FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT

PHILIPPE LÉGER

föredraget den 22 november 2005 1( )

Mål C-317/04

Europaparlamentet

mot

Europeiska unionens råd

”Skydd för fysiska personer avseende behandling av personuppgifter – Talan om ogiltigförklaring – Rådets beslut 2004/496/EG – Avtal mellan Europeiska gemenskapen och Amerikas förenta stater angående behandling och överföring av passageraruppgifter (Passenger Name Records)”

Mål C-318/04

Europaparlamentet

mot

Europeiska gemenskapernas kommission

”Talan om ogiltigförklaring – Kommissionens beslut 2004/535/EG om adekvat skydd av personuppgifter som finns i Passenger Name Record för flygpassagerare som överförs till Förenta staternas tull- och gränsskyddsmyndighet – Direktiv 95/46/EG”





Innehållsförteckning





I – Målens bakgrund

II – Tillämpliga bestämmelser i målen

A – EU-fördraget

B – Fördraget om upprättande av Europeiska gemenskapen

C – Europarättsliga bestämmelser avseende skyddet för personuppgifter

III – De omtvistade besluten

A – Beslutet om adekvat skydd

B – Rådets beslut

IV – Parlamentets grunder i de två målen

V – Talan om ogiltigförklaring av beslutet om adekvat skydd (mål )

A – Huruvida kommissionen överträtt sina befogenheter genom att anta beslutet om adekvat skydd

1. Parternas argument

2. Bedömning

B – Åsidosättande av grundläggande rättigheter och av proportionalitetsprincipen

VI – Talan om ogiltigförklaring av rådets beslut (mål C-317/04)

A – Huruvida artikel 95 EG var en korrekt rättslig grund för rådets beslut

1. Parternas argument

2. Bedömning

B – Åsidosättande av artikel 300.3 andra stycket EG genom att direktiv 95/46 ändrats

1. Parternas argument

2. Bedömning

C – Åsidosättande av skyddet för personuppgifter och av proportionalitetsprincipen

1. Parternas argument

2. Bedömning

a) Intrång i privatlivet

b) Motivering av intrånget i privatlivet

i) Är intrånget föreskrivet i lag?

ii) Uppfyller intrånget ett legitimt intresse?

iii) Är intrånget nödvändigt i ett demokratiskt samhälle för att uppnå ett sådant ändamål?

D – Huruvida rådets beslut varit tillräckligt motiverat

E – Huruvida principen om lojalt samarbete i artikel 10 EG har åsidosatts

VII – Rättegångskostnader

VIII – Förslag till avgörande

1. Europaparlamentet har med stöd av artikel 230 EG väckt talan om ogiltigförklaring vid domstolen i två mål. Mål C-317/04, parlamentet mot rådet, gäller ogiltigförklaring av rådets beslut av den 17 maj 2004 om ingående av ett avtal mellan Europeiska gemenskapen och Amerikas förenta stater om lufttrafikföretags behandling och överföring av passageraruppgifter till Bureau of Customs and Border Protection inom Förenta staternas Department of Homeland Security.( ) I mål C-318/04, parlamentet mot kommissionen, har parlamentet yrkat ogiltigförklaring av kommissionens beslut av den 14 maj 2004 om adekvat skydd av personuppgifter som finns i Passenger Name Record för flygpassagerare som överförs till Förenta staternas tull- och gränsskyddsmyndighet.( )

2. Domstolen har i dessa båda mål att uttala sig angående skyddet för personuppgifter för flygpassagerare när det för att motivera att sådana uppgifter överförs till och behandlas i tredjeland, i detta fall Förenta staterna,( ) har åberopats tvingande skäl avseende allmän säkerhet och straffrättsliga överväganden såsom förhindrande och bekämpande av terrorism och andra grova brott.

3. Målen har sin bakgrund i en serie händelser som skall redovisas i det följande. Därefter anges de bestämmelser som är tillämpliga i målen.

I – Målens bakgrund

4. Efter terroristattackerna den 11 september 2001 har Förenta staterna utfärdat lagstiftning med bestämmelser om att lufttrafikföretag med trafik till, inom eller från Förenta staternas territorium är skyldiga att ge CBP elektronisk tillgång till de uppgifter som samlas in och lagras i lufttrafikföretagens automatiska system för bokning och kontroll vid avgångar, kallade Passenger Name Records (nedan kallade PNR-uppgifter).( ) Kommissionen har, utan att ifrågasätta legitimiteten i de säkerhetsintressen som står på spel, sedan juni 2002 informerat Förenta staternas myndigheter om att dessa bestämmelser kan strida mot gemenskapsrättens och medlemsstaternas bestämmelser om skydd för personuppgifter och mot vissa bestämmelser i reglerna om användning av datoriserade bokningssystem (SIR).( ) Förenta staternas myndigheter har senarelagt ikraftträdandet av de nya bestämmelserna, men vägrat att avstå från att föreskriva sanktioner för de lufttrafikföretag som inte uppfyller dessa bestämmelser efter den 5 mars 2003. Efter den tidpunkten har ett flertal stora lufttrafikföretag som är etablerade inom medlemsstaterna i Europeiska gemenskapen gett amerikanska myndigheter tillgång till sina PNR.

5. Kommissionen har förhandlat med de amerikanska myndigheter som utformat ett dokument avseende CBP:s åtaganden, för att kommissionen, med stöd av artikel 25.6 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter,( ) skall anta ett beslut i vilken den konstaterar att Förenta staterna erbjuder en adekvat skyddsnivå för dessa personuppgifter.

6. Den så kallade ”artikel 29-gruppen”, ( ) som arbetar med frågor om skydd för personuppgifter, lämnade den 13 juni 2003 ett yttrande i vilket den uttryckte tvivel avseende nivån på det skydd för personuppgifter som skulle säkerställas genom CBP:s tilltänkta åtaganden.( ) Den upprepade sina tvivel i ett nytt yttrande av den 29 januari 2004.( )

7. Kommissionen lämnade den 1 mars 2004 ett förslag till beslut om adekvat skydd till Europaparlamentet, tillsammans med CBP:s förklaring om åtaganden.

8. Kommissionen lämnade den 17 mars 2004, i syfte att höra Europaparlamentet enligt artikel 300.3 första stycket EG, ett förslag till Europeiska unionens råds beslut avseende slutande av avtal mellan gemenskapen och Förenta staterna. Rådet begärde, med hänvisning till det brådskande förfarande som föreskrivs i artikel 112 i parlamentets arbetsordning (numera artikel 134 i samma arbetsordning), i skrivelse av den 25 mars 2004 att Europaparlamentets yttrande över detta förslag skulle avges senast den 22 april 2004. I sin skrivelse underströk rådet att ”kampen mot terrorismen, vilken rättfärdigar de föreslagna åtgärderna, har högsta prioritet för Europeiska unionen. Lufttrafikföretagen och passagerarna befinner sig för närvarande i en situation av osäkerhet, vilken bör åtgärdas skyndsamt. Det är dessutom nödvändigt att skydda berörda parters ekonomiska intressen.”

9. Parlamentet antog den 31 mars 2004, med tillämpning av artikel 8 i rådets beslut av den 28 juni 1999 om de förfaranden som skall tillämpas vid utövandet av kommissionens genomförandebefogenheter,( ) en resolution i vilken det angavs en rad rättsliga reservationer angående detta tillvägagångssätt. I synnerhet angavs att parlamentet ansåg att förslaget till beslut om adekvat skydd gick utöver de befogenheter som kommissionen erhållit genom artikel 25 i direktiv 95/46. Parlamentet begärde att ett anpassat folkrättsligt avtal skulle slutas som tillgodosåg grundläggande rättigheter, och begärde att kommissionen skulle lämna ett nytt förslag till beslut till parlamentet. Parlamentet förbehöll sig vidare rätten att väcka talan vid domstolen för att få till stånd en laglighetsprövning av det föreslagna avtalet, och i synnerhet dess förenlighet med skyddet för privatlivet.

10. Parlamentet beslutade den 21 april 2004, på begäran av dess ordförande, att godta en rekommendation från utskottet för rättsliga frågor, att enligt artikel 300.6 EG inhämta domstolens yttrande om huruvida det tilltänkta avtalet var förenligt med fördraget. Det förfarandet inleddes samma dag. Parlamentet beslutade samma dag att sända sin rapport angående förslaget till rådets beslut till utskottet, vilket således underförstått innebar ett avslag på rådets begäran om skyndsam handläggning av den 25 mars 2004.

11. Rådet lämnade den 28 april 2004, med hänvisning till artikel 300.3 första stycket EG, en skrivelse till parlamentet i vilken det begärde att parlamentet skulle yttra sig angående ingåendet av avtalet före den 5 maj 2004. Rådet upprepade de skäl för skyndsam handläggning som det angivit i sin skrivelse av den 25 mars 2004.( )

12. Domstolens justitiesekreterare informerade den 30 april 2004 parlamentet om att fristen för medlemsstaternas, rådets och kommissionens yttranden avseende begäran om yttrande 1/04 fastställts till den 4 juni 2004.

13. Parlamentet avslog den 4 maj 2004 rådets begäran om skyndsam handläggning av den 28 april.( ) Två dagar senare vände sig parlamentets ordförande till rådet och kommissionen och begärde att de inte skulle gå vidare förrän domstolen lämnat det yttrande som begärts den 21 april 2004.

14. Kommissionen antog den 14 maj 2004 med stöd av artikel 25.6 i direktiv 95/46 beslutet om adekvat skydd av personuppgifter som finns i passageraruppgifter som överförs till CBP.

15. Rådet antog den 17 maj 2004 beslutet om ingående av ett avtal mellan Europeiska gemenskapen och Amerikas förenta stater om lufttrafikföretags behandling och överföring av passageraruppgifter till CBP.

16. Parlamentet informerade i skrivelse av den 9 juli 2004 domstolen om att det återkallade sin begäran om yttrande 1/04.( ) Parlamentet har senare beslutat väcka talan i två mål mot rådet och mot kommissionen.

II – Tillämpliga bestämmelser i målen

A – EU-fördraget

17. I artikel 6 EU föreskrivs följande:

”1. Unionen bygger på principerna om frihet, demokrati och respekt för de mänskliga rättigheterna och de grundläggande friheterna samt på rättsstatsprincipen, vilka principer är gemensamma för medlemsstaterna.

2. Unionen skall som allmänna principer för gemenskapsrätten respektera de grundläggande rättigheterna, såsom de garanteras i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, undertecknad i Rom den 4 november 1950, och såsom de följer av medlemsstaternas gemensamma konstitutionella traditioner.

…”

B – Fördraget om upprättande av Europeiska gemenskapen

18. I artikel 95.1 EG föreskrivs följande:

”Med avvikelse från artikel 94 och om inte annat föreskrivs i detta fördrag skall följande bestämmelser tillämpas för att nå de mål som anges i artikel 14. Rådet skall enligt förfarandet i artikel 251 och efter att ha hört Ekonomiska och sociala kommittén, besluta om åtgärder för tillnärmning av sådana bestämmelser i lagar och andra författningar i medlemsstaterna som syftar till att upprätta den inre marknaden och få den att fungera”.

19. När det gäller förfarandet för gemenskapens ingående av internationella avtal föreskrivs i artikel 300.2 första stycket EG, första meningen, att ”[o]m inte annat följer av kommissionens befogenheter på detta område skall både undertecknandet … och ingåendet av avtalen beslutas av rådet med kvalificerad majoritet på förslag av kommissionen”.

20. I artikel 300.3 EG föreskrivs följande:

”Med undantag för sådana avtal som avses i artikel 133.3 skall rådet ingå avtal efter att ha hört Europaparlamentet och detta även om avtalet omfattar ett område där interna regler skall antas enligt förfarandet i artikel 251 eller 252. Europaparlamentet skall avge sitt yttrande inom den tid som rådet får bestämma med hänsyn till hur brådskande ärendet är. Om ett yttrande inte har avgetts inom denna tid, får rådet fatta beslut.

Med avvikelse från föregående stycke krävs Europaparlamentets samtycke för ingåendet av sådana avtal som avses i artikel 310, andra avtal som skapar en särskild institutionell ram genom att samarbetsförfaranden inrättas, sådana avtal som har betydande budgetmässiga följder för gemenskapen samt sådana avtal som medför ändring av en rättsakt som har antagits enligt förfarandet i artikel 251.

Rådet och Europaparlamentet får i brådskande fall komma överens om den tid inom vilken samtycke skall ges.”

C – Europarättsliga bestämmelser avseende skyddet för personuppgifter

21. I artikel 8 i Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (nedan kallad EMRK) föreskrivs följande:

”1. Var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens.

2. Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter.”

22. Europarättsliga bestämmelser avseende skyddet för personuppgifter har främst utformats inom ramen för Europarådet. Konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter har således öppnats för undertecknande av Europarådets medlemmar i Strasbourg den 28 januari 1981.( ) Dess syfte är att inom varje konventionsstats territorium säkerställa att varje fysisk persons, oavsett nationalitet eller hemvist, grundläggande rättigheter respekteras, och i synnerhet rätten till privatliv, med avseende på automatisk behandling av personuppgifter som berör dessa personer.

23. Vad gäller Europeiska unionen föreskrivs i dess stadga om de grundläggande rättigheterna( ), förutom i dess artikel 7 som rör rätten till respekt för privatlivet och familjelivet, i artikel 8 i stadgan specifika bestämmelser om skyddet av personuppgifter. Den har följande lydelse:

”1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

2. Dessa uppgifter skall behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem.

3. En oberoende myndighet skall kontrollera att dessa regler efterlevs.”

24. När det gäller gemenskapens primärrätt föreskrivs i artikel 286.1 EG att ”[f]rån och med den 1 januari 1999 skall gemenskapsrättsakter om skydd för enskilda när det gäller behandling av och fri rörlighet för personuppgifter vara tillämpliga på de institutioner och organ som inrättas genom eller på grundval av detta fördrag”.( )

25. I gemenskapens sekundärrätt återfinns de grundläggande bestämmelserna i direktiv 95/46.( ) Dess samband med Europarådets texter framgår uttryckligen av skälen 10 och 11 i direktivet. I skäl 10 anförs nämligen att ”[ä]ndamålet med den nationella lagstiftningen om behandling av personuppgifter är att skydda grundläggande fri- och rättigheter, särskilt den rätt till privatlivet som erkänns både i artikel 8 i [EMRK] och i gemenskapsrättens allmänna rättsprinciper. Av denna anledning får tillnärmningen av denna lagstiftning inte medföra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen.” Dessutom anges i skäl 11 i direktiv 95/46 att de ”principer om skydd för enskilda personers fri- och rättigheter, särskilt rätten till privatlivet, som detta direktiv innehåller, utgör en precisering och en förstärkning av principerna i Europarådets konvention [nr 108]… om skydd för enskilda vid automatisk databehandling av personuppgifter”.

26. Direktiv 95/46 har antagits med stöd av artikel 100a i EG-fördraget (nu artikel 95 EG i ändrad lydelse). Dess ursprung återfinns i den tanke som uttrycks i skäl 3, där det anförs att ”[u]pprättandet av den inre marknaden och dennas funktion … förutsätter inte bara att personuppgifter fritt kan överföras från en medlemsstat till en annan utan också att enskilda personers grundläggande rättigheter skyddas”. Närmare bestämt har gemenskapslagstiftaren utgått ifrån konstaterandet att ”[s]killnaden i skyddsnivå mellan medlemsstater vad gäller enskilda personers fri- och rättigheter, särskilt rätten till privatliv med avseende på behandling av personuppgifter, kan hindra översändande av sådana uppgifter från en medlemsstats territorium till en annans”,( ) vilket i synnerhet kan hindra utövandet av aktiviteter på gemenskapsnivå och snedvrida konkurrensen. Gemenskapslagstiftaren har vidare anfört att ”[f]ör att hindren mot flöden av personuppgifter skall kunna avskaffas måste skyddsnivån när det gäller enskilda personers fri- och rättigheter med avseende på behandlingen av sådana uppgifter vara likvärdig i alla medlemsstater”.( ) Detta kommer att medföra att ”medlemsstaterna inte längre [kommer] att kunna hindra det fria flödet av personuppgifter mellan dem under hänvisning till enskilda personers fri- och rättigheter, särskilt rätten till privatliv”.( )

27. I artikel 1 i direktiv 95/46 genomförs detta på följande sätt:

”1. Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.

2. Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet.”

28. I artikel 2 i direktivet definieras bland annat begreppen ”personuppgifter”, ”behandling av personuppgifter” och ”registeransvarig”.

29. Sålunda definieras personuppgifter i artikel 2 a i direktiv 95/46 som ”varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet”.

30. Behandling av personuppgifter definieras i artikel 2 b i direktivet som ”varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”.

31. I artikel 2 d i direktiv 95/46 definieras registeransvarig som ”den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter …”.

32. När det gäller det materiella tillämpningsområdet för direktiv 95/46 anges i artikel 3.1 att direktivet ”gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register”.

33. I artikel 3.2 i direktivet ges en möjlighet att begränsa dess materiella tillämpningsområde. Där anges följande:

” Detta direktiv gäller inte för sådan behandling av personuppgifter

– som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område,

…”

34. Kapitel II i direktiv 95/46 innehåller ”allmänna bestämmelser om när personuppgifter får behandlas”. Dess avdelning I innehåller ”principer om uppgifternas kvalitet”. I dess artikel 6 anges principerna om korrekt behandling, lagenlighet, ändamålsenlighet, proportionalitet och noggrannhet vid behandlingen av personuppgifter. Den har följande lydelse:

”1. Medlemsstaterna skall föreskriva att personuppgifter

a) skall behandlas på ett korrekt och lagligt sätt,

b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. …,

c) skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,

d) skall vara riktiga och, om nödvändigt, aktuella …,

e) förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades ...

2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”

35. I avdelning II i kapitel II i direktivet finns bestämmelser om ”principer som gör att uppgiftsbehandling kan tillåtas”. Dess artikel 7 har följande lydelse:

”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om

a) den registrerade otvetydigt har lämnat sitt samtycke, eller

b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, eller

c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, …

…”

36. När det gäller personuppgifter som klassificerats som känsliga föreskrivs i artikel 8.1 ett förbud mot behandling av sådana personuppgifter. Där föreskrivs nämligen att ”[m]edlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv”. Det finns emellertid ett flertal undantag från denna förbudsbestämmelse som anges i de följande punkterna i samma artikel.

37. Artikel 13.1, som har rubriken ”Undantag och begränsningar”, har följande lydelse:

”Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till

a) statens säkerhet,

b) försvaret,

c) allmän säkerhet,

d) förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken,

e) ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor,

f) en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen,

g) skydd av den registrerades eller andras fri- och rättigheter.”

38. Gemenskapslagstiftaren har även velat tillse att den sålunda skapade skyddsordningen inte fallerar genom att personuppgifter lämnar gemenskapens territorium. Det är nämligen uppenbart att det internationella flödet av personuppgifter( ) medför att ett regelsystem som endast omfattar det egna territoriet är otillräckligt, för att inte säga meningslöst. Gemenskapslagstiftaren har således upprättat ett system enligt vilket det för att överföring av personuppgifter till ett tredjeland skall vara tillåtet krävs att det landet säkerställer en ”adekvat skyddsnivå”.

39. Gemenskapslagstiftaren har således uppställt en bestämmelse av innebörden att ”[o]m ett tredje land inte garanterar en adekvat skyddsnivå skall överföring av personuppgifter till det landet förbjudas”.( )

40. Mot denna bakgrund har i artikel 25 i direktiv 95/46 angivits de principer som gäller för överföring av personuppgifter till tredjeland:

”1. Medlemsstaterna skall föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas efter överföring till tredje land endast får ske om ifrågavarande tredjeland – utan att detta påverkar tillämpningen av de nationella bestämmelser som antagits till följd av de andra bestämmelserna i detta direktiv – säkerställer en adekvat skyddsnivå.

2. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där.

3. Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en adekvat skyddsnivå enligt punkt 2.

4. Om kommissionen i enlighet med ett sådant förfarande som beskrivs i artikel 31.2 finner att ett tredje land inte erbjuder en sådan adekvat skyddsnivå som beskrivs i punkt 2 i denna artikel, skall medlemsstaterna vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till ifrågavarande tredje land.

5. Vid lämpligt tillfälle skall kommissionen inleda förhandlingar för att avhjälpa den situation som uppstått när kommissionen kommit till den slutsats som anges i punkt 4.

6. Kommissionen kan, i enlighet med det i artikel 31.2 angivna förfarandet, konstatera att ett tredje land genom sin interna lagstiftning eller på grund av de internationella förpliktelser som – särskilt till följd av sådana förhandlingar som anges i punkt 5 och som gäller skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – åligger landet har en skyddsnivå som är adekvat i den mening som avses i punkt 2 i denna artikel.

Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut.”

41. Det skall slutligen framhållas att inom ramen för avdelning VI i EU-fördraget, vilken rör polissamarbete och straffrättsligt samarbete, har skyddet för personuppgifter reglerats i vissa specifika instrument. Det rör sig huvudsakligen om sådana instrument genom vilka gemensamma informationssystem på europeisk nivå har upprättats, såsom konventionen om tillämpning av Schengenavtalet,( ) vilken innehåller specifika bestämmelser om skydd för personuppgifter inom ramen för Schengens informationssystem (SIS),( ) konvention som utarbetats på grundval av artikel K.3 i Fördraget om Europeiska unionen om upprättandet av en europeisk polisbyrå,( ) rådets beslut om inrättande av Eurojust ( ) och reglerna för behandling och skydd av personuppgifter vid Eurojust,( ) konvention som utarbetats på grundval av artikel K.3 i Fördraget om Europeiska unionen om användning av informationsteknologi för tulländamål, vilken innehåller bestämmelser om skydd för personuppgifter som gäller för tullens informationssystem,( ) och konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater.( )

42. Kommissionen lämnade den 4 oktober 2005 ett förslag till rådets rambeslut om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete.( )

III – De omtvistade besluten

43. Jag övergår nu till de två omtvistade besluten, i den ordning som dessa antagits.

A – Beslutet om adekvat skydd

44. Beslutet om adekvat skydd har antagits av kommissionen med stöd av artikel 25.6 i rådets direktiv 95/46, vilket såsom påpekats ovan ger kommissionen behörighet att konstatera att ett tredjeland säkerställer en adekvat nivå på skyddet för personuppgifter.( ) Kommissionen anför i skäl 2 i beslutet att ”[k]ommissionen kan konstatera att ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att det behövs några ytterligare garantier.”

45. I skäl 11 i beslutet anför kommissionen att ”[n]är CBP mottar PNR behandlar den flygpassagerarnas personuppgifter i enlighet med villkoren i den åtagandeförklaring som myndigheten avgav den 11 maj 2004 (Undertakings of the Department of Homeland Security Bureau of Customs and Border Protection, nedan kallat åtagandeförklaringen) samt den nationella amerikanska lagstiftning som nämns i åtagandeförklaringen”. Kommissionen konstaterar även i skäl 14 i beslutet att ”[n]ormerna som CBP, på grundval av den amerikanska lagstiftningen och åtagandeförklaringen, kommer att tillämpa för behandlingen av passagerares PNR-uppgifter omfattar nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer”.

46. I konsekvens härmed föreskrivs i artikel 1 i beslutet följande:

”För tillämpningen av artikel 25.2 i direktiv 95/46/EG skall Förenta staternas tull- och gränsskyddsmyndighet, CBP … anses säkerställa en adekvat skyddsnivå för PNR-uppgifter avseende flyg till och från Förenta staterna som överförs från gemenskapen i överensstämmelse med åtagandeförklaringen i bilagan.”

47. I artikel 3 i beslutet om adekvat skydd föreskrivs vidare att överföring av personuppgifter till CBP kan avbrytas av medlemsstaternas behöriga myndigheter på följande villkor:

”1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina befintliga befogenheter för att tills vidare avbryta uppgiftsöverföringar till CBP i syfte att skydda enskilda med avseende på behandlingen av deras personuppgifter i följande fall:

a) om en behörig amerikansk myndighet fastställt att CBP bryter mot tillämpliga skyddsregler,

b) om sannolikheten är stor att skyddsreglerna i bilagan inte efterlevs, om det finns rimliga skäl att anta att CBP inte vidtar eller inte kommer att vidta adekvata åtgärder i tid för att lösa ärendet, om fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta CBP och gett den tillfälle att yttra sig.

2. Avbrottet skall upphöra så snart det är fastställt att skyddsreglerna följs och de behöriga myndigheterna i medlemsstaterna har underrättats om detta.”

48. Medlemsstaterna är skyldiga att informera kommissionen om de åtgärder som vidtas i enlighet med artikel 3 i beslutet om adekvat skydd. Vidare skall medlemsstaterna och kommissionen enligt artikel 4.2 i beslutet underrätta varandra om varje förändring av skyddsreglerna och om fall där skyddsreglerna inte förefaller efterlevas i tillräcklig grad. I artikel 4.3 i beslutet om adekvat skydd föreskrivs att ”[o]m den information som inhämtats enligt artikel 3 och punkterna 1 och 2 i denna artikel visar att nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer inte längre efterlevs, eller att ett organ som ansvarar för att CBP följer skyddsreglerna i bilagan inte fullgör denna uppgift på ett verkningsfullt sätt, skall CBP underrättas om detta och vid behov skall det förfarande som anges i artikel 31.2 i direktiv 95/46/EG tillämpas i syfte att tills vidare eller slutgiltigt upphäva detta beslut.”

49. I artikel 5 i beslutet om adekvat skydd föreskrivs att tillämpningen av beslutet skall övervakas, och att ”alla relevanta slutsatser skall rapporteras till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG”.

50. I artikel 7 i beslutet om adekvat skydd anges vidare att detta ”upphör att gälla tre år och sex månader efter det att det delgivits, om det inte förlängs i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG”.

51. Bifogat beslutet finns CBP:s åtagandeförklaring, i vilken det anges i inledningen att kommissionen har för avsikt att konstatera att CBP kan garantera adekvat dataskydd i samband med överföring av passageraruppgifter. Enligt dess lydelse, som omfattar 48 punkter, skall den ”inte tjäna som prejudikat för framtida diskussioner med kommissionen, Europeiska unionen eller något härtill knutet organ, eller ett tredjeland, om överföring av uppgifter”.( )

52. Jag kommer att i samband med min bedömning redovisa de delar av innehållet i åtagandeförklaringen som är relevanta för målets avgörande.

53. Slutligen innehåller beslutet om adekvat skydd en bilaga ”A”, i vilken det under 34 rubriker uppräknas de uppgifter som CBP kräver av lufttrafikföretagen.( )

54. Detta kommissionsbeslut kompletteras av rådets beslut om att ingå ett avtal mellan Europeiska gemenskapen och Förenta staterna.

B – Rådets beslut

55. Rådets beslut har antagits med stöd av artikel 95 jämförd med artikel 300.2 första stycket första meningen EG.

56. I skäl 1 i beslutet anges att ”[d]en 23 februari 2004 bemyndigade rådet kommissionen att på gemenskapens vägnar förhandla om ett avtal med Förenta staterna om lufttrafikföretags behandling och överföring av passageraruppgifter till [CBP]”.( ) I skäl 2 i beslutet anges att ”Europaparlamentet [inte har] avgivit ett yttrande inom den tid som rådet fastställt i enlighet med artikel 300.3 första stycket i fördraget och det är synnerligen brådskande att åtgärda den situation av osäkerhet som lufttrafikföretag och passagerare befinner sig i samt skydda de berördas finansiella intressen”.

57. Enligt artikel 1 i rådets beslut har avtalet godkänts på gemenskapens vägnar. Enligt artikel 2 i beslutet bemyndigas rådets ordförande att utse den eller de personer som skall ha rätt att på Europeiska gemenskapens vägnar underteckna avtalet.

58. Avtalstexten är bifogad rådets beslut. I punkt 7 i avtalet anges att det träder i kraft vid undertecknandet. Enligt denna bestämmelse trädde avtalet, som undertecknades den 28 maj 2004 i Washington, i kraft samma dag.( )

59. I avtalets ingress har Europeiska gemenskapen och Amerikas förenta stater angivit att de ”erkänner vikten av att grundläggande fri- och rättigheter respekteras, särskilt privatlivets helgd, och vikten av att dessa värden respekteras i samband med förebyggandet och bekämpandet av terrorism och därmed närstående brottslighet och annan allvarlig brottslighet av överstatlig karaktär, däribland organiserad brottslighet”.

60. I ingressen till avtalet hänvisas det till följande: direktiv 95/46, särskilt dess artikel 7 c, CBP:s åtagandeförklaring, och beslutet om adekvat skydd.( )

61. Avtalsparterna har även anmärkt att ”lufttrafikföretag med boknings- och avgångskontrollsystem belägna i en medlemsstat i Europeiska gemenskapen bör se till att PNR-uppgifter överförs till CBP så snart det är tekniskt möjligt och att de amerikanska myndigheterna fram till dess bör ges direkt tillgång till uppgifterna i enlighet med bestämmelserna i detta avtal”.( )

62. I punkt 1 i avtalet föreskrivs således att ”CBP skall ha elektronisk tillgång till PNR-uppgifter från lufttrafikföretags boknings- och avgångskontrollsystem … belägna på Europeiska gemenskapens medlemsstaters territorium i strikt överensstämmelse med bestämmelserna i beslutet [( )] så länge som det tillämpas, men bara tills ett tillfredsställande system har inrättats som möjliggör för lufttrafikföretagen att föra över sådana uppgifter”.

63. Till komplettering av den behörighet som sålunda givits CBP att direkt få tillgång till passageraruppgifter föreskrivs i punkt 2 i avtalet en skyldighet för de lufttrafikföretag som bedriver utrikes passagerartrafik till eller från Förenta staterna att föra över PNR-uppgifter som bevaras i deras elektroniska bokningssystem ”efter CBP:s begäran i enlighet med amerikansk lagstiftning och i strikt överensstämmelse med bestämmelserna i beslutet [( )]så länge som det tillämpas”.

64. I avtalets punkt 3 anges vidare att CBP ”noterar” kommissionens beslut om adekvat skydd och ”förklarar att det tillämpar den åtagandeförklaring som bifogats de[t]samma”. I avtalets punkt 4 anges att ”CBP skall behandla de PNR-uppgifter som den tar emot och de registrerade personer som berörs av denna behandling i enlighet med gällande amerikansk lagstiftning och konstitutionella krav och utan diskriminering, framför allt grundad på nationalitet eller land där personen är bosatt”.

65. CBP och kommissionen har vidare åtagit sig att tillsammans och regelbundet se över avtalets genomförande.( ) I avtalet föreskrivs även att ”[o]m det i Europeiska unionen införs ett identifieringssystem för flygpassagerare vilket kräver att lufttrafikföretag ger myndigheterna tillgång till PNR-uppgifter om personer vilkas resrutt omfattar en flygning till eller från Europeiska unionen, skall DHS [Department of Homeland Security], i den mån det är praktiskt genomförbart och helt och hållet grundat på ömsesidighet, aktivt uppmana flygbolag inom dess jurisdiktion att samarbeta”.( )

66. Förutom att det i punkt 7 i avtalet föreskrivs att detta träder i kraft vid undertecknandet, föreskrivs där också att envar part kan säga upp avtalet när som helst. I sådant fall upphör avtalet att gälla 90 dagar efter att den part som säger upp avtalet underrättat motparten. I samma punkt föreskrivs vidare att avtalet när som helst kan ändras genom skriftlig överenskommelse mellan parterna.

67. I punkt 8 i avtalet anges slutligen att ”detta avtal [varken innebär] undantag från eller ändring av parternas lagstiftning; avtalet utgör ej heller grund för några fördelar eller rättigheter för några andra privata eller offentliga personer eller enheter”.

IV – Parlamentets grunder i de två målen

68. Parlamentet har i mål C-317/04 anfört sex grunder till stöd för sitt yrkande om ogiltigförklaring av rådets beslut:

– artikel 95 EG är inte korrekt rättslig grund,

– artikel 300.3 andra stycket EG har åsidosatts genom att direktiv 95/46 har ändrats,

– rätten till skydd för personuppgifter har åsidosatts,

– proportionalitetsprincipen har åsidosatts,

– det omtvistade beslutet är otillräckligt motiverat, och

– principen om lojalt samarbete i artikel 10 EG har åsidosatts.

69. Förenade konungariket Storbritannien och Nordirland och kommissionen har medgetts tillstånd att intervenera till stöd för rådets yrkanden.( ) Vidare har Europeiska datatillsynsmannen (nedan kallad datatillsynsmannen) medgetts tillstånd att intervenera till stöd för parlamentets yrkanden.( )

70. Parlamentet har i mål C-318/04 anfört fyra grunder till stöd för sitt yrkande om ogiltigförklaring av beslutet om adekvat skydd:

– kommissionen har överträtt sina befogenheter,

– väsentliga principer i direktiv 95/46 har åsidosatts,

– grundläggande rättigheter har åsidosatts, och

– proportionalitetsprincipen har åsidosatts.

71. Förenade kungariket har medgetts tillstånd att intervenera till stöd för kommissionens yrkanden.( ) Datatillsynsmannen har medgetts tillstånd att intervenera till stöd för parlamentets yrkanden.( )

72. Jag skall pröva de två målen i den ordning som de omtvistade besluten antagits. Jag kommer således först att pröva talan om ogiltigförklaring av beslutet om adekvat skydd (mål C-318/04), och därefter talan om ogiltigförklaring av rådets beslut (mål C-317/04).

V – Talan om ogiltigförklaring av beslutet om adekvat skydd (mål )

A – Huruvida kommissionen överträtt sina befogenheter genom att anta beslutet om adekvat skydd

1. Parternas argument

73. Parlamentet har till stöd för denna grund för det första anfört att beslutet om adekvat skydd åsidosätter direktiv 95/46, eftersom det avser förverkligandet av ett mål som inte omfattas av direktivets materiella tillämpningsområde, nämligen allmän säkerhet och straffrätt. Detta är uttryckligen stadgat i artikel 3.2 första strecksatsen i direktiv 95/46, vilken bestämmelse inte låter sig tolkas restriktivt. Den omständigheten att personuppgifter insamlas under utövandet av en ekonomisk verksamhet, det vill säga vid försäljningen av en flygbiljett som ger rätt till en tjänst, motiverar inte att direktivet, och i synnerhet inte dess artikel 25, skall tillämpas utanför sitt tillämpningsområde.

74. Parlamentet har för det andra gjort gällande att CBP inte är ett tredjeland i den mening som avses i artikel 25 i direktiv 95/46. I artikel 25.6 föreskrivs att kommissionen kan konstatera att ett ”tredjeland” kan ha en adekvat skyddsnivå för personuppgifter. Detta gäller således endast en stat eller liknande enhet, och inte en administrativ enhet som utövar en del av den verkställande makten i en stat.

75. Parlamentet har för det tredje anfört att kommissionens antagande av beslutet om adekvat skydd utgör ett behörighetsöverskridande eftersom den vidhängande åtagandeförklaringen uttryckligen medger en rätt för CBP att överföra passageraruppgifter till andra amerikanska eller utländska myndigheter.

76. Parlamentet har för det fjärde gjort gällande att beslutet om adekvat skydd medför vissa begränsningar av och undantag från de principer som återfinns i direktiv 95/46, trots att denna behörighet enligt artikel 13 i direktivet uttryckligen är förbehållen medlemsstaterna. Kommissionen har således genom att anta beslutet satt sig i medlemsstaternas ställe, och därmed åsidosatt artikel 13 i nämnda direktiv. Kommissionen har genom ett beslut avseende verkställigheten av direktiv 95/46 tillskansat sig den behörighet som strikt har förbehållits medlemsstaterna.

77. Parlamentet har för det femte gjort gällande att tillhandahållandet av uppgifter genom systemet med ”pull” inte utgör en ”överföring” i den mening som avses i artikel 25 i direktivet. Detta kan således inte tillåtas.

78. Parlamentet har slutligen, mot bakgrund av sambandet mellan beslutet om adekvat skydd och avtalet, anfört att beslutet skall anses vara en åtgärd som inte är lämplig för att utfärda föreskrifter om överföring av passageraruppgifter.

79. Datatillsynsmannen har, till skillnad från parlamentet, anfört att den omständigheten att en person eller institution i ett tredjeland ges tillgång till personuppgifter kan utgöra en överföring och att artikel 25 i direktiv 95/46 således är tillämplig. Enligt datatillsynsmannen skulle nämligen en begränsning av begreppet ”till en överföring som genomförts av avsändaren” kringgå de villkor som föreskrivs i den bestämmelsen, och därmed motverka det skydd för personuppgifter som bestämmelsen ger.

80. Kommissionen har, med stöd av Förenade kungariket, anfört att den verksamhet som bedrivs av lufttrafikföretagen omfattas av gemenskapsrättens tillämpningsområde, och att direktiv 95/46 således är tillämpligt. Det regelsystem som upprättats för passageraruppgifter omfattar inte medlemsstaternas eller offentliga myndigheters aktiviteter, vilka faller utanför gemenskapsrättens tillämpningsområde.

81. Kommissionen har vidare anfört att avtalet undertecknats i Förenta staternas namn, och inte av en statlig myndighet. När det gäller de överföringar som CBP senare kan göra av passageraruppgifter anser kommissionen att dessa inte är oförenliga med tillståndet till sådana överföringar, under förutsättning att dessa är underkastade lämpliga och nödvändiga begränsningar.

82. Kommissionen har slutligen påpekat att artikel 13 i direktiv 95/46 inte är relevant i förevarande mål, och att ”överföring” i den mening som avses i artikel 25 i direktivet för lufttrafikföretagen består i att aktivt göra dessa tillgängliga för CBP. Det ifrågavarande systemet innehåller således överföring i den mening som avses i direktiv 95/46.

2. Bedömning

83. Parlamentet har sålunda gjort gällande att det omtvistade beslutet om adekvat skydd utgör ett åsidosättande av direktiv 95/46, och i synnerhet av artiklarna 3.2, 13 och 25 i detta. Det har i synnerhet gjort gällande att beslutet inte lagligen kan antas med stöd av direktivet.

84. Såsom ovan påpekats är syftet med direktiv 95/46 att, mot bakgrund av den inre marknadens upprättande och funktion, undanröja hinder mot den fria rörligheten av personuppgifter genom att göra skyddsnivån när det gäller enskilda personers fri- och rättigheter med avseende på behandlingen av sådana uppgifter likvärdig i alla medlemsstater.

85. Gemenskapslagstiftaren har vidare avsett att den skyddslagstiftning som sålunda upprättas inte skall äventyras när personuppgifter lämnar gemenskapens territorium. Den har därför föreskrivit att tredjeland skall säkerställa en adekvat skyddsnivå för personuppgifter för att det skall vara tillåtet att överföra sådana uppgifter dit. Direktiv 95/46 innehåller således en förbud mot överföring av personuppgifter till tredjeland som inte kan erbjuda en adekvat skyddsnivå för dessa.

86. I artikel 25 i direktiv 95/46 föreskrivs en rad skyldigheter för medlemsstaterna och kommissionen, i syfte att kontrollera att överföringar av personuppgifter till tredjeland sker med hänsyn till det skydd som sådana uppgifter har i vart och ett av dessa länder. Där anges vidare metod och kriterier för bedömningen av huruvida ett tredjeland skall anses tillhandahålla en adekvat skyddsnivå för de personuppgifter som överförs dit.

87. Domstolen har fastslagit att reglerna för överföringar av personuppgifter till tredjeland utgör en ”speciell ordning, som innehåller speciella bestämmelser vilka syftar till att säkerställa att medlemsstaterna har kontroll över överföringen av personuppgifter till tredje land”. Domstolen har vidare fastslagit att dessa regler utgör ett ”system som kompletterar det allmänna system som införts genom kapitel II i det nämnda direktivet, vilket kapitel avser frågan när personuppgifter får behandlas”.( )

88. Särdragen i de bestämmelser som omger överföringar av personuppgifter till tredjeland förklaras till stor del av den centrala roll som begreppet adekvat skyddsnivå har. Detta begrepp skall, för att bestämma dess omfattning, särskiljas från begreppet likvärdigt skydd, vilket skulle innebära att tredjeland skall erkänna och tillämpa samtliga de principer som direktiv 95/46 innehåller.

89. Begreppet adekvat skyddsnivå innebär att tredjeland skall vara i stånd att säkerställa ett adekvat skydd enligt en modell som bedöms vara acceptabel i fråga om skyddsnivå för personuppgifter. Ett sådant system som grundar sig på att skyddet för personuppgifter är adekvat i ett tredjeland ger medlemsstaterna och kommissionen en avsevärd handlingsfrihet vid deras bedömning av de garantier som lämnas av det land till vilket personuppgifterna överförs. Vägledning för denna bedömning återfinns i artikel 25.2 i direktiv 95/46, där vissa faktorer som får beaktas vid denna bedömning räknas upp .( ) Den regel som gemenskapslagstiftaren uppsatt i detta avseende är att ”[b]edömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter”.

90. Såsom domstolen fastslagit definieras inte begreppet ”överföring till tredje land” i direktiv 95/46.( ) I synnerhet preciseras inte huruvida begreppet omfattar enbart när en registeransvarig aktivt kommunicerar personuppgifter till tredjeland, eller om det omfattar även den situationen att en enhet i ett tredjeland ges behörighet att få tillgång till uppgifter som finns i en medlemsstat. Direktivet innehåller således inga bestämmelser angående på vilka sätt en överföring till tredjeland får ske.

91. Jag anser i motsats till vad parlamentet anfört i förevarande mål att den tillgång som CBP har till passageraruppgifter omfattas av begreppet ”överföring av personuppgifter”. Enligt min mening är nämligen det som är avgörande för att karaktärisera en sådan överföring att personuppgifter flyttas från en medlemsstat till ett tredjeland, i förevarande fall Förenta staterna.( ) Det saknar i detta avseende betydelse huruvida överföringen genomförs av avsändaren eller av mottagaren. Såsom datatillsynsmannen anfört skulle nämligen en begränsning av tillämpningsområdet för artikel 25 i direktiv 95/46 till överföringar som genomförs av avsändaren lätt kunna medföra att de villkor som föreskrivits i den bestämmelsen kringgås.

92. Med detta sagt skall det emellertid framhållas att kapitel IV i direktivet, i vilket artikel 25 ingår, inte reglerar all överföring av personuppgifter, oavsett av vilket slag dessa är, till tredjeland. Det omfattar enligt artikel 25.1 i direktivet endast överföring av personuppgifter som ”är under behandling eller som är avsedda att behandlas efter överföring”.

93. Jag påminner om att det i artikel 2 b i direktiv 95/46 anges att med behandling av personuppgifter avses ” varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter … till exempel insamling, registrering, … inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter …”.( )

94. Systemet i direktiv 95/46 med överföring av personuppgifter till tredjeland är, oavsett dess särdrag som i stor utsträckning grundar sig på begreppet adekvat skydd vilket redogjorts för ovan, underkastat de begränsningar som gäller direktivets tillämpningsområde.( )

95. Frågan är således huruvida en överföring till tredjeland, för att omfattas av bestämmelserna i artikel 25 i direktiv 95/46, måste röra personuppgifter vars behandling, oavsett om den faktiskt sker inom gemenskapen eller endast är avsedd att ske i ett tredjeland, omfattas av direktivets tillämpningsområde. Det är endast om så är fallet som beslutet om adekvat skydd lagligen kan anses utgöra en verkställighetsakt i förhållande till direktiv 95/46.

96. Jag framhåller i detta avseende att, när det gäller direktivets materiella tillämpningsområde, detta inte skall tillämpas på all behandling av personuppgifter som kan omfattas av artikel 2 b. I artikel 3.2 första strecksatsen i direktiv 95/46 anges nämligen att direktivet inte skall tillämpas på behandling av personuppgifter som ”utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område”.( )

97. Enligt min mening utgör inhämtandet, CBP:s användning och utlämnandet till CBP av passageraruppgifter från lufttrafikföretagens inom medlemsstaterna bokningssystem behandling av personuppgifter som rör allmän säkerhet och statens verksamhet på straffrättens område. Denna behandling omfattas således inte av tillämpningsområdet för direktiv 95/46.

98. Syftet med behandlingen som passageraruppgifterna genomgår visas genom lydelsen av beslutet om adekvat skydd. Efter att ha angett att kravet på överföring till CBP av passageraruppgifter grundar sig på en lag som utfärdats i Förenta staterna i november 2001 och på de bestämmelser som utfärdats av CBP med stöd av den lagen,( ) har kommissionen uttalat att ett av syftena med den amerikanska lagstiftningen i fråga är att ”öka säkerheten”.( ) Kommissionen har vidare angett att ”[g]emenskapen [fullständigt stöder] Förenta staternas kamp mot terrorism inom de ramar som fastställs i gemenskapsrätten”.( )

99. Vidare anges i skäl 15 i beslutet om adekvat skydd att ”PNR-uppgifter [endast kommer] att användas i syfte att förebygga och bekämpa terrorism och därmed relaterad kriminalitet samt andra allvarliga brott, inklusive organiserad brottslighet, av gränsöverskridande beskaffenhet och flykt från ett anhållnings- eller häktningsbeslut för dessa brott”.

100. Enligt min mening kan direktiv 95/46, och särskilt dess artikel 25.6, inte utgöra rättslig grund för kommissionen att anta en verkställighetsakt såsom ett beslut avseende den adekvata skyddsnivån för personuppgifter som uttryckligen är uteslutna från direktivets tillämpningsområde. Att på grundval av direktiv 95/46 ge tillstånd till överföringar av sådana uppgifter innebär således att på ett otillåtet sätt utsträcka direktivets tillämpningsområde.

101. Det skall kommas ihåg att direktiv 95/46, som antagits med stöd av artikel 100a i EG-fördraget, definierar de principer för skyddet av personuppgifter som skall tillämpas för behandling av personuppgifter när den registeransvariges verksamhet omfattas av gemenskapsrättens tillämpningsområde, men att det till följd av valet av rättslig grund inte kan reglera statlig verksamhet, såsom sådan verksamhet som avser allmän säkerhet eller eftersträvar repressiva syften, vilken inte omfattas av gemenskapsrätten.( )

102. Det är riktigt att sådan behandling som utgörs av lufttrafikföretagens insamlande och registrering av passageraruppgifter allmänt har ett kommersiellt syfte, eftersom den är direkt knuten till genomförandet av de flygningar som tillhandahålls av lufttrafikföretagen. Det är också riktigt att passageraruppgifterna initialt insamlas av lufttrafikföretagen inom ramen för en verksamhet som omfattas av gemenskapsrätten, det vill säga försäljning av en flygbiljett som ger rätt till en tjänst. Behandlingen av personuppgifter som avses med beslutet om adekvat skydd är emellertid av en helt annan art, då den avser ett senare skede än det initiala insamlandet av uppgifter. Det rör, som ovan anförts, nämligen inhämtandet, CBP:s användning och utlämnandet till CBP av passageraruppgifter från lufttrafikföretagens inom medlemsstaterna i gemenskapen bokningssystem.

103. Beslutet om adekvat skydd rör inte en behandling av uppgifter som är nödvändig för tillhandahållandet av en tjänst, utan som är nödvändig för att säkerställa allmän säkerhet och repressiva syften. Detta är ändamålet med överföringen och behandlingen av passageraruppgifter. Den omständigheten att personuppgifterna insamlats inom ramen för en ekonomisk verksamhet kan således enligt min mening inte motivera en tillämpning av direktiv 95/46, och i synnerhet inte av artikel 25 häri, på ett område där det inte skall tillämpas.

104. Detta är enligt min mening tillräckligt för att fastslå, såsom parlamentet anfört, att kommissionen inte med stöd av artikel 25 i direktiv 95/46 varit behörig att anta ett beslut avseende den adekvata skyddsnivån för personuppgifter som överförs inom ramen för och för en behandling som uttryckligen är utesluten från direktivets tillämpningsområde.( )

105. Beslutet om adekvat skydd utgör således ett åsidosättande av den rättsliga grunden, som är direktiv 95/46, och i synnerhet av dess artikel 25, som inte är en korrekt rättslig grund. Det skall således enligt min mening ogiltigförklaras.

106. Vidare är det, eftersom beslutet om adekvat skydd inte omfattas av tillämpningsområdet för direktiv 95/46, enligt min mening inte relevant att pröva huruvida, såsom parlamentet har gjort gällande, beslutet strider mot de väsentliga principer som fastslagits i direktivet.( ) Jag kommer således inte att pröva den andra grunden.

107. När det gäller den tredje och fjärde grunden för förevarande talan, som jag endast kommer att pröva subsidiärt, kan dessa inte bedömas annat än gemensamt eftersom ett eventuellt åsidosättande av grundläggande rättigheter med nödvändighet innefattar att beslutet åsidosätter proportionalitetsprincipen med avseende på det ändamål som eftersträvas med detta. Jag föreslår således att domstolen skall pröva den tredje och den fjärde grunden gemensamt.

B – Åsidosättande av grundläggande rättigheter och av proportionalitetsprincipen

108. Parlamentet har gjort gällande att beslutet om adekvat skydd inte uppfyller rätten till skydd för personuppgifter såsom den säkerställs genom artikel 8 i EMRK. Parlamentet anser, när det gäller de närmare villkor som föreskrivs i den bestämmelsen, att beslutet innebär ett intrång i privatlivet som inte kan anses föreskrivet i lag, eftersom det rör sig om en åtgärd som inte är tillgänglig och förutsebar. Parlamentet har vidare anfört att denna åtgärd inte är proportionerlig i förhållande till det ändamål som eftersträvas, särskilt med hänsyn till det mycket stora antal typer av passageraruppgifter som begärs och den mycket långa tid under vilka dessa uppgifter skall bevaras.

109. I dess talan i mål C-317/04, som avser ogiltigförklaring av rådets beslut, har parlamentet åberopat dessa två grunder, och till stöd för dessa utvecklat argument som i stora delar sammanfaller. Enligt min mening bör dessa argument i de båda målen prövas tillsammans, och den prövningen bör lämpligen genomföras inom ramen för bedömningen i mål C-317/04.

110. Det framgår nämligen av de argument som parterna anfört i sina inlagor att det inte är möjligt att separat, med avseende på rätten till skydd för privatlivet, gripa sig an de enskilda komponenterna i regelsystemet avseende CBP:s behandling av PNR-uppgifter,( ) det vill säga avtalet såsom det godkänts av rådet, beslutet om adekvat skydd och CBP:s åtaganden som bifogats kommissionens beslut. Parterna har vid upprepade tillfällen hänvisat till den ena eller den andra av dessa rättsakter när de sökt underbygga sin talan.

111. Sambandet mellan dessa tre komponenter i bestämmelserna om passageraruppgifter framgår även uttryckligen av lydelsen av avtalet. Såväl CBP:s åtaganden som beslutet om adekvat skydd nämns nämligen i ingressen till avtalet. Vidare anges i punkt 1 i avtalet att CBP skall ha tillgång till passageraruppgifter ”i strikt överensstämmelse med bestämmelserna i beslutet [om adekvat skydd] så länge som det tillämpas … ”. Även om det i punkt 2 i avtalet anges att lufttrafikföretagen skall föra över passageraruppgifter ”efter CBP:s begäran i enlighet med amerikansk lagstiftning” skall det ske ”i strikt överensstämmelse med bestämmelserna i beslutet [om adekvat skydd] så länge som det tillämpas”. Slutligen anges i punkt 3 i beslutet att ”CBP noterar beslutet [om adekvat skydd] och förklarar att det tillämpar den åtagandeförklaring som bifogats de[t]samma”.

112. Den rätt till tillgång till passageraruppgifter som CBP fått genom avtalet och den skyldighet att behandla dessa uppgifter som åvilar de lufttrafikföretag som utpekas i avtalet är således underställda en strikt och effektiv tillämpning av beslutet om adekvat skydd.

113. Mot bakgrund av sambandet mellan dessa tre komponenter i PNR-bestämmelserna och den omständigheten att parlamentet i båda de mål som domstolen har att avgöra har åberopat grunder avseende åsidosättande av grundläggande rättigheter och av proportionalitetsprincipen, anser jag att dessa grunder avser att domstolen skall konstatera att PNR-bestämmelserna, i dess tre beståndsdelar, är oförenliga med rätten till skydd för privatlivet i artikel 8 i EMRK. Enligt min mening vore det nämligen konstlat att pröva beslutet om adekvat skydd utan att ta hänsyn till avtalet, vilket medför vissa skyldigheter för lufttrafikföretagen, och även det motsatta, nämligen att pröva detta avtal utan att ta hänsyn till de andra texter till vilka avtalet uttryckligen hänvisar.

114. Eftersom systemet är uppbyggt av ett flertal delar som inte kan särskiljas bör bedömningen enligt min mening inte uppdelas på ett konstlat sätt.

115. Det intrång i privatlivet som här är i fråga består, utifrån detta synsätt, av avtalet såsom det godkänts genom rådets beslut, av beslutet om adekvat skydd och av CBP:s åtaganden tagna tillsammans. För att avgöra om detta intrång är föreskrivet i lag, om det sker för att fylla ett legitimt syfte och om det är nödvändigt i ett demokratiskt samhälle, är det också nödvändigt att, såsom parlamentet gjort i sina två ansökningar, beakta hela den ”treväxlade mekanism” som sålunda upprättats. Jag skall, för att kunna göra en helhetsbedömning av PNR-bestämmelserna, fortsätta med den bedömningen inom ramen för prövningen av talan om ogiltigförklaring av rådets beslut.

VI – Talan om ogiltigförklaring av rådets beslut (mål C-317/04)

A – Huruvida artikel 95 EG var en korrekt rättslig grund för rådets beslut

1. Parternas argument

116. Parlamentet har gjort gällande att artikel 95 EG inte är en korrekt rättslig grund för rådets beslut. Beslutets syfte eller verkan är nämligen inte den inre marknadens upprättande och funktion. Syftet med rådets beslut är snarare att legalisera den behandling av personuppgifter som genomförs av amerikanska myndigheter, och som föreskrivs i amerikansk lag med skyldigheter för företag som är etablerade inom gemenskapens territorium. I beslutet anges inte på vilket sätt lagstiftningen om överföring av personuppgifter bidrar till den inre marknadens upprättande eller funktion.

117. Enligt parlamentet kan inte heller innehållet i rådets beslut motivera användandet av artikel 95 EG som rättslig grund. Beslutet innebär att en rätt för CBP att få tillgång till lufttrafikföretagens inom gemenskapen bokningssystem, för att dessa,, i enlighet med amerikansk lag, skall kunna genomföra flygningar mellan Förenta staterna och medlemsstaterna, i syfte att förhindra och bekämpa terrorism. Genomförandet av dessa ändamål omfattas inte av artikel 95 EG.

118. Parlamentet har slutligen anfört att artikel 95 EG inte medför behörighet för gemenskapen att sluta avtalet i fråga, i den mån det syftar till behandling av personuppgifter som sker för att säkerställa allmän säkerhet, vilken behandling således inte omfattas av tillämpningsområdet för direktiv 95/46, som antagits med stöd av artikel 95 EG.

119. Rådet har gjort gällande att det var korrekt att anföra artikel 95 EG som rättslig grund för dess beslut. Enligt rådet får denna artikel anföras som rättslig grund för åtgärder som syftar till att säkerställa att konkurrensvillkoren inte snedvrids på den inre marknaden. Avtalet syftar till att undanröja varje störning av konkurrensen mellan lufttrafikföretagen i gemenskapen och lufttrafikföretagen i tredjeland som kan uppkomma till följd av amerikanska krav och skyddet för personliga fri- och rättigheter. Konkurrensvillkoren för de företag i medlemsstaterna som tillhandahåller internationella passagerartransporttjänster till eller från Förenta staterna skulle snedvridas ifall bara vissa av dessa skulle ge amerikanska myndigheter tillgång till sina databaser med personuppgifter.

120. Rådet har vidare anfört dels att de av lufttrafikföretagen som inte uppfyller amerikanska krav skulle vidkännas böter som utfärdas av amerikanska myndigheter, råka ut för förseningar och förlora passagerare till förmån för andra lufttrafikföretag som träffat uppgörelser med Förenta staterna, dels att vissa medlemsstater skulle kunna bestraffa de lufttrafikföretag som överför personuppgifter, medan andra medlemsstater inte nödvändigtvis skulle handla på samma sätt.

121. Mot denna bakgrund och i avsaknad av gemensamma bestämmelser om amerikanska myndigheters tillgång till passageraruppgifter, anser rådet att konkurrensvillkoren skulle riskera att snedvridas och att enhetligheten på den inre marknaden skulle kunna skadas allvarligt. Det var således nödvändigt att upprätta harmoniserade villkor angående amerikanska myndigheters tillgång till passageraruppgifter, samtidigt som gemenskapens krav på upprätthållande av grundläggande rättigheter tillgodosågs. Det gällde att säkerställa att alla berörda företag underkastats harmoniserade villkor och att de externa aspekterna av den inre marknadens upprättande och funktion tillgodosågs.

122. Rådet har slutligen anmärkt att avtalet träffats efter att beslutet om adekvat skydd antagits med stöd av artikel 25.6 i direktiv 95/46. Enligt rådet var det således både normalt och korrekt att hänvisa till samma rättsliga grund som direktivet, det vill säga artikel 95 EG.

123. Kommissionen har i sin interventionsinlaga anfört att skälen i ingressen till avtalet visar att det främsta syftet för Förenta staterna var att bekämpa terrorismen, medan det för gemenskapen var att bibehålla de grundläggande beståndsdelarna i sin lagstiftning angående skyddet för personuppgifter.

124. Kommissionen har, samtidigt som den kritiserat valet av artikel 95 EG som rättslig grund för rådets beslut, anmärkt att parlamentet inte presenterat något trovärdigt alternativ. Enligt kommissionen är artikel 95 EG den ”naturliga” rättsliga grunden för rådets beslut, i den mån som den externa dimensionen av skyddet för personuppgifter måste grundas på samma bestämmelse i fördraget som ligger till grund för den interna åtgärd som direktiv 95/46 utgör, och detta gäller i än högre grad eftersom denna externa aspekt uttryckligen anges i artiklarna 25 och 26 i direktivet. Vidare har, med hänsyn till det nära sambandet mellan avtalet, beslutet om adekvat skydd och CBP:s åtaganden, artikel 95 EG visat sig vara den korrekta rättsliga grunden. I alla händelser har kommissionen gjort gällande att rådet varit behörigt att sluta avtalet med stöd av artikel 95 EG, eftersom direktiv 95/46 skulle ha påverkats i den mening som avses i domen i målet AETR,( ) för det fall att medlemsstaterna var för sig eller tillsammans hade träffat ett sådant avtal utanför gemenskapens ramar.

125. Kommissionen har slutligen gjort gällande att den inledande behandlingen av personuppgifter som lufttrafikföretagen genomför sker i kommersiellt syfte. Användningen av dessa uppgifter hos amerikanska myndigheter skall således anses omfattas av direktiv 95/46.

2. Bedömning

126. Genom sin första grund vill parlamentet att domstolen skall avgöra huruvida artikel 95 EG är den korrekta rättsliga grunden för rådets beslut angående gemenskapens ingående av ett internationellt avtal såsom det som är aktuellt i förevarande mål. Vid besvarandet av denna fråga skall domstolens fasta praxis angående valet av rättslig grund tillämpas. Enligt denna skall valet av rättslig grund för en rättsakt inom gemenskapen ske utifrån objektiva kriterier, som kan bli föremål för domstolsprövning. Bland dessa kriterier ingår bland annat rättsaktens syfte och innehåll.( ) Det är nämligen så, att ”inom ramen för gemenskapens system för kompetensfördelning kan valet av rättslig grund för en rättsakt inte bero enbart på en institutions uppfattning om det eftersträvade målet …”.( )

127. Domstolen har fastslagit att ”valet av lämplig rättslig grund är av konstitutionell betydelse. Eftersom gemenskapen enbart har den behörighet som den tilldelats måste den nämligen anknyta [det aktuella internationella avtalet] till en bestämmelse i fördraget som ger den [behörighet] att godkänna en sådan rättsakt. Om en felaktig rättslig grund används kan detta således göra själva ingåenderättsakten ogiltig och följaktligen göra gemenskapens samtycke att vara bunden av det avtal som den har undertecknat ogiltigt”.( )

128. Jag kommer således att, i enlighet med den bedömningsmodell som domstolen angivit, pröva huruvida avtalets med Förenta staterna syfte och innehåll medfört behörighet för rådet att med stöd av artikel 95 EG anta ett beslut om att, enligt dess artikel 1, godkänna avtalet på gemenskapens vägnar.

129. När det gäller avtalets syfte framgår det uttryckligen av punkt 1 i ingressen till detta att det har två syften, nämligen dels att förhindra och bekämpa terrorism och brott som hör samman med terrorism, liksom andra grova brott av transnationell karaktär, i synnerhet organiserad brottslighet,( ) dels att respektera grundläggande fri- och rättigheter, i synnerhet skyddet för privatlivet.

130. Syftet att bekämpa terrorismen och andra grova brott bekräftas av hänvisningen, i punkt 2 i avtalets ingress, till amerikanska lagar och andra bestämmelser som antagits efter terroristattentaten den 11 september 2001, enligt vilka alla lufttrafikföretag som utför passagerartransporter till eller från Förenta staterna skall ge CBP elektronisk tillgång till PNR-uppgifter som insamlats och bevarats i företagens elektroniska boknings- och avgångssystem.

131. När det gäller syftet att respektera grundläggande fri- och rättigheter framgår detta genom hänvisningen till direktiv 95/46. Det är här fråga om att säkerställa skyddet för personuppgifter för de fysiska personer som företagen transporterar.

132. Detta säkerställande har eftersträvats såväl inom ramen för CBP:s åtaganden av den 11 maj 2004, vilka enligt punkt 4 i avtalets ingress har offentliggjorts i Federal Register, som inom ramen för beslutet om adekvat skydd, till vilket det hänvisas i punkt 5 i samma ingress.

133. Dessa två ändamål skall enligt punkt 1 i ingressen till avtalet eftersträvas samtidigt. Avtalet mellan gemenskapen och Förenta staterna är således ett försök att jämka samman dessa båda syften, det vill säga att avtalet grundas på den tanken att bekämpandet av terrorismen och andra grova brott skall ske med säkerställande av grundläggande fri- och rättigheter, i synnerhet skyddet för privatlivet, och närmare bestämt skyddet för personuppgifter.

134. Avtalets innehåll bekräftar denna bedömning. I punkt 1 i avtalet föreskrivs nämligen att CBP skall ha elektronisk tillgång till PNR-uppgifter från lufttrafikföretags boknings- och avgångssystem belägna på medlemsstaternas territorium ”i strikt överensstämmelse med bestämmelserna i beslutet om adekvat skydd så länge som det tillämpas”. Jag drar av detta slutsatsen att bekämpandet av terrorism och andra grova brott genom att ge tillgång till passageraruppgifter endast tillåts så länge Förenta staterna anses tillgodose en adekvat skyddsnivå för dessa uppgifter. Innehållet i denna bestämmelse ger således uttryck för det samtidiga eftersträvandet av målen att bekämpa terrorism och andra grova brott och skyddet för personuppgifter.

135. Samma sak kan konstateras när det gäller punkt 2 i avtalet, i vilken det föreskrivs att de lufttrafikföretag som bedriver utrikes passagerartrafik till och från Förenta staterna skall föra över PNR-uppgifter som bevaras i deras elektroniska bokningssystem ”efter CBP:s begäran i enlighet med amerikansk lagstiftning och i strikt överensstämmelse med bestämmelserna i beslutet [om adekvat skydd] så länge som det tillämpas”. Också i detta fall är den skyldighet som föreskrivits för lufttrafikföretagen i syfte att bekämpa terrorism och andra grova brott nära förbunden med ett adekvat skydd för flygpassagerarnas personuppgifter.

136. Det finns även andra bestämmelser i avtalet som syftar till att genomföra målen att dels bekämpa terrorism och andra grova brott, dels skydda flygpassagerarnas personuppgifter.

137. Vad gäller skyddet för passagerarnas personuppgifter föreskrivs i punkt 3 i avtalet att ”CBP noterar beslutet [om adekvat skydd] och förklarar att det tillämpar den åtagandeförklaring som bifogats de[t]samma”.

138. I punkt 6 i avtalet anges att för det fall att Europeiska unionen i sin tur skulle införa ett identifieringssystem för flygpassagerare vilket kräver att lufttrafikföretag ger myndigheterna tillgång till PNR-uppgifter om personer vilkas resrutt omfattar en flygning till eller från Europeiska unionen, skall Department of Homeland Security, ”i den mån det är praktiskt genomförbart och helt och hållet grundat på ömsesidighet, aktivt uppmana flygbolag inom dess jurisdiktion att samarbeta”. Denna bestämmelse avser även den att genomföra målet att bekämpa terrorism och andra grova brott.

139. Jag skall i detta avseende, till svar på vissa argument som framförts av kommissionen, anföra att det förefaller svårligen kunna påstås att det är Förenta staterna som ensidigt och självt eftersträvar målet att bekämpa terrorism och andra grova brott, medan gemenskapen endast har för avsikt att skydda flygpassagerarnas personuppgifter.( ) Enligt min mening är avtalets syfte och innehåll ur båda parters synvinkel och samtidigt att jämka samman ändamålen att dels bekämpa terrorism och andra grova brott, dels skydda flygpassagerarnas personuppgifter. Avtalet utgör på detta sätt ett samarbete mellan de fördragsslutande parterna som är avsett just att uppnå detta dubbla syfte samtidigt.

140. Med avseende på avtalets sålunda beskrivna syfte och innehåll anser jag att artikel 95 EG inte är en korrekt rättslig grund för rådets beslut.

141. Jag påminner om att det i artikel 95.1 EG föreskrivs att rådet får vidta åtgärder för tillnärmning av sådana bestämmelser i lagar och andra författningar i medlemsstaterna som syftar till att upprätta den inre marknaden och få den att fungera.

142. Den behörighet som gemenskapen tilldelats genom denna artikel i fördraget är av horisontell karaktär, det vill säga den är inte begränsad till något visst sakområde. Omfattningen av gemenskapens behörighet har således definierats ”på grundval av ett funktionellt kriterium som omfattar alla åtgärder som är avsedda att förverkliga den ’inre marknaden’ ”.( )

143. Det framgår vidare av domstolens praxis att de åtgärder som avses i artikel 95.1 EG syftar till att förbättra villkoren för upprättandet av den inre marknaden och dess funktion och att de faktiskt skall uppfylla ett sådant syfte, genom att bidra till att undanröja hinder för den fria rörligheten för varor och friheten att tillhandahålla tjänster samt till att förhindra snedvridningar av konkurrensen.( ) Det framgår även av domstolens praxis att även om artikel 95 EG får användas som rättslig grund för att förebygga att framtida handelshinder uppstår till följd av en olikartad utveckling av nationella lagar, är det emellertid sannolikt att sådana hinder kan uppstå och åtgärden i fråga skall ha till syfte att förebygga dem.( )

144. Såsom ovan anförts har rådet gjort gällande att det var korrekt av det att anta beslutet med stöd av artikel 95 EG, eftersom avtalet har bidragit till att förhindra att den inre marknadens enhetlighet har vållats allvarlig skada genom att konkurrensstörningar mellan lufttrafikföretagen i medlemsstaterna och lufttrafikföretagen i tredjeland har undanröjts.

145. Det skall visserligen anmärkas att skäl 2 i rådets beslut innehåller en hänvisning till att ”det är synnerligen brådskande att åtgärda den situation av osäkerhet som lufttrafikföretag och passagerare befinner sig i samt skydda de berördas finansiella intressen”. Detta kan förstås som en hänvisning till de sanktioner som behöriga amerikanska myndigheter skulle kunna ålägga de lufttrafikföretag som vägrade att ge tillgång till passageraruppgifterna för sina resenärer, vilket skulle få ekonomiska konsekvenser för dessa företag. Det är tänkbart att de negativa ekonomiska konsekvenser för vissa företag som dessa sanktioner i så fall skulle få skulle snedvrida konkurrensen mellan samtliga lufttrafikföretag som etablerats inom medlemsstaternas territorium.

146. Det kan även tänkas att skillnader i uppfattning mellan medlemsstaterna, där vissa vid vite skulle förbjuda lufttrafikföretagen inom dess territorium att överföra passageraruppgifter för sina resenärer medan andra inte gör så skulle kunna påverka, om än indirekt, den inre marknadens funktion genom den eventuella snedvridning av konkurrensen som kunde följa mellan lufttrafikföretagen.

147. Det skall emellertid konstateras att ett sådant syfte att förhindra snedvridningar i konkurrensen, i den mån rådet verkligen eftersträvat det, är av underordnad art jämfört med de två huvudsakliga syftena att bekämpa terrorism och andra grova brott samt skydda resenärernas personuppgifter vilka, såsom beskrivits ovan, nämns uttryckligen och verkligen genomförs i avtalets bestämmelser.

148. Syftet att förhindra snedvridningar i konkurrensen, av vilket slag dessa må vara, mellan lufttrafikföretagen i medlemsstaterna och dem i tredjeland, nämns på intet sätt uttryckligen i avtalets bestämmelser. Det är underförstått och således underordnat de två övriga syftena.

149. Såsom domstolen fastslagit kan ”enbart det förhållandet att en rättsakt kan ha viss inverkan på den inre marknadens upprättande och funktion inte i sig självt motivera att nyssnämnda artikel åberopas som rättslig grund för rättsakten”.( )

150. Framför allt framgår det av domstolens fasta praxis att när bedömningen av en gemenskapsrättsakt visar att den har flera syften eller flera beståndsdelar och ett, respektive en, av dessa kan identifieras som det huvudsakliga eller avgörande, medan det, respektive den, andra endast är av underordnad betydelse, skall rättsakten endast ha en rättslig grund, nämligen den som krävs med hänsyn till det huvudsakliga eller avgörande syftet eller den huvudsakliga eller avgörande beståndsdelen.( ) Om det visas att en rättsakt har flera syften, vilka har ett sådant samband att de inte kan åtskiljas, utan att det ena syftet är sekundärt och indirekt i förhållande till det andra, kan en sådan rättsakt i undantagsfall ha flera rättsliga grunder som motsvarar syftena.( ) Så är enligt min mening inte fallet i förevarande mål.

151. Jag skall också påpeka att, även om de tre syftena skulle anses vara sådana att de inte kan åtskiljas i avtalet, rådets val att endast åberopa artikel 95 EG som rättslig grund för sitt beslut ändå skulle anses vara felaktigt enligt denna rättspraxis.

152. Det framgår nämligen vid en närmare granskning av hela skäl 2 i rådets beslut att hänvisningen till att det är ”synnerligen brådskande” har gjorts i det huvudsakliga syftet att motivera den frist som fastställts för parlamentet att lämna sitt yttrande, i enlighet med artikel 300.3 första stycket EG, i vilken det föreskrivs att när det gäller förfarandet för ingående av avtal skall ”Europaparlamentet … avge sitt yttrande inom den tid som rådet får bestämma med hänsyn till hur brådskande ärendet är”. I den bestämmelsen anges även att ”[o]m ett yttrande inte har avgetts inom denna tid, får rådet fatta beslut”. Detta är det förfarande som tillämpats vid antagandet av rådets beslut.

153. Med andra ord anser jag att även om den omständigheten att det var ”synnerligen brådskande att åtgärda den situation av osäkerhet som lufttrafikföretag och passagerare befinner sig i samt skydda de berördas finansiella intressen” verkligen hade kunnat beaktas inom ramen för upprättandet av PNR-bestämmelserna, förefaller detta beaktande ha spelat en större roll inom ramen för det förfarande som tillämpats än vid angivandet av avtalets mål och innehåll.

154. Vad gäller rådets och kommissionens argument att en rättsakt avseende den externa dimensionen av skyddet för personuppgifter skall antas med stöd av samma rättsliga grund som den interna rättsakt som direktiv 95/46 utgör, skall jag framhålla att domstolen fastslagit att den omständigheten att en viss fördragsbestämmelse använts som rättslig grund för antagandet av en intern rättsakt inte är tillräckligt för att visa att samma rättsliga grund skall användas för godkännandet av ett internationellt avtal med liknande syfte.( ) Jag har dessutom ovan klargjort att avtalet varken till syfte eller innehåll förbättrar den inre marknadens funktion, medan direktiv 95/46, som antagits med stöd av artikel 95 EG, ”syftar till att genom tillnärmning av nationella bestämmelser om skyddet av fysiska personer i samband med behandlingen av personuppgifter säkerställa det fria flödet av dessa uppgifter mellan medlemsstaterna”.( )

155. Mot bakgrund av vad som ovan anförts anser jag att prövningen av avtalets syfte och innehåll visar att artikel 95 EG inte var den korrekta rättsliga grunden för rådets beslut.

156. Följaktligen föreslår jag att domstolen skall bifalla parlamentets talan med stöd av den första grunden. Rådets beslut skall således ogiltigförklaras till följd av det felaktiga valet av rättslig grund.

157. Det skulle förvisso vara intressant att ställa frågan vilken rättslig grund som vore den korrekta för ett sådant beslut. Domstolen har emellertid inte att avgöra denna delikata fråga inom ramen för förevarande mål. Jag skall därför begränsa mig till några allmänna anmärkningar angående arten av PNR-bestämmelserna såsom de förhandlats fram med Förenta staterna.

158. Till att börja med visar enligt min mening, till skillnad från vad rådet gjort gällande, den omständigheten att PNR-bestämmelserna inte har upprättats inom ramen för EU-fördraget inte att rådets och kommissionens tillvägagångssätt varit juridiskt korrekt.

159. Vidare och mer allmänt anser jag att en rättsakt i vilken det föreskrivs att personuppgifter skall insamlas och användas av en enhet som har till uppgift att säkerställa den inre säkerheten i en stat, liksom tillhandahållandet av dessa uppgifter till en sådan enhet, kan likställas med samarbete mellan offentliga myndigheter.( )

160. Vidare föreligger det ingen grundläggande skillnad mellan att föreskriva att en juridisk person skall genomföra en sådan behandling av dessa personuppgifter och ett direkt utbyte av uppgifter mellan offentliga myndigheter.( ) Det avgörande är den obligatoriska överföringen av uppgifter för säkerhets- och repressiva ändamål, och inte det specifika tillvägagångssättet i den ena eller den andra situationen. Förevarande mål rör ett nytt problem, som avser användning av kommersiella uppgifter i repressivt syfte.( )

161. Det skall slutligen anmärkas att förstainstansrätten har fastslagit att ”kampen mot den internationella terrorismen … inte kan hänföras till något av de mål för gemenskapen som uttryckligen anges i artiklarna 2 EG och 3 EG”.( )

162. Med hänsyn till att min bedömning av den första grunden är att föreslå att domstolen skall ogiltigförklara rådets beslut till följd av det felaktiga valet av rättslig grund, skall jag endast subsidiärt pröva de övriga grunder som parlamentet åberopat till stöd för förevarande talan.

B – Åsidosättande av artikel 300.3 andra stycket EG genom att direktiv 95/46 ändrats

1. Parternas argument

163. Parlamentet har genom denna andra grund gjort gällande att avtalet mellan gemenskapen och Förenta staterna endast kunde godkännas för gemenskapens räkning enligt det förfarande som anges i artikel 300.3 andra stycket EG. Det föreskrivs nämligen i den bestämmelsen att det ”krävs Europaparlamentets samtycke för ingåendet av sådana avtal … som medför ändring av en rättsakt som har antagits enligt förfarandet i artikel 251”. Enligt parlamentet medför det ifrågavarande avtalet ändringar i direktiv 95/46, vilket antagits enligt förfarandet i artikel 251 EG.

164. Enligt parlamentets uppfattning är de åtaganden som de amerikanska myndigheterna godtagit enligt avtalet mindre långtgående än de villkor för behandling av personuppgifter som föreskrivs i direktiv 95/46. Således kan avtalet medföra avvikelser från vissa väsentliga principer i direktivet, och medföra att behandling av personuppgifter som inte är tillåten enligt direktivet blir laglig. Avtalet modifierar på detta sätt direktiv 95/46. Parlamentet har i synnerhet pekat på följande ändringar.

165. Avtalet avser förhindrande och bekämpande av terrorism, medan det i artikel 3.2 första strecksatsen i direktiv 95/46 anges att överföring av personuppgifter till offentliga myndigheter i tredjeland av skäl som har att göra med den allmänna säkerheten i det landet inte omfattas av direktivets tillämpningsområde. Parlamentet har anmärkt att medlemsstaterna infört sådana bestämmelser i Europolkonventionen, och att det således kan antas att dessa båda instrument, som antagits med stöd av olika bestämmelser, i viss mån kompletterar varandra.

166. För det andra utgör även behöriga amerikanska myndigheters möjlighet att få direkt tillgång till personuppgifter inom gemenskapens territorium (”pull-systemet”) en ändring av direktiv 95/46. I artiklarna 25 och 26 i direktivet finns nämligen inget som medger att tredjeland har rätt till en direkt tillgång till dessa uppgifter.

167. För det tredje ger avtalet, med hänvisning till åtagandena, CBP rätt att från fall till fall fritt överföra passageraruppgifter till brottsbekämpande myndigheter eller för att bekämpa terrorism utanför Förenta staterna. Denna handlingsfrihet som givits de amerikanska myndigheterna innebär ett åsidosättande av direktiv 95/46, och i synnerhet artikel 25.1 i detta, där det föreskrivs att ”överföring av personuppgifter … till tredje land endast får ske om ifrågavarande tredje land … säkerställer en adekvat skyddsnivå”. Enligt parlamentet skulle nämligen systemet för skydd av personuppgifter som upprättats genom direktivet omintetgöras ifall det tredjeland som är föremål för ett positivt beslut om adekvat skydd därefter fritt kunde överföra personuppgifter till andra länder som kommissionen inte granskat.

168. För det fjärde medför avtalet en förändring av direktiv 95/46 genom att CBP, även om det inte skulle välja att använda ”känsliga” personuppgifter, har givits en rätt att insamla sådana uppgifter, vilket utgör behandling i den mening som avses i artikel 2 b i direktivet.

169. Parlamentet har för det femte anfört att avtalet ändrar direktivet genom att rätten till prövning i domstol om sådana kränkningar av rättigheter som skyddas av den nationella lagstiftning som är tillämplig, som föreskrivs i artikel 22 i direktiv 95/46, inte har säkerställts på ett tillfredställande sätt. Framför allt kan en person vars passageraruppgifter överförts inte på något sätt föra talan, till exempel när uppgifterna använts felaktigt, vid användning av känsliga uppgifter eller när uppgifter överförs till andra myndigheter.

170. För det sjätte och sista har parlamentet pekat på den mycket långa tid under vilken passageraruppgifter som överförts till CBP får förvaras, vilket innebär en ändring av direktivet, och i synnerhet dess artikel 6.1 e, i vilket det föreskrivs att en förvaring inte får pågå ”under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades”.

171. Datatillsynsmannen har stött parlamentets yrkanden och gjort gällande att avtalet påverkar direktiv 95/46. Enligt datatillsynsmannen kunde avtalet endast slutas under parlamentets demokratiska kontroll, eftersom det påverkar nivån på harmoniseringen mellan nationella lagar såsom den kommit till uttryck i direktivet, och även iakttagandet av grundläggande rättigheter. Enligt datatillsynsmannen orsakas påverkan på skyddsnivån för personuppgifter enligt direktivet främst genom att lufttrafikföretagen enligt såväl ”pull-systemet” som ”push-systemet” är skyldiga att handla i strid med direktivet, och i synnerhet artikel 6.1 b och 6.1 c i detta. Eftersom denna påverkan på skyddsnivån för personuppgifter innebär en förändring av direktiv 95/46 skulle förfarandet enligt artikel 300.3 andra stycket ha iakttagits. Datatillsynsmannen har vidare anfört att ”de materiella garantierna” heller inte har iakttagits, i synnerhet som CBP:s åtaganden är av frivillig art.

172. Rådet har, med stöd av kommissionen, anfört att avtalet inte innebär någon ändring av direktiv 95/46. Rådet har till stöd för den uppfattningen hänvisat till punkt 8 i avtalet, i vilken det anges att avtalet varken ”innebär … undantag från eller ändring av parternas lagstiftning”. Rådet har vidare anfört att kommissionen i direktiv 95/46 ges en betydande handlingsfrihet vid bedömningen av huruvida ett tredjeland ger ett adekvat skydd. Enligt rådet skall frågan huruvida kommissionen har gått utöver denna handlingsfrihet snarare prövas inom ramen för talan om ogiltigförklaring av beslutet om adekvat skydd i mål C-318/04.

173. Rådet har även anfört att de mål (säkerhet, kampen mot terrorism eller annat) som fått CBP att kräva överföring av passageraruppgifter varken är avtalets syfte eller innehåll ur gemenskapens synvinkel. I direktiv 95/46 föreskrivs vidare att personuppgifter inom ramen för den inre marknaden får användas för legitima ändamål, såsom skyddet för en stats säkerhet.

174. Enligt rådet skulle det, även om gemenskapen inte varit behörig att sluta avtalet, inte ha varit nödvändigt att erhålla parlamentets samtycke till följd av den föregivna ändringen av direktiv 95/46. Ett samtycke från parlamentet kan nämligen inte i något fall medföra att gemenskapens behörighet utvidgas.

175. När det gäller CBP:s möjligheter att få direkt tillgång till passageraruppgifter (”pull-systemet”, som för närvarande tillämpas i avvaktan på ”push-systemet”) har rådet anfört att även om det inte uttryckligen nämns någon sådan möjlighet i direktiv 95/46, så innehåller direktivet heller inget förbud mot detta. Ur gemenskapens synvinkel är det villkoren för tillgång till personuppgifter som är avgörande.

176. Kommissionen har anfört att oavsett för vilka ändamål som CBP använder personuppgifterna är och förblir dessa uppgifter för lufttrafikföretagen inom gemenskapen sådana kommersiella uppgifter som omfattas av tillämpningsområdet för direktiv 95/46 och som således skall skyddas och behandlas i enlighet med det direktivet.

2. Bedömning

177. När det gäller gemenskapens slutande av internationella avtal är den allmänna regeln utanför den gemensamma handelspolitikens ram att parlamentet skall höras. Så föreskrivs i artikel 300.3 första stycket EG, vilken omfattar det fallet att avtalet rör ett område där medbestämmandeförfarandet enligt artikel 251 EG är tillämpligt för antagande av interna bestämmelser.

178. Med avvikelse från denna allmänna regel föreskrivs i artikel 300.3 andra stycket EG att parlamentets samtycke krävs i fyra fall, av vilka ”sådana avtal som medför ändring av en rättsakt som har antagits enligt förfarandet i artikel 251” är av intresse i förevarande mål. Den bestämmelsen säkerställer att parlamentet i egenskap av medverkande i lagstiftningen ges kontroll över huruvida ett internationellt avtal medför förändringar av en rättsakt som antagits av parlamentet.

179. Direktiv 95/46 har antagits med tillämpning av medbestämmandeförfarandet. Parlamentet har gjort gällande att eftersom avtalet medför förändringar av direktivet krävdes det således parlamentets godkännande för rådets beslut att godkänna avtalet för gemenskapens räkning.

180. Jag skall inledningsvis, vid prövningen av huruvida vad parlamentet sålunda anfört är välgrundat, framhålla att det enligt min mening saknar betydelse att det i punkt 8 i avtalet angivits att det varken ”innebär … undantag från eller ändring av parternas lagstiftning”. Vad som skall prövas vid avgörandet av huruvida artikel 300.3 andra stycket EG är tillämplig är nämligen ifall avtalet innebär någon ändring av den interna gemenskapsrättsliga akten, det vill säga huruvida dess verkan är att rättsakten ändras, oberoende av huruvida detta är dess syfte.

181. Med detta sagt förefaller det som om domstolen ännu inte haft att uttala sig angående innebörden av det relativt vaga uttrycket ”medför ändring av en rättsakt som har antagits enligt förfarandet i artikel 251”.( ) Vissa författare har frågat sig huruvida ”ändring” innebär att endast ”en förändring som är oförenlig med lydelsen” av den interna rättsakten eller att ”varje förändring av rättsakten, även om den är förenlig med lydelsen” av den interna rättsakten medför krav på parlamentets samtycke.( )

182. Det uttryck som används i artikel 300.3 andra stycket EG ger även upphov till frågan huruvida avtalets tillämpningsområde, i vart fall delvis, måste omfatta detsamma som den interna rättsakten för att parlamentets samtycke skall krävas, eller om det är tillräckligt att en intern rättsakt antagits med stöd av samma rättsliga grund som används för slutandet av avtalet.( )

183. Enligt min allmänna uppfattning är det ett villkor för att ett internationellt avtal skall anses medföra en ”ändring” av en gemenskapsrättslig akt som antagits enligt medbestämmandeförfarandet att avtalets tillämpningsområde omfattar detsamma som den interna rättsakten. I sådant fall kan nämligen en ändring av den interna rättsakten uppkomma antingen genom att avtalet innehåller en bestämmelse som står i strid med en bestämmelse i den interna rättsakten, eller genom att avtalet lägger till något till den interna rättsakten, även om det inte direkt står i strid med denna.

184. I förevarande mål anser jag att avtalet inte medfört någon ändring av innehållet i direktiv 95/46.

185. Jag grundar denna uppfattning på, för det första, att avtalets huvudsakliga syfte, såsom framgått av bedömningen av den första grunden, är att bekämpa terrorism och andra grova brott samtidigt som skyddet för passagerarnas personuppgifter säkerställs. Direktiv 95/46 syftar däremot till att säkerställa den fria rörligheten för personuppgifter mellan medlemsstaterna genom harmonisering av nationella bestämmelser om skydd för fysiska personer avseende behandlingen av sådana uppgifter. De två rättsakterna har således olika syften, även om de båda rör skyddet för personuppgifter.( )

186. För det andra, och i linje med konstaterandet att deras syften är olika, har avtalet och direktiv 95/46 olika tillämpningsområden. Medan avtalet tillämpas på behandling av personuppgifter som genomförts vid utövandet av verksamhet avseende skyddet för den inre säkerheten i Förenta staterna, och närmare bestämt verksamhet avseende bekämpandet av terrorism och andra grova brott, anges det i artikel 3.2 första strecksatsen i direktivet uttryckligen att behandling av personuppgifter som ”utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i [EU-fördraget], och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område” undantagits från direktivets tillämpningsområde.( )

187. Mot bakgrund av att de två rättsakterna i förevarande mål har olika syften och olika tillämpningsområden kan jag inte förstå hur innehållet i den ena skulle kunna medföra någon ändring av innehållet i den andra. Avtalet rör behandling av personuppgifter vilka gemenskapslagstiftaren klart har angivit inte skall omfattas av det system för skydd som upprättats genom direktiv 95/46. Detta gemenskapslagstiftarens angreppssätt är för övrigt förenligt med valet av rättslig grund för direktivet, det vill säga artikel 95 EG.

188. Denna bedömning påverkas inte av vad kommissionen anfört om att oavsett för vilket syfte personuppgifterna används av CBP är och förblir dessa uppgifter för lufttrafikföretagen inom gemenskapen sådana kommersiella uppgifter som omfattas av tillämpningsområdet för direktiv 95/46, vilka skall skyddas och behandlas i enlighet med det direktivet.

189. Även om den behandling av personuppgifter som består i lufttrafikföretagens insamling och registrering av passageraruppgifter i allmänhet har ett kommersiellt syfte, eftersom de har direkt samband med genomförandet av den flygtransport som företagen skall ombesörja, är den behandling av personuppgifter som avtalet avser av en annan art, eftersom de dels sker i ett senare skede än insamlingen av uppgifter, dels sker av säkerhetsskäl.

190. Mot denna bakgrund anser jag således att parlamentets talan inte skall bifallas med stöd av den andra grunden.

191. Av samma skäl som anförts inom ramen för prövningen av mål C-318/04,( ) skall jag därefter övergå till att pröva den tredje och den fjärde grunden som parlamentet anfört, det vill säga åsidosättandet av skyddet för personuppgifter och av proportionalitetsprincipen.

192. Jag påminner om att det som skall prövas är PNR-bestämmelserna i sin helhet, eftersom det föreligger ett så nära samband mellan avtalet såsom det godkänts av rådet, beslutet om adekvat skydd och CBP:s åtaganden som bifogats kommissionens beslut.( )

C – Åsidosättande av skyddet för personuppgifter och av proportionalitetsprincipen

1. Parternas argument

193. Europaparlamentet har gjort gällande att PNR-bestämmelserna medför ett åsidosättande av skyddet för personuppgifter, såsom det anges i synnerhet i artikel 8 i EMRK.

194. Genom att föreskriva att CBP skall ha tillgång på elektronisk väg till passageraruppgifter i bokningssystemen hos de lufttrafikföretag som etablerats inom medlemsstaternas territorium, och genom att föreskriva att dessa företag, när skall behandla dessa uppgifter som begärda av CBP enligt amerikansk lag, avser avtalet enligt parlamentet behandling av personuppgifter som innebär ett intrång i privatlivet i den mening som avses i artikel 8 i EMRK. På samma sätt strider beslutet om adekvat skydd mot den bestämmelsen.

195. Enligt parlamentet måste ett sådant intrång, för att inte stå i strid med artikel 8 i EMRK, vara föreskrivet i lag, ske för ett legitimt ändamål och vara nödvändigt i ett demokratiskt samhälle för att uppnå ett sådant ändamål. Avtalet och beslutet om adekvat skydd uppfyller inte dessa villkor.

196. När det för det första gäller villkoret att intrånget skall vara föreskrivet i lag har parlamentet anfört att varken avtalet eller beslutet om adekvat skydd uppfyller kraven på tillgänglighet och förutsebarhet som skall uppfyllas enligt praxis från Europadomstolen för mänskliga rättigheter. När det gäller kravet på tillgänglighet innebär den allmänna hänvisningen till tillämplig amerikansk lagstiftning att avtalet och beslutet om adekvat skydd inte i sig själva innehåller de rättigheter och skyldigheter som gäller för passagerare och europeiska lufttrafikföretag. Kravet på rättssäkerhet medför att en rättsakt inom gemenskapen som medför rättsliga skyldigheter skall ge möjlighet för enskilda att exakt kunna avgöra omfattningen av de skyldigheter som de därigenom åläggs.( ) Dessutom är tillämplig amerikansk lagstiftning inte tillgänglig på alla gemenskapens officiella språk, vilket strider mot kravet på tillgänglighet. Parlamentet har vidare anfört att hänvisningen i avtalets ingress till kommissionens beslut om adekvat skydd och dagen för dess antagande är felaktig. När det gäller kravet på förutsebarhet är detta inte uppfyllt eftersom avtalet och beslutet om adekvat skydd inte med tillräcklig precision anger de rättigheter och skyldigheter som gäller för europeiska lufttrafikföretag och medborgare i gemenskapen. Dessutom erhåller passagerarna endast en allmän information, vilket strider mot kravet på information enligt artiklarna 10 och 11 i direktiv 95/46 och artikel 8a i konvention nr 108. Slutligen innehåller avtalet och CBP:s åtaganden en rad alltför allmänna bestämmelser, som inte är förenliga med artikel 8 i EMRK.

197. När det för det andra gäller villkoret i artikel 8.2 i EMRK att intrånget i privatlivet skall ske för ett legitimt ändamål menar parlamentet att detta villkor är uppfyllt. Parlamentet har härvid erinrat om att det vid flera tillfällen uttalat sitt stöd för rådets arbete med terrorismbekämpning.

198. Parlamentet anser för det tredje att villkoret att intrånget skall vara nödvändigt i ett demokratiskt samhälle med hänsyn till landets yttre säkerhet, den allmänna säkerheten, landets ekonomiska välstånd, förebyggande av oordning eller brott, skyddandet av hälsa eller moral eller av andra personers fri- och rättigheter inte är uppfyllt av följande skäl:

– Det framgår av punkt 3 i CBP:s åtaganden att behandlingen av personuppgifter inte är begränsad till enbart terroristbekämpning, utan även får ske för att förhindra och bekämpa andra grova brott, inklusive organiserad brottslighet, flykt från ett anhållnings- eller häktningsbeslut för ett av ovanstående brott. I den utsträckning som behandlingen av personuppgifter går utöver vad som är nödvändigt för enbart terroristbekämpning är det inte nödvändigt för eftersträvandet av legitima ändamål.

– Enligt avtalet skall ett mycket stort antal kategorier av uppgifter (34) överföras. Detta innebär att proportionalitetsprincipen åsidosätts. Vad gäller iakttagandet av en adekvat skyddsnivå för personuppgifter förefaller 19 av dessa 34 kategorier av uppgifter vara acceptabla. Enligt parlamentet föreligger det en ”avsevärd skillnad” vid en jämförelse av det antal kategorier av personuppgifter som omfattas av jämförbara regler inom Europeiska unionen och dem som krävs enligt avtalet.( ) Dessutom kan vissa av de kategorier av passageraruppgifter som krävs innehålla känsliga uppgifter.

– Uppgifterna lagras av de amerikanska myndigheterna längre än vad som är nödvändigt med avseende på det eftersträvade ändamålet. Av CBP:s åtaganden framgår nämligen att efter tillgången på elektronisk väg för de personer som CBP gett behörighet, vilken tillgång varar i sju dagar, lagras alla personuppgifter under tre och ett halvt år. De uppgifter som inhämtats manuellt under den perioden överförs av CBP i form av rådata till en akt med uteslutna uppgifter, där de lagras i ytterligare åtta år innan de förstörs. En jämförelse med informationssystem som upprättats inom till exempel konventionen om tillämpning av Schengenavtalet, Europolkonventionen och Eurojustbeslutet, i vilka