STANOVISKO GENERÁLNÍHO ADVOKÁTA
PHILIPPA LÉGERA
přednesené dne 22. listopadu 2005 (1)
Věc C‑317/04
Evropský parlament
proti
Radě Evropské unie
„Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Žaloba na neplatnost – Rozhodnutí Rady 2004/496/ES – Dohoda mezi Evropským společenstvím a Spojenými státy americkými o zpracování a předávání údajů jmenné evidence cestujících PNR (‚Passenger Name Records‘)“
a
Věc C‑318/04
Evropský parlament
proti
Komisi Evropských společenství
„Žaloba na neplatnost – Rozhodnutí Komise 2004/535/ES o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic – Směrnice 95/46/ES“
Obsah
I – Skutečnosti předcházející sporu
II – Právní rámec obou věcí
A – Smlouva o EU
B – Smlouva o založení Evropského společenství
C – Evropské právo ochrany osobních údajů
III – Napadená rozhodnutí
A – Rozhodnutí o odpovídající úrovni ochrany
B – Rozhodnutí Rady
IV – Žalobní důvody předložené Parlamentem v obou věcech
V – K žalobě směřující ke zrušení rozhodnutí o odpovídající úrovni ochrany (věc C‑318/04)
A – K žalobnímu důvodu vycházejícímu z toho, že se Komise dopustila překročení pravomoci, když přijala rozhodnutí o odpovídající úrovni ochrany
1. Argumenty účastníků řízení
2. Posouzení
B – K žalobním důvodům vycházejícím z porušení základních práv a z porušení zásady proporcionality
VI – K žalobě směřující ke zrušení rozhodnutí Rady (věc C‑317/04)
A – K žalobnímu důvodu vycházejícímu z chybné volby článku 95 ES jakožto právního základu rozhodnutí Rady
1. Argumenty účastníků řízení
2. Posouzení
B – K žalobnímu důvodu vycházejícímu z porušení čl. 300 odst. 3 druhého pododstavce ES z důvodu změny směrnice 95/46
1. Argumenty účastníků řízení
2. Posouzení
C – K žalobním důvodům vycházejícím z porušení práva na ochranu osobních údajů a porušení zásady proporcionality
1. Argumenty účastníků řízení
2. Posouzení
a) K existenci zásahu do soukromého života
b) K odůvodnění zásahu do soukromého života
i) Je zásah v souladu se zákonem?
ii) Sleduje zásah legitimní cíl?
iii) Je zásah v demokratické společnosti nezbytný pro dosažení takového cíle?
D – K žalobnímu důvodu vycházejícímu z toho, že rozhodnutí Rady není dostatečně odůvodněno
E – K žalobnímu důvodu vycházejícímu z porušení zásady loajální spolupráce stanovené v článku 10 ES
VII – K nákladům řízení
VIII – Závěry
1. Evropský parlament podal Soudnímu dvoru dvě žaloby na neplatnost na základě článku 230 ES. Ve věci Parlament v. Rada (C‑317/04) směřuje žaloba ke zrušení rozhodnutí Rady ze dne 17. května 2004 o uzavření dohody mezi Evropským společenstvím a Spojenými státy americkými o zpracování a předávání údajů jmenné evidence cestujících (PNR) Úřadu pro cla a ochranu hranic ministerstva vnitřní bezpečnosti Spojených států(2). Ve věci Parlament v. Komise (C‑318/04) se Parlament domáhá zrušení rozhodnutí Komise ze dne 14. května 2004 o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic(3).
2. V obou projednávaných věcech je Soudní dvůr vyzván, aby se vyjádřil k problematice týkající se ochrany osobních údajů leteckých cestujících v rozsahu, v němž jsou za účelem odůvodnění jejich předávání a zpracování ve třetí zemi, v projednávaném případě ve Spojených státech(4), dovolávány takové požadavky spočívající ve veřejné bezpečnosti, které spadají do trestní oblasti, jako je předcházení a potírání terorismu a dalších vážných zločinů.
3. Obě projednávané věci mají svůj původ v řadě událostí, které je třeba nejprve vyložit. Poté podrobně rozvedu právní rámec, ve kterém se nacházejí.
I – Skutečnosti předcházející sporu
4. Po teroristických útocích ze dne 11. září 2001 přijaly Spojené státy právní předpisy, které stanoví, že letecké společnosti provozující leteckou přepravu do Spojených států, ze Spojených států nebo přes území Spojených států jsou povinny poskytnout celním orgánům Spojených států elektronický přístup k údajům obsaženým v jejich automatizovaných kontrolních systémech rezervací a odletů, nazvaných „Passenger Name Records“ (dále jen „PNR“)(5). Komise Evropských společenství uznala oprávněnost dotčených bezpečnostních zájmů, ovšem zároveň informovala již v červnu 2002 orgány Spojených států, že tato ustanovení mohou být v rozporu s právními předpisy Společenství a členských států v oblasti ochrany osobních údajů, jakož i s některými ustanoveními nařízení o používání počítačových rezervačních systémů (PRS)(6). Orgány Spojených států odložily nabytí účinnosti nových ustanovení, ale odmítly se vzdát ukládání sankcí leteckým společnostem, které po 5. březnu 2003 nevyhovovaly uvedeným ustanovením. Od té doby poskytlo několik velkých leteckých společností usazených v členských státech orgánům Spojených států přístup ke svým PNR.
5. Komise zahájila s orgány Spojených států jednání, která vedla k vypracování dokumentu obsahujícího závazky ze strany CBP, za účelem přijetí rozhodnutí Komise o odpovídající úrovni ochrany osobních údajů Spojenými státy na základě čl. 25 odst. 6 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů(7).
6. Dne 13. června 2003 vydala skupina, zvaná „článek 29“ o ochraně údajů(8), stanovisko, ve kterém vyjádřila pochybnosti ohledně úrovně ochrany zajištěné těmito závazky, pokud jde o zamýšlená zpracování údajů(9). V jiném stanovisku ze dne 29. ledna 2004 své pochybnosti zopakovala(10).
7. Dne 1. března 2004 předložila Komise Parlamentu návrh rozhodnutí o odpovídající úrovni ochrany společně se závazným prohlášením CBP.
8. Dne 17. března 2004 předala Komise Parlamentu za účelem jeho konzultace na základě čl. 300 odst. 3 prvního pododstavce ES návrh rozhodnutí Rady Evropské unie o uzavření dohody mezi Společenstvím a Spojenými státy. Dopisem ze dne 25. března 2004 Rada požádala s odkazem na naléhavý postup upravený v článku 112 jednacího řádu Parlamentu (nyní článek 134) o stanovisko Parlamentu k tomuto návrhu nejpozději do 22. dubna 2004. Ve svém dopise Rada zdůrazňuje, že „[b]oj proti terorismu, který odůvodňuje navržená opatření, je zásadní prioritou Evropské unie. Letečtí dopravci a cestující jsou v současné době ve stavu nejistoty, který je třeba s ohledem na naléhavou potřebu napravit. Navíc je zásadní chránit finanční zájmy dotyčných osob“.
9. Dne 31. března 2004 přijal Parlament na základě článku 8 rozhodnutí Rady ze dne 28. června 1999 o postupech pro výkon prováděcích pravomocí svěřených Komisi(11), usnesení, ve kterém jsou k tomuto přístupu vyjádřeny některé výhrady právní povahy. Konkrétně se Parlament domníval, že návrh rozhodnutí o odpovídající úrovni ochrany překračuje pravomoci svěřené Komisi článkem 25 směrnice 95/46. Vyzval k uzavření vhodné mezinárodní dohody respektující základní práva a požádal Komisi, aby mu předložila nový návrh rozhodnutí. Mimoto si vyhradil právo obrátit se na Soudní dvůr, aby ho požádal o ověření legality zamýšlené mezinárodní dohody, a zvláště slučitelnosti této dohody s ochranou práva na respektování soukromého života.
10. Dne 21. dubna 2004 schválil Parlament na žádost svého předsedy doporučení Výboru pro právní záležitosti a vnitřní trh požádat Soudní dvůr o posudek o slučitelnosti zamýšlené dohody se Smlouvou v souladu s čl. 300 odst. 6 ES; postup, který byl zahájen téhož dne. Téhož dne Parlament rovněž rozhodl vrátit Výboru zprávu o návrhu rozhodnutí Rady, a v tomto stadiu tak konkludentně zamítl žádost o naléhavou rozpravu Rady ze dne 25. března 2004.
11. Dne 28. dubna 2004 zaslala Rada, opírajíc se o čl. 300 odst. 3 první pododstavec ES, Parlamentu dopis, ve kterém jej požádala o vydání stanoviska ohledně uzavření dohody do 5. května 2004. Za účelem odůvodnění naléhavosti zopakovala Rada důvody uvedené v dopise ze dne 25. března 2004(12).
12. Dne 30. dubna 2004 informoval vedoucí kanceláře Soudního dvora Parlament, že Soudní dvůr stanovil nejzazší datum pro podání vyjádření členských států, Rady a Komise k žádosti o posudek 1/04 na 4. června 2004.
13. Dne 4. května 2004 zamítl Parlament žádost o naléhavou rozpravu, kterou mu Rada podala dne 28. dubna(13). Následujícího dne se předseda Parlamentu obrátil na Radu a Komisi, aby je požádal, aby nepokračovaly ve svých úmyslech do doby, nežli Soudní dvůr vydá posudek, vyžádaný dne 21. dubna 2004.
14. Dne 14. května 2004 přijala Komise v souladu s čl. 25 odst. 6 směrnice 95/46 rozhodnutí o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají CBP.
15. Dne 17. května 2004 přijala Rada rozhodnutí o uzavření dohody mezi Společenstvím a Spojenými státy o zpracování a předávání údajů jmenné evidence cestujících (PNR) leteckými dopravci CBP.
16. Dopisem ze dne 9. července 2004 informoval Parlament Soudní dvůr, že bere svou žádost o posudek 1/04(14) zpět. Poté se rozhodl, že bude ve sporech mezi ním a Radou a Komisí pokračovat cestou soudního řízení.
II – Právní rámec obou věcí
A – Smlouva o EU
17. Podle článku 6 EU:
„1. Unie je založena na zásadách svobody, demokracie, dodržování lidských práv a základních svobod a právního státu, zásadách, které jsou společné členským státům.
2. Unie ctí základní práva zaručená Evropskou úmluvou o ochraně lidských práv a základních svobod podepsanou v Římě dne 4. listopadu 1950 a ta, jež vyplývají z ústavních tradic společných členským státům, jako obecné zásady práva Společenství.
[…]“
B – Smlouva o založení Evropského společenství
18. Článek 95 odst. 1 ES stanoví:
„Odchylně od článku 94 a není-li v této smlouvě stanoveno jinak, použijí se k dosažení cílů uvedených v článku 14 následující ustanovení. Rada postupem podle článku 251 po konzultaci s Hospodářským a sociálním výborem přijímá opatření ke sbližování ustanovení právních a správních předpisů členských států, jejichž účelem je vytvoření a fungování vnitřního trhu“.
19. Pokud jde o postup uzavírání mezinárodních dohod Společenstvím, čl. 300 odst. 2 první pododstavec ES ve své první větě stanoví, že „[s] výhradou působnosti svěřené v této oblasti Komisi rozhoduje Rada na návrh Komise kvalifikovanou většinou o podpisu […] jakož i o uzavírání dohod“.
20. Článek 300 odst. 3 ES zní takto:
„Nejedná-li se o dohody uvedené v čl. 133 odst. 3, uzavírá dohody Rada po konzultaci s Evropským parlamentem, a to i v případech, kdy se dohoda dotýká oblasti, v níž je pro přijetí vnitřních předpisů požadován postup uvedený v článku 251 nebo v článku 252. Evropský parlament zaujme stanovisko ve lhůtě, kterou může Rada stanovit podle naléhavosti věci. Nezaujme‑li stanovisko v této lhůtě, může Rada jednat i bez tohoto stanoviska.
Odchylně od předchozího pododstavce se dohody uvedené v článku 310, ostatní dohody, které vytvářejí zavedením postupů spolupráce zvláštní institucionální rámec, dohody mající citelné rozpočtové dopady na Společenství a dohody měnící akt přijatý postupem podle článku 251 uzavírají se souhlasem Evropského parlamentu.
Rada a Evropský parlament se mohou v naléhavých případech dohodnout na lhůtě pro vyslovení tohoto souhlasu.“
C – Evropské právo ochrany osobních údajů
21. Článek 8 Evropské úmluvy o ochraně lidských práv a základních svobod (dále jen „EÚLP“) stanoví:
„1. Každý má právo na respektování svého soukromého a rodinného života, obydlí a korespondence.
2. Státní orgán nemůže do výkonu tohoto práva zasahovat kromě případů, kdy je to v souladu se zákonem a nezbytné v demokratické společnosti v zájmu národní bezpečnosti, veřejné bezpečnosti, hospodářského blahobytu země, předcházení nepokojům a zločinnosti, ochrany zdraví nebo morálky nebo ochrany práv a svobody druhých.“
22. Evropské právo ochrany údajů se nejprve rýsovalo v rámci Rady Evropy. Úmluva o ochraně osob se zřetelem na automatické zpracování osobních dat tak byla otevřena k podpisu členským státům Rady Evropy ve Štrasburku dne 28. ledna 1981(15). Jejím účelem je zajistit na území všech smluvních stran všem fyzickým osobám, bez ohledu na jejich státní příslušnost nebo bydliště, respektování jejich základních práv a svobod, a zejména práva na soukromý život, v souvislosti s automatizovaným zpracováním osobních dat, které se jich týkají.
23. Pokud jde o Evropskou unii, mimo článek 7 listiny základních práv Evropské unie, který se týká respektování soukromého a rodinného života, je její článek 8(16) specificky věnován ochraně osobních údajů. Zní takto:
„1. Každý má právo na ochranu osobních údajů, které se ho týkají.
2. S těmito daty se musí zacházet korektně, k přesně stanoveným účelům, a na základě souhlasu dotčené osoby nebo na základě jiného zákonem stanoveného legitimního důvodu. Každý má právo na přístup k údajům, které o něm byly shromážděny, a právo na jejich změnu.
3. Na dodržování těchto pravidel dozírá nezávislý orgán.“
24. Pokud jde o primární právo Společenství, článek 286 ES ve svém odstavci 1 stanoví, že „[o]d 1. ledna 1999 se akty Společenství o ochraně fyzických osob při zpracování osobních údajů a při volném pohybu těchto údajů vztahují na orgány a subjekty založené touto smlouvou nebo na jejím základě“(17).
25. V sekundárním právu Společenství je základní normou v této oblasti směrnice 95/46(18). Její vztah k textům Rady Evropy výslovně vyplývá z jejího desátého a jedenáctého bodu odůvodnění. Její desátý bod odůvodnění totiž stanoví, že „předmětem vnitrostátních právních předpisů o zpracování osobních údajů je chránit základní práva a svobody, zejména právo na soukromí uznané v článku 8 [EÚLP] i v obecných zásadách práva Společenství; […] z tohoto důvodu sblížení těchto právních předpisů nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany ve Společenství“. Navíc, jedenáctý bod odůvodnění směrnice 95/46 uvádí, že „zásady ochrany lidských práv a svobod, zejména práva na soukromí, obsažené v této směrnici upřesňují a rozšiřují zásady obsažené v Úmluvě [č. 108]“.
26. Směrnice 95/46, přijatá na základě článku 100a Smlouvy o ES (nyní po změně článek 95 ES), má svůj původ v myšlence vyjádřené v jejím třetím bodu odůvodnění, podle kterého „vytvoření a fungování vnitřního trhu […] vyžaduje nejen možnost volného pohybu osobních údajů z jednoho členského státu do druhého, ale rovněž ochranu základních práv jednotlivců“. Zákonodárce vyšel konkrétněji ze zjištění, že „rozdíly mezi členskými státy, pokud jde o úroveň ochrany práv a svobod osob, zejména práva na soukromí, mohou s ohledem na zpracování osobních údajů zabránit přenosu těchto údajů z území jednoho členského státu na území jiného členského státu“(19), což může zejména vytvářet překážku výkonu celé skupiny hospodářských činností na úrovni Společenství a narušit hospodářskou soutěž. Zákonodárce Společenství se rovněž domníval, že „pro odstranění překážek toku osobních údajů musí být úroveň ochrany práv a svobod osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech“(20). Výsledkem tohoto přístupu musí být, že „v důsledku rovnocenné ochrany vyplývající ze sblížení vnitrostátních právních předpisů nebudou moci členské státy nadále bránit mezi sebou volnému pohybu osobních údajů z důvodů ochrany práv a svobod osob, zejména práva na soukromí“(21).
27. Článek 1 směrnice 95/46, nazvaný „Předmět směrnice“ provádí tento přístup následovně:
„1. Členské státy zajišťují v souladu s touto směrnicí ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů.
2. Členské státy nemohou omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany zajištěné podle odstavce 1.“
28. Článek 2 uvedené směrnice definuje zejména pojmy „osobní údaje“, „zpracování osobních údajů“ a „správce“.
29. Podle čl. 2 písm. a) směrnice 95/46 jsou tak osobními údaji „veškeré informace o identifikované nebo identifikovatelné osobě […]; identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity“.
30. Zpracování takových údajů podle čl. 2 písm. b) uvedené směrnice zahrnuje „jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace“.
31. Článek 2 písm. d) směrnice 95/46 definuje správce jako „fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů; […]“.
32. Pokud jde o věcnou působnost směrnice 95/46, čl. 3 odst. 1 stanoví, že se tato směrnice „vztahuje na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny“.
33. Článek 3 odst. 2 uvedené směrnice uvádí jedno z omezení věcné působnosti této směrnice v rozsahu, v němž stanoví, že:
„Tato směrnice se nevztahuje na zpracování osobních údajů:
– prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva,
[…]“
34. Kapitola II směrnice 95/46 je věnována „[o]becným podmínkám pro zákonnost zpracování osobních údajů“. V této kapitole se oddíl I týká „[z]ásad pro kvalitu údajů“. Článek 6 této směrnice stanoví tyto zásady, zvané loajality, zákonnosti, účelovosti, proporcionality a přesnosti zpracování osobních údajů. Zní takto:
„1. Členské státy stanoví, že osobní údaje musejí být:
a) zpracovány korektně a zákonným způsobem;
b) shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní, a nesmějí být dále zpracovávány způsobem neslučitelným s těmito účely. Další zpracování pro historické, statistické nebo vědecké účely není považováno za neslučitelné, pokud členské státy poskytnou vhodná ochranná opatření;
c) přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány a/nebo [nebo] dále zpracovávány;
d) přesné, a je-li to nezbytné, i aktualizované; musí být přijata veškerá rozumná opatření, aby nepřesné nebo neúplné údaje s ohledem na účely, pro které byly shromažďovány nebo dále zpracovávány, byly vymazány nebo opraveny;
e) uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány. […].
2. Dodržování odstavce 1 zajistí správce.“
35. Oddíl II kapitoly II uvedené směrnice je věnován „[z]ásadám pro oprávněné zpracování údajů“. Článek 7 tvořící tento oddíl zní takto:
„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:
a) subjekt údajů nezpochybnitelně udělil souhlas;
nebo
b) je zpracování nezbytné pro splnění smlouvy, kde je subjekt údajů jednou ze stran, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu;
nebo
c) je nezbytné pro splnění právní povinnosti, které podléhá správce;
[…]“
36. Pokud jde o osobní údaje obecně označované jako „citlivé“, čl. 8 odst. 1 stanoví zákaz jejich zpracování. Stanoví totiž, že „[č]lenské státy zakáží zpracování osobních údajů, které odhalují rasový či etnický původ, politické názory, náboženské nebo filozofické přesvědčení, odborovou příslušnost, jakož i zpracování údajů týkajících se zdraví a sexuálního života“. Tato zásada zákazu zná nicméně několik výjimek, jejichž obsah a režim jsou upraveny v následujících odstavcích téhož článku.
37. Podle čl. 13 odst. 1 směrnice 95/46, nazvaného „Výjimky a omezení“:
„1. Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, v článku 10, v čl. 11 odst. 1 a v článcích 12 a 21, pokud toto omezení představuje opatření nezbytné pro zajištění:
a) bezpečnosti státu;
b) obrany;
c) veřejné bezpečnosti;
d) předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání;
e) významného hospodářského nebo finančního zájmu členského státu nebo Evropské unie včetně měnové, rozpočtové a daňové oblasti;
f) kontrolní, inspekční nebo regulační funkce vyplývající, i pouze příležitostně, z výkonu veřejné moci v případech uvedených v písmenech c), d) a e);
g) ochrany subjektu údajů nebo práv a svobod druhých.“
38. Zákonodárce Společenství si rovněž přál, aby takto zavedený ochranný režim nebyl narušen, pokud osobní údaje opustí území Společenství. Ukázalo se totiž, že mezinárodní rozměr toků informací(22) činí existenci právní úpravy, jejíž účinnost by byla omezena pouze na toto území, nedostatečnou nebo dokonce neužitečnou. Zákonodárce Společenství proto zvolil systém vyžadující pro povolení předávání osobních údajů do třetí země, aby uvedená země zajišťovala těmto údajům „odpovídající úroveň ochrany“.
39. Zákonodárce Společenství tak stanoví pravidlo, podle kterého „v případě, kdy třetí země naopak neposkytuje odpovídající úroveň ochrany, musí být předávání osobních údajů do této země zakázáno“(23).
40. V této perspektivě stanoví článek 25 směrnice 95/46 zásady, kterým podléhá předávání osobních údajů do třetích zemí:
„1. Členské státy stanoví, že k předávání osobních údajů, které jsou předmětem zpracování nebo které mají být předmětem zpracování po předání, do třetích zemí může dojít, aniž by tím bylo dotčeno dodržování vnitrostátních předpisů přijatých na základě ostatních ustanovení této směrnice, pouze pokud dotyčná třetí země zajistí odpovídající úroveň ochrany.
2. Odpovídající úroveň ochrany poskytovaná třetí zemí se posoudí s ohledem na všechny okolnosti související s předáním nebo předáváním údajů; zejména se přihlédne k povaze údajů, účelu a trvání předpokládaného či předpokládaných zpracování, zemi původu a zemi konečného určení, právním předpisům, obecným nebo zvláštním, platným v dotčené třetí zemi, jakož i profesním pravidlům a bezpečnostním opatřením, která jsou ve třetí zemi dodržována.
3. Členské státy a Komise se vzájemně informují o případech, kdy se domnívají, že některá třetí země nezajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2.
4. Pokud Komise zjistí, postupem podle čl. 31 odst. 2, že třetí země nezajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku, přijmou členské státy opatření nezbytná pro zamezení jakémukoli předávání údajů stejného druhu do dotčené třetí země.
5. Ve vhodný okamžik Komise zahájí jednání s cílem napravit stav vyplývající ze zjištění podle odstavce 4.
6. Postupem podle čl. 31 odst. 2 Komise může konstatovat, že třetí země zajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku na základě svých vnitrostátních předpisů nebo svých mezinárodních závazků sjednaných zejména na závěr jednání uvedených v odstavci 5 s cílem zajistit ochranu soukromí a základních práv a svobod osob.
Členské státy přijmou opatření nezbytná pro dosažení souladu s rozhodnutím Komise.“
41. V poslední řadě je třeba uvést, že v rámci hlavy VI Smlouvy o EU, která se týká policejní a soudní spolupráce v trestních věcech, je upravena ochrana osobních údajů různými zvláštními nástroji. Jedná se zejména o nástroje, které zavádějí takové informační systémy společné na evropské úrovni, jako je prováděcí úmluva k Schengenské dohodě(24), která obsahuje zvláštní ustanovení na ochranu údajů v rámci schengenského informačního systém (SIS)(25); úmluva o zřízení Evropského policejního úřadu, založená na článku K. 3 Smlouvy o Evropské unii(26); rozhodnutí Rady o zřízení Eurojust(27) a ustanovení jednacího řádu Eurojust o zpracování a ochraně osobních údajů(28); úmluva o používání informační technologie pro celní účely, vypracovaná na základě článku K. 3 Smlouvy o Evropské unii, která obsahuje ustanovení o ochraně osobních údajů použitelná na celní informační systém(29), a úmluva o vzájemné pomoci v trestních věcech mezi členskými státy Evropské unie(30).
42. Dne 4. října 2005 předložila Komise návrh rámcového rozhodnutí Rady o ochraně osobních údajů zpracovávaných v rámci policejní a soudní spolupráce v trestních věcech(31).
III – Napadená rozhodnutí
43. Obě napadená rozhodnutí přezkoumám chronologicky podle data jejich přijetí.
A – Rozhodnutí o odpovídající úrovni ochrany
44. Rozhodnutí o odpovídající úrovni ochrany bylo přijato Komisí na základě čl. 25 odst. 6 směrnice 95/46, který ji, připomínám, svěřuje pravomoc konstatovat, že třetí země zajišťuje odpovídající úroveň ochrany osobních údajů(32). Jak uvádí druhý bod odůvodnění tohoto rozhodnutí „[t]akové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky“.
45. V jedenáctém bodě odůvodnění uvedeného rozhodnutí Komise uvádí, že „[z]pracování osobních údajů obsažených v PNR leteckých cestujících úřadem CBP se řídí podmínkami stanovenými v ‚Závazném prohlášení Úřadu pro cla a ochranu hranic Ministerstva pro vnitřní bezpečnost‘ ze dne 11. května 2004 a ve vnitrostátních právních předpisech USA v rozsahu uvedeném v závazném prohlášení“. Komise tak ve čtrnáctém bodě odůvodnění téhož rozhodnutí konstatuje, že „[n]ormy, podle nichž bude CBP zpracovávat údaje obsažené v PNR cestujících na základě právních předpisů USA a závazného prohlášení, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob“.
46. V důsledku toho článek 1 rozhodnutí o odpovídající úrovni ochrany stanoví:
„Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že [CBP] […] zajišťuje odpovídající úroveň ochrany údajů PNR předávaných ze Společenství v souvislosti s lety do USA nebo z USA v souladu se závazným prohlášením uvedeným v příloze“.
47. Mimoto článek 3 rozhodnutí o odpovídající úrovni ochrany stanoví, že tok údajů do CBP může být příslušnými orgány členských států pozastaven v následujících případech:
„1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky na zajištění souladu s vnitrostátními předpisy přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států využít svou stávající pravomoc pozastavit tok údajů do CBP s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a) pokud příslušný orgán USA stanovil, že CBP porušuje platné normy ochrany, nebo
b) pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBP nečiní nebo neučiní přiměřené a včasné kroky na vyřešení daného případu, pokračující předávání by vytvořilo bezprostřední nebezpečí vážné újmy subjektu údajů a příslušné orgány členského státu vynaložily v dané situaci rozumné úsilí na doručení upozornění CBP a poskytly mu příležitost k reakci.
2. Pozastavení skončí, jakmile bude zajištěno dodržování norem ochrany a toto bude oznámeno příslušným orgánům dotyčného členského státu.“
48. Členské státy jsou povinny informovat Komisi o opatřeních přijatých v souladu s článkem 3 rozhodnutí o odpovídající úrovni ochrany. Členské státy a Komise jsou krom toho na základě čl. 4 odst. 2 tohoto rozhodnutí povinny se vzájemně informovat o jakýchkoli změnách norem ochrany a o případech, v nichž se tyto normy jeví jako nedostatečně dodržované. V návaznosti na tyto informace čl. 4 odst. 3 rozhodnutí o odpovídající úrovni ochrany stanoví, že „[j]estliže informace získané podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou skutečnosti prokazující, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBP v souladu s přílohou neplní účinně svou úlohu, bude o tom CBP informován a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí“.
49. Krom toho článek 5 rozhodnutí o odpovídající úrovni ochrany stanoví pravidlo, že fungování tohoto rozhodnutí bude sledováno a že „jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES“.
50. Mimoto článek 7 rozhodnutí o odpovídající úrovni ochrany uvádí, že „[p]oužitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodlouženo v souladu s postupem stanoveným v čl. 31 odst. 2 směrnice 95/46/ES“.
51. V příloze k uvedenému rozhodnutí je připojeno závazné prohlášení CBP, které ve svém úvodu upřesňuje, že jeho předmětem je „podporovat plán“ Komise směřující k uznání existence odpovídající úrovně ochrany údajů předávaných CBP. Podle jeho znění toto prohlášení, které obsahuje celkem 48 odstavců, „nezakládá ani nepřiznává žádná práva ani výhody žádným osobám ani stranám veřejné nebo soukromé povahy“(33).
52. Při mých úvahách v podstatě uvedu obsah závazků relevantních pro řešení sporu.
53. Rozhodnutí o odpovídající úrovni ochrany konečně obsahuje přílohu „A“, která stanoví 34 údajů PNR vyžadovaných ze strany CPB od leteckých dopravců(34).
54. Toto rozhodnutí Komise je doplněno rozhodnutím Rady o uzavření mezinárodní dohody mezi Evropským společenstvím a Spojenými státy.
B – Rozhodnutí Rady
55. Rozhodnutí Rady bylo přijato na základě článku 95, ve spojení s čl. 300 odst. 2 prvním pododstavcem první větou ES.
56. Jeho první bod odůvodnění uvádí, že „[d]ne 23. února 2004 Rada zmocnila Komisi dojednat jménem Společenství dohodu se Spojenými státy americkými o zpracování a předávání údajů jmenné evidence cestujících (PNR) [CBP]“(35). Druhý bod odůvodnění tohoto rozhodnutí uvádí, že „Evropský parlament nevydal stanovisko ve lhůtě, kterou stanovila Rada podle čl. 300 odst. 3 prvního pododstavce Smlouvy s ohledem na naléhavou potřebu napravit stav nejistoty, v němž se letecké společnosti a cestující ocitli, a chránit finanční zájmy dotčených osob“.
57. Na základě článku 1 rozhodnutí Rady se dohoda schvaluje jménem Společenství. Mimoto článek 2 uvedeného rozhodnutí opravňuje předsedu Rady jmenovat osobu nebo osoby zmocněné podepsat dohodu jménem Společenství.
58. Text dohody je připojen v příloze k rozhodnutí Rady. Článek 7 uvedené dohody stanoví, že vstupuje v platnost dnem podpisu. V souladu s tímto článkem dohoda, podepsaná ve Washingtonu dne 28. května 2004, vstoupila v platnost téhož dne(36).
59. V preambuli dohody Společenství a Spojené státy uznávají, „důležitost zachovávání základních práv a svobod, zejména práva na soukromí, a důležitost respektování těchto hodnot při předcházení terorismu a zločinům s ním souvisejících a dalším vážným zločinům nadnárodní povahy, včetně organizovaného zločinu, a při boji s ním“.
60. V preambuli dohody jsou uvedeny následující předpisy: směrnice 95/46 a zejména její čl. 7 písm. c), závazky CBP, jakož i rozhodnutí o odpovídající úrovni ochrany(37).
61. Smluvní strany rovněž poznamenávají, že „letečtí dopravci, kteří mají k dispozici kontrolní systémy rezervací a odletů a nacházejí se na území členských států Evropského společenství, by měli zajistit předávání údajů PNR CBP, jakmile to bude technicky možné, ale do té doby by měly mít americké orgány přímý přístup k těmto údajům v souladu s ustanoveními této dohody“(38).
62. Odstavec 1 dohody tak stanoví, že „CBP má elektronický přístup k údajům PNR pocházejícím z kontrolních systémů rezervací a odletů leteckých dopravců […], kteří se nacházejí na území členských států Evropského společenství, přísně v souladu s tímto rozhodnutím(39) po dobu jeho použitelnosti, a dokud nebude zaveden uspokojivý systém umožňující předávání těchto údajů leteckými dopravci“.
63. Jakožto doplněk pravomoci přímého přístupu k údajům PNR takto poskytnuté CBP, ukládá odstavec 2 dohody leteckým dopravcům provozujícím zahraniční leteckou přepravu cestujících do Spojených států nebo ze Spojených států zpracovávat údaje obsažené v rezervačních systémech, „jak to vyžaduje CBP podle právních předpisů Spojených států, a přísně v souladu s tímto rozhodnutím(40) po dobu jeho použitelnosti“.
64. Krom toho v odstavci 3 dohody je upřesněno, že CBP „bere na vědomí“ rozhodnutí o odpovídající úrovni ochrany a „prohlašuje, že plní závazky k němu přiložené“. Navíc odstavec 4 uvedené dohody stanoví, že „CBP zpracovává získané údaje PNR a zachází s osobami, jichž se toto zpracování týká, v souladu s platnými zákony a ústavními požadavky Spojených států, bez protiprávní diskriminace, zejména na základě státní příslušnosti a země bydliště“.
65. Mimoto se CBP a Společenství zavazují společně a pravidelně přezkoumávat provádění této dohody(41). Tato dohoda rovněž stanoví, že „[v] případě, že bude v Evropské unii zaveden systém identifikace cestujících leteckou dopravou, jež od leteckých dopravců vyžaduje, aby poskytli příslušným orgánům přístup k údajům PNR o cestujících, jejichž stávající cesta zahrnuje let do Evropské unie nebo z Evropské unie, bude DHS [Department of Homeland Security] aktivně podporovat, pokud to bude možné a za přísného dodržování zásady vzájemnosti, spolupráci leteckých společností podléhajících jeho pravomoci“(42).
66. Navíc mimoto, že článek 7 této dohody stanoví, že vstupuje v platnost dnem podpisu, upřesňuje, že kterákoliv strana může dohodu kdykoli ukončit. V takovém případě ukončení nabývá účinnosti ve lhůtě 90 dní ode dne oznámení ukončení druhé straně. Krom toho je v tomtéž odstavci stanoveno, že dohoda může být kdykoli změněna vzájemnou písemnou dohodou.
67. Konečně odstavec 8 dohody stanoví, že „[ú]čelem této dohody není odchýlit se od právních předpisů stran nebo je měnit; tato dohoda rovněž nevytváří ani neuděluje žádné právo ani výhodu žádné osobě ani veřejnému či soukromému subjektu“.
IV – Žalobní důvody předložené Parlamentem v obou věcech
68. Ve věci C‑317/04 předkládá Parlament proti rozhodnutí Rady šest žalobních důvodů:
– chybnou volbu článku 95 ES jakožto právního základu;
– porušení čl. 300 odst. 3 druhého pododstavce ES z důvodu změny směrnice 95/46;
– porušení práva na ochranu osobních údajů;
– porušení zásady proporcionality;
– nedostatečné odůvodnění sporného rozhodnutí;
– porušení zásady loajální spolupráce stanovené v článku 10 ES.
69. Spojenému království Velké Británie a Severního Irska, jakož i Komisi bylo povoleno vstoupit do řízení na podporu návrhových žádání Rady(43). Krom toho bylo povoleno vstoupit do řízení evropskému inspektoru ochrany údajů (dále jen „EIOÚ“) na podporu návrhových žádání Parlamentu(44).
70. Ve věci C‑318/04 předkládá Parlament proti rozhodnutí o odpovídající úrovni ochrany čtyři žalobní důvody:
– překročení pravomoci;
– porušení základních zásad směrnice 95/46;
– porušení základních práv;
– porušení zásady proporcionality.
71. Spojenému království bylo povoleno vstoupit do řízení na podporu návrhových žádání Komise(45). Mimoto bylo povoleno EIOÚ vstoupit do řízení na podporu návrhových žádání Parlamentu(46).
72. Obě žaloby zanalyzuji v pořadí, ve kterém byla přijata napadená rozhodnutí. Nejprve tedy přezkoumám žalobu směřující ke zrušení rozhodnutí o odpovídající úrovni ochrany (věc C‑318/04) a poté žalobu směřující ke zrušení rozhodnutí Rady (věc C‑317/04).
V – K žalobě směřující ke zrušení rozhodnutí o odpovídající úrovni ochrany (věc C‑318/04)
A – K žalobnímu důvodu vycházejícímu z toho, že se Komise dopustila překročení pravomoci, když přijala rozhodnutí o odpovídající úrovni ochrany
1. Argumenty účastníků řízení
73. Na podporu tohoto žalobního důvodu Parlament zaprvé tvrdí, že rozhodnutí o odpovídající úrovni ochrany v rozsahu, v němž se týká uskutečňování cíle, který spadá pod veřejnou bezpečnost a trestní právo, porušuje směrnici 95/46, protože se týká oblasti, která je vyňata z oblasti působnosti uvedené směrnice. Toto vynětí je výslovně stanoveno v čl. 3 odst. 2 první odrážce směrnice 95/46 a nelze ho vykládat tak, aby byl zúžen jeho dosah. Skutečnost, že osobní údaje byly shromážděny při výkonu hospodářské činnosti, a sice prodeji letenky zakládajícím nárok na poskytnutí služeb, nemůže odůvodňovat použití uvedené směrnice, a zejména jejího článku 25, v oblasti vyňaté z jejího rozsahu působnosti.
74. Zadruhé Parlament uplatňuje, že CBP není třetí zemí ve smyslu článku 25 směrnice 95/46. Tento článek přitom ve svém odstavci 6 stanoví, že rozhodnutí Komise konstatující odpovídající úroveň ochrany osobních údajů se týká „třetí země“, tedy státu nebo podobného subjektu, a nikoliv útvaru nebo správní složky, jež je součástí výkonné moci státu.
75. Zatřetí se Parlament domnívá, že přijetí rozhodnutí o odpovídající úrovni ochrany Komisí představuje překročení pravomoci v rozsahu, v němž závazné prohlášení, které je k němu přiloženo v příloze, výslovně umožňuje předávání údajů PNR CBP jiným americkým nebo zahraničním vládním orgánům.
76. Začtvrté se Parlament domnívá, že rozhodnutí o odpovídající úrovni ochrany znamená určitá omezení a výjimky ze zásad obsažených ve směrnici 95/46, zatímco článek 13 této směrnice vyhrazuje tuto pravomoc výlučně členským státům. Přijetím rozhodnutí o odpovídající úrovni ochrany tak Komise nahradila členské státy, a porušila tak článek 13 uvedené směrnice. Prováděcím aktem směrnice 95/46 si Komise přivlastnila pravomoci striktně vyhrazené členským státům.
77. Zapáté Parlament rozvíjí argument, podle kterého zpřístupnění údajů prostřednictvím systému „pull“ (extrakce) není „předáním“ ve smyslu článku 25 směrnice 95/46, a nemůže být tedy povoleno.
78. V poslední řadě musí být podle tohoto orgánu rozhodnutí o odpovídající úrovni ochrany, vzhledem ke vzájemné závislosti mezi tímto rozhodnutím a dohodou, považováno za opatření nevhodné pro účely uložení předávání údajů PNR.
79. Na rozdíl od Parlamentu se EIOÚ domnívá, že zpřístupnění údajů osobě nebo orgánu třetí země lze považovat za předání, a článek 25 je tudíž použitelný. Domnívá se totiž, že omezit pojem na předání uskutečněné zasilatelem by umožnilo obejít podmínky uložené tímto článkem, a narušilo by tak ochranu údajů stanovenou v uvedeném článku.
80. Komise, podporovaná Spojeným královstvím, je toho názoru, že činnosti leteckých dopravců spadají do oblasti působnosti práva Společenství, a že v důsledku toho zůstává směrnice 95/46 plně použitelnou. Předmětem zavedeného režimu v rámci předávání údajů PNR tak nejsou činnosti členského státu nebo veřejných orgánů spadající mimo oblast působnosti práva Společenství.
81. Mimoto Komise podotýká, že dohoda byla podepsána jménem Spojených států a nikoliv jménem vládního útvaru. Pokud jde o následné předávání údajů PNR CBP, Komise má za to, že ochrana osobních údajů není neslučitelná s povolením takovýchto předávání, za podmínky, že podléhají vhodným a nezbytným omezením.
82. Konečně Komise podotýká, že článek 13 směrnice 95/46 není v projednávané věci relevantní a že „předávání“ ve smyslu článku 25 této směrnice spočívá v aktivním zpřístupnění údajů PNR CBP leteckými dopravci. Přezkoumávaný systém tedy zahrnuje skutečně předávání údajů ve smyslu směrnice 95/46.
2. Posouzení
83. Tímto prvním žalobním důvodem Parlament tvrdí, že rozhodnutí o odpovídající úrovni ochrany představuje porušení směrnice 95/46 a konkrétněji čl. 3 odst. 2 a článků 13 a 25 této směrnice. Uplatňuje zejména, že toto rozhodnutí nemůže být platně založeno na základním aktu, kterým je uvedená směrnice.
84. Jak jsem již uvedl, cílem směrnice je odstranit překážky toku osobních údajů za účelem vytvoření a fungování vnitřního trhu tím, že úroveň ochrany práv a svobod osob v souvislosti se zpracováním těchto údajů bude v členských státech rovnocenná.
85. Zákonodárce Společenství si rovněž přál, aby nebyl ohrožen takto zavedený ochranný režim, pokud osobní údaje opustí území Společenství. Zvolil proto systém vyžadující pro povolení předání osobních údajů do třetí země, aby uvedená země zajišťovala těmto údajům odpovídající úroveň ochrany. Směrnice 95/46 tak obsahuje zásadu, podle které pokud třetí země neposkytuje odpovídající úroveň ochrany, musí být předání osobních údajů do této země zakázáno.
86. Článek 25 uvedené směrnice ukládá členským státům a Komisi řadu povinností směřujících ke kontrole předávání osobních údajů do třetích zemí s ohledem na úroveň ochrany poskytovanou těmto údajům v každé této zemi. Stanoví rovněž způsob a kritéria umožňující se domnívat, že třetí země zajišťuje odpovídající úroveň ochrany osobních údajů, které jsou jí předávány.
87. Soudní dvůr kvalifikoval režim týkající se předávání osobních údajů do třetích zemí jako „zvláštní režim obsahující zvláštní pravidla, jehož cílem je zajistit kontrolu předávání osobních údajů do třetích zemí ze strany členských států“. Upřesnil rovněž, že se jedná „o režim doplňující režim obecný zavedený kapitolou II uvedené směrnice týkající se zákonnosti zpracování osobních údajů“(47).
88. Zvláštnost pravidel, která upravují předávání osobních údajů do třetích zemí, je vysvětlena z velké části klíčovou úlohou, kterou hraje pojem odpovídající ochrany. Za účelem vymezení dosahu tohoto pojmu je třeba ho jasně odlišit od pojmu rovnocenné ochrany, která by vyžadovala, aby třetí země uznala a skutečně uplatňovala veškeré zásady obsažené ve směrnici 95/46.
89. Pojem odpovídající ochrany znamená, že třetí země musí být schopna zajistit odpovídající ochranu podle vzoru, který je považován za přijatelný, pokud jde o stupeň ochrany osobních údajů. Takový systém založený na odpovídající úrovni ochrany zajišťované třetí zemí ponechává členským státům a Komisi významný prostor pro uvážení při jejich hodnocení záruk zavedených v zemi určení údajů. Toto hodnocení se řídí čl. 25 odst. 2 směrnice 95/46, který vypočítává některé faktory, které mohou být pro účely tohoto hodnocení vzaty v úvahu(48). V této perspektivě je pravidlem stanoveným zákonodárcem Společenství, že „[o]dpovídající úroveň ochrany poskytovanou třetími zeměmi je třeba hodnotit z hlediska všech okolností souvisejících s předáním nebo předáváním“.
90. Jak již Soudní dvůr konstatoval, směrnice 95/46 nedefinuje pojem „předávání údajů do třetí země(49). Neupřesňuje zejména, zda pojem zahrnuje pouze jednání, kdy správce aktivně sděluje osobní údaje do třetí země nebo zdali se vztahuje rovněž na případ, ve kterém je subjekt třetí země oprávněn mít přístup k údajům v některém členském státě. Tato směrnice tedy mlčí, pokud jde o to, jakým způsobem může být předávání údajů do třetí země uskutečňováno.
91. Na rozdíl od Parlamentu se domnívám, že v projednávané věci přístup k údajům PNR, který má CBP, spadá pod pojem „předávání údajů do třetí země“. Podle mého názoru je pro definici takového předávání určující pohyb údajů z některého členského státu do třetí země, v projednávaném případě do Spojených států(50). V tomto ohledu nemá význam, že je předávání uskutečňováno zasilatelem nebo příjemcem. Jak totiž upřesňuje EIOÚ, pokud by dosah článku 25 směrnice 95/46 byl omezen na předávání uskutečněná zasilatelem, bylo by snadné obejít podmínky stanovené tímto článkem.
92. Poté, co bylo toto upřesněno, je nicméně třeba trvat na skutečnosti, že kapitola IV uvedené směrnice, jejíž součástí je článek 25, nemá upravovat všechna předávání osobních údajů, jakékoliv povahy, do třetích zemí. Podle čl. 25 odst. 1 směrnice zahrnuje pouze předávání osobních údajů „které jsou předmětem zpracování nebo které mají být předmětem zpracování po předání“.
93. V tomto ohledu připomínám, že podle čl. 2 písm. b) směrnice je zpracováním osobních údajů „jakýkoli úkon nebo soubor úkonů s osobními údaji, […] jako je shromažďování, zaznamenávání, […] konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění […]“(51).
94. Bez ohledu na zvláštnost režimu předávání osobních údajů do třetích zemí, která, jak jsem ukázal, široce spočívá na pojmu odpovídající úrovně ochrany, podléhá tento režim dodržování pravidel v rozsahu působnosti směrnice 95/46, jejichž je součástí(52).
95. Aby tak bylo předávání do třetí země pokryto ustanovením článku 25 směrnice 95/46, musí se týkat osobních údajů, jejichž zpracování, bez ohledu na to, zda je opravdu uskutečňováno ve Společenství nebo pouze předpokládáno ve třetí zemi, spadá do rozsahu působnosti uvedené směrnice. Pouze za této podmínky může rozhodnutí o odpovídající úrovni ochrany platně představovat prováděcí akt směrnice 95/46.
96. V tomto ohledu připomínám, že z hlediska rationemateriae se uvedená směrnice nevztahuje na všechna zpracování osobních údajů, jež by mohla spadat do jedné kategorie úkonů uvedených v jejím čl. 2 písm. b). Článek 3 odst. 2 první odrážka směrnice 95/46 totiž stanoví, že se tato směrnice nevztahuje na zpracování osobních údajů, „prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva“(53).
97. Domnívám se přitom, že konzultace, použití a zpřístupnění údajů leteckých cestujících z rezervačních systémů leteckých dopravců nacházejících se na území členských států CBP je zpracováním osobních údajů, které se týká veřejné bezpečnosti a činností státu v oblasti trestního práva. Tato zpracování jsou v důsledku toho z oblasti působnosti směrnice 95/46 vyňata.
98. Výrazy použité v rozhodnutí o odpovídající úrovni ochrany prokazují předmět zpracování osobních údajů leteckých cestujících. Poté, co Komise uvedla, že požadavky na osobní údaje obsažené v PNR leteckého cestujícího, který má být předán CBP, vyplývají ze zákona, který USA přijaly v listopadu 2001, a z prováděcích předpisů, které CBP přijal podle tohoto zákona(54), Komise upřesňuje, že jedním z cílů předpisů Spojených států je „posílení bezpečnosti“(55). Rovněž je uvedeno, že „Společenství je plně odhodláno podporovat USA v boji proti terorismu v mezích uložených právem Společenství“(56).
99. Navíc patnáctý bod odůvodnění rozhodnutí o odpovídající úrovni ochrany stanoví, že „údaje obsažené v PNR budou využity výhradně pro účely předcházení a potírání terorismu a související trestné činnosti, jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy“.
100. Směrnice 95/46 a zejména její čl. 25 odst. 6 nemůže dle mého názoru představovat náležitý základ pro přijetí takového prováděcího aktu Komisí, jako je rozhodnutí o odpovídající úrovni ochrany osobních údajů, jež jsou předmětem zpracování, která jsou výslovně z její oblasti působnosti vyňata. Povolit na základě uvedené směrnice předávání takových údajů by totiž znamenalo zneužívajícím způsobem rozšířit oblast působnosti této směrnice.
101. Je třeba mít přitom na paměti, že směrnice 95/46, přijatá na základě článku 100a Smlouvy o ES, definuje zásady ochrany, které se musí použít na zpracování osobních údajů, pokud se na činnosti správce vztahuje rozsah působnosti práva Společenství, ale ze samotného důvodu výběru jejího právního základu nemůže upravovat činnosti státu, které se týkají veřejné bezpečnosti nebo sledují trestní cíle, které nespadají do rozsahu působnosti práva Společenství(57).
102. Je pravdou, že zpracování, kterým je shromažďování a zaznamenávání údajů leteckých cestujících leteckými společnostmi, má zpravidla obchodní účel, jelikož je přímo spojeno s průběhem letu zajišťovaného leteckým dopravcem. Je tak správné se domnívat, že údaje PNR jsou v počátku shromážděny leteckými společnostmi v rámci činnosti, která spadá pod právo Společenství, a sice prodej letenky, který zakládá nárok na poskytnutí služeb. Nicméně zpracování údajů, kterého se týká rozhodnutí o odpovídající úrovni ochrany, má zcela odlišnou povahu, jelikož pokrývá stadium následující po počátečním shromáždění údajů. Týká se totiž, jak jsem ukázal, konzultace, použití a zpřístupnění údajů leteckých cestujících z rezervačních systémů leteckých dopravců nacházejících se na území členských států CBP.
103. Ve skutečnosti se rozhodnutí o odpovídající úrovni ochrany netýká zpracování údajů nezbytného k poskytování služeb, ale k zachování veřejné bezpečnosti a trestním účelům. Takový je účel předávání a zpracování, jehož předmětem jsou údaje PNR. V důsledku toho podle mého názoru nemůže skutečnost, že osobní údaje byly shromážděny při výkonu hospodářské činnosti, odůvodňovat použití směrnice 95/46 a zejména jejího článku 25 v oblasti vyňaté z oblasti její působnosti.
104. Tyto skutečnosti podle mého názoru postačují pro závěr, jak se domnívá Parlament, že Komise neměla na základě článku 25 směrnice 95/46 pravomoc přijmout rozhodnutí o odpovídající úrovni ochrany osobních údajů předávaných v rámci a za účelem zpracování vyloučeného výslovně z rozsahu působnosti uvedené směrnice(58).
105. Toto rozhodnutí o odpovídající úrovni ochrany je tedy porušením základního aktu, kterým je směrnice 95/46, a zejména jejího článku 25, který není jeho náležitým základem. Proto se domnívám, že by mělo být zrušeno.
106. Mimoto, jelikož se domnívám, že rozhodnutí o odpovídající úrovni ochrany spadá mimo oblast působnosti směrnice 95/46, nezdá se relevantním zanalyzovat, jak vyzývá Parlament ve svém druhém žalobním důvodu, toto rozhodnutí s ohledem na základní zásady obsažené v uvedené směrnici(59). Domnívám se tedy, že není namístě tento druhý žalobní důvod přezkoumat.
107. Pokud jde o třetí a čtvrtý žalobní důvod projednávané žaloby, které uvádím jen podpůrně, podle mého názoru nemohou být analyzovány samostatně, neboť ověření případného porušení základních práv rozhodnutím o odpovídající úrovni ochrany zahrnuje nezbytně posouzení dodržení zásady proporcionality tímto aktem s ohledem na cíl, který sleduje. Navrhuji tedy Soudnímu dvoru, aby tento třetí a čtvrtý žalobní důvod přezkoumal společně.
B – K žalobním důvodům vycházejícím z porušení základních práv a z porušení zásady proporcionality
108. Parlament tvrdí, že rozhodnutí o odpovídající úrovni ochrany nerespektuje právo na ochranu osobních údajů, tak jak je zaručeno článkem 8 EÚLP. Konkrétněji se s ohledem na podmínky stanovené tímto článkem domnívá, že uvedené rozhodnutí představuje zásah do soukromí, který nelze považovat za v souladu se zákonem, neboť se jedná o opatření, které není dosažitelné a předvídatelné. Mimoto má Parlament za to, že toto opatření není přiměřené cíli, který sleduje, zejména s ohledem na nadměrný počet vyžadovaných údajů PNR a nadměrnou dobu uchovávání údajů.
109. V žalobě, kterou Parlament podal ve věci C‑317/04, která směřuje ke zrušení rozhodnutí Rady, se Parlament dovolává rovněž obou těchto žalobních důvodů na podporu argumentů, které se z velké části překrývají. Domnívám se, že tyto žalobní důvody předložené v obou věcech předložených Soudnímu dvoru musí být předmětem jediného přezkumu, jehož provedení se mi zdá relevantní v rámci mých úvah věnovaných věci C‑317/04.
110. Z argumentace účastníků řízení v jejich spisech totiž vyplývá, že je nemožné, s ohledem na právo na respektování soukromého života, posuzovat odděleně prvky režimu zpracování údajů PNR CBP(60), kterými jsou dohoda, tak jak byla schválena rozhodnutím Rady, rozhodnutí o odpovídající úrovni ochrany a závazky CBP přiložené k uvedenému rozhodnutí Komise. Účastníci řízení krom toho na některý z těchto aktů mnohokráte odkazují, aby podpořili svoje důkazy.
111. Vzájemná závislost mezi těmito třemi prvky režimu PNR výslovně vyplývá ze samotného znění dohody. Jak závazky CBP, tak i rozhodnutí o odpovídající úrovni ochrany jsou totiž uvedeny v preambuli dohody. Dále, odstavec 1 této dohody upřesňuje, že CBP má přístup k údajům PNR „přísně v souladu s rozhodnutím [o odpovídající úrovni ochrany] po dobu jeho použitelnosti“. Rovněž jestliže letečtí dopravci, kteří jsou v dohodě uvedeni, musejí podle odstavce 2 uvedené dohody zpracovávat údaje PNR, „jak to vyžaduje CBP podle právních předpisů Spojených států“, musí tomu tak být „přísně v souladu s rozhodnutím [o odpovídající úrovni ochrany] po dobu jeho použitelnosti“. Konečně odstavec 3 dohody stanoví, že „CBP bere na vědomí rozhodnutí [o odpovídající úrovni ochrany] a prohlašuje, že plní závazky k němu přiložené“.
112. Z těchto prvků vyplývá, že právo na přístup k údajům PNR přiznané dohodou CBP, jakož i povinnost zpracovávat uvedené údaje, kterou mají v dohodě uvedení letečtí dopravci, podléhají přísnému a efektivnímu použití rozhodnutí o odpovídající úrovni ochrany.
113. Vzájemná závislost mezi třemi prvky režimu PNR, jakož i skutečnost, že žalobní důvody vycházející z porušení základních práv a zásady proporcionality byly Parlamentem předloženy v obou věcech předložených k rozhodnutí Soudnímu dvoru, mě vedou k chápání těchto žalobních důvodů jako směřujících k tomu, aby Soudní dvůr konstatoval neslučitelnost režimu PNR v jeho třech prvcích, s právem na respektování soukromého života zaručeným článkem 8 EÚLP. Podle mého názoru by bylo umělé přezkoumávat rozhodnutí o odpovídající úrovni ochrany bez přihlédnutí k dohodě, která ukládá leteckým společnostem určité povinnosti, a naopak přezkoumávat tuto dohodu bez zohlednění ostatních použitelných textů, na které tento nástroj výslovně odkazuje.
114. S ohledem na skutečnost, že systém je složen z několika neoddělitelných prvků, tak nemůže být analýza uměle rozdělena.
115. Zásah do soukromí je pod tímto úhlem představován souborem, který tvoří dohoda, tak jak byla schválena rozhodnutím Rady, rozhodnutí o odpovídající úrovni ochrany a závazky CBP. Za účelem přezkumu, zda je tento zásah v souladu se zákonem, sleduje legitimní cíl a je v demokratické společnosti nezbytný, je třeba rovněž zohlednit celý takto zavedený mechanismus „o třech rychlostech“, jak to činí Parlament v obou svých žalobách. Za účelem celkového pohledu na režim PNR provedu tento přezkum v rámci žaloby směřující ke zrušení rozhodnutí Rady.
VI – K žalobě směřující ke zrušení rozhodnutí Rady (věc C‑317/04)
A – K žalobnímu důvodu vycházejícímu z chybné volby článku 95 ES jakožto právního základu rozhodnutí Rady
1. Argumenty účastníků řízení
116. Evropský parlament uplatňuje, že článek 95 ES není náležitým právním základem rozhodnutí Rady. Jeho účelem totiž není vytvoření a fungování vnitřního trhu. Cílem rozhodnutí Rady je spíše legalizovat zpracování osobních údajů uložené právními předpisy Spojených států leteckým společnostem usazeným na území Společenství. Toto rozhodnutí neupřesňuje, v jakém rozsahu přispívá tato legalizace předávání údajů do třetí země k vytvoření nebo fungování vnitřního trhu.
117. Podle Parlamentu obsah rozhodnutí Rady rovněž neodůvodňuje použití článku 95 ES jakožto právního základu. Toto rozhodnutí zakotvuje přístup CBP k rezervačnímu systému leteckých společností na území Společenství, a to za účelem uskutečňování letů mezi Spojenými státy a členskými státy v souladu s právními předpisy Spojených států, za účelem předcházení a potírání terorismu. Na uskutečňování těchto cílů se přitom článek 95 ES nevztahuje.
118. Konečně Parlament dodává, že článek 95 ES nemůže zakládat pravomoc Společenství uzavřít dotyčnou dohodu, jelikož se tato dohoda týká zpracování údajů pro účely veřejné bezpečnosti, a tedy zpracování vyňatých z oblasti působnosti směrnice 95/46, založené na uvedeném článku Smlouvy.
119. Rada má naopak za to, že její rozhodnutí bylo správně založeno na článku 95 ES. Podle Rady může být tento článek základem pro přijetí opatření směřujících k zajištění, že nebudou narušeny podmínky hospodářské soutěže na vnitřním trhu. V tomto ohledu tvrdí, že cílem dohody je odstranit veškerá narušení hospodářské soutěže mezi leteckými společnostmi z členských států a mezi těmito společnostmi a společnostmi ze třetích zemí, ke kterým by mohlo dojít na základě požadavků Spojených států z důvodů týkajících se ochrany práv a svobod osob. Podmínky hospodářské soutěže mezi společnostmi z členských států provozujícími zahraniční leteckou přepravu cestujících do Spojených států nebo ze Spojených států by mohly být narušeny, pokud by orgánům Spojených států poskytovaly přístup ke svým databázím údajů pouze některé z nich.
120. Ve stejném smyslu Rada jednak zdůrazňuje, že leteckým společnostem, které nesplní požadavky Spojených států, by mohly být uloženy orgány Spojených států pokuty, jejich lety mohly být zpožděny a tyto letecké společnosti by mohly ztratit cestující na úkor jiných leteckých společností, které uzavřely se Spojenými státy dohody. Krom toho by některé členské státy mohly ukládat sankce leteckým společnostem předávajícím dotčené osobní údaje, zatímco jiné členské státy by nemusely nezbytně jednat takovým způsobem.
121. Za těchto podmínek a při neexistenci společné právní úpravy týkající se přístupu orgánů Spojených států k údajům PNR se Rada domnívá, že by mohly být narušeny podmínky hospodářské soutěže a závažně zasažena jednotnost vnitřního trhu. Podle Rady proto bylo nezbytné zavést harmonizované podmínky upravující přístup orgánů Spojených států k uvedeným údajům při zachování požadavků Společenství, pokud jde o respektování základních práv. Jedná se o uložení harmonizovaných povinností všem dotčeným společnostem a vnější aspekt vytvoření a fungování vnitřního trhu.
122. Konečně Rada podotýká, že dohoda byla uzavřena po rozhodnutí o odpovídající úrovni ochrany přijatém na základě čl. 25 odst. 6 směrnice 95/46. Podle Rady bylo tedy běžné a správné založit rozhodnutí o uzavření dohody na stejném právním základě jako měla uvedená směrnice, a sice článku 95 ES.
123. Komise ve svém spise vedlejšího účastníka zdůrazňuje, že ustanovení preambule dohody prokazují, že pro Spojené státy byl prvořadým cílem boj proti terorismu, zatímco pro Společenství bylo hlavním cílem zachování hlavních prvků jeho právních předpisů o ochraně osobních údajů.
124. Komise podotýká, že Parlament sice kritizuje volbu článku 95 ES jakožto právního základu rozhodnutí Rady, ale nepředkládá důvěryhodnou alternativu. Podle Komise je tento článek „přirozeným“ právním základem rozhodnutí Rady, jelikož vnější rozměr ochrany osobních údajů musí být založen na článku Smlouvy, který podporuje vnitřní opatření, kterým je směrnice 95/46, a to tím spíše, že tento vnější aspekt je výslovně upraven v článcích 25 a 26 uvedené směrnice. Navíc s ohledem na úzkou souvislost a vzájemnou závislost mezi dohodou, rozhodnutím o odpovídající úrovni ochrany a závazky CBP se článek 95 ES jeví jako náležitý právní základ. Komise v každém případě tvrdí, že Rada měla pravomoc uzavřít dohodu na základě tohoto článku, neboť směrnice 95/46 by byla dotčena ve smyslu judikatury AETR(61), pokud by členské státy samostatně nebo společně uzavřely takovou dohodu mimo rámec Společenství.
125. Konečně Komise uplatňuje, že počáteční zpracování dotčených údajů je leteckými společnostmi uskutečňováno za obchodním účelem. Použití těchto údajů orgány Spojených států tak nezpůsobuje to, že by se vymykaly z dopadu směrnice.
2. Posouzení
126. Svým prvním žalobním důvodem vyzývá Parlament Soudní dvůr, aby rozhodl, zda je článek 95 ES náležitým právním základem pro rozhodnutí Rady o uzavření takové mezinárodní dohody Společenství jako je dotčená dohoda v projednávané věci. Za účelem odpovědi na tuto otázku je třeba uplatnit ustálenou judikaturu Soudního dvora, na základě které musí být volba právního základu aktu Společenství založena na objektivních prvcích, které lze soudně přezkoumat, mezi kterými je zejména cíl a obsah aktu(62). „V rámci systému pravomocí Společenství totiž nemůže výběr právního základu aktu záviset pouze na přesvědčení orgánu ohledně sledovaného cíle […]“(63).
127. Připomínám, že Soudní dvůr rozhodl, že „výběr náležitého právního základu má význam ústavní povahy. Jelikož Společenství má pouze svěřené pravomoci, musí pojit [dotčenou mezinárodní dohodu] s ustanovením Smlouvy, které ho opravňuje takový akt schválit“. Podle Soudního dvora „[p]oužití nesprávného právního základu může způsobovat neplatnost samotného aktu o uzavření, a tím narušovat souhlas Společenství být vázán dohodou, jejíž se stalo stranou“(64).
128. V souladu se způsobem analýzy použitým Soudním dvorem tedy přezkoumám, zda cíl a obsah dohody opravňovaly Radu k přijetí rozhodnutí, jehož předmětem je podle jeho článku 1 schválit uvedenou dohodu jménem Společenství, na základě článku 95 ES.
129. Pokud jde o cíl dohody, z odstavce 1 její preambule výslovně vyplývá, že sleduje dva cíle, a sice jednak předcházení terorismu a zločinům s ním souvisejícím a dalším vážným zločinům nadnárodní povahy, včetně organizovaného zločinu, a při boji proti nim(65), a jednak respektování základních práv a svobod, zejména práva na respektování soukromí.
130. Sledování cíle boje proti terorismu a dalším vážným zločinům je potvrzeno odkazem v odstavci 2 preambule dohody na zákony a nařízení Spojených států, přijaté v návaznosti na teroristické útoky ze dne 11. září 2001, jež vyžadují od každého leteckého dopravce provozujícího zahraniční leteckou přepravu cestujících do Spojených států nebo ze Spojených států, aby poskytl CBP elektronický přístup k údajům PNR, pokud jsou shromážděny a obsaženy v automatizovaném kontrolním systému rezervací a odletů leteckého dopravce.
131. Pokud jde o cíl spočívající v respektování základních práv, zejména práva na respektování soukromého života, vyplývá z odkazu na směrnici 95/46. Jedná se tak o to, zajistit přepravovaným fyzickým osobám ochranu jejich osobních údajů.
132. Tato záruka je sledována jak v rámci závazků CBP vydaných dne 11. května 2004, o kterých odstavec 4 preambule dohody uvádí, že budou zveřejněny ve federálním rejstříku, tak v rámci rozhodnutí o odpovídající úrovni ochrany, které je uvedeno v odstavci 5 této preambule.
133. Tyto dva cíle musejí být podle odstavce 1 preambule dohody sledovány současně. Dohoda, uzavřená mezi Společenstvím a Spojenými státy se tedy snaží sledovat současně tyto dva cíle, spočívá tedy na myšlence, že boj proti terorismu a dalším vážným zločinům musí být veden při respektování základních práv, zejména práva na respektování soukromého života a konkrétněji práva na ochranu osobních údajů.
134. Obsah dohody tuto analýzu potvrzuje. Její odstavec 1 totiž stanoví, že CBP má elektronický přístup k údajům PNR pocházejícím z kontrolních systémů rezervací a odletů leteckých dopravců, kteří se nacházejí na území členských států, „přísně v souladu“ s rozhodnutím o odpovídající úrovni ochrany „po dobu jeho použitelnosti“. Z toho vyvozuji, že boj proti terorismu a dalším vážným zločinům prostřednictvím přístupu k údajům PNR leteckých cestujících je povolen dohodou pouze tehdy, je‑li uznáno, že tyto údaje mají ve Spojených státech odpovídající úroveň ochrany. Obsah tohoto ustanovení dohody tak naznačuje současné sledování cílů boje proti terorismu a dalším vážným zločinům a ochranu osobních údajů.
135. Stejné zjištění je třeba učinit při přezkumu odstavce 2 dohody, který ukládá leteckým dopravcům provozujícím zahraniční leteckou přepravu cestujících do Spojených států nebo ze Spojených států, aby zpracovávali údaje obsažené v jejich rezervačních systémech, „jak to vyžaduje CBP podle právních předpisů Spojených států a přísně v souladu s rozhodnutím [o odpovídající úrovni ochrany] po dobu jeho použitelnosti“. Zde je povinnost uložená leteckým dopravcům za účelem boje proti terorismu a dalším vážným zločinům rovněž úzce spjata s odpovídající úrovní ochrany osobních údajů leteckých cestujících.
136. Cílem dalších ustanovení dohody je promítnout cíle boje proti terorismu a dalším vážným zločinům a ochrany osobních údajů leteckých cestujících.
137. Pokud jde konkrétněji o cíl ochrany osobních údajů těchto cestujících, v odstavci 3 dohody je uvedeno, že „CBP bere na vědomí rozhodnutí [o odpovídající úrovni ochrany] a prohlašuje, že plní závazky k němu přiložené“.
138. Mimoto odstavec 6 dohody upravuje případ, že bude v Evropské unii zaveden systém identifikace cestujících leteckou dopravou, jež od leteckých dopravců vyžaduje, aby poskytli příslušným orgánům přístup k údajům PNR o cestujících, jejichž stávající cesta zahrnuje let do Evropské unie nebo z Evropské unie. V případě, že bude takovéto opatření zavedeno, dohoda stanoví, že Department of Homeland Security „bude aktivně podporovat, pokud to bude možné a za přísného dodržování zásady vzájemnosti, spolupráci leteckých společností podléhajících jeho pravomoci“. Jedná se tak o ustanovení, které opět promítá cíl boje proti terorismu a dalším vážným zločinům.
139. V tomto ohledu upřesňuji v odpověď na některé argumenty předložené Komisí, že se mi jeví obtížným tvrdit, že cíl boje proti terorismu a dalším vážným zločinům je jednostranně sledován pouze Spojenými státy, zatímco výlučným cílem Společenství je chránit osobní údaje leteckých cestujících(66). Ve skutečnosti jsem toho názoru, že cílem a obsahem dohody je z pohledu všech smluvních stran současně sledovat cíl boje proti terorismu a dalším vážným zločinům a cíl ochrany osobních údajů leteckých cestujících. Dohoda tak zavádí spolupráci mezi smluvními stranami určenou právě k současnému dosažení tohoto dvojího cíle.
140. S ohledem na takto popsaný cíl a obsah dohody se domnívám, že článek 95 ES není náležitým právním základem pro rozhodnutí Rady.
141. V tomto ohledu je třeba připomenout, že čl. 95 odst. 1 ES se týká přijetí opatření ke sbližování ustanovení právních a správních předpisů členských států, jejichž účelem je vytvoření a fungování vnitřního trhu, Radou.
142. Pravomoc svěřená Společenství tímto článkem Smlouvy má horizontální povahu, není tedy omezená na určitou oblast. Rozsah pravomoci Společenství je tedy definován „na základě funkčního kritéria, pokrývajíc horizontálně všechna opatření určená k uskutečnění ‚vnitřního trhu‘“(67).
143. Navíc z judikatury Soudního dvora vyplývá, že opatření uvedená v čl. 95 odst. 1 ES mají zlepšovat podmínky vytvoření a fungování vnitřního trhu a musejí mít právě tento cíl, přispívajíc k vyloučení překážek volného pohybu zboží nebo volného pohybu služeb nebo k odstranění narušení hospodářské soutěže(68). Z této judikatury rovněž vyplývá, že ačkoliv je odkaz na článek 95 ES jakožto na právní základ možný za účelem předejití budoucím překážkám obchodu vyplývajícím z nestejnorodého vývoje vnitrostátních právních úprav, výskyt takovýchto překážek musí být pravděpodobný a předmětem dotčeného opatření musí být prevence těchto překážek(69).
144. Jak jsem již uvedl, Rada tvrdí, že její rozhodnutí bylo přijato na základě článku 95 ES právoplatně, jelikož tím, že byla odstraněna veškerá narušení hospodářské soutěže mezi leteckými společnostmi z členských států a mezi těmito společnostmi a společnostmi z třetích zemí, dohoda se Spojenými státy zabránila, aby došlo k závažnému zásahu do jednotnosti vnitřního trhu.
145. Je třeba poznamenat, že druhý bod odůvodnění rozhodnutí Rady sice uvádí „naléhavou potřebu napravit stav nejistoty, v němž se letecké společnosti a cestující ocitli, a chránit finanční zájmy dotčených osob“. Tuto větu lze chápat jako odkazující na sankce, jež mohou být uloženy příslušnými orgány Spojených států leteckým společnostem, které odmítnou poskytnout přístup k údajům PNR jejich cestujících, sankce, které mohou mít pro uvedené společnosti finanční důsledky. Je myslitelné, že v takovém případě mohou být tyto sankce, které mají pro některé společnosti nepříznivý finanční dopad, základem narušení hospodářské soutěže mezi všemi leteckými společnostmi usazenými na území členských států.
146. Je ostatně rovněž myslitelné, že odlišný postoj členských států, kdy některé zakáží pod trestem sankcí leteckým společnostem usazeným na jejich území předávání údajů PNR jejich cestujících, zatímco jiné tak nečiní, může mít vliv, byť nepřímý, na fungování vnitřního trhu působením případných narušení hospodářské soutěže, ke kterým by mezi leteckými společnostmi mohlo dojít.
147. Je nicméně nutno konstatovat, že takový cíl spočívající v zabránění narušení hospodářské soutěže v rozsahu, v němž je skutečně Radou sledován, má podpůrnou povahu vzhledem ke dvěma hlavním cílům boje proti terorismu a dalším vážným zločinům a ochrany osobních údajů cestujících, které jsou, jak jsem ukázal, výslovně uvedeny a skutečně ustanoveními dohody provedeny.
148. Cíl spočívající v zabránění narušení hospodářské soutěže bez ohledu na to, jak tvrdí Rada, zda mezi leteckými společnostmi ze členských států nebo mezi těmito společnostmi a společnostmi z třetích zemí, není v ustanoveních dohody nikde výslovně obsažen. Ve srovnání s ostatními dvěma cíli má implicitní, a tedy nezbytně podpůrnou povahu.
149. Připomínám přitom, jak již Soudní dvůr rozhodl, že „pouhá skutečnost, že akt může mít dopad na vytvoření nebo fungování vnitřního trhu, nestačí k odůvodnění použití tohoto ustanovení jako právního základu tohoto aktu“(70).
150. Z ustálené judikatury Soudního dvora zvláště vyplývá, že pokud přezkoumání aktu Společenství ukáže, že má dvojí účel nebo se týká dvou problematik a lze určit jednu z nich jako hlavní nebo převládající, zatímco druhá je pouze vedlejší, musí se akt zakládat na jediném právním základě, tedy na tom, který je vyžadován hlavním převládajícím účelem nebo problematikou(71). Pouze výjimečně pokud je prokázáno, že akt má současně několik cílů, které jsou neoddělitelně spojeny, aniž by jeden byl druhotný a nepřímý vzhledem k druhému, musí být takový akt založen na různých odpovídajících právních základech(72). Tak tomu podle mého názoru v projednávaném případě není.
151. Podotýkám ještě, že i kdyby bylo třeba se domnívat, že tři cíle jsou dohodou sledovány neoddělitelně, je nicméně pravdou, že volba Rady právně založit její rozhodnutí pouze na článku 95 ES musí být na základě této judikatury považována za nepatřičnou.
152. Ve skutečnosti ze znění druhého bodu odůvodnění rozhodnutí Rady vcelku vyplývá, že „naléhavá potřeba“, která je zmíněna posledně uvedenou, má především vysvětlit, že Parlamentu byla pro vydání stanoviska stanovena lhůta v souladu s čl. 300 odst. 3 prvním pododstavcem ES, který stanoví, že v rámci postupu uzavírání dohod „Evropský parlament zaujme stanovisko ve lhůtě, kterou může Rada stanovit podle naléhavosti věci“. Tento článek rovněž stanoví, že „[n]ezaujme‑li stanovisko v této lhůtě, může Rada jednat i bez tohoto stanoviska“. Tak tomu bylo v případě postupu, který proběhl za účelem přijetí rozhodnutí Rady.
153. Jinak řečeno, jestliže „naléhavá potřeba napravit stav nejistoty, v němž se letecké společnosti a cestující ocitli, a chránit finanční zájmy dotčených osob“ mohla být skutečně vzata v úvahu v procesu směřujícím ke stanovení režimu údajů PNR, zdá se mi, že toto zohlednění hrálo úlohu více v rámci použitého postupu, než při definici cíle a obsahu dohody.
154. Pokud jde o argument Rady a Komise, podle kterého akt týkající se vnějšího rozměru ochrany osobních údajů musí být založen na totožném právním základě jako vnitřní opatření, kterým je směrnice 95/46, je třeba uvést, že Soudní dvůr již rozhodl, že skutečnost, že konkrétní ustanovení Smlouvy bylo zvoleno jako právní základ pro přijetí vnitřních aktů, nestačí k prokázání, že tentýž základ musí být rovněž použit pro schválení mezinárodní dohody mající obdobný předmět(73). Navíc jsem prokázal, že ani hlavním cílem, ani obsahem dohody není zlepšit podmínky fungování vnitřního trhu, zatímco směrnice 95/46 přijatá na základě článku 95 ES „směřuje k zajištění volného pohybu osobních údajů mezi členskými státy harmonizací vnitrostátních pravidel chránících fyzické osoby v souvislosti se zpracováním takových údajů“(74).
155. S ohledem na předcházejí skutečnosti se domnívám, že přezkum cíle a obsahu dohody prokazuje, že článek 95 ES není náležitým právním základem rozhodnutí Rady.
156. V důsledku toho navrhuji Soudnímu dvoru, aby rozhodl, že první žalobní důvod předložený Parlamentem je opodstatněný. Z toho vyplývá, že rozhodnutí Rady musí být zrušeno z důvodu chybné volby jeho právního základu.
157. V tomto stadiu by bylo sice zajímavé zabývat se tím, jaký měl být náležitý právní základ takového rozhodnutí. Je však třeba poznamenat, že Soudnímu dvoru není tato delikátní otázka v projednávané věci položena. Učiním tedy pouze několik poznámek k tomuto problému a obecněji k povaze režimu PNR, tak jak byl sjednán se Spojenými státy.
158. Nejprve, v rozporu s názorem zastávaným Radou, okolnost, že režim PNR nebyl zaveden v rámci ustanovení Smlouvy o EU, nemůže podle mého názoru prokazovat právní platnost přístupu Rady a Komise.
159. Dále mám obecněji za to, že akt, který stanoví konzultování a použití osobních údajů subjektem, jehož funkcí je zajišťovat vnitřní bezpečnost státu, jakož i zpřístupnění těchto údajů tomuto subjektu, lze pokládat za akt o spolupráci mezi veřejnými orgány(75).
160. Navíc ukládat právnické osobě, aby prováděla takové zpracování údajů a předávala je, se mi nezdá být vzdálené od přímé výměny údajů mezi veřejnými orgány(76). Rozhodující je povinné sdělování údajů pro bezpečnostní a trestní účely, a nikoliv jeho zvláštní podmínky v takové či jiné situaci. Projednávaná věc se ve skutečnosti týká nové problematiky, která se vztahuje na použití obchodních údajů pro trestní účely(77).
161. Konečně je třeba podotknout, že Soud rozhodl, že „boj proti mezinárodnímu terorismu […] nelze spojovat s žádným z cílů, které jsou Společenství výslovně vytyčeny v článcích 2 a 3 ES“(78).
162. S ohledem na skutečnost, že má analýza prvního žalobního důvodu mě vedla k tomu, abych navrhl Soudnímu dvoru zrušit rozhodnutí Rady z důvodu chybné volby jeho právního základu, přezkoumám ostatní žalobní důvody dovolávané Parlamentem na podporu projednávané žaloby jen podpůrně.
B – K žalobnímu důvodu vycházejícímu z porušení čl. 300 odst. 3 druhého pododstavce ES z důvodu změny směrnice 95/46
1. Argumenty účastníků řízení
163. Tímto druhým žalobním důvodem Parlament tvrdí, že dohoda mezi Společenstvím a Spojenými státy mohla být schválena jménem Společenství jen při dodržení postupu upraveného v čl. 300 odst. 3 druhém pododstavci ES. Tento článek totiž stanoví, že „[…] dohody měnící akt přijatý postupem podle článku 251 se uzavírají se souhlasem Evropského parlamentu“. Podle tohoto orgánu přitom dotčená dohoda změnila směrnici 95/46, která byla přijata postupem podle článku 251 ES.
164. Podle stanoviska Parlamentu nesplňují závazky, které se orgány Spojených států zavázaly provádět v souladu s dohodou, podmínky zpracování údajů uložené směrnicí 95/46. Dohoda se tudíž odchyluje od některých základních zásad uvedené směrnice a dovoluje zpracování údajů, která nejsou směrnicí povolena. V tomto smyslu dohoda mění směrnici 95/46. Parlament zejména uvádí následující změny.
165. Zaprvé, cílem dohody je předcházení a boj proti terorismu a dalším vážným zločinům, zatímco čl. 3 odst. 2 první odrážka směrnice 95/46 vylučuje z její oblasti působnosti předávání údajů veřejnými orgány třetího státu z důvodů spojených s veřejnou bezpečností tohoto státu. Parlament poznamenává, že členské státy za tímto účelem stanovily zvláštní ustanovení v úmluvě Europol a že se lze tudíž domnívat, že se tyto dva nástroje, založené na různých právních základech, v této oblasti doplňují.
166. Zadruhé, možnost poskytnutá příslušným orgánům Spojených států mít přístup přímo k osobním údajům na území Společenství (systém „pull“) je rovněž změnou směrnice 95/46. Články 25 a 26 této směrnice totiž neobsahují žádné ustanovení povolující, aby třetí země byla oprávněna mít přístup přímo k těmto údajům.
167. Zatřetí, dohoda odkazem na závazky umožňuje, aby CBP dle svého uvážení a případ od případu předával údaje PNR jiným vládním orgánům potírání a boje proti terorismu než orgánům Spojených států. Toto uvážení ponechané orgánům Spojených států porušuje směrnici 95/46 a zejména její čl. 25 odst. 1, podle kterého „k předávání osobních údajů […] do třetích zemí může dojít […] pouze pokud dotyčná třetí země zajistí odpovídající úroveň ochrany“. Parlament se totiž domnívá, že systém ochrany stanovený uvedenou směrnicí by byl vyloučen, pokud by třetí země, která je předmětem kladného rozhodnutí o odpovídající úrovni ochrany, mohla dále volně předávat osobní údaje do dalších zemí, které nebyly Komisí zhodnoceny.
168. Začtvrté, dohoda mění směrnici 95/46 v rozsahu, v němž je CBP právně oprávněn, i když by se rozhodl nepoužít „citlivé“ osobní údaje, tyto shromáždit, což je zpracováním ve smyslu čl. 2 písm. b) této směrnice.
169. Zapáté, Parlament se domnívá, že dohoda mění uvedenou směrnici v rozsahu, v němž není dostatečně zajištěn soudní přezkum v případě porušení práv, která jsou všem osobám zaručena vnitrostátními právními předpisy použitelnými na dotčené zpracování. Subjekt údajů PNR, které jsou předávány, tak zejména nemá možnost soudního přezkumu, například v případě nesprávných údajů, které se ho dotýkají, nebo použití citlivých údajů nebo ještě předání údajů jinému orgánu.
170. Zašesté a v poslední řadě, Parlament poukazuje na nadměrnou dobu uchovávání údajů PNR předávaných CBP, což je změnou směrnice 95/46 a konkrétněji jejího čl. 6 odst. 1 písm. e), který stanoví dobu uchovávání „ne delší než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány“.
171. EIOÚ podporuje návrhová žádání Parlamentu v tom smyslu, že podle něj má dohoda dopad na směrnici 95/46. Je toho názoru, že dohoda mohla být uzavřena jen pod demokratickou kontrolou Parlamentu, jelikož se dotýká úrovně harmonizace vnitrostátních právních předpisů, tak jak je stanovena touto směrnicí, a dokonce respektování základních práv. Podle něj zásah do úrovně ochrany osobních údajů stanovené uvedenou směrnicí vyplývá zejména ze skutečnosti, že jak v systému „pull“, tak v systému „push“ jsou letečtí dopravci povinni jednat v rozporu se směrnicí, konkrétně s jejím čl. 6 odst. 1 písm. b) a c). V rozsahu, v němž tento zásah do úrovně ochrany údajů znamená změnu směrnice 95/46, se EIOÚ domnívá, že procesní záruky stanovené v čl. 300 odst. 3 druhém pododstavci ES nebyly dodrženy. Mimoto má za to, že nejsou rovněž dodrženy „hmotněprávní záruky“, zvláště proto, že závazky CBP nemají závaznou povahu.
172. Naopak Rada podporovaná Komisí má za to, že dohoda nemění směrnici 95/46. Na podporu tohoto názoru uvádí odstavec 8 uvedené dohody, podle kterého „účelem této dohody není odchýlit se od právních předpisů stran nebo je měnit“. Tvrdí rovněž, že tato směrnice dává Komisi širokou diskreční pravomoc pro posouzení odpovídající úrovně ochrany zajišťované třetí zemí. V tomto ohledu je podle Rady otázka, zda Komise překročila meze jejího posouzení, spíše předmětem žaloby na neplatnost rozhodnutí o odpovídající úrovni ochrany ve věci C‑318/04.
173. Rada rovněž připomíná, že podle jejího názoru důvody (bezpečnost, boj proti terorismu nebo jiné), které vedly CBP k vyžadování předávání údajů PNR, nejsou z pohledu Společenství ani cílem, ani obsahem dohody. Mimoto směrnice 95/46 povoluje, aby v rámci vnitřního trhu mohly být osobní údaje použity za takovými legitimními cíly, jakými je ochrana bezpečnosti státu.
174. Podle Rady v každém případě, i kdyby Společenství nemělo pravomoc dohodu uzavřít, neplyne z toho, že měl Parlament dát svůj souhlas z údajného důvodu, že dohoda mění směrnici 95/46. Rada totiž upřesňuje, že souhlas Parlamentu nemůže v žádném případě rozšiřovat rozsah pravomocí Společenství.
175. Pokud jde o možnost CBP mít přímý přístup k údajům PNR (v současné době použitelný systém „pull“ při čekání na zavedení systému „push“), Rada sice uznává, že směrnice 95/46 výslovně nezmiňuje takovou možnost, ale na druhou stranu tuto možnost nezakazuje. Z pohledu Společenství jsou důležité podmínky přístupu k údajům.
176. Komise k této argumentaci dodává, že bez ohledu na cíl, pro který jsou osobní údaje CBP použity, je nicméně pravdou, že tyto údaje jsou a zůstávají pro letecké dopravce ve Společenství obchodními údaji, na které se směrnice 95/46 vztahuje, a které musejí být v důsledku toho chráněny a zpracovávány v souladu s touto směrnicí.
2. Posouzení
177. V oblasti uzavírání mezinárodních dohod Společenstvím se konzultace Parlamentu jeví jako postup obecného práva mimo oblast společné obchodní politiky. Tato konzultace Parlamentu je uskutečňována na základě čl. 300 odst. 3 prvního pododstavce ES, včetně případu, kdy se dohoda týká oblasti, pro kterou je vyžadován za účelem přijetí vnitřních pravidel spolurozhodovací postup článku 251 ES.
178. Odchylně od tohoto postupu obecného práva, čl. 300 odst. 3 druhý pododstavec ES ukládá souhlas Parlamentu ve čtyřech případech, mezi kterými – pokud jde o případ v projednávané věci – je případ, ve kterém dohoda mění „akt přijatý postupem podle článku 251“. Jedná se o to zajistit Parlamentu jakožto spoluzákonodárci kontrolu nad případnou změnou aktu, který přijal, mezinárodní dohodou.
179. Směrnice 95/46 byla přijata podle spolurozhodovacího postupu. Parlament tedy tvrdí, že jelikož dohoda mění uvedenou směrnici, rozhodnutí Rady o schválení uvedené dohody jménem Společenství proto, aby byla dodržena pravidla stanovená Smlouvou, vyžadovalo jeho souhlas.
180. Za účelem posouzení opodstatněnosti tohoto žalobního důvodu především upřesňuji, že podle mého názoru nemá význam, že dohoda upřesňuje podle svého odstavce 8, že „účelem této dohody není odchýlit se od právních předpisů stran nebo je měnit“. Důležité pro účely uplatnění čl. 300 odst. 3 druhého pododstavce ES je totiž ověřit, zda mezinárodní dohoda mění vnitřní akt Společenství, tedy zda je jejím účinkem změna uvedeného aktu, a to bez ohledu na skutečnost, že takový není její cíl.
181. Po tomto upřesnění se zdá, že Soudní dvůr dosud nerozhodl o smyslu relativně vágního výrazu „měnící akt přijatý postupem podle článku 251“(79). Někteří autoři si v tomto ohledu kladli otázku, zda výraz znamená „změnu v rozporu s textem“ vnitřního aktu nebo zda „kterákoliv změna, i ve smyslu textu“ vnitřního aktu je dostačující proto, aby bylo vyžadováno dodržení postupu souhlasu(80).
182. Výraz použitý v čl. 300 odst. 3 druhém pododstavci ES vede rovněž k položení si otázky, zda proto, aby byl vyžadován souhlas, musí rozsah působnosti zamýšlené dohody přinejmenším částečně pokrývat rozsah působnosti přijatého vnitřního aktu nebo zda stačí pouhá skutečnost, že vnitřní akt byl přijat na právním základě použitém pro uzavření uvedené dohody(81).
183. Obecně jsem toho názoru, že pro to, aby se jednalo o „změnu“ vnitřního aktu Společenství přijatého podle spolurozhodovacího postupu mezinárodní dohodou, je jednou z podmínek, že rozsah působnosti dohody potvrzuje rozsah působnosti tohoto vnitřního aktu. V tomto případě může totiž ke změně vnitřního aktu mezinárodní dohodou dojít buď tehdy, pokud dohoda zahrnuje ustanovení, které je v rozporu s jedním z ustanovení vnitřního aktu, nebo pokud dohoda obsah vnitřního aktu doplňuje, včetně případu, kdy s ním není přímo v rozporu.
184. V projednávané věci mám za to, že dohoda nemohla změnit obsah směrnice 95/46.
185. Můj názor je založen zaprvé na skutečnosti, že jak vyplývá z mé analýzy prvního žalobního důvodu, cílem dohody je především boj proti terorismu a dalším vážným zločinům současně s ochranou osobních údajů leteckých cestujících. Cílem směrnice 95/46 je naopak zajistit volný pohyb osobních údajů mezi členskými státy harmonizací vnitrostátních předpisů chránících fyzické osoby v souvislosti se zpracováním takovýchto údajů. Oba akty mají tedy vskutku odlišné cíle, a to i přes to, že se oba dva týkají oblasti ochrany osobních údajů(82).
186. Zadruhé a v souladu se zjištěním, podle kterého jsou jejich cíle odlišné, se zdá, že dohoda a směrnice 95/46 mají odlišnou působnost. Zatímco dohoda se vztahuje na zpracování osobních údajů prováděné pro výkon činností týkajících se vnitřní bezpečnosti Spojených států a současně a konkrétněji činností týkajících se boje proti terorismu a dalším vážným zločinům, připomínám, že čl. 3 odst. 2 první odrážka uvedené směrnice výslovně vylučuje z jejího rozsahu působnosti zpracování osobních údajů „prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojena s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva“(83).
187. S ohledem na skutečnost, že v projednávané věci mají oba akty rozdílné cíle a rozsah působnosti, nechápu, jak by obsah jednoho aktu mohl změnit obsah druhého aktu. Ve skutečnosti se dohoda týká zpracování osobních údajů, u kterých zákonodárce Společenství jasně vyloučil, že by mohla být pokryta systémem ochrany zavedeným směrnicí 95/46. Tento přístup zvolený zákonodárcem Společenství je ostatně konzistentní s volbou právního základu uvedené směrnice, a sice článku 95 ES.
188. Tato analýza se mi nezdá být vyvrácena argumentem Komise, podle kterého bez ohledu na cíl, pro který jsou osobní údaje CBP použity, je nicméně pravdou, že tyto údaje jsou a zůstávají pro letecké dopravce ve Společenství obchodními údaji, na které se směrnice 95/46 vztahuje a které musejí být chráněny a zpracovávány v souladu s touto směrnicí.
189. V tomto ohledu připomínám, že jestliže je pravda, že zpracování, kterým je shromažďování a zaznamenávání údajů leteckých cestujících leteckými společnostmi, má zpravidla obchodní účel, jelikož je přímo spojeno s průběhem letu zajišťovaného leteckým dopravcem, zpracování údajů, které dohoda upravuje, má nicméně zcela jinou povahu, jelikož pokrývá jednak stadium po shromáždění údajů a jednak sleduje bezpečnostní cíl.
190. S ohledem na všechny tyto úvahy mám za to, že druhý žalobní důvod předložený Parlamentem není opodstatněný, a musí být tedy zamítnut.
191. Ze stejných důvodů, jako jsou ty, které jsem uvedl v rámci mého přezkumu věci C‑318/04(84), nyní přezkoumám společně třetí a čtvrtý žalobní důvod předložený Parlamentem, a sice porušení práva na ochranu osobních údajů a porušení zásady proporcionality.
192. Připomínám rovněž, že vzhledem ke vzájemné závislosti mezi dohodou, tak jak byla schválena rozhodnutím Rady, rozhodnutím o odpovídající úrovni ochrany a závazky CBP přiloženými k uvedenému rozhodnutí Komise, se domnívám, že s ohledem na tyto žalobní důvody musí být zanalyzován celý režim PNR(85).
C – K žalobním důvodům vycházejícím z porušení práva na ochranu osobních údajů a porušení zásady proporcionality
1. Argumenty účastníků řízení
193. Parlament tvrdí, že režim PNR porušuje právo na ochranu osobních údajů, tak jak je uznáno článkem 8 EÚLP.
194. Podle Parlamentu se dohoda tím, že stanoví, že CBP má elektronický přístup k údajům PNR pocházejícím z kontrolních systémů rezervací a odletů leteckých dopravců, kteří se nacházejí na území členských států a uvádí, že uvedení dopravci provozující zahraniční leteckou přepravu cestujících do Spojených států nebo ze Spojených států zpracovávají dotčené údaje PNR, jak to vyžaduje CPB podle právních předpisů Spojených států, týká zpracování osobních údajů, které představuje zásah do soukromého života ve smyslu článku 8 EÚLP. Stejně tak tento článek nedodržuje rozhodnutí o odpovídající úrovni ochrany.
195. Parlament upřesňuje, že proto, aby takový zásah neporušoval článek 8 EÚLP, musí být v souladu se zákonem, sledovat legitimní cíl a být pro demokratickou společnost nezbytný za účelem dosažení tohoto cíle. Domnívá se, že dohoda a rozhodnutí o odpovídající úrovni ochrany tyto podmínky nesplňují.
196. Pokud jde zaprvé o podmínku, podle které musí být zásah v souladu se zákonem, Parlament uvádí, že jak dohoda, tak i rozhodnutí o odpovídající úrovni ochrany nesplňují požadavky dosažitelnosti a předvídatelnosti zákona, které jsou vyžadovány judikaturou Evropského soudu pro lidská práva. Pokud jde jednak o požadavek dosažitelnosti zákona, Parlament má za to, že když dohoda a rozhodnutí o odpovídající úrovni ochrany odkazují obecně a nepřesně na použitelné právní předpisy Spojených států, neobsahují samy práva a povinnosti cestujících a evropských leteckých společností. Požadavek právní jistoty přitom vyžaduje, aby akt Společenství, který vytváří právní povinnosti, umožnil dotčeným seznámit se přesně s rozsahem povinností, které jim ukládá(86). Mimoto v rozporu s tím, co vyžaduje požadavek dosažitelnosti zákona, použitelné zákony Spojených států nejsou dostupné ve všech úředních jazycích Společenství. Parlament rovněž konstatuje nesprávnou povahu reference a data přijetí rozhodnutí o odpovídající úrovni ochrany v preambuli dohody. Krom toho, pokud jde o požadavek předvídatelnosti zákona, tento není splněn, neboť dohoda a rozhodnutí o odpovídající úrovni ochrany dostatečně přesně neobsahují práva a povinnosti leteckých podniků a občanů nacházejících se ve Společenství. Cestující ostatně získávají jen obecnou informaci, což je v rozporu s povinností informovat, tak jak je stanovena v článcích 10 a 11 směrnice 95/46 a čl. 8 písm. a) úmluvy č. 108. Konečně dohoda a závazky CBP obsahují řadu nepřesností neslučitelných s článkem 8 EÚLP.
197. Pokud jde zadruhé o podmínku, podle které na základě čl. 8 odst. 2 EÚLP musí zásah do práva na respektování soukromého života sledovat legitimní cíl, Parlament připouští, že tato je splněna. V tomto ohledu připomíná podporu, kterou mnohokrát vyjádřil Radě v boji proti terorismu.
198. Pokud jde zatřetí o podmínku, podle které musí být zásahem opatření, které je v demokratické společnosti nezbytné v zájmu národní bezpečnosti, veřejné bezpečnosti, hospodářského blahobytu země, předcházení nepokojům a zločinnosti, ochrany zdraví nebo morálky nebo ochrany práv a svobod jiných, Parlament se domnívá, že tato není splněna z následujících důvodů:
– z odstavce 3 závazků CBP vyplývá, že zpracování údajů není omezeno pouze na cíl bojovat proti terorismu, ale jeho účelem je rovněž předcházení a potírání jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy. V rozsahu, v němž zpracování údajů překračuje pouze boj proti terorismu, není nezbytné pro uskutečnění sledovaného legitimního cíle;
– dohoda stanoví předávání nadměrného počtu údajů (34), a nedodržuje tak zásadu proporcionality. Z hlediska zachování odpovídající úrovně ochrany osobních údajů se 19 z 34 údajů jeví přijatelnými. Parlament má za to, že existuje „značný rozdíl“ mezi počtem údajů stanoveným srovnatelnými právními nástroji použitelnými na úrovni Evropské unie, a počtem vyžadovaným na základě dohody(87). Krom toho některé vyžadované údaje PNR mohou obsahovat citlivé údaje;
– údaje jsou uchovávány orgány Spojených států s ohledem na sledovaný cíl příliš dlouho. Ze závazků CBP totiž vyplývá, že po on‑line přístupu k údajům oprávněných uživatelů CBP po dobu sedmi dnů jsou všechny údaje uchovávány po dobu tří let a šesti měsíců, poté jsou údaje, k nimž byl vyžádán manuální přístup, přesunuty CBP do souboru vymazaných záznamů, ve formě nezpracovaných údajů, kde zůstanou po dobu osmi let, než budou zničeny. Srovnání s informačními systémy například v rámci prováděcí úmluvy k Schengenské dohodě, úmluvy Europol a rozhodnutí Eurojust, které stanoví dobu uchovávání od jednoho do tří let, prokazuje nadměrný charakter uvedené doby v závazcích;
– dohoda nestanoví soudní přezkum zpracovávání údajů orgány Spojených států. Navíc, jelikož dohoda a závazky nevytvářejí práva pro osoby, jejichž osobní údaje jsou zpracovávány, Parlament nevidí možnost, jak by se jich tyto osoby mohly před soudy Spojených států dovolávat;
– dohoda umožňuje předávání údajů jiným veřejným orgánům; jde tak nad rámec toho, co je nezbytné pro potírání terorismu.
199. EIOÚ tvrdí, že zpracování šesti kategorií údajů je zjevně zásahem do práva na respektování soukromého života(88). Tento zásah vyplývá rovněž z možnosti složit na základě těchto údajů osobní profily. EIOÚ podporuje argumenty Parlamentu směřující k prokázání, že zásah není odůvodněný s ohledem na čl. 8 odst. 2 EÚLP. Má rovněž za to, že úroveň ochrany poskytovaná CBP není odpovídající ve smyslu článku 25 směrnice 95/46 zejména proto, že není dodržen článek 8 EÚLP.
200. Rada a Komise se naopak domnívají, že režim PNR dodržuje podmínky stanovené v čl. 8 odst. 2 EÚLP, tak jak jsou vykládány Evropským soudem pro lidská práva.
201. Pokud jde zaprvé o podmínku, podle které musí být zásah v souladu se zákonem, Rada má za to, že není nezbytné za účelem splnění požadavku dosažitelnosti zákona, aby text dohody sám obsahoval všechna ustanovení, která by se případně mohla dotknout subjektů údajů. Není v rozporu s právem stanovit v dohodě odkaz na rozhodnutí o odpovídající úrovni ochrany a závazky CBP k tomuto rozhodnutí přiložené, jelikož všechny tyto texty byly zveřejněny v Úředním věstníku Evropské unie. Posláním posledně uvedeného není ostatně zveřejňovat zákony třetích zemí. Pokud jde o chybnou referenci rozhodnutí o odpovídající úrovni ochrany, která je v preambuli dohody, Rada uvádí, že přijme nezbytná ustanovení, aby byla v Úředním věstníku zveřejněna oprava, ale domnívá se, že tyto chyby technické povahy se nedotýkají dosažitelnosti dotčených aktů ve smyslu judikatury Evropského soudu pro lidská práva. Pokud jde o podmínku týkající se předvídatelnosti zákona, Rada má za to, že skutečnost, že závazky CBP, jakož i ústavní zákony a požadavky Spojených států nebyly in extenso převzaty samotnou dohodou, není porušením tohoto požadavku. Mimoto dostatečně přesné závazky CBP umožňují subjektům údajů přizpůsobit své chování.
202. Pokud jde zadruhé o podmínku, podle které musí zásah sledovat legitimní cíl, Rada uvádí, že boj proti jiným vážným zločinům, než je terorismus, spadá do několika kategorií legitimních zájmů uvedených v čl. 8 odst. 2 EÚLP (zejména veřejná bezpečnost, předcházení nepokojům a zločinnosti). Dohoda a závazky CBP tak sledují legitimní cíl rovněž v rozsahu, v němž se týkají těchto dalších vážných zločinů.
203. Rada má zatřetí za to, že zásah je přiměřený sledovanému cíli. Konkrétněji uplatňuje, že kategorie údajů PNR vyžadované CBP jsou potřebné pro předcházení teroristickým útokům nebo organizované zločinnosti, jakož i pro usnadnění vyšetřování, která po útocích následují, usnadňujíce tak úkol identifikace osob spojených s teroristickými skupinami nebo organizovaným zločinem. Pokud jde o počet předávaných údajů PNR, srovnání s informačními systémy existujícími v rámci Evropské unie není relevantní, neboť krom toho, že tyto systémy mají jiný cíl a obsah, než jsou ty režimu PNR, nezbytnost sledovat profil potenciálních teroristů vyžaduje mít přístup k vyššímu počtu údajů. Pokud jde o údaje PNR, které by podle Parlamentu mohly obsahovat citlivé údaje(89), Rada podotýká, že přístup CBP k těmto třem údajům byl striktně omezen na základě odstavce 5 závazků převzatých CBP(90). Navíc podle závazků č. 9, 10 a 11 je v každém případě vyloučeno, aby CBP mohl citlivé údaje použít(91). Pokud jde o dobu uchovávání údajů PNR, Rada má za to, že s ohledem na skutečnost, že vyšetřování následující po útocích trvají někdy několik let, běžná doba uchovávání stanovená na tři roky a šest měsíců, s výjimkou zvláštních případů, kdy může být tato doba delší, je vyváženým řešením. Mimoto není důvod se domnívat, že neexistuje nezávislý systém přezkumu. Konečně, předávání údajů jiným vládním orgánům je doprovázeno dostatečnými zárukami; CBP konkrétně může předávat údaje jiným veřejným orgánům jen případ od případu a pouze pro účely předcházení a potírání terorismu a dalších vážných zločinů.
204. Podle Komise není pochyb, že soubor, který tvoří dohoda, rozhodnutí o odpovídající úrovni ochrany a závazky CBP, připouští, že může docházet k určitému zásahu do soukromého života různé závažnosti podle předávaných údajů. Tento zásah je v souladu se zákonem, uvedený soubor tedy sleduje legitimní cíl, a sice vyřešení kolize mezi zákonem Spojených států bezpečnostní povahy a normami Společenství týkajícími se ochrany osobních údajů, a je nezbytný za účelem dosažení tohoto cíle v demokratické společnosti.
205. Spojené království má za to, že v rámci analýzy případného porušení práva na ochranu osobních údajů musí být rozhodnutí Rady, dohoda, rozhodnutí o odpovídající úrovni ochrany a závazky CBP přezkoumány společně, neboť jsou úzce spojenými právními nástroji. Domnívá se rovněž, že musí být přezkoumána dosažitelnost a předvídatelnost použitelného práva Společenství a nikoliv zákonů, které se použijí na území Spojených států. Jestliže se vezme současně dohoda, rozhodnutí o odpovídající úrovni ochrany a závazky CBP, právo Společenství obsahuje podle názoru Spojeného království jasné a úplné uvedení právního stanoviska všech dotčených stran. Mimoto nesdílí názor, podle kterého jsou závazky CBP jednostranné již svou povahou a mohou být Spojenými státy beztrestně změněny nebo odvolány.
206. K nezbytnosti zásahu Spojené království nejprve zdůrazňuje, že potírání dalších vážných zločinů je jasně stanoveno jako cíl dohody a představuje cíl veřejného pořádku, který je stejně legitimní, jako je boj proti terorismu. Spojené království se dále domnívá, že řada údajů, které mohou být předávány, doba jejich uchovávání a možnost jejich předání jiným orgánům odpovídají a jsou přiměřené těmto cílům s přihlédnutím zejména k četným zárukám, které jsou zahrnuty v závazcích a rozhodnutí o odpovídající úrovni ochrany, za účelem omezení nebezpečí pro soukromý život cestujících. Upřesňuje konečně, že podle něj musí být kritérium proporcionality použito na základě zároveň judikatury Soudního dvora a Evropského soudu pro lidská práva, s přihlédnutím k povaze a významu dotčených cílů.
2. Posouzení
207. Těmito žalobními důvody Parlament tvrdí, že rozhodnutí Rady, jakož i rozhodnutí o odpovídající úrovni ochrany porušují právo na ochranu osobních údajů, tak jak je zaručeno zejména článkem 8 EÚLP.
208. Podle ustálené judikatury jsou základní práva nedílnou součástí obecných právních zásad, jejichž dodržování Soudní dvůr zajišťuje(92). Za tímto účelem Soudní dvůr vychází z ústavních tradic společných členským státům, jakož i z poznatků, které skýtají mezinárodně právní instrumenty týkající se ochrany lidských práv, na jejichž tvorbě členské státy spolupracovaly nebo k nimž přistoupily. Má za to, že „zvláštní význam“ přísluší v této souvislosti EÚLP(93). Ve Společenství tedy nejsou přípustná opatření neslučitelná s dodržováním takto uznaných a zaručených lidských práv(94). Tyto zásady byly převzaty v čl. 6 odst. 2 EU.
209. Při vypracovávání této judikatury považoval Soudní dvůr za nezbytné začlenit do právních předpisů Společenství právo na respektování soukromého života(95). Právo na ochranu osobních údajů je jedním z aspektů práva na respektování soukromého života, a je tedy chráněno článkem 8 EÚLP, včetně v právním řádu Společenství, prizmatem obecných právních zásad.
210. Přezkoumám, zda je režim PNR porušením práva na respektování soukromého života, provedením analýzy, tak jak vyplývá ze znění článku 8 EÚLP. Poté, co ověřím, zda uvedený režim představuje zásah do soukromého života leteckých cestujících, tak určím, zda je tento zásah řádně odůvodněný.
a) K existenci zásahu do soukromého života
211. O existenci zásahu do soukromého života prostřednictvím souboru, který tvoří rozhodnutí Rady schvalující dohodu, rozhodnutí o odpovídající úrovni ochrany a závazky CBP, není podle mého názoru pochyb. Zdá se mi totiž jasné, že konzultace, použití a zpřístupnění údajů leteckých cestujících pocházejících z kontrolních systémů rezervací a odletů leteckých dopravců, kteří se nacházejí na území členských států, ze strany CBP, je vměšováním se veřejných orgánů do soukromého života těchto cestujících.
212. Upřesňuji rovněž, že zásah do soukromého života leteckých cestujících se mi zdá prokázán, i když by některé údaje PNR, vzaty samostatně, mohly být zanalyzovány individuálně jako nezasahující do soukromého života dotyčných cestujících. Zdá se mi totiž nezbytným vzít seznam údajů PNR vyžadovaných CBP globálně, a to v rozsahu, v němž může shromáždění těchto údajů umožnit vytvoření osobních profilů.
213. Zásah do soukromého života porušuje právo na respektování soukromého života, ledaže by byl řádně odůvodněný.
b) K odůvodnění zásahu do soukromého života
214. Aby byl zásah do soukromého života přípustný, musí být splněny tři podmínky: zásah musí být v souladu se zákonem, sledovat legitimní cíl a být v demokratické společnosti nezbytný.
i) Je zásah v souladu se zákonem?
215. Podle ustálené judikatury Evropského soudu pro lidská práva tato podmínka předpokládá, že předmětné opatření má právní základ a dotýká se rovněž kvality dotčeného zákona(96). Přezkum kvality zákona znamená, že tento zákon musí být dosažitelný občanům, přesný a ve svých důsledcích předvídatelný. To předpokládá, že s dostatečnou přesností definuje podmínky a způsoby omezení zaručeného práva, aby umožnil občanům přizpůsobit své chování a mít náležitou ochranu před svévolí(97).
216. Parlament uplatňuje, že opatření, které stanoví zásah, není co do důsledků ani dosažitelné, ani předvídatelné. Tento názor nesdílím.
217. Mám naopak za to, že znění rozhodnutí Rady a dohody, která je k němu připojena, jakož i znění rozhodnutí o odpovídající úrovni ochrany, ke kterému jsou přiloženy závazky CBP, umožňují dotyčným subjektům údajů, a sice leteckým společnostem a leteckým cestujícím, aby byli dostatečně přesným způsobem informováni pro účely přizpůsobení svého chování.
218. V tomto ohledu poukazuji na relativně podrobnou povahu 48 odstavců závazného prohlášení CBP, které poskytují upřesnění o použitelném právním rámci. Navíc rozhodnutí o odpovídající úrovni ochrany ve své preambuli odkazuje na relevantní zákon Spojených států a prováděcí předpisy, které CBP přijal podle daného zákona(98). Zdá se mi tudíž nepřiměřeným vyžadovat, aby použitelné právní a správní předpisy Spojených států byly předmětem úplného zveřejnění v Úředním věstníku Evropské unie. Mimoto, že posláním posledně uvedeného není, jak uvádí Rada, zveřejňovat zákony třetích zemí, domnívám se, že závazné prohlášení CBP, které bylo v Úředním věstníku zveřejněno, obsahuje základní informace o postupu použití údajů CBP a zárukách, které uvedený postup provázejí.
219. V souladu s požadavkem právní jistoty jsou letecké společnosti, kterých se režim PNR týká, informovány o povinnostech, které jsou jim na základě dohody uloženy, a letečtí cestující jsou informováni o svých právech, zejména pokud jde o přístup k údajům a jejich opravu(99).
220. S ohledem na vzájemnou závislost mezi prvky tvořícími režim PNR je sice třeba vyjádřit lítost, že preambule dohody obsahuje chyby, pokud jde o referenci a datum rozhodnutí o odpovídající úrovni ochrany. Tyto chyby totiž činí složitějším postup evropského občana, který by si přál být informován o obsahu režimu sjednaného se Spojenými státy. Nečiní nicméně podle mého názoru velmi obtížným takovéto vyhledání, jelikož rozhodnutí o odpovídající úrovni ochrany bylo zveřejněno v Úředním věstníku a nástroje vyhledávání, zejména informatické, snadno umožňují jeho nalezení. Mimoto se Rada zavázala, že v Úředním věstníku bude zveřejněna oprava, což skutečně učinila(100).
221. S ohledem na tyto úvahy mám za to, že zásah do soukromí dotyčných leteckých cestujících musí být považován „za v souladu se zákonem“ ve smyslu čl. 8 odst. 2 EÚLP.
ii) Sleduje zásah legitimní cíl?
222. S ohledem na různé cíle uvedené v čl. 8 odst. 2 EÚLP se domnívám, že zásah do soukromého života, který je předmětem v projednávané věci, sleduje legitimní cíl. Je tomu tak zejména, pokud jde o boj proti terorismu.
223. Jako Rada se domnívám, že boj proti jiným vážným zločinům, než je terorismus(101) spadá rovněž do několika kategorií legitimních zájmů uvedených v čl. 8 odst. 2 EÚLP, jako je národní bezpečnost, veřejná bezpečnost, předcházení nepokojům a zločinnosti. Domnívám se proto, že režim PNR sleduje legitimní cíl rovněž v rozsahu, v němž se týká těchto dalších vážných zločinů.
224. Nyní je třeba ověřit přiměřenost zásahu položením otázky, zda je tento zásah v demokratické společnosti nezbytný za účelem předcházení a potírání terorismu a dalších vážných zločinů.
iii) Je zásah v demokratické společnosti nezbytný pro dosažení takového cíle?
225. Před provedením přesného ověření dodržení této podmínky přiměřenosti učiním několik předběžných poznámek týkajících se rozsahu přezkumu vykonávaného Soudním dvorem.
226. Podle Evropského soudu pro lidská práva znamená přídavné jméno „nezbytné“ ve smyslu čl. 8 odst. 2 EÚLP, že je dotčena „kategorická sociální potřeba“ a že přijaté opatření je „přiměřené sledovanému legitimnímu cíli“(102). Mimoto, „vnitrostátní orgány mají prostor pro uvážení, jehož rozsah závisí nejen na cíli, ale také na vlastním charakteru zásahu“(103).
227. V rámci přezkumu prostoru pro uvážení států Evropský soud pro lidská práva tradičně ověřuje, zda jsou důvody dovolávané na podporu zásahu relevantní a dostatečné, poté, zda je zásah přiměřený sledovanému legitimnímu cílu a ověřuje tedy, zda bylo dosaženo rovnováhy mezi obecným zájmem a zájmy jednotlivce(104). Vycházejíc z této judikatury tak může být poznamenáno, že „[z]ásada proporcionality, která vyjadřuje požadavek přiměřenosti mezi legitimním cílem a prostředky použitými k jeho dosažení, je tedy jádrem přezkumu vnitrostátního prostoru pro uvážení“(105).
228. Přezkum přiměřenosti prováděný Evropským soudem pro lidská práva se liší v závislosti na takových kritériích, jako je povaha práva a dotčených činností, cíl zásahu a případná existence společného jmenovatele právním systémům států.
229. Pokud jde o povahu práva a dotčených činností, pokud se jedná o právo, které se úzce dotýká intimní sféry jednotlivce, jako je právo na důvěrné zacházení s osobními údaji týkajícími se zdraví(106), zdá se, že se Evropský soud pro lidská práva domnívá, že prostor pro uvážení státu je omezený a že jeho soudní přezkum musí být přísnější(107).
230. Nicméně, pokud cíl zásahu spočívá v ochraně národní bezpečnosti(108) nebo boji proti terorismu(109), Evropský soud pro lidská práva přiznává státům široký prostor pro uvážení.
231. S ohledem na povahu a význam cíle boje proti terorismu, který se zdá být v rámci režimu PNR převažujícím a vzhledem k politicky citlivému kontextu, ve kterém proběhla jednání mezi Společenstvím a Spojenými státy, mám za to, že v projednávané věci by se Soudní dvůr měl domnívat, že Rada a Komise měly za účelem sjednání obsahu režimu PNR s orgány Spojených států široký prostor pro uvážení. Z toho vyplývá, že aby byl tento široký prostor pro uvážení zachován, musí se dle mého názoru přezkum Soudního dvora ohledně nezbytnosti zásahu omezit na ověření případného zjevně nesprávného posouzení ze strany obou těchto orgánů(110). Výkonem takového omezeného přezkumu se tak Soudní dvůr vyhne tomu, že by nahrazoval posouzení politických orgánů Společenství, ohledně povahy nejvhodnějších a nejpříhodnějších prostředků boje proti terorismu a dalším vážným zločinům, svým vlastním posouzením.
232. Za účelem stanovení rozsahu přezkumu, který zamýšlí provést, by se Soudní dvůr mohl kromě výše uvedené judikatury Evropského soudu pro lidská práva opřít o svou vlastní judikaturu, ve které se domnívá, že pokud má orgán Společenství v určité oblasti širokou posuzovací pravomoc, „[…] pouze zjevně nepřiměřená povaha opatření přijatého v této oblasti ve vztahu k cíli, který příslušný orgán zamýšlí sledovat, může ovlivnit legalitu takového opatření“(111). Toto omezení přezkumu přiměřenosti „se obzvláště uplatní“, pokud „je Rada povinna uvést v soulad rozličné zájmy, a tedy činit rozhodnutí v rámci politických voleb spadajících do její vlastní odpovědnosti“(112). Omezení přezkumu může být též odůvodněno okolností, že v dané oblasti činnosti byl orgán Společenství přiveden k provádění složitých posouzení(113).
233. Zdá se mi, že tuto judikaturu a důvody, které jsou v jejím pozadí, je nutno použít v projednávané věci v rozsahu, v němž v rámci přípravy režimu PNR činily Rada a Komise politické volby mezi různými obtížně smiřitelnými zájmy a složitá posouzení(114). Je to v souladu se zásadou oddělení mocí, která Soudnímu dvoru ukládá respektovat politické odpovědnosti, které mají zákonodárné a správní orgány Společenství, a v důsledku toho je nenahrazovat v politických volbách, které provádějí.
234. Nyní je třeba právě ověřit, zda přijetím různých prvků, které tvoří režim PNR, Rada a Komise zjevně překročily meze svého prostoru pro uvážení s ohledem na právo na respektování soukromého života, a konkrétněji na právo na ochranu osobních údajů leteckých cestujících, vzhledem ke sledovanému legitimnímu cíli.
235. V rámci tohoto přezkumu má zvláštní význam obsah závazného prohlášení CBP v rozsahu, v němž toto prohlášení obsahuje podrobné záruky, které režim PNR doprovázejí. V tomto ohledu podotýkám, že podle mého názoru by bylo chybné se domnívat, že uvedené prohlášení nemá žádný závazný účinek a že obsahuje závazky, které mohou být orgány Spojených států volně měněny či odvolány.
236. Závazné prohlášení, které je, připomínám, v příloze rozhodnutí o odpovídající úrovni ochrany, totiž představuje jednu z problematik režimu PNR, a jeho nedodržení by proto vedlo k paralyzování celého režimu. V tomto ohledu zdůrazňuji, že podle odstavců 1 a 2 dohody musí ke zpracování údajů PNR, což je povinností, kterou mají letečtí dopravci, docházet přísně v souladu s rozhodnutím o odpovídající úrovni ochrany, přičemž tato povinnost platí „po dobu jeho použitelnosti“. Navíc podle odstavce 3 dohody CBP „prohlašuje, že plní závazky k němu přiložené“. Konečně články 3, 4 a 5 rozhodnutí o odpovídající úrovni ochrany definují opatření, která je třeba přijmout, v případě nedodržení norem ochrany obsažených v závazném prohlášení. Mezi těmito opatřeními je stanoveno, že příslušné orgány členských států mohou pozastavit tok údajů do CBP a že v případě nedodržování základních zásad nutných pro odpovídající úroveň ochrany subjektů údajů bude moci být rozhodnutí o odpovídající úrovni ochrany pozastaveno nebo zrušeno, v důsledku čehož se odstavce 1 a 2 dohody stanou nepoužitelnými.
237. Proto, aby Soudní dvůr konstatoval, že zásah do soukromého života těchto cestujících nerespektuje zásadu proporcionality, se Parlament dovolává zaprvé nadměrného počtu údajů vyžadovaných CBP po leteckých společnostech. Krom toho má za to, že některé vyžadované údaje PNR mohou obsahovat citlivé údaje.
238. Mám za to, že když Komise stanovila seznam 34 osobních údajů, tak jak je přiložen k rozhodnutí o odpovídající úrovni ochrany, nepřijala zjevně nepřiměřené opatření pro dosažení cíle boje proti terorismu a dalším vážným zločinům. Jednak je totiž třeba zdůraznit význam informování v boji proti terorismu, jelikož získání patřičných informací může bezpečnostním službám státu umožnit zabránit případnému teroristickému útoku. V této perspektivě může nezbytnost sledovat profil potenciálních teroristů vyžadovat přístup k vysokému počtu údajů. Krom toho okolnost, že jiné nástroje týkající se výměny informací přijaté v Evropské unii stanoví sdělování nižšího počtu údajů, nestačí k prokázání nadměrného počtu údajů vyžadovaných ve zvláštním nástroji boje proti terorismu, kterým je režim PNR(115).
239. Mimoto, jestliže je správné uvést, jak to činí Parlament, že tři z vyžadovaných údajů mohou obsahovat citlivé údaje(116), podotýkám jednak, že přístup CBP k těmto třem údajům je striktně omezen na základě odstavce 5 závazného prohlášení, a jednak, že na základě odstavců 9 až 11 uvedeného prohlášení je vyloučeno, aby CBP mohl použít citlivé údaje, a konečně, že byl CBP zaveden systém filtrování uvedených údajů v souladu se závazkem převzatým posledně uvedeným(117).
240. Parlament se zadruhé domnívá, že údaje PNR leteckých cestujících jsou s ohledem na sledovaný cíl orgány Spojených států uchovávány příliš dlouho.
241. Doba uchovávání těchto údajů je uvedena v odstavci 15 závazného prohlášení, který v podstatě stanoví on-line přístup k uvedeným údajům oprávněným uživatelům CBP na počáteční dobu sedmi dnů. Poté se počet úředníků s oprávněním přístupu k údajům PNR dále zúží na dobu tří let a šesti měsíců. Konečně po uplynutí tohoto druhého období jsou údaje PNR, k nimž si během této doby nikdo nevyžádal manuální přístup, zničeny, zatímco údaje, k nimž byl během tří let a šesti měsíců vyžádán přístup, přesune CBP do souboru vymazaných záznamů, kde zůstanou po dobu osmi let, než budou zničeny(118).
242. Z tohoto ustanovení vyplývá, že běžná doba uchovávání údajů PNR je tři roky a šest měsíců, s výjimkou údajů PNR u kterých byl během tohoto období vyžádán manuální přístup. Mám za to, že tato doba není zjevně nadměrná s ohledem zejména na skutečnost, že, jak uvádí Rada, vyšetřování, která mohou být vedena po teroristických útocích nebo dalších vážných zločinech, někdy trvají několik let. Jestliže je tak v zásadě žádoucí, aby osobní údaje byly uchovávány po krátkou dobu, je v projednávané věci třeba posuzovat dobu uchovávání údajů PNR s přihlédnutím k užitečnosti, kterou mají, nejen pro účely předcházení terorismu, ale rozsáhleji pro trestní účely.
243. S ohledem na tyto úvahy se mi režim uchovávání údajů, tak jak je stanoven v odstavci 15 závazného prohlášení, nezdá být zjevným porušením práva na respektování soukromého života.
244. Parlament zatřetí vytýká režimu PNR, že nestanoví soudní přezkum zpracování osobních údajů orgány Spojených států.
245. Podotýkám, že jak úmluva č. 108, tak i směrnice 95/46 stanoví existenci soudního přezkumu v případě porušení ustanovení vnitrostátního práva provádějících pravidla obsažená v těchto dvou nástrojích(119).
246. S ohledem na čl. 8 odst. 2 EÚLP jsem toho názoru, že pravidla definovaná v odstavcích 36 a následujících závazného prohlášení, které stanoví řadu záruk prostřednictvím oznamování, přístupu k údajům a možnostem nápravy pro dotyčné letecké cestující, umožňují případným zneužitím zabránit. Soubor těchto záruk mě vede k tomu se domnívat, že s ohledem na široký prostor pro uvážení, který musí být dle mého názoru v projednávaném případě Radě a Komisi přiznán, je zásah do soukromého života leteckých cestujících přiměřený legitimnímu cíli sledovanému režimem PNR.
247. Konkrétněji je namístě poznamenat, že mimo obecné informace, které se CBP zavázal sdělovat leteckým cestujícím(120), odstavec 37 závazného prohlášení stanoví, že subjekty údajů mohou podle zákona o svobodě informací(121) získat kopii údajů PNR obsažených v databázích CBP, které se jich týkají(122).
248. Odstavec 38 závazného prohlášení sice stanoví možnost CBP „[z]a určitých výjimečných okolností“ odmítnout nebo odložit zpřístupnění celého PNR nebo jeho části, například pokud by v případě zpřístupnění „mohlo být důvodně očekáváno, že tím dojde k zásahu do vyšetřování v souvislosti s prosazováním práva“ nebo „by došlo ke zveřejnění metod a postupů vyšetřování v souvislosti s prosazováním práva“. Mimo skutečnost, že tato možnost, kterou může využít CBP, je vymezena zákonem, je třeba nicméně poznamenat, že podle téhož odstavce závazného prohlášení podle FOIA „má kterýkoli žadatel právo správně a soudně napadnout rozhodnutí CBP odmítající zpřístupnit informace“(123).
249. Mimoto, pokud jde o žádosti o opravu údajů PNR obsažených v databázi CBP a stížnosti osob týkající se způsobu, jakým CBP nakládá s jejich údaji PNR, odstavec 40 závazného prohlášení stanoví, že musejí být podány „Assistant Commissioner“ CBP(124).
250. V případě, že CBP nemůže stížnost vyřídit, musí být zaslána „vedoucímu Úřadu na ochranu soukromí DHS“ („Chief Privacy Officer“)(125).
251. Krom toho podle odstavce 42 závazného prohlášení je stanoveno, že „Úřad na ochranu soukromí DHS bude kromě toho přednostně vyřizovat stížnosti, které mu předají orgány na ochranu údajů ve členských státech Evropské unie (EU) zastupující osoby s pobytem v EU, a to v rozsahu, v němž tyto osoby oprávnily příslušný orgán na ochranu údajů, aby jednal v jejich zastoupení, a do jaké míry jsou přesvědčeny, že jejich stížnost týkající se ochrany údajů nebyla uspokojivě vyřízena CBP (jak je vymezeno v odstavcích 37 až 41) nebo Úřadem na ochranu soukromí DHS“.
252. Odstavec 42 stanoví rovněž, jednak že uvedený Úřad „oznámí své závěry a bude příslušný úřad nebo orgán na ochranu údajů informovat o případně podniknutých krocích“ a jednak že Chief Privacy Officer „ve své zprávě Kongresu uvede i informace o čísle, podstatě a vyřízení stížností týkajících se nakládání s osobními údaji, jako např. PNR“(126).
253. Parlament správně uvádí, že Chief Privacy Officer není soudním orgánem. Podotýkám nicméně, že se jedná o správní orgán mající určitý stupeň nezávislosti ve vztahu k ministerstvu pro vnitřní bezpečnost a jeho rozhodnutí mají závazný účinek(127).
254. Takto organizovaná možnost leteckých cestujících podat stížnost k Chief Privacy Officer a možnost soudního přezkumu v rámci FOIA tudíž představují významné záruky s ohledem na jejich právo na respektování soukromého života. Z důvodu těchto záruk mám za to, že Rada a Komise při přijímání režimu PNR nepřekročily meze svého prostoru pro uvážení.
255. Parlament má konečně za to, že režim PNR jde nad to, co je nezbytné pro potírání terorismu a dalších vážných zločinů, v rozsahu, v němž umožňuje předávat údaje leteckých cestujících jiným veřejným orgánům. Podle Parlamentu má CBP diskreční pravomoc pro předávání údajů PNR jiným veřejným orgánům, včetně cizích vládních orgánů, což je neslučitelné s čl. 8 odst. 2 EÚLP.
256. Tento názor nesdílím. Podle mého názoru zde opětovně záruky, které doprovázejí předávání údajů PNR jiným vládním orgánům, umožňují domnívat se, že zásah do soukromého života leteckých cestujících má přiměřenou povahu za účelem dosažení cíle sledovaného režimem PNR.
257. I když závazné prohlášení přiznává CBP významnou posuzovací pravomoc, podotýkám, že tato pravomoc je omezená. Na základě odstavce 29 závazného prohlášení tak může dojít k předání údajů PNR jiným vládním orgánům „odpovědným za boj proti terorismu nebo za výkon veřejné moci“, „včetně orgánů zahraničních vlád“, „případ od případu“ a v zásadě „pouze pro účely předcházení trestným činům vymezeným v odstavci 3 a jejich potírání“. CBP je na základě odstavce 30 uvedeného prohlášení povinen ověřit, zda důvod pro poskytnutí údajů PNR jinému jmenovanému orgánu spadá mezi tyto důvody [cíle].
258. Odstavce 34 a 35 závazného prohlášení sice tyto cíle rozšiřují, jelikož jejich důsledkem je umožnění jednak zpřístupnění údajů PNR příslušným vládním orgánům nebo jejich používání těmito orgány, „pokud je toto zpřístupnění nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o závažná zdravotní rizika“, a jednak používání nebo zpřístupnění údajů PNR „v jakémkoli soudním trestním řízení, nebo je‑li to jinak vyžadováno ze zákona“.
259. Nicméně mimoto, že tyto cíle jsou z velké části spojeny s legitimním cílem sledovaným režimem PNR, podotýkám, že závazné prohlášení obsahuje určitý počet záruk. Tak například odstavec 31 tohoto prohlášení stanoví, že „[p]ro účely regulace šíření údajů PNR, které je možné sdílet s jinými jmenovanými orgány, je CBP považován za „vlastníka“ údajů a příslušné jmenované orgány jsou na základě výslovně stanovených podmínek zpřístupnění údajů zavázány k několika povinnostem. Mezi těmito povinnostmi orgánů, které jsou příjemci údajů, je zejména povinnost „zajistit řádné odstranění obdržených informací v souladu s postupy pro uchovávání záznamů daného určeného orgánu“ a povinnost „k jakémukoli dalšímu šíření informací získat výslovné povolení CBP“.
260. Odstavec 32 závazného prohlášení mimoto upřesňuje, že „[k]aždé zpřístupnění údajů PNR ze strany CBP je podmíněno tím, že přijímající úřad bude s těmito údaji nakládat jako s důvěrnými obchodními informacemi, jako s informacemi citlivými v souvislosti s prosazováním práva a jako s důvěrnými osobními informacemi subjektu údajů, […] které by měly být chápány jako výjimky nepodléhající zpřístupnění podle zákona o svobodě informací […]“. Navíc v témže odstavci je uvedeno, že „přijímající úřad bude informován o tom, že další zpřístupnění takových informací není dovoleno bez předchozího výslovného souhlasu CBP“, přičemž „CBP nebude povolovat žádné další předávání údajů PNR pro účely jiné než účely vymezené v odstavcích 29, 34 nebo 35“. Konečně odstavec 33 závazného prohlášení stanoví, že „[o]soby zaměstnané takovými jmenovanými orgány, které bez náležitého povolení údaje PNR zpřístupní, mohou být vystaveny trestním sankcím“.
261. Zohlednění souboru těchto záruk dle mého názoru vylučuje se domnívat, že Rada a Komise překročily meze širokého prostoru pro uvážení, který jim musí být dle mého názoru přiznán pro účely boje proti terorismu a dalším vážným zločinům.
262. Z toho vyplývá, že žalobní důvody vycházející z porušení práva na ochranu osobních údajů a porušení zásady proporcionality nejsou opodstatněné, a musejí být v důsledku toho zamítnuty.
D – K žalobnímu důvodu vycházejícímu z toho, že rozhodnutí Rady není dostatečně odůvodněno
263. Parlament uplatňuje, že rozhodnutí Rady nesplňuje požadavek odůvodnění, tak jak vyplývá z článku 253 ES. Zvláště uvedenému rozhodnutí vytýká, že neobsahuje žádné odůvodnění vysvětlující, zda a v jakém rozsahu je cílem tohoto aktu fungování vnitřního trhu.
264. Naopak Rada, podporovaná Spojeným královstvím a Komisí se domnívá, že odůvodnění jejího rozhodnutí je v souladu s požadavky stanovenými Soudním dvorem.
265. Domnívám se, že i když je odůvodnění rozhodnutí Rady stručné, je dostatečné.
266. Podle ustálené judikatury musí být odůvodnění vyžadované článkem 253 ES „přizpůsobeno povaze dotčeného aktu a musejí z něho jasně a jednoznačně vyplývat úvahy orgánu, jenž akt vydal, tak aby se zúčastněné osoby mohly seznámit s důvody, které vedly k přijetí opatření a příslušný soud mohl vykonávat svůj přezkum“. Z této judikatury mimoto vyplývá, že „není požadováno, aby odůvodnění upřesňovalo všechny relevantní skutkové a právní okolnosti, jelikož otázka, zda odůvodnění aktu splňuje požadavky [článku 253 ES], musí být posuzována s ohledem nejen na jeho text, ale také s ohledem na jeho celkovou souvislost, jakož i s ohledem na všechna právní pravidla upravující dotčenou oblast“(128).
267. Pokud jde o povahu aktu, je třeba připomenout, že se jedná o rozhodnutí, jehož hlavním cílem je schválit jménem Společenství dohodu mezi Společenstvím a Spojenými státy. Uvedené rozhodnutí v tomto ohledu obsahuje upřesnění nezbytná pro použitý postup, a sice přijetí Radou v souladu s postupem definovaným v čl. 300 odst. 2 prvním pododstavci ES, jakož i uvedení, že Parlament nevydal své stanovisko ve lhůtě, kterou mu Rada stanovila na základě čl. 300 odst. 3 prvního pododstavce ES. Mimoto podotýkám, že rozhodnutí Rady ve svých právních východiscích zmiňuje článek 95 ES.
268. Navíc s přihlédnutím k zvláštní povaze uvedeného rozhodnutí, které je obtížné zcela izolovat od mezinárodní dohody, které se týká, musí ověření dostatečné povahy odůvodnění podle mého názoru zahrnovat rovněž preambuli samotné dohody. V tomto ohledu rozhodnutí Rady ve spojení s preambulí dohody umožňuje, jak prokazuje přezkum předcházejících žalobních důvodů, Soudnímu dvoru vykonat jeho přezkum, zejména pokud jde o náležitou povahu zvoleného právního základu.
269. V důsledku toho mám za to, že žalobní důvod vycházející z toho, že rozhodnutí Rady není dostatečně odůvodněno, není opodstatněný, a musí být tudíž zamítnut.
E – K žalobnímu důvodu vycházejícímu z porušení zásady loajální spolupráce stanovené v článku 10 ES
270. Tímto žalobním důvodem Parlament tvrdí, že i když čl. 300 odst. 3 první pododstavec ES Radě umožňuje stanovit mu podle naléhavosti lhůtu k vydání jeho stanoviska a řízení o žádosti o předchozí posudek Soudního dvora upravené v čl. 300 odst. 6 ES nemá odkladný účinek, Rada v rámci postupu přijímání dohody porušila povinnost loajální spolupráce, kterou jí ukládá článek 10 ES.
271. Rada, podporovaná Komisí a Spojeným královstvím má za to, že neporušila zásadu loajální spolupráce, když uzavřela dohodu, i přesto, že Parlament Soudnímu dvoru podal žádost o posudek na základě čl. 300 odst. 6 ES.
272. Článek 10 ES ukládá členským státům povinnost loajální spolupráce s orgány Společenství, ale nezakotvuje výslovně zásadu loajální spolupráce mezi uvedenými orgány. Soudní dvůr měl nicméně za to, že v rámci interinstitucionálního dialogu, na kterém spočívá zejména postup konzultace, platí stejné vzájemné povinnosti loajální spolupráce, jako jsou ty, které upravují vztahy mezi členskými státy a orgány Společenství“(129).
273. Ze skutkového rámce projednávané věci vyplývá, že dne 17. března 2004 předala Komise Parlamentu návrh rozhodnutí Rady a že dopisem ze dne 25. března 2004 požádala Rada Parlament, aby vydal své stanovisko k tomuto návrhu nejpozději do 22. dubna 2004. Ve svém dopise Rada zdůrazňuje, že „[b]oj proti terorismu, který odůvodňuje navržená opatření, je zásadní prioritou Evropské unie. Letečtí dopravci a cestující jsou v současné době ve stavu nejistoty, který je třeba s ohledem na naléhavou potřebu napravit. Navíc je zásadní chránit finanční zájmy dotčených osob“.
274. Dne 21. dubna 2004 rozhodl Parlament v souladu s čl. 300 odst. 6 ES požádat Soudní dvůr o posudek o slučitelnosti zamýšlené dohody s ustanoveními Smlouvy.
275. Dne 28. dubna 2004 zaslala Rada, opírajíc se o čl. 300 odst. 3 první pododstavec ES, Parlamentu dopis, ve kterém ho žádala o vydání stanoviska ohledně uzavření dohody do 5. května 2004. Za účelem odůvodnění naléhavosti Rada převzala důvody uvedené v jejím dopise ze dne 25. března 2004.
276. Tato žádost o naléhavou rozpravu byla zamítnuta Parlamentem, jehož předseda krom toho vyzval Radu a Komisi, aby nepostupovaly ve svých úmyslech do doby, nežli Soudní dvůr vydá posudek vyžádaný dne 21. dubna 2004. Rada i přesto dne 17. května 2004 přijala napadené rozhodnutí.
277. Nedomnívám se, že Rada porušila svou povinnost loajální spolupráce s Parlamentem, když přijala toto rozhodnutí o schválení dohody jménem Společenství před ukončením řízení o žádosti o posudek Soudního dvora, podané Parlamentem na základě čl. 300 odst. 6 ES.
278. Jak totiž uznává ostatně sám Parlament, zahájení takového řízení o žádosti o posudek Soudního dvora nemá odkladný účinek. Nebrání tedy Radě, aby přijala rozhodnutí o schválení dohody, i přesto, že uvedené řízení ještě probíhalo, a to i přesto, že lhůta mezi podáním žádosti o posudek Soudnímu dvoru a rozhodnutí schvalujícím dohodu je, jako v projednávaném případě, velmi krátká.
279. V tomto ohledu je třeba uvést, že nedostatek odkladného účinku žádosti o posudek Soudnímu dvoru, podané na základě čl. 300 odst. 6 ES, může být vyvozen jak ze znění tohoto článku, který takový odkladný účinek výslovně nestanoví, tak z judikatury Soudního dvora. Soudní dvůr totiž ve svém posudku 3/94(130) rozhodl, že taková žádost o posudek se stává bezpředmětnou a že není namístě, aby o ní Soudní dvůr rozhodl, pokud dohoda, které se žádost týká, která byla v okamžiku podání žádosti Soudnímu dvoru dohodou zamýšlenou, byla mezitím uzavřena. Upřesnil rovněž jednak, že cílem postupu dle č. 300 odst. 6 ES „je […] především předcházet obtížím plynoucím z neslučitelnosti mezinárodních dohod zavazujících Společenství se Smlouvou, a nikoliv chránit zájmy a práva členského státu nebo orgánu Společenství, které jsou důvodem žádosti o posudek“(131), a jednak že „v každém případě stát nebo orgán Společenství, který podal žádost o posudek, má možnost podat žalobu na neplatnost proti rozhodnutí Rady o uzavření dohody […]“(132).
280. Krom toho, jak z písemností ve spise, tak z druhého bodu odůvodnění rozhodnutí Rady vyplývá, že Rada dostatečně odůvodnila naléhavost, které se dovolávala, aby získala v krátké lhůtě stanovisko Parlamentu v souladu s čl. 300 odst. 3 prvním pododstavcem ES. Poznamenávám konečně, že tento posledně uvedený článek výslovně stanoví, že „[n]ezaujme‑li stanovisko v této lhůtě, může Rada jednat i bez tohoto stanoviska“.
281. S ohledem na všechny tyto skutečnosti se domnívám, že žalobní důvod vycházející z porušení povinnosti loajální spolupráce Radou není opodstatněný, a musí být tudíž zamítnut.
VII – K nákladům řízení
282. Ve věci C‑318/04 znamená opodstatněnost žaloby podané Parlamentem, že Komisi bude uložena náhrada nákladů řízení v souladu s ustanoveními čl. 69 odst. 2 jednacího řádu Soudního dvora. Navíc na základě čl. 69 odst. 4 téhož řádu ponesou vedlejší účastníci, a sice Spojené království a EIOÚ, vlastní náklady řízení.
283. Ve věci C‑317/04 znamená opodstatněnost žaloby podané Parlamentem, že Radě bude uložena náhrada nákladů řízení v souladu s ustanoveními čl. 69 odst. 2 jednacího řádu Soudního dvora. Navíc na základě čl. 69 odst. 4 téhož řádu ponesou vedlejší účastníci, a sice Spojené království, Komise a EIOÚ, vlastní náklady řízení.
VIII – Závěry
284. S ohledem na veškeré předcházející úvahy navrhuji Soudnímu dvoru, aby:
„– v rámci věci C‑318/04 zrušil rozhodnutí Komise 2004/535/ES ze dne 14. května 2004 o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic;
– v rámci věci C‑317/04 zrušil rozhodnutí Rady 2004/496/ES ze dne 17. května 2004 o uzavření dohody mezi Evropským společenstvím a Spojenými státy americkými o zpracování a předávání údajů jmenné evidence cestujících (PNR) Úřadu pro cla a ochranu hranic ministerstva vnitřní bezpečnosti Spojených států.“