Conclusie van de advocaat generaal



Conclusie van de advocaat generaal

1. Het Europees Parlement heeft bij het Hof op grond van artikel 230 EG twee beroepen tot nietigverklaring aanhangig gemaakt. In de zaak Parlement/Raad (C‑317/04) strekt het beroep tot nietigverklaring van het besluit van de Raad van 17 mei 2004 betreffende de sluiting van een overeenkomst tussen de Europese Gemeenschap en de Verenigde Staten van Amerika inzake de verwerking en doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan het Bureau of Customs and Border Protection van het ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika.(2) In de zaak Parlement/Commissie (C‑318/04) vordert het Parlement nietigverklaring van de beschikking van de Commissie van 14 mei 2004 betreffende de passende bescherming van persoonsgegevens in het Passenger Name Record van vliegtuigpassagiers die aan het Bureau of Customs and Border Protection van de Verenigde Staten worden doorgegeven.(3)

2. In deze twee zaken wordt het Hof verzocht zich uit te spreken over de problematiek betreffende de bescherming van persoonsgegevens van vliegtuigpassagiers, wanneer de doorgifte en verwerking van deze gegevens in een derde land, in casu de Verenigde Staten(4), wordt gerechtvaardigd met een beroep op de vereisten van openbare veiligheid en strafvervolging, zoals het voorkomen en de bestrijding van terrorisme en andere zware misdrijven.

3. Aan deze twee zaken ligt een reeks gebeurtenissen ten grondslag die eerst dienen te worden uiteengezet. Vervolgens zal ik nader ingaan op het rechtskader waarvan zij deel uitmaken.

I – De achtergrond van het geschil

4. Al spoedig na de terroristische aanslagen van 11 september 2001 hebben de Verenigde Staten een wettelijke regeling vastgesteld volgens welke luchtvaartmaatschappijen die verbindingen naar of vanuit de Verenigde Staten verzorgen of die over hun grondgebied vliegen, de douane van de Verenigde Staten elektronische toegang moeten verlenen tot de gegevens in hun geautomatiseerde boekings‑ en vertrekcontrolesystemen, genaamd „Passenger Name Records” (hierna: „PNR-gegevens”).(5) Hoewel de Commissie de betrokken veiligheidsbelangen als legitiem erkende, deelde zij de autoriteiten van de Verenigde Staten al in juni 2002 mee, dat die bepalingen wellicht in strijd waren met de wetgeving van de Gemeenschap en de lidstaten inzake gegevensbescherming en met sommige bepalingen van de verordening betreffende gedragsregels voor geautomatiseerde boekingssystemen (CRS).(6) De autoriteiten van de Verenigde Staten stelden daarop de inwerkingtreding van de nieuwe bepalingen uit, maar zij weigerden af te zien van het opleggen van sancties aan luchtvaartmaatschappijen die zich na 5 maart 2003 niet aan de genoemde bepalingen hielden. Sindsdien hebben verschillende grote luchtvaartmaatschappijen uit de Europese Unie die autoriteiten toegang tot hun PNR-gegevens verleend.

5. De Commissie heeft met de autoriteiten van de Verenigde Staten onderhandelingen gevoerd die hebben geleid tot een document met verbintenissen van het CBP, met het oog op de vaststelling door de Commissie van een beschikking waarin het passende karakter van het door de Verenigde Staten geboden beschermingsniveau van de persoonsgegevens wordt geconstateerd, zulks op grond van artikel 25, lid 6, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.(7)

6. Op 13 juni 2003 bracht de zogenoemde „artikel 29-werkgroep” voor de bescherming van persoonsgegevens(8) een advies uit, waarin met betrekking tot de voorgenomen verwerking van persoonsgegevens twijfel werd geuit over het door die verbintenissen gewaarborgde niveau van gegevensbescherming.(9) In een advies van 29 januari 2004 heeft de werkgroep die twijfel nog eens geuit.(10)

7. Op 1 maart 2004 deelde de Commissie het Parlement het ontwerp van gelijkwaardigheidsbeschikking mee, alsmede de ontwerpverbintenissen van het CBP.

8. Op 17 maart 2004 zond de Commissie het Parlement met het oog op diens raadpleging krachtens artikel 300, lid 3, eerste alinea, EG een voorstel voor een besluit van de Raad van de Europese Unie betreffende de sluiting van een overeenkomst tussen de Gemeenschap en de Verenigde Staten. Bij brief van 25 maart 2004 verzocht de Raad het Parlement onder verwijzing naar de spoedprocedure van artikel 112 van het Reglement van het Parlement (thans artikel 134) om uiterlijk op 22 april 2004 advies uit te brengen over dat voorstel. In haar brief beklemtoonde de Raad dat „[d]e strijd tegen het terrorisme, die de voorgestelde maatregelen rechtvaardigt, een wezenlijke prioriteit van de Europese Unie vormt. De luchtvaartmaatschappijen en de passagiers verkeren momenteel in onzekerheid, waaraan spoedig een einde moet worden gemaakt. Bovendien is het noodzakelijk de financiële belangen van de betrokkenen te beschermen.”

9. Op 31 maart 2004 keurde het Parlement overeenkomstig artikel 8 van het besluit van de Raad van 28 juni 1999 tot vaststelling van de voorwaarden voor de uitoefening van de aan de Commissie verleende uitvoeringsbevoegdheden(11) een resolutie goed waarin het met betrekking tot het aan hem voorgelegde voorstel een aantal juridische voorbehouden formuleerde. Het Parlement overwoog met name dat het ontwerp van de gelijkwaardigheidsbeschikking de grenzen van de bij artikel 25 van richtlijn 95/46 aan de Commissie verleende bevoegdheden te buiten ging. Het verzocht om sluiting van een passende internationale overeenkomst die de fundamentele rechten zou eerbiedigen, en verzocht de Commissie om hem een nieuwe ontwerpbeschikking voor te leggen. Verder behield het zich het recht voor om zich tot het Hof te wenden teneinde de wettigheid van de beoogde internationale overeenkomst te toetsen, inzonderheid op haar verenigbaarheid met de bescherming van de persoonlijke levenssfeer.

10. Op 21 april 2004 aanvaardde het Parlement op verzoek van zijn voorzitter een aanbeveling van de commissie Juridische Zaken en Interne Markt om overeenkomstig artikel 300, lid 6, EG het Hof te verzoeken om een advies over de verenigbaarheid van de beoogde overeenkomst met de bepalingen van het Verdrag. Die procedure is dezelfde dag nog ingeleid. Diezelfde dag besloot het Parlement ook om het verslag over het voorstel voor een besluit van de Raad terug te verwijzen naar de bevoegde commissie, waarmee het in dit stadium het verzoek van de Raad van 25 maart 2004 om een spoedbehandeling impliciet afwees.

11. Op 28 april 2004 zond de Raad op grond van artikel 300, lid 3, eerste alinea, EG een brief aan het Parlement waarin hij verzocht om vóór 5 mei 2004 advies uit te brengen over het voorstel voor een besluit betreffende de sluiting van de overeenkomst. Ter rechtvaardiging van de spoedeisendheid van dit verzoek herhaalde de Raad de in zijn brief van 25 maart 2004 genoemde redenen.(12)

12. Op 30 april 2004 verwittigde de griffier van het Hof het Parlement dat het Hof had bepaald dat de opmerkingen van de lidstaten, de Raad en de Commissie in de procedure betreffende het adviesverzoek 1/04 ten laatste op 4 juni 2004 moesten worden ingediend.

13. Op 4 mei 2004 verwierp het Parlement het verzoek van de Raad van 28 april om dit voorstel met spoed te behandelen.(13) Twee dagen later wendde de voorzitter van het Parlement zich tot de Raad en de Commissie met het verzoek geen uitvoering te geven aan hun voornemens zolang het Hof het op 21 april 2004 verzochte advies nog niet had gegeven.

14. Op 14 mei 2004 stelde de Commissie de beschikking vast betreffende de passende bescherming van persoonsgegevens in het Passenger Name Record van vliegtuigpassagiers die aan het CBP worden doorgegeven, zulks overeenkomstig artikel 25, lid 6, van richtlijn 95/46.

15. Op 17 mei 2004 stelde de Raad het besluit vast betreffende de sluiting van een overeenkomst tussen de Europese Gemeenschap en de Verenigde Staten inzake de verwerking en doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan het CBP.

16. Bij brief van 9 juli 2004 deelde het Parlement het Hof mee dat het zijn, onder nummer 1/04 ingeschreven, verzoek om een advies introk.(14) Het heeft vervolgens besloten de Raad en de Commissie ter zake van de met hen bestaande geschillen in rechte te betrekken.

II – De op de twee zaken toepasselijke bepalingen

A – Het Verdrag betreffende de Europese Unie

17. Artikel 6 EU bepaalt:

„1. De Unie is gegrondvest op de beginselen van vrijheid, democratie, eerbiediging van de rechten van de mens en de fundamentele vrijheden, en van de rechtsstaat, welke beginselen de lidstaten gemeen hebben.

2. De Unie eerbiedigt de grondrechten, zoals die worden gewaarborgd door het op 4 november 1950 te Rome ondertekende Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en zoals zij uit de gemeenschappelijke constitutionele tradities van de lidstaten voortvloeien, als algemene beginselen van het gemeenschapsrecht.

[...]”.

B – Het Verdrag tot oprichting van de Europese Gemeenschap

18. Artikel 95, lid 1, EG bepaalt:

„In afwijking van artikel 94 en tenzij in dit Verdrag anders is bepaald, zijn de volgende bepalingen van toepassing voor de verwezenlijking van de doeleinden van artikel 14. De Raad stelt volgens de procedure van artikel 251 en na raadpleging van het Economisch en Sociaal Comité de maatregelen vast inzake de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten die de instelling en de werking van de interne markt betreffen.”

19. Aangaande de procedure voor het sluiten van internationale akkoorden door de Gemeenschap, bepaalt artikel 300, lid 2, eerste alinea, eerste volzin, EG dat „[o]nder voorbehoud van de aan de Commissie te dezer zake toegekende bevoegdheden [...] de Raad met gekwalificeerde meerderheid van stemmen op voorstel van de Commissie een besluit [neemt] over de ondertekening [...] en over de sluiting van de akkoorden”.

20. Artikel 300, lid 3, EG luidt als volgt:

„Behalve in het geval van de in artikel 133, lid 3, bedoelde akkoorden, sluit de Raad de akkoorden na raadpleging van het Europees Parlement, ook wanneer het akkoord betrekking heeft op een gebied waarvoor de procedure van artikel 251 of van artikel 252 vereist is wat de aanneming van interne voorschriften betreft. Het Europees Parlement brengt advies uit binnen de termijn die de Raad naar gelang van de urgentie kan vaststellen. Indien er binnen die termijn geen advies is uitgebracht, kan de Raad een besluit nemen.

In afwijking van het bepaalde in de vorige alinea, worden akkoorden als bedoeld in artikel 310, andere akkoorden die een specifiek institutioneel kader in het leven roepen door het instellen van samenwerkingsprocedures, akkoorden die aanzienlijke gevolgen hebben voor de gemeenschapsbegroting en akkoorden die een wijziging behelzen van een volgens de procedure van artikel 251 aangenomen besluit, gesloten nadat het Europees Parlement zijn instemming heeft gegeven.

In dringende gevallen kunnen de Raad en het Europees Parlement een termijn overeenkomen voor het geven van de instemming.”

C – Het Europese recht inzake de bescherming van persoonsgegevens

21. Artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: „EVRM”) bepaalt:

„1. Een ieder heef recht op respect voor zijn privéleven, zijn familie‑ en gezinsleven, zijn woning en zijn correspondentie.

2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voorzover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.”

22. Het Europese recht op het gebied van de gegevensbescherming is allereerst ontwikkeld in het kader van de Raad van Europa. Zo werd de overeenkomst tot bescherming van personen betreffende de verwerking van automatische persoonsgegevens op 28 januari 1981 te Straatsburg ter ondertekening aan de lidstaten van de Raad van Europa voorgelegd.(15) Zij beoogt te garanderen dat op het grondgebied van elke verdragsluitende partij aan elke natuurlijke persoon, ongeacht zijn nationaliteit of woonplaats, de eerbiediging van zijn rechten en fundamentele vrijheden, en inzonderheid van zijn privéleven, in het kader van de automatische verwerking van de hem betreffende persoonsgegevens, wordt gewaarborgd.

23. Wat de Europese Unie betreft: naast artikel 7 dat betrekking heeft op het privé‑ en familieleven, bevat artikel 8 van het Handvest van de grondrechten van de Europese Unie(16) specifieke bepalingen voor de bescherming van persoonsgegevens. Het luidt als volgt:

„1. Eenieder heeft recht op bescherming van de hem betreffende persoonsgegevens.

2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag, waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan.

3. Een onafhankelijke autoriteit ziet toe op de naleving van deze regels.”

24. Aangaande het primaire gemeenschapsrecht bepaalt artikel 286, lid 1, EG: „Met ingang van 1 januari 1999 zijn de besluiten van de Gemeenschap inzake de bescherming van personen met betrekking tot de verwerking en het vrije verkeer van persoonsgegevens van toepassing op de instellingen en organen die bij of op grond van dit Verdrag zijn opgericht.”(17)

25. In het afgeleide gemeenschapsrecht is richtlijn 95/46(18) de relevante basisnorm. De samenhang daarvan met de door de Raad van Europa vastgestelde normen blijkt met zoveel woorden uit de tiende en de elfde overweging van de considerans van deze richtlijn. De tiende overweging bepaalt namelijk dat „met de nationale wetgevingen betreffende de verwerking van persoonsgegevens de eerbiediging moet worden gewaarborgd van de fundamentele rechten en vrijheden, en met name van het recht op bescherming van de persoonlijke levenssfeer, dat tevens in artikel 8 EVRM en in de algemene beginselen van het gemeenschapsrecht is erkend; dat derhalve de onderlinge aanpassing van deze wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen”. Bovendien vermeldt de elfde overweging van de considerans van richtlijn 95/46 dat „de in deze richtlijn vervatte beginselen met betrekking tot de bescherming van de rechten en de vrijheden van personen, inzonderheid van de persoonlijke levenssfeer, de beginselen van […] Verdrag [nr. 108] van de Raad van Europa [...] verduidelijken en versterken”.

26. Richtlijn 95/46, vastgesteld op grond van artikel 100 A EG-Verdrag (thans, na wijziging, artikel 95 EG), berust op een in de derde overweging van de considerans ervan genoemde gedachte, volgens welke „voor de totstandbrenging en de werking van de interne markt [...] niet alleen verkeer van persoonsgegevens van de ene lidstaat naar de andere mogelijk moet zijn, maar dat ook de fundamentele rechten van personen moeten worden beschermd”. Meer in het bijzonder is de communautaire wetgever ervan uitgegaan dat „verschillen in de mate waarin de bescherming van de rechten en vrijheden van personen, inzonderheid van de persoonlijke levenssfeer, op het stuk van de verwerking van persoonsgegevens in de lidstaten is gewaarborgd, het doorzenden van die gegevens van het grondgebied van de ene lidstaat naar dat van een andere kunnen beletten”(19), hetgeen met name tot gevolg kan hebben dat de uitoefening van activiteiten op communautaire schaal wordt belemmerd en de mededinging wordt vervalst. De communautaire wetgever heeft dan ook overwogen dat „teneinde de belemmeringen voor het verkeer van persoonsgegevens op te heffen, het niveau van de bescherming van de rechten en vrijheden van personen op het stuk van de verwerking van deze gegevens in alle lidstaten gelijkwaardig moet zijn”.(20) Deze aanpak moet ertoe leiden dat „de lidstaten, wegens de gelijkwaardige bescherming die voortvloeit uit de onderlinge aanpassing van de nationale wetgevingen, het vrije verkeer van persoonsgegevens tussen de lidstaten niet langer mogen belemmeren om redenen in verband met de bescherming van de rechten en vrijheden van natuurlijke personen, met name het recht op persoonlijke levenssfeer”.(21)

27. Artikel 1 van richtlijn 95/46 draagt het opschrift „Onderwerp van de richtlijn” en voert deze aanpak in de volgende bewoordingen uit:

„1. De lidstaten waarborgen in verband met de verwerking van persoonsgegevens, overeenkomstig de bepalingen van deze richtlijn, de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer.

2. De lidstaten mogen het vrije verkeer van personen tussen lidstaten beperken noch verbieden om redenen die met de uit hoofde van lid 1 gewaarborgde bescherming verband houden.”

28. Artikel 2 van genoemde richtlijn definieert inzonderheid de begrippen „persoonsgegevens”, „verwerking van persoonsgegevens” en „de voor de verwerking verantwoordelijke”.

29. Zo vormen volgens artikel 2, sub a, van richtlijn 95/46 persoonsgegevens „iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon [...]; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit”.

30. Volgens artikel 2, sub b, van genoemde richtlijn omvat een verwerking van dergelijke gegevens „elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens”.

31. Artikel 2, sub d, van richtlijn 95/46 definieert de voor de verwerking verantwoordelijke als „de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of samen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt [...]”.

32. Betreffende de materiële werkingssfeer van richtlijn 95/46 bepaalt artikel 3, lid 1, dat deze „van toepassing [is] op de geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”.

33. In de volgende bewoordingen geeft artikel 3, lid 2, aan dat één van de beperkingen van de materiële werkingssfeer van de richtlijn de volgende is:

„De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:

– die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid), en de activiteiten van de staat op strafrechtelijk gebied;

[...]”.

34. Hoofdstuk II van richtlijn 95/46 is gewijd aan de „[a]lgemene voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens”. In het kader van dit hoofdstuk, heeft afdeling I betrekking op de „[b]eginselen betreffende de kwaliteit van de gegevens”. Artikel 6 van deze richtlijn bevat een opsomming van deze beginselen van eerlijkheid, rechtmatigheid, doelmatigheid, evenredigheid en nauwkeurigheid van de verwerking van persoonsgegevens. Het luidt als volgt:

„1. De lidstaten bepalen dat de persoonsgegevens:

a) eerlijk en rechtmatig moeten worden verwerkt;

b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verkregen en vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden [...];

c) toereikend, ter zake dienend en niet bovenmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt;

d) nauwkeurig dienen te zijn en, zo nodig, dienen te worden bijgewerkt [...];

e) in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is [...].

2. Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”

35. Afdeling II van hoofdstuk II van genoemde richtlijn is gewijd aan de „[b]eginselen betreffende de toelaatbaarheid van gegevensbewerking”. Artikel 7, het enige artikel van deze afdeling, luidt als volgt:

„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:

a) de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend,

of

b) de verwerking noodzakelijk is voor de uitvoering van de overeenkomst waarbij de betrokkene partij is of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene,

of

c) de verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke onderworpen is,

[...]”.

36. Ter zake van persoonsgegevens die in het algemeen als „gevoelig” worden gekwalificeerd, bepaalt artikel 8, lid 1, dat hun verwerking in beginsel is verboden. Het luidt namelijk: „De lidstaten verbieden de verwerking van persoonlijke gegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt, alsook de verwerking van gegevens die de gezondheid of het seksuele leven betreffen.” Op dit verbodsbeginsel bestaat echter een aantal uitzonderingen, waarvan de inhoud en de regeling in de volgende leden van dit artikel gedetailleerd worden uiteengezet.

37. Artikel 13, lid 1, van richtlijn 95/46, dat het opschrift „Uitzonderingen en beperkingen” draagt, bepaalt:

„De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10, artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van:

a) de veiligheid van de staat;

b) de landsverdediging;

c) de openbare veiligheid;

d) het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van beroepscodes voor gereglementeerde beroepen;

e) een belangrijk economisch en financieel belang van een lidstaat of van de Europese Unie, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden;

f) een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van het openbaar gezag in de onder c), d) en e) bedoelde gevallen;

g) de bescherming van de betrokkene of van de rechten en vrijheden van anderen.”

38. Het was eveneens de wens van de communautaire wetgever dat aan de aldus vastgestelde beschermingsregeling geen afbreuk zou worden gedaan wanneer de persoonsgegevens het grondgebied van de Gemeenschap verlaten. Het is namelijk gebleken dat een alleen voor het grondgebied van de Gemeenschap geldende regeling tekortschiet of zelfs zinloos is, gelet op de internationale dimensie van de informatiestromen(22) . De communautaire wetgever heeft daarom geopteerd voor een regeling in het kader waarvan de doorgifte van persoonsgegevens naar een derde land alleen is toegestaan wanneer dat derde land voor deze gegevens een „passend beschermingsniveau” garandeert.

39. De communautaire wetgever heeft daarom voorgeschreven dat de „doorgifte van persoonsgegevens naar een derde land dient te worden verboden, indien daar geen passend beschermingsniveau wordt geboden”.(23)

40. Dienovereenkomstig formuleert artikel 25 van richtlijn 95/46 de beginselen die in acht moeten worden genomen bij de doorgifte van persoonsgegevens naar derde landen:

„1. De lidstaten bepalen dat persoonsgegevens die aan een verwerking worden onderworpen of die bestemd zijn om na doorgifte te worden verwerkt, slechts naar een derde land mogen worden doorgegeven indien, onverminderd de naleving van de nationale bepalingen die zijn vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn, dat land een passend beschermingsniveau waarborgt.

2. Het passend karakter van het door een derde land geboden beschermingsniveau wordt beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn; in het bijzonder wordt rekening gehouden met de aard van de gegevens, met het doel […] en met de duur van de voorgenomen verwerking of verwerkingen, het land van herkomst en het land van eindbestemming, de algemene en sectoriële rechtsregels die in het betrokken derde land gelden, alsmede de beroepscodes en de veiligheidsmaatregelen die in die landen worden nageleefd.

3. De lidstaten en de Commissie brengen elkaar op de hoogte van de gevallen waarin, naar hun oordeel, een derde land geen waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt.

4. Wanneer de Commissie volgens de procedure van artikel 31, lid 2, constateert dat een derde land geen waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt, nemen de lidstaten de nodige maatregelen om doorgifte van gegevens van dezelfde aard naar het betrokken land te voorkomen.

5. De Commissie opent op het gepaste ogenblik onderhandelingen ter verhelping van de situatie die voortvloeit uit de in lid 4 bedoelde constatering.

6. De Commissie kan volgens de procedure van artikel 31, lid 2, constateren dat een derde land, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, die het met name na de in lid 5 bedoelde onderhandelingen is aangegaan, waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt met het oog op de bescherming van de persoonlijke levenssfeer en de fundamentele vrijheden en rechten van personen.

De lidstaten nemen de nodige maatregelen om zich naar het besluit van de Commissie te voegen.”

41. Ten slotte dient erop te worden gewezen dat in het kader van Titel VI van het EU-Verdrag, die betrekking heeft op de politiële en justitiële samenwerking in strafzaken, de bescherming van persoonsgegevens wordt geregeld door verschillende specifieke voorschriften. Het betreft met name voorschriften die op Europees niveau gemeenschappelijke informatiesystemen invoeren, zoals bijvoorbeeld de Overeenkomst tot uitvoering van het Akkoord van Schengen(24), die specifieke voorschriften bevat voor de gegevensbescherming in het kader van het Schengeninformatiesysteem (SIS)(25) ; de Overeenkomst op grond van artikel K.3 van het Verdrag betreffende de Europese Unie tot oprichting van een Europese politiedienst(26) ; het Besluit van de Raad betreffende de oprichting van Eurojust(27) en de bepalingen van het interne reglement van Eurojust betreffende de verwerking en bescherming van persoonsgegevens(28) ; de Overeenkomst opgesteld op grond van artikel K.3 van het Verdrag betreffende de Europese Unie inzake het gebruik van informatica op douanegebied, die bepalingen bevat betreffende de bescherming van persoonsgegevens die van toepassing zijn op het informatiesysteem van de douane(29) en de Overeenkomst betreffende de wederzijdse rechtshulp in strafzaken tussen de lidstaten van de Europese Unie.(30)

42. Op 4 oktober 2005 heeft de Commissie een voorstel ingediend voor een kaderbesluit van de Raad betreffende de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en judiciële samenwerking in strafzaken.(31)

III – De aangevochten beslissingen

43. Ik zal de twee aangevochten beslissingen onderzoeken in de chronologische volgorde waarin zij werden vastgesteld.

A – De gelijkwaardigheidsbeschikking

44. De gelijkwaardigheidsbeschikking is door de Commissie vastgesteld op grond van artikel 25, lid 6, van richtlijn 95/46 dat, zoals bekend, haar de bevoegdheid verleent te constateren dat een derde land waarborgen biedt voor een passend beschermingsniveau voor persoonsgegevens.(32) Zoals vermeld in de tweede overweging van deze beschikking kunnen in dat geval „persoonsgegevens zonder aanvullende garanties door de lidstaten worden doorgegeven”.

45. In de elfde overweging van deze beschikking zet de Commissie uiteen dat „[v]oor de verwerking door het CBP van de doorgegeven persoonsgegevens uit het PNR van vliegtuigpassagiers [...] de voorwaarden [gelden] die zijn vastgesteld in de verbintenissen van het Bureau of Customs and Border Protection (CBP) van het Department of Homeland Security van 11 mei 2004, [...] en in de interne wetgeving van de Verenigde Staten waarnaar in die verbintenissen wordt verwezen”. In de veertiende overweging van deze beschikking constateert de Commissie dan ook dat „[d]e normen die het CBP bij het verwerken van PNR-gegevens op basis van de VS-wetgeving en de verbintenissen zal hanteren, voldoen aan de vereiste grondbeginselen voor een passend beschermingsniveau voor natuurlijke personen”.

46. Bijgevolg bepaalt artikel 1 van de gelijkwaardigheidsbeschikking:

„Voor de toepassing van artikel 25, lid 2, van richtlijn 95/46/EG wordt het […] [CBP] geacht een passend beschermingsniveau te bieden voor PNR-gegevens die vanuit de Gemeenschap met betrekking tot vluchten van en naar de Verenigde Staten overeenkomstig de verbintenissen in de bijlage worden doorgegeven.”

47. Voorts bepaalt artikel 3 van de gelijkwaardigheidsbeschikking dat de doorgifte van gegevens aan het CBP op initiatief van de bevoegde autoriteiten van de lidstaten onder de volgende voorwaarden kan worden opgeschort:

„1. Onverminderd hun bevoegdheden om stappen te ondernemen ter naleving van nationale bepalingen die zijn vastgesteld ingevolge andere bepalingen dan artikel 25 van richtlijn 95/46/EG, kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om de doorgifte van gegevens aan het CBP op te schorten, teneinde personen bij de verwerking van hun persoonsgegevens te beschermen in de volgende gevallen:

a) wanneer een bevoegde VS-autoriteit heeft vastgesteld dat het CBP in strijd met de toepasselijke normen voor gegevensbescherming handelt, of

b) wanneer het zeer waarschijnlijk is dat niet aan de in de bijlage vastgestelde normen voor gegevensbescherming wordt voldaan, er gegronde redenen zijn om aan te nemen dat het CBP niet tijdig passende maatregelen neemt of zal nemen om het desbetreffende probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade voor de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat naar de omstandigheden in redelijkheid inspanningen hebben geleverd om het CBP in kennis te stellen en de gelegenheid te geven te reageren.

2. De opschorting eindigt zodra is gewaarborgd dat de beschermingsnormen worden nageleefd en de bevoegde autoriteiten van de betrokken lidstaten hiervan in kennis zijn gesteld.”

48. De lidstaten moeten de Commissie op de hoogte stellen van de maatregelen die zij op grond van artikel 3 van de gelijkwaardigheidsbeschikking hebben genomen. Bovendien moeten de lidstaten en de Commissie krachtens artikel 4, lid 2, van deze richtlijn, elkaar in kennis stellen van iedere wijziging in de beschermingsnormen en van de gevallen waarin blijkt dat deze normen onvoldoende in acht worden genomen. Naar aanleiding van deze wederzijdse mededelingen bepaalt artikel 4, lid 3, van de gelijkwaardigheidsbeschikking dat „[w]anneer uit de overeenkomstig artikel 3 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat niet langer aan de vereiste grondbeginselen voor een passend beschermingsniveau voor natuurlijke personen wordt voldaan, of dat een instantie die verantwoordelijk is voor de naleving door het CBP van de in de bijlage vastgestelde beschermingsnormen haar taak niet naar behoren vervult, [...] het CBP hiervan in kennis [wordt] gesteld en [...], indien nodig, de in artikel 31, lid 2, van richtlijn 95/46/EG bedoelde procedure [wordt] toegepast om deze beschikking in te trekken of op te schorten”.

49. Voorts schrijft artikel 5 van de gelijkwaardigheidsbeschikking voor dat de werking van de beschikking wordt geëvalueerd en dat „alle relevante bevindingen worden meegedeeld aan het bij artikel 31 van richtlijn 95/46/EG ingestelde comité”.

50. Bovendien bepaalt artikel 7 van de gelijkwaardigheidsbeschikking dat deze beschikking „drie jaar en zes maanden na de datum van de kennisgeving ervan [komt] te vervallen, tenzij zij overeenkomstig de in artikel 31, lid 2, van richtlijn 95/46/EG bedoelde procedure wordt verlengd”.

51. Bij deze beschikking is als bijlage gevoegd een verklaring betreffende de verbintenissen van het CBP, in de inleiding waarvan wordt gepreciseerd dat het dient ter „ondersteuning van het voornemen” van de Commissie om te erkennen dat het CBP een passende bescherming biedt voor de aan hem doorgegeven gegevens. Volgens de bewoordingen van deze verklaring, die 48 punten omvat, zullen deze verbintenissen niet leiden „tot het ontstaan of de overdracht van rechten of voordelen ten gunste van privaat‑ of publiekrechtelijke personen”.(33)

52. Ik zal in de loop van mijn uiteenzetting de wezenlijke inhoud aangeven van de voor de oplossing van het geschil relevante verbintenissen.

53. Ten slotte bevat de gelijkwaardigheidsbeschikking een aanhangsel „A”, waarin 34 rubrieken PNR-gegevens worden opgesomd die het CBP van de luchtvaartmaatschappijen verlangt.(34)

54. Deze beschikking van de Commissie is aangevuld bij het besluit van de Raad betreffende de sluiting van een internationale overeenkomst tussen de Europese Gemeenschap en de Verenigde Staten.

IV – Het besluit van de Raad

55. Het besluit van de Raad is vastgesteld op grond van artikel 95 EG, juncto artikel 300, lid 2, eerste alinea, eerste volzin, EG.

56. In de eerste overweging valt te lezen dat „[o]p 23 februari 2004 de Raad de Commissie [heeft] gemachtigd namens de Gemeenschap met de Verenigde Staten van Amerika onderhandelingen te voeren over een overeenkomst inzake de verwerking en doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan het [CBP]”.(35) In de tweede overweging van dit besluit wordt uiteengezet dat „[h]et Europees Parlement [...] geen advies [heeft] uitgebracht binnen de termijn die de Raad op grond van artikel 300, lid 3, eerste alinea, van het Verdrag had vastgesteld in het licht van de dringende noodzaak een eind te maken aan de onzekerheid waarin luchtvaartmaatschappijen en passagiers verkeerden, en teneinde de financiële belangen van de betrokkenen te beschermen”.

57. Bij artikel 1 van het besluit van de Raad is de overeenkomst namens de Gemeenschap goedgekeurd. Daarnaast machtigt artikel 2 van het besluit de voorzitter van de Raad de personen aan te wijzen die bevoegd zijn de overeenkomst namens de Gemeenschap te ondertekenen.

58. De tekst van de overeenkomst is aan het besluit van de Raad gehecht. Artikel 7 van deze overeenkomst bepaalt dat zij bij de ondertekening ervan in werking treedt. Overeenkomstig dit artikel is de overeenkomst, die op 28 mei 2004 te Washington is ondertekend, op diezelfde dag in werking getreden.(36)

59. In de preambule van de overeenkomst erkennen de Gemeenschap en de Verenigde Staten „het belang van eerbiediging van de fundamentele rechten en vrijheden, met name het recht op privacy, en het belang van eerbiediging van deze waarden bij de voorkoming en bestrijding van terrorisme en daarmee samenhangende misdrijven en andere ernstige misdrijven van grensoverschrijdende aard, met inbegrip van de georganiseerde criminaliteit”.

60. De volgende teksten worden in de preambule van de overeenkomst genoemd: richtlijn 95/46 en inzonderheid artikel 7, sub c, daarvan, de verbintenissen van het CBP alsmede de gelijkwaardigheidsbeschikking.(37)

61. De overeenkomstsluitende partijen merken eveneens op dat „de luchtvaartmaatschappijen met boekings‑ en vertrekcontrolesystemen die zich op het grondgebied van de lidstaten van de Gemeenschap bevinden, voor doorgifte van PNR-gegevens aan het CBP moeten zorgen zodra dat technisch haalbaar is, maar dat de autoriteiten van de Verenigde Staten tot dan rechtstreeks toegang tot die gegevens dienen te krijgen overeenkomstig het bepaalde in deze overeenkomst”.(38)

62. Zo bepaalt punt 1 van de overeenkomst dat „[h]et CBP [...] elektronisch toegang [krijgt] tot de PNR-gegevens in de boekings‑ en vertrekcontrolesystemen van de luchtvaartmaatschappijen [...] die zich op het grondgebied van de lidstaten van de Europese Gemeenschap bevinden, zulks strikt overeenkomstig de beschikking(39) en zolang deze laatste van kracht is, echter slechts totdat er een afdoende systeem tot stand is gebracht dat de doorgifte van dergelijke gegevens door de luchtvaartmaatschappijen mogelijk maakt”.

63. Ter aanvulling van het aldus aan het CBP verleende recht om rechtstreeks toegang te krijgen tot de PNR-gegevens, verplicht punt 2 van de overeenkomst de luchtvaartmaatschappijen die internationale passagiersvluchten van of naar de Verenigde Staten uitvoeren ertoe de in hun geautomatiseerde boekingssystemen opgeslagen PNR-gegevens te verwerken „volgens de vereisten van het CBP krachtens de wetgeving van de Verenigde Staten, zulks strikt overeenkomstig de beschikking(40) en zolang deze laatste van kracht is”.

64. Voorts wordt in punt 3 van de overeenkomst gepreciseerd dat het CBP „kennis neemt” van de gelijkwaardigheidsbeschikking en „verklaart dat het de daaraan gehechte verbintenissen uitvoert”. Bovendien bepaalt punt 4 van de overeenkomst: „Het CBP verwerkt de ontvangen PNR-gegevens en behandelt de personen wier gegevens worden verwerkt overeenkomstig de toepasselijke wetgeving en grondwettelijke vereisten van de Verenigde Staten, zonder onwettige discriminatie, en met name zonder aanzien van nationaliteit of land van verblijf.”

65. Bovendien verplichten het CBP en de Gemeenschap zich ertoe, de uitvoering van de overeenkomst gezamenlijk en op gezette tijden te onderzoeken.(41) De overeenkomst bepaalt eveneens dat „[w]anneer in de Europese Unie een identificatiesysteem van vliegtuigpassagiers wordt ingevoerd, in het kader waarvan de luchtvaartmaatschappijen ertoe worden verplicht de autoriteiten toegang te verlenen tot de PNR-gegevens van passagiers wier reis een vlucht in of uit de Verenigde Staten inhoudt, het Department of Homeland Security voorzover mogelijk en met strikte inachtneming van het wederkerigheidsbeginsel, de onder zijn bevoegdheid vallende luchtvaartmaatschappijen actief aanmoedigt samen te werken”.(42)

66. Naast de bepaling dat de overeenkomst bij de ondertekening ervan in werking treedt, preciseert punt 7 dat elke partij haar te allen tijde mag opzeggen. In dat geval treedt de overeenkomst 90 dagen na de datum van de kennisgeving van opzegging aan de andere partij buiten werking. Bovendien is in hetzelfde punt voorzien dat de overeenkomst te allen tijde met schriftelijke wederzijdse instemming kan worden gewijzigd.

67. Ten slotte bepaalt punt 8 van de overeenkomst dat „[d]eze overeenkomst [...] niet ten doel [heeft] van de wetgeving van de partijen af te wijken of deze wetgeving te wijzigen; zij schept of verleent geen rechten of voordelen voor enige andere particuliere of openbare persoon of entiteit”.

A – De door het Parlement in beide zaken aangevoerde middelen

68. In zaak C‑317/04 voert het Parlement tegen het besluit van de Raad zes middelen aan:

– onj uiste keuze van artikel 95 EG als rechtsgrondslag;

– schending van artikel 300, lid 3, tweede alinea, EG, wegens een wijziging van richtlijn 95/46;

– schending van het recht op bescherming van persoonsgegevens;

– schending van het evenredigheidsbeginsel;

– ontoereikende motivering van het litigieuze besluit;

– schending van het beginsel van loyale samenwerking als bedoeld in artikel 10 EG.

69. Het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland alsmede de Commissie zijn toegelaten tot interventie ter ondersteuning van de conclusies van de Raad.(43) Bovendien is de Europese toezichthouder voor gegevensbescherming (hierna: „ETGB”) toegelaten tot interventie ter ondersteuning van de conclusies van het Parlement.(44)

70. In zaak C‑318/04 voert het Parlement tegen de gelijkwaardigheidsbeschikking vier middelen aan:

– bevoegdheidsoverschrijding;

– schending van de essentiële beginselen van richtlijn 95/46;

– schending van de grondrechten;

– schending van het evenredigheidsbeginsel.

71. Het Verenigd Koninkrijk is toegelaten tot interventie ter ondersteuning van de conclusies van de Commissie.(45) Bovendien is de ETGB toegelaten tot interventie ter ondersteuning van de conclusies van het Parlement.(46)

72. Ik zal de twee beroepen onderzoeken in de volgorde van de data waarop de litigieuze beslissingen zijn vastgesteld. Ik begin dus met het onderzoek van het beroep tot nietigverklaring van de gelijkwaardigheidsbeschikking (zaak C‑318/04) en bespreek vervolgens het beroep tot nietigverklaring van het besluit van de Raad (zaak C‑317/04).

V – Het beroep tot nietigverklaring van de gelijkwaardigheidsbeschikking (zaak C‑318/04)

A – Het middel dat de Commissie zich door het vaststellen van de gelijkwaardigheidsbeschikking heeft schuldig gemaakt aan bevoegdheidsoverschrijding

1. Argumenten van partijen

73. Ter ondersteuning van dit middel voert het Parlement in de eerste plaats aan dat de gelijkwaardigheidsbeschikking, aangezien zij de verwezenlijking beoogt van een doelstelling die onder de openbare veiligheid en het strafrecht valt, richtlijn 95/46 schendt omdat zij betrekking heeft op een gebied dat ratione materiae van de werkingssfeer van deze richtlijn is uitgesloten. Deze uitsluiting zou uitdrukkelijk zijn voorzien in artikel 3, lid 2, eerste streepje, van richtlijn 95/46 en laat geen enkele ruimte voor een uitlegging die haar reikwijdte zou kunnen beperken. Het feit dat de persoonsgegevens zijn verzameld bij de uitoefening van een economische activiteit, te weten de verkoop van een vliegticket dat recht geeft op een dienstverrichting, zou de toepassing van deze richtlijn, en inzonderheid van artikel 25 daarvan, op een gebied dat van haar werkingssfeer is uitgesloten, niet rechtvaardigen.

74. In de tweede plaats voert het Parlement aan dat het CBP niet een derde land is in de zin van artikel 25 van richtlijn 95/46. Dit artikel schrijft in lid 6 voor dat een beslissing van de Commissie waarin het passende beschermingsniveau van persoonsgegevens wordt geconstateerd, betrekking heeft op een „derde land”, dat wil zeggen een staat of een vergelijkbare entiteit, en niet een van de uitvoerende macht van een staat deel uitmakende overheidsinstantie of een onderdeel daarvan.

75. In de derde plaats is het Parlement van mening dat de vaststelling door de Commissie van de gelijkwaardigheidsbeschikking bevoegdheidsoverschrijding oplevert voorzover de verbintenissenverklaring die eraan is gehecht uitdrukkelijk de doorgifte door het CBP van PNR-gegevens aan andere overheidsautoriteiten in Amerika of andere landen toestaat.

76. In de vierde plaats meent het Parlement dat de gelijkwaardigheidsbeschikking bepaalde beperkingen en uitzonderingen bevat op de beginselen die in richtlijn 95/46 zijn genoemd, ofschoon artikel 13 daarvan deze bevoegdheid uitsluitend aan de lidstaten voorbehoudt. Aldus zou de Commissie, door de vaststelling van de gelijkwaardigheidsbeschikking, de plaats hebben ingenomen van een lidstaat en daardoor artikel 13 van de richtlijn hebben miskend. Door de vaststelling van een maatregel tot uitvoering van richtlijn 95/46 zou de Commissie zich bevoegdheden hebben toegemeten die strikt aan de lidstaten zijn voorbehouden.

77. In de vijfde plaats beroept het Parlement zich op het argument dat de terbeschikkingstelling van gegevens door middel van het „pull”-(extractie-) systeem niet een „doorgifte” vormt in de zin van artikel 25 van richtlijn 95/46, en derhalve niet kan worden toegestaan.

78. Ten slotte is deze instelling van mening dat de beschikking, gelet op de samenhang tussen de gelijkwaardigheidsbeschikking en de overeenkomst, geacht moet worden een voor de verplichte doorgifte van PNR-gegevens ongeschikte maatregel te zijn.

79. Anders dan het Parlement, meent de ETGB dat het feit dat aan een persoon of een instelling van een derde land toegang tot de gegevens wordt verleend, geacht kan worden een doorgifte te vormen, zodat artikel 25 van richtlijn 95/46 daarop van toepassing is. Volgens de ETGB namelijk zou een beperking van het begrip tot een doorgifte door de verzender tot omzeiling van de in dit artikel gestelde voorwaarden kunnen leiden en aldus afbreuk kunnen doen aan de in dit artikel voorziene gegevensbescherming.

80. Bijgestaan door het Verenigd Koninkrijk, is de Commissie van mening dat de activiteiten van luchtvaartmaatschappijen binnen de werkingssfeer van het gemeenschapsrecht vallen en dat richtlijn 95/46 bijgevolg volledig van toepassing blijft. De regeling die in het kader van de doorgifte van PNR-gegevens is ontworpen zou geen betrekking hebben op activiteiten van een lidstaat of overheidsinstellingen die buiten de werkingssfeer van het gemeenschapsrecht vallen.

81. Voorts wijst de Commissie erop dat de overeenkomst namens de Verenigde Staten is ondertekend en niet namens een overheidsinstantie. Aangaande de latere doorgiften van PNR-gegevens door het CBP is de Commissie van oordeel dat de bescherming van persoonsgegevens niet onverenigbaar is met de machtiging dergelijke doorgiften te verrichten, mits daaraan passende en noodzakelijke beperkingen worden gesteld.

82. Ten slotte merkt de Commissie op dat artikel 13 van richtlijn 95/46 in de onderhavige zaak niet relevant is en dat de „doorgifte” in de zin van artikel 25 van deze richtlijn voor de luchtvaartmaatschappijen erin bestaat dat de PNR-gegevens daadwerkelijk ter beschikking van het CBP worden gesteld. Het onderzochte systeem zou dus wel degelijk neerkomen op een doorgifte van gegevens in de zin van richtlijn 95/46.

2. Beoordeling

83. Met zijn eerste middel voert het Parlement aan, dat de gelijkwaardigheidsbeschikking richtlijn 95/46 schendt en met name de artikelen 3, lid 2, 13 en 25 daarvan. Inzonderheid stelt het dat deze beschikking ten onrechte is gebaseerd op de door deze richtlijn gevormde basishandeling.

84. Zoals ik al heb uiteengezet, heeft richtlijn 95/46 tot doel om, met het oog op de oprichting en het functioneren van de interne markt, hinderpalen voor het vrije verkeer van persoonsgegevens uit de weg te ruimen door in de lidstaten een gelijkwaardig beschermingsniveau te creëren van de rechten en de vrijheden van personen in verband met de verwerking van dergelijke gegevens.

85. Het was eveneens de wens van de communautaire wetgever dat aan het aldus ingevoerde beschermingsstelsel geen afbreuk zou worden gedaan wanneer de persoonsgegevens het communautaire grondgebied verlaten. Hij heeft daarom geopteerd voor een stelsel dat een doorgifte van persoonsgegevens naar een derde land alleen toestaat wanneer dit land waarborgt dat deze gegevens een passend beschermingsniveau genieten. Dienovereenkomstig bevat richtlijn 95/46 het beginsel dat doorgifte van persoonsgegevens naar een derde land moet worden verboden wanneer dit land niet een passend beschermingsniveau waarborgt.

86. Artikel 25 van deze richtlijn legt aan de lidstaten een reeks van verplichtingen op en draagt de Commissie op de doorgifte van persoonsgegevens naar derde landen te controleren, waarbij rekening moet worden gehouden met het aan deze gegevens in elk van deze landen verleende beschermingsniveau. Het schrijft eveneens de methode en de criteria voor op grond waarvan een derde land geacht kan worden een passend beschermingsniveau te waarborgen voor de persoonsgegevens die aan hem zijn doorgegeven.

87. Het Hof heeft de regeling betreffende de doorgifte van persoonsgegevens naar een derde land gekwalificeerd als een „bijzondere regeling met specifieke voorschriften [...], die beoogt een controle door de lidstaten van de doorgiften van persoonsgegevens naar derde landen te waarborgen”. Het heeft eveneens gepreciseerd dat het een regeling betreft „die een aanvulling is op de algemene regeling van hoofdstuk II van die richtlijn, dat de rechtmatigheid van verwerkingen van persoonsgegevens betreft”.(47)

88. De specificiteit van de voorschriften die de doorgifte van persoonsgegevens naar derde landen regelen wordt grotendeels verklaard door de sleutelrol die aan het begrip passende bescherming wordt toegekend. Ter bepaling van de reikwijdte van dit begrip dient het duidelijk te worden onderscheiden van het begrip gelijkwaardige bescherming, dat vereist dat het derde land daadwerkelijk alle in richtlijn 95/46 genoemde beginselen erkent en toepast.

89. Het begrip passende bescherming betekent dat het derde land in staat moet zijn een aangepaste bescherming te waarborgen, volgens een model dat qua beschermingsniveau van persoonsgegevens aanvaardbaar wordt geacht. Een dergelijk systeem, gebaseerd op de passende aard van de door een derde land gewaarborgde bescherming, laat aan de lidstaten en de Commissie een ruime beoordelingsmarge bij hun waardering van de in het land van bestemming van de gegevens bestaande waarborgen. Deze beoordeling vindt plaats aan de hand van artikel 25, lid 2, van richtlijn 95/46, dat een opsomming bevat van enige factoren waarmee bij deze waardering rekening kan worden gehouden.(48) In dit verband heeft de communautaire wetgever als regel geformuleerd dat „[h]et passend karakter van het door een derde land geboden beschermingsniveau wordt beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgifte van invloed zijn”.

90. Zoals het Hof al heeft vastgesteld, bevat richtlijn 95/46 geen definitie van het begrip „doorgifte naar een derde land”.(49) Zij preciseert inzonderheid niet of het begrip uitsluitend slaat op de handeling waarmee een voor de verwerking verantwoordelijke de persoonsgegevens actief meedeelt aan een derde land dan wel of het zich uitstrekt tot het geval waarin een entiteit van een derde land het recht heeft zich toegang te verschaffen tot de gegevens die zich in een lidstaat bevinden. Deze richtlijn laat zich derhalve niet uit over de vraag, volgens welke methode de doorgifte van gegevens naar een derde land kan plaatsvinden.

91. Anders dan het Parlement, ben ik van mening dat in het onderhavige geval de toegang tot de PNR-gegevens waartoe het CBP is gerechtigd, onder het begrip „doorgifte naar een derde land” valt. Kenmerkend voor de aard van een dergelijke doorgifte is mijns inziens namelijk de stroom van gegevens van een lidstaat naar een derde land, in casu de Verenigde Staten.(50) Het is in dit verband van weinig belang dat de doorgifte wordt uitgevoerd door de verzender of door de ontvanger. Zoals de ETGB uiteenzet, zouden de in dit artikel gestelde voorwaarden gemakkelijk kunnen worden omzeild, indien de reikwijdte van artikel 25 van richtlijn 95/46 werd beperkt tot door de verzender verrichte doorgiften.

92. Na deze precisering dient nochtans de aandacht te worden gevestigd op het feit dat hoofdstuk IV van de genoemde richtlijn, waarvan artikel 25 deel uitmaakt, niet de strekking heeft alle doorgiften van persoonsgegevens, van welke aard ook, naar derde landen te regelen. Volgens de bewoordingen van artikel 25, lid 1, van de richtlijn, heeft het slechts betrekking op de doorgifte van persoonsgegevens „ die aan een verwerking worden onderworpen, of die bestemd zijn om na de doorgifte te worden verwerkt ”.

93. Ik herinner er in dit verband aan dat volgens artikel 2, sub b, van richtlijn 95/46 onder verwerking van persoonsgegevens moet worden verstaan „elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, zoals het verzamelen, vastleggen, [...] raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen [...]”.(51)

94. Ongeacht haar specificiteit, die, zoals wij hebben gezien, grotendeels berust op het begrip gelijkwaardigheid, moet de regeling betreffende de doorgifte van persoonsgegevens naar derde landen voldoen aan de voorschriften betreffende de werkingssfeer van richtlijn 95/46, waarvan zij deel uitmaakt.(52)

95. Om onder de bepalingen van artikel 25 van richtlijn 95/46 te vallen moet een doorgifte naar een derde land betrekking hebben op persoonsgegevens waarvan de verwerking, ongeacht of deze momenteel binnen de Gemeenschap plaatsvindt of slechts wordt beoogd in een derde land, binnen de werkingssfeer van deze richtlijn valt. Alleen onder deze voorwaarde kan een gelijkwaardigheidsbeschikking een geldige uitvoeringshandeling van richtlijn 95/46 vormen.

96. In dit verb and zij eraan herinnerd dat ratione materiae de genoemde richtlijn niet van toepassing is op alle verwerkingen van persoonsgegevens die onder een van de in artikel 2, sub b, bedoelde verwerkingshandelingen kunnen vallen. Artikel 3, lid 2, eerste streepje, van richtlijn 95/46 bepaalt namelijk dat de richtlijn niet van toepassing is op de verwerking van persoonsgegevens „die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschiedt, zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid , defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid) en de activiteiten van de staat op strafrechtelijk gebied ”.(53)

97. Ik ben van mening dat de raadpleging, het gebruik door het CBP en het aan deze laatste ter beschikking stellen van vliegtuigpassagiersgegevens, afkomstig uit de reserveringssystemen van luchtvaartmaatschappijen die gevestigd zijn op het grondgebied van de lidstaten, verwerkingen van persoonsgegevens vormen die de openbare veiligheid tot doel hebben en betrekking hebben op handelingen van de staat op strafrechtelijk gebied. Deze verwerkingen vallen bijgevolg buiten de materiële werkingssfeer van richtlijn 95/46.

98. Uit de bewoordingen van de gelijkwaardigheidsbeschikking blijkt de doelstelling van de verwerkingen waaraan de persoonsgegevens van vliegtuigpassagiers worden onderworpen. Zo preciseert de Commissie – na te hebben vermeld dat de vereisten inzake de doorgifte van persoonsgegevens uit het PNR van vliegtuigpassagiers aan het CBP zijn gebaseerd op een wet die door de Verenigde Staten in november 2001 is goedgekeurd en op uitvoeringsvoorschriften die krachtens die wet door het CBP zijn vastgesteld(54) – dat één van de doelstellingen van de Amerikaanse wetgeving „een grotere veiligheid”(55) is. Eveneens wijst zij erop dat „[d]e Gemeenschap [...] de Verenigde Staten ten volle [steunt] in de strijd tegen het terrorisme binnen de grenzen van het gemeenschapsrecht”.(56)

99. Voorts bepaalt de vijftiende overweging van de gelijkwaardigheidsbeschikking dat „de PNR-gegevens uitsluitend worden gebruikt ter voorkoming en bestrijding van terrorisme en aanverwante misdrijven, andere zware misdrijven, waaronder georganiseerde misdaad, die van grensoverschrijdende aard zijn, alsook het ontvluchten van een aanhoudingsbevel of arrestatie wegens die misdrijven”.

100. Richtlijn 95/46, en inzonderheid artikel 25, lid 6, daarvan, kan mijns inziens geen passende grondslag vormen voor de vaststelling door de Commissie van een uitvoeringshandeling zoals een beschikking betreffende het passende beschermingsniveau van persoonsgegevens die het voorwerp zijn van uitdrukkelijk van haar werkingssfeer uitgesloten verwerkingen. Het op grond van deze richtlijn goedkeuren van de doorgiften van deze gegevens zou er immers op neerkomen dat haar werkingssfeer op oneigenlijke wijze wordt uitgebreid.

101. Men bedenke evenwel dat richtlijn 95/46, die is vastgesteld op grond van artikel 100 A EG-Verdrag, beschermingsbeginselen definieert die moeten worden toegepast op verwerkingen van persoonsgegevens wanneer de activiteiten van de verantwoordelijke voor de verwerkingen binnen de werkingssfeer van het gemeenschapsrecht vallen, maar dat zij, juist wegens de keuze van haar rechtsgrondslag, niet geschikt is staatsactiviteiten te regelen, zoals die betreffende de openbare veiligheid of de vervolging van strafbare feiten, die niet binnen de werkingssfeer van het gemeenschapsrecht vallen.(57)

102. Het is juist dat de verwerking bestaande in het verzamelen en het vastleggen van gegevens van vliegtuigpassagiers door luchtvaartmaatschappijen in het algemeen een commercieel doel dient, aangezien zij rechtstreeks verband houdt met het verloop van de door de luchtvaartmaatschappij uit te voeren vlucht. Het is dan ook juist ervan uit te gaan dat PNR-gegevens oorspronkelijk door luchtvaartmaatschappijen worden verzameld in het kader van een activiteit die onder het gemeenschapsrecht valt, te weten de verkoop van een vliegticket dat recht geeft op een dienstverrichting. De gegevensverwerking in de gelijkwaardigheidsbeschikking is echter van geheel andere aard, aangezien zij betrekking heeft op een latere fase dan de oorspronkelijke verzameling van gegevens. Zij betreft namelijk, zoals wij hebben gezien, het raadplegen, het gebruik door het CBP en de terbeschikkingstelling aan deze laatste van vliegtuigpassagiersgegevens, afkomstig uit de reserveringssystemen van op het grondgebied van de lidstaten gevestigde luchtvaartmaatschappijen.

103. In werkelijkheid heeft de gelijkwaardigheidsbeschikking geen betrekking op een gegevensverwerking die noodzakelijk is voor het verrichten van een dienst, maar op een verwerking die noodzakelijk wordt geacht voor de bescherming van de openbare veiligheid en met het oog op de vervolging van strafbare feiten. Dit is de doelstelling van de doorgifte en de verwerking van PNR-gegevens. Bijgevolg kan de omstandigheid dat de persoonsgegevens zijn verzameld in het kader van een economische activiteit mijns inziens niet de toepassing van richtlijn 95/46 en inzonderheid van artikel 25 daarvan rechtvaardigen op een gebied dat van haar werkingssfeer is uitgesloten.

104. Mijns inziens wettigen deze argumenten de conclusie dat, zoals het Parlement meent, de Commissie krachtens artikel 25 van richtlijn 95/46 niet de bevoegdheid had een beschikking vast te stellen betreffende het passende beschermingsniveau van persoonsgegevens die worden doorgegeven in het kader van en met het oog op een verwerking die uitdrukkelijk buiten de werkingssfeer van deze richtlijn valt.(58)

105. Deze gelijkwaardigheidsbeschikking is derhalve in strijd met de basishandeling, zijnde richtlijn 95/46, en inzonderheid met artikel 25 daarvan, dat daarvoor niet de juiste grondslag vormt. Daarom moet zij naar mijn mening worden nietig verklaard.

106. Aangezien ik voorts van mening ben dat de gelijkwaardigheidsbeschikking buiten de werkingssfeer van richtlijn 95/46 valt, komt het mij niet relevant voor om deze beschikking te toetsen aan de essentiële beginselen die in die richtlijn zijn vervat, zoals het Parlement in zijn tweede middel verzoekt(59) . Ik ben daarom van mening dat dit tweede middel niet behoeft te worden onderzocht.

107. Aangaande het derde en het vierde middel van het onderhavige beroep, die ik slechts subsidiair zal onderzoeken, ben ik van mening dat zij niet afzonderlijk kunnen worden onderzocht, omdat de vaststelling van een eventuele schending van de fundamentele rechten door de gelijkwaardigheidsbeschikking noodzakelijkerwijs de beoordeling omvat of deze handeling evenredig is in verhouding tot de ermee nagestreefde doelstelling. Ik geef het Hof daarom in overweging het derde en het vierde middel gezamenlijk te onderzoeken.

B – De middelen gebaseerd op schending van fundamentele rechten en het evenredigheidsbeginsel

108. Het Parlement betoogt dat de gelijkwaardigheidsbeschikking niet het recht op de bescherming van persoonsgegevens respecteert, zoals gewaarborgd bij artikel 8 EVRM. Meer in het bijzonder is het, gelet op de bij dit artikel gestelde voorwaarden, van mening dat deze beschikking een niet in de wet voorziene inmenging in het privéleven oplevert, omdat sprake is van een maatregel die toegankelijk noch voorzienbaar is. Bovendien acht het Parlement deze maatregel onevenredig in verhouding tot het ermee nagestreefde doel, met name gelet op het buitensporige aantal PNR-rubrieken dat wordt verlangd en de buitensporig lange bewaringstermijn van de gegevens.

109. In het door hem ingestelde beroep in zaak C‑317/04 strekkend tot nietigverklaring van het besluit van de Raad, draagt het Parlement eveneens deze twee middelen voor en onderbouwt het dit met elkaar grotendeels overlappende argumenten. Ik ben van mening dat deze in de beide aan het Hof voorgelegde zaken voorgedragen middelen gezamenlijk moeten worden onderzocht en wel in het kader van mijn uiteenzetting in zaak C‑317/04.

110. Uit de door partijen in hun memories ontwikkelde argumenten blijkt namelijk dat het niet mogelijk is om, in het licht van het recht op eerbiediging van het privéleven, de componenten van de regeling betreffende de verwerking van PNR-gegevens door het CBP(60) – bestaande in de bij het besluit van de Raad goedgekeurde overeenkomst, de gelijkwaardigheidsbeschikking en de verbintenissen van het CBP die aan die beschikking van de Commissie zijn gehecht – afzonderlijk te bezien. Ter onderbouwing van hun betoog verwijzen partijen bovendien herhaaldelijk naar een van die handelingen.

111. De onderlinge samenhang van deze drie componenten van de PNR-regeling blijkt uitdrukkelijk uit de bewoordingen van de overeenkomst. Zowel de verbintenissen van het CBP als de gelijkwaardigheidsbeschikking worden namelijk in de preambule van de overeenkomst genoemd. Vervolgens preciseert punt 1 van deze overeenkomst dat het CBP toegang verkrijgt tot de PNR-gegevens „zulks strikt overeenkomstig de [gelijkwaardigheids]beschikking en zolang [de beschikking] van kracht is [...]”. Insgelijks moeten volgens punt 2 van deze overeenkomst de aldaar genoemde luchtvaartmaatschappijen de PNR-gegevens weliswaar „volgens de vereisten van het CBP krachtens de wetgeving van de Verenigde Staten” verwerken, doch „strikt overeenkomstig [de gelijkwaardigheidsbeschikking] en zolang [de beschikking] van kracht is”. Punt 3 van de overeenkomst bepaalt ten slotte: „Het CBP neemt kennis van [de gelijkwaardigheidsbeschikking] en verklaart dat het de daaraan gehechte verbintenissen uitvoert”.

112. Uit deze gegevens volgt dat zowel het recht van toegang tot de PNR-gegevens, dat door de overeenkomst aan het CBP wordt verleend, als de aan de in deze overeenkomst genoemde luchtvaartmaatschappijen opgelegde verplichting om deze gegevens te verwerken, aan de strikte en daadwerkelijke toepassing van de gelijkwaardigheidsbeschikking zijn onderworpen.

113. Zowel de onderlinge samenhang tussen de drie componenten van de PNR-regeling als het feit dat de middelen berustend op schending van de grondrechten en het evenredigheidsbeginsel door het Parlement zijn voorgedragen in de twee zaken die het Hof moet beslechten, nopen mij ertoe deze middelen aldus te verstaan dat zij beogen door het Hof te doen vaststellen dat de PNR-regeling in zijn drie componenten onverenigbaar is met het bij artikel 8 EVRM gewaarborgde recht op respect voor het privéleven. Het zou mijns inziens gekunsteld zijn de gelijkwaardigheidsbeschikking te onderzoeken zonder daarbij rekening te houden met de overeenkomst, die aan de luchtvaartmaatschappijen bepaalde verplichtingen oplegt en, omgekeerd, deze overeenkomst te onderzoeken zonder rekening te houden met de andere van toepassing zijnde teksten waarnaar zij met zoveel woorden verwijst.

114. Gelet op het feit dat het systeem uit verschillende onlosmakelijk verbonden elementen bestaat, dient het onderzoek derhalve niet op gekunstelde wijze te worden opgesplitst.

115. De inbreuk op het privéleven wordt, in dit licht bezien, gevormd door de overeenkomst die bij het besluit van de Raad is goedgekeurd, de gelijkwaardigheidsbeschikking en de verbintenissen van het CBP. Teneinde na te gaan of deze inbreuk in de wet is voorzien, een legitiem doel nastreeft en noodzakelijk is in een democratische maatschappij, moet tevens rekening worden gehouden met het aldus gecreëerde „drie snelheden-”mechanisme, zoals het Parlement dit in zijn twee verzoekschriften doet. Om een globaal overzicht van de PNR-regeling te krijgen, zal ik tot dit onderzoek overgaan in het kader van het beroep tot nietigverklaring van het besluit van de Raad.

VI – Het beroep tot nietigverklaring van het besluit van de Raad (zaak C‑317/04)

A – Het middel gebaseerd op de onjuiste keuze van artikel 95 EG als rechtsgrondslag voor het besluit van de Raad

1. Argumenten van partijen

116. Het Europees Parlement stelt dat artikel 95 EG niet de juiste rechtsgrondslag is voor het besluit van de Raad. Dit besluit heeft namelijk niet de oprichting en de werking van de interne markt tot doel en inhoud. Het besluit van de Raad heeft veeleer tot doel de door de Amerikaanse wetgeving aan de op het grondgebied van de Gemeenschap gevestigde luchtvaartmaatschappijen voorgeschreven verwerking van persoonsgegevens te legaliseren. Dit besluit preciseert niet in hoeverre deze legalisatie van de doorgifte van gegevens naar een derde land bijdraagt tot de oprichting of de werking van de interne markt.

117. Volgens het Parlement rechtvaardigt de inhoud van het besluit van de Raad evenmin een beroep op artikel 95 EG als rechtsgrondslag. Dit besluit legt het recht van het CBP op toegang tot het reserveringssysteem van de luchtvaartmaatschappijen op het grondgebied van de Gemeenschap vast met het oog op de uitvoering van vluchten tussen de Verenigde Staten en de lidstaten overeenkomstig de Amerikaanse wetgeving, teneinde terrorisme te voorkomen en te bestrijden. De verwezenlijking van deze doeleinden valt evenwel niet binnen de werkingssfeer van artikel 95 EG.

118. Ten slotte voegt het Parlement hieraan toe dat artikel 95 EG niet de grondslag kan vormen voor de bevoegdheid van de Gemeenschap om de onderhavige overeenkomst te sluiten, aangezien deze overeenkomst betrekking heeft op gegevensverwerkingen die ten behoeve van de openbare veiligheid worden verricht en derhalve buiten de werkingssfeer vallen van richtlijn 95/46, die op voornoemd verdragsartikel berust.

119. Daarentegen is de Raad van mening dat zijn besluit terecht op artikel 95 EG is gebaseerd. Volgens hem kan dit artikel de basis vormen voor maatregelen die tot doel hebben te verzekeren dat de mededingingsvoorwaarden in de interne markt niet worden vervalst. Hij betoogt in dit verband dat de overeenkomst beoogt elke verstoring van de mededinging, om redenen in verband met de bescherming van de rechten en vrijheden van personen, tussen luchtvaartmaatschappijen uit de lidstaten en tussen deze laatste en maatschappijen uit derde landen, die het gevolg kan zijn van de door de Verenigde Staten gestelde eisen, op te heffen. De mededingingsvoorwaarden voor de maatschappijen uit de lidstaten die internationaal passagiersvervoer naar of vanuit de Verenigde staten verzorgen, hadden kunnen worden vervalst indien slechts enkele maatschappijen de autoriteiten van de Verenigde Staten toegang tot hun databanken hadden verleend.

120. In dezelfde lijn beklemtoont de Raad enerzijds dat aan de luchtvaartmaatschappijen die niet aan de Amerikaanse vereisten voldeden, wellicht boetes door de Amerikaanse autoriteiten zouden zijn opgelegd, hun vluchten zouden vertraging hebben ondervonden en zij zouden wellicht passagiers hebben verloren aan andere luchtvaartmaatschappijen die wél regelingen hadden getroffen met de Verenigde Staten. Anderzijds zouden sommige lidstaten de luchtvaartmaatschappijen die de betreffende persoonsgegevens doorgaven wellicht hebben bestraft, terwijl andere lidstaten niet noodzakelijkerwijs op dezelfde manier zouden zijn opgetreden.

121. De Raad is van mening dat er in deze omstandigheden en bij gebreke van een gemeenschappelijke regeling betreffende de toegang van Amerikaanse autoriteiten tot de PNR-gegevens, gevaar voor vervalsing van de mededingingsvoorwaarden bestond en de eenheid van de interne markt ernstig gevaar liep. Het was derhalve volgens hem noodzakelijk geharmoniseerde voorwaarden voor de toegang van de Amerikaanse autoriteiten tot die gegevens vast te stellen, onder waarborging van de communautaire vereisten betreffende de eerbiediging van de grondrechten. Het zou daarbij gaan om het opleggen van geharmoniseerde verplichtingen aan alle betrokken luchtvaartmaatschappijen en het externe aspect van de oprichting en de werking van de interne markt.

122. Ten slotte wijst de Raad erop dat de overeenkomst is gesloten ná de gelijkwaardigheidsbeschikking, die is vastgesteld op grond van artikel 25, lid 6, van richtlijn 95/46. Volgens hem was het dus normaal en juist om het besluit tot sluiting van de overeenkomst op dezelfde rechtsgrondslag als die van de genoemde richtlijn te baseren, te weten artikel 95 EG.

123. In haar memorie in interventie beklemtoont de Commissie dat de bepalingen van de preambule van de overeenkomst aantonen dat, wat de Verenigde Staten betreft, het hoofddoel de bestrijding van het terrorisme is, terwijl voor de Gemeenschap het voornaamste doel bestaat in de handhaving van de belangrijkste elementen van haar wetgeving aangaande de bescherming van persoonsgegevens.

124. Ze merkt op dat het Parlement, hoewel het de keuze van artikel 95 EG als rechtsgrondslag voor het besluit van de Raad bekritiseert, geen geloofwaardig alternatief voorstelt. Volgens de Commissie vormt dit artikel de „natuurlijke” rechtsgrondslag van het besluit van de Raad, aangezien de externe dimensie van de bescherming van persoonsgegevens mo et worden gebaseerd op het verdragsartikel dat de grondslag vormt van de interne maatregel, zijnde richtlijn 95/46, temeer daar dit externe aspect met zoveel woorden wordt genoemd in de artikelen 25 en 26 van genoemde richtlijn. Gelet voorts op het nauwe verband en de onderlinge samenhang tussen de overeenkomst, de gelijkwaardigheidsbeschikking en de verbintenissen van het CBP, blijkt artikel 95 EG de passende rechtsgrondslag te zijn. De Commissie stelt dat de Raad hoe dan ook bevoegd was de overeenkomst op grond van dit artikel te sluiten, omdat aan richtlijn 95/46 afbreuk zou zijn gedaan in de zin van het arrest AETR,(61) indien de lidstaten een dergelijke overeenkomst, afzonderlijk of gezamenlijk, buiten het communautaire kader hadden gesloten.

125. Tot slot stelt de Commissie dat de gegevens door de luchtvaartmaatschappijen in eerste instantie met een commercieel doel worden verwerkt. Het gebruik dat de autoriteiten van de Verenigde Staten van die gegevens maken, doet deze dan ook niet buiten de werkingssfeer van de richtlijn vallen.

2. Beoordeling

126. Met zijn eerste middel verzoekt het Parlement het Hof te beslissen of artikel 95 EG een passende rechtsgrondslag vormt voor het besluit van de Raad tot sluiting door de Gemeenschap van een internationale overeenkomst zoals die welke in de onderhavige zaak aan de orde is. De beantwoording van deze vraag dient te geschieden aan de hand van de vaste rechtspraak van het Hof, volgens welke de keuze van de rechtsgrondslag van een communautaire handeling moet berusten op objectieve gegevens die voor rechterlijke toetsing vatbaar zijn, waaronder inzonderheid het doel en de inhoud van de handeling.(62) Immers, „[i]n het kader van het stelsel van bevoegdheden van de Gemeenschap mag de keuze van de rechtsgrondslag van een handeling niet alleen afhangen van de opvatting van een instelling omtrent het nagestreefde doel [...]”.(63)

127. Ik herinner eraan dat het Hof heeft geoordeeld dat „de keuze van de juiste rechtsgrondslag van constitutioneel belang is. Daar de Gemeenschap slechts beschikt over bevoegdheden die haar uitdrukkelijk zijn toegekend, moet zij [de betrokken internationale overeenkomst] baseren op een bepaling van het Verdrag die haar machtigt tot het goedkeuren van een dergelijke handeling”. Volgens het Hof maakt „[d]e keuze van een onjuiste rechtsgrondslag [...] derhalve de handeling tot sluiting van het akkoord zelf ongeldig en daarmee ook de instemming van de Gemeenschap om door het door haar gesloten akkoord te worden gebonden”.(64)

128. Overeenkomstig de door het Hof toegepaste onderzoeksmethode zal ik derhalve nagaan of de Raad op grond van het doel en de inhoud van de overeenkomst gerechtigd was om op grond van artikel 95 EG een besluit te nemen dat volgens artikel 1 ervan tot doel had, de overeenkomst namens de Gemeenschap goed te keuren.

129. Aangaande het doel van de overeenkomst blijkt uit punt 1 van de preambule dat dit tweeledig is, te weten enerzijds de voorkoming en bestrijding van terrorisme en daarmee samenhangende misdrijven en andere ernstige misdrijven van grensoverschrijdende aard, met inbegrip van de georganiseerde criminaliteit(65), en anderzijds de eerbiediging van de fundamentele rechten en vrijheden, met name het recht op privacy.

130. Het nastreven van de doelstelling van bestrijding van terrorisme en andere ernstige misdrijven blijkt uit de verwijzing, in punt 2 van de preambule van de overeenkomst, naar de wet‑ en regelgeving van de Verenigde Staten die is aangenomen naar aanleiding van de terroristische aanslagen van 11 september 2001 en waarin van iedere luchtvaartmaatschappij die internationale passagiersvluchten vanuit of naar de Verenigde Staten uitvoert, wordt geëist dat zij elektronisch toegang verschaft tot de in haar geautomatiseerde boekings‑ en vertrekcontrolesysteem verzamelde en opgeslagen PNR-gegevens.

131. Het doel van eerbiediging van de fundamentele rechten en inzonderheid van het recht op eerbiediging van het privéleven, blijkt uit de verwijzing naar richtlijn 95/46. Aldus dient aan vervoerde natuurlijke personen de bescherming van hun persoonsgegevens te worden gewaarborgd.

132. Deze waarborg wordt nagestreefd zowel in het kader van de door het CBP op 11 mei 2004 aangegane verbintenissen, die volgens punt 4 van de preambule van de overeenkomst zullen worden bekendgemaakt in het Federal Register , als in het kader van de gelijkwaardigheidsbeschikking, die in punt 5 van de genoemde preambule wordt genoemd.

133. Volgens punt 1 van de preambule van de overeenkomst moeten deze twee doelstellingen gelijktijdig worden nagestreefd. De tussen de Gemeenschap en de Verenigde Staten gesloten overeenkomst streeft er derhalve naar deze twee doelstellingen met elkaar in overeenstemming te brengen, dat wil zeggen zij berust op de gedachte dat de bestrijding van terrorisme en andere ernstige misdrijven moet plaatsvinden onder eerbiediging van de fundamentele rechten, inzonderheid het recht op eerbiediging van het privéleven en meer in het bijzonder het recht op de bescherming van persoonsgegevens.

134. De inhoud van de overeenkomst bevestigt deze analyse. Punt 1 ervan bepaalt immers dat het CBP elektronisch toegang krijgt tot de PNR-gegevens in de boekings‑ en vertrekcontrolesystemen van de luchtvaartmaatschappijen die zich op het grondgebied van de lidstaten bevinden, zulks „strikt overeenkomstig” de gelijkwaardigheidsbeschikking „en zolang deze laatste van kracht is”. Ik leid hieruit af dat de toegang tot de PNR-gegevens van vliegtuigpassagiers als een middel ter bestrijding van terrorisme en andere ernstige misdrijven slechts op grond van de overeenkomst is toegestaan voorzover wordt vastgesteld dat voor deze gegevens in de Verenigde Staten een passend beschermingsniveau bestaat. De inhoud van deze bepaling van de overeenkomst weerspiegelt aldus het gelijktijdig nastreven van enerzijds de doelstelling van bestrijding van terrorisme en andere ernstige misdrijven en anderzijds de doelstelling van bescherming van persoonsgegevens.

135. Dezelfde constatering dringt zich op bij het onderzoek van punt 2 van de overeenkomst, dat de luchtvaartmaatschappijen die internationale passagiersvluchten vanuit of naar de Verenigde Staten uitvoeren, ertoe verplicht de in hun boekingssystemen opgeslagen PNR-gegevens te verwerken „volgens de vereisten van het CBP krachtens de wetgeving van de Verenigde Staten, zulks strikt overeenkomstig de [gelijkwaardigheids]beschikking en zolang deze laatste van kracht is”. Ook in dit opzicht houdt de verplichting die voortaan op de luchtvaartmaatschappijen rust met het doel terrorisme en andere ernstige misdrijven te bestrijden, nauw verband met een gepaste bescherming van de persoonsgegevens van vliegtuigpassagiers.

136. Andere bepalingen van de overeenkomst dienen ertoe de doelstellingen van bestrijding van terrorisme en andere ernstige misdrijven enerzijds en bescherming van de persoonsgegevens van vliegtuigpassagiers anderzijds uit te voeren.

137. Zo wordt specifiek met betrekking tot de doelstelling van bescherming van persoonsgegevens in punt 3 van de overeenkomst bepaald dat „[h]et CBP [...] kennis[neemt] van de [gelijkwaardigheids]beschikking en verklaart dat het de daaraan gehechte verbintenissen uitvoert”.

138. Voorts overweegt punt 6 van de overeenkomst de mogelijkheid dat de Europese Unie op haar beurt een identificatieregeling van vliegtuigpassagiers invoert, in het kader waarvan zij de luchtvaartmaatschappijen ertoe zou verplichten aan de bevoegde autoriteiten toegang te verlenen tot de PNR-gegevens van passagiers wier reis een vlucht naar of vanuit de Europese Unie omvat. Voor het geval de Europese Unie een dergelijke maatregel zou treffen, bepaalt de overeenkomst dat het Department of Homeland Security „zoveel mogelijk en met strikte inachtneming van het wederkerigheidsbeginsel de onder haar bevoegdheid vallende luchtvaartmaatschappijen tot samenwerking aanmoedigt”. Het betreft hier een bepaling die wederom de doelstelling van bestrijding van terrorisme en andere ernstige misdrijven tot uiting brengt.

139. Als reactie op bepaalde argumenten van de Commissie wijs ik er in dit verband dan ook op, dat volgens mij moeilijk kan worden volgehouden dat het doel van bestrijding van terrorisme en andere ernstige misdrijven uitsluitend en eenzijdig wordt nagestreefd door de Verenigde Staten, terwijl de Gemeenschap zich uitsluitend tot doel stelt de persoonsgegevens van vliegtuigpassagiers te beschermen.(66) Ik ben van mening dat de overeenkomst vanuit het gezichtspunt van elke contracterende partij in werkelijkheid en tegelijkertijd tot doel en inhoud heeft, de doelstelling van bestrijding van terrorisme en andere ernstige misdrijven te verzoenen met die van bescherming van de persoonsgegevens van vliegtuigpassagiers. Aldus roept de overeenkomst een samenwerking tussen de contracterende partijen in het leven die bedoeld is om deze tweeledige doelstelling gelijktijdig te verwezenlijken.

140. Gelet op het doel en de inhoud van de overeenkomst, zoals hier beschreven, ben ik van mening dat artikel 95 EG geen passende rechtsgrondslag vormt voor het besluit van de Raad.

141. In dit verband zij eraan herinnerd dat artikel 95, lid 1, EG beoogt door de Raad maatregelen te doen vaststellen inzake de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten betreffende de instelling en de werking van de interne markt.

142. De bij dit verdragsartikel aan de Gemeenschap toegekende bevoegdheid is van horizontale aard, dat wil zeggen dat zij niet tot een bepaald gebied is beperkt. De draagwijdte van de communautaire bevoegdheid wordt derhalve vastgesteld „op basis van een functioneel criterium, dat zich horizontaal uitstrekt tot alle maatregelen die de instelling van de ‚interne markt’ tot doel hebben”.(67)

143. Voorts blijkt uit de rechtspraak van het Hof dat de in artikel 95, lid 1, EG bedoelde maatregelen de voorwaarden voor de instelling en de werking van de interne markt dienen te verbeteren en daadwerkelijk deze doelstelling moeten hebben, door ertoe bij te dragen dat de belemmeringen van het vrije verkeer van goederen en van de vrijheid van dienstverrichting worden weggenomen en de mededingingsverstoringen worden opgeheven.(68) Eveneens volgt uit deze rechtspraak dat artikel 95 EG alleen als rechtsgrondslag mag worden gehanteerd om toekomstige belemmeringen van het handelsverkeer die het gevolg zouden zijn van een heterogene ontwikkeling van de nationale wetgevingen, te voorkomen, indien het ontstaan van die belemmeringen waarschijnlijk is en de betrokken maatregel ertoe strekt die belemmeringen te voorkomen.(69)

144. Zoals ik al heb uiteengezet, voert de Raad aan dat zijn besluit op geldige wijze is vastgesteld op de grondslag van artikel 95 EG, aangezien de overeenkomst met de Verenigde Staten, door de opheffing van elke concurrentievervalsing tussen de luchtvaartmaatschappijen van de lidstaten en tussen deze en de maatschappijen van derde landen, heeft bijgedragen tot het voorkomen van een ernstige inbreuk op de eenheid van de interne markt.

145. Weliswaar verwijst de tweede overweging van het besluit van de Raad naar „de dringende noodzaak een eind te maken aan de onzekerheid waarin luchtvaartmaatschappijen en passagiers verkeren, en […] de financiële belangen van de betrokkenen te beschermen”, maar deze zinsnede zou aldus kunnen worden verstaan dat zij zinspeelt op de sancties die door de bevoegde Amerikaanse autoriteiten kunnen worden opgelegd aan de luchtvaartmaatschappijen die de toegang tot de PNR-gegevens van hun passagiers zouden weigeren, welke sancties financiële consequenties voor die luchtvaartmaatschappijen zouden kunnen hebben. Men zou zich kunnen voorstellen dat in een dergelijk geval deze sancties, die nadelige financiële consequenties voor bepaalde maatschappijen hebben, de oorzaak kunnen zijn van concurrentievervalsingen tussen alle op het grondgebied van de lidstaten gevestigde luchtvaartmaatschappijen.

146. Ik kan mij trouwens eveneens voorstellen dat een verschillende houding van de lidstaten – hierin bestaande dat sommige op straffe van sancties aan de op hun grondgebied gevestigde luchtvaartmaatschappijen de doorgifte van PNR-gegevens van hun passagiers verbieden, terwijl andere lidstaten dit niet doen – gevolgen, zij het indirect, voor de werking van de interne markt zou kunnen hebben wegens de eventuele mededingingsverstoringen die tussen de luchtvaartmaatschappijen zouden kunnen ontstaan.

147. Geconstateerd moet echter worden dat een dergelijke doelstelling, bestaande in het voorkomen van mededingingsverstoringen, voorzover inderdaad door de Raad nagestreefd, van bijkomende aard is in verhouding tot de twee voornaamste doelstellingen, te weten de bestrijding van terrorisme en andere ernstige misdrijven en de bescherming van de persoonsgegevens van passagiers die, zoals we hebben gezien, in de bepalingen van de overeenkomst uitdrukkelijk genoemd en metterdaad uitgevoerd zijn.

148. De doelstelling bestaande in het voorkomen van mededingingsvervalsingen, ongeacht of dit tussen de luchtvaartmaatschappijen van de lidstaten of tussen deze en de luchtvaartmaatschappijen van derde landen is, zoals de Raad aanvoert, komt op haar beurt nergens met zoveel woorden in de bepalingen van de overeenkomst voor. Zij is van impliciete aard en derhalve noodzakelijkerwijs van ondergeschikte aard in verhouding tot de beide andere doelstellingen.

149. Ik herinner eraan dat, zoals het Hof al heeft beslist, „[...] het enkele feit dat een handeling van invloed kan zijn op de totstandbrenging en de werking van de interne markt, niet [volstaat] om het gebruik van dit artikel als rechtsgrondslag voor deze handeling te rechtvaardigen”.(70)

150. Met name volgt uit vaste rechtspraak van het Hof dat, indien uit het onderzoek van een gemeenschapshandeling blijkt dat zij meer dan één doel heeft of dat er sprake is van verschillende componenten, en indien één daarvan als hoofdelement of overwegende component kan worden aangewezen, terwijl de andere slechts een ondergeschikt element is, de handeling op één enkele rechtsgrondslag moet worden gebaseerd, namelijk die welke het hoofddoel, het hoofdelement of de overwegende component verlangt.(71) Alleen bij wijze van uitzondering, indien wordt aangetoond dat de handeling tegelijkertijd verschillende doeleinden heeft die onlosmakelijk met elkaar verbonden zijn, zonder dat de ene secundair en indirect is ten opzichte van de andere, moet een dergelijke handeling op de verschillende desbetreffende rechtsgrondslagen worden gebaseerd.(72) Dit is volgens mij in casu niet het geval.

151. Ik wil er nog op wijzen dat zelfs wanneer de drie doelstellingen geacht moeten worden op onlosmakelijke wijze door de overeenkomst te worden nagestreefd, dit niet wegneemt dat de keuze van de Raad om zijn besluit uitsluitend te baseren op de rechtsgrondslag van artikel 95 EG krachtens deze rechtspraak als onjuist moet worden beschouwd.

152. In werkelijkheid blijkt bij volledige lezing van de tweede overweging van het besluit van de Raad, dat de „dringende noodzaak” waarvan de Raad gewag maakt, tot voornaamste doel heeft te verklaren waarom aan het Parlement een termijn is gesteld om zijn advies te geven overeenkomstig artikel 300, lid 3, eerste alinea, EG, dat bepaalt dat in het kader van de procedure betreffende het sluiten van akkoorden „[h]et Europees Parlement [...] advies uit[brengt] binnen de termijn die de Raad naar gelang van de urgentie kan vaststellen”. Eveneens bepaalt dit artikel dat „[i]ndien er binnen die termijn geen advies is uitgebracht, [...] de Raad een besluit [kan] nemen”. Dit is gebeurd in de procedure die is gevoerd met het oog op de vaststelling van het besluit van de Raad.

153. Anders gezegd, ofschoon „de dringende noodzaak een eind te maken aan de onzekerheid waarin luchtvaartmaatschappijen en passagiers verkeerden, en […] de financiële belangen van de betrokkenen te beschermen” inderdaad een rol heeft kunnen spelen in de procedure ter vaststelling van een regeling voor PNR-gegevens, komt het mij voor dat dit zwaarder is meegewogen in het kader van de gevoerde procedure dan in het kader van de omschrijving van doel en inhoud van de overeenkomst.

154. Aangaande het argument van de Raad en de Commissie dat een handeling betreffende de externe dimensie van de bescherming van persoonsgegevens moet worden gebaseerd op dezelfde rechtsgrondslag als die van de interne maatregel zijnde richtlijn 95/46, dient erop te worden gewezen dat het Hof al heeft beslist dat het feit dat een specifieke verdragsbepaling als rechtsgrondslag is gekozen voor de vaststelling van interne handelingen niet volstaat als bewijs dat voor de goedkeuring van een internationale overeenkomst met een soortgelijk voorwerp dezelfde rechtsgrondslag moet worden gekozen.(73) Bovendien heb ik aangetoond dat noch het voornaamste doel noch de inhoud van de overeenkomst de verbetering van de voorwaarden voor de werking van de interne markt betreft, terwijl richtlijn 95/46, die is vastgesteld op grond van artikel 95 EG, „beoogt het vrije verkeer van persoonsgegevens tussen lidstaten te bevorderen dankzij een harmonisatie van de nationale voorschriften inzake de bescherming van natuurlijke personen op het gebied van de verwerking van dergelijke gegevens”.(74)

155. Gelet op bovenstaande elementen, ben ik van mening dat het onderzoek naar doel en inhoud van de overeenkomst aantoont dat artikel 95 EG niet de passende rechtsgrondslag voor het besluit van de Raad is.

156. Bijgevolg geef ik het Hof in overweging het eerste middel van het Parlement gegrond te verklaren. Hieruit volgt dat het besluit van de Raad wegens onjuiste keuze van de rechtsgrondslag moet worden nietig verklaard.

157. Het zou zeker interessant zijn op deze plaats de vraag te stellen welke rechtsgrondslag voor een dergelijk besluit passend zou zijn. Er zij evenwel op gewezen dat het Hof in het kader van de onderhavige zaak deze delicate vraag niet behoeft te beantwoorden. Ik zal mij daarom beperken tot enkele opmerkingen over dit vraagstuk en meer algemeen over de aard van de PNR-regeling, zoals deze na onderhandelingen met de Verenigde Staten tot stand is gekomen.

158. Om te beginnen, en anders dan de Raad heeft verdedigd, toont de omstandigheid dat de PNR-regeling niet is vastgesteld in het kader van de bepalingen van het EU-Verdrag, mijns inziens niet de rechtsgeldigheid aan van de door de Raad en de Commissie gekozen benadering.

159. Vervolgens ben ik, meer in het algemeen, van mening dat een handeling die voorziet in de raadpleging en het gebruik van persoonsgegevens door een entiteit die de binnenlandse veiligheid van een staat moet verzekeren, alsmede de terbeschikkingstelling van deze gegevens aan een dergelijke entiteit, als een samenwerkingshandeling tussen overheidsinstanties kan worden beschouwd.(75)

160. Bovendien komt het mij voor dat het feit dat een rechtspersoon wordt verplicht een dergelijke verwerking van gegevens uit te voeren en deze door te geven niet fundamenteel verschilt van een rechtstreekse uitwisseling van gegevens tussen overheidsinstanties.(76) Het gaat om de verplichte mededeling van gegevens ten behoeve van veiligheids‑ en strafvervolgingsdoeleinden, niet om de specifieke wijze waarop dit in een bepaalde situatie dient te geschieden. De onderhavige zaak betreft in feite een nieuwe problematiek, verband houdend met het gebruik van commerciële gegevens ten behoeve van strafvervolgingsdoeleinden.(77)

161. Ten slotte zij erop gewezen dat het Gerecht van eerste aanleg heeft beslist dat „de strijd tegen het internationale terrorisme [...] niet in verband [kan] worden gebracht met één van de door de artikelen 2 EG en 3 EG aan de Gemeenschap uitdrukkelijk toegewezen doelstellingen.(78)

162. Aangezien ik het Hof naar aanleiding van mijn onderzoek van het eerste middel in overweging geef, het besluit van de Raad nietig te verklaren wegens de onjuiste keuze van de rechtsgrondslag daarvan, zal ik slechts subsidiair de andere door het Parlement ter ondersteuning van het onderhavige beroep aangevoerde middelen bespreken.

B – Het middel gebaseerd op schending van artikel 300, lid 3, tweede alinea, EG, wegens wijziging van richtlijn 95/46

1. Argumenten van partijen

163. Met dit tweede middel voert het Parlement aan dat de overeenkomst tussen de Gemeenschap en de Verenigde Staten alleen namens de Gemeenschap had kunnen worden goedgekeurd wanneer de procedure, bedoeld in artikel 300, lid 3, tweede alinea, EG was gevolgd. Dit artikel bepaalt namelijk dat „akkoorden die een wijziging behelzen van een volgens de procedure van artikel 251 aangenomen besluit [worden] gesloten nadat het Europees Parlement zijn instemming heeft gegeven”. Volgens deze instelling behelst de onderhavige overeenkomst een wijziging van richtlijn 95/46, die volgens de procedure van artikel 251 EG is vastgesteld.

164. Naar de mening van het Parlement voldoen de verbintenissen tot uitvoering waarvan de Amerikaanse autoriteiten zich hebben verplicht, niet aan de bij richtlijn 95/46 opgelegde voorwaarden voor de verwerking van gegevens. Op grond hiervan heeft de overeenkomst tot gevolg dat van sommige wezenlijke beginselen van deze richtlijn wordt afgeweken en dat gegevensverwerkingen die in deze richtlijn niet zijn toegestaan, worden gelegitimeerd. Aldus brengt de overeenkomst wijziging in richtlijn 95/46. Het Parlement noemt met name de volgende wijzigingen.

165. In de eerste plaats beoogt de overeenkomst het voorkomen en de bestrijding van terrorisme en andere ernstige misdrijven, terwijl artikel 3, lid 2, eerste streepje, van richtlijn 95/46 van de werkingssfeer van de richtlijn uitsluit de doorgifte van gegevens naar overheidsinstanties van een derde land om redenen in verband met de openbare veiligheid van dat land. Het Parlement wijst erop dat de lidstaten met het oog hierop in de Europol-overeenkomst specifieke bepalingen hebben opgenomen; op grond daarvan mag worden aangenomen dat de twee instrumenten op dit gebied elkaar aanvullen, ofschoon zij op verschillende rechtsgrondslagen zijn gebaseerd.

166. In de tweede plaats vormt de aan de bevoegde Amerikaanse autoriteiten verleende mogelijkheid om rechtstreeks toegang te hebben tot persoonsgegevens binnen het gebied van de Gemeenschap (het „pull”-systeem) eveneens een wijziging van richtlijn 95/46. De artikelen 25 en 26 daarvan bevatten immers geen enkele bepaling op grond waarvan een derde land recht op rechtstreekse toegang tot die gegevens heeft.

167. In de derde plaats staat de overeenkomst, door te verwijzen naar de verbintenissen, het CBP toe om naar eigen inzicht en van geval tot geval de PNR-gegevens door te geven aan andere dan Amerikaanse overheidsinstanties die zich met strafvervolging of terrorismebestrijding bezighouden. Deze discretionaire bevoegdheid van de Amerikaanse autoriteiten is in strijd met richtlijn 95/46, en inzonderheid met artikel 25, lid 1, daarvan, volgens welke bepaling „persoonsgegevens [...] slechts naar een derde land mogen worden doorgegeven indien [...] dat land een passend beschermingsniveau waarborgt”. Het Parlement is namelijk van mening dat het in deze richtlijn uitgewerkte beschermingssysteem elke betekenis zou verliezen, indien het derde land waarvoor een positieve gelijkwaardigheidsbeschikking geldt, vervolgens het recht had de persoonsgegevens aan andere landen door te geven die door de Gemeenschap in het geheel niet zijn beoordeeld.

168. In de vierde plaats behelst de overeenkomst een wijziging van richtlijn 95/46 voorzover het CBP, zelfs wanneer het besluit „gevoelige” persoonsgegevens niet te gebruiken, het recht zou hebben deze gegevens te verzamelen, hetgeen op zich reeds een verwerking in de zin van artikel 2, sub b, van deze richtlijn vormt.

169. In de vijfde plaats meent het Parlement dat de overeenkomst deze richtlijn wijzigt, omdat zij de in artikel 22 van richtlijn 95/46 bedoelde mogelijkheid zich tot de rechter te wenden in geval van schending van de rechten die aan iedereen worden gegarandeerd door het op de betrokken verwerking toepasselijke nationale recht, niet voldoende waarborgt. Inzonderheid beschikt een bij de doorgifte van zijn PNR-gegevens betrokken persoon niet over de mogelijkheid zich tot de rechter te wenden wanneer, bijvoorbeeld, hem betreffende gegevens onjuist zijn, gevoelige gegevens worden gebruikt of gegevens aan een andere instantie worden doorgegeven.

170. In de zesde en laatste plaats beklemtoont het Parlement de buitensporig lange duur van de bewaring van aan het CBP overgedragen PNR-gegevens, hetgeen een wijziging van richtlijn 95/46 vormt en inzonderheid van artikel 6, lid 1, sub e, daarvan, waarin een bewaringsduur van de gegevens is voorzien die „niet langer [is] […] dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is”.

171. De ETGB ondersteunt de conclusies van het Parlement in die zin dat de overeenkomst volgens deze organisatie van invloed is op richtlijn 95/46. De overeenkomst had slechts mogen worden gesloten onder het democratische toezicht van het Parlement, aangezien zij het harmonisatieniveau van de nationale wetgevingen zoals in deze richtlijn is voorzien en zelfs de eerbiediging van de fundamentele rechten beïnvloedt. Volgens de ETGB is de aantasting van het in deze richtlijn voorziene beschermingsniveau van de persoonsgegevens met name het gevolg van het feit dat zowel in het „pull”- als het „push”-systeem de luchtvaartmaatschappijen verplicht zijn te handelen in strijd met de richtlijn, en met name met artikel 6, lid 1, sub b en c, daarvan. Voorzover deze inbreuk op het beschermingsniveau van de gegevens een wijziging van richtlijn 95/46 impliceert, meent de ETGB dat de procedurele waarborgen van artikel 300, lid 3, tweede alinea, EG niet in acht zijn genomen. Bovendien zijn de „materiële garanties” evenmin in acht genomen, met name omdat de verbintenissen van het CBP niet bindend zijn.

172. Daarentegen is de Raad, daarin bijgestaan door de Commissie, van mening dat de overeenkomst geen wijziging van richtlijn 95/46 bevat. Ter onderbouwing hiervan haalt hij punt 8 van deze overeenkomst aan, volgens de bewoordingen waarvan deze overeenkomst „niet ten doel [heeft] van de wetgeving van de partijen af te wijken of deze wetgeving te wijzigen”. Hij betoogt eveneens dat deze richtlijn aan de Commissie een ruime discretionaire bevoegdheid verleent om de passende aard van de door een derde land geboden bescherming te beoordelen. In dit verband vormt volgens de Raad de vraag of de Commissie de grenzen van haar beoordelingsmarge heeft overschreden veeleer het onderwerp van het beroep tot nietigverklaring van de gelijkwaardigheidsbeschikking in zaak C‑318/04.

173. De Raad herinnert er eveneens aan, dat naar zijn mening de redenen (veiligheid, bestrijding van terrorisme of andere redenen) waarom het CBP de doorgifte van PNR-gegevens heeft verlangd, vanuit het standpunt van de Gemeenschap noch het voorwerp noch de inhoud van de overeenkomst vormen. Bovendien staat richtlijn 95/46 binnen de werkingssfeer van de interne markt toe dat persoonsgegevens voor legitieme doeleinden, zoals de bescherming van de veiligheid van een staat, kunnen worden gebruikt.

174. Hoe dan ook, zelfs wanneer moet worden aangenomen dat de Gemeenschap niet bevoegd was de overeenkomst te sluiten, volgt daaruit nog niet dat het Parlement op grond van het feit dat de overeenkomst richtlijn 95/46 wijzigt, zijn instemming had moeten geven. De Raad preciseert dat de instemming van het Parlement namelijk in geen geval tot gevolg kan hebben dat de bevoegdheden van de Gemeenschap worden uitgebreid.

175. Ten aanzien van de mogelijkheid voor het CBP om zich rechtstreeks toegang tot de PNR-gegevens te verschaffen (het thans van toepassing zijnde „pull”-systeem, in afwachting van de invoering van een „push”-systeem), erkent de Raad dat richtlijn 95/46 een dergelijke mogelijkheid weliswaar niet met zoveel woorden vermeldt, doch dat zij dit evenmin verbiedt. Vanuit het gezichtspunt van de Gemeenschap zijn het de voorwaarden voor de toegang tot de gegevens die van belang zijn.

176. De Commissie voegt aan deze argumenten toe, dat voor welk doel de persoonsgegevens ook door het CBP worden gebruikt, het nochtans een feit blijft dat dit voor de luchtvaartmaatschappijen in de Gemeenschap commerciële gegevens zijn en blijven, die binnen de werkingssfeer van richtlijn 95/46 vallen en bijgevolg in overeenstemming met deze richtlijn moeten worden beschermd en verwerkt.

2. Beoordeling

177. Bij het door de Gemeenschap sluiten van internationale overeenkomsten is de raadpleging van het Parlement de normaal gevolgde procedure, behoudens wanneer de overeenkomsten betrekking hebben op het gebied van het gemeenschappelijk handelsbeleid. Deze raadpleging van het Parlement geschiedt krachtens artikel 300, lid 3, eerste alinea, EG, ook wanneer het akkoord een gebied betreft waarin voor de vaststelling van interne voorschriften de medebeslissingsprocedure van artikel 251 EG is voorgeschreven.

178. In afwijking van deze algemeen toepasselijke procedure, schrijft artikel 300, lid 3, tweede alinea, EG in vier gevallen de inste