Kommissionen sætter pris på de nationale myndigheders indsats for at gennemføre PNR-direktivet. Ved revisionsperiodens udløb havde 24 ud af 26 medlemsstater meddelt Kommissionen, at de havde gennemført direktivet fuldt ud. Ud af de to resterende medlemsstater har Slovenien givet meddelelse om delvis gennemførelse, og Spanien, som ikke har givet meddelelse om nogen gennemførelsesforanstaltninger, blev den 2. juli 2020 indbragt for Domstolen for ikke at have gennemført direktivet. Langt de fleste medlemsstater har etableret fuldt operationelle passageroplysningsenheder, som er de udpegede enheder, der er ansvarlige for indsamling og behandling af PNR-oplysninger. Passageroplysningsenhederne har udviklet et godt samarbejde med andre relevante nationale myndigheder og andre medlemsstaters passageroplysningsenheder. Alle medlemsstater har udpeget deres kompetente myndigheder, der har ret til at anmode om og modtage PNR-oplysninger fra passageroplysningsenheden, udelukkende med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, som f.eks. politiet og andre myndigheder, der er ansvarlige for bekæmpelse af kriminalitet.

På globalt plan vedtog FN's Sikkerhedsråd i december 2017 resolution 2396, ifølge hvilken alle FN-lande skal udvikle deres kapacitet til at indsamle, behandle og analysere PNR-oplysninger og sikre, at PNR-oplysninger anvendes af og deles med alle deres kompetente nationale myndigheder. For at støtte landene i udviklingen af sådanne kapaciteter indledte Organisationen for International Civil Luftfart (ICAO) i marts 2019 processen med at udarbejde udkast til nye PNR-standarder. Disse standarder, som vil være bindende for alle ICAO's medlemslande, medmindre de indgiver en afvigelse, blev vedtaget af ICAO-Rådet den 23. juni 2020. Kommissionen har engageret sig aktivt i denne proces som observatør, der repræsenterer EU, for at sikre, at disse standarder er i overensstemmelse med EU's retlige krav, så de kan bidrage til at lette overførsel af PNR-oplysninger.

På EU-plan udgjorde vedtagelsen af PNR-direktivet i april 2016 en vigtig milepæl i den interne PNR-politik. Som beskrevet ovenfor udgør direktivet et harmoniseret grundlag for behandling af PNR-oplysninger, som luftfartsselskaberne videregiver til medlemsstaterne. Kommissionen har støttet medlemsstaterne i deres gennemførelse af direktivet ved at koordinere regelmæssige møder, lette udvekslingen af bedste praksis og peer-to-peer-støtte og yde finansiel bistand. Navnlig har budgetmyndigheden styrket Unionens budget for 2017 med 70 mio. EUR til Fonden for Intern Sikkerhed — Politiet (FIS-politi), især til PNR-relaterede foranstaltninger. Kommissionen har også finansieret fire PNR-relaterede projekter under Unionens aktioner under FIS-politi. Disse projekter havde til formål at sikre, at medlemsstaternes passageroplysningsenheder udviklede den nødvendige kapacitet til at udveksle PNR-oplysninger eller resultaterne af behandlingen af disse oplysninger indbyrdes og med Europol.

Efter en anmodning fra Europa-Parlamentet afgav EU-Domstolen den 26. juli 2017 en udtalelse, hvori den erklærede, at den påtænkte aftale med Canada ikke kunne indgås i sin planlagte form, fordi nogle af dets bestemmelser ikke opfyldte kravene i chartret om grundlæggende rettigheder. EU og Canada fortsatte med at genforhandle aftalen for at imødekomme Domstolens betænkeligheder. Disse forhandlinger, der blev afsluttet på teknisk plan i marts 2019, og færdiggørelsen af aftalen afventer i øjeblikket Canadas juridiske gennemgang og politiske tilslutning til teksten. Desuden bemyndigede Rådet den 18. februar 2020 Kommissionen til at indlede forhandlinger med Japan om indgåelse af en aftale om overførsel af PNR-oplysninger. Forhandlingerne med Mexico, der blev indledt i juli 2015, er gået i stå.

I de seneste år har et stigende antal lande – som ikke er begrænset til medlemsstaterne – og internationale organisationer anerkendt værdien af at bruge PNR-oplysninger som et retshåndhævelsesværktøj. Oprettelsen af en PNR-mekanisme og gennemførelsen af PNR-direktivet bør ses på baggrund af denne bredere internationale tendens.

Ved udarbejdelsen af revisionen har Kommissionen indsamlet oplysninger og feedback gennem forskellige kilder og målrettede høringer. Disse omfatter resultaterne af overensstemmelsesvurderingen af PNR-direktivet baseret på analysen af de nationale gennemførelsesforanstaltninger, drøftelser med de nationale myndigheder, der er ansvarlige for direktivets gennemførelse, og med rejsebranchen inden for rammerne af regelmæssige møder og særlige workshops, statistiske oplysninger forelagt af medlemsstaterne i henhold til direktivets artikel 20 samt besøg i seks medlemsstater. For at illustrere, hvordan PNR-oplysninger anvendes i praksis til bekæmpelse af terrorisme og alvorlig kriminalitet, henviser rapporten om muligt til eksempler fra det virkelige liv, som de nationale myndigheder har bidraget med på grundlag af deres operationelle erfaringer

Denne rapport er udarbejdet for at opfylde Kommissionens forpligtelse til i henhold til artikel 19 i direktivet om PNR-oplysninger at foretage en revision senest den 25. maj 2020 af alle direktivets elementer og forelægge Europa-Parlamentet og Rådet denne rapport. Rapporten placerer PNR-direktivet i dets generelle sammenhæng og redegør for Kommissionens konklusioner af revisionen af anvendelsen to år efter fristen for gennemførelsen. Som krævet i direktivets artikel 19 omfatter revisionen alle direktivets elementer med særlig fokus på overholdelsen af de gældende standarder for beskyttelse af personoplysninger, nødvendigheden og proportionaliteten af at indsamle og behandle PNR-oplysninger til hvert af de formål, der er fastsat i direktivet, længden af dataopbevaringsperioden, effektiviteten af udvekslingen af oplysninger mellem medlemsstaterne og kvaliteten af vurderingerne, herunder med hensyn til de statistiske oplysninger, der indsamles i henhold til artikel 20.Den indeholder også en foreløbig analyse af nødvendigheden, proportionaliteten og effektiviteten af udvidelsen af den obligatoriske indsamling af PNR-oplysninger til flyvninger inden for EU og nødvendigheden af at inkludere erhvervsdrivende, der ikke er luftfartsselskaber, i direktivets anvendelsesområde. Desuden beskrives de vigtigste problemer og udfordringer i forbindelse med gennemførelsen og den praktiske anvendelse af direktivet.

Direktiv 2016/681 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet (herefter "PNR-direktivet") blev vedtaget af Europa-Parlamentet og Rådet den 27. april 2016. Direktivet regulerer indsamling, behandling og lagring af PNR-oplysninger i Den Europæiske Union og fastsætter vigtige garantier for beskyttelsen af de grundlæggende rettigheder, navnlig retten til privatlivets fred og beskyttelse af personoplysninger. Medlemsstaternes frist til at implementere direktivet i deres nationale lovgivning var den 25. maj 2018.

3.2.Overholdelse af direktivets standarder for databeskyttelse

Analysen af de nationale gennemførelsesforanstaltninger peger i retning af en generel overholdelse af kravene til databeskyttelse i PNR-direktivet, selv om nogle medlemsstater ikke fuldt ud har dækket dem alle i deres nationale lovgivning. Desuden bekræfter oversigten over deres anvendelse de nationale myndigheders forpligtelse til at respektere disse garantier og gennemføre dem i praksis. Kommissionen vil fortsat tilskynde til udbredelse af bedste praksis, der er udviklet i denne forbindelse, gennem regelmæssige møder med medlemsstaterne og de projekter, der finansieres som led i Unionens foranstaltninger under FIS-P. Samtidig vil Kommissionen ikke tøve med at anvende sine beføjelser som traktaternes vogter, bl.a. ved om nødvendigt at indlede traktatbrussager, for at sikre, at medlemsstaterne fuldt ud overholder direktivets krav, navnlig med hensyn til beskyttelse af personoplysninger.

Databeskyttelsesgarantierne i direktivet sikrer, hvis de gennemføres korrekt – hvilket er tilfældet i de fleste medlemsstater – at behandlingen af PNR-oplysninger er forholdsmæssig og har til formål at forhindre misbrug fra de nationale myndigheders eller andre aktørers side. Begrænsningen af formålet sikrer, at databehandlingen kun foregår med henblik på bekæmpelse af terrorisme og grov kriminalitet. Forbuddet mod indsamling og behandling af følsomme oplysninger udgør en vigtig sikkerhedsforanstaltning, der skal sikre, at PNR ikke anvendes diskriminerende. Det forhold, at medlemsstaterne fører registre over behandlingen som krævet i direktivet, øger gennemsigtigheden og gør det muligt at kontrollere lovligheden af databehandlingen effektivt. Databeskyttelsesansvarlige kan uafhængigt kontrollere databehandlingens lovlighed, navnlig når de ikke er ansat i passageroplysningsenheden og ikke er underlagt lederen af passageroplysningsenheden. Desuden sikrer deres tilstedeværelse i passageroplysningsenhederne, at der indgår et databeskyttelsesperspektiv i disse enheders daglige arbejde.

På det praktiske plan synes samspillet mellem passageroplysningsenhederne og deres databeskyttelsesansvarlige at fungere godt, og databeskyttelsesrådgiverens rolle ses som en merværdi i driften af passageroplysningsenheden. Databeskyttelsesrådgivere spiller en særlig vigtig rolle i overvågningen af databehandlingsprocesser, godkendelse og revision af forud fastsatte kriterier og rådgivning om databeskyttelsesspørgsmål for passageroplysningsenhedernes personale. I de fleste medlemsstater er de databeskyttelsesansvarlige ved lov blevet udpeget som kontaktpunkt for registrerede, og kontakt til dem formidles også i praksis.

3.3.Andre elementer i revisionen

Nødvendigheden og proportionaliteten af at indsamle og behandle PNR-oplysninger

Revisionen viser adskillige elementer, der bekræfter, at det er nødvendigt og rimeligt at indsamle og behandle PNR-oplysninger med henblik på PNR-direktivet. I den begrænsede tid siden gennemførelsesfristen, har PNR-direktivet vist sig at være effektivt med hensyn til at nå dets mål, som svarer til et mål af almen interesse, nemlig at beskytte den offentlige sikkerhed ved at sikre forebyggelse, opdagelse, efterforskning og retsforfølgning af grov kriminalitet og terrorisme inden for Unionens område uden indre grænser.

Ifølge medlemsstaterne har de forskellige metoder til behandling af PNR-oplysninger, der er tilgængelige for dem (dvs. tidstro, reaktiv og proaktiv), allerede givet konkrete resultater i kampen mod terrorisme og kriminalitet. Medlemsstaterne har forelagt Kommissionen kvalitativ dokumentation (uden at foregive, at den er udtømmende), som viser, hvordan sammenligningen af PNR-oplysninger i databaser og forud fastsatte kriterier har bidraget til at identificere potentielle terrorister eller personer, der er involveret i anden form for grov kriminalitet såsom narkotikahandel, IT-kriminalitet, menneskehandel, seksuelt misbrug af børn, bortførelse af børn og deltagelse i organiserede kriminelle grupper. I nogle tilfælde har brugen af PNR-oplysninger medført, at personer, der tidligere var ukendte for politiet, blev arresteret, eller at de kompetente myndigheder kunne foretage yderligere undersøgelser af passagerer, som ellers ikke ville være blevet kontrolleret. Vurderingen af passagerer forud for deres afrejse eller ankomst har også bidraget til at forhindre, at der er blevet begået forbrydelser. De nationale myndigheder fremhæver, at disse resultater ikke kunne være opnået uden behandling af PNR-oplysninger, f.eks. ved udelukkende at anvende andre værktøjer såsom forhåndsinformation om passagerer.

I henhold til PNR-direktivet vedrører behandlingen af PNR-oplysninger alle passagerer på ind- og udgående flyvninger uden for EU. Vurderingen viser, at en så bred dækning er strengt nødvendig for at nå direktivets mål. Hvad angår de indsamlede data, afspejler kategorierne i bilag I internationalt vedtagne standarder, navnlig på ICAO's niveau. De nationale myndigheder har bekræftet, at muligheden for at indsamle sådanne kategorier af PNR-oplysninger svarer til, hvad der er strengt nødvendigt for at nå de tilstræbte mål.

Hvad angår omfanget af indgreb i de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger er følgende overvejelser relevante. Det er vigtigt at bemærke, at PNR-direktivet strengt forbyder behandling af følsomme oplysninger. PNR-oplysninger kan afsløre specifikke oplysninger om en persons privatliv, men disse oplysninger er begrænset til et specifikt aspekt af privatlivet, nemlig flyrejser. Desuden indeholder PNR-direktivet strenge sikkerhedsforanstaltninger for yderligere at begrænse omfanget af indgreb til et absolut minimum og sikre, at de metoder til behandling af oplysninger, der er til rådighed for de nationale myndigheder, står i et rimeligt forhold til målet, herunder for så vidt angår den automatiserede behandling. Som følge af disse garantier er det kun personoplysninger for et meget begrænset antal passagerer, der overføres til de kompetente myndigheder med henblik på yderligere behandling. Dette betyder, at PNR-systemerne leverer målrettede resultater, der begrænser graden af indgreb i retten til privatlivets fred og beskyttelsen af personoplysninger. Endelig anvendes PNR-oplysninger ikke til at oprette en individuel profil for alle, men til at fastslå en risiko og opstille anonyme scenarier eller "abstrakte profiler".

Længden af dataopbevaringsperioden

Det er nødvendigt at opbevare PNR-oplysninger for alle passagerer i en periode på fem år med henblik på at garantere sikkerheden og beskytte personers liv og sikkerhed ved at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet.

For det første skyldes behovet for at opbevare oplysninger i fem år PNR's karakter som et analyseredskab, der ikke kun har til formål at identificere kendte trusler, men også at afdække ukendte risici. Rejsearrangementer, der registreres som PNR-oplysninger, anvendes til at identificere specifikke adfærdsmønstre og knytte sammenhænge mellem kendte og ukendte personer. Identifikationen af sådanne mønstre og sammenhænge kræver pr. definition mulighed for en langsigtet analyse. Faktisk kræver en sådan analyse, at passageroplysningsenheden råder over en tilstrækkelig mængde oplysninger i en forholdsvis lang periode. Disse oplysninger kan derefter kun videregives til de kompetente myndigheder som svar på "behørigt begrundede" anmodninger, som behandles fra sag til sag, inden for rammerne af strafferetlige efterforskninger.

For det andet er det nødvendigt at opbevare PNR-oplysningerne i fem år for at sikre en effektivt efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet. Efterforskning og retsforfølgning af sådanne lovovertrædelser kræver normalt måneders, og ofte års, arbejde. I denne forbindelse har medlemsstaterne bekræftet, at den femårige opbevaringsperiode er nødvendig ud fra et operationelt synspunkt. Adgangen til historiske data sikrer, at det er muligt, når en person beskyldes for at have begået en alvorlig forbrydelse eller være involveret i terrorvirksomhed, at gennemgå rejsehistorikken og se, hvem der har rejst sammen med vedkommende, så potentielle medskyldige eller andre medlemmer af en kriminel gruppe samt potentielle ofre kan identificeres.

Desuden har de garantier, der er indeholdt i PNR-direktivet vedrørende de kompetente myndigheders adgang til de data, der er lagret af passageroplysningsenheden og i forbindelse med anonymisering og repersonalisering af data, vist sig at være tilstrækkeligt robuste til at forhindre misbrug.

Domstolen har undersøgt fristerne for opbevaring af PNR-oplysninger i sin udtalelse 1/15 om den påtænkte PNR-aftale mellem EU og Canada, og for at imødekomme Domstolens betænkeligheder har Kommissionen ført forhandlinger om et nyt udkast til aftale med Canada. I denne forbindelse er det vigtigt at bemærke, at Kommissionen mener, at PNR-direktivets faktiske og retlige omstændigheder er forskellige fra dem, som Domstolen behandlede i den pågældende sag. Særligt har PNR-direktivet klart til formål at garantere sikkerheden i Unionen og dens område uden indre grænser, hvor medlemsstaterne deler ansvaret for den offentlige sikkerhed. I modsætning til udkastet til en aftale med Canada vedrører direktivet desuden ikke videregivelse af oplysninger til et tredjeland, men medlemsstaternes indsamling af passageroplysninger på flyvninger til og fra EU. I den forbindelse betyder PNR-direktivets karakter som afledt EU-ret, at det anvendes under de nationale domstoles kontrol i medlemsstaterne og i sidste instans af Domstolen. Desuden finder den nationale lovgivning til gennemførelse af direktivet om retshåndhævelse også anvendelse på behandlingen af de oplysninger, der er omhandlet i PNR-direktivet, herunder eventuel efterfølgende behandling foretaget af de kompetente myndigheder.

Effektiviteten af udveksling af oplysninger mellem medlemsstaterne

Samarbejde og udveksling af PNR-oplysninger mellem passageroplysningsenheder er et af de vigtigste elementer i direktivet. Mens udvekslingen af oplysninger mellem medlemsstaterne på grundlag af behørigt begrundede anmodninger fungerer effektivt, er muligheden for at videregive PNR-oplysninger på passageroplysningsenhedens eget initiativ meget mindre udbredt. De oplysninger, som medlemsstaterne har fremlagt, tyder på, at de retshåndhævende myndigheder er mere villige til at anvende samarbejdsprocedurer, der er baseret på klare og præcise regler, f.eks. vedrørende overførsler som svar på en anmodning. I modsætning hertil har den brede og relativt uklare formulering af direktivets bestemmelser om spontane overførsler givet anledning til, at man har været noget tilbageholdende med at anvende dem.

Kvaliteten af vurderingerne, herunder med hensyn til de statistiske oplysninger, der indsamles i medfør af artikel 20

Artikel 20 i PNR-direktivet pålægger medlemsstaterne at indsamle mindst de statistiske oplysninger om det samlede antal passagerer, hvis PNR-oplysninger er blevet indsamlet og udvekslet, og antallet af passagerer, der identificeres med henblik på yderligere undersøgelser. Analysen af disse oplysninger viser, at det kun er oplysninger for et meget begrænset antal passagerer, der overføres til de kompetente myndigheder med henblik på yderligere behandling. De foreliggende statistikker viser således, at PNR-systemerne generelt fungerer i overensstemmelse med målet om at identificere passagerer med høj risiko, uden at det går ud over bona fide-rejser.