CONCLUSIONES DEL ABOGADO GENERAL

SR. GIOVANNI PITRUZZELLA

presentadas el 27 de enero de 2022 ( 1 )

Asunto C‑817/19

Ligue des droits humains

contra

Conseil des ministres

[Petición de decisión prejudicial planteada por la Cour constitutionnelle (Tribunal Constitucional, Bélgica)]

«Procedimiento prejudicial — Protección de los datos de carácter personal — Tratamiento de los datos del registro de nombres de los pasajeros (PNR) — Reglamento (UE) 2016/679 — Ámbito de aplicación — Directiva (UE) 2016/681 — Validez — Carta de los Derechos Fundamentales de la Unión Europea — Artículos 7, 8 y artículo 52, apartado 1»

Índice

I. Introducción II. Marco jurídico A. Derecho de la Unión 1. Carta 2. RGPD 3. Directiva PNR 4. Otros actos pertinentes del Derecho de la Unión B. Derecho belga C. Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia III. Análisis A. Sobre la primera cuestión prejudicial B. Sobre las cuestiones prejudiciales segunda, tercera, cuarta, sexta y octava 1. Sobre los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta 2. Sobre la injerencia en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta 3. Sobre la justificación de la injerencia dimanante de la Directiva PNR a) Sobre el cumplimiento del requisito de que cualquier limitación al ejercicio de un derecho fundamental previsto por la Carta debe estar establecida por la ley b) Sobre el respeto del contenido esencial de los derechos consagrados en los artículos 7 y 8 de la Carta c) Sobre el cumplimiento del requisito de que la injerencia debe favorecer el interés general d) Sobre el respeto del principio de proporcionalidad 1) Sobre la idoneidad de los tratamientos de los datos PNR a que se refiere la Directiva PNR en relación con el objetivo perseguido 2) Sobre el carácter estrictamente necesario de la injerencia i) Sobre la delimitación de los fines del tratamiento de los datos PNR ii) Sobre las categorías de datos PNR mencionadas por la Directiva PNR (cuestiones prejudiciales segunda y tercera) – Sobre el carácter suficientemente claro y preciso de los puntos 12 y 18 del anexo I (tercera cuestión prejudicial) – Sobre el alcance de los datos enumerados en el anexo I (segunda cuestión prejudicial) – Sobre los datos sensibles iii) Sobre el concepto de «pasajero» (cuarta cuestión prejudicial) iv) Sobre el carácter suficientemente claro, preciso y limitado a lo estrictamente necesario de la evaluación previa de los pasajeros (sexta cuestión prejudicial) – Sobre la comparación con bases de datos en el sentido del artículo 6, apartado 3, letra a), de la Directiva PNR – Sobre el tratamiento de los datos PNR con arreglo a criterios predeterminados – Sobre las garantías que lleva aparejado el tratamiento automatizado de los datos PNR – Conclusión sobre la sexta cuestión prejudicial v) Sobre la conservación de los datos PNR (octava cuestión prejudicial) 4. Conclusiones sobre las cuestiones prejudiciales segunda, tercera, cuarta, sexta y octava C. Sobre la quinta cuestión prejudicial D. Sobre la séptima cuestión prejudicial E. Sobre la novena cuestión prejudicial F. Sobre la décima cuestión prejudicial IV. Conclusión

I. Introducción

1. Mediante la presente petición de decisión prejudicial, la Cour constitutionnelle (Tribunal Constitucional, Bélgica) plantea al Tribunal de Justicia una serie de diez cuestiones prejudiciales, que versan sobre la interpretación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), (en lo sucesivo, «RGPD»), ( 2 ) así como sobre la validez y la interpretación de la Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave (en lo sucesivo, «Directiva PNR») ( 3 ) y de la Directiva 2004/82/CE del Consejo, de 29 de abril de 2004, sobre la obligación de los transportistas de comunicar los datos de las personas transportadas (en lo sucesivo, «Directiva API»). ( 4 ) Estas cuestiones prejudiciales han sido formuladas en el contexto de un recurso interpuesto por la asociación sin ánimo de lucro Ligue des droits humains (LDH), por el que solicita la anulación total o parcial de la loi du 25 décembre 2016 relative au traitement des données des passagers (Ley de 25 de diciembre de 2016, relativa al Tratamiento de Datos de los Pasajeros; en lo sucesivo, «Ley PNR»), ( 5 ) que transpone al Derecho belga la Directiva PNR y la Directiva API.

2. Las cuestiones prejudiciales que Tribunal de Justicia tendrá que resolver en el presente asunto se inscriben en el marco de uno de los dilemas principales del constitucionalismo liberal democrático contemporáneo: ¿cómo definir el equilibrio entre el individuo y la colectividad en la era de los datos, cuando las tecnologías digitales permiten la recogida, la conservación, el tratamiento y el análisis de ingentes cantidades de datos de carácter personal con fines predictivos? Los algoritmos, el análisis de los big data y la inteligencia artificial utilizados por las autoridades públicas pueden servir para la promoción y la protección de los intereses fundamentales de la sociedad, con una eficacia otrora inimaginable: desde la protección de la salud pública hasta la sostenibilidad medioambiental, desde la lucha contra el terrorismo hasta la prevención de la delincuencia, en particular, la delincuencia grave. Al mismo tiempo, la recogida indiferenciada de datos de carácter personal y la utilización de las tecnologías digitales por parte de los poderes públicos puede generar un panóptico digital, es decir, un poder público que ve todo sin ser visto. Un poder omnisciente capaz de controlar y prever los comportamientos de todos y cada uno y de adoptar las medidas necesarias hasta llegar al paradójico resultado, imaginado por Steven Spielberg en la película Minority Report, de privar preventivamente de libertad al autor de un delito que aún no ha sido cometido. Como se sabe, en algunos países, la sociedad prima sobre el individuo y la utilización de los datos personales permite realizar legítimamente una vigilancia en masa eficaz dirigida a proteger los intereses públicos considerados fundamentales. En cambio, el constitucionalismo europeo —nacional y supranacional—, con el lugar central que concede al individuo y a sus libertades, representa un obstáculo de gran importancia al advenimiento de una sociedad de la vigilancia en masa, sobre todo, tras el reconocimiento de los derechos fundamentales a la protección de la vida privada y a la protección de los datos personales. Pero, ¿en qué medida cabe erigir tal obstáculo sin grave menoscabo de algunos intereses fundamentales de la sociedad —como los que se han citado anteriormente a título de ejemplo—, que pueden, no obstante, tener conexiones constitucionales? Estamos en el meollo de la cuestión de la relación entre individuo y colectividad en la sociedad digital. Una cuestión que requiere, por un lado, la búsqueda y la instauración de delicados equilibrios entre los intereses de la colectividad y los derechos de los individuos, partiendo de la importancia capital de estos últimos en el patrimonio constitucional europeo y, por otro lado, la aplicación de garantías frente a los abusos. Nos hallamos, también en este punto, ante la versión contemporánea de un tema clásico del constitucionalismo, pues, como afirmaba, de forma lapidaria, El Federalista, los hombres no son ángeles y, por esta razón, se precisan mecanismos jurídicos para limitar y controlar el poder público.

3. Estas son las cuestiones de carácter general que se inscriben en el contexto de las presentes conclusiones, las cuales habrán de circunscribirse a la interpretación del Derecho de la Unión a la luz de la jurisprudencia anterior del Tribunal de Justicia, utilizando técnicas muy asentadas, entre las que se cuenta la de la interpretación conforme. En las presentes conclusiones, se recurrirá con frecuencia a esta técnica cuando resulte posible jurídicamente, con objeto de hallar el necesario equilibrio, desde el punto de vista constitucional, entre las finalidades públicas que subyacen en el sistema de transferencia, de recogida y de tratamiento de los datos del registro de nombres de los pasajeros (en lo sucesivo, «datos PNR») y los derechos consagrados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

II. Marco jurídico

A. Derecho de la Unión

1. Carta

4. A tenor del artículo 7 de la Carta, «toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de sus comunicaciones».

5. A tenor del artículo 8 de la Carta: «1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. 2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación. 3. El respeto de estas normas estará sujeto al control de una autoridad independiente.»

6. Conforme al artículo 52, apartado 1, de la Carta, «cualquier limitación del ejercicio de los derechos y libertades reconocidos por la presente Carta deberá ser establecida por la ley y respetar el contenido esencial de dichos derechos y libertades. Dentro del respeto del principio de proporcionalidad, solo podrán introducirse limitaciones cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás».

2. RGPD

7. El artículo 2, apartado 2, letra d), del RGPD excluye del ámbito de aplicación de dicho reglamento el tratamiento de datos personales efectuado «por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención».

8. A tenor del artículo 23, apartado 1, letra d), del RGPD: «El Derecho de la Unión o de los Estados miembros que se aplique al responsable o el encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 12 a 22, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar: […] d) la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención».

3. Directiva PNR

9. Me limitaré aquí a ofrecer una breve panorámica del funcionamiento del sistema instaurado por la Directiva PNR. En el análisis jurídico, se darán más detalles sobre el contenido de las disposiciones de la Directiva PNR pertinentes a los efectos de la respuesta que se ha de dar a las cuestiones prejudiciales.

10. Con arreglo a su artículo 1, la Directiva PNR, adoptada sobre la base del artículo 82 TFUE, apartado 1, letra d) y del artículo 87 TFUE, apartado 2, letra a), organiza, a escala de la Unión Europea, un sistema de transferencia por las compañías aéreas de los datos PNR de vuelos exteriores de la UE, ( 6 ) así como de recogida, de tratamiento y de conservación de dichos datos por las autoridades competentes de los Estados miembros a efectos de lucha contra el terrorismo y la delincuencia grave.

11. A tenor del artículo 3, punto 5), de la referida Directiva, el «registro de nombres de los pasajeros» o «PNR» es una «relación de los requisitos de viaje impuestos a cada pasajero, que incluye toda la información necesaria para el tratamiento y el control de las reservas por parte de las compañías aéreas que las realizan y participan en el sistema PNR, por cada viaje reservado por una persona o en su nombre, ya estén contenidos en sistemas de reservas, en sistemas de control de salidas utilizado para embarcar a los pasajeros en el vuelo o en sistemas equivalentes que posean las mismas funcionalidades».

12. El anexo I de la Directiva PNR (en lo sucesivo, «anexo I»), enumera los datos del registro de nombres de los pasajeros recopilados por las compañías aéreas que son objeto de transferencia en el sentido del artículo 8 de dicha Directiva y según los requisitos establecidos en dicho artículo.

13. El anexo II de la Directiva PNR (en lo sucesivo, «anexo II») contiene la lista de los delitos que constituyen «delitos graves», en el sentido del artículo 3, punto 9, de dicha Directiva.

14. El artículo 2 de la Directiva PNR prevé la posibilidad de que los Estados miembros decidan aplicar esa Directiva también a los «vuelos interiores de la UE» ( 7 ) o a algunos de los que considere «necesarios» a fin de perseguir los objetivos de la citada Directiva.

15. A tenor del artículo 4, apartado 1, de la Directiva PNR, «cada Estado miembro establecerá o designará una autoridad competente para la prevención, detección, investigación o enjuiciamiento de los delitos de terrorismo y delitos graves, o una sucursal de esa autoridad, para actuar como su Unidad de Información sobre los Pasajeros (“UIP”)». Conforme al apartado 2, letra a), de dicho artículo 4, la UIP será responsable, en particular, de recoger los datos PNR de las compañías aéreas, almacenar y procesar esos datos, así como de transferir dichos datos o el resultado de su tratamiento a las autoridades competentes a que hace mención el artículo 7 de la Directiva PNR. A tenor del apartado 2, del mencionado artículo 7, dichas autoridades serán «[las] del Estado miembro competentes para la prevención, detección, investigación o enjuiciamiento de los delitos de terrorismo y delitos graves». ( 8 )

16. A tenor del artículo 6, apartado 1, segunda frase, de la Directiva PNR, «si los datos PNR transmitidos por las compañías aéreas incluyeran datos distintos de los enumerados en el anexo I, la UIP los suprimirá inmediatamente y de manera definitiva en el momento de su recepción». El apartado 2 de dicho artículo está redactado en los siguientes términos: «2. La UIP tratará los datos PNR solo para realizar: a) una evaluación de los pasajeros antes de su llegada o salida programada del Estado miembro, a fin de identificar a toda persona que deba ser examinada de nuevo por las autoridades competentes a que se refiere el artículo 7 y, en su caso, por Europol, de conformidad con el artículo 10, ante la posibilidad de que pudiera estar implicada en un delito de terrorismo o delito grave; b) responder en cada caso particular, a las peticiones debidamente razonadas y con suficiente base de las autoridades competentes de que se suministren y traten datos PNR en casos específicos a efectos de prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves, y facilitar a las autoridades competentes o, en su caso, a Europol, los resultados de dicho tratamiento, y c) analizar los datos PNR con el fin de actualizar o establecer nuevos criterios que deben utilizarse en las evaluaciones realizadas en virtud del apartado 3, letra b), a fin de identificar a toda persona que pueda estar implicada en un delito de terrorismo o delito grave.»

17. El artículo 12 de la Directiva PNR contiene disposiciones relativas a la conservación de los datos PNR.

18. El artículo 5 de la Directiva PNR establece que cada UIP designará un responsable de la protección de datos para controlar el tratamiento de los datos PNR y aplicar las garantías oportunas. Asimismo, cada Estado miembro está obligado, con arreglo al artículo 15 de esta Directiva, a encargar a la autoridad nacional de control a que se refiere el artículo 25 de la Decisión Marco 2008/977/JAI, ( 9 ) sustituida por la Directiva (UE) 2016/680, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos o (en lo sucesivo, «Directiva Policía»), ( 10 ) que controle la aplicación, en su territorio, de las disposiciones adoptadas de conformidad con dicha Directiva. Esta autoridad, que ejerce sus tareas con el fin de proteger los derechos fundamentales relativos al tratamiento de los datos personales, ( 11 ) será responsable, en particular, de una parte, de conocer las reclamaciones presentadas por cualquier interesado, de investigar el asunto y de informar al interesado de los progresos y del resultado de su reclamación en un plazo de tiempo razonable y, de otra parte, de verificar la legalidad del tratamiento de los datos, de realizar investigaciones, inspecciones y auditorías de conformidad con el Derecho nacional, bien por propia iniciativa, bien sobre la base de la reclamación. ( 12 )

4. Otros actos pertinentes del Derecho de la Unión

19. El marco jurídico del presente asunto se completa con la Directiva API y la Directiva Policía. Para hacer más sencilla la lectura de las presentes conclusiones, se irá exponiendo el contenido de las disposiciones pertinentes de dichos actos en la medida en que resulte preciso para tratar las cuestiones que a los mismos se refieren o, más en general, por necesidades del análisis jurídico.

B. Derecho belga

20. Conforme al artículo 22 de la Constitución belga, «todos tienen derecho al respeto de su vida privada y familiar, salvo en los casos y condiciones establecidos por la ley».

21. A tenor de su artículo 2, la Ley PNR transpone la Directiva API, la Directiva PNR y, parcialmente, la Directiva 2010/65/UE. ( 13 )

22. Conforme a su artículo 3, apartado 1, la Ley PNR «determina las obligaciones que incumben a los transportistas y operadores de viajes en relación con la comunicación de los datos de los pasajeros con destino o procedencia en el territorio nacional o en tránsito por dicho territorio». A tenor del artículo 4, puntos 1 y 2, de la citada Ley, se entiende por «transportista»«toda persona física o jurídica que lleva a cabo, con carácter profesional, el transporte de personas por vía aérea, marítima, ferroviaria o terrestre» y por «operador de viajes»«cualquier organizador o intermediario de viajes, en el sentido de la Ley de 16 de febrero de 1994, por la que se regula el Contrato de Organización de Viajes y el Contrato de Intermediación de Viajes».

23. El artículo 8 de la Ley PNR dispone: «l. Los datos de los pasajeros serán tratados con los fines siguientes: 1.o la investigación y el enjuiciamiento de los delitos que figuran en el artículo 90 ter, apartado 2, puntos […] 7.o, […] 8.o, […] 11.o, […] 14.o, […] 17.o, 18.o y 19.o, y apartado 3, del Code d’Instruction criminelle (Código de Procedimiento Penal belga), incluida la ejecución de las penas o medidas restrictivas de libertad relativas a dichos delitos; 2.o la investigación y el enjuiciamiento de los delitos que figuran en los artículos 196, en lo que se refiere a los delitos de falsedad en documento público u oficial, 198, 199, 199 bis, 207, 213, 375 y 505 del Code penal (Código Penal), incluida la ejecución de las penas o medidas restrictivas de libertad relativas a dichos delitos; 3.o la prevención de atentados graves contra la seguridad pública en el marco de la radicalización violenta mediante el seguimiento de fenómenos y agrupaciones de conformidad con el artículo 44/5, apartado 1, puntos 2.o y 3.o, y apartado 2, de la loi du 5 août 1992 sur la fonction de police (Ley de 5 de agosto de 1992 sobre la Función Policial); 4.o el seguimiento de las actividades enumeradas en los artículos 7, puntos 1.o y 3.o/1, y 11, apartado 1, puntos 1.o a 3.o y 5.o, de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité (Ley Orgánica de 30 de noviembre de 1998 relativa a los Servicios de Inteligencia y Seguridad); ( 14 ) 5.o la investigación y el enjuiciamiento de los delitos contemplados en el artículo 220, apartado 2, de la loi générale sur les douanes et accises du 18 juillet 1977 (Ley General de 18 de julio de 1977 sobre Aduanas e Impuestos Especiales) y en el artículo 45, apartado 3, de la loi du 22 décembre 2009 relative au régime général d’accise (Ley de 22 de diciembre de 2009 sobre el Régimen General de los Impuestos Especiales) […] 2. Con arreglo a las condiciones establecidas en el capítulo 11, los datos de los pasajeros también serán tratados a efectos de mejorar los controles de personas en las fronteras exteriores y combatir la inmigración ilegal.»

24. El artículo 9 de la Ley PNR contiene la lista de los datos de los pasajeros que son objeto de transferencia. Estos datos corresponden a los enumerados en el anexo I.

25. Conforme al artículo 18 de la Ley PNR, «los datos de los pasajeros se conservarán en el banco de datos de los pasajeros durante un período máximo de cinco años a partir de su registro. Transcurrido dicho período, se destruirán».

26. El artículo 19 de la citada Ley establece que, «al finalizar un plazo de seis meses, contados desde el registro de los datos de los pasajeros en el banco de datos de los pasajeros, todos los datos de los pasajeros serán despersonalizados mediante enmascaramiento de los elementos de información».

27. El artículo 24 de la Ley PNR establece: «1. Los datos de los pasajeros serán tratados para realizar una evaluación previa de los pasajeros antes de su llegada o salida programada del territorio nacional o de su tránsito por este, a efectos de identificar a toda persona que deba ser examinada de nuevo. 2. En el marco de los fines a que se refiere el artículo 8, apartado 1, puntos 1.o, 4.o y 5.o, o relativos a las amenazas mencionadas en los artículos 8, punto 1.o, letras a), b), c), d), f), g), y 11, apartado 2, de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité (Ley Orgánica de 30 de noviembre de 1998 relativa a los Servicios de Inteligencia y Seguridad), la evaluación previa de los pasajeros se basa en una correspondencia positiva, resultante de una correlación entre los datos de los pasajeros y: 1.o los bancos de datos gestionados por los servicios competentes o directamente disponibles o accesibles para ellos en el ejercicio de sus funciones o listados de personas elaborados por los servicios competentes en el ejercicio de sus funciones. 2.o los criterios de evaluación predeterminados por la UIP, a que se refiere el artículo 25. 3. En el marco de los fines contemplados en el artículo 8, apartado 1, punto 3.o, la evaluación previa de los pasajeros se basa en una correspondencia positiva, resultante de una correlación entre los datos de los pasajeros y las bases de datos mencionadas en el apartado 2, punto 1.o. […]»

28. El artículo 25 de la Ley PNR recoge el contenido del artículo 6, apartado 4, de la Directiva PNR.

29. El capítulo 11 de la Ley PNR contiene las disposiciones que regulan el tratamiento de los datos de los pasajeros con el fin de mejorar el control de fronteras y combatir la inmigración ilegal. Estas disposiciones constituyen la transposición al Derecho belga de la Directiva API.

30. El artículo 44 de la Ley PNR prevé que la UIP designe un responsable de la protección de datos dentro del service public fédéral intérieur (Ministerio del Interior, Bélgica). La Commission de la protection de la vie privée (Comisión de la Protección de la Vida Privada) es la encargada de velar por la aplicación de las disposiciones de la Ley PNR.

31. El artículo 51 de la Ley PNR modifica la loi du 30 novembre 1998 organique des services de renseignement et de sécurité (Ley Orgánica de 30 de noviembre de 1998 relativa a los Servicios de Inteligencia y Seguridad), insertando el artículo 16/3, cuyo tenor dice: «1. Mediante resolución debidamente motivada y en aras de ejercer sus funciones, los servicios de inteligencia y seguridad podrán acceder a los datos de los pasajeros a que se refiere el artículo 7 de la Ley [PNR]. 2. El director del servicio adoptará la resolución a que se refiere el apartado 1 y la comunicará por escrito a la Unidad de Información de Pasajeros a que se refiere el capítulo 7 de la Ley antes mencionada. La resolución se notificará al Comité permanente R junto con su motivación. El Comité permanente R prohibirá a los servicios de inteligencia y de seguridad que utilicen los datos recogidos en condiciones que no se ajusten a los requisitos legales. La resolución puede referirse a un conjunto de datos relacionados con una indagación específica. En este caso, la lista de consultas de datos de los pasajeros se comunicará una vez al mes al Comité permanente R.»

C. Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia

32. Mediante un escrito dirigido a la Cour constitutionnelle (Tribunal Constitucional) el 24 de julio de 2017, la LDH interpuso un recurso por el que solicita la anulación total o parcial de la Ley PNR. En apoyo de su recurso, invoca dos motivos.

33. Mediante su primer motivo, formulado con carácter principal y basado en la infracción del artículo 22 de la Constitución belga, en relación con el artículo 23 del RGPD, los artículos 7, 8, y el artículo 52, apartado 1, de la Carta, así como el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, firmado en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»), la LDH considera que la Ley impugnada no respeta el principio de proporcionalidad en lo que respecta a su ámbito de aplicación y las categorías de datos a que se refiere, los tratamientos de datos que instaura, sus finalidades y la duración del período de conservación de los datos. En particular, sostiene que la definición de los datos PNR es excesivamente amplia y que puede llevar a que se revelen datos sensibles y que la definición del concepto de «pasajero» contenida en dicha Ley permite un tratamiento sistemático no selectivo de los datos de todos los pasajeros afectados. Además, la LDH considera que la Ley PNR no define con suficiente claridad la naturaleza y las particularidades del método de pre-screening de las bases de datos de pasajeros, ni los criterios que sirven de «indicadores de amenaza». Por último, considera que la Ley PNR excede de los límites de lo estrictamente necesario, en el sentido de que los fines que persigue el tratamiento de los datos PNR son más amplios que los que permite la Directiva PNR y de que el período de cinco años de conservación de los datos PNR es desproporcionado. Mediante su segundo motivo, formulado con carácter subsidiario y basado en la infracción del artículo 22 de la Constitución belga, en relación con el artículo 3 TUE, apartado 2, y con el artículo 45 de la Carta, la LDH impugna las disposiciones del capítulo 11 de la Ley PNR que transponen la Directiva API.

34. El Consejo de Ministros del Reino de Bélgica, que se ha personado ante la Cour constitutionnelle (Tribunal Constitucional), se opone al recurso de la LDH, cuestionando la admisibilidad y la procedencia de los dos motivos invocados en apoyo de este.

35. Por su parte, la Cour constitutionnelle (Tribunal Constitucional) expone las siguientes consideraciones.

36. En cuanto al primer motivo, se pregunta, en primer lugar, si la definición de los datos PNR que figura en el anexo I es suficientemente clara y precisa. Considera que la descripción de algunos de estos datos reviste un carácter ilustrativo y no taxativo. A continuación, la Cour constitutionnelle (Tribunal Constitucional) señala que la definición del concepto de «pasajero» que figura en el artículo 3, punto 4, de la Directiva PNR supone la recogida, la transferencia, el tratamiento y la conservación de los datos PNR de toda persona transportada o que deba ser transportada y registrada en la lista de pasajeros, independientemente de que existan motivos fundados para presumir que la persona afectada haya cometido o vaya a cometer un delito, o haya sido condenada por un delito. En cuanto a los tratamientos de los datos PNR, observa que estos últimos son sistemáticamente objeto de una evaluación previa que implica el cruce de los datos PNR de todos los pasajeros con bases de datos o criterios predeterminados, con vistas a establecer resultados positivos. No obstante, la Cour constitutionnelle (Tribunal Constitucional) precisa que, si bien los criterios deben ser específicos, fiables y no discriminatorios, le parece técnicamente imposible definir de antemano con mayor precisión los criterios que vayan a servir para determinar los perfiles de riesgo. Por lo que se refiere al período de conservación de los datos PNR establecido en el artículo 12, apartado 1, de la Directiva PNR, con arreglo al cual dichos datos pueden conservarse durante un plazo de cinco años, el órgano jurisdiccional remitente considera que los datos PNR se conservan sin tener en cuenta la cuestión de si, a tenor de la evaluación previa, los pasajeros afectados pueden suponer o no un riesgo para la seguridad pública. En estas circunstancias, el órgano jurisdiccional remitente se interroga acerca de la cuestión de si, a la luz del criterio jurisprudencial establecido, en particular, por la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros ( 15 ) y del Dictamen 1/15 (Acuerdo PNR UE-Canadá), de 26 de julio de 2017, ( 16 ) puede considerarse que el sistema de recogida, transmisión, tratamiento y conservación de los datos PNR establecido por la Directiva PNR sobrepasa los límites de lo estrictamente necesario. En este contexto, dicho órgano jurisdiccional se interroga asimismo sobre la cuestión de si la Directiva PNR se opone a una normativa nacional, como la que resulta del artículo 8, apartado 1, punto 4), de la Ley PNR, que autoriza el tratamiento de los datos PNR para fines distintos que los previstos en esa Directiva. Por último, se pregunta si la UIP puede ser considerada «otra autoridad nacional» autorizada, en virtud del artículo 12, apartado 3, letra b), inciso ii), de la Directiva PNR, a permitir la divulgación de los datos PNR completos transcurrido un período de seis meses. En cuanto al segundo motivo, el órgano jurisdiccional remitente pone de relieve que este se formula respecto del artículo 3, apartado 1, el artículo 8, apartado 2, y de los artículos 28 a 31 de la Ley PNR, que regulan la recogida y el tratamiento de los datos de los pasajeros para combatir la inmigración ilegal y mejorar los controles fronterizos. Al tiempo que recuerda que, a tenor de la primera de las disposiciones mencionadas, la Ley citada abarca los vuelos con destino o procedencia en el territorio nacional o en tránsito por dicho territorio, dicho órgano jurisdiccional precisa que el legislador nacional incluyó los vuelos «interiores de la UE» en el ámbito de aplicación de dicha Ley para obtener «una imagen más completa de los […] pasajeros que representan una posible amenaza para la seguridad [dentro de la Unión] y nacional», basándose en la posibilidad que brinda el artículo 2 de la Directiva PNR en relación con su considerando 10.

37. En este contexto, la Cour constitutionnelle (Tribunal Constitucional) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales: «1) ¿Debe interpretarse el artículo 23 del [RGPD], en relación con el artículo 2, apartado 2, letra d), de dicho Reglamento, en el sentido de que se aplica a una normativa nacional como la Ley [PNR], que transpone la Directiva [PNR], la Directiva [API] y la Directiva 2010/65? 2) ¿Es el anexo I [de la Directiva PNR] compatible con los artículos 7, 8 y 52, apartado 1, de la [Carta], en la medida en que los datos que enumera son muy amplios —en particular, los datos a que se refiere el punto 18 de [dicho anexo I], que van más allá de los enunciados en el artículo 3, apartado 2, de la Directiva [API]— y en la medida en que, considerados conjuntamente, podrían revelar datos sensibles y, en consecuencia, sobrepasar los límites de lo “estrictamente necesario”? 3) ¿Son los puntos 12 y 18 del anexo I [de la Directiva PNR] compatibles con los artículos 7, 8, y el artículo 52, apartado 1, de la [Carta], en la medida en que, habida cuenta de los términos “incluida” e “incluidos”, los datos a que se refieren se enuncian a modo de ejemplo y no con carácter taxativo, de manera que no cumplen los requisitos de claridad y precisión de las normas que constituyen una injerencia en el derecho al respeto de la vida privada y en el derecho a la protección de los datos personales? 4) ¿Son compatibles el artículo 3, punto 4, de la Directiva [PNR] y el anexo I [de la misma] con los artículos 7, 8, y el artículo 52, apartado 1, de la [Carta], en la medida en que el sistema de recogida, transmisión y tratamiento generalizados de datos de los pasajeros instaurado por dichas disposiciones afecta a toda persona que utilice el medio de transporte de que se trate, al margen de cualquier elemento objetivo que permita considerar que esa persona puede suponer un riesgo para la seguridad pública? 5) ¿Debe interpretarse el artículo 6 de la Directiva [PNR], en relación con los artículos 7, 8, y el artículo 52, apartado 1, de la [Carta] en el sentido de que se opone a una normativa nacional como la Ley impugnada, la cual permite, como fin del tratamiento de los datos PNR, el seguimiento de las actividades funciones desempeñadas por los servicios de inteligencia y de seguridad, integrando en este sentido dicho fin en la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave? 6) ¿Es compatible el artículo 6 de la Directiva [PNR] con los artículos 7, 8, y el artículo 52, apartado 1, de la [Carta], en la medida en que la evaluación previa que regula, a través de una correlación con las bases de datos y criterios predeterminados, se aplica de manera sistemática y generalizada a los datos de los pasajeros, al margen de cualquier elemento objetivo que permita considerar que dichos pasajeros pueden suponer un riesgo para la seguridad pública? 7) ¿Puede interpretarse el concepto de “otra autoridad nacional competente” a que se refiere el artículo 12, apartado 3, de la Directiva [PNR] en el sentido de que se refiere a la UIP creada por la Ley [PNR], la cual, en consecuencia, podría aprobar el acceso a los datos PNR, transcurrido un período de seis meses, en el marco de investigaciones puntuales? 8) ¿Debe interpretarse el artículo 12 de la Directiva [PNR], en relación con los artículos 7, 8, y el artículo 52, apartado 1, de la [Carta] en el sentido de que se opone a una normativa nacional como la Ley impugnada que establece, con carácter general, un período de conservación de los datos de cinco años, sin distinguir si, conforme al resultado obtenido en el marco de la evaluación previa, los pasajeros afectados pueden suponer o no un riesgo para la seguridad pública? 9) a) ¿Es la Directiva [API] compatible con el artículo 3 [TUE], apartado 2, y el artículo 45 de la [Carta], en la medida en que las obligaciones que establece se aplican a los vuelos interiores de [la Unión]? b) ¿Debe interpretarse la Directiva [API], en relación con el artículo 3 [TUE], apartado 2, y con el artículo 45 de la [Carta], en el sentido de que se opone a una normativa nacional como la Ley impugnada, la cual, a efectos de combatir la inmigración ilegal y mejorar los controles en las fronteras, autoriza un sistema de recogida y de tratamiento de los datos de los pasajeros “con destino o procedencia en el territorio nacional o en tránsito por dicho territorio”, lo que puede implicar indirectamente un restablecimiento de los controles en las fronteras interiores? 10) En caso de que, sobre la base de las respuestas a las cuestiones prejudiciales anteriores, la Cour constitutionnelle [(Tribunal Constitucional)] concluya que la Ley impugnada, que transpone en particular la Directiva [PNR], incumple una o varias de las obligaciones que se derivan de las disposiciones mencionadas en dichas cuestiones prejudiciales, ¿puede este órgano jurisdiccional mantener provisionalmente los efectos de la Ley [PNR] con objeto de evitar la inseguridad jurídica y permitir que los datos recogidos y almacenados previamente puedan seguir utilizándose para los fines previstos por dicha Ley?»

38. La LDH, los Gobiernos belga, checo, danés, alemán, estonio, irlandés, español, francés, chipriota, letón, neerlandés, austriaco, polaco, finlandés, así como el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión Europea presentaron observaciones escritas con arreglo al artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea. Conforme al artículo 24 del Estatuto del Tribunal de Justicia de la Unión Europea, se instó a la Comisión, al Supervisor Europeo de Protección de Datos (SEPD) y a la Agencia de los Derechos Fundamentales de la Unión Europea (FRA) a contestar por escrito a las preguntas planteadas por el Tribunal de Justicia. El 13 de julio de 2021, se celebró la vista oral.

III. Análisis

A. Sobre la primera cuestión prejudicial

39. Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, al Tribunal de Justicia si el artículo 2, apartado 2, letra d), del RGPD debe interpretarse en el sentido de que ese Reglamento y, en particular, su artículo 23, apartado 1, a tenor del cual el Derecho de la Unión o los Derechos de los Estados miembros pueden limitar, a través de medidas legislativas, por razones enumeradas de forma taxativa, el alcance de las obligaciones y de los derechos establecidos en dicho Reglamento, es aplicable a los tratamientos de datos efectuados con arreglo a una legislación nacional como la Ley PNR, que transpone al Derecho interno la Directiva PNR, la Directiva API y la Directiva 2010/65.

40. El artículo 2, apartado 2, del RGPD establece excepciones al ámbito de aplicación de ese Reglamento, definido en términos muy amplios ( 17 ) en el apartado 1 del artículo 2. ( 18 ) En la medida en que suponen no aplicar una normativa que regula el tratamiento de datos personales, que puede lesionar las libertades fundamentales, estas excepciones deben interpretarse en sentido estricto. ( 19 )

41. El artículo 2, apartado 2, letra d), del RGPD recoge, en particular, una cláusula de exclusión a tenor de la cual dicho Reglamento no se aplica al tratamiento de datos personales «por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención». Esta cláusula de exclusión se basa en un doble criterio subjetivo y objetivo. Así, quedan excluidos del ámbito de aplicación del citado Reglamento los tratamientos de datos efectuados, primero, por las «autoridades competentes» y, segundo, con los fines que se enumeran en dicha disposición. En consecuencia, es preciso apreciar los distintos tipos de tratamiento de datos contemplados en la Ley PNR en relación con ese doble criterio.

42. En primer lugar, por lo que se refiere a los tratamientos de datos llevados a cabo por los transportistas (aéreos, ferroviarios, terrestres y marítimos) en la UIP o por los operadores de viajes a efectos de la prestación de servicios o comerciales, siempre y cuando estén contemplados en la citada Ley, siguen rigiéndose por el RGPD, al no cumplirse ni el aspecto subjetivo ni el aspecto objetivo del criterio de exclusión establecido en el artículo 2, apartado 2, letra d), de dicho Reglamento.

43. Por lo que se refiere, en segundo lugar, a la transmisión por parte de los transportistas o de los operadores de viajes de los datos PNR a la UIP, que constituye, en sí misma, un «tratamiento» en el sentido del artículo 4, punto 2, del RGPD, ( 20 ) su inclusión en el ámbito de aplicación del referido Reglamento es menos evidente.

44. En efecto, de una parte, esta transmisión no la lleva a cabo una «autoridad competente» en el sentido del artículo 3, punto 7), de la Directiva Policía, a la que debe acudirse por analogía, al no existir en el RGPD una definición de ese concepto. ( 21 ) Un operador económico, como una compañía de transporte o una agencia viaje, al que solo incumbe una obligación legal de transmisión de datos personales y al que no se ha encomendado ninguna competencia pública, ( 22 ) no puede considerarse un órgano o entidad o entidad en el sentido del mencionado artículo 3, punto 7, letra b). ( 23 )

45. Por otra parte, la transmisión de los datos PNR por parte de las compañías de transporte y de los operadores de viajes se efectúa para cumplir una obligación impuesta por la Ley dirigida a que puedan perseguirse los fines enumerados en el artículo 2, apartado 2, letra d), del RGPD.

46. Pues bien, a mi juicio, de la redacción de la citada disposición se desprende claramente que solo quedan fuera del ámbito de aplicación del RGPD los tratamientos que responden a la vez al aspecto subjetivo y al aspecto objetivo del criterio de exclusión que enuncia. En consecuencia, la transmisión de los datos PNR a la UIP impuesta por la Ley PNR a las compañías de transporte y a los operadores de viajes queda sujeta a dicho Reglamento.

47. En lo tocante a las disposiciones de la Ley PNR que transponen la Directiva PNR, esta conclusión se ve corroborada por el artículo 21, apartado 2, de la citada Directiva, que establece que esta «se entenderá sin perjuicio de la aplicabilidad de la Directiva 95/46/CE ( 24 ) al tratamiento de datos personales por las compañías aéreas». Considero que no cabe aceptar la interpretación de esta disposición sugerida, en particular, por el Gobierno francés, con arreglo a la cual esta se limita a establecer que los transportistas siguen sujetos a las obligaciones establecidas por el RGPD en relación con los tratamientos de datos no contemplados por la Directiva PNR. En efecto, a la vista de su redacción, el alcance de esa «reserva» es amplio y se define únicamente en relación con el autor del tratamiento, sin que se haga mención alguna a la finalidad del tratamiento o al contexto en el que se produce, ni a si se lleva a cabo en el ejercicio de la actividad comercial del transportista o en cumplimiento de una obligación legal. Debo señalar asimismo que el artículo 13, apartado 3, de la Directiva PNR recoge una reserva del mismo tenor, que se refiere muy especialmente a las obligaciones impuestas a los transportistas aéreos con arreglo al RGPD «de tomar las medidas técnicas y de organización adecuadas para proteger la seguridad y la confidencialidad de los datos personales». Pues bien, esta disposición figura entre las que regulan la protección de datos personales tratados en virtud de la Directiva PNR y sigue al artículo 13, apartado 1, de dicha Directiva, que, de manera general, somete cualquier tratamiento de datos efectuado con arreglo a esta a las disposiciones de la Decisión marco 2008/977 que menciona. Contrariamente a lo que alega el Gobierno francés, esta combinación normativa permite, de una parte, interpretar el apartado 3 del mencionado artículo 13 como una cláusula que somete al RGPD únicamente el tratamiento de datos previsto por la Directiva PNR que no se lleva a cabo por «autoridades competentes» en el sentido de la Directiva Policía y, de otra parte, entender la referencia al respeto de las obligaciones impuestas por dicho Reglamento en materia de seguridad y de confidencialidad de los datos como un recordatorio de las garantías que deben imperativamente debe llevar aparejadas la transferencia de los datos PNR a las UIP por parte de los transportistas.

48. La conclusión enunciada en el punto 46 de las presentes conclusiones no se ve puesta en tela de juicio por el considerando 19 del RGPD ni por el considerando 11 de la Directiva Policía, a los que se refieren, entre otros, los Gobiernos alemán, irlandés y francés a los efectos de respaldar la naturaleza de lex specialis de la Directiva PNR. En este sentido, es ciertamente verdad que esta Directiva instaura, en relación con los tratamientos de datos personales a los que se refiere, un marco de protección para estos datos autónomo en relación con el RGPD. Sin embargo, este marco específico solo se aplica a los tratamientos de los datos PNR efectuados por las «autoridades competentes», en el sentido del artículo 3, punto 7, de la Directiva Policía, entre las que se cuentan, en particular, las UIP, mientras que la transferencia de los datos PNR a las UIP sigue sujeta al marco general establecido por el RGPD con arreglo, entre otras, a la «reserva» prevista en el artículo 21, apartado 2, de la Directiva PNR.

49. En apoyo de la tesis de que el RGPD no se aplica a la transferencia de los datos PNR a las UIP por parte de los transportistas y los operadores de viajes, los Gobiernos belga, irlandés, francés y chipriota se remiten a la sentencia de 30 de mayo de 2006, Parlamento/Consejo y Comisión, ( 25 ) en la que el Tribunal de Justicia declaró que la transferencia de los datos PNR por compañías aéreas comunitarias a las autoridades de los Estados Unidos de América, en el marco de un acuerdo negociado entre estos últimos y la Comunidad Europea, constituía un tratamiento de datos personales, en el sentido del artículo 3, apartado 2, primer guion, de la Directiva 95/46 ( 26 ) y, en consecuencia, no estaba comprendida en el ámbito de aplicación de esa Directiva. Para llegar a tal conclusión, el Tribunal de Justicia tuvo en cuenta la finalidad de la transferencia, así como el hecho de que esta «se inserta[ba] en un marco creado por los poderes públicos», aunque los datos se recogieran y se transfirieran por operadores privados. ( 27 )

50. En este sentido, basta con señalar que, en la sentencia de 6 de octubre de 2020, La Quadrature du Net y otros, ( 28 ) el Tribunal de Justicia consideró, en esencia, que la sentencia Parlamento/Consejo no podía extrapolarse al ámbito del RGPD. ( 29 )

51. Por otra parte, en el apartado 102 de la sentencia La Quadrature du Net, ( 30 ) el Tribunal de Justicia afirmó, haciendo una aplicación analógica del razonamiento seguido en las sentencias Tele2 Sverige y de 2 de octubre de 2018, Ministerio Fiscal, ( 31 ) que, «aunque [el RGPD] precisa, en su artículo 2, apartado 2, letra d), que no se aplica a los tratamientos “por parte de las autoridades competentes” con fines, en particular, de prevención y detección de infracciones penales, incluid[o el] de protección frente a amenazas a la seguridad pública y su prevención, del artículo 23, apartado 1, letras d) y h), del mismo Reglamento se desprende que los tratamientos de datos personales efectuados con estos mismos fines por particulares están comprendidos en el ámbito de aplicación de este». ( 32 )

52. Por las razones que ya se han expuesto, estoy convencido de que la conclusión de que la transferencia de los datos PNR por parte de las compañías de transporte y los operadores de viajes a las UIP está sujeta al RGPD ya se desprende con claridad de la redacción del artículo 2, apartado 2, letra d), del RGPD, que solo se refiere a los tratamientos «por parte de las autoridades competentes», sin necesidad de referirse a la reserva establecida en el artículo 23, apartado 1, de dicho Reglamento. ( 33 ) No obstante, la afirmación contenida en el apartado 102 de la sentencia La Quadrature du Net constituye una meridiana toma de posición del Tribunal de Justicia en favor de esta conclusión.

53. Dado que la transferencia de los datos PNR por parte de las compañías de transporte y los operadores de viajes está comprendida en el ámbito de aplicación del RGPD, una normativa nacional, como la Ley PNR, que obliga a esas compañías y a esos operadores a realizar tal transferencia constituye una «medida legislativa» en virtud del artículo 23, apartado 1, letra d), del RGPD y debe, en consecuencia, cumplir los requisitos establecidos en esta disposición. ( 34 )

54. En tercer lugar, por lo que respecta a los tratamientos de los datos PNR efectuados por la UIP y las autoridades nacionales competentes, como se desprende de los razonamientos anteriores, la aplicabilidad del RGPD depende de las finalidades que esos tratamientos pretenden lograr.

55. Así, en primer término, los tratamientos de datos PNR llevados a cabo por la UIP y por las autoridades nacionales competentes en relación con los fines enumerados el artículo 8, apartado 1, puntos 1 a 3 y 5, de la Ley PNR ( 35 ) quedan excluidos del ámbito de aplicación del RGPD en la medida en que, como parece ser el caso, dichos fines están entre aquellos a los que se refiere la reserva establecida en el artículo 2, apartado 2, letra d), del RGPD. La protección de los datos de las personas afectadas por tales tratamientos está regulada por el Derecho nacional, sin perjuicio de la aplicación de la Directiva Policía ( 36 ) y, en el marco de su ámbito de aplicación, por la Directiva PNR.

56. En segundo término, lo mismo ocurre con los tratamientos de los datos PNR efectuados por la UIP y por los servicios de seguridad e inteligencia en el marco del seguimiento de las actividades mencionadas en las disposiciones de la loi organique des services de renseignement et de sécurité (Ley Orgánica relativa a los Servicios de Inteligencia y Seguridad) enumeradas en el artículo 8, apartado 1, punto 4, de la Ley PNR, en la medida en que respondan a los fines enunciados en el artículo 2, apartado 2, letra d), del RGPD, extremo cuya apreciación corresponde al órgano jurisdiccional remitente.

57. El Gobierno belga sostiene que los tratamientos llevados a cabo con arreglo al artículo 8, apartado 1, punto 4, de la Ley PNR están, en cualquier caso, cubiertos por la reserva establecida en el artículo 2, apartado 2, letra a), del RGPD y la establecida en el artículo 2, apartado 3, letra a), de la Directiva Policía, dado que los servicios de seguridad e inteligencia no son actividades comprendidas en el ámbito de aplicación del Derecho de la Unión.

58. A este respecto, al mismo tiempo que subrayo que el Tribunal de Justicia no conoce ahora de una cuestión prejudicial relativa a la interpretación de dichas disposiciones, debo señalar, en primer lugar, que el Tribunal de Justicia ya ha afirmado que una normativa nacional que impone obligaciones de tratamiento a operadores privados está sujeta a las disposiciones del Derecho de la Unión en materia de protección de datos personales, incluso cuando va dirigida a proteger la seguridad nacional. ( 37 ) De ello se infiere que, en principio, la transferencia de los datos PNR, impuesta por la Ley PNR a los transportistas y a los operadores de viajes, está comprendida en el ámbito de aplicación del RGPD, incluso cuando se efectúa a efectos del artículo 8, apartado 1, punto 4, de dicha ley.

59. A continuación, debo señalar que, si bien el considerando 16 del RGPD enuncia que este no se aplica a las «actividades relativas a la seguridad nacional» y el considerando 14 de la Directiva Policía precisa que «no deben considerarse comprendidas en el ámbito de aplicación de [dicha] Directiva las actividades relacionadas con la seguridad nacional, las actividades de los servicios o unidades que traten cuestiones de seguridad nacional», los criterios en función de los cuales un tratamiento de datos personales efectuado por una autoridad, una unidad o un servicio público de un Estado miembro está incluido en el ámbito de aplicación de uno u otro acto de Derecho de la Unión que regulan la protección de los datos de las personas afectadas en relación con tales tratamientos o se sitúa fuera del ámbito de aplicación de ese Derecho responden a una lógica vinculada tanto a las funciones encomendadas a esa autoridad, unidad o servicio, como a las finalidades de tal tratamiento. Así, el Tribunal de Justicia ha establecido que «debe considerarse que el artículo 2, apartado 2, letra a), del RGPD, interpretado a la luz del considerando 16 de dicho Reglamento, tiene como único objeto excluir del ámbito de aplicación del mencionado Reglamento los tratamientos de datos personales efectuados por autoridades estatales en el marco de una actividad dirigida a preservar la seguridad nacional o una actividad que pueda incluirse en la misma categoría, de modo que el mero hecho de que una actividad sea propia del Estado o de una autoridad pública no basta para que dicha excepción sea automáticamente aplicable a tal actividad». ( 38 ) El Tribunal de Justicia también ha precisado que «las actividades cuya finalidad es preservar la seguridad nacional a las que se refiere el artículo 2, apartado 2, letra a), del RGPD cubren, en particular […], las que tienen por objeto proteger las funciones esenciales del Estado y los intereses fundamentales de la sociedad». ( 39 ) De ello resulta que, en el supuesto de que un Estado miembro encargue a sus servicios de seguridad y de inteligencia funciones en los ámbitos enumerados en el artículo 3, punto 7, letra a), de la Directiva Policía, los tratamientos de datos efectuados por esos servicios para el desempeño de esas funciones estarían comprendidos en el ámbito de aplicación de dicha Directiva y también, en su caso, de la Directiva PNR. Con carácter más general, debo indicar que el Tribunal de Justicia ha declarado reiteradamente, al interpretar el artículo 4 TUE, apartado 2, en el que se basa, entre otros, el Gobierno belga, que el mero hecho de que se haya adoptado una medida nacional con el fin de proteger la seguridad nacional no puede dar lugar a la inaplicabilidad del Derecho de la Unión ni dispensar a los Estados miembros de la necesaria observancia de dicho Derecho, ( 40 ) con lo que se muestra reticente a una exclusión automática y en bloque del ámbito de aplicación del Derecho de la Unión de las actividades de los Estados miembros relacionadas con la protección de la seguridad nacional.

60. En tercer término, según el parecer de todas las partes interesadas que han presentado observaciones, a excepción del Gobierno francés, debe considerarse que a los tratamientos de los datos PNR efectuados por las autoridades competentes belgas con los fines enunciados en el artículo 8, apartado 2, de la Ley PNR, a saber «mejorar los controles de personas en las fronteras exteriores y combatir la inmigración ilegal» ( 41 ) no les alcanza la reserva establecida en el artículo 2, apartado 2, letra d), del RGPD, ni otra reserva prevista en dicho artículo y, por lo tanto, están comprendido en el ámbito de aplicación del referido Reglamento. Contrariamente a lo que alega el Gobierno francés, dichos tratamientos no pueden regirse por la Directiva PNR, cuyo artículo 1, apartado 2, establece que «los datos PNR obtenidos con arreglo a la presente Directiva podrán tratarse únicamente con fines de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y los delitos graves» ni, en principio, por la Directiva Policía, que, con arreglo a su artículo 1, apartado 1, solo se aplica al tratamiento de los datos personales por parte de las autoridades competentes «con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública». Como resulta de la resolución de remisión, el artículo 8, apartado 2, de la Ley PNR y el capítulo 11 de dicha Ley, que recoge las disposiciones en materia de tratamiento de los datos PNR a efectos de mejorar los controles de personas en las fronteras exteriores y combatir la inmigración ilegal y que prevé, con tal fin, la transmisión de estos datos por parte de la UIP, en particular, a los servicios de policía encargados del control de fronteras, van dirigidos a transponer al Derecho belga la Directiva API y la Directiva 2010/65. Pues bien, ambas Directivas obligan a las autoridades competentes, en relación con los tratamientos que contemplan, al cumplimiento de lo dispuesto en la Directiva 95/46. ( 42 ) Contrariamente a lo que sostiene el Gobierno francés, debe entenderse que la remisión a las normas protectoras de dicha Directiva abarca cualquier tratamiento de datos personales efectuado con arreglo a la Directiva API y a la Directiva 2010/65. El hecho de que la Directiva API sea anterior a la entrada en vigor de la Decisión Marco 2008/977 es irrelevante por cuanto dicha Decisión Marco, al igual que la Directiva Policía que la sustituyó, solo afecta a los tratamientos de datos de carácter personal a que se refiere el artículo 3, apartado 1, de la Directiva API, efectuados por las autoridades competentes a efectos policiales. ( 43 )

61. Sobre la base del conjunto de consideraciones que preceden, sugiero al Tribunal de Justicia que conteste a la primera cuestión prejudicial que el artículo 23 del RGPD, en relación con el artículo 2, apartado 2, letra d), de dicho Reglamento, debe interpretarse en el sentido de que: – Se aplica a una normativa nacional que transpone la Directiva PNR en la medida en que esa normativa regule los tratamientos de los datos PNR efectuados por los transportistas y por otros operadores económicos, incluida la transmisión de datos PNR a las UIP, prevista en el artículo 8 de dicha Directiva. – No se aplica a una normativa nacional que transpone la Directiva PNR en la medida en que esta regule los tratamientos de datos efectuados con los fines establecidos en el artículo 1, apartado 2, de dicha Directiva por parte de las autoridades nacionales competentes, incluidas las UIP y, en su caso, los servicios de seguridad e información del Estado miembro interesado. – Se aplica a una normativa nacional que transpone la Directiva API y la Directiva 2010/65 a efectos de mejorar los controles de personas en las fronteras exteriores y combatir la inmigración ilegal.

B. Sobre las cuestiones prejudiciales segunda, tercera, cuarta, sexta y octava

62. Mediante sus cuestiones prejudiciales segunda, tercera, cuarta y sexta, la Cour constitutionnelle (Tribunal Constitucional) interroga el Tribunal de Justicia acerca de la validez de la Directiva PNR en relación con los artículos 7, 8 y del artículo 52, apartado 1, de la Carta. Aunque la octava cuestión prejudicial está redactada en términos de cuestión interpretativa, también va dirigida, en esencia, a recabar el pronunciamiento del Tribunal de Justicia sobre la validez de dicha Directiva.

63. Estas cuestiones prejudiciales se refieren a los distintos elementos del sistema de tratamiento de los datos PNR instaurado por la Directiva PNR y solicitan, respecto de cada uno de esos elementos, una evaluación de si se cumplen los requisitos a los que se supedita la legalidad de las limitaciones introducidas en relación con el ejercicio de los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta. Así las cuestiones prejudiciales segunda y tercera se refieren al catálogo de datos PNR que figura en el anexo I, la cuarta guarda relación con la definición del concepto de «pasajero» a que se refiere el artículo 3, punto 4), de la Directiva PNR, la sexta trata de la utilización de los datos PNR a efectos de la evaluación previa prevista en su artículo 6 y la octava se refiere al período de conservación de los datos PNR establecido en el artículo 12, apartado 1, de la Directiva mencionada.

1. Sobre los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta

64. El artículo 7 de la Carta garantiza a toda persona el derecho al respeto de su vida privada y familiar, de su domicilio y de sus comunicaciones. En cuanto al artículo 8, apartado 1, de la Carta, reconoce explícitamente a toda persona el derecho a la protección de los datos de carácter personal que la conciernan. Según reiterada jurisprudencia, estos derechos, que atañen a toda información relativa a una persona física identificada o identificable, están estrechamente relacionados, pues el acceso a los datos personales de una persona física para su conservación o su utilización afecta al derecho de dicha persona al respeto de la vida privada. ( 44 )

65. Sin embargo, los derechos consagrados en los artículos 7 y 8 de la Carta no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad. ( 45 ) Así, el artículo 8, apartado 2, de la Carta autoriza el tratamiento de los datos de carácter personal si se cumplen ciertos requisitos. Esta disposición establece que los datos de carácter personal se tratarán «de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley».

66. Cualquier limitación que se introduzca en el derecho a la protección de los datos personales, así como el derecho a la vida privada, deberá asimismo cumplir lo prescrito en el artículo 52, apartado 1, de la Carta. De esta manera, tal limitación deberá ser establecida por la ley, respetar el contenido esencial de dichos derechos y, dentro del respeto del principio de proporcionalidad, ser necesaria y responder efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás.

67. La apreciación de una medida que limite los mencionados derechos debe tener en cuenta asimismo la importancia de los derechos consagrados en los artículos 3, 4, 6 y 7 de la Carta y la que presentan los objetivos de protección de la seguridad nacional y de lucha contra la delincuencia grave al contribuir a la protección de los derechos y de las libertades de terceros. ( 46 ) En este sentido, el artículo 6 de la Carta establece el derecho de todas las personas no solo a la libertad, sino también a la seguridad. ( 47 )

68. Por otra parte, el artículo 52, apartado 3, de la Carta pretende garantizar la coherencia necesaria entre los derechos que esta consagra y los derechos correspondientes garantizados por el CEDH, que procede tener en cuenta como nivel mínimo de protección. ( 48 ) El derecho al respeto de la vida privada y familiar, consagrado en el artículo 7 de la Carta, se corresponde con el garantizado en el artículo 8 del CEDH y, por consiguiente, debe atribuírsele el mismo sentido y el mismo alcance. ( 49 ) De la jurisprudencia del Tribunal Europeo de Derechos Humanos (en lo sucesivo, «TEDH») se desprende que una injerencia en los derechos garantizados en dicho artículo solo puede justificarse, a la luz del apartado 2 de dicho artículo, si está prevista por la ley, si persigue uno o varios fines legítimos enumerados en dicho apartado y si es necesaria, en una sociedad democrática, para alcanzar ese o esos fines. ( 50 ) La medida tiene que ser compatible con la preeminencia del Derecho, expresamente mencionada en el preámbulo del CEDH e inherente al objeto y al fin de su artículo 8. ( 51 )

69. Estos principios son los que deben servir de guía para examinar las cuestiones prejudiciales sobre la apreciación de validez planteadas por la Cour constitutionnelle (Tribunal Constitucional).

2. Sobre la injerencia en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta

70. El Tribunal de Justicia ya ha declarado que aquellas disposiciones que impongan o permitan la comunicación de datos personales de personas físicas a un tercero, como una autoridad pública, deben calificarse, a falta de consentimiento de tales personas físicas y cualquiera que sea el uso posterior que se haga de los datos en cuestión, de injerencia en su vida privada y, por tanto, de limitación al derecho fundamental garantizado en el artículo 7 de la Carta, sin perjuicio de su posible justificación. ( 52 ) Así ocurre incluso a falta de circunstancias que permitan calificar esta injerencia de «grave» y sin que sea relevante que la información relativa a la vida privada de que se trate tenga o no carácter sensible o que los interesados hayan sufrido o no inconvenientes en razón de tal injerencia. ( 53 ) El acceso de las autoridades públicas a esta información constituye, del mismo modo, una injerencia en el derecho fundamental a la protección de los datos de carácter personal garantizado en el artículo 8 de la Carta, pues constituye un tratamiento de datos de carácter personal. ( 54 ) Asimismo, constituye en sí misma una injerencia en los derechos garantizados por los artículos 7 y 8 de la Carta la conservación, durante un determinado período, de datos relativos a la vida privada de una persona. ( 55 )

71. El Tribunal de Justicia también ha declarado que los datos PNR, como los enumerados en el anexo I, incluyen información sobre personas físicas identificadas, a saber, los pasajeros aéreos afectados, y que, en consecuencia, los distintos tratamientos de los que estos datos pueden ser objeto afectan al derecho fundamental al respeto de la vida privada, garantizado en el artículo 7 de la Carta. El artículo 8 de la Carta es también aplicable a los tratamientos, que, en consecuencia, deben cumplir necesariamente los requisitos de protección de los datos previstos en el referido artículo. ( 56 )

72. Así, los tratamientos de los datos PNR permitidos por la Directiva PNR y, en particular, en relación con lo que reviste un interés a efectos del presente asunto, la transferencia de esos datos por parte de las compañías aéreas a las UIP, su utilización por parte de dichas unidades, su transferencia posterior a autoridades nacionales competentes, en el sentido del artículo 7 de la citada Directiva, así como su conservación constituyen otras tantas injerencias en los derechos fundamentales garantizados por los artículos 7 y 8 de la Carta.

73. En lo tocante a la gravedad de esas injerencias, procede señalar, en primer lugar, que la Directiva PNR prevé la transferencia sistemática y continua a las UIP de los datos PNR de todo pasajero aéreo, según se define en el artículo 3, punto 4, de dicha Directiva, que tome un vuelo «exterior de la UE», en el sentido del artículo 3, punto 2, de esta. Esta transferencia supone un acceso general, por parte de las UIP, a todos los datos PNR comunicados. ( 57 ) Contrariamente a lo que alegan algunos Estados miembros en el presente procedimiento, no obsta a esta apreciación el hecho de que, debido al tratamiento automatizado de que son objeto esos datos, las UIP solo tengan acceso concreto a los datos cuyo análisis haya dado un resultado positivo. En efecto, de una parte, hasta la fecha, esta circunstancia no ha impedido que el Tribunal de Justicia afirme, en el contexto de sistemas de tratamiento automatizado de datos personales recogidos o conservados «en bruto» parecidos, el carácter general del acceso de las autoridades públicas afectadas a esos datos. De otra parte, la mera puesta a disposición de las autoridades públicas de datos personales con vistas a su tratamiento y conservación por parte de estas supone un acceso, a priori, general y completo de estas a dichos datos y una injerencia en los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal.

74. En segundo lugar, conforme al artículo 2, apartado 1, de la Directiva PNR, los Estados miembros pueden decidir aplicar dicha Directiva a los vuelos «interiores de la UE», en el sentido de su artículo 3, punto 3. A tal respecto, debo señalar, por una parte, que la Directiva PNR no se limita a dotar a los Estados miembros de la facultad de extender su aplicación a los vuelos interiores de la UE, sino que también determina los requisitos, tanto formales como materiales, que regulan el ejercicio de esa facultad ( 58 ) y precisa que, cuando esta solo se ejerza respecto de determinados vuelos interiores de la UE, la elección de tales vuelos deberá realizarse teniendo en cuenta los objetivos perseguidos por dicha Directiva. ( 59 ) Por otra parte, la Directiva PNR prevé las consecuencias del ejercicio de dicha facultad, estableciendo en su artículo 2, apartado 2, que, en caso de que un Estado miembro decida aplicar dicha Directiva a los vuelos interiores de la UE, todas las disposiciones de esta «se aplicarán a los vuelos interiores de la UE de igual modo que si se tratara de vuelos al exterior de la UE, y a los datos PNR de vuelos interiores de la UE de igual modo que si se tratara de datos PNR de vuelos al exterior de la UE».

75. En estas circunstancias, mi opinión es que, contrariamente a lo alegado por un cierto número de los Gobiernos que han presentado observaciones en el presente procedimiento, aunque la aplicación de la Directiva PNR a los vuelos interiores de la UE depende de la decisión de los Estados miembros, cuando estos la adoptan, la Directiva PNR constituye la base legal de las injerencias en los derechos al respeto de la vida privada y a la protección de los datos de carácter personal relacionadas con la transferencia, el tratamiento y la conservación de los datos PNR en relación con dichos vuelos.

76. Pues bien, con excepción del Reino de Dinamarca, que no está sometido a dicha Directiva, ( 60 ) casi todos los Estados miembros aplican el régimen fijado por esta para los vuelos «interiores de la UE». ( 61 ) De ello se sigue que este régimen se aplica a todos los vuelos que entran y salen de la Unión, así como a prácticamente todos los vuelos realizados dentro de la Unión.

77. En tercer lugar, en cuanto a los datos PNR que deben transferirse, el anexo I enumera diecinueve categorías referidas a datos biográficos, ( 62 ) detalles del viaje aéreo ( 63 ) y otros datos recogidos en el contexto del contrato de transporte aéreo, como el número de teléfono, la dirección de correo electrónico, los datos de pago, la agencia de viajes o el operador de viajes, la información relativa al equipaje, así como observaciones generales. ( 64 ) Pues bien, como señala el Tribunal de Justicia en el apartado 128 del Dictamen 1/15, al pronunciarse sobre las categorías que figuran en el anexo del proyecto de Acuerdo entre Canadá y la Unión Europea sobre el tratamiento y la transferencia de datos del registro de nombres de los pasajeros (en lo sucesivo, «proyecto de Acuerdo PNR Canadá-UE»), formuladas de forma muy parecida a las del anexo I, «aun cuando algunos de los datos del PNR, aisladamente considerados, no parezcan poder revelar información importante sobre la vida privada de las personas afectadas, no deja de ser cierto que, conjuntamente considerados, dichos datos pueden revelar, entre otros extremos, un itinerario de viaje completo, hábitos de viaje, relaciones existentes entre dos o varias personas así como información sobre la situación económica de los pasajeros aéreos, sus hábitos alimentarios o su estado de salud, y podrían incluso proporcionar datos sensibles sobre dichos pasajeros».

78. En cuarto lugar, a tenor del artículo 6 de la Directiva PNR, los datos transferidos por las compañías aéreas van destinados a ser analizados por las UIP por medios automatizados y ello de forma sistemática, es decir, con independencia de la cuestión de si existe el menor indicio de que las personas afectadas puedan estar implicadas en delitos de terrorismo o en delitos graves. Más en particular, en el marco de la evaluación previa de los pasajeros prevista en el artículo 6, apartado 2, letra a), de dicha Directiva, y de conformidad con el apartado 3 de este artículo, los datos mencionados pueden comprobarse cotejándolos con bases de datos «pertinentes» [artículo 6, apartado 3, letra a)] y tratarse con arreglo a criterios predeterminados [artículo 6, apartado 3, letra b)]. Pues bien, el primer tipo de tratamiento puede proporcionar información adicional sobre la vida privada de las personas afectadas ( 65 ) y, en función de las bases de datos utilizadas para el cotejo, puede incluso hacer posible que se trace un perfil preciso de dichas personas. En estas circunstancias, la objeción formulada por varios Gobiernos de que la Directiva PNR únicamente permite el acceso a un conjunto de datos personales relativamente limitado no refleja adecuadamente el alcance potencial de las injerencias que esta Directiva implica en los derechos fundamentales protegidos por los artículos 7 y 8 de la Carta, desde el punto de vista de la extensión de los datos a los que dicha Directiva puede permitir acceder. En cuanto al segundo tipo de tratamiento de datos, contemplado en el artículo 6, apartado 3, letra b), de la Directiva PNR, deseo recordar que, en los apartados 169 y 172 del Dictamen 1/15, el Tribunal de Justicia subrayó que el presentar un cierto margen de error es algo inherente a cualquier tipo de análisis basado en criterios predeterminados, especialmente, el presentar un cierto número de resultados «falsos positivos». Según los datos cifrados contenidos en el documento de trabajo de los servicios de la Comisión ( 66 ) (en lo sucesivo, «documento de trabajo de 2020») anexo al Informe de la Comisión de 2020, el número de casos de resultados positivos que, tras una revisión individualizada con arreglo al artículo 6, apartado 5, de la Directiva PNR, resultan ser erróneos es bastante considerable y, a lo largo de los años 2018 y 2019, fue de, al menos, cinco de cada seis personas identificadas. ( 67 )

79. En quinto lugar, de conformidad con el artículo 12, apartado 1, de la Directiva PNR, los datos PNR se conservan en una base de datos durante un plazo de cinco años a partir de su transmisión a la UIP del Estado miembro en cuyo territorio tenga su punto de aterrizaje u origen el vuelo. La Directiva PNR permite, por lo tanto, disponer de información sobre la vida privada de los pasajeros aéreos durante un período particularmente largo. ( 68 ) Por otra parte, dado que la transferencia de los datos PNR afecta prácticamente a todos los vuelos con origen y con destino a la Unión, así como dentro de esta, y que el avión se ha convertido en un medio de transporte más bien habitual, una parte significativa de los pasajeros aéreos podrían encontrarse con que sus datos personales se conservan de forma prácticamente permanente por el mero hecho de desplazarse en avión al menos dos veces cada cinco años.

80. Por último, en un plano más general, la Directiva PNR establece medidas que, consideradas en su conjunto, van dirigidas a implantar, a escala de la Unión, un sistema de vigilancia «no selectiva», es decir, que no se pone en funcionamiento en razón de una sospecha sobre una o varias personas específicas, «masiva», al ejercerse sobre los datos personales de un gran número de individuos, ( 69 ) que abarca una misma categoría de personas en su totalidad ( 70 ) y «proactiva», en la medida en que no solo va dirigida a investigar amenazas conocidas, sino también, a localizar o identificar peligros desconocidos hasta el momento. ( 71 ) Tales medidas dan lugar, por su propia naturaleza, a graves injerencias en los derechos fundamentales protegidos por los artículos 7 y 8 de la Carta, ( 72 ) relacionadas, en particular, con su finalidad preventiva y predictiva, que requiere la evaluación de datos de carácter personal relativos a amplios segmentos de la población, siendo su fin el de «identificar» a las personas que, en función del resultado de dicha evaluación, deberían quedar sujetas a un examen más exhaustivo por parte de las autoridades competentes. ( 73 ) Por otra parte, el recurso cada vez más generalizado, con fines de prevención de ciertos delitos graves, al tratamiento de grandes cantidades de datos personales de distinta índole recogidos «en bruto», así como su cruce y su tratamiento combinado, producen un «efecto acumulativo» que amplifica la gravedad de las restricciones a los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal y tiene el riesgo de favorecer un proceso de deriva gradual hacia una «sociedad de vigilancia». ( 74 )

81. Sobre la base del conjunto de consideraciones que anteceden, considero que la injerencia que implica la Directiva PNR en los derechos fundamentales protegidos por los artículos 7 y 8 de la Carta debe calificarse, cuando menos, de «grave».

82. Es bien cierto que, como sostiene, en particular, la Comisión, el conjunto de garantías y de salvaguardas establecidos por la Directiva PNR, especialmente para evitar una utilización abusiva de los datos PNR, puede reducir la intensidad o la gravedad de esas injerencias. No es menos cierto que todo régimen que prevea el acceso y el tratamiento de datos de carácter personal por parte de autoridades públicas presenta un nivel de gravedad, desde el punto de vista de la protección de los derechos fundamentales afectados, que es inherente a sus características objetivas. Este nivel de gravedad debe, a mi juicio, determinarse antes de proceder, en el marco de la apreciación de la proporcionalidad de las mencionadas injerencias, a evaluar la suficiencia y adecuación de las garantías previstas por ese régimen. Tal es, en mi opinión, la forma en que ha procedido hasta ahora el Tribunal de Justicia.

83. Para ser compatibles con la Carta, las injerencias que la Directiva PNR supone en los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal deben cumplir los requisitos enunciados en los puntos 65 y 66 de las presentes conclusiones, extremo que se examinará a continuación, ciñéndonos a los aspectos sometidos a la atención del Tribunal de Justicia por el órgano jurisdiccional remitente.

3. Sobre la justificación de la injerencia dimanante de la Directiva PNR

84. Mientras que la tercera cuestión prejudicial se refiere al cumplimiento del requisito establecido en el artículo 52, apartado 1, primera frase, de la Carta, con arreglo al cual toda injerencia en un derecho fundamental deberá ser «establecida por la ley», las cuestiones prejudiciales, segunda, cuarta, sexta y octava interrogan al Tribunal de Justicia, en particular, sobre el cumplimiento del principio de proporcionalidad, mencionado en la segunda frase de la referida disposición.

a) Sobre el cumplimiento del requisito de que cualquier limitación al ejercicio de un derecho fundamental previsto por la Carta debe estar establecida por la ley

85. Según una jurisprudencia consolidada del Tribunal de Justicia, ( 75 ) inspirada en la jurisprudencia del TEDH, ( 76 ) el requisito de que cualquier limitación del ejercicio de un derecho fundamental deba ser «establecida por la ley» no solo se refiere al origen «legal» de la injerencia —que no se cuestiona en el presente asunto—, sino que también implica que la propia base legal que permita esta injerencia debe definir su alcance de forma clara y precisa. Al referirse a la «calidad de la ley» y, por ende, a la accesibilidad y previsibilidad de la medida de que se trate, ( 77 ) este segundo aspecto comprendido en la expresión «establecida por la ley», tanto en el sentido del artículo 52, apartado 1, de la Carta como en el del su artículo 8, apartado 2, y del artículo 8 del CEDH, no solo pretende garantizar el cumplimiento del principio de legalidad y una protección adecuada frente a la arbitrariedad, ( 78 ) sino que también obedece a una exigencia de seguridad jurídica. Esta exigencia también se afirma en el Dictamen de 19 de agosto de 2016 del Comité Consultivo del Convenio 108 ( 79 ) sobre las implicaciones para la protección de datos del tratamiento de los registros de nombres de pasajeros (en lo sucesivo, «Dictamen de 19 de agosto de 2016»). ( 80 )

86. Al adoptar la Directiva PNR, el propio legislador de la Unión llevó a cabo una limitación de los derechos consagrados en los artículos 7 y 8 de la Carta. Las injerencias en dichos derechos permitidas por la referida Directiva no pueden considerarse una consecuencia de la decisión de los Estados miembros, ( 81 ) pese al margen de apreciación del que han podido gozar estos últimos a la hora de transponerla al Derecho nacional, sino que encuentran su fundamento legal en la propia Directiva PNR. En estas circunstancias, incumbía al legislador de la Unión, para atenerse a la jurisprudencia recordada en el punto 85 de las presentes conclusiones y a las «exigencias elevadas» de protección de los derechos fundamentales contenidas, en particular, en la Carta y en el CEDH, a las que se refiere el considerando 15 de la Directiva PNR, establecer reglas claras y precisas que definieran tanto el alcance como la aplicación de las medidas que supongan tales injerencias.

87. Si, mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente se interroga específicamente sobre el cumplimiento de esta obligación en relación con los puntos 12 y 18 del anexo I, el examen de las cuestiones prejudiciales segunda, cuarta y sexta, mediante las cuales dicho órgano jurisdiccional plantea dudas en cuanto al carácter necesario de las injerencias que implica la Directiva PNR en los derechos fundamentales enunciados en los artículos 7 y 8 de la Carta, también requerirá pronunciarse sobre el carácter suficientemente claro y preciso de las disposiciones de la Directiva PNR que se han puesto en tela de juicio.

88. Aunque este análisis se refiera, como he señalado en el punto 85 de las presentes conclusiones, a la legalidad de la injerencia, en el sentido del artículo 52, apartado 1, primera frase, de la Carta, lo llevaré a cabo dentro del examen de su proporcionalidad, a que se refiere la segunda frase de dicho apartado, ateniéndome al enfoque seguido tanto por el Tribunal de Justicia como por el TEDH en asuntos en los que se examinan las medidas que tienen por objeto el tratamiento de datos personales. ( 82 )

b) Sobre el respeto del contenido esencial de los derechos consagrados en los artículos 7 y 8 de la Carta

89. De acuerdo con el artículo 52, apartado 1, primera frase, de la Carta, cualquier restricción al ejercicio de los derechos fundamentales no solo debe fundamentarse en una base legal suficientemente precisa, sino también respetar el contenido esencial de dichos derechos.

90. Como se ha expuesto en el punto 66 de las presentes conclusiones, esta exigencia —que ha sido incorporada a las constituciones de diferentes Estados miembros, ( 83 ) y que, sin estar expresamente reconocida por el CEDH, está, sin embargo, muy arraigada en la jurisprudencia del TEDH— ( 84 ) aparece consagrada en el artículo 52, apartado 1, de la Carta. ( 85 ) Dicha exigencia, que fue reconocida por el Tribunal de Justicia mucho antes de ser codificada, ( 86 ) ha sido reiteradamente confirmada en la jurisprudencia de los órganos jurisdiccionales de la Unión, incluso antes de la entrada en vigor del Tratado de Lisboa.

91. Se desprende, en particular, de la sentencia de 6 de octubre de 2015, Schrems, ( 87 ) que el hecho de que un acto de la Unión no respete el contenido esencial de un derecho fundamental da lugar, automáticamente, a la nulidad o invalidez de ese acto, sin que sea preciso realizar una ponderación de los intereses en juego. De esta manera, el Tribunal de Justicia reconoce que todo derecho fundamental presenta un «núcleo duro», que garantiza a toda persona una esfera de libertad al abrigo de cualquier injerencia de parte de los poderes públicos y que no puede someterse a limitaciones, ( 88 ) ya que, de lo contrario, se cuestionarían los principios democráticos, del Estado de Derecho y del respeto a la dignidad humana que subyacen en la protección de los derechos fundamentales. Por lo demás, tanto de la redacción del artículo 52, apartado 1, de la Carta como de la jurisprudencia del Tribunal de Justicia y, especialmente, de la sentencia Schrems I se desprende que la apreciación relativa a la existencia de una injerencia en el contenido esencial del derecho fundamental de que se trate debe realizarse antes y con independencia de la evaluación de la proporcionalidad de la medida cuestionada. En otros términos, se trata de un test dotado de su propia autonomía.

92. Dicho esto, la delimitación de lo que constituye el «contenido esencial» y, por lo tanto, intocable, de un derecho fundamental susceptible de ser limitado en su ejercicio es una operación extremadamente compleja. Si, para cumplir su función, debería poder definirse este concepto en términos absolutos, habida cuenta de las características esenciales del derecho fundamental de que se trata, de los intereses subjetivos y objetivos que pretende proteger y, más en general, de su función en una sociedad democrática basada en el respeto de la dignidad humana, ( 89 ) en la práctica, tal operación resulta prácticamente imposible, al menos, si no se tienen en cuenta los criterios que suelen utilizarse en el examen de la proporcionalidad de la injerencia en el derecho de que se trate, tales como la gravedad de esta injerencia, su amplitud o dimensión temporal y, en consecuencia, si no se tienen en cuenta las especificidades del caso de que se trate.

93. Por lo que respecta, en particular, al derecho fundamental al respeto de la vida privada, es preciso tener en cuenta no solo la importancia que reviste, para la salud mental y física de cualquier individuo, para su bienestar, su autonomía, su realización personal y su capacidad de entablar y cultivar relaciones sociales, el hecho de disponer de una esfera privada en la que desarrollar lo que lleva dentro de sí, sino también la función que desempeña tal derecho para preservar otros derechos y libertades, tales como, en particular, las libertades de pensamiento, de conciencia, de religión, de expresión, de información, cuyo disfrute pleno supone el reconocimiento de una esfera de intimidad. Más en general, debe tenerse en cuenta que la función que cumple el respeto del derecho a la vida privada en una sociedad democrática. ( 90 ) Parece que, al apreciar la existencia de una lesión del contenido esencial de este derecho el Tribunal de Justicia tiene en cuenta tanto la intensidad como la extensión de la injerencia, lo cual lleva a considerar que tal menoscabo se define más cuantitativamente que cualitativamente. Así, de una parte, en la sentencia Digital Rights, el Tribunal de Justicia consideró, en esencia, que la obligación de conservar datos impuesta por la Directiva 2006/24/CE ( 91 ) no alcanzaba tal nivel de gravedad que tuviera un impacto en el contenido esencial del derecho al respecto de la vida privada, dado que no permitía «conocer el contenido de las comunicaciones electrónicas como tal». ( 92 ) De otra parte, en el Dictamen 1/15, el Tribunal de Justicia consideró, en esencia, que una limitación restringida a únicamente determinados aspectos de la vida privada de las personas afectadas no podía originar una injerencia en el contenido esencial de ese derecho fundamental. ( 93 )

94. Por lo que atañe al derecho fundamental a la protección de los datos de carácter personal, el Tribunal de Justicia parece considerar que el contenido esencial de dicho derecho queda a salvo cuando la medida que establece la injerencia circunscribe los fines del tratamiento y prevé normas que garanticen la seguridad de los datos en cuestión, en particular, contra la destrucción accidental o ilícita, pérdida accidental o alteración. ( 94 )

95. En el presente asunto, aunque el órgano jurisdiccional remitente no se ha referido expresamente al requisito de respetar el contenido esencial de los derechos consagrados en los artículos 7 y 8 de la Carta, la cuestión del respeto de ese requisito subyace, a mi juicio, en las cuestiones prejudiciales cuarta a sexta. Por esta razón, sugiero al Tribunal de Justicia que la aborde.

96. En este aspecto, deseo recordar que en el apartado 150 del Dictamen 1/15, al tiempo que se reconocía que los datos PNR «pued[en], en su caso, revelar información muy precisa sobre la vida privada de una persona» ( 95 ) y que esta información puede desvelar, directa o indirectamente, datos sensibles de la persona afectada, ( 96 ) el Tribunal de Justicia concluyó, sin embargo, en relación con el proyecto de Acuerdo PNR Canadá-UE, que, dado que «la naturaleza de esa información se limita[ba] a determinados aspectos de esa vida privada, relativos en particular a los viajes aéreos entre Canadá y la Unión», la vulneración del derecho fundamental al respeto de la vida privada no podía afectar al contenido esencial de dicho derecho.

97. Pues bien, dejando de lado el hecho de que los datos PNR a que se refiere el proyecto de Acuerdo PNR Canadá-UE debían transferirse a un tercer Estado y que su posterior tratamiento correspondía a las autoridades de ese tercero Estado en el territorio de este, las injerencias en el derecho fundamental al respeto de la vida privada que resultan del mencionado proyecto de Acuerdo y las establecidas por la Directiva PNR coinciden, en gran parte, en su naturaleza. Este es el caso, en particular, de los datos PNR a que se refiere, del carácter sistemático y generalizado de la transmisión y del tratamiento de estos datos, del carácter automático de este tratamiento, así como de la conservación de estos datos. En cambio, lo que diferencia a esos dos asuntos es, por así decirlo, el «ámbito geográfico» de dichas injerencias. En efecto, como he señalado en el punto 77 de las presentes conclusiones, los tratamientos de datos de que se trata en el presente asunto no se limitan a las conexiones aéreas con un solo tercer país, como era el caso en el Dictamen 1/15, sino que abarcan prácticamente todos los vuelos que entran y que salen de la Unión y efectuados dentro de esta. De ello se sigue que, en comparación con el proyecto de Acuerdo PNR Canadá-UE, la Directiva PNR obliga al tratamiento sistemático de un número sensiblemente más importante de pasajeros aéreos que se desplazan por avión en el interior y al exterior de la Unión. Además, debido al incremento del volumen de los datos tratados y de la frecuencia con la que se recogen, parece que su tratamiento puede proporcionar informaciones a la vez más precisas y de mayor amplitud sobre la vida privada de las personas afectadas (hábitos de viajes, relaciones personales, situaciones económicas, etc.).

98. No es menos cierto que, como ocurría en el Dictamen 1/15, estas informaciones, consideradas aisladamente, solo se refieren a algunos aspectos de la vida privada relacionados con viajes aéreos. Pues bien, habida cuenta de la necesidad de definir el concepto de «contenido esencial» de los derechos fundamentales de forma restrictiva para que este conserve su función de bastión frente a los ataques a la propia sustancia de estos derechos, considero que la conclusión a la que llegó el Tribunal de Justicia en el apartado 150 del Dictamen 1/15 puede extrapolarse el presente asunto.

99. En el Dictamen 1/15, el Tribunal de Justicia también descartó una vulneración del contenido esencial del derecho a la protección de los datos de carácter personal. ( 97 ) Considero que esta conclusión puede también extrapolarse a las circunstancias del presente asunto. En efecto, como ocurría con el proyecto de Acuerdo PNR Canadá-UE, la Directiva PNR acota, en su artículo 1, apartado 2, las finalidades del tratamiento de los datos PNR. Por otra parte, esta Directiva, al igual que los demás actos de la Unión a los que esta se remite, en particular, el RGPD y la Directiva Policía, contiene disposiciones específicas destinadas a garantizar, en particular, la seguridad, la confidencialidad y la integridad de esos datos y a protegerlos frente a los accesos y los tratamientos ilegales. Aunque no puede considerarse que una normativa como la que establece la Directiva PNR afecte al contenido esencial de los derechos fundamentales protegidos por los artículos 7 y 8 de la Carta, no es menos cierto que tal normativa debe estar sometida a un control de proporcionalidad estricto y riguroso.

c) Sobre el cumplimiento del requisito de que la injerencia debe favorecer el interés general

100. La Directiva PNR pretende, en particular, garantizar la seguridad interior de la Unión y proteger la vida y la seguridad de los ciudadanos a través de una transferencia de los datos PNR a las autoridades competentes de los Estados miembros con vistas a su utilización en el marco de la lucha contra el terrorismo y la delincuencia grave. ( 98 )

101. Más concretamente, según el artículo 1, apartado 2, de la Directiva PNR, en relación con sus considerandos 6 y 7 y con la propuesta de la Comisión que condujo a la adopción de esta Directiva (en lo sucesivo, «propuesta de Directiva PNR»), ( 99 ) en relación con este objetivo, las autoridades represivas ( 100 ) utilizan los datos PNR de diferentes maneras. Primero, estos datos se utilizan con objeto de identificar personas implicadas o sospechosas de estar implicadas en delitos de terrorismo y delitos graves ya cometidos, de reunir pruebas y, en su caso, de descubrir a los cómplices de los delincuentes y desmantelar redes delictivas (utilización en «modo reactivo»). Segundo, los datos PNR pueden evaluarse antes de la llegada o salida de los pasajeros para prevenir la comisión de un delito e identificar a personas antes no sospechosas de estar implicadas en delitos de terrorismo o en delitos graves y que, a la vista del resultado del análisis de sus datos PNR, deban ser objeto de investigación adicional por parte de las autoridades policiales (utilización en «modo real»). Por último, los datos PNR se utilizan a efectos de definir criterios de evaluación que puedan luego aplicarse a la hora de apreciar el riesgo que representan los pasajeros antes de su llegada y antes de su salida (uso en «modo proactivo»). Con ese uso proactivo de los datos PNR, los servicios represivos pueden dar respuesta a la amenaza que suponen los delitos graves y el terrorismo desde una perspectiva distinta del tratamiento de otras categorías de datos personales. ( 101 )

102. De la jurisprudencia del Tribunal de Justicia se desprende que el objetivo de protección de la seguridad pública, que abarca, en particular, la prevención, investigación, descubrimiento y persecución tanto de delitos de terrorismo como de delitos graves, constituye un objetivo de interés general de la Unión, en el sentido del artículo 52, apartado 1, de la Carta que puede justificar injerencias, incluso graves, en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta. ( 102 )

103. El Tribunal de Justicia también ha reconocido que los objetivos de protección de la seguridad pública y de lucha contra los delitos graves contribuyen a la protección de los derechos y libertades de los demás. ( 103 ) De esta forma, por lo que se refiere a la ponderación equilibrada de esos objetivos con los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta, ( 104 ) es preciso tener también en cuenta la importancia de los derechos consagrados en los artículos 3, 4, 6 y 7 de la Carta. En este sentido, si bien, en la sentencia La Quadrature du Net, el Tribunal de Justicia consideró que el artículo 6 de la Carta «no puede interpretarse en el sentido de que obliga a los poderes públicos a adoptar medidas específicas para sancionar determinados delitos», ( 105 ) en cambio, por lo que respecta, específicamente, a la lucha efectiva contra los delitos perpetrados, en particular, contra los menores y otras personas vulnerables, subrayó que tanto del artículo 7 de la Carta como de los artículos 3 y 4 de esta (en lo tocante a la protección de la integridad física y psíquica de la persona y a la prohibición de la tortura y de los tratos inhumanos o degradantes) pueden resultar obligaciones positivas que incumban a los poderes públicos, con miras a la adopción de medidas jurídicas dirigidas a proteger la vida privada y familiar. ( 106 )

104. Por último, el Tribunal de Justicia consideró que la importancia del objetivo de protección de la de la seguridad nacional supera a la de los objetivos de combatir la delincuencia en general, incluso grave, y de protección de la seguridad pública y que, por lo tanto, puede justificar medidas que supongan injerencias en los derechos fundamentales más graves que las que podrían justificar esos otros objetivos. ( 107 ) Dado que las actividades terroristas pueden constituir amenazas para la seguridad nacional de los Estados miembros, el sistema establecido por la Directiva PNR, en la medida en que sirve de instrumento de lucha contra tales actividades, participa en el objetivo de protección de la seguridad nacional de los Estados miembros.

d) Sobre el respeto del principio de proporcionalidad

105. Conforme al artículo 52, apartado 1, segunda frase, de la Carta, dentro del respeto del principio de proporcionalidad, solo podrán introducirse limitaciones al ejercicio de un derecho fundamental reconocido por esta cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás.

106. A este respecto, procede recordar que, según jurisprudencia reiterada del Tribunal de Justicia, el principio de proporcionalidad exige que los actos de las instituciones de la Unión sean adecuados para lograr los objetivos legítimos perseguidos por la normativa de que se trate y no rebasen los límites de lo que resulta apropiado y necesario para el logro de dichos objetivos. ( 108 )

107. Conforme a la jurisprudencia reiterada del Tribunal de Justicia de Justicia, la protección del derecho fundamental a la intimidad a escala de la Unión exige que las excepciones a la protección de los datos personales y las restricciones a dicha protección se establezcan sin sobrepasar los límites de lo estrictamente necesario. Además, no puede perseguirse un objetivo de interés general sin tener en cuenta que debe conciliarse con los derechos fundamentales afectados por la medida, efectuando una ponderación equilibrada entre, por una parte, el objetivo de interés general y, por otra parte, los intereses y derechos de que se trate. ( 109 ) Más concretamente, la proporcionalidad de una limitación de los derechos consagrados en los artículos 7 y 8 de la Carta debe apreciarse determinando la gravedad de la injerencia que supone esa limitación y comprobando que la importancia del objetivo de interés general perseguido por dicha limitación guarde relación con tal gravedad. ( 110 )

108. Según la jurisprudencia del Tribunal de Justicia, para cumplir el requisito de proporcionalidad, la Directiva PNR, como base legal que conlleva las injerencias en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta descritas en los puntos 70 a 83 de las presentes conclusiones, debe establecer reglas claras y precisas que regulen el alcance y la aplicación de las medidas que supongan tales injerencias e imponer unas exigencias mínimas, de modo que las personas cuyos datos se hayan transferido dispongan de garantías suficientes que permitan proteger de manera eficaz sus datos de carácter personal contra los riesgos de abuso, así como frente a cualquier acceso o uso ilícito de dichos datos. ( 111 ) La necesidad de disponer de tales garantías reviste especial importancia cuando, como en este asunto, los datos personales se someten a un tratamiento automatizado y cuando está en juego la protección de esa categoría particular de datos personales que son los datos sensibles. ( 112 )

109. Por lo que se refiere al alcance del control jurisdiccional del cumplimiento de las exigencias que se derivan del principio de proporcionalidad, debido al importante papel que