STANOVISKO GENERÁLNÍHO ADVOKÁTA

GIOVANNIHO PITRUZZELLY

přednesené dne 27. ledna 2022 ( 1 )

Věc C‑817/19

Ligue des droits humains

proti

Conseil des ministres

[žádost o rozhodnutí o předběžné otázce položená Cour constitutionnelle (Ústavní soud, Belgie)]

„Řízení o předběžné otázce – Ochrana osobních údajů – Zpracování údajů jmenné evidence cestujících (PNR) – Nařízení (EU) 2016/679 – Působnost – Směrnice (EU) 2016/681 – Platnost – Listina základních práv Evropské unie – Články 7, 8 a čl. 52 odst. 1“

Obsah

I. Úvod II. Právní rámec A. Unijní právo 1. Listina 2. GDPR 3. Směrnice PNR 4. Další relevantní akty unijního práva B. Belgické právo C. Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem III. Analýza A. K první předběžné otázce B. Ke druhé, třetí, čtvrté, šesté a osmé předběžné otázce 1. K základním právům uvedeným v článcích 7 a 8 Listiny 2. K zásahu do základních práv uvedených v článcích 7 a 8 Listiny 3. K odůvodnění zásahu vyplývajícího ze směrnice PNR a) K dodržení požadavku, podle něhož musí být každé omezení základního práva uznaného Listinou stanoveno zákonem b) K respektování podstaty práv zakotvených v článcích 7 a 8 Listiny c) K dodržení požadavku, podle něhož musí zásah odpovídat cíli obecného zájmu d) K dodržení zásady proporcionality 1) Ke způsobilosti zpracování údajů PNR uvedených ve směrnici PNR ve vztahu ke sledovanému cíli 2) K nezbytně nutné povaze zásahu i) K vymezení účelů zpracování údajů PNR ii) Ke kategoriím údajů PNR spadajícím do působnosti směrnice PNR (druhá a třetí předběžná otázka) – K dostatečně jasné a přesné povaze bodů 12 a 18 přílohy I (třetí předběžná otázka) – K rozsahu údajů vyjmenovaných v příloze I (druhá předběžná otázka) – K citlivým údajům iii) K pojmu „cestující“ (čtvrtá předběžná otázka) iv) K tomu, zda je předběžné posuzování cestujících dostatečně jasné, přesné a zda nepřekračuje meze toho, co je nezbytně nutné (šestá předběžná otázka) – K porovnání s databázemi ve smyslu čl. 6 odst. 3 písm. a) směrnice PNR – Ke zpracování údajů PNR na základě předem stanovených kritérií – K zárukám provázejícím automatické zpracování údajů PNR – Závěr k šesté předběžné otázce v) K uchovávání údajů PNR (osmá předběžná otázka) 4. Závěry ke druhé, třetí, čtvrté, šesté a osmé předběžné otázce C. K páté předběžné otázce D. K páté předběžné otázce E. K deváté předběžné otázce F. K desáté předběžné otázce IV. Závěry

I. Úvod

1. Prostřednictvím této žádosti o rozhodnutí o předběžné otázce pokládá Cour constitutionnelle (Ústavní soud, Belgie) Soudnímu dvoru soubor deseti předběžných otázek, které se týkají výkladu nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů) (dále jen „GDPR“) ( 2 ), jakož i platnosti a výkladu směrnice Evropského parlamentu a Rady (EU) 2016/681 ze dne 27. dubna 2016 o používání údajů jmenné evidence cestujících (PNR) pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti (dále jen „směrnice PNR“) ( 3 ) a směrnice Rady 2004/82/ES ze dne 29. dubna 2004 o povinnosti dopravců předávat údaje o cestujících (dále jen „směrnice API“) ( 4 ). Tyto otázky vyvstaly v souvislosti s žalobou, kterou podalo neziskové sdružení Ligue des droits humains (Liga pro lidská práva, LDH) a která směřuje k úplnému nebo částečnému zrušení zákona ze dne 25. prosince 2016 o zpracování osobních údajů o cestujících (dále jen „zákon PNR“) ( 5 ), kterým se do belgického práva provádí směrnice PNR, jakož i směrnice API.

2. Otázky, před nimiž Soudní dvůr stojí v projednávané věci, vystihují jedno z hlavních dilemat současného liberálně demokratického konstitucionalismu: jakým způsobem má být dosaženo rovnováhy mezi jednotlivcem a společenstvím ve století dat, kdy digitální technologie umožňují, aby byly shromažďovány, uchovávány, zpracovávány a analyzovány obrovské objemy osobních údajů za účelem prevence? Algoritmy, analýza velkých dat (Big Data) a umělá inteligence, to vše používají orgány veřejné moci s cílem prosazovat a chránit základní zájmy společnosti s účinností dříve nepředstavitelnou: počínaje ochranou veřejného zdraví a konče ekologickou udržitelností, počínaje bojem proti terorismu a konče prevencí trestné činnosti, zvláště té závažné. Současně se však může stát, že nerozlišující shromažďování osobních údajů a používání digitálních technologií ze strany orgánů veřejné moci povedou ke vzniku digitálního panoptikonu, tedy orgánu veřejné moci, který vidí vše, aniž je sám viděn. Vševědoucího orgánu, který je schopen kontrolovat a předvídat jednání každého z nás a přijímat nutná opatření, což může vyústit v absurdní situaci vymyšlenou Stevenem Spielbergem ve filmu Minority Report, kdy bude preventivně zbaven svobody pachatel trestného činu, který dosud nebyl spáchán. Je známo, že v některých zemích, kde ovládá společnost jednotlivce, umožňuje používání osobních údajů vykonávat zcela legitimně účinné hromadné sledování, jehož cílem je chránit veřejné zájmy, jež jsou považovány za základní. Na druhou stranu evropský – národní a nadnárodní – konstitucionalismus, který přiznává ústřední úlohu jednotlivci a jeho svobodám, klade překážky tomu, aby společnost uplatňovala hromadné sledování, zvláště uznáním základních práv na ochranu soukromí a na ochranu osobních údajů. Do jaké míry mohou být však tyto překážky kladeny, aniž budou závažným způsobem poškozeny některé základní zájmy společnosti – takové zájmy, jaké byly výše uvedeny jako příklad – které mohou mít rovněž kořeny v ústavě? Právě to je jádrem otázky, která řeší vztah mezi jednotlivcem a společenstvím v digitální společnosti. Je to otázka, která si žádá na jednu stranu hledání a vytvoření křehké rovnováhy mezi zájmy celku a právy jednotlivců, přičemž vychází z absolutního významu, který je jednotlivcům přičítán v evropském konstitucionálním systému, a na druhou stranu vyžaduje zavedení určitých záruk proti zneužití. Opět se dostáváme k současnému pojetí klasického tématu konstitucionalismu, neboť, jak výstižně komentoval Le Fédéraliste, lidé nejsou světci, a proto potřebujeme právní nástroje pro omezení a kontrolu veřejné moci.

3. Takové jsou obecné otázky, jimiž se bude toto stanovisko zabývat, a nelze jinak, než je soustředit na výklad unijního práva ve světle starší judikatury Soudního dvora, s použitím již zavedených metod, mezi něž patří i metoda konformního výkladu. Jedná se o metodu, která bude v tomto stanovisku používána tak často, jak to bude z právního hlediska možné, s cílem nalézt z pohledu ústavy onu nezbytnou rovnováhu mezi veřejnými cíli, z nichž vychází systém předávání, shromažďování a zpracování osobních údajů o cestujících (dále jen „údaje PNR“), a právy zakotvenými v článcích 7 a 8 Listiny základních práv Evropské unie (dále jen „Listina“).

II. Právní rámec

A. Unijní právo

1. Listina

4. V článku 7 Listiny se uvádí, že „[k]aždý má právo na respektování svého soukromého a rodinného života, obydlí a komunikace“.

5. Podle článku 8 Listiny: „1. Každý má právo na ochranu osobních údajů, které se ho týkají. 2. Tyto údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. Každý má právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu. 3. Na dodržování těchto pravidel dohlíží nezávislý orgán.“

6. Jak je uvedeno v čl. 52 odst. 1 Listiny, „[k]aždé omezení výkonu práv a svobod uznaných touto listinou musí být stanoveno zákonem a respektovat podstatu těchto práv a svobod. Při dodržení zásady proporcionality mohou být omezení zavedena pouze tehdy, pokud jsou nezbytná a pokud skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého“.

2. GDPR

7. Článek 2 odst. 2 písm. d) GDPR vylučuje z působnosti tohoto nařízení zpracování osobních údajů prováděné „příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení“.

8. Podle čl. 23 odst. 1 písm. d) GDPR: „Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit: […] d) prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“

3. Směrnice PNR

9. Níže poskytnu pouze stručný přehled fungování systému zavedeného směrnicí PNR. Obsahem ustanovení směrnice PNR, který je relevantní pro účely zodpovězení předběžných otázek, se budu podrobněji zabývat v rámci právní analýzy.

10. Jak je uvedeno v článku 1 směrnice PNR, která byla přijata na základě čl. 82 odst. 1 písm. d) SFEU a čl. 87 odst. 2 písm. a) SFEU, tato směrnice upravuje na úrovni Evropské unie systém předávání údajů PNR leteckými dopravci na letech mimo EU ( 6 ), jakož i systém shromažďování, zpracování a uchovávání těchto údajů příslušnými orgány členských států pro účely boje proti terorismu a závažné trestné činnosti.

11. Podle čl. 3 bodu 5 této směrnice se „jmennou evidencí cestujících“ či „PNR“ rozumí „evidence cestovních požadavků každého cestujícího, která obsahuje všechny potřebné informace, jež umožňují rezervujícím a zúčastněným leteckým dopravcům zpracovávat a kontrolovat rezervace u každé cesty rezervované kterýmkoliv cestujícím nebo jeho jménem bez ohledu na to, zda je uvedena v rezervačních systémech, kontrolních systémech odletů užívaných pro přihlášení cestujících k letu nebo jiných rovnocenných systémech poskytujících stejné funkce“.

12. Příloha I směrnice PNR (dále jen „příloha I“) obsahuje výčet údajů PNR shromažďovaných leteckými dopravci, které jsou předávány ve smyslu článku 8 této směrnice a za podmínek stanovených týmž článkem.

13. Příloha II směrnice PNR (dále jen „příloha II“) obsahuje seznam trestných činů, které jsou „závažným trestným činem“ ve smyslu čl. 3 bodu 9 této směrnice.

14. Článek 2 směrnice PNR stanoví, že se členské státy mohou rozhodnout používat tuto směrnici i na „lety uvnitř EU“ ( 7 ) nebo na některé z nich, které považují za „nezbytné“ pro dosažení cílů zmíněné směrnice.

15. Jak stanoví čl. 4 odst. 1 směrnice PNR, „[k]aždý členský stát zřídí nebo určí orgán příslušný pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti či pobočku tohoto orgánu jako svůj [útvar pro informace o cestujících]“. Podle čl. 4 odst. 2 písm. a) je útvar pro informace o cestujících odpovědný zejména za shromažďování údajů PNR od leteckých dopravců a uchovávání, zpracování a předávání těchto údajů nebo výsledků jejich zpracování příslušným orgánům uvedeným v článku 7 směrnice PNR. Podle čl. 7 odst. 2 se těmito orgány rozumí „orgány, které jsou příslušné k prevenci, odhalování, vyšetřování nebo stíhání teroristických trestných činů nebo závažné trestné činnosti“ ( 8 ).

16. Jak je stanoveno v čl. 6 odst. 1 druhé větě směrnice PNR, „[p]okud údaje PNR předávané leteckými dopravci obsahují jiné údaje než údaje uvedené v příloze I, útvar pro informace o cestujících tyto údaje po obdržení ihned a trvale zlikviduje“. Odstavec 2 tohoto článku zní následovně: „2. Útvar pro informace o cestujících zpracovává údaje PNR pouze pro tyto účely: a) posuzování cestujících před jejich plánovaným příletem do nebo odletem z členského státu za účelem identifikace osob, u kterých je vyžadováno další prověření příslušnými orgány uvedenými v článku 7, případně Europolem podle článku 10, vzhledem k tomu, že tyto osoby mohou být zapojeny do teroristického trestného činu nebo závažného trestného činu; b) reakce, na základě posouzení jednotlivých případů, po podání řádně zdůvodněné žádosti založené na dostatečných poznatcích příslušných orgánů o poskytnutí a zpracování údajů PNR v konkrétních případech za účelem prevence, odhalování, vyšetřování a stíhání teroristického trestného činu nebo závažného trestného činu nebo poskytnutí výsledků tohoto zpracování příslušným orgánům a případně Europolu; c) analýza údajů PNR za účelem aktualizace nebo vytvoření nových kritérií, která mají být použita při posuzování prováděných podle odst. 3 písm. b) s cílem identifikovat osoby, které mohou být zapojeny do teroristického trestného činu nebo do závažného trestného činu.“

17. Článek 12 směrnice PNR obsahuje ustanovení týkající se uchovávání údajů PNR.

18. Článek 5 směrnice PNR stanoví, že každý útvar pro informace o cestujících jmenuje pracovníka pro ochranu údajů, který je odpovědný za sledování zpracování údajů PNR a dodržování příslušných záruk. Podle článku 15 této směrnice je každý členský stát povinen pověřit vnitrostátní orgán dohledu uvedený v článku 25 rámcového rozhodnutí 2008/977/SVV ( 9 ), které bylo nahrazeno směrnicí Evropského parlamentu a Rady (EU) 2016/680 ( 10 ) ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (dále jen „směrnice o ochraně údajů“), sledováním toho, jak jsou předpisy přijaté podle této směrnice uplatňovány na jeho území. Tento orgán, který vykonává svou činnost tak, aby byla chráněna základní práva týkající se zpracování osobních údajů ( 11 ) ,,se zejména zabývá stížnostmi, jež předloží kterýkoliv subjekt údajů, vyšetří danou záležitost a v přiměřené lhůtě informuje subjekt údajů o pokroku v řešení stížnosti a o jeho výsledku, a kromě toho také ověřuje zákonnost zpracování údajů, provádí šetření, inspekce a audity v souladu s vnitrostátním právem, a to z vlastního podnětu či na základě stížnosti“ ( 12 ).

4. Další relevantní akty unijního práva

19. Do právního rámce projednávané věci patří také směrnice API a směrnice o ochraně údajů. V zájmu přehlednosti tohoto stanoviska bude obsah relevantních ustanovení těchto aktů nastíněn pouze v rozsahu, který je nezbytný k zodpovězení otázek, jež s nimi souvisejí, a obecně v rozsahu potřebném pro právní analýzu.

B. Belgické právo

20. Podle článku 22 belgické Ústavy „má každý právo na respektování svého soukromého a rodinného života, vyjma případů a podmínek stanovených zákonem“.

21. Jak je stanoveno v článku 2 zákona PNR, tímto zákonem se do vnitrostátního právního řádu provádí směrnice API a směrnice PNR a částečně i směrnice 2010/65/EU ( 13 ).

22. Podle čl. 3 odst. 1 zákona PNR tento zákon ,,stanoví povinnosti dopravců a poskytovatelů cestovních služeb související s předáváním údajů o cestujících, kteří jsou přepravováni na vnitrostátní území, z vnitrostátního území nebo přes něj“. Článek 4 odst. 1 a 2 tohoto zákona stanoví, že ,,dopravcem“ se rozumí ,,jakákoliv fyzická nebo právnická osoba, jejímž povoláním je poskytovat leteckou, námořní, železniční nebo pozemní přepravu osob“ a ,,poskytovatelem cestovních služeb“ se rozumí ,,jakýkoliv organizátor nebo zprostředkovatel cestování ve smyslu loi du 16 février 1994 régissant le contrat d’organisation de voyages et le contrat d’intermédiaire de voyages (zákon ze dne 16. února 1994, kterým se upravuje smlouva o organizaci cestování a smlouva o zprostředkování cestování)“.

23. Článek 8 zákona PNR stanoví: ,,Odstavec 1. Osobní údaje se zpracovávají pro účely: 1) vyšetřování a stíhání, včetně výkonu trestů nebo opatření omezujících svobodu, která se týkají protiprávních jednání uvedených v čl. 90b odst. 2, […] 7, […] 8, […] 11, […] 14, […] 17, 18, 19 a čl. 90b odst. 3 Code d’instruction criminelle (trestní řád); 2) vyšetřování a stíhání, včetně výkonu trestů nebo opatření omezujících svobodu, která se týkají protiprávních jednání uvedených v článku 196, pokud jde o protiprávní jednání spočívající v padělání úředních a veřejných listin, a v článcích 198, 199, 199a, 207, 213, 375 a 505 Code pénal (trestní zákoník); 3) předcházení závažným narušením veřejné bezpečnosti v rámci násilné radikalizace formou monitorování událostí a skupin podle čl. 44/5 odst. 1 bodů 2 a 3 a odst. 2 loi du 5 août 1992 sur la fonction de police (zákon ze dne 5. srpna 1992 o policii); 4) monitorování činností uvedených v čl. 7 bodě 1 a 3/1 a čl. 11 odst. 1 bodech 1 až 3 a 5 loi du 30 novembre 1998 organique des services de renseignement et de sécurité (zákon ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách) ( 14 ); 5) vyšetřování a stíhání protiprávních jednání uvedených v čl. 220 odst. 2 loi générale sur les douanes et accises du 18 juillet 1977 (všeobecný zákon ze dne 18. července 1977 o clu a spotřebních daních) a v čl. 45 třetím pododstavci loi du 22 décembre 2009 relative au régime général d’accise (zákon ze dne 22. prosince 2009 o obecné úpravě spotřebních daní) […] Odstavec 2. Za podmínek stanovených v kapitole 11 se údaje o cestujících rovněž zpracovávají za účelem zlepšení kontrol osob na vnějších hranicích a za účelem boje proti nedovolenému přistěhovalectví.“

24. Článek 9 zákona PNR obsahuje seznam údajů, které jsou předávány. Tyto údaje se shodují s údaji vyjmenovanými v příloze I.

25. Článek 18 zákona PNR stanoví, že „[o]sobní údaje cestujících jsou uchovávány v databázi cestujících po dobu nejvýše pěti let od jejich zaznamenání. Po uplynutí této doby jsou vymazány.“

26. Článek 19 tohoto zákona stanoví, že „[p]o uplynutí doby šesti měsíců od zaznamenání údajů o cestujících do databáze cestujících jsou veškeré údaje o cestujících depersonalizovány maskováním informačních prvků“.

27. Článek 24 zákona PNR stanoví: „Odstavec 1. Údaje cestujících se zpracovávají za účelem provedení předběžného posuzování cestujících před jejich příjezdem, odjezdem nebo jejich plánovaným průjezdem na území státu, aby bylo možné určit, které osoby musí být podrobeny důkladnému posouzení. Odstavec 2. V rámci cílů uvedených v čl. 8 odst. 1 bodech 1, 4 a 5 nebo cílů týkajících se hrozeb uvedených v čl. 8 bodě 1 písm. a), b), c), d), f) a g) a v čl. 11 odst. 2 zákona ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách vychází předběžné posuzování cestujících z pozitivní shody, která vyplývá z porovnání údajů o cestujících s: 1) databázemi, jež spravují příslušné orgány nebo jež jsou těmto orgánům přímo dostupné nebo přístupné v rámci jejich úkolů, nebo se seznamy osob, které za tímto účelem vypracovávají příslušné služby v rámci svých úkolů. 2) kritérii pro posuzování předem stanovená Útvarem pro informace o cestujících, jež jsou uvedena v článku 25. Odstavec 3. V rámci cílů uvedených v čl. 8 odst. 1 bodě 3 vychází předběžné posuzování z pozitivní shody, která vyplývá z porovnání údajů o cestujících s databázemi uvedenými v odst. 2 bodě 1. […]“

28. Článek 25 zákona PNR převzal obsah čl. 6 odst. 4 směrnice PNR.

29. Kapitola 11 zákona PNR obsahuje ustanovení, která upravují zpracování údajů o cestujících za účelem zlepšení kontroly na hranicích a boje proti nedovolenému přistěhovalectví. Tato ustanovení provádějí do belgického právního řádu směrnici API.

30. Článek 44 zákona PNR stanoví, že útvar pro informace o cestujících jmenuje pověřence pro ochranu osobních údajů v rámci Service Public Fédéral Intérieur (federální ministerstvo vnitra). Dohled nad používáním ustanovení zákona PNR provádí Komise pro ochranu soukromí.

31. Článkem 51 zákona PNR byl změněn zákon ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách, a sice vložením článku 16/3, který zní následovně: „Odstavec 1. Zpravodajské a bezpečnostní služby mohou v zájmu plnění svých úkolů řádně odůvodněným způsobem rozhodnout o přístupu k údajům o cestujících uvedeným v článku 7 zákona [PNR]. Odstavec 2. Rozhodnutí uvedené v odstavci 1 je přijímáno vedoucím úředníkem a je písemně oznámeno Útvaru pro informace o cestujících uvedenému v kapitole 7 výše uvedeného zákona. Rozhodnutí včetně odůvodnění je oznámeno Stálému výboru R. Stálý výbor R zakazuje, aby zpravodajské a bezpečnostní služby užívaly shromážděné údaje způsobem, který je v rozporu se zákonem stanovenými podmínkami. Rozhodnutí se může vztahovat na veškeré údaje týkající se konkrétního zpravodajského vyšetřování. V takovém případě je seznam konzultací údajů o cestujících oznamován jednou měsíčně Stálému výboru R.“

C. Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem

32. Návrhem zaslaným ke Cour constitutionnelle (Ústavní soud) dne 24. července 2017 podala LDH žalobu znějící na úplné nebo částečné zrušení zákona PNR. Na podporu své žaloby uplatnila dva žalobní důvody.

33. V prvním žalobním důvodu, který vychází z porušení článku 22 belgické Ústavy ve spojení s článkem 23 GDPR, s články 7, 8 a čl. 52 odst. 1 Listiny, jakož i s článkem 8 Evropské úmluvy o ochraně lidských práv podepsané v Římě dne 4. listopadu 1950 (dále jen „EÚLP“), má LDH za to, že napadený zákon je v rozporu se zásadou proporcionality, pokud jde o jeho působnost, o kategorie údajů, jichž se tento zákon týká, o zpracování údajů, jež zavádí, jakož i o cíle tohoto zpracování a o dobu uchovávání údajů. Tvrdí zvláště, že definice údajů PNR je příliš široká a mohla by vést k odhalování citlivých údajů, a že definice pojmu „cestující“, která je v tomto zákoně obsažena, umožňuje systematické necílené zpracování údajů o všech cestujících, kteří do této definice spadají. Kromě toho se LDH domnívá, že zákon PNR nedefinuje dostatečně jasně povahu metody pre-screeningu databází o cestujících, ani způsob, jakým se uplatňuje, což platí i o kritériích sloužících jako „ukazatele hrozby“. A konečně je toho názoru, že zákon PNR překračuje meze toho, co je nezbytně nutné, neboť účely zpracování údajů PNR, jež tento zákon zavádí, jsou mnohem širší než účely, jež připouští směrnice PNR, a že pětiletá doba uchovávání údajů PNR je nepřiměřená. Prostřednictvím druhého žalobního důvodu, který je vznesen podpůrně a který vychází z porušení článku 22 belgické Ústavy ve spojení s čl. 3 odst. 2 SEU a s článkem 45 Listiny, napadla LDH ustanovení kapitoly 11 zákona PNR, jimiž se provádí směrnice API.

34. Conseil des ministres du Royaume de Belgique (Rada ministrů Belgického království), která vystupuje jako vedlejší účastník řízení před Cour constitutionnelle (Ústavní soud), vznesla proti žalobě podané LDH námitku, přičemž zpochybnila přípustnost i opodstatněnost obou žalobních důvodů uplatněných na podporu žaloby.

35. Cour constitutionnelle (Ústavní soud) uvádí níže uvedené úvahy.

36. Co se týče prvního žalobního důvodu, táže se zejména, zda je definice údajů PNR, která je uvedena v příloze I, dostatečně jasná a přesná. Popisy některých z těchto údajů jsou totiž uvedeny pouze příkladmo, a nikoli vyčerpávajícím způsobem. Následně dochází výše uvedený soud k závěru, že definice pojmu „cestující“, která je uvedena v čl. 3 bodě 4 směrnice PNR, má za následek, že shromažďování, předávání, zpracovávání a uchovávání údajů PNR o všech osobách, které jsou nebo mají být přepravovány a zařazeny na seznam cestujících, se uplatní nezávisle na tom, zda existují závažné důvody se domnívat, že se dotyčné osoby dopustily protiprávního jednání nebo se chystají dopustit se protiprávního jednání nebo byly shledány odpovědnými za protiprávní jednání. V souvislosti se zpracováním údajů PNR uvádí, že tyto údaje jsou systematicky podrobovány předběžnému posuzování, které předpokládá porovnávání údajů PNR o všech cestujících s databázemi nebo předem stanovenými kritérii, s cílem nalézt shodu. Cour constitutionnelle (Ústavní soud) nicméně upřesňuje, že se jeví jako technicky nemožné podrobněji definovat předem stanovená kritéria, která budou sloužit ke stanovení rizikových profilů, vzhledem k tomu, že tato kritéria musí být specifická, spolehlivá a nediskriminační. Co se týče doby uchovávání údajů PNR, která je stanovena v čl. 12 odst. 1 směrnice PNR, podle něhož mohou být zmíněné údaje uchovávány po dobu pěti let, zastává předkládající soud názor, že údaje PNR budou uchovávány bez ohledu na to, zda se v rámci předběžného posuzování ukáže, že dotyční cestující mohou představovat riziko pro veřejnou bezpečnost. Za těchto okolností se předkládající soud táže, zda se lze s ohledem na judikaturu obsaženou zejména v rozsudku ze dne 21. prosince 2016, Tele2 Sverige a Watson a další ( 15 ), a na posudek 1/15 (Dohoda PNR mezi EU a Kanadou) ze dne 26. července 2017 ( 16 ) domnívat, že systém shromažďování, předávání, zpracovávání a uchovávání údajů PNR, který zavádí směrnice PNR, nepřekračuje meze toho, co je nezbytně nutné. V této souvislosti se zmíněný soud rovněž táže, zda směrnice PNR brání takové vnitrostátní právní úpravě, jako je právní úprava obsažená v čl. 8 odst. 1 bodě 4 zákona PNR, který povoluje zpracování údajů PNR za jiným účelem, než jaké stanoví zmíněná směrnice. A konečně se táže, zda může být útvar pro informace o cestujících považován za „jiný vnitrostátní orgán“, který může na základě čl. 12 odst. 3 písm. b) odrážky ii) směrnice PNR povolit zpřístupnění úplných údajů PNR po uplynutí doby šesti měsíců. V souvislosti s druhým žalobním důvodem předkládající soud uvádí, že tento důvod je namířen proti čl. 3 odst. 1, čl. 8 odst. 2 a proti článkům 28 až 31 zákona PNR, které upravují shromažďování a zpracování údajů o cestujících za účelem boje proti nedovolenému přistěhovalectví a zlepšení kontrol na hranicích. Předkládající soud připomíná, že podle prvního z těchto ustanovení se tento zákon týká letů směřujících na vnitrostátní území, z vnitrostátního území nebo přes něj, přičemž upřesňuje, že vnitrostátní zákonodárce začlenil do působnosti zmíněného zákona lety „uvnitř EU“, aby tak získal „přesnější přehled o cestujících, kteří představují možnou bezpečnostní hrozbu [na území Unie] a na území státu“, a to na základě možnosti, která je stanovena v článku 2 směrnice PNR ve spojení s bodem 10 odůvodnění téže směrnice.

37. Za těchto okolností rozhodl Cour constitutionnelle (Ústavní soud) o přerušení řízení a položil Soudnímu dvoru tyto předběžné otázky: „1) Musí být článek 23 [GDPR] ve spojení s čl. 2 odst. 2 písm. d) tohoto nařízení vykládán v tom smyslu, že se použije na takovou vnitrostátní právní úpravu, jako je zákon [PNR], který provádí směrnici [API] a směrnici 2010/65/EU? 2) Je příloha I […] slučitelná s články 7, 8 a čl. 52 odst. 1 [Listiny] v tom smyslu, že údaje, které vyjmenovává, jsou velmi široké – zejména údaje uvedené v bodě 18 [této přílohy I], které překračují údaje uvedené v čl. 3 odst. 2 směrnice [API] – a pokud jako celek mohou odhalit citlivé údaje, a překročit tak meze toho, co je ‚nezbytně nutné‘? 3) Jsou body 12 a 18 přílohy I […] slučitelné s články 7, 8 a čl. 52 odst. 1 [Listiny] v tom, že s ohledem na výraz ‚včetně‘ jsou údaje, jichž se týkají, uvedeny příkladmo, a nikoli vyčerpávajícím způsobem, takže požadavek přesnosti a jasnosti pravidel týkajících se zásahu do práva na respektování soukromého života a do práva na ochranu osobních údajů není dodržen? 4) Jsou čl. 3 bod 4 směrnice [PNR] a příloha I […] slučitelné s články 7, 8 a čl. 52 odst. 1 [Listiny], pokud se systém plošného shromažďování, předávání a zpracovávání údajů o cestujících, který tato ustanovení zavádějí, vztahuje na každou osobu, která použije dotčený dopravní prostředek, a to bez ohledu na jakoukoli objektivní skutečnost, na jejímž základě lze mít za to, že tato osoba může představovat riziko pro veřejnou bezpečnost? 5) Musí být článek 6 směrnice [PNR] ve spojení s články 7, 8 a čl. 52 odst. 1 [Listiny] vykládán v tom smyslu, že brání takovým vnitrostátním právním předpisům, jako je napadený zákon, který jako účel zpracování údajů PNR připouští monitorování činností sledovaných zpravodajskými a bezpečnostními službami, přičemž tento účel začleňuje do prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti? 6) Je článek 6 směrnice [PNR] slučitelný s články 7, 8 a čl. 52 odst. 1 Listiny, pokud se jím upravené předběžné posuzování prostřednictvím porovnání s databázemi a s předem stanovenými kritérii vztahuje systematicky a plošně na údaje o cestujících bez ohledu na jakoukoli objektivní skutečnost, na jejímž základě lze mít za to, že tito cestující mohou představovat riziko pro veřejnou bezpečnost? 7) Může být pojem ‚jiný příslušný vnitrostátní orgán‘ uvedený v čl. 12 odst. 3 směrnice [PNR] vykládán tak, že se vztahuje na Útvar pro informace o cestujících zřízený zákonem [PNR], který by tedy mohl povolit přístup k údajům PNR po uplynutí šestiměsíční lhůty v rámci konkrétního vyšetřování? 8) Musí být článek 12 směrnice [PNR] ve spojení s články 7, 8 a čl. 52 odst. 1 [Listiny] vykládán v tom smyslu, že brání takovým vnitrostátním právním předpisům, jako je napadený zákon, které stanoví obecnou dobu pro uchovávání údajů v délce pěti let, a to bez rozlišení, zda při předběžném posuzování vyjde najevo, že dotčení cestující mohou či nemohou představovat riziko pro veřejnou bezpečnost? 9) a) Je směrnice [API] slučitelná s čl. 3 odst. 2 [SEU] a článkem 45 [Listiny], pokud se povinnosti, které zavádí, vztahují na lety v rámci [Unie]? b) Musí být směrnice [API] ve spojení s čl. 3 odst. 2 [SEU] a s článkem 45 [Listiny] vykládána v tom smyslu, že brání takovým vnitrostátním právním předpisům, jako je napadený zákon, který za účelem boje proti nedovolenému přistěhovalectví a zlepšování hraničních kontrol povoluje systém shromažďování a zpracování údajů cestujících, ‚kteří jsou přepravováni na vnitrostátní území, z vnitrostátního území nebo přes něj‘, což by mohlo nepřímo znamenat obnovení kontrol na vnitřních hranicích? 10) Pokud by měl Cour constitutionnelle (Ústavní soud) na základě odpovědí na výše uvedené předběžné otázky dospět k závěru, že je napadený zákon, který provádí zejména směrnici [PNR], v rozporu s jednou nebo více povinnostmi vyplývajícími z ustanovení zmíněných v těchto otázkách, může dočasně zachovat účinky zákona [PNR], aby zabránil právní nejistotě a zajistil možnost ještě využít již dříve shromážděné a uchovávané údaje pro účely stanovené [tímto] zákonem?“

38. Písemná vyjádření předložily na základě článku 23 statutu Soudního dvora Evropské unie LDH, belgická, česká, dánská, německá, estonská, irská, španělská, francouzská, kyperská, lotyšská, nizozemská, rakouská, polská a finská vláda, jakož i Evropský parlament, Rada Evropské unie a Evropská komise. Komise, evropský inspektor ochrany údajů a Agentura Evropské unie pro základní práva byli v souladu s článkem 24 statutu Soudního dvora Evropské unie vyzváni, aby písemně zodpověděli otázky položené Soudním dvorem. Jednání se konalo dne 13. července 2021.

III. Analýza

A. K první předběžné otázce

39. Podstatou první předběžné otázky, kterou položil předkládající soud Soudnímu dvoru, je, zda musí být čl. 2 odst. 2 písm. d) GDPR vykládán tak, že se toto nařízení a zvláště pak jeho čl. 23 odst. 1, podle něhož právo Unie nebo členského státu může z taxativně vyjmenovaných důvodů prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených ve zmíněném nařízení, použije na zpracování údajů prováděné na základě takové vnitrostátní právní úpravy, jako je zákon PNR, jímž se do vnitrostátního právního řádu provádí směrnice PNR spolu se směrnicí API a se směrnicí 2010/65.

40. Článek 2 odst. 2 GDPR stanoví výjimky z působnosti tohoto nařízení, které jsou velmi široce ( 17 ) definovány v čl. 2 odst. 1 GDPR ( 18 ). Vzhledem k tomu, že se jedná o výjimky z použití právní úpravy upravující zpracování osobních údajů, kterým mohou být dotčeny základní svobody, tyto výjimky musí být vykládány restriktivně ( 19 ).

41. Článek 2 odst. 2 písm. d) GDPR obsahuje zejména ustanovení o výjimce, podle něhož se toto nařízení nevztahuje na zpracování osobních údajů prováděné „příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení“. Toto ustanovení o výjimce vychází z dvojího kritéria, a sice subjektivního a objektivního. Znamená to, že z působnosti zmíněného nařízení je vyňato zpracování údajů, které je prováděno zaprvé „příslušnými orgány“ a zadruhé pro účely vyjmenované v tomto ustanovení. Jednotlivé druhy zpracování údajů, na něž se vztahuje zákon PNR, musí být proto posuzovány z pohledu tohoto dvojího kritéria.

42. Co se zaprvé týče zpracování údajů, jež provádějí dopravci (letečtí, železniční, silniční nebo námořní) pro útvar pro informace o cestujících nebo poskytovatelé cestovních služeb pro účely poskytování služby nebo pro obchodní účely, tato zpracování se v rozsahu, ve kterém spadají do působnosti výše uvedeného zákona, nadále řídí GDPR, neboť není naplněna subjektivní ani objektivní rovina kritéria pro vyloučení, které je obsaženo v čl. 2 odst. 2 písm. d) tohoto nařízení.

43. Co se zadruhé týče předávání údajů PNR dopravci a poskytovateli cestovních služeb útvaru pro informace o cestujících, které jako takové představuje „zpracování“ ve smyslu čl. 4 bodu 2 GDPR ( 20 ), začlenění tohoto předávání do působnosti zmíněného nařízení není již zcela zjevné.

44. Toto předávání totiž zaprvé není prováděno „příslušným orgánem“ ve smyslu čl. 3 bodu 7 směrnice o ochraně údajů, na nějž je namístě odkazovat per analogiam vzhledem k tomu, že v GDPR není tento pojem nijak definován ( 21 ). Takový hospodářský subjekt, jako je dopravní společnost nebo cestovní kancelář, jemuž náleží pouze zákonná povinnost předat osobní údaje a jenž nebyl pověřen výkonem veřejné moci ( 22 ), nemůže být považován za orgán či subjekt ve smyslu výše uvedeného čl. 3 bodu 7 písm. b) ( 23 ).

45. Zadruhé, údaje PNR předávají dopravní společnosti a poskytovatelé cestovních služeb proto, aby splnili povinnost, kterou jim ukládá zákon, aby bylo umožněno sledovat cíle vyjmenované v čl. 2 odst. 2 písm. d) GDPR.

46. Ze znění tohoto ustanovení tedy podle mého mínění jasně vyplývá, že z působnosti GDPR je vyňato pouze zpracování, které odpovídá současně subjektivní a objektivní rovině kritéria pro vyloučení, jež toto ustanovení zavádí. Předávání údajů PNR útvaru pro informace o cestujících, jejž ukládá zákon PNR dopravním společnostem a poskytovatelům cestovních služeb, spadá proto do působnosti tohoto nařízení.

47. V souvislosti s ustanoveními zákona PNR, jimiž se provádí směrnice PNR, potvrzuje tento závěr i čl. 21 odst. 2 této směrnice, který stanoví, že zmíněnou směrnicí „není dotčena použitelnost směrnice 95/46/ES ( 24 ) na zpracování osobních údajů leteckými dopravci“. Výklad tohoto ustanovení navrhovaný zejména francouzskou vládou, podle něhož zmíněné ustanovení stanoví pouze to, že dopravcům nadále náleží povinnosti, které stanoví GDPR v souvislosti se zpracováním údajů, jež není stanoveno směrnicí PNR, musí být podle mého názoru vyloučen. Působnost tohoto „ustanovení o nedotčení“ je totiž, jak vyplývá z jeho znění, určena výlučně odkazem na subjekt, který zpracování provádí, přičemž není zmíněn ani účel zpracování, ani v jakém rámci je toto zpracování prováděno, tj. zda je prováděno v rámci obchodní činnosti leteckého dopravce nebo při plnění zákonem stanovené povinnosti. Kromě toho je třeba připomenout, že ustanovení totožného znění je obsaženo v čl. 13 odst. 3 směrnice PNR, který se konkrétně týká povinnosti „přijmout vhodná technická a organizační opatření na ochranu bezpečnosti a důvěrnosti osobních údajů“, kterou ukládá GDPR leteckým dopravcům. Toto ustanovení je jedním z těch, jež upravují ochranu osobních údajů zpracovávaných na základě směrnice PNR a předchází mu čl. 13 odst. 1 této směrnice, který obecně stanoví, že jakékoli zpracování osobních údajů podle této směrnice podléhá ustanovením rámcového rozhodnutí 2008/977, jež jsou v něm zmíněna. Přestože francouzská vláda tvrdí opak, taková normativní úprava umožňuje zaprvé vykládat odstavec 3 výše uvedeného článku 13 jakožto ustanovení, podle něhož spadá jediné zpracování údajů stanovené směrnicí PNR, jež není prováděno „příslušnými orgány“ ve smyslu směrnice o ochraně údajů, do působnosti GDPR, a zadruhé chápat odkaz na povinnosti uložené výše uvedeným nařízením v oblasti bezpečnosti a důvěrnosti údajů jakožto upozornění na záruky, s nimiž musí být nevyhnutelně spojeno předávání údajů PNR leteckými dopravci útvaru pro informace o cestujících.

48. Závěr uvedený v bodě 46 tohoto stanoviska není zpochybněn ani bodem 19 odůvodnění GDPR, ani bodem 11 odůvodnění směrnice o ochraně údajů, na něž mimo jiné odkazují německá, irská a francouzská vláda, přičemž tvrdí, že směrnice PNR má povahu lex specialis. V tomto ohledu je samozřejmě pravda, že v souvislosti se zpracováním osobních údajů, na něž se tato směrnice vztahuje, zavádí tato směrnice rámec ochrany těchto údajů, který je ve vztahu k rámci zavedenému prostřednictvím GDPR autonomní. Tento zvláštní rámec se nicméně použije pouze na zpracování údajů PNR prováděné „příslušnými orgány“ ve smyslu čl. 3 bodu 7 směrnice o ochraně údajů, mezi něž patří zejména útvary pro informace o cestujících, zatímco předávání údajů PNR útvarům pro informace o cestujících podléhá nadále obecnému rámci zavedenému prostřednictvím GDPR, což vyplývá mimo jiné z použití „ustanovení o nedotčení“ obsaženého v čl. 21 odst. 2 směrnice PNR.

49. Na podporu svého tvrzení, podle něhož se GDPR nepoužije na předávání údajů PNR dopravci a poskytovateli cestovních služeb útvarům pro informace o cestujících, odkazují belgická, irská, francouzská a kyperská vláda na rozsudek ze dne 30. května 2006, Parlament v. Rada a Komise ( 25 ), v němž Soudní dvůr rozhodl, že předávání údajů PNR leteckými dopravci Společenství orgánům Spojených států amerických v rámci dohody uzavřené mezi posledně jmenovanými orgány a Evropským společenstvím představuje zpracování osobních údajů ve smyslu čl. 3 odst. 2 první odrážky směrnice 95/46 ( 26 ) a nespadá tedy do působnosti této směrnice. K tomuto závěru dospěl Soudní dvůr na základě úvah týkajících se účelu zpracování, jakož i na základě skutečnosti, že toto zpracování je „začleněno do rámce zavedeného orgány veřejné moci týkajícího se veřejné bezpečnosti“, přestože údaje shromáždily a předaly soukromé subjekty ( 27 ).

50. V tomto ohledu postačí poukázat na to, že v rozsudku ze dne 6. října 2020, La Quadrature du Net a další ( 28 ), měl Soudní dvůr v podstatě za to, že rozsudek Parlament v. Rada nelze použít v souvislosti s GDPR ( 29 ).

51. V bodě 102 rozsudku La Quadrature du Net ( 30 ), kde Soudní dvůr použil per analogiam úvahy obsažené v rozsudku Tele2 Sverige a v rozsudku ze dne 2. října 2018, Ministerio Fiscal ( 31 ), ostatně Soudní dvůr uvedl, že „[GDPR] sice v čl. 2 odst. 2 písm. d) upřesňuje, že se nevztahuje na zpracování prováděné ‚příslušnými orgány‘ za účelem mimo jiné prevence a odhalování trestných činů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, avšak z čl. 23 odst. 1 písm. d) a h) téhož nařízení vyplývá, že zpracování osobních údajů prováděné za těmito účely jednotlivci spadá do oblasti jeho působnosti“ ( 32 ).

52. Z výše uvedených důvodů jsem přesvědčen o tom, že závěr, podle něhož spadá předávání údajů PNR leteckými společnostmi a poskytovateli cestovních služeb útvarům pro informace o cestujících do působnosti GDPR, vyplývá jasně již z pouhého znění čl. 2 odst. 2 písm. d) GDPR, v němž se odkazuje výlučně na zpracování prováděná „příslušnými orgány“, a že není nutné odkazovat na omezující ustanovení obsažené v čl. 23 odst. 1 zmíněného nařízení ( 33 ). Úvaha vyjádřená v bodě 102 rozsudku La Quadrature du Net nicméně představuje jednoznačný postoj Soudního dvora ve prospěch výše zmíněného závěru.

53. Vzhledem k tomu, že předávání údajů PNR dopravními společnostmi a poskytovateli cestovních služeb spadá do působnosti GDPR, taková vnitrostátní právní úprava, jako je zákon PNR, který těmto společnostem a těmto poskytovatelům zmíněné předávání ukládá, představuje „legislativní opatření“ ve smyslu čl. 23 bodu 1 písm. d) GDPR a musí proto splňovat podmínky stanovené tímto ustanovením ( 34 ).

54. Co se zatřetí týče zpracování údajů PNR, jež provádějí útvary pro informace o cestujících a příslušné vnitrostátní orgány, použitelnost GDPR závisí, jak vyplývá z výše uvedených úvah, na účelech, jimž má toto zpracování sloužit.

55. Zaprvé je totiž zpracování údajů PNR, jež provádějí útvary pro informace o cestujících a příslušné vnitrostátní orgány pro účely vyjmenované v čl. 8 odst. 1 bodech 1 až 3 a v čl. 8 odst. 1 bodě 5 zákona PNR ( 35 ), vyňato z působnosti GDPR v rozsahu, v němž tyto účely patří mezi účely, na něž se vztahuje ustanovení o výjimce, které je obsaženo v čl. 2 odst. 2 písm. d) GDPR, což patrně nastalo i nyní. Ochrana údajů týkajících se osob dotčených tímto zpracováním spadá do působnosti vnitrostátního práva, s výhradou použití směrnice o ochraně údajů ( 36 ) a také, v rámci její působnosti, směrnice PNR.

56. Zadruhé, totéž platí i pro zpracování údajů PNR, jež provádějí útvary pro informace o cestujících a bezpečnostní a zpravodajské služby v rámci dohledu nad činnostmi, na něž se vztahují ustanovení zákona o zpravodajských a bezpečnostních službách vyjmenovaná v čl. 8 odst. 1 bodě 4 zákona PNR, v rozsahu, v němž odpovídají účelům uvedeným v čl. 2 odst. 2 písm. d) GDPR, což musí posoudit předkládající soud.

57. Belgická vláda tvrdí, že zpracování údajů prováděné na základě čl. 8 odst. 1 bodu 4 zákona PNR spadá každopádně do působnosti ustanovení o výjimce obsaženého v čl. 2 odst. 2 písm. a) GDPR, jakož i do působnosti ustanovení o výjimce obsaženého v čl. 2 odst. 3 písm. a) směrnice o ochraně údajů, neboť činnosti bezpečnostních a zpravodajských služeb nespadají do působnosti unijního práva.

58. S důrazem na okolnost, že otázka týkající se výkladu výše uvedených ustanovení nebyla Soudnímu dvoru položena, je třeba v tomto ohledu uvést nejprve to, že Soudní dvůr již rozhodl v tom smyslu, že vnitrostátní právní úprava ukládající soukromým subjektům povinnosti týkající se zpracování údajů spadá do působnosti ustanovení unijního práva v oblasti ochrany osobních údajů, a to i v případě, že upravuje ochranu národní bezpečnosti ( 37 ). Znamená to, že předávání údajů PNR, jejž ukládá dopravcům a poskytovatelům cestovních služeb zákon PNR, spadá v zásadě do působnosti GDPR, a to i tehdy, je-li prováděno pro účely uvedené v čl. 8 odst. 1 bodě 4 tohoto zákona.

59. Dále je třeba uvést, že pokud se v bodě 16 odůvodnění GDPR uvádí, že se toto nařízení nevztahuje na „činnosti týkající se národní bezpečnosti“ a pokud je v bodě 14 odůvodnění směrnice o ochraně údajů upřesněno, že by „neměly […] být za činnosti spadající do oblasti působnosti této směrnice považovány činnosti týkající se národní bezpečnosti, činnosti agentur nebo jednotek zabývajících se otázkami národní bezpečnosti“, kritéria, na základě kterých se určí, že zpracování osobních údajů prováděné veřejným orgánem, veřejnou jednotkou nebo veřejnou agenturou členského státu spadá do působnosti některého z unijních právních aktů upravujících ochranu osob dotčených takovým zpracováním nebo se toto právo na zmíněné zpracování nevztahuje, vycházejí z logiky, která souvisí jak s úkoly svěřenými zmíněnému orgánu, jednotce či agentuře, tak i s účely, jimž toto zpracování slouží. Soudní dvůr rozhodl, že čl. 2 odst. 2 písm. a) GDPR ve světle bodu 16 odůvodnění tohoto nařízení „musí být považován za ustanovení, jehož jediným cílem je vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie, takže pouhá skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci nepostačuje k tomu, aby se tato výjimka na takovou činnost automaticky vztahovala“ ( 38 ). Dále Soudní dvůr upřesnil, že „[č]innosti uvedené v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, zahrnují […] zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti“ ( 39 ). Znamená to, že pokud by členský stát pověřil své bezpečnostní a zpravodajské služby určitými úkoly v oblastech vyjmenovaných v čl. 3 bodě 7 písm. a) směrnice o ochraně údajů, zpracování údajů provedené těmito službami při plnění těchto úkolů bude spadat do působnosti zmíněné směrnice a případně i do působnosti směrnice PNR. Obecně je třeba uvést, že v rámci výkladu čl. 4 odst. 2 SEU, z něhož vychází mimo jiné belgická vláda, Soudní dvůr opakovaně rozhodl, že na základě pouhé skutečnosti, že určité vnitrostátní opatření bylo přijato za účelem ochrany národní bezpečnosti, nelze vyloučit uplatnění unijního práva a zprostit členské státy povinnosti jej nutně dodržovat ( 40 ), a projevil tím zdrženlivost k automatickému a blokovému vynětí činností členských států souvisejících s ochranou národní bezpečnosti z působnosti unijního práva.

60. Zatřetí je v souladu s názorem všech zúčastněných, kteří předložili vyjádření, vyjma francouzské vlády, namístě se domnívat, že zpracování údajů PNR prováděné příslušnými belgickými orgány pro účely uvedené v čl. 8 odst. 2 zákona PNR, tj. za účelem „zlepšení kontrol osob na vnějších hranicích a boje proti nedovolenému přistěhovalectví“ ( 41 ), nespadá do působnosti ustanovení o výjimce, které je obsaženo v čl. 2 odst. 2 písm. d) GDPR a nevztahuje se na něj žádný důvod vynětí, který je stanoven ve výše uvedeném článku, takže spadá do působnosti tohoto nařízení. Přestože francouzská vláda tvrdí opak, toto zpracování údajů nepodléhá směrnici PNR, jejíž čl. 1 odst. 2 stanoví, že „[ú]daje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti“, a v zásadě ani směrnici o ochraně údajů, která se, jak stanoví její čl. 1 odst. 1, použije pouze na zpracování osobních údajů příslušnými orgány „za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení“. Jak vyplývá z předkládacího rozhodnutí, cílem čl. 8 odst. 2 zákona PNR a kapitola 11 tohoto zákona, jež obsahuje ustanovení upravující zpracování údajů PNR za účelem zlepšení kontroly na hranicích a boje proti nedovolenému přistěhovalectví a jež stanoví za tímto účelem, že útvary pro informace o cestujících mají tyto údaje předávat zejména policejním orgánům pověřeným kontrolou hranic, je provést do belgického právního řádu směrnici API a směrnici 2010/65. Tyto dvě směrnice však ukládají příslušným orgánům, aby při zpracování údajů, jež je v nich stanoveno, dodržovaly ustanovení směrnice 95/46 ( 42 ). Přestože francouzská vláda tvrdí opak, odkaz na pravidla, jež chrání tuto směrnici, musí být chápán v tom smyslu, že se vztahuje na jakékoli zpracování osobních údajů provedené na základě směrnice API a směrnice 2010/65. Okolnost, že směrnice API byla přijata dříve, než vstoupilo v platnost rámcové nařízení 2008/977, není v tomto ohledu relevantní, neboť toto rámcové rozhodnutí se stejně jako směrnice o ochraně, která jej nahradila, vztahuje pouze na zpracování osobních údajů stanovené v čl. 3 odst. 1 směrnice API, jež provádějí příslušné orgány pro účely vynucování práva ( 43 ).

61. Na základě všech výše uvedených úvah navrhuji Soudnímu dvoru, aby na první předběžnou otázku odpověděl v tom smyslu, že článek 23 GDPR ve spojení s čl. 2 odst. 2 písm. d) tohoto nařízení musí být vykládán takto: – že se použije na vnitrostátní právní úpravu, která provádí do vnitrostátního právního řádu směrnici PNR, v rozsahu, v němž tato právní úprava upravuje zpracování údajů PNR, jež provádějí dopravci a jiné hospodářské subjekty, včetně předávání údajů PNR útvarům pro informace o cestujících, které je stanoveno v článku 8 této směrnice; – že se nepoužije na vnitrostátní právní úpravu, která provádí do vnitrostátního právního řádu směrnici PNR, v rozsahu, v němž tato právní úprava upravuje zpracování údajů, jež provádějí příslušné vnitrostátní orgány včetně útvarů pro informace o cestujících a případně i bezpečnostních a zpravodajských služeb dotyčného členského státu pro účely stanovené v čl. 1 odst. 2 této směrnice; – že se použije na vnitrostátní právní úpravu, která provádí do vnitrostátního právního řádu směrnici API a směrnici 2010/65 za účelem zlepšení kontrol osob na vnějších hranicích a za účelem boje proti nedovolenému přistěhovalectví.

B. Ke druhé, třetí, čtvrté, šesté a osmé předběžné otázce

62. Prostřednictvím druhé, třetí, čtvrté a šesté předběžné otázky se Cour constitutionnelle (Ústavní soud) táže Soudního dvora na výklad směrnice PNR ve vztahu ke článkům 7, 8 a čl. 52 odst. 1 Listiny. Osmá předběžná otázka je sice formulována jako otázka týkající se výkladu, ale v podstatě směřuje rovněž k tomu, aby se Soudní dvůr vyjádřil k platnosti této směrnice.

63. Tyto otázky se týkají jednotlivých prvků systému zpracování údajů PNR zavedeného směrnicí PNR a ve vztahu k nim si žádají posouzení, zda byly dodrženy podmínky, na něž je vázána legalita omezení stanovených pro výkon základních práv uvedených v článcích 7 a 8 Listiny. Druhá a třetí předběžná otázka se zabývají seznamem údajů PNR, který je uveden v příloze I, čtvrtá se týká definice pojmu „cestující“, který je uveden v čl. 3 bodě 4) směrnice PNR, šestá používání údajů PNR pro účely předběžného posuzování podle článku 6 této směrnice a osmá doby uchovávání údajů PNR, která je stanovena v čl. 12 odst. 1 zmíněné směrnice.

1. K základním právům uvedeným v článcích 7 a 8 Listiny

64. Článek 7 Listiny zaručuje každému právo na respektování jeho soukromého a rodinného života, obydlí a komunikace. Článek 8 odst. 1 Listiny výslovně přiznává každému právo na ochranu osobních údajů, které se ho týkají. Podle ustálené judikatury jsou tato práva, která se vztahují na veškeré informace o identifikované či identifikovatelné fyzické osobě, vzájemně úzce provázána, neboť přístup k osobním údajům fyzické osoby za účelem jejich uložení nebo jejich použití se dotýká základního práva této osoby na respektování soukromého života ( 44 ).

65. Práva zakotvená v článcích 7 a 8 Listiny se však neprojevují jako absolutní výsady, ale musí být nahlížena ve vztahu k jejich společenské funkci ( 45 ). Znamená to, že čl. 8 odst. 2 Listiny povoluje zpracování osobních údajů za předpokladu, že budou splněny určité podmínky. Toto ustanovení stanoví, že osobní údaje musí být zpracovány „korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem“.

66. Při jakémkoli omezení práva na ochranu osobních údajů i práva na soukromý život musí být navíc dodržena ustanovení obsažená v čl. 52 odst. 1 Listiny. Toto omezení musí být tedy stanoveno zákonem, musí respektovat podstatu těchto práv a při dodržení zásady proporcionality musí být nezbytné a musí skutečně odpovídat cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého.

67. Při posuzování opatření, jímž se výše uvedená práva omezují, musí být zohledněn rovněž význam práv zakotvených v článcích 3, 4, 6 a 7 Listiny a význam, který představují cíle zajištění národní bezpečnosti a boje proti závažné trestné činnosti tím, že přispívají k ochraně práv a svobod jiných ( 46 ). V tomto ohledu článek 6 Listiny zakotvuje právo každého nejen na svobodu, ale i na osobní bezpečnost ( 47 ).

68. Kromě toho je cílem čl. 52 odst. 3 Listiny zajistit nezbytný soulad mezi právy obsaženými v Listině a odpovídajícími právy zaručenými EÚLP, která je třeba zohlednit jakožto minimální úroveň ochrany ( 48 ). Právo na respektování soukromého a rodinného života zakotvené v článku 7 Listiny odpovídá právu zaručenému v článku 8 EÚLP, a proto mu musí být přiznán stejný smysl a rozsah ( 49 ). Z judikatury Evropského soudu pro lidská práva (dále jen „ESLP“) vyplývá, že jakýkoli zásah do práv chráněných v tomto článku je ve světle druhého odstavce tohoto ustanovení ospravedlnitelný jen za předpokladu, že byl stanoven zákonem, sledoval některý z legitimních cílů zde vypočtených a byl k dosažení tohoto cíle v demokratické společnosti nezbytný ( 50 ). Dané opatření musí být rovněž slučitelné s předností práva, která je výslovně zmíněna v preambuli EÚLP a která je nedílně spjata s účelem a cílem článku 8 EÚLP ( 51 ).

69. Otázky týkající se posouzení platnosti, jež položil Cour constitutionnelle (Ústavní soud), je tedy třeba zkoumat ve světle výše uvedených zásad.

2. K zásahu do základních práv uvedených v článcích 7 a 8 Listiny

70. Soudní dvůr již rozhodl, že ustanovení ukládající či umožňující, aby byly osobní údaje fyzických osob sděleny takové třetí osobě, jako je orgán veřejné moci, musí být kvalifikována – schází-li souhlas těchto fyzických osob a bez ohledu na následné využití dotčených údajů – jako zásahy do jejich soukromého života, a tudíž jako omezení práva zaručeného článkem 7 Listiny, aniž to má vliv na jejich případnou odůvodněnost ( 52 ). Tentýž závěr platí dokonce i v případě, že neexistují žádné okolnosti, jež by umožňovaly kvalifikovat tento zásah jako „závažný“, a bez ohledu na to, zda jsou, či nejsou dotčené údaje o soukromém životě citlivé nebo zda tento zásah měl, či neměl pro dotčené osoby případně nepříznivé následky ( 53 ). Přístup orgánů veřejné moci k takovým informacím představuje rovněž zásah do základního práva na ochranu osobních údajů zaručeného článkem 8 Listiny, jelikož jde o zpracování osobních údajů ( 54 ). Také uchovávání údajů o soukromém životě osoby po určitou dobu představuje samo o sobě zásah do práv zaručených články 7 a 8 Listiny ( 55 ).

71. Soudní dvůr také již rozhodl, že takové údaje PNR, jako jsou údaje vyjmenované v příloze I, zahrnují informace o identifikovaných fyzických osobách, tj. o dotyčných cestujících v letecké dopravě, a že se tedy různé možné způsoby zpracování těchto údajů dotýkají základního práva na respektování soukromého života zaručeného v článku 7 Listiny. Tyto způsoby zpracování mimoto spadají i pod článek 8 Listiny, a musí tedy nutně splňovat požadavky na ochranu údajů stanovené v tomto článku ( 56 ).

72. Zpracování údajů PNR, jež povoluje směrnice PNR, zejména pak zpracování, jež má význam pro účely projednávané věci, tj. předávání těchto údajů leteckými dopravci útvarům pro informace o cestujících, používání těchto údajů zmíněnými službami, následné předávání těchto údajů příslušným vnitrostátním orgánům ve smyslu článku 7 této směrnice, jakož i jejich uchovávání představuje tedy zásah do základních práv zaručených v článcích 7 a 8 Listiny.

73. V souvislosti se závažností tohoto zásahu je třeba uvést zaprvé, že směrnice PNR stanoví, že údaje PNR o všech cestujících v letecké dopravě, tak jak je definuje čl. 3 bod 4 této směrnice, využívajících „let mimo EU“ ve smyslu čl. 3 bodu 2 této směrnice, musí být útvarům pro informace o cestujících předávány systematicky a plynule. Během takového předávání musí mít útvary pro informace o cestujících obecný přístup ke všem sdělovaným údajům PNR ( 57 ). Přestože některé členské státy uvádějí v tomto řízení opak, výše uvedené konstatování není nijak zpochybněno okolností, že útvary pro informace o cestujících budou mít konkrétní přístup pouze k těm údajům, jejichž analýza vedla k pozitivnímu výsledku, což je dáno tím, že údaje jsou podrobeny automatizovanému zpracování. Zaprvé, tato okolnost zatím nezabránila Soudnímu dvoru, aby v souvislosti s obdobnými systémy automatizovaného zpracování osobních údajů, které jsou shromažďovány či hromadně uchovávány, potvrdil, že přístup příslušných orgánů veřejné moci k těmto údajům má obecnou povahu. Na druhou stranu, pouhé zpřístupnění osobních údajů orgánům veřejné moci za účelem jejich zpracování a jejich uchovávání těmito orgány předpokládá, že tyto orgány budou mít již z podstaty obecný a úplný přístup k takovým údajům a že budou dotčena základní práva na respektování soukromého života a na ochranu osobních údajů.

74. Zadruhé podle čl. 2 odst. 1 směrnice PNR se členské státy mohou rozhodnout používat tuto směrnici na lety „uvnitř EU“ ve smyslu čl. 3 bodu 3 této směrnice. V této souvislosti je třeba uvést zaprvé, že směrnice PNR se neomezuje pouze na to, že opravňuje členské státy k tomu, aby rozšířily používání této směrnice na lety uvnitř EU, ale určuje rovněž formální i věcné podmínky pro výkon tohoto oprávnění ( 58 ) a upřesňuje, že pokud je toto oprávnění uplatněno pouze na některé z letů uvnitř EU, při volbě těchto letů musí být brány v úvahu cíle sledované touto směrnicí ( 59 ). Na druhé straně směrnice PNR stanoví důsledky výkonu tohoto oprávnění, a sice v čl. 2 odst. 2, kde se uvádí, že pokud se členský stát rozhodne používat tuto směrnici na lety uvnitř EU, „použijí se všechna ustanovení této směrnice na lety uvnitř EU, jako by se jednalo o lety mimo EU, a na údaje PNR na letech uvnitř EU, jakoby se jednalo o údaje PNR na letech mimo EU“.

75. Přestože některé z vlád, jež předložily v tomto řízení vyjádření, uvádějí opak, výše uvedené okolnosti mě utvrzují v tom, že ačkoli používání směrnice PNR na lety uvnitř EU závisí na rozhodnutí členských států, zásahy do práv na respektování soukromého života a na ochranu osobních údajů, jež souvisí s předáváním, zpracováním a uchováváním údajů PNR týkajících se těchto letů, mají v případě, že je přijato výše uvedené rozhodnutí, právní základ ve směrnici PNR.

76. Vyjma Dánského království, na nějž se tato směrnice nevztahuje ( 60 ), používají téměř všechny členské státy režim zavedený touto směrnicí na lety „uvnitř EU“ ( 61 ). Znamená to, že tento režim se používá na všechny lety z Unie a do Unie, jakož i na téměř všechny lety uvnitř Unie.

77. Co se zatřetí týče údajů PNR, které mají být předávány, v příloze I je vyjmenováno 19 rubrik týkajících se biografických údajů ( 62 ), podrobností o cestě letadlem ( 63 ) a dalších údajů shromažďovaných v souvislosti se smlouvou o letecké přepravě, jako je například číslo telefonu, e-mailová adresa, způsoby platby, cestovní agentura nebo zprostředkovatel, informace o zavazadlech a obecné poznámky ( 64 ). Jak uvedl Soudní dvůr v bodě 128 posudku 1/15, v němž se vyjádřil k rubrikám uvedeným v příloze návrhu dohody mezi Kanadou a Evropskou unií o předávání a zpracovávání údajů jmenné evidence cestujících (dále jen „návrh smlouvy PNR mezi Kanadou a EU“), jež jsou formulovány velmi obdobně rubrikám obsaženým v příloze I, „i když některé z údajů PNR patrně samy o sobě nemohou být důležitými informacemi o soukromém životě dotčených osob, přesto platí, že tyto údaje jako celek mohou mimo jiné odhalit kompletní cestovní trasu, cestovní návyky, vztahy mezi dvěma či více osobami a informace o finanční situaci cestujících v letecké dopravě, o jejich stravovacích návycích nebo jejich zdravotním stavu, a mohly by dokonce poskytnout takové citlivé informace o těchto cestujících“.

78. Začtvrté podle článku 6 směrnice PNR je nutné, aby útvary pro informace o cestujících analyzovaly údaje předávané leteckými dopravci automatizovanými prostředky a systematicky, tj. bez ohledu na to, zda existuje sebemenší podezření, že by dotčené osoby mohly být zapojeny do teroristických trestných činů a závažné trestné činnosti. Přesněji řečeno, během předběžného posuzování cestujících stanoveného v čl. 6 odst. 2 písm. a) této směrnice a v souladu s odstavcem 3 téhož článku mohou být tyto údaje ověřeny porovnáním s databázemi, jež „mají význam“ [čl. 6 odst. 3 písm. a)] a zpracovány na základě předem stanovených kritérií [čl. 6 odst. 3 písm. b)]. Prvně jmenovaný způsob zpracování přitom může poskytnout dodatečné informace o soukromém životě dotčených osob ( 65 ) a na základě databází použitých pro srovnání může dokonce umožnit sestavení přesného profilu těchto osob. Námitka vznesená některými z vlád, podle níž směrnice PNR umožňuje přístup pouze k poměrně omezenému souboru osobních údajů, za těchto okolností nevyjadřuje v dostatečné míře možný rozsah zásahů do základních práv chráněných v článcích 7 a 8 Listiny, jež mohou z této směrnice vyplývat, z pohledu rozsahu údajů, k nimž může tato směrnice umožnit přístup. Pokud jde o druhý z možných způsobů zpracování údajů, který je stanoven v čl. 6 odst. 3 písm. b) směrnice PNR, je třeba uvést, že v bodech 169 a 172 posudku 1/15 Soudní dvůr zdůraznil, že veškeré analýzy založené na předem stanovených kritériích vykazují nutně určitou míru chybovosti, zvláště určité množství „falešně pozitivních“ výsledků. Z číselných údajů obsažených v pracovním dokumentu útvarů Komise ( 66 ) (dále jen „pracovní dokument z roku 2020“), který je přílohou zprávy Komise z roku 2020, vyplývá, že počet případů pozitivní shody, u nichž následný individuální přezkum stanovený v čl. 6 odst. 5 směrnice PNR odhalil chybu, je dosti vysoký a během let 2018 a 2019 se týkal nejméně pěti z šesti identifikovaných osob ( 67 ).

79. Zapáté podle čl. 12 odst. 1 směrnice PNR jsou údaje PNR uchovávány v databázi po dobu pěti let od jejich předání útvaru pro informace o cestujících členského státu, na jehož území let přistává nebo z něj odlétá. Směrnice PNR tudíž umožňuje disponovat informacemi o soukromém životě cestujících v letecké dopravě po značně dlouhou dobu ( 68 ). Vzhledem k tomu, že předávání údajů PNR se týká téměř všech letů z Unie a do ní, jakož i uvnitř Unie a že se letadlo stalo běžně používaným dopravním prostředkem, dochází navíc k tomu, že osobní údaje významné části cestujících v letecké dopravě jsou uchovávány prakticky nepřetržitě pouze na základě skutečnosti, že se tito cestující přemisťují letadlem nejméně dvakrát během každých pěti let.

80. Z obecnějšího pohledu stanoví směrnice PNR opatření, která mají, posuzujeme-li je jako celek, vytvořit na úrovni Unie systém dohledu, který je „neadresný“, což znamená, že jeho použití nevychází z podezření týkajícího se jedné nebo několika konkrétních osob, je „plošný“, neboť vychází z osobních údajů velkého počtu osob ( 69 ), jež všechny spadají do téže kategorie osob ( 70 ), a „proaktivní“, vzhledem k tomu, že předpokládá nejen prošetřování již známých hrozeb, ale i odhalování či identifikaci dosud neznámých nebezpečí ( 71 ). Taková opatření mohou již ze své podstaty vést k závažným zásahům do práv chráněných v článcích 7 a 8 Listiny ( 72 ), což je dáno zvláště jejich cílem zajistit prevenci a prognózu, který si žádá, aby byly posuzovány osobní údaje velkých skupin obyvatelstva s cílem „identifikovat“, osoby, které by měly být v závislosti na výsledku tohoto posuzování podrobeny hlubšímu přezkoumání ze strany příslušných orgánů ( 73 ). Okolnost, že je pro účely prevence některých forem závažné trestné činnosti stále častěji využíváno zpracování značných množství velmi různorodých a „hromadně“ získaných osobních údajů, jakož i uvádění těchto údajů do souvislostí a jejich kombinované zpracování, vede navíc ke vzniku „kumulativního účinku“, jímž se umocňuje závažnost omezení základních práv na respektování soukromého života a na ochranu osobních údajů a vzniká nebezpečí, že bude podpořen proces postupného utváření „společnosti dohledu“ ( 74 ).

81. Na základě všech výše uvedených úvah mám za to, že zásah do základních práv chráněných v článcích 7 a 8 Listiny, který vyplývá ze směrnice PNR, musí být kvalifikován přinejmenším jako „závažný“.

82. V souladu s tím, co tvrdí zvláště Komise, je pravda, že intenzitu či závažnost těchto zásahů může zmírnit soubor záruk a pojistek, jež zavádí směrnice PNR, zejména s cílem zabránit zneužívajícímu používání údajů. Nemění to však nic na tom, že jakýkoli režim, v němž se předpokládá, že osobní údaje budou přístupné orgánům veřejné moci a že je tyto orgány budou zpracovávat, vykazuje určitou míru závažnosti z pohledu ochrany dotčených základních práv, což je dáno objektivními charakteristikami těchto práv. Jsem toho názoru, že míra této závažnosti musí být určena dříve, než bude v rámci posouzení přiměřenosti těchto zásahů posouzeno, zda jsou záruky, jež tento režim stanoví, dostatečné a vyhovující. Právě takovýmto způsobem postupoval zatím podle mého mínění i Soudní dvůr.

83. Mají-li být zásahy do základních práv na respektování soukromého života a na ochranu osobních údajů, které vyplývají ze směrnice PNR, slučitelné s Listinou, musí splňovat podmínky uvedené v bodech 65 a 66 tohoto stanoviska, což bude zkoumáno níže, a sice v rozsahu daném jednotlivými hledisky, na něž upozornil Soudní dvůr předkládající soud.

3. K odůvodnění zásahu vyplývajícího ze směrnice PNR

84. Zatímco třetí předběžná otázka se týká dodržení podmínky uvedené v čl. 52 odst. 1 první věty Listiny, podle níž musí být každé omezení základních práv „stanoveno zákonem“, prostřednictvím druhé, čtvrté, šesté a osmé předběžné otázky je Soudní dvůr dotazován zvláště na dodržení zásady proporcionality, která je uvedena ve druhé větě výše uvedeného ustanovení.

a) K dodržení požadavku, podle něhož musí být každé omezení základního práva uznaného Listinou stanoveno zákonem

85. Z ustálené judikatury Soudního dvora ( 75 ), která navazuje na judikaturu ESLP ( 76 ), vyplývá, že požadavek, podle něhož musí být každé omezení základních práv „stanoveno zákonem“, se netýká pouze „právního“ základu, z něhož daný zásah vychází – což představuje otázku, která v projednávané věci nevyvstala –, ale implikuje rovněž, že právní základ dovolující zásah do těchto práv musí sám jasně a přesně definovat rozsah tohoto zásahu. Co se týče „kvality zákona“ a tím i dostupnosti a předvídatelnosti dotyčného opatření ( 77 ), tato druhá rovina, která je obsažena ve výrazu „stanoveno zákonem“ ve smyslu čl. 52 odst. 1 Listiny, jakož i ve smyslu čl. 8 odst. 2 Listiny a článku 8 EÚLP, má zajistit nejen to, aby byla dodržována zásada legality a dostatečná ochrana proti svévolným zásahům ( 78 ), ale odpovídá i požadavku právní jistoty. Tentýž požadavek byl potvrzen i v posudku poradního výboru k Úmluvě 108 ze dne 19. srpna 2016 ( 79 ) o dopadech zpracování údajů o cestujících v oblasti ochrany údajů (dále jen „posudek ze dne 19. srpna 2016“) ( 80 ).

86. Práva zakotvená v článcích 7 a 8 Listiny omezil již samotný unijní normotvůrce přijetím směrnice PNR. Zásahy do těchto práv, jež tato směrnice umožňuje, nelze proto považovat za důsledek rozhodnutí přijatého členskými státy ( 81 ), a to i navzdory prostoru pro uvážení, který členským státům náležel v okamžiku provedení této směrnice do vnitrostátního právního řádu, neboť tyto zásahy mají právní základ přímo v samotné směrnici PNR. Za těchto podmínek příslušelo unijnímu normotvůrci, aby v souladu s judikaturou připomenutou v bodě 85 tohoto stanoviska, jakož i s „přísnými standardy“ v oblasti ochrany základních práv, jež jsou obsaženy zvláště v Listině a v EÚLP a na něž odkazuje bod 15 odůvodnění směrnice PNR, vydal jasná a přesná pravidla, jimiž se vymezí rozsah a použití opatření, jež tyto zásahy obsahují PNR.

87. Zatímco prostřednictvím třetí předběžné otázky se předkládající soud táže konkrétně na dodržování tohoto požadavku ve vztahu k bodům 12 a 18 přílohy I, v rámci přezkumu druhé, čtvrté a šesté předběžné otázky, jejichž prostřednictvím vznáší zmíněný soud pochybnosti ohledně nezbytnosti zásahů do základních práv zakotvených v článcích 7 a 8 Listiny, jež vyplývají ze směrnice PNR, bude nutné vyjádřit se rovněž k tomu, zda jsou dotčená ustanovení směrnice PNR dostatečně jasná a přesná.

88. Přestože, jak jsem již uvedl v bodě 85 tohoto stanoviska, se tato analýza bude týkat legality zásahu ve smyslu čl. 52 odst. 1 první věty Listiny, budu se jí zabývat v rámci přezkumu přiměřenosti tohoto zásahu, který je uveden ve druhé větě téhož odstavce, což je v souladu s přístupem, který uplatňuje jak Soudní dvůr, tak i ESLP ve věcech, v nichž jsou dotčena opatření, jejichž předmětem je zpracování osobních údajů ( 82 ).

b) K respektování podstaty práv zakotvených v článcích 7 a 8 Listiny

89. Podle čl. 52 odst. 1 první věty Listiny musí mít každé omezení výkonu základních práv dostatečně přesný právní základ, ale současně musí také respektovat podstatu těchto práv.

90. Jak již bylo vysvětleno v bodě 66 tohoto stanoviska, tento požadavek – který nalezneme i v ústavách jednotlivých členských států ( 83 ) a který, přestože není výslovně uznán v EÚLP, je přesto pevně zakotven v judikatuře ESLP ( 84 ) – je uveden v čl. 52 odst. 1 Listiny ( 85 ). Tento požadavek byl Soudním dvorem uznán již mnohem dříve, než došlo ke kodifikaci Listiny ( 86 ), a je nepřetržitě opakován i v judikatuře unijních soudů dokonce i poté, co vstoupila v platnost Lisabonská smlouva.

91. Zvláště z rozsudku ze dne 6. října 2015, Schrems ( 87 ), vyplývá, že unijní akt, který nerespektuje podstatu základního práva, je automaticky zrušen nebo stižen neplatností, aniž je nutné provést vážení dotčených zájmů. Soudní dvůr tím uznal, že každé základní právo je „tvrdým jádrem“ zaručujícím všem osobám prostor svobody chráněný před jakýmkoli zásahem ze strany orgánů veřejné moci, který nesmí být žádným způsobem omezen ( 88 ), ledaže by došlo ke zpochybnění zásad demokracie, právního státu a respektování lidské důstojnosti, z nichž vychází ochrana základních práv. Ze znění čl. 52 odst. 1 Listiny i z judikatury Soudního dvora, zvláště pak z rozsudku Schrems, ostatně vyplývá, že posouzení týkající se existence zásahu do podstaty dotčeného základního práva musí být provedeno před posouzením přiměřenosti dotčeného opatření a nezávisle na něm. Jinými slovy, jedná se o zcela samostatnou analýzu.

92. Máme-li tedy určit, co je vlastně onou podstatou základního práva, jehož výkon by mohl být omezen, a co má tedy zůstat nedotknutelné, ocitneme se před velmi složitým úkolem. I když je pravda, že aby mohl tento pojem plnit svou funkci, měla by existovat možnost definovat jej absolutním způsobem, a to ve vztahu k základním charakteristikám dotčeného základního práva, k subjektivním i objektivním zájmům, jež má toto právo chránit, a obecněji i k jeho funkci v demokratické společnosti založené na respektování lidské důstojnosti ( 89 ), v praxi je tento úkon téměř neproveditelný, přinejmenším pokud nejsou brána v úvahu měřítka, která jsou obvykle používána při přezkumu přiměřenosti zásahu do dotčeného práva, jako je např. závažnost tohoto zásahu, rozsah tohoto zásahu či jeho časové trvání, tj., pokud nejsou brány v úvahu zvláštnosti každého jednotlivého případu.

93. V případě základního práva na respektování soukromého života je zapotřebí zohlednit nejen jeho význam pro duševní a tělesné zdraví každého jedince, jakož i pro jeho pohodu, samostatnost, osobní rozvoj, schopnost vytvářet a rozvíjet sociální vztahy, možnost disponovat soukromým prostorem, v němž lze budovat vlastní osobní intimitu, ale také úlohu, kterou hraje toto právo v ochraně jiných práv a svobod, jako je zejména svoboda myšlení, svědomí, náboženského vyznání, vyjadřování a informací, jejichž plné uplatnění je podmíněno uznáním osobního prostoru. Obecně řečeno je nutné vzít v potaz funkci, kterou zastává v demokratické společnosti respektování práva na soukromý život ( 90 ). Soudní dvůr již zřejmě posuzoval narušení podstaty tohoto práva, a to s přihlédnutím k intenzitě i k rozsahu daného zásahu, což ho vedlo k závěru, že tento zásah je definován spíše kvantitativním než kvalitativním způsobem. Zaprvé v rozsudku Digital Rights měl Soudní dvůr v podstatě za to, že povinnost uchovávat údaje, kterou ukládá směrnice 2006/24/ES ( 91 ), není natolik závažná, aby zasáhla do podstaty práva na respektování soukromého života, neboť neumožňuje „seznámit se s obsahem elektronických sdělení jako takovým“ ( 92 ). Zadruhé v posudku 1/15 dospěl Soudní dvůr v podstatě k závěru, že pokud se omezení týká jen určitých aspektů soukromého života dotčených osob, nemůže narušovat podstatu tohoto základního práva ( 93 ).

94. V souvislosti se základním právem na ochranu osobních údajů má Soudní dvůr patrně za to, že podstata tohoto práva není dotčena, pokud je opatření, jež vede k zásahu, zaměřeno na účel zpracování údajů a pokud zavádí pravidla k zajištění bezpečnosti předmětných údajů, zvláště proti náhodnému nebo neoprávněnému zničení, náhodné ztrátě či pozměnění údajů ( 94 ).

95. Přestože v projednávané věci předkládající soud výslovně neupozornil na požadavek týkající se respektování podstaty práv zakotvených v článcích 7 a 8 Listiny, otázka dodržení tohoto požadavku podle mě vyplývá ze znění čtvrté i šesté předběžné otázky. Proto také navrhuji Soudnímu dvoru, aby se jí zabýval.

96. V tomto ohledu je třeba připomenout, že v bodě 150 posudku 1/15 se sice uznává, že údaje PNR mohou „případně odhalit velmi přesné informace o soukromém životě určité osoby“ ( 95 ), z nichž lze přímo či nepřímo vyvodit citlivé údaje o dotčené osobě ( 96 ), avšak Soudní dvůr dospěl k závěru, že pokud jde o návrh dohody o PNR mezi Kanadou a Evropskou unií, narušení základního práva na respektování soukromého života nemůže narušit podstatu tohoto práva, a to proto, že „je povaha těchto informací omezena jen na určité aspekty tohoto soukromého života týkající se zejména leteckých cest mezi Kanadou a Unií“.

97. Až na okolnost, že údaje PNR, na něž se vztahoval návrh dohody o PNR mezi Kanadou a Evropskou unií, měly být předány do třetího státu a že jejich následné zpracování náleželo orgánům tohoto třetího státu a mělo být provedeno na jeho území, se povaha zásahů do základního práva na respektování soukromého života, které vyplývají z výše uvedeného návrhu dohody, do značné míry shoduje s povahou zásahů, které vyplývají ze směrnice PNR. Platí to zejména pro předmětné údaje PNR, co se týče jejich předávání a zpracovávání, které je systematické a plošné, jakož i automatizovaného způsobu jejich zpracování a také jejich uchovávání. Naproti tomu to, čím se obě tyto věci vzájemně liší, bychom mohli nazvat „zeměpisným pokrytím“ zásahů. Jak již bylo totiž uvedeno v bodě 77 tohoto stanoviska, zpracování údajů, které je dotčeno v projednávané věci, není omezeno pouze na letecké spoje s jedinou třetí zemí, jako tomu bylo v případě posudku 1/15, ale týkají se téměř všech letů směřujících do Unie a z Unie, jakož i letů uskutečněných na území Unie. Znamená to, že v porovnání s návrhem dohody PNR mezi Kanadou a EU stanoví směrnice PNR systematické zpracování údajů mnohem většího počtu cestujících v letecké dopravě, kteří se přemisťují letadlem uvnitř Unie i mimo ni. S ohledem na zvýšení objemu zpracovávaných údajů i na četnost jejich shromažďování je navíc pravděpodobné, že toto zpracování může poskytnout přesnější a současně i rozsáhlejší informace o soukromém životě dotčených osob (cestovní zvyklosti, osobní vazby, finanční situace atd.).

98. Výše uvedené nemění nic na tom, že stejně jako tomu bylo v případě posudku 1/15, zmíněné informace se samy o sobě týkají jen určitých aspektů soukromého života, a sice aspektů souvisejících s leteckými cestami. Je však nezbytné, aby byl pojem „podstata“ základních práv definován restriktivně, a to tak, aby si zachoval funkci hráze chránící samotnou podstatu těchto práv před ohrožením, a proto zastávám názor, že závěr, k němuž dospěl Soudní dvůr v bodě 150 posudku 1/15, lze použít i na projednávanou věc.

99. V posudku 1/15 Soudní dvůr vyloučil rovněž narušení podstaty práva na ochranu osobních údajů ( 97 ). I tento závěr je podle mého mínění použitelný na okolnosti projednávané věci. Stejně jako tomu bylo v případě návrhu dohody PNR mezi Kanadou a Evropskou unií, i směrnice PNR totiž v čl. 1 odst. 2 vymezuje účely zpracování údajů PNR. Tato směrnice, jakož i ostatní unijní akty, na něž odkazuje, zejména GDPR a směrnice o ochraně údajů, navíc obsahují zvláštní ustanovení, jejichž cílem je zajistit zvláště bezpečnost, důvěrnost a integritu těchto údajů a chránit je proti nedovolenému přístupu a zpracování. Přestože nelze mít za to, že taková právní úprava, jako je právní úprava stanovená směrnicí PNR, narušuje podstatu základních práv chráněných v článcích 7 a 8 Listiny, nemění to nic na tom, že musí být proveden přísný a důsledný přezkum její přiměřenosti.

c) K dodržení požadavku, podle něhož musí zásah odpovídat cíli obecného zájmu

100. Cílem směrnice PNR je zejména zajistit vnitřní bezpečnost Unie a ochránit život a bezpečí osob předáváním údajů PNR příslušným orgánům členských států za účelem jejich použití v boji proti terorismu a závažné trestné činnosti ( 98 ).

101. Z článku 1 odst. 2 směrnice PNR ve spojení s body 6 a 7 odůvodnění této směrnice, jakož i návrhem Komise, který vedl k přijetí této směrnice (dále jen „návrh směrnice PNR“) ( 99 ), konkrétně vyplývá, že v rámci tohoto cíle jsou údaje PNR různými způsoby využívány donucovacími orgány ( 100 ). Zaprvé tyto údaje jsou používány k identifikaci osob, které jsou nebo mohou být zapojeny do teroristického trestného činu nebo do závažného trestného činu, které již byly spáchány, jakož i k získání důkazů a případně i ke zjištění společníků pachatelů trestné činnosti a odhalení zločineckých sítí („reaktivní“ použití). Zadruhé mohou být údaje PNR posuzovány před příletem nebo odletem cestujících s cílem zabránit spáchání trestného činu a identifikovat osoby, jež dosud nebyly podezřelé z účasti na teroristických trestných činech a závažné trestné činnosti a jež by měly donucovací orgány na základě výsledku tohoto posouzení dále prověřit (použití „v reálném čase“). A konečně jsou údaje PNR používány k vytváření hodnotících kritérií, která mohou být poté použita pro posouzení rizika, jež představují cestující před svým příletem a před svým odletem („proaktivní“ použití). Toto proaktivní používání údajů PNR by mělo donucovacím složkám umožnit řešit hrozbu závažné trestné činnosti a terorismu z perspektivy odlišné od zpracování jiných kategorií osobních údajů ( 101 ).

102. Z judikatury Soudního dvora vyplývá, že cíl týkající se ochrany veřejné bezpečnosti, do něhož spadá zejména prevence, vyšetřování, odhalování a stíhání jak teroristických trestných činů, tak i závažné trestné činnosti, představuje cíl obecného zájmu Unie ve smyslu čl. 52 odst. 1 Listiny, kterým lze odůvodnit i závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny ( 102 ).

103. Soudní dvůr rovněž uznal, že cíle spočívající v ochraně veřejné bezpečnosti a v boji proti závažné trestné činnosti přispívají k ochraně práv a svobod druhého ( 103 ). V rámci vyváženého poměření mezi těmito cíli a základními právy zakotvenými v článcích 7 a 8 Listiny ( 104 ) musí být tudíž brán v úvahu také význam práv zakotvených v článcích 3, 4, 6 a 7 Listiny. Zatímco v rozsudku La Quadrature du Net měl Soudní dvůr v tomto ohledu za to, že článek 6 Listiny nelze „vykládat tak, že orgánům veřejné moci ukládá povinnost přijmout zvláštní opatření k trestání některých trestných činů“ ( 105 ), naproti tomu, pokud jde konkrétně o účinný boj proti trestným činům, jejichž oběťmi jsou zejména nezletilí a jiné zranitelné osoby, Soudní dvůr zdůraznil, že pozitivní povinnosti orgánů veřejné moci mohou vyplývat jak z článku 7 v souvislosti s ochranou obydlí a komunikace, tak z článku 3 a 4 Listiny v souvislosti s ochranou fyzické a duševní nedotknutelnosti osob a v souvislosti se zákazem mučení a nelidského či ponižujícího zacházení ( 106 ).

104. A konečně zastával Soudní dvůr názor, že význam cíle zajistit národní bezpečnost přitom přesahuje význam cíle bojovat proti obecné, ač závažné trestné činnosti, i cíle zajistit veřejnou bezpečnost, a že zmíněný cíl je tudíž způsobilý k tomu, aby odůvodnil opatření zasahující do základních práv závažněji než opatření, která by mohla být odůvodněna těmito ostatními cíli ( 107 ). Vzhledem k tomu, že teroristická činnost může ohrozit národní bezpečnost členských států, systém zavedený směrnicí PNR přispívá, jakožto nástroj boje proti této činnosti, ke splnění cíle týkajícího se zajištění národní bezpečnosti členských států.

d) K dodržení zásady proporcionality

105. Článek 52 odst. 1 druhá věta Listiny stanoví, že při dodržení zásady proporcionality mohou být omezení výkonu základního práva uznaného touto Listinou zavedena pouze tehdy, pokud jsou nezbytná a pokud skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého.

106. V tomto ohledu je zapotřebí připomenout, že zásada proporcionality podle ustálené judikatury Soudního dvora vyžaduje, aby akty unijních orgánů byly způsobilé k uskutečnění legitimních cílů sledovaných dotčenou právní úpravou a nepřekračovaly meze toho, co je přiměřené a nezbytné k dosažení těchto cílů ( 108 ).

107. Podle ustálené judikatury Soudního dvora vyžaduje ochrana základního práva na respektování soukromého života na unijní úrovni, aby výjimky z ochrany osobních údajů a její omezení byly činěny v mezích toho, co je nezbytně nutné. Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením cíle obecného zájmu s dotčenými právy ( 109 ). Konkrétněji řečeno je nutné, aby byla přiměřenost omezení práv zakotvených v článcích 7 a 8 Listiny posuzována z hlediska závažnosti zásahu, který takové omezení představuje, přičemž musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný závažnosti zásahu ( 110 ).

108. Z judikatury Soudního dvora lze vyvodit, že ke splnění požadavku proporcionality je nutné, aby směrnice PNR, jakožto právní základ, z něhož vyplývají zásahy do základních práv zakotvených v článcích 7 a 8 Listiny, jež jsou popsány v bodech 70 až 83 tohoto stanoviska, stanovila jasná a přesná pravidla pro rozsah a použití opatření, z nichž tyto zásahy vyplývají, a aby stanovila minimální požadavky, tak aby osoby, jejichž údaje byly předány, měly dostatečné záruky umožňující účinně chránit jejich osobní údaje proti riziku zneužití a proti veškerému neoprávněnému přistupování k údajům a jejich protiprávnímu využívání ( 111 ). Potřeba takových záruk je o to významnější v případě, kdy jsou osobní údaje zpracovávány automaticky a kdy se jedná o ochranu oné konkrétní kategorie osobních údajů, již tvoří citlivé údaje, což nastalo i v projednávaném případě ( 112 ).

109. Co se týče rozsahu soudního přezkumu dodržování požadavků vyplývajících ze zásady proporcionality, s ohledem na významnou úlohu ochrany osobních údajů z hlediska základního práva na respektování soukromého života, jakož i zásahu do tohoto práva, jenž představuje směrnice PNR, je posuzovací pravomoc unijního normotvůrce omezena, takže přezkum musí být přísný ( 113 ).

1) Ke způsobilosti zpracování údajů PNR uvedených ve směrnici PNR ve vztahu ke sledovanému cíli

110. V bodě 153 posudku 1/15 Soudní dvůr uvedl, že v rámci návrhu dohody PNR mezi Kanadou a EU lze předávání údajů PNR do Kanady a jejich následné zpracovávání považovat za způsobilé zaručit naplnění cíle spočívajícího v zajištění veřejné bezpečnosti a ochrany. Domnívám se, že tuto způsobilost, která je dlouhodobě uznávána na unijní i světové úrovni ( 114 ), nelze zpochybňovat, pokud jde o shromažďování a následné zpracování údajů PNR, a to jak u letů mimo Evropskou unii, tak u letů uvnitř ní ( 115 ).

111. Ve světle toho, co bylo uvedeno výše, může být účinnost systému zpracování údajů PNR, který byl zaveden směrnicí, posuzován jedině konkrétně, na základě hodnocení výsledků jeho používání ( 116 ). Z tohoto pohledu je zásadní, aby byla tato účinnost posuzována plynule, a to na základě co nejpřesnějších a nejspolehlivějších statistických údajů ( 117 ). Komise by měla v této souvislosti provádět v pravidelných intervalech přezkum obdobný tomu, jaký byl stanoven již v článku 19 směrnice PNR.

2) K nezbytně nutné povaze zásahu

112. Přestože Cour constitutionnelle (Ústavní soud) výslovně neuvedl, že si není jist tím, zda směrnice PNR obsahuje jasná a přesná pravidla omezená na to, co je nezbytně nutné, pokud jde o vymezení účelů zpracování údajů PNR ( 118 ), domnívám se, že se analýza přiměřenosti systému zavedeného touto směrnicí, kterou požaduje předkládající soud, nemůže bez zodpovězení této otázky obejít ( 119 ).

i) K vymezení účelů zpracování údajů PNR

113. Jasné vymezení účelů, pro něž se povoluje, aby měly příslušné orgány přístup k osobním údajům a aby mohly tyto údaje následně zpracovávat, je zásadním požadavkem kladeným na jakýkoli systém zpracování údajů, zvláště pak pro účely vymáhání práva. Splnění tohoto požadavku je ostatně nezbytné k tomu, aby mohl Soudní dvůr posoudit přiměřenost dotčených opatření provedením testu závažnosti daného zásahu v poměru k významu sledovaného cíle, který je zakotven v judikatuře Soudního dvora ( 120 ).

114. Význam jasného vymezení účelů opatření obsahujících omezení základních práv na respektování soukromého života a na ochranu osobních údajů zdůraznil Soudní dvůr zvláště v rozsudku Digital Rights, v němž prohlásil směrnici 2006/24 za neplatnou. V bodě 60 tohoto rozsudku Soudní dvůr uvedl, že tato směrnice nestanoví „žádné objektivní kritérium umožňující vymezit přístup příslušných vnitrostátních orgánů k údajům a jejich následné využití pro účely předcházení, odhalování nebo stíhání trestných činů, které lze vzhledem k rozsahu a závažnosti zásahu do základních práv zakotvených v článcích 7 a 8 Listiny považovat za dostatečně závažné na to, aby takový zásah odůvodnily“ a že naopak pouze „v obecné rovině v čl. 1 odst. 1 odkazuje na závažné trestné činy vymezené každým členským státem v jeho vnitrostátních právních předpisech“.

115. Článek 1 odst. 2 směrnice PNR zavádí obecné kritérium pro vymezení účelů, podle něhož „[ú]daje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti“. Na rozdíl od směrnice 2006/24 není však směrnice PNR omezena pouze na toto sdělení, neboť v čl. 3 bodech 8 a 9 také uvádí, co se má rozumět „teroristickými trestnými činy“ a „závažným trestným činem“, a to v prvně jmenovaném případě s odkazem na články 1 až 4 rámcového rozhodnutí Rady 2002/475/SVV ze dne 13. června 2002 o boji proti terorismu (Úř. věst. 2002, L 164, s. 3) [nahrazeného směrnicí (EU) 2017/541] ( 121 ) a v posledně jmenovaném případě zaprvé na základě seznamu trestných činů odpovídajících zmíněnému pojmu, který je uveden v příloze II, a zadruhé stanovením prahu závažnosti, který je vyjádřen horní hranicí trestní sazby pro účely trestu odnětí svobody nebo ochranného opatření, jež lze za tyto trestné činy uložit.

116. Zatímco odkaz na relevantní ustanovení směrnice 2017/541 umožňuje dostatečně jasně a přesně charakterizovat akty, které by mohly být považovány za teroristické trestné činy ve smyslu čl. 3 bodu 8 směrnice PNR, a posoudit jejich závažnost s cílem poměřit význam cíle týkajícího se ochrany veřejné bezpečnosti, sledovaného touto směrnicí, a závažnosti zásahu do základních práv zakotvených v článcích 7 a 8 Listiny, který z této směrnice vyplývá, u všech trestných činů vyjmenovaných v příloze II není tento závěr tak zjevný.

117. V bodě 177 posudku 1/15 Soudní dvůr rozhodl, že návrh dohody PNR mezi Kanadou a EU jasně a přesně definuje míru závažnosti trestných činů spadajících pod pojem „závažná nadnárodní trestná činnost“, když stanoví, že tyto činy jsou „postižitelné trestem odnětí svobody s horní sazbou nejméně čtyř let nebo přísnějším trestem“, přičemž odkazuje na „trestné činy vymezené kanadským právem“ a vyjmenovává „jednotlivé případy, kdy se má za to, že trestný čin je nadnárodní povahy“.

118. V porovnání s právní úpravou, kterou zkoumal Soudní dvůr ve výše uvedeném posudku, směrnice PNR zaprvé nezohledňuje v rámci definice trestných činů spadajících do její působnosti jejich nadnárodní povahu; zadruhé stanoví taxativní seznam trestných činů, které jsou již ze své podstaty považovány za závažné trestné činy, pod podmínkou dosažení minimálně horní hranice trestní sazby stanovené v čl. 3 bodě 9 této směrnice, a zatřetí v zásadě snižuje práh závažnosti, neboť zavádí kritérium založené na horní hranici trestní sazby, a to v délce tří let.

119. Co se zaprvé týče neexistence omezujícího kritéria založeného na nadnárodní povaze, je pravda, že pokud by byla věcná působnost směrnice PNR omezena pouze na závažnou „nadnárodní“ trestnou činnost, umožnilo by to soustředit se na trestné činy, které mohou již ze své podstaty vykazovat, přinejmenším potenciálně, objektivní souvislosti s cestujícími v letecké dopravě, potažmo s kategoriemi údajů shromážděnými a zpracovanými na základě směrnice PNR ( 122 ). V zásadě se však přikláním k postoji vyjádřenému Komisí, podle něhož na rozdíl od souvislostí mezinárodní dohody se význam a nezbytnost tohoto kritéria jeví jako méně zjevné, jedná-li se o nástroj boje proti trestné činnosti, jehož cílem je ochrana vnitřní bezpečnosti Unie. Jak ostatně stále tvrdí Komise, neexistence nadnárodních prvků není sama o sobě okolností, která by umožňovala vyloučit závažnost daného trestného činu.

120. Co se zadruhé týče kritéria, jímž se stanoví míra závažnosti předmětných trestných činů – a které umožní posuzovat tuto závažnost ex ante pouze pokud bude vykládáno v tom smyslu, že se týká horní hranice trestní sazby v případě uložení trestu odnětí svobody nebo zákonem stanoveného ochranného opatření, a nikoli té trestní sazby, která by mohla být konkrétně uložena v jednotlivých případech – toto kritérium zavádí sice jakožto minimum horní hranici trestní sazby a nikoli hranici dolní, ale přesto není samo o sobě nezpůsobilé k tomu, aby určilo dostatečnou míru závažnosti, která by mohla odůvodnit zásah do základních práv zakotvených v článcích 7 a 8 Listiny, jež vyplývá ze zpracování údajů stanovených směrnicí PNR. Podle mého názoru je namístě vykládat jej jakožto kritérium určující „minimální“ míru závažnosti. Přestože toto kritérium vylučuje, aby členské státy považovaly za „závažnou formu trestné činnosti“ trestné činy uvedené v příloze II, které lze podle jejich vnitrostátního trestního práva potrestat trestem odnětí svobody nebo ochranným opatřením spojeným s odnětím osobní svobody s horní hranicí sazby v délce nejvýše tři roky, na druhou stranu jim neukládá povinnost automaticky přiznávat tuto kvalifikaci všem trestným činům, jež by mohly být zařazeny do výše uvedené přílohy II a za něž lze uložit trest odpovídající hranici stanovené v čl. 3 bodě 9 směrnice PNR, pokud by takové přiznání kvalifikace mohlo s přihlédnutím ke zvláštnostem jejich trestního systému vést k situaci, kdy by byl režim stanovený směrnicí PNR pro účely prevence, odhalování, vyšetřování a stíhání běžné trestné činnosti uplatňován v rozporu s cíli sledovanými touto směrnicí.

121. Co se zatřetí týče seznamu uvedeného v příloze II, je třeba nejprve uvést, že okolnost, že směrnice PNR obsahuje taxativní výčet trestných činů spadajících pod pojem „závažná trestná činnost“, představuje základní formální i věcnou záruku, jejímž prostřednictvím je zaručena legalita systému zavedeného směrnicí PNR a právní jistota cestujících. Současně je však třeba upozornit i na to, že tento seznam obsahuje jak trestné činy, které již ze své podstaty nepochybně dosahují určité míry závažnosti – např. obchodování s lidmi, pohlavní vykořisťování dětí a dětská pornografie, nedovolený obchod se zbraněmi nebo s jadernými a radioaktivními materiály, únos letadla nebo plavidla, trestné činy spadající do pravomoci Mezinárodního trestního soudu, vražda, znásilnění, únos, omezování osobní svobody a braní rukojmí ( 123 ) –, tak trestné činy, u nichž není tato míra závažnosti tak zjevná, jako např. podvod, padělání a produktové pirátství, padělání veřejných listin a obchod s nimi, jakož i obchod s odcizenými vozidly ( 124 ). A co více, některé z trestných činů zařazených do přílohy II, jako např. obchodování s lidmi, nedovolený obchod s omamnými látkami nebo se zbraněmi, pohlavní vykořisťování dětí, napomáhání při nedovoleném překročení státní hranice a nedovoleném pobytu či únos letadla, jsou vzhledem ke své podstatě více než jiné trestné činy způsobilé k tomu, aby měly nadnárodní povahu a tím i souvislost s leteckou dopravou cestujících.

122. I v tom, zda jsou rubriky uvedené v příloze II dostatečně jasné a přesné, existují značné rozdíly. Ačkoli totiž musí být seznam obsažený v této příloze považován za taxativní, některé z jeho rubrik jsou „otevřené“ ( 125 ) a jiné zase odkazují na obecné pojmy, do nichž může spadat velmi široká škála různě závažných trestných činů, vždy však v mezích horní hranice trestní sazby stanovené v čl. 3 bodě 9 směrnice PNR ( 126 ).

123. V této souvislosti je třeba zaprvé uvést, že relevantní prvky umožňující určit alespoň některé z trestných činů způsobilých k tomu, aby byly zařazeny do odpovídajících rubrik přílohy II, poskytly harmonizační směrnice přijaté v oblastech uvedených v čl. 83 odst. 1 SFEU, které jsou uvedeny v poznámce pod čarou 123 tohoto stanoviska. Zejména směrnice 2013/40 definuje v článcích 3 až 8 jednotlivé trestné činy spadající do pojmu „počítačová trestná činnost/kyberkriminalita“, který je uveden v bodě 9 zmíněné přílohy II, přičemž v každém z těchto případů vylučuje činy představující „méně závažný případ“ ( 127 ). Rovněž tak i směrnice 2019/713 obsahuje definici některých druhů podvodné činnosti a směrnice 2017/1371 definuje znaky skutkové podstaty „podvodu poškozujícího finanční zájmy Unie“. V tomto ohledu by měla být zmíněna také směrnice 2008/99/ES o trestněprávní ochraně životního prostředí, která byla přijata na základě čl. 175 odst. 1 ES ( 128 ) a která definuje v článku 3 několik závažných trestných činů proti životnímu prostředí, které by mohly být zařazeny do rubriky 10 přílohy II, včetně činů, které lze kvalifikovat jako „nedovolený obchod s ohroženými druhy živočichů a ohroženými druhy a odrůdami rostlin“, přičemž vylučuje veškerá jednání, která mají v chráněné oblasti zanedbatelný dopad. A konečně je namístě připomenout směrnici 2002/90/ES ( 129 ), kterou se definuje napomáhání k nepovolenému vstupu, přechodu a pobytu, jakož i rámcové rozhodnutí 2002/946/SVV ( 130 ), kterým se posiluje trestní rámec s cílem zabránit těmto trestným činům, rámcové rozhodnutí 2003/568/SVV ( 131 ), v němž jsou definovány trestné činy kvalifikované jako „aktivní a pasivní korupce v soukromém sektoru“, a rámcové rozhodnutí 2008/841/SVV ( 132 ), které definuje trestné činy týkající se účasti na zločinném spolčení.

124. Jak již správně upozornila Komise, na druhou stranu je třeba uvést, že v situaci, kdy nebyla dosud završena úplná harmonizace trestního práva hmotného, nelze vytýkat unijnímu normotvůrci, že dále neupřesnil trestné činy uvedené v příloze II. Zatímco v souvislosti se seznamem údajů PNR, který je obsažen v příloze I, bude v dalších bodech tohoto stanoviska uveden opak, provedení seznamu trestných činů uvedených v příloze II do vnitrostátního právního řádu nutně vyžaduje, aby členské státy definovaly trestné činy, jež by mohly být do tohoto seznamu zařazeny, a to s přihlédnutím ke zvláštnostem jejich vnitrostátních trestněprávních systémů. Při provedení tohoto úkonu musí být nicméně plně dodrženo kritérium, podle něhož musí být veškeré zásahy do základních práv zakotvených v článcích 7 a 8 Listiny omezeny na to, co je nezbytně nutné. V tomto ohledu nelze podle mého mínění například vyloučit možnost členských států stanovit, že u některých trestných činů, například trestných činů uvedených v bodech 7, 16, 17, 18 a 25 přílohy II, má být použití údajů PNR omezeno pouze na případy, v nichž mají tyto trestné činy nadnárodní povahu, nebo kdy jsou spáchány v rámci organizované trestné činnosti či obsahují některé přitěžující okolnosti. Náleží soudům členských států, aby vnitrostátní ustanovení, jimiž se výše uvedený seznam provádí do vnitrostátního právního řádu, vykládaly pod dohledem Soudního dvora takovým způsobem, který bude v souladu se směrnicí PNR i s Listinou, a sice tak, aby bylo zpracování údajů PNR omezeno v každé rubrice pouze na trestné činy dosahující tak vysoké míry závažnosti, jakou požaduje tato směrnice, jakož i na trestné činy, u nichž se toto zpracování jeví jako relevantní ( 133 ).

125. S výhradou určitých upřesnění, jež jsou uvedena v bodech 120 a 124 tohoto stanoviska, mám za to, že čl. 3 bod 9 směrnice PNR stejně jako seznam trestných činů, který je obsažen v příloze II této směrnice, odpovídají požadavkům jasnosti a přesnosti a nepřekračují meze toho, co je nezbytně nutné.

126. Současně je však třeba připustit, že řešení, které je vysvětleno v bodě 124 tohoto stanoviska, není zcela uspokojivé. Zaprvé totiž ponechává členským státům široký prostor pro uvážení, což vede k tomu, že věcná působnost zpracování údajů PNR se může v jednotlivých členských státech výrazně lišit a ohrozit tak cíl týkající se dosažení harmonizace, který sleduje unijní normotvůrce ( 134 ). Zadruhé z něj vyplývá, že přezkum přiměřenosti zaměřený na takový zásadní prvek celého systému, jakým je omezení účelů tohoto zpracování, se neprovádí ex ante přímo na základě směrnice PNR, nýbrž ex post na základě vnitrostátních opatření, jimiž se tato směrnice provádí do vnitrostátního právního řádu. Bylo by tedy vhodné, kdyby v případě, že se Soudní dvůr přikloní k mému návrhu a bude mít za to, že čl. 3 bod 9 směrnice PNR i seznam trestných činů obsažený v příloze II této směrnice jsou v souladu s články 7 a 8 a s čl. 52 odst. 1 Listiny, upozornil unijního normotvůrce na okolnost, že tento závěr je pouze dočasný a že vyžaduje od unijního normotvůrce, aby ověřil ve světle způsobu, jakým členské státy toto ustanovení a tento seznam provedly do svých vnitrostátních právních řádů, jakož i ve světle statistických údajů uvedených v článku 20 směrnice PNR, zda je nezbytné: i) dále upřesnit jednotlivé kategorie trestných činů uvedené ve zmíněném seznamu, a sice zúžením jejich působnosti, ii) odstranit z tohoto seznamu trestné činy, u nichž se zpracování údajů PNR jeví buď nepřiměřené, nebo irelevantní či neúčinné, a iii) zvýšit práh závažnosti trestných činů uvedených v čl. 3 bodě 9 směrnice PNR ( 135 ). V této souvislosti je namístě uvést, že ačkoli čl. 19 odst. 2 písm. b) směrnice PNR ukládá Komisi povinnost provést přezkum všech prvků této směrnice, přičemž musí věnovat zvláštní pozornost „nezbytnosti a přiměřenosti shromažďování a zpracování údajů PNR pro účely stanovené“ v této směrnici, zpráva Komise z roku 2020 ani pracovní dokument z roku 2020, který je ke zprávě přiložen, neobsahují podle mého názoru přezkum, který by byl v tomto ohledu uspokojivý.

ii) Ke kategoriím údajů PNR spadajícím do působnosti směrnice PNR (druhá a třetí předběžná otázka)

127. Podle směrnice PNR má být útvarům pro informace o cestujících předáváno 19 kategorií údajů PNR, jež shromažďují letečtí přepravci pro účely rezervace letů. Tyto kategorie, které jsou vyjmenovány v příloze I, odpovídají kategoriím, jež se objevují v rezervačních systémech leteckých společností, i kategoriím vyjmenovaným v příloze I pokynů k údajům jmenné evidence cestujících, jež přijala Mezinárodní organizace pro civilní letectví (ICAO) v roce 2010 ( 136 ) (dále jen „pokyny ICAO“).

128. Prostřednictvím druhé předběžné otázky se předkládající soud táže na platnost přílohy I ve vztahu ke článkům 7, 8 a čl. 52 odst. 1 Listiny, a to s ohledem zaprvé na šíři osobních údajů vyjmenovaných v této příloze – zvláště pak údajů API uvedených v bodě 18 této směrnice, které překračují údaje uvedené v čl. 3 odst. 2 směrnice API, a zadruhé na možnost, že tyto údaje mohou jako celek odhalit citlivé údaje, a překročit tak meze toho, co je „nezbytně nutné“. Prostřednictvím třetí předběžné otázky – která se, jak již bylo zdůrazněno výše, týká dodržení první ze tří podmínek uvedených v čl. 52 odst. 1 Listiny, z níž plyne, že každé omezení základních práv musí být „stanoveno zákonem“ – vznáší Cour constitutionnelle (Ústavní soud) dotaz k Soudnímu dvoru, tentokrát v souvislosti s platností bodů 12 a 18 přílohy I,