NÁVRHY GENERÁLNEHO ADVOKÁTA

GIOVANNI PITRUZZELLA

prednesené 27. januára 2022 ( 1 )

Vec C‑817/19

Ligue des droits humains

proti

Conseil des ministres

[návrh na začatie prejudiciálneho konania, ktorý podal Cour constitutionnelle (Ústavný súd, Belgicko)

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Spracúvanie údajov z osobného záznamu o cestujúcom (PNR) – Nariadenie (EÚ) 2016/679 – Pôsobnosť – Smernica (EÚ) 2016/681 – Platnosť – Charta základných práv Európskej únie – Články 7, 8 a článok 52 ods. 1“

Obsah

I. Úvod II. Právny rámec A. Právo Únie 1. Charta 2. GDPR 3. Smernica PNR 4. Ďalšie relevantné právne akty Únie B. Belgické právo C. Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore III. Analýza A. O prvej prejudiciálnej otázke B. O druhej, tretej, štvrtej, šiestej a ôsmej prejudiciálnej otázke 1. O základných právach uvedených v článkoch 7 a 8 Charty 2. O zásahu do základných práv uvedených v článkoch 7 a 8 Charty 3. O odôvodnení zásahu vyplývajúceho zo smernice PNR a) O dodržaní požiadavky, podľa ktorej akékoľvek obmedzenie výkonu základného práva zakotveného v Charte musí byť stanovené zákonom b) O rešpektovaní podstaty práv uvedených v článkoch 7 a 8 Charty c) O dodržaní požiadavky, podľa ktorej zásah musí zodpovedať cieľu všeobecného záujmu d) O dodržiavaní zásady proporcionality 1) O vhodnosti spracúvania údajov z PNR podľa smernice PNR vzhľadom na sledovaný cieľ 2) O striktnej nevyhnutnosti zásahu i) O vymedzení účelov spracúvania údajov z PNR ii) O kategóriách údajov z PNR uvedených v smernici PNR (druhá a tretia prejudiciálna otázka) – O dostatočne jasnej a presnej povahe bodov 12 a 18 prílohy I (tretia prejudiciálna otázka) – O rozsahu údajov vymenovaných v prílohe I (druhá prejudiciálna otázka) – O citlivých údajoch iii) O pojme „cestujúci“ (štvrtá prejudiciálna otázka) iv) O dostatočne jasnej a presnej povahe predbežného posúdenia cestujúcich a o tom, či neprekračuje rámec toho, čo je striktne nevyhnutné (šiesta prejudiciálna otázka) – O porovnaní s databázami v zmysle článku 6 ods. 3 písm. a) smernice PNR – O spracúvaní údajov z PNR na základe vopred stanovených kritérií – O zárukách spojených s automatizovaným spracúvaním údajov z PNR – Záver k šiestej prejudiciálnej otázke v) O uchovávaní údajov z PNR (ôsma prejudiciálna otázka) 4. Závery k druhej, tretej, štvrtej, šiestej a ôsmej prejudiciálnej otázke C. O piatej prejudiciálnej otázke D. O siedmej prejudiciálnej otázke E. O deviatej prejudiciálnej otázke F. O desiatej prejudiciálnej otázke IV. Návrh

I. Úvod

1. Týmto návrhom na začatie prejudiciálneho konania Cour constitutionnelle (Ústavný súd, Belgicko) predkladá Súdnemu dvoru súbor desiatich prejudiciálnych otázok týkajúcich sa výkladu nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej len „GDPR“) ( 2 ), ako aj platnosti a výkladu smernice Európskeho parlamentu a Rady (EÚ) 2016/681 z 27. apríla 2016 o využívaní údajov zo záznamov o cestujúcich (PNR) na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti (ďalej len „smernica PNR“) ( 3 ) a smernice Rady 2004/82/ES z 29. apríla 2004 o povinnosti dopravcov oznamovať údaje o cestujúcich (ďalej len „smernica API“) ( 4 ). Tieto otázky boli položené v rámci žaloby podanej neziskovým združením Ligue des droits humains (Liga pre ľudské práva, ďalej len „LDH“), ktorou sa domáha úplného alebo čiastočného zrušenia loi du 25 décembre 2016 relative au traitement des données des passagers (zákon z 25. decembra 2016 o spracúvaní údajov o cestujúcich) (ďalej aj len „zákon PNR“) ( 5 ), ktorým sa do belgického práva preberá smernica PNR a smernica API.

2. Otázky, o ktorých má Súdny dvor v tejto veci rozhodnúť, spadajú do rámca jednej z hlavných dilem súčasného liberálno‑demokratického konštitucionalizmu: ako by sa mala vymedziť rovnováha medzi jednotlivcom a spoločenstvom v ére dát, keď digitálne technológie umožnili zhromažďovať, spracúvať, uchovávať a analyzovať na prognostické účely obrovské množstvo osobných údajov? Algoritmy, analýzu veľkých objemov dát a umelú inteligenciu, ktoré využívajú orgány verejnej moci, možno použiť na presadzovanie a ochranu základných záujmov spoločnosti s doteraz nepredstaviteľnou účinnosťou: od ochrany verejného zdravia po udržateľnosť životného prostredia, od boja proti terorizmu po predchádzanie trestnej činnosti, a to najmä závažnej trestnej činnosti. Neselektívne zhromažďovanie osobných údajov a používanie digitálnych technológií orgánmi verejnej moci môže zároveň viesť ku vzniku digitálneho panoptika, teda verejnej moci, ktorá vidí všetko bez toho, aby bola videná. Vševediaca moc, ktorá dokáže kontrolovať a predvídať správanie každého z nás a prijímať potrebné opatrenia, môže dospieť až do paradoxného štádia vymysleného Stevenom Spielbergom vo filme Minority Report, keď bude preventívne odňatá sloboda páchateľovi zločinu, ktorý sa ešte nestal. Ako je známe, v niektorých krajinách má spoločnosť prednosť pred jednotlivcom a využívanie osobných údajov umožňuje legitímne vykonávať účinné monitorovanie veľkého množstva ľudí s cieľom chrániť verejné záujmy, ktoré sa považujú za hlavné. Naopak, európsky konštitucionalizmus – národný a nadnárodný – so svojím zameraním na jednotlivca a jeho slobody, vytvára značné prekážky pre vznik spoločnosti hromadného sledovania, a to najmä uznaním základných práv na ochranu súkromia a na ochranu osobných údajov. Do akej miery však možno klásť túto prekážku bez toho, aby sa vážne narušili niektoré základné záujmy spoločnosti, akými sú napríklad vyššie uvedené záujmy, ktoré ale môžu mať svoje ústavné vyjadrenie? Práve to je jadrom otázky týkajúcej sa vzťahu medzi jednotlivcom a spoločenstvom v digitálnej spoločnosti. Ide o otázku, ktorá si na jednej strane vyžaduje hľadanie a vytváranie krehkej rovnováhy medzi záujmami spoločenstva a právami jednotlivcov, pričom vychádza z mimoriadnej dôležitosti, ktorú majú títo jednotlivci v európskom ústavnom dedičstve, a na druhej strane vyžaduje zavedenie určitých záruk proti zneužitiu. V tomto prípade sa opäť dostávame k súčasnej verzii klasickej témy ústavnosti, pretože, ako sa výstižne spomína v Le Féderaliste, ľudia nie sú anjeli, a preto potrebujeme právne mechanizmy na obmedzenie a kontrolu verejnej moci.

3. To sú otázky všeobecnej povahy, ktoré zapadajú do kontextu týchto návrhov, ktoré budú vychádzať predovšetkým z výkladu práva Únie vo svetle predchádzajúcej judikatúry Súdneho dvora s použitím osvedčených postupov, medzi ktoré patrí aj konformný výklad. Ide o metódu, ktorá bude v týchto návrhoch využívaná často tam, kde to bude z právneho hľadiska možné, s cieľom nájsť z ústavného hľadiska nevyhnutnú rovnováhu medzi verejnými cieľmi, na ktorých je založený systém prenosu, zhromažďovania a spracúvania údajov z osobného záznamu o cestujúcom (ďalej len „údaje z PNR“), a právami zakotvenými v článkoch 7 a 8 Charty základných práv Európskej únie (ďalej len „Charta“).

II. Právny rámec

A. Právo Únie

1. Charta

4. Podľa článku 7 Charty „každý má právo na rešpektovanie svojho súkromného a rodinného života, obydlia a komunikácie“.

5. Podľa článku 8 Charty: „1. Každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. 2. Tieto údaje musia byť riadne spracované na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom. Každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu. 3. Dodržiavanie týchto pravidiel podlieha kontrole nezávislého orgánu.“

6. Podľa článku 52 ods. 1 Charty „akékoľvek obmedzenie výkonu práv a slobôd uznaných v tejto charte musí byť ustanovené zákonom a rešpektovať podstatu týchto práv a slobôd. Za predpokladu dodržiavania zásady proporcionality možno tieto práva a slobody obmedziť len vtedy, ak je to nevyhnutné a skutočne to zodpovedá cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo ak je to potrebné na ochranu práv a slobôd iných.“

2. GDPR

7. Článok 2 ods. 2 písm. d) GDPR vylučuje z pôsobnosti tohto nariadenia spracúvanie osobných údajov „príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania“.

8. Podľa článku 23 ods. 1 písm. d) GDPR: „V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť: … d) predchádzanie trestným činom, ich vyšetrovanie, odhaľovanie alebo stíhanie alebo výkon trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzanie.“

3. Smernica PNR

9. Nižšie uvediem len stručný prehľad fungovania systému zavedeného smernicou PNR. Podrobnejšie informácie o obsahu ustanovení smernice PNR, ktoré sú relevantné na účely odpovede na prejudiciálne otázky, budú poskytnuté v rámci právnej analýzy.

10. Podľa článku 1 smernice PNR, ktorá bola prijatá na základe článku 82 ods. 1 písm. d) ZFEÚ a článku 87 ods. 2 písm. a) ZFEÚ, sa touto smernicou zriaďuje na úrovni Európskej únie systém prenosu údajov PNR na letoch mimo EÚ ( 6 ), ktorý vykonávajú leteckí dopravcovia, ako aj zhromažďovania, spracúvania a uchovávania týchto údajov zo strany príslušných orgánov členských štátov na účely boja proti terorizmu a závažnej trestnej činnosti.

11. Podľa článku 3 bodu 5 tejto smernice „záznamy o cestujúcich“ alebo „PNR“ sú „záznamy o cestovných požiadavkách jednotlivých cestujúcich, ktoré obsahujú informácie potrebné na spracúvanie rezervácie a jej kontrolu zo strany rezervujúceho a zúčastneného leteckého dopravcu pre každú cestu, ktorú si osoba rezervovala alebo ktorá bola rezervovaná v jej mene, bez ohľadu na to, či sú obsiahnuté v rezervačných systémoch, systémoch kontroly odletov, používané na vybavenie cestujúcich alebo v rovnocenných systémoch poskytujúcich tie isté funkcie“.

12. Príloha I k smernici PNR (ďalej len „príloha I“) vymenúva údaje zo záznamov o cestujúcich zhromažďované leteckým dopravcami, ktoré sa prenášajú v zmysle a spôsobom stanoveným v článku 8 tejto smernice.

13. Príloha II k smernici PNR (ďalej len „príloha II“) obsahuje zoznam trestných činov, ktoré predstavujú „závažnú trestnú činnosť“ v zmysle článku 3 bodu 9 tejto smernice.

14. Článok 2 smernice PNR stanovuje pre členské štáty možnosť rozhodnúť, že budú uplatňovať túto smernicu aj na „lety vnútri EÚ“ ( 7 ) alebo na niektoré z nich, ktoré považujú za „nevyhnuté“ v záujme sledovania cieľov uvedenej smernice.

15. Podľa článku 4 ods. 1 smernice PNR „každý členský štát zriadi alebo určí orgán zodpovedný za prevenciu, odhaľovanie, vyšetrovanie alebo stíhanie teroristických trestných činov a závažnej trestnej činnosti alebo podriadený útvar takéhoto orgánu, ktorý bude konať ako [útvar informácií o cestujúcich] PIU“. V súlade s článkom 4 ods. 2 písm. a) je útvar PIU okrem iného zodpovedný za zhromažďovanie údajov PNR od leteckých dopravcov, ich uchovávanie a spracúvanie týchto údajov a za prenos týchto údajov alebo výsledky ich spracúvania príslušným orgánom uvedeným v článku 7 smernice o PNR. Podľa článku 7 ods. 2 týmito orgánmi sú „orgány s právomocou v oblasti prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti“ ( 8 ).

16. Podľa článku 6 ods. 1 druhej vety smernice PNR „ak údaje PNR prenesené leteckými dopravcami obsahujú údaje iné ako údaje zo zoznamu uvedeného v prílohe I, PIU tieto údaje ihneď po ich prijatí natrvalo vymaže“. Odsek 2 tohto článku znie: „2. PIU spracúva údaje PNR iba na tieto účely: a) vykonanie posúdenia cestujúcich pred ich plánovaným príletom do členského štátu alebo odletom z neho s cieľom identifikovať osoby, ktoré by mali príslušné orgány uvedené v článku 7 a v relevantných prípadoch Europol v súlade s článkom 10 ďalej preskúmať vzhľadom na to, že by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti; b) reagovanie na individuálnom základe na riadne odôvodnenú, dostatočne podloženú žiadosť príslušných orgánov o poskytnutie a spracovanie údajov PNR v konkrétnych prípadoch na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov alebo závažnej trestnej činnosti a poskytnutie výsledkov takéhoto spracúvania príslušným orgánom, prípadne Europolu, a c) analýza údajov PNR na účely aktualizácie alebo vytvárania nových kritérií, ktoré sa majú používať pri posúdeniach vykonávaných podľa odseku 3 písm. b) s cieľom identifikovať osoby, ktoré sa môžu podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti.“

17. Článok 12 smernice PNR obsahuje ustanovenia o uchovávaní údajov z PNR.

18. Článok 5 smernice PNR stanovuje, že každý útvar PIU vymenuje zodpovednú osobu, ktorá bude zodpovedná za monitorovanie spracovania údajov z PNR a uplatňovanie príslušných záruk. Okrem toho podľa článku 15 tejto smernice je každý členský štát povinný poveriť vnútroštátny dozorný orgán uvedený v článku 25 rámcového rozhodnutia 2008/977/SVV ( 9 ), ktoré bolo nahradené smernicou Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (ďalej len „smernica o ochrane“) ( 10 ), monitorovaním uplatňovania ustanovení prijatých na základe tejto smernice na svojom území. Tento orgán, ktorý vykonáva svoje úlohy so zreteľom na ochranu základných práv pri spracúvaní osobných údajov, ( 11 ) je okrem iného zodpovedný jednak za riešenie sťažností podaných akoukoľvek dotknutou osobou, vyšetrovanie danej záležitosti a informovanie dotknutej osoby o vývoji a výsledku šetrenia jej sťažnosti v primeranej lehote, a jednak za overenie zákonnosti spracúvania údajov, vedenie vyšetrovania, inšpekcie a audity v súlade s vnútroštátnym právom, a to buď z vlastného podnetu alebo na základe sťažnosti. ( 12 )

4. Ďalšie relevantné právne akty Únie

19. Právny rámec prejednávanej veci dopĺňa smernica API a smernica o ochrane. Z dôvodov zrozumiteľnosti týchto návrhov bude obsah relevantných ustanovení týchto aktov uvedený v rozsahu potrebnom na vyriešenie otázok, ktorých sa týkajú, alebo všeobecne pre potreby právnej analýzy.

B. Belgické právo

20. Podľa článku 22 Constitution belge (belgická Ústava) „každý má právo na rešpektovanie svojho súkromného a rodinného života, s výnimkou prípadov a podmienok stanovených zákonom“.

21. Podľa článku 2 zákona PNR sa týmto zákonom preberá smernica API a smernica PNR, ako aj čiastočne smernica 2010/65/EÚ ( 13 ).

22. Zákon PNR podľa svojho článku 3 ods. 1 „určuje povinnosti dopravcov a cestovných kancelárií týkajúce sa prenosu údajov o cestujúcich, ktorí cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú“. Podľa článku 4 bodov 1 a 2 tohto zákona sa pod pojmom „dopravca“ rozumie „každá fyzická alebo právnická osoba, ktorá v rámci podnikateľskej činnosti poskytuje prepravu osôb leteckou, námornou, železničnou alebo pozemnou dopravou“ a pod pojmom „cestovná kancelária“ každý „organizátor alebo sprostredkovateľ cesty v zmysle zákona zo 16. februára 1994, ktorým sa spravuje zmluva o organizovaní ciest a zmluva o sprostredkovaní ciest“.

23. Článok 8 zákona PNR stanovuje: „1. Údaje o cestujúcich sa spracúvajú na tieto účely: (1) vyšetrovanie a stíhanie, vrátane výkonu trestov alebo opatrení obmedzenia osobnej slobody, ktoré sa týkajú trestných činov uvedených v článku 90b ods. 2 bodoch… 7,…8,…11,…14,…17, 18, 19 a článku 90b ods. 3 Code d’instruction criminelle [Trestný poriadok]; (2) vyšetrovanie a stíhanie, vrátane výkonu trestov alebo opatrení obmedzenia osobnej slobody, ktoré sa týkajú trestných činov uvedených v článku 196, pokiaľ ide o trestné činy pozmeňovania verejných listín, a článkoch 198, 199, 199a, 207, 213, 375 a 505 Code pénal [Trestný zákon]; (3) predchádzanie závažným narušeniam verejnej bezpečnosti súvisiacim s násilnou radikalizáciou prostredníctvom sledovania javov a skupín v súlade s článkom 44/5 ods. 1 bodmi 2 a 3 a článkom 44/5 ods. 2 loi du 5 août 1992 sur la fonction de police [zákon z 5. augusta 1992 o policajnej službe]; (4) monitorovanie činností uvedených v článku 7 bodoch 1 a 3/1, článku 11 ods. 1 bodoch 1 až 3 a 5 loi du 30 novembre 1998 organique des services de renseignement et de sécurité [organický zákon z 30. novembra 1998 o spravodajských a bezpečnostných službách][ ( 14 )]; (5) vyšetrovanie a stíhanie trestných činov uvedených v článku 220 ods. 2 loi générale sur les douanes et accises du 18 juillet 1977 [všeobecný zákon o clách a spotrebných daniach z 18. júla 1977] a článku 45 ods. 3 loi du 22 décembre 2009 relative au régime général d’accise [zákon z 22. decembra 2009 o všeobecnom systéme spotrebných daní]… 2. Za podmienok stanovených v kapitole 11 sa údaje o cestujúcich spracúvajú aj na účely zlepšenia kontrol osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu.“

24. Článok 9 zákona PNR obsahuje zoznam údajov, ktoré sa prenášajú. Tieto údaje zodpovedajú údajom uvedeným v prílohe I.

25. Podľa článku 18 zákona PNR „údaje o cestujúcich sa uchovávajú v databáze cestujúcich najviac päť rokov od ich zaznamenania. Po uplynutí tejto doby sa vymažú“.

26. Článok 19 tohto zákona stanovuje, že „po uplynutí obdobia šiestich mesiacov od zaznamenania údajov o cestujúcich do databázy cestujúcich sú všetky údaje o cestujúcich anonymizované prostredníctvom maskovania jednotlivých informácií“.

27. Článok 24 zákona PNR stanovuje: „1. Údaje o cestujúcich sa spracúvajú na účely vykonania predbežného posúdenia cestujúcich pred ich plánovaným príchodom na vnútroštátne územie, odchodom z tohto územia alebo tranzitom cez neho, s cieľom určiť, ktoré osoby treba podrobiť ďalšiemu preskúmaniu. 2. V rámci cieľov uvedených v článku 8 ods. 1 bodoch 1, 4 a 5, alebo súvisiacich s hrozbami spomenutými v článku 8 ods. 1 písm. a), b), c), d), f), g) a článku 11 ods. 2 organického zákona z 30. novembra 1998 o spravodajských a bezpečnostných službách je predbežné posúdenie cestujúcich založené na pozitívnej zhode vyplývajúcej z korelácie medzi údajmi o cestujúcich a: (1) databázami, ktoré spravujú príslušné orgány alebo ktoré sú im priamo dostupné či prístupné v rámci ich úloh, alebo zoznamami osôb vypracovaných príslušnými orgánmi v rámci ich úloh. (2) kritériami hodnotenia, ktoré vopred stanovil PIU a ktoré sú uvedené v článku 25. 3. V rámci cieľov uvedených v článku 8 ods. 1 bode 3 je predbežné posúdenie cestujúcich založené na pozitívnej zhode vyplývajúcej z korelácie medzi údajmi o cestujúcich a databázami uvedenými v odseku 2 bode 1. …“

28. Článok 25 zákona PNR preberá obsah článku 6 ods. 4 smernice PNR.

29. Kapitola 11 zákona z PNR obsahuje ustanovenia, ktoré upravujú spracúvanie údajov o cestujúcich na účely zlepšenia kontroly hraníc a boja proti nelegálnemu prisťahovalectvu. Tieto ustanovenia predstavujú prebratie smernice API do belgického práva.

30. Článok 44 zákona PNR stanovuje, že útvar PIU určí v rámci Service public fédéral intérieur (Federálne ministerstvo vnútra, Belgicko) zodpovednú osobu pre ochranu údajov. Dohľad nad uplatňovaním ustanovení zákona PNR vykonáva Commission de la protection de la vie privée (Komisia na ochranu súkromia).

31. Článok 51 zákona z PNR mení organický zákon z 30. novembra 1998 o spravodajských a bezpečnostných službách vložením článku 16/3, ktorý znie: „1. Spravodajské a bezpečnostné služby môžu v záujme plnenia svojich úloh rozhodnúť na základe riadneho odôvodnenia o prístupe k údajom o cestujúcich, ktoré sú uvedené v článku 7 zákona [PNR]. 2. Rozhodnutie uvedené v odseku 1 prijíma riaditeľ služby a písomne ho oznamuje l’Unité d’information des passagers [Útvar informácií o cestujúcich] uvedenému v kapitole 7 vyššie uvedeného zákona. Rozhodnutie sa oznámi Comité permanent R [Stály výbor R] spolu s odôvodnením. Stály výbor R zakazuje spravodajským a bezpečnostným službám využívať údaje zhromaždené za podmienok, ktoré nie sú v súlade so zákonnými podmienkami. Rozhodnutie sa môže vzťahovať na súbor údajov týkajúcich sa konkrétneho spravodajského vyšetrovania. V tomto prípade sa záznamy o nahliadnutí do údajov o cestujúcich oznamujú raz mesačne Stálemu výboru R.“

C. Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore

32. Návrhom zaslaným Cour constitutionnelle (Ústavný súd) 24. júla 2017 podala LDH žalobu, ktorou sa domáha úplného alebo čiastočného zrušenia zákona PNR. Na podporu svojej žaloby uviedla dva žalobné dôvody.

33. V rámci svojho prvého žalobného dôvodu, ktorý bol predložený ako hlavný dôvod a ktorý je založený na porušení článku 22 belgickej Ústavy v spojení s článkom 23 GDPR, článkami 7, 8 a článkom 52 ods. 1 Charty, ako aj s článkom 8 Európskeho dohovoru o ochrane ľudských práv a základných slobôd, podpísaného 4. novembra 1950 v Ríme (ďalej len „EDĽP“), LDH zastáva názor, že napadnutý zákon nerešpektuje zásadu proporcionality, pokiaľ ide o jeho pôsobnosť a uvádzané kategórie údajov, spracúvanie údajov, ktoré zavádza, jeho ciele a dobu uchovávania údajov. Konkrétne tvrdí, že vymedzenie údajov z PNR je príliš široké a môže viesť k odhaleniu citlivých údajov a že definícia pojmu „cestujúci“ obsiahnutá v tomto zákone umožňuje systematické necielené spracúvanie údajov o všetkých príslušných cestujúcich. Okrem toho sa LDH domnieva, že zákon PNR dostatočne jasne nevymedzuje povahu a pravidlá metódy pre‑screening vykonávanej v databázach údajov o cestujúcich, ani kritériá slúžiace ako „ukazovatele hrozby“. Napokon zastáva názor, že zákon PNR prekračuje hranice toho, čo je prísne nevyhnutné, keďže sleduje účely spracúvania údajov z PNR, ktoré sú širšie než tie, ktoré stanovuje smernica PNR, a že päťročná doba uchovávania údajov z PNR je neprimeraná. Svojím druhým žalobným dôvodom uvádzaným subsidiárne a založeným na porušení článku 22 belgickej Ústavy v spojení s článkom 3 ods. 2 ZEÚ a článkom 45 Charty LDH napáda ustanovenia kapitoly 11 zákona PNR, ktorými sa preberá smernica API.

34. Conseil des ministres du Royaume de Belgique (Rada ministrov Belgického kráľovstva) ako vedľajší účastník konania na Cour constitutionnelle (Ústavný súd) namieta proti žalobe LDH, pričom spochybňuje tak prípustnosť, ako aj opodstatnenosť oboch žalobných dôvodov uvádzaných na jej podporu.

35. Cour constitutionnelle (Ústavný súd) uvádza nasledujúce úvahy.

36. V súvislosti s prvým žalobným dôvodom sa pýta, či je vymedzenie údajov z PNR uvedené v prílohe I dostatočne jasné a presné. Opis niektorých z týchto údajov je ilustratívny a nie je vyčerpávajúci. Ďalej tento súd poukazuje na to, že definícia pojmu „cestujúci“ uvedená v článku 3 bode 4 smernice PNR má za následok zhromažďovanie, prenos, spracúvanie a uchovávanie údajov z PNR každej osoby, ktorá sa prepravuje alebo má byť prepravená a je zapísaná do zoznamu cestujúcich, bez ohľadu na to, či existujú závažné dôvody domnievať sa, že dotknutá osoba spáchala alebo sa chystá spáchať trestný čin, alebo bola odsúdená za spáchanie trestného činu. V súvislosti so spracúvaním údajov z PNR poznamenáva, že tieto údaje systematicky podliehajú predbežnému posúdeniu, ktoré zahŕňa vzájomné porovnávanie údajov z PNR všetkých cestujúcich s databázami alebo vopred stanovenými kritériami s cieľom nájsť zhody. Cour constitutionnelle (Ústavný súd) však spresňuje, že hoci kritériá musia byť konkrétne, spoľahlivé a nediskriminačné, zrejme je technicky nemožné presnejšie vymedziť vopred stanovené kritériá, ktoré budú slúžiť na určenie rizikových profilov. Pokiaľ ide o dobu uchovávania údajov z PNR stanovenú v článku 12 ods. 1 smernice PNR, podľa ktorého sa uvedené údaje môžu uchovávať po dobu piatich rokov, vnútroštátny súd zastáva názor, že údaje z PNR sa uchovávajú bez ohľadu na to, či sa v rámci predbežného posúdenia ukázalo, že dotknutí cestujúci predstavujú riziko pre verejnú bezpečnosť alebo takéto riziko nepredstavujú. Za týchto podmienok vnútroštátny súd predkladá otázku, či vzhľadom na judikatúru vyplývajúcu najmä z rozsudku z 21. decembra 2016, Tele2 Sverige a Watson a i. ( 15 ), a stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ), z 26. júla 2017 ( 16 ), možno v prípade systému zhromažďovania, prenosu, spracúvania a uchovávania údajov z PNR stanoveného v smernici PNR usúdiť, že nejde nad rámec toho, čo je striktne nevyhnutné. V tejto súvislosti sa tento súd tiež pýta, či smernica PNR bráni takej vnútroštátnej právnej úprave, aká vyplýva z článku 8 ods. 1 bodu 4 zákona PNR, ktorý povoľuje spracúvanie údajov z PNR na iný účel, než sú účely stanovené touto smernicou. Napokon sa pýta, či možno útvar PIU považovať za „iný vnútroštátny orgán“, ktorý môže podľa článku 12 ods. 3 písm. b) bodu ii) smernice PNR povoliť sprístupnenie úplných údajov z PNR po uplynutí šesťmesačnej lehoty. Pokiaľ ide o druhý žalobný dôvod, vnútroštátny súd uvádza, že smeruje proti článku 3 ods. 1, článku 8 ods. 2 a článkom 28 až 31 zákona PNR, ktoré upravujú zhromažďovanie a spracúvanie údajov o cestujúcich na účely boja proti nelegálnemu prisťahovalectvu a zlepšenia hraničných kontrol. Tento súd pripomína, že podľa prvého z týchto ustanovení uvedený zákon zahŕňa lety na vnútroštátne územie, z tohto územia a cez toto územie, a spresňuje, že vnútroštátny zákonodarca zahrnul lety „vnútri EÚ“ do pôsobnosti toho istého zákona s cieľom získať „ucelenejší obraz o pohybe cestujúcich, ktorí predstavujú potenciálnu hrozbu pre bezpečnosť [na úrovni Únie] a pre národnú bezpečnosť“, pričom sa opieral o možnosť stanovenú v článku 2 smernice PNR v spojení s jej odôvodnením 10.

37. Za týchto okolností Cour constitutionnelle (Ústavný súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky: „1. Má sa článok 23 [GDPR] v spojení s článkom 2 ods. 2 písm. d) tohto nariadenia, vykladať v tom zmysle, že sa vzťahuje na vnútroštátnu právnu úpravu, akou je zákon [PNR], ktorým sa preberá smernica [PNR], ako aj smernica [API] a smernica 2010/65? 2. Je príloha I… zlučiteľná s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže údaje, ktoré sú v nej vymenované, sú veľmi obsiahle – najmä údaje uvedené v bode 18 [tejto prílohy I], ktoré sú obsiahlejšie než údaje uvedené v článku 3 ods. 2 smernice [API] – a z tohto dôvodu by celkovo mohli prezrádzať citlivé údaje, a tak prekračovať rámec toho, čo je ‚striktne nevyhnutné‘? 3. Sú body 12 a 18 prílohy I… zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže vzhľadom na výrazy ‚notamment (vrátane)‘ a ‚y compris (vrátane)‘ sú údaje, na ktoré sa tieto výrazy vzťahujú, uvedené ako príklad a nie sú úplné, a teda požiadavka presnosti a jasnosti pravidiel zásahu do práva na rešpektovanie súkromného života a práva na ochranu osobných údajov, nie je pravdepodobne dodržaná? 4. Sú článok 3 bod 4 smernice [PNR] a príloha I… zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže systém všeobecného zhromažďovania, prenosu a spracúvania údajov o cestujúcich, ktorý tieto ustanovenia zavádzajú, sa vzťahuje na každú osobu, ktorá využíva daný dopravný prostriedok, nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že táto osoba môže predstavovať riziko pre verejnú bezpečnosť? 5. Má sa článok 6 smernice [PNR] v spojení s článkami 7, 8 a článkom 52 ods. 1 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý ako účel spracúvania údajov z PNR pripúšťa monitorovanie činností, na ktoré sa zameriavajú spravodajské a bezpečnostné služby, čím sa tento účel začleňuje do predchádzania, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti? 6. Je článok 6 smernice [PNR] zlučiteľný s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže predbežné posúdenie, ktoré upravuje, vykonávané koreláciou s databázami a vopred určenými kritériami, sa systematicky a všeobecne vzťahuje na údaje o cestujúcich nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že títo cestujúci môžu predstavovať riziko pre verejnú bezpečnosť? 7. Môže sa pojem ‚iný príslušný vnútroštátny orgán‘ uvedený v článku 12 ods. 3 smernice [PNR] vykladať v tom zmysle, že sa vzťahuje na útvar PIU zriadený zákonom [PNR], ktorý by teda mohol po uplynutí obdobia šiestich mesiacov povoliť prístup k údajom z PNR v súvislosti s ad hoc zisťovaním? 8. Má sa článok 12 smernice [PNR] v spojení s článkami 7, 8 a článkom 52 ods. 1 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý stanovuje všeobecnú dobu uchovávania údajov v dĺžke piatich rokov bez toho, aby v rámci predbežného posúdenia rozlišoval medzi prípadom, keď sa ukáže, že dotknutí cestujúci predstavujú riziko pre verejnú bezpečnosť a prípadom, keď sa ukáže, že takéto riziko nepredstavujú? 9. a) Je smernica [API] zlučiteľná s článkom 3 ods. 2 [ZEÚ] a článkom 45 [Charty], keďže sa povinnosti, ktoré stanovuje, vzťahujú na lety v rámci [Únie]? b) Má sa smernica [API] v spojení s článkom 3 ods. 2 [ZEÚ] a článkom 45 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý na účely boja proti nelegálnemu prisťahovalectvu a zlepšenia hraničných kontrol povoľuje systém zhromažďovania a spracúvania údajov o cestujúcich, ‚ktorí cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú‘, čo by mohlo nepriamo viesť k obnoveniu kontrol na vnútorných hraniciach? 10. Ak by Cour constitutionnelle (Ústavný súd) na základe odpovedí na predchádzajúce prejudiciálne otázky dospel k záveru, že napadnutý zákon, ktorým sa preberá najmä smernica [PNR], porušuje jednu alebo viaceré povinnosti vyplývajúce z ustanovení uvedených v týchto otázkach, mohol by prechodne zachovať účinky zákona [PNR], aby tak zabránil vzniku právnej neistoty a umožnil ešte použitie v minulosti zhromaždených a uchovávaných údajov na účely stanovené [týmto] zákonom?“

38. Na základe článku 23 Štatútu Súdneho dvora Európskej únie písomné pripomienky predložili LDH, belgická, česká, dánska, nemecká, estónska, írska, španielska, francúzska, cyperská, lotyšská, holandská, rakúska, poľská a fínska vláda, ako aj Európsky parlament, Rada Európskej únie a Európska komisia. V súlade s článkom 24 Štatútu Súdneho dvora boli Komisia, Európsky dozorný úradník pre ochranu údajov (EDPS) a Agentúra Európskej únie pre základné práva (FRA) vyzvaní, aby písomne odpovedali na otázky položené Súdnym dvorom. Pojednávanie sa konalo 13. júla 2021.

III. Analýza

A. O prvej prejudiciálnej otázke

39. Svojou prvou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, či sa má článok 2 ods. 2 písm. d) GDPR vykladať v tom zmysle, že toto nariadenie, a najmä jeho článok 23 ods. 1, podľa ktorého v práve Únie alebo práve členských štátov možno prostredníctvom legislatívneho opatrenia obmedziť z taxatívne vymenovaných dôvodov rozsah povinností a práv stanovených v uvedenom nariadení, sa vzťahuje na spracúvanie údajov vykonávané na základe vnútroštátnej právnej úpravy, akou je zákon PNR, ktorým sa do vnútroštátneho práva preberá smernica PNR, ako aj smernica API a smernica 2010/65.

40. Článok 2 ods. 2 GDPR stanovuje výnimky z pôsobnosti tohto nariadenia, ktoré sú veľmi široko vymedzené ( 17 ) v jeho článku 2 ods. 1 ( 18 ) Keďže ide o výnimky z uplatňovania právnej úpravy upravujúcej spracovanie osobných údajov, ktoré môžu zasahovať do základných slobôd, treba tieto výnimky vykladať reštriktívne. ( 19 )

41. Článok 2 ods. 2 písm. d) GDPR obsahuje najmä ustanovenie o vylúčení, podľa ktorého sa toto nariadenie nevzťahuje na spracúvanie osobných údajov vykonávané „príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania“. Toto ustanovenie o vylúčení je založené na dvojitom subjektívnom a objektívnom kritériu. Z pôsobnosti uvedeného nariadenia je tak vylúčené spracovanie údajov vykonávané po prvé „príslušnými orgánmi“ a po druhé na účely vymenované v tomto ustanovení. Je preto potrebné posúdiť rôzne typy spracúvania údajov, na ktoré sa vzťahuje zákon PNR, z hľadiska tohto dvojitého kritéria.

42. Pokiaľ ide v prvom rade o spracúvania údajov vykonávané dopravcami (leteckými, železničnými, pozemnými a námornými) pre útvar PIU alebo cestovnými kanceláriami na účely poskytovania služieb alebo obchodné účely, pokiaľ sa na ne vzťahuje uvedený zákon, naďalej sa riadia GDPR, keďže nie je splnená ani subjektívna, ani objektívna časť kritéria vylúčenia obsiahnutého v článku 2 ods. 2 písm. d) tohto nariadenia.

43. Pokiaľ ide v druhom rade o prenos údajov z PNR dopravcami alebo cestovnými kanceláriami útvaru PIU, ktorý sám osebe predstavuje „spracúvanie“ v zmysle článku 4 bodu 2 GDPR, ( 20 ) jeho zahrnutie do pôsobnosti tohto nariadenia je menej zjavné.

44. Na jednej strane totiž tento prenos nevykonáva „príslušný orgán“ v zmysle článku 3 bodu 7 smernice o ochrane, na ktorý treba analogicky odkázať, keďže GDPR neobsahuje definíciu tohto pojmu. ( 21 ) Hospodársky subjekt, akým je dopravná spoločnosť alebo cestovná kancelária, ktorý má len zákonnú povinnosť prenosu osobných údajov a ktorému nebola zverená žiadna výsada verejnej moci, ( 22 ) nemôže byť považovaný za orgán alebo subjekt v zmysle uvedeného článku 3 bodu 7 písm. b). ( 23 )

45. Na druhej strane sa prenos údajov z PNR dopravnými spoločnosťami a cestovnými kanceláriami uskutočňuje na splnenie povinnosti stanovenej zákonom s cieľom umožniť dosiahnutie cieľov uvedených v článku 2 ods. 2 písm. d) GDPR.

46. Zo znenia tohto ustanovenia pritom podľa môjho názoru jasne vyplýva, že do pôsobnosti GDPR nespadajú iba spracúvania, ktoré spĺňajú subjektívnu a zároveň objektívnu časť kritéria vylúčenia uvedeného v tomto ustanovení. Na prenos údajov z PNR útvaru PIU, ktorý dopravným spoločnostiam a cestovným kanceláriám ukladá zákon PNR, sa teda toto nariadenie vzťahuje.

47. Pokiaľ ide o ustanovenia zákona PNR, ktorými sa preberá smernica PNR, je tento záver potvrdený aj článkom 21 ods. 2 tejto smernice, ktorý stanovuje, že touto smernicou „nie je dotknutá uplatniteľnosť smernice 95/46/ES ( 24 ) na spracúvanie osobných údajov leteckým dopravcami“. Výklad tohto ustanovenia navrhovaný francúzskou vládou, podľa ktorého sa ním len stanovuje, že dopravcovia naďalej podliehajú povinnostiam stanoveným v GDPR v súvislosti so spracúvaniami údajov, ktoré smernica PNR neupravuje, treba podľa môjho názoru odmietnuť. Vzhľadom na znenie tohto ustanovenia je totiž rozsah tejto „klauzuly o nezasahovaní“ široký a je vymedzený výlučne odkazom na subjekt, ktorý vykonáva spracúvanie, pričom sa nespomína ani účel spracovania, ani rámec, v ktorom k nemu dochádza, pokiaľ sa uskutočňuje pri výkone obchodnej činnosti leteckého dopravcu alebo pri plnení zákonnej povinnosti. Okrem toho poznamenávam, že ustanovenie rovnakého znenia je obsiahnuté v článku 13 ods. 3 smernice PNR, ktorý osobitne odkazuje na povinnosti leteckých dopravcov podľa GDPR, a to „prijať primerané technické a organizačné opatrenia na ochranu bezpečnosti a dôvernosti osobných údajov“. Toto ustanovenie je pritom jedným z ustanovení upravujúcich ochranu osobných údajov spracúvaných na základe smernice PNR a nadväzuje na článok 13 ods. 1 tejto smernice, ktorý vo všeobecnosti podriaďuje každé spracúvanie údajov vykonané podľa tejto smernice ustanoveniam rámcového rozhodnutia 2008/977, ktoré sú v ňom uvedené. Na rozdiel od toho, čo tvrdí francúzska vláda, takéto normatívne usporiadanie umožňuje na jednej strane vykladať uvedený článok 13 ods. 3 ako klauzulu, ktorou sa do pôsobnosti GDPR dostáva samotné spracúvanie údajov stanovené smernicou PNR, ktoré nevykonávajú „príslušné orgány“ v zmysle smernice o ochrane, a na druhej strane chápať odkaz na dodržiavanie povinností uložených uvedeným nariadením v oblasti bezpečnosti a dôvernosti údajov ako pripomenutie záruk, ktoré musia sprevádzať prenos údajov z PNR útvarom PIU zo strany dopravcov.

48. Záver uvedený v bode 46 vyššie nie je spochybnený odôvodnením 19 GDPR a odôvodnením 11 smernice o ochrane, na ktoré sa okrem iného odvolávajú francúzska, írska a nemecká vláda na podporu povahy smernice PNR ako lex specialis. V tejto súvislosti je nepochybne pravda, že táto smernica zavádza pre spracúvania osobných údajov, na ktoré sa vzťahuje, autonómny rámec ochrany týchto údajov vo vzťahu k GDPR. Tento osobitný rámec sa však vzťahuje len na spracúvanie údajov z PNR vykonávané „príslušnými orgánmi“ v zmysle článku 3 bodu 7 smernice o ochrane, medzi ktoré patria najmä útvary PIU, zatiaľ čo prenos údajov z PNR útvarom PIU naďalej podlieha všeobecnému rámcu stanovenému v GDPR, okrem iného na základe „klauzuly o nezasahovaní“ stanovenej v článku 21 ods. 2 smernice PNR.

49. Belgická, francúzska, írska a cyperská vláda na podporu svojho tvrdenia, že GDPR sa nevzťahuje na prenos údajov z PNR útvarom PIU zo strany dopravcov a cestovných kancelárií, odkazujú na rozsudok z 30. mája 2006, Parlament/Rada a Komisia ( 25 ), v ktorom Súdny dvor rozhodol, že prenos údajov z PNR orgánom Spojených štátov amerických zo strany leteckých dopravcov Spoločenstva v rámci dohody uzavretej medzi Spojenými štátmi americkými a Európskym spoločenstvom predstavuje spracúvanie osobných údajov v zmysle článku 3 ods. 2 prvej zarážky smernice 95/46 ( 26 ), a preto nepatrí do pôsobnosti tejto smernice. Na to, aby Súdny dvor dospel k tomuto záveru, zohľadnil účel prenosu, ako aj skutočnosť, že tento prenos „patrí do rámca vytvoreného orgánmi verejnej moci“, hoci údaje zhromažďovali a prenášali súkromné subjekty. ( 27 )

50. V tejto súvislosti stačí poznamenať, že v rozsudku zo 6. októbra 2020, La Quadrature du Net a i. ( 28 ), Súdny dvor v zásade rozhodol, že rozsudok Parlament/Rada nemožno uplatniť v kontexte GDPR. ( 29 )

51. Okrem toho Súdny dvor v bode 102 rozsudku La Quadrature du Net ( 30 ), v ktorom analogicky uplatnil odôvodnenie uvedené v rozsudku Tele2 Sverige a rozsudku z 2. októbra 2018, Ministerio Fiscal ( 31 ), uviedol, že „hoci [GDPR] vo svojom článku 2 ods. 2 písm. d) spresňuje, že sa nevzťahuje na operácie spracúvania ‚vykonávané príslušnými orgánmi‘ najmä na účely predchádzania trestným činom a ich odhaľovania vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania, z článku 23 ods. 1 písm. d) a h) toho istého nariadenia vyplýva, že spracúvanie osobných údajov vykonávané jednotlivcami na rovnaké účely patrí do pôsobnosti tohto nariadenia“ ( 32 ).

52. Na základe uvedeného som presvedčený, že záver, podľa ktorého prenos údajov z PNR útvarom PIU zo strany dopravných spoločností a cestovných kancelárií patrí do pôsobnosti GDPR, vyplýva jasne už zo znenia článku 2 ods. 2 písm. d) GDPR, ktorý odkazuje len na spracúvania vykonávané „príslušnými orgánmi“, pričom nie je potrebné odkazovať na obmedzujúcu klauzulu obsiahnutú v článku 23 ods. 1 uvedeného nariadenia. ( 33 ) Tvrdenie uvedené v bode 102 rozsudku La Quadrature du Net je však jasným stanoviskom Súdneho dvora v prospech takéhoto záveru.

53. Keďže prenos údajov z PNR dopravnými spoločnosťami a cestovnými kanceláriami patrí do pôsobnosti GDPR, vnútroštátna právna úprava, akou je zákon PNR, ktorá ukladá týmto spoločnostiam a kanceláriám povinnosť uskutočniť takýto prenos, predstavuje „legislatívne opatrenie“ podľa článku 23 bodu 1 písm. d) GDPR, a preto musí spĺňať podmienky stanovené v tomto ustanovení. ( 34 )

54. Pokiaľ ide v treťom rade o spracúvania údajov z PNR, ktoré vykonávajú útvary UIP a príslušné vnútroštátne orgány, uplatniteľnosť GDPR závisí, ako vyplýva z vyššie uvedených úvah, od cieľov sledovaných týmito spracúvaniami.

55. Po prvé spracúvania údajov z PNR vykonávané útvarmi PIU a príslušnými vnútroštátnymi orgánmi na účely vymenované v článku 8 ods. 1 bodoch 1 až 3 a 5 zákona PNR ( 35 ) sú teda vylúčené z pôsobnosti GDPR, keďže, ako sa zdá, uvedené účely patria medzi tie, na ktoré sa vzťahuje klauzula o vylúčení uvedená v článku 2 ods. 2 písm. d) GDPR. Na ochranu údajov osôb dotknutých týmito spracúvaniami sa vzťahuje vnútroštátne právo, s výhradou uplatnenia smernice o ochrane ( 36 ) a v rámci jej pôsobnosti aj smernice PNR.

56. Po druhé to isté platí pre spracúvania údajov z PNR vykonávané útvarmi PIU a bezpečnostnými a informačnými službami v rámci monitorovania činností uvedených v ustanoveniach organického zákona o spravodajských a bezpečnostných službách, ktoré sú vymenované v článku 8 ods. 1 bode 4 zákona PNR, pokiaľ spĺňajú účely uvedené v článku 2 ods. 2 písm. d) GDPR, čo prináleží posúdiť vnútroštátnemu súdu.

57. Belgická vláda tvrdí, že na spracúvania vykonávané na základe článku 8 ods. 1 bodu 4 zákona PNR sa v každom prípade vzťahuje klauzula o vylúčení stanovená v článku 2 ods. 2 písm. a) GDPR, ako aj klauzula o vylúčení stanovená v článku 2 ods. 3 písm. a) smernice o ochrane, keďže činnosti bezpečnostných a spravodajských služieb nepatria do pôsobnosti práva Únie.

58. V tejto súvislosti hoci treba zdôrazniť, že Súdnemu dvoru nebola položená otázka týkajúca sa výkladu týchto ustanovení, chcem v prvom rade poukázať na to, že Súdny dvor už potvrdil, že na vnútroštátnu právnu úpravu, ktorá ukladá povinnosti spracúvania súkromným subjektom, sa vzťahujú ustanovenia práva Únie v oblasti ochrany osobných údajov, aj keď sa týka ochrany národnej bezpečnosti. ( 37 ) Z toho vyplýva, že na prenos údajov z PNR, ktorý od dopravcov a cestovných kancelárií vyžaduje zákon PNR, sa v zásade vzťahuje GDPR, aj keď sa uskutočňuje na účely článku 8 ods. 1 bodu 4 tohto zákona.

59. Ďalej poznamenávam, že hoci odôvodnenie 16 GDPR uvádza, že toto nariadenie sa nevzťahuje na „činnosti týkajúce sa národnej bezpečnosti“ a odôvodnenie 14 smernice o ochrane spresňuje, že „činnosti týkajúce sa národnej bezpečnosti, činnosti orgánov alebo útvarov zaoberajúcich sa otázkami národnej bezpečnosti…, by sa nemali považovať za činnosti, ktoré patria do rozsahu pôsobnosti tejto smernice“, kritériá, na základe ktorých spracúvanie osobných údajov vykonávané orgánom verejnej moci, verejným útvarom alebo úradom členského štátu spadá do pôsobnosti jedného alebo druhého aktu práva Únie upravujúceho ochranu dotknutých osôb v súvislosti s takýmto spracúvaním alebo sa nachádza mimo pôsobnosti tohto práva, zodpovedajú logike spojenej tak s úlohami pridelenými takémuto orgánu, útvaru alebo úradu, ako aj s účelmi uvedeného spracúvania. Súdny dvor tak rozhodol, že článok 2 ods. 2 písm. a) GDPR v spojení s odôvodnením 16 tohto nariadenia „treba považovať za ustanovenie, ktorého jediným cieľom je vylúčiť z pôsobnosti uvedeného nariadenia spracúvanie osobných údajov vykonávané štátnymi orgánmi v rámci činnosti, ktorej cieľom je zabezpečiť národnú bezpečnosť alebo činnosti, ktorá môže byť zaradená do tej istej kategórie, takže samotná skutočnosť, že určitá činnosť je vlastná štátu alebo orgánu verejnej moci, nestačí na to, aby táto výnimka bola automaticky uplatniteľná na takúto činnosť“ ( 38 ). Súdny dvor tiež spresnil, že „činnosti, ktorých cieľom je chrániť národnú bezpečnosť, uvedené v článku 2 ods. 2 písm. a) GDPR, zahŕňajú najmä činnosti, ktorých cieľom je chrániť základné funkcie štátu a základné záujmy spoločnosti“ ( 39 ). Z toho vyplýva, že v prípade, ak by členský štát poveril svoje bezpečnostné a spravodajské služby úlohami v oblastiach vymenovaných v článku 3 bode 7 písm. a) smernice o ochrane, spracúvania údajov vykonávané týmito službami na splnenie týchto úloh by patrili do pôsobnosti tejto smernice a prípadne aj smernice PNR. Všeobecnejšie chcem poukázať na to, že Súdny dvor v rámci výkladu článku 4 ods. 2 ZEÚ, o ktorý sa opiera aj belgická vláda, opakovane rozhodol, že samotná skutočnosť, že určité vnútroštátne opatrenie je prijímané v záujme národnej bezpečnosti, nemôže viesť k tomu, že sa neuplatní právo Únie a členské štáty budú zbavené povinnosti nevyhnutne dodržiavať toto právo, ( 40 ) čím sa postavil zdržanlivo k automatickému a celkovému vylúčeniu činností členských štátov spojených s ochranou národnej bezpečnosti z pôsobnosti práva Únie.

60. Po tretie v súlade so stanoviskom všetkých zúčastnených strán, ktoré predložili pripomienky, s výnimkou francúzskej vlády, treba konštatovať, že na spracúvania údajov z PNR vykonávané príslušnými belgickými orgánmi na účely uvedené v článku 8 ods. 2 zákona PNR, teda na „zlepšenie kontrol osôb na vonkajších hraniciach a boj proti nelegálnemu prisťahovalectvu“ ( 41 ), sa nevzťahuje klauzula o vylúčení obsiahnutá v článku 2 ods. 2 písm. d) GDPR, ani iná klauzula o vylúčení stanovená v tomto článku, a preto spadajú do pôsobnosti tohto nariadenia. Na rozdiel od toho, čo tvrdí francúzska vláda, uvedené spracúvania sa nemôžu riadiť smernicou PNR, ktorej článok 1 ods. 2 stanovuje, že „údaje PNR zhromaždené v súlade s touto smernicou možno spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti“, a v zásade ani smernicou o ochrane, ktorá sa podľa jej článku 1 ods. 1 uplatňuje len na spracúvania osobných údajov príslušnými orgánmi „na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu“. Ako vyplýva z návrhu na začatie prejudiciálneho konania, článok 8 ods. 2 zákona PNR a kapitola 11 tohto zákona, ktoré obsahujú ustanovenia upravujúce spracúvanie údajov z PNR na účely zlepšenia kontroly hraníc a boja proti nelegálnemu prisťahovalectvu, a ktoré na tento účel umožňujú prenos týchto údajov útvarmi UIP najmä policajným orgánom zodpovedným za hraničnú kontrolu, sú určené na prebratie smernice API a smernice 2010/65 do belgického práva. Tieto dve smernice pritom vyžadujú, aby príslušné orgány v súvislosti so spracúvaniami, ktoré upravujú, dodržiavali ustanovenia smernice 95/46. ( 42 ) Na rozdiel od toho, čo tvrdí francúzska vláda, odkaz na ochranné pravidlá tejto smernice treba chápať tak, že zahŕňa akékoľvek spracúvanie osobných údajov vykonávané na základe smernice API a smernice 2010/65. Skutočnosť, že smernica API predchádzala nadobudnutiu účinnosti rámcového rozhodnutia 2008/977, je v tejto súvislosti irelevantná, keďže toto rámcové rozhodnutie, ako aj smernica o ochrane, ktorá ho nahradila, sa týkajú iba spracúvaní osobných údajov uvedených v článku 3 ods. 1 smernice API, ktoré vykonávajú príslušné orgány na účely presadzovania práva. ( 43 )

61. Na základe všetkých predchádzajúcich úvah navrhujem, aby Súdny dvor odpovedal na prvú prejudiciálnu otázku tak, že článok 23 GDPR v spojení s článkom 2 ods. 2 písm. d) tohto nariadenia sa má vykladať v tom zmysle, že: – sa vzťahuje na vnútroštátne právne predpisy, ktorými sa preberá smernica PNR, v rozsahu, v akom tieto právne predpisy upravujú spracúvania údajov z PNR vykonávané dopravcami a inými hospodárskymi subjektmi, vrátane prenosu údajov z PNR útvarom PIU, ako je stanovené v článku 8 uvedenej smernice, – sa nevzťahuje na vnútroštátne právne predpisy, ktorými sa preberá smernica PNR, v rozsahu, v akom upravujú spracúvania údajov vykonávané príslušnými vnútroštátnymi orgánmi na účely uvedené v článku 1 ods. 2 tejto smernice, vrátane útvarov PIU a prípadne bezpečnostných a spravodajských služieb príslušného členského štátu, – sa vzťahuje na vnútroštátne právne predpisy, ktorými sa preberajú smernica API a smernica 2010/65 na účely zlepšenia kontroly osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu.

B. O druhej, tretej, štvrtej, šiestej a ôsmej prejudiciálnej otázke

62. Svojou druhou, treťou, štvrtou a šiestou prejudiciálnou otázkou sa Cour constitutionnelle (Ústavný súd) pýta Súdneho dvora na platnosť smernice PNR z hľadiska článkov 7, 8 a článku 52 ods. 1 Charty. Cieľom ôsmej prejudiciálnej otázky, hoci je formulovaná ako otázka týkajúca sa výkladu, je tiež v podstate dosiahnuť, aby sa Súdny dvor vyjadril k platnosti tejto smernice.

63. Tieto otázky sa týkajú rôznych prvkov systému spracúvania údajov z PNR zavedeného smernicou PNR a požadujú vo vzťahu ku každému z týchto prvkov posúdenie dodržania podmienok, ktorým podlieha zákonnosť obmedzení výkonu základných práv uvedených v článkoch 7 a 8 Charty. Druhá a tretia prejudiciálna otázka sa tak týkajú zoznamu údajov z PNR uvedeného v prílohe I, štvrtá sa vzťahuje na definíciu pojmu „cestujúci“ uvedenú v článku 3 bode 4 smernice PNR, šiesta sa týka využívania údajov z PNR na účely predbežného posúdenia podľa článku 6 tejto smernice a ôsma sa vzťahuje na lehotu uchovávania údajov z PNR stanovenú v článku 12 ods. 1 uvedenej smernice.

1. O základných právach uvedených v článkoch 7 a 8 Charty

64. Článok 7 Charty zaručuje každému právo na rešpektovanie jeho súkromného a rodinného života, obydlia a komunikácie. Pokiaľ ide o článok 8 ods. 1 Charty, ten každému výslovne priznáva právo na ochranu osobných údajov, ktoré sa ho týkajú. Podľa ustálenej judikatúry sú tieto práva, ktoré sa vzťahujú na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby, úzko prepojené, keďže prístup k osobným údajom fyzickej osoby s cieľom ich uchovávania alebo ich použitia má vplyv na právo tejto osoby na rešpektovanie súkromného života. ( 44 )

65. Práva zakotvené v článkoch 7 a 8 Charty však nie sú absolútnymi výsadami, ale musia sa vnímať vo vzťahu k ich úlohe v spoločnosti. ( 45 ) Článok 8 ods. 2 Charty tak povoľuje spracúvanie osobných údajov, pokiaľ sú splnené určité podmienky. V tomto ustanovení sa uvádza, že osobné údaje „musia byť riadne spracované na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom“.

66. Akékoľvek obmedzenie práva na ochranu osobných údajov, ako aj práva na súkromie musí byť okrem toho v súlade s požiadavkami článku 52 ods. 1 Charty. Takéto obmedzenie teda musí byť stanovené zákonom, musí rešpektovať podstatu uvedených práv a za predpokladu dodržiavania zásady proporcionality musí byť nevyhnutné a skutočne zodpovedať cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo potrebe chrániť práva a slobody iných.

67. Posúdenie opatrenia obmedzujúceho uvedené práva musí tiež zohľadniť význam práv zakotvených v článkoch 3, 4, 6 a 7 Charty a dôležitosť cieľov ochrany národnej bezpečnosti a boja proti závažnej trestnej činnosti, ktoré prispievajú k ochrane práv a slobôd iných. ( 46 ) V tejto súvislosti článok 6 Charty zakotvuje právo každej osoby nielen na slobodu, ale aj na bezpečnosť. ( 47 )

68. Okrem toho cieľom článku 52 ods. 3 Charty je zabezpečiť potrebnú súdržnosť medzi právami uvedenými v Charte a zodpovedajúcimi právami zaručenými EDĽP, ktoré treba zohľadniť ako úroveň minimálnej ochrany. ( 48 ) Právo na rešpektovanie súkromného a rodinného života zakotvené v článku 7 Charty zodpovedá právu zaručenému v článku 8 EDĽP a v dôsledku toho mu musí byť priznaný rovnaký zmysel a rozsah. ( 49 ) Z judikatúry Európskeho súdu pre ľudské práva (ďalej len „ESĽP“) vyplýva, že zásah do práv zaručených v tomto článku možno vzhľadom na jeho odsek 2 odôvodniť iba vtedy, ak je stanovený zákonom, sleduje jeden alebo viac legitímnych cieľov vymenovaných v tomto odseku a je v demokratickej spoločnosti nevyhnutný na dosiahnutie tohto cieľa alebo cieľov. ( 50 ) Opatrenie musí byť tiež zlučiteľné s právnym štátom, ktorý sa výslovne spomína v preambule EDĽP a súvisí s predmetom a cieľom článku 8 tohto dohovoru. ( 51 )

69. Práve z hľadiska týchto zásad treba preskúmať otázky týkajúce sa posúdenia platnosti, ktoré položil Cour constitutionnelle (Ústavný súd).

2. O zásahu do základných práv uvedených v článkoch 7 a 8 Charty

70. Súdny dvor už rozhodol, že ustanovenia, ktoré ukladajú povinnosť alebo zakladajú možnosť sprístupniť osobné údaje fyzických osôb tretím stranám, ako napríklad orgánu verejnej moci, sa musia v prípade neexistencie súhlasu týchto fyzických osôb a bez ohľadu na neskoršie použitie predmetných údajov považovať za zásah do ich súkromného života, a teda za obmedzenie základného práva zaručeného v článku 7 Charty bez toho, aby tým bolo dotknuté ich prípadné odôvodnenie. ( 52 ) Je to tak aj v prípade neexistencie okolností umožňujúcich posúdiť tento zásah ako „závažný“ a bez toho, aby bolo dôležité, či dotknuté informácie týkajúce sa súkromného života majú alebo nemajú citlivú povahu alebo či pre dotknuté osoby z dôvodu tohto zásahu vyplynuli alebo nevyplynuli prípadné nepriaznivé následky. ( 53 ) Prístup orgánov verejnej moci k takýmto informáciám tiež zasahuje do základného práva na ochranu osobných údajov zaručeného článkom 8 Charty, pretože predstavuje spracúvanie osobných údajov. ( 54 ) Rovnako uchovávanie údajov týkajúcich sa súkromného života osoby na určité obdobie predstavuje ako také zásah do práv zaručených článkami 7 a 8 Charty. ( 55 )

71. Súdny dvor už takisto rozhodol, že údaje z PNR, ktoré sú vymenované v prílohe I, obsahujú informácie o identifikovaných fyzických osobách, konkrétne o dotknutých cestujúcich v leteckej doprave, a preto rôzne spôsoby spracúvania týchto údajov sa dotýkajú základného práva na rešpektovanie súkromného života, ktoré je zaručené v článku 7 Charty. Na tieto spracúvania sa tiež vzťahuje článok 8 Charty, a teda nevyhnutne musia spĺňať požiadavky ochrany údajov stanovené v tomto článku. ( 56 )

72. Spracúvania údajov z PNR, ktoré umožňuje smernica PNR, a najmä, pokiaľ je to relevantné na účely prejednávanej veci, prenos týchto údajov leteckými dopravcami útvarom PIU, ich využívanie týmito útvarmi, ich následný prenos príslušným vnútroštátnym orgánom v zmysle článku 7 tejto smernice, ako aj ich uchovávanie, tak predstavujú zásahy do základných práv zaručených článkami 7 a 8 Charty.

73. Pokiaľ ide o závažnosť týchto zásahov, treba po prvé uviesť, že smernica PNR stanovuje systematický a nepretržitý prenos údajov z PNR útvarom PIU o každom cestujúcom v leteckej doprave, ako je vymedzený v článku 3 bode 4 tejto smernice, ktorý cestuje letom „mimo EÚ“ v zmysle článku 3 bodu 2 tejto smernice. Takýto prenos znamená všeobecný prístup útvarov PIU ku všetkým poskytnutým údajom z PNR. ( 57 ) Na rozdiel od toho, čo tvrdia niektoré členské štáty v tomto konaní, toto konštatovanie nie je spochybnené okolnosťou, že vzhľadom na to, že tieto údaje podliehajú automatizovanému spracúvaniu, budú mať útvary PIU konkrétne prístup len k údajom, ktorých analýza viedla k pozitívnemu výsledku. Na jednej strane totiž takáto okolnosť doteraz nebránila Súdnemu dvoru, aby v rámci podobných systémov automatizovaného spracúvania osobných údajov zhromažďovaných alebo uchovávaných „vo veľkom množstve“ potvrdil všeobecnú povahu prístupu dotknutých orgánov verejnej moci k takýmto údajom. Na druhej strane samotné sprístupnenie osobných údajov orgánom verejnej moci na účely ich spracúvania a uchovávania týmito orgánmi zahŕňa a priori ich všeobecný a úplný prístup k takýmto údajom a zásah do základných práv na rešpektovanie súkromného života a ochranu osobných údajov.

74. Po druhé v súlade s článkom 2 ods. 1 smernice PNR sa členské štáty môžu rozhodnúť uplatňovať túto smernicu na lety „vnútri EÚ“ v zmysle jej článku 3 bodu 3. V tejto súvislosti chcem na jednej strane poznamenať, že smernica PNR nestanovuje len možnosť členských štátov rozšíriť jej uplatňovanie na lety vnútri EÚ, ale stanovuje aj formálne a hmotnoprávne podmienky, ktorými sa riadi využívanie tejto možnosti, ( 58 ) a spresňuje, že ak sa táto možnosť využije len na niektoré lety vnútri Únie, určenie týchto letov sa musí vykonať s prihliadnutím na ciele sledované uvedenou smernicou. ( 59 ) Na druhej strane smernica PNR stanovuje dôsledky využitia takejto možnosti, keď vo svojom článku 2 ods. 2 uvádza, že ak sa členský štát rozhodne uplatňovať túto smernicu na lety vnútri EÚ, všetky ustanovenia tejto smernice „sa uplatňujú na lety vnútri EÚ rovnako ako na lety mimo EÚ a na údaje PNR z letov vnútri EÚ rovnako ako na údaje PNR z letov mimo EÚ“.

75. Za týchto okolností zastávam názor, na rozdiel od tvrdení viacerých vlád, ktoré predložili pripomienky v tomto konaní, že hoci uplatnenie smernice PNR na lety vnútri EÚ závisí od voľby členských štátov, právnym základom zásahov do práv na rešpektovanie súkromného života a ochranu osobných údajov spojených s prenosom, spracúvaním a uchovávaním údajov z PNR týkajúcich sa týchto letov je, pokiaľ sa takáto voľba uskutočnila, smernica PNR.

76. Okrem Dánskeho kráľovstva, na ktoré sa táto smernica nevzťahuje, ( 60 ) pritom takmer všetky členské štáty uplatňujú ňou stanovený režim na lety „vnútri EÚ“ ( 61 ). Z toho vyplýva, že tento režim sa uplatňuje na všetky lety vstupujúce do Únie a odchádzajúce z nej, ako aj na takmer všetky lety prevádzkované v rámci Únie.

77. Po tretie, pokiaľ ide o údaje z PNR, ktoré majú byť prenášané, príloha I uvádza 19 rubrík týkajúcich sa životopisných údajov ( 62 ), podrobností o ceste lietadlom ( 63 ) a ďalších údajov získaných v rámci zmluvy o leteckej preprave, akými sú telefónne číslo, emailová adresa, spôsoby platby, cestovná agentúra alebo jej zástupca, informácie o batožine a všeobecné poznámky ( 64 ). Ako pritom uviedol Súdny dvor v bode 128 stanoviska 1/15, v ktorom sa vyjadril k rubrikám uvedeným v prílohe návrhu Dohody medzi Kanadou a Európskou úniou o prenose a spracúvaní údajov z osobného záznamu o cestujúcom (ďalej len „návrh dohody PNR medzi Kanadou a EÚ“), ktoré sú formulované vo veľkej miere rovnako ako rubriky v prílohe I, „aj keď sa v prípade niektorých údajov z PNR, posudzovaných samostatne, nezdá, že by odhaľovali dôležité informácie o súkromnom živote dotknutých osôb, nič to nemení na tom, že uvedené údaje, ak sú posudzované spoločne, môžu okrem iného odhaliť celú cestovnú trasu, cestovné zvyky, vzťahy, ktoré existujú medzi dvomi alebo viacerými osobami, ako aj informácie o finančnej situácii cestujúcich v leteckej doprave, ich stravovacích návykoch alebo o ich zdravotnom stave a mohli by tiež poskytnúť také citlivé informácie o týchto cestujúcich“.

78. Po štvrté podľa článku 6 smernice PNR sú údaje prenášané leteckými dopravcami určené na to, aby ich útvary PIU prostredníctvom automatizovaných prostriedkov analyzovali systematicky, teda nezávisle od toho, či existuje nejaká zmienka o tom, že dotknuté osoby by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti. Konkrétne v rámci predbežného posúdenia cestujúcich stanoveného v článku 6 ods. 2 písm. a) tejto smernice a v súlade s jej článkom 6 ods. 3 možno uvedené údaje overiť porovnaním s „relevantnými“ databázami [článok 6 ods. 3 písm. a)] a spracúvať na základe vopred stanovených kritérií [článok 6 ods. 3 písm. b)]. Prvý typ spracúvania pritom môže poskytnúť dodatočné informácie o súkromnom živote dotknutých osôb ( 65 ) a v závislosti od databáz používaných na porovnávanie môže tiež určiť presný profil týchto osôb. Za týchto okolností námietka vznesená viacerými vládami, podľa ktorej smernica PNR umožňuje prístup len k relatívne obmedzenému súboru osobných údajov, primerane neodráža potenciálny rozsah zásahov, ktoré táto smernica prináša do základných práv chránených článkami 7 a 8 Charty, a to z hľadiska rozsahu údajov, ku ktorým môže táto smernica umožniť prístup. Pokiaľ ide o druhý typ spracúvania údajov stanovený v článku 6 ods. 3 písm. b) smernice PNR, chcem pripomenúť, že v bodoch 169 a 172 stanoviska 1/15 Súdny dvor zdôraznil, že každý typ analýzy založenej na vopred stanovených kritériách vykazuje určitú mieru odchýlky, a najmä určitý počet „falošne pozitívnych“ výsledkov. Podľa číselných údajov uvedených v pracovnom dokumente útvarov Komisie ( 66 ) (ďalej len „pracovný dokument z roku 2020“), ktorý je prílohou správy Komisie z roku 2020, bol počet prípadov pozitívnej lustrácie, ktoré sa po individuálnom preskúmaní podľa článku 6 ods. 5 smernice PNR ukázali ako nesprávne, pomerne značný a v rokoch 2018 a 2019 predstavoval najmenej päť zo šiestich identifikovaných osôb. ( 67 )

79. Po piate v súlade s článkom 12 ods. 1 smernice PNR sa údaje z PNR uchovávajú v databáze po dobu piatich rokov po ich prenose útvaru PIU členského štátu, na území ktorého let pristáva alebo z ktorého odlieta. Smernica PNR teda umožňuje disponovať informáciami o súkromnom živote cestujúcich v leteckej doprave počas osobitne dlhej doby. ( 68 ) Okrem toho, keďže prenos údajov z PNR sa týka takmer všetkých letov s odletom a príletom do Únie, ako aj v rámci Únie, a lietadlo sa stalo pomerne bežným dopravným prostriedkom, osobné údaje podstatnej časti cestujúcich v leteckej doprave by mohli byť uchovávané prakticky natrvalo len preto, že cestujú lietadlom aspoň dvakrát za päť rokov.

80. Napokon, na všeobecnejšej úrovni smernica PNR stanovuje opatrenia, ktorých cieľom ako celku je vytvoriť na úrovni Únie systém dohľadu, ktorý je „necielený“, t. j. že sa neaktivuje na základe podozrenia voči jednej alebo viacerým konkrétnym osobám, „hromadný“ v tom zmysle, že sa vzťahuje na osobné údaje veľkého počtu jednotlivcov, ( 69 ) pričom pokrýva jednu kategóriu osôb v celom jej rozsahu, ( 70 ) a „proaktívny“, keďže sa zameriava nielen na vyšetrovanie známych hrozieb, ale aj na hľadanie alebo identifikáciu dovtedy neznámych nebezpečenstiev. ( 71 ) Takéto opatrenia svojou povahou vedú k závažným zásahom do základných práv chránených článkami 7 a 8 Charty, ( 72 ) najmä v súvislosti s ich preventívnym a prognostickým účelom, ktorý si vyžaduje posudzovanie osobných údajov týkajúcich sa veľkej časti populácie, pričom cieľom je „identifikovať“ osoby, ktoré by mali byť v závislosti od výsledkov tohto posúdenia podrobené ďalšiemu skúmaniu príslušnými orgánmi. ( 73 ) Okrem toho čoraz rozšírenejšie využívanie spracúvania veľkého množstva osobných údajov rôzneho druhu zhromažďovaných „masovo“ na účely predchádzania niektorým závažným formám trestnej činnosti, ako aj ich prepájanie a kombinované spracúvanie vedie ku „kumulatívnemu účinku“, čo zvyšuje závažnosť obmedzení základných práv na ochranu súkromného života a osobných údajov a môže napomáhať procesu postupného posunu smerom k „sledovanej spoločnosti“ ( 74 ).

81. Na základe všetkých predchádzajúcich úvah sa domnievam, že zásah smernice PNR do základných práv chránených článkami 7 a 8 Charty treba prinajmenšom označiť za „závažný“.

82. Je pravda, ako tvrdí najmä Komisia, že všetky záruky a ochranné opatrenia, ktoré smernica PNR stanovuje najmä s cieľom zabrániť zneužitiu údajov z PNR, môžu znížiť intenzitu alebo závažnosť týchto zásahov. Nič to však nemení na tom, že každý režim umožňujúci prístup a spracúvanie osobných údajov zo strany orgánov verejnej moci má z hľadiska ochrany dotknutých základných práv určitý stupeň závažnosti, ktorý súvisí s jeho objektívnymi vlastnosťami. Tento stupeň závažnosti musí byť podľa môjho názoru určený predtým, ako sa v rámci posúdenia proporcionality uvedených zásahov vykoná posúdenie dostatočnosti a primeranosti záruk, ktoré tento režim stanovuje. Domnievam sa, že Súdny dvor doteraz postupoval práve takto.

83. Aby boli zásahy smernice PNR do základných práv na rešpektovanie súkromného života a ochranu osobných údajov zlučiteľné s Chartou, musia spĺňať podmienky uvedené v bodoch 65 a 66 vyššie, čo bude ďalej preskúmané v rámci aspektov, ktoré vnútroštátny súd predložil Súdnemu dvoru.

3. O odôvodnení zásahu vyplývajúceho zo smernice PNR

84. Zatiaľ čo tretia prejudiciálna otázka sa týka dodržania podmienky uvedenej v článku 52 ods. 1 prvej vete Charty, podľa ktorej akýkoľvek zásah do základného práva musí byť „ustanovený zákonom“, druhou, štvrtou, šiestou a ôsmou prejudiciálnou otázkou sa vnútroštátny súd pýta Súdneho dvora najmä na dodržiavanie zásady proporcionality uvedenej v druhej vete tohto ustanovenia.

a) O dodržaní požiadavky, podľa ktorej akékoľvek obmedzenie výkonu základného práva zakotveného v Charte musí byť stanovené zákonom

85. Podľa ustálenej judikatúry Súdneho dvora ( 75 ), ktorá čerpá z judikatúry ESĽP ( 76 ), požiadavka, podľa ktorej akékoľvek obmedzenie výkonu základného práva musí byť „ustanovené zákonom“, sa netýka len „právneho“ pôvodu zásahu – o ktorý v prejednávanej veci nejde – ale tiež predpokladá, že samotný právny základ, ktorý umožňuje tento zásah, musí jasne a presne vymedziť jeho rozsah. Keďže sa vzťahuje na „kvalitu zákona“, a teda prístupnosť a predvídateľnosť predmetného opatrenia, ( 77 ) tento druhý aspekt, ktorý zahŕňa výraz „ustanovený zákonom“ tak v zmysle článku 52 ods. 1 Charty, ako aj jej článku 8 ods. 2 a článku 8 EDĽP, nemá len zabezpečiť dodržiavanie zásady zákonnosti a primeranú ochranu proti svojvôli, ( 78 ) ale tiež zodpovedá požiadavke právnej istoty. Táto požiadavka je potvrdená aj v stanovisku poradného výboru Dohovoru č. 108 ( 79 ) z 19. augusta 2016 o dôsledkoch spracúvania osobných údajov v oblasti ochrany údajov (ďalej len „stanovisko z 19. augusta 2016“). ( 80 )

86. Prijatím smernice PNR normotvorca Únie sám pristúpil k obmedzeniu práv zakotvených v článkoch 7 a 8 Charty. Zásahy do uvedených práv, ktoré táto smernica umožňuje, teda nemožno považovať za dôsledok voľby členských štátov, ( 81 ) napriek miere voľnej úvahy, ktorú mohli využiť v čase jej prebratia do vnútroštátneho práva, ale skôr za zásahy, ktoré majú svoj právny základ v samotnej smernici PNR. Za týchto podmienok bolo úlohou normotvorcu Únie, aby na dosiahnutie súladu s judikatúrou pripomenutou v bode 85 vyššie a s „vyššími štandardmi“ ochrany základných práv obsiahnutými najmä v Charte a EDĽP, na ktoré odkazuje odôvodnenie 15 smernice PNR, stanovil jasné a presné pravidlá vymedzujúce tak rozsah, ako aj uplatňovanie opatrení zahŕňajúcich uvedené zásahy.

87. Hoci sa vnútroštátny súd svojou treťou prejudiciálnou otázkou konkrétne pýta na dodržanie tejto povinnosti vo vzťahu k bodom 12 a 18 prílohy I, preskúmanie druhej, štvrtej a šiestej prejudiciálnej otázky, ktorými tento súd vznáša pochybnosti, pokiaľ ide o nevyhnutnosť zásahov, ktoré prináša smernica PNR do základných práv uvedených v článkoch 7 a 8 Charty, si bude tiež vyžadovať zaujatie stanoviska k dostatočne jasnej a presnej povahe dotknutých ustanovení smernice PNR.

88. Aj keď sa táto analýza týka, ako som už uviedol v bode 85 vyššie, zákonnosti zásahu v zmysle článku 52 ods. 1 prvej vety Charty, pristúpim k nej v rámci preskúmania jeho proporcionality uvedenej v druhej vete tohto odseku v súlade s prístupom, ktorý zvolil tak Súdny dvor, ako aj ESĽP vo veciach, v ktorých ide o opatrenia zamerané na spracúvanie osobných údajov. ( 82 )

b) O rešpektovaní podstaty práv uvedených v článkoch 7 a 8 Charty

89. V súlade s článkom 52 ods. 1 prvou vetou Charty akékoľvek obmedzenie výkonu základných práv musí spočívať nielen na dostatočne presnom právnom základe, ale musí tiež rešpektovať podstatu týchto práv.

90. Ako som uviedol v bode 66 vyššie, táto požiadavka, ktorá sa nachádza v ústavách rôznych členských štátov ( 83 ) a ktorá, hoci nie je výslovne uznaná EDĽP, je napriek tomu pevne zakotvená v judikatúre ESĽP ( 84 ), sa stala súčasťou článku 52 ods. 1 Charty. ( 85 ) Táto požiadavka, uznaná Súdnym dvorom dávno pred jej kodifikáciou, ( 86 ) bola neustále potvrdzovaná v judikatúre súdov Únie, a to aj po nadobudnutí účinnosti Lisabonskej zmluvy.

91. Predovšetkým z rozsudku zo 6. októbra 2015, Schrems ( 87 ), vyplýva, že nerešpektovanie podstaty základného práva aktom Únie má automaticky za následok jeho nulitnosť alebo neplatnosť bez toho, aby bolo potrebné vykonať zváženie dotknutých záujmov. Súdny dvor tak uznal, že každé základné právo má „jadro“, ktoré každému zaručuje sféru slobody chránenej pred akýmkoľvek zásahom zo strany orgánov verejnej moci a ktoré nemožno obmedzovať, ( 88 ) s výnimkou spochybnenia zásad demokracie, právneho štátu a rešpektovania ľudskej dôstojnosti, z ktorých vychádza ochrana základných práv. Okrem toho tak zo znenia článku 52 ods. 1 Charty, ako aj z judikatúry Súdneho dvora a najmä z rozsudku Schrems I vyplýva, že posúdenie týkajúce sa existencie zásahu do podstaty predmetného základného práva sa musí uskutočniť pred posúdením proporcionality dotknutého opatrenia a nezávisle od neho. Inými slovami, ide o test s vlastnou autonómiou.

92. Preto je určenie toho, čo predstavuje „podstatu“, a teda to nedotknuteľné zo základného práva, ktorého výkon môže byť obmedzený, mimoriadne zložitý úkon. Ak má byť tento pojem, aby plnil svoju funkciu, vymedzený v absolútnych pojmoch so zreteľom na podstatné vlastnosti dotknutého základného práva, subjektívne a objektívne záujmy, ktoré má chrániť, a všeobecnejšie na jeho funkciu v demokratickej spoločnosti založenej na rešpektovaní ľudskej dôstojnosti, ( 89 ) takýto postup sa v praxi ukazuje takmer nemožný, a to prinajmenšom bez zohľadnenia kritérií, ktoré sa bežne používajú pri skúmaní proporcionality zásahu do dotknutého práva, akými sú závažnosť tohto zásahu a jeho rozsah alebo jeho časový rozmer, a teda bez zohľadnenia osobitostí každého prípadu.

93. Pokiaľ ide najmä o základné právo na rešpektovanie súkromného života, je potrebné zohľadniť nielen význam, ktorý má pre duševné a fyzické zdravie každého jednotlivca, jeho blaho, nezávislosť, osobný rozvoj, schopnosť budovať a rozvíjať sociálne vzťahy, disponovanie súkromnou sférou, v ktorej rozvíja svoje osobné vnútro, ale aj úlohu, ktorú toto právo zohráva pri ochrane iných práv a slobôd, ako sú najmä sloboda myslenia, svedomia, náboženského vyznania, prejavu, právo na informácie, ktorých plné užívanie predpokladá uznanie sféry súkromia. Vo všeobecnejšej rovine je potrebné zohľadniť funkciu, ktorú v demokratickej spoločnosti plní dodržiavanie práva na súkromný život. ( 90 ) Zdá sa, že Súdny dvor posudzuje existenciu zásahu do podstaty tohto práva tak, že zohľadňuje tak intenzitu, ako aj rozsah zásahu, čo vedie k názoru, že takýto zásah je vymedzený skôr kvantitatívne ako kvalitatívne. Na jednej strane tak Súdny dvor v rozsudku Digital Rights v podstate konštatoval, že povinnosť uchovávania údajov uložená smernicou 2006/24/ES ( 91 ) nedosahuje takú úroveň závažnosti, ktorá by mala vplyv na podstatu práva na rešpektovanie súkromného života, pretože neumožňuje „oboznámiť sa so samotným obsahom elektronickej komunikácie“ ( 92 ). Na druhej strane Súdny dvor v stanovisku 1/15 v podstate konštatoval, že obmedzenie limitované len na určité aspekty súkromného života dotknutých osôb nemôže viesť k zásahu do podstaty tohto základného práva. ( 93 )

94. Pokiaľ ide o základné právo na ochranu osobných údajov, Súdny dvor podľa všetkého zastáva názor, že podstata tohto práva je zachovaná, ak opatrenie, ktorým sa zavádza zásah, vymedzuje účely spracovania a stanovuje pravidlá zaisťujúce bezpečnosť dotknutých údajov, a to najmä proti náhodnému alebo nezákonnému zničeniu, strate alebo náhodnej zmene. ( 94 )

95. Hoci v prejednávanej veci vnútroštátny súd výslovne neuviedol požiadavku rešpektovania podstaty práv uvedených v článkoch 7 a 8 Charty, otázka dodržiavania tejto požiadavky podľa môjho názoru stojí v pozadí štvrtej a šiestej prejudiciálnej otázky. Z tohto dôvodu navrhujem, aby sa ňou Súdny dvor zaoberal.

96. V tejto súvislosti chcem pripomenúť, že Súdny dvor v bode 150 stanoviska 1/15 síce uznal, že údaje z PNR „môžu prípadne odhaliť veľmi presné informácie o súkromnom živote určitej osoby“ ( 95 ) a že tieto informácie môžu priamo alebo nepriamo odhaliť citlivé údaje dotknutej osoby, ( 96 ) dospel však k záveru, že v prípade návrhu dohody PNR medzi Kanadou a EÚ, keďže „povaha týchto informácií sa obmedzuje na určité aspekty tohto súkromného života týkajúce sa najmä letov medzi Kanadou a Úniou“, zásah do základného práva na rešpektovanie súkromného života sa nedotýka podstaty uvedeného práva.

97. Odhliadnuc od okolnosti, že údaje z PNR, ktorých sa týka návrh dohody PNR medzi Kanadou a EÚ, mali byť prenášané do tretej krajiny a že ich následné spracúvanie mali vykonávať orgány tejto tretej krajiny na jej území, zásahy do základného práva na rešpektovanie súkromného života vyplývajúce z uvedeného návrhu dohody a zásahy stanovené smernicou PNR sa z hľadiska svojej povahy do veľkej miery zhodujú. Týka sa to najmä dotknutých údajov z PNR, systematického a všeobecného prenosu a spracúvania týchto údajov, automatizovanej povahy tohto spracúvania, ako aj uchovávania uvedených údajov. Tieto dve veci sa naproti tomu líšia takpovediac „geografickým pokrytím“ týchto zásahov. Ako som totiž uviedol v bode 77 vyššie, spracúvania údajov, o ktoré ide v prejednávanej veci, sa neobmedzujú na letecké spojenia s jedinou treťou krajinou, ako to bolo v prípade stanoviska 1/15, ale týkajú sa takmer všetkých letov, ktoré vstupujú do Únie a odchádzajú z nej alebo sú prevádzkované v rámci Únie. Z toho vyplýva, že smernica PNR v porovnaní s návrhom dohody PNR medzi Kanadou a EÚ vyžaduje systematické spracúvanie podstatne väčšieho počtu cestujúcich v leteckej doprave, ktorí cestujú lietadlom v rámci Únie a mimo nej. Okrem toho vzhľadom na zvýšenie objemu spracúvaných údajov, ako aj frekvenciu, s akou sú zhromažďované, môže ich spracúvanie pravdepodobne poskytnúť presnejšie a zároveň podrobnejšie informácie o súkromnom živote dotknutých osôb (cestovné zvyky, osobné vzťahy, finančná situácia atď.).

98. Nič to však nemení na tom, že podobne ako v prípade stanoviska 1/15 sa tieto informácie, posudzované samostatne, týkajú len určitých aspektov súkromného života, ktoré súvisia s leteckou dopravou. Vzhľadom na potrebu reštriktívne vymedziť pojem „podstata“ základných práv tak, aby si zachoval svoju funkciu hradby proti atakom na samotnú podstatu týchto práv, pritom zastávam názor, že záver, ku ktorému Súdny dvor dospel v bode 150 stanoviska 1/15, možno uplatniť na prejednávanú vec.

99. V stanovisku 1/15 Súdny dvor tiež vylúčil narušenie podstaty práva na ochranu osobných údajov. ( 97 ) Podľa môjho názoru tento záver možno tiež uplatniť na okolnosti prejednávanej veci. Podobne ako v prípade návrhu dohody PNR medzi Kanadou a EÚ totiž aj smernica PNR vo svojom článku 1 ods. 2 vymedzuje účely spracúvania údajov z PNR. Okrem toho táto smernica, ako aj ostatné akty Únie, na ktoré odkazuje, najmä GDPR a smernica o ochrane, obsahujú osobitné ustanovenia určené najmä na zaistenie bezpečnosti, dôvernosti a integrity týchto údajov, ako aj na ich ochranu pred neoprávneným prístupom a spracúvaním. Hoci sa nemožno domnievať, že taká právna úprava, akú stanovuje smernica PNR, zasahuje do podstaty základných práv chránených článkami 7 a 8 Charty, nič to nemení na tom, že musí podliehať prísnemu a dôslednému preskúmaniu jej proporcionality.

c) O dodržaní požiadavky, podľa ktorej zásah musí zodpovedať cieľu všeobecného záujmu

100. Cieľom smernice PNR je okrem iného zaistiť vnútornú bezpečnosť Únie a chrániť život a bezpečnosť osôb prostredníctvom prenosu údajov z PNR príslušným orgánom členských štátov na účely ich využitia v rámci boja proti terorizmu a závažnej trestnej činnosti. ( 98 )

101. Konkrétne z článku 1 ods. 2 smernice PNR v spojení s jej odôvodneniami 6 a 7, ako aj z návrhu Komisie, ktorý viedol k prijatiu tejto smernice (ďalej len „návrh smernice PNR“) ( 99 ), vyplýva, že v rámci takéhoto cieľa využívajú orgány presadzovania práva ( 100 ) údaje z PNR rôznymi spôsobmi. Po prvé sa tieto údaje využívajú s cieľom identifikovať osoby, ktoré sa podieľajú alebo sú podozrivé z účasti na teroristických trestných činoch a závažnej trestnej činnosti, ktoré už boli spáchané, zhromaždiť dôkazy a prípadne nájsť osoby spojené so zločincami a odhaliť zločinecké siete („spätné“ využívanie). Po druhé údaje z PNR možno posudzovať aj pred príchodom alebo odchodom cestujúcich s cieľom zabrániť spáchaniu trestného činu a identifikovať osoby, ktoré predtým neboli podozrivé z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti a ktoré by na základe výsledku tohto posúdenia mali byť podrobené dôkladnejšej kontrole zo strany orgánov presadzovania práva (využívanie v „reálnom čase“). Napokon sa údaje z PNR využívajú na účely vytvorenia hodnotiacich kritérií, ktoré možno následne použiť pri posúdení rizika, ktoré predstavujú cestujúci pred príletom a pred odletom („proaktívne“ využívanie). Takéto proaktívne využívanie údajov z PNR by malo umožniť orgánom presadzovania práva čeliť hrozbe, ktorú predstavuje závažná trestná činnosť a terorizmus, aj z iného uhla pohľadu než poskytuje spracúvanie iných kategórií osobných údajov. ( 101 )

102. Z judikatúry Súdneho dvora vyplýva, že cieľ ochrany verejnej bezpečnosti, ktorý zahŕňa najmä predchádzanie, vyšetrovanie, odhaľovanie a stíhanie tak teroristických trestných činov, ako aj trestných činov súvisiacich so závažnou trestnou činnosťou, predstavuje cieľ všeobecného záujmu Únie v zmysle článku 52 ods. 1 Charty, ktorý môže odôvodniť zásahy, hoci aj závažné, do základných práv zakotvených v článkoch 7 a 8 Charty. ( 102 )

103. Súdny dvor tiež uznal, že ciele ochrany verejnej bezpečnosti a boja proti závažnej trestnej činnosti prispievajú k ochrane práv a slobôd iných. ( 103 ) V rámci náležitého vyváženia medzi týmito cieľmi a základnými právami zakotvenými v článkoch 7 a 8 Charty ( 104 ) tak treba zohľadniť aj význam práv zakotvených v článkoch 3, 4, 6 a 7 Charty. V tejto súvislosti hoci Súdny dvor v rozsudku La Quadrature du Net konštatoval, že článok 6 Charty „nemožno vykladať tak, že orgánom verejnej moci ukladá povinnosť prijať konkrétne opatrenia na účely stíhania niektorých trestných činov“ ( 105 ), naproti tomu, pokiaľ ide konkrétne o účinný boj proti trestným činom, ktorých obeťami sú najmä maloleté osoby a iné zraniteľné osoby, zdôraznil, že pre orgány verejnej moci môžu vyplývať aj pozitívne povinnosti tak z článku 7 Charty, so zreteľom na prijatie právnych opatrení na ochranu súkromného a rodinného života, ako aj z článkov 3 a 4 Charty, pokiaľ ide o ochranu fyzickej a duševnej integrity osôb a zákaz mučenia a neľudského alebo ponižujúceho zaobchádzania. ( 106 )

104. Súdny dvor napokon konštatoval, že význam cieľa ochrany národnej bezpečnosti presahuje význam cieľov boja proti trestnej činnosti vo všeobecnosti, hoci aj závažnej, a ochrany verejnej bezpečnosti, a teda môže odôvodniť opatrenia, ktoré zasahujú do základných práv závažnejšie než tie, ktoré by mohli byť odôvodnené týmito ostatnými cieľmi. ( 107 ) Keďže teroristické aktivity môžu predstavovať hrozbu pre národnú bezpečnosť členských štátov, systém zavedený smernicou PNR sa v rozsahu, v akom slúži ako nástroj boja proti takýmto aktivitám, podieľa na cieli ochrany národnej bezpečnosti členských štátov.

d) O dodržiavaní zásady proporcionality

105. Podľa článku 52 ods. 1 druhej vety Charty za predpokladu dodržiavania zásady proporcionality možno výkon základného práva uznaného Chartou obmedziť len vtedy, ak je to nevyhnutné a skutočne to zodpovedá cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo ak je to potrebné na ochranu práv a slobôd iných.

106. V tejto súvislosti treba pripomenúť, že podľa ustálenej judikatúry Súdneho dvora zásada proporcionality vyžaduje, aby akty inštitúcií Únie boli vhodné na dosiahnutie legitímnych cieľov sledovaných predmetnou právnou úpravou a neprekračovali hranice toho, čo je primerané a potrebné na uskutočnenie týchto cieľov. ( 108 )

107. V súlade s judikatúrou Súdneho dvora si ochrana základného práva na rešpektovanie súkromného života na úrovni Únie vyžaduje, aby výnimky a obmedzenia v súvislosti s ochranou osobných údajov nepôsobili nad rámec toho, čo je striktne nevyhnutné. Okrem toho nemožno sledovať cieľ všeobecného záujmu bez zohľadnenia skutočnosti, že musí byť zosúladený so základnými právami dotknutými opatrením, a to náležitým vyvážením cieľa všeobecného záujmu a dotknutých práv. ( 109 ) Konkrétne primeranosť obmedzenia práv a povinností zakotvených v článkoch 7 a 8 Charty treba posudzovať prostredníctvom merania závažnosti zásahu, ktorý spôsobí takéto obmedzenie, a overenia, či je dôležitosť cieľa všeobecného záujmu sledovaného týmto obmedzením priamo úmerná takejto závažnosti. ( 110 )

108. Z judikatúry Súdneho dvora vyplýva, že na účely splnenia požiadavky proporcionality musí smernica PNR ako právny základ obsahujúci zásahy do základných práv zakotvených v článkoch 7 a 8 Charty, opísané v bodoch 70 až 83 vyššie, stanoviť jasné a presné pravidlá, ktoré budú upravovať rozsah a uplatnenie opatrení zahŕňajúcich takéto zásahy a ukladať minimálne požiadavky, tak aby osoby, ktorých údaje boli prenesené, mali dostatočné záruky umožňujúce im účinne chrániť ich osobné údaje pred rizikami zneužitia, ako aj pred akýmkoľvek nezákonným prístupom a akýmkoľvek nezákonným použitím týchto údajov. ( 111 ) Nevyhnutnosť disponovať takými zárukami je o to dôležitejšia v prípade, keď ako v prejednávanej veci sú osobné údaje spracúvané automaticky a keď ide o ochranu tejto osobitnej kategórie osobných údajov, ktorú tvoria citlivé údaje. ( 112 )

109. Pokiaľ ide o rozsah súdneho preskúmania dodržiavania požiadaviek vyplývajúcich zo zásady proporcionality, vzhľadom na dôležitú úlohu, ktorú zohráva ochrana osobných údajov so zreteľom na základné právo na rešpektovanie súkromného života, a zásah do týchto práv, ktorý obsahuje smernica PNR, je voľná úvaha normotvorcu Únie obmedzená, takže toto preskúmanie musí byť prísne. ( 113 )

1) O vhodnosti spracúvania údajov z PNR podľa smernice PNR vzhľadom na sledovaný cieľ

110. V bode 153 stanoviska 1/15 Súdny dvor v súvislosti s návrhom dohody PNR medzi Kanadou a EÚ uviedol, že prenosom údajov z PNR do Kanady a ich následným spracúvaním možno zaručiť dosiahnutie cieľa spočívajúceho v zaistení ochrany a verejnej bezpečnosti. Domnievam sa, že túto vhodnosť, ktorá je dlhodobo uznávaná tak na úrovni Únie, ako aj na celosvetovej úrovni, ( 114 ) nemožno spochybniť v súvislosti so zhromažďovaním a následným spracúvaním údajov z PNR v prípade letov mimo EÚ, ako aj letov vnútri EÚ. ( 115 )

111. Efektívnosť systému spracúvania údajov PNR zavedeného smernicou preto možno v praxi vyhodnotiť len na základe posúdenia výsledkov jeho uplatňovania. ( 116 ) Z tohto pohľadu je nevyhnutné, aby bola takáto účinnosť neustále vyhodnocovaná na základe čo najpresnejších a najspoľahlivejších štatistických údajov. ( 117 ) V tejto súvislosti by Komisia mala v pravidelných intervaloch vykonávať preskúmanie podobné tomu, ktoré už bolo stanovené v článku 19 smernice PNR.

2) O striktnej nevyhnutnosti zásahu

112. Hoci Cour constitutionnelle (Ústavný súd) výslovne nevyjadril pochybnosti o tom, či smernica PNR obsahuje jasné a presné pravidlá, ktoré sa obmedzujú na to, čo je prísne nevyhnutné, pokiaľ ide o vymedzenie účelov spracúvania údajov z PNR ( 118 ), analýza proporcionality systému stanoveného touto smernicou, ktorú požaduje vnútroštátny súd, nemôže podľa môjho názoru opomenúť túto otázku. ( 119 )

i) O vymedzení účelov spracúvania údajov z PNR

113. Jasné vymedzenie účelov, na ktoré je príslušným orgánom povolený prístup k osobným údajom a ich následné využitie, predstavuje základnú požiadavku každého systému spracúvania údajov najmä na presadzovanie práva. Splnenie tejto požiadavky je okrem toho nevyhnutné na to, aby Súdny dvor mohol posúdiť primeranosť predmetných opatrení uplatnením testu závažnosti zásahu vo vzťahu k dôležitosti sledovaného cieľa, ako stanovuje jeho judikatúra. ( 120 )

114. Súdny dvor zdôraznil význam jasného vymedzenia účelov opatrení zahŕňajúcich obmedzenia základných práv na rešpektovanie súkromného života a na ochranu osobných údajov, a to najmä v rozsudku Digital Rights, v ktorom vyhlásil smernicu 2006/24 za neplatnú. V bode 60 tohto rozsudku Súdny dvor poznamenal, že táto smernica nestanovuje „nijaké objektívne kritérium umožňujúce vymedziť prístup príslušných vnútroštátnych orgánov k údajom a ich neskoršiemu použitiu na účely predchádzania, odhaľovania alebo stíhania trestných činov v prípade trestnej činnosti, ktorú možno vzhľadom na rozsah a závažnosť zásahu do práv zakotvených v článkoch 7 a 8 Charty považovať za dostatočne závažnú, aby odôvodňovala takýto zásah“, a že sa „vo svojom článku 1 ods. 1 naopak obmedzuje na to, že všeobecne odkazuje na závažné trestné činy, ako ich definuje vnútroštátne právo každého členského štátu“.

115. Článok 1 ods. 2 smernice PNR uvádza všeobecné kritérium obmedzenia účelov, podľa ktorého „údaje PNR zhromaždené v súlade s touto smernicou možno spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti“. Na rozdiel od smernice 2006/24 sa však smernica PNR neobmedzuje len na takúto formuláciu, ale sama vo svojom článku 3 bodoch 8 a 9 vymedzuje tak pojem „teroristické trestné činy“, ako aj pojem „závažná trestná činnosť“, a to pri prvom pojme odkazom na články 1 až 4 rámcového rozhodnutia Rady 2002/475/SVV z 13. júna 2002 o boji proti terorizmu (Ú. v. ES L 164, 2002, s. 3; Mim. vyd. 19/006, s. 18) [nahradeného smernicou (EÚ) 2017/541] ( 121 ), a pri druhom pojme jednak vymenovaním kategórií trestných činov zodpovedajúcich tomuto pojmu v prílohe II, a jednak stanovením hranice závažnosti z hľadiska hornej hranice trestnej sadzby trestu odňatia slobody alebo ochranného opatrenia, ktoré možno uložiť za tieto trestné činy.

116. Hoci odkaz na príslušné ustanovenia smernice 2017/541 umožňuje dostatočne jasne a presne vymedziť činy, ktoré možno kvalifikovať ako teroristické trestné činy podľa článku 3 bodu 8 smernice o PNR, a posúdiť ich závažnosť na účely zváženia významu cieľa ochrany verejnej bezpečnosti sledovaného touto smernicou a závažnosti zásahu, ktorý prináša do základných práv zakotvených v článkoch 7 a 8 Charty, takýto záver nie je taký jednoznačný, pokiaľ ide o všetky trestné činy uvedené v prílohe II.

117. V bode 177 stanoviska 1/15 Súdny dvor konštatoval, že návrh dohody PNR medzi Kanadou a EÚ jasne a presne vymedzuje stupeň závažnosti trestných činov, na ktoré sa vzťahuje pojem „závažná nadnárodná trestná činnosť“, a to tým, že stanovuje, že za tieto trestné činy „sa ukladá trest odňatia slobody s hornou hranicou trestnej sadzby najmenej 4 roky alebo vyšší trest“, a že uvádza „jednotlivé prípady, keď možno usúdiť, že trestný čin má nadnárodnú povahu“.

118. V porovnaní s právnou úpravou skúmanou Súdnym dvorom v tomto stanovisku smernica PNR po prvé nezohľadňuje pri vymedzení dotknutých trestných činov ich nadnárodný charakter, po druhé stanovuje vyčerpávajúci zoznam trestných činov, ktoré sa vzhľadom na svoju povahu považujú za závažnú trestnú činnosť, pokiaľ sa za ne ukladá trest s minimálnou hornou hranicou trestnej sadzby stanovenou v článku 3 bode 9 tejto smernice, a po tretie v zásade znižuje hranicu závažnosti prijatím kritéria založeného na výške maximálneho trestu a stanovením tejto hranice na tri roky.

119. Pokiaľ ide po prvé o neexistenciu obmedzujúceho kritéria založeného na nadnárodnej povahe, je nepochybne pravda, že obmedzenie vecnej pôsobnosti smernice PNR len na závažnú „cezhraničnú“ trestnú činnosť by umožnilo zamerať sa na trestné činy, ktoré by si svojou povahou mohli aspoň potenciálne zachovávať objektívnu súvislosť s cestami leteckou dopravou, a teda aj s kategóriami údajov zhromažďovaných a spracúvaných podľa smernice PNR. ( 122 ) V zásade však súhlasím s názorom Komisie, že na rozdiel od kontextu medzinárodnej dohody je relevantnosť a nevyhnutnosť takéhoto kritéria menej zrejmá v prípade mechanizmu boja proti trestnej činnosti, ktorého cieľom je ochrana vnútornej bezpečnosti Únie. Okrem toho, ako ďalej tvrdí Komisia, neexistencia cezhraničných prvkov nie je sama osebe indíciou umožňujúcou vylúčiť závažnosť trestného činu.

120. Pokiaľ ide po druhé o kritérium stanovujúce hranicu závažnosti dotknutých trestných činov, ktoré sa má v záujme umožnenia predbežného posúdenia tejto závažnosti vykladať v tom zmysle, že odkazuje na maximálnu dĺžku trestu odňatia slobody alebo ochranného opatrenia obmedzujúceho slobodu stanovenú zákonom, a nie na takú, ktorá môže byť skutočne uložená v konkrétnom prípade, toto kritérium, aj keď vychádza z minimálnej hornej hranice trestnej sadzby a nie z minimálnej dolnej hranice trestnej sadzby, nie je samo osebe spôsobilé určiť dostatočnú úroveň závažnosti umožňujúcu odôvodniť zásah do základných práv zakotvených v článkoch 7 a 8 Charty, ktorý so sebou prinášajú spracúvania údajov stanovené v smernici PNR. Podľa môjho názoru by sa však malo vykladať ako kritérium určujúce „minimálnu“ úroveň závažnosti. Hoci teda takéto kritérium zakazuje členským štátom pokladať za „formy závažnej trestnej činnosti“ trestné činy uvedené v prílohe II, za ktoré ich vnútroštátne trestné právo ukladá trest odňatia slobody alebo ochranné opatrenie obmedzujúce slobodu s hornou hranicou trestnej sadzby v dĺžke menej ako tri roky, neukladá im povinnosť automaticky uznať takúto kvalifikáciu všetkým trestným činom, ktoré môžu byť zahrnuté do uvedenej prílohy II a za ktoré možno uložiť trest v dĺžke dosahujúcej hranicu stanovenú v článku 3 bode 9 smernice o PNR, ak by takéto uznanie vzhľadom na osobitosti ich trestnoprávnych systémov viedlo k využívaniu režimu stanoveného smernicou PNR na účely predchádzania, odhaľovania, vyšetrovania a stíhania foriem bežnej trestnej činnosti, čo je v rozpore s cieľmi sledovanými touto smernicou.

121. Pokiaľ ide po tretie o zoznam v prílohe II, treba predovšetkým poznamenať, že okolnosť, že smernica PNR taxatívne vymenúva trestné činy spadajúce pod definíciu „závažnej trestnej činnosti“, predstavuje základnú formálnu a materiálnu záruku na zabezpečenie zákonnosti systému zavedeného touto smernicou a právnej istoty cestujúcich. Treba však konštatovať, že uvedený zoznam zahŕňa tak trestné činy, ktoré svojou povahou vykazujú nepochybne vysoký stupeň závažnosti – ako napríklad obchodovanie s ľuďmi, sexuálne vykorisťovanie detí a detská pornografia, nedovolené obchodovanie so zbraňami, s jadrovými alebo rádioaktívnymi materiálmi, nezákonné ovládnutie lietadla alebo plavidla, trestné činy podliehajúce právomoci Medzinárodného trestného súdu, vražda, znásilnenie, únos, obmedzovanie osobnej slobody a branie rukojemníka ( 123 ) – ako aj trestné činy, pri ktorých je tento stupeň závažnosti menej zrejmý, ako napríklad podvod, falšovanie, pozmeňovanie výrobkov vrátane konaní porušujúcich práva duševného vlastníctva alebo ich distribúcia, falšovanie a pozmeňovanie verejných listín a obchodovanie s takými listinami, ako aj obchodovanie s odcudzenými vozidlami. ( 124 ) Okrem toho medzi trestnými činmi uvedenými v prílohe II sú také, ktoré samotnou svojou podstatou môžu viac ako iné vykazovať nadnárodnú povahu – ako napríklad obchodovanie s ľuďmi, nedovolené obchodovanie s omamnými látkami alebo so zbraňami, sexuálne vykorisťovanie detí, uľahčenie neoprávneného prekročenia štátnej hranice a neoprávneného pobytu, nezákonné ovládnutie lietadla – a tiež súvislosť s leteckou prepravou cestujúcich.

122. Pokiaľ ide o dostatočne jasnú a presnú povahu rubrík uvedených v prílohe II, aj tu sa úroveň značne líši. Hoci sa teda zoznam obsiahnutý v tejto prílohe musí považovať za vyčerpávajúci, viaceré z jej rubrík majú „otvorenú“ povahu ( 125 ) a iné odkazujú na všeobecné pojmy, ktoré môžu zahŕňať veľmi veľký počet trestných činov rôznej závažnosti, aj keď vždy v medziach hornej hranice trestnej sadzby stanovenej v článku 3 bode 9 smernice PNR. ( 126 )

123. V tejto súvislosti chcem na jednej strane uviesť, že harmonizačné smernice prijaté v oblastiach uvedených v článku 83 ods. 1 ZFEÚ a spomenuté v poznámke pod čiarou 123 vyššie, poskytujú relevantné informácie umožňujúce identifikovať prinajmenšom niektoré závažné trestné činy, ktoré môžu spadať pod príslušné rubriky prílohy II. Predovšetkým smernica 2013/40 tak vo svojich článkoch 3 až 8 vymedzuje rôzne trestné činy spadajúce pod pojem „počítačová kriminalita“ uvedený v bode 9 tejto prílohy II, pričom dbá o to, aby v každom jednotlivom prípade boli vylúčené skutky, ktoré predstavujú „menej závažné prípady“. ( 127 ) Podobne smernica 2019/713 vymedzuje určité druhy podvodných trestných činov a smernica 2017/1371 vymedzuje znaky skutkovej podstaty „podvodu proti finančným záujmom Únie“. V tejto súvislosti treba spomenúť aj smernicu 2008/99/ES o ochrane životného prostredia prostredníctvom trestného práva ( 128 ) prijatú na základe článku 175 ods. 1 ES, ktorá vo svojom článku 3 vymedzuje súbor závažných trestných činov proti životnému prostrediu, ktoré môžu spadať pod rubriku 10 prílohy II, vrátane skutkov kvalifikovateľných ako „nedovolené obchodovanie, pričom vylučuje akékoľvek konanie, ktoré má zanedbateľný vplyv na chránenú vec. Napokon by som chcel pripomenúť smernicu 2002/90/ES ( 129 ), ktorá vymedzuje napomáhanie neoprávnenému vstupu, tranzitu a pobytu, ako aj rámcové rozhodnutie 2002/946/SVV ( 130 ) o posilnení trestného systému na zabránenie týmto trestným činom, rámcové rozhodnutie 2003/568/SVV ( 131 ), ktoré vymedzuje trestné činy kvalifikované ako „aktívna a pasívna korupcia v súkromnom sektore“, a rámcové rozhodnutie 2008/841/SVV ( 132 ), ktoré vymedzuje trestné činy súvisiace s účasťou v zločineckej organizácii.

124. Na druhej strane chcem uviesť, že – ako správne poznamenala Komisia – pri neexistencii úplnej harmonizácie hmotného trestného práva nemožno normotvorcovi Únie vytýkať, že bližšie nešpecifikoval trestné činy uvedené v prílohe II. Preto na rozdiel od toho, čo bude uvedené ďalej v súvislosti so zoznamom údajov z PNR obsiahnutým v prílohe I, si prebratie zoznamu trestných činov v prílohe II do vnútroštátneho práva nevyhnutne vyžaduje, aby členské štáty v závislosti od osobitostí svojich vnútroštátnych trestnoprávnych systémov vymedzili trestné činy, na ktoré sa tento zoznam môže vzťahovať. Táto operácia sa však musí vykonať pri úplnom rešpektovaní kritéria, podľa ktorého každý zásah do základných práv zakotvených v článkoch 7 a 8 Charty sa musí obmedziť na to, čo je prísne nevyhnutné. Domnievam sa teda, že napríklad nie je vylúčené, aby členské štáty stanovili, že využívanie údajov z PNR bude pri niektorých trestných činoch, ako sú napríklad trestné činy uvedené v bodoch 7, 16, 17, 18, 25 prílohy II, obmedzené na prípady, keď majú tieto trestné činy cezhraničnú povahu alebo sú spáchané v rámci zločineckej organizácie alebo obsahujú určité priťažujúce okolnosti. Úlohou súdov členských štátov bude vykladať, s možnosťou preskúmania Súdnym dvorom, vnútroštátne ustanovenia preberajúce uvedený zoznam do vnútroštátneho práva spôsobom, ktorý je v súlade so smernicou PNR, ako aj s Chartou, tak aby sa spracúvanie údajov z PNR v prípade každej rubriky obmedzilo na trestné činy, ktoré dosahujú vysoký stupeň závažnosti požadovaný touto smernicou, ako aj na trestné činy, pre ktoré je takéto spracúvanie relevantné. ( 133 )

125. S výhradou spresnení uvedených v bodoch 120 a 124 vyššie sa domnievam, že článok 3 bod 9 smernice PNR, ako aj katalóg trestných činov obsiahnutý v jej prílohe II zodpovedajú požiadavkám jasnosti a presnosti a neprekračujú rámec toho, čo je striktne nevyhnutné.

126. Treba však uznať, že riešenie uvedené v bode 124 vyššie nie je úplne uspokojivé. Na jednej strane totiž ponecháva členským štátom značnú mieru voľnej úvahy, takže vecná pôsobnosť spracúvania údajov z PNR sa môže v jednotlivých členských štátoch výrazne líšiť, čo ohrozuje cieľ harmonizácie sledovaný normotvorcom Únie. ( 134 ) Na druhej strane z neho vyplýva, že kontrola proporcionality základného prvku systému, akým je obmedzenie účelov tohto spracúvania, bude vykonávaná ex post vo vzťahu k vnútroštátnym vykonávacím opatreniam, a nie ex ante voči samotnej smernici PNR. Bolo by teda žiaduce, aby Súdny dvor v prípade, že sa rozhodne v súlade s mojím návrhom považovať článok 3 bod 9 smernice PNR, ako aj zoznam trestných činov obsiahnutý v jej prílohe II za zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 Charty, upozornil normotvorcu Únie na skutočnosť, že takéto posúdenie je len dočasné a že vyžaduje, aby tento normotvorca vzhľadom na prebratie tohto ustanovenia a tohto zoznamu členskými štátmi a na základe štatistických údajov uvedených v článku 20 smernice PNR overil potrebu: i) prostredníctvom obmedzenia rozsahu bližšie špecifikovať kategórie trestných činov, na ktoré sa vzťahuje uvedený zoznam, ii) odstrániť z tohto zoznamu trestné činy, pri ktorých je spracúvanie údajov z PNR buď neprimerané, irelevantné alebo neúčinné, a iii) zvýšiť hranicu závažnosti trestných činov uvedených v článku 3 bode 9 smernice PNR. ( 135 ) V tejto súvislosti chcem poukázať na to, že hoci článok 19 ods. 2 písm. b) smernice PNR ukladá Komisii povinnosť preskúmať všetky prvky tejto smernice a venovať osobitnú pozornosť „potrebe a proporcionalite zhromažďovania a spracúvania údajov PNR v prípade každého účelu ustanoveného“ v tejto smernici, ani správa Komisie z roku 2020, ani sprievodný pracovný dokument z roku 2020 podľa môjho názoru neobsahujú v tomto smere uspokojivé preskúmanie.

ii) O kategóriách údajov z PNR uvedených v smernici PNR (druhá a tretia prejudiciálna otázka)

127. Smernica PNR stanovuje prenos 19 kategórií údajov z PNR, ktoré zhromažďujú leteckí dopravcovia na účely rezervácie letov, útvarom PIU. Tieto kategórie vymenované v prílohe I zodpovedajú kategóriám, ktoré sa objavujú v rezervačných systémoch leteckých spoločností, a kategóriám vymenovaným v prílohe I usmernení o údajoch z osobného záznamu o cestujúcom, ktoré prijala Medzinárodná organizácia pre civilné letectvo (ICAO) v roku 2010 ( 136 ) (ďalej len „usmernenia ICAO“).

128. Svojou druhou prejudiciálnou otázkou sa vnútroštátny súd pýta na platnosť prílohy I z hľadiska článkov 7, 8 a článku 52 ods. 1 Charty, a to jednak vzhľadom na rozsah osobných údajov vymenovaných v tejto prílohe – a najmä údajov API uvedených v bode 18 tejto prílohy v rozsahu, v akom sú obsiahlejšie než údaje vymenované v článku 3 ods. 2 smernice API – a jednak vzhľadom na to, že tieto údaje môžu ako celok prezrádzať citlivé údaje, a tak prekračovať rámec toho, čo je „striktne nevyhnutné“. Svojou treťou prejudiciálnou otázkou, ktorá – ako som už mal príležitosť uviesť – súvisí s dodržaním prvej z troch podmienok uvedených v článku 52 ods. 1 Charty, podľa ktorej akýkoľvek zásah do základného práva musí byť „ustanovený zákonom“, sa Cour constitutionnelle (Ústavný súd) naopak pýta Súdneho dvora na platnosť bodov 12 a 18 prílohy I, a to najmä vzhľadom na ich „otvorenú“ povahu.

129. Keďže preskúmanie, ktoré sa má vykonať v rámci druhej prejudiciálnej otázky, predpokladá preskúmanie dostatočne jasnej a presnej povahy kategórií osobných údajov uvedených v prílohe I, budem sa najprv zaoberať treťou prejudiciálnou otázkou.

– O dostatočne jasnej a presnej povahe bodov 12 a 18 prílohy I (tretia prejudiciálna otázka)

130. Na úvod treba poznamenať, že rozsah a závažnosť zásahu do základných práv uvedených v článkoch 7 a 8 Charty, ktorý zahŕňa opatrenie zavádzajúce obmedzenia výkonu týchto práv, závisí predovšetkým od rozsahu a povahy osobných údajov, ktoré sú predmetom spracúvania. Identifikácia týchto údajov teda predstavuje základnú operáciu, ktorú musí každý právny základ zavádzajúci takéto opatrenie povinne vykonať čo najjasnejším a najpresnejším spôsobom.

131. Táto požiadavka bola v súvislosti so spracúvaním údajov PNR uznaná v stanovisku 1/15. Pokiaľ ide o rubriky nachádzajúce sa v prílohe k návrhu dohody PNR medzi Kanadou a EÚ, ktoré obsahujú výpočet údajov z PNR, ktorých sa týka zamýšľaná dohoda, Súdny dvor v tomto stanovisku okrem iného konštatoval, že použitie všeobecných kategórií informácií, ktoré dostatočne neurčujú rozsah údajov, ktoré majú byť prenášan