CELEX: 62004CJ0317
Az egyének védelme a személyes adatok feldolgozása vonatkozásában
Légi közlekedés
2004/496/EK határozat
Az Európai Unió és az Amerikai Egyesült Államok közötti megállapodás
Az Amerikai Egyesült Államok Vámügyi és Határvédelmi Irodája rendelkezésére bocsátott, a légiutasok utasnyilvántartási adatállományában tárolt személyes adatok
95/46/EK irányelv
25. cikk
Harmadik államok
2004/535/EK határozat
Megfelelő védelmi szint

A C‑317/04. sz. ügyben az Európai Parlament keresetlevelében az Európai Unió és az Egyesült Államok közötti, a PNR adatoknak
a légi szállítók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma Vámügyi és Határvédelmi Irodájának
történő továbbításáról szóló megállapodás megkötéséről szóló, 2004. május 17‑i 2004/496/EK tanácsi határozat (HL L 183., 83. o.;
helyesbítve: HL 2005. L 255., 168. o.) megsemmisítését kéri.
A C‑318/04. sz. ügyben a Parlament keresetlevelében az Egyesült Államok Vámügyi és Határvédelmi Irodája rendelkezésére bocsátott,
a légi utasok utasnyilvántartási adatállományában tárolt személyes adatok megfelelő védelméről szóló, 2004. május 14‑i 2004/535/EK
bizottsági határozat (HL L 235., 11. o., a továbbiakban: megfelelőségi határozat) megsemmisítését kéri.

Jogi háttér
Az emberi jogok és az alapvető szabadságok védelméről szóló, Rómában, 1950. november 4‑én kelt egyezmény (a továbbiakban:
EEJE) 8. cikke kimondja:
„1.      Mindenkinek joga van arra, hogy magán- és családi életét, lakását és levelezését tiszteletben tartsák.
2.      E jog gyakorlásába hatóság csak a törvényben meghatározott, olyan esetekben avatkozhat be, amikor az egy demokratikus társadalomban
a nemzetbiztonság, a közbiztonság vagy az ország gazdasági jóléte érdekében, zavargás vagy bűncselekmény megelőzése, a közegészség
vagy az erkölcsök védelme, avagy mások jogainak és szabadságainak védelme érdekében szükséges.”
Az EK 95. cikk (1) bekezdése második mondatának szövege a következő:
„A Tanács a 251. cikkben megállapított eljárásnak megfelelően és a Gazdasági és Szociális Bizottsággal folytatott konzultációt
követően elfogadja azokat a tagállamok törvényi, rendeleti és közigazgatási rendelkezéseinek közelítésére vonatkozó intézkedéseket,
amelyek tárgya a belső piac megteremtése és működése.”
A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október
24‑i 95/46/EK európai parlamenti és tanácsi irányelvnek (HL L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet,
355. o.) a Bizottságot az EK‑Szerződés 251. cikkében említett eljárásnak megfelelően elfogadott jogi aktusokban megállapított
végrehajtási hatásköreinek gyakorlása során segítő bizottságokkal kapcsolatos rendelkezéseknek az 1999/468/EK tanácsi határozathoz
történő hozzáigazításáról szóló, 2003. szeptember 29‑i 1882/2003/EK európai parlamenti és tanácsi rendelettel (HL L 284.,
1. o.; magyar nyelvű különkiadás 1. fejezet, 4. kötet, 447. o.) módosított szövegét (a továbbiakban: irányelv) az EK‑Szerződés
100a. cikke (jelenleg, módosítást követően EK 95. cikk) alapján fogadták el.
Ennek tizenegyedik preambulumbekezdése kimondja: „az egyének jogai és szabadságai védelmének elvei, különösen a magánélet
tiszteletben tartásához való jog védelmének elve, amelyeket ez az irányelv tartalmaz, tartalmat adnak és kiegészítik azokat,
amelyeket az Európa Tanács 1981. január 28‑i, az egyéneknek a személyes adataik gépi feldolgozása során való védelméről szóló
egyezménye tartalmaz”.
Az irányelv tizenharmadik preambulumbekezdése értelmében:
„[A]z Európai Unióról szóló szerződés V. és VI. címében említett, a közbiztonsággal, védelemmel, nemzetbiztonsággal kapcsolatos
tevékenységek, vagy az adott állam büntetőjog területén végzett tevékenységei kívül esnek a közösségi jogszabályok hatályán,
a tagállamokra az Európai Közösséget létrehozó szerződés 56. cikke (2) bekezdésének, 57. cikkének vagy 100a. cikkének értelmében
háruló kötelezettségek sérelme nélkül […]”.
Az irányelv ötvenhetedik preambulumbekezdése kimondja:
„[…] a személyes adatoknak a megfelelő védelmi szintet biztosítani nem tudó harmadik országokba irányuló továbbítását meg
kell tiltani”.
Az irányelv 2. cikke ekként rendelkezik:
„Ezen irányelv alkalmazásában:
a)      »személyes adat« az azonosított vagy azonosítható természetes személyre (»érintettre«) vonatkozó bármely információ; az azonosítható
személy olyan személy, aki közvetlen vagy közvetett módon azonosítható, különösen egy azonosító számra vagy a személy fizikai,
fiziológiai, szellemi, gazdasági, kulturális vagy társadalmi identitására vonatkozó egy vagy több tényezőre történő utalás
révén;
b)      »személyes adatok feldolgozása« (»feldolgozás«) a személyes adatokon automatikus vagy nem automatikus módon végzett bármely
művelet vagy műveletek összessége, azaz gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás vagy megváltoztatás, visszakeresés,
betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel révén, összehangolás
vagy összekapcsolás, zárolás, törlés, illetve megsemmisítés;
[…]”
Az irányelv 3. cikke értelmében:
„Hatály
(1)      Ezen irányelvet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon való feldolgozására, valamint
azoknak a személyes adatoknak a nem automatizált módon való feldolgozására, amelyek valamely nyilvántartási rendszer részét
képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.
(2)      Az irányelv nem alkalmazandó az alábbi személyesadat-feldolgozásokra:
–        a közösségi jog hatályán kívül eső tevékenységek, mint például az Európai Unióról szóló szerződés V. és VI. címeiben megállapítottak,
valamint a közbiztonsággal, a védelemmel, a nemzetbiztonsággal (beleértve az ország gazdasági jólétét is, ha a feldolgozási
művelet nemzetbiztonsági ügyre vonatkozik), továbbá a büntetőjog területén az állami tevékenységekkel kapcsolatos feldolgozási
műveletek,
[…]”
Az irányelv 6. cikkének (1) bekezdése kimondja:
„A tagállamok rendelkeznek arról, hogy a személyes adatok:
[…]
b)      gyűjtése csak meghatározott, egyértelmű és törvényes célból történhet, és további feldolgozása nem végezhető e célokkal összeférhetetlen
módon. A személyes adatok további feldolgozása történelmi, statisztikai vagy tudományos célokra nem tekintendő összeférhetetlennek,
amennyiben a tagállamok biztosítják a megfelelő garanciákat;
c)      gyűjtésük és/vagy további feldolgozásuk célja szempontjából megfelelőek, relevánsak és nem túlzott mértékűek;
[…]
e)      tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak az adatok gyűjtése vagy további feldolgozása
céljainak eléréséhez szükséges ideig teszi lehetővé. A tagállamok állapítják meg a személyes adatok történelmi, statisztikai
vagy tudományos célból, hosszabb ideig történő tárolásának megfelelő garanciáit.”
Az irányelv 7. cikke ekként rendelkezik:
„A tagállamok rendelkeznek arról, hogy a személyes adatok csak abban az esetben dolgozhatók fel, ha:
[…]
c)      az adatfeldolgozás az adatkezelőre vonatkozó jogi kötelezettségnek teljesítéséhez szükséges;
[…]
vagy
e)      az adatfeldolgozás közérdekből elvégzendő feladat végrehajtásához vagy az adatkezelőre, illetve az adatokról tudomást szerző
harmadik félre ruházott hivatali hatáskör gyakorlásához szükséges;
vagy
f)      az adatfeldolgozás az adatkezelő, vagy az adatokat megkapó harmadik fél, vagy felek jogszerű érdekének érvényesítéséhez szükséges,
kivéve, ha ezeknél az érdekeknél magasabb rendűek az érintettnek az 1. cikk (1) bekezdése értelmében védelmet élvező érdekei
az alapvető jogok és szabadságok tekintetében.”
Az irányelv 8. cikke (5) bekezdésének első albekezdése értelmében:
„A bűncselekményekre, büntetőítéletekre vagy biztonsági intézkedésekre vonatkozó adatok feldolgozása kizárólag a hatóság ellenőrzése
mellett történhet, vagy ha a nemzeti jog megfelelő külön biztosítékot nyújt, az olyan eltérésekre is figyelemmel, amelyet
a tagállamok a megfelelő külön biztosítékot nyújtó nemzeti rendelkezések alapján engedélyezhetnek. Mindazonáltal a büntetőítéletekről
teljes körű nyilvántartást csak a hatóság ellenőrzésével lehet vezetni.”
Az irányelv 12. cikke ekként rendelkezik:
„A tagállamoknak biztosítaniuk kell minden érintett számára a jogot, hogy az adatkezelőtől:
a)      korlátozás nélkül, ésszerű időközönként, túlzott késedelem vagy költség nélkül:
–        megerősítést kapjon arról, hogy rá vonatkozóan adatok feldolgozása folyamatban van‑e, továbbá, hogy információt kapjon legalább
az adatfeldolgozás céljáról, az érintett adatkategóriákról, a címzettekről vagy a címzettek kategóriáiról, akik felé az adatokat
továbbítják,
–        érthető formában értesítést kapjon az adatfeldolgozás alatt álló adatokról és azok forrásával kapcsolatos minden rendelkezésre
álló információról,
–        tájékoztatást kapjon a rá vonatkozó adatok automatizált feldolgozása során alkalmazott logikáról legalább a 15. cikk (1) bekezdésében
említett automatizált döntések esetében;
b)      az esettől függően kérje az olyan adatok helyesbítését, törlését vagy zárolását, amelyek feldolgozása nem felel meg ezen irányelv
rendelkezéseinek, különösen az ilyen adatok hiányos vagy hibás volta miatt;
c)      kérje az adatokról tudomást szerző harmadik felek értesítését a b) ponttal összhangban végzett minden helyesbítésről, törlésről
vagy zárolásról, hacsak ez lehetetlennek nem bizonyul, vagy aránytalanul nagy erőfeszítést nem igényel.”
Az irányelv 13. cikke (1) bekezdésének szövege a következő:
„A tagállamok jogszabályokat fogadhatnak el a 6. cikk (1) bekezdésében, a 10. cikkben, a 11. cikk (1) bekezdésében, valamint
a 12. és a 21. cikkben foglalt jogok és kötelezettségek körének korlátozására, amennyiben a korlátozás az alábbiak biztosításához
szükséges:
a)      nemzetbiztonság;
b)      honvédelem;
c)      közbiztonság;
d)      bűncselekmények vagy a szabályozott foglalkozások etikai vétségeinek megelőzése, vizsgálata, felderítése és az ezekkel kapcsolatos
eljárások lefolytatása;
e)      valamely tagállam vagy az Európai Unió fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az
adózási kérdéseket;
f)      a c), d) és e) pontban említett esetekben esetlegesen a hatósági feladatok gyakorlásához kapcsolódó ellenőrzési, felügyeleti
és szabályozási tevékenység;
g)      az érintett, vagy mások jogainak és szabadságainak védelme.”
Az irányelv 22. cikke ekként rendelkezik:
„Jogorvoslat
A jogszabályban esetlegesen előírt közigazgatási jogorvoslat sérelme nélkül, amelynek keretében többek között a 28. cikkben
meghatározott felügyelő hatósághoz lehet fordulni, a bíróság elé utalást megelőzően, a tagállamoknak biztosítaniuk kell mindenki
számára a jogorvoslathoz való jogot bármely olyan jogának megsértése esetén, amelyet a szóban forgó adatfeldolgozásra alkalmazandó
nemzeti jog biztosít számára.”
Az irányelv 25. és 26. cikke alkotja az irányelv személyes adatok harmadik országokba irányuló továbbításáról szóló IV. fejezetét.
Az „Elvek” című 25. cikk ekként rendelkezik:
„(1)      A tagállamoknak rendelkezniük kell arról, hogy a feldolgozásra kerülő vagy továbbítás után feldolgozásra szánt személyes adatok
csak akkor továbbíthatók harmadik országba, ha – az ezen irányelv egyéb rendelkezései értelmében elfogadott nemzeti rendelkezéseknek
való megfelelés sérelme nélkül – az adott harmadik ország megfelelő védelmi szintet tud biztosítani.
(2)      A harmadik ország által nyújtott védelem szintjének megfelelő mivoltát az adattovábbítási művelet vagy adattovábbítási műveletsorozat
feltételeinek figyelembevételével kell értékelni; különös figyelmet kell fordítani az adatok jellegére, a tervezett adatfeldolgozási
művelet vagy műveletek céljára és időtartamára, a kiindulási és a célországra, az adott harmadik országban hatályos, általános
és ágazati jogrendre, valamint az adott országban érvényesülő szakmai szabályokra és biztonsági intézkedésekre.
(3)      A tagállamok és a Bizottság értesítik egymást azokról az esetekről, amelyekben úgy vélik, hogy valamely harmadik ország nem
biztosít megfelelő védelmi szintet a (2) bekezdés értelmében.
(4)      Amennyiben a Bizottság megállapítja a 31. cikk (2) bekezdésében foglalt eljárás során, hogy valamely harmadik ország nem biztosít
megfelelő védelmi szintet ennek a cikknek a (2) bekezdése értelmében, a tagállamok megteszik a megfelelő intézkedéseket az
azonos típusú adatoknak a szóban forgó harmadik országba irányuló továbbításának megakadályozására.
(5)      A Bizottság megfelelő időben tárgyalásokat kezdeményez a (4) bekezdés szerinti megállapításból eredő helyzet megoldására.
(6)      A Bizottság a 31. cikk (2) bekezdésében említett eljárásnak megfelelően megállapíthatja, hogy a harmadik ország megfelelő
védelmi szintet biztosít e cikk (2) bekezdése értelmében, az egyének magánéletének, jogainak és szabadságainak védelmére vonatkozó
belföldi jog, vagy a vállalt nemzetközi kötelezettségek, különösen az (5) bekezdésben említett tárgyalások végeredménye alapján.
A tagállamok megtesznek minden szükséges intézkedést a Bizottság határozatának teljesítésére.”
Az irányelv „Eltérések” című 26. cikkének (1) bekezdése értelmében:
„A 25. cikktől eltérően, és amennyiben az adott esetre vonatkozó belföldi jogszabályok másképp nem rendelkeznek, a tagállamok
rendelkeznek arról, hogy a személyes adatok olyan harmadik országba irányuló továbbítása vagy továbbítás-sorozata, amely a
25. cikk (2) bekezdése értelmében nem biztosít megfelelő szintű védelmet, csak a következő feltételek mellett történhet:
a)      az érintett egyértelműen hozzájárulását adta a tervezett továbbításhoz;
vagy
b)      a továbbítás az érintett és az adatkezelő közötti szerződés teljesítéséhez, vagy az érintett kérelmére hozott, szerződést
megelőző intézkedések végrehajtásához szükséges;
vagy
c)      a továbbítás az adatkezelő és valamely harmadik fél közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez
szükséges;
vagy
d)      a továbbítás fontos közérdekből vagy jogi követelések létrejötte, érvényesítése vagy védelme miatt szükséges, illetve azt
jogszabály írja elő;
vagy
e)      a továbbítás az érintett létfontosságú érdekeinek védelme miatt szükséges;
vagy
f)      a továbbítást olyan nyilvántartásból végzik, amely a törvények vagy rendeletek értelmében a nyilvánosság tájékoztatását szolgálja,
és amely általában a nyilvánosság, vagy bármely jogos érdekét igazoló személy számára betekintés céljából rendelkezésre áll,
amennyiben a jogszabályok által a betekintésre megállapított feltételek az adott esetben teljesülnek.”
Az irányelv és különösen annak 25. cikke alapján az Európai Közösségek Bizottsága elfogadta a megfelelőségi határozatot.
E határozat tizenegyedik preambulumbekezdése kimondja:
„A CBP [United States Bureau of Customs and Border Protection (az Egyesült Államok Vámügyi és Határvédelmi Irodája)], a részére
továbbított, a légi utasok PNR-adatállományában [Passenger Name Record (utasnyilvántartási adatállomány)] szereplő személyes
adatok feldolgozását a
Department of Homeland Security, Bureau of Customs and Border Protection (CBP) 2004. május 11‑i Kötelezettségvállalásaiban
(a továbbiakban: »Kötelezettségvállalások«) és az Egyesült Államok nemzeti jogszabályaiban megállapított feltételek mellett
végzi a Kötelezettségvállalásokban meghatározottaknak megfelelően.”
Ugyanezen határozat tizenötödik preambulumbekezdése értelmében a PNR-adatokat kizárólag olyan célokra lehet felhasználni,
amelyek a terrorizmus és a kapcsolódó bűncselekmények, a transznacionális jelleget öltő egyéb súlyos bűncselekmények – beleértve
a szervezett bűnözést is –, illetve a fenti bűncselekmények miatt elrendelt letartóztatás, illetve kiadott elfogatóparancs
előli szökés megelőzését és ezek leküzdését szolgálják.
A megfelelőségi határozat 1–4. cikke értelmében:
„1. cikk
A 95/46/EK irányelv 25. cikke (2) bekezdésére tekintettel, az United States Bureau of Customs and Border Protection (CBP)
a mellékletben megállapított Kötelezettségvállalásokkal összhangban úgy tekintendő, mint amely a Közösség részéről történő,
az Egyesült Államokból érkező, illetve az oda tartó légijáratokra vonatkozó PNR-adatok továbbításához szükséges megfelelő
védelmi szintet biztosítja.
2. cikk
E határozat a CBP által biztosított védelem megfelelőségét érinti a 95/46/EK irányelv 25. cikke (1) bekezdése előírásainak
való megfelelés céljából és nem érinti az említett irányelv egyéb rendelkezéseit végrehajtó, a személyes adatok tagállamokon
belül történő feldolgozására vonatkozó egyéb feltételeket és korlátozásokat.
3. cikk
(1)      Azon hatáskörök sérelme nélkül, amelyek alapján a tagállamok illetékes hatóságai felléphetnek a 95/46/EK irányelv 25. cikkétől
eltérő rendelkezések szerint elfogadott nemzeti rendelkezéseknek betartása érdekében, a tagállamok illetékes hatóságai gyakorolhatják
a CBP felé történő adatáramlás felfüggesztésre vonatkozó már fennálló hatáskörüket abból a célból, hogy megvédjék a magánszemélyeket
személyes adataik feldolgozására való tekintettel a következő esetekben:
a)      amennyiben az Egyesült Államok egy illetékes hatósága megállapítja, hogy a CBP megsérti az alkalmazandó adatvédelmi követelményrendszert;
vagy
b)      amennyiben alaposan valószínűsíthető, hogy a mellékletben megállapított védelmi követelményrendszert megsértették, elfogadható
alapja van azon feltételezésnek, hogy a CBP nem teszi meg vagy nem fogja megtenni a szükséges és időszerű lépéseket annak
érdekében, hogy elintézze a szóban forgó ügyet, az adattovábbítás folytatása az érintett személy számára súlyos károk közvetlen
kockázatával jár és az illetékes tagállami szervek megtették az ésszerű erőfeszítéseket az adott viszonyok között annak érdekében,
hogy értesítsék a CBP-t és, hogy lehetőséget nyújtsanak neki a válaszadásra.
(2)      A felfüggesztésnek véget kell vetni, amint a biztonsági követelmények biztosítva vannak és az érintett tagállamok illetékes
hivatalát erről értesítették.
4. cikk
(1)      A tagállamok késedelem nélkül értesítik a Bizottságot, amennyiben a 3. cikk szerinti intézkedéseket hoznak.
(2)      A tagállamok és a Bizottság kölcsönösen értesítik egymást minden, az adatvédelmi követelményrendszerben beálló változásról
és azon esetekről, amelyekben a mellékletben megállapított, a CBP által felállított adatvédelmi követelményrendszernek való
megfelelés biztosításáért felelős illetékes szervek fellépése nem biztosítja e megfelelést.
(3)      Amennyiben a 3. cikk, illetve ugyanezen cikk (1) és (2) bekezdése értelmében begyűjtött információ bizonyítékul szolgál arra,
hogy a természetes személyek védelmének megfelelő szintjéhez szükséges alapelveket már nem tartják be, vagy hogy a mellékletben
megállapított, a CBP által felállított adatvédelmi követelményrendszernek való megfelelés biztosításáért felelős illetékes
szervek nem végzik eredményesen feladatukat, a CBP-t értesíteni kell, és amennyiben szükséges, a 95/46/EK rendelet [helyesen:
irányelv] 31. cikke (2) bekezdésében említett eljárást kell alkalmazni e határozat hatályon kívül helyezésére vagy felfüggesztésére.”
A megfelelőségi határozat mellékletét képező „[a] »Department of Homeland Security Bureau of Customs and Border Protection«
(CBP) kötelezettségvállalásai” kimondja:
„Az Európai Bizottság […] a 95/46/EK irányelv […] 25. cikke (6) bekezdésében ráruházott hatáskörök gyakorlására vonatkozó
szándékának megerősítéseként és a Department of Homeland Security Bureau of Customs and Border Protection-t (CBP) (Belbiztonsági
Minisztérium Vámügyi és Határvédelmi Hivatal) elismerő határozat elfogadásának érdekében – amely egy olyan szerv, mely megfelelő
védelmet biztosít az utasok légiszállításában az Irányelv alkalmazási körébe tartozó PNR-adatok […] továbbítására – a CBP
a következőket vállalja […]”
E kötelezettségvállalások 48 pontot tartalmaznak, melyek a következő címek alá csokortosulnak: „Jogalap a PNR-adatok megszerzésére”;
„A PNR-adatok CBP általi felhasználása”; „Kötelezően megadandó adatok”; „A »különleges« adatok kezelése”; „A PNR-adatokhoz
való hozzáférés”; „A PNR-adatok tárolása”; „A CBP számítógépes rendszerének biztonsága”; „A PNR-adatok CBP általi kezelése
és védelme”; „A PNR-adatok továbbítása más kormányzati szervekhez”; „Az érintett utasok tájékoztatáshoz, betekintéshez, felülvizsgálathoz
való joga”; „Megfelelési kérdések”; „Viszonosság elve”; „A Kötelezettségvállalások felülvizsgálata és határideje”; „Precedensérték,
illetve jogkeletkezés kizárása”.
E kötelezettségvállalások többek között a következők:
„1.      Törvényben foglalt jogállásuknál fogva (title 49, United States Code, section 44909(c)(3)) és ez utóbbi interim végrehajtó
rendelkezéseinek (19. cím, Code of Federal Regulations, 122.49b szakasz) értelmében minden légifuvarozó, aki nem belföldi
légiközlekedésben az Egyesült Államokból érkező vagy oda tartó utasszállító járat működtetésében érdekelt, köteles a CBP számára
(korábban a United States Customs Service számára) – olyan mértékben, ahogy az a légifuvarozók automatizált foglalási/indulási
ellenőrző rendszerében (»foglalási rendszerek«) összegyűjtésre került – a PNR-adatokhoz való elektronikus hozzáférést biztosítani.
[…]
3.      A PNR-adatokat a CBP kizárólag a következők megelőzésére és leküzdésére használja fel: 1. terrorizmus és kapcsolódó bűncselekmények;
2. egyéb súlyos bűncselekmények, beleértve a transznacionális jelleget öltő szervezett bűnözést; és 3. a fenti bűncselekmények
elkövetése után esedékes letartóztatás, illetve elfogatóparancs előli menekülés [helyesen: 2. transznacionális jelleget öltő
egyéb súlyos bűncselekmények, beleértve a szervezett bűnözést is; és 3. a fenti bűncselekmények elkövetése miatt elrendelt
letartóztatás, illetve kiadott elfogatóparancs előli szökés]. A PNR-ben tárolt adatoknak a fenti célokra való felhasználásával
a CBP a magas kockázati besorolású problémákra koncentrálhat, és ezzel megkönnyítheti és biztosíthatja a jóhiszemű utazást.
4.      A CBP számára kötelezően megadandó adatokat az »A« melléklet tartalmazza. […]
[…]
27.      A CBP bármilyen, a légifuvarozóktól bekért PNR-információnak [az információ szabadságáról szóló törvény] értelmében való lekérdezéséből
fakadó minden jogi vagy igazgatási eljárással kapcsolatban arra hivatkozik, hogy ezek az adatok [e törvény] értelmében nem
hozhatók nyilvánosságra.
[…]
29.      A CBP szabad mérlegelése szerint és egyedi elbírálási alapon csak olyan célokból továbbít kormányzati szerveknek PNR-adatokat
(beleértve a terrorizmusellenes vagy bűnüldözési tevékenységet folytató külföldi kormányokat), melyek a 3. bekezdésben felsorolt
események megelőzését és leküzdését szolgálják. (E kormányzati szervek megnevezése a továbbiakban: »Kijelölt hatóságok«).
30.      A CBP megfontoltan mérlegeli, hogy továbbítja‑e a PNR-adatokat a megállapított célok érdekében. A CBP először megállapítja,
hogy a PNR-adat egy másik kijelölt hatóság előtti felfedése összeegyeztethető‑e a megállapított célokkal (lásd: 29. bekezdés).
Ha igen, úgy a CBP – amennyiben tudomására jut, hogy törvényszegés vagy esetleges törvényszegés veszélye áll fenn – eldönti,
hogy a kijelölt hatóság felelős‑e a fenti céllal kapcsolatos törvény vagy jogszabály megszegésének megelőzéséért, annak kivizsgálásáért
vagy azzal kapcsolatos vádemeléséért, vagy a törvény vagy rendelet végrehajtásáért és hatályba léptetéséért. A felfedés kritériumait
az összes ismertetett körülmény fényében felül kell vizsgálni.
[…]
35.      E Kötelezettségvállalásokban szereplő egyetlen kijelentés sem hátráltathatja a PNR-adatok felhasználását vagy felfedését semmilyen
büntetőjogi bírósági eljárásban, vagy más, törvény által meghatározott esetben. A CBP minden olyan egyesült államokbeli jogszabály
elfogadásáról értesíti az Európai Bizottságot, amely jelentősen befolyásolja a jelen Kötelezettségvállalásokban tett kijelentéseket.
[…]
46.      E Kötelezettségvállalások érvényességi ideje az Egyesült Államok és az Európai Közösség között kötött egyezmény hatályba lépésének
napjától számított három év és hat hónap […]. E Kötelezettségvállalások értelmében a PNR-adatokat az Irányelvvel összhangban
a légifuvarozók ezen adatoknak a CBP felé való továbbítása céljából dolgozhatják fel. [helyesen: E Kötelezettségvállalások
időbeli hatálya az Egyesült Államok és az Európai Közösség között kötendő, a légifuvarozók által ezen adatok CBP részére történő
továbbítás céljából való feldolgozásának engedélyezéséről szóló megállapodás hatályba lépésének napjától számított három év
és hat hónap.] […]
47.      Ezen Kötelezettségvállalások nem hoznak létre, vagy ruháznak át semmilyen jogot, vagy kedvezményt semmilyen személyre vagy
szerződő félre függetlenül attól, hogy az magánjogi vagy közjogi jellegű.
[…]”
A Kötelezettségvállalások „A” melléklete tartalmazza a CBP által a légifuvarozóktól bekért „PNR-adatelemeket”. Ezek többek
között: a „PNR record locator code (nyilvántartási helymeghatározó kód)”, a foglalás időpontja, a név, a cím, a fizetés módja,
a telefonszám, az utazási iroda, az „utas utazási státusza”, az e-mail cím, az általános megjegyzések, az ülés száma, a jegykezelésre
nem jelentkezett utasra vonatkozó adat, valamint az esetlegesen összegyűjtött „APIS-információk”.
A Tanács, többek között az EK 95. cikk alapján, az EK 300. cikk (2) bekezdése első albekezdésének első mondatával összefüggésben,
elfogadta a 2004/496 határozatot.
E határozat három preambulumbekezdése értelmében:
„(1)      A Tanács 2004. február 23‑án felhatalmazta a Bizottságot arra, hogy a Közösség nevében tárgyalásokat folytasson az Amerikai
Egyesült Államokkal a PNR adatoknak a légi szállítók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma
Vámügyi és Határvédelmi Irodájának történő továbbításáról szóló megállapodásról;
(2)      A Szerződés 300. cikke (3) bekezdésének első albekezdése szerint a Tanács által meghatározott határidőn belül az Európai Parlament
nem terjesztett elő véleményt, szem előtt tartva azon bizonytalan helyzet sürgős orvoslásának szükségességét, amelybe a légitársaságok
és az utasok kerültek, továbbá mindezen érintettek pénzügyi érdekei védelmének szükségességét.
(3)      A megállapodást jóvá kell hagyni.”
A 2004/496 határozat 1. cikke ekként rendelkezik:
„A Közösség nevében a Tanács jóváhagyja az Európai Közösség és az Amerikai Egyesült Államok közötti, a PNR adatoknak a légi
szállítók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma Vámügyi és Határvédelmi Irodájának történő
továbbításáról szóló megállapodást.
A megállapodás szövegét csatolták e határozathoz.”
E megállapodás (a továbbiakban: megállapodás) szövege a következő:
„AZ EURÓPAI KÖZÖSSÉG ÉS AZ AMERIKAI EGYESÜLT ÁLLAMOK,
ELISMERVE az alapvető jogok és szabadságok, nevezetesen a magánélethez fűződő jog tiszteletben tartásának fontosságát, valamint
ezen értékek tiszteletben tartásának fontosságát a terrorizmus és az ehhez kapcsolódó bűncselekmények, valamint a nemzeteken
átnyúló, súlyos bűncselekmények – ideértve a szervezett bűnözést is – megelőzése és az azok ellen folytatott küzdelem során,
TEKINTETTEL az Egyesült Államok törvényeire és rendeleteire, amelyek előírják, hogy minden, az Egyesült Államokba érkező vagy
onnan induló nemzetközi légiutas-szállítójáratokat működtető légi szállító köteles a Belbiztonsági Minisztérium (Department
of Homeland Security; a továbbiakban: »DHS«) [CBP‑je] részére elektronikus hozzáférést biztosítani [a PNR adatokhoz] ahogyan
azokat a légi szállító automatikus helyfoglalás-/indulás-ellenőrzési rendszerében összegyűjti, illetve tárolja,
TEKINTETTEL a […] 95/46/EK […] irányelvre, és különösen annak 7. cikke c) pontjára,
TEKINTETTEL a CBP által 2004. május 11‑én kiadott kötelezettségvállalásokra, amelyeket a szövetségi közlönyben (»Federal Register«)
tesznek közzé (a továbbiakban: »a kötelezettségvállalások«),
TEKINTETTEL a 95/46/EK rendelet [helyesen: irányelv] 25. cikkének (6) bekezdése alapján 2004. május 17‑én elfogadott, 2004/535/EK
bizottsági határozatra, amely a CBP-t olyan intézményként ismeri el, amely megfelelő szintű védelmet biztosít azoknak az Európai
Közösségből (a továbbiakban: »Közösség«) továbbított PNR adatoknak, amelyek a határozathoz csatolt kötelezettségvállalásoknak
megfelelően az Egyesült Államokba érkező vagy onnan induló légi járatokra vonatkoznak (a továbbiakban: »határozat«);
TUDOMÁSUL VÉVE, hogy az Európai Közösség tagállamai területén működő, helyfoglalás-/indulás-ellenőrzési rendszerrel rendelkező
légi szállítóknak – amint az technikailag kivitelezhető – meg kell szervezniük a PNR adatok továbbítását a CBP-nek, és hogy
mindaddig – e megállapodás rendelkezéseinek megfelelően – az adatokhoz az Egyesült Államok hatóságai számára közvetlen hozzáférést
kell biztosítani,
[…]
A KÖVETKEZŐKBEN ÁLLAPODTAK MEG:
1.      A CBP – szigorúan a határozatnak megfelelően, és mindaddig, amíg az alkalmazandó, illetve kizárólag addig, amíg kielégítő
rendszer nem kerül felállításra az ilyen adatok légi szállítók általi továbbítására – elektronikus úton hozzáférhet a légi
szállítóknak az Európai Közösség tagállamai területén elhelyezkedő helyfoglalás-/indulás-ellenőrzési rendszereiben (a továbbiakban:
»helyfoglalási rendszerek«) tárolt PNR adatokhoz.
[Az angol szöveg a következő: „CBP may electronically access the PNR data from air carriers reservation/departure control
systems (‘reservation systems’) located within the territory of the Member State of the European Community strictly in accordance
with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system in place allowing
for transmission of such data by the air carriers.”]
2.      Az Egyesült Államokba érkező vagy onnan induló nemzetközi légiutas-szállító járatokat működtető légi szállítók kötelesek az
automatikus helyfoglalási rendszerükben szereplő PNR adatokat az Egyesült Államok jogszabályaival összhangban álló CBP előírások
szerint, és szigorúan a határozatnak megfelelően feldolgozni, mindaddig, amíg az alkalmazandó.
3.      A CBP tudomásul veszi a határozatot, és kijelenti, hogy végrehajtja az ahhoz csatolt kötelezettségvállalásokat.
4.      A CBP a továbbított PNR adatokat feldogozza, és az ilyen adatfeldolgozással érintett személyeket az Egyesült Államok vonatkozó
jogszabályainak és alkotmányos előírásainak megfelelően, jogellenes – különösen állampolgárságon vagy lakóhely szerinti országon
alapuló – megkülönböztetés nélkül kezeli.
[…]
7.      Ez a megállapodás az aláírásakor lép hatályba. Ezt a megállapodást a felek diplomáciai úton történő értesítéssel bármikor
felmondhatják. A felmondás a felmondásról szóló értesítés másik féllel való közlésétől számított kilencvenedik (90.) napon
lép hatályba. E megállapodás a felek kölcsönös írásbeli megállapodásával bármikor módosítható.
8.      E megállapodásnak nem célja a felek jogszabályaitól való eltérés vagy azok módosítása; hasonlóképpen, e megállapodás nem hoz
létre vagy keletkeztet semmilyen jogot vagy előnyt a magánszemélyek vagy más, magánjogi vagy közjogi jogalanyok részére.”
A megállapodás hatályba lépésének időpontjára vonatkozó tanácsi információk (HL 2004. C 158., 1. o.) szerint a Tanács soros
elnökségének képviselője, illetve az Amerikai Egyesült Államok belbiztonsági minisztere által Washingtonban, 2004. május 28‑án
aláírt megállapodás, a 7. pontjának megfelelően, aláírásának napján lépett hatályba.

A jogviták előzményei
Az Egyesült Államok a 2001. szeptember 11‑i terrortámadásokat követően ugyanazon év novemberében olyan jogszabályokat fogadott
el, amelyek az Egyesült Államok területére, területéről vagy területén keresztül járatot indító légi utasszállítókat arra
kötelezik, hogy az Egyesült Államok vámhatóságainak elektronikus hozzáférést biztosítsanak helyfoglalási és indulásellenőrzési
rendszereikben a „Passanger Name Records”‑nak nevezett adatokhoz (a továbbiakban: PNR-adatok). A Bizottság, elismerve ugyan
a szóban forgó biztonsági érdekek legitimitását, már 2002 júniusában tájékoztatta az Egyesült Államok hatóságait, hogy e rendelkezések
ellentétesek lehetnek a közösségi és tagállami adatvédelmi jogszabályokkal, illetve az 1999. február 8‑i 323/1999/EK rendelettel
(HL L 40., 1. o.; magyar nyelvű különkiadás 7. fejezet, 4. kötet, 251. o.) módosított, a számítógépes helyfoglalási rendszerek
ügyviteli szabályzatáról szóló, 1989. július 24‑i 2299/89/EGK tanácsi rendelet (HL L 220., 1. o.; magyar nyelvű különkiadás
7. fejezet, 1. kötet, 277. o.) egyes rendelkezéseivel. Az Egyesült Államok hatóságai elhalasztották az új rendelkezések hatálybalépését,
de végső soron elutasították, hogy letegyenek a PNR-adatokhoz való elektronikus hozzáférésről szóló jogszabályoknak 2003.
március 5. után meg nem felelő légitársaságokkal szembeni szankciók alkalmazásáról. Ezen időponttól kezdve számos európai
unióbeli nagy légitársaság hozzáférést engedett e hatóságoknak a PNR-adataihoz.
A Bizottság tárgyalásba kezdett az Egyesült Államok hatóságaival, melyek eredménye a CBP annak érdekében tett kötelezettségvállalásait
(„undertakings”) tartalmazó dokumentum, hogy a Bizottság az irányelv 25. cikkének (6) bekezdése alapján megfelelőségi határozatot
fogadhasson el.
Az irányelv 29. cikkével létrehozott, a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport
2003. június 13‑i véleményében kétségeit fejezte ki a tervezett adatfeldolgozás vonatkozásában az említett kötelezettségvállalásokkal
biztosított adatvédelmi szintet illetően. E kétségeit 2004. január 29‑i véleményében megismételte.
A Bizottság 2004. március 1‑jén a Parlament elé terjesztette az irányelv 25. cikkének (6) bekezdésén alapuló megfelelőségi
határozat tervezetét, mellékelve hozzá a CBP kötelezettségvállalásainak tervezetét.
A Bizottság 2004. március 17‑én az EK 300. cikk (3) bekezdésének első albekezdése szerinti konzultáció végett megküldte a
Parlamentnek az Egyesült Államokkal kötendő megállapodás megkötéséről szóló tanácsi határozat iránti javaslatot. A Tanács
2004. március 25‑i levelében a sürgősségi eljárásra utalva azt kérte, hogy a Parlament legkésőbb 2004. április 22‑ig adjon
véleményt e javaslatról. E levélben a Tanács hangsúlyozta, hogy „a javasolt intézkedések indoka a terrorizmus elleni küzdelem,
mely az Európai Unió alapvető prioritása, [hogy] jelenleg a légifuvarozók és az utasok bizonytalanságban vannak, amit sürgősen
fel kell oldani, [és hogy] lényeges az érintettek pénzügyi érdekeinek védelme is”.
A Parlament 2004. március 31‑én a Bizottságra ruházott végrehajtási hatáskörök gyakorlására vonatkozó eljárások megállapításáról
szóló, 1999. június 28‑i 1999/468/EK tanácsi határozat 8. cikke alapján állásfoglalást fogadott el, melyben az elé terjesztett
javaslattal szembeni jogi fenntartásokat összegezte. E határozatban a Parlament közelebbről akként vélekedett, hogy a megfelelőségi
határozat tervezete meghaladja az irányelv 25. cikkében a Bizottságra ruházott hatáskört. Az állásfoglalásban részletezett
néhány kérdésben az alapvető jogok tiszteletben tartására alkalmas nemzetközi szerződés megkötését javasolta, és új határozattervezet
előterjesztését kérte a Bizottságtól. Emellett fenntartotta a Bírósághoz fordulás jogát, a tervezett nemzetközi megállapodás
jogszerűségének és különösen a magánélethez való joggal való összeegyeztethetőségének ellenőrzése érdekében.
A Parlament 2004. április 21‑én elnöke kérelmére elfogadta a jogi és belső piaci bizottság ajánlását arra vonatkozóan, hogy
az EK 300. cikk (6) bekezdése alapján kérjék ki a Bíróság véleményét a tervezett megállapodásnak a Szerződés rendelkezéseivel
való összeegyeztethetőségéről. Ezt az eljárást aznap meg is indították.
A Parlament ugyanaznap akként is határozott, hogy bizottsági tárgyalásra tűzi ki a tanácsi határozat javaslatáról szóló jelentést,
egyben hallgatólagosan elutasítva ezzel a Tanács e javaslat sürgős tárgyalása iránti, március 25‑i kérelmét.
A Tanács április 28‑án az EK 300. cikk (3) bekezdésének első albekezdése alapján levelet intézett a Parlamenthez, melyben
azt kérte, hogy a Parlament 2004. május 5‑ig adjon véleményt a megállapodás megkötéséről szóló határozat tervezetéről. A kérelem
sürgősségét a 2004. március 25‑i levelében előadottakkal indokolta.
A Parlament, észlelve, hogy még mindig nem áll rendelkezésre a tanácsi határozati javaslat valamennyi nyelvi változata, 2004.
május 4‑én elutasította a Tanács április 28‑án előterjesztett javaslatának sürgős tárgyalása iránti kérelmet.
A Bizottság május 14‑én elfogadta a megfelelőségi határozatot, amely a C‑318/04. sz. ügy tárgya. A Tanács 2004. május 17‑én
elfogadta a 2004/496 határozatot, amely a C‑317/04. sz. ügy tárgya.
A Tanács soros elnöksége 2004. június 4‑én tájékoztatta a Parlamentet, hogy a 2004/496 határozatot a terrorizmus elleni küzdelemre,
mint az Unió prioritására, és egyben a légitársaságokat érintő jogbizonytalanság feloldásának szükségességére, valamint a
légitársaságok pénzügyi érdekeire tekintettel fogadta el.
A Parlament 2004. július 9‑i levelében tájékoztatta a Bíróságot, hogy 1/04. számon nyilvántartásba vett vélemény iránti kérelmét
visszavonja.
A C‑317/04. sz. ügyben a Bíróság elnöke 2004. november 18‑i és 2005. január 18‑i végzéseivel engedélyezte a Bizottság, valamint
Nagy Britannia és Észak-Írország Egyesült Királysága számára a Tanács kérelmeit támogató beavatkozást.
A C‑318/04. sz. ügyben a Bíróság elnöke 2004. december 17‑i végzésével engedélyezte az Egyesült Királyság számára a Bizottság
kérelmeit támogató beavatkozást.
A Bíróság 2005. március 17‑i végzéseivel mindkét ügyben engedélyezte az Európai Adatvédelmi Biztos számára a Parlament kérelmeit
támogató beavatkozást.
Az ezen ügyek között – a szóbeli szakaszban megerősítetten – meglévő összefüggésre figyelemmel az eljárási szabályzat 43. cikke
alapján e két ügyet ítélethozatal céljából egyesíteni kell.

A keresetről a C‑318/04. sz. ügyben
A Parlament négy megsemmisítési jogalapot ad elő, melyek hatáskörtúllépésen, az irányelv alapelveinek megsértésén, az alapvető
jogok megsértésén és az arányosság elvének megsértésén alapulnak.

Az első jogalap első részéről: az irányelv 3. cikke (2) bekezdése első francia bekezdésének megsértése
A felek érvei
A Parlament előadja, hogy a Bizottság
ultra vires
fogadta el határozatát, mivel nem vette figyelembe az irányelv rendelkezéseit, így közelebbről megsértette az irányelv 3. cikke
(2) bekezdésének a közösségi jog tárgyi hatálya alá nem tartozó tevékenységek kizárásáról szóló első francia bekezdését.
Kétségtelen, állítja a Parlament, hogy a PNR-adatoknak a megfelelőségi határozatban szereplő amerikai hatóság számára történő
továbbítását követő feldolgozása a C‑101/01. sz. Lindqvist‑ügyben 2003. november 6‑án hozott ítélet (EBHT 2003., I‑12 971. o.)
43. pontja értelmében vett sajátosan állami tevékenységek gyakorlása érdekében történik és fog történni.
Az Egyesült Királyság által támogatott Bizottság úgy véli, hogy a légifuvarozók tevékenysége egyértelműen a közösségi jog
hatálya alá tartozik. Előadja, hogy e gazdasági szereplők a Közösség területén dolgozzák fel a PNR-adatokat, és szervezik
azok harmadik államba történő továbbítását. Így tehát ez magánszemélyek tevékenysége, nem pedig azon tagállamoké, sem azon
tagállamoknak a fent hivatkozott Lindqvist‑ügyben hozott ítélet 43. pontja értelmében vett közhatalmáé, ahol az érintett légifuvarozók
működnek. A PNR-adatok feldolgozásakor a légifuvarozók célja csupán a közösségi jog követelményeinek betartása, ideértve a
megállapodás 2. pontjában szereplő kötelezettséget is. Az irányelv 3. cikkének (2) bekezdése a közösségi jog tárgyi hatálya
alá nem tartozó közhatalmi tevékenységekre utal.
A Bíróság álláspontja
Az irányelv 3. cikke (2) bekezdésének első francia bekezdése kizárja az irányelv hatálya alól a közösségi jog hatályán kívül
eső, így különösen az Európai Unióról szóló szerződés V. és VI. címeiben megállapított tevékenységekkel, valamint a közbiztonsággal,
a védelemmel, a nemzetbiztonsággal, továbbá a büntetőjog területén az állami tevékenységekkel kapcsolatos feldolgozási műveleteket.
A megfelelőségi határozat csupán a CBP részére továbbított PNR-adatokra vonatkozik. E határozat hatodik preambulumbekezdéséből
kitűnik, hogy e továbbítás követelményei az Egyesült Államok által 2001 novemberében elfogadott törvényen, illetve a CBP által
az alapján elfogadott végrehajtási rendelkezéseken alapulnak. E határozat hetedik preambulumbekezdése szerint e jogszabályok
a biztonság megerősítését, valamint a személyek ki- és beléptetésének feltételeit érintik. A nyolcadik preambulumbekezdés
értelmében a Közösség a közösségi jog által megadott határokon belül teljes mértékben támogatja az Egyesült Államok terrorizmus
elleni küzdelmét. Ugyanezen határozat tizenötödik preambulumbekezdése kimondja, hogy a PNR-adatokat kizárólag olyan célokra
lehet felhasználni, amelyek a terrorizmus és a kapcsolódó bűncselekmények, a transznacionális jelleget öltő egyéb súlyos bűncselekmények
– beleértve a szervezett bűnözést is –, illetve a fenti bűncselekmények miatt elrendelt letartóztatás, illetve kiadott elfogatóparancs
előli szökés megelőzését és ezek leküzdését szolgálják.
Ebből az következik, hogy a PNR-adatok CBP részére történő továbbítása a közbiztonsággal és a büntetőjog területén végzett
állami tevékenységekkel kapcsolatos adatfeldolgozásnak minősül.
Igaz ugyan, hogy a PNR-adatokat a légitársaságok gyűjtik a közösségi jog hatálya alá tartozó tevékenységük végzése – azaz
szolgáltatás igénybevételére jogosító repülőjegy eladása – során, ám a megfelelőségi határozatban szereplő adatfeldolgozás
egészen más jellegű. E határozat ugyanis, mint arra a Bíróság a jelen ítélet 55. pontjában már emlékeztetett, nem a szolgáltatás
nyújtásához és igénybevételéhez szükséges adatfeldolgozást, hanem a közbiztonság fenntartása és a bűnüldözés érdekében szükséges
adatfeldolgozást szabályozza.
A fent hivatkozott Lindqvist‑ügyben hozott ítélet Bizottság által felhívott 43. pontjában a Bíróság azt mondta ki, hogy az
irányelv 3. cikke (2) bekezdésének első francia bekezdésében példálózó jelleggel említett tevékenységek minden esetben az
állam vagy az állami hatóságok sajátos tevékenységei, és nem tartoznak a magánszemélyek tevékenységei közé. Ebből azonban
nem következik az, hogy a kérdéses adattovábbítás azért ne tartozna e rendelkezés hatálya alá, mert a PNR-adatokat gazdasági
szereplők kereskedelmi célból gyűjtik, és harmadik államba történő továbbításukat e gazdasági szereplők szervezik meg. Ezen
adattovábbítás háttere ugyanis közhatalmi jellegű és közbiztonsági célú.
Az eddigi megfontolásokból az következik, hogy a megfelelőségi határozat személyes adatoknak az irányelv 3. cikke (2) bekezdésének
első francia bekezdése értelmében vett feldolgozásáról szól. E határozat tehát nem tartozik az irányelv tárgyi hatálya alá.
Így az első jogalapnak az irányelv 3. cikke (2) bekezdése első francia bekezdésének megsértésére alapozott első része alapos.
Következésképpen a megfelelőségi határozatot – az első jogalap egyéb részeinek és a Parlament által előadott egyéb jogalapoknak
a vizsgálata nélkül is – meg kell semmisíteni.

A keresetről a C‑317/04. sz. ügyben
A Parlament hat megsemmisítési jogalapot ad elő, melyek az EK 95. cikknek a 2004/496 határozat jogi alapjául való hibás választásán,
az EK 300. cikk (3) bekezdése második albekezdésének megsértésén, az EEJE 8. cikkének megsértésén, az arányosság elvének megsértésén,
az indokolási kötelezettség megszegésén és a jóhiszemű együttműködés kötelezettségének megszegésén alapulnak.

Az EK 95. cikknek a 2004/496 határozat jogi alapjául való hibás választására alapított első jogalapról
A felek érvei
A Parlament előadja, hogy az EK 95. cikk nem minősül a 2004/496 határozat megfelelő jogi alapjának. E határozatnak nem a belső
piac – a szabad szolgáltatásnyújtás akadályainak eltörlésével történő – létrehozása és működése képezi a tárgyát és a tartalmát,
valamint nem is tartalmaz ilyen célú rendelkezéseket. E határozat célja ugyanis a személyes adatok Egyesült Államok jogszabályaiban
előírt feldolgozásának legalizálása. Emellett az EK 95. cikkre azért nem alapozható a Közösség hatásköre a megállapodás megkötésére,
mert a megállapodás az irányelv tárgyi hatályán kívül eső adatfeldolgozásra vonatkozik.
A Tanács azt állítja, hogy a Szerződés 100a. cikke alapján érvényesen elfogadott irányelv 25. cikkének rendelkezései lehetőséget
adnak személyes adatok megfelelő védelmi szintet biztosító harmadik államba történő továbbítására, ideértve szükség esetén
a Közösség és e harmadik állam között megállapodás megkötéséhez vezető tárgyalások megkezdésének lehetőségét is. A megállapodás
a PNR-adatoknak a Közösség és az Egyesült Államok közötti szabad mozgásáról szól a személyek alapvető jogait és szabadságait,
így különösen a magánélethez való jogot tiszteletben tartó feltételekkel. A megállapodás célja a tagállambeli légitársaságok
közötti, illetve az ezek és a harmadik állambeli légitársaságok közötti verseny Egyesült Államok által előírt követelményekből
esetlegesen adódó, a személyek jogainak és szabadságának védelme miatti torzulásának elkerülése. Az Egyesült Államokba tartó
vagy onnan induló utasokat szállító tagállami légitársaságok közötti verseny feltételei torzulnának, ha közülük csak egyesek
biztosítanának hozzáférést adatbázisaikhoz az Egyesült Államok hatóságainak. A megállapodás célja egységesített kötelezettségek
előírása valamennyi érintett társaság számára.
A Bizottság hangsúlyozza, hogy az Egyesült Államok törvényei és a közösségi szabályozás között nemzetközi közjogi értelemben
vett „jogösszeütközés” áll fenn, amit fel kell oldani. Kifogásolja, hogy a Parlament vitatja, képezheti‑e az EK 95. cikk a
2004/496 határozat jogalapját, ám nem javasolt megfelelő jogalapot. A Bizottság álláspontja szerint e cikk e határozat „természetes
jogalapja”, mivel a megállapodás a személyes adatok védelmének külső dimenziójáról szól Közösségen belüli továbbításuk esetén.
Az irányelv 25. és 26. cikke a Közösség kizárólagos külső hatáskörét alapozza meg.
Emellett a Bizottság előadja, hogy ezen adatok elsődleges feldolgozását a légitársaságok kereskedelmi céllal végzik. Ezen
adatoknak az Egyesült Államok hatóságai általi felhasználása okán azok még nem kerülnek ki az irányelv hatálya alól.
A Bíróság álláspontja
Az EK 95. cikk az irányelv 25. cikkével összefüggésben nem alapozhatja meg a Közösség hatáskörét a megállapodás megkötésére.
A megállapodás ugyanis ugyanazon adattovábbításról, és így ugyanazon – az irányelv hatálya alól kizárt – adatfeldolgozásról
szól, amiről a megfelelőségi határozat.
Következésképpen a 2004/496 határozatot érvényesen nem lehetett az EK 95. cikk alapján elfogadni.
Így tehát e határozatot – a Parlament által előadott egyéb jogalapok vizsgálata nélkül is – meg kell semmisíteni.

Az ítélet hatályának korlátozásáról
A megállapodás 7. pontjából kitűnik, hogy azt bármelyik fél bármikor felmondhatja, és hogy a megállapodás a felmondásról szóló
értesítés másik féllel való közlésétől számított kilencvenedik nap elteltével veszti hatályát.
Azonban a megállapodás 1. és 2. pontja szerint a CBP hozzáférési joga a PNR-adatokhoz, illetve a légifuvarozók kötelezettsége
ezen adatok CBP által megköveteltek szerinti feldolgozására csupán addig áll fenn, amíg a megfelelőségi határozat hatályban
van. E megállapodás 3. pontjában a CBP akként nyilatkozott, hogy az e határozat mellékletét képező kötelezettségvállalásokat
végrehajtja.
Figyelemmel egyrészt arra, hogy a Közösség nem hivatkozhat saját jogára a felmondástól számított 90 napig még hatályban maradó
megállapodás végre nem hajtásának igazolására, másrészt pedig a megállapodás és a megfelelőségi határozat szoros kapcsolatára,
a jogbiztonság és az érintettek védelme érdekében indokoltnak tűnik a megfelelőségi határozat ugyanennyi ideig történő hatályban
tartása. Ezen kívül tekintettel kell lenni a jelen ítélet végrehajtásához szükséges intézkedések elfogadásának időigényére
is.
Ezért a megfelelőségi határozatot 2006. szeptember 30‑ig – azonban ezen belül is legfeljebb a megállapodás megszűnéséig –
hatályban kell tartani.

A költségekről
Az eljárási szabályzat 69. cikkének 2. §‑a alapján a Bíróság a pervesztes felet kötelezi a költségek viselésére, ha a pernyertes
fél ezt kérte. Mivel a Parlament a Tanács és a Bizottság költségek viselésére való kötelezését kérte, és ez utóbbiak pervesztesek
lettek, kötelezni kell őket a költségek viselésére. Ugyanezen cikk 4. §‑a alapján a beavatkozók maguk viselik saját költségeiket.
A fenti indokok alapján a Bíróság (nagytanács) a következőképpen határozott:
1)
A Bíróság a PNR adatoknak a légi szállítók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma Vámügyi
és Határvédelmi Irodájának történő továbbításáról szóló megállapodás megkötéséről szóló, 2004. május 17‑i 2004/496/EK tanácsi
határozatot és az Egyesült Államok Vámügyi és Határvédelmi Irodája rendelkezésére bocsátott, a légi utasok utasnyilvántartási
adatállományában tárolt személyes adatok megfelelő védelméről szóló, 2004. május 14‑i 2004/535/EK bizottsági határozatot megsemmisíti.
2)
A Bíróság a 2004/535 határozatot 2006. szeptember 30‑ig – azonban ezen belül is legfeljebb a megállapodás megszűnéséig – hatályban
tartja.
3)
A Bíróság a C‑317/04. sz. ügyben az Európai Unió Tanácsát kötelezi a költségek viselésére.
4)
A Bíróság a C‑318/04. sz. ügyben az Európai Közösségek Bizottságát kötelezi a költségek viselésére.
5)
A C‑317/04. sz. ügyben az Európai Közösségek Bizottsága maga viseli saját költségeit.
6)
Nagy-Britannia és Észak-Írország Egyesült Királysága, valamint az Európai Adatvédelmi Biztos maguk viselik saját költségeiket.
Aláírások
*
Az eljárás nyelve: francia.