Petición de decisión prejudicial planteada por el Verwaltungsgericht Wiesbaden (Alemania) el 19 de mayo de 2020 — JV / Bundesrepublik Deutschland
(Asunto C-215/20)
Lengua de procedimiento: alemán
Órgano jurisdiccional remitente
Verwaltungsgericht Wiesbaden
Partes en el procedimiento principal
Demandante: JV
Demandada: Bundesrepublik Deutschland
Cuestiones prejudiciales
1. La Directiva (UE) 2016/681 1 (en lo sucesivo, «Directiva PNR»), en virtud de la cual las empresas de transporte aéreo transfieren extensos registros de datos relativos a todos los pasajeros sin excepción a las Unidades de Información sobre los Pasajeros establecidas por los Estados miembros, donde los datos se utilizan sin motivos en una comparación automatizada con las bases de datos y patrones y se conservan a continuación durante cinco años, ¿es, habida cuenta del objetivo perseguido por la Directiva PNR y de los requisitos de precisión y proporcionalidad, compatible con la Carta de los Derechos Fundamentales, y en particular con los artículos 7, 8 y 52 de esta?
2. En particular:
a) ¿Es compatible con los artículos 7 y 8 de la Carta el artículo 3, punto 9, de la Directiva PNR, en relación con el anexo II de la misma Directiva, en la medida en que establece que se entenderán por «delitos graves» a efectos de la Directiva los delitos incluidos en su anexo II que son punibles con una pena privativa de libertad o un auto de internamiento de una duración máxima no inferior a tres años con arreglo al Derecho nacional de un Estado miembro, desde la óptica de la exigencia de suficiente precisión y del requisito de proporcionalidad?
b) ¿Son los datos del registro de nombres de los pasajeros que han de transferirse (en lo sucesivo, «datos del PNR»), en la medida en que exigen la transferencia de los nombres y apellidos (artículo 8, apartado 1, primera frase, en relación con anexo I, punto 4, de la Directiva PNR) y de la información sobre viajeros asiduos (artículo 8, apartado 1, primera frase, en relación con anexo I, punto 8, de la Directiva PNR) y exigen que se cumplimente un campo de texto libre con observaciones generales (artículo 8, apartado 1, primera frase, en relación con anexo I, punto 12, de la Directiva PNR), suficientemente precisos como para poder justificar una injerencia en los derechos consagrados en los artículos 7 y 8 de la Carta?
c) ¿Es compatible con los artículos 7 y 8 de la Carta y con la finalidad de la Directiva PNR que se registren también, además de los datos de los pasajeros, datos de terceros, como de la agencia de viajes/del operador de viajes (anexo I, punto 9, de la Directiva PNR), de los acompañantes de menores (anexo I, punto 12, de la Directiva PNR) y de otros viajeros (anexo I, punto 17, de la Directiva PNR)?
d) En la medida en que según la Directiva PNR son objeto de transferencia, tratamiento y almacenamiento los datos del PNR de menores, ¿es dicha Directiva compatible con los artículos 7, 8 y 24 de la Carta?
e) A la luz del principio de minimización de datos, ¿es compatible con los artículos 8 y 52 de la Carta el artículo 8, apartado 2, de la Directiva PNR (en relación con el anexo I, punto 18, de la Directiva), según el cual las empresas de transporte aéreo transferirán datos API a las Unidades de Información sobre los Pasajeros de los Estados miembros, aunque sean idénticos a los datos del PNR?
f) ¿Constituye el artículo 6, apartado 4, de la Directiva PNR, como base jurídica para determinar los criterios de comparación de los registros de datos (es decir, los denominados «patrones»), un fundamento legítimo suficiente, previsto por la ley, a los efectos de los artículos 8, apartado 2, y 52 de la Carta, así como del artículo 16 TFUE, apartado 2?
g) ¿Está el artículo 12 de la Directiva PNR limitando la injerencia en los derechos consagrados en los artículos 7 y 8 de la Carta a lo estrictamente necesario, si los datos transferidos se conservan en las Unidades de Información sobre los Pasajeros de los Estados miembros durante un período de cinco años?
h) ¿Reduce la despersonalización prevista en el artículo 12, apartado 2, de la Directiva PNR los datos personales a lo que con arreglo a los artículos 8 y 52 de la Carta es lo necesario, si no se trata sino de una seudonimización que es reversible en cualquier momento?
i) ¿Deben interpretarse los artículos 7, 8 y 47 de la Carta en el sentido de que exigen que los pasajeros cuyos datos vuelvan a ser personalizados en el marco del tratamiento de los datos de los pasajeros (artículo 12, apartado 3, de la Directiva PNR) sean informados sobre dicho extremo, brindándoles así la posibilidad de una revisión judicial?
3. ¿Es compatible el artículo 11 de la Directiva PNR con los artículos 7 y 8 de la Carta en la medida en que permite la transferencia de datos del PNR a terceros países que no disponen de un nivel adecuado de protección de datos?
4. ¿Brinda el artículo 6, apartado 4, cuarta frase, de la Directiva PNR protección suficiente contra el tratamiento de categorías especiales de datos personales, a los efectos del artículo 9 del Reglamento (UE) 2016/679 2 (en lo sucesivo, «RGPD») y del artículo 10 de la Directiva (UE) 2016/680, 3 si en el marco del campo de texto libre «observaciones generales» (anexo I, punto 12, de la Directiva PNR) se puede comunicar, por ejemplo, la comida solicitada, que permite extraer conclusiones sobre dichas categorías especiales de datos personales?
5. ¿Es compatible con el artículo 13 del RGPD que la página web de las empresas de transporte aéreo simplemente remita a los pasajeros a la normativa nacional de transposición [en este caso, la Gesetz über die Verarbeitung von Fluggastdaten zur Umsetzung der Richtlinie (EU) 2016/681 [Ley sobre tratamiento de los datos de pasajeros de transposición de la Directiva (UE) 2016/681], de 6 de junio de 2017, BGBl. I, p. 1484]?
____________
1 Directiva del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave (DO 2016, L 119, p. 132).
2 Reglamento del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (DO 2016, L 119, p. 1).
3 Directiva del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).