CELEX: 62004CJ0317
Language: et
Date: 2006-05-30 00:00:00
Title: Euroopa Kohtu otsus (suurkoda), 30. mai 2006.#Euroopa Parlament versus Euroopa Liidu Nõukogu (C-317/04) ja Euroopa Ühenduste Komisjon (C-318/04).#Üksikisikute kaitse seoses isikuandmete töötlemisega - Lennutransport - Otsus 2004/496/EÜ - Euroopa Ühenduse ja Ameerika Ühendriikide vaheline leping - Ameerika Ühendriikide Tolli- ja Piirivalvebüroole edastatavad lennureisijate reisijaregistrid - Direktiiv 95/46/EÜ - Artikkel 25 - Kolmandad riigid - Otsus 2004/535/EÜ - Andmekaitse piisav tase.#Liidetud kohtuasjad C-317/04 ja C-318/04.

Liidetud kohtuasjad C-317/04 ja C-318/04
      Euroopa Parlament
      versus
      Euroopa Liidu Nõukogu
      ja
      Euroopa Ühenduste Komisjon 
      Füüsiliste isikute kaitse seoses isikuandmete töötlemisega – Õhutransport – Otsus 2004/496/EÜ – Euroopa Ühenduse ja Ameerika Ühendriikide vaheline leping – Ameerika Ühendriikide Tolli- ja Piirivalvebüroole edastatavad lennureisijate reisijaregistrid – Direktiiv 95/46/EÜ – Artikkel 25 – Kolmandad riigid – Otsus 2004/535/EÜ – Andmekaitse piisav tase
      Kohtujurist P. Léger’ ettepanek, esitatud 22. novembril 2005 
      Euroopa Kohtu otsus (suurkoda), 30. mai 2006 
      Kohtuotsuse kokkuvõte
      1.     Õigusaktide ühtlustamine – Direktiiv 95/46 – Kohaldamisala 
      (Euroopa Parlamendi ja nõukogu direktiiv 95/46, artikli 3 lõige 2; komisjoni otsus 2004/535)
      2.     Rahvusvahelised lepingud – Sõlmimine – Euroopa Ühenduse ja Ühendriikide vaheline leping lennureisijate reisijaregistrite töötlemise
            ja edastamise kohta Ühendriikide Tolli- ja Piirivalvebüroole 
      (EÜ artikkel 95; Euroopa Parlamendi ja nõukogu direktiiv 95/46, artikli 3 lõige 2 ja artikkel 25; nõukogu otsus 2004/496)
      1.     Komisjoni otsus 2004/535 Ameerika Ühendriikide Tolli- ja Piirivalveametile edastatavates reisijaregistrites sisalduvate lennureisijate
         isikuandmete piisava kaitse kohta puudutab isikuandmete töötlemist, mille esemeks on riigi julgeolek ja riigi toimingud kriminaalõiguse
         valdkonnas, mis ei kuulu direktiivi 95/46 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise
         kohta artikli 3 lõike 2 esimese taande kohaselt selle kohaldamisalasse.
      
      Asjaolu, et eraõiguslikud ettevõtjad kogusid isikuandmeid kommertseesmärgil ning et just nemad korraldavad nende edastamist
         kolmandasse riiki, ei muuda seda järeldust, kuna edastamine toimub sellises ametivõimude poolt loodud raamistikus, mille eesmärk
         on tagada riigi julgeolek, ja kuna see ei ole nimetatud ettevõtjate teenuse osutamiseks vajalik.
      
      (vt punktid 56–59)
      2.     Otsust 2004/496, mis käsitleb Euroopa Ühenduse ja Ameerika Ühendriikide vahelise lepingu sõlmimist lennuettevõtjate poolt
         reisijate isikuandmete (Passenger Name Records) töötlemise ja edastamise kohta Ameerika Ühendriikide Sisejulgeolekuministeeriumi Tolli- ja Piirivalvebüroole, ei saanud
         EÜ artikli 95 alusel koostoimes direktiivi 95/46 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba
         liikumise kohta artikliga 25 kehtivalt vastu võtta.
      
      Leping käsitleb andmete töötlemist, mis direktiivi 95/46 artikli 3 lõike 2 esimese taande kohaselt ei kuulu selle direktiivi
         kohaldamisalasse, kuna selle esemeks on riigi julgeolek ja riigi toimingud kriminaalõiguse valdkonnas.
      
      (vt punktid 67–69)
EUROOPA KOHTU OTSUS (suurkoda)
      30. mai 2006(*)
      
      Füüsiliste isikute kaitse seoses isikuandmete töötlemisega – Õhutransport – Otsus 2004/496/EÜ – Euroopa Ühenduse ja Ameerika Ühendriikide vaheline leping – Ameerika Ühendriikide Tolli‑ ja Piirivalvebüroole edastatavad lennureisijate reisijaregistrid – Direktiiv 95/46/EÜ – Artikkel 25 – Kolmandad riigid – Otsus 2004/535/EÜ – Andmekaitse piisav tase
      Liidetud kohtuasjades C‑317/04 ja C‑318/04,
      mille esemeks on 27. juulil 2004 EÜ artikli 230 alusel esitatud tühistamishagid,
      Euroopa Parlament, esindajad: R. Passos, N. Lorenz, H. Duintjer Tebbens ja A. Caiola, kohtudokumentide kättetoimetamise aadress Luxembourgis,
      
      hageja,
      keda toetab:
      Euroopa andmekaitseinspektor (CEPD), esindajad: H. Hijmans ja V. Perez Asinari,
      
      menetlusse astuja,
      versus
      Euroopa Liidu Nõukogu, esindajad: M. C. Giorgi Fort ja M. Bishop,
      
      kostja kohtuasjas C-317/04,
      keda toetab:
      Euroopa Ühenduste Komisjon, esindajad: P. J. Kuijper, A. van Solinge ja C. Docksey, kohtudokumentide kättetoimetamise aadress Luxembourgis,
      
      Suurbritannia ja Põhja-Iiri Ühendkuningriik, esindajad: M. Bethell, C. White ja T. Harris, keda abistas barrister T. Ward, kohtudokumentide kättetoimetamise aadress Luxembourgis, 
      
      menetlusse astujad,
      ja
      Euroopa Ühenduste Komisjon, esindajad: P. J. Kuijper, A. van Solinge, C. Docksey ja F. Benyon, kohtudokumentide kättetoimetamise aadress Luxembourgis,
      
      kostja kohtuasjas C‑318/04,
      keda toetab:
      Suurbritannia ja Põhja-Iiri Ühendkuningriik, esindajad: M. Bethell, C. White ja T. Harris, keda abistas barrister T. Ward, kohtudokumentide kättetoimetamise aadress Luxembourgis, 
      
      menetlusse astuja,
      EUROOPA KOHUS (suurkoda),
      koosseisus: president V. Skouris, kodade esimehed P. Jann, C. W. A. Timmermans, A. Rosas ja J. Malenovský, kohtunikud N. Colneric
         (ettekandja), S. von Bahr, J. N. Cunha Rodrigues, R. Silva de Lapuerta, G. Arestis, A. Borg Barthet, M. Ilešič ja J. Klučka,
      
      kohtujurist: P. Léger,
      kohtusekretär: vanemametnik M. Ferreira,
      arvestades kirjalikus menetluses ja 18. oktoobri 2005. aasta kohtuistungil esitatut,
      olles 22. novembri 2005. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
      on teinud järgmise
      otsuse
      1       Euroopa Parlament taotleb kohtuasjas C‑317/04 esitatud hagiga nõukogu 17. mai 2004. aasta otsuse 2004/496/EÜ, mis käsitleb
         Euroopa Ühenduse ja Ameerika Ühendriikide vahelise lepingu sõlmimist lennuettevõtjate poolt reisijate isikuandmete töötlemise
         ja edastamise kohta Ameerika Ühendriikide Sisejulgeolekuministeeriumi Tolli‑ ja Piirivalvebüroole (ELT L 183, lk 83; parandus
         ELT 2005, L 255, lk 168), tühistamist.
      
      2       Kohtuasjas C‑318/04 esitatud hagiga taotleb parlament komisjoni 14. mai 2004. aasta otsuse 2004/535/EÜ Ameerika Ühendriikide
         Tolli‑ ja Piirivalveametile edastatavates reisijaregistrites sisalduvate lennureisijate isikuandmete piisava kaitse kohta
         (ELT L 235, lk 11; edaspidi „piisava kaitse otsus”) tühistamist.
      
       Õiguslik raamistik 
      3       4. novembril 1950 Roomas allakirjutatud Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni (edaspidi „EIÕK”) artikkel 8
         sätestab:
      
      „1.      Igaühel on õigus sellele, et austataks tema era- ja perekonnaelu ja kodu ning korrespondentsi saladust. 
      2.      Võimud ei sekku selle õiguse kasutamisse muidu, kui kooskõlas seadusega ja kui see on demokraatlikus ühiskonnas vajalik riigi
         julgeoleku, ühiskondliku turvalisuse või riigi majandusliku heaolu huvides, korratuse või kuriteo ärahoidmiseks, tervise või
         kõlbluse või kaasinimeste õiguste ja vabaduste kaitseks.”
      
      4       EÜ artikli 95 lõike 1 teine lause kõlab järgmiselt:
      „Vastavalt artiklis 251 sätestatud menetlusele ning pärast konsulteerimist majandus- ja sotsiaalkomiteega võtab nõukogu liikmesriikides
         nii õigus‑ kui ka haldusnormide ühtlustamiseks meetmed, mille eesmärk on siseturu rajamine ja selle toimimine.”
      
      5       Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel
         ja selliste andmete vaba liikumise kohta (ELT L 281, lk 31; ELT eriväljaanne 13/15, lk 355), mida on muudetud Euroopa Parlamendi
         ja nõukogu 29. septembri 2003. aasta määrusega (EÜ) nr 1882/2003 EÜ asutamislepingu artiklis 251 osutatud menetlusele vastavates
         õigusaktides sätestatud rakendusvolituste kasutamisel komisjoni abistavaid komiteesid käsitlevate sätete kohandamise kohta
         nõukogu otsusega 1999/468/EÜ (EÜT L 284, lk 1; ELT eriväljaanne 01/04, lk 447) (edaspidi „direktiiv”), võeti vastu EÜ asutamislepingu
         artikli 100A (muudetuna EÜ artikkel 95) alusel.
      
      6       Selle üheteistkümnendas põhjenduses on öeldud, et „käesolevas direktiivis sisalduvad üksikisikute õiguste ja vabaduste, eriti
         eraelu puutumatuse õiguse kaitsmise põhimõtted täpsustavad ja võimendavad põhimõtteid, mida sisaldab Euroopa Nõukogu 28. jaanuari
         1981. aasta konventsioon isikuandmete automatiseeritud töötlemisel isiku kaitse kohta”.
      
      7       Direktiivi kolmeteistkümnenda põhjenduse kohaselt: 
      „Euroopa Liidu lepingu V ja VI jaotises osutatud avaliku korra, riigikaitse, riigi julgeoleku ja riigi toimingutega kriminaalõiguse
         valdkonnas seotud tegevus ei kuulu ühenduse õiguse reguleerimisalasse, ilma et see piiraks […] asutamislepingu artikli 56
         lõikest 2, artiklist 57 või artiklist 100a tulenevaid liikmesriikide kohustusi; […]”.
      
      8       Direktiivi viiekümne seitsmendas põhjenduses on öeldud:
      „[S]amas tuleb keelata isikuandmete edastamine kolmandatesse riikidesse, kus nende kaitse tase ei ole piisav”. 
      9       Direktiivi artikkel 2 sätestab:
      „Käesolevas määruses kasutatakse järgmisi mõisteid: 
      a)      isikuandmed ‑ igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt”) kohta. Tuvastatav isik
         on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele,
         vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal;
      
      b)      isikuandmete töötlemine (edaspidi „töötlemine”) ‑ iga isikuandmetega tehtav toiming või toimingute kogum, olenemata sellest,
         kas see on automatiseeritud või mitte, näiteks kogumine, salvestamine, korrastamine, säilitamine, kohandamine või muutmine,
         väljavõtete tegemine, päringu teostamine, kasutamine, üleandmine, levitamine või muul moel avaldamine, ühitamine või ühendamine,
         sulgemine, kustutamine või hävitamine;
      
      […]”
      10     Direktiivi artikkel 3 sätestab:
      „Reguleerimisala
      1. Käesolevat direktiivi kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete
         automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad kataloogi või kui nad kavatsetakse hiljem sellesse
         kanda.
      
      2. Käesolevat direktiivi ei kohaldata isikuandmete töötlemise suhtes:
      –       kui see toimub sellise tegevuse käigus, mis jääb väljapoole ühenduse õigust, nagu näiteks Euroopa Liidu lepingu V ja VI jaotises
         osutatud tegevused, ja igal juhul sellise töötlemise suhtes, mis on seotud avaliku korra, riigikaitse, riigi julgeoleku (sealhulgas
         riigi majanduslik heaolu, kui töötlemine on seotud riigi julgeoleku küsimustega) ja riigi toimingutega kriminaalõiguse valdkonnas,
      
      […]”
      11     Direktiivi artikli 6 lõige 1 sätestab:
      „Liikmesriigid sätestavad selle, et:
      […]
      b)      isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ega töödelda hiljem viisil, mis
         on vastuolus kõnealuste eesmärkidega. Täiendavat töötlemist ajaloo, statistika või teadusega seotud eesmärkidel ei peeta vastuolus
         olevaks tingimusel, et liikmesriigid kannavad hoolt vajalike tagatiste eest;
      
      c)      isikuandmed on piisavad, asjakohased ega ületa selle otstarbe piire, mille tarvis neid kogutakse ja/või hiljem töödeldakse;
      […]
      e)      isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik seoses andmete kogumise
         või hilisema töötlemise eesmärkidega. […]”
      
      12     Direktiivi artikkel 7 sätestab:
      „Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:
      […]
      c)      töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks
      […]
               või
      e)      töötlemine on vajalik üldiste huvidega seotud ülesande täitmiseks või sellise avaliku võimu teostamiseks, mis on tehtud ülesandeks
         volitatud töötajale või andmeid saavale kolmandale isikule
      
               või
      f)      töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks,
         kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja –vabadustega seotud huvid.”
      
      13     Direktiivi artikli 8 lõike 5 esimese lõigu kohaselt:
      „Õigusrikkumiste, süüdimõistvate kohtuotsuste ja turvameetmetega seotud andmeid võib töödelda ainult ametivõimude kontrolli
         all või juhul, kui siseriikliku õigusega on ette nähtud sobivad spetsiifilised tagatised, erandite kohaselt, mida liikmesriigid
         võivad lubada nimetatud tagatisi käsitlevate siseriiklike sätete põhjal. Süüdimõistvate kohtuotsuste täielikku registrit võib
         pidada siiski ainult ametivõimude kontrolli all.”
      
      14     Direktiivi artikkel 12 sätestab:
      „Liikmesriigid tagavad, et igal andmesubjektil on õigus nõuda vastutavalt töötlejalt:
      a)      mõistliku aja tagant, ilma piiranguteta ja ilma liigsete viivituste ja kulutusteta:
      –      kinnitust selle kohta, kas isikut ennast käsitlevaid andmeid töödeldakse, ja teavet vähemalt töötlemise eesmärkide, asjaomaste
         andmete liikide ja nende vastuvõtjate või vastuvõtjate kategooriate kohta, kellele andmed avalikustatakse,
      
      –       arusaadaval kujul teavet töödeldavate andmete ja nende allika kohta,
      –       informatsiooni isikut ennast käsitlevate andmete igasuguse automatiseeritud töötlemise loogika kohta, vähemalt artikli 15
         lõikes 1 osutatud automatiseeritud otsuste puhul;
      
      b)      võimalust vastavalt vajadusele parandada, kustutada või sulgeda need andmed, mille töötlemine ei vasta käesoleva direktiivi
         sätetele, eelkõige seetõttu, et andmed on ebatäielikud või ebaõiged;
      
      c)      teatise saatmist kolmandatele isikutele, kellele andmed on avalikustatud, kõigi punkti b kohaste paranduste, kustutamiste
         või sulgemiste kohta, kui see ei ole võimatu või kui sellega ei kaasne ülemääraseid jõupingutusi.”
      
      15     Direktiivi artikli 13 lõige 1 kõlab järgmiselt:
      „Liikmesriigid võivad artikli 6 lõikes 1, artiklis 10, artikli 11 lõikes 1 ja artiklites 12 ja 21 sätestatud kohustuste ja
         õiguste ulatuse piiramiseks võtta vastu õigusakte, kui sellised piirangud on vajalikud, et kindlustada:
      
      a)      riigi julgeolek;
      b)      riigikaitse;
      c)      avalik kord;
      d)      kuritegude või reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutuselevõtmine;
      e)      liikmesriigi või Euroopa Liidu olulised majanduslikud või rahanduslikud huvid, sealhulgas raha-, eelarve- ja maksuküsimused;
      f)      jälgimine, kontrollimine ja regulatiivne funktsioon, mis on kas või ajutiselt seotud avaliku võimu teostamisega punktides c,
         d ja e osutatud juhtudel;
      
      g)      andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse.”
      16     Direktiivi artikkel 22 sätestab:
      „Õiguskaitsevahendid
      Liikmesriigid sätestavad kõigi isikute õiguse kasutada õiguskaitsevahendeid, kui on rikutud õigusi, mis neile on antud kõigi
         asjaomase töötlemise suhtes kohaldatavate siseriiklike õigusaktidega, ilma et see piiraks ühegi võimaliku sätestatava haldusliku
         kaitsevahendi kohaldamist, muu hulgas artiklis 28 osutatud järelevalveasutuse kaudu enne küsimuse suunamist kohtutele”.
      
      17     Direktiivi artiklid 25 ja 26 moodustavad IV peatüki, mis käsitleb isikuandmete edastamist kolmandatesse riikidesse. 
      18     Direktiivi artikkel 25 pealkirjaga „Põhimõtted” näeb ette:
      „1. Liikmesriigid sätestavad, et töödeldavate või pärast edastamist töötlemiseks kavandatud isikuandmete edastamine kolmandatesse
         riikidesse võib toimuda ainult juhul, kui kõnealune kolmas riik tagab andmekaitse piisava taseme, kui käesoleva direktiivi
         muude sätete kohaselt vastuvõetud siseriiklikest sätetest ei tulene teisiti.
      
      2. Andmekaitse taset kolmandates riikides hinnatakse, pidades silmas kõiki andmete edastamise toimingute või andmete edastamise
         toimingute kogumi asjaolusid; tähelepanu pööratakse eelkõige andmete laadile, kavandatud töötlemistoimingu või töötlemistoimingute
         eesmärgile ja kestusele, päritoluriigile ja lõppsihtriigile, kõnealuses kolmandas riigis kehtivatele nii üldistele kui ka
         konkreetse sektori õigusnormidele ja kõnealuses riigis järgitavatele ametieeskirjadele ja turvameetmetele.
      
      3. Liikmesriigid ja komisjon teatavad üksteisele juhtudest, mille puhul nad leiavad, et kolmas riik ei taga kaitse piisavat
         taset lõike 2 tähenduses.
      
      4. Kui komisjon artikli 31 lõikes 2 ettenähtud korras leiab, et kolmas riik ei taga kaitse piisavat taset käesoleva artikli
         lõike 2 tähenduses, võtavad liikmesriigid vajalikke meetmeid tagamaks, et sama liiki andmeid kõnealusesse kolmandasse riiki
         ei edastata.
      
      5. Sobival ajal alustab komisjon läbirääkimisi, et parandada olukorda, mis tekkis lõike 4 kohaselt tehtud avastuse tõttu.
      6. Komisjon võib leida artikli 31 lõikes 2 sätestatud korras, et kolmas riik tagab kaitse piisava taseme käesoleva artikli
         lõike 2 tähenduses oma siseriikliku õigusega või endale võetud rahvusvaheliste kohustustega, mis tulenevad eelkõige lõikes 5
         osutatud läbirääkimistest, et kaitsta eraelu puutumatust ja üksikisikute põhivabadusi ja -õigusi.
      
      Liikmesriigid võtavad komisjoni otsuse järgimiseks vajalikke meetmeid.”
      19     Direktiivi artikli 26 – pealkirjaga „Erandid” – lõike 1 kohaselt: 
      „Erandina artiklist 25, ja kui konkreetsete juhtude suhtes ei ole siseriiklike õigusaktidega ette nähtud teisiti, sätestavad
         liikmesriigid, et isikuandmete edastamine või edastamiste kogum kolmandasse riiki, mis ei taga piisavat kaitset artikli 25
         lõike 2 tähenduses, võib toimuda tingimusel, et:
      
      a)      andmesubjekt on andmete kavandatud edastamiseks andnud oma ühemõttelise nõusoleku
      või
      b)      edastamine on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu täitmiseks või andmesubjekti taotlusel võetud lepingueelsete
         meetmete rakendamiseks
      
      või
      c)      edastamine on vajalik andmesubjekti huvides vastutava töötaja ja kolmanda isiku vahel sõlmitud lepingu sõlmimiseks või täitmiseks
         
      
      või 
      d)      edastamine on vajalik või seaduse kohaselt nõutav üldiste huvidega seotud olulistel põhjustel või õigusnõuete koostamiseks,
         esitamiseks või kaitsmiseks 
      
      või
      e)      edastamine on vajalik andmesubjekti eluliste huvide kaitsmiseks 
      või
      f)      edastatavad andmed on pärit registrist, mis õigusnormide kohaselt on mõeldud avalikkuse teavitamiseks ja on tutvumiseks avatud
         laiemale avalikkusele või kõigile õigustatud huvidega isikutele, kuivõrd konkreetsel juhul täidetakse tingimusi, mis õigusaktidega
         on tutvumiseks ette nähtud.” 
      
      20     Euroopa Ühenduste Komisjon võttis direktiivi, täpsemalt selle artikli 25 lõike 6 alusel vastu piisava kaitse otsuse.
      21     Otsuse üheteistkümnendas põhjenduses on öeldud:
      „Lennureisijate reisijaregistrites [PNR, „Passenger Name Records”] sisalduvate CBPle [Ameerika Ühendriikide Tolli‑ ja Piirivalveamet]
         edastatud isikuandmete töötlemist […] reguleerivad sisejulgeoleku ministeeriumi tolli‑ ja piirivalveameti 11. mai 2004. aasta
         kohustused (Undertakings of the Department of Homeland Security Bureau of Customs and Border Protection (CBP) of 11 May 2004
         ) (edaspidi „kohustused”) ning USA siseriiklikud õigusaktid kohustustes osutatud ulatuses.”
      
      22     Sama otsuse viieteistkümnenda põhjenduse kohaselt kasutatakse PNR-andmeid eelkõige üksnes järgmiste nähtuste ennetamiseks
         ja nende vastu võitlemiseks: terrorism ja sellega seotud kuriteod; muud rasked kuriteod, sealhulgas organiseeritud kuritegevus,
         millel on rahvusvaheline mõõde; ning selliste kuritegude puhul vahistamisel või kinnipidamiskohast põgenemine.
      
      23     Piisava kaitse otsuse artiklite 1–4 kohaselt:
      „Artikkel 1
      Direktiivi 95/46/EÜ artikli 25 lõike 2 kohaldamisel loetakse, et Ameerika Ühendriikide Tolli‑ ja Piirivalveamet (CBP) tagab
         andmekaitse piisava taseme ühendusest edastatavate PNR-andmete puhul, mis on seotud lendudega USAsse ja sealt välja, vastavalt
         lisas sätestatud kohustustele.
      
      Artikkel 2
      Käesolev otsus käsitleb CBP tagatava kaitse piisavat taset kooskõlas direktiivi 95/46/EÜ artikli 25 lõike 1 nõuetega ning
         see ei mõjuta muid selliseid tingimusi või piiranguid, millega rakendatakse kõnealuse direktiivi muid sätteid, mis käsitlevad
         isikuandmete töötlemist liikmesriikides.
      
      Artikkel 3
      1. Ilma et see piiraks liikmesriikide pädevate asutuste volitusi võtta meetmeid selliste siseriiklike sätete järgimise tagamiseks,
         mis on vastu võetud muude sätete alusel kui direktiivi 95/46/EÜ artikkel 25, võivad need ametiasutused järgmistel juhtudel
         kasutada oma volitusi CBPle andmeedastuste peatamiseks, et tagada üksikisikute kaitse seoses nende isikuandmete töötlemisega:
      
      a)      USA pädev ametiasutus on kindlaks teinud, et CBP rikub kehtivaid kaitsenõudeid; või
      b)      on väga tõenäoline, et lisas sätestatud kaitsenõudeid rikutakse, on põhjust arvata, et CBP ei võta ega kavatse võtta õigeaegselt
         asjakohaseid meetmeid kõnealuse olukorra lahendamiseks, andmeedastuse jätkamine võib kujutada andmesubjektide jaoks tõsise
         kahju viivitamatut ohtu ning liikmesriigi pädevad ametiasutused on asjaolusid arvestades võtnud piisavaid meetmeid CBP teavitamiseks
         ja andnud talle võimaluse vastata.
      
      2.      Peatamine lõpetatakse kohe, kui on tagatud kaitsenõuete järgimine ning asjaomaste liikmesriikide pädevatele ametiasutustele
         on sellest teatatud.
      
      Artikkel 4
      1.      Liikmesriigid teavitavad viivitamata komisjoni, kui on võetud meetmeid vastavalt artiklile 3.
      2.      Liikmesriigid ja komisjon teavitavad üksteist mis tahes muudatustest kaitsenõuetes ning juhtudest, mil vastavalt lisas sätestatud
         CBP kaitsenõuete järgimise tagamise eest vastutavad asutused ei suuda nõuete järgimist tagada.
      
      3.      Kui vastavalt artiklile 3 ja käesoleva artikli lõigetele 1 ja 2 kogutud andmed tõendavad, et enam ei täideta peamisi põhimõtteid,
         mis on vajalikud füüsiliste isikute piisavaks kaitseks, või lisas sätestatud CBP kaitsenõuete järgimise tagamise eest vastutavad
         asutused ei täida oma ülesandeid tõhusalt, teavitatakse CBPd ning kohaldatakse vajadusel direktiivi 95/46/EÜ artikli 31 lõikes 2
         osutatud menetlust eesmärgiga käesolev otsus kehtetuks tunnistada või peatada.”
      
      24     Piisava kaitse otsuse lisana ära toodud „Sisejulgeoleku ministeeriumi tolli- ja piirivalveameti (CBP) kohustus[tes]” on öeldud:
      „Toetamaks Euroopa Komisjoni (edaspidi „komisjon”) kava kasutada talle direktiivi 95/46/EÜ […] artikli 25 lõikega 6 antud
         volitusi ning võtta vastu otsus, millega tunnustatakse, et sisejulgeoleku ministeeriumi tolli- ja piirivalveamet (Department
         of Homeland Security Bureau of Customs and Border Protection – CBP) pakub piisavat kaitset, kui lennuettevõtja edastab reisijaregistrite
         (1) (PNR) andmeid, mis võivad kuuluda direktiivi rakendusalasse, kohustub CBP tegema järgmist […]”.
      
      25     Kohustused hõlmavad 48 punkti, mis jagunevad järgmistesse rühmadesse: „Õiguslik alus saada PNR-andmeid”; „PNR-andmete kasutamine
         CBP poolt”; „Nõutavad andmed”; „Tundlike andmete töötlemine”; „PNR-andmetele juurdepääsu meetod”; „PNR-andmete säilitamine”;
         „CBP arvutisüsteemi turvalisus”; „PNR-andmete töötlemine ja kaitse CBP poolt”; „PNR-andmete edastamine teistele valitsusasutustele”;
         „PNR-andmete subjektide teavitamine, juurdepääs andmetele ja andmete parandamise võimalused”; „Sätete järgimine”; „Vastastikkuse
         põhimõte”; „Kohustuste läbivaatamine ja lõpetamine” ja „Subjektiivsete õiguste või pretsedendi loomise puudumine”. 
      
      26     Nimetatud kohustuste hulka kuuluvad muu hulgas järgmised:
      „1.      Seaduse (United States Code, jaotis 49, paragrahv 44909(c)(3)) ning selle (ajutiste) rakendusmääruste (Code of Federal Regulations,
         jaotis 19, paragrahv 122.49b) kohaselt peab iga lennuettevõtja, kes korraldab rahvusvahelist lennureisijatevedu Ameerika Ühendriikidesse
         või sealt välja, võimaldama CBPle […] elektroonilise juurdepääsu PNR-andmetele sel määral kui need on kogutud ja talletatud
         lennuettevõtja automaatsesse broneerimis- või väljumiskontrolli süsteemi […].
      
      […]
      3.      CBP kasutab PNR-andmeid üksnes järgmiste nähtude ennetamiseks ja nende vastu võitlemiseks: 1) terrorism ja sellega seotud
         kuriteod; 2) muud rasked kuriteod, sealhulgas organiseeritud kuritegevus, millel on rahvusvaheline mõõde; ning 3) selliste
         kuritegude puhul vahistamisel või kinnipidamiskohast põgenemine. PNR-andmete kasutamine sellistel eesmärkidel võimaldab CBP-l
         suunata oma ressursid kõrge riskiga asjaoludele, hõlbustades ja kaitstes seega heauskset reisimist.
      
      4.      Andmeelemendid, mida CBP nõuab, on loetletud A lisas. […] 
      […]
      27.      Seoses mis tahes haldus- või kohtumenetlusega, mis tuleneb teabevabaduse seaduse alusel lennuettevõtjatelt saadud PNR-andmete
         nõudest, on CBP seisukoht, et selliseid andmeid ei pea vastavalt teabevabaduse seadusele avaldama.
      
      […]
      29.      CBP esitab omal äranägemisel PNR-andmeid muudele valitsusasutustele, sealhulgas välisriikide valitsusasutustele, millel on
         terrorismivastase võitluse või õiguskaitsefunktsioonid, üksnes iga juhtumi korral eraldi ning käesolevate kohustuste punktis 3
         määratletud kuritegude ennetamise või nende vastu võitlemise eesmärgil. (Asutusi, millega CBP võib selliseid andmeid jagada,
         nimetatakse edaspidi „määratud asutusteks”.)
      
      30.      CBP kasutab mõistlikult oma kaalutlusõigust edastada PNR-andmeid nimetatud eesmärkidel. CBP teeb esiteks kindlaks, kas PNR-andmete
         avaldamine määratud asutusele vastab nimetatud eesmärgile (vaata käesolevate kohustuste punkti 29). Kui jah, siis teeb CBP
         kindlaks, kas määratud asutus vastutab selle eesmärgiga seotud seaduse või määruse rikkumise ennetamise, uurimise või süüdistuse
         esitamise eest või sellise seaduse või määruse täitmisele pööramise või rakendamise eest, kui CBP-l on viiteid seaduse rikkumisele
         või võimalikule rikkumisele. Avaldamise põhjendatus tuleb läbi vaadata kõigi esitatud asjaolude valguses.
      
      […]
      35.      Ükski käesolevate kohustuste säte ei takista PNR-andmete kasutamist või avaldamist seoses kriminaalkohtumenetlusega või muudel
         seaduses sätestatud juhtudel. CBP teavitab Euroopa Komisjoni mis tahes USA õigusakti vastuvõtmisest, mis mõjutab oluliselt
         käesolevate kohustuste sätteid.
      
      […]
      46.       Käesolevaid kohustusi kohaldatakse kolm aastat ja kuus kuud (3,5 aastat) alates kuupäevast, millal jõustub Ameerika Ühendriikide
         ja Euroopa Ühenduse vaheline leping, millega lubatakse PNR-andmete töötlemist lennuettevõtjate poolt eesmärgiga edastada CBPle
         kõnealuseid andmeid kooskõlas direktiiviga. […]
      
      47.       Käesolevate kohustustega ei looda ega anta ühelegi era- ega avalik-õiguslikule isikule mis tahes õigusi ega eeliseid.
      […]”
      27     Kohustuste A lisas on ära toodud „PNR-andmeelemendid”, mida CBP lennuettevõtjatelt soovib. Nende andmete hulka kuuluvad „PNR-registri
         kood” (locator code), broneeringu kuupäev, nimi, aadress, makseviisid, kontakttelefonid, reisibüroo, reisija reisistaatus
         („travel status of passenger”), E-posti aadress, üldised märkused, koha number, teave ilmumata jätmise kohta (no-show) ning
         saadud „APIS teave”. 
      
      28     Nõukogu võttis EÜ artikli 95 alusel selle koostoimes EÜ artikli 300 lõike 2 esimese lõigu esimese lausega vastu otsuse 2004/496.
      29     Viidatud otsuse kolme põhjenduse kohaselt:
      „1)      23. veebruaril 2004 volitas nõukogu komisjoni ühenduse nimel pidama läbirääkimisi Ameerika Ühendriikidega lepingu üle, mis
         käsitleb lennuettevõtjate poolt reisijate isikuandmete töötlemist ja edastamist Ameerika Ühendriikide Sisejulgeolekuministeeriumi
         Tolli- ja Piirivalvebüroole.
      
      2)      Euroopa Parlament ei ole esitanud arvamust tähtaja jooksul, mille nõukogu asutamislepingu artikli 300 lõike 3 esimese lõigu
         kohaselt kehtestas, pidades silmas kiireloomulist vajadust parandada lennuettevõtjate ja reisijate ebakindlat olukorda ja
         kaitsta asjassepuutuvate isikute finantshuve.
      
      3)      See leping tuleks heaks kiita.”
      30     Otsuse 2004/496 artikkel 1 näeb ette:
      „Käesolevaga kiidetakse ühenduse nimel heaks Euroopa Ühenduse ja Ameerika Ühendriikide vaheline leping lennuettevõtjate poolt
         reisijate isikuandmete töötlemise ja edastamise kohta Ameerika Ühendriikide Sisejulgeolekuministeeriumi Tolli‑ ja Piirivalvebüroole.
      
      Lepingu tekst on käesolevale otsusele lisatud.”
      31     Osutatud lepingu (edaspidi „leping”) sisu on järgmine:
      „E[uroopa Ühendus ja Ameerika Ühendriigid],
      T[unnustades] põhiõiguste ja ‑vabaduste, eriti eraelu puutumatuse austamise tähtsust ja tunnustades nende väärtuste austamise
         tähtsust terrorismi ja sellega seotud kuritegude ning muude tõsiste rahvusvahelise iseloomuga kuritegude, sealhulgas organiseeritud
         kuritegevuse vastases võitluses ja nende ärahoidmises,
      
      [võttes arvesse] USA eeskirju ja seadusi, mis nõuavad, et iga lennuettevõtja, kes teostab reisijate välislennutransporti Ameerika
         Ühendriikidesse saabuvatel või sealt väljuvatel lendudel, võimaldaks sisejulgeolekuministeeriumi (edaspidi ministeerium) tolli‑
         ja piirivalvebüroole […] [(CBP)] elektroonilise ligipääsu […] [PNR-andmetele] määral, mil seda kogutakse ja salvestatakse
         lennuettevõtja automaatsetes reserveerimise ja väljumiste kontrollisüsteemides,
      
      [võttes arvesse] […] direktiivi 95/46/EÜ […], eriti selle artikli 7 punkti c,
      [võttes arvesse] [CBP] poolt 11. mail 2004 võetud kohustusi, mis avaldatakse föderaalregistris (edaspidi kohustused),
      [võttes arvesse] direktiivi 95/46/EÜ artikli 25 lõike 6 kohaselt 14. mail 2004 vastu võetud komisjoni otsust 2004/535/EÜ (edaspidi
         „otsus”), milles tõdetakse, et [CBP] kaitseb käesolevale lepingule lisatud kohustuste kohaselt piisavalt Euroopa Ühendusest
         (edaspidi „ühendus”) edastatavaid [PNR-andmeid], mis on seotud Ameerika Ühendriikidesse saabuvate või sealt väljuvate lendudega,
      
      [märkides], et lennuettevõtjad, kellel on Euroopa Liidu liikmesriikide territooriumidel reserveerimise ja väljumiste kontrollisüsteemid,
         peaksid korraldama [PNR-andmete] edastamise [CBP-le] nii kiiresti, kui tehnilised võimalused lubavad, selle ajani aga peaks
         USA ametivõimudel vastavalt käesolevale lepingule olema luba neile andmetele otse ligi pääseda,
      
      […]
      [on kokku leppinud järgmises]:
      1.      [CBP] võib elektrooniliselt kasutada lennuettevõtjate Euroopa Ühenduse liikmesriikide territooriumidel asuvates reserveerimise
         ja väljumiste kontrollsüsteemides […] sisalduvaid isikuandmeid [PNR-andmeid], järgides rangelt otsust ja nii kaua, kuni otsus
         on kohaldatav, ning ainult seni, kuni on paigaldatud rahuldav süsteem, mis võimaldab selliste andmete edastamist lennuettevõtjate
         poolt. 
      
      [Ingliskeelne versioon on järgmine: „CBP may electronically access the PNR data from air carriers reservation/departure control
         systems (’reservation systems’) located within the territory of the Member State of the European Community strictly in accordance
         with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system in place allowing
         for transmission of such data by the air carriers.”]
      
      2.      Lennuettevõtjad, kes teostavad reisijate välislennutransporti Ameerika Ühendriikidesse saabuvatel või sealt väljuvatel lendudel,
         töötlevad oma automaatsetes reserveerimissüsteemides sisalduvaid isikuandmeid vastavalt [CBP] USA seaduste alusel esitatavatele
         nõudmistele, järgides rangelt otsust, ja nii kaua, kuni otsus on kohaldatav. 
      
      3.      [CBP] võtab otsust arvesse ja teatab, et ta kohaldab sellele lisatud kohustusi.
      4.      [CBP] töötleb saadud isikuandmeid ja kohtleb isikuid, keda puudutavaid andmeid töödeldakse, vastavalt kohaldatavatele USA
         seadustele ja põhiseaduslikele nõudmistele, ilma seadusevastase diskrimineerimiseta, iseäranis rahvuse ja elukohariigi alusel.
      
      […]
      7.      Käesolev leping jõustub allakirjutamisel. Kumbki lepinguosaline võib käesoleva lepingu igal ajal lõpetada, andes sellest diplomaatiliste
         kanalite kaudu teada. Leping lõpeb üheksakümmend (90) päeva pärast seda, kui teisele lepinguosalisele on lepingu lõpetamisest
         teatatud. Käesolevat lepingut võib igal ajal vastastikuse kirjaliku kokkuleppega muuta. 
      
      8.      Käesoleva lepinguga ei kavatseta lepinguosaliste seadusandlusest kõrvale kalduda ega seda muuta, samuti ei loo ega anna käesolev
         leping mingeid õigusi ega hüvesid ühelegi muule era‑ või avalik-õiguslikule isikule ega üksusele.” 
      
      32     Nõukogu poolt lepingu jõustumise kohta esitatud teabe kohaselt (ELT 2004, C 158, lk 1) jõustus 28. mail 2004 Washingtonis
         nõukogu esindaja ja Ameerika Ühendriikide sisejulgeolekuministri poolt alla kirjutatud leping selle punkti 7 kohaselt lepingu
         allakirjutamise päeval.
      
       Vaidluste taust
      33     11. septembri 2001. aasta terrorirünnakute järel võtsid Ühendriigid sama aasta novembris vastu seaduse, mis sätestas, et lennuettevõtjad,
         kes teostavad lennutransporti Ameerika Ühendriikidesse saabuvatel või sealt väljuvatel, samuti lendudel üle Ühendriikide territooriumi,
         olid kohustatud võimaldama Ühendriikide tolliasutustele elektroonilise juurdepääsu andmetele, mis sisalduvad automaatsetes
         reserveerimise ja väljumiste kontrollsüsteemides, mida tähistatakse terminiga „Passenger Name Records”, (edaspidi „PNR-andmed”).
         Tunnustades küll silmas peetavate julgeolekuhuvide õigustatust, teatas komisjon Ühendriikide ametiasutustele juunist 2002,
         et nimetatud sätted võivad olla vastuolus ühenduse ja liikmesriikide andmekaitse valdkonna õigusaktidega ning nõukogu 24. juuli
         1989. aasta määruse (EMÜ) nr 2299/89 toimimisjuhendi kohta arvutipõhiste ettetellimissüsteemide puhul (EÜT L 220, lk 1; ELT
         eriväljaanne 07/01, lk 27), muudetud nõukogu 8. veebruari 1999. aasta määrusega (EÜ) nr 323/1999 (EÜT L 40, lk 1), teatavate
         sätetega. Ühendriikide ametiasutused teatasid uute sätete jõustumisest, kuid keeldusid kategooriliselt loobumast sanktsioonide
         kohaldamisest nende lennuettevõtjate suhtes, kes pärast 5. märtsi 2003 ei olnud täitnud PNR-andmetele elektroonilist juurdepääsu
         puudutavaid õigusnorme. Paljud Euroopa Liidu suured lennuettevõtjad olid sellest kuupäevast võimaldanud nimetatud asutustele
         juurdepääsu ettevõtja käsutuses olevatele PNR-andmetele.
      
      34     Komisjon alustas direktiivi artikli 25 lõike 6 alusel piisava kaitse otsuse vastuvõtmiseks läbirääkimisi Ühendriikide ametiasutustega,
         kes olid võtnud vastu CBP kohustusi („undertakings”) sätestava akti.
      
      35     Töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega, mis oli loodud direktiivi artikliga 29, esitas 13. juunil
         2003 arvamuse, milles väljendas kahtlusi selles osas, kas viidatud kohustustega tagatud andmekaitse on kavandatava andmetöötluse
         puhul piisav. Töörühm kordas oma kahtlusi ka 29. jaanuari 2004. aasta arvamuses.
      
      36     Komisjon esitas 1. märtsil 2004 parlamendile direktiivi artikli 25 lõike 6 alusel piisava kaitse otsuse eelnõu, millega oli
         kaasas CBP kohustuste eelnõu.
      
      37     17. märtsil 2004 edastas komisjon EÜ artikli 300 lõike 3 esimeses lõigus ette nähtud konsulteerimist silmas pidades parlamendile
         ettepaneku Ameerika Ühendriikidega lepingu sõlmimist käsitleva nõukogu otsuse kohta. Nõukogu palus 25. märtsil 2004 kiireloomulisele
         menetlusele viidates parlamendil esitada viidatud ettepaneku kohta arvamus hiljemalt 22. aprilliks 2004. Nõukogu rõhutas oma
         kirjas, et „terrorismivastane võitlus, mis õigustab pakutud meetmeid, on Euroopa Liidu üks olulisi prioriteete, [et] hetkel
         on lennuettevõtjate ja reisijate olukord ebakindel ning seda tuleb viivitamatult parandada [ning et], pealegi on oluline kaitsta
         asjassepuutuvate poolte finantshuve”.
      
      38     Parlament võttis 31. märtsil 2004 nõukogu 28. juuni 1999. aasta otsuse 1999/468/EÜ, millega kehtestatakse komisjoni rakendusvolituste
         kasutamise menetlused (EÜT L 184, lk 23; ELT eriväljaanne 01/03, lk 124), artikli 8 alusel vastu resolutsiooni, milles nägi
         talle esitatud ettepaneku osas ette teatud arvu õiguslikke reservatsioone. Parlament asus kõnealuses resolutsioonis seisukohale,
         et piisava kaitse otsuse eelnõu ületab komisjonile direktiivi artikliga 25 antud pädevuse. Parlament kutsus üles sõlmima asjakohast
         rahvusvahelist lepingut, mille puhul peetaks kinni põhiõigustest viidatud resolutsioonis detailselt välja toodud teatud arvus
         punktides, ning palus komisjonil esitada otsuse uus eelnõu. Lisaks jättis ta endale võimaluse pöörduda Euroopa Kohtusse, et
         kontrollida kavandatava rahvusvahelise lepingu seaduslikkust, eelkõige aga seda, kas see on kooskõlas eraelu kaitse põhimõttega.
      
      39     21. aprillil 2004 kinnitas parlament presidendi taotluse alusel õigusasjade- ja siseturukomisjoni soovituse, mille kohaselt
         tuleks EÜ artikli 300 lõike 6 alusel taotleda Euroopa Kohtult arvamust selle kohta, kas kavandatav leping on kooskõlas asutamislepingu
         sätetega. Kõnealune menetlus algatati samal päeval.
      
      40     Samuti otsustas parlament samal päeval saata komisjonile tagasi nõukogu otsuse ettepaneku kohta esitatud aruande, lükates
         seeläbi tagasi nõukogu poolt 25. märtsil tehtud taotluse vaadata kõnealune ettepanek läbi kiireloomulisena.
      
      41     Nõukogu saatis 28. aprillil EÜ artikli 300 lõike 3 esimesele lõigule tuginedes parlamendile kirja, milles palus sel esitada
         arvamus lepingu sõlmimist käsitleva otsuse ettepaneku kohta enne 5. maid 2004. Taotluse kiireloomulisuse põhjenduseks tõi
         nõukogu uuesti välja 25. märtsi 2004. aasta kirjas esitatud põhjused.
      
      42     Parlament jättis 4. mail 2004 nõukogu poolt talle 28. aprillil esitatud asja kiireloomulise menetlemise ettepaneku rahuldamata,
         kuna nõukogu otsuse ettepaneku kõiki keeleversioone ei olnud endiselt koos.
      
      43     Sama aasta 14. mail võttis komisjon vastu piisava kaitse otsuse, mis on kohtuasja C‑318/04 esemeks. 17. mail 2004 võttis nõukogu
         vastu otsuse 2004/496, mida käsitletakse kohtuasjas C‑317/04.
      
      44     Nõukogu ametisolev eesistuja teatas 4. juuni 2004. aasta kirjaga parlamendile, et otsuses 2004/496 on arvesse võetud terrorismivastast
         võitlust – mis on EL jaoks prioriteet –, kuid samas ka lennuettevõtjate õiguslikult ebakindlat olukorda ning nende finantshuve.
      
      45     Parlament teatas 9. juuli 2004. aasta kirjaga Euroopa Kohtule, et võtab tagasi nr 1/04 all registreeritud arvamuse esitamise
         taotluse.
      
      46     Euroopa Kohtu president tegi kohtuasjas C‑317/04 18. novembril 2004 ja 18. jaanuaril 2005 määrused komisjoni ning Suurbritannia
         ja Põhja‑Iiri Ühendkuningriigi menetlusse astumise kohta nõukogu nõuete toetuseks.
      
      47     Kohtuasjas C‑318/04 tegi Euroopa Kohtu president 17. detsembril 2004 määruse Ühendkuningriigi menetlusse astumise kohta komisjoni
         nõuete toetuseks.
      
      48     Euroopa Kohtu 17. märtsi 2005. aasta määrustega anti viidatud kahes kohtuasjas parlamendi nõuete toetuseks luba astuda menetlusse
         Euroopa andmekaitseinspektoril.
      
      49     Arvestades kõnealuste kohtuasjade seotust, mis leidis kinnitust suulises menetluses, tuleb need kohtuotsuse huvides kodukorra
         artikli 43 alusel liita.
      
       Hagi kohtuasjas C‑318/04
      50     Parlament esitab tühistamise toetuseks neli väidet, mis tulenevad vastavalt pädevuse ületamisest, direktiivi oluliste põhimõtete,
         põhiõiguste ning proportsionaalsuse põhimõtte rikkumisest.
      
       Esimese väite esimene osa, mis tuleneb direktiivi artikli 3 lõike 2 esimese taande rikkumisest
       Poolte argumendid
      51     Parlament väidab, et komisjoni otsus võeti vastu ultra vires, kuna ei järgitud direktiivi sätteid ja rikuti eelkõige selle artikli 3 lõike 2 esimest taanet, mis välistab selle kohaldamise
         tegevuste suhtes, mis pole reguleeritud ühenduse õigusega.
      
      52     Pole kahtlust, et PNR-andmete töötlemine pärast nende edastamist Ameerika Ühendriikide ametiasutusele, mida reguleerib piisava
         kaitse otsus, kujutab endast praegu ja edaspidi riigi toiminguid 6. novembri 2003. aasta otsuse kohtuasja  C‑101/01: Lindqvist
         (EKL 2003, lk I‑12971) punkti 43 mõttes.
      
      53     Komisjon, keda toetab Ühendkuningriik, leiab, et lennuettevõtjate tegevus kuulub ilmselgelt ühenduse õiguse kohaldamisalasse.
         Komisjon väidab, et eraõiguslikud ettevõtjad töötlevad PNR-andmeid ühenduses ning korraldavad nende edastamist kolmandale
         riigile. Seega on tegemist üksikisikute toimingutega, mitte aga selle liikmesriigi, kus asjassepuutuvad lennuettevõtjad tegutsevad,
         ega sellise riigi võimuorganite tegevusega, nagu Euroopa Kohus on seda eespool viidatud Lindqvisti kohtuotsuse punktis 43
         määratlenud. Lennuettevõtjad täidavad PNR-andmete töötlemisel ühenduse õigusest tulenevaid nõudeid, sh lepingu punktis 2 ette
         nähtud kohustust. Direktiivi artikli 3 lõikes 2 on viidatud avalike võimuorganite tegevusele, mis ei kuulu ühenduse õiguse
         reguleerimisalasse.
      
       Euroopa Kohtu hinnang
      54     Direktiivi artikli 3 lõike 2 esimene taane välistab direktiivi reguleerimisalast isikuandmete töötlemise juhul, kui see toimub
         sellise tegevuse käigus, mis jääb väljapoole ühenduse õigust, nagu näiteks Euroopa Liidu lepingu V ja VI jaotises osutatud
         tegevused, ja igal juhul sellise töötlemise suhtes, mis on seotud avaliku korra, riigikaitse, riigi julgeoleku […] ja riigi
         toimingutega kriminaalõiguse valdkonnas.
      
      55     Piisava kaitse otsus puudutab üksnes CBP-le edastatud PNR-andmeid. Viidatud otsuse kuuendast põhjendusest tuleneb, et edastamisnõude
         õiguslikuks aluseks on Ameerika Ühendriikides 2001. aasta novembris vastu võetud seadus ning selle seaduse alusel vastu võetud
         CBP rakenduseeskirjad. Sama otsuse seitsmenda põhjenduse kohaselt käsitlevad kõnealused USA õigusaktid julgeoleku tõhustamist
         ja tingimusi, mille alusel isikud võivad riiki siseneda ja sealt lahkuda. Kaheksanda põhjenduse kohaselt toetab ühendus täielikult
         USAd terrorismivastases võitluses ühenduse õigusaktides kehtestatud piires. Sama otsuse viieteistkümnendas põhjenduses on
         öeldud, et PNR-andmeid kasutatakse üksnes järgmiste nähtuste ennetamiseks ja nende vastu võitlemiseks: terrorism ja sellega
         seotud kuriteod; muud rasked kuriteod, sealhulgas organiseeritud kuritegevus, millel on rahvusvaheline mõõde; ning selliste
         kuritegude puhul vahistamisel või kinnipidamiskohast põgenemine.
      
      56     Siit tuleneb, et PNR-andmete edastamine CBP-le kujutab endast töötlemist, mille esemeks on riigi julgeolek ja riigi toimingud
         kriminaalõiguse valdkonnas.
      
      57     Kuigi võib õigustatult öelda, et esialgselt kogusid lennuettevõtjad PNR-andmeid ühenduse õiguse valdkonda kuuluva tegevuse,
         st teenuse tarbimiseks õigust andva lennukipileti müügi käigus, on piisava kaitse otsuses arvestatud andmete töötlemise iseloom
         hoopis midagi muud. Nagu käesoleva kohtuotsuse punktis 55 märgitud, ei puuduta kõnealune otsus mitte teenuse osutamiseks vajalikku
         andmetöötlust, vaid sellega peetakse silmas riigi julgeoleku kaitset ning õiguskaitse eesmärke.
      
      58     Eespool viidatud Lindqvisti kohtuotsuse punktis 43, millele komisjon oma vastuses viitas, on Euroopa Kohus asunud seisukohale,
         et direktiivi artikli 3 lõike 2 esimeses taandes näitena toodud tegevused kujutavad endast igal juhul toiminguid, mis on iseloomulikud
         riigile või riigi ametiasutustele, ega ole omased eraisikute tegevusvaldkondadele. Sellegipoolest ei järeldu sellest, et kuna
         eraõiguslikud ettevõtjad kogusid PNR-andmeid kommertseesmärgil ning just nemad korraldavad nende edastamist kolmandasse riiki,
         ei kuulu kõnealune edastamine viidatud sätte kohaldamisalasse. Edastamine toimub sellises ametivõimude poolt loodud raamistikus,
         mille eesmärk on tagada riigi julgeolek. 
      
      59     Eeltoodud põhjendustest järeldub, et piisava kaitse otsus puudutab isikuandmete töötlemist direktiivi artikli 3 lõike 2 esimese
         taande mõttes. Seega ei kuulu see otsus direktiivi kohaldamisalasse.
      
      60     Seega on esimese väite esimene osa, mis tuleneb direktiivi artikli 3 lõike 2 esimese taande rikkumisest, põhjendatud.
      61     Järelikult tuleb piisava kaitse otsus tühistada, ilma et oleks vaja uurida esimese väite teisi osi ega parlamendi esitatud
         muid väiteid.
      
       Hagi kohtuasjas C‑317/04
      62     Parlament esitab tühistamise toetuseks kuus väidet, mis tulenevad asjaolust, et otsuse 2004/496 õigusliku alusena on ekslikult
         kasutatud EÜ artiklit 95, ning vastavalt EÜ artikli 300 lõike 3 teise lõigu, EIÕK artikli 8, proportsionaalsuse põhimõtte,
         põhjendamiskohustuse ja lojaalse koostöö põhimõtte rikkumisest.
      
       Esimene väide, mis tuleneb asjaolust, et otsuse 2004/496 õigusliku alusena on ekslikult kasutatud EÜ artiklit 95
       Poolte argumendid
      63     Parlament väidab, et EÜ artikkel 95 ei ole otsuse 2004/496 vastuvõtmise õige õiguslik alus. Selle otsuse eesmärgiks ja sisuks
         ei ole siseturu rajamine ja toimimine, aidates kaasa tõkete kõrvaldamisele teenuste vaba osutamise juures ning see ei sisalda
         seesuguse eesmärgi täitmiseks mõeldud sätteid. Otsuse eesmärk on muuta seaduslikuks isikuandmete töötlemine, mis on ette nähtud
         Ühendriikide õigusaktidega. Pealegi ei ole EÜ artikkel 95 loomult selline, et annaks ühendusele pädevuse lepingu sõlmimiseks,
         kuna see puudutab sellist andmetöötlust, mis on direktiivi kohaldamisalast välja arvatud.
      
      64     Nõukogu kinnitab, et direktiiv, mis on nõuetekohaselt võetud vastu asutamislepingu artikli 100 A alusel, sisaldab artiklis 25
         sätteid, millega nähakse ette võimalus edastada isikuandmeid sellisesse kolmandasse riiki, mis tagab andmekaitse piisava taseme,
         sh võimalus vajaduse korral alustada läbirääkimisi ühenduse ja sellise riigi vahelise lepingu sõlmimiseks. Leping käsitles
         PNR-andmete vaba liikumist ühenduse ja Ameerika Ühendriikide vahel, järgides isikute põhivabadusi ja –õigusi, eelkõige eraelu
         kaitset. Lepingu eesmärk oli kaotada liikmesriikide lennuettevõtjate ning liikmesriikide ja kolmandate riikide lennuettevõtjate
         vahelise konkurentsi moonutused, mis võivad olla Ameerika Ühendriikide poolt isikute õiguste ja vabaduste kaitsmisega seonduvatel
         põhjustel kehtestatud nõuete tagajärjeks. Ameerika Ühendriikidesse suunduvatel ja sealt lähtuvatel lennuliinidel rahvusvahelist
         reisijateveoteenust osutavate liikmesriikide lennuettevõtjate vahelise konkurentsi tingimusi kahjustaks see, et üksnes mõningad
         neist võimaldavad Ühendriikide ametiasutustele juurdepääsu oma andmebaasidele. Lepinguga sooviti kehtestada kõikidele asjassepuutuvatele
         ettevõtjatele ühesugused kohustused.
      
      65     Komisjon rõhutab, et tegemist on Ameerika Ühendriikide seaduste ja ühenduse õigusnormide vahelise konfliktiga rahvusvahelise
         avaliku õiguse mõttes, ning ühtlasi vajadusega need omavahel kooskõlla viia. Komisjon paneb parlamendile, kes on vaidlustanud
         EÜ artikli 95 sobivuse otsuse 2004/496 õigusliku alusena, süüks seda, et parlament ei ole välja pakkunud asjakohast õiguslikku
         alust. Komisjon on seisukohal, et viidatud artikkel on kõnealuse otsuse „loomulik õiguslik alus”, kuna isikuandmete edastamisel
         ühendusesiseselt puudutab leping nende andmete kaitse välismõõdet. Direktiivi artiklid 25 ja 26 annavad ühendusele ainuvälispädevuse.
      
      66     Lisaks väidab komisjon, et andmete esialgne töötlemine lennuettevõtjate poolt toimus kommertseesmärkidel. Asjaolu, et neid
         andmeid kasutavad Ameerika Ühendriikide ametiasutused, ei jäta neid direktiivi kohaldamisalast välja. 
      
       Euroopa Kohtu hinnang
      67     EÜ artikkel 95 koos direktiivi artikliga 25 ei anna komisjonile lepingu sõlmimise pädevust.
      68     Leping käsitleb sama andmeedastust, mis piisava kaitse otsuski, seega sellist andmetöötlust, mis – nagu eespool öeldud –,
         ei kuulu direktiivi kohaldamisalasse.
      
      69     Järelikult ei ole otsuse 2004/496 vastuvõtmine EÜ artikli 95 alusel nõuetekohane.
      70     Seega tuleb otsus tühistada, ilma et oleks vaja uurida muid parlamendi poolt esitatud väiteid.
       Kohtuotsuse tagajärgede piiramine
      71     Lepingu punktist 7 nähtub, et kumbki lepingupool võib selle igal ajal lõpetada ning leping kaotab kehtivuse 90 päeva pärast
         seda, kui teisele lepinguosalisele on teatatud lepingu lõpetamisest.
      
      72     Seevastu lepingu punktide 1 ja 2 kohaselt on CBP-l juurdepääsuõigus PNR‑andmetele ning lennuettevõtjad on kohustatud töötlema
         andmeid vastavalt CBP nõudmistele senikaua, kuni piisava kaitse otsus on kohaldatav. CBP on lepingu punktis 3 kinnitanud,
         et kohaldab nimetatud otsuse lisas toodud kohustusi.
      
      73     Arvestades ühelt poolt asjaolu, et ühendus ei saa toetuda oma õigusele, põhjendamaks sellise lepingu mittetäitmist, mis kehtib
         veel 90 päeva pärast seda, kui lepingu lõpetamisest on teisele poolele teatatud, ning teiselt poolt kõnealuse lepingu ja piisava
         kaitse otsuse vahelist tihedat seost, tundub õiguskindlust ja puudutatud isikute kaitset silmas pidades olevat õigustatud
         säilitada piisava kaitse otsuse kehtivus sama ajavahemiku vältel. Lisaks tuleb arvestada käesoleva kohtuotsuse täitmiseks
         vajalike meetmete võtmiseks vajaliku ajaga.
      
      74     Seega tuleb piisava kaitse otsust kohaldada jätkuvalt kuni 30. septembrini 2006, kuid otsuse tagajärjed ei tohi jääda kestma
         pärast lepingu lõppemise kuupäeva.
      
       Kohtukulud
      75     Kodukorra artikli 69 lõike 2 alusel on kohtuvaidluse kaotanud pool kohustatud hüvitama kohtukulud, kui vastaspool on seda
         nõudnud. Kuna parlament on kohtukulude hüvitamist nõudnud ja nõukogu ning komisjon on kohtuvaidluse kaotanud, tuleb kohtukulud
         välja mõista nõukogult ja komisjonilt. Sama artikli lõike 4 esimese lõigu alusel kannavad käesolevatel juhtudel menetlusse
         astujad ise oma kohtukulud.
      
      Esitatud põhjendustest lähtudes Euroopa Kohus (suurkoda) otsustab:
      1.      Tühistada nõukogu 17. mai 2004. aasta otsus 2004/496/EÜ, mis käsitleb Euroopa Ühenduse ja Ameerika Ühendriikide vahelise lepingu
            sõlmimist lennuettevõtjate poolt reisijate isikuandmete töötlemise ja edastamise kohta Ameerika Ühendriikide Sisejulgeolekuministeeriumi
            Tolli- ja Piirivalvebüroole, ning komisjoni 14. mai 2004. aasta otsus 2004/535/EÜ Ameerika Ühendriikide Tolli- ja Piirivalveametile
            edastatavates reisijaregistrites sisalduvate lennureisijate isikuandmete piisava kaitse kohta.
      2.      Kohaldada otsust 2004/535 jätkuvalt kuni 30. septembrini 2006, kuid otsuse tagajärjed ei tohi jääda kestma pärast kõnealuse
            lepingu lõppemise kuupäeva.
      3.      Mõista kohtuasjas C-317/04 kohtukulud välja Euroopa Liidu Nõukogult.
      4.      Mõista kohtuasjas C-318/04 kohtukulud välja Euroopa Ühenduste Komisjonilt.
      5.      Jätta kohtuasjas C-318/04 Euroopa Ühenduste Komisjoni kohtukulud tema enda kanda.
      6.      Jätta Suurbritannia ja Põhja-Iiri Ühendkuningriigi ning Euroopa andmekaitseinspektori kohtukulud nende endi kanda.
      Allkirjad
      * Kohtumenetluse keel: prantsuse.