Artykuł 11

1. Dane osobowe gromadzone w ramach działalności KSR w celu dokonywania rezerwacji lub wystawiania biletów na produkty transportowe są przetwarzane wyłącznie w sposób odpowiadający tym celom. W odniesieniu do przetwarzania tych danych sprzedawca systemu uważany jest za administratora danych zgodnie z art. 2 lit. d) dyrektywy 95/46/WE.

2. Dane osobowe mogą być przetwarzane tylko w zakresie, w którym przetwarzanie to jest niezbędne dla realizacji umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na wniosek osoby, której dane dotyczą, przed zawarciem umowy.

3. W przypadku danych szczególnej kategorii, o których mowa w art. 8 dyrektywy 95/46/WE, dane te mogą być przetwarzane tylko wówczas, gdy osoba, której dane dotyczą, na podstawie uzyskanych informacji udzieliła wyraźnej zgody na ich przetwarzanie.

4. Informacja, którą zarządza sprzedawca systemu, dotycząca możliwych do zidentyfikowania poszczególnych rezerwacji, jest zapisywana w pamięci autonomicznej (offline) w terminie 72 godzin od zakończenia ostatniego etapu danej rezerwacji i jest usuwana w terminie trzech lat. Dostęp do tych danych jest dozwolony tylko w przypadku sporów dotyczących rozliczeń finansowych.

5. Udostępniane przez sprzedawcę systemu dane dotyczące marketingu, rezerwacji i sprzedaży nie mogą zawierać żadnych informacji pozwalających, bezpośrednio lub pośrednio, zidentyfikować osoby fizyczne lub, w stosownych przypadkach, organizacje lub spółki, w imieniu których występują te osoby.

6. Abonent informuje konsumenta na jego wniosek o nazwie i adresie sprzedawcy systemu, celach przetwarzania danych, terminie przechowywania danych osobowych oraz o sposobie wykonywania prawa dostępu do swoich danych przysługującego osobie, której dane te dotyczą.

7. Osoba, której dotyczą dane, ma prawo do bezpłatnego dostępu do własnych danych, bez względu na to, czy dane te są przechowywane przez sprzedawcę systemu czy przez abonenta.

8. Prawa uznane w niniejszym artykule mają charakter uzupełniający i dodatkowy wobec praw osób, których dotyczą dane, określonych w dyrektywie 95/46/WE, w przepisach krajowych przyjętych zgodnie z tą dyrektywą i w postanowieniach umów międzynarodowych, których Wspólnota jest stroną.

9. Przepisy niniejszego rozporządzenia doprecyzowują i uzupełniają dyrektywę 95/46/WE zgodnie z celami przedstawionymi w art. 1. Jeśli nie przewidziano inaczej, stosuje się definicje określone w tej dyrektywie. W przypadkach gdy nie mają zastosowania ustanowione w niniejszym artykule przepisy szczególne dotyczące przetwarzania danych osobowych w kontekście działalności KSR, niniejsze rozporządzenie pozostaje bez uszczerbku dla przepisów tej dyrektywy, przepisów krajowych przyjętych na jej podstawie i postanowień porozumień międzynarodowych, których Wspólnota jest stroną.

10. Jeżeli sprzedawca systemu eksploatuje bazy danych różnego rodzaju, np. w formie KSR lub w formie serwera udostępnianego liniom lotniczym, podejmuje się środki techniczne i organizacyjne w celu zapobieżenia omijaniu przepisów w zakresie ochrony danych w wyniku powiązania między bazami danych i zapewnienia, aby dane osobowe były dostępne wyłącznie do celów, dla których zostały zgromadzone.