MIŠLJENJE NEZAVISNOG ODVJETNIKA

GIOVANNIJA PITRUZZELLE

od 27. siječnja 2022. ( 1 )

Predmet C‑817/19

Ligue des droits humains

protiv

Conseil des ministres

(zahtjev za prethodnu odluku koji je uputio Cour constitutionnelle (Ustavni sud, Belgija))

„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Obrada podataka iz evidencije podataka o putnicima (PNR) – Uredba (EU) 2016/679 – Područje primjene – Direktiva (EU) 2016/681 – Valjanost – Povelja Europske unije o temeljnim pravima – Članci 7. i 8. te članak 52. stavak 1.”

Sadržaj

I. Uvod II. Pravni okvir A. Pravo Unije 1. Povelja 2. GDPR 3. Direktiva o PNR‑u 4. Ostali relevantni akti prava Unije B. Belgijsko pravo C. Glavni postupak, prethodna pitanja i postupak pred Sudom III. Analiza A. Prvo prethodno pitanje B. Drugo, treće, četvrto, šesto i osmo prethodno pitanje 1. Temeljna prava navedena u člancima 7. i 8. Povelje 2. Zadiranje u temeljna prava navedena u člancima 7. i 8. Povelje 3. Opravdanje zadiranja koje proizlazi iz Direktive o PNR‑u a) Poštovanje zahtjeva prema kojem svako ograničenje ostvarivanja temeljnog prava koje se predviđa Poveljom mora biti predviđeno zakonom b) Poštovanje biti pravâ iz članaka 7. i 8. Povelje c) Poštovanje zahtjeva prema kojem zadiranje mora odgovarati cilju u općem interesu d) Poštovanje načela proporcionalnosti 1) Prikladnost obrade podataka iz PNR‑a na koju se odnosi Direktiva o PNR‑u s obzirom na cilj koji se nastoji ostvariti 2) Stroga nužnost zadiranja i) Razgraničenje svrha obrade podataka iz PNR‑a ii) Kategorije podataka iz PNR‑a koje su obuhvaćene Direktivom o PNR‑u (drugo i treće prethodno pitanje) – Dovoljno jasna i precizna priroda točaka 12. i 18. Priloga I. (treće prethodno pitanje) – Opseg podataka navedenih u Prilogu I. (drugo prethodno pitanje) – Osjetljivi podaci iii) Pojam „putnik” (četvrto prethodno pitanje) iv) Dovoljno jasna, precizna priroda prethodne procjene putnika i njezino ograničavanje na ono što je strogo nužno (šesto prethodno pitanje) – Usporedba podataka s bazama podataka u smislu članka 6. stavka 3. točke (a) Direktive o PNR‑u – Obrada podataka iz PNR‑a u skladu s prethodno utvrđenim kriterijima – Zaštitne mjere u pogledu automatizirane obrade podataka iz PNR‑a – Zaključak o šestom prethodnom pitanju v) Čuvanje podataka iz PNR‑a (osmo prethodno pitanje) 4. Mišljenje o drugom, trećem, četvrtom, šestom i osmom prethodnom pitanju C. Peto prethodno pitanje D. Sedmo prethodno pitanje E. Deveto prethodno pitanje F. Deseto prethodno pitanje IV. Zaključak

I. Uvod

1. Predmetnim zahtjevom za prethodnu odluku Cour constitutionnelle (Ustavni sud, Belgija) postavlja Sudu niz od deset prethodnih pitanja koja se odnose na tumačenje Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (u daljnjem tekstu: GDPR) ( 2 ), kao i na valjanost i tumačenje Direktive (EU) 2016/681 Europskog parlamenta i Vijeća od 27. travnja 2016. o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela (u daljnjem tekstu: Direktiva o PNR‑u) ( 3 ) i Direktive Vijeća 2004/82/EZ od 29. travnja 2004. o obvezi prijevoznika na dostavljanje podataka o putnicima (u daljnjem tekstu: Direktiva o API‑ju) ( 4 ). Ta su pitanja postavljena u okviru tužbe koju je podnijela neprofitna udruga Ligue des droits humains (LDH) čiji je cilj potpuno ili djelomično poništenje loia du 25 décembre 2016 relative au traitement des données des passagers (Zakon od 25. prosinca 2016. o obradi podataka o putnicima (u daljnjem tekstu: Zakon o PNR‑u) ( 5 ), kojim se u belgijsko pravo prenose Direktiva o PNR‑u i Direktiva o API‑ju.

2. Pitanja o kojima Sud treba odlučiti u ovom predmetu dio su jednog od glavnih izazova u suvremenom demokratsko‑liberalnom konstitucionalizmu: kako uspostaviti ravnotežu između pojedinca i zajednice u doba podataka kad su digitalne tehnologije omogućile prikupljanje, čuvanje, obradu i analizu ogromnih količina osobnih podataka za potrebe predviđanja? Algoritmi, analiza velike količine podataka i umjetna inteligencija koje upotrebljavaju tijela javne vlasti mogu služiti za promicanje i zaštitu temeljnih interesa društva s učinkovitošću koja je dosad bila nezamisliva, od zaštite javnog zdravlja do ekološke održivosti, od borbe protiv terorizma do sprečavanja kaznenih djela, a osobito teških kaznenih djela. Istodobno neselektivno prikupljanje osobnih podataka i upotreba digitalnih tehnologija koje primjenjuju javne vlasti mogu dovesti do digitalnog panoptikuma, odnosno javne vlasti koja vidi sve, a koju nitko ne vidi. Sveprisutna vlast koja može nadzirati i predvidjeti ponašanje svake osobe i poduzeti potrebne mjere, sve do paradoksalnog rezultata, koji je Steven Spielberg zamislio u filmu Minority Report, preventivnog oduzimanja slobode počinitelju kaznenog djela koje još nije počinjeno. Kao što je to poznato, u određenim zemljama društvo je važnije od pojedinca i upotreba osobnih podataka legitimno omogućuje izvršavanje učinkovitog masovnog nadzora čiji je cilj zaštita javnih interesa koji se smatraju temeljnim. S druge strane, europskim nacionalnim i nadnacionalnim konstitucionalizmom, u kojem se na središnjem mjestu nalazi pojedinac i njegove slobode, predstavlja veliku prepreku stvaranju društva u kojem se izvršava masovni nadzor, osobito nakon priznavanja temeljnih prava na zaštitu privatnog života i zaštitu osobnih podataka. Međutim, u kojoj se mjeri ta prepreka može postaviti a da se pritom ozbiljno ne ugroze određeni temeljni interesi društva, kao što su prethodno navedeni primjeri, koji ipak mogu biti povezani s ustavom? Ovo je okosnica pitanja odnosa između pojedinca i zajednice u digitalnom društvu. To je pitanje kojim se zahtijeva, s jedne strane, istraživanje i uspostava osjetljive ravnoteže između interesa zajednice i prava pojedinaca, pri čemu se polazi od temeljne važnosti koju potonji pojedinci imaju u europskom ustavnom nasljeđu i, s druge strane, uvođenje zaštitnih mjera protiv zlouporabe. U ovom je slučaju također riječ o suvremenoj verziji klasične teme konstitucionalizma jer, kao što se to kratko potvrđuje u djelu „Federalistički spisi”, ljudi nisu sveci i zbog toga su potrebni pravni mehanizmi kako bi se ograničila i nadzirala javna ovlast.

3. To su opća pitanja koja su obuhvaćena kontekstom ovog mišljenja, koja se mogu ograničiti samo na tumačenje prava Unije, s obzirom na prethodnu sudsku praksu Suda, primjenom ustaljenih tehnika, uključujući tehniku usklađenog tumačenja. Tehnika koja će se u ovom mišljenju često primjenjivati, kad to bude pravno moguće, kako bi se s ustavnopravnog stajališta pronašla potrebna ravnoteža između javne svrhe na kojoj se temelji sustav prijenosa, prikupljanja i obrade podataka iz evidencije podataka o putnicima (u daljnjem tekstu: podaci iz PNR‑a) i prava propisanih u člancima 7. i 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).

II. Pravni okvir

A. Pravo Unije

1. Povelja

4. U skladu s člankom 7. Povelje „[s]vatko ima pravo na poštovanje svojeg privatnog i obiteljskog života, doma i komuniciranja”.

5. U skladu s člankom 8. Povelje: „1. Svatko ima pravo na zaštitu osobnih podataka koji se na njega ili nju odnose. 2. Takvi podaci moraju se obrađivati pošteno, u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom. Svatko ima pravo na pristup prikupljenim podacima koji se na njega ili nju odnose i pravo na njihovo ispravljanje. 3. Poštovanje tih pravila podliježe nadzoru neovisnog tijela.”

6. U skladu s člankom 52. stavkom 1. Povelje „[s]vako ograničenje pri ostvarivanju prava i sloboda priznatih ovom Poveljom mora biti predviđeno zakonom i mora poštovati bit tih prava i sloboda. Podložno načelu proporcionalnosti, ograničenja su moguća samo ako su potrebna i ako zaista odgovaraju ciljevima od općeg interesa koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba.”

2. GDPR

7. Člankom 2. stavkom 2. točkom (d) GDPR‑a iz područja primjene te uredbe isključuje se obrada osobnih podataka „koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja”.

8. U skladu s člankom 23. stavkom 1. točkom (d) GDPR‑a: „Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu: […] (d) sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje”.

3. Direktiva o PNR‑u

9. U nastavku ću iznijeti samo kratak pregled funkcioniranja sustava koji je uveden Direktivom o PNR‑u. Više detalja o sadržaju odredbi Direktive o PNR‑u koja je relevantna u svrhu odgovora koje treba dati na prethodna pitanja navest ću tijekom pravne analize.

10. U skladu s njezinim člankom 1., Direktivom o PNR‑u, koja je donesena na temelju članka 82. stavka 1. točke (d) UFEU‑a i članka 87. stavka 2. točke (a) UFEU‑a, na razini Europske unije organizira se sustav prijenosa podataka iz PNR‑a koji provode zračni prijevoznici o putnicima na letovima između EU‑a i trećih zemalja ( 6 ), kao i prikupljanje, obrada i čuvanje tih podataka koje provode nadležna tijela država članica u svrhu borbe protiv terorizma i teških kaznenih djela.

11. U skladu s člankom 3. točkom 5. te direktive „evidencija podataka o putnicima” ili „PNR” znači „evidencija zahtjeva u vezi s putovanjem svakog putnika koja sadrži informacije potrebne za obradu i kontrolu rezervacija od strane uključenih zračnih prijevoznika i onih koji obavljaju rezervacije za svako putovanje rezervirano od strane neke osobe ili u njezino ime, neovisno o tome čini li sastavni dio sustava rezervacija, sustava kontrole odlazaka, koji služi prijavi putnika na letove ili jednakovrijednog sustava s istim funkcijama”.

12. U Prilogu I. Direktivi o PNR‑u (u daljnjem tekstu: Prilog I.), navode se podaci iz evidencije podataka o putnicima kako ih prikupljaju zračni prijevoznici, koji se prenose na način i u skladu s pravilima koja se predviđaju u članku 8. te direktive.

13. Prilog II. Direktivi o PNR‑u (u daljnjem tekstu: Prilog II.) sadržava popis kaznenih djela koja čine „teška kaznena djela” u smislu članka 3. točke 9. te direktive.

14. Člankom 2. Direktive o PNR‑u predviđa se da države članice mogu odlučiti primijeniti tu direktivu i na „letove unutar EU‑a” ( 7 ), ili na odabrane od tih letova, koje smatraju „potrebnima” kako bi ostvarile ciljeve navedene direktive.

15. U skladu s člankom 4. stavkom 1. Direktive o PNR‑u „[s]vaka država članica osniva ili određuje tijelo nadležno za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela ili ogranak takvog tijela, da djeluje kao njezin odjel za informacije o putnicima (PIU)”. U skladu sa stavkom 2. točkom (a) tog članka 4. PIU je osobito nadležan za prikupljanje podataka iz PNR‑a od zračnih prijevoznika, pohranu i obradu tih podataka te za prijenos tih podataka ili rezultata njihove obrade nadležnim tijelima iz članka 7. Direktive o PNR‑u. U skladu sa stavkom 2. tog članka 7. ta tijela jesu „tijela nadležna […] za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela” ( 8 ).

16. U skladu s člankom 6. stavkom 1. drugom rečenicom Direktive o PNR‑u, „[a]ko podaci iz PNR‑a koje zračni prijevoznici prenose sadrže podatke koji nisu navedeni u Prilogu I., PIU odmah po primitku trajno briše takve podatke”. Stavak 2. tog članka glasi kako slijedi: „2. PIU obrađuje podatke iz PNR‑a samo za sljedeće namjene: (a) provođenje procjene putnika prije njihova planiranog dolaska u državu članicu ili odlaska iz nje kako bi se identificirale osobe za koje je potrebno dodatno ispitivanje od strane nadležnih tijela iz članka 7. te prema potrebi Europola, u skladu s člankom 10., s obzirom da to da bi takve osobe mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo; (b) odgovaranje, za svaki slučaj pojedinačno, na propisno obrazložen zahtjev podnesen na temelju dovoljno dokaza od strane nadležnih tijela za dostavu i obradu podataka iz PNR‑a u određenim slučajevima u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma ili teških kaznenih djela, te za dostavu rezultata takve obrade nadležnim tijelima ili, prema potrebi, Europolu; i (c) analiziranje podataka iz PNR‑a u svrhu ažuriranja ili određivanja novih kriterija za provođenje procjena koje se provode na temelju stavka 3. točke (b) kako bi se identificirale sve osobe koje bi mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo.”

17. Članak 12. Direktive o PNR‑u sadržava odredbe koje se odnose na čuvanje podataka iz PNR‑a.

18. Člankom 5. Direktive o PNR‑u predviđa se da svaki PIU imenuje službenika za zaštitu podataka zaduženog za praćenje obrade podataka iz PNR‑a i provedbu odgovarajućih zaštitnih mjera. Usto, svaka država članica dužna je, u skladu s člankom 15. te direktive, osigurati da je nacionalno nadzorno tijelo iz članka 25. Okvirne odluke 2008/977/PUP ( 9 ), koju je zamijenila Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (u daljnjem tekstu: Direktiva o policiji) ( 10 ), odgovorno za praćenje primjene unutar svojeg državnog područja odredbi donesenih na temelju navedene direktive. To tijelo koje obavlja svoje zadaće s ciljem zaštite temeljnih prava u vezi s obradom osobnih podataka ( 11 ) osobito je zaduženo za, s jedne strane, postupanje po pritužbama koje podnese bilo koji ispitanik, istraživanje predmeta i obavještavanje ispitanika o tijeku i ishodu njihovih pritužbi u razumnom roku i, s druge strane, provjeravanje zakonitosti obrade podataka, provođenje istraga, pregleda i revizija u skladu s nacionalnim pravom bilo na vlastitu inicijativu bilo na temelju pritužbe ( 12 ).

4. Ostali relevantni akti prava Unije

19. Pravni okvir ovog predmeta dopunjuju Direktiva o API‑ju i Direktiva o policiji. Radi bolje razumljivosti ovog mišljenja, sadržaj relevantnih odredbi tih akata navest će se ako se to pokaže potrebnim za odlučivanje o pitanjima koja se na njih odnose ili, općenitije, za potrebe pravne analize.

B. Belgijsko pravo

20. U skladu s člankom 22. belgijskog Ustava „[s]vatko ima pravo na poštovanje svojeg privatnog i obiteljskog života, osim u slučajevima i uvjetima utvrđenima zakonom”.

21. U skladu s njegovim člankom 2., Zakonom o PNR‑u prenose se Direktiva o API‑ju i Direktiva o PNR‑u te djelomično Direktiva 2010/65/EU ( 13 ).

22. U skladu s njegovim člankom 3. stavkom 1., Zakonom o PNR‑u „određuju [se] obveze prijevoznikâ i turoperatora koje se odnose na prijenos podataka o putnicima čije se odredište ili polazište nalazi na državnom području ili koji prolaze državnim područjem”. U skladu s člankom 4. točkama 1. i 2. tog zakona „prijevoznik” znači „bilo koja fizička ili pravna osoba koja se profesionalno bavi pružanjem usluga zračnog, pomorskog, željezničkog ili cestovnog prijevoza osoba”, a „turoperator” znači „svaki organizator putovanja ili putnički posrednik, u smislu loia du 16 février 1994 régissant le contrat d’organisation de voyages et le contrat d’intermédiaire de voyages [(Zakon od 16. veljače 1994. kojim se uređuju ugovor o organizaciji putovanja i ugovor o putničkom posredniku)]”.

23. Člankom 8. Zakona o PNR‑u određuje se: „Stavak 1. Podaci o putnicima obrađuju se u svrhe: 1.° istrage i progona, uključujući izvršenje kazni ili mjera ograničavanja slobode, koje se odnose na kaznena djela [iz članka 90.ter stavka 2.] […] 7.°, […] 8.°, […] 11.°, […] 14.°, […] 17.°, 18.°, 19.° i stavka 3. Codea d’instruction criminelle [(Zakonik o kaznenom postupku)]; 2.° istrage i progona, uključujući izvršenje kazni ili mjera ograničavanja slobode, koje se odnose na kaznena djela [iz članka 196. u pogledu kaznenih djela krivotvorenja vjerodostojnih i javnih isprava, članaka 198., 199., 199.bis, 207., 213., 375. i 505. Codea pénal [(Kazneni zakonik)]; 3.° sprečavanja ozbiljnog narušavanja javne sigurnosti u okviru nasilne radikalizacije praćenjem pojava i skupina u skladu s člankom 44/5 stavkom 1. točkama 2.° i 3.° i člankom 44/5 stavkom 2. loia du 5 août 1992 sur la fonction de police [(Zakon od 5. kolovoza 1992. o policijskoj službi)]; 4.° praćenja aktivnosti iz članka 7. stavka 1.° i članka 7. stavka 3.° podstavka 3/1, članka 11. stavka 1. podstavaka 1.° do 3.° i 5.° loia du 30 novembre 1998 organique des services de renseignement et de sécurité [(Organski zakon od 30. studenoga 1998. o obavještajnim i sigurnosnim službama)] ( 14 ); 5.° istrage i progona zbog kaznenih djela iz članka 220. stavka 2. loia générale sur les douanes et accises du 18 juillet 1977 [(Opći zakon o carinama i trošarinama od 18. srpnja 1977.)] i članka 45. stavka 3. loia du 22 décembre 2009 relative au régime général d’accise [(Zakon o općim aranžmanima za trošarine)] […]. Stavak 2. Pod uvjetima predviđenima u poglavlju 11., podaci o putnicima također se obrađuju radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja.”

24. Članak 9. Zakona o PNR‑u sadržava popis podataka koji se prenose. Ti podaci odgovaraju podacima navedenima u Prilogu I.

25. U skladu s člankom 18. Zakona o PNR‑u „[p]odaci o putnicima čuvaju se u bazi podataka o putnicima najdulje pet godina od trenutka njihove pohrane. Nakon isteka tog razdoblja, ti se podaci uništavaju”.

26. Člankom 19. tog zakona predviđa se da, „[n]akon isteka razdoblja od šest mjeseci, od trenutka pohrane podataka o putnicima u bazu podataka o putnicima, svi podaci o putnicima depersonaliziraju se skrivanjem elemenata podataka”.

27. Člankom 24. Zakona o PNR‑u predviđa se: „Stavak 1. Podaci o putnicima obrađuju se radi provedbe prethodne procjene putnika prije njihova dolaska na državno područje, polaska s državnog područja ili tranzita preko državnog područja kako bi se odredilo za koje je osobe potrebno dodatno ispitivanje. Stavak 2. U okviru svrha koje se navode u članku 8. stavku 1. podstavcima 1.°, 4.° i 5.° ili koje se odnose na prijetnje navedene u članku 8. stavku 1.° podstavcima a), b), c), d), f), g) i članku 11. stavku 2. Organskog zakona od 30. studenoga 1998. o obavještajnim i sigurnosnim službama, prethodna procjena putnika temelji se na podudarnosti koja proizlazi iz povezanosti podataka o putnicima s: 1.° bazama podataka kojima upravljaju nadležne službe ili koje su im izravno dostupne ili kojima mogu pristupiti u okviru svojih zadaća ili s popisima osoba koje sastavljaju nadležne službe u okviru svojih zadaća. 2.° kriterijima za procjene koje je prethodno utvrdio PIU iz članka 25. Stavak 3. U okviru svrha koje se navode u članku 8. stavku 1. podstavku 3.°, prethodna procjena putnika temelji se na podudarnosti koja proizlazi iz povezanosti podataka o putnicima s bazama podataka iz stavka 2. podstavka 1.°. […]”

28. U članku 25. Zakona o PNR‑u preuzima se sadržaj članka 6. stavka 4. Direktive o PNR‑u.

29. Poglavlje 11. Zakona o PNR‑u sadržava odredbe kojima se uređuje obrada podataka o putnicima radi poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja. Tim se odredbama u belgijsko pravo prenosi Direktiva o API‑ju.

30. Člankom 44. Zakona o PNR‑u predviđa se da PIU imenuje službenika za zaštitu podataka u okviru servicea public fédéral intérieur (Savezna javna služba za unutarnje poslove, Belgija). Nadzor nad primjenom odredbi Zakona o PNR‑u izvršava Commission de la protection de la vie privée (Povjerenstvo za zaštitu privatnog života, Belgija).

31. Člankom 51. Zakona o PNR‑u izmjenjuje se Organski zakon od 30. studenoga 1998. o obavještajnim i sigurnosnim službama umetanjem članka 16/3 koji glasi kako slijedi: „Stavak 1. Obavještajne i sigurnosne službe u interesu izvršavanja svojih zadaća mogu donijeti obrazloženu odluku o pristupu podacima o putnicima iz članka 7. Zakona [o PNR‑u]. Stavak 2. Odluku iz stavka 1. donosi voditelj službe i ona se u pisanom obliku dostavlja Odjelu za informacije o putnicima iz poglavlja 7. prethodno navedenog zakona. Odluka se dostavlja Comitéu permanent R [(Stalni odbor R, Belgija)] zajedno s njezinim obrazloženjem. Stalni odbor R zabranjuje obavještajnim i sigurnosnim službama da se koriste podacima prikupljenima u uvjetima kojima se ne poštuju zakonski uvjeti. Odluka se može odnositi na skup podataka o konkretnom obavještajnom istraživanju. U tom se slučaju popis obavljanja uvida u podatke o putnicima jednom mjesečno dostavlja Stalnom odboru R.”

C. Glavni postupak, prethodna pitanja i postupak pred Sudom

32. Zahtjevom koji je 24. srpnja 2017. uputio Couru constitutionnelle (Ustavni sud), LDH je podnio tužbu za potpuno ili djelomično poništenje Zakona o PNR‑u. U prilog svojoj tužbi iznio je dva tužbena razloga.

33. Svojim prvim tužbenim razlogom, koji je najprije istaknut i koji se temelji na povredi članka 22. belgijskog Ustava, u vezi s člankom 23. GDPR‑a, članaka 7., 8. i članka 52. stavka 1. Povelje, kao i članka 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda, potpisane u Rimu 4. studenoga 1950. (u daljnjem tekstu: EKLJP), LDH smatra da se pobijanim zakonom ne poštuje načelo proporcionalnosti u pogledu njegova područja primjene i kategorija predmetnih podataka, obrade podataka koja se tim zakonom uvodi, njegove svrhe i razdoblja čuvanja podataka. Konkretno, tvrdi da je definicija podataka iz PNR‑a preširoka i da može dovesti do otkrivanja osjetljivih podataka te da definicija pojma „putnik” iz tog zakona omogućuje neciljanu sustavnu obradu podataka o svim dotičnim putnicima. K tomu, LDH smatra da se Zakonom o PNR‑u ne definiraju dovoljno jasno priroda i načini primjene metode pre‑screening u pogledu baza podataka o putnicima kao i kriterija koji služe kao „pokazatelji prijetnje”. Naposljetku, smatra da se Zakonom o PNR‑u prelaze granice onog što je strogo nužno na način da se njime nastoje postići svrhe obrade podataka iz PNR‑a koje su znatno šire od svrha priznatih Direktivom o PNR‑u i da je razdoblje od pet godina za čuvanje podataka iz PNR‑a neproporcionalno. Svojim drugim tužbenim razlogom, koji je istaknut podredno i koji se temelji na povredi članka 22. belgijskog Ustava, u vezi s člankom 3. stavkom 2. UEU‑a i člankom 45. Povelje, LDH pobija odredbe poglavlja 11. Zakona o PNR‑u kojima se prenosi Direktiva o API‑ju.

34. Conseil des ministres du Royaume de Belgique (Vijeće ministara Kraljevine Belgije), kao intervenijent pred Courom constitutionnelle (Ustavni sud), protivi se LDH‑ovoj tužbi, pri čemu osporava dopuštenost i osnovanost dvaju tužbenih razloga koji su istaknuti u prilog toj tužbi.

35. Cour constitutionnelle (Ustavni sud) pak ističe sljedeća razmatranja.

36. Što se tiče prvog tužbenog razloga, najprije se pita je li definicija podataka iz PNR‑a, navedena u Prilogu I., dovoljno jasna i precizna. Opis nekih od tih podataka služi kao primjer i nije taksativan. Nadalje, navedeni sud ističe da definicija pojma „putnik” iz članka 3. točke 4. Direktive o PNR‑u uključuje prikupljanje, prijenos, obradu i čuvanje podataka iz PNR‑a svake osobe koja se prevozi ili će se prevesti i koja je upisana na popis putnika, neovisno o tome postoje li ozbiljni razlozi za vjerovati da je dotična osoba počinila ili će počiniti kazneno djelo ili da je osuđena za kazneno djelo. Što se tiče obrade podataka iz PNR‑a, napominje da se na potonje podatke sustavno primjenjuje prethodna procjena koja uključuje unakrsnu provjeru podataka iz PNR‑a svih putnika s bazama podataka ili prethodno utvrđenim kriterijima kako bi se utvrdile podudarnosti. Međutim, Cour constitutionnelle (Ustavni sud) pojašnjava da, iako kriteriji trebaju biti specifični, pouzdani i nediskriminirajući, tehnički je nemoguće dodatno odrediti prethodno utvrđene kriterije koji služe za određivanje rizičnih profila. Što se tiče roka za čuvanje podataka iz PNR‑a koji se predviđa u članku 12. stavku 1. Direktive o PNR‑u i na temelju kojeg se navedeni podaci mogu čuvati u razdoblju od pet godina, sud koji je uputio zahtjev smatra da se podaci iz PNR‑a čuvaju a da se pritom ne uzima u obzir pitanje mogu li dotični putnici u okviru prethodne procjene predstavljati opasnost za javnu sigurnost. U tim okolnostima sud koji je uputio zahtjev pita može li se, s obzirom na sudsku praksu koja osobito proizlazi iz presude od 21. prosinca 2016., Tele2 Sverige i Watson i dr. ( 15 ) i mišljenja 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017. ( 16 ), smatrati da sustav prikupljanja, prijenosa, obrade i čuvanja podataka iz PNR‑a koji je uspostavljen Direktivom o PNR‑u ne prelazi granice onog što je strogo nužno. U tom se kontekstu taj sud pita i protivi li se Direktivi o PNR‑u nacionalni propis, kao što je onaj koji proizlazi iz članka 8. stavka 1. točke 4. Zakona o PNR‑u, kojim se dopušta obrada podataka iz PNR‑a u svrhu različitu od onih koje se predviđaju tom direktivom. Naposljetku, pita može li se smatrati da je PIU „drugo nacionalno tijelo” koje, na temelju članka 12. stavka 3. točke (b) podtočke ii. Direktive o PNR‑u, može dopustiti otkrivanje potpunih podataka iz PNR‑a nakon isteka roka od šest mjeseci. Što se tiče drugog tužbenog razloga, sud koji je uputio zahtjev ističe da je taj tužbeni razlog usmjeren protiv članka 3. stavka 1., članka 8. stavka 2. te članaka 28. do 31. Zakona o PNR‑u kojim se uređuje prikupljanje i obrada podataka o putnicima u svrhu sprečavanja nezakonitog useljavanja i poboljšanja graničnih kontrola. Podsjećajući na to da, u skladu s prvom od tih odredbi, taj zakon obuhvaća letove čije se odredište ili polazište nalazi na državnom području ili koji prolaze državnim područjem, taj sud pojašnjava da je nacionalni zakonodavac uključio letove „unutar EU‑a” u područje primjene navedenog zakona kako bi se dobila „potpunija slika o putnicima koji predstavljaju moguću prijetnju za sigurnost unutar [Unije] i nacionalnu sigurnost”, pri čemu se oslonio na mogućnost koja se predviđa u članku 2. Direktive o PNR‑u, u vezi s njezinom uvodnom izjavom 10.

37. U tim je okolnostima Cour constitutionnelle (Ustavni sud) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja: „1. Treba li članak 23. [GDPR‑a], u vezi s člankom 2. stavkom 2. točkom (d) te uredbe, tumačiti na način da se primjenjuje na nacionalno zakonodavstvo poput Zakona [o PNR‑u] kojim se prenose Direktiva [o PNR‑u] kao i Direktiva [o API‑ju] te Direktiva [2010/65]? 2. Je li Prilog I. […] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da su podaci koji su u njemu navedeni vrlo široki, osobito podaci iz točke 18. [tog priloga I.] koji su širi od podataka iz članka 3. stavka 2. Direktive [o API‑ju], i s obzirom na to da bi oni, kad se promatraju zajedno, mogli otkriti osjetljive podatke i tako povrijediti granice onoga što je ‚strogo nužno’? 3. Jesu li točke 12. i 18. Priloga I. […] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da su podaci koji se u njima navode, a uzimajući u obzir pojmove ‚uključujući [osobito]’ i ‚uključujući’, navedeni kao primjeri a ne taksativno, te se tako ne poštuje zahtjev preciznosti i jasnoće onih pravila primjenom kojih dolazi do miješanja u pravo na poštovanje privatnog života i u pravo na zaštitu osobnih podataka? 4. Jesu li članak 3. točka 4. Direktive [o PNR‑u] i Prilog I. […] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da se sustav općeg prikupljanja, prijenosa i obrade podataka o putnicima, koji je uveden tim odredbama, odnosi na svaku osobu koja se koristi predmetnim prijevoznim sredstvom, neovisno o bilo kojem objektivnom elementu iz kojeg bi se moglo zaključiti da ta osoba može predstavljati opasnost za javnu sigurnost? 5. Treba li članak 6. Direktive [o PNR‑u], u vezi s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], tumačiti na način da mu se protivi nacionalno zakonodavstvo poput pobijanog zakona koji, kao svrhu obrade podataka ‚PNR’, priznaje praćenje aktivnosti obavještajnih i sigurnosnih službi uključujući tako u tu svrhu i sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma i teških kaznenih djela? 6. Je li članak 6. Direktive [o PNR‑u] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da se prethodna procjena koju provodi, na temelju povezanosti s bazama podataka i unaprijed utvrđenim kriterijima, sustavno i općenito primjenjuje na podatke o putnicima, neovisno o bilo kojem objektivnom elementu iz kojeg bi se moglo zaključiti da ti putnici mogu predstavljati opasnost za javnu sigurnost? 7. Može li se izraz ‚drugo nacionalno tijelo koje je […] nadležno’ iz članka 12. stavka 3. Direktive [o PNR‑u] tumačiti na način da se odnosi na ‚PIU’ koji je osnovan Zakonom [o PNR‑u] i koji stoga, nakon isteka roka od šest mjeseci, može u okviru ad hoc pretraživanja odobriti pristup podacima ‚PNR’? 8. Treba li članak 12. Direktive [o PNR‑u], u vezi s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], tumačiti na način da mu se protivi nacionalno zakonodavstvo poput pobijanog zakona koji za čuvanje podataka propisuje opći rok od pet godina, neovisno o tome predstavljaju li dotični putnici, u okviru prethodne procjene, opasnost za javnu sigurnost? 9. (a) Je li Direktiva [o API‑ju] u skladu s člankom 3. stavkom 2. [UEU‑a] i člankom 45. [Povelje] s obzirom na to da se obveze koje su njome propisane primjenjuju na letove unutar [Unije]? (b) Treba li Direktivu [o API‑ju], u vezi s člankom 3. stavkom 2. [UEU‑a] i člankom 45. [Povelje], tumačiti na način da joj se protivi nacionalno zakonodavstvo poput pobijanog zakona koji, radi sprečavanja ilegalne migracije i poboljšanja graničnih kontrola, dopušta sustav prikupljanja i obrade podataka o putnicima koji ‚dolaze u državni teritorij, polaze iz njega i njime prolaze’ što pak neizravno može podrazumijevati ponovnu uspostavu kontrola na unutarnjim granicama? 10. Ako na temelju odgovora na navedena prethodna pitanja Cour constitutionnelle (Ustavni sud) dođe do zaključka da pobijani zakon, kojim se među ostalim prenosi Direktiva [o PNR‑u], povređuje jednu ili više obveza koje proizlaze iz odredaba spomenutih u tim pitanjima, može li on privremeno održati na snazi učinke Zakona [o PNR‑u] kako bi spriječio pravnu nesigurnost i omogućio da se prethodno prikupljeni i pohranjeni podaci mogu ponovno upotrijebiti u [tim] zakonom predviđene svrhe?”

38. Pisana očitovanja podnijeli su, na temelju članka 23. Statuta Suda Europske unije, LDH, belgijska, češka, danska, njemačka, estonska, irska, španjolska, francuska, ciparska, latvijska, nizozemska, austrijska, poljska i finska vlada te Europski parlament, Vijeće Europske unije i Europska komisija. U skladu s člankom 24. Statuta Suda Europske unije, Komisija, Europski nadzornik za zaštitu podataka (ENZP) i Agencija Europske unije za temeljna prava (FRA) pozvani su da u pisanom obliku odgovore na pitanja koja je postavio Sud. Rasprava se održala 13. srpnja 2021.

III. Analiza

A. Prvo prethodno pitanje

39. Svojim prvim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud treba li članak 2. stavak 2. točku (d) GDPR‑a tumačiti na način da se ta uredba, te osobito njezin članak 23. stavak 1., u skladu s kojim se na temelju prava Unije ili prava država članica zakonskom mjerom može ograničiti, zbog iscrpno navedenih razloga, opseg obveza i prava koji se predviđaju navedenom uredbom, primjenjuje na obradu podataka koja se obavlja na temelju nacionalnog zakonodavstva, kao što je Zakon o PNR‑u, kojim se u nacionalno pravo prenose Direktiva o PNR‑u, kao i Direktiva o API‑ju i Direktiva 2010/65.

40. Člankom 2. stavkom 2. GDPR‑a predviđaju se iznimke od područja primjene te uredbe, koje je vrlo široko definirano ( 17 ) u njezinu članku 2. stavku 1. ( 18 ). Kao odstupanja od primjene propisa kojim se uređuje obrada osobnih podataka kojom se mogu povrijediti temeljne slobode, te iznimke treba usko tumačiti ( 19 ).

41. Članak 2. stavak 2. točka (d) GDPR‑a sadržava, među ostalim, odredbu o isključenju u skladu s kojom se ta uredba ne primjenjuje na obradu osobnih podataka koju obavljaju „nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja”. Ta se odredba o isključenju temelji na dvostrukom subjektivnom i objektivnom kriteriju. Prema tome, iz područja primjene navedene uredbe isključena je obrada podataka koju obavljaju, kao prvo, „nadležna tijela” i koja se obavlja, kao drugo, u svrhe navedene u toj odredbi. Stoga valja ocijeniti različite vrste obrade podataka koje su obuhvaćene Zakonom o PNR‑u s obzirom na taj dvostruki kriterij.

42. Što se tiče, kao prvo, obrade podataka koju obavljaju prijevoznici (zračni, željeznički, cestovni i pomorski) u PIU‑u ili turoperatori u svrhu pružanja usluga ili u komercijalne svrhe, u dijelu u kojem je obuhvaćena navedenim zakonom, ona se i dalje uređuje GDPR‑om s obzirom na to da nisu ispunjeni ni subjektivan ni objektivan aspekt kriterija isključenja iz članka 2. stavka 2. točke (d) te uredbe.

43. Što se tiče, kao drugo, prijenosa podataka iz PNR‑a u PIU koji obavljaju prijevoznici ili turoperatori, koji sam po sebi predstavlja „obradu” u smislu članka 4. točke 2. GDPR‑a ( 20 ), njegovo je uključivanje u područje primjene te uredbe manje očito.

44. Naime, s jedne strane, taj prijenos ne obavlja „nadležno tijelo” u smislu članka 3. točke 7. Direktive o policiji, na koji valja uputiti po analogiji zbog nepostojanja definicije tog pojma u GDPR‑u ( 21 ). Gospodarski subjekt, kao što su prijevoznik ili putnička agencija, koji ima samo pravnu obvezu prijenosa osobnih podataka i kojem nije povjereno izvršavanje nikakvih javnih ovlasti ( 22 ), ne može se smatrati tijelom ili subjektom u smislu navedenog članka 3. točke 7. podtočke (b) ( 23 ).

45. S druge strane, prijenos podataka iz PNR‑a koji obavljaju prijevoznici i turoperatori provodi se kako bi se ispunila zakonom propisana obveza s ciljem da se omogući postizanje svrha navedenih u članku 2. stavku 2. točki (d) GDPR‑a.

46. Međutim, prema mojem mišljenju, iz teksta te odredbe jasno proizlazi da je samo obrada koja istodobno odgovara subjektivnom i objektivnom aspektu kriterija isključenja koji se u njoj navodi izvan područja primjene GDPR‑a. Prijenos podataka iz PNR‑a u PIU koji se Zakonom o PNR‑u nalaže prijevoznicima i turoperatorima stoga je obuhvaćen tom uredbom.

47. Što se tiče odredbi Zakona o PNR‑u kojim se prenosi Direktiva o PNR‑u, taj zaključak potkrepljuje članak 21. stavak 2. te direktive, kojim se predviđa da se „ne dovodi […] u pitanje primjenjivost Direktive 95/46/EZ[ ( 24 )] na obradu osobnih podataka od strane zračnih prijevoznika”. Smatram da treba odbiti tumačenje te odredbe koje predlaže, među ostalim, francuska vlada, prema kojem se tom odredbom samo predviđa da prijevoznici i dalje podliježu obvezama koje se utvrđuju GDPR‑om u pogledu obrade podataka koja se ne predviđa Direktivom o PNR‑u. Naime, s obzirom na njezin tekst, doseg te „odredbe o nedovođenju pitanju” je širok i utvrđuje se samo upućivanjem na subjekt koji obavlja obradu, pri čemu se uopće ne navodi svrha obrade ili okvir u kojem se ta obrada izvršava, provodi li se prilikom obavljanja gospodarske djelatnosti zračnog prijevoznika ili ispunjavanjem zakonske obveze. K tomu, napominjem da postoji odredba s istim sadržajem u članku 13. stavku 3. Direktive o PNR‑u, u kojem se osobito upućuje na obveze koje zračni prijevoznici imaju na temelju GDPR‑a da „poduzmu odgovarajuće tehničke i organizacijske mjere za zaštitu sigurnosti i povjerljivosti osobnih podataka”. Međutim, ta je odredba jedna od odredbi kojima se organizira zaštita osobnih podataka koji se obrađuju na temelju Direktive o PNR‑u i slijedi članak 13. stavak 1. te direktive, na temelju kojeg se općenito na svaku obradu podataka koja se obavlja u skladu s tom direktivom primjenjuju odredbe Okvirne odluke 2008/977 koje se navode u toj direktivi. Suprotno onomu što tvrdi francuska vlada, takvo normativno uređenje omogućuje, s jedne strane, da se stavak 3. navedenog članka 13. tumači kao odredba kojom se u nadležnost GDPR‑a uključuje samo obrada podataka koja se predviđa Direktivom o PNR‑u koju ne obavljaju „nadležna tijela” u smislu Direktive o policiji i, s druge strane, da se upućivanje na poštovanje obveza utvrđenih navedenom uredbom u području sigurnosti i povjerljivosti podataka shvati kao podsjetnik na zaštitne mjere koje obvezno moraju pratiti prijenos podataka iz PNR‑a u PIU koji obavljaju prijevoznici.

48. Zaključak naveden u točki 46. ovog mišljenja ne dovodi se u pitanje uvodnom izjavom 19. GDPR‑a i uvodnom izjavom 11. Direktive o policiji, na koje upućuju, među ostalim, njemačka, irska i francuska vlada u potporu svojstvu lex specialis Direktive o PNR‑u. U tom je pogledu doista točno da se tom direktivom u pogledu obrade osobnih podataka na koju se ona odnosi uvodi okvir za zaštitu tih podataka koji je autonoman u odnosu na GDPR. Međutim, taj se poseban okvir primjenjuje samo na obradu podataka iz PNR‑a koju obavljaju „nadležna tijela”, u smislu članka 3. točke 7. Direktive o policiji, koja uključuje osobito PIU‑ove, dok se na prijenos podataka iz PNR‑a u PIU‑ove i dalje primjenjuje opći okvir utvrđen GDPR‑om u skladu s, među ostalim, „odredbom o nedovođenju u pitanje” koja se predviđa u članku 21. stavku 2. Direktive o PNR‑u.

49. U prilog njihovoj tezi prema kojoj se GDPR ne primjenjuje na prijenos podataka iz PNR‑a u PIU‑ove koji obavljaju prijevoznici i turoperatori, belgijska, irska, francuska i ciparska vlada upućuju na presudu od 30. svibnja 2006., Parlament/Vijeće i Komisija ( 25 ), u kojoj je Sud odlučio da prijenos podataka iz PNR‑a zračnih prijevoznika Zajednice tijelima Sjedinjenih Američkih Država, u okviru sporazuma o kojem su potonja tijela pregovarala s Europskom zajednicom, predstavlja obradu osobnih podataka u smislu članka 3. stavka 2. prve alineje Direktive 95/46 ( 26 ) i stoga nije obuhvaćen područjem primjene te direktive. Kako bi došao do tog zaključka, Sud je uzeo u obzir svrhu prijenosa, kao i činjenicu da je taj prijenos „uključen u okvir koji su uspostavila tijela javne vlasti”, iako su podatke prikupili i prenijeli privatni operatori ( 27 ).

50. U tom pogledu valja istaknuti da je Sud u presudi od 6. listopada 2020., La Quadrature du Net i dr. ( 28 ), u biti smatrao da se presuda Parlament/Vijeće ne može primijeniti u kontekstu GDPR‑a ( 29 ).

51. Osim toga, u točki 102. presude La Quadrature du Net ( 30 ), primjenom po analogiji rasuđivanja iz presuda Tele2 Sverige i od 2. listopada 2018., Ministerio Fiscal ( 31 ), Sud je potvrdio da, „iako je u članku 2. stavku 2. točki (d) [GDPR‑a] pojašnjeno da se ne primjenjuje na obrade koje ‚obavljaju nadležna tijela’ u svrhu, među ostalim, sprečavanja i otkrivanja kaznenih djela, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja, iz članka 23. stavka 1. točaka (d) i (h) iste uredbe proizlazi da obrade osobnih podataka koje u te iste svrhe obavljaju pojedinci spadaju u njezino područje primjene” ( 32 ).

52. Zbog razloga koje sam već naveo uvjeren sam da zaključak prema kojem prijenos podataka iz PNR‑a u PIU‑ove koji obavljaju prijevoznici i turoperatori i koji je obuhvaćen GDPR‑om već jasno proizlazi iz teksta članka 2. stavka 2. točke (d) GDPR‑a, u kojem se upućuje samo na obradu koju obavljaju „nadležna tijela”, a da pritom nije potrebno uputiti na odredbu o ograničenju iz članka 23. stavka 1. navedene uredbe ( 33 ). Međutim, tvrdnja iz točke 102. presude La Quadrature du Net predstavlja jasno stajalište Suda u prilog tom zaključku.

53. Budući da je prijenos podataka iz PNR‑a koji obavljaju prijevoznici i turoperatori obuhvaćen područjem primjene GDPR‑a, nacionalno zakonodavstvo, kao što je Zakon o PNR‑u, kojim se te prijevoznike i te turoperatore obvezuje da provode takav prijenos, predstavlja „zakonsku mjeru” na temelju članka 23. točke 1. podtočke (d) GDPR‑a i stoga treba ispunjavati uvjete koji se predviđaju tom odredbom ( 34 ).

54. Što se tiče, kao treće, obrade podataka iz PNR‑a koju obavljaju PIU i nadležna nacionalna tijela, primjenjivost GDPR‑a ovisi, kao što to proizlazi iz prethodnih razmatranja, o svrhama koje se nastoje postići tom obradom.

55. Stoga je, na prvom mjestu, obrada podataka iz PNR‑a koju obavljaju PIU i nadležna nacionalna tijela u svrhe navedene u članku 8. stavku 1. točkama 1. do 3. i 5. Zakona o PNR‑u ( 35 ) isključena iz područja primjene GDPR‑a jer se, kao što se čini da je to slučaj, navedene svrhe ubrajaju među one koje su obuhvaćene odredbom o isključenju iz članka 2. stavka 2. točke (d) GDPR‑a. Zaštita podataka osoba na koje se odnose te obrade obuhvaćena je nacionalnim pravom, podložno primjeni Direktive o policiji ( 36 ) i, u okviru njezina područja primjene, Direktive o PNR‑u.

56. Isto vrijedi, na drugom mjestu, za obradu podataka iz PNR‑a koju obavljaju PIU te sigurnosne i obavještajne službe u okviru praćenja aktivnosti iz odredbi Organskog zakona o obavještajnim i sigurnosnim službama navedenih u članku 8. stavku 1. točki 4. Zakona o PNR‑u jer se njome ispunjavaju svrhe navedene u članku 2. stavku 2. točki (d) GDPR‑a, što je na sudu koji je uputio zahtjev da ocijeni.

57. Belgijska vlada tvrdi da je obrada koja se obavlja na temelju članka 8. stavka 1. točke 4. Zakona o PNR‑u u svakom slučaju obuhvaćena odredbom o isključenju koja se predviđa u članku 2. stavku 2. točki (d) GDPR‑a, kao i odredbom koja se predviđa u članku 2. stavku 3. točki (a) Direktive o policiji s obzirom na to da aktivnosti sigurnosnih i obavještajnih službi nisu obuhvaćene područjem primjene prava Unije.

58. U tom pogledu najprije ističem, pri čemu naglašavam da Sudu nije upućeno pitanje koje se odnosi na tumačenje tih odredbi, da je Sud već potvrdio da je nacionalni propis kojim se nalažu obveze obrade privatnim operatorima obuhvaćen odredbama prava Unije u području zaštite osobnih podataka, čak i kad se odnosi na zaštitu nacionalne sigurnosti ( 37 ). Iz toga slijedi da je prijenos podataka iz PNR‑a koji se Zakonom o PNR‑u nalaže prijevoznicima i turoperatorima u načelu obuhvaćen GDPR‑om čak i kad se obavlja za potrebe članka 8. stavka 1. točke 4. tog zakona.

59. Nadalje, ističem da, iako se u uvodnoj izjavi 16. GDPR‑a navodi da se ta uredba ne primjenjuje na „djelatnosti u vezi s nacionalnom sigurnošću”, a u uvodnoj izjavi 14. Direktive o policiji pojašnjava da se „djelatnosti u vezi s nacionalnom sigurnosti, djelatnosti agencija ili službi zaduženih za pitanja nacionalne sigurnosti […] ne bi […] smjele smatrati djelatnostima koje se obuhvaćene područjem primjene [te] Direktive”, kriteriji na temelju kojih je obrada osobnih podataka koju obavljaju tijelo javne vlasti, javna služba ili javna agencija neke države članice obuhvaćena područjem primjene jednog ili drugog akta prava Unije kojim se uređuje zaštita osoba na koje se odnosi takva obrada ili se nalazi izvan područja primjene tog prava odgovaraju logici koja je povezana s dužnostima dodijeljenima tom tijelu, toj službi ili toj agenciji i sa svrhama navedene obrade. Prema tome, Sud je u pogledu članka 2. stavka 2. točke (a) GDPR‑a, u vezi s uvodnom izjavom 16. te uredbe, presudio da „treba smatrati da je [njegov] jedini cilj […] isključivanje iz njezina područja primjene obrada osobnih podataka koje državna tijela provode u okviru aktivnosti namijenjene zaštiti nacionalne sigurnosti ili neke druge aktivnosti koja se može svrstati u istu kategoriju, tako da sama činjenica da je neka aktivnost specifična za državu ili tijelo javne vlasti nije dovoljna da se ta iznimka automatski primijeni na takvu aktivnost” ( 38 ). Sud je pojasnio i da „[a]ktivnosti koje imaju za cilj zaštitu nacionalne sigurnosti koje se navode u članku 2. stavku 2. točki (a) GDPR‑a konkretno obuhvaćaju […] one kojima je cilj zaštita osnovnih državnih funkcija i temeljnih interesa društva” ( 39 ). Iz toga proizlazi da bi, u slučaju da država članica svojim sigurnosnim i obavještajnim službama povjeri zadaće u područjima navedenima u članku 3. točki 7. podtočki (a) Direktive o policiji, obrada podataka koju obavljaju te službe radi ispunjavanja tih zadaća bila obuhvaćena područjem primjene te direktive i, po potrebi, Direktive o PNR‑u. Općenitije, ističem da je Sud nekoliko puta presudio, u okviru tumačenja članka 4. stavka 2. UEU‑a, na koji se poziva, među ostalim, belgijska vlada, da sama činjenica da je nacionalna mjera donesena radi zaštite nacionalne sigurnosti ne može dovesti do neprimjenjivosti prava Unije i osloboditi države članice obveze da nužno poštuju to pravo ( 40 ), čime je tako pokazao da oklijeva automatski i u potpunosti isključiti iz područja primjene prava Unije djelatnosti država članica koje su povezane sa zaštitom nacionalne sigurnosti.

60. Na trećem mjestu, u skladu s mišljenjem svih zainteresiranih osoba koje su podnijele očitovanja, osim francuske vlade, valja smatrati da obrada podataka iz PNR‑a koju obavljaju belgijska nadležna tijela u svrhe navedene u članku 8. stavku 2. Zakona o PNR‑u, odnosno u svrhu „poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja” ( 41 ), nije obuhvaćena odredbom o isključenju iz članka 2. stavka 2. točke (d) GDPR‑a ni bilo kojom drugom odredbom o isključenju koja se predviđa u tom članku te je stoga obuhvaćena područjem primjene te uredbe. Suprotno onomu što tvrdi francuska vlada, navedena obrada ne može se uređivati Direktivom o PNR‑u, u čijem se članku 1. stavku 2. utvrđuje da se „[p]odaci iz PNR‑a prikupljeni u skladu s ovom Direktivom mogu […] obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela” ni u načelu Direktivom o policiji, koja se u skladu sa svojim člankom 1. stavkom 1. primjenjuje samo na obradu osobnih podataka koju nadležna tijela obavljaju „u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje”. Kao što to proizlazi iz odluke kojom se upućuje zahtjev za prethodnu odluku, cilj je članka 8. stavka 2. Zakona o PNR‑u i poglavlja 11. tog zakona, koji sadržava odredbe kojima se uređuje obrada podataka iz PNR‑a radi poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja te kojim se u tu svrhu predviđa prijenos tih podataka iz PIU‑a osobito policijskim službama zaduženim za graničnu kontrolu, prijenos u belgijsko pravo Direktive o API‑ju i Direktive 2010/65. Međutim, tim se dvjema direktivama nadležnim tijelima nalaže da u pogledu obrade koja se njima predviđa poštuju odredbe Direktive 95/46 ( 42 ). Suprotno onomu što tvrdi francuska vlada, upućivanje na zaštitna pravila iz te direktive treba tumačiti kao da obuhvaća svaku obradu osobnih podataka koja se obavlja na temelju Direktive o API‑ju i Direktive 2010/65. Činjenica da je Direktiva o API‑ju prethodila stupanju na snagu Okvirne odluke 2008/977 nije relevantna u tom pogledu jer se ta okvirna odluka, kao i Direktiva o policiji koja ju je zamijenila, ne odnose na obradu osobnih podataka iz članka 3. stavka 1. Direktive o API‑ju, koju obavljaju nadležna tijela u svrhu izvršavanja zakona ( 43 ).

61. Na temelju svih prethodnih razmatranja, predlažem Sudu da na prvo prethodno pitanje odgovori da članak 23. GDPR‑a, u vezi s člankom 2. stavkom 2. točkom (d) te uredbe, treba tumačiti na način: – da se primjenjuje na nacionalno zakonodavstvo kojim se prenosi Direktiva o PNR‑u u dijelu u kojem se tim zakonodavstvom uređuje obrada podataka iz PNR‑a koju obavljaju prijevoznici i drugi gospodarski subjekti, uključujući prijenos podataka iz PNR‑a u PIU‑ove koji se predviđa u članku 8. navedene direktive; – da se ne primjenjuje na nacionalno zakonodavstvo kojim se prenosi Direktiva o PNR‑u u dijelu u kojem se tom direktivom uređuje obrada podataka koju u svrhe koje se predviđaju u članku 1. stavku 2. te direktive obavljaju nadležna nacionalna tijela, uključujući PIU‑ove i, po potrebi, sigurnosne i obavještajne službe dotične države članice; – da se primjenjuje na nacionalno zakonodavstvo kojim se prenose Direktiva o API‑ju i Direktiva 2010/65 radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja.

B. Drugo, treće, četvrto, šesto i osmo prethodno pitanje

62. Svojim drugim, trećim, četvrtim i šestim prethodnim pitanjem Cour constitutionnelle (Ustavni sud) pita Sud o valjanosti Direktive o PNR‑u s obzirom na članke 7. i 8. te članak 52. stavak 1. Povelje. Osmim prethodnim pitanjem, iako je sastavljeno kao zahtjev za tumačenje, također se u biti od Suda traži da donese odluku u pogledu valjanosti te direktive.

63. Ta se pitanja odnose na različite elemente sustava obrade podataka iz PNR‑a uspostavljenog Direktivom o PNR‑u i njima se, u odnosu na svaki od tih elemenata, traži ocjena poštovanja uvjeta koji se primjenjuju na zakonitost ograničenja prilikom ostvarivanja temeljnih prava navedenih u člancima 7. i 8. Povelje. Stoga se drugo i treće prethodno pitanje odnose na katalog podataka iz PNR‑a naveden u Prilogu I., četvrto prethodno pitanje odnosi se na definiciju pojma „putnik” iz članka 3. točke 4. Direktive o PNR‑u, šesto prethodno pitanje odnosi se na upotrebu podataka iz PNR‑a u svrhu prethodne procjene na temelju članka 6. te direktive te se osmo prethodno pitanje odnosi na rok za čuvanje podataka iz PNR‑a koji se predviđa u članku 12. stavku 1. navedene direktive.

1. Temeljna prava navedena u člancima 7. i 8. Povelje

64. Člankom 7. Povelje svakome se jamči pravo na poštovanje privatnog i obiteljskog života, doma i komuniciranja. Što se tiče članka 8. stavka 1. Povelje, njime se svakoj osobi izričito daje pravo na zaštitu osobnih podataka koji se na nju odnose. Prema ustaljenoj sudskoj praksi, ta prava, koja se odnose na sve informacije o fizičkoj osobi čiji je identitet utvrđen ili se može utvrditi, usko su povezana, a pristup osobnim podacima fizičke osobe radi njihova čuvanja ili upotrebe utječe na pravo te osobe na poštovanje njezina privatnog života ( 44 ).

65. Prava propisana u člancima 7. i 8. Povelje ipak nisu apsolutna prava, nego ih treba uzeti u obzir ovisno o njihovoj funkciji u društvu ( 45 ). Člankom 8. stavkom 2. Povelje tako se dopušta obrada osobnih podataka ako su ispunjeni određeni uvjeti. Tom se odredbom predviđa da se osobni podaci moraju obrađivati „pošteno, u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom”.

66. Svakim se ograničenjem prava na zaštitu osobnih podataka kao i prava na privatan život usto moraju poštovati zahtjevi iz članka 52. stavka 1. Povelje. Stoga takvo ograničenje mora biti predviđeno zakonom, poštovati bit navedenih prava te, podložno načelu proporcionalnosti, mora biti potrebno i zaista odgovarati ciljevima od općeg interesa koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba.

67. Prilikom ocjene mjere kojom se ograničavaju navedena prava treba voditi računa i o značaju prava utvrđenih u člancima 3., 4., 6. i 7. Povelje i značaju ciljeva zaštite nacionalne sigurnosti i borbe protiv teških kaznenih djela, čime se doprinosi zaštiti prava i sloboda drugih osoba ( 46 ). U tom pogledu člankom 6. Povelje utvrđuje se ne samo pravo svake osobe na slobodu, nego i na sigurnost ( 47 ).

68. Osim toga, cilj članka 52. stavka 3. Povelje jest osiguranje potrebne sukladnosti između prava navedenih u toj povelji i odgovarajućih prava zajamčenih EKLJP‑om, koja se moraju uzeti u obzir kao minimalna razina zaštite ( 48 ). Pravo na poštovanje privatnog i obiteljskog života, utvrđeno u članku 7. Povelje, odgovara pravu zajamčenom u članku 8. EKLJP‑a, pa mu se stoga mora priznati jednako značenje i opseg ( 49 ). Iz sudske prakse Europskog suda za ljudska prava (u daljnjem tekstu: ESLJP) proizlazi da se zadiranje u prava zajamčena tim člankom može opravdati s obzirom na stavak 2. navedenog članka samo ako se predviđa zakonom, ako se odnosi na jedan ili više legitimnih ciljeva navedenih u tom stavku i ako je u demokratskom društvu nužno za postizanje tog cilja ili tih ciljeva ( 50 ). Mjera mora biti u skladu s vladavinom prava, izričito navedenom u preambuli EKLJP‑a i svojstvena predmetu i cilju članka 8. te konvencije ( 51 ).

69. Pitanja koja se odnose na ocjenu valjanosti i koja je postavio Cour constitutionnelle (Ustavni sud) valja ispitati s obzirom na ta načela.

2. Zadiranje u temeljna prava navedena u člancima 7. i 8. Povelje

70. Sud je već presudio da se odredbe kojima se nalaže ili omogućuje priopćavanje osobnih podataka fizičke osobe trećoj strani, kao što je tijelo javne vlasti, u nedostatku privole tih fizičkih osoba i bez obzira na naknadnu upotrebu predmetnih podataka, moraju smatrati zadiranjem u njihov privatni život i, slijedom toga, ograničenjem temeljnog prava zajamčenog u članku 7. Povelje, pri čemu se ne dovodi u pitanje njihovo eventualno opravdanje ( 52 ). Isto vrijedi čak i ako ne postoje okolnosti na temelju kojih se takvo zadiranje može ocijeniti „ozbiljnim” te neovisno o tome jesu li podaci o privatnom životu osjetljivi odnosno jesu li zainteresirane osobe zbog tog zadiranja pretrpjele eventualne neugodnosti ( 53 ). Pristup tijelâ javne vlasti takvim podacima predstavlja zadiranje u temeljno pravo na zaštitu osobnih podataka zajamčeno u članku 8. Povelje s obzirom na to da je riječ o obradi osobnih podataka ( 54 ). Isto tako, zadržavanje tijekom određenog razdoblja podataka o privatnom životu osobe predstavlja samo po sebi zadiranje u prava zajamčena u člancima 7. i 8. Povelje ( 55 ).

71. Sud je već presudio i da podaci iz PNR‑a, kao što su oni koji su navedeni u Prilogu I., sadržavaju informacije o fizičkim osobama čiji je identitet utvrđen, odnosno dotičnim zrakoplovnim putnicima, te da stoga različita obrada koja se može primijeniti na te podatke utječe na temeljno pravo na poštovanje privatnog života zajamčeno u članku 7. Povelje. Ta je obrada obuhvaćena i člankom 8. Povelje i stoga nužno mora ispunjavati zahtjeve zaštite podataka koji se predviđaju u tom članku ( 56 ).

72. Stoga obrada podataka iz PNR‑a koja se dopušta Direktivom o PNR‑u i, među ostalim, ono što je značajno za potrebe ovog predmeta, prijenos tih podataka u PIU‑ove koji obavljaju zračni prijevoznici, njihova upotreba u tim odjelima, njihov daljnji prijenos nadležnim nacionalnim tijelima u smislu članka 7. te direktive, kao i njihovo čuvanje predstavljaju zadiranja u temeljna prava zajamčena u člancima 7. i 8. Povelje.

73. Što se tiče ozbiljnosti tih zadiranja, valja istaknuti, kao prvo, da se Direktivom o PNR‑u predviđa sustavni i kontinuirani prijenos u PIU‑ove podataka iz PNR‑a svih zrakoplovnih putnika, kao što se to utvrđuje u članku 3. točki 4. te direktive, koji putuju na letu „između EU‑a i trećih zemalja” u smislu njezina članka 3. točke 2. Takav prijenos podrazumijeva da PIU‑ovi imaju opći pristup svim dostavljenim podacima iz PNR‑a ( 57 ). To se utvrđenje ne dovodi u pitanje, suprotno onomu što tvrde određene države članice u ovom postupku, okolnošću da će, s obzirom na to da se na te podatke primjenjuje automatizirana obrada, PIU‑ovi imati konkretan pristup samo podacima čiji je rezultat analize pozitivan. Naime, s jedne strane, takva okolnost dosad nije onemogućila Sud da potvrdi, u okviru sličnih sustava automatizirane obrade osobnih podataka koji se „skupno” prikupljaju i čuvaju, opću prirodu pristupa predmetnih tijela javne vlasti takvim podacima. S druge strane, jednostavno stavljanje na raspolaganje tijelima javne vlasti osobnih podataka radi njihove obrade i čuvanja koje provode ta tijela obuhvaća opći i cjelovit pristup a priori tih tijela takvim podacima i zadiranje u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka.

74. Kao drugo, u skladu s člankom 2. stavkom 1. Direktive o PNR‑u, države članice mogu odlučiti primijeniti potonju direktivu na letove „unutar EU‑a” u smislu njezina članka 3. točke 3. U tom pogledu ističem, s jedne strane, da se Direktivom o PNR‑u ne predviđa samo mogućnost država članica da prošire njezinu primjenu na letove unutar EU‑a, nego se njome također određuju službeni i materijalni uvjeti kojima se uređuje ostvarivanje te mogućnosti ( 58 ) i pojašnjavam da, kad se ta mogućnost ostvaruje samo za određene letove unutar EU‑a, odabir tih letova treba provesti s obzirom na ciljeve koji se nastoje postići navedenom direktivom ( 59 ). S druge strane, Direktivom o PNR‑u utvrđuju se posljedice ostvarivanja takve mogućnosti, pri čemu se u njezinu članku 2. stavku 2. predviđa da se, kad država članica odluči primijeniti tu direktivu na letove unutar EU‑a, sve njezine odredbe „primjenjuju […] na letove unutar EU‑a kao da se radi o letovima između EU‑a i trećih zemalja te na podatke iz PNR‑a dobivene na temelju letova unutar EU‑a kao da se radi o podacima iz PNR‑a dobivenima na temelju letova između EU‑a i trećih zemalja”.

75. U tim okolnostima smatram da, suprotno onomu što tvrdi određen broj vlada koje su podnijele očitovanja u ovom postupku, iako primjena Direktive o PNR‑u na letove unutar EU‑a ovisi o odabiru država članica, pravnu osnovu zadiranjâ u prava na poštovanje privatnog života i zaštitu osobnih podataka povezanih s prijenosom, obradom i čuvanjem podataka iz PNR‑a koji se odnose na te letove, kad se izvrši takav odabir, čini Direktiva o PNR‑u.

76. Međutim, osim Kraljevine Danske, na koju se ne primjenjuje ta direktiva ( 60 ), gotovo sve države članice primjenjuju sustav uspostavljen tom direktivom na letove „unutar EU‑a” ( 61 ). Iz toga slijedi da se taj sustav primjenjuje na sve letove koji ulaze u Uniju i izlaze iz nje kao i na gotovo sve letove koji se izvode u Uniji.

77. Kao treće, što se tiče podataka iz PNR‑a koje treba prenijeti, u Prilogu I. navodi se 19 rubrika koje se odnose na osobne podatke ( 62 ), detalje o putovanju zrakoplovom ( 63 ) i druge podatke koji se prikupljaju u kontekstu ugovora o zračnom prijevozu, kao što su telefonski broj, adresa elektroničke pošte, načini plaćanja, putnička agencija ili putnički agent, informacije koje se odnose na prtljagu i opće primjedbe ( 64 ). Međutim, kao što je to Sud naveo u točki 128. mišljenja 1/15, prilikom odlučivanja o rubrikama navedenima u Prilogu Prijedlogu sporazuma između Kanade i Europske unije o prijenosu i obradi podataka iz popisa imena putnika (u daljnjem tekstu: Prijedlog sporazuma o PNR‑u između Kanade i EU‑a), koje su sastavljene na vrlo sličan način kao one iz Priloga I., „bez obzira što se ne čini da bi pojedini podaci iz PNR‑a, promatrani izolirano, mogli otkrivati važne informacije o privatnom životu dotičnih osoba, ipak ostaje činjenica da ti podaci, promatrani kao cjelina, mogu, među ostalim, otkrivati cjelokupni plan putovanja, putne navike, odnose koji postoje između dviju ili više osoba, kao i informacije o financijskim prilikama zrakoplovnih putnika, njihovim prehrambenim navikama ili zdravstvenom stanju, te da bi čak mogli pružati osjetljive informacije o putnicima”.

78. Kao četvrto, u skladu s člankom 6. Direktive o PNR‑u, podaci koje prenose zračni prijevoznici namijenjeni su analizi koju provode PIU‑ovi na automatiziran i sustavan način, odnosno neovisno o tome postoji li najmanja naznaka da dotične osobe mogu biti uključene u kaznena djela terorizma ili teška kaznena djela. Konkretnije, u okviru prethodne procjene putnika koja se predviđa u članku 6. stavku 2. točki (a) te direktive i u skladu sa stavkom 3. tog članka, navedeni podaci mogu se provjeriti usporedbom s „relevantnim” bazama podataka (članak 6. stavak 3. točka (a)) i obrađivati u skladu s prethodno utvrđenim kriterijima (članak 6. stavak 3. točka (b)). Doista, prva vrsta obrade može pružiti dodatne informacije o privatnom životu dotičnih osoba ( 65 ) i, ovisno o relevantnim bazama podataka za uspoređivanje, može omogućiti i praćenje određenog profila tih osoba. U tim okolnostima prigovor koji je istaknulo nekoliko vlada, prema kojem Direktiva o PNR‑u omogućuje pristup samo jednom skupu osobnih podataka koji je relativno ograničen ne odražava primjereno moguć opseg zadiranjâ koja ta direktiva sadržava u temeljna prava zaštićena člancima 7. i 8. Povelje s obzirom na opseg podataka kojima se na temelju te direktive može dopustiti pristup. Što se tiče druge vrste obrade podataka, koja se predviđa u članku 6. stavku 3. točki (b) Direktive o PNR‑u, podsjećam na to da je Sud u točkama 169. i 172. mišljenja 1/15 naglasio da je svakoj vrsti analize koja se temelji na prethodno utvrđenim kriterijima svojstveno da podrazumijeva određenu stopu pogreške i osobito određen broj „lažnih pozitivnih” rezultata. U skladu s brojčanim podacima iz radnog dokumenta Komisijinih službi ( 66 ) (u daljnjem tekstu: radni dokument iz 2020.), priloženog Komisijinu izvješću iz 2020., broj slučajeva pozitivnih rezultata koji su se, nakon pojedinačne provjere koja se predviđa u članku 6. stavku 5. Direktive o PNR‑u, pokazali pogrešnim prilično je velik te se tijekom 2018. i 2019. odnosio na barem pet od šest osoba čiji je identitet utvrđen ( 67 ).

79. Kao peto, u skladu s člankom 12. stavkom 1. Direktive o PNR‑u, podaci iz PNR‑a čuvaju se u bazi podataka u razdoblju od pet godina od njihova prijenosa u PIU države članice na čijem se državnom području nalazi polazište ili odredište leta. Direktivom o PNR‑u stoga se dopušta raspolaganje podacima o privatnom životu zrakoplovnih putnika tijekom prilično dugog razdoblja ( 68 ). Osim toga, s obzirom na to da se prijenos podataka iz PNR‑a odnosi na gotovo sve letove koji se izvode iz Unije ili u Uniju kao i unutar Unije i da je zrakoplov postao prilično uobičajeno prijevozno sredstvo, osobni podaci velikog dijela zrakoplovnih putnika mogu se čuvati praktički trajno samo zbog toga jer putuju zrakoplovom najmanje dva puta svakih pet godina.

80. Naposljetku, na općenitijoj razini, Direktivom o PNR‑u predviđaju se mjere čiji je cilj, kad se razmatraju zajedno, uspostava na razini Unije sustava nadzora koji je „neciljan”, odnosno koji se ne pokreće na temelju sumnje u pogledu jedne ili više određenih osoba, „masovan” jer se primjenjuje na osobne podatke velikog broja pojedinaca ( 69 ), pri čemu obuhvaća istu kategoriju osoba u cijelosti ( 70 ), te „proaktivan” jer njegov cilj nije samo ispitivanje poznatih prijetnji, nego i pronalazak ili utvrđivanje opasnosti koje su dotad bile nepoznate ( 71 ). Takve mjere po samoj svojoj prirodi dovode do ozbiljnih zadiranja u temeljna prava zaštićena člancima 7. i 8. Povelje ( 72 ), koja su osobito povezana s njihovom preventivnom i predviđajućom svrhom, kojom se zahtijeva procjena osobnih podataka koji se odnose na velike skupine stanovništva kako bi se „utvrdile” osobe koje, ovisno o rezultatu te procjene, nadležna tijela trebaju dodatno ispitati ( 73 ). Osim toga, sve raširenije provođenje, u svrhu sprečavanja određenih teških kaznenih djela, obrade velikih količina osobnih podataka različite prirode koji se „skupno” prikupljaju, kao i njihovo povezivanje i zajednička obrada dovode do „kumulativnog učinka” kojim se pojačava ozbiljnost ograničenja temeljnih prava na poštovanje privatnog života i zaštitu osobnih podataka i kojim se može potaknuti postupak postupnog prelaska prema „društvu u kojem se izvršava nadzor” ( 74 ).

81. Na temelju prethodnih razmatranja smatram da zadiranje u temeljna prava zaštićena člancima 7. i 8. Povelje koje sadržava Direktiva o PNR‑u treba barem kvalificirati kao „ozbiljno”.

82. Točno je, kao što to osobito tvrdi Komisija, da se na temelju svih zaštitnih mjera i zaštitnih mehanizama koji se predviđaju Direktivom o PNR‑u, osobito kako bi se izbjegla zlouporaba podataka iz PNR‑a, može smanjiti intenzitet ili ozbiljnost tih zadiranja. Svaki sustav kojim se predviđaju pristup osobnim podacima i njihova obrada koju obavljaju tijela javne vlasti ipak predstavlja određenu razinu ozbiljnosti, sa stajališta zaštite predmetnih temeljnih prava, koja je svojstvena njegovim objektivnim značajkama. Tu razinu ozbiljnosti, prema mojem mišljenju, treba odrediti prije nego što se u okviru ocjene proporcionalnosti navedenih zadiranja provede ocjena dostatnosti i primjerenosti zaštitnih mjera koje se predviđaju tim sustavom. Čini mi se da je Sud dosad tako postupao.

83. Kako bi bile u skladu s Poveljom, zadiranja u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka koja sadržava Direktiva o PNR‑u trebaju ispunjavati uvjete navedene u točkama 65. i 66. ovog mišljenja, što će se ispitati u nastavku u okviru aspekata na koje je Sudu skrenuo pozornost sud koji je uputio zahtjev.

3. Opravdanje zadiranja koje proizlazi iz Direktive o PNR‑u

84. Iako se treće prethodno pitanje odnosi na poštovanje uvjeta iz članka 52. stavka 1. prve rečenice Povelje, prema kojem svako zadiranje u temeljno pravo mora biti „predviđeno zakonom”, drugim, četvrtim, šestim i osim prethodnim pitanjem Sudu se osobito postavlja pitanje o poštovanju načela proporcionalnosti iz druge rečenice te odredbe.

a) Poštovanje zahtjeva prema kojem svako ograničenje ostvarivanja temeljnog prava koje se predviđa Poveljom mora biti predviđeno zakonom

85. Prema ustaljenoj sudskoj praksi Suda ( 75 ), koja se temelji na sudskoj praksi ESLJP‑a ( 76 ), zahtjev prema kojem svako ograničenje ostvarivanja temeljnog prava mora biti „predviđeno zakonom” ne odnosi se samo na „zakonski” izvor zadiranja, o kojem nije riječ u ovom predmetu, nego znači i da se u samoj pravnoj osnovi kojom se dopušta to zadiranje mora jasno i precizno definirati njegov doseg. Budući da je povezan sa „svojstvom zakona” i stoga s dostupnošću i predvidljivošću predmetne mjere ( 77 ), taj drugi dio koji obuhvaća izraz „predviđen zakonom” u smislu članka 52. stavka 1. Povelje i njezina članka 8. stavka 2. te članka 8. EKLJP‑a nema za cilj samo osigurati poštovanje načela zakonitosti i primjerenu zaštitu od samovoljnosti ( 78 ), nego i ispuniti zahtjev pravne sigurnosti. Taj se zahtjev potvrđuje i u mišljenju od 19. kolovoza 2016. Savjetodavnog odbora Konvencije br. 108 ( 79 ) o posljedicama u području zaštite podataka uzrokovanim obradom popisa imena putnika (u daljnjem tekstu: mišljenje od 19. kolovoza 2016.) ( 80 ).

86. Donošenjem Direktive o PNR‑u zakonodavac Unije sam je utvrdio ograničenje prava propisanih u člancima 7. i 8. Povelje. Stoga se ne može smatrati da su zadiranja koja se omogućuju tom direktivom u navedena prava posljedica odabira država članica ( 81 ), unatoč margini prosudbe koju su potonje države mogle imati u trenutku njezina prenošenja u nacionalno pravo, nego sama Direktiva o PNR‑u predstavlja njihovu pravnu osnovu. U tim je okolnostima bilo na zakonodavcu Unije da, u svrhu usklađivanja sa sudskom praksom navedenom u točki 85. ovog mišljenja i „visokim standardima” zaštite temeljnih prava sadržanih u, među ostalim, Povelji i EKLJP‑u na koje se upućuje u uvodnoj izjavi 15. Direktive o PNR‑u, odredi jasna i precizna pravila kojima se uređuju doseg i primjena mjera koje uključuju navedena zadiranja.

87. Iako sud koji je uputio zahtjev svojim trećim prethodnim pitanjem pita konkretnije o poštovanju te obveze s obzirom na točke 12. i 18. Priloga I., u okviru ispitivanja drugog, četvrtog i šestog prethodnog pitanja, u kojima taj sud dvoji u pogledu nužnosti zadiranja u temeljna prava navedena u člancima 7. i 8. Povelje koje sadržava Direktiva o PNR‑u, bit će potrebno zauzeti i stajalište o dovoljno jasnoj i preciznoj prirodi odredbi Direktive o PNR‑u koje se dovode u pitanje.

88. Iako se ta analiza odnosi, kao što sam to naveo u točki 85. ovog mišljenja, na zakonitost zadiranja, u smislu članka 52. stavka 1. prve rečenice Povelje, provest ću tu analizu u okviru ispitivanja njegove proporcionalnosti, navedene u drugoj rečenici tog stavka, u skladu s pristupom koji su primijenili Sud i ESLJP u predmetima u kojima je riječ o mjerama čiji je cilj obrada osobnih podataka ( 82 ).

b) Poštovanje biti pravâ iz članaka 7. i 8. Povelje

89. U skladu s člankom 52. stavkom 1. prvom rečenicom Povelje, svako ograničenje pri ostvarivanju temeljnih prava mora se temeljiti ne samo na dovoljno preciznoj pravnoj osnovi, nego mora i poštovati bit tih prava.

90. Kao što sam to naveo u točki 66. ovog mišljenja, taj se zahtjev, koji je uključen u ustave različitih država članica ( 83 ) i koji je, iako ga se EKLJP‑om izričito ne priznaje, ipak dobro ukorijenjen u sudsku praksu ESLJP‑a ( 84 ), nalazi u članku 52. stavku 1. Povelje ( 85 ). Budući da ga je Sud priznao prije njegove kodifikacije ( 86 ), takav se zahtjev neprestano potvrđivao u sudskoj praksi sudova Unije, čak i nakon stupanja na snagu Ugovora iz Lisabona.

91. Iz presude Schrems ( 87 ) od 6. listopada 2015. osobito proizlazi da, ako se aktima prava Unije ne poštuje bit temeljnog prava, to automatski dovodi do njegove ništavosti ili nevaljanosti a da pritom nije potrebno izvršiti odvagivanje relevantnih interesa. Sud stoga priznaje da je temeljno pravo „jezgra” koja svakome jamči područje slobode zaštićeno od bilo kakva zadiranja javnih vlasti i koja ne može biti podložna ograničenjima ( 88 ), osim ako se dovedu u pitanje demokratska načela, vladavina prava i poštovanje ljudskog dostojanstva na kojima se temelji zaštita temeljnih prava. Osim toga, iz teksta članka 52. stavka 1. Povelje, iz sudske prakse Suda te, među ostalim, iz presude Schrems I proizlazi da se ocjena koja se odnosi na postojanje zadiranja u bit predmetnog temeljnog prava mora provesti prije ocjene proporcionalnosti sporne mjere i neovisno o toj ocjeni. Drugim riječima, riječ je o testu koji ima vlastitu autonomiju.

92. S obzirom na to, izuzetno je složen postupak utvrditi što čini „bit”, i to nedodirljivu, temeljnog prava čije se ostvarivanje može ograničiti. Ako taj pojam, kako bi ispunio svoju funkciju, treba moći definirati u apsolutnom smislu, s obzirom na ključna obilježja predmetnog temeljnog prava, na subjektivne i objektivne interese koji se njime nastoje zaštititi i, općenitije, s obzirom na njegovu funkciju u demokratskom društvu koje se temelji na poštovanju ljudskog dostojanstva ( 89 ), takav je postupak u praksi gotovo nemoguć a da se barem ne uzmu u obzir kriteriji koji se obično upotrebljavaju za ispitivanje proporcionalnosti zadiranja u predmetno pravo, kao što je ozbiljnost tog zadiranja, njegov opseg ili vremenska dimenzija i stoga da se ne uzmu u obzir specifična obilježja svakog pojedinog slučaja.

93. Što se osobito tiče temeljnog prava na poštovanje privatnog života, valja uzeti u obzir ne samo važnost koju za mentalno i fizičko zdravlje svakog pojedinca, njegovu dobrobit, neovisnost, osobni potencijal i sposobnost da gradi i njeguje društvene odnose ima činjenica da pojedinac raspolaže privatnošću u kojoj razvija vlastitu nutrinu, nego i ulogu koju to pravo ima kako bi se zaštitila ostala prava i slobode kao što su, među ostalim, sloboda mišljenja, savjesti, vjeroispovijedi, izražavanja i informiranja, čije potpuno ostvarivanje podrazumijeva priznavanje privatnosti. Općenitije, valja uzeti u obzir funkciju koju u demokratskom društvu ima poštovanje prava na privatan život ( 90 ). Čini se da Sud ocjenjuje postojanje povrede biti tog prava, pri čemu uzima u obzir intenzitet i opseg zadiranja, na temelju čega se može smatrati da se takva povreda utvrđuje kvantitativno, a ne kvalitativno. Prema tome, s jedne strane, Sud je u presudi Digital Rights u biti smatrao da obveza zadržavanja podataka iz Direktive 2006/24/EZ ( 91 ) nije dosegla razinu ozbiljnosti koja bi utjecala na bit prava na poštovanje privatnog života jer se njome ne dopušta „uvid u sadržaj elektroničke komunikacije kao takav” ( 92 ). S druge strane, u mišljenju 1/15 Sud je u biti smatrao da ograničenje koje obuhvaća samo određene aspekte privatnog života dotičnih osoba ne može dovesti do zadiranja u bit tog temeljnog prava ( 93 ).

94. Što se tiče temeljnog prava na zaštitu osobnih podataka, čini se da Sud smatra da je bit tog prava očuvana kada mjera kojom se utvrđuje zadiranje ograničava svrhe obrade i predviđa pravila kojima se osigurava sigurnost predmetnih podataka, osobito od nenamjernog ili nezakonitog uništenja i nenamjernoga gubitka ili izmjene ( 94 ).

95. Ako sud koji je uputio zahtjev u ovom predmetu nije izričito uputio na poštovanje biti prava navedenih u člancima 7. i 8. Povelje, četvrto i šesto prethodno pitanje temelje se, prema mojem mišljenju, na pitanju poštovanja tog zahtjeva. Stoga predlažem Sudu da ispita to pitanje.

96. U tom pogledu podsjećam da, iako je Sud u točki 150. mišljenja 1/15 priznao da podaci iz PNR‑a „eventualno mogu otkrivati vrlo precizne informacije o privatnom životu neke osobe” ( 95 ) i da te informacije mogu, izravno ili neizravno, otkriti osjetljive podatke o dotičnoj osobi ( 96 ), što se tiče Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, Sud je ipak zaključio da, s obzirom na to da je „priroda tih informacija [bila ograničena] na određene aspekte tog privatnog života, posebice vezane uz zrakoplovna putovanja između Kanade i Unije”, povreda temeljnog prava na poštovanje privatnog života nije mogla utjecati na bit navedenog prava.

97. Međutim, osim okolnosti da se podaci iz PNR‑a koje obuhvaća Prijedlog sporazuma o PNR‑u između Kanade i EU‑a trebaju prenijeti u treću državu i da njihovu daljnju obradu trebaju obaviti tijela te treće države na njezinu području, zadiranje u temeljno pravo na poštovanje privatnog života koje proizlazi iz navedenog prijedloga sporazuma i zadiranja koja se predviđaju Direktivom o PNR‑u po svojoj se prirodi uvelike podudaraju. To je osobito slučaj s predmetnim podacima iz PNR‑a, sa sustavnošću i općenitošću prijenosa i obrade tih podataka, automatiziranom prirodom te obrade i čuvanjem navedenih podataka. Suprotno tomu, ono po čemu se dva predmeta razlikuju je takoreći „zemljopisna pokrivenost” tih zadiranja. Naime, kao što sam to naveo u točki 77. ovog mišljenja, obrade podataka o kojima je riječ u ovom predmetu nisu ograničene na zračne veze sa samo jednom trećom zemljom, kao što je to slučaj u mišljenju 1/15, nego se odnose na gotovo sve letove koji ulaze u Uniju i izlaze iz nje te one koji se izvode u Uniji. Iz toga slijedi da se u odnosu na Prijedlog sporazuma o PNR‑u između Kanade i EU‑a Direktivom o PNR‑u nalaže sustavna obrada znatno većeg broja zrakoplovnih putnika koji putuju zrakoplovom unutar i izvan Unije. K tomu, s obzirom na povećanje količine obrađenih podataka i učestalosti njihova prikupljanja, njihova će obrada vjerojatno pružiti preciznije i opsežnije informacije o privatnom životu dotičnih osoba (putne navike, osobni odnosi, financijske situacije itd.).

98. Te se informacije, kad se razmatraju zasebno kao što je to bio slučaj u mišljenju 1/15, ipak odnose samo na određene aspekte privatnog života koji su povezani sa zrakoplovnim putovanjima. Međutim, s obzirom na potrebu da se pojam „bit” temeljnih prava usko definira kako bi zadržao svoju funkciju uporišta protiv napada na samu bit tih prava, smatram da se zaključak do kojeg je Sud došao u točki 150. mišljenja 1/15 može primijeniti na ovaj predmet.

99. U mišljenju 1/15 Sud je isključio i povredu biti prava na zaštitu osobnih podataka ( 97 ). Prema mojem mišljenju, taj se zaključak također može primijeniti na okolnosti ovog predmeta. Naime, kao što je to bio slučaj Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, Direktivom o PNR‑u u njezinu članku 1. stavku 2. ograničavaju se svrhe obrade podataka iz PNR‑a. Osim toga, ta direktiva, kao i ostali akti Unije na koje se u njoj upućuje, osobito GDPR i Direktiva o policiji, sadržavaju posebne odredbe koje su namijenjene, među ostalim, osiguravanju sigurnosti, povjerljivosti i integriteta tih podataka te njihovoj zaštiti od nezakonitog pristupa i obrade. Iako se ne može smatrati da zakonodavstvo kao što je ono koje se predviđa Direktivom o PNR‑u utječe na bit temeljnih prava zaštićenih člancima 7. i 8. Povelje, nad tim se zakonodavstvom ipak treba provesti obvezan i strog nadzor njegove proporcionalnosti.

c) Poštovanje zahtjeva prema kojem zadiranje mora odgovarati cilju u općem interesu

100. Direktivom o PNR‑u osobito se nastoji zajamčiti unutarnja sigurnost u Uniji i zaštititi živote i sigurnost osoba prijenosom podataka iz PNR‑a nadležnim tijelima država članica s ciljem njihove upotrebe u okviru borbe protiv terorizma i teških kaznenih djela ( 98 ).

101. Konkretnije, iz članka 1. stavka 2. Direktive o PNR‑u, u vezi s njezinim uvodnim izjavama 6. i 7., te iz Komisijina prijedloga koji je doveo do donošenja te direktive (u daljnjem tekstu: Prijedlog direktive o PNR‑u) ( 99 ) proizlazi da u okviru takvog cilja tijela za izvršavanje zakonodavstva podatke iz PNR‑a upotrebljavaju ( 100 ) na različite načine. Kao prvo, ti se podaci upotrebljavaju za identifikaciju osoba koje su uključene ili se sumnja da su uključene u kaznena djela terorizma i teška kaznena djela koja su se već počinila, za prikupljanje dokaza te, po potrebi, za pronalazak pomagača počinitelja kaznenih djela i razotkrivanje kriminalnih mreža (upotreba u „reaktivnom načinu”). Kao drugo, podaci iz PNR‑a mogu se ocijeniti prije dolaska ili odlaska putnika kako bi se spriječilo počinjenje kaznenog djela i identificirale osobe koje prethodno nisu bile osumnjičene za sudjelovanje u kaznenim djelima terorizma ili u teškim kaznenim djelima i koje bi na temelju rezultata te procjene tijela za izvršavanje zakonodavstva trebala dodatno ispitati (upotreba u „stvarnom načinu”). Konačno, podaci iz PNR‑a upotrebljavaju se kako bi se definirali kriteriji procjene koji se kasnije mogu primijeniti u procjeni rizika koji putnici predstavljaju prije svojeg dolaska i prije odlaska (upotreba u „proaktivnom načinu”). Takva proaktivna upotreba podataka iz PNR‑a treba tijelima za izvršavanje zakonodavstva omogućiti sagledavanje prijetnje koja proizlazi iz teških kaznenih djela i terorizma na drukčiji način nego što se to dopušta obradom drugih kategorija osobnih podataka ( 101 ).

102. Iz sudske prakse Suda proizlazi da je cilj zaštite javne sigurnosti, koji obuhvaća, među ostalim, sprečavanje, istragu, otkrivanje i kazneni progon kaznenih djela terorizma i kaznenih djela koja se odnose na teška kaznena djela, cilj od općeg interesa Unije u smislu članka 52. stavka 1. Povelje, kojim se mogu opravdati čak i ozbiljna zadiranja u temeljna prava utvrđena u člancima 7. i 8. Povelje ( 102 ).

103. Sud je priznao i da ciljevi zaštite javne sigurnosti i borbe protiv teških kaznenih djela pridonose zaštiti prava i sloboda drugih osoba ( 103 ). Stoga, što se tiče pravilnog odvagivanja tih ciljeva i temeljnih prava utvrđenih u člancima 7. i 8. Povelje ( 104 ), valja uzeti u obzir i važnost prava utvrđenih u člancima 3., 4., 6. i 7. Povelje. U tom pogledu, iako je Sud u presudi La Quadrature du Net smatrao da se članak 6. Povelje „ne može […] tumačiti na način da tijelima javne vlasti određuje obvezu donošenja posebnih mjera radi kažnjavanja određenih kaznenih djela” ( 105 ), s druge strane, što se osobito tiče djelotvorne borbe protiv kaznenih djela čije su žrtve, među ostalim, maloljetnici i druge ranjive osobe, Sud je naglasio da pozitivne obveze na teret tijela javne vlasti mogu proizlaziti iz članka 7. Povelje radi donošenja pravnih mjera za zaštitu privatnog i obiteljskog života, kao i iz njezinih članka 3. i 4. u pogledu zaštite tjelesnog i duhovnog integriteta osoba kao i zabrane mučenja te nečovječnog i ponižavajućeg postupanja ( 106 ).

104. Konačno, Sud je smatrao da važnost cilja u vidu zaštite nacionalne sigurnosti nadmašuje važnost ciljeva općenite borbe protiv kriminala, čak i teškog, kao i zaštite javne sigurnosti i da stoga može opravdati mjere koje podrazumijevaju ozbiljnija zadiranja u temeljna prava od onih koja bi mogli opravdati ti drugi ciljevi ( 107 ). Budući da terorističke aktivnosti mogu predstavljati prijetnju nacionalnoj sigurnosti država članica, sustav koji je uspostavljen Direktivom o PNR‑u, s obzirom na to da služi kao instrument za borbu protiv takvih aktivnosti, pridonosi cilju zaštite nacionalne sigurnosti država članica.

d) Poštovanje načela proporcionalnosti

105. U skladu s člankom 52. stavkom 1. drugom rečenicom Povelje, podložno načelu proporcionalnosti, ograničenja ostvarivanja temeljnog prava koje se priznaje Poveljom moguća su samo ako su potrebna i ako zaista odgovaraju ciljevima od općeg interesa koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba.

106. U tom pogledu valja podsjetiti na to da, prema ustaljenoj sudskoj praksi Suda, načelo proporcionalnosti zahtijeva da su akti institucija Unije sposobni ostvariti legitimne ciljeve koje slijedi zakonodavstvo o kojem je riječ i da ne prelaze granice onog što je prikladno i nužno za ostvarenje tih ciljeva ( 108 ).

107. U skladu s ustaljenom sudskom praksom Suda, zaštita temeljnog prava na poštovanje privatnog života na razini Unije zahtijeva da su odstupanja i ograničenja u zaštiti osobnih podataka u granicama onog što je strogo nužno. Usto, cilj od općeg interesa ne može se postići a da se u obzir ne uzme činjenica da se on mora pomiriti s temeljnim pravima na koja se mjera odnosi, tako da se cilj od općeg interesa, s jedne strane, pravilno odvagne s predmetnim pravima, s druge strane ( 109 ). Konkretnije, proporcionalnost ograničenja prava propisanih u člancima 7. i 8. Povelje treba ocijeniti tako da se odmjeri ozbiljnost zadiranja koje takvo ograničenje podrazumijeva i provjeri da je važnost cilja od općeg interesa koji se nastoji postići tim ograničenjem proporcionalna toj ozbiljnosti ( 110 ).

108. Iz sudske prakse Suda proizlazi da se, kako bi se ispunio uvjet proporcionalnosti, Direktivom o PNR‑u, kao pravnom osnovom koja sadržava zadiranja u temeljna prava utvrđena u člancima 7. i 8. Povelje opisanih u točkama 70. do 83. ovog mišljenja, moraju predvidjeti jasna i precizna pravila kojima se uređuju doseg i primjena mjera koje uključuju takva zadiranja te propisati minimalne uvjete na način da osobe čiji se osobni podaci obrađuju raspolažu dostatnim jamstvima koja omogućuju djelotvornu zaštitu njihovih osobnih podataka od rizika zlouporabe kao i od svih nezakonitih pristupa i uporabe tih podataka ( 111 ). Nužnost raspolaganja takvim jamstvima još je i značajnija kad su, kao u ovom slučaju, osobni podaci podvrgnuti automatskoj obradi i kad je u pitanju zaštita te konkretne kategorije osobnih podataka, a to su osjetljivi podaci ( 112 ).

109. Što se tiče opsega sudskog nadzora poštovanja zahtjeva koji proizlaze iz načela proporcionalnosti, s obzirom na važnu ulogu koju ima zaštita osobnih podataka u odnosu na temeljno pravno na poštovanje privatnog života i zadiranje u to pravo koje sadržava Direktiva o PNR‑u, ovlast ocjene zakonodavca Unije smanjena je na način da taj nadzor mora biti strog ( 113 ).

1) Prikladnost obrade podataka iz PNR‑a na koju se odnosi Direktiva o PNR‑u s obzirom na cilj koji se nastoji ostvariti

110. U točki 153. mišljenja 1/15 Sud je u pogledu Prijedloga sporazuma o PNR‑u između Kanade i EU‑a potvrdio da se prijenos podataka iz PNR‑a u Kanadu i naknadna obrada tih podataka mogu smatrati prikladnima za osiguravanje postizanja cilja u pogledu javne zaštite i sigurnosti. Čini mi se da se ta prikladnost, koja je već dugo priznata na razini Unije i na svjetskoj razini ( 114 ), ne može dovesti u pitanje što se tiče prikupljanja i naknadne obrade podataka iz PNR‑a u pogledu letova između EU‑a i trećih zemalja te letova unutar EU‑a ( 115 ).

111. S obzirom na to, učinkovitost sustava obrade podataka iz PNR‑a koji je uspostavljen direktivom može se procijeniti samo u praksi, ocjenjivanjem rezultata njegove primjene ( 116 ). S tog stajališta, bitno je da se takva učinkovitost kontinuirano procjenjuje na temelju najpreciznijih i najpouzdanijih statističkih podataka ( 117 ). U tom pogledu Komisija bi redovito trebala provoditi preispitivanje jednako onomu koje se već predviđa u članku 19. Direktive o PNR‑u.

2) Stroga nužnost zadiranja

112. Iako Cour constitutionnelle (Ustavni sud) nije izričito istaknuo dvojbe u pogledu činjenice da Direktiva o PNR‑u sadržava jasna i precizna pravila koja su ograničena na ono što je strogo nužno u pogledu razgraničenja svrha obrade podataka iz PNR‑a ( 118 ), u analizi proporcionalnosti sustava koji se predviđa tom direktivom, koju je zatražio sud koji je uputio zahtjev, ne može se, prema mojem mišljenju, izostaviti rješavanje tog pitanja ( 119 ).

i) Razgraničenje svrha obrade podataka iz PNR‑a

113. Jasno razgraničenje svrha za koje je nadležnim tijelima dopušten pristup osobnim podacima te njihova naknada upotreba odlučujući je uvjet svakog sustava obrade podataka, osobito u svrhu izvršavanja zakona. Osim toga, ispunjenje tog uvjeta potrebno je kako bi se Sudu omogućilo da ocijeni proporcionalnost predmetnih mjera primjenom testa ozbiljnosti zadiranja u odnosu na važnost cilja koji se nastoji ostvariti utvrđenog u njegovoj sudskoj praksi ( 120 ).

114. Sud je naglasio važnost jasnog razgraničenja svrha mjera koje uključuju ograničenja temeljnih prava na poštovanje privatnog života i zaštitu osobnih podataka, osobito u presudi Digital Rights u kojoj je Direktivu 2006/24 proglasio nevaljanom. U točki 60. te presude Sud je napomenuo da se tom direktivom ne predviđa „nikakav objektivni kriterij koji bi omogućio ograničenje pristupa nadležnih nacionalnih tijela podacima i njihove naknadne uporabe u svrhu sprečavanja, otkrivanja ili kaznenih progona koji se odnose na kaznena djela koja se mogu, s obzirom na širinu i težinu miješanja u temeljna prava iz članaka 7. i 8. Povelje, smatrati dovoljno teškima za opravdanje takvog miješanja” i da se ona, suprotno tomu, ograničava „u članku 1. stavku 1. […] na općenito upućivanje na teška kaznena djela koja svaka država članica definira u svojem unutarnjem pravu”.

115. U članku 1. stavku 2. Direktive o PNR‑u navodi se opći kriterij ograničenja svrhe prema kojem se „[p]odaci iz PNR‑a prikupljeni u skladu s ovom Direktivom mogu […] obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela”. Međutim, suprotno Direktivi 2006/24, Direktiva o PNR‑u nije ograničena na takvo navođenje, nego se njome samom u njezinu članku 3. točkama 8. i 9. definira pojmove „kaznena djela terorizma” te „teška kaznena djela”, prvi pojam upućivanjem na članke 1. i 4. Okvirne odluke Vijeća 2002/475/PUP od 13. lipnja 2002. o suzbijanju terorizma (SL 2002., L 164, str. 3.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 9., str. 214.) (koju je zamijenila Direktiva (EU) 2017/541 ( 121 ), a drugi pojam, s jedne strane, navođenjem kategorija kaznenih djela iz Priloga II. koje odgovaraju tom pojmu i, s druge strane, uspostavljanjem stupnja težine u pogledu maksimalnog trajanja kazne zatvora ili mjere oduzimanja slobode kojima su ta kaznena djela kažnjiva.

116. Iako upućivanje na relevantne odredbe Direktive 2017/541 omogućuje da se na dovoljno jasan i precizan način utvrde djela koja se mogu kvalificirati kao kaznena djela terorizma na temelju članka 3. točke 8. Direktive o PNR‑u i da se ocijeni njihova težina radi odvagivanja važnosti cilja zaštite javne sigurnosti koji se nastoji postići tom direktivom i ozbiljnosti zadiranja koje ona sadržava u temeljna prava utvrđena u člancima 7. i 8. Povelje, isti se zaključak ne nalaže toliko očito u pogledu svih kaznenih djela navedenih u Prilogu II.

117. U točki 177. mišljenja 1/15 Sud je smatrao da se u Prijedlogu sporazuma o PNR‑u između Kanade i EU‑a jasno i precizno definira stupanj težine kaznenih djela obuhvaćenih pojmom „teški oblik prekograničnog kriminaliteta”, pri čemu je odredio da se za ta kaznena djela „može izreći kazna oduzimanja slobode od najmanje četiri godine ili stroža”, uputio „na kaznena djela definirana kanadskim pravom” i naveo „različit[e] slučajev[e] u kojima se kazneno djelo smatra prekograničnim”.

118. U odnosu na propis koji Sud ispituje u tom mišljenju, Direktivom o PNR‑u, kao prvo, u definiciji predmetnih kaznenih djela ne uzima se u obzir njihova prekogranična priroda, kao drugo, predviđa se iscrpan katalog kaznenih djela koja se po svojoj prirodi smatraju teškim kaznenim djelom, pod uvjetom da se dosegne najmanje trajanje maksimalne kazne koja se predviđa u članku 3. točki 9. te direktive i, kao treće, načelno se smanjuje stupanj težine donošenjem kriterija koji se temelji na razini maksimalne kazne i utvrđivanjem tog stupnja na tri godine.

119. Kao prvo, što se tiče nepostojanja kriterija ograničenja koji se temelji na prekograničnoj prirodi, točno je da bi se ograničavanjem materijalnog područja primjene Direktive o PNR‑u samo na teške oblike „prekograničnog” kriminaliteta omogućilo da se utvrde kaznena djela koja po svojoj prirodi barem potencijalno mogu održavati objektivnu vezu sa zrakoplovnim putovanjima i stoga s kategorijama podataka koji su prikupljeni i obrađeni u skladu s Direktivom o PNR‑u ( 122 ). Međutim, načelno se slažem sa stajalištem koje je izrazila Komisija, prema kojem su, drukčije nego u kontekstu međunarodnog sporazuma, relevantnost i nužnost takvog kriterija manje očite kad je riječ o mehanizmu borbe protiv kaznenih djela čiji je cilj zaštititi unutarnju sigurnost Unije. Osim toga, kao što to i dalje tvrdi Komisija, nepostojanje prekograničnih elemenata samo po sebi nije naznaka koja omogućuje da se isključi težina kaznenog djela.

120. Kao drugo, što se tiče kriterija kojim se utvrđuje stupanj težine predmetnih kaznenih djela koji, kako bi omogućio ocjenu ex ante te težine, treba tumačiti na način da se odnosi na maksimalno trajanje kazne zatvora ili mjere oduzimanja slobode koje se predviđa zakonom, a ne na trajanje koja se može konkretno izreći u određenom slučaju; taj kriterij, iako se temelji na najmanjem trajanju maksimalne kazne, a ne na najmanjem trajanju minimalne kazne, nije sam po sebi neprikladan za utvrđivanje dovoljne razine težine kojom se može opravdati zadiranje u temeljna prava utvrđena u člancima 7. i 8. Povelje koje uključuje obrada podataka predviđena Direktivom o PNR‑u. Međutim, prema mojem mišljenju, taj bi kriterij trebalo tumačiti kao kriterij kojim se utvrđuje „najmanja” razina težine. Stoga se takvim kriterijem kojim se državama članicama zabranjuje da „teškim kaznenim djelima” smatraju kaznena djela iz Priloga II. za koja se u njihovu nacionalnom kaznenom pravu predviđa kazna zatvora ili mjera oduzimanja slobode u najduljem trajanju do tri godine, države članice naprotiv ne obvezuje da automatski priznaju takvu kvalifikaciju za sva kaznena djela koja mogu biti uključena u navedeni Prilog II. i koja su kažnjiva kaznom koja doseže stupanj predviđen u članku 3. točki 9. Direktive o PNR‑u, kada bi, uzimajući u obzir osobitosti njihova kaznenog sustava, takvo priznanje dovelo do upotrebe sustava koji se Direktivom o PNR‑u predviđa u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona oblika općih kaznenih djela, suprotno ciljevima koji se nastoje postići tom direktivom.

121. Kao treće, što se tiče kataloga iz Priloga II., najprije valja istaknuti da okolnost da se u Direktivi o PNR‑u iscrpno navode kaznena djela obuhvaćena definicijom „teških kaznenih djela” predstavlja temeljno formalno i ključno jamstvo kako bi se osigurala zakonitost sustava uspostavljenog Direktivom o PNR‑u i pravna sigurnost putnika. Međutim, valja utvrditi da navedeni katalog uključuje kaznena djela koja po svojoj prirodi imaju nedvojbeno visoku razinu težine, kao što su to primjerice trgovanje ljudima, spolno iskorištavanje djece i dječje pornografije, nedopuštena trgovina oružjem ili nuklearnim ili radioaktivnim materijalima, protupravno oduzimanje zrakoplova ili brodova, kaznena djela iz nadležnosti Međunarodnog kaznenog suda, ubojstvo, silovanje, otmica, protupravno oduzimanje slobode i držanje talaca ( 123 ), kao i kaznena djela za koja je ta razina težine manje očita, kao što su prijevara, krivotvorenje i piratstvo proizvoda, krivotvorenje administrativnih isprava i trgovina njima te trgovina ukradenim vozilima ( 124 ). Osim toga, među kaznenim djelima koja su uključena u Prilog II. neka od njih po svojoj prirodi mogu imati izraženiju prekograničnu prirodu od ostalih, kao što je trgovanje ljudima, nedopušteno trgovanjem opojnim drogama ili oružjem, spolno iskorištavanje djece, omogućavanje neovlaštenog ulaska i boravka, protupravno oduzimanje zrakoplova, te mogu biti povezana i sa zračnim prijevozom putnika.

122. Što se tiče dovoljno jasne i precizne prirode rubrika navedenih u Prilogu II., i u tom je slučaju razina vrlo različita. Stoga, iako se popis sadržan u tom prilogu treba smatrati iscrpnim, nekoliko je njegovih rubrika „neodređeno” ( 125 ), a druge se odnose na generičke pojmove koji mogu uključivati vrlo velik broj kaznenih djela čija je težina promjenjiva, iako uvijek unutar granice najvišeg stupnja predviđenog u članku 3. točki 9. Direktive o PNR‑u ( 126 ).

123. U tom pogledu ističem da, s jedne strane, direktive o usklađivanju koje su donesene u područjima iz članka 83. stavka 1. UFEU‑a navedenima u bilješci 123. ovog mišljenja pružaju relevantne elemente koji omogućuju utvrđivanje barem određenih teških kaznenih djela koja se mogu uključiti u odgovarajuće rubrike Priloga II. Stoga se, među ostalim, Direktivom 2013/40 u njezinim člancima 3. do 8. definiraju različita kaznena djela koja obuhvaća pojam „računalni kriminal/kiberkriminalitet” iz točke 9. tog Priloga II., pri čemu se u svakom slučaju uzima u obzir to da se isključe djela koja čine „lakše slučajeve” ( 127 ). Isto tako, Direktivom 2019/713 definiraju se određene vrste kaznenih djela prijevara, a Direktivom 2017/1371 definiraju se elementi koji čine „prijevaru počinjenu protiv financijskih interesa Unije”. U tom kontekstu valja navesti i Direktivu 2008/99/EZ o zaštiti okoliša putem kaznenog prava ( 128 ), donesenu na temelju članka 175. stavka 1. EZ‑a, u čijem se članku 3. definira niz teških kaznenih djela protiv okoliša, koja bi se mogla uključiti u rubriku 10. Priloga II., uključujući radnje koje se mogu kvalificirati kao „trgovin[a] ugroženim životinjskim vrstama te ugroženim biljnim vrstama i sortama”, pri čemu su isključena sva djelovanja koja imaju neznatan utjecaj na zaštićeno dobro. Konačno, podsjećam na Direktivu 2002/90/EZ ( 129 ), kojom se definira olakšavanje neovlaštenog ulaska, tranzita i boravka te na Okvirnu odluku 2002/946/PUP ( 130 ), kojom se nastoji ojačati kaznenopravni okvir za sprečavanje tih kaznenih djela, Okvirnu odluku 2003/568/PUP ( 131 ), kojom se definiraju kaznena djela koja se kvalificiraju kao „aktivna i pasivna korupcija u privatnom sektoru” i Okvirnu odluku 2008/841/PUP ( 132 ), kojom se definiraju kaznena djela koja se odnose na sudjelovanje u zločinačkoj organizaciji.

124. S druge strane, ističem da, kao što to pravilno napominje Komisija, u nedostatku potpunog usklađivanja materijalnog kaznenog prava zakonodavcu Unije ne može se prigovoriti to da nije dodatno pojasnio kaznena djela iz Priloga II. Stoga, za razliku od onog što ću kasnije navesti u ovom mišljenju u pogledu popisa podataka iz PNR‑a iz Priloga I., prijenos kataloga kaznenih djela iz Priloga II. u nacionalno pravo nužno zahtijeva da države članice definiraju kaznena djela koja taj katalog može obuhvaćati s obzirom na osobitosti svojih nacionalnih kaznenih sustava. Međutim, taj se postupak treba provesti uz puno poštovanje kriterija prema kojem svako zadiranje u temeljna prava iz članaka 7. i 8. Povelje treba ograničiti na ono što je strogo nužno. Stoga primjerice, prema mojem mišljenju, nije isključeno da države članice predvide da se za određena kaznena djela, kao što su primjerice ona iz točaka 7., 16., 17., 18. i 25. Priloga II., upotreba podataka iz PNR‑a ograniči na slučajeve u kojima su ta kaznena djela prekogranične prirode ili su počinjena u okviru zločinačke organizacije ili uključuju određene otegotne okolnosti. Na sudovima je država članica da, pod nadzorom Suda, tumače nacionalne odredbe kojima se navedeni katalog prenosi u nacionalno pravo u skladu s Direktivom o PNR‑u i Poveljom, tako da obrada podataka iz PNR‑a za svaku rubriku ostane ograničena na kaznena djela koja dosežu visoku razinu težine koja se zahtijeva tom direktivom i na kaznena djela za koja je takva obrada relevantna ( 133 ).

125. U skladu s pojašnjenjima iz točaka 120. i 124. ovog mišljenja, smatram da članak 3. točka 9. Direktive o PNR‑u i katalog kaznenih djela iz njezina Priloga II. ispunjavaju zahtjeve jasnoće i preciznosti i ne prelaze granice onog što je strogo nužno.

126. Međutim, valja priznati da rješenje navedeno u točki 124. ovog mišljenja nije potpuno zadovoljavajuće. Naime, s jedne strane, tim se rješenjem državama članicama ostavlja velika diskrecijska ovlast, tako da se materijalno područje primjene obrade podataka iz PNR‑a može znatno razlikovati od jedne države članice do druge, čime se tako ugrožava cilj usklađivanja koji zakonodavac Unije nastoji postići ( 134 ). S druge strane, to rješenje podrazumijeva da se nadzor proporcionalnosti nad ključnim elementom sustava, kao što je ograničenje svrhe te obrade, izvršava ex post nad nacionalnim mjerama za prenošenje, a ne ex ante nad samom Direktivom o PNR‑u. Stoga bi bilo poželjno smatrati, ako Sud odluči, kao što mu predlažem da to učini, da su članak 3. točka 9. Direktive o PNR‑u te katalog kaznenih djela iz njezina Priloga II. u skladu s člancima 7. i 8. Povelje te člankom 52. stavkom 1. Povelje, te da on skrene pozornost zakonodavca Unije na činjenicu da je takva ocjena samo privremena i da podrazumijeva da taj zakonodavac, s obzirom na prijenos te odredbe i tog kataloga koji su izvršile države članice i na temelju statističkih podataka iz članka 20. Direktive o PNR‑u, provjeri nužnost: (i) da se dodatno, uz ograničavanje dosega, pojasne kategorije kaznenih djela koje obuhvaća navedeni katalog, (ii) da se iz njega isključe kaznena djela za koja obrada podataka iz PNR‑a nije proporcionalna, relevantna ili učinkovita te (iii) da se povisi stupanj težine kaznenih djela iz članka 3. točke 9. Direktive o PNR‑u ( 135 ). U tom pogledu ističem da, ako se člankom 19. stavkom 2. točkom (b) Direktive o PNR‑u Komisiju obvezuje da provede preispitivanje svih elemenata te direktive i da pri tom posebno vodi računa o „potrebi i proporcionalnosti prikupljanja i obrade podataka iz PNR‑a za svaku svrhu utvrđenu” u toj direktivi, ni Komisijino izvješće iz 2020. ni radni dokument iz 2020. koji je priložen tom izvješću, prema mojem mišljenju, ne sadržavaju zadovoljavajuću provjeru u tom pogledu.

ii) Kategorije podataka iz PNR‑a koje su obuhvaćene Direktivom o PNR‑u (drugo i treće prethodno pitanje)

127. Direktiva o PNR‑u predviđa prijenos u PIU‑ove 19 kategorija podataka iz PNR‑a koje su zračni prijevoznici prikupili u svrhu rezervacije letova. Te kategorije, koje su navedene u Prilogu I., odgovaraju kategorijama koje se pojavljuju u rezervacijskim sustavima zračnih prijevoznika i onima koje su navedene u Prilogu I. Smjernicama o podacima iz evidencije podataka o putnicima koje je 2010. donijela Međunarodna organizacija civilnog