EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 62019CJ0817
Judgment of the Court (Grand Chamber) of 21 June 2022.#Ligue des droits humains ASBL v Conseil des ministres.#Request for a preliminary ruling from the Cour constitutionnelle.#Reference for a preliminary ruling – Processing of personal data – Passenger Name Record (PNR) data – Regulation (EU) 2016/679 – Article 2(2)(d) – Scope – Directive (EU) 2016/681 – Use of PNR data of air passengers of flights operated between the European Union and third countries – Power to include data of air passengers of flights operated within the European Union – Automated processing of those data – Retention period – Fight against terrorist offences and serious crime – Validity – Charter of Fundamental Rights of the European Union – Articles 7, 8 and 21 as well as Article 52(1) – National legislation extending the application of the PNR system to other transport operations within the European Union – Freedom of movement within the European Union – Charter of Fundamental Rights – Article 45.#Case C-817/19.
Rozsudek Soudního dvora (velkého senátu) ze dne 21. června 2022.
Ligue des droits humains ASBL v. Conseil des ministres.
Žádost o rozhodnutí o předběžné otázce podaná Cour constitutionnelle.
Řízení o předběžné otázce – Zpracování osobních údajů – Údaje jmenné evidence cestujících (PNR) – Nařízení (EU) 2016/679 – Článek 2 odst. 2 písm. d) – Působnost – Směrnice (EU) 2016/681 – Používání údajů PNR o cestujících v případě letů uskutečňovaných mezi Evropskou unií a třetími zeměmi – Možnost zahrnout údaje o cestujících v případě letů uskutečňovaných v rámci Unie – Automatizovaná zpracování těchto údajů – Doba uchovávání – Boj proti teroristickým trestným činům a závažné trestné činnosti – Platnost – Listina základních práv Evropské unie – Články 7, 8 a 21, jakož i čl. 52 odst. 1 – Vnitrostátní právní předpisy, které rozšiřují použití systému PNR na jinou přepravu v rámci Unie – Volný pohyb uvnitř Unie – Listina základních práv – Článek 45.
Věc C-817/19.
Rozsudek Soudního dvora (velkého senátu) ze dne 21. června 2022.
Ligue des droits humains ASBL v. Conseil des ministres.
Žádost o rozhodnutí o předběžné otázce podaná Cour constitutionnelle.
Řízení o předběžné otázce – Zpracování osobních údajů – Údaje jmenné evidence cestujících (PNR) – Nařízení (EU) 2016/679 – Článek 2 odst. 2 písm. d) – Působnost – Směrnice (EU) 2016/681 – Používání údajů PNR o cestujících v případě letů uskutečňovaných mezi Evropskou unií a třetími zeměmi – Možnost zahrnout údaje o cestujících v případě letů uskutečňovaných v rámci Unie – Automatizovaná zpracování těchto údajů – Doba uchovávání – Boj proti teroristickým trestným činům a závažné trestné činnosti – Platnost – Listina základních práv Evropské unie – Články 7, 8 a 21, jakož i čl. 52 odst. 1 – Vnitrostátní právní předpisy, které rozšiřují použití systému PNR na jinou přepravu v rámci Unie – Volný pohyb uvnitř Unie – Listina základních práv – Článek 45.
Věc C-817/19.
Court reports – general – 'Information on unpublished decisions' section
ECLI identifier: ECLI:EU:C:2022:491
*A9* Cour constitutionnelle, Arrêt du 17/10/2019 (6713)
*P1* Cour constitutionnelle, Arrêt du 12/10/2023 (ECLI:BE:GHCC:2023:ARR.131)
Publication Flash News "Décisions de suivi" N° 1/23
ROZSUDEK SOUDNÍHO DVORA (velkého senátu)
21. června 2022 ( *1 )
Obsah
I. Právní rámec |
|
A. Unijní právo |
|
1. Směrnice 95/46/ES |
|
2. Směrnice API |
|
3. Směrnice 2010/65 |
|
4. GDPR |
|
5. Směrnice 2016/680 |
|
6. Směrnice PNR |
|
7. Rámcové rozhodnutí 2002/475 |
|
B. Belgické právo |
|
1. Ústava |
|
2. Zákon ze dne 25. prosince 2016 |
|
II. Spor v původním řízení a předběžné otázky |
|
III. K předběžným otázkám |
|
A. K první otázce |
|
B. K druhé až čtvrté a šesté otázce |
|
1. K zásahům vyplývajícím ze směrnice PNR do základních práv zaručených v článcích 7 a 8 Listiny |
|
2. K odůvodnění zásahů vyplývajících ze směrnice PNR |
|
a) K dodržování zásady zákonnosti a podstaty dotčených základních práv |
|
b) K cíli obecného zájmu a způsobilosti zpracování údajů PNR s ohledem na tento cíl |
|
c) K nezbytnosti zásahů vyplývajících ze směrnice PNR |
|
1) K údajům o cestujících v letecké dopravě dotčeným směrnicí PNR |
|
2) K účelům zpracování údajů PNR |
|
3) K souvislosti mezi údaji PNR a účely zpracování těchto údajů |
|
4) K cestujícím v letecké dopravě a k dotčeným letům |
|
5) K předběžnému posuzování údajů PNR pomocí automatizovaného zpracování |
|
i) K porovnání údajů PNR s databázemi |
|
ii) Ke zpracování údajů PNR na základě předem stanovených kritérií |
|
iii) K zárukám provázejícím automatizované zpracování údajů PNR |
|
6) K následnému poskytnutí a posouzení údajů PNR |
|
C. K páté otázce |
|
D. K sedmé otázce |
|
E. K osmé otázce |
|
F. K deváté otázce písm. a) |
|
G. K deváté otázce písm. b) |
|
H. K desáté otázce |
|
IV. K nákladům řízení |
„Řízení o předběžné otázce – Zpracování osobních údajů – Údaje jmenné evidence cestujících (PNR) – Nařízení (EU) 2016/679 – Článek 2 odst. 2 písm. d) – Působnost – Směrnice (EU) 2016/681 – Používání údajů PNR o cestujících v případě letů uskutečňovaných mezi Evropskou unií a třetími zeměmi – Možnost zahrnout údaje o cestujících v případě letů uskutečňovaných v rámci Unie – Automatizovaná zpracování těchto údajů – Doba uchovávání – Boj proti teroristickým trestným činům a závažné trestné činnosti – Platnost – Listina základních práv Evropské unie – Články 7, 8 a 21, jakož i čl. 52 odst. 1 – Vnitrostátní právní předpisy, které rozšiřují použití systému PNR na jinou přepravu v rámci Unie – Volný pohyb uvnitř Unie – Listina základních práv – Článek 45“
Ve věci C‑817/19,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Cour constitutionnelle (ústavní soud, Belgie) ze dne 17. října 2019, došlým Soudnímu dvoru dne 31. října 2019, v řízení
Ligue des droits humains
proti
Conseil des ministres,
SOUDNÍ DVŮR (velký senát),
ve složení K. Lenaerts, předseda, A. Arabadžev, S. Rodin, I. Jarukaitis a N. Jääskinen, předsedové senátu, T. von Danwitz (zpravodaj), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra, L. S. Rossi, A. Kumin a N. Wahl, soudci,
generální advokát: G. Pitruzzella,
vedoucí soudní kanceláře: M. Krausenböck, radová,
s přihlédnutím k písemné části řízení a po jednání konaném dne 13. července 2021,
s ohledem na vyjádření předložená:
– |
za Ligue des droits humains C. Forget, avocate, |
– |
za belgickou vládu P. Cottinem, J.-C. Halleuxem, C. Pochet a M. Van Regemorter, jako zmocněnci, ve spolupráci s C. Cailletem, advocaat, E. Jacubowitzem, avocat, jakož i G. Ceuppensem, V. Dethy a D. Vertongenem, |
– |
za českou vládu T. Machovičovou, O. Serdulou, M. Smolkem a J. Vláčilem, jako zmocněnci, |
– |
za dánskou vládu M. Jespersenem, J. Nymann-Lindegrenem, V. Pasternak Jørgensenem a M. Søndahl Wolff, jako zmocněnci, |
– |
za německou vládu D. Klebsem a J. Möllerem, jako zmocněnci, |
– |
za estonskou vládu N. Grünberg, jako zmocněnkyní, |
– |
za Irsko M. Browne, A. Joycem a J. Quaney, jako zmocněnci, ve spolupráci s D. Fennellym, BL, |
– |
za španělskou vládu L. Aguilera Ruizem, jako zmocněncem, |
– |
za francouzskou vládu D. Duboisem, E. de Moustier a T. Stehelinem, jako zmocněnci, |
– |
za kyperskou vládu E. Neofytou, jako zmocněnkyní, |
– |
za lotyšskou vládu E. Bārdiņšem, K. Pommere a V. Soņeca, jako zmocněnci, |
– |
za nizozemskou vládu M. K. Bulterman, A. Hanje, J. Langerem a C. S. Schillemans, jako zmocněnci, |
– |
za rakouskou vládu G. Kunnertem, A. Poschem a J. Schmoll, jako zmocněnci, |
– |
za polskou vládu B. Majczynou, jako zmocněncem, |
– |
za slovenskou vládu B. Ricziovou, jako zmocněnkyní, |
– |
za finskou vládu A. Laine a H. Leppo, jako zmocněnkyněmi, |
– |
za Evropský parlament O. Hrstkovou Šolcovou a P. López-Carceller, jako zmocněnkyněmi, |
– |
za Radu Evropské unie J. Lotarskim, N. Rouam, E. Sitbonem a C. Zadrou, jako zmocněnci, |
– |
za Evropskou komisi D. Nardim a M. Wasmeierem, jako zmocněnci, |
– |
za Evropského inspektora ochrany údajů P. Angelovem, A. Buchta, F. Coudert a C.-A. Marnier, jako zmocněnci, |
– |
za Agenturu Evropské unie pro základní práva L. López, T. Molnarem, M. Nesporem a M. O’Flahertym, jako zmocněnci, |
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 27. ledna 2022,
vydává tento
Rozsudek
1 |
Žádost o rozhodnutí o předběžné otázce se v podstatě týká:
|
2 |
Tato žádost byla podána v rámci sporu mezi Ligue des droits humains (Liga pro lidská práva) a Conseil des ministres (Rada ministrů, Belgie) ohledně zákonnosti loi du 25 décembre 2016, relative au traitement des données des passagers (zákon ze dne 25. prosince 2016 o zpracování údajů o cestujících). |
I. Právní rámec
A. Unijní právo
1. Směrnice 95/46/ES
3 |
Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355), byla zrušena GDPR s účinností k 25. květnu 2018. Článek 3 odst. 2 této směrnice stanovil: „Tato směrnice se nevztahuje na zpracování osobních údajů:
|
2. Směrnice API
4 |
Body 1, 7, 9 a 12 odůvodnění směrnice API stanoví:
[…]
[…]
[…]
|
5 |
Článek 1 směrnice API, nadepsaný „Účel“, stanoví: „Účelem této směrnice je zdokonalení hraničních kontrol a boj proti nedovolenému přistěhovalectví tím, že dopravci předem předávají údaje o cestujících příslušným vnitrostátním orgánům.“ |
6 |
Článek 2 této směrnice, nadepsaný „Definice“, stanoví: „Pro účely této směrnice se rozumí:
|
7 |
Článek 3 uvedené směrnice, nadepsaný „Předávání údajů“, stanoví v odstavcích 1 a 2: „1. Členské státy přijmou opatření nezbytná ke stanovení povinnosti dopravců předávat na žádost orgánů příslušných pro provádění kontrol osob na vnějších hranicích před ukončením odbavování informace o osobách, které dopravují na hraniční přechody, jimiž tyto osoby vstoupí na území členského státu. 2. Uvedené informace obsahují
|
8 |
Článek 6 směrnice API, nadepsaný „Zpracování údajů“, stanoví: „1. Osobní údaje uvedené v čl. 3 odst. 1 se předávají orgánům příslušným pro provádění kontrol osob na vnější hranici, přes kterou cestující vstoupí na území členského státu, pro usnadnění těchto kontrol za účelem účinnějšího boje proti nedovolenému přistěhovalectví. Členské státy zajistí, aby tyto údaje dopravci shromažďovali a předávali je elektronicky nebo v případě poruchy jinými vhodnými prostředky příslušným orgánům příslušným pro provádění hraničních kontrol na schválených hraničních přechodech, přes které cestující vstoupí na území členského státu. Orgány příslušné pro provádění kontrol osob na vnějších hranicích údaje uchovávají v dočasném datovém souboru. Po vstupu cestujících tyto orgány údaje do 24 hodin po jejich předání vymaží, pokud nebudou později nutné pro účely výkonu zákonných funkcí orgánů příslušných pro provádění kontrol osob na vnějších hranicích v souladu s vnitrostátním právem a s ohledem na ustanovení o ochraně údajů obsažená ve směrnici [95/46]. Členské státy přijmou nezbytná opatření zavazující dopravce, aby do 24 hodin po příletu dopravních prostředků podle čl. 3 odst. 1 vymazali osobní údaje, které shromáždili a předali pohraničním orgánům pro účely této směrnice. V souladu se svým vnitrostátním právem a s ohledem na ustanovení o ochraně údajů obsažená ve směrnici [95/46] mohou členské státy použít osobní údaje uvedené v čl. 3 odst. 1 rovněž pro účely vynucování práva. 2. Členské státy přijmou nezbytná opatření zavazující dopravce, aby informovali cestující v souladu se směrnicí [95/46]. To zahrnuje rovněž informace uvedené v čl. 10 písm. c) a v čl. 11 odst. 1 písm. c) směrnice [95/46].“ |
3. Směrnice 2010/65
9 |
Směrnice 2010/65 byla zrušena na základě článku 25 nařízení Evropského parlamentu a Rady (EU) 2019/1239 ze dne 20. června 2019, kterým se zřizuje evropské prostředí jednotného námořního portálu a zrušuje směrnice 2010/65 (Úř. věst. 2019, L 198, s. 64), počínaje dnem 15. srpna 2025. |
10 |
Bod 2 odůvodnění této směrnice stanoví: „V zájmu usnadnění námořní dopravy a omezení administrativní zátěže pro společnosti provozující lodní dopravu je třeba v nejvyšší možné míře zjednodušit a harmonizovat ohlašovací formality vyžadované právními předpisy Unie a členských států. […]“ |
11 |
Článek 1 uvedené směrnice, nadepsaný „Předmět a oblast působnosti“, stanoví v odstavcích 1 a 2: „1. Účelem této směrnice je zjednodušit a harmonizovat správní postupy používané v námořní dopravě standardizací elektronického předávání informací a racionalizací ohlašovacích formalit. 2. Tato směrnice se vztahuje na ohlašovací formality použitelné v námořní dopravě pro lodě připlouvající do přístavů v členských státech a odplouvající z nich.“ |
12 |
Článek 8 této směrnice, nadepsaný „Důvěrnost“, zní: „1. Členské státy v souladu s platnými právními předpisy Unie nebo vnitrostátními právními předpisy přijmou nezbytná opatření k zajištění důvěrnosti obchodních nebo jiných důvěrných informací vyměněných v souladu s touto směrnicí. 2. Členské státy zejména dbají na zajištění ochrany obchodních údajů shromážděných podle této směrnice. Pokud jde o osobní údaje, dbají na to, aby dodržovaly směrnici [95/46]. Orgány a jiné subjekty [Evropské unie] dbají o to, aby dodržovaly nařízení [Evropského parlamentu a Rady] (ES) č. 45/2001 [ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (Úř. věst. 2001, L 8, s. 1; Zvl. vyd. 13/26, s. 10)].“ |
4. GDPR
13 |
Bod 19 odůvodnění GDPR stanoví: „Ochrana fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem předcházení trestným činům nebo jejich vyšetřování, odhalování či stíhání nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení a volný pohyb těchto údajů jsou upraveny zvláštním právním aktem Unie. Proto by se toto nařízení nemělo uplatňovat na činnosti zpracování za těmito účely. Na osobní údaje zpracovávané orgány veřejné moci podle tohoto nařízení, pokud jsou používány za těmito účely, by se však měl vztahovat konkrétnější právní akt Unie, totiž směrnice Evropského parlamentu a Rady (EU) 2016/680 [ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů a o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89)]. Členské státy mohou pověřit příslušné orgány ve smyslu [směrnice 2016/680] i úkoly, které nemusí být nutně prováděny za účelem předcházení trestným činům a jejich vyšetřování, odhalování či stíhání nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, tak aby zpracování osobních údajů pro tyto jiné účely v rozsahu, v němž náleží do působnosti práva Unie, spadalo do oblasti působnosti tohoto nařízení. […]“ |
14 |
Článek 2 tohoto nařízení, nadepsaný „Věcná působnost“, stanoví v odstavcích 1 a 2: „1. Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny. 2. Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:
[…]
|
15 |
Článek 4 uvedeného nařízení, nadepsaný „Definice“, stanoví: „Pro účely tohoto nařízení se rozumí:
[…]“ |
16 |
Článek 23 GDPR, nadepsaný „Omezení“, stanoví: „1. Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
[…]
2. Každé legislativní opatření uvedené v odstavci 1 zejména obsahuje konkrétní ustanovení, alespoň, je-li to relevantní, pokud jde o:
|
17 |
Článek 94 tohoto nařízení, nadepsaný „Zrušení směrnice [95/46]“, stanoví: „1. Směrnice [95/46] se zrušuje s účinkem ode dne 25. května 2018. 2. Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení. Odkazy na pracovní skupinu pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice [95/46] se považují za odkazy na Evropský sbor pro ochranu osobních údajů zřízený tímto nařízením.“ |
5. Směrnice 2016/680
18 |
Směrnice 2016/680 v souladu s článkem 59 této směrnice zrušila a nahradila s účinkem ode dne 6. května 2018 rámcové rozhodnutí Rady 2008/977/SVV ze dne 27. listopadu 2008 o ochraně osobních údajů zpracovávaných v rámci policejní a justiční spolupráce v trestních věcech (Úř. věst. 2008, L 350, s. 60). |
19 |
Body 9 až 11 odůvodnění směrnice 2016/680 stanoví:
|
20 |
Článek 1 této směrnice, nadepsaný „Předmět a cíle“, který odpovídá v podstatě článku 1 rámcového rozhodnutí 2008/977, v odstavci 1 stanoví: „Tato směrnice stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“ |
21 |
Článek 3 uvedené směrnice, nadepsaný „Definice“, stanoví: „Pro účely této směrnice se rozumějí: […] 7. ‚příslušným orgánem‘:
[…]“ |
6. Směrnice PNR
22 |
Body 4 až 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 a 37 odůvodnění směrnice PNR stanoví:
[…]
[…]
[…]
[…]
[…]
[…]
[…]
|
23 |
Článek 1 směrnice PNR, nadepsaný „Předmět a oblast působnosti“, stanoví: „1. Tato směrnice upravuje:
2. Údaje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, jak je stanoveno v čl. 6 odst. 2 písm. a), b) a c).“ |
24 |
Článek 2 této směrnice, nadepsaný „Použití této směrnice na lety uvnitř EU“, zní následovně: „1. Jestliže se členský stát rozhodne používat tuto směrnici na lety uvnitř EU, oznámí to písemně Komisi. Členský stát může toto oznámení učinit nebo odvolat kdykoliv. Komise toto oznámení a případné odvolání zveřejní v Úředním věstníku Evropské unie. 2. Pokud je učiněno oznámení uvedené v odstavci 1, použijí se všechna ustanovení této směrnice na lety uvnitř EU, jako by se jednalo o lety mimo EU, a na údaje PNR na letech uvnitř EU, jakoby se jednalo o údaje PNR na letech mimo EU. 3. Členský stát se může rozhodnout, že tuto směrnici bude uplatňovat pouze na vybrané lety uvnitř EU. V okamžiku přijetí tohoto rozhodnutí členský stát určí lety, které považuje za nezbytné pro dosažení cílů této směrnice. Členský stát se může kdykoliv rozhodnout změnit výběr takto určených letů uvnitř EU.“ |
25 |
Článek 3 uvedené směrnice, nadepsaný „Definice“, stanoví: „Pro účely této směrnice se rozumí:
|
26 |
Článek 4 směrnice PNR, nadepsaný „Útvar pro informace o cestujících“, stanoví v odstavcích 1 až 3: „1. Každý členský stát zřídí nebo určí orgán příslušný pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti či pobočku tohoto orgánu jako svůj ‚útvar pro informace o cestujících‘. 2. Útvar pro informace o cestujících je odpovědný za:
3. Pracovníci útvaru pro informace o cestujících mohou být vysláni z příslušných orgánů. Členské státy poskytnou útvarům pro informace o cestujících odpovídající prostředky, aby mohly plnit své úkoly.“ |
27 |
Článek 5 této směrnice, nadepsaný „Pracovník pro ochranu údajů v rámci útvaru pro informace o cestujících“, zní následovně: „1. Útvar pro informace o cestujících jmenuje pracovníka pro ochranu údajů, který je odpovědný za sledování zpracování údajů PNR a dodržování příslušných záruk. 2. Členské státy poskytnou pracovníkům pro ochranu údajů příslušné prostředky, aby mohli účinně a nezávisle plnit své úkoly a povinnosti. 3. Členské státy zajistí, aby subjekty údajů měly právo obrátit se na pracovníka pro ochranu údajů jako na jednotné kontaktní místo ve všech záležitostech souvisejících se zpracováním svých údajů PNR.“ |
28 |
Článek 6 uvedené směrnice, nadepsaný „Zpracování údajů PNR“, stanoví: „1. Údaje PNR předávané leteckými dopravci jsou shromažďovány útvarem pro informace o cestujících příslušného členského státu, jak je stanoveno v článku 8. Pokud údaje PNR předávané leteckými dopravci obsahují jiné údaje než údaje uvedené v příloze I, útvar pro informace o cestujících tyto údaje po obdržení ihned a trvale zlikviduje. 2. Útvar pro informace o cestujících zpracovává údaje PNR pouze pro tyto účely:
3. Při posuzování uvedeném v odst. 2 písm. a) může útvar pro informace o cestujících:
4. Jakékoliv posouzení cestujících před jejich plánovaným příletem do nebo odletem z členského státu na základě předem stanovených kritérií uvedených v odst. 3 písm. b) se provádí nediskriminačním způsobem. Tato předem stanovená kritéria musí být cílená, přiměřená a specifická. Členské státy zajistí, aby útvar pro informace o cestujících ve spolupráci s příslušnými orgány uvedenými v článku 7 stanovil a pravidelně přezkoumával tato kritéria. Tato kritéria nesmí být za žádných okolností založena na rasovém ani etnickém původu dané osoby, jejích politických názorech, náboženském či filozofickém přesvědčení, členství v odborových organizacích, zdraví, sexuálním životě nebo sexuální orientaci. 5. Členské státy zajistí, aby byl každý pozitivní výsledek automatizovaného zpracování údajů PNR provedeného podle odst. 2 písm. a) individuálně přezkoumán neautomatizovanými prostředky s cílem ověřit, zda je nezbytné, aby příslušný orgán podle článku 7 provedl určitý úkon podle vnitrostátního práva. 6. Útvar pro informace o cestujících daného členského státu předá údaje PNR osob identifikovaných podle odst. 2 písm. a) nebo výsledky zpracování těchto údajů k dalšímu prověření příslušným orgánům téhož členského státu uvedeným v článku 7. Tato předání mohou být provedena pouze na základě posouzení jednotlivých případů a v případě automatizovaného zpracování údajů PNR po individuálním přezkumu neautomatizovanými prostředky. 7. Členské státy zajistí, aby měl pracovník pro ochranu údajů přístup ke všem údajům zpracovávaným útvarem pro informace o cestujících. Má-li pracovník pro ochranu údajů za to, že zpracování jakéhokoliv údaje nebylo zákonné, může postoupit věc vnitrostátnímu orgánu dohledu. […] 9. V důsledku posuzování cestujících podle odst. 2 písm. a) tohoto článku nesmí být ohroženo právo vstupu u osob, které požívají práva Unie na volný pohyb na území dotčeného členského státu, stanovené ve směrnici Evropského parlamentu a Rady 2004/38/ES [ze dne 29. dubna 2004 o právu občanů Unie a jejich rodinných příslušníků svobodně se pohybovat a pobývat na území členských států, o změně nařízení (EHS) č. 1612/68 a o zrušení směrnic 64/221/EHS, 68/360/EHS, 72/194/EHS, 73/148/EHS, 75/34/EHS, 75/35/EHS, 90/364/EHS, 90/365/EHS a 93/96/EHS (Úř. věst. 2004, L 158, s. 77; Zvl. vyd. 05/05, s. 46)]. Důsledky těchto posouzení, prováděných u letů uvnitř EU mezi členskými státy, na které se vztahuje nařízení Evropského parlamentu a Rady (ES) č. 562/2006 [ze dne 15. března 2006, kterým se stanoví kodex Společenství o pravidlech upravujících přeshraniční pohyb osob (Schengenský hraniční kodex) (Úř. věst. 2006, L 105, s. 1)], musí být kromě toho v souladu s uvedeným nařízením.“ |
29 |
Článek 7 směrnice PNR, nadepsaný „Příslušné orgány“, zní: „1. Každý členský stát přijme seznam příslušných orgánů oprávněných požadovat nebo přijímat údaje PNR nebo výsledek zpracování těchto údajů od útvarů pro informace o cestujících s cílem tyto informace dále přezkoumat nebo přijmout vhodné opatření za účelem prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti. 2. Orgány uvedené v odstavci 1 jsou orgány, které jsou příslušné k prevenci, odhalování, vyšetřování nebo stíhání teroristických trestných činů nebo závažné trestné činnosti. […] 4. Údaje PNR a výsledek zpracování těchto údajů obdržené od útvaru pro informace o cestujících mohou být dále zpracovávány příslušnými orgány členských států pouze pro konkrétní účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti. 5. Odstavcem 4 nejsou dotčeny vnitrostátní pravomoci v oblasti vymáhání práva a justice v případě, že dojde k odhalení jiných trestných činů nebo ke zjištění informací o nich v průběhu výkonu donucovacího opatření následujícího po takovém zpracování. 6. Příslušné orgány nepřijmou žádné rozhodnutí, které má pro osobu nepříznivé právní účinky nebo se jí závažným způsobem dotýká, pouze na základě automatizovaného zpracování údajů PNR. Taková rozhodnutí nejsou přijímána na základě rasového nebo etnického původu dané osoby, jejích politických názorů, náboženského či filozofického přesvědčení, členství v odborových organizacích, zdraví, sexuálního života nebo sexuální orientace.“ |
30 |
Článek 8 této směrnice, nadepsaný „Povinnosti leteckých dopravců týkající se předávání údajů“, stanoví v odstavcích 1 až 3: „1. Členské státy přijmou nezbytná opatření, která zajistí, aby letečtí dopravci předávali metodou ‚dodávání‛ údaje PNR uvedené v příloze I v rozsahu, v jakém je již shromáždili v průběhu své obvyklé činnosti, do databáze útvaru pro informace o cestujících toho členského státu, na jehož území bude let přistávat nebo z jehož území bude let zahájen. V případech, kdy je let označen sdíleným kódem mezi jedním nebo více leteckými dopravci, nese povinnost předávat údaje jmenné evidence o všech cestujících daného letu letecký dopravce, který let provozuje. V případech, kdy let mimo EU zahrnuje jedno či více mezipřistání na letištích členských států, předá letecký dopravce údaje jmenné evidence o všech cestujících útvarům pro informace o cestujících všech dotčených členských států. To platí i tehdy, když jedno či více mezipřistání na letištích různých členských států zahrnuje let uvnitř EU, avšak pouze ve vztahu ke členským státům, jež shromažďují údaje PNR na letech uvnitř EU. 2. V případě, že letečtí dopravci shromáždili údaje API uvedené v bodě 18 přílohy I, avšak neuchovávají je stejnými technickými prostředky[,] jakými uchovávají ostatní údaje PNR, přijmou členské státy opatření nezbytná k zajištění toho, aby letečtí dopravci tyto údaje předali metodou ‚dodávání‘ útvaru pro informace o cestujících členských států uvedených v odstavci 1. V případě takového předání se na tyto údaje API vztahují všechna ustanovení této směrnice. 3. Letečtí dopravci předávají údaje PNR elektronicky za použití společných protokolů a podporovaných datových formátů přijatých přezkumným postupem uvedeným v čl. 17 odst. 2, nebo, v případě technické poruchy, jakýmikoliv jinými vhodnými prostředky zajišťujícími odpovídající úroveň bezpečnosti:
|
31 |
Článek 12 uvedené směrnice, nadepsaný „Doba uchovávání údajů a depersonalizace“, stanoví: „1. Členské státy zajistí, aby údaje PNR poskytnuté leteckými dopravci útvaru pro informace o cestujících byly uchovávány v databázi vedené útvarem pro informace o cestujících po dobu pěti let od jejich předání útvaru pro informace o cestujících členského státu, na jehož území let přistává nebo z něj odlétá. 2. Po uplynutí doby šesti měsíců od předání údajů PNR uvedeného v odstavci 1 jsou veškeré údaje PNR depersonalizovány maskováním níže uvedených prvků údajů, které by mohly sloužit k přímé identifikaci cestujícího, jehož se údaje PNR týkají:
3. Po uplynutí šestiměsíčního období uvedeného v odstavci 2 se povolí zpřístupnění úplných údajů PNR pouze pokud:
4. Členské státy zajistí, aby byly údaje PNR po uplynutí doby uvedené v odstavci 1 zlikvidovány trvale. Tato povinnost se netýká případů, kdy byly konkrétní údaje PNR předány příslušnému orgánu a jsou používány v rámci konkrétního případu pro účely prevence, odhalování, vyšetřování nebo stíhání teroristických trestných činů nebo závažné trestné činnosti; v takovém případě se uchovávání takových údajů příslušným orgánem řídí vnitrostátním právem. 5. Výsledky zpracování podle čl. 6 odst. 2 písm. a) uchovává útvar pro informace o cestujících pouze po dobu nezbytnou k tomu, aby mohl uvědomit příslušné orgány a v souladu s čl. 9 odst. 1 útvary pro informace o cestujících dalších členských států o pozitivním výsledku porovnání. Pokud se prostřednictvím individuálního přezkumu neautomatizovanými prostředky podle čl. 6 odst. 5 prokáže, že je výsledek automatizovaného zpracování negativní, může být přesto výsledek uchováván za účelem vyloučení budoucích ‚falešných‘ pozitivních výsledků, a to tak dlouho, dokud podkladové údaje nejsou podle odstavce 4 tohoto článku zlikvidovány.“ |
32 |
Článek 13 směrnice PNR, nadepsaný „Ochrana osobních údajů“, stanoví v odstavcích 1 až 5: „1. Každý členský stát stanoví, že pokud jde o zpracování osobních údajů podle této směrnice, mají všichni cestující stejné právo na ochranu svých osobních údajů, právo na přístup k těmto údajům, právo na jejich opravu, výmaz nebo omezení zpracování a právo na náhradu škody a právo na soudní přezkum, jak je stanoveno v právu Unie a ve vnitrostátním právu a v rámci provádění článků 17, 18, 19 a 20 rámcového rozhodnutí [2008/977]. Uvedené články se tedy použijí. 2. Každý členský stát stanoví, že předpisy přijaté v rámci vnitrostátního práva při provádění článků 21 a 22 rámcového rozhodnutí [2008/977], pokud jde o důvěrnost zpracování a bezpečnost údajů, se vztahují také na veškeré zpracování osobních údajů podle této směrnice. 3. Touto směrnicí není dotčena použitelnost směrnice [95/46] na zpracování osobních údajů leteckými dopravci, zejména pokud jde o jejich povinnosti přijmout vhodná technická a organizační opatření na ochranu bezpečnosti a důvěrnosti osobních údajů. 4. Členské státy zakáží zpracování údajů PNR, které odhalují rasový nebo etnický původ dané osoby, její politické názory, náboženské či filozofické přesvědčení, členství v odborové organizaci, zdraví, sexuální život nebo sexuální orientaci. V případě, že útvar pro informace o cestujících obdrží údaje PNR, které tyto informace odhalují, jsou tyto informace okamžitě zlikvidovány. 5. Členské státy zajistí, aby útvar pro informace o cestujících vedl dokumentaci o všech systémech a postupech zpracování, za které nese odpovědnost. Tato dokumentace obsahuje alespoň:
Útvar pro informace o cestujících zpřístupní na žádost veškerou dokumentaci vnitrostátnímu orgánu dohledu.“ |
33 |
Článek 15 této směrnice, nadepsaný „Vnitrostátní orgán dohledu“, stanoví: „1. Každý členský stát stanoví, že vnitrostátní orgán dohledu uvedený v článku 25 rámcového rozhodnutí [2008/977] je odpovědný za poskytování poradenství a sledování toho, jak jsou předpisy přijaté členskými státy podle této směrnice uplatňovány na jeho území. Použije se článek 25 rámcového rozhodnutí [2008/977]. 2. Tyto vnitrostátní orgány dohledu vykonávají svou činnost podle odstavce 1 tak, aby byla chráněna základní práva týkající se zpracování osobních údajů. 3. Každý vnitrostátní orgán dohledu:
4. Je-li o to požádán, každý vnitrostátní orgán dohledu poskytuje kterémukoliv subjektu údajů poradenství při výkonu práv vyplývajících z předpisů přijatých na základě této směrnice.“ |
34 |
Článek 19 uvedené směrnice, nadepsaný „Přezkum“, stanoví: „1. Na základě informací poskytnutých členskými státy, včetně statistických informací uvedených v čl. 20 odst. 2, provede Komise do 25. května 2020 přezkum všech prvků této směrnice a předloží a představí zprávu Evropskému parlamentu a Radě [Evropské unie]. 2. Při provádění přezkumu věnuje Komise zvláštní pozornost:
3. Zpráva uvedená v odstavci 1 rovněž zahrnuje přezkum týkající se nezbytnosti, přiměřenosti a účinnosti shromažďování, včetně v oblasti působnosti této směrnice, povinného předávání údajů PNR, pokud jde o všechny nebo o vybrané lety uvnitř EU. Komise zohlední zkušenosti získané členskými státy, zejména těmi, které uplatňují tuto směrnici na lety uvnitř EU podle článku 2. Zpráva rovněž posoudí nezbytnost začlenění hospodářských subjektů, které nejsou leteckými dopravci, jako jsou například cestovní agentury nebo kanceláře, které poskytují služby související s cestovním ruchem, včetně rezervací letů, do oblasti působnosti této směrnice. 4. Komise případně s ohledem na přezkum provedený podle tohoto článku předloží Evropskému parlamentu a Radě legislativní návrh na změnu této směrnice.“ |
35 |
Článek 21 téže směrnice, nadepsaný „Vztah k jiným nástrojům“, v odstavci 2 stanoví: „Touto směrnicí není dotčena použitelnost směrnice [95/46] na zpracování osobních údajů leteckými dopravci.“ |
36 |
Příloha I směrnice PNR, nadepsaná „Údaje PNR shromažďované leteckými dopravci“, stanoví:
|
37 |
Příloha II této směrnice, nadepsaná „Seznam trestných činů podle čl. 3 bodu 9“, zní následovně:
|
7. Rámcové rozhodnutí 2002/475
38 |
Článek 1 rámcového rozhodnutí 2002/475 vymezil pojem „teroristické trestné činy“ výčtem úmyslných jednání, uvedených v písm. a) až i) téhož článku, spáchaných s cílem „závažným způsobem zastrašit obyvatelstvo“, „protiprávně přinutit vládu nebo mezinárodní organizaci, aby jednala určitým způsobem nebo aby se jednání zdržela“, nebo „závažným způsobem destabilizovat či zničit základní politické, ústavní, hospodářské nebo sociální struktury země nebo mezinárodní organizace“. Články 2 a 3 tohoto rámcového rozhodnutí vymezovaly pojmy „trestné činy spojené s teroristickými skupinami“ a „trestné činy spojené s teroristickými činnostmi“. Článek 4 uvedeného rámcového rozhodnutí upravil návod, pokus a pomoc k trestnému činu. |
39 |
Rámcové rozhodnutí 2002/475 bylo zrušeno směrnicí Evropského parlamentu a Rady (EU) 2017/541 ze dne 15. března 2017 o boji proti terorismu, kterou se nahrazuje rámcové rozhodnutí 2002/475 a mění rozhodnutí Rady 2005/671/SVV (Úř. věst. 2017, L 88, s. 6), jehož články 3 až 14 obsahují obdobné definice. |
B. Belgické právo
1. Ústava
40 |
Článek 22 Ústavy stanoví: „Každý má právo na respektování svého soukromého a rodinného života, vyjma případů a podmínek stanovených zákonem. Zákon, nařízení nebo pravidlo uvedené v článku 134 zaručují ochranu tohoto práva.“ |
2. Zákon ze dne 25. prosince 2016
41 |
Článek 2 loi du 25 décembre 2016, relative au traitement des données des passagers (zákon ze dne 25. prosince 2016 o zpracování údajů o cestujících, Moniteur belge ze dne 25. ledna 2017, s. 12905, dále jen „zákon ze dne 25. prosince 2016“), zní následovně: „Tento zákon a královské vyhlášky, které budou přijaty k provedení tohoto zákona, provádějí [směrnici API] a [směrnici PNR]. Tento zákon a královská vyhláška týkající se námořního odvětví částečně provádějí směrnici [2010/65].“ |
42 |
Článek 3 tohoto zákona stanoví: „§ l. Tento zákon stanoví povinnosti dopravců a poskytovatelů cestovních služeb související s předáváním údajů o cestujících, kteří jsou přepravováni na vnitrostátní území, z vnitrostátního území nebo přes něj. § 2. Král stanoví vyhláškou schválenou Radou ministrů v odvětví dopravy a u poskytovatelů cestovních služeb údaje o cestujících, které se předávají, a podmínky jejich předání po stanovisku Komise na ochranu soukromého života.“ |
43 |
Článek 4 uvedeného zákona stanoví: „Pro účely použití tohoto zákona a jeho prováděcích vyhlášek se rozumí: […]
[…]“ |
44 |
Článek 8 zákona ze dne 25. prosince 2016 stanoví: „§ l. Údaje o cestujících se zpracovávají pro účely:
[…]
§ 2. Za podmínek stanovených v kapitole 11 se údaje o cestujících rovněž zpracovávají za účelem zlepšení kontrol osob na vnějších hranicích a za účelem boje proti nedovolenému přistěhovalectví.“ |
45 |
Článek 14 § 1 tohoto zákona stanoví: „Útvar pro informace o cestujících se skládá: […] 2° z členů vyslaných následujícími odbornými orgány:
[…]“ |
46 |
Článek 24 uvedeného zákona, který je obsažen v oddíle 1, nadepsaném „Zpracování údajů o cestujících v rámci předběžného posuzování cestujících“, kapitoly 10 téhož zákona o zpracování údajů, zní následovně: „§ 1. Údaje cestujících se zpracovávají za účelem provedení předběžného posuzování cestujících před jejich příjezdem, odjezdem nebo jejich plánovaným průjezdem na území státu, aby bylo možné určit, které osoby musí být podrobeny důkladnému posouzení. 2. V rámci cílů uvedených v čl. 8 § l bodech 1°, 4° a 5° nebo cílů týkajících se hrozeb uvedených v čl. 8 bodě 1° písm. a), b), c), d), f) a g) a v čl. 11 § 2 loi du 30 novembre 1998 organique des services de renseignement et de sécurité (zákon ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách) vychází předběžné posuzování cestujících z pozitivní shody, která vyplývá z porovnání údajů o cestujících s:
§ 3 V rámci cílů uvedených v čl. 8 § 1 bodě 3° vychází předběžné posuzování z pozitivní shody, která vyplývá z porovnání údajů o cestujících s databázemi uvedenými v § 2 bodě 1°. § 4 Pozitivní shodu potvrdí Útvar pro informace o cestujících do 24 hodin po obdržení automatizovaného oznámení pozitivní shody. § 5 Od okamžiku tohoto potvrzení příslušný orgán, který je autorem této pozitivní shody, přijme co nejrychleji potřebné kroky.“ |
47 |
Kapitola 11 zákona ze dne 25. prosince 2016, nadepsaná „Zpracování údajů o cestujících za účelem zlepšení kontroly na hranicích a boje proti nedovolenému přistěhovalectví“, obsahuje články 28 až 31 tohoto zákona. |
48 |
Článek 28 tohoto zákona stanoví: „§ 1. Tato kapitola se vztahuje na zpracování údajů o cestujících policejními službami odpovědnými za ochranu hranic a cizineckým úřadem za účelem zlepšení kontrol osob na vnějších hranicích a boje proti nedovolenému přistěhovalectví. 2. Uplatňuje se, aniž jsou dotčeny povinnosti policejních služeb odpovědných za ochranu hranic a cizineckého úřadu předávat osobní údaje nebo informace podle právních nebo správních předpisů.“ |
49 |
Článek 29 uvedeného zákona zní: „§ 1 Pro účely uvedené v čl. 28 § 1 se údaje o cestujících předávají policejním službám odpovědným za hraniční kontrolu a cizineckému úřadu, aby mohly plnit své zákonné povinnosti v mezích stanovených v tomto článku. § 2 Předávají se pouze údaje o cestujících uvedené v čl. 9 § 1 bodě 18° týkající se těchto kategorií cestujících:
§ 3 Údaje o cestujících uvedené v § 2 se předávají policejním službám odpovědným za kontrolu vnějších hranic Belgie bezprostředně po jejich zaznamenání v databázi údajů o cestujících. Tyto služby uchovávají tyto údaje v dočasném souboru a zničí je do 24 hodin od jejich předání. § 4 Pokud je potřebuje pro výkon svých zákonných povinností, předá údaje o cestujících uvedené v § 2 cizineckému úřadu neprodleně po jejich zaznamenání v databázi údajů o cestujících. Cizinecký úřad uchovává tyto údaje v dočasném souboru a zničí je do 24 hodin od jejich předání. Pokud je po uplynutí této lhůty přístup k údajům o cestujících uvedeným v § 2 nezbytný pro plnění jeho zákonných úkolů, zašle Cizinecký úřad řádně odůvodněnou žádost Útvaru pro informace o cestujících. […]“ |
50 |
Zákon ze dne 25. prosince 2016 se na letecké společnosti, dopravce poskytující služby mezinárodní přepravy cestujících (dopravci HST) a zprostředkovatele cestovních služeb, kteří mají s těmito dopravci uzavřenou smlouvu (distributoři jízdenek HST), jakož i na autobusové dopravce, resp. na letecké dopravce, začal vztahovat na základě arrêté royal du 18 juillet 2017 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les compagnies aériennes (královská vyhláška ze dne 18. července 2017 o provedení zákona ze dne 25. prosince 2016, která přebírá povinnosti leteckých společností, Moniteur belge ze dne 28. července 2017, s. 75934), arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs HST et distributeurs de tickets HST (královská vyhláška ze dne 3. února 2019 o provedení zákona ze dne 25. prosince 2016, která přebírá povinnosti dopravců HST a distributorů jízdenek HST, Moniteur belge ze dne 12. února 2019, s. 13018), a arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs par bus (královská vyhláška ze dne 3. února 2019 o provedení zákona ze dne 25. prosince 2016, která přebírá povinnosti autobusových dopravců, Moniteur belge ze dne 12. února 2019, s. 13023). |
II. Spor v původním řízení a předběžné otázky
51 |
Návrhem ze dne 24. července 2017 podala Ligue des droits humains ke Cour constitutionnelle (Ústavní soud, Belgie) žalobu znějící na úplné nebo částečné zrušení zákona ze dne 25. prosince 2016. |
52 |
Předkládající soud uvádí, že tento zákon provádí do vnitrostátního práva směrnici PNR a směrnici API a částečně i směrnici 2010/65. Z přípravných prací k uvedenému zákonu vyplývá, že jeho cílem je „vytvořit právní rámec, který bude vyžadovat, aby různá odvětví mezinárodní osobní dopravy (letecká, železniční, mezinárodní silniční a námořní) a poskytovatelé cestovních služeb předávali údaje o svých cestujících do databáze spravované [Service public fédéral intérieur (federální ministerstvo vnitra, Belgie)]“. Vnitrostátní zákonodárce rovněž upřesnil, že účely zákona ze dne 25. prosince 2016 spadají do tří kategorií, a to zaprvé prevence, odhalování, vyšetřování a stíhání trestných činů nebo výkon trestů, zadruhé úkoly zpravodajských a bezpečnostních služeb a zatřetí zlepšení kontroly vnějších hranic a boj proti nedovolenému přistěhovalectví. |
53 |
Na podporu své žaloby Ligue des droits humains předkládá dva žalobní důvody, z nichž první vychází z porušení článku 22 Ústavy ve spojení s článkem 23 GDPR, s články 7, 8 a čl. 52 odst. 1 Listiny, jakož i s článkem 8 EÚLP, a, druhý, dovolávaný podpůrně, z porušení tohoto článku 22, ve spojení s čl. 3 odst. 2 SEU a s článkem 45 Listiny. |
54 |
Prvním žalobním důvodem Ligue des droits humains v podstatě tvrdí, že tento zákon implikuje zásah do práva na respektování soukromého života a do práva na ochranu osobních údajů, který není v souladu s čl. 52 odst. 1 Listiny a zejména se zásadou proporcionality. Působnost uvedeného zákona a definice shromažďovaných údajů, které mohou vést k odhalování citlivých údajů, jsou totiž příliš široké. Stejně tak pojem „cestující“ ve smyslu téhož zákona umožňuje systematické necílené zpracování údajů o všech cestujících. Kromě toho povaha a způsob metody pre-screeningu, jakož i databáze, se kterými jsou tyto údaje srovnávány, jakmile jsou předány, nejsou dostatečně jasně stanoveny. Zákon ze dne 25. prosince 2016 kromě toho sleduje jiné cíle, než jsou cíle směrnice PNR. Konečně, pětiletá doba uchovávání uvedených údajů stanovená tímto zákonem je nepřiměřená. |
55 |
Ve druhém žalobním důvodu, který se týká čl. 3 § 1, čl. 8 § 2 a článků 28 až 31 zákona ze dne 25. prosince 2016, Ligue des droits humains tvrdí, že rozšířením systému stanoveného směrnicí PNR na dopravu uvnitř EU dochází v důsledku těchto ustanovení k nepřímému obnovení kontrol na vnitřních hranicích, které jsou v rozporu s volným pohybem osob. Jakmile se totiž osoba nachází na belgickém území, ať už při příjezdu, odjezdu nebo mezipřistání, její údaje budou automaticky shromažďovány. |
56 |
Rada ministrů tuto argumentaci zpochybňuje. Domnívá se zejména, že první žalobní důvod je nepřípustný, neboť se týká GDPR, které se na zákon ze dne 25. prosince 2016 nepoužije. Zpracování údajů stanovené tímto zákonem v souladu se směrnicí PNR kromě toho představuje zásadní nástroj zejména v rámci boje proti terorismu a závažné trestné činnosti a opatření vyplývající z tohoto zákona jsou nezbytná k dosažení sledovaných cílů a jsou přiměřená. |
57 |
Pokud jde o první žalobní důvod, předkládající soud se nejprve zabývá použitelností ochrany stanovené GDPR na zpracování údajů zavedené zákonem ze dne 25. prosince 2016, který má v zásadě provést směrnici PNR. Tento soud poté s odkazem na judikaturu vyplývající z posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592) uvádí, že definice údajů PNR obsažená v čl. 3 odst. 5 této směrnice a v její příloze I nemusí být dostatečně jasná a přesná vzhledem k demonstrativní povaze popisu některých z těchto údajů obsaženého v těchto ustanoveních a může nepřímo vést k odhalování citlivých údajů. Definice pojmu „cestující“ v čl. 3 odst. 4 uvedené směrnice by navíc mohla vést k tomu, že shromažďování, předávání, zpracovávání a uchovávání údajů PNR jsou obecné a nerozlišující povinnosti, které se vztahují na jakoukoli osobu, která je nebo má být přepravována a je uvedena na seznamu cestujících, bez ohledu na existenci vážných důvodů domnívat se, že tato osoba spáchala nebo se chystá spáchat trestný čin nebo že byla shledána vinnou z trestného činu. |
58 |
Uvedený soud dále poznamenává, že údaje PNR jsou v souladu s ustanoveními směrnice PNR systematicky podrobovány předběžnému posouzení zahrnujícímu křížovou kontrolu s předem stanovenými databázemi nebo kritérii s cílem zjistit shodu. Poradní výbor Rady Evropy k Úmluvě č. 108 přitom ve svém stanovisku ze dne 19. srpna 2016 k důsledkům zpracování údajů o cestujících pro ochranu údajů [T-PD(2016)18rev] uvedl, že zpracování osobních údajů se týká všech cestujících, a nikoli pouze cílových osob podezřelých z účasti na trestném činu nebo z bezprostředního ohrožení národní bezpečnosti nebo veřejného pořádku, a že údaje PNR mohou být nejen porovnávány (data matching) s databázemi, ale také zpracovávány pomocí vytěžování údajů (data mining) s využitím selektorů nebo prediktivních algoritmů s cílem identifikovat každého, kdo by mohl být zapojen do trestné činnosti nebo se jí účastnit, neboť takové posuzování cestujících pomocí porovnávání údajů může vyvolat otázky ohledně předvídatelnosti, zejména pokud je prováděno na základě prediktivních algoritmů využívajících dynamická kritéria, která se mohou průběžně vyvíjet podle svých schopností samoučení. V této souvislosti má předkládající soud za to, že ačkoli předem stanovená kritéria pro určení rizikových profilů musí být konkrétní, spolehlivá a nediskriminační, v souladu s posudkem 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592) se zdá být technicky nemožné tato kritéria dále vymezit. |
59 |
Pokud jde o pětiletou dobu uchovávání a přístup k údajům podle článku 12 směrnice PNR, tento soud uvádí, že Komise pro ochranu soukromí (Belgie) se ve svém stanovisku z vlastní iniciativy č. 01/2010 ze dne 13. ledna 2010 k návrhu zákona, kterým se schvaluje dohoda PNR mezi EU a USA měla za to, že pokud je doba uchovávání dlouhá a údaje jsou uchovávány ve velkém množství, zvyšuje se riziko profilování subjektů údajů, jakož i riziko zneužití těchto údajů k jiným než původně zamýšleným účelům. Ze stanoviska poradního výboru k Úmluvě Rady Evropy č. 108 ze dne 19. srpna 2016 dále vyplývá, že maskované údaje stále umožňují identifikaci osob, a zůstávají tedy osobními údaji, a že jejich uchovávání musí být časově omezeno, aby se zabránilo všeobecnému trvalému sledování. |
60 |
Za těchto podmínek se s ohledem na judikaturu vycházející zejména z posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592) předkládající soud zabývá otázkou, zda lze systém shromažďování, předávání, zpracování a uchovávání údajů PNR zavedený směrnicí PNR považovat za systém v mezích toho, co je nezbytně nutné. Tento soud má za to, že je rovněž třeba určit, zda tato směrnice brání vnitrostátním právním předpisům, které povolují zpracování údajů PNR za jiným účelem, než jsou účely stanovené v uvedené směrnici, a zda zpřístupnění všech těchto údajů po jejich depersonalizaci podle článku 12 téže směrnice může schválit takový vnitrostátní orgán, jako je Útvar pro informace o cestujících zřízený zákonem ze dne 25. prosince 2016. |
61 |
Pokud jde o druhý žalobní důvod, předkládající soud uvádí, že čl. 3 § 1 tohoto zákona stanoví povinnosti dopravců a poskytovatelů cestovních služeb související s předáváním údajů o cestujících, kteří jsou přepravováni „na vnitrostátní území, z vnitrostátního území nebo přes něj“. Tento soud dodává, pokud jde o oblast působnosti uvedeného zákona, že vnitrostátní zákonodárce rozhodl o „zahrnutí shromažďování údajů uvnitř EU“ za účelem získání „přesnějšího přehled o cestujících, kteří představují možnou bezpečnostní hrozbu na území EU a na území státu“, což je stanoveno v článku 2 směrnice PNR ve spojení s bodem 10 odůvodnění této směrnice pro lety uvnitř Unie. Uvedený soud dále uvádí, že Komise pro ochranu soukromí ve svém stanovisku č. 55/2015 ze dne 16. prosince 2015 k předběžnému návrhu zákona, na jehož základě byl přijat zákon ze dne 25. prosince 2016, se zabývala možným rozporem mezi belgickým systémem PNR a zásadou volného pohybu osob v rozsahu, v němž tento systém zahrnuje přepravu uvnitř Unie. |
62 |
Za těchto podmínek se Cour constitutionnelle (Ústavní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
|
III. K předběžným otázkám
A. K první otázce
63 |
Podstatou první otázky předkládajícího soudu Soudnímu dvoru je, zda musí být čl. 2 odst. 2 písm. d) a článek 23 GDPR vykládány tak, že se toto nařízení použije na zpracování osobních údajů stanovené vnitrostátními právními předpisy, kterými se do vnitrostátního právního řádu provádí ustanovení směrnice PNR, směrnice API a směrnice 2010/65, zejména na předávání, uchovávání a zpracovaní údajů PNR. |
64 |
Jak vyplývá z čl. 2 odst. 1 GDPR, toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny. Pojem „zpracování“ je vymezen široce v čl. 4 bodu 2 uvedeného nařízení jako zejména shromáždění, zaznamenání, uložení, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení nebo výmaz takových údajů nebo souborů údajů. |
65 |
Belgická vláda však tvrdí, že předávání údajů PNR hospodářskými subjekty Útvaru pro informace o cestujících za účelem prevence a odhalování trestných činů, tak jak je stanoveno v čl. 1 odst. 1 písm. a), čl. 1 odst. 2 a článku 8 směrnice PNR, které představuje „zpracování“ osobních údajů ve smyslu čl. 4 bodu 2 GDPR, jakož i jejich předchozí shromažďování, nespadá do působnosti tohoto nařízení na základě čl. 2 odst. 2 písm. d) uvedeného nařízení, neboť judikatura vycházející z rozsudku ze dne 30. května 2006, Parlament v. Rada a Komise, C‑317/04 a C‑318/04, EU:C:2006:346, body 57 až 59), týkající se čl. 3 odst. 2 první odrážky směrnice 95/46, je použitelná na toto ustanovení uvedeného nařízení. |
66 |
V tomto ohledu je pravda, že, jak Soudní dvůr již konstatoval, čl. 3 odst. 2 první odrážka směrnice 95/46, která byla zrušena a nahrazena GDPR s účinkem ode dne 25. května 2018, obecně vylučoval z oblasti působnosti této směrnice „zpracování, které se týká veřejné bezpečnosti, obrany [a] bezpečnosti státu“, a nerozlišoval podle subjektu, který dotčené zpracování údajů provádí. Na zpracování prováděná soukromými subjekty plynoucí z povinností uložených jim orgány veřejné moci se s ohledem na formulaci tohoto ustanovení, které pokrývá každé zpracování, jehož předmětem je veřejná bezpečnost, obrana nebo bezpečnost státu, a to bez ohledu na subjekt, který takové zpracování provádí, případně mohla vztahovat výjimka stanovená v tomto ustanovení (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 101). |
67 |
Článek 2 odst. 2 písm. d) GDPR však takové rozlišení provádí, neboť, jak uvedl generální advokát v bodech 41 a 46 svého stanoviska, znění tohoto ustanovení jasně prokazuje, že proto, aby se na zpracování údajů vztahovala výjimka, kterou stanoví, je třeba, aby byly splněny dvě podmínky. Zatímco první z těchto podmínek se týká účelů zpracování, a sice prevence, vyšetřování, odhalování či stíhání trestných činů či výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, druhá podmínka se týká subjektu, který toto zpracování provádí, a sice „příslušného orgánu“ ve smyslu uvedeného ustanovení. |
68 |
Jak rovněž konstatoval Soudní dvůr, z čl. 23 odst. 1 písm. d) a h) GDPR vyplývá, že zpracování osobních údajů prováděné za účely uvedenými v čl. 2 odst. 2 písm. d) tohoto nařízení jednotlivci spadá do oblasti jeho působnosti (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 102). |
69 |
Z toho vyplývá, že judikaturu vycházející z rozsudku ze dne 30. května 2006, Parlament v. Rada a Komise (C‑317/04 a C‑318/04, EU:C:2006:346), na kterou se odvolává belgická vláda, nelze použít na výjimku z působnosti GDPR stanovenou v čl. 2 odst. 2 písm. d) tohoto nařízení. |
70 |
Tuto výjimku je třeba mimoto vykládat restriktivně, podobně jako ostatní výjimky z působnosti GDPR uvedené v čl. 2 odst. 2 tohoto nařízení. |
71 |
Jak vyplývá z bodu 19 odůvodnění uvedeného nařízení, uvedená výjimka je odůvodněna tím, že na zpracování osobních údajů, které provádí příslušné orgány za účely zejména prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, se vztahuje konkrétnější unijní akt, a sice směrnice 2016/680, která byla přijata ve stejný den jako GDPR [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 69]. |
72 |
Jak kromě toho stanoví body 9 až 11 odůvodnění směrnice 2016/680, tato směrnice stanoví zvláštní pravidla pro ochranu fyzických osob v souvislosti s takovým zpracováním, přičemž respektuje specifickou povahu těchto činností v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, zatímco GDPR vymezuje obecná pravidla pro ochranu těchto osob, která se mají vztahovat na taková zpracování v případech, kdy se konkrétnější akt, kterým je směrnice 2016/680, nepoužije. Podle bodu 11 odůvodnění této směrnice se zejména GDPR použije na zpracování osobních údajů prováděné „příslušným orgánem“ ve smyslu čl. 3 odst. 7 zmíněné směrnice, ale pro jiné účely, než jsou účely uvedené v této směrnici [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 70]. |
73 |
Pokud jde o první podmínku uvedenou v bodě 67 tohoto rozsudku, a konkrétně o účely, které sleduje zpracování osobních údajů stanovené směrnicí PNR, je třeba připomenout, že v souladu s čl. 1 odst. 2 této směrnice lze údaje PNR zpracovávat pouze za účelem prevence a odhalování trestných činů a závažné trestné činnosti, jakož i vyšetřování a stíhání v této oblasti. Tyto účely spadají pod účely uvedené v čl. 2 odst. 2 písm. d) GDPR a v čl. 1 odst. 1 směrnice 2016/680, takže na tato zpracování se může vztahovat výjimka uvedená v čl. 2 odst. 2 písm. d) tohoto nařízení, a tudíž působnost této směrnice. |
74 |
Tak tomu naopak není v případě zpracování stanovených směrnicí API a směrnicí 2010/65, jejichž účely jsou jiné než účely stanovené v čl. 2 odst. 2 písm. d) GDPR a čl. 1 odst. 1 směrnice 2016/680. |
75 |
Pokud jde totiž o směrnici API, jejím cílem je zlepšení hraničních kontrol a boj proti nedovolenému přistěhovalectví, jak vyplývá z bodů 1, 7 a 9 odůvodnění, jakož i z článku 1 této směrnice, a to prostřednictvím předchozího předávání údajů o cestujících dopravci příslušným vnitrostátním orgánům. Z několika bodů odůvodnění a ustanovení této směrnice ostatně vyplývá, že zpracování údajů stanovené za účelem jejího provedení spadají do působnosti GDPR. Bod 12 odůvodnění uvedené směrnice tak stanoví, že „směrnice [95/46] je použitelná na zpracovávání osobních údajů orgány členských států“. Mimoto čl. 6 odst. 1 pátý pododstavec směrnice API stanoví, že „s ohledem na ustanovení o ochraně údajů obsažená ve směrnici [95/46]“ mohou členské státy použít údaje API rovněž pro účely vynucování práva, přičemž tento výraz je rovněž použit v třetím pododstavci tohoto ustanovení. Stejně tak je použit zejména v bodě 9 odůvodnění směrnice API výraz „aniž je dotčena směrnice [95/46]“. Konečně čl. 6 odst. 2 směrnice API stanoví, že cestující musí být informováni dopravci „v souladu se směrnicí [95/46]“. |
76 |
Pokud jde o směrnici 2010/65, z bodu 2 odůvodnění a z čl. 1 odst. 1 této směrnice vyplývá, že účelem této směrnice je zjednodušit a harmonizovat správní postupy používané v námořní dopravě standardizací elektronického předávání informací a racionalizací ohlašovacích formalit v zájmu usnadnění námořní dopravy a omezení administrativní zátěže pro společnosti provozující lodní dopravu. Článek 8 odst. 2 uvedené směrnice přitom potvrzuje, že zpracování údajů stanovené za účelem jejího provedení spadají do působnosti GDPR, jelikož toto ustanovení členským státům ukládá, aby dbaly u osobních údajů na to, aby dodržovaly směrnici 95/46. |
77 |
Z toho vyplývá, že zpracování údajů stanovené vnitrostátními právními předpisy, které provádějí ustanovení směrnice API a směrnice 2010/65 do vnitrostátního práva, spadá do působnosti GDPR. Naopak zpracování údajů stanovené vnitrostátními právními předpisy, kterými byla do vnitrostátního práva provedena směrnice PNR, se může vyhnout použití tohoto nařízení v souladu s výjimkou uvedenou v čl. 2 odst. 2 písm. d) tohoto nařízení, pokud je splněna druhá podmínka připomenutá v bodě 67 tohoto rozsudku, a sice že subjekt, který zpracování provádí, je příslušným orgánem ve smyslu tohoto ustanovení. |
78 |
Pokud jde o tuto druhou podmínku, Soudní dvůr rozhodl, že jelikož směrnice 2016/680 v čl. 3 odst. 7 definuje pojem „příslušný orgán“, musí být taková definice obdobně použita i na čl. 2 odst. 2 písm. d) GDPR [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 69]. |
79 |
Na základě článků 4 a 7 směrnice PNR přitom musí každý členský stát určit jako svůj útvar pro informace o cestujících příslušný orgán pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti a přijmout seznam příslušných orgánů oprávněných požadovat po útvaru pro informace o cestujících nebo přijímat od něj údaje PNR nebo výsledek zpracování těchto údajů, přičemž tyto orgány jsou rovněž příslušnými orgány v dané oblasti, jak je upřesněno v čl. 7 odst. 2 uvedené směrnice. |
80 |
Z těchto skutečností vyplývá, že zpracování údajů PNR prováděné útvarem pro informace o cestujících a uvedenými příslušnými orgány pro tyto účely splňuje obě podmínky uvedené v bodě 67 tohoto rozsudku, takže tato zpracování spadají vedle ustanovení samotné směrnice PNR do působnosti směrnice 2016/680, a nikoli GDPR, což ostatně potvrzuje bod 27 odůvodnění směrnice PNR. |
81 |
Naproti tomu, jelikož hospodářské subjekty, jako jsou letečtí dopravci, i když mají zákonnou povinnost předávat údaje PNR, nejsou touto směrnicí pověřeny výkonem veřejné moci ani jim nejsou svěřeny výsady veřejné moci, nelze tyto subjekty považovat za příslušné orgány ve smyslu čl. 3 odst. 7 směrnice 2016/680 a čl. 2 odst. 2 písm. d) GDPR, takže shromažďování a předávání těchto údajů leteckými dopravci útvaru pro informace o cestujících spadá do působnosti tohoto nařízení. Stejný závěr platí v situaci, kterou stanoví zákon ze dne 25. prosince 2016, kdy shromažďování a předávání uvedených údajů provádějí jiní dopravci nebo poskytovatelé cestovních služeb. |
82 |
Předkládající soud se nakonec zabývá tím, jaký dopad by mělo případné přijetí vnitrostátních právních předpisů k provedení ustanovení směrnice PNR, směrnice API a směrnice 2010/65, jako je zákon ze dne 25. prosince 2016. V tomto ohledu je třeba připomenout, že jak vyplývá z bodů 72 a 75 až 77 tohoto rozsudku, zpracování údajů stanovené dvěma posledně uvedenými směrnicemi spadá do působnosti GDPR, které obsahuje obecná pravidla pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů. |
83 |
Pokud tedy zpracování údajů prováděné na základě těchto právních předpisů spadá pod směrnici API nebo směrnici 2010/65, vztahuje se na toto zpracování GDPR. Totéž platí pro zpracování údajů prováděné na stejném základě a spadající z hlediska účelu vedle směrnice PNR rovněž pod směrnici API nebo směrnici 2010/65. Konečně, pokud zpracování údajů prováděné na základě stejných právních předpisů spadá z hlediska svého účelu pouze do působnosti směrnice PNR, použije se GDPR, pokud se jedná o shromažďování a předávání údajů PNR útvaru pro informace o cestujících leteckými dopravci. Naproti tomu, pokud takové zpracování provádí útvar pro informace o cestujících nebo příslušné orgány pro účely uvedené v čl. 1 odst. 2 směrnice PNR, vztahuje se na takové zpracování vedle vnitrostátního práva také směrnice 2016/680. |
84 |
S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět tak, že čl. 2 odst. 2 písm. d) a článek 23 RGPD musí být vykládány v tom smyslu, že se toto nařízení vztahuje na zpracování osobních údajů stanovené vnitrostátními právními předpisy, které provádějí do vnitrostátního práva současně ustanovení směrnice API, směrnice 2010/65 a směrnice PNR, pokud jde o zpracování údajů prováděná soukromými subjekty a o zpracování údajů prováděná orgány veřejné moci, která spadají pouze či rovněž do působnosti směrnice API nebo směrnice 2010/65. Naproti tomu se uvedené nařízení nevztahuje na zpracování údajů stanovená takovými právními předpisy, která spadají pouze pod směrnici PNR a která provádí útvar pro informace o cestujících nebo příslušné orgány pro účely uvedené v čl. 1 odst. 2 této směrnice. |
B. K druhé až čtvrté a šesté otázce
85 |
Podstatou druhé až čtvrté a šesté otázky předkládajícího soudu Soudnímu dvoru, které je třeba přezkoumat společně, je platnost směrnice PNR s ohledem na články 7 a 8, jakož i čl. 52 odst. 1 Listiny. Tyto otázky se týkají zejména:
|
86 |
Úvodem je třeba připomenout, že podle obecné interpretační zásady musí být předpis unijního práva vykládán v co největším možném rozsahu způsobem, který nezpochybní jeho platnost, a v souladu s veškerým primárním právem, zejména s ustanoveními Listiny. Je-li tedy možný více než jeden výklad znění předpisu sekundárního unijního práva, je třeba dát přednost výkladu, v rámci něhož je ustanovení v souladu s primárním právem, před výkladem, který vede ke zjištění, že ustanovení je s primárním právem neslučitelné (rozsudek ze dne 2. února 2021, Consob, C‑481/19, EU:C:2021:84, bod 50 a citovaná judikatura). |
87 |
Mimoto podle ustálené judikatury platí, že pokud ustanovení směrnice ponechávají členským státům prostor pro volné uvážení k vymezení prováděcích opatření, která budou přizpůsobena různým myslitelným situacím, musí členské státy při provádění těchto opatření nejenže vykládat své vnitrostátní právo v souladu se směrnicí, o kterou se jedná, ale musí rovněž dbát na to, aby se neopíraly o výklad této směrnice, který koliduje se základními právy chráněnými právním řádem Unie nebo s jinými obecnými zásadami uznanými v tomto právním řádu [v tomto smyslu viz rozsudky ze dne 15. února 2016, N., C‑601/15 PPU, EU:C:2016:84, bod 60 a citovaná judikatura, jakož i ze dne 16. července 2020, État belge (Sloučení rodiny – Nezletilé dítě), C‑133/19, C‑136/19 a C‑137/19, EU:C:2020:577, bod 33 a citovaná judikatura]. |
88 |
Pokud jde o směrnici PNR, je třeba uvést, že zejména body 15, 20, 22, 25, 36 a 37 odůvodnění této směrnice zdůrazňují význam, který unijní normotvůrce přikládá s odkazem na vysokou úroveň ochrany údajů plnému dodržování základních práv zakotvených v článcích 7, 8 a 21 Listiny a zásady proporcionality, takže, jak stanoví bod 36 odůvodnění, tato směrnice „by měla být odpovídajícím způsobem provedena“. |
89 |
Zejména bod 22 odůvodnění směrnice PNR zdůrazňuje, že „[u]platňování této směrnice by mělo zajistit plné respektování základních práv, práva na soukromí a zásady proporcionality, a to při plném zohlednění zásad stanovených v nedávné příslušné judikatuře [Soudního dvora]“ a „mělo by být ve skutečném souladu s cíli nezbytnosti a přiměřenost[i], aby bylo dosaženo obecných zájmů uznaných Unií, a mělo by naplňovat potřebu ochrany práv a svobod ostatních v boji proti teroristickým trestným činům a závažné trestné činnosti“. Tento bod odůvodnění dodává, že toto uplatňování „by mělo být řádně odůvodněno a měly by být zavedeny nezbytné záruky, které zajistí zákonnost veškerého uchovávání, analýz, předávání a využívání údajů PNR“. |
90 |
Kromě toho čl. 19 odst. 2 směrnice PNR ukládá Komisi při provádění přezkumu této směrnice věnovat zvláštní pozornost „dodržování platných standardů ochrany osobních údajů“, „nezbytnosti a přiměřenosti shromažďování a zpracování údajů PNR pro účely stanovené v této směrnici“, jakož i „délce doby uchovávání údajů“. |
91 |
Je tedy třeba ověřit, zda lze směrnici PNR v souladu s tím, jak vyžadují zejména její body odůvodnění a ustanovení uvedená v bodech 88 až 90 tohoto rozsudku, vykládat způsobem, který zajišťuje plné dodržování základních práv zaručených články 7 a 8 Listiny a zásady proporcionality zakotvené v čl. 52 odst. 1 Listiny. |
1. K zásahům vyplývajícím ze směrnice PNR do základních práv zaručených v článcích 7 a 8 Listiny
92 |
Článek 7 Listiny zaručuje každému právo na respektování soukromého a rodinného života, obydlí a komunikace, zatímco čl. 8 odst. 1 Listiny přiznává každému právo na ochranu osobních údajů, které se ho týkají. |
93 |
Jak vyplývá z čl. 3 bodu 5 směrnice PNR a z výčtu obsaženého v příloze I k této směrnici, údaje PNR dotčené touto směrnicí zahrnují zejména kromě jména (jmen) cestujícího (cestujících) v letecké dopravě také informace nezbytné pro rezervaci, jako jsou dny zamýšlené cesty a cestovní trasa, informace o letence, skupiny osob rezervované pod stejným rezervačním číslem, kontaktní údaje cestujícího (cestujících), informace o způsobech platby nebo o zúčtování, informace o zavazadlech a obecné poznámky ve vztahu k cestujícím. |
94 |
Vzhledem k tomu, že údaje PNR tedy zahrnují informace o identifikovaných fyzických osobách, tj. o dotčených cestujících v letecké dopravě, dotýkají se různé možné způsoby zpracování těchto údajů základního práva na respektování soukromého života zaručeného v článku 7 Listiny [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 121 a 122, jakož i citovaná judikatura]. |
95 |
Mimoto takové způsoby zpracování údajů PNR, jako jsou způsoby uvedené ve směrnici PNR, spadají i pod článek 8 Listiny, protože představují zpracování osobních údajů ve smyslu tohoto článku, a musejí tedy nutně splňovat požadavky na ochranu údajů stanovené v tomto článku [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 123 a citovaná judikatura]. |
96 |
Podle ustálené judikatury přitom platí, že sdělování osobních údajů třetí straně, například veřejnému orgánu, je zásahem do základních práv zakotvených v článcích 7 a 8 Listiny, bez ohledu na následné využití sdělených informací. Totéž platí pro uchovávání osobních údajů a pro jejich zpřístupňování za účelem jejich využití veřejnými orgány. V tomto ohledu není důležité, zda dotyčné informace o soukromém životě představují citlivé údaje nebo zda dotyčné osoby utrpěly z důvodu tohoto zásahu případné nepříznivé následky [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 124 a 126, jakož i citovaná judikatura]. |
97 |
Jak předávání údajů PNR leteckými dopravci útvaru pro informace o cestujících dotčeného členského státu, stanovené v čl. 1 odst. 1 písm. a) směrnice PNR ve spojení s článkem 8 této směrnice, tak i úprava podmínek pro uchovávání těchto údajů, jejich použití a jejich případné následné předání příslušným orgánům tohoto členského státu, útvarům pro informace o cestujících a příslušným orgánům ostatních členských států, Europolu nebo orgánům třetích zemí, která umožňují zejména články 6, 7, 9 a 10 až 12 této směrnice, tedy představují zásah do práv zaručených články 7 a 8 Listiny. |
98 |
V souvislosti se závažností tohoto zásahu je třeba uvést zaprvé, že směrnice PNR na základě čl. 1 odst. 1 písm. a) ve spojení s článkem 8 stanoví, že údaje PNR o všech cestujících využívajících let mimo EU ve smyslu čl. 3 bodu 2 této směrnice, mezi třetími zeměmi a Unií, musí být útvarům pro informace o cestujících předávány systematicky a plynule. Jak uvedl generální advokát v bodě 73 svého stanoviska, během takového předávání musí mít útvary pro informace o cestujících obecný přístup ke všem sdělovaným údajům PNR, které se týkají všech osob využívajících služeb letecké dopravy, bez ohledu na následné využití těchto údajů. |
99 |
Zadruhé článek 2 směrnice PNR v odstavci 1 stanoví, že se členské státy mohou rozhodnout používat tuto směrnici na lety uvnitř EU ve smyslu čl. 3 bodu 3 této směrnice, a v odstavci 2 upřesňuje, že v tomto případě „se použijí všechna ustanovení této směrnice na lety uvnitř EU, jako by se jednalo o lety mimo EU, a na údaje PNR na letech uvnitř EU, jakoby se jednalo o údaje PNR na letech mimo EU“. |
100 |
Zatřetí, i když některé z údajů PNR uvedené v příloze I směrnice PNR, tak jak jsou shrnuty v bodě 93 tohoto rozsudku, patrně samy o sobě nemohou být konkrétními informacemi o soukromém životě dotčených osob, nic to nemění na tom, že tyto údaje jako celek mohou mimo jiné odhalit kompletní cestovní trasu, cestovní návyky, vztahy mezi dvěma či více osobami a informace o finanční situaci cestujících v letecké dopravě, o jejich stravovacích návycích nebo jejich zdravotním stavu, a mohly by dokonce odhalit takové citlivé informace o těchto cestujících [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 128]. |
101 |
Začtvrté podle čl. 6 odst. 2 písm. a) a b) směrnice PNR údaje předávané leteckými dopravci mají podléhat nejen předběžnému posuzování před plánovaným příletem nebo odletem cestujících, ale také následnému posuzování. |
102 |
Pokud jde o předběžné posuzování, z čl. 6 odst. 2 písm. a) a odst. 3 směrnice PNR vyplývá, že toto posuzování provádějí útvary pro informace o cestujících členských států systematicky a automatizovaně, tj. průběžně a bez ohledu na to, zda existuje nějaký náznak rizika zapojení dotyčných osob do teroristických trestných činů nebo závažné trestné činnosti. Za tímto účelem tato ustanovení stanoví, že údaje PNR mohou být porovnány s „databázemi, jež mají význam“ a zpracovávány na základě „předem stanovených kritérií“. |
103 |
V této souvislosti je třeba připomenout, že Soudní dvůr již rozhodl, že rozsah zásahu do práv zakotvených v článcích 7 a 8 Listiny, který s sebou přinášejí automatizované analýzy údajů PNR, závisí hlavně na předem stanovených vzorcích a kritériích, jakož i na databázích, na nichž se tento typ zpracovávání údajů zakládá [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 172]. |
104 |
Jak přitom uvedl generální advokát v bodě 78 svého stanoviska, zpracování stanovené v čl. 6 odst. 3 písm. a) směrnice PNR, tj. porovnání údajů PNR s „databázemi, jež mají význam“, může poskytnout dodatečné informace o soukromí cestujících v letecké dopravě a umožnit vyvodit v tomto ohledu velmi přesné závěry. |
105 |
Pokud jde o zpracování údajů PNR na základě „předem stanovených kritérií“, stanovené v čl. 6 odst. 3 písm. b) směrnice PNR, je pravda, že čl. 6 odst. 4 této směrnice požaduje, aby posouzení cestujících na základě těchto kritérií bylo provedeno nediskriminačním způsobem a zejména nebylo založené na celé řadě charakteristik, které jsou uvedeny v poslední větě tohoto odstavce 4. Kritéria musí být mimoto cílená, přiměřená a specifická. |
106 |
Soudní dvůr však již rozhodl, že jelikož se automatizované analýzy údajů PNR provádějí na základě neověřených osobních údajů a zakládají se na předem stanovených vzorcích a kritériích, vykazují nutně určitou míru chybovosti [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 169]. Jak zejména uvedl generální advokát v podstatě v bodě 78 svého stanoviska, z pracovního dokumentu Komise [SWD(2020) 128 final], který je přílohou její zprávy ze dne 24. července 2020 ohledně přezkumu směrnice PNR, vyplývá, že počet případů pozitivní shody vyplývající z automatizovaného zpracování stanoveného v čl. 6 odst. 3 písm. a) a b) této směrnice, u nichž následný individuální přezkum odhalil chybu, je dosti vysoký a během let 2018 a 2019 se týkal nejméně pěti z šesti identifikovaných osob. Toto zpracování tak vede k důkladnější analýze údajů PNR týkajících se uvedených osob. |
107 |
Pokud jde o následné posouzení údajů PNR stanovené v čl. 6 odst. 2 písm. b) směrnice PNR, z tohoto ustanovení vyplývá, že během šestiměsíčního období po předání údajů PNR, jak je uvedeno v čl. 12 odst. 2 této směrnice, je útvar pro informace o cestujících povinen na žádost příslušných orgánů poskytnout těmto orgánům údaje PNR a provést zpracování ve zvláštních případech za účelem boje proti teroristickým trestným činům nebo závažné trestné činnosti. |
108 |
Mimoto, i když jsou po uplynutí této doby šesti měsíců údaje PNR depersonalizovány maskováním některých prvků údajů, může být v souladu s čl. 12 odst. 3 směrnice PNR útvar pro informace o cestujících povinen na základě takové žádosti zpřístupnit úplné údaje PNR ve formě, která umožní identifikovat subjekt údajů příslušným orgánům, pokud existují oprávněné důvody domnívat se, že je to nezbytné pro účely uvedené v čl. 6 odst. 2 písm. b) uvedené směrnice, přičemž toto zpřístupnění nicméně podléhá schválení soudním orgánem nebo „jiným příslušným vnitrostátním orgánem“. |
109 |
Zapáté tím, že jsou podle čl. 12 odst. 1 směrnice PNR, aniž jsou v tomto ohledu stanovena jakákoli upřesnění, údaje PNR uchovávány v databázi po dobu pěti let od jejich předání útvaru pro informace o cestujících členského státu, na jehož území let přistává nebo z něj odlétá, směrnice PNR umožňuje vzhledem ke skutečnosti, že i přes jejich depersonalizaci po uplynutí počáteční doby šesti měsíců maskováním některých prvků údajů mohou být dále veškeré údaje PNR zpřístupněny v případě uvedené v předchozím bodě, disponovat informacemi o soukromém životě cestujících v letecké dopravě po dobu, kterou Soudní dvůr označil ve svém posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592, bod 132), za značně dlouhou. |
110 |
S ohledem na obvyklou povahu cestování letadlem má taková doba uchovávání za následek, že značná část obyvatel Unie může mít údaje PNR opakovaně uchovávány v rámci systému zavedeného směrnicí PNR, a v důsledku toho budou přístupné pro analýzu v rámci předběžných a následných posuzování prováděných útvary pro informace o cestujících a příslušnými orgány po značně dlouhou dobu, a v případě osob, které cestují letadlem častěji než jednou za pět let, dokonce po neomezenou dobu. |
111 |
S ohledem na všechny výše uvedené úvahy je třeba mít za to, že směrnice PNR zahrnuje zásahy určité závažnosti do práv zaručených články 7 a 8 Listiny, a to zejména v rozsahu, v němž je jejím cílem zavést systém nepřetržitého, necíleného a systematického dohledu, včetně automatizovaného posuzování osobních údajů všech osob využívajících služeb letecké dopravy. |
2. K odůvodnění zásahů vyplývajících ze směrnice PNR
112 |
Je třeba připomenout, že základní práva zakotvená v článcích 7 a 8 Listiny se neprojevují jako absolutní výsady, ale musí být nahlížena ve vztahu k jejich společenské funkci [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 136 a citovaná judikatura, jakož i rozsudek ze dne 6. října 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 63 a citovaná judikatura]. |
113 |
Podle čl. 52 odst. 1 první věty Listiny každé omezení výkonu práv a svobod uznaných touto listinou musí být stanoveno zákonem a respektovat podstatu těchto práv a svobod. Podle čl. 52 odst. 1 druhé věty Listiny při dodržení zásady proporcionality mohou být omezení zavedena pouze tehdy, jsou-li nezbytná a odpovídají-li skutečně cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. V tomto ohledu čl. 8 odst. 2 Listiny stanoví, že osobní údaje musí být zpracovány zejména „k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem“. |
114 |
Je třeba dodat, že požadavek, aby každé omezení výkonu základních práv bylo stanoveno zákonem, implikuje, že akt dovolující zásah do těchto práv musí sám definovat rozsah omezení výkonu dotyčného práva s tím, že jednak tento požadavek nevylučuje, aby dotčené omezení bylo formulováno dostatečně širokým způsobem, aby se mohlo přizpůsobit odlišným případům, jakož i změnám situací (v tomto smyslu viz rozsudek ze dne 26. dubna 2022, Polsko v. Parlament a Rada, C‑401/19, EU:C:2022:297, body 64 a 74, jakož i citovaná judikatura) a jednak že Soudní dvůr může případně upřesnit výkladem konkrétní rozsah omezení jak s ohledem na skutečné znění dotčené právní úpravy Unie, tak na její obecnou systematiku a cíle, které sleduje, vykládané s ohledem na základní práva zaručená Listinou. |
115 |
Pokud jde o dodržení zásady proporcionality, ochrana základního práva na respektování soukromého života na unijní úrovni vyžaduje – v souladu s ustálenou judikaturou Soudního dvora – aby výjimky z ochrany osobních údajů a její omezení byly činěny v mezích toho, co je nezbytně nutné. Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 140, jakož i rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 52 a citovaná judikatura]. |
116 |
Možnost členských států odůvodnit omezení práv zaručených v článcích 7 a 8 Listiny musí být konkrétně posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný závažnosti zásahu (v tomto smyslu viz rozsudky ze dne 2. října 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, bod 55 a citovaná judikatura, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 53 a citovaná judikatura). |
117 |
Za účelem splnění požadavku proporcionality musí předmětná právní úprava, která s sebou přináší zásah, stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a stanovit minimální požadavky, tak aby osoby, jejichž údaje byly předány, měly dostatečné záruky umožňující účinně chránit jejich osobní údaje proti riziku zneužití. Taková právní úprava musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů, čímž zaručí, že se zásah omezí na to, co je nezbytně nutné. Potřeba takových záruk je o to významnější v případě, kdy jsou osobní údaje zpracovávány automaticky. Tyto úvahy platí zvláště tehdy, pokud údaje PNR mohou odhalovat citlivé údaje o cestujících [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 141, jakož i rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 132 a citovaná judikatura]. |
118 |
Právní úprava, která tak upravuje uchovávání osobních údajů, musí vždy odpovídat objektivním kritériím, která vymezují vztah mezi osobními údaji, které mají být uchovávány, a sledovaným účelem [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 191 a citovaná judikatura, jakož i rozsudky ze dne 3. října 2019, A další, C‑70/18, EU:C:2019:823, bod 63, a ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 133]. |
a) K dodržování zásady zákonnosti a podstaty dotčených základních práv
119 |
Omezení výkonu základních práv zaručených články 7 a 8 Listiny vyplývající ze systému zavedeného směrnicí PNR je stanoveno právním předpisem Unie. Pokud jde o otázku, zda v souladu s judikaturou připomenutou v bodě 114 tohoto rozsudku tato směrnice jakožto akt unijního práva, který umožňuje zásah do těchto práv, sama vymezuje rozsah omezení výkonu těchto práv, je třeba uvést, že ustanovení této směrnice a její přílohy I a II jednak obsahují výčet údajů PNR a jednak upravují zpracování těchto údajů, zejména vymezením účelů a způsobů tohoto zpracování. Tato otázka se ostatně do značné míry překrývá s otázkou dodržení požadavku proporcionality připomenutého v bodě 117 tohoto rozsudku (v tomto smyslu viz rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 180) a bude přezkoumána v bodech 125 a násl. tohoto rozsudku. |
120 |
Pokud jde o respektování podstaty základních práv zakotvených v článcích 7 a 8 Listiny, je pravda, že údaje PNR mohou případně odhalit velmi přesné informace o soukromém životě osoby. Jelikož je však povaha těchto informací omezena na určité aspekty tohoto soukromého života, které se týkají zejména leteckých cest této osoby, a jednak čl. 13 odst. 4 směrnice PNR výslovně zakazuje zpracování citlivých údajů ve smyslu čl. 9 odst. 1 GDPR, údaje uvedené v této směrnici samy o sobě neumožňují získat úplný obraz soukromého života osoby. Kromě toho čl. 1 odst. 2 uvedené směrnice ve spojení s jejím čl. 3 body 8 a 9 a její přílohou II vymezuje účely zpracování těchto údajů. Konečně články 4 až 15 téže směrnice obsahují pravidla, která upravují předávání, zpracování a uchovávání uvedených údajů, jakož i pravidla, která mají zajistit zejména bezpečnost, důvěrnost a integritu těchto údajů a chránit je před protiprávním přístupem a zpracováním. Za těchto podmínek zásahy, které zahrnuje směrnice PNR, neporušují podstatu základních práv zakotvených v článcích 7 a 8 Listiny. |
b) K cíli obecného zájmu a způsobilosti zpracování údajů PNR s ohledem na tento cíl
121 |
Pokud jde o otázku, zda systém zavedený směrnicí PNR sleduje cíl obecného zájmu, z bodů 5, 6 a 15 odůvodnění této směrnice vyplývá, že jejím cílem je zajistit vnitřní bezpečnost Unie a chránit tak život a bezpečnost osob, a zároveň vytvořit právní rámec, který zaručí vysokou úroveň ochrany základních práv cestujících, zejména jejich práv na soukromí a na ochranu osobních údajů při zpracování údajů PNR příslušnými orgány. |
122 |
Za tímto účelem čl. 1 odst. 2 směrnice PNR stanoví, že údaje PNR shromážděné podle této směrnice lze zpracovávat v souladu s čl. 6 odst. 2 písm. a) až c) této směrnice pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti. Tyto účely přitom nepochybně představují cíle obecného zájmu Unie, kterými lze odůvodnit i závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny [v tomto smyslu viz rozsudek ze dne 8. dubna 2014, Digital Rights Ireland a další, C‑293/12 a C‑594/12, EU:C:2014:238, bod 42, jakož i posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 148 a 149]. |
123 |
Pokud jde o způsobilost systému zavedeného směrnicí PNR k dosažení sledovaných cílů, je třeba konstatovat, že ačkoli možnost „falešně negativních“ výsledků a poměrně značný počet „falešně pozitivních“ výsledků, které jak bylo uvedeno v bodě 106 tohoto rozsudku, byly získány v důsledku automatizovaného zpracování stanoveného touto směrnicí v letech 2018 a 2019, mohou omezit způsobilost tohoto systému, nejsou však takové povahy, že by jej činily nezpůsobilým přispět k dosažení cíle boje proti teroristickým trestným činům a závažné trestné činnosti. Jak totiž vyplývá z pracovního dokumentu Komise uvedeného v bodě 106 tohoto rozsudku, automatizované zpracování prováděné podle uvedené směrnice již skutečně umožnilo identifikovat cestující v letecké dopravě, kteří představují riziko v rámci boje proti teroristickým trestným činům a závažné trestné činnosti. |
124 |
Kromě toho s ohledem na chybovost, která je vlastní automatizovanému zpracování údajů PNR, a zejména na značný počet „falešně pozitivních“ výsledků, závisí způsobilost systému zavedeného směrnicí PNR v zásadě na řádném fungování následného ověřování výsledků získaných na základě tohoto zpracování neautomatizovanými prostředky, což je úkol, za který podle směrnice odpovídá útvar pro informace o cestujících. Ustanovení stanovená za tímto účelem uvedenou směrnicí proto přispívají k dosažení těchto cílů. |
c) K nezbytnosti zásahů vyplývajících ze směrnice PNR
125 |
V souladu s judikaturou připomenutou v bodech 115 až 118 tohoto rozsudku je třeba ověřit, zda jsou zásahy vyplývající ze směrnice PNR omezeny na to, co je nezbytně nutné, a zejména zda tato směrnice stanoví jasná a přesná pravidla, která upravují rozsah a uplatňování opatření, která stanoví, a zda systém, který zavádí, stále splňuje objektivní kritéria, a stanoví vztah mezi údaji PNR, které jsou úzce spojeny s rezervací a uskutečněním letů, a účely sledovanými uvedenou směrnicí, a sice bojem proti teroristickým trestným činům a závažné trestné činnosti. |
1) K údajům o cestujících v letecké dopravě dotčeným směrnicí PNR
126 |
Je třeba posoudit, zda rubriky údajů uvedené v příloze I směrnice PNR jasně a přesně vymezují údaje PNR, které je letecký dopravce povinen zpřístupnit útvaru pro informace o cestujících. |
127 |
Úvodem je třeba připomenout, že, jak vyplývá z bodu 15 odůvodnění směrnice PNR, unijní normotvůrce chtěl, aby seznam údajů PNR, které se předávají útvaru pro informace o cestujících, byl vypracován „tak, aby odrážel legitimní požadavek veřejných orgánů na zajištění prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti, čímž se zlepší vnitřní bezpečnost v rámci Unie a ochrání základní práva, zejména právo na soukromí a ochranu osobních údajů“. Podle téhož bodu odůvodnění by zejména tyto údaje „měly obsahovat pouze podrobné informace o rezervacích a cestovních trasách, které příslušným orgánům umožňují identifikovat ty cestující v letecké dopravě, kteří představují hrozbu pro vnitřní bezpečnost“. Článek 13 odst. 4 první věta směrnice PNR mimoto zakazuje „zpracování údajů PNR, které odhalují rasový nebo etnický původ dané osoby, její politické názory, náboženské či filozofické přesvědčení, členství v odborové organizaci, zdraví, sexuální život nebo sexuální orientaci“. |
128 |
Údaje PNR shromažďované a sdělované v souladu s přílohou I směrnice PNR proto musí přímo souviset s uskutečněným letem a dotčeným cestujícím a musí být omezeny tak, aby splňovaly pouze oprávněné požadavky orgánů veřejné moci na prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti a aby byly vyloučeny citlivé údaje. |
129 |
Rubriky 1 až 4, 7, 9, 11, 15, 17 a 19 přílohy I směrnice PNR přitom splňují tyto požadavky, jakož i požadavky na jasnost a přesnost, neboť se týkají jasně identifikovatelných a vymezených informací, které se přímo vztahují k uskutečněnému letu a k dotčenému cestujícímu. Jak uvedl generální advokát v bodě 165 svého stanoviska, totéž platí i v případě rubrik 10, 13, 14 a 16, a to navzdory jejich volnému znění. |
130 |
Naproti tomu je třeba vyjasnit výklad rubrik 5, 6, 8, 12 a 18. |
131 |
Pokud jde o rubriku 5, která se týká „[a]dresy a kontaktních informací (telefonní číslo, e-mailová adresa)“, tato rubrika výslovně neupřesňuje, zda se uvedená adresa a uvedené kontaktní údaje vztahují pouze k cestujícímu v letecké dopravě, nebo rovněž ke třetím osobám, které pro cestujícího v letecké dopravě rezervovaly let, či ke třetím osobám, na něž by mohl mít cestující v letecké dopravě vazby, nebo ke třetím osobám, které mají být informovány v naléhavých případech. Nicméně, jak v podstatě uvedl generální advokát v bodě 162 svého stanoviska, vzhledem k požadavkům jasnosti a přesnosti nelze tuto rubriku vykládat tak, že implicitně povoluje také shromažďování a předávání osobních údajů těchto třetích osob. Uvedenou rubriku je proto třeba vykládat tak, že se týká pouze poštovní adresy a kontaktních údajů, tj. telefonního čísla a e-mailové adresy, cestujícího v letecké dopravě, jehož jménem byla provedena rezervace. |
132 |
Pokud jde o rubriku 6, která se týká „[v]eškerých informací o způsobech platby, včetně zúčtovací adresy“, tuto rubriku je třeba vykládat tak, aby splňovala požadavky na jasnost a přesnost, v tom smyslu, že se týká pouze informací o způsobech platby a o fakturaci letenky s vyloučením veškerých dalších informací, jež přímo nesouvisejí s letem [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 159]. |
133 |
Pokud jde o rubriku 8, která se týká „[i]nformací o věrnostním programu cestujícího“, tato rubrika musí být vykládána, jak uvedl generální advokát v bodě 164 svého stanoviska, tak, že zahrnuje výlučně údaje týkající se statusu věrnostního programu cestujícího dané letecké společnosti nebo dané skupiny leteckých společností, jakož i číslo, které identifikuje tohoto cestujícího jako „cestujícího s věrnostním programem“. Rubrika 8 tedy neumožňuje shromažďování informací týkajících se transakcí, na jejichž základě byl tento status získán. |
134 |
Pokud jde o rubriku 12, jejím předmětem jsou „[o]becné poznámky (včetně všech dostupných informací o nezletilých osobách mladších 18 let bez doprovodu, jako jsou jméno a pohlaví nezletilé osoby, věk, jazyk (jazyky), kterým (kterými) hovoří, jméno a kontaktní údaje opatrovníka při odletu a vztah k nezletilému, jméno a kontaktní údaje opatrovníka při příletu a vztah k nezletilému, zprostředkovatel při odletu a příletu)“. |
135 |
V tomto ohledu je třeba bez dalšího uvést, že i když výraz „obecné poznámky“ nesplňuje požadavky na jasnost a přesnost, jelikož nestanoví jako takový žádné omezení co do povahy a rozsahu informací, které lze shromáždit a zpřístupnit útvaru pro informace o cestujících na základě rubriky 12 [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 160], výčet, který je v závorkách, tyto požadavky splňuje. |
136 |
Proto je třeba za účelem výkladu rubriky 12, který ji v souladu s judikaturou uvedenou v bodě 86 tohoto rozsudku uvádí do souladu s požadavky jasnosti a přesnosti a v širším smyslu s články 7 a 8 a čl. 52 odst. 1 Listiny, se domnívat, že je povoleno pouze shromažďování a sdělování informací výslovně uvedených v této rubrice, a sice jméno a pohlaví nezletilé osoby, věk, jazyk (jazyky), kterým (kterými) hovoří, jméno a kontaktní údaje opatrovníka při odletu a vztah k nezletilému, jméno a kontaktní údaje opatrovníka při příletu a vztah k nezletilému, zprostředkovatel při odletu a příletu. |
137 |
Konečně, pokud jde o rubriku 18, tato rubrika se týká „[v]eškerých shromážděných údajů API (včetně typu, čísla, země vydání a data pozbytí platnosti dokladu totožnosti, státní příslušnosti, příjmení, jména, pohlaví, data narození, letecké společnosti, čísla letu, data odletu, data příletu, místa odletu, místa příletu, času odletu a času příletu)“. |
138 |
Jak generální advokát v podstatě uvedl v bodech 156 až 160 svého stanoviska, z této rubriky 18, vykládané ve světle bodů 4 a 9 odůvodnění směrnice PNR vyplývá, že informace, na které odkazuje, jsou údaje API taxativně vyjmenované v této rubrice a v čl. 3 odst. 2 směrnice API. |
139 |
Bude-li tedy rubrika 18 vykládána v tom smyslu, že zahrnuje pouze informace výslovně uvedené v této rubrice, jakož i v uvedeném čl. 3 odst. 2 směrnice API, lze mít za to, že splňuje požadavky na jasnost a přesnost [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 161]. |
140 |
Je tedy třeba konstatovat, že příloha I směrnice PNR, vykládaná v souladu s úvahami uvedenými zejména v bodech 130 až 139 tohoto rozsudku, je jako celek dostatečně jasná a přesná, a vymezuje tak rozsah zásahu do základních práv zakotvených v článcích 7 a 8 Listiny. |
2) K účelům zpracování údajů PNR
141 |
Jak vyplývá z čl. 1 odst. 2 směrnice PNR, údaje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány pouze pro účely boje proti „teroristickým trestným činům“ a „závažné trestné činnosti“. |
142 |
Pokud jde o otázku, zda směrnice PNR stanoví v tomto ohledu jasná a přesná pravidla, která omezují použití systému zavedeného touto směrnicí na to, co je pro tyto účely nezbytně nutné, je třeba zaprvé uvést, že výraz „teroristické trestné činy“ je vymezen v čl. 3 bodu 8 uvedené směrnice odkazem na „trestné činy podle vnitrostátního práva uvedené v článcích 1 až 4 rámcového rozhodnutí [2002/475]“. |
143 |
Kromě toho, že články 1 až 3 tohoto rámcového rozhodnutí jasně a přesně vymezovaly „teroristické trestné činy“, „trestné činy spojené s teroristickými skupinami“ a „trestné činy spojené s teroristickými činnostmi“, které členské státy musely učinit trestnými podle uvedeného rámcového rozhodnutí, směrnice Evropského parlamentu a Rady (EU) 2017/541 ze dne 15. března 2017 o boji proti terorismu, kterou se nahrazuje rámcové rozhodnutí Rady 2002/475 a mění rozhodnutí Rady 2005/671/SVV (Úř. věst. 2017, L 88, s. 6), vymezuje rovněž v článcích 3 až 14 jasně a přesně tytéž trestné činy. |
144 |
Zadruhé čl. 3 bod 9 směrnice PNR vymezuje výraz „závažný trestný čin“ odkazem na „trestný čin uvedený v příloze II [této směrnice], za který lze podle vnitrostátního práva členského státu uložit trest odnětí svobody nebo ochranné opatření spojené s odnětím svobody s horní hranicí trestní sazby v délce nejméně tří let“. |
145 |
V této příloze jsou přitom především taxativně vyjmenovány jednotlivé kategorie trestných činů, které mohou spadat pod pojem „závažný trestný čin“, jak je uveden v čl. 3 bodu 9 směrnice PNR. |
146 |
Dále vzhledem ke zvláštnostem trestněprávních systémů členských států v době přijetí této směrnice se při neexistenci harmonizace trestných činů v ní uvedených mohl unijní normotvůrce omezit na uvedení kategorií trestných činů, aniž vymezil jejich skutkové podstaty, a to tím spíše, že tyto skutkové podstaty jsou již pojmově nutně vymezeny vnitrostátním právem, na které odkazuje čl. 3 bod 9 směrnice PNR, v tom smyslu, že členské státy jsou vázány zásadou zákonnosti trestných činů a trestů jakožto složky společné hodnoty právního státu uvedené v článku 2 SEU, sdílené s Unií (obdobně viz rozsudek ze dne 16. února 2022, Maďarsko v. Parlament a Rada, C‑156/21, EU:C:2022:97, body 136, 160 a 234), tedy zásadou, která je mimoto zakotvena v čl. 49 odst. 1 Listiny, který jsou členské státy povinny dodržovat při provádění takového aktu Unie, jako je směrnice PNR (v tomto smyslu viz rozsudek ze dne 10. listopadu 2011, QB, C‑405/10, EU:C:2011:722, bod 48 a citovaná judikatura). S ohledem na obvyklý význam pojmů použitých v téže příloze je tedy třeba mít za to, že tato příloha dostatečně jasně a přesně vymezuje trestné činy, které mohou představovat závažný trestný čin. |
147 |
Je pravda, že body 7, 8, 10 a 16 přílohy II odkazují na velmi obecné kategorie trestných činů (podvod, praní výnosů z trestné činnosti a padělání peněz, trestné činy proti životnímu prostředí, nedovolený obchod s kulturními statky), nicméně odkazují na konkrétní trestné činy spadající do těchto obecných kategorií. Proto, aby byla zajištěna dostatečná přesnost, kterou rovněž vyžaduje článek 49 Listiny, je třeba tyto body vykládat tak, že odkazují na uvedené trestné činy, které jsou v tomto ohledu stanoveny vnitrostátním právem nebo unijním právem. Při tomto výkladu lze mít za to, že uvedené body splňují požadavky na jasnost a přesnost. |
148 |
Konečně je třeba dále připomenout, že pokud v souladu se zásadou proporcionality může cíl boje proti závažné trestné činnosti odůvodnit závažný zásah, který zahrnuje směrnice PNR, do základních práv zaručených v článcích 7 a 8 Listiny, je tomu jinak v případě cíle boje proti trestné činnosti obecně, jelikož tento cíl může odůvodnit pouze zásahy, které nejsou závažné povahy (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 59 a citovaná judikatura). Tato směrnice tedy musí prostřednictvím jasných a přesných pravidel zajistit, aby se použití systému zavedeného touto směrnicí omezilo pouze na trestné činy, které patří mezi závažnou trestnou činnost, a vyloučilo tak trestné činy, které patří mezi běžnou trestnou činnost. |
149 |
Jak v tomto ohledu uvedl generální advokát v bodě 121 svého stanoviska, řada trestných činů uvedených v příloze II směrnice PNR, jako jsou obchodování s lidmi, pohlavní vykořisťování dětí a dětská pornografie, nedovolený obchod se zbraněmi, střelivem a výbušninami, praní peněz, počítačová trestná činnost/kyberkriminalita, nedovolený obchod s lidskými orgány a tkáněmi, nedovolený obchod s omamnými a psychotropními látkami, nedovolený obchod s jadernými a radioaktivními materiály, únos letadla nebo plavidla, trestné činy spadající do pravomoci Mezinárodního trestního soudu, vražda, znásilnění, únos, omezování osobní svobody a braní rukojmí, má ze své povahy nezpochybnitelně vysokou míru závažnosti. |
150 |
Kromě toho, ačkoli jiné trestné činy, které jsou rovněž uvedeny v této příloze II, mohou být a priori obtížněji spojovány se závažnou trestnou činností, ze samotného znění čl. 3 bodu 9 směrnice PNR vyplývá, že tyto trestné činy lze považovat za závažný trestný čin pouze tehdy, když za něj lze podle vnitrostátního práva dotčeného členského státu uložit trest odnětí svobody nebo ochranné opatření spojené s odnětím svobody s horní hranicí trestní sazby v délce nejméně tří let. Požadavky vyplývající z tohoto ustanovení, které se týkají povahy a přísnosti použitelného trestu, v zásadě omezují použití systému zavedeného uvedenou směrnicí na trestné činy s dostatečnou mírou závažnosti, které mohou odůvodnit zásah do základních práv zakotvených v článcích 7 a 8 Listiny, který vyplývá ze systému zavedeného touto směrnicí. |
151 |
Jelikož však čl. 3 bod 9 PNR neodkazuje na dolní hranici trestní sazby použitelného trestu, ale na horní hranici trestní sazby použitelného trestu, nelze vyloučit, že údaje PNR mohou být zpracovávány za účelem boje proti trestným činům, které sice splňují kritérium stanovené v tomto ustanovení týkající se prahové hodnoty závažnosti, ale vzhledem ke zvláštnostem vnitrostátního trestního systému se nejedná o závažnou trestnou činnost, ale o běžnou trestnou činnost. |
152 |
Je proto povinností členských států zajistit, aby se použití systému zavedeného směrnicí PNR skutečně omezilo na boj proti závažné trestné činnosti a aby se tento systém nerozšířil na trestné činy, které patří mezi běžnou trestnou činnost. |
3) K souvislosti mezi údaji PNR a účely zpracování těchto údajů
153 |
Je pravda, že, jak v podstatě uvedl generální advokát v bodě 119 svého stanoviska, znění čl. 3 bodu 8 a čl. 3 bodu 9 směrnice PNR, ve spojení s přílohou II této směrnice, výslovně neodkazuje na kritérium, které by mohlo omezit působnost této směrnice pouze na trestné činy, které mohou již ze své podstaty vykazovat, přinejmenším nepřímo, objektivní souvislost s cestujícími v letecké dopravě, potažmo s kategoriemi údajů shromážděnými, zpracovanými a uchovávanými na základě směrnice PNR. |
154 |
Nicméně, jak uvedl generální advokát v bodě 121 svého stanoviska, některé z trestných činů zařazených do přílohy II směrnice PNR, jako např. obchodování s lidmi, nedovolený obchod s omamnými látkami nebo se zbraněmi, napomáhání při nedovoleném překročení státní hranice a nedovoleném pobytu či únos letadla jsou vzhledem ke své podstatě způsobilé k tomu, aby měly přímou souvislost s leteckou přepravou cestujících. Totéž platí pro některé teroristické trestné činy, jako je způsobení rozsáhlého poškození dopravního systému nebo infrastruktury nebo zmocnění se letadla, což jsou trestné činy, které byly uvedeny v čl. 1 odst. 1 písm. d) a e) rámcového rozhodnutí 2002/475, na který odkazuje čl. 3 bod 8 směrnice PNR, nebo dále vycestování za účelem terorismu a organizace nebo usnadnění takového vycestování, což jsou trestné činy uvedené v článcích 9 a 10 směrnice 2017/541. |
155 |
V této souvislosti je třeba rovněž připomenout, že Komise odůvodnila svůj návrh směrnice Evropského parlamentu a Rady o používání údajů ze jmenné evidence cestujících pro prevenci odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti ze dne 2. února 2011 [COM(2011) 32 final], na jehož základě byla přijata směrnice PNR, tím, že zdůraznila skutečnost, že „[t]eroristické útoky, k nimž došlo v roce 2001 ve Spojených státech, nezdařený teroristický útok ze srpna 2006, jehož cílem bylo vyhodit do povětří letadlo na cestě ze Spojeného království do Spojených států amerických, či pokus o teroristický útok na palubě letadla z Amsterdamu do Detroitu v prosinci 2009, ukázaly schopnost teroristů organizovat útoky zaměřené na mezinárodní lety ve kterékoliv zemi“ a že „většina teroristických aktivit je nadnárodní povahy a zahrnuje mezinárodní cestovní ruch, mimo jiné do výcvikových táborů za hranicemi EU“. Komise mimoto pro zdůvodnění nutnosti analýzy údajů PNR pro účely boje proti závažné trestné činnosti uvedla jako příklad případ skupiny cestujících, kteří za účelem obchodování s lidmi předložili falešné dokumenty proto, aby se mohli registrovat k letu, a případ sítě obchodníků s lidmi a drogami, která za účelem dovozu drog do několika destinací Evropy využívala osoby, které byly samy oběťmi obchodu s lidmi, přičemž letenky těchto osob si zakoupila pomocí odcizených kreditních karet. Všechny tyto případy se přitom týkaly trestných činů přímo souvisejících s leteckou přepravou cestujících, neboť se jednalo o trestné činy zaměřené na leteckou přepravu cestujících, jakož i o trestné činy spáchané při letecké přepravě nebo v souvislosti s ní. |
156 |
Kromě toho je třeba konstatovat, že i trestné činy, které nemají takovou přímou souvislost s leteckou přepravou cestujících, mohou mít v závislosti na okolnostech případu nepřímou souvislost s leteckou přepravou cestujících. Tak je tomu zejména v případech, kdy je letecká doprava využívána jako prostředek k přípravě takových trestných činů nebo k vyhýbání se trestnímu stíhání po jejich spáchání. Naproti tomu trestné činy, které nemají žádnou objektivní souvislost s leteckou přepravou cestujících, a to ani nepřímou, nemohou odůvodnit použití systému zavedeného směrnicí PNR. |
157 |
Za těchto podmínek čl. 3 body 8 a 9 této směrnice ve spojení s přílohou II této směrnice a s ohledem na požadavky vyplývající z článků 7 a 8 a čl. 52 odst. 1 Listiny, ukládá členským státům povinnost zajistit, aby zejména při individuálním přezkumu neautomatizovanými prostředky podle čl. 6 odst. 5 uvedené směrnice bylo použití systému zavedeného touto směrnicí omezeno na teroristické trestné činy a pouze na ty závažné formy trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících. |
4) K cestujícím v letecké dopravě a k dotčeným letům
158 |
Systém zavedený směrnicí PNR se vztahuje na údaje PNR o všech osobách, které lze považovat za „cestující“ ve smyslu čl. 3 bodu 4 této směrnice a které cestují lety spadajícími do působnosti této směrnice. |
159 |
Podle čl. 8 odst. 1 uvedené směrnice se tyto údaje předávají útvaru pro informace o cestujících toho členského státu, na jehož území bude let přistávat nebo z jehož území bude let zahájen bez ohledu na jakýkoli objektivní prvek, který by umožňoval se domnívat, že dotčení cestující mohou představovat riziko účasti na teroristických trestných činech nebo závažné trestné činnosti. Takto předané údaje však podléhají zejména automatizovanému zpracování v rámci předběžného posuzování podle čl. 6 odst. 2 písm. a) a odst. 3 směrnice PNR, jehož účelem je, jak vyplývá z bodu 7 odůvodnění uvedené směrnice, identifikace osob, které nebyly podezřelé z účasti na teroristických trestných činech nebo závažné trestné činnosti před tímto posouzením a které by měly být příslušnými orgány dále prověřeny. |
160 |
Z článku 1 odst. 1 písm. a) a z článku 2 směrnice PNR konkrétněji vyplývá, že tato směrnice rozlišuje mezi cestujícími na letech mimo EU mezi Unií a třetími zeměmi a cestujícími na letech uvnitř EU mezi jednotlivými členskými státy. |
161 |
Pokud jde o cestující na letech mimo EU, je třeba připomenout, že v případě cestujících na letech mezi Unií a Kanadou Soudní dvůr již rozhodl, že automatizované zpracovávání jejich údajů PNR před jejich příletem do Kanady usnadňuje a urychluje bezpečnostní kontroly, zejména na hranicích. Mimoto vyloučení některých kategorií osob či některých zón původu těchto osob by mohlo bránit naplňování cíle automatizovaného zpracovávání údajů PNR, tj. ověřováním těchto údajů identifikovat v rámci všech cestujících v letecké dopravě osoby, jež by mohly představovat riziko pro veřejnou bezpečnost, a mohlo by umožnit, aby toto ověřování bylo obcházeno [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 187]. |
162 |
Tyto úvahy lze přitom obdobně použít na situaci cestujících na letech mezi Unií a všemi třetími zeměmi, na které členské státy musí vztáhnout systém zavedený směrnicí PNR v souladu s čl. 1 odst. 1 písm. a) této směrnice ve spojení s čl. 3 body 2 a 4 uvedené směrnice. Předávání a předběžné posuzování údajů PNR o cestujících v letecké dopravě, kteří vstupují do Unie nebo ji opouštějí, totiž nelze omezit na určitý okruh cestujících v letecké dopravě vzhledem k samotné povaze hrozeb pro veřejnou bezpečnost, které mohou vyplývat z teroristických trestných činů a závažné trestné činnosti, jež mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících mezi Unií a třetími zeměmi. Je tedy třeba mít za to, že existuje nezbytná souvislost mezi těmito údaji a cílem, který se týká boje proti těmto trestným činům, takže směrnice PNR nepřekračuje meze toho, co je nezbytně nutné, jen proto, že vyžaduje, aby členské státy systematicky předávaly a předběžně posuzovaly údaje PNR o všech těchto cestujících. |
163 |
Pokud jde o cestující na letech mezi jednotlivými členskými státy Unie, čl. 2 odst. 1 směrnice PNR ve spojení s bodem 10 odůvodnění této směrnice stanoví pouze možnost členských států rozšířit použití systému zavedeného touto směrnicí na lety uvnitř EU. |
164 |
Unijní normotvůrce tedy neměl v úmyslu uložit členským státům povinnost rozšířit použití systému zavedeného směrnicí PNR na lety uvnitř EU, ale jak vyplývá z čl. 19 odst. 3 této směrnice, vyhradil si rozhodnutí o takovém rozšíření, přičemž měl za to, že mu musí předcházet důkladné posouzení jeho právních důsledků, zejména na základní práva subjektů údajů. |
165 |
V tomto ohledu je třeba poznamenat, že tím, že stanoví, že zpráva Komise o přezkumu uvedená v čl. 19 odst. 1 směrnice PNR „zahrnuje přezkum týkající se nezbytnosti, přiměřenosti a účinnosti shromažďování, včetně v oblasti působnosti této směrnice, povinného předávání údajů PNR, pokud jde o všechny nebo o vybrané lety uvnitř EU“ a že Komise v tomto ohledu musí zohlednit „zkušenosti získané členskými státy, zejména těmi, které uplatňují tuto směrnici na lety uvnitř EU podle článku 2“, čl. 19 odst. 3 této směrnice jasně ukazuje, že podle unijního normotvůrce nemusí být systém zavedený uvedenou směrnicí nutně rozšířen na všechny lety uvnitř EU. |
166 |
Ve stejném smyslu čl. 2 odst. 3 směrnice PNR stanoví, že členský stát se může rozhodnout, že tuto směrnici bude uplatňovat pouze na vybrané lety uvnitř EU, pokud to považuje za nezbytné pro dosažení cílů této směrnice, přičemž se může kdykoliv rozhodnout změnit výběr takto určených letů. |
167 |
V každém případě musí být možnost členských států rozšířit použití systému zavedeného směrnicí PNR na lety uvnitř EU využita, jak vyplývá z bodu 22 odůvodnění této směrnice, v plném souladu se základními právy zaručenými v článcích 7 a 8 Listiny. V tomto ohledu, i když je v souladu s bodem 19 odůvodnění uvedené směrnice na členských státech, aby posoudily hrozby spojené s teroristickými trestnými činy a závažnou trestnou činností, nic to nemění na tom, že využití této možnosti předpokládá, že členské státy v rámci tohoto posouzení dospějí k závěru, že existuje hrozba spojená s těmito trestnými činy, která může odůvodnit použití téže směrnice i na lety uvnitř EU. |
168 |
Za těchto podmínek není členský stát, který hodlá využít možnosti stanovené v článku 2 směrnice PNR, ať už ve vztahu ke všem letům uvnitř EU podle odstavce 2 tohoto článku, nebo pouze k některým z těchto letů podle odstavce 3 uvedeného článku, osvobozen od povinnosti ověřit, zda je rozšíření použití této směrnice na všechny nebo některé lety uvnitř EU skutečně nezbytné a přiměřené pro dosažení cíle uvedeného v čl. 1 odst. 2 uvedené směrnice. |
169 |
Vzhledem k bodům 5 až 7, 10 a 22 odůvodnění směrnice PNR tedy takový členský stát musí ověřit, že zpracování údajů PNR o cestujících na letech uvnitř EU nebo na některých z těchto letů stanovené touto směrnicí je s ohledem na závažnost zásahu do základních práv zaručených články 7 a 8 Listiny nezbytně nutné k zajištění vnitřní bezpečnosti Unie nebo přinejmenším uvedeného členského státu, a tedy k ochraně života a bezpečnosti osob. |
170 |
Pokud jde zejména o hrozby spojené s teroristickými trestnými činy, z judikatury Soudního dvora vyplývá, že teroristické činnosti patří mezi ty činnosti, které mohou silně destabilizovat základní ústavní, politické, hospodářské nebo společenské uspořádání země, a zejména přímo ohrožovat společnost, obyvatelstvo nebo stát jako takový a že je v prvořadém zájmu každého členského státu prevence a represe těchto činností proto, aby byly chráněny základní funkce státu a základní zájmy společnosti s cílem zajistit národní bezpečnost. Taková hrozba se tedy svou povahou, závažností a specifickou povahou okolností, které ji vytvářejí, liší od obecného a trvalého rizika závažných trestných činů (v tomto smyslu viz rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 135 a 136, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, body 61 a 62). |
171 |
V situaci, kdy je na základě posouzení provedeného členským státem zjištěno, že existují dostatečně konkrétní okolnosti, pro které se lze domnívat, že tento členský stát čelí skutečné a aktuální či předvídatelné teroristické hrozbě, se tedy nezdá, že by skutečnost, že tento členský stát stanoví na základě čl. 2 odst. 1 směrnice PNR použití této směrnice na všechny lety uvnitř EU z tohoto členského státu nebo do něj po omezenou dobu, překračovala meze toho, co je nezbytně nutné. Existence takového ohrožení totiž může sama o sobě prokázat vazbu mezi předáváním a zpracováním dotčených údajů na jedné straně a bojem proti terorismu na straně druhé (obdobně viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 137). |
172 |
Rozhodnutí, které stanoví toto použití, musí být možné podrobit účinnému přezkumu soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, a cílem tohoto přezkumu bude ověřit, že nastala tato situace, jakož i dodržení podmínek a záruk, které musí být stanoveny. Doba použití musí být rovněž omezena pouze na dobu nezbytně nutnou, avšak s možností prodloužení, pokud toto ohrožení přetrvává (obdobně viz rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 168, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 58). |
173 |
Naproti tomu při neexistenci skutečné a aktuální či předvídatelné teroristické hrozby, jíž dotyčný členský stát čelí, nelze považovat nerozlišující použití systému zavedeného směrnicí PNR tímto členským státem nejen na lety mimo EU, ale také na všechny lety uvnitř EU, za omezené na to, co je nezbytně nutné. |
174 |
V takové situaci musí být použití systému zavedeného směrnicí PNR pro některé lety uvnitř EU omezeno na předávání a zpracovávání údajů PNR o letech týkajících se zejména určitých leteckých tras nebo cestovních modelů nebo určitých letišť, u nichž existují náznaky, které mohou odůvodnit takové použití. V takové situaci přísluší dotyčnému členskému státu, aby vybral lety uvnitř EU v souladu s výsledky posouzení, které musí provést na základě požadavků uvedených v bodech 163 až 169 tohoto rozsudku, a toto použití pravidelně přezkoumával s ohledem na vývoj podmínek, které odůvodnily jejich výběr, aby bylo zajištěno, že použití systému zavedeného uvedenou směrnicí na lety uvnitř EU bude vždy omezeno na to, co je nezbytně nutné. |
175 |
Z výše uvedených úvah vyplývá, že takto přijatý výklad článku 2 a čl. 3 bodu 4 směrnice PNR ve světle článků 7 a 8 a čl. 52 odst. 1 Listiny může zajistit, že tato ustanovení dodržují meze toho, co je nezbytně nutné. |
5) K předběžnému posuzování údajů PNR pomocí automatizovaného zpracování
176 |
Podle článku 6 odst. 2 písm. a) směrnice PNR má předběžné posuzování, které stanoví, za cíl identifikaci osob, u kterých je vyžadováno další prověření příslušnými orgány uvedenými v článku 7 této směrnice, vzhledem k tomu, že tyto osoby mohou být zapojeny do teroristického trestného činu nebo závažného trestného činu. |
177 |
Toto předběžné posuzování se provádí ve dvou fázích. V prvním kroku provádí útvar pro informace o cestujících dotčeného členského státu v souladu s čl. 6 odst. 3 směrnice PNR automatizované zpracování údajů PNR jejich porovnáním s databázemi nebo na základě předem stanovených kritérií. V druhém kroku, pokud tato automatizovaná zpracování vedou k pozitivní shodě (hit), provede uvedený útvar podle čl. 6 odst. 5 této směrnice individuální přezkum neautomatizovanými prostředky s cílem ověřit, zda příslušné orgány uvedené v článku 7 uvedené směrnice musí provést opatření podle vnitrostátního práva (match). |
178 |
Jak bylo přitom připomenuto v bodě 106 tohoto rozsudku, automatizované zpracování má nutně poměrně vysokou míru chybovosti, neboť je prováděno na základě neověřených osobních údajů a zakládá se na předem stanovených kritériích. |
179 |
Za těchto podmínek a vzhledem k nutnosti posílit ochranu základních práv mimo jiné s ohledem na vědecký a technologický vývoj, jak je zdůrazněno ve čtvrtém bodě odůvodnění Listiny, je třeba zajistit, jak je uvedeno v bodě 20 odůvodnění a v čl. 7 odst. 6 směrnice PNR, aby příslušné orgány nemohly přijmout žádné rozhodnutí, které má pro osobu nepříznivé právní účinky nebo se jí závažným způsobem dotýká, pouze na základě automatizovaného zpracování údajů PNR. V souladu s čl. 6 odst. 6 této směrnice může navíc útvar pro informace o cestujících sám předávat údaje PNR těmto orgánům pouze po individuálním přezkoumání neautomatizovanými prostředky. Konečně, vedle těchto kontrol, které musí provádět útvar pro informace o cestujících a příslušné orgány samy, musí být zákonnost všech automatizovaných zpracování přezkoumána pracovníkem pro ochranu údajů a vnitrostátním orgánem dohledu podle čl. 6 odst. 7 a čl. 15 odst. 3 písm. b) uvedené směrnice a vnitrostátními soudy v rámci soudního přezkumu podle čl. 13 odst. 1 této směrnice. |
180 |
Jak přitom v podstatě uvedl generální advokát v bodě 207 svého stanoviska, vnitrostátní orgán dohledu, pracovník pro ochranu údajů a úvar pro informace o cestujících musí mít k dispozici materiální a personální zdroje nezbytné k výkonu dohledu, který jim ukládá směrnice PNR. Mimoto je třeba, aby vnitrostátní právní úprava, kterou se tato směrnice provádí do vnitrostátního práva a kterou se povoluje automatizované zpracování stanovené touto směrnicí, stanovila jasná a přesná pravidla pro určení databází a použitých kritérií analýzy, aniž je možné pro účely předběžného posouzení použít jiné metody, které nejsou výslovně stanoveny v čl. 6 odst. 2 této směrnice. |
181 |
Kromě toho z čl. 6 odst. 9 směrnice PNR vyplývá, že v důsledku předběžného posuzování podle čl. 6 odst. 2 písm. a) této směrnice nesmí být ohroženo právo vstupu u osob, které požívají práva na volný pohyb na území dotčeného členského státu stanoveného ve směrnici 2004/38, a kromě toho musí být respektováno nařízení č. 562/2006. Systém zavedený směrnicí PNR tak neumožňuje příslušným orgánům omezit toto právo nad rámec toho, co stanoví směrnice 2004/38 a nařízení č. 562/2006. |
i) K porovnání údajů PNR s databázemi
182 |
Podle čl. 6 odst. 3 písm. a) směrnice PNR útvar pro informace o cestujících „může“, pokud provádí posuzování uvedené v čl. 6 odst. 2 písm. a) této směrnice, porovnat údaje PNR s „databázemi, jež mají význam“ z hlediska prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, „včetně databází hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, a to v souladu s pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze“. |
183 |
Ačkoli ze samotného znění tohoto čl. 6 odst. 3 písm. a) směrnice PNR, zejména ze slova „včetně“, vyplývá, že databáze týkající se hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, patří mezi „databáze, jež mají význam“ uvedené v tomto ustanovení, toto ustanovení naproti tomu nicméně neupřesňuje, které další databáze by mohly být rovněž považovány za databáze, „jež mají význam“, s ohledem na cíle sledované touto směrnicí. Jak uvedl generální advokát v bodě 217 svého stanoviska, uvedené ustanovení totiž výslovně neupřesňuje povahu údajů, které mohou být v těchto databázích obsaženy, a jejich vztah k těmto účelům, ani neuvádí, zda musí být údaje PNR porovnávány výhradně s databázemi spravovanými orgány veřejné moci, nebo zda mohou být porovnávány i s databázemi spravovanými soukromými osobami. |
184 |
Za těchto podmínek by čl. 6 odst. 3 písm. a) směrnice PNR mohl být prima facie vykládán v tom smyslu, že údaje PNR mohou být použity jako pouhá vyhledávací kritéria pro účely provádění analýz různých databází, včetně databází, které spravují a provozují bezpečnostní a zpravodajské agentury členských států za účelem dosažení jiných cílů, než jsou cíle uvedené v této směrnici, a že tyto analýzy mohou mít podobu vytěžování dat (data mining). Možnost provádět takové analýzy a porovnávat údaje PNR s takovými databázemi by přitom v cestujících mohla vyvolat pocit, že jejich soukromí podléhá určité formě dohledu. Ačkoli tedy předběžné posouzení stanovené v tomto ustanovení vychází z poměrně omezeného souboru údajů, jakými jsou údaje PNR, nelze takový výklad čl. 6 odst. 3 písm. a) přijmout, neboť by mohl vést k nepřiměřenému používání těchto údajů a poskytovat prostředky ke zjištění přesného profilu subjektů údajů pouze z toho důvodu, že hodlají cestovat letecky. |
185 |
Proto je třeba v souladu s judikaturou připomenutou v bodech 86 a 87 tohoto rozsudku čl. 6 odst. 3 písm. a) směrnice PNR vykládat tak, aby bylo zajištěno plné dodržování základních práv zakotvených v článcích 7 a 8 Listiny. |
186 |
V tomto ohledu z bodů 7 a 15 odůvodnění směrnice PNR vyplývá, že automatizované zpracování stanovené v čl. 6 odst. 3 písm. a) této směrnice musí být omezeno na to, co je nezbytně nutné pro účely boje proti teroristickým trestným činům a závažné trestné činnosti, přičemž musí být zajištěna vysoká úroveň ochrany těchto základních práv. |
187 |
Jak mimoto v podstatě uvedla Komise v odpovědi na dotaz Soudního dvora, znění tohoto ustanovení, podle něhož útvar pro informace o cestujících „může“ porovnat údaje PNR s databázemi, které toto ustanovení uvádí, umožňuje útvaru pro informace o cestujících zvolit si způsob zpracování, který je v závislosti na konkrétní situaci omezen na to, co je nezbytně nutné. S ohledem na nezbytný soulad s požadavky na jasnost a přesnost vyžadovaný k zajištění ochrany základních práv zakotvených v článcích 7 a 8 Listiny je přitom útvar pro informace o cestujících povinen omezit automatizované zpracování stanovené v čl. 6 odst. 3 písm. a) směrnice PNR pouze na ty databáze, které toto ustanovení umožňuje identifikovat. V tomto ohledu, zatímco odkaz na „databáze, jež mají význam“ v posledně uvedeném ustanovení neumožňuje výklad, který by dostatečně jasně a přesně specifikoval databáze, na něž se odkazuje, totéž neplatí o odkazu na „databáze hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, a to v souladu s pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze“. |
188 |
V důsledku toho, jak generální advokát v podstatě uvedl v bodě 219 svého stanoviska, čl. 6 odst. 3 písm. a) směrnice PNR musí být s ohledem na tato základní práva vykládán v tom smyslu, že posledně uvedené databáze jsou jedinými databázemi, s nimiž může útvar pro informace o cestujících porovnávat údaje PNR. |
189 |
Pokud jde o požadavky, které musí tyto databáze splňovat, je třeba uvést, že podle čl. 6 odst. 4 směrnice PNR musí být předběžné posouzení prováděné na základě předem stanovených kritérií podle čl. 6 odst. 3 písm. b) této směrnice prováděno nediskriminačním způsobem, tato kritéria musí být cílená, přiměřená a specifická a musí být stanovena a pravidelně přezkoumávána útvarem pro informace o cestujících ve spolupráci s příslušnými orgány uvedenými v článku 7 této směrnice. Pokud se čl. 6 odst. 4 s odkazem na čl. 6 odst. 3 písm. b) této směrnice vztahuje pouze na zpracování údajů PNR na základě na předem stanovených kritérií, je třeba toto ustanovení vykládat s ohledem na články 7, 8 a 21 Listiny v tom smyslu, že požadavky, které stanoví, se musí obdobně použít na porovnávání těchto údajů s databázemi uvedenými v předchozím bodě tohoto rozsudku, a to tím spíše, že tyto požadavky v podstatě odpovídají požadavkům přijatým pro konfrontaci údajů PNR s databázemi v judikatuře vyplývající z posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592, bod 172). |
190 |
V této souvislosti je třeba upřesnit, že požadavek týkající se nediskriminační povahy těchto databází znamená zejména to, že zápis do databází týkajících se hledaných osob nebo osob, o nichž byl proveden záznam, musí být založen na objektivních a nediskriminačních prvcích vymezených pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 78). |
191 |
Kromě toho proto, aby byl splněn požadavek cílenosti, přiměřenosti a specifičnosti předem stanovených kritérií, musí být databáze uvedené v bodě 188 tohoto rozsudku využívány v souvislosti s bojem proti teroristickým trestným činům a závažné trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících. |
192 |
Mimoto databáze používané podle čl. 6 odst. 3 písm. a) směrnice PNR musí být s ohledem na úvahy uvedené v bodech 183 a 184 tohoto rozsudku spravovány příslušnými orgány uvedenými v článku 7 této směrnice nebo, v případě databází Unie a mezinárodních databází, provozovány těmito orgány v rámci jejich úkolů v oblasti boje proti teroristickým trestným činům a závažné trestné činnosti. To platí přitom pro databáze hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, a to v souladu s pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze. |
ii) Ke zpracování údajů PNR na základě předem stanovených kritérií
193 |
Článek 6 odst. 3 písm. b) směrnice PNR stanoví, že útvar pro informace o cestujících může údaje PNR zpracovávat také na základě předem stanovených kritérií. Z článku 6 odst. 2 písm. a) této směrnice vyplývá, že účelem předběžného posouzení, a tedy zpracování údajů PNR na základě předem stanovených kritérií, je v podstatě identifikace osob, které mohou být zapojeny do teroristického trestného činu nebo závažného trestného činu. |
194 |
Pokud jde o kritéria, která může útvar pro informace o cestujících pro tento účel použít, je třeba především poznamenat, že podle samotného znění čl. 6 odst. 3 písm. b) směrnice PNR musí být tato kritéria „předem stanovená“. Jak uvedl generální advokát v bodě 228 svého stanoviska, tento požadavek brání použití technologií umělé inteligence s tzv. strojovým učením (machine learning), které mohou bez lidského zásahu a kontroly měnit proces posuzování a zejména kritéria posuzování, na nichž je založen výsledek použití tohoto procesu, jakož i vážení těchto kritérií. |
195 |
Je třeba dodat, že používání takových technologií by mohlo vést k tomu, že individuální přezkum pozitivních shod a kontrola zákonnosti vyžadované ustanoveními směrnice PNR budou zbaveny užitečného účinku. Jak totiž generální advokát v podstatě uvedl v bodě 228 svého stanoviska, vzhledem k nedostatečné transparentnosti fungování technologií umělé inteligence se může ukázat jako nemožné pochopit důvod, proč daný program dosáhl pozitivní shody. Za těchto okolností by použití takových technologií mohlo zbavit subjekty údajů také jejich práva na účinnou právní ochranu zakotveného v článku 47 Listiny, které má směrnice PNR podle bodu 28 odůvodnění zaručit na vysoké úrovni, zejména pokud jde o zpochybnění nediskriminační povahy získaných výsledků. |
196 |
Pokud jde dále o požadavky vyplývající z čl. 6 odst. 4 směrnice PNR, toto ustanovení ve své první větě stanoví, že předběžné posouzení na základě předem stanovených kritérií se provádí nediskriminačním způsobem, a ve své čtvrté větě upřesňuje, že tato kritéria nesmí být za žádných okolností založena na rasovém ani etnickém původu dané osoby, jejích politických názorech, náboženském či filozofickém přesvědčení, členství v odborových organizacích, zdraví, sexuálním životě nebo sexuální orientaci. |
197 |
Členské státy tedy nemohou jako předem stanovená kritéria používat kritéria založená na charakteristikách uvedených v předchozím bodě tohoto rozsudku, jejichž použití může vést k diskriminaci. V tomto ohledu ze znění čl. 6 odst. 4 čtvrté věty směrnice PNR, podle níž nesmí být předem stanovená kritéria „za žádných okolností“ založena na těchto charakteristikách, vyplývá, že toto ustanovení zahrnuje jak přímou, tak nepřímou diskriminaci. Tento výklad je kromě toho potvrzen čl. 21 odst. 1 Listiny, v jehož světle je třeba toto ustanovení vykládat a který zakazuje „jakoukoli“ diskriminaci na základě těchto charakteristik. Za těchto okolností musí být předem stanovená kritéria stanovena tak, aby jejich uplatňování, byť formulováno neutrálně, nemohlo zvláště znevýhodnit osoby s chráněnými charakteristikami. |
198 |
Pokud jde o požadavky týkající se cílené, přiměřené a specifické povahy předem stanovených kritérií uvedené v čl. 6 odst. 4 druhé větě směrnice PNR, z těchto požadavků vyplývá, že kritéria použitá pro účely předběžného posouzení musí být stanovena tak, aby se zaměřovala konkrétně na ty jednotlivce, u nichž může existovat důvodné podezření ze zapojení do teroristického trestného činu nebo závažného trestného činu uvedeného v této směrnici. Tento výklad podporuje i samotné znění čl. 6 odst. 2 písm. a) této směrnice, které zdůrazňuje „to“, že tyto osoby „mohou“ být zapojeny do teroristického trestného činu nebo závažného trestného činu. Ve stejném smyslu bod 7 odůvodnění uvedené směrnice stanoví, že používání kritérií pro posouzení by mělo být omezeno na teroristické trestné činy a závažnou trestnou činnost, „pro něž je použití takových kritérií relevantní“. |
199 |
Za účelem takového zaměření na takto uvedené osoby a s ohledem na riziko diskriminace, které s sebou nesou kritéria založená na charakteristikách uvedených v čl. 6 odst. 4 čtvrté větě směrnice PNR, se útvar pro informace o cestujících a příslušné orgány v zásadě nemohou na tyto charakteristiky spoléhat. Naproti tomu, jak uvedla německá vláda na jednání, mohou vzít v úvahu mimo jiné zvláštnosti ve faktickém chování osob v souvislosti s přípravou a realizací letecké dopravy, které by podle zjištění a zkušeností příslušných orgánů mohly naznačovat, že takto jednající osoby mohou být zapojeny do teroristických trestných činů nebo závažné trestné činnosti. |
200 |
V této souvislosti, jak uvedla Komise v odpovědi na dotaz Soudního dvora, musí být předem stanovená kritéria stanovena tak, aby zohledňovala jak skutečnosti „v neprospěch“, tak skutečnosti „ve prospěch“, neboť tento požadavek může přispět ke spolehlivosti těchto kritérií a zejména k zajištění jejich přiměřenosti, jak vyžaduje čl. 6 odst. 4 druhá věta směrnice PNR. |
201 |
Konečně podle čl. 6 odst. 4 třetí věty této směrnice musí být předem stanovená kritéria pravidelně přezkoumávána. V rámci tohoto přezkumu musí být tato kritéria aktualizována s ohledem na vývoj podmínek, které odůvodnily jejich zohlednění pro účely předběžného posouzení, čímž je umožněno zejména reagovat na vývoj boje proti terorismu a závažné trestné činnosti uvedeným v bodě 157 tohoto rozsudku [obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 82]. Tento přezkum by měl zejména zohlednit zkušenosti získané při uplatňování předem stanovených kritérií s cílem co nejvíce snížit počet „falešně pozitivních“ výsledků, a tím přispět k přísné nezbytnosti použití těchto kritérií. |
iii) K zárukám provázejícím automatizované zpracování údajů PNR
202 |
Dodržování požadavků, kterým čl. 6 odst. 4 směrnice PNR podřizuje automatizované zpracování údajů PNR, je nezbytné nejen v souvislosti s určením a přezkumem databází a předem stanovených kritérií stanovených v tomto ustanovení, ale také, jak uvedl generální advokát v bodě 230 svého stanoviska, v průběhu celého procesu zpracování těchto údajů. |
203 |
Pokud jde konkrétně o předem stanovená kritéria, je třeba nejprve uvést, že ačkoli musí útvar pro informace o cestujících, jak je uvedeno v bodě 7 odůvodnění směrnice PNR, definovat kritéria pro posouzení tak, aby byl počet nevinných osob nesprávně identifikovaných systémem zavedeným touto směrnicí co nejmenší, tentýž útvar musí v souladu s čl. 6 odst. 5 a 6 uvedené směrnice provést individuální přezkum každé pozitivní shody neautomatizovanými prostředky s cílem v co nejvyšší míře identifikovat možnou existenci „falešně pozitivních“ výsledků. Kromě toho, aniž je dotčena skutečnost, že musí stanovit kritéria pro posouzení nediskriminačním způsobem, je útvar pro informace o cestujících povinen provést takový přezkum, aby vyloučil případné diskriminační výsledky. Stejnou povinnost přezkumu musí útvar pro informace o cestujících dodržovat i při porovnávání údajů PNR s databázemi. |
204 |
Útvar pro informace o cestujících se tedy musí zdržet předávání výsledků těchto automatizovaných operací zpracování příslušným orgánům uvedeným v článku 7 směrnice o PNR, pokud s ohledem na úvahy uvedené v bodě 198 tohoto rozsudku nemá na základě takového přezkumu důkazy, které by mohly právně dostačujícím způsobem zakládat důvodné podezření ze zapojení se do teroristických trestných činů nebo závažné trestné činnosti ve vztahu k osobám identifikovaným prostřednictvím těchto automatizovaných zpracování, nebo pokud má důkazy o tom, že uvedená zpracování vedou k diskriminačním výsledkům. |
205 |
Pokud jde o ověření, která musí útvar pro informace pro cestující za tímto účelem provádět, z čl. 6 odst. 5 a 6 směrnice PNR ve spojení s body 20 a 22 odůvodnění této směrnice vyplývá, že členské státy musí stanovit jasná a přesná pravidla pro vedení a dohled nad analýzou prováděnou pracovníky odpovědnými za individuální přezkum s cílem zajistit plné dodržování základních práv zakotvených v článcích 7, 8 a 21 Listiny, a zejména zaručit jednotnou správní praxi v rámci útvaru pro informace o cestujících, která by respektovala zásadu nediskriminace. |
206 |
Zejména vzhledem k poměrně vysokému počtu „falešně pozitivních“ výsledků, jak je uvedeno v bodě 106 tohoto rozsudku, musí členské státy zajistit, aby útvar pro informace o cestujících stanovil jasným a přesným způsobem objektivní kritéria přezkumu umožňující jeho pracovníkům ověřit, zda a do jaké míry se pozitivní shoda (hit) skutečně týká jednotlivce, který může být zapojen do teroristických trestných činů nebo závažné trestné činnosti uvedených v bodě 157 tohoto rozsudku, a musí být proto podrobněji přezkoumány příslušnými orgány uvedenými v článku 7 této směrnice, jakož i dále nediskriminační povahu automatizovaného zpracování stanoveného uvedenou směrnicí, a zejména předem stanovených kritérií a použitých databází. |
207 |
V této souvislosti jsou členské státy povinny zajistit, aby v souladu s čl. 13 odst. 5 směrnice PNR ve spojení s bodem 37 odůvodnění této směrnice útvar pro informace o cestujících vedl záznam o veškerém zpracování údajů PNR provedeném v rámci předběžného posouzení, a to i v rámci individuálního přezkumu neautomatizovanými prostředky, za účelem ověření jeho zákonnosti a vlastní kontroly. |
208 |
Dále, příslušné orgány nemohou na základě čl. 7 odst. 6 první věty směrnice PNR přijmout žádné rozhodnutí, které má pro osobu nepříznivé právní účinky nebo se jí závažným způsobem dotýká, pouze na základě automatizovaného zpracování údajů PNR, což znamená, že v rámci předběžného posouzení musí vzít v úvahu a případně upřednostnit výsledek individuálního přezkumu provedeného neautomatizovanými prostředky útvarem pro informace o cestujících před výsledkem získaným automatizovaným zpracováním. Druhá věta tohoto čl. 7 odst. 6 upřesňuje, že taková rozhodnutí nesmí být diskriminační. |
209 |
V této souvislosti musí příslušné orgány zajistit zákonnost jak takového automatizovaného zpracování, zejména jeho nediskriminační povahu, tak i individuálního přezkumu. |
210 |
Příslušné orgány se musí zejména ujistit o tom, že dotyčný, aniž je mu nutně umožněno seznámit se v průběhu správního řízení s předem stanovenými kritérii pro posouzení a s programy, které tato kritéria používají, může chápat fungování těchto kritérií a těchto programů tak, aby se mohl rozhodnout s plnou znalostí věci, zda uplatní své právo na soudní přezkum zaručené v čl. 13 odst. 1 směrnice PNR za účelem případného zpochybnění protiprávní a zejména diskriminační povahy uvedených kritérií (obdobně viz rozsudek ze dne 24. listopadu 2020, Minister van Buitenlandse Zaken, C‑225/19 a C‑226/19, EU:C:2020:951, bod 43 a citovaná judikatura). Totéž platí pro kritéria pro přezkum uvedená v bodě 206 tohoto rozsudku. |
211 |
Konečně v rámci žaloby podané na základě čl. 13 odst. 1 směrnice PNR musí mít soud pověřený přezkumem legality rozhodnutí přijatého příslušnými orgány, jakož i dotyčný, s výjimkou případů ohrožení národní bezpečnosti, možnost seznámit se s veškerými odůvodněními i souvisejícími důkazy, na jejichž základě bylo toto rozhodnutí přijato (obdobně viz rozsudek ze dne 4. června 2013, ZZ, C‑300/11, EU:C:2013:363, body 54 až 59), včetně předem stanovených kritérií pro posouzení a fungováním programů, která tato kritéria používají. |
212 |
Kromě toho na základě čl. 6 odst. 7 a čl. 15 odst. 3 písm. b) směrnice PNR jsou pracovník pro ochranu údajů a vnitrostátní orgán dohledu povinni zajistit kontrolu zákonnosti automatizovaných zpracování prováděných útvarem pro informace o cestujících v rámci předběžného posouzení, včetně přezkumu nediskriminační povahy těchto zpracování. I když první z těchto ustanovení za tímto účelem upřesňuje, že pracovník pro ochranu údajů má přístup ke všem údajům zpracovávaným útvarem pro informace o cestujících, tento přístup se musí nutně vztahovat na předem stanovená kritéria a databáze používané tímto útvarem, aby byla zajištěna účinnost a vysoká úroveň ochrany údajů, kterou musí tento pracovník zajistit v souladu s bodem 37 odůvodnění této směrnice. Stejně tak šetření, inspekce a audity, které provádí vnitrostátní orgán dohledu podle druhého z těchto ustanovení, se mohou týkat i těchto předem stanovených kritérií a těchto databází. |
213 |
Ze všech výše uvedených úvah vyplývá, že ustanovení směrnice PNR upravující předběžné posouzení údajů PNR podle čl. 6 odst. 2 písm. a) této směrnice lze vykládat v souladu s články 7, 8 a 21 Listiny při respektování mezí toho, co je nezbytně nutné. |
6) K následnému poskytnutí a posouzení údajů PNR
214 |
Na základě čl. 6 odst. 2 písm. b) směrnice PNR mohou být rovněž po podání žádosti příslušných orgánů údaje PNR těmto orgánům poskytnuty a být posouzeny po stanoveném příletu do členského státu nebo po stanoveném odletu z něj. |
215 |
Pokud jde o podmínky, za nichž lze takové poskytnutí a posuzování provést, ze znění tohoto ustanovení jasně vyplývá, že úvar pro informace o cestujících může zpracovávat údaje PNR pro účely reakce, na základě posouzení „jednotlivých případů“, „po podání řádně zdůvodněné žádosti založené na dostatečných poznatcích“ příslušných orgánů o poskytnutí a zpracování údajů PNR „v konkrétních případech za účelem prevence, odhalování, vyšetřování a stíhání teroristického trestného činu nebo závažného trestného činu“. Mimoto, pokud je žádost podána více než šest měsíců po předání údajů PNR útvaru pro informace o cestujících, tedy doby, po jejímž uplynutí jsou veškeré údaje PNR v souladu s čl. 12 odst. 2 této směrnice depersonalizovány maskováním některých prvků, čl. 12 odst. 3 uvedené směrnice stanoví, že se povolí zpřístupnění úplných údajů PNR, a tedy jejich verze, která není depersonalizovaná, pouze pokud jsou splněny dvě podmínky, a to zaprvé pokud lze rozumně důvodně předpokládat, že je to nezbytné pro účely čl. 6 odst. 2 písm. b) uvedené směrnice, a zadruhé pokud to schválí soudní orgán nebo jiný vnitrostátní orgán příslušný podle vnitrostátního práva. |
216 |
V tomto ohledu především ze samotného znění čl. 6 odst. 2 písm. b) směrnice PNR vyplývá, že útvar pro informace o cestujících nemůže systematicky poskytovat a následně posuzovat údaje PNR o všech cestujících v letecké dopravě a že může reagovat pouze na základě posouzení „jednotlivých posouzení“ po podání žádosti o takové zpracování „v konkrétních případech“. Jelikož však toto ustanovení odkazuje na „konkrétní případy“, nemusí se takové zpracování nutně omezovat na údaje PNR jednoho cestujícího v letecké dopravě, ale může se, jak Komise uvedla v odpovědi na dotaz Soudního dvora, týkat i většího počtu osob za předpokladu, že subjekty údajů mají řadu společných znaků, které umožňují, aby byly společně považovány za „konkrétní případ“ pro účely požadovaného poskytnutí a posouzení. |
217 |
Pokud jde dále o hmotněprávní podmínky vyžadované proto, aby údaje PNR o cestujících v letecké dopravě mohly být poskytnuty a následně posouzeny, ačkoli čl. 6 odst. 2 písm. b) a čl. 12 odst. 3 písm. a) směrnice PNR odkazují na „dostatečné poznatky“, respektive „lze důvodně předpokládat“, aniž výslovně specifikují povahu těchto důvodů, ze samotného znění prvního z těchto ustanovení, které odkazuje na účely uvedené v čl. 1 odst. 2 uvedené směrnice, nicméně vyplývá, že poskytnutí údajů PNR a následné posouzení může být prováděno pouze za účelem ověření existence indicií o možném zapojení subjektů údajů do teroristických trestných činů nebo do závažné formy trestné činnosti, které mají, jak vyplývá z bodu 157 tohoto rozsudku, alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících. |
218 |
V rámci systému zavedeného směrnicí PNR se přitom poskytování a zpracovávání údajů PNR podle čl. 6 odst. 2 písm. b) této směrnice týká údajů osob, které již byly předmětem předchozího posouzení před jejich očekávaným příletem do dotyčného členského státu nebo jejich odletem z něj. Mimoto žádost o následné posouzení se může týkat zejména osob, jejichž údaje PNR nebyly po předběžném posouzení předány příslušným orgánům, jelikož předběžné posouzení neodhalilo žádné skutečnosti svědčící o tom, že by tyto osoby mohly být zapojeny do teroristických trestných činů nebo závažné trestné činnosti s alespoň nepřímou objektivní souvislostí s leteckou přepravou cestujících. Za těchto okolností musí být poskytnutí a zpracování těchto údajů za účelem jejich následného posouzení založeno na nových okolnostech, které odůvodňují takové využití [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 200 a citovaná judikatura]. |
219 |
Pokud jde o povahu okolností, které mohou odůvodnit poskytnutí a zpracování údajů PNR pro účely jejich následného posouzení, podle ustálené judikatury platí, že vzhledem k tomu, že obecný přístup ke všem uchovávaným údajům bez ohledu na jakoukoli alespoň nepřímou souvislost se sledovaným cílem nelze považovat za omezený na to, co je nezbytně nutné, musí dotčená právní úprava, ať již unijní právní úprava nebo vnitrostátní právní úprava, která unijní úpravu provádí, vycházet z objektivních kritérií, na jejichž základě jsou vymezeny okolnosti a podmínky, za nichž musí být příslušným vnitrostátním orgánům přístup k dotčeným údajům poskytnut. V tomto ohledu lze v zásadě takový přístup udělit v souvislosti s cílem boje proti trestné činnosti pouze k údajům osob, u nichž existuje podezření, že připravují, páchají či spáchaly závažný trestný čin nebo se určitým způsobem na takovém trestném činu podílely. Nicméně v určitých situacích, jako jsou případy, kdy jsou ohroženy stěžejní zájmy národní bezpečnosti, obrany nebo veřejné bezpečnosti teroristickými činnostmi, lze rovněž poskytnout přístup k údajům jiných osob, jsou-li dány objektivní skutečnosti, na jejichž základě lze mít za to, že tyto údaje mohou v konkrétním případě účinně přispět k boji proti takovým činnostem [rozsudky ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci), C‑746/18, EU:C:2021:152, bod 50 a citovaná judikatura, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 105]. |
220 |
Výrazy „dostatečné poznatky“ a „lze důvodně předpokládat“ uvedené v čl. 6 odst. 2 písm. b) a v čl. 12 odst. 3 písm. a) směrnice PNR musí být ve světle článků 7 a 8 Listiny vykládány tak, že odkazují na objektivní skutečnosti, které mohou vyvolat důvodné podezření, že dotyčná osoba je nějakým způsobem zapojena do závažné trestné činnosti, která alespoň nepřímo objektivně souvisí s leteckou přepravou cestujících, zatímco pokud jde o teroristické trestné činy vykazující takovou souvislost, je tento požadavek splněn, pokud existují objektivní skutečnosti, na jejichž základě lze mít za to, že by údaje PNR mohly v konkrétním případě účinně přispět k boji proti těmto trestným činům. |
221 |
Konečně, pokud jde o procesní podmínky, kterými se řídí poskytnutí a zpracování údajů PNR pro účely jejich následného posouzení, čl. 12 odst. 3 písm. b) směrnice PNR vyžaduje, v případě, že je žádost podána po více než šesti měsících po jejich předání útvaru pro informace o cestujících, tj. když jsou v souladu s odstavcem 2 uvedeného článku veškeré údaje PNR depersonalizovány maskováním prvků uvedených v tomto odstavci 2, aby poskytnutí úplných údajů PNR, a tedy jejich verze, která není depersonalizovaná, schválil soudní orgán nebo jiný vnitrostátní orgán příslušný podle vnitrostátního práva. V této souvislosti přísluší těmto orgánům, aby v plném rozsahu přezkoumaly opodstatněnost žádosti, a zejména, aby ověřily, zda důkazy předložené na podporu uvedené žádosti mohou doložit hmotněprávní podmínku týkající se existence případů, kdy „lze důvodně předpokládat“, uvedenou v předchozím bodě tohoto rozsudku. |
222 |
Je pravda, že v případě, kdy je žádost o následné poskytnutí a posouzení údajů PNR podána před uplynutím šestiměsíčního období po předání těchto údajů, čl. 6 odst. 2 písm. b) směrnice PNR takovou procesní podmínku výslovně nestanoví. Výklad posledně uvedeného ustanovení však musí zohlednit bod 25 odůvodnění této směrnice, z něhož vyplývá, že stanovením této procesní podmínky chtěl unijní normotvůrce „zaručit nejvyšší úroveň ochrany údajů“, pokud jde o přístup k údajům PNR ve formě, která umožňuje přímou identifikaci subjektů údajů. Jakákoli žádost o následné poskytnutí a posouzení přitom implikuje takový přístup k těmto údajům, a to bez ohledu na to, zda je tato žádost podána před uplynutím šestiměsíčního období po předání údajů PNR útvaru pro informace o cestujících nebo po uplynutí tohoto období. |
223 |
Za účelem zaručení plného dodržování základních práv v systému zavedeném směrnicí PNR, a obzvláště podmínek uvedených v bodech 218 a 219 tohoto rozsudku v praxi, je zejména nezbytné, aby poskytnutí údajů PNR pro účely následného posouzení v zásadě podléhalo – s výjimkou náležitě odůvodněných naléhavých případů – předchozímu přezkumu ze strany soudu nebo nezávislého správního orgánu a tento soud nebo orgán rozhodoval na základě odůvodněné žádosti příslušných orgánů podané zejména v rámci postupů pro předcházení, odhalování nebo stíhání trestných činů. V případě náležitě odůvodněných naléhavých případů musí být uvedený přezkum proveden v co nejkratší době [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 202 a citovaná judikatura, jakož i rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 110]. |
224 |
Za těchto okolností se požadavek předchozího přezkumu stanoveného v čl. 12 odst. 3 písm. b) směrnice PNR pro žádosti o poskytnutí údajů PNR podané po uplynutí doby šesti měsíců po předání těchto údajů útvaru pro informace o cestujících musí obdobně použít i v případě, že je žádost o poskytnutí podána před uplynutím této doby. |
225 |
Kromě toho, ačkoli čl. 12 odst. 3 písm. b) směrnice PNR výslovně neupřesňuje požadavky, které musí splňovat orgán odpovědný za předchozí přezkum, z ustálené judikatury vyplývá, že k zajištění toho, aby byl zásah do základních práv zaručených články 7 a 8 Listiny, který vyplývá z přístupu k osobním údajům, omezen na nezbytně nutné, musí mít tento orgán veškeré pravomoci a předložit veškeré záruky nezbytné k zajištění souladu různých dotčených zájmů a práv. Pokud jde konkrétně o vyšetřování, takový přezkum vyžaduje, aby tento orgán byl schopen zajistit spravedlivou rovnováhu mezi legitimními zájmy souvisejícími s potřebami vyšetřování v rámci boje proti trestné činnosti na jedné straně a základními právy na respektování soukromého života a na ochranu osobních údajů osob, jichž se přístup dotýká, na straně druhé (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 107, jakož i citovaná judikatura). |
226 |
Takový orgán musí mít za tímto účelem postavení, které mu umožňuje jednat při plnění svých povinností objektivně a nestranně, a za tímto účelem musí být zcela mimo dosah jakýchkoli vnějších vlivů. Z požadavku nezávislosti plyne, že tento orgán musí být ve vztahu k orgánu, který žádá o přístup k údajům, třetím subjektem, aby byl prvně uvedený orgán schopen tento přezkum vykonat objektivně a nestranně zcela mimo dosah jakýchkoliv vnějších vlivů. V oblasti trestního práva požadavek nezávislosti konkrétně znamená, že uvedený orgán nesmí být zaprvé zapojen do předmětného vyšetřování a zadruhé musí mít vůči účastníkům trestního řízení neutrální postavení (v tomto smyslu viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 108, jakož i citovaná judikatura). |
227 |
Ustanovení směrnice PNR upravující následné poskytnutí a posouzení údajů PNR podle čl. 6 odst. 2 písm. b) této směrnice lze proto vykládat v souladu s články 7 a 8 a čl. 52 odst. 1 Listiny v mezích toho, co je nezbytně nutné. |
228 |
S ohledem na všechny výše uvedené úvahy, jelikož výklad směrnice PNR ve světle článků 7, 8 a 21, jakož i čl. 52 odst. 1 Listiny zajišťuje soulad této směrnice s těmito články Listiny, přezkum druhé až čtvrté a šesté otázky neodhalil žádnou skutečnost, která by měla vliv na platnost uvedené směrnice. |
C. K páté otázce
229 |
Podstatou páté otázky předkládajícího soudu je, zda musí být článek 6 směrnice PNR, ve spojení s články 7 a 8, jakož i čl. 52 odst. 1 Listiny vykládán v tom smyslu, že brání vnitrostátním právním předpisům, které připouští zpracování údajů PNR shromážděných v souladu s touto směrnicí pro účely monitorování činností sledovaných zpravodajskými a bezpečnostními službami. |
230 |
Z žádosti o rozhodnutí o předběžné otázce vyplývá, že touto otázkou má vnitrostátní soud na mysli konkrétněji činnost Sûreté de l’État (Státní bezpečnost, Belgie) a Service général du renseignement et de la sécurité (Obecná zpravodajská a bezpečnostní služba, Belgie) v rámci jejich příslušných úkolů týkajících se ochrany národní bezpečnosti. |
231 |
V tomto ohledu unijní normotvůrce v zájmu dodržení zásad legality a proporcionality uvedených zejména v čl. 52 odst. 1 Listiny stanovil jasná a přesná pravidla, která upravují účel opatření stanovených směrnicí PNR, která zahrnují zásahy do základních práv zaručených články 7 a 8 Listiny. |
232 |
Článek 1 odst. 2 směrnice PNR totiž výslovně stanoví, že údaje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány „pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, jak je stanoveno v čl. 6 odst. 2 písm. a), b) a c) [uvedené směrnice]“. Toto ustanovení potvrzuje zásadu stanovenou v tomto čl. 1 odst. 2, když odkazuje systematicky na pojmy „teroristické trestné činy“ a „závažná trestná činnost“. |
233 |
Ze znění těchto ustanovení je tedy zřejmé, že výčet cílů, které sleduje zpracování údajů PNR na základě směrnice o PNR, je taxativní. |
234 |
Tento výklad potvrzuje mimo jiné bod 11 odůvodnění směrnice PNR, podle něhož musí být zpracování údajů PNR přiměřené „konkrétním bezpečnostním cílům“, jež tato směrnice sleduje, a čl. 7 odst. 4 této směrnice, podle něhož mohou být údaje PNR a výsledek zpracování těchto údajů obdržené od útvaru pro informace o cestujících dále zpracovávány „pouze pro konkrétní účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti“. |
235 |
Kromě toho z taxativní povahy účelů uvedených v čl. 1 odst. 2 směrnice PNR rovněž vyplývá, že údaje PNR nemohou být uchovávány v jediné databázi, do níž lze nahlížet jak pro tyto účely, tak pro jiné účely. Uchovávání těchto údajů v takové databázi by totiž znamenalo riziko, že by tyto údaje byly použity k jiným účelům, než jsou účely uvedené v tomto čl. 1 odst. 2. |
236 |
V projednávané věci, pokud podle předkládajícího soudu vnitrostátní právní předpisy dotčené v původním řízení připouští jako účel zpracování údajů PNR monitorování činností sledovaných zpravodajskými a bezpečnostními službami, a začleňují tak tento účel do prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, mohou tyto právní předpisy porušovat taxativní povahu výčtu účelů, které sleduje zpracování údajů PNR podle směrnice PNR, což přísluší ověřit předkládajícímu soudu. |
237 |
Na pátou otázku je tudíž třeba odpovědět tak, že článek 6 směrnice PNR, ve spojení s články 7 a 8, jakož i čl. 52 odst. 1 Listiny, musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, které připouští zpracování údajů PNR shromážděných v souladu s touto směrnicí pro jiné účely, než jsou účely výslovně uvedené v čl. 1 odst. 2 uvedené směrnice. |
D. K sedmé otázce
238 |
Podstatou sedmé otázky předkládajícího soudu je, zda musí být čl. 12 odst. 3 písm. b) směrnice PNR vykládán v tom smyslu, že brání vnitrostátním právním předpisům, podle nichž orgán určený jako útvar pro informace o cestujících má rovněž postavení příslušného vnitrostátního orgánu, který může povolit zpřístupnění úplných údajů PNR po uplynutí doby šesti měsíců od předání těchto údajů útvaru pro informace o cestujících. |
239 |
Úvodem je třeba poznamenat, že belgická vláda má pochybnosti o pravomoci Soudního dvora odpovědět na tuto otázku, jak ji formuloval předkládající soud, z toho důvodu, že pouze předkládající soud je příslušný k výkladu vnitrostátních předpisů, a zejména k posouzení požadavků vyplývajících ze zákona ze dne 25. prosince 2016 s ohledem na čl. 12 odst. 3 písm. b) směrnice PNR. |
240 |
V tomto ohledu stačí uvést, že uvedenou otázkou předkládající soud požaduje výklad ustanovení unijního práva. I když v rámci řízení zahajovaného na základě článku 267 SFEU přísluší výklad vnitrostátních ustanovení soudům členských států, a nikoli Soudnímu dvoru, a Soudnímu dvoru nepřísluší, aby se vyjadřoval ke slučitelnosti norem vnitrostátního práva s ustanoveními práva unijního, je naproti tomu Soudní dvůr příslušný k tomu, aby vnitrostátnímu soudu poskytl veškeré poznatky k výkladu unijního práva, které mu umožní posoudit slučitelnost norem vnitrostátního práva s unijní právní úpravou (rozsudek ze dne 30. dubna 2020, CTT – Correios de Portugal, C‑661/18, EU:C:2020:335, bod 28 a citovaná judikatura). Z toho vyplývá, že Soudní dvůr je příslušný k odpovědi na sedmou otázku. |
241 |
Ve věci samé je třeba uvést, že znění čl. 12 odst. 3 písm. b) směrnice PNR, který v písm. i) a ii) odkazuje na „soudní orgán“ a „jiný vnitrostátní orgán příslušný podle vnitrostátního práva k ověření splnění podmínek pro zpřístupnění“, staví tyto dva orgány na stejnou úroveň, jak vyplývá z použití spojky „nebo“ mezi těmito písm. i) a ii). Z této formulace tedy vyplývá, že takto uvedený „jiný“ příslušný vnitrostátní orgán představuje alternativu k soudnímu orgánu, a proto musí mít úroveň nezávislosti a nestrannosti srovnatelnou se soudním orgánem. |
242 |
Tato analýza je podpořena cílem směrnice PNR uvedeným v bodě 25 odůvodnění této směrnice zaručit nejvyšší úroveň ochrany údajů, pokud jde o přístup k úplným údajům PNR, které umožňují přímou identifikaci subjektu údajů. Tentýž bod odůvodnění ostatně upřesňuje, že takový přístup by měl být umožněn pouze za velmi přísných podmínek po uplynutí šesti měsíců od předání údajů PNR útvaru pro informace o cestujících. |
243 |
Tuto analýzu podporuje i geneze směrnice PNR. Zatímco totiž návrh směrnice uvedený v bodě 155 tohoto rozsudku, na jehož základě byla přijata směrnice PNR, pouze stanovil, že „[p]řístup k údajům PNR v plném rozsahu uděluje pouze vedoucí složky pro informace o cestujících“, verze čl. 12 odst. 3 písm. b) této směrnice, kterou nakonec přijal unijní normotvůrce, určuje soudní orgán a „jiný vnitrostátní orgán“ příslušný k ověření splnění podmínek pro zpřístupnění a ke schválení takového zpřístupnění, přičemž tyto orgány staví na stejnou úroveň. |
244 |
V souladu s ustálenou judikaturou připomenutou v bodech 223, 225 a 226 tohoto rozsudku je mimoto obzvláště nezbytné, aby přístup příslušných orgánů k uchovávaným údajům podléhal předchozímu přezkumu ze strany soudu nebo nezávislého správního orgánu a tento soud nebo tento orgán rozhodoval na základě odůvodněné žádosti příslušných orgánů podané zejména v rámci postupů pro předcházení, odhalování nebo stíhání trestných činů. Požadavek nezávislosti, který musí splňovat orgán pověřený výkonem předchozího přezkumu, rovněž vyžaduje, aby tento orgán byl ve vztahu k orgánu, který žádá o přístup k údajům, třetím subjektem, takže uvedený orgán musí být schopen tento přezkum vykonat objektivně a nestranně zcela mimo dosah jakýchkoliv vnějších vlivů. V oblasti trestního práva požadavek nezávislosti konkrétně znamená, že orgán pověřený tímto předchozím přezkumem nesmí být zaprvé zapojen do předmětného vyšetřování a zadruhé musí mít vůči účastníkům trestního řízení neutrální postavení. |
245 |
Jak přitom uvedl generální advokát v bodě 271 svého stanoviska, čl. 4 odst. 1 a 3 směrnice PNR stanoví, že útvar pro informace o cestujících je v každém členském státě zřízen nebo určen jako orgán příslušný pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti a že pracovníci útvaru pro informace o cestujících mohou být vysláni z příslušných orgánů uvedených v článku 7 této směrnice, takže útvar pro informace o cestujících je na tyto orgány nezbytně vázán. Podle čl. 6 odst. 2 písm. b) uvedené směrnice může útvar pro informace o cestujících rovněž provádět zpracování údajů PNR, jehož výsledek poskytne uvedeným orgánům. S ohledem na tyto skutečnosti nelze útvar pro informace o cestujících považovat za třetí subjekt ve vztahu k těmto orgánům, a tudíž za osobu, která splňuje všechny rysy nezávislosti a nestrannosti nezbytné k provádění předchozího přezkumu uvedeného v předchozím bodě tohoto rozsudku a k ověření, zda byly splněny podmínky pro poskytnutí úplných údajů PNR, jak stanoví čl. 12 odst. 3 písm. b) téže směrnice. |
246 |
Kromě toho skutečnost, že posledně uvedené ustanovení ve svém písm. ii) vyžaduje, aby v případě schválení zpřístupnění těchto úplných údajů „jiný[m] příslušný[m] vnitrostátní[m] orgán[em]“ byl pracovník pro ochranu údajů útvaru pro informace o cestujících „informován [a provedl] následný přezkum“, zatímco v případě schválení soudním orgánem tomu tak není, nemůže zpochybnit toto posouzení. Podle ustálené judikatury totiž platí, že takový následný přezkum, jako je přezkum prováděný pracovníkem pro ochranu údajů, neumožňuje naplnit cíl předchozího přezkumu, kterým je zabránit povolení přístupu k dotčeným údajům, který překračuje meze toho, co je nezbytně nutné (v tomto smyslu viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 110, jakož i citovaná judikatura). |
247 |
S ohledem na všechny tyto úvahy je třeba odpovědět na sedmou otázku tak, že čl. 12 odst. 3 písm. b) směrnice PNR musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, podle nichž orgán zřízený jako útvar pro informace o cestujících má rovněž postavení příslušného vnitrostátního orgánu, který může povolit zpřístupnění údajů PNR po uplynutí doby šesti měsíců od předání těchto údajů útvaru pro informace o cestujících. |
E. K osmé otázce
248 |
Podstatou osmé otázky předkládajícího soudu je, zda článek 12 směrnice PNR ve spojení s články 7 a 8, jakož i čl. 52 odst. 1 Listiny, musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, které stanoví obecnou dobu uchovávání údajů PNR v délce pěti let, a to bez rozlišení, zda dotčení cestující mohou či nemohou představovat riziko v oblasti teroristických trestných činů nebo závažné trestné činnosti. |
249 |
Je třeba připomenout, že podle čl. 12 odst. 1 a 4 této směrnice útvar pro informace o cestujících členského státu, na jehož území dotčený let přistává nebo z něj odlétá, uchovává údaje PNR poskytnuté leteckými dopravci v databázi po dobu pěti let po jejich předání tomuto útvaru a trvale je zlikviduje po uplynutí této pětileté doby. |
250 |
Jak připomíná bod 25 odůvodnění směrnice PNR, „doba uchování údajů PNR by měla být doba nezbytná pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti a měla by být těmto účelům přiměřená“. |
251 |
Uchovávání údajů PNR podle čl. 12 odst. 1 směrnice PNR proto nemůže být odůvodněné v případě neexistence objektivní souvislosti mezi tímto uchováváním a cíli sledovanými touto směrnicí, a sice bojem proti teroristickým trestným činům a závažné trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících. |
252 |
V tomto ohledu, jak vyplývá z bodu 25 odůvodnění směrnice PNR, je třeba rozlišovat mezi počáteční šestiměsíční dobou uchovávání uvedenou v čl. 12 odst. 2 této směrnice na jedné straně a následnou dobou uvedenou v čl. 12 odst. 3 uvedené směrnice na straně druhé. |
253 |
Při výkladu čl. 12 odst. 1 směrnice PNR je třeba zohlednit ustanovení obsažená v odstavcích 2 a 3 tohoto článku, která stanoví režim pro uchovávání a přístup k údajům PNR uchovávaným po uplynutí počáteční šestiměsíční doby uchovávání. Jak vyplývá z bodu 25 odůvodnění této směrnice, tato ustanovení odrážejí cíl zajistit, „aby byly údaje PNR uchovávány po dobu dostačující k provedení analýzy a k využití při vyšetřování“, které mohou být prováděny již během počáteční šestiměsíční doby uchovávání. Kromě toho je jejich cílem podle téhož bodu 25 odůvodnění „[zabránit] nepřiměřenému využívání údajů“ maskováním těchto údajů a „zaruč[it] nejvyšší úroveň ochrany údajů“ tím, že se povoluje přístup k těmto údajům ve formě, která umožňuje identifikaci subjektu údajů „po uplynutí počáteční doby uchovávání pouze za velmi přísných a omezených podmínek“, čímž je zohledněna skutečnost, že čím je delší doba uchovávání údajů PNR, tím je závažnější zásah, který z toho vyplývá. |
254 |
Rozlišení mezi počáteční šestiměsíční dobou uchovávání uvedenou v čl. 12 odst. 2 směrnice PNR a následnou dobou uvedenou v čl. 12 odst. 3 této směrnice se přitom vztahuje i na nezbytné splnění požadavku uvedeného v bodě 251 tohoto rozsudku. |
255 |
S ohledem na účely směrnice PNR a na potřeby vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti je tedy třeba mít za to, že uchovávání údajů PNR o všech cestujících v letecké dopravě, na které se vztahuje systém zavedený touto směrnicí, během počáteční šestiměsíční doby, aniž existuje sebemenší náznak o jejich zapojení do teroristických trestných činů nebo závažné trestné činnosti, podle všeho v zásadě nepřekračuje meze toho, co je nezbytně nutné, pokud umožňuje provést nezbytné vyšetřování za účelem identifikace osob, které nebyly podezřelé z účasti na teroristických trestných činech nebo závažné trestné činnosti. |
256 |
Naproti tomu, pokud jde o následné období uvedené v čl. 12 odst. 3 směrnice PNR, uchovávání údajů PNR o všech cestujících v letecké dopravě, na které se vztahuje systém zavedený touto směrnicí, kromě toho, že s sebou nese s ohledem na značné množství údajů, které mohou být uchovávány průběžně, inherentní rizika nepřiměřeného využití a zneužití (obdobně viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 119), je v rozporu s požadavkem bodu 25 odůvodnění této směrnice, podle něhož by tyto údaje měly být uchovávány pouze po dobu nezbytnou a přiměřenou sledovaným cílům, přičemž unijní normotvůrce měl v úmyslu stanovit nejvyšší úroveň ochrany údajů PNR, které umožňují přímou identifikaci subjektů údajů. |
257 |
V případě cestujících v letecké dopravě, u nichž ani předběžné posouzení uvedené v čl. 6 odst. 2 písm. a) směrnice PNR, ani případné kontroly provedené během šestiměsíční doby uvedené v čl. 12 odst. 2 této směrnice, ani žádné jiné okolnosti neodhalily existenci objektivních skutečností, které by mohly prokázat riziko teroristických trestných činů nebo závažné trestné činnosti, které by měly alespoň nepřímou objektivní souvislost s letem těchto cestujících, totiž za těchto okolností podle všeho neexistuje byť jen nepřímá souvislost mezi údaji PNR o těchto cestujících a cílem sledovaným uvedenou směrnicí, která by odůvodňovala uchovávání těchto údajů [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 204 a 205]. |
258 |
Je tedy patrné, že pokračující uchovávání údajů PNR o všech cestujících po počáteční šestiměsíční době není omezeno na to, co je nezbytně nutné [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 206]. |
259 |
V rozsahu, v němž jsou však v konkrétních případech identifikovány takové objektivní skutečnosti, jako jsou údaje PNR o cestujících, které vedly k ověřené pozitivní shodě, umožňující se domnívat, že by někteří cestující mohli představovat riziko v oblasti teroristických trestných činů nebo závažné trestné činnosti, zdá se být uchovávání jejich údajů PNR i po uplynutí počáteční doby přípustné [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 207 a citovaná judikatura]. |
260 |
Identifikace těchto objektivních skutečností totiž může vytvořit souvislost s účely, které sleduje zpracování podle směrnice PNR, takže uchovávání údajů PNR týkajících se těchto cestujících je odůvodněné po maximální dobu připuštěnou uvedenou směrnicí, tj. pět let. |
261 |
V projednávané věci, vzhledem k tomu, že právní předpisy, o které se jedná ve věci v původním řízení, podle všeho stanoví obecnou dobu uchovávání údajů PNR v délce pěti let, která se vztahuje bez rozdílu na všechny cestující, včetně těch, u nichž ani předběžné posouzení uvedené v čl. 6 odst. 2 písm. a) směrnice PNR, ani případné kontroly provedené během počáteční šestiměsíční doby, ani žádné jiné okolnosti neodhalily existenci objektivních skutečností, které by mohly prokázat riziko teroristických trestných činů nebo závažné trestné činnosti, mohou tyto právní předpisy porušovat čl. 12 odst. 1 této směrnice, vykládaný ve světle článků 7 a 8, jakož i čl. 52 odst. 1 Listiny, ledaže by byl možný jejich výklad v souladu s těmito ustanoveními, což přísluší ověřit předkládajícímu soudu. |
262 |
S ohledem na výše uvedené úvahy je třeba odpovědět na osmou otázku tak, že čl. 12 odst. 1 směrnice PNR, vykládaný ve světle článků 7 a 8, jakož i čl. 52 odst. 1 Listiny, musí být vykládán v tom smyslu, že brání právním předpisům, které stanoví obecnou dobu uchovávání údajů PNR v délce pěti let, která se vztahuje bez rozdílu na všechny cestující, včetně těch, u nichž ani předběžné posouzení uvedené v čl. 6 odst. 2 písm. a) této směrnice, ani případné kontroly provedené během šestiměsíční doby uvedené v čl. 12 odst. 2 uvedené směrnice, ani žádné jiné okolnosti neodhalily existenci objektivních skutečností, které by mohly prokázat riziko teroristických trestných činů nebo závažné trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících. |
F. K deváté otázce písm. a)
263 |
Podstatou deváté otázky písm. a) předkládajícího soudu je platnost směrnice API s ohledem na čl. 3 odst. 2 SEU a článek 45 Listiny, když předkládající soud vychází z předpokladu, že povinnosti, které tato směrnice zavádí, se vztahují na všechny let uvnitř EU. |
264 |
Jak však uvedl generální advokát v bodě 277 svého stanoviska a jak uvedly Rada, Komise a několik vlád, tento předpoklad je chybný. |
265 |
Článek 3 odst. 1 směrnice API stanoví, že členské státy přijmou opatření nezbytná ke stanovení povinnosti dopravců předávat na žádost orgánů příslušných pro provádění kontrol osob na vnějších hranicích před ukončením odbavování informace o osobách, které dopravují na hraniční přechody, jimiž tyto osoby vstoupí na území členského státu. Tyto údaje se předávají podle čl. 6 odst. 1 uvedené směrnice orgánům příslušným pro provádění kontrol osob na vnější hranici, přes kterou cestující vstoupí na toto území a jsou zpracovány za podmínek stanovených v tomto ustanovení. |
266 |
Z těchto ustanovení, vykládaných ve světle čl. 2 písm. a), b) a d) směrnice API, která definují pojmy „dopravce“, „vnější hranice“ a „hraniční přechod“, přitom jasně vyplývá, že tato směrnice ukládá leteckým dopravcům povinnost předávat údaje uvedené v čl. 3 odst. 2 uvedené směrnice orgánům příslušným pro provádění kontrol na vnější hranici pouze v případě letů přepravujících cestující na hraniční přechod určený k přechodu vnějších hranic členských států se třetími zeměmi a stanoví pouze zpracování údajů týkajících se těchto letů. |
267 |
Naproti tomu tato směrnice neukládá žádnou povinnost, pokud jde o údaje cestujících, kteří cestují na letech překračujících pouze vnitřní hranice mezi členskými státy. |
268 |
Je třeba dodat, že směrnice PNR tím, že mezi údaje PNR zahrnula, jak vyplývá z jejího bodu 9 odůvodnění a čl. 8 odst. 2, údaje uvedené v čl. 3 odst. 2 směrnice API shromážděné v souladu s touto směrnicí a uchovávané některými leteckými dopravci, a tím, že členským státům přiznala možnost uplatňovat směrnici PNR na základě jejího článku 2 na lety uvnitř EU, které tyto státy vymezí, nezměnila ani dosah ustanovení směrnice API, ani omezení vyplývající z této směrnice. |
269 |
S ohledem na výše uvedené je třeba odpovědět na devátou otázku písm. a) tak, že směrnice API musí být vykládána v tom smyslu, že se nevztahuje na lety uvnitř EU. |
G. K deváté otázce písm. b)
270 |
I když předkládající soud ve své deváté otázce pod písm. b) odkazuje na směrnici API, vykládanou ve spojení s čl. 3 odst. 2 SEU a článkem 45 Listiny, je z žádosti o rozhodnutí o předběžné otázce zřejmé, že se tento soud zabývá tím, zda je systém předávání a zpracování údajů o cestujících zavedený zákonem ze dne 25. prosince 2016 slučitelný s volným pohybem osob a se zrušením kontrol na vnitřních hranicích stanovenými unijním právem, neboť tento systém se vztahuje nejen na letecké dopravce, ale také na železniční, pozemní, a dokonce i námořní dopravu z Belgie nebo do Belgie, která se uskutečňuje v rámci Unie bez překročení vnějších hranic se třetími zeměmi. |
271 |
Jak však vyplývá z bodů 265 až 269 tohoto rozsudku, směrnice API, která se nevztahuje na lety uvnitř EU a neukládá povinnost předávat a zpracovávat údaje o cestujících, kteří cestují letecky nebo jiným dopravním prostředkem uvnitř Unie bez překročení vnějších hranic se třetími zeměmi, není pro odpověď na tuto otázku relevantní. |
272 |
Naopak, zatímco podle čl. 67 odst. 2 SFEU Unie zajišťuje, aby nedocházelo ke kontrolám osob na vnitřních hranicích, článek 2 směrnice PNR, z něhož belgický zákonodárce vycházel při přijímání zákona ze dne 25. prosince 2016, o který se jedná ve věci v původním řízení, jak vyplývá z žádosti o rozhodnutí o předběžné otázce, umožňuje členským státům, aby používaly tuto směrnici na lety uvnitř EU. |
273 |
Za těchto okolností je třeba proto, aby byla předkládajícímu soudu poskytnuta užitečná odpověď, devátou otázku pod písm. b) přeformulovat, a to tak, že její podstatou je, zda unijní právo, zejména článek 2 směrnice PNR, vykládaný ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU a článku 45 Listiny, musí být vykládáno v tom smyslu, že brání vnitrostátním právním předpisům, které stanoví systém předávání údajů PNR z letů a přepravy jinými prostředky uvnitř Unie, které pocházejí z členského státu, který přijal tyto předpisy, směřují do něj nebo přes něj, dopravci a poskytovateli cestovních služeb a jejich zpracování příslušnými orgány. |
274 |
Článek 45 Listiny především zakotvuje volný pohyb osob, který je mimoto jednou ze základních svobod vnitřního trhu [v tomto smyslu viz rozsudek ze dne 22. června 2021, Ordre des barreaux francophones et germanophone a další (Preventivní opatření k vyhoštění), C‑718/19, EU:C:2021:505, bod 54]. |
275 |
Tento článek zaručuje v odstavci 1 právo každého občana Unie svobodně se pohybovat a pobývat na území členských států, které podle Vysvětlivek k Listině základních práv (Úř. věst. 2007, C 303, s. 17) odpovídá právu zaručenému v čl. 20 odst. 2 prvním pododstavci písm. a) SFEU a je vykonáváno v souladu s čl. 20 odst. 2 druhým pododstavcem SFEU a s čl. 52 odst. 2 Listiny za podmínek a v rámci omezení vymezených ve Smlouvách a opatřeních přijatých na jejich základě. |
276 |
Dále, podle čl. 3 odst. 2 SEU Unie poskytuje svým občanům prostor svobody, bezpečnosti a práva bez vnitřních hranic, ve kterém je zaručen volný pohyb osob ve spojení s vhodnými opatřeními týkajícími se ochrany vnějších hranic, azylu, přistěhovalectví a předcházení a potírání zločinnosti. Stejně tak v souladu s čl. 67 odst. 2 SFEU Unie zajišťuje, že na vnitřních hranicích neprobíhá kontrola osob, a rozvíjí společnou politiku zejména v oblasti ochrany vnějších hranic. |
277 |
V souladu s ustálenou judikaturou Soudního dvora platí, že vnitrostátní právní úprava, která znevýhodňuje některé příslušníky členského státu pouze proto, že využili svobody pohybu a pobytu v jiném členském státě, představuje omezení svobod, které čl. 45 odst. 1 Listiny přiznává každému občanu Unie (v tomto smyslu, pokud jde o čl. 21 odst. 1 SFEU, viz rozsudky ze dne 8. června 2017, Freitag,C‑541/15, EU:C:2017:432, bod 35 a citovaná judikatura, jakož i ze dne 19. listopadu 2020, ZW,C‑454/19, EU:C:2020:947, bod 30). |
278 |
Takové vnitrostátní právní předpisy, jako jsou právní předpisy dotčené v původním řízení, které uplatňují systém stanovený směrnicí PNR nejen na lety mimo EU, ale v souladu s čl. 2 odst. 1 této směrnice také na lety uvnitř EU a nad rámec toho, co je stanoveno v tomto ustanovení, na přepravu jinými prostředky uvnitř Unie, mají za následek systematické a nepřetržité předávání a zpracovávání údajů PNR o každém cestujícím, který cestuje těmito prostředky uvnitř Unie v rámci výkonu svobody pohybu. |
279 |
Jak bylo konstatováno v bodech 98 až 111 tohoto rozsudku, předávání a zpracování údajů o cestujících na letech mimo EU a uvnitř EU vyplývající ze systému zavedeného směrnicí PNR nesou s sebou závažné zásahy do základních práv subjektů údajů zakotvených v článcích 7 a 8 Listiny. Závažnost tohoto zásahu se zvyšuje v případě, že je uplatňování tohoto systému rozšířeno na jiné dopravní prostředky uvnitř Unie. Takové zásahy mohou ze stejných důvodů, jako jsou důvody uvedené v těchto bodech, znevýhodnit, a tedy odradit od jejich výkonu svobody pohybu ve smyslu článku 45 Listiny, státní příslušníky členských států, které přijaly takové právní předpisy, jakož i obecně občany Unie cestující těmito dopravními prostředky v rámci Unie z těchto členských států nebo do nich, takže uvedené právní předpisy obsahují omezení této základní svobody. |
280 |
V souladu s ustálenou judikaturou platí, že omezení svobody pohybu osob může být odůvodněné, pokud se zakládá na objektivních hlediscích obecného zájmu a je přiměřené cíli legitimně sledovanému vnitrostátním právem. Opatření je přiměřené tehdy, pokud je způsobilé zajistit uskutečnění sledovaného cíle a přitom nepřekračuje meze toho, co je k jeho dosažení nezbytné (v tomto smyslu viz rozsudek ze dne 5. června 2018, Coman a další, C‑673/16, EU:C:2018:385, bod 41, jakož i citovaná judikatura). |
281 |
Je třeba dodat, že vnitrostátní opatření, které je způsobilé bránit volnému pohybu osob, může být odůvodněné jen tehdy, je-li v souladu se základními právy zaručenými Listinou, jejichž dodržování Soudní dvůr zajišťuje (rozsudek ze dne 14. prosince 2021, Stolična obština, rajon Pančarevo, C‑490/20, EU:C:2021:1008, bod 58 a citovaná judikatura). |
282 |
Zejména v souladu s judikaturou připomenutou v bodech 115 a 116 tohoto rozsudku nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy. V tomto ohledu možnost členských států odůvodnit omezení základního práva zaručeného v čl. 45 odst. 1 Listiny musí být posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný této závažnosti. |
283 |
Jak bylo připomenuto v bodě 122 tohoto rozsudku, cíl boje proti teroristickým trestným činům a závažné trestné činnosti, který sleduje směrnice PNR, je nepochybně cílem obecného zájmu Unie. |
284 |
Pokud jde o to, zda jsou vnitrostátní právní předpisy přijaté za účelem provedení směrnice PNR, které rozšiřují systém stanovený touto směrnicí na lety uvnitř EU a na jiné druhy přepravy v Unii, způsobilé k dosažení sledovaného cíle, z informací obsažených ve spisu, který má Soudní dvůr k dispozici, vyplývá, že použití údajů PNR umožňuje identifikovat osoby, které nebyly podezřelé z účasti na teroristických trestných činech nebo závažné trestné činnosti a které by měly být podrobeny důkladnějšímu přezkumu, takže se tyto právní předpisy jeví jako způsobilé k dosažení cíle boje proti teroristickým trestným činům a závažné trestné činnosti. |
285 |
Pokud jde o nezbytnost takových právních předpisů, musí být výkon možnosti členských států stanovené v čl. 2 odst. 1 směrnice PNR, vykládaného ve světle článků 7 a 8 Listiny, omezen na to, co je nezbytně nutné k dosažení tohoto cíle s ohledem na požadavky uvedené v bodech 163 až 174 tohoto rozsudku. |
286 |
Tyto požadavky platí tím spíše v případě, kdy je systém stanovený směrnicí PNR používán na jiné dopravní prostředky uvnitř Unie. |
287 |
Kromě toho, jak vyplývá z informací obsažených v žádosti o rozhodnutí o předběžné otázce, vnitrostátní právní předpisy, o které se jedná ve věci v původním řízení, provádí v jediném aktu směrnici PNR, směrnici API a částečně i směrnici 2010/65. Za tímto účelem stanoví použití systému stanoveného směrnicí PNR na všechny lety uvnitř EU a na železniční, pozemní, a dokonce i námořní dopravu uvnitř Unie, která směřuje z Belgie, do Belgie a přes Belgii, a vztahuje se rovněž na poskytovatele cestovních služeb, a současně sleduje i jiné cíle než pouze boj proti teroristickým trestným činům a závažné trestné činnosti. Podle týchž informací se zdá, že všechny údaje shromážděné v rámci systému zřízeného těmito vnitrostátními právními předpisy jsou uchovávány útvarem pro informace o cestujících v jediné databázi zahrnující údaje PNR, včetně údajů uvedených v čl. 3 odst. 2 směrnice API, o všech cestujících v dopravě, na kterou se uvedené právní předpisy vztahují. |
288 |
V tomto ohledu v rozsahu, v němž předkládající soud ve své deváté otázce pod písm. b) odkázal na cíl zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví, který je cílem směrnice API, je třeba připomenout, že, jak vyplývá z bodů 233, 234 a 237 tohoto rozsudku, výčet cílů, které sleduje zpracování údajů PNR podle směrnice PNR, je taxativní, takže vnitrostátní právní předpisy, které připouští zpracování údajů PNR shromážděných v souladu s touto směrnicí pro jiné účely, než jsou v ní stanoveny, a sice zejména pro účely zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví, jsou v rozporu s článkem 6 uvedené směrnice, vykládaného ve světle Listiny. |
289 |
Kromě toho, jak vyplývá z bodu 235 tohoto rozsudku, členské státy nemohou vytvořit jedinou databázi obsahující jak údaje PNR shromážděné podle směrnice PNR a týkající se letů mimo EU a uvnitř EU, tak údaje o cestujících z jiných dopravních prostředků, jakož i údaje uvedené v čl. 3 odst. 2 směrnice API, zejména pokud lze do této databáze nahlížet nejen za účelem dosažení účelů uvedených v čl. 1 odst. 2 směrnice PNR, ale i dalších účelů. |
290 |
Konečně a v každém případě, jak uvedl generální advokát v bodě 281 svého stanoviska, články 28 až 31 zákona ze dne 25. prosince 2016 mohou být slučitelné s unijním právem a zvláště s čl. 67 odst. 2 SFEU pouze tehdy, pokud budou vykládány a používány v tom smyslu, že se týkají pouze předávání a zpracování údajů API o těch cestujících, kteří překračují vnější hranice Belgie se třetími zeměmi. Opatření, kterým členský stát rozšiřuje uplatnění ustanovení směrnice API za účelem zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví na lety uvnitř EU a tím spíše na jinou přepravu cestujících do Unie z tohoto členského státu nebo přes něj, zejména povinnost předávat údaje o cestujících stanovená v čl. 3 odst. 1 této směrnice, totiž znamenají pro příslušné orgány možnost při překračování vnitřních hranic tohoto členského státu systematicky ověřovat, zda tito cestující mají oprávnění vstoupit na jeho území nebo jej opustit, a měla by tak stejný účinek jako kontroly prováděné na vnějších hranicích se třetími zeměmi. |
291 |
S ohledem na všechny tyto úvahy je třeba na devátou otázku písm. b) odpovědět tak, že unijní právo, zejména článek 2 směrnice PNR, vykládaný ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU a článku 45 Listiny, musí být vykládáno v tom smyslu, že brání:
|
H. K desáté otázce
292 |
Podstatou desáté otázky předkládajícího soudu je, zda unijní právo musí být vykládáno v tom smyslu, že vnitrostátní soud může časově omezit účinky prohlášení protiprávnosti, které je povinen učinit podle vnitrostátního práva, pokud jde o vnitrostátní právní předpisy, která ukládají leteckým, železničním a pozemním dopravcům, jakož i poskytovatelům cestovních služeb předávat údaje PNR a stanoví zpracování a uchovávání těchto údajů, která jsou neslučitelná s ustanoveními směrnice PNR, vykládanými ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU, článků 7, 8 a 45 a čl. 52 odst. 1 Listiny. |
293 |
Zásada přednosti unijního práva zakotvuje nadřazenost unijního práva nad právem členských států. Tato zásada tedy ukládá všem orgánům členských států povinnost zajistit plný účinek jednotlivých unijních norem, přičemž právo členských států nemůže narušovat účinek přiznaný těmto jednotlivým normám na území uvedených států. Z této zásady plyne, že pokud vnitrostátní soud, jež má v rámci svých pravomocí uplatnit ustanovení unijního práva, nemůže vyložit vnitrostátní právní úpravu v souladu s požadavky tohoto práva, má povinnost zajistit plný účinek těchto ustanovení tak, že na základě své vlastní pravomoci podle potřeby upustí od použití jakéhokoli odporujícího ustanovení vnitrostátních právních předpisů, i když je pozdějšího data, aniž musí nejprve žádat o jeho odstranění legislativní cestou nebo jakýmkoliv jiným ústavním postupem či na toto odstranění čekat (rozsudky ze dne 15. července 1964, Costa,6/64, EU:C:1964:66, s. 1159 a 1160; ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 214 a 215, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 118). |
294 |
Jedině Soudní dvůr může výjimečně a z naléhavých důvodů právní jistoty přiznat dočasné pozastavení vylučovacího účinku, který má unijní právní pravidlo vůči vnitrostátnímu právu, které je v rozporu s tímto pravidlem. Takové omezení časové působnosti výkladu tohoto práva ze strany Soudního dvora lze připustit pouze v samotném rozsudku, kterým se rozhoduje o požadovaném výkladu. Pokud by byly vnitrostátní soudy oprávněny přiznat vnitrostátním ustanovením přednost, byť dočasnou, před unijním právem, s nímž jsou v rozporu, byla by tím narušena přednost a jednotné používání unijního práva (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 119, jakož i citovaná judikatura). |
295 |
Na rozdíl od opomenutí takové procesní povinnosti, jako je předběžné posouzení vlivu záměru na životní prostředí, o které se jednalo ve věci, v níž byl vydán rozsudek ze dne 29. července 2019, Inter-Environnement Wallonie a Bond Beter Leefmilieu Vlaanderen (C‑411/17, EU:C:2019:622, body 175, 176, 179 a 181), v němž Soudní dvůr připustil dočasné pozastavení tohoto vylučovacího účinku, nelze porušení ustanovení směrnice PNR, vykládaná ve světle článků 7, 8 a 45 a čl. 52 odst. 1 Listiny, napravit postupem srovnatelným s postupem přijatým v uvedené věci. Zachování účinků takových vnitrostátních právních předpisů, jako je zákon ze dne 25. prosince 2016, by totiž znamenalo, že by tyto právní předpisy nadále ukládaly leteckým i jiným dopravcům a poskytovatelům cestovních služeb povinnosti, které jsou v rozporu s unijním právem a znamenají závažné zásahy do základních práv osob, jejichž údaje byly předány, uchovávány a zpracovány, jakož i omezení volného pohybu těchto osob, která jdou nad rámec toho, co je nezbytné (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 122 a citovaná judikatura). |
296 |
Předkládající soud tudíž nemůže časově omezit účinky prohlášení neplatnosti, které mu přísluší podle vnitrostátního práva ve vztahu k vnitrostátním právním předpisům dotčeným v původním řízení (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 123 a citovaná judikatura). |
297 |
Konečně, pokud se předkládající soud zabývá dopadem určení případné neslučitelnosti zákona ze dne 25. prosince 2016 s ustanoveními směrnice PNR vykládanými ve světle Listiny na přípustnost a použití důkazů a informací získaných pomocí údajů předaných dotčenými dopravci a poskytovateli cestovních služeb v rámci trestních řízení, stačí odkázat na související judikaturu Soudního dvora, konkrétně na zásady připomenuté v bodech 41 až 44 rozsudku ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci) (C‑746/18, EU:C:2021:152), z nichž vyplývá, že tato přípustnost je podle zásady procesní autonomie členských států věcí vnitrostátního práva, s výhradou dodržení zejména zásad rovnocennosti a efektivity (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 127). |
298 |
S ohledem na výše uvedené úvahy je třeba na desátou otázku odpovědět tak, že unijní právo musí být vykládáno v tom smyslu, že brání tomu, aby vnitrostátní soud časově omezil účinky prohlášení protiprávnosti, které je povinen učinit podle vnitrostátního práva, pokud jde o vnitrostátní právní předpisy, které ukládají leteckým, železničním a pozemním dopravcům, jakož i poskytovatelům cestovních služeb předávat údaje PNR a stanoví zpracování a uchovávání těchto údajů, která jsou neslučitelná s ustanoveními směrnice PNR, vykládanými ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU, článků 7, 8 a 45 a čl. 52 odst. 1 Listiny. Přípustnost důkazů získaných tímto způsobem je v souladu se zásadou procesní autonomie členských států věcí vnitrostátního práva, přičemž musí být dodrženy zásady rovnocennosti a efektivity. |
IV. K nákladům řízení
299 |
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují. |
Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto: |
|
|
|
|
|
|
|
|
Podpisy. |
( *1 ) – Jednací jazyk: francouzština.