CELEX: 62004CJ0317
Language: pl
Date: 2006-05-30 00:00:00
Title: Wyrok Trybunału (wielka izba) z dnia 30 maja 2006 r.#Parlament Europejski przeciwko Radzie Unii Europejskiej (C-317/04) i Komisji Wspólnot Europejskich (C-318/04).#Ochrona osób fizycznych w zakresie przetwarzania danych osobowych - Transport lotniczy - Decyzja 2004/496/WE - Porozumienie pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki - Passenger Name Record (PNR) pasażerów lotniczych przekazywane do biura ceł i ochrony granic Stanów Zjednoczonych Ameryki - Dyrektywa 95/46/WE - Artykuł 25 - Państwa trzecie - Decyzja 2004/535/WE - Odpowiednia ochrona.#Sprawy połączone C-317/04 oraz C-318/04.

Sprawy połączone C-317/04 i C-318/04
      Parlament Europejski
      przeciwko
      Radzie Unii Europejskiej
      i
      Komisji Wspólnot Europejskich 
      Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Transport lotniczy – Decyzja 2004/496/WE – Porozumienie pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki – Passenger Name Records (PNR) pasażerów lotniczych przekazywane do Biura Ceł i Ochrony Granic Stanów Zjednoczonych Ameryki
         – Dyrektywa 95/46/WE – Artykuł 25 – Państwa trzecie – Decyzja 2004/535/WE – Odpowiednia ochrona
      
      Opinia rzecznika generalnego P. Légera przedstawiona w dniu 22 listopada 2005 r.  I-0000
      Wyrok Trybunału (wielka izba) z dnia 30 maja 2006 r.  I-0000
      Streszczenie wyroku
      1.     Zbliżanie ustawodawstw – Dyrektywa 95/46 – Zakres stosowania
      (dyrektywa Parlamentu Europejskiego i Rady 95/46, art. 3 ust. 2; decyzja Komisji 2004/535)
      2.     Umowy międzynarodowe – Zawarcie – Porozumienie EWG–Stany Zjednoczone Ameryki w sprawie przetwarzania i przekazywania danych
            dotyczących nazwy rekordu pasażera (PNR) do Biura Ceł i Ochrony Granic Stanów Zjednoczonych
      (art. 95 WE; dyrektywa Parlamentu Europejskiego i Rady 95/46, art. 3 ust. 2 i art. 25; decyzja Komisji 2004/496)
      1.     Decyzja 2004/535 w sprawie odpowiedniej ochrony danych osobowych pasażerów lotniczych przekazywanych do Biura Ceł i Ochrony
         Granic Stanów Zjednoczonych, dotyczy przetwarzania danych w celu ochrony bezpieczeństwa publicznego oraz w ramach działalności
         państwa w zakresie prawa karnego, które jest wyłączone z zakresu zastosowania dyrektywy 95/46 w sprawie ochrony osób fizycznych
         w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych zgodnie z art. 3 ust. 2 tiret pierwsze tej dyrektywy.
      
      W tym zakresie okoliczność, że dane osobowe gromadzone są przez podmioty prywatne do celów działalności gospodarczej i że
         to te podmioty przekazują dane do państwa trzeciego nie wpływa na to stwierdzenie, w zakresie w jakim przekazanie to następuje
         w ramach ustanowionych przez władze publiczne i mających na celu ochronę bezpieczeństwa publicznego oraz w zakresie w jakim
         przekazanie to nie jest niezbędne do świadczenia usług przez te podmioty gospodarcze.
      
      (por. pkt 56–59)
      2.     Decyzja 2004/496 w sprawie zawarcia Porozumienia pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki w sprawie przetwarzania
         i przekazywania danych dot. nazwy rekordu pasażera (PNR) przez przewoźników lotniczych do Departamentu Bezpieczeństwa Wewnętrznego
         Stanów Zjednoczonych, Biura Ceł i Ochrony Granic nic nie mogła zostać zgodnie z prawem wydana na podstawie art. 95 WE w związku
         z art. 25 dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu
         tych danych.
      
      Porozumienie dotyczy bowiem przetwarzania danych, które – w zakresie w jakim następuje ono w celu ochrony bezpieczeństwa publicznego
         oraz w ramach działalności państwa w zakresie prawa karnego – jest wyłączone z zakresu zastosowania dyrektywy 95/46 zgodnie
         z art. 3 ust. 2 tiret pierwsze tej dyrektywy.
      
      (por. pkt 67–69)
WYROK TRYBUNAŁU (wielka izba)
      30 maja 2006 r.(*)
      
      Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Transport lotniczy – Decyzja 2004/496/WE – Porozumienie pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki – Passenger Name Records (PNR) pasażerów lotniczych przekazywane do Biura Ceł i Ochrony Granic Stanów Zjednoczonych Ameryki
         – Dyrektywa 95/46/WE – Artykuł 25 – Państwa trzecie – Decyzja 2004/535/WE – Odpowiednia ochrona
      
      W sprawach połączonych C‑317/04 i C‑318/04
      mających za przedmiot skargi o stwierdzenie nieważności na podstawie art. 230 WE, wniesione w dniu 27 lipca 2004 r.,
      Parlament Europejski, reprezentowany przez R. Passosa, N. Lorenza, H. Duintjera Tebbensa i A. Caiolę, działających w charakterze pełnomocników,
         z adresem do doręczeń w Luksemburgu,
      
      strona skarżąca,
      popierany przez
      Europejskiego Inspektora Ochrony Danych (EIOD), reprezentowanego przez H. Hijmansa i V. Perez Asinari, działających w charakterze pełnomocników,
      
      interwenient,
      przeciwko
      Radzie Unii Europejskiej, reprezentowanej przez M.C. Giorgi Fort i M. Bishopa, działających w charakterze pełnomocników,
      
      strona pozwana w sprawie C‑317/04,
      popieranej przez
      Komisję Wspólnot Europejskich, reprezentowaną przez P.J. Kuijpera, A. van Solingego i C. Dockseya, działających w charakterze pełnomocników, z adresem
         do doręczeń w Luksemburgu,
      
      Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej, reprezentowane przez M. Bethella, C. White i T. Harris, działających w charakterze pełnomocników, wspieranych przez T. Warda,
         barrister, z adresem do doręczeń w Luksemburgu,
      
      interwenienci,
      oraz przeciwko
      Komisji Wspólnot Europejskich, reprezentowanej przez P.J. Kuijpera, A. van Solingego, C. Dockseya i F. Benyona, działających w charakterze pełnomocników,
         z adresem do doręczeń w Luksemburgu,
      
      strona pozwana w sprawie C‑318/04,
      popieranej przez
      Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej, reprezentowane przez M. Bethella, C. White i T. Harris, działających w charakterze pełnomocników, wspieranych przez T. Warda,
         barrister, z adresem do doręczeń w Luksemburgu,
      
      interwenient,
      TRYBUNAŁ (wielka izba),
      w składzie: V. Skouris, prezes, P. Jann, C.W.A. Timmermans, A. Rosas i J. Malenovský, prezesi izb, N. Colneric (sprawozdawca),
         S. von Bahr, J.N. Cunha Rodrigues, R. Silva de Lapuerta, G. Arestis, A. Borg Barthet, M. Ilešič i J. Klučka, sędziowie,
      
      rzecznik generalny: P. Léger,
      sekretarz: M. Ferreira, główny administrator,
      uwzględniając procedurę pisemną i po przeprowadzeniu rozprawy w dniu 18 października 2005 r.,
      po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 22 listopada 2005 r.,
      wydaje następujący
      Wyrok
      1       W skardze w sprawie C‑317/04 Parlament Europejski wnosi o stwierdzenie nieważności decyzji Rady 2004/496/WE z dnia 17 maja
         2004 r. w sprawie zawarcia Porozumienia pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki w sprawie przetwarzania
         i przekazywania danych dot. nazwy rekordu pasażera (PNR) przez przewoźników lotniczych do Departamentu Bezpieczeństwa Wewnętrznego
         Stanów Zjednoczonych, Biura Ceł i Ochrony Granic (Dz.U. L 183, str. 83).
      
      2       W skardze w sprawie C‑318/04 Parlament Europejski wnosi o stwierdzenie nieważności decyzji Komisji 2004/535/WE z dnia 14 maja
         2004 r. w sprawie odpowiedniej ochrony danych osobowych zawartych w Passenger Name Record (PNR) pasażerów lotniczych przekazywanych
         do Biura Celnego i Ochrony Granic Stanów Zjednoczonych (Dz.U. L 235, str. 11, zwanej dalej „decyzją o odpowiedniej ochronie”).
      
       Ramy prawne
      3       Artykuł 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, sporządzonej w Rzymie dnia 4 listopada
         1950 r. (zwanej dalej „EKPC”), postanawia:
      
      „1      Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.
      2      Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez
         ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt
         gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności
         innych osób”.
      
      4       Artykuł 95 ust. 1 zdanie drugie WE jest sformułowany następująco:
      „Rada, stanowiąc zgodnie z procedurą określoną w artykule 251 i po konsultacji z Komitetem Ekonomiczno-Społecznym, przyjmuje
         środki dotyczące zbliżenia przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich, które mają na celu
         ustanowienie i funkcjonowanie rynku wewnętrznego”.
      
      5       Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie
         przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, str. 31), zmieniona rozporządzeniem (WE) nr
         1882/2003 Parlamentu Europejskiego i Rady z dnia 29 września 2003 r. dostosowującym do decyzji Rady 1999/468/WE przepisy odnoszące
         się do komitetów, które wspomagają Komisję w wykonywaniu jej uprawnień wykonawczych ustanowionych w instrumentach podlegających
         procedurze określonej w art. 251 traktatu WE (Dz.U. L 284, str. 1) (zwana dalej „dyrektywą”) została wydana na podstawie art. 100 A
         traktatu WE (obecnie, po zmianie, art. 95 WE).
      
      6       W jej motywie jedenastym stwierdza się, że „[z]asady ochrony praw i wolności jednostek, szczególnie prawa do prywatności,
         które zawarte są w niniejszej dyrektywie, utrwalają i umacniają zasady wyrażone w konwencji Rady Europy z dnia 28 stycznia
         1981 r. w sprawie ochrony jednostek w zakresie automatycznego przetwarzania danych osobowych”.
      
      7       Zgodnie z motywem trzynastym dyrektywy:
      „Działania określone w tytułach V i VI Traktatu o Unii Europejskiej dotyczące bezpieczeństwa publicznego, obronności, bezpieczeństwa
         państwa w dziedzinie prawa karnego nie wchodzą w zakres stosowania prawa wspólnotowego, bez wpływu na obowiązki nałożone na
         państwa członkowskie na mocy art. 56 ust. 2, art. 57 i art. 100 A traktatu […]”.
      
      8       W motywie pięćdziesiątym siódmym dyrektywy stwierdza się:
      „[…] należy zakazać przekazywania danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony”.
      9       Artykuł 2 dyrektywy przewiduje, że:
      „Do celów niniejszej dyrektywy:
      a)      »dane osobowe« oznacza[ją] wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej
         (osoby, której dane dotyczą); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub
         pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających
         jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość;
      
      b)      »przetwarzanie danych osobowych« (przetwarzanie) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych
         przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja
         lub modyfikacja, odzyskiwanie, [wgląd do danych], wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie
         w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;
      
      […]”.
      10     Zgodnie z art. 3 dyrektywy:
      „Zakres obowiązywania
      1.      Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego
         przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
      
      2.      Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
      –       w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii
         Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie
         z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności
         państwa w obszarach prawa karnego,
      
      […]”.
      11     Artykuł 6 ust. 1 dyrektywy stwierdza:
      „Państwa członkowskie zapewniają, aby dane osobowe były:
      […]
      b)      gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny
         z tym celem. Dalsze przetwarzanie danych w celach historycznych, statystycznych lub naukowych nie jest uważane za niezgodne
         z przepisami, pod warunkiem ustanowienia przez państwa członkowskie odpowiednich środków zabezpieczających;
      
      c)      prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone;
      […]
      e)      przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to konieczne
         do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane […]”.
      
      12     Artykuł 7 dyrektywy stanowi:
      „Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy:
      […]
      c)      przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega; 
      […]
      lub
      e)      przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy
         publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane;
      
      lub
      f)      przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej,
         lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi
         prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1”.
      
      13     Zgodnie z art. 8 ust. 5 akapit pierwszy dyrektywy:
      „Przetwarzanie danych dotyczących przestępstw, wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie
         pod kontrolą władz publicznych, lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem
         odstępstw, które państwo członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie
         odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy
         publicznej”.
      
      14     Artykuł 12 dyrektywy stanowi:
      „Państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych:
      a)      bez ograniczeń, w odpowiednich odstępach czasu oraz bez nadmiernego opóźnienia lub kosztów:
      –      potwierdzenia, czy dotyczące jej dane są przetwarzane oraz co najmniej informacji o celach przetwarzania danych, kategoriach
         danych oraz odbiorcach lub kategoriach odbiorców, którym dane te są ujawniane,
      
      –      wyrażonej w zrozumiałej formie informacji o danych przechodzących przetwarzanie oraz posiadanych informacji o ich źródłach,
      –      wiadomości na temat zasad automatycznego przetwarzania dotyczących jej danych przynajmniej w przypadku zautomatyzowanego procesu
         decyzyjnego określonego w art. 15 ust. 1;
      
      b)      odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami
         niniejszej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych;
      
      c)      zawiadomienia osób trzecich, którym dane zostały ujawnione, o ewentualnym sprostowaniu, usunięciu lub zablokowaniu danych
         zgodnie z lit. b), o ile nie okaże się to niemożliwe lub nie będzie wymagało niewspółmiernie dużego wysiłku”.
      
      15     Artykuł 13 ust. 1 dyrektywy jest sformułowany następująco:
      „Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6
         ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:
      
      a)      bezpieczeństwa narodowego;
      b)      obronności;
      c)      bezpieczeństwa publicznego;
      d)      działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie
         zasad etyki w zawodach podlegających regulacji;
      
      e)      ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi,
         budżetowymi i podatkowymi;
      
      f)      funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach
         wymienionych w lit. c)–e);
      
      g)      ochrony osoby, której dane dotyczą oraz praw i wolności innych osób”.
      16     Artykuł 22 dyrektywy stanowi:
      „Środki sądowe
      Bez uszczerbku dla wszystkich odwoławczych środków administracyjnych, które mogą być wprowadzone przez organ nadzorczy określony
         w art. 28, przed wszczęciem postępowania sądowego państwa członkowskie zapewnią każdej osobie prawo do korzystania ze środków
         prawnych w związku z naruszeniem praw zagwarantowanych jej przez przepisy krajowe dotyczące przetwarzania danych”.
      
      17     Artykuły 25 i 26 dyrektywy stanowią rozdział IV, dotyczący przekazywania danych osobowych do państw trzecich.
      18     Artykuł 25 dyrektywy, zatytułowany „Zasady”, przewiduje, że:
      „1.      Państwa członkowskie zapewniają, aby przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych
         do przetwarzania po ich przekazaniu mogło nastąpić tylko wówczas gdy, niezależnie od zgodności z krajowymi przepisami przyjętymi
         na podstawie innych przepisów niniejszej dyrektywy, dane państwo trzecie zapewni odpowiedni stopień ochrony.
      
      2.      Odpowiedni stopień ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących
         operacji przekazania danych lub zbioru takich operacji; szczególną uwagę zwracać się będzie na charakter danych, cel i czas
         trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa, zarówno
         ogólne jak i branżowe, obowiązujące w państwie trzecim oraz przepisy zawodowe i środki bezpieczeństwa stosowane w tym państwie.
      
      3.      Państwa członkowskie i Komisja będą informować się wzajemnie o przypadkach, kiedy uznają, że państwo trzecie nie zapewnia
         odpowiedniego stopnia ochrony w znaczeniu ust. 2.
      
      4.      Jeżeli Komisja stwierdzi, na podstawie procedury przewidzianej w art. 31 ust. 2, że państwo trzecie nie zapewnia odpowiedniego
         stopnia ochrony w znaczeniu ust. 2 niniejszego artykułu, państwa członkowskie podejmą konieczne środki, aby nie dopuścić do
         przekazania jakichkolwiek danych tego samego rodzaju do wspomnianego państwa trzeciego.
      
      5.      We właściwym czasie Komisja przystąpi do negocjacji w celu zaradzenia sytuacji stwierdzonej na podstawie ust. 4.
      6.      Komisja może stwierdzić, zgodnie z procedurą określoną w art. 31 ust. 2, że państwo trzecie zapewnia prawidłowy stopień ochrony
         w znaczeniu ust. 2 niniejszego artykułu, co wynika z jego prawa krajowego lub międzynarodowych zobowiązań, jakie państwo to
         przyjęło, szczególnie po zakończeniu negocjacji określonych w ust. 5, w zakresie ochrony życia prywatnego i podstawowych praw
         i wolności osób fizycznych.
      
      Państwa członkowskie podejmują środki niezbędne w celu wykonania decyzji Komisji”.
      19     Zgodnie z art. 26 ust. 1 dyrektywy, zatytułowanym „Odstępstwa”:
      „W drodze odstępstwa od przepisów art. 25 oraz, z zastrzeżeniem odmiennych przepisów prawa krajowego dotyczącego konkretnych
         przypadków, państwa członkowskie zapewnią, że przekazanie lub przekazywanie danych osobowych do państwa trzeciego, który nie
         zapewnia odpowiedniego stopnia ochrony w znaczeniu art. 25 ust. 2 może nastąpić pod warunkiem że:
      
      a)      osoba, której dane dotyczą, jednoznacznie udzieli zgody na proponowane przekazanie danych;
      lub
      b)      przekazanie danych jest konieczne dla realizacji umowy między osobą, której dane dotyczą, i administratorem danych lub dla
         wprowadzenia w życie ustaleń poprzedzających zawarcie umowy na wniosek osoby, której dane dotyczą;
      
      lub
      c)      przekazanie danych jest konieczne dla zawarcia lub wykonania umowy zawartej między administratorem danych i osobą trzecią,
         w interesie osoby, której dane dotyczą,
      
      lub
      d)      przekazanie danych jest konieczne lub wymagane przez prawo z ważnych względów publicznych lub w celu ustanowienia, wykonania
         lub obrony tytułu prawnego;
      
      lub
      e)      przekazanie danych jest konieczne dla zapewnienia ochrony żywotnych interesów osoby, której dane dotyczą;
      lub
      f)      przekazanie danych następuje z rejestru, który ma służyć, zgodnie z obowiązującymi przepisami ustawowymi lub wykonawczymi,
         za źródło informacji dla ogółu społeczeństwa, udostępnionego do [wglądu] obywatel[om] i każdej osob[ie] wykazującej uzasadniony
         interes, o ile warunki określone przez prawo odnośnie do wglądu do takiego rejestru zostały w danym przypadku spełnione”.
      
      20     Na podstawie dyrektywy, a w szczególności jej art. 25 ust. 6, Komisja Wspólnot Europejskich wydała decyzję o odpowiedniej
         ochronie.
      
      21     W motywie jedenastym tej decyzji stwierdza się:
      „Przetwarzanie przez CBP przekazywanych mu danych osobowych zawartych w PNR pasażerów lotniczych regulują warunki określone
         w Zobowiązaniach Ministerstwa Bezpieczeństwa Wewnętrznego Biura Celnego i Ochrony Granic (Undertakings of the Department of
         Homeland Security Bureau of Customs and Border Protection) (CBP) z dnia 11 maja 2004 r. (zwanych dalej »Zobowiązaniami«) oraz
         prawodawstwo Stanów Zjednoczonych w zakresie przewidzianym w Zobowiązaniach”.
      
      22     Zgodnie z motywem piętnastym decyzji dane zawarte w PNR należy wykorzystywać wyłącznie do celów zapobiegania terroryzmowi
         oraz związanym z nim przestępstwom, innym poważnym przestępstwom, włącznie z przestępczością zorganizowaną, która z zasady
         ma charakter ponadnarodowy, i zwalczania ich, a także zapobiegania ucieczkom z aresztu w razie zatrzymania w związku z jednym
         z wymienionych przestępstw.
      
      23     Zgodnie z art. 1–4 decyzji o odpowiedniej ochronie:
      „Artykuł 1
      Dla celów art. 25 ust. 2 dyrektywy 95/46/WE Biuro Celne i Ochrony Granic Stanów Zjednoczonych (dalej zwane jako CBP) traktowane
         jest jako zapewniające odpowiedni poziom ochrony danych zawartych w PNR przekazywanych ze Wspólnoty na temat lotów do lub
         ze Stanów Zjednoczonych, zgodnie ze Zobowiązaniami określonymi w Załączniku.
      
      Artykuł 2
      Niniejsza decyzja dotyczy odpowiedniego poziomu ochrony zapewnianego przez CBP z punktu widzenia spełniania wymogów art. 25
         ust. 1 dyrektywy 95/46/WE i nie wpływa na pozostałe warunki lub ograniczenia wprowadzające w życie pozostałe przepisy wymienionej
         dyrektywy, które mają zastosowanie do przetwarzania danych osobowych w państwach członkowskich.
      
      Artykuł 3
      1.      Bez uszczerbku dla uprawnień umożliwiających podjęcie działań w celu zagwarantowania przestrzegania przepisów krajowych przyjętych
         zgodnie z przepisami innymi niż zawarte w art. 25 dyrektywy 95/46/WE, właściwe władze państw członkowskich mogą wykonywać
         obecne uprawnienia w celu zawieszenia przepływu danych do CBP w celu ochrony osób fizycznych odnośnie do przetwarzania ich
         danych osobowych w jednym z poniższych przypadków:
      
      a)      gdy właściwy organ Stanów Zjednoczonych ustalił, że CBP narusza obowiązujące normy ochrony; lub
      b)      gdy istnieje wysokie prawdopodobieństwo, że normy ochrony określone w Załączniku są naruszane; gdy istnieją uzasadnione podstawy,
         aby domniemywać, iż CBP nie podejmuje, lub nie podejmie, odpowiednich i natychmiastowych kroków zmierzających do rozstrzygnięcia
         sprawy; gdy dalsze przekazywanie danych spowodowałoby realne niebezpieczeństwo wyrządzenia szkody osobom, których dotyczą
         dane osobowe, a właściwe organy w państwie członkowskim podjęły, odpowiednie w tych okolicznościach, wysiłki w celu dostarczenia
         CBP powiadomienia o powyższym oraz umożliwienia mu udzielenia odpowiedzi.
      
      2.      Zawieszenie ustaje, gdy tylko zapewnione zostaną normy ochrony, a właściwe organy danych państw członkowskich zostaną o tym
         powiadomione.
      
      Artykuł 4
      1.      Państwa członkowskie niezwłocznie informują Komisję środkach przyjętych na mocy art. 3.
      2.      Państwa członkowskie i Komisja informują się wzajemnie o każdej zmianie w normach ochrony oraz o przypadkach, w których działanie
         organów odpowiedzialnych za przestrzeganie przez CBP norm ochrony ustanowionych w Załączniku nie wystarcza do zapewnienia
         przestrzegania tych norm.
      
      3.      Jeżeli informacje zebrane zgodnie z art. 3 oraz zgodnie z ust. 1 i 2 niniejszego artykułu wykazują, że podstawowe zasady niezbędne
         do zapewnienia odpowiedniego poziomu ochrony osób fizycznych nie są już przestrzegane lub że jakikolwiek organ odpowiedzialny
         za przestrzeganie przez CBP norm ochrony ustanowionych w Załączniku nie spełnia swojej roli, CBP jest o tym informowane i,
         w razie potrzeby, stosuje się procedurę określoną w art. 31 ust. 2 dyrektywy 95/46/WE w celu uchylenia lub zawieszenia niniejszej
         decyzji”.
      
      24     „Zobowiązania Ministerstwa Bezpieczeństwa Wewnętrznego Biura Celnego i Ochrony Granic (CBP)”, załączone do decyzji, stanowią:
      „W celu poparcia planu Komisji Europejskiej […] mającego na celu wykonywanie uprawnień powierzonych jej na mocy art. 25 ust. 6
         dyrektywy 95/46/WE […] oraz przyjęcie decyzji uznającej Biuro Celne i Ochrony Granic (CBP) Ministerstwa Bezpieczeństwa Wewnętrznego
         jako zapewniające odpowiednią ochronę do celów przekazywania przez przewoźników lotniczych danych zawartych w PNR (zbiór informacji
         dotyczących podróży danego pasażera), które mogą wchodzić w zakres Dyrektywy, CBP zobowiązuje się do […]”.
      
      25     Na zobowiązania składa się 48 ustępów, pogrupowanych pod następującymi tytułami „Podstawa prawna do otrzymania PNR”, „Wykorzystanie
         danych zawartych w PNR przez CBP”, „Wymagania w stosunku do danych”, „Przetwarzanie »danych szczególnie chronionych«”, „Sposób
         dostępu do danych zawartych w PNR”, „Przechowywanie danych zawartych w PNR”, „Bezpieczeństwo systemu komputerowego CBP”, „Przetwarzanie
         i ochrona przez CBP danych zawartych w PNR”, „Przekazywanie danych zawartych w PNR do innych organów rządowych”, „Zawiadomienie,
         dostęp do danych oraz środki odwoławcze dla osób, których dotyczą dane zawarte są w PNR”, „Przestrzeganie przepisów”, „Wzajemność”,
         „Przegląd i wygaśnięcie Zobowiązań”, „Klauzula o nieutworzeniu praw prywatnych lub precedensu”.
      
      26     Wśród zobowiązań znajdują się między innymi następujące:
      „1)      Na mocy ustawy (tytuł 49, United States Code, sekcja 44909(c)) oraz jego przepisów wykonawczych (przejściowych) (tytuł 19,
         Code of Federal Regulations, sekcja 122.49b), każdy przewoźnik lotniczy obsługujący loty pasażerskie w zagranicznym ruchu
         powietrznym do lub ze Stanów Zjednoczonych musi zapewnić CBP (uprzednio Służby Celne Stanów Zjednoczonych) elektroniczny dostęp
         do danych zawartych w PNR w takim zakresie, w jakim są one zebrane i zawarte w automatycznym systemie rezerwacji przewoźników
         lotniczych/kontroli odlotów (»systemy rezerwacji«).
      
      […]
      3)      Dane zawarte w PNR są wykorzystywane przez CBP wyłącznie do celów zapobiegania […] 1) terroryzm[owi] i związany[m] z nim przestępstw[om];
         2) inny[m] poważny[m] przestępstw[om], włącznie z przestępczością zorganizowaną, która z zasady ma charakter transnarodowy
         [i zwalczania ich]; oraz 3) unikani[u] kary aresztu lub więzienia za powyższe przestępstwa. Wykorzystanie danych zawartych
         w PNR do tych celów umożliwi CBP skoncentrowanie swoich zasobów na kwestiach wysokiego ryzyka, ułatwiając tym samym i lepiej
         chroniąc podróże bona fide.
      
      4)      Elementy danych wymagane przez CBP wymienione są w załączniku A […].
      […]
      27)      CBP zajmie stanowisko w związku z postępowaniami administracyjnymi i sądowymi wynikającymi z wniosków składanych na mocy FOIA
         o ujawnienie informacji zawartych w PNR uzyskanych od przewoźników lotniczych, że rejestry te wyłączone są z ujawnienia zgodnie
         z FOIA.
      
      […]
      29)      CBP będzie według własnego uznania dostarczać dane zawarte w PNR innym organom rządowym, włącznie z zagranicznymi, odpowiedzialnymi
         za walkę z terroryzmem lub ściganie przestępstw, na zasadzie jednostkowych przypadków, do celów zapobiegania […] przestępstwom
         wymienionym w ust. 3 niniejszego dokumentu [i zwalczania ich]. (Organy, z którymi CBP może dzielić się takimi danymi zwane
         są dalej »Wyznaczonymi Organami«).
      
      30)      CBP będzie rozsądnie wykonywać swoje prawo do uznaniowego przekazywania danych zawartych w PNR dla wyżej wymienionych celów.
         CBP najpierw określi, czy powód do ujawnienia danych zawartych w PNR innemu Wyznaczonemu Organowi mieści się w ramach wymienionych
         celów (patrz ust. 29 niniejszego dokumentu). Jeżeli tak, CBP określi, czy dany Wyznaczony Organ jest odpowiedzialny za zapobieganie,
         prowadzenie dochodzeń i ściganie naruszeń, lub za stosowanie bądź wdrażanie statutu lub przepisów związanych z tymi celami,
         w przypadku gdy CBP jest świadome wskazania naruszenia lub potencjalnego naruszenia prawa. Zasadność ujawnienia będzie wymagać
         przeglądu w świetle przedstawionych okoliczności.
      
      […]
      35)      Żadne stwierdzenie w niniejszych Zobowiązaniach nie utrudni wykorzystania lub ujawnienia danych zawartych w PNR w postępowaniach
         karnych oraz w innych przypadkach wymaganych przez prawo. CBP będzie doradzać Komisji w sprawie prawodawstwa Stanów Zjednoczonych,
         które wpływa co do meritum na niniejsze Zobowiązania.
      
      […]
      46)      Niniejsze Zobowiązania stosuje się przez okres trzech lat i sześciu miesięcy (3,5 roku) począwszy od daty wejścia w życie
         umowy pomiędzy Stanami Zjednoczonymi a Wspólnotą Europejską, zezwalającej na przetwarzanie danych zawartych w PNR przez przewoźników
         lotniczych do celów przesyłania ich do CBP, zgodnie z Dyrektywą. […]
      
      47)      Niniejsze Zobowiązania nie tworzą ani nie przyznają żadnych praw lub korzyści osobom lub stronom tak prywatnym, jak i publicznym.
      […]”.
      27     Załącznik A do zobowiązań określa „elementy danych zawartych w PNR” wymaganych przez CBP od przewoźników lotniczych. Należą
         do nich między innymi „numer rezerwacji PNR”, data rezerwacji, nazwisko, adres, sposób płatności, numer telefonu, biuro podróży,
         status podróżny pasażera („travel status”), adres poczty elektronicznej, uwagi ogólne, numer miejsca, informacja o pasażerze,
         który nie dokonał uprzedniej rezerwacji oraz „wszelkie zebrane informacje APIS”.
      
      28     Rada wydała decyzję 2004/496 w szczególności na podstawie art. 95 WE w związku z art. 300 ust. 2 akapit pierwszy zdanie pierwsze WE.
      29     Zgodnie z trzema motywami tej decyzji:
      „1)      Dnia 23 lutego 2004 r. Rada upoważniła Komisję do negocjowania w imieniu Wspólnoty Porozumienia ze Stanami Zjednoczonymi Ameryki
         w sprawie przetwarzania i przekazywania danych dot. nazwy rekordu pasażera (PNR) przez przewoźników lotniczych do Departamentu
         Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych Ameryki, Biura Ceł i Ochrony Granic.
      
      2)      Parlament Europejski nie przedstawił swojej opinii w terminie wyznaczonym zgodnie z pierwszym akapitem art. 300 ust. 3 Traktatu
         przez Radę, w związku z pilną potrzebą zapobieżenia sytuacji niepewności, w której znajdują się linie lotnicze i pasażerowie,
         i ochrony interesów finansowych zainteresowanych podmiotów.
      
      3)      Niniejsze Porozumienie powinno zostać zatwierdzone”.
      30     Artykuł 1 decyzji 2004/496 przewiduje, że:
      „Porozumienie pomiędzy Wspólnotą Europejską a Stanami Zjednoczonymi Ameryki w sprawie przetwarzania i przekazywania danych
         dot. nazwy rekordu pasażera (PNR) przez przewoźników lotniczych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych,
         Biura Ceł i Ochrony Granic niniejszym jest zatwierdzone w imieniu Wspólnoty.
      
      Treść Porozumienia jest załączona do niniejszej decyzji”.
      31     Porozumienie to (zwane dalej „porozumieniem”) zostało sformułowane następująco:
      „Wspólnota Europejska i Stany Zjednoczone Ameryki,
      uznając znaczenie poszanowania podstawowych praw i wolności, w szczególności prywatności oraz znaczenie poszanowania tych
         wartości podczas zapobiegania terroryzm[owi] i związany[m] z nim przestępstw[om] oraz inny[m] poważny[m] przestępstw[om],
         o ponadnarodowym charakterze, włącznie z przestępczością zorganizowaną [i zwalczania ich],
      
      uwzględniając ustawy i rozporządzenia Stanów Zjednoczonych, które wymagają od każdego przewoźnika lotniczego obsługującego
         loty pasażerskie w zagranicznym transporcie lotniczym do lub ze Stanów Zjednoczonych elektronicznego udostępnienia Departamentowi
         Bezpieczeństwa Wewnętrznego (zwanego dalej „DHS”), Biura Ceł i Ochrony Granic (zwanego dalej „CBP”) danych dotyczących nazwy
         rekordu pasażera (zwanej dalej „PNR”) w zakresie, w jakim są one gromadzone i przechowywane w automatycznych systemach kontroli
         rezerwacji/odlotów przewoźników lotniczych,
      
      uwzględniając dyrektywę 95/46/WE […], a w szczególności jej art. 7 lit. c),
      uwzględniając zobowiązania Biura Ceł i Ochrony Granic (CBP) wydane dnia 11 maja 2004, które zostaną opublikowane w Federalnym
         Rejestrze (zwane dalej »zobowiązaniami«),
      
      uwzględniając decyzję Komisji [2004/535/WE] przyjętą dnia 14 maja 2004 roku, zgodnie z art. 25 ust. 6 dyrektywy 95/46/WE,
         zgodnie z którym Biuro Ceł i Ochrony Granic (CBP) uznawane jest za podmiot zapewniający odpowiedni poziom ochrony danych dot.
         nazwy rekordu pasażera (PNR) przekazywanych ze Wspólnoty Europejskiej (zwanej dalej »Wspólnotą«) a dotyczących lotów do i ze
         Stanów Zjednoczonych zgodnie z zobowiązaniami, które zostały do niej załączone (zwaną dalej »decyzją«),
      
      zwracając uwagę, że przewoźnicy lotniczy z systemami kontroli rezerwacji/odlotów znajdującymi się na terytorium państw członkowskich
         Wspólnoty Europejskiej powinni zająć się transmisją danych dot. nazwy rekordu pasażera (PNR) do Biura Ceł i Ochrony Granic
         (CBP) kiedy tylko będzie to możliwe pod względem technicznym, jednak do tego czasu władze Stanów Zjednoczonych powinny mieć
         prawo bezpośredniego dostępu do tych danych, zgodnie z przepisami tego Porozumienia,
      
      […]
      uzgodni[ły] co następuje:
      1.       Biuro Ceł i Ochrony Granic (CBP) posiada elektroniczny dostęp do danych dot. nazwy rekordu pasażera (PNR) pochodzących z systemów
         kontroli rezerwacji/odlotów przewoźników lotniczych („systemy rezerwacji”) znajdujących się na terytoriach państw członkowskich
         Wspólnoty Europejskiej w ścisłej zgodności z decyzją i tak długo dopóki decyzja ma zastosowanie i jedynie do momentu kiedy
         wprowadzenia zadowalającego systemu pozwalającego na przekazywanie takich danych przez przewoźników lotniczych.
      
      [Tekst w wersji angielskiej brzmi następująco: »CBP may electronically access the PNR data from air carriers reservation/departure
         control systems (’reservation systems’) located within the territory of the Member State of the European Community strictly
         in accordance with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system
         in place allowing for transmission of such data by the air carriers«].
      
      2.       Przewoźnicy lotniczy obsługujący loty pasażerskie w zagranicznym transporcie powietrznym do i ze Stanów Zjednoczonych przetwarzają
         dane dotyczące nazwy rekordu pasażera (PNR) zawarte w ich automatycznych systemach rezerwacji, zgodnie z wymaganiami Biura
         Ceł i Ochrony Granic (CBP) odpowiednio do prawa Stanów Zjednoczonych i w ścisłej zgodności z decyzją oraz tak długo dopóki
         decyzja ma zastosowanie.
      
      3.       Biuro Ceł i Ochrony Granic (CBP) przyjmuje do wiadomości decyzję i stwierdza, że wprowadza w życie zobowiązania załączone
         do niej.
      
      4.       Biuro Ceł i Ochrony Granic (CBP) przetwarza otrzymane dane i traktuje przedmiot danych objętych takim przetwarzaniem zgodnie
         z obowiązującym prawem Stanów Zjednoczonych oraz wymaganiami konstytucyjnymi, bez bezprawnej dyskryminacji, w szczególności
         dyskryminacji ze względu na przynależność państwową i kraj zamieszkania.
      
      […]
      7.      Niniejsze Porozumienie wchodzi w życie po jego podpisaniu. Każda ze stron może wypowiedzieć niniejsze Porozumienie w dowolnym
         czasie poprzez notyfikację przez kanały dyplomatyczne. Wypowiedzenie staje się skuteczne w dziewięćdziesiątym (90) dniu od
         dnia notyfikacji wypowiedzenia drugiej stronie. Niniejsze Porozumienie może być zmienione w dowolnym czasie za wspólna zgodą
         stron wyrażoną na piśmie.
      
      8.       Celem tego Porozumienia nie jest ani uchylenie ani zmiana ustawodawstwa stron; ani również stworzenie lub przyznanie jakiegokolwiek
         prawa czy korzyści jakiejkolwiek osobie lub podmiotowi, prywatnemu albo publicznemu”.
      
      32     Według informacji Rady dotyczącej daty wejścia w życie (Dz.U. 2004 C 158, str. 1) porozumienie, podpisane w Waszyngtonie w dniu
         28 maja 2004 r. przez przedstawiciela państwa przewodniczącego Radzie oraz przez sekretarza bezpieczeństwa wewnętrznego Stanów
         Zjednoczonych Ameryki, weszło w życie, zgodnie z jego pkt 7, z dniem podpisania.
      
       Okoliczności poprzedzające wniesienie skarg
      33     W związku z atakami terrorystycznymi z 11 września 2001 r. Stany Zjednoczone wydały przepisy zobowiązujące przewoźników lotniczych
         realizujących połączenia do lub ze Stanów Zjednoczonych do zapewnienia organom celnym tego państwa elektronicznego dostępu
         do danych zawartych w ich automatycznych systemach rezerwacji i kontroli wylotów, określanych jako „Passenger Name Record”
         (zwanych dalej „danymi PNR”). Komisja, uznając troskę o zapewnienie bezpieczeństwa za w pełni zasadną, poinformowała jednak
         władze Stanów Zjednoczonych w czerwcu 2002 r., że przepisy te mogą stać w sprzeczności z ustawodawstwem wspólnotowym i państw
         członkowskich w zakresie ochrony danych oraz z pewnymi przepisami rozporządzenia Rady nr 2299/89 z dnia 24 lipca 1989 r. w sprawie
         kodeksu postępowania dla komputerowych systemów rezerwacji (Dz.U. L 220, str. 1), zmienionego rozporządzeniem Rady nr 323/1999
         z dnia 8 lutego 1999 r. (Dz.U. L 40, str. 1). Władze Stanów Zjednoczonych przesunęły w czasie wejście w życie nowych przepisów,
         lecz odmówiły ostatecznie odstąpienia od stosowania sankcji wobec przedsiębiorstw lotniczych nieprzestrzegających przepisów
         o elektronicznym dostępie do danych PNR po dniu 5 marca 2003 r. Od tego momentu liczne duże przedsiębiorstwa lotnicze z Unii
         Europejskiej udzieliły tym władzom dostępu do ich danych PNR.
      
      34     Komisja rozpoczęła negocjacje z władzami Stanów Zjednoczonych, w wyniku których CBP wydało dokument zawierający zobowiązania
         („undertakings”), pozwalające Komisji na wydanie na podstawie art. 25 ust. 6 dyrektywy decyzji o odpowiedniej ochronie.
      
      35     W dniu 13 czerwca 2003 r. grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, ustanowiona
         na podstawie art. 29 dyrektywy, wydała opinię, zawierającą wątpliwości co do poziomu ochrony danych, jaki zapewniają wspomniane
         zobowiązania w stosunku do zamierzonych sposobów przetwarzania. Grupa powtórzyła te wątpliwości w opinii z dnia 29 stycznia
         2004 r.
      
      36     W dniu 1 marca 2004 r. Komisja wniosła do Parlamentu, na podstawie art. 25 ust. 6 dyrektywy, projekt decyzji o odpowiedniej
         ochronie, wraz z projektem zobowiązań CBP.
      
      37     W dniu 17 marca 2004 r. Komisja przekazała Parlamentowi projekt decyzji Rady dotyczącej zawarcia umowy ze Stanami Zjednoczonymi
         celem przeprowadzenia konsultacji wymaganej przez art. 300 ust. 3 akapit pierwszy WE. Pismem z dnia 25 marca 2004 r., w trybie
         pilnym, Rada zwróciła się do Parlamentu o wydanie opinii na temat tego projektu do dnia 22 kwietnia 2004 r. W piśmie tym Rada
         podkreśliła, że „walka z terroryzmem, uzasadniająca projektowane postanowienia, stanowi jeden z podstawowych priorytetów Unii
         Europejskiej, [że] w chwili obecnej przewoźnicy lotniczy oraz pasażerowie znajdują się w sytuacji niepewności, którą należy
         pilnie zakończyć, [oraz że], dodatkowo, należy zabezpieczyć interesy finansowe podmiotów, których sprawa dotyczy”.
      
      38     W dniu 31 marca 2004 r. Parlament, na podstawie art. 8 decyzji Rady 1999/468/WE z dnia 28 czerwca 1999 r. ustanawiającej warunki
         wykonywania uprawnień wykonawczych przyznanych Komisji (Dz.U. L 184, str. 23), przyjął uchwałę, zawierającą szereg zastrzeżeń
         natury prawnej dotyczących przedstawionego mu projektu. W uchwale tej uznał w szczególności, że projekt decyzji o odpowiedniej
         ochronie wykracza poza kompetencje powierzone Komisji na mocy art. 25 dyrektywy. Wezwał do zawarcia odpowiedniej umowy międzynarodowej
         zapewniającej poszanowanie praw podstawowych w kilku kwestiach wymienionych w uchwale oraz zwrócił się do Komisji o przedłożenie
         mu nowego projektu decyzji. Zastrzegł sobie ponadto prawo do wystąpienia do Trybunału o zbadanie zgodności z prawem projektowanej
         umowy międzynarodowej, a w szczególności jej zgodności z prawem do poszanowania prywatności.
      
      39     W dniu 21 kwietnia 2004 r., na wniosek przewodniczącego, Parlament zatwierdził zalecenie komisji do spraw prawnych i rynku
         wewnętrznego, mówiące o konieczności zwrócenia się, na podstawie art. 300 ust. 6 WE, o opinię Trybunału w przedmiocie zgodności
         projektowanej umowy z postanowieniami traktatu. Postępowanie zostało wszczęte tego samego dnia.
      
      40     Parlament postanowił też, tego samego dnia, odesłać do komisji sprawozdanie o projekcie decyzji Rady, odrzucając tym samym
         w sposób dorozumiany wniosek Rady z dnia 25 marca o rozpatrzenie tego projektu w trybie pilnym.
      
      41     W dniu 28 kwietnia tego samego roku Rada wystosowała do Parlamentu, na podstawie art. 300 ust. 3 akapit pierwszy WE, pismo,
         w którym zwróciła się do niego o wydanie do dnia 5 maja 2004 r. opinii o projekcie decyzji dotyczącej zawarcia umowy. Na uzasadnienie
         pilności sprawy powtórzyła argumenty zawarte w piśmie z dnia 25 marca 2004 r.
      
      42     Ustaliwszy, że w dalszym ciągu brak jest kompletu wersji językowych projektu decyzji Rady, Parlament odrzucił w dniu 4 maja
         2004 r. wniosek Rady z dnia 28 kwietnia o jego rozpatrzenie w trybie pilnym.
      
      43     W dniu 14 maja tego samego roku Komisja wydała decyzję o odpowiedniej ochronie, stanowiącą przedmiot sprawy C‑318/04. W dniu
         17 maja 2004 r. Rada wydała decyzję 2004/496, stanowiącą przedmiot sprawy C‑317/04.
      
      44     Pismem z dnia 4 czerwca 2004 r. państwo członkowskie przewodniczące Radzie poinformowało Parlament, że decyzja 2004/496 ma
         na względzie walkę z terroryzmem – priorytet Unii – ale także konieczność zakończenia okresu niepewności prawnej, w jakiej
         znajdują się przedsiębiorstwa lotnicze, oraz ochronę ich interesów finansowych.
      
      45     Pismem z dnia 9 lipca 2004 r. Parlament poinformował Trybunał o wycofaniu wniosku o wydanie opinii zarejestrowanego pod numerem
         1/04.
      
      46     Postanowieniami prezesa Trybunału z dnia 18 listopada 2004 r. i 18 stycznia 2005 r. Komisja i Zjednoczone Królestwo Wielkiej
         Brytanii i Irlandii Północnej zostały dopuszczone do udziału w postępowaniu w sprawie C‑317/04 w charakterze interwenientów
         popierających żądania Rady.
      
      47     Postanowieniem prezesa Trybunału z dnia 17 grudnia 2004 r. Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej zostało
         dopuszczone do udziału w postępowaniu w sprawie C‑318/04 w charakterze interwenienta popierającego żądania Komisji.
      
      48     Postanowieniami Trybunału z dnia 17 marca 2005 r. Europejski Inspektor Ochrony Danych został dopuszczony do udziału w postępowaniu
         w obu sprawach w charakterze interwenienta popierającego żądania Parlamentu.
      
      49     Wobec powiązania między tymi sprawami, potwierdzonego w trakcie procedury ustnej, należy, zgodnie z art. 43 regulaminu, połączyć
         je do celów wydania wyroku.
      
       W przedmiocie skargi w sprawie C‑318/04
      50     Parlament podnosi cztery podstawy nieważności, dotyczące kolejno: nadużycia władzy, naruszenia podstawowych zasad dyrektywy,
         naruszenia praw podstawowych oraz naruszenia zasady proporcjonalności.
      
       W przedmiocie części pierwszej zarzutu pierwszego, opartej na naruszeniu art. 3 ust. 2 tiret pierwsze dyrektywy
       Argumentacja stron
      51     Parlament utrzymuje, że decyzja Komisji wydana została ultra vires, ponieważ naruszono przepisy dyrektywy, a w szczególności
         jej art. 3 ust. 2 tiret pierwsze, dotyczące wyłączenia działalności niepodlegającej zakresowi stosowania prawa wspólnotowego.
      
      52     Niewątpliwe jest jego zdaniem, że przetwarzanie danych PNR po ich przekazaniu organom amerykańskim, o których mowa w decyzji
         o odpowiedniej ochronie, ma i będzie mieć miejsce w ramach działań leżących w kompetencji państw, w rozumieniu pkt 43 wyroku
         z dnia 6 listopada 2003 r. w sprawie C‑101/01 Lindqvist, Rec. str. I‑12971.
      
      53     Komisja, popierana przez Zjednoczone Królestwo, jest zdania, że działalność przewoźników lotniczych w sposób oczywisty wchodzi
         w zakres stosowania prawa wspólnotowego. Argumentuje ona, że to wspomniane podmioty prywatne przetwarzają dane PNR na terytorium
         Wspólnoty i przekazują je państwu trzeciemu. Chodzi tu więc o działalność jednostek, a nie państwa członkowskiego, na którego
         terytorium działają zainteresowani przewoźnicy czy jego władz publicznych, w rozumieniu ustalonym przez Trybunał w pkt 43
         ww. wyroku w sprawie Lindqvist. Przewoźnicy lotniczy, w ramach przetwarzania danych PNR, mają na celu jedynie zastosowanie
         się do wymogów prawa wspólnotowego, w tym do zobowiązania nałożonego na nich w pkt 2 porozumienia. Artykuł 3 ust. 2 dyrektywy
         odnosi się jej zdaniem do działalności władz publicznych niewchodzącej w zakres zastosowania prawa wspólnotowego.
      
       Ocena Trybunału
      54     Artykuł 3 ust. 2 tiret pierwsze dyrektywy wyłącza z jej zakresu zastosowania przetwarzanie danych osobowych w ramach działalności
         wykraczającej poza zakres zastosowania prawa wspólnotowego, na przykład działalności, o której mowa w tytułach V i VI traktatu
         o Unii Europejskiej oraz, w każdym wypadku, przetwarzanie w celu ochrony bezpieczeństwa publicznego, obronności, bezpieczeństwa
         państwa, a także w ramach działalności państwa w zakresie prawa karnego.
      
      55     Decyzja o odpowiedniej ochronie dotyczy jedynie danych PNR przekazywanych CBP. Zgodnie z motywem szóstym tej decyzji wymóg
         ich przekazywania wynika z ustawy wydanej w Stanach Zjednoczonych w listopadzie 2001 r. oraz z rozporządzeń wykonawczych wydanych
         przez CBP na podstawie tej ustawy. Zgodnie z motywem siódmym tej decyzji wspomniane przepisy amerykańskie dotyczą wzmocnienia
         bezpieczeństwa oraz zaostrzenia warunków wjazdu na terytorium Stanów Zjednoczonych i wyjazdu z niego. Jak wynika z motywu
         ósmego, Wspólnota w pełni popiera Stany Zjednoczone w walce z terroryzmem, w granicach wyznaczonych prawem wspólnotowym. W motywie
         piętnastym decyzji stwierdza się, że dane PNR mogą być używane jedynie w celu zapobiegania terroryzmowi i przestępczości związanej
         z terroryzmem, innym poważnym przestępstwom, w tym przestępczości zorganizowanej, która z natury ma charakter międzynarodowy
         i zwalczania ich, a także zapobiegania ucieczkom w razie wydania nakazu aresztowania lub zatrzymania w związku z jednym z wymienionych
         przestępstw.
      
      56     Jak z tego wynika, przekazywanie CBP danych PNR stanowi przetwarzanie danych w celu ochrony bezpieczeństwa publicznego oraz
         w ramach działalności państwa w zakresie prawa karnego.
      
      57     O ile rzeczywiście dane PNR są początkowo gromadzone przez przedsiębiorstwa lotnicze w ramach działalności podlegającej prawu
         wspólnotowemu, to znaczy sprzedaży biletów lotniczych, uprawniających do korzystania z usługi transportu, o tyle przetwarzanie
         danych unormowane w decyzji o odpowiedniej ochronie ma zupełnie odmienny charakter. Decyzja ta, jak przypomniano w pkt 55
         niniejszego wyroku, nie dotyczy bowiem przetwarzania danych niezbędnego w celu świadczenia usług, lecz uznanego za niezbędne
         w celu ochrony bezpieczeństwa publicznego oraz w celu zwalczania przestępczości.
      
      58     W pkt 43 ww. wyroku w sprawie Lindqvist, na który powołuje się Komisja w odpowiedzi na skargę, Trybunał orzekł, że rodzaje
         działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy stanowią w każdym razie działalność właściwą
         państwom i władzom państwowym, odmienną od dziedzin działalności podmiotów indywidualnych. Nie wynika stąd jednak, by przekazywanie
         danych PNR nie wchodziło w zakres zastosowania tego przepisu, tylko dlatego, że dane te gromadzone są przez podmioty prywatne
         do celów działalności gospodarczej i że to te podmioty przekazują dane do państwa trzeciego. Przekazanie to następuje bowiem
         w ramach ustanowionych przez władze publiczne i mających na celu ochronę bezpieczeństwa publicznego.
      
      59     Z powyższych rozważań wynika więc, że decyzja o odpowiedniej ochronie dotyczy przetwarzania danych w rozumieniu art. 3 ust. 2
         tiret pierwsze dyrektywy. Decyzja ta nie wchodzi zatem w zakres zastosowania dyrektywy.
      
      60     Stąd część pierwsza zarzutu pierwszego, oparta na naruszeniu art. 3 ust. 2 tiret pierwsze dyrektywy, jest zasadna.
      61     W związku z powyższym i bez konieczności rozpatrywania innych części zarzutu pierwszego oraz pozostałych zarzutów podniesionych
         przez Parlament należy stwierdzić nieważność decyzji o odpowiedniej ochronie.
      
       W przedmiocie skargi w sprawie C‑317/04
      62     Parlament podnosi sześć podstaw nieważności, dotyczących błędnego wyboru art. 95 WE jako podstawy prawnej decyzji 2004/496
         oraz naruszenia kolejno: art. 300 ust. 3 akapit drugi WE, art. 8 EKPC, zasady proporcjonalności, wymogu uzasadnienia oraz
         zasady lojalnej współpracy.
      
       W przedmiocie zarzutu pierwszego, dotyczącego błędnego wyboru art. 95 WE jako podstawy prawnej decyzji 2004/496
       Argumentacja stron
      63     Parlament podnosi, że art. 95 WE nie stanowi właściwej podstawy prawnej dla decyzji 2004/496. Decyzja ta nie ma za cel ani
         przedmiot ustanowienia lub zapewnienia funkcjonowania rynku wewnętrznego poprzez działanie na rzecz zniesienia ograniczeń
         w swobodzie świadczenia usług i nie zawiera postanowień służących realizacji takiego celu. Ma ona bowiem za cel legalizację
         przetwarzania danych osobowych wymaganego przez ustawodawstwo Stanów Zjednoczonych. Ponadto art. 95 WE nie może stanowić podstawy
         kompetencji Wspólnoty do zawarcia porozumienia, ponieważ dotyczy ono przetwarzania danych wyłączonego z zakresu zastosowania
         dyrektywy.
      
      64     Rada utrzymuje, że dyrektywa, wydana zgodnie z prawem na podstawie art. 100 A traktatu, zawiera w art. 25 przepisy przewidujące
         możliwość przekazania danych osobowych do państwa trzeciego zapewniającego odpowiedni stopień ochrony, w tym możliwość podjęcia
         w razie potrzeby negocjacji w celu zawarcia przez Wspólnotę umowy z tym państwem. Porozumienie dotyczy jej zdaniem swobody
         przepływu danych PNR między Wspólnotą a Stanami Zjednoczonymi w warunkach zapewniających poszanowanie wolności i praw podstawowych,
         w szczególności ochrony prywatności. Ma ono na celu zapobieganie wszelkim zakłóceniom konkurencji między przedsiębiorstwami
         lotniczymi z państw członkowskich oraz między nimi a przedsiębiorstwami lotniczymi z państw trzecich, jakie mogą wynikać z wymogów
         nałożonych przez Stany Zjednoczone ze względów ochrony praw i wolności człowieka. Warunki konkurencji między przedsiębiorstwami
         lotniczymi z państw członkowskich świadczącymi usługi międzynarodowego przewozu pasażerów do i ze Stanów Zjednoczonych mogłyby
         zostać zakłócone z tego powodu, że tylko niektóre z nich udostępniły władzom Stanów Zjednoczonych swoje bazy danych. Porozumienie
         miało zdaniem Rady za cel nałożenie jednakowych zobowiązań na wszystkie przedsiębiorstwa lotnicze.
      
      65     Komisja podkreśla istnienie „konfliktu norm” w rozumieniu prawa międzynarodowego publicznego między prawem Stanów Zjednoczonych
         a ustawodawstwem wspólnotowym oraz konieczność ich pogodzenia. Zarzuca Parlamentowi, który kwestionuje wybór art. 95 WE jako
         podstawy prawnej decyzji 2004/496, iż nie zaproponował on właściwej podstawy prawnej. Zdaniem Komisji wspomniany artykuł stanowi
         „naturalną podstawę prawną” dla tej decyzji, gdyż porozumienie dotyczy zewnętrznego wymiaru ochrony danych osobowych podczas
         ich przekazywania wewnątrz Wspólnoty. Artykuły 25 i 26 dyrektywy powierzają Wspólnocie kompetencję wyłączną w tej dziedzinie.
      
      66     Ponadto Komisja argumentuje, że pierwotne przetwarzanie tych danych przez przedsiębiorstwa lotnicze następuje dla celów działalności
         gospodarczej. Użytek, jaki z tych danych czynią władze Stanów Zjednoczonych, nie powoduje ich wyłączenia spod działania dyrektywy.
      
       Ocena Trybunału
      67     Artykuł 95 WE, w związku z art. 25 dyrektywy, nie może stanowić podstawy kompetencji Wspólnoty do zawarcia porozumienia.
      68     Porozumienie dotyczy bowiem tego samego przekazywania danych co decyzja o odpowiedniej ochronie, czyli przetwarzania danych
         wyłączonego, jak zostało to stwierdzone powyżej, z zakresu zastosowania dyrektywy.
      
      69     W związku z tym decyzja 2004/496 nie mogła zostać zgodnie z prawem wydana na podstawie art. 95 WE.
      70     Należy zatem stwierdzić nieważność tej decyzji, bez potrzeby rozpatrywania pozostałych zarzutów Parlamentu.
       W przedmiocie ograniczenia skutków wyroku
      71     Z pkt 7 porozumienia wynika, że każda ze stron może wypowiedzieć je w każdym czasie i że przestaje ono obowiązywać po 90 dniach
         od notyfikowania wypowiedzenia drugiej stronie.
      
      72     Jednakże, zgodnie z pkt 1 i 2 porozumienia, prawo dostępu CBP do danych PNR oraz nałożone na przewoźników lotniczych zobowiązanie
         do uznawania ich za żądane przez CBP pozostaje w mocy tylko przez okres obowiązywania decyzji o odpowiedniej ochronie. W pkt 3
         porozumienia CBP oświadcza, że wdroży zobowiązania załączone do tej decyzji.
      
      73     Wziąwszy pod uwagę, że po pierwsze Wspólnota nie może powoływać się na obowiązujące prawo wewnętrzne dla uzasadnienia niewywiązywania
         się z porozumienia, które pozostaje w mocy przez okres 90 dni od wypowiedzenia, a po drugie że istnieje ścisły związek między
         porozumieniem a decyzją o odpowiedniej ochronie, wydaje się zasadne, ze względów pewności prawa i w celu ochrony osób zainteresowanych,
         utrzymać w mocy skutki decyzji przez ten okres. Ponadto należy uwzględnić czas niezbędny na podjęcie działań mających na celu
         wykonanie niniejszego wyroku.
      
      74     Należy zatem utrzymać w mocy skutki decyzji o odpowiedniej ochronie do dnia 30 września 2006 r., jednak nie dłużej niż do
         dnia wygaśnięcia porozumienia.
      
       W przedmiocie kosztów
      75     Zgodnie z art. 69 § 2 regulaminu Trybunału kosztami zostaje obciążona, na żądanie strony przeciwnej, strona przegrywająca
         sprawę. Ponieważ Parlament wniósł o obciążenie Rady i Komisji kosztami postępowania, a one przegrały sprawę, należy je obciążyć
         kosztami postępowania. Zgodnie z art. 69 § 4 akapit pierwszy interwenienci w niniejszych sprawach pokryją własne koszty.
      
      Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
      1)      Stwierdza się nieważność decyzji Rady 2004/496/WE z dnia 17 maja 2004 r. w sprawie zawarcia Porozumienia pomiędzy Wspólnotą
            Europejską a Stanami Zjednoczonymi Ameryki w sprawie przetwarzania i przekazywania danych dot. nazwy rekordu pasażera (PNR)
            przez przewoźników lotniczych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych, Biura Ceł i Ochrony Granic
            oraz decyzji Komisji 2004/535/WE z dnia 14 maja 2004 r. w sprawie odpowiedniej ochrony danych osobowych zawartych w Passenger
            Name Record (PNR) pasażerów lotniczych przekazywanych do Biura Celnego i Ochrony Granic Stanów Zjednoczonych.
      2)      Skutki decyzji 2004/535 zostają utrzymane w mocy do dnia 30 września 2006 r., nie dłużej jednak niż do dnia wygaśnięcia wspomnianego
            porozumienia.
      3)      Rada Unii Europejskiej zostaje obciążona kosztami postępowania w sprawie C‑317/04.
      4)      Komisja Wspólnot Europejskich zostaje obciążona kosztami postępowania w sprawie C‑318/04.
      5)      Komisja Wspólnot Europejskich pokrywa własne koszty w sprawie C‑317/04.
      6)      Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej oraz Europejski Inspektor Ochrony Danych pokrywają własne koszty.
      Podpisy
      * Język postępowania: francuski.