Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wiesbaden (Niemcy) w dniu 19 maja 2020 r. – JV / Bundesrepublik Deutschland
(Sprawa C-215/20)
Język postępowania: niemiecki
Sąd odsyłający
Verwaltungsgericht Wiesbaden
Strony w postępowaniu głównym
Strona skarżąca: JV
Strona pozwana: Bundesrepublik Deutschland
Pytania prejudycjalne
Czy dyrektywa (UE) 2016/6811 (zwana dalej „dyrektywą 2016/681”), zgodnie z którą przewoźnicy lotniczy przekazują kompleksowe dane dotyczące bez wyjątku wszystkich pasażerów do ustanowionych lub wyznaczonych jednostek do spraw informacji o pasażerach (JIP), gdzie dane te bez konkretnej potrzeby są wykorzystywane do zautomatyzowanego porównania z bazami danych i wzorami, a następnie zatrzymywane przez okres 5 lat, jest – przy uwzględnieniu celu tej dyrektywy i wymogów określoności oraz proporcjonalności – zgodna z Kartą prawa podstawowych Unii Europejskiej (zwaną dalej „kartą praw podstawowych”), w szczególności art. 7, 8 i 52 tej karty?
W szczególności:
Czy art. 3 pkt 9 dyrektywy 2016/681 w związku z załącznikiem II do tej dyrektywy w zakresie, w jakim regulują, iż pojęcie „poważnej przestępczości” w rozumieniu dyrektywy 2016/681 oznacza przestępstwa wymienione w załączniku II do tej dyrektywy, które na mocy prawa krajowego państwa członkowskiego podlegają karze pozbawienia wolności lub środkowi zabezpieczającemu polegającemu na pozbawieniu wolności o maksymalnym wymiarze co najmniej trzech lat, jest z uwzględnieniem wymogów wystarczającej określoności i proporcjonalności zgodny z art. 7 i 8 karty?
Czy podlegające przekazywaniu dane dotyczące przelotu pasażera (zwane dalej „danymi PNR”) w zakresie, w jakim dotyczą imienia i nazwiska (imion i nazwisk) (art. 8 ust. 1 zdanie pierwsze w związku z pkt 4 załącznika I do dyrektywy 2016/681), programów lojalnościowych (art. 8 ust. 1 zdanie pierwsze w związku z pkt 8 załącznika I do dyrektywy 2016/681) oraz wpisów uwag ogólnych w wolnym polu tekstowym (art. 8 ust. 1 zdanie pierwsze w związku z pkt 12 załącznika I do dyrektywy 2016/681), są na tyle wystarczająco określone, żeby usprawiedliwić ingerencję w prawa przewidziane w art. 7 i 8 karty praw podstawowych?
Czy zgodne z art. 7 i 8 karty praw podstawowych oraz celem dyrektywy 2016/681 jest to, że poza danymi dotyczącymi pasażerów zbierane są także dane podmiotów trzecich, np. biur podróży/agencji turystycznych (pkt 9 załącznika I do dyrektywy 2016/681), opiekunów osób małoletnich (pkt 12 załącznika I do dyrektywy 2016/681) i innych podróżnych wymienionych w PNR (pkt 17 załącznika I do dyrektywy 2016/681)?
Czy dyrektywa 2016/681 w zakresie, w jakim zgodnie z jej przepisami przekazywane, przetwarzane i zatrzymywane są dane PNR pasażerów małoletnich, jest zgodna z art. 7, 8 i 24 karty praw podstawowych?
Czy art. 8 ust. 2 dyrektywy 2016/681 w związku z pkt 18 załącznika I do dyrektywy 2016/681, zgodnie z którym dane API podlegają przekazaniu przez przewoźnika lotniczego do JIP w państwie członkowskim także wtedy, gdy są identyczne z danymi PNR, jest, przy uwzględnieniu zasady minimalizacji danych, zgodny z art. 8 i 52 karty praw podstawowych?
Czy art. 6 ust. 4 dyrektywy 2016/681 jako podstawa prawna dla określenia kryteriów, według których porównywane są dane (tzw. wzorów), stanowi wystarczającą podstawę prawną przewidzianą ustawą w rozumieniu art. 8 ust. 2 i art. 52 karty praw podstawowych oraz art. 16 ust. 2 TFUE?
Czy art. 12 dyrektywy 2016/681 ogranicza ingerencję w art. 7 i 8 karty praw podstawowych do tego, co jest absolutnie konieczne, skoro przekazywane dane są przechowywane przez JIP w państwach członkowskich przez pięć lat?
Czy depersonalizacja na podstawie art. 12 ust. 2 dyrektywy 2016/681 prowadzi do zmniejszenia ilości danych osobowych do poziomu wymaganego na podstawie art. 8 i 52 karty praw podstawowych, skoro w jej przypadku chodzi o nic innego, jak tylko o możliwą do odwrócenia w każdym czasie pseudonimizację?
Czy art. 7, 8 i 47 karty praw podstawowych należy interpretować w ten sposób, że wymagają one, by pasażerowie, których dane zostały ponownie ujawnione w trakcie przetwarzania danych PNR (art. 12 ust. 3 dyrektywy 2016/681), zostali o tym poinformowani i w ten sposób uzyskali możliwość poddania ujawnienia danych kontroli sądowej?
Czy art. 11 dyrektywy 2016/681 w zakresie, w jakim pozwala na przekazywanie danych PNR państwom trzecim, które nie zapewniają odpowiedniego poziomu ochrony danych, jest zgodny z art. 7 i 8 karty praw podstawowych?
Czy art. 6 ust. 4 zdanie czwarte dyrektywy 2016/681 zapewnia wystarczającą ochronę przed przetwarzaniem szczególnych kategorii danych osobowych w rozumieniu art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/6792 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; zwanego dalej „RODO”) i art. 10 dyrektywy Parlamentu Europejskiego i Rady (UE) nr 2016/6803 z dnia 27 czerwca 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 1; zwanej dalej „dyrektywą 2016/680”), w sytuacji gdy w wolnym polu tekstowym „Uwagi ogólne” (pkt 12 załącznika I do dyrektywy 2016/681) mogą zostać wpisane przykładowo informacje o preferencjach dotyczących posiłków, które pozwalają na wyciągnięcie wniosków dotyczących takich szczególnych kategorii danych osobowych?
Czy w zgodzie z art. 13 RODO pozostaje sytuacja, w której pasażerowie są informowani przez przewoźnika lotniczego na jego stronie internetowej wyłącznie o krajowej ustawie transponującej dyrektywę {tu: Gesetz über die Verarbeitung von Fluggastdaten zur Umsetzung der Richtlinie (EU) 2016/681 (Fluggastdatengesetz – FlugDaG) [ustawa o przetwarzaniu danych dotyczących przelotu pasażera w celu transpozycji dyrektywy (UE) 2016/681 (ustawa o danych dotyczących przelotu pasażera)] z dnia 6 czerwca 2017 r., BGBl. I s. 1484, zwana dalej „FlugDaG”}?
____________
1 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu] zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania (Dz.U. 2016, L 119, s. 132).
2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1).
3 Dyrektywa Parlamentu Europejskiego i Rady (UE) nr 2016/680 z dnia 27 czerwca 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89).