CELEX: 62004CJ0317
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych
Transport lotniczy
Decyzja 2004/496/WE
Porozumienie pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki
Passenger Name Record (PNR) pasażerów lotniczych przekazywane do biura ceł i ochrony granic Stanów Zjednoczonych Ameryki
Dyrektywa 95/46/WE
Artykuł 25
Państwa trzecie
Decyzja 2004/535/WE
Odpowiednia ochrona

1       W skardze w sprawie C‑317/04 Parlament Europejski wnosi o stwierdzenie nieważności decyzji Rady 2004/496/WE z dnia 17 maja
2004 r. w sprawie zawarcia Porozumienia pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki w sprawie przetwarzania
i przekazywania danych dot. nazwy rekordu pasażera (PNR) przez przewoźników lotniczych do Departamentu Bezpieczeństwa Wewnętrznego
Stanów Zjednoczonych, Biura Ceł i Ochrony Granic (Dz.U. L 183, str. 83).
2       W skardze w sprawie C‑318/04 Parlament Europejski wnosi o stwierdzenie nieważności decyzji Komisji 2004/535/WE z dnia 14 maja
2004 r. w sprawie odpowiedniej ochrony danych osobowych zawartych w Passenger Name Record (PNR) pasażerów lotniczych przekazywanych
do Biura Celnego i Ochrony Granic Stanów Zjednoczonych (Dz.U. L 235, str. 11, zwanej dalej „decyzją o odpowiedniej ochronie”).

Ramy prawne
3       Artykuł 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, sporządzonej w Rzymie dnia 4 listopada
1950 r. (zwanej dalej „EKPC”), postanawia:
„1      Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.
2      Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez
ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt
gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności
innych osób”.
4       Artykuł 95 ust. 1 zdanie drugie WE jest sformułowany następująco:
„Rada, stanowiąc zgodnie z procedurą określoną w artykule 251 i po konsultacji z Komitetem Ekonomiczno-Społecznym, przyjmuje
środki dotyczące zbliżenia przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich, które mają na celu
ustanowienie i funkcjonowanie rynku wewnętrznego”.
5       Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie
przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, str. 31), zmieniona rozporządzeniem (WE) nr
1882/2003 Parlamentu Europejskiego i Rady z dnia 29 września 2003 r. dostosowującym do decyzji Rady 1999/468/WE przepisy odnoszące
się do komitetów, które wspomagają Komisję w wykonywaniu jej uprawnień wykonawczych ustanowionych w instrumentach podlegających
procedurze określonej w art. 251 traktatu WE (Dz.U. L 284, str. 1) (zwana dalej „dyrektywą”) została wydana na podstawie art. 100 A
traktatu WE (obecnie, po zmianie, art. 95 WE).
6       W jej motywie jedenastym stwierdza się, że „[z]asady ochrony praw i wolności jednostek, szczególnie prawa do prywatności,
które zawarte są w niniejszej dyrektywie, utrwalają i umacniają zasady wyrażone w konwencji Rady Europy z dnia 28 stycznia
1981 r. w sprawie ochrony jednostek w zakresie automatycznego przetwarzania danych osobowych”.
7       Zgodnie z motywem trzynastym dyrektywy:
„Działania określone w tytułach V i VI Traktatu o Unii Europejskiej dotyczące bezpieczeństwa publicznego, obronności, bezpieczeństwa
państwa w dziedzinie prawa karnego nie wchodzą w zakres stosowania prawa wspólnotowego, bez wpływu na obowiązki nałożone na
państwa członkowskie na mocy art. 56 ust. 2, art. 57 i art. 100 A traktatu […]”.
8       W motywie pięćdziesiątym siódmym dyrektywy stwierdza się:
„[…] należy zakazać przekazywania danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony”.
9       Artykuł 2 dyrektywy przewiduje, że:
„Do celów niniejszej dyrektywy:
a)      »dane osobowe« oznacza[ją] wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej
(osoby, której dane dotyczą); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub
pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających
jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość;
b)      »przetwarzanie danych osobowych« (przetwarzanie) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych
przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja
lub modyfikacja, odzyskiwanie, [wgląd do danych], wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie
w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;
[…]”.
10     Zgodnie z art. 3 dyrektywy:
„Zakres obowiązywania
1.      Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego
przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2.      Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
–       w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii
Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie
z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności
państwa w obszarach prawa karnego,
[…]”.
11     Artykuł 6 ust. 1 dyrektywy stwierdza:
„Państwa członkowskie zapewniają, aby dane osobowe były:
[…]
b)      gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny
z tym celem. Dalsze przetwarzanie danych w celach historycznych, statystycznych lub naukowych nie jest uważane za niezgodne
z przepisami, pod warunkiem ustanowienia przez państwa członkowskie odpowiednich środków zabezpieczających;
c)      prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone;
[…]
e)      przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to konieczne
do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane […]”.
12     Artykuł 7 dyrektywy stanowi:
„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy:
[…]
c)      przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega;
[…]
lub
e)      przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy
publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane;
lub
f)      przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej,
lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi
prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1”.
13     Zgodnie z art. 8 ust. 5 akapit pierwszy dyrektywy:
„Przetwarzanie danych dotyczących przestępstw, wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie
pod kontrolą władz publicznych, lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem
odstępstw, które państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie
odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy
publicznej”.
14     Artykuł 12 dyrektywy stanowi:
„Państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych:
a)      bez ograniczeń, w odpowiednich odstępach czasu oraz bez nadmiernego opóźnienia lub kosztów:
–      potwierdzenia, czy dotyczące jej dane są przetwarzane oraz co najmniej informacji o celach przetwarzania danych, kategoriach
danych oraz odbiorcach lub kategoriach odbiorców, którym dane te są ujawniane,
–      wyrażonej w zrozumiałej formie informacji o danych przechodzących przetwarzanie oraz posiadanych informacji o ich źródłach,
–      wiadomości na temat zasad automatycznego przetwarzania dotyczących jej danych przynajmniej w przypadku zautomatyzowanego procesu
decyzyjnego określonego w art. 15 ust. 1;
b)      odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami
niniejszej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych;
c)      zawiadomienia osób trzecich, którym dane zostały ujawnione, o ewentualnym sprostowaniu, usunięciu lub zablokowaniu danych
zgodnie z lit. b), o ile nie okaże się to niemożliwe lub nie będzie wymagało niewspółmiernie dużego wysiłku”.
15     Artykuł 13 ust. 1 dyrektywy jest sformułowany następująco:
„Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6
ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:
a)      bezpieczeństwa narodowego;
b)      obronności;
c)      bezpieczeństwa publicznego;
d)      działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie
zasad etyki w zawodach podlegających regulacji;
e)      ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi,
budżetowymi i podatkowymi;
f)      funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach
wymienionych w lit. c)–e);
g)      ochrony osoby, której dane dotyczą oraz praw i wolności innych osób”.
16     Artykuł 22 dyrektywy stanowi:
„Środki sądowe
Bez uszczerbku dla wszystkich odwoławczych środków administracyjnych, które mogą być wprowadzone przez organ nadzorczy określony
w art. 28, przed wszczęciem postępowania sądowego państwa członkowskie zapewnią każdej osobie prawo do korzystania ze środków
prawnych w związku z naruszeniem praw zagwarantowanych jej przez przepisy krajowe dotyczące przetwarzania danych”.
17     Artykuły 25 i 26 dyrektywy stanowią rozdział IV, dotyczący przekazywania danych osobowych do państw trzecich.
18     Artykuł 25 dyrektywy, zatytułowany „Zasady”, przewiduje, że:
„1.      Państwa członkowskie zapewniają, aby przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych
do przetwarzania po ich przekazaniu mogło nastąpić tylko wówczas gdy, niezależnie od zgodności z krajowymi przepisami przyjętymi
na podstawie innych przepisów niniejszej dyrektywy, dane państwo trzecie zapewni odpowiedni stopień ochrony.
2.      Odpowiedni stopień ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących
operacji przekazania danych lub zbioru takich operacji; szczególną uwagę zwracać się będzie na charakter danych, cel i czas
trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa, zarówno
ogólne jak i branżowe, obowiązujące w państwie trzecim oraz przepisy zawodowe i środki bezpieczeństwa stosowane w tym państwie.
3.      Państwa członkowskie i Komisja będą informować się wzajemnie o przypadkach, kiedy uznają, że państwo trzecie nie zapewnia
odpowiedniego stopnia ochrony w znaczeniu ust. 2.
4.      Jeżeli Komisja stwierdzi, na podstawie procedury przewidzianej w art. 31 ust. 2, że państwo trzecie nie zapewnia odpowiedniego
stopnia ochrony w znaczeniu ust. 2 niniejszego artykułu, państwa członkowskie podejmą konieczne środki, aby nie dopuścić do
przekazania jakichkolwiek danych tego samego rodzaju do wspomnianego państwa trzeciego.
5.      We właściwym czasie Komisja przystąpi do negocjacji w celu zaradzenia sytuacji stwierdzonej na podstawie ust. 4.
6.      Komisja może stwierdzić, zgodnie z procedurą określoną w art. 31 ust. 2, że państwo trzecie zapewnia prawidłowy stopień ochrony
w znaczeniu ust. 2 niniejszego artykułu, co wynika z jego prawa krajowego lub międzynarodowych zobowiązań, jakie państwo to
przyjęło, szczególnie po zakończeniu negocjacji określonych w ust. 5, w zakresie ochrony życia prywatnego i podstawowych praw
i wolności osób fizycznych.
Państwa członkowskie podejmują środki niezbędne w celu wykonania decyzji Komisji”.
19     Zgodnie z art. 26 ust. 1 dyrektywy, zatytułowanym „Odstępstwa”:
„W drodze odstępstwa od przepisów art. 25 oraz, z zastrzeżeniem odmiennych przepisów prawa krajowego dotyczącego konkretnych
przypadków, państwa członkowskie zapewnią, że przekazanie lub przekazywanie danych osobowych do państwa trzeciego, który nie
zapewnia odpowiedniego stopnia ochrony w znaczeniu art. 25 ust. 2 może nastąpić pod warunkiem że:
a)      osoba, której dane dotyczą, jednoznacznie udzieli zgody na proponowane przekazanie danych;
lub
b)      przekazanie danych jest konieczne dla realizacji umowy między osobą, której dane dotyczą, i administratorem danych lub dla
wprowadzenia w życie ustaleń poprzedzających zawarcie umowy na wniosek osoby, której dane dotyczą;
lub
c)      przekazanie danych jest konieczne dla zawarcia lub wykonania umowy zawartej między administratorem danych i osobą trzecią,
w interesie osoby, której dane dotyczą,
lub
d)      przekazanie danych jest konieczne lub wymagane przez prawo z ważnych względów publicznych lub w celu ustanowienia, wykonania
lub obrony tytułu prawnego;
lub
e)      przekazanie danych jest konieczne dla zapewnienia ochrony żywotnych interesów osoby, której dane dotyczą;
lub
f)      przekazanie danych następuje z rejestru, który ma służyć, zgodnie z obowiązującymi przepisami ustawowymi lub wykonawczymi,
za źródło informacji dla ogółu społeczeństwa, udostępnionego do [wglądu] obywatel[om] i każdej osob[ie] wykazującej uzasadniony
interes, o ile warunki określone przez prawo odnośnie do wglądu do takiego rejestru zostały w danym przypadku spełnione”.
20     Na podstawie dyrektywy, a w szczególności jej art. 25 ust. 6, Komisja Wspólnot Europejskich wydała decyzję o odpowiedniej
ochronie.
21     W motywie jedenastym tej decyzji stwierdza się:
„Przetwarzanie przez CBP przekazywanych mu danych osobowych zawartych w PNR pasażerów lotniczych regulują warunki określone
w Zobowiązaniach Ministerstwa Bezpieczeństwa Wewnętrznego Biura Celnego i Ochrony Granic (Undertakings of the Department of
Homeland Security Bureau of Customs and Border Protection) (CBP) z dnia 11 maja 2004 r. (zwanych dalej »Zobowiązaniami«) oraz
prawodawstwo Stanów Zjednoczonych w zakresie przewidzianym w Zobowiązaniach”.
22     Zgodnie z motywem piętnastym decyzji dane zawarte w PNR należy wykorzystywać wyłącznie do celów zapobiegania terroryzmowi
oraz związanym z nim przestępstwom, innym poważnym przestępstwom, włącznie z przestępczością zorganizowaną, która z zasady
ma charakter ponadnarodowy, i zwalczania ich, a także zapobiegania ucieczkom z aresztu w razie zatrzymania w związku z jednym
z wymienionych przestępstw.
23     Zgodnie z art. 1–4 decyzji o odpowiedniej ochronie:
„Artykuł 1
Dla celów art. 25 ust. 2 dyrektywy 95/46/WE Biuro Celne i Ochrony Granic Stanów Zjednoczonych (dalej zwane jako CBP) traktowane
jest jako zapewniające odpowiedni poziom ochrony danych zawartych w PNR przekazywanych ze Wspólnoty na temat lotów do lub
ze Stanów Zjednoczonych, zgodnie ze Zobowiązaniami określonymi w Załączniku.
Artykuł 2
Niniejsza decyzja dotyczy odpowiedniego poziomu ochrony zapewnianego przez CBP z punktu widzenia spełniania wymogów art. 25
ust. 1 dyrektywy 95/46/WE i nie wpływa na pozostałe warunki lub ograniczenia wprowadzające w życie pozostałe przepisy wymienionej
dyrektywy, które mają zastosowanie do przetwarzania danych osobowych w państwach członkowskich.
Artykuł 3
1.      Bez uszczerbku dla uprawnień umożliwiających podjęcie działań w celu zagwarantowania przestrzegania przepisów krajowych przyjętych
zgodnie z przepisami innymi niż zawarte w art. 25 dyrektywy 95/46/WE, właściwe władze państw członkowskich mogą wykonywać
obecne uprawnienia w celu zawieszenia przepływu danych do CBP w celu ochrony osób fizycznych odnośnie do przetwarzania ich
danych osobowych w jednym z poniższych przypadków:
a)      gdy właściwy organ Stanów Zjednoczonych ustalił, że CBP narusza obowiązujące normy ochrony; lub
b)      gdy istnieje wysokie prawdopodobieństwo, że normy ochrony określone w Załączniku są naruszane; gdy istnieją uzasadnione podstawy,
aby domniemywać, iż CBP nie podejmuje, lub nie podejmie, odpowiednich i natychmiastowych kroków zmierzających do rozstrzygnięcia
sprawy; gdy dalsze przekazywanie danych spowodowałoby realne niebezpieczeństwo wyrządzenia szkody osobom, których dotyczą
dane osobowe, a właściwe organy w państwie członkowskim podjęły, odpowiednie w tych okolicznościach, wysiłki w celu dostarczenia
CBP powiadomienia o powyższym oraz umożliwienia mu udzielenia odpowiedzi.
2.      Zawieszenie ustaje, gdy tylko zapewnione zostaną normy ochrony, a właściwe organy danych państw członkowskich zostaną o tym
powiadomione.
Artykuł 4
1.      Państwa członkowskie niezwłocznie informują Komisję środkach przyjętych na mocy art. 3.
2.      Państwa członkowskie i Komisja informują się wzajemnie o każdej zmianie w normach ochrony oraz o przypadkach, w których działanie
organów odpowiedzialnych za przestrzeganie przez CBP norm ochrony ustanowionych w Załączniku nie wystarcza do zapewnienia
przestrzegania tych norm.
3.      Jeżeli informacje zebrane zgodnie z art. 3 oraz zgodnie z ust. 1 i 2 niniejszego artykułu wykazują, że podstawowe zasady niezbędne
do zapewnienia odpowiedniego poziomu ochrony osób fizycznych nie są już przestrzegane lub że jakikolwiek organ odpowiedzialny
za przestrzeganie przez CBP norm ochrony ustanowionych w Załączniku nie spełnia swojej roli, CBP jest o tym informowane i,
w razie potrzeby, stosuje się procedurę określoną w art. 31 ust. 2 dyrektywy 95/46/WE w celu uchylenia lub zawieszenia niniejszej
decyzji”.
24     „Zobowiązania Ministerstwa Bezpieczeństwa Wewnętrznego Biura Celnego i Ochrony Granic (CBP)”, załączone do decyzji, stanowią:
„W celu poparcia planu Komisji Europejskiej […] mającego na celu wykonywanie uprawnień powierzonych jej na mocy art. 25 ust. 6
dyrektywy 95/46/WE […] oraz przyjęcie decyzji uznającej Biuro Celne i Ochrony Granic (CBP) Ministerstwa Bezpieczeństwa Wewnętrznego
jako zapewniające odpowiednią ochronę do celów przekazywania przez przewoźników lotniczych danych zawartych w PNR (zbiór informacji
dotyczących podróży danego pasażera), które mogą wchodzić w zakres Dyrektywy, CBP zobowiązuje się do […]”.
25     Na zobowiązania składa się 48 ustępów, pogrupowanych pod następującymi tytułami „Podstawa prawna do otrzymania PNR”, „Wykorzystanie
danych zawartych w PNR przez CBP”, „Wymagania w stosunku do danych”, „Przetwarzanie »danych szczególnie chronionych«”, „Sposób
dostępu do danych zawartych w PNR”, „Przechowywanie danych zawartych w PNR”, „Bezpieczeństwo systemu komputerowego CBP”, „Przetwarzanie
i ochrona przez CBP danych zawartych w PNR”, „Przekazywanie danych zawartych w PNR do innych organów rządowych”, „Zawiadomienie,
dostęp do danych oraz środki odwoławcze dla osób, których dotyczą dane zawarte są w PNR”, „Przestrzeganie przepisów”, „Wzajemność”,
„Przegląd i wygaśnięcie Zobowiązań”, „Klauzula o nieutworzeniu praw prywatnych lub precedensu”.
26     Wśród zobowiązań znajdują się między innymi następujące:
„1)      Na mocy ustawy (tytuł 49, United States Code, sekcja 44909(c)) oraz jego przepisów wykonawczych (przejściowych) (tytuł 19,
Code of Federal Regulations, sekcja 122.49b), każdy przewoźnik lotniczy obsługujący loty pasażerskie w zagranicznym ruchu
powietrznym do lub ze Stanów Zjednoczonych musi zapewnić CBP (uprzednio Służby Celne Stanów Zjednoczonych) elektroniczny dostęp
do danych zawartych w PNR w takim zakresie, w jakim są one zebrane i zawarte w automatycznym systemie rezerwacji przewoźników
lotniczych/kontroli odlotów (»systemy rezerwacji«).
[…]
3)      Dane zawarte w PNR są wykorzystywane przez CBP wyłącznie do celów zapobiegania […] 1) terroryzm[owi] i związany[m] z nim przestępstw[om];
2) inny[m] poważny[m] przestępstw[om], włącznie z przestępczością zorganizowaną, która z zasady ma charakter transnarodowy
[i zwalczania ich]; oraz 3) unikani[u] kary aresztu lub więzienia za powyższe przestępstwa. Wykorzystanie danych zawartych
w PNR do tych celów umożliwi CBP skoncentrowanie swoich zasobów na kwestiach wysokiego ryzyka, ułatwiając tym samym i lepiej
chroniąc podróże bona fide.
4)      Elementy danych wymagane przez CBP wymienione są w załączniku A […].
[…]
27)      CBP zajmie stanowisko w związku z postępowaniami administracyjnymi i sądowymi wynikającymi z wniosków składanych na mocy FOIA
o ujawnienie informacji zawartych w PNR uzyskanych od przewoźników lotniczych, że rejestry te wyłączone są z ujawnienia zgodnie
z FOIA.
[…]
29)      CBP będzie według własnego uznania dostarczać dane zawarte w PNR innym organom rządowym, włącznie z zagranicznymi, odpowiedzialnymi
za walkę z terroryzmem lub ściganie przestępstw, na zasadzie jednostkowych przypadków, do celów zapobiegania […] przestępstwom
wymienionym w ust. 3 niniejszego dokumentu [i zwalczania ich]. (Organy, z którymi CBP może dzielić się takimi danymi zwane
są dalej »Wyznaczonymi Organami«).
30)      CBP będzie rozsądnie wykonywać swoje prawo do uznaniowego przekazywania danych zawartych w PNR dla wyżej wymienionych celów.
CBP najpierw określi, czy powód do ujawnienia danych zawartych w PNR innemu Wyznaczonemu Organowi mieści się w ramach wymienionych
celów (patrz ust. 29 niniejszego dokumentu). Jeżeli tak, CBP określi, czy dany Wyznaczony Organ jest odpowiedzialny za zapobieganie,
prowadzenie dochodzeń i ściganie naruszeń, lub za stosowanie bądź wdrażanie statutu lub przepisów związanych z tymi celami,
w przypadku gdy CBP jest świadome wskazania naruszenia lub potencjalnego naruszenia prawa. Zasadność ujawnienia będzie wymagać
przeglądu w świetle przedstawionych okoliczności.
[…]
35)      Żadne stwierdzenie w niniejszych Zobowiązaniach nie utrudni wykorzystania lub ujawnienia danych zawartych w PNR w postępowaniach
karnych oraz w innych przypadkach wymaganych przez prawo. CBP będzie doradzać Komisji w sprawie prawodawstwa Stanów Zjednoczonych,
które wpływa co do meritum na niniejsze Zobowiązania.
[…]
46)      Niniejsze Zobowiązania stosuje się przez okres trzech lat i sześciu miesięcy (3,5 roku) począwszy od daty wejścia w życie
umowy pomiędzy Stanami Zjednoczonymi a Wspólnotą Europejską, zezwalającej na przetwarzanie danych zawartych w PNR przez przewoźników
lotniczych do celów przesyłania ich do CBP, zgodnie z Dyrektywą. […]
47)      Niniejsze Zobowiązania nie tworzą ani nie przyznają żadnych praw lub korzyści osobom lub stronom tak prywatnym, jak i publicznym.
[…]”.
27     Załącznik A do zobowiązań określa „elementy danych zawartych w PNR” wymaganych przez CBP od przewoźników lotniczych. Należą
do nich między innymi „numer rezerwacji PNR”, data rezerwacji, nazwisko, adres, sposób płatności, numer telefonu, biuro podróży,
status podróżny pasażera („travel status”), adres poczty elektronicznej, uwagi ogólne, numer miejsca, informacja o pasażerze,
który nie dokonał uprzedniej rezerwacji oraz „wszelkie zebrane informacje APIS”.
28     Rada wydała decyzję 2004/496 w szczególności na podstawie art. 95 WE w związku z art. 300 ust. 2 akapit pierwszy zdanie pierwsze WE.
29     Zgodnie z trzema motywami tej decyzji:
„1)      Dnia 23 lutego 2004 r. Rada upoważniła Komisję do negocjowania w imieniu Wspólnoty Porozumienia ze Stanami Zjednoczonymi Ameryki
w sprawie przetwarzania i przekazywania danych dot. nazwy rekordu pasażera (PNR) przez przewoźników lotniczych do Departamentu
Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych Ameryki, Biura Ceł i Ochrony Granic.
2)      Parlament Europejski nie przedstawił swojej opinii w terminie wyznaczonym zgodnie z pierwszym akapitem art. 300 ust. 3 Traktatu
przez Radę, w związku z pilną potrzebą zapobieżenia sytuacji niepewności, w której znajdują się linie lotnicze i pasażerowie,
i ochrony interesów finansowych zainteresowanych podmiotów.
3)      Niniejsze Porozumienie powinno zostać zatwierdzone”.
30     Artykuł 1 decyzji 2004/496 przewiduje, że:
„Porozumienie pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki w sprawie przetwarzania i przekazywania danych
dot. nazwy rekordu pasażera (PNR) przez przewoźników lotniczych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych,
Biura Ceł i Ochrony Granic niniejszym jest zatwierdzone w imieniu Wspólnoty.
Treść Porozumienia jest załączona do niniejszej decyzji”.
31     Porozumienie to (zwane dalej „porozumieniem”) zostało sformułowane następująco:
„Wspólnota Europejska i Stany Zjednoczone Ameryki,
uznając znaczenie poszanowania podstawowych praw i wolności, w szczególności prywatności oraz znaczenie poszanowania tych
wartości podczas zapobiegania terroryzm[owi] i związany[m] z nim przestępstw[om] oraz inny[m] poważny[m] przestępstw[om],
o ponadnarodowym charakterze, włącznie z przestępczością zorganizowaną [i zwalczania ich],
uwzględniając ustawy i rozporządzenia Stanów Zjednoczonych, które wymagają od każdego przewoźnika lotniczego obsługującego
loty pasażerskie w zagranicznym transporcie lotniczym do lub ze Stanów Zjednoczonych elektronicznego udostępnienia Departamentowi
Bezpieczeństwa Wewnętrznego (zwanego dalej „DHS”), Biura Ceł i Ochrony Granic (zwanego dalej „CBP”) danych dotyczących nazwy
rekordu pasażera (zwanej dalej „PNR”) w zakresie, w jakim są one gromadzone i przechowywane w automatycznych systemach kontroli
rezerwacji/odlotów przewoźników lotniczych,
uwzględniając dyrektywę 95/46/WE […], a w szczególności jej art. 7 lit. c),
uwzględniając zobowiązania Biura Ceł i Ochrony Granic (CBP) wydane dnia 11 maja 2004, które zostaną opublikowane w Federalnym
Rejestrze (zwane dalej »zobowiązaniami«),
uwzględniając decyzję Komisji [2004/535/WE] przyjętą dnia 14 maja 2004 roku, zgodnie z art. 25 ust. 6 dyrektywy 95/46/WE,
zgodnie z którym Biuro Ceł i Ochrony Granic (CBP) uznawane jest za podmiot zapewniający odpowiedni poziom ochrony danych dot.
nazwy rekordu pasażera (PNR) przekazywanych ze Wspólnoty Europejskiej (zwanej dalej »Wspólnotą«) a dotyczących lotów do i ze
Stanów Zjednoczonych zgodnie z zobowiązaniami, które zostały do niej załączone (zwaną dalej »decyzją«),
zwracając uwagę, że przewoźnicy lotniczy z systemami kontroli rezerwacji/odlotów znajdującymi się na terytorium państw członkowskich
Wspólnoty Europejskiej powinni zająć się transmisją danych dot. nazwy rekordu pasażera (PNR) do Biura Ceł i Ochrony Granic
(CBP) kiedy tylko będzie to możliwe pod względem technicznym, jednak do tego czasu władze Stanów Zjednoczonych powinny mieć
prawo bezpośredniego dostępu do tych danych, zgodnie z przepisami tego Porozumienia,
[…]
uzgodni[ły] co następuje:
1.       Biuro Ceł i Ochrony Granic (CBP) posiada elektroniczny dostęp do danych dot. nazwy rekordu pasażera (PNR) pochodzących z systemów
kontroli rezerwacji/odlotów przewoźników lotniczych („systemy rezerwacji”) znajdujących się na terytoriach państw członkowskich
Wspólnoty Europejskiej w ścisłej zgodności z decyzją i tak długo dopóki decyzja ma zastosowanie i jedynie do momentu kiedy
wprowadzenia zadowalającego systemu pozwalającego na przekazywanie takich danych przez przewoźników lotniczych.
[Tekst w wersji angielskiej brzmi następująco: »CBP may electronically access the PNR data from air carriers reservation/departure
control systems (’reservation systems’) located within the territory of the Member State of the European Community strictly
in accordance with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system
in place allowing for transmission of such data by the air carriers«].
2.       Przewoźnicy lotniczy obsługujący loty pasażerskie w zagranicznym transporcie powietrznym do i ze Stanów Zjednoczonych przetwarzają
dane dotyczące nazwy rekordu pasażera (PNR) zawarte w ich automatycznych systemach rezerwacji, zgodnie z wymaganiami Biura
Ceł i Ochrony Granic (CBP) odpowiednio do prawa Stanów Zjednoczonych i w ścisłej zgodności z decyzją oraz tak długo dopóki
decyzja ma zastosowanie.
3.       Biuro Ceł i Ochrony Granic (CBP) przyjmuje do wiadomości decyzję i stwierdza, że wprowadza w życie zobowiązania załączone
do niej.
4.       Biuro Ceł i Ochrony Granic (CBP) przetwarza otrzymane dane i traktuje przedmiot danych objętych takim przetwarzaniem zgodnie
z obowiązującym prawem Stanów Zjednoczonych oraz wymaganiami konstytucyjnymi, bez bezprawnej dyskryminacji, w szczególności
dyskryminacji ze względu na przynależność państwową i kraj zamieszkania.
[…]
7.      Niniejsze Porozumienie wchodzi w życie po jego podpisaniu. Każda ze stron może wypowiedzieć niniejsze Porozumienie w dowolnym
czasie poprzez notyfikację przez kanały dyplomatyczne. Wypowiedzenie staje się skuteczne w dziewięćdziesiątym (90) dniu od
dnia notyfikacji wypowiedzenia drugiej stronie. Niniejsze Porozumienie może być zmienione w dowolnym czasie za wspólna zgodą
stron wyrażoną na piśmie.
8.       Celem tego Porozumienia nie jest ani uchylenie ani zmiana ustawodawstwa stron; ani również stworzenie lub przyznanie jakiegokolwiek
prawa czy korzyści jakiejkolwiek osobie lub podmiotowi, prywatnemu albo publicznemu”.
32     Według informacji Rady dotyczącej daty wejścia w życie (Dz.U. 2004 C 158, str. 1) porozumienie, podpisane w Waszyngtonie w dniu
28 maja 2004 r. przez przedstawiciela państwa przewodniczącego Radzie oraz przez sekretarza bezpieczeństwa wewnętrznego Stanów
Zjednoczonych Ameryki, weszło w życie, zgodnie z jego pkt 7, z dniem podpisania.

Okoliczności poprzedzające wniesienie skarg
33     W związku z atakami terrorystycznymi z 11 września 2001 r. Stany Zjednoczone wydały przepisy zobowiązujące przewoźników lotniczych
realizujących połączenia do lub ze Stanów Zjednoczonych do zapewnienia organom celnym tego państwa elektronicznego dostępu
do danych zawartych w ich automatycznych systemach rezerwacji i kontroli wylotów, określanych jako „Passenger Name Record”
(zwanych dalej „danymi PNR”). Komisja, uznając troskę o zapewnienie bezpieczeństwa za w pełni zasadną, poinformowała jednak
władze Stanów Zjednoczonych w czerwcu 2002 r., że przepisy te mogą stać w sprzeczności z ustawodawstwem wspólnotowym i państw
członkowskich w zakresie ochrony danych oraz z pewnymi przepisami rozporządzenia Rady nr 2299/89 z dnia 24 lipca 1989 r. w sprawie
kodeksu postępowania dla komputerowych systemów rezerwacji (Dz.U. L 220, str. 1), zmienionego rozporządzeniem Rady nr 323/1999
z dnia 8 lutego 1999 r. (Dz.U. L 40, str. 1). Władze Stanów Zjednoczonych przesunęły w czasie wejście w życie nowych przepisów,
lecz odmówiły ostatecznie odstąpienia od stosowania sankcji wobec przedsiębiorstw lotniczych nieprzestrzegających przepisów
o elektronicznym dostępie do danych PNR po dniu 5 marca 2003 r. Od tego momentu liczne duże przedsiębiorstwa lotnicze z Unii
Europejskiej udzieliły tym władzom dostępu do ich danych PNR.
34     Komisja rozpoczęła negocjacje z władzami Stanów Zjednoczonych, w wyniku których CBP wydało dokument zawierający zobowiązania
(„undertakings”), pozwalające Komisji na wydanie na podstawie art. 25 ust. 6 dyrektywy decyzji o odpowiedniej ochronie.
35     W dniu 13 czerwca 2003 r. grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, ustanowiona
na podstawie art. 29 dyrektywy, wydała opinię, zawierającą wątpliwości co do poziomu ochrony danych, jaki zapewniają wspomniane
zobowiązania w stosunku do zamierzonych sposobów przetwarzania. Grupa powtórzyła te wątpliwości w opinii z dnia 29 stycznia
2004 r.
36     W dniu 1 marca 2004 r. Komisja wniosła do Parlamentu, na podstawie art. 25 ust. 6 dyrektywy, projekt decyzji o odpowiedniej
ochronie, wraz z projektem zobowiązań CBP.
37     W dniu 17 marca 2004 r. Komisja przekazała Parlamentowi projekt decyzji Rady dotyczącej zawarcia umowy ze Stanami Zjednoczonymi
celem przeprowadzenia konsultacji wymaganej przez art. 300 ust. 3 akapit pierwszy WE. Pismem z dnia 25 marca 2004 r., w trybie
pilnym, Rada zwróciła się do Parlamentu o wydanie opinii na temat tego projektu do dnia 22 kwietnia 2004 r. W piśmie tym Rada
podkreśliła, że „walka z terroryzmem, uzasadniająca projektowane postanowienia, stanowi jeden z podstawowych priorytetów Unii
Europejskiej, [że] w chwili obecnej przewoźnicy lotniczy oraz pasażerowie znajdują się w sytuacji niepewności, którą należy
pilnie zakończyć, [oraz że], dodatkowo, należy zabezpieczyć interesy finansowe podmiotów, których sprawa dotyczy”.
38     W dniu 31 marca 2004 r. Parlament, na podstawie art. 8 decyzji Rady 1999/468/WE z dnia 28 czerwca 1999 r. ustanawiającej warunki
wykonywania uprawnień wykonawczych przyznanych Komisji (Dz.U. L 184, str. 23), przyjął uchwałę, zawierającą szereg zastrzeżeń
natury prawnej dotyczących przedstawionego mu projektu. W uchwale tej uznał w szczególności, że projekt decyzji o odpowiedniej
ochronie wykracza poza kompetencje powierzone Komisji na mocy art. 25 dyrektywy. Wezwał do zawarcia odpowiedniej umowy międzynarodowej
zapewniającej poszanowanie praw podstawowych w kilku kwestiach wymienionych w uchwale oraz zwrócił się do Komisji o przedłożenie
mu nowego projektu decyzji. Zastrzegł sobie ponadto prawo do wystąpienia do Trybunału o zbadanie zgodności z prawem projektowanej
umowy międzynarodowej, a w szczególności jej zgodności z prawem do poszanowania prywatności.
39     W dniu 21 kwietnia 2004 r., na wniosek przewodniczącego, Parlament zatwierdził zalecenie komisji do spraw prawnych i rynku
wewnętrznego, mówiące o konieczności zwrócenia się, na podstawie art. 300 ust. 6 WE, o opinię Trybunału w przedmiocie zgodności
projektowanej umowy z postanowieniami traktatu. Postępowanie zostało wszczęte tego samego dnia.
40     Parlament postanowił też, tego samego dnia, odesłać do komisji sprawozdanie o projekcie decyzji Rady, odrzucając tym samym
w sposób dorozumiany wniosek Rady z dnia 25 marca o rozpatrzenie tego projektu w trybie pilnym.
41     W dniu 28 kwietnia tego samego roku Rada wystosowała do Parlamentu, na podstawie art. 300 ust. 3 akapit pierwszy WE, pismo,
w którym zwróciła się do niego o wydanie do dnia 5 maja 2004 r. opinii o projekcie decyzji dotyczącej zawarcia umowy. Na uzasadnienie
pilności sprawy powtórzyła argumenty zawarte w piśmie z dnia 25 marca 2004 r.
42     Ustaliwszy, że w dalszym ciągu brak jest kompletu wersji językowych projektu decyzji Rady, Parlament odrzucił w dniu 4 maja
2004 r. wniosek Rady z dnia 28 kwietnia o jego rozpatrzenie w trybie pilnym.
43     W dniu 14 maja tego samego roku Komisja wydała decyzję o odpowiedniej ochronie, stanowiącą przedmiot sprawy C‑318/04. W dniu
17 maja 2004 r. Rada wydała decyzję 2004/496, stanowiącą przedmiot sprawy C‑317/04.
44     Pismem z dnia 4 czerwca 2004 r. państwo członkowskie przewodniczące Radzie poinformowało Parlament, że decyzja 2004/496 ma
na względzie walkę z terroryzmem – priorytet Unii – ale także konieczność zakończenia okresu niepewności prawnej, w jakiej
znajdują się przedsiębiorstwa lotnicze, oraz ochronę ich interesów finansowych.
45     Pismem z dnia 9 lipca 2004 r. Parlament poinformował Trybunał o wycofaniu wniosku o wydanie opinii zarejestrowanego pod numerem
1/04.
46     Postanowieniami prezesa Trybunału z dnia 18 listopada 2004 r. i 18 stycznia 2005 r. Komisja i Zjednoczone Królestwo Wielkiej
Brytanii i Irlandii Północnej zostały dopuszczone do udziału w postępowaniu w sprawie C‑317/04 w charakterze interwenientów
popierających żądania Rady.
47     Postanowieniem prezesa Trybunału z dnia 17 grudnia 2004 r. Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej zostało
dopuszczone do udziału w postępowaniu w sprawie C‑318/04 w charakterze interwenienta popierającego żądania Komisji.
48     Postanowieniami Trybunału z dnia 17 marca 2005 r. Europejski Inspektor Ochrony Danych został dopuszczony do udziału w postępowaniu
w obu sprawach w charakterze interwenienta popierającego żądania Parlamentu.
49     Wobec powiązania między tymi sprawami, potwierdzonego w trakcie procedury ustnej, należy, zgodnie z art. 43 regulaminu, połączyć
je do celów wydania wyroku.

W przedmiocie skargi w sprawie C‑318/04
50     Parlament podnosi cztery podstawy nieważności, dotyczące kolejno: nadużycia władzy, naruszenia podstawowych zasad dyrektywy,
naruszenia praw podstawowych oraz naruszenia zasady proporcjonalności.

W przedmiocie części pierwszej zarzutu pierwszego, opartej na naruszeniu art. 3 ust. 2 tiret pierwsze dyrektywy
Argumentacja stron
51     Parlament utrzymuje, że decyzja Komisji wydana została ultra vires, ponieważ naruszono przepisy dyrektywy, a w szczególności
jej art. 3 ust. 2 tiret pierwsze, dotyczące wyłączenia działalności niepodlegającej zakresowi stosowania prawa wspólnotowego.
52     Niewątpliwe jest jego zdaniem, że przetwarzanie danych PNR po ich przekazaniu organom amerykańskim, o których mowa w decyzji
o odpowiedniej ochronie, ma i będzie mieć miejsce w ramach działań leżących w kompetencji państw, w rozumieniu pkt 43 wyroku
z dnia 6 listopada 2003 r. w sprawie C‑101/01 Lindqvist, Rec. str. I‑12971.
53     Komisja, popierana przez Zjednoczone Królestwo, jest zdania, że działalność przewoźników lotniczych w sposób oczywisty wchodzi
w zakres stosowania prawa wspólnotowego. Argumentuje ona, że to wspomniane podmioty prywatne przetwarzają dane PNR na terytorium
Wspólnoty i przekazują je państwu trzeciemu. Chodzi tu więc o działalność jednostek, a nie państwa członkowskiego, na którego
terytorium działają zainteresowani przewoźnicy czy jego władz publicznych, w rozumieniu ustalonym przez Trybunał w pkt 43
ww. wyroku w sprawie Lindqvist. Przewoźnicy lotniczy, w ramach przetwarzania danych PNR, mają na celu jedynie zastosowanie
się do wymogów prawa wspólnotowego, w tym do zobowiązania nałożonego na nich w pkt 2 porozumienia. Artykuł 3 ust. 2 dyrektywy
odnosi się jej zdaniem do działalności władz publicznych niewchodzącej w zakres zastosowania prawa wspólnotowego.
Ocena Trybunału
54     Artykuł 3 ust. 2 tiret pierwsze dyrektywy wyłącza z jej zakresu zastosowania przetwarzanie danych osobowych w ramach działalności
wykraczającej poza zakres zastosowania prawa wspólnotowego, na przykład działalności, o której mowa w tytułach V i VI traktatu
o Unii Europejskiej oraz, w każdym wypadku, przetwarzanie w celu ochrony bezpieczeństwa publicznego, obronności, bezpieczeństwa
państwa, a także w ramach działalności państwa w zakresie prawa karnego.
55     Decyzja o odpowiedniej ochronie dotyczy jedynie danych PNR przekazywanych CBP. Zgodnie z motywem szóstym tej decyzji wymóg
ich przekazywania wynika z ustawy wydanej w Stanach Zjednoczonych w listopadzie 2001 r. oraz z rozporządzeń wykonawczych wydanych
przez CBP na podstawie tej ustawy. Zgodnie z motywem siódmym tej decyzji wspomniane przepisy amerykańskie dotyczą wzmocnienia
bezpieczeństwa oraz zaostrzenia warunków wjazdu na terytorium Stanów Zjednoczonych i wyjazdu z niego. Jak wynika z motywu
ósmego, Wspólnota w pełni popiera Stany Zjednoczone w walce z terroryzmem, w granicach wyznaczonych prawem wspólnotowym. W motywie
piętnastym decyzji stwierdza się, że dane PNR mogą być używane jedynie w celu zapobiegania terroryzmowi i przestępczości związanej
z terroryzmem, innym poważnym przestępstwom, w tym przestępczości zorganizowanej, która z natury ma charakter międzynarodowy
i zwalczania ich, a także zapobiegania ucieczkom w razie wydania nakazu aresztowania lub zatrzymania w związku z jednym z wymienionych
przestępstw.
56     Jak z tego wynika, przekazywanie CBP danych PNR stanowi przetwarzanie danych w celu ochrony bezpieczeństwa publicznego oraz
w ramach działalności państwa w zakresie prawa karnego.
57     O ile rzeczywiście dane PNR są początkowo gromadzone przez przedsiębiorstwa lotnicze w ramach działalności podlegającej prawu
wspólnotowemu, to znaczy sprzedaży biletów lotniczych, uprawniających do korzystania z usługi transportu, o tyle przetwarzanie
danych unormowane w decyzji o odpowiedniej ochronie ma zupełnie odmienny charakter. Decyzja ta, jak przypomniano w pkt 55
niniejszego wyroku, nie dotyczy bowiem przetwarzania danych niezbędnego w celu świadczenia usług, lecz uznanego za niezbędne
w celu ochrony bezpieczeństwa publicznego oraz w celu zwalczania przestępczości.
58     W pkt 43 ww. wyroku w sprawie Lindqvist, na który powołuje się Komisja w odpowiedzi na skargę, Trybunał orzekł, że rodzaje
działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy stanowią w każdym razie działalność właściwą
państwom i władzom państwowym, odmienną od dziedzin działalności podmiotów indywidualnych. Nie wynika stąd jednak, by przekazywanie
danych PNR nie wchodziło w zakres zastosowania tego przepisu, tylko dlatego, że dane te gromadzone są przez podmioty prywatne
do celów działalności gospodarczej i że to te podmioty przekazują dane do państwa trzeciego. Przekazanie to następuje bowiem
w ramach ustanowionych przez władze publiczne i mających na celu ochronę bezpieczeństwa publicznego.
59     Z powyższych rozważań wynika więc, że decyzja o odpowiedniej ochronie dotyczy przetwarzania danych w rozumieniu art. 3 ust. 2
tiret pierwsze dyrektywy. Decyzja ta nie wchodzi zatem w zakres zastosowania dyrektywy.
60     Stąd część pierwsza zarzutu pierwszego, oparta na naruszeniu art. 3 ust. 2 tiret pierwsze dyrektywy, jest zasadna.
61     W związku z powyższym i bez konieczności rozpatrywania innych części zarzutu pierwszego oraz pozostałych zarzutów podniesionych
przez Parlament należy stwierdzić nieważność decyzji o odpowiedniej ochronie.

W przedmiocie skargi w sprawie C‑317/04
62     Parlament podnosi sześć podstaw nieważności, dotyczących błędnego wyboru art. 95 WE jako podstawy prawnej decyzji 2004/496
oraz naruszenia kolejno: art. 300 ust. 3 akapit drugi WE, art. 8 EKPC, zasady proporcjonalności, wymogu uzasadnienia oraz
zasady lojalnej współpracy.

W przedmiocie zarzutu pierwszego, dotyczącego błędnego wyboru art. 95 WE jako podstawy prawnej decyzji 2004/496
Argumentacja stron
63     Parlament podnosi, że art. 95 WE nie stanowi właściwej podstawy prawnej dla decyzji 2004/496. Decyzja ta nie ma za cel ani
przedmiot ustanowienia lub zapewnienia funkcjonowania rynku wewnętrznego poprzez działanie na rzecz zniesienia ograniczeń
w swobodzie świadczenia usług i nie zawiera postanowień służących realizacji takiego celu. Ma ona bowiem za cel legalizację
przetwarzania danych osobowych wymaganego przez ustawodawstwo Stanów Zjednoczonych. Ponadto art. 95 WE nie może stanowić podstawy
kompetencji Wspólnoty do zawarcia porozumienia, ponieważ dotyczy ono przetwarzania danych wyłączonego z zakresu zastosowania
dyrektywy.
64     Rada utrzymuje, że dyrektywa, wydana zgodnie z prawem na podstawie art. 100 A traktatu, zawiera w art. 25 przepisy przewidujące
możliwość przekazania danych osobowych do państwa trzeciego zapewniającego odpowiedni stopień ochrony, w tym możliwość podjęcia
w razie potrzeby negocjacji w celu zawarcia przez Wspólnotę umowy z tym państwem. Porozumienie dotyczy jej zdaniem swobody
przepływu danych PNR między Wspólnotą a Stanami Zjednoczonymi w warunkach zapewniających poszanowanie wolności i praw podstawowych,
w szczególności ochrony prywatności. Ma ono na celu zapobieganie wszelkim zakłóceniom konkurencji między przedsiębiorstwami
lotniczymi z państw członkowskich oraz między nimi a przedsiębiorstwami lotniczymi z państw trzecich, jakie mogą wynikać z wymogów
nałożonych przez Stany Zjednoczone ze względów ochrony praw i wolności człowieka. Warunki konkurencji między przedsiębiorstwami
lotniczymi z państw członkowskich świadczącymi usługi międzynarodowego przewozu pasażerów do i ze Stanów Zjednoczonych mogłyby
zostać zakłócone z tego powodu, że tylko niektóre z nich udostępniły władzom Stanów Zjednoczonych swoje bazy danych. Porozumienie
miało zdaniem Rady za cel nałożenie jednakowych zobowiązań na wszystkie przedsiębiorstwa lotnicze.
65     Komisja podkreśla istnienie „konfliktu norm” w rozumieniu prawa międzynarodowego publicznego między prawem Stanów Zjednoczonych
a ustawodawstwem wspólnotowym oraz konieczność ich pogodzenia. Zarzuca Parlamentowi, który kwestionuje wybór art. 95 WE jako
podstawy prawnej decyzji 2004/496, iż nie zaproponował on właściwej podstawy prawnej. Zdaniem Komisji wspomniany artykuł stanowi
„naturalną podstawę prawną” dla tej decyzji, gdyż porozumienie dotyczy zewnętrznego wymiaru ochrony danych osobowych podczas
ich przekazywania wewnątrz Wspólnoty. Artykuły 25 i 26 dyrektywy powierzają Wspólnocie kompetencję wyłączną w tej dziedzinie.
66     Ponadto Komisja argumentuje, że pierwotne przetwarzanie tych danych przez przedsiębiorstwa lotnicze następuje dla celów działalności
gospodarczej. Użytek, jaki z tych danych czynią władze Stanów Zjednoczonych, nie powoduje ich wyłączenia spod działania dyrektywy.
Ocena Trybunału
67     Artykuł 95 WE, w związku z art. 25 dyrektywy, nie może stanowić podstawy kompetencji Wspólnoty do zawarcia porozumienia.
68     Porozumienie dotyczy bowiem tego samego przekazywania danych co decyzja o odpowiedniej ochronie, czyli przetwarzania danych
wyłączonego, jak zostało to stwierdzone powyżej, z zakresu zastosowania dyrektywy.
69     W związku z tym decyzja 2004/496 nie mogła zostać zgodnie z prawem wydana na podstawie art. 95 WE.
70     Należy zatem stwierdzić nieważność tej decyzji, bez potrzeby rozpatrywania pozostałych zarzutów Parlamentu.

W przedmiocie ograniczenia skutków wyroku
71     Z pkt 7 porozumienia wynika, że każda ze stron może wypowiedzieć je w każdym czasie i że przestaje ono obowiązywać po 90 dniach
od notyfikowania wypowiedzenia drugiej stronie.
72     Jednakże, zgodnie z pkt 1 i 2 porozumienia, prawo dostępu CBP do danych PNR oraz nałożone na przewoźników lotniczych zobowiązanie
do uznawania ich za żądane przez CBP pozostaje w mocy tylko przez okres obowiązywania decyzji o odpowiedniej ochronie. W pkt 3
porozumienia CBP oświadcza, że wdroży zobowiązania załączone do tej decyzji.
73     Wziąwszy pod uwagę, że po pierwsze Wspólnota nie może powoływać się na obowiązujące prawo wewnętrzne dla uzasadnienia niewywiązywania
się z porozumienia, które pozostaje w mocy przez okres 90 dni od wypowiedzenia, a po drugie że istnieje ścisły związek między
porozumieniem a decyzją o odpowiedniej ochronie, wydaje się zasadne, ze względów pewności prawa i w celu ochrony osób zainteresowanych,
utrzymać w mocy skutki decyzji przez ten okres. Ponadto należy uwzględnić czas niezbędny na podjęcie działań mających na celu
wykonanie niniejszego wyroku.
74     Należy zatem utrzymać w mocy skutki decyzji o odpowiedniej ochronie do dnia 30 września 2006 r., jednak nie dłużej niż do
dnia wygaśnięcia porozumienia.

W przedmiocie kosztów
75     Zgodnie z art. 69 § 2 regulaminu Trybunału kosztami zostaje obciążona, na żądanie strony przeciwnej, strona przegrywająca
sprawę. Ponieważ Parlament wniósł o obciążenie Rady i Komisji kosztami postępowania, a one przegrały sprawę, należy je obciążyć
kosztami postępowania. Zgodnie z art. 69 § 4 akapit pierwszy interwenienci w niniejszych sprawach pokryją własne koszty.
Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
1)
Stwierdza się nieważność decyzji Rady 2004/496/WE z dnia 17 maja 2004 r. w sprawie zawarcia Porozumienia pomiędzy Wspólnotą
Europejską a Stanami Zjednoczonymi Ameryki w sprawie przetwarzania i przekazywania danych dot. nazwy rekordu pasażera (PNR)
przez przewoźników lotniczych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych, Biura Ceł i Ochrony Granic
oraz decyzji Komisji 2004/535/WE z dnia 14 maja 2004 r. w sprawie odpowiedniej ochrony danych osobowych zawartych w Passenger
Name Record (PNR) pasażerów lotniczych przekazywanych do Biura Celnego i Ochrony Granic Stanów Zjednoczonych.
2)
Skutki decyzji 2004/535 zostają utrzymane w mocy do dnia 30 września 2006 r., nie dłużej jednak niż do dnia wygaśnięcia wspomnianego
porozumienia.
3)
Rada Unii Europejskiej zostaje obciążona kosztami postępowania w sprawie C‑317/04.
4)
Komisja Wspólnot Europejskich zostaje obciążona kosztami postępowania w sprawie C‑318/04.
5)
Komisja Wspólnot Europejskich pokrywa własne koszty w sprawie C‑317/04.
6)
Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej oraz Europejski Inspektor Ochrony Danych pokrywają własne koszty.
Podpisy
*
Język postępowania: francuski.