Sprawa C‑817/19

Ligue des droits humains

przeciwko

Conseil des ministres

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Cour constitutionnelle (trybunał konstytucyjny, Belgia)]

Wyrok Trybunału (wielka izba) z dnia 21 czerwca 2022 r.

Odesłanie prejudycjalne – Przetwarzanie danych osobowych – Dane dotyczące przelotu pasażera (PNR) – Rozporządzenie (UE) 2016/679 – Artykuł 2 ust. 2 lit. d) – Zakres stosowania – Dyrektywa (UE) 2016/681 – Wykorzystywanie danych PNR pasażerów odbywających loty między Unią i państwami trzecimi – Możliwość włączenia danych pasażerów lotów wewnątrzunijnych – Zautomatyzowane przetwarzanie danych – Okres zatrzymania – Zwalczanie przestępstw terrorystycznych i poważnej przestępczości – Ważność – Karta praw podstawowych Unii Europejskiej – Artykuły 7, 8 i 21 oraz art. 52 ust. 1 – Uregulowanie krajowe rozszerzające zastosowanie systemu PNR na inne rodzaje przewozów wewnątrz Unii – Swoboda przemieszczania się w obrębie Unii – Karta praw podstawowych – Artykuł 45

1. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Zakres stosowania – Przetwarzanie danych osobowych przewidziane przez uregulowanie krajowe mające na celu transpozycję dyrektyw 2004/82, 2010/65 i 2016/681 – Objęcie zakresem stosowania – Ograniczenia

   [rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 2 ust. 2 lit. d), art. 23; dyrektywy Parlamentu Europejskiego i Rady: 2010/65, 2016/680, 2016/681; dyrektywa Rady 2004/82]

   (zob. pkt 67, 68, 73, 74, 80, 83, 84; pkt 1 sentencji)

2. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Dane PNR – Zakres – Objęci zakresem stosowania pasażerowie lotniczy i loty – Zautomatyzowane przetwarzanie tych danych – Naruszenie prawa do ochrony życia prywatnego i prawa do ochrony danych osobowych – Brak

   (Karta praw podstawowych Unii Europejskiej, art. 7, 8, 21, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 1 ust. 2, art. 2, art. 3 pkt 2, 4, 8, 9, art. 6, 12, załączniki I, II)

   (zob. pkt 94–97, 111, 122, 123, 129, 131–140, 152, 157, 162, 169–175, 184, 188, 197, 202, 213, 218–220, 223, 225–228; pkt 2 sentencji)

3. Prawa podstawowe – Poszanowanie życia prywatnego – Ochrona danych osobowych – Ograniczenia – Przesłanki

   (Karta praw podstawowych Unii Europejskiej, art. 7, 8, art. 52 ust. 1)

   (zob. pkt 115–118)

4. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Przetwarzanie danych PNR – Cele – Przetwarzanie w celach innych niż wyraźnie przewidziane – Niedopuszczalność

   (Karta praw podstawowych Unii Europejskiej, art. 7, 8, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 1 ust. 2, art. 6)

   (zob. pkt 233, 235, 237, 288, 289; pkt 3 sentencji)

5. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Ujawnienie danych PNR po upływie okresu sześciu miesięcy od ich przekazania przez przewoźników lotniczych – Przesłanka – Zgoda udzielona przez właściwy organ krajowy – Pojęcie – Jednostka do spraw informacji o pasażerach – Wyłączenie

   (Karta praw podstawowych Unii Europejskiej, art. 7, 8; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 4 ust. 1–3, art. 12 ust. 3 lit. b)]

   (zob. pkt 244, 245, 247; pkt 4 sentencji)

6. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Okres zatrzymania danych PNR – Ogólny okres zatrzymywania danych wynoszący pięć lat, mający zastosowanie bez rozróżnienia do wszystkich pasażerów lotniczych – Niedopuszczalność

   (Karta praw podstawowych Unii Europejskiej, art. 7, 8, 45, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 12)

   (zob. pkt 251, 255–259, 262; pkt 5 sentencji)

7. Kontrole graniczne, azyl i imigracja – Zobowiązanie przewoźników do przekazywania danych pasażerów – Dyrektywa 2004/82 – Zakres stosowania – Loty wewnątrzunijne – Wyłączenie

   [dyrektywy: Parlamentu Europejskiego i Rady 2016/681, art. 2; Rady 2004/82, art. 2 lit. a), b), d), art. 3 ust. 1, 2, art. 6 ust. 1]

   (zob. pkt 266–269; pkt 6 sentencji)

8. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych –Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Stosowanie dyrektywy do lotów wewnątrzunijnych – Zastosowanie do wszystkich lotów wewnątrzunijnych i przewozów realizowanych innymi środkami transportu w obrębie Unii przy braku rzeczywistego i aktualnego lub dającego się przewidzieć zagrożenia terrorystycznego – Niedopuszczalność – Ograniczone zastosowanie – Dopuszczalność – Przesłanki

   (art. 3 ust. 2 TUE; art. 67 ust. 2 TFUE; Karta praw podstawowych Unii Europejskiej, art. 7, 8, 45, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681)

   (zob. pkt 277–282, 285, 290, 291; pkt 7 sentencji)

9. Prawo Unii Europejskiej – Pierwszeństwo – Dyrektywa 2016/681 – Stwierdzenie przed sąd krajowy nieważności krajowych przepisów niezgodnych z tą dyrektywą – Możliwość utrzymania w mocy skutków tych przepisów – Brak – Dopuszczalność dowodów uzyskanych na mocy tych przepisów – Stosowanie prawa krajowego – Granice – Poszanowanie zasad równoważności i skuteczności

   (art. 3 ust. 2 TUE; art. 67 ust. 2 TFUE; Karta praw podstawowych Unii Europejskiej, art. 7, 8, 45, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681)

   (zob. pkt 293–298; pkt 8 sentencji)

Streszczenie

Dane PNR (Passenger Name Record) są informacjami dotyczącymi rezerwacji, przechowywanymi przez przewoźników lotniczych w ich systemach rezerwacji i systemach odpraw pasażerskich. Dyrektywa PNR ( 1 ) zobowiązuje tych przewoźników do przekazywania danych wszystkich pasażerów odbywających lot pozaunijny, wykonywany między państwem trzecim a Unią Europejską, jednostce do spraw informacji o pasażerach (zwanej dalej „JIP”) państwa członkowskiego przeznaczenia lub wylotu danego lotu w celu zwalczania terroryzmu i poważnej przestępczości. Przekazywane w ten sposób dane PNR są przedmiotem wstępnej oceny dokonywanej przez JIP ( 2 ), a następnie są zatrzymywane do celów ewentualnej późniejszej oceny przez właściwe organy zainteresowanego państwa członkowskiego lub organy innego państwa członkowskiego. Państwa członkowskie mogą postanowić o stosowaniu dyrektywy również do lotów wewnątrzunijnych ( 3 ).

Ligue des droits humains wniosła do Cour constitutionnelle (trybunału konstytucyjnego, Belgia) skargę o stwierdzenie nieważności ustawy z dnia 25 grudnia 2016 r. ( 4 ), która dokonuje transpozycji do prawa belgijskiego zarówno dyrektywy PNR, jak i dyrektywy API ( 5 ). Zdaniem skarżącej ustawa ta narusza prawo do poszanowania życia prywatnego i prawo do ochrony danych osobowych. Skarżąca zakwestionowała, po pierwsze, dopuszczalność bardzo szerokiego ujęcia danych PNR, a po drugie, niezróżnicowany charakter gromadzenia, przekazywania i przetwarzania tych danych. W przekonaniu skarżącej ustawa ta narusza również swobodę przepływu osób, ponieważ pośrednio przywraca kontrole graniczne poprzez rozszerzenie systemu PNR na loty wewnątrzunijne i przewozy dokonywane innymi środkami transportu w obrębie Unii.

W tym kontekście belgijski Cour constitutionnelle (trybunał konstytucyjny) skierował do Trybunału dziesięć pytań prejudycjalnych dotyczących w szczególności ważności i wykładni dyrektywy PNR, a także zastosowania RODO ( 6 ).

Pytania te postawiły Trybunał wobec konieczności zajęcia się kolejny raz kwestią przetwarzania danych PNR w świetle praw podstawowych do poszanowania życia prywatnego i do ochrony danych osobowych ( 7 ), wyrażonych w Karcie praw podstawowych Unii Europejskiej ( 8 ). W wyroku wydanym w składzie wielkiej izby Trybunał potwierdził ważność dyrektywy PNR z tego względu, że poddaje się ona wykładni zgodnej z kartą i dostarcza wskazówek co do wykładni niektórych jej przepisów ( 9 ).

Ocena Trybunału

Uściśliwszy, do których spośród rodzajów przetwarzania danych osobowych przewidzianych przez przepisy krajowe, które – tak jak przepisy rozpatrywane w niniejszej sprawie – mają na celu transpozycję jednocześnie dyrektywy API i dyrektywy PNR, mają zastosowanie zasady ogólne RODO ( 10 ), Trybunał zbadał ważność dyrektywy PNR.

W przedmiocie ważności dyrektywy PNR

Trybunał orzekł w wyroku, że ponieważ dokonana przez Trybunał wykładnia dyrektywy 2016/681 w świetle praw podstawowych zagwarantowanych w art. 7, 8 i 21 oraz art. 52 ust. 1 karty ( 11 ) zapewnia zgodność tej dyrektywy ze wskazanymi postanowieniami karty, analiza zadanych pytań nie doprowadziła do żadnych ustaleń, które mogłyby mieć wpływ na ważność owej dyrektywy.

Tytułem wstępu Trybunał przypomniał, że akt prawa Unii powinien być interpretowany tak dalece, jak to możliwe, w sposób, który nie podważa jego ważności, i w zgodzie z całością prawa pierwotnego, w tym w szczególności z postanowieniami karty, a co za tym idzie, państwa członkowskie nie powinny opierać się na takiej wykładni karty, która pozostawałaby w konflikcie z prawami podstawowymi chronionymi przez porządek prawny Unii lub z innymi ogólnymi zasadami uznanymi przez ten porządek prawny. W odniesieniu do dyrektywy PNR Trybunał wyjaśnił, że szereg jej motywów i przepisów wymaga takiej wykładni zgodnej, podkreślając wagę, jaką ustawodawca Unii przykłada, gdy odnosi się do wysokiego poziomu ochrony danych, do pełnego poszanowania praw podstawowych zagwarantowanych w karcie.

Trybunał stwierdził, że dyrektywa PNR przewiduje istotną ingerencję w prawa zagwarantowane w art. 7 i 8 karty, w szczególności z tego względu, że zmierza do stworzenia systemu ciągłego nadzoru, nieukierunkowanego i systematycznego, zakładającego zautomatyzowane przetwarzanie danych osobowych wszystkich osób korzystających z usług transportu lotniczego. Przypomniał on, że możliwość uzasadnienia przez państwa członkowskie takiej ingerencji należy oceniać, badając jej wagę oraz sprawdzając, czy znaczenie zamierzonego celu interesu ogólnego pozostaje w relacji do tej wagi.

Trybunał stwierdził, że przekazywanie, przetwarzanie i zatrzymywanie danych PNR przewidziane w tej dyrektywie można uznać za ograniczone do tego, co ściśle konieczne do celów walki z przestępstwami terrorystycznymi i poważną przestępczością, pod warunkiem że uprawnienia przewidziane w owej dyrektywie podlegają wykładni zawężającej. W tym względzie w ogłoszonym dziś wyroku Trybunał wyjaśnił w szczególności, że:

W przedmiocie wykładni dyrektywy PNR

Po stwierdzeniu ważności dyrektywy PNR Trybunał sformułował dalsze wyjaśnienia co do wykładni tej dyrektywy. Po pierwsze, wskazał on, że dyrektywa wylicza cele przetwarzania danych PNR w sposób wyczerpujący. W związku z tym dyrektywa ta stoi na przeszkodzie uregulowaniu krajowemu, które zezwala na przetwarzanie danych PNR w celach innych niż zwalczanie przestępstw terrorystycznych i poważnej przestępczości. Tym samym uregulowanie krajowe dopuszczające ponadto, jako cel przetwarzania danych PNR, monitorowanie działalności będącej przedmiotem zainteresowania służb wywiadowczych i bezpieczeństwa może naruszać wyczerpujący charakter tego wyliczenia. Podobnie, system ustanowiony przez dyrektywę PNR nie może być wykorzystywany do celów poprawy kontroli granicznej i zwalczania nielegalnej imigracji ( 17 ). Z powyższego wynika również, że dane PNR nie mogą być zatrzymywane w pojedynczej bazie danych, z której można by korzystać na potrzeby realizacji zarówno celów dyrektywy PNR, jak i innych celów.

Po drugie, Trybunał uściślił pojęcie niezależnego organu krajowego, właściwego do sprawdzenia, czy są spełnione przesłanki ujawnienia danych PNR do celów ich późniejszej oceny, i do zatwierdzenia takiego ujawnienia. W szczególności organ wyznaczony jako JIP nie może zostać uznany za niezależny organ krajowy, ponieważ nie ma statusu podmiotu trzeciego względem organu, który wnosi o udzielenie dostępu do danych. Pracownicy JIP mogą bowiem być oddelegowani z organów właściwych do wnoszenia o taki dostęp, a zatem JIP jawi się w sposób jednoznaczny jako podmiot powiązany z tymi organami. W konsekwencji dyrektywa PNR stoi na przeszkodzie uregulowaniu krajowemu, zgodnie z którym organ wyznaczony jako JIP ma również status właściwego organu krajowego upoważnionego do zatwierdzania ujawniania danych PNR po upływie sześciu miesięcy od przekazania tych danych do JIP.

Po trzecie, co się tyczy okresu zatrzymywania danych PNR, Trybunał orzekł, że art. 12 dyrektywy PNR w związku z art. 7, 8 i art. 52 ust. 1 karty stoi na przeszkodzie uregulowaniu krajowemu, które przewiduje ogólny pięcioletni okres zatrzymywania tych danych, mający zastosowanie bez rozróżnienia do wszystkich pasażerów lotniczych.

Zdaniem Trybunału po upływie pierwotnego sześciomiesięcznego okresu zatrzymywania danych PNR zatrzymywanie tych danych nie jawi się bowiem jako ograniczone do tego, co jest absolutnie konieczne w odniesieniu do pasażerów lotniczych, co do których ani podczas wstępnej oceny, ani podczas ewentualnych sprawdzeń dokonywanych w pierwotnym okresie sześciu miesięcy, ani w innych okolicznościach, nie wykryto istnienia jakichkolwiek obiektywnych przesłanek – takich jak pozytywny wynik zestawienia danych PNR uzyskany w ramach wstępnej oceny – wskazujących na to, że mogą stanowić ryzyko w zakresie przestępstw terrorystycznych lub poważnej przestępczości, które mają obiektywny związek, choćby pośredni, z podróżą lotniczą tych pasażerów. Trybunał doszedł natomiast do wniosku, że zatrzymywanie, w pierwotnym okresie sześciu miesięcy, danych PNR wszystkich pasażerów lotniczych objętych systemem ustanowionym przez tę dyrektywę nie wydaje się, co do zasady, wykraczać poza to, co jest ściśle konieczne.

Po czwarte, Trybunał dostarczył wskazówek dotyczących ewentualnego stosowania dyrektywy PNR – do celów walki z przestępstwami terrorystycznymi i poważną przestępczością – do innych środków transportu przewożących pasażerów w obrębie Unii. Otóż dyrektywa ta, interpretowana w świetle art. 3 ust. 2 TUE, art. 67 ust. 2 TFUE i art. 45 karty stoi na przeszkodzie systemowi przekazywania i przetwarzania danych PNR w odniesieniu do ogółu operacji transportu dokonywanych przez inne środki transportu w obrębie Unii przy braku rzeczywistego i aktualnego lub dającego się przewidzieć zagrożenia terrorystycznego, z którym zmaga się państwo członkowskie. W takiej sytuacji, tak jak w przypadku lotów wewnątrzunijnych, stosowanie systemu ustanowionego przez dyrektywę PNR powinno być ograniczone do danych PNR odnoszących się do przewozów dotyczących, w szczególności, niektórych połączeń lub planów podróży, lub niektórych lotnisk, dworców lub portów morskich, co do których istnieją przesłanki uzasadniające takie stosowanie. Do danego państwa członkowskiego należy wybór środka transportu, w odniesieniu do którego takie przesłanki istnieją, oraz dokonywanie regularnych przeglądów takiego stosowania w zależności od ewolucji warunków, które uzasadniały ich wybór.

( 1 ) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania (Dz.U. 2016, L 119, s. 132, zwana dalej „dyrektywą PNR”)

( 2 ) Ta wstępna ocena ma na celu zidentyfikowanie osób, w odniesieniu do których wymagane jest bardziej szczegółowe badanie przez właściwe organy ze względu na to, że osoby te mogą być zaangażowane w przestępstwa terrorystyczne lub poważną przestępczość. Ocena ta jest dokonywana w sposób systematyczny i zautomatyzowany poprzez zestawienie danych PNR z bazami danych, „które mają znaczenie”, lub w drodze przetwarzania tych danych w świetle ustalonych wcześniej kryteriów w art. 6 ust. 2 lit. a) i art. 6 ust. 3 dyrektywy PNR.

( 3 ) Korzystając z możliwości przewidzianej w art. 2 dyrektywy PNR.

( 4 ) Ustawa z dnia 25 grudnia 2016 r. o przetwarzaniu danych pasażerów (Moniteur belge z dnia 25 stycznia 2017 r., s. 12905).

( 5 ) Dyrektywa Rady 2004/82/WE z dnia 29 kwietnia 2004 r. w sprawie zobowiązania przewoźników do przekazywania danych pasażerów (Dz.U. 2004, L 261, s. 24, zwana dalej „dyrektywą API”). Dyrektywa ta reguluje przekazywanie przez przewoźników lotniczych właściwym organom krajowym danych pasażera przekazanych przed podróżą (takich jak numer i rodzaj wykorzystywanych dokumentów podróży, jak również przynależność państwowa) w celu poprawy kontroli granicznej i zwalczania nielegalnej imigracji.

( 6 ) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119, s. 1; sprostowania: Dz.U. 2018, L 127, s. 2, Dz.U. 2021, L 074, s. 35, zwane dalej „RODO”).

( 7 ) Zwanych dalej „prawami podstawowymi zagwarantowanymi w art. 7 i 8 karty”. Trybunał zbadał już zgodność z tymi prawami systemu gromadzenia i przetwarzania danych PNR przewidzianego w projekcie umowy między Kanadą a Unią Europejską o przekazywaniu i przetwarzaniu danych dotyczących przelotu pasażera [opinia 1/15 (umowa UE–Kanada o danych PNR) z dnia 26 lipca 2017 r. (EU:C:2017:592)].

( 8 ) Zwanej dalej „kartą”.

( 9 ) W szczególności art. 2 („Stosowanie [dyrektywy] do lotów wewnątrzunijnych”), art. 6 („Przetwarzanie danych PNR”) i art. 12 („Okres zatrzymania danych i depersonalizacja”) dyrektywy PNR.

( 10 ) Trybunał wyjaśnił, że RODO ma zastosowanie do przetwarzania danych osobowych przewidzianego w tych przepisach, jeżeli chodzi, po pierwsze, o przetwarzanie danych dokonywane przez podmioty prywatne, a po drugie, o przetwarzanie danych dokonywane przez organy publiczne podlegające wyłącznie lub również zakresowi dyrektywy API. RODO nie ma natomiast zastosowania do przetwarzania danych osobowych przewidzianego przez takie przepisy podlegającego wyłącznie dyrektywie PNR, które jest dokonywane przez JIP lub właściwe organy w celu zwalczania przestępstw terrorystycznych i poważnej przestępczości.

( 11 ) Zgodnie z tym postanowieniem wszelkie ograniczenia w korzystaniu z praw i wolności uznanych w karcie muszą być przewidziane ustawą i szanować istotę tych praw i wolności. Ponadto ograniczenia tych praw i wolności mogą być wprowadzane wyłącznie wtedy, gdy są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób.

( 12 ) W szczególności „wszystkie informacje o formie płatności” (rubryka 6 załącznika) powinny być ograniczone do sposobu płatności i faktury za bilet lotniczy, z pominięciem wszelkich innych informacji niemających bezpośredniego związku z lotem, a „uwagi ogólne” (rubryka 12) mogą dotyczyć jedynie informacji wyraźnie wymienionych w tej rubryce, dotyczących pasażerów małoletnich.

( 13 ) Istnienie takiego zagrożenia może bowiem samo w sobie ustanowić związek między przekazaniem i przetwarzaniem danych a walką z terroryzmem. W związku z tym wprowadzenie stosowania dyrektywy PNR do wszystkich lotów wewnątrzunijnych z lub do danego państwa członkowskiego, na czas określony, nie wykracza poza to co ściśle konieczne, przy czym decyzja przewidująca to stosowanie powinna podlegać kontroli przez sąd lub niezależny organ administracyjny.

( 14 ) To znaczy baz danych o osobach lub przedmiotach poszukiwanych lub objętych wpisem w rozumieniu art. 6 ust. 3 lit. a) dyrektywy PNR. Natomiast analizy oparte na różnych bazach danych mogą przybrać formę eksploracji danych (data mining) i prowadzić do nieproporcjonalnego wykorzystania tych danych, umożliwiając ustalenie precyzyjnego profilu osób zainteresowanych tylko dlatego, że mają one zamiar podróżować samolotem.

( 15 ) Wcześniej ustalone kryteria muszą być ukierunkowane, proporcjonalne i szczegółowe oraz poddawane regularnym przeglądom (art. 6 ust. 4 dyrektywy PNR). Wstępna ocena w świetle wcześniej ustalonych kryteriów powinna być przeprowadzona w sposób niedyskryminacyjny. Zgodnie z art. 6 ust. 4 zdanie czwarte dyrektywy PNR kryteria te w żadnym przypadku nie mogą opierać się na rasie ani pochodzeniu etnicznym, na poglądach politycznych, przekonaniach religijnych lub światopoglądowych, przynależności do związków zawodowych, stanie zdrowia, życiu seksualnym ani orientacji seksualnej danej osoby.

( 16 ) Zgodnie z art. 12 ust. 1 i 3 dyrektywy PNR taka kontrola jest wyraźnie przewidziana jedynie w odniesieniu do wniosków o ujawnienie danych PNR składanych po upływie sześciu miesięcy od przekazania tych danych do JIP.

( 17 ) Czyli celu dyrektywy API.