FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT

G. PITRUZZELLA

fremsat den 27. januar 2022 ( 1 )

Sag C-817/19

Ligue des droits humains

mod

Conseil des ministres

(anmodning om præjudiciel afgørelse indgivet af Cour constitutionnelle (forfatningsdomstol, Belgien))

»Præjudiciel forelæggelse – beskyttelse af personoplysninger – behandling af passagerlisteoplysninger (PNR-oplysninger) – forordning (EU) 2016/679 – anvendelsesområde – direktiv (EU) 2016/681 – gyldighed – Den Europæiske Unions charter om grundlæggende rettigheder – artikel 7 og 8 samt artikel 52, stk. 1«

Indhold

I. Indledning II. Retsforskrifter A. EU-retten 1. Chartret 2. Databeskyttelsesforordningen 3. PNR-direktivet 4. Andre relevante EU-retsakter B. Belgisk ret C. Tvisten i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen III. Bedømmelse A. Det første præjudicielle spørgsmål B. Det andet, det tredje, det fjerde, det sjette og det ottende præjudicielle spørgsmål 1. De grundlæggende rettigheder, der er omhandlet i chartrets artikel 7 og 8 2. Indgrebet i de grundlæggende rettigheder, der er omhandlet i chartrets artikel 7 og 8 3. Begrundelsen for det indgreb, der følger af PNR-direktivet a) Overholdelsen af kravet om, at enhver begrænsning i udøvelsen af en grundlæggende rettighed, der er fastsat ved chartret, skal være fastlagt i lovgivningen b) Respekten for det væsentligste indhold af de rettigheder, der er omhandlet i chartrets artikel 7 og 8 c) Overholdelsen af kravet om, at indgrebet skal svare til et mål af almen interesse d) Overholdelsen af proportionalitetsprincippet 1) Spørgsmålet om, hvorvidt den behandling af PNR-oplysninger, der er omhandlet i PNR-direktivet, er egnet, henset til det formål, der forfølges 2) Indgrebets strengt nødvendige karakter i) Afgrænsningen af formålene med behandlingen af PNR-oplysninger ii) De kategorier af PNR-oplysninger, der er omhandlet i PNR-direktivet (det andet og det tredje præjudicielle spørgsmål) – Den tilstrækkeligt klare og præcise karakter af punkt 12 og 18 i bilag I (det tredje præjudicielle spørgsmål) – Omfanget af de oplysninger, der er opregnet i bilag I (det andet præjudicielle spørgsmål) – Følsomme oplysninger iii) Begrebet »passager« (det fjerde præjudicielle spørgsmål) iv) Spørgsmålet om, hvorvidt den forudgående vurdering af passagerer er tilstrækkeligt klar og præcis og begrænset til det strengt nødvendige (det sjette præjudicielle spørgsmål) – Sammenholdningen med oplysninger i databaser som omhandlet i PNR-direktivets artikel 6, stk. 3, litra a) – Behandlingen af PNR-oplysninger efter forud fastsatte kriterier – Garantierne i tilknytning til den automatiske behandling af PNR-oplysninger – Forslag til besvarelse af det sjette præjudicielle spørgsmål v) Opbevaringen af PNR-oplysninger (det ottende præjudicielle spørgsmål) 4. Forslag til besvarelse af det andet, det tredje, det fjerde, det sjette og det ottende præjudicielle spørgsmål C. Det femte præjudicielle spørgsmål D. Det syvende præjudicielle spørgsmål E. Det niende præjudicielle spørgsmål F. Det tiende præjudicielle spørgsmål IV. Forslag til afgørelse

I. Indledning

1. Med denne anmodning om præjudiciel afgørelse har Cour constitutionnelle (forfatningsdomstol, Belgien) forelagt Domstolen ti præjudicielle spørgsmål om fortolkningen af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (herefter »databeskyttelsesforordningen«) ( 2 ) samt om gyldigheden og fortolkningen af Europa-Parlamentets og Rådets direktiv (EU) 2016/681 af 27. april 2016 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet (herefter »PNR-direktivet«) ( 3 ) og af Rådets direktiv 2004/82/EF af 29. april 2004 om transportvirksomheders forpligtelse til at fremsende oplysninger om passagerer (herefter »API-direktivet«) ( 4 ). Disse spørgsmål er blevet rejst i forbindelse med et søgsmål, der er anlagt af nonprofitorganisationen Ligue des droits humains (LDH) med påstand om hel eller delvis annullation af loi du 25 décembre 2016 relative au traitement des données des passagers (lov af 25.12.2016 om behandling af passageroplysninger, herefter »PNR-loven«) ( 5 ), som gennemfører PNR-direktivet og API-direktivet i belgisk ret.

2. De spørgsmål, som Domstolen skal tage stilling til i den foreliggende sag, afspejler et af de største dilemmaer inden for nutidens liberaldemokratiske konstitutionalisme: Hvilken balance bør der være mellem individet og fællesskabet i informationsalderen, når de digitale teknologier har gjort det muligt at indsamle, opbevare, behandle og analysere kolossale mængder af personoplysninger til prædiktive formål? Offentlige myndigheders brug af algoritmer, analyse af big data og kunstig intelligens kan bidrage til at fremme og beskytte grundlæggende samfundsinteresser mere effektivt end nogensinde før, hvad enten der er tale om beskyttelse af folkesundheden, miljømæssig bæredygtighed, bekæmpelse af terrorisme eller forebyggelse af kriminalitet og navnlig grov kriminalitet. Offentlige myndigheders udifferentierede indsamling af personoplysninger og anvendelse af digitale teknologier kan samtidig resultere i et digitalt panoptikon, dvs. en offentlig magt, der ser alt uden selv at blive set. En sådan alvidende magt vil være i stand til at kontrollere og forudsige enhver adfærd og træffe de nødvendige foranstaltninger og paradoksalt nok, som Steven Spielberg forestillede sig i filmen Minority Report, indskrænke potentielle lovovertræderes frihed for at forebygge kriminalitet. I visse lande er det som bekendt samfundet, der er vigtigere end individet, og lovligt at anvende personoplysninger til effektiv masseovervågning for at beskytte offentlige interesser, der anses for grundlæggende. Den europæiske – nationale og overnationale – konstitutionalisme, hvor den enkelte og dennes frihedsrettigheder er i centrum, udgør en væsentlig barriere for udviklingen af et masseovervågningssamfund, især efter at den grundlæggende ret til beskyttelse af privatlivet og til beskyttelse af personoplysninger er blevet anerkendt. I hvilken udstrækning er det muligt at opstille en sådan barriere uden at gribe alvorligt ind i visse grundlæggende samfundsinteresser – såsom de ovenfor nævnte – selv om de kan have forfatningsmæssige bånd? Dette er kernen i spørgsmålet om det forhold, der er mellem individet og fællesskabet i det digitale samfund. Dette spørgsmål kræver for det første, at der søges og skabes en fin balance mellem fællesskabets interesser og individers rettigheder med udgangspunkt i den afgørende betydning, som de sidstnævnte rettigheder har i den europæiske forfatningsret, og for det andet, at der fastsættes garantier mod misbrug. Der er også her tale om en nutidig version af et klassisk tema i konstitutionalismen, eftersom mennesker, som det lakonisk bemærkedes i The Federalist, ikke er engle, hvilket er grunden til, at der kræves retlige mekanismer for at begrænse og kontrollere den offentlige magt.

3. Det er disse generelle spørgsmål, der rejses i dette forslag til afgørelse, og som nødvendigvis må begrænses til en fortolkning af EU-retten i lyset af Domstolens tidligere praksis ved anvendelse af veletablerede teknikker, herunder princippet om overensstemmende fortolkning. Denne teknik vil, når dette er juridisk muligt, blive anvendt hyppigt i dette forslag til afgørelse med henblik på at finde den nødvendige balance i forfatningsmæssig henseende mellem de offentlige målsætninger, der ligger til grund for systemet for overførsel, indsamling og behandling af passagerlisteoplysninger (herefter »PNR-oplysninger«), og de rettigheder, der er sikret i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).

II. Retsforskrifter

A. EU-retten

1. Chartret

4. I henhold til chartrets artikel 7 har »[e]nhver […] ret til respekt for sit privatliv og familieliv, sit hjem og sin kommunikation«.

5. Chartrets artikel 8 har følgende ordlyd: »1. Enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende. 2. Disse oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. Enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende, og til berigtigelse heraf. 3. Overholdelsen af disse regler er underlagt en uafhængig myndigheds kontrol.«

6. Det fremgår af chartrets artikel 52, stk. 1, at »[e]nhver begrænsning i udøvelsen af de rettigheder og friheder, der anerkendes ved dette charter, skal være fastlagt i lovgivningen og skal respektere disse rettigheders og friheders væsentligste indhold. Under iagttagelse af proportionalitetsprincippet kan der kun indføres begrænsninger, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder«.

2. Databeskyttelsesforordningen

7. Ifølge databeskyttelsesforordningens artikel 2, stk. 2, litra d), er behandling af personoplysninger, »som foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed«, udelukket fra denne forordnings anvendelsesområde.

8. Databeskyttelsesforordningens artikel 23, stk. 1, litra d), har følgende ordlyd: »EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige eller databehandleren er underlagt, kan ved lovgivningsmæssige foranstaltninger begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 12-22 og 34 samt artikel 5, for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 12-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til: […] d) forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed.«

3. PNR-direktivet

9. Jeg vil nu i korte træk beskrive, hvordan det system, der er indført ved PNR-direktivet, fungerer. Indholdet af de bestemmelser i PNR-direktivet, som er relevant for besvarelsen af de præjudicielle spørgsmål, gennemgås mere detaljeret i forbindelse med den retlige bedømmelse.

10. I henhold til artikel 1 i PNR-direktivet, som blev vedtaget på grundlag af artikel 82, stk. 1, litra d), TEUF og artikel 87, stk. 2, litra a), TEUF, er der på EU-plan indført et system for luftfartsselskabers videregivelse af PNR-oplysninger om passagerer på flyvninger uden for EU ( 6 ) samt om medlemsstaternes kompetente myndigheders indsamling, behandling og opbevaring af disse oplysninger med henblik på at bekæmpe terrorisme og grov kriminalitet.

11. Det fremgår af dette direktivs artikel 3, nr. 5), at en »passagerliste« eller »PNR« er »en liste over den enkelte passagers rejse, som omfatter alle nødvendige oplysninger til, at reservationer kan behandles og kontrolleres af de luftfartsselskaber, der foretager reservationen, og de deltagende luftfartsselskaber for hver rejse, der reserveres af eller på vegne af enhver person, uanset om listen findes i reservationssystemer, afgangskontrolsystemer (der anvendes til kontrol af passagerer ved ombordstigning på luftfartøjer) eller tilsvarende systemer, der omfatter de samme funktionaliteter«.

12. Bilag I til PNR-direktivet (herefter »bilag I«) opregner de passagerlisteoplysninger, der indsamles af luftfartsselskaber, og som videregives som omhandlet og nærmere angivet i dette direktivs artikel 8.

13. Bilag II til PNR-direktivet (herefter »bilag II«) indeholder en liste over de overtrædelser, der anses for »grov kriminalitet« som omhandlet i dette direktivs artikel 3, nr. 9).

14. Medlemsstaterne kan i henhold til PNR-direktivets artikel 2 beslutte også at anvende dette direktiv på »flyvninger inden på EU« ( 7 ) eller på udvalgte flyvninger inden for EU, som den finder nødvendige med henblik på at nå målene i det nævnte direktiv.

15. Det fremgår af PNR-direktivets artikel 4, stk. 1, at »[h]ver medlemsstat opretter eller udpeger en myndighed med kompetence til at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger og grov kriminalitet eller en afdeling i en sådan myndighed, der skal fungere som »passageroplysningsenhed««. I henhold til artikel 4, stk. 2, litra a), er passageroplysningsenheden bl.a. ansvarlig for at indsamle PNR-oplysninger fra luftfartsselskaber, at lagre og behandle disse oplysninger og at videregive disse oplysninger eller resultatet af behandlingen af dem til de i PNR-direktivets artikel 7 omhandlede kompetente myndigheder. Det fremgår af artikel 7, stk. 2, at disse myndigheder skal være »myndigheder, der har kompetence til at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet« ( 8 ).

16. Det fremgår af PNR-direktivets artikel 6, stk. 1, at »[h]vis de PNR-oplysninger, som luftfartsselskaberne videregiver, indeholder andre oplysninger end dem, der er opført på listen i bilag I, skal passageroplysningsenheden straks og permanent ved modtagelsen slette sådanne oplysninger«. Denne artikels stk. 2 er affattet således: »2. Passageroplysningsenheden må kun behandle PNR-oplysninger med henblik på følgende: a) at foretage en vurdering af passagerer forud for deres planlagte ankomst til eller afrejse fra medlemsstaten for at identificere personer, som det kræves, at de i artikel 7 omhandlede kompetente myndigheder og, hvis det er relevant, Europol i overensstemmelse med artikel 10 undersøger nærmere, idet sådanne personer kan være involveret i en terrorhandling eller grov kriminalitet b) fra sag til sag at reagere på en behørigt begrundet anmodning baseret på tilstrækkelige grunde fra de kompetente myndigheder om at videregive og behandle PNR-oplysninger i konkrete sager med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet og at forelægge resultaterne af denne behandling for de kompetente myndigheder eller, hvis det er relevant, for Europol, og c) at analysere PNR-oplysninger med henblik på at ajourføre eller fastsætte nye kriterier, der skal anvendes i forbindelse med vurderingerne, der foretages i medfør af stk. 3, litra b), med henblik på at identificere personer, der kan være involveret i en terrorhandling eller grov kriminalitet.«

17. PNR-direktivets artikel 12 indeholder bestemmelser om opbevaring af PNR-oplysninger.

18. PNR-direktivets artikel 5 fastsætter, at hver passageroplysningsenhed udpeger en databeskyttelsesansvarlig, der er ansvarlig for at føre tilsyn med behandlingen af PNR-oplysninger og at gennemføre relevante beskyttelsesforanstaltninger. Hver medlemsstat skal desuden i overensstemmelse med dette direktivs artikel 15 gøre den nationale tilsynsmyndighed, der er omhandlet i artikel 25 i rammeafgørelse 2008/977/RIA ( 9 ), som er blevet erstattet af Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (herefter »politidirektivet«) ( 10 ), ansvarlig for at føre tilsyn med anvendelsen på dens område af de bestemmelser, der er vedtaget i medfør af det nævnte direktiv. Denne myndighed, der udfører sine opgaver med henblik på at beskytte grundlæggende rettigheder i forbindelse med behandlingen af personoplysninger ( 11 ), er bl.a. ansvarlig for dels at behandle klager, der indgives af registrerede, undersøge sagen og underrette de registrerede om forløbet og resultatet af deres klager inden for en rimelig frist, dels at kontrollere lovligheden af databehandlingen, gennemføre undersøgelser, inspektioner og revisioner i overensstemmelse med national ret enten af egen drift eller på grundlag af en klage ( 12 ).

4. Andre relevante EU-retsakter

19. Retsforskrifterne i den foreliggende sag omfatter desuden API-direktivet og politidirektivet. For at gøre det lettere at læse dette forslag til afgørelse vil jeg beskrive indholdet af de relevante bestemmelser i disse retsakter, i det omfang det er nødvendigt for behandlingen af de spørgsmål, der vedrører disse bestemmelser, eller mere generelt af hensyn til den retlige bedømmelse.

B. Belgisk ret

20. I henhold til belgiske forfatning artikel 22 har »[e]nhver […] ret til respekt for sit privatliv og familieliv med forbehold af de tilfælde og betingelser, der er fastsat i lovgivningen«.

21. Det fremgår af PNR-lovens artikel 2, at den gennemfører API-direktivet og PNR-direktivet samt til dels direktiv 2010/65/EU ( 13 ).

22. PNR-loven fastsætter i henhold til artikel 3, stk. 1, »transportvirksomheders og rejseselskabers forpligtelser i forbindelse med videregivelse af oplysninger om passagerer på vej til, fra og gennem det nationale område«. Det fremgår af denne lovs artikel 4, nr. 1) og 2), at der ved »transportvirksomhed« forstås »en fysisk eller juridisk person, der i erhvervsmæssigt øjemed udfører personbefordring ad luft-, sø-, jernbane- eller landvejen«, og at der ved »rejseselskab« forstås »en rejsearrangør eller et rejsebureau som omhandlet i loi du 16 février 1994 régissant le contrat d’organisation de voyages et le contrat d’intermédiaire de voyages [lov af 16.2.1994 om kontrakter om arrangerede rejser og rejsebureauaftaler]«.

23. PNR-lovens artikel 8 bestemmer: »Stk. l. Passageroplysninger behandles med henblik på: 1) efterforskning og retsforfølgning, herunder fuldbyrdelse af straffe eller frihedsberøvende foranstaltninger, vedrørende de overtrædelser, der er omhandlet i artikel 90b, stk. 2, artikel 90b, stk. 2, nr. 7), 8), 11), 14), 17), 18) og 19), samt artikel 90b, stk. 3, i Code d’instruction criminelle [strafferetsplejeloven] 2) efterforskning og retsforfølgning, herunder fuldbyrdelse af straffe eller frihedsberøvende foranstaltninger, vedrørende de overtrædelser, der er omhandlet i artikel 196 for så vidt angår forfalskning af officielt bekræftede og offentlige dokumenter samt artikel 198, 199, 199a, 207, 213, 375 og 505 i Code pénal [straffeloven] 3) forebyggelse af alvorlige forstyrrelser af den offentlige sikkerhed i forbindelse med voldelig radikalisering ved overvågning af fænomener og grupperinger i overensstemmelse med artikel 44/5, stk. 1, nr. 2) og 3), og stk. 2, i loi du 5 août 1992 sur la fonction de police [lov af 5. august 1992 om politistyrken] 4) overvågning af de aktiviteter, der er omhandlet i artikel 7, nr. 1) og 3/1), samt artikel 11, stk. 1, nr. 1)-3) og nr. 5), i loi du 30 novembre 1998 organique des services de renseignement et de sécurité [styringslov af 30. november 1998 om efterretnings- og sikkerhedstjenesterne] ( 14 ) 5) efterforskning og retsforfølgning af de overtrædelser, der er omhandlet i artikel 220, stk. 2, i loi générale sur les douanes et accises du 18 juillet 1977 [almindelig lov af 18. juli 1977 om told- og punktafgifter] og artikel 45, stk. 3, i loi du 22 décembre 2009 relative au régime général d’accise [lov af 22. december 2009 om den generelle ordning for punktafgifter] […] Stk. 2. På de betingelser, der er fastsat i kapitel 11, behandles passageroplysninger ligeledes med henblik på at forbedre personkontrollen ved de ydre grænser og med henblik på at bekæmpe ulovlig indvandring.«

24. PNR-lovens artikel 9 indeholder listen over de oplysninger, der videregives. Disse oplysninger svarer til dem, der er opført på listen i bilag I.

25. I henhold til PNR-lovens artikel 18 opbevares »[p]assageroplysninger […] i passagerdatabasen i en periode på højst fem år, efter at de er blevet registreret. Efter udløbet af denne periode slettes de«.

26. Denne lovs artikel 19 bestemmer, at »[v]ed udløbet af en periode på seks måneder regnet fra passageroplysningernes registrering i passagerdatabasen anonymiseres alle passageroplysninger ved hjælp af maskering af dataelementer«.

27. PNR-lovens artikel 24 fastsætter: »Stk. 1. Passageroplysninger behandles med henblik på at foretage en vurdering af passagerer forud for deres planlagte ankomst til, afrejse fra eller transit gennem det nationale område for at afgøre, hvilke personer der skal underkastes en nærmere undersøgelse. Stk. 2. I forbindelse med de formål, som er omhandlet i artikel 8, stk. 1, nr. 1), 4) og 5), eller som vedrører de trusler, der er nævnt i artikel 8, nr. 1), litra a), b), c), d), f) og g), og artikel 11, stk. 2, i styringslov af 30. november 1998 om efterretnings- og sikkerhedstjenesterne, baseres den forudgående vurdering af passagerer på et hit, der følger af passageroplysningernes korrelation med: 1) de databaser, der forvaltes af de kompetente tjenester eller er direkte tilgængelige eller til rådighed for dem i forbindelse med deres arbejde, eller de personlister, som de kompetent tjenester har udarbejdet i forbindelse med deres arbejde 2) de vurderingskriterier, som passageroplysningsenheden har fastsat på forhånd, som omhandlet i artikel 25. Stk. 3. I forbindelse med de formål, der er omhandlet i artikel 8, stk. 1, nr. 3), baseres den forudgående vurdering af passagerer på et hit, der følger af passageroplysningernes korrelation med de i stk. 2, nr. 1), omhandlede databaser. […]«

28. PNR-lovens artikel 25 gengiver indholdet af PNR-direktivets artikel 6, stk. 4.

29. PNR-lovens kapitel 11 indeholder bestemmelser om behandling af passageroplysninger med henblik på forbedring af grænsekontrollen og bekæmpelse af ulovlig indvandring. Disse bestemmelser gennemfører API-direktivet i belgisk ret.

30. Det fremgår af PNR-lovens artikel 44, at passageroplysningsenheden skal udpege en databeskyttelsesansvarlig inden for rammerne af Service public fédéral intérieur (forbundsindenrigsministeriet). Commission de la protection de la vie privée (kommissionen for beskyttelse af privatlivets fred) fører tilsyn med anvendelsen af PNR-lovens bestemmelser.

31. PNR-lovens artikel 51 har ændret styringslov af 30. november 1998 om efterretnings- og sikkerhedstjenesterne ved indsætning af artikel 16/3 med følgende ordlyd: »Stk. 1. Efterretnings- og sikkerhedstjenesterne kan af hensyn til udførelsen af deres opgaver træffe en behørigt begrundet afgørelse om at få adgang til de passageroplysninger, der er omhandlet i artikel 7 i [PNR-loven]. Stk. 2. Den i stk. 1 nævnte afgørelse træffes af tjenestens chef og meddeles skriftligt til den passageroplysningsenhed, der er omhandlet i den nævnte lovs kapitel 7. Comité permanent R underrettes om afgørelsen og dens begrundelse. Comité permanent R forbyder efterretnings- og sikkerhedstjenesterne at anvende de indsamlede oplysninger på en måde, der ikke er forenelig med de retlige betingelser. Afgørelsen kan omfatte et datasæt i forbindelse med en specifik indsamling af oplysninger. Listen over søgninger efter passageroplysninger fremlægges i så fald for Comité permanent R en gang om måneden.«

C. Tvisten i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen

32. Ved stævning indleveret til Cour constitutionnelle (forfatningsdomstol) den 24. juli 2017 har LDH anlagt et søgsmål med påstand om hel eller delvis annullation af PNR-loven. LDH har fremsat to anbringender til støtte for søgsmålet.

33. Med det første anbringende, der er fremsat principalt og vedrører en tilsidesættelse af artikel 22 i den belgiske forfatning, sammenholdt med databeskyttelsesforordningens artikel 23, chartrets artikel 7 og 8 og artikel 52, stk. 1, samt artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »EMRK«), har LDH gjort gældende, at den anfægtede lov ikke overholder proportionalitetsprincippet for så vidt angår dens anvendelsesområde og de omfattede kategorier af oplysninger, den indførte behandling af oplysninger, dens formål og opbevaringsperioden. Organisationen har navnlig anført, at definitionen af PNR-oplysninger er for bred og kan føre til afsløring af følsomme oplysninger, og at definitionen af begrebet »passager« i denne lov gør det muligt at foretage systematisk og ikke-målrettet behandling af oplysninger vedrørende alle de berørte passagerer. LDH har desuden påpeget, at PNR-loven ikke tilstrækkelig klart fastsætter karakteren af og de nærmere bestemmelser om metoden til forhåndskontrol af passagerdatabaser og de kriterier, der tjener som »trusselsindikatorer«. Det er endelig dens opfattelse, at PNR-loven overskrider grænserne for det strengt nødvendige, eftersom de formål, som den forfølger med behandlingen af PNR-oplysninger, er mere vidtrækkende end dem, der er fastsat i PNR-direktivet, og den femårige periode for opbevaring af PNR-oplysninger er uforholdsmæssig. Med det andet anbringende, der er fremsat subsidiært og vedrører en tilsidesættelse af artikel 22 i den belgiske forfatning, sammenholdt med artikel 3, stk. 2, TEU og chartrets artikel 45, har LDH anfægtet bestemmelserne i PNR-lovens kapitel 11, der gennemfører API-direktivet.

34. Conseil des ministres du Royaume de Belgique (det belgiske ministerråd) har som intervenient under sagen ved Cour constitutionnelle (forfatningsdomstol) anført, at LDH ikke kan gives medhold i søgsmålet, eftersom de to anbringender, som denne har fremsat til støtte herfor, hverken kan antages til realitetsbehandling eller tages til følge.

35. Cour constitutionnelle (forfatningsdomstol) har fremført følgende betragtninger.

36. Med hensyn til det første anbringende har den forelæggende ret indledningsvis udtrykt tvivl om, hvorvidt definitionen af PNR-oplysninger i bilag I er tilstrækkeligt klar og præcis. Beskrivelsen af nogle af disse oplysninger er illustrativ og ikke udtømmende. Den nævnte ret har desuden anført, at definitionen af begrebet »passager« i PNR-direktivets artikel 3, nr. 4), fører til indsamling, overførsel, behandling og opbevaring af PNR-oplysninger vedrørende alle personer, der befordres eller skal befordres og er registreret i passagerlisten, uanset om der er væsentlig grund til at tro, at den registrerede har begået eller vil begå en overtrædelse, eller at vedkommende er blevet dømt for en overtrædelse. Med hensyn til behandling af PNR-oplysninger har retten påpeget, at disse oplysninger systematisk vurderes på forhånd ved at krydstjekke PNR-oplysninger for alle passagerer ud fra databaser eller forud fastsatte kriterier for at finde hit. Cour constitutionnelle (forfatningsdomstol) har præciseret, at selv om kriterierne skal være specifikke, pålidelige og ikke-diskriminerende, anser den det ikke for teknisk muligt at definere de forud fastsatte kriterier, der anvendes til afdækning af risikoprofiler, mere præcist. Hvad angår den opbevaringsperiode for PNR-oplysninger, der er angivet i PNR-direktivets artikel 12, stk. 1, hvorefter de nævnte oplysninger kan opbevares i en periode på fem år, har den forelæggende ret anført, at PNR-oplysningerne opbevares uden hensyntagen til, om den forudgående vurdering har vist, at de pågældende passagerer kan frembyde en risiko for den offentlige sikkerhed eller ej. Den forelæggende ret ønsker under disse omstændigheder oplyst, om det system for indsamling, overførsel, behandling og opbevaring af PNR-oplysninger, der er indført ved PNR-direktivet, henset til den retspraksis, der bl.a. følger af dom af 21. december 2016, Tele2 Sverige og Watson m.fl. ( 15 ), og af udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26. juli 2017 ( 16 ), kan anses for ikke at overskride grænserne for det strengt nødvendige. I denne sammenhæng ønsker den forelæggende ret ligeledes oplyst, om PNR-direktivet er til hinder for en national lovgivning som den, der er fastsat i PNR-lovens artikel 8, stk. 1, nr. 4), som giver ret til behandling af PNR-oplysninger til et andet formål end dem, der er fastsat i dette direktiv. Den er endelig i tvivl om, hvorvidt passageroplysningsenheden kan betragtes som en »anden national myndighed«, der i henhold til PNR-direktivets artikel 12, stk. 3, litra b), nr. ii), kan tillade videregivelse af de fuldstændige PNR-oplysninger efter en periode på seks måneder. Med hensyn til det andet anbringende har den forelæggende ret anført, at dette er rettet mod PNR-lovens artikel 3, stk. 1, artikel 8, stk. 2, og artikel 28-31, der vedrører indsamling og behandling af passageroplysninger med henblik på at bekæmpe ulovlig indvandring og at forbedre grænsekontrollen. Denne ret har med henvisning til, at denne lov ifølge den første af disse bestemmelser omfatter flyvninger på vej til, fra og gennem det nationale område, præciseret, at den nationale lovgiver medtog flyvninger »inden for EU« i den nævnte lovs anvendelsesområde for at opstille »en mere fuldstændig tabel vedrørende passagerer, der udgør en potentiel trussel for sikkerheden [i EU] og nationalt« baseret på den mulighed, der er fastsat i PNR-direktivets artikel 2, sammenholdt med tiende betragtning hertil.

37. Cour constitutionnelle (forfatningsdomstol) har på denne baggrund besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål: »1) Skal [databeskyttelsesforordningens] artikel 23 […], sammenholdt med denne forordnings artikel 2, stk. 2, litra d), fortolkes således, at den finder anvendelse på en national lovgivning såsom [PNR-loven], som gennemfører [PNR-direktivet] samt [API-direktivet] og [direktiv 2010/65]? 2) Er bilag I […] foreneligt med [chartrets] artikel 7 [og] 8 [samt] artikel 52, stk. 1, […], for så vidt som de deri opregnede oplysninger er meget omfattende – bl.a. hvad angår de oplysninger, som er omhandlet i punkt 18 i [dette bilag I], og som er mere vidtrækkende end de oplysninger, der er omhandlet i [API-direktivets] artikel 3, stk. 2, […] – og for så vidt som de samlet set kan afsløre følsomme oplysninger og dermed overskride grænserne for det strengt nødvendige? 3) Er punkt 12 og 18 i bilag I […] forenelige med [chartrets] artikel 7 [og] 8 [samt] artikel 52, stk. 1, […], for så vidt som de deri omhandlede oplysninger, henset til udtrykket »herunder«, er angivet illustrativt og ikke udtømmende, hvilket indebærer, at kravet om, at regler, der gør indgreb i retten til respekt for privatlivet og i retten til beskyttelse af personoplysninger, skal være præcise og klare, ikke er opfyldt? 4) Er [PNR-direktivets] artikel 3, nr. 4), […] og bilag I […] forenelige med [chartrets] artikel 7 [og] 8 [samt] artikel 52, stk. 1, […], for så vidt som det system for generel indsamling, overførsel og behandling af passageroplysninger, der er indført ved disse bestemmelser, omfatter enhver person, der anvender det pågældende transportmiddel, uanset om der foreligger noget objektivt forhold, som gør det muligt at antage, at denne person kan frembyde en risiko for den offentlige sikkerhed? 5) Skal [PNR-direktivets] artikel 6 […], sammenholdt med [chartrets] artikel 7 [og] 8 [samt] artikel 52, stk. 1, […], fortolkes således, at den er til hinder for en national lovgivning såsom den anfægtede lov, hvorefter et af formålene med behandlingen af PNR-oplysninger kan være efterretnings- og sikkerhedstjenesternes overvågning af de omfattede aktiviteter, og dette formål dermed indgår i forebyggelse, opdagelse, efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet? 6) Er [PNR-direktivets] artikel 6 […] forenelig med [chartrets] artikel 7 [og] 8 samt artikel 52, stk. 1, […], for så vidt som den deri omhandlede forudgående vurdering ved korrelation med databaser og forud fastsatte kriterier finder systematisk og generel anvendelse på oplysninger om passagerer, uanset om der foreligger noget objektivt forhold, som gør det muligt at antage, at disse passagerer kan frembyde en risiko for den offentlige sikkerhed? 7) Kan begrebet »anden [kompetent] national myndighed« i [PNR-direktivets] artikel 12, stk. 3, […] fortolkes således, at det omfatter den passageroplysningsenhed, som er oprettet ved [PNR-loven], og som derfor kan give adgang til PNR-oplysninger efter en periode på seks måneder i forbindelse med ad hoc-efterforskninger? 8) Skal [PNR-direktivets] artikel 12 […], sammenholdt med [chartrets] artikel 7 [og] 8 [samt] artikel 52, stk. 1, […], fortolkes således, at den er til hinder for en national lovgivning såsom den anfægtede lov, hvori der er fastsat en generel dataopbevaringsperiode på fem år, uden at der sondres mellem, hvorvidt den forudgående vurdering har vist, at de pågældende passagerer kan udgøre en risiko for den offentlige sikkerhed eller ej? 9) a) Er [API-direktivet] foreneligt med artikel 3, stk. 2, [TEU] og med [chartrets] artikel 45 […], for så vidt som de deri fastsatte forpligtelser finder anvendelse på flyvninger inden for EU? b) Skal [API-direktivet], sammenholdt med artikel 3, stk. 2, [TEU] og med [chartrets] artikel 45 […], fortolkes således, at det er til hinder for en national lovgivning såsom den anfægtede lov, der med henblik på at bekæmpe ulovlig indvandring og at forbedre grænsekontrollen gør det muligt at indføre et system til indsamling og behandling af oplysninger om passagerer »på vej til, fra og gennem det nationale område«, hvilket indirekte kan føre til genindførelse af kontrollen ved de indre grænser? 10) Såfremt Cour constitutionnelle (forfatningsdomstol) på grundlag af besvarelserne af de foregående præjudicielle spørgsmål konkluderer, at den anfægtede lov, der bl.a. gennemfører [PNR-direktivet], er i strid med en eller flere af de forpligtelser, der følger af de i disse spørgsmål nævnte bestemmelser, kan Cour constitutionnelle (forfatningsdomstol) da midlertidigt opretholde [PNR-lovens virkninger] med henblik på at undgå retsusikkerhed og muliggøre, at oplysninger, der forinden er blevet indsamlet og lagret, stadig kan anvendes til de formål, der er omhandlet i [denne lov]?«

38. Der er i henhold til artikel 23 i statutten for Den Europæiske Unions Domstol indgivet skriftlige indlæg af LDH, den belgiske, tjekkiske, danske, tyske og estiske regering, Irland, den spanske, franske, cypriotiske, lettiske, nederlandske, østrigske, polske og finske regering samt af Europa-Parlamentet, Rådet for Den Europæiske Union og Europa-Kommissionen. Kommissionen, Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) og Den Europæiske Unions Agentur for Grundlæggende Rettigheder (FRA) er i overensstemmelse med artikel 24 i statutten for Den Europæiske Unions Domstol blevet anmodet om at afgive skriftlige svar på en række spørgsmål fra Domstolen. Der blev afholdt retsmøde den 13. juli 2021.

III. Bedømmelse

A. Det første præjudicielle spørgsmål

39. Med det første præjudicielle spørgsmål har den forelæggende ret nærmere bestemt anmodet Domstolen om at oplyse, om databeskyttelsesforordningens artikel 2, stk. 2, litra d), skal fortolkes således, at denne forordning og navnlig dens artikel 23, stk. 1, hvorefter EU-ret eller medlemsstaternes nationale ret ved lovgivningsmæssige foranstaltninger og af de udtømmende opregnede grunde kan begrænse rækkevidden af de forpligtelser og rettigheder, der er fastsat i den nævnte forordning, finder anvendelse på behandling af oplysninger, der foretages på grundlag af en national lovgivning såsom PNR-loven, som gennemfører PNR-direktivet, API-direktivet og direktiv 2010/65 i national ret.

40. Der er i databeskyttelsesforordningens artikel 2, stk. 2, fastsat undtagelser fra denne forordnings anvendelsesområde, som er defineret meget vidt ( 17 ) i dens artikel 2, stk. 1 ( 18 ). Da der er tale om undtagelser fra anvendelsen af bestemmelser om behandling af personoplysninger, som kan krænke de grundlæggende frihedsrettigheder, skal disse undtagelser fortolkes strengt ( 19 ).

41. Databeskyttelsesforordningens artikel 2, stk. 2, litra d), indeholder bl.a. en udelukkelsesklausul, hvorefter denne forordning ikke gælder for behandling af personoplysninger, som foretages »af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed«. Denne udelukkelsesklausul er baseret på et dobbelt subjektivt og objektivt kriterium. Behandling af oplysninger, som foretages dels af »kompetente myndigheder«, dels til de formål, der er nævnt i denne bestemmelse, er således udelukket fra den nævnte forordnings anvendelsesområde. Det skal derfor undersøges, hvilke former for behandling af oplysninger, der, henset til dette dobbelte kriterium, er omfattet af PNR-loven.

42. Hvad i første række angår behandling af oplysninger, som foretages af transportvirksomheder (inden for luftfart, jernbanetransport, vejtransport og søtransport) via passageroplysningsenheden eller af rejseselskaber til service- eller erhvervsformål, og som er omfattet af den nævnte lov, er denne fortsat omfattet af databeskyttelsesforordningen, eftersom hverken den subjektive eller den objektive del af udelukkelseskriteriet i denne forordnings artikel 2, stk. 2, litra d), er opfyldt.

43. Hvad i anden række angår transportvirksomheders og rejseselskabers overførsel af PNR-oplysninger til passageroplysningsenheden, som i sig selv udgør en »behandling« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2) ( 20 ), er det mindre klart, om denne indgår i denne forordnings anvendelsesområde.

44. Denne overførsel foretages nemlig ikke af en »kompetent myndighed« som omhandlet i politidirektivets artikel 3, nr. 7), hvortil der henvises analogt, eftersom dette begreb ikke er defineret i databeskyttelsesforordningen ( 21 ). En erhvervsdrivende såsom et transportfirma eller et rejsebureau, der alene er underlagt en retlig forpligtelse til at overføre personoplysninger og ikke udøver offentlige beføjelser ( 22 ), kan ikke betragtes som et organ eller en enhed som omhandlet i den nævnte artikel 3, nr. 7), litra b) ( 23 ).

45. Transportfirmaer og rejseselskaber overfører desuden personoplysninger for at overholde en lovbestemt forpligtelse, som skal gøre det muligt at forfølge de formål, der er angivet i databeskyttelsesforordningens artikel 2, stk. 2, litra d).

46. Efter min opfattelse fremgår det imidlertid klart af denne bestemmelses ordlyd, at det kun er behandlinger, som både opfylder den subjektive del og den objektive del af det indeholdte udelukkelseskriterium, der ligger uden for databeskyttelsesforordningens anvendelsesområde. Transportfirmaers og rejseselskabers overførsel af PNR-oplysninger til passageroplysningsenheden, som kræves i PNR-loven, er derfor omfattet af denne forordning.

47. Med hensyn til de bestemmelser i PNR-loven, der gennemfører PNR-direktivet, understøttes denne konklusion af dette direktivs artikel 21, stk. 2, som bestemmer, at dette »[ikke] berører […] anvendelsen af direktiv 95/46/EF ( 24 ), for så vidt angår luftfartsselskabers behandling af personoplysninger«. Den fortolkning af denne bestemmelse, som navnlig foreslås af den franske regering, og hvorefter det alene fremgår, at transportvirksomhederne stadig er underlagt de forpligtelser, der er fastsat i databeskyttelsesforordningen, i forbindelse med behandling af oplysninger, som ikke er fastsat i PNR-direktivet, skal efter min opfattelse forkastes. Henset til dens ordlyd har denne »forbeholdsklausul« nemlig en bred rækkevidde og defineres udelukkende med henvisning til den, der foretager behandlingen, uden angivelse af behandlingens formål eller den sammenhæng, hvori den indgår, og om den finder sted i forbindelse med luftfartsselskabets erhvervsvirksomhed eller i medfør af en retlig forpligtelse. Det bør desuden fremhæves, at der findes en tilsvarende klausul i PNR-direktivets artikel 13, stk. 3, hvori der henvises specifikt til luftfartsselskabers forpligtelser i henhold til databeskyttelsesforordningen til at »træffe passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysningers sikkerhed og fortrolighed«. Denne bestemmelse optræder imidlertid blandt bestemmelserne om beskyttelsen af de personoplysninger, der behandles i henhold til PNR-direktivet, og følger dette direktivs artikel 13, stk. 1, som generelt bestemmer, at al behandling af oplysninger i medfør af dette direktiv er underlagt de heri nævnte bestemmelser i rammeafgørelse 2008/977. I modsætning til det af den franske regering anførte gør en sådan normativ konstruktion det muligt dels at fortolke den nævnte artikel 13, stk. 3, således, at databeskyttelsesforordningen kun omfatter behandling af oplysninger, som er fastsat i PNR-direktivet, og som ikke foretages af »kompetente myndigheder« i politidirektivets forstand, dels at forstå henvisningen til overholdelsen af de forpligtelser, der er fastsat i den nævnte forordning med hensyn til oplysningernes sikkerhed og fortrolighed, som en påmindelse om de garantier, der kræves i forbindelse med transportvirksomhedernes overførsel af PNR-oplysninger til passageroplysningsenhederne.

48. Konklusionen i punkt 46 i dette forslag til afgørelse berøres ikke af 19. betragtning til databeskyttelsesforordningen og af 11. betragtning til politidirektivet, hvorpå bl.a. den tyske regering, Irland og den franske regering har støttet deres argument om, at PNR-direktivet har karakter af lex specialis. Det er i denne henseende korrekt, at dette direktiv med hensyn til den omfattede behandling af personoplysninger har indført en ramme for beskyttelse af disse oplysninger, som er uafhængig af databeskyttelsesforordningen. Denne særlige ramme finder imidlertid kun anvendelse på behandling af PNR-oplysninger, der udføres af de »kompetente myndigheder« som omhandlet i politidirektivets artikel 3, nr. 7), heriblandt passageroplysningsenhederne, hvorimod overførslen af PNR-oplysninger til passageroplysningsenhederne stadig er omfattet af den generelle ramme, der er fastlagt ved databeskyttelsesforordningen, bl.a. i medfør af »forbeholdsklausulen« i PNR-direktivets artikel 21, stk. 2.

49. Til støtte for antagelsen om, at databeskyttelsesforordningen ikke finder anvendelse på transportvirksomheders og rejseselskabers overførsel af PNR-oplysninger til passageroplysningsenheder, har den belgiske regering, Irland, den franske og den cypriotiske regering henvist til dom af 30. maj 2006, Parlamentet mod Rådet og Kommissionen ( 25 ), hvori Domstolen fastslog, at overførsel af PNR-oplysninger fra EF-luftfartsselskaber til myndigheder i Amerikas Forenede Stater som led i en aftale, der var indgået mellem disse og Det Europæiske Fællesskab, udgjorde behandling af personoplysninger som omhandlet i artikel 3, stk. 2, første led, i direktiv 95/46 ( 26 ) og derfor ikke var omfattet af dette direktivs anvendelsesområde. Domstolen drog denne konklusion på grundlag af overførslens formål og den omstændighed, at den »[skete] […] inden for rammer, der [var] indført af de statslige myndigheder«, selv om oplysningerne blev indsamlet og videregivet af private erhvervsdrivende ( 27 ).

50. Det skal herved blot påpeges, at Domstolen i dom af 6. oktober 2020, La Quadrature du Net m.fl. ( 28 ), i det væsentlige fastslog, at dommen i sagen Parlamentet mod Rådet ikke kunne overføres på databeskyttelsesforordningens kontekst ( 29 ).

51. I præmis 102 i dommen i sagen La Quadrature du Net m.fl. ( 30 ) bemærkede Domstolen i øvrigt ved analog anvendelse af ræsonnementet i Tele2 Sverige-dommen og dom af 2. oktober 2018, Ministerio Fiscal ( 31 ), at »[s]elv om det af [databeskyttelsesforordningens] artikel 2, stk. 2, litra d), fremgår, at denne forordning ikke gælder for behandlinger, som foretages af »kompetente myndigheder« med henblik på bl.a. at forebygge og afsløre strafbare handlinger, herunder beskytte og forebygge trusler mod den offentlige sikkerhed, fremgår det af samme forordnings artikel 23, stk. 1, litra d) og h), at behandling af personoplysninger, der af privatpersoner foretages med henblik på de samme formål, er omfattet af forordningens anvendelsesområde« ( 32 ).

52. Jeg er af de nævnte grunde overbevist om, at konklusionen om, at transportfirmaers og rejseselskabers overførsel af PNR-oplysninger til passageroplysningsenhederne er omfattet af databeskyttelsesforordningen, allerede fremgår klart af ordlyden af databeskyttelsesforordningens artikel 2, stk. 2, litra d), hvori der henvises til behandlinger, som foretages af »kompetente myndigheder«, uden at det er nødvendigt at henvise til begrænsningsklausulen i den nævnte forordnings artikel 23, stk. 1 ( 33 ). Bemærkningen i præmis 102 i dommen i sagen La Quadrature du Net m.fl. tilkendegiver ikke desto mindre klart, at Domstolen går ind for en sådan konklusion.

53. Eftersom transportfirmaers og rejseselskabers overførsel af PNR-oplysninger falder ind under databeskyttelsesforordningens anvendelsesområde, udgør en national lovgivning såsom PNR-loven, der forpligter disse firmaer og selskaber til at foretage en sådan overførsel, en »lovgivningsmæssig foranstaltning« i henhold til databeskyttelsesforordningens artikel 23, stk. 1, litra d), og den skal derfor opfylde de betingelser, der er fastsat i denne bestemmelse ( 34 ).

54. Hvad i tredje række angår behandling af PNR-oplysninger, som foretages af passageroplysningsenheden og de kompetente nationale myndigheder, afhænger databeskyttelsesforordningens anvendelse, som det fremgår af det ovenfor anførte, af de formål, der forfølges med disse behandlinger.

55. For det første er behandling af PNR-oplysninger, som foretages af passageroplysningsenheden og af de kompetente nationale myndigheder, til de formål, der er nævnt i PNR-lovens artikel 8, stk. 1, nr. 1)-3) og nr. 5) ( 35 ), således udelukket fra databeskyttelsesforordningens anvendelsesområde, for så vidt som disse formål synes at høre til dem, der er omfattet af udelukkelsesklausulen i databeskyttelsesforordningens artikel 2, stk. 2, litra d). Beskyttelsen af de personoplysninger, der er genstand for denne behandling, henhører under national ret, dog med forbehold af anvendelsen af politidirektivet ( 36 ) og – inden for dets anvendelsesområde – PNR-direktivet.

56. Det samme gælder for det andet for behandling af PNR-oplysninger, som foretages af passageroplysningsenheden og af sikkerheds- og efterretningstjenesterne som led i overvågningen af de aktiviteter, der er omhandlet i de bestemmelser i styringsloven om efterretnings- og sikkerhedstjenesterne, som er nævnt i PNR-lovens artikel 8, stk. 1, nr. 4), for så vidt som de opfylder de formål, der er fastsat i databeskyttelsesforordningens artikel 2, stk. 2, litra d), hvilket det påhviler den forelæggende ret at vurdere.

57. Den belgiske regering har anført, at behandlinger, der foretages i henhold til PNR-lovens artikel 8, stk. 1, nr. 4), under alle omstændigheder falder ind under udelukkelsesklausulen i databeskyttelsesforordningens artikel 2, stk. 2, litra a), og den tilsvarende klausul i politidirektivets artikel 2, stk. 3, litra a), eftersom sikkerheds- og efterretningstjenesternes aktiviteter ikke er omfattet af EU-rettens anvendelsesområde.

58. I denne forbindelse vil jeg indledningsvis, uanset at Domstolen ikke er blevet forelagt noget spørgsmål om fortolkningen af disse bestemmelser, påpege, at Domstolen allerede har udtalt, at en national lovgivning, som pålægger private erhvervsdrivende behandlingsforpligtelser, henhører under de EU-retlige bestemmelser om beskyttelse af personoplysninger, selv om den vedrører beskyttelsen af statens sikkerhed ( 37 ). Det følger heraf, at transportvirksomheders og rejseselskabers overførsel af PNR-oplysninger, som kræves i PNR-loven, i princippet henhører under databeskyttelsesforordningen, selv om den foretages med henblik på denne lovs artikel 8, stk. 1, nr. 4).

59. Det skal dernæst fremhæves, at selv om det fremgår af 16. betragtning til databeskyttelsesforordningen, at den ikke finder anvendelse på »aktiviteter vedrørende statens sikkerhed«, og det i 14. betragtning til politidirektivet præciseres, at »aktiviteter vedrørende statens sikkerhed, aktiviteter udført af agenturer eller enheder, der beskæftiger sig med spørgsmål om statens sikkerhed […], ikke [bør] anses for at være aktiviteter, der falder inden for dette direktivs anvendelsesområde«, afspejler kriterierne for, hvorvidt en behandling af personoplysninger, som foretages af en offentlig myndighed eller tjeneste eller et offentligt agentur i en medlemsstat, falder ind under anvendelsesområdet for en bestemt EU-retsakt vedrørende beskyttelsen af de registrerede mod en sådan behandling eller ligger uden for EU-rettens anvendelsesområde, en logik, der både er knyttet til de funktioner, som denne myndighed, denne tjeneste eller dette agentur er tillagt, og til formålene med den nævnte behandling. Domstolen har således fastslået, at databeskyttelsesforordningens artikel 2, stk. 2, litra a), sammenholdt med 16. betragtning til denne forordning, »skal anses for alene at have til formål at udelukke statslige myndigheders behandling af personoplysninger under udøvelse af en aktivitet, som tilsigter at beskytte statens sikkerhed, eller en aktivitet, som kan henføres til samme kategori, fra anvendelsesområdet for nævnte forordning, hvorfor den omstændighed alene, at en aktivitet er statens eller en offentlig myndigheds, ikke er tilstrækkelig til, at denne undtagelse automatisk finder anvendelse på en sådan aktivitet« ( 38 ). Domstolen har ligeledes præciseret, at »de aktiviteter, som har til formål at beskytte den nationale sikkerhed, og som er omhandlet i databeskyttelsesforordningens artikel 2, stk. 2, litra a), omfatter navnlig […] de aktiviteter, hvis formål er at beskytte centrale statslige funktioner og samfundets grundlæggende interesser« ( 39 ). Det følger heraf, at såfremt en medlemsstat pålægger sikkerheds- og efterretningstjenesterne opgaver på de områder, der er angivet i politidirektivets artikel 3, nr. 7), litra a), falder den behandling af oplysninger, som disse tjenester foretager for at udføre disse opgaver, ind under dette direktivs og i givet fald PNR-direktivets anvendelsesområde. Det bør mere generelt påpeges, at Domstolen i forbindelse med fortolkningen af artikel 4, stk. 2, TEU, som bl.a. den belgiske regering har støttet sig på, flere gange har fastslået, at alene den omstændighed, at en national foranstaltning er blevet truffet med henblik på at beskytte den nationale sikkerhed, ikke kan medføre, at EU-retten ikke finder anvendelse, og fritage medlemsstaterne fra at sikre den nødvendige overholdelse af denne ret ( 40 ), og at den således har været utilbøjelig til automatisk og kategorisk at udelukke medlemsstaternes aktiviteter i forbindelse med beskyttelse af statens sikkerhed fra EU-rettens anvendelsesområde.

60. For det tredje må det som anført af samtlige berørte parter, der har afgivet indlæg, med undtagelse af den franske regering fastslås, at de kompetente belgiske myndigheders behandlinger af PNR-oplysninger til de formål, der er omhandlet i PNR-lovens artikel 8, stk. 2, nemlig »at forbedre personkontrollen ved de ydre grænser og […] at bekæmpe ulovlig indvandring« ( 41 ), ikke er omfattet af udelukkelsesklausulen i databeskyttelsesforordningens artikel 2, stk. 2, litra d), eller af en anden udelukkelsesgrund i denne artikel og derfor falder uden for denne forordnings anvendelsesområde. I modsætning til det af den franske regering anførte kan de nævnte behandlinger ikke reguleres ved PNR-direktivet, som i artikel 1, stk. 2, fastsætter, at »PNR-oplysninger, der indsamles i overensstemmelse med dette direktiv, må kun behandles med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet«, og principielt heller ikke af politidirektivet, der i overensstemmelse med dets artikel 1, stk. 1, kun finder anvendelse på kompetente myndigheders behandling af personoplysninger »med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed«. Som det fremgår af forelæggelsesafgørelsen, sigter PNR-lovens artikel 8, stk. 2, og denne lovs kapitel 11, som indeholder bestemmelser om behandling af PNR-oplysninger med henblik på forbedring af grænsekontrol og bekæmpelse af ulovlig indvandring, og som til dette formål bestemmer, at passageroplysningsenheden bl.a. skal overføre disse oplysninger til de politimyndigheder, der er ansvarlige for grænsekontrollen, mod at gennemføre API-direktivet og direktiv 2010/65 i belgisk ret. Disse to direktiver forpligter imidlertid de kompetente myndigheder til at overholde bestemmelserne i direktiv 95/46 i forbindelse med de omhandlede behandlinger ( 42 ). I modsætning til det af den franske regering anførte skal henvisningen til beskyttelsesreglerne i dette direktiv forstås således, at de omfatter enhver behandling af personoplysninger, som foretages på grundlag af API-direktivet og direktiv 2010/65. Den omstændighed, at API-direktivet var gældende, før rammeafgørelse 2008/977 trådte i kraft, er ikke relevant i denne forbindelse, eftersom denne rammeafgørelse og politidirektivet, der erstattede det, kun vedrører de behandlinger af personoplysninger, der er omhandlet i API-direktivets artikel 3, stk. 1, og som de kompetente myndigheder foretager til retshåndhævende formål ( 43 ).

61. Jeg foreslår på grundlag af samtlige ovenstående betragtninger, at Domstolen besvarer det første præjudicielle spørgsmål med, at databeskyttelsesforordningens artikel 23, sammenholdt med denne forordnings artikel 2, stk. 2, litra d), skal fortolkes således, at – den finder anvendelse på en national lovgivning, der gennemfører PNR-direktivet, for så vidt som denne lovgivning regulerer behandling af PNR-oplysninger, som foretages af transportvirksomheder og af andre erhvervsdrivende, herunder overførsel af PNR-oplysninger til passageroplysningsenhederne, jf. det nævnte direktivs artikel 8 – den ikke finder anvendelse på en national lovgivning, der gennemfører PNR-direktivet, for så vidt som denne lovgivning regulerer behandling af oplysninger, som de kompetente nationale myndigheder, herunder passageroplysningsenhederne og i givet fald sikkerheds- og efterretningstjenesterne i den pågældende medlemsstat, foretager til de formål, der er omhandlet i dette direktivs artikel 1, stk. 2 – den finder anvendelse på en national lovgivning, der gennemfører API-direktivet og direktiv 2010/65 med henblik på at forbedre personkontrollen ved de ydre grænser og med henblik på at bekæmpe ulovlig indvandring.

B. Det andet, det tredje, det fjerde, det sjette og det ottende præjudicielle spørgsmål

62. Med det andet, det tredje, det fjerde, det sjette og det ottende præjudicielle spørgsmål har Cour constitutionnelle (forfatningsdomstol) anmodet Domstolen om at oplyse, om PNR-direktivet er gyldigt, henset til chartrets artikel 7 og 8 samt artikel 52, stk. 1. Selv om det ottende præjudicielle spørgsmål er formuleret som et fortolkningsspørgsmål, sigter det også i det væsentlige mod at få Domstolen til at tage stilling til dette direktivs gyldighed.

63. Disse spørgsmål vedrører forskellige elementer i det system til behandling af PNR-oplysninger, der er indført ved PNR-direktivet, og kræver, at det for hvert af disse elementer vurderes, om betingelserne for lovligheden af de begrænsninger, der er indført for udøvelsen af de grundlæggende rettigheder i chartrets artikel 7 og 8, er opfyldt. Det andet og det tredje præjudicielle spørgsmål omhandler således det katalog over PNR-oplysninger, der er indeholdt i bilag I, det fjerde spørgsmål vedrører definitionen af begrebet »passager« i PNR-direktivets artikel 3, nr. 4), det sjette spørgsmål vedrører PNR-oplysningers anvendelse til forudgående vurdering i medfør af dette direktivs artikel 6, og det ottende spørgsmål vedrører den periode for opbevaring af PNR-oplysninger, der er angivet i det nævnte direktivs artikel 12, stk. 1.

1. De grundlæggende rettigheder, der er omhandlet i chartrets artikel 7 og 8

64. Chartrets artikel 7 fastsætter, at enhver har ret til respekt for sit privatliv og familieliv, sit hjem og sin kommunikation. Med hensyn til chartrets artikel 8, stk. 1, tillægger denne bestemmelse udtrykkeligt enhver person ret til beskyttelse af personoplysninger, der vedrører den pågældende. Ifølge fast retspraksis er disse rettigheder, der vedrører enhver form for information om en identificeret eller identificerbar person, nært beslægtet med hinanden, da adgangen til personoplysninger vedrørende en fysisk person med henblik på opbevaring eller brug griber ind i denne persons ret til respekt for privatlivet ( 44 ).

65. De rettigheder, der er sikret ved chartrets artikel 7 og 8, er imidlertid ikke absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet ( 45 ). Chartrets artikel 8, stk. 2, tillader således behandling af personoplysninger, såfremt visse betingelser er opfyldt. Det fremgår af denne bestemmelse, at personoplysninger skal behandles »rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag«.

66. Enhver begrænsning af retten til beskyttelse af personoplysninger og af retten til privatliv skal desuden overholde bestemmelserne i chartrets artikel 52, stk. 1. En sådan begrænsning skal således være fastlagt i lovgivningen, respektere disse rettigheders væsentligste indhold og under iagttagelse af proportionalitetsprincippet være nødvendige og faktisk svare til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder.

67. Ved vurderingen af en foranstaltning, der begrænser de nævnte rettigheder, skal der også tages hensyn til betydningen af de rettigheder, der er sikret ved chartrets artikel 3, 4, 6 og 7, og den betydning, som formålene om beskyttelse af den nationale sikkerhed og om bekæmpelse af grov kriminalitet har som følge af, at de bidrager til beskyttelsen af andres rettigheder og friheder ( 46 ). Chartrets artikel 6 fastsætter i denne henseende ikke blot retten for enhver til frihed, men også til personlig sikkerhed ( 47 ).

68. Chartrets artikel 52, stk. 3, har i øvrigt til formål at sikre den nødvendige sammenhæng mellem de i chartret omhandlede rettigheder og de tilsvarende ved EMRK sikrede rettigheder, hvortil der skal tages hensyn som tærskel for minimumsbeskyttelse ( 48 ). Retten til respekt for privatliv og familieliv, der er fastslået i chartrets artikel 7, svarer til den ret, der er sikret ved EMRK’s artikel 8, og skal derfor tillægges samme betydning og omfang ( 49 ). Det fremgår af Den Europæiske Menneskerettighedsdomstols (herefter »Menneskerettighedsdomstolen«) praksis, at et indgreb i de rettigheder, der er sikret ved denne artikel, kun er begrundet i henhold til den nævnte artikels stk. 2, såfremt det er i overensstemmelse med loven, omhandler et eller flere af de legitime formål, der er opregnet i dette stykke, og er nødvendigt i et demokratisk samfund for at nå dette eller disse mål ( 50 ). Foranstaltningen skal også være forenelig med lovens suverænitet, som er nævnt udtrykkeligt i præamblen til EMRK og knyttet til genstanden for og formålet med dennes artikel 8 ( 51 ).

69. Det er i lyset af disse principper, at Cour constitutionnelles (forfatningsdomstol) spørgsmål om gyldigheden skal besvares.

2. Indgrebet i de grundlæggende rettigheder, der er omhandlet i chartrets artikel 7 og 8

70. Domstolen har allerede fastslået, at bestemmelser, der pålægger eller tillader videregivelse af personoplysninger om fysiske personer til en tredjepart såsom en offentlig myndighed, i mangel af disse fysiske personers samtykke og uanset den efterfølgende anvendelse af de omhandlede oplysninger, skal kvalificeres som et indgreb i deres privatliv og dermed som en begrænsning af den grundlæggende ret, der er sikret ved chartrets artikel 7, med forbehold af deres eventuelle begrundelse ( 52 ). Det samme gør sig gældende, selv om der ikke foreligger omstændigheder, der gør det muligt at kvalificere et sådant indgreb som »alvorligt«, og uden at det har betydning, om de videregivne oplysninger er følsomme oplysninger, eller om det nævnte indgreb har medført eventuelle ubehageligheder for de berørte ( 53 ). Offentlige myndigheders adgang til sådanne oplysninger indebærer ligeledes et indgreb i den grundlæggende ret til beskyttelse af personoplysninger, som er sikret i chartrets artikel 8, eftersom den udgør en behandling af personoplysninger ( 54 ). Når der lagres data vedrørende en persons privatliv i et nærmere bestemt tidsrum, er der endvidere i sig selv tale om et indgreb i de rettigheder, som er sikret ved chartrets artikel 7 og 8 ( 55 ).

71. Domstolen har ligeledes allerede fastslået, at PNR-oplysninger som de i bilag I nævnte indeholder oplysninger om identificerede fysiske personer, nemlig de pågældende flypassager, og at de forskellige behandlinger, som disse oplysninger kan undergives, derfor berører den grundlæggende ret til respekt for privatliv, der er sikret ved chartrets artikel 7. Disse behandlinger er tillige omfattet af chartrets artikel 8 og skal derfor nødvendigvis opfylde de i denne artikel fastsatte krav vedrørende beskyttelse af oplysninger ( 56 ).

72. De behandlinger af PNR-oplysninger, der tillades i PNR-direktivet, og navnlig – for så vidt som det er relevant for den foreliggende sag – luftfartsselskabernes overførsel af disse oplysninger til passageroplysningsenhederne, disse enheders anvendelse af dem, deres videreoverførsel til de kompetente nationale myndigheder som omhandlet i dette direktivs artikel 7 samt deres opbevaring udgør ligeledes indgreb i de grundlæggende rettigheder, der er sikret i chartrets artikel 7 og 8.

73. Med hensyn til alvoren af disse indgreb skal det for det første påpeges, at PNR-direktivet omhandler systematisk og fortsat overførsel af PNR-oplysninger til passageroplysningsenhederne om enhver flypassager som defineret i dette direktivs artikel 3, nr. 4), som benytter en flyvning »uden for EU« som omhandlet i artikel 3, nr. 2), heri. En sådan overførsel indebærer, at passageroplysningsenhederne får generel adgang til alle PNR-oplysninger, der videregives ( 57 ). Denne konstatering berøres, i modsætning til hvad visse medlemsstater har gjort gældende i den foreliggende sag, ikke af den omstændighed, at disse oplysninger undergives automatisk behandling, og at passageroplysningsenhederne derfor kun får konkret adgang til oplysningerne, hvis analysen har givet et positivt resultat. Denne omstændighed har nemlig endnu ikke været til hinder for, at Domstolen i forbindelse med lignende systemer til systematisk behandling af personoplysninger, der indsamles eller opbevares »i bulk«, har anset de pågældende offentlige myndigheders adgang til sådanne oplysninger for at være af generel karakter. Når der stilles personoplysninger til rådighed for offentlige myndigheder med henblik på behandling og opbevaring, indebærer dette desuden i sig selv en umiddelbart generel og fuldstændig adgang til sådanne oplysninger og et indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger.

74. For det andet kan medlemsstaterne i overensstemmelse med PNR-direktivets artikel 2, stk. 1, beslutte at anvende dette direktiv på flyvninger »inden for EU« som omhandlet i artikel 3, nr. 3), heri. Det bør i denne henseende påpeges, at PNR-direktivet ikke blot giver medlemsstaterne mulighed for at bestemme, at det også gælder for flyvninger inden for EU, men ligeledes fastsætter både formelle og materielle betingelser for udnyttelsen af denne mulighed ( 58 ) og præciserer, at når den kun udnyttes for udvalgte flyvninger inden for EU, skal disse flyvninger vælges under hensyntagen til de mål, der forfølges med det nævnte direktiv ( 59 ). PNR-direktivet fastlægger desuden konsekvenserne, at denne mulighed udnyttes, idet det fremgår af artikel 2, stk. 2, at når en medlemsstat beslutter at anvende dette direktiv på flyvninger inden for EU, finder alle direktivets bestemmelser »anvendelse for flyvninger inden for EU, som var de flyvninger uden for EU, og for PNR-oplysninger fra flyvninger inden for EU, som var de PNR-oplysninger fra flyvninger uden for EU«.

75. Det er under disse omstændigheder – i modsætning til hvad en række regeringer, der har afgivet indlæg i den foreliggende sag, har gjort gældende – min opfattelse, at selv om PNR-direktivets anvendelse på flyvninger inden for EU beror på medlemsstaternes valg, er det PNR-direktivet, der udgør retsgrundlaget for indgrebene i retten til respekt for privatlivet og retten til beskyttelse af personoplysninger i forbindelse med overførsel, behandling og opbevaring af PNR-oplysninger vedrørende disse flyvninger, når der foretages et sådant valg.

76. Bortset fra Kongeriget Danmark, der ikke er omfattet af dette direktiv ( 60 ), anvender næsten alle medlemsstater imidlertid den heri fastsatte ordning for flyvninger »inden for EU« ( 61 ). Denne ordning finder som følge heraf anvendelse på alle flyvninger ind i og ud af EU og på næsten alle flyvninger, der finder sted inden for EU.

77. Hvad for det tredje angår de PNR-oplysninger, der skal overføres, indeholder bilag I 19 rubrikker vedrørende biografiske oplysninger ( 62 ), nærmere oplysninger om flyrejsen ( 63 ) og andre oplysninger, der indsamledes i forbindelse med lufttransportaftalen, såsom telefonnummer, e-mailadresse, betalingsformer, rejsebureau eller rejseagent, baggageoplysninger og generelle bemærkninger ( 64 ). I præmis 128 i udtalelse 1/15 bemærkede Domstolen imidlertid med hensyn til rubrikkerne i bilaget til udkastet til aftalen mellem Canada og Den Europæiske Union om overførsel og behandling af passagerlisteoplysninger (herefter »udkastet til PNR-aftalen mellem Canada og EU«), som er affattet på næsten samme måde som rubrikkerne i bilag I, at »selv om visse af PNR-oplysningerne isoleret set ikke synes at kunne afsløre vigtige oplysninger om de pågældende personers privatliv, forholder det sig ikke desto mindre således, at oplysningerne samlet set bl.a. kan afsløre den fuldstændige rejserute, rejsevanerne, eksisterende forhold mellem to eller flere personer og oplysninger om flypassagerernes økonomiske situation, madvaner eller helbredstilstand, og de kan sågar give følsomme oplysninger om disse passagerer«.

78. For det fjerde skal de oplysninger, som luftfartsselskaberne videregiver, i henhold til PNR-direktivets artikel 6 analyseres af passageroplysningsenhederne ved hjælp af automatiserede midler og på systematisk vis, dvs. uanset om der findes noget som helst indicium for, at de registrerede kan være involveret i terrorhandlinger eller grov kriminalitet. I forbindelse med den forudgående vurdering af passagerer, der er omhandlet i dette direktivs artikel 6, stk. 2, litra a), og i overensstemmelse med denne artikels stk. 3 kan de nævnte oplysninger nærmere bestemt kontrolleres, ved at de sammenholdes med »relevante« databaser [artikel 6, stk. 3, litra a)] og behandles efter forud fastsatte kriterier [artikel 6, stk. 3, litra b)]. Den første type behandling kan imidlertid afsløre yderligere oplysninger om de registreredes privatliv ( 65 ) og afhængig af de databaser, der benyttes ved sammenholdningen, endda gøre det muligt at tegne en præcis profil af disse personer. Den indsigelse, som flere regeringer har fremført, nemlig at PNR-direktivet kun giver adgang til en ret begrænset mængde personoplysninger, afspejler under disse omstændigheder ikke i tilstrækkelig grad det potentielle omfang af de indgreb, som dette direktiv indebærer i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, henset til omfanget af de oplysninger, som det kan give adgang til. Med hensyn til den anden type behandling af oplysninger, der er fastsat i PNR-direktivets artikel 6, stk. 3, litra b), bør det påpeges, at Domstolen i præmis 169 og 172 i udtalelse 1/15 fremhævede, at enhver form for analyse, der er baseret på forudfastsatte kriterier, nødvendigvis kan medføre en vis fejlmargen og navnlig en vis mængde »falsk positive« resultater. Ifølge de tal, der er angivet i et arbejdsdokument fra Kommissionens tjenestegrene ( 66 ) (herefter »arbejdsdokumentet fra 2020«), som er knyttet som bilag til Kommissionens rapport fra 2020, er antallet af hit, der efter individuel gennemgang i medfør af PNR-direktivets artikel 6, stk. 5, viste sig at være fejlagtige, ret stabilt, idet der i årene 2018 og 2019 var tale om mindst fem ud af seks identificerede personer ( 67 ).

79. For det femte opbevares PNR-oplysninger i overensstemmelse med PNR-direktivets artikel 12, stk. 1, i en database i en periode på fem år efter videregivelsen til passageroplysningsenheden i den medlemsstat, på hvis område luftfartøjet lander eller afgår. PNR-direktivet gør det derfor muligt at råde over oplysninger om flypassagerernes privatliv i usædvanligt lang tid ( 68 ). Eftersom der overføres PNR-oplysninger i forbindelse med næsten alle flyvninger, der foretages fra og til EU samt inden for EU, og fly er blevet et ret almindeligt transportmiddel, vil det i øvrigt være muligt at opbevare personoplysninger vedrørende et stort antal flypassagerer næsten konstant, alene fordi de rejser med fly mindst to gange i løbet af en femårig periode.

80. På et mere generelt plan indeholder PNR-direktivet endelig en række foranstaltninger, hvis overordnede formål er at indføre et system for overvågning på EU-plan, som er »ikke-målrettet«, dvs. ikke indledes som følge af en mistanke mod en eller flere specifikke personer, »massiv«, eftersom den omfatter personoplysninger vedrørende et stort antal personer ( 69 ) og vedrører den samme kategori af personer i dens helhed ( 70 ), og »proaktiv«, eftersom den ikke kun har til formål at undersøge kendte trusler, men også at opdage eller påvise hidtil ukendte farer ( 71 ). Sådanne foranstaltninger giver efter deres karakter anledning til alvorlige indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 ( 72 ), bl.a. som følge af deres forebyggende og prædiktive formål, som kræver vurdering af personoplysninger vedrørende store segmenter af befolkningen med henblik på at »identificere« personer, der som følge af resultatet af denne vurdering bør undersøges nærmere af de kompetente myndigheder ( 73 ). Den stigende behandling af store mængder personoplysninger af forskellig art, som indsamles »i bulk« for at forebygge visse former for grov kriminalitet, samt sammenstillingen og den kombinerede behandling af disse oplysninger har i øvrigt en »kumulativ virkning«, der fører til mere omfattende begrænsninger af den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, og risikerer at fremme en gradvis overgang til et »overvågningssamfund« ( 74 ).

81. Det er på grundlag af samtlige ovenstående betragtninger min opfattelse, at det indgreb, som PNR-direktivet indebærer i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, som minimum skal kvalificeres som »alvorligt«.

82. Det er, som navnlig Kommissionen har anført, korrekt, at alle de garantier og beskyttelsesforanstaltninger, der er fastsat i PNR-direktivet, bl.a. for at undgå misbrug af PNR-oplysninger, kan mindske intensiteten eller alvoren af disse indgreb. Det ændrer dog ikke på det forhold, at enhver ordning, der gør det muligt for offentlige myndigheder at få adgang til og behandle personoplysninger, med hensyn til beskyttelsen af de berørte grundlæggende rettigheder er af alvorlig karakter som følge af dens objektive kendetegn. Denne alvorlige karakter skal efter min opfattelse fastlægges, før det i forbindelse med undersøgelsen af de nævnte indgrebs forholdsmæssighed vurderes, om de garantier, der er knyttet til denne ordning, er tilstrækkelige og hensigtsmæssige. Det synes at være den fremgangsmåde, som Domstolen har fulgt indtil nu.

83. De indgreb, som PNR-direktivet indebærer i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, skal opfylde de betingelser, der er angivet i punkt 65 og 66 i dette forslag til afgørelse, for at være forenelige med chartret, hvilket jeg vil undersøge i det følgende ud fra de aspekter, som den forelæggende ret har henledt Domstolens opmærksomhed på.

3. Begrundelsen for det indgreb, der følger af PNR-direktivet

84. Det tredje præjudicielle spørgsmål vedrører den i chartrets artikel 52, stk. 1, første sætning, indeholdte betingelse om, at ethvert indgreb i en grundlæggende rettighed skal være »fastlagt i lovgivningen«, mens Domstolen med det andet, det fjerde, det sjette og det ottende præjudicielle spørgsmål bl.a. anmodes om at tage stilling til iagttagelsen af proportionalitetsprincippet, som er nævnt i denne bestemmelses andet punktum.

a) Overholdelsen af kravet om, at enhver begrænsning i udøvelsen af en grundlæggende rettighed, der er fastsat ved chartret, skal være fastlagt i lovgivningen

85. Kravet om, at enhver begrænsning i udøvelsen af en grundlæggende rettighed skal være »fastlagt i lovgivningen«, sigter ifølge Domstolens faste praksis ( 75 ), der tager udgangspunkt i Menneskerettighedsdomstolens praksis ( 76 ), ikke udelukkende til indgrebets oprindelse i »lovgivningen« – som ikke er omhandlet i den foreliggende sag – men indebærer også, at det retsgrundlag, som tillader dette indgreb, selv skal fastsætte dets rækkevidde klart og præcist. Denne anden del, der vedrører »lovgivningens kvalitet« og således den pågældende foranstaltnings tilgængelighed og forudsigelighed ( 77 ), og som omfatter udtrykket »fastlagt i lovgivningen« som omhandlet i chartrets artikel 52, stk. 1, og artikel 8, stk. 2, samt i EMRK’s artikel 8, har ikke blot til formål at sikre overholdelsen af legalitetsprincippet og princippet om en passende beskyttelse mod vilkårlige indgreb ( 78 ), men indebærer også et krav om retssikkerhed. Dette krav bekræftes også i en udtalelse af 19. august 2016 fra Den Rådgivende Komité for Konvention nr. 108 ( 79 ) om de konsekvenser, som behandlingen af passagerlister har for databeskyttelsen (herefter »udtalelsen af 19. august 2016«) ( 80 ).

86. EU-lovgiver har med vedtagelsen af PNR-direktivet selv begrænset de rettigheder, der er sikret ved chartrets artikel 7 og 8. De indgreb i de nævnte rettigheder, som dette direktiv tillader, kan derfor ikke betragtes som en konsekvens af medlemsstaternes valg ( 81 ) til trods for den skønsbeføjelse, som disse medlemsstater måtte have på tidspunktet for dets gennemførelse i national ret, idet retsgrundlaget for disse indgreb er selve PNR-direktivet. Under disse omstændigheder påhvilede det EU-lovgiver med henblik på at overholde den retspraksis, der er nævnt i punkt 85 i dette forslag til afgørelse, og de »høje standarder« for beskyttelse af de grundlæggende rettigheder, der bl.a. er indeholdt i chartret og i EMRK, hvortil der henvises i 15. betragtning til PNR-direktivet, at udstede klare og præcise regler, der fastsætter såvel rækkevidden som anvendelsen af de foranstaltninger, der medfører de nævnte indgreb.

87. Med det tredje præjudicielle spørgsmål ønsker den forelæggende ret specifikt oplyst, om denne forpligtelse er opfyldt med hensyn til punkt 12 og 18 i bilag I, men undersøgelsen af det andet, det fjerde og det sjette præjudicielle spørgsmål, hvorved denne ret har rejst tvivl om, hvorvidt PNR-direktivets indgreb i de grundlæggende rettigheder, der er omhandlet i chartrets artikel 7 og 8, kræver ligeledes, at der tages stilling til, om de omtvistede bestemmelser i PNR-direktivet er tilstrækkeligt klare og præcise.

88. Selv om denne vurdering, som jeg har forklaret i punkt 85 i dette forslag til afgørelse, vedrører indgrebets lovlighed som omhandlet i chartrets artikel 52, stk. 1, første punktum, vil den indgå i min undersøgelse af dette indgrebs forholdsmæssighed som omhandlet i denne bestemmelses andet punktum, hvilket er den tilgang, som både Domstolen og Menneskerettighedsdomstolen har valgt i sager om foranstaltninger, der omhandler behandling af personoplysninger ( 82 ).

b) Respekten for det væsentligste indhold af de rettigheder, der er omhandlet i chartrets artikel 7 og 8

89. Ifølge chartrets artikel 52, stk. 1, første afsnit, skal enhver begrænsning i udøvelsen af de grundlæggende rettigheder ikke blot hvile på et tilstrækkeligt præcist retsgrundlag, men også respektere disse rettigheders væsentligste indhold.

90. Som jeg har nævnt i punkt 66 i dette forslag til afgørelse, indgår dette krav – der er indarbejdet i de forskellige medlemsstaters forfatninger ( 83 ) og ganske vist ikke anerkendes udtrykkeligt i EMRK, men er fast forankret i Menneskerettighedsdomstolens praksis ( 84 ) – i chartrets artikel 52, stk. 1 ( 85 ). Dette krav, som Domstolen anerkendte længe inden kodificeringen ( 86 ), er løbende blevet bekræftet i Unionens retsinstansers praksis, også efter at Lissabontraktaten trådte i kraft.

91. Det fremgår bl.a. af dom af 6. oktober 2015, Schrems ( 87 ), at en EU-retsakt, som ikke respekterer det væsentligste indhold af en grundlæggende rettighed, automatisk mister sin gyldighed, uden at det er nødvendigt at foretage en afvejning af de berørte interesser. Domstolen har således anerkendt, at enhver grundlæggende rettighed udgør en »hård kerne«, der sikrer alle et frihedsrum, som er beskyttet mod ethvert indgreb fra offentlige myndigheder og ikke kan underkastes begrænsninger ( 88 ), uden at det rejser tvivl om principperne om demokrati, retsstaten og respekten for den menneskelige værdighed, som danner grundlag for beskyttelsen af de grundlæggende rettigheder. Det fremgår i øvrigt såvel af ordlyden af chartrets artikel 52, stk. 1, som af Domstolens praksis og navnlig af Schrems I-dommen, at vurderingen af, om der er sket indgreb i den pågældende grundlæggende rets væsentligste indhold, skal ske inden og uafhængigt af vurderingen af den omtvistede foranstaltnings proportionalitet. Der er med andre ord tale om en test med sin egen autonomi.

92. Det er ikke desto mindre yderst vanskeligt at afgøre, hvad der udgør det »væsentligste indhold«, som ikke kan indskrænkes, af en grundlæggende rettighed, hvis udøvelse kan begrænses. Selv om det af hensyn til den pågældende grundlæggende rettigheds funktion er nødvendigt at definere dette begreb i absolutte vendinger, henset til denne rettigheds væsentlige kendetegn, de subjektive og objektive interesser, som den har til formål at beskytte, og mere generelt dens funktion i et demokratisk samfund, der er baseret på respekten for den menneskelige værdighed ( 89 ), er det næsten umuligt at gøre det i praksis, i hvert fald uden at tage hensyn til de kriterier, der normalt anvendes ved undersøgelsen af, om indgrebet i den pågældende rettighed er forholdsmæssigt, såsom indgrebets alvor, dets omfang eller dets tidsmæssige udstrækning, og dermed uden at tage hensyn til de særlige omstændigheder i det enkelte tilfælde.

93. Hvad navnlig angår den grundlæggende ret til respekt for privatlivet skal der ikke blot tages hensyn til den betydning, som sikringen af en privatsfære, hvori den enkelte kan udfolde sit indre liv, har for dennes fysiske og psykiske sundhed, trivsel, selvstændighed, personlige udvikling og evne til at skabe og pleje sociale relationer, men også til den rolle, som denne ret spiller for bevaringen af andre rettigheder og friheder såsom tanke-, samvittigheds-, religions-, ytrings- og informationsfriheden, som ikke kan udnyttes fuldt ud, uden at der anerkendes en intimsfære. Der skal som helhed tages hensyn til den funktion, som respekten for retten til privatliv har i et demokratisk samfund ( 90 ). Domstolen synes at vurdere, om der foreligger en krænkelse af det væsentligste indhold af denne ret, på grundlag af både intensiteten og omfanget af dette indgreb, hvilket indikerer, at en sådan krænkelse snarere defineres kvantitativt end kvalitativt. I Digital Rights-dommen fastslog Domstolen således i det væsentlige, at den pligt til lagring af data, der var foreskrevet i direktiv 2006/24/EF ( 91 ), ikke var så alvorlig, at den påvirkede det væsentligste indhold af retten til respekt for privatlivet, eftersom dette direktiv ikke gav adgang til at »gøre sig bekendt med selve indholdet af de elektroniske kommunikationer« ( 92 ). I udtalelse 1/15 fastslog Domstolen desuden i det væsentlige, at en begrænsning, der kun omfatter visse aspekter af de registreredes privatliv, ikke kan medføre et indgreb i det væsentligste indhold af denne grundlæggende ret ( 93 ).

94. Med hensyn til den grundlæggende ret til beskyttelse af personoplysninger synes Domstolen at antage, at det væsentligste indhold af denne ret er sikret, når den foranstaltning, der medfører indgrebet, afgrænser formålene med behandlingen og fastsætter regler, som beskytter de pågældende oplysningers sikkerhed, bl.a. i forhold til hændelig eller ulovlig tilintetgørelse eller hændeligt tab eller forringelse ( 94 ).

95. I den foreliggende sag har den forelæggende ret ganske vist ikke henvist udtrykkeligt til kravet om, at det væsentligste indhold af de rettigheder, der er omhandlet i chartrets artikel 7 og 8, skal respekteres, men spørgsmålet om overholdelsen af dette krav ligger efter min opfattelse i det fjerde og det sjette præjudicielle spørgsmål. Jeg vil derfor foreslå, at Domstolen besvarer det.

96. Det bør herved påpeges, at Domstolen i præmis 150 i udtalelse 1/15, hvori den erkendte, at PNR-oplysninger »i givet fald kan afsløre meget præcise oplysninger om en persons privatliv« ( 95 ), og at disse oplysninger direkte eller indirekte kan bestå af følsomme oplysninger om den registrerede ( 96 ), ikke desto mindre med hensyn til udkastet til PNR-aftalen mellem Canada og EU, konkluderede, at eftersom »arten af disse oplysninger [var] begrænset til visse aspekter af dette privatliv vedrørende navnlig flypassagerer mellem Canada og Unionen«, kunne krænkelsen af den grundlæggende ret til respekt for privatlivet ikke berøre det væsentligste indhold af denne ret.

97. Bortset fra at de PNR-oplysninger, der var omhandlet i udkastet til PNR-aftalen mellem Canada og EU, skulle overføres til et tredjeland, og at deres viderebehandling skulle foretages af myndighederne i dette tredjeland og på dets område, er de indgreb i den grundlæggende ret til respekt for privatlivet, der fulgte af det nævnte aftaleudkast, og dem, der er fastsat i PNR-direktivet, imidlertid stort set ens. Dette gælder navnlig for de omhandlede PNR-oplysninger, den systematiske og generelle karakter af disse oplysningers overførsel og behandling, dens automatiske karakter og opbevaringen af de nævnte oplysninger. Det, der adskiller de to sager fra hinanden, er derimod på sin vis disse indgrebs »geografiske udstrækning«. Som jeg har anført i punkt 77 i dette forslag til afgørelse, er de behandlinger af oplysninger, der er omhandlet i den foreliggende sag, nemlig ikke begrænset til flyforbindelser til et enkelt tredjeland, som det var tilfældet i udtalelse 1/15, men vedrører næsten alle flyvninger til og fra EU samt inden for EU. Det følger heraf, at PNR-direktivet set i forhold til udkastet til PNR-aftalen mellem Canada og EU kræver systematisk behandling af et langt større antal flypassagerer, som rejser med fly inden for og uden for EU. I betragtning af det øgede antal oplysninger, der behandles, og den øgede hyppighed, hvormed de indsamles, er det desuden sandsynligt, at deres behandling kan tilvejebringe oplysninger, der både er mere præcise og mere omfattende, om de registreredes privatliv (deres rejsevaner, personlige relationer, økonomiske situation osv.).

98. Som det også var tilfældet i udtalelse 1/15, vedrører disse oplysninger ikke desto mindre isoleret set kun visse aspekter af privatlivet, som er knyttet til flyrejser. Da det er nødvendigt at definere begrebet »det væsentligste indhold« af de grundlæggende rettigheder snævert, for at fortsat kan fungere som en bastion mod angreb på disse rettigheders egentlige indhold, er det imidlertid min opfattelse, at den konklusion, som Domstolen drog i præmis 150 i udtalelse 1/15, kan overføres på den foreliggende sag.

99. I udtalelse 1/15 afviste Domstolen også, at der forelå en krænkelse af det væsentligste indhold af retten til beskyttelse af personoplysninger ( 97 ). Denne konklusion kan efter min opfattelse ligeledes overføres på omstændighederne i den foreliggende sag. PNR-direktivets artikel 1, stk. 2, afgrænser nemlig – i lighed med udkastet til PNR-aftalen mellem Canada og EU – formålene med behandlingen af PNR-oplysninger. Dette direktiv og de andre EU-retsakter, hvortil det henviser, herunder databeskyttelsesforordningen og politidirektivet, indeholder i øvrigt specifikke bestemmelser, som navnlig tilsigter at beskytte disse oplysningers sikkerhed, fortrolighed og integritet og at beskytte dem mod ulovlig adgang og behandling. Selv om det ikke kan fastslås, at en lovgivning som den i PNR-direktivet indeholdte berører det væsentligste indhold af de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, skal den ikke desto mindre underkastes en streng og grundig proportionalitetskontrol.

c) Overholdelsen af kravet om, at indgrebet skal svare til et mål af almen interesse

100. PNR-direktivet har navnlig til formål at garantere den indre sikkerhed i EU og at beskytte personers liv og sikkerhed ved overførsel af PNR-oplysninger til medlemsstaternes kompetente myndigheder, således at de kan anvende dem i forbindelse med bekæmpelse af terrorisme og grov kriminalitet ( 98 ).

101. Det fremgår nærmere bestemt af PNR-direktivets artikel 1, stk. 2, sammenholdt med sjette og syvende betragtning hertil, og af det forslag fra Kommissionen, der førte til vedtagelsen af dette direktiv (herefter »forslaget til PNR-direktivet«) ( 99 ), at de retshåndhævende myndigheder ( 100 ) anvender PNR-oplysninger på flere måder til dette formål. For det første anvendes disse oplysninger til at identificere personer, der er eller mistænkes for at være involveret i terrorhandlinger og grov kriminalitet, som allerede er begået, at indsamle bevismateriale og, hvor det er relevant, at finde kriminelles medskyldige og optrævle kriminelle netværk (»reaktiv« anvendelse). For det andet kan PNR-oplysninger vurderes forud for passagerernes ankomst eller afrejse for at forhindre en forbrydelse og identificere personer, der ikke tidligere har været mistænkt for at være involveret i terrorhandlinger eller grov kriminalitet, og som de retshåndhævende myndigheder bør undersøge nærmere ud fra resultatet af denne vurdering (anvendelse »i realtid«). PNR-oplysninger anvendes endelig til udformning af vurderingskriterier, der kan anvendes efterfølgende til at undersøge den risiko, som passagerer udgør, forud for deres ankomst eller afrejse (»proaktiv« anvendelse). En sådan proaktiv anvendelse af PNR-oplysninger bør gøre det muligt for de retshåndhævende myndigheder at imødegå den trussel, som grov kriminalitet og terrorisme udgør, fra et andet perspektiv end ved behandling af andre kategorier af personoplysninger ( 101 ).

102. Det fremgår af Domstolens praksis, at formålet om at beskytte den offentlige sikkerhed, der bl.a. omfatter forebyggelse, efterforskning, afsløring og retsforfølgning af såvel terrorhandlinger som strafbare handlinger, der betragtes som grov kriminalitet, udgør et mål af almen interesse for EU, der kan begrunde endog alvorlige indgreb i de grundlæggende rettigheder, som er sikret ved chartrets artikel 7 og 8 ( 102 ).

103. Domstolen har ligeledes anerkendt, at formålene om beskyttelse af den offentlige sikkerhed og om bekæmpelse af grov kriminalitet bidrager til beskyttelsen af andres rettigheder og friheder ( 103 ). For at kunne foretage en rimelig afvejning mellem disse formål og de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 ( 104 ), skal der således også tages hensyn til betydningen af de rettigheder, der er sikret ved chartrets artikel 3, 4, 6 og 7. Selv om Domstolen i denne henseende i dommen i sagen La Quadrature du Net m.fl. fastslog, at chartrets artikel 6 »ikke [kan] fortolkes således, at den pålægger de offentlige myndigheder en pligt til at vedtage specifikke foranstaltninger med henblik på at retsforfølge visse strafbare handlinger« ( 105 ), fremhævede den imidlertid hvad navnlig angår den effektive bekæmpelse af strafbare handlinger, som navnlig mindreårige og andre sårbare personer er ofre for, at der kan påhvile de offentlige myndigheder positive forpligtelser til at vedtage retlige foranstaltninger, der har til formål at beskytte privatlivet og familielivet, i medfør af chartrets artikel 7 og i medfør af dets artikel 3 og 4 med hensyn til beskyttelsen af en persons fysiske og psykiske integritet og af forbuddet mod tortur og umenneskelig og nedværdigende behandling ( 106 ).

104. Domstolen fandt endelig, at formålet om beskyttelse af den nationale sikkerhed vejer tungere end formålet om bekæmpelse af kriminalitet i almindelighed, herunder også grov kriminalitet, og formålet om beskyttelse af den offentlige sikkerhed, og at det derfor kan begrunde foranstaltninger, der indebærer indgreb i de grundlæggende rettigheder, som er mere alvorlige end dem, som disse andre formål kan begrunde ( 107 ). Eftersom terrorhandlinger kan udgøre trusler mod medlemsstaternes nationale sikkerhed, bidrager det system, der er indført ved PNR-direktivet, for så vidt som det er et instrument til bekæmpelse af sådanne handlinger, til formålet om at beskytte medlemsstaternes nationale sikkerhed.

d) Overholdelsen af proportionalitetsprincippet

105. I henhold til chartrets artikel 52, stk. 1, andet punktum, kan der under iagttagelse af proportionalitetsprincippet kun indføres begrænsninger i udøvelsen af en grundlæggende rettighed, der er anerkendt i chartret, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder.

106. Der skal i denne henseende henvises til, at proportionalitetsprincippet ifølge Domstolens faste praksis indebærer et krav om, at EU-institutionernes retsakter skal være egnede til at gennemføre de lovlige mål, som forfølges med den omhandlede lovgivning, og ikke går videre, end hvad der er nødvendigt og passende for gennemførelsen af disse mål ( 108 ).

107. Det fremgår af Domstolens faste praksis, at beskyttelsen af den grundlæggende ret til respekt for privatlivet på EU-plan kræver, at undtagelserne til og begrænsningerne af beskyttelsen af personoplysninger holdes inden for det strengt nødvendige. Desuden kan et mål af almen interesse ikke forfølges uden hensyntagen til den omstændighed, at dette mål skal forenes med de grundlæggende rettigheder, der er berørt af foranstaltningen, ved at foretage en rimelig afvejning mellem målet af almen interesse og de pågældende rettigheder ( 109 ). Proportionaliteten af en begrænsning af de rettigheder, der er sikret ved chartrets artikel 7 og 8, skal nærmere bestemt vurderes ved at bedømme alvoren af det indgreb, som en sådan begrænsning indebærer, og ved at kontrollere, at betydningen af det mål af almen interesse, der forfølges med denne begrænsning, står i forhold til denne alvor ( 110 ).

108. Det fremgår af Domstolens praksis, at for at opfylde kravet om proportionalitet skal PNR-direktivet, som er det retsgrundlag, der indebærer de indgreb i de ved chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, der er beskrevet i punkt 70-83 i dette forslag til afgørelse, fastsætte klare og præcise regler, som regulerer rækkevidden og anvendelsen af de foranstaltninger, der indebærer sådanne indgreb, og opstille en række mindstekrav, således at de personer, hvis oplysninger er blevet videregivet, råder over tilstrækkelige garantier, der gør det muligt effektivt at beskytte deres personoplysninger mod risikoen for misbrug og mod ulovlig adgang til og anvendelse af disse oplysninger ( 111 ). Nødvendigheden af at råde over sådanne garantier er så meget desto større, når personoplysningerne er undergivet en automatiseret behandling, og når der er tale om beskyttelse af den særlige kategori af personoplysninger, som følsomme oplysninger udgør ( 112 ).

109. Med hensyn til omfanget af den retslige prøvelse af overholdelsen af de krav, der følger af proportionalitetsprincippet, er EU-lovgivers skønsbeføjelse, henset til dels den betydelige rolle, som beskyttelsen af personoplysninger spiller i forhold til den grundlæggende ret til respekt for privatlivet, dels det indgreb i denne ret, som PNR-direktivet indebærer, begrænset, hvorfor der kræves en streng prøvelse ( 113 ).

1) Spørgsmålet om, hvorvidt den behandling af PNR-oplysninger, der er omhandlet i PNR-direktivet, er egnet, henset til det formål, der forfølges

110. I præmis 153 i udtalelse 1/15 fastslog Domstolen med hensyn til udkastet til PNR-aftalen mellem Canada og EU, at overførslen af PNR-oplysninger til Canada og den efterfølgende behandling heraf kan anses for at være egnet til at opfylde formålet vedrørende beskyttelse af den offentlige sikkerhed. Denne egnethed, der har været anerkendt længe såvel på EU-plan som på verdensplan ( 114 ), kan der efter min opfattelse ikke være nogen tvivl om for så vidt angår indsamlingen og den efterfølgende behandling af PNR-oplysninger både for flyvninger uden for EU og for flyvninger inden for EU ( 115 ).

111. Effektiviteten af det system til behandling af PNR-oplysninger, der er indført ved direktivet, kan dog kun vurderes konkret ud fra resultaterne af dets anvendelse ( 116 ). Det er ud fra dette synspunkt afgørende, at denne effektivitet vurderes løbende på grundlag af statistiske oplysninger, der er så præcise og pålidelige som muligt ( 117 ). Kommissionen bør i denne forbindelse med jævne mellemrum foretage en revision svarende til den, der allerede kræves i PNR-direktivets artikel 19.

2) Indgrebets strengt nødvendige karakter

112. Selv om Cour constitutionnelle (forfatningsdomstol) ikke direkte har rejst tvivl om, at PNR-direktivet indeholder klare og præcise regler, der er begrænset til det strengt nødvendige, for så vidt angår afgrænsningen af formålene med behandlingen af PNR-oplysninger ( 118 ), kan det efter min opfattelse ikke undlades at besvare dette spørgsmål i forbindelse med den af den forelæggende ret ønskede undersøgelse af, om det system, der er fastsat ved dette direktiv, er forholdsmæssigt ( 119 ).

i) Afgrænsningen af formålene med behandlingen af PNR-oplysninger

113. En klar afgrænsning af de formål, som gør det muligt for de kompetente myndigheder at få adgang til personoplysninger og at anvende dem efterfølgende, udgør et væsentligt krav i forbindelse med ethvert system til behandling af personoplysninger, navnlig til retshåndhævende formål. Det er i øvrigt nødvendigt at opfylde dette krav, for at Domstolen kan vurdere, om de pågældende foranstaltninger er forholdsmæssige, ved brug af den test af indgrebets alvor set i forhold til betydningen af det tilsigtede mål, som er fastsat i dens praksis ( 120 ).

114. Domstolen har fremhævet betydningen af en klar afgrænsning af formålene med de foranstaltninger, der indebærer begrænsninger af den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, bl.a. i Digital Rights-dommen, hvori den erklærede direktiv 2006/24 ugyldig. I denne doms præmis 60 bemærkede Domstolen, at dette direktiv ikke fastsatte »noget objektivt kriterium, som gør det muligt at afgrænse de kompetente nationale myndigheders adgang til dataene og den efterfølgende anvendelse heraf med henblik på forebyggelse, afsløring eller strafferetlig forfølgning vedrørende kriminalitet, der, henset til rækkevidden og alvoren af indgrebet i de rettigheder, som er fastslået i chartrets artikel 7 og 8, kan anses for tilstrækkeligt grov til at begrunde et sådant indgreb«, og at det derimod begrænsede sig til »i artikel 1, stk. 1, at henvise generelt til grov kriminalitet som defineret af de enkelte medlemsstater i deres nationale lovgivning«.

115. I PNR-direktivets artikel 1, stk. 2, angives et generelt kriterium om formålsbegrænsning, hvorefter »PNR-oplysninger, der indsamles i overensstemmelse med dette direktiv, [kun] må […] behandles med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet«. I modsætning til direktiv 2006/24 indeholder PNR-direktivet imidlertid ikke kun en sådan angivelse, men definerer selv i artikel 3, nr. 8) og 9), både begrebet »terrorhandlinger« og begrebet »grov kriminalitet«, det første med henvisning til artikel 1-4 i Rådets rammeafgørelse 2002/475/RIA af 13. juni 2002 om bekæmpelse af terrorisme (EFT 2002, L 164, s. 3) (erstattet af direktiv (EU) 2017/541) ( 121 ) og det andet ved opregning i bilag II af de kategorier af straffelovsovertrædelser, der falder ind under dette begreb, og ved fastsættelse af en grovhedstærskel baseret på den maksimale varighed af den frihedsstraf eller anden frihedsberøvende foranstaltning, der kan idømmes for disse overtrædelser.

116. Selv om henvisningen til de relevante bestemmelser i direktiv 2017/541 gør det muligt at angive tilstrækkeligt klart og præcist, hvilke handlinger der kan kvalificeres som terrorhandlinger i medfør af PNR-direktivets artikel 3, nr. 8), og at vurdere deres alvor med henblik på afvejningen mellem betydningen af det formål vedrørende beskyttelse af den offentlige sikkerhed, der forfølges med dette direktiv, og alvoren af det indgreb, som det medfører i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, er det mindre indlysende, at det samme kan konkluderes for alle de overtrædelser, der er opregnet i bilag II.

117. Domstolen fastslog i præmis 177 i udtalelse 1/15, at udkastet til PNR-aftalen mellem Canada og EU definerede grovheden af de lovovertrædelser, der er omfattet af begrebet »grov, grænseoverskridende kriminalitet«, klart og præcist, idet det fremgik, at der for disse overtrædelser kunne »idømmes en maksimumsstraf på mindst fire års frihedsberøvelse eller en hårdere straf«, der henvistes til »de i canadisk ret definerede lovovertrædelser«, og der blev peget på »de forskellige tilfælde, hvor en lovovertrædelse skal anses for at være af grænseoverskridende karakter«.

118. Til forskel fra den lovgivning, som Domstolen undersøgte i denne udtalelse, skal det for det første fremhæves, at der i PNR-direktivets definition af de omhandlede overtrædelser ikke tages hensyn til deres grænseoverskridende karakter, for det andet, at dette direktiv indeholder et udtømmende katalog over overtrædelser, der efter deres karakter betragtes som grov kriminalitet, såfremt de udløser den laveste maksimale straf, der er fastsat i dets artikel 3, nr. 9), og for det tredje, at det principielt sænker grovhedstærsklen ved at opstille et kriterium, der er baseret på niveauet for den maksimale straf, og ved at fastsætte denne tærskel til tre år.

119. Hvad for det første angår det manglende begrænsningskriterium baseret på den grænseoverskridende karakter er det korrekt, at en afgrænsning af PNR-direktivets materielle anvendelsesområde alene til grov, »grænseoverskridende« kriminalitet ville have gjort det muligt at sigte mod overtrædelser, som efter deres karakter i hvert fald potentielt kunne have været objektivt forbundet med haft en objektiv forbindelse til flyrejser og dermed til de kategorier af oplysninger, der indsamles og behandles i medfør af PNR-direktivet ( 122 ). Med hensyn til dette princip deler jeg imidlertid Komm