SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
PHILIPPA LÉGERJA,
predstavljeni 22. novembra 2005(1)
Zadeva C-317/04
Evropski parlament
proti
Svetu Evropske unije
„Varstvo posameznikov pri obdelavi osebnih podatkov – Ničnostna tožba – Sklep Sveta 2004/496/ES – Sporazum med Evropsko skupnostjo in Združenimi državami Amerike o obdelavi in prenosu podatkov iz PNR (‚Passenger Name Records‘)“
Zadeva C-318/04
Evropski parlament
proti
Komisiji Evropskih skupnosti
„Ničnostna tožba – Odločba Komisije 2004/535/ES o ustreznem varstvu osebnih podatkov, vsebovanih v Evidenci imen letalskih potnikov, posredovani Uradu za carinsko in mejno zaščito Združenih držav Amerike – Direktiva 95/46/ES“
Kazalo
I – Dejansko stanje
II – Pravi okvir obeh zadev
A – Pogodba EU
B – Pogodba o ustanovitvi Evropske skupnosti
C – Evropsko pravo o varstvu osebnih podatkov
III – Izpodbijane odločbe
A – Odločba o ustreznosti
B – Sklep Sveta
IV – Tožbeni razlogi, ki jih je v obeh zadevah navedel Parlament
V – Tožba zaradi razglasitve ničnosti odločbe o ustreznosti (zadeva C‑318/04)
A – Tožbeni razlog: Komisija naj bi s sprejetjem odločbe o ustreznosti prekoračila svoja pooblastila
1. Trditve strank
2. Presoja
B – Tožbena razloga: kršitev temeljnih pravic in kršitev načela sorazmernosti
VI – Tožba za razglasitev ničnosti sklepa Sveta (zadeva C‑317/04)
A – Tožbeni razlog: napačna izbira člena 95 ES kot pravne podlage za sklep Sveta
1. Trditve strank
2. Presoja
B – Tožbeni razlog: kršitev člena 300(3), drugi pododstavek, ES zaradi spremembe Direktive 95/46
1. Trditve strank
2. Presoja
C – Tožbena razloga: kršitev pravice do varstva osebnih podatkov in kršitev načela sorazmernosti
1. Trditve strank
2. Presoja
a) Obstoj vmešavanja v zasebno življenje
b) Utemeljitev vmešavanja v zasebno življenje
i) Ali je vmešavanje predvideno z zakonodajo?
ii) Ali ima vmešavanje legitimen cilj?
iii) Ali je v demokratični družbi vmešavanje nujno za doseganje takega cilja?
D – Tožbeni razlog: nezadostna obrazložitev sklepa Sveta
E – Tožbeni razlog: kršitev načela lojalnega sodelovanja iz člena 10 ES
VII – Stroški
VIII – Predlog
1. Evropski parlament je na podlagi člena 230 ES pri Sodišču vložil dve ničnostni tožbi. V zadevi Parlament proti Svetu (C-317/04) gre za tožbo za razglasitev ničnosti Sklepa Sveta z dne 17. maja 2004 o sklenitvi Sporazuma med Evropsko skupnostjo in Združenimi državami Amerike o obdelavi in prenosu podatkov iz PNR s strani letalskih prevoznikov Uradu za carine in varovanje meja pri ministrstvu Združenih držav za domovinsko varnost.(2) V zadevi Parlament proti Komisiji (C-318/04) Parlament predlaga razglasitev ničnosti Odločbe Komisije z dne 14. maja 2004 o ustreznem varstvu osebnih podatkov, vsebovanih v Evidenci imen letalskih potnikov, posredovani Uradu za carinsko in mejno zaščito Združenih držav Amerike.(3)
2. V teh zadevah je Sodišče naprošeno, naj odloči o vprašanjih, ki se nanašajo na varstvo osebnih podatkov letalskih potnikov, da se utemeljita prenos in obdelava takih podatkov v tretji državi, v tem primeru v Združenih državah Amerike(4), kadar se uveljavljajo zahteve, ki se nanašajo na javno varnost in izvirajo s kazenskopravnega področja, kot je preprečevanje ter boj proti terorizmu in drugim hudim kaznivim dejanjem.
3. Ti zadevi izvirata iz več dogodkov, ki jih je treba najprej navesti. Potem bom podrobno določil njihov pravni okvir.
I – Dejansko stanje
4. Po terorističnih napadih 11. septembra 2001 so Združene države sprejele zakonodajo, ki določa, da morajo letalski prevozniki, ki letijo v Združene države ali iz njih oziroma ki prečkajo njihovo ozemlje, carinskim organom Združenih držav omogočiti elektronski dostop do podatkov v svojih avtomatskih sistemih rezervacij in kontrole odhodov, imenovanih „Passenger Name Records“ (v nadaljevanju: PRN)(5). Medtem ko Komisija Evropskih skupnosti potrjuje upravičenost varnostnih interesov, pa je junija 2002 obvestila oblasti Združenih držav, da bi bile te določbe lahko v nasprotju z zakonodajo Skupnosti in držav članic o varstvu osebnih podatkov ter z nekaterimi določbami uredbe o uporabi računalniških sistemov rezervacij (v nadaljevanju: RSR)(6). Organi Združenih držav so odložili začetek veljavnosti novih določb, niso pa se hoteli odpovedati pravici naložiti sankcije letalskim prevoznikom, ki po 5. marcu 2003 ne ravnajo v skladu s tem določbami. Od takrat je več velikih letalskih prevoznikov, ki imajo sedež v državah članicah, organom zagotovilo dostop do svojih PNR.
5. Komisija je začela pogajanja z organi Združenih držav, po katerih je bil pripravljen dokument, ki vsebuje zaveze Urada CBP zaradi sprejetja odločbe Komisije, katere namen bo vzpostaviti ustrezno raven varstva osebnih podatkov, ki jo zagotavljajo Združene države, na podlagi člena 25(6) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov(7).
6. Delovna skupina za varstvo podatkov, imenovana „Člen 29“(8), je 13. junija 2003 izdala mnenje, v katerem je izrazila dvome glede ravni varstva, ki jih te zaveze zagotavljajo za predvidene postopke obdelave podatkov(9). Svoje dvome je ponovila v naslednjem mnenju z dne 29. januarja 2004(10).
7. Komisija je 1. marca 2004 Parlamentu predložila osnutek odločbe o ustreznosti skupaj z osnutkom zavez Urada CBP.
8. Komisija je 17. marca 2004 Parlamentu predložila predlog sklepa Sveta Evropske unije o sklenitvi Sporazuma med Skupnostjo in Združenimi državami, da ga Parlament pregleda v skladu s členom 300(3), prvi pododstavek, ES. Svet je v dopisu z dne 25. marca 2004, sklicujoč se na nujni postopek, določen v členu 112 Poslovnika Parlamenta (postal člen 134), zahteval mnenje Parlamenta o tem predlogu najpozneje do 22. aprila 2004. Svet je v uradnem pismu navedel, da je „[b]oj proti terorizmu, ki upravičuje predlagane ukrepe, najpomembnejša prednostna naloga Evropske unije. Letalski prevozniki in potniki so trenutno v negotovem položaju, ki ga je treba nujno odpraviti. Poleg tega je bistveno zaščititi finančne interese zadevnih strank.“
9. Parlament je 31. marca 2004 na podlagi člena 8 Sklepa Sveta z dne 28. junija 1999 o določitvi postopkov za uresničevanje Komisiji podeljenih izvedbenih pooblastil(11) sprejel resolucijo, v kateri glede navedenega pristopa izraža več pravnih pridržkov. Zlasti je menil, da je osnutek odločbe o ustreznosti prekoračil pooblastila, ki jih Komisiji podeljuje člen 25 Direktive 95/46. Pozval je k sklenitvi primernega mednarodnega sporazuma, ki bo zagotavljal spoštovanje temeljnih pravic, in predlagal Komisiji, naj predloži nov osnutek odločbe. Pridržal si je tudi pravico zadevo predložiti Sodišču, ki naj bi preverilo zakonitost načrtovanega mednarodnega sporazuma in zlasti njegovo skladnost z varstvom pravice do spoštovanja zasebnega življenja.
10. Parlament je 21. aprila 2004 na zahtevo predsednika Parlamenta odobril priporočilo Odbora za pravne zadeve in notranji trg, naj se Sodišče v skladu s členom 300(6) ES zaprosi za mnenje o skladnosti predvidenega sporazuma s Pogodbo, ter postopek se je začel še isti dan. Parlament se je prav tako na isti dan odločil odboru predložiti poročilo o predlogu sklepa Sveta in tako na tej stopnji z molkom zavrnil zahtevo Sveta z dne 25. marca 2004 za nujni postopek.
11. Svet je 28. aprila 2004 na podlagi člena 300(3), prvi pododstavek, ES na Parlament naslovil dopis, v katerem ga je zaprosil za mnenje o sklenitvi sporazuma do 5. maja 2004. Da bi utemeljil predlog za obravnavo po nujnem postopku, je še enkrat ponovil razloge, navedene v dopisu z dne 25. marca 2004.(12)
12. Sodni tajnik Sodišča je 30. aprila 2004 Parlament obvestil, da je Sodišče določilo 4. junij 2004 za dan iztek roka za predložitev stališč držav članic, Sveta in Komisije v postopku v zvezi z zahtevkom za mnenje št. 1/04.
13. Parlament je 4. maja 2004 zavrnil predlog Sveta za obravnavo po nujnem postopku, ki mu ga je Svet predložil 28. aprila.(13) Dva dni pozneje je predsednik Parlamenta stopil v stik s Svetom in Komisijo ter ju prosil, naj ne nadaljujeta postopkov, dokler Sodišče ne pripravi mnenja, za katero je bilo zaprošeno 21. aprila 2004.
14. Komisija je 14. maja 2004 sprejela odločbo o ustreznem varstvu osebnih podatkov, vsebovanih v Evidenci imen letalskih potnikov, posredovani Uradu CBP, na podlagi člena 25(6) Direktive 95/46.
15. Svet je 17. marca 2004 sprejel Sklep o sklenitvi Sporazuma med Skupnostjo in Združenimi državami o obdelavi in prenosu podatkov iz PNR s strani letalskih prevoznikov Uradu CBP.
16. Parlament je z dopisom z dne 9. julija 2004 obvestil Sodišče, da umika predlog za mnenje št. 1/04(14). Nato se je odločil začeti sodni postopek glede spornih zadev proti Svetu in Komisiji.
II – Pravi okvir obeh zadev
A – Pogodba EU
17. Člen 6 EU določa:
„1. Unija temelji na načelih svobode, demokracije, spoštovanja človekovih pravic in temeljnih svoboščin ter pravne države, na načelih, ki so skupna vsem državam članicam.
2. Unija spoštuje temeljne pravice, kakršne zagotavlja Evropska konvencija o varstvu človekovih pravic in temeljnih svoboščin, podpisana v Rimu 4. novembra 1950 in ki kot splošna načela prava Skupnosti izhajajo iz skupnih ustavnih tradicij držav članic.
[…]“
B – Pogodba o ustanovitvi Evropske skupnosti
18. V členu 95(1) ES je določeno:
„Z odstopanjem od določb člena 94 in kadar ta pogodba ne določa drugače, se za doseganje ciljev iz člena 14 uporabljajo v nadaljevanju navedene določbe. Svet v skladu s postopkom iz člena 251 in po posvetovanju z Ekonomsko-socialnim odborom sprejme ukrepe za približevanje določb zakonov in drugih predpisov v državah članicah, katerih predmet je vzpostavitev in delovanje notranjega trga.“
19. Ob upoštevanju postopka za sklepanje mednarodnih pogodb Skupnosti člen 300(2), prvi pododstavek, ES v prvem stavku določa, da „[o]b upoštevanju pristojnosti, ki jih ima na tem področju Komisija, odloča o podpisu [...] in o sklepanju sporazumov Svet s kvalificirano večino na predlog Komisije“.
20. V členu 300 (3) ES je navedeno:
„Z izjemo sporazumov iz člena 133(3) sklepa Svet sporazume po posvetovanju z Evropskim parlamentom, tudi kadar sporazum zajema področje, pri katerem je za sprejetje notranjih predpisov potreben postopek iz člena 251 ali 252. Evropski parlament da svoje mnenje v roku, ki ga lahko glede na nujnost zadeve določi Svet. Če ne da mnenja v tem roku, lahko Svet ukrepa.
Z odstopanjem od prejšnjega pododstavka se sporazumi iz člena 310, drugi sporazumi, ki z uvedbo postopkov sodelovanja vzpostavljajo poseben institucionalni okvir, sporazumi, ki imajo znatne proračunske posledice za Skupnost, in sporazumi, katerih posledica je sprememba akta, sprejetega v skladu s postopkom iz člena 251, sklepajo po pridobitvi privolitve Evropskega parlamenta.
V nujnih primerih se lahko Svet in Evropski parlament dogovorita glede roka za privolitev.“
C – Evropsko pravo o varstvu osebnih podatkov
21. Člen 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin (v nadaljevanju: EKČP) določa:
„1. Vsakdo ima pravico do spoštovanja svojega zasebnega in družinskega življenja, svojega doma in dopisovanja.
2. Javna oblast se ne sme vmešavati v izvrševanje te pravice, razen če je to določeno z zakonom in nujno v demokratični družbi zaradi državne varnosti, javne varnosti ali ekonomske blaginje države, zato da se prepreči nered ali zločin, da se zavaruje zdravje ali morala ali da se zavarujejo pravice in svoboščine drugih ljudi.“
22. Evropsko pravo o varstvu podatkov se je prvič pojavilo v okviru Sveta Evrope. Konvencija o varstvu posameznikov glede avtomatske obdelave osebnih podatkov je bila na voljo za podpis državam članicam Sveta Evrope v Strasbourgu 28. januarja 1981(15). Njen namen je vsakemu posamezniku, ne glede na državljanstvo ali prebivališče, na ozemlju vsake pogodbenice zagotoviti spoštovanje njegovih pravic in temeljnih svoboščin, zlasti pravico do zasebnosti glede avtomatske obdelave njegovih osebnih podatkov.
23. Glede Evropske unije je poleg člena 7, ki se nanaša na spoštovanje zasebnega in družinskega življenja, člen 8 Listine o temeljnih pravicah Evropske unije(16) posebej namenjen varstvu osebnih podatkov. Glasi se tako:
„1. Vsakdo ima pravico do varstva osebnih podatkov, ki se nanašajo nanj.
2. Osebni podatki se morajo obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom. Vsakdo ima pravico dostopa do podatkov, zbranih o njem, in pravico zahtevati, da se ti podatki popravijo.
3. Spoštovanje teh pravil nadzira neodvisen organ.“
24. Glede primarne zakonodaje Skupnosti člen 286(1) ES določa, da se „[o]d 1. januarja 1999 […] za institucije in organe, ustanovljene s to pogodbo ali na njeni podlagi, uporabljajo akti Skupnosti o varstvu posameznikov pri obdelavi osebnih podatkov in prostem pretoku takšnih podatkov“.(17)
25. V sekundarni zakonodaji Skupnosti je na tem področju temeljni predpis Direktiva 95/46(18). Njena povezava z določbami, ki izhajajo iz Sveta Evrope, je izrecno navedena v uvodnih izjavah 10 in 11. V uvodni izjavi 10 je navedeno, da „ker je namen nacionalne zakonodaje o obdelavi osebnih podatkov varovati temeljne pravice in svoboščine, predvsem pravico do zasebnosti, ki jo priznava člen 8 [EKČP], pa tudi splošna načela zakonodaje Skupnosti; ker zato približevanje teh zakonodaj ne sme povzročiti zmanjšanja varstva, ki ga zagotavljajo, ampak mora imeti za cilj zagotovitev visoke ravni varstva v Skupnosti“. Poleg tega je v uvodni izjavi 11 navedeno, da „načela varstva pravic in svoboščin posameznikov, predvsem pravice do zasebnosti, ki jih vsebuje ta direktiva, dajejo vsebino in razširjajo tista, ki jih vsebuje Konvencija [št. 108]“.
26. Direktiva 95/46, sprejeta na podlagi člena 100a Pogodbe ES (po spremembi postal člen 95 ES), izvira iz misli, izražene v uvodni izjavi 3, po kateri „ustanovitev in delovanje notranjega trga [...], zahteva ne le, da se osebni podatki lahko prosto prenašajo iz ene države članice v drugo, ampak tudi, da se zaščitijo temeljne pravice posameznikov“. Natančneje, zakonodajalec Skupnosti je začel z ugotovitvijo, da „ker lahko razlika v ravneh varstva pravic in svoboščin posameznikov, predvsem pravica do zasebnosti glede obdelave osebnih podatkov, ki je zagotovljena v državah članicah, prepreči prenos takih podatkov z ozemlja ene države članice na ozemlje druge države članice“(19), zato lahko ta razlika pomeni oviro pri izvajanju številnih dejavnosti na ravni Skupnosti in izkrivlja konkurenco. Zato je zakonodajalec Skupnosti menil, da „mora biti za to, da bi odstranili ovire za prenos osebnih podatkov, raven varstva pravic in svoboščin posameznikov glede obdelave takih podatkov enakovredna v vseh državah članicah“.(20) Rezultat tega pristopa mora biti, da „države članice zaradi enakovrednega varstva, ki bo posledica približevanja nacionalnih zakonodaj, ne bodo več mogle ovirati medsebojnega prostega pretoka osebnih podatkov na temelju varstva pravic in svoboščin posameznikov ter predvsem pravice do zasebnosti“.(21)
27. Člen 1 Direktive 95/46, z naslovom „Namen direktive“, ta pristop uresniči tako:
„1. V skladu s to direktivo države članice varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihovo pravico do zasebnosti pri obdelavi osebnih podatkov.
2. Države članice ne omejujejo niti ne prepovedujejo prostega pretoka osebnih podatkov med državami članicami zaradi razlogov, povezanih z varstvom, ki je zagotovljeno v skladu z odstavkom 1.“
28. Člen 2 navedene direktive med drugim opredeljuje pojme „osebni podatek“, „obdelava osebnih podatkov“ in „upravljavec“.
29. Tako na podlagi člena 2(a) Direktive 95/46 osebni podatek pomeni „katero koli informacijo, ki se nanaša na določeno ali določljivo fizično osebo [...]; določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na en dejavnik oziroma več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto“.
30. Na podlagi člena 2(b) navedene direktive „obdelava osebnih podatkov“ pomeni „kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, prilagajanje ali predelava, iskanje, posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje, prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje“.
31. Člen 2(d) Direktive 95/46 opredeljuje „upravljavca“ kot „fizično ali pravno osebo, javni organ, agencijo ali kateri koli drug organ, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov [...]“
32. Glede področja uporabe Direktive 95/46 je v členu 3(1) te določeno, da se Direktiva „uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatskimi sredstvi in za drugačno obdelavo kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke“.
33. Člen 3(2) Direktive navaja eno od omejitev področja uporabe Direktive, ker določa:
„Ta direktiva se ne uporablja za obdelavo osebnih podatkov:
– med dejavnostjo, ki ne sodi na področje uporabe zakonodaje Skupnosti, kot so tiste, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, in v vsakem primeru v postopkih obdelave v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno z gospodarsko blaginjo države, kadar se postopek obdelave nanaša na zadeve državne varnosti) in pri dejavnostih države na področju kazenskega prava,
[…]“
34. Poglavje II Direktive 95/46 je namenjeno „splošnim pravilom o zakonitosti obdelave osebnih podatkov“. V navedenem poglavju zajema oddelek I „načela v zvezi s kakovostjo podatkov“. V členu 6 te direktive so našteta načela, znana kot poštenost, zakonitost, namen, sorazmernost in pravilnost obdelave osebnih podatkov. Glasi se tako:
„1. Države članice določijo, da morajo biti osebni podatki:
(a) pošteno in zakonito obdelani;
(b) zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni [...];
(c) primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo;
(d) točni in po potrebi ažurirani [...];
(e) shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo [...]
2. Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“
35. Oddelek II poglavja II Direktive je namenjen „merilom za zakonitost obdelave podatkov“. Člen 7, ki sestavlja ta oddelek, določa:
„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
(a) je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev;
ali
(b) je obdelava potrebna za izvajanje pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki, ali pa za izvajanje ukrepov na zahtevo posameznika, na katerega se osebni podatki nanašajo, pred sklenitvijo pogodbe;
ali
(c) je obdelava potrebna za skladnost z zakonsko obveznostjo, ki velja za upravljavca;
[...]“
36. Glede osebnih podatkov, ki so pogosto razvrščeni kot „občutljivi“, člen 8(1) določa načelo, da je obdelava takih podatkov prepovedana. Določa, da „[d]ržave članice prepovejo obdelavo osebnih podatkov, ki kažejo na rasni ali etnični izvor, politična mnenja, verska ali filozofska prepričanja, pripadnost sindikatu, in obdelavo podatkov v zvezi z zdravjem ali spolnim življenjem“. Vendar pa obstajajo številne izjeme pri navedenem načelu prepovedi; njihova vsebina in pogoji, ki veljajo zanje, so podrobno določeni v naslednjih odstavkih člena 8.
37. V členu 13(1) Direktive 95/46, pod naslovom „Izjeme in omejitve“, je navedeno:
„Države članice lahko sprejmejo predpise za omejitev obsega obveznosti in pravic, opredeljenih v členih 6(1), 10, 11(1), 12 in 21, kadar taka omejitev predstavlja potrebni ukrep za zaščito:
(a) državne varnosti;
(b) obrambe;
(c) javne varnosti;
(d) preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj ali kršitve etike za zakonsko urejene poklice;
(e) pomembnega gospodarskega ali finančnega interesa države članice ali Evropske unije, vključno z denarnimi, proračunskimi in davčnimi zadevami;
(f) spremljanja, pregledovanja ali urejanja, povezanega, četudi občasno, z izvajanjem javne oblasti v primerih iz (c), (d) in (e);
(g) posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih.“
38. Zakonodajalec Skupnosti je tudi želel, da se tako vzpostavljena ureditev za varovanje ne poslabša, ko osebni podatki zapustijo ozemlje Skupnosti. Postalo je jasno, da zaradi mednarodne dimenzije pretoka informacij(22) zakonodaja, veljavna samo na navedenem ozemlju, ne bi bila ustrezna ali celo ne bi bila smiselna. Zato je zakonodajalec Skupnosti izbral sistem, ki za dovoljenje za prenos osebnih podatkov v tretjo državo zahteva, da zadevna država zagotovi „primerno raven varstva“ za take podatke.
39. Zato je zakonodajalec Skupnosti predpisal pravilo, da „mora biti prenos osebnih podatkov v tretjo državo, ki ne zagotavlja primerne ravni varstva, prepovedan“.(23)
40. Skladno s tem člen 25 Direktive 95/46 določa načela, ki veljajo za prenos osebnih podatkov v tretje države:
„1. Države članice predvidijo, da se lahko prenos osebnih podatkov, ki so v obdelavi ali so namenjeni obdelavi po dovoljenem prenosu, v tretjo državo izvede le, če brez poseganja v skladnost z nacionalnimi določbami, ki so sprejete v skladu z drugimi določbami te direktive, ta tretja država zagotovi ustrezno raven varstva.
2. Ustreznost ravni varstva, ki jo nudi tretja država, se oceni glede na vse okoliščine, ki so povezane s postopkom prenosa ali z nizom postopkov prenosa podatkov; predvsem je treba upoštevati značaj podatkov, namen in trajanje predlaganega postopka ali postopkov obdelave, državo izvora in ciljno državo, pravno ureditev, bodisi splošno ali sektorsko, ki je v veljavi v tretji državi, ter strokovne predpise in varnostne ukrepe, ki se uporabljajo v tej državi.
3. Države članice in Komisija se medsebojno obveščajo o primerih, za katere menijo, da tretja država ne zagotavlja ustrezne ravni varstva v smislu odstavka 2.
4. Kadar Komisija na podlagi postopka iz člena 31(2) ugotovi, da tretja država ne zagotavlja ustrezne ravni varstva v smislu odstavka 2 tega člena, države članice sprejmejo ukrepe, ki so potrebni za preprečevanje kakršnih koli prenosov podatkov iste vrste v to tretjo državo.
5. Ko je ustrezno, Komisija začne pogajanja glede ureditve položaja, ki izhaja iz ugotovitve po odstavku 4.
6. Komisija lahko v skladu s postopkom iz člena 31(2) ugotovi, da tretja država zagotavlja ustrezno raven varstva v smislu odstavka 2 tega člena zaradi svoje domače zakonodaje ali mednarodnih obveznosti, ki jih je prevzela, predvsem na podlagi sklepa pogajanj iz odstavka 5, za zaščito zasebnega življenja in temeljnih svoboščin in pravic posameznikov.
Države članice sprejmejo ukrepe, ki so potrebni za uskladitev z odločitvijo Komisije.“
41. Na koncu je treba povedati, da v okviru naslova VI Pogodbe EU, ki se nanaša na policijsko in pravosodno sodelovanje v kazenskih zadevah, varstvo osebnih podatkov urejajo različni posebni instrumenti. Vključujejo instrumente, ki uvajajo skupne informacijske sisteme na evropski ravni, kot je Konvencija o izvajanju schengenskega sporazuma(24), ki vsebuje posebne določbe o varstvu podatkov v schengenskem informacijskem sistemu (SIS)(25); Konvencija o ustanovitvi Evropskega policijskega urada, ki temelji na členu K.3 Pogodbe o Evropski uniji,(26); Sklep Sveta o ustanovitvi Eurojusta(27) in Določbe notranjega poslovnika Eurojusta o obdelavi in varstvu osebnih podatkov(28); Konvencija, pripravljena na podlagi člena K.3 Pogodbe o Evropski uniji, o uporabi informacijske tehnologije za carinske namene, ki vsebuje določbe o varstvu osebnih podatkov, ki se uporabljajo za carinski informacijski sistem(29), in Konvencija o medsebojni pravni pomoči v kazenskih zadevah med državami članicami Evropske unije(30).
42. Komisija je 4. oktobra 2005 vložila predlog za okvirni sklep Sveta o varstvu osebnih podatkov, ki se obdelujejo v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah.(31)
III – Izpodbijane odločbe
43. Izpodbijani odločbi bom preučil po kronološkem vrstnem redu sprejetja.
A – Odločba o ustreznosti
44. Komisija je sprejela odločbo o ustreznosti na podlagi člena 25(6) Direktive 95/46, ki, naj spomnim, Komisiji podeljuje pooblastilo ugotavljanja, ali tretja država zagotavlja ustrezno raven varstva osebnih podatkov.(32) Kot je navedeno v uvodni izjavi 2 odločbe, se lahko „[v] takšnem primeru […] osebni podatki posredujejo iz držav članic, ne da bi bila potrebna dodatna jamstva“.
45. V uvodni izjavi 11 v preambuli odločbe Komisija navaja da „[u]rad CBP obdela prejete osebne podatke, vsebovane v evidenci imen letalskih potnikov PNR, v skladu s pogoji, določenimi v [z]avezah [u]rada za carinsko in mejno zaščito (CBP) [m]inistrstva za domovinsko varnost z dne 11. maja 2004 in v domači zakonodaji Združenih držav, v obsegu, podanem v [z]avezah“. Zato Komisija v uvodni izjavi 14 sklepa navaja, da „[s]tandardi, po katerih bo [u]rad CBP obdeloval podatke o potnikih PNR na podlagi zakonodaje Združenih držav in v skladu z zavezami, zajemajo osnovna načela, potrebna za ustrezno raven varstva fizičnih oseb“.
46. Zato člen 1 odločbe o ustreznosti določa:
„Za namene člena 25(2) Direktive 95/46/ES velja, da [u]rad [CBP] zagotavlja primerno raven varstva za podatke PNR, prenesene iz Skupnosti, v zvezi z leti v smeri proti in iz Združenih držav, v skladu z zavezami, določenimi v Prilogi I.“
47. Poleg tega člen 3 odločbe o ustreznosti določa, da pristojni organi v državah članicah lahko prekinejo posredovanje podatkov Uradu CBP v teh primerih:
„1. Brez poseganja v njihove pristojnosti za sprejem ukrepov za zagotavljanje skladnosti z nacionalnimi določbami, ki so bile sprejete na podlagi drugih določb, razen člena 25 Direktive 95/46/ES, lahko pristojni organi v državah članicah uporabijo svoja obstoječa pooblastila, da prekinejo posredovanje podatkov Uradu CBP zato, da bi zavarovali posameznike v zvezi z obdelavo njihovih osebnih podatkov, v naslednjih primerih:
a) če je pristojni organ Združenih držav ugotovil, da Urad CBP krši veljavne standarde varstva; ali
b) če obstaja znatna možnost, da so kršeni standardi varstva, določeni v Prilogi, obstajajo upravičeni razlogi za prepričanje, da Urad CBP ne sprejema ali ne bo sprejel ustreznih in pravočasnih ukrepov za rešitev zadevnega vprašanja, stalni prenos podatkov bi ustvaril neposredno nevarnost za povzročitev hude škode posameznikom, na katere se podatki nanašajo, in so se pristojni organi v državah članicah primerno trudili, da bi v danih okoliščinah obvestili Urad CBP in mu dali priložnost, da se odzove.
2. Začasna prekinitev se konča takoj, ko so zagotovljeni standardi varstva in je pristojni organ države članice o tem obveščen.“
48. Države članice Komisijo obvestijo o ukrepih, sprejetih v skladu s členom 3 odločbe o ustreznosti. Na podlagi člena 4(2) te odločbe se morajo države članice in Komisija medsebojno obveščati o vseh spremembah v standardih varstva in o primerih, v katerih se zdi, da skladnost s temi standardi ni zagotovljena. Po teh izmenjavah člen 4(3) odločbe o ustreznosti določa, da „[č]e informacije, ki so zbrane v skladu s členom 3 in z odstavkoma 1 in 2 tega člena, dokazujejo, da se osnovna načela, potrebna za primerno raven varstva za fizične osebe, ne spoštujejo več, ali da kateri koli organ, odgovoren za zagotavljanje skladnosti s standardi varstva s strani Urada CBP, kot so določeni v Prilogi, ne izpolnjuje učinkovito svoje vloge, se obvesti Urad CBP in se po potrebi uporabi postopek iz člena 31(2) Direktive 95/46/ES z namenom razveljaviti ali prekiniti izvajanje te odločbe“.
49. Člen 5 odločbe o ustreznosti tudi določa pravilo, da je treba spremljati izvajanje odločbe in „kakršne koli uporabne ugotovitve se posredujejo Odboru, ustanovljenem v skladu s členom 31 Direktive 95/46/ES“.
50. Poleg tega člen 7 odločbe o ustreznosti navaja, da „veljavnost odločbe poteče tri leta in šest mesecev po datumu uradnega obvestila, razen če se v skladu s postopkom iz člena 31(2) Direktive 95/46/ES ne podaljša“.
51. Odločbi so priložene zaveze Urada CBP in v uvodu je izrecno navedeno, da je njihov namen „podpora načrtu“ Komisije o potrditvi, da Urad CBP zagotavlja ustrezno varstvo podatkov, ki so mu preneseni. Kakor je navedeno, te zaveze, ki imajo 48 odstavkov, „ne ustvarijo oziroma nobeni osebi ali stranki, zasebni ali javni, ne dodelijo pravic ali ugodnosti“.(33)
52. V presoji bom v bistvu navedel vsebino teh zavez, ki so pomembne za izid postopka.
53. Odločba o ustreznosti vsebuje Dodatek A, v katerem je navedenih 34 elementov podatkov PNR, ki jih Urad CBP zahteva od letalskih prevoznikov.(34)
54. Navedeno odločbo Komisije dopolnjuje sklep Sveta o sklenitvi mednarodnega sporazuma med Evropsko skupnostjo in Združenimi državami.
B – Sklep Sveta
55. Sklep Sveta je bil sprejet na podlagi člena 95 ES v zvezi s členom 300(2), prvi pododstavek, prva poved, ES.
56. V uvodni izjavi 1 sklepa je navedeno da je „23. februarja 2004 […] Svet pooblastil Komisijo, da se v imenu Skupnosti z Združenimi državami Amerike pogaja o Sporazumu o obdelavi in prenosu podatkov iz PNR (Passanger Name Record) s strani letalskih prevoznikov Uradu za carinsko in mejno zaščito“.(35) V uvodni izjavi 2 je navedeno, da „Evropski parlament v roku, ki ga je Svet določil na podlagi prvega pododstavka člena 300(3) Pogodbe zaradi nujnosti razrešitve negotovega položaja, v katerem so se znašle letalske družbe in potniki, kot tudi zaradi zaščite finančnih interesov prizadetih strank, ni podal svojega mnenja.“
57. Na podlagi člena 1 sklepa Sveta se Sporazum odobri v imenu Skupnosti. Poleg tega člen 2 navedenega sklepa pooblašča predsednika Sveta za imenovanje osebe, pooblaščene za podpis Sporazuma v imenu Skupnosti.
58. Besedilo Sporazuma je priloženo sklepu Sveta. Člen 7 Sporazuma določa, da začne Sporazum veljati s podpisom. V skladu z navedenim členom je Sporazum, podpisan v Washingtonu 28. maja 2004, začel veljati na dan podpisa.(36)
59. V preambuli Sporazuma Skupnost in Združene države priznavajo „pomen, ki ga ima spoštovanje temeljnih pravic in svoboščin, zlasti zasebnosti, ter pomen spoštovanja teh vrednot, ob hkratnem preprečevanju in boju proti terorizmu in z njim povezanih mednarodnih težkih kaznivih dejanj, vključno z organiziranim kriminalom“.
60. V preambuli Sporazuma so navedene te določbe: Direktiva 95/46 ter zlasti člen 7(c) zavez Urada CBP in odločba o ustreznosti.(37)
61. Pogodbenici tudi ugotavljata, „da bi se letalski prevozniki z rezervacijskimi/odpremnimi nadzornimi sistemi na ozemlju držav članic Evropske skupnosti morali pripraviti za posredovanje podatkov iz PRN Uradu CBP takoj, ko bo to tehnično izvedljivo, da pa je do takrat treba organom ZDA omogočiti neposreden dostop do podatkov v skladu z določbami tega sporazuma“.(38)
62. Odstavek 1 Sporazuma tako določa, da se „Uradu CBP dovoli elektronski dostop do podatkov iz PNR v rezervacijskih/odpremnih nadzornih sistemih [...] letalskih družb na ozemlju držav članic Evropske skupnosti dosledno v skladu z Odločbo[(39)] in dokler se Odločba uporablja ter le do vzpostavitve zadovoljivega sistema, ki bo omogočil, da bodo takšne podatke posredovali letalski prevozniki“.
63. Kot dopolnilo pooblastila, podeljenega Uradu CBP za neposreden dostop do podatkov iz PNR, odstavek 2 Sporazuma zahteva, naj letalski prevozniki, ki opravljajo potniške lete v mednarodnem letalskem prometu v Združene države ali iz njih, obdelujejo podatke iz PNR v svojih avtomatiziranih rezervacijskih sistemih tako, „kot to zahteva Urad CBP na podlagi prava ZDA in dosledno v skladu z Odločbo[(40)], dokler se Odločba uporablja“.
64. V odstavku 3 Sporazuma je določeno, da se Urad CBP „seznanja“ z odločbo o ustreznosti in „izjavlja, da izvaja zaveze, ki so priložene Odločbi“. Ob tem odstavek 4 Sporazuma določa, da „Urad CBP obdeluje prejete podatke iz PNR in ravna z osebami, na katere se podatki nanašajo, v skladu z veljavnimi zakoni ter ustavnimi pravili ZDA brez nezakonite diskriminacije zlasti na podlagi državljanstva in države prebivališča“.
65. Poleg tega se Urad CBP in Skupnost zavezujeta skupaj redno preverjati izvajanje tega sporazuma.(41) Sporazum tudi določa, da „[v] primeru, da bi se v Evropski uniji začel izvajati sistem za identifikacijo potnikov v letalskem prometu, ki bi od letalskih prevoznikov zahteval, da pristojnim organom zagotavljajo dostop do podatkov iz PNR za osebe, katerih tekoči načrt potovanja vključuje let v Evropsko unijo ali iz nje, DHS [Department of Homeland Security] v mejah izvedljivega in dosledno na podlagi vzajemnosti dejavno spodbuja sodelovanje letalskih družb v svoji pristojnosti“.(42)
66. Odstavek 7 Sporazuma, poleg tega, da določa, da Sporazum začne veljati s podpisom, navaja, da lahko vsaka od pogodbenic ta sporazum kadar koli odpove. V tem primeru začne odpoved učinkovati 90 dni od dne uradnega obvestila druge pogodbenice o odpovedi. Odstavek 7 določa tudi, da se lahko Sporazum kadar koli spremeni z medsebojnim pisnim sporazumom.
67. Odstavek 8 Sporazuma pa določa, da „namen tega sporazuma ni odstopati ali spreminjati zakonodajo pogodbenic; prav tako ta sporazum ne ustvarja ali podeljuje pravic ali koristi drugim osebam ali subjektom zasebnega ali javnega prava“.
IV – Tožbeni razlogi, ki jih je v obeh zadevah navedel Parlament
68. V zadevi C-317/04 Parlament navaja šest tožbenih razlogov, ki izpodbijajo sklep Sveta:
– napačna izbira člena 95 ES kot pravne podlage;
– kršitev člena 300(3), drugi pododstavek, ES zaradi spremembe Direktive 95/46;
– kršitev pravice do varstva osebnih podatkov;
– kršitev načela sorazmernosti;
– nezadostna obrazložitev sporne odločbe;
– kršitev načela lojalnega sodelovanja, določenega v členu 10 ES.
69. Združenemu kraljestvu Velika Britanija in Severna Irska ter Komisiji je bila dovoljena intervencija v podporo Svetu.(43) Poleg tega je bila Evropskemu nadzorniku za varstvo podatkov dovoljena intervencija v podporo Parlamentu.(44)
70. V zadevi C-318/04 Parlament navaja štiri tožbene razloge, ki izpodbijajo odločbo o ustreznosti:
– prekoračitev pooblastil Komisije;
– kršitev temeljnih načel Direktive 95/46;
– kršitev temeljnih pravic;
– kršitev načela sorazmernosti.
71. Združenemu kraljestvu je bila dovoljena intervencija v podporo Komisiji.(45) Poleg tega je bila Evropskemu nadzorniku za varstvo podatkov dovoljena intervencija v podporo Parlamentu.(46)
72. Tožbi bom preučil v vrstnem redu sprejetja izpodbijanih aktov. Zato bom najprej preučil tožbo zaradi razglasitve ničnosti odločbe o ustreznosti (zadeva C‑318/04) in nato tožbo zaradi razglasitve ničnosti sklepa Sveta (zadeva C‑317/04).
V – Tožba zaradi razglasitve ničnosti odločbe o ustreznosti (zadeva C‑318/04)
A – Tožbeni razlog: Komisija naj bi s sprejetjem odločbe o ustreznosti prekoračila svoja pooblastila
1. Trditve strank
73. V podporo temu tožbenemu razlogu Parlament najprej poudarja, da odločba o ustreznosti, kolikor si prizadeva za doseganje cilja, ki se nanaša na javno varnost in kazensko pravo, krši Direktivo 95/46, ker zadeva področje, ki je izločeno s področja uporabe ratione materiae Direktive. Ta izključitev je izrecno opredeljena v členu 3(2), prva alinea, Direktive 95/46 in razlaga, ki bi zmanjšala njeno področje uporabe, ni mogoča. Dejstvo, da so bili osebni podatki zbrani pri opravljanju poslovne dejavnosti, in sicer prodaje letalskih vozovnic, ki daje pravico do opravljanja storitev, ne more upravičiti uporabe navedene direktive, in zlasti člena 25 Direktive, na področju, ki je izključeno s področja njene uporabe.
74. Parlament meni, da Urad CBP ni tretja država v smislu člena 25 Direktive 95/46. Člen 25(6) zahteva, da se sklep Komisije, ki ugotavlja ustrezno raven varstva osebnih podatkov, nanaša na „tretjo državo“, to pomeni na državo ali enakovreden subjekt, in ne na upravno enoto ali del izvršilnega organa države.
75. Tretjič, Parlament poudarja, da je Komisija s sprejetjem odločbe o ustreznosti prekoračila svoja pooblastila, kolikor zaveze, priložene odločbi, izrecno dovoljujejo Uradu CBP prenos podatkov iz PNR drugim ameriškim ali tujim vladnim organom.
76. Četrtič, Parlament poudarja, da odločba o ustreznosti povzroča nekatere omejitve in izjeme od načel, določenih v Direktivi 95/46, čeprav člen 13 navedene direktive pridržuje pravico sprejeti take ukrepe izključno za države članice. Tako je Komisija s sprejetjem odločbe o ustreznosti prevzela vlogo držav članic in zato kršila člen 13 Direktive. Komisija si je s sprejetjem ukrepa za izvajanje Direktive 95/46 prisvojila pooblastila, strogo rezervirana za države članice.
77. Petič, Parlament trdi, da dajanje podatkov na voljo s sistemom „pull“ ni „prenos“ v smislu člena 25 Direktive 95/46 in zato ne more biti dovoljen.
78. Po mnenju Parlamenta bi bilo zaradi medsebojne odvisnosti odločbe o ustreznosti in Sporazuma treba odločiti, da navedena odločba ni primeren ukrep za dolžnost prenosa podatkov iz PNR.
79. V nasprotju s Parlamentom Evropski nadzornik za varstvo podatkov poudarja, da se zagotovitev dostopa osebi ali ustanovi tretje države do podatkov lahko šteje za prenos in da se zato uporablja člen 25 Direktive 95/46. Meni, da bi omejevanje koncepta prenosa, ki ga opravi pošiljatelj, omogočilo izogibanje pogojem, ki jih določa člen 25, in tako zmanjšalo varstvo podatkov, ki ga predvideva navedeni člen.
80. Komisija, ki jo podpira Združeno kraljestvo, meni, da dejavnosti letalskih prevoznikov spadajo na področje uporabe prava Skupnosti in da se zato Direktiva 95/46 uporablja v celoti. Ureditev, vzpostavljena v zvezi s prenosom podatkov iz PNR, ne zadeva dejavnosti države članice ali organov oblasti, ki ne spadajo na področje uporabe prava Skupnosti.
81. Poleg tega Komisija poudarja, da je bil Sporazum podpisan v imenu Združenih držav in ne v imenu državnega organa. Glede naknadnega posredovanja podatkov iz PNR s strani urada CBP Komisija poudarja, da varstvo osebnih podatkov ni nezdružljivo z odobritvijo takih prenosov, če zanje veljajo ustrezne in potrebne omejitve.
82. Na koncu, Komisija ugotavlja, da člen 13 Direktive 95/46 v tej zadevi ni ustrezen in da „prenos“ v smislu člena 25 te direktive za letalske prevoznike pomeni aktivno dajanje podatkov iz PNR na voljo Uradu CBP. Obravnavani sistem zato vključuje prenos podatkov v smislu Direktive 95/46.
2. Presoja
83. Parlament s tem prvim tožbenim razlogom poudarja, da odločba o ustreznosti krši Direktivo 95/46 in zlasti njene člene 3(2), 13 in 25. Med drugim trdi, da ta odločba ne more ustrezno temeljiti na primarnem aktu, ki ga določa navedena direktiva.
84. Kot sem že razložil, je namen Direktive 95/46, zaradi vzpostavitve in delovanja notranjega trga, odstranitev ovir za prosti pretok osebnih podatkov tako, da je raven varstva pravic in svoboščin posameznikov pri obdelavi takih podatkov enakovredna v vseh državah članicah.
85. Namen zakonodajalca Skupnosti je bil tudi, da tako vzpostavljena varovalna ureditev ni ogrožena, ko osebni podatki zapustijo ozemlje Skupnosti. Zato je izbral sistem, ki za dovoljenje za prenos osebnih podatkov v tretjo državo zahteva, da mora zadevna država zagotoviti ustrezno raven varstva za take podatke. Tako Direktiva 95/46 vsebuje načelo, da če tretja država ne zagotavlja ustrezne ravni varstva osebnih podatkov, je treba prenos v tako državo prepovedati.
86. Člen 25 navedene direktive nalaga državam članicam in Komisiji več obveznosti, katerih namen je nadzor prenosov osebnih podatkov v tretje države z vidika ravni varstva, ki jih za take podatke zagotavlja vsaka od teh držav. Določa tudi način in merila za presojo, ali tretja državo zagotavlja primerno raven varstva prenesenih osebnih podatkov.
87. Sodišče je opredelilo ureditev, ki se nanaša na prenos osebnih podatkov tretjim državam, kot „posebno ureditev s posebnimi pravili, katerih namen je omogočiti državam članicam spremljati prenose osebnih podatkov v tretje države“. Pojasnilo je tudi, da je to „ureditev, ki dopolnjuje splošno ureditev, ki jo vzpostavlja Poglavje II k navedeni direktivi o zakonitosti obdelave osebnih podatkov“.(47)
88. Posebnost pravil, ki urejajo prenos osebnih podatkov v tretje države, je v veliki meri mogoče razložiti s pomembno vlogo, ki jo ima koncept ustreznega varstva. Za opredelitev področja uporabe koncepta ga je treba jasno ločiti od koncepta enakovrednega varstva, ki bi zahteval, naj tretje države priznajo in dejansko uporabljajo načela iz Direktive 95/46.
89. Koncept ustreznega varstva pomeni, da mora biti tretja država sposobna zagotavljati ustrezno varstvo na podlagi modela, za katerega se šteje, da je sprejemljiv glede stopnje varstva osebnih podatkov. Tak sistem, ki temelji na ustreznosti varstva, ki ga zagotavlja tretja država, omogoča državam članicam in Komisiji samostojnost pri presoji zaščitnih ukrepov, vzpostavljenih v državi, v katero se podatki prenašajo. Presojo usmerja člen 25(2) Direktive 95/46, v katerem so navedeni nekateri dejavniki, ki se lahko upoštevajo pri presoji.(48) V tej zvezi je pravilo, ki ga je določil zakonodajalec Skupnosti, da se „ustreznost ravni varstva, ki jo nudi tretja država, oceni glede na vse okoliščine, ki so povezane s postopkom prenosa ali z nizom postopkov prenosa podatkov“.
90. Kot je Sodišče že navedlo, Direktiva 95/46 ne opredeljuje koncepta „prenosa v tretjo državo“.(49) Zlasti ne določa, ali koncept zajema le dejanje, s katerim upravljavec aktivno razkrije osebne podatke tretji državi ali ki je razširjeno tudi na primere, v katerih ima subjekt tretje države dovoljenje za dostop do podatkov v državi članici. V Direktivi se torej ne govori o načinu prenosa podatkov v tretjo državo.
91. V nasprotju s Parlamentom menim, da v tem primeru dostop do podatkov iz PNR, ki ga ima urad CBP, spada na področje uporabe koncepta „prenosa v tretjo državo“. Po mojem mnenju je odločilna značilnost takega prenosa pretok podatkov iz države članice v tretjo državo, v tem primeru v Združene države.(50) V zvezi s tem ni pomembno, ali opravi prenos pošiljatelj ali prejemnik. Kot poudarja Evropski nadzornik za varstvo podatkov, bi se bilo, če bi bilo področje uporabe člena 25 Direktive 95/46 omejeno na prenose, ki jih opravi pošiljatelj, preprosto izogibati pogojem, ki jih določa navedeni člen.
92. Kljub temu pa je treba pozornost nameniti dejstvu, da namen poglavja IV Direktive, v katerem je člen 25, ni urejati vseh prenosov osebnih podatkov, kakršne koli narave, v tretje države. Kot je navedeno v členu 25(1) Direktive, so v poglavju IV zajeti samo prenosi osebnih podatkov, „ki so v obdelavi ali so namenjeni obdelavi po prenosu“.
93. V zvezi s tem bi poudaril, da kakor je navedeno v členu 2(b) Direktive 95/46, obdelava osebnih podatkov pomeni „kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki, [...] kakršno je zbiranje, beleženje, [...] posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje [...]“(51)
94. Kljub posebnosti, ki kot smo lahko videli, v glavnem temelji na konceptu ustreznosti, mora biti ureditev, ki se nanaša na prenos osebnih podatkov v tretje države, skladna s pravili, ki se nanašajo na področje uporabe Direktive 95/46, katere del je.(52)
95. Da bi bil prenos osebnih podatkov zajet v členu 25 Direktive 95/46, se mora nanašati na osebne podatke, katerih obdelava, ki se trenutno opravlja v Skupnosti ali je samo predvidena v tretji državi, spada na področje uporabe navedene direktive. Samo pod tem pogojem je lahko odločba o ustreznosti ustrezen ukrep za izvajanje Direktive 95/46.
96. V zvezi s tem bi poudaril, da se Direktiva ne uporablja ratione materiae za vse osebne podatke, katerih obdelava bi lahko spadala v eno od kategorij, navedenih v členu 2(b). Člen 3(2), prva alinea, Direktive 95/46 namreč določa, da se Direktiva ne uporablja za obdelavo osebnih podatkov „med dejavnostjo, ki ne spada na področje uporabe zakonodaje Skupnosti, kot so tiste, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, in v vsakem primeru v postopkih obdelave v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno z gospodarsko blaginjo države, kadar se postopek obdelave nanaša na zadeve državne varnosti) in pri dejavnostih države na področju kazenskega prava“.(53)
97. Menim, da so posvetovanje, uporaba podatkov o letalskih potnikih iz rezervacijskih sistemov letalskih prevoznikov na ozemlju držav članic s strani urada CBP in dajanje takih podatkov na voljo Uradu CBP postopki obdelave osebnih podatkov v zvezi z javno varnostjo ter da se nanašajo na dejavnosti države na področju kazenskega prava. Zato so ti postopki obdelave izločeni s področja uporabe Direktive 95/46.
98. Besedilo, uporabljeno v odločbi o ustreznosti, izkazuje namen postopkov obdelave, v katerih se uporabljajo osebni podatki letalskih potnikov. Po navedbi, da zahteve, da se osebni podatki o letalskih potnikih iz PNR posredujejo Uradu CBP, temeljijo na zakonu, ki so ga sprejele Združene države novembra 2001, in na izvedbenih uredbah, ki jih je v okviru tega zakona sprejel Urad CBP(54), Komisija jasno navaja, da je eden od namenov zakonodaje Združenih držav „izboljšanje varnosti“.(55) Navedeno je tudi, da „Skupnost v celoti podpira Združene države v boju proti terorizmu v skladu z omejitvami, ki jih postavlja pravo Skupnosti“.(56)
99. V uvodni izjavi 15 odločbe o ustreznosti je navedeno, da „se bodo podatki PNR uporabili izključno za namene preprečevanja in boja proti: terorizmu in z njim povezanimi kaznivimi dejanji; drugim hudim kaznivim dejanjem, vključno z organiziranim kriminalom, ki so po naravi transnacionalna; in proti izogibanju sodnim nalogom ali priporu zaradi navedenih kaznivih dejanj“.
100. Po mojem mnenju Direktiva 95/46 in zlasti člen 25(6) ne moreta biti ustrezna podlaga za sprejetje izvedbenega ukrepa s strani Komisije, kot je odločba o ustreznem varstvu osebnih podatkov, za katere se uporabljajo postopki obdelave, ki so izrecno izločeni s področja njene uporabe. Odobritev prenosa takih podatkov na podlagi navedene direktive bi pomenila posredno razširitev njenega področja uporabe.
101. Treba je upoštevati, da Direktiva 95/46, ki je bila sprejeta na podlagi člena 100a Pogodbe ES, določa načela varstva, ki jih mora pri obdelavi osebnih podatkov uporabljati vsaka oseba, katere dejavnosti ureja pravo Skupnosti, vendar prav zaradi izbrane pravne podlage Direktiva ne more urejati dejavnosti države, kot so dejavnosti v zvezi z javno varnostjo ali za odkrivanje in pregon, ki ne spadajo na področje uporabe prava Skupnosti.(57)
102. Res je, da ima obdelava, ki je sestavljena iz zbiranja in beleženja podatkov o letalskih potnikih s strani letalskih prevoznikov, na splošno komercialen namen, kolikor je povezana z izvedbo leta s strani letalskega prevoznika. Zato je pošteno domnevati, da letalski prevozniki prvotno zbirajo podatke PNR pri opravljanju dejavnosti, ki spada na področje uporabe prava Skupnosti, in sicer prodaja letalskih vozovnic, ki daje pravico do opravljanja storitev. Vendar je obdelava, ki je upoštevana v odločbi o ustreznosti, po naravi precej drugačna, ker zajema fazo, ki sledi prvotnemu zbiranju podatkov. Kot smo lahko videli, zajema posvetovanje, uporabo podatkov o letalskih potnikih iz rezervacijskih sistemov letalskih prevoznikov na ozemlju držav članic s strani Urada CBP in dajanje takih podatkov na voljo temu uradu.
103. Dejansko se odločba o ustreznosti ne nanaša na postopek obdelave podatkov, ki je potreben za opravljanje storitev, ampak na postopek, ki se šteje kot potreben za zaščito javne varnosti ter za odkrivanje in pregon. Gotovo je to namen prenosa in obdelave podatkov iz PNR. Zato po mojem mnenju dejstvo, da so bili osebni podatki zbrani pri opravljanju poslovne dejavnosti, ne more upravičiti uporabe Direktive 95/46, zlasti člena 25 navedene direktive, na področju, ki je izključeno s področja njene uporabe.
104. Po mojem mnenju so te trditve zadostne za ugotovitev, da kot meni Parlament, Komisija na podlagi člena 25 Direktive 95/46 ni imela pooblastila za sprejetje odločbe o ustreznem varstvu osebnih podatkov, ki se prenašajo v postopku obdelave in za namen postopka obdelave, ki je izrecno izločen s področja uporabe navedene direktive.(58)
105. Zato odločba o ustreznosti krši primarni akt, in sicer Direktivo 95/46, in zlasti člen 25, ki ni ustrezna podlaga zanj. Zato menim, da je treba to odločbo razglasiti za nično.
106. Če sprejmem stališče, da odločba o ustreznosti ne spada na področje uporabe Direktive 95/46, tudi ni potrebe po preučitvi navedene odločbe, kar zahteva Parlament v drugem tožbenem razlogu, ob upoštevanju temeljnih načel iz Direktive.(59) Zato menim, da drugega tožbenega razloga ni treba obravnavati.
107. Po mojem mnenju tretjega in četrtega tožbenega razloga v tožbi, ki jih bom obravnaval le podredno, ni mogoče analizirati ločeno, ker preiskava, ali so z odločbo o ustreznosti kršene temeljne pravice, nujno vključuje presojo skladnosti ukrepa z načelom sorazmernosti ob upoštevanju njegovega cilja. Zato predlagam, naj Sodišče tretji in četrti tožbeni razlog preuči skupaj.
B – Tožbena razloga: kršitev temeljnih pravic in kršitev načela sorazmernosti
108. Parlament poudarja, da odločba o ustreznosti ne spoštuje pravice do varstva osebnih podatkov, zagotovljene v členu 8 EKČP. Natančneje, ob upoštevanju pogojev, določenih v navedenem členu, Parlament poudarja, da pomeni sklep vmešavanje v zasebno življenje, za katero ne moremo šteti, da je v skladu z zakonodajo, ker je to ukrep, ki ni dostopen in predvidljiv. Poleg tega Parlament poudarja, da ukrep ni sorazmeren z zastavljenim ciljem, med drugim zaradi prevelikega števila zahtevanih elementov podatkov iz PNR in zaradi predolgega časa hranjenja podatkov.
109. Parlament v tožbi, ki jo je vložil v zadevi C-317/04 zaradi razglasitve ničnosti sklepa Sveta, navaja ta tožbena razloga in v njuno podporo trditve, ki se v veliki meri prekrivajo. Menim, da je treba te tožbene razloge, predložene Sodišču v obeh zadevah, preučiti skupaj, in da je primerno to storiti v moji presoji zadeve C‑317/04.
110. Iz trditev, ki so jih navedle stranke v pisnih vlogah, je očitno, da z vidika pravice do spoštovanja zasebnega življenja ni mogoče ločeno razumeti sestavin ureditev, ki se nanašajo na obdelavo podatkov iz PNR s strani Urada CBP(60), ki je sestavljen iz Sporazuma, kot ga je odobril sklep Sveta, odločbe o ustreznosti in zavez Urada CBP, priloženih odločbi Komisije. Stranke se pri podpori zadeve večkrat sklicujejo na vse te ukrepe.
111. Medsebojna odvisnost teh treh sestavin ureditve PNR je izrecno razvidna iz besedila Sporazuma. V preambuli Sporazuma so navedene zaveze Urada CBP in odločba o ustreznosti. Drugič, v odstavku 1 Sporazuma je navedeno, da ima Urad CBP lahko dostop do podatkov iz PNR, „dosledno v skladu z [o]dločbo [o ustreznosti] in dokler se [ta] [o]dločba uporablja [...]“ Čeprav v skladu z odstavkom 2 Sporazuma morajo tam navedeni letalski prevozniki obdelovati podatke iz PNR „tako, kot to zahteva Urad CBP na podlagi prava ZDA“, jih je treba tudi obdelati „dosledno v skladu z [o]dločbo [o ustreznosti] in dokler se [ta] [o]dločba uporablja“. Odstavek 3 Sporazuma določa, da se „[u]rad CBP seznanja z [o]dločbo [o ustreznosti] in izjavlja, da izvaja zaveze, ki so priložene [tej] [o]dločbi“.
112. Sledi, da za pravico do dostopa do podatkov iz PNR, podeljeno Uradu CBP, in tudi za obveznost letalskih prevoznikov iz navedenega sporazuma, tj. obdelovati te podatke, velja stroga in dejanska uporaba odločbe o ustreznosti.
113. Tako medsebojna odvisnost vseh treh sestavin ureditve PNR in dejstvo, da je Parlament v obeh primerih, za katere zahteva odločitev Sodišča, navedel tožbena razloga kršitev temeljnih pravic in kršitev načela sorazmernosti, vodijo k razlagi, da ti tožbeni razlogi zahtevajo ugotovitev Sodišča, da ureditev PNR v vseh treh sestavnih delih ni združljiva s pravico do spoštovanja zasebnega življenja, zagotovljeno v členu 8 EKČP. Po mojem mnenju ne bi bilo naravno, če bi preučili odločbo o ustreznosti brez upoštevanja Sporazuma, ki letalskim prevoznikom nalaga nekatere obveznosti, in obratno, če bi preučili Sporazum brez upoštevanja drugih določb, ki se uporabljajo in na katere se navedeni instrument izrecno sklicuje.
114. Glede na ugotovitev, da je sistem sestavljen iz več neločljivih elementov, analize ne morem umetno razdeliti.
115. S tega vidika pomenijo vmešavanje v zasebno življenje določbe Sporazuma, kot ga je odobril sklep Sveta, odločbe o ustreznosti in zaveze Urada CBP. Da bi preučil, ali je vmešavanje skladno z zakonodajo, zasleduje legitimen cilj in ali je nujno v demokratični družbi, je treba upoštevati tudi vse tako vzpostavljene mehanizme „treh hitrosti“, kot je storil Parlament v dveh vlogah. Zaradi pregleda ureditve PNR bom preučitev naprej opravil v okviru tožbe zaradi razglasitve ničnosti sklepa Sveta.
VI – Tožba za razglasitev ničnosti sklepa Sveta (zadeva C-317/04)
A – Tožbeni razlog: napačna izbira člena 95 ES kot pravne podlage za sklep Sveta
1. Trditve strank
116. Evropski parlament trdi, da člen 95 ES ni ustrezna pravna podlaga za sklep Sveta. Cilj in vsebina sklepa nista vzpostavitev in delovanja notranjega trga. Cilj sklepa Sveta je legalizirati obdelavo osebnih podatkov, ki jo letalskim prevoznikom s sedežem na ozemlju Skupnosti nalaga ameriško pravo. Sklep ne določa podrobno, do kolikšne mere legalizacija prenosa podatkov v tretjo državo prispeva k vzpostavitvi in delovanju notranjega trga.
117. Po mnenju Parlamenta vsebina sklepa Sveta tudi ne upravičuje uporabe člena 95 ES kot pravne podlage. Ta sklep naj bi vzpostavljal pravico Urada CBP do dostopa do rezervacijskih sistemov letalskih prevoznikov na ozemlju Skupnosti zaradi opravljanja zračnih prevozov med Združenimi državami in državami članicami, ki je v skladu z ameriškim pravom za preprečevanje in boj proti terorizmu. Vendar uresničevanje teh ciljev ne spada na področje uporabe člena 95 ES.
118. Parlament na koncu dodaja, da člen 95 ES ne more upravičiti pristojnosti Skupnosti za sklenitev zadevnega sporazuma, ker se ta sporazum nanaša na postopke obdelave, ki se opravljajo zaradi javne varnosti in so zato izločeni s področja uporabe Direktive 95/46, ki temelji na navedenem členu Pogodbe.
119. Svet pa na drugi strani meni, da njegov sklep pravilno temelji na členu 95 ES. Trdi, da je ta člen lahko podlaga za ukrepe, katerih cilj je zagotoviti, da na notranjem trgu pogoji konkurence niso izkrivljeni. Meni, da je namen Sporazuma odpraviti izkrivljanje konkurence med letalskimi prevozniki držav članic ter med letalskimi prevozniki držav članic in letalskimi prevozniki tretjih držav, do katerih bi lahko prišlo zaradi ameriških zahtev, zaradi razlogov, ki se nanašajo na varstvo posameznikovih pravic in svoboščin. Pogoji konkurence med letalskimi prevozniki držav članic, ki opravljajo mednarodni potniški letalski prevoz v ZDA in iz njih, bi bili lahko izkrivljeni, če bi samo nekateri od njih ameriškim organom dovolili dostop do svojih zbirk podatkov.
120. Podobno Svet poudarja, da bi, prvič, letalskim prevoznikom, ki ne bi izpolnjevali ameriških zahtev, ameriški organi lahko naložili globe, njihovi leti bi lahko zamujali in lahko bi izgubili potnike zaradi drugih letalskih prevoznikov, ki so z Združenimi državami sklenili dogovore. Drugič, nekatere države članice bi lahko kaznovale letalske prevoznike, ki bi prenašali zadevne osebne podatke, druge države članice pa ne bi nujno ukrepale na enak način.
121. V teh okoliščinah in ker ni skupnih pravil o dostopu ameriških organov do podatkov iz PNR, Svet poudarja, da bi lahko prišlo do izkrivljanja konkurenčnih pogojev in da bi bila lahko povzročena resna škoda enotnosti notranjega trga. Zato je bilo po njegovem mnenju treba vzpostaviti usklajene pogoje ureditve dostopa ameriških organov do navedenih podatkov in hkrati varovati zahteve Skupnosti o spoštovanju temeljnih pravic. Sporni sta nalaganje usklajenih obveznosti vsem zadevnim letalskim prevoznikom ter zunanji vidik vzpostavitve in delovanja notranjega trga.
122. Svet na koncu ugotavlja, da je bil Sporazum sklenjen po odločbi o ustreznosti, ki je bila sprejeta na podlagi člena 25(6) Direktive 95/46. Po njegovem mnenju je bilo zato naravno in ustrezno, da je sklep o sklenitvi Sporazuma imel isto pravno podlago kot Direktiva, in sicer člen 95 ES.
123. Komisija v izjavi o posredovanju ugotavlja, da preambula Sporazuma dokazuje, da je za Združene države najpomembnejši cilj boj proti terorizmu, za Skupnost pa je glavni cilj podpiranje glavnih elementov zakonodaje o varovanju osebnih podatkov.
124. Ugotavlja, da Parlament pri kritiziranju izbire člena 95 ES kot pravne podlage za sklep Sveta ne navaja nobenih primernih alternativ. Po mnenju Komisije je navedeni člen „naravna“ pravna podlaga za sklep Sveta, kolikor mora zunanja razsežnost varstva osebnih podatkov temeljiti na členu Pogodbe, ki je podlaga za notranji ukrep, in sicer Direktiva 95/46, zlasti ker je ta zunanji vidik izrecno predviden v členih 25 in 26 Direktive. Poleg tega je zaradi tesne povezave in medsebojne odvisnosti Sporazuma, odločbe o ustreznosti in zavez Urada CBP člen 95 ustrezna pravna podlaga. Vsekakor Komisija trdi, da je Svet imel pooblastilo za sklenitev Sporazuma na podlagi navedenega člena, ker če bi države članice skupaj ali ločeno sklenile tak sporazum zunaj okvira Skupnosti, bi to vplivalo na Direktivo 95/46 v smislu sodne prakse AETR(61).
125. Komisija tudi trdi, da letalski prevozniki prvotno obdelujejo zadevne podatke v komercialne namene. Zato uporaba podatkov s strani ameriških organov ne pomeni, da nanje Direktiva 95/46 ne vpliva.
2. Presoja
126. Parlament s prvim tožbenim razlogom predlaga Sodišču, naj odloči, ali je člen 95 ES ustrezna pravna podlaga za sklep Sveta, da Skupnost sklene mednarodni sporazum, kot je sporni sporazum v tej zadevi. Za odgovor na to vprašanje je treba uporabiti ustaljeno sodno prakso, v skladu s katero mora izbira pravne podlage za ukrep Skupnosti temeljiti na objektivnih elementih, ki jih je mogoče sodno preizkusiti, vključujoč zlasti cilj in vsebino ukrepa.(62) „V okviru organizacije pristojnosti Skupnosti izbira pravne podlage za ukrep lahko ni preprosto odvisna le od prepričanja ustanove glede zastavljenega cilja [...]“(63)
127. Poudarjam, da je Sodišče odločilo, da „ima izbira ustrezne pravne podlage ustavni pomen. Ker so bila Skupnosti pooblastila samo podeljena, mora [zadevni mednarodni sporazum] povezati z določbo Pogodbe, ki jo pooblašča za odobritev takega akta“. Sodišče meni, „da ima lahko zato uporaba nepravilne pravne podlage za posledico razveljavitev akta o sklenitvi sporazuma in tako razveljavitev soglasja Skupnosti, da jo zavezuje Sporazum, ki ga je podpisala“.(64)
128. Zato bom v skladu z metodo analize, ki jo uporablja Sodišče, najprej preučil, ali cilj in vsebina Sporazuma Svetu dovoljujeta, da na podlagi člena 95 ES sprejme sklep, katerega cilj je, kakor je navedeno v členu 1, odobriti Sporazum v imenu Skupnosti.
129. Glede cilja Sporazuma je v uvodni izjavi 1 izrecno navedeno, da ima dva cilja, in sicer na eni strani preprečevanje ter boj proti terorizmu in mednarodnim težkim kaznivim dejanjem, ki so povezana z njim, vključno z organiziranim kriminalom(65), ter po drugi strani spoštovanje temeljnih pravic in svoboščin, zlasti zasebnosti.
130. Zasledovanje cilja boja proti terorizmu in drugih težkih kaznivih dejanj je izkazano v uvodni izjavi 2 Sporazuma s sklicevanjem na ameriške zakone in podzakonske predpise, ki so bili sprejeti po terorističnih napadih 11. septembra 2001 in se v njih zahteva, da vsak letalski prevoznik, ki opravlja potniške lete v mednarodnem letalskem prometu v Združene države ali iz njih, zagotovi Uradu CBP elektronski dostop do podatkov iz PNR, kolikor se ti zbirajo in hranijo v avtomatiziranih rezervacijskih/odpremnih nadzornih sistemih letalskih prevoznikov.
131. Cilj spoštovanja temeljnih pravic, predvsem zasebnosti, izkazuje sklicevanje na Direktivo 95/46. Tako gre za vprašanje zagotavljanja prepeljanim posameznikom, da bodo njihovi osebni podatki varovani.
132. To jamstvo se zahteva v zavezah, ki jih je 11. maja 2004 sprejel Urad CBP, ki bodo, v skladu z uvodno izjavo 4 Sporazuma, objavljene v ameriškem zveznem registru, in v odločbi o ustreznosti, ki je omenjena v uvodni izjavi 5.
133. V skladu z uvodno izjavo 5 Sporazuma je treba ta cilja zasledovati hkrati. Sporazum, sklenjen med Skupnostjo in Združenimi državami, tako poskuša uskladiti ta cilja, to pomeni, da temelji na misli, da je treba pri boju proti terorizmu in drugim težkim kaznivim dejanjem spoštovati temeljne pravice, predvsem pravico do zasebnosti in, natančneje, pravico do varstva osebnih podatkov.
134. Vsebina Sporazuma potrjuje navedeno analizo. Odstavek 1 določa, da se Uradu CBP dovoli elektronski dostop do podatkov iz PNR v rezervacijskih nadzornih sistemih letalskih družb na ozemlju držav članic Evropske skupnosti, „dosledno v skladu z“ odločbo o ustreznosti in „dokler se odločba uporablja“. Iz tega je mogoče sklepati, da Sporazum dovoljuje dostop do podatkov o letalskih potnikih iz PNR kot sredstvo za boj proti terorizmu in drugim težkim kaznivim dejanjem, le kolikor se priznava, da je za te podatke v Združenih državah zagotovljena ustrezna raven varstva. Vsebina te določbe Sporazuma tako izraža hkratno zasledovanje cilja boja proti terorizmu in drugim težkim kaznivim dejanjem ter varstva osebnih podatkov.
135. Enako lahko ugotovim ob preučitvi odstavka 2 Sporazuma, v katerem se zahteva, naj letalski prevozniki, ki opravljajo potniške lete v mednarodnem letalskem prometu v Združene države ali iz njih, obdelujejo podatke iz PNR v svojih avtomatiziranih rezervacijskih sistemih tako, „kot to zahteva Urad CBP na podlagi prava ZDA in dosledno v skladu z odločbo [o ustreznosti], dokler se odločba uporablja“. Tudi tukaj je obveznost, ki je sedaj naložena letalskim prevoznikom zaradi boja proti terorizmu in drugim težkim kaznivim dejanjem, tesno povezana z ustreznim varstvom osebnih podatkov letalskih potnikov.
136. Namen drugih določb Sporazuma je izražati cilj boja proti terorizmu in drugim težkim kaznivim dejanjem ter varstva osebnih podatkov letalskih potnikov.
137. Tako izrecno v zvezi s ciljem varstva teh osebnih podatkov potnikov odstavek 3 Sporazuma določa, da se „Urad CBP seznanja z odločbo [o ustreznosti] in izjavlja, da izvaja zaveze, ki so priložene odločbi“.
138. Poleg tega odstavek 6 Sporazuma predvideva možnost, da Evropska unija začne izvajati sistem za identifikacijo potnikov v letalskem prometu, ki bi od letalskih prevoznikov zahteval, naj pristojnim organom zagotavljajo dostop do podatkov iz PNR za osebe, katerih tekoči načrt potovanja vključuje let v Evropsko unijo ali iz nje. Če Evropska unija začne izvajati tak ukrep, Sporazum določa, da ministrstvo za domovinsko varnost „v mejah izvedljivega in dosledno na podlagi vzajemnosti dejavno spodbuja sodelovanje letalskih družb v svoji pristojnosti“. To je določba, ki še enkrat izraža cilj boja proti terorizmu in drugim težkim kaznivim dejanjem.
139. Kot odgovor na nekatere trditve Komisije bi poudaril, da se mi zato zdi, da je težko trditi, da Združene države enostransko in same zasledujejo cilj boja proti terorizmu in drugim težkim kaznivim dejanjem ter da je edini cilj Skupnosti varstvo osebnih podatkov letalskih potnikov.(66) Dejansko menim, da je z vidika vsake pogodbenice cilj in vsebina Sporazuma uskladitev cilja boja proti terorizmu in drugim težkim kaznivim dejanjem ter cilja varstva osebnih podatkov letalskih potnikov. Sporazum tako vzpostavlja sodelovanje med pogodbenicama, katerega izrecni namen je hkrati doseči dvojni cilj.
140. Ob upoštevanju cilja in vsebine Sporazuma, kakor sta opisana zgoraj, menim, da člen 95 ES ni ustrezna pravna podlaga za sklep Sveta.
141. Člen 95(1) ES zadeva ukrepe, ki jih Svet sprejme za približevanje določb zakonov in drugih predpisov v državah članicah, katerih predmet je vzpostavitev in delovanje notranjega trga.
142. Pristojnost, ki jo Skupnosti dodeljuje navedeni člen Pogodbe, je horizontalna, kar pomeni, da ni omejena na določeno področje. Obseg pristojnosti Skupnosti je zato opredeljen „s sklicevanjem na merilo funkcionalne narave, razširjeno na vse ukrepe, zasnovane za uresničevanje ‚notranjega trga‘“.(67)
143. Poleg tega je glede na sodno prakso Sodišča namen ukrepov iz člena 95(1) ES izboljšanje pogojev za vzpostavitev in delovanje notranjega trga, pri čemer morajo ti ukrepi dejansko imeti ta cilj, s tem da prispevajo k odstranjevanju ovir pri prostem pretoku blaga oziroma prostem pretoku storitev ali pri odpravljanju izkrivljanja konkurence.(68) Iz navedene sodne prakse tudi sledi, da čeprav je uporaba člena 95 ES za pravno podlago prav tako mogoča zato, da se preprečijo prihodnje ovire pri trgovanju, ki izhajajo iz neenotnega razvoja nacionalnih zakonodaj, mora biti pojav teh ovir verjeten, cilj zadevnega ukrepa pa mora biti njihova preprečitev.(69)
144. Kot sem že navedel, Svet trdi, da je bil njegov sklep veljavno sprejet na podlagi člena 95 ES, ker je Sporazum z Združenimi državami z odpravo izkrivljanja konkurence med letalskimi prevozniki držav članic ter med letalskimi prevozniki držav članic in letalskimi prevozniki tretjih držav pomagal preprečiti resno škodo enotnosti notranjega trga.
145. Omeniti je treba, da se uvodna izjava 2 sklepa Sveta sklicuje na „nujnost razrešitve negotovega položaja, v katerem so se znašle letalske družbe in potniki, kot tudi zaščite finančnih interesov prizadetih strank“. To poved bi lahko razumeli kot namigovanje na sankcije, ki bi jih lahko pristojni ameriški organi naložili letalskim prevoznikom, ki zavrnejo dostop do podatkov svojih potnikov v PNR, ki so sankcije, ki bi lahko imele finančne posledice za navedene letalske prevoznike. Mogoče je, da bi v takih razmerah sankcije z neugodnimi finančnimi posledicami za nekatere letalske prevoznike lahko povzročile izkrivljanje konkurence med vsemi letalskimi prevozniki, ki imajo sedež na ozemlju držav članic.
146. Poleg tega je mogoče domnevati, da bi različen odnos držav članic, od katerih bi nekatere ob grožnji kazni prepovedale letalskim prevoznikom, ki imajo sedež na njihovem ozemlju, prenos podatkov iz PNR o njihovih potnikih, druge pa ne bi ukrepale na tak način, lahko vplival, celo posredno, na delovanje notranjega trga zaradi mogočega izkrivljanja konkurence, do katerega bi lahko prišlo med letalskimi prevozniki.
147. Vendar ostaja dejstvo, da je tak cilj preprečevanja izkrivljanja konkurence, kolikor ga Svet dejansko zasleduje, samo postranski v odnosu do glavnih dveh ciljev boja proti terorizmu in drugim težkim kaznivim dejanjem ter varstva osebnih podatkov letalskih potnikov, ki sta, kot smo lahko videli, izrecno navedena v določbah Sporazuma in se dejansko izvajata.
148. Cilj preprečevanja izkrivljanja konkurence, če bi obstajal, kot trdi Svet, med letalskimi prevozniki držav članic ali med letalskimi prevozniki držav članic in letalskimi prevozniki tretjih držav, ni v Sporazumu nikjer izrecno omenjen. Je impliciten in zato nujno povezan z drugima dvema.
149. Poudarjam pa, da kot je Sodišče že presodilo, „samo dejstvo, da bi akt lahko vplival na vzpostavitev ali delovanje notranjega trga, ne upravičuje uporabe te določbe kot podlage za akt“.(70)
150. Predvsem je iz ustaljene sodne prakse Sodišča očitno, da kadar preučitev ukrepa Skupnosti odkrije, da ima več kot en namen ali da ima več kot eno sestavino, in če je enega mogoče opredeliti kot glavni ali prevladujoči namen oziroma sestavni del, drugi pa so le stranski, mora ukrep temeljiti na samo eni pravni podlagi, in sicer tisti, ki se zahteva za glavni ali prevladujoči namen oziroma sestavni del.(71) Le v izjemnih primerih, v katerih se ugotovi, da ima ukrep hkrati več ciljev, ki so neločljivo povezani in med njimi nobeden ni drugotnega ali posrednega pomena glede na druge, mora tak ukrep temeljiti na ustreznih različnih pravnih podlagah.(72) Po mojem mnenju v tem primeru ni tako.
151. Tudi, če bi se štelo, da ta sporazum zasleduje vse tri cilje, ki so neločljivo povezani, bi ostalo dejstvo, da je glede na sodno prakso treba izbiro Sveta, da njegov sklep temelji na členu 95 ES kot edini pravni podlagi, šteti za neustrezno.
152. Dejansko je iz uvodne izjave 2 sklepa Sveta, brane v celoti, jasno, da je glavni cilj sklicevanja na „nujnost“ v navedeni uvodni izjavi razložiti, da je bil določen rok za to, da Parlament poda svoje mnenje, v skladu s členom 300(3), prvi pododstavek, ES, ki kot del postopka za sklepanje sporazumov, določa, da „Evropski parlament da svoje mnenje v roku, ki ga lahko glede na nujnost zadeve določi Svet“. Navedeni člen tudi določa, da „če ne da mnenja v tem roku, lahko Svet ukrepa“. Tako je bilo v postopku, ki je bil izveden za sprejetje sklepa Sveta.
153. Povedano drugače, čeprav je bila „nujnost razrešitve negotovega položaja, v katerem so se znašle letalske družbe in potniki, kot tudi zaščite finančnih interesov prizadetih strank“ mogoče res upoštevana v postopku vzpostavitve ureditve podatkov PNR, se zdi, da je imel ta preudarek večjo vlogo v postopku, ki je sledil, kakor pri opredelitvi cilja in vsebine Sporazuma.
154. Glede trditve Sveta in Komisije, da mora ukrep, ki se nanaša na zunanjo razsežnost varstva osebnih podatkov, temeljiti na pravni podlagi, ki je enaka pravni podlagi notranjega ukrepa, in sicer Direktivi 95/46, je Sodišče že presodilo, da dejstvo, da je bila določena določba Pogodbe izbrana kot pravna podlaga za sprejetje notranjega ukrepa, ne zadostuje za ugotovitev, da je isto podlago treba uporabiti pri odobritvi mednarodnega sporazuma s podobno vsebino.(73) Poleg tega smo tudi pokazali, da niti glavni cilji niti vsebina Sporazuma ni izboljšanje pogojev za delovanje notranjega trga, medtem ko je namen Direktive 95/46, ki je bila sprejeta na podlagi člena 95 ES, „zagotoviti prosti pretok osebnih podatkov med državami članicami prek uskladitve nacionalnih določb o varstvu posameznikov pri obdelavi takih podatkov“.(74)
155. Ob upoštevanju teh ugotovitev menim, da preučitev cilja in vsebine Sporazuma, dokazuje, da člen 95 ES ni ustrezna pravna podlaga za sklep Sveta.
156. Zato predlagam, naj Sodišče odloči, da je prvi tožbeni razlog, ki ga je navedel Parlament, utemeljen. Iz tega sledi, da je treba sklep Sveta razglasiti za ničen zaradi napačne izbire pravne podlage.
157. V tej fazi pa bi bilo zanimivo razmisliti, kaj bi bila ustrezna pravna podlaga za tak sklep. Vendar od Sodišča v tem primeru ne zahtevam, naj se ukvarja s tem zapletenim vprašanjem. Zato se bom omejil na nekaj opomb o tem problemu in, splošneje, o naravi ureditve PNR, kakor je bila s pogajanji dogovorjena z Združenimi državami.
158. Prvič, v nasprotju s predlogom, ki ga je navedel Svet, po mojem mnenju dejstvo, da ureditev PNR ni bila vzpostavljena na podlagi določb Pogodbe EU, ne more določati pravne veljavnosti pristopa, ki sta ga sprejela Svet in Komisija.
159. Drugič in splošneje, menim, da lahko ukrep, ki predvideva posvetovanje in uporabo osebnih podatkov s strani subjekta, katerega naloga je zagotavljati notranjo varnost v državi, ter dajanje teh podatkov na voljo takemu subjektu, obravnavamo kot dejanje sodelovanja med organi oblasti.(75)
160. Poleg tega se mi zahteva, da pravna oseba obdeluje podatke in da je te podatke dolžna prenesti, ne zdi bistveno drugačna od neposredne izmenjave podatkov med javnimi organi.(76) Pomembno je obvezno razkritje podatkov zaradi varnosti ter odkrivanja in pregona, ne pa oblika, ki jo ima v danih razmerah. Ta zadeva se dejansko nanaša na novo skupino vprašanj, ki se nanašajo na uporabo komercialnih podatkov za odkrivanje in pregon.(77)
161. Treba je tudi omeniti, da je Sodišče prve stopnje odločilo, da „boja proti mednarodnemu terorizmu [...] ni mogoče povezati z nobenim od ciljev, ki sta jih za Skupnost izrecno določila člena 2 ES in 3 ES“.(78)
162. Glede na dejstvo, da me analiza prvega tožbenega razloga vodi k predlogu, da bi Sodišče moralo razglasiti sklep za ničen zaradi nepravilne izbire pravne podlage zanjo, bom druge tožbene razloge, ki jih je v utemeljitev te tožbe navedel Parlament, preučil le podredno.
B – Tožbeni razlog: kršitev člena 300(3), drugi pododstavek, ES zaradi spremembe Direktive 95/46
1. Trditve strank
163. Parlament s tem drugim tožbenim razlogom meni, da bi bil sporazum med Skupnostjo in Združenimi državami lahko odobren v imenu Skupnosti le v skladu s postopkom, določenim v členu 300(3), drugi pododstavek, ES. Navedeni člen določa, da se „[...] sporazumi, katerih posledica je sprememba akta, sprejetega v skladu s postopkom iz člena 251, sklepajo po pridobitvi privolitve Evropskega parlamenta“. Po mnenju te institucije je posledica zadevnega sporazuma sprememba Direktive 95/46, ki je bila sprejeta v skladu s postopkom iz člena 251 ES.
164. Parlament meni, da zaveze, za katere so se ameriški organi strinjali, da jih bodo izvajali v skladu s Sporazumom, ne izpolnjujejo pogojev za obdelavo podatkov, določenih v Direktivi 95/46. Zato Sporazum odstopa od nekaterih temeljnih načel v navedeni direktivi in kot zakonite uporablja postopke obdelave, ki jih Direktiva ne dovoljuje. V tem smislu Sporazum spreminja Direktivo 95/46. Parlament zlasti ugotavlja naslednje spremembe.
165. Prvič, cilj Sporazuma sta preprečevanje ter boj proti terorizmu in drugim težkim kaznivim dejanjem, medtem ko naj bi člen 3(2), prva alinea, Direktive 95/46 s področja uporabe Direktive izključeval prenos podatkov organom oblasti tretje države zaradi razlogov, povezanih z javno varnostjo navedene države. Parlament ugotavlja, da so države članice v ta namen predvidele posebne določbe v Konvenciji o Europolu, zato se lahko šteje, da na tem področju obstaja dopolnjevanje med obema instrumentoma, ki temeljita na različnih pravnih podlagah.
166. Drugič, omogočanje dostopa pristojnim ameriškim organom neposredno do osebnih podatkov na ozemlju Skupnosti (sistem „pull“) pomeni tudi spremembo Direktive 95/46. Člena 25 in 26 Direktive ne vsebujeta določbe, ki bi tretji državi dovoljevala neposreden dostop do takih podatkov.
167. Tretjič, Sporazum s sklicevanjem na zaveze, dovoljuje Uradu CBP, da po svojem preudarku in za vsak posamezen primer posreduje podatke iz PNR vladnim organom za odkrivanje in pregon ali protiterorističnim vladnim organom, ki niso organi Združenih držav. Ta presoja, podeljena ameriškim organom, krši Direktivo 95/46/ES, zlasti člen 25(1), v skladu s katerim se „prenos osebnih podatkov v tretjo državo [...] izvede le, če [...] zadevna tretja država zagotovi primerno raven varstva“. Parlament poudarja, da bi bil sistem varovanja, določen v Direktivi, izničen, če bi lahko tretja država, zajeta v pozitivni odločbi o ustreznosti, potem osebne podatke posredovala tretjim državam, ki jih Komisija ni ocenila.
168. Četrtič, Sporazum vsebuje spremembo Direktive 95/46, kolikor je Urad CBP, tudi če je odločil, da ne bo uporabljal „občutljivih“ osebnih podatkov, zakonsko pooblaščen za zbiranje podatkov, kar je že obdelava v smislu člena 2(b) navedene direktive.
169. Petič, Parlament poudarja, da Sporazum spreminja Direktivo, ker pravica, ki jo ima vsaka oseba pri kršitvi pravic, zagotovljenih z nacionalno zakonodajo, ki se nanaša na zadevno obdelavo, vložiti pravno sredstvo pri sodišču, kakor določa člen 22 Direktive, ni zagotovljena v zadostni meri. Zlasti oseba, na katero se podatki nanašajo in katere podatki se iz PNR posredujejo, nima nobene pravice vložiti pravno sredstvo pri sodišču, na primer, v primeru nepravilnih podatkov o sebi, uporabe občutljivih podatkov ali posredovanja podatkov drugemu organu.
170. Šestič in zadnjič, Parlament poudarja predolg čas hranjenja podatkov iz PNR, ki so preneseni Uradu CBP, kar pomeni spremembo Direktive 95/46, natančneje člena 6(1)(e), ki določa, da podatki ne smejo biti „shranjeni dlje, kot je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo“.
171. Evropski nadzornik za varstvo podatkov podpira trditve Parlamenta v tem, da po njegovem mnenju Sporazum vpliva na Direktivo 95/46. Meni, da bi bilo Sporazum mogoče skleniti samo pod demokratičnim nadzorom Parlamenta, ker vpliva na raven usklajevanja nacionalnih zakonodaj, kakor to določa navedena direktiva, in celo na spoštovanje temeljnih pravic. Trdi, da je raven varstva osebnih podatkov, predvidena v navedeni direktivi, med drugim, nižja, ker morajo letalski prevozniki v sistemu „pull“ in tudi v sistemu „push“ kršiti Direktivo, zlasti člen 6(1)(b) in (c). Kolikor znižanje ravni varstva osebnih podatkov povzroči spremembo Direktive 95/46, Evropski nadzornik za varstvo podatkov trdi, da ni v skladu s postopkovnimi zaščitnimi ukrepi, določenimi v drugem pododstavku člena 300(3) ES. Meni tudi, da podobno ni v skladu z „vsebinskimi zaščitnimi ukrepi“, zlasti zato, ker zaveze Urada CBP niso zavezujoče.
172. Svet, ki ga podpira Komisija, pa nasprotno trdi, da Sporazum ne povzroča spremembe Direktive 95/46. Stališče podpira z navedbo odstavka 8 Sporazuma, v skladu s katerim „namen [S]porazuma ni odstopati ali spreminjati zakonodajo pogodbenic“. Meni tudi, da Direktiva daje Komisiji široko diskrecijsko pravico za odločanje, ali je varstvo, ki ga zagotavlja tretja država, primerno. V tem pogledu je po mnenju Sveta vprašanje, ali je Komisija prekoračila meje svojega pooblastila, bolj predmet tožbe za razglasitev ničnosti odločbe o ustreznosti v zadevi C‑318/04.
173. Svet tudi ugotavlja, da po njegovem mnenju razlogi (varnost, boj proti terorizmu in drugi razlogi), ki so Urad CBP vodili do tega, da zahteva prenos podatkov iz PNR, z vidika Skupnosti ne pomenijo cilja ali vsebine Sporazuma. Nadalje v okviru notranjega trga Direktiva 95/46 dovoljuje uporabo osebnih podatkov v zakonite namene, kot je zaščita varnosti države.
174. Vsekakor pa Svet meni, da tudi če Komisija ni imela pristojnosti za sklenitev Sporazuma, iz tega ne sledi, da bi Parlament moral dati privolitev, na domnevni podlagi, da Sporazum spreminja Direktivo 95/46. Privolitev Parlamenta nikakor ne more povzročiti razširitve področja pristojnosti Skupnosti.
175. Glede določbe, da ima Urad CBP neposreden dostop do podatkov iz PNR (sistem „pull“, ki se trenutno uporablja, pred vzpostavitvijo sistema „push“), Svet potrjuje, da Direktiva 95/46 take možnosti ne omenja izrecno, vendar je tudi ne prepoveduje. Z vidika Skupnosti so pomembni pogoji, ki urejajo dostop do podatkov.
176. Komisija k tem trditvam dodaja, da ne glede na namen, za katerega Urad CBP uporablja osebne podatke, ostaja dejstvo, da podatki so in ostajajo, za letalske prevoznike v Skupnosti, komercialni podatki, ki spadajo na področje delovanja Direktive 95/46, zato morajo biti varovani in obdelani v skladu z navedeno direktivo.
2. Presoja
177. Kadar Skupnost sklepa mednarodne sporazume, se zdi, da je posvetovanje s Parlamentom splošno veljaven postopek zunaj področja skupne trgovinske politike. Na podlagi prvega pododstavka člena 300(3) ES se je treba s Parlamentom posvetovati tudi, kadar sporazum zajema področje, pri katerem je za sprejetje notranjih predpisov potreben postopek soodločanja iz člena 251 ES.
178. Z odstopanjem od tega splošnega postopka se v členu 300(3), drugi pododstavek, ES zahteva privolitev Parlamenta v štirih primerih, eden izmed teh je ta, ki nas zanima v tej zadevi, kadar je posledica Sporazuma „sprememba akta, sprejetega v skladu s postopkom iz člena 251“. To je vprašanje zagotavljanja možnosti, da Parlament, kot sozakonodajalec, izvaja nadzor nad vsemi spremembami akta z mednarodnimi sporazumi, ki jih sprejme.
179. Direktiva 95/46 je bila sprejeta po postopku soodločanja. Zato Parlament poudarja, da ker je posledica Sporazuma sprememba navedene direktive, je bila za sklep Sveta o potrditvi Sporazuma v imenu Skupnosti potrebna privolitev Parlamenta, da bi bil sprejet v skladu s pravili, določenimi s Pogodbo.
180. Pri presoji utemeljenosti tega tožbenega razloga bi predvsem poudaril, da po mojem mnenju dejstvo, da Sporazum v odstavku 8 navaja, da „namen [S]porazuma ni odstopati ali spreminjati zakonodajo pogodbenic“, ni pomembno. Kar je pomembno za namen uveljavitve člena 300(3), drugi pododstavek, ES, je ugotoviti, ali je posledica mednarodnega sporazuma sprememba notranjega akta Skupnosti, to pomeni, ali ima učinek spremembe navedenega akta, ne glede na dejstvo, da to ni njegov cilj.
181. Zdi se, da Sodišče še ni odločilo o pomenu precej ohlapnega izraza „sprememba akta, sprejetega v skladu s postopkom iz člena 251“.(79) Nekateri avtorji so postavili vprašanje ali izraz „sprememba“ pomeni „spremembo, ki je v nasprotju z določbami“ notranjega akta, ali je za „vsako spremembo, tudi tako, ki je skladna z določbami“ notranjega akta, treba ravnati v skladu s postopkom soglasja.(80)
182. Pojem, ki se uporablja v členu 300(3), drugi pododstavek, ES, tudi ponuja vprašanje, ali se mora, zato da se zahteva privolitev, področje uporabe predlaganega sporazuma vsaj deloma prekrivati s področjem uporabe sprejetega notranjega akta ali je dovolj že dejstvo, da je bil notranji akt sprejet na pravni podlagi, ki je bila uporabljena za sklenitev Sporazuma.(81)
183. Na splošno menim, da je pogoj za to, da ima mednarodni sporazum za posledico „spremembo“ notranjega akta Skupnosti, ki je bil sprejet po postopku soodločanja, da se področje uporabe Sporazuma prekriva s področjem uporabe internega akta. V tem primeru mednarodni sporazum lahko spremeni notranji akt, ali tako, da Sporazum vsebuje določbo, ki je v nasprotju z eno od določb notranjega akta, ali da dodaja vsebino notranjemu aktu, tudi če ni neposrednega nasprotja.
184. V tej zadevi menim, da Sporazum ni mogel spremeniti vsebine Direktive 95/46.
185. Moje stališče temelji na dejstvu, da je, kot je jasno iz moje analize prvega tožbenega razloga, glavni cilj Sporazuma boj proti terorizmu in drugim težkim kaznivim dejanjem ter hkrati zagotavljanje varstva osebnih podatkov letalskih potnikov. Nasprotno pa Direktiva 95/46 želi zagotoviti prost pretok osebnih podatkov med državami članicami prek uskladitve nacionalnih določb o varstvu posameznikov pri obdelavi takih podatkov. Jasno je, da imata akta ločene cilje, čeprav se oba nanašata na področje varstva osebnih podatkov.(82)
186. Drugič in skladno z ugotovitvijo, da sta cilja Sporazuma in Direktive 95/46 različna, je jasno, da imata različni področji uporabe. Medtem ko se Sporazum uporablja za obdelavo osebnih podatkov med dejavnostjo, ki se nanaša na notranjo varnost Združenih držav ter hkrati in zlasti na dejavnosti v zvezi z bojem proti terorizmu in drugim težkim kaznivim dejanjem, člen 3(2), prva alinea, Direktive s svojega področja uporabe izrecno izloča obdelavo osebnih podatkov „med dejavnostjo, ki ne spada na področje uporabe zakonodaje Skupnosti, kot so tiste, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, in v vsakem primeru v postopkih obdelave v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno z gospodarsko blaginjo države, kadar se postopek obdelave nanaša na zadeve državne varnosti) in pri dejavnostih države na področju kazenskega prava“.(83)
187. Ker imata v tej zadevi akta različna cilja in področji uporabe, ne vidim, kako bi lahko vsebina enega spremenila vsebino drugega. Sporazum zadeva obdelavo osebnih podatkov, ki jih je zakonodajalec Skupnosti izrecno izključil iz sistema varovanja, ki ga vzpostavlja Direktiva 95/46. Ta pristop zakonodajalca Skupnosti je tudi skladen z izbiro pravne podlage za navedeno direktivo, in sicer člena 95 ES.
188. Zdi se mi, da Komisija te analize ne more izpodbijati s trditvijo, da ne glede na namen, za katerega Urad CBP uporablja osebne podatke, ostaja dejstvo, da podatki za letalske prevoznike v Skupnosti so in ostajajo komercialni podatki, ki spadajo na področje delovanja Direktive 95/46, zato morajo biti varovani in obdelani v skladu z navedeno direktivo.
189. Čeprav je res, da ima obdelava, ki je sestavljena iz zbiranja in beleženja podatkov o letalskih potnikih s strani letalskih prevoznikov, na splošno komercialni namen, kolikor je neposredno povezana z izvedbo leta s strani letalskega prevoznika, je narava obdelave podatkov, ki jih ureja Sporazum, povsem drugačna, ker zajema fazo, ki sledi zbiranju podatkov in zasleduje cilj, povezan z varnostjo.
190. Ob upoštevanju vseh teh ugotovitev menim, da drugi tožbeni razlog, ki ga je navedel Parlament, ni utemeljen in ga je treba torej zavrniti.
191. Iz istih razlogov kot pri obravnavanju zadeve C-318/04(84) bom sedaj skupaj preučil tretji in četrti tožbeni razlog, ki ju je navedel Parlament, in sicer kršitev pravice do varstva osebnih podatkov in kršitev načela sorazmernosti.
192. Naj ponovim, da je z vidika medsebojne odvisnosti Sporazuma, kakor je bil sprejet s sklepom Sveta, odločbe o ustreznosti in zaveze Urada CBP, priložene odločbi Sveta, po mojem mnenju treba ureditev PNR preučiti kot celoto, ob upoštevanju teh tožbenih razlogov.(85)
C – Tožbena razloga: kršitev pravice do varstva osebnih podatkov in kršitev načela sorazmernosti
1. Trditve strank
193. Parlament poudarja, da ureditev PNR krši pravico do varstva osebnih podatkov, priznano zlasti v členu 8 EKČP.
194. Trdi, da se, s tem ko se Uradu CBP dovoli elektronski dostop do podatkov iz PNR v rezervacijskih sistemih letalskih družb na ozemlju držav članic, in z določitvijo, da morajo letalski prevozniki, ki opravljajo potniške lete v mednarodnem letalskem prometu v Združene države ali iz njih, obdelovati zadevne podatke iz PNR, kot to zahteva Urad CBP na podlagi ameriške zakonodaje, Sporazum nanaša na obliko obdelave osebnih podatkov, ki pomeni vmešavanje v zasebno življenje iz člena 8 EKČP. Podobno odločba o ustreznosti ni v skladu z navedenim členom.
195. Parlament poudarja, da mora biti zato, da ni kršen člen 8 EKČP, takšno vmešavanje skladno z zakonodajo, imeti mora legitimen cilj in mora biti v demokratični družbi nujno za doseganje navedenega cilja. Meni, da Sporazum in odločba o ustreznosti teh pogojev ne izpolnjujeta.
196. Prvič, glede pogoja, da mora biti vmešavanje skladno z zakonodajo, Parlament navaja, da niti Sporazum niti odločba o ustreznosti ne izpolnjujeta zahteve po pravni dostopnosti in predvidljivosti, ki ju določa sodna praksa Evropskega sodišča za človekove pravice. Prvič, glede pravne dostopnosti Parlament poudarja, da s splošnim in z nenatančnim sklicevanjem na ameriško zakonodajo, ki se uporablja, Sporazum in odločba o ustreznosti ne vsebujeta pravic in dolžnosti, ki jih imajo potniki in evropski letalski prevozniki. Zahteva po pravni varnosti pomeni, da mora akt Skupnosti, ki ustvarja pravne obveznosti, omogočiti, da lahko vsi, ki jih to zadeva, natančno poznajo obseg obveznosti, ki jim jih nalaga.(86) Poleg tega v nasprotju z zahtevo po pravni dostopnosti, ameriška zakonodaja, ki se uporablja, ni na voljo v vseh uradnih jezikih Skupnosti. Parlament ugotavlja tudi nepravilno sklicevanje in napačen datum sprejetja odločbe o ustreznosti v preambuli Sporazuma. Drugič, zahteva po pravni predvidljivosti ni izpolnjena, ker niti Sporazum niti odločba o ustreznosti ne določata dovolj natančno pravic in obveznosti letalskih družb in državljanov s sedežem oziroma stalnim prebivališčem v Skupnosti. Poleg tega dobijo potniki samo splošne informacije, kar je v nasprotju z obveznostjo posredovati informacije, kakor je določeno v členih 10 in 11 Direktive 95/46 ter člena 8(a) Konvencije št. 108. Sporazum in zaveze Urada CBP vsebujejo tudi več primerov nenatančnosti, ki niso skladni s členom 8 EKČP.
197. Drugič, Parlament priznava, da je izpolnjen pogoj na podlagi člena 8(2) EKČP, ki zahteva, da ima vmešavanje v pravico do spoštovanja zasebnega življenja legitimen cilj. V zvezi s tem opozarja na podporo v boju proti terorizmu, ki jo je že večkrat izrekel Svetu.
198. Tretjič, glede pogoja, da mora biti v demokratični družbi vmešavanje nujno zaradi državne varnosti, javne varnosti ali ekonomske blaginje države, zato da se prepreči nered ali zločin, da se zavaruje zdravje oziroma morala ali da se zavarujejo pravice in svoboščine drugih ljudi, Parlament poudarja, da ta pogoj ni izpolnjen zaradi teh razlogov:
– Iz odstavka 3 zavez urada CBP je jasno, da namen obdelave podatkov ni izključno boj proti terorizmu, ampak tudi preprečevanje in boj proti drugim težkim kaznivim dejanjem, vključno z organiziranim kriminalom in begom pred sodnimi nalogi ali priporom zaradi zgoraj navedenih kaznivih dejanj. Kolikor obdelava podatkov presega izključni namen boja proti terorizmu, ni nujna za doseganje legitimnega cilja, ki se zasleduje.
– Sporazum predvideva prenos prevelikega števila podatkovnih elementov (34), kar ni v skladu z načelom sorazmernosti. S stališča spoštovanja ustrezne ravni varstva osebnih podatkov, se zdi, da je 19 podatkovnih elementov od 34 sprejemljivih. Parlament poudarja, da obstaja „znatno neskladje“ med količino podatkov, ki jo predpisujejo primerljivi pravni instrumenti, ki se uporabljajo na ravni Evropske unije, in količino, ki jo zahteva Sporazum.(87) Poleg tega bi lahko nekateri zahtevani elementi podatkov iz PNR vključevali občutljive podatke.
– Glede na želeni cilj ameriški organi podatke hranijo predolgo. Učinek zavez Urada CBP je, da se po on-line dostopu do podatkov za pooblaščeno osebje Urada CBP, ki je na voljo sedem dni, vsi podatki hranijo tri leta in šest mesecev, nato pa Urad CBP podatke, ki so bili v tem času pregledani ročno, prenese v datoteko izbrisanih evidenc kot neobdelane podatke, v kateri ostanejo osem let, za tem pa se uničijo. Primerjava z vzpostavljenimi informacijskimi sistemi, na primer na podlagi Konvencije o izvajanju schengenskega sporazuma, Konvencije o Europolu in sklepa Eurojusta, ki predvidevajo čas hranjenja od enega leta do treh let, dokazujejo, da je obdobje, navedeno v zavezah, predolgo.
– Sporazum ne predvideva sodnega preizkusa glede obdelave podatkov s strani organov ZDA. Kolikor Sporazum in zaveze ne ustvarjajo nobenih pravic za osebe, katerih podatki se obdelujejo, Parlament tudi ne vidi, kako bi se te osebe lahko opirale na take pravice pred ameriškimi sodišči.
– Sporazum dovoljuje prenos podatkov drugim organom oblasti; s tem presega to, kar je potrebno za boj proti terorizmu.
199. Evropski nadzornik za varstvo podatkov meni, da je obdelava šestih kategorij podatkov očitno kršitev pravice do zasebnega življenja.(88) Kršitev izhaja tudi iz možnosti izdelave osebnega profila iz teh podatkov. Evropski nadzornik za varstvo podatkov podpira trditve Parlamenta, ki želi dokazati, da vmešavanje ni upravičeno na podlagi člena 8(2) EKČP. Dalje trdi, da raven varstva, ki jo zagotavlja Urad CBP, ni ustrezna v smislu člena 25 Direktive 95/46, zlasti ker ni v skladu s členom 8 EKČP.
200. Nasprotno Svet in Komisija poudarjata, da ureditev PNR izpolnjuje pogoje, določene v členu 8 EKČP, kakor ga razlaga Evropsko sodišče za človekove pravice.
201. Glede pogoja, da mora biti vmešavanje skladno z zakonodajo, Svet navaja, da za izpolnjevanje zahteve po pravni dostopnosti ni nujno, da besedilo Sporazuma vsebuje vse določbe, ki lahko vplivajo na zadevne osebe. Ni nezakonito, če se v Sporazum vključi sklicevanje na odločbo o ustreznosti in na zaveze Urada CBP, ki so določene v Prilogi k navedeni odločbi, ker so bili vsi ti akti objavljeni v Uradnem listu Evropske unije. Poleg tega ni naloga Uradnega lista Evropske unije objavljati zakonodajo tretjih držav. Glede nepravilnega sklicevanja na odločbo o ustreznosti v preambuli Sporazuma Svet navaja, da bo poskrbel za objavo popravka v Uradnem listu, vendar poudarja, da te napake tehnične narave ne vplivajo na dostopnost zadevnih aktov za sodno prakso Evropskega sodišča za človekove pravice. Glede pogoja, ki zahteva pravno predvidljivost, Svet poudarja, da dejstvo, da zaveze Urada CBP in ameriška zakonodaja, ki se uporablja, ter ustavna pravila v Sporazumu niso v celoti ponatisnjena, ne pomeni kršitve navedene zahteve. Poleg tega zaveze urada CBP, ki so oblikovane dovolj natančno, omogočajo zadevnim osebam, da skladno s tem uredijo svoje ravnanje.
202. Drugič, glede pogoja, da mora imeti vmešavanje legitimen cilj, Svet poudarja, da boj proti težkim kaznivim dejanjem poleg terorizma spada med številne kategorije legitimnih interesov, navedenih v členu 8(2) EKČP (predvsem javna varnost ter preprečevanje nereda in zločina). Zato imajo Sporazum in zaveze Urada CBP tudi legitimen cilj, kolikor se nanašajo na ta druga težka kazniva dejanja.
203. Tretjič, Svet poudarja, da je vmešavanje sorazmerno z želenim ciljem. Natančneje, trdi, da so kategorije podatkov iz PNR, ki jih zahteva Urad CBP, uporabne za preprečevanje terorističnih dejanj in organiziranega kriminala ter za pomoč pri preiskavah po napadih ali drugih kaznivih dejanjih, ker olajšujejo identifikacijo oseb, povezanih s terorističnimi skupinami ali z organiziranim kriminalom. Glede števila elementov podatkov iz PNR, ki jih je treba posredovati, primerjava z informacijskimi sistemi, vzpostavljenimi v Evropski uniji, ni pomembna, ker poleg tega, da imajo ti sistemi drugačen cilj in vsebino kot ureditev PNR, potreba po določanju profila mogočih teroristov zahteva dostop do večjega števila podatkov. Glede treh elementov podatkov iz PNR, ki bi po mnenju Parlamenta lahko vključevali občutljive podatke(89), Svet ugotavlja, da je dostop do treh elementov strogo omejen v skladu z odstavkom 5 zavez, ki jih je dal Urad CBP.(90) Poleg tega je v skladu z odstavki 9, 10 in 11 zavez kakršna koli uporaba občutljivih podatkov s strani urada CBP vsekakor preprečena.(91) Glede dolžine časa, v katerem so podatki iz PNR shranjeni, Svet meni, da glede na dejstvo, da preiskave, ki sledijo napadom ali drugim kaznivim dejanjem včasih trajajo več let, običajno čas shranjevanja, ki je določeno na tri leta in šest mesecev, razen v posebnih primerih, v katerih je to obdobje lahko daljše, pomeni uravnoteženo rešitev. Nadalje ni podlage za stališče, da ni sistema neodvisnega pregleda. Prenos podatkov drugim organom oblasti je predmet zadostnih zaščitnih ukrepov; Urad CBP lahko posreduje podatke drugim organom oblasti samo za vsak posamezen primer ter samo za preprečevanje ali boj proti terorizmu in drugim težkim kaznivim dejanjem.
204. Komisija meni, da ni dvoma, da določbe Sporazuma, odločbe o ustreznosti in zavez Urada CBP omogočajo nekaj vmešavanja v zasebno življenje, resnost vmešavanja pa je odvisna od prenesenih podatkov. To vmešavanje je skladno z zakonodajo, to pomeni, da imajo zgoraj navedene določbe legitimen cilj, in sicer reševanje kolizije med ameriško zakonodajo o varnosti in predpisi Skupnosti o varstvu osebnih podatkov, in je nujno v demokratični družbi za doseganje navedenega cilja.
205. Združeno kraljestvo poudarja, da je treba pri presoji morebitne kršitve pravice do varstva osebnih podatkov sklep Sveta, Sporazum, odločbo o ustreznosti in zaveze Urada CBP obravnavati skupaj, ker so tesno povezani pravni instrumenti. Poudarja tudi, da je treba upoštevati dostopnost in predvidljivost zakonodaje Skupnosti, ki se uporablja, ne pa dostopnosti in predvidljivosti zakonov, ki se uporabljajo na ozemlju Združenih držav. Združeno kraljestvo meni, da če se Sporazum, odločba o ustreznosti in zaveze Urada CBP obravnavajo skupaj, pravo Skupnosti vsebuje jasno in temeljito obrazložitev pravnega statusa vseh prizadetih strank. Poleg tega se Združeno kraljestvo ne strinja, da so zaveze Urada CBP enostranske in da jih lahko ameriški organi nekaznovano spremenijo ali umaknejo.
206. V zvezi z nujnostjo vmešavanja Združeno kraljestvo najprej poudarja, da je boj proti drugim težkim kaznivim dejanjem jasno naveden kot cilj Sporazuma in pomeni cilj javne politike, ki je prav tako pravno utemeljen kot boj proti terorizmu. Nato Združeno kraljestvo poudarja, da obseg podatkovnih elementov, ki se lahko prenesejo, dolžina časa, v katerem se ti elementi lahko hranijo, in možnost prenosa drugim organom ustrezajo in so sorazmerni z navedenimi cilji, zlasti zaradi številnih zaščitnih ukrepov, ki so vključeni v zaveze in odločbo o ustreznosti, da se zmanjša tveganje za zasebnost potnikov. Na koncu navaja, da je po njihovem mnenju treba uporabiti merilo sorazmernosti na podlagi sodne prakse Sodišča Evropskih skupnosti in Evropskega sodišča za človekove pravice, ob upoštevanju narave in pomena ciljev.
2. Presoja
207. Parlament s temi tožbenimi razlogi poudarja, da sklep Sveta in tudi odločba o ustreznosti kršita pravico do varstva osebnih podatkov, kot je zagotovljena zlasti v členu 8 EKČP.
208. V skladu z ustaljeno sodno prakso so temeljne pravice sestavni del splošnih pravnih načel, spoštovanje katerih zagotavlja Sodišče.(92) V ta namen so Sodišču vodilo skupne ustavne tradicije držav članic in napotki mednarodnih pogodb za varstvo človekovih pravic, pri katerih so države članice sodelovale ali k njim pristopile. Meni, da ima v tej zvezi EKČP „poseben pomen“.(93) Ukrepi, ki niso združljivi s spoštovanjem tako priznanih in zagotovljenih človekovih pravic, v Skupnosti ne morejo biti sprejeti.(94) Ta načela so ponovljena v členu 6(2) EU.
209. Pri določanju sodne prakse je Sodišče menilo, da je v pravo Skupnosti treba vključiti pravico do spoštovanja zasebnega življenja.(95) Pravica do varovanja osebnih podatkov je eden od vidikov pravice do spoštovanja zasebnega življenja in je zato zaščitena s členom 8 EKČP, vključno s pravnim redom Skupnosti, ob upoštevanju splošnih pravnih načel.
210. S spremljanjem analitskega vzorca, ki izhaja iz besedila člena 8 EKČP, bomo preučil, ali ureditev PNR pomeni kršitev pravice do spoštovanja zasebnega življenja. Ko bom preveril, ali pomeni ureditev vmešavanje v zasebno življenje letalskih potnikov, bom presodil, ali je vmešavanje ustrezno utemeljeno.
a) Obstoj vmešavanja v zasebno življenje
211. Po mojem mnenju je težko dvomiti o vmešavanju v zasebno življenje, ki ga omogočajo sklep Sveta o odobritvi Sporazuma, odločba o ustreznosti in zaveze Urada CBP. Jasno mi je, da posvetovanje, uporaba s strani Urada CBP in dajanje podatkov o letalskih potnikih iz rezervacijskih sistemov letalskih prevoznikov na ozemlju držav članic na voljo Uradu CBP pomenijo vmešavanje organov oblasti v zasebno življenje teh potnikov.
212. Menim, da je vmešavanje v zasebno življenje letalskih potnikov nastalo, čeprav za nekatere elemente podatkov iz PNR, če se obravnavajo ločeno, lahko štejemo, da posamezno ne kršijo zasebnosti zadevnih potnikov. Zdi se mi, da je treba seznam elementov podatkov PNR, ki ga zahteva Urad CBP, gledati kot celoto, ker navzkrižno preverjanje teh podatkov omogoča izdelavo osebnih profilov.
213. Vmešavanje v zasebno življenje krši pravico do spoštovanja zasebnega življenja, če ni ustrezno utemeljeno.
b) Utemeljitev vmešavanja v zasebno življenje
214. Vmešavanje v zasebno življenje je dovoljeno, če izpolnjuje tri pogoje: mora biti skladno z zakonodajo, imeti mora legitimen cilj in mora biti nujno v demokratični družbi.
i) Ali je vmešavanje predvideno z zakonodajo?
215. V skladu z ustaljeno sodno prakso Evropskega sodišča za človekove pravice ta pogoj zahteva, da mora imeti izpodbijani ukrep zakonsko podlago, sklicuje pa se tudi na kakovost zadevne zakonodaje.(96) Preučitev kakovosti zakonodaje pomeni, da mora biti zakonodaja državljanom dostopna, natančna in njene posledice morajo biti predvidljive. Zato mora dovolj natančno opredeliti pogoje in natančna pravila za omejitev zagotovljene pravice, da se državljani lahko po njej ravnajo in so primerno varovani pred samovoljnim vmešavanjem.(97)
216. Parlament poudarja, da ukrep, ki predvideva vmešavanje, ni niti dostopen niti njegove posledice niso predvidljive. S tem se ne strinjam.
217. Nasprotno, menim, da z branjem sklepa Sveta in Sporazuma, ki mu je priložen, skupaj z odločbo o ustreznosti, ki v prilogi vsebuje zaveze Urada CBP, zadevne osebe, to so letalski prevozniki in letalski potniki, lahko dobijo dovolj podrobne informacije za urejanje svojega ravnanja.
218. V zvezi s tem bi opozoril na dokaj obsežno naravo 48 odstavkov zavez Urada CBP, ki vsebujejo podatke o zakonskem okviru, ki se uporablja. Odločba o ustreznosti v preambuli tudi določa sklicevanja na ustrezne ameriške zakone in izvedbene predpise, ki jih je Urad CBP sprejel na podlagi navedenih zakonov.(98) Zato se mi ne zdi smiselno, da bi zahtevali, naj se ustrezne določbe ameriških zakonov in izvedbenih predpisov v celoti objavijo v Uradnem listu Evropske unije. Poleg dejstva, kot poudarja Svet, naloga Uradnega lista Evropske unije ni objavljanje zakonodaje tretjih držav, menim, da zaveze Urada CBP, ki so bile objavljene v Uradnem listu, vsebujejo bistvene informacije o postopku, ki ga za podatke uporablja Urad CBP, in zaščitnih ukrepih, ki veljajo za postopek.
219. Skladno z zahtevo po pravni varnosti so letalski prevozniki, zajeti v ureditvi PNR, obveščeni o obveznostih, ki jim jih nalaga Sporazum, letalski potniki pa so obveščeni o svojih pravicah, zlasti glede dostopa do podatkov in o popravkih podatkov.(99)
220. Res je, da je zaradi medsebojne odvisnosti sestavnih delov ureditve PNR treba obžalovati, da je v preambuli Sporazuma napaka pri sklicevanju na odločbo o ustreznosti in datumu odločbe. Zaradi teh napak so nadaljnji koraki državljana Skupnosti, ki želi dobiti informacije o vsebini ureditve, ki je bila s pogajanji dogovorjena z ZDA, še bolj zapleteni. Vendar po mojem mnenju tako raziskovanje ni preveč težko, ker je bila odločba o ustreznosti objavljena v Uradnem listu in jo je z raziskovalnimi orodji, zlasti računalniškimi, preprosto najti. Poleg tega se je Svet zavezal, da bo poskrbel za objavo popravka v Uradnem listu, kar je tudi storil.(100)
221. Ob upoštevanju teh navedb menim, da je vmešavanje v zasebno življenje zadevnih letalskih potnikov treba šteti kot „skladno z zakonodajo“ v smislu člena 8(2) EKČP.
ii) Ali ima vmešavanje legitimen cilj?
222. Ob upoštevanju različnih ciljev, navedenih v členu 8(2) EKČP, menim, da ima vmešavanje v zasebno življenje, ki je v teh zadevi sporno, legitimen cilj. To velja zlasti glede boja proti terorizmu.
223. Tako kot Svet, tudi jaz menim, da boj proti težkim kaznivim dejanjem poleg terorizma(101) tudi spada v številne kategorije legitimnih interesov, navedenih v členu 8(2) EKČP, kot so državna varnost, javna varnost ali preprečevanje nereda ali zločina. Zato menim, da ima ureditev PNR tudi legitimen cilj, kolikor se nanaša na ta druga težka kazniva dejanja.
224. Sedaj je treba ugotoviti, ali je vmešavanje sorazmerno, in sicer tako, da se vprašamo, ali je nujno v demokratični družbi za preprečevanje ter boj proti terorizmu in drugim težkim kaznivim dejanjem.
iii) Ali je v demokratični družbi vmešavanje nujno za doseganje takega cilja?
225. Preden preverim, ali je izpolnjen pogoj sorazmernosti, bom navedel nekaj predhodnih ugotovitev glede obsega pregleda, ki ga bo opravilo Sodišče.
226. Glede na Evropsko sodišče o človekovih pravicah pridevnik „nujen“ v smislu člena 8(2) EKČP pomeni, da mora biti vključena „nujna družbena potreba“ in da mora biti sprejeti sklep „sorazmeren z zasledovanim legitimnim ciljem“.(102) Poleg tega „imajo državne oblasti polje proste presoje, katerega obseg je odvisen ne samo od narave zasledovanega legitimnega cilja, ampak tudi od narave vmešavanja“.(103)
227. Pri pregledu območja proste presoje, ki ga imajo države, Evropsko sodišče za človekove pravice tradicionalno presodi, ali so razlogi, na katere se sklicuje pri podpori vmešavanja, ustrezni in zadostni, ali je vmešavanje sorazmerno z zasledovanim legitimnim ciljem, nato pa se prepriča, ali obstaja ravnovesje med splošnim interesom in interesi posameznika.(104) Na podlagi navedene sodne prakse je mogoče ugotoviti, da „je načelo sorazmernosti, ki izraža zahtevo po ustreznem razmerju legitimnega cilja in sredstev, ki se uporabljajo za dosego tega cilja, v jedru pregleda nacionalnega polja proste presoje“.(105)
228. Pregled sorazmernosti s strani Evropskega sodišča za človekove pravice se razlikuje glede na parametre, kot so narava sporne pravice in dejavnosti, cilj vmešavanja in mogoč obstoj skupnega imenovalca v pravnih sistemih držav.
229. Glede narave sporne pravice in dejavnosti, kadar gre za pravico, ki intimno vpliva na zasebno področje posameznika, kot je pravica do zaupnosti osebnih podatkov v zvezi z zdravjem(106), se zdi, da Evropsko sodišče za človekove pravice meni, da je območje proste presoje držav bolj omejeno in da bi njegov sodni preizkus moral biti strožji.(107)
230. Kadar pa je cilj vmešavanja ohranjanje državne varnosti(108) ali boj proti terorizmu(109), pa Evropsko sodišče za človekove pravice državam dovoljuje širše območje lastne presoje.
231. Glede na naravo in pomen cilja boja proti terorizmu, ki se zdi prevladujoč v ureditvi PNR, ter ob upoštevanju politično občutljivega okvira, v katerem so potekala pogajanja med Skupnostjo in Združenimi državami, menim, da bi v tem primeru Sodišče moralo odločiti, da sta imela Svet in Komisija pri pogajanjih z ameriškimi organi o vsebini ureditve PNR široko območje svoje presoje. Iz tega sledi, da bi zaradi spoštovanja tega širokega območja lastne presoje po mojem mnenju Sodišče moralo pregled nujnosti vmešavanja omejiti na ugotavljanje, ali sta ti ustanovi naredili kakšno očitno napako pri presoji.(110) Sodišče bi z izvedbo takega omejenega pregleda preprečilo zamenjavo svoje presoje s presojo političnih oblasti Skupnosti glede narave najustreznejših in najprimernejših sredstev boja proti terorizmu in drugim težkim kaznivim dejanjem.
232. Za določitev obsega pregleda, ki ga Sodišče namerava opraviti, bi se lahko Sodišče poleg zgoraj navedene sodne prakse Evropskega sodišča za človekove pravice opiralo tudi na svojo sodno prakso, v kateri je odločilo, da kadar ima institucija Skupnosti široko območje svoje presoje na določenem področju, „[...] lahko na zakonitost ukrepa vpliva le očitna neustreznost na tem področju sprejetega ukrepa glede na cilj, ki ga pristojna institucija zasleduje“.(111) Pregled sorazmernosti „mora biti na ta način omejen zlasti“, če „Svet mora opraviti arbitražo med različnimi interesi in izbrati med možnostmi v okviru političnih izbir iz njihove lastne pristojnosti“.(112) Omejitev pregleda je lahko upravičena tudi, kadar morajo institucije Skupnosti na danem območju delovanja opravljati zapletene presoje.(113)
233. Menim, da je v tej zadevi treba uporabiti navedeno sodno prakso in razloge, na katerih temelji, kolikor sta bila Svet in Komisija soočena s političnimi izbirami med različnimi interesi, ki jih je bilo težko uskladiti, in z zapletenimi presojami.(114) To bi bilo v skladu z načelom delitve oblasti, ki zahteva, naj Sodišče spoštuje politične odgovornosti, ki jih imajo zakonodajni in upravni organi Skupnosti, ter se zato vzdrži prevzemanja njihove vloge pri političnih izbirah, ki se jim zdijo potrebne.
234. Sedaj je treba natančno preveriti, ali sta Svet in Komisija pri sprejemanju različnih sestavin ureditve PNR očitno prekoračila meje območja svoje presoje, ob upoštevanju pravice do spoštovanja zasebnega življenja in zlasti pravice letalskih potnikov do varstva njihovih osebnih podatkov, ob upoštevanju zasledovanega legitimnega cilja.
235. V okviru navedene preučitve vsebina zavez Urada CBP prevzema poseben pomen, kolikor te vsebujejo podrobnosti zaščitnih ukrepov, ki veljajo za ureditev PNR. V tej zvezi bi bilo napačno meniti, da te zaveze niso na noben način zavezujoče in da vsebujejo zaveze, ki jih ameriški organi lahko prosto spreminjajo ali umaknejo.
236. Treba je opomniti, da so zaveze, ki so priložene odločbi o ustreznosti, ena od sestavin ureditve PNR in da bi zato njihovo neizpolnjevanje povzročilo paralizo celotne ureditve. Poudariti bi želel, da odstavka 1 in 2 Sporazuma obveznost letalskih prevoznikov, da obdelujejo podatke iz PNR, pogojujeta z dosledno uporabo odločbe o ustreznosti, ta obveznost pa se uporablja le, „dokler se uporablja odločba“. V odstavku 3 urad CBP tudi „izjavlja, da izvaja zaveze, ki so priložene odločbi o ustreznosti“. Členi 3, 4 in 5 odločbe o ustreznosti določajo ukrepe, ki jih je treba sprejeti pri kršitvi standardov varovanja iz zavez. Med temi ukrepi je predvideno, da lahko pristojni organi držav članic prekinejo posredovanje podatkov Uradu CBP in da se pri neizpolnjevanju osnovnih načel, potrebnih za primerno raven varstva za osebe, na katere se podatki nanašajo, odločba o ustreznosti lahko razveljaviti ali prekine, kar bi pomenilo, da se odstavka 1 in 2 Sporazuma ne moreta več uporabljati.
237. Da bi dobil izjavo Sodišča, da vmešavanje v zasebno življenje letalskih potnikov ni v skladu z načelom sorazmernosti, Parlament najprej trdi, da je količina podatkov, ki jo Urad CBP zahteva od letalskih prevoznikov, čezmerna. Poleg tega poudarja, bi lahko nekateri zahtevani elementi podatkov iz PNR vključevali občutljive podatke.
238. Po mojem mnenju Komisija s sprejetjem 34 elementov osebnih podatkov, kot so priloženi odločbi o ustreznosti, ni soglašala z očitno neustreznim ukrepom zaradi doseganja cilja boja proti terorizmu in drugim težkim kaznivim dejanjem. Najprej je treba poudariti pomen obveščevalne dejavnosti v boju proti terorizmu, ker lahko varnostne službe države s pridobitvijo zadostnih podatkov preprečijo mogoč teroristični napad. S tega vidika lahko potreba po določanju profila mogočih teroristov zahteva dostop do velikega števila podatkov. Drugič, dejstvo, da drugi instrumenti, ki se nanašajo na izmenjavo informacij v Evropski uniji, predvidevajo razkritje manj podatkov, ni zadostno za ugotovitev, da je količina podatkov, ki jih zahteva določen protiteroristični instrument, ki ga ureditev PNR predstavlja, čezmerna.(115)
239. Čeprav je pravilna ugotovitev Parlamenta, da trije zahtevani podatkovni elementi lahko vključujejo občutljive podatke(116), bi poudaril, da je dostop Urada CBP do teh treh elementov strogo omejen v skladu z odstavkom 5 zavez in da je na podlagi odstavkov od 9 do 11 zavez uporaba občutljivih podatkov s strani Urada CBP preprečena ter da je urad CBP v skladu z danimi zavezami vzpostavil sistem filtriranja navedenih podatkov(117).
240. Drugič, Parlament poudarja, da ameriški organi PNR podatke o letalskih potnikih hranijo predolgo glede na želeni cilj.
241. Čas hranjenja teh podatkov je naveden v odstavku 15 zavez, ki v bistvu določa, da imajo pooblaščeni uporabniki urada CBP on-line dostop do podatkov PNR v začetnem obdobju, ki traja sedem dni. Potem je dostop do podatkov PNR s strani omejenega števila pooblaščenih uradnikov mogoč tri leta in šest mesecev. Po tem drugem obdobju se podatki, ki v tem času niso bili pregledani ročno, uničijo, medtem ko Urad CBP podatke, ki so bili v treh letih in šestih mesecih pregledani ročno, prenese v datoteko izbrisanih evidenc, v kateri ostanejo osem let, za tem pa se uničijo.(118)
242. Učinek navedene določbe je, da se podatki PNR običajno hranijo tri leta in šest mesecev, razen podatkov, ki so bili v tem času ročno pregledani. Menim, da ta čas ni očitno čezmeren, zlasti ob upoštevanju dejstva, da kot poudarja Svet, preiskave, ki sledijo napadom ali drugim težkim kaznivim dejanjem, včasih trajajo več let. Čeprav je načeloma zaželeno, da se osebni podatki hranijo krajši čas, pa je treba v tej zadevi čas hranjenja podatkov iz PNR obravnavati ob upoštevanju njihove uporabnosti, ne le za preprečevanje terorizma, ampak tudi širše, za odkrivanje in pregon.
243. Ob upoštevanju navedenih ugotovitev se mi ne zdi, da bi ureditev hranjenja podatkov, kakor je določena v odstavku 15 zavez, pomenila očitno kršitev pravice do spoštovanja zasebnega življenja.
244. Tretjič, Parlament se pritožuje, da ureditev PNR ne predvideva sodnega preizkusa obdelave osebnih podatkov s strani ameriških organov.
245. Ugotavljam, da Konvencija št. 108 in tudi Direktiva 95/46 predvidevata pravno sredstvo pri kršitvi določb nacionalne zakonodaje o izvajanju pravil iz navedenih dveh pravnih instrumentov.(119)
246. Ob upoštevanju člena 8(2) EKČP menim, da pravila, določena v odstavku 36 in naslednjih odstavkih zavez, ki predvidevajo več zaščitnih ukrepov glede informacij, dostopa do podatkov in pravnih sredstev za zadevne letalske potnike, preprečujejo zlorabe. Besedilo zaščitnih ukrepov me vodi k razmišljanju, da je, ob upoštevanju širokega območja lastne presoje, ki ga je po mojem mnenju treba v tej zadevi omogočiti Svetu in Komisiji, vmešavanje v zasebno življenje letalskih potnikov sorazmerno z legitimnim ciljem ureditve PNR.
247. Natančneje, treba je omeniti, da poleg splošnih informacij, za katere se je urad CBP zavezal, da jih bo posredoval letalskim potnikom(120), odstavek 37 zavez določa, da posameznik, na katerega se podatki nanašajo, lahko v skladu z zakonom o prostem dostopu do informacij(121) prejme kopijo podatkov PNR iz zbirke podatkov Urada CBP(122).
248. Res je, da odstavek 38 zavez določa, da lahko „[v] določenih izjemnih okoliščinah“ Urad CBP zavrne ali preloži razkritje celotne evidence ali dela evidence PNR, na primer, če bi tako razkritje „lahko oviralo postopke policijske preiskave“ ali „bi razkrilo tehnike in postopke policijske preiskave“. Vendar je poleg dejstva, da je pooblastilo, ki ga urad CBP lahko izvaja, določeno v zakonsko določenem okviru, pomembno omeniti, kot navaja isti odstavek zavez, da ima v skladu z zakonom FOIA „vsaka oseba, ki vloži zahtevek, pravico, da upravno in sodno izpodbija odločbo Urada CBP o zadržanju informacij“.(123)
249. Glede zahtevkov po popravku podatkov PNR v zbirki podatkov Urada CBP in pritožb posameznikov glede ravnanja Urada CBP z njihovimi podatki je v odstavku 40 zavez navedeno, da je take zahtevke in pritožbe treba vložiti pri pomočniku komisarja (Assistant Commissioner) Urada CBP.(124)
250. Če Urad CBP ne more rešiti pritožbe, se napoti na vodjo službe za varstvo zasebnosti pri ministrstvu za domovinsko varnost (Chief Privacy Officer).(125)
251. Odstavek 42 zavez določa, da „bo služba za varstvo zasebnosti pri DHS pospešeno obravnavala pritožbe, ki jih bodo nanj naslovili organi DPA [organi za varovanje podatkov] iz držav članic Evropske unije (EU) v imenu prebivalca EU, v tolikšnem obsegu, kot je prebivalec EU pooblastil DPA za delovanje v njegovem imenu, in kolikor meni, da Urad CBP (kot je določeno v odstavkih od 37 do 41 teh zavez) ali služba za varstvo zasebnosti pri DHS ni zadovoljivo obravnavala njegove pritožbe glede varstva podatkov v zvezi z evidenco PNR“.
252. Člen 42 tudi določa, prvič, da bo služba za varstvo zasebnosti pri DHS „DPA obvestila o svojih sklepih in mu svetovala v zvezi z morebitnimi ukrepi“, ter drugič, da bo „vodja službe za varstvo zasebnosti v svoje poročilo kongresu vključil informacije o številu, vsebini in rešitvi pritožb glede ravnanja z osebnimi podatki, kot so evidence PNR“.(126)
253. Parlament pravilno poudarja, da vodja službe za varstvo zasebnosti ni sodni organ. Vendar ugotavljam, da je vodja upravni organ z določeno stopnjo neodvisnosti od ministrstva za domovinsko varnost in da so njegovi sklepi zavezujoči.(127)
254. Zato določba, da letalski potniki vložijo pritožbo pri vodji službe za varstvo zasebnosti in da imajo na voljo pravno sredstvo na podlagi FOIA, pomeni pomembne zaščitne ukrepe glede njihove pravice do spoštovanja zasebnega življenja. Zaradi teh zaščitnih ukrepov menim, da Svet in Komisija s sprejetjem ureditve PNR nista prekoračila meja območja svoje presoje.
255. Parlament na koncu trdi, da ureditev PNR presega, kar je nujno za boj proti terorizmu in drugim težkim kaznivim dejanjem, ker dovoljuje prenos podatkov letalskih potnikov drugim organom oblasti. Po mnenju Parlamenta ima Urad CBP diskrecijsko pravico, da prenese podatke iz PNR drugim organom oblasti, vključno s tujimi vladnimi organi, kar ni skladno s členom 8(2) EKČP.
256. S tem se ne strinjam. Tudi tukaj po mojem mnenju zaščitni ukrepi glede prenosa podatkov PNR drugim vladnim organom omogočajo razmišljanje, da je vmešavanje v zasebno življenje letalskih potnikov sorazmerno z doseganjem cilja, ki ga zasleduje ureditev PNR.
257. Čeprav zaveze Uradu CBP omogočajo zelo široko območje lastne presoje, je to le omejeno. Tako v skladu z odstavkom 29 zavez prenos podatkov PNR drugim vladnim organom, vključno s tujimi vladnimi organi, „katerih naloga je boj proti terorizmu ali uveljavljanje zakona“, lahko poteka samo „posamično“ in načeloma samo „za preprečevanje ali boj proti kaznivim dejanjem, določenim v odstavku 3.“ V skladu z odstavkom 30 zavez mora Urad CBP presoditi, ali razlog za razkritje podatkov drugemu organu ustreza navedenim namenom.
258. Res je, da odstavka 34 in 35 zavez razširjata te namene kolikor, prvič, dovoljujejo uporabo razkritja podatkov PNR ustreznim vladnim organom, „kadar je to razkritje potrebno za zaščito ključnih interesov posameznika, na katerega se podatki nanašajo, ali drugih oseb, zlasti, če gre za precejšnjo nevarnost za zdravje“, in drugič, uporabo razkritja podatkov PNR „v kakršnem koli kazenskem postopku ali če to drugače zahteva zakon“.
259. Poleg tega, da so ti nameni večinoma povezani z legitimnim ciljem ureditve PNR, ugotavljam, da zaveze vsebujejo določeno število zaščitnih ukrepov. Tako na primer odstavek 31 določa, da „[z]a ureditev razširjanja podatkov PNR, ki jih je dovoljeno razkriti drugim pristojnim organom, velja urad CBP za ‚lastnika‘ podatkov, pristojni organi pa so z izrecnimi pogoji razkritja zavezani“, da izpolnjujejo številne zahteve. Med zahtevami, ki so naložene organom, ki sprejemajo podatke, sta obveznost „zagotoviti pravilno uporabo prejetih podatkov PNR, v skladu s postopki shranjevanja evidenc pristojnega organa“, in obveznost „pridobiti izrecno dovoljenje urada CBP za vsako nadaljnje razširjanje“.
260. Poleg tega odstavek 32 zavez nedvoumno določa, da „Urad CBP vsakršne podatke PNR razkrije, če agencija prejemnica te podatke obravnava kot zaupne poslovne informacije in kot informacije občutljivega značaja, zaupne informacije posameznika, na katerega se osebni podatki nanašajo [...], za katere velja, da so izvzeti iz razkritja v skladu z zakonom o prostem dostopu do informacij [...]“ Isti odstavek tudi določa, da „se svetuje, da agencija prejemnica brez izrecne odobritve s strani Urada CBP ne dovoli nadaljnjega razkritja teh informacij“. Urad CBP „ne bo dovolil nikakršnega nadaljnjega prenašanja podatkov PNR za namene, ki so drugačni od teh, določenih v [odstavkih] 29, 34 ali 35“. Odstavek 33 zavez določa, da so „[o]sebe, zaposlene pri pristojnih organih, ki brez ustreznega dovoljenja razkrijejo podatke PNR, […] lahko kazensko odgovorne“.
261. Če upoštevam vse te zaščitne ukrepe, ne morem reči, da sta Svet in Komisija prekoračila meje širokega območja svoje presoje, ki po mojem mnenju mora biti omogočeno za boj proti terorizmu in druga težka kazniva dejanja.
262. Iz tega sledi, da tožbeni razlog kršitve pravice do varstva osebnih podatkov in tožbeni razlog kršitve načela sorazmernosti nista utemeljena in se zavrneta.
D – Tožbeni razlog: nezadostna obrazložitev sklepa Sveta
263. Parlament trdi, da sklep Sveta ne izpolnjuje zahteve po obrazložitvi, kakor je določena v členu 235 ES. Zlasti se pritožuje, da sklep ne vsebuje nobenih obrazložitev, če in do kolikšne mere zadeva delovanje notranjega trga.
264. Nasprotno pa Svet, ki ga podpirata Združeno kraljestvo in Komisija, trdi, da je obrazložitev sklepa skladna z zahtevo, ki jo je določilo Sodišče.
265. Menim, da je obrazložitev sklepa Sveta ustrezna, čeprav je kratka.
266. V skladu z ustaljeno sodno prakso mora biti obrazložitev, ki jo zahteva člen 253 ES, „prilagojena naravi zadevnega akta in mora biti v njej jasno in nedvoumno podano sklepanje organa, ki je sporni akt izdal, tako da se lahko zainteresirane stranke seznanijo z razlogi sprejetega ukrepa in da lahko pristojno sodišče opravi nadzor“. Iz sodne prakse je tudi jasno, da „se ne zahteva, da se v obrazložitvi navedejo vse upoštevane pravne ali dejanske okoliščine, saj je treba pri vprašanju, ali akt izpolnjuje zahteve člena 253 ES, opraviti presojo ne samo glede na njegovo besedilo, ampak vsa pravna pravila, ki urejajo zadevno področje“.(128)
267. Zadevni ukrep je sklep, namenjen predvsem odobritvi Sporazuma med Skupnostjo in Združenimi državami v imenu Skupnosti. Sklep v zvezi s tem vsebuje vse potrebne podatke uporabljenega postopka, in sicer sprejetje s strani Sveta, v skladu s postopkom, določenim v prvem pododstavku člena 300(2) ES, ter izjavo, da Parlament ni dal svojega mnenja v roku, ki ga je Svet določil na podlagi prvega pododstavka člena 300(3) ES. Poleg tega ugotavljam, da navedbe v preambuli sklepa Sveta omenjajo člen 95 ES.
268. Zaradi posebne narave navedenega sklepa, ki jo je težko popolnoma ločiti od mednarodnega sporazuma, na katerega se nanaša, mora pregled ustreznosti obrazložitve po mojem mnenju vključevati tudi preambulo Sporazuma. Če Sodišče bere sklep Sveta skupaj s preambulo Sporazuma, lahko, kot dokazuje preučitev prejšnjih tožbenih razlogov, opravi pregled, zlasti glede primernosti izbrane pravne podlage.
269. Skladno s tem menim, da tožbeni razlog, da sklep Sveta ne vsebuje primerne obrazložitve, ni utemeljen in ga je treba torej zavrniti.
E – Tožbeni razlog: kršitev načela lojalnega sodelovanja iz člena 10 ES
270. Parlament s tem tožbenim razlogom trdi, da čeprav člen 300(3), prvi pododstavek, ES dovoljuje, da Svet, glede na nujnost zadeve, določi rok, v katerem mora pripraviti mnenje, in čeprav postopek za prošnjo Sodišču za mnenje o predvidenem sporazumu, določenem v členu 300(6) ES, nima odložilnega učinka, je Svet v postopku za sprejetje Sporazuma kršil dolžnost lojalnega sodelovanja, ki mu jo nalaga člen 10 ES.
271. Svet, ki ga podpirata Komisija in Združeno kraljestvo, trdi, da s sklenitvijo Sporazuma ni kršil načela lojalnega sodelovanja, čeprav je Parlament Sodišče zaprosil za mnenje na podlagi člena 300(6) ES.
272. Člen 10 ES državam članicam nalaga dolžnost lojalnega sodelovanja z institucijami Skupnosti, vendar izrecno ne določa načela lojalnega sodelovanja med temi institucijami. Vendar je Sodišče odločilo, da za „dialog med institucijami, ki je podlaga zlasti za postopek posvetovanja, veljajo iste medsebojne dolžnosti lojalnega sodelovanja kot za urejanje odnosov med državami članicami in institucijami Skupnosti“.(129)
273. Iz dejstev o tej zadevi je jasno, da je 17. marca 2004 Komisija Parlamentu predložila predlog sklepa Sveta in da je Svet s pismom z dne 25. marca 2004 Svet prosil Parlament, naj pripravi mnenje o tem predlogu najpozneje do 22. aprila 2004. Svet je v pismu poudaril, da je „[b]oj proti terorizmu, ki upravičuje predlagane ukrepe, najpomembnejša prednostna naloga Evropske unije. Letalski prevozniki in potniki so trenutno v negotovem položaju, ki ga je treba nujno popraviti. Poleg tega je bistveno zaščiti finančne interese zadevnih strank“.
274. Parlament se je 21. aprila 2004 v skladu s členom 300(6) ES odločil pridobiti mnenje Sodišča, ali je načrtovani sporazum združljiv z določbami Pogodbe.
275. Svet je 28. aprila 2004 na podlagi člena 300(3), prvi pododstavek, ES na Parlament naslovil dopis, s katerim ga je zaprosil, naj poda mnenje o sklenitvi Sporazuma do 5. maja 2004. Da bi utemeljil predlog za obravnavo po nujnem postopku, je še enkrat ponovil razloge, ki jih navedel v dopisu z dne 25. marca 2004.
276. Parlament je zavrnil ta predlog za obravnavo po nujnem postopku in predsednik Parlamenta je stopil v stik s Svetom in Komisijo ter ju prosil, naj ne nadaljujeta z namero, dokler Sodišče ne pripravi mnenja, za katero je bilo zaprošeno 21. aprila 2004. Svet je 17. maja 2004 kljub temu sprejel izpodbijani sklep.
277. Menim, da Svet s sprejetjem odločbe o odobritvi Sporazuma v imenu Skupnosti, preden je bil končan postopek predloga Parlamenta za mnenje Sodišča na podlagi člena 300(6), ni kršil svoje dolžnosti lojalnega sodelovanja s Parlamentom.
278. Kot potrjuje Parlament, začetek takega postopka za prošnjo za mnenje Sodišča nima odložilnega učinka. Zato ne preprečuje Svetu sprejeti odločitve o potrditvi Sporazuma, ko postopek še traja, tudi kadar je čas med vložitvijo prošnje za mnenje Sodišču in sklepom o odobritvi Sporazuma, tako kot v tej zadevi, razmeroma kratek.
279. Dejstvo, da prošnja Sodišču za mnenje, vložena na podlagi člena 300(6) ES, nima odložilnega učinka, je mogoče ugotoviti iz besedila navedenega člena, ki ne predvideva izrecno odložilnega učinka, in iz sodne prakse Sodišča. Sodišče je v mnenju 3/94(130) odločilo, da tak predlog za mnenje ni več pomemben in da ni potrebe, da bi Sodišče nanj odgovorilo, kadar je bil sporazum, na katerega se nanaša in ki je sporazum, ki je bil načrtovan, ko je bila zadeva predložena Sodišču, medtem sklenjen. Sodišče je tudi poudarilo, da ima postopek na podlagi člena 300(6) ES „[…] cilj, prvič, [...] preprečiti težave, ki izhajajo iz nezdružljivosti mednarodnih sporazumov, ki zavezujejo Skupnost, s Pogodbo, ne pa zavarovati interese in pravice države članice ali institucije Skupnosti, ki je prosila za mnenje“(131), ter da „[v] vsakem primeru država ali institucija Skupnosti, ki je zaprosila za mnenje, lahko vloži tožbo za razglasitev ničnosti sklepa, da sklene sporazum [...]“(132)
280. Tako iz listin v spisu in tudi iz uvodne izjave 2 sklepa Sveta je očitno, da je Svet navedel ustrezne razloge za uveljavljanje nujnosti, da bi v kratkem roku pridobil mnenje Parlamenta, skladno s členom 300(3), prvi pododstavek, ES. Na koncu ugotavljam, da navedeni člen izrecno določa, da „če ne da mnenja v tem roku, lahko Svet ukrepa“.
281. Ob upoštevanju vseh teh ugotovitev menim, da tožbeni razlog, da je Svet kršil dolžnost lojalnega sodelovanja, ni utemeljen in ga je treba torej zavrniti.
VII – Stroški
282. V zadevi C-318/04 ugotovitev, da je tožba, ki jo je vložil Parlament, utemeljena, pomeni, da se Komisiji naloži plačilo stroškov, v skladu s členom 69(2) Poslovnika Sodišča. Poleg tega na podlagi člena 69(4) intervenienta, in sicer Združeno kraljestvo in Evropski nadzornik za varstvo podatkov, nosita svoje stroške.
283. V zadevi C-317/04 ugotovitev, da je tožba, ki jo je vložil Parlament, utemeljena, pomeni, da se Svetu naloži plačilo stroškov, v skladu s členom 69(2) Poslovnika. Poleg tega na podlagi člena 69(4) navedenega poslovnika intervenienta, in sicer Združeno kraljestvo in Evropski nadzornik za varstvo podatkov, nosita svoje stroške.
VIII – Predlog
284. Ob upoštevanju vseh zgoraj navedenih ugotovitev predlagam Sodišču, naj:
– v zadevi C-318/04 razglasi ničnost Odločbe Komisije 2004/535/ES z dne 14. maja 2004 o ustreznem varstvu osebnih podatkov, vsebovanih v Evidenci imen letalskih potnikov, posredovani uradu za carinsko in mejno zaščito Združenih držav Amerike;
– v zadevi C-317/04 razglasi ničnost Sklepa Sveta 2004/496/ES z dne 17. maja 2004 o sklenitvi Sporazuma med Evropsko skupnostjo in Združenimi državami Amerike o obdelavi in prenosu podatkov iz PNR s strani letalskih prevoznikov Uradu za carine in varovanje meja pri ministrstvu Združenih držav za domovinsko varnost.