Vid sitt plenarmöte i mars 2025 antog Europeiska dataskyddsstyrelsen (European Data Protection Board, EDPB) ett uttalande om genomförandet av direktivet om passageraruppgifter (PNR) mot bakgrund av EU-domstolens dom C-817/19.
I sitt andra uttalande om genomförandet av PNR-direktivet, som följer på det av den 15 december 2022, ger EDPB ytterligare vägledning till enheterna för passagerarinformation (PIU) om nödvändiga anpassningar och begränsningar av behandlingen av PNR-uppgifter, efter PNR-domen. PNR-uppgifter är personuppgifter som tillhandahålls av passagerare och som samlas in och lagras av lufttrafikföretag och som omfattar passagerarnas namn, resedatum, resvägar, platser, bagage, kontaktuppgifter och betalningsmedel.
Uttalandet innehåller praktiska rekommendationer för de nationella lagar som införlivar PNR-direktivet i syfte att ge verkan åt EU-domstolens slutsatser i PNR-domen. Rekommendationerna täcker några av de viktigaste aspekterna i PNR-domen, till exempel hur europeiska länder ska välja ut de flygningar från vilka PNR-uppgifter samlas in eller hur länge PNR-uppgifter ska lagras. Enligt EDPB bör lagringsperioden för alla PNR-uppgifter inte överstiga en inledande period på sex månader. Efter denna period får europeiska länder endast lagra PNR-uppgifter så länge som det behövs och står i proportion till målen i PNR-direktivet.
EDPB är medvetna om att vissa europeiska länder redan har påbörjat anpassningsprocessen, men att det fortfarande finns en betydande brist på genomförandeinsatser i medlemsstaterna. I sitt uttalande framhåller EDPB därför det brådskande behovet av att genomföra de nödvändiga förändringarna och att ändra nationella lagar med hänsyn till PNR-domen så snart som möjligt.