FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT

PHILIPPE LÉGER

fremsat den 22. november 2005 ( )

Sag C-317/04

Europa-Parlamentet

mod

Rådet for Den Europæiske Union

»Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – annullationssøgsmål – Rådets afgørelse 2004/496/EF – aftale mellem Det Europæiske Fællesskab og Amerikas Forenede Stater om behandling og overførsel af PNR-oplysninger (»Passenger Name Records«)«

Sag C-318/04

Europa-Parlamentet

mod

Kommissionen for De Europæiske Fællesskaber

»Annullationssøgsmål – Kommissionens beslutning 2004/535/EF om tilstrækkelig beskyttelse af personoplysninger, der er indeholdt i registre over flypassagerer, og som videregives til Amerikas Forenede Staters told- og grænsekontrolmyndighed – direktiv 95/46/EF«

Indhold





I – Tvistens baggrund

II – Retsgrundlaget for de to sager

A – EU-traktaten

B – Traktaten om oprettelse af Det Europæiske Fællesskab

C – Europæisk lovgivning om beskyttelse af personoplysninger

III – De anfægtede beslutninger/afgørelser

A – Beslutningen om tilstrækkelig beskyttelse

B – Rådets afgørelse

IV – Parlamentets anbringender i de to sager

V – Sagen om annullation af beslutningen om tilstrækkelig beskyttelse (sag C-318/04)

A – Anbringendet om, at Kommissionen har begået magtfordrejning ved at vedtage beslutningen om tilstrækkelig beskyttelse

1. Parternes argumenter

2. Stillingtagen

B – Anbringenderne om tilsidesættelse af grundlæggende rettigheder og proportionalitetsprincippet

VI – Sagen om annullation af Rådets afgørelse (sag C-317/04)

A – Anbringendet om urigtigt valg af artikel 95 EF som hjemmel for Rådets afgørelse

1. Parternes argumenter

2. Stillingtagen

B – Anbringendet om tilsidesættelse af artikel 300, stk. 3, andet afsnit, EF på grundlag af ændringen af direktiv 95/46

1. Parternes argumenter

2. Stillingtagen

C – Anbringenderne om tilsidesættelse af retten til beskyttelse af personoplysninger og proportionalitetsprincippet

1. Parternes argumenter

2. Stillingtagen

a) Er der tale om et indgreb i udøvelsen af retten til respekt for privatlivet?

b) Berettigelsen af indgrebet i udøvelsen af retten til respekt for privatlivet

i) Sker indgrebet i overensstemmelse med loven?

ii) Forfølger indgrebet et legitimt formål?

iii) Er indgrebet nødvendigt i et demokratisk samfund for at opnå dette mål?

D – Anbringendet om, at Rådets afgørelse er utilstrækkeligt begrundet

E – Anbringendet om tilsidesættelse af princippet om loyalt samarbejde i artikel 10 EF

VII – Sagens omkostninger

VIII – Forslag til afgørelse





1. Europa-Parlamentet har i henhold til artikel 230 EF indbragt to annullationssøgsmål for Domstolen. I sag C-317/04 (Parlamentet mod Rådet) har det nedlagt påstand om annullation af Rådets afgørelse af 17. maj 2004 om indgåelse af en aftale mellem Det Europæiske Fællesskab og Amerikas Forenede Stater om luftfartsselskabers behandling og overførsel af PNR-oplysninger til told- og grænsekontrolmyndigheden under det amerikanske ministerium for national sikkerhed ( ). I sag C-318/04 (Parlamentet mod Kommissionen) har Parlamentet nedlagt påstand om annullation af Kommissionens beslutning af 14. maj 2004 om tilstrækkelig beskyttelse af personoplysninger, der er indeholdt i registre over flypassagerer, og som videregives til Amerikas Forenede Staters told- og grænsekontrolmyndighed ( ).

2. I begge sager opfordres Domstolen til at tage stilling til spørgsmålet om beskyttelse af flypassagerers personoplysninger, idet tvingende omstændigheder vedrørende den offentlige sikkerhed og på det strafferetlige område som f.eks. forebyggelse og bekæmpelse af terrorisme og anden alvorlig kriminalitet er blevet påberåbt som begrundelse for personoplysningernes videregivelse til og behandling i et tredjeland, i den foreliggende sag De Forenede Stater ( ).

3. Begge sager udspringer af en række begivenheder, som jeg først skal redegøre for. Senere skal jeg nærmere behandle sagernes retlige kontekst.

I – Tvistens baggrund

4. Efter terrorangrebene den 11. september 2001 vedtog De Forenede Stater en lovgivning, hvorefter luftfartsselskaber, der foretager flyvninger til, fra eller over De Forenede Stater, skal give de amerikanske toldmyndigheder elektronisk adgang til oplysningerne i luftfartsselskabernes automatiske reservations-/afgangskontrolsystemer, dvs. deres »Passenger Name Records« (herefter »PNR-oplysninger«) ( ). Selv om Kommissionen for De Europæiske Fællesskaber anerkender legitimiteten af de pågældende sikkerhedsinteresser, meddelte den allerede i juni 2002 de amerikanske myndigheder, at disse bestemmelser kunne komme i konflikt med Fællesskabets og medlemsstaternes lovgivning om beskyttelse af personoplysninger og med visse af bestemmelserne i forordningen om anvendelse af edb-reservationssystemer (SIR) ( ). De amerikanske myndigheder udskød ikrafttrædelsen af de nye bestemmelser, men nægtede at give afkald på at pålægge de luftfartsselskaber, som ikke overholdt bestemmelserne efter den 5. marts 2003, sanktioner. Siden da har flere større luftfartsselskaber etableret i medlemsstaterne givet de amerikanske myndigheder adgang til deres PNR-oplysninger.

5. Kommissionen indledte forhandlinger med de amerikanske myndigheder, og som resultat af forhandlingerne blev der udarbejdet et dokument indeholdende forpligtelser indgået af CBP, der skulle bane vej for vedtagelsen af en kommissionsbeslutning, hvori Kommissionen skulle fastslå, at den beskyttelse, De Forenede Stater tilbød at give personoplysninger, var tilstrækkelig i henhold til artikel 25, stk. 6, i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger ( ).

6. Den 13. juni 2003 afgav den såkaldte »artikel 29-gruppe« vedrørende databeskyttelse ( ) en udtalelse, hvori den rejste tvivl om, hvorvidt CBP’s forpligtelser sikrer et tilstrækkeligt beskyttelsesniveau for de påtænkte databehandlinger ( ). Denne tvivl blev gentaget i en ny udtalelse af 29. januar 2004 ( ).

7. Den 1. marts 2004 forelagde Kommissionen Parlamentet udkastet til beslutning om tilstrækkelig beskyttelse ledsaget af udkastet til CBP’s forpligtelseserklæring.

8. I henhold til artikel 300, stk. 3, første afsnit, EF tilsendte Kommissionen den 17. marts 2004 et forslag til Rådet for Den Europæiske Unions afgørelse om indgåelse af en aftale mellem Fællesskabet og De Forenede Stater til høring i Parlamentet. Ved skrivelse af 25. marts 2004 anmodede Rådet under henvisning til den hasteprocedure, der er fastsat i artikel 112 i Parlamentets forretningsorden (nu artikel 134), Parlamentet om at udtale sig om dette forslag senest den 22. april 2004. Rådet fremhævede i sin skrivelse, at »[t]errorbekæmpelse, som begrunder de foreslåede foranstaltninger, har meget høj prioritet i Den Europæiske Union. Luftfartsselskaberne og passagererne befinder sig for tiden i en situation præget af usikkerhed, som snarest bør afhjælpes. Det er endvidere vigtigt at beskytte de berørte parters økonomiske interesser.«

9. Den 31. marts 2004 vedtog Parlamentet i henhold til artikel 8 i Rådets afgørelse af 28. juni 1999 om fastsættelse af de nærmere vilkår for udøvelsen af de gennemførelsesbeføjelser, der tillægges Kommissionen ( ), en beslutning, hvori det tager en række retlige forbehold over for denne fremgangsmåde. Parlamentet fandt især, at udkastet til beslutning om tilstrækkelig beskyttelse overskred de gennemførelsesbeføjelser, som artikel 25 i direktiv 95/46 tillægger Kommissionen. Parlamentet opfordrede til, at der blev indgået en passende international aftale, der respekterede de grundlæggende rettigheder, og anmodede Kommissionen om at forelægge Parlamentet et nyt beslutningsudkast. Parlamentet forbeholdt sig endvidere ret til at henvende sig til Domstolen for at få fastslået, om den påtænkte internationale aftale var lovlig, og navnlig om den var i overensstemmelse med retten til respekt for privatlivet.

10. Den 21. april 2004 besluttede Parlamentet efter anmodning fra sin formand at efterkomme en anbefaling fra Udvalget om Retlige Anliggender og Det Indre Marked til Parlamentet om i henhold til artikel 300, stk. 6, EF at indgive begæring til Domstolen om en udtalelse om den påtænkte aftales forenelighed med traktaten. Denne procedure blev iværksat allerede samme dag. Parlamentet besluttede ligeledes samme dag at forelægge udvalget betænkningen om forslaget til rådsafgørelse og afviste således foreløbig implicit Rådets anmodning af 25. marts 2004 om at følge hasteproceduren.

11. Den 28. april 2004 tilsendte Rådet under henvisning til artikel 300, stk. 3, første afsnit, EF Parlamentet en skrivelse med anmodning om en udtalelse om indgåelsen af aftalen inden den 5. maj 2004. Rådet gav samme begrundelse for den korte frist som i skrivelsen af 25. marts 2004 ( ).

12. Den 30. april 2004 meddelte Domstolens justitssekretær Parlamentet, at Domstolen havde fastsat fristen for medlemsstaternes, Rådets og Kommissionens indgivelse af bemærkninger vedrørende begæringen om udtalelse 1/04 til den 4. juni 2004.

13. Den 4. maj 2004 afviste Parlamentet den anmodning om hastebehandling, som Rådet havde indgivet den 28. april ( ). Den følgende dag henvendte Parlamentets formand sig til Rådet og Kommissionen og anmodede dem om at indstille sagen, indtil Domstolen havde afgivet den udtalelse, der var blevet begæret den 21. april 2004.

14. Den 14. maj 2004 vedtog Kommissionen i henhold til artikel 25, stk. 6, i direktiv 95/46 beslutningen om tilstrækkelig beskyttelse af personoplysninger, der er indeholdt i registre over flypassagerer, og som videregives til CBP.

15. Den 17. maj 2004 vedtog Rådet afgørelsen om indgåelse af en aftale mellem Fællesskabet og De Forenede Stater om luftfartsselskabers behandling og overførsel af PNR-oplysninger til CBP.

16. Ved skrivelse af 9. juli 2004 meddelte Parlamentet Domstolen, at det trak sin begæring om udtalelse 1/04 tilbage ( ). Parlamentet besluttede herefter at anlægge sag til afgørelse af tvisterne mellem på den ene side Parlamentet og på den anden side Rådet og Kommissionen.

II – Retsgrundlaget for de to sager

A – EU-traktaten

17. Artikel 6 EU bestemmer:

»1. Unionen bygger på principperne om frihed, demokrati og respekt for menneskerettighederne og de grundlæggende frihedsrettigheder samt retsstatsprincippet, der alle er principper, som medlemsstaterne har til fælles.

2. Unionen respekterer de grundlæggende rettigheder, således som de garanteres ved den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950, og således som de følger af medlemsstaternes fælles forfatningsmæssige traditioner, som generelle principper for fællesskabsretten.

[…]«

B – Traktaten om oprettelse af Det Europæiske Fællesskab

18. Artikel 95, stk. 1, EF bestemmer:

»Uanset artikel 94 og medmindre andet er bestemt i denne traktat, finder følgende bestemmelser anvendelse med henblik på virkeliggørelsen af de i artikel 14 fastsatte mål. Rådet, der træffer afgørelse efter fremgangsmåden i artikel 251 og efter høring af Det Økonomiske og Sociale Udvalg, vedtager de foranstaltninger med henblik på indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser, der vedrører det indre markeds oprettelse og funktion.«

19. Med hensyn til fremgangsmåden for Fællesskabets indgåelse af internationale aftaler hedder det i artikel 300, stk. 2, første afsnit, første punktum, EF, at »[m]ed forbehold af de beføjelser, som på dette område er tillagt Kommissionen, træffer Rådet med kvalificeret flertal på forslag af Kommissionen afgørelse om undertegnelse […] samt om indgåelse af aftaler«.

20. Artikel 300, stk. 3, EF er affattet således:

»Med undtagelse af de aftaler, der er omhandlet i artikel 133, stk. 3, indgår Rådet aftalerne efter høring af Europa-Parlamentet, herunder i tilfælde, hvor aftalen angår et område, hvor fremgangsmåden i artikel 251 eller artikel 252 skal følges for vedtagelsen af interne regler. Europa-Parlamentet afgiver sin udtalelse inden for en frist, som Rådet kan fastsætte under hensyntagen til, hvor meget sagen haster. Hvis der ikke er afgivet udtalelse ved fristens udløb, kan Rådet træffe afgørelse.

Uanset bestemmelserne i første afsnit kræves der samstemmende udtalelse fra Europa-Parlamentet for indgåelse af aftaler, som er omhandlet i artikel 310, og andre aftaler, hvorved der etableres en specifik institutionel ramme med særlige samarbejdsprocedurer, samt aftaler, som har betydelige budgetmæssige virkninger for Fællesskabet, og aftaler, som medfører ændring af en retsakt, der er vedtaget efter fremgangsmåden i artikel 251.

Rådet og Europa-Parlamentet kan i hastetilfælde aftale en frist for afgivelse af den samstemmende udtalelse.«

C – Europæisk lovgivning om beskyttelse af personoplysninger

21. Artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder (herefter »EKMR«) bestemmer:

»1. Enhver har ret til respekt for sit privatliv og familieliv, sit hjem og sin korrespondance.

2. Ingen offentlig myndighed kan gøre indgreb i udøvelsen af denne ret, undtagen for så vidt det sker i overensstemmelse med loven og er nødvendigt i et demokratisk samfund af hensyn til den nationale sikkerhed, den offentlige tryghed eller landets økonomiske velfærd, for at forebygge uro eller forbrydelse, for at beskytte sundheden eller sædeligheden eller for at beskytte andres ret og frihed.«

22. Europarådet var det første organ, der tog initiativ til en europæisk lovgivning om beskyttelse af personoplysninger. Den europæiske konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger blev således åbnet for undertegnelse for Europarådets medlemsstater i Strasbourg den 28. januar 1981 ( ). Konventionen har til formål inden for de kontraherende staters territorier, uanset statsborgerskab og bopæl at sikre det enkelte menneske respekt for dettes grundlæggende rettigheder og andre rettigheder, især for retten til privatlivets fred, i forbindelse med elektronisk databehandling af personoplysninger om den pågældende.

23. EU har vedtaget Den Europæiske Unions charter om grundlæggende rettigheder ( ). Mens charterets kapitel 7 vedrører respekt for privatliv og familieliv, omhandler artikel 8 specifikt beskyttelse af personoplysninger. Artiklen har følgende ordlyd:

»1. Enhver har ret til beskyttelse af personoplysninger, der vedrører ham/hende.

2. Disse oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. Enhver har ret til adgang til indsamlede oplysninger, der vedrører ham/hende, og til berigtigelse heraf.

3. Overholdelsen af disse regler er underlagt en uafhængig myndigheds kontrol.«

24. I den primære fællesskabsret bestemmer artikel 286, stk. 1, EF, at »[f]ra den 1. januar 1999 gælder fællesskabsretsakter om beskyttelse af fysiske personer i forbindelse med behandling og fri udveksling af personoplysninger for institutioner og organer, der er oprettet ved eller på grundlag af denne traktat« ( ).

25. I den afledte fællesskabsret findes de grundlæggende bestemmelser på dette område i direktiv 95/46 ( ). Direktivets slægtskab med Europarådets tekster fremgår udtrykkeligt af direktivets tiende og ellevte betragtning. I tiende betragtning hedder det nemlig, at »medlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder og frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i [EKMR] og i fællesskabsrettens generelle principper; af denne grund må en indbyrdes tilnærmelse af lovgivningerne ikke medføre en forringelse af den beskyttelse, disse yder, men skal tværtimod have til formål at sikre et højt beskyttelsesniveau overalt i Fællesskabet«. Endvidere fremgår det af ellevte betragtning til direktiv 95/46, at »dette direktivs princip om beskyttelse af personers rettigheder og frihedsrettigheder, og navnlig retten til privatlivets fred, er en præcisering og udvidelse af principperne i [konvention nr. 108]«.

26. Direktiv 95/46, der er udstedt med hjemmel i EF-traktatens artikel 100 A (efter ændring nu artikel 95 EF), er baseret på den idé, der er udtrykt i tredje betragtning til direktivet, hvorefter »det indre markeds oprettelse og funktion […] forudsætter ikke blot, at personoplysninger kan cirkulere frit fra én medlemsstat til en anden, men også, at det enkelte menneskes grundlæggende rettigheder beskyttes«. Idéen bygger nærmere bestemt på fællesskabslovgivers konstatering af, at »forskellen i den beskyttelse af personers rettigheder og frihedsrettigheder, og navnlig retten til privatlivets fred, som de enkelte medlemsstater yder i forbindelse med behandling af personoplysninger, kan forhindre, at oplysninger af denne art videregives fra én medlemsstats område til en anden medlemsstats område« ( ), hvilket bl.a. kan udgøre en hindring for udøvelsen af en række økonomiske aktiviteter på fællesskabsplan og virke konkurrencefordrejende. Det hedder endvidere, at »for at hindringerne for udveksling af personoplysninger kan fjernes, skal beskyttelsen af det enkelte menneskes rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstaterne« ( ). Det resultat, der tilstræbes, er, at »med den ensartede beskyttelse, som vil følge af den indbyrdes tilnærmelse af de nationale lovgivninger, vil medlemsstaterne ikke længere under henvisning til det enkelte menneskes rettigheder og frihedsrettigheder, navnlig retten til privatlivets fred, kunne lægge hindringer i vejen for den frie udveksling af personoplysninger medlemsstaterne imellem« ( ).

27. For at opnå dette resultat bestemmer artikel 1 i direktiv 95/46, der har overskriften »Direktivets formål«:

»1. Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.

2. Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde fri udveksling af personoplysninger mellem medlemsstaterne.«

28. I direktivets artikel 2 findes bl.a. definitioner på begreberne »personoplysninger«, »behandling af personoplysninger« og »den registeransvarlige«.

29. Ifølge artikel 2, litra a), i direktiv 95/46 forstås ved personoplysninger »enhver form for information om en identificeret eller identificerbar fysisk person […]; ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet«.

30. Ifølge direktivets artikel 2, litra b), forstås ved behandling af personoplysninger »enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse«.

31. I artikel 2, litra d), i direktiv 95/46 defineres den registeransvarlige som »den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger […]«.

32. Om det materielle anvendelsesområde for direktiv 95/46 hedder det i artikel 3, stk. 1, at direktivet »anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register«.

33. En af begrænsningerne af direktivets materielle anvendelsesområde fremgår af artikel 3, stk. 2:

»Dette direktiv gælder ikke for sådan behandling af personoplysninger,

– som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område

[…]«

34. Kapitel II i direktiv 95/46 vedrører »[a]lmindelige betingelser for lovlig behandling af personoplysninger«. Dette kapitel indeholder en afdeling I om »[p]rincipper vedrørende oplysningernes pålidelighed«. I direktivets artikel 6 fastsættes principperne om rimelighed, lovlighed, forenelighed med formålet, proportionalitet og personoplysningers korrekthed. Artiklen er affattet således:

»1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger

a) skal behandles rimeligt og lovligt

b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; [...]

c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles

d) skal være korrekte og om nødvendigt ajourførte […]

e) ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt [...]

2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«

35. Direktivets kapitel II, afdeling II, omhandler »[p]rincipper vedrørende grundlaget for behandling af oplysninger«. Artikel 7, der er den eneste artikel i denne afdeling, bestemmer:

»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke, eller

b) behandlingen er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning forud for indgåelsen af en sådan kontrakt, eller

c) behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige

[…]«

36. Artikel 8, stk. 1, forbyder behandling af personoplysninger, der almindeligvis betegnes som »følsomme«. Det hedder nemlig, at »[m]edlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold«. Der er imidlertid flere undtagelser til dette forbud. Indholdet af undtagelserne og reglerne for deres anvendelse fremgår af de følgende bestemmelser i artiklen.

37. Artikel 13, stk. 1, i direktiv 95/46, der har overskriften »Undtagelser og begrænsninger«, bestemmer:

»Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 6, stk. 1, artikel 10, artikel 11, stk. 1, samt artikel 12 og 21, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til:

a) statens sikkerhed

b) forsvaret

c) den offentlige sikkerhed

d) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv

e) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, herunder valuta-, budget- og skatteanliggender

f) en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i litra c), d) og e) nævnte områder

g) beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder.«

38. Fællesskabslovgiver har ligeledes ønsket at sikre denne beskyttelse, også når personoplysninger forlader Fællesskabets område. Det har nemlig vist sig, at datastrømmenes grænseoverskridende karakter ( ) bevirker, at en ordning, hvis virkninger begrænser sig til Fællesskabets område, bliver utilstrækkelig, for ikke at sige ganske formålsløs. Fællesskabslovgiver har af denne grund valgt et system, hvorefter det kun tillades at videregive personoplysninger til et tredjeland, såfremt det pågældende land sikrer et »tilstrækkeligt beskyttelsesniveau« for disse oplysninger.

39. Fællesskabslovgiver har derfor indført en regel om, at »hvis et tredjeland […] ikke sikrer et tilstrækkeligt beskyttelsesniveau, skal videregivelse af personoplysninger til det pågældende land forbydes« ( ).

40. For at sikre overholdelsen af denne regel fastsættes i artikel 25 i direktiv 95/46 principperne for videregivelse af personoplysninger til tredjelande:

»1. Medlemsstaterne fastsætter bestemmelser om, at videregivelse til et tredjeland af personoplysninger, der gøres til genstand for behandling, eller som skal gøres til genstand for behandling efter videregivelsen, kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og forudsat at de nationale bestemmelser, der vedtages til gennemførelse af direktivets øvrige bestemmelser, overholdes.

2. Vurderingen af, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt, sker på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger; til grund for vurderingen lægges navnlig oplysningernes art, den eller de påtænkte behandlingers formål og varighed, oprindelseslandet og det endelige bestemmelsesland, de retsregler – almindelige regler eller sektorregler – der er i kraft i det pågældende tredjeland, samt de regler for god forretningsskik og de sikkerhedsforanstaltninger, der gælder i landet.

3. Medlemsstaterne og Kommissionen underretter gensidigt hinanden, hvis de mener, at et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med stk. 2.

4. Konstaterer Kommissionen efter proceduren i artikel 31, stk. 2, at et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2, træffer medlemsstaterne de foranstaltninger, der er nødvendige for at hindre enhver videregivelse af oplysninger af samme art til det pågældende tredjeland.

5. Kommissionen indleder på det rette tidspunkt forhandlinger med henblik på at afhjælpe den situation, der opstår som følge af en konstatering efter stk. 4.

6. Kommissionen kan efter proceduren i artikel 31, stk. 2, fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2, på grundlag af dets nationale lovgivning eller dets internationale forpligtelser med henblik på at beskytte privatlivet og personers grundlæggende rettigheder og frihedsrettigheder, herunder de forpligtelser, der er indgået efter de i stk. 5 nævnte forhandlinger.

Medlemsstaterne træffer de foranstaltninger, der er nødvendige for at efterkomme Kommissionens afgørelse.«

41. Endelig skal jeg henvise til EU-traktatens afsnit VI vedrørende politisamarbejde og retligt samarbejde i kriminalsager, som indeholder særlige bestemmelser til beskyttelse af persondata. Det drejer sig bl.a. om bestemmelser, som indfører fælles informationssystemer på europæisk plan som f.eks. konventionen om gennemførelse af Schengen-aftalen ( ), der fastsætter særlige bestemmelser til beskyttelse af personoplysninger i Schengen-informationssystemet (SIS) ( ); konventionen udarbejdet på grundlag af artikel K.3 i traktaten om Den Europæiske Union om oprettelse af en europæisk politienhed ( ); Rådets afgørelse om oprettelse af Eurojust ( ) samt Eurojusts forretningsordens bestemmelser om behandling og beskyttelse af personoplysninger ( ); konventionen udarbejdet på grundlag af artikel K.3 i traktaten om Den Europæiske Union om brug af informationsteknologi på toldområdet, som indeholder bestemmelser om beskyttelse af personoplysninger, som informationssystemet på toldområdet skal overholde ( ), og endelig konventionen om gensidig retshjælp i straffesager mellem Den Europæiske Unions medlemsstater ( ).

42. Den 4. oktober 2005 fremlagde Kommissionen et forslag til Rådets rammeafgørelse om beskyttelse af personoplysninger i forbindelse med det politimæssige og strafferetlige samarbejde ( ).

III – De anfægtede beslutninger/afgørelser

43. Jeg skal gennemgå de to anfægtede beslutninger/afgørelser i den rækkefølge, hvori de er vedtaget.

A – Beslutningen om tilstrækkelig beskyttelse

44. Beslutningen om tilstrækkelig beskyttelse blev vedtaget af Kommissionen med hjemmel i artikel 25, stk. 6, i direktiv 95/46, der som allerede nævnt giver Kommissionen beføjelse til at fastslå, at et tredjeland sikrer en tilstrækkelig beskyttelse af personoplysninger ( ). I anden betragtning til beslutningen hedder det, at »[når dette er fastslået], kan personoplysninger videregives fra medlemsstaterne uden yderligere garantier«.

45. I 11. betragtning til beslutningen anfører Kommissionen: »CBP’s behandling af personoplysninger, der er indeholdt i flypassagerernes PNR-registrering, og som videregives til CBP, er underlagt forpligtelseserklæringen af 11. maj 2004 fra Homeland Security Bureau of Customs and Border Protection og USA’s nationale lovgivning i det i forpligtelseserklæringen anførte omfang.« Kommissionen fastslår endvidere i 14. betragtning, at »[b]eskyttelsesnormerne for CBP’s behandling af passagerernes PNR-oplysninger på grundlag af USA’s lovgivning og forpligtelseserklæringen omfatter de grundlæggende principper, der er nødvendige for at sikre en tilstrækkelig databeskyttelse for fysiske personer«.

46. På denne baggrund bestemmer artikel 1 i beslutningen om tilstrækkelig beskyttelse:

»[CBP] anses for så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF for at sikre et tilstrækkeligt beskyttelsesniveau for PNR-oplysninger [...], der videregives fra Fællesskabet, i overensstemmelse med forpligtelseserklæringen i bilaget.«

47. Artikel 3 i beslutningen om tilstrækkelig beskyttelse bestemmer endvidere, at videregivelsen af oplysninger til CBP kan suspenderes på initiativ af medlemsstaternes kompetente myndigheder på følgende betingelser:

»1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overholdelse af nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere videregivelsen af oplysninger til CBP for at beskytte fysiske personer med hensyn til behandlingen af personoplysninger om dem:

a) når en kompetent myndighed i De Forenede Stater har fastslået, at CBP overtræder gældende beskyttelsesnormer, eller

b) når der er stor sandsynlighed for, at beskyttelsesnormerne i bilaget overtrædes, der er tilstrækkelig grund til at antage, at CBP ikke træffer eller ikke agter at træffe passende og rettidige foranstaltninger til at løse den pågældende sag, fortsat videregivelse af personoplysninger ville indebære overhængende risiko for at påføre de registrerede en alvorlig skade, og de kompetente myndigheder i medlemsstaten har udvist efter omstændighederne rimelige bestræbelser på at underrette CBP og givet denne mulighed for at svare.

2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og de kompetente myndigheder i de pågældende medlemsstater underrettes herom.«

48. Medlemsstaterne skal underrette Kommissionen om foranstaltninger truffet i henhold til artikel 3 i beslutningen om tilstrækkelig beskyttelse. Endvidere skal medlemsstaterne og Kommissionen i henhold til beslutningens artikel 4, stk. 2, underrette hinanden om enhver ændring af beskyttelsesnormerne samt om tilfælde, hvor disse normer ikke synes at blive fuldt ud overholdt. Artikel 4, stk. 3, i beslutningen om tilstrækkelig beskyttelse bestemmer, at efter denne gensidige underretning skal CBP underrettes, »[h]vis det fremgår af de oplysninger, der indsamles i henhold til artikel 3 og denne artikels stk. 1 og 2, at grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, ikke længere overholdes, eller at et organ, der skal sikre, at CBP overholder beskyttelsesnormerne i bilaget, ikke opfylder sin rolle effektivt, [...], og hvis det er nødvendigt, skal proceduren i artikel 31, stk. 2, i direktiv 95/46/EF anvendes med henblik på at ophæve eller suspendere denne beslutning«.

49. Endvidere indfører artikel 5 i beslutningen om tilstrækkelig beskyttelse den regel, at anvendelsen af beslutningen skal evalueres, og bestemmer videre, at »alle relevante forhold skal indberettes til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg«.

50. Det hedder i artikel 7 i beslutningen om tilstrækkelig beskyttelse, at beslutningen »udløber 3 år og 6 måneder efter at den er meddelt, medmindre den forlænges efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF«.

51. I beslutningens bilag gengives CBP’s forpligtelseserklæring, hvori det indledningsvis anføres, at den skal understøtte Kommissionens planer om at anerkende, at de oplysninger, der videregives til CBP, er tilstrækkelig beskyttet. Af ordlyden af erklæringen, der omfatter i alt 48 punkter, fremgår det, at den ikke »stifter eller overdrager [nogen] rettigheder eller fordele for private eller offentlige personer eller parter« ( ).

52. Jeg skal under min gennemgang understrege det væsentlige indhold af de forpligtelser, der har betydning for afgørelsen af tvisten.

53. Endelig indeholder beslutningen om tilstrækkelig beskyttelse et bilag »A«, der angiver overskrifterne til de 34 kategorier af PNR-oplysninger, som luftfartsselskaberne skal give CBP ( ).

54. Kommissionens beslutning er blevet suppleret af Rådets afgørelse om at indgå en international aftale mellem Det Europæiske Fællesskab og De Forenede Stater.

B – Rådets afgørelse

55. Rådets afgørelse er vedtaget med hjemmel i artikel 95, sammenholdt med artikel 300, stk. 2, første afsnit, første punktum, EF.

56. I første betragtning hedder det, at »[d]en 23. februar 2004 bemyndigede Rådet Kommissionen til at føre forhandlinger på Fællesskabets vegne om en aftale med Amerikas Forenede Stater om luftfartsselskabers behandling og overførsel af PNR-oplysninger til [CBP]« ( ). Anden betragtning til afgørelsen fastslår, at »Europa-Parlamentet [ikke har] afgivet udtalelse inden for den frist, som Rådet i henhold til traktatens artikel 300, stk. 3, første afsnit, havde fastsat under hensyntagen til det presserende behov for at udbedre den usikre situation, som luftfartsselskaber og passagerer befinder sig i, samt for at beskytte de berørte parters økonomiske interesser«.

57. Ifølge artikel 1 i Rådets afgørelse er aftalen godkendt på Fællesskabets vegne. Endvidere bemyndiger afgørelsens artikel 2 formanden for Rådet til at udpege de personer, der er beføjet til at undertegne aftalen på Fællesskabets vegne.

58. Teksten til aftalen er vedlagt Rådets afgørelse. Aftalens afsnit 7 bestemmer, at aftalen træder i kraft ved undertegnelsen. Dette betyder, at aftalen, som blev undertegnet i Washington den 28. maj 2004, trådte i kraft samme dag ( ).

59. I præambelen til aftalen anerkender Fællesskabet og De Forenede Stater, »at det er vigtigt, at grundlæggende rettigheder og friheder respekteres, navnlig privatlivets fred, og at det samtidig med beskyttelsen af disse værdier er vigtigt at forhindre og bekæmpe terrorisme og dermed forbunden kriminalitet og anden alvorlig kriminalitet af grænseoverskridende karakter, herunder organiseret kriminalitet«.

60. I præambelen til aftalen er der ligeledes henvist til følgende tekster: direktiv 95/46, særlig artikel 7, litra c), CBP’s forpligtelseserklæring og beslutningen om tilstrækkelig beskyttelse ( ).

61. De kontraherende parter har noteret sig, at »luftfartsselskaber med reservations- og afgangskontrolsystemer beliggende på Fællesskabets medlemsstaters område vil sørge for overførsel af PNR-oplysninger til CBP, så snart dette er teknisk muligt, men at de amerikanske myndigheder indtil da skal have direkte adgang til oplysninger i overensstemmelse med bestemmelserne i denne aftale« ( ).

62. Således bestemmes det i aftalens afsnit 1, at »CBP har elektronisk adgang til PNR-oplysninger i luftfartsselskabers reservations- og afgangskontrolsystemer […] beliggende på Fællesskabets medlemsstaters område under streng overholdelse af afgørelsens bestemmelser [( )], og så længe afgørelsen er gældende, og kun indtil der er fundet en tilfredsstillende løsning, som muliggør luftfartsselskabers overførsel af sådanne oplysninger«.

63. Som supplement til CBP’s ret til direkte adgang til PNR-oplysninger påbyder aftalens afsnit 2 luftfartsselskaber, der foretager passagerflyvninger i udenlandsk lufttransport til eller fra De Forenede Stater, at behandle de PNR-oplysninger, der opbevares i deres automatiske reservationssystemer, »efter anmodning fra CBP i medfør af amerikansk ret og under streng overholdelse af afgørelsen [ ( )], og så længe afgørelsen er gældende«.

64. Det præciseres desuden i aftalens afsnit 3, at CBP »tager [beslutningen om tilstrækkelig beskyttelse] til efterretning« og »bekendtgør, at det honorerer den vedlagte forpligtelseserklæring«. Aftalens afsnit 4 bestemmer, at »CBP behandler de PNR-oplysninger, det modtager, og de registrerede personer, der berøres af denne behandling, i overensstemmelse med gældende amerikanske lov- og forfatningskrav uden nogen ulovlig diskrimination, navnlig ikke begrundet i nationalitet eller bopælsland«.

65. CBP og Fællesskabet forpligter sig videre til sammen og med regelmæssige mellemrum at undersøge, hvorledes aftalen implementeres ( ). Af aftalen fremgår endvidere, at »[h]vis der indføres et system til identifikation af flypassagerer i Den Europæiske Union, som pålægger luftfartsselskaber at give myndighederne adgang til PNR-oplysninger om personer, hvis rejserute omfatter en flyvning til eller fra Den Europæiske Union, skal DHS [Department of Homeland Security], så vidt det er muligt og på et strengt gensidigt grundlag, aktivt opfordre luftfartsselskaber, der er etableret i dets jurisdiktion, til at samarbejde« ( ).

66. Aftalens afsnit 7 bestemmer ikke blot, at aftalen træder i kraft ved undertegnelsen, men også, at hver af parterne kan opsige aftalen til enhver tid. Opsigelsen får i så fald virkning 90 dage efter notifikationen af opsigelsen til den anden part. I samme afsnit hedder det endvidere, at aftalen kan ændres til enhver tid ved gensidig skriftlig overenskomst.

67. Endelig bestemmer aftalens afsnit 8: »Denne aftale medfører hverken nogen fravigelse eller ændring af parternes lovgivning; ej heller danner denne aftale grundlag for eller giver nogen rettigheder eller fordele til private eller offentlige personer eller parter.«

IV – Parlamentets anbringender i de to sager

68. I sag C-317/04 har Parlamentet fremført seks anbringender til støtte for sin påstand om annullation af Rådets afgørelse:

– urigtigt valg af artikel 95 EF som hjemmel

– tilsidesættelse af artikel 300, stk. 3, andet afsnit, EF, idet direktiv 95/46 ændres

– tilsidesættelse af retten til beskyttelse af personoplysninger

– tilsidesættelse af proportionalitetsprincippet

– utilstrækkelig begrundelse for den anfægtede afgørelse

– tilsidesættelse af det princip om loyalt samarbejde, der er fastsat i artikel 10 EF.

69. Det Forenede Kongerige Storbritannien og Nordirland samt Kommissionen har fået tilladelse til at intervenere i sagen til støtte for Rådets påstande ( ). Desuden har Den Europæiske Tilsynsførende for Databeskyttelse (herefter »EDPS«) fået tilladelse til at intervenere til støtte for Parlamentets påstande ( ).

70. I sag C-318/04 har Parlamentet fremført fire anbringender til støtte for sin påstand om annullation af beslutningen om tilstrækkelig beskyttelse:

– magtfordrejning

– tilsidesættelse af de væsentlige principper i direktiv 95/46

– tilsidesættelse af de grundlæggende rettigheder

– tilsidesættelse af proportionalitetsprincippet.

71. Det Forenede Kongerige har fået tilladelse til at intervenere til støtte for Kommissionens påstande ( ). Endvidere har EDPS fået tilladelse til at intervenere til støtte for Parlamentets påstande ( ).

72. Jeg skal gennemgå de to sager i den rækkefølge, hvori de anfægtede beslutninger eller afgørelser er vedtaget. Jeg skal derfor først behandle sagen om annullation af beslutningen om tilstrækkelig beskyttelse (sag C-318/04) og derefter sagen om annullation af Rådets afgørelse (sag C-317/04).

V – Sagen om annullation af beslutningen om tilstrækkelig beskyttelse (sag C-318/04)

A – Anbringendet om, at Kommissionen har begået magtfordrejning ved at vedtage beslutningen om tilstrækkelig beskyttelse

1. Parternes argumenter

73. Parlamentet har til støtte for dette anbringende for det første gjort gældende, at beslutningen om tilstrækkelig beskyttelse, der forfølger et mål henhørende under den offentlige sikkerhed og strafferetten, derved tilsidesætter direktiv 95/46, idet det tilstræbte mål ligger uden for direktivets materielle anvendelsesområde. Dette fremgår udtrykkeligt af artikel 3, stk. 2, første led, i direktiv 95/46, som ikke kan fortolkes på anden måde. At de pågældende personoplysninger er blevet indsamlet under udøvelse af en økonomisk aktivitet, nemlig salg af en flybillet, der giver ret til at modtage en tjenesteydelse, kan ikke begrunde anvendelsen af direktiv 95/46, særlig artikel 25, på et område, der ligger uden for direktivets anvendelsesområde.

74. Parlamentet har for det andet anført, at CBP ikke er et tredjeland i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46. Artikel 25, stk. 6, bestemmer nemlig, at en beslutning, hvori Kommissionen fastslår, at der er et tilstrækkeligt beskyttelsesniveau for personoplysninger, skal vedrøre et »tredjeland«, dvs. en stat eller en hermed ligestillet enhed, og ikke en enhed eller en forvaltning, hvorigennem en stat udøver sin myndighed.

75. For det tredje finder Parlamentet, at Kommissionens vedtagelse af beslutningen om tilstrækkelig beskyttelse udgør magtfordrejning, idet forpligtelseserklæringen i beslutningens bilag udtrykkeligt tillader CBP at videregive PNR-oplysninger til andre amerikanske eller udenlandske myndigheder.

76. Parlamentet finder for det fjerde, at beslutningen om tilstrækkelig beskyttelse på visse punkter begrænser og fraviger principperne i direktiv 95/46, selv om det ifølge direktivets artikel 13 alene er medlemsstaterne, der kan gøre dette. Ved at vedtage beslutningen om tilstrækkelig beskyttelse har Kommissionen således sat sig i medlemsstaternes sted og derved tilsidesat direktivets artikel 13. Ved at vedtage en retsakt til gennemførelse af direktiv 95/46 har Kommissionen tiltaget sig beføjelser, som helt ubetinget er forbeholdt medlemsstaterne.

77. Parlamentet har for det femte anført, at tilrådighedsstillelsen af oplysninger via »pull-systemet« ikke er en »videregivelse« i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, og derfor ikke kan tillades.

78. I betragtning af den nære forbindelse mellem beslutningen om tilstrækkelig beskyttelse og aftalen, bør beslutningen endelig ifølge Parlamentet anses for en foranstaltning, der ikke er egnet til at påbyde videregivelse af PNR-oplysninger.

79. I modsætning til Parlamentet finder EDPS, at når oplysninger stilles til rådighed for en person eller institution i et tredjeland, udgør dette en videregivelse, hvorfor artikel 25 i direktiv 95/46 finder anvendelse. Ifølge EDPS vil en begrænsning af begrebet til udelukkende at omfatte afsenderens videregivelse nemlig gøre det muligt at omgå de betingelser, der er opstillet i artikel 25, til skade for den databeskyttelse, der er foreskrevet i artiklen.

80. Ifølge Kommissionen, der støttes af Det Forenede Kongerige, er luftfartsselskabernes aktiviteter underlagt fællesskabsretten, således at direktiv 95/46 kan anvendes fuldt ud. Den ordning, der er indført for videregivelse af PNR-oplysninger, gælder ikke for aktiviteter udøvet af en medlemsstat eller offentlige myndigheder, der falder uden for fællesskabsrettens anvendelsesområde.

81. Kommissionen har endvidere påpeget, at aftalen er underskrevet på De Forenede Staters vegne og ikke på vegne af en offentlig myndighed. Med hensyn til CBP’s senere videregivelse af PNR-oplysninger finder Kommissionen ikke, at beskyttelsen af personoplysninger er uforenelig med en tilladelse til sådanne videregivelser, såfremt disse er underlagt passende og nødvendige begrænsninger.

82. Endelig finder Kommissionen ikke, at artikel 13 i direktiv 95/46 er relevant i denne sag, idet »videregivelsen« i direktivets artikel 25’s forstand for luftfartsselskaberne består i aktivt at stille PNR-oplysningerne til rådighed for CBP. Det pågældende system indebærer således uden nogen tvivl en videregivelse af oplysninger i direktiv 95/46’s forstand.

2. Stillingtagen

83. Med sit første anbringende har Parlamentet gjort gældende, at beslutningen om tilstrækkelig beskyttelse tilsidesætter direktiv 95/46, særlig artikel 3, stk. 2, artikel 13 og 25. Parlamentet har bl.a. anført, at direktivet ikke er nogen gyldig hjemmel for beslutningen.

84. Som nævnt har direktiv 95/46 til formål med henblik på det indre markeds oprettelse og funktion at fjerne hindringerne for fri udveksling af personoplysninger ved at sikre samme beskyttelsesniveau for det enkelte menneskes rettigheder og friheder i forbindelse med behandlingen af sådanne oplysninger i samtlige medlemsstater.

85. Fællesskabslovgiver har ligeledes ønsket at sikre, at denne beskyttelsesordning ikke bringes i fare, når personoplysninger forlader Fællesskabets område. Fællesskabslovgiver har derfor valgt et system, der kræver, at hvis der skal gives tilladelse til at videregive personoplysninger til et tredjeland, skal dette land sikre et passende beskyttelsesniveau for oplysningerne. Direktiv 95/46 fastsætter således det princip, at hvis et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau, skal det forbydes at videregive personoplysninger til dette land.

86. Direktivets artikel 25 pålægger medlemsstaterne og Kommissionen en række forpligtelser til at kontrollere, at hvert tredjeland, til hvilket der videregives personoplysninger, har sikret en tilstrækkelig databeskyttelse. Artikel 25 fastsætter ligeledes den metode og de kriterier, hvorefter det skal kontrolleres, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau for de personoplysninger, det modtager.

87. Domstolen har kaldt ordningen for videregivelse af personoplysninger til tredjelande for en »særlig ordning med særlige regler, der har til formål at sikre medlemsstaternes kontrol med videregivelse af personoplysninger til tredjelande«, og fastslået, at det er en ordning, »der supplerer den almindelige ordning, som er indført ved nævnte direktivs kapitel II vedrørende lovligheden af behandling af personoplysninger« ( ).

88. At der er indført særlige regler for videregivelse af personoplysninger til tredjelande skyldes ikke mindst den vide betydning, begrebet tilstrækkelig beskyttelse har. Ved afgrænsningen af rækkevidden af dette begreb skal der klart sondres mellem »tilstrækkelig beskyttelse« og »samme beskyttelse«, idet sidstnævnte begreb indebærer, at tredjelandet anerkender og faktisk gennemfører samtlige principper i direktiv 95/46.

89. Begrebet tilstrækkelig beskyttelse indebærer, at tredjelandet skal kunne garantere en passende beskyttelse efter retningslinjer, der skønnes at sikre en tilstrækkelig beskyttelse af personoplysninger. Et sådant system, der bygger på en vurdering af, om den beskyttelse, et tredjeland giver, er tilstrækkelig, giver medlemsstaterne og Kommissionen et vidt skøn ved vurderingen af de garantier, som det land, der modtager oplysningerne, har givet. Vurderingen foretages efter retningslinjerne i artikel 25, stk. 2, i direktiv 95/46, der nævner en række af de forhold, der kan tages i betragtning ved vurderingen ( ). Direktivet bestemmer, at »[v]urderingen af, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt, sker på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger«.

90. Domstolen har allerede fastslået, at direktiv 95/46 ikke definerer begrebet »videregivelse til et tredjeland« ( ). Direktivet præciserer bl.a. ikke, om begrebet alene dækker den operation, hvorved en behandlingsansvarlig aktivt videregiver personoplysninger til et tredjeland, eller om det også omfatter tilfælde, hvor en enhed i et tredjeland får adgang til oplysninger i en medlemsstat. Direktivet indeholder således intet om, hvorledes oplysninger kan videregives til et tredjeland.

91. I modsætning til Parlamentet finder jeg i denne sag, at CBP’s adgang til PNR-oplysninger er omfattet af begrebet »videregivelse til et tredjeland«. Det afgørende for, hvorledes en sådan videregivelse klassificeres, er efter min opfattelse, at oplysningerne sendes fra en medlemsstat til et tredjeland, i dette tilfælde De Forenede Stater ( ). I denne forbindelse er det uden betydning, om det er afsenderen eller modtageren, der videregiver oplysningerne. Som anført af EDPS vil det, hvis artikel 25 i direktiv 95/46 begrænses til kun at omfatte afsenderens videregivelser, være let at omgå de i artikel 25 fastsatte betingelser.

92. Når dette er sagt, skal jeg dog understrege, at direktivets kapitel IV, som også omfatter artikel 25, ikke har til formål at regulere samtlige videregivelser af personoplysninger, uanset art, til tredjelande. Ifølge artikel 25, stk. 1, omhandler kapitlet alene videregivelse af personoplysninger, »der gøres til genstand for behandling, eller som skal gøres til genstand for behandling efter videregivelsen«.

93. Jeg skal hermed understrege, at ifølge artikel 2, litra b), i direktiv 95/46 forstås der ved behandling af personoplysninger »enhver operation eller række af operationer […] som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, […], søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse […]« ( ).

94. Ordningen for videregivelse af personoplysninger til tredjelande er, uanset sin særlige karakter, der som nævnt i høj grad kan tilskrives begrebet tilstrækkelighed, underlagt de begrænsninger, der er fastsat for anvendelsesområdet for direktiv 95/46, som den er omfattet af ( ).

95. For at være omfattet af artikel 25 i direktiv 95/46 skal en videregivelse til et tredjeland vedrøre personoplysninger, som er genstand for en behandling, der, uanset om den allerede er iværksat i Fællesskabet eller blot overvejes i tredjelandet, er omfattet af direktivet. Kun på denne betingelse kan en beslutning om tilstrækkelig beskyttelse lovligt udgøre en retsakt til gennemførelse af direktiv 95/46.

96. Jeg skal her minde om, at direktivets materielle anvendelsesområde ikke omfatter samtlige behandlinger af personoplysninger, der eventuelt kan klassificeres i en af de kategorier af operationer, der er nævnt i artikel 2, litra b). Det fremgår nemlig af artikel 3, stk. 2, første led, i direktiv 95/46, at direktivet ikke gælder for sådan behandling af personoplysninger, som »iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område« ( ).

97. Efter min opfattelse udgør CBP’s søgning efter og brug af passageroplysninger fra reservationssystemerne hos luftfartsselskaber, der befinder sig på medlemsstaternes område, og overladelsen af disse oplysninger til CBP, behandlinger af personoplysninger, der har til formål at beskytte den offentlige sikkerhed, og som vedrører statslige aktiviteter på det strafferetlige område. Derfor er disse behandlinger udelukket fra det materielle anvendelsesområde for direktiv 95/46.

98. Ordlyden af beslutningen om tilstrækkelig beskyttelse viser formålet med de behandlinger, som personoplysninger om flypassagerer er genstand for. Efter at Kommissionen har anført, at kravet om videregivelse af de personoplysninger, der fremgår af flypassagerers PNR-registrering, til CBP, har hjemmel i en lov, som De Forenede Stater vedtog i november 2001, og i en række gennemførelsesbestemmelser, som CBP vedtog i medfør af denne lov ( ), præciserer den, at de pågældende amerikanske regler bl.a. har til formål »at forbedre sikkerheden« ( ). Det hedder videre, at »Fællesskabet [fuldt ud støtter] De Forenede Stater i bekæmpelsen af terrorisme inden for de begrænsninger, der følger af fællesskabsretten« ( ).

99. Af 15. betragtning til beslutningen om tilstrækkelig beskyttelse fremgår det, at »PNR-oplysninger [udelukkende anvendes] til at forebygge og bekæmpe terrorisme og dermed forbundne forbrydelser, andre alvorlige forbrydelser, herunder organiseret kriminalitet, der har tværnational karakter, og flugt fra en anholdelse eller varetægtsfængsling for denne kriminalitet«.

100. I mine øjne er direktiv 95/46, særlig artikel 25, stk. 6, ikke nogen egnet hjemmel for en gennemførelsesretsakt vedtaget af Kommissionen som f.eks. en beslutning om et tilstrækkeligt beskyttelsesniveau for personoplysninger, der er genstand for behandlinger, der udtrykkeligt er udelukket fra direktivets anvendelsesområde. Gives der med hjemmel i direktivet tilladelse til at videregive sådanne oplysninger, vil det nemlig medføre en ulovlig udvidelse af direktivets anvendelsesområde.

101. Jeg skal understrege, at direktiv 95/46, der er vedtaget med hjemmel i EF-traktatens artikel 100 A, fastlægger de beskyttelsesprincipper, der skal gælde for behandlinger af personoplysninger, hvis den behandlingsansvarliges aktiviteter er omfattet af fællesskabsretten. Derimod kan direktivet, netop på grund af den valgte hjemmel, ikke regulere statslige aktiviteter som f.eks. aktiviteter, der vedrører den offentlige sikkerhed eller forfølger retshåndhævende mål, der ikke er omfattet af fællesskabsretten ( ).

102. Ganske vist har den behandling, der består i luftfartsselskabernes indsamling og registrering af oplysninger om flypassagerer, normalt et kommercielt formål, idet den er direkte knyttet til gennemførelsen af luftfartsselskabets flyvninger. Det er også korrekt, at PNR-oplysningerne først indsamles af luftfartsselskaberne som led i en aktivitet, der er underlagt fællesskabsretten, nemlig salg af en flybillet, der giver ret til en tjenesteydelse. Den behandling af oplysningerne, der er tale om i beslutningen om tilstrækkelig beskyttelse, er imidlertid af en helt anden art, idet den finder sted på et senere tidspunkt end den første indsamling af oplysninger. Behandlingen vedrører nemlig som nævnt CBP’s søgning efter og brug af passageroplysninger fra reservationssystemerne hos de luftfartsselskaber, der befinder sig på medlemsstaternes område, og videregivelsen heraf til CBP.

103. I virkeligheden vedrører beslutningen om tilstrækkelig beskyttelse ikke en behandling af oplysninger, der er nødvendig for at levere en tjenesteydelse, men en behandling, som anses for nødvendig for at beskytte den offentlige sikkerhed og for at nå retshåndhævende mål. Dette er det egentlige formål med videregivelsen og behandlingen af PNR-oplysninger. Derfor kan den omstændighed, at personoplysningerne er indsamlet under udøvelsen af en økonomisk aktivitet, efter min opfattelse ikke begrunde anvendelsen af direktiv 95/46, særlig artikel 25, på et område, der ikke er omfattet af direktivet.

104. På baggrund af det anførte må jeg give Parlamentet ret i, at Kommissionen ikke i henhold til artikel 25 i direktiv 95/46 havde kompetence til at vedtage en beslutning om et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives som led i og med henblik på en behandling, der udtrykkeligt er udelukket fra direktivets anvendelsesområde ( ).

105. Beslutningen om tilstrækkelig beskyttelse tilsidesætter derfor direktiv 95/46, særlig artikel 25, som er grundlag for beslutningen, men som ikke er den rette hjemmel. Jeg finder derfor, at beslutningen bør annulleres.

106. Da beslutningen om tilstrækkelig beskyttelse efter min opfattelse falder uden for anvendelsesområdet for direktiv 95/46, finder jeg det ufornødent at efterkomme Parlamentets opfordring i det andet anbringende og gennemgå beslutningen på baggrund af de væsentlige principper, der er fastsat i direktivet ( ). Jeg finder det derfor unødvendigt at gennemgå det andet anbringende.

107. Med hensyn til det tredje og fjerde anbringende i denne sag, som jeg opfatter som subsidiære, kan de ikke gennemgås særskilt, idet undersøgelsen af, om beslutningen om tilstrækkelig beskyttelse eventuelt tilsidesætter grundlæggende rettigheder, nødvendigvis omfatter en vurdering af, om beslutningen i betragtning af sit formål overholder proportionalitetsprincippet. Jeg foreslår derfor Domstolen at behandle tredje og fjerde anbringende under ét.

B – Anbringenderne om tilsidesættelse af grundlæggende rettigheder og proportionalitetsprincippet

108. Parlamentet har gjort gældende, at beslutningen om tilstrækkelig beskyttelse ikke respekterer den ret til beskyttelse af personoplysninger, der er sikret ved EKMR’s artikel 8. Parlamentet finder nærmere bestemt, at henset til de betingelser, der er fastsat i artikel 8, er beslutningen en krænkelse af privatlivets fred, som der ikke er hjemmel for i lovgivningen, idet foranstaltningen ikke er tilgængelig og forudsigelig. Efter Parlamentets opfattelse står foranstaltningen endvidere i misforhold til det forfulgte mål, jf. bl.a. de mange typer PNR-oplysninger, der ønskes videregivet, og det meget lange tidsrum, oplysningerne skal opbevares i.

109. I sag C-317/04 om annullation af Rådets afgørelse har Parlamentet ligeledes henvist til disse to anbringender og fremført argumenter, der for fleres vedkommende overlapper hinanden. Efter min opfattelse skal begge anbringenderne, selv om de er fremført under to forskellige sager, behandles under ét, hvilket jeg skal gøre under behandlingen af sag C-317/04.

110. Det fremgår nemlig af parternes argumenter i deres respektive indlæg, at det er umuligt i spørgsmålet om retten til respekt for privatlivet at behandle de forskellige bestanddele af ordningen for CBP’s behandling af PNR-oplysninger ( ) hver for sig, idet de udgør den aftale, der er godkendt ved Rådets afgørelse, beslutningen om tilstrækkelig beskyttelse og CBP’s forpligtelseserklæring, der er vedlagt beslutningen om tilstrækkelig beskyttelse. I øvrigt har parterne flere gange henvist til en eller flere af disse retsakter til støtte for deres påstande.

111. Den nære forbindelse mellem disse tre bestanddele, som tilsammen udgør PNR-ordningen, fremgår udtrykkeligt af aftalens ordlyd. Såvel CBP’s forpligtelseserklæring som beslutningen om tilstrækkelig beskyttelse er nemlig nævnt i præambelen til aftalen. Endvidere hedder det i aftalens afsnit 1, at CBP har adgang til PNR-oplysninger »under streng overholdelse af [beslutningen om tilstrækkelig beskyttelse], og så længe [beslutningen] er gældende […]«. Jeg skal tilføje, at selv om de luftfartsselskaber, der er omhandlet i aftalens afsnit 2, ifølge dette afsnit skal behandle PNR-oplysninger »efter anmodning fra CBP i medfør af amerikansk ret«, skal dette fortsat ske »under streng overholdelse af [bestemmelserne i beslutningen om tilstrækkelig beskyttelse], og så længe [beslutningen] er gældende«. Endelig hedder det i aftalens afsnit 3, at »CBP tager [beslutningen om tilstrækkelig beskyttelse] til efterretning og bekendtgør, at det honorerer den vedlagte forpligtelseserklæring«.

112. Det anførte indebærer i mine øjne, at den ret til adgang til PNR-oplysninger, aftalen tillægger CBP, samt den forpligtelse til at behandle oplysningerne, som påhviler de i aftalen omhandlede luftfartsselskaber, kræver en strengt forskriftsmæssig og effektiv anvendelse af beslutningen om tilstrækkelig beskyttelse.

113. Den omstændighed, at PNR-ordningens tre bestanddele er nært forbundne, samt at Parlamentet har påberåbt sig anbringenderne om tilsidesættelse af grundlæggende rettigheder og proportionalitetsprincippet i begge de sager, der er indbragt for Domstolen, foranlediger mig til at opfatte anbringenderne som en opfordring til Domstolen om at erklære PNR-ordningens tre bestanddele uforenelige med den ret til respekt for privatlivet, der er sikret ved EKMR’s artikel 8. Det ville nemlig for mig at se være kunstigt at behandle beslutningen om tilstrækkelig beskyttelse uden at inddrage aftalen, der pålægger luftfartsselskaberne en række forpligtelser, i overvejelserne, og på den anden side at behandle denne aftale uden at tage hensyn til de øvrige gældende bestemmelser, som der udtrykkeligt henvises til i aftalen.

114. Da ordningen består af flere uadskillelige bestanddele, vil det være kunstigt at behandle disse hver for sig.

115. Ud fra denne synsvinkel er det de tre bestanddele, der tilsammen udgør den aftale, der er godkendt ved Rådets afgørelse, beslutningen om tilstrækkelig beskyttelse og CBP’s forpligtelseserklæring, der griber ind i udøvelsen af retten til respekt for privatlivet. Ved vurderingen af, om dette er lovligt, forfølger et legitimt formål og er nødvendigt i et demokratisk samfund, må der ligeledes tages hensyn til alle elementerne i den således indførte »tretrinsordning«, således som Parlamentet har gjort i sine to stævninger. For at få et samlet overblik over PNR-ordningen skal jeg foretage denne vurdering under behandlingen af sagen om annullation af Rådets afgørelse.

VI – Sagen om annullation af Rådets afgørelse (sag C-317/04)

A – Anbringendet om urigtigt valg af artikel 95 EF som hjemmel for Rådets afgørelse

1. Parternes argumenter

116. Europa-Parlamentet har anført, at artikel 95 EF ikke udgør den rette hjemmel for Rådets afgørelse. Hverken afgørelsens formål eller indhold tager nemlig sigte på det indre markeds oprettelse og funktion. Rådets afgørelse har snarere til formål at lovliggøre den behandling af personoplysninger, amerikansk lovgivning påbyder de luftfartsselskaber, der er etableret på Fællesskabets område. Det fremgår ikke af afgørelsen, i hvilket omfang lovliggørelsen af videregivelsen af oplysninger til et tredjeland vil bidrage til det indre markeds oprettelse eller funktion.

117. Heller ikke indholdet af Rådets afgørelse kan ifølge Parlamentet begrunde anvendelsen af artikel 95 EF som hjemmel. Ved afgørelsen gives CBP adgang til reservationssystemerne hos de luftfartsselskaber, der er etableret på Fællesskabets område, således at der med henblik på at forebygge og bekæmpe terrorisme kan foretages flyvninger mellem De Forenede Stater og medlemsstaterne i overensstemmelse med amerikansk lovgivning. Foranstaltninger til opnåelse af disse mål falder imidlertid ikke ind under artikel 95 EF.

118. Endelig har Parlamentet tilføjet, at artikel 95 EF ikke giver Fællesskabet kompetence til at indgå den pågældende aftale, idet denne vedrører behandlinger af oplysninger, der foretages for at forbedre den offentlige sikkerhed og således er udelukket fra anvendelsesområdet for direktiv 95/46, der har hjemmel i netop artikel 95 EF.

119. Rådet finder derimod, at artikel 95 EF er den rette hjemmel for afgørelsen. Ifølge Rådet gør artiklen det muligt at træffe foranstaltninger, der kan sikre, at konkurrencevilkårene i det indre marked ikke fordrejes. Ifølge Rådet tager aftalen sigte på at fjerne enhver konkurrencefordrejning mellem medlemsstaternes luftfartsselskaber og mellem disse og tredjelandes luftfartsselskaber, konkurrencefordrejninger, der af årsager, som har forbindelse med beskyttelsen af enkeltpersoners rettigheder og friheder, kan opstå på grund af de amerikanske krav. Konkurrencen mellem medlemsstaternes luftfartsselskaber, der foretager passagerflyvninger i udenlandsk lufttransport til eller fra De Forenede Stater, kan blive fordrejet, hvis blot enkelte af luftfartsselskaberne giver de amerikanske myndigheder adgang til deres databaser.

120. Rådet har uddybet denne tankegang og anført, at de luftfartsselskaber, der ikke opfylder de amerikanske krav, vil kunne blive stillet over for bødekrav fra de amerikanske myndigheder, få forsinket deres flyvninger og miste passagerer til fordel for andre luftfartsselskaber, der har indgået aftaler med De Forenede Stater. Dertil kommer, at visse medlemsstater muligvis iværksætter sanktioner over for luftfartsselskaber, der videregiver de pågældende personoplysninger, mens andre medlemsstater ikke nødvendigvis træffer sådanne foranstaltninger.

121. Rådet finder under disse omstændigheder og i betragtning af, at der ikke findes noget fælles regelsæt vedrørende amerikanske myndigheders adgang til PNR-oplysninger, at der er fare for konkurrencefordrejninger og for et alvorligt brud på det indre markeds enhed. Det var derfor nødvendigt at indføre ensartede betingelser for de amerikanske myndigheders adgang til oplysningerne under hensyntagen til Fællesskabets krav om respekt for de grundlæggende rettigheder. Hensigten var at underkaste samtlige berørte luftfartsselskaber ensartede forpligtelser og at tage hensyn til de eksterne aspekter af det indre markeds oprettelse og funktion.

122. Endelig har Rådet anført, at aftalen blev indgået efter beslutningen om tilstrækkelig beskyttelse, der har hjemmel i artikel 25, stk. 6, i direktiv 95/46. Det var således rimeligt og rigtigt at benytte samme hjemmel til afgørelsen om indgåelse af aftalen som til direktivet, nemlig artikel 95 EF.

123. Kommissionen har i sit interventionsindlæg påpeget, at det af præambelen til aftalen fremgår, at det primære mål for De Forenede Stater er at bekæmpe terrorisme, mens det for Fællesskabet er at sikre overholdelsen af væsentlige bestemmelser i Fællesskabets lovgivning om beskyttelse af personoplysninger.

124. Kommissionen har tilføjet, at Parlamentet, selv om det kritiserer valget af artikel 95 EF som hjemmel for Rådets afgørelse, ikke har fremlagt noget troværdigt alternativ. Ifølge Kommissionen er artikel 95 EF det »naturlige« valg af hjemmel for Rådets afgørelse, idet de eksterne aspekter af beskyttelsen af personoplysninger bør bygge på den artikel i traktaten, der er hjemmel for den interne foranstaltning – direktiv 95/46 – ikke mindst da disse eksterne aspekter udtrykkeligt er omhandlet i direktivets artikel 25 og 26. Endvidere tilsiger den nære forbindelse og sammenhæng mellem aftalen, beslutningen om tilstrækkelig beskyttelse og CBP’s forpligtelseserklæring, at artikel 95 EF vælges som hjemmel. Ifølge Kommissionen havde Rådet under alle omstændigheder ret til at indgå aftalen på grundlag af denne artikel, idet det ville have været i strid med direktiv 95/46, hvis medlemsstaterne individuelt eller kollektivt havde indgået en sådan aftale uden for fællesskabslovgivningens rammer, jf. AETR-dommen ( ).

125. Endelig har Kommissionen påpeget, at luftfartsselskabernes indledende behandling af de pågældende oplysninger sker med kommercielt sigte. Uanset hvilken brug de amerikanske myndigheder gør af oplysningerne, ville direktiv 95/46 således finde anvendelse.

2. Stillingtagen

126. Parlamentet har med sit første anbringende anmodet Domstolen om at tage stilling til, om artikel 95 EF er den rette hjemmel for Rådets afgørelse om Fællesskabets indgåelse af en international aftale som den, der er genstand for denne sag. Spørgsmålet må efter min opfattelse afgøres under henvisning til Domstolens faste praksis, hvorefter valget af hjemmel for en retsakt skal foretages på grundlag af objektive forhold, som Domstolen kan efterprøve, herunder bl.a. retsaktens formål og indhold ( ). Efter retspraksis gælder endvidere, at »inden for rammerne af kompetencefordelingen inden for Fællesskabet kan en institutions valg af hjemmel for en retsakt ikke foretages alene på grundlag af dens egen opfattelse med hensyn til det formål, der søges tilgodeset […]« ( ).

127. Som fastslået af Domstolen har »valget af den rette hjemmel […] forfatningsretlig betydning. Da Fællesskabet kun har de beføjelser, det har fået tillagt, skal det kunne henføre [den pågældende internationale aftale] under en bestemmelse i traktaten, der bemyndiger det til at godkende en sådan retsakt.« Ifølge Domstolen kan »[a]nvendelse af en urigtig hjemmel […] således medføre ugyldighed for selve tiltrædelsesakten og dermed bevirke, at Fællesskabets samtykke til at være bundet af den aftale, det har undertegnet, behæftes med en mangel« ( ).

128. Jeg skal følge samme analysemetode som Domstolen og således undersøge, om aftalens formål og indhold giver Rådet mulighed for med hjemmel i artikel 95 EF at vedtage en afgørelse, som ifølge sin artikel 1 har til formål at godkende aftalen på Fællesskabets vegne.

129. Det fremgår udtrykkeligt af præambelen til aftalen (afsnit 1), at den forfølger to mål, nemlig dels forebyggelse og bekæmpelse af terrorisme og dermed forbunden kriminalitet og anden alvorlig kriminalitet af grænseoverskridende karakter, herunder organiseret kriminalitet ( ), dels fremme af respekten for grundlæggende rettigheder og friheder, navnlig privatlivets fred.

130. At formålet med aftalen er at bekæmpe terrorisme og anden alvorlig kriminalitet bekræftes af præambelens henvisning (afsnit 2) til de amerikanske love og bestemmelser, der blev vedtaget efter terrorangrebene den 11. september 2001, og hvorefter alle luftfartsselskaber, som foretager passagerflyvninger i udenlandsk lufttransport til og fra De Forenede Stater, skal give CBP elektronisk adgang til PNR-oplysninger, hvor sådanne oplysninger er indsamlet og opbevares i luftfartsselskabets automatiske reservations-/afgangskontrolsystemer.

131. Det andet mål, nemlig fremme af respekten for grundlæggende rettigheder, navnlig privatlivets fred, fremgår af henvisningen til direktiv 95/46. Målet er således at sikre fysiske personer, der transporteres, beskyttelse af deres personoplysninger.

132. Garantien for denne beskyttelse tilstræbes såvel i CBP’s forpligtelseserklæring af 11. maj 2004, som ifølge afsnit 4 i aftalens præambel vil blive offentliggjort i Federal Register, som i beslutningen om tilstrækkelig beskyttelse, der er nævnt i samme præambels afsnit 5.

133. Begge mål skal i henhold til afsnit 1 i aftalens præambel forfølges samtidigt. Aftalen mellem Fællesskabet og De Forenede Stater søger således at forene de to mål, idet den bestemmer, at bekæmpelse af terrorisme og anden alvorlig kriminalitet skal ske under iagttagelse af princippet om respekt for grundlæggende rettigheder, navnlig privatlivets fred, nærmere bestemt retten til beskyttelse af personoplysninger.

134. Dette bekræftes af aftalens indhold. Ifølge aftalens afsnit 1 har CBP nemlig elektronisk adgang til PNR-oplysninger i luftfartsselskabers reservations- og afgangskontrolsystemer, beliggende på medlemsstaternes område »under streng overholdelse« af beslutningen om tilstrækkelig beskyttelse, »og så længe [beslutningen] er gældende«. Jeg udleder heraf, at det middel til bekæmpelse af terrorisme og anden alvorlig kriminalitet, som adgangen til flypassagerers PNR-oplysninger er, kun tillades i henhold til aftalen, såfremt det anerkendes, at oplysningerne i De Forenede Stater er sikret et tilstrækkeligt beskyttelsesniveau. Indholdet af denne bestemmelse i aftalen viser således, at begge mål, bekæmpelse af terrorisme og anden alvorlig kriminalitet og beskyttelse af personoplysninger, skal søges opfyldt samtidigt.

135. En gennemgang af aftalens afsnit 2, som forpligter luftfartsselskaber, der foretager passagerflyvninger i udenlandsk lufttransport til eller fra De Forenede Stater, til at behandle PNR-oplysninger, der opbevares i deres automatiske reservationssystemer, »efter anmodning fra CBP i medfør af amerikansk ret og under streng overholdelse af [bestemmelserne i beslutningen om tilstrækkelig beskyttelse], og så længe [beslutningen] er gældende«, fører til samme konklusion. Også her finder jeg, at der er en nær forbindelse mellem den forpligtelse, der fremover påhviler luftfartsselskaber som led i bekæmpelsen af terrorisme og anden alvorlig kriminalitet, og den tilstrækkelige beskyttelse af flypassagerernes personoplysninger.

136. Også andre af aftalens bestemmelser har til formål at realisere de to mål, nemlig at bekæmpe terrorisme og anden alvorlig kriminalitet og beskytte flypassagerernes personoplysninger.

137. F.eks. hedder det i aftalens afsnit 3 hvad særlig angår beskyttelsen af flypassagerers personoplysninger, at »CBP tager [beslutningen om tilstrækkelig beskyttelse] til efterretning og bekendtgør, at det honorerer den vedlagte forpligtelseserklæring«.

138. Endvidere nævner aftalens afsnit 6 muligheden af, at Den Europæiske Union selv indfører et system til identifikation af flypassagerer, som pålægger luftfartsselskaber at give myndighederne adgang til PNR-oplysninger for personer, hvis rejserute omfatter en flyvning til eller fra Den Europæiske Union. Indføres et sådant system, skal DHS ifølge aftalen »så vidt det er muligt og på et strengt gensidigt grundlag aktivt opfordre luftfartsselskaber, der er etableret i dets jurisdiktion, til at samarbejde«. Også denne bestemmelse bekræfter, at et af målene er bekæmpelse af terrorisme og anden alvorlig kriminalitet.

139. Som svar på visse af Kommissionens argumenter forekommer det mig i denne forbindelse vanskeligt at hævde, at det kun er De Forenede Stater, der ensidigt forfølger målet at bekæmpe terrorisme og anden alvorlig kriminalitet, mens Fællesskabet blot søger at beskytte flypassagerers personoplysninger ( ). Efter min opfattelse har de kontraherende parters hensigt været at give aftalen et formål og indhold, der forener de to mål, nemlig bekæmpelse af terrorisme og anden alvorlig kriminalitet og beskyttelse af flypassagerers personoplysninger. Herved indebærer aftalen et samarbejde mellem de kontraherende parter, der netop har til formål samtidigt at forfølge begge mål.

140. I betragtning af aftalens formål og indhold, jf. det tidligere anførte, finder jeg ikke, at artikel 95 EF er rette hjemmel for Rådets afgørelse.

141. Jeg skal nemlig understrege, at artikel 95, stk. 1, EF bestemmer, at Rådet skal vedtage de foranstaltninger med henblik på indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser, der vedrører det indre markeds oprettelse og funktion.

142. Fællesskabets kompetence i henhold til denne artikel i traktaten har horisontal karakter, idet den ikke er begrænset til et bestemt område. Rækkevidden af Fællesskabets kompetence afgøres således »på grundlag af et funktionelt kriterium, der i horisontal henseende omfatter samtlige foranstaltninger bestemt til oprettelse af »det indre marked«« ( ).

143. Efter Domstolens praksis har de i artikel 95, stk. 1, EF omhandlede foranstaltninger til formål at forbedre vilkårene for det indre markeds oprettelse og funktion, og de skal reelt have dette formål ved at bidrage til at fjerne hindringer for de frie varebevægelser og for den frie udveksling af tjenesteydelser samt ophæve konkurrencefordrejninger ( ). Det fremgår ligeledes af Domstolens praksis, at selv om anvendelsen af artikel 95 EF som hjemmel er mulig med henblik på at undgå, at der opstår fremtidige hindringer for samhandelen, der skyldes en uensartet udvikling af de nationale lovgivninger, skal det være sandsynligt, at sådanne hindringer vil opstå, og den pågældende foranstaltning skal have til formål at forebygge dem ( ).

144. Rådet har som nævnt fastholdt, at artikel 95 EF er rette hjemmel for dens afgørelse, idet aftalen med De Forenede Stater ved at fjerne enhver konkurrencefordrejning mellem medlemsstaternes luftfartsselskaber og mellem disse og tredjelandes luftfartsselskaber bidrager til at forhindre, at det indre markeds enhed lider alvorlig skade.

145. Ganske vist fremhæver anden betragtning til Rådets afgørelse »det presserende behov for at udbedre den usikre situation, som luftfartsselskaber og passagerer befinder sig i, samt for at beskytte de berørte parters økonomiske interesser«. Dette kan muligvis opfattes som en henvisning til de sanktioner, de kompetente amerikanske myndigheder kan iværksætte over for luftfartsselskaber, som nægter at give adgang til deres flypassagerers PNR-oplysninger, sanktioner, som kan få økonomiske følger for luftfartsselskaberne. Disse sanktioner, som har ugunstige økonomiske følger for visse luftfartsselskaber, kan i så fald tænkes at medføre konkurrencefordrejninger mellem alle de luftfartsselskaber, der er etableret på medlemsstaternes område.

146. Efter min opfattelse er det heller ikke umuligt, at forskellige holdninger hos medlemsstaterne, hvoraf nogle under bødeansvar forbyder luftfartsselskaber, der er etableret på deres område, at give tilladelse til videregivelse af deres passagerers PNR-oplysninger, mens andre ikke gør det, kan have en – eventuelt indirekte – effekt på det indre markeds funktion som følge af de eventuelle konkurrencefordrejninger, der kan opstå mellem luftfartsselskaber.

147. Jeg må dog konstatere, at et sådant mål, nemlig at forhindre konkurrencefordrejninger, såfremt Rådet faktisk forfølger det, er sekundært i forhold til de to hovedmål, nemlig at bekæmpe terrorisme og anden alvorlig kriminalitet og beskytte flypassagerers personoplysninger, to mål, der som allerede nævnt udtrykkeligt er fastsat i aftalen, og som aftalen faktisk realiserer.

148. Forhindring af konkurrencefordrejninger, der ifølge Rådet kan opstå mellem medlemsstaternes luftfartsselskaber eller mellem disse og tredjelandes selskaber, er imidlertid ikke et mål, der udtrykkeligt er nævnt i aftalen. Målet er implicit og er således nødvendigvis sekundært i forhold til de to andre mål.

149. Domstolen har imidlertid allerede fastslået, at »den omstændighed, at en retsakt har betydning for det indre markeds oprettelse og funktion, ikke i sig selv er tilstrækkelig til at begrunde anvendelsen af bestemmelsen som hjemmel for retsakten« ( ).

150. Især fremgår det af Domstolens faste praksis, at hvis gennemgangen af en fællesskabsretsakt viser, at den har et dobbelt formål, eller at den består af to led, og det ene af disse kan bestemmes som principielt eller fremherskende, mens det andet kun er sekundært, skal retsakten have en enkelt hjemmel, nemlig den, der kræves af det principielle eller fremherskende formål eller led ( ). Kun undtagelsesvis, nemlig hvis det godtgøres, at der med retsakten samtidig forfølges flere formål, der på uadskillelig måde er indbyrdes forbundne, uden at et af disse formål er sekundært og indirekte i forhold til det andet, bør en sådan retsakt vedtages med de dertil svarende forskellige retsgrundlag ( ). Dette er efter min opfattelse ikke tilfældet i denne sag.

151. Jeg skal tilføje, at selv om de tre formål kan anses for uadskillelige i henhold til aftalen, giver dette ikke Rådet ret til alene at vælge artikel 95 EF som hjemmel for sin afgørelse, jf. ovennævnte retspraksis.

152. Læser man anden betragtning til Rådets afgørelse i sin helhed, fremgår det nemlig, at det »presserende behov«, der fremhæves, først og fremmest tjener til at forklare, at der for Parlamentet i henhold til artikel 300, stk. 3, første afsnit, EF er fastsat en frist for afgivelse af dets udtalelse. I nævnte artikel, som vedrører fremgangsmåden for indgåelse af aftaler, hedder det, at »Europa-Parlamentet afgiver sin udtalelse inden for en frist, som Rådet kan fastsætte under hensyntagen til, hvor meget sagen haster«. Det hedder videre, at »[h]vis der ikke er afgivet udtalelse ved fristens udløb, kan Rådet træffe afgørelse«. Dette er, hvad der er sket i den procedure, der er fulgt med henblik på vedtagelse af Rådets afgørelse.

153. Selv om der under arbejdet med at fastlægge en ordning for PNR-oplysninger muligvis er taget hensyn til »det presserende behov for at udbedre den usikre situation, som luftfartsselskaber og passagerer befinder sig i, samt for at beskytte de berørte parters økonomiske interesser«, forekommer det mig med andre ord, at der især er taget hensyn til det presserende behov under dette forberedende arbejde, og ikke så meget til selve fastlæggelsen af aftalens formål og indhold.

154. Med hensyn til Rådets og Kommissionens argument om, at en retsakt vedrørende de eksterne aspekter af beskyttelsen af personoplysninger bør have samme hjemmel som den interne foranstaltning, nemlig direktiv 95/46, har Domstolen allerede fastslået, at den omstændighed, at en bestemt traktatbestemmelse er valgt som retsgrundlag for vedtagelsen af interne retsakter, ikke er tilstrækkelig til at godtgøre, at den samme hjemmel også skal anvendes ved godkendelsen af en international aftale, der har et lignende formål ( ). Jeg har endvidere påpeget, at det hverken af aftalens hovedformål eller indhold fremgår, at den skal forbedre det indre markeds funktion, mens direktiv 95/46, der er vedtaget med hjemmel i artikel 95 EF, »har til formål at sikre den frie udveksling af personoplysninger mellem medlemsstaterne ved at foretage en harmonisering af de nationale bestemmelser til beskyttelse af fysiske personer i forbindelse med behandling af sådanne oplysninger« ( ).

155. Jeg finder derfor, at gennemgangen af aftalens formål og indhold viser, at artikel 95 EF ikke er rette hjemmel for Rådets afgørelse.

156. Derfor foreslår jeg Domstolen at tage Parlamentets første anbringende til følge og annullere Rådets afgørelse med den begrundelse, at der er valgt en urigtig hjemmel.

157. Spørgsmålet om, hvad den rette hjemmel for en sådan afgørelse er, er interessant. Domstolen er imidlertid ikke blevet opfordret til at tage stilling til dette vanskelige spørgsmål i denne sag. Jeg skal derfor blot kort kommentere problemet og mere generelt den PNR-ordning, der er aftalt med De Forenede Stater.

158. For det første finder jeg ikke, at Rådet har ret i, at den omstændighed, at PNR-ordningen ikke er omfattet af EU-traktaten, viser, at Rådet og Kommissionen har ret i deres synspunkt.

159. Mere generelt kan en retsakt, der giver en myndighed, der har til opgave at sikre en stats interne sikkerhed, ret til at søge og bruge personoplysninger, samt tillader, at disse oplysninger videregives til en sådan myndighed, i mine øjne ligestilles med en retsakt, der vedrører samarbejdet mellem offentlige myndigheder ( ).

160. I mine øjne er der ikke stor forskel mellem at pålægge en juridisk person at foretage en sådan behandling af oplysninger og videregive oplysninger og en direkte dataudveksling mellem offentlige myndigheder ( ). Det er den obligatoriske udveksling af oplysninger, der har sikkerhedsmæssige og retshåndhævende formål, der er afgørende, og ikke hvorledes udvekslingen foregår i en bestemt situation. Denne sag handler i virkeligheden om en ny problemstilling, som vedrører brug af kommercielle oplysninger til retshåndhævende formål ( ).

161. Endelig har Retten tidligere fastslået, at »kampen mod international terrorisme […] ikke kan henføres til nogen af de mål, som tillægges Fællesskabet ved artikel 2 EF og 3 EF« ( ).

162. Da jeg efter min gennemgang af det første anbringende har foreslået Domstolen at annullere Rådets afgørelse med den begrundelse, at Rådet har valgt en forkert hjemmel for afgørelsen, skal jeg blot subsidiært gennemgå Parlamentets øvrige anbringender til støtte for den foreliggende sag.

B – Anbringendet om tilsidesættelse af artikel 300, stk. 3, andet afsnit, EF på grundlag af ændringen af direktiv 95/46

1. Parternes argumenter

163. Med det andet anbringende har Parlamentet gjort gældende, at aftalen mellem Fællesskabet og De Forenede Stater kun kan godkendes på Fællesskabets vegne under overholdelse af fremgangsmåden i artikel 300, stk. 3, andet afsnit, EF. I denne artikel bestemmes nemlig, at »[der kræves] samstemmende udtalelse fra Europa-Parlamentet for indgåelse af […] aftaler, som medfører en ændring af en retsakt, der er vedtaget efter fremgangsmåden i artikel 251«. Ifølge Parlamentet indebærer den pågældende aftale netop en ændring af direktiv 95/46, der blev vedtaget efter fremgangsmåden i artikel 251 EF.

164. Efter Parlamentets opfattelse er de forpligtelser, de amerikanske myndigheder har accepteret i henhold til aftalen, mindre vidtgående end de betingelser for behandling af oplysninger, der er fastsat i direktiv 95/46. Aftalen fraviger således visse af direktivets grundlæggende principper og lovliggør behandlinger, der ikke er belæg for i direktivet. Aftalen ændrer således direktiv 95/46. Parlamentet har især fremhævet følgende ændringer.

165. For det første har aftalen til formål at forebygge og bekæmpe terrorisme og anden alvorlig kriminalitet, mens artikel 3, stk. 2, første led, i direktiv 95/46 udelukker videregivelse af oplysninger til offentlige myndigheder i et tredjeland for at forbedre den offentlige sikkerhed i dette land fra direktivets anvendelsesområde. Parlamentet har anført, at medlemsstaterne har indført særlige bestemmelser herom i Europol-konventionen, og at de to retsakter, der har forskellig hjemmel, kan anses for at supplere hinanden på dette område.

166. For det andet medfører den mulighed, der gives de kompetente amerikanske myndigheder for at få direkte adgang til personoplysninger på Fællesskabets område (»pull-systemet«), ligeledes en ændring af direktiv 95/46. Direktivets artikel 25 og 26 indeholder nemlig ingen bestemmelse om, at et tredjeland har ret til direkte adgang til disse oplysninger.

167. For det tredje giver aftalen ved at henvise til forpligtelseserklæringen CBP ret til skønsmæssigt og efter en konkret vurdering at videregive PNR-oplysninger til retshåndhævende eller terrorbekæmpende myndigheder fra lande uden for De Forenede Stater. Denne skønsbeføjelse, der indrømmes de amerikanske myndigheder, tilsidesætter direktiv 95/46, særlig artikel 25, stk. 1, hvori det bestemmes, at »videregivelse til et tredjeland af personoplysninger […] kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau«. Parlamentet frygter nemlig, at det beskyttelsessystem, der er indført ved direktivet, fuldstændig vil miste sin betydning, hvis et tredjeland, hvis beskyttelsessystem godkendes, herefter frit kan videregive personoplysninger til andre lande, hvis beskyttelsesniveau end ikke er blevet vurderet af Kommissionen.

168. For det fjerde indebærer aftalen en ændring af direktiv 95/46, idet CBP, selv om det beslutter ikke at anvende de »følsomme« personoplysninger, får ret til at indsamle oplysningerne, hvilket i sig selv må anses for en behandling i den forstand, hvori udtrykket er anvendt i direktivets artikel 2, litra b).

169. Parlamentet finder for det femte, at aftalen medfører en ændring af direktivet, idet retten til domstolsprøvelse i tilfælde af tilsidesættelse af de rettigheder, som alle har i henhold til de nationale bestemmelser, der regulerer den pågældende behandling, jf. artikel 22 i direktiv 95/46, ikke er tilstrækkelig sikret. Bl.a. råder en person, hvis PNR-oplysninger videregives, ikke over noget retsmiddel, f.eks. hvis oplysningerne er forkerte, hvis følsomme oplysninger anvendes, eller hvis oplysningerne videregives til en anden myndighed.

170. Endelig har Parlamentet for det sjette fremhævet, at de PNR-oplysninger, der videregives til CBP, skal opbevares særdeles længe, hvilket indebærer en ændring af direktiv 95/46, særlig artikel 6, stk. 1, litra e), hvorefter oplysningerne ikke må opbevares »i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt«.

171. EDPS støtter Parlamentets opfattelse af, at aftalen påvirker direktiv 95/46. Ifølge EDPS kan aftalen kun indgås under parlamentarisk kontrol, hvis den er til skade for den harmonisering af nationale lovgivninger, der er foreskrevet i direktivet, eller respekten for de grundlæggende rettigheder. Aftalen forringer den beskyttelse af personoplysninger, der er foreskrevet i direktivet, bl.a. fordi luftfartsselskaberne efter såvel »pull-systemet« som »push-systemet« er tvunget til at handle i strid med direktivet, særlig artikel 6, stk. 1, litra b) og c). For så vidt som denne forringelse af beskyttelsesniveauet for oplysningerne indebærer en ændring af direktiv 95/46, finder EDPS ikke, at de proceduremæssige garantier i artikel 300, stk. 3, andet afsnit, EF er blevet respekteret. EDPS er endvidere af den opfattelse, at heller ikke de »materielle garantier« er respekteret, især fordi CBP’s forpligtelseserklæring ikke er bindende.

172. Rådet har derimod med støtte fra Kommissionen anført, at aftalen ikke medfører en ændring af direktiv 95/46. Til støtte for dette synspunkt har Rådet citeret aftalens afsnit 8, hvorefter aftalen »[hverken medfører] nogen fravigelse eller ændring af parternes lovgivning«. Efter Rådets opfattelse tillægger direktivet endvidere Kommissionen et vidt skøn, når den skal vurdere, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt. Spørgsmålet, om Kommissionen har overskredet grænserne for sit skøn, må være den egentlige genstand for sagen om annullation af beslutningen om tilstrækkelig beskyttelse, dvs. sag C-318/04.

173. Efter Rådets opfattelse udgør de grunde (sikkerhed, terrorbekæmpelse med mere), der har fået CBP til at kræve videregivelse af PNR-oplysninger, fra Fællesskabets synsvinkel hverken aftalens formål eller indhold. Desuden tillader direktiv 95/46 anvendelse af personoplysninger til legitime formål som f.eks. beskyttelse af en stats sikkerhed, hvis det sker med henblik på det indre markeds oprettelse og funktion.

174. Under alle omstændigheder finder Rådet ikke, selv om Fællesskabet ikke skulle have kompetence til at indgå aftalen, at det heraf kan udledes, at Parlamentet skulle have afgivet samstemmende udtalelse, angiveligt fordi aftalen ændrer direktiv 95/46. Parlamentets samstemmende udtalelse kan nemlig på ingen måde bevirke, at Fællesskabets kompetence udvides.

175. Med hensyn til CBP’s mulighed for direkte adgang til PNR-oplysninger (efter det nuværende »pull-system«, der vil blive afløst af et »push-system«) erkender Rådet, at direktiv 95/46 ikke udtrykkeligt nævner denne mulighed, men anfører, at direktivet heller ikke forbyder direkte adgang. Fra Fællesskabets synspunkt er det betingelserne for at få adgang til oplysningerne, der har betydning.

176. Kommissionen har tilføjet, at uanset hvad CBP skal bruge personoplysningerne til, er og bliver oplysningerne for Fællesskabets luftfartsselskaber kommercielle oplysninger, der er omfattet af direktiv 95/46 og derfor skal beskyttes og behandles efter direktivets bestemmelser.

2. Stillingtagen

177. Efter min opfattelse er høringen af Parlamentet, når Fællesskabet indgår internationale aftaler, underlagt de almindelige bestemmelser og ikke den fælles handelspolitiske lovgivning. Høringen af Parlamentet er foreskrevet i artikel 300, stk. 3, første afsnit, EF, også når aftalen vedrører et område, hvor vedtagelsen af interne regler skal ske efter den fælles beslutningsprocedure, der er fastlagt i artikel 251 EF.

178. Som en fravigelse fra denne almindelige procedure foreskriver artikel 300, stk. 3, andet afsnit, EF, at Parlamentet skal afgive samstemmende udtalelse i fire tilfælde, herunder når aftalen som i den foreliggende sag hævdes »[at medføre] ændring af en retsakt, der er vedtaget efter fremgangsmåden i artikel 251«. Formålet er at sikre, at Parlamentet som medlovgiver kan kontrollere en international aftales eventuelle ændring af en af Parlamentet vedtaget retsakt.

179. Direktiv 95/46 er udstedt efter den fælles beslutningsprocedure. Derfor finder Parlamentet, at da aftalen medfører en ændring af direktivet, skulle Parlamentet have afgivet samstemmende udtalelse, hvis Rådets afgørelse om godkendelse af aftalen på Fællesskabets vegne skulle vedtages under overholdelse af traktatens bestemmelser.

180. Ved vurderingen af berettigelsen af dette anbringende har det i mine øjne ikke afgørende betydning, at aftalens afsnit 8 præciserer, at aftalen »[hverken medfører] nogen fravigelse eller ændring af parternes lovgivning«. Det afgørende for, om artikel 300, stk. 3, andet afsnit, EF er overholdt, er, om den internationale aftale indebærer en ændring af den interne fællesskabsretsakt, dvs. om den har til følge, at retsakten ændres, uanset om dette ikke er formålet med aftalen.

181. Når dette er sagt, har Domstolen tilsyneladende endnu ikke udtalt sig om, hvorledes det forholdsvis vage udtryk »ændring af en retsakt, der er vedtaget efter fremgangsmåden i artikel 251«, skal fortolkes ( ). En række retslærde har behandlet spørgsmålet, om udtrykket »ændring« betyder »en ændring i strid med den interne retsakts bogstav«, eller om »en hvilken som helst ændring, selv om den følger retsaktens bogstav«, er tilstrækkelig til, at proceduren med samstemmende udtalelse kan kræves fulgt ( ).

182. Det udtryk, der er anvendt i artikel 300, stk. 3, andet afsnit, EF, rejser ligeledes det spørgsmål, om det er nødvendigt for at kunne kræve en samstemmende udtalelse, at anvendelsesområdet for den påtænkte aftale i hvert fald delvis skal overlappe anvendelsesområdet for den vedtagne interne retsakt, eller om det er tilstrækkeligt, at en intern retsakt er blevet vedtaget med samme hjemmel som aftalen ( ).

183. Generelt er jeg af den opfattelse, at en af betingelserne for, at en international aftale kan siges at have »ændret« en intern fællesskabsretsakt vedtaget efter den fælles beslutningsprocedure, er, at aftalens anvendelsesområde overlapper den interne retsakts anvendelsesområde. I så fald kan den internationale aftale nemlig hævdes at medføre en ændring af den interne retsakt, enten fordi aftalen indeholder en bestemmelse, der modsiger en af bestemmelserne i den interne retsakt, eller fordi aftalen indebærer en udvidelse af den interne retsakts indhold, også selv om den ikke direkte modsiger retsakten.

184. I denne sag finder jeg ikke, at aftalen kan siges at have ændret indholdet af direktiv 95/46.

185. For det første er aftalens hovedformål, således som det fremgår af min gennemgang af det første anbringende, at bekæmpe terrorisme og anden alvorlig kriminalitet og samtidig beskytte flypassagerers personoplysninger. Derimod skal direktiv 95/46 sikre den frie udveksling af personoplysninger mellem medlemsstaterne ved at harmonisere de nationale lovgivninger om beskyttelse af fysiske personer i forbindelse med behandlingen af personoplysninger. De to retsakter tjener således to forskellige formål, også selv om de begge vedrører beskyttelse af personoplysninger ( ).

186. For det andet har aftalen og direktiv 95/46, ligesom de har forskellige formål, også forskellige anvendelsesområder. Mens aftalen finder anvendelse på behandling af personoplysninger, som iværksættes med henblik på udøvelse af aktiviteter, der vedrører De Forenede Staters interne sikkerhed, nærmere bestemt bekæmpelse af terrorisme og anden alvorlig kriminalitet, bestemmer direktivets artikel 3, stk. 2, første led, nemlig udtrykkeligt, at direktivet ikke gælder for sådan behandling af personoplysninger, som »iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i EU-traktaten, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område« ( ).

187. Da de to retsakter har forskellige formål og anvendelsesområder, kan jeg ikke indse, hvorledes den ene kan medføre en ændring af den anden. Aftalen vedrører uden nogen tvivl behandling af personoplysninger, som fællesskabslovgiver klart har fastslået ikke er omfattet af beskyttelsessystemet i direktiv 95/46. Dette bekræfter rigtigheden af valget af artikel 95 EF som hjemmel for direktivet.

188. Jeg fastholder dette synspunkt trods Kommissionens argument om, at uanset til hvilket formål CBP anvender personoplysningerne, kan dette ikke ændre ved, at disse oplysninger for Fællesskabets luftfartsselskaber er og bliver kommercielle oplysninger, der er omfattet af direktiv 95/46 og skal beskyttes og behandles i overensstemmelse med dette direktivs bestemmelser.

189. Hertil skal jeg alene anføre, at selv om den behandling, der består i luftfartsselskabernes indsamling og registrering af oplysninger om flypassagerer, tjener et kommercielt formål, idet den har direkte forbindelse med gennemførelsen af luftfartsselskabernes flyvninger, har den behandling af oplysninger, der reguleres af aftalen, nemlig en ganske anden karakter, idet den dels finder sted efter indsamlingsfasen, dels forfølger et sikkerhedsmæssigt mål.

190. I betragtning af det anførte finder jeg, at Parlamentets andet anbringende er ubegrundet og derfor må forkastes.

191. Med samme begrundelse som den, jeg angav under gennemgangen af sag C-318/04 ( ), skal jeg gennemgå Parlamentets tredje og fjerde anbringende, nemlig anbringenderne om tilsidesættelse af retten til beskyttelse af personoplysninger og proportionalitetsprincippet, under ét.

192. Jeg erindrer tillige om, at det på grund af den nære forbindelse mellem aftalen som godkendt ved Rådets afgørelse, beslutningen om tilstrækkelig beskyttelse og CBP’s forpligtelseserklæring, der er vedlagt Kommissionens beslutning, er hele PNR-ordningen, der skal undersøges under behandlingen af disse to anbringender ( )

C – Anbringenderne om tilsidesættelse af retten til beskyttelse af personoplysninger og proportionalitetsprincippet

1. Parternes argumenter

193. Parlamentet har gjort gældende, at PNR-ordningen tilsidesætter retten til beskyttelse af personoplysninger, således som denne bl.a. er knæsat i EKMR’s artikel 8.

194. Ifølge Parlamentet vedrører aftalen en behandling af personoplysninger, der griber ind i udøvelsen af retten til respekt for privatlivet som omhandlet i EKMR’s artikel 8, idet den giver CBP mulighed for elektronisk adgang til PNR-oplysninger i luftfartsselskabers reservationssystemer beliggende på medlemsstaternes område med den tilføjelse, at disse luftfartsselskaber, når de foretager passagerflyvninger i udenlandsk lufttransport til eller fra De Forenede Stater, skal behandle de pågældende PNR-oplysninger som ønsket af CBP i medfør af amerikansk ret. Heller ikke beslutningen om tilstrækkelig beskyttelse overholder efter Parlamentets opfattelse EKMR’s artikel 8.

195. Parlamentet har anført, at et sådant indgreb for ikke at tilsidesætte EKMR’s artikel 8 skal ske i overensstemmelse med loven, forfølge et legitimt formål og være nødvendigt i et demokratisk samfund for at opnå dette mål. Parlamentet finder ikke, at aftalen og beslutningen om tilstrækkelig beskyttelse opfylder disse betingelser.

196. Hvad for det første angår betingelsen om, at indgrebet skal ske i overensstemmelse med loven, opfylder aftalen og beslutningen om tilstrækkelig beskyttelse ifølge Parlamentet ikke de betingelser om lovgivningens tilgængelighed og forudsigelighed, der kræves ifølge Den Europæiske Menneskerettighedsdomstol. Med hensyn til kravet om lovgivningens tilgængelighed finder Parlamentet ikke, at selve aftalen og beslutningen om tilstrækkelig beskyttelse, der generel