CELEX: 62004CJ0317
Üksikisikute kaitse seoses isikuandmete töötlemisega
Lennutransport
Otsus 2004/496/EÜ
Euroopa Ühenduse ja Ameerika Ühendriikide vaheline leping
Ameerika Ühendriikide Tolli- ja Piirivalvebüroole edastatavad lennureisijate reisijaregistrid
Direktiiv 95/46/EÜ
Artikkel 25
Kolmandad riigid
Otsus 2004/535/EÜ
Andmekaitse piisav tase

1       Euroopa Parlament taotleb kohtuasjas C‑317/04 esitatud hagiga nõukogu 17. mai 2004. aasta otsuse 2004/496/EÜ, mis käsitleb
Euroopa Ühenduse ja Ameerika Ühendriikide vahelise lepingu sõlmimist lennuettevõtjate poolt reisijate isikuandmete töötlemise
ja edastamise kohta Ameerika Ühendriikide Sisejulgeolekuministeeriumi Tolli‑ ja Piirivalvebüroole (ELT L 183, lk 83; parandus
ELT 2005, L 255, lk 168), tühistamist.
2       Kohtuasjas C‑318/04 esitatud hagiga taotleb parlament komisjoni 14. mai 2004. aasta otsuse 2004/535/EÜ Ameerika Ühendriikide
Tolli‑ ja Piirivalveametile edastatavates reisijaregistrites sisalduvate lennureisijate isikuandmete piisava kaitse kohta
(ELT L 235, lk 11; edaspidi „piisava kaitse otsus”) tühistamist.

Õiguslik raamistik
3       4. novembril 1950 Roomas allakirjutatud Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni (edaspidi „EIÕK”) artikkel 8
sätestab:
„1.      Igaühel on õigus sellele, et austataks tema era- ja perekonnaelu ja kodu ning korrespondentsi saladust.
2.      Võimud ei sekku selle õiguse kasutamisse muidu, kui kooskõlas seadusega ja kui see on demokraatlikus ühiskonnas vajalik riigi
julgeoleku, ühiskondliku turvalisuse või riigi majandusliku heaolu huvides, korratuse või kuriteo ärahoidmiseks, tervise või
kõlbluse või kaasinimeste õiguste ja vabaduste kaitseks.”
4       EÜ artikli 95 lõike 1 teine lause kõlab järgmiselt:
„Vastavalt artiklis 251 sätestatud menetlusele ning pärast konsulteerimist majandus- ja sotsiaalkomiteega võtab nõukogu liikmesriikides
nii õigus‑ kui ka haldusnormide ühtlustamiseks meetmed, mille eesmärk on siseturu rajamine ja selle toimimine.”
5       Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel
ja selliste andmete vaba liikumise kohta (ELT L 281, lk 31; ELT eriväljaanne 13/15, lk 355), mida on muudetud Euroopa Parlamendi
ja nõukogu 29. septembri 2003. aasta määrusega (EÜ) nr 1882/2003 EÜ asutamislepingu artiklis 251 osutatud menetlusele vastavates
õigusaktides sätestatud rakendusvolituste kasutamisel komisjoni abistavaid komiteesid käsitlevate sätete kohandamise kohta
nõukogu otsusega 1999/468/EÜ (EÜT L 284, lk 1; ELT eriväljaanne 01/04, lk 447) (edaspidi „direktiiv”), võeti vastu EÜ asutamislepingu
artikli 100A (muudetuna EÜ artikkel 95) alusel.
6       Selle üheteistkümnendas põhjenduses on öeldud, et „käesolevas direktiivis sisalduvad üksikisikute õiguste ja vabaduste, eriti
eraelu puutumatuse õiguse kaitsmise põhimõtted täpsustavad ja võimendavad põhimõtteid, mida sisaldab Euroopa Nõukogu 28. jaanuari
1981. aasta konventsioon isikuandmete automatiseeritud töötlemisel isiku kaitse kohta”.
7       Direktiivi kolmeteistkümnenda põhjenduse kohaselt:
„Euroopa Liidu lepingu V ja VI jaotises osutatud avaliku korra, riigikaitse, riigi julgeoleku ja riigi toimingutega kriminaalõiguse
valdkonnas seotud tegevus ei kuulu ühenduse õiguse reguleerimisalasse, ilma et see piiraks […] asutamislepingu artikli 56
lõikest 2, artiklist 57 või artiklist 100a tulenevaid liikmesriikide kohustusi; […]”.
8       Direktiivi viiekümne seitsmendas põhjenduses on öeldud:
„[S]amas tuleb keelata isikuandmete edastamine kolmandatesse riikidesse, kus nende kaitse tase ei ole piisav”.
9       Direktiivi artikkel 2 sätestab:
„Käesolevas määruses kasutatakse järgmisi mõisteid:
a)      isikuandmed ‑ igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt”) kohta. Tuvastatav isik
on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele,
vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal;
b)      isikuandmete töötlemine (edaspidi „töötlemine”) ‑ iga isikuandmetega tehtav toiming või toimingute kogum, olenemata sellest,
kas see on automatiseeritud või mitte, näiteks kogumine, salvestamine, korrastamine, säilitamine, kohandamine või muutmine,
väljavõtete tegemine, päringu teostamine, kasutamine, üleandmine, levitamine või muul moel avaldamine, ühitamine või ühendamine,
sulgemine, kustutamine või hävitamine;
[…]”
10     Direktiivi artikkel 3 sätestab:
„Reguleerimisala
1. Käesolevat direktiivi kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete
automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad kataloogi või kui nad kavatsetakse hiljem sellesse
kanda.
2. Käesolevat direktiivi ei kohaldata isikuandmete töötlemise suhtes:
–       kui see toimub sellise tegevuse käigus, mis jääb väljapoole ühenduse õigust, nagu näiteks Euroopa Liidu lepingu V ja VI jaotises
osutatud tegevused, ja igal juhul sellise töötlemise suhtes, mis on seotud avaliku korra, riigikaitse, riigi julgeoleku (sealhulgas
riigi majanduslik heaolu, kui töötlemine on seotud riigi julgeoleku küsimustega) ja riigi toimingutega kriminaalõiguse valdkonnas,
[…]”
11     Direktiivi artikli 6 lõige 1 sätestab:
„Liikmesriigid sätestavad selle, et:
[…]
b)      isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ega töödelda hiljem viisil, mis
on vastuolus kõnealuste eesmärkidega. Täiendavat töötlemist ajaloo, statistika või teadusega seotud eesmärkidel ei peeta vastuolus
olevaks tingimusel, et liikmesriigid kannavad hoolt vajalike tagatiste eest;
c)      isikuandmed on piisavad, asjakohased ega ületa selle otstarbe piire, mille tarvis neid kogutakse ja/või hiljem töödeldakse;
[…]
e)      isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik seoses andmete kogumise
või hilisema töötlemise eesmärkidega. […]”
12     Direktiivi artikkel 7 sätestab:
„Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:
[…]
c)      töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks
[…]
või
e)      töötlemine on vajalik üldiste huvidega seotud ülesande täitmiseks või sellise avaliku võimu teostamiseks, mis on tehtud ülesandeks
volitatud töötajale või andmeid saavale kolmandale isikule
või
f)      töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks,
kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja –vabadustega seotud huvid.”
13     Direktiivi artikli 8 lõike 5 esimese lõigu kohaselt:
„Õigusrikkumiste, süüdimõistvate kohtuotsuste ja turvameetmetega seotud andmeid võib töödelda ainult ametivõimude kontrolli
all või juhul, kui siseriikliku õigusega on ette nähtud sobivad spetsiifilised tagatised, erandite kohaselt, mida liikmesriigid
võivad lubada nimetatud tagatisi käsitlevate siseriiklike sätete põhjal. Süüdimõistvate kohtuotsuste täielikku registrit võib
pidada siiski ainult ametivõimude kontrolli all.”
14     Direktiivi artikkel 12 sätestab:
„Liikmesriigid tagavad, et igal andmesubjektil on õigus nõuda vastutavalt töötlejalt:
a)      mõistliku aja tagant, ilma piiranguteta ja ilma liigsete viivituste ja kulutusteta:
–      kinnitust selle kohta, kas isikut ennast käsitlevaid andmeid töödeldakse, ja teavet vähemalt töötlemise eesmärkide, asjaomaste
andmete liikide ja nende vastuvõtjate või vastuvõtjate kategooriate kohta, kellele andmed avalikustatakse,
–       arusaadaval kujul teavet töödeldavate andmete ja nende allika kohta,
–       informatsiooni isikut ennast käsitlevate andmete igasuguse automatiseeritud töötlemise loogika kohta, vähemalt artikli 15
lõikes 1 osutatud automatiseeritud otsuste puhul;
b)      võimalust vastavalt vajadusele parandada, kustutada või sulgeda need andmed, mille töötlemine ei vasta käesoleva direktiivi
sätetele, eelkõige seetõttu, et andmed on ebatäielikud või ebaõiged;
c)      teatise saatmist kolmandatele isikutele, kellele andmed on avalikustatud, kõigi punkti b kohaste paranduste, kustutamiste
või sulgemiste kohta, kui see ei ole võimatu või kui sellega ei kaasne ülemääraseid jõupingutusi.”
15     Direktiivi artikli 13 lõige 1 kõlab järgmiselt:
„Liikmesriigid võivad artikli 6 lõikes 1, artiklis 10, artikli 11 lõikes 1 ja artiklites 12 ja 21 sätestatud kohustuste ja
õiguste ulatuse piiramiseks võtta vastu õigusakte, kui sellised piirangud on vajalikud, et kindlustada:
a)      riigi julgeolek;
b)      riigikaitse;
c)      avalik kord;
d)      kuritegude või reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutuselevõtmine;
e)      liikmesriigi või Euroopa Liidu olulised majanduslikud või rahanduslikud huvid, sealhulgas raha-, eelarve- ja maksuküsimused;
f)      jälgimine, kontrollimine ja regulatiivne funktsioon, mis on kas või ajutiselt seotud avaliku võimu teostamisega punktides c,
d ja e osutatud juhtudel;
g)      andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse.”
16     Direktiivi artikkel 22 sätestab:
„Õiguskaitsevahendid
Liikmesriigid sätestavad kõigi isikute õiguse kasutada õiguskaitsevahendeid, kui on rikutud õigusi, mis neile on antud kõigi
asjaomase töötlemise suhtes kohaldatavate siseriiklike õigusaktidega, ilma et see piiraks ühegi võimaliku sätestatava haldusliku
kaitsevahendi kohaldamist, muu hulgas artiklis 28 osutatud järelevalveasutuse kaudu enne küsimuse suunamist kohtutele”.
17     Direktiivi artiklid 25 ja 26 moodustavad IV peatüki, mis käsitleb isikuandmete edastamist kolmandatesse riikidesse.
18     Direktiivi artikkel 25 pealkirjaga „Põhimõtted” näeb ette:
„1. Liikmesriigid sätestavad, et töödeldavate või pärast edastamist töötlemiseks kavandatud isikuandmete edastamine kolmandatesse
riikidesse võib toimuda ainult juhul, kui kõnealune kolmas riik tagab andmekaitse piisava taseme, kui käesoleva direktiivi
muude sätete kohaselt vastuvõetud siseriiklikest sätetest ei tulene teisiti.
2. Andmekaitse taset kolmandates riikides hinnatakse, pidades silmas kõiki andmete edastamise toimingute või andmete edastamise
toimingute kogumi asjaolusid; tähelepanu pööratakse eelkõige andmete laadile, kavandatud töötlemistoimingu või töötlemistoimingute
eesmärgile ja kestusele, päritoluriigile ja lõppsihtriigile, kõnealuses kolmandas riigis kehtivatele nii üldistele kui ka
konkreetse sektori õigusnormidele ja kõnealuses riigis järgitavatele ametieeskirjadele ja turvameetmetele.
3. Liikmesriigid ja komisjon teatavad üksteisele juhtudest, mille puhul nad leiavad, et kolmas riik ei taga kaitse piisavat
taset lõike 2 tähenduses.
4. Kui komisjon artikli 31 lõikes 2 ettenähtud korras leiab, et kolmas riik ei taga kaitse piisavat taset käesoleva artikli
lõike 2 tähenduses, võtavad liikmesriigid vajalikke meetmeid tagamaks, et sama liiki andmeid kõnealusesse kolmandasse riiki
ei edastata.
5. Sobival ajal alustab komisjon läbirääkimisi, et parandada olukorda, mis tekkis lõike 4 kohaselt tehtud avastuse tõttu.
6. Komisjon võib leida artikli 31 lõikes 2 sätestatud korras, et kolmas riik tagab kaitse piisava taseme käesoleva artikli
lõike 2 tähenduses oma siseriikliku õigusega või endale võetud rahvusvaheliste kohustustega, mis tulenevad eelkõige lõikes 5
osutatud läbirääkimistest, et kaitsta eraelu puutumatust ja üksikisikute põhivabadusi ja -õigusi.
Liikmesriigid võtavad komisjoni otsuse järgimiseks vajalikke meetmeid.”
19     Direktiivi artikli 26 – pealkirjaga „Erandid” – lõike 1 kohaselt:
„Erandina artiklist 25, ja kui konkreetsete juhtude suhtes ei ole siseriiklike õigusaktidega ette nähtud teisiti, sätestavad
liikmesriigid, et isikuandmete edastamine või edastamiste kogum kolmandasse riiki, mis ei taga piisavat kaitset artikli 25
lõike 2 tähenduses, võib toimuda tingimusel, et:
a)      andmesubjekt on andmete kavandatud edastamiseks andnud oma ühemõttelise nõusoleku
või
b)      edastamine on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu täitmiseks või andmesubjekti taotlusel võetud lepingueelsete
meetmete rakendamiseks
või
c)      edastamine on vajalik andmesubjekti huvides vastutava töötaja ja kolmanda isiku vahel sõlmitud lepingu sõlmimiseks või täitmiseks
või
d)      edastamine on vajalik või seaduse kohaselt nõutav üldiste huvidega seotud olulistel põhjustel või õigusnõuete koostamiseks,
esitamiseks või kaitsmiseks
või
e)      edastamine on vajalik andmesubjekti eluliste huvide kaitsmiseks
või
f)      edastatavad andmed on pärit registrist, mis õigusnormide kohaselt on mõeldud avalikkuse teavitamiseks ja on tutvumiseks avatud
laiemale avalikkusele või kõigile õigustatud huvidega isikutele, kuivõrd konkreetsel juhul täidetakse tingimusi, mis õigusaktidega
on tutvumiseks ette nähtud.”
20     Euroopa Ühenduste Komisjon võttis direktiivi, täpsemalt selle artikli 25 lõike 6 alusel vastu piisava kaitse otsuse.
21     Otsuse üheteistkümnendas põhjenduses on öeldud:
„Lennureisijate reisijaregistrites [PNR, „Passenger Name Records”] sisalduvate CBPle [Ameerika Ühendriikide Tolli‑ ja Piirivalveamet]
edastatud isikuandmete töötlemist […] reguleerivad sisejulgeoleku ministeeriumi tolli‑ ja piirivalveameti 11. mai 2004. aasta
kohustused (Undertakings of the Department of Homeland Security Bureau of Customs and Border Protection (CBP) of 11 May 2004
) (edaspidi „kohustused”) ning USA siseriiklikud õigusaktid kohustustes osutatud ulatuses.”
22     Sama otsuse viieteistkümnenda põhjenduse kohaselt kasutatakse PNR-andmeid eelkõige üksnes järgmiste nähtuste ennetamiseks
ja nende vastu võitlemiseks: terrorism ja sellega seotud kuriteod; muud rasked kuriteod, sealhulgas organiseeritud kuritegevus,
millel on rahvusvaheline mõõde; ning selliste kuritegude puhul vahistamisel või kinnipidamiskohast põgenemine.
23     Piisava kaitse otsuse artiklite 1–4 kohaselt:
„Artikkel 1
Direktiivi 95/46/EÜ artikli 25 lõike 2 kohaldamisel loetakse, et Ameerika Ühendriikide Tolli‑ ja Piirivalveamet (CBP) tagab
andmekaitse piisava taseme ühendusest edastatavate PNR-andmete puhul, mis on seotud lendudega USAsse ja sealt välja, vastavalt
lisas sätestatud kohustustele.
Artikkel 2
Käesolev otsus käsitleb CBP tagatava kaitse piisavat taset kooskõlas direktiivi 95/46/EÜ artikli 25 lõike 1 nõuetega ning
see ei mõjuta muid selliseid tingimusi või piiranguid, millega rakendatakse kõnealuse direktiivi muid sätteid, mis käsitlevad
isikuandmete töötlemist liikmesriikides.
Artikkel 3
1. Ilma et see piiraks liikmesriikide pädevate asutuste volitusi võtta meetmeid selliste siseriiklike sätete järgimise tagamiseks,
mis on vastu võetud muude sätete alusel kui direktiivi 95/46/EÜ artikkel 25, võivad need ametiasutused järgmistel juhtudel
kasutada oma volitusi CBPle andmeedastuste peatamiseks, et tagada üksikisikute kaitse seoses nende isikuandmete töötlemisega:
a)      USA pädev ametiasutus on kindlaks teinud, et CBP rikub kehtivaid kaitsenõudeid; või
b)      on väga tõenäoline, et lisas sätestatud kaitsenõudeid rikutakse, on põhjust arvata, et CBP ei võta ega kavatse võtta õigeaegselt
asjakohaseid meetmeid kõnealuse olukorra lahendamiseks, andmeedastuse jätkamine võib kujutada andmesubjektide jaoks tõsise
kahju viivitamatut ohtu ning liikmesriigi pädevad ametiasutused on asjaolusid arvestades võtnud piisavaid meetmeid CBP teavitamiseks
ja andnud talle võimaluse vastata.
2.      Peatamine lõpetatakse kohe, kui on tagatud kaitsenõuete järgimine ning asjaomaste liikmesriikide pädevatele ametiasutustele
on sellest teatatud.
Artikkel 4
1.      Liikmesriigid teavitavad viivitamata komisjoni, kui on võetud meetmeid vastavalt artiklile 3.
2.      Liikmesriigid ja komisjon teavitavad üksteist mis tahes muudatustest kaitsenõuetes ning juhtudest, mil vastavalt lisas sätestatud
CBP kaitsenõuete järgimise tagamise eest vastutavad asutused ei suuda nõuete järgimist tagada.
3.      Kui vastavalt artiklile 3 ja käesoleva artikli lõigetele 1 ja 2 kogutud andmed tõendavad, et enam ei täideta peamisi põhimõtteid,
mis on vajalikud füüsiliste isikute piisavaks kaitseks, või lisas sätestatud CBP kaitsenõuete järgimise tagamise eest vastutavad
asutused ei täida oma ülesandeid tõhusalt, teavitatakse CBPd ning kohaldatakse vajadusel direktiivi 95/46/EÜ artikli 31 lõikes 2
osutatud menetlust eesmärgiga käesolev otsus kehtetuks tunnistada või peatada.”
24     Piisava kaitse otsuse lisana ära toodud „Sisejulgeoleku ministeeriumi tolli- ja piirivalveameti (CBP) kohustus[tes]” on öeldud:
„Toetamaks Euroopa Komisjoni (edaspidi „komisjon”) kava kasutada talle direktiivi 95/46/EÜ […] artikli 25 lõikega 6 antud
volitusi ning võtta vastu otsus, millega tunnustatakse, et sisejulgeoleku ministeeriumi tolli- ja piirivalveamet (Department
of Homeland Security Bureau of Customs and Border Protection – CBP) pakub piisavat kaitset, kui lennuettevõtja edastab reisijaregistrite
(1) (PNR) andmeid, mis võivad kuuluda direktiivi rakendusalasse, kohustub CBP tegema järgmist […]”.
25     Kohustused hõlmavad 48 punkti, mis jagunevad järgmistesse rühmadesse: „Õiguslik alus saada PNR-andmeid”; „PNR-andmete kasutamine
CBP poolt”; „Nõutavad andmed”; „Tundlike andmete töötlemine”; „PNR-andmetele juurdepääsu meetod”; „PNR-andmete säilitamine”;
„CBP arvutisüsteemi turvalisus”; „PNR-andmete töötlemine ja kaitse CBP poolt”; „PNR-andmete edastamine teistele valitsusasutustele”;
„PNR-andmete subjektide teavitamine, juurdepääs andmetele ja andmete parandamise võimalused”; „Sätete järgimine”; „Vastastikkuse
põhimõte”; „Kohustuste läbivaatamine ja lõpetamine” ja „Subjektiivsete õiguste või pretsedendi loomise puudumine”.
26     Nimetatud kohustuste hulka kuuluvad muu hulgas järgmised:
„1.      Seaduse (United States Code, jaotis 49, paragrahv 44909(c)(3)) ning selle (ajutiste) rakendusmääruste (Code of Federal Regulations,
jaotis 19, paragrahv 122.49b) kohaselt peab iga lennuettevõtja, kes korraldab rahvusvahelist lennureisijatevedu Ameerika Ühendriikidesse
või sealt välja, võimaldama CBPle […] elektroonilise juurdepääsu PNR-andmetele sel määral kui need on kogutud ja talletatud
lennuettevõtja automaatsesse broneerimis- või väljumiskontrolli süsteemi […].
[…]
3.      CBP kasutab PNR-andmeid üksnes järgmiste nähtude ennetamiseks ja nende vastu võitlemiseks: 1) terrorism ja sellega seotud
kuriteod; 2) muud rasked kuriteod, sealhulgas organiseeritud kuritegevus, millel on rahvusvaheline mõõde; ning 3) selliste
kuritegude puhul vahistamisel või kinnipidamiskohast põgenemine. PNR-andmete kasutamine sellistel eesmärkidel võimaldab CBP-l
suunata oma ressursid kõrge riskiga asjaoludele, hõlbustades ja kaitstes seega heauskset reisimist.
4.      Andmeelemendid, mida CBP nõuab, on loetletud A lisas. […]
[…]
27.      Seoses mis tahes haldus- või kohtumenetlusega, mis tuleneb teabevabaduse seaduse alusel lennuettevõtjatelt saadud PNR-andmete
nõudest, on CBP seisukoht, et selliseid andmeid ei pea vastavalt teabevabaduse seadusele avaldama.
[…]
29.      CBP esitab omal äranägemisel PNR-andmeid muudele valitsusasutustele, sealhulgas välisriikide valitsusasutustele, millel on
terrorismivastase võitluse või õiguskaitsefunktsioonid, üksnes iga juhtumi korral eraldi ning käesolevate kohustuste punktis 3
määratletud kuritegude ennetamise või nende vastu võitlemise eesmärgil. (Asutusi, millega CBP võib selliseid andmeid jagada,
nimetatakse edaspidi „määratud asutusteks”.)
30.      CBP kasutab mõistlikult oma kaalutlusõigust edastada PNR-andmeid nimetatud eesmärkidel. CBP teeb esiteks kindlaks, kas PNR-andmete
avaldamine määratud asutusele vastab nimetatud eesmärgile (vaata käesolevate kohustuste punkti 29). Kui jah, siis teeb CBP
kindlaks, kas määratud asutus vastutab selle eesmärgiga seotud seaduse või määruse rikkumise ennetamise, uurimise või süüdistuse
esitamise eest või sellise seaduse või määruse täitmisele pööramise või rakendamise eest, kui CBP-l on viiteid seaduse rikkumisele
või võimalikule rikkumisele. Avaldamise põhjendatus tuleb läbi vaadata kõigi esitatud asjaolude valguses.
[…]
35.      Ükski käesolevate kohustuste säte ei takista PNR-andmete kasutamist või avaldamist seoses kriminaalkohtumenetlusega või muudel
seaduses sätestatud juhtudel. CBP teavitab Euroopa Komisjoni mis tahes USA õigusakti vastuvõtmisest, mis mõjutab oluliselt
käesolevate kohustuste sätteid.
[…]
46.       Käesolevaid kohustusi kohaldatakse kolm aastat ja kuus kuud (3,5 aastat) alates kuupäevast, millal jõustub Ameerika Ühendriikide
ja Euroopa Ühenduse vaheline leping, millega lubatakse PNR-andmete töötlemist lennuettevõtjate poolt eesmärgiga edastada CBPle
kõnealuseid andmeid kooskõlas direktiiviga. […]
47.       Käesolevate kohustustega ei looda ega anta ühelegi era- ega avalik-õiguslikule isikule mis tahes õigusi ega eeliseid.
[…]”
27     Kohustuste A lisas on ära toodud „PNR-andmeelemendid”, mida CBP lennuettevõtjatelt soovib. Nende andmete hulka kuuluvad „PNR-registri
kood” (locator code), broneeringu kuupäev, nimi, aadress, makseviisid, kontakttelefonid, reisibüroo, reisija reisistaatus
(„travel status of passenger”), E-posti aadress, üldised märkused, koha number, teave ilmumata jätmise kohta (no-show) ning
saadud „APIS teave”.
28     Nõukogu võttis EÜ artikli 95 alusel selle koostoimes EÜ artikli 300 lõike 2 esimese lõigu esimese lausega vastu otsuse 2004/496.
29     Viidatud otsuse kolme põhjenduse kohaselt:
„1)      23. veebruaril 2004 volitas nõukogu komisjoni ühenduse nimel pidama läbirääkimisi Ameerika Ühendriikidega lepingu üle, mis
käsitleb lennuettevõtjate poolt reisijate isikuandmete töötlemist ja edastamist Ameerika Ühendriikide Sisejulgeolekuministeeriumi
Tolli- ja Piirivalvebüroole.
2)      Euroopa Parlament ei ole esitanud arvamust tähtaja jooksul, mille nõukogu asutamislepingu artikli 300 lõike 3 esimese lõigu
kohaselt kehtestas, pidades silmas kiireloomulist vajadust parandada lennuettevõtjate ja reisijate ebakindlat olukorda ja
kaitsta asjassepuutuvate isikute finantshuve.
3)      See leping tuleks heaks kiita.”
30     Otsuse 2004/496 artikkel 1 näeb ette:
„Käesolevaga kiidetakse ühenduse nimel heaks Euroopa Ühenduse ja Ameerika Ühendriikide vaheline leping lennuettevõtjate poolt
reisijate isikuandmete töötlemise ja edastamise kohta Ameerika Ühendriikide Sisejulgeolekuministeeriumi Tolli‑ ja Piirivalvebüroole.
Lepingu tekst on käesolevale otsusele lisatud.”
31     Osutatud lepingu (edaspidi „leping”) sisu on järgmine:
„E[uroopa Ühendus ja Ameerika Ühendriigid],
T[unnustades] põhiõiguste ja ‑vabaduste, eriti eraelu puutumatuse austamise tähtsust ja tunnustades nende väärtuste austamise
tähtsust terrorismi ja sellega seotud kuritegude ning muude tõsiste rahvusvahelise iseloomuga kuritegude, sealhulgas organiseeritud
kuritegevuse vastases võitluses ja nende ärahoidmises,
[võttes arvesse] USA eeskirju ja seadusi, mis nõuavad, et iga lennuettevõtja, kes teostab reisijate välislennutransporti Ameerika
Ühendriikidesse saabuvatel või sealt väljuvatel lendudel, võimaldaks sisejulgeolekuministeeriumi (edaspidi ministeerium) tolli‑
ja piirivalvebüroole […] [(CBP)] elektroonilise ligipääsu […] [PNR-andmetele] määral, mil seda kogutakse ja salvestatakse
lennuettevõtja automaatsetes reserveerimise ja väljumiste kontrollisüsteemides,
[võttes arvesse] […] direktiivi 95/46/EÜ […], eriti selle artikli 7 punkti c,
[võttes arvesse] [CBP] poolt 11. mail 2004 võetud kohustusi, mis avaldatakse föderaalregistris (edaspidi kohustused),
[võttes arvesse] direktiivi 95/46/EÜ artikli 25 lõike 6 kohaselt 14. mail 2004 vastu võetud komisjoni otsust 2004/535/EÜ (edaspidi
„otsus”), milles tõdetakse, et [CBP] kaitseb käesolevale lepingule lisatud kohustuste kohaselt piisavalt Euroopa Ühendusest
(edaspidi „ühendus”) edastatavaid [PNR-andmeid], mis on seotud Ameerika Ühendriikidesse saabuvate või sealt väljuvate lendudega,
[märkides], et lennuettevõtjad, kellel on Euroopa Liidu liikmesriikide territooriumidel reserveerimise ja väljumiste kontrollisüsteemid,
peaksid korraldama [PNR-andmete] edastamise [CBP-le] nii kiiresti, kui tehnilised võimalused lubavad, selle ajani aga peaks
USA ametivõimudel vastavalt käesolevale lepingule olema luba neile andmetele otse ligi pääseda,
[…]
[on kokku leppinud järgmises]:
1.      [CBP] võib elektrooniliselt kasutada lennuettevõtjate Euroopa Ühenduse liikmesriikide territooriumidel asuvates reserveerimise
ja väljumiste kontrollsüsteemides […] sisalduvaid isikuandmeid [PNR-andmeid], järgides rangelt otsust ja nii kaua, kuni otsus
on kohaldatav, ning ainult seni, kuni on paigaldatud rahuldav süsteem, mis võimaldab selliste andmete edastamist lennuettevõtjate
poolt.
[Ingliskeelne versioon on järgmine: „CBP may electronically access the PNR data from air carriers reservation/departure control
systems (’reservation systems’) located within the territory of the Member State of the European Community strictly in accordance
with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system in place allowing
for transmission of such data by the air carriers.”]
2.      Lennuettevõtjad, kes teostavad reisijate välislennutransporti Ameerika Ühendriikidesse saabuvatel või sealt väljuvatel lendudel,
töötlevad oma automaatsetes reserveerimissüsteemides sisalduvaid isikuandmeid vastavalt [CBP] USA seaduste alusel esitatavatele
nõudmistele, järgides rangelt otsust, ja nii kaua, kuni otsus on kohaldatav.
3.      [CBP] võtab otsust arvesse ja teatab, et ta kohaldab sellele lisatud kohustusi.
4.      [CBP] töötleb saadud isikuandmeid ja kohtleb isikuid, keda puudutavaid andmeid töödeldakse, vastavalt kohaldatavatele USA
seadustele ja põhiseaduslikele nõudmistele, ilma seadusevastase diskrimineerimiseta, iseäranis rahvuse ja elukohariigi alusel.
[…]
7.      Käesolev leping jõustub allakirjutamisel. Kumbki lepinguosaline võib käesoleva lepingu igal ajal lõpetada, andes sellest diplomaatiliste
kanalite kaudu teada. Leping lõpeb üheksakümmend (90) päeva pärast seda, kui teisele lepinguosalisele on lepingu lõpetamisest
teatatud. Käesolevat lepingut võib igal ajal vastastikuse kirjaliku kokkuleppega muuta.
8.      Käesoleva lepinguga ei kavatseta lepinguosaliste seadusandlusest kõrvale kalduda ega seda muuta, samuti ei loo ega anna käesolev
leping mingeid õigusi ega hüvesid ühelegi muule era‑ või avalik-õiguslikule isikule ega üksusele.”
32     Nõukogu poolt lepingu jõustumise kohta esitatud teabe kohaselt (ELT 2004, C 158, lk 1) jõustus 28. mail 2004 Washingtonis
nõukogu esindaja ja Ameerika Ühendriikide sisejulgeolekuministri poolt alla kirjutatud leping selle punkti 7 kohaselt lepingu
allakirjutamise päeval.

Vaidluste taust
33     11. septembri 2001. aasta terrorirünnakute järel võtsid Ühendriigid sama aasta novembris vastu seaduse, mis sätestas, et lennuettevõtjad,
kes teostavad lennutransporti Ameerika Ühendriikidesse saabuvatel või sealt väljuvatel, samuti lendudel üle Ühendriikide territooriumi,
olid kohustatud võimaldama Ühendriikide tolliasutustele elektroonilise juurdepääsu andmetele, mis sisalduvad automaatsetes
reserveerimise ja väljumiste kontrollsüsteemides, mida tähistatakse terminiga „Passenger Name Records”, (edaspidi „PNR-andmed”).
Tunnustades küll silmas peetavate julgeolekuhuvide õigustatust, teatas komisjon Ühendriikide ametiasutustele juunist 2002,
et nimetatud sätted võivad olla vastuolus ühenduse ja liikmesriikide andmekaitse valdkonna õigusaktidega ning nõukogu 24. juuli
1989. aasta määruse (EMÜ) nr 2299/89 toimimisjuhendi kohta arvutipõhiste ettetellimissüsteemide puhul (EÜT L 220, lk 1; ELT
eriväljaanne 07/01, lk 27), muudetud nõukogu 8. veebruari 1999. aasta määrusega (EÜ) nr 323/1999 (EÜT L 40, lk 1), teatavate
sätetega. Ühendriikide ametiasutused teatasid uute sätete jõustumisest, kuid keeldusid kategooriliselt loobumast sanktsioonide
kohaldamisest nende lennuettevõtjate suhtes, kes pärast 5. märtsi 2003 ei olnud täitnud PNR-andmetele elektroonilist juurdepääsu
puudutavaid õigusnorme. Paljud Euroopa Liidu suured lennuettevõtjad olid sellest kuupäevast võimaldanud nimetatud asutustele
juurdepääsu ettevõtja käsutuses olevatele PNR-andmetele.
34     Komisjon alustas direktiivi artikli 25 lõike 6 alusel piisava kaitse otsuse vastuvõtmiseks läbirääkimisi Ühendriikide ametiasutustega,
kes olid võtnud vastu CBP kohustusi („undertakings”) sätestava akti.
35     Töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega, mis oli loodud direktiivi artikliga 29, esitas 13. juunil
2003 arvamuse, milles väljendas kahtlusi selles osas, kas viidatud kohustustega tagatud andmekaitse on kavandatava andmetöötluse
puhul piisav. Töörühm kordas oma kahtlusi ka 29. jaanuari 2004. aasta arvamuses.
36     Komisjon esitas 1. märtsil 2004 parlamendile direktiivi artikli 25 lõike 6 alusel piisava kaitse otsuse eelnõu, millega oli
kaasas CBP kohustuste eelnõu.
37     17. märtsil 2004 edastas komisjon EÜ artikli 300 lõike 3 esimeses lõigus ette nähtud konsulteerimist silmas pidades parlamendile
ettepaneku Ameerika Ühendriikidega lepingu sõlmimist käsitleva nõukogu otsuse kohta. Nõukogu palus 25. märtsil 2004 kiireloomulisele
menetlusele viidates parlamendil esitada viidatud ettepaneku kohta arvamus hiljemalt 22. aprilliks 2004. Nõukogu rõhutas oma
kirjas, et „terrorismivastane võitlus, mis õigustab pakutud meetmeid, on Euroopa Liidu üks olulisi prioriteete, [et] hetkel
on lennuettevõtjate ja reisijate olukord ebakindel ning seda tuleb viivitamatult parandada [ning et], pealegi on oluline kaitsta
asjassepuutuvate poolte finantshuve”.
38     Parlament võttis 31. märtsil 2004 nõukogu 28. juuni 1999. aasta otsuse 1999/468/EÜ, millega kehtestatakse komisjoni rakendusvolituste
kasutamise menetlused (EÜT L 184, lk 23; ELT eriväljaanne 01/03, lk 124), artikli 8 alusel vastu resolutsiooni, milles nägi
talle esitatud ettepaneku osas ette teatud arvu õiguslikke reservatsioone. Parlament asus kõnealuses resolutsioonis seisukohale,
et piisava kaitse otsuse eelnõu ületab komisjonile direktiivi artikliga 25 antud pädevuse. Parlament kutsus üles sõlmima asjakohast
rahvusvahelist lepingut, mille puhul peetaks kinni põhiõigustest viidatud resolutsioonis detailselt välja toodud teatud arvus
punktides, ning palus komisjonil esitada otsuse uus eelnõu. Lisaks jättis ta endale võimaluse pöörduda Euroopa Kohtusse, et
kontrollida kavandatava rahvusvahelise lepingu seaduslikkust, eelkõige aga seda, kas see on kooskõlas eraelu kaitse põhimõttega.
39     21. aprillil 2004 kinnitas parlament presidendi taotluse alusel õigusasjade- ja siseturukomisjoni soovituse, mille kohaselt
tuleks EÜ artikli 300 lõike 6 alusel taotleda Euroopa Kohtult arvamust selle kohta, kas kavandatav leping on kooskõlas asutamislepingu
sätetega. Kõnealune menetlus algatati samal päeval.
40     Samuti otsustas parlament samal päeval saata komisjonile tagasi nõukogu otsuse ettepaneku kohta esitatud aruande, lükates
seeläbi tagasi nõukogu poolt 25. märtsil tehtud taotluse vaadata kõnealune ettepanek läbi kiireloomulisena.
41     Nõukogu saatis 28. aprillil EÜ artikli 300 lõike 3 esimesele lõigule tuginedes parlamendile kirja, milles palus sel esitada
arvamus lepingu sõlmimist käsitleva otsuse ettepaneku kohta enne 5. maid 2004. Taotluse kiireloomulisuse põhjenduseks tõi
nõukogu uuesti välja 25. märtsi 2004. aasta kirjas esitatud põhjused.
42     Parlament jättis 4. mail 2004 nõukogu poolt talle 28. aprillil esitatud asja kiireloomulise menetlemise ettepaneku rahuldamata,
kuna nõukogu otsuse ettepaneku kõiki keeleversioone ei olnud endiselt koos.
43     Sama aasta 14. mail võttis komisjon vastu piisava kaitse otsuse, mis on kohtuasja C‑318/04 esemeks. 17. mail 2004 võttis nõukogu
vastu otsuse 2004/496, mida käsitletakse kohtuasjas C‑317/04.
44     Nõukogu ametisolev eesistuja teatas 4. juuni 2004. aasta kirjaga parlamendile, et otsuses 2004/496 on arvesse võetud terrorismivastast
võitlust – mis on EL jaoks prioriteet –, kuid samas ka lennuettevõtjate õiguslikult ebakindlat olukorda ning nende finantshuve.
45     Parlament teatas 9. juuli 2004. aasta kirjaga Euroopa Kohtule, et võtab tagasi nr 1/04 all registreeritud arvamuse esitamise
taotluse.
46     Euroopa Kohtu president tegi kohtuasjas C‑317/04 18. novembril 2004 ja 18. jaanuaril 2005 määrused komisjoni ning Suurbritannia
ja Põhja‑Iiri Ühendkuningriigi menetlusse astumise kohta nõukogu nõuete toetuseks.
47     Kohtuasjas C‑318/04 tegi Euroopa Kohtu president 17. detsembril 2004 määruse Ühendkuningriigi menetlusse astumise kohta komisjoni
nõuete toetuseks.
48     Euroopa Kohtu 17. märtsi 2005. aasta määrustega anti viidatud kahes kohtuasjas parlamendi nõuete toetuseks luba astuda menetlusse
Euroopa andmekaitseinspektoril.
49     Arvestades kõnealuste kohtuasjade seotust, mis leidis kinnitust suulises menetluses, tuleb need kohtuotsuse huvides kodukorra
artikli 43 alusel liita.

Hagi kohtuasjas C‑318/04
50     Parlament esitab tühistamise toetuseks neli väidet, mis tulenevad vastavalt pädevuse ületamisest, direktiivi oluliste põhimõtete,
põhiõiguste ning proportsionaalsuse põhimõtte rikkumisest.

Esimese väite esimene osa, mis tuleneb direktiivi artikli 3 lõike 2 esimese taande rikkumisest
Poolte argumendid
51     Parlament väidab, et komisjoni otsus võeti vastu
ultra vires
, kuna ei järgitud direktiivi sätteid ja rikuti eelkõige selle artikli 3 lõike 2 esimest taanet, mis välistab selle kohaldamise
tegevuste suhtes, mis pole reguleeritud ühenduse õigusega.
52     Pole kahtlust, et PNR-andmete töötlemine pärast nende edastamist Ameerika Ühendriikide ametiasutusele, mida reguleerib piisava
kaitse otsus, kujutab endast praegu ja edaspidi riigi toiminguid 6. novembri 2003. aasta otsuse kohtuasja  C‑101/01: Lindqvist
(EKL 2003, lk I‑12971) punkti 43 mõttes.
53     Komisjon, keda toetab Ühendkuningriik, leiab, et lennuettevõtjate tegevus kuulub ilmselgelt ühenduse õiguse kohaldamisalasse.
Komisjon väidab, et eraõiguslikud ettevõtjad töötlevad PNR-andmeid ühenduses ning korraldavad nende edastamist kolmandale
riigile. Seega on tegemist üksikisikute toimingutega, mitte aga selle liikmesriigi, kus asjassepuutuvad lennuettevõtjad tegutsevad,
ega sellise riigi võimuorganite tegevusega, nagu Euroopa Kohus on seda eespool viidatud Lindqvisti kohtuotsuse punktis 43
määratlenud. Lennuettevõtjad täidavad PNR-andmete töötlemisel ühenduse õigusest tulenevaid nõudeid, sh lepingu punktis 2 ette
nähtud kohustust. Direktiivi artikli 3 lõikes 2 on viidatud avalike võimuorganite tegevusele, mis ei kuulu ühenduse õiguse
reguleerimisalasse.
Euroopa Kohtu hinnang
54     Direktiivi artikli 3 lõike 2 esimene taane välistab direktiivi reguleerimisalast isikuandmete töötlemise juhul, kui see toimub
sellise tegevuse käigus, mis jääb väljapoole ühenduse õigust, nagu näiteks Euroopa Liidu lepingu V ja VI jaotises osutatud
tegevused, ja igal juhul sellise töötlemise suhtes, mis on seotud avaliku korra, riigikaitse, riigi julgeoleku […] ja riigi
toimingutega kriminaalõiguse valdkonnas.
55     Piisava kaitse otsus puudutab üksnes CBP-le edastatud PNR-andmeid. Viidatud otsuse kuuendast põhjendusest tuleneb, et edastamisnõude
õiguslikuks aluseks on Ameerika Ühendriikides 2001. aasta novembris vastu võetud seadus ning selle seaduse alusel vastu võetud
CBP rakenduseeskirjad. Sama otsuse seitsmenda põhjenduse kohaselt käsitlevad kõnealused USA õigusaktid julgeoleku tõhustamist
ja tingimusi, mille alusel isikud võivad riiki siseneda ja sealt lahkuda. Kaheksanda põhjenduse kohaselt toetab ühendus täielikult
USAd terrorismivastases võitluses ühenduse õigusaktides kehtestatud piires. Sama otsuse viieteistkümnendas põhjenduses on
öeldud, et PNR-andmeid kasutatakse üksnes järgmiste nähtuste ennetamiseks ja nende vastu võitlemiseks: terrorism ja sellega
seotud kuriteod; muud rasked kuriteod, sealhulgas organiseeritud kuritegevus, millel on rahvusvaheline mõõde; ning selliste
kuritegude puhul vahistamisel või kinnipidamiskohast põgenemine.
56     Siit tuleneb, et PNR-andmete edastamine CBP-le kujutab endast töötlemist, mille esemeks on riigi julgeolek ja riigi toimingud
kriminaalõiguse valdkonnas.
57     Kuigi võib õigustatult öelda, et esialgselt kogusid lennuettevõtjad PNR-andmeid ühenduse õiguse valdkonda kuuluva tegevuse,
st teenuse tarbimiseks õigust andva lennukipileti müügi käigus, on piisava kaitse otsuses arvestatud andmete töötlemise iseloom
hoopis midagi muud. Nagu käesoleva kohtuotsuse punktis 55 märgitud, ei puuduta kõnealune otsus mitte teenuse osutamiseks vajalikku
andmetöötlust, vaid sellega peetakse silmas riigi julgeoleku kaitset ning õiguskaitse eesmärke.
58     Eespool viidatud Lindqvisti kohtuotsuse punktis 43, millele komisjon oma vastuses viitas, on Euroopa Kohus asunud seisukohale,
et direktiivi artikli 3 lõike 2 esimeses taandes näitena toodud tegevused kujutavad endast igal juhul toiminguid, mis on iseloomulikud
riigile või riigi ametiasutustele, ega ole omased eraisikute tegevusvaldkondadele. Sellegipoolest ei järeldu sellest, et kuna
eraõiguslikud ettevõtjad kogusid PNR-andmeid kommertseesmärgil ning just nemad korraldavad nende edastamist kolmandasse riiki,
ei kuulu kõnealune edastamine viidatud sätte kohaldamisalasse. Edastamine toimub sellises ametivõimude poolt loodud raamistikus,
mille eesmärk on tagada riigi julgeolek.
59     Eeltoodud põhjendustest järeldub, et piisava kaitse otsus puudutab isikuandmete töötlemist direktiivi artikli 3 lõike 2 esimese
taande mõttes. Seega ei kuulu see otsus direktiivi kohaldamisalasse.
60     Seega on esimese väite esimene osa, mis tuleneb direktiivi artikli 3 lõike 2 esimese taande rikkumisest, põhjendatud.
61     Järelikult tuleb piisava kaitse otsus tühistada, ilma et oleks vaja uurida esimese väite teisi osi ega parlamendi esitatud
muid väiteid.

Hagi kohtuasjas C‑317/04
62     Parlament esitab tühistamise toetuseks kuus väidet, mis tulenevad asjaolust, et otsuse 2004/496 õigusliku alusena on ekslikult
kasutatud EÜ artiklit 95, ning vastavalt EÜ artikli 300 lõike 3 teise lõigu, EIÕK artikli 8, proportsionaalsuse põhimõtte,
põhjendamiskohustuse ja lojaalse koostöö põhimõtte rikkumisest.

Esimene väide, mis tuleneb asjaolust, et otsuse 2004/496 õigusliku alusena on ekslikult kasutatud EÜ artiklit 95
Poolte argumendid
63     Parlament väidab, et EÜ artikkel 95 ei ole otsuse 2004/496 vastuvõtmise õige õiguslik alus. Selle otsuse eesmärgiks ja sisuks
ei ole siseturu rajamine ja toimimine, aidates kaasa tõkete kõrvaldamisele teenuste vaba osutamise juures ning see ei sisalda
seesuguse eesmärgi täitmiseks mõeldud sätteid. Otsuse eesmärk on muuta seaduslikuks isikuandmete töötlemine, mis on ette nähtud
Ühendriikide õigusaktidega. Pealegi ei ole EÜ artikkel 95 loomult selline, et annaks ühendusele pädevuse lepingu sõlmimiseks,
kuna see puudutab sellist andmetöötlust, mis on direktiivi kohaldamisalast välja arvatud.
64     Nõukogu kinnitab, et direktiiv, mis on nõuetekohaselt võetud vastu asutamislepingu artikli 100 A alusel, sisaldab artiklis 25
sätteid, millega nähakse ette võimalus edastada isikuandmeid sellisesse kolmandasse riiki, mis tagab andmekaitse piisava taseme,
sh võimalus vajaduse korral alustada läbirääkimisi ühenduse ja sellise riigi vahelise lepingu sõlmimiseks. Leping käsitles
PNR-andmete vaba liikumist ühenduse ja Ameerika Ühendriikide vahel, järgides isikute põhivabadusi ja –õigusi, eelkõige eraelu
kaitset. Lepingu eesmärk oli kaotada liikmesriikide lennuettevõtjate ning liikmesriikide ja kolmandate riikide lennuettevõtjate
vahelise konkurentsi moonutused, mis võivad olla Ameerika Ühendriikide poolt isikute õiguste ja vabaduste kaitsmisega seonduvatel
põhjustel kehtestatud nõuete tagajärjeks. Ameerika Ühendriikidesse suunduvatel ja sealt lähtuvatel lennuliinidel rahvusvahelist
reisijateveoteenust osutavate liikmesriikide lennuettevõtjate vahelise konkurentsi tingimusi kahjustaks see, et üksnes mõningad
neist võimaldavad Ühendriikide ametiasutustele juurdepääsu oma andmebaasidele. Lepinguga sooviti kehtestada kõikidele asjassepuutuvatele
ettevõtjatele ühesugused kohustused.
65     Komisjon rõhutab, et tegemist on Ameerika Ühendriikide seaduste ja ühenduse õigusnormide vahelise konfliktiga rahvusvahelise
avaliku õiguse mõttes, ning ühtlasi vajadusega need omavahel kooskõlla viia. Komisjon paneb parlamendile, kes on vaidlustanud
EÜ artikli 95 sobivuse otsuse 2004/496 õigusliku alusena, süüks seda, et parlament ei ole välja pakkunud asjakohast õiguslikku
alust. Komisjon on seisukohal, et viidatud artikkel on kõnealuse otsuse „loomulik õiguslik alus”, kuna isikuandmete edastamisel
ühendusesiseselt puudutab leping nende andmete kaitse välismõõdet. Direktiivi artiklid 25 ja 26 annavad ühendusele ainuvälispädevuse.
66     Lisaks väidab komisjon, et andmete esialgne töötlemine lennuettevõtjate poolt toimus kommertseesmärkidel. Asjaolu, et neid
andmeid kasutavad Ameerika Ühendriikide ametiasutused, ei jäta neid direktiivi kohaldamisalast välja.
Euroopa Kohtu hinnang
67     EÜ artikkel 95 koos direktiivi artikliga 25 ei anna komisjonile lepingu sõlmimise pädevust.
68     Leping käsitleb sama andmeedastust, mis piisava kaitse otsuski, seega sellist andmetöötlust, mis – nagu eespool öeldud –,
ei kuulu direktiivi kohaldamisalasse.
69     Järelikult ei ole otsuse 2004/496 vastuvõtmine EÜ artikli 95 alusel nõuetekohane.
70     Seega tuleb otsus tühistada, ilma et oleks vaja uurida muid parlamendi poolt esitatud väiteid.

Kohtuotsuse tagajärgede piiramine
71     Lepingu punktist 7 nähtub, et kumbki lepingupool võib selle igal ajal lõpetada ning leping kaotab kehtivuse 90 päeva pärast
seda, kui teisele lepinguosalisele on teatatud lepingu lõpetamisest.
72     Seevastu lepingu punktide 1 ja 2 kohaselt on CBP-l juurdepääsuõigus PNR‑andmetele ning lennuettevõtjad on kohustatud töötlema
andmeid vastavalt CBP nõudmistele senikaua, kuni piisava kaitse otsus on kohaldatav. CBP on lepingu punktis 3 kinnitanud,
et kohaldab nimetatud otsuse lisas toodud kohustusi.
73     Arvestades ühelt poolt asjaolu, et ühendus ei saa toetuda oma õigusele, põhjendamaks sellise lepingu mittetäitmist, mis kehtib
veel 90 päeva pärast seda, kui lepingu lõpetamisest on teisele poolele teatatud, ning teiselt poolt kõnealuse lepingu ja piisava
kaitse otsuse vahelist tihedat seost, tundub õiguskindlust ja puudutatud isikute kaitset silmas pidades olevat õigustatud
säilitada piisava kaitse otsuse kehtivus sama ajavahemiku vältel. Lisaks tuleb arvestada käesoleva kohtuotsuse täitmiseks
vajalike meetmete võtmiseks vajaliku ajaga.
74     Seega tuleb piisava kaitse otsust kohaldada jätkuvalt kuni 30. septembrini 2006, kuid otsuse tagajärjed ei tohi jääda kestma
pärast lepingu lõppemise kuupäeva.

Kohtukulud
75     Kodukorra artikli 69 lõike 2 alusel on kohtuvaidluse kaotanud pool kohustatud hüvitama kohtukulud, kui vastaspool on seda
nõudnud. Kuna parlament on kohtukulude hüvitamist nõudnud ja nõukogu ning komisjon on kohtuvaidluse kaotanud, tuleb kohtukulud
välja mõista nõukogult ja komisjonilt. Sama artikli lõike 4 esimese lõigu alusel kannavad käesolevatel juhtudel menetlusse
astujad ise oma kohtukulud.
Esitatud põhjendustest lähtudes Euroopa Kohus (suurkoda) otsustab:
1.
Tühistada nõukogu 17. mai 2004. aasta otsus 2004/496/EÜ, mis käsitleb Euroopa Ühenduse ja Ameerika Ühendriikide vahelise lepingu
sõlmimist lennuettevõtjate poolt reisijate isikuandmete töötlemise ja edastamise kohta Ameerika Ühendriikide Sisejulgeolekuministeeriumi
Tolli- ja Piirivalvebüroole, ning komisjoni 14. mai 2004. aasta otsus 2004/535/EÜ Ameerika Ühendriikide Tolli- ja Piirivalveametile
edastatavates reisijaregistrites sisalduvate lennureisijate isikuandmete piisava kaitse kohta.
2.
Kohaldada otsust 2004/535 jätkuvalt kuni 30. septembrini 2006, kuid otsuse tagajärjed ei tohi jääda kestma pärast kõnealuse
lepingu lõppemise kuupäeva.
3.
Mõista kohtuasjas C-317/04 kohtukulud välja Euroopa Liidu Nõukogult.
4.
Mõista kohtuasjas C-318/04 kohtukulud välja Euroopa Ühenduste Komisjonilt.
5.
Jätta kohtuasjas C-318/04 Euroopa Ühenduste Komisjoni kohtukulud tema enda kanda.
6.
Jätta Suurbritannia ja Põhja-Iiri Ühendkuningriigi ning Euroopa andmekaitseinspektori kohtukulud nende endi kanda.
Allkirjad
*
Kohtumenetluse keel: prantsuse.