JULKISASIAMIEHEN RATKAISUEHDOTUS

PHILIPPE LÉGER

22 päivänä marraskuuta 2005 1( )









Sisällys





I Asian taustaa

II Näitä kahta asiaa koskevat oikeussäännöt

A Sopimus Euroopan unionista

B Euroopan yhteisön perustamissopimus

C Henkilötietojen suojaa koskeva eurooppaoikeus

III Riidanalaiset päätökset

A Suojan riittävää tasoa koskeva päätös

B Neuvoston päätös

IV Parlamentin näissä kahdessa asiassa esittämät kanneperusteet

V Kanne, jolla pyritään suojan riittävää tasoa koskevan päätöksen kumoamiseen (asia C‑318/04)

A Kanneperuste, jonka mukaan komissio on ylittänyt toimivaltansa tehdessään suojan riittävää tasoa koskevan päätöksen

1. Asianosaisten lausumat

2. Arviointi

B Perusoikeuksien ja suhteellisuusperiaatteen loukkaamiseen perustuvat kanneperusteet

VI Kanne, jolla pyritään neuvoston päätöksen kumoamiseen (asia C-317/04)

A Kanneperuste, jonka mukaan EY 95 artikla on virheellisesti valittu neuvoston päätöksen oikeudelliseksi perustaksi

1. Asianosaisten lausumat

2. Arviointi

B Kanneperuste, jonka mukaan EY 300 artiklan 3 kohdan toista alakohtaa on rikottu direktiiviin 95/46 aiheutuvan muutoksen vuoksi

1. Asianosaisten lausumat

2. Arviointi

C Henkilötietojen suojaa koskevan oikeuden ja suhteellisuusperiaatteen loukkaamiseen perustuvat kanneperusteet

1. Asianosaisten lausumat

2. Arviointi

a) Yksityisyyteen puuttumisen olemassaolo

b) Yksityisyyteen puuttumisen oikeutus

i) Onko puuttuminen laissa sallittu?

ii) Tavoitellaanko puuttumisella oikeutettua päämäärää?

iii) Onko puuttuminen demokraattisessa yhteiskunnassa välttämätöntä kyseisen päämäärän saavuttamiseksi?

D Kanneperuste, jonka mukaan neuvoston päätös on puutteellisesti perusteltu

E Kanneperuste, jonka mukaan EY 10 artiklassa määrättyä lojaalia yhteistyötä koskevaa periaatetta on loukattu

VII Oikeudenkäyntikulut

VIII Ratkaisuehdotus

Asia C‑317/04

Euroopan parlamentti

vastaan

Euroopan unionin neuvosto

Yksilöiden suojelu henkilötietojen käsittelyssä – Kumoamiskanne – Neuvoston päätös 2004/496/EY – PNR‑tietojen (Passenger Name Records) käsittelemistä ja siirtämistä koskeva Euroopan yhteisön ja Amerikan yhdysvaltojen välinen sopimus

Asia C‑318/04

Euroopan parlamentti

vastaan

Euroopan yhteisöjen komissio

Kumoamiskanne – Yhdysvaltojen tulli- ja rajavartiolaitokselle toimitettavien lentomatkustajia koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta tehty komission päätös 2004/535/EY – Direktiivi 95/46/EY





1. Euroopan parlamentti on nostanut Euroopan yhteisöjen tuomioistuimessa kaksi kumoamiskannetta EY 230 artiklan nojalla. Asiassa C‑317/04, parlamentti vastaan neuvosto, kanteella pyritään kumoamaan lentoyhtiöiden PNR‑tietojen käsittelemistä ja siirtämistä Yhdysvaltojen sisäisen turvallisuuden ministeriön alaiselle tulli- ja rajavalvontalaitokselle koskevan Euroopan yhteisön ja Amerikan yhdysvaltojen välisen sopimuksen tekemisestä 17 päivänä toukokuuta 2004 tehty neuvoston päätös.( ) Asiassa C‑318/04, parlamentti vastaan komissio, parlamentti vaatii kumoamaan Yhdysvaltojen tulli- ja rajavartiolaitokselle toimitettavien lentomatkustajia koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta 14 päivänä toukokuuta 2004 tehdyn komission päätöksen.( )

2. Näissä kahdessa asiassa pyydetään yhteisöjen tuomioistuinta ottamaan kantaa problematiikkaan, joka liittyy lentomatkustajien henkilötietojen suojaan silloin, kun niiden siirtoa ja käsittelyä kolmannessa maassa, tässä tapauksessa Yhdysvalloissa,( ) perustellaan pakottavilla vaatimuksilla, jotka johtuvat yleisestä turvallisuudesta ja kuuluvat rikosoikeuden alaan, kuten terrorismin ja muiden vakavien rikosten estäminen ja torjunta.

3. Näiden kahden asian perustana on tapahtumasarja, joka on jo nyt selostettava. Esitän sen jälkeen yksityiskohtaisesti asioita koskevat oikeussäännöt.

I Asian taustaa

4. Heti 11.9.2001 tapahtuneiden terroristi-iskujen jälkeen Yhdysvalloissa hyväksyttiin lainsäädäntö, jonka mukaan lentoyhtiöiden, jotka harjoittavat lentoliikennettä Yhdysvalloista tai Yhdysvaltoihin, on tarjottava Yhdysvaltojen tulliviranomaisille sähköinen pääsy tietoihin, jotka sisältyvät niiden automaattisiin varaus‑ ja valvontajärjestelmiin ja joista käytetään nimitystä ”Passenger Name Records” (jäljempänä PNR).( ) Samalla kun Euroopan yhteisöjen komissio tunnusti, että kyseessä olevat turvallisuusintressit ovat oikeutettuja, se ilmoitti Yhdysvaltojen viranomaisille jo kesäkuussa 2002, että kyseiset säännökset saattoivat olla ristiriidassa henkilötietojen suojaa koskevan yhteisön ja jäsenvaltioiden lainsäädännön kanssa sekä tietokonepohjaisten paikanvarausjärjestelmien (TPJ)( ) käytöstä annetun asetuksen tiettyjen säännösten kanssa. Yhdysvaltojen viranomaiset ovat lykänneet uusien säännösten voimaantuloa, mutta kieltäytyneet luopumasta sanktioiden asettamisesta lentoyhtiöille, jotka eivät noudattaisi mainittuja säännöksiä 5.3.2003 jälkeen. Siitä lähtien useat jäsenvaltioihin sijoittautuneet suuret lentoyhtiöt ovat tarjonneet Yhdysvaltojen viranomaisille pääsyn PNR‑tietoihinsa.

5. Komissio aloitti Yhdysvaltojen viranomaisten kanssa neuvottelut, jotka antoivat aihetta CBP:n sitoumukset sisältävän asiakirjan laatimiseen silmällä pitäen tehtävää komission päätöstä, jonka tarkoituksena oli todeta Yhdysvaltojen tarjoaman henkilötietojen suojan riittävä taso yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY( ) 25 artiklan 6 kohdan perusteella.

6. Direktiivin 29 artiklan mukaisesti perustettu tietosuojatyöryhmä( ) antoi 13.6.2003 lausuntonsa, jossa se esitti epäilyjä kyseisillä sitoumuksilla taatusta suojan tasosta suunniteltujen tietojen käsittelyjen osalta.( ) Se on toistanut epäilynsä 29.1.2004 päivätyssä toisessa lausunnossa.( )

7. Komissio saattoi 1.3.2004 parlamentin käsiteltäväksi luonnoksen suojan riittävää tasoa koskevaksi päätökseksi, jonka liitteenä oli luonnos CBP:n sitoumuksiksi.

8. Komissio toimitti 17.3.2004 parlamentille EY 300 artiklan 3 kohdan ensimmäisen alakohdan mukaisesti ehdotuksen Euroopan unionin neuvoston päätökseksi sopimuksen tekemisestä yhteisön ja Yhdysvaltojen välillä parlamentin lausunnon saamiseksi. Neuvosto pyysi 25.3.2004 päivätyssä kirjeessään parlamentin työjärjestyksen 112 artiklassa (josta on sittemmin tullut 134 artikla) tarkoitettuun kiireellisyysmenettelyyn viitaten parlamentin lausuntoa tästä ehdotuksesta viimeistään 22.4.2004 mennessä. Kirjeessään neuvosto korostaa, että ”terrorismin torjunta, joka oikeuttaa ehdotetut toimenpiteet, on Euroopan unionin tärkeä tavoite. Tällä hetkellä lentoyhtiöt ja matkustajat ovat epävarmassa tilanteessa, joka on korjattava kiireellisesti. Lisäksi on tärkeää suojella asianomaisten tahojen taloudellisia etuja”.

9. Parlamentti hyväksyi 31.3.2004 menettelystä komissiolle siirrettyä täytäntöönpanovaltaa käytettäessä 28.6.1999 tehdyn neuvoston päätöksen( ) 8 artiklan mukaisesti päätöslauselman, jossa esitetään tiettyjä oikeudellisia varauksia tämän lähestymistavan suhteen. Parlamentti katsoi erityisesti, että luonnoksessa suojan riittävää tasoa koskevaksi päätökseksi ylitettiin direktiivin 95/46 25 artiklalla komissiolle annettu toimivalta. Se vaati sellaisen asianmukaisen kansainvälisen sopimuksen tekemistä, jossa kunnioitetaan perusoikeuksia, ja pyysi komissiota esittämään sille uuden päätösluonnoksen. Lisäksi se varasi itselleen oikeuden pyytää yhteisöjen tuomioistuinta tutkimaan suunnitellun kansainvälisen sopimuksen laillisuuden ja erityisesti sen yhteensoveltuvuuden yksityisyyden kunnioittamista koskevan oikeuden suojan kanssa.

10. Parlamentti vahvisti 21.4.2004 puhemiehensä kehotuksesta oikeus‑ ja sisämarkkina-asioiden valiokunnan suosituksen, jonka tarkoituksena oli pyytää EY 300 artiklan 6 kohdan mukaisesti yhteisöjen tuomioistuimelta lausunto siitä, oliko suunniteltu sopimus sopusoinnussa perustamissopimuksen kanssa, mikä menettely aloitettiin samana päivänä. Parlamentti päätti lisäksi samana päivänä neuvoston päätösehdotusta koskevan kertomuksen lähettämisestä valiokuntaan ja hylkäsi siis tässä vaiheessa implisiittisesti neuvoston 25.3.2004 päivätyn kiireellistä käsittelyä koskevan pyynnön.

11. Neuvosto lähetti 28.4.2004 parlamentille kirjeen nojautuen EY 300 artiklan 3 kohdan ensimmäiseen alakohtaan ja pyysi tätä antamaan lausuntonsa sopimuksen tekemisestä ennen 5.5.2004. Neuvosto toisti 25.3.2004 päivätyssä kirjeessään mainitut syyt kiireellisyyden perustelemiseksi.( )

12. Yhteisöjen tuomioistuimen kirjaamo ilmoitti 30.4.2004 parlamentille, että yhteisöjen tuomioistuin oli vahvistanut jäsenvaltioiden, neuvoston ja komission huomautusten esittämisen määräajaksi 4.6.2004 lausuntopyynnön 1/04 osalta.

13. Parlamentti hylkäsi 4.5.2004 kiireellistä käsittelyä koskevan pyynnön, jonka neuvosto oli sille esittänyt 28.4.2004.( ) Kaksi päivää myöhemmin parlamentin puhemies pyysi, että neuvosto ja komissio eivät jatkaisi hankkeitaan niin kauan kuin yhteisöjen tuomioistuin ei olisi antanut lausuntoa, jota oli pyydetty 21.4.2004.

14. Komissio teki 14.5.2004 päätöksen Yhdysvaltojen tulli‑ ja rajavartiolaitokselle toimitettavien lentomatkustajia koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta direktiivin 95/46 25 artiklan 6 kohdan mukaisesti.

15. Neuvosto teki 17.5.2004 päätöksen lentoyhtiöiden PNR‑tietojen käsittelemistä ja siirtämistä CBP:lle koskevan yhteisön ja Yhdysvaltojen välisen sopimuksen tekemisestä.

16. Parlamentti ilmoitti 9.7.2004 päivätyllä kirjeellään yhteisöjen tuomioistuimelle lausuntopyyntönsä 1/04 peruuttamisesta.( ) Tämän jälkeen se päätti saattaa tuomioistuimen ratkaistavaksi erimielisyydet, joita sillä oli neuvoston ja komission kanssa.

II Näitä kahta asiaa koskevat oikeussäännöt

A Sopimus Euroopan unionista

17. Euroopan unionista tehdyn sopimuksen 6 artiklassa määrätään seuraavaa:

”1. Unioni perustuu jäsenvaltioille yhteisiin vapauden, kansanvallan, ihmisoikeuksien ja perusvapauksien kunnioittamisen sekä oikeusvaltion periaatteisiin.

2. Unioni pitää arvossa yhteisön oikeuden yleisinä periaatteina perusoikeuksia, sellaisina kuin ne taataan ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä, Roomassa 4 päivänä marraskuuta 1950 allekirjoitetussa Euroopan yleissopimuksessa ja sellaisina kuin ne ilmenevät jäsenvaltioiden yhteisessä valtiosääntöperinteessä.

– – ”

B Euroopan yhteisön perustamissopimus

18. EY 95 artiklan 1 kohdassa määrätään seuraavaa:

”Poiketen siitä, mitä 94 artiklassa määrätään, ja jollei tässä sopimuksessa toisin määrätä, 14 artiklassa tarkoitettujen tavoitteiden toteuttamiseksi sovelletaan seuraavia määräyksiä. Neuvosto toteuttaa 251 artiklassa määrättyä menettelyä noudattaen ja talous‑ ja sosiaalikomiteaa kuultuaan sisämarkkinoiden toteuttamista ja toimintaa koskevat toimenpiteet jäsenvaltioiden lakien, asetusten ja hallinnollisten määräysten lähentämiseksi.”

19. Yhteisön kansainvälisten sopimusten tekomenettelystä määrätään EY 300 artiklan 2 kohdan ensimmäisen alakohdan ensimmäisessä virkkeessä, että ”jollei komission toimivallasta näissä asioissa muuta johdu, sopimuksen allekirjoittamisesta – – sekä sopimusten tekemisestä päättää neuvosto määräenemmistöllä komission ehdotuksesta”.

20. EY 300 artiklan 3 kohdan sanamuoto on seuraava:

”Neuvosto tekee sopimukset Euroopan parlamenttia kuultuaan, 133 artiklan 3 kohdassa tarkoitettuja sopimuksia lukuun ottamatta, sopimukset aloilla, joilla sisäiset säännöt annetaan 251 tai 252 artiklassa määrättyä menettelyä noudattaen, mukaan luettuina. Euroopan parlamentti antaa lausuntonsa määräajassa, jonka neuvosto voi asettaa asian kiireellisyyden mukaan. Jos lausuntoa ei anneta määräajassa, neuvosto voi tehdä ratkaisunsa.

Poiketen siitä, mitä edellisessä alakohdassa määrätään, 310 artiklassa tarkoitetut sopimukset, sopimukset, joissa määrätään erityisistä toimielinjärjestelmistä järjestämällä yhteistyömenettelyjä, sopimukset, joilla on huomionarvoisia vaikutuksia yhteisön talousarvioon, sekä sopimukset, joista aiheutuu muutos 251 artiklassa tarkoitettua menettelyä noudattaen annettuun säädökseen, tehdään sen jälkeen, kun Euroopan parlamentin puoltava lausunto on saatu.

Neuvosto ja Euroopan parlamentti voivat kiireellisissä tapauksissa sopia määräajasta puoltavan lausunnon antamiselle.”

C Henkilötietojen suojaa koskeva eurooppaoikeus

21. Ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen (jäljempänä Euroopan ihmisoikeussopimus) 8 artiklassa määrätään seuraavaa:

”1. Jokaisella on oikeus nauttia yksityis‑ ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta.

2. Viranomaiset eivät saa puuttua tämän oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.”

22. Euroopan tietosuojaoikeus on hahmottunut aluksi Euroopan neuvoston puitteissa. Yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä on siten avattu Euroopan neuvoston jäsenvaltioiden allekirjoitettavaksi Strasbourgissa 28.1.1981.( ) Sen tarkoituksena on taata, että kunkin sopimuspuolen alueella kunnioitetaan jokaiselle yksilölle kuuluvia perusoikeuksia ja ‑vapauksia ja erityisesti hänen oikeuttaan yksityisyyteen hänen henkilötietojensa automaattisessa tietojenkäsittelyssä riippumatta hänen kansalaisuudestaan tai asuinpaikastaan.

23. Euroopan unionin osalta Euroopan unionin perusoikeuskirjan( ) 7 artiklan lisäksi, joka koskee yksityisyyden ja perhe-elämän suojaa, sen 8 artikla on omistettu erityisesti henkilötietojen suojalle. Sen sisältö on seuraava:

”1. Jokaisella on oikeus henkilötietojensa suojaan.

2. Tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi.

3. Riippumaton viranomainen valvoo näiden sääntöjen noudattamista.”

24. Yhteisön primaarioikeuden osalta EY 286 artiklan 1 kohdassa määrätään, että ”yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettuja yhteisön säädöksiä sovelletaan tällä sopimuksella tai tämän sopimuksen nojalla perustettuihin toimielimiin ja elimiin 1 päivästä tammikuuta 1999”.( )

25. Yhteisön johdetussa oikeudessa asiaa koskeva perusnormi on direktiivi 95/46.( ) Sen yhteys Euroopan neuvostolta peräisin oleviin teksteihin käy nimenomaisesti ilmi kyseisen direktiivin johdanto-osan 10 ja 11 perustelukappaleesta. Sen 10 perustelukappaleessa lausutaan nimittäin, että ”henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja ‑vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä”. Lisäksi direktiivin 95/46 11 perustelukappaleessa todetaan, että ”tähän direktiiviin sisältyvissä periaatteissa yksilöiden oikeuksien ja vapauksien suojasta, erityisesti yksityisyyttä koskevan oikeuden suojasta, täsmennetään ja laajennetaan – – Euroopan neuvoston yleissopimukseen [nro 108] yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä kuuluvia periaatteita”.

26. Syy siihen, että direktiivi 95/46 on annettu EY:n perustamissopimuksen 100 a artiklan (josta on muutettuna tullut EY 95 artikla) perusteella, löytyy sen kolmannessa perustelukappaleessa ilmaistusta ajatuksesta, jonka sanamuodon mukaan ”sisämarkkinoiden toteuttaminen ja toiminta – – edellyttävät paitsi sitä, että henkilötietoja voidaan vapaasti siirtää jäsenvaltioiden sisällä, myös yksilöiden perusoikeuksien turvaamista”. Tarkemmin sanoen yhteisön lainsäätäjä lähtee toteamuksesta, jonka mukaan ”henkilötietojen käsittelyä koskevat jäsenvaltioiden väliset erot yksilöiden oikeuksien ja vapauksien suojassa, erityisesti oikeudessa yksityisyyteen, voivat estää kyseisten tietojen siirron tietyn jäsenvaltion alueelta toisen jäsenvaltion alueelle”,( ) minkä seurauksena voi muun muassa olla, että toimintojen harjoittaminen yhteisön tasolla estyy ja että kilpailu vääristyy. Tämän vuoksi yhteisön lainsäätäjä on katsonut, että ”henkilötietojen liikkuvuuden esteiden poistamiseksi yksilöiden oikeuksien ja vapauksien suojan tason kyseisten tietojen käsittelyssä on oltava sama kaikissa jäsenvaltioissa”.( ) Tämän lähestymistavan seurauksena on oltava, että ”ottaen huomioon kansallisten lainsäädäntöjen lähentymisestä aiheutuneen tietosuojan vastaavuuden jäsenvaltiot eivät enää voi asettaa esteitä henkilötietojen vapaalle liikkuvuudelle välillään yksilöiden oikeuksien ja vapauksien, erityisesti yksityisyyttä koskevan oikeuden, suojan perusteella”.( )

27. Direktiivin 95/46 1 artiklassa, jonka otsikko on ”Direktiivin tavoite”, toteutetaan tämä lähestymistapa seuraavasti:

”1. Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.

2. Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka liittyvät 1 kohdan mukaisesti turvattavaan suojaan.”

28. Kyseisen direktiivin 2 artiklassa määritellään erityisesti käsitteet ”henkilötiedot”, ”henkilötietojen käsittely” ja ”rekisterinpitäjä”.

29. Näin ollen direktiivin 95/46 2 artiklan a alakohdan mukaan henkilötiedoilla tarkoitetaan ”kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä – – koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella”.

30. Kyseisten tietojen käsittelyllä tarkoitetaan mainitun direktiivin 2 artiklan b alakohdan mukaan ”kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen”.

31. Direktiivin 95/46 2 artiklan d alakohdan määritelmän mukaan rekisterinpitäjällä tarkoitetaan ”luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot – – ”.

32. Direktiivin 95/46 aineellisesta soveltamisalasta säädetään 3 artiklan 1 kohdassa, että sitä ”sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa”.

33. Kyseisen direktiivin 3 artiklan 2 kohdan avulla on mahdollista ymmärtää sen aineellisen soveltamisalan rajat siltä osin kuin siinä säädetään seuraavaa:

”Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,

– joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,

– – ”

34. Direktiivin 95/46 II luku sisältää ”yleiset säännöt henkilötietojen käsittelyn laillisuudesta”. Tämän luvun sisällä I jaksossa käsittelyn kohteena ovat ”tietojen laatua koskevat periaatteet”. Kyseisen direktiivin 6 artiklassa luetellaan nämä periaatteet eli henkilötietojen käsittelyn asianmukaisuus, laillisuus, tarkoitus, suhteellisuus ja täsmällisyys. Siinä säädetään seuraavaa:

”1. Jäsenvaltioiden on säädettävä siitä, että

a) henkilötietoja käsitellään asianmukaisesti ja laillisesti,

b) henkilötiedot kerätään tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä myöhemmin saa käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla – – ,

c) henkilötiedot ovat asianmukaisia, olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään,

d) henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä – – ,

e) henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään – – .

2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta.”

35. Kyseisen direktiivin II luvun II jakso sisältää puolestaan ”tietojenkäsittelyn laillisuutta koskevat periaatteet”. Direktiivin 7 artikla, joka muodostaa tämän jakson, on sisällöltään seuraava:

”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,

a) jos rekisteröity on yksiselitteisesti antanut suostumuksensa,

tai

b) jos käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osallisena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä,

tai

c) jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi,

– – ”

36. Mitä tulee henkilötietoihin, jotka on yleisesti luokiteltu arkaluonteisiksi, 8 artiklan 1 kohdassa esitetään niiden käsittelyn kieltämistä koskeva periaate. Siinä säädetään nimittäin, että ”jäsenvaltioiden on kiellettävä sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely”. Tästä kieltoperiaatteesta on kuitenkin useita poikkeuksia, joiden sisältö ja järjestelmä on esitetty yksityiskohtaisesti saman artiklan seuraavissa kohdissa.

37. Direktiivin 95/46 13 artiklan 1 kohdassa, jonka otsikko on ”Poikkeukset ja rajoitukset”, säädetään seuraavaa:

”Jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla pyritään rajoittamaan 6 artiklan 1 kohdassa, 10 artiklassa, 11 artiklan 1 kohdassa sekä 12 ja 21 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat välttämättömiä, jotta varmistettaisiin

a) valtion turvallisuus,

b) puolustus,

c) yleinen turvallisuus,

d) rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta,

e) jäsenvaltiolle tai Euroopan unionille tärkeä taloudellinen tai rahoituksellinen etu, myös rahaa, talousarviota ja verotusta koskevissa asioissa,

f) valvonta‑, tarkastus‑ tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttämiseen c, d ja e alakohdassa tarkoitetuissa tapauksissa,

g) rekisteröidyn suojelu tai muiden oikeudet ja vapaudet.”

38. Yhteisön lainsäätäjä on myös halunnut, ettei näin perustettua suojajärjestelmää vaarannettaisi silloin, kun henkilötiedot poistuvat yhteisön alueelta. On nimittäin ilmeistä, että tietovirtojen kansainvälinen ulottuvuus( ) tekee riittämättömäksi, jollei hyödyttömäksi, sellaisen sääntelyn olemassaolon, joka kattaa pelkästään tämän alueen. Yhteisön lainsäätäjä on siis valinnut järjestelmän, jossa edellytetään kolmanteen maahan suuntautuvan henkilötietojen siirron sallimiseksi, että kyseinen maa takaa näille tiedoille ”suojan riittävän tason”.

39. Yhteisön lainsäätäjä asettaa näin säännön, jonka mukaan ”jos tietosuojan taso kolmannessa maassa ei ole riittävä, henkilötietojen siirto kyseiseen maahan on kiellettävä”.( )

40. Tätä silmällä pitäen direktiivin 95/46 25 artiklassa määritellään periaatteet, joita henkilötietojen siirroissa kolmansiin maihin on noudatettava:

”1. Jäsenvaltioiden on säädettävä siitä, että käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso, jollei tämän direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu.

2. Kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta; erityisesti on otettava huomioon tietojen luonne, suunnitellun käsittelyn tai suunniteltujen käsittelyjen tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa voimassa olevat yleiset tai alakohtaiset oikeussäännöt sekä ammattisäännöt ja tässä maassa noudatettavat turvatoimet.

3. Jäsenvaltioiden ja komission on informoitava toisiaan, jos ne arvioivat, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa 2 kohdan tarkoittamassa merkityksessä.

4. Jos komissio 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti toteaa, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa tämän artiklan 2 kohdassa tarkoitetussa merkityksessä, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet kyseiseen kolmanteen maahan kohdistuvien samanluonteisten siirtojen estämiseksi.

5. Komissio aloittaa sopivalla hetkellä neuvottelut 4 kohdan mukaisesti tehdystä toteamuksesta aiheutuneen tilanteen korjaamiseksi.

6. Komissio voi 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti todeta, että tietyssä kolmannessa maassa taataan tietosuojan riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista, jotka on tehty erityisesti 5 kohdassa tarkoitettujen neuvottelujen yhteydessä henkilöiden yksityiselämän ja perusoikeuksien ja ‑vapauksien turvaamiseksi.

Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.”

41. Lopuksi on mainittava, että Euroopan unionista tehdyn sopimuksen VI osaston puitteissa, joka koskee oikeudellista ja poliisiyhteistyötä rikosoikeuden alalla, henkilötietojen suojaa säännellään useilla erityisillä asiakirjoilla. Kysymyksessä ovat erityisesti asiakirjat, joilla perustetaan Euroopan tasolla yhteisiä tietojärjestelmiä, kuten Schengenin sopimuksen soveltamisesta tehty yleissopimus,( ) joka sisältää erityisiä määräyksiä tietosuojasta Schengenin tietojärjestelmän (SIS)( ) yhteydessä, Euroopan unionista tehdyn sopimuksen K.3 artiklan perusteella Euroopan poliisiviraston perustamisesta tehty yleissopimus (Europol‑yleissopimus),( ) Eurojust‑yksikön perustamisesta tehty neuvoston päätös( ) ja säännökset henkilötietojen käsittelyä ja tietosuojaa Eurojustissa koskevasta työjärjestyksestä,( ) Euroopan unionista tehdyn sopimuksen K.3 artiklan perusteella tietotekniikan käytöstä tullialalla tehty yleissopimus, joka sisältää tullitietojärjestelmään sovellettavat henkilötietojen suojaa koskevat määräykset,( ) ja yleissopimus keskinäisestä oikeusavusta rikosasioissa Euroopan unionin jäsenvaltioiden välillä.( )

42. Komissio esitti 4.10.2005 ehdotuksen neuvoston puitepäätökseksi rikosasioissa tehtävässä oikeudellisessa ja poliisiyhteistyössä käsiteltävien henkilötietojen suojaamiseksi.( )

III Riidanalaiset päätökset

43. Tarkastelen näitä kahta riidanalaista päätöstä niiden tekemisen mukaisessa kronologisessa järjestyksessä.

A Suojan riittävää tasoa koskeva päätös

44. Komissio teki suojan riittävää tasoa koskevan päätöksen direktiivin 95/46 25 artiklan 6 kohdan nojalla, jossa, kuten muistamme, annetaan sille oikeus todeta, että tietyssä kolmannessa maassa taataan henkilötietojen suojan riittävä taso.( ) Kuten kyseisen päätöksen toisessa perustelukappaleessa mainitaan, ”henkilötietoja voidaan tässä tapauksessa siirtää jäsenvaltioista ilman lisätakeita”.

45. Komissio ilmoittaa kyseisen päätöksen 11 perustelukappaleessa, että ”CBP käsittelee sille siirrettyjä lentomatkustajien matkustajarekisteriin sisältyviä henkilötietoja noudattaen Yhdysvaltojen sisäisen turvallisuuden ministeriön alaisen tulli‑ ja rajavartiolaitoksen (CBP) 11 päivänä toukokuuta 2004 vahvistamia sitoumuksia – – ja Yhdysvaltojen lainsäädäntöön sisältyviä ehtoja sitoumuksissa esitetyn mukaisesti”. Tämän vuoksi komissio toteaa saman päätöksen 14 perustelukappaleessa, että ”vaatimukset, joiden mukaisesti CBP käsittelee matkustajarekisteritietoja Yhdysvaltojen lainsäädännön ja sitoumusten perusteella, sisältävät perusperiaatteet, jotka tarvitaan turvaamaan luonnollisten henkilöiden suojelun riittävä taso”.

46. Tämän vuoksi suojan riittävää tasoa koskevan päätöksen 1 artiklassa säädetään seuraavaa:

”Direktiivi 95/46/EY 25 artiklan 2 kohdan soveltamisen osalta [CBP:n] katsotaan tarjoavan liitteessä I olevien sitoumusten mukaisesti suojan riittävän tason yhteisöstä siirrettäville matkustajarekisteritiedoille, jotka koskevat lentoliikennettä Yhdysvaltoihin tai Yhdysvalloista.”

47. Lisäksi suojan riittävää tasoa koskevan päätöksen 3 artiklassa säädetään, että tietojen siirto CBP:lle voidaan keskeyttää jäsenvaltioiden toimivaltaisten viranomaisten aloitteesta seuraavissa olosuhteissa:

”1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä sen varmistamiseksi, että muiden säännösten kuin direktiivin 95/46/EY 25 artiklan noudattamiseksi annettuja kansallisia säännöksiä noudatetaan, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttääkseen CBP:lle suunnatun tietojen siirron suojellakseen yksityishenkilöitä näiden henkilötietojen käsittelyn osalta tapauksissa, joissa:

a) toimivaltainen Yhdysvaltojen viranomainen on todennut, että CBP ei noudata sovellettavia tietosuojavaatimuksia; tai

b) on erittäin todennäköistä, että liitteessä esitettyjä tietosuojavaatimuksia ei noudateta, ja on perusteltua aihetta olettaa, että CBP ei parhaillaan tai jatkossa viipymättä toteuta vaadittavia toimenpiteitä asian ratkaisemiseksi, ja tiedonsiirron jatkaminen aiheuttaisi välittömästi uhkaavan vakavan vaaran rekisteröidylle ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet antamaan CBP:lle ilmoituksen ja tilaisuuden vastata siihen.

2. Keskeytys lakkaa heti, kun tietosuojavaatimusten noudattaminen on varmistettu ja tästä on ilmoitettu asianomaisten jäsenvaltioiden toimivaltaiselle viranomaiselle.”

48. Jäsenvaltioiden on ilmoitettava komissiolle suojan riittävää tasoa koskevan päätöksen 3 artiklan mukaisesti toteutetuista toimenpiteistä. Lisäksi jäsenvaltioiden ja komission on kyseisen päätöksen 4 artiklan 2 kohdan nojalla tiedotettava toisilleen kaikista tietosuojavaatimusten muutoksista sekä tapauksista, joissa näitä vaatimuksia ei ilmeisesti riittävästi noudateta. Kyseisten muutosten johdosta suojan riittävää tasoa koskevan päätöksen 4 artiklan 3 kohdassa säädetään, että ”jos 3 artiklan sekä tämän artiklan 1 ja 2 kohdan nojalla saadut tiedot osoittavat, että perusvaatimukset riittävästä suojasta luonnollisille henkilöille eivät toteudu tai jos jokin liitteessä I esitettyjen CBP:n tietosuojavaatimusten noudattamisesta vastuussa oleva elin ei tosiasiallisesti hoida tehtäväänsä, asiasta tiedotetaan CBP:lle ja tarvittaessa ryhdytään direktiivin 95/46/EY 31 artiklan 2 kohdassa tarkoitetun menettelyn mukaisiin toimenpiteisiin, joiden tarkoituksena on kumota tämä päätös tai keskeyttää toistaiseksi sen soveltaminen”.

49. Lisäksi suojan riittävää tasoa koskevan päätöksen 5 artiklassa esitetyn säännön mukaan kyseisen päätöksen soveltamista valvotaan ja ”direktiivin 95/46/EY 31 artiklan nojalla perustetulle komitealle raportoidaan kaikki asiaankuuluvat huomiot”.

50. Lisäksi suojan riittävää tasoa koskevan päätöksen 7 artiklassa mainitaan, että sen ”voimassaolo päättyy kolme vuotta ja kuusi kuukautta sen tiedoksiannon jälkeen, jollei voimassaoloa pidennetä direktiivin 95/46/EY 31 artiklan 2 kohdassa säädetyn menettelyn mukaisesti”.

51. Kyseisen päätöksen liitteenä ovat CBP:n sitoumukset, joiden johdannossa täsmennetään, että ne on annettu komission tukemiseksi sen aikomuksessa tehdä päätös siitä, että CBP suojelee riittävästi sille siirrettäviä tietoja. Kyseisten sitoumusten, jotka käsittävät yhteensä 48 kohtaa, sanamuodon mukaan ne ”eivät luo tai anna yksityiselle tai julkiselle henkilölle tai osapuolelle oikeuksia tai etuja”.( )

52. Osoitan pääasiallisesti esitykseni etenemisen myötä riidan ratkaisemisen kannalta asiaankuuluvien sitoumusten sisällön.

53. Lopuksi suojan riittävää tasoa koskeva päätös sisältää liitteen A, jossa luetellaan CBP:n lentoyhtiöiltä edellyttämien PNR‑tietojen 34 tietokenttää.( )

54. Kyseistä komission päätöstä täydentää neuvoston päätös Euroopan yhteisön ja Yhdysvaltojen välisen kansainvälisen sopimuksen tekemisestä.

B Neuvoston päätös

55. Neuvoston päätös perustuu EY 95 artiklaan yhdessä EY 300 artiklan 2 kohdan ensimmäisen alakohdan ensimmäisen virkkeen kanssa.

56. Sen ensimmäisessä perustelukappaleessa ilmoitetaan, että ”neuvosto valtuutti komission 23 päivänä helmikuuta 2004 neuvottelemaan yhteisön puolesta sopimuksen Amerikan yhdysvaltojen kanssa lentoyhtiöiden PNR‑tietojen käsittelemisestä ja siirtämisestä [CBP:lle]”.( ) Tämän päätöksen toisessa perustelukappaleessa puolestaan mainitaan, että ”Euroopan parlamentti ei ole antanut lausuntoa määräajassa, jonka neuvosto asetti perustamissopimuksen 300 artiklan 3 kohdan ensimmäisen alakohdan mukaisesti lentoyhtiöiden ja matkustajien epävarman tilanteen korjaamiseksi kiireellisesti sekä asianomaisten tahojen taloudellisten etujen suojaamiseksi”.

57. Neuvoston päätöksen 1 artiklan nojalla sopimus hyväksytään yhteisön puolesta. Lisäksi kyseisen päätöksen 2 artiklassa annetaan neuvoston puheenjohtajalle oikeus nimetä yksi tai useampi henkilö, jolla on valtuudet allekirjoittaa sopimus yhteisön puolesta.

58. Sopimusteksti on neuvoston päätöksen liitteenä. Kyseisen sopimuksen 7 artiklassa määrätään, että se tulee voimaan sen allekirjoittamisesta lukien. Kyseisen artiklan mukaisesti Washingtonissa 28.5.2004 allekirjoitettu sopimus tuli voimaan samana päivänä.( )

59. Sopimuksen johdanto-osassa yhteisö ja Yhdysvallat tunnustavat ”että on tärkeää kunnioittaa perusoikeuksia ja ‑vapauksia sekä erityisesti yksityisyyden suojaa ja että on tärkeää kunnioittaa näitä arvoja, samalla kun estetään ja torjutaan terrorismia ja siihen liittyvää rikollisuutta sekä muita valtioiden rajat ylittäviä vakavia rikoksia, myös järjestäytynyttä rikollisuutta”.

60. Sopimuksen johdanto-osassa tarkoitetaan seuraavia tekstejä: direktiivi 95/46 ja erityisesti sen 7 artiklan c alakohta, CBP:n sitoumukset sekä suojan riittävää tasoa koskeva päätös.( )

61. Sopimuspuolet panevat myös merkille, että ”lentoyhtiöiden, joilla on Euroopan yhteisön jäsenvaltioiden alueella sijaitsevia varaus‑ ja lähtöselvitysjärjestelmiä, olisi aloitettava PNR‑tietojen toimittaminen CBP:lle heti, kun se on teknisesti mahdollista, mutta siihen asti Yhdysvaltojen viranomaisilla olisi oltava suora pääsy näihin tietoihin tämän sopimuksen määräysten mukaisesti”.( )

62. Sopimuksen 1 kohdassa määrätään siten, että ”CBP:llä on sähköinen pääsy lentoyhtiöiden Euroopan yhteisön jäsenvaltioiden alueella sijaitsevissa varaus‑ ja lähtöselvitysjärjestelmissä – – oleviin PNR‑tietoihin ainoastaan päätöksen[( )] mukaisesti ja ainoastaan niin kauan kuin päätös on voimassa ja siihen saakka kun käytössä on tyydyttävä järjestelmä, jolla lentoyhtiöt voivat toimittaa nämä tiedot”.

63. CBP:lle näin myönnetyn suoraa pääsyä PNR‑tietoihin koskevan oikeuden täydennyksenä sopimuksen 2 kohdassa määrätään, että kansainvälistä lentoliikennettä Yhdysvalloista tai Yhdysvaltoihin harjoittavien lentoyhtiöiden on käsiteltävä automaattisiin varausjärjestelmiinsä tallennettuja PNR‑tietoja ”vain päätöksen[( )] mukaisesti ja tavalla, jota CBP edellyttää Yhdysvaltojen lainsäädännön nojalla, sekä ainoastaan niin kauan kuin päätös on voimassa”.

64. Toisaalta sopimuksen 3 kohdassa täsmennetään, että CBP ”panee merkille” suojan riittävää tasoa koskevan päätöksen ja ”toteaa [panevansa] täytäntöön sen liitteenä olevat sitoumukset”. Lisäksi kyseisen sopimuksen 4 kohdassa määrätään, että ”CBP käsittelee saamansa PNR‑tiedot ja kohtelee niiden koskemia henkilöitä voimassa olevan Yhdysvaltojen lainsäädännön ja perustuslain säännösten mukaisesti ilman erityisesti kansallisuuteen ja asuinmaahan perustuvaa syrjintää”.

65. Lisäksi CBP ja yhteisö sitoutuvat tarkastelemaan säännöllisesti yhdessä sopimuksen täytäntöönpanoa.( ) Sopimuksessa määrätään myös, että ”jos Euroopan unionissa otetaan käyttöön lentomatkustajien tunnistusjärjestelmä, jonka mukaisesti lentoyhtiöiden on annettava viranomaisille pääsy niitä matkustajia koskeviin PNR‑tietoihin, joiden kyseessä olevaan matkaan sisältyy lento Euroopan unioniin tai Euroopan unionista, DHS:n [Department of Homeland Security] on mahdollisuuksien mukaan ja vastavuoroisuusperiaatetta tarkasti noudattaen edistettävä aktiivisesti toimivaltansa piiriin kuuluvien lentoyhtiöiden tekemää yhteistyötä”.( )

66. Sen lisäksi, että sopimuksen 7 artiklassa määrätään, että sopimus tulee voimaan, kun se allekirjoitetaan, siinä täsmennetään, että kumpikin osapuoli voi milloin tahansa päättää sopimuksen voimassaolon. Tässä tapauksessa sopimuksen päättäminen tulee voimaan 90 päivän kuluttua päivästä, jona sopimuksen päättämisestä on ilmoitettu toiselle osapuolelle. Toisaalta samassa kohdassa määrätään, että sopimusta voidaan muuttaa milloin tahansa keskinäisellä kirjallisella sopimuksella.

67. Lopuksi sopimuksen 8 kohdassa määrätään, että ”tällä sopimuksella ei ole tarkoitus poiketa osapuolten lainsäädännöstä eikä muuttaa sitä. Tällä sopimuksella ei luoda tai myönnetä millekään yksityiselle tai julkiselle henkilölle tai osapuolelle minkäänlaisia oikeuksia tai etuja”.

IV Parlamentin näissä kahdessa asiassa esittämät kanneperusteet

68. Asiassa C‑317/04 parlamentti esittää kuusi kanneperustetta neuvoston päätöstä vastaan:

– EY 95 artiklan virheellinen valinta oikeudelliseksi perustaksi

– EY 300 artiklan 3 kohdan toisen alakohdan rikkominen direktiiviin 95/46 aiheutuvan muutoksen vuoksi

– henkilötietojen suojaa koskevan oikeuden loukkaaminen

– suhteellisuusperiaatteen loukkaaminen

– riidanalaisen päätöksen perustelujen puutteellisuus

– EY 10 artiklassa määrätyn lojaalin yhteistyön periaatteen loukkaaminen.

69. Ison‑Britannian ja Pohjois-Irlannin yhdistynyt kuningaskunta ja komissio on hyväksytty väliintulijoiksi tukemaan neuvoston vaatimuksia.( ) Lisäksi Euroopan tietosuojavaltuutettu (jäljempänä tietosuojavaltuutettu) on hyväksytty väliintulijaksi tukemaan parlamentin vaatimuksia.( )

70. Asiassa C‑318/04 parlamentti esittää neljä kanneperustetta suojan riittävää tasoa koskevaa päätöstä vastaan:

– toimivallan ylittäminen

– direktiivin 95/46 keskeisten periaatteiden loukkaaminen

– perusoikeuksien loukkaaminen

– suhteellisuusperiaatteen loukkaaminen.

71. Yhdistynyt kuningaskunta on hyväksytty väliintulijaksi tukemaan komission vaatimuksia.( ) Lisäksi tietosuojavaltuutettu on hyväksytty väliintulijaksi tukemaan parlamentin vaatimuksia.( )

72. Tarkastelen näitä kahta kannetta siinä järjestyksessä kuin riidanalaiset päätökset on tehty. Näin ollen tarkastelen ensiksi kannetta, jolla pyritään kumoamaan suojan riittävää tasoa koskeva päätös (asia C‑318/04), ja sitten toiseksi kannetta, jolla pyritään neuvoston päätöksen kumoamiseen (asia C‑317/04).

V Kanne, jolla pyritään suojan riittävää tasoa koskevan päätöksen kumoamiseen (asia C‑318/04)

A Kanneperuste, jonka mukaan komissio on ylittänyt toimivaltansa tehdessään suojan riittävää tasoa koskevan päätöksen

1. Asianosaisten lausumat

73. Parlamentti väittää aluksi kyseisen kanneperusteen tueksi, että suojan riittävää tasoa koskevalla päätöksellä, sikäli kuin se koskee sellaisen päämäärän toteuttamista, joka kuuluu yleisen turvallisuuden ja rikosoikeuden alaan, rikotaan direktiiviä 95/46, koska päätös koskee alaa, joka on suljettu kyseisen direktiivin aineellisen soveltamisalan ulkopuolelle. Tästä soveltamisalan ulkopuolelle jättämisestä on parlamentin mukaan nimenomaisesti säädetty direktiivin 95/46 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa eikä sitä ole mahdollista tulkita niin, että sen ulottuvuus voisi supistua. Sillä seikalla, että henkilötiedot on kerätty taloudellista toimintaa harjoitettaessa eli palveluun oikeuttavan lentolipun myynnin yhteydessä, ei voida perustella kyseisen direktiivin ja erityisesti sen 25 artiklan soveltamista alalla, joka on jätetty sen soveltamisalan ulkopuolelle.

74. Toiseksi parlamentti korostaa, että CBP ei ole kolmas maa direktiivin 95/46 25 artiklassa tarkoitetussa merkityksessä. Kyseisen artiklan 6 kohdassa säädetään kuitenkin, että komission päätös henkilötietojen suojan riittävän tason toteamisesta tarkoittaa kolmatta maata, toisin sanoen valtiota tai siihen rinnastettavaa kokonaisuutta, eikä hallinnollista yksikköä tai kokonaisuutta, joka muodostaa valtion täytäntöönpanovallan osan.

75. Kolmanneksi parlamentti katsoo, että tehdessään suojan riittävää tasoa koskevan päätöksen komissio on ylittänyt toimivaltansa, sikäli kuin päätöksen liitteenä olevat sitoumukset mahdollistavat nimenomaisesti PNR‑tietojen siirron CBP:n toimesta muille Yhdysvaltojen tai muiden valtioiden viranomaisille.

76. Neljänneksi parlamentti katsoo, että suojan riittävää tasoa koskeva päätös sisältää tiettyjä rajoituksia ja poikkeuksia direktiivissä 95/46 esitettyihin periaatteisiin, vaikka sen 13 artiklassa kyseinen oikeus on varattu ainoastaan jäsenvaltioille. Näin ollen tehdessään suojan riittävää tasoa koskevan riidanalaisen päätöksen komissio on parlamentin mukaan asettunut jäsenvaltioiden paikalle ja rikkonut tämän vuoksi kyseisen direktiivin 13 artiklaa. Direktiivin 95/46 täytäntöönpanotoimella komissio on anastanut itselleen toimivallan, joka on ehdottomasti varattu jäsenvaltioille.

77. Viidenneksi parlamentti esittää argumentin, jonka mukaan tietojen asettaminen saataville, joka tapahtuu ”pull”‑järjestelmän (extraction) avulla, ei ole ”siirto” direktiivin 95/46 25 artiklassa tarkoitetussa merkityksessä eikä sitä voida näin ollen sallia.

78. Lopuksi kun otetaan huomioon suojan riittävää tasoa koskevan päätöksen ja sopimuksen välinen keskinäinen riippuvuus, kyseistä päätöstä on tämän toimielimen mukaan pidettävä soveltumattomana toimenpiteenä PNR‑tietojen siirroista päättämisen kannalta.

79. Parlamentista poiketen tietosuojavaltuutettu katsoo, että sitä seikkaa, että jollekin henkilölle tai kolmannen maan instituutiolle annetaan pääsy tietoihin, voidaan pitää siirtona ja että näin ollen direktiivin 95/46 25 artiklaa voidaan soveltaa. Hän katsoo nimittäin, että käsitteen rajoittaminen lähettäjän toteuttamaan siirtoon mahdollistaisi kyseisessä artiklassa asetettujen ehtojen kiertämisen ja aiheuttaisi vahinkoa kyseisessä artiklassa säädetylle tietosuojalle.

80. Komissio, jota Yhdistynyt kuningaskunta tukee, on sitä mieltä, että lentoyhtiöiden toiminnot kuuluvat yhteisön oikeuden soveltamisalaan ja että tämän vuoksi direktiiviä 95/46 voidaan täysin soveltaa. PNR‑tietojen siirron puitteissa perustetun järjestelmän kohteena eivät sen mukaan ole jäsenvaltioiden tai julkisten viranomaisten toiminnot, jotka eivät kuulu yhteisön oikeuden soveltamisalaan.

81. Lisäksi komissio korostaa, että sopimus on allekirjoitettu Yhdysvaltojen eikä valtion viraston puolesta. Mitä tulee CBP:n myöhemmin suorittamiin tietojen siirtoihin, komissio katsoo, että henkilötietojen suoja ei ole ristiriidassa tällaisten siirtojen sallimisen kanssa sillä edellytyksellä, että siirtoja koskevat asianmukaiset ja tarpeelliset rajoitukset.

82. Lopuksi komissio huomauttaa, että direktiivin 95/46 13 artiklalla ei ole merkitystä käsiteltävänä olevassa asiassa ja että ”siirto” kyseisen direktiivin 25 artiklassa tarkoitetussa merkityksessä muodostuu lentoyhtiöiden osalta siitä, että ne asettavat PNR‑tiedot aktiivisesti CBP:n käytettäväksi. Näin ollen tarkasteltu järjestelmä kyllä sisältää direktiivissä 95/46 tarkoitetun tietojen siirron.

2. Arviointi

83. Ensimmäisessä kanneperusteessa parlamentti väittää, että suojan riittävää tasoa koskeva päätös merkitsee direktiivin 95/46 ja erityisesti sen 3 artiklan 2 kohdan, 13 ja 25 artiklan rikkomista. Se korostaa erityisesti, että kyseistä päätöstä ei voitu asianmukaisesti perustaa perussäädökseen, joka kyseinen direktiivi on.

84. Kuten olen jo esittänyt, direktiivin 95/46 tavoitteena on poistaa sisämarkkinoiden toteuttamista ja toimintaa silmällä pitäen henkilötietojen liikkuvuuden esteet yhdenmukaistamalla jäsenvaltioissa yksilöiden oikeuksien ja vapauksien suojan taso tällaisten tietojen käsittelyssä.

85. Yhteisön lainsäätäjä on myös toivonut, että näin perustettu suojajärjestelmä ei vaarantuisi silloin, kun henkilötiedot poistuvat yhteisön alueelta. Se on siis valinnut järjestelmän, jossa edellytetään kolmanteen maahan suuntautuvan henkilötietojen siirron toteuttamisen sallimiseksi, että kyseinen maa takaa näille tiedoille suojan riittävän tason. Näin ollen direktiivi 95/46 sisältää periaatteen, jonka mukaan henkilötietojen siirto kolmanteen maahan on kiellettävä, jos kyseisessä maassa ei taata suojan riittävää tasoa.

86. Kyseisen direktiivin 25 artiklassa asetetaan jäsenvaltioille ja komissiolle lukuisia velvoitteita, joilla pyritään valvomaan henkilötietojen siirtoa kolmansiin maihin ottaen huomioon kunkin tällaisen maan näille tiedoille tarjoaman suojan taso. Siinä säädetään myös menetelmästä ja kriteereistä, joiden avulla voidaan todeta, että kolmannessa maassa taataan sinne siirretyille henkilötiedoille suojan riittävä taso.

87. Yhteisöjen tuomioistuimen antaman määritelmän mukaan järjestelmä, joka koskee henkilötietojen siirtoa kolmansiin maihin, on ”erityinen järjestelmä erityisine sääntöineen, jonka tarkoituksena on turvata se, että jäsenvaltiot kykenevät valvomaan henkilötietojen siirtämistä kolmansiin maihin”. Yhteisöjen tuomioistuin on myös täsmentänyt, että kyseessä on ”järjestelmä, joka täydentää henkilötietojen käsittelyn laillisuutta koskevassa direktiivin II luvussa perustettua yleistä järjestelmää”.( )

88. Henkilötietojen siirtoa kolmansiin maihin koskevien sääntöjen omaleimaisuus selittyy suureksi osaksi tärkeällä asemalla, joka riittävän suojan käsitteellä on. Kyseisen käsitteen merkityksen kartoittamiseksi on syytä erottaa se selvästi vastaavan suojan käsitteestä, joka edellyttäisi, että kolmas maa tunnustaa ja todella soveltaa kaikkia direktiiviin 95/46 sisältyviä periaatteita.

89. Riittävän suojan käsitteellä tarkoitetaan sitä, että kolmannen maan on voitava taata suoja, joka on mukautettu sellaisen mallin mukaan, jota pidetään hyväksyttävänä henkilötietojen suojan tason osalta. Tällainen järjestelmä, joka perustuu kolmannen maan takaaman suojan riittävyydelle, jättää huomattavaa harkintavaltaa jäsenvaltioille ja komissiolle niiden arvioidessa tietojen kohdemaassa asetettuja takeita. Tätä arviointia ohjaa direktiivin 95/46 25 artiklan 2 kohta, jossa luetellaan joitakin niistä tekijöistä, jotka voidaan ottaa huomioon tässä arvioinnissa.( ) Tätä silmällä pitäen yhteisön lainsäätäjän asettama sääntö on, että ”kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta”.

90. Kuten yhteisöjen tuomioistuin on jo todennut, direktiivissä 95/46 ei määritellä käsitettä ”siirto kolmanteen maahan”.( ) Siinä ei nimenomaan täsmennetä, kattaako käsite ainoastaan toiminnan, jolla rekisterinpitäjä siirtää aktiivisesti henkilötietoja kolmanteen maahan, vai ulottuuko se tapauksiin, joissa jollekin kolmannen maan yksikölle on myönnetty pääsy jossakin jäsenvaltiossa sijaitseviin tietoihin. Direktiivi 95/46 on siis vaiti siitä, millä tavalla tietojen siirto kolmanteen maahan voidaan suorittaa.

91. Toisin kuin parlamentti, olen sitä mieltä, että nyt käsiteltävänä olevassa asiassa pääsy PNR‑tietoihin, joka CBP:llä on, kuuluu käsitteeseen ”siirto kolmanteen maahan”. Ratkaisevaa tällaisen siirron luonnehtimiseksi on näet mielestäni tietojen liikkuminen jäsenvaltiosta kolmanteen maahan, tässä tapauksessa Yhdysvaltoihin.( ) Tältä osin ei ole tärkeää, onko lähettäjä vai vastaanottaja suorittanut siirron. Jos direktiivin 95/46 25 artiklan soveltamisala olisi rajoitettu lähettäjän toteuttamiin siirtoihin, olisi näet helppoa kiertää kyseisessä artiklassa asetetut edellytykset, kuten tietosuojavaltuutettu täsmentää.

92. Kun tämä on täsmennetty, on kuitenkin korostettava sitä, että kyseisen direktiivin IV luvussa, johon mainittu 25 artikla sisältyy, ei ole tarkoitus säännellä kaikkia henkilötietojen siirtoja kolmanteen maahan tietojen luonteesta riippumatta. Se kattaa direktiivin 25 artiklan 1 kohdan sanamuodon mukaan ainoastaan ”käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen” henkilötietojen siirron.

93. Muistutan tältä osin, että direktiivin 95/46 2 artiklan b alakohdan sanamuodon mukaan henkilötietojen käsittelyllä tarkoitetaan ”kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin – – kuten tietojen kerääminen, tallentaminen, – – kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville – – ”.( )

94. Riippumatta järjestelmän erityislaadusta, joka perustuu suurelta osin, kuten olemme havainneet, suojan riittävän tason toteamisen käsitteeseen, henkilötietojen siirtoa kolmansiin maihin koskevan järjestelmän osalta on noudatettava sääntöjä, jotka koskevat direktiivin 95/46 soveltamisalaa, johon se kuuluu.( )

95. Jotta direktiivin 95/46 25 artiklan säännökset koskisivat siirtoa kolmanteen maahan, siirron on tämän vuoksi koskettava henkilötietoja, joiden käsittely kuuluu kyseisen direktiivin soveltamisalaan riippumatta siitä, toteutetaanko se tällä hetkellä yhteisössä vai suunnitellaanko sitä vasta kolmannessa maassa. Suojan riittävää tasoa koskeva päätös voi ainoastaan tällä edellytyksellä olla direktiivin 95/46 asianmukainen täytäntöönpanotoimi.

96. Tältä osin muistutan, että aineellisesta näkökulmasta kyseistä direktiiviä ei sovelleta kaikkiin henkilötietojen käsittelyihin, jotka voivat kuulua johonkin sen 2 artiklan b alakohdassa tarkoitetuista toiminnoista. Direktiivin 95/46 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa nimittäin säädetään, että direktiivin soveltamisalan ulkopuolelle jää henkilötietojen käsittely, ”joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa”.( )

97. Olen kuitenkin sitä mieltä, että jäsenvaltioiden alueella sijaitsevien lentoyhtiöiden varausjärjestelmistä peräisin olevien lentomatkustajatietojen kysely ja käyttö CBP:n toimesta ja niiden asettaminen viimeksi mainitun saataville on henkilötietojen käsittelyä, jonka tavoitteena on yleinen turvallisuus ja joka koskee rikosoikeuden alalla tapahtuvaa valtion toimintaa. Kyseinen käsittely ei tämän vuoksi kuulu direktiivin 95/46 aineelliseen soveltamisalaan.

98. Suojan riittävää tasoa koskevassa päätöksessä käytetyt termit osoittavat lentomatkustajien henkilötietoihin kohdistuvan tietojenkäsittelyn tavoitteen. Näin ollen mainittuaan, että CBP:lle toimitettavia matkustajarekisteriin sisältyviä henkilötietoja koskevat vaatimukset perustuvat Yhdysvaltojen marraskuussa 2001 antamaan säädökseen ja CBP:n kyseisen säädöksen nojalla hyväksymiin soveltamismääräyksiin,( ) komissio täsmentää, että yksi Yhdysvaltojen lainsäädännön tavoitteista on ”turvallisuuden parantaminen”.( ) Lisäksi todetaan, että ”yhteisö on täysin sitoutunut tukemaan Yhdysvaltoja terrorismin torjunnassa yhteisön lainsäädännön asettamissa rajoissa”.( )

99. Lisäksi suojan riittävää tasoa koskevan päätöksen 15 perustelukappaleessa säädetään, että ”matkustajarekisteritietoja käytetään yksinomaan estämään ja torjumaan terrorismia ja siihen liittyviä rikoksia, muita vakavia, luonteeltaan rajat ylittäviä rikoksia, mukaan lukien järjestäytynyt rikollisuus, ja pakenemista pidätykseltä tai vankeudesta näiden rikosten johdosta”.

100. Direktiivi 95/46 ja erityisesti sen 25 artiklan 6 kohta ei voi mielestäni olla asianmukainen perusta sille, että komissio hyväksyy nimenomaan direktiivin soveltamisalan ulkopuolelle jätettyjen käsittelyjen kohteena olevien henkilötietojen suojan riittävää tasoa koskevan päätöksen kaltaisen täytäntöönpanotoimen. Tällaisten siirtojen salliminen kyseisen direktiivin perusteella merkitsisi nimittäin sen soveltamisalan epäsuoraa laajentamista.

101. On kuitenkin pidettävä mielessä, että direktiivissä 95/46, joka on annettu EY:n perustamissopimuksen 100 a artiklan perusteella, määritellään suojaa koskevat periaatteet, joita on sovellettava henkilötietojen käsittelyyn silloin, kun rekisterinpitäjän toiminnat kuuluvat yhteisön oikeuden soveltamisalaan, mutta että juuri sen oikeudellisen perustan valinnan vuoksi sillä ei voida säännellä valtion toimintaa, kuten yleistä turvallisuutta koskevaa tai lainvalvontatarkoituksissa tapahtuvaa toimintaa, joka ei kuulu yhteisön oikeuden soveltamisalaan.( )

102. On totta, että käsittelyllä, jonka lentoyhtiöiden suorittama lentomatkustajatietojen kerääminen ja rekisteröinti muodostavat, on yleensä kaupallinen tarkoitus, sikäli kuin se on suoraan sidoksissa lentoliikenteen harjoittajan järjestämän lennon sujumiseen. Sen vuoksi on oikein katsoa, että lentoyhtiöt ovat alun perin keränneet PNR‑tiedot yhteisön oikeuden alaan kuuluvan toiminnan yhteydessä, nimittäin palveluun oikeuttavien lentolippujen myynnin yhteydessä. Kuitenkin tietojenkäsittely, joka on otettu huomioon suojan riittävää tasoa koskevassa päätöksessä, on luonteeltaan aivan toisenlaista, sikäli kuin se kattaa alkuperäistä tietojen keräämistä seuraavan vaiheen. Se näet koskee, kuten olemme havainneet, jäsenvaltioiden alueella sijaitsevien lentoyhtiöiden varausjärjestelmistä peräisin olevien matkustajatietojen kyselyä ja käyttöä CBP:n toimesta sekä niiden asettamista CBP:n saataville.

103. Todellisuudessa suojan riittävää tasoa koskeva päätös ei koske tietojenkäsittelyä, joka on tarpeen palvelujen tarjoamiseksi vaan jota pidetään tarpeellisena yleisen turvallisuuden suojelemiseksi ja lainvalvontatarkoituksia varten. Sellainen on nimenomaan PNR‑tietojen siirron ja käsittelyn tarkoitus. Tämän vuoksi sillä, että henkilötiedot on kerätty taloudellisen toiminnan harjoittamisen yhteydessä, ei voida mielestäni perustella direktiivin 95/46 ja erityisesti sen 25 artiklan soveltamista alalla, joka on suljettu sen soveltamisalan ulkopuolelle.

104. Nämä seikat riittävät mielestäni sen toteamiseen, että, kuten parlamentti katsoo, komissiolla ei ollut direktiivin 95/46 25 artiklan nojalla toimivaltaa tehdä päätöstä, joka koskee sellaisten henkilötietojen suojan riittävää tasoa, jotka siirretään nimenomaan kyseisen direktiivin soveltamisalan ulkopuolelle jätetyn käsittelyn yhteydessä ja tällaista käsittelyä varten.( )

105. Kyseisellä suojan riittävää tasoa koskevalla päätöksellä rikotaan näin ollen perussäädöstä, joka on direktiivi 95/46, ja erityisesti sen 25 artiklaa, joka ei ole päätökselle asianmukainen perusta. Katson, että päätös on tämän vuoksi kumottava.

106. Lisäksi sikäli kuin katson, että suojan riittävää tasoa koskeva päätös ei kuulu direktiivin 95/46 soveltamisalaan, ei ole mielestäni asiaankuuluvaa analysoida tätä päätöstä kyseiseen direktiiviin sisältyvien keskeisten periaatteiden kannalta, kuten parlamentti kehottaa toisessa kanneperusteessaan tekemään.( ) Näin ollen katson, että ei ole syytä tutkia toista kanneperustetta.

107. Käsiteltävänä olevan kanteen kolmas ja neljäs kanneperuste, joita tarkastelen vain toissijaisesti, eivät mielestäni voi olla erillisen analyysin kohteena, sillä sen tutkiminen, onko suojan riittävää tasoa koskevalla päätöksellä mahdollisesti loukattu perusoikeuksia, sisältää välttämättä arvioinnin siitä, onko tässä päätöksessä noudatettu suhteellisuusperiaatetta, kun otetaan huomioon sillä tavoiteltava päämäärä. Näin ollen ehdotan, että yhteisöjen tuomioistuin tarkastelee yhdessä kolmatta ja neljättä kanneperustetta.

B Perusoikeuksien ja suhteellisuusperiaatteen loukkaamiseen perustuvat kanneperusteet

108. Parlamentti väittää, että suojan riittävää tasoa koskevassa päätöksessä ei kunnioiteta oikeutta henkilötietojen suojaan, sellaisena kuin se on taattu Euroopan ihmisoikeussopimuksen 8 artiklassa. Tarkemmin sanoen se katsoo kyseisessä artiklassa asetetut edellytykset huomioon ottaen, että kyseinen päätös merkitsee puuttumista yksityiselämään, mitä ei voida pitää laissa säädettynä, sillä kyseessä on toimenpide, joka ei ole saatavilla eikä ennakoitavissa. Lisäksi parlamentti katsoo, että kyseinen toimenpide ei ole oikeassa suhteessa päämäärään, jota sillä tavoitellaan, erityisesti kun otetaan huomioon vaadittujen PNR‑tietokenttien liiallinen määrä ja tietojen liian pitkä säilyttämisaika.

109. Asiassa C‑317/04 nostamassaan kanteessa, jolla pyritään neuvoston päätöksen kumoamiseen, parlamentti vetoaa myös kyseisiin kahteen kanneperusteeseen ja esittää niiden tueksi argumentteja, jotka suureksi osaksi ovat yhteneväisiä. Katson, että kyseisiä kanneperusteita, jotka on esitetty näissä kahdessa yhteisöjen tuomioistuimen käsiteltäväksi saatetussa asiassa, on tarkasteltava yhdessä ja tämä tarkastelu on mielestäni asiallista suorittaa asialle C‑317/04 omistetun esitykseni yhteydessä.

110. Asianosaisten kirjelmissään esittämistä argumenteista näet ilmenee, että on mahdotonta käsittää erikseen yksityisyyden kunnioittamista koskevan oikeuden osalta sen järjestelmän osatekijöitä, joka koskee CBP:n suorittamaa PNR‑tietojen käsittelyä( ) ja jonka muodostavat sopimus, sellaisena kuin se on neuvoston päätöksellä hyväksytty, suojan riittävää tasoa koskeva päätös ja CBP:n sitoumukset, jotka ovat komission kyseisen päätöksen liitteenä. Asianosaiset viittaavat sitä paitsi useaan otteeseen jompaankumpaan kyseisistä säädöksistä todistelutarkoituksessa.

111. Näiden PNR‑järjestelmän kolmen osatekijän keskinäinen riippuvuus ilmenee nimenomaisesti itse sopimuksen sanamuodosta. Sekä CBP:n sitoumuksiin että suojan riittävää tasoa koskevaan päätökseen viitataan näet sopimuksen johdanto-osassa. Sen jälkeen kyseisen sopimuksen 1 kohdassa täsmennetään, että CBP:llä on pääsy PNR‑tietoihin ”ainoastaan [suojan riittävää tasoa koskevan] päätöksen mukaisesti ja ainoastaan niin kauan kuin päätös on voimassa – – ”. Lisäksi vaikka kyseisen sopimuksen 2 kohdan mukaan siinä tarkoitettujen lentoyhtiöiden on käsiteltävä PNR‑tietoja ”tavalla, jota CBP edellyttää Yhdysvaltojen lainsäädännön nojalla”, se tapahtuu kuitenkin ”vain [suojan riittävää tasoa koskevan] päätöksen mukaisesti ja – – niin kauan kuin päätös on voimassa”. Lopuksi sopimuksen 3 kohdassa määrätään, että ”CBP panee merkille [suojan riittävää tasoa koskevan] päätöksen ja toteaa [panevansa] täytäntöön sen liitteenä olevat sitoumukset”.

112. Näistä seikoista seuraa, että CBP:lle sopimuksella myönnetty PNR‑tietoihin pääsyä koskeva oikeus sekä kyseisessä sopimuksessa tarkoitetuilla lentoyhtiöillä oleva velvollisuus käsitellä kyseisiä tietoja edellyttävät suojan riittävää tasoa koskevan päätöksen tiukkaa ja tehokasta noudattamista.

113. PNR‑järjestelmän kolmen osatekijän keskinäinen riippuvuus sekä se, että parlamentti on esittänyt perusoikeuksien ja suhteellisuusperiaatteen loukkaamiseen perustuvat kanneperusteet näissä kahdessa yhteisöjen tuomioistuimen ratkaistavaksi saatetussa asiassa, auttavat ymmärtämään, että kyseisten perusteiden tarkoituksena on saada yhteisöjen tuomioistuin toteamaan, että kolmesta osatekijästä muodostuva PNR‑järjestelmä on ristiriidassa Euroopan ihmisoikeussopimuksen 8 artiklassa taatun yksityiselämän kunnioittamista koskevan oikeuden kanssa. Mielestäni olisi näet keinotekoista tarkastella suojan riittävää tasoa koskevaa päätöstä ottamatta huomioon sopimusta, jolla asetetaan lentoyhtiöille tiettyjä velvollisuuksia, ja toisaalta tarkastella kyseistä sopimusta ottamatta huomioon muita sovellettavia tekstejä, joihin kyseisessä asiakirjassa nimenomaisesti viitataan.

114. Kun otetaan huomioon, että järjestelmä koostuu useista osista, jotka eivät ole erotettavissa toisistaan, analyysia ei siis pidä keinotekoisesti jakaa.

115. Yksityisyyteen puuttuminen tästä näkökulmasta koostuu siis kokonaisuudesta, jonka muodostavat sopimus, sellaisena kuin se on neuvoston päätöksellä hyväksytty, suojan riittävää tasoa koskeva päätös ja CBP:n sitoumukset. Jotta voidaan tarkastella, onko kyseisestä puuttumisesta säädetty laissa, pyritäänkö sillä oikeutettuun päämäärään ja onko se välttämätöntä demokraattisessa yhteiskunnassa, on myös tarpeen ottaa huomioon näin perustetun ”kolmen vaihteen” mekanismin kokonaisuus, kuten parlamentti tekee kahdessa kannekirjelmässään. Yleisnäkemyksen saamiseksi PNR‑järjestelmästä suoritan tämän tarkastelun kanteen yhteydessä, jolla pyritään neuvoston päätöksen kumoamiseen.

VI Kanne, jolla pyritään neuvoston päätöksen kumoamiseen (asia C‑317/04)

A Kanneperuste, jonka mukaan EY 95 artikla on virheellisesti valittu neuvoston päätöksen oikeudelliseksi perustaksi

1. Asianosaisten lausumat

116. Euroopan parlamentti korostaa, että EY 95 artikla ei ole asianmukainen oikeudellinen perusta neuvoston päätökselle. Parlamentin mukaan päätöksen päämääränä ja sisältönä ei nimittäin ole sisämarkkinoiden toteuttaminen ja toiminta. Neuvoston päätöksen tavoitteena on pikemminkin laillistaa henkilötietojen käsittely, jonka Yhdysvaltojen lainsäädäntö on pakottanut yhteisön alueelle sijoittautuneet lentoyhtiöt hyväksymään. Tässä päätöksessä ei täsmennetä, missä määrin tämä kolmanteen maahan suuntautuvien tietojen siirtojen laillistaminen myötävaikuttaa sisämarkkinoiden toteuttamiseen ja toimintaan.

117. Parlamentin mukaan neuvoston päätöksen sisältö ei myöskään oikeuta turvautumaan EY 95 artiklaan oikeudellisena perustana. Kyseinen päätös muodostuu siitä, että CBP:lle perustetaan oikeus päästä yhteisön alueella sijaitsevien lentoyhtiöiden varausjärjestelmiin, ja tämä tapahtuu Yhdysvaltojen ja jäsenvaltioiden välisten lentojen toteuttamiseksi Yhdysvaltojen lainsäädännön mukaisesti terrorismin ehkäisemiseksi ja torjumiseksi. Kyseisten päämäärien toteuttaminen ei kuitenkaan kuulu EY 95 artiklan vaikutuksen piiriin.

118. Lopuksi parlamentti lisää, että EY 95 artikla ei voi perustaa yhteisölle toimivaltaa kyseessä olevan sopimuksen tekemiseen, sikäli kuin sopimus koskee tietojen käsittelyjä, jotka suoritetaan yleiseen turvallisuuteen liittyviä tarkoituksia varten ja jotka eivät siis kuulu direktiivin 95/46, jonka perustana on perustamissopimuksen kyseinen artikla, soveltamisalaan.

119. Neuvosto puolestaan katsoo, että sen päätöksen perustana on aivan oikein ollut EY 95 artikla. Sen mukaan tämä artikla voi olla perustana toimenpiteille, joilla pyritään turvaamaan se, että kilpailuolosuhteet eivät vääristy sisämarkkinoilla. Se väittää tältä osin, että sopimuksella pyritään poistamaan jäsenvaltioiden lentoyhtiöiden väliltä, sekä näiden ja kolmansien maiden lentoyhtiöiden väliltä, kaikki kilpailun vääristymät, joita voi Yhdysvaltojen vaatimusten vuoksi esiintyä henkilöiden oikeuksien ja vapauksien suojeluun liittyvistä syistä. Kansainvälistä henkilöliikennettä Yhdysvalloista tai Yhdysvaltoihin harjoittavien jäsenvaltioiden lentoyhtiöiden väliset kilpailuolosuhteet olisivat voineet vääristyä, jos ainoastaan tietyt niistä sallisivat Yhdysvaltojen viranomaisille pääsyn tietokantoihinsa.

120. Tämän käsityksen mukaisesti neuvosto korostaa yhtäältä, että Yhdysvaltojen viranomaiset olisivat voineet määrätä sakkoja sellaisten lentoyhtiöiden maksettavaksi, jotka eivät noudata Yhdysvaltojen viranomaisten vaatimuksia, niiden lennot olisivat voineet viivästyä ja ne olisivat voineet menettää matkustajia muille lentoyhtiöille, jotka ovat tehneet sopimuksen Yhdysvaltojen kanssa. Toisaalta tietyt jäsenvaltiot olisivat voineet rangaista lentoyhtiöitä, jotka siirtävät kyseessä olevia henkilötietoja, kun taas toiset jäsenvaltiot eivät olisi välttämättä toimineet samalla tavalla.

121. Näissä olosuhteissa ja Yhdysvaltojen viranomaisten pääsyä PNR‑tietoihin koskevan yhteisen sääntelyn puuttuessa neuvosto katsoo, että oli olemassa kilpailuolosuhteiden vääristymisen riski ja että sisämarkkinoiden yhtenäisyys olisi vakavasti vahingoittunut. Sen mukaan oli näin ollen välttämätöntä vahvistaa Yhdysvaltojen viranomaisten pääsyä kyseisiin tietoihin koskevat yhdenmukaiset edellytykset ja turvata samalla perusoikeuksien kunnioittamista koskevat yhteisön vaatimukset. Kysymys oli siis yhdenmukaisten velvoitteiden asettamisesta kaikille kyseessä oleville lentoyhtiöille sekä sisämarkkinoiden toteuttamista ja toimintaa koskevasta ulkoisesta näkökohdasta.

122. Lopuksi neuvosto huomauttaa, että sopimus on tehty direktiivin 95/46 25 artiklan 6 kohdan perusteella tehdyn suojan riittävää tasoa koskevan päätöksen jälkeen. Sen mukaan oli siis normaalia ja oikein perustaa päätös sopimuksen tekemisestä samalle oikeudelliselle perustalle kuin kyseinen direktiivi, toisin sanoen EY 95 artiklalle.

123. Komissio korostaa väliintulokirjelmässään, että sopimuksen johdanto-osan määräykset osoittavat, että Yhdysvalloille keskeinen tavoite on terrorismin torjunta, kun taas yhteisölle pääasiallinen tavoite on sen henkilötietojen suojaa koskevan lainsäädännön tärkeimpien osatekijöiden säilyttäminen.

124. Komissio huomauttaa, että vaikka parlamentti arvostelee EY 95 artiklan valintaa neuvoston päätöksen oikeudelliseksi perustaksi, se ei esitä uskottavaa vaihtoehtoa. Komission mukaan kyseinen artikla on neuvoston päätöksen ”luonnollinen” oikeudellinen perusta, sikäli kuin henkilötietojen suojan ulkoisen ulottuvuuden on perustuttava sisäistä toimenpidettä, joka on direktiivi 95/46, tukevaan perustamissopimuksen artiklaan, ja näin on varsinkin, kun tästä ulkoisesta näkökohdasta on nimenomaan säädetty kyseisen direktiivin 25 ja 26 artiklassa. Lisäksi, kun otetaan huomioon sopimuksen, suojan riittävää tasoa koskevan päätöksen ja CBP:n sitoumusten läheinen yhteys ja keskinäinen riippuvuus, EY 95 artikla osoittautuu asianmukaiseksi oikeudelliseksi perustaksi. Joka tapauksessa komissio väittää, että neuvostolla oli oikeus tehdä sopimus kyseisen artiklan perusteella, sillä jos jäsenvaltiot olisivat tehneet erikseen tai yhdessä tällaisen sopimuksen muutoin kuin yhteisön puitteissa, se olisi vaikuttanut direktiiviin 95/46 ERTA‑oikeuskäytännössä( ) tarkoitetulla tavalla.

125. Lopuksi komissio korostaa, että lentoyhtiöt suorittavat kyseessä olevien tietojen ensimmäisen käsittelyn kaupallisessa tarkoituksessa. Tämän vuoksi ne eivät välty direktiivin 95/46 vaikutukselta sen takia, että Yhdysvaltojen viranomaiset käyttävät niitä.

2. Arviointi

126. Ensimmäisessä kanneperusteessaan parlamentti vaatii yhteisöjen tuomioistuinta ratkaisemaan, onko EY 95 artikla asianmukainen oikeudellinen perusta, jolle käsiteltävänä olevassa asiassa kyseessä olevan kaltaisen kansainvälisen sopimuksen tekemistä koskeva neuvoston päätös voidaan perustaa. Tähän kysymykseen vastaamiseksi on käytettävä yhteisöjen tuomioistuimen vakiintunutta oikeuskäytäntöä, jonka mukaan yhteisön toimen oikeudellisen perustan valinnan on perustuttava objektiivisiin seikkoihin, jotka voivat olla tuomioistuinvalvonnan kohteena ja joihin kuuluvat erityisesti toimen päämäärä ja sisältö.( ) Nimittäin ”yhteisön toimivaltajärjestelmässä toimen oikeudellisen perustan valinta ei voi perustua ainoastaan tietyn toimielimen näkemykseen tavoitellusta päämäärästä – – ”.( )

127. Muistutan, että yhteisöjen tuomioistuin on todennut, että ”asianmukaisen oikeudellisen perustan valinnalla on perustuslaillinen merkitys. Koska yhteisöllä on ainoastaan rajoitettu toimivalta, sen on [kyseessä olevan kansainvälisen sopimuksen osalta] viitattava perustamissopimuksen määräykseen, jossa se oikeutetaan hyväksymään tällainen toimi”. Yhteisöjen tuomioistuimen mukaan ”virheellisen oikeudellisen perustan käyttäminen voi siis johtaa itse hyväksymistoimen kumoamiseen ja tehdä siten pätemättömäksi yhteisön suostumuksen sitoutua allekirjoittamaansa sopimukseen”.( )

128. Tarkastelen näin ollen yhteisöjen tuomioistuimen käyttämän analyysimenetelmän mukaisesti, oikeuttivatko sopimuksen päämäärä ja sisältö neuvoston tekemään EY 95 artiklan perusteella päätöksen, jonka tavoitteena oli sen 1 artiklan sanamuodon mukaisesti hyväksyä yhteisön puolesta kyseinen sopimus.

129. Mitä tulee sopimuksen päämäärään, sen johdanto-osan ensimmäisestä kappaleesta ilmenee nimenomaisesti, että sillä pyritään kahteen tavoitteeseen, nimittäin yhtäältä estämään ja torjumaan terrorismia ja siihen liittyvää rikollisuutta sekä muita valtioiden rajat ylittäviä vakavia rikoksia, myös järjestäytynyttä rikollisuutta,( ) ja toisaalta kunnioittamaan perusoikeuksia ja ‑vapauksia sekä erityisesti yksityisyyden suojaa.

130. Pyrkimystä terrorismin ja muiden vakavien rikosten torjuntaa koskevaan tavoitteeseen osoittaa sopimuksen johdanto-osan toisessa kappaleessa oleva viittaus Yhdysvaltojen lakeihin ja määräyksiin, jotka on hyväksytty 11.9.2001 tapahtuneiden terroristi-iskujen jälkeen ja joiden nojalla kaikkien kansainvälistä henkilöliikennettä Yhdysvaltoihin tai Yhdysvalloista harjoittavien lentoyhtiöiden on annettava CBP:lle sähköinen pääsy kyseisen lentoyhtiön automaattisiin varaus‑ ja lähtöselvitysjärjestelmiin kerättyihin ja tallennettuihin PNR‑tietoihin.

131. Perusoikeuksien ja erityisesti yksityisyyden suojaa koskevan oikeuden kunnioittamista koskeva tavoite näkyy viittauksesta direktiiviin 95/46. Kysymys on siis siitä, että kuljetettavien yksilöiden henkilötietojen suoja taataan.

132. Tämän suojan takaamista tavoitellaan sekä CBP:n 11.5.2004 antamissa sitoumuksissa, jotka sopimuksen johdanto-osan neljännessä kappaleessa olevan maininnan mukaan julkaistaan Federal Registerissä, että suojan riittävää tasoa koskevassa päätöksessä, joka mainitaan kyseisen johdanto-osan viidennessä kappaleessa.

133. Sopimuksen johdanto-osan ensimmäisen kappaleen mukaan näihin kahteen tavoitteeseen on pyrittävä samanaikaisesti. Yhteisön ja Yhdysvaltojen välillä tehdyssä sopimuksessa yritetään siis sovittaa yhteen nämä kaksi tavoitetta, toisin sanoen se perustuu ajatukseen, jonka mukaan terrorismin ja muiden vakavien rikosten torjuntaa on ohjattava perusoikeuksia, erityisesti oikeutta yksityisyyden suojaan ja tarkemmin sanoen oikeutta henkilötietojen suojaan, kunnioittaen.

134. Sopimuksen sisältö vahvistaa tämän analyysin. Sen 1 kohdassa näet määrätään, että CBP:llä on sähköinen pääsy lentoyhtiöiden yhteisön jäsenvaltioiden alueella sijaitsevissa varausjärjestelmissä oleviin PNR‑tietoihin ”ainoastaan [suojan riittävää tasoa koskevan] päätöksen mukaisesti” ja ”ainoastaan niin kauan kuin päätös on voimassa”. Päättelen tästä, että keino terrorismin ja muiden vakavien rikosten torjumiseksi, jonka pääsy lentomatkustajien PNR‑tietoihin muodostaa, on sallittu sopimuksella ainoastaan jos todetaan, että kyseiset tiedot saavat Yhdysvalloissa riittävän tasoisen suojan. Sopimuksen kyseisen määräyksen sisältö ilmaisee näin, että terrorismin ja muiden vakavien rikosten torjuntaa sekä henkilötietojen suojaa koskeviin tavoitteisiin pyritään samanaikaisesti.

135. Sama toteamus on välttämätön tarkasteltaessa sopimuksen 2 kohtaa, joka velvoittaa kansainvälistä henkilöliikennettä Yhdysvalloista tai Yhdysvaltoihin harjoittavat lentoyhtiöt käsittelemään automaattisiin varausjärjestelmiinsä tallennettuja PNR‑tietoja ”vain [suojan riittävää tasoa koskevan] päätöksen mukaisesti ja tavalla, jota CBP edellyttää Yhdysvaltojen lainsäädännön nojalla, sekä ainoastaan niin kauan kuin päätös on voimassa”. Siinäkin velvoite, joka lentoyhtiöillä vastedes on terrorismin ja muiden vakavien rikosten torjumiseksi, on läheisesti sidoksissa lentomatkustajien henkilötietojen riittävään suojaan.

136. Sopimuksen muiden määräysten tarkoituksena on ilmaista terrorismin ja muiden vakavien rikosten torjuntaa ja lentomatkustajien henkilötietojen suojaa koskevia päämääriä.

137. Kyseisten matkustajien henkilötietojen suojaa koskevasta tavoitteesta todetaan näin ollen sopimuksen 3 kohdassa, että ”CBP panee merkille [suojan riittävää tasoa koskevan] päätöksen ja toteaa [panevansa] täytäntöön sen liitteenä olevat sitoumukset”.

138. Lisäksi sopimuksen 6 kohdassa otetaan huomioon oletus, että Euroopan unionissa puolestaan otettaisiin käyttöön lentomatkustajien tunnistusjärjestelmä, jonka mukaisesti lentoyhtiöiden olisi annettava toimivaltaisille viranomaisille pääsy niitä matkustajia koskeviin PNR‑tietoihin, joiden matkaan sisältyisi lento Euroopan unioniin tai Euroopan unionista. Sen tilanteen varalta, että Euroopan unioni ottaisi käyttöön kyseisen toimenpiteen, sopimuksessa määrätään, että Department of Homeland Securityn ”on mahdollisuuksien mukaan ja vastavuoroisuusperiaatetta tarkasti noudattaen edistettävä aktiivisesti toimivaltansa piiriin kuuluvien lentoyhtiöiden tekemää yhteistyötä”. Tässä on kysymyksessä määräys, josta ilmenee jälleen kerran terrorismin ja muiden vakavien rikosten torjuntaa koskeva tavoite.

139. Täsmennän tältä osin vastauksena tiettyihin komission esittämiin argumentteihin, että minusta näyttää näin ollen vaikealta vakuuttaa, että terrorismin ja muiden vakavien rikosten torjunta olisi yksipuolisesti ja ainoastaan Yhdysvaltojen tavoitteena ja että yhteisön päämääränä olisi ainoastaan lentomatkustajien henkilötietojen suojelu.( ) Tosiasiassa olen sitä mieltä, että sopimuksen päämääränä ja sisältönä on kunkin sopimuspuolen näkökulmasta katsoen samanaikaisesti sovittaa yhteen terrorismin ja muiden vakavien rikosten torjuntaa ja lentomatkustajien henkilötietojen suojaa koskevat tavoitteet. Tämän vuoksi sopimuksella määrätään sopimuspuolten välisestä yhteistyöstä, jolla on nimenomaan tarkoitus saavuttaa kyseinen kaksoistavoite samanaikaisesti.

140. Kun otetaan huomioon sopimuksen näin kuvailtu päämäärä ja sisältö, olen sitä mieltä, että EY 95 artikla ei ole neuvoston päätöksen asianmukainen oikeudellinen perusta.

141. Tältä osin on muistutettava, että EY 95 artiklan 1 kohta koskee sisämarkkinoiden toteuttamista ja toimintaa koskevia neuvoston toimenpiteitä jäsenvaltioiden lakien, asetusten ja hallinnollisten määräysten lähentämiseksi.

142. Tässä perustamissopimuksen artiklassa yhteisölle annettu toimivalta on luonteeltaan horisontaalista, toisin sanoen sitä ei ole rajattu tietylle alalle. Yhteisön toimivallan ulottuvuus on näin ollen määritelty ”toiminnallisen kriteerin perusteella, joka ulottuu horisontaalisesti kaikkiin toimenpiteisiin, joiden tarkoituksena on ’sisämarkkinoiden’ toteuttaminen”.( )

143. Yhteisöjen tuomioistuimen oikeuskäytännöstä ilmenee lisäksi, että EY 95 artiklan 1 kohdassa tarkoitettujen toimenpiteiden tarkoituksena on parantaa sisämarkkinoiden toteuttamisen ja toiminnan edellytyksiä ja että niillä on todella oltava tämä tavoite, koska niillä edistetään tavaroiden vapaan liikkuvuuden esteiden poistamista, palvelujen vapaata tarjoamista tai edelleen kilpailun vääristymien poistamista.( ) Kyseisestä oikeuskäytännöstä seuraa myös, että vaikka EY 95 artiklaan turvautuminen oikeudellisena perustana on mahdollista sellaisten tulevien kaupan esteiden syntymisen ehkäisemiseksi, jotka johtuvat kansallisten lainsäädäntöjen epäyhtenäisestä kehityksestä, tällaisten esteiden esiintymisen on oltava todennäköistä ja kyseisen toimenpiteen tavoitteena on oltava niiden ehkäiseminen.( )

144. Kuten olen jo esittänyt, neuvosto väittää, että sen päätös on tehty asianmukaisesti EY 95 artiklan perusteella siltä osin kuin Yhdysvaltojen kanssa tehty sopimus on poistamalla kaikki kilpailun vääristymät jäsenvaltioiden lentoyhtiöiden väliltä sekä näiden ja kolmansien maiden lentoyhtiöiden väliltä myötävaikuttanut siihen, että vakavan vahingon aiheutuminen sisämarkkinoiden yhtenäisyydelle on vältetty.

145. On tosin huomattava, että neuvoston päätöksen toisessa perustelukappaleessa vedotaan ”lentoyhtiöiden ja matkustajien epävarman tilanteen korjaamise[en] kiireellisesti sekä asianomaisten tahojen taloudellisten etujen suojaamise[en]”. Tämä lause voitaisiin ymmärtää siten, että se viittaa sanktioihin, joita toimivaltaiset Yhdysvaltojen viranomaiset voivat määrätä lentoyhtiöille, jotka kieltäytyisivät tarjoamasta pääsyä matkustajiensa PNR‑tietoihin, ja näillä sanktioilla voisi olla taloudellisia seurauksia kyseisille lentoyhtiöille. Olisi mahdollista ymmärtää, että tällaisessa tilanteessa kyseiset sanktiot, joilla on haitallisia taloudellisia vaikutuksia tiettyjen lentoyhtiöiden osalta, voivat olla syynä kilpailun vääristymiin kaikkien yhteisön jäsenvaltioiden alueelle sijoittautuneiden lentoyhtiöiden välillä.

146. Toisaalta voin myös ymmärtää, että jäsenvaltioiden erilainen suhtautuminen niin, että jotkut kieltävät sanktioiden uhalla niiden alueelle sijoittautuneita lentoyhtiöitä sallimasta niiden matkustajien PNR‑tietojen siirtoa, kun taas toiset eivät toimisi siten, voisi vaikuttaa myös epäsuorasti sisämarkkinoiden toimintaan lentoyhtiöiden välille mahdollisesti syntyvien kilpailun vääristymien vuoksi.

147. Kuitenkin on todettava, että tällainen tavoite, jolla pyritään välttämään kilpailun vääristymät, sikäli kuin neuvosto todellakin pyrkii siihen, on luonteeltaan liitännäinen verrattuna kahteen päätavoitteeseen, joita ovat terrorismin ja muiden vakavien rikosten torjunta sekä matkustajien henkilötietojen suojelu ja jotka on nimenomaisesti mainittu ja todella toteutettu sopimuksen määräyksissä, kuten olemme havainneet.

148. Kilpailun vääristymien välttämistä koskeva tavoite, riippumatta siitä, onko kyseessä, kuten neuvosto asian ilmaisee, jäsenvaltioiden lentoyhtiöiden tai näiden ja kolmansien maiden lentoyhtiöiden välinen kilpailu, ei puolestaan esiinny nimenomaisesti missään sopimusmääräyksessä. Se on luonteeltaan implisiittinen ja siis välttämättä liitännäinen verrattuna kahteen muuhun.

149. Huomautan kuitenkin, kuten yhteisöjen tuomioistuin on jo todennut, että ”pelkästään se seikka, että jokin säädös saattaa vaikuttaa sisämarkkinoiden luomiseen ja toimintaan, ei oikeuta käyttämään [kyseistä määräystä] tämän säädöksen oikeudellisena perustana”.( )

150. Ennen kaikkea yhteisöjen tuomioistuimen vakiintuneesta oikeuskäytännöstä ilmenee, että jos yhteisön säädöksen tarkastelu osoittaa, että sillä on useita tarkoituksia tai että siinä on useita osatekijöitä, ja jos yksi näistä on yksilöitävissä pääasialliseksi tai määrääväksi ja toinen ainoastaan liitännäiseksi, kyseessä oleva toimi on perustettava yhteen ainoaan oikeudelliseen perustaan, eli siihen, jota pääasiallinen tai määräävä tarkoitus tai osatekijä edellyttää.( ) Ainoastaan jos osoitetaan, että toimella pyritään samanaikaisesti useampiin toisiinsa erottamattomasti liittyviin tavoitteisiin, joista yksikään ei ole toiseen nähden toisarvoinen ja välillinen, tällainen toimi on poikkeuksellisesti perustettava vastaaviin eri oikeudellisiin perustoihin.( ) Mielestäni näin ei ole asian laita käsiteltävänä olevassa asiassa.

151. Huomautan vielä, että vaikka katsottaisiin, että sopimuksella pyritään kyseisiin kolmeen tavoitteeseen, jotka eivät ole toisistaan erotettavissa, neuvoston valintaa perustaa oikeudellisesti päätöksensä yksinomaan EY 95 artiklaan on pidettävä joka tapauksessa kyseisen oikeuskäytännön nojalla virheellisenä.

152. Itse asiassa luettaessa neuvoston päätöksen toinen perustelukappale kokonaisuudessaan ilmenee, että kiireellisyyden, johon neuvosto vetoaa, pääasiallisena tarkoituksena on selittää, että parlamentille on asetettu määräaika lausunnon antamista varten EY 300 artiklan 3 kohdan ensimmäisen alakohdan mukaisesti, jossa määrätään, että sopimusten tekomenettelyn yhteydessä ”Euroopan parlamentti antaa lausuntonsa määräajassa, jonka neuvosto voi asettaa asian kiireellisyyden mukaan”. Tässä artiklassa määrätään lisäksi, että ”jos lausuntoa ei anneta määräajassa, neuvosto voi tehdä ratkaisunsa”. Tällainen oli tilanne menettelyssä, jota noudatettiin neuvoston päätöksen tekemiseksi.

153. Toisin sanoen vaikka ”lentoyhtiöiden ja matkustajien epävarman tilanteen korjaami[nen] kiireellisesti sekä asianomaisten tahojen taloudellisten etujen suojaami[nen]” on saatettu todella ottaa huomioon PNR‑tietoja koskevan järjestelmän perustamiseen tähtäävässä prosessissa, minusta vaikuttaa siltä, että tällä huomioon ottamisella on ollut merkittävämpi osa noudatetun menettelyn yhteydessä kuin sopimuksen päämäärän ja sisällön määrittelyssä.

154. Mitä tulee neuvoston ja komission väitteeseen, jonka mukaan toimi, joka koskee henkilötietojen suojan ulkoista ulottuvuutta, olisi perustettava samaan oikeudelliseen perustaan kuin sisäinen toimenpide, joka on direktiivi 95/46, on korostettava, että yhteisöjen tuomioistuin on jo todennut, että sitä seikkaa, että perustamissopimuksen tietty määräys on valittu joidenkin sisäisten toimien oikeudelliseksi perustaksi, ei riitä osoittamaan, että samaa perustaa olisi käytettävä myös hyväksyttäessä kansainvälistä sopimusta, jolla on samanlainen aihealue.( ) Olen myös osoittanut, ettei sopimuksen päämääränä eikä sisältönä ole parantaa sisämarkkinoiden toiminnan edellytyksiä, kun taas EY 95 artiklan nojalla annetulla direktiivillä 95/46 ”pyritään edistämään henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä yhdenmukaistamalla ne lait, asetukset ja hallinnolliset määräykset, jotka koskevat yksilöiden suojelua tällaisten tietojen käsittelyssä”.( )

155. Edellä esitettyjen seikkojen perusteella katson, että sopimuksen päämäärän ja sisällön tarkastelu osoittaa, että EY 95 artikla ei ole asianmukainen oikeudellinen perusta neuvoston päätökselle.

156. Tämän vuoksi ehdotan, että yhteisöjen tuomioistuin toteaa, että parlamentin esittämä ensimmäinen kanneperuste on perusteltu. Tästä seuraa, että neuvoston päätös on kumottava sen oikeudellisen perustan virheellisen valinnan vuoksi.

157. Tässä vaiheessa olisi tosin kiinnostavaa pohtia kysymystä siitä, mikä tällaisen päätöksen asianmukaisen oikeudellisen perustan pitäisi olla. On kuitenkin tärkeää huomata, että tätä vaikeaa kysymystä ei ole saatettu yhteisöjen tuomioistuimen ratkaistavaksi nyt käsiteltävänä olevan asian yhteydessä. Näin ollen esitän ainoastaan joitakin huomioita tästä ongelmasta ja yleisemmin PNR‑järjestelmän luonteesta, sellaisena kuin siitä on neuvoteltu Yhdysvaltojen kanssa.

158. Ensinnäkin neuvoston puolustaman käsityksen vastaisesti se, että PNR-järjestelmää ei ole otettu käyttöön Euroopan unionista tehdyn sopimuksen määräysten puitteissa, ei ole mielestäni omiaan osoittamaan neuvoston ja komission hyväksymän lähestymistavan oikeudellista pätevyyttä.

159. Sitten yleisemmin ottaen katson, että toimi, jossa määrätään siitä, että henkilötietoja saa kysyä ja käyttää yksikkö, jonka tehtävänä on turvata valtion sisäinen turvallisuus, sekä kyseisten tietojen asettamisesta tällaisen yksikön saataville, on rinnastettavissa julkisten viranomaisten välistä yhteistyötä koskevaan toimeen.( )

160. Lisäksi se, että oikeushenkilö määrätään suorittamaan tällainen tietojenkäsittely ja että se velvoitetaan suorittamaan kyseisten tietojen siirto, ei näytä olevan pohjimmiltaan kaukana julkisten viranomaisten välisestä suorasta tietojenvaihdosta.( ) Tärkeää on tietojen pakollinen ilmoittaminen turvallisuus‑ ja lainvalvontatarkoituksissa eikä se tapa, jolla se kussakin tilanteessa tapahtuu. Nyt käsiteltävänä oleva asia koskee todellisuudessa uutta problematiikkaa, joka liittyy kaupallisten tietojen käyttöön lainvalvontatarkoituksissa.( )

161. Lopuksi on huomattava, että ensimmäisen oikeusasteen tuomioistuin on todennut, että ”kansainvälistä terrorismin vastaista taistelua – – ei voida yhdistää mihinkään yhteisölle EY 2 ja EY 3 artiklassa nimenomaisesti määrätyistä tavoitteista”.( )

162. Kun otetaan huomioon, että ensimmäistä kanneperustetta koskevan analyysini perusteella päädyin ehdottamaan, että yhteisöjen tuomioistuin kumoaisi neuvoston päätöksen sen oikeudellisen perustan virheellisen valinnan vuoksi, tarkastelen vain toissijaisesti muita kanneperusteita, jotka parlamentti on esittänyt tämän kanteen tueksi.

B Kanneperuste, jonka mukaan EY 300 artiklan 3 kohdan toista alakohtaa on rikottu direktiiviin 95/46 aiheutuvan muutoksen vuoksi

1. Asianosaisten lausumat

163. Toisessa kanneperusteessaan parlamentti väittää, että yhteisön ja Yhdysvaltojen välinen sopimus voitiin hyväksyä yhteisön puolesta ainoastaan EY 300 artiklan 3 kohdan toisessa alakohdassa tarkoitettua menettelyä noudattaen. Tässä artiklassa näet määrätään, että ”sopimukset, joista aiheutuu muutos 251 artiklassa tarkoitettua menettelyä noudattaen annettuun säädökseen, tehdään sen jälkeen, kun Euroopan parlamentin puoltava lausunto on saatu”. Tämän toimielimen mukaan kyseessä olevasta sopimuksesta aiheutuu muutos direktiiviin 95/46, joka on annettu EY 251 artiklassa tarkoitetun menettelyn mukaisesti.

164. Parlamentin mielestä sitoumukset, joita Yhdysvaltojen viranomaiset ovat suostuneet noudattamaan sopimuksen mukaisesti, ovat kaukana tietojenkäsittelyn edellytyksistä, joista säädetään direktiivissä 95/46. Niin muodoin sopimuksen seurauksena poiketaan tietyistä kyseisen direktiivin keskeisistä periaatteista ja tehdään laillisiksi tietojenkäsittelyt, joita ei ole siinä sallittu. Tässä mielessä sopimuksella muutettaisiin direktiiviä 95/46. Parlamentti yksilöi erityisesti seuraavat muutokset.

165. Ensinnäkin parlamentin mukaan sopimus koskee terrorismin ja muiden vakavien rikosten estämistä ja torjuntaa, vaikka direktiivin 95/46 3 artiklan 2 kohdan ensimmäisen luetelmakohdan mukaan sen soveltamisalaan eivät kuulu tietojen siirto kolmannen maan julkisille viranomaisille kyseisen valtion yleiseen turvallisuuteen liittyvistä syistä. Parlamentti huomauttaa, että jäsenvaltiot ovat hyväksyneet tässä tarkoituksessa erityiset määräykset Europol‑yleissopimuksessa ja että näin ollen voidaan katsoa, että nämä kaksi asiakirjaa, joiden oikeudellinen perusta on erilainen, täydentävät toisiaan tällä alalla.

166. Toiseksi Yhdysvaltojen toimivaltaisille viranomaisille annettu mahdollisuus päästä suoraan henkilötietoihin yhteisön alueen sisällä (”pull”‑järjestelmä) merkitsee parlamentin mukaan myös muutosta direktiiviin 95/46. Sen 25 ja 26 artiklaan ei näet sisälly säännöstä, jonka perusteella kolmannella valtiolla olisi oikeus päästä suoraan kyseisiin tietoihin.

167. Kolmanneksi sopimuksessa annetaan sitoumuksiin viittaamalla CBP:lle oikeus harkintansa mukaan ja tapauskohtaisesti siirtää PNR‑tietoja Yhdysvaltojen ulkopuolisille valtiollisille viranomaisille, joiden tehtävänä on lainvalvonta tai terrorismin torjunta. Yhdysvaltojen viranomaisille jätetty harkintavalta merkitsee parlamentin mielestä direktiivin 95/46 ja erityisesti sen 25 artiklan 1 kohdan rikkomista, jonka sanamuodon mukaan ”henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso”. Parlamentti nimittäin katsoo, että kyseisessä direktiivissä kehitetty suojajärjestelmä tehdään tyhjäksi, jos suojan riittävää tasoa koskevan myönteisen päätöksen kohteena oleva kolmas maa olisi sen jälkeen vapaa siirtämään henkilötiedot muihin maihin, joista komissio ei ole tehnyt minkäänlaista arviointia.

168. Neljänneksi sopimus sisältää muutoksen direktiiviin 95/46, sikäli kuin CBP:llä olisi oikeudellisesti lupa kerätä arkaluonteisia henkilötietoja, mikä merkitsisi jo tietojenkäsittelyä kyseisen direktiivin 2 artiklan b alakohdassa tarkoitetussa merkityksessä, vaikka se päättäisikin olla käyttämättä niitä.

169. Viidenneksi parlamentti katsoo, että sopimuksella muutetaan kyseistä direktiiviä, koska direktiivin 95/46 22 artiklassa säädetyn kaltaista mahdollisuutta käyttää oikeussuojakeinoa, jos kyseessä olevaan käsittelyyn sovellettavissa kansallisissa säännöksissä kaikille henkilöille taattuja oikeuksia loukataan, ei ole riittävästi taattu. Erityisesti henkilöllä, jota PNR‑tietojen siirto koskee, ei olisi mitään oikeussuojakeinoa esimerkiksi siinä tapauksessa, että häntä koskevat tiedot ovat virheellisiä tai että käytetään arkaluonteisia tietoja tai että tietoja siirretään toiselle viranomaiselle.

170. Kuudenneksi ja viimeiseksi parlamentti korostaa CBP:lle siirrettyjen PNR‑tietojen kohtuutonta säilytysaikaa, mikä merkitsee muutosta direktiiviin 95/46 ja erityisesti sen 6 artiklan 1 kohdan e alakohtaan, jossa säädetään, että tietoja säilytetään ainoastaan sen ajan ”kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään”.

171. Tietosuojavaltuutettu tukee parlamentin vaatimuksia siinä mielessä, että sen mukaan sopimuksella on vaikutusta direktiiviin 95/46. Se on sitä mieltä, että sopimus voitiin tehdä vain parlamentin demokraattisen valvonnan alaisena, koska se vaikuttaa kansallisten lainsäädäntöjen yhdenmukaistamisen tasoon, sellaisena kuin siitä on säädetty tässä direktiivissä, sekä ihmisoikeuksien kunnioittamiseen. Kyseisessä direktiivissä säädetyn henkilötietojen suojan tason vaarantaminen johtuu erityisesti siitä, että sekä ”pull”‑järjestelmässä että ”push”‑järjestelmässä lentoyhtiöiden on pakko toimia direktiivin ja erityisesti sen 6 artiklan 1 kohdan b ja c alakohdan vastaisesti. Koska tietosuojan tason vaarantamisesta aiheutuu muutos direktiiviin 95/46, tietosuojavaltuutettu katsoo, että EY 300 artiklan 3 kohdan toisessa alakohdassa määrättyjä menettelyn takeita ei ole noudatettu. Se katsoo lisäksi, että myöskään aineellisia takeita ei ole noudatettu erityisesti, koska CBP:n sitoumukset eivät ole luonteeltaan velvoittavia.

172. Sitä vastoin neuvosto, jota komissio tukee, katsoo, että sopimuksesta ei aiheudu muutosta direktiiviin 95/46. Tämän mielipiteen tueksi se lainaa kyseisen sopimuksen 8 kohtaa, jonka sanamuodon mukaan sopimuksella ”ei ole tarkoitus poiketa osapuolten lainsäädännöstä eikä muuttaa sitä”. Lisäksi se väittää, että kyseisessä direktiivissä annetaan komissiolle laaja harkintavalta kolmannessa maassa taatun suojan riittävyyden arvioinnissa. Tältä osin kysymys siitä, onko komissio ylittänyt harkintavaltansa rajat, muodostaa neuvoston mukaan pikemminkin suojan riittävää tasoa koskevaa päätöstä koskevan kumoamiskanteen kohteen asiassa C‑318/04.

173. Neuvosto huomauttaa myös, että sen mielestä perustelut (turvallisuus, terrorismin torjunta tai muu), jotka ovat saaneet CBP:n vaatimaan PNR‑tietojen siirtoa, eivät yhteisön näkökulmasta muodosta sopimuksen kohdetta eivätkä sen sisältöä. Lisäksi se katsoo, että direktiivissä 95/46 sallitaan henkilötietojen käyttö sisämarkkinoiden soveltamisalalla laillisiin tarkoituksiin, kuten valtion turvallisuuden suojeluun.

174. Joka tapauksessa vaikka oletettaisiin, että yhteisöllä ei ollut toimivaltaa tehdä sopimusta, tästä ei kuitenkaan neuvoston mukaan seuraisi, että parlamentin olisi pitänyt antaa puoltava lausuntonsa sillä väitetyllä perusteella, että sopimuksella muutettaisiin direktiiviä 95/46. Neuvosto nimittäin täsmentää, että parlamentin puoltava lausunto ei voisi missään tapauksessa johtaa yhteisön toimivalta-alan laajentumiseen.

175. CBP:n mahdollisuudesta päästä suoraan PNR‑tietoihin (tällä hetkellä sovellettava ”pull”‑järjestelmä odotettaessa ”push”‑järjestelmän käyttöön ottoa) neuvosto toteaa, että direktiivissä 95/46 ei kielletä sitä, vaikka se myöntääkin, että siinä ei nimenomaisesti mainita tällaista mahdollisuutta. Yhteisön näkökulmasta juuri tietoihin pääsyn edellytykset ovat tärkeitä.

176. Komissio lisää tähän argumenttiin, että riippumatta tarkoituksesta, johon CBP henkilötietoja käyttää, nämä tiedot ovat joka tapauksessa yhteisössä toimivien lentoyhtiöiden kaupallisia tietoja ja pysyvät kaupallisina tietoina, jotka kuuluvat direktiivin 95/46 soveltamisalaan ja joita on tämän vuoksi suojeltava ja käsiteltävä sen mukaisesti.

2. Arviointi

177. Yhteisön kansainvälisten sopimusten tekemisen osalta parlamentin kuuleminen näyttää olevan yhteisön oikeuden mukainen menettely lukuun ottamatta yhteisen kauppapolitiikan alaa. Parlamentin kuuleminen tapahtuu EY 300 artiklan 3 kohdan ensimmäisen alakohdan nojalla, mukaan luettuna silloin kun sopimus koskee alaa, jolla sisäisten sääntöjen antaminen edellyttää EY 251 artiklassa määrätyn yhteispäätösmenettelyn noudattamista.

178. Kyseisestä yhteisön oikeuden menettelystä poiketen EY 300 artiklan 3 kohdan toisessa alakohdassa edellytetään parlamentin puoltavaa lausuntoa neljässä tapauksessa, joista käsiteltävänä olevan asian kannalta on kiinnostava se, jossa sopimuksesta aiheutuu ”muutos 251 artiklassa tarkoitettua menettelyä noudattaen annettuun säädökseen”. Kysymys on sen takaamisesta, että parlamentti voi lainsäätäjäkumppanina valvoa hyväksymänsä säädöksen mahdollista muuttamista kansainvälisellä sopimuksella.

179. Direktiivi 95/46 on annettu yhteispäätösmenettelyä noudattaen. Parlamentti väittää siis, että koska sopimuksesta aiheutuu muutos kyseiseen direktiiviin, neuvoston päätös kyseisen sopimuksen hyväksymisestä yhteisön puolesta edellyttää sen puoltavaa lausuntoa, jotta se voitaisiin tehdä perustamissopimuksessa määrättyjä sääntöjä noudattaen.

180. Jotta voitaisiin arvioida, onko kyseinen kanneperuste perusteltu, täsmennän ennen kaikkea, että mielestäni sillä ei ole merkitystä, että sopimuksen 8 kohdan sanamuodon mukaan sopimuksella ”ei ole tarkoitus poiketa osapuolten lainsäädännöstä eikä muuttaa sitä”. EY 300 artiklan 3 kohdan toisen alakohdan soveltamisen kannalta on nimittäin tärkeää tutkia, aiheutuuko kansainvälisestä sopimuksesta muutos yhteisön sisäiseen säädökseen, toisin sanoen, onko sopimuksesta seurauksena kyseisen säädöksen muutos, eikä tämä riipu siitä, ettei tämä ole sen tarkoitus.

181. Tämän täsmennyksen jälkeen vaikuttaa siltä, että yhteisöjen tuomioistuin ei ole vielä ottanut kantaa siihen, mikä merkitys on annettava suhteellisen epämääräiselle ilmaisulle ”muutos 251 artiklassa tarkoitettua menettelyä noudattaen annettuun säädökseen”.( ) Tietyt kirjoittajat ovat pohtineet tältä osin sitä, tarkoittaako ilmaisu ”muutos” sisäisen säädöksen ”tekstin kanssa ristiriidassa olevaa muutosta” vai onko sisäisen säädöksen ”mikä tahansa, jopa tekstin mukainen muutos” riittävä, jotta voidaan vaatia puoltavaa lausuntoa edellyttävän menettelyn noudattamista.( )

182. EY 300 artiklan 3 kohdan toisessa alakohdassa käytetty ilmaisu vaatii myös pohtimaan, onko suunnitellun sopimuksen soveltamisalan katettava ainakin osittain annetun sisäisen säädöksen soveltamisala vai riittääkö perusteeksi puoltavan lausunnon edellyttämiselle ainoastaan se, että sisäinen säädös on annettu kyseistä sopimusta tehtäessä käytetyllä oikeudellisella perustalla.( )

183. Yleisesti ottaen olen sitä mieltä, että jotta kansainvälisestä sopimuksesta aiheutuisi ”muutos” yhteisön sisäiseen säädökseen, joka on annettu yhteispäätösmenettelyä noudattaen, yksi edellytyksistä on, että sopimuksen soveltamisala on yhteneväinen kyseisen sisäisen säädöksen soveltamisalan kanssa. Tässä tapauksessa nimittäin kansainvälisellä sopimuksella voidaan saada aikaan sisäisen säädöksen muutos joko sen takia, että sopimukseen sisältyy määräys, joka on ristiriidassa jonkin sisäisen säädöksen säännöksen kanssa, tai sen vuoksi, että sopimuksella lisätään sisäisen säädöksen sisältöä, myös ilman suoranaista ristiriitaa.

184. Käsiteltävänä olevassa asiassa katson, että sopimuksella ei ole voitu muuttaa direktiivin 95/46 sisältöä.

185. Mielipiteeni perustuu ensinnäkin siihen, kuten ensimmäistä kanneperustetta koskevasta analyysistani ilmenee, että sopimuksen pääasiallisena tavoitteena on terrorismin ja muiden vakavien rikosten torjunta, vaikka sillä taataankin samanaikaisesti lentomatkustajien henkilötietojen suoja. Sitä vastoin direktiivillä 95/46 pyritään takaamaan henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä yhdenmukaistamalla kansallisia säännöksiä, joilla suojellaan yksilöitä tällaisten tietojen käsittelyssä. Näillä kahdella asiakirjalla on näin ollen kaksi sangen erilaista tavoitetta, vaikka ne molemmat koskevatkin henkilötietojen suojelun alaa.( )

186. Toiseksi ja yhdenmukaisesti sen toteamuksen kanssa, jonka mukaan sopimuksen ja direktiivin 95/46 tavoitteet ovat erilaiset, osoittautuu, että niiden soveltamisalat ovat erilaiset. Vaikka sopimusta sovelletaankin henkilötietojen käsittelyyn, joka suoritetaan Yhdysvaltojen sisäiseen turvallisuuteen liittyvien toimintojen sekä samanaikaisesti ja tarkemmin sanoen sellaisten toimintojen vuoksi, jotka liittyvät terrorismin ja muiden vakavien rikosten torjuntaan, huomautan, että kyseisen direktiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa suljetaan nimenomaisesti sen soveltamisalan ulkopuolelle henkilötietojen käsittely, joka ”suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa”.( )

187. Kun otetaan huomioon se, että käsiteltävänä olevassa asiassa kyseisten kahden asiakirjan tavoitteet ja soveltamisalat ovat erilaiset, en käsitä, miten toisen sisältö voisi muuttaa toisen sisältöä. Itse asiassa sopimus koskee sellaista henkilötietojen käsittelyä, jonka yhteisön lainsäätäjä on selvästi sulkenut direktiivillä 95/46 perustetun suojajärjestelmän soveltamisalan ulkopuolelle. Tämä yhteisön lainsäätäjän hyväksymä lähestymistapa on sitä paitsi yhdenmukainen kyseisen direktiivin oikeudellisen perustan valinnan, eli EY 95 artiklan, kanssa.

188. Tätä analyysia ei mielestäni voida kumota komission argumentilla, jonka mukaan henkilötiedot ovat joka tapauksessa yhteisön lentoyhtiöiden kannalta kaupallisia tietoja ja pysyvät sellaisina tietoina, jotka kuuluvat direktiivin 95/46 soveltamisalaan ja joita on suojeltava ja käsiteltävä kyseisen direktiivin mukaisesti, riippumatta siitä, mihin tarkoitukseen CBP niitä käyttää.

189. Totean tältä osin, että vaikka onkin totta, että käsittelyllä, jonka muodostavat matkustajatietojen kerääminen ja rekisteröinti lentoyhtiöiden toimesta, on yleensä kaupallinen tarkoitus, koska se on välittömästi sidoksissa lentoyhtiön järjestämän lennon sujumiseen, tietojenkäsittely, jota sopimus koskee, on kuitenkin luonteeltaan aivan erilaista, koska se yhtäältä kattaa tietojen keruuta seuraavan vaiheen ja sillä toisaalta pyritään turvallisuuteen liittyvään tavoitteeseen.

190. Kaikkien näiden seikkojen perusteella katson, että parlamentin esittämä toinen kanneperuste ei ole perusteltu ja että se on näin ollen hylättävä.

191. Samoilla perusteilla kuin ne, jotka olen esittänyt asiaa C‑318/04 ( ) koskevan tarkasteluni yhteydessä, aion nyt tarkastella yhdessä parlamentin esittämiä kolmatta ja neljättä kanneperustetta, nimittäin henkilötietojen suojaa koskevan oikeuden ja suhteellisuusperiaatteen loukkaamista.

192. Huomautan myös, että kun otetaan huomioon sopimuksen, sellaisena kuin se on hyväksytty neuvoston päätöksellä, suojan