FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT

GIOVANNI PITRUZZELLA

föredraget den 27 januari 2022 ( 1 )

Mål C‑817/19

Ligue des droits humains

mot

Conseil des ministres

(begäran om förhandsavgörande från Cour constitutionnelle (Författningsdomstolen, Belgien))

”Begäran om förhandsavgörande – Skydd av personuppgifter – Behandling av passageraruppgiftssamlingar (PNR-uppgifter) – Förordning (EU) 2016/679 – Tillämpningsområde – Direktiv (EU) 2016/681 – Giltighet – Europeiska unionens stadga om de grundläggande rättigheterna – Artiklarna 7, 8 och 52.1”

Innehållsförteckning

I. Inledning II. Tillämpliga bestämmelser A. Unionsrätt 1. Stadgan 2. Dataskyddsförordningen 3. PNR-direktivet 4. Andra relevanta rättsakter i unionsrätten B. Belgisk rätt C. Målet vid den nationella domstolen, tolknings- och giltighetsfrågorna samt förfarandet vid EU-domstolen III. Bedömning A. Den första frågan B. Den andra, den tredje, den fjärde, den sjätte och den åttonde frågan 1. De grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan 2. Ingreppet i de grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan 3. Huruvida det ingrepp som följer av PNR-direktivet är motiverat a) Iakttagandet av kravet att varje begränsning i utövandet av en grundläggande rättighet som föreskrivs i stadgan ska vara föreskriven i lag b) Förenligheten med det väsentliga innehållet i de rättigheter som anges i artiklarna 7 och 8 i stadgan c) Iakttagandet av kravet att ingreppet ska svara mot ett mål av allmänt samhällsintresse d) Iakttagandet av proportionalitetsprincipen 1) Huruvida de behandlingar av PNR-uppgifter som avses i PNR-direktivet är ägnade att uppnå det mål som eftersträvas 2) Huruvida ingreppet är strängt nödvändigt i) Avgränsningen av syftena med behandlingen av PNR-uppgifter ii) De kategorier av PNR-uppgifter som avses i PNR-direktivet (den andra och den tredje frågan) – Huruvida punkterna 12 och 18 i bilaga I är tillräckliga klara och precisa (den tredje frågan) – Omfattningen av de uppgifter som anges i bilaga I (den andra frågan) – Känsliga uppgifter iii) Begreppet passagerare (den fjärde frågan) iv) Huruvida förhandsbedömningen av passagerare är tillräckligt klar och precis och begränsad till vad som är strängt nödvändigt (den sjätte frågan) – Jämförelsen med uppgifter i databaser, enligt artikel 6.3 a i PNR-direktivet – Behandlingen av PNR-uppgifter i förhållande till på förhand fastställda kriterier – De skyddsregler som omger den automatiska behandlingen av PNR-uppgifter – Slutsats vad beträffar den sjätte frågan v) Lagringen av PNR-uppgifter (den åttonde frågan) 4. Slutsatser beträffande den andra, den tredje, den fjärde, den sjätte och den åttonde frågan C. Den femte frågan D. Den sjunde frågan E. Den nionde frågan F. Den tionde frågan IV. Förslag till avgörande

I. Inledning

1. Genom förevarande begäran om förhandsavgörande har Cour constitutionnelle (Författningsdomstolen, Belgien) ställt tio frågor till EU-domstolen avseende tolkningen av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (nedan kallad dataskyddsförordningen), ( 2 ) och avseende giltigheten och tolkningen av Europaparlamentets och rådets direktiv (EU) 2016/681 av den 27 april 2016 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (nedan kallat PNR-direktivet) ( 3 ) och rådets direktiv 2004/82/EG av den 29 april 2004 om skyldighet för transportörer att lämna uppgifter om passagerare (nedan kallat API‑direktivet). ( 4 ) Dessa frågor har uppkommit i samband med en talan som väckts av den ideella föreningen Ligue des droits humains (LDH) med yrkande om att loi du 25 décembre 2016 relative au traitement des données des passagers (lag av den 25 december 2016 om behandling av passageraruppgifter) (nedan kallad PNR-lagen), ( 5 ) genom vilken PNR-direktivet och API‑direktivet har införlivats med belgisk rätt, helt eller delvis ska upphävas.

2. De frågor som EU-domstolen ska ta ställning till i förevarande mål hör till ett av de största dilemmana inom den samtida liberal-demokratiska konstitutionalismen: hur ska en avvägning mellan individen och kollektivet göras i dataåldern, då digital teknik har gjort det möjligt att samla in, lagra, behandla och analysera enorma mängder personuppgifter i prediktivt syfte? Algoritmer, storskalig dataanalys och artificiell intelligens som nyttjas av myndigheterna kan användas för att främja och skydda samhällets grundläggande intressen, med en effektivitet som tidigare var otänkbar: från folkhälsoskydd till miljömässig hållbarhet, från bekämpande av terrorism till förebyggande av brottslighet, i synnerhet grov brottslighet. Samtidigt kan den odifferentierade insamlingen av personuppgifter och användningen av digital teknik från statsmakternas sida ge upphov till ett digitalt panoptikon, det vill säga en statsmakt som ser allt utan att synas. En allvetande makt som kan kontrollera och förutse alla och envars beteenden och vidta de åtgärder som krävs, ända till det paradoxala resultatet, som Steven Spielberg föreställde sig i filmen Minority Report, att i förebyggande syfte frihetsberöva gärningsmannen till ett brott som ännu inte har begåtts. I vissa länder har som bekant samhället företräde framför individen och användningen av personuppgifter gör det möjligt att legitimt genomföra en effektiv massövervakning i syfte att skydda offentliga intressen som anses som grundläggande. Den europeiska konstitutionalismen – på nationell och överstatlig nivå – med den centrala plats som individen och dennes friheter har getts, uppställer däremot ett viktigt hinder för framväxten av ett massövervakningssamhälle, framför allt efter erkännandet av den grundläggande rätten till skydd för privatlivet och till skydd av personuppgifter. I vilken utsträckning kan dock detta hinder uppställas utan att allvarligt kränka vissa grundläggande samhällsintressen – såsom dem som tidigare har nämnts som exempel – vilka dock kan ha konstitutionella band? Detta är själva kärnan i frågan om förhållandet mellan individen och kollektivet i det digitala samhället. En fråga som kräver dels att man efterforskar och gör delikata avvägningar mellan kollektivets intressen och individernas rättigheter, med utgångspunkt i den absoluta betydelse som individernas rättigheter har i det europeiska konstitutionella arvet, dels att det införs skyddsregler mot missbruk. Även här är det fråga om en samtida version av ett klassiskt tema inom konstitutionalismen, eftersom – såsom kortfattat hävdades i The Federalist – människor inte är änglar och det är skälet till att juridiska mekanismer krävs för att begränsa och kontrollera statsmakten.

3. Detta är de allmänna frågor som uppkommer inom ramen för förevarande förslag till avgörande, vilket endast kan begränsas till en tolkning av unionsrätten, mot bakgrund av EU-domstolens tidigare praxis, med användning av väletablerade tekniker, däribland tekniken med unionskonform tolkning. Det är en teknik som jag ofta kommer att tillämpa, när det framstår som juridiskt möjligt, i förevarande förslag till avgörande i syfte att hitta den nödvändiga jämvikten, ur konstitutionell synvinkel, mellan de offentliga syften som ligger till grund för systemet för överföring, insamling och behandling av passageraruppgiftssamlingar (nedan kallade PNR-uppgifter), och de rättigheter som föreskrivs i artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

II. Tillämpliga bestämmelser

A. Unionsrätt

1. Stadgan

4. I artikel 7 i stadgan föreskrivs att ”[v]ar och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer”.

5. Artikel 8 i stadgan har följande lydelse: ”1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. 3. En oberoende myndighet ska kontrollera att dessa regler efterlevs.”

6. Av artikel 52.1 i stadgan framgår att ”[v]arje begränsning i utövandet av de rättigheter och friheter som erkänns i denna stadga ska vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.”

2. Dataskyddsförordningen

7. Genom artikel 2.2 d i dataskyddsförordningen utesluts från förordningens tillämpningsområde behandling av personuppgifter som ”behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten”.

8. Artikel 23.1 d i dataskyddsförordningen har följande lydelse: ”Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa … d) förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten …”

3. PNR-direktivet

9. Jag kommer nedan att endast ge en kort översikt över hur det system som har införts genom PNR-direktivet fungerar. Fler detaljer om innehållet i bestämmelserna i PNR-direktivet, som är relevant för att besvara tolknings- och giltighetsfrågorna, kommer att ges i samband med den rättsliga bedömningen.

10. Enligt artikel 1 i PNR-direktivet, vilket antogs med stöd av artiklarna 82.1 d FEUF och 87.2 a FEUF, inrättas genom direktivet ett system, på unionsnivå, för lufttrafikföretags överföring av PNR-uppgifter om flygningar utanför EU, ( 6 ) samt insamling, behandling och lagring av sådana uppgifter av de behöriga myndigheterna i medlemsstaterna för att bekämpa terrorism och grov brottslighet.

11. Enligt artikel 3 led 5 i direktivet avses med passageraruppgiftssamling eller PNR-uppgifter”en sammanställning av för resan nödvändiga uppgifter om varje enskild passagerare som gör det möjligt för det lufttrafikföretag som sköter bokningen och andra deltagande lufttrafikföretag att behandla och kontrollera reservationen för varje resa som bokas av en person eller för en persons räkning, oavsett om uppgifterna finns i reservationssystemet, det avgångskontrollsystem som används för att checka in passagerare på flygningar eller likvärdiga system med motsvarande uppgift”.

12. I bilaga I till PNR-direktivet (nedan kallad bilaga I) förtecknas de PNR-uppgifter som samlas in av lufttrafikföretag, vilka överförs i den mening och på det sätt som föreskrivs i artikel 8 i direktivet.

13. Bilaga II till PNR-direktivet (nedan kallad bilaga II) innehåller en förteckning över brott som utgör ”grov brottslighet” i den mening som avses i artikel 3 led 9 i direktivet.

14. I artikel 2 i PNR-direktivet föreskrivs en möjlighet för medlemsstaterna att besluta att tillämpa detta direktiv även på ”flygningar inom EU” ( 7 ) eller på valda flygningar inom EU, som anses ”vara nödvändiga” för att efterfölja målen för detta direktiv.

15. I artikel 4.1 i PNR-direktivet föreskrivs att ”[v]arje medlemsstat ska inrätta eller utse en myndighet med behörighet att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet eller en avdelning inom en sådan myndighet, vilken ska fungera som medlemsstatens enhet för passagerarinformation”. Enligt artikel 4.2 a ska enheten för passagerarinformation bland annat ansvara för att samla in PNR-uppgifter från lufttrafikföretagen, lagra och behandla dessa uppgifter och överföra dessa uppgifter eller resultatet av behandlingen av dem till de behöriga myndigheter som avses i artikel 7 i PNR-direktivet. I artikel 7.2 föreskrivs att dessa myndigheter ska vara ”myndigheter som är behöriga att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott eller grov brottslighet”. ( 8 )

16. I artikel 6.1 andra meningen i PNR-direktivet föreskrivs att ”[o]m PNR-uppgifter som överförs av lufttrafikföretag omfattar andra uppgifter än dem som anges i bilaga I, ska enheten för passagerarinformation omedelbart och slutgiltigt radera dessa vid mottagandet”. Artikel 6.2 har följande lydelse: ”2. Enheten för passagerarinformation ska enbart behandla PNR-uppgifterna för följande ändamål: a) Göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från den berörda medlemsstaten, för att identifiera personer som de behöriga myndigheterna enligt artikel 7 och i förekommande fall Europol enligt artikel 10 behöver utreda ytterligare, på grund av att dessa personer kan vara inblandade i terroristbrott eller grov brottslighet. b) I enskilda fall, besvara en vederbörligen motiverad förfrågan som bygger på tillräckliga skäl från de behöriga myndigheterna om att tillhandahålla och behandla PNR-uppgifter i specifika fall i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott eller grov brottslighet och tillhandahålla de behöriga myndigheterna eller, när så är lämpligt, Europol resultaten av sådan behandling. c) Analysera PNR-uppgifter för att uppdatera och skapa nya kriterier som ska användas vid de bedömningar som genomförs enligt punkt 3 b, i syfte att identifiera personer som kan vara delaktiga i terroristbrott eller grov brottslighet.”

17. Artikel 12 i PNR-direktivet innehåller bestämmelser om lagring av PNR-uppgifter.

18. I artikel 5 i PNR-direktivet föreskrivs att varje enhet för passagerarinformation ska utse ett dataskyddsombud, som ska ansvara för övervakningen av behandlingen av PNR-uppgifter och för genomförandet av relevanta skyddsåtgärder. Vidare är varje medlemsstat skyldig, enligt artikel 15 i direktivet, att ge den nationella tillsynsmyndighet som avses i artikel 25 i rambeslut 2008/977/RIF, ( 9 ) vilket har ersatts av Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (nedan kallat polisdirektivet), ( 10 ) i uppdrag att inom sitt territorium ansvara för att övervaka tillämpningen av de bestämmelser som antas i enlighet med detta direktiv. Denna myndighet, som ska utföra sina uppgifter i syfte att skydda grundläggande rättigheter i samband med behandling av personuppgifter, ( 11 ) ska bland annat ansvara för att hantera klagomål från en registrerad, undersöka ärendet och inom rimlig tid informera den registrerade om förloppet för och resultatet av dennes klagomål, och för att kontrollera att uppgiftsbehandlingen är laglig, genomföra utredningar, inspektioner och revision i enlighet med nationell rätt, antingen på eget initiativ eller på grundval av ett klagomål. ( 12 )

4. Andra relevanta rättsakter i unionsrätten

19. De tillämpliga bestämmelserna i förevarande mål kompletteras av API‑direktivet och polisdirektivet. För läsbarhetens skull kommer jag i detta förslag till avgörande att redogöra för innehållet i de relevanta bestämmelserna i dessa rättsakter i den mån det är nödvändigt för att behandla de frågor som avser dessa bestämmelser eller mer allmänt för den rättsliga bedömningen.

B. Belgisk rätt

20. I artikel 22 i den belgiska konstitutionen föreskrivs att ”[v]ar och en har rätt till respekt för sitt privatliv och familjeliv, utom i de fall och på de villkor som föreskrivs i lag”.

21. Enligt artikel 2 i PNR-lagen har API‑direktivet och PNR-direktivet samt delar av direktiv 2010/65/EU införlivats genom PNR-lagen. ( 13 )

22. Det föreskrivs i artikel 3 § 1 i PNR-lagen att genom denna lag ”fastställs skyldigheter för transportörer och researrangörer avseende överföring av uppgifter om passagerare som reser till eller från Belgien eller som befinner sig där i transit”. Enligt artikel 4 leden 1 och 2 i PNR-lagen avses med transportör”varje fysisk eller juridisk person som yrkesmässigt bedriver persontransport inom luftfart, sjöfart, järnväg eller vägtrafik” och med researrangör avses ”alla som arrangerar eller förmedlar resor, i den mening som avses i loi du 16 février 1994 régissant le contrat d’organisation de voyages et le contrat d’intermédiaire de voyages (lag av den 16 februari 1994 om avtal om paketresor och avtal med researrangör)”.

23. I artikel 8 i PNR-lagen föreskrivs följande: ”§ 1 Passageraruppgifter ska behandlas för 1) utredning och lagföring, inklusive verkställighet av straff eller andra frihetsberövande åtgärder avseende de brott som anges i artikel 90 ter § 2, … leden 7, … 8, … 11, … 14, … 17, 18 och 19 samt artikel 90 ter § 3 i Code d’instruction criminelle (förundersökningslagen), 2) utredning och lagföring, inklusive verkställighet av straff eller andra frihetsberövande åtgärder avseende de brott som anges i artikel 196, vad beträffar urkundsförfalskning, samt artiklarna 198, 199, 199 bis, 207, 213, 375 och 505 i Code pénal (strafflagen), 3) förebyggande av allvarliga störningar i den allmänna säkerheten inom ramen för våldsinriktad radikalisering genom uppföljning av rörelser och grupperingar i enlighet med artikel 44/5 § 1 leden 2 och 3 och artikel 44/5 § 2 i loi du 5 août 1992 sur la fonction de police (lag av den 5 augusti 1992 om polisens uppgifter), 4) övervakning av de verksamheter som avses i artikel 7 led 1 och led 3/l, och artikel 11 § 1 leden 1–3 och 5 i loi du 30 novembre 1998 organique des services de renseignement et de sécurité (lag av den 30 november 1998 om underrättelse- och säkerhetstjänsten), ( 14 ) 5) utredning och lagföring av de brott som avses i artikel 220 § 2 i loi générale sur les douanes et accises du 18 juillet 1977 (den allmänna tull- och punktskattelagen av den 18 juli 1977) och artikel 45 tredje stycket i loi du 22 décembre 2009 relative au régime général d’accise (lag av den 22 december 2009 om allmänna regler för punktskatt) … § 2 Under de förutsättningar som anges i kapitel 11 ska passageraruppgifter också behandlas för att förbättra personkontroller vid de yttre gränserna och för att bekämpa olaglig invandring.”

24. Artikel 9 i PNR-lagen innehåller förteckningen över de uppgifter som ska överföras. Dessa uppgifter motsvarar de uppgifter som förtecknas i bilaga I.

25. I artikel 18 i PNR-lagen föreskrivs att ”passageraruppgifterna ska bevaras i PNR-databasen under högst fem år räknat från tidpunkten för registreringen. Vid utgången av denna period ska de förstöras.”

26. I artikel 19 i lagen föreskrivs att ”[v]id utgången av en period på sex månader, från och med registreringen av passageraruppgifter i passageraruppgiftsdatabasen, ska alla passageraruppgifter avidentifieras genom maskering av uppgifter.”

27. I artikel 24 i PNR-lagen föreskrivs följande: ”§ 1 Passageraruppgifterna ska behandlas för att göra en förhandsbedömning av passagerare före deras beräknade ankomst till, avresa från eller transitering genom det nationella territoriet i syfte att fastställa vilka personer som ska bli föremål för en mer ingående undersökning. § 2 Inom ramen för de syften som avses i artikel 8 § 1 leden 1, 4 och 5, eller avseende de hot som nämns i artikel 8 led 1 a, b, c, d, f, g och artikel 11 § 2 i lagen av den 30 november 1998 om underrättelse- och säkerhetstjänsten, ska förhandsbedömningen av passagerare grunda sig på en träff, som följer av att passageraruppgifterna jämförs med 1) databaser som förvaltas av de behöriga myndigheterna eller som är direkt tillgängliga eller åtkomliga för myndigheterna inom ramen för deras uppdrag, eller med förteckningar över personer som har utarbetats av de behöriga myndigheterna inom ramen för deras uppdrag, 2) de bedömningskriterier som på förhand har fastställts av enheten för passagerarinformation, och som avses i artikel 25. § 3 Inom ramen för de syften som avses i artikel 8 § 1 led 3, ska förhandsbedömningen av passagerare grunda sig på en träff, som följer av att passageraruppgifterna jämförs med de databaser som avses i § 2 led 1 ….”

28. Artikel 25 i PNR-lagen återger innehållet i artikel 6.4 i PNR-direktivet.

29. Kapitel 11 i PNR-lagen innehåller de bestämmelser som reglerar behandlingen av passageraruppgifter för att förbättra gränskontrollen och för att bekämpa olaglig invandring. API‑direktivet har införlivats med belgisk rätt genom dessa bestämmelser.

30. I artikel 44 i PNR-lagen förskrivs att enheten för passagerarinformation ska utse ett dataskyddsombud vid inrikesministeriet. Tillsyn över tillämpningen av bestämmelserna i PNR-lagen utövas av Commission de la protection de la vie privée (kommittén för skydd av privatlivet).

31. Genom artikel 51 i PNR-lagen har lagen av den 30 november 1998 om underrättelse- och säkerhetstjänsten ändrats, genom att artikel 16/3 har införts med följande lydelse: ”§ 1 Underrättelse- och säkerhetstjänsten får, för att utföra sina uppgifter, på ett vederbörligen motiverat sätt besluta att få tillgång till sådana passageraruppgifter som avses i artikel 7 i [PNR-]lagen. § 2 Det beslut som avses i 1 § ska fattas av myndighetschefen och skriftligen översändas till den enhet för passagerarinformation som avses i kapitel 7 i ovannämnda lag. Beslutet ska meddelas Ständiga kommittén R tillsammans med beslutets motivering. Ständiga kommittén R ska förbjuda underrättelse- och säkerhetstjänsten att använda uppgifter som har samlats in under omständigheter som inte uppfyller de lagstadgade villkoren. Beslutet kan avse en uppsättning av uppgifter avseende en specifik underrättelseutredning. I sådant fall ska en förteckning över de passageraruppgifter som konsulterats översändas till Ständiga kommittén R en gång per månad.”

C. Målet vid den nationella domstolen, tolknings- och giltighetsfrågorna samt förfarandet vid EU-domstolen

32. Genom ansökan riktad till Cour constitutionnelle (Författningsdomstolen) den 24 juli 2017, väckte LDH talan med yrkande om att PNR-lagen helt eller delvis ska upphävas. LDH åberopade två grunder till stöd för sin talan.

33. Som första grund, vilken har åberopats i första hand och avser åsidosättande av artikel 22 i Belgiens konstitution, jämförd med artikel 23 i dataskyddsförordningen, artiklarna 7, 8 och 52.1 i stadgan samt artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen), anser LDH att den angripna lagen inte är förenlig med proportionalitetsprincipen vad beträffar dess tillämpningsområde och de kategorier av uppgifter som avses, den behandling av uppgifter som införs genom lagen, dess syften och uppgifternas lagringstid. I synnerhet har LDH hävdat att definitionen av PNR-uppgifter är alltför omfattande och kan leda till att känsliga uppgifter röjs, och att definitionen av begreppet passagerare, som finns i denna lag, möjliggör en icke-riktad och systematisk behandling av uppgifter rörande samtliga berörda passagerare. Vidare anser LDH att beskaffenheten av pre-screening-metoden i databaser över passagerare och hur denna går till samt de kriterier som tjänar som ”hotindikatorer” inte definieras tillräckligt tydligt i PNR-lagen. Slutligen anser LDH att PNR-lagen går utöver vad som är strängt nödvändigt, i den meningen att lagen eftersträvar syften med behandlingen av PNR-uppgifter som är mer vidsträckta än de syften som PNR-direktivet tillåter och att femårsperioden för lagring av PNR-uppgifter är oproportionerlig. Som andra grund, vilken har åberopats i andra hand och avser åsidosättande av artikel 22 i Belgiens konstitution, jämförd med artikel 3.2 FEU och artikel 45 i stadgan, har LDH angripit bestämmelserna i kapitel 11 i PNR-lagen, varigenom API‑direktivet har införlivats.

34. Konungariket Belgiens Conseil des ministres (ministerråd), i egenskap av intervenient i målet vid Cour constitutionnelle (Författningsdomstolen), har bestritt LDH:s talan, genom att ifrågasätta både att talan kan tas upp till prövning och att det finns fog för de två grunder som har åberopats till stöd för talan.

35. Cour constitutionnelle (Författningsdomstolen) har för sin del anfört följande.

36. Vad beträffar den första grunden, vill den hänskjutande domstolen först få klarhet i huruvida definitionen av PNR-uppgifter, som finns i bilaga I, är tillräckligt klar och precis. Beskrivningen av vissa av dessa uppgifter är exemplifierande och inte uttömmande. Vidare har nämnda domstol påpekat att definitionen av begreppet passagerare i artikel 3 led 4 i PNR-direktivet medför insamling, överföring, behandling och lagring av PNR-uppgifter om alla personer som transporteras eller ska transporteras och som står med på passagerarförteckningen, oberoende av om det finns tungt vägande skäl att anta att den berörda personen har begått ett brott, är på väg att begå ett brott eller har befunnits skyldig till ett brott. Vad beträffar behandlingen av PNR-uppgifter, har den hänskjutande domstolen påpekat att dessa systematiskt är föremål för en förhandsbedömning som innebär att PNR-uppgifterna om alla passagerare samkörs med databaser eller på förhand fastställa kriterier, för att hitta träffar. Cour constitutionnelle (Författningsdomstolen) har dock angett att även om dessa kriterier ska vara specifika, tillförlitliga och icke-diskriminerande, anser den att det är tekniskt omöjligt att närmare definiera de på förhand fastställda kriterier som ska tillämpas för att fastställa riskprofiler. Vad beträffar lagringstiden för PNR-uppgifter som föreskrivs i artikel 12.1 i PNR-direktivet, enligt vilken sådana uppgifter får lagras under en period på fem år, anser den hänskjutande domstolen att PNR-uppgifterna ska lagras utan beaktande av huruvida de berörda passagerarna, vid förhandsbedömningen, kan utgöra en risk för den allmänna säkerheten. Mot denna bakgrund vill den hänskjutande domstolen få klarhet i huruvida det system för insamling, överföring, behandling och lagring av PNR-uppgifter som har införts genom PNR-direktivet kan anses inte gå utöver vad som är strängt nödvändigt, med hänsyn till den rättspraxis som följer av bland annat domen av den 21 december 2016, Tele2 Sverige och Watson m.fl., ( 15 ) och yttrande 1/15 (Avtal om passageraruppgifter mellan EU och Kanada) av den 26 juli 2017 ( 16 ). I det sammanhanget vill denna domstol även få klarhet i huruvida PNR-direktivet utgör hinder för en sådan nationell lagstiftning som den som följer av artikel 8 § 1 led 4 i PNR-lagen, som tillåter behandling av PNR-uppgifter för ett annat syfte än dem som föreskrivs i direktivet. Slutligen vill den hänskjutande domstolen få klarhet i huruvida enheten för passagerarinformation kan betraktas som en ”annan nationell myndighet” som enligt artikel 12.3 b ii i PNR-direktivet kan tillåta att fullständiga PNR-uppgifter lämnas ut efter en frist på sex månader. Vad beträffar den andra grunden har den hänskjutande domstolen påpekat att den är riktad mot artiklarna 3.1, 8.2 och 28–31 i PNR-lagen som reglerar insamling och behandling av passageraruppgifter för att bekämpa olaglig invandring och för att förbättra gränskontrollerna. Den hänskjutande domstolen har erinrat om att denna lag, enligt den förstnämnda av dessa bestämmelser, omfattar flygningar till, från och via Belgien, och har uppgett att den nationella lagstiftaren inkluderade flygningar ”inom EU” i lagens tillämpningsområde för att få ”en mer fullständig bild över de passagerare som utgör ett potentiellt hot mot säkerheten [inom unionen] och i Belgien”, genom att stödja sig på den möjlighet som föreskrivs i artikel 2 i PNR-direktivet, jämförd med skäl 10 i direktivet.

37. Mot denna bakgrund beslutade Cour constitutionnelle (Författningsdomstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen: ”1) Ska artikel 23 i [dataskyddsförordningen], jämförd med artikel 2.2 d i samma förordning, tolkas så, att den är tillämplig på en sådan nationell lagstiftning som [PNR-lagen], som införlivar [PNR-direktivet] och [API‑direktivet] samt … direktiv 2010/65 …? 2) Är bilaga I … förenlig med artiklarna 7, 8 och 52.1 i [stadgan], såtillvida som de uppgifter som anges i bilagan är mycket omfattande – särskilt de uppgifter som avses i punkt 18 i bilaga I … vilka går utöver de uppgifter som avses i artikel 3.2 i [API‑direktivet] – och såtillvida som uppgifterna sammantagna skulle kunna röja känsliga uppgifter, och därigenom gå utöver vad som är ’strängt nödvändigt’? 3) Är punkterna 12 och 18 i bilaga I … förenliga med artiklarna 7, 8 och 52.1 i [stadgan], såtillvida som de uppgifter som avses i dessa punkter, med hänsyn till ordet ’inklusive’, anges som exempel och inte på ett uttömmande sätt, med följden att kravet på precision och klarhet i regler som innebär ett ingrepp i rätten till respekt för privatlivet och i rätten till skydd av personuppgifter inte iakttas? 4) Är artikel 3 led 4 i [PNR-direktivet] och bilaga I … förenliga med artiklarna 7, 8 och 52.1 i [stadgan], såtillvida som det system för generell insamling, överföring och behandling av passageraruppgifter som införs genom dessa bestämmelser avser varje person som använder det berörda transportmedlet, oberoende av objektiva omständigheter som ger anledning att anse att denna person kan utgöra en risk för den allmänna säkerheten? 5) Ska artikel 6 i [PNR-direktivet], jämförd med artiklarna 7, 8 och 52.1 i [stadgan], tolkas så, att den utgör hinder för en sådan nationell lagstiftning som den angripna lagen, enligt vilken ett av syftena med behandlingen av PNR-uppgifter kan vara underrättelse- och säkerhetstjänstens övervakning av sådan verksamhet som omfattas av dess befogenheter, varigenom detta syfte inordnas under förebyggande, förhindrande, upptäckt, utredning och lagföring av terroristbrott och grov brottslighet? 6) Är artikel 6 i [PNR-direktivet] förenlig med artiklarna 7, 8 och 52.1 i [stadgan], såtillvida som den förhandsbedömning, som införs genom den artikeln och som vidtas genom en jämförelse mellan passageraruppgifter och databaser och på förhand fastställda kriterier, systematiskt och generellt ska tillämpas på sådana uppgifter, oberoende av objektiva omständigheter som ger anledning att anse att berörda passagerare kan utgöra en risk för den allmänna säkerheten? 7) Kan begreppet ’annan nationell myndighet som … är behörig’ enligt artikel 12.3 i [PNR-direktivet] tolkas så, att det avser den enhet för passagerarinformation som har inrättats genom [PNR‑lagen], och som således skulle kunna ge tillstånd till tillgång till PNR-uppgifter, efter utgången av en sexmånadersfrist, i samband med punktvisa efterforskningar? 8) Ska artikel 12 i [PNR-direktivet] jämförd med artiklarna 7, 8 och 52.1 i [stadgan] tolkas så, att den utgör hinder för en sådan nationell lagstiftning som den angripna lagen, i vilken det föreskrivs en allmän lagringstid på fem år för uppgifterna, varvid det inte görs någon åtskillnad beroende på om det vid förhandsbedömningen framkommit att de berörda passagerarna kan utgöra en risk för den allmänna säkerheten eller ej? 9) a) Är [API‑direktivet] förenligt med artikel 3.2 [FEU] och med artikel 45 i [stadgan], såtillvida som de skyldigheter som införs genom direktivet är tillämpliga på flygningar inom … unionen? b) Ska [API‑direktivet] jämfört med artikel 3.2 [FEU] och artikel 45 i [stadgan] tolkas så, att det utgör hinder för en sådan nationell lagstiftning som den angripna lagen, vilken, i syfte att bekämpa olaglig invandring och förbättra gränskontrollerna, tillåter ett system för insamling och behandling av uppgifter om passagerare ’som reser till eller från Belgien eller som befinner sig där i transit’, vilket indirekt skulle kunna innebära ett återinförande av kontrollerna vid de inre gränserna? 10) Om Cour constitutionnelle (Författningsdomstolen), på grundval av svaren på de föregående frågorna, kommer fram till att den angripna lagen, som bland annat införlivar [PNR-direktivet], åsidosätter en eller flera av de skyldigheter som följer av de bestämmelser som anges i dessa frågor, kan den då tillfälligt låta rättsverkningarna av [PNR-lagen] bestå för att undvika rättslig osäkerhet och för att möjliggöra att de uppgifter som redan samlats in och lagrats fortfarande kan användas för de syften som anges i lagen?”

38. LDH, den belgiska, den tjeckiska, den danska, den tyska, den estniska, den irländska, den spanska, den franska, den cypriotiska, den lettiska, den nederländska, den österrikiska, den polska och den finländska regeringen samt Europaparlamentet, Europeiska unionens råd och Europeiska kommissionen har inkommit med skriftliga yttranden, enligt artikel 23 i stadgan för Europeiska unionens domstol. I enlighet med artikel 24 i stadgan för Europeiska unionens domstol anmodades kommissionen, Europeiska datatillsynsmannen och Europeiska unionens byrå för grundläggande rättigheter (FRA) att skriftligen besvara domstolens frågor. En förhandling hölls den 13 juli 2021.

III. Bedömning

A. Den första frågan

39. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 2.2 d i dataskyddsförordningen ska tolkas så, att denna förordning, och särskilt artikel 23.1 i denna, enligt vilken det ska vara möjligt att i unionsrätten eller i medlemsstaternas nationella rätt införa en lagstiftningsåtgärd som – av de skäl som uttömmande anges – begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i förordningen, är tillämplig på behandlingen av uppgifter som sker på grundval av en sådan nationell lagstiftning som PNR-lagen, varigenom PNR-direktivet och API‑direktivet samt direktiv 2010/65 har införlivats med nationell rätt.

40. I artikel 2.2 i dataskyddsförordningen föreskrivs undantag från förordningens tillämpningsområde, såsom detta – mycket vidsträckt ( 17 ) – har definierats i artikel 2.1 i förordningen. ( 18 ) I egenskap av undantag från tillämpningen av bestämmelser om behandling av personuppgifter som kan kränka de grundläggande friheterna, ska dessa undantag tolkas restriktivt. ( 19 )

41. Artikel 2.2 d i dataskyddsförordningen innehåller bland annat en undantagsklausul, enligt vilken förordningen inte ska tillämpas på behandling av personuppgifter som ”behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten”. Denna undantagsklausul grundar sig på ett dubbelt subjektivt och objektivt kriterium. Behandling av uppgifter som utförs, för det första, av ”behöriga myndigheter” och, för det andra, för de ändamål som räknas upp i denna bestämmelse är således undantagna från förordningens tillämpningsområde. De olika typerna av behandling av uppgifter som omfattas av PNR-lagen ska således bedömas mot bakgrund av detta dubbla kriterium.

42. Vad, för det första, beträffar behandling av uppgifter som utförs av transportörer (inom luftfart, järnväg, vägtrafik och sjöfart) åt enheten för passagerarinformation eller av researrangörer i syfte att tillhandahålla tjänster eller i kommersiellt syfte, i den mån sådan behandling avses i nämnda lag, regleras sådan behandling alltjämt av dataskyddsförordningen, eftersom varken den subjektiva delen eller den objektiva delen av undantagskriteriet i artikel 2.2 d i nämnda förordning är uppfylld.

43. Vad, för det andra, beträffar överföringen av PNR-uppgifter från transportörer eller researrangörer till enheten för passagerarinformation, vilket i sig utgör en ”behandling” i den mening som avses i artikel 4 led 2 i dataskyddsförordningen, ( 20 ) är det mindre uppenbart att den omfattas av förordningens tillämpningsområde.

44. En sådan överföring utförs inte av en ”behörig myndighet” i den mening som avses i artikel 3 led 7 i polisdirektivet, till vilken det analogt ska hänvisas i avsaknad av en definition av detta begrepp i dataskyddsförordningen. ( 21 ) En ekonomisk aktör, såsom ett transportföretag eller en resebyrå, som enbart har en rättslig förpliktelse att överföra personuppgifter och som inte har anförtrotts någon myndighetsutövning, ( 22 ) kan inte anses utgöra ett sådant organ eller en sådan enhet som avses i artikel 3 led 7 b. ( 23 )

45. Överföringen av PNR-uppgifter från transportföretag och resebyråer utförs för att fullgöra den skyldighet som uppställs i lagen i syfte att göra det möjligt att uppnå de syften som anges i artikel 2.2 d i dataskyddsförordningen.

46. Enligt min mening framgår det klart av lydelsen i denna bestämmelse att endast behandling som uppfyller både den subjektiva delen och den objektiva delen av undantagskriteriet som anges i bestämmelsen faller utanför dataskyddsförordningens tillämpningsområde. Den överföring av PNR-uppgifter till enheten för passagerarinformation som PNR-lagen ålägger transportföretag och researrangörer omfattas således av denna förordning.

47. Vad gäller de bestämmelser i PNR-lagen varigenom PNR-direktivet har införlivats, bekräftas denna slutsats av artikel 21.2 i nämnda direktiv, där det föreskrivs att direktivet ”påverkar inte tillämpligheten av direktiv 95/46/EG ( 24 ) på lufttrafikföretags behandling av personuppgifter”. Den tolkning av denna bestämmelse som bland annat den franska regeringen har föreslagit, enligt vilken det i denna bestämmelse endast föreskrivs att transportörerna fortsätter att omfattas av de skyldigheter som fastställs i dataskyddsförordningen vad gäller sådan behandling av uppgifter som inte föreskrivs i PNR-direktivet, kan enligt min mening inte godtas. Med hänsyn till ordalydelsen är räckvidden av detta ”förbehåll” omfattande och definieras endast med hänvisning till den som behandlar uppgifterna, eftersom syftet med behandlingen eller den ram inom vilken behandlingen sker inte omnämns och det inte heller nämns huruvida behandlingen sker vid utövandet av lufttrafikföretagets kommersiella verksamhet eller för att fullgöra en rättslig förpliktelse. Jag noterar dessutom att det finns en klausul med samma innebörd i artikel 13.3 i PNR-direktivet, som särskilt hänvisar till lufttrafikföretagens skyldigheter enligt dataskyddsförordningen ”att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifters säkerhet och konfidentialitet”. Denna bestämmelse hör till dem som reglerar skyddet av personuppgifter som behandlas i enlighet med PNR-direktivet och överensstämmer med artikel 13.1 i direktivet, som allmänt föreskriver att all behandling av personuppgifter i enlighet med direktivet ska omfattas av de bestämmelser i rambeslut 2008/977 som nämns däri. I motsats till vad den franska regeringen har hävdat, gör ett sådant normativt arrangemang det möjligt dels att tolka nämnda artikel 13.3 som en klausul som medför att enbart behandlingen av uppgifter som föreskrivs i PNR-direktivet, och som inte utförs av ”behöriga myndigheter” i den mening som avses i polisdirektivet, omfattas av dataskyddsförordningen, dels att förstå hänvisningen till iakttagandet av de skyldigheter som uppställs i nämnda förordning vad gäller uppgifters säkerhet och konfidentialitet som en påminnelse om de skyddsregler som ovillkorligen måste omgärda överföringen av PNR-uppgifter från transportörerna till enheterna för passagerarinformation.

48. Slutsatsen i punkt 46 ovan påverkas inte av skäl 19 i dataskyddsförordningen och skäl 11 i polisdirektivet, som bland annat den tyska, den irländska och den franska regeringen har hänvisat till för att hävda att PNR-direktivet har karaktär av lex specialis. Det är visserligen riktigt att det genom nämnda direktiv införs, för sådan behandling av personuppgifter som direktivet avser, en skyddsram för dessa uppgifter som är fristående i förhållande till dataskyddsförordningen. Denna särskilda ram är dock tillämplig enbart på behandling av PNR-uppgifter som utförs av ”behöriga myndigheter”, i den mening som avses i artikel 3 led 7 i polisdirektivet, till vilka bland annat enheterna för passagerarinformation hör, medan överföring av PNR-uppgifter till enheterna för passagerarinformation fortsätter att omfattas av de allmänna bestämmelser som har fastställts i dataskyddsförordningen med tillämpning av bland annat det ”förbehåll” som föreskrivs i artikel 21.2 i PNR-direktivet.

49. Till stöd för ståndpunkten att dataskyddsförordningen inte är tillämplig på överföringen av PNR-uppgifter till enheterna för passagerarinformation av transportörer och researrangörer, har den belgiska, den irländska, den franska och den cypriotiska regeringen hänvisat till domen av den 30 maj 2006, parlamentet/rådet och kommissionen. ( 25 ) I nämnda dom slog EU-domstolen fast att överföringen av PNR-uppgifter från gemenskapens lufttrafikföretag till myndigheterna i Amerikas förenta stater, inom ramen för ett avtal som förhandlats fram mellan Amerikas förenta stater och Europeiska gemenskapen, utgjorde behandling av personuppgifter i den mening som avses i artikel 3.2 första strecksatsen i direktiv 95/46 ( 26 ) och omfattades därför inte av tillämpningsområdet för nämnda direktiv. För att komma fram till denna slutsats beaktade domstolen syftet med överföringen och den omständigheten att överföringen ”skedde inom en ram som inrättats av statsmakterna”, trots att uppgifterna samlades in och överfördes av privata operatörer. ( 27 )

50. I det avseendet räcker det att påpeka att domstolen, i domen av den 6 oktober 2020, La Quadrature du Net m.fl., ( 28 ) i huvudsak fann att domen parlamentet/rådet inte kunde överföras till området för dataskyddsförordningen. ( 29 )

51. I punkt 102 i domen La Quadrature du Net ( 30 ) slog domstolen fast, utifrån en analog tillämpning av det resonemang som fördes i domen Tele2 Sverige och domen av den 2 oktober 2018, Ministerio Fiscal, ( 31 ) att ”[ä]ven om det i artikel 2.2 d i [dataskyddsförordningen] anges att den inte ska tillämpas på behandling som utförs av ’behöriga myndigheter’ i syfte att bland annat förebygga och avslöja brott, i vilket även ingår att förhindra hot mot allmän säkerhet och förebygga sådana hot, framgår det av artikel 23.1 d och h i samma förordning att förordningen är tillämplig på behandling av personuppgifter som utförs av enskilda för samma ändamål”. ( 32 )

52. Av de skäl som redan har angetts är jag övertygad om att slutsatsen att överföringen av PNR-uppgifter från transportföretagen och researrangörerna till enheterna för passagerarinformation omfattas av dataskyddsförordningen framgår klart redan av ordalydelsen i artikel 2.2 d i dataskyddsförordningen, som endast hänvisar till behandling som ”behöriga myndigheter” utför, utan att det är nödvändigt att hänvisa till begränsningsklausulen i artikel 23.1 i nämnda förordning. ( 33 ) Konstaterandet i punkt 102 i domen La Quadrature du Net utgör dock ett tydligt ställningstagande av EU-domstolen till förmån för en sådan slutsats.

53. Eftersom överföringen av PNR-uppgifter av transportföretag och researrangörer omfattas av dataskyddsförordningens tillämpningsområde, utgör en sådan nationell lagstiftning som PNR-lagen, vilken ålägger dessa företag och arrangörer att göra en sådan överföring, en ”lagstiftningsåtgärd” enligt artikel 23.1 d i dataskyddsförordningen och ska följaktligen uppfylla de villkor som föreskrivs i denna bestämmelse. ( 34 )

54. Vad, för det tredje, beträffar behandling av PNR-uppgifter som enheten för passagerarinformation och de nationella behöriga myndigheterna utför, är dataskyddsförordningens tillämplighet, såsom framgår av ovanstående resonemang, avhängig av de syften som eftersträvas genom behandlingen.

55. Behandling av PNR-uppgifter som enheten för passagerarinformation och de nationella behöriga myndigheterna utför för de syften som anges i artikel 8 § 1 leden 1–3 och 5 i PNR-lagen ( 35 ) omfattas inte av dataskyddsförordningens tillämpningsområde, i den mån som – vilket tycks vara fallet – dessa syften hör till de som omfattas av undantagsklausulen i artikel 2.2 d i dataskyddsförordningen. Skyddet av uppgifter för de personer som berörs av denna behandling omfattas av nationell rätt, med förbehåll för tillämpningen av polisdirektivet ( 36 ) och, inom dess tillämpningsområde, PNR-direktivet.

56. Samma sak gäller dessutom behandling av PNR-uppgifter som enheten för passagerarinformation och säkerhets- och underrättelsetjänsten utför i samband med övervakning av de verksamheter som avses i de bestämmelser i lagen om underrättelse- och säkerhetstjänsten som räknas upp i artikel 8 § 1 led 4 i PNR-lagen, i den mån som de uppfyller de syften som anges i artikel 2.2 d i dataskyddsförordningen, vilket det ankommer på den hänskjutande domstolen att bedöma.

57. Den belgiska regeringen har hävdat att behandling som utförs enligt artikel 8 § 1 led 4 i PNR-lagen under alla omständigheter omfattas av den undantagsklausul som föreskrivs i artikel 2.2 a i dataskyddsförordningen, och av den som föreskrivs i artikel 2.3 a i polisdirektivet, eftersom säkerhets- och underrättelsetjänstens verksamhet inte omfattas av unionsrättens tillämpningsområde.

58. Jag vill i det avseendet understryka att EU-domstolen inte har att ta ställning till en fråga som avser tolkningen av dessa bestämmelser, och till att börja med påpeka att EU-domstolen redan har slagit fast att en nationell lagstiftning som ålägger privata operatörer en skyldighet att behandla uppgifter omfattas av unionsrättens bestämmelser om skydd av personuppgifter, även om lagstiftningen syftar till att skydda nationell säkerhet. ( 37 ) Härav följer att den överföring av PNR-uppgifter som PNR-lagen ålägger transportörer och researrangörer i princip omfattas av dataskyddsförordningen även när överföringen utförs för de syften som avses i artikel 8 § 1 led 4 i lagen.

59. Vidare vill jag påpeka att även om det i skäl 16 i dataskyddsförordningen anges att denna förordning inte är tillämplig på ”verksamhet rörande nationell säkerhet” och det i skäl 14 i polisdirektivet anges att ”verksamhet som rör nationell säkerhet, verksamhet som utförs av byråer och organ som hanterar nationella säkerhetsfrågor … inte [bör] betraktas som verksamhet som omfattas av detta direktivs tillämpningsområde”, grundar sig de kriterier på grundval av vilka en behandling av personuppgifter som utförs av en myndighet, ett organ eller en byrå i en medlemsstat antingen omfattas av tillämpningsområdet för den ena eller den andra unionsrättsakten som reglerar skyddet för de berörda personerna i fråga om sådan behandling eller faller utanför unionsrättens tillämpningsområde, på en logik som har samband med såväl det uppdrag som denna myndighet, detta organ eller denna byrå har getts som syftena med denna behandling. Domstolen har slagit fast att artikel 2.2 a i dataskyddsförordningen, jämförd med skäl 16 i förordningen, ”ska anses ha som enda syfte att från förordningens tillämpningsområde undanta behandling av personuppgifter som statliga myndigheter utför som ett led i en verksamhet som syftar till att upprätthålla nationell säkerhet eller en verksamhet som kan placeras i samma kategori. Det innebär att enbart den omständigheten att en verksamhet endast kan bedrivas av staten eller av en offentlig myndighet inte räcker för att detta undantag automatiskt ska vara tillämpligt på en sådan verksamhet …”. ( 38 ) Domstolen har även angett att ”[v]erksamhet som syftar till att upprätthålla den nationella säkerheten i den mening som avses i artikel 2.2 a i dataskyddsförordningen omfattar [särskilt] … verksamhet som syftar till att skydda statens grundfunktioner och samhällets grundläggande intressen”. ( 39 ) Härav följer att om en medlemsstat ger sin säkerhets- och underrättelsetjänst i uppdrag att utföra uppgifter på de områden som räknas upp i artikel 3 led 7 a i polisdirektivet, omfattas den behandling av uppgifter som säkerhets- och underrättelsetjänsten utför för att fullgöra sina uppgifter av tillämpningsområdet för detta direktiv och, i förekommande fall, PNR-direktivet. Mer allmänt vill jag påpeka att domstolen upprepade gånger har slagit fast, vid tolkningen av artikel 4.2 FEU som bland annat den belgiska regeringen stöder sig på, att enbart den omständigheten att en nationell åtgärd har vidtagits för att skydda nationell säkerhet inte kan leda till att unionsrätten inte är tillämplig och befria medlemsstaterna från skyldigheten att iaktta unionsrätten. ( 40 ) Domstolen har således visat sig vara tveksam till att automatiskt och utan urskillning utesluta medlemsstaternas verksamheter som har anknytning till skyddet av nationell säkerhet från unionsrättens tillämpningsområde.

60. I enlighet med uppfattningen hos alla berörda parter som har ingett yttranden, med undantag av den franska regeringen, ska det vidare anses att den behandling av PNR-uppgifter som utförs av de behöriga belgiska myndigheterna för de syften som anges i artikel 8 § 2 i PNR-lagen, det vill säga för att ”förbättra personkontroller vid de yttre gränserna och för att bekämpa olaglig invandring”, ( 41 ) inte omfattas av undantagsklausulen i artikel 2.2 d i dataskyddsförordningen, eller av någon annan undantagsklausul som föreskrivs i denna artikel och omfattas följaktligen av tillämpningsområdet för denna förordning. I motsats till vad den franska regeringen har hävdat, kan sådan behandling inte regleras av PNR-direktivet, där det i artikel 1.2 föreskrivs att ”PNR-uppgifter som samlas in i enlighet med detta direktiv får endast behandlas i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet”, och i princip inte heller av polisdirektivet, som enligt artikel 1.1 i direktivet endast är tillämpligt på behandling av personuppgifter som utförs av behöriga myndigheter ”i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten”. Som framgår av beslutet om hänskjutande har artikel 8 § 2 i PNR-lagen och kapitel 11 i nämnda lag, som innehåller bestämmelser om behandling av PNR-uppgifter för att förbättra kontrollen vid gränserna och för att bekämpa olaglig invandring och som för det syftet föreskriver att dessa uppgifter ska överföras till enheten för passagerarinformation av bland annat gränspolisen, till syfte att införliva API‑direktivet och direktiv 2010/65 med belgisk rätt. Dessa båda direktiv ålägger dock de behöriga myndigheterna, i fråga om de behandlingar som föreskrivs däri, att följa bestämmelserna i direktiv 95/46. ( 42 ) I motsats till vad den franska regeringen har hävdat, ska hänvisningen till skyddsreglerna i nämnda direktiv förstås så, att den omfattar all behandling av personuppgifter som utförs på grundval av API‑direktivet och direktiv 2010/65. Den omständigheten att API‑direktivet antogs innan rambeslut 2008/977 trädde i kraft är inte relevant i det avseendet, eftersom detta rambeslut, och polisdirektivet som har ersatt detta, endast rör sådan behandling av personuppgifter som avses i artikel 3.1 i API‑direktivet, som utförs av de behöriga myndigheterna i brottsbekämpande syfte. ( 43 )

61. Mot bakgrund av det ovan anförda föreslår jag att domstolen ska besvara den första frågan på följande sätt. Artikel 23 i dataskyddsförordningen, jämförd med artikel 2.2 d i samma förordning, ska tolkas så, – att den är tillämplig på en nationell lagstiftning som införlivar PNR-direktivet, i den mån som denna lagstiftning reglerar behandling av PNR-uppgifter som utförs av transportörer och andra ekonomiska aktörer, inbegripet överföring av PNR-uppgifter till enheterna för passagerarinformation, som föreskrivs i artikel 8 i nämnda direktiv, – att den inte är tillämplig på en nationell lagstiftning som införlivar PNR-direktivet, i den mån som denna lagstiftning reglerar behandling av uppgifter som utförs för de syften som föreskrivs i artikel 1.2 i direktivet av de behöriga nationella myndigheterna, däribland enheterna för passagerarinformation och, i förekommande fall, säkerhets- och underrättelsetjänsten i den berörda medlemsstaten, och – att den är tillämplig på en nationell lagstiftning som införlivar API‑direktivet och direktiv 2010/65 för att förbättra personkontroller vid de yttre gränserna och för att bekämpa olaglig invandring.

B. Den andra, den tredje, den fjärde, den sjätte och den åttonde frågan

62. Cour constitutionnelle (Författningsdomstolen) har ställt den andra, den tredje, den fjärde och den sjätte frågan för att EU-domstolen ska ta ställning till huruvida PNR-direktivet är giltigt i förhållande till artiklarna 7, 8 och 52.1 i stadgan. Trots att den åttonde frågan har avfattats som en tolkningsfråga, syftar även den i huvudsak till att domstolen ska ta ställning till direktivets giltighet.

63. Dessa frågor avser de olika delarna av det system för behandling av PNR-uppgifter som har inrättats genom PNR-direktivet och kräver, i förhållande till var och en av dessa delar, en bedömning av huruvida villkoren för att de införda begränsningarna av utövandet av de grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan ska vara lagenliga har iakttagits. Den andra och den tredje frågan avser således förteckningen över PNR-uppgifter i bilaga I, den fjärde frågan avser definitionen av begreppet passagerare i artikel 3 led 4 i PNR-direktivet, den sjätte frågan avser användningen av PNR-uppgifter med avseende på förhandsbedömningen enligt artikel 6 i direktivet och den åttonde frågan avser den lagringstid för PNR-uppgifter som föreskrivs i artikel 12.1 i direktivet.

1. De grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan

64. Artikel 7 i stadgan garanterar var och en rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. I artikel 8.1 i stadgan erkänns uttryckligen att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Det följer av fast rättspraxis att dessa rättigheter, vilka omfattar all information som avser en identifierad eller identifierbar fysisk person, har ett nära samband, eftersom åtkomst till en fysisk persons personuppgifter för lagring eller användning påverkar denna persons rätt till respekt för privatlivet. ( 44 )

65. De rättigheter som slås fast i artiklarna 7 och 8 i stadgan är dock inte några absoluta rättigheter, utan måste bedömas utifrån deras funktion i samhället. ( 45 ) Artikel 8.2 i stadgan tillåter således behandling av personuppgifter om vissa villkor är uppfyllda. I denna bestämmelse föreskrivs att personuppgifter ska behandlas ”lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund”.

66. Varje begränsning av rätten till skydd av personuppgifter och rätten till privatliv ska dessutom uppfylla kraven i artikel 52.1 i stadgan. En sådan begränsning ska vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och ska, med beaktande av proportionalitetsprincipen, vara nödvändig och faktiskt svara mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.

67. Bedömningen av en åtgärd som begränsar dessa rättigheter ska även ta hänsyn till betydelsen av de rättigheter som slås fast i artiklarna 3, 4, 6 och 7 i stadgan och till den betydelse som målen att skydda nationell säkerhet och bekämpa grov brottslighet har för att bidra till skyddet för andra människors rättigheter och friheter. ( 46 ) I artikel 6 i stadgan anges att var och en har rätt till frihet, men också till personlig säkerhet. ( 47 )

68. Artikel 52.3 i stadgan syftar vidare till att trygga den nödvändiga koherensen mellan rättigheterna i stadgan och motsvarande rättigheter i Europakonventionen, vilka ska beaktas såsom lägsta tillåtna skyddsnivå. ( 48 ) Rätten till respekt för privatlivet och familjelivet, som slås fast i artikel 7 i stadgan, motsvarar den rättighet som garanteras i artikel 8 i Europakonventionen och ska följaktligen ges samma innebörd och räckvidd. ( 49 ) Det framgår av rättspraxis från Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) att ett ingrepp i de rättigheter som garanteras i denna artikel endast kan vara motiverat enligt artikel 8.2 om det har stöd i lag, avser ett eller flera av de legitima mål som anges i nämnda bestämmelse och är nödvändigt i ett demokratiskt samhälle för att detta eller dessa mål ska kunna uppnås. ( 50 ) Åtgärden ska även vara förenlig med den grundläggande rättsuppfattningen, som uttryckligen omnämns i ingressen till Europakonventionen och som är en del av syftet och målet med artikel 8 i Europakonventionen. ( 51 )

69. Det är mot bakgrund av dessa principer som jag kommer att pröva de giltighetsfrågor som Cour constitutionnelle (Författningsdomstolen) har ställt.

2. Ingreppet i de grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan

70. Domstolen har redan slagit fast att bestämmelser som föreskriver eller tillåter utlämnande av personuppgifter om fysiska personer till tredje man, såsom en offentlig myndighet, ska – om dessa fysiska personer inte har lämnat sitt samtycke och oavsett hur uppgifterna i fråga senare används – anses utgöra intrång i privatlivet och följaktligen en begränsning av den grundläggande rättighet som garanteras i artikel 7 i stadgan, utan att detta påverkar frågan om de eventuellt kan anses berättigade. ( 52 ) Så är fallet även i avsaknad av omständigheter som kan kvalificera ett sådant ingrepp som ”allvarligt” och oavsett om upplysningarna om de berördas privatliv är av känslig art och om de berörda har fått utstå olägenheter på grund av ingreppet. ( 53 ) Myndigheters tillgång till sådana upplysningar utgör även ett ingrepp i den grundläggande rätten till skydd av personuppgifter som garanteras i artikel 8 i stadgan, eftersom det utgör behandling av personuppgifter. ( 54 ) På samma sätt utgör lagring, under en viss tid, av uppgifter avseende en persons privatliv ett ingrepp i de rättigheter som garanteras i artiklarna 7 och 8 i stadgan. ( 55 )

71. Domstolen har även slagit fast att PNR-uppgifterna, såsom de som räknas upp i bilaga I, innehåller uppgifter om identifierade fysiska personer, det vill säga berörda flygpassagerare, och de olika behandlingar som uppgifterna kan bli föremål för påverkar därför den grundläggande rätten till respekt för privatlivet, vilken är garanterad i artikel 7 i stadgan. Dessa behandlingar omfattas även av artikel 8 i stadgan och de måste därför uppfylla de krav på skydd av uppgifter som följer av den artikeln. ( 56 )

72. De behandlingar av PNR-uppgifter som PNR-direktivet tillåter och särskilt, såvitt är av intresse i förevarande mål, lufttrafikföretagens överföring av dessa uppgifter till enheterna för passagerarinformation, deras användning av dessa enheter, deras vidare överföring till behöriga nationella myndigheter i den mening som avses i artikel 7 i direktivet, samt lagring av dessa uppgifter utgör lika mycket ingrepp i de grundläggande rättigheter som garanteras i artiklarna 7 och 8 i stadgan.

73. När det gäller hur allvarliga dessa ingrepp är, ska det, för det första, påpekas att det i PNR-direktivet föreskrivs en systematisk och fortlöpande överföring av PNR-uppgifter till enheterna för passagerarinformation om alla flygpassagerare, såsom detta begrepp definieras i artikel 3 led 4 i direktivet, på en flygning ”utanför EU” i den mening som avses i artikel 3 led 2 i direktivet. En sådan överföring innebär en allmän åtkomst för enheterna för passagerarinformation till samtliga PNR-uppgifter som lämnats ut. ( 57 ) Detta konstaterande påverkas inte, i motsats till vad vissa medlemsstater har gjort gällande i förevarande mål, av den omständigheten att enheterna för passagerarinformation endast får konkret tillgång till uppgifter som vid en analys har lett till ett positivt resultat, eftersom dessa uppgifter genomgår en automatisk behandling. En sådan omständighet har hittills inte hindrat domstolen från att, i samband med liknande system för automatisk behandling av personuppgifter som samlas in eller lagras ”huller om buller”, anse att de berörda myndigheternas åtkomst till sådana uppgifter är generell. Enbart den omständigheten att personuppgifter ställs till myndigheters förfogande för att dessa myndigheter ska behandla och lagra uppgifterna medför i princip en generell och fullständig tillgång till sådana uppgifter för myndigheterna och ett ingrepp i den grundläggande rätten till respekt för privatlivet och till skydd av personuppgifter.

74. För det andra får medlemsstaterna, enligt artikel 2.1 i PNR-direktivet, besluta att tillämpa detta direktiv på flygningar ”inom EU”, i den mening som avses i artikel 3.3 i direktivet. I det avseendet vill jag påpeka att PNR-direktivet inte enbart föreskriver en möjlighet för medlemsstaterna att utvidga direktivets tillämpning till att omfatta flygningar inom EU, utan i direktivet fastställs även både de formella och de materiella villkoren för att utnyttja denna möjlighet ( 58 ) och det anges däri att när denna möjlighet utnyttjas endast i fråga om valda flygningar inom EU, ska valet av dessa flygningar ske med beaktande av de mål som eftersträvas genom direktivet. ( 59 ) I PNR-direktivet fastställs vidare konsekvenserna av att en sådan möjlighet har utnyttjats, då det i artikel 2.2 i direktivet föreskrivs att när en medlemsstat beslutar att tillämpa detta direktiv på flygningar inom EU, ska alla bestämmelser i direktivet ”gälla för flygningar inom EU som om de vore flygningar utanför EU och för PNR-uppgifter från flygningar inom EU som om de vore PNR-uppgifter från flygningar utanför EU”.

75. Under dessa omständigheter anser jag, i motsats till vad som har gjorts gällande av ett visst antal regeringar som har avgett yttranden i förevarande mål, att även om tillämpningen av PNR-direktivet på flygningar inom EU är avhängig av medlemsstaternas val, utgör PNR-direktivet den rättsliga grunden för ingreppen i rätten till respekt för privatlivet och rätten till skydd av personuppgifter som har samband med överföringen, behandlingen och lagringen av PNR-uppgifter avseende dessa flygningar, när ett sådant val har gjorts.

76. Bortsett från Konungariket Danmark, som inte omfattas av direktivet, ( 60 ) tillämpar nästan alla medlemsstater den ordning som har inrättats genom direktivet på flygningar ”inom EU”. ( 61 ) Härav följer att denna ordning är tillämplig på alla flygningar till och från unionen samt på nästan alla flygningar som sker inom unionen.

77. Vad, för det tredje, beträffar PNR-uppgifter som ska överföras, anges 19 kategorier i bilaga I som avser biografiska uppgifter, ( 62 ) detaljer om flygresan ( 63 ) och andra uppgifter som samlats in i samband med ett avtal om lufttransport, såsom telefonnummer eller e-postadress, betalningsinformation, resebyrå eller resebyråtjänsteman, bagageinformation och allmänna anmärkningar. ( 64 ) Såsom domstolen angav i punkt 128 i yttrande 1/15, då den tog ställning till kategorierna i bilagan till förslaget till avtal mellan Kanada och Europeiska unionen om överföring och behandling av passageraruppgifter (nedan kallat förslaget till PNR-avtal mellan Kanada och EU), vilka i stor utsträckning var utformade på ett liknande sätt som kategorierna i bilaga I, ”[ä]ven om vissa PNR-uppgifter sedda separata inte förefaller kunna lämna några viktiga upplysningar om de berörda personernas privatliv, är det icke desto mindre så, att uppgifterna sammantagna kan lämna upplysningar om bland annat en fullständig res[r]utt, resvanor, förhållandena mellan två eller flera personer, upplysningar om flygpassagerarnas ekonomiska situation, upplysningar om deras matvanor eller hälsotillstånd och till och med skulle kunna lämna känsliga upplysningar om dessa flygpassagerare”.

78. För det fjärde framgår det av lydelsen i artikel 6 i PNR-direktivet att uppgifter som överförs av lufttrafikföretag är avsedda att analyseras av enheterna för passagerarinformation med automatiska metoder och på ett systematiskt sätt, det vill säga oberoende av huruvida det finns minsta tecken på att de berörda personerna riskerar att vara inblandade i terroristbrott eller grov brottslighet. Vid den förhandsbedömning av passagerare som föreskrivs i artikel 6.2 a i direktivet och i enlighet med artikel 6.3, kan närmare bestämt dessa uppgifter kontrolleras genom samkörning med uppgifter i databaser ”som är relevanta” (artikel 6. 3 a) och behandlas i enlighet med på förhand fastställda kriterier (artikel 6.3 b). Den första typen av behandling kan ge ytterligare upplysningar om de berörda personernas privatliv ( 65 ) och, med hänsyn till de databaser som används vid samkörningen, till och med göra det möjligt att skapa en exakt profil för dessa personer. Under dessa omständigheter kan det inte anses att den invändning som har framställts av flera regeringar, nämligen att PNR-direktivet endast ger tillgång till en relativt begränsad uppsättning av personuppgifter, på ett lämpligt sätt avspeglar den potentiella omfattningen av de ingrepp som detta direktiv innebär i de grundläggande rättigheter som skyddas i artiklarna 7 och 8 i stadgan, mot bakgrund av omfattningen av de uppgifter som direktivet kan möjliggöra tillgång till. Vad beträffar den andra typen av behandling av uppgifter, som föreskrivs i artikel 6.3 b i PNR-direktivet, vill jag erinra om att domstolen, i punkterna 169 och 172 i yttrande 1/15, framhöll att det ligger i sakens natur att varje analys som grundar sig på förhandsbestämda kriterier innehåller en viss felmarginal, och särskilt ett antal ”felaktiga positiva” resultat. Enligt de sifferuppgifter som finns i arbetsdokumentet från kommissionens avdelningar ( 66 ) (nedan kallat arbetsdokumentet från år 2020), vilket bifogades kommissionens rapport från år 2020, är antalet träffar som, efter en sådan individuell granskning som föreskrivs i artikel 6.5 i PNR-direktivet, visar sig vara felaktiga ganska konsekvent och uppgick under åren 2018 och 2019 till åtminstone fem av sex identifierade personer. ( 67 )

79. För det femte, i enlighet med artikel 12.1 i PNR-direktivet, lagras PNR-uppgifterna i en databas under en period på fem år efter överföringen till enheten för passagerarinformation i den medlemsstat på vars territorium flygningen ankom eller avgick. PNR-direktivet gör det följaktligen möjligt att förfoga över information om flygpassagerares privatliv under en särskilt lång tid. ( 68 ) Eftersom överföringen av PNR-uppgifter berör nästan samtliga flygningar till och från unionen samt inom unionen, och flyg har blivit ett ganska vanligt transportmedel, skulle en betydande andel av flygpassagerarna kunna få sina personuppgifter lagrade praktiskt taget permanent, enbart på grund av att de förflyttar sig med flyg minst två gånger vart femte år.

80. På ett mer allmänt plan föreskrivs det slutligen i PNR-direktivet åtgärder som, vid en sammantagen bedömning, syftar till att på unionsnivå inrätta ett system för övervakning som är ”icke-riktad”, det vill säga som inte aktiveras av en misstanke mot en eller flera specifika personer, som är ”massiv” genom att den avser personuppgifter om ett stort antal individer, ( 69 ) täcker en personkategori i dess helhet ( 70 ) och är ”proaktiv”, eftersom den inte bara syftar till att utreda kända hot, utan även till att hitta eller identifiera hittills okända faror. ( 71 ) Sådana åtgärder ger, till sin natur, upphov till allvarliga ingrepp i de grundläggande rättigheter som skyddas av artiklarna 7 och 8 i stadgan, ( 72 ) som har samband bland annat med deras förebyggande och prediktiva syfte, vilket kräver en bedömning av personuppgifter avseende stora segment av befolkningen, då målet är att ”identifiera” de personer som utifrån resultatet av denna bedömning bör undersökas närmare av de behöriga myndigheterna. ( 73 ) Den allt vanligare användningen, i syfte att förebygga och förhindra viss grov brottslighet, av behandling av stora mängder personuppgifter av olika slag som har samlats in ”huller om buller”, och att de jämförs med varandra och behandlas tillsammans, medför en ”kumulativ effekt” som ökar allvaret i inskränkningarna av den grundläggande rätten till respekt för privatlivet och till skydd av personuppgifter och riskerar att främja en process med en gradvis glidning mot ett ”övervakningssamhälle”. ( 74 )

81. Mot bakgrund av det ovan anförda anser jag att det ingrepp som PNR-direktivet innebär i de grundläggande rättigheter som skyddas i artiklarna 7 och 8 i stadgan åtminstone ska betecknas som ”allvarligt”.

82. Det är, såsom särskilt kommissionen har hävdat, riktigt att samtliga de skyddsregler och skyddsåtgärder som föreskrivs i PNR-direktivet, särskilt för att undvika missbruk av PNR-uppgifter, kan minska ingreppens intensitet eller allvar. Det är icke desto mindre så, att varje ordning som föreskriver tillgång och behandling av personuppgifter från myndigheternas sida har en viss allvarlighetsgrad, sett utifrån skyddet för de grundläggande rättigheter som påverkas, vilken följer av dess objektiva egenskaper. Denna allvarlighetsgrad ska, enlig min mening, fastställas innan det, i samband med proportionalitetsbedömningen av nämnda ingrepp, görs en bedömning av huruvida de skyddsregler som föreskrivs i denna ordning är tillräckliga och lämpliga. Det är så domstolen enligt min mening hittills har gått till väga.

83. För att vara förenliga med stadgan måste de ingrepp som PNR-direktivet innebär i den grundläggande rätten till respekt för privatlivet och till skydd av personuppgifter uppfylla villkoren som anges i punkterna 65 och 66 i detta förslag till avgörande, vilket kommer att prövas nedan såvitt beträffar de aspekter som den hänskjutande domstolen har underställt EU-domstolens prövning.

3. Huruvida det ingrepp som följer av PNR-direktivet är motiverat

84. Den tredje frågan avser iakttagandet av villkoret i artikel 52.1 första meningen i stadgan, enligt vilket varje ingrepp i en grundläggande rättighet ska vara ”föreskrive[t] i lag”, medan den andra, den fjärde, den sjätte och den åttonde frågan syftar till att EU-domstolen bland annat ska ta ställning till huruvida proportionalitetsprincipen har iakttagits, vilken avses i den andra meningen i nämnda bestämmelse.

a) Iakttagandet av kravet att varje begränsning i utövandet av en grundläggande rättighet som föreskrivs i stadgan ska vara föreskriven i lag

85. Det följer av EU-domstolens fasta praxis, ( 75 ) som inspirerats av Europadomstolens praxis, ( 76 ) att kravet på att varje begränsning i utövandet av en grundläggande rättighet ska vara ”föreskriven i lag” inte enbart avser ingreppets ”rättsliga” ursprung – som inte är i fråga i förevarande mål – utan innebär även att den rättsliga grund som tillåter ett sådant ingrepp på ett klart och precist sätt ska definiera omfattningen av ingreppet. Denna andra del, vilken avser ”lagens egenskaper” och således den aktuella åtgärdens tillgänglighet och förutsebarhet, ( 77 ) och omfattar uttrycken ”föreskriven i lag”, ”lagenlig” och ”med stöd av lag” i den mening som avses i artikel 52.1 stadgan, artikel 8.2 i stadgan respektive artikel 8 i Europakonventionen, syftar inte bara till att säkerställa iakttagandet av legalitetsprincipen och ett adekvat skydd mot godtycke, ( 78 ) utan uppfyller även ett krav på rättssäkerhet. Detta krav har även gjorts gällande i yttrandet av den 19 augusti 2016 från den rådgivande kommittén för konvention 108 ( 79 ) om konsekvenserna i fråga om dataskydd av behandling av passageraruppgifter (nedan kallat yttrandet av den 19 augusti 2016). ( 80 )

86. Genom att anta PNR-direktivet, införde unionslagstiftaren själv en begränsning av de rättigheter som stadgas i artiklarna 7 och 8 i stadgan. De ingrepp i dessa rättigheter som är tillåtna enligt detta direktiv ska således inte anses vara en följd av medlemsstaternas val, ( 81 ) trots det utrymme för skönsmässig bedömning som medlemsstaterna har kunnat åtnjuta vid införlivandet av direktivet med nationell rätt, utan de har sin rättsliga grund i själva PNR-direktivet. Under dessa omständigheter ankom det på unionslagstiftaren – för att rätta sig efter den rättspraxis som det har erinrats om i punkt 85 ovan och de ”höga standarder” i fråga om skydd av grundläggande rättigheter som finns bland annat i stadgan och i Europakonventionen, vilka det hänvisas till i skäl 15 i PNR-direktivet – att föreskriva klara och precisa bestämmelser som definierar både räckvidden och tillämpningen av de åtgärder som medför dessa ingrepp.

87. Även om den hänskjutande domstolen genom den tredje frågan specifikt vill få klarhet i huruvida denna skyldighet har iakttagits i förhållande till punkterna 12 och 18 i bilaga I, kommer prövningen av den andra, den fjärde och den sjätte frågan, genom vilka nämnda domstol har uttryckt tvivel om huruvida de ingrepp som PNR-direktivet medför i de grundläggande rättigheter som anges i artiklarna 7 och 8 i stadgan är nödvändiga, även att kräva att domstolen tar ställning till huruvida de ifrågasätta bestämmelserna i PNR-direktivet är tillräckligt klara och precisa.

88. Trots att denna bedömning, såsom jag har angett i punkt 85 ovan, avser ingreppets lagenlighet enligt artikel 52.1 första meningen i stadgan, kommer jag att göra denna i samband med prövningen av huruvida ingreppet är proportionerligt, vilket avses i den andra meningen i nämnda bestämmelse, i enlighet med det synsätt som har tillämpats både av EU-domstolen och av Europadomstolen i de mål som rör åtgärder som avser behandlingen av personuppgifter. ( 82 )

b) Förenligheten med det väsentliga innehållet i de rättigheter som anges i artiklarna 7 och 8 i stadgan

89. Enligt artikel 52.1 första meningen i stadgan ska varje begränsning i utövandet av de grundläggande rättigheterna inte bara ha en tillräckligt precis rättslig grund, utan ska även vara förenlig med det väsentliga innehållet i dessa rättigheter.

90. Som jag har angett i punkt 66 ovan, har detta krav – som har införlivats med olika medlemsstaters konstitutioner, ( 83 ) och som även om det inte uttryckligen har erkänts i Europakonventionen, likväl är fast förankrat i Europadomstolens praxis ( 84 ) – slagits fast i artikel 52.1 i stadgan. ( 85 ) Ett sådant krav erkändes av EU-domstolen långt innan det kodifierades, ( 86 ) och har ständigt bekräftats i unionsdomstolarnas praxis, även efter ikraftträdandet av Lissabonfördraget.

91. Det framgår bland annat av domen av den 6 oktober 2015, Schrems, ( 87 ) att om en unionsrättsakt inte är förenlig med det väsentliga innehållet i en grundläggande rättighet medför detta automatiskt att rättsakten utgör en nullitet eller är ogiltig, utan att det är nödvändigt att göra en avvägning mellan de intressen som står på spel. Domstolen har således erkänt att varje grundläggande rättighet har en ”hård kärna”, som garanterar alla och envar en sfär av frihet som är skyddad mot varje ingrepp från statsmakternas sida och som inte får begränsas, ( 88 ) då den demokratiska principen, rättsstatsprincipen och principen om respekt för människans värdighet som ligger till grund för skyddet för de grundläggande rättigheterna i annat fall skulle ifrågasättas. Det framgår dessutom av såväl lydelsen i artikel 52.1 i stadgan som av EU-domstolens praxis, särskilt av domen Schrems I, att bedömningen av huruvida det föreligger ett ingrepp i det väsentliga innehållet i den aktuella grundläggande rättigheten ska göras före och oberoende av bedömningen av huruvida den ifrågasatta åtgärden är proportionerlig. Det är med andra ord fråga om ett helt fristående test.

92. Att bestämma vad som utgör det ”väsentliga innehållet”, och som följaktligen är oangripbart, i en grundläggande rättighet vars utövande kan begränsas är ett oerhört komplext förfarande. Även om detta begrepp, för att fylla sin funktion, bör kunna definieras i absoluta ordalag, med hänsyn till den aktuella grundläggande rättighetens väsentliga kännetecken, de subjektiva och objektiva intressen som den syftar till att skydda och, mer allmänt, dess funktion i ett demokratiskt samhälle grundat på respekten för människans värdighet, ( 89 ) är ett sådant förfarande i praktiken nästan omöjligt, i vart fall utan att beakta de kriterier som vanligtvis används vid proportionalitetsbedömningen av ingreppet i den aktuella rättigheten, såsom ingreppets allvar, dess omfattning eller tidsaspekt och följaktligen utan att beakta de särskilda omständigheterna i varje enskilt fall.

93. Vad särskilt beträffar den grundläggande rätten till respekt för privatlivet, ska hänsyn inte bara tas till den betydelse som den omständigheten att man förfogar över en privat sfär för att utveckla sitt personliga inre har för varje individs psykiska och fysiska hälsa, välmående, autonomi, personliga utveckling, förmåga att skapa och utveckla sociala relationer, utan även till den roll som denna rättighet har för att bevara andra rättigheter och friheter, såsom bland annat tankefrihet, samvetsfrihet, religionsfrihet, yttrande- och informationsfrihet, vilka för att kunna utnyttjas till fullo förutsätter erkännandet av en intimsfär. Mer allmänt ska hänsyn tas till den funktion som respekten för rätten till privatliv fyller i ett demokratiskt samhälle. ( 90 ) EU-domstolen tycks bedöma huruvida det föreligger en kränkning av det väsentliga innehållet i denna rättighet genom att beakta såväl ingreppets intensitet som omfattning, vilket ger vid handen att en sådan kränkning definieras kvantitativt snarare än kvalitativt. I domen Digital Rights ansåg domstolen i huvudsak att skyldigheten att lagra uppgifter som föreskrivs i direktiv 2006/24/EG ( 91 ) inte var av en sådan allvarlighetsgrad att den påverkade det väsentliga innehållet i rätten till respekt för privatlivet, eftersom det inte var tillåtet att ”skaffa sig kännedom om själva innehållet i de elektroniska kommunikationerna”. ( 92 ) I yttrande 1/15 fann domstolen att en begränsning som enbart avsåg vissa aspekter av de berörda personernas privatliv inte kunde ge upphov till ett ingrepp i det väsentliga innehållet i denna grundläggande rätt. ( 93 )

94. Vad beträffar den grundläggande rätten till skydd av personuppgifter, tycks domstolen anse att det väsentliga innehållet i denna rätt bevaras när den åtgärd som medför ingreppet avgränsar syftena med behandlingen och föreskriver regler som säkerställer skydd för uppgifter, bland annat mot oavsiktlig eller olaglig förstöring och mot oavsiktlig förlust eller oavsiktlig ändring av uppgifterna. ( 94 )

95. I förevarande mål har den hänskjutande domstolen visserligen inte uttryckligen nämnt kravet på förenlighet med det väsentliga innehållet i de rättigheter som anges i artiklarna 7 och 8 i stadgan, men jag anser att frågan om förenligheten med detta krav ligger till grund för den fjärde och den sjätte frågan. Detta är anledningen till att jag föreslår att EU-domstolen ska behandla denna fråga.

96. Jag vill i det avseendet erinra om att EU-domstolen i punkt 150 i yttrande 1/15 medgav att PNR-uppgifter ”i förekommande fall kan avslöja mycket precisa uppgifter om en persons privatliv”, ( 95 ) och att denna information, direkt eller indirekt, kan avslöja känsliga uppgifter om den berörda personen, ( 96 ) men den drog ändå slutsatsen, beträffande förslaget till PNR-avtal mellan Kanada och EU, att eftersom ”dessa uppgifter [var] begränsade till vissa aspekter av privatlivet, särskilt flygresorna mellan Kanada och unionen”, kunde kränkningen av den grundläggande rätten till respekt för privatlivet inte påverka det väsentliga innehållet i denna rätt.

97. Bortsett från den omständigheten att de PNR-uppgifter som avsågs i förslaget till PNR-avtal mellan Kanada och EU skulle överföras till en tredjestat och att den senare behandlingen av dessa uppgifter skulle utföras av myndigheterna i denna tredjestat på dess territorium, är de ingrepp i den grundläggande rätten till respekt för privatlivet som följer av nämnda förslag till avtal och de ingrepp som föreskrivs i PNR-direktivet i stor utsträckning sammanfallande till sin art. Detta gäller särskilt de PNR-uppgifter som avses, den systematiska och generella överföringen och behandlingen av dessa uppgifter, behandlingens automatiska art samt lagringen av dessa uppgifter. Vad som däremot skiljer de båda målen åt är, så att säga, ingreppens ”geografiska omfattning”. Som jag har angett i punkt 77 ovan, är behandlingen av de uppgifter som är aktuella i förevarande mål inte begränsad till flygförbindelser med ett enda tredjeland, vilket var fallet i yttrande 1/15, utan avser nästan alla flygningar till och från unionen, och som sker inom unionen. Härav följer att PNR-direktivet, jämfört med förslaget till PNR-avtal mellan Kanada och EU, föreskriver en systematisk behandling av ett betydligt större antal flygpassagerare, som förflyttar sig med flyg inom och utanför unionen. Med hänsyn till ökningen av volymen behandlade uppgifter och hur ofta de samlas in, är det sannolikt att behandlingen av dessa uppgifter dessutom kan ge information som är både mer exakt och mer omfattande om de berörda personernas privatliv (resvanor, personliga relationer, ekonomisk situation etcetera).

98. Faktum kvarstår dock, såsom var fallet i yttrande 1/15, att denna information, betraktad för sig, endast avser vissa aspekter av privatlivet, som har samband med flygresor. Med hänsyn till att det är nödvändigt att definiera begreppet ”väsentligt innehåll” i grundläggande rättigheter på ett restriktivt sätt, för att detta ska behålla sin funktion som bastion mot angrepp på själva kärnan i dessa rättigheter, anser jag att den slutsats som domstolen kom fram till i punkt 150 i yttrande 1/15 kan tillämpas i förevarande mål.

99. I yttrande 1/15 uteslöt domstolen även ett angrepp på det väsentliga innehållet i rätten till skydd av personuppgifter. ( 97 ) Denna slutsats kan enligt min mening även tillämpas på omständigheterna i förevarande mål. Precis som var fallet med förslaget till PNR-avtal mellan Kanada och EU, avgränsas i artikel 1.2 i PNR-direktivet de ändamål för vilka behandlingen av PNR-uppgifter får ske. Dessutom innehåller detta direktiv samt de andra unionsrättsakter som direktivet hänvisar till, bland annat dataskyddsförordningen och polisdirektivet, särskilda bestämmelser som är avsedda att säkerställa i synnerhet säkerheten och sekretessen för PNR-uppgifterna samt deras integritet, och att skydda dem från olaglig åtkomst eller olaglig behandling. Även om det inte kan anses att sådana bestämmelser som dem som föreskrivs i PNR-direktivet avser det väsentliga innehållet i de grundläggande rättigheter som skyddas av artiklarna 7 och 8 i stadgan, är det icke desto mindre så, att bestämmelserna ska genomgå en strikt och rigorös kontroll av huruvida de är proportionerliga.

c) Iakttagandet av kravet att ingreppet ska svara mot ett mål av allmänt samhällsintresse

100. PNR-direktivet syftar bland annat till att trygga unionens inre säkerhet och att skydda personers liv och säkerhet genom överföring av PNR-uppgifter till medlemsstaternas behöriga myndigheter för att de ska användas i kampen mot terrorism och grov brottslighet. ( 98 )

101. Närmare bestämt framgår det av artikel 1.2 i PNR-direktivet, jämförd med skälen 6 och 7 i direktivet, samt av kommissionens förslag som ledde till antagandet av detta direktiv (nedan kallat förslaget till PNR-direktiv), ( 99 ) att PNR-uppgifterna, inom ramen för ett sådant syfte, används av de brottsbekämpande myndigheterna ( 100 ) på olika sätt. För det första används dessa uppgifter för att identifiera personer som är inblandade eller misstänks vara inblandade i terroristbrott och grov brottslighet som redan har begåtts, för att samla in bevisning och i förekommande fall hitta medbrottslingar och upplösa kriminella nätverk (”reaktiv” användning). För det andra kan PNR-uppgifterna bedömas före passagerarnas ankomst eller avresa för att förhindra att ett brott begås och för att identifiera personer som tidigare inte har varit misstänkta för delaktighet i terroristbrott eller grov brottslighet och som, på grundval av resultatet av denna bedömning, bör undersökas närmare av de brottsbekämpande myndigheterna (användning ”i realtid”). Slutligen används PNR-uppgifterna för att skapa bedömningskriterier som sedan kan användas vid riskbedömningen av passagerare före ankomst eller avresa (”proaktiv” användning). Genom en sådan proaktiv användning av PNR-uppgifter borde det vara möjligt för de brottsbekämpande myndigheterna att möta hotet från grov brottslighet och terrorism från en annan utgångspunkt än vad som är möjligt vid behandling av andra kategorier av personuppgifter. ( 101 )

102. Det framgår av domstolens praxis att målet att skydda den allmänna säkerheten, som bland annat omfattar att förebygga, förhindra, undersöka, upptäcka och lagföra såväl terroristbrott som andra brott som hör till grov brottslighet, utgör ett mål av allmänt samhällsintresse i unionen, i den mening som avses i artikel 52.1 i stadgan, som kan motivera ingrepp, även allvarliga sådana, i de grundläggande rättigheter som anges i artiklarna 7 och 8 i stadgan. ( 102 )

103. Domstolen har även medgett att målen att skydda allmän säkerhet och bekämpa grov brottslighet bidrar till skyddet för andra människors fri- och rättigheter. ( 103 ) Vad beträffar den balanserade avvägningen mellan dessa mål och de grundläggande rättigheter som stadgas i artiklarna 7 och 8 i stadgan, ( 104 ) ska det även tas hänsyn till betydelsen av de rättigheter som stadgas i artiklarna 3, 4, 6 och 7 i stadgan. I domen La Quadrature du Net fann domstolen i det avseendet att artikel 6 i stadgan ”inte [kan] tolkas så, att den ålägger statsmakten en skyldighet att vidta specifika åtgärder för att beivra vissa brott”. ( 105 ) Vad däremot särskilt gäller den effektiva bekämpningen av brott som bland annat underåriga och andra utsatta personer utsätts för, underströk domstolen att det av artikel 7 i stadgan kan följa positiva skyldigheter för statsmakten att vidta rättsliga åtgärder som syftar till att skydda privatlivet och familjelivet, och att sådana skyldigheter även kan följa av artiklarna 3 och 4 i stadgan vad gäller skyddet av personers fysiska och mentala integritet och förbudet mot tortyr och omänsklig och förnedrande behandling. ( 106 )

104. Slutligen ansåg domstolen att betydelsen av målet att skydda nationell säkerhet är mer omfattande än betydelsen av målen att bekämpa brottslighet i allmänhet, även grov sådan, och att skydda allmän säkerhet, och att målet följaktligen kan motivera åtgärder som innebär mer långtgående ingrepp i de grundläggande rättigheterna än dem som dessa övriga mål skulle kunna motivera. ( 107 ) Eftersom terrorverksamhet kan utgöra hot mot medlemsstaternas nationella säkerhet, utgör det system som har införts genom PNR-direktivet en del av syftet att skydda medlemsstaternas nationella säkerhet, eftersom systemet utgör ett instrument för att bekämpa sådan verksamhet.

d) Iakttagandet av proportionalitetsprincipen

105. Enligt artikel 52.1 andra meningen i stadgan får begränsningar i utövandet av en grundläggande rättighet som erkänns i stadgan, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.

106. Enligt domstolens fasta praxis kräver proportionalitetsprincipen att unionsinstitutionernas åtgärder ska vara ägnade att uppnå de legitima mål som eftersträvas med bestämmelserna i fråga och att de inte går utöver vad som är lämpligt och nödvändigt för att uppnå dessa mål. ( 108 )

107. Enligt domstolens fasta praxis kräver skyddet för den grundläggande rätten till respekt för privatlivet inom unionen att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt. Uppnåendet av ett mål av allmänt samhällsintresse kan dessutom inte ske utan att det beaktas att detta mål måste vara förenligt med de grundläggande rättigheter som berörs av åtgärden, varvid en balanserad avvägning ska göras mellan, å ena sidan, målet av allmänt samhällsintresse, och, å andra sidan, rättigheterna i fråga. ( 109 ) Närmare bestämt ska frågan huruvida en begränsning av de rättigheter som stadgas i artiklarna 7 och 8 i stadgan är proportionerlig bedömas med hänsyn till hur allvarligt det ingrepp är som en sådan begränsning medför. Det ska också kontrolleras att betydelsen av det mål av allmänt samhällsintresse som eftersträvas med denna begränsning står i proportion till hur allvarligt ingreppet är. ( 110 )

108. Det framgår av domstolens praxis att för att uppfylla kravet på proportionalitet måste PNR-direktivet, i egenskap av rättslig grund som innebär ingrepp i de grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan, vilka ingrepp har beskrivits i punkterna 70–83 ovan till avgörande, föreskriva klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av åtgärder som innebär sådana ingrepp, och slå fast minimikrav, så att de personer vilkas uppgifter har överförts har tillräckliga garantier som möjliggör ett effektivt skydd av deras personuppgifter mot riskerna för missbruk och otillåten åtkomst eller användning av dessa uppgifter. ( 111 ) Nödvändigheten av sådana garantier är av än större betydelse när personuppgifterna, såsom i förevarande fall, är föremål för automatisk behandling och när det är fråga om skyddet av den särskilda kategori av personuppgifter som utgörs av känsliga uppgifter. ( 112 )

109. Vad beträffar omfattningen av domstolsprövningen av huruvida de krav som följer av proportionalitetsprincipen är uppfyllda, är unionslagstiftarens utrymme för skönsmässig bedömning begränsat med hänsyn till den stora betydelse som skyddet för personuppgifter har för den grundläggande rätten till respekt för privatlivet och med hänsyn till det ingrepp i denna rätt som PNR-direktivet innebär. Det ska därför göras en strikt prövning. ( 113 )

1) Huruvida de behandlingar av PNR-uppgifter som avses i PNR-direktivet är ägnade att uppnå det mål som eftersträvas

110. I punkt 153 i yttrande 1/15 slog domstolen, beträffande förslaget till PNR-avtal mellan Kanada och EU, fast att överföringen av PNR-uppgifter till Kanada och den senare behandlingen av uppgifterna kan anses vara ägnade att säkerställa uppnåendet av målet att skydda den allmänna säkerheten. Konstaterandet att de är ägnade för detta, vilket sedan länge har erkänts både på unionsnivå och på global nivå, ( 114 ) kan enligt min mening inte ifrågasättas beträffande insamlingen och den senare behandlingen av PNR-uppgifter vad gäller både flygningar utanför EU och flygningar inom EU. ( 115 )

111. Effektiviteten i det system för behandling av PNR-uppgifter som har inrättats genom direktivet kan endast bedömas i ett konkret fall, genom att bedöma resultaten av dess tillämpning. ( 116 ) Ur denna synvinkel är det mycket viktigt att systemets effektivitet blir föremål för en kontinuerlig bedömning på grundval av statistiska uppgifter som är så exakta och tillförlitliga som möjligt. ( 117 ) I det avseendet bör kommissionen regelbundet göra en översyn som motsvarar den som redan föreskrivs i artikel 19 i PNR-direktivet.

2) Huruvida ingreppet är strängt nödvändigt

112. Trots att Cour constitutionnelle (Författningsdomstolen) inte uttryckligen har framfört tvivel om huruvida PNR-direktivet innehåller bestämmelser som är klara, precisa och begränsade till vad som är strängt nödvändigt vad gäller avgränsningen av syftena med behandlingen av PNR-uppgifter, ( 118 ) kan denna fråga enligt min mening inte förbigås vid den proportionalitetsbedömning av det i direktivet föreskrivna systemet som den hänskjutande domstolen har begärt. ( 119 )

i) Avgränsningen av syftena med behandlingen av PNR-uppgifter

113. En klar avgränsning av de syften för vilka de behöriga myndigheterna kan få tillgång till personuppgifter och för vilka uppgifterna senare får användas av myndigheterna utgör ett väsentligt krav i varje system för behandling av uppgifter särskilt i brottsbekämpande syfte. Det krävs dessutom att detta krav är uppfyllt för att möjliggöra för domstolen att bedöma huruvida de aktuella åtgärderna är proportionerliga, genom att tillämpa det kriterium som avser hur allvarligt ingreppet är i förhållande till betydelsen av det eftersträvade målet, vilket har fastställts i domstolens praxis. ( 120 )

114. Domstolen har framhållit betydelsen av en klar avgränsning av syftena med de åtgärder som medför begränsningar av den grundläggande rätten till respekt för privatlivet och till skydd av personuppgifter, bland annat i domen Digital Rights, där domstolen slog fast att direktiv 2006/24 var ogiltigt. I punkt 60 i den domen påpekade domstolen att det i direktivet inte föreskrevs ”något objektivt kriterium för att avgränsa behöriga nationella myndigheters tillgång till uppgifterna och deras senare användning för utredning, avslöjande och åtal av brott, vilka med hänsyn till det omfattande och allvarliga ingreppet i de grundläggande rättigheterna i artiklarna 7 och 8 i stadgan, kan anses tillräckligt allvarliga för att motivera ett sådant ingrepp” och att direktivet i stället inskränkte sig till ”att i artikel 1.1 göra en allmänt hållen hänvisning till allvarliga brott såsom de definieras i varje medlemsstats nationella lagstiftning”.

115. I artikel 1.2 i PNR-direktivet anges ett allmänt kriterium för att begränsa syftena. Enligt detta kriterium ”[får] PNR-uppgifter som samlas in i enlighet med detta direktiv … endast behandlas i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet”. I motsats till direktiv 2006/24, begränsar sig dock inte PNR-direktivet till ett sådant uttalande, utan i artikel 3 leden 8 och 9 i själva PNR-direktivet definieras såväl begreppet ”terroristbrott” som begreppet ”grov brottslighet”. Det förstnämnda begreppet definieras genom hänvisning till artiklarna 1–4 i rådets rambeslut 2002/475/RIF av den 13 juni 2002 om bekämpande av terrorism (EGT L 164, 2002, s. 3) (vilket har ersatts av direktiv (EU) 2017/541), ( 121 ) och det andra begreppet definieras dels genom att de kategorier av brott som motsvarar detta begrepp förtecknas i bilaga II, dels genom att det fastställs en tröskel för brottets allvar genom det strängaste fängelsestraff eller annan frihetsberövande åtgärd som kan utdömas för sådana brott.

116. Även om hänvisningen till de relevanta bestämmelserna i direktiv 2017/541 gör det möjligt att tillräckligt klart och precist beskriva de handlingar som kan betecknas som terroristbrott enligt artikel 3 led 8 i PNR-direktivet och att bedöma deras allvar för att göra en avvägning mellan betydelsen av målet att skydda den allmänna säkerheten som eftersträvas genom detta direktiv och allvaret i det ingrepp som direktivet medför i de grundläggande rättigheterna i artiklarna 7 och 8 i stadgan, är samma slutsats inte lika uppenbar i fråga om alla de brott som förtecknas i bilaga II.

117. I punkt 177 i yttrande 1/15 fann domstolen att i förslaget till PNR-avtal mellan Kanada och EU definierades på ett tydligt och precist sätt svårhetsgraden på de brott som begreppet ”allvarlig gränsöverskridande brottslighet” avsåg, genom att det angavs att dessa brott ska vara ”belagda med fängelse i minst fyra år eller en strängare påföljd”, genom att det hänvisades till ”brott som är definierade i kanadensisk rätt” och genom att ”de olika fall i vilka ett brott kan anses vara gränsöverskridande” angavs.

118. Jämfört med den lagstiftning som bedömdes av domstolen i nämnda yttrande, ska det påpekas att PNR-direktivet, för det första, inte tar hänsyn till brottens gränsöverskridande karaktär i definitionen av de brott som avses, för det andra, föreskriver en uttömmande förteckning över brott som till sin art ska anses utgöra grov brottslighet, under förutsättning att det lägsta maximistraff som föreskrivs i artikel 3 led 9 i direktivet uppnås, för det tredje, i princip sänker tröskeln för brottets allvar genom att anta ett kriterium som grundar sig på maximistraffets nivå och genom att fastställa denna tröskel till tre år.

119. Vad, för det första, beträffar avsaknaden av ett begränsande kriterium som grundar sig på den gränsöverskridande karaktären, är det visserligen riktigt att en avgränsning av PNR-direktivets materiella tillämpningsområde till att enbart omfatta ”gränsöverskridande” brottslighet skulle ha gjort det möjligt att inrikta sig på de brott som till sin art kan ha, åtminstone potentiellt sett, ett objektivt samband med flygresor och följaktligen med de kategorier av uppgifter som samlas in och behandlas med tillämpning av PNR-direktivet. ( 122 ) Jag delar dock i princip kommissionens uppfattning att det är mindre uppenbart att ett sådant kriterium är relevant och nödvändigt när det gäller en ordning för att bekämpa kriminalitet vars mål är att skydda unionens inre säkerhet, till skillnad från när det gäller ett internationellt avtal. Som kommissionen alltjämt har gjort gällande är avsaknaden av gränsöverskridande inslag inte i sig ett indicium som gör att det kan uteslutas att ett brott är allvarligt.

120. Vad, för det andra, beträffar kriteriet som fastställer tröskeln för de aktuella brottens allvar – vilket, för att möjliggöra en bedömning på förhand av allvaret, ska tolkas så, att det syftar på det strängaste fängelsestraff eller annan frihetsberövande åtgärd som föreskrivs i lagen och inte på det fängelsestraff eller annan frihetsberövande åtgärd som konkret kan komma att utdömas i ett enskilt fall – är detta kriterium, fastän det grundar sig på det lägsta maximistraffet och inte på det lägsta minimistraffet, inte i sig olämpligt för att identifiera en tillräcklig svårhetsgrad som kan motivera ingreppet i de grundläggande rättigheterna i artiklarna 7 och 8 i stadgan som de behandlingar av uppgifter som föreskrivs i PNR-direktivet medför. Jag anser dock att det ska tolkas som ett kriterium som identifierar en ”lägsta” svårhetsgrad. Även om ett sådant kriterium förbjuder medlemsstaterna att betrakta de brott som avses i bilaga II, och som enligt nationell straffrätt bestraffas med fängelse eller annan frihetsberövande åtgärd i mindre än tre år, som ”grov brottslighet”, tvingar kriteriet däremot inte medlemsstaterna att automatiskt erkänna en sådan kvalificering av alla brott som kan innefattas i bilaga II och som kan leda till ett straff som når upp till den tröskel som föreskrivs i artikel 3 led 9 i PNR-direktivet, när ett sådant erkännande – med hänsyn till särdragen i medlemsstaternas straffrättsliga system – skulle leda till att de bestämmelser som föreskrivs i PNR-direktivet används för att förebygga, förhindra, upptäcka, utreda och lagföra vanlig brottslighet, i strid med de syften som eftersträvas genom direktivet.

121. Vad, för det tredje, beträffar förteckningen i bilaga II, ska det först påpekas att d