Een luchtvaartmaatschappij verstrekt van elke vlucht als bedoeld in artikel 3 aan de Passagiersinformatie-eenheid de passagiersgegevens waarover zij ten behoeve van haar bedrijfsvoering beschikt. In geval van een gedeelde vlucht van twee of meer luchtvaartmaatschappijen, is de maatschappij die de vlucht uitvoert verplicht om alle passagiersgegevens te verstrekken.

De passagiersgegevens worden langs elektronische weg verstrekt:

1. a.

   op een of meer door Onze Minister vast te stellen tijdstippen tussen 48 en 24 uur voor de geplande vertrektijd van een vlucht; en

2. b.

   onmiddellijk na het aan boord gaan van de passagiers in het vliegtuig dat klaar staat voor vertrek en waar de passagiers niet meer aan of van boord kunnen gaan.

In geval van verstrekking als bedoeld in het tweede lid, onderdeel b, kan worden volstaan met het doorgeven van de wijzigingen ten opzichte van de op grond van het tweede lid, onderdeel a, verstrekte passagiersgegevens.

Een luchtvaartmaatschappij verstrekt op verzoek van de Passagiersinformatie-eenheid de passagiersgegevens tevens op andere dan de in het tweede lid genoemde tijdstippen. De Passagiersinformatie-eenheid kan hier uitsluitend om verzoeken indien toegang tot deze gegevens naar haar oordeel noodzakelijk is om te kunnen reageren op een specifieke en concrete dreiging die verband houdt met een terroristisch of ernstig misdrijf.

Bij regeling van Onze Minister kunnen nadere regels worden gesteld over de wijze waarop de passagiersgegevens door een luchtvaartmaatschappij aan de Passagiersinformatie-eenheid worden verstrekt, met dien verstande dat de Passagiersinformatie-eenheid geen rechtstreekse toegang krijgt tot het reserveringssysteem van de luchtvaartmaatschappij.

Er is een Passagiersinformatie-eenheid die tot taak heeft:

1. a.

   passagiersgegevens die op grond van artikel 4 door een luchtvaartmaatschappij worden verstrekt, te verzamelen, op te slaan en anderszins te verwerken, en die gegevens of het resultaat van de verwerking ervan door te geven aan de bevoegde instanties; en

2. b.

   passagiersgegevens of het resultaat van de verwerking ervan uit te wisselen met de Passagiersinformatie-eenheden van de andere lidstaten en met Europol.

De Passagiersinformatie-eenheid is ondergebracht bij een door Onze Minister op te richten of aan te wijzen instantie of een onderdeel daarvan die bevoegd is terroristische en ernstige misdrijven te voorkomen, op te sporen, te onderzoeken of te vervolgen.

De taken vermeld in het eerste lid worden uitgevoerd onder verantwoordelijkheid van Onze Minister.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over de organisatie, inrichting en werkwijze van de Passagiersinformatie-eenheid.

De Passagiersinformatie-eenheid verwerkt de overeenkomstig artikel 4 ontvangen passagiersgegevens uitsluitend met het oog op:

1. a.

   het beoordelen van de passagiers voorafgaand aan hun geplande aankomst in of geplande vertrek uit Nederland, om te bepalen welke personen vanwege mogelijke betrokkenheid bij een terroristisch of ernstig misdrijf moeten worden onderworpen aan een nader onderzoek door een bevoegde instantie of Europol;

2. b.

   het voldoen aan:

   1. 1°

      een vordering van gegevens van een bevoegde instantie op grond van het Wetboek van Strafvordering of artikel 19 van de Wet op de economische delicten in een onderzoek naar een terroristisch of ernstig misdrijf; of

   2. 2°

      een verzoek van Europol als bedoeld in artikel 12; en

3. c.

   het analyseren van passagiersgegevens voor het opstellen van nieuwe of het bijstellen van bestaande criteria die worden gebruikt bij de beoordelingen die worden verricht op grond van het tweede lid, aanhef en onderdeel b, om te bepalen welke personen betrokken zouden kunnen zijn bij een terroristisch of ernstig misdrijf.

Bij het beoordelen van de passagiers als bedoeld in het eerste lid, onderdeel a, is de Passagiersinformatie-eenheid bevoegd de passagiersgegevens:

1. a.

   te vergelijken met een door Onze Minister aangewezen databank of onderdelen daarvan die nationaal dan wel internationaal worden bijgehouden voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische of ernstige misdrijven; of

2. b.

   te verwerken overeenkomstig criteria die vooraf zijn vastgesteld met inachtneming van artikel 7.

Het beoordelen van passagiers, op grond van het tweede lid, aanhef en onderdeel b, wordt verricht op een niet-discriminerende wijze, zodanig dat geen onderscheid wordt gemaakt naar iemands godsdienst of levensovertuiging, ras of etnische afkomst, politieke gezindheid, gezondheid, seksuele leven of geaardheid of lidmaatschap van een vakvereniging.

De criteria, bedoeld in artikel 6, eerste lid, onderdeel c, worden door de Passagiersinformatie-eenheid in overeenstemming met de betrokken bevoegde instanties vastgesteld en regelmatig getoetst.

De criteria zijn doelgericht, evenredig en specifiek voor het misdrijf waarbij de mogelijke betrokkenheid van een persoon overeenkomstig de criteria kan worden bepaald.

De criteria zijn niet gebaseerd op godsdienst of levensovertuiging, ras of etnische afkomst, politieke gezindheid, gezondheid, seksuele leven of geaardheid of lidmaatschap van een vakvereniging van betrokkenen.

Bij algemene maatregel van bestuur kunnen nadere regels worden gesteld over:

1. a.

   de wijze waarop de criteria worden opgesteld en bijgesteld; en

2. b.

   de eisen waaraan de criteria en de toepassing ervan moeten voldoen.

Een positieve overeenkomst bij een verwerking als bedoeld in artikel 6, tweede lid, die op geautomatiseerde wijze heeft plaatsgevonden, wordt door menselijke tussenkomst gecontroleerd om te bepalen of een bevoegde instantie maatregelen moet treffen of nader onderzoek moet doen.

De gegevens, bedoeld in het eerste lid, kunnen door de Passagiersinformatie-eenheid uitsluitend per geval aan een bevoegde instantie worden doorgegeven.

De bevoegde instanties die van de Passagiersinformatie-eenheid passagiersgegevens of het verwerkingsresultaat van die gegevens kunnen verzoeken of ontvangen, teneinde de gegevens die zijn ontvangen nader te onderzoeken, of de nodige maatregelen te treffen voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische of ernstige misdrijven, zijn:

1. a.

   het openbaar ministerie;

2. b.

   de politie;

3. c.

   de bijzondere opsporingsdiensten;

4. d.

   de Koninklijke marechaussee; en

5. e.

   de Rijksrecherche.

Een bevoegde instantie verwerkt de van de Passagiersinformatie-eenheid ontvangen passagiersgegevens of het verwerkingsresultaat van die gegevens uitsluitend verder voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische of ernstige misdrijven.

De Passagiersinformatie-eenheid verstrekt ingeval een persoon is aangemerkt op grond van artikel 6, eerste lid, onderdeel a, alle passagiersgegevens of het verwerkingsresultaat van die gegevens aan de betrokken Passagiersinformatie-eenheden van de andere lidstaten indien dat noodzakelijk en relevant is voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische of ernstige misdrijven.

De Passagiersinformatie-eenheid verstrekt zo spoedig mogelijk op een voldoende gemotiveerd verzoek van de Passagiersinformatie-eenheid van een andere lidstaat, voor zover dit in een bepaald geval noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen van een terroristisch of ernstig misdrijf, de verzochte passagiersgegevens en zo nodig het verwerkingsresultaat van die gegevens, ingeval de verwerking al overeenkomstig artikel 6, eerste lid, onderdeel a, is uitgevoerd.

Indien een verzoek als bedoeld in het tweede lid betrekking heeft op passagiersgegevens die op grond van artikel 20, eerste lid, onder d, zijn gedepersonaliseerd door afscherming van de gegevens, is verstrekking van deze gegevens uitsluitend mogelijk met toestemming van de officier van justitie en na kennisgeving aan de functionaris gegevensbescherming, die de verwerking achteraf controleert.

In geval van dringende noodzaak kunnen passagiersgegevens, met inachtneming van de voorwaarden in het tweede en derde lid, desgevraagd rechtstreeks aan een bevoegde instantie van een andere lidstaat worden verstrekt. Van het verzoek dat aan de verstrekking ten grondslag ligt, wordt door de Passagiersinformatie-eenheid een afschrift aan de Passagiersinformatie-eenheid van de verzoekende lidstaat gestuurd.

Bij algemene maatregel van bestuur worden nadere regels gesteld over de verstrekking van gegevens als bedoeld in het eerste tot en met vierde lid, alsmede over de verdere verwerking en de daarbij te stellen voorwaarden aan het gebruik daarvan door de ontvangstgerechtigde autoriteiten.

De Passagiersinformatie-eenheid geeft op een voldoende gemotiveerd verzoek van Europol, via de nationale Europol-eenheid, passagiersgegevens en zo nodig het verwerkingsresultaat van die gegevens door, voor zover dit in een bepaald geval noodzakelijk is voor Europol ter ondersteuning en versterking van het optreden van de lidstaten bij het voorkomen, opsporen, onderzoeken of vervolgen van een terroristisch of ernstig misdrijf dat onder de bevoegdheid van Europol valt.

Bij algemene maatregel van bestuur worden nadere regels gesteld over de doorgifte van gegevens als bedoeld in het eerste lid, alsmede over de verdere verwerking en de daarbij te stellen voorwaarden aan het gebruik daarvan door Europol.

De Passagiersinformatie-eenheid kan passagiersgegevens en zo nodig het verwerkingsresultaat van die gegevens ingeval de verwerking al overeenkomstig artikel 6, eerste lid, onderdeel a, is uitgevoerd, uitsluitend aan een autoriteit in een derde land, doorgeven indien:

1. a.

   de doorgifte in een bepaald geval noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen van een terroristisch of ernstig misdrijf;

2. b.

   de autoriteit van het derde land er mee instemt de ontvangen gegevens alleen aan een ander derde land door te geven indien dit strikt noodzakelijk is voor de in onderdeel a genoemde doeleinden en nadat voor de doorgifte toestemming is verleend door de verwerkingsverantwoordelijke;

3. c.

   aan de voorwaarden, bedoeld in artikel 10, tweede en derde lid, is voldaan;

4. d.

   aan de voorwaarden, bedoeld in artikel 17a, eerste tot en met zevende lid, van de Wet politiegegevens voor de doorgifte van politiegegevens aan autoriteiten van andere landen wordt voldaan; en

5. e.

   aan de voorwaarden die bij algemene maatregel van bestuur worden gesteld aan de doorgifte van gegevens als bedoeld in de aanhef, alsmede aan de verdere verwerking daarvan door de autoriteiten van derde landen wordt voldaan.

De Passagiersinformatie-eenheid kan passagiersgegevens die zijn verkregen van een andere lidstaat, zonder voorafgaande toestemming van die lidstaat alleen doorgeven aan de bevoegde autoriteit van een derde land, waar nodig in afwijking van het eerste lid, indien:

1. a.

   deze doorgiften van essentieel belang zijn om te kunnen reageren op een specifiek en daadwerkelijk gevaar in verband met terroristische misdrijven of ernstige criminaliteit in een lidstaat of een derde land; en

2. b.

   de voorafgaande toestemming van de lidstaat waarvan de gegevens zijn verkregen niet tijdig kan worden verkregen.

In geval van toepassing van het tweede lid informeert de Passagiersinformatie-eenheid onverwijld de autoriteit die voor het verlenen van toestemming bevoegd is en zorgt zij voor deugdelijke registratie van de doorgifte ten behoeve van een controle die achteraf wordt verricht.

De functionaris voor gegevensbescherming wordt onverwijld geïnformeerd over een doorgifte die op grond van dit artikel is gedaan.

In afwijking van het eerste tot en met het vierde lid, vindt de doorgifte van passagiersgegevens of het verwerkingsresultaat van die gegevens door de Passagiersinformatie-eenheid aan de bevoegde autoriteit van het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland plaats met inachtneming van de op 30 december 2020 te Brussel en Londen tot stand gekomen Handels- en Samenwerkingsovereenkomst tussen de Europese Unie en de Europese Gemeenschap voor Atoomenergie enerzijds en het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland anderzijds (PbEU 2020, L 444 en PbEU 2021, L 149). Artikel 10, tweede en derde lid, is van overeenkomstige toepassing.

De Passagiersinformatie-eenheid kan, voor zover dit in een bepaald geval noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen van een terroristisch of ernstig misdrijf, de Passagiersinformatie-eenheid van een andere lidstaat gemotiveerd verzoeken om passagiersgegevens of de gegevens van een persoon die is aangemerkt na beoordeling voorafgaand aan zijn geplande aankomst in of geplande vertrek uit die lidstaat.

De Passagiersinformatie-eenheid kan op verzoek van een bevoegde instantie in een bepaald geval waarbij is voldaan aan de vereisten die op grond van het Wetboek van Strafvordering gelden voor toepassing van de gevraagde bevoegdheden in een nationaal onderzoek naar een terroristisch of een ernstig misdrijf, de Passagiersinformatie-eenheid van een andere lidstaat gemotiveerd verzoeken om passagiersgegevens of de gegevens van een persoon die is aangemerkt na beoordeling voorafgaand aan zijn geplande aankomst in of geplande vertrek uit die lidstaat.

De Passagiersinformatie-eenheid geeft de op grond van het eerste of tweede lid ontvangen gegevens door aan de bevoegde instantie die de gegevens heeft verzocht of die bevoegd is maatregelen te treffen of nader onderzoek uit te voeren.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over de wijze waarop en de voorwaarden waaronder een verzoek als bedoeld in het eerste of tweede lid moet worden gedaan.

De Passagiersinformatie-eenheid kan in geval van een ernstige en concrete dreiging van een terroristisch of ernstig misdrijf, de Passagiersinformatie-eenheid van een andere lidstaat verzoeken een luchtvaartmaatschappij een verzoek als bedoeld in artikel 4, vierde lid, te doen, teneinde de ontvangen gegevens door te geven aan een bevoegde instantie voor het voorkomen, dan wel opsporen, onderzoeken of vervolgen van het betreffende terroristische of ernstige misdrijf.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over de wijze waarop en de voorwaarden waaronder een verzoek als bedoeld in het eerste lid moet worden gedaan.

Een bevoegde instantie kan in geval van dringende noodzaak en indien is voldaan aan de vereisten die op grond van het Wetboek van Strafvordering gelden voor toepassing van de gevraagde bevoegdheden in een nationaal onderzoek naar een terroristisch of een ernstig misdrijf, rechtstreeks een gemotiveerd verzoek aan de Passagiersinformatie-eenheid van een andere lidstaat doen om passagiersgegevens of de gegevens van een persoon die is aangemerkt na beoordeling voor geplande aankomst of vertrek door te geven.

Van een verzoek als bedoeld in het eerste lid stuurt de bevoegde instantie een afschrift aan de Passagiersinformatie-eenheid.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over de wijze waarop en de voorwaarden waaronder een verzoek als bedoeld in het eerste lid moet worden gedaan.

De verwerkingsverantwoordelijke benoemt een functionaris voor gegevensbescherming die, onverminderd het bepaalde in de artikelen 10, derde lid, 13, tweede lid en 20, eerste lid, onder d, is belast met de controle op de verwerking van de persoonsgegevens door de Passagiersinformatie-eenheid en met de uitvoering van de desbetreffende waarborgen voor de gegevensbescherming.

De functionaris voor gegevensbescherming zendt jaarlijks voor 1 juli een rapportage aan Onze Minister, de beide Kamers der Staten-Generaal en de Autoriteit persoonsgegevens over het voorgaande kalenderjaar, waarin hij ingaat op de wijze waarop controle is uitgeoefend op de verwerking van de persoonsgegevens door de Passagiersinformatie-eenheid en de wijze waarop de waarborgen voor de gegevensbescherming zijn uitgevoerd. De rapportage bevat voorts statistieken over de mate waarin passagiersgegevens op grond van de artikelen 9a tot en met 16 zijn verstrekt, doorgegeven of verzocht.

De functionaris voor gegevensbescherming is voor een betrokkene het contactpunt voor alle aangelegenheden in verband met de verwerking van de persoonsgegevens van die betrokkene door de verwerkingsverantwoordelijke.

De functionaris voor gegevensbescherming heeft voor de uitvoering van de taken, bedoeld in het eerste en derde lid, toegang tot alle gegevens die door de Passagiersinformatie-eenheid worden verwerkt.

Ingeval de functionaris voor gegevensbescherming vaststelt dat een verwerking van persoonsgegevens door de Passagiersinformatie-eenheid niet rechtmatig is, kan hij de Autoriteit persoonsgegevens hierover informeren.

Artikel 36 van de Wet politiegegevens is van overeenkomstige toepassing.

De verwerking van persoonsgegevens als bedoeld in deze wet mag geen betrekking hebben op persoonsgegevens waaruit iemands godsdienst of levensovertuiging, ras of etnische afkomst, politieke gezindheid, gezondheid, seksuele leven of geaardheid of lidmaatschap van een vakvereniging blijkt.

In het geval de Passagiersinformatie-eenheid gegevens als bedoeld in het eerste lid ontvangt, worden deze gegevens onmiddellijk gewist.

De Passagiersinformatie-eenheid draagt er zorg voor dat:

1. a.

   de passagiersgegevens gedurende een termijn van vijf jaar na ontvangst van deze gegevens worden bewaard en dat de passagiersgegevens na deze termijn worden gewist;

2. b.

   in het geval een luchtvaartmaatschappij andere gegevens dan passagiersgegevens aan de Passagiersinformatie-eenheid verstrekt, deze gegevens onmiddellijk worden gewist;

3. c.

   de ontvangen passagiersgegevens worden opgeslagen en verwerkt in Nederland of in een andere lidstaat van de Europese Unie;

4. d.

   de passagiersgegevens waaruit rechtstreeks de identiteit van een persoon kan worden afgeleid, zes maanden na ontvangst ervan worden gedepersonaliseerd door afscherming van die gegevens, waarna deze gegevens uitsluitend indien dit redelijkerwijs noodzakelijk is voor een vordering of een verzoek als bedoeld in artikel 6, eerste lid, onderdeel b, met toestemming van de officier van justitie en na kennisgeving aan de functionaris gegevensbescherming, die deze verwerking achteraf controleert, kunnen worden doorgegeven.

Onder de gegevens, bedoeld in het eerste lid, onderdeel d, worden in ieder geval verstaan:

1. a.

   naam of namen, waaronder de namen van andere personen in het PNR en het aantal personen in het PNR;

2. b.

   adres en contactgegevens, waaronder telefoonnummer en e-mailadres;

3. c.

   alle betalingsinformatie, met inbegrip van het factuuradres, voor zover daarin informatie is opgenomen waaruit de identiteit van een persoon rechtstreeks zou kunnen worden afgeleid;

4. d.

   informatie betreffende personen die gebruikmaken van een loyaliteitsprogramma voor frequent reizen als bedoeld in bijlage 1 van deze wet;

5. e.

   algemene opmerkingen als bedoeld in bijlage 1 van deze wet, voor zover deze informatie bevat waaruit rechtstreeks de identiteit kan worden afgeleid van een persoon; en

6. f.

   verzamelde API-gegevens als bedoeld in bijlage 1 van deze wet.

De persoonsgegevens die het resultaat zijn van een verwerking als bedoeld in artikel 6, eerste lid, onderdeel a, worden door de Passagiersinformatie-eenheid niet langer bewaard dan noodzakelijk is om deze gegevens te kunnen melden aan een bevoegde instantie, Europol of een Passagiersinformatie-eenheid van een andere lidstaat.

Indien een overeenkomst bij een verwerking als bedoeld in artikel 6, eerste lid, onderdeel a, ten onrechte positief is, kunnen de persoonsgegevens van betrokkene, met inachtneming van het bepaalde in het eerste lid, door de Passagiersinformatie-eenheid worden bewaard voor het doel om nieuwe onjuiste positieve overeenkomsten te onderkennen.

De verwerkingsverantwoordelijke houdt een register bij dat de volgende gegevens bevat:

1. a.

   de namen en contactgegevens van de verwerkingsverantwoordelijke, de organisatie en de ambtenaren van de Passagiersinformatie-eenheid die belast zijn met de verwerking van passagiersgegevens, en van de functionaris gegevensbescherming;

2. b.

   de namen en contactgegevens van de bevoegde instanties, de Passagiersinformatie-eenheden en de bevoegde instanties van andere lidstaten (en derde landen); en

3. c.

   de autorisaties die zijn toegekend.

De verwerkingsverantwoordelijke draagt zorg voor de vastlegging van:

1. a.

   de verzoeken om passagiersgegevens of de verwerking ervan van bevoegde instanties;

2. b.

   de verzoeken om passagiersgegevens van Europol en van Passagiersinformatie-eenheden en bevoegde instanties van andere lidstaten; en

3. c.

   de verzoeken om passagiersgegevens van derde landen en de doorgiften aan die landen.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over de wijze van vastlegging.

De verwerkingsverantwoordelijke stelt de documentatie, bedoeld in het tweede lid, desgevraagd ter beschikking aan de Autoriteit persoonsgegevens.

De verwerkingsverantwoordelijke draagt zorg voor de vastlegging langs elektronische weg van ten minste de volgende verwerkingen: het verzamelen, raadplegen, verstrekking onder meer in de vorm van doorgiften en wissen van de passagiersgegevens en de resultaten van de verwerking van die gegevens, met uitzondering van de verstrekking, bedoeld in artikel 17 van de Wet politiegegevens, indien dit zich niet verdraagt met het belang van de veiligheid van de staat.

De vastgelegde gegevens inzake het raadplegen en verstrekken als bedoeld in het eerste lid bevatten in ieder geval informatie over het doel, de datum en het tijdstip van het raadplegen en het verstrekken, de identiteit van de persoon die de passagiersgegevens of een verwerking ervan heeft geraadpleegd of verstrekt en de identiteit van de ontvangers van die gegevens.

De vastgelegde gegevens, bedoeld in het eerste lid, worden gedurende vijf jaar bewaard en worden uitsluitend gebruikt voor de controle van de rechtmatigheid van de gegevensverwerking, de interne controle, het waarborgen van de integriteit en de beveiliging van de persoonsgegevens en voor de strafrechtelijke procedures.

De verwerkingsverantwoordelijke stelt de vastgelegde gegevens, bedoeld in het eerste lid, desgevraagd ter beschikking aan de Autoriteit persoonsgegevens.

Overtreding van het bepaalde in artikel 4, eerste tot en met vierde lid, of krachtens artikel 4, vijfde lid, wordt gestraft met hechtenis van ten hoogste zes maanden of geldboete van de vierde categorie.

De in het eerste lid strafbaar gestelde feiten zijn overtredingen.

Deze wet treedt in werking op een bij koninklijk besluit te bepalen tijdstip, met uitzondering van artikel 25a.

Artikel 25a treedt in werking drie jaren na het tijdstip van inwerkingtreding van deze wet, tenzij voordien bij algemene maatregel van bestuur is bepaald dat artikel 25a vervalt.

De voordracht voor een krachtens het tweede lid vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide Kamers der Staten-Generaal is overgelegd.