Vad beträffar protokoll nr 22 gäller att detta protokoll syftar till att upprätta en rättslig ram för medlemsstaterna att vidareutveckla sitt samarbete på området för frihet, säkerhet och rättvisa genom antagandet, utan Konungariket Danmarks deltagande, av åtgärder som inte är bindande för den medlemsstaten, samtidigt som Konungariket Danmark ges möjlighet att delta i beslut om åtgärder på detta område och att bli bundet av dessa åtgärder under de förutsättningar som föreskrivs i artikel 8 i nämnda protokoll. Beslutet om ingående av det planerade avtalet måste grunda sig både på artikel 16 FEUF och artikel 87 FEUF och det omfattas således av kapitel 5 i avdelning V i tredje delen i EUF-fördraget. Detta innebär i föreliggande fall att Konungariket Danmark i enlighet med artiklarna 2 och 2a i protokoll nr 22 varken kommer att vara bundet av bestämmelserna i beslutet eller av det planerade avtalet. För övrigt kommer Konungariket Danmark i enlighet med artikel 1 i protokollet inte att delta i antagandet av beslutet. I föreliggande fall kan protokoll nr 22 således inte medföra annorlunda omröstningsregler i rådet för det fall både artikel 16.2 FEUF och artikel 87.2 a FEUF används som rättslig grund.

Nämnda beslut ska även grundas på artikel 87.2 a FEUF. I den bestämmelsen föreskrivs att, vid tillämpningen av artikel 87.1 FEUF enligt vilken unionen ska utveckla ett polissamarbete mellan alla behöriga myndigheter i medlemsstaterna, får parlamentet och rådet föreskriva åtgärder om insamling, lagring, behandling, analys, och utbyte av relevant information. Relevant information, i den mening som avses i artikel 87.2 a FEUF, avseende förebyggande, upptäckt och utredning av brott kan innefatta personuppgifter. Dessutom kan orden ”behandling” och ”utbyte” av personuppgifter omfatta både överföring av sådana uppgifter till behöriga myndigheter i medlemsstaterna och dessa myndigheters användning av uppgifterna. Den omständigheten att passageraruppgifterna inledningsvis samlas in i kommersiellt syfte av lufttrafikföretagen och inte av en myndighet som är behörig inom området för förebyggande, upptäckt och utredning av brott, hindrar inte att även denna bestämmelse utgör en korrekt rättslig grund för rådets beslut om ingående av det planerade avtalet.

Under dessa omständigheter hänför sig beslutet att ingå det planerade avtalet i första hand direkt till det syfte som eftersträvas med artikel 16.2 FEUF. Den bestämmelsen utgör, utan att det påverkar tillämpningen av artikel 39 FEU, den korrekta rättsliga grunden när skyddet av personuppgifter är ett av de väsentliga syftena med eller en av de väsentliga beståndsdelarna i de regler som unionslagstiftaren antagit, inbegripet regler inom ramen för antagandet av åtgärder som omfattas av EUF-fördragets regler om straffrättsligt samarbete och polissamarbete, vilket bekräftas av artikel 6a i protokoll nr 21 och artikel 2a i protokoll nr 22 samt förklaringen om skydd av personuppgifter på området för straffrättsligt samarbete och polissamarbete, vilken fogats till slutakten från den regeringskonferens som antagit Lissabonfördraget.

Detta krav, på en skyddsnivå avseende grundläggande rättigheter och friheter som motsvarar den nivå som garanteras i unionen, äger samma giltighet i det fallet att passageraruppgifter överförs från tredjelandet till andra tredjeländer, i syfte att förhindra att den skyddsnivå som föreskrivs i avtalet kan kringgås genom överföringar av personuppgifter till andra tredjeländer och i syfte att vidmakthålla den skyddsnivå som unionsrätten erbjuder. Under dessa omständigheter kräver en sådan överföring antingen att det finns ett avtal mellan unionen och det berörda tredjelandet som är likvärdigt med det planerade avtalet, eller att kommissionen har meddelat ett beslut enligt artikel 25.6 i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, i vilket det konstateras att det berörda tredjelandet säkerställer en adekvat skyddsnivå, i den mening som avses i unionsrätten, och vilket omfattar de myndigheter till vilka överföringen av passageraruppgifter är planerad.

De rättigheter som stadfästs i artiklarna 7 och 8 i stadgan är emellertid inte några absoluta rättigheter, utan måste bedömas utifrån deras funktion i samhället. Skyddet av den grundläggande rätten till respekt för privatlivet på unionsnivå kräver att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt. För att uppfylla detta krav måste därför den lagstiftning i vilken ingreppet föreskrivs föreskriva tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden och som slår fast minimikrav, så att de personer vilkas uppgifter har överförts har tillräckliga garantier som möjliggör ett skydd mot riskerna för missbruk. Lagstiftningen måste i synnerhet precisera under vilka omständigheter och på vilka villkor en åtgärd för behandling av personuppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strängt nödvändigt. Nödvändigheten av sådana garantier är av än större betydelse när personuppgifterna är föremål för automatisk behandling. Dessa överväganden äger särskild giltighet när det är fråga om skyddet av den särskilda kategori av personuppgifter som utgörs av känsliga uppgifter.

Ingrepp i de grundläggande rättigheter som är stadfästa i artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna, som följer av ett internationellt avtal om överföring av passageraruppgifter till ett tredjeland, som unionen planerar att ingå, kan vara motiverade av ett mål av allmänt samhällsintresse i unionen och är inte av sådan beskaffenhet att de kränker det väsentliga innehållet i de nämnda grundläggande rättigheterna, under förutsättning att det planerade avtalet bland annat syftar till att trygga den allmänna säkerheten genom överföring av passageraruppgifter och användning av dessa uppgifter i bekämpningen av terroristbrott och allvarlig gränsöverskridande brottslighet. Detta mål utgör nämligen ett mål av allmänt samhällsintresse i unionen, vilket kan motivera ingrepp, även allvarliga sådana, i de grundläggande rättigheter som är stadfästa i artiklarna 7 och 8 i stadgan. För övrigt bidrar skyddet för den allmänna säkerheten till skyddet för andra människors fri- och rättigheter. I den utsträckning som en bedömning av de risker som flygpassagerare utgör, genom en analys av dessa uppgifter före passagerarnas ankomst underlättar och påskyndar säkerhets- och gränskontrollerna kan överföringen av passageraruppgifter till ett tredjeland och den senare behandlingen av uppgifterna anses vara ägnade att säkerställa uppnåendet av det mål att skydda den allmänna säkerheten som eftersträvas med det planerade avtalet.

När det är fråga om ett internationellt avtal om överföring av passageraruppgifter till ett tredjeland, som unionen planerar att ingå, gäller att för att säkerställa att lagringen av de överförda passageraruppgifterna, åtkomsten till uppgifterna för de kanadensiska myndigheter som avses i det planerade avtalet och dessa myndigheters användning av uppgifterna är begränsade till vad som är strängt nödvändigt, måste det i det planerade avtalet föreskrivas tydliga och precisa regler som anger under vilka omständigheter och på vilka villkor som nämnda myndigheter får lagra, ha åtkomst till och använda uppgifterna.

När det är fråga om ett internationellt avtal som innehåller bestämmelser om lagring och användning av passageraruppgifter till dess att passagerarna lämnar det berörda tredjelandet för att bland annat underlätta säkerhets- och gränskontroller, kan lagringen och användningen av uppgifterna för detta ändamål varken vara begränsade till en bestämd krets av flygpassagerare eller underkastade ett krav på förhandstillstånd från en domstol eller en oberoende myndighet. Det nödvändiga sambandet mellan uppgifterna och det mål som eftersträvas med detta avtal föreligger således, så länge som flygpassagerarna befinner sig i det berörda tredjelandet eller ska avresa från detta land. Detta innebär att det planerade avtalet inte går utöver vad som är strängt nödvändigt enbart på grund av den omständigheten att det tillåter lagring och systematisk användning av samtliga flygpassagerares passageraruppgifter. Den systematiska användningen av passageraruppgifterna i syfte att kontrollera tillförlitligheten och aktualiteten av de förhandsbestämda modeller och kriterier vilka utgör grunden för den automatiska behandlingen av uppgifterna eller i syfte att utarbeta nya modeller och kriterier för dessa behandlingar har ett direkt samband med genomförandet av dessa kontroller och måste därför också anses inte gå utöver gränserna för vad som är strängt nödvändigt.

Beträffande användningen av passageraruppgifter under flygpassagerarnas vistelse i det berörda tredjelandet, måste en sådan användning grunda sig på nya omständigheter, då flygpassagerarna tillåtits att resa in i det berörda tredjelandet efter kontroll av deras passageraruppgifter. En sådan användning kräver således att det finns regler som föreskriver de materiella och formella villkoren för användningen i syfte att bland annat skydda uppgifterna från riskerna för missbruk. Sådana regler måste grunda sig på objektiva kriterier för att definiera under vilka omständigheter och på vilka villkor som de myndigheter i det berörda tredjelandet vilka avses i avtalet har rätt att använda uppgifterna.

När det föreligger objektiva omständigheter som gör det möjligt att anse att en eller flera flygpassagerares passageraruppgifter faktiskt skulle kunna bidra till bekämpningen av terroristbrott och allvarlig gränsöverskridande brottslighet går användningen av dessa uppgifter inte utöver vad som är strängt nödvändigt. För att säkerställa att dessa villkor uppfylls fullt ut i praktiken, är det väsentligt att användningen av lagrade passageraruppgifter under flygpassagerarnas vistelse i det berörda tredjelandet i princip, utom i vederbörligen motiverade brådskande fall, är underkastad förhandskontroll av en domstol eller en oberoende myndighet och att domstolen meddelar sitt avgörande eller myndigheten fattar sitt beslut efter det att behöriga myndigheter framställt en motiverad ansökan, vilket särskilt kan ske inom ramen för ett förfarande för förebyggande, avslöjande eller lagföring av brott.

(se punkterna 197–202)