Rozporządzenie wykonawcze Komisji (UE) 2023/2117 z dnia 12 października 2023 r. ustanawiające zasady niezbędne do funkcjonowania repozytorium informacji i zarządzania nim oraz szczegółowe wymogi na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1139

Artykuł 1

Przedmiot

W niniejszym rozporządzeniu ustanawia się zasady i procedury dotyczące funkcjonowania repozytorium informacji niezbędnych do zapewnienia skutecznej współpracy między Agencją oraz właściwymi organami krajowymi w zakresie wykonywania ich zadań związanych z certyfikacją, nadzorem i egzekwowaniem przepisów wynikających z rozporządzenia (UE) 2018/1139, oraz zarządzania tym repozytorium.

Artykuł 2

Definicje

1. Do celów niniejszego rozporządzenia stosuje się definicje określone w rozporządzeniach (UE) 2018/1139, (UE) 2016/679, (UE) 2018/1725 i rozporządzeniach wykonawczych Komisji (UE) 2019/947 (

1

) i (UE) 2021/664 (

2

).

2. Stosuje się również następujące definicje:

a) „uprawnieni użytkownicy” oznaczają Komisję, Agencję, właściwe organy krajowe oraz każdy właściwy organ państwa członkowskiego, któremu to organowi powierzono badanie wypadków i incydentów w lotnictwie cywilnym, jak określono w art. 74 ust. 6 zdanie pierwsze rozporządzenia (UE) 2018/1139;

b) „interfejs” oznacza punkt, w którym niezależne i często niepowiązane systemy łączą się i działają lub komunikują się ze sobą;

c) „upoważniony personel” oznacza personel uprawnionych użytkowników, który otrzymał dostęp do repozytorium;

d) „kategoria obiektów informacji” oznacza rodzaj informacji wchodzących w zakres stosowania art. 74 ust. 1 rozporządzenia (UE) 2018/1139, którymi mają się wymieniać uprawnieni użytkownicy i do których mają oni dostęp;

e) „obiekt informacji” oznacza indywidualnie wymienianą informację, która zawsze odpowiada kategorii obiektów informacji i musi być zgodna z jej formatem informacji;

f) „format informacji” oznacza z góry określoną strukturę kategorii obiektów informacji składającą się ze schematu pól odpowiadających szczegółowym rodzajom treści w ramach każdej kategorii obiektów informacji i słowników sporządzonych z ograniczonych zestawów dopuszczalnych wartości powiązanych z każdym polem;

g) „zainteresowana strona” oznacza organy publiczne instytucji, agencji i organów Unii Europejskiej oraz organy publiczne państw członkowskich, osoby fizyczne i prawne, które są objęte obiektem informacji zdefiniowanym w załączniku I do niniejszego rozporządzenia, oraz kwalifikowane jednostki akredytowane zgodnie z art. 69 rozporządzenia (UE) 2018/1139.

Artykuł 3

Utworzenie repozytorium

1. Repozytorium składa się z interfejsów przechowywania, wymiany i dostępu użytkownika.

2. Interfejs przechowywania, o którym mowa w ust. 1, obejmuje:

a) centralną bazę danych zawierającą informacje, o których mowa w art. 74 ust. 1 rozporządzenia (UE) 2018/1139, obejmującą zarówno informacje istniejące, jak i nowe; oraz

b) historię zmian informacji oraz ich aktualny/zarchiwizowany status.

3. Interfejs wymiany, o którym mowa w ust. 1, obejmuje:

a) infrastrukturę komunikacyjną, która zapewnia bezpieczne interfejsy programowania aplikacji (API) do celów wydawania, zmiany, przeszukiwania/odczytu i archiwizacji informacji między systemami uprawnionych użytkowników a repozytorium; oraz

b) zasady weryfikacji jakości informacji zapewniające spójność, integralność i prawidłowość przechowywanych informacji.

4. Interfejs dostępu użytkownika, o którym mowa w ust. 1, zapewnia bezpieczny dostęp online umożliwiający przeszukiwanie i odczyt przechowywanych informacji. Interfejs dostępu użytkownika jest dostępny wyłącznie dla upoważnionego personelu.

5. Agencja opracowuje niezbędną dokumentację potwierdzającą integrację uprawnionych użytkowników z repozytorium. Dokumentacja ta obejmuje:

a) normy API i mechanizmy wymiany;

b) informacje dotyczące bezpieczeństwa, sieci i konfiguracji aplikacji wymagane do komunikacji z repozytorium;

c) zasady określające ważną strukturę i treść informacji wymienianych z repozytorium.

6. Agencja zapewnia również środowisko testowe, w którym uprawnieni użytkownicy mogą przetestować funkcjonalność i wydajność interfejsu wymiany między ich systemami a repozytorium.

Artykuł 4

Zarządzanie repozytorium

1. Agencja odpowiada za zarządzanie operacyjne repozytorium i przechowuje w nim informacje w bezpieczny sposób.

2. Uprawnieni użytkownicy przekazują informacje do repozytorium i wymieniają się nimi w repozytorium za pośrednictwem interfejsów oraz zapewniają bezpieczne połączenie internetowe między ich systemem lub systemami a repozytorium.

3. Przed podjęciem jakiejkolwiek decyzji dotyczącej zarządzania operacyjnego repozytorium lub przed podaniem jej do wiadomości publicznej Agencja konsultuje się z Komisją i właściwymi organami krajowymi.

4. Upoważniony personel krajowych lekarzy orzeczników medycyny lotniczej i centrów medycyny lotniczej przekazuje i wymienia informacje z repozytorium za pośrednictwem właściwych organów krajowych zgodnie z art. 10 ust. 4 niniejszego rozporządzenia.

Artykuł 5

Utrzymanie repozytorium

1. Agencja utrzymuje repozytorium i zapewnia jego prawidłowe funkcjonowanie pod względem prywatności, poufności, integralności i dostępności.

2. Agencja systematycznie tworzy kopie zapasowe repozytorium i jego danych.

Artykuł 6

Formaty i standardy informacji

1. Uprawnieni użytkownicy przekazują, regularnie aktualizują i wymieniają informacje za pośrednictwem repozytorium w oparciu o wspólnie uzgodnione formaty informacji zaproponowane przez Agencję.

2. Formaty informacji są znormalizowane dla każdej kategorii informacji. Uprawnieni użytkownicy przekazują obiekty informacji do repozytorium wyłącznie w formacie informacji właściwym dla danej kategorii informacji.

3. Wykaz kategorii obiektów informacji określono w załączniku I.

Artykuł 7

Klasyfikacja informacji

1. Agencja, we współpracy z Komisją i właściwymi organami krajowymi, klasyfikuje kategorie obiektów informacji według następujących oznaczeń:

a) prywatność: dane nieosobowe, niewrażliwe lub wrażliwe dane osobowe;

b) poufność: brak wpływu, ograniczony, znaczący, katastrofalny;

c) integralność: brak wpływu, ograniczony, znaczący, katastrofalny;

d) dostępność: brak wpływu, ograniczony, znaczący, katastrofalny.

2. Szczegółowe definicje oznaczeń, o których mowa w ust. 1, zawarto w załączniku II.

3. Agencja, we współpracy z Komisją i właściwymi organami krajowymi, ilekroć uzna to za konieczne, dokonuje ponownej oceny klasyfikacji informacji, aby upewnić się, że jest ona nadal odpowiednia, uwzględniając zmiany sposobu wykorzystania informacji.

Artykuł 8

Ustalenia dotyczące rozpowszechniania informacji

1. Na wniosek zainteresowanej strony Agencja może przekazać tej zainteresowanej stronie informacje zawarte w repozytorium, z zastrzeżeniem szczególnych warunków wykorzystania określonych w niniejszym artykule.

2. Wniosek o rozpowszechnianie informacji zawartych w repozytorium składany jest w postaci i na zasadach ustanowionych przez Agencję.

3. Po otrzymaniu wniosku Agencja sprawdza, czy:

a) wniosek został złożony przez zainteresowaną stronę; oraz

b) zainteresowana strona wykazała, że żądane informacje są absolutnie niezbędne do przeprowadzenia przez zainteresowaną stronę jej własnych działań.

4. Agencja ocenia, czy wniosek jest uzasadniony, a jeżeli spełnione są warunki określone w ust. 5, przekazuje zainteresowanej stronie żądane informacje.

5. Agencja przekazuje żądane informacje zainteresowanej stronie wyłącznie na następujących warunkach:

a) zainteresowana strona nie otrzymuje dostępu do całej zawartości repozytorium;

b) informacje te są absolutnie niezbędne do przeprowadzenia przez zainteresowaną stronę jej własnych działań;

c) żadne dane osobowe nie są rozpowszechniane, chyba że dane te dotyczą samej zainteresowanej strony lub jeżeli takie rozpowszechnianie jest absolutnie niezbędne do przeprowadzenia przez zainteresowaną stronę jej działań.

6. Agencja udostępnia uprawnionym użytkownikom zaktualizowany wykaz otrzymanych wniosków i działań podjętych przez Agencję.

7. Zainteresowana strona:

a) wykorzystuje informacje wyłącznie do celów określonych w formularzu wniosku;

b) nie ujawnia otrzymanych informacji bez zgody uprawnionych użytkowników;

c) stosuje niezbędne środki w celu zapewnienia poufności otrzymanych informacji.

Artykuł 9

Rejestrowanie operacji przetwarzania danych

1. Agencja zapewnia rejestrowanie wszystkich operacji przetwarzania danych. Rejestry zawierają następujące informacje:

a) cel wniosku o dostęp do repozytorium;

b) dane identyfikacyjne uprawnionego użytkownika, który pobiera dane;

c) datę i dokładną godzinę operacji przetwarzania danych;

d) dane identyfikacyjne upoważnionego personelu przeprowadzającego wyszukiwanie.

2. Agencja wykorzystuje rejestry operacji przetwarzania danych wyłącznie w celu monitorowania zgodności z prawem dostępu do informacji oraz zapewnienia integralności i bezpieczeństwa danych. Rejestry zawierają dane, które są absolutnie niezbędne do tego celu, zgodnie z zasadą minimalizacji danych określoną w art. 89 rozporządzenia (UE) 2016/679 i art. 13 rozporządzenia (UE) 2018/1725. Rejestry są usuwane po zakończeniu procedury monitorowania lub najpóźniej po upływie jednego roku.

3. Komisji i właściwym organom krajowym udziela się na wniosek dostępu do rejestrów na potrzeby oceny zgodności z prawem dostępu do informacji, monitorowania zgodności operacji przetwarzania danych z prawem oraz zapewnienia integralności i bezpieczeństwa danych.

Artykuł 10

Dostęp do repozytorium

1. Uprawnieni użytkownicy zapewniają, aby dostęp do repozytorium miał wyłącznie upoważniony personel.

2. Uprawnieni użytkownicy zapewniają, aby ich personel otrzymał dostęp do informacji na podstawie oznaczeń prywatności i poufności kategorii obiektów informacji zgodnie z art. 7.

3. Uprawnieni użytkownicy sporządzają i utrzymują:

a) wykaz upoważnionego personelu;

b) procedury dotyczące dostępu do repozytorium; takie procedury muszą być zgodne z wymogami prawnymi mającymi zastosowanie do dostępu do informacji i ich przetwarzania, określonymi w prawie Unii i prawie krajowym. W ich ramach dokumentuje się warunki dostępu upoważnionego personelu do repozytorium.

4. Krajowi lekarze orzecznicy medycyny lotniczej i centra medycyny lotniczej zapewniają, aby dostęp do repozytorium miał wyłącznie personel upoważniony przez jego właściwy organ krajowy.

Artykuł 11

Zarządzanie bezpieczeństwem repozytorium

1. Agencja chroni infrastrukturę repozytorium i jego informacje oraz opracowuje:

a) plan zarządzania bezpieczeństwem;

b) plan ciągłości działania;

c) plan przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej.

2. Agencja zapobiega nieuprawnionemu przetwarzaniu informacji oraz wszelkiemu nieuprawnionemu odczytywaniu, kopiowaniu, modyfikowaniu, usuwaniu lub kasowaniu informacji zawartych w repozytorium lub podczas ich rozpowszechniania do lub z repozytorium lub podczas przekazywania, w szczególności za pomocą odpowiednich technik szyfrowania.

3. Agencja zapewnia, aby osoby upoważnione do dostępu do repozytorium miały dostęp jedynie do informacji objętych udzielonym im uprawnieniem dostępu, wyłącznie za pomocą niepowtarzalnych identyfikatorów użytkownika oraz trybu poufnego dostępu.

4. Uprawnieni użytkownicy zarządzają bezpieczeństwem swoich informacji przed przekazaniem do repozytorium i w jego trakcie oraz chronią swoją infrastrukturę, zapewniając:

a) utworzenie interfejsów między ich systemami a repozytorium;

b) funkcjonowanie i obsługę interfejsów;

c) aby upoważniony personel był odpowiednio przeszkolony w zakresie bezpieczeństwa informacji, obowiązujących przepisów w dziedzinie ochronie danych i praw podstawowych, zanim będzie mógł przetwarzać informacje przechowywane w repozytorium.

5. Uprawnieni użytkownicy współpracują w celu zapewnienia zarządzania bezpieczeństwem repozytorium.

Artykuł 12

Przetwarzanie danych osobowych przechowywanych w repozytorium

1. Dane osobowe przechowywane w repozytorium są przetwarzane wyłącznie w celu zapewnienia współpracy między uprawnionymi użytkownikami niezbędnej do wykonywania ich zadań związanych z certyfikacją, nadzorem i egzekwowaniem przepisów. Przetwarzanie jest ograniczone do zakresu niezbędnego do wykonywania ich zadań oraz do tego, co jest absolutnie niezbędne i proporcjonalne do założonych celów.

2. Dostęp do danych osobowych i ich przetwarzanie odbywa się zgodnie ze specyfikacjami technicznymi repozytorium.

3. Obowiązki związane z ochroną danych w fazie projektowania oraz domyślną ochroną danych uwzględnia się zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania.

4. Agencja przeprowadza regularne przeglądy w celu zapewnienia skuteczności wszystkich wdrożonych zabezpieczeń w zakresie ochrony danych.

Artykuł 13

Współadministrowanie danymi osobowymi przetwarzanymi w repozytorium

1. Współadministratorami danych osobowych przechowywanych w repozytorium są uprawnieni użytkownicy.

2. Każdy współadministrator jest odpowiedzialny za spełnienie kryteriów klasyfikacji informacji w odniesieniu do każdego obiektu informacji przetwarzanego w repozytorium.

Artykuł 14

Podział obowiązków między współadministratorów

1. Agencja jest odpowiedzialna za:

a) ustanowienie i funkcjonowanie repozytorium oraz zarządzanie nim;

b) dalsze zarządzanie repozytorium, w szczególności prawami dostępu oraz bezpieczeństwem i poufnością danych osobowych przetwarzanych w repozytorium zgodnie z art. 4, 5, 9 i 12;

c) zgłaszanie wszelkich przypadków naruszenia ochrony danych osobowych w repozytorium uprawnionym użytkownikom, Europejskiemu Inspektorowi Ochrony Danych oraz, w razie potrzeby, osobom, których dane dotyczą, zgodnie z art. 34 rozporządzenia (UE) 2018/1725;

d) określenie i wdrożenie środków technicznych umożliwiających osobom, których dane dotyczą, wykonywanie przysługujących im praw zgodnie z rozporządzeniem (UE) 2018/1725.

2. Właściwe organy krajowe i Komisja są odpowiedzialne za:

a) przetwarzanie danych osobowych w repozytorium zgodnie z interfejsami przechowywania, wymiany i dostępu użytkownika, o których mowa w art. 3, oraz wymogami w zakresie bezpieczeństwa określonymi w art. 12 ust. 4;

b) zapewnienie bezpieczeństwa wszelkiego przetwarzania danych osobowych poza repozytorium, gdy dane te są przetwarzane do celów przetwarzania za pośrednictwem repozytorium lub w związku z takim przetwarzaniem;

c) wyznaczanie upoważnionego personelu, któremu udziela się dostępu do repozytorium zgodnie z art. 11, i informowanie o nim Agencji;

d) pełnienie funkcji punktu kontaktowego dla osób, których dane dotyczą, wchodzących w zakres ich odpowiedzialności jako wyłącznych administratorów, w tym w przypadku wykonywania przez te osoby swoich praw, w razie potrzeby z wykorzystaniem środków technicznych udostępnionych przez Agencję zgodnie z ust. 1 lit. d) lub za pośrednictwem kanałów komunikacji określonych w ust. 3;

e) powiadamianie Agencji o wszelkich incydentach bezpieczeństwa, w tym o naruszeniach ochrony danych osobowych, które mogą zagrozić bezpieczeństwu, poufności, dostępności lub integralności danych osobowych przekazywanych lub przechowywanych w repozytorium;

f) powiadamianie odpowiednich właściwych organów nadzorczych oraz, w razie potrzeby, osób, których dane dotyczą, zgodnie z art. 33 i 34 rozporządzenia (UE) 2016/679 oraz art. 34 rozporządzenia (UE) 2018/1725, stosownie do przypadku, o wszelkich naruszeniach ochrony danych w związku danymi osobowymi przetwarzanymi w repozytorium.

3. Każdy współadministrator wyznacza:

a) punkt kontaktowy z funkcyjną skrzynką pocztową służącą komunikacji między nimi;

b) punkt kontaktowy w celu wspierania osób, których dane dotyczą, w wykonywaniu przysługujących im praw zgodnie z mającymi zastosowanie przepisami o ochronie danych.

4. Jeżeli współadministrator otrzyma wniosek od osoby, której dane dotyczą, a która nie podlega zakresowi jego odpowiedzialności, niezwłocznie przekazuje taki wniosek odpowiedzialnemu współadministratorowi. Jeżeli zostaną o to poproszeni, współadministratorzy pomagają sobie nawzajem w rozpatrywaniu wniosków osób, których dane dotyczą, i udzielają sobie nawzajem odpowiedzi bez zbędnej zwłoki, przy czym nie później niż w terminie 15 dni od daty otrzymania prośby o udzielenie pomocy.

5. Jeżeli administrator, w celu wypełnienia swoich obowiązków określonych w art. 33 i 34 rozporządzenia (UE) 2016/679 lub art. 34 rozporządzenia (UE) 2018/1725, potrzebuje informacji od innego administratora, wysyła specjalny wniosek na adres funkcyjnej skrzynki pocztowej, o której mowa w ust. 3 lit. a). Administrator, który otrzymał taki wniosek, dokłada wszelkich starań, aby takie informacje przekazać.

Artykuł 15

Ograniczenia

1. Administratorzy mogą ograniczyć wykonywanie przez osoby, których dane dotyczą, przysługujących im praw wyłącznie w takim zakresie i tak długo, jak jest to absolutnie niezbędne do zapewnienia bezpieczeństwa lotnictwa cywilnego. Wykonywanie przez osoby, których dane dotyczą, przysługujących im praw może być ograniczone wyłącznie w następujących sytuacjach:

a) w sytuacji trwających dochodzeń, inspekcji lub działań monitorujących, o których mowa w art. 75 ust. 2 lit. e) rozporządzenia (UE) 2018/1139, prowadzonych przez Agencję w ramach jej obowiązków lub przez właściwe organy zgodnie z prawem krajowym lub prawem Unii;

b) w sytuacji postępowań toczących się przed Trybunałem Sprawiedliwości Unii Europejskiej lub innym sądem właściwym na mocy prawa krajowego lub międzynarodowego.

2. W przypadku trwających dochodzeń w sprawie bezpieczeństwa informatycznego mających bezpośredni lub pośredni wpływ na funkcjonowanie repozytorium, jeżeli administratorami są Komisja i Agencja, mogą one również ograniczyć wykonywanie przez osoby, których dane dotyczą, przysługujących im praw wyłącznie w takim zakresie i tak długo, jak jest to absolutnie niezbędne do zapewnienia bezpieczeństwa lotnictwa cywilnego.

3. Wszystkie ograniczenia podlegają ocenie konieczności i proporcjonalności oraz są ograniczone pod względem zakresu i czasu.

4. Osoba, której dane dotyczą i w przypadku której ograniczono wykonywanie przysługujących jej praw, jest informowana o przyczynach i zakresie ograniczenia.

Artykuł 16

Okres przechowywania danych osobowych

1. Uprawnieni użytkownicy:

a) przechowują w repozytorium dane osobowe przez maksymalny okres wynoszący 10 lat od daty upływu ważności dokumentu lub od dnia, w którym utracił on ważność, w tym wszelkie dokumenty niezbędne do przeprowadzenia procedur, o których mowa w rozporządzeniu (UE) 2018/1139, chyba że w prawie krajowym wymaga się innego okresu;

b) usuwają dane osobowe z repozytorium niezwłocznie po upływie okresu przechowywania.

2. W ramach repozytorium udostępnione są środki techniczne umożliwiające:

a) zautomatyzowane usuwanie danych osobowych po upływie okresu przechowywania;

b) zautomatyzowaną pseudonimizację danych osobowych przechowywanych do celów archiwalnych lub umożliwiające inne rozwiązanie techniczne o równoważnym skutku.

Artykuł 17

Przetwarzanie do celów archiwizacji i badań historycznych w interesie bezpieczeństwa lotniczego

1. Po upływie okresu przechowywania Agencja może przechowywać dane osobowe z repozytorium w odrębnym rejestrze do celów archiwizacji i badań historycznych.

2. Takie dane osobowe ograniczają się do tego, co jest absolutnie niezbędne do osiągnięcia celów archiwizacji i badań naukowych w interesie bezpieczeństwa lotniczego oraz zgodnie z zasadą minimalizacji danych określoną w art. 89 rozporządzenia (UE) 2016/679 i w art. 13 rozporządzenia (UE) 2018/1725.

3. Agencja opracowuje protokół dostępu do rejestru. Do rejestru stosuje się przepisy art. 4, 5 i 9–12.

Artykuł 18

Wejście w życie i stosowanie

1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

2. Rozdziały I i II stosuje się od dnia 1 kwietnia 2025 r.

3. Wymogi dotyczące obiektów informacji wydane po wejściu w życie niniejszego rozporządzenia mają zastosowanie:

a) od dnia 1 stycznia 2027 r. w przypadku kategorii grupy A w załączniku I;

b) od dnia 1 stycznia 2028 r. w przypadku kategorii grupy B w załączniku I;

c) od dnia 1 stycznia 2029 r. w przypadku kategorii grupy C w załączniku I.

4. Wymienione w załączniku I wymogi dotyczące obiektów informacji, które są ważne i zostały wydane przed wejściem w życie niniejszego rozporządzenia, stosuje się od dnia 1 stycznia 2029 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Załącznik I

WYKAZ OBIEKTÓW INFORMACJI

Obiekt informacji

Grupy priorytetowe

Licencje

Licencja pilota

A

Potwierdzenie ważności licencji pilota

A

Licencja kontrolera ruchu lotniczego

A

Licencja na obsługę techniczną statku powietrznego

B

Certyfikaty – Organizacje

Certyfikat instytucji zapewniającej ATM/ANS

B

Certyfikat operatora lotniska

B

Certyfikat przewoźnika lotniczego (AOC)

B

Certyfikat wyposażenia lotniska

B

Świadectwo zdatności do lotu (CofA)

B

Certyfikat kwalifikacji szkoleniowych urządzeń symulacji lotu (FSTD)

C

Certyfikat operatora lekkich systemów bezzałogowych statków powietrznych (certyfikat LUC)

A

Certyfikat instytucji świadczących usługi U-space (USSP)

B

Certyfikat instytucji świadczącej centralne usługi informacyjne

B

Certyfikaty – Personel

Certyfikat szkolenia teoretycznego pilota bezzałogowego statku powietrznego

C

Certyfikat egzaminatora

A

Certyfikat instruktora

A

Certyfikat centrum oceny biegłości językowej

C

Certyfikaty – Wyroby/Wyposażenie

Certyfikat typu (TC)

B

Uzupełniający certyfikat typu (STC)

B

Ograniczony certyfikat typu (RTC)

B

Arkusz danych certyfikatu typu

C

Świadectwo zdatności w zakresie hałasu

C

Ograniczone świadectwo zdatności w zakresie hałasu

C

Poświadczenie przeglądu zdatności do lotu (ARC)

C

Ograniczone świadectwo zdatności do lotu (RCofA)

C

Zatwierdzenie poważnych/drobnych zmian

C

Zatwierdzenie projektu poważnej/drobnej naprawy

C

Certyfikat systemów ATM/ANS i części składowych ATM/ANS

B

Certyfikaty – Orzeczenia Lekarskie

Orzeczenie lekarza orzecznika medycyny lotniczej

A

Orzeczenie centrum medycyny lotniczej (AeMC)

A

Orzeczenie lekarza orzecznika medycyny lotniczej dla kontrolerów ruchu lotniczego

A

Orzeczenie lekarskie dla kontrolerów ruchu lotniczego

A

Formularz wniosku o wydanie orzeczenia lekarskiego dla pilotów

A

Formularze badań lekarskich dla pilotów i uzupełniające orzeczenia lekarskie

A

Orzeczenie lekarskie dla pilotów

A

Deklaracje

Deklaracja instytucji świadczącej służbę informacji powietrznej (FIS)

B

Deklaracja instytucji zapewniającej służbę zarządzania płytą postojową

B

Deklaracja podmiotu świadczącego usługi obsługi naziemnej

B

Systemy ATM/ANS i części składowe ATM/ANS – deklaracja

B

Systemy ATM/ANS i części składowe ATM/ANS – oświadczenie o zgodności

B

Oświadczenie jako dostawcy szkolenia dla operatorów systemów bezzałogowych statków powietrznych (SBSP)

C

Deklaracje NCC i SPO operatorów statków powietrznych

C

Oświadczenie o operacji w odniesieniu do systemu bezzałogowego statku powietrznego – STS

A

Świadectwa Dopuszczenia i Raporty

Świadectwo dopuszczenia do pracy personelu pokładowego

C

Raport medyczny dotyczący personelu pokładowego

C

Zwolnienia

Czas zwolnienia (sumarycznie) powyżej 8 miesięcy – decyzja

B

Czas zwolnienia (sumarycznie) powyżej 8 miesięcy – powiadomienie

B

Czas zwolnienia (sumarycznie) powyżej 8 miesięcy – zalecenie

B

Czas zwolnienia (sumarycznie) do 8 miesięcy – powiadomienie

B

Zwolnienie z posiadania certyfikatu jako instytucja zapewniająca ATM/ANS – decyzja

C

Zwolnienie z posiadania certyfikatu jako instytucja zapewniająca ATM/ANS – powiadomienie

C

Zwolnienie z posiadania certyfikatu jako instytucja zapewniająca ATM/ANS

C

Zatwierdzenia

Zezwolenie na lot – zatwierdzenie warunków lotu

C

Zezwolenie na lot

C

Zatwierdzenie sprawozdania rady kontroli obsługi technicznej (MRB)

C

Egzaminy z wiedzy teoretycznej (ECQB)

C

Zatwierdzenia organizacji kompleksowej zdatności do lotu (CAOA) – część CAO

B

Zatwierdzenia organizacji zarządzania ciągłą zdatnością do lotu (CAMOA)

B

Zatwierdzenia organizacji obsługowej (MOA) – część M podczęść F

Formularz 3-MF EASA

B

Zatwierdzenia organizacji obsługowej (MOA) – część 145

B

Zatwierdzenia organizacji prowadzących szkolenia w zakresie obsługi technicznej (MTOA) – część 147

B

Zezwolenie na produkcję bez zatwierdzenia organizacji produkującej

C

Zatwierdzenia organizacji produkującej (POA)

B

Alternatywne procedury zatwierdzania organizacji projektującej (APDOA)

C

Zatwierdzenia organizacji projektującej (DOA)

B

Zatwierdzenia projektowania lub produkcji urządzeń ATM/ANS

B

Organizacje szkolące kontrolerów ruchu lotniczego

B

Zatwierdzenie organizacji szkolącej personel pokładowy (CCTO)

C

Zatwierdzenie organizacji szkolącej pilotów

C

Zadeklarowana organizacja szkoląca w odniesieniu do pilotów

C

Zatwierdzenie organizacji szkolącej w zakresie inspekcji na płycie (RITO)

B

Decyzje

Możliwość zdecydowania się na stosowanie przepisów szczegółowych rozporządzenia podstawowego do wymienionych rodzajów działalności – decyzja

C

Unieważnianie i uznawanie certyfikatów lub deklaracji

C

Decyzja o zwolnieniu ze stosowania przepisów rozporządzenia podstawowego w odniesieniu do lotnisk

C

Wspólna odpowiedzialność za zadania związane z operatorami statków powietrznych zaangażowanymi w zarobkowy transport lotniczy

C

Wniosek dotyczący zmiany aktu wykonawczego/aktu delegowanego

C

Akredytacja jako kwalifikowana jednostka

C

Wniosek dotyczący indywidualnego programu określania czasu lotu (IFTSS)

C

Powiadomienia o systemach ograniczania czasu lotu (FTL)

C

Rejestracja operatora systemów bezzałogowych statków powietrznych

A

Decyzja państwa członkowskiego w sprawie wyznaczenia wyłącznej instytucji świadczącej centralne usługi informacyjne

B

Środki

Natychmiastowe środki wdrożone w odpowiedzi na poważny problem związany z bezpieczeństwem (decyzja)

B

Natychmiastowe środki wdrożone w odpowiedzi na poważny problem związany z bezpieczeństwem (zalecenie)

B

Natychmiastowe środki wdrożone w odpowiedzi na poważny problem związany z bezpieczeństwem (powiadomienie)

B

Biuletyny informacyjne na temat stref konfliktu (CZIB) – środki

B

Możliwość zdecydowania się (art. 2 ust. 6) na stosowanie przepisów szczegółowych rozporządzenia podstawowego do wymienionych rodzajów działalności (powiadomienie)

C

Możliwość zdecydowania się na stosowanie przepisów szczegółowych rozporządzenia podstawowego do wymienionych rodzajów działalności – zalecenie

C

Możliwość zdecydowania się na wyłączenie kategorii statków powietrznych ze stosowania przepisów szczegółowych rozporządzenia podstawowego

C

Inne

Przewoźnik lotniczy – specyfikacje operacyjne

C

Zezwolenie dla operatora z państwa trzeciego (TCO)

B

Zezwolenie na operację dla operatorów systemów bezzałogowych statków powietrznych

A

Zarobkowe operacje specjalistyczne wysokiego ryzyka – zezwolenie

B

Rejestracja certyfikowanego systemu bezzałogowego statku powietrznego

B

Autoryzacja Europejskiej Normy Technicznej (ETSOA)

C

Odstępstwo od ETSO

C

Wniosek dotyczący zmiany aktu wykonawczego/aktu delegowanego – powiadomienie

B

Wniosek dotyczący zmiany aktu wykonawczego/aktu delegowanego – zalecenie

B

Wykaz państw członkowskich i organizacji, które przekazały obowiązki, przeniosły zadanie (zgodnie z art. 64 i 65), oraz właściwy organ odpowiedzialny po przeniesieniu

C

Dyrektywy zdatności do lotu (AD), dyrektywy w sprawie bezpieczeństwa, biuletyny informacyjne dotyczące bezpieczeństwa (SIB)

C

Projekt zaleceń dotyczących odpowiedzi na pisma ICAO skierowane do państw

C

Lista kontrolna dotycząca zgodności z międzynarodowymi normami i zalecanymi metodami postępowania ICAO (SARP)

C

Zalecenia dotyczące odpowiedzi na pisma ICAO skierowane do państw

C

Wnioski w sprawie alternatywnych sposobów spełnienia wymagań

C

Załącznik II

KLASYFIKACJA INFORMACJI

Szczegółowe definicje oznaczeń zgodnie z art. 7 ust. 2

a) PRYWATNOŚĆ ocenia się zgodnie z poniższymi kategoriami:

ID

Nazwa wskaźnika oceny prywatności

Opis wskaźnika oceny prywatności

PRIV-2

Wrażliwe dane osobowe

Dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe lub przynależność do związków zawodowych; przetwarzanie danych genetycznych lub danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej; dane dotyczące zdrowia, seksualności lub orientacji seksualnej osoby fizycznej; dane dotyczące wyroków skazujących i czynów zabronionych.

PRIV-1

Niewrażliwe dane osobowe

Wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osoba, której dane dotyczą”); możliwa do zidentyfikowania osoba to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie numeru identyfikacyjnego lub co najmniej jednego ze szczególnych czynników określających fizyczną, fizjologiczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość tej osoby, o ile elementy te nie ujawniają aspektów w odniesieniu do osoby, której dane dotyczą, kwalifikujących się jako wrażliwe dane osobowe.

PRIV-0

Dane nieosobowe

Informacje, które nie dotyczą osoby fizycznej lub które nie prowadzą do identyfikacji osoby fizycznej, takie jak zanonimizowane dane osobowe.

b) POUFNOŚĆ klasyfikuje się zgodnie z poniższymi poziomami:

ID

Nazwa poziomu klasyfikacji

Opis poziomu klasyfikacji

CONF-3

Katastrofalny wpływ

Informacje, których nieuprawnione ujawnienie miałoby co najmniej jedną z następujących konsekwencji:

— wpływ finansowy w wysokości > 10 mln EUR;

— opiewające na wysoką kwotę roszczenia o odszkodowanie z tytułu odpowiedzialności/szkody zgłaszane przez uprawnionych użytkowników repozytorium lotniczego lub zainteresowane strony;

— znaczna niekorzystna sytuacja konkurencyjna dla uprawnionych użytkowników repozytorium lotniczego lub zainteresowanych stron;

— niemożność osiągnięcia wyznaczonych celów przez uprawnionych użytkowników repozytorium lotniczego;

— całkowita utrata zaufania zainteresowanych stron i opinii publicznej;

— całkowita utrata reputacji;

— kwestionowanie Agencji jako organizacji.

CONF-2

Znaczący wpływ

Informacje, których nieuprawnione ujawnienie miałoby co najmniej jedną z następujących konsekwencji:

— wpływ finansowy w wysokości 1–10 mln EUR;

— opiewające na średnią kwotę roszczenia o odszkodowanie z tytułu odpowiedzialności/szkody zgłaszane przez uprawnionych użytkowników repozytorium lotniczego lub zainteresowane strony;

— w znacznym stopniu zniszczona reputacja w konkretnym obszarze działalności, przedstawienie w negatywnym świetle zarówno w prasie specjalistycznej, jak i ogólnej;

— utrata zaufania zainteresowanych stron w związku z konkretnym procesem biznesowym;

— naruszenie obowiązków regulacyjnych;

— naruszenie obowiązków prawnych;

— naruszenie wymogów umownych.

CONF-1

Ograniczony wpływ

Informacje, których nieuprawnione ujawnienie miałoby co najmniej jedną z następujących konsekwencji:

— wpływ finansowy w wysokości < 1 mln EUR;

— opiewające na niską kwotę roszczenia o odszkodowanie z tytułu odpowiedzialności/szkody zgłaszane przez uprawnionych użytkowników repozytorium lotniczego lub zainteresowane strony;

— reputacja – w ograniczonym zakresie przedstawienie w negatywnym świetle w prasie specjalistycznej;

— utrata zaufania wewnętrznych zainteresowanych stron w związku z konkretnym procesem biznesowym.

CONF-0

Brak wpływu

Informacje, których nieuprawnione ujawnienie sprawiłoby, że reputacja uprawnionych użytkowników repozytorium lotniczego stałaby się niezgodna z pożądanym wizerunkiem, ale:

— brak przekazów medialnych – informacje są już dostępne publicznie;

— brak wpływu na zainteresowane strony;

— brak wpływu finansowego.

c) INTEGRALNOŚĆ klasyfikuje się zgodnie z poniższymi poziomami:

ID

Nazwa poziomu integralności

Opis poziomu klasyfikacji

INTGR-3

Katastrofalny wpływ

Uszkodzenie lub naruszenie informacji należących do tej kategorii miałoby co najmniej jedną z następujących konsekwencji:

— strata finansowa w wysokości > 10 mln EUR;

— opiewające na wysoką kwotę roszczenia o odszkodowanie z tytułu odpowiedzialności/szkody zgłaszane przez uprawnionych użytkowników repozytorium lotniczego lub zainteresowane strony;

— znaczna niekorzystna sytuacja konkurencyjna dla uprawnionych użytkowników repozytorium lotniczego lub zainteresowanych stron; niemożność osiągnięcia wyznaczonych celów przez uprawnionych użytkowników repozytorium lotniczego;

— całkowita utrata zaufania zainteresowanych stron i opinii publicznej;

— całkowita utrata reputacji;

— kwestionowanie Agencji jako organizacji.

INTGR-2

Znaczący wpływ

Uszkodzenie lub naruszenie informacji należących do tej kategorii miałoby co najmniej jedną z następujących konsekwencji:

— wpływ finansowy w wysokości 1–10 mln EUR;

— opiewające na średnią kwotę roszczenia o odszkodowanie z tytułu odpowiedzialności/szkody zgłaszane przez uprawnionych użytkowników repozytorium lotniczego lub zainteresowane strony;

— w znacznym stopniu zniszczona reputacja w konkretnym obszarze działalności, przedstawienie w negatywnym świetle zarówno w prasie specjalistycznej, jak i ogólnej;

— utrata zaufania zainteresowanych stron w związku z konkretnym procesem biznesowym;

— naruszenie obowiązków regulacyjnych;

— naruszenie obowiązków prawnych;

— naruszenie wymogów umownych.

INTGR-1

Ograniczony wpływ

Informacje, których nieuprawnione ujawnienie miałoby co najmniej jedną z następujących konsekwencji:

— wpływ finansowy w wysokości < 1 mln EUR;

— opiewające na niską kwotę roszczenia o odszkodowanie z tytułu odpowiedzialności/szkody zgłaszane przez uprawnionych użytkowników repozytorium lotniczego lub zainteresowane strony;

— reputacja – w ograniczonym zakresie przedstawienie w negatywnym świetle w prasie specjalistycznej;

— utrata zaufania wewnętrznych zainteresowanych stron w związku z konkretnym procesem biznesowym.

INTGR-0

Brak wpływu

Informacje, których nieuprawnione ujawnienie sprawiłoby, że reputacja uprawnionych użytkowników repozytorium lotniczego stałaby się niezgodna z pożądanym wizerunkiem, ale:

— brak przekazów medialnych;

— informacje są już dostępne publicznie;

— brak wpływu na zainteresowane strony;

— brak wpływu finansowego.

d) DOSTĘPNOŚĆ klasyfikuje się zgodnie z poniższymi poziomami:

ID

Nazwa poziomu dostępności

Opis poziomu klasyfikacji

AVAIL-3

Katastrofalny wpływ

W przypadku zakłóceń dostęp do informacji należy przywrócić w ciągu maksymalnie 24 godzin (uwzględniając noce i weekendy).

AVAIL-2

Znaczący wpływ

W przypadku zakłóceń dostęp do informacji należy przywrócić w ciągu maksymalnie 1 tygodnia kalendarzowego.

AVAIL-1

Ograniczony wpływ

W przypadku zakłóceń dostęp do informacji należy przywrócić w ciągu maksymalnie 2 tygodni kalendarzowych.

AVAIL-0

Brak wpływu

W przypadku zakłóceń dostęp do informacji należy przywrócić w ciągu maksymalnie 1 miesiąca

(

1

) Rozporządzenie wykonawcze Komisji (UE) 2019/947 z dnia 24 maja 2019 r. w sprawie przepisów i procedur dotyczących eksploatacji bezzałogowych statków powietrznych (Dz.U. L 152 z 11.6.2019, s. 45).

(

2

) Rozporządzenie wykonawcze Komisji (UE) 2021/664 z dnia 22 kwietnia 2021 r. w sprawie ram regulacyjnych dotyczących U-space (Dz.U. L 139 z 23.4.2021, s. 161).