OPINIA RZECZNIKA GENERALNEGO

GIOVANNIEGO PITRUZZELLI

przedstawiona w dniu 27 stycznia 2022 r. ( 1 )

Sprawa C‑817/19

Ligue des droits humains

przeciwko

Conseil des ministres

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Cour constitutionnelle (Belgia)]

Odesłanie prejudycjalne – Ochrona danych osobowych – Przetwarzanie danych dotyczących przelotu pasażera (PNR) – Rozporządzenie (UE) 2016/679 – Zakres stosowania – Dyrektywa (UE) 2016/681 – Ważność Karta praw podstawowych Unii Europejskiej – Artykuły 7, 8 i art. 52 ust. 1

Spis treści

I. Wprowadzenie II. Ramy prawne A. Prawo Unii 1. Karta 2. RODO 3. Dyrektywa PNR 4. Inne istotne akty prawa Unii B. Prawo belgijskie C. Postępowanie główne, pytania prejudycjalne oraz postępowanie przed Trybunałem III. Analiza A. W przedmiocie pierwszego pytania prejudycjalnego B. W przedmiocie pytań prejudycjalnych drugiego, trzeciego, czwartego, szóstego i ósmego 1. W przedmiocie praw podstawowych zapisanych w art. 7 i 8 karty 2. W przedmiocie ingerencji w prawa podstawowe ustanowione w art. 7 i 8 karty 3. W przedmiocie uzasadnienia ingerencji wynikającej z dyrektywy PNR a) W przedmiocie poszanowania wymogu, aby wszelkie ograniczenia w korzystaniu z prawa podstawowego zapisanego w karcie były przewidziane ustawą b) W przedmiocie poszanowania istoty praw zapisanych w art. 7 i 8 karty c) W przedmiocie poszanowania wymogu, zgodnie z którym ingerencja musi odpowiadać celowi interesu ogólnego d) W przedmiocie przestrzegania zasady proporcjonalności 1) W przedmiocie przydatności operacji przetwarzania danych PNR, o których mowa w dyrektywie PNR, do realizacji zamierzonego celu 2) W przedmiocie absolutnie koniecznego charakteru ingerencji i) W przedmiocie określenia celów przetwarzania danych PNR ii) W przedmiocie kategorii danych PNR objętych dyrektywą PNR (pytania prejudycjalne drugie i trzecie) – W przedmiocie wystarczająco jasnego i precyzyjnego charakteru pkt 12 i 18 załącznika I (trzecie pytanie prejudycjalne) – W przedmiocie zakresu danych wymienionych w załączniku I (drugie pytanie prejudycjalne) – W przedmiocie danych szczególnie chronionych iii) W przedmiocie pojęcia „pasażera” (czwarte pytanie prejudycjalne) iv) W przedmiocie wystarczająco jasnego, precyzyjnego i ograniczonego do tego, co absolutnie konieczne, charakteru wstępnej oceny pasażerów (szóste pytanie prejudycjalne) – W przedmiocie porównania z bazami danych w rozumieniu art. 6 ust. 3 lit. a) dyrektywy PNR – W przedmiocie przetwarzania danych PNR w świetle wcześniej ustalonych kryteriów – W przedmiocie gwarancji związanych ze zautomatyzowanym przetwarzaniem danych PNR – Wnioski w przedmiocie szóstego pytania prejudycjalnego v) W przedmiocie przechowywania danych PNR (ósme pytanie prejudycjalne) 4. Wnioski w przedmiocie pytań prejudycjalnych drugiego, trzeciego, czwartego, szóstego i ósmego C. W przedmiocie piątego pytania prejudycjalnego D. W przedmiocie siódmego pytania prejudycjalnego E. W przedmiocie dziewiątego pytania prejudycjalnego F. W przedmiocie dziesiątego pytania prejudycjalnego IV. Wnioski

I. Wprowadzenie

1. We wniosku o wydanie orzeczenia w trybie prejudycjalnym w niniejszej sprawie Cour constitutionnelle (trybunał konstytucyjny, Belgia) zwraca się do Trybunału z serią dziesięciu pytań prejudycjalnych dotyczących wykładni rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie w sprawie ochrony danych, zwane dalej „RODO”) ( 2 ), a także ważności i wykładni dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania (zwanej dalej „dyrektywą PNR”) ( 3 ) oraz dyrektywy Rady 2004/82/WE z dnia 29 kwietnia 2004 r. w sprawie obowiązku przekazywania przez przewoźników danych dotyczących pasażerów (zwanej dalej „dyrektywą API”) ( 4 ). Pytania te podniesiono w ramach skargi złożonej przez stowarzyszenie o celu niezarobkowym Ligue des droits humains (zwane dalej „LDH”), mającej na celu stwierdzenie nieważności w całości lub w części ustawy z dnia 25 grudnia 2016 r. o przetwarzaniu danych pasażerów (zwanej dalej „ustawą PNR”) ( 5 ), transponującej do prawa belgijskiego dyrektywę PNR i dyrektywę API.

2. Pytania, które Trybunał będzie musiał rozstrzygnąć w niniejszej sprawie, stanowią odbicie jednego z głównych dylematów współczesnego konstytucjonalizmu liberalno-demokratycznego: jak ustalić równowagę między jednostką a zbiorowością w erze danych, w której technologia cyfrowa umożliwiła gromadzenie, przechowywanie, przetwarzanie i analizę danych osobowych w ogromnej skali do celów prognostycznych? Stosowane przez organy władzy publicznej algorytmy, analiza big data i sztuczna inteligencja mogą służyć upowszechnianiu i ochronie podstawowych interesów społeczeństwa z niewyobrażalną dotychczas efektywnością: począwszy od ochrony zdrowia publicznego, przez zrównoważoną ochronę środowiska, aż po zwalczanie terroryzmu i zapobieganie przestępczości, a zwłaszcza poważnej przestępczości. Jednocześnie niezróżnicowane gromadzenie danych osobowych i wykorzystywanie technologii cyfrowych przez władze publiczne może prowadzić do powstania cyfrowego panoptykonu, to znaczy władzy publicznej, która widzi każdego, sama pozostając niewidoczna. Wszechwiedza władzy, zdolnej kontrolować i przewidywać zachowania każdej osoby i na tej podstawie podejmować działania, może prowadzić do paradoksalnego rezultatu, przedstawionego przez Stevena Spielberga w filmie Minority Report (Raport mniejszości), polegającego na prewencyjnym pozbawieniu wolności sprawcy przestępstwa, którego ten jeszcze nie popełnił. Jak wiadomo, w niektórych państwach społeczeństwo ma pierwszeństwo przed jednostką, a wykorzystywanie danych osobowych pozwala zgodnie z prawem na sprawowanie skutecznego nadzoru masowego, służącego ochronie interesów publicznych uznanych w tych państwach za podstawowe. Natomiast konstytucjonalizm europejski – krajowy i ponadnarodowy – w którym centralne miejsce zajmuje jednostka i jej swobody, stanowi istotne zabezpieczenie przed realizacją koncepcji społeczeństwa poddanego masowemu nadzorowi, przede wszystkim dzięki uznaniu praw podstawowych do ochrony życia prywatnego i ochrony danych osobowych. Na ile jednak zabezpieczenie to można ustanowić bez poważnego osłabienia niektórych podstawowych interesów społeczeństwa, takich jak wymienione wcześniej tytułem przykładu, które również mogą mieć konstytucyjne korzenie? Zagadnienie to leży u sedna pytania o relację między jednostką a zbiorowością w społeczeństwie cyfrowym. Jest to pytanie, które z jednej strony wymaga znalezienia i urzeczywistnienia delikatnej równowagi między interesami ogółu a prawami jednostek, obierając za punkt wyjścia bezwzględne znaczenie, jakie prawa te mają w europejskim dziedzictwie konstytucyjnym, a z drugiej strony wiąże się z koniecznością ustanowienia gwarancji chroniących przed nadużyciami. Również tutaj mamy do czynienia ze współczesną wersją klasycznego problemu konstytucjonalizmu, ponieważ, jak stwierdza w sposób lapidarny The Federalist, ludzie nie są aniołami i dlatego niezbędne są mechanizmy prawne służące ograniczeniu i kontroli władzy publicznej.

3. Te właśnie pytania o charakterze ogólnym stanowią kontekst niniejszej opinii, która siłą rzeczy ogranicza się do wykładni prawa Unii w świetle wcześniejszego orzecznictwa Trybunału, za pomocą sprawdzonych technik, wśród których znajduje się wykładnia zgodna. Do techniki tej będę często sięgał w niniejszej opinii, gdy będzie to możliwe z prawnego punktu widzenia, w celu znalezienia niezbędnej z konstytucyjnego punktu widzenia równowagi pomiędzy celami publicznymi, na których opiera się system przekazywania, gromadzenia i przetwarzania danych dotyczących przelotu pasażera (zwanych dalej „danymi PNR”), a prawami zapisanymi w art. 7 i 8 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).

II. Ramy prawne

A. Prawo Unii

1. Karta

4. Zgodnie z art. 7 karty: „[k]ażdy ma prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się”.

5. Zgodnie z brzmieniem art. 8 karty: „1. Każdy ma prawo do ochrony danych osobowych, które go dotyczą. 2. Dane te muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą. Każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania. 3. Przestrzeganie tych zasad podlega kontroli niezależnego organu”.

6. Zgodnie z art. 52 ust. 1 karty: „[w]szelkie ograniczenia w korzystaniu z praw i wolności uznanych w niniejszej [k]arcie muszą być przewidziane ustawą i szanować istotę tych praw i wolności. Z zastrzeżeniem zasady proporcjonalności, ograniczenia mogą być wprowadzone wyłącznie wtedy, gdy są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób”.

2. RODO

7. Artykuł 2 ust. 2 lit. d) RODO wyłącza z zakresu stosowania tego rozporządzenia przetwarzanie danych osobowych prowadzone „przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”.

8. Zgodnie z art. 23 ust. 1 lit. d) RODO: „Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym: […] d) zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu lub ściganiu czynów zabronionych lub wykonywaniu kar, w tym ochronie przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom”.

3. Dyrektywa PNR

9. Poniżej przedstawię jedynie krótki przegląd funkcjonowania systemu ustanowionego dyrektywą PNR. Bardziej szczegółowe informacje na temat treści przepisów tej dyrektywy, mających znaczenie dla odpowiedzi na pytania prejudycjalne, przedstawię w toku analizy prawnej.

10. Zgodnie z art. 1 dyrektywy PNR, przyjętej na podstawie art. 82 ust. 1 lit. d) TFUE i art. 87 ust. 2 lit. a) TFUE, ustanawia ona na szczeblu Unii system przekazywania przez przewoźników lotniczych danych PNR lotów pozaunijnych ( 6 ), jak również gromadzenia, przetwarzania i przechowywania tych danych przez właściwe organy państw członkowskich w celu zwalczania terroryzmu i poważnej przestępczości.

11. Zgodnie z art. 3 pkt 5 tej dyrektywy „dane dotyczące przelotu pasażera” lub „dane PNR” oznaczają „zbiór danych o podróży każdego pasażera, który zawiera informacje niezbędne, aby umożliwić przetwarzanie i weryfikowanie rezerwacji przez przewoźników lotniczych obsługujących rezerwację i lot w odniesieniu do każdego przelotu zarezerwowanego przez jakąkolwiek osobę lub w jej imieniu, bez względu na to, czy zbiór ten znajduje się w systemach rezerwacji, systemach odpraw pasażerskich lub równorzędnych systemach pełniących te same funkcje”.

12. Załącznik I do dyrektywy PNR (zwany dalej „załącznikiem I”) wymienia dane dotyczące przelotu pasażera gromadzone przez przewoźników lotniczych, które są przekazywane w rozumieniu art. 8 tej dyrektywy i na zasadach określonych w tym artykule.

13. Załącznik II do dyrektywy PNR (zwany dalej „załącznikiem II”) zawiera wykaz przestępstw, które stanowią „poważną przestępczość” w rozumieniu art. 3 pkt 9 tej dyrektywy.

14. Artykuł 2 dyrektywy PNR przewiduje możliwość podjęcia decyzji przez państwa członkowskie o stosowaniu tej dyrektywy również do „lotów wewnątrzunijnych” ( 7 ) lub tylko do wybranych lotów wewnątrzunijnych, uznanych za „niezbędne” do realizacji celów tej dyrektywy.

15. Zgodnie z brzmieniem art. 4 ust. 1 dyrektywy PNR „[k]ażde państwo członkowskie ustanawia lub wyznacza organ właściwy do zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie lub ich ścigania albo dział takiego organu do pełnienia roli jednostki do spraw informacji o pasażerach (zwanej dalej »JIP«)”. Zgodnie z ust. 2 lit. a) rzeczonego art. 4 do zadań JIP należy między innymi zbieranie od przewoźników lotniczych danych PNR, ich przechowywanie i przetwarzanie, a także przekazywanie tych danych lub wyników ich przetwarzania właściwym organom, o których mowa w art. 7 dyrektywy PNR. Zgodnie z ust. 2 rzeczonego art. 7 organy te „są organami właściwymi do zapobiegania przestępstwom terrorystycznym lub poważnym przestępstwom, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania” ( 8 ).

16. Zgodnie z brzmieniem art. 6 ust. 1 zdanie drugie dyrektywy PNR, „jeżeli wśród danych PNR przekazanych przez przewoźników lotniczych znajdują się dane inne niż wymienione w załączniku I, JIP usuwa takie dane w sposób trwały niezwłocznie po ich otrzymaniu”. Ustęp 2 tego artykułu stanowi, co następuje: „2. JIP przetwarza dane PNR wyłącznie w następujących celach: a) dokonania sprawdzenia pasażerów przed ich planowanym przylotem do lub odlotem z państwa członkowskiego w celu identyfikacji osób, które wymagają dalszego sprawdzenia przez właściwe organy, o których mowa w art. 7, oraz – w stosownych przypadkach – przez Europol zgodnie z art. 10, ze względu na możliwość udziału takich osób w przestępstwach terrorystycznych lub w poważnej przestępczości; b) odpowiadania, na podstawie oceny każdego indywidualnego przypadku, na należycie uzasadniony i oparty na wystarczających podstawach wniosek właściwych organów o przekazanie i przetwarzanie danych PNR w określonych przypadkach w celach zapobiegania przestępstwom terrorystycznym lub poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania, oraz o przekazanie właściwym organom lub – w stosownych przypadkach – Europolowi wyników takiego przetwarzania; oraz c) analizowania danych PNR do celów aktualizacji lub tworzenia nowych kryteriów stosowanych przy sprawdzeniach dokonywanych na podstawie ust. 3 lit. b) w celu identyfikacji wszystkich osób, które mogą brać udział w przestępstwach terrorystycznych lub w poważnej przestępczości”.

17. Artykuł 12 dyrektywy PNR zawiera przepisy dotyczące przechowywania danych PNR.

18. Artykuł 5 dyrektywy PNR przewiduje, że każda JIP powołuje inspektora ochrony danych, który odpowiada za monitorowanie przetwarzania danych PNR i stosowanie odpowiednich gwarancji. Ponadto każde państwo członkowskie jest zobowiązane, zgodnie z art. 15 tej dyrektywy, do powierzenia krajowemu organowi nadzorczemu, o którym mowa w art. 25 decyzji ramowej 2008/977/WSiSW ( 9 ), zastąpionej dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (zwaną dalej „dyrektywą policyjną”) ( 10 ), nadzoru nad stosowaniem na jego terytorium przepisów przyjętych na podstawie tej dyrektywy. Organ ów, który wykonuje swoje zadania w celu ochrony praw podstawowych w związku z przetwarzaniem danych osobowych ( 11 ), jest odpowiedzialny w szczególności, po pierwsze, za rozpatrywanie skarg złożonych przez osoby, których dane dotyczą, badanie danej sprawy oraz, w rozsądnym terminie, informowanie osób, których dane dotyczą, o postępach i wyniku rozpatrzenia ich skarg, a po drugie, za sprawdzanie zgodności z prawem przetwarzania danych, prowadzenie postępowań, inspekcji i audytów zgodnie z prawem krajowym, z własnej inicjatywy lub na podstawie skargi ( 12 ).

4. Inne istotne akty prawa Unii

19. Ramy prawne niniejszej sprawy uzupełniają dyrektywa API i dyrektywa policyjna. W trosce o czytelność niniejszej opinii treść odpowiednich przepisów tych aktów zostanie przedstawiona w zakresie, w jakim będzie to konieczne przy badaniu pytań, które ich dotyczą, lub w sposób bardziej ogólny dla potrzeb analizy prawnej.

B. Prawo belgijskie

20. Zgodnie z art. 22 konstytucji belgijskiej „[k]ażdy człowiek ma prawo do poszanowania jego życia prywatnego i rodzinnego, z wyjątkiem przypadków i warunków określonych w ustawie”.

21. Ustawa PNR, zgodnie z jej art. 2, dokonuje transpozycji dyrektywy API i dyrektywy PNR, a także częściowo dyrektywy 2010/65/UE ( 13 ).

22. Ustawa PNR zgodnie z jej art. 3 § 1 „określa obowiązki przewoźników i operatorów turystycznych związane z przekazywaniem danych pasażerów udających się na terytorium kraju, przybywającym z niego lub przez nie przejeżdżającym”. Zgodnie z art. 4 pkt 1 i 2 tej ustawy „przewoźnik” oznacza „każdą osobę fizyczną lub prawną, która zawodowo zajmuje się transportem osób drogą lotniczą, morską, kolejową lub lądową”, a „operator turystyczny” to „organizator turystyczny lub pośrednik turystyczny w rozumieniu ustawy z dnia 16 lutego 1994 r. regulującej umowę o organizację podróży oraz umowę pośrednictwa w organizacji podróży”.

23. Artykuł 8 ustawy PNR stanowi: „§ 1. Dane pasażerów są przetwarzane w celu: 1) poszukiwania i ścigania, w tym wykonywania kar lub środków ograniczenia wolności dotyczących przestępstw, o których mowa w art. 90b § 2 […] pkt 7, […] 8, […] 11, […] 14, […] 17, 18, 19 i [art. 90] § 3 Code d’Instruction criminelle (kodeksu postępowania karnego); 2) poszukiwania i ścigania, w tym wykonywania kar lub środków ograniczenia wolności, dotyczących przestępstw, o których mowa w art. 196 w odniesieniu do przestępstw fałszowania dokumentów urzędowych i publicznych, art. 198, 199, 199a, 207, 213, 375 i 505 Code pénal (kodeksu karnego); 3) zapobiegania poważnym zakłóceniom bezpieczeństwa publicznego w ramach radykalizacji postaw prowadzącej do aktów przemocy poprzez monitorowanie zjawisk i ugrupowań zgodnie z art. 44/5 § 1 pkt 2) i 3) oraz § 2 loi du 5 août 1992 sur la fonction de police (ustawy z dnia 5 sierpnia 1992 r. o policji); 4) monitorowania działalności, o której mowa w art. 7 pkt 1) i 3) oraz art. 11 § 1 pkt 1)–3) i 5) loi du 30 novembre 1998 organique des services de renseignement et de sécurité (ustawy organicznej z dnia 30 listopada 1998 r. o służbie wywiadowczej i bezpieczeństwa) ( 14 ); 5) poszukiwania i ścigania przestępstw, o których mowa w art. 220 § 2 loi générale sur les douanes et accises (ogólnej ustawy o cłach i podatku akcyzowym) z dnia 18 lipca 1977 r. i art. 45 akapit trzeci loi du 22 décembre 2009 relative au régime général d’accise (ustawy z dnia 22 grudnia 2009 r. w sprawie ogólnych zasad dotyczących podatku akcyzowego) […]. § 2. Na warunkach przewidzianych w rozdziale 11 dane pasażerów są również przetwarzane w celu ulepszenia kontroli osób na granicach zewnętrznych oraz w celu zwalczania nielegalnej imigracji”.

24. Artykuł 9 ustawy PNR zawiera wykaz danych podlegających przekazywaniu. Dane te odpowiadają danym wymienionym w załączniku I.

25. Artykuł 18 ustawy PNR przewiduje, że „dane pasażerów są przechowywane w bazie danych pasażerów przez okres co najwyżej pięciu lat od chwili ich zarejestrowania. Po upływie tego okresu dane te są usuwane”.

26. Artykuł 19 tej ustawy przewiduje, że „[z] chwilą upływu okresu sześciu miesięcy od dnia rejestracji danych pasażerów w bazie danych pasażerów wszystkie dane dotyczące przelotów pasażerów są depersonalizowane poprzez maskowanie informacji”.

27. Artykuł 24 ustawy PNR przewiduje: „§ 1. Dane pasażerów są przetwarzane w celu dokonania wstępnej oceny pasażerów przed ich przyjazdem, ich odjazdem lub ich planowanym przejazdem przez terytorium kraju w celu ustalenia, które osoby powinny podlegać bardziej szczegółowemu badaniu. § 2. W ramach celów, o których mowa w art. 8 § 1 pkt 1, 4 i 5, lub dotyczących zagrożeń, o których mowa w art. 8 pkt 1 lit. a), b), c), d), f), g) i art. 11 § 2 ustawy organicznej z dnia 30 listopada 1998 r. o służbie wywiadowczej i bezpieczeństwa, wstępna ocena pasażerów opiera się na skojarzeniu danych w wyniku skorelowania danych pasażerów z: 1) bankami danych zarządzanymi przez właściwe służby lub które są w ich bezpośredniej dyspozycji, lub do których mają dostęp w ramach swoich zadań, lub z wykazami osób opracowanymi przez właściwe służby w ramach ich zadań; 2) kryteriami oceny, o których mowa w art. 25, ustalonymi wcześniej przez JIP. § 3. W ramach celów, o których mowa w art. 8 § 1 pkt 3, wstępna ocena pasażerów opiera się na skojarzeniach danych wynikających ze skorelowania danych pasażerów z bankami danych, o których mowa w § 2 pkt 1. […]”.

28. Artykuł 25 ustawy PNR stanowi powtórzenie treści art. 6 ust. 4 dyrektywy PNR.

29. Rozdział 11 ustawy PNR zawiera przepisy regulujące przetwarzanie danych pasażerów z zamiarem ulepszenia kontroli na granicach zewnętrznych i zwalczania nielegalnej imigracji. Przepisy te stanowią transpozycję do prawa belgijskiego dyrektywy API.

30. Artykuł 44 ustawy PNR przewiduje, że JIP wyznacza inspektora ochrony danych w ramach Service Public Fédéral Intérieur (ministerstwa spraw wewnętrznych). Nadzór nad stosowaniem przepisów ustawy PNR prowadzi Commission de la protection de la vie privée (komisja do spraw ochrony prywatności).

31. Artykuł 51 ustawy PNR dokonuje zmiany ustawy organicznej z dnia 30 listopada 1998 r. o służbach wywiadowczych i bezpieczeństwa poprzez dodanie art. 16/3, który ma następujące brzmienie: „§ 1. Służby wywiadowcze i bezpieczeństwa mogą, w celu wykonywania swoich zadań, podjąć należycie uzasadnioną decyzję o uzyskaniu dostępu do danych pasażerów, o których mowa w art. 7 ustawy [PNR]. § 2. Decyzję, o której mowa w § 1, podejmuje szef służby, po czym informuje się o niej na piśmie jednostkę do spraw informacji o pasażerach, o której mowa w rozdziale 7 ww. ustawy. Decyzję wraz z uzasadnieniem doręcza się stałemu Komitetowi R. Stały Komitet R zabrania służbom wywiadowczym i bezpieczeństwa wykorzystywania zebranych danych w warunkach, które nie spełniają wymogów prawnych. Decyzja może dotyczyć zbioru danych dotyczących konkretnego dochodzenia wywiadowczego. W takim przypadku raz w miesiącu przekazuje się stałemu Komitetowi R wykaz przypadków zapoznania się z danymi pasażerów”.

C. Postępowanie główne, pytania prejudycjalne oraz postępowanie przed Trybunałem

32. Pismem skierowanym do Cour constitutionnelle (trybunału konstytucyjnego) w dniu 24 lipca 2017 r. LDH wniósł skargę o stwierdzenie nieważności ustawy PNR w całości lub w części. Na poparcie skargi organizacja ta podniosła dwa zarzuty.

33. W zarzucie pierwszym, podniesionym tytułem głównym i dotyczącym naruszenia art. 22 konstytucji belgijskiej w związku z art. 23 RODO, z art. 7, 8 i art. 52 ust. 1 karty oraz w związku z art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie dnia 4 listopada 1950 r. (zwanej dalej „EKPC”), LDH wskazuje, że zaskarżona ustawa narusza zasadę proporcjonalności z uwagi na zakres jej stosowania i kategorie objętych nią danych, określone w niej sposoby przetwarzania danych, a także jej cele oraz czas przechowywania danych. W szczególności twierdzi, że definicja danych PNR jest zbyt szeroka i może doprowadzić do ujawnienia danych szczególnie chronionych, a zawarta w tej ustawie definicja pojęcia „pasażera” pozwala na systematyczne nieukierunkowane przetwarzanie danych wszystkich pasażerów, których te dane dotyczą. LDH uważa ponadto, że ustawa PNR nie określa w sposób wystarczająco jasny charakteru i szczegółowych zasad metody pre-screeningu banków danych pasażerów ani kryteriów służących jako „wskaźniki zagrożenia”. Wreszcie, organizacja ta jest zdania, że ustawa PNR wykracza poza granice tego, co absolutnie konieczne, ponieważ realizuje cele przetwarzania danych PNR szersze niż przewidziane w dyrektywie PNR, a pięcioletni okres przechowywania danych PNR jest nieproporcjonalny. W zarzucie drugim, podniesionym posiłkowo i dotyczącym naruszenia art. 22 konstytucji belgijskiej w związku z art. 3 ust. 2 TUE i art. 45 karty, LDH odnosi się do przepisów rozdziału 11 ustawy PNR, które dokonują transpozycji dyrektywy API.

34. Rada ministrów Królestwa Belgii, jako interwenient przed Cour constitutionnelle (trybunałem konstytucyjnym), sprzeciwia się skardze LDH, kwestionując zarówno dopuszczalność, jak i zasadność obu zarzutów podniesionych na jej poparcie.

35. Cour constitutionnelle (trybunał konstytucyjny) przedstawia natomiast następujące uwagi.

36. W odniesieniu do zarzutu pierwszego sąd odsyłający zastanawia się przede wszystkim nad tym, czy definicja danych PNR zapisana w załączniku I jest wystarczająco jasna i precyzyjna. Opis niektórych z tych danych ma jego zdaniem charakter przykładowy, a nie wyczerpujący. Następnie sąd ów zauważa, że definicja pojęcia „pasażera” zawarta w art. 3 pkt 4 dyrektywy PNR skutkuje gromadzeniem, przekazywaniem, przetwarzaniem i przechowywaniem danych PNR każdej osoby przewiezionej lub która ma być przewieziona i została wpisana na listę pasażerów, niezależnie od tego, czy istnieją poważne powody ku temu, by sądzić, że osoba, której dane dotyczą, popełniła przestępstwo, zamierza popełnić przestępstwo czy też została skazana za przestępstwo. W odniesieniu do przetwarzania danych PNR wskazuje on, że dane te są w sposób systematyczny poddawane wstępnej ocenie obejmującej wzajemne porównanie danych PNR wszystkich pasażerów z bankami danych lub z wcześniej ustalonymi kryteriami, w celu znalezienia skojarzeń. Niemniej jednak Cour constitutionnelle (trybunał konstytucyjny) wyjaśnia, że chociaż kryteria te powinny być szczegółowe, wiarygodne i niedyskryminacyjne, to bardziej szczegółowe zdefiniowanie wcześniej ustalonych kryteriów, służących określeniu profili ryzyka, wydaje mu się technicznie niemożliwe. W odniesieniu do przewidzianego w art. 12 ust. 1 dyrektywy PNR okresu przechowywania danych PNR, zgodnie z którym dane te mogą być zatrzymywane przez okres pięciu lat, sąd odsyłający uważa, że dane pasażerów podlegają przechowaniu bez względu na to, czy w ramach oceny wstępnej stwierdzono, że odnośni pasażerowie mogą stanowić zagrożenie dla bezpieczeństwa publicznego, czy też nie. W tych okolicznościach sąd odsyłający zastanawia się nad kwestią tego, czy w świetle orzecznictwa wynikającego w szczególności z wyroku z dnia 21 grudnia 2016 r., Tele2 Sverige i Watson i in. ( 15 ), oraz opinii 1/15 (umowa UE–Kanada o danych PNR) z dnia 26 lipca 2017 r. ( 16 ), można uznać, że ustanowiony w dyrektywie PNR system gromadzenia, przekazywania, przetwarzania i przechowywania danych PNR nie wykracza poza granice tego, co absolutnie konieczne. W tym kontekście sąd ów zastanawia się również nad kwestią tego, czy dyrektywa PNR stoi na przeszkodzie uregulowaniu krajowemu, takiemu jak wynikające z art. 8 ust. 1 pkt 4 ustawy PNR, które zezwala na przetwarzanie danych PNR w celu innym niż cele przewidziane w dyrektywie PNR. Wreszcie sąd ten pochyla się nad zagadnieniem, czy można uznać JIP za „inny organ krajowy”, który na podstawie art. 12 ust. 3 lit. b) ppkt (ii) dyrektywy PNR mógłby udzielić zgody na ujawnienie pełnych danych PNR po upływie sześciu miesięcy. W odniesieniu do drugiego zarzutu sąd odsyłający wskazuje, że jest on skierowany przeciwko art. 3 ust. 1, art. 8 ust. 2 oraz art. 28–31 ustawy PNR, regulującym gromadzenie i przetwarzanie danych pasażerów w celu zwalczania nielegalnej imigracji i ulepszenia kontroli granicznych. Przypomniawszy, że zgodnie z pierwszym z tych przepisów rzeczona ustawa obejmuje loty kończące się na terytorium kraju, rozpoczynające się na nim oraz obejmujące tranzyt przez to terytorium, sąd ten uściśla, że ustawodawca krajowy włączył do zakresu stosowania tej ustawy loty „wewnątrzunijne”, aby uzyskać „bardziej kompleksowy obraz przejazdów pasażerów stanowiących potencjalne zagrożenie dla bezpieczeństwa [na poziomie Unii] i krajowego”, opierając się na możliwości przewidzianej w art. 2 dyrektywy PNR w związku z jej motywem 10.

37. W tym kontekście Cour constitutionnelle (trybunał konstytucyjny) zawiesił postępowanie i zwrócił się do Trybunału z następującymi pytaniami prejudycjalnymi: „1) Czy art. 23 [RODO] w związku z art. 2 ust. 2 lit. d) tego rozporządzenia należy interpretować w ten sposób, że ma on zastosowanie do przepisów krajowych takich jak ustawa [PNR], która dokonuje transpozycji dyrektywy [PNR], dyrektywy [API] oraz dyrektywy 2010/65? 2) Czy w zakresie, w jakim wymienione w załączniku I […] dane są bardzo obszerne – w szczególności dane, o których mowa w pkt 18 załącznika I do dyrektywy [PNR], które wykraczają poza dane określone w art. 3 ust. 2 dyrektywy [API] – oraz w zakresie, w jakim mogą one, rozpatrywane łącznie, ujawniać dane szczególnie chronione, a tym samym naruszać granice tego, co »absolutnie konieczne«, załącznik ten jest zgodny z art. 7, 8 i art. 52 ust. 1 [karty]? 3) Czy w zakresie, w jakim ze względu na wyrażenia »w szczególności« i »w tym«, zawarte w pkt 12 i 18 załącznika I […], dane, o których w nich mowa, zostały wymienione tytułem przykładu, a nie w sposób wyczerpujący, w związku z czym nie jest spełniony wymóg precyzyjności i jasności przepisów pociągających za sobą ingerencję w prawo do poszanowania życia prywatnego oraz w prawo do ochrony danych osobowych, wspomniane punkty tego załącznika są zgodne z art. 7, 8 i art. 52 ust. 1 [karty]? 4) Czy w zakresie, w jakim ustanowiony w art. 3 pkt 4 dyrektywy [PNR] i załączniku I […] system uogólnionego zbierania, przekazywania i przetwarzania danych pasażerów dotyczy każdej osoby, która wykorzystuje dany środek transportu, niezależnie od jakiegokolwiek obiektywnego czynnika pozwalającego na uznanie, że osoba ta może stanowić zagrożenie dla bezpieczeństwa publicznego, przepisy te są zgodne z art. 7, 8 i art. 52 ust. 1 [karty]? 5) Czy art. 6 dyrektywy [PNR] w związku z art. 7, 8 i art. 52 ust. 1 [karty] należy interpretować w ten sposób, że stoi on na przeszkodzie ustawodawstwu krajowemu takiemu jak zaskarżona ustawa, która dopuszcza, jako cel przetwarzania danych PNR, monitorowanie działalności wywiadowczej [monitorowanie działalności będącej przedmiotem zainteresowania] służb wywiadowczych i bezpieczeństwa, a tym samym uwzględnia ten cel w ramach celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania? 6) Czy art. 6 dyrektywy [PNR] jest zgodny z art. 7, 8 i art. 52 ust. 1 [karty] w zakresie, w jakim wstępna ocena danych pasażerów, którą on reguluje, poprzez korelację z bazami danych i określonymi wcześniej kryteriami, jest stosowana w sposób systematyczny i uogólniony, niezależnie od jakiegokolwiek obiektywnego czynnika pozwalającego na uznanie, że pasażerowie ci mogą stanowić zagrożenie dla bezpieczeństwa publicznego? 7) Czy pojęcie »innego właściwego organu krajowego«, o którym mowa w art. 12 ust. 3 dyrektywy [PNR], można interpretować w ten sposób, że dotyczy ono JIP utworzonej przez ustawę [PNR], która może zatem zezwolić na dostęp do danych »PNR« po upływie sześciomiesięcznego terminu w ramach wyszukiwań ad hoc? 8) Czy art. 12 dyrektywy [PNR] w związku z art. 7, 8 i art. 52 ust. 1 [karty] należy interpretować w ten sposób, że stoi on na przeszkodzie ustawodawstwu krajowemu takiemu jak zaskarżona ustawa, która przewiduje ogólny termin przechowywania danych wynoszący pięć lat, nie dokonując rozróżnienia co do tego, czy w ramach wstępnej oceny okazuje się, że dani pasażerowie mogą lub nie mogą stanowić zagrożenia dla bezpieczeństwa publicznego? 9 a) Czy dyrektywa [API] jest zgodna z art. 3 ust. 2 [TUE] i art. 45 [karty] w zakresie, w jakim ustanowione w niej obowiązki mają zastosowanie do lotów wewnątrz [Unii]? b) Czy dyrektywę [API] w związku z art. 3 ust. 2 [TUE] i art. 45 [karty] należy interpretować w ten sposób, że stoi ona na przeszkodzie ustawodawstwu krajowemu takiemu jak zaskarżona ustawa, która w celu zwalczania nielegalnej imigracji i ulepszenia kontroli granicznych zezwala na system gromadzenia i przetwarzania danych pasażerów »udających się do, przybywających z i przejeżdżających przez terytorium kraju«, co może powodować w sposób pośredni przywrócenie kontroli na granicach wewnętrznych? 10) Jeżeli na podstawie odpowiedzi udzielonych na poprzednie pytania prejudycjalne Cour constitutionnelle [trybunał konstytucyjny] miałby dojść do wniosku, że zaskarżona ustawa, transponująca w szczególności dyrektywę [PNR], narusza jeden lub więcej obowiązków wynikających z przepisów wskazanych w tych pytaniach, to czy mógłby on tymczasowo utrzymać w mocy skutki ustawy [PNR], aby uniknąć niepewności prawa i zapewnić możliwość dalszego wykorzystywania uprzednio zgromadzonych i przechowywanych danych do celów określonych w ustawie?”.

38. Uwagi na piśmie na podstawie art. 23 statutu Trybunału Sprawiedliwości Unii Europejskiej złożyły LDH, rządy belgijski, czeski, duński, niemiecki, estoński, hiszpański, francuski, irlandzki, cypryjski, łotewski, niderlandzki, austriacki, polski, fiński oraz Parlament Europejski, Rada Unii Europejskiej i Komisja Europejska. Zgodnie z art. 24 statutu Trybunału Sprawiedliwości Unii Europejskiej Komisję Europejskiego Inspektora Ochrony Danych (EIOD) i Agencję Praw Podstawowych Unii Europejskiej (FRA) wezwano do udzielenia odpowiedzi na piśmie na pytania zadane przez Trybunał. Rozprawa odbyła się w dniu 13 lipca 2021 r.

III. Analiza

A. W przedmiocie pierwszego pytania prejudycjalnego

39. W pierwszym pytaniu prejudycjalnym sąd odsyłający zwraca się w istocie do Trybunału o wyjaśnienie, czy art. 2 ust. 2 lit. d) RODO należy interpretować w ten sposób, że rozporządzenie to, a w szczególności jego art. 23 ust. 1, zgodnie z którym prawo Unii lub prawo państwa członkowskiego może aktem prawnym, z powodów wymienionych wyczerpująco, ograniczyć zakres obowiązków i praw przewidzianych w tym rozporządzeniu, ma zastosowanie do przetwarzania danych na podstawie ustawodawstwa krajowego, takiego jak ustawa PNR, transponującego do prawa krajowego dyrektywę PNR, a także dyrektywę API i dyrektywę 2010/65.

40. Artykuł 2 ust. 2 RODO przewiduje wyjątki od zakresu stosowania tego rozporządzenia, określonego w sposób bardzo szeroki ( 17 ) w jego art. 2 ust. 1 ( 18 ). Jako odstępstwa od stosowania przepisów regulujących przetwarzanie danych osobowych mogące naruszyć podstawowe wolności wyjątki te należy interpretować w sposób ścisły ( 19 ).

41. Artykuł 2 ust. 2 lit. d) RODO zawiera między innymi klauzulę wykluczającą, zgodnie z którą rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych dokonywanego „przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”. Rzeczona klauzula wykluczająca opiera się na podwójnym kryterium subiektywnym i obiektywnym. Z zakresu stosowania tego rozporządzenia wyłączone jest zatem przetwarzanie danych dokonywane, po pierwsze, przez „właściwe organy”, a po drugie, do celów wymienionych w tym przepisie. Zatem różne rodzaje przetwarzania danych objęte ustawą PNR należy ocenić w świetle tego podwójnego kryterium.

42. Co się tyczy w pierwszej kolejności przetwarzania danych przez przewoźników (lotniczych, kolejowych, lądowych i morskich) na rzecz JIP lub przez operatorów turystycznych w celu świadczenia usług lub działalności gospodarczej, o ile jest ono objęte tą ustawą, o tyle nadal podlega RODO, ponieważ ani element subiektywny, ani element obiektywny kryterium wykluczenia zapisanego w art. 2 ust. 2 lit. d) tego rozporządzenia nie jest spełniony.

43. Co się tyczy w drugiej kolejności przekazywania przez przewoźników lub operatorów turystycznych danych PNR do JIP, które samo w sobie stanowi „przetwarzanie” w rozumieniu art. 4 pkt 2 RODO ( 20 ), jego przynależność do zakresu stosowania tego rozporządzenia jest mniej oczywista.

44. Po pierwsze bowiem, przekazania tego nie dokonuje „właściwy organ” w rozumieniu art. 3 pkt 7 dyrektywy policyjnej, do której należy się odnieść przez analogię wobec braku definicji tego pojęcia w RODO ( 21 ). Jednostki gospodarczej, takiej jak przewoźnik lub biuro podróży, na której ciąży wyłącznie prawny obowiązek przekazywania danych osobowych i której nie powierzono żadnych uprawnień publicznych ( 22 ), nie można uznać za organ lub podmiot w rozumieniu lit. b) rzeczonego art. 3 pkt 7 ( 23 ).

45. Po drugie, przekazywanie danych PNR przez przewoźników i operatorów turystycznych odbywa się w wykonaniu obowiązku nałożonego ustawą, aby umożliwić realizację celów wymienionych w art. 2 ust. 2 lit. d) RODO.

46. Jednakże moim zdaniem z brzmienia tego przepisu jasno wynika, że poza zakresem stosowania RODO znajdują się jedynie te operacje przetwarzania, które odpowiadają zarówno elementowi subiektywnemu, jak i elementowi obiektywnemu ustanowionego w nim kryterium wykluczenia. Przekazywanie danych PNR do JIP, wymagane zgodnie z ustawą PNR od przewoźników lotniczych i operatorów turystycznych, jest zatem objęte zakresem tego rozporządzenia.

47. Jeżeli chodzi o przepisy ustawy PNR transponującej dyrektywę PNR, wniosek ten znajduje potwierdzenie w art. 21 ust. 2 tej dyrektywy, który przewiduje, że rzeczona dyrektywa „nie ma wpływu na możliwość stosowania dyrektywy 95/46/WE ( 24 ) do przetwarzania danych osobowych przez przewoźników lotniczych”. Moim zdaniem wykładnię tego przepisu, proponowaną między innymi przez rząd francuski, zgodnie z którą przepis ów przewiduje jedynie, że przewoźnicy nadal podlegają obowiązkom ustanowionym w RODO w zakresie operacji przetwarzania danych, które nie są przewidziane w dyrektywie PNR, należy oddalić. Należy bowiem wskazać, mając na uwadze brzmienie tej „klauzuli braku wpływu”, że jej zakres jest szeroki, przy czym zdefiniowano go wyłącznie poprzez odniesienie do podmiotu przetwarzającego dane, nie ma zaś żadnej wzmianki ani o celu przetwarzania, ani o kontekście, w jakich ma ono miejsce – czy to w ramach działalności gospodarczej przewoźnika lotniczego, czy w wykonaniu obowiązku prawnego. Pragnę ponadto zauważyć, że klauzulę o takiej samej treści zawarto w art. 13 ust. 3 dyrektywy PNR, który odnosi się w szczególności do spoczywających na przewoźnikach lotniczych na podstawie RODO obowiązków „podjęcia odpowiednich środków technicznych i organizacyjnych w celu ochrony bezpieczeństwa i poufności danych osobowych”. Przepis ten należy do unormowań regulujących ochronę danych osobowych przetwarzanych na podstawie dyrektywy PNR, a poprzedza go art. 13 ust. 1 tej dyrektywy, który w sposób ogólny poddaje przetwarzanie danych na podstawie tejże dyrektywy wymienionym w nim przepisom decyzji ramowej 2008/977. Wbrew temu, co twierdzi rząd francuski, taki układ normatywny pozwala, po pierwsze, na odczytanie ust. 3 rzeczonego art. 13 jako klauzuli przywracającej pod rządy RODO jedynie te operacje przetwarzania danych przewidziane w dyrektywie PNR, które nie są dokonywane przez „właściwe organy” w rozumieniu dyrektywy policyjnej, a po drugie, na interpretowanie odniesienia do przestrzegania obowiązków nałożonych przez to rozporządzenie w zakresie bezpieczeństwa i poufności danych jako przypomnienia gwarancji, którym musi obowiązkowo podlegać przekazywanie przez przewoźników do JIP danych PNR.

48. Wniosku przedstawionego w pkt 46 niniejszej opinii nie podważają motyw 19 RODO ani motyw 11 dyrektywy policyjnej, do którego odnoszą się między innymi rządy niemiecki, francuski i irlandzki na poparcie tezy, że dyrektywa PNR ma charakter lex specialis. W tym względzie prawdą jest, że w odniesieniu do przetwarzania danych osobowych, którego dotyczy, dyrektywa ta ustanawia ramy ochrony tych danych niezależne od RODO. Jednakże te szczególne ramy mają zastosowanie wyłącznie do przetwarzania danych PNR przez „właściwe organy” w rozumieniu art. 3 pkt 7 dyrektywy policyjnej, do których należą w szczególności JIP, podczas gdy przekazywanie danych PNR do JIP podlega ogólnym zasadom ustanowionym przez RODO na podstawie między innymi „klauzuli braku wpływu” przewidzianej w art. 21 ust. 2 dyrektywy PNR.

49. Na poparcie swojej tezy, zgodnie z którą RODO nie ma zastosowania do przekazywania danych PNR do JIP przez przewoźników i operatorów turystycznych, rządy belgijski, francuski, irlandzki i cypryjski odwołują się do wyroku z dnia 30 maja 2006 r., Parlament/Rada i Komisja ( 25 ), w którym Trybunał orzekł, że przekazywanie danych PNR przez wspólnotowych przewoźników lotniczym organom Stanów Zjednoczonych Ameryki w ramach umowy negocjowanej między tym państwem a Wspólnotą Europejską stanowiło przetwarzanie danych osobowych w rozumieniu art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 ( 26 ) i, co za tym idzie, nie było objęte zakresem stosowania tej dyrektywy. Dochodząc do takiego wniosku, Trybunał uwzględnił cel przekazania danych oraz fakt, że przetwarzanie to „następuje w ramach ustanowionych przez władze publiczne”, mimo że dane gromadziły i przekazywały podmioty prywatne ( 27 ).

50. W tym względzie wystarczy zauważyć, że w wyroku z dnia 6 października 2020 r., La Quadrature du Net i in. ( 28 ), Trybunał zasadniczo uznał wyrok Parlament/Rada za nienadający się do przeniesienia na grunt RODO ( 29 ).

51. Ponadto w pkt 102 wyroku La Quadrature du Net ( 30 ) Trybunał zastosował w drodze analogii rozumowanie przeprowadzone w wyrokach Tele2 Sverige i z dnia 2 października 2018 r., Ministerio Fiscal ( 31 ), i stwierdził, że „jakkolwiek w art. 2 ust. 2 lit. d) [RODO] sprecyzowano, że nie ma ono zastosowania do przetwarzania »przez właściwe organy« do celów w szczególności wykrywania i ścigania czynów zabronionych, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, to jednak z art. 23 ust. 1 lit. d) i h) tego rozporządzenia wynika, że przetwarzanie danych osobowych w tych samych celach przez osoby prywatne jest objęte zakresem stosowania tego rozporządzenia” ( 32 ).

52. Z przedstawionych wyżej powodów jestem przekonany, że wniosek, zgodnie z którym przekazywanie danych PNR przez przewoźników i operatorów turystycznych do JIP jest objęte RODO, wynika jasno już z brzmienia art. 2 ust. 2 lit. d) RODO, który odnosi się jedynie do przetwarzania przez „właściwe organy”, i nie ma potrzeby odwoływania się do klauzuli ograniczającej zawartej w art. 23 ust. 1 wspomnianego rozporządzenia ( 33 ). Niezależnie od tego jasne stanowisko Trybunału na rzecz takiego wniosku znaleźć można w stwierdzeniu zawartym w pkt 102 wyroku La Quadrature du Net.

53. Ponieważ przekazywanie danych PNR przez przewoźników i operatorów turystycznych wchodzi w zakres stosowania RODO, ustawodawstwo krajowe, takie jak ustawa PNR, które zobowiązuje rzeczone podmioty do przekazywania tych danych, stanowi „akt prawny” w rozumieniu art. 23 pkt 1 lit. d) RODO i w związku z tym musi spełniać warunki przewidziane w tym przepisie ( 34 ).

54. Co się tyczy w trzeciej kolejności przetwarzania danych PNR przez JIP i właściwe organy krajowe, stosowanie RODO, jak wynika z powyższych rozważań, zależy od tego, jakie cele są w ten sposób realizowane.

55. I tak, po pierwsze, przetwarzanie danych PNR przez JIP i przez właściwe organy krajowe do celów wymienionych w art. 8 § 1 pkt 1–3 i 5 ustawy PNR ( 35 ) jest wyłączone z zakresu stosowania RODO, ponieważ wspomniane cele, jak się wydaje, należą do celów objętych klauzulą wykluczającą zawartą w art. 2 ust. 2 lit. d) RODO. Ochrona danych osób, których przetwarzanie dotyczy, jest objęta zakresem prawa krajowego, z zastrzeżeniem stosowania dyrektywy policyjnej ( 36 ), a w ramach jej zakresu stosowania – dyrektywy PNR.

56. Po drugie, podobnie jest w przypadku przetwarzania danych PNR przez JIP oraz przez służby bezpieczeństwa i wywiadowcze w ramach monitorowania działań, o których mowa w przepisach ustawy organicznej o służbach wywiadowczych i bezpieczeństwa, wymienionych w art. 8 § 1 pkt 4 ustawy PNR, na tyle, na ile odpowiadają one celom określonym w art. 2 ust. 2 lit. d) RODO, czego ocena należy do sądu odsyłającego.

57. Rząd belgijski utrzymuje, że przetwarzanie przeprowadzane na podstawie art. 8 § 1 pkt 4 ustawy PNR jest w każdym wypadku objęte klauzulą wykluczającą zapisaną w art. 2 ust. 2 lit. a) RODO, a także klauzulą przewidzianą w art. 2 ust. 3 lit. a) dyrektywy policyjnej, ponieważ działalność służb bezpieczeństwa i wywiadowczych nie wchodzi w zakres stosowania prawa Unii.

58. W tym względzie – podkreślając jednocześnie, że do Trybunału nie zwrócono się z pytaniem dotyczącym wykładni tych przepisów – pragnę zauważyć przede wszystkim, iż Trybunał stwierdził już, że przepisy krajowe nakładające obowiązki przetwarzania na podmioty prywatne podlegają przepisom prawa Unii w dziedzinie ochrony danych osobowych, nawet jeśli dotyczą one ochrony bezpieczeństwa narodowego ( 37 ). Stąd wniosek, że przekazywanie danych PNR wymagane przez ustawę PNR od przewoźników i operatorów turystycznych podlega co do zasady RODO, nawet jeśli odbywa się do celów art. 8 § 1 pkt 4 tej ustawy.

59. Następnie pragnę zauważyć, że o ile motyw 16 RODO stanowi, iż akt ten nie ma zastosowania do „działalności dotyczącej bezpieczeństwa narodowego”, a motyw 14 dyrektywy policyjnej uściśla, że „czynności w zakresie bezpieczeństwa narodowego, czynności agencji lub jednostek zajmujących się bezpieczeństwem narodowym […] nie należy uznawać za czynności wchodzące w zakres [tej] dyrektywy”, o tyle kryteria decydujące o tym, że przetwarzanie danych osobowych przez organ, jednostkę lub agencję publiczną państwa członkowskiego albo należy do zakresu stosowania jednego lub drugiego aktu prawa Unii organizującego ochronę osób w odniesieniu do przetwarzania ich danych, albo sytuuje się poza zakresem stosowania tego prawa, oparte są na koncepcji odnoszącej się zarówno do zadań wyznaczonych danemu organowi, jednostce lub agencji, jak i do celów rzeczonego przetwarzania. I tak, Trybunał orzekł, że art. 2 ust. 2 lit. a) RODO w związku z motywem 16 tego rozporządzenia „należy uznać za mający na celu jedynie wyłączenie z zakresu stosowania tego rozporządzenia przetwarzania danych osobowych dokonywanego przez organy państwowe w ramach działalności mającej na celu ochronę bezpieczeństwa narodowego lub działalności, która może zostać zaliczona do tej samej kategorii, wobec czego sam fakt, iż dana działalność jest właściwa państwu lub organowi publicznemu, nie wystarcza, aby wyjątek ten mógł być automatycznie stosowany do takiej działalności” ( 38 ). Trybunał wyjaśnił również, że „działalność, której celem jest ochrona bezpieczeństwa narodowego, a o której mowa w art. 2 ust. 2 lit. a) RODO, obejmuje w szczególności […] działalność mającą na celu ochronę podstawowych funkcji państwa i podstawowych interesów społeczeństwa” ( 39 ). Wynika z tego, że w przypadku gdy państwo członkowskie powierza swoim służbom bezpieczeństwa i wywiadowczym zadania w dziedzinach wymienionych w art. 3 pkt 7 lit. a) dyrektywy policyjnej, przetwarzanie danych przez te służby w celu wykonywania tych zadań wchodzi w zakres stosowania tej dyrektywy, a także, w odpowiednim przypadku, dyrektywy PNR. Mówiąc bardziej ogólnie, pragnę zauważyć, że Trybunał wielokrotnie orzekał w ramach wykładni art. 4 ust. 2 TUE, który za podstawę swojej argumentacji przyjmuje między innymi rząd belgijski, że sam fakt, iż środek krajowy został przyjęty w celu ochrony bezpieczeństwa narodowego, nie może prowadzić do niemożności stosowania prawa Unii i zwalniać państw członkowskich z konieczności przestrzegania tego prawa ( 40 ), wykazując w ten sposób niechęć do automatycznego wyłączenia en bloc z zakresu stosowania prawa Unii działalności państw członkowskich związanej z ochroną bezpieczeństwa narodowego.

60. Po trzecie, zgodnie z opinią wszystkich zainteresowanych stron, które przedstawiły uwagi, z wyjątkiem rządu francuskiego, należy uznać, że przetwarzanie danych PNR przez właściwe organy belgijskie do celów określonych w art. 8 § 2 ustawy PNR, a mianowicie „ulepszenia kontroli osób na granicach zewnętrznych oraz [zwalczania] nielegalnej imigracji” ( 41 ), nie jest objęte klauzulą wykluczającą zawartą w art. 2 ust. 2 lit. d) RODO ani inną klauzulą wykluczającą przewidzianą w tym artykule, a zatem należy do zakresu stosowania tego rozporządzenia. W przeciwieństwie do tego, co twierdzi rząd francuski, rzeczonych operacji przetwarzania nie może regulować dyrektywa PNR, której art. 1 ust. 2 stanowi, że „[d]ane PNR zebrane zgodnie z niniejszą dyrektywą mogą być przetwarzane wyłącznie w celach zapobiegania przestępstwom terrorystycznym i poważnej przestępczości oraz ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania”, ani też zasadniczo dyrektywa policyjna, która zgodnie z jej art. 1 ust. 1 ma zastosowanie jedynie do operacji przetwarzania danych osobowych przez właściwe organy „do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”. Jak wynika z postanowienia odsyłającego, art. 8 § 2 ustawy PNR i rozdział 11 tej ustawy – który zawiera przepisy regulujące przetwarzanie danych PNR w celu ulepszenia kontroli granicznych oraz zwalczania nielegalnej imigracji i przewiduje w tym celu przekazywanie tych danych przez JIP między innymi służbom policyjnym odpowiedzialnym za kontrolę granic – mają na celu transpozycję do prawa belgijskiego dyrektywy API i dyrektywy 2010/65. Te dwie dyrektywy zaś w zakresie przewidzianego w nich przetwarzania nakładają na właściwe organy obowiązek przestrzegania przepisów dyrektywy 95/46 ( 42 ). Wbrew temu, co twierdzi rząd francuski, odesłanie do przepisów ochronnych tej dyrektywy należy rozumieć w ten sposób, że obejmuje ono każdą operację przetwarzania danych osobowych na podstawie dyrektywy API i dyrektywy 2010/65. Okoliczność, że dyrektywa API weszła w życie przed decyzją ramową 2008/977, nie ma w tym względzie znaczenia, ponieważ ta decyzja ramowa, jak również zastępująca ją dyrektywa policyjna dotyczą jedynie operacji przetwarzania danych osobowych, o których mowa w art. 3 ust. 1 dyrektywy API, przez właściwe organy w celu zwalczania przestępczości ( 43 ).

61. Na podstawie całości powyższych rozważań proponuję, aby na pierwsze pytanie prejudycjalne Trybunał odpowiedział, że art. 23 RODO w związku z art. 2 ust. 2 lit. d) tego rozporządzenia należy interpretować w ten sposób, że: – ma on zastosowanie do przepisów krajowych dokonujących transpozycji dyrektywy PNR w zakresie, w jakim przepisy te regulują przetwarzanie danych PNR przez przewoźników i przez inne podmioty gospodarcze, w tym przekazywanie danych PNR do JIP, przewidziane w art. 8 tej dyrektywy; – nie ma on zastosowania do przepisów krajowych dokonujących transpozycji dyrektywy PNR w zakresie, w jakim regulują one przetwarzanie danych do celów określonych w art. 1 ust. 2 tej dyrektywy przez właściwe organy krajowe, włączając w to JIP, oraz w odpowiednich przypadkach służby bezpieczeństwa i wywiadowcze zainteresowanego państwa członkowskiego; – ma on zastosowanie do przepisów krajowych dokonujących transpozycji dyrektywy API i dyrektywy 2010/65 w celu ulepszenia kontroli osób na granicach zewnętrznych oraz w celu zwalczania nielegalnej imigracji.

B. W przedmiocie pytań prejudycjalnych drugiego, trzeciego, czwartego, szóstego i ósmego

62. W pytaniach prejudycjalnych drugim, trzecim, czwartym i szóstym belgijski trybunał konstytucyjny zwraca się do Trybunału w kwestii ważności dyrektywy PNR w świetle art. 7, 8 i art. 52 ust. 1 karty. Ósme pytanie prejudycjalne, choć sformułowane jako pytanie dotyczące wykładni, również w istocie zmierza do uzyskania od Trybunału orzeczenia w przedmiocie ważności tej dyrektywy.

63. Pytania te dotyczą różnych elementów ustanowionego w dyrektywie PNR systemu przetwarzania danych PNR, a w odniesieniu do każdego z tych elementów wymagają oceny przestrzegania warunków, od których zależy zgodność z prawem ograniczeń w wykonywaniu praw podstawowych określonych w art. 7 i 8 karty. Pytania prejudycjalne drugie i trzecie dotyczą katalogu danych PNR zawartego w załączniku I, tematem pytania czwartego jest definicja pojęcia „pasażera” zapisana w art. 3 pkt 4 dyrektywy PNR, pytanie szóste odnosi się do wykorzystywania danych PNR do celów wstępnej oceny na podstawie art. 6 tej dyrektywy, a przedmiotem pytania ósmego jest okres przechowywania danych PNR przewidziany w jej art. 12 ust. 1.

1. W przedmiocie praw podstawowych zapisanych w art. 7 i 8 karty

64. Artykuł 7 karty gwarantuje każdemu prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się. W art. 8 ust. 1 karty wyraźnie zaś przyznano każdemu prawo do ochrony danych osobowych, które go dotyczą. Zgodnie z utrwalonym orzecznictwem prawa te, które odnoszą się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, są ze sobą ściśle powiązane, przy czym dostęp do danych osobowych osoby fizycznej w celu ich zatrzymywania lub wykorzystywania narusza przysługujące tej osobie prawo podstawowe do poszanowania życia prywatnego ( 44 ).

65. Niemniej jednak praw zagwarantowanych w art. 7 i 8 karty nie sposób uznać za stanowiące prerogatywy o charakterze absolutnym, lecz powinny być one oceniane w świetle ich funkcji społecznej ( 45 ). Artykuł 8 ust. 2 karty zezwala tym sposobem na przetwarzanie danych osobowych, jeżeli spełnione są określone warunki. Postanowienie to stanowi, że dane te muszą być przetwarzane „rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą”.

66. Ponadto każde ograniczenie prawa do ochrony danych osobowych oraz prawa do życia prywatnego musi być zgodne z postanowieniami art. 52 ust. 1 karty. Zatem ograniczenie takie musi być przewidziane ustawą i nie może naruszać istoty rzeczonych praw oraz – w zgodzie z zasadą proporcjonalności – musi być konieczne i rzeczywiście odpowiadać celom interesu ogólnego uznanym przez Unię lub wynikać z potrzeby ochrony praw i wolności innych osób.

67. Ocena środka ograniczającego wspomniane prawa powinna uwzględniać również znaczenie praw ustanowionych w art. 3, 4, 6 i 7 karty oraz znaczenie, jakie mają cele ochrony bezpieczeństwa narodowego i walki z poważną przestępczością, przyczyniające się do ochrony praw i wolności innych osób ( 46 ). W tym względzie art. 6 karty gwarantuje każdemu prawo nie tylko do wolności, ale też do bezpieczeństwa osobistego ( 47 ).

68. Ponadto art. 52 ust. 3 karty ma na celu zapewnienie niezbędnej spójności między prawami zawartymi w karcie a odpowiadającymi im prawami zagwarantowanymi w EKPC, które należy uwzględnić jako próg ochrony minimalnej ( 48 ). Prawo do poszanowania życia prywatnego i rodzinnego, zapisane w art. 7 karty, odpowiada prawu zagwarantowanemu w art. 8 EKPC, a w związku z tym należy nadawać mu takie samo znaczenie i zakres ( 49 ). Z orzecznictwa Europejskiego Trybunału Praw Człowieka (zwanego dalej „ETPC”) wynika, że ingerencja w prawa gwarantowane przez ten artykuł może być uzasadniona w świetle ust. 2 tego artykułu tylko wtedy, gdy jest przewidziana ustawą, dotyczy jednego lub szeregu zgodnych z prawem celów wymienionych w tym ustępie i jest niezbędna w społeczeństwie demokratycznym do osiągnięcia tego celu lub tych celów ( 50 ). Dany środek powinien być również zgodny z zasadą państwa prawnego, wyraźnie wskazaną w preambule EKPC i nierozerwalnie związaną z przedmiotem i celem jej art. 8 ( 51 ).

69. To w świetle tych właśnie zasad należy zbadać pytania dotyczące ważności, przedstawione przez Cour constitutionnelle (trybunał konstytucyjny).

2. W przedmiocie ingerencji w prawa podstawowe ustanowione w art. 7 i 8 karty

70. Trybunał orzekł już, że przepisy nakazujące lub dopuszczające przekazanie podmiotowi trzeciemu, takiemu jak organ publiczny, danych osobowych osób fizycznych należy, w braku zgody tych osób fizycznych i niezależnie od późniejszego wykorzystania tych danych, uznać za ingerencję w ich życie prywatne, a zatem za ograniczenie prawa podstawowego zagwarantowanego w art. 7 karty, bez uszczerbku dla możliwości ich ewentualnego uzasadnienia ( 52 ). Jest tak nawet w braku okoliczności pozwalających na zakwalifikowanie takiej ingerencji jako „poważnej”, i nie ma znaczenia, czy informacje związane z życiem prywatnym osób, których dotyczą, mają charakter wrażliwy czy nie lub czy zainteresowane osoby poniosły jakiekolwiek negatywne konsekwencje z powodu tej ingerencji ( 53 ). Dostęp organów władzy publicznej do takich informacji stanowi również ingerencję w prawo podstawowe do ochrony danych osobowych zagwarantowane w art. 8 karty, ponieważ stanowi przetwarzanie danych osobowych ( 54 ). Podobnie, samoistną ingerencją w prawa zagwarantowane w art. 7 i 8 karty jest zatrzymywanie przez określony czas danych związanych z życiem prywatnym danej osoby ( 55 ).

71. Trybunał orzekł już również, że dane PNR, takie jak wymienione w załączniku I, zawierają informacje o zidentyfikowanych osobach fizycznych, mianowicie o pasażerach lotniczych, a zatem różne aspekty przetwarzania, jakiemu dane te mogą zostać poddane, dotyczą prawa podstawowego do poszanowania życia prywatnego, gwarantowanego w art. 7 karty. Te operacje przetwarzania wchodzą również w zakres art. 8 karty i w związku z tym muszą spełniać wynikające z niego wymogi w zakresie ochrony danych ( 56 ).

72. Tym samym przetwarzanie danych PNR, na które pozwala dyrektywa PNR, w tym istotne dla niniejszej sprawy przekazywanie tych danych przez przewoźników lotniczych do JIP, ich wykorzystywanie przez te jednostki, późniejsze przekazywanie danych do właściwych organów krajowych w rozumieniu art. 7 tej dyrektywy, a także ich przechowywanie stanowią ingerencję w prawa podstawowe zagwarantowane w art. 7 i 8 karty.

73. Co się tyczy wagi tych ingerencji, należy zauważyć, po pierwsze, że dyrektywa PNR przewiduje systematyczne i ciągłe przekazywanie do JIP danych PNR każdego pasażera lotniczego, zgodnie z definicją zawartą w art. 3 pkt 4 tej dyrektywy, odbywającego podróż lotem „pozaunijnym” w rozumieniu jej art. 3 pkt 2. W efekcie przekazania JIP ma uogólniony dostęp do wszystkich ujawnionych danych PNR ( 57 ). Wbrew temu, co twierdzą niektóre państwa członkowskie w niniejszym postępowaniu, tego stwierdzenia nie podważa okoliczność, że skoro dane te są przetwarzane w sposób zautomatyzowany, JIP mają dostęp jedynie do tych danych, których analiza doprowadziła do pozytywnego wyniku. W istocie bowiem z jednej strony okoliczność taka nie przeszkodziła Trybunałowi orzec, w odniesieniu do podobnych systemów zautomatyzowanego przetwarzania danych osobowych gromadzonych lub przechowywanych „hurtowo”, że dostęp odnośnych organów publicznych do takich danych ma charakter uogólniony. Z drugiej strony samo udostępnienie organom publicznym danych osobowych w celu ich przetwarzania i przechowywania przez te organy obejmuje a priori uogólniony i pełny dostęp owych organów do takich danych oraz ingerencję w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych.

74. Po drugie, zgodnie z art. 2 ust. 1 dyrektywy PNR państwa członkowskie mogą podjąć decyzję o stosowaniu tej dyrektywy do lotów „wewnątrzunijnych” w rozumieniu jej art. 3 pkt 3. W tym względzie pragnę zauważyć z jednej strony, że dyrektywa PNR nie ogranicza się do ustanowienia możliwości rozszerzenia przez państwa członkowskie jej stosowania na loty wewnątrzunijne, lecz określa również warunki zarówno formalne, jak i materialne regulujące korzystanie z tej możliwości ( 58 ), przy czym uściśla, że w przypadku gdy z możliwości tej skorzystano tylko w odniesieniu do wybranych lotów wewnątrzunijnych, wyboru tych lotów należy dokonać z uwzględnieniem celów realizowanych przez tę dyrektywę ( 59 ). Z drugiej strony dyrektywa PNR określa konsekwencje skorzystania z tej możliwości i przewiduje w art. 2 ust. 2, że w przypadku gdy państwo członkowskie postanowi stosować tę dyrektywę do lotów wewnątrzunijnych, wszystkie jej przepisy „stosuje się do lotów wewnątrzunijnych, tak jakby były one lotami pozaunijnymi, oraz do danych PNR dotyczących lotów wewnątrzunijnych, tak jakby były one danymi PNR dotyczącymi lotów pozaunijnych”.

75. W tych okolicznościach jestem zdania, inaczej niż niektóre rządy, które przedstawiły uwagi w niniejszej sprawie, że pomimo iż stosowanie dyrektywy PNR do lotów wewnątrzunijnych zależy od wyboru państw członkowskich, podstawę prawną ingerencji w prawa do poszanowania życia prywatnego i ochrony danych osobowych, związanych z przekazywaniem, przetwarzaniem i przechowywaniem danych PNR dotyczących tych lotów stanowi, w przypadku dokonania takiego wyboru, dyrektywa PNR.

76. Tymczasem, poza Królestwem Danii, które nie podlega tej dyrektywie ( 60 ), prawie wszystkie państwa członkowskie stosują ustanowiony w niej system do lotów „wewnątrzunijnych” ( 61 ). Stąd wniosek, że system ten ma zastosowanie do wszystkich lotów rozpoczynających i kończących się w Unii, a także do prawie wszystkich lotów wykonywanych wewnątrz Unii.

77. Po trzecie, co się tyczy danych PNR podlegających przekazaniu, załącznik I wymienia 19 rubryk dotyczących danych biograficznych ( 62 ), szczegółów podróży lotniczej ( 63 ) i innych danych zebranych w kontekście umowy przewozu lotniczego, takich jak numer telefonu, adres e-mail, formy płatności, biuro podróży lub agencja turystyczna, informacje o bagażu oraz uwagi ogólne ( 64 ). Tymczasem, jak wskazał Trybunał w pkt 128 opinii 1/15, wypowiadając się w przedmiocie rubryk zawartych w załączniku do projektu umowy między Kanadą a Unią Europejską o przekazywaniu i przetwarzaniu danych dotyczących przelotu pasażera (zwanego dalej „projektem umowy PNR Kanada–UE”), sformułowanych w sposób silnie analogiczny do pozycji znajdujących się w załączniku I, „nawet jeżeli niektóre dane PNR, rozpatrywane oddzielnie, nie wydają się ujawniać istotnych informacji o życiu prywatnym danych osób, to jednak, rozpatrywane jako całość, mogą między innymi ujawniać pełną trasę podróży, nawyki turystyczne, relacje między dwoma osobami lub większą ich liczbą, a także informacje o sytuacji finansowej pasażerów lotniczych, ich zwyczajach żywieniowych lub stanie zdrowia, a nawet mogą dostarczać o tych pasażerach informacji szczególnie chronionych”.

78. Po czwarte, zgodnie z art. 6 dyrektywy PNR dane przekazywane przez przewoźników lotniczych są analizowane przez JIP za pomocą środków zautomatyzowanych, i to w sposób systematyczny, to znaczy niezależnie od tego, czy istnieje choćby najmniejsze podejrzenie, że osoby, których dane dotyczą, mogą uczestniczyć w przestępstwach terrorystycznych lub w poważnej przestępczości. W szczególności, w ramach wstępnej oceny pasażerów przewidzianej w art. 6 ust. 2 lit. a) tej dyrektywy i zgodnie z ust. 3 tego artykułu, dane te mogą zostać zweryfikowane poprzez porównanie z bazami danych, „które mają znaczenie” [art. 6 ust. 3 lit. a)], i być przetwarzane według wcześniej ustalonych kryteriów [art. 6 ust. 3 lit. b)]. Pierwszy rodzaj przetwarzania może zaś dostarczać dodatkowych informacji na temat życia prywatnego osób, których dane dotyczą ( 65 ), a w zależności od tego, jakie bazy danych wykorzystywano do porównania, może nawet umożliwić ustalenie konkretnego profilu tych osób. W tych okolicznościach zarzut podniesiony przez szereg rządów, zgodnie z którym dyrektywa PNR pozwala jedynie na dostęp do względnie ograniczonego zbioru danych osobowych, nie odzwierciedla prawidłowo potencjalnego zakresu ingerencji w prawa podstawowe chronione przez art. 7 i 8 karty, jaką dyrektywa ta przewiduje, zważywszy na szeroki zakres danych, do których dostęp dyrektywa ta może umożliwiać. Jeśli chodzi o drugi rodzaj przetwarzania danych, przewidziany w art. 6 ust. 3 lit. b) dyrektywy PNR, pragnę przypomnieć, że w pkt 169 i 172 opinii 1/15 Trybunał podkreślił, iż z każdym rodzajem analizy opartej na wcześniej ustalonych kryteriach wiąże się wystąpienie pewnego odsetka błędów, a w szczególności pewnej liczby fałszywych rezultatów pozytywnych. Zgodnie z danymi liczbowymi zawartymi w dokumencie roboczym służb Komisji ( 66 ) (zwanym dalej „dokumentem roboczym z 2020 r.”) załączonym do sprawozdania Komisji z 2020 r. liczba wyników pozytywnych, które w wyniku indywidualnej oceny przewidzianej w art. 6 ust. 5 dyrektywy PNR okazały się błędne, jest dość poważna i wynosiła w latach 2018 i 2019 co najmniej 5 na 6 zidentyfikowanych osób ( 67 ).

79. Po piąte, zgodnie z art. 12 ust. 1 dyrektywy PNR dane PNR są zatrzymywane w bazie danych JIP na okres pięciu lat od przekazania ich do JIP w państwie członkowskim, na którego terytorium ma miejsce przylot lub z którego terytorium ma miejsce odlot. Dyrektywa PNR daje zatem dostęp do informacji na temat życia prywatnego pasażerów lotniczych przez szczególnie długi czas ( 68 ). Ponadto, ponieważ przekazywanie danych PNR dotyczy prawie wszystkich lotów wykonywanych z i do Unii oraz w obrębie jej terytorium, a samolot stał się środkiem transportu raczej powszechnym, znaczna część pasażerów lotniczych mogłaby znaleźć się w sytuacji praktycznie permanentnego przechowywania ich danych z tego tylko powodu, że korzystają z samolotu co najmniej dwa razy na pięć lat.

80. Wreszcie, w ujęciu bardziej ogólnym dyrektywa PNR przewiduje środki, które rozpatrywane ogólnie mają na celu ustanowienie na poziomie Unii systemu nadzoru „nieukierunkowanego”, czyli takiego, który nie jest uruchamiany w oparciu o podejrzenie ciążące na jednej osobie lub szeregu konkretnych osób, a zatem „masowego”, ponieważ nadzór ów prowadzony jest na danych osobowych dużej liczby osób ( 69 ), obejmujących daną kategorię osób w całości ( 70 ), a także „aktywnego” – przez to, że jego działanie polega nie tylko na odpytywaniu bazy danych na temat niebezpieczeństw znanych, ale również na znajdowaniu i identyfikowaniu zagrożeń dotąd nieznanych ( 71 ). Tego rodzaju środki ze swej natury prowadzą do poważnych ingerencji w prawa podstawowe chronione przez art. 7 i 8 karty ( 72 ), związanych w szczególności z ich charakterem prewencyjnym i prognostycznym, który wymaga oceny danych osobowych szerokich segmentów populacji, przy czym celem jest „zidentyfikowanie” osób, które – w zależności od wyniku tej oceny – należy poddać dokładniejszemu badaniu przez właściwe organy ( 73 ). Ponadto coraz popularniejsze przetwarzanie, w celu zapobiegania niektórym formom poważnej przestępczości, dużych ilości danych osobowych o zróżnicowanym charakterze, gromadzonych „hurtowo”, oraz ich zestawianie i zbiorowe przetwarzanie pociągają za sobą „skutek kumulatywny”, który zwiększa wagę ograniczeń praw podstawowych do poszanowania życia prywatnego i ochrony danych osobowych oraz może sprzyjać procesowi stopniowego osuwania się systemu w kierunku „społeczeństwa nadzoru” ( 74 ).

81. Na podstawie całości powyższych rozważań wyrażam stanowisko, że ingerencję, jaką stanowi dyrektywa PNR w prawa podstawowe chronione przez art. 7 i 8 karty, należy uznać co najmniej za „poważną”.

82. Prawdą jest, jak podnosi w szczególności Komisja, że wszystkie gwarancje i zabezpieczenia przewidziane w dyrektywie PNR, w szczególności służące uniknięciu nadużywania danych PNR, mogą zmniejszyć intensywność lub wagę tych ingerencji. Niemniej jednak każdy system, który przewiduje dostęp organów władzy publicznej do danych osobowych i ich przetwarzanie przez owe organy, charakteryzuje się pewną wagą, patrząc przez pryzmat ochrony praw podstawowych, która to waga jest nierozerwalnie związana z jego obiektywnymi cechami. Wagę tę należy ustalić moim zdaniem przed przystąpieniem do oceny wystarczającego i odpowiedniego charakteru gwarancji przewidzianych przez ów system, w ramach analizy proporcjonalności tych ingerencji. Dotychczas Trybunał postępował, jak mi się wydaje, w ten właśnie sposób.

83. Aby wprowadzone dyrektywą PNR ingerencje w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych były zgodne z kartą, powinny spełniać warunki określone w pkt 65 i 66 niniejszej opinii, co zostanie zbadane poniżej w granicach zagadnień, które zostały przedstawione Trybunałowi przez sąd odsyłający.

3. W przedmiocie uzasadnienia ingerencji wynikającej z dyrektywy PNR

84. Trzecie pytanie prejudycjalne dotyczy poszanowania warunku określonego w art. 52 ust. 1 zdanie pierwsze karty, zgodnie z którym każda ingerencja w prawo podstawowe musi być „przewidziana ustawą”, natomiast pytania prejudycjalne drugie, czwarte, szóste i ósme dotyczą w szczególności poszanowania zasady proporcjonalności, o której mowa w zdaniu drugim tego postanowienia.

a) W przedmiocie poszanowania wymogu, aby wszelkie ograniczenia w korzystaniu z prawa podstawowego zapisanego w karcie były przewidziane ustawą

85. Zgodnie z utrwalonym orzecznictwem Trybunału ( 75 ), opierającym się na orzecznictwie ETPC ( 76 ), wymóg, zgodnie z którym wszelkie ograniczenia w korzystaniu z prawa podstawowego muszą być „przewidziane ustawą”, nie odnosi się wyłącznie do „prawnego” źródła ingerencji – które nie jest przedmiotem niniejszej sprawy – lecz oznacza również, że podstawa prawna, która pozwala na taką ingerencję, powinna także w sposób jasny i precyzyjny określać jej zakres. Ponieważ ten drugi aspekt objęty wyrażeniem „przewidziane ustawą”, w rozumieniu zarówno art. 52 ust. 1 karty, jak i jej art. 8 ust. 2 oraz art. 8 EKPC, związany jest z „jakością prawa”, a zatem dostępnością i przewidywalnością rozpatrywanego środka ( 77 ), służy nie tylko zapewnieniu przestrzegania zasady legalności i ochrony przed arbitralnością ( 78 ), lecz odpowiada również wymogowi pewności prawa. Wymóg ten uzyskał potwierdzenie również w opinii Komitetu Doradczego Konwencji nr 108 ( 79 ) z dnia 19 sierpnia 2016 r. o skutkach przetwarzania danych pasażerów w dziedzinie ochrony danych (zwanej dalej „opinią z dnia 19 sierpnia 2016 r.”) ( 80 ).

86. Prawodawca Unii poprzez przyjęcie dyrektywy PNR ograniczył prawa ustanowione w art. 7 i 8 karty. Ingerencji w te prawa, które dyrektywa umożliwia, nie można zatem uznać za konsekwencję wyboru państw członkowskich ( 81 ), niezależnie od zakresu uznania, z którego mogły korzystać w chwili jej transpozycji do prawa krajowego, lecz znajdują one podstawę prawną w samej dyrektywie PNR. W tych okolicznościach, w celu zastosowania się do orzecznictwa przypomnianego w pkt 85 niniejszej opinii oraz do „wysokich standardów” ochrony praw podstawowych zapisanych w szczególności w karcie i w EKPC, do których odwołuje się motyw 15 dyrektywy PNR, prawodawca Unii miał obowiązek ustanowienia jasnych i precyzyjnych zasad określających zarówno zakres, jak i zastosowanie środków wiążących się z rzeczoną ingerencją.

87. O ile w trzecim pytaniu prejudycjalnym sąd odsyłający zastanawia się nad przestrzeganiem tego obowiązku konkretnie w odniesieniu do pkt 12 i 18 załącznika I, o tyle analiza pytań prejudycjalnych drugiego, czwartego i szóstego, w których sąd ten wyraża wątpliwości co do niezbędnego charakteru ingerencji, jaką dyrektywa PNR pociąga za sobą w odniesieniu do praw podstawowych określonych w art. 7 i 8 karty, wymaga zajęcia stanowiska również w przedmiocie wystarczająco jasnego i precyzyjnego charakteru rozpatrywanych przepisów dyrektywy PNR.

88. Mimo że, jak wskazałem w pkt 85 niniejszej opinii, analiza ta dotyczy zgodności z prawem ingerencji w rozumieniu art. 52 ust. 1 zdanie pierwsze karty, przeprowadzę ją w ramach badania proporcjonalności, o której mowa w zdaniu drugim tego ustępu, zgodnie z podejściem przyjętym zarówno przez Trybunał, jak i przez ETPC w sprawach, których przedmiotem były środki dotyczące przetwarzania danych osobowych ( 82 ).

b) W przedmiocie poszanowania istoty praw zapisanych w art. 7 i 8 karty

89. Zgodnie z art. 52 ust. 1 zdanie pierwsze karty wszystkie ograniczenia w korzystaniu z praw podstawowych muszą opierać się nie tylko na wystarczająco precyzyjnej podstawie prawnej, ale również szanować istotę tych praw.

90. Jak wskazałem w pkt 66 niniejszej opinii, wymóg ten – który ujęto w konstytucjach różnych państw członkowskich ( 83 ) i który, choć nieuznany wyraźnie w EKPC, jest jednak dobrze ugruntowany w orzecznictwie ETPC ( 84 ) – zapisany jest w art. 52 ust. 1 karty ( 85 ). Wymóg ów, który Trybunał uznał na długo przed jego kodyfikacją ( 86 ), znajduje niezmiennie potwierdzenie w orzecznictwie sądów Unii, również po wejściu w życie traktatu z Lizbony.

91. W szczególności z wyroku z dnia 6 października 2015 r., Schrems ( 87 ), wynika, że nieprzestrzeganie istoty prawa podstawowego przez akt Unii skutkuje automatycznie nieważnością tego aktu, bez konieczności dokonywania zrównoważenia wchodzących w grę interesów. Trybunał uznaje zatem, że każde prawo podstawowe ma „rdzeń” gwarantujący każdemu człowiekowi sferę wolności chroniącą przed jakąkolwiek ingerencją ze strony władz publicznych i która nie może podlegać ograniczeniom ( 88 ), gdyż w przeciwnym wypadku doszłoby do podważenia zasad demokracji, państwa prawa i poszanowania godności ludzkiej, leżących u podstaw ochrony praw podstawowych. Ponadto zarówno z brzmienia art. 52 ust. 1 karty, jak i z orzecznictwa Trybunału, a w szczególności z wyroku Schrems I wynika, że ocenę istnienia ingerencji w istotę danego prawa podstawowego należy przeprowadzić przed oceną proporcjonalności kwestionowanego środka i niezależnie od niej. Innymi słowy, test ten ma charakter autonomiczny.

92. Jednakże określenie tego, co stanowi „istotę”, a co za tym idzie, nienaruszalną treść prawa podstawowego, którego wykonywanie może być ograniczone, jest operacją niezwykle złożoną. Chociaż aby pojęcie to mogło odgrywać swoją rolę, musi istnieć możliwość zdefiniowania go w sposób absolutny, w świetle istotnych cech danego prawa podstawowego, interesów subiektywnych i obiektywnych, których ochronę ma zapewnić, oraz, bardziej ogólnie rzecz biorąc, jego funkcji w społeczeństwie demokratycznym opartym na poszanowaniu godności ludzkiej ( 89 ), to w praktyce taka operacja jest prawie niemożliwa, przynajmniej bez uwzględnienia kryteriów, które stosuje się zwykle przy badaniu proporcjonalności ingerencji w dane prawo, takich jak waga tej ingerencji, jej zakres lub rozciągłość czasowa, czyli bez wzięcia pod uwagę specyfiki poszczególnych przypadków.

93. Co się tyczy w szczególności prawa podstawowego do poszanowania życia prywatnego, należy wziąć pod uwagę nie tylko wagę, jakie ma – dla zdrowia umysłowego i fizycznego każdej osoby, jej dobrostanu, autonomii, rozwoju osobistego, zdolności do tworzenia i utrzymywania relacji społecznych – posiadanie sfery prywatnej pozwalającej na rozwinięcie swojego osobistego świata wewnętrznego, lecz również rolę, jaką prawo to odgrywa w ochronie innych praw i wolności, takich jak w szczególności wolność myśli, sumienia, religii, wyrazu i informacji, których pełne wykorzystanie wymaga uznania pewnej sfery intymności. Mówiąc ogólniej, należy wziąć pod uwagę funkcję, jaką poszanowanie prawa do życia prywatnego pełni w społeczeństwie demokratycznym ( 90 ). Trybunał wydaje się oceniać istnienie naruszenia istoty tego prawa, biorąc pod uwagę zarówno intensywność, jak i zakres ingerencji, co pozwala dojść do wniosku, że takie naruszenie określa się raczej pod względem ilościowym niż jakościowym. I tak, po pierwsze, w wyroku Digital Rights Trybunał uznał zasadniczo, że obowiązek przechowywania danych przewidziany przez dyrektywę 2006/24/WE ( 91 ) nie osiąga takiego stopnia wagi, aby wpływać na istotę prawa do poszanowania życia prywatnego, ponieważ nie pozwala on na „na zapoznawanie się z samą treścią komunikatów elektronicznych” ( 92 ). Po drugie, w opinii 1/15 Trybunał uznał zasadniczo, że ograniczenie dotyczące jedynie niektórych aspektów życia prywatnego osób, których dane dotyczą, nie może prowadzić do ingerencji w istotę tego prawa podstawowego ( 93 ).

94. Jeśli chodzi o podstawowe prawo do ochrony danych osobowych, Trybunał uważa, jak się wydaje, że istota tego prawa jest zachowana, jeżeli środek, który ustanawia ingerencję, określa cele przetwarzania i przewiduje zasady zapewniające bezpieczeństwo danych osobowych, w szczególności przed przypadkowym lub bezprawnym zniszczeniem, utratą lub zmianą ( 94 ).

95. Chociaż w niniejszej sprawie sąd odsyłający nie powołał się wyraźnie na wymóg poszanowania istoty praw określonych w art. 7 i 8 karty, to u podstaw pytań prejudycjalnych czwartego i szóstego leży moim zdaniem właśnie kwestia poszanowania rzeczonego wymogu. Z tego powodu proponuję, aby Trybunał ustosunkował się do tego zagadnienia.

96. W tym względzie przypominam, że w pkt 150 opinii 1/15, Trybunał – chociaż przyznał, iż dane PNR „mogą w stosownych wypadkach ujawniać bardzo dokładne informacje o życiu prywatnym danej osoby” ( 95 ), przy czym informacje te umożliwiają bezpośrednio lub pośrednio zapoznanie się ze szczególnie chronionymi danymi odnośnej osoby ( 96 ) – stwierdził jednak, w odniesieniu do projektu umowy PNR Kanada–UE, że ponieważ „charakter tych informacji sprawia, że są one ograniczone do pewnych aspektów życia prywatnego, związanych w szczególności z podróżami lotniczymi między Kanadą a Unią”, to ingerencje w prawo podstawowe do poszanowania życia prywatnego nie są tego rodzaju, by mogły naruszać istotę rzeczonego prawa.

97. Tymczasem pomijając okoliczność, że dane PNR, o których mowa w projekcie umowy PNR Kanada–UE, miały być przekazywane do państwa trzeciego, a ich późniejsze przetwarzanie powinno być prowadzone przez organy tego państwa trzeciego na jego terytorium, ingerencje w prawo podstawowe do poszanowania życia prywatnego wynikające z tego projektu umowy oraz ingerencje przewidziane w dyrektywie PNR są ze swej natury w znacznym stopniu zbieżne. Jest tak w szczególności w odniesieniu do objętych nimi danych PNR, systematycznego i uogólnionego charakteru przekazywania i przetwarzania tych danych, zautomatyzowanego sposobu ich przekazywania i przetwarzania, a także warunków przechowywania rzeczonych danych. Natomiast te dwie sprawy różnią się niejako „zasięgiem geograficznym” ingerencji. Jak bowiem wskazałem w pkt 77 niniejszej opinii, operacje przetwarzania danych rozpatrywane w niniejszej sprawie nie ograniczają się do połączeń lotniczych z jednym państwem trzecim, jak miało to miejsce w przypadku opinii 1/15, lecz dotyczą prawie wszystkich lotów kończących się i rozpoczynających w Unii oraz odbywających się w obrębie jej terytorium. Płynie stąd wniosek, że w porównaniu do projektu umowy PNR Kanada–UE dyrektywa PNR prowadzi do systematycznego przetwarzania znacznie większej liczby danych pasażerów lotniczych, przemieszczających się samolotami wewnątrz Unii i poza nią. Ponadto, biorąc pod uwagę wzrost ilości przetwarzanych danych oraz częstotliwość, z jaką są gromadzone, ich przetwarzanie prawdopodobnie może dostarczyć jednocześnie dokładniejszych i bardziej obszernych informacji na temat życia prywatnego osób, których dane dotyczą (nawyki podróżnicze, relacje osobiste, informacje o sytuacji finansowej itp.).

98. Niemniej jednak, jak miało to miejsce w przypadku opinii 1/15, informacje te, rozpatrywane odrębnie, dotyczą jedynie niektórych aspektów życia prywatnego, związanych z podróżami lotniczymi. Biorąc zaś pod uwagę konieczność zdefiniowania pojęcia „istoty” praw podstawowych w sposób zawężający, aby zachowało ono funkcję bastionu odpierającego ataki na istotę tych praw, jestem zdania, że wniosek, do którego Trybunał doszedł w pkt 150 opinii 1/15, można zastosować w niniejszej sprawie.

99. W opinii 1/15 Trybunał również wykluczył naruszenie istoty prawa do ochrony danych osobowych ( 97 ). Wniosek ten można moim zdaniem przenieść na grunt niniejszej sprawy. W istocie bowiem, podobnie jak w przypadku projektu umowy PNR Kanada–UE, dyrektywa PNR w art. 1 ust. 2 określa cele przetwarzania danych PNR. Ponadto dyrektywa ta, jak również inne akty Unii, do których odsyła, w szczególności RODO i dyrektywa policyjna, zawierają przepisy szczególne mające na celu zapewnienie w szczególności bezpieczeństwa, poufności i integralności tych danych, a także ich ochrony przed niezgodnym z prawem dostępem i przetwarzaniem. O ile nie można uznać, że przepisy takie jak przewidziane w dyrektywie PNR dotykają istoty praw podstawowych chronionych przez art. 7 i 8 karty, o tyle jednak muszą one przejść ścisłą i rygorystyczną kontrolę proporcjonalności.

c) W przedmiocie poszanowania wymogu, zgodnie z którym ingerencja musi odpowiadać celowi interesu ogólnego

100. Dyrektywa PNR ma w szczególności na celu zapewnienie bezpieczeństwa wewnętrznego Unii oraz ochronę życia i bezpieczeństwa ludzkiego dzięki przekazywaniu danych PNR właściwym organom państw członkowskich w celu wykorzystania ich w ramach walki z terroryzmem i poważną przestępczością ( 98 ).

101. Zwłaszcza z art. 1 ust. 2 dyrektywy PNR w związku z jej motywami 6 i 7, jak również z wniosku Komisji, który doprowadził do przyjęcia tej dyrektywy (zwanego dalej „projektem dyrektywy PNR”) ( 99 ), wynika, że w ramach realizacji takiego celu organy ścigania ( 100 ) wykorzystują dane PNR na różne sposoby. Po pierwsze, dane te są wykorzystywane do identyfikacji osób uczestniczących lub podejrzanych o udział w popełnionych już przestępstwach terrorystycznych i poważnej przestępczości, do gromadzenia dowodów, a – w odpowiednich przypadkach – do wykrywania współsprawców przestępstw i rozpracowywania siatek przestępczych (wykorzystanie w „trybie reaktywnym”). Po drugie, dane PNR mogą być oceniane przed przybyciem lub wyjazdem pasażerów w celu zapobieżenia popełnieniu przestępstwa oraz identyfikacji osób, które dotychczas nie były podejrzewane o udział w przestępstwach terrorystycznych lub w poważnej przestępczości i które na podstawie wyników takiego sprawdzenia powinny być poddane dalszemu sprawdzeniu przez organy ścigania (wykorzystanie w „trybie czasu rzeczywistego”). Wreszcie, dane PNR wykorzystuje się do określenia kryteriów oceny, które można następnie zastosować przy analizie zagrożenia, jakie stanowią pasażerowie przed ich przybyciem i przed ich wyjazdem (wykorzystanie w „trybie aktywnym”). Takie aktywne wykorzystanie danych PNR powinno umożliwić organom ścigania reagowanie na zagrożenie przestępstwami terrorystycznymi i poważną przestępczością z innej perspektywy niż w przypadku przetwarzania innych kategorii danych osobowych ( 101 ).

102. Z orzecznictwa Trybunału wynika, że cel ochrony bezpieczeństwa publicznego, obejmujący w szczególności zapobieganie, dochodzenie, wykrywanie i ściganie zarówno przestępstw terrorystycznych, jak i przestępstw kwalifikujących się jako poważna przestępczość stanowi cel interesu ogólnego Unii w rozumieniu art. 52 ust. 1 karty, który może uzasadniać ingerencje, nawet poważne, w prawa podstawowe ustanowione w art. 7 i 8 karty ( 102 ).

103. Trybunał uznał również, że cele ochrony bezpieczeństwa publicznego i zwalczania poważnej przestępczości przyczyniają się do ochrony praw i wolności innych osób ( 103 ). Tak więc w ramach harmonijnego wyważenia z jednej strony tychże celów i, z drugiej strony, praw podstawowych ustanowionych w art. 7 i 8 ( 104 ) karty należy również uwzględnić wagę praw zapisanych w art. 3, 4, 6 i 7 karty. W tym względzie, o ile w wyroku La Quadrature du Net Trybunał uznał, że art. 6 karty „nie może być interpretowany w ten sposób, że nakłada on na organy publiczne obowiązek przyjęcia szczególnych środków w celu ukarania za określone przestępstwa” ( 105 ), o tyle jeśli chodzi w szczególności o skuteczną walkę z przestępstwami, których ofiarą są zwłaszcza małoletni i inne osoby podatne na zagrożenia, podkreślił, że ciążące na organach publicznych pozytywne obowiązki przyjęcia środków prawnych w celu ochrony życia prywatnego i rodzinnego mogą wynikać zarówno z art. 7 karty, jak i z jej art. 3 i 4 w odniesieniu do ochrony integralności fizycznej i psychicznej osób, jak również zakazu tortur i nieludzkiego lub poniżającego traktowania ( 106 ).

104. Wreszcie, Trybunał uznał, że waga celu ochrony bezpieczeństwa narodowego przewyższa wagę celów zwalczania przestępstw w ogólności, choćby poważnych, a także ochrony bezpieczeństwa publicznego, i może więc uzasadnić środki związane z dalej idącą ingerencją w prawa podstawowe niż środki, które mogłyby być uzasadnione tymi innymi celami ( 107 ). Ponieważ działalność terrorystyczna może stanowić zagrożenie dla bezpieczeństwa narodowego państw członkowskich, system wprowadzony dyrektywą PNR przyczynia się do realizacji celu w postaci ochrony bezpieczeństwa narodowego państw członkowskich, ponieważ stanowi instrument zwalczania takich działań.

d) W przedmiocie przestrzegania zasady proporcjonalności

105. Zgodnie z art. 52 ust. 1 zdanie drugie karty, z zastrzeżeniem zasady proporcjonalności, ograniczenia w wykonywaniu uznanego w niej prawa podstawowego mogą być wprowadzone wyłącznie wtedy, gdy są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób.

106. W tej kwestii trzeba przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału zasada proporcjonalności wymaga, by akty prawne instytucji Unii były odpowiednie do realizacji uzasadnionych celów, którym akty te służą, i nie wykraczały poza to, co jest konieczne do ich osiągnięcia ( 108 ).

107. Zgodnie z utrwalonym orzecznictwem Trybunału, ochrona prawa podstawowego do poszanowania życia prywatnego na poziomie Unii wymaga, aby odstępstwa od ochrony danych osobowych i jej ograniczenia ograniczały się do tego, co absolutnie konieczne. Ponadto nie można dążyć do celu interesu ogólnego bez uwzględnienia okoliczności, że należy pogodzić go z prawami podstawowymi, których dotyczy środek, dokonując zbilansowanego wyważenia między celem interesu ogólnego z jednej strony a rozpatrywanymi prawami z drugiej strony ( 109 ).Konkretniej rzecz ujmując, proporcjonalność ograniczenia praw zapisanych w art. 7 i 8 karty należy oceniać, badając wagę ingerencji, jaką stanowi takie ograniczenie, oraz sprawdzając, czy znaczenie celu interesu ogólnego, do którego zmierza to ograniczenie, pozostaje w relacji do tej wagi ( 110 ).

108. Z orzecznictwa Trybunału wynika, że aby spełnić wymóg proporcjonalności, dyrektywa PNR jako podstawa prawna będąca źródłem ingerencji w prawa podstawowe ustanowione w art. 7 i 8 karty, opisane w pkt 70–83 niniejszej opinii, musi zawierać jasne i dokładne zasady dotyczące zakresu i sposobu stosowania środków prowadzących do takich ingerencji, a także ustanawiać minimalne wymogi służące temu, aby osoby, których dane zostały przekazane, miały wystarczające gwarancje rzeczywistej ochrony ich danych osobowych przed ryzykiem nadużyć oraz ich bezprawnym udostępnianiem i wykorzystywaniem ( 111 ). Konieczność posiadania takich gwarancji jest jeszcze bardziej istotna, gdy, jak w niniejszej sprawie, dane osobowe są przetwarzane w sposób zautomatyzowany i gdy rzecz dotyczy owej szczególnej kategorii danych osobowych, którą stanowią dane szczególnie chronione ( 112 ).

109. Co się tyczy zakresu kontroli sądowej poszanowania wymogów wynikających z zasady proporcjonalności, to mając na uwadze znaczącą rolę, jaką odgrywa ochrona danych osobowych w świetle prawa podstawowego do poszanowania życia prywatnego oraz ingerencji w to prawo, której źródłem jest dyrektywa PNR, uprawnienia dyskrecjonalne prawodawcy Unii są ograniczone, skutkiem czego kontrola tych uprawnień musi mieć charakter ścisły ( 113 ).

1) W przedmiocie przydatności operacji przetwarzania danych PNR, o których mowa w dyrektywie PNR, do realizacji zamierzonego celu

110. W pkt 153 opinii 1/15 Trybunał stwierdził w odniesieniu do projektu umowy PNR Kanada–UE, że przekazywanie danych PNR do Kanady i ich późniejsze przetwarzanie są przydatne do zapewnienia osiągnięcia celu związanego z zapewnieniem ochrony publicznej i bezpieczeństwa publicznego. Wydaje mi się, że rzeczonej przydatności gromadzenia i dalszego przetwarzania danych PNR, uznanej od dawna zarówno na poziomie Unii, jak i w skali światowej ( 114 ), nie można podważyć ani w odniesieniu do lotów pozaunijnych, ani w przypadku lotów wewnątrzunijnych ( 115 ).

111. Niemniej jednak skuteczność ustanowionego przez dyrektywę systemu PNR można badać jedynie w sposób konkretny, oceniając wyniki jego stosowania ( 116 ). W tym kontekście istotne jest, aby skuteczność tę oceniać w sposób ciągły, na podstawie możliwie najbardziej dokładnych i wiarygodnych danych statystycznych ( 117 ). Zatem Komisja powinna w regularnych odstępach czasu przeprowadzać kontrolę analogiczną do przewidzianej już w art. 19 dyrektywy PNR.

2) W przedmiocie absolutnie koniecznego charakteru ingerencji

112. Mimo że Cour constitutionnelle (trybunał konstytucyjny) nie przedstawił wyraźnie wątpliwości, czy dyrektywa PNR zawiera zasady jasne, precyzyjne i ograniczone do tego, co absolutnie konieczne, jeśli chodzi o określenie celów przetwarzania danych PNR ( 118 ), analiza proporcjonalności systemu przewidzianego przez tę dyrektywę, o którą zwrócił się sąd odsyłający, nie może moim zdaniem pomijać tej kwestii ( 119 ).

i) W przedmiocie określenia celów przetwarzania danych PNR

113. Wyraźne określenie celów pozwalających właściwym organom na dostęp do danych osobowych oraz na ich późniejsze wykorzystanie stanowi istotny wymóg każdego systemu przetwarzania danych, w szczególności służącego ściganiu przestępczości. Spełnienie tego wymogu jest ponadto konieczne, aby umożliwić Trybunałowi ocenę proporcjonalności rozpatrywanych środków za pomocą „zubożonego” testu wagi ingerencji w stosunku do znaczenia zamierzonego celu, ustalonego w jego orzecznictwie ( 120 ).

114. Trybunał podkreślił znaczenie jasnego określenia celów środków będących źródłem ograniczeń praw podstawowych do poszanowania życia prywatnego i do ochrony danych osobowych, w szczególności, w wyroku Digital Rights, w którym stwierdził nieważność dyrektywy 2006/24. W pkt 60 tego wyroku Trybunał zauważył, że dyrektywa ta nie przewiduje „żadnego obiektywnego kryterium, które pozwoliłoby zagwarantować, że właściwe organy krajowe będą miały dostęp do danych i będą mogły je wykorzystywać wyłącznie w celu zapobiegania [przestępstwom], wykrywania i ścigania przestępstw, które z uwagi na zakres i wagę ingerencji w prawa podstawowe ustanowione w art. 7 i 8 karty można uznać za wystarczająco poważne, by taką ingerencję uzasadnić”, a wręcz przeciwnie, dyrektywa ta ogranicza się „do ogólnego odesłania, w art. 1 ust. 1, do pojęcia »poważnych przestępstw« określonych w ustawodawstwie każdego państwa członkowskiego”.

115. Artykuł 1 ust. 2 dyrektywy PNR ustanawia ogólne kryterium ograniczające cele, zgodnie z którym „[d]ane PNR zebrane zgodnie z niniejszą dyrektywą mogą być przetwarzane wyłącznie w celach zapobiegania przestępstwom terrorystycznym i poważnej przestępczości oraz ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania”. Jednakże, w przeciwieństwie do dyrektywy 2006/24, dyrektywa PNR nie ogranicza się do tego stwierdzenia, lecz w art. 3 pkt 8 i 9 definiuje zarówno pojęcie „przestępstw terrorystycznych”, jak i „poważnej przestępczości”, przy czym pierwsze z nich poprzez odesłanie do art. 1–4 decyzji ramowej Rady 2002/475/WSiSW z dnia 13 czerwca 2002 r. w sprawie zwalczania terroryzmu (Dz.U. 2002, L 164, s. 3) [zastąpionej dyrektywą (UE) 2017/541] ( 121 ), a drugie z nich, z jednej strony, poprzez wymienienie w załączniku II kategorii przestępstw karnych odpowiadających temu pojęciu, a z drugiej strony, ustanawiając próg ich wagi w kategoriach górnej granicy kary pozbawienia wolności lub środków zabezpieczających, którymi przestępstwa te są zagrożone.

116. O ile odesłanie do właściwych przepisów dyrektywy 2017/541 pozwala określić w sposób wystarczająco jasny i precyzyjny czyny, które mogą zostać zakwalifikowane jako przestępstwa terrorystyczne na podstawie art. 3 pkt 8 dyrektywy PNR, i ocenić ich wagę na potrzeby wyważenia celu ochrony bezpieczeństwa publicznego, realizowanego przez tę dyrektywę, oraz wagi ingerencji, jaką dyrektywa ta wprowadza w odniesieniu do praw podstawowych ustanowionych w art. 7 i 8 karty, o tyle ten sam wniosek nie nasuwa się z taką samą oczywistością w odniesieniu do wszystkich przestępstw wymienionych w załączniku II.

117. W pkt 177 opinii 1/15 Trybunał uznał, że projekt umowy PNR Kanada–UE definiował wyrażenie „poważne przestępstwa międzynarodowe” z jasnością i precyzją, przewidując wymóg, by były to przestępstwa „podlegające karze pozbawienia wolności w maksymalnym wymiarze co najmniej czterech lat lub karze surowszej”, i odsyłając „do przestępstw zdefiniowanych w prawie kanadyjskim” oraz wymieniając „różne sytuacje, w których przyjmuje się, że przestępstwo ma charakter międzynarodowy”.

118. W porównaniu z postanowieniami zbadanymi przez Trybunał w tejże opinii dyrektywa PNR: po pierwsze, przy definiowaniu odnośnych przestępstw nie bierze pod uwagę ich transgranicznego charakteru; po drugie, zawiera wyczerpujący katalog przestępstw, które ze względu na swój charakter stanowią poważną przestępczość, pod warunkiem że zagrożone są co najmniej karą o górnej granicy przewidzianej w art. 3 pkt 9 tej dyrektywy; po trzecie, obniża co do zasady próg wagi naruszenia, przyjmując kryterium oparte na górnej granicy kary i ustalając ten próg na trzy lata.

119. Co się tyczy, po pierwsze, braku kryterium ograniczenia opartego na charakterze transgranicznym, prawdą jest, że zawężenie przedmiotowego zakresu stosowania dyrektywy PNR wyłącznie do poważnej przestępczości „transgranicznej” pozwoliłoby na ukierunkowanie jej na przestępstwa, które ze swej natury, przynajmniej potencjalnie, mogą mieć obiektywny związek z podróżami lotniczymi, a w konsekwencji z kategoriami danych gromadzonych i przetwarzanych na podstawie dyrektywy PNR ( 122 ). Podzielam jednak co do zasady stanowisko wyrażone przez Komisję, zgodnie z którym inaczej niż w kontekście umowy międzynarodowej istotność i konieczność zastosowania takiego kryterium są mniej oczywiste w przypadku mechanizmu walki z przestępczością, którego celem jest ochrona bezpieczeństwa wewnętrznego Unii. Ponadto, jak podnosi Komisja, brak elementów transgranicznych nie jest sam w sobie poszlaką pozwalającą wykluczyć wagę naruszenia.

120. Po drugie, jeśli chodzi o kryterium w postaci progu wagi rozpatrywanych przestępstw – które w celu umożliwienia oceny ex ante tej wagi należy interpretować w ten sposób, że odnosi się ono do górnej granicy wymiaru kary pozbawienia wolności lub środka zabezpieczającego przewidzianego w ustawie, a nie do kary, jaka może być nałożona w konkretnym przypadku – to, mimo że owo kryterium opiera się ono na progu minimalnej górnej granicy kary, a nie minimalnej dolnej granicy, nie jest samo w sobie nieprzydatne do określenia wystarczającej wagi przestępstwa, która może uzasadniać ingerencję w prawa fundamentalne zapisane w art. 7 i 8 karty, z jaką wiążą się operacje przetwarzania danych przewidziane w dyrektywie PNR. Jednakże moim zdaniem należy je interpretować jako kryterium określające „minimalną” wagę naruszenia. Tak więc, o ile takie kryterium zakazuje państwom członkowskim uznania za „poważną przestępczość” tych przestępstw ujętych w załączniku II, które zgodnie z ich krajowym prawem karnym są zagrożone karą pozbawienia wolności lub środkiem zabezpieczającym o czasie trwania poniżej trzech lat, o tyle nie zobowiązuje ich do automatycznego uznawania takiej kwalifikacji w odniesieniu do wszystkich przestępstw mogących widnieć w tym załączniku, których zagrożenie karą przekracza próg ustanowiony w art. 3 pkt 9 dyrektywy PNR, jeżeli biorąc pod uwagę specyfikę ich systemu karnego, taka kwalifikacja prowadziłaby do stosowania systemu ustanowionego dyrektywą PNR w celach zapobiegania przestępstwom pospolitym oraz ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania niezgodnie z celami realizowanymi przez ową dyrektywę.

121. Po trzecie, co się tyczy katalogu z załącznika II, należy przede wszystkim zauważyć, że okoliczność, iż dyrektywa PNR wymienia wyczerpująco przestępstwa wchodzące w zakres definicji „poważnej przestępczości”, stanowi podstawową gwarancję formalną i materialną pozwalającą zapewnić zgodność z prawem systemu ustanowionego przez dyrektywę PNR i zagwarantować pasażerom pewność prawa. Należy jednak stwierdzić, że wspomniany katalog obejmuje zarówno przestępstwa, które ze względu na swój charakter odznaczają się bezsprzecznie dużą wagą – jak na przykład handel ludźmi, wykorzystywanie seksualne dzieci i pornografia dziecięca, nielegalny handel bronią, nielegalny handel materiałami jądrowymi lub promieniotwórczymi, bezprawne zawładnięcie statkiem powietrznym lub wodnym, przestępstwa podlegające jurysdykcji Międzynarodowego Trybunału Karnego, zabójstwo, zgwałcenie, uprowadzenie, bezprawne pozbawienie wolności i wzięcie zakładników ( 123 ) – jak i przestępstwa, w przypadku których tak duża waga jest mniej oczywista, jak, przykładowo, oszustwo, podrabianie i piractwo produktów, fałszowanie dokumentów urzędowych i handel nimi czy handel skradzionymi pojazdami ( 124 ). Ponadto niektóre spośród przestępstw wymienionych w załączniku II mogą ze swej natury częściej mieć charakter transgraniczny, jak na przykład handel ludźmi, nielegalny handel narkotykami lub bronią, wykorzystywanie seksualne dzieci, ułatwianie bezprawnego wjazdu i pobytu, bezprawne zawładnięcie statkiem powietrznym, a także cechować się związkiem z lotniczym przewozem osób.

122. Jeśli chodzi o wystarczająco jasny i precyzyjny charakter rubryk zawartych w załączniku II, również w tym przypadku poziom jest bardzo zróżnicowany. Tak więc chociaż wykaz zawarty w tym załączniku należy uznać za wyczerpujący, kilka z jego rubryk ma charakter „otwarty” ( 125 ), a inne z kolei odnoszą się do pojęć ogólnych, które mogą obejmować bardzo dużą liczbę przestępstw o różnej wadze, mimo że zawsze z zastrzeżeniem progu górnej granicy kary, przewidzianego w art. 3 pkt 9 dyrektywy PNR ( 126 ).

123. W tym względzie pragnę zauważyć, po pierwsze, że istotne informacje pozwalające na zidentyfikowanie przynajmniej niektórych poważnych przestępstw, które mogą należeć do odpowiednich rubryk załącznika II, dostarczają dyrektywy harmonizujące przyjęte w dziedzinach, o których mowa w art. 83 ust. 1 TFUE, wspomniane w przypisie 123 do niniejszej opinii. I tak, w szczególności, dyrektywa 2013/40 definiuje w art. 3–8 różne przestępstwa objęte pojęciem „cyberprzestępczości”, o którym mowa w pkt 9 tego załącznika II, jednocześnie w każdym przypadku wykluczając czyny stanowiące „przypadki mniejszej wagi” ( 127 ). Podobnie dyrektywa 2019/713 definiuje pewne rodzaje przestępstw oszustwa, a dyrektywa 2017/1371 określa znamiona „nadużyć na szkodę interesów finansowych Unii”. W tym kontekście należy również wspomnieć przyjętą na podstawie art. 175 ust. 1 WE dyrektywę 2008/99/WE w sprawie ochrony środowiska poprzez prawo karne ( 128 ), która definiuje w art. 3 szereg poważnych przestępstw związanych z ochroną środowiska, mogących podlegać rubryce 10 załącznika II, w tym czyny kwalifikujące się jako „nielegalny handel zagrożonymi gatunkami zwierząt oraz zagrożonymi gatunkami i odmianami roślin”, z wyłączeniem czynów mających nieznaczny wpływ na chronione dobro. Wreszcie, przypomnę dyrektywę 2002/90/WE ( 129 ), która definiuje ułatwianie nielegalnego wjazdu, tranzytu i pobytu, decyzję ramową 2002/946/WSiSW ( 130 ) mającą na celu wzmocnienie systemu karnego w celu ścigania tyc