SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA

GIOVANNIJA PITRUZZELLE,

predstavljeni 27. januarja 2022 ( 1 )

Zadeva C‑817/19

Ligue des droits humains

proti

Conseil des ministres

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Cour constitutionnelle (ustavno sodišče, Belgija))

„Predhodno odločanje – Varstvo osebnih podatkov – Obdelava podatkov iz evidence podatkov o potnikih (PNR) – Uredba (EU) 2016/679 – Področje uporabe – Direktiva (EU) 2016/681 – Veljavnost – Listina Evropske unije o temeljnih pravicah – Člena 7 in 8 ter člen 52(1)“

Kazalo

I. Uvod II. Pravni okvir A. Pravo Unije 1. Listina 2. SUVP 3. Direktiva o PNR 4. Drugi upoštevni akti prava Unije B. Belgijsko pravo C. Spor o glavni stvari, vprašanja za predhodno odločanje in postopek pred Sodiščem III. Analiza A. Prvo vprašanje za predhodno odločanje B. Drugo, tretje, četrto, šesto in osmo vprašanje za predhodno odločanje 1. Temeljne pravice iz členov 7 in 8 Listine 2. Poseganje v temeljne pravice iz členov 7 in 8 Listine 3. Utemeljitev poseganja, ki izhaja iz Direktive o PNR a) Spoštovanje zahteve, da mora biti kakršno koli omejevanje uresničevanja temeljne pravice iz Listine predpisano z zakonom b) Spoštovanje bistvene vsebine pravic iz členov 7 in 8 Listine c) Spoštovanje zahteve, da mora poseganje izpolnjevati cilj v splošnem interesu d) Spoštovanje načela sorazmernosti 1) Primernost obdelav podatkov PNR, na katere se nanaša Direktiva o PNR, glede na zastavljeni cilj 2) Nujna potrebnost poseganja i) Opredelitev namenov obdelave podatkov PNR ii) Kategorije podatkov PNR iz Direktive o PNR (drugo in tretje vprašanje za predhodno odločanje) – Zadostna jasnost in natančnost točk 12 in 18 Priloge I (tretje vprašanje za predhodno odločanje) – Obseg podatkov, naštetih v Prilogi I (drugo vprašanje za predhodno odločanje) – Občutljivi podatki iii) Pojem „potnik“ (četrto vprašanje za predhodno odločanje) iv) Zadostna jasnost in natančnost predhodnega ocenjevanja potnikov ter omejenost tega ocenjevanja na to, kar je nujno potrebno (šesto vprašanje za predhodno odločanje) – Primerjava s podatkovnimi zbirkami v smislu člena 6(3)(a) Direktive o PNR – Obdelava podatkov PNR glede na vnaprej določena merila – Zaščitni ukrepi, ki spremljajo avtomatizirano obdelavo podatkov PNR – Predlog v zvezi s šestim vprašanjem za predhodno odločanje v) Hramba podatkov PNR (osmo vprašanje za predhodno odločanje) 4. Predlog v zvezi z drugim, tretjim, četrtim, šestim in osmim vprašanjem za predhodno odločanje C. Peto vprašanje za predhodno odločanje D. Sedmo vprašanje za predhodno odločanje E. Deveto vprašanje za predhodno odločanje F. Deseto vprašanje za predhodno odločanje IV. Predlog

I. Uvod

1. Cour constitutionnelle (ustavno sodišče, Belgija) s tem predlogom za sprejetje predhodne odločbe Sodišču postavlja sklop desetih vprašanj za predhodno odločanje v zvezi z razlago Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (v nadaljevanju: SUVP) ( 2 ) ter veljavnostjo in razlago Direktive (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj (v nadaljevanju: Direktiva o PNR) ( 3 ) in Direktive Sveta 2004/82/ES z dne 29. aprila 2004 o dolžnosti prevoznikov, da posredujejo podatke o potnikih (v nadaljevanju: Direktiva o API) ( 4 ). Ta vprašanja so se pojavila v okviru tožbe, ki jo je vložilo nepridobitno združenje Ligue des droits humains (LDH), ki je predlagalo razglasitev popolne ali delne ničnosti loi du 25 décembre 2016 relative au traitement des données des passagers (zakon z dne 25. decembra 2016 o obdelavi podatkov o potnikih, v nadaljevanju: zakon o PNR) ( 5 ), s katerim sta bili v belgijsko pravo preneseni Direktiva o PNR in Direktiva o API.

2. Vprašanja, o katerih bo moralo Sodišče odločiti v tej zadevi, se uvrščajo v okvir ene od glavnih dilem sodobnega demokratičnega liberalnega konstitucionalizma: kako je treba opredeliti ravnotežje med posameznikom in skupnostjo v dobi podatkov, ko so digitalne tehnologije omogočile zbiranje, shranjevanje, obdelavo in analizo ogromnih količin osebnih podatkov za namene napovedovanja? Algoritmi, analiza velepodatkov in umetna inteligenca, ki jih uporabljajo javni organi, lahko služijo za spodbujanje in zaščito temeljnih interesov družbe z nekoč nepredstavljivo učinkovitostjo: od varovanja javnega zdravja do okoljske trajnostnosti, od boja proti terorizmu do preprečevanja kriminala, zlasti hudih oblik kriminala. Obenem lahko s tem, da javni organi neselektivno zbirajo osebne podatke in uporabljajo digitalne tehnologije, nastane digitalni panoptikum, to je javna oblast, ki vidi vse, ne da bi bila videna. Vsevedna oblast, ki lahko nadzira in predvidi ravnanja vsakogar ter sprejema potrebne ukrepe, dokler ne pride do paradoksalnega rezultata, ki si ga je Steven Spielberg zamislil v filmu Minority Report, da preventivno odvzame svobodo storilcu kaznivega dejanja, ki še ni bilo izvedeno. Kot vemo, ima v nekaterih državah družba prednost pred posameznikom in uporaba osebnih podatkov zakonito omogoča izvajanje učinkovitega množičnega nadzora, namenjenega zaščiti javnih interesov, ki se štejejo za temeljne. Nasprotno – nacionalni in nadnacionalni – evropski konstitucionalizem, ki osrednje mesto namenja posamezniku in njegovim svoboščinam, postavlja pomembno oviro za oblikovanje družbe množičnega nadzora, zlasti po priznanju temeljnih pravic do varstva zasebnega življenja in varstva osebnih podatkov. V kolikšni meri se torej ta ovira lahko postavi, ne da bi resno ogrozila nekatere temeljne interese družbe – kot so bili zgoraj našteti kot primeri – ki lahko vseeno imajo ustavne povezave? Smo v osrčju vprašanja razmerja med posameznikom in skupnostjo v digitalni družbi. Vprašanje, ki zahteva na eni strani iskanje in izvajanje občutljivih ravnotežij med interesi skupnosti in pravicami posameznikov, pri čemer se izhaja iz absolutne pomembnosti zadnjenavedenih v evropski ustavni dediščini, ter na drugi strani vzpostavitev zaščitnih ukrepov pred zlorabami. Tudi tu se nahajamo v okviru sodobne različice klasične teme konstitucionalizma, saj – kot je bilo na kratko zatrjeno v Federalističnih spisih – ljudje niso angeli in zato so potrebni pravni mehanizmi za omejitev in nadzor javne oblasti.

3. Taka so splošna vprašanja, ki se umeščajo v okvir teh sklepnih predlogov, ki bodo lahko zgolj omejeni na razlago prava Unije z vidika prejšnje sodne prakse Sodišča in z uporabo uveljavljenih metod, med drugim z metodo skladne razlage. Metodo, ki jo bom pogosto, ko bo to pravno mogoče, uporabil v teh sklepnih predlogih, da bi našel potrebno ravnotežje z ustavnega vidika med javnimi cilji, na katerih temelji sistem prenosa, zbiranja in obdelave podatkov iz evidence podatkov o potnikih (v nadaljevanju: podatki PNR), in pravicami, določenimi v členih 7 in 8 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina).

II. Pravni okvir

A. Pravo Unije

1. Listina

4. V skladu s členom 7 Listine ima „[v]sakdo […] pravico do spoštovanja svojega zasebnega in družinskega življenja, stanovanja ter komunikacij“.

5. Člen 8 Listine določa:

6. „1. Vsakdo ima pravico do varstva osebnih podatkov, ki se nanj nanašajo.

7. 2. Osebni podatki se morajo obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom. Vsakdo ima pravico dostopa do podatkov, zbranih o njem, in pravico zahtevati, da se ti podatki popravijo.

8. 3. Spoštovanje teh pravil nadzira neodvisen organ.“

9. V skladu s členom 52(1) Listine mora biti „[k]akršno koli omejevanje uresničevanja pravic in svoboščin, ki jih priznava ta listina, […] predpisano z zakonom in spoštovati bistveno vsebino teh pravic in svoboščin. Ob upoštevanju načela sorazmernosti so omejitve dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali če so potrebne zaradi zaščite pravic in svoboščin drugih“.

2. SUVP

10. Člen 2(2)(d) SUVP s področja uporabe te uredbe izključuje obdelavo osebnih podatkov „s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem“.

11. Člen 23(1)(d) SUVP določa:

12. „Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

13. […]

14. (d) preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

3. Direktiva o PNR

15. Tu bom podal samo kratek pregled delovanja sistema, vzpostavljenega z Direktivo o PNR. Več podrobnosti o vsebini določb Direktive o PNR, ki je pomembna za odgovor na vprašanja za predhodno odločanje, bo navedenih med samo pravno analizo.

16. V skladu s členom 1 Direktiva o PNR, sprejeta na podlagi člena 82(1)(d) PDEU in člena 87(2)(a) PDEU, na ravni Evropske unije ureja sistem prenosa podatkov PNR s strani letalskih prevoznikov na letih zunaj EU ( 6 ) ter zbiranja, uporabe in hrambe teh podatkov s strani pristojnih organov držav članic za namene boja proti terorizmu in hudim oblikam kriminala.

17. V skladu s členom 3, točka 5, te direktive je „evidenca podatkov o potnikih“ ali „PNR“„zapis zahtevanih podatkov o potovanju vsakega potnika, ki vsebuje potrebne informacije, da lahko letalski prevozniki, ki zagotavljajo rezervacije, in udeleženi letalski prevozniki obdelujejo in nadzorujejo rezervacije za vsako potovanje, ki ga rezervira posamezna oseba ali se rezervira v njenem imenu, ne glede na to, ali je sestavni del sistema rezervacij, sistema za nadzor odhodov, ki se uporablja za prijavo potnikov na let, ali enakovrednih sistemov, ki zagotavljajo enake funkcije“.

18. V Prilogi I k Direktivi o PNR (v nadaljevanju: Priloga I) so našteti podatki iz evidence podatkov o potnikih, kolikor jih zbirajo letalski prevozniki, ki so predmet prenosa v smislu in v skladu s pravili iz člena 8 te direktive.

19. Priloga II k Direktivi o PNR (v nadaljevanju: Priloga II) vsebuje seznam kaznivih dejanj, ki pomenijo „hudo kaznivo dejanje“ v smislu člena 3, točka 9, te direktive.

20. Člen 2 Direktive o PNR določa, da se lahko države članice odločijo uporabljati to direktivo tudi za „lete znotraj EU“ ( 7 ) ali za nekatere od teh letov, za katere menijo, da so „potrebni“ za uresničevanje ciljev navedene direktive.

21. Člen 4(1) Direktive o PNR določa, da „[v]saka država članica ustanovi ali imenuje organ, pristojen za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih in hudih kaznivih dejanj ali organizacijsko enoto takšnega organa, da deluje kot njena enota za informacije o potnikih“. V skladu z odstavkom 2(a) tega člena 4 je enota za informacije o potnikih med drugim pristojna za zbiranje podatkov PNR od letalskih prevoznikov, njihovo hrambo in obdelavo in za posredovanje teh podatkov ali rezultatov njihove obdelave pristojnim organom iz člena 7 Direktive o PNR. V skladu z odstavkom 2 tega člena 7 so ti organi „[o]rgani, ki so pristojni za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih ali hudih kaznivih dejanj“. ( 8 )

22. Člen 6(1), drugi stavek, Direktive o PNR določa, da „[k]adar podatki PNR, ki jih posredujejo letalski prevozniki, vključujejo podatke, ki niso navedeni v Prilogi I, enota za informacije o potnikih takšne podatke ob prejemu izbriše takoj in trajno“. Odstavek 2 tega člena določa: „2. Enota za informacije o potnikih obdeluje podatke PNR samo za naslednje namene: (a) za ocenjevanje potnikov pred njihovim načrtovanim prihodom v državo članico ali odhodom iz nje, da bi identificirala osebe, ki jih morajo pristojni organi iz člena 7 in, kadar je ustrezno, Europol v skladu s členom 10 podrobneje preveriti glede na dejstvo, da bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju; (b) za odzivanje, za vsak primer posebej, na ustrezno obrazloženo zaprosilo, ki ga pristojni organi predložijo na zadostni podlagi za zagotavljanje in obdelavo podatkov PNR v konkretnih primerih za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih ali hudih kaznivih dejanj ter za zagotavljanje rezultatov takšne obdelave pristojnim organom ali, kadar je ustrezno, Europolu, ter (c) za analiziranje podatkov PNR za namene posodabljanja ali oblikovanja novih meril za izvajanje ocenjevanj iz točke (b) odstavka 3, da bi identificirali osebe, ki bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju.“

23. Člen 12 Direktive o PNR vsebuje določbe o hrambi podatkov PNR.

24. Člen 5 Direktive o PNR določa, da vsaka enota za informacije o potnikih imenuje pooblaščeno osebo za varstvo podatkov, ki je pristojna za spremljanje obdelave podatkov PNR in izvajanje ustreznih zaščitnih ukrepov. Poleg tega mora vsaka država članica v skladu s členom 15 te direktive nacionalni nadzorni organ iz člena 25 Okvirnega sklepa 2008/977/PNZ ( 9 ), nadomeščenega z Direktivo (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (v nadaljevanju: Policijska direktiva) ( 10 ), pooblastiti za spremljanje uporabe določb, sprejetih na podlagi navedene direktive, na njenem ozemlju. Ta organ, ki opravlja svoje naloge, da bi ščitil temeljne pravice pri obdelavi osebnih podatkov, ( 11 ) je med drugim pristojen, prvič, da obravnava prijave oziroma pritožbe, ki jih vloži posameznik, na katerega se podatki nanašajo, razišče zadevo, in posameznike, na katere se podatki nanašajo, v razumnem roku obvesti o stanju zadeve in odločitvi o njihovih prijavah oziroma pritožbah, ter drugič, da preverja zakonitost obdelave podatkov, izvaja preiskave, preglede in revizije v skladu z nacionalnim pravom, in sicer na lastno pobudo ali na podlagi prijave oziroma pritožbe. ( 12 )

4. Drugi upoštevni akti prava Unije

25. Pravni okvir te zadeve dopolnjujeta Direktiva o API in Policijska direktiva. Zaradi razumljivosti teh sklepnih predlogov bo vsebina upoštevnih določb teh aktov predstavljena, ko bo to potrebno za obravnavo vprašanj, ki se nanašajo nanje, oziroma, splošneje, za potrebe pravne analize.

B. Belgijsko pravo

26. V skladu s členom 22 Constitution belge (belgijska ustava) ima „[v]sakdo […] pravico do spoštovanja njegovega zasebnega in družinskega življenja, razen v primerih in pod pogoji, ki so določeni z zakonom“.

27. Z loi PNR (zakon o PNR) so v skladu z njegovim členom 2 prenesene Direktiva o API in Direktiva o PNR ter delno Direktiva 2010/65/EU ( 13 ).

28. V skladu z njegovim členom 3(1) zakon o PNR „določa obveznosti prevoznikov in potovalnih agencij v zvezi s pošiljanjem podatkov o potnikih, ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega“. V skladu s členom 4, točki 1 in 2, tega zakona „prevoznik“ pomeni „katero koli fizično ali pravno osebo, ki se poklicno ukvarja s prevozom oseb po zraku, morju, železnici ali kopnem“, „potovalna agencija“ pa „vsakega organizatorja potovanja ali potovalnega posrednika v smislu zakona z dne 16. februarja 1994 o pogodbi o organizaciji potovanja in posredniški pogodbi o potovanju“.

29. Člen 8 zakona o PNR določa: „1. Podatki o potnikih se obdelujejo za te namene: (1) preiskovanje in pregon, vključno z izvrševanjem kazni ali ukrepov omejitve prostosti, v zvezi z kaznivimi dejanji iz člena 90b(2), točke […] 7, […] 8, […] 11, […] 14, […] 17, 18, 19, ter (3) Code d’instruction criminelle (zakonik o kazenskem postopku); (2) preiskovanje in pregon, vključno z izvrševanjem kazni ali ukrepov omejitve prostosti, v zvezi s kaznivimi dejanji iz člena 196 za kazniva dejanja ponarejanja javnih listin ter členov 198, 199, 199a, 207, 213, 375 in 505 Code pénal (kazenski zakonik); (3) preprečevanje resne ogroženosti javne varnosti v okviru nasilne radikalizacije s spremljanjem pojavov in skupin v skladu s členom 44/5(1), točki 2 in 3, ter (2) loi du 5 août 1992 sur la fonction de police (zakon z dne 5. avgusta 1992 o delovanju policije); (4) spremljanje dejavnosti iz člena 7, točki 1 in 3/1, ter 11(1), točke od 1 do 3 in 5, loi du 30 novembre 1998 organique des services de renseignement et de sécurité (sistemski zakon z dne 30. novembra 1998 o obveščevalno-varnostnih službah) ( 14 ); (5) preiskovanje in pregon v zvezi s kaznivimi dejanji iz člena 220(2) loi générale sur les douanes et accises du 18 juillet 1977 (splošni zakon o carinah in trošarinah z dne 18. julija 1977) in člena 45, tretji odstavek, loi du 22 décembre 2009 relative au régime général d’accise (zakon z dne 22. decembra 2009 o splošnem trošarinskem sistemu) […]. 2. Pod pogoji iz poglavja 11 se podatki o potnikih obdelujejo tudi za izboljšanje nadzora oseb na zunanjih mejah in za boj proti nezakonitemu priseljevanju.“

30. Člen 9 zakona o PNR vsebuje seznam podatkov, ki so predmet prenosa. Ti podatki se ujemajo s podatki, naštetimi v Prilogi I.

31. V skladu s členom 18 zakona o PRN se „[p]odatki o potnikih […] hranijo v zbirki podatkov o potnikih največ pet let od njihovega vnosa. Po izteku tega obdobja se uničijo“.

32. Člen 19 tega zakona določa, da se „[o]b izteku šestmesečnega obdobja od vnosa podatkov o potnikih v zbirko podatkov o potnikih […] vsi podatki o potnikih depersonalizirajo z zakrivanjem podatkovnih elementov.“

33. Člen 24 zakona o PNR določa: „1. Podatki o potnikih se obdelujejo za izvajanje predhodnega ocenjevanja potnikov pred njihovim predvidenim prihodom na nacionalno ozemlje, odhodom z njega ali tranzitom prek njega, da se določi, katere osebe je treba temeljiteje pregledati. 2. V okviru ciljev iz člena 8(1), točke 1, 4 in 5, ali v zvezi z grožnjami, navedenimi v členih 8(1)(a), (b), (c), (d), (f) in (g) ter 11(2) sistemskega zakona z dne 30. novembra 1998 o obveščevalno-varnostnih službah, predhodna ocena potnikov temelji na zadetku, ki izhaja iz ujemanja podatkov o potnikih z: (1) zbirkami podatkov, ki jih upravljajo pristojne službe ali ki so jim neposredno na voljo ali dostopne v okviru njihovih nalog, ali seznami oseb, ki jih pristojne službe pripravijo v okviru svojih nalog; (2) merili za ocenjevanje, ki jih vnaprej določi enota za informacije o potnikih in so navedena v členu 25. 3. V okviru ciljev iz člena 8(1), točka 3, predhodna ocena potnikov temelji na zadetku, ki izhaja iz ujemanja podatkov o potnikih z zbirkami podatkov iz odstavka 2, točka 1. […]“.

34. Člen 25 zakona o PNR povzema vsebino člena 6(4) Direktive o PNR.

35. Poglavje 11 zakona o PNR vsebuje določbe, ki urejajo obdelavo osebnih podatkov o potnikih za izboljšanje nadzora na mejah in boj proti nezakonitemu priseljevanju. S temi določbami je v belgijsko pravo prenesena Direktiva o API.

36. Člen 44 zakona o PNR določa, da enota za informacije o potnikih imenuje pooblaščeno osebo za varstvo podatkov v okviru service public fédéral intérieur (ministrstvo za notranje zadeve). Spremljanje uporabe določb zakona o PNR opravlja Commission de la protection de la vie privée (komisija za varstvo zasebnosti).

37. Člen 51 zakona o PNR spreminja sistemski zakon z dne 30. novembra 1998 o obveščevalno-varnostnih službah s tem, da vstavlja naslednji člen 16/3: „1. Obveščevalno-varnostne službe se lahko pri izvajanju svojih nalog, če je to ustrezno utemeljeno, odločijo za vpogled v podatke o potnikih iz člena 7 [zakona o PNR]. 2. Odločitev iz odstavka 1 sprejme vodja službe, ki o tem pisno obvesti enoto za informacije o potnikih iz poglavja 7 zgoraj navedenega zakona. O odločitvi je skupaj z njeno obrazložitvijo uradno obveščen Comité permanent R (stalni odbor za nadzor obveščevalno-varnostnih služb). Stalni odbor za nadzor obveščevalno-varnostnih služb obveščevalno-varnostnim službam prepove uporabo podatkov, ki so bili zbrani pod pogoji, ki ne izpolnjujejo zakonskih zahtev. Odločitev se lahko nanaša na vse podatke o določeni obveščevalni preiskavi. V tem primeru se stalnemu odboru za nadzor obveščevalno-varnostnih služb enkrat mesečno pošlje seznam vpogledov v podatke o potnikih.“

C. Spor o glavni stvari, vprašanja za predhodno odločanje in postopek pred Sodiščem

38. Združenje LDH je 24. julija 2017 pri Cour constitutionnelle (ustavno sodišče) vložilo tožbo za razglasitev popolne ali delne ničnosti zakona o PNR. To združenje je v utemeljitev tožbe navedlo dva tožbena razloga.

39. V okviru prvega tožbenega razloga, ki ga je to združenje podalo primarno in se nanaša na kršitev člena 22 belgijske ustave v povezavi s členom 23 SUVP, členoma 7 in 8 ter členom 52(1) Listine in členom 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, ki je bila 4. novembra 1950 podpisana v Rimu (v nadaljevanju: EKČP), združenje LDH meni, da izpodbijani zakon ne upošteva načela sorazmernosti glede področja njegove uporabe in kategorije podatkov, na katere se nanaša, obdelave podatkov, ki jih uvaja, njegovih ciljev in trajanja hrambe podatkov. To združenje zlasti trdi, da je opredelitev podatkov PNR preširoka in bi lahko pripeljala do razkritja občutljivih podatkov, opredelitev pojma „potnik“ v tem zakonu pa omogoča neciljno sistematično obdelavo podatkov o vseh zadevnih potnikih. Poleg tega združenje LDH meni, da zakon o PNR ne opredeljuje dovolj jasno narave in podrobnih pravil metode pre-screening zbirk podatkov o potnikih in meril, ki se uporabljajo kot „kazalniki grožnje“. Nazadnje, to združenje meni, da zakon o PNR presega meje nujno potrebnega v smislu, da uresničuje cilje obdelave podatkov PNR, ki so širši od ciljev, ki jih dopušča Direktiva o PNR, in da je petletno obdobje za hrambo podatkov PNR nesorazmerno. Z drugim tožbenim razlogom, ki ga je združenje LDH podalo podredno in se nanaša na kršitev člena 22 belgijske ustave v povezavi s členom 3(2) PEU in členom 45 Listine, to združenje nasprotuje določbam poglavja 11 zakona o PNR, s katerimi je prenesena Direktiva o API.

40. Conseil des ministres (svet ministrov) Kraljevine Belgije kot intervenient pred Cour constitutionnelle (ustavno sodišče) nasprotuje tožbi združenja LDH in prereka tako dopustnost kot tudi utemeljenost obeh tožbenih razlogov, navedenih v utemeljitev te tožbe.

41. Cour constitutionnelle (ustavno sodišče) pa navaja te preudarke.

42. V zvezi s prvim tožbenim razlogom se Cour constitutionnelle (ustavno sodišče) najprej sprašuje, ali je opredelitev podatkov PNR v Prilogi I dovolj jasna in natančna. Nekateri od teh podatkov naj bi bili opisani kot primer in naj ne bi bili izčrpni. Dalje, navedeno sodišče navaja, da opredelitev pojma „potnik“ v členu 3, točka 4, Direktive o PNR povzroči zbiranje, prenos, obdelavo in hrambo podatkov PNR o vseh osebah, ki se prevažajo ali se bodo prevažale in so vpisane na seznam potnikov, ne glede na obstoj utemeljenih razlogov za sum, da je zadevna oseba storila kaznivo dejanje ali ga namerava storiti ali je bila spoznana za krivo kaznivega dejanja. Glede obdelave podatkov PNR Cour constitutionnelle (ustavno sodišče) ugotavlja, da so ti sistematično predmet predhodnega ocenjevanja, ki vključuje navzkrižno preverjanje podatkov PNR o vseh potnikih z zbirkami podatkov ali vnaprej določenimi merili, da se ugotovijo ujemanja. Vendar Cour constitutionnelle (ustavno sodišče) pojasnjuje, da če morajo biti merila specifična, zanesljiva in nediskriminatorna, se mu zdi tehnično nemogoče še natančneje opredeliti vnaprej določena merila za ugotavljanje tveganih profilov. Predložitveno sodišče v zvezi z obdobjem hrambe podatkov PNR, določenim v členu 12(1) Direktive o PNR, na podlagi katerega se navedeni podatki lahko hranijo pet let, meni, da bi se podatki PNR hranili brez upoštevanja tega, ali se za zadevne potnike v okviru predhodnega ocenjevanja razkrije, da lahko pomenijo ali ne tveganje za javno varnost. V teh okoliščinah se predložitveno sodišče sprašuje, ali se glede na sodno prakso, ki izhaja zlasti iz sodbe z dne 21. decembra 2016, Tele2 Sverige in Watson in drugi ( 15 ), in mnenja 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 ( 16 ), lahko šteje, da sistem zbiranja, prenosa, obdelave in hrambe podatkov PNR, vzpostavljen z Direktivo o PNR, ne presega meja nujno potrebnega. V tem okviru se to sodišče tudi sprašuje, ali Direktiva o PNR nasprotuje nacionalni ureditvi, kot izhaja iz člena 8(1), točka 4, zakona o PNR, ki dovoljuje obdelavo podatkov PNR za namen, ki ni določen v tej direktivi. Nazadnje, navedeno sodišče se sprašuje, ali se enota za informacije o potnikih lahko šteje za „drug nacionalni organ“, ki lahko na podlagi člena 12(3)(b)(ii) Direktive o PNR dovoli razkritje popolnih podatkov PNR po izteku šestih mesecev. V zvezi z drugim tožbenim razlogom predložitveno sodišče navaja, da je ta usmerjen proti členu 3(1), členu 8(2) ter členom od 28 do 31 zakona o PNR, ki urejajo zbiranje in obdelavo podatkov o potnikih za boj proti nezakonitemu priseljevanju in izboljšanje nadzora na mejah. To sodišče, ki opozarja, da v skladu s prvo od teh določb ta zakon zajema lete, ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega, pojasnjuje, da je nacionalni zakonodajalec lete „znotraj EU“ vključil na področje uporabe navedenega zakona, da bi se omogočil „popolnejši pregled nad gibanjem potnikov, ki pomenijo morebitno grožnjo za varnost [v Uniji] in nacionalno varnost“, pri čemer se je oprl na možnost iz člena 2 Direktive o PNR v povezavi z njeno uvodno izjavo 10.

43. V teh okoliščinah je Cour constitutionnelle (ustavno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje postavilo ta vprašanja: „1. Ali je treba člen 23 [SUVP] v povezavi s členom 2(2)(d) navedene uredbe razlagati tako, da se uporablja za nacionalno zakonodajo, kot je zakon [o PNR], s katerim so prenesene Direktiva [o PNR], Direktiva [o API] ter Direktiva [2010/65]? 2. Ali je Priloga I […] združljiva s členi 7, 8 in 52(1) [Listine] glede na to, da so podatki, našteti v njej, zelo obširni – zlasti podatki iz točke 18 [te Priloge I], ki presegajo podatke iz člena 3(2) Direktive [o API] – in glede na to, da bi lahko ti podatki, upoštevani skupaj, razkrili občutljive podatke in s tem kršili meje ,nujno potrebnega‘? 3. Ali sta točki 12 in 18 Priloge I […] združljivi s členoma 7, 8 in členom 52(1) [Listine] glede na to, da so ob upoštevanju izraza ,vključno [s]‘ podatki, na katere se nanašata, navedeni primeroma in ne izčrpno, tako da se ne spoštuje zahteva po natančnosti in jasnosti pravil, s katerimi se posega v pravico do spoštovanja zasebnega življenja in pravico do varstva osebnih podatkov? 4. Ali sta člen 3(4) Direktive [o PNR] in Priloga I […] združljiva s členoma 7 in 8 ter členom 52(1) [Listine] glede na to, da se sistem splošnega zbiranja, pošiljanja in obdelave podatkov o potnikih, ki ga ti določbi uvajata, nanaša na vsako osebo, ki uporabi zadevni način prevoza, ne glede na kakršen koli objektiven element, zaradi katerega bi se lahko štelo, da ta oseba lahko pomeni tveganje za javno varnost? 5. Ali je treba člen 6 Direktive [o PNR] v povezavi s členoma 7 in 8 ter členom 52(1) [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki kot namen obdelave podatkov iz PNR priznava spremljanje zadevnih dejavnosti obveščevalno-varnostnih služb ter s tem ta namen vključuje v preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj? 6. Ali je člen 6 Direktive [o PNR] združljiv s členoma 7 in 8 ter členom 52(1) [Listine] glede na to, da se predhodno ocenjevanje, ki ga ureja, s povezovanjem z zbirkami podatkov in na podlagi vnaprej določenih meril sistematično in splošno uporablja za podatke o potnikih, ne glede na kakršen koli objektiven element, zaradi katerega bi se lahko štelo, da ti potniki lahko pomenijo tveganje za javno varnost? 7. Ali je mogoče pojem ,drug pristojen nacionalni organ‘ iz člena 12(3) Direktive [o PNR] razlagati tako, da se nanaša na enoto za informacije o potnikih, ustanovljeno z zakonom [o PNR], ki lahko zato dovoli dostop do podatkov iz PNR po izteku šestmesečnega obdobja v okviru posameznih poizvedb? 8. Ali je treba člen 12 Direktive [o PNR] v povezavi s členoma 7 in 8 ter členom 52(1) [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki določa splošno petletno obdobje hrambe podatkov ne glede na to, ali se za zadevne potnike v okviru predhodnega ocenjevanja izkaže, da lahko pomenijo tveganje za javno varnost? 9. (a) Ali je Direktiva [o API] združljiva s členom 3(2) [PEU] in členom 45 [Listine] glede na to, da se obveznosti, ki jih uvaja, uporabljajo za lete znotraj [Unije]? (b) Ali je treba Direktivo [o API] v povezavi s členom 3(2) [PEU] in členom 45 [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki za boj proti nezakonitemu priseljevanju in izboljšanje nadzora na mejah dovoljuje sistem zbiranja in obdelave podatkov o potnikih, ,ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega‘, kar bi lahko posredno pomenilo ponovno vzpostavitev nadzora na notranjih mejah? 10. Ali lahko Cour constitutionnelle (ustavno sodišče), če bi na podlagi odgovorov na navedena vprašanja za predhodno odločanje ugotovilo, da se z izpodbijanim zakonom, s katerim je med drugim prenesena Direktiva [o PNR], kršijo ena ali več obveznosti, ki izhajajo iz določb, omenjenih v teh vprašanjih, odloči, da se učinki zakona [o PNR] začasno ohranijo, da se prepreči pravna negotovost in da se omogoči, da se lahko prej zbrani in ohranjeni podatki še uporabljajo za cilje iz [tega] zakona?“

44. Pisna stališča v smislu člena 23 Statuta Sodišča Evropske unije so predložili združenje LDH, belgijska, češka, danska, nemška, estonska, irska, španska, francoska, ciprska, latvijska, nizozemska, avstrijska, poljska, in finska vlada ter Evropski parlament, Svet Evropske unije in Evropska komisija. V skladu s členom 24 Statuta Sodišča Evropske unije so bili Komisija, Evropski nadzornik za varstvo podatkov (ENVP) in Agencija Evropske unije za temeljne pravice (FRA) pozvani, naj pisno odgovorijo na vprašanja Sodišča. Obravnava je bila 13. julija 2021.

III. Analiza

A. Prvo vprašanje za predhodno odločanje

45. S prvim vprašanjem za predhodno odločanje predložitveno sodišče v bistvu Sodišče sprašuje, ali je treba člen 2(2)(d) SUVP razlagati tako, da se ta uredba in zlasti njen člen 23(1), v skladu s katerim lahko pravo Unije ali pravo držav članic z zakonodajnim ukrepom iz izčrpno naštetih razlogov omeji obseg obveznosti in pravic iz te uredbe, uporabljata za obdelave podatkov na podlagi nacionalne zakonodaje, kot je zakon o PNR, s katerim so v nacionalno pravo prenesene Direktiva o PNR ter Direktiva o API in Direktiva 2010/65.

46. Člen 2(2) SUVP določa izjeme od področja uporabe te uredbe, kot je zelo široko ( 17 ) opredeljeno v njenem členu 2(1) ( 18 ). Kot odstopanja od uporabe predpisov, ki urejajo obdelavo osebnih podatkov, ki lahko posega v temeljne svoboščine, je treba te izjeme razlagati ozko. ( 19 )

47. Člen 2(2)(d) SUVP med drugim vsebuje izključitveno klavzulo, v skladu s katero se ta uredba ne uporablja za obdelavo osebnih podatkov „s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem“. Ta izključitvena klavzula temelji na dvojnem subjektivnem in objektivnem merilu. Tako so s področja uporabe navedene uredbe izključene obdelave podatkov, prvič, s strani „pristojnih organov“, in drugič, za namene, naštete v tej določbi. Zato je treba različne vrste obdelave podatkov, vključene v zakon o PNR, presojati z vidika tega dvojnega merila.

48. Na prvem mestu, obdelave podatkov, ki jih (letalski, železniški, kopenski in pomorski) prevozniki opravijo za enoto za informacije o potnikih ali ki jih potovalne agencije opravijo za namene opravljanja storitev ali poslovne namene, če se navedeni zakon nanje nanaša, še vedno ureja SUVP, ker ni izpolnjen niti subjektivni niti objektivni del izključitvenega merila iz člena 2(2)(d) te uredbe.

49. Na drugem mestu, v zvezi s prenosom podatkov PNR s strani prevoznikov ali potovalnih agencij enoti za informacije o potnikih, ki sam po sebi pomeni „obdelavo“ v smislu člena 4, točka 2, SUVP, ( 20 ) je njegova vključitev na področje uporabe te uredbe manj očitna.

50. Na eni strani, tega prenosa ne izvaja „pristojni organ“ v smislu člena 3, točka 7, Policijske direktive, na katerega se je treba sklicevati po analogiji, ker SUVP ne vsebuje opredelitve tega pojma. ( 21 ) Gospodarskega subjekta, kot je prevoznik ali potovalna agencija, ki mu je naložena samo zakonska obveznost prenosa osebnih podatkov in na katerega ni preneseno nobeno javno pooblastilo ( 22 ), ni mogoče šteti za organ ali subjekt v smislu navedenega člena 3, točka 7(b). ( 23 )

51. Na drugi strani, prenos podatkov PNR s strani prevoznikov in potovalnih agencij se izvaja za izpolnitev obveznosti, naložene z zakonom, da se omogoči uresničevanje namenov, naštetih v členu 2(2)(d) SUVP.

52. Iz besedila te določbe pa po mojem mnenju jasno izhaja, da so zunaj področja uporabe SUVP samo tiste obdelave, ki izpolnjujejo hkrati subjektivni in objektivni del izključitvenega merila iz te določbe. Prenos podatkov PNR enoti za informacije o potnikih, ki je z zakonom o PNR naložen prevoznikom in potovalnim agencijam, zato spada na področje uporabe te uredbe.

53. Za določbe zakona o PNR, s katerimi je prenesena Direktiva o PNR, je ta ugotovitev potrjena s členom 21(2) te direktive, ki določa, da ta direktiva „ne posega v uporabo Direktive 95/46/ES ( 24 ) glede obdelave osebnih podatkov s strani letalskih prevoznikov“. Razlago te določbe, ki jo med drugim predlaga francoska vlada in v skladu s katero je v tej določbi določeno samo, da za prevoznike še naprej veljajo obveznosti, ki so v SUVP določene za obdelave podatkov, ki niso določene v Direktivi o PNR, je treba po mojem mnenju zavrniti. Glede na njeno besedilo je namreč obseg te „klavzule o neposeganju“ širok in opredeljen samo s sklicevanjem na osebo, ki obdeluje podatke, saj ne vsebuje nobene navedbe o namenu obdelave ali o okviru, v katerem se obdelava izvaja, če se ta obdelava izvaja pri opravljanju gospodarske dejavnosti letalskega prevoznika ali na podlagi zakonske obveznosti. Poleg tega ugotavljam, da je klavzula z enako vsebino tudi v členu 13(3) Direktive o PNR, ki se še posebej sklicuje na obveznosti, ki jih imajo letalski prevozniki na podlagi SUVP „za sprejetje ustreznih tehničnih in organizacijskih ukrepov za zaščito varnosti in zaupnosti osebnih podatkov“. Ta določba pa se nahaja med tistimi, s katerimi je organizirano varstvo osebnih podatkov, ki se obdelujejo na podlagi Direktive o PNR, in sledi členu 13(1) te direktive, ki na splošno določa, da se za vsako obdelavo podatkov na podlagi te direktive uporabljajo določbe Okvirnega sklepa 2008/977, ki so v njej omenjene. V nasprotju s tem, kar trdi francoska vlada, taka normativna razporeditev omogoča, prvič, da se odstavek 3 navedenega člena 13 razlaga kot klavzula, ki v okvir SUVP vrača samo obdelavo podatkov, določeno v Direktivi o PNR, ki je ne izvajajo „pristojni organi“ v smislu Policijske direktive, ter drugič, da se sklicevanje na spoštovanje obveznosti, ki jih navedena uredba nalaga na področju varnosti in zaupnosti podatkov, razume kot opozorilo glede zaščitnih ukrepov, ki morajo nujno spremljati prenos podatkov PNR s strani prevoznikov enoti za informacije o potnikih.

54. Ugotovitve, predstavljene v točki 46 teh sklepnih predlogov, ne ovržeta uvodna izjava 19 SUVP in uvodna izjava 11 Policijske direktive, na kateri se med drugim sklicujejo nemška, irska in francoska, vlada, da bi utemeljile naravo lex specialis Direktive o PNR. V zvezi s tem je sicer res, da ta direktiva za obdelave osebnih podatkov, na katere se nanaša, vzpostavlja okvir za varstvo teh podatkov, ki je neodvisen od SUVP. Vendar se ta posebni okvir uporablja samo za obdelave podatkov PNR, ki jih izvajajo „pristojni organi“ v smislu člena 3, točka 7, Policijske direktive, med katerimi so zlasti enote za informacije o potnikih, medtem ko za prenos podatkov PNR enotam za informacije o potnikih še naprej velja splošni okvir, ki je bil s SUVP vzpostavljen med drugim na podlagi „klavzule o neposeganju“ iz člena 21(2) Direktive o PNR.

55. Belgijska, irska, francoska in ciprska vlada v utemeljitev teze, da se SUVP ne uporablja za prenos podatkov PNR enotam za informacije o potnikih s strani prevoznikov in potovalnih agencij, napotujejo na sodbo z dne 30. maja 2006, Parlament/Svet in Komisija ( 25 ), v kateri je Sodišče odločilo, da prenos podatkov PNR s strani letalskih prevoznikov Skupnosti organom Združenih držav Amerike v okviru sporazuma, sklenjenega med temi organi in Evropsko skupnostjo, pomeni obdelavo osebnih podatkov v smislu člena 3(2), prva alinea, Direktive 95/46 ( 26 ) in zato ne spada na področje uporabe te direktive. Sodišče je do te ugotovitve prišlo z upoštevanjem namena prenosa in dejstva, da ta prenos „spada v okvir, ki ga določijo javni organi“, čeprav podatke zbirajo in prenesejo zasebni subjekti. ( 27 )

56. V zvezi s tem je dovolj navesti, da je Sodišče v sodbi z dne 6. oktobra 2020, La Quadrature du Net in drugi ( 28 ), v bistvu štelo, da sodbe Parlament/Svet ni mogoče uporabiti v okviru SUVP. ( 29 )

57. Poleg tega je Sodišče v točki 102 sodbe La Quadrature du Net ( 30 ), v kateri je po analogiji uporabilo razlogovanje iz sodbe Tele2 Sverige in sodbe z dne 2. oktobra 2018, Ministerio Fiscal ( 31 ), potrdilo, da „[č]eprav [SUVP] v členu 2(2)(d) določa, da se ne uporablja za obdelavo ,s strani pristojnih organov‘ za namene, med drugim, preprečevanja in odkrivanja kaznivih dejanj, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, pa iz člena 23(1)(d) in (h) te uredbe izhaja, da obdelava osebnih podatkov, ki jih v iste namene izvajajo posamezniki, spada na njeno področje uporabe“. ( 32 )

58. Iz že predstavljenih razlogov sem prepričan, da ugotovitev, v skladu s katero prenos podatkov PNR s strani prevoznikov in potovalnih agencij enotam za informacije o potnikih spada na področje uporabe SUVP, jasno izhaja že iz besedila člena 2(2)(d) SUVP, ki se nanaša samo na obdelave, ki jih izvajajo „pristojni organi“, ne da bi se bilo treba sklicevati na omejitveno klavzulo iz člena 23(1) navedene uredbe. ( 33 ) Vseeno je trditev v točki 102 sodbe La Quadrature du Net jasno stališče Sodišča v prid taki ugotovitvi.

59. Ker prenos podatkov PNR s strani prevoznikov in potovalnih agencij spada na področje uporabe SUVP, nacionalna zakonodaja, kot je zakon o PNR, ki tem prevoznikom in agencijam nalaga obveznost takega prenosa, pomeni „zakonodajni ukrep“ na podlagi člena 23(1)(d) SUVP in mora zato izpolnjevati pogoje iz te določbe. ( 34 )

60. Na tretjem mestu, v zvezi z obdelavami podatkov PNR s strani enote za informacije o potnikih in pristojnih nacionalnih organov je uporaba SUVP odvisna, kot izhaja iz zgornjih preudarkov, od ciljev, ki jih te obdelave uresničujejo.

61. Tako so, prvič, obdelave podatkov PNR s strani enot za informacije o potnikih in pristojnih nacionalnih organov za namene, naštete v členu 8(1), točke od 1 do 3 in 5, zakona o PNR, ( 35 ) izključene s področja uporabe SUVP, ker navedeni nameni, kot se zdi, spadajo med namene, ki jih zajema izključitvena klavzula iz člena 2(2)(d) SUVP. Varstvo podatkov oseb, na katere se nanašajo te obdelave, spada na področje nacionalnega prava, ob upoštevanju uporabe Policijske direktive ( 36 ) in – v okviru področja njene uporabe – Direktive o PNR.

62. Drugič, enako velja za obdelave podatkov PNR s strani enot za informacije o potnikih in obveščevalno-varnostnih služb v okviru spremljanja dejavnosti, na katere se nanašajo določbe sistemskega zakona o obveščevalno-varnostnih službah, naštete v členu 8(1), točka 4, zakona o PNR, če izpolnjujejo cilje iz člena 2(2)(d) SUVP, kar mora presoditi predložitveno sodišče.

63. Belgijska vlada trdi, da obdelave na podlagi člena 8(1), točka 4, zakona o PNR vsekakor spadajo v okvir izključitvene klavzule iz člena 2(2)(a) SUVP in take klavzule iz člena 2(3)(a) Policijske direktive, ker dejavnosti obveščevalno-varnostnih služb ne spadajo na področje uporabe prava Unije.

64. V zvezi s tem ob poudarjanju, da Sodišče ne odloča o vprašanju v zvezi z razlago teh določb, najprej ugotavljam, da je Sodišče že trdilo, da nacionalna ureditev, ki nalaga obveznosti obdelave zasebnim subjektom, spada na področje uporabe določb prava Unije v zvezi z varstvom osebnih podatkov, tudi kadar je njen namen zaščita nacionalne varnosti. ( 37 ) Iz tega sledi, da prenos podatkov PNR, ki je z zakonom o PNR naložen prevoznikom in potovalnim agencijam, načeloma spada v okvir SUVP, tudi če se izvaja za namene člena 8(1), točka 4, tega zakona.

65. Dalje, ugotavljam, da čeprav je v uvodni izjavi 16 SUVP navedeno, da se ta ne uporablja za „dejavnosti v zvezi z nacionalno varnostjo“, in je v uvodni izjavi 14 Policijske direktive pojasnjeno, da „se dejavnosti v zvezi z varnostjo države ter dejavnosti agencij ali enot, zadolženih za vprašanja varnosti države, […] ne bi smele šteti za dejavnosti, ki spadajo v področje uporabe te direktive“, merila, na podlagi katerih obdelava osebnih podatkov s strani javnega organa, službe ali agencije države članice spada na področje uporabe enega ali drugega akta prava Unije, ki ureja varstvo zadevnih oseb v zvezi s takimi obdelavami, ali spada zunaj področja uporabe tega prava, ustrezajo logiki, ki je povezana tako z nalogami, dodeljenimi temu organu, službi ali agenciji, kot tudi z nameni navedene obdelave. Sodišče je tako odločilo, da „je treba šteti, da je edini namen člena 2(2)(a) SUVP v povezavi z uvodno izjavo 16 te uredbe izključiti s področja uporabe navedene uredbe obdelave osebnih podatkov, ki jih izvajajo državni organi v okviru dejavnosti, katere namen je ohraniti nacionalno varnost, ali v okviru dejavnosti, ki jo je mogoče razvrstiti v isto kategorijo, tako da zgolj dejstvo, da je dejavnost značilna za državo ali državni organ, ne zadostuje za samodejno uporabo te izjeme za takšno dejavnost“. ( 38 ) Sodišče je pojasnilo tudi, da „[d]ejavnosti, katerih cilj je ohraniti nacionalno varnost iz člena 2(2)(a) SUVP, zajemajo […] zlasti dejavnosti, katerih cilj je zaščita bistvenih funkcij države in temeljnih interesov družbe“. ( 39 ) Iz tega izhaja, da če bi država članica svojim obveščevalno-varnostnim službam podelila naloge na področjih, naštetih v členu 3, točka 7(a), Policijske direktive, bi obdelave podatkov, ki jih te službe opravijo za izvajanje teh nalog, spadale na področje uporabe te direktive in po potrebi Direktive o PNR. Splošneje ugotavljam, da je Sodišče v okviru razlage člena 4(2) PEU, na katerega se med drugim opira belgijska vlada, večkrat odločilo, da zgolj dejstvo, da je bil nacionalni ukrep sprejet zaradi zaščite nacionalne varnosti, ne more povzročiti izključitve uporabe prava Unije in držav članic oprostiti obveznosti spoštovanja tega prava, ( 40 ) s čimer je izrazilo zadržanost do samodejne in celovite izključitve dejavnosti držav članic, povezanih z zaščito nacionalne varnosti, s področja uporabe prava Unije.

66. Tretjič, v skladu z mnenjem vseh zainteresiranih strank, ki so predložile stališča, razen francoske vlade, je treba ugotoviti, da obdelave podatkov PNR, ki jih belgijski pristojni organi opravijo za namene, navedene v členu 8(2) zakona o PNR, in sicer „za izboljšanje nadzora oseb na zunanjih mejah in za boj proti nezakonitemu priseljevanju“ ( 41 ), ne spadajo v okvir izključitvene klavzule iz člena 2(2)(d) SUVP ali katerega drugega izključitvenega vzroka iz tega člena, zato spadajo na področje uporabe te uredbe. V nasprotju s tem, kar trdi francoska vlada, navedenih obdelav ne more urejati Direktiva o PNR, katere člen 1(2) določa, da se „[p]odatki PNR, zbrani v skladu s to direktivo, […] lahko obdelujejo le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj“, niti načeloma Policijska direktiva, ki se v skladu s členom 1(1) uporablja samo za obdelave osebnih podatkov, ki jih pristojni organi obdelujejo „za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem“. Kot je razvidno iz predložitvene odločbe, je namen člena 8(2) zakona o PNR in poglavja 11 tega zakona, ki vsebuje določbe, ki urejajo obdelavo podatkov PNR za izboljšanje nadzora na mejah in za boj proti nezakonitemu priseljevanju, in za to določa prenos teh podatkov s strani enote za informacije o potnikih policijskim službam, odgovornim za nadzor na mejah, v belgijsko pravo prenesti Direktivo o API in Direktivo 2010/65. Ti direktivi pa pristojnim organom nalagata, da pri obdelavah, na katere se nanašata, spoštujejo določbe Direktive 95/46. ( 42 ) V nasprotju s tem, kar trdi francoska vlada, je treba sklicevanje na zaščitna pravila iz te direktive razumeti tako, da zajema vsako obdelavo osebnih podatkov, ki se izvaja na podlagi Direktive o API in Direktive 2010/65. Dejstvo, da je Direktiva o API veljala pred začetkom veljavnosti Okvirnega sklepa 2008/977, v zvezi s tem ni upoštevno, ker se ta okvirni sklep in Policijska direktiva, s katero je bil nadomeščen, ne nanašata na obdelave osebnih podatkov iz člena 3(1) Direktive o API, ki jih pristojni organi izvajajo za namene pregona. ( 43 )

67. Na podlagi vseh zgornjih preudarkov Sodišču predlagam, naj na prvo vprašanje za predhodno odločanje odgovori, da je treba člen 23 SUVP v povezavi s členom 2(2)(d) te uredbe razlagati tako, da: – se uporablja za nacionalno zakonodajo o prenosu Direktive o PNR v delu, v katerem ta zakonodaja ureja obdelave podatkov PNR, ki jih opravljajo prevozniki in drugi gospodarski subjekti, vključno s prenosom podatkov PNR enotam za informacije o potnikih, določenim v členu 8 te direktive; – se ne uporablja za nacionalno zakonodajo o prenosu Direktive o PNR v delu, v katerem ta zakonodaja ureja obdelave podatkov, ki jih za namene iz člena 1(2) te direktive opravljajo pristojni nacionalni organi, vključno z enotami za informacije o potnikih in po potrebi obveščevalno-varnostnimi službami zainteresirane države članice; – se uporablja za nacionalno zakonodajo o prenosu Direktive o API in Direktive 2010/65 za izboljšanje nadzora oseb na zunanjih mejah in za boj proti nezakonitemu priseljevanju.

B. Drugo, tretje, četrto, šesto in osmo vprašanje za predhodno odločanje

68. Cour constitutionnelle (ustavno sodišče) z drugim, tretjim, četrtim in šestim vprašanjem za predhodno odločanje Sodišče sprašuje o veljavnosti Direktive o PNR z vidika členov 7 in 8 ter člena 52(1) Listine. Čeprav je osmo vprašanje za predhodno odločanje oblikovano kot vprašanje glede razlage, se tudi z njim v bistvu Sodišču predlaga, naj se izreče o veljavnosti te direktive.

69. Ta vprašanja se nanašajo na različne elemente sistema obdelave podatkov PNR, vzpostavljenega z Direktivo o PNR, in v zvezi z vsakim od teh elementov zahtevajo oceno spoštovanja pogojev, ki veljajo za zakonitost omejitev, določenih za uresničevanje temeljnih pravic iz členov 7 in 8 Listine. Tako se drugo in tretje vprašanje za predhodno odločanje nanašata na seznam podatkov PNR v Prilogi I, četrto se nanaša na opredelitev pojma „potnik“ iz člena 3, točka 4, Direktive o PNR, šesto na uporabo podatkov PNR za predhodno ocenjevanje na podlagi člena 6 te direktive in osmo na rok hrambe podatkov PNR, določen v členu 12(1) navedene direktive.

1. Temeljne pravice iz členov 7 in 8 Listine

70. Člen 7 Listine zagotavlja, da ima vsakdo pravico do spoštovanja svojega zasebnega in družinskega življenja, stanovanja ter komunikacij. Člen 8(1) Listine vsakomur izrecno priznava pravico do varstva osebnih podatkov, ki se nanašajo nanj. V skladu z ustaljeno sodno prakso so te pravice, ki se nanašajo na katero koli informacijo v zvezi z določeno ali določljivo fizično osebo, tesno povezane in dostop do osebnih podatkov fizične osebe za njihovo hrambo ali uporabo vpliva na pravico te osebe do spoštovanja zasebnega življenja. ( 44 )

71. Vendar pravice iz členov 7 in 8 Listine niso absolutne, temveč jih je treba upoštevati glede na njihovo funkcijo v družbi. ( 45 ) Člen 8(2) Listine torej dovoljuje obdelavo osebnih podatkov, če so izpolnjeni nekateri pogoji. V skladu s to določbo se morajo osebni podatki obdelovati „pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom“.

72. Kakršno koli omejevanje pravice do varstva osebnih podatkov in pravice do zasebnosti mora poleg tega upoštevati zahteve iz člena 52(1) Listine. Tako omejevanje mora biti določeno z zakonom, spoštovati bistveno vsebino teh pravic ter biti ob upoštevanju načela sorazmernosti potrebno in dejansko ustrezati ciljem splošnega interesa, ki jih priznava Unija, ali biti potrebno zaradi zaščite pravic in svoboščin drugih.

73. Pri presoji ukrepa, ki omejuje navedene pravice, je treba upoštevati tudi pomen pravic, določenih s členi 3, 4, 6 in 7 Listine, ter pomen ciljev zaščite nacionalne varnosti in boja proti hudemu kriminalu, s čimer se pripomore k varstvu pravic in svoboščin drugih. ( 46 ) V zvezi s tem člen 6 Listine določa pravico vsakogar ne le do svobode, ampak tudi do varnosti. ( 47 )

74. Poleg tega je namen člena 52(3) Listine zagotoviti potrebno usklajenost med pravicami iz Listine in ustreznimi pravicami, zagotovljenimi z EKČP, ki jih je treba upoštevati kot minimalno raven varstva. ( 48 ) Pravica do spoštovanja zasebnega in družinskega življenja, določena v členu 7 Listine, ustreza pravici, ki jo zagotavlja člen 8 EKČP, in ji je zato treba priznati enak pomen in obseg. ( 49 ) Iz sodne prakse Evropskega sodišča za človekove pravice (v nadaljevanju: ESČP) izhaja, da je poseganje v pravice, zagotovljene s tem členom, mogoče utemeljiti z vidika odstavka 2 tega člena samo, če je določeno z zakonom, če se nanaša na enega ali več legitimnih ciljev, naštetih v tem odstavku, in je v demokratični družbi potrebno za dosego tega cilja ali ciljev. ( 50 ) Ukrep mora biti tudi združljiv s prednostjo prava, ki je izrecno omenjena v preambuli EKČP ter neločljivo povezana s predmetom in ciljem njenega člena 8. ( 51 )

75. Vprašanja v zvezi s presojo veljavnosti, ki jih je postavilo Cour constitutionnelle (ustavno sodišče), je treba preučiti z vidika teh načel.

2. Poseganje v temeljne pravice iz členov 7 in 8 Listine

76. Sodišče je že razsodilo, da je treba določbe, ki nalagajo ali dopuščajo posredovanje osebnih podatkov tretji osebi, kot je javni organ, ob neobstoju privolitve teh fizičnih oseb in ne glede na namen poznejše uporabe zadevnih podatkov, opredeliti kot poseganje v njihovo zasebnost in s tem omejitev temeljne pravice, zagotovljene s členom 7 Listine, brez poseganja v njihovo morebitno utemeljitev. ( 52 ) To velja tudi, če ni okoliščin, ki bi omogočale opredelitev tega poseganja kot „hudega“, in ne da bi bilo pomembno, ali so zadevne informacije o zasebnem življenju občutljive ali ne niti ali so bile zadevne osebe zaradi navedenega poseganja morda oškodovane. ( 53 ) Dostop javnih organov do takih informacij podobno pomeni poseganje v temeljno pravico do varstva osebnih podatkov, zagotovljeno s členom 8 Listine, ker pomeni obdelavo osebnih podatkov. ( 54 ) Poseganje v pravice, zagotovljene s členoma 7 in 8 Listine, pomeni tudi, če se podatki o zasebnem življenju osebe hranijo v določenem obdobju. ( 55 )

77. Sodišče je tudi že odločilo, da podatki PNR, kot so našteti v Prilogi I, vsebujejo informacije o določenih fizičnih osebah, in sicer zadevnih letalskih potnikih, ter da lahko zato različne mogoče obdelave teh podatkov posegajo v temeljno pravico do spoštovanja zasebnega življenja, zagotovljeno s členom 7 Listine. Te obdelave spadajo tudi v okvir člena 8 Listine in morajo zato nujno izpolnjevati zahteve v zvezi z varstvom podatkov iz tega člena. ( 56 )

78. Tako obdelave podatkov PNR, ki jih omogoča Direktiva o PNR, zlasti v zvezi s tem, kar je pomembno za namene te zadeve, prenos teh podatkov s strani letalskih prevoznikov enotam za informacije o potnikih, uporaba teh podatkov s strani teh enot, njihov poznejši prenos pristojnim nacionalnim organom v smislu člena 7 te direktive in njihova hramba pomenijo poseganja v temeljne pravice, zagotovljene s členoma 7 in 8 Listine.

79. Glede resnosti teh poseganj je treba ugotoviti, prvič, da Direktiva o PNR določa, da se enotam za informacije o potnikih sistematično in neprekinjeno prenašajo podatki PNR o vsakem letalskem potniku, kot je opredeljen v členu 3, točka 4, te direktive, na letu „zunaj EU“ v smislu člena 3, točka 2, te direktive. Tak prenos vključuje splošen dostop enotam za informacije o potnikih do vseh predloženih podatkov PNR. ( 57 ) Te ugotovitve v nasprotju s tem, kar trdijo nekatere države članice v tem postopku, ne postavlja pod vprašaj okoliščina, da bodo enote za informacije o potnikih, ker se ti podatki obdelujejo avtomatizirano, konkretno imele dostop samo do podatkov, katerih analiza je dala pozitiven rezultat. Na eni strani, taka okoliščina namreč do zdaj Sodišču ni preprečila, da bi v okviru podobnih sistemov avtomatizirane obdelave množično zbranih ali shranjenih osebnih podatkov potrdilo splošno naravo dostopa zadevnih javnih organov do takih podatkov. Na drugi strani, preprosto dajanje na voljo osebnih podatkov javnim organom, da jih ti obdelajo in shranijo, vključuje a priori splošen in celovit dostop teh organov do takih podatkov ter poseganje v temeljne pravice do spoštovanja zasebnega življenja in varstva osebnih podatkov.

80. Drugič, v skladu s členom 2(1) Direktive o PNR se države članice lahko odločijo, da to direktivo uporabijo za lete „znotraj EU“ v smislu člena 3, točka 3, te direktive. V zvezi s tem ugotavljam, da na eni strani Direktiva o PNR ni omejena na določitev možnosti, da države članice njeno uporabo razširijo na lete znotraj EU, ampak opredeljuje tudi formalne in materialne pogoje, ki urejajo uveljavljanje te možnosti, ( 58 ) in določa, da če se ta možnost uveljavlja le za izbrane lete znotraj EU, morajo biti ti leti izbrani ob upoštevanju ciljev, ki jih uresničuje navedena direktiva. ( 59 ) Na drugi strani, Direktiva o PNR določa posledice uveljavljanja take možnosti s tem, da v členu 2(2) določa, da če se država članica odloči to direktivo uporabiti za lete znotraj EU, se vse določbe te direktive „uporabljajo […] za lete znotraj EU, kot da bi bili leti zunaj EU, in za podatke PNR o letih znotraj EU, kot da bi bili podatki PNR o letih zunaj EU“.

81. V teh okoliščinah v nasprotju s tem, kar so trdile nekatere vlade, ki so predložile stališča v tem postopku, menim, da čeprav je uporaba Direktive o PNR za lete znotraj EU odvisna od odločitve držav članic, pravno podlago za poseganja v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, povezani s prenosom, obdelavo in hrambo podatkov PNR v zvezi s temi leti, pomeni, če je bila sprejeta taka odločitev, Direktiva o PNR.

82. Vendar razen Kraljevine Danske, za katero se ta direktiva ne uporablja, ( 60 ) skoraj vse države članice sistem, vzpostavljen s to direktivo, uporabljajo za lete „znotraj EU“. ( 61 ) Iz tega sledi, da se ta sistem uporablja za vse lete v Unijo in iz nje ter za skoraj vse lete znotraj Unije.

83. Tretjič, v zvezi s podatki PNR, ki se posredujejo, je v Prilogi I naštetih 19 rubrik, ki se nanašajo na biografske podatke ( 62 ), podrobne podatke o letalskem potovanju ( 63 ) in druge podatke, zbrane v okviru pogodbe o letalskem prevozu, kot so telefonska številka, naslov elektronske pošte, načini plačila, potovalna agencija ali agent, informacije o prtljagi in splošne opombe. ( 64 ) Kot pa je Sodišče navedlo v točki 128 mnenja 1/15, ko se je izreklo o rubrikah v prilogi k osnutku sporazuma med Kanado in Evropsko unijo o prenosu in obdelavi podatkov iz evidence podatkov o potnikih (v nadaljevanju: osnutek sporazuma o PNR med Kanado in EU), ki so ubesedene precej podobno kot rubrike v Prilogi I, „tudi če se zdi, da nekateri podatki iz PNR, obravnavani ločeno, ne morejo razkriti pomembnih informacij o zasebnem življenju zadevnih oseb, lahko navedeni podatki, obravnavani skupaj, vseeno razkrijejo popoln načrt potovanja, potovalne navade, razmerja med dvema ali več osebami in informacije o finančnem položaju letalskih potnikov, njihove prehranske navade ali njihovo zdravstveno stanje ter bi lahko celo zagotovili občutljive informacije o teh potnikih“.

84. Četrtič, v skladu s členom 6 Direktive o PNR so podatki, ki jih posredujejo letalski prevozniki, namenjeni temu, da jih enote za informacije o potnikih analizirajo z avtomatiziranimi sredstvi in sistematično, to je neodvisno od tega, ali obstaja kakršen koli indic, da bi zadevne osebe lahko sodelovale pri terorističnem ali hudem kaznivem dejanju. Natančneje, v okviru predhodnega ocenjevanja potnikov iz člena 6(2)(a) te direktive in v skladu z odstavkom 3 tega člena se navedeni podatki lahko preverjajo s primerjanjem z zbirkami podatkov, ki so „pomembne“ (člen 6(3)(a)) in se obdelujejo glede na vnaprej določena merila (člen 6(3)(b)). Prva vrsta obdelave pa lahko zagotovi dodatne informacije o zasebnem življenju zadevnih oseb ( 65 ) in lahko glede na zbirke podatkov, uporabljene za primerjanje, celo omogoči pripravo natančnega profila teh oseb. V teh okoliščinah ugovor, ki ga je podalo več vlad in v skladu s katerim Direktiva o PNR omogoča dostop samo do razmeroma omejenega niza osebnih podatkov, ne izraža ustrezno morebitnega obsega poseganj te direktive v temeljne pravice, varovane s členoma 7 in 8 Listine, z vidika obsega podatkov, do katerih naj bi omogočala dostop. Glede druge vrste obdelave, določene v členu 6(3)(b) Direktive o PNR, naj spomnim, da je Sodišče v točkah 169 in 172 mnenja 1/15 poudarilo, da je z vsako vrsto analize, ki temelji na vnaprej določenih merilih, neločljivo povezano, da pomeni določeno stopnjo napake in zlasti določeno število „lažno pozitivnih“ rezultatov. Glede na številčne podatke v delovnem dokumentu služb Komisije ( 66 ) (v nadaljevanju: delovni dokument iz leta 2020), priloženem poročilu Komisije iz leta 2020, je število zadetkov, ki so se po posamičnem preverjanju iz člena 6(5) Direktive o PNR izkazali za napačne, zelo veliko in je v letih 2018 in 2019 znašalo vsaj pet od šest identificiranih oseb. ( 67 )

85. Petič, v skladu s členom 12(1) Direktive o PNR se podatki PNR hranijo v podatkovni zbirki enote za informacije o potnikih pet let od njihovega prenosa enoti za informacije o potnikih države članice, na območju katere je prihod ali odhod leta. Direktiva o PNR zato omogoča, da se z informacijami o zasebnem življenju letalskih potnikov razpolaga posebej dolgo. ( 68 ) Poleg tega, ker se prenos podatkov PNR nanaša na skoraj vse lete, opravljene iz Unije in vanjo ter znotraj Unije, in ker je letalo postalo precej običajno prevozno sredstvo, bi se lahko osebni podatki znatnega deleža letalskih potnikov hranili skoraj trajno samo zato, ker potujejo z letalom vsaj dvakrat vsakih petih let.

86. Nazadnje, na splošnejši ravni, Direktiva o PNR določa ukrepe, katerih namen, če se obravnavajo celovito, je na ravni Unije vzpostaviti sistem spremljanja, ki je „neusmerjen“, se pravi, ki se ne sproži na podlagi suma o eni ali več določenih osebah, „množičen“, ker se uporablja za osebne podatke o velikem številu posameznikov ( 69 ) in zajema isto kategorijo oseb v celoti, ( 70 ) ter „proaktiven“, ker njegov namen ni samo preiskati znane grožnje, ampak tudi najti ali opredeliti do zdaj neznane nevarnosti. ( 71 ) Taki ukrepi zaradi svoje narave vodijo k hudim poseganjem v temeljne pravice, varovane s členoma 7 in 8 Listine, ( 72 ) ki so povezana zlasti z njihovim ciljem preprečevanja in napovedovanja, ki zahteva oceno osebnih podatkov o širokih segmentih prebivalstva, saj je cilj „identificirati“ osebe, ki bi jih glede na rezultat tega ocenjevanja pristojni organi morali podrobneje preveriti. ( 73 ) Poleg tega imajo dejstvo, da se za namene preprečevanja nekaterih hudih kaznivih dejanj vse bolj splošno uporablja obdelava velikih količin množično zbranih različnih osebnih podatkov, ter njihovo povezovanje in kombinirana obdelava „kumulativni učinek“, ki povečuje resnost omejitev temeljnih pravic do spoštovanja zasebnega življenja in varstva osebnih podatkov ter lahko spodbudi proces postopnega drsenja v „družbo nadzora“. ( 74 )

87. Na podlagi vseh zgornjih preudarkov menim, da je treba poseganje v temeljne pravice, varovane s členoma 7 in 8 Listine, ki ga vključuje Direktiva o PNR, opredeliti vsaj kot „resno“.

88. Res je, kot zatrjuje zlasti Komisija, da bi lahko vsi zaščitni ukrepi in varovala, ki jih določa Direktiva o PNR, med drugim za preprečevanje zlorabe podatkov PNR, zmanjšali intenzivnost ali resnost teh poseganj. To ne spremeni dejstva, da vsak sistem, ki določa dostop do osebnih podatkov in njihovo obdelavo s strani javnih organov, z vidika varstva prizadetih temeljnih pravic pomeni raven resnosti, ki je neločljivo povezana z njegovimi objektivnimi značilnostmi. To raven resnosti je treba po mojem mnenju določiti, preden se v okviru presoje sorazmernosti navedenih poseganj opravi ocena zadostnosti in ustreznosti zaščitnih ukrepov, ki jih določa ta sistem. Zdi se mi, da je Sodišče do zdaj ravnalo tako.

89. Da bi bila poseganja Direktive o PNR v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov združljiva z Listino, morajo izpolnjevati pogoje, navedene v točkah 65 in 66 teh sklepnih predlogov, kar bo preučeno v nadaljevanju v mejah vidikov, na katere je predložitveno sodišče opozorilo Sodišče.

3. Utemeljitev poseganja, ki izhaja iz Direktive o PNR

90. Medtem ko se tretje vprašanje za predhodno odločanje nanaša na spoštovanje pogoja iz člena 52(1), prvi stavek, Listine, v skladu s katerim mora biti kakršno koli poseganje v temeljno pravico „predpisano z zakonom“, je z drugim, četrtim, šestim in osmim vprašanjem za predhodno odločanje Sodišče vprašano med drugim o spoštovanju načela sorazmernosti iz drugega stavka te določbe.

a) Spoštovanje zahteve, da mora biti kakršno koli omejevanje uresničevanja temeljne pravice iz Listine predpisano z zakonom

91. V skladu z ustaljeno sodno prakso Sodišča ( 75 ), ki se zgleduje po sodni praksi ESČP ( 76 ), se zahteva, da mora biti kakršno koli omejevanje uresničevanja temeljne pravice „predpisano z zakonom“, ne nanaša samo na „zakonski“ izvor poseganja – ki ni predmet te zadeve – ampak pomeni tudi, da mora biti v sami pravni podlagi, ki omogoča to poseganje, jasno in natančno opredeljen obseg tega poseganja. Ker se ta drugi del, ki ga zajema izraz „predpisano z zakonom“ v smislu tako člena 52(1) Listine kot tudi člena 8(2) te listine in člena 8 EKČP, nanaša na „kakovost zakona“ in torej na dostopnost in predvidljivost zadevnega ukrepa, ( 77 ) ni namenjen samo zagotavljanju spoštovanja načela zakonitosti in ustreznega varstva pred samovoljo, ( 78 ) ampak izpolnjuje tudi zahtevo po pravni varnosti. Ta zahteva je potrjena tudi v mnenju posvetovalnega odbora iz Konvencije št. 108 ( 79 ) z dne 19. avgusta 2016 o posledicah obdelave podatkov o potnikih za varstvo podatkov (v nadaljevanju: mnenje z dne 19. avgusta 2016) ( 80 ).

92. Zakonodajalec Unije je s sprejetjem Direktive o PNR sam omejil pravice, določene v členih 7 in 8 Listine. Poseganj v navedeni pravici, ki jih omogoča ta direktiva, zato ni mogoče šteti za posledico odločitve držav članic ( 81 ) kljub polju proste presoje, ki so ga države članice imele ob njenem prenosu v nacionalno pravo, ampak imajo svojo pravno podlago v sami Direktivi o PNR. V teh okoliščinah je moral zakonodajalec Unije, da bi ravnal skladno s sodno prakso, navedeno v točki 85 teh sklepnih predlogov, in „visokimi standardi“ varstva temeljnih pravic, ki jih vsebujeta zlasti Listina in EKČP ter na katere se sklicuje uvodna izjava 15 Direktive o PNR, določiti jasna in natančna pravila, ki opredeljujejo tako obseg kot tudi uporabo ukrepov, ki vključujejo navedena poseganja.

93. Čeprav se predložitveno sodišče s tretjim vprašanjem za predhodno odločanje sprašuje posebej o spoštovanju te obveznosti v zvezi s točkama 12 in 18 Priloge I, bo preučitev drugega, četrtega in šestega vprašanja za predhodno odločanje, s katerimi to sodišče izraža dvom o nujnosti poseganj v temeljne pravice iz členov 7 in 8 Listine, ki jih vključuje Direktiva o PNR, zahtevala tudi opredelitev do tega, ali so zadevne določbe Direktive o PNR dovolj jasne in natančne.

94. Čeprav je ta analiza, kot sem pojasnil v točki 85 teh sklepnih predlogov, povezana z zakonitostjo poseganja v smislu člena 52(1), prvi stavek, Listine, bom v okviru preučitve njene sorazmernosti, omenjene v drugem stavku tega odstavka, ravnal v skladu s pristopom, ki ga uporabljata tako Sodišče kot tudi ESČP v zadevah, v katerih se obravnavajo ukrepi, katerih predmet je obdelava osebnih podatkov. ( 82 )

b) Spoštovanje bistvene vsebine pravic iz členov 7 in 8 Listine

95. V skladu s členom 52(1), prvi stavek, Listine mora kakršno koli omejevanje uresničevanja temeljnih pravic ne samo temeljiti na dovolj natančni pravni podlagi, ampak mora tudi spoštovati bistveno vsebino teh pravic.

96. Kot sem navedel v točki 66 teh sklepnih predlogov, je ta zahteva – ki je vključena v ustave različnih držav članic ( 83 ) in ki je, čeprav ni izrecno priznana v EKČP, vseeno dobro uveljavljena v sodni praksi ESČP ( 84 ) – zapisana v členu 52(1) Listine ( 85 ). Taka zahteva, ki jo je Sodišče priznalo dolgo pred njeno kodifikacijo, ( 86 ) je bila stalno in vedno znova potrjena v sodni praksi sodišč Unije tudi po začetku veljavnosti Lizbonske pogodbe.

97. Iz sodbe z dne 6. oktobra 2015, Schrems ( 87 ), med drugim izhaja, da nespoštovanje bistvene vsebine temeljne pravice v aktu Unije samodejno povzroči ničnost ali neveljavnost tega akta, ne da bi bilo treba uravnotežiti zadevne interese. Sodišče tako priznava, da ima vsaka temeljna pravica „trdo jedro“, ki vsakomur zagotavlja območje svobode, ki je zaščiteno pred kakršnim koli poseganjem javnih organov in ki ga ni mogoče omejiti, ( 88 ) razen če bi se pod vprašaj postavila načela demokracije, pravne države in spoštovanja človekovega dostojanstva, na katerih temelji varstvo temeljnih pravic. Poleg tega tako iz besedila člena 52(1) Listine kot tudi sodne prakse Sodišča in zlasti sodbe Schrems I izhaja, da je treba presojo obstoja poseganja v bistveno vsebino zadevne temeljne pravice opraviti pred oceno sorazmernosti spornega ukrepa in neodvisno od te ocene. Povedano drugače, gre za test, ki ima lastno avtonomijo.

98. Opredeliti, kaj pomeni „bistvena“ in zato nedotakljiva vsebina temeljne pravice, katere uresničevanje bi se lahko omejilo, je izjemno zapletena naloga. Če bi moralo biti za izpolnitev te funkcije ta pojem mogoče opredeliti absolutno, ob upoštevanju bistvenih značilnosti zadevne temeljne pravice, subjektivnih in objektivnih interesov, ki naj bi jih varovala, in splošneje njene funkcije v demokratični družbi, ki temelji na spoštovanju človekovega dostojanstva, ( 89 ) se v praksi ta naloga izkaže za skoraj nemogočo, vsaj če se ne upoštevajo merila, ki se običajno uporabljajo pri preučitvi sorazmernosti poseganja v zadevno pravico, kot so resnost tega poseganja, njegov obseg ali časovna razsežnost, in se zato ne upoštevajo posebnosti vsakega obravnavanega primera.

99. Zlasti glede temeljne pravice do spoštovanja zasebnega življenja je treba upoštevati ne samo pomen, ki ga imajo za duševno in telesno zdravje vsakega posameznika njegovo dobro počutje, avtonomija, osebni razvoj, sposobnost navezovanja in negovanja socialnih odnosov, dejstvo, da ima na voljo zasebni svet, v katerem razvija svojo osebno notranjost, ampak tudi vlogo, ki jo ima ta pravica pri varovanju drugih pravic in svoboščin, kot so med drugim svoboda misli, vesti, vere, izražanja in obveščanja, katerih polno uživanje zahteva priznanje območja zasebnosti. Splošneje, upoštevati je treba funkcijo, ki jo ima v demokratični družbi spoštovanje pravice do zasebnosti. ( 90 ) Zdi se, da Sodišče presoja obstoj poseganja v bistveno vsebino te pravice tako, da preuči intenzivnost in obseg poseganja, kar vodi k sklepanju, da je tako poseganje opredeljeno bolj kvantitativno kot kvalitativno. Tako je na eni strani Sodišče v sodbi Digital Rights v bistvu štelo, da obveznost hrambe podatkov, naložena z Direktivo 2006/24/ES ( 91 ), ne dosega take ravni resnosti, da bi vplivala na bistveno vsebino pravice do spoštovanja zasebnega življenja, ker ne dovoljuje „seznanjanja z vsebino elektronskih komunikacij kot tako“. ( 92 ) Na drugi strani je Sodišče v mnenju 1/15 v bistvu štelo, da omejevanje na samo nekatere vidike zasebnega življenja zadevnih oseb ne more povzročiti poseganja v bistveno vsebino te temeljne pravice. ( 93 )

100. Glede temeljne pravice do varstva osebnih podatkov Sodišče, kot se zdi, šteje, da je bistvena vsebina te pravice ohranjena, kadar ukrep, ki uvaja poseganje, omejuje namene obdelave in določa pravila, ki zagotavljajo varstvo zadevnih podatkov, zlasti pred nenamernim ali nezakonitim uničenjem, izgubo ali spremembami. ( 94 )

101. V tej zadevi je, čeprav predložitveno sodišče ni izrecno omenilo zahteve po spoštovanju bistvene vsebine pravic iz členov 7 in 8 Listine, vprašanje spoštovanja te zahteve po mojem mnenju temelj četrtega in šestega vprašanja za predhodno odločanje. Iz tega razloga Sodišču predlagam, naj ga obravnava.

102. V zvezi s tem opozarjam, da je Sodišče v točki 150 mnenja 1/15 kljub priznavanju, da podatki PNR „lahko […] v nekaterih primerih razkrijejo zelo natančne informacije o zasebnem življenju osebe“ ( 95 ) in da te informacije lahko neposredno ali posredno razkrijejo občutljive podatke o zadevni osebi, ( 96 ) vseeno v zvezi z osnutkom sporazuma o PNR med Kanado in Evropsko unijo sklenilo, da ker je „narava teh informacij omejena na nekatere vidike tega zasebnega življenja, ki so povezani zlasti z letalskimi potovanji med Kanado in Unijo“, poseganje v temeljno pravico do spoštovanja zasebnega življenja ni tako, da bi vplivalo na bistveno vsebino te pravice.

103. Vendar se razen okoliščine, da bi morali biti podatki PNR, na katere se nanaša osnutek sporazuma o PNR med Kanado in Evropsko unijo, preneseni v tretjo državo in da bi njihovo nadaljnjo obdelavo izvajali organi te tretje države na svojem ozemlju, poseganja v temeljno pravico do spoštovanja zasebnega življenja, ki izhajajo iz navedenega osnutka sporazuma, in poseganja, določena v Direktivi o PNR, po svoji naravi precej ujemajo. To med drugim velja za zadevne podatke PNR, sistematičnost in splošnost prenosa in obdelave teh podatkov, avtomatizirano naravo te obdelave in hrambo navedenih podatkov. Nasprotno pa se ti zadevi razlikujeta po, če se tako izrazim, „geografski pokritosti“ teh poseganj. Kot sem navedel v točki 77 teh sklepnih predlogov, obdelave podatkov, ki so predmet te zadeve, namreč niso omejene na letalske povezave s samo eno tretjo državo, kot je veljalo v mnenju 1/15, ampak se nanašajo na skoraj vse lete v Unijo in iz nje ter znotraj Unije. Iz tega sledi, da Direktiva o PNR v primerjavi z osnutkom sporazuma o PNR med Kanado in Evropsko unijo določa sistematično obdelavo precej večjega števila letalskih potnikov, ki z letalom potujejo znotraj in zunaj Unije. Poleg tega bi zaradi povečanja količine obdelanih podatkov in pogostosti njihovega zbiranja njihova obdelava verjetno lahko zagotovila hkrati natančnejše in obsežnejše informacije o zasebnem življenju zadevnih oseb (potovalne navade, osebna razmerja, finančni položaji itd.).

104. To ne spremeni dejstva, da se tako kot v mnenju 1/15 te informacije, obravnavane ločeno, nanašajo samo na nekatere vidike zasebnega življenja, povezane z letalskimi potovanji. Ob upoštevanju nujnosti ozke opredelitve pojma „bistvena vsebina“ temeljnih pravic, da bi ta pojem obdržal svojo nalogo branika pred napadi na samo bistvo teh pravic, menim, da je ugotovitev, do katere je Sodišče prišlo v točki 150 mnenja 1/15, mogoče uporabiti v tej zadevi.

105. Sodišče je v mnenju 1/15 izključilo tudi poseganje v bistveno vsebino pravice do varstva osebnih podatkov. ( 97 ) Tudi to ugotovitev je po mojem mnenju mogoče uporabiti za okoliščine obravnavane zadeve. Tako kot osnutek sporazuma o PNR med Kanado in Evropsko unijo namreč Direktiva o PNR v členu 1(2) omejuje namene obdelave podatkov PNR. Poleg tega ta direktiva in tudi drugi akti Unije, na katere napotuje, zlasti SUVP in Policijska direktiva, vsebujejo posebne določbe, ki so namenjene zlasti zagotavljanju varnosti, zaupnosti in celovitosti teh podatkov ter varovanju teh podatkov pred nezakonitimi dostopi in obdelavami. Čeprav ni mogoče šteti, da se ureditev, kot je določena v Direktivi o PNR, dotika bistvene vsebine temeljnih pravic, varovanih s členoma 7 in 8 Listine, to ne spremeni dejstva, da mora biti predmet strogega in vestnega nadzora njene sorazmernosti.

c) Spoštovanje zahteve, da mora poseganje izpolnjevati cilj v splošnem interesu

106. Namen Direktive o PNR je med drugim zagotoviti notranjo varnost Unije ter zaščititi življenje in varnost oseb s prenosom podatkov PNR pristojnim organom držav članic za njihovo uporabo v okviru boja proti terorizmu in hudim kaznivim dejanjem. ( 98 )

107. Natančneje, iz člena 1(2) Direktive o PNR v povezavi z njenima uvodnima izjavama 6 in 7 ter iz predloga Komisije, ki je pripeljal do sprejetja te direktive (v nadaljevanju: predlog direktive o PNR), ( 99 ) izhaja, da v okviru takega cilja organi pregona ( 100 ) podatke PNR uporabljajo na različne načine. Prvič, ti podatki se uporabijo za identifikacijo oseb, ki so sodelovale – ali za katere se sumi, da so sodelovale – pri terorističnih ali hudih kaznivih dejanjih, ki so že bila storjena, za zbiranje dokazov ter, po potrebi, za iskanje sostorilcev kriminalcev in razbitje kriminalnih mrež („reaktivna“ uporaba). Drugič, podatki PNR se lahko ocenijo pred prihodom ali odhodom potnikov, da se prepreči storitev kaznivega dejanja in identificirajo osebe, ki predtem niso bile osumljene sodelovanja pri terorističnih ali hudih kaznivih dejanjih in ki bi jih na podlagi rezultata te ocene organi pregona morali podrobneje preveriti (uporaba v „realnem času“). Nazadnje, podatki PNR se uporabijo za opredelitev meril za ocenjevanje, ki se lahko nato uporabijo pri presoji tveganja, ki ga pomenijo potniki, pred njihovim prihodom ali odhodom („proaktivna“ uporaba). Taka proaktivna uporaba podatkov PNR bi morala službam pregona omogočiti, da obravnavajo grožnjo terorističnih in hudih kaznivih dejanj z drugega vidika kot pri obdelavi drugih vrst osebnih podatkov. ( 101 )

108. Iz sodne prakse Sodišča izhaja, da je cilj zaščite javne varnosti, ki med drugim vključuje preprečevanje, preiskovanje, odkrivanje in pregon tako terorističnih kaznivih dejanj kot tudi kaznivih dejanj, ki spadajo med hude oblike kriminala, cilj v splošnem interesu Unije v smislu člena 52(1) Listine, ki lahko upravičuje poseganja, tudi resna, v temeljne pravice, določene v členih 7 in 8 Listine. ( 102 )

109. Sodišče je priznalo tudi, da cilja zaščite javne varnosti in boja proti hudim kaznivim dejanjem prispevata k varstvu pravic in svoboščin drugih oseb. ( 103 ) Tako je treba glede uravnoteženega tehtanja med temi cilji in temeljnimi pravicami, določenimi v členih 7 in 8 Listine, ( 104 ) upoštevati tudi pomen pravic, določenih v členih 3, 4, 6 in 7 Listine. V zvezi s tem, čeprav je Sodišče v sodbi La Quadrature du Net ugotovilo, da člena 6 Listine „ni mogoče razlagati tako, da je z njim javnim organom naložena obveznost sprejetja posebnih ukrepov za sankcioniranje nekaterih kaznivih dejanj“, ( 105 ) pa je, kar se posebej tiče učinkovitega boja proti kaznivim dejanjem, katerih žrtve so zlasti mladoletniki in druge ranljive osebe, poudarilo, da lahko pozitivne obveznosti za javne organe izhajajo tako iz člena 7 Listine, da se tako sprejmejo pravni ukrepi za zavarovanje zasebnega in družinskega življenja, kot tudi iz členov 3 in 4 te listine v zvezi z varstvom telesne in duševne celovitosti oseb ter prepovedjo mučenja ter nečloveškega in ponižujočega ravnanja. ( 106 )

110. Nazadnje, Sodišče je ugotovilo, da je pomen cilja zaščite nacionalne varnosti pomembnejši od pomena cilja boja proti kriminalu na splošno, tudi hudemu, in zaščite javne varnosti ter da je zato z njim mogoče utemeljiti ukrepe, ki pomenijo večje poseganje v temeljne pravice od tistega, ki bi ga bilo mogoče utemeljiti z navedenimi drugimi cilji. ( 107 ) Ker teroristične dejavnosti lahko pomenijo grožnjo za nacionalno varnost držav članic, sistem, vzpostavljen z Direktivo o PNR, če se uporablja kot instrument boja proti takim dejavnostim, prispeva k cilju zaščite nacionalne varnosti držav članic.

d) Spoštovanje načela sorazmernosti

111. V skladu s členom 52(1), drugi stavek, Listine so ob upoštevanju načela sorazmernosti omejitve uresničevanja temeljne pravice, priznane s to listino, dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali če so potrebne zaradi zaščite pravic in svoboščin drugih.

112. V zvezi s tem je treba spomniti, da načelo sorazmernosti v skladu z ustaljeno sodno prakso Sodišča zahteva, da je z ravnanjem institucij Unije mogoče uresničiti legitimne cilje, ki jim sledi zadevna ureditev, in da to ravnanje ne prestopi meje tega, kar je primerno in potrebno za uresničitev teh ciljev. ( 108 )

113. V skladu z ustaljeno sodno prakso Sodišča varstvo temeljne pravice do spoštovanja zasebnega življenja na ravni Unije zahteva, da se odstopanja od varstva osebnih podatkov in njegove omejitve določijo v mejah tega, kar je nujno potrebno. Poleg tega cilja v splošnem interesu ni mogoče uresničevati brez upoštevanja dejstva, da ga je treba uskladiti s temeljnimi pravicami, na katere se nanaša ukrep, in sicer z uravnoteženjem na eni strani cilja v splošnem interesu ter na drugi strani zadevnih pravic. ( 109 ) Natančneje, sorazmernost omejitve pravic, določenih v členih 7 in 8 Listine, je treba presojati tako, da se oceni teža poseganja, ki ga vključuje taka omejitev, in preveri, ali je cilj v splošnem interesu, ki se uresničuje s to omejitvijo, v sorazmerju s to težo. ( 110 )

114. Iz sodne prakse Sodišča izhaja, da mora za izpolnitev zahteve po sorazmernosti Direktiva o PNR kot pravna podlaga, ki vključuje poseganja v temeljne pravice iz členov 7 in 8 Listine, opisana v točkah od 70 do 83 teh sklepnih predlogov, določati jasna in natančna pravila, ki urejajo obseg in uporabo ukrepov, ki vključujejo taka poseganja, ter minimalne zahteve, tako da imajo osebe, katerih podatki so bili preneseni, na voljo zadostna jamstva, ki omogočajo učinkovito varovanje njihovih osebnih podatkov pred tveganji zlorabe ter vsakršnim nezakonitim dostopom in uporabo teh podatkov. ( 111 ) Nujnost obstoja takih jamstev je toliko pomembnejša, če se, kot v obravnavani zadevi, osebni podatki obdelujejo samodejno ter kadar gre za varstvo te posebne kategorije osebnih podatkov, ki so občutljivi. ( 112 )

115. Glede obsega sodnega nadzora nad spoštovanjem zahtev, ki izhajajo iz načela sorazmernosti, je ob upoštevanju pomembne vloge varstva osebnih podatkov z vidika temeljne pravice do spoštovanja zasebnega življenja in poseganja v to pravico, ki ga pomeni Direktiva o PNR, polje proste presoje zakonodajalca Unije zmanjšano, tako da je treba izvajati strog nadzor. ( 113 )

1) Primernost obdelav podatkov PNR, na katere se nanaša Direktiva o PNR, glede na zastavljeni cilj

116. Sodišče je v točki 153 mnenja 1/15 v zvezi z osnutkom sporazuma o PNR med Kanado in Evropsko unijo potrdilo, da je mogoče šteti, da sta prenos podatkov PNR v Kanado in njihova nadaljnja obdelava primerna za zagotovitev uresničitve cilja zagotavljanja zaščite in varnosti javnosti. Ne zdi se mi, da bi bilo to primernost, ki je že dolgo priznana tako na ravni Unije kot tudi na svetovni ravni, ( 114 ) mogoče postaviti pod vprašaj v zvezi z zbiranjem in nadaljnjo obdelavo podatkov PNR glede letov zunaj EU in letov znotraj EU. ( 115 )

117. Učinkovitost sistema obdelave podatkov PNR, vzpostavljenega z Direktivo, je torej mogoče oceniti le v konkretnem primeru, tako da se presodijo rezultati njegove uporabe. ( 116 ) S tega vidika je bistveno, da se taka učinkovitost ocenjuje stalno na podlagi čim bolj natančnih in zanesljivih statističnih podatkov. ( 117 ) V zvezi s tem bi Komisija morala redno opravljati pregled, podoben tistemu, ki je že določen v členu 19 Direktive o PNR.

2) Nujna potrebnost poseganja

118. Čeprav Cour constitutionnelle (ustavno sodišče) ni izrecno izrazilo dvoma o tem, da Direktiva o PNR vsebuje jasna in natančna pravila, omejena na to, kar je nujno potrebno glede opredelitve namenov obdelave podatkov PNR, ( 118 ) se pri analizi sorazmernosti sistema iz te direktive, za katero je zaprosilo predložitveno sodišče, po mojem mnenju ne more izpustiti obravnave tega vprašanja. ( 119 )

i) Opredelitev namenov obdelave podatkov PNR

119. Jasna opredelitev namenov, za katere sta dovoljena dostop do osebnih podatkov s strani pristojnih organov in njihova nadaljnja uporaba s strani teh organov, je bistvena zahteva vsakega sistema obdelave podatkov, zlasti za namene pregona. Izpolnjevanje te zahteve je poleg tega potrebno, da se Sodišču omogoči presoja sorazmernosti zadevnih ukrepov z uporabo testa resnosti poseganja v primerjavi s pomenom zastavljenega cilja, določenega v njegovi sodni praksi. ( 120 )

120. Sodišče je poudarilo pomen jasne opredelitve namenov ukrepov, ki vključujejo omejevanje temeljnih pravic do spoštovanja zasebnega življenja in varstva osebnih podatkov, zlasti v sodbi Digital Rights, v kateri je ugotovilo, da je Direktiva 2006/24 neveljavna. Sodišče je v točki 60 te sodbe ugotovilo, da ta direktiva ne določa „nobenega objektivnega merila, s katerim bi bilo mogoče omejiti dostop pristojnih nacionalnih organov do podatkov in njihovo nadaljnjo uporabo za namene preprečevanja, odkrivanja ali pregona kaznivih dejanj, ki jih je glede na obseg in težo poseganja v temeljne pravice, potrjene v členih 7 in 8 Listine, mogoče šteti za dovolj hude, da upravičujejo tako poseganje“, in da se, nasprotno, „v členu 1(1) le na splošno sklicuje na huda kazniva dejanja, kakor jih opredeljuje nacionalna zakonodaja vsake od držav članic“.

121. Člen 1(2) Direktive o PNR določa splošno merilo omejevanja namenov, v skladu s katerim se „[p]odatki PNR, zbrani v skladu s to direktivo, […] lahko obdelujejo le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj“. Vendar v nasprotju z Direktivo 2006/24 Direktiva o PNR ne vsebuje samo take navedbe, ampak tudi sama v členu 3, točki 8 in 9, opredeljuje tako pojem „teroristično kaznivo dejanje“ kot tudi pojem „hudo kaznivo dejanje“, prvega s sklicevanjem na člene od 1 do 4 Okvirnega sklepa 2002/475/PNZ Sveta z dne 13. junija 2002 o boju proti terorizmu (UL, posebna izdaja v slovenščini, poglavje 19, zvezek 6, str. 18) (ki ga je nadomestila Direktiva (EU) 2017/541) ( 121 ) in drugega s tem, da najprej v Prilogi II našteva kategorije kaznivih dejanj, ki ustrezajo temu pojmu, in nato določa prag resnosti v smislu najdaljšega trajanja zaporne kazni ali ukrepa odvzema prostosti, zagroženega za ta kazniva dejanja.

122. Čeprav je s sklicevanjem na upoštevne določbe Direktive 2017/541 mogoče dovolj jasno in natančno določiti dejanja, ki se lahko opredelijo kot teroristična kazniva dejanja na podlagi člena 3, točka 8, Direktive o PNR, in presoditi njihovo resnost za namene uravnoteženja pomena cilja zaščite javne varnosti, ki ga uresničuje ta direktiva, in resnosti poseganja te direktive v temeljne pravice, določene v členih 7 in 8 Listine, ista ugotovitev ni enako očitna za vsa kazniva dejanja, našteta v Prilogi II.

123. Sodišče je v točki 177 mnenja 1/15 ugotovilo, da osnutek sporazuma o PNR med Kanado in Evropsko unijo jasno in natančno opredeljuje stopnjo resnosti kaznivih dejanj, na katera se nanaša pojem „hudo mednarodno kaznivo dejanje“, s tem, da določa, da mora biti za ta kazniva dejanja „zagrožena najvišja zaporna kazen vsaj štirih let ali strožja kazen“, da napotuje „na kazniva dejanja, opredeljena s kanadskim pravom“, ter določa „različne primere, v katerih šteje, da je kaznivo dejanje mednarodne narave“.

124. V primerjavi z ureditvijo, ki jo je Sodišče preučilo v tem mnenju, Direktiva o PNR, prvič, v opredelitvi zadevnih kaznivih dejanj ne upošteva njihove mednarodne narave, drugič, določa izčrpen seznam kaznivih dejanj, ki se zaradi njihove narave štejejo za huda kazniva dejanja, pod pogojem, da je dosežena najnižja raven najvišje kazni, določene v členu 3, točka 9, te direktive, in tretjič, načeloma znižuje prag resnosti s tem, da sprejema merilo, ki temelji na ravni najvišje kazni, in določa ta prag na tri leta.

125. Prvič, glede neobstoja omejitvenega merila, ki temelji na mednarodni naravi, je sicer res, da bi bilo z omejitvijo stvarnega področja uporabe Direktive o PNR samo na huda „čezmejna“ kazniva dejanja mogoče zajeti kazniva dejanja, ki bi zaradi svoje narave lahko vsaj potencialno imela objektivno povezavo z letalskimi potovanji in posledično s kategorijami podatkov, zbranih in obdelanih na podlagi Direktive o PNR. ( 122 ) Vendar se načeloma strinjam s stališčem, ki ga je izrazila Komisija in v skladu s katerim sta, drugače kot v okviru mednarodnega sporazuma, primernost in nujnost takega merila manj očitni v zvezi z mehanizmom boja proti kriminalu, katerega cilj je zaščititi notranjo varnost Unije. Poleg tega, kot tudi trdi Komisija, neobstoj čezmejnih elementov ni sam po sebi indic, na podlagi katerega bi bilo mogoče izključiti resnost kaznivega dejanja.

126. Drugič, merilo, ki določa prag resnosti zadevnih kaznivih dejanj – ki ga je treba, da se omogoči presoja ex ante te resnosti, razlagati tako, da se sklicuje na najdaljše trajanje zaporne kazni ali ukrepa odvzema prostosti, določeno z zakonom, in ne na trajanje, ki bi konkretno lahko bilo naloženo v posebnem primeru – čeprav temelji na minimalnem trajanju najvišje kazni, in ne na minimalnem trajanju najnižje kazni, samo po sebi ni neprimerno za opredelitev zadostne ravni resnosti, ki bi lahko upravičevala poseganje v temeljne pravice iz členov 7 in 8 Listine, ki ga pomenijo obdelave podatkov, določene v Direktivi o PNR. Vendar je treba po mojem mnenju to merilo razlagati kot merilo, ki opredeljuje „minimalno“ raven resnosti. Če torej tako merilo državam članicam prepoveduje, da kot „huda kazniva dejanja“ obravnavajo kazniva dejanja iz Priloge II, za katera je v njihovem nacionalnem kazenskem pravu zagrožena zaporna kazen ali kazen odvzema prostosti z najvišjo zagroženo kaznijo največ treh let, pa jim ne nalaga obveznosti, da samodejno priznajo tako opredelitev vsem kaznivim dejanjem, ki bi lahko bila vključena v navedeno Prilogo II in za katera je zagrožena kazen, ki dosega prag iz člena 3, točka 9, Direktive o PNR, kadar bi ob upoštevanju posebnosti njihovega kazenskega sistema tako priznanje pripeljalo do uporabe ureditve, ki je v Direktivi o PNR določena za namene preprečevanja, odkrivanja, preiskovanja in pregona oblik običajne kriminalitete, kar je v nasprotju s cilji, ki jih uresničuje ta direktiva.

127. Tretjič, glede seznama iz Priloge II je treba najprej navesti, da je okoliščina, da so v Direktivi o PNR taksativno našteta kazniva dejanja, ki so zajeta z opredelitvijo „hudih kaznivih dejanj“, temeljno formalno in vsebinsko jamstvo, ki zagotavlja zakonitost sistema, vzpostavljenega z Direktivo o PNR, in pravno varnost potnikov. Vseeno je treba ugotoviti, da navedeni seznam vključuje tako kazniva dejanja, ki imajo po svoji naravi nesporno visoko raven resnosti – kot so na primer trgovina z ljudmi, spolno izkoriščanje otrok in otroška pornografija, nedovoljen promet z orožjem, jedrskimi ali radioaktivnimi snovmi, ugrabitev letala/plovila, kazniva dejanja v pristojnosti Mednarodnega kazenskega sodišča, umor, posilstvo, ugrabitev, protipraven odvzem prostosti in jemanje talcev ( 123 ) – kot tudi kazniva dejanja, pri katerih je taka raven resnosti manj očitna, kot so goljufija, ponarejanje in piratstvo izdelkov, ponarejanje uradnih listin in promet z njimi in trgovina z ukradenimi vozili. ( 124 ) Poleg tega so nekatera od kaznivih dejanj, vključenih v Prilogo II, bolj kot druga po svoji naravi lahko mednarodna, kot trgovina z ljudmi, nedovoljen promet s prepovedanimi drogami ali orožjem, spolno izkoriščanje otrok, pomoč pri nezakonitem vstopu v državo in bivanju v njej, ugrabitev letala, in imajo povezavo tudi z zračnim potniškim prometom.

128. Tudi glede zadostne jasnosti in natančnosti rubrik v Prilogi II je raven zelo različna. Čeprav je torej treba seznam v tej prilogi šteti za izčrpen, je več teh rubrik „odprtih“ ( 125 ), v drugih pa so uporabljeni splošni pojmi, ki lahko vključujejo zelo veliko število različno hudih kaznivih dejanj, čeprav vedno v meji najvišjega praga, določenega v členu 3, točka 9, Direktive o PNR. ( 126 )

129. V zvezi s tem ugotavljam, na eni strani, da direktive o harmonizaciji, sprejete na področjih iz člena 83(1) PDEU, navedene v opombi 123 teh sklepnih predlogov, zagotavljajo upoštevne elemente, na podlagi katerih je mogoče opredeliti vsaj nekatera huda kazniva dejanja, ki lahko spadajo v ustrezne rubrike Priloge II. Tako med drugim Direktiva 2013/40 v členih od 3 do 8 opredeljuje različna kazniva dejanja, ki spadajo v okvir pojma „kibernetska kriminaliteta“ iz točke 9 te priloge, pri čemer so v vsakem primeru skrbno izključena dejanja, ki so „majhnega pomena“. ( 127 ) Enako so v Direktivi 2019/713 opredeljene nekatere tipologije kaznivih dejanj goljufije, v Direktivi 2017/1371 pa sestavni elementi „goljufij, ki škodijo finančnim interesom Unije“. V tem okviru je treba omeniti tudi Direktivo 2008/99/ES o kazenskopravnem varstvu okolja, ( 128 ) sprejeto na podlagi člena 175(1) ES, ki v členu 3 opredeljuje več hudih kaznivih dejanj zoper okolje, ki bi lahko bila vključena v rubriko 10 Priloge II, vključno z dejanji, ki se lahko opredelijo kot „nedovoljena trgovina z ogroženimi živalskimi vrstami ter ogroženimi rastlinskimi vrstami in sortami“, pri čemer so izključena vsa ravnanja, ki imajo zanemarljiv vpliv na zaščiteno dobrino. Nazadnje bom spomnil na Direktivo 2002/90/ES ( 129 ), ki opredeljuje pomoč pri nedovoljenem vstopu, tranzitu in prebivanju, in Okvirni sklep 2002/946/PNZ ( 130 ), katerega namen je okrepiti kazenski okvir na področju preprečevanja teh kaznivih dejanj, Okvirni sklep 2003/568/PNZ ( 131 ), ki opredeljuje kazniva dejanja, označena kot „aktivna in pasivna korupcija v zasebnem sektorju“, ter Okvirni sklep 2008/841/PNZ ( 132 ), ki opredeljuje kazniva dejanja v zvezi s sodelovanjem v hudodelski združbi.

130. Na drugi strani ugotavljam, kot je pravilno opozorila Komisija, da zaradi neobstoja popolne harmonizacije kazenskega materialnega prava zakonodajalcu Unije ni mogoče očitati, da ni natančneje določil kaznivih dejanj iz Priloge II. Tako v nasprotju s tem, kar bo ugotovljeno v nadaljevanju teh sklepnih predlogov v zvezi s seznamom podatkov PNR v Prilogi I, prenos seznama kaznivih dejanj iz Priloge II v nacionalno pravo nujno zahteva, da države članice glede na posebnosti svojih nacionalnih kazenskih sistemov opredelijo kazniva dejanja, ki bi lahko bila vključena. Vendar je treba to opraviti ob polnem spoštovanju merila, v skladu s katerim mora biti kakršno koli poseganje v temeljne pravice, določene v členih 7 in 8 Listine, omejeno na to, kar je nujno potrebno. Tako po mojem mnenju na primer ni izključeno, da države članice določijo, da je uporaba podatkov PNR za nekatera kazniva dejanja, kot so na primer tista iz točk 7, 16, 17, 18 in 25 Priloge II, omejena na primere, v katerih so ta kazniva dejanja po naravi čezmejna ali storjena v okviru hudodelske združbe ali vključujejo nekatere obteževalne okoliščine. Sodišča držav članic bodo morala pod nadzorom Sodišča nacionalne določbe o prenosu navedenega seznama v nacionalno pravo razlagati skladno tako z Direktivo o PNR kot tudi z Listino, tako da obdelava podatkov PNR ostane za vsako rubriko omejena na kazniva dejanja, ki dosegajo visoko raven resnosti, zahtevano s to direktivo, in na kazniva dejanja, za katera je taka obdelava upoštevna. ( 133 )

131. Ob upoštevanju pojasnil v točkah 120 in 124 teh sklepnih predlogov menim, da člen 3, točka 9, Direktive o PNR in seznam kaznivih dejanj v Prilogi II k tej direktivi izpolnjujeta zahteve po jasnosti in natančnosti ter ne presegata meja tega, kar je nujno potrebno.

132. Vseeno je treba priznati, da rešitev, ponazorjena v točki 124 teh sklepnih predlogov, ni popolnoma zadovoljiva. Na eni strani namreč državam članicam pušča široko polje proste presoje, tako da bi se lahko stvarno področje uporabe obdelave podatkov PNR bistveno razlikovalo od ene države članice do druge, kar bi ogrožalo cilj harmonizacije, ki mu sledi zakonodajalec Unije. ( 134 ) Na drugi strani pomeni, da se nadzor sorazmernosti bistvenega elementa sistema, kot je omejitev namenov te obdelave, izvaja bolj ex post v zvezi z nacionalnimi ukrepi o prenosu kot ex ante v zvezi s samo Direktivo o PNR. Zato bi bilo zaželeno, da Sodišče, če bi, kot mu predlagam, odločilo, da sta člen 3, točka 9, Direktive o PNR in seznam kaznivih dejanj v Prilogi II k tej direktivi skladna s členoma 7 in 8 ter členom 52(1) Listine, zakonodajalca Unije opozori, da je taka presoja samo začasna, in da od tega zakonodajalca zahteva, naj z vidika prenosa, ki so ga države članice opravile v zvezi s to določbo in tem seznamom, in na podlagi statističnih podatkov iz člena 20 Direktive o PNR preveri, ali je nujno (i) še bolj natančno, z omejitvijo njihovega obsega, določiti kategorije kaznivih dejanj iz tega seznama, (ii) s tega seznama črtati kazniva dejanja, za katera je obdelava podatkov PNR bodisi nesorazmerna bodisi neupoštevna ali neučinkovita, (iii) dvigniti prag resnosti kaznivih dejanj iz člena 3, točka 9, Direktive o PNR. ( 135 ) V zvezi s tem ugotavljam, da čeprav člen 19(2)(b) Direktive o PNR Komisiji nalaga obveznost, da opravi pregled vseh elementov te direktive, tako da posebno pozornost nameni „nujnosti in sorazmernosti zbiranja in obdelave podatkov PNR za vsakega od namenov, določenih v tej direktivi“, niti poročilo Komisije iz leta 2020 niti delovni dokument iz leta 2020, priložen temu poročilu, po mojem mnenju ne vsebujeta zadostne preučitve v zvezi s tem.

ii) Kategorije podatkov PNR iz Direktive o PNR (drugo in tretje vprašanje za predhodno odločanje)

133. Direktiva o PNR določa, da se enotam za informacije o potnikih prenese 19 kategorij podatkov PNR, ki jih zberejo letalski prevozniki zaradi rezervacij letov. Te kategorije, naštete v Prilogi I, se ujemajo s kategorijami, ki se prikažejo v rezervacijskih sistemih letalskih prevoznikov, in tistimi, ki so naštete v Prilogi I k smernicam o podatkih iz evidence podatkov o potnikih, ki jih je Mednarodna organizacija civilnega letalstva (ICAO) sprejela leta 2010 ( 136 ) (v nadaljevanju: smernice ICAO).

134. Z drugim vprašanjem za predhodno odločanje se predložitveno sodišče sprašuje o veljavnosti Priloge I z vidika členov 7 in 8 ter člena 52(1) Listine ob upoštevanju, prvič, obsega osebnih podatkov, naštetih v tej prilogi – in zlasti podatkov API iz točke 18 te priloge, ker presegajo podatke, naštete v členu 3(2) Direktive o API – in drugič, možnosti, da ti podatki, obravnavani skupaj, razkrijejo občutljive podatke in s tem kršijo meje tega, kar je „nujno potrebno“. S tretjim vprašanjem za predhodno odločanje – ki se nanaša, kot sem že imel priložnost poudariti, na izpolnjevanje prvega od treh pogojev iz člena 52(1) Listine, v skladu s katerim mora biti kakršno koli poseganje v temeljno pravico „predpisano z zakonom“ – pa Cour constitutionnelle (ustavno sodišče) sprašuje Sodišče o veljavnosti točk 12 in 18 Priloge I, zlasti ob upoštevanju njihove „odprtosti“.

135. Ker preučitev, ki jo je treba opraviti v okviru drugega vprašanja za predhodno odločanje, zahteva, da se preučita zadostna jasnost in natančnost kategorij osebnih podatkov iz Priloge I, bom najprej obravnaval tretje vprašanje za predhodno odločanje.

– Zadostna jasnost in natančnost točk 12 in 18 Priloge I (tretje vprašanje za predhodno odločanje)

136. Uvodoma je treba navesti, da sta obseg in resnost poseganja v temeljne pravice iz členov 7 in 8 Listine, ki ga pomeni ukrep, ki uvaja omejitve uresničevanja teh pravic, odvisna predvsem od obsega in narave osebnih podatkov, ki so predmet obdelave. Določitev teh podatkov je torej bistvena operacija, ki se mora v okviru katere koli pravne podlage, s katero se uvaja tak ukrep, nujno izvesti čim bolj jasno in natančno.

137. Ta zahteva je bila v zvezi z obdelavo podatkov PNR priznana v mnenju 1/15. Ko je Sodišče odločalo o rubrikah v Prilogi k osnutku sporazuma o PNR med Kanado in Evropsko unijo, ki vsebuje seznam podatkov PNR, na katere se nanaša predvideni sporazum, je med drugim v tem mnenju ugotovilo, da uporaba splošnih kategorij informacij, ki ne opredeljujejo dovolj obsega podatkov, ki jih je treba prenesti, in uporaba seznamov s primeri podatkov, ki ne določajo nobene omejitve glede narave in obsega informacij, ki so lahko navedene v zadevni rubriki, ne izpolnjujeta pogojev glede jasnosti in natančnosti.

138. Tretje vprašanje za predhodno odločanje je treba preučiti z vidika teh načel.

139. V zvezi s točko12 Priloge I je treba navesti, da ta določa: „Splošne opombe (vključno z vsemi razpoložljivimi informacijami o mladoletnikih brez spremstva, mlajših od 18 let, kot so ime in spol, starost, znanje jezikov, ime in kontaktni podatki skrbnika pri odhodu ter sorodstveno razmerje z mladoletnikom, ime in kontaktni podatki skrbnika pri prihodu in sorodstveno razmerje z mladoletnikom, podatki o zastopniku ob odhodu in prihodu).“

140. Ker se ta točka nanaša na „splošne opombe“, je po zgledu rubrike 17 Priloge k osnutku sporazuma o PNR med Kanado in Evropsko unijo, t. i. rubrika „prosto besedilo“, ki je namenjena vključitvi vsake dodatne informacije, ki jo zberejo letalski prevozniki v okviru svoje dejavnosti opravljanja storitev, poleg tistih, ki so izrecno naštete v drugih točkah Priloge I. Vendar je treba ugotoviti, kot je Sodišče storilo v točki 160 mnenja 1/15, da iz take rubrike „ni razvidno nič o naravi in obsegu informacij, ki jih je treba prenesti, zdi se celo, da bi lahko zajemala informacije, ki niso nikakor povezane s ciljem prenosa podatkov iz PNR“. Poleg tega, ker je pojasnilo v oklepajih v besedilu točke 12 Priloge I, ki se nanaša na informacije o mladoletnikih brez spremstva, podano samo kot primer, kot je razvidno iz uporabe izraza „vključno z“, ta točka ne določa nobene omejitve glede narave in obsega informacij, ki jih lahko zajema. ( 137 )

141. V teh okoliščinah ni mogoče šteti, da je točka 12 Priloge I dovolj jasno in natančno omejena.

142. Če se zdi, da se Komisija in Parlament strinjata s to ugotovitvijo, države članice, ki so predložile stališča glede tretjega vprašanja za predhodno odločanje, in Svet tej ugotovitvi nasprotujejo, in to na podlagi trditev, ki se precej prekrivajo.

143. Na prvem mestu se s prvim sklopom trditev na sp