Začasna izdaja

SODBA SODIŠČA (veliki senat)

z dne 21. junija 2022( )

Kazalo





I. Pravni okvir

A. Pravo Unije

1. Direktiva 95/46/ES

2. Direktiva o API

3. Direktiva 2010/65

4. SUVP

5. Direktiva 2016/680

6. Direktiva o PNR

7. Okvirni sklep 2002/475

B. Belgijsko pravo

1. Ustava

2. Zakon z dne 25. decembra 2016

II. Spor o glavni stvari in vprašanja za predhodno odločanje

III. Vprašanja za predhodno odločanje

A. Prvo vprašanje

B. Drugo, tretje, četrto in šesto vprašanje

1. Poseganja, ki izhajajo iz Direktive o PNR, v temeljne pravice, zagotovljene s členoma 7 in 8 Listine

2. Upravičenost poseganj, ki izhajajo iz Direktive o PNR

a) Spoštovanje načela zakonitosti in bistvene vsebine zadevnih temeljnih pravic

b) Cilj v splošnem interesu in primernost obdelav podatkov PNR glede na ta cilj

c) Nujnost poseganj, ki izhajajo iz Direktive o PNR

1) Podatki o letalskih potnikih, na katere se nanaša Direktiva o PNR

2) Nameni obdelav podatkov PNR

3) Povezava med podatki PNR in nameni obdelave teh podatkov

4) Zadevni letalski potniki in leti

5) Predhodno ocenjevanje podatkov PNR z avtomatiziranimi obdelavami

i) Primerjanje podatkov PNR s podatkovnimi zbirkami

ii) Obdelava podatkov PNR glede na vnaprej določena merila

iii) Zaščitni ukrepi, ki spremljajo avtomatizirano obdelavo podatkov PNR

6) Naknadno zagotavljanje in naknadno ocenjevanje podatkov PNR

C. Peto vprašanje

D. Sedmo vprašanje

E. Osmo vprašanje

F. Deveto vprašanje pod točko (a)

G. Deveto vprašanje pod točko (b)

H. Deseto vprašanje

IV. Stroški





„Predhodno odločanje – Obdelava osebnih podatkov – Podatki iz evidence podatkov o potnikih (PNR) – Uredba (EU) 2016/679 – Člen 2(2)(d) – Področje uporabe – Direktiva (EU) 2016/681 – Uporaba podatkov PNR o potnikih na letih med Evropsko Unijo in tretjimi državami – Možnost vključitve podatkov o potnikih na letih znotraj Unije – Avtomatizirana obdelava teh podatkov – Obdobje hrambe – Boj proti terorističnim in hudim kaznivim dejanjem – Veljavnost – Listina Evropske unije o temeljnih pravicah – Členi 7, 8 in 21 ter člen 52(1) – Nacionalna zakonodaja, ki uporabo sistema PNR razširja na druge vrste prevoza znotraj Unije – Svoboda gibanja znotraj Unije – Listina o temeljnih pravicah – Člen 45“

V zadevi C‑817/19,

katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Cour constitutionnelle (ustavno sodišče, Belgija) z odločbo z dne 17. oktobra 2019, ki je na Sodišče prispela 31. oktobra 2019, v postopku

Ligue des droits humains

proti

Conseil des ministres,

SODIŠČE (veliki senat),

v sestavi K. Lenaerts, predsednik, A. Arabadjiev, S. Rodin, I. Jarukaitis in N. Jääskinen, predsedniki senatov, T. von Danwitz (poročevalec), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra, sodniki, L. S. Rossi, sodnica, A. Kumin in N. Wahl, sodnika,

generalni pravobranilec: G. Pitruzzella,

sodna tajnica: M. Krausenböck, administratorka,

na podlagi pisnega postopka in obravnave z dne 13. julija 2021,

ob upoštevanju stališč, ki so jih predložili:

– za Ligue des droits humains C. Forget, avocate,

– za belgijsko vlado P. Cottin, J.-C. Halleux, C. Pochet in M. Van Regemorter, agenti, skupaj s C. Caillet, avocaat, E. Jacubowitzom, avocat, G. Ceuppensom, V. Dethy in D. Vertongenom,

– za češko vlado T. Machovičová, O. Serdula, M. Smolek in J. Vláčil, agenti,

– za dansko vlado M. Jespersen, J. Nymann-Lindegren, V. Pasternak Jørgensen in M. Søndahl Wolff, agenti,

– za nemško vlado D. Klebs in J. Möller, agenta,

– za estonsko vlado, N. Grünberg, agentka,

– za Irsko M. Browne, A. Joyce in J. Quaney, agenti, skupaj z D. Fennellyem, BL,

– za špansko vlado L. Aguilera Ruiz, agent,

– za francosko vlado D. Dubois, E. de Moustier in T. Stehelin, agenti,

– za ciprsko vlado E. Neofytou, agentka,

– za latvijsko vlado E. Bārdiņš, K. Pommere in V. Soņeca, agenti,

– za nizozemsko vlado M. K. Bulterman, A. Hanje, J. Langer in C. S. Schillemans, agenti,

– za avstrijsko vlado G. Kunnert, A. Posch in J. Schmoll, agenti,

– za poljsko vlado B. Majczyna, agent,

– za slovaško vlado B. Ricziová, agentka,

– za finsko vlado A. Laine in H. Leppo, agentki,

– za Evropski parlament O. Hrstková Šolcová in P. López-Carceller, agentki,

– za Svet Evropske unije J. Lotarski, N. Rouam, E. Sitbon in C. Zadra, agenti,

– za Evropsko komisijo D. Nardi in M. Wasmeier, agenta,

– za Evropskega nadzornika za varstvo podatkov P. Angelov, A. Buchta, F. Coudert in C.-A. Marnier, agenti,

– za Agencijo Evropske unije za temeljne pravice L. López, T. Molnar, M. Nespor in M. O’Flaherty, agenti,

po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 27. januarja 2022

izreka naslednjo

Sodbo

1 Predlog za sprejetje predhodne odločbe se v bistvu nanaša na:

– razlago člena 2(2)(d) in člena 23 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP), Direktive Sveta 2004/82/ES z dne 29. aprila 2004 o dolžnosti prevoznikov, da posredujejo podatke o potnikih (UL 2004, L 261, str. 24, v nadaljevanju: Direktiva o API), in Direktive Evropskega parlamenta in Sveta 2010/65/EU z dne 20. oktobra 2010 o formalnostih poročanja za ladje, ki priplujejo v pristanišča držav članic in/ali izplujejo iz njih, in o razveljavitvi Direktive 2002/6/ES (UL 2010, L 283, str. 1);

– razlago in veljavnost – z vidika členov 7 in 8 ter člena 52(1) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina) – člena 3, točka 4, členov 6 in 12 ter Priloge I k Direktivi (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj (UL 2016, L 119, str. 132, v nadaljevanju: Direktiva o PNR) ter

– razlago in veljavnost – z vidika člena 3(2) PEU in člena 45 Listine – Direktive o API.

2 Ta predlog je bil vložen v okviru spora med združenjem Ligue des droits humains in Conseil des ministres (svet ministrov, Belgija) glede zakonitosti loi du 25 décembre 2016, relative au traitement des données des passagers (zakon z dne 25. decembra 2016 o obdelavi podatkov o potnikih).

I. Pravni okvir

A. Pravo Unije

1. Direktiva 95/46/ES

3 Direktiva Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355) je bila z učinkom od 25. maja 2018 razveljavljena s SUVP. Člen 3(2) te direktive je določal:

„Ta direktiva se ne uporablja za obdelavo osebnih podatkov:

– med dejavnostjo, ki ne sodi na področje uporabe zakonodaje Skupnosti, kot so tiste, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, in v vsakem primeru v postopkih obdelave v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno z gospodarsko blaginjo države, kadar se postopek obdelave nanaša na zadeve državne varnosti) in pri dejavnostih države na področju kazenskega prava,

– s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti.“

2. Direktiva o API

4 V uvodnih izjavah 1, 7, 9 in 12 Direktive o API je navedeno:

„(1) Za učinkovit boj proti nezakonitemu priseljevanju in za izboljšanje mejne kontrole je bistvenega pomena, da vse države članice uvedejo določbe o dolžnostih letalskih prevoznikov, ki prevažajo potnike na ozemlje držav članic. Poleg tega je treba za zagotavljanje večje uspešnosti tega cilja finančne kazni, ki jih trenutno predvidevajo države članice v primerih, ko prevozniki ne izpolnijo svojih obveznosti, uskladiti [harmonizirati] v največjem mogočem obsegu, pri čemer se upoštevajo razlike med pravnimi sistemi in praksami držav članic.

[…]

(7) Dolžnosti, ki se naložijo prevoznikom s to direktivo, dopolnjujejo določbe, uvedene skladno z določbami člena 26 Schengenske konvencije iz leta 1990 o izvajanju schengenskega sporazuma z dne 14. junija 1985, kot je bila dopolnjena z Direktivo Sveta 2001/51/ES [z dne 28. junija 2001

o dopolnitvi določb člena 26 Konvencije o izvajanju Schengenskega sporazuma z dne 14. junija 1985 (UL, posebna izdaja v slovenščini, poglavje 19, zvezek 4, str. 160)], pri čemer je cilj obeh vrst odgovornosti zajezitev migracijskih tokov in boj proti nezakonitemu priseljevanju.

[…]

(9) Za uspešnejši boj proti nezakonitemu priseljevanju in za zagotovitev večje uspešnosti tega cilja je bistvenega pomena ob prvi priložnosti upoštevati, brez poseganja v določbe Direktive [95/46], vse tehnološke inovacije, zlasti glede vključitve in uporabe biometričnih lastnosti pri informacijah, ki naj jih posredujejo prevozniki.

[…]

(12) Direktiva [95/46] se uporablja za obdelavo osebnih podatkov s strani organov države članice. To pomeni, da bo zaradi zakonitosti obdelave podatkov o potnikih, prenesenih za izvajanje mejnih kontrol, tudi za namene omogočanja njihove uporabe kot dokaznega gradiva v postopkih za izvrševanje zakonov in predpisov o vstopu in priseljevanju, vključno z določbami o varstvu javnega reda (ordre public) in državne varnosti, vsaka nadaljnja obdelava v te namene v nasprotju z načelom iz člena 6(1)(b) Direktive [95/46]. Države članice naj poskrbijo za sistem sankcij, ki se uporabijo v primeru uporabe, ki nasprotuje namenu pričujoče direktive.“

5 Člen 1 Direktive o API, z naslovom „Cilj“, določa:

„Cilj te direktive je izboljšanje mejne kontrole in boj proti nezakonitemu priseljevanju z vnaprejšnjim posredovanjem podatkov o potnikih pristojnim nacionalnim organom s strani prevoznikov.“

6 Člen 2 te direktive, naslovljen „Opredelitve“, določa:

„V tej direktivi:

(a) ‚prevoznik‘ pomeni vsako fizično ali pravno osebo, katerega zaposlitev je izvajanje prevoza potnikov po zraku;

(b) ‚zunanje meje‘ pomeni zunanje meje držav članic s tretjimi državami;

(c) ‚mejna kontrola‘ pomeni kontrolo, ki se izvaja na meji in je povezana izključno z namenom prehoda te meje, ne glede na ostale vidike;

(d) ‚mejni prehod‘ pomeni vsak prehod, ki ga pristojni organi določijo za prehod zunanjih meja;

(e) ‚osebni podatki‘, ‚obdelava osebnih podatkov‘ in ‚sistem arhiviranja osebnih podatkov‘ imajo pomen, določen s členom 2 Direktive [95/46].“

7 Člen 3 navedene direktive, naslovljen „Posredovanje podatkov“, v odstavkih 1 in 2 določa:

„1. Države članice sprejmejo potrebne ukrepe za uveljavitev dolžnosti prevoznikov, da na zahtevo organov, odgovornih za izvajanje kontrole oseb na zunanjih mejah, do konca prijave potnikov posredujejo informacije o potnikih, ki jih bodo prepeljali na določeni mejni prehod, preko katerega bodo te osebe vstopile na ozemlje države članice.

2. Zgoraj navedene informacije so naslednje:

– številka in vrsta uporabljene potne listine,

– državljanstvo,

– celotna imena,

– datum rojstva,

– mejni prehod vstopa na ozemlje držav članic,

– oznaka prevoza,

– čas odhoda in prihoda prevoza,

– skupno število potnikov, ki se prevažajo,

– začetno mesto vkrcanja.“

8 Člen 6 Direktive o API, naslovljen „Obdelava podatkov“, določa:

„1. Osebni podatki iz člena 3(1) se posredujejo organom, odgovornim za izvajanje kontrole oseb na zunanjih mejah, preko katerih bo potnik vstopil na ozemlje držav članic, za lažje izvajanje takšnih kontrol s ciljem učinkovitejšega boja proti nezakonitemu priseljevanju.

Države članice zagotovijo, da takšne podatke zbirajo prevozniki in jih elektronsko ali v primeru okvare na druge primerne načine posredujejo organom, odgovornim za izvajanje mejnih kontrol na določenem mejnem prehodu, preko katerega bo potnik vstopil na ozemlje države članice. Organi, odgovorni za izvajanje kontrole oseb na zunanjih mejah, podatke shranijo v začasno datoteko.

Po vstopu potnikov ti organi izbrišejo podatke v 24 urah po posredovanju, razen kadar so podatki potrebni pozneje za izvajanje zakonskih pooblastil organov, odgovornih za izvajanje kontrol oseb na zunanjih mejah, skladno z nacionalnimi zakoni in ob upoštevanju določb o varstvu podatkov po Direktivi [95/46].

Države članice sprejmejo potrebne ukrepe, ki obvezujejo prevoznike, da v 24 urah po prihodu prevoznega sredstva skladno s členom 3(1) izbrišejo osebne podatke, ki so jih zbrali in posredovali mejnim organom za namene te direktive.

Skladno z nacionalnimi zakoni in ob upoštevanju določb o varstvu podatkov po Direktivi [95/46], lahko države članice osebne podatke iz člena 3(1) uporabijo tudi za pregon.

2. Države članice sprejmejo potrebne ukrepe, ki obvezujejo prevoznike k obveščanju potnikov skladno z določbami Direktive [95/46]. To vključuje tudi informacije iz člena 10(c) in člena 11(1)(c) Direktive [95/46].“

3. Direktiva 2010/65

9 Direktiva 2010/65 se v skladu s členom 25 Uredbe (EU) 2019/1239 Evropskega parlamenta in Sveta z dne 20. junija 2019 o vzpostavitvi evropskega okolja enotnega okenca za pomorski sektor in razveljavitvi Direktive 2010/65 (UL 2019, L 198, str. 64) razveljavi s 15. avgustom 2025.

10 V uvodni izjavi 2 te direktive je navedeno:

„Za olajšanje pomorskega prevoza in zmanjšanje upravne obremenitve ladijskih družb bi bilo treba v največji možni meri poenostaviti in uskladiti [harmonizirati] formalnosti poročanja, ki jih določajo pravni akti Unije in držav članic. […]“

11 Člen 1 navedene direktive, naslovljen „Vsebina in področje uporabe“, v odstavkih 1 in 2 določa:

„1. Namen te direktive je poenostaviti in uskladiti [harmonizirati] upravne postopke, ki se uporabljajo pri pomorskem prevozu, s standardizacijo uporabe elektronskega pošiljanja informacij in racionalizacijo formalnosti poročanja.

2. Ta direktiva se uporablja za formalnosti poročanja, ki se uporabljajo za pomorski promet za ladje, ki vplujejo v pristanišča v državah članicah, in ladje, ki iz njih izplujejo.“

12 Člen 8 te direktive, naslovljen „Zaupnost“, določa:

„1. Države članice v skladu z veljavnimi pravnimi akti Unije ali nacionalno zakonodajo sprejmejo potrebne ukrepe za zagotovitev zaupnosti poslovnih in drugih zaupnih informacij, izmenjanih v skladu s to direktivo.

2. Države članice zagotovijo zlasti varstvo poslovnih podatkov, zbranih na podlagi te direktive. V zvezi z osebnimi podatki države članice zagotovijo skladnost z Direktivo [95/46]. Institucije in organi [Evropske] [u]nije zagotovijo skladnost z Uredbo (ES) št. 45/2001 [Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 26, str. 102)].“

4. SUVP

13 V uvodni izjavi 19 SUVP je navedeno:

„Varstvo posameznikov pri obdelavi osebnih podatkov s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ter prosti pretok takih podatkov je urejeno v posebnem pravnem aktu Unije. Ta uredba se zato ne bi smela uporabljati za dejavnosti obdelave v navedene namene. Vendar pa bi moral obdelavo osebnih podatkov s strani javnih organov na podlagi te uredbe, kadar se uporablja za navedene namene, urejati bolj poseben pravni akt Unije, in sicer Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta [z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL 2016, L 119, str. 89)]. Države članice lahko pristojnim organom v smislu [Direktive 2016/680] zaupajo naloge, ki se ne izvajajo nujno za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, tako da obdelava osebnih podatkov za te druge namene, kolikor spada na področje uporabe prava Unije, spada na področje uporabe te uredbe.

[…]“.

14 Člen 2 te uredbe, naslovljen „Področje uporabe“, v odstavkih 1 in 2 določa:

„1. Ta uredba se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke.

2. Ta uredba se ne uporablja za obdelavo osebnih podatkov:

(a) v okviru dejavnosti zunaj področja uporabe prava Unije;

(b) s strani držav članic, kadar izvajajo dejavnosti, ki spadajo na področje uporabe poglavja 2 naslova V PEU;

[…]

(d) s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

15 Člen 4 navedene uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

(1) ‚osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom […];

(2) ‚obdelava‘ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;

[…]“.

16 Člen 23 SUVP, naslovljen „Omejitve“, določa:

„1. Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

(a) državne varnosti;

(b) obrambe;

(c) javne varnosti;

(d) preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem;

[…]

(h) spremljanja, pregledovanja ali urejanja, povezanega, lahko tudi zgolj občasno, z izvajanjem javne oblasti v primerih iz točk (a) do (e) in (g);

2. Zlasti vsak zakonodajni ukrep iz odstavka 1 vsebuje posebne določbe vsaj, kjer je ustrezno, glede:

(a) namenov obdelave ali vrst obdelave;

(b) vrst osebnih podatkov;

(c) obsega uvedenih omejitev;

(d) zaščitnih ukrepov za preprečitev zlorab ali nezakonitega dostopa ali prenosa;

(e) natančnejše ureditve upravljavca ali vrst upravljavcev;

(f) obdobij hrambe in veljavnih zaščitnih ukrepov, pri čemer se upoštevajo narava, obseg in nameni obdelave ali vrste obdelave;

(g) tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ter

(h) pravice posameznikov, na katere se nanašajo osebni podatki, da so obveščeni o omejitvi, razen če bi to posegalo v namen omejitve.“

17 Člen 94 te uredbe, naslovljen „Razveljavitev Direktive [95/46]“, določa:

„1. Direktiva [95/46] se razveljavi z učinkom od 25. maja 2018.

2. Sklicevanja na razveljavljeno direktivo se štejejo kot sklicevanja na to uredbo. Sklicevanja na Delovno skupino za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljeno s členom 29 Direktive [95/46], se štejejo kot sklicevanja na Evropski odbor za varstvo podatkov, ustanovljen s to uredbo.“

5. Direktiva 2016/680

18 Direktiva 2016/680 je v skladu s svojim členom 59 s 6. majem 2018 razveljavila in nadomestila Okvirni sklep Sveta 2008/977/PNZ z dne 27. novembra 2008 o varstvu osebnih podatkov, ki se obdelujejo v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah (UL 2008, L 350, str. 60).

19 V uvodnih izjavah od 9 do 11 Direktive 2016/680 je navedeno:

„(9) Na podlagi tega so v [SUVP] določena splošna pravila o varstvu posameznikov pri obdelavi osebnih podatkov in o zagotovitvi prostega pretoka osebnih podatkov v Uniji.

(10) V izjavi št. 21 o varstvu osebnih podatkov na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja, ki je priložena Sklepni listini medvladne konference, ki je sprejela Lizbonsko pogodbo, je konferenca potrdila, da bi lahko bili zaradi posebne narave pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja na teh področjih potrebni posebni predpisi o varstvu osebnih podatkov in o prostem pretoku osebnih podatkov na podlagi člena 16 PDEU.

(11) Zato je primerno, da ta področja ureja direktiva, v kateri so določena posebna pravila o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ob upoštevanju posebnih lastnosti teh dejavnosti. Ti pristojni organi lahko vključujejo ne le javne organe, kot so pravosodni organi, policija ali drugi organi preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, temveč tudi vse druge organe ali subjekte, ki v skladu z zakonodajo države članice izvajajo javno oblast in javna pooblastila za namene te direktive. Kadar takšen organ ali subjekt obdeluje osebne podatke za namene, ki so drugačni od namenov iz te direktive, se uporablja [SUVP]. [SUVP] se torej uporablja v primerih, ko organ ali subjekt zbira osebne podatke za druge namene in jih dodatno obdeluje, ker jih k temu zavezujejo pravne obveznosti. Na primer finančne institucije za namene preiskovanja, odkrivanja ali pregona kaznivih dejanj zadržijo nekatere osebne podatke, ki so jih obdelale, ter jih pristojnim nacionalnim organom posredujejo le v posebnih primerih in v skladu z zakonodajo države članice. Organ ali subjekt, ki v imenu navedenih organov obdeluje osebne podatke v okviru področja uporabe te direktive, bi morali zavezovati pogodba ali drug pravni akt in določbe, ki veljajo za obdelovalce v skladu s to direktivo, medtem ko bi morala uporaba [SUVP] ostati nespremenjena za obdelavo osebnih podatkov, ki jih obdelovalec izvaja zunaj področja uporabe te direktive.“

20 Člen 1 te direktive, naslovljen „Predmet urejanja in cilji“, ki v bistvu ustreza členu 1 Okvirnega sklepa 2008/977, v odstavku 1 določa:

„V tej direktivi so določena pravila o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

21 Člen 3 navedene direktive, naslovljen „Opredelitev pojmov“, določa:

„V tej direktivi:

[…]

7. ‚pristojni organ‘ pomeni:

(a) kateri koli javni organ, ki je pristojen za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ali

(b) kateri koli drug organ ali subjekt, ki v skladu s pravom države članice lahko opravlja javne funkcije ali izvaja javna pooblastila za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem;

[…]“.

6. Direktiva o PNR

22 V uvodnih izjavah od 4 do 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 in 37 Direktive o PNR je navedeno:

„(4) Direktiva [o PNR] ureja prenos predhodnih podatkov o potnikih (API) pristojnim nacionalnim organom s strani letalskih prevoznikov za namen izboljšanja mejnih kontrol in boja proti nezakonitemu priseljevanju.

(5) Cilji te direktive so med drugim zagotoviti varnost, zaščititi življenje in varnost oseb ter oblikovati pravni okvir za varstvo podatkov PNR pri njihovi obdelavi s strani pristojnih organov.

(6) Učinkovita uporaba podatkov PNR, na primer s primerjanjem podatkov PNR z različnimi podatkovnimi zbirkami iskanih oseb in predmetov, je potrebna za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj ter s tem za krepitev notranje varnosti, za zbiranje dokazov ter, kadar je to potrebno, da se izsledijo osebe, ki sodelujejo s storilci kaznivih dejanj in se razkrijejo kriminalne mreže.

(7) Ocenjevanje podatkov PNR omogoča identifikacijo oseb, ki pred takim ocenjevanjem niso bile osumljene sodelovanja pri terorističnih ali hudih kaznivih dejanjih in ki bi jih pristojni organi morali podrobneje preveriti. Z uporabo podatkov PNR je mogoče obravnavati grožnjo terorističnih in hudih kaznivih dejanj z drugega vidika kot pri obdelavi drugih vrst osebnih podatkov. Da pa bi zagotovili, da obdelava podatkov PNR ostane omejena le na to, kar je potrebno, bi morala biti oblikovanje in uporaba ocenjevalnih meril omejena na teroristična kazniva dejanja in huda kazniva dejanja, pri katerih je uporaba takšnih meril potrebna. Poleg tega bi bilo treba ocenjevalna merila opredeliti tako, da bo število nedolžnih ljudi, ki jih sistem napačno identificira, čim nižje.

(8) Letalski prevozniki že zbirajo in obdelujejo podatke PNR svojih potnikov v lastne komercialne namene. Ta direktiva ne bi smela naložiti nobenih obveznosti letalskim prevoznikom glede zbiranja ali hrambe kakršnih koli dodatnih podatkov o potnikih, pa tudi potnikom glede zagotavljanja kakršnih koli podatkov poleg podatkov, ki jih že zagotavljajo letalskim prevoznikom.

(9) Nekateri letalski prevozniki hranijo podatke API, ki jih zbirajo, kot del podatkov PNR, drugi pa ne. Uporaba podatkov PNR skupaj s podatki API ima dodano vrednost, saj je državam članicam v pomoč pri preverjanju identitete posameznika, s čimer se povečuje vrednost tega rezultata za namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj ter zmanjšuje tveganje, da se preverjajo in preiskujejo nedolžni ljudje. Zato je pomembno zagotoviti, da letalski prevozniki, kadar zbirajo podatke API, te posredujejo, ne glede na to, ali podatke API hranijo z drugačnimi tehničnimi sredstvi kot ostale podatke PNR.

(10) Za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj je bistveno, da vse države članice določijo predpise, v skladu s katerimi morajo letalski prevozniki, ki opravljajo lete zunaj EU, posredovati zbrane podatke PNR, vključno s podatki API. Države članice bi tudi morale imeti možnost, da to obveznost razširijo na letalske prevoznike, ki opravljajo lete znotraj EU. Ti predpisi ne bi smeli posegati v Direktivo [o API].

(11) Obdelava osebnih podatkov bi morala biti sorazmerna s posebnimi varnostnimi cilji iz te direktive.

(12) Opredelitev terorističnih kaznivih dejanj, ki se uporablja v tej direktivi, bi morala biti enaka kot v Okvirnem sklepu Sveta 2002/475/PNZ [z dne 13. junija 2002 o boju proti terorizmu (UL, posebna izdaja v slovenščini, poglavje 19, zvezek 6, str. 18)]. Opredelitev hudih kaznivih dejanj bi morala zajemati vrste kaznivih dejanj iz Priloge II k tej direktivi.

[…]

(15) Seznam podatkov PNR, ki naj bi jih pridobila enota za informacije o potnikih, bi bilo treba oblikovati tako, da bi se upoštevale upravičene zahteve javnih organov za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih ali hudih kaznivih dejanj, s čimer bi se izboljšala notranja varnost v Uniji in zaščitile temeljne pravice, zlasti pravica do zasebnosti in varstva osebnih podatkov. V ta namen bi se morali uporabljati visoki standardi v skladu z [Listino], Konvencijo o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov (v nadaljnjem besedilu: Konvencija št. 108) ter Evropsko konvencijo o varstvu človekovih pravic in temeljnih svoboščin[, podpisano v Rimu 4. novembra 1950 (v nadaljevanju: EKČP)]. Tak seznam ne bi smel biti oblikovan na podlagi rase ali etničnega porekla osebe, njene vere ali prepričanja, političnega ali drugega mnenja, članstva v sindikatu, zdravstvenega stanja, spolnega življenja ali spolne usmerjenosti. Podatki PNR bi morali vsebovati zgolj podrobnosti o rezervacijah in načrtih potovanja potnikov, ki pristojnim organom omogočajo identifikacijo letalskih potnikov, ki predstavljajo grožnjo notranji varnosti.

[…]

(19) Vsaka država članica bi morala biti odgovorna za ocenjevanje morebitnih groženj v zvezi s terorističnimi in hudimi kaznivimi dejanji.

(20) Ob doslednem spoštovanju pravice do varstva osebnih podatkov in pravice do nediskriminacije ne bi smela biti nobena odločitev, ki bi imela za osebo negativne pravne posledice ali bi nanjo znatneje vplivala, sprejeta le na podlagi avtomatizirane obdelave podatkov PNR. Poleg tega v skladu s členoma 8 in 21 Listine nobena takšna odločitev ne bi smela predstavljati diskriminacije na kakršni koli podlagi, kot je denimo spol, rasa, barva kože, etnično ali socialno poreklo, genetske značilnosti, jezik, vera ali prepričanje, politično ali drugo mnenje, pripadnost narodnostni manjšini, premoženje, rojstvo, invalidnost, starost ali spolna usmerjenost. [Evropska] [k]omisija bi morala upoštevati ta načela tudi ob izvedbi pregleda uporabe te direktive.

[…]

(22) Pri uporabi te direktive bi bilo treba zagotoviti popolno spoštovanje temeljnih pravic, pravice do zasebnosti in načela sorazmernosti, ob doslednem spoštovanju načel iz nedavne sodne prakse Sodišča Evropske unije s tega področja. Poleg tega bi bilo treba dejansko izpolnjevati cilje nujnosti in sorazmernosti za uresničitev splošnih interesov, ki jih priznava Unija, in potrebe po varovanju pravic in svoboščin drugih v boju proti terorističnim in hudim kaznivim dejanjem. Uporaba te direktive bi morala biti ustrezno utemeljena in vzpostavljeni bi morali biti potrebni zaščitni ukrepi, da se zagotovi zakonitost vsakršne hrambe, analize, prenosa ali uporabe podatkov PNR.

[…]

(25) Obdobje hrambe podatkov PNR bi moralo biti tako dolgo, kot je to potrebno za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj ter sorazmerno s temi nameni. Zaradi narave zadevnih podatkov in njihove uporabe je treba podatke PNR hraniti dovolj dolgo za izvedbo analiz in uporabo v preiskavah. Da bi se izognili nesorazmerni uporabi, bi bilo treba podatke PNR po začetnem obdobju hrambe depersonalizirati z zakrivanjem podatkovnih elementov. Za zagotovitev najvišje ravni varstva podatkov bi moral biti dostop do popolnih podatkov PNR, ki omogočajo neposredno identifikacijo posameznika, na katerega se podatki nanašajo, odobren le pod zelo strogimi in omejenimi pogoji po tem začetnem obdobju.

[…]

(27) V vsaki državi članici bi morala za obdelavo podatkov PNR, ki jo izvajajo enote za informacije o potnikih in pristojni organi, veljati raven varstva osebnih podatkov v skladu z nacionalnim pravom, ki je skladna z Okvirnim sklepom Sveta [2008/977], in posebne zahteve glede varstva podatkov iz te direktive. Sklicevanja na Okvirni sklep [2008/977] bi bilo treba razumeti kot sklicevanja na trenutno veljavno zakonodajo kot tudi na zakonodajo, ki jo bo nadomestila.

(28) Ob upoštevanju pravice do varstva osebnih podatkov bi morale biti pravice posameznikov, na katere se podatki nanašajo, glede obdelave njihovih podatkov PNR, kot so pravice do dostopa, popravka, izbrisa in omejitve, ter pravici do nadomestila škode in sodnega varstva, skladne tako z Okvirnim sklepom [2008/977] kot z visoko ravnjo varstva, ki jo zagotavljata Listina in EKČP.

[…]

(33) Ta direktiva ne vpliva na možnost držav članic, da v nacionalnem pravu vzpostavijo sistem zbiranja in obdelave podatkov PNR, ki jih prejmejo od gospodarskih subjektov, ki niso prevozniki, kot so potovalne agencije in organizatorji potovanj, ki nudijo s potovanji povezane storitve – vključno z rezervacijami letov – za katere zbirajo in obdelujejo podatke PNR, ali od ponudnikov prevoza, ki niso navedeni v tej direktivi, če je takšno nacionalno pravo skladno s pravom Unije.

[…]

(36) Ta direktiva spoštuje temeljne pravice in načela Listine, zlasti pravico do varstva osebnih podatkov, pravico do zasebnosti in pravico do nediskriminacije, kakor jih zagotavljajo členi 8, 7 in 21 Listine; zato bi jo bilo treba izvajati temu ustrezno. Ta direktiva je združljiva z načeli varstva podatkov, njene določbe pa so skladne z Okvirnim sklepom [2008/977]. V tej direktivi so poleg tega zaradi upoštevanja načela sorazmernosti v zvezi z nekaterimi vprašanji določena strožja pravila o varstvu podatkov kot v Okvirnem sklepu [2008/977].

(37) Področje uporabe te direktive je kar najbolj omejeno, saj: omogoča hrambo podatkov PNR v enotah za informacije o potnikih za obdobje največ pet let, po preteku katerega bi bilo treba podatke izbrisati; omogoča depersonalizacijo podatkov z zakrivanjem podatkovnih elementov po začetnem obdobju šestih mesecev; in prepoveduje zbiranje in uporabo občutljivih podatkov. Za zagotovitev učinkovitosti in visoke ravni varstva podatkov morajo države članice zagotoviti, da je za svetovanje glede načina obdelave podatkov PNR in za spremljanje tega načina pristojen neodvisen nacionalni nadzorni organ, zlasti pa pooblaščena oseba za varstvo podatkov. Zabeležiti ali dokumentirati bi bilo treba vsako obdelavo podatkov PNR za namene preverjanja njene zakonitosti, notranjega spremljanja in zagotavljanja celovitosti podatkov ter njihove varne obdelave. Države članice bi morale tudi zagotoviti, da so potniki jasno in natančno obveščeni o zbiranju podatkov PNR in svojih pravicah.“

23 Člen 1 Direktive o PNR, naslovljen „Predmet urejanja in področje uporabe“, določa:

„1. Ta direktiva ureja:

(a) prenos podatkov iz evidence podatkov o potnikih (PNR) s strani letalskih prevoznikov na letih zunaj EU;

(b) obdelavo podatkov iz točke (a), vključno z njihovim zbiranjem, uporabo in hrambo s strani držav članic ter njihovo izmenjavo med državami članicami.

2. Podatki PNR, zbrani v skladu s to direktivo, se lahko obdelujejo le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj iz točk (a), (b) in (c) člena 6(2).“

24 Člen 2 te direktive, naslovljen „Uporaba te direktive za lete znotraj EU“, določa:

„1. Če se država članica odloči uporabljati to direktivo za lete znotraj EU, uradno pisno obvesti Komisijo. Država članica lahko tako uradno obvestilo poda ali prekliče kadar koli. Komisija objavi to uradno obvestilo in njegov morebiten preklic v Uradnem listu Evropske unije.

2. Kadar je podano uradno obvestilo iz odstavka 1, se uporabljajo vse določbe te direktive za lete znotraj EU, kot da bi bili leti zunaj EU, in za podatke PNR o letih znotraj EU, kot da bi bili podatki PNR o letih zunaj EU.

3. Država članica se lahko odloči, da bo to direktivo uporabljala le za izbrane lete znotraj EU. Država članica pri taki odločitvi izbere lete, za katere meni, da so potrebni za uresničevanje ciljev te direktive. Država članica se lahko kadar koli odloči za spremembo izbire letov znotraj EU.“

25 Člen 3 navedene direktive, naslovljen „Opredelitev pojmov“, določa:

„V tej direktivi se uporabljajo naslednje opredelitve pojmov:

(1) ‚letalski prevoznik‘ pomeni podjetje za zračni prevoz z veljavno operativno licenco ali enakovrednim dovoljenjem, ki mu omogoča opravljanje zračnega prevoza potnikov;

(2) ‚let zunaj EU‘ pomeni vsak redni ali posebni let letalskega prevoznika z odhodom v tretji državi in načrtovanim prihodom na ozemlju države članice ali z odhodom na ozemlju države članice in načrtovanim prihodom v tretji državi, pri čemer so v obeh primerih vključeni tudi leti z vsemi morebitnimi postanki na ozemlju držav članic ali tretjih držav;

(3) ‚let znotraj EU‘ pomeni vsak redni ali posebni let letalskega prevoznika z odhodom na ozemlju države članice in načrtovanim prihodom na ozemlju ene ali več držav članic, brez postankov na ozemlju tretje države;

(4) ‚potnik‘ pomeni vsako osebo – tudi potnike v tranzitu in potnike, ki prestopajo, vendar ne članov posadke – ki se prevaža ali se bo prevažala na letalu s privolitvijo letalskega prevoznika, pri čemer se takšno soglasje izrazi z registracijo te osebe na seznamu potnikov;

(5) ‚evidenca podatkov o potnikih‘ ali ‚PNR‘ pomeni zapis zahtevanih podatkov o potovanju vsakega potnika, ki vsebuje potrebne informacije, da lahko letalski prevozniki, ki zagotavljajo rezervacije, in udeleženi letalski prevozniki obdelujejo in nadzorujejo rezervacije za vsako potovanje, ki ga rezervira posamezna oseba ali se rezervira v njenem imenu, ne glede na to, ali je sestavni del sistema rezervacij, sistema za nadzor odhodov, ki se uporablja za prijavo potnikov na let, ali enakovrednih sistemov, ki zagotavljajo enake funkcije;

(6) ‚sistem rezervacij‘ pomeni notranji sistem letalskega prevoznika, v katerem se zbirajo podatki PNR za obdelavo rezervacij;

(7) ‚metoda ‚push‘‘ pomeni metodo, v skladu s katero letalski prevozniki posredujejo podatke PNR iz Priloge I v podatkovno zbirko organa, ki za podatke zaprosi;

(8) ‚teroristično kaznivo dejanje‘ pomeni kaznivo dejanje po nacionalnem pravu iz členov 1 do 4 Okvirnega sklepa [2002/475];

(9) ‚hudo kaznivo dejanje‘ pomeni kazniva dejanja iz Priloge II, ki se po nacionalnem pravu države članice kaznujejo z zaporno kaznijo oziroma ukrepom odvzema prostosti z najvišjo zagroženo kaznijo najmanj treh let;

(10) ‚depersonalizirati z zakrivanjem podatkovnih elementov‘ pomeni, da se te podatkovne elemente, na podlagi katerih bi bilo mogoče neposredno identificirati posameznika, na katerega se podatki nanašajo, zakrije tako, da za uporabnika postanejo nevidni.“

26 Člen 4 Direktive o PNR, naslovljen „Enota za informacije o potnikih“, v odstavkih od 1 do 3 določa:

„1. Vsaka država članica ustanovi ali imenuje organ, pristojen za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih in hudih kaznivih dejanj ali organizacijsko enoto takšnega organa, da deluje kot njena enota za informacije o potnikih.

2. Enota za informacije o potnikih je pristojna za:

(a) zbiranje podatkov PNR od letalskih prevoznikov, njihovo hrambo in obdelavo in za posredovanje teh podatkov ali rezultatov njihove obdelave pristojnim organom iz člena 7;

(b) izmenjavo tako podatkov PNR kot rezultatov njihove obdelave z enotami za informacije o potnikih drugih držav članic in Europolom v skladu s členoma 9 in 10.

3. Člani osebja enote za informacije o potnikih so lahko napoteni iz pristojnih organov. Države članice enotam za informacije o potnikih zagotovijo ustrezna sredstva za opravljanje njihovih nalog.“

27 Člen 5 te direktive, naslovljen „Pooblaščena oseba za varstvo podatkov pri enoti za informacije o potnikih“, določa:

„1. Enota za informacije o potnikih imenuje pooblaščeno osebo za varstvo podatkov, ki je pristojna za spremljanje obdelave podatkov PNR in izvajanje ustreznih zaščitnih ukrepov.

2. Države članice pooblaščeni osebi za varstvo podatkov zagotovijo sredstva za učinkovito in neodvisno opravljanje svojih dolžnosti in nalog v skladu s tem členom.

3. Države članice posamezniku, na katerega se podatki nanašajo, zagotovijo pravico, da stopi v stik s pooblaščeno osebo za varstvo podatkov kot enotno kontaktno točko glede vseh vprašanj, povezanih z obdelavo njegovih podatkov PNR.“

28 Člen 6 navedene direktive, naslovljen „Obdelava podatkov PNR“, določa:

„1. Podatke PNR, ki jih posredujejo letalski prevozniki, zbira enota za informacije o potnikih zadevne države članice, kot je določeno v členu 8. Kadar podatki PNR, ki jih posredujejo letalski prevozniki, vključujejo podatke, ki niso navedeni v Prilogi I, enota za informacije o potnikih takšne podatke ob prejemu izbriše takoj in trajno.

2. Enota za informacije o potnikih obdeluje podatke PNR samo za naslednje namene:

(a) za ocenjevanje potnikov pred njihovim načrtovanim prihodom v državo članico ali odhodom iz nje, da bi identificirala osebe, ki jih morajo pristojni organi iz člena 7 in, kadar je ustrezno, Europol v skladu s členom 10 podrobneje preveriti glede na dejstvo, da bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju;

(b) za odzivanje, za vsak primer posebej, na ustrezno obrazloženo zaprosilo, ki ga pristojni organi predložijo na zadostni podlagi za zagotavljanje in obdelavo podatkov PNR v konkretnih primerih za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih ali hudih kaznivih dejanj ter za zagotavljanje rezultatov takšne obdelave pristojnim organom ali, kadar je ustrezno, Europolu, ter

(c) za analiziranje podatkov PNR za namene posodabljanja ali oblikovanja novih meril za izvajanje ocenjevanj iz točke (b) odstavka 3, da bi identificirali osebe, ki bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju.

3. Pri izvajanju ocenjevanja iz točke (a) odstavka 2, lahko enota za informacije o potnikih:

(a) primerja podatke PNR s podatkovnimi zbirkami, ki so pomembne za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj, vključno s podatkovnimi zbirkami o osebah ali predmetih, ki so iskani ali so zanje razpisani ukrepi, v skladu s pravili Unije ter mednarodnimi in nacionalnimi pravili, ki veljajo za takšne podatkovne zbirke, ali

(b) obdeluje podatke PNR glede na vnaprej določena merila.

4. Ocenjevanje potnikov pred njihovim načrtovanim prihodom v državo članico ali odhodom iz države članice v skladu s točko (b) odstavka 3 glede na vnaprej določena merila se izvaja na nediskriminatoren način. Ta vnaprej določena merila morajo biti ciljna, sorazmerna in specifična. Države članice zagotovijo, da enote za informacije o potnikih v sodelovanju s pristojnimi organi iz člena 7 določijo in redno pregleduje ta merila. Ta merila ne smejo v nobenem primeru temeljiti na podlagi rase ali etničnega porekla osebe, njenih političnih mnenj, vere ali filozofskega prepričanja, članstva v sindikatu, zdravstvenega stanja, spolnega življenja ali spolne usmerjenosti.

5. Države članice zagotovijo, da se kakršen koli zadetek, ki je rezultat avtomatizirane obdelave podatkov PNR, izvedene v skladu s točko (a) odstavka 2, posamično pregleda z neavtomatiziranimi sredstvi, da se preveri, ali mora pristojni organ iz člena 7 ukrepati v skladu z nacionalnim pravom.

6. Enota države članice za informacije o potnikih posreduje podatke PNR oseb, identificiranih v skladu s točko (a) odstavka 2, ali rezultate obdelave teh podatkov v podrobnejšo preučitev pristojnim organom iz člena 7 iste države članice. Takšen prenos se lahko izvede le za vsak primer posebej, v primeru avtomatizirane obdelave podatkov PNR pa po posamičnem pregledu z neavtomatiziranimi sredstvi.

7. Države članice zagotovijo, da ima pooblaščena oseba za varstvo podatkov dostop do vseh podatkov, ki jih obdeluje enota za informacije o potnikih. Če pooblaščena oseba za varstvo podatkov meni, da obdelava kakršnih koli podatkov ni bila zakonita, lahko zadevo predloži nacionalnemu nadzornemu organu.

[…]

9. Posledice ocenjevanj potnikov iz točke (a) odstavka 2 tega člena ne ogrožajo pravice do vstopa oseb, ki uživajo pravico Unije do prostega gibanja, na ozemlje zadevne države članice, kot je določeno v Direktivi [Evropskega parlamenta in Sveta 2004/38/ES z dne 29. aprila 2004 o pravici državljanov Unije in njihovih družinskih članov do prostega gibanja in prebivanja na ozemlju držav članic, ki spreminja Uredbo (EGS) št. 1612/68 in razveljavlja Direktive 64/221/EGS, 68/360/EGS, 72/194/EGS, 73/148/EGS, 75/34/EGS, 75/35/EGS, 90/364/EGS, 90/365/EGS in 93/96/EEC (UL, posebna izdaja v slovenščini, poglavje 5, zvezek 5, str. 46]. Poleg tega so posledice takšnih ocenjevanj, kadar so izvedena v zvezi z leti znotraj EU med državami članicami, za katere se uporablja Uredba (ES) št. 562/2006 Evropskega parlamenta in Sveta [z dne 15. marca 2006 o Zakoniku Skupnosti o pravilih, ki urejajo gibanje oseb prek meja (Zakonik o schengenskih mejah) (UL 2006, L 105, str. 1)], skladne z navedeno uredbo.“

29 Člen 7 Direktive o PNR, naslovljen „Pristojni organi“, določa:

„1. Vsaka država članica sprejme seznam pristojnih organov, ki so za namene preprečevanja, odkrivanja, preiskovanja ter pregona terorističnih ali hudih kaznivih dejanj upravičeni, da enoto za informacije o potnikih zaprosijo za podatke PNR ali rezultate obdelave teh podatkov – ali da jih prejmejo – da bi te informacije nadalje podrobno preučili oziroma sprejeli ustrezne ukrepe.

2. Organi iz odstavka 1 so organi, ki so pristojni za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih ali hudih kaznivih dejanj.

[…]

4. Pristojni organi držav članic lahko podatke PNR in rezultate obdelave teh podatkov, ki jih prejmejo od enote za informacije o potnikih, nadalje obdelujejo samo za specifične namene preprečevanja, odkrivanja, preiskovanja ali pregona terorističnih ali hudih kaznivih dejanj.

5. Odstavek 4 ne posega v pristojnosti nacionalnih organov preprečevanja, odkrivanja in preiskovanja kaznivih dejanj oziroma pravosodnih organov, kadar se v predkazenskem ali kazenskem postopku na podlagi navedene obdelave odkrijejo druga kazniva dejanja ali indici v zvezi z njimi.

6. Pristojni organi izključno na podlagi avtomatizirane obdelave podatkov PNR ne sprejmejo nobene odločitve, ki bi imela za osebo negativne pravne posledice ali bi nanjo znatneje vplivala. Takšne odločitve se ne sprejmejo na podlagi rase ali etničnega porekla osebe, njenih političnih mnenj, vere ali filozofskega prepričanja, članstva v sindikatu, zdravstvenega stanja, spolnega življenja ali spolne usmerjenosti.“

30 Člen 8 te direktive, naslovljen „Obveznosti letalskih prevoznikov glede prenosa podatkov“, v odstavkih od 1 do 3 določa:

„1. Države članice sprejmejo potrebne ukrepe, da zagotovijo, da letalski prevozniki podatke PNR, navedene v Prilogi I – kolikor so jih že zbrali med običajnim poslovanjem – z metodo ‚push‘ posredujejo v podatkovno zbirko enote za informacije o potnikih države članice, na ozemlju katere je prihod ali odhod leta. Pri letih pod skupno oznako enega ali več letalskih prevoznikov je za prenos podatkov PNR o vseh potnikih na tem letu odgovoren letalski prevoznik, ki izvaja let. Kadar je na letu zunaj EU predviden eden ali več postankov na letališčih držav članic, letalski prevozniki posredujejo podatke PNR o vseh potnikih enotam za informacije o potnikih vseh zadevnih držav članic. To velja tudi tedaj, ko ima let znotraj EU enega ali več postankov na letališčih različnih držav članic, vendar le za tiste države članice, ki zbirajo podatke PNR o letih znotraj EU.

2. Če letalski prevozniki zberejo predhodne informacije o potnikih (API) iz točke 18 Priloge I, vendar teh informacij ne hranijo z enakimi tehničnimi sredstvi kot druge podatke PNR, države članice z ustreznimi ukrepi zagotovijo, da letalski prevozniki tudi te informacije z metodo ‚push‘ posredujejo enoti za informacije o potnikih držav članic iz odstavka 1. V primeru takšnega prenosa se tudi za zadevne podatke API uporabljajo vse določbe te direktive.

3. Letalski prevozniki podatke PNR prenesejo z elektronskimi sredstvi z uporabo skupnih protokolov in sistemsko podprtih oblik zapisa podatkov, ki se sprejmejo v skladu s postopkom pregleda iz člena 17(2), v primeru tehnične okvare pa na kakršen koli drug ustrezen način, ki zagotavlja ustrezno raven varnosti podatkov:

(a) 24 do 48 ur pred načrtovanim časom odhoda leta in

(b) nemudoma po zaprtju leta, to je takrat, ko so potniki že vkrcani na letalo v pripravi na odhod in se ne morejo več vkrcati ali izkrcati.“

31 Člen 12 navedene direktive, naslovljen „Čas hrambe podatkov in depersonalizacija“, določa:

„1. Države članice zagotovijo, da se podatki PNR, ki jih enoti za informacije o potnikih zagotovijo letalski prevozniki, hranijo v podatkovni zbirki enote za informacije o potnikih pet let od njihovega prenosa enoti za informacije o potnikih države članice, na območju katere je prihod ali odhod leta.

2. Po izteku šestih mesecev od prenosa podatkov PNR iz odstavka 1 se vsi podatki PNR depersonalizirajo z zakrivanjem naslednjih podatkovnih elementov, na podlagi katerih bi bilo mogoče neposredno identificirati potnika, na katerega se podatki PNR nanašajo:

(a) ime(na), vključno z imeni drugih potnikov v PNR, in število potnikov v PNR, ki potujejo skupaj;

(b) naslov in kontaktni podatki;

(c) vsi podatki o načinu plačila, vključno z naslovom za izstavitev računa, kolikor vsebujejo kakršne koli informacije, na podlagi katerih bi bilo mogoče neposredno identificirati potnika, na katerega se podatki PNR nanašajo, ali katero koli drugo osebo;

(d) informacije v zvezi s programi za pogoste potnike;

(e) splošne opombe, kolikor vsebujejo kakršne koli informacije, na podlagi katerih bi bilo mogoče neposredno identificirati potnika, na katerega se podatki PNR nanašajo, in

(f) vse zbrane podatke API.

3. Po izteku šestih mesecev iz odstavka 2 je razkritje popolnih podatkov PNR dovoljeno le, kadar:

(a) se utemeljeno domneva, da je to potrebno za namene iz točke (b) člena 6(2), in

(b) ga odobri:

(i) sodni organ ali

(ii) drug nacionalni organ, ki je v skladu z nacionalnim pravom pristojen za preverjanje, ali so izpolnjeni pogoji za razkritje, pod pogojem, da je pooblaščena oseba za varstvo podatkov enote za informacije o potnikih o tem obveščena in da lahko opravi naknadni pregled.

4. Države članice zagotovijo, da se podatki PNR trajno izbrišejo po izteku obdobja iz odstavka 1. Ta obveznost ne posega v primere, v katerih so bili določeni podatki PNR posredovani pristojnemu organu in se uporabljajo v okviru konkretnih primerov za namene preprečevanja, odkrivanja, preiskovanja ali pregona terorističnih ali hudih kaznivih dejanj; v tem primeru hrambo takšnih podatkov s strani pristojnega organa ureja nacionalno pravo.

5. Enota za informacije o potnikih hrani rezultate obdelave iz točke (a) člena 6(2) le toliko časa, kolikor je potrebno, da o zadetku obvesti pristojne organe in v skladu s členom 9(1) obvesti enote za informacije o potnikih drugih držav članic. Kadar je po posamičnem preverjanju z neavtomatiziranimi sredstvi iz člena 6(5) rezultat avtomatizirane obdelave negativen, se kljub temu lahko shrani v izogib prihodnjim ‚lažnim‘ zadetkom, dokler s tem povezani podatki niso izbrisani v skladu z odstavkom 4 tega člena.“

32 Člen 13 Direktive o PNR, naslovljen „Varstvo osebnih podatkov“, v odstavkih od 1 do 5 določa:

„1. Vsaka država članica pri vsakršni obdelavi osebnih podatkov v skladu s to direktivo zagotovi, da ima vsak potnik enako pravico do varstva svojih osebnih podatkov, pravice do dostopa, popravka, izbrisa in omejitve in pravici do odškodnine in do sodnega varstva, kot so določene v pravu Unije in nacionalnem pravu ter za izvajanje členov 17, 18, 19 in 20 Okvirnega sklepa [2008/977]. Navedeni členi se torej uporabljajo.

2. Vsaka država članica zagotovi, da se določbe v nacionalnem pravu, ki so sprejete za izvajanje členov 21 in 22 Okvirnega sklepa [2008/977] glede zaupnosti obdelave in varnosti podatkov, uporabljajo tudi za vsako obdelavo osebnih podatkov v skladu s to direktivo.

3. Ta direktiva ne posega v uporabo Direktive [95/46] za obdelavo osebnih podatkov s strani letalskih prevoznikov, zlasti v njihovo obveznost za sprejetje ustreznih tehničnih in organizacijskih ukrepov za zaščito varnosti in zaupnosti osebnih podatkov.

4. Države članice prepovejo obdelavo podatkov PNR, ki razkrivajo raso ali etnično poreklo osebe, njena politična mnenja, versko ali filozofsko prepričanje, članstvo v sindikatu, zdravstveno stanje, spolno življenje ali spolno usmerjenost. Če enota za informacije o potnikih prejme podatke PNR, ki razkrivajo takšne informacije, se takoj izbrišejo.

5. Države članice zagotovijo, da enote za informacije o potnikih hranijo dokumentacijo glede vseh sistemov in postopkov obdelave, za katere so pristojne. Ta dokumentacija vsebuje vsaj:

(a) ime in kontaktne podatke organizacije in osebja v enoti za informacije o potnikih, ki je zadolžena za obdelavo podatkov PNR, in informacije o različnih stopnjah pooblastil za dostop;

(b) zaprosila pristojnih organov in enot za informacije o potnikih iz drugih držav članic;

(c) vsa zaprosila za prenose podatkov PNR tretji državi in vse takšne prenose.

Enota za informacije o potnikih na zahtevo da tako dokumentacijo na voljo nacionalnemu nadzornemu organu.“

33 Člen 15 te direktive, naslovljen „Nacionalni nadzorni organ“, določa:

„1. Vsaka država članica zagotovi, da je nacionalni nadzorni organ iz člena 25 Okvirnega sklepa [2008/977] na ozemlju svoje države članice pristojen za svetovanje glede uporabe predpisov, ki so jih države članice sprejele na podlagi te direktive, in za spremljanje takšne uporabe. Uporablja se člen 25 Okvirnega sklepa [2008/977].

2. Ti nacionalni nadzorni organi opravljajo dejavnosti iz odstavka 1 tako, da se pri obdelavi osebnih podatkov zaščitijo temeljne pravice.

3. Vsak nacionalni nadzorni organ:

(a) obravnava prijave oziroma pritožbe, ki jih vloži posameznik, na katerega se podatki nanašajo, razišče zadevo, in posameznike, na katere se podatki nanašajo, v razumnem roku obvesti o stanju zadeve in odločitvi o njihovih prijavah oziroma pritožbah;

(b) preverja zakonitost obdelave podatkov, izvaja preiskave, preglede in revizije v skladu z nacionalnim pravom, in sicer na lastno pobudo ali na podlagi prijave oziroma pritožbe iz točke (a).

4. Vsak nacionalni nadzorni organ posamezniku, na katerega se podatki nanašajo, na zahtevo svetuje glede uveljavljanja pravic iz določb, sprejetih na podlagi te direktive.“

34 Člen 19 navedene direktive, naslovljen „Pregled“, določa:

„1. Komisija na podlagi informacij, ki jih zagotovijo države članice, vključno s statističnimi informacijami iz člena 20(2), do 25. maja 2020 opravi pregled vseh elementov te direktive ter predloži in predstavi poročilo Evropskemu parlamentu in Svetu [Evropske unije].

2. Komisija v okviru pregleda posebno pozornost nameni:

(a) spoštovanju veljavnih standardov varstva osebnih podatkov;

(b) nujnosti in sorazmernosti zbiranja in obdelave podatkov PNR za vsakega od namenov, določenih v tej direktivi;

(c) trajanju obdobja hrambe podatkov;

(d) učinkovitosti izmenjave informacij med državami članicami in

(e) kakovosti ocenjevanj, vključno glede statističnih informacij, zbranih v skladu s členom 20.

3. Poročilo iz odstavka 1 vključuje tudi pregled nujnosti, sorazmernosti in učinkovitosti vključitve obveznega zbiranja in prenosa podatkov PNR o vseh ali določenih letih znotraj EU v področje uporabe te direktive. Komisija pri tem upošteva izkušnje, ki so jih pridobile države članice, zlasti tiste, ki uporabljajo to direktivo za lete znotraj EU v skladu s členom 2. V poročilu preuči tudi potrebo po vključitvi gospodarskih subjektov, ki niso letalski prevozniki, kot so potovalne agencije in organizatorji potovanj, ki nudijo s potovanji povezane storitve, vključno z rezervacijami letov, v področje uporabe te direktive.

4. Komisija na podlagi pregleda, izvedenega na podlagi tega člena, Evropskemu parlamentu in Svetu po potrebi predloži zakonodajni predlog za spremembo te direktive.“

35 Člen 21 te direktive, naslovljen „Razmerje do drugih instrumentov“, v odstavku 2 določa:

„Ta direktiva ne posega v uporabo Direktive [95/46] glede obdelave osebnih podatkov s strani letalskih prevoznikov.“

36 V Prilogi I k Direktivi o PNR, naslovljeni „Podatki iz evidence podatkov o potnikih, kolikor jih zbirajo letalski prevozniki“, je med drugim navedeno:

„1. Koda lokatorja evidence PNR

2. Datum rezervacije/izdaje vozovnice

3. Predvideni datum(-i) potovanja

4. Ime(-na)

5. Naslov in kontaktni podatki (telefonska številka, naslov elektronske pošte)

6. Vsi podatki o načinu plačila, vključno z naslovom za izstavitev računa

7. Popoln načrt potovanja za posamezen PNR

8. Informacije v zvezi s programi za pogoste potnike

9. Potovalna agencija/potovalni agent

10. Potovalni status potnika, vključno s potrditvami, prijavo na let, informacijami o neizkoriščenih in neodpovedanih rezervacijah ter informacijami o vozovnicah brez rezervacije

11. Razdeljene/ločene informacije PNR

12. Splošne opombe (vključno z vsemi razpoložljivimi informacijami o mladoletnikih brez spremstva, mlajših od 18 let, kot so ime in spol, starost, znanje jezikov, ime in kontaktni podatki skrbnika pri odhodu ter sorodstveno razmerje z mladoletnikom, ime in kontaktni podatki skrbnika pri prihodu in sorodstveno razmerje z mladoletnikom, podatki o zastopniku ob odhodu in prihodu)

13. Informacije na vozovnici, vključno s številko vozovnice, datumom izdaje vozovnice, enosmernimi vozovnicami in podatki ATFQ (automated ticket fare quote)

14. Številka sedeža in druge informacije v zvezi s sedežem

15. Informacije o letih pod skupno oznako

16. Vse informacije o prtljagi

17. Število potnikov in njihova druga imena v PNR

18. Vse zbrane predhodne podatke o potnikih (API) (vključno z vrsto, številko, državo izdaje in datumom izteka veljavnosti osebnega dokumenta, državljanstvom, priimkom, imenom, spolom, datumom rojstva, letalskim prevoznikom, številko leta, datumom odhoda, datumom prihoda, letališčem odhoda, letališčem prihoda, časom odhoda in časom prihoda)

19. Vse pretekle spremembe v PNR iz točk 1 do 18.“

37 Priloga II k tej direktivi, naslovljena „Seznam kaznivih dejanj iz točke (9) člena 3“, določa:

„1. Sodelovanje v hudodelski združbi,

2. trgovina z ljudmi,

3. spolno izkoriščanje otrok in otroška pornografija,

4. nedovoljena trgovina z mamili in psihotropnimi snovmi,

5. nedovoljena trgovina z orožjem, strelivom in razstrelivi,

6. korupcija,

7. goljufija, vključno z goljufijo, ki škoduje finančnim interesom Unije,

8. pranje premoženjske koristi, pridobljene s kaznivim dejanjem, in ponarejanje denarja, vključno z eurom,

9. računalniška kriminaliteta/kibernetska kriminaliteta,

10. kazniva dejanja zoper okolje, vključno z nedovoljeno trgovino z ogroženimi živalskimi vrstami ter ogroženimi rastlinskimi vrstami in sortami,

11. pomoč pri nezakonitem vstopu v državo in bivanju v njej,

12. umor, huda telesna poškodba,

13. nedovoljena trgovina s človeškimi organi in tkivi,

14. ugrabitev, protipraven odvzem prostosti in jemanje talcev,

15. organiziran in oborožen rop,

16. nedovoljena trgovina s kulturnimi dobrinami, vključno s starinami in umetniškimi deli,

17. ponarejanje in piratstvo izdelkov,

18. ponarejanje uradnih listin in promet z njimi,

19. nedovoljena trgovina s hormonskimi snovmi in drugimi pospeševalci rasti,

20. nedovoljena trgovina z jedrskimi ali radioaktivnimi snovmi,

21. posilstvo,

22. kazniva dejanja v pristojnosti Mednarodnega kazenskega sodišča,

23. ugrabitev letala/plovila,

24. sabotaža,

25. trgovina z ukradenimi vozili,

26. industrijsko vohunjenje.“

7. Okvirni sklep 2002/475

38 V členu 1 Okvirnega sklepa 2002/475 je bil pojem „teroristično kaznivo dejanje“ opredeljen z naštetjem vrste namernih dejanj iz točk od (a) do (i) tega člena, ki so bila storjena z namenom, „da bi resno zastraševala prebivalstvo“ ali „nezakonito izsiljevala vlado ali mednarodno organizacijo, da izvede ali opusti kakršno koli dejanje,“ ali „da bi resno rušila ali uničevala temeljne politične, ustavne, gospodarske ali socialne strukture države ali mednarodne organizacije“. V členih 2 in 3 tega okvirnega sklepa sta bila opredeljena pojma „kazniva dejanja v povezavi s teroristično skupino“ in „kazniva dejanja, povezana s terorističnimi dejavnostmi“. Člen 4 navedenega okvirnega sklepa je urejal inkriminacijo spodbujanja in pomoči oziroma podpore pri teh kaznivih dejanjih ter poskusa njihove storitve.

39 Okvirni sklep 2002/475 je bil razveljavljen z Direktivo (EU) 2017/541 Evropskega parlamenta in Sveta z dne 15. marca 2017 o boju proti terorizmu in nadomestitvi Okvirnega sklepa Sveta 2002/475/PNZ ter o spremembi Sklepa Sveta 2005/671/PNZ (UL 2017, L 88, str. 6), katere členi od 3 do 14 vsebujejo podobne opredelitve.

B. Belgijsko pravo

1. Ustava

40 Člen 22 Constitution (ustava) določa:

„Vsakdo ima pravico do spoštovanja njegovega zasebnega in družinskega življenja, razen v primerih in pod pogoji, določenimi z zakonom.

Zakon, dekret ali pravilo iz člena 134 zagotavljajo varstvo te pravice.“

2. Zakon z dne 25. decembra 2016

41 Člen 2 loi du 25 décembre 2016 relative au traitement des données des passagers (zakon z dne 25. decembra 2016 o obdelavi podatkov o potnikih) (Moniteur belge z dne 25. januarja 2017, str. 12905, v nadaljevanju: zakon z dne 25. decembra 2016) določa:

„S tem zakonom in kraljevimi odloki, ki se sprejmejo na podlagi tega zakona, se prenašata [Direktiva o API] in [Direktiva o PNR]. S tem zakonom in kraljevim odlokom, ki se nanaša na pomorski sektor, se delno prenaša Direktiva [2010/65].“

42 Člen 3 tega zakona določa:

„1. Ta zakon določa obveznosti prevoznikov in potovalnih agencij v zvezi s pošiljanjem podatkov o potnikih, ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega.

2. Kralj z odlokom, ki ga obravnava svet ministrov, za vsak sektor prevoza in potovalne agencije določi podatke o potnikih, ki se pošljejo, in podrobna pravila njihovega pošiljanja, in sicer po posvetovanju s Commission de la protection de la vie privée (komisija za varstvo zasebnosti).“

43 Člen 4 navedenega zakona določa:

„Pri uporabi tega zakona in njegovih izvedbenih odlokov se uporabljajo naslednje opredelitve pojmov:

[…]

(8) ,pristojne službe‘: službe v skladu s členom 14(1), točka 2;

(9) ,PNR‘: zapis zahtevanih podatkov o potovanju vsakega potnika, ki vsebuje potrebne informacije iz člena 9, da lahko letalski prevozniki in potovalne agencije, ki zagotavljajo rezervacije, obdelujejo in nadzorujejo rezervacije za vsako potovanje, ki ga rezervira posamezna oseba ali se rezervira v njenem imenu, ne glede na to, ali je ta zapis sestavni del sistema rezervacij, sistema za nadzor odhodov (ki se uporablja za nadzor nad prijavo potnikov na let) ali enakovrednih sistemov, ki zagotavljajo enake funkcije;

(10) ‚potnik‘: pomeni vsako osebo – tudi potnike v tranzitu in potnike, ki prestopajo, vendar ne članov posadke – ki ga prevaža ali ga bo prevažal prevoznik s privolitvijo tega prevoznika, pri čemer se takšno soglasje izrazi z registracijo te osebe na seznamu potnikov;

[…]“.

44 Člen 8 zakona z dne 25. decembra 2016 določa:

„1. Podatki o potnikih se obdelujejo za te namene:

(1) preiskovanje in pregon, vključno z izvrševanjem kazni ali ukrepov omejitve prostosti, v zvezi s kaznivimi dejanji iz člena 90b(2), točke 2, […] 7, […] 8, […] 11, […] 14, […] 17, 18, 19, ter (3) Code d’instruction criminelle (zakonik o kazenskem postopku);

(2) preiskovanje in pregon, vključno z izvrševanjem kazni ali ukrepov omejitve prostosti, v zvezi s kaznivimi dejanji iz člena 196 za kazniva dejanja ponarejanja javnih listin ter členov 198, 199, 199a, 207, 213, 375 in 505 Code pénal (kazenski zakonik);

[…]

(4) spremljanje dejavnosti iz členov 7, točki 1 in 3/l, ter 11(1), točke od 1 do 3 in 5, loi du 30 novembre 1998 organique des services de renseignement et de sécurité (organski zakon z dne 30. novembra 1998 o obveščevalno- varnostnih službah);

(5) preiskovanje in pregon v zvezi s kaznivimi dejanji iz člena 220(2) loi générale sur les douanes et accises du 18 juillet 1977 (splošni zakon o carinah in trošarinah z dne 18. julija 1977) in člena 45, tretji odstavek, loi du 22 décembre 2009 relative au régime général d’accise (zakon z dne 22. decembra 2009 o splošnem trošarinskem sistemu) […].

2. Pod pogoji iz poglavja 11 se podatki o potnikih obdelujejo tudi za izboljšanje kontrole oseb na zunanjih mejah in boj proti nezakonitemu priseljevanju.“

45 Člen 14(1) tega zakona določa:

„Enoto za informacije o potnikih sestavljajo:

[…]

(2) člani, ki jih napotijo te pristojne službe:

(a) policija iz loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux (zakon z dne 7. decembra 1998 o organizaciji integrirane policije, strukturirane na dveh ravneh);

(b) služba državne varnosti iz organski zakona z dne 30. novembra 1998 o obveščevalnih in varnostnih službah;

(c) splošna obveščevalno-varnostna služba iz organskega zakona z dne 30. novembra 1998 o obveščevalnih in varnostnih službah;

[…]“.

46 Člen 24 navedenega zakona, ki je v oddelku 1, naslovljenem „Obdelava podatkov o potnikih v okviru predhodnega ocenjevanja podatkov“, iz poglavja 10 tega zakona, ki se nanaša na obdelavo podatkov, določa:

„1. Podatki o potnikih se obdelujejo za izvajanje predhodnega ocenjevanja potnikov pred njihovim predvidenim prihodom na nacionalno ozemlje, odhodom z njega ali tranzitom prek njega, da se ugotovi, katere osebe je treba temeljiteje pregledati.

2. V okviru namenov iz člena 8(1), točke 1, 4 in 5, ali v zvezi z grožnjami, navedenimi v členih 8(1)(a), (b), (c), (d), (f) in (g) ter 11(2) organskega zakona z dne 30. novembra 1998 o obveščevalno-varnostnih službah predhodno ocenjevanje potnikov temelji na zadetku, ki izhaja iz ujemanja podatkov o potnikih z:

(1) podatkovnimi zbirkami, ki jih upravljajo pristojne službe ali ki so jim neposredno na voljo ali dostopne v okviru njihovih nalog, ali seznami oseb, ki jih pristojne službe pripravijo v okviru svojih nalog;

(2) merili za ocenjevanje, ki jih vnaprej določi enota za informacije o potnikih in so navedena v členu 25.

3. V okviru namenov iz člena 8(1), točka 3, predhodno ocenjevanje potnikov temelji na zadetku, ki izhaja iz ujemanja podatkov o potnikih s podatkovnimi zbirkami iz odstavka 2, točka 1.

4. Zadetek potrdi enota za informacije o potnikih v 24 urah po prejetju avtomatiziranega obvestila o zadetku.

5. Od trenutka te potrditve pristojna služba, ki je ta zadetek identificirala, brez odlašanja ustrezno ukrepa.“

47 Poglavje 11 zakona z dne 25. decembra 2016, naslovljeno „Obdelava podatkov o potnikih za izboljšanje mejne kontrole in boj proti nezakonitemu priseljevanju“, vsebuje člene od 28 do 31 tega zakona.

48 Člen 28 tega zakona določa:

„1. To poglavje se uporablja za obdelavo podatkov o potnikih, ki jo izvajajo policijske službe, pristojne za mejno kontrolo, in Office des étrangers (urad za tujce) za izboljšanje kontrole oseb na zunanjih mejah in boj proti nezakonitemu priseljevanju.

2. To poglavje se uporablja brez poseganja v obveznosti policijskih služb, pristojnih za mejno kontrolo, in urada za tujce glede pošiljanja osebnih podatkov ali informacij na podlagi zakonskih ali drugih predpisov.“

49 Člen 29 navedenega zakona določa:

„1. Za namene iz člena 28(1) se podatki o potnikih pošljejo policijskim službam, pristojnim za mejno kontrolo, in uradu za tujce, da se jim omogoči izvajanje njihovih zakonskih nalog v mejah, določenih v tem členu.

2. Pošljejo se samo podatki o potnikih iz člena 9(1), točka 18, ki se nanašajo na te kategorije potnikov:

(1) potniki, ki nameravajo vstopiti ali so vstopili na ozemlje prek zunanjih meja Belgije;

(2) potniki, ki nameravajo zapustiti ali so zapustili ozemlje prek zunanjih meja Belgije;

(3) potniki, ki nameravajo potovati prek mednarodnega tranzitnega območja v Belgiji, ki so na takem območju ali so potovali prek takega območja.

3. Podatki o potnikih iz odstavka 2 se pošljejo policijskim službam, pristojnim za kontrolo na zunanjih mejah Belgije, takoj po njihovem vpisu v podatkovno zbirko o potnikih. Te službe te podatke hranijo v začasni datoteki in jih uničijo v 24 urah po njihovem pošiljanju.

4. Če je to potrebno za izvajanje njegovih nalog, določenih z zakonom, se podatki o potnikih iz odstavka 2 uradu za tujce pošljejo takoj po njihovem vnosu v podatkovno zbirko o potnikih. Urad te podatke hrani v začasni datoteki in jih uniči v 24 urah po njihovem pošiljanju.

Če je po izteku tega obdobja dostop do podatkov o potnikih iz odstavka 2 potreben v okviru izvajanja nalog urada za tujce, določenih z zakonom, ta na enoto za informacije o potnikih naslovi ustrezno obrazloženo zahtevo.

[…]“.

50 Zakon z dne 25. decembra 2016 se je z arrêté royal du 18 juillet 2017 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les compagnies aériennes (kraljevi odlok z dne 18. julija 2017 o izvajanju zakona z dne 25. decembra 2016, ki določa obveznosti letalskih prevoznikov, Moniteur belge z dne 28. julija 2017, str. 75934), arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs HST et distributeurs de tickets HST (kraljevi odlok z dne 3. februarja 2019 o izvajanju zakona z dne 25. decembra 2016, ki določa obveznosti za prevoznike HST in distributerje vozovnic za HST, Moniteur belge z dne 12. februarja 2019, str. 13018), oziroma z arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs par bus (kraljevi odlok z dne 3. februarja 2019 o izvajanju zakona z dne 25. decembra 2016, ki določa obveznosti za avtobusne prevoznike, Moniteur belge z dne 12. februarja 2019, str. 13023), začel uporabljati za letalske prevoznike, prevoznike, ki opravljajo mednarodni prevoz potnikov (prevozniki HST), in potovalne posrednike, ki imajo sklenjeno pogodbo s temi prevozniki (distributerji vozovnic za HST), ter za avtobusne prevoznike.

II. Spor o glavni stvari in vprašanja za predhodno odločanje

51 Združenje Ligue des droits humains je pri Cour constitutionnelle (ustavno sodišče, Belgija) vložilo tožbo z dne 24. julija 2017 za razglasitev ničnosti – v celoti ali delno – zakona z dne 25. decembra 2016.

52 Predložitveno sodišče navaja, da so s tem zakonom v nacionalno pravo prenesene Direktiva o PNR in Direktiva o API ter deloma Direktiva 2010/65. Iz pripravljalnih dokumentov za navedeni zakon naj bi bilo razvidno, da je namen tega zakona „vzpostaviti pravni okvir, s katerim se različnim sektorjem mednarodnega prevoza oseb (zračni, železniški, mednarodni cesti in pomorski) in potovalnim agencijam naloži, da podatke o svojih potnikih pošiljajo v podatkovno zbirko, ki jo upravlja [Service public fédéral intérieur (ministrstvo za notranje zadeve, Belgija)]“. Nacionalni zakonodajalec naj bi tudi pojasnil, da cilji zakona z dne 25. decembra 2016 spadajo v tri kategorije, in sicer, prvič, preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, drugič, naloge obveščevalno-varnostnih služb, in tretjič, izboljšanje kontrole na zunanjih mejah in boj proti nezakonitemu priseljevanju.

53 Združenje Ligue des droits humains v utemeljitev tožbe navaja dva tožbena razloga, od katerih se prvi nanaša na kršitev člena 22 ustave v povezavi s členom 23 SUVP, členoma 7, 8 in členom 52(1) Listine ter členom 8 EKČP, drugi pa, podredno, na kršitev tega člena 22 v povezavi s členom 3(2) PEU in členom 45 Listine.

54 Združenje Ligue des droits humains s prvim tožbenim razlogom v bistvu trdi, da ta zakon pomeni poseganje v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki ni v skladu s členom 52(1) Listine in zlasti z načelom sorazmernosti. Področje uporabe navedenega zakona in opredelitev zbranih podatkov, ki bi lahko razkrili občutljive informacije, naj bi bila namreč preširoka. Prav tako naj bi pojem „potnik“ v smislu tega zakona omogočal neciljno sistematično in avtomatizirano obdelavo podatkov o vseh potnikih. Poleg tega naj narava in podrobna pravila metode prescreening in podatkovnih zbirk, s katerimi se ti podatki primerjajo, po pošiljanju ne bi bili dovolj jasno določeni. Ravno tako naj bi bili cilji zakona z dne 25. decembra 2016 drugačni od ciljev Direktive o PNR. Nazadnje, petletni rok, ki ga ta zakon določa za hrambo navedenih podatkov, naj bi bil nesorazmeren.

55 Združenje Ligue des droits humains z drugim tožbenim razlogom, ki se nanaša na člen 3(1), člen 8(2) in člene od 28 do 31 zakona z dne 25. decembra 2016, trdi, da se s temi določbami – zaradi širitve sistema iz Direktive o PNR na prevoze znotraj EU – posredno ponovno vzpostavlja kontrola na notranjih mejah, kar naj bi bilo v nasprotju s prostim gibanjem oseb. Kadar je oseba na belgijskem ozemlju, naj bo to ob prihodu, odhodu ali med postankom, naj bi se njeni podatki namreč zbrali avtomatsko.

56 Svet ministrov te trditve prereka. Natančneje, svet ministrov meni, da prvi tožbeni razlog ni dopusten v delu, v katerem se nanaša na SUVP, ki naj se ne bi uporabljala za zakon z dne 25. decembra 2016. Poleg tega naj bi bila obdelava podatkov, ki jo ta zakon določa, v skladu z Direktivo o PNR bistveno orodje v okviru, med drugim, boja proti terorizmu in hudim kaznivim dejanjem, ukrepi, ki izhajajo iz navedenega zakona, pa naj bi bili nujni za uresničevanje zasledovanih ciljev in sorazmerni.

57 V zvezi s prvim tožbenim razlogom se predložitveno sodišče najprej sprašuje, ali se varstvo, določeno s SUVP, uporablja za obdelave podatkov, uvedene z zakonom z dne 25. decembra 2016, s katerim se prenaša predvsem Direktiva o PNR. Dalje, navedeno sodišče ob sklicevanju na sodno prakso, ki izhaja iz mnenja 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592), navaja, da opredelitev podatkov PNR iz člena 3, točka 5, in Priloge I k tej direktivi morda, prvič, ni dovolj jasna in natančna, ker opis nekaterih od teh podatkov v teh določbah ni izčrpen, in drugič, posredno vodi do razkritja občutljivih podatkov. Poleg tega bi lahko opredelitev pojma „potnik“ iz člena 3, točka 4, navedene direktive povzročila, da so zbiranje, prenos, obdelava in hramba podatkov PNR splošne in neselektivne obveznosti, ki se uporabljajo za vse osebe, ki se prevažajo ali se bodo prevažale in so vpisane na seznam potnikov, ne glede na obstoj utemeljenih razlogov za sum, da je zadevna oseba storila kaznivo dejanje ali ga namerava storiti ali je bila spoznana za krivo kaznivega dejanja.

58 Navedeno sodišče še opozarja, da so podatki PNR v skladu z določbami Direktive o PNR sistematično predmet predhodnega ocenjevanja, ki vključuje navzkrižno preverjanje s podatkovnimi zbirkami ali vnaprej določenimi merili, da se ugotovijo ujemanja. Posvetovalni odbor iz Konvencije št. 108 Sveta Evrope pa naj bi v mnenju z dne 19. avgusta 2016 o posledicah obdelave podatkov o potnikih za varstvo podatkov (T-PD (2016) 18rev) navedel, da se obdelave osebnih podatkov nanašajo na vse potnike in ne le na ciljne posameznike, osumljene, da so sodelovali pri kaznivem dejanju ali da pomenijo neposredno grožnjo za nacionalno varnost ali javni red, in da se podatki PNR lahko ne le primerjajo (data matching) s podatkovnimi zbirkami, temveč tudi obdelujejo s podatkovnim rudarjenjem (data mining) s pomočjo izbirnikov ali napovednih algoritmov, da bi se identificirale osebe, ki bi lahko bile vpletene ali sodelovale v kriminalnih dejavnostih, pri čemer lahko takšna ocena potnikov s pomočjo ujemanja podatkov sproži vprašanje predvidljivosti, zlasti če deluje na podlagi napovednih algoritmov z uporabo dinamičnih meril, ki se lahko nenehno razvijajo v skladu s svojimi sposobnostmi samoučenja. V tem okviru predložitveno sodišče ugotavlja, da morajo biti vnaprej določena merila za ugotavljanje tveganih profilov v skladu z mnenjem 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592) sicer specifična, zanesljiva in nediskriminatorna, vendar se zdi tehnično nemogoče ta merila še natančneje opredeliti.

59 V zvezi s petletnim rokom hrambe in dostopom do podatkov, določenima v členu 12 Direktive o PNR, navedeno sodišče navaja, da je Commission de la protection de la vie privée (komisija za varstvo zasebnosti, Belgija) v mnenju na lastno pobudo št. 01/2010 z dne 13. januarja 2010 o osnutku zakona o potrditvi Sporazuma PNR med EU in Združenimi državami Amerike menila, da če je obdobje hrambe dolgotrajno in če se podatki shranjujejo množično, se tveganje oblikovanja profilov zadevnih oseb – kot tudi tveganje zlorabe uporabe teh podatkov za namene, ki niso bili prvotno predvideni – poveča. Poleg tega naj bi iz mnenja posvetovalnega odbora iz Konvencije št. 108 Sveta Evrope z dne 19. avgusta 2016 izhajalo, da zakriti podatki še vedno omogočajo identifikacijo oseb in tako ostajajo osebni podatki in da mora biti njihova hramba časovno omejena, da se prepreči splošen in stalen nadzor.

60 V teh okoliščinah se predložitveno sodišče ob upoštevanju sodne prakse, ki izhaja zlasti iz mnenja 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592), sprašuje, ali se lahko šteje, da sistem zbiranja, prenosa, obdelave in hrambe podatkov PNR, vzpostavljen z Direktivo o PNR, upošteva meje tega, kar je nujno potrebno. Navedeno sodišče meni, da je treba tudi ugotoviti, ali ta direktiva nasprotuje nacionalni zakonodaji, ki dovoljuje obdelavo podatkov PNR za namen, ki ni tisti, ki jih določa navedena direktiva, in ali bi lahko nacionalni organ, kot je enota za informacije o potnikih, ustanovljen z zakonom z dne 25. decembra 2016, odobril razkritje teh popolnih podatkov po njihovi depersonalizaciji v skladu s členom 12 te direktive.

61 V zvezi z drugim tožbenim razlogom predložitveno sodišče navaja, da člen 3(1) tega zakona določa obveznosti prevoznikov in potovalnih agencij v zvezi s pošiljanjem podatkov o potnikih, „ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega“. Navedeno sodišče v zvezi s področjem uporabe navedenega zakona dodaja, da se je nacionalni zakonodajalec odločil za „vključitev potovanj znotraj EU v zbiranje podatkov“, da bi dobil „popolnejši pregled nad gibanjem potnikov, ki pomenijo morebitno grožnjo za varnost v Uniji in nacionalno varnost“, kot določa člen 2 Direktive o PNR v povezavi z uvodno izjavo 10 te direktive za lete znotraj Unije. Navedeno sodišče pojasnjuje tudi, da se je komisija za varstvo zasebnosti v mnenju št. 55/2015 z dne 16. decembra 2015 o osnutku zakona z dne 25. decembra 2016 spraševala o morebitnem nasprotju med belgijskim sistemom PNR in načelom prostega gibanja oseb, ker ta sistem vključuje prevoze, opravljene znotraj Unije.

62 V teh okoliščinah je Cour constitutionnelle (ustavno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

„1. Ali je treba člen 23 [SUVP] v povezavi s členom 2(2)(d) navedene uredbe razlagati tako, da se uporablja za nacionalno zakonodajo, kot je zakon [z dne 25. decembra 2016], s katerim so prenesene Direktiva [o PNR], Direktiva [o API] ter Direktiva [2010/65]?

2. Ali je Priloga I [Direktive o PNR] združljiva s členi 7, 8 in 52(1) [Listine] glede na to, da so podatki, našteti v njej, zelo obširni – zlasti podatki iz točke 18 Priloge I [te direktive], ki presegajo podatke iz člena 3(2) Direktive [o API] – in glede na to, da bi lahko ti podatki, upoštevani skupaj, razkrili občutljive podatke in s tem kršili meje ,nujno potrebnega‘?

3. Ali sta točki 12 in 18 Priloge I [Direktive o PNR] združljivi s členi 7, 8 in 52(1) [Listine] glede na to, da so ob upoštevanju izraza ,vključno‘ podatki, na katere se nanašata, navedeni primeroma in ne izčrpno, tako da se ne spoštuje zahteva po natančnosti in jasnosti pravil, s katerimi se posega v pravico do spoštovanja zasebnega življenja in pravico do varstva osebnih podatkov?

4. Ali sta člen 3, točka 4, Direktive [o PNR] in Priloga I [te direktive] združljiva s členi 7, 8 in 52(1) [Listine] glede na to, da se sistem splošnega zbiranja, pošiljanja in obdelave podatkov o potnikih, ki ga ti določbi uvajata, nanaša na vsako osebo, ki uporabi zadevni način prevoza, ne glede na kakršen koli objektiven element, zaradi katerega bi se lahko štelo, da ta oseba lahko pomeni tveganje za javno varnost?

5. Ali je treba člen 6 Direktive [o PNR] v povezavi s členi 7, 8 in 52(1) [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki kot namen obdelave podatkov iz PNR priznava spremljanje zadevnih dejavnosti obveščevalno-varnostnih služb ter s tem ta namen vključuje v preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj?

6. Ali je člen 6 Direktive [o PNR] združljiv s členi 7, 8 in 52(1) [Listine] glede na to, da se predhodno ocenjevanje, ki ga ureja, s povezovanjem z zbirkami podatkov in na podlagi vnaprej določenih meril sistematično in splošno uporablja za podatke o potnikih, ne glede na kakršen koli objektiven element, zaradi katerega bi se lahko štelo, da ti potniki lahko pomenijo tveganje za javno varnost?

7. Ali je mogoče pojem ,drug pristojen nacionalni organ‘ iz člena 12(3) Direktive [o PNR] razlagati tako, da se nanaša na enoto za informacije o potnikih, ustanovljeno z zakonom [z dne 25. decembra 2016], ki lahko zato dovoli dostop do podatkov iz PNR po izteku šestmesečnega obdobja v okviru posameznih poizvedb?

8. Ali je treba člen 12 Direktive [o PNR] v povezavi s členi 7, 8 in 52(1) [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki določa splošno petletno obdobje hrambe podatkov ne glede na to, ali se za zadevne potnike v okviru predhodnega ocenjevanja izkaže, da lahko pomenijo tveganje za javno varnost?

9. (a) Ali je Direktiva [o API] združljiva s členom 3(2) [PEU] in členom 45 [Listine] glede na to, da se obveznosti, ki jih uvaja, uporabljajo za lete znotraj Evropske unije?

(b) Ali je treba Direktivo [o API] v povezavi s členom 3(2) [PEU] in členom 45 [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki za boj proti nezakonitemu priseljevanju in izboljšanje nadzora na mejah dovoljuje sistem zbiranja in obdelave podatkov o potnikih, ,ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega‘, kar bi lahko posredno pomenilo ponovno vzpostavitev nadzora na notranjih mejah?

10. Ali lahko Cour constitutionnelle (ustavno sodišče), če bi na podlagi odgovorov na navedena vprašanja za predhodno odločanje ugotovilo, da se z izpodbijanim zakonom, s katerim je med drugim prenesena Direktiva [o PNR], kršijo ena ali več obveznosti, ki izhajajo iz določb, omenjenih v teh vprašanjih, odloči, da se učinki zakona [z dne 25. decembra 2016] začasno ohranijo, da se prepreči pravna negotovost in da se omogoči, da se lahko prej zbrani in ohranjeni podatki še uporabljajo za cilje iz zakona?“

III. Vprašanja za predhodno odločanje

A. Prvo vprašanje

63 Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 2(2)(d) in člen 23 SUVP razlagati tako, da se ta uredba uporablja za obdelave osebnih podatkov, določene z nacionalno zakonodajo, katere namen je v nacionalno pravo prenesti hkrati določbe Direktive o PNR, Direktive o API in Direktive 2010/65, zlasti za prenos, hrambo in obdelavo podatkov PNR.

64 Kot izhaja iz člena 2(1) SUVP, se ta uredba uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke. Pojem „obdelava“ je v členu 4, točka 2, navedene uredbe opredeljen široko, tako da med drugim vključuje zbiranje, beleženje, shranjevanje, vpogled, uporabo, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali izbris takih podatkov ali nizov podatkov.

65 Belgijska vlada pa trdi, da prenos podatkov PNR s strani gospodarskih subjektov enoti za informacije o potnikih za namene preprečevanja in odkrivanje kaznivih dejanj, kot je določen v členu 1(1)(a), členu 1(2) in členu 8 Direktive o PNR, ki pomeni „obdelavo“ osebnih podatkov v smislu člena 4, točka 2, SUVP – tako kot njihovo predhodno zbiranje – ne spada na področje uporabe te uredbe na podlagi člena 2(2)(d) navedene uredbe, ker naj bi bilo mogoče za to določbo navedene uredbe uporabiti sodno prakso, ki izhaja iz sodbe z dne 30. maja 2006, Parlament/Svet in Komisija (C‑317/04 in C‑318/04, EU:C:2006:346, točke od 57 do 59), ki se nanaša na člen 3(2), prva alinea, Direktive 95/46.

66 V zvezi s tem je res, kot je Sodišče že ugotovilo, da so s členom 3(2), prva alinea, Direktive 95/46, ki je bila z učinkom od 25. maja 2018 razveljavljena in nadomeščena s SUVP, z njenega področja uporabe na splošno izključeni „postopk[i] obdelave v zvezi z javno varnostjo, obrambo [in] državno varnostjo“, brez razlikovanja glede na to, kdo izvaja zadevno obdelavo podatkov. Tako so lahko obdelave, ki jih izvajajo zasebni subjekti in izhajajo iz obveznosti, ki so jim jih naložili javni organi, kadar je bilo to primerno, spadale na področje uporabe izjeme iz določbe glede na to, da so bili v formulacijo te določbe zajeti vsi postopki obdelave v zvezi z javno varnostjo, obrambo ali državno varnostjo, ne glede na to, kdo jih izvaja (glej v tem smislu sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 101).

67 Vendar je v členu 2(2)(d) SUVP podano tako razlikovanje, saj, kot je generalni pravobranilec navedel v točkah 41 in 46 sklepnih predlogov, iz besedila te določbe jasno izhaja, da je treba izpolniti dva pogoja, da za obdelavo podatkov velja izjema iz te uredbe. Medtem ko se prvi od teh pogojev nanaša na namene obdelave, in sicer preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, se drugi pogoj nanaša na osebo, ki izvaja to obdelavo, in sicer na „pristojni organ“ v smislu navedene določbe.

68 Kot je ugotovilo tudi Sodišče, iz člena 23(1)(d) in (h) SUVP izvaja, da obdelave osebnih podatkov, ki jih posamezniki izvajajo za namene iz člena 2(2)(d) te uredbe, spadajo na njeno področje uporabe (glej v tem smislu sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 102).

69 Iz tega sledi, da sodne prakse, ki izhaja iz sodbe z dne 30. maja 2006, Parlament/Svet in Komisija (C‑317/04 in C‑318/04, EU:C:2006:346), na katero se sklicuje belgijska vlada, ni mogoče uporabiti za izjemo od področja uporabe SUVP iz njenega člena 2(2)(d).

70 Poleg tega je treba to izjemo, tako kot druge izjeme od področja uporabe SUVP, določene v členu 2(2) te uredbe, razlagati ozko.

71 Kot je razvidno iz uvodne izjave 19 navedene uredbe, je navedena izjema utemeljena z okoliščino, da obdelavo osebnih podatkov, ki jo pristojni organi izvajajo med drugim za namene preprečevanja in odkrivanja kaznivih dejanj, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ureja bolj poseben akt Unije, in sicer Direktiva 2016/680, ki je bila sprejeta istega dne kot SUVP (sodba z dne 22. junija 2021, Latvijas Republikas Saeints (Kazenske točke), C‑439/19, EU:C:2021:504, točka 69).

72 Kot je poleg tega pojasnjeno v uvodnih izjavah od 9 do 11 Direktive 2016/680, ta direktiva določa posebna pravila o varstvu posameznikov pri teh obdelavah ob upoštevanju posebnih lastnosti teh dejavnosti na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja, medtem ko SUVP določa splošna pravila o varstvu teh oseb, ki se uporabljajo za navedene obdelave, kadar se bolj poseben akt, kot je Direktiva 2016/680, ne uporablja. Natančneje, v skladu z uvodno izjavo 11 te direktive se SUVP uporablja za obdelavo osebnih podatkov, ki jo izvede „pristojni organ“ v smislu člena 3, točka 7, navedene direktive, vendar za namene, ki so drugačni od namenov iz te direktive (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 70).

73 Glede prvega pogoja iz točke 67 te sodbe in, natančneje, namenov obdelave osebnih podatkov, določenih v Direktivi o PNR, je treba opozoriti, da se v skladu s členom 1(2) te direktive podatki PNR lahko obdelujejo le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj. Ti nameni spadajo med tiste iz člena 2(2)(d) SUVP in člena 1(1) Direktive 2016/680, zaradi česar za take obdelave lahko velja izjema iz člena 2(2)(d) te uredbe in zato lahko spadajo na področje uporabe te direktive.

74 To pa ne velja za obdelave, določene v Direktivi o API in Direktivi 2010/65, katerih nameni so drugačni od tistih iz člena 2(2)(d) SUVP in člena 1(1) Direktive 2016/680.

75 Namen Direktive o API je namreč izboljšanje mejnih kontrol in boja proti nezakonitemu priseljevanju, kot je razvidno iz njenih uvodnih izjav 1, 7 in 9 ter člena 1, z vnaprejšnjim posredovanjem podatkov o potnikih pristojnim nacionalnim organom s strani prevoznikov. Poleg tega je iz več uvodnih izjav in določb te direktive razvidno, da obdelave podatkov, predvidene za njeno izvajanje, spadajo na področje uporabe SUVP. Tako je v uvodni izjavi 12 navedene direktive navedeno, da se „[d]irektiva [95/46] […] uporablja za obdelavo osebnih podatkov s strani organov držav članic“. Poleg tega člen 6(1), peti pododstavek, Direktive o API določa, da lahko države članice uporabijo podatke API tudi za pregon „ob upoštevanju določb o varstvu podatkov po Direktivi [95/46]“, pri čemer je ta izraz uporabljen tudi v tretjem pododstavku te določbe. Prav tako je med drugim v uvodni izjavi 9 Direktive o API uporabljen izraz „brez poseganja v določbe Direktive [95/46]“. Nazadnje, člen 6(2) Direktive o API določa, da morajo prevozniki potnike obvestiti „skladno z določbami Direktive [95/46]“.

76 Glede Direktive 2010/65 je treba navesti, da je iz njene uvodne izjave 2 in člena 1(1) razvidno, da je namen te direktive poenostaviti in harmonizirati upravne postopke, ki se uporabljajo pri pomorskem prevozu, s standardizacijo uporabe elektronskega pošiljanja informacij in racionalizacijo formalnosti poročanja za olajšanje pomorskega prevoza in zmanjšanje upravne obremenitve ladijskih družb. Člen 8(2) navedene direktive pa potrjuje, da obdelave podatkov, predvidene za njeno izvajanje, spadajo na področje uporabe SUVP, saj ta določba državam članicam namreč nalaga, da v zvezi z osebnimi podatki zagotovijo skladnost z Direktivo 95/46.

77 Iz tega sledi, da obdelave podatkov, določene z nacionalno zakonodajo, s katero so v nacionalno pravo prenesene določbe Direktive o API in Direktive 2010/65, spadajo na področje uporabe SUVP. Obdelave podatkov, določene z nacionalno zakonodajo, s katero je v nacionalno pravo prenesena Direktiva o PNR, pa so lahko v skladu z izjemo iz člena 2(2)(d) te uredbe izključene iz uporabe te uredbe, če je izpolnjen drugi pogoj, naveden v točki 67 te sodbe, in sicer da je oseba, ki izvaja obdelave, pristojni organ v smislu zadnjenavedene določbe.

78 V zvezi s tem drugim pogojem je Sodišče razsodilo, da Direktiva 2016/680 v členu 3(7) opredeljuje pojem „pristojni organ“, zato je treba tako opredelitev po analogiji uporabiti za člen 2(2)(d) SUVP (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 69).

79 V skladu s členoma 4 in 7 Direktive o PNR pa mora vsaka država članica imenovati organ, pristojen za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih in hudih kaznivih dejanj, da deluje kot njena enota za informacije o potnikih, oziroma sprejeti seznam pristojnih organov, ki so upravičeni, da enoto za informacije o potnikih zaprosijo za podatke PNR ali rezultate obdelave teh podatkov – ali da jih prejmejo – pri čemer so ti organi prav tako pristojni organi na tem področju, kot je določeno v členu 7(2) navedene direktive.

80 Iz teh elementov je razvidno, da obdelave podatkov PNR, ki jih za take namene izvajajo enota za informacije o potnikih in navedeni pristojni organi, izpolnjujejo pogoja, navedena v točki 67 te sodbe, zaradi česar se za te obdelave poleg določb same Direktive o PNR uporabljajo določbe Direktive 2016/680, in ne SUVP, kar je poleg tega potrjeno z uvodno izjavo 27 Direktive o PNR.

81 Ker pa gospodarski subjekti, kot so letalski prevozniki – tudi če imajo zakonsko obveznost prenosa podatkov PNR – nimajo niti obveznosti izvajanja javne oblasti niti jim ta direktiva ne daje javnih pooblastil, teh gospodarskih subjektov ni mogoče šteti za pristojne organe v smislu člena 3(7) Direktive 2016/680 in člena 2(2)(d) SUVP, zaradi česar zbiranje in prenos teh podatkov enotam za informacije o potnikih s strani letalskih prevoznikov spadata na področje uporabe te uredbe. Enako je treba ugotoviti tudi v primeru, kakršen je določen z zakonom z dne 25. decembra 2016, v katerem zbiranje in prenos navedenih podatkov izvajajo drugi prevozniki ali potovalne agencije.

82 Predložitveno sodišče se nazadnje sprašuje o morebitnem vplivu sprejetja nacionalne zakonodaje za prenos hkrati določb Direktive o PNR, Direktive o API in Direktive 2010/65, kot je zakon z dne 25. decembra 2016. V zvezi s tem je treba spomniti, kot je razvidno iz točk 72 in od 75 do 77 te sodbe, da obdelave podatkov, določene v skladu z zadnjenavedenima direktivama, spadajo na področje uporabe SUVP, ki vsebuje splošna pravila o varstvu posameznikov pri obdelavi osebnih podatkov.

83 Če torej obdelava podatkov, ki se izvaja na podlagi te zakonodaje, spada na področje uporabe Direktive o API in/ali Direktive 2010/65, se za to obdelavo uporablja SUVP. Enako velja za obdelavo podatkov, ki se izvaja na isti podlagi in glede na svoj namen – poleg tega, da spada na področje uporabe Direktive o PNR – spada tudi na področje uporabe Direktive o API in/ali Direktive 2010/65. Nazadnje, če obdelava podatkov, ki se izvaja na podlagi iste zakonodaje, glede na svoj namen spada le na področje uporabe Direktive o PNR, se SUVP uporablja, če gre za zbiranje in prenos podatkov PNR enotam za informacije o potnikih s strani letalskih prevoznikov. Če pa tako obdelavo izvaja enota za informacije o potnikih ali pristojni organi za namene iz člena 1(2) Direktive o PNR, ta obdelava poleg tega, da spada na področje uporabe nacionalnega prava, spada na področje uporabe Direktive 2016/680.

84 Glede na zgoraj navedene preudarke je treba na prvo vprašanje odgovoriti, da je treba člen 2(2)(d) in člen 23 SUVP razlagati tako, da se ta uredba uporablja za obdelave osebnih podatkov, določene z nacionalno zakonodajo, katere namen je v nacionalno pravo prenesti hkrati določbe Direktive o API, Direktive 2010/65 in Direktive o PNR, na eni strani glede obdelav podatkov, ki jih izvajajo zasebni gospodarski subjekti, in na drugi strani obdelav podatkov, ki jih izvajajo javni organi, ki spadajo zgolj ali tudi na področje uporabe Direktive o API ali Direktive 2010/65. Navedena uredba pa se ne uporablja za obdelave podatkov, ki jih določa takšna zakonodaja in spadajo le na področje uporabe Direktive o PNR ter ki jih izvaja enota za informacije o potnikih ali pristojni organi za namene iz člena 1(2) te direktive.

B. Drugo, tretje, četrto in šesto vprašanje

85 Predložitveno sodišče z drugim, tretjim, četrtim in šestim vprašanjem, ki jih je treba obravnavati skupaj, Sodišče v bistvu sprašuje o veljavnosti Direktive o PNR z vidika členov 7 in 8 ter člena 52(1) Listine. Ta vprašanja se nanašajo zlasti na:

– Prilogo I k tej direktivi in podatke, naštete v tej prilogi, zlasti tiste iz točk 12 in 18, ob upoštevanju zahtev po jasnosti in natančnosti (drugo in tretje vprašanje);

– člen 3, točka 4, navedene direktive in Prilogo I k tej direktivi, ker se sistem splošnega zbiranja, prenosa in obdelave podatkov PNR, ki je vzpostavljen s temi določbami, lahko uporablja za vse osebe na letu, za katerega veljajo določbe te direktive (četrto vprašanje), in

– člen 6 Direktive o PNR v delu, v katerem določa predhodno ocenjevanje s primerjavo podatkov PNR s podatkovnimi zbirkami in/ali njihovo obdelavo glede na vnaprej določena merila, ki se sistematično in splošno uporablja za te podatke, ne glede na kakršen koli objektiven element, na podlagi katerega bi bilo mogoče sklepati, da lahko zadevni potniki pomenijo tveganje za javno varnost (šesto vprašanje).

86 Najprej je treba opozoriti, da se v skladu s splošnim načelom razlage akt Unije, kolikor je le mogoče, razlaga tako, da se ne vzbuja dvom o njegovi veljavnosti, in v skladu z vsem primarnim pravom ter predvsem z določbami Listine. Tako je treba, kadar se določba sekundarnega prava Unije lahko razlaga na več načinov, dati prednost tisti razlagi, na podlagi katere je določba skladna s primarnim pravom, ne pa tisti, ki bi pripeljala do ugotovitve njene nezdružljivosti s tem pravom (sodba z dne 2. februarja 2021, Consob, C‑481/19, EU:C:2021:84, točka 50 in navedena sodna praksa).

87 Poleg tega iz ustaljene sodne prakse izhaja, da morajo države članice, kadar jim puščajo določbe direktive polje proste presoje pri opredelitvi ukrepov za prenos, ki so prilagojeni različnim mogočim položajem, ob uporabi teh ukrepov ne zgolj razlagati nacionalno pravo v skladu z upoštevno direktivo, temveč tudi paziti, da se ne oprejo na tako razlago te direktive, ki bi bila v nasprotju s temeljnimi pravicami, ki jih varuje pravni red Unije, ali z drugimi splošnimi načeli pravnega reda Unije (glej v tem smislu sodbi z dne 15. februarja 2016, N., C‑601/15 PPU, EU:C:2016:84, točka 60 in navedena sodna praksa, in z dne 16. julija 2020, État belge (Združitev družine – mladoletni otrok), C‑133/19, C‑136/19 in C‑137/19, EU:C:2020:577, točka 33 in navedena sodna praksa).

88 V zvezi z Direktivo o PNR je treba navesti, da je med drugim v njenih uvodnih izjavah 15, 20, 22, 25, 36 in 37 poudarjen pomen, ki ga zakonodajalec Unije s sklicevanjem na visoko raven varstva podatkov pripisuje popolnemu spoštovanju temeljnih pravic, določenih v členih 7, 8 in 21 Listine, ter načela sorazmernosti, zaradi česar „bi […] bilo treba [to direktivo] izvajati temu ustrezno“, kot je navedeno v uvodni izjavi 36.

89 Natančneje, v uvodni izjavi 22 Direktive o PNR je poudarjeno, da bi bilo treba [p]ri uporabi te direktive […] zagotoviti popolno spoštovanje temeljnih pravic, pravice do zasebnosti in načela sorazmernosti, ob doslednem spoštovanju načel iz nedavne sodne prakse [Sodišča] s tega področja“, ter „dejansko izpolnjevati cilje nujnosti in sorazmernosti za uresničitev splošnih interesov, ki jih priznava Unija, in potrebe po varovanju pravic in svoboščin drugih v boju proti terorističnim in hudim kaznivim dejanjem“. V tej uvodni izjavi je dodano, da bi uporaba te direktive „morala biti ustrezno utemeljena in vzpostavljeni bi morali biti potrebni zaščitni ukrepi, da se zagotovi zakonitost vsakršne hrambe, analize, prenosa ali uporabe podatkov PNR“.

90 Poleg tega člen 19(2) Direktive o PNR Komisiji v okviru pregleda te direktive nalaga, da posebno pozornost nameni „spoštovanju veljavnih standardov varstva osebnih podatkov“, „nujnosti in sorazmernosti zbiranja in obdelave podatkov PNR za vsakega od namenov, določenih v tej direktivi“, in „trajanju obdobja hrambe podatkov“.

91 Preveriti je torej treba, ali je Direktivo o PNR zlasti v skladu z zahtevami iz njenih uvodnih izjav in določb, navedenih v točkah od 88 do 90 te sodbe, mogoče razlagati tako, da zagotavlja popolno upoštevanje temeljnih pravic, zagotovljenih v členih 7 in 8 Listine, ter načela sorazmernosti, določenega v členu 52(1) Listine.

1. Poseganja, ki izhajajo iz Direktive o PNR, v temeljne pravice, zagotovljene s členoma 7 in 8 Listine

92 Člen 7 Listine zagotavlja, da ima vsakdo pravico do spoštovanja svojega zasebnega in družinskega življenja, stanovanja ter komunikacij, medtem ko člen 8(1) Listine vsakomur izrecno podeljuje pravico do varstva osebnih podatkov, ki se nanašajo nanj.

93 Kot je razvidno iz člena 3, točka 5, Direktive o PNR in iz seznama iz Priloge k tej direktivi podatki PNR, na katere se ta direktiva nanaša, obsegajo med drugim ime ali imena letalskih potnikov, informacije, potrebne za rezervacijo, kot so predvideni datumi potovanja in načrt potovanja, informacije o vozovnicah, skupine oseb, registriranih pod isto številko rezervacije, kontaktne informacije potnika ali potnikov, podatke o načinu plačila ali zaračunavanju, informacije o prtljagi in splošne opombe glede potnikov.

94 Ker podatki PNR tako vsebujejo informacije o določenih fizičnih osebah, in sicer o zadevnih letalskih potnikih, različne mogoče obdelave teh podatkov posegajo v temeljno pravico do spoštovanja zasebnega življenja, zagotovljeno v členu 7 Listine (glej v tem smislu mnenje 1/15 (Sporazum P