CELEX: 62004CJ0317
Yksilöiden suojelu henkilötietojen käsittelyssä
Lentoliikenne
Päätös 2004/496/EY
Euroopan yhteisön ja Amerikan yhdysvaltojen välinen sopimus
Yhdysvaltojen tulli- ja rajavartiolaitokselle toimitettavat lentomatkustajia koskevat matkustajarekisteritiedot
Direktiivi 95/46/EY
25 artikla
Kolmannet valtiot
Päätös 2004/535/EY
Suojan riittävä taso

1       Euroopan parlamentti vaatii kanteessaan asiassa C-317/04, että lentoyhtiöiden PNR-tietojen käsittelemistä ja siirtämistä Yhdysvaltojen
sisäisen turvallisuuden ministeriön alaiselle tulli- ja rajavalvontalaitokselle koskevan Euroopan yhteisön ja Amerikan yhdysvaltojen
välisen sopimuksen tekemisestä 17 päivänä toukokuuta 2004 tehty neuvoston päätös 2004/496/EY (EUVL L 183, s. 83 ja oikaisu
EUVL 2005, L 255, s. 168) kumotaan.
2       Parlamentti vaatii kanteessaan asiassa C-318/04, että Yhdysvaltojen tulli- ja rajavartiolaitokselle toimitettavien lentomatkustajia
koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta 14 päivänä toukokuuta 2004 tehty komission
päätös 2004/535/EY (EUVL L 235, s. 11; jäljempänä suojan riittävää tasoa koskeva päätös) kumotaan.

Asiaa koskevat oikeussäännöt
3       Roomassa 4.11.1950 allekirjoitetun, ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen (jäljempänä Euroopan
ihmisoikeussopimus) 8 artiklassa määrätään seuraavaa:
”1.      Jokaisella on oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta.
2.      Viranomaiset eivät saa puuttua tämän oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on demokraattisessa yhteiskunnassa
välttämätöntä kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden
estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.”
4       EY 95 artiklan 1 kohdan toisen virkkeen sanamuoto on seuraava:
”Neuvosto toteuttaa 251 artiklassa määrättyä menettelyä noudattaen ja talous- ja sosiaalikomiteaa kuultuaan sisämarkkinoiden
toteuttamista ja toimintaa koskevat toimenpiteet jäsenvaltioiden lakien, asetusten ja hallinnollisten määräysten lähentämiseksi.”
5       Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annettu
Euroopan parlamentin ja neuvoston direktiivi 95/46/EY (EYVL L 281, s. 31), sellaisena kuin se on muutettuna EY:n perustamissopimuksen
251 artiklassa määrätyn menettelyn mukaisissa säädöksissä säädetyn täytäntöönpanovallan käytössä komissiota avustavia komiteoita
koskevien sääntöjen mukauttamisesta neuvoston päätökseen 1999/468/EY 29 päivänä syyskuuta 2003 annetulla Euroopan parlamentin
ja neuvoston asetuksella (EY) N:o 1882/2003 (EUVL L 284, s. 1; jäljempänä direktiivi), annettiin EY:n perustamissopimuksen
100 a artiklan (josta on muutettuna tullut EY 95 artikla) nojalla.
6       Direktiivin johdanto-osan 11 perustelukappaleessa todetaan, että ”tähän direktiiviin sisältyvissä periaatteissa yksilöiden
oikeuksien ja vapauksien suojasta, erityisesti yksityisyyttä koskevan oikeuden suojasta, täsmennetään ja laajennetaan 28 päivänä
tammikuuta 1981 allekirjoitettuun Euroopan neuvoston yleissopimukseen yksilöiden suojelusta henkilötietojen automaattisessa
tietojenkäsittelyssä kuuluvia periaatteita”.
7       Direktiivin johdanto-osan 13 perustelukappaleessa todetaan seuraavaa:
”Euroopan unionista tehdyn sopimuksen V ja VI osastossa tarkoitetut yleistä turvallisuutta, puolustusta, valtion turvallisuutta
ja valtion toimintaa rikosoikeuden alalla koskevat toimet eivät kuulu yhteisön oikeuden soveltamisalaan, edellä sanotun kuitenkaan
rajoittamatta jäsenvaltioille perustamissopimuksen 56 artiklan 2 kohdan, 57 artiklan ja 100 a artiklan mukaisesti kuuluvien
velvoitteiden täyttämistä – – .”
8       Direktiivin johdanto-osan 57 perustelukappaleessa todetaan seuraavaa:
”– – jos tietosuojan taso kolmannessa maassa ei ole riittävä, henkilötietojen siirto kyseiseen maahan on kiellettävä”.
9       Direktiivin 2 artiklassa säädetään seuraavaa:
”Tässä direktiivissä tarkoitetaan
a)      ’henkilötiedoilla’ kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja;
tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka
yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen
tekijän perusteella,
b)      ’henkilötietojen käsittelyllä’ (’käsittely’) kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan
henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen,
järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä
tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen,
– – .”
10     Direktiivin 3 artiklassa säädetään seuraavaa:
”Soveltamisala
1.      Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen
käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
2.      Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,
–       joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty
Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta,
puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion
turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,
– – .”
11     Direktiivin 6 artiklan 1 kohdassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että
– –
b)      henkilötiedot kerätään tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä myöhemmin saa käsitellä näiden tarkoitusten
kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia
varten ei pidetä yhteensopimattomana sillä edellytyksellä, että jäsenvaltiot toteuttavat tarpeelliset suojatoimet,
c)      henkilötiedot ovat asianmukaisia, olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä
myöhemmin käsitellään,
– –
e)      henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten
toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään. – – ”
12     Direktiivin 7 artiklassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,
– –
c)      jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi,
tai
– –
e)      jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka
kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan,
tai
f)      jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin
tämän intressin syrjäyttävät rekisteröidyn 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja
-vapaudet.”
13     Direktiivin 8 artiklan 5 kohdan ensimmäisessä alakohdassa säädetään seuraavaa:
”Rikoksiin, tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvää tietojenkäsittelyä voidaan suorittaa ainoastaan
julkisen viranomaisen valvonnassa tai, jos kansallisessa lainsäädännössä säädetään erityisistä tarpeellisista suojatoimista,
jäsenvaltion myöntämissä näiden suojatoimien kattamissa poikkeuksissa. Täydellistä rikosrekisteriä ei kuitenkaan saa pitää
kuin julkisen viranomaisen valvonnassa.”
14     Direktiivin 12 artiklassa säädetään seuraavaa:
”Jäsenvaltioiden on taattava rekisteröidylle oikeus saada rekisterinpitäjältä
a)      vapaasti, kohtuullisin väliajoin ja ilman aiheetonta viivytystä tai aiheettomia kustannuksia
–      vahvistus siitä, käsitelläänkö häntä koskevia tietoja vai ei, sekä vähintään tiedot käsittelyn tarkoituksista, käsiteltävistä
tietoryhmistä ja tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot luovutetaan,
–      käsiteltävät tiedot itselleen ymmärrettävässä muodossa sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot,
–      tiedot kyseessä olevien tietojen automaattiseen käsittelyyn liittyvästä logiikasta, ainakin 15 artiklan 1 kohdassa tarkoitettujen
automatisoitujen päätösten ollessa kyseessä;
b)      tapauskohtaisesti sellaiset tiedot oikaistuiksi, poistetuiksi tai suojatuiksi, joiden käsittely ei ole tämän direktiivin mukaista,
erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi;
c)      ilmoitus sivullisille, joille tietoja on luovutettu, kaikenlaisista b kohdan mukaisesti tehdyistä oikaisuista, poistamisista
tai suojaamisista, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa.”
15     Direktiivin 13 artiklan 1 kohdan sanamuoto on seuraava:
”Jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla pyritään rajoittamaan 6 artiklan 1 kohdassa, 10 artiklassa,
11 artiklan 1 kohdassa sekä 12 ja 21 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat
välttämättömiä, jotta varmistettaisiin
a)      valtion turvallisuus,
b)      puolustus,
c)      yleinen turvallisuus,
d)      rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta,
e)      jäsenvaltiolle tai Euroopan unionille tärkeä taloudellinen tai rahoituksellinen etu, myös rahaa, talousarviota ja verotusta
koskevissa asioissa,
f)      valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttämiseen c, d ja e alakohdassa
tarkoitetuissa tapauksissa,
g)      rekisteröidyn suojelu tai muiden oikeudet ja vapaudet.”
16     Direktiivin 22 artiklassa säädetään seuraavaa:
”Oikeuskeinot
Jäsenvaltioiden on säädettävä siitä, että kenellä tahansa henkilöllä on mahdollisuus käyttää oikeussuojakeinoa, jos kyseessä
olevaan käsittelyyn sovellettavien kansallisten säännösten mukaisesti hänelle kuuluvia oikeuksia loukataan, sanotun kuitenkaan
rajoittamatta sellaisen hallinnollisen keinon soveltamista, johon voidaan turvautua, muun muassa 28 artiklassa tarkoitetun
valvontaviranomaisen avulla, ennen asian vireillepanoa oikeudessa.”
17     Direktiivin 25 ja 26 artikla muodostavat henkilötietojen siirtoa kolmansiin valtioihin koskevan IV luvun.
18     Direktiivin 25 artiklassa, jonka otsikko on ”Periaatteet”, säädetään seuraavaa:
”1.      Jäsenvaltioiden on säädettävä siitä, että käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen henkilötietojen
siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso,
jollei tämän direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu.
2.      Kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään
liittyvien olosuhteiden osalta; erityisesti on otettava huomioon tietojen luonne, suunnitellun käsittelyn tai suunniteltujen
käsittelyjen tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa voimassa olevat yleiset
tai alakohtaiset oikeussäännöt sekä ammattisäännöt ja tässä maassa noudatettavat turvatoimet.
3.      Jäsenvaltioiden ja komission on informoitava toisiaan, jos ne arvioivat, että tietyssä kolmannessa maassa ei taata tietosuojan
riittävää tasoa 2 kohdan tarkoittamassa merkityksessä.
4.      Jos komissio 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti toteaa, että tietyssä kolmannessa maassa ei taata tietosuojan
riittävää tasoa tämän artiklan 2 kohdassa tarkoitetussa merkityksessä, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet
kyseiseen kolmanteen maahan kohdistuvien samanluonteisten siirtojen estämiseksi.
5.      Komissio aloittaa sopivalla hetkellä neuvottelut 4 kohdan mukaisesti tehdystä toteamuksesta aiheutuneen tilanteen korjaamiseksi.
6.      Komissio voi 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti todeta, että tietyssä kolmannessa maassa taataan tietosuojan
riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai
kansainvälisistä sitoumuksista, jotka on tehty erityisesti 5 kohdassa tarkoitettujen neuvottelujen yhteydessä henkilöiden
yksityiselämän ja perusoikeuksien ja -vapauksien turvaamiseksi.
Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.”
19     Direktiivin 26 artiklan, jonka otsikko on ”Poikkeukset”, 1 kohdassa säädetään seuraavaa:
”Poiketen siitä, mitä 25 artiklassa säädetään, ja jollei erityisissä tapauksissa sovellettavasta kansallisesta lainsäädännöstä
muuta johdu, jäsenvaltioiden on säädettävä siitä, että henkilötietojen siirto tai siirtojen sarja sellaiseen kolmanteen maahan,
jossa ei taata 25 artiklan 2 kohdassa tarkoitettua tietosuojan riittävää tasoa, voidaan suorittaa sillä edellytyksellä, että
a)      rekisteröity on yksiselitteisesti antanut suostumuksensa suunniteltuun siirtoon
tai
b)      siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöön panemiseksi tai sopimusta edeltävien toimenpiteiden
toteuttamiseksi rekisteröidyn pyynnöstä
tai
c)      siirto on tarpeen rekisterinpitäjän ja sivullisen välisen sopimuksen tekemiseksi tai täytäntöön panemiseksi rekisteröidyn
edun mukaisesti
tai
d)      siirto on tarpeen tai lain vaatima tärkeän yleisen edun turvaamiseksi tai oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi
tai
e)      siirto on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi
tai
f)      siirto tehdään julkisesta rekisteristä, joka on lakien ja asetusten säännösten mukaisesti yleisön käytettävissä tai kenen
tahansa sellaisen henkilön käytettävissä, joka voi esittää tiedonsaannille perustellun syyn, siltä osin kuin rekisterin käytettävissä
olemisen lailliset edellytykset täyttyvät kussakin yksittäisessä tapauksessa.”
20     Euroopan yhteisöjen komissio teki suojan riittävää tasoa koskevan päätöksen direktiivin ja erityisesti sen 25 artiklan 6 kohdan
perusteella.
21     Kyseisen päätöksen johdanto-osan 11 perustelukappaleessa todetaan seuraavaa:
”CBP [United States Bureau of Customs and Border Protection, Yhdysvaltojen tulli- ja rajavartiolaitos] käsittelee sille siirrettyjä
lentomatkustajien matkustajarekisteriin [Passenger Name Record, PNR] sisältyviä henkilötietoja noudattaen Yhdysvaltojen sisäisen
turvallisuuden ministeriön alaisen tulli- ja rajavartiolaitoksen (CBP) 11 päivänä toukokuuta 2004 vahvistamia sitoumuksia,
jäljempänä ’sitoumukset’, ja Yhdysvaltojen lainsäädäntöön sisältyviä ehtoja sitoumuksissa esitetyn mukaisesti.”
22     Saman päätöksen johdanto-osan 15 perustelukappaleen mukaan matkustajarekisteritietoja käytetään yksinomaan estämään ja torjumaan
terrorismia ja siihen liittyviä rikoksia, muita vakavia, luonteeltaan rajat ylittäviä rikoksia, mukaan lukien järjestäytynyt
rikollisuus, ja pakenemista pidätykseltä tai vankeudesta näiden rikosten johdosta.
23     Suojan riittävää tasoa koskevan päätöksen 1–4 artiklassa säädetään seuraavaa:
”1 artikla
Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamisen osalta Yhdysvaltojen tulli- ja rajavartiolaitoksen (United States Bureau
of Customs and Border Protection), jäljempänä ’CBP’, katsotaan tarjoavan liitteessä I olevien sitoumusten mukaisesti suojan
riittävän tason yhteisöstä siirrettäville matkustajarekisteritiedoille, jotka koskevat lentoliikennettä Yhdysvaltoihin tai
Yhdysvalloista.
2 artikla
Tämä päätös koskee CBP:n tarjoaman tietosuojan riittävyyttä suhteessa direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimusten
täyttymiseen, eikä sillä ole vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten
täytäntöönpanemiseksi vahvistettujen ehtojen tai rajoitusten soveltamiseen.
3 artikla
1.      Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä sen varmistamiseksi, että muiden
säännösten kuin direktiivin 95/46/EY 25 artiklan noudattamiseksi annettuja kansallisia säännöksiä noudatetaan, jäsenvaltioiden
toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttääkseen CBP:lle suunnatun tietojen siirron suojellakseen
yksityishenkilöitä näiden henkilötietojen käsittelyn osalta tapauksissa, joissa:
a)      toimivaltainen Yhdysvaltojen viranomainen on todennut, että CBP ei noudata sovellettavia tietosuojavaatimuksia; tai
b)      on erittäin todennäköistä, että liitteessä esitettyjä tietosuojavaatimuksia ei noudateta, ja on perusteltua aihetta olettaa,
että CBP ei parhaillaan tai jatkossa viipymättä toteuta vaadittavia toimenpiteitä asian ratkaisemiseksi, ja tiedonsiirron
jatkaminen aiheuttaisi välittömästi uhkaavan vakavan vaaran rekisteröidylle ja jäsenvaltion toimivaltaiset viranomaiset ovat
olosuhteisiin nähden kohtuullisessa määrin pyrkineet antamaan CBP:lle ilmoituksen ja tilaisuuden vastata siihen.
2.      Keskeytys lakkaa heti, kun tietosuojavaatimusten noudattaminen on varmistettu ja tästä on ilmoitettu asianomaisten jäsenvaltioiden
toimivaltaiselle viranomaiselle.
4 artikla
1.      Jäsenvaltiot ilmoittavat viipymättä komissiolle 3 artiklan nojalla toteutetuista toimenpiteistä.
2.      Jäsenvaltiot ja komissio tiedottavat toisilleen kaikista tietosuojavaatimusten muutoksista sekä tapauksista, joissa liitteessä
esitettyjen CBP:n tietosuojavaatimusten noudattamisesta vastuussa olevat elimet eivät pysty varmistamaan tietosuojavaatimusten
noudattamista.
3.      Jos 3 artiklan sekä tämän artiklan 1 ja 2 kohdan nojalla saadut tiedot osoittavat, että perusvaatimukset riittävästä suojasta
luonnollisille henkilöille eivät toteudu tai jos jokin liitteessä I esitettyjen CBP:n tietosuojavaatimusten noudattamisesta
vastuussa oleva elin ei tosiasiallisesti hoida tehtäväänsä, asiasta tiedotetaan CBP:lle ja tarvittaessa ryhdytään direktiivin
95/46/EY 31 artiklan 2 kohdassa tarkoitetun menettelyn mukaisiin toimenpiteisiin, joiden tarkoituksena on kumota tämä päätös
tai keskeyttää toistaiseksi sen soveltaminen.”
24     Päätöksen liitteenä olevassa ”Yhdysvaltojen sisäisen turvallisuuden ministeriön alaisen tulli- ja rajavartiolaitoksen (CBP)
sitoumuksissa” todetaan seuraavaa:
”Euroopan komission tukemiseksi sen aikomuksessa harjoittaa sille direktiivin 95/46/EY 25 artiklan 6 kohdassa siirrettyä täytäntöönpanovaltaa
ja päätöksen tekemiseksi siitä, että sisäisen turvallisuuden ministeriö [Department of Homeland Security] (DHS) [CBP] suojelee
riittävästi sellaisia [lentoyhtiöiden] siirrettäviä matkustajarekisteritietoja (PNR), jotka voivat kuulua kyseisen direktiivin
soveltamisalaan, CBP sitoutuu seuraavaan: – – .”
25     Nämä sitoumukset käsittävät 48 kohtaa, jotka on ryhmitelty seuraavien otsikoiden alle: ”Lakisääteinen valtuus hankkia PNR-tietoja”,
”PNR-tietojen käyttö CBP:ssä”, ”Tietoja koskevat vaatimukset”, ”Arkaluonteisten tietojen käsittely”, ”PNR-tietojen arviointimenetelmä”,
”PNR-tietojen säilytys”, ”CBP:n tietokonejärjestelmän turvallisuus”, ”Kuinka CBP käsittelee ja suojelee PNR-tietoja”, ”PNR-tietojen
luovuttaminen muille viranomaisille”, ”PNR-tiedoista ilmoittaminen ja niiden esittäminen rekisteröidylle itselleen sekä tietojen
oikaisumahdollisuus”, ”Sääntöjen noudattaminen”, ”Vastavuoroisuus”, ”Sitoumusten tarkistaminen ja voimassaolon päättyminen”
ja ”Ei yksityisoikeudellista oikeutta tai ennakkotapausta”.
26     Mainittujen sitoumusten joukossa ovat muun muassa seuraavat:
”1)      Yhdysvaltojen lain (title 49, United States Code, section 44909(c)(3)) ja sen täytäntöönpanosäännösten (title 19, Code of
Federal Regulations, section 122.49b) mukaisesti kaikkien matkustajaliikennettä Yhdysvalloista tai Yhdysvaltoihin harjoittavien
ulkomaisten lentoyhtiöiden on annettava CBP:lle (entinen U.S. Customs Service) sähköinen pääsy PNR-tietoihin siinä määrin,
kuin niitä on kerätty ja niitä säilytetään lentoyhtiön automaattisissa varausjärjestelmissä tai lähtöselvitysjärjestelmissä
(’varausjärjestelmissä’).
– –
3)      CBP käyttää PNR-tietoja ainoastaan estämään ja torjumaan 1) terrorismia ja siihen liittyviä rikoksia; 2) muita vakavia, luonteeltaan
rajat ylittäviä rikoksia, mukaan lukien järjestäytynyt rikollisuus; ja 3) pakenemista pidätykseltä tai vankeudesta edellä
mainittujen rikosten johdosta. PNR-tietojen käyttö näihin tarkoituksiin antaa CBP:lle mahdollisuuden keskittää resurssinsa
suurten riskien alalle ja siten helpottaa ja suojella vilpittömässä mielessä tapahtuvaa matkustamista.
4)      CBP:n vaatimat tietokentät ovat liitteessä A olevassa luettelossa. – –
– –
27)      CBP:n kanta lentoyhtiöistä saatuja PNR-tietoja koskevien tiedonvapauslain mukaisten pyyntöjen seurauksena olevien hallinnollisten
tai oikeudellisten menettelyiden osalta on, että kyseiset tiedostot on vapautettu tiedonvapauslain mukaisesta luovuttamisesta.
– –
29)      CBP toimittaa harkintansa mukaan PNR-tietoja muille terrorismin torjuntaan tai lainvalvontaan osallistuville viranomaisille,
mukaan lukien muiden valtioiden viranomaiset, ainoastaan tapauskohtaisesti 3 kohdassa yksilöityjen rikosten ehkäisemiseksi
ja estämiseksi. (Viranomaisiin, joiden kanssa CBP voi jakaa tällaisia tietoja, viitataan jatkossa ilmaisulla ’nimetyt viranomaiset’.)
30)      CBP harkitsee tarkkaan, ennen kuin se siirtää PNR-tietoja edellä mainittuihin tarkoituksiin. Se selvittää ensiksi, onko PNR-tietojen
toiselle nimetylle viranomaiselle luovuttamisen syy jokin hyväksytyistä tarkoituksista (ks. 29 kohta). Jos näin on, CBP määrittää,
onko kyseinen nimetty viranomainen vastuussa kyseisenlaisten rikosten estämisestä, tutkimisesta tai syytetoimista tai tähän
tarkoitukseen liittyvien sääntöjen tai säännösten täytäntöönpanosta tai soveltamisesta, kun CBP:llä on aihetta olettaa, että
lakia on rikottu tai saatetaan rikkoa. Tietojen luovuttamista puoltavia seikkoja on tarkasteltava kaikkien edellä esitettyjen
seikkojen valossa.
– –
35)      Mikään lauseke näissä sitoumuksissa ei estä PNR-tietojen käyttöä tai antamista rikosoikeudellisissa menettelyissä tai muissa
lain edellyttämissä tilanteissa. CBP ilmoittaa Euroopan komissiolle kaiken sellaisen lainsäädännön antamisesta Yhdysvalloissa,
joka käytännössä vaikuttaa näissä sitoumuksissa vahvistettuihin lausekkeisiin.
– –
46)      Näitä sitoumuksia sovelletaan kolmen vuoden ja kuuden kuukauden (3,5 vuoden) ajan alkaen päivästä, jona Yhdysvaltojen ja Euroopan
yhteisön sopimus, jolla lentoyhtiöt valtuutetaan käsittelemään PNR-tietoja niiden siirtämiseksi CBP:lle direktiivin 95/46/EY
mukaisesti, tulee voimaan. – –
47)      Nämä sitoumukset eivät luo tai anna millekään yksityiselle tai julkiselle henkilölle tai osapuolelle oikeuksia tai etuja.
– – .”
27     Sitoumusten liitteessä A mainitaan ”PNR-tiedot”, joita CBP edellyttää lentoyhtiöiltä. Mainittuihin tietoihin kuuluvat muun
muassa ”PNR-tiedoston kirjauskoodi”, varauspäivä, nimi, osoite, maksutapaa koskevat tiedot, puhelinnumerot, matkatoimisto,
matkustajan ”matkastatus” (travel status of passenger), sähköpostiosoite, yleiset huomautukset, istumapaikan numero, tieto
siitä, että matkustaja on viime hetkellä jäänyt pois lennolta, ja mahdollisesti kerätyt ”APIS-tiedot”.
28     Neuvoston päätös 2004/496 perustui erityisesti EY 95 artiklaan yhdessä EY 300 artiklan 2 kohdan ensimmäisen alakohdan ensimmäisen
virkkeen kanssa.
29     Kyseisen päätöksen johdanto-osan kolmessa perustelukappaleessa todetaan seuraavaa:
”(1)      Neuvosto valtuutti komission 23 päivänä helmikuuta 2004 neuvottelemaan yhteisön puolesta sopimuksen Amerikan yhdysvaltojen
kanssa lentoyhtiöiden PNR-tietojen käsittelemisestä ja siirtämisestä Yhdysvaltojen sisäisen turvallisuuden ministeriön alaiselle
tulli- ja rajavalvontalaitokselle.
(2)      Euroopan parlamentti ei ole antanut lausuntoa määräajassa, jonka neuvosto asetti perustamissopimuksen 300 artiklan 3 kohdan
ensimmäisen alakohdan mukaisesti lentoyhtiöiden ja matkustajien epävarman tilanteen korjaamiseksi kiireellisesti sekä asianomaisten
tahojen taloudellisten etujen suojaamiseksi.
(3)      Tämä sopimus olisi hyväksyttävä.”
30     Päätöksen 2004/496 1 artiklassa säädetään seuraavaa:
”Hyväksytään yhteisön puolesta lentoyhtiöiden PNR-tietojen käsittelemistä ja siirtämistä Yhdysvaltojen sisäisen turvallisuuden
ministeriön alaiselle tulli- ja rajavalvontalaitokselle koskeva Euroopan yhteisön ja Amerikan yhdysvaltojen välinen sopimus.
Sopimuksen teksti on tämän päätöksen liitteenä.”
31     Mainitussa sopimuksessa (jäljempänä sopimus) määrätään seuraavaa:
”EUROOPAN YHTEISÖ JA AMERIKAN YHDYSVALLAT, jotka
tunnustavat, että on tärkeää kunnioittaa perusoikeuksia ja -vapauksia sekä erityisesti yksityisyydensuojaa ja että on tärkeää
kunnioittaa näitä arvoja, samalla kun estetään ja torjutaan terrorismia ja siihen liittyvää rikollisuutta sekä muita valtioiden
rajat ylittäviä vakavia rikoksia, myös järjestäytynyttä rikollisuutta;
ottavat huomioon Yhdysvaltojen lait ja määräykset, joiden nojalla kaikkien kansainvälistä henkilöliikennettä Yhdysvaltoihin
tai Yhdysvalloista harjoittavien lentoyhtiöiden on annettava sisäisen turvallisuuden ministeriön, jäljempänä ’DHS’, alaiselle
’CBP:lle’ sähköinen yhteys kyseisen lentoyhtiön automaattisiin varaus- ja lähtöselvitysjärjestelmiin kerättyihin ja tallennettuihin
[PNR-tietoihin];
ottavat huomioon – – direktiivin 95/46/EY ja erityisesti sen 7 artiklan c alakohdan;
ottavat huomioon CBP:n 11 päivänä toukokuuta 2004 antamat sitoumukset, jotka julkaistaan Yhdysvaltojen virallisessa lehdessä,
jäljempänä ’sitoumukset’;
ottavat huomioon direktiivin 95/46/EY 25 artiklan 6 kohdan nojalla 14 päivänä toukokuuta 2004 tehdyn komission päätöksen 2004/535/EY
jäljempänä ’päätös’, jolla CBP:n todetaan tarjoavan riittävän suojan liitteessä olevien sitoumusten mukaisesti Euroopan yhteisöstä,
jäljempänä ’yhteisö’, toimitettaville PNR-tiedoille, jotka koskevat Yhdysvaltoihin saapuvia tai sieltä lähteviä lentoja;
panevat merkille, että lentoyhtiöiden, joilla on Euroopan yhteisön jäsenvaltioiden alueella sijaitsevia varaus- ja lähtöselvitysjärjestelmiä,
olisi aloitettava PNR-tietojen toimittaminen CBP:lle heti, kun se on teknisesti mahdollista, mutta siihen asti Yhdysvaltojen
viranomaisilla olisi oltava suora pääsy näihin tietoihin tämän sopimuksen määräysten mukaisesti;
– –
ovat sopineet seuraavaa:
1.       CBP:llä on sähköinen pääsy lentoyhtiöiden Euroopan yhteisön jäsenvaltioiden alueella sijaitsevissa varaus- ja lähtöselvitysjärjestelmissä,
jäljempänä ’varausjärjestelmät’, oleviin PNR-tietoihin ainoastaan päätöksen mukaisesti ja ainoastaan niin kauan kuin päätös
on voimassa ja siihen saakka kun käytössä on tyydyttävä järjestelmä, jolla lentoyhtiöt voivat toimittaa nämä tiedot.
[Englanninkielisen version sanamuoto on seuraava: ”CBP may electronically access the PNR data from air carriers reservation/departure
control systems (’reservation systems’) located within the territory of the Member State of the European Community strictly
in accordance with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system
in place allowing for transmission of such data by the air carriers.”]
2.       Kansainvälistä henkilöliikennettä Yhdysvalloista tai Yhdysvaltoihin harjoittavien lentoyhtiöiden on käsiteltävä automaattisiin
varausjärjestelmiinsä tallennettuja PNR-tietoja vain päätöksen mukaisesti ja tavalla, jota CBP edellyttää Yhdysvaltojen lainsäädännön
nojalla, sekä ainoastaan niin kauan kuin päätös on voimassa.
3.       CBP panee merkille päätöksen ja toteaa, että [se panee täytäntöön päätöksen] liitteenä olevat sitoumukset.
4.       CBP käsittelee saamansa PNR-tiedot ja kohtelee niiden koskemia henkilöitä voimassa olevan Yhdysvaltojen lainsäädännön ja perustuslain
säännösten mukaisesti ilman erityisesti kansallisuuteen ja asuinmaahan perustuvaa syrjintää.
– –
7.      Tämä sopimus tulee voimaan, kun se allekirjoitetaan. Kumpikin osapuoli voi milloin tahansa päättää tämän sopimuksen voimassaolon
ilmoittamalla asiasta diplomaattisia kanavia käyttäen. Sopimuksen päättäminen tulee voimaan yhdeksänkymmenen (90) päivän kuluttua
päivästä, jona sopimuksen päättämisestä on ilmoitettu toiselle osapuolelle. Tätä sopimusta voidaan muuttaa milloin tahansa
keskinäisellä kirjallisella sopimuksella.
8.       Tällä sopimuksella ei ole tarkoitus poiketa osapuolten lainsäädännöstä eikä muuttaa sitä. Tällä sopimuksella ei luoda tai
myönnetä millekään yksityiselle tai julkiselle henkilölle tai osapuolelle minkäänlaisia oikeuksia tai etuja.”
32     Tämän sopimuksen voimaantulopäivästä annetun neuvoston ilmoituksen (EUVL 2004, C 158, s. 1) mukaan kyseinen sopimus, jonka
neuvoston puheenjohtajana toimivan valtion edustaja ja Amerikan yhdysvaltojen sisäisen turvallisuuden ministeri allekirjoittivat
Washingtonissa 28.5.2004, tuli sen 7 kohdan mukaisesti voimaan allekirjoituspäivänä.

Asioiden tausta
33     Yhdysvalloissa hyväksyttiin 11.9.2001 tapahtuneiden terroristi-iskujen jälkeen saman vuoden marraskuussa lainsäädäntö, jonka
mukaan lentoyhtiöiden, jotka harjoittivat lentoliikennettä Yhdysvalloista tai Yhdysvaltoihin taikka sen alueen kautta, oli
annettava Yhdysvaltojen tulliviranomaisille sähköinen pääsy tietoihin, jotka sisältyvät niiden automaattisiin varaus- ja valvontajärjestelmiin
ja joista käytetään nimitystä ”Passenger Name Records” (jäljempänä PNR-tiedot). Samalla kun komissio tunnusti, että kyseessä
olevat turvallisuusintressit olivat oikeutettuja, se ilmoitti Yhdysvaltojen viranomaisille jo kesäkuussa 2002, että kyseiset
säännökset saattoivat olla ristiriidassa tietosuojaa koskevan yhteisön ja jäsenvaltioiden lainsäädännön kanssa sekä tietokonepohjaisten
paikanvarausjärjestelmien käyttöä koskevista käyttäytymissäännöistä 24 päivänä heinäkuuta 1989 annetun neuvoston asetuksen
(ETY) N:o 2299/89 (EYVL L 220, s. 1), sellaisena kuin se on muutettuna 8.2.1999 annetulla neuvoston asetuksella (EY) N:o 323/1999
(EYVL L 40, s. 1), tiettyjen säännösten kanssa. Yhdysvaltojen viranomaiset lykkäsivät uusien säännösten voimaantuloa mutta
kieltäytyivät lopullisesti luopumasta sanktioiden asettamisesta lentoyhtiöille, jotka eivät noudata sähköistä pääsyä PNR-tietoihin
koskevaa lainsäädäntöä 5.3.2003 jälkeen. Tästä ajankohdasta lähtien useat Euroopan unionin suuret lentoyhtiöt ovat tarjonneet
mainituille viranomaisille pääsyn PNR-tietoihinsa.
34     Komissio aloitti Yhdysvaltojen viranomaisten kanssa neuvottelut, jotka johtivat CBP:n antamia sitoumuksia (”undertakings”)
sisältävän asiakirjan laatimiseen silmällä pitäen direktiivin 25 artiklan 6 kohdan nojalla tehtävää suojan riittävää tasoa
koskevaa komission päätöstä.
35     Direktiivin 29 artiklan mukaisesti perustettu tietosuojatyöryhmä antoi 13.6.2003 lausuntonsa, jossa se esitti epäilyjä kyseisillä
sitoumuksilla taatusta suojan tasosta suunniteltujen tietojen käsittelyjen osalta. Se toisti nämä epäilynsä 29.1.2004 päivätyssä
toisessa lausunnossa.
36     Komissio saattoi 1.3.2004 parlamentin käsiteltäväksi luonnoksen direktiivin 25 artiklan 6 kohdan nojalla tehtäväksi suojan
riittävää tasoa koskevaksi päätökseksi, jonka liitteenä oli luonnos CBP:n sitoumuksiksi.
37     Parlamentin kuulemiseksi EY 300 artiklan 3 kohdan ensimmäisen alakohdan mukaisesti komissio toimitti 17.3.2004 parlamentille
ehdotuksen neuvoston päätökseksi sopimuksen tekemisestä Yhdysvaltojen kanssa. Neuvosto pyysi 25.3.2004 päivätyssä kirjeessään
kiireellisyysmenettelyyn viitaten parlamentin lausuntoa tästä ehdotuksesta viimeistään 22.4.2004 mennessä. Tässä kirjeessään
neuvosto korosti, että ”terrorismin torjunta, joka oikeuttaa ehdotetut toimenpiteet, on Euroopan unionin tärkeä tavoite[,
että] tällä hetkellä lentoyhtiöt ja matkustajat ovat epävarmassa tilanteessa, joka on korjattava välittömästi [ja että] lisäksi
on tärkeää suojella asianomaisten tahojen taloudellisia etuja”.
38     Parlamentti hyväksyi 31.3.2004 menettelystä komissiolle siirrettyä täytäntöönpanovaltaa käytettäessä 28 päivänä kesäkuuta
1999 tehdyn neuvoston päätöksen 1999/468/EY (EYVL L 184, s. 23) 8 artiklan mukaisesti päätöslauselman, jossa esitettiin tiettyjä
oikeudellisia varauksia sille annetun ehdotuksen suhteen. Tässä päätöslauselmassa parlamentti katsoi erityisesti, että luonnoksessa
suojan riittävää tasoa koskevaksi päätökseksi ylitettiin direktiivin 25 artiklalla komissiolle annettu toimivalta. Se vaati
sellaisen asianmukaisen kansainvälisen sopimuksen tekemistä, jossa kunnioitetaan perusoikeuksia mainitussa päätöslauselmassa
täsmennettyjen tiettyjen kohtien osalta, ja pyysi komissiota esittämään sille uuden päätösluonnoksen. Lisäksi se varasi itselleen
oikeuden pyytää yhteisöjen tuomioistuinta tutkimaan suunnitellun kansainvälisen sopimuksen laillisuuden ja erityisesti sen
yhteensoveltuvuuden yksityisyyttä koskevan oikeuden suojan kanssa.
39     Parlamentti vahvisti 21.4.2004 puhemiehensä kehotuksesta oikeudellisten ja sisämarkkina-asioiden valiokunnan suosituksen,
jonka sisältö oli se, että yhteisöjen tuomioistuimelta pyydetään EY 300 artiklan 6 kohdan mukaisesti lausunto siitä, oliko
suunniteltu sopimus sopusoinnussa perustamissopimuksen määräysten kanssa. Tämä menettely aloitettiin samana päivänä.
40     Parlamentti päätti lisäksi samana päivänä neuvoston päätösehdotusta koskevan kertomuksen lähettämisestä valiokuntaan ja hylkäsi
siis tässä vaiheessa implisiittisesti neuvoston 25.3.2004 päivätyn, mainitun ehdotuksen kiireellistä käsittelyä koskevan pyynnön.
41     Neuvosto nojautui EY 300 artiklan 3 kohdan ensimmäiseen alakohtaan ja lähetti 28.4.2004 parlamentille kirjeen, jossa se pyysi,
että parlamentti antaa ennen 5.5.2004 lausuntonsa päätösehdotuksesta sopimuksen tekemiseksi. Neuvosto toisti kirjeessään 25.3.2004
päivätyssä kirjeessään mainitut syyt, joilla perusteltiin tämän pyynnön kiireellisyys.
42     Todettuaan, ettei neuvoston päätösehdotuksen kaikkia kieliversioita ollut edelleenkään käytettävissä, parlamentti hylkäsi
4.5.2004 kyseisen ehdotuksen kiireellistä käsittelyä koskevan pyynnön, jonka neuvosto oli sille esittänyt 28.4.2004.
43     Komissio teki 14.5.2004 suojan riittävää tasoa koskevan päätöksen, joka on asian C-318/04 kohteena. Neuvosto teki 17.5.2004
päätöksen 2004/496, joka on asian C-317/04 kohteena.
44     Neuvoston puheenjohtajana toimiva valtio ilmoitti parlamentille 4.6.2004 päivätyllä kirjeellä, että päätöksessä 2004/496 otettiin
huomioon sekä terrorismin torjunta – joka on unionille ensisijainen tavoite – että tarve vastata lentoyhtiöiden oikeudellisesti
epävarmaan tilanteeseen ja tarve suojata niiden taloudellisia etuja.
45     Parlamentti ilmoitti 9.7.2004 päivätyllä kirjeellä yhteisöjen tuomioistuimelle numerolla 1/04 rekisteröidyn lausuntopyyntönsä
peruuttamisesta.
46     Asiassa C-317/04 yhteisöjen tuomioistuimen presidentin 18.11.2004 ja 18.1.2005 antamilla määräyksillä komissio ja Ison-Britannian
ja Pohjois-Irlannin yhdistynyt kuningaskunta hyväksyttiin väliintulijoiksi tukemaan neuvoston vaatimuksia.
47     Asiassa C-318/04 yhteisöjen tuomioistuimen presidentin 17.12.2004 antamalla määräyksellä Yhdistynyt kuningaskunta hyväksyttiin
väliintulijaksi tukemaan komission vaatimuksia.
48     Yhteisöjen tuomioistuimen 17.3.2005 antamilla määräyksillä Euroopan tietosuojavaltuutettu hyväksyttiin väliintulijaksi tukemaan
parlamentin vaatimuksia näissä kahdessa asiassa.
49     Koska nämä kaksi asiaa liittyvät toisiinsa, mikä vahvistettiin suullisessa käsittelyssä, ne on syytä yhdistää tuomion antamista
varten työjärjestyksen 43 artiklan mukaisesti.

Kanne asiassa C-318/04
50     Parlamentti vetoaa neljään kanneperusteeseen, jotka koskevat toimivallan ylittämistä, direktiivin keskeisten periaatteiden
loukkaamista, perusoikeuksien loukkaamista ja suhteellisuusperiaatteen loukkaamista.

Ensimmäisen kanneperusteen ensimmäinen osa, joka koskee direktiivin 3 artiklan 2 kohdan ensimmäisen luetelmakohdan rikkomista
Asianosaisten ja väliintulijoiden lausumat
51     Parlamentti väittää, että komission päätös tehtiin ultra vires (ilman toimivaltaa), koska direktiivin säännöksiä ei noudatettu
ja koska erityisesti direktiivin 3 artiklan 2 kohdan ensimmäistä luetelmakohtaa, joka liittyy sellaisten toimintojen poissulkemiseen,
jotka eivät kuulu yhteisön oikeuden soveltamisalaan, rikottiin.
52     Parlamentin mukaan on selvää, että sen jälkeen kun PNR-tiedot on siirretty suojan riittävää tasoa koskevassa päätöksessä tarkoitetulle
Yhdysvaltain viranomaiselle, niiden käsittelyssä on kyse asiassa C-101/01, Lindqvist, 6.11.2003 annetun tuomion (Kok. 2003,
s. I-12971) 43 kohdassa tarkoitetuista valtiolle tyypillisistä toiminnoista.
53     Komissio, jota Yhdistynyt kuningaskunta tukee, arvioi, että lentoyhtiöiden toiminnot kuuluvat selvästi yhteisön oikeuden soveltamisalaan.
Se väittää, että nämä yksityiset toimijat käsittelevät PNR-tietoja yhteisössä ja järjestävät kyseisten tietojen siirron kolmanteen
valtioon. Komission mukaan kyse on siis toiminnoista, jotka kuuluvat yksityisille oikeussubjekteille, eikä jäsenvaltion, jossa
kyseessä olevat lentoyhtiöt toimivat, tai sen julkishallinnon toiminnoista, kuten yhteisöjen tuomioistuin on asian määritellyt
edellä mainitussa asiassa Lindqvist antamansa tuomion 43 kohdassa. Lentoyhtiöiden tavoitteena PNR-tietojen käsittelyssä on
ainoastaan noudattaa yhteisön oikeuden vaatimuksia, sopimuksen 2 kohdassa mainittu velvollisuus mukaan lukien. Direktiivin
3 artiklan 2 kohdassa viitataan komission mukaan viranomaisten toimintoihin, jotka eivät kuulu yhteisön oikeuden soveltamisalaan.
Yhteisöjen tuomioistuimen arviointi asiasta
54     Direktiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa suljetaan tämän direktiivin soveltamisalan ulkopuolelle henkilötietojen
käsittely, joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta
on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä
turvallisuutta, puolustusta, valtion turvallisuutta ja rikosoikeuden alalla tapahtuvaa valtion toimintaa.
55     Suojan riittävää tasoa koskeva päätös koskee ainoastaan CBP:lle siirrettyjä PNR-tietoja. Tämän päätöksen johdanto-osan kuudennesta
perustelukappaleesta ilmenee, että näitä siirtoja koskevat vaatimukset perustuvat Yhdysvaltojen marraskuussa 2001 antamaan
säädökseen ja CBP:n kyseisen säädöksen nojalla hyväksymiin soveltamismääräyksiin. Mainitun päätöksen johdanto-osan seitsemännen
perustelukappaleen mukaan kyseinen Yhdysvaltojen lainsäädäntö koskee turvallisuuden parantamista ja henkilöiden maahantulon
ja maasta poistumisen ehtoja. Kahdeksannen perustelukappaleen mukaan yhteisö on täysin sitoutunut tukemaan Yhdysvaltoja terrorismin
torjunnassa yhteisön lainsäädännön asettamissa rajoissa. Tämän saman päätöksen johdanto-osan 15 perustelukappaleessa todetaan,
että PNR-tietoja käytetään yksinomaan estämään ja torjumaan terrorismia ja siihen liittyviä rikoksia, muita vakavia, luonteeltaan
rajat ylittäviä rikoksia, mukaan lukien järjestäytynyt rikollisuus, ja pakenemista pidätykseltä tai vankeudesta näiden rikosten
johdosta.
56     Tästä seuraa, että PNR-tietojen siirto CBP:lle on käsittelyä, joka koskee yleistä turvallisuutta ja rikosoikeuden alalla tapahtuvaa
valtion toimintaa.
57     Vaikka on oikein katsoa, että lentoyhtiöt ovat alun perin keränneet PNR-tiedot yhteisön oikeuden alaan kuuluvan toiminnan
eli palveluun oikeuttavien lentolippujen myynnin yhteydessä, tietojen käsittely, joka on otettu huomioon suojan riittävää
tasoa koskevassa päätöksessä, on kuitenkin luonteeltaan aivan toisenlaista. Tämä päätös ei nimittäin koske, kuten tämän tuomion
55 kohdassa muistutettiin, tietojen käsittelyä, joka on tarpeen palvelujen tarjoamiseksi, vaan se koskee tietojen käsittelyä,
jota pidetään tarpeellisena yleisen turvallisuuden suojelemiseksi ja lainvalvontatarkoituksia varten.
58     Edellä mainitussa asiassa Lindqvist annetun tuomion 43 kohdassa, johon komissio on vedonnut puolustuksessaan, yhteisöjen tuomioistuin
totesi, että direktiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa esimerkkeinä mainitut toiminnat ovat kaikki valtiolle
tai valtion viranomaisille tyypillisiä toimintoja, jotka eivät liity yksityisten henkilöiden toiminta-aloihin. Tästä ei kuitenkaan
seuraa, että siitä syystä, että yksityiset toimijat ovat keränneet PNR-tiedot kaupalliseen tarkoitukseen ja että ne järjestävät
kyseisten tietojen siirron kolmanteen valtioon, kyseessä oleva siirto ei kuuluisi tämän säännöksen soveltamisalaan. Tämä siirto
nimittäin tapahtuu julkishallinnon asettamissa puitteissa, jotka liittyvät yleiseen turvallisuuteen.
59     Edellä esitetystä seuraa, että suojan riittävää tasoa koskeva päätös koskee direktiivin 3 artiklan 2 kohdan ensimmäisessä
luetelmakohdassa tarkoitettua henkilötietojen käsittelyä. Tämä päätös ei siis kuulu direktiivin soveltamisalaan.
60     Näin ollen ensimmäisen kanneperusteen ensimmäinen osa, joka koskee direktiivin 3 artiklan 2 kohdan ensimmäisen luetelmakohdan
rikkomista, on perusteltu.
61     Tästä seuraa, että suojan riittävää tasoa koskeva päätös on kumottava, eikä ensimmäisen kanneperusteen muita osia tai parlamentin
muita kanneperusteita ole tarpeellista tutkia.

Kanne asiassa C-317/04
62     Parlamentti vetoaa kuuteen kanneperusteeseen, jotka koskevat sitä, että EY 95 artikla on virheellisesti valittu päätöksen
2004/496 oikeudelliseksi perustaksi, että EY 300 artiklan 3 kohdan toista alakohtaa ja Euroopan ihmisoikeussopimuksen 8 artiklaa
on rikottu ja että suhteellisuusperiaatetta, perusteluvaatimusta koskevaa periaatetta ja lojaalia yhteistyötä koskevaa periaatetta
on loukattu.

Ensimmäinen kanneperuste, joka koskee sitä, että EY 95 artikla on virheellisesti valittu päätöksen 2004/496 oikeudelliseksi
perustaksi
Asianosaisten ja väliintulijoiden lausumat
63     Parlamentti väittää, että EY 95 artikla ei ole asianmukainen oikeudellinen perusta päätökselle 2004/496. Parlamentin mukaan
kyseisen päätöksen päämääränä ja sisältönä ei ole sisämarkkinoiden toteuttaminen ja toiminta niin, että edistettäisiin palvelujen
vapaan tarjoamisen esteiden poistamista, eikä siihen sisälly säännöksiä, joilla tähdätään tällaisen päämäärän saavuttamiseen.
Kyseisen päätöksen tavoitteena on nimittäin pikemminkin laillistaa henkilötietojen käsittely, josta säädetään Yhdysvaltojen
lainsäädännössä. Lisäksi parlamentin mukaan EY 95 artikla ei voi olla yhteisön toimivallan perustana sopimuksen tekemisessä,
koska kyseinen sopimus koskee sellaisten tietojen käsittelyä, jotka on suljettu direktiivin soveltamisalan ulkopuolelle.
64     Neuvosto väittää, että direktiivin, joka on annettu pätevästi perustamissopimuksen 100 a artiklan perusteella, 25 artiklaan
sisältyy säännöksiä, joissa säädetään mahdollisuudesta siirtää henkilötietoja kolmanteen valtioon, jossa taataan tietosuojan
riittävä taso, ja tähän liittyy mahdollisuus aloittaa tarvittaessa neuvottelut, jotka johtavat siihen, että yhteisö tekee
sopimuksen kyseisen maan kanssa. Sopimus koskee neuvoston mukaan PNR-tietojen vapaata liikkuvuutta yhteisön ja Yhdysvaltojen
välillä edellytyksin, jotka ovat sopusoinnussa yksilöiden vapauksien ja perusoikeuksien, erityisesti yksityisyyttä koskevan
oikeuden kanssa. Sopimuksella pyritään poistamaan jäsenvaltioiden lentoyhtiöiden väliltä, sekä näiden ja kolmansien maiden
lentoyhtiöiden väliltä, kaikki kilpailun vääristymät, joita voi esiintyä Yhdysvaltojen vaatimusten vuoksi henkilöiden oikeuksien
ja vapauksien suojeluun liittyvistä syistä. Kansainvälistä henkilöliikennettä Yhdysvalloista tai Yhdysvaltoihin harjoittavien
jäsenvaltioiden lentoyhtiöiden väliset kilpailuolosuhteet olisivat voineet vääristyä siitä syystä, että ainoastaan tietyt
niistä olisivat sallineet Yhdysvaltojen viranomaisille pääsyn tietokantoihinsa. Sopimuksessa pyritään neuvoston mukaan siihen,
että kaikille kyseessä oleville lentoyhtiöille asetetaan yhdenmukaiset velvoitteet.
65     Komissio korostaa, että kyse on kansainvälisessä oikeudessa tarkoitetusta lakien välisestä ristiriidasta Yhdysvaltojen lakien
ja yhteisön lainsäädännön välillä sekä niiden yhteensovittamisen välttämättömyydestä. Se moittii parlamenttia, joka riitauttaa
sen, että EY 95 artikla voisi olla perustana päätökselle 2004/496, siitä, ettei tämä ole esittänyt, mikä olisi asianmukainen
oikeudellinen perusta. Komission mukaan mainittu artikla on kyseisen päätöksen ”luonnollinen” oikeudellinen perusta, koska
sopimus koskee henkilötietojen suojan ulkoista ulottuvuutta, kun kyseisiä tietoja siirretään yhteisön sisällä. Direktiivin
25 ja 26 artiklassa annetaan yhteisölle ulkoisen ulottuvuuden osalta yksinomainen toimivalta.
66     Lisäksi komissio korostaa, että lentoyhtiöt suorittavat näiden tietojen ensimmäisen käsittelyn kaupallisessa tarkoituksessa.
Komission mukaan ne eivät välty direktiivin vaikutukselta sen takia, että Yhdysvaltojen viranomaiset käyttävät näitä tietoja.
Yhteisöjen tuomioistuimen arviointi asiasta
67     EY 95 artikla, luettuna yhdessä direktiivin 25 artiklan kanssa, ei voi olla perusteena yhteisön toimivallalle sopimuksen tekemiseen.
68     Sopimus koskee nimittäin samaa tietojen siirtoa kuin suojan riittävää tasoa koskeva päätös ja siis tietojen käsittelyä, joka
on, kuten edellä todettiin, suljettu direktiivin soveltamisalan ulkopuolelle.
69     Näin ollen päätöstä 2004/496 ei voitu tehdä pätevästi EY 95 artiklan perusteella.
70     Kyseinen päätös on siis kumottava, eikä parlamentin muita kanneperusteita ole tarpeellista tutkia.

Tuomion vaikutusten rajaaminen
71     Sopimuksen 7 kohdasta ilmenee, että kumpikin osapuoli voi milloin tahansa päättää sopimuksen voimassaolon, ja sen päättäminen
tulee voimaan 90 päivän kuluttua päivästä, jona sopimuksen päättämisestä on ilmoitettu toiselle osapuolelle.
72     Sopimuksen 1 ja 2 kohdan mukaan CBP:n PNR-tietoihin pääsyä koskeva oikeus ja lentoyhtiöiden velvollisuus käsitellä kyseisiä
tietoja CBP:n pyynnön mukaisesti ovat kuitenkin voimassa ainoastaan niin kauan kuin suojan riittävää tasoa koskevaa päätöstä
sovelletaan. CBP on todennut tämän sopimuksen 3 kohdassa, että se panee täytäntöön mainitun päätöksen liitteenä olevat sitoumukset.
73     Kun otetaan huomioon yhtäältä se, ettei yhteisö voi vedota omaan oikeuteensa perusteena sille, ettei sopimusta, joka jää voimaan
90 päivän määräajaksi sen päättämisestä, panna täytäntöön, ja toisaalta se, että sopimuksen ja suojan riittävää tasoa koskevan
päätöksen välillä on suora yhteys, oikeusvarmuuteen liittyvistä syistä ja asianomaisten henkilöiden suojaamiseksi vaikuttaa
perustellulta, että suojan riittävää tasoa koskevan päätöksen vaikutukset pidetään voimassa tämän saman ajan. Lisäksi on otettava
huomioon määräaika, joka on tarpeen tämän tuomion täytäntöönpanemiseksi tarvittavien toimenpiteiden toteuttamiselle.
74     Suojan riittävää tasoa koskevan päätöksen vaikutukset on siis pidettävä voimassa 30.9.2006 saakka, mutta näitä vaikutuksia
ei kuitenkaan ole pidettävä voimassa sopimuksen voimassaolon lakkaamisajankohdan jälkeen.

Oikeudenkäyntikulut
75     Yhteisöjen tuomioistuimen työjärjestyksen 69 artiklan 2 kohdan mukaan asianosainen, joka häviää asian, velvoitetaan korvaamaan
oikeudenkäyntikulut. Koska parlamentti on vaatinut neuvoston ja komission velvoittamista korvaamaan oikeudenkäyntikulut ja
koska ne ovat hävinneet asian, neuvosto ja komissio on velvoitettava korvaamaan oikeudenkäyntikulut. Saman artiklan 4 kohdan
ensimmäisen alakohdan mukaisesti väliintulijat vastaavat esillä olevissa asioissa omista oikeudenkäyntikuluistaan.
Näillä perusteilla yhteisöjen tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
1)
Lentoyhtiöiden PNR-tietojen käsittelemistä ja siirtämistä Yhdysvaltojen sisäisen turvallisuuden ministeriön alaiselle tulli-
ja rajavalvontalaitokselle koskevan Euroopan yhteisön ja Amerikan yhdysvaltojen välisen sopimuksen tekemisestä 17 päivänä
toukokuuta 2004 tehty neuvoston päätös 2004/496/EY ja Yhdysvaltojen tulli- ja rajavartiolaitokselle toimitettavien lentomatkustajia
koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta 14 päivänä toukokuuta 2004 tehty komission
päätös 2004/535/EY kumotaan.
2)
Päätöksen 2004/535 vaikutukset pidetään voimassa 30.9.2006 saakka, mutta näitä vaikutuksia ei kuitenkaan pidetä voimassa mainitun
sopimuksen voimassaolon lakkaamisajankohdan jälkeen.
3)
Euroopan unionin neuvosto velvoitetaan korvaamaan oikeudenkäyntikulut asiassa C-317/04.
4)
Euroopan yhteisöjen komissio velvoitetaan korvaamaan oikeudenkäyntikulut asiassa C-318/04.
5)
Euroopan yhteisöjen komissio vastaa omista oikeudenkäyntikuluistaan asiassa C-317/04.
6)
Ison-Britannian ja Pohjois-Irlannin yhdistynyt kuningaskunta sekä Euroopan tietosuojavaltuutettu vastaavat omista oikeudenkäyntikuluistaan.
Allekirjoitukset
*
Oikeudenkäyntikieli: ranska.