Nowelizowana ustawa obowiązuje już od 2018 r. Choć implementuje unijną dyrektywę w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości (z 2016 r.), to polskie przepisy nie są zgodne z orzeczeniem Trybunału Sprawiedliwości UE z czerwca 2022 r. Wskazano w nim, że choć sama dyrektywa nie narusza oczywiście prawa unijnego, to należy interpretować ją jednak w ten sposób, że „przy braku rzeczywistego i aktualnego lub dającego się przewidzieć zagrożenia terrorystycznego” państwa członkowskie nie mogą wprowadzać obowiązku przekazywania danych o pasażerach lotów wewnętrzunijnych, tj. takich, które zaczynają się i kończą w państwie członkowskim.