons who may be involved in terrorist activities”. It is important that these criteria and profiles are targeted, proportionate and specific and for the Draft Law to reflect these requirements. The Draft Law should mandate the relevant authorities to provide necessary guidance for individual reviews to prevent discriminatory results. These criteria should be regularly reviewed and shall in no circumstances be based on a person’s “race” or ethnic origin, political opinions, religion or philosophical beliefs, trade union membership, health, sexual life or sexual orientation.144 An explicit reference thereto should be made in Article 15 of the Draft Law. Similar considerations should apply to databases and watchlists with a view to ensure transparency in the watchlist criteria and to ensure redress is provided for wrongful inclusion. The criteria for including individuals on such lists must be clearly defined based on a narrow and precise definition of terrorist offences and serious crimes. Also, stringent procedural safeguards must be in place to protect against arbitrariness, in particular effective remedies to challenge wrongful listing, as well as effective measures to secure delisting in practice, also when watchlists or data are shared transnationally. 87. The Draft Law also lacks an explicit provision to safeguard against indirect discrimination in data analysis. Profiling based on correlated attributes, such as travel history, nationality, or other patterns, could inadvertently result in biased outcomes disproportionately impacting certain groups. This risks undermining the principles of equality and the right to non-discrimination under Article 26 of the ICCPR, Article 14 of the ECHR and Protocol 12 to the ECHR and Article 21 of the EU Charter. In this regard, the Draft Law should include an explicit reference to the prohibition of indirect discrimination by and through data processing. 88. Generally, the authorities are strongly encouraged make sure that those processing API/PNR data receive adequate human rights training and are sensitized to potential human rights implications of the systems. 89. Finally, Article 16 lists the tasks of the National PNR Processing System. Paragraph 4, includes a general non-discrimination clause. Whilst this is welcome, the non- discrimination clause could also include a reference to trade union membership and health of the passenger, as it is the case in ICAO and EU PNR Directive standards.145

143 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 205-208. 144 Article 6 (4) of the EU PNR Directive. 145 EU PNR Directive Preamble para 15, ICAO Annex 9 Article 9.30 b) 33 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes”

RECOMMENDATION F. To put in place effective human rights safeguards to protect passengers from being wrongfully placed under suspicion for involvement in terrorism or other serious crimes and refrain from discriminatory profiling on the basis of PNR data in listing the tasks of the National Contact Point in Article 15. Risk criteria and profiles need to be targeted, proportionate and specific and should mandate the relevant authorities to provide necessary guidance for individual reviews to prevent discriminatory results.

5. DUTY TO INFORM AND SECURITY OF PERSONAL DATA

90. The GDPR, EU PNR Directive, modernised Convention 108 (not yet ratified by Ukraine) and other relevant instruments all highlight the right to data protection. One of the key rights is to be informed about the processing of one’s own data. Article 22 of the Draft Law entrusts air carriers with the duty to inform passengers about the processing of their data. However, it is also a state’s responsibility to inform passengers on the processing of their personal data and the access to their data. The EU PNR Directive stipulates that “Member States should ensure that passengers are provided with accurate information that is easily accessible and easy to understand about the collection of PNR data, their transfer to the PIU and their rights as data subjects”.146 It is therefore recommended that the Draft Law mandates an approach whereby passengers are informed about the processing of their personal data in a clear and simple language they understand. 91. A central provision in the Draft Law is Article 22, which concerns the protection of personal data. It provides that the record keeping of processing operations (collection, retention, review, disclosure and deletion) is ensured by the National Center (for API data) and the National Contact Point (for PNR data). The provision entrusts the National Centre and the National Contact Point with the ‘security’ of personal data. In case of a violation, these authorities are tasked with informing the Human Rights Commissioner and the data subject. This is in line with international and European standards, particularly Article 13 (8) of the EU PNR Directive. 92. However, as per ICAO standards, states have further obligations on personal data protection, especially with respect to the data subjects’ rights. In this respect, Article 8 of the modernized CoE Convention 108 provides for clear obligations for public authorities to respond to requests concerning the existence of personal data, to communicate the data to the data subject, to rectify or erase in case of an unlawful collection/processing,147 though there are exceptions in the interests of “protecting state security”. These standards

146 EU PNR Directive Preamble, para. 29. For example, the Netherlands Government has a dedicated webpage, giving an overview in a simple, non-technical language on how passenger data is collected/used by different government agencies, as well as data protection aspects. It also provides information for passengers who wish to access this data, gives an information on how it can be appealed/ deleted (see Government of the Netherlands, Air passenger travel information https://www.government.nl/topics/aviation/air-passenger-travel-information). In Canada, the processing of API/PNR data is regulated by Customs Act, Privacy Act, Passenger Information Regulation along with other regulations. The main domestic authority collecting API/PNR data is the Canada Border Services Agency (CBSA). The Agency published Guidelines for the access to, use, and disclosure of API and PNR data and pre-departure air exit information, which exhibits good practices, especially with respect to data subject’s access to personal data; see Government of Canada, Guidelines for the access to, use, and disclosure of advance passenger information (API), passenger name record (PNR) data and pre-departure air exit information, paras. 42-43. 147 Article 8 of the modernized CoE Convention 108 states that: “Any person shall be enabled: a) to establish the existence of an automated personal data file, its main purposes, as well as the identity and habitual residence or principal place of business of the controller of the file; b) to obtain at reasonable intervals and without excessive delay or expense confirmation of whether personal data relating to him are stored in the automated data file as well as communication to him of such data in an intelligible form; c) to obtain, as the case may be, rectification or erasure of such data if these have been processed contrary to the provisions of domestic law giving effect to the basic principles set out in Articles 5 and 6 of this Convention; d) to have a remedy if a request for confirmation or, as the case may be, communication, rectification or erasure as referred to in paragraphs b and c of this article is not complied with”. 34 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” are not only recognized by the CoE Convention, but also the international soft-law instruments such as the 1988 UN Guidelines for the Regulation of Computerized Personal Data Files (Principle 4) and The Tshwane Principles (Part III).148 Unless already sufficiently addressed in the Law of Ukraine on the Protection of Personal Data, the Draft Law would be substantially strengthened by explicitly reflecting such data protections rights. 93. It is good practice that Article 21 of the Draft Law foresees the appointment of PNR data protection officers. However, this provision should be strengthened and brought in line with the above standards. Firstly, as per the EU PNR Directive, data protection officers should be provided with the means to perform their duties and tasks effectively and independently.149 It is recommended that a similar clause is inserted in the Draft Law to ensure effective and independent work of the data protection officers. Secondly, the EU PNR Directive requires that states ensure “that a data subject has the right to contact the data protection officer, as a single point of contact, on all issues relating to the processing of that data subject's PNR data”.150 In the absence of such a clause in the Draft Law, it is recommended to provide a means by which data subjects can reach data protection officers directly. 94. While Article 21 of the Draft law notes that the data protection officers have access to all data processed in the PNR data collection system of the PNR PS, the CJEU specified that “while the data protection officer has access to all data processed by the PIU, that access must necessarily cover the pre-determined criteria and databases used by that unit in order to guarantee effectiveness and a high level of data protection that that officer must ensure in accordance with recital 37 of that directive”.151 95. The last paragraph of Article 21 of the Draft Law states that the PNR data protection officers ‘interact’ with the Commissioner of Human Rights of the Verkhovna Rada of Ukraine. However, it is unclear what is meant by ‘interact’. It should be clarified that the PNR data protection officers can report to the Commissioner directly and in confidentiality, and that they can refer cases to the Commissioner and undertake other actions.

RECOMMENDATION G. To clarify in Article 21 of the Draft Law that the PNR data protection officers can report to the Commissioner directly and in confidentiality, and that they can refer cases to the Commissioner and undertake other actions.

148 See also OSCE PA Ad Hoc Committee on Countering Terrorism ‘ Strengthening Border Security and Information Sharing in the OSCE Region – A Parliamentary Oversight Exercise’ p. 13. For example, in Germany, data processing of API is stipulated under the legal provisions contained in the Federal Police Act. Data requests are logged, and the processing of API data is subject to ongoing audits and specialist supervision. It also includes strict regulations for the protection of personal data (e.g., regarding the involvement of the Federal Commissioner for Data Protection and Freedom of Information, the depersonalization of passenger data along with data logging) which must be complied with when processing passenger data. 149 Article 5 (2) of the EU PNR Directive. 150 Article 5 (3) of the EU PNR Directive. 151 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 212. 35 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” 6. INDEPENDENT OVERSIGHT

96. According to ICAO standards, states shall designate one or more competent domestic authorities with the power to conduct independent oversight of the protection of PNR data and determine whether PNR data are being collected, used, processed, and protected with full respect of human rights and freedoms.152 Similarly, as per the EU PNR Directive, the EU Member States shall establish a ‘National Supervisory Authority’ with a view to protecting fundamental rights in relation to the processing of personal data (see also Articles 51-59 of the GDPR and Article 15 Modernized Convention 108). Such a body should be structurally and operationally independent as per Articles 51 and 52 of the GDPR, deal with complaints lodged by any data subject, investigate the matter and inform the data subjects of the progress and the outcome of their complaints within a reasonable time period and verify the lawfulness of the data processing, conduct investigations, inspection and audits in accordance with national law, either on its own initiative or on the basis of a complaint. Any data subject should also be informed on the exercise of their rights.153 97. Article 23 of the Draft Law designates the Human Rights Commissioner of the Verkhovna Rada of Ukraine as the supervisory body. However, beyond the stipulations in the Draft Law, it is important that the Commissioner has the legal mandate, sufficient technical, human and financial resources and powers to effectively carry out the oversight of the National Centre and the National Contact Point, as laid out in the PNR Directive. It is recommended that these aspects be incorporated in the Law governing the Human Rights Commissioner, with an appropriate reference included in the Draft Law. Further, since Article 23 of the Draft Law refers to parliamentary control of the compliance of the Draft Law with data protection regulations, it raises the question of whether the Human Rights Commissioner acts as an independent supervisory body in accordance with Article 52 of the GDPR. The latter provides, amongst others, that “each supervisory authority shall act with complete independence in performing its tasks and exercising its powers in accordance with this Regulation” and that “[t]he member or members of each supervisory authority shall, in the performance of their tasks and exercise of their powers in accordance with this Regulation, remain free from external influence, whether direct or indirect, and shall neither seek nor take instructions from anybody…”. It is therefore recommended to ensure that any oversight of compliance with data regulation is carried out independently by the authorized body, which is granted the necessary resources and powers to fulfil its mandate in a manner consistent with international instruments. 98. Finally, Article 77 of the GDPR provides that every data subject shall have the right to lodge a complaint with a supervisory authority. Such a safeguard is not foreseen in the Draft Law. It is recommended to include this complaint mechanism explicitly in the Draft Law and to reflect this mechanism in the Law governing the Human Rights Commissioner. 99. In that regard, it is noted that the CJEU in the Ligue des droits humains case held that according to the EU PNR Directive, the national supervisory authority ensures the monitoring of the lawfulness of the automated processing carried out by the PIU in connection with the advance assessment. This monitoring covers, inter alia, whether those operations are not discriminatory. While the provisions concerning data protection officers state they have access to all data processed by the PIU, and that such access must necessarily cover the pre-determined criteria and databases used by that unit in order to

152 ICAO Annex 9 , Article 9.29. 153 Article 15 of the EU PNR Directive. 36 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” guarantee effectiveness and a high level of data protection that these officers must ensure, similarly, the investigations, inspections and audits that the national supervisory authority conducts pursuant to the relevant provisions of the EU PNR Directive may also concern those pre-determined criteria and those databases.154 Accordingly, the Human Rights Commissioner should be given full and unhindered access to all information processed by the PIU as well as pre-determined criteria and databases to be able to fulfil its mandate.

RECOMMENDATION H. To ensure that any oversight of compliance with data regulation is carried out independently by the authorized body, which is granted the necessary resources and powers to fulfil its mandate in a manner consistent with international instruments and to ensure that this body, or the Human Rights Commissioner, be given full and unhindered access to all information processed by the PIU as well as pre-determined criteria and databases to be able to fulfil its mandate.

7. APPEALS MECHANISMS AND JUDICIAL REVIEW

100. In addition to the right to file a complaint with the supervisory authority, individuals are entitled to an effective judicial remedy, allowing them to take their case regarding potential data protection breaches to court. The right to seek legal recourse is recognized in both Article 47 of the EU Charter of Fundamental Rights and Article 13 of the ECHR. Article 78 of the GDPR provides the right to an effective judicial remedy against a supervisory authority which in particular, guarantees a right of judicial review against the decisions of data protection authorities. Standard 9.26 of Annex 9 to the Chicago Convention calls on states to provide for administrative and judicial redress mechanisms to enable individuals to seek a remedy for the unlawful processing of PNR data by public authorities and provide for appropriate mechanisms, established by their legal and administrative framework, for individuals to obtain access to their PNR data and to request, if necessary, corrections, deletions, or notations.155 101. Article 26 of the Draft Law provides that actions or decisions of the National Center, the National Contact Point or authorized bodies may be challenged in court, though there are no references to the particular competent court(s) nor to the relevant procedure. A cross- reference to applicable legislation and procedure could be included in this provision, unless sufficiently provided in the Ukrainian Law on the Protection of Personal Data, a reference to which could then be included in this provision. 102. For the right to judicial redress to be effective in practice, data subjects should be provided with comprehensive information in a language they understand to be able to challenge the lawfulness of the automated processing and the following individual review; similarly, comprehensive information should be provided, in the context of redress, to the court and the persons concerned, to examine the legality of the

154 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 212. 155 ICAO Annex 9 , Standard 9.26. 37 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” decision adopted by the competent authorities, i.e., the grounds and the evidence.156 In both situations, certain exceptions to provide information may apply.157 The Draft Law should be supplemented in this respect.

8. RECOMMENDATIONS RELATED TO THE PROCESS OF PREPARING AND ADOPTING THE DRAFT LAW

103. OSCE participating States have committed to ensure that legislation will be “adopted at the end of a public procedure, and [that] regulations will be published, that being the condition for their applicability” (1990 Copenhagen Document, para. 5.8).158 Moreover, key commitments specify that “[l]egislation will be formulated and adopted as the result of an open process reflecting the will of the people, either directly or through their elected representatives” (1991 Moscow Document, para. 18.1).159 The ODIHR Guidelines on Democratic Lawmaking for Better Laws (2024) underline the importance of evidence- based, open, transparent, participatory and inclusive lawmaking process, offering meaningful opportunities to all interested stakeholders to provide input throughout the lawmaking process.160 104. It is understood that the Security Service of Ukraine has sought to consult various stakeholders, including other institutions of the security and defense sector, and international partners, to develop the Draft Law. This is generally a welcome approach that is overall in line with OSCE commitments. 105. Public consultations constitute a means of open and democratic governance as they lead to higher transparency and accountability of public institutions, and help ensure that potential controversies are identified before a law is adopted.161 Consultations on draft legislation and policies, in order to be effective, need to be inclusive and to provide relevant stakeholders with sufficient time to prepare and submit recommendations on draft legislation; the State should also provide for an adequate and timely feedback mechanism whereby public authorities should acknowledge and respond to contributions.162 To guarantee effective participation, consultation mechanisms should allow for input at an early stage, from the initial policymaking phase and throughout the process,163 meaning not only when the draft is being prepared but also when it is discussed before Parliament, be it during public hearings or during the meetings of the parliamentary committees. Given the sensitivity and importance of such a wide-ranging reform, it is fundamental that all voices are heard, even those that may be critical of the proposed initiatives with a view to address the issues being raised and achieve broad political consensus and public support within the country about such a reform. Ultimately, this tends to improve the implementation of laws once adopted, and enhance public trust in public institutions in general. 106. The legal drafters have prepared an Explanatory Statement to the Draft Law, which lists a number of reasons justifying the contemplated reform, but does not mention the

156 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, paras. 209-211. See also EDPB, Statement 2/2025 of the European Data Protection Board on the implementation of the PNR Directive in light of CJEU Judgment C-817/19, adopted on 13 March 2025, para. 19. 157 CJEU, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Legality of EU Passenger Name Records), 21 June 2022, para. 210. 158 Available at <http://www.osce.org/fr/odihr/elections/14304http://www.osce.org/fr/odihr/elections/14304>. 159 Available at <http://www.osce.org/fr/odihr/elections/14310http://www.osce.org/fr/odihr/elections/14310>. 160 See ODIHR Guidelines on Democratic Lawmaking for Better Laws (January 2024), in particular Principles 5, 6, 7 and 12. See also Venice Commission, Rule of Law Checklist, CDL-AD(2016)007, Part II.A.5. 161 See Recommendations on Enhancing the Participation of Associations in Public Decision-Making Processes (from the participants to the Civil Society Forum organized by ODIHR on the margins of the 2015 Supplementary Human Dimension Meeting on Freedoms of Peaceful Assembly and Association), Vienna 15-16 April 2015. 162 See ODIHR, Guidelines on Democratic Lawmaking for Better Laws (2024), Principle 7. 163 See ODIHR, Guidelines on Democratic Lawmaking for Better Laws (2024), Principle 7. 38 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” research and impact assessment on which these findings are based. In principle, laws and public decision-making should be prepared, discussed and adopted on the basis of well- founded arguments, scientific evidence and data, including information deriving from impact assessments and consultations with the public and other stakeholders.164 Given the potential impact of the Draft Law on the exercise of human rights and fundamental freedoms, an in-depth regulatory impact assessment ( see also Article 35 of the GDPR), including on human rights compliance, is essential, which should contain a proper problem analysis, using evidence-based techniques to identify the most efficient and effective regulatory option.165 In the event that such an impact assessment has not yet been conducted, the legal drafters are encouraged to undertake such an in-depth review, to identify existing problems, and adapt proposed solutions accordingly. 107. In light of the above, the public authorities are encouraged to ensure that the Draft Law continues to be subjected to inclusive, extensive and effective consultations, including with civil society organizations, airline companies, and offering equal opportunities for women and men to participate. According to the principles stated above, such consultations should take place in a timely manner, at all stages of the law-making process, including before Parliament. As an important element of good lawmaking, a consistent monitoring and evaluation system on the implementation of legislation should also be put in place that would efficiently evaluate the operation and effectiveness of the Draft Law, once adopted.166 [END OF TEXT]

164 See ODIHR Guidelines on Democratic Lawmaking for Better Laws (January 2024), Principle 5, Evidenced-based lawmaking. 165 See e.g., ODIHR, Preliminary Assessment of the Legislative Process in the Republic of Uzbekistan (11 December 2019), Recommendations L and M; and Venice Commission, Rule of Law Checklist, CDL-AD(2016)007, Part II.A.5. 166 See ODIHR Guidelines on Democratic Lawmaking for Better Laws (January 2024), para. 23. See e.g., OECD, International Practices on Ex Post Evaluation (2010). 39 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” Annex 1

PROJECT

LAW OF UKRAINE On the use of passenger information to combat terrorism, serious and especially serious crimes This Law defines the legal and organizational framework for obtaining, processing, disseminating, storing and protecting information about passengers of international flights. Article 1. Definition of terms In this Law, the following terms shall have the following meanings: "The Single Window is a unified data acquisition system that allows using its own information and communication system to receive preliminary passenger information (API) for international flights and passenger check-in record (PNR) data for international flights, as well as information about international flight carriers from air carriers depersonalization of data by hiding its elements - hiding data elements from users that can serve to directly identify the data subject; competent authority of a foreign state - a body for the prevention, detection and investigation of terrorist and serious crimes, or a branch of such a body that functions as a passenger information body; international flight means the movement of a vehicle according to an established route and schedule or off-schedule with takeoff or landing on the territory of Ukraine, during which the state border of Ukraine is crossed; The National Passenger Check-in (PNR) Data Processing System for International Flights (hereinafter referred to as the National PNR Processing System) is an information and communication system that processes international flight check-in data received in accordance with the established procedure; The National System for Processing Advance Passenger Information (API) for International Flights (hereinafter referred to as the National API Processing System) is an information and communication system that processes advance passenger information (API) received in accordance with the established procedure; The National Contact Point for processing international flight passenger check-in data (Passenger Information Unit, - PIU; hereinafter referred to as the National Contact Point) is a body that performs the functions of receiving international flight passenger check-in data (PNR) from air carriers, storing, 40 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” processing, distributing such data or the results of their processing to authorized bodies and exchanging PNR data and the results of processing such data with the competent authorities of foreign countries in accordance with the procedure established by this Law ; The National Center for Processing Preliminary Information on Passengers of International Flights (hereinafter referred to as the National Center) is a body that performs the functions of receiving, processing, disseminating, storing and protecting preliminary information on passengers of international flights; preliminary passenger information (API) - specific data on passengers and their flights collected by the air carrier and sent to the Single Window; reservation system - an internal airline system that collects preliminary information about passengers (API) and passenger registration record (PNR) data for making a reservation; authorized bodies - subjects of the fight against terrorism, as defined by the Law of Ukraine "On Combating Terrorism", which, within the framework of counterintelligence, operational search, intelligence cases and during the pre-trial investigation of criminal proceedings, have the right to receive information about passengers (API and PNR) and the results of processing such information upon request. The terms "advance passenger information/passenger name record", "passenger registration record (PNR)" in this Law shall have the meanings given in the Law of Ukraine "On Combating Terrorism". Other terms are used in this Law in the meanings given in the Air Code of Ukraine, the Laws of Ukraine "On Transport", "On Personal Data Protection" and other Laws of Ukraine Article 2. Purpose of the Law Advance Passenger Information (API) for international flights is obtained and used to improve border control and combat illegal migration Passenger check-in record (PNR) data of international flights are received, processed, distributed, and stored for the purpose of combating international terrorism, including the movement of persons involved in terrorist activities, prevention, detection, and investigation of criminal offenses committed for terrorist purposes, and other serious and especially serious crimes. Article 3. Legislation in the field of obtaining, processing, dissemination, storage and protection of passenger information (API and PNR) The relations arising from the receipt, processing, dissemination, storage and protection of passenger information (API and PNR) for international flights are governed by the Constitution of Ukraine, applicable international treaties ratified by the Verkhovna Rada of Ukraine, this and other laws of Ukraine, as well 41 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” as regulations adopted for their implementation. Article 4. Subjects and object of relations related to passenger information (API and PNR) The subjects of information relations are: National contact point National Center authorized bodies competent authorities of a foreign state; European Police Office (Europol); International Criminal Police Organization (Interpol); air carriers; passengers. The object of the relationship is the personal data of passengers of international flights. Article 5. Functioning of the Single Window The functions of the Single Window administrator are vested in the National Center. The owner of the information and communication system of the Single Window is the state represented by the central executive body that implements the state policy in the field of state border protection. The procedure of the Single Window functioning, protocols and data formats, the method of transferring passenger information (API and PNR) by air carriers to the Single Window and from the Single Window to the National Center and the National Contact Point are determined jointly by the central executive body implementing the state policy in the field of state border protection, the Anti-Terrorist Center at the Security Service of Ukraine and the central executive body implementing the state policy in the field of civil aviation and airspace use. Passenger information (API and PNR) is received from air carriers to the Single Window, where it is pre-segmented into preliminary passenger information (API) and passenger check-in record (PNR) data, and is transmitted without any changes and in full: preliminary passenger information (API) to the National Center; passenger registration record (PNR) data to the National Contact Point. The information about the air carrier sent to the Single Window is provided simultaneously to the National Center and the National Contact Point. The Single Window does not accumulate and store preliminary passenger information (API) and passenger check-in record (PNR) data. The passenger

42 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” information received from air carriers (API and PNR) is immediately deleted after it is transferred to the National Center and the National Contact Point. The Single Window Administrator provides full access to the network equipment and software of the Single Window information and communication system to the technical specialists of the National Center and the National Contact Point in order to verify the correctness of the system settings in the process of transferring preliminary passenger information (API) and passenger registration record (PNR) data Information on the crossing of the state border of Ukraine by the President of Ukraine, members of the Parliament of Ukraine, members of the Cabinet of Ministers of Ukraine, judges of the Constitutional Court of Ukraine and judges of the Supreme Court is received by the National Center and the National Contact Point in accordance with the procedure established by the Law of Ukraine "On Transport". Article 6. Information about the air carrier In order to ensure the efficient transfer of passenger information (API and PNR) for international flights, air carriers are required to provide the following information to the Single Window: airline name, location, phone number, and email address; international flight schedule established by the air carrier. air carrier is obliged to transmit such information no later than ten business days before the start of international flights. In the case of international flights not included in the schedule or international traffic program, the air carrier shall provide the information specified in part one of this Article to the Single Window immediately after the planned international flight is included in the schedule or international traffic program. If the information specified in part one of this Article has changed, the air carrier shall immediately transmit the updated information to the Single Window. Article 7. Procedure for the transfer of preliminary information about passengers by air carriers (API) Air carriers are obliged to collect and provide advance passenger information (API) for international flights to the Single Window free of charge. Preliminary passenger information (API) is provided by air carriers to the Single Window by means of electronic communication after the completion of check-in for an international flight, using common protocols and supported data formats, and in case of technical failure, by any other appropriate means that ensure an appropriate level of data security. Article 8. Components of advance passenger information (API)

43 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” The preliminary passenger information (API) provided by the air carrier to the Single Window must contain the following information: airline and its code; flight number; number of passengers; number and type of travel document; the country that issued the travel document; full name of the passenger (surname, name, patronymic as indicated in the travel document); date of birth; gender; type, number, country of issue and expiration date of any passenger's identity or citizenship document; airport of arrival (or departure) in Ukraine; the scheduled departure (or arrival) time of the flight; the scheduled departure (or arrival) date of the flight; airport of arrival (or departure) outside the territory of Ukraine. Article 9. Procedure and term of storage of preliminary information about passengers (API) The national center must store preliminary passenger information (API) in the form of temporary files. After the passengers enter the territory of Ukraine, the National Center must delete the preliminary passenger information (API) within 24 hours after the transfer, except when such data is necessary for border control. Air carriers are obliged to delete the preliminary passenger information (API) provided to the Single Window within 24 hours after the arrival of the aircraft. Article 10. National center The functions of the National Center are vested in the central executive body that implements state policy in the field of state border protection. The structure and procedure of the National Center are determined by the Regulation on the National Center for Processing Preliminary Information on Passengers of International Flights, which is developed by the central executive body that implements state policy in the field of state border protection. Tasks of the National Center: 1) processing of preliminary information about passengers (API); 2) transfer of preliminary information about passengers (API) and the results of its processing to the authorized bodies; 3) checking passenger preliminary information (API) in the relevant databases; 44 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” 4) processing statistical information on preliminary passenger information (API). The National Center performs its tasks around the clock, without days off and holidays. The National Center is the administrator of the National API Processing System and takes measures to create, implement and maintain software, is responsible for technical and technological support, data storage and protection, takes technical and technological measures to provide, block and cancel access to the National API Processing System, as well as other measures (actions) provided for by law Article 11. Requirements for the Functioning of the National API Processing System The owner of the National API Processing System is the state, represented by the central executive body that implements state policy in the field of state border protection. The structure and operation of the National API Processing System are determined by the Central Executive Body that implements the state policy in the field of state border protection The national API processing system has: 1) prevent unauthorized access to it by unauthorized persons; 2) prevent the processing of preliminary passenger information (API) for purposes that do not comply with this Law; 3) to prevent discrimination against persons on any grounds, such as gender, race, skin color, ethnic or social origin, genetic characteristics, language, religion or belief, political or any other beliefs, membership in a national minority, property status, place of birth, disability, age or sexual orientation; 4) ensure registration of all cases of accessing or otherwise using advance passenger information (API) Article 12. Procedure for the transfer of passenger registration data (PNR) by air carriers Air carriers are obliged to collect and provide passenger check-in record (PNR) data of international flights to the National Contact Point free of charge. Passenger check-in record (PNR) data is provided by air carriers to the Single Window by means of electronic communication using common protocols and supported data formats, and in case of technical failure, by any other appropriate means that ensure an appropriate level of data security. Article 13. Components of the Passenger Record (PNR) The following components of the Passenger Name Record (PNR) are 45 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” processed (if collected by the air carrier): 1) booking identification number (booking code); 2) date of booking or issuance of the ticket for the international flight; 3) date of the scheduled international flight; 4) surname, name, patronymic (if any) of the person; 5) address and contact information (phone number, email address, etc.); 6) information on the payment for the ticket, including the payment card number, information on cash payment, information contained in the invoice or other confirmation of payment for the ticket, as well as information set forth in the payment order, namely: bank account numbers of the sender and recipient, names and surnames or titles of the sender and recipient, amount and currency of the transfer, date and time of the transfer and its basis; 7) full description of the travel route for a specific passenger check-in record; 8) information on the availability of a loyalty program; 9) the name of the travel agency or bureau, its phone number, email address, and location; 10) data on the person's travel status, which includes: confirmation of the booking stages; the status of baggage and ticket processing; information on whether the person applied for registration in person or purchased a ticket during the issuance of travel documents without prior reservation; 11) information on the separation of passenger check-in record (PNR) data, which includes data on the change of reservation made for more than one person for a new flight direction for at least one of them, or the separation of passenger check-in record (PNR) data, which includes information on the change of reservation made for more than one person for a new flight direction for all persons to whom it applies; 12) information relating to a minor: surname, name, patronymic (if any), passport or identity document number, and contact information (country of residence (stay), telephone number, e-mail address); Surname, name, patronymic (if any) of the accompanying person at the time of departure of the aircraft and at the time of landing, passport or identity document number, as well as contact information (country of residence (stay), telephone number, e-mail address, type of communication connecting him/her

46 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” with the minor); 13) ticket number, date of issue and information on whether a return ticket is available, as well as information on the automatically calculated fare used to determine the ticket price; 14) seat number and other information related to this seat; 15) information on joint transfer services; 16) information on the amount, type and weight of baggage; 17) the number, names and surnames of other passengers specified in the preliminary registration data of the person related to the reservation; 18) any preliminary passenger information (PI) collected, including the type, number, country of issue and expiration date of any identity document, nationality, surname, name, gender, date of birth, flight number, departure date, arrival date, departure airport, arrival airport, departure time, arrival time; 19) general information about the flight: flight number; airline code; time and date of departure of the aircraft. 20) information on any changes to the passenger registration record (PNR) data. Article 14. Time limits for the transfer of passenger check-in record (PNR) data by the air carrier The air carrier is obliged to provide the Single Window with passenger check-in record (PNR) data that it accumulates during its operations, when booking or performing transportation. Passenger check-in record (PNR) data is transmitted by the air carrier to the Single Window: 1) not earlier than 48 hours and not later than 24 hours before the scheduled time of the international flight; 2) immediately after the close of check-in for the relevant flight, when passengers can no longer board or disembark. In addition to the above deadlines, in certain cases, upon request of the National Contact Point, the air carrier shall provide passenger check-in record (PNR) data through the Single Window within the timeframe specified in the request. In case of changes to the passenger check-in record (PNR) data transmitted pursuant to part one of this Article, the air carrier shall transmit the updated data to the Single Window before flight.

47 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” Article 15. National contact point The functions of the National Contact Point are vested in the Anti- Terrorist Center at the Security Service of Ukraine, which carries out national coordination on the receipt, processing, dissemination, storage and protection of passenger registration (PNR) data. The structure and procedure of the National Contact Point are determined by the Regulation on the National Contact Point for Processing International Flight Passenger Check-in Data, which is being developed by the Anti-Terrorist Center at the Security Service of Ukraine Tasks of the National Contact Point: 1) obtaining passenger check-in record (PNR) data from air carriers; 2) monitoring, processing and analyzing passenger check-in record (PNR) data in order to update, update, create (cancel) risk profiles or criteria for identifying persons who may be involved in terrorist activities, other serious and especially serious crimes, as well as other persons who pose a threat to the national security of Ukraine; 3) verification of passenger check-in record (PNR) data against information systems and databases or in accordance with defined risk profiles, including before their arrival in Ukraine; 4) processing of statistical information based on passenger registration record (PNR) data; 5) assessing the passenger registration record (PNR) data prior to their planned arrival in/through Ukraine in order to identify persons who need to be checked by the authorized bodies; 6) provision of passenger registration record (PNR) data in accordance with Article 19 of this Law; 7) exchange of passenger registration record (PNR) data or the results of their processing with the competent authorities of foreign countries, the European Police Office and the International Criminal Police Organization - Interpol; 8) taking measures to preserve the received passenger registration record (PNR) data in the manner and within the time limits specified by this Law. The National Contact Point performs its tasks around the clock, seven days a week and on public holidays. The national contact point has direct, including automated, access to automated information and reference systems, registers and data banks, the holders (administrators) of which are state bodies or operators, uses state, including government, means of communication and communication, special communication networks and other technical means in order to perform the tasks specified by this Law.

48 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” The owner of the National PNR Processing System, the owner of the information processed in it, is the state represented by the Anti-Terrorist Center under the Security Service of Ukraine, which is the manager of the passenger registration record (PNR) and personal data about them Article 16. National PNR processing system The structure and operation of the National PNR Processing System is determined by the Anti-Terrorist Center of the Security Service of Ukraine. The national PNR processing system provides: 1) collecting, receiving, processing, and evaluating passenger check-in record (PNR) data; 2) preventing unauthorized access to it by unauthorized persons; 3) preventing the processing of passenger registration record (PNR) data for the purpose that does not comply with this Law; 4) preventing discrimination against persons on any grounds, such as gender, race, skin color, ethnic or social origin, genetic characteristics, language, religion or belief, political or any other beliefs, membership in a national minority, property status, place of birth, disability, age or sexual orientation; 5) recording of all cases of access to passenger registration data (PNR). Article 17. The period of storage of passenger registration record (PNR) data and depersonalization of personal data The national contact point is obliged to ensure that the Passenger Name Record (PNR) data is stored for five years after it is received. After six months from the date of submission of the Passenger Record (PNR) data to the National Contact Point, it must be depersonalized by hiding such data elements that can serve to directly identify the passenger to whom the data relate: 1) surname, first name, patronymic (if any), including surnames, first names, patronymics (if any) of other passengers and data on the number of passengers traveling together contained in the reservation system, as well as any preliminary information about passengers (PI) received on the basis of paragraph 18 of part one of Article 13 of this Law; 2) address and contact information; 3) any forms of payment information, including the payment address, which can serve to directly identify the passenger or any other persons; 4) information about the air carrier's regular customers; 5) general information that can be used to directly identify the passenger. The disclosure of impersonal passenger check-in data (PNR) is allowed only for the purpose specified in part two of Article 2 of this Law, in accordance 49 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” with the procedure established in the Regulation on the National Contact Point for Processing Passenger Check-in Data for International Flights in relation to Passenger Check-in Data (PNR). After the expiration of the period of storage of passenger check-in record (PNR) data, the storage of such information may be extended only if there are grounds to believe that it is necessary to counter international terrorism, including the movement of persons involved in terrorist activities, prevention, detection, investigation of criminal offenses committed for terrorist purposes, and other serious and especially serious crimes. Article 18. Processing of passenger registration record (PNR) data The data entered into the National PNR Processing System shall be automatically compared with the relevant data of automated information and reference systems, registers and data banks, the holders (administrators) of which are state bodies or operators, to which the National Contact Point has access in accordance with part five of Article 15 of this Law. The matches obtained as a result of the preliminary comparison are subject to mandatory individual verification by the National Contact Point staff. Personal data is processed in compliance with the requirements of the Law of Ukraine "On Personal Data Protection". Article 19. Dissemination of passenger information (API and PNR) The National Center and the National Contact Point provide information about passengers (API and PNR) or the results of its processing to the authorized bodies for the purpose specified in Article 2 of this Law. The procedure and terms for providing passenger information (API and PNR) to the authorized bodies are defined in the Regulations on the National Center for Processing Preliminary Information on Passengers of International Flights regarding Preliminary Information on Passengers (API) and in the Regulations on the National Contact Point for Processing Passenger Check-in Data regarding Passenger Check-in Data (PNR). Article 20. Protection of passenger information (ARI and PNR) The protection of information in the National API Processing System and the National PNR Processing System, as well as in the Single Window Information and Communication System, is carried out in accordance with the Constitution of Ukraine, international treaties of Ukraine, the Laws of Ukraine "On Personal Data Protection", "On Information Protection in Information and Communication Systems" and other laws of Ukraine, as well as regulations adopted for their implementation. Article 21. Data protection officer of the passenger registration record (PNR) The Anti-Terrorist Center of the Security Service of Ukraine appoints a 50 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” Passenger Name Record (PNR) Data Protection Officer who has access to all data processed in the Passenger Name Record (PNR) data storage system of the National PNR Processing System. The officer referred to in this article shall implement personal data protection measures during the monitoring and processing of passenger check-in data. The use of personal data by employees of the National Contact Point should be carried out only in accordance with their official duties. These employees are obliged to prevent disclosure in any way of personal data entrusted to them or which became known in connection with the performance of their official duties, except in cases provided for by law. This obligation shall remain in force after they cease to perform activities related to personal data, except in cases provided for by law. The Passenger Registration Record (PNR) Data Protection Officer interacts with the Ukrainian Parliament Commissioner for Personal Data Protection to prevent and eliminate violations of personal data protection legislation Article 22. Protection of personal data The legal basis for the protection of personal data of passengers of international flights is the Constitution of Ukraine, international treaties of Ukraine, the Law of Ukraine "On Personal Data Protection", this and other laws of Ukraine, as well as other regulatory acts adopted in accordance with them. The processing of personal data of passengers of international flights is carried out exclusively for the purpose of achieving the goals set forth in this Law, taking into account the requirements of the legislation of Ukraine on personal data protection. Air carriers, when making a reservation or issuing a ticket for the relevant flight, shall inform passengers about the processing of their data for the purpose specified in Article 2 of this Law, as well as about their right to personal data protection in accordance with part two of Article 12 of the Law of Ukraine "On Personal Data Protection" The National Center and the National Contact Point should ensure that documentation of any systems and procedures for processing Advance Passenger Information (API) and Passenger Name Record (PNR) data are maintained. The list of such documentation should include: 1) data of persons authorized to process passenger information (ARI and PNR) and access authorization levels; 2) information on requests for the transfer of preliminary passenger information (API) and passenger registration record (PNR) data received from authorized bodies and from the competent authorities of foreign countries. The National Center and the National Contact Point shall keep records of 51 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” all personal data processing operations. These records must contain, in particular, information on the date and time, the identity of the person who accessed the advance passenger information (API) and passenger check-in record (PNR) data, and information on the requestor of such data. Such credentials must be used solely for the purposes of verification, monitoring, ensuring data security and safety, or auditing. Credentials are stored for five years. The National Center and the National Contact Point must ensure that passengers and the Ukrainian Parliament Commissioner for Human Rights are immediately informed of any breach of personal data security that may result in a risk to the rights and freedoms of passengers. If it is not possible to notify each passenger directly due to the excessive amount of information, the National Center and the National Contact Point are obliged to provide such notification by publishing information on the fact of a personal data security breach on their official websites. The passenger is considered to be duly notified of the fact of a breach of the security of his/her personal data from the moment such information is published on the official website of the National Center and the National Contact Point. In case of transfer of Passenger Name Record (PNR) data in accordance with Article 24 of this Law the Passenger Name Record (PNR) Data Protection Officer must be informed each time. Passenger information (API and PNR) is processed using the National API Processing System and the National PNR Processing System, which have their own security system that prevents the possibility of its loss, damage, distortion, and unauthorized access. It is forbidden to process passenger information (API and PNR) that discloses information about a person's race or ethnicity, religion or ideological beliefs, membership in trade unions, genetic and biometric data, health status, sexual life or sexual orientation. Article 23: Control over compliance with the legislation on the receipt, processing, dissemination, storage and protection of passenger information (ARI and PNR) Parliamentary control over compliance with the legislation on personal data protection during the processing of passenger information (ARI and PNR) provided by air carriers is exercised by the Ukrainian Parliament Commissioner for Human Rights. Article 24. International cooperation International cooperation and the transfer of passenger information (ARI and PNR) within the framework of this Law is carried out by the National Center and the National Contact Point on the basis of international agreements ratified by the Verkhovna Rada of Ukraine, taking into account the Law of Ukraine "On Combating Terrorism". 52 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” Article 25. Liability of air carriers The air carrier shall be liable for failure to provide, untimely provision, or provision of incomplete or inaccurate information about passengers (ARI and PNR) in accordance with the law. Article 26: Appeal against actions and decisions Decisions, actions or omissions of the National Center and the National Contact Point may be appealed in court. Final and transitional provisions 1. This Law shall enter into force six months after its publication. 2. To amend the following Laws of Ukraine: 1) in Air Code of Ukraine (Vidomosti Verkhovna Rada of Ukraine (VVR), 2011, No. 48-49, p. 536): part four of Article 70 shall be set forth in the following wording "In order to counter international terrorism, including the movement of persons involved in terrorist activities, prevention, detection, investigation of criminal offenses committed for terrorist purposes, other serious and especially serious crimes, as well as to improve border control and combat illegal migration, air carriers are obliged to provide the Single Window with advance passenger information (API) of international flights and passenger check-in data (PNR) of international flights free of charge in accordance with the procedure established by the Law of Ukraine "On the Use of Passenger Information for Countering Terrorism, Serious and Particularly Serious Crimes"." 2) In the Law of Ukraine "On Combating Terrorism" (Vidomosti Verkhovna Rada of Ukraine, 2003, No. 25, p. 180, as amended): part one of Article 7 shall be supplemented with new paragraph ten as follows: "performing the function of the National Contact Point for processing international flight passenger registration data (Passenger Information Unit, PIU) in accordance with the Law of Ukraine "On the Use of Passenger Information for Countering Terrorism, Serious and Particularly Serious Crimes";"; In this regard, the tenth paragraph of part one of this Article shall be considered the eleventh paragraph accordingly; 3) in the Law of Ukraine "On the State Program of Civil Aviation Security" (Bulletin of the Verkhovna Rada of Ukraine (VRU), 2017, No. 16, p. 199): the third paragraph of clause 58 of the State Program of Civil Security shall be set forth in the following wording: "When operating international flights from/to Ukraine or transit flights

53 Opinion on the Draft Law of Ukraine “On the Use of Passenger Information to Combat Terrorism, Serious and Especially Serious Crimes” through Ukrainian airports, the air carrier is obliged to provide the Single Window with preliminary information on passengers (API) and passenger check- in record (PNR) data." paragraph six of clause 58 of the State Program of Civil Security shall be deleted. 3. The Cabinet of Ministers of Ukraine within six months from the date of entry into force of this Law: bring their regulatory acts into compliance with this Law; ensure that acts of ministries and other central executive authorities are brought into compliance with this Law.

Chairman of the Verkhovna Rada of Ukraine

54

Варшава, 13 червня 2025 року Висновок №: TERR-UKR/526/2025 [NR]

ВИСНОВОК ЩОДО ПРОЄКТУ ЗАКОНУ УКРАЇНИ «ПРО ВИКОРИСТАННЯ ІНФОРМАЦІЇ ПРО ПАСАЖИРІВ ДЛЯ ПРОТИДІЇ ТЕРОРИЗМУ, ТЯЖКИМ ТА ОСОБЛИВО ТЯЖКИМ ЗЛОЧИНАМ»

УКРАЇНА У підготовці цього Висновку були використані матеріали, надані паном Карімом Лабібом, старшим експертом з кримінального права, протидії відмиванню коштів та фінансуванню тероризму (ПВК/ФТ) та протидії тероризму; та пані Назлі Їлдирим Шерколк, незалежною експерткою з питань реформування сектору безпеки та прав людини.

На основі наданого Службою безпеки України неофіційного перекладу проєкту Закону англійською мовою.

Бюро з демократичних інститутів і прав людини ОБСЄ

Ul. Miodowa 10, PL-00-251 Warsaw Офіс: +48 22 520 06 00, Факс: +48 22 520 0605 www.legislationline.org Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

РЕЗЮМЕ Й ОСНОВНІ РЕКОМЕНДАЦІЇ

Розробка проєкту Закону «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» знаменує собою значні та своєчасні зусилля України, спрямовані на створення всеосяжної правової бази для обробки попередньої інформації про пасажирів (API) та даних запису реєстрації пасажирів (PNR) в контексті повітряних перевезень. Багато положень проєкту Закону відповідають міжнародним зобов'язанням, проте залишаються прогалини, які перешкоджають повному дотриманню міжнародних стандартів захисту персональних даних і права на недоторканність приватного життя, що випливають з міжнародних і регіональних документів у сфері прав людини. Проєкт Закону можна також удосконалити для недопущення надмірного впливу на право осіб на свободу пересування, а також прямого чи опосередкованого порушення права осіб, які потребують особливого захисту, як-от біженці та шукачі притулку, діти та жертви торгівлі людьми. Так, слід внести деякі корективи, зокрема, щодо обмеження мети обробки персональних даних, пропорційності, зберігання даних, автоматизованої обробки, передачі даних та індивідуальних прав. Уточнення сфери застосування проєкту Закону з метою чітко обмежити обробку даних чітко визначеними терористичними та тяжкими злочинами, що мають прямий чи опосередкований зв'язок з авіаперевезеннями, допоможе забезпечити дотримання принципу обмеження мети та запобігти надмірно широкому застосуванню. Аналогічно, скорочення терміну зберігання даних PNR до шести місяців, з можливістю продовження до п'яти років лише за наявності об'єктивної та конкретної потреби, краще відповідатиме вимогам пропорційності. Запровадження надійних гарантій для автоматизованої обробки даних, включаючи обов'язкову перевірку людиною, виключення дискримінаційного профілювання та чіткі, об'єктивні критерії, посилить захист від потенційного свавільного застосування. Було б також корисно укріпити права фізичних осіб шляхом внесення чіткої норми про надання їм доступу до їхніх даних, можливості їх виправлення або видалення, а також про ефективні засоби правового захисту у випадку неправомірного використання. Упровадження рекомендованих змін сприятиме дотриманню вимог міжнародних і регіональних документів у сфері прав людини та забезпечить кращий баланс між цілями безпеки та зобов'язаннями щодо дотримання прав людини. На додаток до викладеного вище, БДІПЛ надає такі рекомендації для забезпечення більшої відповідності проєкту Закону чинним регіональним і міжнародним стандартам у сфері прав людини та зобов'язанням у рамках ОБСЄ: A. Щодо обмеження мети:

2 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

1. узгодити з міжнародними стандартами мету збору даних PNR, а саме з метою запобігання, виявлення, розслідування та кримінального переслідування виключно терористичних злочинів та тяжких злочинів, щоби не допустити непропорційного збирання даних та їх використання як інструменту масового спостереження, що виходить за межі цілей, визначених міжнародними стандартами; [параграф 58] 2. включити до проєкту Закону положення про негайне та безповоротне видалення Національним контактним пунктом інших персональних даних третіх осіб після їх отримання; [параграф 60] B. забезпечити, щоби збір даних обмежувався лише тими даними, які є строго необхідними для запобігання, виявлення, розслідування та переслідування тероризму та тяжких злочинів відповідно до принципу мінімізації даних, а також передбачити чітке положення про обов'язок негайного та безповоротного видалення даних, які виходять за межі встановлених у проєкті Закону категорій, у тому числі будь-яких чутливих даних; [параграф 63] C. відобразити у статті 18 проєкту Закону, що - неавтоматизована перевірка повинна виключати будь-які дискримінаційні результати; - Національний контактний пункт не передає компетентним органам результати автоматизованої обробки, якщо за результатами такої перевірки він дійде висновку про відсутність підстав, які могли б відповідно до застосовних правових стандартів викликати обґрунтовану підозру в причетності до терористичних злочинів або тяжких злочинів осіб, ідентифікованих за допомогою автоматизованої обробки, або якщо він має підстави вважати, що така обробка призведе до дискримінаційного результату; - Національний контактний пункт встановлює в чіткий і точний спосіб об'єктивні критерії перевірки, що дозволяють співробітникам Національного контактного пункту, відповідальним за індивідуальну перевірку, з одного боку, з’ясувати, чи стосується і якщо так, то якою мірою, позитивний збіг тієї особи, яка може бути причетною до терористичних злочинів або тяжких злочинів, а тому має пройти додаткову перевірку з боку компетентних органів, як передбачено Статтею 7 Директиви ЄС про PNR, а з іншого боку, пересвідчитись у недискримінаційному характері автоматизованої обробки даних і, зокрема, заздалегідь встановлених критеріїв і використовуваних баз даних; - Будь-які заздалегідь встановлені критерії, за якими порівнюються дані PNR, не призводять до незаконної диференціації та забезпечують виключення дискримінаційних результатів; - До цього положення включено захисне застереження щодо заяв про надання притулку; [параграфи 68-70] D. чітко визначити перелік уповноважених органів у самому проєкті Закону або в додатку до нього, або зробити посилання на відповідне законодавство, яке регулює діяльність цих уповноважених органів, а

3 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

також розробити механізми незалежної перевірки перед наданням відповіді на належно обґрунтований запит компетентних органів з метою запобігання, виявлення, розслідування та переслідування терористичних злочинів або тяжких злочинів; [параграфи 71-72] E. передбачити у Статті 24 проєкту Закону, що перед укладанням угоди про обмін даними API/PNR або перед обміном такими даними на разовій основі слід провести оцінку стану дотримання прав людини та захисту даних іншою стороною, а також оцінку правових гарантій та інституційного контролю, які регулюють діяльність органу-одержувача, щоби переконатися, що третя країна дотримується еквівалентних стандартів захисту. Така угода також повинна переглядатися з певною регулярністю або за необхідності; [параграф 82] F. запровадити ефективні гарантії дотримання прав людини для захисту пасажирів від неправомірної підозри у причетності до тероризму або інших тяжких злочинів та утриматися від дискримінаційного профілювання на основі даних PNR у переліку завдань Національного контактного пункту, наведеному в статті 15. Критерії ризику та профілі повинні бути цільовими, пропорційними та конкретними, а також зобов'язувати відповідні органи надавати необхідні настанови для проведення індивідуальних перевірок з метою запобігання дискримінаційним результатам; [параграф 86] G. роз'яснити у статті 21 проєкту Закону, що співробітники з питань захисту даних PNR можуть безпосередньо та конфіденційно повідомляти про порушення Уповноваженому Верховної Ради України з прав людини, а також можуть передавати справи на розгляд Уповноваженого та вживати інших заходів; [параграф 95] та H. забезпечити, щоби будь-який нагляд за дотриманням законодавства про захист даних незалежно здійснювався уповноваженим органом, якому надано необхідні ресурси та повноваження для виконання свого мандату у спосіб, що відповідає міжнародним документам, а також забезпечити, щоби цей орган або Уповноважений Верховної Ради України з прав людини мав повний і безперешкодний доступ до всієї інформації, що обробляється Національним контактним пунктом, а також до заздалегідь визначених критеріїв і баз даних, необхідних для виконання свого мандату. [параграфи 98-99]. До тексту Висновку входять вищенаведені та додаткові рекомендації, виділені жирним шрифтом.

У межах свого мандату з надання допомоги державам-учасницям ОБСЄ щодо виконання їхніх зобов'язань в рамках ОБСЄ у сфері людського виміру, БДІПЛ за запитом розглядає законопроєкти та чинні закони з метою оцінити їх відповідність міжнародним

4 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

стандартам прав людини та зобов'язанням в рамках ОБСЄ, а також надає конкретні рекомендації щодо їх удосконалення.

5 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

ЗМІСТ I. В СТУП ................................................................................... 7 II. О БСЯГ АНАЛІЗУ ..................................................................... 7 III. П РАВО ВИЙ АНАЛІЗ І РЕКОМЕНДАЦІЇ ....................................... 8 1. Відповідні міжнародні стандарти прав людини та зобов'язання ОБСЄ у сфері людського виміру .......................................................................................................... 8 Стандарти щодо збору, обробки й обміну даними в контексті авіаперевезень ....................................................................................................... 9 Захист даних і право на повагу до приватного життя .............................. 15 Право на повагу до приватного життя ....................................................................16 Право на захист даних ................................................................................................18 Потенційний вплив на інші права людини й основоположні свободи .....................22 2. Передумови .................................................................................................................. 24 3. Збір, обробка та обмін даними API/PNR ................................................................ 24 Обмеження мети ............................................................................................... 24 Збір та обробка даних API/PNR ....................................................................... 27 Автоматизована обробка ................................................................................. 28 Обмін даними з уповноваженими органами .................................................. 31 Зберігання даних ................................................................................................. 33 Міжнародне співробітництво ......................................................................... 34 4. Недискримінація......................................................................................................... 36 5. Обов'язок інформувати та безпека персональних даних .......................................... 38 6. Незалежний нагляд .................................................................................................... 41 7. Механізми оскарження та судового контролю ..................................................... 42 8. Рекомендації щодо процесу підготовки й ухвалення проєкту Закону ............. 43

ДОДАТОК: Проєкт Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

6 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

I. ВСТУП

1. 20 вересня 2024 року заступник Голови Служби безпеки України звернувся до Бюро з демократичних інститутів і прав людини ОБСЄ (далі – БДІПЛ) із запитом про здійснення правової експертизи проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» (далі – проєкт Закону). 2. 17 жовтня 2024 року БДІПЛ відповіло на цей запит, підтвердивши готовність Бюро підготувати правовий висновок щодо відповідності проєкту Закону міжнародним стандартам прав людини та зобов'язанням ОБСЄ у сфері людського виміру. З огляду на предмет дослідження, БДІПЛ запросило Відділ з питань безпеки й управління кордонами Секретаріату ОБСЄ зробити свій внесок у підготовку цього юридичного висновку. 3. Цей Висновок підготовлено у відповідь на вищезазначений запит. БДІПЛ здійснило правову оцінку в межах свого мандату з надання допомоги державам- учасницям ОБСЄ у виконанні їхніх зобов'язань у сфері людського виміру ОБСЄ.1

II. ОБСЯГ АНАЛІЗУ

4. Цей Висновок охоплює лише проєкт Закону, наданий для аналізу. Відтак, зважаючи на обмежений об’єкт аналізу, Висновок не є повним і всебічним оглядом усієї правової та інституційної бази, що регулює збір інформації з метою протидії тероризму, тяжким та особливо тяжким злочинам в Україні. 5. У Висновку порушено ключові питання та зазначено сфери, що викликають занепокоєння. З міркувань лаконічності, основну увагу в ньому приділено положенням, що потребують перегляду чи вдосконалення, радше ніж позитивним аспектам проєкту Закону. Подальший правовий аналіз ґрунтується на міжнародних і регіональних стандартах, нормах і рекомендаціях у сфері прав людини та верховенства права, а також на відповідних зобов'язаннях ОБСЄ у сфері людського виміру. У Висновку також висвітлюється, коли це доречно, передовий досвід інших держав-учасниць ОБСЄ у цій сфері. Посилаючись на національне законодавство, БДІПЛ не пропагує якусь конкретну модель країни; воно радше прагне надати чітку інформацію про застосовні міжнародні стандарти, ілюструючи при цьому, як вони реалізуються на практиці у певних національних законах. До прикладу будь-якої країни завжди слід підходити з обережністю, оскільки він не обов'язково може бути відтворений в іншій країні й має розглядатися у світлі ширшої національної інституційної та правової системи, а також контексту та політичної культури країни. 6. Крім того, відповідно до Конвенції про ліквідацію всіх форм дискримінації щодо жінок2 (далі – КЛДЖ) та Плану дій ОБСЄ 2004 року з підтримки ґендерної рівності,3 а також зобов'язань щодо інтеграції ґендерної проблематики в

1 Зокрема, БДІПЛ провело цю оцінку в межах свого мандату, визначеного Бухарестським планом дій ОБСЄ з боротьби з тероризмом. Див. пункти 6, 18 і 22 Додатку до Рішення Ради міністрів ОБСЄ MC(9).DEC/1, Бухарест, 3-4 грудня 2001 року. 2 Конвенція ООН про ліквідацію всіх форм дискримінації щодо жінок (далі – КЛДЖ), ухвалена Генеральною Асамблеєю ООН, резолюція 34/180 від 18 грудня 1979 року. Україна здала на зберігання свою ратифікаційну грамоту 12 березня 1981 року. 3 План дій ОБСЄ з підтримки гендерної рівності, ухвалений Рішенням № 14/04, MC.DEC/14/04 (2004), п. 32. 7 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» діяльність, програми та проекти ОБСЄ, цей Висновок включає, де це доцільно, ґендерну перспективу та перспективу різноманіття. 7. Висновок підготовлено на основі неофіційного перекладу проєкту Закону англійською мовою, наданому Службою безпеки України, що міститься у Додатку до цього документу. Тому можливі неточності, пов’язані з перекладом. Висновок також доступний українською мовою. Однак версія англійською мовою залишається єдиною офіційною версією Висновку. 8. З огляду на вищевикладене, БДІПЛ хотіло би підкреслити, що цей Висновок жодним чином не утримує БДІПЛ від будь-яких додаткових письмових або усних рекомендацій чи коментарів з відповідних питань в Україні, що їх Бюро може зробити в майбутньому.

III. ПРАВОВИЙ АНАЛІЗ І РЕКОМЕНДАЦІЇ

1. ВІДПОВІДНІ МІЖНАРОДНІ СТАНДАРТИ ПРАВ ЛЮДИНИ ТА ЗОБОВ 'ЯЗАННЯ ОБСЄ У СФЕРІ ЛЮДСЬКОГО ВИМІРУ

9. Упродовж останніх десятиліть зростає кількість людей, що подорожують повітряним транспортом. Водночас інновації, що призвели до збільшення розмірів літаків, зумовили потребу в більш ефективному та раціональному обслуговуванні пасажиропотоків в аеропортах. У 2019 році Міжнародна організація цивільної авіації (далі – ІКАО) повідомила, що на регулярних рейсах повітряного транспорту по всьому світі було перевезено 4,5 мільярда пасажирів.4 Ці пасажиропотоки чинять дедалі більший тиск на міжнародні повітряні кордони. На цьому тлі за останнє десятиліття зросла кількість міжнародних і регіональних юридично зобов'язальних документів і інструментів м'якого права щодо збору, обробки й обміну попередньою інформацією про пасажирів (API) і даними запису реєстрації пасажирів (PNR), особливо в контексті боротьби з тероризмом та іншими тяжкими злочинами. 10. Дані API – це комплекс інформації про подорожніх, безпосередньо взятої з їхніх паспортів, у поєднанні з інформацією про рейс, зібраною під час реєстрації на рейс і переданою прикордонним органам країни призначення. Обробка API є інструментом управління кордонами, спрямованим на підвищення ефективності та результативності прикордонних перевірок шляхом спрощення та прискорення оформлення подорожніх, а також інструментом протидії нелегальній імміграції.5 11. Дані PNR – це неперевірена інформація, яку пасажири надають безпосередньо або через туристичні агенції, а авіаперевізники збирають для забезпечення процесів бронювання та реєстрації. Аналіз даних PNR може надати компетентним органам важливі елементи кримінальної розвідки, дозволяючи виявляти підозрілі схеми подорожей та ідентифікувати спільників злочинців і терористів, зокрема тих, які раніше не були відомі правоохоронним органам.6

4 Міжнародна організація цивільної авіації (ІКАО), Світ повітряного транспорту в 2019 році. 5 COM (2022) 729 Пропозиція щодо Регламенту Європейського Парламенту та Ради про збір та передачу попередньої інформації про пасажирів (API) для посилення та полегшення зовнішнього прикордонного контролю, що вносить зміни до Регламенту (ЄС) 2019/817 та Регламенту (ЄС) 2018/1726 та скасовує Директиву Ради 2004/82/ЄС (далі – Пропозиція ЄС щодо API), с. 1, 6 Європейська Комісія - Дані про пасажирів.

8 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» 12. Збір персональних даних, що містяться в наборах даних API та PNR, їх використання, обмін та обробка, які також можуть впливати на ухвалення рішень на міжнародних кордонах, мають серйозні наслідки для прав осіб на повагу до приватного та сімейного життя, свободу пересування (права осіб залишати будь- яку країну і повертатись у країну походження) та шукати притулку, а також, можливо, інших основних прав і свобод (зокрема, свободи вираження поглядів, участі в політичному житті, свободи мирних зібрань, свободи об'єднання, свободи релігії та переконань), а також права на свободу від дискримінації. 13. Слід одразу підкреслити, що необхідність і пропорційність нецільового, масового збору й обробки даних про пасажирів з метою протидії тероризму та іншим тяжким злочинам були поставлені під сумнів – зокрема, через відсутність серйозних, надійних і перевірених доказів, що підтверджують їхню дієвість, а також через побоювання щодо надійності таких систем, особливо з огляду на те, що навіть невеликі помилки можуть мати значні наслідки, коли вони стосуються дуже великої кількості авіапасажирів.7 Оцінка необхідності й ефективності таких схем виходить за рамки цього Висновку, проте цей правовий аналіз має на меті надати рекомендації задля забезпечення відповідності схеми API/PNR, передбаченої проєктом Закону, міжнародним стандартам у сфері прав людини та зобов'язанням в рамках ОБСЄ.

Стандарти щодо збору, обробки й обміну даними в контексті авіаперевезень

14. У системі ООН, у контексті боротьби з тероризмом, Рада Безпеки Організації Об'єднаних Націй (далі – РБ ООН) ухвалила кілька резолюцій, що закликають держави-члени й авіакомпанії збирати й обробляти відповідні дані про пасажирів. У 2014 році Резолюція РБ ООН 2178 закликала держави-члени ООН вимагати від авіакомпаній, що здійснюють діяльність на їхній території, завчасно надавати API відповідним національним органам влади з метою виявлення виїзду з їхньої території або спроб в'їзду на їхню територію чи транзиту через неї цивільними повітряними суднами осіб, визначених Комітетом, заснованим резолюціями 1267 (1999) і 1989 (2011) (і пізніше 2253 (2015)) (Комітет РБ ООН). Крім того, Резолюція закликала держави-члени ООН повідомляти Комітету РБ ООН про будь-який такий виїзд з їхньої території, або такі спроби в'їзду на їхню територію або транзиту через неї таких осіб, а також направляти цю інформацію державі проживання або громадянства, в залежності від обставин та відповідно до внутрішнього законодавства і міжнародних зобов'язань.8 15. Ухвалена у 2016 році Резолюція РБ ООН 2309 вимагала, щоб «авіакомпанії, які здійснюють свою діяльність на їхній території, заздалегідь надавали інформацію про пасажирів відповідним національним органам влади для виявлення виїзду з їхньої території або спроб в'їзду на їхню територію чи транзиту через неї цивільними повітряними суднами осіб, визначених Комітетом відповідно до резолюцій 1267 (1999), 1989 (2011) і 2253 (2015)". 9

7 Див., наприклад, Висновки Європейського інспектора із захисту даних, особливо Висновок 5/2015 щодо Директиви ЄС про PNR та Висновок щодо проєкту угоди між ЄС та Канадою; див. також Спеціальний доповідач з питань просування та захисту прав людини й основних свобод в умовах боротьби з тероризмом, Позиційний документ щодо Програми Організації Об'єднаних Націй з протидії подорожам, пов'язаним з тероризмом (CT Travel), та програмне рішення goTravel (2023). Див. також БДІПЛ, Аналітична записка: Управління кордонами та права людини – Збір, обробка й обмін персональними даними та використання нових технологій у контексті боротьби з тероризмом і забезпечення свободи пересування (2021), с. 13, та посилання в цьому документі. 8 Комітет РБ ООН відповідно до резолюцій 1267 (1999), 1989 (2011) і 2253 (2015) щодо Ісламської держави Іраку й Леванту (ІДІЛ), Аль-Каїди та пов'язаних з ними осіб, груп, підприємств і організацій; див. РБ ООН, S/RES/2178 (2014), п. 9 9 РБ ООН, S/RES/2309 (2016), п. 6g. 9 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» 16. У грудні 2017 року Рада Безпеки ООН одноголосно ухвалила Резолюцію 2396.10 Спираючись на попередні резолюції 2178 (2014) та 2309 (2016), вона встановила, що держави-члени ООН повинні збирати дані API та PNR. Оскільки Резолюція РБ ООН 2396 була ухвалена відповідно до Глави VII Статуту ООН і містить формулювання, що вказують на намір надати їй зобов'язальну силу,11 дотримання цього зобов'язання є обов'язковим для всіх держав-членів ООН. Резолюція встановлює, що держави «...зобов'язані вимагати від авіакомпаній, що здійснюють діяльність на їх території, надавати API відповідним національним органам згідно з внутрішнім законодавством і міжнародними зобов'язаннями...» та «...забезпечити аналіз API всіма компетентними органами, з повною повагою до прав людини й основних свобод з метою запобігання, виявлення та розслідування терористичних злочинів та перевезень, пов’язаних з терористичною діяльністю...».12 Резолюція також постановляє, що «...держави-члени повинні розвивати потенціал для збору, обробки й аналізу, відповідно до стандартів і рекомендованої практики ІКАО, даних записів реєстрації пасажирів (PNR) і забезпечити використання даних PNR і обмін ними з усіма своїми компетентними національними органами з повною повагою до прав людини і основних свобод з метою запобігання, виявлення і розслідування терористичних злочинів ... а також закликає ІКАО працювати зі своїми державами-членами над встановленням стандарту для збору, використання, обробки і захисту даних PNR».13 17. Іншим ключовим інструментом у цій сфері є Конвенція про міжнародну цивільну авіацію (також відома як Чиказька конвенція).14 Стаття 37 Чиказької конвенції зобов'язує Міжнародну організацію цивільної авіації (ІКАО) «приймати і в міру необхідності час від часу змінювати міжнародні стандарти, рекомендовану практику і процедури, що стосуються .... митних та імміграційних процедур...».15 У цьому контексті ІКАО розробила «Міжнародні стандарти та рекомендовану практику», які є Додатком 9 до Чиказької конвенції. Стандарти та практики регулярно оновлюються, востаннє – у липні 2022 року.16 Глава 9 Додатку 9 присвячена виключно системам обміну даними про пасажирів, в якій викладено стандарти та практики регулювання API та PNR. Додаток 9 встановлює надійні стандарти та гарантії щодо аспектів захисту персональних даних при регулюванні API/PNR, зокрема щодо гарантій законності, необхідності та пропорційності, стандартів доступу до PNR і обов'язку інформувати суб'єкта даних, запобіжників проти автоматизованої обробки даних PNR, стандартів незалежного нагляду за даними PNR, запобіжників проти дискримінації, а також стандартів і рекомендованої практики обробки даних PNR.17 18. У грудні 2016 року Рада міністрів ОБСЄ ухвалила Рішення № 6/16 «Посилення використання попередньої інформації про пасажирів», яке зобов'язує держави- учасниці створити національні системи API відповідно до положень, що містяться

10 РБ ООН, S/RES/2396 (2017) . 11 Хоча РБ ООН має загальні повноваження відповідно до статей 24 і 25 Статуту ООН ухвалювати обов'язкові до виконання рішення, які не завжди повинні ухвалюватися відповідно до Глави VII Статуту ООН, обов'язковість положень резолюції РБ ООН повинна визначатися в кожному конкретному випадку з урахуванням умов резолюції, що підлягають тлумаченню, обговорення, що призвело до її ухвалення, положень Статуту, на які вони посилаються, і, загалом, всіх обставин, які можуть допомогти у визначенні правових наслідків резолюції Ради Безпеки. Міжнародний суд ООН, Консультативний висновок щодо юридичних наслідків для держав триваючої присутності Південної Африки в Намібії (Південно-Західна Африка), незважаючи на резолюцію 276 (1970) Ради Безпеки, 21 червня 1971 року, пп. 113-114. 12 РБ ООН, S/RES/2396 (2017), п. 11. 13 РБ ООН, S/RES/2396 (2017), п. 12. 14 Україна подала повідомлення про приєднання 10 серпня 1992 року. 15 Конвенція про міжнародну цивільну авіацію (Чиказька конвенція) була підписана 7 грудня 1944 року 52 державами. Україна подала документ про приєднання до Чиказької конвенції 10 серпня 1992 року. 16 ІКАО, Додаток 9 до Конвенції про міжнародну цивільну авіацію, Міжнародні стандарти та рекомендована практика, Шістнадцяте видання, липень 2022 року. 17 Чиказька конвенція, Додаток 9, Глава 9. 10 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» в Додатку 9 до Чиказької конвенції ІКАО та узгоджені з Керівними принципами ІКАО щодо API, в тому числі щодо конфіденційності та захисту даних, з метою ефективного збору даних про пасажирів та/або членів екіпажів від авіакомпаній, що здійснюють діяльність на їхній території.18 Варто зазначити, що Рішення ОБСЄ містить пряме посилання на стандарти конфіденційності та захисту даних. 19. На рівні Ради Європи у зв'язку з цією темою слід також брати до уваги Конвенцію про захист осіб у зв'язку з автоматизованою обробкою персональних даних19 та Конвенцію про доступ до офіційних документів20. 20. Як кандидат на вступ до Європейського Союзу, Україна також повинна привести своє національне законодавство у відповідність до законодавства ЄС, а отже, відповідні положення договорів, регламентів і директив ЄС є також актуальними для цього Висновку. У зв'язку з цим слід зазначити, що проєкт Закону розроблено в рамках комплексної оцінки транспозиції правових стандартів Європейського Союзу в законодавство України та з метою імплементації Директиви ЄС про PNR, спрямованої на законодавче регулювання отримання, обробки й використання такої інформації для протидії тероризму та тяжким злочинам. 21. В Європейському Союзі (ЄС) збір, обробка та обмін даними API/PNR регулюється Директивами, що є обов'язковими для виконання державами-членами ЄС щодо результатів, які мають бути досягнуті, та повинні бути імплементовані в національне законодавство. 27 квітня 2016 року Європейський Парламент і Рада ухвалили Директиву про використання даних PNR для запобігання, виявлення, розслідування та переслідування терористичних злочинів і тяжких злочинів (далі – Директива ЄС про PNR).21 Директива визначає обов'язки держав-членів ЄС щодо збору даних PNR, вимагаючи від них створення спеціальних органів, відповідальних за збір, зберігання й обробку даних PNR (так звані підрозділи з питань інформації про пасажирів (PIU)), а також затвердження переліку компетентних органів, які мають право запитувати чи отримувати дані PNR. Зазначені підрозділи відповідають за збір даних PNR від авіакомпаній, порівняння даних PNR з відповідними базами даних правоохоронних органів та їх обробку за заздалегідь визначеними критеріями, ідентифікацію осіб, потенційно причетних до терористичного або тяжкого злочину, а також передачу даних PNR національним компетентним органам, Європолу та PIU інших країн ЄС, як спонтанно, так і у відповідь на належно обґрунтовані запити.22 22. Директива ЄС про PNR також передбачає важливі гарантії захисту даних, а саме: заборону обробки чутливих даних, знеособлення даних через шість місяців, можливість їх повторної персоналізації лише за суворих умов, видалення через п'ять років, а також призначення відповідального за захист даних у кожному PIU та нагляд за діяльністю з обробки даних з боку незалежних національних наглядових органів. Директива ЄС про PNR є найбільш всеосяжним і детальним правовим інструментом в європейському регіоні, що регулює обробку даних PNR. 23. Суд Європейського Союзу ухвалив рішення щодо законності Директиви ЄС про PNR, в якому підкреслив, що Директиву слід розглядати у світлі статей 7 (Повага

18 Рада міністрів ОБСЄ, MC.DEC/6/16, Посилення використання попередньої інформації про пасажирів, стаття 1. 19 Рада Європи, Конвенція про захист осіб у зв'язку з автоматизованою обробкою персональних даних (CETS № 108), 28 січня 1981 року, ратифікована Україною 30 вересня 2010 року і набула чинності 1 січня 2011 року. Протокол до неї (CETS № 223) ще не підписаний і не ратифікований Україною. 20 Рада Європи, Конвенція про доступ до офіційних документів (CETS № 205), 18 червня 2009 року, підписана Україною 12 квітня 2018 року, ратифікована Україною 19 серпня 2020 року та набула чинності 1 грудня 2020 року. 21 Європейський Союз, Директива (ЄС) 2016/681 Європейського Парламенту та Ради від 27 квітня 2016 року про використання даних запису реєстрації пасажирів (PNR) для запобігання, виявлення, розслідування та переслідування терористичних та тяжких злочинів (далі – Директива ЄС про PNR). 22 Європейська Комісія, Дані про пасажирів. 11 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» до приватного та сімейного життя), 8 (Захист персональних даних) та 21 (Недискримінація), а також статті 52(1) (Законність, необхідність та пропорційність обмежень) Хартії основних прав Європейського Союзу, і роз'яснив застосування стандартів необхідності, пропорційності та захисту даних відповідно до права ЄС. Додаткові корисні настанови містить нещодавня Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС.23 У цьому рішенні Суд ЄС підтвердив, що збір і використання даних PNR має бути строго обмежене боротьбою з терористичними злочинами (визначеними Директивою ЄС 2017/541)24 та тяжкими злочинами (визначеними Директивою про PNR і пов'язаними з організованою злочинністю або злочинами, за які призначається суворе покарання). Нечіткі або занадто широкі визначення тероризму або тяжких злочинів суперечать принципу обмеження мети та роблять непропорційним втручання у приватне життя.25 Що ж до невибіркового збору даних про PNR усіх пасажирів, то він може бути виправданий лише за виняткових обставин, як-от реальна і досить серйозна загроза громадській безпеці. Масовий збір даних про всіх пасажирів без диференціації або конкретного зв'язку з ризиками для громадської безпеки перевищує вимоги пропорційності. У будь- якому разі, масовий збір даних не повинен призводити до постійного, систематичного нагляду за всіма подорожніми.26 Суд ЄС також наголосив, що тривалість зберігання має бути строго необхідною та пропорційною цілям громадської безпеки. Основні вимоги щодо цього включають короткі терміни зберігання для початкового аналізу, зберігання даних протягом короткого, заздалегідь визначеного періоду (6 місяців) перед знеособленням і доступ до даних після знеособлення, чітко пов'язаний з конкретними справами, за наявності судового чи адміністративного дозволу. Понад цей період зберігання даних дозволяється лише в разі, якщо триває розслідування або існує зв'язок з конкретною загрозою, а зберігання незнеособлених даних понад 6 місяців дозволяється лише тоді, коли це суворо виправдано ризиками, пов'язаними з конкретною справою.27 Суд ЄС також постановив, що автоматизована обробка даних PNR є допустимою, але повинна обмежуватися ідентифікацією пасажирів, які можуть бути причетні до терористичної або серйозної злочинної діяльності, і що слід уникати використання дискримінаційних критеріїв (наприклад, на основі «раси»,28 релігії або етнічної належності). Крім того, автоматизовані збіги повинні бути перевірені людиною перш, ніж будуть вжиті правоохоронні заходи, а повністю автоматизоване ухвалення рішень без втручання людини може призвести

23 Європейська рада із захисту даних (ЄРЗД), Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C-817/19, ухвалена 13 березня 2025 року. 24 Див. деякі коментарі щодо відповідності правам людини визначення «терористичного злочину» в Директиві ЄС 2017/541 про боротьбу з тероризмом в Аналітичній записці БДІПЛ щодо запропонованого перегляду визначення терористичних злочинів у статті 1 Конвенції Ради Європи про запобігання тероризму (2023), зокрема, п. 12. 25 Детальніше див.: Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 141-175; Спеціальний доповідач з питань просування та захисту прав людини і основних свобод в умовах боротьби з тероризмом, Доповідь на 76-й сесії Генеральної Асамблеї, 3 серпня 2021 року, A/76/261, п. 16. 26 Детальніше див.: Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 158-175; D. Lowe, The European Union's Passenger Name Record Data Directive 2016/681: Is it fit for purpose? [Директива ЄС 2016/681 про PNR: Чи відповідає вона заявленій меті?] International Criminal Law Review 17 (1), 2017, с. 27. 27 Детальніше див.: Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 214-228; 248-262; Privacy International, Response to Model Legal Provisions [Відповідь на модельні правові норми], 16 листопада 2021 року, с. 4, 6. 28 Автори визнають, що термін «раса» є суто соціальним конструктом, який не має під собою наукового підґрунтя, тому для цілей цього Висновку термін «раса» або «расовий» може використовуватися у посиланнях на міжнародні документи, де зустрічається цей термін, щоби забезпечити охоплення всіх дискримінаційних дій, заснованих на (уявній або фактичній) передбачуваній «расі», походженні, етнічній належності, кольорі шкіри або національності особи – при цьому, як правило, перевага віддаватиметься використанню альтернативних термінів, як-от «національне або етнічне походження»; використання терміну «раса» у цьому Висновку не означає схвалення БДІПЛ будь-якої теорії, що ґрунтується на існуванні різних «рас» (див., наприклад, Практичний посібник БДІПЛ із законодавства у сфері боротьби зі злочинами на ґрунті ненависті 2022 року, переглянуте видання, виноска 14 та Розділ 2.3.1 і посилання у ньому). 12 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» до порушення права на недоторканність приватного життя та належну правову процедуру..29 24. Щодо передачі даних PNR третім країнам, то останні повинні забезпечити рівень захисту даних, еквівалентний рівню, передбаченому законодавством ЄС. Така передача повинна ґрунтуватися на угодах або рішеннях про достатність у рамках Загального регламенту про захист даних30 і обмежуватись випадками, коли держава-одержувач використовуватиме дані виключно для боротьби з тероризмом або тяжкими злочинами. Угоди про обмін даними з країнами, які не мають надійного захисту або мають нечіткі гарантії, суперечать стандартам захисту даних ЄС.31 Перед передачею даних PNR також необхідно оцінити стан дотримання прав людини та захисту даних у третій країні, а також правові гарантії та інституційний контроль і нагляд за діяльністю органу, що отримує такі дані.32 Також має бути чітке зобов'язання не передавати такі дані PNR, які можуть бути використані в цілях, що порушують права людини, наприклад, можуть призвести до катувань або іншого жорстокого поводження, або дозволять країні придушувати свободу слова чи переслідувати правозахисників, або допускати подальші порушення прав людини. 33 25. Особи, чиї дані PNR збираються, повинні мати юридично закріплені права, включаючи право на доступ, виправлення та видалення своїх даних, а також право на ефективний засіб правового захисту в разі порушення; такий засіб повинен бути швидким, практичним, а не теоретичним, доступним (без невиправданих практичних або фінансових бар'єрів) і розглядатися незалежним органом.34 Вони також мають право бути поінформованими про практику обробки даних і повинні мати судові або адміністративні засоби для оскарження незаконної обробки.35 Відсутність доступних прав і засобів правового захисту для пасажирів суперечить зобов'язанням щодо підзвітності та прозорості. Крім того, дані PNR можуть перехресно звірятися із заздалегідь визначеними контрольними списками. У такому разі ці списки повинні бути точними, регулярно оновлюватися і базуватися на об'єктивних критеріях, не призводити до профілювання на основі чутливих персональних даних або захищених характеристик (наприклад, «раси», релігії або етнічної належності), а особи повинні мати ефективний механізм для оскарження

29 Детальніше див.: Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 176-181, 202-213. 30 Європейська Комісія має повноваження визначати на підставі статті 45 Регламенту (ЄС) 2016/679, чи забезпечує країна за межами ЄС достатній рівень захисту даних. 31 Детальніше див.: Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 183-192; Privacy International, Response to Model Legal Provisions [Відповідь на модельні правові норми], 16 листопада 202 року, с. 5-6; Спеціальний доповідач з питань просування та захисту прав людини і основних свобод в умовах боротьби з тероризмом, Response to the Call for Input by OHCHR on Privacy in Digital Age [Відповідь на запит УВКПЛ матеріалів щодо недоторканності приватного життя в епоху цифрових технологій], с. 6-8. 32 Див., наприклад, для порівняння: Спеціальний доповідач ООН з питань просування та захисту прав людини і основних свобод в умовах боротьби з тероризмом, Збірка оптимальних практичних методів щодо законодавчої та інституційної основи та заходів, які забезпечують дотримання прав людини спеціальними службами в умовах боротьби з тероризмом (2010), Практика 33; див. також БДІПЛ, Керівні принципи щодо протидії загрозам і викликам з боку «іноземних бойовиків- терористів» (2018), с. 43. 33 Див., наприклад, Венеційська комісія, Звіт про демократичний нагляд за службами радіоелектронної розвідки CDL- AD(2015)011; Оновлення 2015 року Звіту про демократичний нагляд за службами безпеки 2007 року та Звіту про демократичний нагляд за службами радіоелектронної розвідки, CDL-AD(2015)006, п. 75. Див. також Спеціальний доповідач ООН з питань просування та захисту прав людини і основоположних свобод в умовах боротьби з тероризмом, Збірка оптимальних практичних методів щодо законодавчої та інституційної основи та заходів, які забезпечують дотримання прав людини спеціальними службами в умовах боротьби з тероризмом (2010), Практика 33; та БДІПЛ, Керівні принципи щодо протидії загрозам і викликам з боку «іноземних бойовиків-терористів» (2018), с. 43. 34 Стаття 2 (3) МПГПП (у поєднанні із Зауваженнями загального порядку № 31 Комітету ООН з прав людини, UN Doc. CCPR/C/21/Rev.1/Add.13 (2004)); та стаття 13 ЄКПЛ (і відповідна практика ЄСПЛ: див. Посібник із практики застосування статті 13 ЄКПЛ станом на лютий 2025 року, особливо пп. 32-55). 35 Детальніше див.: D. Lowe, The European Union's Passenger Name Record Data Directive 2016/681: Is it fit for purpose? [Директива ЄС 2016/681 про PNR: Чи відповідає вона заявленій меті?] International Criminal Law Review 17 (1), 2017, с. 27; E. Brouwer, The EU Passenger Name Record (PNR) System and Human Rights: Transferring Passenger Data or Passenger Freedom? [Система PNR в Європейському Союзі та права людини: Передача даних про пасажирів чи свобода пасажирів?], 2009, с. 26-28. 13 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» свого включення до такого списку.36 Недосконалі або застарілі контрольні списки в поєднанні з неналежним наглядом можуть призвести до хибнопозитивних результатів і невиправданих обмежень свободи пересування. 26. Важливо також розуміти контекст, у якому здійснюється обробка даних PNR, і потенційні наслідки, особливо для управління кордонами. Дані PNR розкривають схеми подорожей пасажирів і, з огляду на великий обсяг зібраної інформації, можуть також розкривати чутливі дані, наприклад, про етнічне походження, політичні погляди, релігію чи переконання або інформацію про здоров'я чи сексуальне життя,37 що може наразити людей на загрозу дискримінації чи інших порушень прав людини, навіть хоча Директива про PNR передбачає, що такі чутливі дані не можуть оброблятися.38 Автоматизована обробка даних PNR може посилити дискримінаційні практики, пов'язуючи особисті риси з конкретними ризиками. Завчасний обмін даними PNR також може призвести до обмеження свободи пересування або завадити людям ефективно шукати притулку. Дані PNR дозволяють державним органам відстежувати осіб, які ймовірно становлять ризик для безпеки країни – на основі автоматизованої обробки їхніх даних. Водночас, до доступу й обробки даних залучені різні державні органи (наприклад, правоохоронні органи, органи прикордонного контролю та митні органи). Тож існує вищий ризик неправомірного використання даних. Наглядовий орган повинен мати чіткий мандат для виконання своїх обов'язків, а також компетентності та повноваження для забезпечення дотримання прав людини. Автоматизована обробка даних PNR може створити додатковий ризик через відсутність прозорості та розуміння роботи автоматизованих систем. 27. До 28 січня 2025 року збір, обробка та обмін даними API регулювалися Директивою Ради 2004/82/ЄС від 29 квітня 2004 року про обов'язок перевізників повідомляти дані про пасажирів (далі – Директива ЄС про API).39 Ця Директива накладає на авіаперевізників зобов'язання до зльоту літака передавати на запит дані API до держави-члена ЄС, до якої прямує рейс. Це стосується вхідних рейсів з третіх країн і має на меті покращити прикордонний контроль. 28 січня 2025 року набули чинності два нових Регламенти, а саме: (i) про збір та передачу API для полегшення контролю на зовнішніх кордонах40 (далі – новий Регламент ЄС про API 2025/12 щодо прикордонного контролю) та (ii) про збір і передачу попередньої інформації про пасажирів (API) для запобігання, виявлення, розслідування та переслідування терористичних злочинів і тяжких злочинів41 (далі – новий Регламент ЄС про API 2025/13 щодо терористичних злочинів і тяжких злочинів), які разом іменуються новими Регламентами ЄС про API. Ці нові регламенти спрямовані на запровадження єдиних вимог до збору даних API перевізниками, підвищення якості даних API, збору даних авіаперевізниками з використанням автоматизованих засобів, обов'язкової передачі даних державам-членам та

36 Детальніше див.: Спеціальний доповідач з питань просування та захисту прав людини і основоположних свобод в умовах боротьби з тероризмом, Консультативна зустріч експертів БДІПЛ з питань прав людини, пов'язаних зі збором та обміном інформацією та новими технологіями в управлінні кордонами в умовах боротьби з тероризмом та свободи пересування, 15 червня 2020 року, с. 3. 37 Рада Європи, Конвенція про захист осіб у зв'язку з автоматизованою обробкою персональних даних (CETS № 108), стаття 6. 38 Директива ЄС про PNR 2016/681, стаття 13. Див. також БДІПЛ, Аналітична записка: Управління кордонами та права людини – Збір, обробка й обмін персональними даними та використання нових технологій у контексті боротьби з тероризмом і забезпечення свободи пересування (2021), с. 13. 39 Директива Ради 2004/82/ЄС від 29 квітня 2004 року про обов'язок перевізників передавати дані пасажирів <https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A32004L0082>. 40 Регламент (ЄС) 2025/12 Європейського Парламенту та Ради від 19 грудня 2024 року про збирання та передачу попередньої інформації про пасажирів для підвищення ефективності та полегшення прикордонного контролю, що вносить зміни до Регламентів (ЄС) 2018/1726 та (ЄС) 2019/817 та скасовує Директиву Ради 2004/82/ЄС. 41 Регламент (ЄС) 2025/13 Європейського Парламенту та Ради від 19 грудня 2024 року про збирання та передачу попередньої інформації про пасажирів для запобігання, виявлення, розслідування та переслідування терористичних злочинів і тяжких злочинів та внесення змін до Регламенту (ЄС) 2019/818. 14 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» підвищення ефективності передачі даних авіаперевізниками державам-членам, а також на забезпечення повної відповідності правилам ЄС щодо захисту даних.42 Вони також роз'яснюють, що правила Директиви ЄС про PNR застосовуються до питань, які конкретно не охоплені новим Регламентом ЄС про API 2025/13 щодо терористичних злочинів і тяжких злочинів, а надто стосовно правил подальшої обробки даних API, отриманих PIU, обміну інформацією між державами-членами, умов доступу для Європейського поліцейського офісу (Європолу), передачі даних третім країнам, зберігання та знеособлення, а також захисту персональних даних.43

Захист даних і право на повагу до приватного життя

28. Права людини та основні свободи часто обмежують начебто заради безпеки. Іноді питання прав людини та безпеки сприймають як такі, що знаходяться в обернено пропорційній залежності одне від одного – тобто для підвищення рівня безпеки потрібно зменшити обсяг прав людини, – проте зобов'язання в рамках ОБСЄ з питань людського виміру та підхід ООН полягають у тому, що ефективні заходи безпеки та захист прав людини не суперечать, а підсилюють одне одного.44 По суті, повага до прав людини й основних свобод для всіх, до демократії та верховенства права є наріжним каменем схваленої ОБСЄ всеосяжної концепції безпеки 45 і має лягти в основу будь-якої реформи сектору безпеки.46 29. Держави-учасниці ОБСЄ визнали47 важливість підходу, орієнтованого на «безпеку людини», за якого права та безпекові потреби людей лежать в основі функцій безпеки. Згідно з цим підходом, головною метою інститутів сектору безпеки є достатнє й ефективне надання послуг усім членам суспільства, незалежно від їх національного чи етнічного походження, політичних або інших переконань, статі, ґендерної ідентичності чи сексуальної орієнтації, релігії чи переконань або будь- яких інших ознак.48 Сектор безпеки, включаючи правоохоронні органи й органи управління кордонами, підпорядковується тим самим стандартам належного врядування, що й будь-який інший сектор державного управління, і повинен у підзвітний та ефективний спосіб забезпечувати безпеку в рамках демократичного цивільного контролю, верховенства права та поваги до прав людини, в тому числі ґендерної рівності.49 30. Основні права людини також відіграють значну роль у контексті управління кордонами та збору даних. Варто зазначити, що Резолюція РБ ООН 2396 закликає збирати, обробляти й аналізувати дані API та PNR відповідно до внутрішнього законодавства та міжнародних зобов'язань, а також з повною повагою до прав людини та основних свобод.50 Відповідно до Резолюції, використання даних PNR має обмежуватися цілями запобігання, виявлення й розслідування терористичних

42 <https://ec.europa.eu/commission/presscorner/detail/en/ip_24_1262>. 43 Див. новий Регламент ЄС про АРІ 2025/13 щодо терористичних злочинів і тяжких злочинів, Розділ 5. 44 БДІПЛ, Інформаційна довідка щодо реагування на транснаціональні загрози та виклики в регіоні ОБСЄ: людський вимір (2012). Див. також Генеральна Асамблея ООН, 15 вересня 2005 року, A/60/L.1, п. 72, і Генеральний секретар ООН Кофі Аннан, Звернення до Ради Безпеки 18 січня 2002 року. 45 ОБСЄ, Стамбульська хартія європейської безпеки (1999), п. 19. 46 ОБСЄ, Хартія про запобігання тероризму та боротьбу з ним, 10-та зустріч Ради міністрів, Порту, 2002, пп. 5-7; та Консолідована концептуальна база ОБСЄ для боротьби з тероризмом, затверджена Рішенням № 1063 Постійної ради на 934- му пленарному засіданні 7 грудня 2012 року (PC.DEC/1063). Див. також ООН, Глобальна контртерористична стратегія і план дій (2006), Компонент IV; та Заяву міністрів ОБСЄ на підтримку Глобальної контртерористичної стратегії ООН (MC.DOC/3/07, 30 листопада 2007 року). Див. також Спільну заяву Верховного комісара ООН з прав людини, Генерального секретаря Ради Європи та Директора БДІПЛ (29 листопада 2001 року). 47 ОБСЄ, Стратегія протидії загрозам безпеці та стабільності у 21 столітті, Маастрихт, 2003. 48 Див., наприклад, Женевський центр демократичного контролю над збройними силами (ДКЗС), БДІПЛ та ООН-Жінки, Підхід до питання про жінок, мир і безпеку в контексті управління сектором безпеки. Концептуальна записка; БДІПЛ, Інформаційна довідка щодо реагування на транснаціональні загрози та виклики в регіоні ОБСЄ: людський вимір (2012), с. 2. 49 Генеральний секретар ОБСЄ, Звіт про підхід ОБСЄ до управління та реформування сектору безпеки (SSG/R) (2019), с. 2. 50 РБ ООН, S/RES/2396 (2017), пп. 11-13. 15 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» злочинів.51 Тож можна дійти висновку, що держави, створюючи законодавчу базу щодо даних API та PNR, повинні дотримуватися своїх зобов'язань поважати та захищати основні права людини, як передбачено міжнародним правом.

Право на повагу до приватного життя

31. Неможливість ефективно здійснювати право на повагу до приватного життя ставить під загрозу повну реалізацію широкого спектру інших прав. Захист персональних даних нерозривно пов'язаний із правом на повагу до приватного життя і є особливо актуальним в контексті обробки даних для цілей управління кордонами, зокрема в контексті боротьби з тероризмом. 32. Право на повагу до приватного і сімейного життя закріплено в ключових міжнародних і регіональних документах, включаючи статтю 17 Міжнародного пакту про громадянські і політичні права52 (МПГПП), статтю 8 Європейської конвенції про захист прав людини і основоположних свобод53 (ЄКПЛ) і статтю 7 Хартії основних прав ЄС. 33. Як зазначає Спеціальний доповідач ООН з права на недоторканність приватного життя, «необхідно, щоби держави розробили схему для забезпечення дотримання права на захист персональних даних таким чином, щоби суб'єкти даних отримували інформацію про їх обробку, могли здійснювати належний контроль над своїми даними і в разі порушення могли обрати засіб правового захисту, спрямований на відновлення їхнього права, відшкодування або компенсацію за завдану шкоду, залежно від обставин... Відповідальність держав щодо права на недоторканність приватного життя та захисту даних в епоху цифрових технологій передбачає, окрім утримання від порушення цих прав і їх дотримання, ще й необхідність вжиття позитивних заходів для ефективної реалізації цих прав.»54 У сфері збору й обміну даними API/PNR відбувається взаємодія відповідальних органів з суб'єктами приватного сектору, а саме з авіакомпаніями, що вимагає особливої ретельності у виконанні чинних обов'язків щодо дотримання прав на повагу до приватного життя. У зв'язку з цим слід зазначити, що в Рішенні Ради міністрів ОБСЄ № 6/16 держави-учасниці ОБСЄ зобов'язалися створити системи API відповідно до стандартів захисту даних і поваги до приватного життя. 34. Стаття 7 Хартії основаних прав ЄС також захищає право на недоторканність приватного життя, що кореспондується зі статтею 8 Європейської конвенції про захист прав людини і основоположних свобод (далі – ЄКПЛ), причому значення та обсяг цього права є однаковими в обох документах. Отже, обмеження, що можуть бути законно накладені на це право, є такими самими, як і ті, що дозволені статтею 8 ЄКПЛ. Втручання у право на повагу до приватного життя є допустимим лише тоді, коли воно відповідає суворим вимогам статті 8 (2) ЄКПЛ, тобто таке втручання має здійснюватися «згідно із законом», переслідувати «законну мету» (як-от захист національної та громадської безпеки чи економічного добробуту країни, запобігання заворушенням чи злочинам, захист здоров'я чи моралі або

51 РБ ООН, S/RES/2396 (2017), пп. 11-13. 52 Міжнародний пакт про громадянські і політичні права (МПГПП), прийнятий Генеральною Асамблеєю ООН резолюцією 2200А (XXI) від 16 грудня 1966 року. Україна здала на зберігання свою ратифікаційну грамоту про ратифікацію МПГПП 12 листопада 1973 року . Стаття 17 Пакту проголошує, що "ніхто не може зазнавати безпідставного або незаконного втручання в його особисте і сімейне життя, безпідставного посягання на недоторканність його житла або таємницю його кореспонденції, а також незаконного посягання на його честь і репутацію". 53 Конвенція Ради Європи (РЄ) про захист прав людини і основоположних свобод набула чинності 3 вересня 1953 року. Україна здала на зберігання свою ратифікаційну грамоту ЄКПЛ на 11 вересня 1997 року. 54 Рада з прав людини Генеральної Асамблеї ООН, A/HRC/55/46, Доповідь Спеціального доповідача з питання про право на недоторканність приватного життя: Правові механізми захисту персональних даних та недоторканності приватного життя в епоху цифрових технологій, 18 січня 2024 року, пп. 12-13. 16 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» захист прав і свобод інших осіб), а також бути «необхідним у демократичному суспільстві» і строго пропорційним переслідуваній меті. 35. В ЄС сам захист даних є правом, що відображено у статті 8 Хартії основних прав ЄС та статті 16 Договору про функціонування Європейського Союзу (далі – ДФЄС). Суд ЄС зазначив, що збір, обробка, зберігання та передача даних API/PNR, як того вимагають резолюція Ради Безпеки 2396 (2017) та резолюція Ради Безпеки 2482 (2019)55, самі собою вже є серйозним втручанням у право на недоторканність приватного життя.56 36. Втручання у право на повагу до приватного і сімейного життя, захищене, зокрема, статтею 17 МПГПП, статтею 8 ЄКПЛ та статтею 7 Хартії основних прав ЄС, може, однак, бути виправданим за умови, що воно ґрунтується на законі, є необхідним і пропорційним для досягнення законної мети.57 Крім того, обмеження має бути недискримінаційним (статті 2 і 26 МПГПП, стаття 14 ЄКПЛ і Протокол № 12 до ЄКПЛ58 та стаття 21 Хартії основних прав ЄС). 37. Вимога, щоби втручання ґрунтувалося на законі, полягає не лише в тому, щоб обмеження мало чітку основу в національному законодавстві, але також стосується якості відповідного законодавства, яке має бути чітким, передбачуваним і достатньо доступним.59 Таким чином, згадане законодавство має бути достатньо чітким і точним, щоби дозволити особам діяти відповідно до закону, при цьому чітко окреслюючи сферу дискреційних повноважень органів державної влади і надаючи розумні орієнтири щодо того, як ці положення будуть тлумачитися і застосовуватися.60 Пропорційність вимагає, щоб обраний захід був доречним, найменш інтрузивним і пропорційним, строго кажучи, для досягнення переслідуваної мети. Отже збір, обробка, зберігання та передача даних API/PNR повинні бути відповідними та пропорційними меті боротьби з тероризмом або тяжкими кримінальними злочинами. Закон повинен надавати дозвіл на збір, обробку, зберігання та передачу даних API/PNR компетентними органами; передбачати обмеження мети збору, обробки, зберігання та передачі даних API/PNR вузько визначеними злочинами (строго і точно визначеного) тероризму61 та тяжкими кримінальними злочинами; гарантувати, що збір персональних даних обмежується тими з них, які безпосередньо стосуються і є необхідними для досягнення визначеної мети; забезпечувати точність, конфіденційність і цілісність даних; регулювати повноваження для уникнення зловживань даними API/PNR; і,

55 РБ ООН, S/RES/2396 (2017), п. 12; і РБ ООН, S/Res/2482 (2019), п. 15. 56 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 111. 57 Стаття 8(2) ЄКПЛ передбачає: «Органи державної влади не можуть втручатись у здійснення цього права, за винятком випадків, коли втручання здійснюється згідно із законом і є необхідним у демократичному суспільстві в інтересах національної та громадської безпеки чи економічного добробуту країни, для запобігання заворушенням чи злочинам, для захисту здоров'я чи моралі або для захисту прав і свобод інших осіб». Див. також Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 113. 58 Україна ратифікувала Протокол №. 12 до ЄКПЛ 27 березня 2006 року, і він набув чинності 1 липня 2006 року. 59 Див., наприклад, Комітет ООН з прав людини, Зауваження загального порядку № 16: Стаття 17 (Право на недоторканність приватного життя), Право на повагу до приватного і сімейного життя, житла і кореспонденції та захист честі і репутації; див. також ЄСПЛ, Silver and Others v. the United Kingdom, no. 5947/72; 6205/73; 7052/75; 7061/75; 7107/75; 7113/75; 7136/75, 25 березня 1983 року, п. 87. 60 Див, наприклад, ЄСПЛ, справа Lebois v. Bulgaria, № 67482/14, 19 жовтня 2017 року, пп. 66-67. Див. також, наприклад, Венеційська комісія, Мірило правовладдя (Контрольний список запитань для оцінки дотримання верховенства права), CDL- AD(2016)007, п. 58. Крім того, див. ЄСПЛ, The Sunday Times v. the United Kingdom (№ 1), № 6538/74, де Суд постановив, що «закон повинен бути сформульований з достатньою точністю, щоб дозволити громадянину регулювати свою поведінку, маючи можливість передбачити, що є розумним і які наслідки може спричинити та чи інша дія». 61 Щодо визначення поняття «тероризм» див. Аналітичну записку БДІПЛ щодо запропонованого перегляду визначення терористичних злочинів у статті 1 Конвенції Ради Європи про запобігання тероризму (2023). Пропоноване модельне визначення тероризму на основі цих критеріїв див.: Спеціальний доповідач ООН з питань протидії тероризму, Доповідь Раді ООН з прав людини («Десять елементів передової практики у сфері боротьби з тероризмом»), UN Doc. A/ HRC/16/51, 22 грудня 2010 року, п. 28. 17 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» нарешті, передбачати механізми захисту прав суб'єктів даних і забезпечувати доступ до ефективних засобів правового захисту в разі їх порушення.62

Право на захист даних

38. Право на захист даних не є окремим правом відповідно до МПГПП. Водночас Комітет ООН з прав людини роз'яснив, що стаття 17 МПГПП також вимагає, щоби «кожен мав право в зрозумілій формі з'ясовувати, чи зберігаються його персональні дані в автоматизованих файлах даних, і якщо так, то які саме і з якою метою. Кожен також повинен мати можливість з'ясувати, які органи державної влади або приватні особи чи організації контролюють або можуть контролювати його файли. Якщо такі файли містять некоректні персональні дані або були зібрані чи оброблені всупереч положенням закону, кожен повинен мати право вимагати їх виправлення або знищення».63 Дві резолюції ООН, ухвалені у 2016 та 2017 роках, також є актуальними, оскільки вони стосуються відповідальності приватного сектору за дотримання прав людини. Резолюції закликають компанії інформувати користувачів про збір, використання, поширення та зберігання персональних даних, а також встановлювати прозорі політики їх обробки.64 За словами Спеціального доповідача ООН з права на недоторканність приватного життя, «обробка персональних даних повинна здійснюватися з повагою та відповідно до низки принципів і вимог, що забезпечить належне поводження з особистою інформацією, гарантуючи, зокрема, право на недоторканність приватного життя та безперешкодний розвиток особистості..... Для досягнення цієї мети суб'єкти даних повинні мати можливість здійснювати контроль над своєю особистою інформацією, саме тому закони про захист даних і недоторканність приватного життя надають їм низку прав».65 Деякі з цих прав мають особливе значення в контексті збору й обробки даних API/PNR, про що йтиметься нижче. 39. Право на захист персональних даних також не є окремим правом за ЄКПЛ, але ЄСПЛ визнав, що захист персональних даних має фундаментальне значення для реалізації особою свого права на повагу до приватного і сімейного життя, житла і кореспонденції, гарантованого статтею 8 Конвенції.66 У своїх рішеннях ЄСПЛ спирається на право на повагу до приватного життя у зв'язку з автоматизованою обробкою персональних даних, закріплене в Конвенції про захист осіб у зв'язку з автоматизованою обробкою персональних даних (Конвенція 108)67 та Протоколі про внесення змін68 до неї, які Україна ще не ратифікувала (Конвенція 108 відома також як модернізована Конвенція про захист осіб у зв'язку з автоматизованою обробкою персональних даних, далі – модернізована Конвенція 108). Модернізована Конвенція 108 передбачає юридично обов'язкові зобов'язання у сфері захисту даних, має глобальний вимір і горизонтальну сферу застосування,

62 Див. також: Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 141-119-140. 63 Див., наприклад, Комітет ООН з прав людини, Зауваження загального порядку № 16: Стаття 17 (Право на недоторканність приватного життя), Право на повагу до приватного і сімейного життя, житла і кореспонденції та захист честі і репутації, п. 10. 64 ООН, Генеральна Асамблея, Переглянутий проєкт резолюції про право на недоторканність приватного життя в цифрову епоху, A/C.3/71/L.39/Rev.1, Нью-Йорк, 16 листопада 2016 року; ООН, Рада з прав людини, Право на недоторканність приватного життя в цифрову епоху, A/HRC/34/L.7/Rev.1, 22 березня 2017 року. 65 ООН, Доповідь Спеціального доповідача з питання про прав на недоторканність приватного життя, Правові механізми захисту персональних даних та недоторканності приватного життя в епоху цифрових технологій, A/HRC/55/46, пп. 22-23. 66 Європейський суд з прав людини, Посібник з прецедентного права Конвенції – Захист даних, 31 серпня 2024 року (останнє оновлення), п. 3. 67 Рада Європи, Конвенція про захист осіб у зв'язку з обробкою персональних даних, 28 січня 1981 року. Ратифікована Україною 6 липня 2010 року. 68 Рада Європи, Протокол про внесення змін до Конвенції про захист осіб у зв'язку з автоматизованою обробкою персональних даних (CETS № 223). Україна не підписала і не ратифікувала цей Протокол. 18 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» тобто застосовується до обробки даних як у державному, так і в приватному секторах. 40. Модернізована Конвенція 108 застосовується до всієї обробки даних, що здійснюється як приватним, так і державним сектором, включаючи обробку даних судовими та правоохоронними органами. Відповідно до неї, персональні дані означають «будь-яку інформацію, яка стосується конкретно визначеної особи або особи, що може бути конкретно визначеною». Такі дані охоплюють не лише інформацію, що безпосередньо ідентифікує «суб'єкта даних» (наприклад, ім'я та прізвище), а й будь-який елемент, що опосередковано ідентифікує особу (наприклад, інтернет-протокол або IP адреса). Відповідно до статті 2 Конвенції 108, «обробка даних» включає «будь-яку операцію або сукупність операцій, що здійснюються з персональними даними, як-от збирання, зберігання, збереження, зміну, витяг, розкриття, надання, видалення, знищення або проведення логічних та/чи арифметичних операцій з такими даними». Вона спрямована на захист суб'єктів даних від зловживань, які можуть виникнути в результаті обробки персональних даних, і регулює транскордонний обмін персональними даними. Відповідно до статті 6 модернізованої Конвенції 108, персональні дані, що розкривають «расове» походження, політичні погляди, релігійні або інші переконання, а також інформацію про здоров'я чи статеве життя особи або про будь-яку судимість, не можуть автоматично оброблятися, якщо національне законодавство не передбачає відповідних гарантій, які доповнюють гарантії Конвенції 108 і які повинні «захищати від ризиків, які обробка чутливих даних може становити для інтересів, прав та основних свобод суб'єкта даних, зокрема, від ризику дискримінації» (нова стаття 6(1) і (2) модернізованої Конвенції 108). Інформація, що підпадає під ці категорії, описані як «чутливі», вимагає підвищеного рівня захисту та додаткових гарантій69, а автоматична обробка таких чутливих даних «дозволяється лише тоді, коли в законі закріплені відповідні гарантії». 41. Щоб оцінити, чи відповідає певний захід умові «необхідності в демократичному суспільстві», ЄСПЛ перевіряє, чи відповідає цей захід вимогам, переліченим у статті 5 Конвенції 108. Так, він з’ясовує, чи були персональні дані, що піддаються автоматизованій обробці, отримані та оброблені справедливо і законно. Щоб оцінити, чи мало втручання законну мету, Суд аналізує, чи було дотримано вимогу, згідно з якою персональні дані, що піддаються автоматизованій обробці, повинні збиратися для чітких, визначених і законних цілей. ЄСПЛ розглядає, зокрема, чи було дотримано вимог щодо мінімізації обсягу зібраних даних, забезпечення їх точності, достатності, релевантності та ненадмірності відносно цілей, для яких вони обробляються; обмеження тривалості їх зберігання; використання їх для

69 Протокол (CETS: 223), що вносить зміни до Конвенції 108 (або модернізованої Конвенції 108), хоча ще не підписаний і не ратифікований Україною, визначає, що автоматична обробка таких чутливих даних «дозволяється лише тоді, коли в законі закріплені відповідні гарантії, що доповнюють гарантії [Конвенції]», які повинні «захищати від ризиків, які обробка чутливих даних може становити для інтересів, прав та основних свобод суб'єкта даних, зокрема від ризику дискримінації» (запропонована нова стаття 6(1) та (2) Конвенції). У Пояснювальній доповіді до Протоколу 223 також наводяться приклади типів додаткових гарантій, які можуть розглядатися окремо чи в різних поєднаннях щодо обробки таких чутливих даних, включаючи пряму згоду суб'єкта даних; закон, що визначає передбачувану мету та засоби обробки або вказує на виняткові випадки, коли обробка таких даних може бути дозволена; зобов'язання щодо дотримання професійної таємниці; заходи, що вживаються за результатами аналізу ризиків (оцінка ризиків перед обробкою повинна визначати, чи є дані захищеними від несанкціонованого доступу до них, їхньої зміни, а також від вилучення або знищення, а також має бути спрямована на забезпечення високих стандартів захисту даних впродовж усієї обробки; така оцінка повинна ґрунтуватися на міркуваннях необхідності та пропорційності, а також на фундаментальних принципах захисту даних у всьому діапазоні ризиків, включаючи фізичну доступність, мережевий доступ до пристроїв і даних, резервне копіювання й архівування даних; див. Конвенцію 108, Керівні принципи захисту осіб у зв'язку з обробкою персональних даних у перебігу та для цілей політичних кампаній (2021), п. 4.3.5); конкретний і кваліфікований організаційний або технічний захід безпеки; див. Пояснювальний звіт - CETS 223 - Автоматична обробка персональних даних (Протокол про внесення змін), 10 жовтня 2018 року, п. 56. 19 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» цілей, для яких ці дані були зібрані; а також забезпечення прозорості обробки даних.70 42. Іншим ключовим принципом є те, що гарантується обмін персональними даними між сторонами Конвенції 108, хоча може бути запроваджено обмеження на обмін інформацією, якщо законодавство держави-одержувача не забезпечує захисту, еквівалентного тому, що існує в державі-відправнику. Конвенція 108 також, серед іншого, регулює обов'язкове створення національних органів нагляду за захистом даних. 43. В ЄС право на захист даних вважається основоположним правом, відмінним від права на недоторканність приватного життя. Стаття 8 Хартії основних прав ЄС не лише посвідчує право на захист даних, але й окреслює основні принципи, пов'язані з ним. У ній зазначено, що обробка даних повинна здійснюватися справедливо, з чітко визначеними цілями та на основі згоди особи або на законній правовій основі. Крім того, особи мають право на доступ до своїх персональних даних і право вимагати їх виправлення, а дотримання цих принципів контролюється незалежним органом.71 44. Ключовим інструментом захисту даних в ЄС є Загальний регламент про захист даних (далі – GDPR)72. Він забезпечує права на захист даних у всіх сферах, за винятком правоохоронної діяльності, яка регулюється Директивою про правоохоронну діяльність 2016/680 (далі – Директива про правоохоронну діяльність).73 Окремо щодо інформації PNR, дані повинні передаватися або оброблятися відповідно до GDPR (див. статтю 21 (2) Директиви про PNR з посиланням на попередника GDPR, а саме Директиву ЄС 95/46/EC), окрім випадків, коли існує мета кримінального правосуддя (тероризм або тяжкі злочини); тоді застосовуються правила Директиви про правоохоронну діяльність. 45. Стаття 5 GDPR встановлює принципи, що регулюють обробку персональних даних. Ці принципи включають законність, добросовісність і прозорість; обмеження мети; мінімізацію даних; точність даних; обмеження зберігання; цілісність і конфіденційність.74

70 Європейський суд з прав людини, Посібник з практики застосування Конвенції - Захист даних, 31 серпня 2024 року (останнє оновлення), п. 108. 71 Агентство ЄС з питань основоположних прав, Рада Європи та Європейський наглядовий орган із захисту даних, Посібник з європейського законодавства про захист даних – видання 2018 року, с. 19. 72 Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб у зв'язку з обробкою персональних даних і про вільний рух таких даних та про скасування Директиви 95/46/ЄС (Загальний регламент про захист даних, GDPR). 73 Директива ЄС 2016/680 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб при обробці персональних даних компетентними органами з метою запобігання, розслідування, виявлення або кримінального переслідування кримінальних злочинів або виконання кримінальних покарань, а також про вільний рух таких даних, OJ L 119, 4 травня 2016 року. 74 Принцип законності детально викладений у статті 6(1), яка вимагає, щоб будь-яка операція з обробки даних ґрунтувалася принаймні на одній із шести правових підстав, наведених у вичерпному переліку (тобто вимога щодо правових підстав виконується, якщо отримано згоду відповідної особи; обробка даних необхідна для виконання договору; обробка даних необхідна, оскільки існує відповідне юридичне зобов'язання; обробка даних необхідна для захисту життєво важливих інтересів; обробка даних необхідна для виконання завдання, що здійснюється в інтересах суспільства / на виконання офіційних повноважень; або обробка даних необхідна для представлення законних інтересів). Значення принципу прозорості витікає з Преамбули 39 GDPR, в якій зазначено, що «фізичні особи повинні бути обізнані про те, що їхні персональні дані збирають, використовують, обговорюють або іншим чином обробляють, а також про те, в якому обсязі ці дані обробляють чи оброблятимуть»; суб'єкти даних повинні бути «поінформовані про ризики, правила, гарантії та права, пов'язані з обробкою... і про те, як користуватися своїми правами»; уся інформація, що їм надається, має бути «доступною та зрозумілою», а також викладеною «чіткою і простою мовою». Принцип обмеження мети, який також закріплений у статті 8 (2) Хартії основних прав ЄС, гарантує, що персональні дані використовуються лише для заявленої та визначеної мети (цілей); обмеження мети має гарантувати, що контролери даних не здійснюють подальшу обробку зібраних даних, якщо така обробка перевищує початкову мету або є несумісною з визначеною метою. Принцип мінімізації даних по суті є принципом пропорційності, оскільки будь- яке втручання в основне право на захист даних має бути пропорційним, а будь-яка обробка персональних даних має бути необхідною. Стаття 5 (1) (e) GDPR вимагає від контролера даних обмежити період збору персональних даних тим, що є строго необхідним для цієї мети. Стаття 5 (1) (d) вимагає, щоб персональні дані були точними і, за необхідності, підтримувалися в

20 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» 46. У Главі III GDPR викладені права суб'єкта даних, які включають доступ до інформації та її прозорість (статті 13 і 15 GDPR). Тому кожен суб'єкт даних має право на інформацію про обробку його персональних даних будь-яким контролером даних, за винятком обмежених випадків. Інші права суб'єктів даних, особливо актуальні для обробки даних API/PNR, включають право на доступ до власних даних та отримання певної інформації про їх обробку; право на виправлення даних контролером, який обробляє їхні дані, якщо дані є неточними (стаття 16 GDPR); право вимагати від контролера, за необхідності, видалення своїх даних, якщо контролер обробляє їх незаконно (стаття 17 GDPR); право тимчасово обмежити обробку та перенести свої дані до іншого контролера за певних умов; право заперечувати проти обробки на підставах, пов'язаних з їхньою конкретною ситуацією, та проти використання їхніх даних для цілей прямого маркетингу (стаття 21 GDPR). Стаття 25 GDPR встановлює ідею захисту даних «за призначенням і за замовчуванням». Це вимагає від контролерів вжити відповідних технічних та організаційних заходів, призначених для реалізації принципів захисту даних. Це означає, що під час програмування, проєктування та концептуалізації систем і програм, а також придбання систем і послуг у третіх осіб контролер повинен забезпечити врахування захисту даних і належну інтеграцію принципів GDPR у діяльність з обробки даних. Коли певна операція обробки (або сукупність операцій зі схожими характеристиками) становить високий ризик для прав і свобод фізичних осіб, передбачено оцінювання впливу на захист даних (DPIA) (стаття 35 GDPR). Суб'єкти даних також мають право подати скаргу до наглядового органу та право на ефективний судовий захист. Ключовим правом суб'єктів даних є право не бути об'єктом рішень, заснованих виключно на автоматизованій обробці, включаючи профілювання, які мають юридичні наслідки або які суттєво впливають на нього або неї. Інші права включають право на втручання людини в обробку даних з боку контролера, висловлення своєї позиції та оскарження рішення, що ґрунтується на автоматизованій обробці. ЄСПЛ також визнає деякі з цих прав у своїй практиці.75 47. Суд ЄС розглядав питання про правила захисту даних, які застосовуються до автоматизованої обробки даних PNR у справі Ligue des droits humains.76 Як зазначалося вище, Директива ЄС про PNR дозволяє авіакомпаніям ділитися даними PNR з державними органами (правоохоронними органами) виключно з метою боротьби з тероризмом та іншими тяжкими злочинами (стаття 1(2) Директиви ЄС про PNR). 48. Суд ЄС постановив, що GDPR застосовується до обробки персональних даних відповідно до національного законодавства, яке імплементує Директиву про API та Директиву про PNR, охоплюючи як приватних операторів, так і органи державної влади. Однак його норми не поширюються на обробку даних, яку здійснюють підрозділи з питань інформації про пасажирів (PIU) або державні органи, уповноважені запобігати, виявляти, розслідувати та переслідувати терористичні та тяжкі злочини. До того ж, збір та передача даних PNR від суб'єктів приватного сектору відповідним державним органам, як-от PIU, повинні відповідати вимогам

актуальному стані, а також щоби було вжито всіх розумних заходів для негайного видалення або виправлення неточних даних. Принцип обмеження терміну зберігання вимагає, щоб обробка даних була обмежена в часі (Преамбула 39 GDPR передбачає, що «для того, щоб гарантувати, що персональні дані не зберігаються довше, ніж це необхідно, контролер повинен встановити часові межі для видалення або періодичного перегляду»). Принцип конфіденційності та цілісності детально описаний у статті 32 GDPR. 75 Європейський суд з прав людини, Посібник з практики застосування Конвенції – Захист даних, 31 серпня 2004 року (останнє оновлення), глава II.B. 76 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року. 21 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» GDPR.77 Будь-які винятки, як-от зазначені в статті 23(1)(f) GDPR (що охоплює передачу даних для запобігання, розслідування, виявлення або переслідування кримінальних злочинів або виконання кримінальних покарань, включаючи забезпечення громадської безпеки), повинні тлумачитися відповідно до права на недоторканність приватного життя (стаття 7) та захисту персональних даних (стаття 8), гарантованих Хартією основних прав ЄС. Крім того, за Директивою про PNR, PIU та інші правоохоронні органи повинні поводитися з переданими персональними даними відповідно до стандартів GDPR, за винятком випадків, коли обробка пов'язана з цілями кримінального правосуддя (наприклад, тероризм або тяжкі злочини) і коли переважну силу мають правила Директиви про правоохоронну діяльність. PIU здійснюють обробку персональних даних на підставі конкретних запитів компетентних органів. Щодо обробки даних API, то в рішенні Суду ЄС зазначено, що Директива про правоохоронну діяльність не застосовується. Позаяк основною метою збору даних API є прикордонний контроль, усі операції, пов'язані з обробкою цих даних, повинні регулюватися нормами GDPR. Директива про правоохоронну діяльність стає актуальною лише тоді, коли дані API використовуються в правоохоронних цілях, як це визначено в національному законодавстві (стаття 6(1) Директиви про API). 49. Відповідно до статті 47 Хартії основних прав ЄС, особи мають право на ефективний засіб правового захисту, якщо порушено їхні права на захист даних. Це означає, що особи можуть оскаржувати рішення, ухвалені контролерами даних, і домагатися відшкодування, включаючи компенсацію за завдані збитки. 50. За словами Спеціального доповідача ООН з питання про право на недоторканність приватного життя, різні міжнародні та регіональні документи зумовлюють цілу низку прав на захист даних. Ці права включають право на інформацію, право на доступ, право на виправлення, право на оновлення інформації на цифрових носіях, право на видалення, право на забуття, право на обмеження обробки, право на перенесення даних, право на заперечення, право не бути об'єктом рішення, заснованого на автоматизованій обробці, включаючи профілювання, і право на цифровий заповіт.78 Спеціальний доповідач ООН також розробив комплекс керівних принципів, що базуються на модернізованій Конвенції 108 та резолюції 45/95 Генеральної Асамблеї79 на додаток до GDPR, які включають принципи законності, правомірності та легітимності, згоди, прозорості, мети, справедливості, пропорційності, мінімізації, якості, відповідальності та безпеки.80

Потенційний вплив на інші права людини й основоположні свободи

51. Збір, обробка й обмін персональними даними, що містяться в наборах даних API та PNR, здатних впливати на ухвалення рішень на міжнародних кордонах, також можуть призвести до порушення інших прав людини.81 Неправильні або невідповідні записи в даних API або PNR можуть вплинути на право особи на свободу пересування й інші права. Стаття 12 МПГПП гарантує кожному право залишати будь-яку країну, включаючи свою власну, і право в'їжджати до своєї

77 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 83-84. 78 ООН, A/HRC/55/46, Доповідь Спеціального доповідача з права на приватність – Правові механізми захисту персональних даних та недоторканності приватного життя в епоху цифрових технологій, 18 січня 2024 року. 79 Під назвою «Керівні принципи регулювання комп'ютеризованих файлів персональних даних». 80 ООН, Записка Генерального секретаря, A/77/196*, Право на недоторканність приватного життя – Доповідь, підготовлена Спеціальним доповідачем з питання про право на недоторканність приватного життя, 20 липня 2022 року. 81 Наприклад, БДІПЛ, Аналітична записка: Управління кордонами та права людини – Збір, обробка й обмін персональними даними та використання нових технологій у контексті боротьби з тероризмом і забезпечення свободи пересування (2021). 22 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» країни.82 При тому, що в'їзд негромадянина на територію держави може бути обмежений, будь-які обмеження повинні відповідати міжнародним зобов'язанням у сфері прав людини та враховувати інші права, як-от недискримінація, заборона жорстокого, нелюдського або такого, що принижує гідність, поводження та повага до сімейного життя. 52. Залежно від того, як дані API/PNR впливають на потенційні рішення, ухвалювані у сфері управління кордонами та безпеки, вони також можуть прямо чи опосередковано впливати на права осіб з особливими потребами у захисті, як-от біженці та шукачі притулку, діти та жертви торгівлі людьми. Необхідно дотримуватися принципу найкращого забезпечення інтересів дитини (див. статтю 3 Конвенції про права дитини). Слід уникати використання даних PNR як заходу імміграційного контролю. Право шукати притулок і користуватися ним закріплено в статті 14 Загальної декларації прав людини (ЗДПЛ) і розвинуто в Конвенції про статус біженців 1951 року і Протоколі до неї.83 Передбачена Конвенцією міжнародна система захисту встановлює основні права біженців і пов'язані з ними зобов'язання держав, включаючи заборону примусового повернення в країну, де їхньому життю або свободі загрожує небезпека (недопущення примусового вислання).84 Держави не повинні повертати осіб, які не є їхніми громадянами, до країни, де існує реальний ризик того, що ця особа може бути піддана катуванням або іншим жорстоким, нелюдським або таким, що принижують гідність, видам поводження і покарання,85 ризик порушення права на життя86 або на особисту недоторканність чи свободу,87 кричущого порушення щодо свавільного позбавлення волі,88 насильницького зникнення,89 ризику явно несправедливого судового розгляду,90 серйозних форм сексуального та ґендерно зумовленого

82 Право залишати будь-яку країну може підлягати певним обмеженням, але лише тією мірою, якою ці обмеження передбачені законом, є необхідними, пропорційними та недискримінаційними; щодо права повертатися до своєї країни МПГПП також підкреслив, що поняття «своя країна» є ширшим за поняття «країна громадянства» і охоплює також осіб, які не є громадянами, але мають особливі зв'язки з країною, наприклад, довгострокових резидентів; див. Комітет ООН з прав людини, Зауваження загального порядку № 27: Стаття 12 (свобода пересування), UN Doc. CCPR/C/21/Rev.1/Add.9, 2 листопада 1999 року, п. 20. Див. також Зобов'язання ОБСЄ щодо свободи пересування, Відень, 1989, п. 20. 83 Конвенція про статус біженців (1951), ухвалена Конференцією повноважних представників ООН у справах біженців та осіб без громадянства, що проходила в Женеві з 2 по 25 липня 1951 року. Україна приєдналася до Конвенції 10 червня 2002 року. 84 Стаття 33 Конвенції про статус біженців. Принцип недопущення примусового повернення також закріплений у міжнародному праві прав людини, яке забороняє повернення будь-кого в будь-яку країну, де йому чи їй може загрожувати небезпека катувань або інших серйозних порушень прав людини. Абсолютна заборона катувань тягне за собою абсолютну заборону примусового повернення з метою застосування катувань за будь-яких обставин. Для ознайомлення див. УВКПЛ «Принцип недопущення примусового повернення в міжнародному праві прав людини». 85 Див.: ООН, Конвенція проти катувань та жорстоких, нелюдських або таких, що принижують гідність, видів поводження і покарання (ухвалена 10 грудня 1984 року, набула чинності 26 червня 1987 року, Україна ратифікувала КПП ООН 24 лютого 1987 року), 1465 UNTS 85, стаття 3; Міжнародна конвенція про захист усіх осіб від насильницьких зникнень (ухвалена 20 грудня 2006 року, набула чинності 23 грудня 2010 року, Україна приєдналася до КПІ 14 серпня 2015 року), 2716 UNTS 3, стаття 16; статті 2(1) та 7 МПГПП (див.: Зауваження загального порядку №. 20 (1992), п. 9, який указує на те, що це зобов'язання відображено у статті 7 МПГПП, тоді як Зауваження загального порядку № 31 (2004), UN Doc. CCPR/C/21/Rev.1/Add.13, п. 12, визнає принцип недопущення примусового повернення, закріплений у статті 2 МПГПП). Див. також, наприклад, п. 31 Зауваження загального порядку № 36 до Пакту про громадянські і політичні права 2018 року. 86 Наприклад, Спеціальний доповідач ООН з питання просування та захисту прав людини й основних свобод в умовах боротьби з тероризмом, Щорічна доповідь: Десять елементів передового досвіду у сфері боротьби з тероризмом, UN Doc. A/HRC/16/51, 22 грудня 2010 року, пп. 38 і Практика 10.5; і Генеральний секретар ООН, Доповідь про захист прав людини і основних свобод в умовах боротьби з тероризмом, A/63/337, 28 серпня 2008 року, п. 45. Див. також УВКПЛ, Технічна записка щодо принципу невисилки за міжнародним правом прав людини (2018), с. 1; та КПП, Зауваження загального порядку № 31 (2004), п. 12. 87 Там само, п. 45 (Доповідь Генерального секретаря ООН 2008 року); та с. 1 (Технічна записка УВКПЛ щодо невисилки 2018 року). 88 Див., наприклад, Європейський суд з прав людини, Othman (Abu Qatada) v. United Kingdom, no. 8139/09, 17 січня 2012 року, п. 233. 89 Див. статтю 16 Міжнародної конвенції про захист усіх осіб від насильницьких зникнень, ухваленої Генеральною Асамблеєю ООН, Резолюція A/RES/61/177 від 20 грудня 2006 року (яка набула чинності 23 грудня 2010 року, Україна приєдналася до Конвенції 14 серпня 2015 року). 90 Генеральний секретар ООН, Доповідь про захист прав людини та основоположних свобод в умовах боротьби з тероризмом, A/63/337, 28 серпня 2008 року, п. 45; та УВКПЛ, Технічна записка щодо принципу невисилки за міжнародним правом прав людини (2018), с. 1. Див. також Європейський суд з прав людини, Othman (Abu Qatada) v. United Kingdom (Заява № 8139/09, 17 січня 2012 року), пп. 258-262. 23 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» насильства,91 тривалого одиночного ув'язнення92 або інших серйозних порушень прав людини93. На додаток до своїх зобов'язань щодо недопущення примусового повернення згідно з міжнародним біженським правом і правом прав людини, держави-учасниці повинні також ураховувати положення Протоколу ООН 2000 року про попередження і припинення торгівлі людьми, особливо жінками і дітьми, і покарання за неї, що доповнює Конвенцію ООН проти транснаціональної організованої злочинності94 (далі – Палермський протокол ООН), відповідно до захисного застереження, передбаченого в статті 14 (1) для жертв торгівлі людьми.

2. ПЕРЕДУМОВИ

53. Як зазначалося вище, проєкт Закону розроблено в рамках комплексної оцінки транспозиції правових стандартів Європейського Союзу в законодавство України. 54. Стаття 7 Закону України «Про боротьбу з тероризмом» уповноважує Антитерористичний центр при Службі безпеки України координувати на національному рівні виконання резолюцій Ради Безпеки ООН з питань боротьби з міжнародним тероризмом, співробітництво зі спеціальними службами, правоохоронними органами іноземних держав та міжнародними організаціями з питань боротьби з тероризмом та обмін наявною інформацією про пасажирів міжнародних рейсів. 55. З метою імплементації вищезазначеного положення Службою безпеки України спільно з іншими інституціями сектору безпеки і оборони та міжнародними партнерами, у тому числі Програмою підтримки України ОБСЄ, розроблено проєкт Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам».

3. ЗБІР, ОБРОБКА ТА ОБМІН ДАНИМИ API/PNR

Обмеження мети

56. Стаття 2 проєкту Закону визначає мету збору даних API та PNR. Дані API збираються для покращення прикордонного контролю та боротьби з «незаконною міграцією»,95 тоді як дані PNR отримуються з метою протидії міжнародному тероризму та іншим «тяжким» і «особливо тяжким» злочинам. Новий Регламент ЄС про API 2025/13 має на меті встановити чіткі, гармонізовані й ефективні правила на рівні Союзу щодо збирання та передачі даних API з метою запобігання,

91 Там само, с. 1 (Технічна записка УВКПЛ щодо невисилки 2018 року). Див. також, наприклад, Комітет КПП ООН, Njamba and Balikosa v. Sweden, Повідомлення № 322/2007, 3 червня 2010 року, п. 9.5; та . 9.5; та Комітет КЛДЖ, Загальна рекомендація № 32 (2014), п. 23. 92 Генеральний секретар ООН, Доповідь про захист прав людини та основоположних свобод в умовах боротьби з тероризмом, A/63/337, 28 серпня 2008 року, пп. 39 і 42; і там само, с. 1 (Технічна записка УВКПЛ щодо невисилки 2018 року). Див. також, наприклад, МПГПП, Зауваження загального порядку № 20 (1994), п. 6. 93 Комітет ООН з прав людини, Kindler v. Canada, Повідомлення № 470/1991, п. 13.2: «Якщо держава-учасниця видає особу, яка перебуває під її юрисдикцією, за таких обставин, що в результаті цього існує реальний ризик того, що її права, передбачені Пактом, будуть порушені в іншій державі, держава-учасниця може сама порушувати Пакт»; та ARJ v. Australia, UN Doc. CCPR/C/60/D/692/1996, 11 серпня 1997 року, п. 6.9, де йдеться про ризик будь-якого серйозного порушення прав людини, що призводить до виникнення зобов'язань щодо недопущення примусового повернення. 94 Протокол про попередження і припинення торгівлі людьми, особливо жінками і дітьми, і покарання за неї (далі – Палермський протокол), що доповнює Конвенцію ООН проти транснаціональної організованої злочинності. Протокол затверджений резолюцією 55/25 Генеральної Асамблеї ООН від 15 листопада 2000 року. 95 Для цілей цього Висновку термін «незаконна/нелегальна міграція» використовується в лапках для позначення термінології, що використовується в Директивах та Регламентах ЄС, хоча слід зазначити, що використання слова «нелегальна», коли йдеться про мігрантів, негативно впливає на сприйняття мігрантів широкою громадськістю, ризикує легітимізувати політику, яка не відповідає гарантіям прав людини, і сприяє ксенофобії та дискримінації (див., наприклад, Рада Європи, Експертна рада з питань законодавства про НУО, Використання кримінального права для обмеження роботи НУО, що надають підтримку біженцям та іншим мігрантам у державах-членах РЄ (2019), п. 131 (iii)). 24 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» виявлення, розслідування та переслідування терористичних злочинів і тяжких злочинів, водночас чітко зазначаючи, що Регламент не дозволяє збирати або передавати дані API про польоти в межах ЄС з метою боротьби з «нелегальною імміграцією».96 57. Використання даних API, передбачене проєктом Закону, загалом відповідає міжнародним стандартам (прикордонний контроль та протидія незаконній міграції),97 хоча для узгодження з новим Регламентом ЄС про API 2025/13 необхідно додати мету запобігання, виявлення, розслідування та переслідування терористичних злочинів і тяжких злочинів. Тоді буде також чітко зазначено, що збір або передача даних API про польоти в межах ЄС з метою боротьби з «нелегальною імміграцією» заборонені. 58. Водночас, мета обробки даних PNR, передбачена проєктом Закону, сформульована ширше, ніж це рекомендовано міжнародними стандартами. Відповідно до згаданих вище Резолюцій РБ ООН, дані PNR мають оброблятися лише для розслідування терористичних злочинів та протидії їм. Стандарти Додатку 9 до Чиказької конвенції та Директиви ЄС про PNR розширили цю сферу, включивши до неї «тяжкі злочини», причому Директива містить конкретний перелік тяжких злочинів, для розслідування яких можуть оброблятися дані PNR.98 Новий Регламент ЄС про API 2025/13 містить перехресне посилання на перелік тяжких злочинів, наведений у Додатку 2 до Директиви ЄС про PNR. Проєкт Закону також передбачає обробку даних PNR для протидії «переміщенню осіб, причетних до терористичної діяльності» (стаття 2). Таке формулювання є досить проблематичним і розпливчастим, що підвищує ризик використання даних PNR для загального імміграційного контролю, а це не відповідатиме міжнародним стандартам. Рекомендовано узгодити з міжнародними стандартами мету збору даних PNR, а саме з метою запобігання, виявлення, розслідування та переслідування виключно терористичних злочинів та тяжких злочинів, щоби не допустити непропорційного збору даних та їх використання як інструменту масового спостереження, що виходить за межі цілей, визначених міжнародними стандартами. При тому, що це питання не є об’єктом аналізу в цьому Висновку, важливо також забезпечити чітке визначення відповідних кримінальних правопорушень згідно з міжнародними стандартами у галузі прав людини, суворо обмежуючи кожен із елементів складу зазначених тяжких злочинів, щоби виключити можливість довільного застосування та перевищення сфери дії закону.99 59. Більше того, Суд ЄС у своєму рішенні у справі Ligue des droits humains постановив, що держави-члени ЄС повинні забезпечити, щоб імплементація ними Директиви про PNR на національному рівні була ефективно обмежена боротьбою з терористичними злочинами та тяжкими злочинами, що «мають об'єктивний зв'язок, навіть якщо він є лише опосередкованим, з перевезенням пасажирів повітряним транспортом».100 Вона не повинна застосовуватися для боротьби зі

96 Див. новий Регламент (ЄС) 2025/13 про збирання та передачу попередньої інформації про пасажирів для запобігання, виявлення, розслідування терористичних злочинів і тяжких злочинів, пп. 4 і 32. 97 У Нідерландах Королівська військова і прикордонна поліція, завданням якої є перевірка осіб на кордоні та боротьба з нелегальною міграцією, не має доступу до даних PNR. Вона має доступ лише до даних API. Це відповідає Директиві ЄС про PNR, яка дозволяє обробляти дані PNR лише для запобігання, виявлення, розслідування та переслідування терористичних злочинів і тяжких злочинів. Andrew Priestley, Marc Beauvais, International Experience and Good Practices in API/PNR [Міжнародний досвід та належна практика у сфері API/PNR], 2021, с. 26. 98 Директива ЄС про PNR (2016/681), Додаток 2 містить перелік тяжких злочинів. 99 Щодо визначення поняття «тероризм» див. Аналітичну записку БДІПЛ щодо запропонованого перегляду визначення терористичних злочинів у статті 1 Конвенції Ради Європи про запобігання тероризму (2023). 100 Суд ЄС, C-817/19,[GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 157. 25 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» звичайними злочинами.101 Для вирішення проблеми обмеження мети, слід уточнити визначення «тяжких та особливо тяжких злочинів» у Статті 1 проєкту Закону і сформулювати його вузько, щоб забезпечити відповідність вимогам конкретності. Слід зазначити, що стаття 3 (9) Директиви ЄС про PNR визначає «тяжкі злочини» як злочини, перелічені в Додатку 2, за які передбачено покарання у вигляді позбавлення волі або тримання під вартою на максимальний строк не менше трьох років. При тому, що проєкт Закону використовує той самий перелік «тяжких злочинів» і уточнює, що це визначення включає злочини, за які передбачено покарання у вигляді позбавлення волі на строк «понад п'ять років (тяжкі) та понад десять років (особливо тяжкі)», він не гарантує, що сфера застосування обмежується тими злочинами, які «мають об'єктивний зв'язок, навіть якщо він є лише опосередкованим, з перевезенням пасажирів повітряним транспортом». Для того, щоб установити об'єктивний зв'язок, необхідно мати об'єктивні критерії для встановлення зв'язку між даними PNR та протидією тяжким злочинам і терористичним злочинам. Тоді як прямий зв'язок стосується «злочинів, спрямованих на перевезення пасажирів повітряним транспортом, а також злочинів, вчинених під час або через подорож повітряним транспортом»,102 непрямий зв'язок охоплює всі ситуації, коли прямого зв'язку немає, але коли тяжкі злочини і терористичні злочини можуть бути попереджені, виявлені, розслідувані або переслідувані за допомогою обробки даних PNR щодо окремих сполучень або рейсів, тобто, зокрема, коли повітряний транспорт використовується як засіб підготовки таких злочинів або уникнення кримінального переслідування.103 Тому рекомендовано скоротити коло кримінальних правопорушень, для яких може здійснюватися обробка даних PNR (і даних API у світлі нового Регламенту ЄС про API 2025/13) відповідно до проєкту Закону, та чіткіше відобразити їх прямий чи опосередкований зв'язок з перевезенням пасажирів повітряним транспортом. 60. Нарешті, важливо також звернути увагу на питання персональних даних третіх осіб, які можуть збиратися. Такі дані підпадають під дію Директиви про PNR лише тією мірою, якою вони безпосередньо стосуються виконуваного рейсу та відповідного пасажира, тобто це дані щодо платіжної інформації та платіжної адреси особи, яка придбала квиток від імені пасажира, якщо вони безпосередньо стосуються рейсу, а також контактні дані батьків або опікунів, які відправляють або забирають неповнолітнього пасажира без супроводу дорослих.104 В іншому разі, всі інші персональні дані третіх осіб після отримання повинні бути негайно та безповоротно видалені Національним контактним пунктом. Рекомендовано доповнити проєкт Закону відповідною нормою.

РЕКОМЕНДАЦІЯ А.1 Рекомендовано узгодити з міжнародними стандартами мету збору даних PNR, а саме з метою запобігання, виявлення, розслідування та переслідування виключно терористичних злочинів та тяжких злочинів, щоби не допустити непропорційного збору даних та їх використання як

101 Суд Європейського Союзу, Пресреліз № 105/22 https://curia.europa.eu/jcms/upload/docs/application/pdf/2022-06/cp220105en.pdf 102 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 155. 103 Європейська рада із захисту даних (ЄРЗД), Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C-817/19, ухвалена 13 березня 2025 року, п. 9. 104 Європейська рада із захисту даних (ЄРЗД), Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C-817/19, ухвалена 13 березня 2025 року, п. 10. 5. 26 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» інструменту масового спостереження, що виходить за межі цілей, визначених міжнародними стандартами.

РЕКОМЕНДАЦІЯ А.2

Включити до проєкту Закону положення про негайне та безповоротне видалення Національним контактним пунктом інших персональних даних третіх осіб після їх отримання.

Збір та обробка даних API/PNR

61. Єдине вікно даних про пасажирів – це інструмент, який дозволяє сторонам, що беруть участь у пасажирських перевезеннях повітряним транспортом, подавати стандартизовану інформацію про пасажирів, як-от API/PNR, через єдину точку введення даних для виконання всіх регуляторних вимог щодо в'їзду та/чи виїзду пасажирів, які можуть бути встановлені різними державними органами чи відомствами. Концепція «єдиного вікна» покладає на органи влади відповідальність за управління «єдиним вікном» і забезпечення того, щоби залучені органи влади або відомства мали доступ до інформації або фактично отримували інформацію від органу управління «єдиним вікном». Це усуває необхідність для подорожнього чи перевізника подавати ті самі дані до кількох різних органів прикордонного контролю в межах однієї держави. 62. Стаття 5 проєкту Закону уповноважує централізовану систему «єдиного вікна» передавати дані API до Національного центру, а дані PNR – до Національного контактного пункту (який є підрозділом з питань інформації про пасажирів, або «PIU» у термінах статті 4 Директиви ЄС про PNR). Порядок функціонування «єдиного вікна» визначається кількома органами, включаючи центральний орган виконавчої влади, що реалізує державну політику у сфері охорони державного кордону, Антитерористичний центр при Службі безпеки України та центральний орган виконавчої влади, що реалізує державну політику у сфері цивільної авіації та використання повітряного простору України, у встановленому законодавством порядку. При тому, що цей підхід, як видається, відповідає Стандартам 9.1 та 9.1.1 Додатку 9 до Чиказької конвенції, таке формулювання є невичерпним і не вимагає запровадження необхідних правових гарантій, зокрема того, що будь-яка процедура, встановлена для «єдиного вікна», відповідає стандартам кібербезпеки та поважає право пасажирів на недоторканність приватного життя. Рекомендовано посилити це положення, передбачивши вимогу відповідності системи «єдиного вікна» стандартам захисту кібербезпеки. 63. Статті 8 та 13 проєкту Закону стосуються збору даних API та PNR відповідно. Складові даних PNR значною мірою збігаються з тими, що перелічені в Директиві ЄС про PNR. Єдина відмінність між ними полягає в тому, що проєкт Закону вимагає надати ідентифікаційний номер бронювання, тоді як у Директиві ЄС про PNR така вимога відсутня. Натомість Директива ЄС про PNR передбачає подання так званого «локатора» PNR. По-друге, проєкт Закону вимагає надання детальної інформації про оплату квитка, але не включає адресу для виставлення рахунку, яка вимагається виключно Директивою ЄС про PNR. Статті 8 та 13 містять поля даних (наприклад, платіжні реквізити), які можуть бути надмірними з огляду на стандарт 9.22 Додатку 9 до Чиказької конвенції, який вимагає мінімізації даних. Водночас варто зазначити, що Суд ЄС розглядав питання про те, чи відповідають поля даних

27 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» Директиви ЄС про PNR вимогам чіткості та точності, і постановив, що поля даних, які збираються згідно з Директивою про PNR, в цілому є достатньо чіткими та точними за своєю природою. Разом із тим, він указав, що певні поля даних (а саме інформація щодо виставлення рахунків/платежів, програм для постійних авіапасажирів, а також «загальні зауваження») необхідно тлумачити відповідно до конкретних міркувань, викладених у рішенні Ligues des droits humains.105 Менше з тим, рекомендовано забезпечити, щоби збір даних обмежувався лише тими даними, які є строго необхідними для запобігання, виявлення, розслідування та переслідування тероризму та тяжких злочинів відповідно до принципу мінімізації даних, а також передбачити чітке положення про обов'язок негайного та безповоротного видалення даних, які виходять за межі встановлених у проєкті Закону категорій. 64. Відповідно до статті 6 (1) Директиви ЄС про PNR, авіакомпанії можуть збирати певну інформацію для надання своїх послуг (наприклад, запити на особливі види харчування – халяльне м'ясо, кошерна їжа – або запити на спеціальне медичне обладнання – інсулінова помпа, кисневий балон тощо), яка містить «чутливі дані», що потенційно розкривають етнічне/«расове» походження, релігійні переконання чи стан здоров'я, і тому не повинні оброблятися як частина даних PNR. Така інформація має бути негайно та безповоротно видалена, тож слід доповнити проект Закону відповідним положенням.106

РЕКОМЕНДАЦІЯ B. Забезпечити, щоби збір даних обмежувався лише тими даними, які є строго необхідними для запобігання, виявлення, розслідування та переслідування тероризму та тяжких злочинів відповідно до принципу мінімізації даних, а також передбачити чітке положення про обов'язок негайного та безповоротного видалення даних, які виходять за межі встановлених у проєкті Закону категорій, у тому числі будь-яких чутливих даних.

Автоматизована обробка

65. Відповідно до статті 18 проєкту Закону, внесені до Національної системи обробки PNR дані, автоматично звіряються з відповідними даними автоматизованих інформаційних і довідкових систем, реєстрів та банків даних, держателями (адміністраторами) яких є державні органи чи оператори і доступ до яких має Національний контактний центр. Цей орган є підрозділом з питань інформації про пасажирів, або «PIU» у термінах Директиви ЄС про PNR, згідно з якою PIU відповідає за збір даних PNR від авіакомпаній, звіряння даних PNR з відповідними базами даних правоохоронних органів та їх обробку за заздалегідь визначеними критеріями з метою виявлення осіб, потенційно причетних до терористичного злочину або тяжкого злочину, а також передачу даних PNR національним компетентним органам, Європолу та PIU інших країн ЄС, як спонтанно, так і у відповідь на належно обґрунтовані запити. Це відповідає визначенню, наведеному

105 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 126-140. 106 Andrew Priestley, Marc Beauvais, International Experience and Good Practices in API/PNR [Міжнародний досвід та належна практика у сфері API/PNR], 2021 р., с. 39 28 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» в статті 1 проєкту Закону. Стаття 18 також передбачає, що збіги, отримані в результаті попереднього автоматизованого порівняння, підлягають обов'язковій індивідуальній перевірці працівниками Національного контактного пункту.107 Далі уточнено, що обробка персональних даних здійснюється з дотриманням вимог Закону України «Про захист персональних даних». 66. Важливо, що проєкт Закону містить додаткові та достатні гарантії щодо автоматизованої обробки даних. Директива ЄС про PNR вимагає, щоби «...компетентні органи не ухвалювали жодних рішень, які мають несприятливі правові наслідки для особи або суттєво впливають на особу лише через автоматизовану обробку даних про персональні дані,» і щоби такі «рішення не ухвалювалися на підставі расової чи етнічної належності особи, її політичних поглядів, релігійних чи філософських переконань, членства у профспілці, стану здоров'я, статевого життя або сексуальної орієнтації».108 Суд ЄС також зазначив, що автоматизована обробка під час попереднього оцінювання даних PNR повинна бути обмеженою і супроводжуватися низкою запобіжних заходів. Дійсно, високий рівень помилок може бути наслідком того, що автоматизовані системи генерують хибнопозитивні результати, тим самим непропорційно впливаючи на невинних пасажирів.109 67. Стаття 8 Регламенту ЄС 2025/13 і стаття 21 Хартії основних прав ЄС вимагають, щоби збір і обробка даних про пасажирів авіаперевізниками та компетентними органами не призводили до дискримінації осіб за ознаками статі, раси, кольору шкіри, етнічного чи соціального походження, генетичних особливостей, мови, релігійних чи інших переконань, політичних поглядів, належності до національної меншини, майнового стану, народження, інвалідності, віку чи сексуальної орієнтації. 68. Отже неавтоматизована перевірка має бути спрямована на виключення будь-яких дискримінаційних результатів.110 Проєкт Закону також має чітко визначати, що Національний контактний пункт (PIU) не повинен передавати результати автоматизованої обробки компетентним органам, якщо після такої перевірки він дійде висновку, що немає нічого, що могло б, відповідно до застосовних правових стандартів, викликати обґрунтовану підозру в причетності до терористичних злочинів або тяжких злочинів щодо осіб, ідентифікованих за допомогою автоматизованої обробки, або якщо є підстави вважати, що така обробка призводить до дискримінаційних результатів.111 Держави повинні забезпечити, щоби PIU встановив у чіткий і точний спосіб об'єктивні критерії перевірки, які дозволять співробітникам PIU, відповідальним за індивідуальну перевірку, з одного боку, з’ясувати, чи дійсно позитивний збіг стосується особи, яка може бути причетною до терористичних злочинів або тяжких злочинів, і якщо так, то в якій мірі, а отже, підлягає подальшій перевірці компетентними органами, зазначеними в статті 7 Директиви ЄС про PNR, а також, з іншого боку, пересвідчитись у недискримінаційному характері автоматизованої обробки даних, зокрема,

107 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 152. див. також: Директива ЄС про PNR (2016/681), стаття 6 (5). Директива ЄС про PNR, наприклад, передбачає, що держави-члени ЄС забезпечують, аби будь-який позитивний збіг, отриманий в результаті автоматизованої обробки даних PNR, перевірявся в індивідуальному порядку неавтоматизованими засобами для з’ясування того, чи потрібно компетентному органу вживати заходів відповідно до національного законодавства. 108 Директива ЄС про PNR (2016/681), стаття 7(6). 109 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 106, 123-124. 110 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 203. 111 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 204. 29 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» заздалегідь визначених критеріїв і використовуваних баз даних.112 Там, де це можливо, PIU повинен віддавати перевагу результатам індивідуальної перевірки, проведеної неавтоматизованими засобами, перед результатами, отриманими за допомогою автоматизованої обробки.113 Важливо також передбачити «...чіткі та точні правила, здатні забезпечити належне скеровування та підтримку аналізу, що його проводять співробітники, відповідальні за індивідуальну перевірку, з метою забезпечення повної поваги до основних прав, закріплених у статтях 7, 8 та 21 Хартії, і, зокрема, гарантувати єдину адміністративну практику в рамках PIU з дотриманням принципу недискримінації».114 Нарешті, держави зобов'язані забезпечити, щоби PIU вели документацію щодо всієї обробки даних PNR, здійсненої у зв'язку з попередньою оцінкою, в тому числі в контексті індивідуальної перевірки неавтоматизованими засобами, задля верифікації законності такої обробки та з метою самоконтролю.115 69. Стандарти ІКАО також містять конкретні гарантії щодо автоматизованої обробки персональних даних.116 Ці стандарти вимагають, щоб автоматизована обробка даних PNR базувалася на об'єктивних, точних, конкретних критеріях, які ефективно вказують на існування ризику, не призводячи до незаконної диференціації, а також щоби рішення, які спричиняють значні несприятливі наслідки, що зачіпають законні інтереси фізичних осіб, не ґрунтувалися виключно на автоматизованій обробці даних PNR. 70. Рекомендовано забезпечити, щоби стаття 18 проєкту Закону чітко відображала вищезазначені гарантії та вимагала, щоби будь-які заздалегідь встановлені критерії, за якими порівнюються дані PNR, не призводили до незаконної диференціації та забезпечували виключення дискримінаційних результатів. Крім того, бажано включити до цього положення захисне застереження щодо заяв про надання притулку відповідно до Преамбули Директиви ЄС про PNR, в якій зазначено, що «результати обробки даних PNR за жодних обставин не повинні використовуватися державами-членами як підстава для обходу своїх міжнародних зобов'язань за Конвенцією про статус біженців від 28 липня 1951 року зі змінами, внесеними Протоколом від 31 січня 1967 року, а також не повинні використовуватися для відмови шукачам притулку в безпечному та ефективному законному в'їзді на територію Союзу з метою реалізації їхнього права на міжнародний захист».117

РЕКОМЕНДАЦІЯ C. Відобразити в статті 18 Законопроекту, що: - Неавтоматизована перевірка повинна виключати будь-які дискримінаційні результати

112 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 206. 113 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 208. 114 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 205. 115 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 202-212. 116 Додаток 9 до Конвенції ІКАО, стаття 9.28. 117 Директива ЄС про PNR, Преамбула, п. 21 30 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» - Національний контактний пункт не передає компетентним органам результати автоматизованої обробки, якщо за результатами такої перевірки він дійде висновку про відсутність підстав, які могли б відповідно до застосовних правових стандартів викликати обґрунтовану підозру в причетності до терористичних злочинів або тяжких злочинів осіб, ідентифікованих за допомогою автоматизованої обробки, або якщо він має підстави вважати, що така обробка призведе до дискримінаційного результату. - Національний контактний пункт встановлює в чіткий і точний спосіб об'єктивні критерії перевірки, що дозволяють співробітникам Національного контактного пункту, відповідальним за індивідуальну перевірку, з одного боку, з’ясувати, чи стосується і якщо так, то якою мірою, позитивний збіг тієї особи, яка може бути причетною до терористичних злочинів або тяжких злочинів, а тому має пройти додаткову перевірку з боку компетентних органів, як передбачено Статтею 7 Директиви ЄС про PNR, а з іншого боку, пересвідчитись у недискримінаційному характері автоматизованої обробки даних і, зокрема, заздалегідь встановлених критеріїв і використовуваних баз даних. - Будь-які заздалегідь встановлені критерії, за якими порівнюються дані PNR, не призводять до незаконної диференціації та забезпечують виключення дискримінаційних результатів. - До цього положення включено захисне застереження щодо заяв про надання притулку.

Обмін даними з уповноваженими органами

71. Стаття 19 регулює обмін даними АРІ/ PNR з «уповноваженими органами» в Україні. Проєкт Закону визначає ці органи досить широко (у статті 1), не називаючи жодної конкретної установи. Однак, згідно з Директивою ЄС про PNR, держави повинні затвердити перелік компетентних органів, які мають право запитувати або отримувати від PIU дані PNR або результати обробки цих даних для подальшого вивчення цієї інформації або вжиття відповідних заходів з метою запобігання, виявлення, розслідування та переслідування терористичних злочинів або тяжких злочинів.118 Тому рекомендовано, щоби проєкт Закону містив чіткий перелік уповноважених органів або в тексті самого проєкту Закону, або в додатку до нього, або ж містив посилання на відповідні законодавчі акти, які регулюють діяльність цих уповноважених органів. 72. Щодо належно обґрунтованого запиту із зазначенням достатніх підстав від компетентних органів про надання й обробку даних PNR у конкретних випадках з метою запобігання, виявлення, розслідування та переслідування терористичних злочинів або тяжких злочинів, як це передбачено у статті 6(2)(b) Директиви ЄС про PNR, Суд ЄС зазначив, що «важливо, щоби розкриття даних PNR з метою подальшої оцінки, за загальним правилом, за винятком належним чином обґрунтованої невідкладності, підлягало попередньому розгляду, проведеному або судом, або незалежним адміністративним органом».119 Така незалежність є дійсно 118 Директива ЄС про PNR, стаття 7 (1). 119 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 223. Див. також ЄРЗД, Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C-817/19, ухвалена 13 березня 2025 року, пп. 25-26. 31 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» важливою, щоби запобігти необмеженому використанню даних для цілей правоохоронної діяльності. Як підкреслює Європейська рада із захисту даних (далі – ЄРЗД), «покладання попереднього розгляду на незалежну посадову особу або співробітника конкретного підрозділу адміністративного органу, який по суті не є незалежним, в принципі не відповідатиме тому, що передбачено в рішенні Суду ЄС щодо незалежності. Те саме стосується і незалежної посадової особи або співробітника конкретного підрозділу в межах органу, залученого до проведення кримінального розслідування».120 У проєкті Закону мають бути додатково передбачені механізми незалежної перевірки перед наданням відповіді на належно обґрунтовані запити компетентних органів з метою запобігання, виявлення, розслідування та переслідування терористичних злочинів або тяжких злочинів. 73. Стаття 16 (5) покладає на Національну систему обробки PNR обов'язок фіксувати всі випадки отримання доступу до даних PNR. Однак це положення потребує подальшого доопрацювання. Відповідно до Директиви ЄС про PNR, держави повинні вести облік щонайменше збору, консультацій, розкриття та видалення (даних PNR). Записи про консультації та розкриття повинні включати, зокрема, мету, дату і час таких операцій, а також, наскільки це можливо, особу, яка надавала консультацію або розкривала дані PNR, та особу одержувачів цих даних. Записи повинні використовуватися виключно для цілей верифікації, самоконтролю, забезпечення цілісності та безпеки даних або для цілей аудиту. PIU повинен надавати записи за запитом «національному наглядовому органу».121 Відповідно, проєкт Закону, в частині 5 Статті 16, повинен включати детальніший перелік інформації, яку необхідно збирати у зв'язку з доступом до даних PNR. 74. Стаття 11 (4) проєкту Закону містить посилання на реєстрацію Національною системою обробки API всіх випадків отримання доступу до даних АРІ. При тому, що ведення журналів реєстрації всіх операцій з обробки даних API є доброю практикою, слід детальніше описати порядок ведення журналів. Відповідно до нового Регламенту ЄС про API 2025/13 щодо терористичних злочинів та тяжких злочинів, журнали повинні зазначати дату, час, місце передачі даних API.122 Журнали не повинні містити жодних персональних даних, окрім інформації, що дозволяє ідентифікувати співробітника органу, відповідального за обробку даних API. Журнали повинні використовуватися лише для забезпечення безпеки та цілісності даних API та законності обробки, і вони повинні бути доступними для національних органів нагляду за захистом даних.123

РЕКОМЕНДАЦІЯ D Чітко визначити перелік уповноважених органів у самому проєкті Закону або в додатку до нього, або зробити посилання на відповідне законодавство, яке регулює діяльність цих уповноважених органів, а також розробити механізми незалежної перевірки перед наданням відповіді на належно обґрунтований запит компетентних органів з метою запобігання, виявлення,

120 ЄРЗД, Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C- 817/19, ухвалена 13 березня 2025 року, п. 24. 121 Директива ЄС про PNR, стаття 13 (6). 122 Див. новий Регламент ЄС 2025/13 щодо терористичних злочинів та тяжких злочинів, стаття 17. 123 https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52022PC0729 Стаття 13 32 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» розслідування та переслідування терористичних злочинів або тяжких злочинів.

Зберігання даних

75. Статті 9 та 17 проєкту Закону стосуються зберігання даних API та PNR відповідно. Згідно зі статтею 9, дані API повинні зберігатися як тимчасові файли, а Національна система обробки попередньої інформації про пасажирів (API) міжнародних рейсів (далі – Національний центр обробки API) повинен видаляти дані протягом 24 годин після передавання. Стаття 9 також передбачає, що авіаперевізники повинні видаляти дані впродовж 24 годин після прибуття повітряного судна. Ці положення відповідають чинній Директиві ЄС про API. Слід зазначити, що нові Регламенти ЄС про API збільшують ці терміни з 24 до 48 годин.124 76. Стаття 17 проєкту Закону передбачає зберігання даних PNR упродовж п'яти років після їх отримання. Через шість місяців з моменту надання Національному контактному пункту певні дані мають бути знеособлені. Стаття 17 також містить положення, що дозволяє відхилення від стандартних строків, як це передбачено у Додатку 9 до Чиказької конвенції, рекомендованих практиках 9.32 та 9.33, якщо це необхідно в перебігу розслідування, переслідування або судового розгляду.125 Директива ЄС про PNR розширює вищезазначені підстави, включаючи також запобігання та виявлення терористичних злочинів або тяжких злочинів та зазначаючи, що «Держави-члени повинні забезпечити безповоротне видалення даних PNR після завершення строку, вказаного в параграфі 1. Це зобов’язання не повинне обмежувати випадків, коли конкретні дані PNR передали компетентному органу та використовують у контексті конкретних справ для цілей запобігання, виявлення, розслідування та переслідування терористичних або тяжких злочинів; у таких випадках зберігання даних компетентним органом повинне бути врегульовувано національним правом». 126 77. У регіоні ОБСЄ не існує єдиної політики щодо максимального терміну зберігання даних API або PNR. Консультативний комітет Конвенції 108 наголосив, що періоди зберігання даних повинні бути чітко визначені й обмежені тим, що є строго необхідним для досягнення поставленої мети. Комітет визнав, що знеособлення даних пасажирів після певного періоду може зменшити деякі ризики, пов'язані з тривалим зберіганням, проте він нагадав, що такі знеособлені дані все ще можуть дозволити ідентифікувати особу. Як наслідок, ці дані залишаються персональними даними і повинні підпадати під відповідні обмеження щодо їх зберігання, щоби запобігти довготривалому спостереженню. Крім того, збір даних про стан здоров'я разом з іншою особистою інформацією може викликати додаткові занепокоєння щодо дотримання прав людини пасажирів, які здійснюють міжнародні подорожі повітряним, наземним і морським транспортом.127

124 Стаття 8 нового Регламенту ЄС про АРІ 2025/12 та стаття 6 нового Регламенту ЄС про АРІ 2025/13 щодо терористичних злочинів та тяжких злочинів. 125 Додаток 9 ІКАО - Стаття 9.32 126 Директива ЄС про PNR, Стаття 12 (4) 127 БДІПЛ, Аналітична записка: Управління кордонами та права людини – Збір, обробка й обмін персональними даними та використання нових технологій у контексті боротьби з тероризмом і забезпечення свободи пересування, 2021, с. 14. 33 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» 78. При тому, що стаття 12 Директиви про PNR передбачає п'ятирічний термін зберігання даних, зберігання даних PNR відповідно до статті 12 не може бути виправданим за відсутності об'єктивного зв'язку між таким зберіганням і цілями, які переслідує Директива про PNR.128 У своєму рішенні Суд ЄС підкреслив, що положення про п'ятирічний термін зберігання даних «...у поєднанні зі статтями 7 і 8, а також зі статтею 52(1) Хартії основних прав, повинно тлумачитися як таке, що виключає застосування національного законодавства [...] без розбору до всіх авіапасажирів, у тому числі тих, щодо яких не проводилася ані попередня оцінка [...], ані будь-яка верифікація протягом шестимісячного періоду, вказаного у статті 12 (2) зазначеної Директиви, і жодні інші обставини не виявили існування об'єктивного матеріалу, здатного встановити ризик, пов'язаний з терористичними злочинами або тяжкими злочинами, що мають об'єктивний зв'язок, навіть якщо він є лише опосередкованим, з перевезенням пасажирів повітряним транспортом».129 Як наголошує Європейська рада із захисту даних, отже «не можна встановлювати загальний термін зберігання, що виходить за межі початкового періоду в шість місяців», а після початкового періоду в шість місяців «окремі набори даних PNR можуть оброблятися виключно у тому разі, коли для відповідних наборів даних існує об'єктивний матеріал, здатний встановити зв'язок із цілями, що їх переслідує обробка відповідно до Директиви про PNR, і виключно доти, доки така обробка є необхідною і пропорційною».130 79. Тож до статті 17 проєкту Закону слід внести зміни, передбачивши загальний строк зберігання у шість місяців, який може бути збільшений до п'яти років за наявності об'єктивних матеріалів, здатних встановити ризик, пов'язаний з терористичними злочинами або тяжкими злочинами, що мають об'єктивний прямий чи опосередкований зв'язок з перевезенням пасажирів повітряним транспортом – зі збереженням вищезазначених винятків. Крім того, слід включити стандартне положення про те, що дані PNR повинні бути видалені після закінчення терміну зберігання.

Міжнародне співробітництво

80. Стаття 24 проєкту Закону прямо пов'язує обмін даними з міжнародними договорами, ратифікованими Україною. Це випливає зі Стандарту 9.25 Додатку 9 до Чиказької конвенції. Як зазначалося вище, відповідно до законодавства ЄС, передача даних PNR третім країнам повинна забезпечувати рівень захисту даних, еквівалентний рівню, передбаченому законодавством ЄС, ґрунтуватися на угодах або рішеннях про достатність у рамках GDPR, а держави повинні обмежувати передачу даних лише тими випадками, коли держава-одержувач використовуватиме дані виключно для боротьби з тероризмом або тяжкими злочинами. Перед передачею даних PNR вкрай важливо оцінити стан дотримання прав людини та захисту даних у країні-одержувачі, а також правові гарантії та інституційний контроль і нагляд, які регулюють діяльність органу, що отримує такі

128 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 299. Див. також ЄРЗД, Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C-817/19, ухвалена 13 березня 2025 року, п. 30. 129 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 299. 130 ЄРЗД, Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C- 817/19, ухвалена 13 березня 2025 року, п. 29. 34 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» дані.131 Як зазначалося вище, також має бути чітке зобов'язання не передавати такі дані PNR, які можуть бути використані для цілей, що порушують права людини. Угоди про обмін даними з країнами, які не мають надійного захисту персональних даних і прав людини або мають нечіткі гарантії, суперечать стандартам захисту даних ЄС132 та міжнародним зобов'язанням у сфері прав людини загалом. 81. Відсутність таких достатніх стандартів і гарантій захисту даних може стати перешкодою для обміну інформацією між державами-учасницями ОБСЄ. Транскордонний обмін даними PNR може вважатися законним лише за умови дотримання стандартів конфіденційності та захисту даних як у країні-відправнику, так і в країні-одержувачі. Як зазначається в аналітичній записці БДІПЛ: Управління кордонами та права людини, «...обмін даними за таких обставин [відсутності гарантій]не лише підриває стандарти захисту даних, а й може призвести до порушення інших прав людини (наприклад, неправомірного обмеження свободи пересування, дискримінації, незаконного затримання або нелюдського та такого, що принижує гідність, поводження чи покарання), якщо захист прав людини в країні-одержувачі є недостатнім. Це може поставити під загрозу не лише окрему особу, яка подорожує, але і її сім'ю чи близьких».133 Обмін цими даними може наразити на особливий ризик біженців і шукачів притулку, якщо в результаті їм не дозволять залишити свою або іншу країну. Тому, розробляючи та впроваджуючи системи API та PNR, держави повинні забезпечити ефективні гарантії дотримання прав людини, щоби захистити людей від неправомірної підозри у причетності до тероризму або інших злочинів. 82. Перш ніж укладати угоди про обмін даними API та PNR, держави повинні переконатися, що у країнах-партнерах, з якими планується обмінюватися такою інформацією, повністю запроваджені та дотримуються гарантії поваги до приватного життя та захисту даних, а також інші гарантії дотримання прав людини.134 Такі гарантії для забезпечення еквівалентного захисту даних, якими обмінюються з третіми країнами, не відображені в Статті 24. Тому рекомендовано доповнити Статтю 24 проєкту Закону положенням про те, що перед укладенням угоди про обмін даними API/PNR або перед обміном такими даними на разовій основі слід провести оцінку стану дотримання іншою стороною прав людини та захисту даних, а також оцінку правових гарантій та інституційного контролю, які регулюють діяльність органу-одержувача, щоби переконатися, що третя країна дотримується еквівалентних стандартів захисту. Така угода також повинна переглядатися з певною регулярністю або за необхідності.

131 Див., наприклад, для порівняння, Спеціальний доповідач ООН з питання просування та захисту прав людини й основних свобод в умовах боротьби з тероризмом, Збірка оптимальних практичних методів щодо законодавчої та інституційної основи та заходів, які забезпечують дотримання прав людини спеціальними службами в умовах боротьби з тероризмом (2010), Практика 33; див. також БДІПЛ, Керівні принципи щодо протидії загрозам і викликам з боку «іноземних бойовиків- терористів» (2018), с. 43. 132 Детальніше див.: Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 183-192; Спеціальний доповідач з питань просування та захисту прав людини і основних свобод в умовах боротьби з тероризмом, Відповідь на заклик УВКПЛ про надання інформації про конфіденційність у цифрову епоху, с. 6-8. 133 БДІПЛ, Аналітична записка: Управління кордонами та права людини – Збір, обробка й обмін персональними даними та використання нових технологій у контексті боротьби з тероризмом і забезпечення свободи пересування, 2021, с. 15. 134 БДІПЛ, Аналітична записка: Управління кордонами та права людини – Збір, обробка й обмін персональними даними та використання нових технологій у контексті боротьби з тероризмом і забезпечення свободи пересування, 2021, с. 15. 35 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам»

РЕКОМЕНДАЦІЯ E. Передбачити у Статті 24 проєкту Закону, що перед укладенням угоди про обмін даними API/PNR або перед обміном такими даними на разовій основі слід провести оцінку стану дотримання іншою стороною прав людини та захисту даних, а також оцінку правових гарантій та інституційного контролю, які регулюють діяльність органу-одержувача, щоби переконатися, що третя країна дотримується еквівалентних стандартів захисту. Така угода також повинна переглядатися з певною регулярністю або за необхідності.

4. НЕДИСКРИМІНАЦІЯ

83. Дані PNR містять детальну інформацію, яка може розкрити чутливі персональні дані, як-от етнічна належність, політичні погляди, релігія, стан здоров'я або сексуальна орієнтація, що може призвести до дискримінації певних осіб або до порушення їхніх прав людини. Навіть якщо законодавство забороняє обробку чутливих даних, однаково існує ризик, що опосередковано можуть бути зроблені певні висновки, наприклад, висновок про чиїсь релігійні переконання на основі уподобань у їжі або про політичні погляди на основі схеми подорожей. Завчасний обмін даними API або PNR також може спричинити обмеження свободи пересування, особливо для політичних дисидентів або шукачів притулку.135 Стандарт 9.30 Додатку 9 до Чиказької конвенції передбачає, що держави не повинні використовувати дані PNR, які розкривають «расове» або етнічне походження особи, її політичні погляди, релігійні або філософські переконання, членство в профспілках або дані про її здоров'я, статеве життя або сексуальну орієнтацію, окрім як у виняткових і невідкладних обставинах для захисту життєво важливих інтересів суб'єкта даних або іншої фізичної особи. 84. Як зазначалося, Директива ЄС про PNR зобов'язує уповноважені органи національної безпеки, підрозділи з питань інформації про пасажирів (PIU), автоматично обробляти дані PNR на основі вже наявних баз даних і так званих «заздалегідь визначених критеріїв» (стаття 6 (3) (а) і (b) Директиви ЄС про PNR). Отже, крім виявлення транскордонного переміщення відомих осіб, дані PNR також використовуються для виявлення ще невідомих загроз шляхом обробки даних про пасажирів за заздалегідь визначеними критеріями, які є специфічними індикаторами ризику. Останні, по суті, є алгоритмами, які містять «критерії пошуку, засновані на минулих і поточних кримінальних розслідуваннях і оперативних даних, які дозволяють відфільтрувати пасажирів, що відповідають певним абстрактним профілям [...]».136 Ці заздалегідь визначені критерії слугують для «виявлення осіб, причетних до злочинної або терористичної діяльності, які ще не відомі правоохоронним органам».137 Ці критерії встановлюються PIU та оновлюються на основі нових даних і моделей, наявних у системі. Автоматизована

135 БДІПЛ, Аналітична записка: Управління кордонами та права людини – Збір, обробка й обмін персональними даними та використання нових технологій у контексті боротьби з тероризмом і забезпечення свободи пересування, 2021, с. 15. 136 Європейська комісія, Звіт Комісії Європейському парламенту та Раді про перегляд Директиви 2016/681 про використання даних реєстрації пасажирів (PNR) для запобігання, виявлення, розслідування та переслідування терористичних злочинів та тяжких злочинів {COM(2020) 305 final}, 24 липня 2020 року, с. 11, виноска 36. 137 Європейська Комісія, Звіт Комісії Європейському Парламенту та Раді про перегляд Директиви 2016/681 про використання даних про імена пасажирів (PNR) для запобігання, виявлення, розслідування та переслідування терористичних злочинів та тяжких злочинів {COM(2020) 305 final}, 24 липня 2020 року, с. 24. 36 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» обробка даних має багато наслідків для права на недоторканність приватного життя та права на захист даних, що також було визнано Судом ЄС.138 85. Суд ЄС наголосив на пов’язаному з цим ризику дискримінації. Хоча Директива про PNR визнає такі ризики в статті 6 (4), Суд ЄС у справі Ligues des droits humains підкреслив, що це положення охоплює як пряму, так і непряму дискримінацію.139 Це особливо важливо, оскільки заздалегідь встановлені критерії можуть ґрунтуватися на, здавалося б, невинній особистій інформації, яка, менше з тим, може слугувати непрямим індикатором захищених ознак. Наприклад, адреса особи може бути використана як проксі для визначення її віросповідання, «раси» або етнічного походження. Як зазначалося вище, Суд ЄС постановив, що алгоритми повинні бути цільовими, пропорційними та конкретними – лише так можна забезпечити їхню недискримінаційність.140 Цей принцип має ширше значення, особливо у сфері міграції. Суд зазначив, що високий рівень хибнопозитивних результатів, який спостерігається в статистиці держав-членів ЄС, може поставити під сумнів адекватність і пропорційність системи.141 Тому Суд ЄС підкреслив важливість регулярного перегляду суворої необхідності дотримання заздалегідь визначених критеріїв.142 Він також зазначив, що держави-члени ЄС повинні встановити чіткі та точні правила для скеровування процесу індивідуальної перевірки з метою запобігання як дискримінаційним результатам, так і помилковим збігам, які передаються відповідним органам, що може несправедливо піддати пасажирів підозрі в причетності до тероризму або тяжких злочинів. Крім того, як зазначалося вище, Суд також зазначив, що висновки, зроблені на основі індивідуальних перевірок людьми, повинні мати перевагу над висновками, зробленими автоматизованими системами.143 86. Розробникам відповідних нормативно-правових актів слід запровадити ефективні гарантії дотримання прав людини для захисту пасажирів від неправомірної підозри у причетності до тероризму чи інших тяжких злочинів та утримуватися від дискримінаційного профілювання на основі даних PNR. У переліку завдань Національного контактного пункту у статті 15 Законопроекту згадується «моніторинг, обробка та аналіз даних запису реєстрації пасажирів [...] з метою оновлення, актуалізації, створення (скасування) профілів ризику або критеріїв ідентифікації осіб, які можуть бути причетними до терористичної діяльності». Важливо, щоб ці критерії та профілі були цільовими, пропорційними та конкретними, і щоби проєкт Закону відображав ці вимоги. Проєкт Закону повинен зобов'язати відповідні органи надавати необхідні настанови для проведення індивідуальних перевірок з метою запобігання дискримінаційним результатам. Ці критерії повинні регулярно переглядатися і за жодних обставин не повинні ґрунтуватися на «расовій» чи етнічній належності особи, її політичних поглядах, релігійних чи філософських переконаннях, членстві

138 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року. У п. 103 Суд ЄС зазначає, посилаючись на попередню практику, що «на цьому тлі слід мати на увазі, що Суд вже постановляв, що ступінь втручання, яке тягне за собою автоматизований аналіз даних PNR щодо прав, закріплених у статтях 7 і 8 Хартії, по суті, залежить від заздалегідь визначених моделей і критеріїв, а також від баз даних, на яких ґрунтується цей тип обробки даних (Висновок 1/15 (Угода між ЄС і Канадою про PNR) від 26 липня 2017 року, EU:C:2017:592, п. 172).». 139 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 197. 140 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 198. 141 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 123. 142 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 201. 143 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 205-208. 37 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» у профспілці, стані здоров'я, сексуальному житті чи сексуальній орієнтації.144 У статті 15 проєкту Закону слід зробити пряме посилання на це. Аналогічний підхід слід застосовувати до баз даних та контрольних списків з метою забезпечення прозорості критеріїв для включення до них та забезпечення виправлення у разі неправомірного включення. Критерії включення осіб до таких списків мають бути чітко сформульовані на основі вузького і точного визначення терористичних злочинів і тяжких злочинів. Крім того, для захисту від свавілля мають бути передбачені суворі процесуальні гарантії, зокрема, ефективні засоби правового захисту для оскарження неправомірного включення до списку, а також ефективні заходи для забезпечення виключення зі списку на практиці, в тому числі у випадках, коли контрольні списки або дані передаються на транснаціональному рівні. 87. Проєкту Закону також бракує чіткого положення про захист від непрямої дискримінації під час аналізу даних. Профілювання на основі корельованих атрибутів, як-от історія подорожей, громадянство чи інші ознаки, може ненавмисно призвести до упереджених результатів, які матимуть непропорційний вплив на певні групи. Це загрожує порушенням принципів рівності та права на недискримінацію, передбачених статтею 26 МПГПП, статтею 14 ЄКПЛ та Протоколом № 12 до ЄКПЛ, а також статтею 21 Хартії основних прав ЄС. У зв'язку з цим, до проєкту Закону слід включити пряме посилання на заборону непрямої дискримінації під час і в результаті обробки даних. 88. Загалом, настійною рекомендацією для компетентних органів є забезпечити, щоби співробітники, які обробляють дані API/PNR, проходили належну підготовку з прав людини та були обізнані з потенційними наслідками для прав людини, пов'язаними з цими системами. 89. Нарешті, стаття 16 містить перелік завдань Національної системи обробки PNR. У пункті 4 наведено загальне положення про недискримінацію. Вітаючи такий підхід, автори вважають, що положення про недискримінацію можна було би доповнити посиланням на членство в профспілці та стан здоров'я пасажира, як це має місце в стандартах ІКАО та Директиви ЄС про PNR.145

РЕКОМЕНДАЦІЯ F. Запровадити ефективні гарантії дотримання прав людини для захисту пасажирів від неправомірної підозри у причетності до тероризму або інших тяжких злочинів та утриматися від дискримінаційного профілювання на основі даних PNR у переліку завдань Національного контактного пункту, наведеному в статті 15. Критерії ризику та профілі повинні бути цільовими, пропорційними та конкретними, а також зобов'язувати відповідні органи надавати необхідні настанови для проведення індивідуальних перевірок з метою запобігання дискримінаційним результатам.

5. ОБОВ'ЯЗОК ІНФОРМУВАТИ ТА БЕЗПЕКА ПЕРСОНАЛЬНИХ ДАНИХ

90. GDPR, Директива ЄС про PNR, модернізована Конвенція 108 (ще не ратифікована Україною) та інші відповідні інструменти закріплюють право на захист даних.

144 Стаття 6 (4) Директиви ЄС про PNR. 145 Преамбула Директиви ЄС про PNR, п. 15, Додаток 9 до ІКАО, стаття 9.30 b) 38 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» Одним з ключових прав є право бути поінформованим про обробку власних даних. Стаття 22 проєкту Закону покладає на авіаперевізників обов'язок інформувати пасажирів про обробку їхніх даних. Однак інформування пасажирів про обробку їхніх персональних даних та доступ до них також є обов'язком держави. Директива ЄС про PNR передбачає, що «держави-члени повинні забезпечувати надання пасажирам точної інформації, яка повинна бути легкодоступною та легкозрозумілою, стосовно збору даних PNR, їх передавання до PIU та їхніх прав як суб'єктів даних».146 Тому рекомендовано, щоби проєкт Закону передбачав підхід, згідно з яким пасажирів інформують про обробку їхніх персональних даних чіткою та простою мовою, яку вони розуміють. 91. Центральним положенням проєкту Закону є стаття 22, яка стосується захисту персональних даних. Вона передбачає, що облік операцій з обробки (збір, зберігання, перегляд, розкриття та видалення) забезпечується Національним центром (для даних API) та Національним контактним пунктом (для даних PNR). Положення покладає на Національний центр та Національний контактний пункт відповідальність за «безпеку» персональних даних. У разі порушення ці органи зобов'язані інформувати Уповноваженого Верховної Ради України з прав людини та суб'єкта персональних даних. Це відповідає міжнародним та європейським стандартам, зокрема статті 13 (8) Директиви ЄС про PNR. 92. Однак, за стандартами ІКАО, держави мають додаткові зобов'язання щодо захисту персональних даних, особливо щодо прав суб'єктів даних. У зв'язку з цим, стаття 8 модернізованої Конвенції РЄ 108 передбачає чіткі зобов'язання органів державної влади відповідати на запити щодо існування персональних даних, повідомляти ці дані суб'єкту даних, виправляти або видаляти дані у разі незаконного збору/обробки,147 хоча існують винятки в інтересах «захисту державної безпеки». Ці стандарти визнаються не лише Конвенцією Ради Європи, але й міжнародними інструментами «м'якого права», як-от Керівні принципи ООН щодо регламентації комп'ютеризованих картотек, що місять персональні дані 1988 року (Принцип 4) та Принципи Тшване (Частина III).148 Якщо ці питання вже достатньою мірою не врегульовані в Законі України «Про захист персональних даних», проєкт Закону

146 Преамбула Директиви ЄС про PNR, п. 29. Наприклад, уряд Нідерландів має спеціальну веб-сторінку, на якій простою, нетехнічною мовою подано огляд того, як дані про пасажирів збираються/використовуються різними державними установами, а також огляд аспектів захисту даних. На ній також міститься інформація для пасажирів, які бажають отримати доступ до цих даних, а також інформація про те, як їх можна оскаржити/видалити (див. Уряд Нідерландів, Інформація для пасажирів авіаперевезень. https://www.government.nl/topics/aviation/air-passenger-travel-information). У Канаді обробка даних API/PNR регулюється Законом про митницю, Законом про захист приватного життя, Положенням про інформацію про пасажирів та іншими нормативно-правовими актами. Основним національним органом, що збирає дані API/PNR, є Агентство прикордонної служби Канади (CBSA). Агентство опублікувало Настанови щодо доступу, використання та розкриття даних API та PNR, а також інформації перед вильотом, які демонструють належну практику, особливо щодо доступу суб'єктів даних до своїх персональних даних; див. Уряд Канади, Guidelines for the access to, use, and disclosure of advance passenger information (API), passenger name record (PNR) data and pre-departure air exit information, пп. 42-43. 147 Стаття 8 модернізованої Конвенції РЄ № 108 зазначає, що "Будь-яка особа має право: a) встановлювати існування файлу персональних даних для автоматизованої обробки, його головні цілі, а також особу та постійне місце проживання чи головне місце роботи контролера файлу; b) отримувати через розумні проміжки часу та без надмірної затримки або витрат підтвердження або спростування факту зберігання персональних даних, що її стосуються, у файлі даних для автоматизованої обробки, а також отримувати такі дані у доступній для розуміння формі; c) вимагати у відповідних випадках виправлення або знищення таких даних, якщо вони оброблялися всупереч положенням внутрішнього законодавства, що запроваджують основоположні принципи, визначені у статтях 5 і 6 цієї Конвенції; d) використовувати засоби правового захисту у разі невиконання передбаченого у пунктах b і c цієї статті прохання про підтвердження або у відповідних випадках про надання, виправлення або знищення персональних даних». 148 Див. також Спеціальний комітет ПА ОБСЄ з протидії тероризму «Зміцнення безпеки кордонів та обміну інформацією в регіоні ОБСЄ – Анкета щодо парламентського нагляду», с. 13. Наприклад, у Німеччині обробка даних API передбачена законодавчими положеннями, що містяться у Федеральному законі про поліцію. Запити на отримання даних реєструються, а обробка даних API підлягає постійному аудиту та нагляду з боку спеціалістів. Закон також передбачає суворі правила щодо захисту персональних даних (наприклад, щодо залучення Федерального уповноваженого з питань захисту даних та свободи інформації, знеособлення даних пасажирів разом із реєстрацією даних), яких необхідно дотримуватися під час обробки даних пасажирів. 39 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» можна було би суттєво посилити шляхом чіткого відображення в ньому таких прав на захист даних. 93. Позитивним є те, що стаття 21 проєкту Закону передбачає призначення співробітників з питань захисту даних PNR. Однак це положення слід посилити та привести у відповідність до вищезазначених стандартів. По-перше, відповідно до Директиви ЄС про PNR, співробітники з питань захисту даних мають бути забезпечені засобами для ефективного та незалежного виконання своїх обов'язків і завдань.149 Рекомендовано включити аналогічне положення до проєкту Закону, щоби забезпечити ефективну й незалежну роботу співробітників з питань захисту даних. По-друге, Директива ЄС про PNR вимагає від держав забезпечити, «право суб’єкта даних контактувати зі старшим спеціалістом з питань захисту даних через єдиний контактний пункт щодо будь-яких питань, пов’язаних з опрацюванням даних PNR такого суб’єкта даних».150 За відсутності такого положення в проєкті Закону слід передбачити засоби, за допомогою яких суб'єкти даних можуть безпосередньо зв'язатися зі співробітниками з питань захисту даних. 94. При тому, що в статті 21 проєкту Закону зазначається, що співробітники з питань захисту даних мають доступ до всіх даних, які опрацьовуються в системі накопичення даних запису реєстрації пасажирів Національної системи обробки PNR, слід нагадати, що Суд ЄС у своєму рішенні уточнив: «хоча співробітник з питань захисту даних має доступ до всіх даних, які обробляє підрозділ з питань інформації про пасажирів (PIU), цей доступ повинен обов'язково охоплювати заздалегідь визначені критерії та бази даних, використовувані цим підрозділом, з метою гарантувати ефективність і високий рівень захисту даних, що їх цей співробітник повинен забезпечити відповідно до пункту 37 цієї Директиви». 151 95. В останньому абзаці статті 21 проєкту Закону зазначено, що співробітники з питань захисту даних PNR «взаємодіють» з Уповноваженим Верховної Ради України з прав людини. Однак незрозуміло, що мається на увазі під словом «взаємодіють». Слід роз'яснити, що співробітники з питань захисту даних PNR можуть безпосередньо та конфіденційно повідомляти про порушення Уповноваженому, а також можуть передавати справи на розгляд Уповноваженого та здійснювати інші дії.

РЕКОМЕНДАЦІЯ G. Роз'яснити у статті 21 проєкту Закону, що співробітники з питань захисту даних PNR можуть безпосередньо та конфіденційно повідомляти про порушення Уповноваженому Верховної Ради України з прав людини, а також можуть передавати справи на розгляд Уповноваженого та вживати інших заходів.

149 Стаття 5 (2) Директиви ЄС про PNR. 150 Стаття 5 (3) Директиви ЄС про PNR. 151 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 212. 40 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» 6. НЕЗАЛЕЖНИЙ НАГЛЯД

96. Відповідно до стандартів ІКАО, держави повинні призначити один або декілька компетентних національних органів, уповноважених здійснювати незалежний нагляд за захистом даних PNR та визначати, чи дані PNR збираються, використовуються, обробляються та захищаються з повним дотриманням прав і свобод людини.152 Так само, згідно з Директивою ЄС про PNR, держави-члени ЄС повинні створити «Національний наглядовий орган» з метою захисту основних прав у зв'язку з обробкою персональних даних (див. також статті 51-59 GDPR та статтю 15 Модернізованої конвенції 108). Такий орган повинен бути структурно й операційно незалежним відповідно до статей 51 та 52 GDPR, опрацьовувати скарги, подані будь-яким суб'єктом даних, розслідувати випадки й інформувати суб'єктів даних про стан і результати розгляду їхніх скарг упродовж обґрунтованого строку, а також підтверджувати законність опрацювання даних, проводити розслідування, інспектування і аудити відповідно до національного права з власної ініціативи або на підставі скарг. Будь-який суб'єкт даних також повинен бути поінформований про здійснення своїх прав.153 97. Стаття 23 проєкту Закону визначає Уповноваженого Верховної Ради України з прав людини як наглядовий орган. Однак важливо, щоби на додачу до положень проєкту закону Уповноваженому було надано правовий мандат, достатні технічні, людські та фінансові ресурси і повноваження для ефективного здійснення нагляду за діяльністю Національного центру та Національного контактного пункту, як це передбачено Директивою про PNR. Рекомендовано інтегрувати ці аспекти до закону, що регулює діяльність Уповноваженого Верховної Ради України з прав людини, та зробити відповідне посилання у проєкті Закону. Крім того, оскільки у статті 23 проєкту Закону йдеться про парламентський контроль за відповідністю його положень законодавству про захист даних, виникає запитання, чи діє Уповноважений з прав людини як незалежний наглядовий орган у сенсі статті 52 GDPR. Остання передбачає, серед іншого, що «кожен наглядовий орган діє абсолютно незалежно під час виконання своїх завдань та здійснення своїх повноважень згідно з цим Регламентом» і що «член або члени кожного наглядового органу, під час виконання своїх завдань та здійснення своїх повноважень згідно з цим Регламентом, повинні залишатися вільними від зовнішнього впливу, прямого чи опосередкованого, та не повинні запитувати чи приймати вказівки від будь-якої особи...». Тому слід забезпечити, щоби будь-який нагляд за дотриманням законодавства про захист персональних даних незалежно здійснювався уповноваженим органом, якому надано необхідні ресурси та повноваження для виконання його функцій у спосіб, що відповідає міжнародним документам. 98. Нарешті, стаття 77 GDPR передбачає, що кожен суб'єкт даних має право подати скаргу до наглядового органу. Такий захист не передбачений у проєкті Закону. Рекомендовано чітко передбачити цей механізм подання скарг у проєкті Закону та відобразити його в законі, що регулює діяльність Уповноваженого Верховної Ради України з прав людини. 99. У зв'язку з цим варто зазначити, що Суд ЄС у справі Ligue des droits humains ASBL постановив, що відповідно до Директиви ЄС про PNR національний наглядовий орган забезпечує моніторинг законності автоматизованої обробки, здійснюваної PIU у зв'язку з попередньою оцінкою. Цей моніторинг охоплює, серед іншого,

152 Додаток 9 до Конвенції ІКАО, стаття 9.29. 153 Стаття 15 Директиви ЄС про PNR. 41 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» перевірку того, чи не є ці операції дискримінаційними. При тому, що положення стосовно співробітників з питань захисту даних передбачають, що вони мають доступ до всіх даних, які обробляються PIU, і що такий доступ повинен обов'язково охоплювати заздалегідь визначені критерії та бази даних, використовувані цим підрозділом, розслідування, перевірки та аудити, які проводить національний наглядовий орган згідно з відповідними положеннями Директиви ЄС про PNR, також можуть стосуватися цих заздалегідь визначених критеріїв та баз даних, аби гарантувати ефективність і високий рівень захисту даних, який ці співробітники повинні забезпечити.154 Відповідно, Уповноважений з прав людини, для належного здійснення своїх повноважень, повинен мати повний і безперешкодний доступ до всієї інформації, що обробляється Національним контактним пунктом (PIU), а також до заздалегідь визначених критеріїв і баз даних.

РЕКОМЕНДАЦІЯ H. Забезпечити, щоби будь-який нагляд за дотриманням законодавства про захист даних незалежно здійснювався уповноваженим органом, якому надано необхідні ресурси та повноваження для виконання свого мандату у спосіб, що відповідає міжнародним документам, а також забезпечити, щоби цей орган або Уповноважений Верховної Ради України з прав людини мав повний і безперешкодний доступ до всієї інформації, що обробляється Національним контактним пунктом, а також до заздалегідь визначених критеріїв і баз даних, необхідних для виконання свого мандату.

7. МЕХАНІЗМИ ОСКАРЖЕННЯ ТА СУДОВОГО КОНТРОЛЮ

100. Окрім права подавати скарги до наглядового органу, особи мають право на ефективний судовий захист, що дозволяє їм звертатися до суду щодо потенційних порушень захисту даних. Право на судовий захист визнається як статтею 47 Хартії основних прав ЄС, так і статтею 13 ЄКПЛ. Стаття 78 GDPR передбачає право на дієвий засіб правового захисту проти наглядового органу. Такий засіб правового захисту, зокрема, гарантує право на судовий перегляд рішень органів захисту даних. Стандарт 9.26 Додатку 9 до Чиказької конвенції закликає держави передбачити адміністративні та судові механізми правового захисту, що дозволяли б особам звертатися по правовий захист від незаконної обробки даних PNR органами державної влади, а також передбачити відповідні механізми, встановлені їхньою правовою та адміністративною системою, щоб особи могли отримати доступ до своїх даних PNR та вимагати, за необхідності, виправлення, видалення чи внесення приміток.155 101. Стаття 26 проєкту Закону передбачає, що дії або рішення Національного центру, Національного контактного центру або уповноважених органів можуть бути оскаржені в судовому порядку, хоча немає жодних посилань на конкретний

154 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 212. 155 Конвенція ІКАО, Додаток 9, стандарт 9.26. 42 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» компетентний суд (суди) або відповідну процедуру. До цього положення можна було би включити перехресне посилання на застосовне законодавство та процедуру, хіба що вони достатньою мірою описані в Законі України «Про захист персональних даних»; тоді до цього положення варто було би включити відповідне посилання. 102. Для того, щоби право на судовий захист було ефективним на практиці, суб'єктам даних повинна бути надана вичерпна інформація зрозумілою їм мовою, щоб вони могли оскаржити законність автоматизованої обробки та подальшого індивідуального перегляду. Аналогічно, в контексті правових засобів захисту, вичерпна інформація повинна бути надана суду та зацікавленим особам для аналізу законності рішення, ухваленого компетентними органами, тобто підстав та доказів.156 В обох ситуаціях можуть застосовуватися певні винятки щодо надання інформації.157 Проєкт Закону слід доповнити відповідним положенням.

8. РЕКОМЕНДАЦІЇ ЩОДО ПРОЦЕСУ ПІДГОТОВКИ Й УХВАЛЕННЯ ПРОЄКТУ ЗАКОНУ

103. Держави-учасниці ОБСЄ зобов'язалися забезпечити ситуацію, за якої «закони, ухвалені по завершенню відповідної публічної процедури, й адміністративні положення публікуються, що є умовою їх застосування» (Копенгагенський документ 1990 року, п. 5.8).158 Крім того, ключові зобов'язання передбачають, що «законодавство буде розроблятися й ухвалюватися в результаті відкритого процесу, що відображає волю народу чи то безпосередньо, чи то через обраних ним представників» (Московський документ 1991 року, п. 18.1).159 БДІПЛ у Керівництві з демократичного законотворення для вдосконалення законодавства (2024) підкреслює важливість заснованого на фактах, відкритого, прозорого, партисипативного й інклюзивного законотворчого процесу, який надає реальні можливості всім зацікавленим сторонам робити свій внесок протягом усього законотворчого процесу.160 104. Зрозуміло, що у процесі розробки проєкту Закону Служба безпеки України прагнула провести консультації з різними зацікавленими сторонами, включаючи інші установи сектору безпеки й оборони та міжнародних партнерів. Це загалом позитивний підхід, який в цілому відповідає зобов'язанням в рамках ОБСЄ. 105. Публічні консультації є засобом відкритого і демократичного врядування, оскільки вони сприяють підвищенню прозорості та підзвітності державних інституцій і допомагають виявити потенційні суперечності ще до ухвалення закону.161 Для того, щоби консультації стосовно законопроектів і політик були ефективними, вони мають бути інклюзивними і надавати відповідним зацікавленим сторонам достатньо часу для підготовки та подання рекомендацій щодо законопроєктів.

156 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, пп. 2009-211. Див. також ЄРЗД, Заява 2/2025 Європейської ради із захисту даних щодо імплементації Директиви про PNR у світлі рішення Суду ЄС C-817/19, ухвалена 13 березня 2025 року, п. 19. 157 Суд ЄС, C-817/19 [GC], Ligue des droits humains ASBL v. Conseil des ministres (Законність записів реєстрації пасажирів у ЄС), 21 червня 2022 року, п. 210. 158 Доступно за посиланням <http://www.osce.org/fr/odihr/elections/14304http://www.osce.org/fr/odihr/elections/14304>. 159 Доступно за посиланням <http://www.osce.org/fr/odihr/elections/14310http://www.osce.org/fr/odihr/elections/14310>. 160 БДІПЛ, Керівництво з демократичного законотворення для вдосконалення законодавства (січень 2024 року), зокрема Принципи 5, 6, 7 і 12. Див. також Венеційська комісія, Мірило правовладдя (Контрольний список запитань для оцінки дотримання верховенства права), CDL-AD(2016)007, частина II.A.5. 161 Рекомендації щодо сприяння більш ефективній участі об'єднань громадян у процесах прийняття державних рішень (від учасників Форуму громадянського суспільства для презентації на додатковій нараді ОБСЄ з питань людського виміру), Відень, 15-16 квітня 2015 року. 43 Висновок щодо проєкту Закону України «Про використання інформації про пасажирів для протидії тероризму, тяжким та особливо тяжким злочинам» Держава також повинна забезпечити достатній і своєчасний механізм зворотного зв'язку, за допомогою якого органи державної влади повинні визнавати внесок учасників консультацій і реагувати на подані пропозиції.162 Щоби гарантувати ефективну участь, механізми консультацій повинні дозволяти робити внесок на ранній стадії, починаючи з відправного етапу розробки політики і протягом усього процесу,163 що охоплює не лише підготовку законопроєкту, а і його обговорення в парламенті, чи то під час громадських слухань, чи то під час засідань парламентських комітетів. Враховуючи чутливість і значущість такої широкомасштабної реформи, дуже важливо почути всі голоси, навіть ті, які можуть бути критично налаштовані щодо запропонованих ініціатив, з метою вирішення порушених питань і досягнення широкого політичного консенсусу та громадської підтримки такої реформи у країні. Зрештою, це, як правило, покращує імплементацію законів після їх ухвалення та підвищує довіру громадськості до державних інституцій загалом. 106. Розробники проєкту Закону підготували Пояснювальну записку до нього, в якій надається обґрунтування необхідності запропонованої реформи, але не згадується про дослідження й оцінку впливу, на яких базуються ці висновки. В принципі, закони та державні рішення повинні готуватися, обговорюватися й ухвалюватися на основі добре викладених аргументів, наукових доказів і даних, зокрема інформації, отриманої в результаті оцінки впливу та консультацій з громадськістю й іншими зацікавленими сторонами.164 З огляду на потенційний вплив проєкту Закону на реалізацію прав людини та основних свобод, важливо провести поглиблену оцінку регуляторного впливу (див. також статтю 35 GDPR), в тому числі на дотримання прав людини, яка повинна містити належний аналіз проблеми з використанням науково обґрунтованих методів для визначення найбільш ефективного та дієвого варіанту регулювання.165 Якщо такої оцінки впливу проведено ще не було, розробникам слід провести такий поглиблений аналіз, виявити наявні проблеми та відповідно адаптувати запропоновані рішення. 107. У світлі вищезазначеного, органам державної влади рекомендовано забезпечити проведення інклюзивних, широких і ефективних консультацій щодо проєкту Закону, в тому числі з організаціями громадянського суспільства, авіакомпаніями, а також забезпечити рівні можливості для участі жінок і чоловіків. Відповідно до вищезазначених принципів, такі консультації мають відбуватися своєчасно, на всіх етапах законотворчого процесу, в тому числі в парламенті. Важливим елементом належної законотворчості є також запровадження послідовної системи моніторингу й оцінки імплементації законодавства, яка б ефективно відстежувала функціонування й ефективність проєкту Закону після його ухвалення.166 [КІНЕЦЬ ТЕКСТУ].

162 БДІПЛ, Керівництво з демократичного законотворення для вдосконалення законодавства (2024), Принцип 7. 163 БДІПЛ, Керівництво з демократичного законотворення для вдосконалення законодавства (2024), Принцип 7. 164 Керівництво з демократичного законотворення для вдосконалення законодавства (січень 2024 оку), Принцип 5, Законотворення на основі фактичних даних. 165 Див., наприклад, БДІПЛ, Попередня оцінка законодавчого процесу в Республіці Узбекистан (11 грудня 2019 року), Рекомендації L і M; та Венеційська комісія, Мірило правовладдя (Контрольний список запитань для оцінки дотримання верховенства права), CDL-AD(2016)007, частина II.A.5. 166 БДІПЛ, Керівництво з демократичного законотворення для вдосконалення законодавства (січень 2024 року), п. 23. Наприклад, ОЕСР, Передові регуляторні практики в Європейському Союзі, розділ 4: Ex post огляд законів і нормативних актів Європейського Союзу (2010). 44