Правительственный законопроект: Закон о полномочиях по сбору и анализу данных о пассажирах, въезжающих в Израиль или выезжающих из него, 5783-2023

Ширли Кацир, партнер

Тел. 03-6941348
Факс. 03-6091116
skazir@fbclawyers.com

12 марта 2023
Кому:
Депутат Юлий Эдельштейн
Комитет по иностранным делам и безопасности
Кнессет Израиля
Иерусалим
По электронной почте:
v_bitachon@KNESSET.GOV.IL
yedelstein@knesset.gov.il

Уважаемые,
Тема: Законопроект о полномочиях по сбору и анализу данных о пассажирах, въезжающих в Израиль или выезжающих из него,
5782-2022
От имени нашей компании, иностранных авиакомпаний, осуществляющих рейсы из Израиля и в Израиль, и в связи с обсуждениями, состоявшимися
в Комитете по иностранным делам и безопасности Кнессета 20.02.2023, 27.02.2023 и 01.03.2023 (далее: "обсуждения"),
мы имеем честь обратиться к вам по данному вопросу следующим образом:
Введение

1. Наша компания представляет множество компаний, связанных с туристической отраслью, в частности, с авиацией, многие из которых являются международными и ведут сделки с потребителями в десятках стран по всему миру. Этот документ представлен
   от имени и по поручению этих клиентов, а именно от имени международных компаний в области авиации и туризма.
2. Мы получили копию рассматриваемого законопроекта, в рамках которого предлагается принять законопроект о полномочиях
   по сбору и анализу данных о пассажирах, въезжающих в Израиль или выезжающих из него, 5782-2022 (далее:
   "законопроект").
3. Из изучения законопроекта следует, что он предназначен для регулирования обязанности, возложенной на авиакомпании, осуществляющие
   рейсы из Израиля и в Израиль, по предоставлению информации о пассажирах и членах экипажа, включая цели сбора информации, тип
   информации, способ предоставления информации и другое.
4. В отношении информации и данных, получаемых авиакомпаниями как неотъемлемая часть их текущей
   и обычной деятельности и в связи с выполнением заказа пассажиром, авиакомпании подлежат, среди прочего, местному регулированию, действующему в месте их регистрации.
5. Действительно, часть стран мира в последние годы приняла законодательство, которое регулирует обязанность предоставления
   информации, как предложено в рамках законопроекта. Однако, в отличие от утверждений в пояснительной записке к законопроекту, согласно которой законопроект соответствует международным стандартам, сложившимся в мире, на самом деле, рассматриваемый законопроект противоречит
   международным стандартам и является исключением из принятого стандарта, применяемого странами мира.
6. Далее приведены подробности.

Фон

Положения законопроекта

7. В соответствии с законопроектом предлагается создать базу данных, которая будет храниться и управляться Налоговым управлением,
   для получения информации о пассажирах и членах экипажа, выполняющих функции на воздушных судах, в отношении рейсов, осуществляемых
   из Израиля и в Израиль.
8. Также в соответствии с законопроектом сбор информации будет использоваться для: (1) борьбы с преступными организациями; (2)
   борьбы с террористическими организациями; (3) укрепления безопасности гражданской авиации; (4) улучшения системы контроля границ
   и управления процессами иммиграции; (5) охраны здоровья населения.
9. Для целей, для которых предлагается разрешить сбор информации и ее использование, законопроект возлагает на перевозчика
   пассажиров ('оператор воздушного судна', как определено в законопроекте) обязанность предоставлять информацию о пассажирах и членах экипажа,
   выполняющих функции на воздушном судне, следующим образом:
   (а) PNR (Passenger Name Record) — электронная запись, создаваемая при заказе
   билета на рейс, включающая множество данных, необходимых для заказа билета, включая имя
   пассажира, адрес, номер его мобильного телефона, способ оплаты, адрес электронной почты для отправки электронного билета,
   даты поездки и маршрут, данные о багаже и другое.
   (б) API (Advanced Passenger Information) — запись, создаваемая при регистрации на рейс (чек-ин),
   включающая, среди прочего, имя пассажира, номер документа для поездки, гражданство, пол, национальность, дату
   рождения и другое.
10. Передача указанной информации авиакомпаниями будет осуществляться по запросу и в соответствии с временными рамками,
    определенными в законопроекте.

Положения GDPR

11. В 2018 году вступили в силу правила защиты личных данных Европейского Союза GDPR (General Data Protection Regulation) (далее: "GDPR"). Эти правила
    предназначены для повышения защиты личной жизни,
    путем установления четких юридических норм, направленных на регулирование сбора, хранения, обработки, передачи
    и безопасности данных и личной информации, а также наложения штрафов на нарушителей этих норм.
12. Статья 3 Положений GDPR определяет территориальный охват. Основное правило заключается в том, что положения GDPR применяются к организациям, действующим в Европейском Союзе и осуществляющим обработку личной информации:
    "Это Регламент применяется к обработке личных данных
    в контексте деятельности учреждения контролера или процессора в Союзе, независимо от того,
    происходит ли обработка в Союзе или нет."
13. Кроме того, статья 3(2) Положений GDPR расширяет их территориальный охват также на организации,
    зарегистрированные и действующие за пределами границ Европейского Союза, когда осуществляется обработка личной информации в отношении
    субъектов данных, находящихся в Европейском Союзе, в случаях, когда обработка информации осуществляется в отношении одного из следующих: (а) предложение товаров или услуг субъектам данных в Европейском Союзе; или (б) отслеживание поведения
    субъектов данных в Европейском Союзе.
14. Из этого следует, что положения GDPR будут применяться также к организациям, зарегистрированным и действующим за пределами Европейского Союза,
    когда они обрабатывают личную информацию в отношении субъектов данных, находящихся в Европейском Союзе (граждан или резидентов
    Европейского Союза), когда эта обработка личной информации предназначена и осуществляется целенаправленно для предложения товаров или
    услуг субъектам данных, находящимся в Европейском Союзе. Соответственно, в отношении авиакомпаний, которые собирают
    данные о гражданах и резидентах Европейского Союза (и, безусловно, в отношении авиакомпаний, зарегистрированных в Европейском
    Союзе), они подлежат обязательным положениям GDPR.
15. Положения GDPR являются более строгими и всеобъемлющими по сравнению с предшествующим законодательством и не могут быть изменены,
    если это не требуется в соответствии с обязательными нормами регулирования, то есть через законодательство Европейского Союза или
    через обязательное международное соглашение, подписанное Европейским Союзом.

Законопроект противоречит международным стандартам и противоречит общепринятому в странах мира

16. В центре рассматриваемого законопроекта находится обязанность, возложенная на авиакомпании, предоставлять личную информацию
    о своих пассажирах, которая собирается в процессе заказа билета на рейс и использования их услуг. Также в рамках законопроекта
    предлагается определить цели, для которых будет разрешено предоставление информации авиакомпанией, а также тип информации,
    которую можно будет требовать от авиакомпании, и ее объем.
17. Как уже упоминалось, часть стран мира в последние годы приняла законодательство, которое разрешает обязанность предоставления
    информации, как предложено в рамках законопроекта, однако это сделано в ограниченном объеме и через законодательство Европейского
    Союза, с соблюдением целей, указанных в положениях GDPR и на основании их.
18. Уже сейчас следует уточнить - как цели, определенные в рамках законопроекта, так и типы информации, запрашиваемые для предоставления,
    являются отклонением от стандарта, установленного странами мира (в частности, Европейским Союзом), и, следовательно,
    противоречат обязательным положениям GDPR, и это без того, чтобы это было сделано на основании законодательства и/или соглашения,
    как это требуется. Далее приведены подробности.
19. Статья 12 законопроекта определяет цели, для которых будет собираться и использоваться информация, следующим образом:
    "12 (а) Информация в базе данных о пассажирах будет собираться и использоваться только для следующих целей:
    (1) Идентификация, предотвращение, пресечение, расследование или привлечение к ответственности за участие в террористической организации,
    террористическую деятельность или террористическое преступление, в соответствии с одним из следующих:
    (а) Закон о борьбе с терроризмом, 5776-2016;
    (б) Указ о мерах безопасности [объединенный текст] (Иудея и Самария) (номер 1651), 5770-2009;
    (в) Правила защиты (время чрезвычайной ситуации), 1945;
    (2) Обеспечение безопасности гражданской авиации в Израиль и из Израиля, включая защиту
    безопасности пассажиров, прибывающих в Израиль и выезжающих из него, от угроз безопасности;
    (3) Идентификация, предотвращение, пресечение, расследование или привлечение к ответственности за преступления, наказание за которые
    составляет три года или более, указанные в пятом приложении;
    (4) Борьба с незаконной иммиграцией и улучшение контроля границ на пунктах
    въезда в Израиль, в соответствии с полномочиями, установленными в Законе о въезде
    в Израиль;
    (5) Защита здоровья населения, путем идентификации, предотвращения или лечения
    возможных вспышек или распространения эпидемических заболеваний,
    как это определено в статье 20 или в приложении Б к Закону о здравоохранении, 1940,
    или инфекционного заболевания, представляющего значительный риск для жизни человека."
20. Таким образом, законопроект представляет собой широкий набор целей: (1) борьба с террористическими организациями; (2) обеспечение безопасности гражданской
    авиации; (3) борьба с преступностью; (4) борьба с иммиграцией в Израиль; (5) охрана здоровья населения. Более того,
    также в статье 12 законопроекта предоставляется министру юстиции полномочие изменять и расширять цели в отношении
    преступности и преступлений, включенных в него.
21. Как уже упоминалось, часть стран мира в последние годы приняла законодательство, которое разрешает обязанность предоставления
    информации, как предложено в рамках законопроекта, однако это сделано в ограниченном объеме и с приоритетом основного права
    на частную жизнь. Так, например, в Европейском Союзе использование данных о пассажирах ограничено борьбой с терроризмом и
    тяжкими преступлениями. Похожая ситуация наблюдается и в США, где основное использование данных о пассажирах
    ограничено целями защиты национальной безопасности.
22. Таким образом, цели, для которых предлагается собирать информацию в рамках законопроекта, выходят за рамки общепринятого,
    и это даже без предоставления какого-либо объяснения, которое могло бы удовлетворить требования к источнику отклонения и расширения.
23. Эти замечания особенно актуальны в отношении типов личной информации, которые были определены в рамках законопроекта как те, которые
    обязательны для предоставления. Таким образом, в рамках законопроекта, и в соответствии с первым приложением к нему, авиакомпании
    обязаны раскрывать множество, глубоких и детализированных данных о своих пассажирах.
24. Для иллюстрации, законопроект перечисляет более 30 различных типов личных данных о пассажирах, которые
    разрешено предоставлять, в то время как европейское законодательство перечисляет менее двадцати данных. Например, в рамках
    европейского законодательства, разрешающего предоставление информации, нет никаких требований о предоставлении информации о поле
    пассажира (Gender), дате рождения, стране гражданства пассажиров, включенных в заказ, а также информации о документе
    для поездки (тип и место его выдачи). Также в отношении общепринятого законодательства в США, Израиль
    выходит за рамки общепринятого. Таким образом, в отличие от того, что запрашивается в рамках законопроекта, в США нет никаких требований о предоставлении
    способа оплаты, с помощью которого был осуществлен заказ, адреса пассажира, информации о багаже пассажира и всех примечаний, указанных
    в процессе регистрации заказа пассажира.
25. Что касается расширения целей и объема информации, запрашиваемой в законопроекте по сравнению с общепринятым в мире, то
    поскольку они не имеют источника в обязательном регулировании, которое разрешает отклонение от положений GDPR, они представляют собой
    нарушение положений GDPR.
26. Не случайно, в рамках обсуждения в Комитете по иностранным делам и безопасности по поводу указанного законопроекта,
    представитель Управления гражданской авиации (РТА), г-н Иши Дон-Яхия, отметил явно, что для применения положений законопроекта к
    иностранным авиакомпаниям недостаточно того, чтобы израильский законодатель принял закон, как это запрашивается, но необходимо
    урегулировать международное соглашение с государствами Европейского Союза. Также в рамках своих слов он отметил, что с учетом
    расширений, произведенных в рамках законопроекта по сравнению с общепринятым стандартом и отклонением от европейского законодательства,
    ожидается, что возникнет сопротивление со стороны государств Европейского Союза к подчинению компаний, действующих с их территории,
    рассматриваемому законопроекту.
27. На самом деле, принятие законопроекта в его нынешнем виде, без приведения в соответствие с обязательным европейским законодательством,
    может вызвать правовые проблемы, в рамках которых авиакомпании будут вынуждены нарушать обязательные положения GDPR,
    чтобы адаптироваться к местному регулированию в Израиле. В противном случае нельзя исключать, что авиакомпании, которые выберут, и это будет оправдано,
    не нарушать положения GDPR и не подвергаться штрафам со стороны Европейского Союза, прекратят свою деятельность в Израиле.
28. Необходимо подчеркнуть важность глобальной деятельности иностранных авиакомпаний для
    израильского потребителя. Принятие законопроекта в его нынешнем виде, наряду с растущим регулированием, применяемым
    государством Израиль в отношении деятельности авиакомпаний, может привести к значительным последствиям для
    деятельности иностранных авиакомпаний в Израиле и, как следствие, для израильского потребителя и конкуренции в экономике.

Законопроект представляет собой значительное бремя для авиакомпаний

Срок предоставления данных авиакомпаниями

29. В соответствии с законопроектом, авиакомпания будет подвержена требованию о предоставлении информации, и она должна будет предоставить ее в очень короткие сроки, вплоть до реального времени (например: "незадолго до закрытия дверей воздушного судна", "при регистрации пассажира на рейс").
30. На самом деле, авиакомпания будет вынуждена создать, помимо электронного интерфейса, специальную команду, которая будет управлять
    системой передачи информации и будет доступна в любое время для сбора информации из внутренних систем
    и передачи ее соответствующим органам.
31. Более того, законопроект, который предполагает соответствие аналогичному законодательству, действующему в странах мира по этому вопросу,
    также расширяет, в этом отношении, обязательства авиакомпаний.
32. В то время как в европейском законодательстве, касающемся обязанности авиакомпаний предоставлять информацию о пассажирах (только), авиакомпании
    обязаны предоставлять информацию в два сосредоточенных срока: (1) за 24-48 часов до времени
    рейса; (2) после закрытия дверей воздушного судна для его вылета, во-первых, рассматриваемый законопроект не
    ограничивается предоставлением информации и данных о пассажирах, и он также расширен в отношении членов экипажа, выполняющих функции
    на воздушном судне (в отличие от европейского законодательства, которое явно исключает членов экипажа); во-вторых, законопроект также
    расширяет сроки предоставления информации и фактически ограничивает возможности авиакомпании.
33. Таким образом, в соответствии с законопроектом, авиакомпания будет обязана предоставлять информацию в следующие сроки: (1) не позднее 48 часов до времени вылета рейса; (2) при регистрации пассажира на стойке регистрации рейса (чек-ин); (3) незадолго после закрытия дверей воздушного судна.
34. Также в соответствии с текстом законопроекта, в случае любого изменения в информации, авиакомпания должна немедленно обновить информацию. Например, в случае, если пассажир зарегистрировался на рейс - авиакомпания должна предоставить информацию незадолго после этого; однако в случае, если пассажир не сел на рейс в конечном итоге - авиакомпания должна немедленно обновить данные, которые были предоставлены. Это также является отклонением от обязательного европейского законодательства.
    35