JULKISASIAMIEHEN RATKAISUEHDOTUS

GIOVANNI PITRUZZELLA

27 päivänä tammikuuta 2022 ( 1 )

Asia C-817/19

Ligue des droits humains

vastaan

Conseil des ministres

(Ennakkoratkaisupyyntö – Cour constitutionnelle (perustuslakituomioistuin, Belgia))

Ennakkoratkaisupyyntö – Henkilötietojen suoja – Matkustajarekisteritietojen (PNR) käsittely – Asetus (EU) 2016/679 – Soveltamisala – Direktiivi (EU) 2016/681 – Pätevyys – Euroopan unionin perusoikeuskirja – 7 ja 8 artikla sekä 52 artiklan 1 kohta

I Johdanto

1. Cour constitutionnelle (perustuslakituomioistuin, Belgia) esittää käsiteltävänä olevassa ennakkoratkaisupyynnössä unionin tuomioistuimelle kymmenen ennakkoratkaisukysymystä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen N:o 2016/679 (yleinen tietosuoja-asetus) ( 2 ) tulkinnasta sekä matkustajarekisteritietojen (PNR) käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/681 (jäljempänä PNR-direktiivi) ( 3 ) ja liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista 29.4.2004 annetun neuvoston direktiivin 2004/82/EY (jäljempänä API-direktiivi) ( 4 ) pätevyydestä ja tulkinnasta. Nämä kysymykset ovat nousseet esille käsiteltäessä voittoa tavoittelemattoman Ligue des droits humains ‑nimisen yhdistyksen (LDH) nostamaa kannetta, jolla vaaditaan kumoamaan kokonaan tai osittain matkustajatietojen käsittelystä 25.12.2016 annettu laki (jäljempänä PNR-laki) ( 5 ), jolla PNR-direktiivi ja API-direktiivi on saatettu osaksi Belgian lainsäädäntöä.

2. Käsiteltävässä asiassa unionin tuomioistuimen ratkaistavaksi saatetut kysymykset koskettavat yhtä nykypäivän liberaalin demokratian perusteena olevan perustuslaillisuuden keskeisistä ongelmista: miten olisi määriteltävä yksilön ja yhteisön välinen tasapaino tietoyhteiskunnassa, jossa digitaalinen teknologia antaa mahdollisuuden kerätä, säilyttää, käsitellä ja analysoida valtavia määriä henkilötietoja tiettyjä tarkoituksia varten? Aiemmin ei osattu edes kuvitella, miten tehokkaasti viranomaisten käyttämät algoritmit, massadata-analytiikka ja tekoäly voivat auttaa edistämään ja suojelemaan yhteiskunnan perustavia intressejä kansanterveyden suojelusta ympäristön kestävyyteen ja terrorismin torjunnasta rikollisuuden – erityisesti vakavan rikollisuuden – ennalta estämiseen. Samaan aikaan viranomaisten harjoittama henkilötietojen erotukseton keruu ja digitaalisen teknologian käyttö voivat saada aikaan digitaalisen panoptikonin, jossa viranomainen pystyy näkemään kaiken tulematta kuitenkaan itse nähdyksi. Kaikkitietävä vallankäyttäjä pystyy valvomaan ja ennakoimaan jok’ikisen henkilön toimintaa ja toteuttamaan tämän perusteella tarvittavat toimenpiteet, mikä voi jopa johtaa Steven Spielbergin ohjaamasta Minority Report ‑elokuvasta tuttuun paradoksiin: vapaus riistetään ennaltaehkäisevästi rikoksentekijältä, jonka rikos ei ole edes vielä toteutunut. Kuten tiedetään, joissakin maissa yhteiskunta menee yksilön edelle ja henkilötietojen käyttö antaa hyväksytysti mahdollisuuden tehokkaaseen massojen valvontaan, jolla pyritään suojelemaan perustaviksi katsottuja yleisiä etuja. Sitä vastoin eurooppalainen – niin kansallinen kuin ylikansallinen – perustuslaillisuus, jossa yksilöllä ja hänen vapauksillaan on keskeinen asema, on merkittävä este joukkovalvontayhteiskunnalle etenkin silloin, kun yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevat perusoikeudet on tunnustettu. Missä määrin tällainen este voidaan kuitenkin asettaa toimimatta vakavasti vastoin tiettyjä yhteiskunnan perustavia etuja, esimerkiksi edellä mainittuja, joilla voi kuitenkin olla yhteyksiä perustuslakiin? Tässä tullaan yksilön ja yhteisön välistä suhdetta digitaalisessa yhteiskunnassa koskevan kysymyksen ytimeen. Tämä kysymys edellyttää yhtäältä herkän tasapainon löytämistä ja aikaansaamista yhteisön etujen ja yksilöiden oikeuksien välillä, kun lähtökohtana on viimeksi mainittujen ehdoton tärkeys eurooppalaisessa valtiosääntöperinteessä, ja toisaalta suojatoimien käyttöönottoa väärinkäytöksiä vastaan. Tässäkin on kyseessä nykyversio klassisesta perustuslaillisuuden teemasta, sillä, kuten Federalistikirjoituksissa ytimekkäästi todetaan, ihmiset eivät ole enkeleitä, ja siksi oikeudellisia mekanismeja tarvitaan julkisen vallan rajoittamiseksi ja valvomiseksi.

3. Tällaisia yleisluonteisia kysymyksiä liittyy asiayhteyteen, jossa tämä ratkaisuehdotus esitetään, ja tämän ratkaisuehdotuksen tulee rajoittua unionin oikeuden tulkintaan, jossa otetaan huomioon unionin tuomioistuimen aikaisempi oikeuskäytäntö ja käytetään vakiintuneita tulkintamenetelmiä, kuten unionin oikeuden mukaista tulkintaa. Tätä menetelmää käytetään tässä ratkaisuehdotuksessa monta kertaa, silloin kun se vaikuttaa oikeudellisesti mahdolliselta, ja näin pyritään löytämään perustuslailliselta kannalta välttämätön tasapaino matkustajarekisteritietojen (jäljempänä PNR-tiedot) siirto-, keruu- ja käsittelyjärjestelmän taustalla olevien julkisen vallan tarkoitusperien sekä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7 ja 8 artiklassa vahvistettujen oikeuksien välillä.

II Asiaa koskeva lainsäädäntö

A Unionin oikeus

1. Perusoikeuskirja

4. Perusoikeuskirjan 7 artiklan mukaan ”jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan”.

5. Perusoikeuskirjan 8 artiklassa määrätään seuraavaa: ”1. Jokaisella on oikeus henkilötietojensa suojaan. 2. Tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. 3. Riippumaton viranomainen valvoo näiden sääntöjen noudattamista.”

6. Perusoikeuskirjan 52 artiklan 1 kohdan mukaan ”perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien ja vapauksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.”

2. Yleinen tietosuoja-asetus

7. Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa suljetaan kyseisen asetuksen soveltamisalan ulkopuolelle henkilötietojen käsittely, ”jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten”.

8. Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d alakohdassa säädetään seuraavaa: ”Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata: – – d) rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy”.

3. PNR-direktiivi

9. Käyn seuraavaksi vain lyhyesti läpi PNR-direktiivillä käyttöön otetun järjestelmän toiminnan. PNR-direktiivi on merkityksellinen ennakkoratkaisukysymyksiin annettavan vastauksen kannalta, ja sen säännösten sisältöä tarkastellaan yksityiskohtaisemmin oikeudellisen arvioinnin yhteydessä.

10. SEUT 82 artiklan 1 kohdan d alakohdan ja SEUT 87 artiklan 2 kohdan a alakohdan perusteella annetun PNR-direktiivin 1 artiklan mukaan PNR-direktiivillä perustetaan unionin laajuinen järjestelmä, jonka avulla lentoliikenteen harjoittajat voivat siirtää EU:n ulkopuolisten lentojen ( 6 ) PNR-tietoja ja jäsenvaltioiden toimivaltaiset viranomaiset voivat kerätä, käsitellä ja säilyttää näitä tietoja terrorismin ja vakavan rikollisuuden torjumiseksi.

11. Kyseisen direktiivin 3 artiklan 5 alakohdan mukaan ”matkustajarekisterillä” eli ”PNR:llä” tarkoitetaan ”kunkin matkustajan matkustustiedot sisältävää rekisteriä, joka sisältää kaikki ne tiedot, jotka lippuvarauksia tekevät sekä kuljetukseen osallistuvat lentoliikenteen harjoittajat tarvitsevat varausten käsittelyä ja valvontaa varten kunkin matkan osalta, jonka henkilö on varannut tai joka on varattu hänen puolestaan, riippumatta siitä, sisältyykö rekisteri varausjärjestelmään, lähtöselvitysjärjestelmään, jota käytetään lentomatkustajien lähtöselvityksen tekemiseksi, vai muuhun vastaavaan järjestelmään, jolla on samat toiminnot”.

12. PNR-direktiivin liitteessä I (jäljempänä liite I) luetellaan lentoliikenteen harjoittajien keräämät matkustajarekisteritiedot, jotka voidaan siirtää kyseisen direktiivin 8 artiklassa tarkoitetulla tavalla ja siinä säädettyjä yksityiskohtaisia sääntöjä noudattaen.

13. PNR-direktiivin liitteeseen II (jäljempänä liite II) sisältyy luettelo rikoksista, jotka kuuluvat kyseisen direktiivin 3 artiklan 9 alakohdassa tarkoitettuun ”vakavaan rikollisuuteen”.

14. PNR-direktiivin 2 artiklassa säädetään jäsenvaltioiden mahdollisuudesta päättää soveltaa kyseistä direktiiviä myös ”EU:n sisäisiin lentoihin” ( 7 ) tai sellaisiin EU:n sisäisiin lentoihin, joita jäsenvaltio pitää ”tarpeellisina” kyseisen direktiivin tavoitteiden edistämiseksi.

15. PNR-direktiivin 4 artiklan 1 kohdan mukaan ”kunkin jäsenvaltion on perustettava tai nimettävä viranomainen, jolla on terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista tai syytetoimia koskeva toimivalta, tai tällaisen viranomaisen yksikkö, toimimaan matkustajatietoyksikkönä”. Saman 4 artiklan 2 kohdan a alakohdan mukaisesti matkustajatietoyksikkö vastaa erityisesti PNR-tietojen keräämisestä lentoliikenteen harjoittajilta sekä kyseisten tietojen säilyttämisestä ja käsittelystä ja kyseisten tietojen tai niiden käsittelyn tulosten siirtämisestä PNR-direktiivin 7 artiklassa tarkoitetuille viranomaisille. Kyseisen 7 artiklan 2 kohdan mukaan näillä viranomaisilla on ”terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa tai tällaisiin rikoksiin liittyviä syytetoimia koskeva toimivalta”. ( 8 )

16. PNR-direktiivin 6 artiklan 1 kohdan toisessa virkkeessä säädetään, että ”jos lentoliikenteen harjoittajien siirtämiin PNR-tietoihin sisältyy muita kuin liitteessä I mainittuja tietoja, matkustajatietoyksikön on poistettava tällaiset tiedot välittömästi ja pysyvästi niiden vastaanottamisen jälkeen”. Kyseisen artiklan 2 kohdan sanamuoto on seuraava: ”2. Matkustajatietoyksikkö saa käsitellä PNR-tietoja vain seuraavia tarkoituksia varten: a) matkustajien arviointi ennen heidän aikataulunmukaista saapumistaan kyseiseen jäsenvaltioon tai lähtöään sieltä, jotta voidaan tunnistaa henkilöt, joista 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten ja tarvittaessa 10 artiklan nojalla myös Europolin on tehtävä lisätutkimuksia, koska he saattavat olla osallisina terrorismirikoksessa tai vakavassa rikollisuudessa; b) vastaaminen tapauskohtaisesti toimivaltaisilta viranomaisilta saatuun asianmukaisesti [perusteltuun] ja riittäviin havaintoihin [perustuvaan] pyyntöön toimittaa PNR-tietoja ja käsitellä niitä yksittäisissä tapauksissa terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten sekä tällaisen käsittelyn tulosten toimittaminen toimivaltaisille viranomaisille tai tarpeen mukaan Europolille; c) PNR-tietojen analysointi kriteereiden päivittämiseksi tai uusien määrittelemiseksi 3 kohdan b alakohdan nojalla toteutettujen arviointien suorittamista varten, jotta voidaan tunnistaa terrorismirikoksissa tai vakavassa rikollisuudessa mahdollisesti osallisina olevat henkilöt.”

17. PNR-direktiivin 12 artiklaan sisältyvät PNR-tietojen säilyttämistä koskevat säännökset.

18. PNR-direktiivin 5 artiklassa säädetään, että jokaisen matkustajatietoyksikön on nimitettävä tietosuojavastaava, joka on vastuussa PNR-tietojen käsittelyn valvonnasta ja asiaankuuluvien suojatoimien täytäntöönpanosta. Lisäksi kunkin jäsenvaltion on huolehdittava PNR-direktiivin 15 artiklan mukaisesti siitä, että puitepäätöksen 2008/977/YOS, ( 9 ) joka on korvattu luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetulla Euroopan parlamentin ja neuvoston direktiivillä (EU) 2016/680 (jäljempänä poliisidirektiivi), ( 10 ) 25 artiklassa tarkoitettu kansallinen valvontaviranomainen vastaa PNR-direktiivin nojalla annettujen säännösten soveltamisen valvonnasta omalla alueellaan. Tämän viranomaisen, joka ottaa tehtäviään hoitaessaan huomioon henkilötietojen käsittelyyn liittyvien perusoikeuksien suojelemisen, ( 11 ) on erityisesti yhtäältä käsiteltävä ja tutkittava rekisteröityjen tekemät valitukset sekä ilmoitettava rekisteröidylle asian etenemisestä sekä näiden valituksia koskevista ratkaisuistaan kohtuullisen ajan kuluessa ja toisaalta tarkastettava tietojen käsittelyn lainmukaisuus, tehtävä tutkimuksia, todentamisia ja tarkastuksia kansallisen oikeuden mukaisesti joko omasta aloitteestaan tai valituksen perusteella. ( 12 )

4. Muut asiaa koskevat unionin säädökset

19. Käsiteltävän asian oikeudellisen kehyksen täydentävät API-direktiivi ja poliisidirektiivi. Ratkaisuehdotuksen luettavuuden vuoksi käsiteltävää asiaa koskevien, kyseisiin säädöksiin sisältyvien säännösten sisältö käydään läpi vain niitä koskevien kysymysten käsittelyn tai yleisemmin oikeudellisen arvioinnin kannalta tarpeellisilta osin.

B Belgian oikeus

20. Belgian perustuslain 22 §:n mukaan ”jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä kunnioitetaan, laissa säädettyjä tapauksia ja edellytyksiä lukuun ottamatta”.

21. PNR-lain 2 §:n mukaan kyseisellä lailla saatetaan API-direktiivi ja PNR-direktiivi sekä osittain myös direktiivi 2010/65/EU ( 13 ) osaksi kansallista lainsäädäntöä.

22. PNR-lain 3 §:n 1 momentin mukaisesti kyseisessä laissa ”vahvistetaan liikenteenharjoittajien ja matkanjärjestäjien velvollisuudet, jotka koskevat sellaisten matkustajien tietojen välittämistä, joiden tarkoituksena on saapua valtion alueelle, jotka lähtevät sieltä tai jotka kulkevat sen kautta”. Kyseisen lain 4 §:n 1 ja 2 momentin mukaan ”liikenteenharjoittajalla” tarkoitetaan ”luonnollista henkilöä tai oikeushenkilöä, joka harjoittaa ammattimaisesti henkilöiden ilma-, meri-, rautatie- tai maantiekuljetuksia” ja ”matkanjärjestäjällä””matkanjärjestämis- ja matkanvälityssopimuksista 16.2.1994 annetussa laissa tarkoitettua matkan järjestänyttä tai välittänyttä toimijaa”.

23. PNR-lain 8 §:ssä säädetään seuraavaa: ”1 momentti. Matkustajatietoja käsitellään 1) rikostutkinnasta annetun lain [(Code d’instruction criminelle)] – – 90 ter §:n 2 momentin – – 7, – – 8, – – 11, – – 14, – – 17, 18 ja 19 kohdassa ja 3 momentissa tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi, mukaan lukien rangaistusten tai vapauden rajoitusta koskevien toimenpiteiden täytäntöön panemiseksi; 2) rikoslain [(Code Penal)] 196 §:ssä tarkoitettuihin virallisten ja julkisten asiakirjojen väärentämiseen liittyvien rikosten sekä rikoslain 198, 199, 199bis, 207, 213, 375 ja 505 §:ssä tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi, myös rangaistusten tai vapauden rajoitusta koskevien toimenpiteiden täytäntöön panemiseksi; 3) väkivaltaisesta radikalisoitumisesta aiheutuvien yleisen turvallisuuden vakavien häiriöiden estämiseksi seuraamalla ilmiöitä ja ryhmittymiä 5.8.1992 annetun poliisilain [(loi sur la fonction de police)] 44/5 §:n 1 momentin 2 ja 3 kohdan sekä 2 momentin mukaisesti; 4) tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetun lain [(loi organique des services de renseignement et de sécurité) ( 14 )] 7 §:n 1 ja 3/1 kohdassa sekä 11 §:n 1 momentin 1–3 kohdassa ja 5 kohdassa tarkoitetun toiminnan seuraamiseksi; 5) 18.7.1977 annetun yleisen tulli- ja valmisteverolain [(loi générale sur les douanes et accises)] 220 §:n 2 momentissa ja yleisestä valmisteverojärjestelmästä 22.12.2009 annetun lain [(loi relative au régime général d’accise)] 45 §:n 3 momentissa – – tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi. 2 momentti. Jäljempänä 11 luvussa säädetyin edellytyksin matkustajatietoja käsitellään myös ulkorajoilla suoritettavien henkilötarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi.”

24. PNR-lain 9 § sisältää luettelon siirrettävistä tiedoista. Nämä tiedot vastaavat liitteessä I lueteltuja tietoja.

25. PNR-lain 18 §:n mukaisesti ”matkustajatietoja säilytetään matkustajatietorekisterissä enintään viiden vuoden ajan niiden kirjaamisesta. Määräajan päätyttyä tiedot tuhotaan.”

26. Kyseisen lain 19 §:ssä säädetään, että ”kun kuusi kuukautta on kulunut siitä, kun matkustajatiedot on kirjattu matkustajatietorekisteriin, kaikista matkustajatiedoista erotetaan häivyttämällä henkilön tunnistamisessa auttavat tiedonosat”.

27. PNR-lain 24 §:ssä säädetään seuraavaa: ”1 momentti. Matkustajatietoja käsitellään matkustajien etukäteisarvioinnin suorittamiseksi ennen heidän saapumistaan valtion alueelle, lähtöään sieltä tai suunniteltua kauttakulkuaan valtion alueella sen selvittämiseksi, kenestä on tehtävä perusteellisempi tutkinta. 2 momentti. Edellä olevan 8 §:n 1 momentin 1, 4 ja 5 kohdassa säädettyjen tarkoitusten yhteydessä tai tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetun lain 8 §:n 1 kohdan a, b, c, d, f ja g alakohdassa ja 11 §:n 2 momentissa mainittujen uhkien yhteydessä matkustajien etukäteisarviointi perustuu positiiviseen vastaavuuteen, joka johtuu matkustajatietojen korrelaatiosta 1) tietokantojen kanssa, joita toimivaltaiset viranomaiset hallinnoitavat tai jotka ovat toimivaltaisten viranomaisten välittömästi käytettävissä tai saatavilla näiden tehtävien yhteydessä, tai henkilöluetteloiden kanssa, joita toimivaltaiset viranomaiset ovat laatineet tehtäviensä yhteydessä 2) matkustajatietoyksikön ennalta määrittämien 25 §:ssä tarkoitettujen arviointikriteerien kanssa. 3 momentti. Edellä 8 §:n 1 momentin 3 kohdassa säädettyjen tarkoitusten yhteydessä matkustajien etukäteisarviointi perustuu positiiviseen vastaavuuteen, joka johtuu matkustajatietojen korrelaatiosta 2 momentin 1 kohdassa tarkoitettujen tietokantojen kanssa. – –.”

28. PNR-lain 25 §:ssä toistetaan PNR-direktiivin 6 artiklan 4 kohdan sisältö.

29. PNR-lain 11 lukuun sisältyvät säännökset koskevat matkustajatietojen käsittelyä rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi. Näillä säännöksillä on saatettu API-direktiivi osaksi Belgian lainsäädäntöä.

30. PNR-lain 44 §:ssä säädetään, että matkustajatietoyksikön on nimitettävä tietosuojavastaava sisäministeriöön. PNR-lain säännösten soveltamista valvoo yksityisyyden suojaa käsittelevä lautakunta (Commission de la protection de la vie privée).

31. PNR-lain 51 §:llä muutettiin tiedustelu- ja turvallisuuspalveluista 30.11.1998 annettua lakia lisäämällä siihen 16/3 §, jonka sanamuoto on seuraava: ”1 momentti. Tehtäviensä täyttämiseksi tiedustelu- ja turvallisuuspalvelut voivat päättää asianmukaisesti perustellulla tavalla tutustua [PNR-lain] 7 §:ssä tarkoitettuihin matkustajatietoihin. 2 momentti. Edellä olevassa 1 momentissa tarkoitetun päätöksen tekee yksikön päällikkö, ja se annetaan kirjallisesti tiedoksi edellä mainitun lain 7 luvussa tarkoitetulle matkustajatietoyksikölle. Päätös perusteluineen annetaan tiedoksi tiedustelupalvelujen valvonnasta vastaavalle pysyvälle komitealle [(Comité permanent de contrôle des services de renseignements, Comité R)]. Tiedustelupalvelujen valvonnasta vastaava pysyvä komitea kieltää tiedustelu- ja turvallisuuspalveluita käyttämästä tietoja, joiden kerääminen ei ole tapahtunut lainsäädännön mukaisia edellytyksiä noudattaen. Päätös voi koskea kaikkia tiettyyn tutkintaan liittyviä tietoja. Tällöin luettelo matkustajatietoihin tehdyistä hauista toimitetaan kerran kuukaudessa tiedustelupalvelujen valvonnasta vastaavalle pysyvälle komitealle.”

C Pääasia, ennakkoratkaisukysymykset ja asian käsittely unionin tuomioistuimessa

32. LDH nosti 24.7.2017 Cour constitutionnellelle osoitetulla kannekirjelmällä kanteen, jossa vaadittiin PNR-lain kumoamista kokonaan tai osittain. Se esitti kanteensa tueksi kaksi kanneperustetta.

33. Ensimmäinen kanneperusteista on esitetty ensisijaisesti, ja sen mukaan Belgian perustuslain 22 §:ää, luettuna yhdessä yleisen tietosuoja-asetuksen 23 artiklan, perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan sekä ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn, Roomassa 4.11.1950 allekirjoitetun eurooppalaisen yleissopimuksen (jäljempänä Euroopan ihmisoikeussopimus) 8 artiklan kanssa, on rikottu; LDH:n mukaan riidanalainen laki ei ole suhteellisuusperiaatteen mukainen soveltamisalansa eikä siinä tarkoitettujen tietoryhmien, sen mukaisen tietojenkäsittelyn, sen tavoitteiden eikä tietojen säilytysajan osalta. LDH väittää erityisesti, että PNR-tietojen määritelmä on liian laaja ja voi johtaa arkaluonteisten tietojen paljastumiseen ja että kyseiseen lakiin sisältyvä matkustajan käsitteen määritelmä antaa mahdollisuuden kaikkien asianomaisten matkustajien tietojen järjestelmälliseen ja kohdentamattomaan käsittelyyn. Lisäksi LDH katsoo, ettei PNR-laissa määritellä riittävän selkeästi matkustajatietokantojen etukäteisseulonnan luonnetta ja siinä sovellettavia yksityiskohtaisia sääntöjä eikä myöskään uhkaindikaattoreina käytettyjä kriteereitä. LDH:n mukaan PNR-lailla ylitetään se, mikä on täysin välttämätöntä, koska sen mukaiset PNR-tietojen käsittelytarkoitukset ovat PNR-direktiivissä sallittua laajempia ja koska PNR-tietojen viiden vuoden säilytysaika on suhteeton. Toissijaisesti esittämällään toisella kanneperusteella, jonka mukaan Belgian perustuslain 22 §:ää, luettuna yhdessä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kanssa, on rikottu, LDH riitauttaa PNR-lain 11 luvun säännökset, joilla API-direktiivi on saatettu osaksi kansallista lainsäädäntöä.

34. Belgian kuningaskunnan Conseil des ministres (ministerineuvosto), joka on väliintulijana Cour constitutionnellessa, vastustaa LDH:n kannetta, ja se on riitauttanut sekä kanteen tueksi esitettyjen kahden kanneperusteen tutkittavaksi ottamisen että niiden perusteltavuuden.

35. Cour constitutionnelle esittää puolestaan seuraavat näkökohdat.

36. Ensimmäisen kanneperusteen osalta se pohtii aluksi, onko liitteessä I annettu PNR-tietojen määritelmä riittävän selkeä ja täsmällinen. Osa näistä tiedoista on kuvattu esimerkinomaisesti eikä tyhjentävästi. Ennakkoratkaisua pyytänyt tuomioistuin tuo sitten esille, että PNR-direktiivin 3 artiklan 4 alakohtaan sisältyvä matkustajan käsitteen määritelmä johtaa kaikkien matkustajaluetteloon merkittyjen henkilöiden, jotka kuljetetaan tai aiotaan kuljettaa, PNR-tietojen keräämiseen, siirtämiseen, käsittelyyn ja säilyttämiseen riippumatta siitä, onko vakavia syitä olettaa, että kyseinen henkilö on tehnyt tai aikoo tehdä rikoksen tai että hänet on tuomittu rikoksesta. Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa PNR-tietojen käsittelystä, että PNR-tiedoille tehdään järjestelmällisesti etukäteisarviointi siten, että kaikkien matkustajien PNR-tietoja verrataan tietokantoihin tai ennalta määritettyihin kriteereihin toisiaan vastaavien osumien löytämiseksi. Cour constitutionnelle täsmentää kuitenkin, että vaikka kriteerien on oltava täsmällisiä, luotettavia ja syrjimättömiä, vaikuttaa siltä, että ennalta määritettyjä kriteereitä, joiden perusteella riskiprofiileja määritetään, on teknisesti mahdotonta määritellä tarkemmin. Ennakkoratkaisua pyytänyt tuomioistuin katsoo PNR-direktiivin 12 artiklan 1 kohdassa säädetystä PNR-tietojen säilytysajasta, joka on viisi vuotta, että PNR-tietoja säilytetään riippumatta siitä, aiheutuuko asianomaisista matkustajista etukäteisarvioinnin perusteella riski yleiselle turvallisuudelle. Näissä olosuhteissa ennakkoratkaisua pyytänyt tuomioistuin pohtii, kun huomioon otetaan 21.12.2016 annettuun tuomioon Tele2 Sverige ja Watson ym. ( 15 ) sekä 26.7.2017 annettuun lausuntoon 1/15 (EU–Kanada-PNR-sopimus) ( 16 ) perustuva oikeuskäytäntö, voidaanko PNR-direktiivillä käyttöön otetun PNR-tietojen keräämistä, siirtoa, käsittelyä ja säilyttämistä koskevan järjestelmän katsoa olevan sellainen, että sillä ei ylitetä sitä, mikä on täysin välttämätöntä. Tässä yhteydessä ennakkoratkaisua pyytänyt tuomioistuin pohtii myös, onko PNR-direktiivi esteenä PNR-lain 8 §:n 1 momentin 4 kohtaan perustuvan kaltaiselle kansalliselle lainsäädännölle, jossa sallitaan PNR-tietojen käsittely muussa kuin kyseisen direktiivin mukaisessa tarkoituksessa. Se pohtii lisäksi, voidaanko matkustajatietoyksikköä pitää ”muuna kansallisena viranomaisena”, joka voi PNR-direktiivin 12 artiklan 3 kohdan b alakohdan ii alakohdan nojalla sallia kaikkien PNR-tietojen luovuttamisen kuuden kuukauden määräajan päätyttyä. Ennakkoratkaisua pyytänyt tuomioistuin tuo toisesta kanneperusteesta esille sen kohdistuvan puolestaan PNR-lain 3 §:n 1 momenttiin, 8 §:n 2 momenttiin ja 28–31 §:ään, joissa säädetään matkustajatietojen keräämisestä ja käsittelystä laittoman maahanmuuton torjumiseksi ja rajatarkastusten parantamiseksi. Se muistuttaa, että ensimmäisenä mainitun säännöksen mukaan kyseinen laki kattaa lennot, jotka saapuvat kansalliselle alueelle, lähtevät sieltä tai kulkevat sen kautta, ja se täsmentää, että kansallinen lainsäätäjä on sisällyttänyt ”EU:n sisäiset” lennot tämän lain soveltamisalaan, jotta saadaan ”täydellisempi kuva sellaisten matkustajien liikkumisesta, jotka muodostavat potentiaalisen turvallisuusuhan [unionin] sisällä ja kansallisesti”, käyttämällä mahdollisuutta, joka annetaan PNR-direktiivin 2 artiklassa, luettuna yhdessä PNR-direktiivin johdanto-osan kymmenennen perustelukappaleen kanssa.

37. Tässä tilanteessa Cour constitutionnelle on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset: ”1. Onko [yleisen tietosuoja-asetuksen] 23 artiklaa, luettuna yhdessä asetuksen 2 artiklan 2 kohdan d alakohdan kanssa, tulkittava siten, että sitä sovelletaan [PNR-lain] kaltaiseen kansalliseen lainsäädäntöön, jolla [PNR-direktiivi], [API-direktiivi] ja – – direktiivi 2010/65/EU saatetaan osaksi kansallista oikeusjärjestystä? 2. Soveltuuko – – liite I yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin liitteessä luetellut tiedot ovat hyvin laaja-alaisia – erityisesti [kyseisessä] liitteessä I olevassa 18 kohdassa tarkoitetut tiedot, joilla ylitetään [API-direktiivin] 3 artiklan 2 kohdassa tarkoitetut tiedot – ja siltä osin kuin yhdessä arvioituna kyseiset tiedot voivat paljastaa arkaluonteisia tietoja ja niillä voidaan siten rikkoa ”täysin välttämättömän” rajat? 3. Soveltuvatko – – liitteessä I olevat 12 ja 18 kohta yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin – kun otetaan huomioon ilmaisujen ”mukaan lukien” ja ”mm.” käyttö – kyseisissä kohdissa tarkoitetut tiedot mainitaan esimerkkeinä eikä tyhjentävästi, joten ei noudateta vaatimusta siitä, että sääntöjen, joilla puututaan yksityiselämän kunnioittamista koskevaan oikeuteen ja henkilötietojen suojaa koskevaan oikeuteen, on oltava täsmällisiä ja selkeitä? 4. Soveltuvatko [PNR-direktiivin] 3 artiklan 4 alakohta ja liite I yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin kyseisillä säännöksillä käyttöön otettu matkustajatietojen yleistä keräämistä, siirtämistä ja käsittelyä koskeva järjestelmä koskee kaikkia henkilöitä, jotka käyttävät kyseistä liikennevälinettä, riippumatta siitä, onko olemassa mitään objektiivista seikkaa, jonka perusteella voidaan katsoa, että kyseinen henkilö voi merkitä riskiä yleiselle turvallisuudelle? 5. Onko [PNR-direktiivin] 6 artiklaa, luettuna yhdessä – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa hyväksytään PNR-tietojen käsittelytarkoitukseksi tiedustelu- ja turvallisuuspalvelujen silmälläpitämän toiminnan seuranta, jolloin kyseinen käsittelytarkoitus on otettu osaksi terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista ja kyseisten rikosten syytetoimien mahdollistamista? 6. Soveltuuko [PNR-direktiivin] 6 artikla yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin siinä säädetään, että matkustajatiedoista suoritetaan järjestelmällisesti ja yleisesti etukäteisarviointi, jossa tietoja verrataan tietopankkeihin ja ennalta määritettyihin kriteereihin, riippumatta siitä, onko olemassa mitään objektiivista seikkaa, jonka perusteella voidaan katsoa, että kyseiset matkustajat voivat merkitä riskiä yleiselle turvallisuudelle? 7. Voidaanko [PNR-direktiivin] 12 artiklan 3 kohdassa tarkoitettua muun toimivaltaisen kansallisen viranomaisen käsitettä tulkita siten, että sillä tarkoitetaan [PNR-lailla] perustettua matkustajatietoyksikköä, joka voisi näin ollen sallia pääsyn tutustua PNR-tietoihin kuuden kuukauden määräajan päätyttyä kohdennettujen tutkimusten yhteydessä? 8. Onko [PNR-direktiivin] 12 artiklaa, luettuna yhdessä – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa säädetään yleisestä tietojen säilytysajasta, joka on viisi vuotta, tekemättä eroa sen mukaan, osoittautuvatko asianomaiset matkustajat etukäteisarvioinnissa sellaisiksi, että he voivat merkitä riskiä yleiselle turvallisuudelle, vai eivät? 9. a) Soveltuuko [API-direktiivi] yhteen [SEU] 3 artiklan 2 kohdan ja – – perusoikeuskirjan 45 artiklan kanssa siltä osin kuin direktiivissä säädettyjä velvollisuuksia sovelletaan [EU:n] sisäisiin lentoihin? b) Onko [API-direktiiviä], luettuna yhdessä [SEU] 3 artiklan 2 kohdan ja – – perusoikeuskirjan 45 artiklan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa sallitaan laittoman maahanmuuton torjumiseksi ja rajavalvonnan tehostamiseksi matkustajatietojen keräämis- ja käsittelyjärjestelmä, kun kyse on matkustajista, ”joiden tarkoituksena on saapua valtion alueelle, jotka lähtevät sieltä tai jotka kulkevat sen kautta”, mikä voi merkitä välillisesti sisärajatarkastusten ottamista uudelleen käyttöön? 10. Jos edellä esitettyihin ennakkoratkaisukysymyksiin annettujen vastausten perusteella Cour constitutionnelle katsoisi, että riidanalaisella lailla, jolla on pantu täytäntöön muun muassa [PNR-direktiivi], rikotaan yhtä tai useampaa ennakkoratkaisukysymyksissä mainittuihin määräyksiin tai säännöksiin perustuvaa velvollisuutta, voiko Cour constitutionnelle pitää väliaikaisesti voimassa [PNR-lain] vaikutukset epäselvän oikeustilan välttämiseksi ja sen mahdollistamiseksi, että aiemmin kerättyjä ja säilytettyjä tietoja voidaan edelleenkin käyttää [kyseisessä] laissa säädettyjä tarkoituksia varten?”

38. Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitettuja kirjallisia huomautuksia ovat esittäneet LDH ja Belgian, Tšekin, Tanskan, Saksan, Viron, Irlannin, Espanjan, Ranskan, Kyproksen, Latvian, Alankomaiden, Itävallan, Puolan ja Suomen hallitukset sekä Euroopan parlamentti, Euroopan unionin neuvosto ja Euroopan komissio. Euroopan unionin tuomioistuimen perussäännön 24 artiklan mukaisesti komissiota, Euroopan tietosuojavaltuutettua ja Euroopan unionin perusoikeusvirastoa (FRA) pyydettiin vastaamaan kirjallisesti unionin tuomioistuimen esittämiin kysymyksiin. Istunto asianosaisten ja muiden osapuolten kuulemiseksi pidettiin 13.7.2021.

III Oikeudellinen arviointi

A Ensimmäinen ennakkoratkaisukysymys

39. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta ensimmäisellä ennakkoratkaisukysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohtaa tulkittava siten, että kyseistä asetusta ja erityisesti sen 23 artiklan 1 kohtaa, jonka mukaan unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa tyhjentävästi luetelluin perustein kyseisessä asetuksessa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, sovelletaan PNR-lain kaltaisen kansallisen lainsäädännön, jolla on saatettu PNR-direktiivi sekä API-direktiivi ja direktiivi 2010/65 osaksi kansallista lainsäädäntöä, perusteella tapahtuvaan tietojenkäsittelyyn.

40. Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa säädetään poikkeuksista kyseisen asetuksen soveltamisalaan, sellaisena kuin se määritellään hyvin laajasti ( 17 ) kyseisen asetuksen 2 artiklan 1 kohdassa. ( 18 ) Näitä poikkeuksia on tulkittava suppeasti, koska niillä poiketaan sellaisen henkilötietojen käsittelystä annetun lainsäädännön soveltamisesta, joka voi johtaa perusvapauksien loukkaamiseen. ( 19 )

41. Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohtaan sisältyy muun muassa poissulkemislauseke, jonka mukaan kyseistä asetusta ei sovelleta henkilötietojen käsittelyyn, jota ”toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten”. Tämän poissulkemislausekkeen soveltaminen perustuu kahteen kriteeriin: henkilölliseen ja asialliseen. Kyseisen asetuksen soveltamisalan ulkopuolelle jää siten tietojenkäsittely, jota ensinnäkin suorittavat toimivaltaiset viranomaiset ja toiseksi kyseisessä säännöksessä lueteltuja tarkoituksia varten. PNR-lain soveltamisalaan kuuluvia erilaisia tietojenkäsittelyn tyyppejä on näin ollen arvioitava näiden kahden kriteerin pohjalta.

42. Ensinnäkin yleistä tietosuoja-asetusta sovelletaan edelleen tietojenkäsittelyyn, jota liikenteenharjoittajat (lento-, rautatie-, maantie- ja meriliikenteen harjoittajat) suorittavat matkustajatietoyksikköjä varten tai jota matkanjärjestäjät suorittavat PNR-laissa tarkoitettua palvelujen tarjoamista tai kaupallista tarkoitusta varten, koska kyseisen asetuksen 2 artiklan 2 kohtaan sisältyvä poissulkemisperuste ei täyty henkilöllisen kriteerin eikä asiallisen kriteerin osalta.

43. Sen sijaan toiseksi ei ole yhtä ilmeistä, kuuluuko kyseisen asetuksen soveltamisalaan liikenteenharjoittajien tai matkanjärjestäjien suorittama PNR-tietojen siirtäminen matkustajatietoyksikölle, sillä tämä siirtäminen on itsessään yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa tarkoitettua ”käsittelyä”. ( 20 )

44. Yhtäältä kyseistä siirtämistä ei ole näet tehnyt ”toimivaltainen viranomainen”, jota tarkoitetaan poliisidirektiivin 3 artiklan 7 alakohdassa, johon on viitattava analogisesti, koska kyseistä käsitettä ei ole määritelty yleisessä tietosuoja-asetuksessa. ( 21 ) Kuljetusyhtiön tai matkatoimiston kaltaista talouden toimijaa, jolla on ainoastaan lain mukainen velvollisuus siirtää henkilötietoja ja jolle ei ole annettu mitään julkisen vallan käyttöön liittyviä erioikeuksia, ( 22 ) ei voida pitää kyseisen 3 artiklan 7 alakohdan b alakohdassa tarkoitettuna elimenä tai yksikkönä. ( 23 )

45. Toisaalta kuljetusyritykset ja matkanjärjestäjät siirtävät PNR-tietoja täyttääkseen velvoitteen, josta on säädetty laissa yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa lueteltuja tarkoituksia varten.

46. Kyseisen säännöksen sanamuodosta käy nähdäkseni selvästi ilmi, että ainoastaan käsittelytoimet, jotka täyttävät sekä kyseisessä säännöksessä säädetyn poissulkemisperusteen henkilöllisen että asiallisen kriteerin, jäävät yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle. PNR-laissa kuljetusyrityksille ja matkanjärjestäjille asetettu velvoite siirtää PNR-tietoja matkustajatietoyksikölle kuuluu siis kyseisen asetuksen soveltamisalaan.

47. Tämä päätelmä saa PNR-direktiivin saattamisesta kansallisen lainsäädännön osaksi annetun PNR-lain säännösten osalta tukea PNR-direktiivin 21 artiklan 2 kohdasta, jossa säädetään, että kyseinen direktiivi ”ei rajoita lentoliikenteen harjoittajien mahdollisuutta soveltaa direktiiviä 95/46/EY ( 24 ) henkilötietojen käsittelyyn”. Erityisesti Ranskan hallituksen ehdottama kyseisen säännöksen tulkinta, jonka mukaan siinä säädetään ainoastaan, että liikenteenharjoittajiin sovelletaan edelleen yleisessä tietosuoja-asetuksessa vahvistettuja velvoitteita sellaisen tietojenkäsittelyn osalta, josta ei säädetä PNR-direktiivissä, on mielestäni hylättävä. Sanamuotonsa perusteella tämän ”rajoittamiskiellon” soveltamisala on laaja, se määritellään ainoastaan viittaamalla tietojen käsittelijään eikä siinä ole mitään mainintaa käsittelytarkoituksesta tai käsittelyn asiayhteydestä eli siitä, suoritetaanko käsittelyä lentoliikenteen harjoittajan kaupallisen toiminnan yhteydessä vai lainsäädännön velvoitteen täyttämiseksi. Huomautan lisäksi, että samansisältöinen lauseke sisältyy PNR-direktiivin 13 artiklan 3 kohtaan, jossa viitataan nimenomaisesti lentoliikenteen harjoittajille yleisen tietosuoja-asetuksen nojalla kuuluviin velvollisuuksiin ”toteuttaa asianmukaisia teknisiä ja organisatorisia toimenpiteitä henkilötietojen turvan ja luottamuksellisuuden suojelemiseksi”. Kyseinen säännös kuuluu säännöksiin, joilla järjestetään PNR-direktiivin mukaisesti käsiteltyjen henkilötietojen suoja, ja se on jatkumoa kyseisen direktiivin 13 artiklan 1 kohdalle, jossa säädetään yleisesti, että kaikessa kyseisen direktiivin mukaisessa tietojenkäsittelyssä on noudatettava kyseisessä kohdassa mainittuja puitepäätöksen 2008/977 säännöksiä. Toisin kuin Ranskan hallitus väittää, tällaisen säädösjärjestelmän perusteella kyseisen 13 artiklan 3 kohta voidaan ymmärtää yhtäältä lausekkeeksi, jossa tuodaan yleisen tietosuoja-asetuksen soveltamisalaan ainoastaan sellainen PNR-direktiivin mukainen tietojenkäsittely, jota eivät suorita poliisidirektiivissä tarkoitetut toimivaltaiset viranomaiset, ja toisaalta viittaus edellä mainitussa asetuksessa säädettyihin tietojen turvaa ja luottamuksellisuutta koskeviin velvollisuuksiin voidaan ymmärtää muistutukseksi niistä suojatoimista, joita on noudatettava liikenteenharjoittajien siirtäessä PNR-tietoja matkustajatietoyksiköille.

48. Yleisen tietosuoja-asetuksen johdanto-osan 19 perustelukappale ja poliisidirektiivin johdanto-osan 11 perustelukappale, joihin muun muassa Saksan, Irlannin ja Ranskan hallitukset viittaavat PNR-direktiivin lex specialis ‑luonteen tueksi, ei horjuta edellä tämän ratkaisuehdotuksen 46 kohdassa esitettyä päätelmää. Tältä osin on tietenkin totta, että kyseisellä direktiivillä perustetaan yleiseen tietosuoja-asetukseen nähden erillinen suojelukehys kyseisessä direktiivissä tarkoitettujen henkilötietojen käsittelyä varten. Tätä erityistä kehystä sovelletaan kuitenkin vain poliisidirektiivin 3 artiklan 7 alakohdassa tarkoitettujen toimivaltaisten viranomaisten, joihin muun muassa matkustajatietoyksiköt kuuluvat, suorittamaan PNR-tietojen käsittelyyn, kun taas PNR-tietojen siirtämisessä matkustajatietoyksiköille sovelletaan edelleen yleiseen tietosuoja-asetukseen perustuvaa yleistä kehystä muun muassa PNR-direktiivin 21 artiklan 2 kohdassa säädetyn ”rajoittamiskiellon” mukaisesti.

49. Belgian, Irlannin, Ranskan ja Kyproksen hallitukset pyrkivät tukemaan väitettään, jonka mukaan yleistä tietosuoja-asetusta ei sovelleta liikenteenharjoittajien ja matkanjärjestäjien suorittamaan PNR-tietojen siirtoon matkustajatietoyksiköille, viittaamalla 30.5.2006 annettuun tuomioon parlamentti v. neuvosto ja komissio, ( 25 ) jossa unionin tuomioistuin on todennut perustellusti, että lentoliikenteen harjoittajien suorittama PNR-tietojen siirtäminen Amerikan Yhdysvaltojen viranomaisille Yhdysvaltojen ja Euroopan yhteisön välillä neuvotellun sopimuksen yhteydessä on direktiivin 95/46 ( 26 ) 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitettua henkilötietojen käsittelyä eikä se siksi kuulu kyseisen direktiivin soveltamisalaan. Tämän päätelmän tehdessään unionin tuomioistuin otti huomioon siirtämisen tarkoituksen sekä sen, että tällainen siirto ”tapahtuu julkishallinnon asettamissa puitteissa”, vaikka tietojen keräämisestä ja siirtämisestä huolehtivat yksityiset toimijat. ( 27 )

50. Tältä osin on riittävää todeta, että unionin tuomioistuin on katsonut 6.10.2020 antamassaan tuomiossa La Quadrature du Net ym., ( 28 ) ettei tuomiota parlamentti v. neuvosto voida soveltaa yleisen tietosuoja-asetuksen yhteydessä. ( 29 )

51. Sitä paitsi unionin tuomioistuin on vahvistanut tuomion La Quadrature du Net 102 kohdassa, ( 30 ) jossa se soveltaa analogisesti tuomiossa Tele2 Sverige sekä 2.10.2018 annetussa tuomiossa Ministerio Fiscal ( 31 ) esitettyä päättelyä, että ”vaikka [yleisen tietosuoja-asetuksen] 2 artiklan 2 kohdan d alakohdassa täsmennetään, ettei sitä sovelleta käsittelyyn, jota ’toimivaltaiset viranomaiset’ suorittavat muun muassa rikosten ennalta estämistä ja paljastamista varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, saman asetuksen 23 artiklan 1 kohdan d ja h alakohdasta ilmenee, että yksityisten näihin samoihin tarkoituksiin suorittama henkilötietojen käsittely kuuluu kyseisen asetuksen soveltamisalaan”. ( 32 )

52. Edellä esitetyistä syistä olen vakuuttunut siitä, että päätelmä, jonka mukaan kuljetusyritysten ja matkanjärjestäjien suorittama PNR-tietojen siirtäminen matkustajatietoyksiköille kuuluu yleisen tietosuoja-asetuksen soveltamisalaan, ilmenee selkeästi jo yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdan sanamuodosta, sillä kyseisessä alakohdassa mainitaan vain toimivaltaisten viranomaisten suorittama käsittely, joten kyseisen asetuksen 23 artiklan 1 kohdassa olevaan rajoituslausekkeeseen viittaaminen ei ole tarpeen. ( 33 ) Tuomion La Quadrature du Net 102 kohdassa oleva toteamus on sitä paitsi unionin tuomioistuimen selkeä kannanotto tällaisen päätelmän puolesta.

53. Koska kuljetusyritysten ja matkanjärjestäjien suorittama PNR-tietojen siirtäminen kuuluu yleisen tietosuoja-asetuksen soveltamisalaan, PNR-lain kaltainen kansallinen lainsäädäntö, jolla kuljetusyritykset ja matkanjärjestäjät velvoitetaan suorittamaan tällainen siirto, on yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d alakohdan nojalla annettu ”lainsäädäntötoimenpide”, ja sen on näin ollen täytettävä kyseisessä säännöksessä säädetyt edellytykset. ( 34 )

54. Kolmanneksi matkustajatietoyksikköjen ja toimivaltaisten viranomaisten suorittaman PNR-tietojen käsittelyn osalta yleisen tietosuoja-asetuksen sovellettavuus riippuu näiden käsittelytoimien tarkoituksesta, kuten edellä esitetystä ilmenee.

55. Ensinnäkin matkustajatietoyksikön ja toimivaltaisten kansallisten viranomaisten suorittama PNR-tietojen käsittely ( 35 ) PNR-lain 8 §:n 1 momentin 1–3 kohdassa ja 5 kohdassa lueteltuja tarkoituksia varten ei näin ollen kuulu yleisen tietosuoja-asetuksen soveltamisalaan, koska kyseiset käsittelytarkoitukset vaikuttavat kuuluvan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa olevan poissulkemislausekkeen soveltamisalaan. Tällaisen käsittelyn kohteena olevien henkilötietojen suojaaminen kuuluu kansallisen lainsäädännön soveltamisalaan, sanotun kuitenkaan rajoittamatta poliisidirektiivin soveltamista ( 36 ) ja PNR-direktiivin soveltamista soveltamisalallaan.

56. Sama pätee toiseksi matkustajatietoyksikön sekä turvallisuus- ja tiedustelupalvelujen suorittamaan PNR-tietojen käsittelyyn, joka liittyy PNR-lain 8 §:n 1 momentin 4 kohdassa luetelluissa tiedustelu- ja turvallisuuspalveluista annetun lain säännöksissä tarkoitetun toiminnan seuraamiseen, mikäli tällainen käsittely vastaa yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa mainittuja tarkoituksia, mikä ennakkoratkaisua pyytäneen tuomioistuimen on arvioitava.

57. Belgian hallitus väittää, että PNR-lain 8 §:n 1 momentin 4 kohdan nojalla suoritettu tietojenkäsittely kuuluu joka tapauksessa yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa olevan poissulkemislausekkeen sekä poliisidirektiivin 2 artiklan 3 kohdan a alakohdassa olevan poissulkemislausekkeen soveltamisalaan, koska turvallisuus- ja tiedustelupalvelujen toiminta ei kuulu unionin oikeuden soveltamisalaan.

58. Korostan, ettei unionin tuomioistuimen käsiteltäväksi ole saatettu näiden säännösten tulkintaa koskevaa kysymystä, ja tuon tältä osin esille ensin, että unionin tuomioistuin on jo todennut, että kansallinen lainsäädäntö, jossa asetetaan yksityisiä toimijoita koskeva käsittelyvelvoite, kuuluu henkilötietojen suojaa koskevien unionin oikeuden säännösten ja määräysten soveltamisalaan myös silloin, kun kansallisella lainsäädännöllä pyritään kansallisen turvallisuuden takaamiseen. ( 37 ) Tästä seuraa, että liikenteenharjoittajien ja matkanjärjestäjien suorittama PNR-tietojen siirtäminen, johon ne velvoitetaan PNR-lailla, kuuluu lähtökohtaisesti yleisen tietosuoja-asetuksen soveltamisalaan myös silloin, kun se on kyseisen lain 8 §:n 1 momentin 4 kohdan mukaista.

59. Sitten tuon esille, että vaikka yleisen tietosuoja-asetuksen johdanto-osan 16 perustelukappaleessa todetaan, ettei kyseinen asetus koske ”kansallista turvallisuutta koskevia toimia”, ja vaikka poliisidirektiivin johdanto-osan 14 perustelukappaleessa todetaan, että ”kansallista turvallisuutta koskevia toimia [ja] kansallisia turvallisuuskysymyksiä käsittelevien virastojen tai yksiköiden toimia – – ei saisi pitää tämän direktiivin soveltamisalaan kuuluvina”, perusteet, joiden nojalla jäsenvaltion viranomaisen, viraston tai yksikön suorittama henkilötietojen käsittely kuuluu jommankumman edellä mainitun unionin oikeuden säädöksen, jolla järjestetään rekisteröityjen suojaaminen tällaiseen käsittelyyn nähden, soveltamisalaan tai jää sen ulkopuolelle, liittyvät loogisesti niin kyseiselle viranomaiselle, virastolle tai yksikölle annettuihin tehtäviin tai asianomaisen tietojenkäsittelyn tarkoituksiin. Unionin tuomioistuin onkin todennut, että yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdan, luettuna kyseisen asetuksen johdanto-osan 16 perustelukappaleen valossa, ”ainoana tarkoituksena on katsottava olevan sulkea mainitun asetuksen soveltamisalan ulkopuolelle sellainen henkilötietojen käsittely, jota valtion viranomaiset suorittavat sellaisen toiminnan yhteydessä, jonka tarkoituksena on kansallisen turvallisuuden turvaaminen, tai sellaisen toiminnan yhteydessä, jonka voidaan katsoa kuuluvan samaan ryhmään, joten pelkästään se seikka, että jokin toiminto on valtiolle tai viranomaiselle ominaista, ei ole riittävä, jotta kyseistä poikkeusta voitaisiin soveltaa tällaiseen toimintaan automaattisesti”. ( 38 ) Unionin tuomioistuin on täsmentänyt myös, että ”yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa tarkoitetut toiminnat, joiden tarkoituksena on kansallisen turvallisuuden turvaaminen, kattavat erityisesti – – toiminnat, joiden tarkoituksena on suojata keskeiset valtion tehtävät ja yhteiskunnan perustavanlaatuiset edut”. ( 39 ) Tästä seuraa, että jos jäsenvaltio antaa tiedustelu- ja turvallisuuspalvelulleen tehtäviä poliisidirektiivin 3 artiklan 7 alakohdan a alakohdassa luetelluilla aloilla, tiedustelu- ja turvallisuuspalvelun suorittama tietojenkäsittely näiden tehtävien hoitamiseksi kuuluu kyseisen direktiivin soveltamisalaan ja tarvittaessa myös PNR-direktiivin soveltamisalaan. Tuon yleisemmin esille, että unionin tuomioistuin on todennut toistuvasti tulkitessaan SEU 4 artiklan 2 kohtaa, johon muun muassa Belgian hallitus vetoaa, että pelkästään se, että kansallinen toimenpide on annettu kansallisen turvallisuuden suojaamiseksi, ei voi johtaa siihen, ettei unionin oikeutta sovelleta, ja vapauttaa jäsenvaltioita velvollisuudesta noudattaa unionin oikeutta, ( 40 ) mikä osoittaa unionin tuomioistuimen olevan haluton sulkemaan kansallisen turvallisuuden suojaamiseen liittyvää jäsenvaltioiden toimintaa automaattisesti kokonaan unionin oikeuden soveltamisalan ulkopuolelle.

60. Kolmanneksi on katsottava kaikkien huomautuksia esittäneiden asianomaisten osapuolten näkemysten mukaisesti – Ranskan hallituksen näkemystä lukuun ottamatta – että toimivaltaisten Belgian viranomaisten suorittama PNR-tietojen käsittely PNR-lain 8 §:n 2 momentissa mainittuja tarkoituksia varten eli ”ulkorajoilla suoritettavien henkilötarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi” ( 41 ) ei kuulu yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa olevan poissulkemislausekkeen soveltamisalaan eikä minkään muunkaan kyseisessä artiklassa säädetyn poissulkemislausekkeen soveltamisalaan, joten se kuuluu yleisen tietosuoja-asetuksen soveltamisalaan. Toisin kuin Ranskan hallitus väittää, tällaiseen tietojenkäsittelyyn ei voida soveltaa PNR-direktiiviä, jonka 1 artiklan 2 kohdassa säädetään, että ”tämän direktiivin mukaisesti kerättyjä PNR-tietoja saa käsitellä ainoastaan terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten”, eikä lähtökohtaisesti myöskään poliisidirektiiviä, jota sovelletaan sen 1 artiklan 1 kohdan mukaisesti vain toimivaltaisten viranomaisten suorittamaan henkilötietojen käsittelyyn ”rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten”. Kuten ennakkoratkaisupyynnöstä ilmenee, PNR-laki sisältää säännökset, joita sovelletaan PNR-tietojen käsittelyyn rajavalvonnan parantamista ja laittoman maahanmuuton torjumista varten, ja siinä säädetään tätä varten matkustajatietoyksikköjen suorittamasta kyseisten tietojen siirtämisestä muun muassa rajavalvonnasta vastaaville poliisiviranomaisille, ja lisäksi PNR-lain 8 §:n 2 momentilla ja 11 luvulla on saatettu API-direktiivi ja direktiivi 2010/65 osaksi Belgian lainsäädäntöä. Näillä kahdella direktiivillä velvoitetaan toimivaltaiset viranomaiset noudattamaan direktiivin 95/46 säännöksiä niissä säädettyä käsittelyä harjoittaessaan. ( 42 ) Toisin kuin Ranskan hallitus väittää, kyseisen viittauksen, joka kohdistuu viimeksi mainitun direktiivin suojaaviin säännöksiin, on katsottava käsittävän kaiken API-direktiiviin ja direktiiviin 2010/65 perustuvan henkilötietojen käsittelyn. Sillä, että API-direktiivi on annettu ennen puitepäätöksen 2008/977 voimaantuloa, ei ole tältä osin merkitystä, koska kyseinen puitepäätös koskee sen korvanneen poliisidirektiivin tavoin vain API-direktiivin 3 artiklan 1 kohdassa tarkoitettua henkilötietojen käsittelyä, jota toimivaltaiset viranomaiset suorittavat lainvalvontatarkoituksia varten. ( 43 )

61. Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa ensimmäiseen ennakkoratkaisukysymykseen siten, että yleisen tietosuoja-asetuksen 23 artiklaa, luettuna yhdessä kyseisen asetuksen 2 artiklan 2 kohdan d alakohdan kanssa, on tulkittava seuraavasti: – sitä sovelletaan kansalliseen lainsäädäntöön, jolla PNR-direktiivi on saatettu osaksi kansallista lainsäädäntöä, siltä osin kuin kyseisessä lainsäädännössä säädetään liikenteenharjoittajien ja muiden talouden toimijoiden suorittamasta PNR-tietojen käsittelystä, mukaan lukien kyseisen direktiivin 8 artiklassa tarkoitettu PNR-tietojen siirtäminen matkustajatietoyksiköille; – sitä ei sovelleta kansalliseen lainsäädäntöön, jolla PNR-direktiivi on saatettu osaksi kansallista lainsäädäntöä, siltä osin kuin siinä säädetään toimivaltaisten kansallisten viranomaisten, myös matkustajatietoyksiköiden ja soveltuvin osin asianomaisen jäsenvaltion turvallisuus- ja tiedustelupalvelujen, suorittamasta tietojen käsittelystä kyseisen direktiivin 1 artiklan 2 kohdassa säädettyjä käsittelytarkoituksia varten; – sitä sovelletaan kansalliseen lainsäädäntöön, jolla API-direktiivi ja direktiivi 2010/65 on saatettu osaksi kansallista lainsäädäntöä ulkorajoilla suoritettavien henkilötarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi.

B Toinen, kolmas, neljäs, kuudes ja kahdeksas ennakkoratkaisukysymys

62. Cour constitutionnelle tiedustelee unionin tuomioistuimelta toisella, kolmannella, neljännellä ja kuudennella ennakkoratkaisukysymyksellään PNR-direktiivin pätevyydestä perusoikeuskirjan 7 ja 8 artiklaan sekä 52 artiklan 1 kohtaan nähden. Vaikka kahdeksas ennakkoratkaisukysymys on muotoiltu tulkintakysymykseksi, silläkin pyydetään unionin tuomioistuinta lähinnä lausumaan kyseisen direktiivin pätevyydestä.

63. Nämä kysymykset koskevat PNR-direktiivillä käyttöön otetun PNR-tietojen käsittelyjärjestelmän eri osia, ja niissä pyydetään arvioimaan kunkin tällaisen osan suhteen, täyttyvätkö perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien käyttämiselle asetettujen rajoitusten lainmukaisuuden edellytykset. Toinen ja kolmas ennakkoratkaisukysymys koskevat siis liitteessä I olevaa PNR-tietojen luetteloa, neljäs PNR-direktiivin 3 artiklan 4 alakohdassa annettua matkustajan käsitteen määritelmää, kuudes PNR-tietojen käyttöä kyseisen direktiivin 6 artiklan mukaista etukäteisarviointia varten ja kahdeksas kyseisen direktiivin 12 artiklan 1 kohdan mukaista PNR-tietojen säilytysaikaa.

1. Perusoikeuskirjan 7 ja 8 artiklassa vahvistetut perusoikeudet

64. Perusoikeuskirjan 7 artiklassa taataan jokaiselle oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan. Perusoikeuskirjan 8 artiklan 1 kohdassa puolestaan tunnustetaan nimenomaisesti jokaiselle oikeus henkilötietojensa suojaan. Vakiintuneen oikeuskäytännön mukaan nämä oikeudet, jotka liittyvät kaikkeen yksilöityä tai yksilöitävissä olevaa luonnollista henkilöä koskevaan tietoon, liittyvät läheisesti toisiinsa, koska luonnollisen henkilön henkilötietoihin pääsy niiden säilyttämistä ja käyttöä varten vaikuttaa tämän henkilön yksityiselämän kunnioittamista koskevaan oikeuteen. ( 44 )

65. Perusoikeuskirjan 7 ja 8 artiklassa vahvistetut oikeudet eivät kuitenkaan vaikuta ehdottomilta, vaan ne on suhteutettava siihen tehtävään, joka niillä on yhteiskunnassa. ( 45 ) Perusoikeuskirjan 8 artiklan 2 kohdassa sallitaan siten henkilötietojen käsittely, jos tietyt edellytykset täyttyvät. Kyseisen määräyksen mukaan henkilötietojen käsittelyn on oltava ”asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla”.

66. Henkilötietojen suojaamista koskevaa oikeutta sekä yksityisyyden suojaa koskevaa oikeutta rajoitettaessa on lisäksi noudatettava perusoikeuskirjan 52 artiklan 1 kohdan määräyksiä. Tällaisesta rajoituksesta on siis säädettävä lailla sekä edellä mainittujen oikeuksien keskeistä sisältöä kunnioittaen, ja rajoitusten on oltava suhteellisuusperiaatteen mukaisesti välttämättömiä ja vastattava tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

67. Kyseisiä oikeuksia rajoittavan toimenpiteen arvioinnissa on otettava huomioon myös perusoikeuskirjan 3, 4, 6 ja 7 artiklassa vahvistettujen oikeuksien tärkeys sekä kansallisen turvallisuuden suojelua ja vakavan rikollisuuden torjuntaa koskevien tavoitteiden tärkeys, millä myötävaikutetaan muiden henkilöiden oikeuksien ja vapauksien suojeluun. ( 46 ) Perusoikeuskirjan 6 artiklassa vahvistetaan tältä osin jokaiselle oikeus paitsi vapauteen myös turvallisuuteen. ( 47 )

68. Lisäksi perusoikeuskirjan 52 artiklan 3 kohdan tarkoituksena on varmistaa tarvittava johdonmukaisuus perusoikeuskirjass vahvistettujen oikeuksien ja Euroopan ihmisoikeussopimuksessa taattujen vastaavien oikeuksien välillä, ja viimeksi mainitut oikeudet on otettava huomioon vähimmäissuojan tasona. ( 48 ) Perusoikeuskirjan 7 artiklassa vahvistettu oikeus yksityis- ja perhe-elämän kunnioittamiseen vastaa Euroopan ihmisoikeussopimuksen 8 artiklassa taattua oikeutta, ja sille on näin ollen annettava sama merkitys ja ulottuvuus. ( 49 ) Euroopan ihmisoikeustuomioistuimen oikeuskäytännöstä ilmenee, että kyseisessä artiklassa taattuihin oikeuksiin puuttuminen voidaan perustella kyseisen artiklan 2 kappaleen osalta vain, jos tällaisesta puuttumisesta säädetään laissa, sillä pyritään yhteen tai useampaan kyseisessä kappaleessa lueteltuun hyväksyttävään päämäärään ja se on demokraattisessa yhteiskunnassa välttämätön kyseisen päämäärän tai kyseisten päämäärien saavuttamiseksi. ( 50 ) Toimenpiteen on oltava myös Euroopan ihmisoikeussopimuksen johdanto-osassa nimenomaisesti mainitun ja sen 8 artiklan kohteeseen ja tavoitteeseen erottamattomasti liittyvän oikeuden ensisijaisuuden periaatteen mukainen. ( 51 )

69. Kyseiset periaatteet on otettava huomioon tarkasteltaessa Cour constitutionnellen esittämiä pätevyyden arviointia koskevia kysymyksiä.

2. Perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttuminen

70. Unionin tuomioistuin on jo todennut, että säännöksiä, joilla velvoitetaan ilmoittamaan luonnollisten henkilöiden henkilötietoja viranomaisen kaltaiselle kolmannelle tai sallitaan tällainen ilmoittaminen, on kyseessä olevien tietojen jatkokäytöstä riippumatta pidettävä silloin, kun kyseiset luonnolliset henkilöt eivät ole antaneet suostumustaan, puuttumisena heidän yksityiselämäänsä ja siten perusoikeuskirjan 7 artiklassa taatun perusoikeuden rajoittamisena, vaikka ne voitaisiinkin mahdollisesti oikeuttaa. ( 52 ) Näin on myös silloin, kun ei ole olemassa seikkoja, joiden perusteella tämä puuttuminen voitaisiin katsoa vakavaksi, eikä merkitystä ole sillä, ovatko kyseessä olevat yksityiselämään liittyvät tiedot arkaluonteisia vai eivät tai onko asianomaisille mahdollisesti aiheutunut haittaa tästä puuttumisesta. ( 53 ) Viranomaisten pääsyllä tällaisiin tietoihin puututaan myös perusoikeuskirjan 8 artiklassa taattuun henkilötietojen suojaa koskevaan perusoikeuteen, koska se merkitsee henkilötietojen käsittelyä. ( 54 ) Myös henkilön yksityiselämään liittyvien tietojen säilyttäminen tietyn ajan merkitsee sellaisenaan puuttumista perusoikeuskirjan 7 ja 8 artiklassa taattuihin oikeuksiin. ( 55 )

71. Unionin tuomioistuin on jo todennut myös, että liitteessä I lueteltujen tietojen kaltaiset PNR-tiedot sisältävät tietoja tunnistetuista luonnollisista henkilöistä eli asianomaisista lentomatkustajista ja että ne eri käsittelyt, joiden kohteena kyseiset tiedot voivat olla, vaikuttavat siten perusoikeuskirjan 7 artiklassa taattuun yksityiselämän kunnioittamista koskevaan perusoikeuteen. Nämä käsittelyt kuuluvat myös perusoikeuskirjan 8 artiklan soveltamisalaan, ja niiden on näin ollen välttämättä täytettävä kyseisessä artiklassa määrätyt tietosuojan vaatimukset. ( 56 )

72. PNR-direktiivissä sallittu PNR-tietojen käsittely ja erityisesti käsiteltävän asian kannalta merkityksellinen käsittely eli lentoliikenteen harjoittajien suorittama PNR-tietojen siirtäminen matkustajatietoyksiköille, PNR-tietojen käyttö näissä yksiköissä, PNR-tietojen myöhempi siirtäminen kyseisen direktiivin 7 artiklassa tarkoitetuille toimivaltaisille kansallisille viranomaisille ja PNR-tietojen säilyttäminen merkitsevät siis niin ikään puuttumista perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin.

73. Näiden oikeuksiin puuttumisten vakavuudesta on tuotava esille ensinnäkin, että PNR-direktiivissä säädetään kaikkien kyseisen direktiivin 3 artiklan 4 alakohdassa annetun määritelmän mukaisten, kyseisen direktiivin 3 artiklan 2 alakohdassa tarkoitetulla EU:n ulkopuolisella lennolla matkustavien lentomatkustajien PNR-tietojen järjestelmällisestä ja jatkuvasta siirtämisestä matkustajatietoyksiköille. Tällainen tietojen siirtäminen merkitsee sitä, että matkustajatietoyksiköillä on yleinen pääsy kaikkiin niille välitettyihin PNR-tietoihin. ( 57 ) Toisin kuin muutamat jäsenvaltiot ovat esillä olevan menettelyn yhteydessä väittäneet, tätä toteamusta ei kyseenalaista se seikka, että matkustajatietoyksiköillä on varsinaisesti pääsy vain niihin tietoihin, joiden osalta arviointi on tuottanut osuman, sillä kyseiset tiedot käsitellään automaattisesti. Tämä seikka ei nimittäin yhtäältä ole toistaiseksi estänyt unionin tuomioistuinta toteamasta samankaltaisten, massoittain kerättyjen tai säilytettyjen henkilötietojen automaattisten käsittelyjärjestelmien yhteydessä, että asianomaisilla viranomaisilla on yleinen pääsy kyseisiin tietoihin. Toisaalta pelkkä henkilötietojen antaminen viranomaisten käyttöön, jotta viranomaiset voivat käsitellä ja säilyttää niitä, merkitsee ensinäkemältä viranomaisten yleistä ja täydellistä pääsyä tällaisiin tietoihin ja puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin.

74. Toiseksi PNR-direktiivin 2 artiklan 1 kohdan mukaisesti jäsenvaltiot voivat päättää soveltaa kyseistä direktiiviä kyseisen direktiivin 3 artiklan 3 alakohdassa tarkoitettuihin EU:n sisäisiin lentoihin. Tuon tältä osin esille yhtäältä, ettei PNR-direktiivissä säädetä pelkästään jäsenvaltioiden mahdollisuudesta ulottaa direktiivi koskemaan EU:n sisäisiä lentoja, vaan siinä määritetään myös sekä muodolliset että aineelliset edellytykset tämän mahdollisuuden käyttämiselle ( 58 ) ja täsmennetään, että kun tätä mahdollisuutta käytetään vain joidenkin EU:n sisäisten lentojen kohdalla, lennot valittaessa on otettava huomioon kyseisen direktiivin tavoitteet. ( 59 ) Toisaalta PNR-direktiivin 2 artiklan 2 kohdassa säädetään kyseisen mahdollisuuden käyttämisen seurauksista, että jos jäsenvaltio päättää soveltaa kyseistä direktiiviä EU:n sisäisiin lentoihin, kaikkia direktiivin säännöksiä ”sovelletaan EU:n sisäisiin lentoihin ja EU:n sisäisten lentojen PNR-tietoihin ikään kuin kyseessä olisivat EU:n ulkopuoliset lennot ja EU:n ulkopuolisten lentojen PNR-tiedot”.

75. Olen näin ollen toista mieltä kuin muutamat esillä olevassa menettelyssä huomautuksia esittäneistä hallituksista: vaikka PNR-direktiivin soveltaminen EU:n sisäisiin lentoihin on jäsenvaltioiden valittavissa, oikeusperusta yksityiselämän kunnioittamista ja henkilötietojen suojaamista koskeviin oikeuksiin puuttumiselle siirrettäessä, käsiteltäessä ja säilytettäessä kyseisiin lentoihin liittyviä PNR-tietoja muodostuu PNR-direktiivistä silloin, kun tällainen valinta on tehty.

76. Kyseinen direktiivi ei koske Tanskan kuningaskuntaa, ( 60 ) joten sitä lukuun ottamatta lähes kaikki jäsenvaltiot soveltavat direktiivin säännöstöä EU:n sisäisiin lentoihin. ( 61 ) Kyseistä säännöstöä sovelletaan siis kaikkiin unioniin saapuviin ja sieltä lähteviin lentoihin sekä lähes kaikkiin unionin sisällä lennettäviin lentoihin.

77. Kolmanneksi liitteessä I luetellaan PNR-tietojen osalta 19 otsikkoa, jotka koskevat biografisia tietoja, ( 62 ) yksityiskohtaisia tietoja lentomatkasta ( 63 ) ja muita tietoja, joita kerätään lentokuljetussopimuksen yhteydessä, kuten puhelinnumero, sähköpostiosoite, maksutapaa koskevat tiedot, matkatoimisto tai matkatoimistovirkailija, matkatavaratiedot sekä yleiset huomautukset. ( 64 ) Kuten unionin tuomioistuin on todennut lausunnon 1/15 128 kohdassa ottaessaan kantaa matkustajarekisteritietojen siirtämistä ja käsittelyä koskevan Kanadan ja Euroopan unionin välisen suunnitellun sopimuksen (jäljempänä suunniteltu Kanada–EU-PNR-sopimus) liitteessä oleviin otsikkoihin, jotka oli muotoiltu suurelta osin vastaavalla tavalla kuin liitteessä I, ”vaikka jotkin PNR-tiedoista eivät erikseen tarkasteltuina näytä voivan paljastaa merkittäviä tietoja asianomaisten henkilöiden yksityiselämästä, kyseiset tiedot voivat yhdessä tarkasteltuina muun muassa paljastaa koko matkareitin, matkustustottumuksia, kahden tai useamman henkilön välisiä suhteita sekä tietoja lentomatkustajien taloudellisesta tilanteesta, heidän ravintotottumuksistaan tai heidän terveydentilastaan, ja ne voisivat jopa välittää näistä matkustajista – – arkaluonteisia tietoja”.

78. Neljänneksi PNR-direktiivin 6 artiklan mukaan lentoliikenteen harjoittajien siirtämät tiedot on tarkoitettu matkustajatietoyksikön analysoitavaksi automaattisilla välineillä järjestelmällisesti eli riippumatta siitä, viittaako mikään siihen, että rekisteröidyt saattaisivat olla osallisina terrorismirikoksissa tai vakavassa rikollisuudessa. Erityisesti kyseisen direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen matkustajien etukäteisarvioinnin yhteydessä kyseiset tiedot voidaan tarkistaa saman artiklan 3 kohdan mukaisesti vertaamalla niitä ”olennaisiin” tietokantoihin (6 artiklan 3 kohdan a alakohta) ja käsitellä ennalta määritettyjen kriteerien mukaisesti (6 artiklan 3 kohdan b alakohta). Ensin mainitun kaltainen käsittely voi tuottaa lisätietoa rekisteröityjen yksityiselämästä, ( 65 ) ja sen mukaan, mitä tietokantoja vertailussa käytetään, sen avulla voidaan jopa laatia näistä henkilöistä tarkka profiili. Näin ollen useiden hallitusten esittämä vastaväite, jonka mukaan PNR-direktiivissä annetaan pääsy vain suhteellisen pieneen henkilötietojen joukkoon, ei vastaa asianmukaisella tavalla sitä, miten laajasti kyseisellä direktiivillä on mahdollista puuttua perusoikeuskirjan 7 ja 8 artiklalla suojattuihin perusoikeuksiin siltä kannalta, miten laajaan kirjoon erilaisia tietoja direktiivin nojalla voi saada pääsyn. Jälkimmäisenä mainitun kaltaisesta PNR-direktiivin 6 artiklan 3 kohdan b alakohdan mukaisesta tietojenkäsittelystä on muistutettava, että unionin tuomioistuin on korostanut lausunnon 1/15 169 ja 172 kohdassa, että kaikenlaisiin ennalta määritettyjen kriteerien perusteella tapahtuviin analyyseihin liittyy väistämättä tietty virhemarginaali ja erityisesti jonkin verran ”vääriä positiivisia” tuloksia. Komission vuoden 2020 kertomukseen liitettyyn komission yksiköiden valmisteluasiakirjaan ( 66 ) (jäljempänä vuoden 2020 valmisteluasiakirja) sisältyvien tilastotietojen mukaan PNR-direktiivin 6 artiklan 5 kohdan mukaisen yksittäin suoritetun tarkastuksen jälkeen virheellisiksi osoittautuneiden osumien määrä on melko huomattava: vuosina 2018 ja 2019 virheellisen osuman oli tuottanut vähintään viisi henkilöä kuudesta tunnistetusta henkilöstä. ( 67 )

79. Viidenneksi PNR-direktiivin 12 artiklan 1 kohdan mukaisesti PNR-tietoja säilytetään matkustajatietoyksikön tietokannassa viiden vuoden ajan sen jälkeen, kun ne on toimitettu sen jäsenvaltion matkustajatietoyksikölle, jonka alueelle lento laskeutui tai jonka alueelta se lähti. PNR-direktiivillä annetaan näin mahdollisuus pitää tietoja lentomatkustajien yksityiselämästä käytettävissä erityisen pitkän ajan. ( 68 ) Lisäksi koska PNR-tietojen siirtäminen koskee lähes kaikkia unionista lähteviä ja sinne saapuvia lentoja sekä unionin sisäisiä lentoja ja koska lentokoneesta on tullut pikemminkin tavanomainen liikenneväline, henkilötietoja voidaan säilyttää huomattavan suuresta osasta lentomatkustajia käytännössä pysyvästi pelkästään siksi, että nämä tekevät vähintään kaksi lentomatkaa viiden vuoden välein.

80. Yleisesti on vielä todettava, että PNR-direktiivissä säädetään toimenpiteistä, joilla kokonaisuutena tarkastellen otetaan unionin tasolla käyttöön valvontajärjestelmä, joka on kohdentamaton, eli se ei käynnisty yhteen tai useampaan yksittäiseen henkilöön kohdistuvan epäilyn perusteella; joka on massiivinen, eli käsiteltävät henkilötiedot kuuluvat valtavalle määrälle yksittäisiä ihmisiä ( 69 ) ja ne kattavat yhden ihmisryhmän kokonaan, ( 70 ) ja joka on ennakoiva, koska tiedossa olevien uhkien tutkimisen lisäksi sillä pyritään löytämään tai tunnistamaan myös toistaiseksi tuntemattomia uhkia. ( 71 ) Tällaiset toimenpiteet johtavat jo luonteensa puolesta siihen, että perusoikeuskirjan 7 ja 8 artiklalla suojattuihin perusoikeuksiin puututaan vakavalla tavalla ( 72 ) erityisesti siksi, että toimenpiteiden ennaltaehkäisevä ja ennakoiva tavoite edellyttää laajoihin väestönosiin liittyvien henkilötietojen arviointia, jonka tarkoituksena on tunnistaa henkilöt, jotka toimivaltaisten viranomaisten olisi tutkittava kyseisen arvioinnin tuloksen perusteella tarkemmin. ( 73 ) Lisäksi kun massoittain kerättyjen erilaisten henkilötietojen suurimittaista käsittelyä sekä tietojen vertailua ja yhdistettyä käsittelyä käytetään yhä yleisemmin tietyntyyppisen vakavan rikollisuuden estämiseen, saadaan aikaan kerrannaisvaikutus, joka lisää yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien perusoikeuksien rajoittamisen vakavuutta ja saattaa suosia ajautumista vähitellen kohti valvontayhteiskuntaa. ( 74 )

81. Kaikkien edellä esitettyjen seikkojen perusteella katson, että PNR-direktiivillä puututaan perusoikeuskirjan 7 ja 8 artiklalla suojattuihin perusoikeuksiin vähintäänkin vakavana pidettävällä tavalla.

82. Kuten erityisesti komissio esittää, on totta, että kaikilla PNR-direktiivissä säädetyillä takeilla ja suojatoimilla, joilla pyritään erityisesti estämään PNR-tietojen väärinkäyttö, voidaan vähentää näihin oikeuksiin puuttumisen laajuutta tai vakavuutta. Kaikkiin säännöstöihin, joiden mukaan viranomaiset voivat päästä henkilötietoihin ja käsitellä niitä, liittyy asiaankuuluvien perusoikeuksien suojelemisen näkökulmasta tietynasteinen vakavuus, joka johtuu näiden säännöstöjen objektiivisista ominaispiirteistä. Tämä vakavuuden aste on nähdäkseni määritettävä, ennen kuin ryhdytään arvioimaan kyseisten oikeuksiin puuttumisten oikeasuhtaisuuden tarkastelun yhteydessä sitä, ovatko kyseisen säännöstön mukaiset suojatoimet riittäviä ja asianmukaisia. Näin unionin tuomioistuin vaikuttaa tähän asti menetelleen.

83. Jotta PNR-direktiivistä johtuva puuttuminen yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin olisi yhteensopivaa perusoikeuskirjan kanssa, on edellä tämän ratkaisuehdotuksen 65 ja 66 kohdassa esille otettujen edellytysten täytyttävä, ja näiden edellytysten täyttymistä tutkitaan jäljempänä ennakkoratkaisua pyytäneen tuomioistuimen unionin tuomioistuimen tietoon saattamien näkökohtien rajoissa.

3. PNR-direktiivistä johtuvan oikeuksiin puuttumisen oikeuttaminen

84. Kolmas ennakkoratkaisukysymys koskee perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisessä virkkeessä asetettua edellytystä, jonka mukaan perusoikeuksia voidaan rajoittaa ainoastaan lailla, ja toisessa, neljännessä, kuudennessa ja kahdeksannessa ennakkoratkaisukysymyksessä unionin tuomioistuimelta tiedustellaan erityisesti kyseisen määräyksen toisessa virkkeessä tarkoitetun suhteellisuusperiaatteen noudattamisesta.

a) Sen edellytyksen täyttyminen, että perusoikeuskirjassa vahvistetun oikeuden käyttämistä voidaan rajoittaa ainoastaan lailla

85. Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä ( 75 ) vaikutteita saaneen unionin tuomioistuimen vakiintuneen oikeuskäytännön ( 76 ) mukaan edellytys, jonka mukaan perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla, tarkoittaa paitsi sitä, että oikeuksiin puuttumisella on oltava lainsäädännöllinen alkuperä (jota käsiteltävässä asiassa ei ole), myös sitä, että oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä selkeästi ja täsmällisesti kyseisen puuttumisen laajuus. Tämä jälkimmäinen puoli liittyy ”lain laatuun” ja siten kyseessä olevan toimenpiteen saatavuuteen ja ennakoitavuuteen, ( 77 ) se kattaa ilmauksen ”laissa säädetty” niin perusoikeuskirjan 52 artiklan 1 kohdassa ja perusoikeuskirjan 8 artiklan 2 kohdassa kuin Euroopan ihmisoikeussopimuksen 8 artiklassa tarkoitetussa merkityksessä ja sillä pyritään varmistamaan laillisuusperiaatteen noudattaminen ja riittävä suoja mielivaltaa vastaan, ( 78 ) ja lisäksi sillä täytetään oikeusvarmuutta koskeva pakottava vaatimus. Tämä edellytys mainitaan myös matkustajarekisteritietojen käsittelyn vaikutuksista tietosuojaan 19.8.2016 annetussa yleissopimuksen N:o 108 nojalla perustetun neuvoa-antavan komitean ( 79 ) lausunnossa (jäljempänä 19.8.2016 annettu lausunto). ( 80 )

86. PNR-direktiivin antaessaan unionin lainsäätäjä on rajoittanut itse perusoikeuskirjan 7 ja 8 artiklassa vahvistettuja oikeuksia. Kyseisessä direktiivissä säädetyn mukaista näihin oikeuksiin puuttumista ei siis voida pitää jäsenvaltioiden valinnan seurauksena, ( 81 ) vaikka jäsenvaltiot ovat voineet käyttää harkintavaltaa saattaessaan direktiivin osaksi kansallista lainsäädäntöään, vaan oikeuksiin puuttumisen oikeusperustana on itse PNR-direktiivi. Näin ollen unionin lainsäätäjän on säädettävä selkeitä ja täsmällisiä sääntöjä, joissa määritellään niiden toimenpiteiden laajuus ja soveltamisala, joissa säädetään oikeuksiin puuttumisesta, jotta se noudattaisi edellä tämän ratkaisuehdotuksen 85 kohdassa mainittua oikeuskäytäntöä sekä erityisesti perusoikeuskirjan ja Euroopan ihmisoikeussopimuksen, joihin viitataan PNR-direktiivin johdanto-osan 15 perustelukappaleessa, mukaista perusoikeuksien suojan korkeaa tasoa.

87. Vaikka ennakkoratkaisua pyytänyt tuomioistuin pohtii kolmannessa ennakkoratkaisukysymyksessään nimenomaisesti kyseisen velvoitteen noudattamista liitteessä I olevien 12 ja 18 kohdan osalta, tarkasteltaessa toista, neljättä ja kuudetta ennakkoratkaisukysymystä, joissa ennakkoratkaisua pyytänyt tuomioistuin epäilee PNR-direktiivin mukaisen perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen välttämättömyyttä, on otettava kantaa myös siihen, ovatko kyseiset PNR-direktiivin säännökset riittävän selkeitä ja täsmällisiä.

88. Kuten olen todennut edellä tämän ratkaisuehdotuksen 85 kohdassa, vaikka kyseinen arviointi koskee oikeuksiin puuttumisen laillisuutta perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisessä virkkeessä tarkoitetulla tavalla, teen tämän arvioinnin tarkastellessani saman kohdan toisessa virkkeessä tarkoitettua oikeuksiin puuttumisen oikeasuhteisuutta noudattaen samaa lähestymistapaa, jota sekä unionin tuomioistuin että Euroopan ihmisoikeustuomioistuin ovat noudattaneet asioissa, joissa on ollut kyse henkilötietojen käsittelyä koskevista toimenpiteistä. ( 82 )

b) Perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien keskesen sisällön kunnioittaminen

89. Perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisen virkkeen mukaisesti perusoikeuksien käyttämistä koskevilla rajoituksilla on oltava riittävän täsmällinen oikeusperusta, ja lisäksi niiden on kunnioitettava perusoikeuksien keskeistä sisältöä.

90. Kuten olen tuonut esille edellä tämän ratkaisuehdotuksen 66 kohdassa, kyseinen edellytys, joka sisältyy useiden eri jäsenvaltioiden perustuslakeihin ( 83 ) ja joka on vakiintunut Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön, ( 84 ) vaikkei sitä tunnustetakaan nimenomaisesti Euroopan ihmisoikeussopimuksessa, on kirjattu perusoikeuskirjan 52 artiklan 1 kohtaan. ( 85 ) Unionin tuomioistuin on tunnustanut tämän edellytyksen jo paljon ennen sen kirjaamista lainsäädäntöön, ( 86 ) ja se on vahvistettu toistuvasti unionin tuomioistuinten oikeuskäytännössä myös Lissabonin sopimuksen voimaantulon jälkeen.

91. Erityisesti 6.10.2015 annetusta tuomiosta Schrems ( 87 ) ilmenee, että se, ettei unionin säädös kunnioita perusoikeuden keskeistä sisältöä, johtaa automaattisesti kyseisen säädöksen mitättömyyteen tai pätemättömyyteen ilman, että kyseessä olevia etuja tarvitsee punnita. Unionin tuomioistuin myöntää siis, että jokaisella perusoikeudella on ”tiivis ydin”, jolla taataan jokaiselle tietty vapauden vyöhyke, johon viranomaiset eivät voi puuttua ja jota ei voida rajoittaa ( 88 ) ilman, että perusoikeuksien suojaamisen taustalla olevat demokratian, oikeusvaltion ja ihmisarvon kunnioittamisen periaatteet kyseenalaistetaan. Lisäksi sekä perusoikeuskirjan 52 artiklan 1 kohdan sanamuodosta että unionin tuomioistuimen oikeuskäytännöstä ja erityisesti tuomiosta Schrems I ilmenee, että kyseessä olevan perusoikeuden keskeiseen sisältöön puuttumista koskeva arviointi on toteutettava ennen riitautetun toimenpiteen oikeasuhteisuuden arviointia ja tästä arvioinnista riippumatta. Kyseessä on toisin sanoen itsenäinen arviointi.

92. Näin ollen on erittäin hankalaa määrittää, mikä muodostaa perusoikeuden, jonka käyttämistä voidaan rajoittaa, keskeisen ja siten koskemattoman sisällön. Vaikka tämä käsite pitäisi pystyä määrittelemään tyhjentävästi, jotta se voisi täyttää tehtävänsä, kun huomioon otetaan kyseessä olevan perusoikeuden keskeiset ominaispiirteet, sillä suojatut subjektiiviset ja objektiiviset intressit sekä yleisemmin sen tehtävä ihmisarvon kunnioittamiseen perustuvassa demokraattisessa yhteiskunnassa, ( 89 ) käytännössä tällainen määrittäminen osoittautuu lähes mahdottomaksi, ainakin jos huomioon ei oteta kyseessä olevaan oikeuteen puuttumisen oikeasuhteisuuden tarkastelussa tavanomaisesti käytettyjä arviointiperusteita, kuten puuttumisen vakavuutta, laajuutta tai ajallista ulottuvuutta, ja siten ottamatta huomioon kunkin yksittäistapauksen erityispiirteitä.

93. Yksityiselämän kunnioittamista koskevan perusoikeuden kohdalla on otettava erityisesti huomioon paitsi sen tärkeys jokaisen henkilön psyykkiselle ja fyysiselle terveydelle, hyvinvoinnille, itsemääräämisoikeudelle, henkilökohtaiselle kukoistukselle, kyvylle solmia ja ylläpitää sosiaalisia suhteita ja mahdollisuudelle säilyttää yksityisyys, jonka suojissa pystyy kehittämään sisimpäänsä, myös kyseisen oikeuden rooli muiden oikeuksien ja vapauksien, kuten ajatuksen-, omantunnon-, uskonnon- ja sananvapauden sekä tiedon vastaanottamisen ja välittämisen vapauden turvaamisessa, sillä näiden oikeuksien ja vapauksien täysimääräinen käyttäminen edellyttää yksityisyyden piirin tunnustamista. Yleisemmin on otettava huomioon se tehtävä, joka yksityiselämän kunnioittamista koskevalla oikeudella on demokraattisessa yhteiskunnassa. ( 90 ) Unionin tuomioistuin vaikuttaa ottavan kyseisen oikeuden keskeiseen sisältöön puuttumista arvioidessaan huomioon sekä tämän puuttumisen intensiteetin että laajuuden, minkä perusteella voidaan ajatella, että oikeuden loukkaaminen määritellään pikemmin kvantitatiivisesti kuin kvalitatiivisesti. Unionin tuomioistuin on siten katsonut yhtäältä tuomiossa Digital Rights, että direktiivissä 2006/24/EY ( 91 ) edellytetty tietojen säilyttämisvelvollisuus ei ole niin vakavaa, että se vaikuttaisi yksityiselämän kunnioittamista koskevan perusoikeuden keskeiseen sisältöön, sillä siinä ei sallita ”tiedon saamista sähköisen viestinnän sisällöstä sellaisenaan”. ( 92 ) Toisaalta unionin tuomioistuin on todennut lausunnossa 1/15, että rajoitus, joka ulottuu ainoastaan asianomaisen henkilön yksityiselämän tiettyihin näkökohtiin, ei ole puuttumista kyseisen perusoikeuden keskeiseen sisältöön. ( 93 )

94. Unionin tuomioistuin vaikuttaa katsovan, että henkilötietojen suojaamista koskevan perusoikeuden keskeinen sisältö säilyy, kun toimenpiteessä, jolla kyseiseen oikeuteen puututaan, rajataan käsittelyn tarkoitukset ja säädetään säännöistä, joilla varmistetaan asianomaisten tietojen tietoturva erityisesti tahattomalta tai laittomalta tuhoamiselta sekä tahattomalta kadottamiselta tai muuttamiselta suojaamiseksi. ( 94 )

95. Vaikka ennakkoratkaisua pyytänyt tuomioistuin ei ole ottanut käsiteltävässä asiassa nimenomaisesti esille perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien keskeisen sisällön kunnioittamista koskevaa edellytystä, tämän edellytyksen täyttymistä koskeva kysymys piilee nähdäkseni neljännen ja kuudennen ennakkoratkaisukysymyksen taustalla. Tästä syystä ehdotan, että unionin tuomioistuin tarkastelee sitä.

96. Muistutan tältä osin, että myöntäessään lausunnon 1/15 150 kohdassa, että ”PNR-tiedot voivat tarvittaessa paljastaa erittäin tarkkoja tietoja henkilön yksityiselämästä” ( 95 ) ja että nämä tiedot voivat paljastaa suoraan tai välillisesti arkaluonteisia tietoja rekisteröidystä, ( 96 ) unionin tuomioistuin toteaa kuitenkin suunnitellun Kanada–EU-PNR-sopimuksen osalta, ettei yksityiselämän kunnioittamista koskevan perusoikeuden rajoittaminen vaikuta kyseisen oikeuden keskeiseen sisältöön, koska ”näiden tietojen luonne rajoittuu tiettyihin yksityiselämän näkökohtiin, jotka koskevat erityisesti lentomatkoja Kanadan ja unionin välillä”.

97. Lukuun ottamatta sitä, että suunnitellussa Kanada–EU-PNR-sopimuksessa tarkoitetut PNR-tiedot oli tarkoitus siirtää kolmanteen valtioon, minkä jälkeen niiden jatkokäsittelyn suorittaisivat kyseisen kolmannen valtion viranomaiset omalla alueellaan, kyseisestä suunnitellusta sopimuksesta ja PNR-direktiivin säännöksistä johtuvat yksityiselämän kunnioittamista koskevaan perusoikeuteen puuttumiset vastaavat luonteensa puolesta suurelta osin toisiaan. Tämä koskee erityisesti kyseessä olevia PNR-tietoja, näiden tietojen siirtämisen ja käsittelyn järjestelmällisyyttä ja yleisyyttä sekä käsittelyn automaattista luonnetta ja näiden tietojen säilyttämistä. Nämä kaksi eroavat sitä vastoin toisistaan oikeuteen puuttumisen ”maantieteelliseltä kattavuudelta”. Kuten olen tuonut esille edellä tämän ratkaisuehdotuksen 77 kohdassa, käsiteltävässä asiassa kyseessä olevien tietojen käsittely ei rajoitu nimittäin lentoyhteyksiin yhden ainoan kolmannen maan kanssa, kuten lausunnon 1/15 kohdalla, vaan se koskee lähes kaikkia unioniin saapuvia ja sieltä lähteviä sekä unionin sisällä lennettäviä lentoja. Tästä seuraa, että suunniteltuun Kanada–EU-PNR-sopimukseen verrattuna PNR-direktiivissä edellytetään järjestelmällistä tietojen käsittelyä EU:n sisäisillä ja EU:n ulkopuolisilla lennoilla huomattavasti suurempien matkustajamäärien osalta. Kun huomioon otetaan käsiteltyjen tietojen määrä sekä tietojen keräämisen tiheys, niiden käsittely tuottaa lisäksi todennäköisesti paljon enemmän ja paljon yksityiskohtaisempia tietoja rekisteröityjen yksityiselämästä (kuten matkustustottumuksista, ihmissuhteista ja taloudellisesta tilanteesta).

98. Kuten lausunnon 1/15 kohdalla, nämä tiedot koskevat erikseen tarkasteltuina vain tiettyjä lentomatkustamiseen liittyviä yksityiselämän näkökohtia. Kun otetaan huomioon, että perusoikeuksien keskeisen sisällön käsite on määritettävä suppeasti, jotta se suojaisi edelleen kyseisten oikeuksien keskeiseen sisältöön puuttumiselta, unionin tuomioistuimen lausunnon 1/15 150 kohdassa tekemää päätelmää voidaan mielestäni soveltaa käsiteltävässä asiassa.

99. Unionin tuomioistuin toteaa lausunnossa 1/15 myös, ettei henkilötietojen suojaamista koskevan oikeuden keskeiseen sisältöön puututa. ( 97 ) Tätä päätelmää voidaan nähdäkseni soveltaa myös käsiteltävän asian olosuhteissa. Kuten suunnitellussa Kanada–EU-PNR-sopimuksessa, myös PNR-direktiivin 1 artiklan 2 kohdassa rajataan nimittäin PNR-tietojen käsittelyn tarkoitukset. Lisäksi kyseisessä direktiivissä ja muissa unionin säädöksissä, joihin direktiivissä viitataan – erityisesti yleisessä tietosuoja-asetuksessa ja poliisidirektiivissä – on erillisiä säännöksiä, joilla on tarkoitus varmistaa erityisesti kyseisten tietojen luottamuksellisuus ja eheys sekä suojata niitä laittomalta pääsyltä ja käsittelyltä. Vaikka PNR-direktiivissä säädetyn kaltaisen säännöstön ei voida katsoa vaikuttavan perusoikeuskirjan 7 ja 8 artiklassa suojattujen perusoikeuksien keskeiseen sisältöön, sen oikeasuhteisuus on tutkittava huolellisesti ja täsmällisesti.

c) Sen edellytyksen täyttyminen, että oikeuteen puuttumisella on oltava yleisen edun mukainen tavoite

100. PNR-direktiivin tavoitteena on muun muassa varmistaa unionin sisäinen turvallisuus ja suojella ihmisten elämää ja turvallisuutta siirtämällä PNR-tietoja jäsenvaltioiden toimivaltaisille viranomaisille niiden käyttämiseksi terrorismin ja vakavan rikollisuuden torjunnassa. ( 98 )

101. PNR-direktiivin 1 artiklan 2 kohdasta, luettuna yhdessä direktiivin johdanto-osan kuudennen ja seitsemännen perustelukappaleen kanssa, sekä komission ehdotuksesta, joka johti kyseisen direktiivin antamiseen (jäljempänä ehdotus PNR-direktiiviksi), ( 99 ) ilmenee erityisesti, että lainvalvontaviranomaiset ( 100 ) käyttävät PNR-tietoja tällaisen tavoitteen yhteydessä monin eri tavoin. Ensinnäkin näitä tietoja käytetään niiden henkilöiden tunnistamiseksi, jotka ovat olleet tai joiden epäillään olleen osallisina jo tehtyihin terrorismirikoksiin tai jo tapahtuneeseen vakavaan rikollisuuteen, sekä todisteiden keräämiseksi ja tarvittaessa rikoskumppanien löytämiseksi ja rikollisverkostojen hajottamiseksi (”reaktiivinen käyttö”). Toiseksi PNR-tietoja voidaan arvioida ennen matkustajien saapumista tai lähtöä rikoksen tekemisen estämiseksi ja sellaisten henkilöiden tunnistamiseksi, joita ei ole aiemmin epäilty osallisuudesta terrorismirikoksiin tai vakavaan rikollisuuteen ja joita lainvalvontaviranomaisten olisi tämän arvioinnin tulosten perusteella tutkittava tarkemmin (”reaaliaikainen käyttö”). PNR-tietoja käytetään vielä niiden arviointiperusteiden määrittelyyn, joita voidaan soveltaa arvioitaessa matkustajista aiheutuvaa riskiä ennen heidän saapumistaan ja lähtöään (”ennakoiva käyttö”). PNR-tietojen ennakoivan käytön avulla lainvalvontaviranomaisten pitäisi pystyä torjumaan vakavasta rikollisuudesta ja terrorismista aiheutuvaa uhkaa eri näkökulmasta verrattuna siihen, mitä henkilötietojen muiden luokkien käsittelyllä voidaan tehdä. ( 101 )

102. Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että oikeusvarmuuden turvaamisen tavoite, joka kattaa muun muassa sekä terrorismirikosten että vakavaan rikollisuuteen kuuluvien rikosten ehkäisemisen, tutkinnan, selvittämisen ja syyteharkinnan, on perusoikeuskirjan 52 artiklan 1 kohdassa tarkoitettu unionin yleistä etua koskeva tavoite, joka voi oikeuttaa puuttumisen perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin vakavallakin tavalla. ( 102 )

103. Unionin tuomioistuin on myöntänyt myös, että yleisen turvallisuuden suojaamisen ja vakavan rikollisuuden torjumisen tavoitteet myötävaikuttavat muiden henkilöiden oikeuksien ja vapauksien suojeluun. ( 103 ) Näitä tavoitteita sekä perusoikeuskirjan 7 ja 8 artiklassa vahvistettuja perusoikeuksia ( 104 ) punnittaessa on näin ollen pidettävä mielessä myös perusoikeuskirjan 3, 4, 6 ja 7 artiklassa vahvistettujen oikeuksien tärkeys. Tältä osin on todettava, että vaikka unionin tuomioistuin on katsonut tuomiossa La Quadrature du Net, ettei perusoikeuskirjan 6 artiklaa ”voida tulkita siten, että siinä asetettaisiin viranomaisille velvollisuus ryhtyä erityisiin toimenpiteisiin tietyistä rikoksista rankaisemiseksi”, ( 105 ) unionin tuomioistuin on sitä vastoin korostanut, kun on ollut kyse erityisesti alaikäisiin ja muihin heikossa asemassa oleviin henkilöihin kohdistuvien rikosten tehokkaasta torjunnasta, että viranomaisia koskevia toimintavelvollisuuksia sellaisten oikeudellisten toimenpiteiden toteuttamiseksi, joilla suojataan yksityis- ja perhe-elämää, voi seurata sekä perusoikeuskirjan 7 artiklasta että perusoikeuskirjan 3 ja 4 artiklasta, joissa on kyse jokaisen ruumiillisen ja henkisen koskemattomuuden suojaamisesta ja kidutuksen sekä epäinhimillisen tai halventavan kohtelun kiellosta. ( 106 )

104. Unionin tuomioistuin on todennut vielä, että kansallisen turvallisuuden takaamista koskeva tavoite on tärkeämpi kuin rikollisuuden, jopa vakavan rikollisuuden, torjumista yleensä ja yleisen turvallisuuden suojaamista koskevat tavoitteet ja että kansallisen turvallisuuden takaamista koskevalla tavoitteella voidaan näin ollen oikeuttaa toimenpiteitä, joilla puututaan perusoikeuksiin vakavammin kuin toimenpiteillä, jotka voitaisiin oikeuttaa näillä muilla tavoitteilla. ( 107 ) Koska terrorismi voi uhata jäsenvaltioiden kansallista turvallisuutta, PNR-direktiivillä käyttöön otettu järjestelmä myötävaikuttaa jäsenvaltioiden kansallisen turvallisuuden takaamista koskevaan tavoitteeseen, koska sen avulla torjutaan kyseistä toimintaa.

d) Suhteellisuusperiaatteen noudattaminen

105. Perusoikeuskirjan 52 artiklan 1 kohdan toisessa virkkeessä määrätään, että suhteellisuusperiaatteen mukaisesti perusoikeuskirjassa tunnustetun perusoikeuden käyttämiselle voidaan asettaa rajoituksia ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

106. Tästä on muistutettava, että suhteellisuusperiaate edellyttää unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan, että kyseessä olevan säännöstön legitiimit tavoitteet ovat toteutettavissa unionin toimielinten säädöksillä, päätöksillä ja muilla toimilla ja että niillä ei ylitetä niitä rajoja, jotka johtuvat siitä, mikä on tarpeellista näiden tavoitteiden toteuttamiseksi ja tähän soveltuvaa. ( 108 )

107. Yksityiselämän kunnioittamista koskevan perusoikeuden suojeleminen edellyttää unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaisesti, että poikkeukset henkilötietojen suojaan ja tätä koskevat rajoitukset toteutetaan täysin välttämättömän rajoissa. Yleisen edun mukaiseen tavoitteeseen ei myöskään voida pyrkiä ottamatta huomioon sitä, että se on sovitettava yhteen niiden perusoikeuksien kanssa, joita toimenpide koskee, saattamalla yleisen edun mukainen tavoite ja kyseessä olevat oikeudet keskenään harmoniseen tasapainoon. ( 109 ) Perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien rajoittamisen oikeasuhteisuutta on arvioitava erityisesti mittaamalla tällaiseen rajoittamiseen sisältyvän puuttumisen vakavuus ja tarkastamalla, että kyseisen rajoituksen yleisen edun mukaisen tavoitteen tärkeys on suhteessa tähän vakavuuteen. ( 110 )

108. Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että oikeasuhteisuutta koskevan edellytyksen täyttämiseksi PNR-direktiivissä, joka muodostaa edellä tämän ratkaisuehdotuksen 70–83 kohdassa kuvattuihin, perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen oikeusperustan, on säädettävä selvistä ja täsmällisistä kyseisen toimenpiteen laajuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden tietoja on säilytetty, on riittävät takeet, joiden avulla voidaan tehokkaasti suojata heidän henkilötietonsa väärinkäytön vaaroja vastaan sekä kaikenlaista näiden tietojen laitonta saantia ja käyttöä vastaan. ( 111 ) Tarve tällaisista takeista on tärkeä varsinkin silloin, kun – kuten käsiteltävässä asiassa – henkilötietoja käsitellään automaattisesti ja kun on suojattava henkilötietojen erityiskategoriaa eli arkaluonteisia tietoja. ( 112 )

109. Suhteellisuusperiaatteesta johtuvien vaatimusten täyttymistä koskevan tuomioistuinvalvonnan laajuuden osalta on todettava, että kun huomioon otetaan henkilötietojen suojan tärkeä rooli yksityiselämän kunnioittamista koskevan perusoikeuden kannalta ja näihin oikeuksiin puuttuminen PNR-direktiivillä, on unionin lainsäätäjän harkintavalta pieni, joten tämän valvonnan on oltava tarkkaa. ( 113 )

1) PNR-direktiivin mukaisen PNR-tietojen käsittelyn soveltuvuus tavoitteeseen

110. Unionin tuomioistuin vahvistaa lausunnon 1/15 153 kohdassa suunnitellun Kanada–EU-PNR-sopimuksen osalta, että PNR-tietojen siirron Kanadaan ja niiden jatkokäsittelyn voidaan katsoa soveltuvan suunnitellun sopimuksen tavoitteen, yleisen turvallisuuden suojaamisen, toteutumisen varmistamiseen. Tämä soveltuminen tavoitteeseen on myönnetty jo kauan sitten sekä unionissa että maailmanlaajuisesti, ( 114 ) eikä sitä voida nähdäkseni kyseenalaistaa, kun kyseessä on PNR-tietojen kerääminen ja jatkokäsittely niin EU:n ulkopuolisilla kuin EU:n sisäisillä lennoilla. ( 115 )

111. Näin ollen PNR-direktiivillä käyttöön otetun PNR-tietojen käsittelyjärjestelmän tehokkuus voidaan arvioida varsinaisesti ainoastaan tarkastelemalla sen soveltamisen tuloksia. ( 116 ) Tältä kannalta on oleellista arvioida tätä tehokkuutta jatkuvasti mahdollisimman täsmällisten ja luotettavien tilastotietojen perusteella. ( 117 ) Komission olisi toteutettava tässä yhteydessä säännöllisin väliajoin vastaavanlainen uudelleentarkastelu kuin se, josta säädetään PNR-direktiivin 19 artiklassa.

2) Onko oikeuksiin puuttuminen täysin välttämätöntä?

112. Vaikka Cour constitutionnelle ei ole esittänyt nimenomaisesti epäilevänsä sitä, ovatko PNR-direktiiviin sisältyvät PNR-tietojen käsittelytarkoitusten rajaamista koskevat säännöt selkeitä, täsmällisiä ja täysin välttämättömiä, ( 118 ) kyseisen direktiivin mukaisen järjestelmän oikeasuhteisuuden arvioinnissa, jota ennakkoratkaisua pyytänyt tuomioistuin pyytää, on mielestäni tarkasteltava tätä kysymystä. ( 119 )

i) PNR-tietojen käsittelytarkoitusten rajaaminen

113. Niiden tarkoitusten rajaaminen selkeästi, joita varten toimivaltaiset viranomaiset pääsevät henkilötietoihin ja voivat jatkokäyttää niitä, on olennainen edellytys kaikille järjestelmille, joissa käsitellään tietoja erityisesti lainvalvontatarkoituksissa. Tämän edellytyksen on lisäksi täytyttävä, jotta unionin tuomioistuin voi arvioida kyseessä olevien toimenpiteiden oikeasuhteisuutta, kun se vertailee oikeuksiin puuttumisen vakavuutta ja oikeuskäytännössään vahvistetun tavoitteen tärkeyttä. ( 120 )

114. Unionin tuomioistuin on korostanut yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevia perusoikeuksia rajoittavien toimenpiteiden tarkoitusten selkeää rajaamista erityisesti tuomiossa Digital Rights, jossa se toteaa direktiivin 2006/24 olevan pätemätön. Se huomauttaa kyseisen tuomion 60 kohdassa, ettei kyseisessä direktiivissä säädetty ”objektiivisesta perusteesta, jonka nojalla voitaisiin rajoittaa toimivaltaisten kansallisten viranomaisten oikeutta saada tietoja ja käyttää niitä myöhemmin sellaisten rikosten estämiseen, selvittämiseen tai syyteharkintaan, jotka voidaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen laajuuden ja vakavuuden yhteydessä katsoa riittävän vakaviksi, jotta ne oikeuttavat tällaisen puuttumisen”, ja että asianomaisen direktiivin 1 artiklan 1 kohdassa tyydytään päinvastoin ”viittaamaan yleisesti kunkin jäsenvaltion kansallisessa lainsäädännössä vakavaksi rikollisuudeksi määriteltyyn rikollisuuteen”.

115. PNR-direktiivin 1 artiklan 2 kohdassa säädetään tarkoitusten yleisestä rajaamisesta siten, että ”tämän direktiivin mukaisesti kerättyjä PNR-tietoja saa käsitellä vain terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten”. Toisin kuin direktiivissä 2006/24, PNR-direktiivissä ei kuitenkaan tyydytä pelkästään tähän, vaan sen 3 artiklan 8 ja 9 alakohdassa määritellään sekä terrorismirikosten että vakavan rikollisuuden käsitteet, joista ensin mainitun osalta viitataan terrorismin torjumisesta 13.6.2002 tehdyn neuvoston puitepäätöksen 2002/475/YOS (EYVL 2002, L 164, s. 3; korvattu direktiivillä (EU) 2017/541 ( 121 )) 1–4 artiklaan, ja jälkimmäisen käsitteen osalta luetellaan yhtäältä liitteessä II tätä käsitettä vastaavat rikokset ja määritetään toisaalta vakavuuden kynnysarvo tällaisista rikoksista määrättävän vankeusrangaistuksen tai turvaamistoimenpiteen enimmäiskeston perusteella.

116. Vaikka viittaamalla direktiivin 2017/541 merkityksellisiin säännöksiin voidaan luonnehtia riittävän selvästi ja täsmällisesti ne teot, joita voidaan pitää PNR-direktiivin 3 artiklan 8 alakohdassa tarkoitettuina terrorismirikoksina, ja arvioida näiden tekojen vakavuutta, jotta kyseisellä direktiivillä tavoitellun, yleisen turvallisuuden suojelemista koskevan tavoitteen tärkeys ja kyseisestä direktiivistä johtuvan, perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen vakavuus saadaan tasapainotettua keskenään, samaa päätelmää ei voida tehdä yhtä ilmeisesti kaikkien liitteessä II lueteltujen rikosten kohdalla.

117. Unionin tuomioistuin on todennut lausunnon 1/15 177 kohdassa, että suunnitellussa Kanada–EU-PNR-sopimuksessa määritellään käsitteen ”vakava kansainvälinen rikollisuus” osalta selvästi ja täsmällisesti asianomaisten rikosten vakavuuden aste ja määrätään, että näistä rikoksista voidaan ”tuomita enimmäisrangaistuksena vähintään neljä vuotta vankeutta tai ankarampi rangaistus” viittaamalla ”Kanadan lainsäädännössä määriteltyihin rikoksiin”, sekä mainitaan ”ne eri tapaukset, joissa rikos katsotaan luonteeltaan kansainväliseksi”.

118. Unionin tuomioistuimen kyseisessä lausunnossa tarkastelemaan lainsäädäntöön nähden PNR-direktiivissä annetussa kyseessä olevien rikosten määritelmässä ei oteta ensinnäkään huomioon rikosten kansainvälisyyttä; toiseksi siinä säädetään tyhjentävä luettelo rikoksista, joita pidetään luonteensa puolesta vakavaan rikollisuuteen kuuluvina edellyttäen, että kyseisen direktiivin 3 artiklan 9 alakohdan mukainen enimmäisrangaistuksen vähimmäiskynnysarvo täyttyy, ja kolmanneksi siinä madalletaan lähtökohtaisesti vakavaksi katsottavan rajaa ottamalla käyttöön enimmäisrangaistuksen kestoon perustuva kriteeri ja vahvistamalla kynnysarvoksi kolme vuotta.

119. Kansainväliseen luonteeseen perustuvan rajaamiskriteerin puuttumisesta on todettava ensinnäkin olevan tosin totta, että PNR-direktiivin asiallisen soveltamisalan rajaaminen pelkästään vakavaan rajatylittävään rikollisuuteen olisi antanut mahdollisuuden kohdentaa toimet rikoksiin, joilla voi olla luonteensa puolesta ainakin potentiaalisesti objektiivinen yhteys lentomatkustajiin ja siten PNR-direktiivin mukaisesti kerättyjen ja käsiteltyjen tietojen eri ryhmiin. ( 122 ) Yhdyn kuitenkin lähtökohtaisesti komission esittämään näkemykseen, jonka mukaan toisin kuin kansainvälisen sopimuksen yhteydessä, tällaisen kriteerin merkitys ja välttämättömyys ei ole yhtä ilmeistä, kun rikollisuuden torjumiseksi annetulla säädöksellä tavoitellaan unionin sisäisen turvallisuuden suojelemista. Lisäksi kuten komissio edelleen toteaa, rajatylittävien piirteiden puuttuminen ei anna sellaisenaan aihetta todeta, ettei kyseessä ole vakava rikos.

120. Toiseksi kyseessä olevien rikosten vakavaksi luonnehtimisen kynnysarvon määrittävä kriteeri, jota on tulkittava vakavuuden etukäteisarvioinnin toteuttamiseksi siten, että sillä tarkoitetaan asianomaisesta rikoksesta lain mukaan määrättävän vankeusrangaistuksen tai turvaamistoimenpiteen enimmäiskestoa eikä yksittäistapauksessa varsinaisesti määrätyn rangaistuksen kestoa, ei ole itsessään soveltumaton määrittämään vakavuuden riittävää tasoa, jolla voidaan oikeuttaa perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttuminen PNR-direktiivin mukaisella tietojenkäsittelyllä, vaikka se perustuu enimmäisrangaistuksen vähimmäiskestoon eikä pienimpään mahdolliseen vähimmäisrangaistukseen. Sitä on kuitenkin tulkittava nähdäkseni kriteerinä, jolla määritetään vakavuuden vähimmäistaso. Vaikka tällainen kriteeri estää jäsenvaltioita pitämästä niitä liitteessä II lueteltuja rikoksia vakavana rikollisuutena, joista kansallisen rikoslainsäädännön mukaisesti määrättävän vankeusrangaistuksen tai turvaamistoimenpiteen enimmäiskesto on alle kolme vuotta, se ei kuitenkaan velvoita jäsenvaltioita katsomaan tällaisiksi rikoksiksi automaattisesti kaikkia rikoksia, jotka voivat sisältyä liitteeseen II ja joista voidaan määrätä PNR-direktiivin 3 artiklan 9 alakohdan mukaiseen kynnysarvoon yltävä rangaistus, jos tämä johtaisi asianomaisen rikosoikeusjärjestelmän erityispiirteet huomioon ottaen PNR-direktiivin mukaisen järjestelmän käyttöön tavanomaisen rikollisuuden estämistä, paljastamista, tutkintaa ja sii