JULKISASIAMIEHEN RATKAISUEHDOTUS

GIOVANNI PITRUZZELLA

27 päivänä tammikuuta 2022(1)

Asia C-817/19

Ligue des droits humains

vastaan

Conseil des ministres

(Ennakkoratkaisupyyntö – Cour constitutionnelle (perustuslakituomioistuin, Belgia))

Ennakkoratkaisupyyntö – Henkilötietojen suoja – Matkustajarekisteritietojen (PNR) käsittely – Asetus (EU) 2016/679 – Soveltamisala – Direktiivi (EU) 2016/681 – Pätevyys – Euroopan unionin perusoikeuskirja – 7 ja 8 artikla sekä 52 artiklan 1 kohta

I       Johdanto

1.        Cour constitutionnelle (perustuslakituomioistuin, Belgia) esittää käsiteltävänä olevassa ennakkoratkaisupyynnössä unionin tuomioistuimelle kymmenen ennakkoratkaisukysymystä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen N:o 2016/679 (yleinen tietosuoja-asetus)(2) tulkinnasta sekä matkustajarekisteritietojen (PNR) käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/681 (jäljempänä PNR-direktiivi)(3) ja liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista 29.4.2004 annetun neuvoston direktiivin 2004/82/EY (jäljempänä API-direktiivi)(4) pätevyydestä ja tulkinnasta. Nämä kysymykset ovat nousseet esille käsiteltäessä voittoa tavoittelemattoman Ligue des droits humains ‑nimisen yhdistyksen (LDH) nostamaa kannetta, jolla vaaditaan kumoamaan kokonaan tai osittain matkustajatietojen käsittelystä 25.12.2016 annettu laki (jäljempänä PNR-laki)(5), jolla PNR-direktiivi ja API-direktiivi on saatettu osaksi Belgian lainsäädäntöä.

2.        Käsiteltävässä asiassa unionin tuomioistuimen ratkaistavaksi saatetut kysymykset koskettavat yhtä nykypäivän liberaalin demokratian perusteena olevan perustuslaillisuuden keskeisistä ongelmista: miten olisi määriteltävä yksilön ja yhteisön välinen tasapaino tietoyhteiskunnassa, jossa digitaalinen teknologia antaa mahdollisuuden kerätä, säilyttää, käsitellä ja analysoida valtavia määriä henkilötietoja tiettyjä tarkoituksia varten? Aiemmin ei osattu edes kuvitella, miten tehokkaasti viranomaisten käyttämät algoritmit, massadata-analytiikka ja tekoäly voivat auttaa edistämään ja suojelemaan yhteiskunnan perustavia intressejä kansanterveyden suojelusta ympäristön kestävyyteen ja terrorismin torjunnasta rikollisuuden – erityisesti vakavan rikollisuuden – ennalta estämiseen. Samaan aikaan viranomaisten harjoittama henkilötietojen erotukseton keruu ja digitaalisen teknologian käyttö voivat saada aikaan digitaalisen panoptikonin, jossa viranomainen pystyy näkemään kaiken tulematta kuitenkaan itse nähdyksi. Kaikkitietävä vallankäyttäjä pystyy valvomaan ja ennakoimaan jok’ikisen henkilön toimintaa ja toteuttamaan tämän perusteella tarvittavat toimenpiteet, mikä voi jopa johtaa Steven Spielbergin ohjaamasta Minority Report ‑elokuvasta tuttuun paradoksiin: vapaus riistetään ennaltaehkäisevästi rikoksentekijältä, jonka rikos ei ole edes vielä toteutunut. Kuten tiedetään, joissakin maissa yhteiskunta menee yksilön edelle ja henkilötietojen käyttö antaa hyväksytysti mahdollisuuden tehokkaaseen massojen valvontaan, jolla pyritään suojelemaan perustaviksi katsottuja yleisiä etuja. Sitä vastoin eurooppalainen – niin kansallinen kuin ylikansallinen – perustuslaillisuus, jossa yksilöllä ja hänen vapauksillaan on keskeinen asema, on merkittävä este joukkovalvontayhteiskunnalle etenkin silloin, kun yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevat perusoikeudet on tunnustettu. Missä määrin tällainen este voidaan kuitenkin asettaa toimimatta vakavasti vastoin tiettyjä yhteiskunnan perustavia etuja, esimerkiksi edellä mainittuja, joilla voi kuitenkin olla yhteyksiä perustuslakiin? Tässä tullaan yksilön ja yhteisön välistä suhdetta digitaalisessa yhteiskunnassa koskevan kysymyksen ytimeen. Tämä kysymys edellyttää yhtäältä herkän tasapainon löytämistä ja aikaansaamista yhteisön etujen ja yksilöiden oikeuksien välillä, kun lähtökohtana on viimeksi mainittujen ehdoton tärkeys eurooppalaisessa valtiosääntöperinteessä, ja toisaalta suojatoimien käyttöönottoa väärinkäytöksiä vastaan. Tässäkin on kyseessä nykyversio klassisesta perustuslaillisuuden teemasta, sillä, kuten Federalistikirjoituksissa ytimekkäästi todetaan, ihmiset eivät ole enkeleitä, ja siksi oikeudellisia mekanismeja tarvitaan julkisen vallan rajoittamiseksi ja valvomiseksi.

3.        Tällaisia yleisluonteisia kysymyksiä liittyy asiayhteyteen, jossa tämä ratkaisuehdotus esitetään, ja tämän ratkaisuehdotuksen tulee rajoittua unionin oikeuden tulkintaan, jossa otetaan huomioon unionin tuomioistuimen aikaisempi oikeuskäytäntö ja käytetään vakiintuneita tulkintamenetelmiä, kuten unionin oikeuden mukaista tulkintaa. Tätä menetelmää käytetään tässä ratkaisuehdotuksessa monta kertaa, silloin kun se vaikuttaa oikeudellisesti mahdolliselta, ja näin pyritään löytämään perustuslailliselta kannalta välttämätön tasapaino matkustajarekisteritietojen (jäljempänä PNR-tiedot) siirto-, keruu- ja käsittelyjärjestelmän taustalla olevien julkisen vallan tarkoitusperien sekä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7 ja 8 artiklassa vahvistettujen oikeuksien välillä.

II     Asiaa koskeva lainsäädäntö

A       Unionin oikeus

1.     Perusoikeuskirja

4.        Perusoikeuskirjan 7 artiklan mukaan ”jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan”.

5.        Perusoikeuskirjan 8 artiklassa määrätään seuraavaa:

”1.      Jokaisella on oikeus henkilötietojensa suojaan.

2.      Tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi.

3.      Riippumaton viranomainen valvoo näiden sääntöjen noudattamista.”

6.        Perusoikeuskirjan 52 artiklan 1 kohdan mukaan ”perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien ja vapauksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.”

2.     Yleinen tietosuoja-asetus

7.        Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa suljetaan kyseisen asetuksen soveltamisalan ulkopuolelle henkilötietojen käsittely, ”jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten”.

8.        Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d alakohdassa säädetään seuraavaa:

”Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata:

– –

d)      rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy”.

3.     PNR-direktiivi

9.        Käyn seuraavaksi vain lyhyesti läpi PNR-direktiivillä käyttöön otetun järjestelmän toiminnan. PNR-direktiivi on merkityksellinen ennakkoratkaisukysymyksiin annettavan vastauksen kannalta, ja sen säännösten sisältöä tarkastellaan yksityiskohtaisemmin oikeudellisen arvioinnin yhteydessä.

10.      SEUT 82 artiklan 1 kohdan d alakohdan ja SEUT 87 artiklan 2 kohdan a alakohdan perusteella annetun PNR-direktiivin 1 artiklan mukaan PNR-direktiivillä perustetaan unionin laajuinen järjestelmä, jonka avulla lentoliikenteen harjoittajat voivat siirtää EU:n ulkopuolisten lentojen(6) PNR-tietoja ja jäsenvaltioiden toimivaltaiset viranomaiset voivat kerätä, käsitellä ja säilyttää näitä tietoja terrorismin ja vakavan rikollisuuden torjumiseksi.

11.      Kyseisen direktiivin 3 artiklan 5 alakohdan mukaan ”matkustajarekisterillä” eli ”PNR:llä” tarkoitetaan ”kunkin matkustajan matkustustiedot sisältävää rekisteriä, joka sisältää kaikki ne tiedot, jotka lippuvarauksia tekevät sekä kuljetukseen osallistuvat lentoliikenteen harjoittajat tarvitsevat varausten käsittelyä ja valvontaa varten kunkin matkan osalta, jonka henkilö on varannut tai joka on varattu hänen puolestaan, riippumatta siitä, sisältyykö rekisteri varausjärjestelmään, lähtöselvitysjärjestelmään, jota käytetään lentomatkustajien lähtöselvityksen tekemiseksi, vai muuhun vastaavaan järjestelmään, jolla on samat toiminnot”.

12.      PNR-direktiivin liitteessä I (jäljempänä liite I) luetellaan lentoliikenteen harjoittajien keräämät matkustajarekisteritiedot, jotka voidaan siirtää kyseisen direktiivin 8 artiklassa tarkoitetulla tavalla ja siinä säädettyjä yksityiskohtaisia sääntöjä noudattaen.

13.      PNR-direktiivin liitteeseen II (jäljempänä liite II) sisältyy luettelo rikoksista, jotka kuuluvat kyseisen direktiivin 3 artiklan 9 alakohdassa tarkoitettuun ”vakavaan rikollisuuteen”.

14.      PNR-direktiivin 2 artiklassa säädetään jäsenvaltioiden mahdollisuudesta päättää soveltaa kyseistä direktiiviä myös ”EU:n sisäisiin lentoihin”(7) tai sellaisiin EU:n sisäisiin lentoihin, joita jäsenvaltio pitää ”tarpeellisina” kyseisen direktiivin tavoitteiden edistämiseksi.

15.      PNR-direktiivin 4 artiklan 1 kohdan mukaan ”kunkin jäsenvaltion on perustettava tai nimettävä viranomainen, jolla on terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista tai syytetoimia koskeva toimivalta, tai tällaisen viranomaisen yksikkö, toimimaan matkustajatietoyksikkönä”. Saman 4 artiklan 2 kohdan a alakohdan mukaisesti matkustajatietoyksikkö vastaa erityisesti PNR-tietojen keräämisestä lentoliikenteen harjoittajilta sekä kyseisten tietojen säilyttämisestä ja käsittelystä ja kyseisten tietojen tai niiden käsittelyn tulosten siirtämisestä PNR-direktiivin 7 artiklassa tarkoitetuille viranomaisille. Kyseisen 7 artiklan 2 kohdan mukaan näillä viranomaisilla on ”terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa tai tällaisiin rikoksiin liittyviä syytetoimia koskeva toimivalta”.(8)

16.      PNR-direktiivin 6 artiklan 1 kohdan toisessa virkkeessä säädetään, että ”jos lentoliikenteen harjoittajien siirtämiin PNR-tietoihin sisältyy muita kuin liitteessä I mainittuja tietoja, matkustajatietoyksikön on poistettava tällaiset tiedot välittömästi ja pysyvästi niiden vastaanottamisen jälkeen”. Kyseisen artiklan 2 kohdan sanamuoto on seuraava:

”2.      Matkustajatietoyksikkö saa käsitellä PNR-tietoja vain seuraavia tarkoituksia varten:

a)      matkustajien arviointi ennen heidän aikataulunmukaista saapumistaan kyseiseen jäsenvaltioon tai lähtöään sieltä, jotta voidaan tunnistaa henkilöt, joista 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten ja tarvittaessa 10 artiklan nojalla myös Europolin on tehtävä lisätutkimuksia, koska he saattavat olla osallisina terrorismirikoksessa tai vakavassa rikollisuudessa;

b)      vastaaminen tapauskohtaisesti toimivaltaisilta viranomaisilta saatuun asianmukaisesti [perusteltuun] ja riittäviin havaintoihin [perustuvaan] pyyntöön toimittaa PNR-tietoja ja käsitellä niitä yksittäisissä tapauksissa terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten sekä tällaisen käsittelyn tulosten toimittaminen toimivaltaisille viranomaisille tai tarpeen mukaan Europolille;

c)      PNR-tietojen analysointi kriteereiden päivittämiseksi tai uusien määrittelemiseksi 3 kohdan b alakohdan nojalla toteutettujen arviointien suorittamista varten, jotta voidaan tunnistaa terrorismirikoksissa tai vakavassa rikollisuudessa mahdollisesti osallisina olevat henkilöt.”

17.      PNR-direktiivin 12 artiklaan sisältyvät PNR-tietojen säilyttämistä koskevat säännökset.

18.      PNR-direktiivin 5 artiklassa säädetään, että jokaisen matkustajatietoyksikön on nimitettävä tietosuojavastaava, joka on vastuussa PNR-tietojen käsittelyn valvonnasta ja asiaankuuluvien suojatoimien täytäntöönpanosta. Lisäksi kunkin jäsenvaltion on huolehdittava PNR-direktiivin 15 artiklan mukaisesti siitä, että puitepäätöksen 2008/977/YOS,(9) joka on korvattu luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetulla Euroopan parlamentin ja neuvoston direktiivillä (EU) 2016/680 (jäljempänä poliisidirektiivi),(10) 25 artiklassa tarkoitettu kansallinen valvontaviranomainen vastaa PNR-direktiivin nojalla annettujen säännösten soveltamisen valvonnasta omalla alueellaan. Tämän viranomaisen, joka ottaa tehtäviään hoitaessaan huomioon henkilötietojen käsittelyyn liittyvien perusoikeuksien suojelemisen,(11) on erityisesti yhtäältä käsiteltävä ja tutkittava rekisteröityjen tekemät valitukset sekä ilmoitettava rekisteröidylle asian etenemisestä sekä näiden valituksia koskevista ratkaisuistaan kohtuullisen ajan kuluessa ja toisaalta tarkastettava tietojen käsittelyn lainmukaisuus, tehtävä tutkimuksia, todentamisia ja tarkastuksia kansallisen oikeuden mukaisesti joko omasta aloitteestaan tai valituksen perusteella.(12)

4.     Muut asiaa koskevat unionin säädökset

19.      Käsiteltävän asian oikeudellisen kehyksen täydentävät API-direktiivi ja poliisidirektiivi. Ratkaisuehdotuksen luettavuuden vuoksi käsiteltävää asiaa koskevien, kyseisiin säädöksiin sisältyvien säännösten sisältö käydään läpi vain niitä koskevien kysymysten käsittelyn tai yleisemmin oikeudellisen arvioinnin kannalta tarpeellisilta osin.

B       Belgian oikeus

20.      Belgian perustuslain 22 §:n mukaan ”jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä kunnioitetaan, laissa säädettyjä tapauksia ja edellytyksiä lukuun ottamatta”.

21.      PNR-lain 2 §:n mukaan kyseisellä lailla saatetaan API-direktiivi ja PNR-direktiivi sekä osittain myös direktiivi 2010/65/EU(13) osaksi kansallista lainsäädäntöä.

22.      PNR-lain 3 §:n 1 momentin mukaisesti kyseisessä laissa ”vahvistetaan liikenteenharjoittajien ja matkanjärjestäjien velvollisuudet, jotka koskevat sellaisten matkustajien tietojen välittämistä, joiden tarkoituksena on saapua valtion alueelle, jotka lähtevät sieltä tai jotka kulkevat sen kautta”. Kyseisen lain 4 §:n 1 ja 2 momentin mukaan ”liikenteenharjoittajalla” tarkoitetaan ”luonnollista henkilöä tai oikeushenkilöä, joka harjoittaa ammattimaisesti henkilöiden ilma-, meri-, rautatie- tai maantiekuljetuksia” ja ”matkanjärjestäjällä” ”matkanjärjestämis- ja matkanvälityssopimuksista 16.2.1994 annetussa laissa tarkoitettua matkan järjestänyttä tai välittänyttä toimijaa”.

23.      PNR-lain 8 §:ssä säädetään seuraavaa:

”1 momentti.      Matkustajatietoja käsitellään

1)      rikostutkinnasta annetun lain [(Code d’instruction criminelle)] – – 90 ter §:n 2 momentin – – 7, – – 8, – – 11, – – 14, – – 17, 18 ja 19 kohdassa ja 3 momentissa tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi, mukaan lukien rangaistusten tai vapauden rajoitusta koskevien toimenpiteiden täytäntöön panemiseksi;

2)      rikoslain [(Code Penal)] 196 §:ssä tarkoitettuihin virallisten ja julkisten asiakirjojen väärentämiseen liittyvien rikosten sekä rikoslain 198, 199, 199bis, 207, 213, 375 ja 505 §:ssä tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi, myös rangaistusten tai vapauden rajoitusta koskevien toimenpiteiden täytäntöön panemiseksi;

3)      väkivaltaisesta radikalisoitumisesta aiheutuvien yleisen turvallisuuden vakavien häiriöiden estämiseksi seuraamalla ilmiöitä ja ryhmittymiä 5.8.1992 annetun poliisilain [(loi sur la fonction de police)] 44/5 §:n 1 momentin 2 ja 3 kohdan sekä 2 momentin mukaisesti;

4)      tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetun lain [(loi organique des services de renseignement et de sécurité)(14)] 7 §:n 1 ja 3/1 kohdassa sekä 11 §:n 1 momentin 1–3 kohdassa ja 5 kohdassa tarkoitetun toiminnan seuraamiseksi;

5)      18.7.1977 annetun yleisen tulli- ja valmisteverolain [(loi générale sur les douanes et accises)] 220 §:n 2 momentissa ja yleisestä valmisteverojärjestelmästä 22.12.2009 annetun lain [(loi relative au régime général d’accise)] 45 §:n 3 momentissa – – tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi.

2 momentti.      Jäljempänä 11 luvussa säädetyin edellytyksin matkustajatietoja käsitellään myös ulkorajoilla suoritettavien henkilötarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi.”

24.      PNR-lain 9 § sisältää luettelon siirrettävistä tiedoista. Nämä tiedot vastaavat liitteessä I lueteltuja tietoja.

25.      PNR-lain 18 §:n mukaisesti ”matkustajatietoja säilytetään matkustajatietorekisterissä enintään viiden vuoden ajan niiden kirjaamisesta. Määräajan päätyttyä tiedot tuhotaan.”

26.      Kyseisen lain 19 §:ssä säädetään, että ”kun kuusi kuukautta on kulunut siitä, kun matkustajatiedot on kirjattu matkustajatietorekisteriin, kaikista matkustajatiedoista erotetaan häivyttämällä henkilön tunnistamisessa auttavat tiedonosat”.

27.      PNR-lain 24 §:ssä säädetään seuraavaa:

”1 momentti.      Matkustajatietoja käsitellään matkustajien etukäteisarvioinnin suorittamiseksi ennen heidän saapumistaan valtion alueelle, lähtöään sieltä tai suunniteltua kauttakulkuaan valtion alueella sen selvittämiseksi, kenestä on tehtävä perusteellisempi tutkinta.

2 momentti.      Edellä olevan 8 §:n 1 momentin 1, 4 ja 5 kohdassa säädettyjen tarkoitusten yhteydessä tai tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetun lain 8 §:n 1 kohdan a, b, c, d, f ja g alakohdassa ja 11 §:n 2 momentissa mainittujen uhkien yhteydessä matkustajien etukäteisarviointi perustuu positiiviseen vastaavuuteen, joka johtuu matkustajatietojen korrelaatiosta

1)      tietokantojen kanssa, joita toimivaltaiset viranomaiset hallinnoitavat tai jotka ovat toimivaltaisten viranomaisten välittömästi käytettävissä tai saatavilla näiden tehtävien yhteydessä, tai henkilöluetteloiden kanssa, joita toimivaltaiset viranomaiset ovat laatineet tehtäviensä yhteydessä

2)      matkustajatietoyksikön ennalta määrittämien 25 §:ssä tarkoitettujen arviointikriteerien kanssa.

3 momentti.      Edellä 8 §:n 1 momentin 3 kohdassa säädettyjen tarkoitusten yhteydessä matkustajien etukäteisarviointi perustuu positiiviseen vastaavuuteen, joka johtuu matkustajatietojen korrelaatiosta 2 momentin 1 kohdassa tarkoitettujen tietokantojen kanssa. – –.”

28.      PNR-lain 25 §:ssä toistetaan PNR-direktiivin 6 artiklan 4 kohdan sisältö.

29.      PNR-lain 11 lukuun sisältyvät säännökset koskevat matkustajatietojen käsittelyä rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi. Näillä säännöksillä on saatettu API-direktiivi osaksi Belgian lainsäädäntöä.

30.      PNR-lain 44 §:ssä säädetään, että matkustajatietoyksikön on nimitettävä tietosuojavastaava sisäministeriöön. PNR-lain säännösten soveltamista valvoo yksityisyyden suojaa käsittelevä lautakunta (Commission de la protection de la vie privée).

31.      PNR-lain 51 §:llä muutettiin tiedustelu- ja turvallisuuspalveluista 30.11.1998 annettua lakia lisäämällä siihen 16/3 §, jonka sanamuoto on seuraava:

”1 momentti.      Tehtäviensä täyttämiseksi tiedustelu- ja turvallisuuspalvelut voivat päättää asianmukaisesti perustellulla tavalla tutustua [PNR-lain] 7 §:ssä tarkoitettuihin matkustajatietoihin.

2 momentti.      Edellä olevassa 1 momentissa tarkoitetun päätöksen tekee yksikön päällikkö, ja se annetaan kirjallisesti tiedoksi edellä mainitun lain 7 luvussa tarkoitetulle matkustajatietoyksikölle. Päätös perusteluineen annetaan tiedoksi tiedustelupalvelujen valvonnasta vastaavalle pysyvälle komitealle [(Comité permanent de contrôle des services de renseignements, Comité R)].

Tiedustelupalvelujen valvonnasta vastaava pysyvä komitea kieltää tiedustelu- ja turvallisuuspalveluita käyttämästä tietoja, joiden kerääminen ei ole tapahtunut lainsäädännön mukaisia edellytyksiä noudattaen.

Päätös voi koskea kaikkia tiettyyn tutkintaan liittyviä tietoja. Tällöin luettelo matkustajatietoihin tehdyistä hauista toimitetaan kerran kuukaudessa tiedustelupalvelujen valvonnasta vastaavalle pysyvälle komitealle.”

C       Pääasia, ennakkoratkaisukysymykset ja asian käsittely unionin tuomioistuimessa

32.      LDH nosti 24.7.2017 Cour constitutionnellelle osoitetulla kannekirjelmällä kanteen, jossa vaadittiin PNR-lain kumoamista kokonaan tai osittain. Se esitti kanteensa tueksi kaksi kanneperustetta.

33.      Ensimmäinen kanneperusteista on esitetty ensisijaisesti, ja sen mukaan Belgian perustuslain 22 §:ää, luettuna yhdessä yleisen tietosuoja-asetuksen 23 artiklan, perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan sekä ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn, Roomassa 4.11.1950 allekirjoitetun eurooppalaisen yleissopimuksen (jäljempänä Euroopan ihmisoikeussopimus) 8 artiklan kanssa, on rikottu; LDH:n mukaan riidanalainen laki ei ole suhteellisuusperiaatteen mukainen soveltamisalansa eikä siinä tarkoitettujen tietoryhmien, sen mukaisen tietojenkäsittelyn, sen tavoitteiden eikä tietojen säilytysajan osalta. LDH väittää erityisesti, että PNR-tietojen määritelmä on liian laaja ja voi johtaa arkaluonteisten tietojen paljastumiseen ja että kyseiseen lakiin sisältyvä matkustajan käsitteen määritelmä antaa mahdollisuuden kaikkien asianomaisten matkustajien tietojen järjestelmälliseen ja kohdentamattomaan käsittelyyn. Lisäksi LDH katsoo, ettei PNR-laissa määritellä riittävän selkeästi matkustajatietokantojen etukäteisseulonnan luonnetta ja siinä sovellettavia yksityiskohtaisia sääntöjä eikä myöskään uhkaindikaattoreina käytettyjä kriteereitä. LDH:n mukaan PNR-lailla ylitetään se, mikä on täysin välttämätöntä, koska sen mukaiset PNR-tietojen käsittelytarkoitukset ovat PNR-direktiivissä sallittua laajempia ja koska PNR-tietojen viiden vuoden säilytysaika on suhteeton. Toissijaisesti esittämällään toisella kanneperusteella, jonka mukaan Belgian perustuslain 22 §:ää, luettuna yhdessä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kanssa, on rikottu, LDH riitauttaa PNR-lain 11 luvun säännökset, joilla API-direktiivi on saatettu osaksi kansallista lainsäädäntöä.

34.      Belgian kuningaskunnan Conseil des ministres (ministerineuvosto), joka on väliintulijana Cour constitutionnellessa, vastustaa LDH:n kannetta, ja se on riitauttanut sekä kanteen tueksi esitettyjen kahden kanneperusteen tutkittavaksi ottamisen että niiden perusteltavuuden.

35.      Cour constitutionnelle esittää puolestaan seuraavat näkökohdat.

36.      Ensimmäisen kanneperusteen osalta se pohtii aluksi, onko liitteessä I annettu PNR-tietojen määritelmä riittävän selkeä ja täsmällinen. Osa näistä tiedoista on kuvattu esimerkinomaisesti eikä tyhjentävästi. Ennakkoratkaisua pyytänyt tuomioistuin tuo sitten esille, että PNR-direktiivin 3 artiklan 4 alakohtaan sisältyvä matkustajan käsitteen määritelmä johtaa kaikkien matkustajaluetteloon merkittyjen henkilöiden, jotka kuljetetaan tai aiotaan kuljettaa, PNR-tietojen keräämiseen, siirtämiseen, käsittelyyn ja säilyttämiseen riippumatta siitä, onko vakavia syitä olettaa, että kyseinen henkilö on tehnyt tai aikoo tehdä rikoksen tai että hänet on tuomittu rikoksesta. Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa PNR-tietojen käsittelystä, että PNR-tiedoille tehdään järjestelmällisesti etukäteisarviointi siten, että kaikkien matkustajien PNR-tietoja verrataan tietokantoihin tai ennalta määritettyihin kriteereihin toisiaan vastaavien osumien löytämiseksi. Cour constitutionnelle täsmentää kuitenkin, että vaikka kriteerien on oltava täsmällisiä, luotettavia ja syrjimättömiä, vaikuttaa siltä, että ennalta määritettyjä kriteereitä, joiden perusteella riskiprofiileja määritetään, on teknisesti mahdotonta määritellä tarkemmin. Ennakkoratkaisua pyytänyt tuomioistuin katsoo PNR-direktiivin 12 artiklan 1 kohdassa säädetystä PNR-tietojen säilytysajasta, joka on viisi vuotta, että PNR-tietoja säilytetään riippumatta siitä, aiheutuuko asianomaisista matkustajista etukäteisarvioinnin perusteella riski yleiselle turvallisuudelle. Näissä olosuhteissa ennakkoratkaisua pyytänyt tuomioistuin pohtii, kun huomioon otetaan 21.12.2016 annettuun tuomioon Tele2 Sverige ja Watson ym.(15) sekä 26.7.2017 annettuun lausuntoon 1/15 (EU–Kanada-PNR-sopimus)(16) perustuva oikeuskäytäntö, voidaanko PNR-direktiivillä käyttöön otetun PNR-tietojen keräämistä, siirtoa, käsittelyä ja säilyttämistä koskevan järjestelmän katsoa olevan sellainen, että sillä ei ylitetä sitä, mikä on täysin välttämätöntä. Tässä yhteydessä ennakkoratkaisua pyytänyt tuomioistuin pohtii myös, onko PNR-direktiivi esteenä PNR-lain 8 §:n 1 momentin 4 kohtaan perustuvan kaltaiselle kansalliselle lainsäädännölle, jossa sallitaan PNR-tietojen käsittely muussa kuin kyseisen direktiivin mukaisessa tarkoituksessa. Se pohtii lisäksi, voidaanko matkustajatietoyksikköä pitää ”muuna kansallisena viranomaisena”, joka voi PNR-direktiivin 12 artiklan 3 kohdan b alakohdan ii alakohdan nojalla sallia kaikkien PNR-tietojen luovuttamisen kuuden kuukauden määräajan päätyttyä. Ennakkoratkaisua pyytänyt tuomioistuin tuo toisesta kanneperusteesta esille sen kohdistuvan puolestaan PNR-lain 3 §:n 1 momenttiin, 8 §:n 2 momenttiin ja 28–31 §:ään, joissa säädetään matkustajatietojen keräämisestä ja käsittelystä laittoman maahanmuuton torjumiseksi ja rajatarkastusten parantamiseksi. Se muistuttaa, että ensimmäisenä mainitun säännöksen mukaan kyseinen laki kattaa lennot, jotka saapuvat kansalliselle alueelle, lähtevät sieltä tai kulkevat sen kautta, ja se täsmentää, että kansallinen lainsäätäjä on sisällyttänyt ”EU:n sisäiset” lennot tämän lain soveltamisalaan, jotta saadaan ”täydellisempi kuva sellaisten matkustajien liikkumisesta, jotka muodostavat potentiaalisen turvallisuusuhan [unionin] sisällä ja kansallisesti”, käyttämällä mahdollisuutta, joka annetaan PNR-direktiivin 2 artiklassa, luettuna yhdessä PNR-direktiivin johdanto-osan kymmenennen perustelukappaleen kanssa.

37.      Tässä tilanteessa Cour constitutionnelle on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1.      Onko [yleisen tietosuoja-asetuksen] 23 artiklaa, luettuna yhdessä asetuksen 2 artiklan 2 kohdan d alakohdan kanssa, tulkittava siten, että sitä sovelletaan [PNR-lain] kaltaiseen kansalliseen lainsäädäntöön, jolla [PNR-direktiivi], [API-direktiivi] ja – – direktiivi 2010/65/EU saatetaan osaksi kansallista oikeusjärjestystä?

2.      Soveltuuko – – liite I yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin liitteessä luetellut tiedot ovat hyvin laaja-alaisia – erityisesti [kyseisessä] liitteessä I olevassa 18 kohdassa tarkoitetut tiedot, joilla ylitetään [API-direktiivin] 3 artiklan 2 kohdassa tarkoitetut tiedot – ja siltä osin kuin yhdessä arvioituna kyseiset tiedot voivat paljastaa arkaluonteisia tietoja ja niillä voidaan siten rikkoa ”täysin välttämättömän” rajat?

3.      Soveltuvatko – – liitteessä I olevat 12 ja 18 kohta yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin – kun otetaan huomioon ilmaisujen ”mukaan lukien” ja ”mm.” käyttö – kyseisissä kohdissa tarkoitetut tiedot mainitaan esimerkkeinä eikä tyhjentävästi, joten ei noudateta vaatimusta siitä, että sääntöjen, joilla puututaan yksityiselämän kunnioittamista koskevaan oikeuteen ja henkilötietojen suojaa koskevaan oikeuteen, on oltava täsmällisiä ja selkeitä?

4.      Soveltuvatko [PNR-direktiivin] 3 artiklan 4 alakohta ja liite I yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin kyseisillä säännöksillä käyttöön otettu matkustajatietojen yleistä keräämistä, siirtämistä ja käsittelyä koskeva järjestelmä koskee kaikkia henkilöitä, jotka käyttävät kyseistä liikennevälinettä, riippumatta siitä, onko olemassa mitään objektiivista seikkaa, jonka perusteella voidaan katsoa, että kyseinen henkilö voi merkitä riskiä yleiselle turvallisuudelle?

5.      Onko [PNR-direktiivin] 6 artiklaa, luettuna yhdessä – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa hyväksytään PNR-tietojen käsittelytarkoitukseksi tiedustelu- ja turvallisuuspalvelujen silmälläpitämän toiminnan seuranta, jolloin kyseinen käsittelytarkoitus on otettu osaksi terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista ja kyseisten rikosten syytetoimien mahdollistamista?

6.      Soveltuuko [PNR-direktiivin] 6 artikla yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin siinä säädetään, että matkustajatiedoista suoritetaan järjestelmällisesti ja yleisesti etukäteisarviointi, jossa tietoja verrataan tietopankkeihin ja ennalta määritettyihin kriteereihin, riippumatta siitä, onko olemassa mitään objektiivista seikkaa, jonka perusteella voidaan katsoa, että kyseiset matkustajat voivat merkitä riskiä yleiselle turvallisuudelle?

7.      Voidaanko [PNR-direktiivin] 12 artiklan 3 kohdassa tarkoitettua muun toimivaltaisen kansallisen viranomaisen käsitettä tulkita siten, että sillä tarkoitetaan [PNR-lailla] perustettua matkustajatietoyksikköä, joka voisi näin ollen sallia pääsyn tutustua PNR-tietoihin kuuden kuukauden määräajan päätyttyä kohdennettujen tutkimusten yhteydessä?

8.      Onko [PNR-direktiivin] 12 artiklaa, luettuna yhdessä – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa säädetään yleisestä tietojen säilytysajasta, joka on viisi vuotta, tekemättä eroa sen mukaan, osoittautuvatko asianomaiset matkustajat etukäteisarvioinnissa sellaisiksi, että he voivat merkitä riskiä yleiselle turvallisuudelle, vai eivät?

9.      a)      Soveltuuko [API-direktiivi] yhteen [SEU] 3 artiklan 2 kohdan ja – – perusoikeuskirjan 45 artiklan kanssa siltä osin kuin direktiivissä säädettyjä velvollisuuksia sovelletaan [EU:n] sisäisiin lentoihin?

b)      Onko [API-direktiiviä], luettuna yhdessä [SEU] 3 artiklan 2 kohdan ja – – perusoikeuskirjan 45 artiklan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa sallitaan laittoman maahanmuuton torjumiseksi ja rajavalvonnan tehostamiseksi matkustajatietojen keräämis- ja käsittelyjärjestelmä, kun kyse on matkustajista, ”joiden tarkoituksena on saapua valtion alueelle, jotka lähtevät sieltä tai jotka kulkevat sen kautta”, mikä voi merkitä välillisesti sisärajatarkastusten ottamista uudelleen käyttöön?

10.      Jos edellä esitettyihin ennakkoratkaisukysymyksiin annettujen vastausten perusteella Cour constitutionnelle katsoisi, että riidanalaisella lailla, jolla on pantu täytäntöön muun muassa [PNR-direktiivi], rikotaan yhtä tai useampaa ennakkoratkaisukysymyksissä mainittuihin määräyksiin tai säännöksiin perustuvaa velvollisuutta, voiko Cour constitutionnelle pitää väliaikaisesti voimassa [PNR-lain] vaikutukset epäselvän oikeustilan välttämiseksi ja sen mahdollistamiseksi, että aiemmin kerättyjä ja säilytettyjä tietoja voidaan edelleenkin käyttää [kyseisessä] laissa säädettyjä tarkoituksia varten?”

38.      Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitettuja kirjallisia huomautuksia ovat esittäneet LDH ja Belgian, Tšekin, Tanskan, Saksan, Viron, Irlannin, Espanjan, Ranskan, Kyproksen, Latvian, Alankomaiden, Itävallan, Puolan ja Suomen hallitukset sekä Euroopan parlamentti, Euroopan unionin neuvosto ja Euroopan komissio. Euroopan unionin tuomioistuimen perussäännön 24 artiklan mukaisesti komissiota, Euroopan tietosuojavaltuutettua ja Euroopan unionin perusoikeusvirastoa (FRA) pyydettiin vastaamaan kirjallisesti unionin tuomioistuimen esittämiin kysymyksiin. Istunto asianosaisten ja muiden osapuolten kuulemiseksi pidettiin 13.7.2021.

III  Oikeudellinen arviointi

A       Ensimmäinen ennakkoratkaisukysymys

39.      Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta ensimmäisellä ennakkoratkaisukysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohtaa tulkittava siten, että kyseistä asetusta ja erityisesti sen 23 artiklan 1 kohtaa, jonka mukaan unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa tyhjentävästi luetelluin perustein kyseisessä asetuksessa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, sovelletaan PNR-lain kaltaisen kansallisen lainsäädännön, jolla on saatettu PNR-direktiivi sekä API-direktiivi ja direktiivi 2010/65 osaksi kansallista lainsäädäntöä, perusteella tapahtuvaan tietojenkäsittelyyn.

40.      Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa säädetään poikkeuksista kyseisen asetuksen soveltamisalaan, sellaisena kuin se määritellään hyvin laajasti(17) kyseisen asetuksen 2 artiklan 1 kohdassa.(18) Näitä poikkeuksia on tulkittava suppeasti, koska niillä poiketaan sellaisen henkilötietojen käsittelystä annetun lainsäädännön soveltamisesta, joka voi johtaa perusvapauksien loukkaamiseen.(19)

41.      Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohtaan sisältyy muun muassa poissulkemislauseke, jonka mukaan kyseistä asetusta ei sovelleta henkilötietojen käsittelyyn, jota ”toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten”. Tämän poissulkemislausekkeen soveltaminen perustuu kahteen kriteeriin: henkilölliseen ja asialliseen. Kyseisen asetuksen soveltamisalan ulkopuolelle jää siten tietojenkäsittely, jota ensinnäkin suorittavat toimivaltaiset viranomaiset ja toiseksi kyseisessä säännöksessä lueteltuja tarkoituksia varten. PNR-lain soveltamisalaan kuuluvia erilaisia tietojenkäsittelyn tyyppejä on näin ollen arvioitava näiden kahden kriteerin pohjalta.

42.      Ensinnäkin yleistä tietosuoja-asetusta sovelletaan edelleen tietojenkäsittelyyn, jota liikenteenharjoittajat (lento-, rautatie-, maantie- ja meriliikenteen harjoittajat) suorittavat matkustajatietoyksikköjä varten tai jota matkanjärjestäjät suorittavat PNR-laissa tarkoitettua palvelujen tarjoamista tai kaupallista tarkoitusta varten, koska kyseisen asetuksen 2 artiklan 2 kohtaan sisältyvä poissulkemisperuste ei täyty henkilöllisen kriteerin eikä asiallisen kriteerin osalta.

43.      Sen sijaan toiseksi ei ole yhtä ilmeistä, kuuluuko kyseisen asetuksen soveltamisalaan liikenteenharjoittajien tai matkanjärjestäjien suorittama PNR-tietojen siirtäminen matkustajatietoyksikölle, sillä tämä siirtäminen on itsessään yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa tarkoitettua ”käsittelyä”.(20)

44.      Yhtäältä kyseistä siirtämistä ei ole näet tehnyt ”toimivaltainen viranomainen”, jota tarkoitetaan poliisidirektiivin 3 artiklan 7 alakohdassa, johon on viitattava analogisesti, koska kyseistä käsitettä ei ole määritelty yleisessä tietosuoja-asetuksessa.(21) Kuljetusyhtiön tai matkatoimiston kaltaista talouden toimijaa, jolla on ainoastaan lain mukainen velvollisuus siirtää henkilötietoja ja jolle ei ole annettu mitään julkisen vallan käyttöön liittyviä erioikeuksia,(22) ei voida pitää kyseisen 3 artiklan 7 alakohdan b alakohdassa tarkoitettuna elimenä tai yksikkönä.(23)

45.      Toisaalta kuljetusyritykset ja matkanjärjestäjät siirtävät PNR-tietoja täyttääkseen velvoitteen, josta on säädetty laissa yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa lueteltuja tarkoituksia varten.

46.      Kyseisen säännöksen sanamuodosta käy nähdäkseni selvästi ilmi, että ainoastaan käsittelytoimet, jotka täyttävät sekä kyseisessä säännöksessä säädetyn poissulkemisperusteen henkilöllisen että asiallisen kriteerin, jäävät yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle. PNR-laissa kuljetusyrityksille ja matkanjärjestäjille asetettu velvoite siirtää PNR-tietoja matkustajatietoyksikölle kuuluu siis kyseisen asetuksen soveltamisalaan.

47.      Tämä päätelmä saa PNR-direktiivin saattamisesta kansallisen lainsäädännön osaksi annetun PNR-lain säännösten osalta tukea PNR-direktiivin 21 artiklan 2 kohdasta, jossa säädetään, että kyseinen direktiivi ”ei rajoita lentoliikenteen harjoittajien mahdollisuutta soveltaa direktiiviä 95/46/EY(24) henkilötietojen käsittelyyn”. Erityisesti Ranskan hallituksen ehdottama kyseisen säännöksen tulkinta, jonka mukaan siinä säädetään ainoastaan, että liikenteenharjoittajiin sovelletaan edelleen yleisessä tietosuoja-asetuksessa vahvistettuja velvoitteita sellaisen tietojenkäsittelyn osalta, josta ei säädetä PNR-direktiivissä, on mielestäni hylättävä. Sanamuotonsa perusteella tämän ”rajoittamiskiellon” soveltamisala on laaja, se määritellään ainoastaan viittaamalla tietojen käsittelijään eikä siinä ole mitään mainintaa käsittelytarkoituksesta tai käsittelyn asiayhteydestä eli siitä, suoritetaanko käsittelyä lentoliikenteen harjoittajan kaupallisen toiminnan yhteydessä vai lainsäädännön velvoitteen täyttämiseksi. Huomautan lisäksi, että samansisältöinen lauseke sisältyy PNR-direktiivin 13 artiklan 3 kohtaan, jossa viitataan nimenomaisesti lentoliikenteen harjoittajille yleisen tietosuoja-asetuksen nojalla kuuluviin velvollisuuksiin ”toteuttaa asianmukaisia teknisiä ja organisatorisia toimenpiteitä henkilötietojen turvan ja luottamuksellisuuden suojelemiseksi”. Kyseinen säännös kuuluu säännöksiin, joilla järjestetään PNR-direktiivin mukaisesti käsiteltyjen henkilötietojen suoja, ja se on jatkumoa kyseisen direktiivin 13 artiklan 1 kohdalle, jossa säädetään yleisesti, että kaikessa kyseisen direktiivin mukaisessa tietojenkäsittelyssä on noudatettava kyseisessä kohdassa mainittuja puitepäätöksen 2008/977 säännöksiä. Toisin kuin Ranskan hallitus väittää, tällaisen säädösjärjestelmän perusteella kyseisen 13 artiklan 3 kohta voidaan ymmärtää yhtäältä lausekkeeksi, jossa tuodaan yleisen tietosuoja-asetuksen soveltamisalaan ainoastaan sellainen PNR-direktiivin mukainen tietojenkäsittely, jota eivät suorita poliisidirektiivissä tarkoitetut toimivaltaiset viranomaiset, ja toisaalta viittaus edellä mainitussa asetuksessa säädettyihin tietojen turvaa ja luottamuksellisuutta koskeviin velvollisuuksiin voidaan ymmärtää muistutukseksi niistä suojatoimista, joita on noudatettava liikenteenharjoittajien siirtäessä PNR-tietoja matkustajatietoyksiköille.

48.      Yleisen tietosuoja-asetuksen johdanto-osan 19 perustelukappale ja poliisidirektiivin johdanto-osan 11 perustelukappale, joihin muun muassa Saksan, Irlannin ja Ranskan hallitukset viittaavat PNR-direktiivin lex specialis ‑luonteen tueksi, ei horjuta edellä tämän ratkaisuehdotuksen 46 kohdassa esitettyä päätelmää. Tältä osin on tietenkin totta, että kyseisellä direktiivillä perustetaan yleiseen tietosuoja-asetukseen nähden erillinen suojelukehys kyseisessä direktiivissä tarkoitettujen henkilötietojen käsittelyä varten. Tätä erityistä kehystä sovelletaan kuitenkin vain poliisidirektiivin 3 artiklan 7 alakohdassa tarkoitettujen toimivaltaisten viranomaisten, joihin muun muassa matkustajatietoyksiköt kuuluvat, suorittamaan PNR-tietojen käsittelyyn, kun taas PNR-tietojen siirtämisessä matkustajatietoyksiköille sovelletaan edelleen yleiseen tietosuoja-asetukseen perustuvaa yleistä kehystä muun muassa PNR-direktiivin 21 artiklan 2 kohdassa säädetyn ”rajoittamiskiellon” mukaisesti.

49.      Belgian, Irlannin, Ranskan ja Kyproksen hallitukset pyrkivät tukemaan väitettään, jonka mukaan yleistä tietosuoja-asetusta ei sovelleta liikenteenharjoittajien ja matkanjärjestäjien suorittamaan PNR-tietojen siirtoon matkustajatietoyksiköille, viittaamalla 30.5.2006 annettuun tuomioon parlamentti v. neuvosto ja komissio,(25) jossa unionin tuomioistuin on todennut perustellusti, että lentoliikenteen harjoittajien suorittama PNR-tietojen siirtäminen Amerikan Yhdysvaltojen viranomaisille Yhdysvaltojen ja Euroopan yhteisön välillä neuvotellun sopimuksen yhteydessä on direktiivin 95/46(26) 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitettua henkilötietojen käsittelyä eikä se siksi kuulu kyseisen direktiivin soveltamisalaan. Tämän päätelmän tehdessään unionin tuomioistuin otti huomioon siirtämisen tarkoituksen sekä sen, että tällainen siirto ”tapahtuu julkishallinnon asettamissa puitteissa”, vaikka tietojen keräämisestä ja siirtämisestä huolehtivat yksityiset toimijat.(27)

50.      Tältä osin on riittävää todeta, että unionin tuomioistuin on katsonut 6.10.2020 antamassaan tuomiossa La Quadrature du Net ym.,(28) ettei tuomiota parlamentti v. neuvosto voida soveltaa yleisen tietosuoja-asetuksen yhteydessä.(29)

51.      Sitä paitsi unionin tuomioistuin on vahvistanut tuomion La Quadrature du Net 102 kohdassa,(30) jossa se soveltaa analogisesti tuomiossa Tele2 Sverige sekä 2.10.2018 annetussa tuomiossa Ministerio Fiscal(31) esitettyä päättelyä, että ”vaikka [yleisen tietosuoja-asetuksen] 2 artiklan 2 kohdan d alakohdassa täsmennetään, ettei sitä sovelleta käsittelyyn, jota ’toimivaltaiset viranomaiset’ suorittavat muun muassa rikosten ennalta estämistä ja paljastamista varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, saman asetuksen 23 artiklan 1 kohdan d ja h alakohdasta ilmenee, että yksityisten näihin samoihin tarkoituksiin suorittama henkilötietojen käsittely kuuluu kyseisen asetuksen soveltamisalaan”.(32)

52.      Edellä esitetyistä syistä olen vakuuttunut siitä, että päätelmä, jonka mukaan kuljetusyritysten ja matkanjärjestäjien suorittama PNR-tietojen siirtäminen matkustajatietoyksiköille kuuluu yleisen tietosuoja-asetuksen soveltamisalaan, ilmenee selkeästi jo yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdan sanamuodosta, sillä kyseisessä alakohdassa mainitaan vain toimivaltaisten viranomaisten suorittama käsittely, joten kyseisen asetuksen 23 artiklan 1 kohdassa olevaan rajoituslausekkeeseen viittaaminen ei ole tarpeen.(33) Tuomion La Quadrature du Net 102 kohdassa oleva toteamus on sitä paitsi unionin tuomioistuimen selkeä kannanotto tällaisen päätelmän puolesta.

53.      Koska kuljetusyritysten ja matkanjärjestäjien suorittama PNR-tietojen siirtäminen kuuluu yleisen tietosuoja-asetuksen soveltamisalaan, PNR-lain kaltainen kansallinen lainsäädäntö, jolla kuljetusyritykset ja matkanjärjestäjät velvoitetaan suorittamaan tällainen siirto, on yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d alakohdan nojalla annettu ”lainsäädäntötoimenpide”, ja sen on näin ollen täytettävä kyseisessä säännöksessä säädetyt edellytykset.(34)

54.      Kolmanneksi matkustajatietoyksikköjen ja toimivaltaisten viranomaisten suorittaman PNR-tietojen käsittelyn osalta yleisen tietosuoja-asetuksen sovellettavuus riippuu näiden käsittelytoimien tarkoituksesta, kuten edellä esitetystä ilmenee.

55.      Ensinnäkin matkustajatietoyksikön ja toimivaltaisten kansallisten viranomaisten suorittama PNR-tietojen käsittely(35) PNR-lain 8 §:n 1 momentin 1–3 kohdassa ja 5 kohdassa lueteltuja tarkoituksia varten ei näin ollen kuulu yleisen tietosuoja-asetuksen soveltamisalaan, koska kyseiset käsittelytarkoitukset vaikuttavat kuuluvan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa olevan poissulkemislausekkeen soveltamisalaan. Tällaisen käsittelyn kohteena olevien henkilötietojen suojaaminen kuuluu kansallisen lainsäädännön soveltamisalaan, sanotun kuitenkaan rajoittamatta poliisidirektiivin soveltamista(36) ja PNR-direktiivin soveltamista soveltamisalallaan.

56.      Sama pätee toiseksi matkustajatietoyksikön sekä turvallisuus- ja tiedustelupalvelujen suorittamaan PNR-tietojen käsittelyyn, joka liittyy PNR-lain 8 §:n 1 momentin 4 kohdassa luetelluissa tiedustelu- ja turvallisuuspalveluista annetun lain säännöksissä tarkoitetun toiminnan seuraamiseen, mikäli tällainen käsittely vastaa yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa mainittuja tarkoituksia, mikä ennakkoratkaisua pyytäneen tuomioistuimen on arvioitava.

57.      Belgian hallitus väittää, että PNR-lain 8 §:n 1 momentin 4 kohdan nojalla suoritettu tietojenkäsittely kuuluu joka tapauksessa yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa olevan poissulkemislausekkeen sekä poliisidirektiivin 2 artiklan 3 kohdan a alakohdassa olevan poissulkemislausekkeen soveltamisalaan, koska turvallisuus- ja tiedustelupalvelujen toiminta ei kuulu unionin oikeuden soveltamisalaan.

58.      Korostan, ettei unionin tuomioistuimen käsiteltäväksi ole saatettu näiden säännösten tulkintaa koskevaa kysymystä, ja tuon tältä osin esille ensin, että unionin tuomioistuin on jo todennut, että kansallinen lainsäädäntö, jossa asetetaan yksityisiä toimijoita koskeva käsittelyvelvoite, kuuluu henkilötietojen suojaa koskevien unionin oikeuden säännösten ja määräysten soveltamisalaan myös silloin, kun kansallisella lainsäädännöllä pyritään kansallisen turvallisuuden takaamiseen.(37) Tästä seuraa, että liikenteenharjoittajien ja matkanjärjestäjien suorittama PNR-tietojen siirtäminen, johon ne velvoitetaan PNR-lailla, kuuluu lähtökohtaisesti yleisen tietosuoja-asetuksen soveltamisalaan myös silloin, kun se on kyseisen lain 8 §:n 1 momentin 4 kohdan mukaista.

59.      Sitten tuon esille, että vaikka yleisen tietosuoja-asetuksen johdanto-osan 16 perustelukappaleessa todetaan, ettei kyseinen asetus koske ”kansallista turvallisuutta koskevia toimia”, ja vaikka poliisidirektiivin johdanto-osan 14 perustelukappaleessa todetaan, että ”kansallista turvallisuutta koskevia toimia [ja] kansallisia turvallisuuskysymyksiä käsittelevien virastojen tai yksiköiden toimia – – ei saisi pitää tämän direktiivin soveltamisalaan kuuluvina”, perusteet, joiden nojalla jäsenvaltion viranomaisen, viraston tai yksikön suorittama henkilötietojen käsittely kuuluu jommankumman edellä mainitun unionin oikeuden säädöksen, jolla järjestetään rekisteröityjen suojaaminen tällaiseen käsittelyyn nähden, soveltamisalaan tai jää sen ulkopuolelle, liittyvät loogisesti niin kyseiselle viranomaiselle, virastolle tai yksikölle annettuihin tehtäviin tai asianomaisen tietojenkäsittelyn tarkoituksiin. Unionin tuomioistuin onkin todennut, että yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdan, luettuna kyseisen asetuksen johdanto-osan 16 perustelukappaleen valossa, ”ainoana tarkoituksena on katsottava olevan sulkea mainitun asetuksen soveltamisalan ulkopuolelle sellainen henkilötietojen käsittely, jota valtion viranomaiset suorittavat sellaisen toiminnan yhteydessä, jonka tarkoituksena on kansallisen turvallisuuden turvaaminen, tai sellaisen toiminnan yhteydessä, jonka voidaan katsoa kuuluvan samaan ryhmään, joten pelkästään se seikka, että jokin toiminto on valtiolle tai viranomaiselle ominaista, ei ole riittävä, jotta kyseistä poikkeusta voitaisiin soveltaa tällaiseen toimintaan automaattisesti”.(38) Unionin tuomioistuin on täsmentänyt myös, että ”yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa tarkoitetut toiminnat, joiden tarkoituksena on kansallisen turvallisuuden turvaaminen, kattavat erityisesti – – toiminnat, joiden tarkoituksena on suojata keskeiset valtion tehtävät ja yhteiskunnan perustavanlaatuiset edut”.(39) Tästä seuraa, että jos jäsenvaltio antaa tiedustelu- ja turvallisuuspalvelulleen tehtäviä poliisidirektiivin 3 artiklan 7 alakohdan a alakohdassa luetelluilla aloilla, tiedustelu- ja turvallisuuspalvelun suorittama tietojenkäsittely näiden tehtävien hoitamiseksi kuuluu kyseisen direktiivin soveltamisalaan ja tarvittaessa myös PNR-direktiivin soveltamisalaan. Tuon yleisemmin esille, että unionin tuomioistuin on todennut toistuvasti tulkitessaan SEU 4 artiklan 2 kohtaa, johon muun muassa Belgian hallitus vetoaa, että pelkästään se, että kansallinen toimenpide on annettu kansallisen turvallisuuden suojaamiseksi, ei voi johtaa siihen, ettei unionin oikeutta sovelleta, ja vapauttaa jäsenvaltioita velvollisuudesta noudattaa unionin oikeutta,(40) mikä osoittaa unionin tuomioistuimen olevan haluton sulkemaan kansallisen turvallisuuden suojaamiseen liittyvää jäsenvaltioiden toimintaa automaattisesti kokonaan unionin oikeuden soveltamisalan ulkopuolelle.

60.      Kolmanneksi on katsottava kaikkien huomautuksia esittäneiden asianomaisten osapuolten näkemysten mukaisesti – Ranskan hallituksen näkemystä lukuun ottamatta – että toimivaltaisten Belgian viranomaisten suorittama PNR-tietojen käsittely PNR-lain 8 §:n 2 momentissa mainittuja tarkoituksia varten eli ”ulkorajoilla suoritettavien henkilötarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi”(41) ei kuulu yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa olevan poissulkemislausekkeen soveltamisalaan eikä minkään muunkaan kyseisessä artiklassa säädetyn poissulkemislausekkeen soveltamisalaan, joten se kuuluu yleisen tietosuoja-asetuksen soveltamisalaan. Toisin kuin Ranskan hallitus väittää, tällaiseen tietojenkäsittelyyn ei voida soveltaa PNR-direktiiviä, jonka 1 artiklan 2 kohdassa säädetään, että ”tämän direktiivin mukaisesti kerättyjä PNR-tietoja saa käsitellä ainoastaan terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten”, eikä lähtökohtaisesti myöskään poliisidirektiiviä, jota sovelletaan sen 1 artiklan 1 kohdan mukaisesti vain toimivaltaisten viranomaisten suorittamaan henkilötietojen käsittelyyn ”rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten”. Kuten ennakkoratkaisupyynnöstä ilmenee, PNR-laki sisältää säännökset, joita sovelletaan PNR-tietojen käsittelyyn rajavalvonnan parantamista ja laittoman maahanmuuton torjumista varten, ja siinä säädetään tätä varten matkustajatietoyksikköjen suorittamasta kyseisten tietojen siirtämisestä muun muassa rajavalvonnasta vastaaville poliisiviranomaisille, ja lisäksi PNR-lain 8 §:n 2 momentilla ja 11 luvulla on saatettu API-direktiivi ja direktiivi 2010/65 osaksi Belgian lainsäädäntöä. Näillä kahdella direktiivillä velvoitetaan toimivaltaiset viranomaiset noudattamaan direktiivin 95/46 säännöksiä niissä säädettyä käsittelyä harjoittaessaan.(42) Toisin kuin Ranskan hallitus väittää, kyseisen viittauksen, joka kohdistuu viimeksi mainitun direktiivin suojaaviin säännöksiin, on katsottava käsittävän kaiken API-direktiiviin ja direktiiviin 2010/65 perustuvan henkilötietojen käsittelyn. Sillä, että API-direktiivi on annettu ennen puitepäätöksen 2008/977 voimaantuloa, ei ole tältä osin merkitystä, koska kyseinen puitepäätös koskee sen korvanneen poliisidirektiivin tavoin vain API-direktiivin 3 artiklan 1 kohdassa tarkoitettua henkilötietojen käsittelyä, jota toimivaltaiset viranomaiset suorittavat lainvalvontatarkoituksia varten.(43)

61.      Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa ensimmäiseen ennakkoratkaisukysymykseen siten, että yleisen tietosuoja-asetuksen 23 artiklaa, luettuna yhdessä kyseisen asetuksen 2 artiklan 2 kohdan d alakohdan kanssa, on tulkittava seuraavasti:

–        sitä sovelletaan kansalliseen lainsäädäntöön, jolla PNR-direktiivi on saatettu osaksi kansallista lainsäädäntöä, siltä osin kuin kyseisessä lainsäädännössä säädetään liikenteenharjoittajien ja muiden talouden toimijoiden suorittamasta PNR-tietojen käsittelystä, mukaan lukien kyseisen direktiivin 8 artiklassa tarkoitettu PNR-tietojen siirtäminen matkustajatietoyksiköille;

–        sitä ei sovelleta kansalliseen lainsäädäntöön, jolla PNR-direktiivi on saatettu osaksi kansallista lainsäädäntöä, siltä osin kuin siinä säädetään toimivaltaisten kansallisten viranomaisten, myös matkustajatietoyksiköiden ja soveltuvin osin asianomaisen jäsenvaltion turvallisuus- ja tiedustelupalvelujen, suorittamasta tietojen käsittelystä kyseisen direktiivin 1 artiklan 2 kohdassa säädettyjä käsittelytarkoituksia varten;

–        sitä sovelletaan kansalliseen lainsäädäntöön, jolla API-direktiivi ja direktiivi 2010/65 on saatettu osaksi kansallista lainsäädäntöä ulkorajoilla suoritettavien henkilötarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi.

B       Toinen, kolmas, neljäs, kuudes ja kahdeksas ennakkoratkaisukysymys

62.      Cour constitutionnelle tiedustelee unionin tuomioistuimelta toisella, kolmannella, neljännellä ja kuudennella ennakkoratkaisukysymyksellään PNR-direktiivin pätevyydestä perusoikeuskirjan 7 ja 8 artiklaan sekä 52 artiklan 1 kohtaan nähden. Vaikka kahdeksas ennakkoratkaisukysymys on muotoiltu tulkintakysymykseksi, silläkin pyydetään unionin tuomioistuinta lähinnä lausumaan kyseisen direktiivin pätevyydestä.

63.      Nämä kysymykset koskevat PNR-direktiivillä käyttöön otetun PNR-tietojen käsittelyjärjestelmän eri osia, ja niissä pyydetään arvioimaan kunkin tällaisen osan suhteen, täyttyvätkö perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien käyttämiselle asetettujen rajoitusten lainmukaisuuden edellytykset. Toinen ja kolmas ennakkoratkaisukysymys koskevat siis liitteessä I olevaa PNR-tietojen luetteloa, neljäs PNR-direktiivin 3 artiklan 4 alakohdassa annettua matkustajan käsitteen määritelmää, kuudes PNR-tietojen käyttöä kyseisen direktiivin 6 artiklan mukaista etukäteisarviointia varten ja kahdeksas kyseisen direktiivin 12 artiklan 1 kohdan mukaista PNR-tietojen säilytysaikaa.

1.     Perusoikeuskirjan 7 ja 8 artiklassa vahvistetut perusoikeudet

64.      Perusoikeuskirjan 7 artiklassa taataan jokaiselle oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan. Perusoikeuskirjan 8 artiklan 1 kohdassa puolestaan tunnustetaan nimenomaisesti jokaiselle oikeus henkilötietojensa suojaan. Vakiintuneen oikeuskäytännön mukaan nämä oikeudet, jotka liittyvät kaikkeen yksilöityä tai yksilöitävissä olevaa luonnollista henkilöä koskevaan tietoon, liittyvät läheisesti toisiinsa, koska luonnollisen henkilön henkilötietoihin pääsy niiden säilyttämistä ja käyttöä varten vaikuttaa tämän henkilön yksityiselämän kunnioittamista koskevaan oikeuteen.(44)

65.      Perusoikeuskirjan 7 ja 8 artiklassa vahvistetut oikeudet eivät kuitenkaan vaikuta ehdottomilta, vaan ne on suhteutettava siihen tehtävään, joka niillä on yhteiskunnassa.(45) Perusoikeuskirjan 8 artiklan 2 kohdassa sallitaan siten henkilötietojen käsittely, jos tietyt edellytykset täyttyvät. Kyseisen määräyksen mukaan henkilötietojen käsittelyn on oltava ”asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla”.

66.      Henkilötietojen suojaamista koskevaa oikeutta sekä yksityisyyden suojaa koskevaa oikeutta rajoitettaessa on lisäksi noudatettava perusoikeuskirjan 52 artiklan 1 kohdan määräyksiä. Tällaisesta rajoituksesta on siis säädettävä lailla sekä edellä mainittujen oikeuksien keskeistä sisältöä kunnioittaen, ja rajoitusten on oltava suhteellisuusperiaatteen mukaisesti välttämättömiä ja vastattava tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

67.      Kyseisiä oikeuksia rajoittavan toimenpiteen arvioinnissa on otettava huomioon myös perusoikeuskirjan 3, 4, 6 ja 7 artiklassa vahvistettujen oikeuksien tärkeys sekä kansallisen turvallisuuden suojelua ja vakavan rikollisuuden torjuntaa koskevien tavoitteiden tärkeys, millä myötävaikutetaan muiden henkilöiden oikeuksien ja vapauksien suojeluun.(46) Perusoikeuskirjan 6 artiklassa vahvistetaan tältä osin jokaiselle oikeus paitsi vapauteen myös turvallisuuteen.(47)

68.      Lisäksi perusoikeuskirjan 52 artiklan 3 kohdan tarkoituksena on varmistaa tarvittava johdonmukaisuus perusoikeuskirjass vahvistettujen oikeuksien ja Euroopan ihmisoikeussopimuksessa taattujen vastaavien oikeuksien välillä, ja viimeksi mainitut oikeudet on otettava huomioon vähimmäissuojan tasona.(48) Perusoikeuskirjan 7 artiklassa vahvistettu oikeus yksityis- ja perhe-elämän kunnioittamiseen vastaa Euroopan ihmisoikeussopimuksen 8 artiklassa taattua oikeutta, ja sille on näin ollen annettava sama merkitys ja ulottuvuus.(49) Euroopan ihmisoikeustuomioistuimen oikeuskäytännöstä ilmenee, että kyseisessä artiklassa taattuihin oikeuksiin puuttuminen voidaan perustella kyseisen artiklan 2 kappaleen osalta vain, jos tällaisesta puuttumisesta säädetään laissa, sillä pyritään yhteen tai useampaan kyseisessä kappaleessa lueteltuun hyväksyttävään päämäärään ja se on demokraattisessa yhteiskunnassa välttämätön kyseisen päämäärän tai kyseisten päämäärien saavuttamiseksi.(50) Toimenpiteen on oltava myös Euroopan ihmisoikeussopimuksen johdanto-osassa nimenomaisesti mainitun ja sen 8 artiklan kohteeseen ja tavoitteeseen erottamattomasti liittyvän oikeuden ensisijaisuuden periaatteen mukainen.(51)

69.      Kyseiset periaatteet on otettava huomioon tarkasteltaessa Cour constitutionnellen esittämiä pätevyyden arviointia koskevia kysymyksiä.

2.     Perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttuminen

70.      Unionin tuomioistuin on jo todennut, että säännöksiä, joilla velvoitetaan ilmoittamaan luonnollisten henkilöiden henkilötietoja viranomaisen kaltaiselle kolmannelle tai sallitaan tällainen ilmoittaminen, on kyseessä olevien tietojen jatkokäytöstä riippumatta pidettävä silloin, kun kyseiset luonnolliset henkilöt eivät ole antaneet suostumustaan, puuttumisena heidän yksityiselämäänsä ja siten perusoikeuskirjan 7 artiklassa taatun perusoikeuden rajoittamisena, vaikka ne voitaisiinkin mahdollisesti oikeuttaa.(52) Näin on myös silloin, kun ei ole olemassa seikkoja, joiden perusteella tämä puuttuminen voitaisiin katsoa vakavaksi, eikä merkitystä ole sillä, ovatko kyseessä olevat yksityiselämään liittyvät tiedot arkaluonteisia vai eivät tai onko asianomaisille mahdollisesti aiheutunut haittaa tästä puuttumisesta.(53) Viranomaisten pääsyllä tällaisiin tietoihin puututaan myös perusoikeuskirjan 8 artiklassa taattuun henkilötietojen suojaa koskevaan perusoikeuteen, koska se merkitsee henkilötietojen käsittelyä.(54) Myös henkilön yksityiselämään liittyvien tietojen säilyttäminen tietyn ajan merkitsee sellaisenaan puuttumista perusoikeuskirjan 7 ja 8 artiklassa taattuihin oikeuksiin.(55)

71.      Unionin tuomioistuin on jo todennut myös, että liitteessä I lueteltujen tietojen kaltaiset PNR-tiedot sisältävät tietoja tunnistetuista luonnollisista henkilöistä eli asianomaisista lentomatkustajista ja että ne eri käsittelyt, joiden kohteena kyseiset tiedot voivat olla, vaikuttavat siten perusoikeuskirjan 7 artiklassa taattuun yksityiselämän kunnioittamista koskevaan perusoikeuteen. Nämä käsittelyt kuuluvat myös perusoikeuskirjan 8 artiklan soveltamisalaan, ja niiden on näin ollen välttämättä täytettävä kyseisessä artiklassa määrätyt tietosuojan vaatimukset.(56)

72.      PNR-direktiivissä sallittu PNR-tietojen käsittely ja erityisesti käsiteltävän asian kannalta merkityksellinen käsittely eli lentoliikenteen harjoittajien suorittama PNR-tietojen siirtäminen matkustajatietoyksiköille, PNR-tietojen käyttö näissä yksiköissä, PNR-tietojen myöhempi siirtäminen kyseisen direktiivin 7 artiklassa tarkoitetuille toimivaltaisille kansallisille viranomaisille ja PNR-tietojen säilyttäminen merkitsevät siis niin ikään puuttumista perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin.

73.      Näiden oikeuksiin puuttumisten vakavuudesta on tuotava esille ensinnäkin, että PNR-direktiivissä säädetään kaikkien kyseisen direktiivin 3 artiklan 4 alakohdassa annetun määritelmän mukaisten, kyseisen direktiivin 3 artiklan 2 alakohdassa tarkoitetulla EU:n ulkopuolisella lennolla matkustavien lentomatkustajien PNR-tietojen järjestelmällisestä ja jatkuvasta siirtämisestä matkustajatietoyksiköille. Tällainen tietojen siirtäminen merkitsee sitä, että matkustajatietoyksiköillä on yleinen pääsy kaikkiin niille välitettyihin PNR-tietoihin.(57) Toisin kuin muutamat jäsenvaltiot ovat esillä olevan menettelyn yhteydessä väittäneet, tätä toteamusta ei kyseenalaista se seikka, että matkustajatietoyksiköillä on varsinaisesti pääsy vain niihin tietoihin, joiden osalta arviointi on tuottanut osuman, sillä kyseiset tiedot käsitellään automaattisesti. Tämä seikka ei nimittäin yhtäältä ole toistaiseksi estänyt unionin tuomioistuinta toteamasta samankaltaisten, massoittain kerättyjen tai säilytettyjen henkilötietojen automaattisten käsittelyjärjestelmien yhteydessä, että asianomaisilla viranomaisilla on yleinen pääsy kyseisiin tietoihin. Toisaalta pelkkä henkilötietojen antaminen viranomaisten käyttöön, jotta viranomaiset voivat käsitellä ja säilyttää niitä, merkitsee ensinäkemältä viranomaisten yleistä ja täydellistä pääsyä tällaisiin tietoihin ja puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin.

74.      Toiseksi PNR-direktiivin 2 artiklan 1 kohdan mukaisesti jäsenvaltiot voivat päättää soveltaa kyseistä direktiiviä kyseisen direktiivin 3 artiklan 3 alakohdassa tarkoitettuihin EU:n sisäisiin lentoihin. Tuon tältä osin esille yhtäältä, ettei PNR-direktiivissä säädetä pelkästään jäsenvaltioiden mahdollisuudesta ulottaa direktiivi koskemaan EU:n sisäisiä lentoja, vaan siinä määritetään myös sekä muodolliset että aineelliset edellytykset tämän mahdollisuuden käyttämiselle(58) ja täsmennetään, että kun tätä mahdollisuutta käytetään vain joidenkin EU:n sisäisten lentojen kohdalla, lennot valittaessa on otettava huomioon kyseisen direktiivin tavoitteet.(59) Toisaalta PNR-direktiivin 2 artiklan 2 kohdassa säädetään kyseisen mahdollisuuden käyttämisen seurauksista, että jos jäsenvaltio päättää soveltaa kyseistä direktiiviä EU:n sisäisiin lentoihin, kaikkia direktiivin säännöksiä ”sovelletaan EU:n sisäisiin lentoihin ja EU:n sisäisten lentojen PNR-tietoihin ikään kuin kyseessä olisivat EU:n ulkopuoliset lennot ja EU:n ulkopuolisten lentojen PNR-tiedot”.

75.      Olen näin ollen toista mieltä kuin muutamat esillä olevassa menettelyssä huomautuksia esittäneistä hallituksista: vaikka PNR-direktiivin soveltaminen EU:n sisäisiin lentoihin on jäsenvaltioiden valittavissa, oikeusperusta yksityiselämän kunnioittamista ja henkilötietojen suojaamista koskeviin oikeuksiin puuttumiselle siirrettäessä, käsiteltäessä ja säilytettäessä kyseisiin lentoihin liittyviä PNR-tietoja muodostuu PNR-direktiivistä silloin, kun tällainen valinta on tehty.

76.      Kyseinen direktiivi ei koske Tanskan kuningaskuntaa,(60) joten sitä lukuun ottamatta lähes kaikki jäsenvaltiot soveltavat direktiivin säännöstöä EU:n sisäisiin lentoihin.(61) Kyseistä säännöstöä sovelletaan siis kaikkiin unioniin saapuviin ja sieltä lähteviin lentoihin sekä lähes kaikkiin unionin sisällä lennettäviin lentoihin.

77.      Kolmanneksi liitteessä I luetellaan PNR-tietojen osalta 19 otsikkoa, jotka koskevat biografisia tietoja,(62) yksityiskohtaisia tietoja lentomatkasta(63) ja muita tietoja, joita kerätään lentokuljetussopimuksen yhteydessä, kuten puhelinnumero, sähköpostiosoite, maksutapaa koskevat tiedot, matkatoimisto tai matkatoimistovirkailija, matkatavaratiedot sekä yleiset huomautukset.(64) Kuten unionin tuomioistuin on todennut lausunnon 1/15 128 kohdassa ottaessaan kantaa matkustajarekisteritietojen siirtämistä ja käsittelyä koskevan Kanadan ja Euroopan unionin välisen suunnitellun sopimuksen (jäljempänä suunniteltu Kanada–EU-PNR-sopimus) liitteessä oleviin otsikkoihin, jotka oli muotoiltu suurelta osin vastaavalla tavalla kuin liitteessä I, ”vaikka jotkin PNR-tiedoista eivät erikseen tarkasteltuina näytä voivan paljastaa merkittäviä tietoja asianomaisten henkilöiden yksityiselämästä, kyseiset tiedot voivat yhdessä tarkasteltuina muun muassa paljastaa koko matkareitin, matkustustottumuksia, kahden tai useamman henkilön välisiä suhteita sekä tietoja lentomatkustajien taloudellisesta tilanteesta, heidän ravintotottumuksistaan tai heidän terveydentilastaan, ja ne voisivat jopa välittää näistä matkustajista – – arkaluonteisia tietoja”.

78.      Neljänneksi PNR-direktiivin 6 artiklan mukaan lentoliikenteen harjoittajien siirtämät tiedot on tarkoitettu matkustajatietoyksikön analysoitavaksi automaattisilla välineillä järjestelmällisesti eli riippumatta siitä, viittaako mikään siihen, että rekisteröidyt saattaisivat olla osallisina terrorismirikoksissa tai vakavassa rikollisuudessa. Erityisesti kyseisen direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen matkustajien etukäteisarvioinnin yhteydessä kyseiset tiedot voidaan tarkistaa saman artiklan 3 kohdan mukaisesti vertaamalla niitä ”olennaisiin” tietokantoihin (6 artiklan 3 kohdan a alakohta) ja käsitellä ennalta määritettyjen kriteerien mukaisesti (6 artiklan 3 kohdan b alakohta). Ensin mainitun kaltainen käsittely voi tuottaa lisätietoa rekisteröityjen yksityiselämästä,(65) ja sen mukaan, mitä tietokantoja vertailussa käytetään, sen avulla voidaan jopa laatia näistä henkilöistä tarkka profiili. Näin ollen useiden hallitusten esittämä vastaväite, jonka mukaan PNR-direktiivissä annetaan pääsy vain suhteellisen pieneen henkilötietojen joukkoon, ei vastaa asianmukaisella tavalla sitä, miten laajasti kyseisellä direktiivillä on mahdollista puuttua perusoikeuskirjan 7 ja 8 artiklalla suojattuihin perusoikeuksiin siltä kannalta, miten laajaan kirjoon erilaisia tietoja direktiivin nojalla voi saada pääsyn. Jälkimmäisenä mainitun kaltaisesta PNR-direktiivin 6 artiklan 3 kohdan b alakohdan mukaisesta tietojenkäsittelystä on muistutettava, että unionin tuomioistuin on korostanut lausunnon 1/15 169 ja 172 kohdassa, että kaikenlaisiin ennalta määritettyjen kriteerien perusteella tapahtuviin analyyseihin liittyy väistämättä tietty virhemarginaali ja erityisesti jonkin verran ”vääriä positiivisia” tuloksia. Komission vuoden 2020 kertomukseen liitettyyn komission yksiköiden valmisteluasiakirjaan(66) (jäljempänä vuoden 2020 valmisteluasiakirja) sisältyvien tilastotietojen mukaan PNR-direktiivin 6 artiklan 5 kohdan mukaisen yksittäin suoritetun tarkastuksen jälkeen virheellisiksi osoittautuneiden osumien määrä on melko huomattava: vuosina 2018 ja 2019 virheellisen osuman oli tuottanut vähintään viisi henkilöä kuudesta tunnistetusta henkilöstä.(67)

79.      Viidenneksi PNR-direktiivin 12 artiklan 1 kohdan mukaisesti PNR-tietoja säilytetään matkustajatietoyksikön tietokannassa viiden vuoden ajan sen jälkeen, kun ne on toimitettu sen jäsenvaltion matkustajatietoyksikölle, jonka alueelle lento laskeutui tai jonka alueelta se lähti. PNR-direktiivillä annetaan näin mahdollisuus pitää tietoja lentomatkustajien yksityiselämästä käytettävissä erityisen pitkän ajan.(68) Lisäksi koska PNR-tietojen siirtäminen koskee lähes kaikkia unionista lähteviä ja sinne saapuvia lentoja sekä unionin sisäisiä lentoja ja koska lentokoneesta on tullut pikemminkin tavanomainen liikenneväline, henkilötietoja voidaan säilyttää huomattavan suuresta osasta lentomatkustajia käytännössä pysyvästi pelkästään siksi, että nämä tekevät vähintään kaksi lentomatkaa viiden vuoden välein.

80.      Yleisesti on vielä todettava, että PNR-direktiivissä säädetään toimenpiteistä, joilla kokonaisuutena tarkastellen otetaan unionin tasolla käyttöön valvontajärjestelmä, joka on kohdentamaton, eli se ei käynnisty yhteen tai useampaan yksittäiseen henkilöön kohdistuvan epäilyn perusteella; joka on massiivinen, eli käsiteltävät henkilötiedot kuuluvat valtavalle määrälle yksittäisiä ihmisiä(69) ja ne kattavat yhden ihmisryhmän kokonaan, (70) ja joka on ennakoiva, koska tiedossa olevien uhkien tutkimisen lisäksi sillä pyritään löytämään tai tunnistamaan myös toistaiseksi tuntemattomia uhkia.(71) Tällaiset toimenpiteet johtavat jo luonteensa puolesta siihen, että perusoikeuskirjan 7 ja 8 artiklalla suojattuihin perusoikeuksiin puututaan vakavalla tavalla(72) erityisesti siksi, että toimenpiteiden ennaltaehkäisevä ja ennakoiva tavoite edellyttää laajoihin väestönosiin liittyvien henkilötietojen arviointia, jonka tarkoituksena on tunnistaa henkilöt, jotka toimivaltaisten viranomaisten olisi tutkittava kyseisen arvioinnin tuloksen perusteella tarkemmin.(73) Lisäksi kun massoittain kerättyjen erilaisten henkilötietojen suurimittaista käsittelyä sekä tietojen vertailua ja yhdistettyä käsittelyä käytetään yhä yleisemmin tietyntyyppisen vakavan rikollisuuden estämiseen, saadaan aikaan kerrannaisvaikutus, joka lisää yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien perusoikeuksien rajoittamisen vakavuutta ja saattaa suosia ajautumista vähitellen kohti valvontayhteiskuntaa.(74)

81.      Kaikkien edellä esitettyjen seikkojen perusteella katson, että PNR-direktiivillä puututaan perusoikeuskirjan 7 ja 8 artiklalla suojattuihin perusoikeuksiin vähintäänkin vakavana pidettävällä tavalla.

82.      Kuten erityisesti komissio esittää, on totta, että kaikilla PNR-direktiivissä säädetyillä takeilla ja suojatoimilla, joilla pyritään erityisesti estämään PNR-tietojen väärinkäyttö, voidaan vähentää näihin oikeuksiin puuttumisen laajuutta tai vakavuutta. Kaikkiin säännöstöihin, joiden mukaan viranomaiset voivat päästä henkilötietoihin ja käsitellä niitä, liittyy asiaankuuluvien perusoikeuksien suojelemisen näkökulmasta tietynasteinen vakavuus, joka johtuu näiden säännöstöjen objektiivisista ominaispiirteistä. Tämä vakavuuden aste on nähdäkseni määritettävä, ennen kuin ryhdytään arvioimaan kyseisten oikeuksiin puuttumisten oikeasuhtaisuuden tarkastelun yhteydessä sitä, ovatko kyseisen säännöstön mukaiset suojatoimet riittäviä ja asianmukaisia. Näin unionin tuomioistuin vaikuttaa tähän asti menetelleen.

83.      Jotta PNR-direktiivistä johtuva puuttuminen yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin olisi yhteensopivaa perusoikeuskirjan kanssa, on edellä tämän ratkaisuehdotuksen 65 ja 66 kohdassa esille otettujen edellytysten täytyttävä, ja näiden edellytysten täyttymistä tutkitaan jäljempänä ennakkoratkaisua pyytäneen tuomioistuimen unionin tuomioistuimen tietoon saattamien näkökohtien rajoissa.

3.     PNR-direktiivistä johtuvan oikeuksiin puuttumisen oikeuttaminen

84.      Kolmas ennakkoratkaisukysymys koskee perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisessä virkkeessä asetettua edellytystä, jonka mukaan perusoikeuksia voidaan rajoittaa ainoastaan lailla, ja toisessa, neljännessä, kuudennessa ja kahdeksannessa ennakkoratkaisukysymyksessä unionin tuomioistuimelta tiedustellaan erityisesti kyseisen määräyksen toisessa virkkeessä tarkoitetun suhteellisuusperiaatteen noudattamisesta.

a)     Sen edellytyksen täyttyminen, että perusoikeuskirjassa vahvistetun oikeuden käyttämistä voidaan rajoittaa ainoastaan lailla

85.      Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä(75) vaikutteita saaneen unionin tuomioistuimen vakiintuneen oikeuskäytännön(76) mukaan edellytys, jonka mukaan perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla, tarkoittaa paitsi sitä, että oikeuksiin puuttumisella on oltava lainsäädännöllinen alkuperä (jota käsiteltävässä asiassa ei ole), myös sitä, että oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä selkeästi ja täsmällisesti kyseisen puuttumisen laajuus. Tämä jälkimmäinen puoli liittyy ”lain laatuun” ja siten kyseessä olevan toimenpiteen saatavuuteen ja ennakoitavuuteen,(77) se kattaa ilmauksen ”laissa säädetty” niin perusoikeuskirjan 52 artiklan 1 kohdassa ja perusoikeuskirjan 8 artiklan 2 kohdassa kuin Euroopan ihmisoikeussopimuksen 8 artiklassa tarkoitetussa merkityksessä ja sillä pyritään varmistamaan laillisuusperiaatteen noudattaminen ja riittävä suoja mielivaltaa vastaan,(78) ja lisäksi sillä täytetään oikeusvarmuutta koskeva pakottava vaatimus. Tämä edellytys mainitaan myös matkustajarekisteritietojen käsittelyn vaikutuksista tietosuojaan 19.8.2016 annetussa yleissopimuksen N:o 108 nojalla perustetun neuvoa-antavan komitean(79) lausunnossa (jäljempänä 19.8.2016 annettu lausunto).(80)

86.      PNR-direktiivin antaessaan unionin lainsäätäjä on rajoittanut itse perusoikeuskirjan 7 ja 8 artiklassa vahvistettuja oikeuksia. Kyseisessä direktiivissä säädetyn mukaista näihin oikeuksiin puuttumista ei siis voida pitää jäsenvaltioiden valinnan seurauksena,(81) vaikka jäsenvaltiot ovat voineet käyttää harkintavaltaa saattaessaan direktiivin osaksi kansallista lainsäädäntöään, vaan oikeuksiin puuttumisen oikeusperustana on itse PNR-direktiivi. Näin ollen unionin lainsäätäjän on säädettävä selkeitä ja täsmällisiä sääntöjä, joissa määritellään niiden toimenpiteiden laajuus ja soveltamisala, joissa säädetään oikeuksiin puuttumisesta, jotta se noudattaisi edellä tämän ratkaisuehdotuksen 85 kohdassa mainittua oikeuskäytäntöä sekä erityisesti perusoikeuskirjan ja Euroopan ihmisoikeussopimuksen, joihin viitataan PNR-direktiivin johdanto-osan 15 perustelukappaleessa, mukaista perusoikeuksien suojan korkeaa tasoa.

87.      Vaikka ennakkoratkaisua pyytänyt tuomioistuin pohtii kolmannessa ennakkoratkaisukysymyksessään nimenomaisesti kyseisen velvoitteen noudattamista liitteessä I olevien 12 ja 18 kohdan osalta, tarkasteltaessa toista, neljättä ja kuudetta ennakkoratkaisukysymystä, joissa ennakkoratkaisua pyytänyt tuomioistuin epäilee PNR-direktiivin mukaisen perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen välttämättömyyttä, on otettava kantaa myös siihen, ovatko kyseiset PNR-direktiivin säännökset riittävän selkeitä ja täsmällisiä.

88.      Kuten olen todennut edellä tämän ratkaisuehdotuksen 85 kohdassa, vaikka kyseinen arviointi koskee oikeuksiin puuttumisen laillisuutta perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisessä virkkeessä tarkoitetulla tavalla, teen tämän arvioinnin tarkastellessani saman kohdan toisessa virkkeessä tarkoitettua oikeuksiin puuttumisen oikeasuhteisuutta noudattaen samaa lähestymistapaa, jota sekä unionin tuomioistuin että Euroopan ihmisoikeustuomioistuin ovat noudattaneet asioissa, joissa on ollut kyse henkilötietojen käsittelyä koskevista toimenpiteistä.(82)

b)     Perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien keskesen sisällön kunnioittaminen

89.      Perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisen virkkeen mukaisesti perusoikeuksien käyttämistä koskevilla rajoituksilla on oltava riittävän täsmällinen oikeusperusta, ja lisäksi niiden on kunnioitettava perusoikeuksien keskeistä sisältöä.

90.      Kuten olen tuonut esille edellä tämän ratkaisuehdotuksen 66 kohdassa, kyseinen edellytys, joka sisältyy useiden eri jäsenvaltioiden perustuslakeihin(83) ja joka on vakiintunut Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön,(84) vaikkei sitä tunnustetakaan nimenomaisesti Euroopan ihmisoikeussopimuksessa, on kirjattu perusoikeuskirjan 52 artiklan 1 kohtaan.(85) Unionin tuomioistuin on tunnustanut tämän edellytyksen jo paljon ennen sen kirjaamista lainsäädäntöön,(86) ja se on vahvistettu toistuvasti unionin tuomioistuinten oikeuskäytännössä myös Lissabonin sopimuksen voimaantulon jälkeen.

91.      Erityisesti 6.10.2015 annetusta tuomiosta Schrems(87) ilmenee, että se, ettei unionin säädös kunnioita perusoikeuden keskeistä sisältöä, johtaa automaattisesti kyseisen säädöksen mitättömyyteen tai pätemättömyyteen ilman, että kyseessä olevia etuja tarvitsee punnita. Unionin tuomioistuin myöntää siis, että jokaisella perusoikeudella on ”tiivis ydin”, jolla taataan jokaiselle tietty vapauden vyöhyke, johon viranomaiset eivät voi puuttua ja jota ei voida rajoittaa(88) ilman, että perusoikeuksien suojaamisen taustalla olevat demokratian, oikeusvaltion ja ihmisarvon kunnioittamisen periaatteet kyseenalaistetaan. Lisäksi sekä perusoikeuskirjan 52 artiklan 1 kohdan sanamuodosta että unionin tuomioistuimen oikeuskäytännöstä ja erityisesti tuomiosta Schrems I ilmenee, että kyseessä olevan perusoikeuden keskeiseen sisältöön puuttumista koskeva arviointi on toteutettava ennen riitautetun toimenpiteen oikeasuhteisuuden arviointia ja tästä arvioinnista riippumatta. Kyseessä on toisin sanoen itsenäinen arviointi.

92.      Näin ollen on erittäin hankalaa määrittää, mikä muodostaa perusoikeuden, jonka käyttämistä voidaan rajoittaa, keskeisen ja siten koskemattoman sisällön. Vaikka tämä käsite pitäisi pystyä määrittelemään tyhjentävästi, jotta se voisi täyttää tehtävänsä, kun huomioon otetaan kyseessä olevan perusoikeuden keskeiset ominaispiirteet, sillä suojatut subjektiiviset ja objektiiviset intressit sekä yleisemmin sen tehtävä ihmisarvon kunnioittamiseen perustuvassa demokraattisessa yhteiskunnassa,(89) käytännössä tällainen määrittäminen osoittautuu lähes mahdottomaksi, ainakin jos huomioon ei oteta kyseessä olevaan oikeuteen puuttumisen oikeasuhteisuuden tarkastelussa tavanomaisesti käytettyjä arviointiperusteita, kuten puuttumisen vakavuutta, laajuutta tai ajallista ulottuvuutta, ja siten ottamatta huomioon kunkin yksittäistapauksen erityispiirteitä.

93.      Yksityiselämän kunnioittamista koskevan perusoikeuden kohdalla on otettava erityisesti huomioon paitsi sen tärkeys jokaisen henkilön psyykkiselle ja fyysiselle terveydelle, hyvinvoinnille, itsemääräämisoikeudelle, henkilökohtaiselle kukoistukselle, kyvylle solmia ja ylläpitää sosiaalisia suhteita ja mahdollisuudelle säilyttää yksityisyys, jonka suojissa pystyy kehittämään sisimpäänsä, myös kyseisen oikeuden rooli muiden oikeuksien ja vapauksien, kuten ajatuksen-, omantunnon-, uskonnon- ja sananvapauden sekä tiedon vastaanottamisen ja välittämisen vapauden turvaamisessa, sillä näiden oikeuksien ja vapauksien täysimääräinen käyttäminen edellyttää yksityisyyden piirin tunnustamista. Yleisemmin on otettava huomioon se tehtävä, joka yksityiselämän kunnioittamista koskevalla oikeudella on demokraattisessa yhteiskunnassa.(90) Unionin tuomioistuin vaikuttaa ottavan kyseisen oikeuden keskeiseen sisältöön puuttumista arvioidessaan huomioon sekä tämän puuttumisen intensiteetin että laajuuden, minkä perusteella voidaan ajatella, että oikeuden loukkaaminen määritellään pikemmin kvantitatiivisesti kuin kvalitatiivisesti. Unionin tuomioistuin on siten katsonut yhtäältä tuomiossa Digital Rights, että direktiivissä 2006/24/EY(91) edellytetty tietojen säilyttämisvelvollisuus ei ole niin vakavaa, että se vaikuttaisi yksityiselämän kunnioittamista koskevan perusoikeuden keskeiseen sisältöön, sillä siinä ei sallita ”tiedon saamista sähköisen viestinnän sisällöstä sellaisenaan”.(92) Toisaalta unionin tuomioistuin on todennut lausunnossa 1/15, että rajoitus, joka ulottuu ainoastaan asianomaisen henkilön yksityiselämän tiettyihin näkökohtiin, ei ole puuttumista kyseisen perusoikeuden keskeiseen sisältöön.(93)

94.      Unionin tuomioistuin vaikuttaa katsovan, että henkilötietojen suojaamista koskevan perusoikeuden keskeinen sisältö säilyy, kun toimenpiteessä, jolla kyseiseen oikeuteen puututaan, rajataan käsittelyn tarkoitukset ja säädetään säännöistä, joilla varmistetaan asianomaisten tietojen tietoturva erityisesti tahattomalta tai laittomalta tuhoamiselta sekä tahattomalta kadottamiselta tai muuttamiselta suojaamiseksi.(94)

95.      Vaikka ennakkoratkaisua pyytänyt tuomioistuin ei ole ottanut käsiteltävässä asiassa nimenomaisesti esille perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien keskeisen sisällön kunnioittamista koskevaa edellytystä, tämän edellytyksen täyttymistä koskeva kysymys piilee nähdäkseni neljännen ja kuudennen ennakkoratkaisukysymyksen taustalla. Tästä syystä ehdotan, että unionin tuomioistuin tarkastelee sitä.

96.      Muistutan tältä osin, että myöntäessään lausunnon 1/15 150 kohdassa, että ”PNR-tiedot voivat tarvittaessa paljastaa erittäin tarkkoja tietoja henkilön yksityiselämästä”(95) ja että nämä tiedot voivat paljastaa suoraan tai välillisesti arkaluonteisia tietoja rekisteröidystä,(96) unionin tuomioistuin toteaa kuitenkin suunnitellun Kanada–EU-PNR-sopimuksen osalta, ettei yksityiselämän kunnioittamista koskevan perusoikeuden rajoittaminen vaikuta kyseisen oikeuden keskeiseen sisältöön, koska ”näiden tietojen luonne rajoittuu tiettyihin yksityiselämän näkökohtiin, jotka koskevat erityisesti lentomatkoja Kanadan ja unionin välillä”.

97.      Lukuun ottamatta sitä, että suunnitellussa Kanada–EU-PNR-sopimuksessa tarkoitetut PNR-tiedot oli tarkoitus siirtää kolmanteen valtioon, minkä jälkeen niiden jatkokäsittelyn suorittaisivat kyseisen kolmannen valtion viranomaiset omalla alueellaan, kyseisestä suunnitellusta sopimuksesta ja PNR-direktiivin säännöksistä johtuvat yksityiselämän kunnioittamista koskevaan perusoikeuteen puuttumiset vastaavat luonteensa puolesta suurelta osin toisiaan. Tämä koskee erityisesti kyseessä olevia PNR-tietoja, näiden tietojen siirtämisen ja käsittelyn järjestelmällisyyttä ja yleisyyttä sekä käsittelyn automaattista luonnetta ja näiden tietojen säilyttämistä. Nämä kaksi eroavat sitä vastoin toisistaan oikeuteen puuttumisen ”maantieteelliseltä kattavuudelta”. Kuten olen tuonut esille edellä tämän ratkaisuehdotuksen 77 kohdassa, käsiteltävässä asiassa kyseessä olevien tietojen käsittely ei rajoitu nimittäin lentoyhteyksiin yhden ainoan kolmannen maan kanssa, kuten lausunnon 1/15 kohdalla, vaan se koskee lähes kaikkia unioniin saapuvia ja sieltä lähteviä sekä unionin sisällä lennettäviä lentoja. Tästä seuraa, että suunniteltuun Kanada–EU-PNR-sopimukseen verrattuna PNR-direktiivissä edellytetään järjestelmällistä tietojen käsittelyä EU:n sisäisillä ja EU:n ulkopuolisilla lennoilla huomattavasti suurempien matkustajamäärien osalta. Kun huomioon otetaan käsiteltyjen tietojen määrä sekä tietojen keräämisen tiheys, niiden käsittely tuottaa lisäksi todennäköisesti paljon enemmän ja paljon yksityiskohtaisempia tietoja rekisteröityjen yksityiselämästä (kuten matkustustottumuksista, ihmissuhteista ja taloudellisesta tilanteesta).

98.      Kuten lausunnon 1/15 kohdalla, nämä tiedot koskevat erikseen tarkasteltuina vain tiettyjä lentomatkustamiseen liittyviä yksityiselämän näkökohtia. Kun otetaan huomioon, että perusoikeuksien keskeisen sisällön käsite on määritettävä suppeasti, jotta se suojaisi edelleen kyseisten oikeuksien keskeiseen sisältöön puuttumiselta, unionin tuomioistuimen lausunnon 1/15 150 kohdassa tekemää päätelmää voidaan mielestäni soveltaa käsiteltävässä asiassa.

99.      Unionin tuomioistuin toteaa lausunnossa 1/15 myös, ettei henkilötietojen suojaamista koskevan oikeuden keskeiseen sisältöön puututa.(97) Tätä päätelmää voidaan nähdäkseni soveltaa myös käsiteltävän asian olosuhteissa. Kuten suunnitellussa Kanada–EU-PNR-sopimuksessa, myös PNR-direktiivin 1 artiklan 2 kohdassa rajataan nimittäin PNR-tietojen käsittelyn tarkoitukset. Lisäksi kyseisessä direktiivissä ja muissa unionin säädöksissä, joihin direktiivissä viitataan – erityisesti yleisessä tietosuoja-asetuksessa ja poliisidirektiivissä – on erillisiä säännöksiä, joilla on tarkoitus varmistaa erityisesti kyseisten tietojen luottamuksellisuus ja eheys sekä suojata niitä laittomalta pääsyltä ja käsittelyltä.

Vaikka PNR-direktiivissä säädetyn kaltaisen säännöstön ei voida katsoa vaikuttavan perusoikeuskirjan 7 ja 8 artiklassa suojattujen perusoikeuksien keskeiseen sisältöön, sen oikeasuhteisuus on tutkittava huolellisesti ja täsmällisesti.

c)     Sen edellytyksen täyttyminen, että oikeuteen puuttumisella on oltava yleisen edun mukainen tavoite

100. PNR-direktiivin tavoitteena on muun muassa varmistaa unionin sisäinen turvallisuus ja suojella ihmisten elämää ja turvallisuutta siirtämällä PNR-tietoja jäsenvaltioiden toimivaltaisille viranomaisille niiden käyttämiseksi terrorismin ja vakavan rikollisuuden torjunnassa.(98)

101. PNR-direktiivin 1 artiklan 2 kohdasta, luettuna yhdessä direktiivin johdanto-osan kuudennen ja seitsemännen perustelukappaleen kanssa, sekä komission ehdotuksesta, joka johti kyseisen direktiivin antamiseen (jäljempänä ehdotus PNR-direktiiviksi),(99) ilmenee erityisesti, että lainvalvontaviranomaiset(100) käyttävät PNR-tietoja tällaisen tavoitteen yhteydessä monin eri tavoin. Ensinnäkin näitä tietoja käytetään niiden henkilöiden tunnistamiseksi, jotka ovat olleet tai joiden epäillään olleen osallisina jo tehtyihin terrorismirikoksiin tai jo tapahtuneeseen vakavaan rikollisuuteen, sekä todisteiden keräämiseksi ja tarvittaessa rikoskumppanien löytämiseksi ja rikollisverkostojen hajottamiseksi (”reaktiivinen käyttö”). Toiseksi PNR-tietoja voidaan arvioida ennen matkustajien saapumista tai lähtöä rikoksen tekemisen estämiseksi ja sellaisten henkilöiden tunnistamiseksi, joita ei ole aiemmin epäilty osallisuudesta terrorismirikoksiin tai vakavaan rikollisuuteen ja joita lainvalvontaviranomaisten olisi tämän arvioinnin tulosten perusteella tutkittava tarkemmin (”reaaliaikainen käyttö”). PNR-tietoja käytetään vielä niiden arviointiperusteiden määrittelyyn, joita voidaan soveltaa arvioitaessa matkustajista aiheutuvaa riskiä ennen heidän saapumistaan ja lähtöään (”ennakoiva käyttö”). PNR-tietojen ennakoivan käytön avulla lainvalvontaviranomaisten pitäisi pystyä torjumaan vakavasta rikollisuudesta ja terrorismista aiheutuvaa uhkaa eri näkökulmasta verrattuna siihen, mitä henkilötietojen muiden luokkien käsittelyllä voidaan tehdä.(101)

102. Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että oikeusvarmuuden turvaamisen tavoite, joka kattaa muun muassa sekä terrorismirikosten että vakavaan rikollisuuteen kuuluvien rikosten ehkäisemisen, tutkinnan, selvittämisen ja syyteharkinnan, on perusoikeuskirjan 52 artiklan 1 kohdassa tarkoitettu unionin yleistä etua koskeva tavoite, joka voi oikeuttaa puuttumisen perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin vakavallakin tavalla.(102)

103. Unionin tuomioistuin on myöntänyt myös, että yleisen turvallisuuden suojaamisen ja vakavan rikollisuuden torjumisen tavoitteet myötävaikuttavat muiden henkilöiden oikeuksien ja vapauksien suojeluun.(103) Näitä tavoitteita sekä perusoikeuskirjan 7 ja 8 artiklassa vahvistettuja perusoikeuksia(104) punnittaessa on näin ollen pidettävä mielessä myös perusoikeuskirjan 3, 4, 6 ja 7 artiklassa vahvistettujen oikeuksien tärkeys. Tältä osin on todettava, että vaikka unionin tuomioistuin on katsonut tuomiossa La Quadrature du Net, ettei perusoikeuskirjan 6 artiklaa ”voida tulkita siten, että siinä asetettaisiin viranomaisille velvollisuus ryhtyä erityisiin toimenpiteisiin tietyistä rikoksista rankaisemiseksi”,(105) unionin tuomioistuin on sitä vastoin korostanut, kun on ollut kyse erityisesti alaikäisiin ja muihin heikossa asemassa oleviin henkilöihin kohdistuvien rikosten tehokkaasta torjunnasta, että viranomaisia koskevia toimintavelvollisuuksia sellaisten oikeudellisten toimenpiteiden toteuttamiseksi, joilla suojataan yksityis- ja perhe-elämää, voi seurata sekä perusoikeuskirjan 7 artiklasta että perusoikeuskirjan 3 ja 4 artiklasta, joissa on kyse jokaisen ruumiillisen ja henkisen koskemattomuuden suojaamisesta ja kidutuksen sekä epäinhimillisen tai halventavan kohtelun kiellosta.(106)

104. Unionin tuomioistuin on todennut vielä, että kansallisen turvallisuuden takaamista koskeva tavoite on tärkeämpi kuin rikollisuuden, jopa vakavan rikollisuuden, torjumista yleensä ja yleisen turvallisuuden suojaamista koskevat tavoitteet ja että kansallisen turvallisuuden takaamista koskevalla tavoitteella voidaan näin ollen oikeuttaa toimenpiteitä, joilla puututaan perusoikeuksiin vakavammin kuin toimenpiteillä, jotka voitaisiin oikeuttaa näillä muilla tavoitteilla.(107) Koska terrorismi voi uhata jäsenvaltioiden kansallista turvallisuutta, PNR-direktiivillä käyttöön otettu järjestelmä myötävaikuttaa jäsenvaltioiden kansallisen turvallisuuden takaamista koskevaan tavoitteeseen, koska sen avulla torjutaan kyseistä toimintaa.

d)     Suhteellisuusperiaatteen noudattaminen

105. Perusoikeuskirjan 52 artiklan 1 kohdan toisessa virkkeessä määrätään, että suhteellisuusperiaatteen mukaisesti perusoikeuskirjassa tunnustetun perusoikeuden käyttämiselle voidaan asettaa rajoituksia ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

106. Tästä on muistutettava, että suhteellisuusperiaate edellyttää unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan, että kyseessä olevan säännöstön legitiimit tavoitteet ovat toteutettavissa unionin toimielinten säädöksillä, päätöksillä ja muilla toimilla ja että niillä ei ylitetä niitä rajoja, jotka johtuvat siitä, mikä on tarpeellista näiden tavoitteiden toteuttamiseksi ja tähän soveltuvaa.(108)

107. Yksityiselämän kunnioittamista koskevan perusoikeuden suojeleminen edellyttää unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaisesti, että poikkeukset henkilötietojen suojaan ja tätä koskevat rajoitukset toteutetaan täysin välttämättömän rajoissa. Yleisen edun mukaiseen tavoitteeseen ei myöskään voida pyrkiä ottamatta huomioon sitä, että se on sovitettava yhteen niiden perusoikeuksien kanssa, joita toimenpide koskee, saattamalla yleisen edun mukainen tavoite ja kyseessä olevat oikeudet keskenään harmoniseen tasapainoon.(109) Perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien rajoittamisen oikeasuhteisuutta on arvioitava erityisesti mittaamalla tällaiseen rajoittamiseen sisältyvän puuttumisen vakavuus ja tarkastamalla, että kyseisen rajoituksen yleisen edun mukaisen tavoitteen tärkeys on suhteessa tähän vakavuuteen.(110)

108. Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että oikeasuhteisuutta koskevan edellytyksen täyttämiseksi PNR-direktiivissä, joka muodostaa edellä tämän ratkaisuehdotuksen 70–83 kohdassa kuvattuihin, perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen oikeusperustan, on säädettävä selvistä ja täsmällisistä kyseisen toimenpiteen laajuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden tietoja on säilytetty, on riittävät takeet, joiden avulla voidaan tehokkaasti suojata heidän henkilötietonsa väärinkäytön vaaroja vastaan sekä kaikenlaista näiden tietojen laitonta saantia ja käyttöä vastaan.(111) Tarve tällaisista takeista on tärkeä varsinkin silloin, kun – kuten käsiteltävässä asiassa – henkilötietoja käsitellään automaattisesti ja kun on suojattava henkilötietojen erityiskategoriaa eli arkaluonteisia tietoja.(112)

109. Suhteellisuusperiaatteesta johtuvien vaatimusten täyttymistä koskevan tuomioistuinvalvonnan laajuuden osalta on todettava, että kun huomioon otetaan henkilötietojen suojan tärkeä rooli yksityiselämän kunnioittamista koskevan perusoikeuden kannalta ja näihin oikeuksiin puuttuminen PNR-direktiivillä, on unionin lainsäätäjän harkintavalta pieni, joten tämän valvonnan on oltava tarkkaa.(113)

1)     PNR-direktiivin mukaisen PNR-tietojen käsittelyn soveltuvuus tavoitteeseen

110. Unionin tuomioistuin vahvistaa lausunnon 1/15 153 kohdassa suunnitellun Kanada–EU-PNR-sopimuksen osalta, että PNR-tietojen siirron Kanadaan ja niiden jatkokäsittelyn voidaan katsoa soveltuvan suunnitellun sopimuksen tavoitteen, yleisen turvallisuuden suojaamisen, toteutumisen varmistamiseen. Tämä soveltuminen tavoitteeseen on myönnetty jo kauan sitten sekä unionissa että maailmanlaajuisesti,(114) eikä sitä voida nähdäkseni kyseenalaistaa, kun kyseessä on PNR-tietojen kerääminen ja jatkokäsittely niin EU:n ulkopuolisilla kuin EU:n sisäisillä lennoilla.(115)

111. Näin ollen PNR-direktiivillä käyttöön otetun PNR-tietojen käsittelyjärjestelmän tehokkuus voidaan arvioida varsinaisesti ainoastaan tarkastelemalla sen soveltamisen tuloksia.(116) Tältä kannalta on oleellista arvioida tätä tehokkuutta jatkuvasti mahdollisimman täsmällisten ja luotettavien tilastotietojen perusteella.(117) Komission olisi toteutettava tässä yhteydessä säännöllisin väliajoin vastaavanlainen uudelleentarkastelu kuin se, josta säädetään PNR-direktiivin 19 artiklassa.

2)     Onko oikeuksiin puuttuminen täysin välttämätöntä?

112. Vaikka Cour constitutionnelle ei ole esittänyt nimenomaisesti epäilevänsä sitä, ovatko PNR-direktiiviin sisältyvät PNR-tietojen käsittelytarkoitusten rajaamista koskevat säännöt selkeitä, täsmällisiä ja täysin välttämättömiä,(118) kyseisen direktiivin mukaisen järjestelmän oikeasuhteisuuden arvioinnissa, jota ennakkoratkaisua pyytänyt tuomioistuin pyytää, on mielestäni tarkasteltava tätä kysymystä.(119)

i)     PNR-tietojen käsittelytarkoitusten rajaaminen

113. Niiden tarkoitusten rajaaminen selkeästi, joita varten toimivaltaiset viranomaiset pääsevät henkilötietoihin ja voivat jatkokäyttää niitä, on olennainen edellytys kaikille järjestelmille, joissa käsitellään tietoja erityisesti lainvalvontatarkoituksissa. Tämän edellytyksen on lisäksi täytyttävä, jotta unionin tuomioistuin voi arvioida kyseessä olevien toimenpiteiden oikeasuhteisuutta, kun se vertailee oikeuksiin puuttumisen vakavuutta ja oikeuskäytännössään vahvistetun tavoitteen tärkeyttä.(120)

114. Unionin tuomioistuin on korostanut yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevia perusoikeuksia rajoittavien toimenpiteiden tarkoitusten selkeää rajaamista erityisesti tuomiossa Digital Rights, jossa se toteaa direktiivin 2006/24 olevan pätemätön. Se huomauttaa kyseisen tuomion 60 kohdassa, ettei kyseisessä direktiivissä säädetty ”objektiivisesta perusteesta, jonka nojalla voitaisiin rajoittaa toimivaltaisten kansallisten viranomaisten oikeutta saada tietoja ja käyttää niitä myöhemmin sellaisten rikosten estämiseen, selvittämiseen tai syyteharkintaan, jotka voidaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen laajuuden ja vakavuuden yhteydessä katsoa riittävän vakaviksi, jotta ne oikeuttavat tällaisen puuttumisen”, ja että asianomaisen direktiivin 1 artiklan 1 kohdassa tyydytään päinvastoin ”viittaamaan yleisesti kunkin jäsenvaltion kansallisessa lainsäädännössä vakavaksi rikollisuudeksi määriteltyyn rikollisuuteen”.

115. PNR-direktiivin 1 artiklan 2 kohdassa säädetään tarkoitusten yleisestä rajaamisesta siten, että ”tämän direktiivin mukaisesti kerättyjä PNR-tietoja saa käsitellä vain terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten”. Toisin kuin direktiivissä 2006/24, PNR-direktiivissä ei kuitenkaan tyydytä pelkästään tähän, vaan sen 3 artiklan 8 ja 9 alakohdassa määritellään sekä terrorismirikosten että vakavan rikollisuuden käsitteet, joista ensin mainitun osalta viitataan terrorismin torjumisesta 13.6.2002 tehdyn neuvoston puitepäätöksen 2002/475/YOS (EYVL 2002, L 164, s. 3; korvattu direktiivillä (EU) 2017/541(121)) 1–4 artiklaan, ja jälkimmäisen käsitteen osalta luetellaan yhtäältä liitteessä II tätä käsitettä vastaavat rikokset ja määritetään toisaalta vakavuuden kynnysarvo tällaisista rikoksista määrättävän vankeusrangaistuksen tai turvaamistoimenpiteen enimmäiskeston perusteella.

116. Vaikka viittaamalla direktiivin 2017/541 merkityksellisiin säännöksiin voidaan luonnehtia riittävän selvästi ja täsmällisesti ne teot, joita voidaan pitää PNR-direktiivin 3 artiklan 8 alakohdassa tarkoitettuina terrorismirikoksina, ja arvioida näiden tekojen vakavuutta, jotta kyseisellä direktiivillä tavoitellun, yleisen turvallisuuden suojelemista koskevan tavoitteen tärkeys ja kyseisestä direktiivistä johtuvan, perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen vakavuus saadaan tasapainotettua keskenään, samaa päätelmää ei voida tehdä yhtä ilmeisesti kaikkien liitteessä II lueteltujen rikosten kohdalla.

117. Unionin tuomioistuin on todennut lausunnon 1/15 177 kohdassa, että suunnitellussa Kanada–EU-PNR-sopimuksessa määritellään käsitteen ”vakava kansainvälinen rikollisuus” osalta selvästi ja täsmällisesti asianomaisten rikosten vakavuuden aste ja määrätään, että näistä rikoksista voidaan ”tuomita enimmäisrangaistuksena vähintään neljä vuotta vankeutta tai ankarampi rangaistus” viittaamalla ”Kanadan lainsäädännössä määriteltyihin rikoksiin”, sekä mainitaan ”ne eri tapaukset, joissa rikos katsotaan luonteeltaan kansainväliseksi”.

118. Unionin tuomioistuimen kyseisessä lausunnossa tarkastelemaan lainsäädäntöön nähden PNR-direktiivissä annetussa kyseessä olevien rikosten määritelmässä ei oteta ensinnäkään huomioon rikosten kansainvälisyyttä; toiseksi siinä säädetään tyhjentävä luettelo rikoksista, joita pidetään luonteensa puolesta vakavaan rikollisuuteen kuuluvina edellyttäen, että kyseisen direktiivin 3 artiklan 9 alakohdan mukainen enimmäisrangaistuksen vähimmäiskynnysarvo täyttyy, ja kolmanneksi siinä madalletaan lähtökohtaisesti vakavaksi katsottavan rajaa ottamalla käyttöön enimmäisrangaistuksen kestoon perustuva kriteeri ja vahvistamalla kynnysarvoksi kolme vuotta.

119. Kansainväliseen luonteeseen perustuvan rajaamiskriteerin puuttumisesta on todettava ensinnäkin olevan tosin totta, että PNR-direktiivin asiallisen soveltamisalan rajaaminen pelkästään vakavaan rajatylittävään rikollisuuteen olisi antanut mahdollisuuden kohdentaa toimet rikoksiin, joilla voi olla luonteensa puolesta ainakin potentiaalisesti objektiivinen yhteys lentomatkustajiin ja siten PNR-direktiivin mukaisesti kerättyjen ja käsiteltyjen tietojen eri ryhmiin.(122) Yhdyn kuitenkin lähtökohtaisesti komission esittämään näkemykseen, jonka mukaan toisin kuin kansainvälisen sopimuksen yhteydessä, tällaisen kriteerin merkitys ja välttämättömyys ei ole yhtä ilmeistä, kun rikollisuuden torjumiseksi annetulla säädöksellä tavoitellaan unionin sisäisen turvallisuuden suojelemista. Lisäksi kuten komissio edelleen toteaa, rajatylittävien piirteiden puuttuminen ei anna sellaisenaan aihetta todeta, ettei kyseessä ole vakava rikos.

120. Toiseksi kyseessä olevien rikosten vakavaksi luonnehtimisen kynnysarvon määrittävä kriteeri, jota on tulkittava vakavuuden etukäteisarvioinnin toteuttamiseksi siten, että sillä tarkoitetaan asianomaisesta rikoksesta lain mukaan määrättävän vankeusrangaistuksen tai turvaamistoimenpiteen enimmäiskestoa eikä yksittäistapauksessa varsinaisesti määrätyn rangaistuksen kestoa, ei ole itsessään soveltumaton määrittämään vakavuuden riittävää tasoa, jolla voidaan oikeuttaa perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttuminen PNR-direktiivin mukaisella tietojenkäsittelyllä, vaikka se perustuu enimmäisrangaistuksen vähimmäiskestoon eikä pienimpään mahdolliseen vähimmäisrangaistukseen. Sitä on kuitenkin tulkittava nähdäkseni kriteerinä, jolla määritetään vakavuuden vähimmäistaso. Vaikka tällainen kriteeri estää jäsenvaltioita pitämästä niitä liitteessä II lueteltuja rikoksia vakavana rikollisuutena, joista kansallisen rikoslainsäädännön mukaisesti määrättävän vankeusrangaistuksen tai turvaamistoimenpiteen enimmäiskesto on alle kolme vuotta, se ei kuitenkaan velvoita jäsenvaltioita katsomaan tällaisiksi rikoksiksi automaattisesti kaikkia rikoksia, jotka voivat sisältyä liitteeseen II ja joista voidaan määrätä PNR-direktiivin 3 artiklan 9 alakohdan mukaiseen kynnysarvoon yltävä rangaistus, jos tämä johtaisi asianomaisen rikosoikeusjärjestelmän erityispiirteet huomioon ottaen PNR-direktiivin mukaisen järjestelmän käyttöön tavanomaisen rikollisuuden estämistä, paljastamista, tutkintaa ja siihen liittyviä syytetoimia varten vastoin kyseisen direktiivin mukaisia tarkoituksia.

121. Kolmanneksi liitteessä II olevasta luettelosta on tuotava esille ensinnäkin, että vakavan rikollisuuden määritelmän alaan kuuluvien rikosten luetteleminen PNR-direktiivissä tyhjentävästi on oleellinen muodollinen ja aineellinen suojatoimi, jolla varmistetaan PNR-direktiivillä käyttöön otetun järjestelmän laillisuus ja varmistetaan matkustajien oikeusvarmuus. On kuitenkin todettava, että kyseiseen luetteloon sisältyy niin rikoksia, jotka ovat luonteensa puolesta kiistatta hyvin vakavia – kuten ihmiskauppa, lasten seksuaalinen hyväksikäyttö ja lapsipornografia, aseiden tai ydin- ja radioaktiivisten aineiden laiton kauppa, ilma-aluksen tai aluksen kaappaus, Kansainvälisen rikostuomioistuimen tuomiovaltaan kuuluvat rikokset, murha, raiskaus, ihmisryöstö, vapaudenriisto ja panttivangiksi ottaminen –(123) kuin rikoksia, joiden vakavuus ei ole yhtä ilmeinen, kuten petokset, tuotteiden laiton väärentäminen ja jäljentäminen, hallinnollisten asiakirjojen väärentäminen ja kaupankäynti väärennöksillä sekä varastettujen ajoneuvojen laiton kauppa.(124) Lisäksi osa liitteessä II olevaan luetteloon sisältyvistä rikoksista on luonteensa puolesta pikemmin kansainvälisiä, kuten ihmiskauppa, huumausaineiden tai aseiden laiton kauppa, lasten seksuaalinen hyväksikäyttö, laittomassa maahantulossa ja maassa oleskelussa avustaminen ja ilma-aluksen kaappaus, ja niillä on myös yhteys lentomatkustamiseen.

122. Myös liitteessä II olevat otsikot vaihtelevat huomattavasti sen suhteen, voidaanko niitä luonnehtia riittävän selkeiksi ja täsmällisiksi. Vaikka kyseiseen liitteeseen sisältyvää luetteloa on pidettävä tyhjentävänä, useat sen otsikoista on jätetty ”avoimiksi”(125) ja monissa viitataan yleisluonteisiin käsitteisiin, jotka voivat pitää sisällään hyvin monia rikoksia, joiden vakavuusaste vaihtelee, vaikka ne kaikki täyttävät edelleen PNR-direktiivin 3 artiklan 9 alakohdan mukaisen enimmäiskeston kynnysarvon.(126)

123. Huomautan tältä osin yhtäältä, että SEUT 83 artiklan 1 kohdassa mainituilla aloilla annetuista, tämän ratkaisuehdotuksen alaviitteessä 123 mainituista yhdenmukaistamisdirektiiveistä saadaan selville merkityksellisiä tietoja, joiden avulla voidaan määrittää ainakin joitakin vakavia rikoksia, jotka voivat sisältyä niitä vastaaviin liitteen II otsikkoihin. Erityisesti direktiivin 2013/40 3–8 artiklassa määritellään siis erilaisia liitteen II 9 kohdassa mainitun tietoverkkorikollisuuden käsitteen alaan kuuluvia rikoksia, ja niiden jokaisen kohdalla suljetaan pois vähäisiksi tapauksiksi katsottavat teot.(127) Myös direktiivissä 2019/713 määritellään erilaisia petoksia, ja direktiivissä 2017/1371 määritellään unionin taloudellisiin etuihin kohdistuvien petosten osatekijät. Tässä yhteydessä on mainittava myös EY 175 artiklan 1 kohdan perusteella ympäristönsuojelusta rikosoikeudellisin keinoin annettu direktiivi 2008/99/EY,(128) jonka 3 artiklassa määritellään joukko vakavia ympäristörikoksia, jotka voivat sisältyä liitteessä II olevaan otsikkoon, mukaan lukien teot, joissa on kyseessä ”uhanalaisten eläinlajien ja uhanalaisten kasvilajien ja ‑lajikkeiden laiton kauppa”, ja pois lukien kaikki teot, joiden vaikutus suojelun kohteeseen on merkityksetön. Palautan vielä mieliin direktiivin 2002/90/EY,(129)jossa määritellään laittomassa maahantulossa, kauttakulussa ja maassa oleskelussa avustaminen, sekä puitepäätöksen 2002/946/YOS,(130) jolla vahvistetaan kyseisten rikosten ehkäisemiseen liittyvät rikosoikeudelliset puitteet; puitepäätöksen 2003/568/YOS,(131) jossa määritellään ”aktiiviseksi lahjonnaksi ja passiiviseksi lahjonnaksi yksityissektorilla” katsottavat rikokset, ja puitepäätöksen 2008/841/YOS,(132) jossa määritellään rikollisjärjestöön osallistumiseen liittyvät rikokset.

124. Toisaalta tuon esille, kuten komissio on perustellusti huomauttanut, että koska aineellisen rikosoikeuden alaa ei ole yhdenmukaistettu kokonaan, unionin lainsäätäjää ei voida arvostella siitä, ettei se ole täsmentänyt enempää liitteessä II mainittuja rikoksia. Liitteeseen I sisältyvää PNR-tietojen luetteloa koskevista, jäljempänä tässä ratkaisuehdotuksessa esille otettavista seikoista poiketen liitteessä II olevan rikosten luettelon saattaminen kansallisen lainsäädännön osaksi edellyttää, että jäsenvaltio määrittelee siihen sisältyvät rikokset kansallisen rikosoikeusjärjestelmänsä erityispiirteiden pohjalta. Tässä määrittelyssä on kuitenkin noudatettava täysimääräisesti kriteeriä, jonka mukaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen on rajoituttava siihen, mikä on täysin välttämätöntä. Jäsenvaltion on siis nähdäkseni mahdollista esimerkiksi säätää, että PNR-tietojen käyttö rajoitetaan tiettyjen rikosten, kuten liitteessä II olevien 7, 16, 17, 18 ja 25 kohdassa mainittujen rikosten kohdalla tapauksiin, joissa nämä rikokset ovat luonteeltaan rajatylittäviä tai ne on tehty rikollisjärjestössä tai niihin liittyy tiettyjä raskauttavia seikkoja. Jäsenvaltioiden tuomioistuinten tehtävänä on tulkita unionin tuomioistuimen valvonnassa kansallisia säännöksiä, joilla kyseinen luettelo on saatettu kansallisen lainsäädännön osaksi, sekä PNR-direktiivin että perusoikeuskirjan mukaisesti, niin että PNR-tietojen käsittely rajautuu kussakin otsikossa vain rikoksiin, joiden vakavuusaste yltää direktiivissä edellytetylle korkealle tasolle, sekä rikoksiin, joiden osalta PNR-tietojen käsittely on asianmukaista.(133)

125. Sen estämättä, mitä edellä tämän ratkaisuehdotuksen 120 ja 124 kohdassa täsmennetään, katson, että PNR-direktiivin 3 artiklan 9 alakohta sekä PNR-direktiivin liitteeseen II sisältyvä rikosten luettelo täyttävät selkeyttä ja täsmällisyyttä koskevat vaatimukset eivätkä ne ylitä sitä, mikä on täysin välttämätöntä.

126. On kuitenkin myönnettävä, että edellä tämän ratkaisuehdotuksen 124 kohdassa esitetty ratkaisu ei ole täysin tyydyttävä. Se jättää nimittäin yhtäältä huomattavasti harkintavaltaa jäsenvaltioille, minkä vuoksi PNR-tietojen käsittelyn asiallinen soveltamisala voi vaihdella merkittävästi jäsenvaltiosta toiseen, mikä vaarantaa näin unionin lainsäätäjän tavoitteleman yhdenmukaistamistavoitteen.(134) Toisaalta se merkitsee sitä, että järjestelmään olennaisesti kuuluvan osan, kuten käsittelyn tarkoitusten rajaamisen, oikeasuhteisuus tutkitaan jälkikäteen kansallisten täytäntöönpanotoimenpiteiden perusteella, pikemmin kuin etukäteen PNR-direktiivin itsensä perusteella. Jos unionin tuomioistuin päättäisi ehdotukseni mukaisesti katsoa, että PNR-direktiivin 3 artiklan 9 alakohta ja PNR-direktiivin liitteeseen II sisältyvä rikosten luettelo ovat perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan mukaisia, olisi näin ollen toivottavaa, että unionin tuomioistuin kiinnittäisi unionin lainsäätäjän huomion siihen seikkaan, että kyseinen arviointi on vain väliaikainen ja edellyttää lainsäätäjältä, että se tarkistaa sen pohjalta, miten jäsenvaltiot ovat saattaneet kyseisen säännöksen ja luettelon kansallisten lainsäädäntöjensä osaksi, sekä PNR-direktiivin 20 artiklassa tarkoitettujen tilastotietojen perusteella, onko tarvetta i) täsmentää lisää kyseisessä luettelossa mainittujen rikosten luokkia rajaamalla niiden laajuutta; ii) poistaa luettelosta rikokset, joiden osalta PNR-tietojen käsittely on joko suhteetonta tai tehotonta tai se ei ole asianmukaista, ja iii) muuttaa PNR-direktiivin 3 artiklan 9 alakohdassa tarkoitettujen rikosten vakavuusasteen kynnysarvoa.(135) Tuon tältä osin esille, että vaikka PNR-direktiivin 19 artiklan 2 kohdan b alakohdassa vaaditaan komissiota tarkastelemaan uudelleen kaikkia kyseisen direktiivin osa-alueita kiinnittäen erityistä huomiota ”PNR-tietojen keräämisen ja käsittelyn tarpeellisuuteen ja oikeasuhteisuuteen kunkin [kyseisessä] direktiivissä esitetyn tarkoituksen kannalta”, tätä seikkaa ei ole tutkittu mielestäni riittävästi komission vuoden 2020 kertomuksessa eikä siihen liitetyssä vuoden 2020 valmisteluasiakirjassa.

ii)  PNR-direktiivissä tarkoitetut PNR-tietojen ryhmät (toinen ja kolmas ennakkoratkaisukysymys)

127. PNR-direktiivin mukaan lentoliikenteen harjoittajien on siirrettävä matkustajatietoyksiköille lentojen varaamista varten keräämiinsä 19 ryhmään kuuluvia PNR-tietoja. Nämä ryhmät luetellaan liitteessä I, ja ne vastaavat lentoyhtiöiden varausjärjestelmiin sisältyviä tietoryhmiä sekä Kansainvälisen siviili-ilmailujärjestön (ICAO) vuonna 2010 hyväksymien matkustajarekisteritietoja koskevien suuntaviivojen(136) (jäljempänä ICAO:n suuntaviivat) liitteessä I lueteltuja tietoryhmiä.

128. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella ennakkoratkaisukysymyksellään, onko liite I pätevä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan kannalta, kun huomioon otetaan yhtäältä kyseisessä liitteessä lueteltujen henkilötietojen laajuus ja erityisesti sen 18 kohdassa tarkoitetut API-tiedot, siltä osin kuin nämä ylittävät API-direktiivin 3 artiklan 2 kohdassa luetellut tiedot, ja toisaalta se mahdollisuus, että kyseiset tiedot voivat paljastaa yhdessä tarkasteltuina arkaluonteisia tietoja ja ylittää näin sen, mikä on täysin välttämätöntä. Kolmannella ennakkoratkaisukysymyksellään, joka koskee sitä, kuten olen jo saanut tilaisuuden korostaa, täyttyykö perusoikeuskirjan 52 artiklan 1 kohdassa mainituista kolmesta edellytyksestä ensimmäinen, jonka mukaan perusoikeuteen puuttumisesta on säädettävä aina lailla, Cour constitutionnelle tiedustelee unionin tuomioistuimelta sitä vastoin liitteessä I olevien 12 ja 18 kohdan pätevyyttä, kun huomioon otetaan erityisesti se, että ne on jätetty avoimeksi.

129. Koska toisen ennakkoratkaisukysymyksen tutkiminen edellyttää sen tutkimista, ovatko liitteessä I tarkoitetut henkilötietoryhmät riittävän selkeitä ja täsmällisiä, tarkastelen ensin kolmatta ennakkoratkaisukysymystä.

–       Ovatko liitteessä I olevat 12 ja 18 kohta riittävän selkeitä ja täsmällisiä (kolmas ennakkoratkaisukysymys)?

130. Aluksi on tuotava esille, että perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen laajuus ja vakavuus, kun näiden oikeuksien käyttöä rajoitetaan toimenpiteellä, riippuu ennen kaikkea käsittelyn kohteena olevien henkilötietojen laajuudesta ja luonteesta. Näiden tietojen yksilöiminen on siis olennaista, ja se on tehtävä mahdollisimman selkeästi ja täsmällisesti kaikissa niissä oikeusperustoissa, joilla tällainen toimenpide otetaan käyttöön.

131. Tämä edellytys vahvistetaan PNR-tietojen käsittelyn osalta lausunnossa 1/15. Unionin tuomioistuin on ottanut kyseisessä lausunnossa kantaa suunnitellun Kanada–EU-PNR-sopimuksen liitteessä oleviin otsikkoihin, joissa luetellaan suunnitellussa sopimuksessa tarkoitetut PNR-tiedot, ja se on todennut erityisesti, etteivät selkeyden ja täsmällisyyden vaatimukset täyty käytettäessä yleisiä tietoryhmiä, joissa ei määritetä riittävästi siirrettävien tietojen laajuutta, sekä tietoluetteloita, jotka eivät ole tyhjentäviä ja joissa ei rajoiteta mitenkään niiden tietojen luonnetta ja laajuutta, jotka voivat sisältyä asianomaiseen otsikkoon.

132. Kolmas ennakkoratkaisukysymys on tutkittava näiden periaatteiden valossa.

133. Liitteessä I olevan 12 kohdan sanamuoto on seuraava:

”12. Yleiset huomautukset (mukaan lukien kaikki saatavilla olevat tiedot alle 18-vuotiaista ilman huoltajaa matkustavista alaikäisistä, kuten alaikäisen nimi ja sukupuoli, ikä, kieli tai kielet, jo(i)ta hän puhuu, lähdön yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, saapumisen yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, asiamies lähdön ja saapumisen yhteydessä).”

134. Kyseisessä kohdassa viitataan ”yleisiin huomautuksiin”, joten se on suunnitellun Kanada–EU-PNR-sopimuksen liitteessä olevan 17 otsikon tavoin niin sanottu ”vapaan tekstin” otsikko, joka voi sisältää mitä tahansa lentoliikenteen harjoittajien palveluntarjoamisensa yhteydessä keräämiä tietoja niiden tietojen lisäksi, jotka luetellaan nimenomaisesti muissa liitteen I kohdissa. On todettava, kuten unionin tuomioistuin on tehnyt lausunnon 1/15 160 kohdassa, että tällaisessa otsikossa ei ”esitetä mitään seikkoja toimitettavien tietojen luonteesta ja laajuudesta, ja se näyttää jopa voivan sisältää tietoja, jotka eivät liity mitenkään PNR-tietojen siirron tarkoitukseen”. Lisäksi liitteessä I olevan 12 kohdan sanamuodossa sulkeisiin laitettu täsmennys, joka koskee ilman huoltajaa matkustavien alaikäisten tietoja, annetaan vain esimerkkinä, minkä osoittaa ilmauksen ”mukaan lukien” käyttö, joten kyseisessä kohdassa ei rajoiteta mitenkään niiden tietojen luonnetta ja laajuutta, jotka voivat sisältyä siihen.(137)

135. Näin ollen liitteessä I olevaa 12 kohtaa ei voida pitää riittävän selkeästi ja täsmällisesti rajattuna.

136. Vaikka komissio ja parlamentti vaikuttavat olevan samaa mieltä tästä päätelmästä, kolmannesta ennakkoratkaisukysymyksestä huomautuksia esittäneet jäsenvaltiot sekä neuvosto vastustavat sitä pitkälti samansuuntaisin perusteluin.

137. Ensinnäkin ensimmäisellä perustelujen joukolla pyritään yleisesti kyseenalaistamaan mahdollisuus soveltaa unionin tuomioistuimen lausunnossa 1/15 tekemiä päätelmiä käsiteltävässä asiassa.

138. Vaikka olen tältä osin tietoinen näiden kahden asian taustalla olevien asiayhteyksien välisestä erosta, huomautan tässä ainoastaan, että päätelmä, jonka unionin tuomioistuin esittää lausunnon 1/15 160 kohdassa ja joka koskee suunnitellun Kanada–EU-PNR-sopimuksen liitteessä olevaa 17 otsikkoa, perustuu yksinomaan kyseisen otsikon semanttiseen ja rakenteelliseen tulkintaan. Tällainen tulkinta on täysin sovellettavissa liitteessä I olevaan 12 kohtaan, jonka sanamuoto on esimerkkinä annettua osaa lukuun ottamatta täsmälleen sama kuin edellä mainitulla otsikolla ja joka vastaa sitä myös rakenteeltaan. Lisäksi kuten jäljempänä nähdään tarkemmin, kyseiset kaksi säännöstä sijoittuvat samaan monenvälisestä sääntelystä muodostuvaan asiayhteyteen, jonka muodostavat erityisesti ICAO:n suuntaviivat, joihin unionin tuomioistuin on sitä paitsi viitannut nimenomaisesti lausunnon 1/15 156 kohdassa. Näin ollen on todettava, ettei mikään estä noudattamasta liitteessä I olevan 12 kohdan yhteydessä samaa tulkintaa, jota unionin tuomioistuin käyttää lausunnon 1/15 160 kohdassa suunnitellun Kanada–EU-PNR-sopimuksen liitteessä olevan 17 otsikon osalta, eikä mikään etenkään oikeuta poikkeamaan kyseisestä tulkinnasta.

139. Toiseksi monet jäsenvaltiot korostavat, että liitteessä I olevat kohdat, 12 kohta mukaan lukien, vastaavat ICAO:n suuntaviivojen liitteessä I olevia otsikkoja, jotka lentoliikenteen harjoittajat tuntevat ja joiden täsmällisen sisällön ne kykenevät määrittämään täysin. Kyseinen 12 kohta vastaa erityisesti kahta viimeistä viimeksi mainitun liitteen otsikkoa, jotka ovat ”Yleisiä huomautuksia” sekä ”Vapaa teksti / OSI- [(muut lisätiedot)], SSR- [(erityispalvelua koskevat pyynnöt)] ja SSI-tietojen [(erityispalvelua koskevat tiedot)] koodikentät, huomautukset / aiemmat tiedot” ja jotka koskevat lisätietoja tai pyydettyihin palveluihin liittyviä tietoja.(138)

140. Huomautan tältä osin aluksi, että suunnitellun Kanada–EU-PNR-sopimuksen liitteessä I olevien otsikkojen ja ICAO:n suuntaviivojen liitteessä I olevien otsikkojen välinen vastaavuus ei ole estänyt unionin tuomioistuinta toteamasta lausunnossa 1/15, että osa suunnitellun sopimuksen liitteessä I olevista otsikoista ei täytä niitä selkeyden ja täsmällisyyden vaatimuksia, jotka perusoikeuksien käyttöä rajoittavan toimenpiteen on täytettävä. Sitten tuon esille, että viittaus (joka on sitä paitsi epäsuora)(139) ICAO:n suuntaviivoihin ei anna mahdollisuutta täsmentää niiden tietojen luonnetta ja laajuutta, joita liitteessä I oleva 12 kohta voi koskea, toisin kuin osa jäsenvaltioista vaikuttaa katsovan. Näiden suuntaviivojen sanamuoto päinvastoin vahvistaa päätelmän, jonka mukaan kyseisen 12 kohdan kaltainen vapaan tekstin otsikko sisältää lukemattoman määrän erilaisia tietoja niiden tietojen lisäksi, jotka sisältyvät varsinaisesti PNR-tietoihin.(140)

141. Kolmanneksi osa hallituksista väittää, että jäsenvaltioiden on täsmennettävä kansallisilla lainsäädäntötoimenpiteillä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan asettamia rajoituksia noudattaen tiedot, jotka voivat sisältyä liitteessä I olevaan 12 kohtaan. Niiden mukaan on nimittäin direktiivin luonteen mukaista jättää jäsenvaltioille harkintavaltaa direktiiviin sisältyvien säännösten täytäntöön panemiseksi tarvittavien keinojen suhteen.

142. Kuten olen jo tuonut esille edellä tämän ratkaisuehdotuksen 86 kohdassa, olen tältä osin sitä mieltä, että kun toimenpiteillä puututaan perusoikeuskirjassa vahvistettuihin perusoikeuksiin ja näiden toimenpiteiden perusta on unionin säädöksessä, on unionin lainsäätäjän vahvistettava edellä mainittuja selkeyden ja täsmällisyyden kriteerejä sekä suhteellisuusperiaatetta noudattaen kyseisen oikeuksiin puuttumisen tarkka laajuus. Kun lainsäätäjä näin ollen valitsee välineekseen direktiivin, ei oikeuksiin puuttumisen laajuuden rajaavien olennaisten osien, kuten perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien rajoittamisen yhteydessä käsittelyn kohteena olevien henkilötietojen luonteen ja laajuuden, määrittämistä voida nähdäkseni delegoida jäsenvaltioiden tehtäväksi näiden saattaessa kyseisen direktiivin osaksi kansallista lainsäädäntöään.

143. Neljänneksi muutamat jäsenvaltiot huomauttavat, että liitteessä I olevan 12 kohdan on katsottava tarkoittavan ainoastaan tietoja, jotka liittyvät kuljetuspalvelun tarjoamiseen. Näin tulkittuna kyseinen kohta on perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan mukainen.

144. En ole vakuuttunut tästäkään väitteestä. Ensinnäkin tiedot, jotka voivat sisältyä otsikkoon ”Yleiset huomautukset” sekä OSI-, SSI- ja SSR-koodeihin, ovat näet luonteeltaan hyvin moninaisia (esimerkiksi lääketieteelliset hoidot, erityisruokavaliot, mahdolliset avustamispyynnöt ja yksin matkustavia alaikäisiä koskevat tiedot),(141) ja ne kaikki liittyvät kuljetuspalvelun tarjoamiseen siten, että niiden avulla lentoliikenteen harjoittaja pystyy erityisesti mukauttamaan palvelunsa kunkin matkustajan tarpeisiin. Tulkintaperuste, joka pohjautuu tietojen merkityksellisyyteen kuljetuspalvelun tarjoamisen kannalta, ei siis auta täsmentämään kyseisen 12 kohdan laajuutta. Sitten huomautan, että käytettyään kyseistä perustetta lausunnon 1/15 159 kohdassa tulkitakseen erästä toista suunnitellun Kanada–EU-PNR-sopimuksen liitteessä olevaa otsikkoa yhdenmukaisella tavalla selkeyden ja täsmällisyyden vaatimuksen kanssa unionin tuomioistuin kiistää kuitenkin mahdollisuuden toimia samoin liitteessä I olevaa 12 kohtaa vastaavan, kyseisessä liitteessä olevan 17 otsikon kohdalla.

145. Viidenneksi muutamat jäsenvaltiot ovat korostaneet, että matkustajat toimittavat lentoliikenteen harjoittajille vapaaehtoisesti itse tiedot, jotka voivat sisältyä liitteessä I olevaan 12 kohtaan, ja matkustajille on ilmoitettu asianmukaisesti kyseisten tietojen myöhemmästä siirtämisestä viranomaisille. Tällaisen väitteen taustalla oleva ajatus vaikuttaa olevan se, että asianomainen matkustaja on antanut eräänlaisen implisiittisen suostumuksensa siihen, että tiedot, jotka hän toimittaa lentoyhtiölle, siirretään sitten viranomaisille.

146. Unionin tuomioistuimella on ollut tältä osin jo tilaisuus täsmentää, ettei kyseessä ole suostumus silloin, kun rekisteröity ei voi vastustaa vapaasti henkilötietojensa käsittelyä.(142) Matkustajalla ei ole todellista valinnanvaraa valtaosassa tiedoista, jotka voivat sisältyä liitteessä I olevaan 12 kohtaan, vaan hänen on toimitettava ne pystyäkseen käyttämään kuljetuspalvelua. Tämä pätee erityisesti vammaisiin tai liikuntarajoitteisiin henkilöihin sekä lääketieteellistä hoitoa tarvitseviin henkilöihin ja ilman huoltajaa matkustaviin alaikäisiin. Muistutan lisäksi unionin tuomioistuimen todenneen selkeästi lausunnon 1/15 142 ja 143 kohdassa, että viranomaisten suorittamalla PNR-tietojen käsittelyllä on eri tarkoitus kuin se, jota varten lentoliikenteen harjoittajat keräävät kyseisiä tietoja, joten niiden ei voida katsoa perustuvan minkäänlaiseen suostumukseen, jonka matkustajat antavat tietojen keräämistä varten.

147. Valtaosa jäsenvaltioista väittää vielä, että PNR-direktiivin mukaiseen tietojen käsittelyyn on liitetty useita suojatoimia, joihin kuuluu matkustajatietoyksikön velvollisuus poistaa sille tapahtuvan tietojensiirron yhteydessä tiedot, jotka eivät sisälly liitteeseen I, sekä tiedot, jotka voivat paljastaa henkilön rodun tai etnisen alkuperän, poliittisen mielipiteen, uskonnollisen tai muun vakaumuksen, ammattiliiton jäsenyyden, terveydentilan, sukupuolielämän tai sukupuolisen suuntautumisen.

148. Totean tästä aluksi, että siltä osin kuin arvioimalla, ovatko tietojen, jotka voidaan siirtää viranomaisille, laajuuden ja luonteen määrittelevät säännöt riittävän selkeitä ja täsmällisiä, pyritään varmistamaan, että perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumiseen johtava toimenpide on laillisuus- ja oikeusvarmuusperiaatteiden mukainen, kyseinen arviointi on toteutettava nähdäkseni ottamatta huomioon suojatoimia, jotka liittyvät edellä mainittujen viranomaisten suorittamaan asianomaisten tietojen käsittelyyn, sillä nämä suojatoimet otetaan huomioon vasta tutkittaessa kyseisen toimenpiteen oikeasuhteisuus. Sitä paitsi unionin tuomioistuin toimi tällä tavalla arvioidessaan suunnitellun Kanada–EU-PNR-sopimuksen otsikkoja lausunnon 1/15 155–163 kohdassa. Lisään yleisemmin, että erityistä huomiota olisi kiinnitettävä siihen, että perusoikeuksiin puuttumisen sisältävän toimenpiteen tutkimisen eri vaiheiden välillä on tarpeen säilyttää selkeä ero, sillä eri vaiheiden sulautuminen toisiinsa tapahtuisi nähdäkseni aina perusoikeuksien tehokkaan suojelemisen kustannuksella.

149. Totean näin ollen tässä ainoastaan, että yhtäältä matkustajatietoyksiköille PNR-direktiivin 6 artiklan 1 kohdan mukaisesti kuuluva velvollisuus poistaa muut kuin liitteessä I luetellut tiedot on hyödyllinen vain silloin, jos kyseinen liite sisältää selkeän ja tyhjentävän luettelon siirrettävistä tiedoista. Sama pätee matkustajatietoyksiköille PNR-direktiivin 13 artiklan 4 kohdan mukaisesti kuuluvaan velvollisuuteen poistaa niin sanotut arkaluonteiset tiedot.(143) Siirrettävien tietojen määritteleminen liian väljästi, epätäsmällisesti tai avoimesti lisää nimittäin sekä sitä todennäköisyyttä, että tällaiset tiedot siirtyvät epäsuorasti, että sitä vaaraa, ettei tällaisia tietoja eritellä ja poisteta välittömästi. Toisin sanoen edellä mainitut suojatoimet täyttävät tehtävänsä tehokkaasti vain, jos PNR-tietojen, jotka lentoliikenteen harjoittajien on siirrettävä matkustajatietoyksiköille, luonteen ja laajuuden määrittelevät säännöt ovat riittävän selkeitä ja täsmällisiä ja jos kyseisten tietojen luettelo on kattava ja tyhjentävä.

150. Kaiken edellä esitetyn perusteella katson edellä tämän ratkaisuehdotuksen 135 kohdassa otaksutun mukaisesti, että liitteessä I oleva 12 kohta, siltä osin kuin se sisältää ”Yleiset huomautukset” niiden tietojen joukossa, jotka lentoliikenteen harjoittajien on siirrettävä matkustajatietoyksiköille PNR-direktiivin mukaisesti, ei täytä perusoikeuskirjan 52 artiklan 1 kohtaan sisältyviä selkeyden ja täsmällisyyden vaatimuksia, kuten unionin tuomioistuin on tulkinnut,(144) ja se olisi siten todettava tältä osin pätemättömäksi.

151. Komissio ja parlamentti esittävät kirjallisissa huomautuksissaan, että unionin tuomioistuin on käyttänyt pikemmin liitteessä I olevan 12 kohdan unionin oikeuden mukaista tulkintaa, kun se on tulkinnut sitä siten, että siinä tarkoitetaan ainoastaan alaikäisiä koskevia tietoja, jotka mainitaan siinä nimenomaisesti sulkeissa. Myönnettäköön, että minulla on hieman vaikeuksia katsoa tällaisen tulkinnan pitäytyvän pelkän unionin oikeuden mukaisen tulkinnan rajoissa. On tosin totta, että yleisen tulkintaperiaatteen mukaan unionin tointa on tulkittava niin pitkälle kuin mahdollista tavalla, joka ei aseta sen pätevyyttä kyseenalaiseksi, ja kaiken primaarioikeuden sekä erityisesti perusoikeuskirjan määräysten mukaisesti.(145) On niin ikään totta, että PNR-direktiivin kohdalla tällaisen tulkinnan mahdollisuutta vaikuttaa puoltavan se, että monissa kyseisen direktiivin johdanto-osan perustelukappaleissa korostetaan erityisesti perusoikeuksien, yksityiselämän kunnioittamista koskevan oikeuden ja suhteellisuusperiaatteen täysimääräistä noudattamista.(146) Vakiintuneen oikeuskäytännön mukaan on kuitenkin myös niin, että unionin oikeuden mukainen tulkinta on hyväksyttävää vain silloin, kun unionin johdetun oikeuden säännöstä voidaan tulkita eri tavoin, ja näin ollen etusija voidaan antaa tulkinnalle, jonka ansiosta säännös on primaarioikeuden mukainen, eikä tulkinnalle, jonka johdosta säännöksen todetaan olevan ristiriidassa sen kanssa.(147)

152. Liitteessä I olevaa 12 kohtaa ei voida mielestäni tulkita komission ja parlamentin esittämällä tavalla, tai muutoin sitä tulkitaan contra legem. Kuten olen selittänyt edellä, kyseinen kohta koskee nimittäin laajaa ryhmää monenlaisia tietoja, joita ei voida yksilöidä etukäteen ja joissa alaikäisiä koskevat tiedot ovat vain yksi alaryhmä. Jos kyseistä kohtaa tulkitaan siten, että se tarkoittaa vain tätä yhtä alaryhmää, sivuutetaan osa kohdan sanamuodosta ja pyörretään kyseisen kohdan sanamuodon looginen järjestys. Toimenpide, jossa lähinnä poistettaisiin liitteessä I olevan 12 kohdan sanamuodosta osa, jota ei pidetä selkeyden ja täsmällisyyden vaatimusten mukaisena, voidaan toteuttaa nähdäkseni ainoastaan kumoamalla se osittain.

153. Mielestäni liitteessä I olevasta 12 kohdasta jäljelle jäävä osa, jossa luetellaan joukko yksin matkustavia alaikäisiä koskevia tietoja, täyttää selkeyden ja täsmällisyyden vaatimukset edellyttäen, että sitä tulkitaan siten, että se kattaa ainoastaan yksin matkustavia alaikäisiä koskevat tiedot, joilla on suora yhteys lentoon ja jotka mainitaan nimenomaisesti kyseisessä kohdassa.

154. Liitteessä I olevan 18 kohdan sanamuoto on seuraava:

”18. Matkustajan ennakkotiedot (Advance Passenger Information, API), jos sellaisia on kerätty (mm. asiakirjan tyyppi, numero, myöntämismaa ja voimassaoloaika, kansalaisuus, sukunimi, etunimi, sukupuoli, syntymäaika, lentoyhtiö, lennon numero, lähtöpäivä, saapumispäivä, lähtökenttä, saapumiskenttä, lähtöaika ja saapumisaika).”

155. Tämän kohdan rakenne on samanlainen kuin liitteessä I olevan 12 kohdan. Siinä mainitaan niin ikään yleinen tietojen ryhmä eli matkustajan ennakkotiedot (Advance Passenger Information, API), joita seuraa sulkeissa luettelo tiedoista, joiden katsotaan kuuluvan kyseiseen yleiseen ryhmään; luettelo annetaan vain esimerkkinä, minkä osoittaa ilmaisun ”mm.” käyttö.

156. Toisin kuin liitteessä I olevassa 12 kohdassa, kyseisen liitteen 18 kohdassa viitataan kuitenkin sellaisten tietojen ryhmään, joiden eritteleminen on helpompaa niin luonteen kuin laajuuden puolesta. PNR-direktiivin johdanto-osan neljännestä perustelukappaleesta ilmenee nimittäin, että viitattaessa kyseisten tietojen ryhmään tarkoitetaan tietoja, jotka lentoliikenteen harjoittajat siirtävät kyseisessä perustelukappaleessa nimenomaisesti mainitun API-direktiivin mukaisesti toimivaltaisille kansallisille viranomaisille rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi. Nämä tiedot luetellaan viimeksi mainitun direktiivin 3 artiklan 2 kohdassa.

157. Lisäksi PNR-direktiivin johdanto-osan yhdeksännestä perustelukappaleesta,(148) API-direktiivin 3 artiklan 2 kohdasta ja liitteessä I olevaan 18 kohtaan sisältyvästä esimerkkiluettelosta ilmenee, että viimeksi mainitussa kohdassa tarkoitetut API-tiedot ovat yhtäältä lentomatkustajan henkilöllisyyden tarkistamisessa auttavia biografisia tietoja ja toisaalta varattua lentoa koskevia tietoja. Varsinaisesti ensin mainitun ryhmän eli biografisten tietojen osalta API-direktiivin 3 artiklan 2 kohdassa ja liitteessä I olevassa 18 kohdassa luetellut tiedot kattavat lähtöselvityksen yhteydessä kirjautuvat tiedot, jotka voidaan poimia passin (tai muun matkustusasiakirjan) koneellisesti luettavasta osasta.(149)

158. Liitteessä I olevassa 18 kohdassa, tulkittuna PNR-direktiivin johdanto-osan neljännen ja yhdeksännen perustelukappaleen valossa, yksilöidään siten lähtökohtaisesti riittävän selkeästi ja täsmällisesti ainakin siinä tarkoitettujen tietojen luonne.

159. Tietojen laajuudesta on todettava yhtäältä, että myös API-direktiivin 3 artiklan 2 kohta on jätetty muotoilun puolesta avoimeksi, sillä tietojen luetteloa edeltää siinä ilmaus ”edellä mainittuihin tietoihin on sisällyttävä”,(150) ja toisaalta, että kyseinen API-tietojen ryhmä, sellaisena kuin se on määritelty alalla annetuissa monenvälisissä yhdenmukaistamisvälineissä, sisältää myös muita tietoja kuin niitä, jotka mainitaan sekä API-direktiivissä että liitteessä I olevassa 18 kohdassa.(151)

160. Jotta liitteessä I oleva 18 kohta täyttäisi ne selkeyden ja täsmällisyyden vaatimukset, joita edellytetään perusoikeuskirjan 7 ja 8 artiklaan puuttumisen sisältäviltä oikeusperustoilta, kyseistä kohtaa on näin ollen tulkittava siten, että se kattaa ainoastaan API-tiedot, jotka luetellaan nimenomaisesti kyseisessä kohdassa sekä API-direktiivin 3 artiklan 2 kohdassa ja joita lentoliikenteen harjoittajat keräävät tavanomaisen toimintansa yhteydessä.(152)

161. Tässä vaiheessa on käytävä lyhyesti läpi muut liitteessä I olevat kohdat, jotka on jätetty sanamuotonsa puolesta niin ikään avoimiksi tai jotka eivät ole riittävä täsmällisiä, vaikka ennakkoratkaisua pyytänyt tuomioistuin ei olekaan kysynyt niistä nimenomaisesti unionin tuomioistuimelta.(153)

162. Ensinnäkin vaikka liitteessä I olevan 5 kohdan, jossa mainitaan ”osoite ja yhteystiedot (puhelinnumero, sähköpostiosoite)”, on katsottava tarkoittavan ainoastaan sulkeissa nimenomaisesti mainittuja yhteystietoja ja olevan siten tyhjentävä, siinä ei kuitenkaan täsmennetä, kuten ei tehdä vastaavassa suunnitellun Kanada–EU-PNR-sopimuksen otsikossakaan,(154) tarkoitetaanko näillä yhteystiedoilla pelkästään matkustajan yhteystietoja vai lennon lentomatkustajalle varanneiden kolmansien yhteystietoja, kolmansien, joiden välityksellä lentomatkustajaan voidaan ottaa yhteyttä, yhteystietoja tai vielä hätätapauksessa informoitavien kolmansien yhteystietoja.(155) Kun otetaan huomioon, että liitteessä I olevan 5 kohdan tulkitseminen siten, että siinä tarkoitetaan myös edellä mainittujen kolmansien henkilöiden tietoja, laajentaisi PNR-direktiiviin sisältyvän oikeuksiin puuttumisen koskemaan myös muita oikeussubjekteja kuin PNR-direktiivin 3 artiklan 4 alakohdassa tarkoitettuja lentomatkustajia, ehdotan unionin tuomioistuimelle, että sellaisten täsmällisten tietojen puuttuessa, joiden perusteella voitaisiin katsoa, että kyseisten kolmansien yhteystietojen järjestelmällinen ja yleinen hankkiminen on täysin välttämätöntä kyseisellä direktiivillä käyttöön otetun PNR-tietojen käsittelyjärjestelmän tehokkuuden kannalta, kyseistä kohtaa on tulkittava siten, että siinä tarkoitetaan vain siinä nimenomaisesti mainittuja yhteystietoja, jotka koskevat lentomatkustajaa, jonka nimissä varaus on tehty. PNR-direktiivissä ei tosin suljeta pois sitä mahdollisuutta, että matkustajatietoyksiköille voitaisiin siirtää myös muita oikeussubjekteja kuin lentomatkustajia koskevia henkilötietoja.(156) On kuitenkin oleellista, että tilanteet, joissa tämä on mahdollista, ilmoitetaan selvästi ja nimenomaisesti, kuten on tehty liitteessä I olevassa 9 kohdassa mainittujen matkatoimistojen kohdalla tai kyseisessä liitteessä olevassa 12 kohdassa mainittujen ilman huoltajaa matkustavien alaikäisten huoltajien kohdalla. Vain tämän edellytyksen täyttyessä voidaan näet katsoa, että päätös sisällyttää kyseiset tiedot matkustajatietoyksiköille siirrettäviin tietoihin on tehty punnitsemalla PNR-direktiivin johdanto-osan 15 perustelukappaleessa tarkoitetut asiaan liittyvät erilaiset intressit ja että asianomaiset ovat voineet saada asianmukaisesti tiedon henkilötietojensa käsittelystä.

163. Sitten on todettava liitteessä I olevasta 6 kohdasta, jossa ovat kyseessä ”kaikki maksutapaa koskevat tiedot, myös laskutusosoite”, samoin kuin unionin tuomioistuin toteaa lausunnon 1/15 159 kohdassa, jossa se tarkastelee vastaavaa suunnitellun Kanada–EU-PNR-sopimuksen liitteessä olevaa otsikkoa, että selkeyden ja täsmällisyyden vaatimusten täyttämiseksi kyseistä kohtaa on tulkittava siten, että siinä tarkoitetaan ”vain tietoja, jotka koskevat lentolipun maksutapoja ja laskutusta, eikä mitään muita sellaisia tietoja, jotka eivät liity suoraan lentoon”. Näihin tietoihin ei siis voi sisältyä esimerkiksi tietoja sellaisten palvelujen maksutavoista, jotka eivät liity suoraan lentoon, kuten tietoa ajoneuvon vuokraamisesta määränpäässä.(157)

164. ”Kanta-asiakastietoja” koskeva 8 kohta määritellään ICAO:n standardeissa siten, että se koskee kanta-asiakastilin numeroa ja kantaja-asiakkaan asemaa.(158) Tällä tavoin tulkittuna kyseinen kohta täyttää selkeyden ja täsmällisyyden vaatimukset.

165. Liitteessä I olevassa 10 kohdassa, jossa on kyseessä ”Matkustajan matkustustilanne mukaan luettuina vahvistukset, lähtöselvitystilanne, viime hetkellä lennolta pois jääminen (no show) tai viime hetken lähtö ilman varausta (go show)”, ja kyseisen liitteen 13 kohdassa, jossa ovat kyseessä ”Lipunkirjoituskentän tiedot, joihin kuuluvat lipun numero, lipun kirjoituspäivä ja yhdensuuntaiset liput sekä lipun hinnan ilmoittamista koskevat ATFQ-tiedot (Automated Ticket Fare Quote)”, tarkoitetaan avoimeksi jätetystä sanamuodosta huolimatta vain hyvin tarkkarajaisia ja selkeästi eriteltävissä olevia tietoja, jotka liittyvät suoraan lentoon. Sama pätee myös liitteessä I olevaan 14 kohtaan, jossa ovat kyseessä ”istumapaikan numero ja muut paikkatiedot”, sekä kyseisen liitteen 16 kohtaan, jossa ovat kyseessä ”kaikki matkatavaratiedot”.

–       Liitteessä I lueteltujen tietojen laajuus (toinen ennakkoratkaisukysymys)

166. Niihin seikkoihin, jotka unionin tuomioistuin ottaa huomioon arvioidessaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin oikeuksiin puuttumiseen johtavan toimenpiteen oikeasuhteisuutta, kuuluu se, että käsiteltävät henkilötiedot ovat asianmukaisia ja merkityksellisiä eikä niitä ole liikaa (tietojen minimoinnin periaate).(159) Samaa arviointiperustetta on käytetty Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä,(160) ja se on vahvistettu yleissopimuksessa N:o 108.(161)

167. PNR-direktiivin johdanto-osan 15 perustelukappaleesta ilmenee, että matkustajatietoyksiköille toimitettavien PNR-tietojen luettelo on laadittu niin, että samalla kertaa siinä otetaan huomioon sekä terrorismin ja vakavan rikollisuuden torjuntaa koskevat viranomaisten oikeutetut vaatimukset että suojataan yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevia perusoikeuksia soveltamalla perusoikeuskirjan, yleissopimuksen N:o 108 ja Euroopan ihmisoikeussopimuksen mukaista ”korkeaa tasoa”. Samassa johdanto-osan perustelukappaleessa täsmennetään, että PNR-tietojen olisi sisällettävä nimenomaisesti ainoastaan matkustajien varausta ja matkareittiä koskevia tietoja, joiden avulla toimivaltaiset viranomaiset voivat yksilöidä ne lentomatkustajat, jotka muodostavat riskin sisäiselle turvallisuudelle.

168. Liitteeseen I sisältyvien PNR-tietojen asianmukaisuudesta ja merkityksellisyydestä on todettava ensinnäkin, että kyseisen liitteen eri kohdat, mukaan lukien 5, 6, 8 ja 18 kohta, tulkittuina ehdottamallani tavalla,(162) sekä 12 kohta, lukuun ottamatta osaa, jonka toteamista pätemättömäksi ehdotan,(163) koskevat vain tietoja, joista saadaan PNR-direktiivin soveltamisalaan kuuluviin lentomatkoihin suoraan liittyvää tietoa. Kyseisillä tiedoilla on lisäksi objektiivinen yhteys mainitun direktiivin tavoitteisiin. Etenkin API-tietoja voidaan käyttää juuri reaktiivisesti siten, että tunnistetaan henkilö, joka on jo lainvalvontaviranomaisten tiedossa esimerkiksi siksi, että häntä epäillään osalliseksi jo tehtyihin terrorismirikoksiin tai vakavaan rikollisuuteen tai hänen epäillään tekevän pian tällaisen rikoksen, kun taas PNR-tietoja käytetään pikemmin reaaliaikaisesti tai ennakoivasti, jotta voidaan tunnistaa sellaisista henkilöistä aiheutuvia uhkia, jotka eivät vielä ole lainvalvontaviranomaisten tiedossa.

169. Toiseksi liitteessä I lueteltujen PNR-tietojen laajuudesta on todettava, että nämä tiedot, mukaan lukien kyseisen liitteen 5, 6, 8, 12 ja 18 kohtaan, tulkittuina edellä tämän ratkaisuehdotuksen 134–164 kohdassa ehdottamallani tavalla, sisältyvät tiedot, eivät vaikuta liiallisilta, kun huomioon otetaan yhtäältä PNR-direktiivillä tavoitellun yleistä turvallisuutta koskevan tavoitteen tärkeys ja toisaalta kyseisellä direktiivillä käyttöön otetun järjestelmän soveltuminen tällaisen tavoitteen toteutumiseen.

170. Tuon erityisesti esille API-tiedoista, joita ennakkoratkaisua pyytänyt tuomioistuin etenkin pohtii, että näiden biografisten ja matkustusreittiä koskevien tietojen avulla voidaan pääsääntöisesti saada vain vähän tietoa asianomaisten matkustajien yksityiselämästä. Lisäksi vaikka on totta, että liitteessä I olevassa 18 kohdassa tarkoitetaan tietoja, jotka eivät sisälly API-direktiivin 3 artiklan 2 kohdassa nimenomaisesti mainittuihin tietoihin, nämä lentomatkustajan henkilöllisyyttä (sukupuolta), käytettyä matkustusasiakirjaa (henkilöllisyystodistuksen myöntämismaa ja voimassaoloaika) tai lentoa (lentoyhtiö, lennon numero, lähtö- ja saapumispäivä sekä lähtö- ja saapumiskenttä) koskevat tiedot ovat osittain samoja tietoja kuin PNR-tiedot, jotka mainitaan liitteen I muissa kohdissa, esimerkiksi 3, 7 ja 13 kohdassa, tai ne voidaan poimia näistä tiedoista. Koska kyseessä ovat biografiset tiedot tai käytettyä matkustusasiakirjaa koskevat tiedot, nämä tiedot voivat lisäksi auttaa lainvalvontaviranomaisia tarkistamaan henkilön henkilöllisyyden ja vähentää siten viattomien henkilöiden perusteettomia tarkastuksia ja tutkimista, kuten PNR-direktiivin johdanto-osan yhdeksännessä perustelukappaleessa tuodaan esille. On vielä korostettava, ettei pelkästään sillä perusteella, että liitteessä I olevaan 18 kohtaan sisältyy muitakin tietoja kuin ne, jotka sisältyvät API-direktiivin 3 artiklan 2 kohtaan, voida todeta automaattisesti, että nämä tiedot olisivat liiallisia, koska kyseisellä direktiivillä ja PNR-direktiivillä on eri tavoitteet.

171. Liitteessä I olevassa 12 kohdassa mainitut ilman huoltajaa matkustavia alaikäisiä koskevat tiedot liittyvät heikossa asemassa olevien henkilöiden ryhmään, jolla on oikeus erityiseen suojeluun, myös heidän yksityiselämänsä kunnioittamisen ja henkilötietojensa suojan osalta.(164) Kyseisten oikeuksien rajoittaminen voi kuitenkin osoittautua välttämättömäksi erityisesti lasten suojelemiseksi heihin mahdollisesti kohdistuvalta vakavalta rikollisuudelta, kuten lapsikaupalta, lasten seksuaaliselta hyväksikäytöltä tai lapsikaappauksilta. Ensi näkemältä ei siis voida katsoa, että liitteessä I oleva 12 kohta ylittäisi sen, mikä on täysin välttämätöntä, kun siinä edellytetään lukumääräisesti useampien henkilötietojen siirtämistä ilman huoltajaa matkustavien alaikäisten osalta.

172. Vaikka henkilötiedot, jotka lentoliikenteen harjoittajien on siirrettävä matkustajatietoyksiköille PNR-direktiivin mukaisesti, täyttävät nähdäkseni asianmukaisuutta ja merkityksellisyyttä koskevat vaatimukset ja vaikka niiden laajuus ei ylitä sitä, mikä on täysin välttämätöntä kyseisellä direktiivillä käyttöön otetun järjestelmän toiminnan kannalta, on kuitenkin niin, että tällainen siirtäminen koskee merkittävää määrää henkilötietoja, joiden luonne vaihtelee matkustajakohtaisesti ja joiden absoluuttinen määrä on valtava. Näin ollen on ensisijaisen tärkeää, että tällaiseen tietojensiirtoon liittyy riittäviä suojatoimia, joilla huolehditaan yhtäältä siitä, että vain nimenomaisesti mainittuja tietoja siirretään, ja varmistetaan toisaalta siirrettyjen tietojen tietoturva ja luottamuksellisuus.

173. Tältä osin on tuotava esille yhtäältä, että unionin lainsäätäjä on säätänyt ensinnäkin joukon suojatoimia, joilla voidaan rajata niiden PNR-tietojen ryhmiä, joihin lainvalvontaviranomaisilla on pääsy, ja varmistaa, että tällainen pääsy koskee vain niitä tietoja, joiden käsittelyä pidetään PNR-direktiivin tavoitteiden kannalta välttämättömänä. Kyseisessä direktiivissä luetellaan näin ensinnäkin tyhjentävästi ja täsmällisesti tiedot, jotka voidaan siirtää matkustajatietoyksiköille, sanotun kuitenkaan rajoittamatta sitä, mitä todetaan kolmanteen ennakkoratkaisukysymykseen ehdotetun vastauksen yhteydessä. Toiseksi PNR-direktiivissä mainitaan nimenomaisesti, että vain kyseiseen luetteloon, joka on laadittu PNR-direktiivin johdanto-osan 15 perustelukappaleessa mainittujen erilaisten intressien ja vaatimusten punnitsemisen pohjalta, sisältyviä tietoja voidaan siirtää matkustajatietoyksiköille (PNR-direktiivin 6 artiklan 1 kohta). Kolmanneksi kyseisessä direktiivissä täsmennetään, että jos siirrettyihin PNR-tietoihin sisältyy muita kuin liitteessä I mainittuja tietoja, matkustajatietoyksikön on poistettava ne ”välittömästi ja pysyvästi niiden vastaanottamisen jälkeen” (PNR-direktiivin 6 artiklan 1 kohta). Neljänneksi kyseisessä direktiivissä säädetään, että liitteessä I luetellut PNR-tiedot voidaan siirtää vain siltä osin kuin lentoliikenteen harjoittajat ovat jo keränneet ne tavanomaisen liiketoimintansa yhteydessä (PNR-direktiivin 8 artiklan 1 kohta ja johdanto-osan kahdeksas perustelukappale), mikä merkitsee sitä, etteivät matkustajatietoyksiköt saa käyttöönsä järjestelmällisesti kaikkia liitteeseen I sisältyviä tietoja, vaan ainoastaan ne, jotka sisältyvät asianomaisen liikenteenharjoittajan varausjärjestelmään. Viidenneksi PNR-direktiivin 8 artiklan 1 kohdassa velvoitetaan lentoliikenteen harjoittajat käyttämään ”tarjontamenetelmää” siirtäessään PNR-tiedot matkustajatietoyksiköille. Kyseinen menetelmä, jota suositellaan ICAO:n suuntaviivoissa,(165) edellyttää, että liikenteenharjoittajat siirtävät PNR-tiedot itse matkustajatietoyksikköjen tietokantoihin. Verrattuna ”kysyntämenetelmään”, jossa toimivaltaiset viranomaiset voivat päästä toimijoiden järjestelmiin ja kopioida niiden tietokannoista tarvittavat tiedot, tarjontamenetelmään liittyvät suojatoimet ovat paremmat, koska siinä asianomainen lentoliikenteen harjoittaja toimii PNR-tietojen säilyttäjänä ja valvojana. PNR-direktiivissä säädetään vielä ICAO:n suuntaviivojen ja keskitetyn palvelupisteen periaatteen(166) mukaisesti, että PNR-tietojen siirtäminen tapahtuu yhden ainoan elimen, matkustajatietoyksikön, välityksellä, ja matkustajatietoyksikkö toimii kyseisen direktiivin 5 artiklassa tarkoitetun tietosuojavastaavan ja erityisesti kyseisen direktiivin 15 artiklassa tarkoitetun kansallisen valvontaviranomaisen valvonnassa.

174. Toisaalta PNR-direktiivissä säädetään muutamista suojatoimista, joilla pyritään säilyttämään PNR-tietojen tietoturva. Viittaan tässä kyseisen direktiivin 13 artiklan 2 kohtaan, jonka mukaan kaikessa kyseisen direktiivin nojalla tapahtuvassa henkilötietojen käsittelyssä on sovellettava poliisidirektiivin 28 ja 29 artiklaa, jotka koskevat tietojen käsittelyn luottamuksellisuutta ja tietoturvaa, sekä ensin mainitun artiklan 3 kohtaan, jossa muistutetaan lentoliikenteen harjoittajille yleisen tietosuoja-asetuksen nojalla kuuluvista niiden suorittamaan PNR-tietojen käsittelyyn liittyvistä velvoitteista, jotka koskevat erityisesti asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamista kyseisten tietojen tietoturvan ja luottamuksellisuuden suojelemiseksi.(167)

175. On vielä korostettava, että PNR-direktiivin johdanto-osan 29 ja 37 perustelukappaleessa vahvistetaan matkustajien oikeus saada ”helposti saatavilla ja ymmärrettävissä olevia tietoja” muun muassa PNR-tietojen keräämisestä ja kehotetaan jäsenvaltioita varmistamaan, että tätä oikeutta kunnioitetaan. Vaikka tätä vahvistamista ei tehdä PNR-direktiivin tekstiin sisältyvässä pakottavassa säännöksessä, muistutan, kuten olen tuonut esille ensimmäisen ennakkoratkaisukysymyksen tarkastelun yhteydessä, että yleisen tietosuoja-asetuksen säännöksiä sovelletaan siirrettäessä PNR-tietoja matkustajatietoyksiköille. Lentoliikenteen harjoittajien on näin ollen noudatettava kyseisen siirron yhteydessä muun muassa yleisen tietosuoja-asetuksen 13 ja 14 artiklaa, joissa säädetään niiden henkilöiden oikeudesta saada tietoa, joita henkilötietojen käsittely koskee. Vaikka jäsenvaltioiden olisi säädettävä nimenomaisesti lentomatkustajien tiedonsaantioikeudesta, sellaisena kuin se vahvistetaan PNR-direktiivin johdanto-osan 29 ja 37 perustelukappaleessa, kun ne saattavat kyseisen direktiivin osaksi kansallista lainsäädäntöään, ne eivät joka tapauksessa voi rajoittaa yleisen tietosuoja-asetuksen 13 ja 14 artiklan soveltamisalaa kyseisen asetuksen 23 artiklan 1 kohdan mukaisesti, koska se olisi PNR-direktiivin hengen vastaista. Jotta tällainen oikeus olisi tehokas, sen tulisi käsittää myös siirrettävät PNR-tietojen ryhmät.

176. Kaiken edellä esitetyn perusteella katson, että PNR-tiedot, joiden käsittelystä säädetään PNR-direktiivissä, ovat merkityksellisiä ja asianmukaisia eivätkä ne ole liiallisia, kun huomioon otetaan kyseisen direktiivin tavoitteet sekä se, ettei kyseisten tietojen laajuus ylitä sitä, mikä on täysin välttämätöntä näiden tavoitteiden toteutumiseksi, sanotun kuitenkaan rajoittamatta kolmannen ennakkoratkaisukysymyksen yhteydessä esitettyjä rajoituksia ja täsmennyksiä.

–       Arkaluonteiset tiedot

177. PNR-direktiivissä kielletään yleisesti kaikenlainen arkaluonteisten tietojen käsittely.(168)

178. Vaikkei PNR-direktiivissä määritellä arkaluonteisten tietojen käsitettä, sen 13 artiklan 4 kohdasta ilmenee, että näihin kuuluvat ainakin sellaiset PNR-tiedot, ”jotka paljastavat henkilön rodun tai etnisen alkuperän, poliittiset mielipiteet, uskonnollisen tai filosofisen vakaumuksen, ammattiliiton jäsenyyden, terveydentilan tai seksuaalielämän tai sukupuolisen suuntautumisen”.(169) Unionin tuomioistuin on täsmentänyt lausunnon 1/15 165 kohdassa, että kullakin siihen lähtökohtaan, jonka mukaan yksi tai useampi näistä ominaispiirteistä ”voisi itsessään ja asianomaisen matkustajan omasta käyttäytymisestä riippumatta olla merkityksellinen PNR-tietojen käsittelyjen tarkoitukselle[,] – – perustuvalla toimenpiteellä loukattaisiin perusoikeuskirjan 7 ja 8 artiklassa, luettuina yhdessä perusoikeuskirjan 21 artiklan kanssa, taattuja oikeuksia”. PNR-direktiivin 13 artiklan 4 kohdassa tarkoitettujen tietojen käsittelyn kielto tekee siis PNR-direktiivistä niiden unionin tuomioistuimen asettamien rajoitusten mukaisen, jotka koskevat tähän ryhmään kuuluvien tietojen käsittelyä PNR-tietojen käsittelyjärjestelmän yhteydessä, riippumatta siitä, sovelletaanko kansallista lainsäädäntöä, unionin oikeutta vai unionin tekemää kansainvälistä sopimusta.

179. PNR-direktiivissä säädetty arkaluonteisten tietojen käsittelyä koskeva yleinen kielto käsittää myös tietojen keräämisen. Kuten kyseisen direktiivin johdanto-osan 15 perustelukappaleesta nimenomaisesti ilmenee, liitteessä I olevat 19 otsikkoa eivät näin ollen perustu kyseisen direktiivin 13 artiklan 4 kohdassa tarkoitettuihin PNR-tietoihin.

180. Vaikka yhdessäkään kyseisistä otsikoista ei mainita nimenomaisesti tällaisia tietoja, nämä tiedot saattaisivat kuitenkin sisältyä erityisesti liitteessä I olevan 12 kohdan otsikkoon ”Yleiset huomautukset”, joka muodostaa avoimeksi jätetyn tietokentän, joka voi kattaa lukemattoman määrän erilaisia tietoja, kuten sain jo tilaisuuden huomauttaa kolmannen ennakkoratkaisukysymyksen tarkastelun yhteydessä. Kuten unionin tuomioistuinkin on lisäksi tuonut esille lausunnon 1/15 164 kohdassa, olemassa on näet konkreettinen vaara siitä, että kyseisen otsikon alaan kuuluvat tiedot, jotka koskevat esimerkiksi ruokavaliota, avustamispyyntöjä tai tietyille henkilöryhmille tai yhdistyksille tarjottuja hintapaketteja, paljastavat suoraan PNR-direktiivin 13 artiklan 4 kohdassa tarkoitettuja arkaluonteisia tietoja, jotka liittyvät erityisesti asianomaisten matkustajien uskonnolliseen vakaumukseen, terveydentilaan taikka ammattiliiton tai puolueen jäsenyyteen.

181. Koska PNR-direktiivillä kielletään joka tapauksessa tällaisten tietojen käsittely, lentoliikenteen harjoittajien suorittama tällaisten tietojen siirtäminen ylittää selvästi sen, mikä on täysin välttämätöntä, ja se lisäksi osoittautuu täysin hyödyttömäksi. Tältä osin on korostettava, että vaikka matkustajatietoyksiköt ovat joka tapauksessa PNR-direktiivin 13 artiklan 4 kohdan toisen virkkeen mukaisesti velvollisia poistamaan välittömästi PNR-tiedot, jotka paljastavat jonkin kyseisen kohdan ensimmäisessä virkkeessä mainituista tiedoista, ei kyseisten tietojen siirtämistä voida sallia tai oikeuttaa tämän perusteella,(170) vaan kyseisessä direktiivissä säädetyn, näiden tietojen käsittelyä koskevan kiellon on oltava tehokas heti PNR-tietojen käsittelyn ensimmäisestä vaiheesta alkaen. Velvollisuus poistaa arkaluonteiset tiedot on siis vain lisätae siitä, että kyseisessä direktiivissä on huomioitu tilanne, jossa tällaisia tietoja siirrettäisiin poikkeuksellisesti erehdyksessä matkustajatietoyksiköille.

182. Tuon lisäksi esille, kuten julkisasiamies Mengozzi on huomauttanut lausuntoon 1/15 liittyvän ratkaisuehdotuksen(171) 222 kohdassa, että koska matkustajat toimittavat vain vapaaehtoisesti tietoja, jotka kuuluvat liitteessä I olevan 12 kohdan otsikon ”Yleiset huomautukset” kaltaisten ”vapaan tekstin” otsikkojen alaan ja jotka voivat käsittää PNR-direktiivin 13 artiklan 4 kohdassa tarkoitettuja arkaluonteisia tietoja, on epätodennäköistä, että terrorismirikoksiin osalliset tai vakavassa rikollisuudessa mukana oleva henkilöt ilmoittaisivat näitä tietoja oma-aloitteisesti, jolloin tällaisten tietojen järjestelmällinen siirto koskee todennäköisesti valtaosin henkilöitä, jotka ovat pyytäneet lisäpalvelua ja jotka eivät tosiasiassa kiinnosta lainvalvontaviranomaisia lainkaan.(172)

183. Tulin kolmannen ennakkoratkaisukysymyksen tarkastelun yhteydessä siihen tulokseen, ettei liitteessä I oleva 12 kohta täytä otsikon ”Yleiset huomautukset” osalta perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisessä virkkeessä edellytettyjä selkeyden ja täsmällisyyden vaatimuksia. Edellä esitetyistä syistä katson, että kyseisen otsikon sisällyttäminen matkustajatietoyksiköille järjestelmällisesti siirrettävien tietoryhmien joukkoon täsmentämättä lainkaan tietoja, joita siinä tarkoitetaan, ei täytä myöskään perusoikeuskirjan 52 artiklan 1 kohdan toisen virkkeen mukaista välttämättömyyden kriteeriä, sellaisena kuin unionin tuomioistuin sitä tulkitsee.(173)

184. Näin ollen niin sanottujen vapaan tekstin otsikoiden jättäminen pois PNR-tietojen käsittelyjärjestelmässä valtion viranomaisille siirrettävien PNR-tietojen luettelosta ei riitä poistamaan sitä vaaraa, että kyseiset viranomaiset saavat kuitenkin arkaluonteisia tietoja käyttöönsä. Tällaisia tietoja voidaan nimittäin päätellä suoraan tällaisiin otsikkoihin sisältyvistä tiedoista, ja ne voivat myös paljastua tai niitä koskevia oletuksia voidaan tehdä epäsuorasti ”koodattuihin” otsikkoihin sisältyvien tietojen perusteella. Esimerkiksi lentomatkustajan nimi voi siis antaa viitteitä tai ainakin mahdollisuuden tehdä oletuksia asianomaisen matkustajan etnisestä alkuperästä tai kuulumisesta uskonnolliseen ryhmään. Sama koskee kansalaisuutta. Näitä tietoja ei voida lähtökohtaisesti jättää pois siirrettävien PNR-tietojen luettelosta, eivätkä tietojen vastaanottamiseen valtuutetut viranomaiset voi niitä poistaa. Jotta vältetään se vaara, että suuri määrä henkilöitä, joita ei kuitenkaan epäillä mistään rikoksesta, joutuu leimatuksi suojattujen ominaisuuksien perusteella, on tärkeää, että PNR-tietojen käsittelyjärjestelmässä säädetään riittävistä suojatoimista, joiden avulla voidaan estää kerättyjen tietojen käsittelyn jokaisessa vaiheessa se, että tässä käsittelyssä voitaisiin ottaa suoraan tai epäsuorasti huomioon tällaisia ominaisuuksia, esimerkiksi soveltamalla automaattisen analyysin aikana kyseisiin ominaisuuksiin perustuvia valintatoimintoja. Palaan tähän seikkaan jäljempänä tässä arvioinnissa.

185. Kaiken edellä esitetyn perusteella katson, että PNR-direktiivissä säädetään riittävistä suojatoimista arkaluonteisten tietojen suojaamiseksi siinä vaiheessa, kun PNR-tietoja siirretään matkustajatietoyksiköille, sanotun kuitenkaan rajoittamatta sitä päätelmää, joka esitetään edellä tämän ratkaisuehdotuksen 183 kohdassa.

iii)  Matkustajan käsite (neljäs ennakkoratkaisukysymys)

186. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee neljännellä ennakkoratkaisukysymyksellään unionin tuomioistuimelta lähinnä sitä, onko PNR-direktiivillä käyttöön otettu järjestelmä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan mukainen, kun siinä sallitaan kaikkien kyseisen direktiivin 3 artiklan 4 alakohdassa tarkoitetun matkustajan käsitteen alaan kuuluvien henkilöiden PNR-tietojen yleinen siirtäminen ja käsittely riippumatta siitä, onko olemassa mitään objektiivista seikkaa, jonka perusteella voitaisiin katsoa, että asianomainen henkilö saattaa aiheuttaa vaaran yleiselle turvallisuudelle. Se tiedustelee erityisesti mahdollisuudesta soveltaa PNR-direktiivillä käyttöön otettuun henkilötietojen käsittelyä koskevaan järjestelmään unionin tuomioistuimen oikeuskäytäntöä, joka koskee tietojen säilyttämistä ja saantia sähköisen viestinnän alalla.

187. Unionin tuomioistuin on todennut kyseisessä oikeuskäytännössä nyt esillä olevassa menettelyssä merkityksellisiltä osin, että säännöstöä, jossa säädetään sähköiseen viestintään liittyvien liikennetietojen ja paikkatietojen yleisestä, erotuksetta tapahtuvasta ja ennaltaehkäisevästä säilyttämisestä vakavan rikollisuuden torjumiseksi,(174) jotta nämä tiedot voidaan antaa lainvalvontaviranomaisten käyttöön, tekemättä mitään erottelua tai asettamatta mitään rajoituksia tai poikkeuksia pyrkimyksenä olevan tavoitteen perusteella, ei voida pitää lähtökohtaisesti oikeutettuna demokraattisessa yhteiskunnassa.(175) Unionin tuomioistuin on todennut samaa kansallisesta säännöstöstä, jossa säädetään terrorismin torjumiseksi suodattamalla tapahtuvasta kaikkien edellä mainittujen tietojen automaattisesta analysoinnista, jonka sähköisten viestintäpalvelujen tarjoajat suorittavat toimivaltaisten kansallisten viranomaisten pyynnöstä näiden määrittämien parametrien mukaisesti.(176) Unionin tuomioistuimen mukaan tällaisia toimenpiteitä voidaan pitää oikeutettuina ainoastaan tilanteissa, joissa asianomaisen jäsenvaltion kansalliseen turvallisuuteen kohdistuu vakava uhka, joka osoittautuu todelliseksi ja olemassa olevaksi tai ennakoitavissa olevaksi, ja silloin, kun joko tuomioistuin tai riippumaton hallinnollinen elin voi kohdistaa toimenpiteen täytäntöönpanosta annettavaan päätökseen tehokasta valvontaa.(177) Tällaisten toimenpiteiden käyttö tällaisissa tilanteissa on lisäksi rajoitettava unionin tuomioistuimen mukaan ajallisesti täysin välttämättömään eikä se voi missään tapauksessa olla järjestelmällistä.(178)

188. Tuon lisäksi esille, että vaikkei unionin tuomioistuin mennyt kyseisessä oikeuskäytännössä niin pitkälle, että se olisi todennut nimenomaisesti yksityiselämän kunnioittamista koskevan oikeuden keskeistä sisältöä loukatun, kuten se teki tuomiossa Schrems I, se katsoi kuitenkin, että kyseiset toimenpiteet aiheuttivat niin vakavan oikeuteen puuttumisen, ettei niiden voitu vain katsoa rajoittuvan siihen, mikä on täysin välttämätöntä, ja olevan siten perusoikeuskirjan mukaisia muussa tapauksessa kuin silloin, että jäsenvaltion kansalliseen turvallisuuteen kohdistuu erityinen uhka,(179) riippumatta mahdollisista suojatoimista, joita on otettu käyttöön kyseisten tietojen väärinkäytön ja laittoman tietoihin pääsyn riskin varalta.(180)

189. Minulla on jo ollut tilaisuus korostaa, että PNR-direktiivissä säädetyn kaltaisella säännöstöllä on muutamia yhteisiä piirteitä, jotka tekevät oikeuksiin puuttumisesta erityisen pitkälle menevää, tämän ratkaisuehdotuksen edellisissä kohdissa esille otetussa unionin tuomioistuimen oikeuskäytännössä tarkastellun tyyppisten toimenpiteiden kanssa. PNR-direktiivillä otetaan siis käyttöön järjestelmä, jossa kerätään yleisesti ja erotuksetta sekä analysoidaan automaattisesti henkilötietoja, jotka koskevat huomattavaa väestönosaa, ja jota sovelletaan yleisesti kaikkiin henkilöihin, jotka vastaavat kyseisen direktiivin 3 artiklan 4 alakohdassa tarkoitettua matkustajien käsitettä, ja siten myös henkilöihin, joiden osalta ei ole mitään viitettä, jonka perusteella näiden henkilöiden käyttäytymisellä voitaisiin arvella olevan edes epäsuora tai etäinen yhteys terrorismiin tai vakavaan rikollisuuteen. Näissä olosuhteissa ennakkoratkaisua pyytänyt tuomioistuin tiedustelee, voidaanko kyseistä oikeuskäytäntöä soveltaa PNR-direktiivillä käyttöön otetun kaltaiseen PNR-tietojen käsittelyjärjestelmään.

190. Tuon tältä osin esille, että tarkastellessaan lausunnon 1/15 186–189 kohdassa suunnitellun Kanada–EU-PNR-sopimuksen henkilöllistä soveltamisalaa unionin tuomioistuin on välttänyt rinnastamasta toisiinsa yhtäältä toimenpiteitä, jotka koskevat sähköisen viestinnän sisällön sekä liikenne- ja paikkatietojen yleistä ja erotuksetta tapahtuvaa säilyttämistä ja saantia, ja toisaalta asianomaisessa sopimuksessa tarkoitetun matkustajien etukäteisarvioinnin yhteydessä tapahtuvaa PNR-tietojen siirtämistä ja automaattista käsittelyä. Jo kyseisen lausunnon antamisen ajankohtana oli kuitenkin olemassa vakiintunutta oikeuskäytäntöä, joka oli vahvistettu vain muutamia kuukausia ennen kyseistä lausuntoa annetussa tuomiossa Tele2 Sverige, johon ennakkoratkaisua pyytänyt tuomioistuin viittaa, ja jossa kyseisten toimenpiteiden katsottiin olevan erityisiä yksittäisiä tilanteita lukuun ottamatta(181) ristiriidassa perusoikeuskirjan kanssa.(182) Samalla alalla annetut unionin tuomioistuimen uudemmat tuomiot, erityisesti tuomio La Quadrature du Net, ovat kyseisen oikeuskäytännön jatkumoa, ja ne täsmentävät sitä ja tarkentavat sen tiettyjä näkökohtia.

191. Unionin tuomioistuin on katsonut edellä mainituissa lausunnon 1/15 kohdissa nimenomaisesti, ettei Kanada–EU-PNR-sopimus vaikuta ylittävän sitä, mikä on täysin välttämätöntä, siltä osin kuin siinä sallitaan kaikkien Kanadaan matkustavien lentomatkustajien PNR-tietojen siirtäminen ja automaattinen käsittely etukäteisarvioinnin tekemiseksi, vaikka tietojen siirtäminen ja käsittely tapahtuvat ”riippumatta mistään sellaisesta objektiivisesta seikasta, jonka perusteella voidaan katsoa, että matkustajat voivat merkitä riskiä yleiselle turvallisuudelle Kanadassa”.(183) Unionin tuomioistuin toteaa kyseisen lausunnon 187 kohdassa peräti, että ”tiettyjen henkilöryhmien tai tiettyjen lähtöalueiden pois sulkeminen olisi omiaan estämään PNR-tietojen automaattisen käsittelyn sen tavoitteen saavuttamisen, joka on kyseisten tietojen tarkastamisella tunnistaa kaikkien lentomatkustajien joukosta henkilöt, jotka voivat merkitä riskiä yleiselle tuvallisuudelle, ja mahdollistamaan, että tätä tarkastusta voidaan kiertää”.(184)

192. Ainakin PNR-tietojen yleisen ja erotuksetta tapahtuvan siirtämisen kohdalla unionin tuomioistuin on poikennut tiukemmasta lähestymistavasta, jota on noudatettu metatietojen säilyttämisen ja metatietoihin pääsyn kohdalla.

193. Vaikka on kiistatonta, kuten erityisesti lausunnon 1/15 152 ja 188 kohdasta ilmenee, että unionin tuomioistuin on ottanut päättelyssään huomioon yhtäältä sen toteamuksen, että PNR-tietojen automaattinen käsittely helpottaa turvatarkastuksia erityisesti rajoilla, ja toisaalta sen seikan, että Chicagon yleissopimuksen mukaisesti lentomatkustajat, jotka haluavat saapua kyseisen yleissopimuksen sopimuspuolena olevan valtion alueelle, joutuvat läpäisemään tarkastukset ja täyttämään kyseisen valtion asettamat maahantuloa ja maastapoistumista koskevat edellytykset, mukaan lukien heidän PNR-tietojensa tarkistaminen, katson muiden syiden – ensisijaisesti käsiteltyjen tietojen luonteen – puoltavan lähestymistapojen moninaisuutta.

194. Unionin tuomioistuin on korostanut toistuvasti, että sähköisen viestinnän sisällön lisäksi myös metatiedot voivat paljastaa tietoja ”huomattavasta määrästä asianomaisten henkilöiden yksityiselämään liittyviä seikkoja, ja myös arkaluonteisia tietoja, kuten seksuaalista suuntautumista, poliittisia mielipiteitä, uskonnollista, filosofista, yhteiskunnallista tai muuta vakaumusta sekä terveydentilaa koskevia tietoja”; että tällaisten tietojen kokonaisuus ”voi mahdollistaa hyvin tarkkojen päätelmien tekemisen niiden henkilöiden, joiden tietoja on säilytetty, yksityiselämästä, kuten elämäntavoista, vakituisista tai tilapäisistä oleskelupaikoista, päivittäisestä tai muusta liikkumisesta, toiminnasta sekä näiden henkilöiden sosiaalisista suhteista ja heidän sosiaalisesta ympäristöstään” ja että kyseisten tietojen perusteella voidaan erityisesti laatia ”rekisteröityjen profiili, joka on yksityiselämän kunnioittamista koskevan oikeuden kannalta aivan yhtä arkaluonteista tietoa kuin itse viestinnän sisältö”.(185) Muistutan lisäksi, että säännöstöissä, joita unionin tuomioistuin on ennen tätä tarkastellut, direktiiviin 2006/24 sisältyvä säännöstö mukaan lukien, ei säädetty yhdestäkään poikkeuksesta, ja niitä sovellettiin myös lähtevässä ja saapuvassa viestinnässä, jota käytiin sosiaaliseen, uskonnolliseen tai ammatillisen salassapitovelvollisuuden piiriin kuuluvaan ammatilliseen ympäristöön sijoittuvissa yksiköissä. Vaikka unionin tuomioistuin ei siis todennut, että yksityiselämän kunnioittamista koskevan oikeuden keskeistä sisältöä oli loukattu, se vahvisti kuitenkin, että ”kun otetaan huomioon liikenne- ja paikkatiedoista mahdollisesti saatavan tiedon arkaluonteisuus, liikenne- ja paikkatietojen luottamuksellisuus on yksityiselämän kunnioittamista koskevan oikeuden kannalta olennaista”.(186)

195. Sen sijaan vaikka on totta, kuten olen muistuttanut edellä tämän ratkaisuehdotuksen 77 ja 98 kohdassa, että unionin tuomioistuin on myöntänyt lausunnossa 1/15, että PNR-tiedot voivat tarvittaessa paljastaa erittäin tarkkoja tietoja henkilön yksityiselämästä,(187) unionin tuomioistuin on kuitenkin vahvistanut, että näiden tietojen luonne rajoittuu tiettyihin yksityiselämän näkökohtiin,(188) minkä vuoksi tällaisiin tietoihin pääsyllä ei puututa oikeuksiin yhtä paljon kuin sähköisen viestinnän sisältöön sekä liikenne- ja paikkatietoihin pääsyllä.

196. Toiseksi on todettava, että PNR-tiedot eroavat liikenne- ja paikkatiedoista paitsi luonteensa, myös määränsä ja niiden monien erilaisten yksityiskohtien puolesta, joita eri tietoryhmien perusteella voidaan saada selville, siten, että PNR-tietoihin sisältyvät tiedot ovat niin määrällisesti kuin laadullisesti rajallisemmat. Tähän vaikuttaa paitsi se seikka, että järjestelmät, joissa sähköiseen viestintään liittyviä tietoja käsitellään yleisesti ja erotuksetta, voivat käsittää kyseessä olevan väestön lähes kokonaisuudessaan, kun taas PNR-tietojen käsittelyjärjestelmiä sovelletaan rajatumpaan, tosin määrällisesti merkittävään, henkilöjoukkoon, myös se seikka, että sähköisiä viestintävälineitä käytetään hyvin usein ja niitä on paljon. Lisäksi PNR-direktiivissä säädetyn mukaisesti PNR-tietoja kerätään ja käsitellään rajattu määrä ja nämä tiedot on määritetty tyhjentävästi lukuun ottamatta kyseisen direktiivin 13 artiklan 4 kohdassa lueteltuihin ryhmiin kuuluvia tietoja, joten jollei PNR-tietojen määrää, ainakin niiden perusteella selville saatavia rekisteröityjen yksityiselämää koskevia arkaluonteisia tietoja voidaan arvioida osittain etukäteen.(189) Kyseessä olevien tietojen tyypin tällainen rajaaminen siten, että suurin osa tiedoista, jotka voivat paljastaa arkaluonteisia tietoja, voidaan jättää pois, on vain osittain mahdollista liikenne- ja paikkatietojen kohdalla, kun huomioon otetaan käyttäjämäärä ja asianomaiset viestintävälineet.(190)

197. Kolmanneksi on tuotava esille, että sähköisen viestinnän metatietojen käsittely saattaa koskettaa lähes koko väestön yksityiselämän piiriä, mutta se myös rajoittaa niiden muiden vapauksien käyttämistä, joiden avulla kukin henkilö voi ottaa osaa maan yhteiskunnalliseen ja demokraattiseen elämään,(191) ja sillä voi olla ehkäisevä vaikutus sähköisten viestintävälineiden käyttäjien sananvapauteen,(192) joka on yksi ”demokraattiseen ja moniarvoiseen yhteiskuntaan liittyvä olennainen perusta” ja joka kuuluu unionin perustana oleviin arvoihin.(193) Tämä on ominaista toimenpiteille, jotka kohdistuvat kyseisiin henkilötietoryhmiin, mutta lähtökohtaisesti ei kuitenkaan PNR-tietojen käsittelyjärjestelmille.

198. Neljänneksi totean, että sähköisen viestinnän sisällön sekä liikenne- ja paikkatietojen käsittelyyn liittyy merkittävästi suurempi mielivaltaisuuden riski kuin PNR-tietojen käsittelyjärjestelmiin lähinnä siitä syystä, että niiden perusteella voidaan saada selville paljon enemmän erilaisia arkaluonteisia tietoja.

199. Kaikista edellä esitetyistä syistä olen sitä mieltä, että unionin tuomioistuimen sähköisen viestinnän alalla noudattamaa tiukempaa lähestymistapaa ei voida soveltaa sellaisenaan PNR-tietojen käsittelyjärjestelmiin. Unionin tuomioistuin on jo todennut ainakin implisiittisesti näin lausunnossa 1/15, jossa oli kyse tällaisen järjestelmän perustamista kolmannen maan turvallisuuden suojelemiseksi koskevasta sopimuksesta. Samalle kannalle on asetuttava nähdäkseni sitäkin suuremmalla syyllä, kun kyseessä on PNR-direktiivi, jonka tavoitteena on unionin sisäisen turvallisuuden suojeleminen.

200. Tästä huolimatta on tuotava esille, kuten julkisasiamies Mengozzi on tehnyt lausuntoa 1/15 koskevan ratkaisuehdotuksensa(194) 216 kohdassa, että PNR-tietojen käsittelyjärjestelmien, olipa ne toteutettu yksipuolisesti tai kansainvälisen sopimuksen perusteella, pyrkimyksenä sinänsä on nimenomaan taata tietojen massaluonteinen siirtäminen, jotta toimivaltaiset viranomaiset voisivat automaattisen tietojenkäsittelyn ja ennalta vahvistettujen skenaarioiden tai arviointikriteerien avulla yksilöidä henkilöt, jotka eivät ole olleet lainvalvontaviranomaisten tiedossa mutta jotka vaikuttavat ”kiinnostavilta” tai muodostavat uhan yleiselle turvallisuudelle ja jotka voidaan siten saattaa myöhemmin tehostettuihin yksilöllisiin tarkastuksiin. ”Perusteltua syytä epäillä” koskevalla vaatimuksella, joka on vahvistettu rikostutkinnan yhteydessä harjoitettua kohdennettua salakuuntelua koskevassa Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä(195) sekä metatietojen säilyttämistä koskevassa unionin tuomioistuimen oikeuskäytännössä,(196) on näin ollen vähemmän merkitystä tällaisen tietojen siirtämisen ja käsittelyn yhteydessä.(197) Tällaisilla järjestelmillä tavoiteltua päämäärää eli ennalta estämistä ei voitaisi saavuttaa myöskään rajoittamalla niiden soveltaminen tiettyyn henkilöryhmään, kuten unionin tuomioistuin on sitä paitsi todennut lausunnon 1/15 kohdissa, jotka mainitaan edellä tämän ratkaisuehdotuksen 191 kohdassa, joten PNR-direktiivin soveltamisala vaikuttaa varmistavan kyseisen päämäärän tehokkaan toteutumisen.(198)

201. On myös korostettava, että komissio on ottanut toistuvasti esille PNR-tietojen käsittelyn strategisen merkityksen unionin yhteisenä terrorismin ja vakavan rikollisuuden torjunnan keskeisenä välineenä sekä turvallisuusunionin merkittävänä osatekijänä.(199) Myös Yhdistyneiden kansakuntien turvallisuusneuvosto on tunnustanut PNR-tietojen käsittelyjärjestelmien aseman terrorismin torjuntaa koskevan ”kokonaisvaltaisen lähestymistavan” yhteydessä, kun se on velvoittanut päätöslauselmassa 2396(2017)(200) Yhdistyneisiin kansakuntiin kuuluvat valtiot ”vahvistamaan valmiuttaan kerätä, käsitellä ja analysoida [PNR-tietoja] ICAO:n suosittelemien standardien ja käytäntöjen mukaisesti sekä huolehtimaan siitä, että nämä tiedot toimitetaan kaikille toimivaltaisille kansallisille viranomaisille ja että nämä viranomaiset käyttävät niitä ihmisoikeuksia ja perusvapauksia täysimääräisesti kunnioittaen terrorismirikosten ja terroristien matkojen ennalta estämiseksi, paljastamiseksi ja tutkimiseksi”.(201) Tämä velvollisuus vahvistetaan terrorismia ja vakavaa kansainvälistä rikollisuutta koskevassa päätöslauselmassa 2482(2019).(202)

202. Tässä yhteydessä unionin tasolla yhdenmukaistetun PNR-tietojen käsittelyjärjestelmän käyttöönotto sekä EU:n ulkopuolisilla lennoilla että PNR-direktiivin 2 artiklaa soveltavien valtioiden osalta myös EU:n sisäisillä lennoilla antaa mahdollisuuden varmistaa, että näiden tietojen käsittelyssä kunnioitetaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien kyseisessä direktiivissä säädetyn mukaista suojelun korkeaa tasoa, ja se muodostaa oikeudellisen viitejärjestelmän PNR-tietojen käsittelyä ja siirtämistä koskevista kansainvälisistä sopimuksista(203) neuvottelemista varten.

203. Lisäksi vaikka on totta, että PNR-direktiivillä käyttöön otettu järjestelmä koskee erotuksetta kaikkia lentomatkustajia, kuten erityisesti parlamentti on aiheellisesti korostanut kirjallisissa huomautuksissaan ja kuten myös Yhdistyneiden kansakuntien turvallisuusneuvosto on tuonut esille päätöslauselmassa 2396(2017), jossa käsitellään konkreettista vaaraa siviili-ilmailun käyttämisestä terroristisiin tarkoituksiin sekä kuljetusvälineenä että kohteena,(204) lentoliikenteen ja yleiseen turvallisuuteen kohdistuvien uhkien välillä on objektiivinen yhteys, joka liittyy erityisesti terrorismiin ja ainakin joihinkin vakavan rikollisuuden muotoihin, kuten huumausaine- ja ihmiskauppaan, joilla on lisäksi vahva rajatylittävä ulottuvuus.

204. On vielä korostettava, kuten parlamentti, neuvosto ja useat kirjallisia huomautuksia esittäneet jäsenvaltiot ovat tehneet, että lentomatkustajien, jotka saapuvat unioniin tai lähtevät sieltä, on läpäistävä turvatarkastukset.(205) PNR-tietojen siirtäminen ja käsittely ennen heidän saapumistaan tai lähtöään helpottaa ja nopeuttaa näitä tarkastuksia, kuten unionin tuomioistuinkin on tuonut esille lausunnossa 1/15, koska kyseisten tietojen ansiosta lainvalvontaviranomaiset voivat keskittyä matkustajiin, joista niillä on todelliseen turvallisuusuhkaan viittaavaa tosiseikkoihin perustuvaa näyttöä.(206)

205. PNR-direktiivin mukaisen järjestelmän laajentamisesta koskemaan EU:n sisäisiä lentoja on todettava erityisesti vielä, että vaikka erityisesti perusoikeuskirjan 45 artiklassa unionin kansalaisille vahvistettuun liikkumisvapauteen kohdistuvaa kaikkea vaikutusta ei voida ennakolta poissulkea, PNR-direktiiviin sisältyvä yksityiselämään puuttuminen ei ole vakavuudestaan huolimatta nähdäkseni sellaista, että sillä olisi sinänsä ehkäisevä vaikutus kyseisen vapauden käyttämiseen, vaan kansalaiset voivat jopa pitää PNR-tietojen käsittelyä lentomatkojen turvallisuuden varmistamisen kannalta välttämättömänä toimenpiteenä.(207) Tällaisen ehkäisevän vaikutuksen mahdollisuutta on kuitenkin arvioitava ja seurattava jatkuvasti.

206. Edellä tämän ratkaisuehdotuksen 107 ja 108 kohdassa mainitun oikeuskäytännön perusteella, PNR-direktiivissä ei pitäisi kuitenkaan edellyttää pelkästään sitä, että kaikkien lentomatkustajien PNR-tietojen käytön ja automaattisen käsittelyn on vastattava tavoiteltua tarkoitusta, vaan siinä on säädettävä selkeästi ja täsmällisesti myös tätä käyttöä ja käsittelyä sekä kyseisten tietojen jatkokäyttöä koskevista aineellisista ja menettelyllisistä edellytyksistä(208) sekä asianmukaisista suojatoimista prosessin kutakin vaihetta varten. Olen jo käsitellyt toisen ennakkoratkaisukysymyksen tutkimisen yhteydessä suojatoimia, jotka liittyvät PNR-tietojen siirtämiseen matkustajatietoyksiköille. Tarkastelen kuudennen ennakkoratkaisukysymyksen tutkimisen yhteydessä suojatoimia, jotka liittyvät nimenomaisesti kyseisten tietojen automaattiseen käsittelyyn, ja kahdeksannen ennakkoratkaisukysymyksen tutkimisen yhteydessä suojatoimia, jotka liittyvät kyseisten tietojen säilyttämiseen.

207. Ennen kuin jatkan tarkasteluani, haluan korostaa sitä perustavaa merkitystä, joka PNR-direktiivin 15 artiklassa tarkoitetun riippumattoman viranomaisen harjoittamalla valvonnalla on PNR-direktiivillä käyttöön otetun suojatoimijärjestelmän yhteydessä. Kyseisen artiklan mukaisesti riippumattoman valvontaviranomaisen on valvottava kyseisen direktiivin mukaista tietojen käsittelyä, ja tällä viranomaisella on valtuudet tarkastaa tämän käsittelyn lainmukaisuus sekä tehdä tutkimuksia, todentamisia ja tarkastuksia ja käsitellä rekisteröityjen tekemät valitukset. Tällainen valvonta, jota harjoittaa ulkopuolinen taho, jonka tehtävänä on puolustaa PNR-tietojen käsittelijöiden etujen kanssa mahdollisesti ristiriidassa olevia etuja ja jonka tehtävänä on valvoa kaikkien tähän käsittelyyn liittyvien rajoitusten ja suojatoimien noudattamista, on olennainen tae, joka mainitaan nimenomaisesti perusoikeuskirjan 8 artiklan 3 kohdassa ja joka on asianomaisten perusoikeuksien suojaamisen suhteen jopa tehokkaampi kuin yksityisten käyttöön annettujen oikeussuojakeinojen järjestelmä. Näin ollen on nähdäkseni perustavan tärkeää, että unionin tuomioistuin tulkitsee PNR-direktiivin 15 artiklan mukaisen valvontavallan laajuutta laajasti ja että jäsenvaltiot myöntävät saattaessaan kyseisen direktiivin kansallisen lainsäädäntönsä osaksi kansalliselle valvontaviranomaiselleen nämä valtuudet kaikessa laajuudessaan ja antavat sille samalla sen tehtävien hoitamiseen tarvittavat aineelliset resurssit ja henkilöresurssit.

208. Kaiken edellä esitetyn perusteella katson, ettei PNR-direktiivillä ylitetä sitä, mikä on täysin välttämätöntä, siltä osin kuin siinä sallitaan kaikkien kyseisen direktiivin 3 artiklan 4 alakohdassa tarkoitettua matkustajan käsitettä vastaavia henkilöitä koskevien tietojen siirtäminen ja automaattinen käsittely.

iv)  Onko matkustajien etukäteisarviointi riittävän selkeä ja täsmällinen ja rajoittuuko se siihen, mikä on täysin välttämätöntä (kuudes ennakkoratkaisukysymys)?

209. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kuudennella ennakkoratkaisukysymyksellään unionin tuomioistuimelta lähinnä sitä, onko PNR-direktiivin 6 artiklassa tarkoitettu etukäteisarviointi yhteensopiva perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan kanssa. Vaikka kysymyksen sanamuodossa keskitytään tähän etukäteisarviointiin sisältyvän, kaikkien lentomatkustajien PNR-tietojen automaattisen käsittelyn järjestelmälliseen ja yleiseen luonteeseen, ennakkoratkaisupyynnön perusteluista ilmenee, että Cour constitutionnelle pyytää unionin tuomioistuinta arvioimaan yleisemmin laillisuuden ja oikeasuhteisuuden vaatimusten täyttymistä tällaisen käsittelyn yhteydessä. Teen tämän arvioinnin jäljempänä ja viittaan samalla neljännen ennakkoratkaisukysymyksen tarkastelun yhteydessä tekemääni arviointiin siltä osin kuin se koskee tällaisen automaattisen käsittelyn kohdentamattomuutta.

210. PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukaisesti matkustajatietoyksikön on tehtävä etukäteisarviointi lentomatkustajista ennen heidän aikataulunmukaista saapumistaan jäsenvaltioon tai lähtöään sieltä. Tällä arvioinnilla pyritään tunnistamaan henkilöt, joista toimivaltaisten viranomaisten on tehtävä lisätutkimuksia, ”koska he saattavat olla osallisina terrorismirikoksessa tai vakavassa rikollisuudessa”. PNR-direktiivin 6 artiklan 6 kohdan mukaisesti jäsenvaltion matkustajatietoyksikön on toimitettava kyseisen arvioinnin yhteydessä tunnistettujen henkilöiden PNR-tiedot tai näiden tietojen käsittelyn tulokset lisätutkimuksia varten kyseisen direktiivin 7 artiklassa tarkoitetuille saman jäsenvaltion toimivaltaisille viranomaisille.

211. PNR-direktiivin 6 artiklan 3 kohdan mukaan kyseisen artiklan 2 kohdan a alakohdan mukainen etukäteisarviointi suoritetaan vertaamalla PNR-tietoja ”olennaisiin” tietokantoihin (6 artiklan 3 kohdan a alakohta) tai käsittelemällä niitä määritettyjen kriteerien mukaisesti (6 artiklan 3 kohdan b alakohta).

212. Ennen kuin siirryn tarkastelemaan näitä kahta tietojenkäsittelyn tyyppiä, tuon esille, ettei edellä mainitun 6 artiklan 3 kohdan sanamuodosta ilmene selvästi, onko jäsenvaltioiden huolehdittava siitä, että matkustajien etukäteisarviointi suoritetaan järjestelmällisesti joka kerta käyttämällä kumpaakin automaattista analysointia, vai voivatko ne mukauttaa järjestelmiään esimerkiksi niin, että 6 artiklan 3 kohdan b alakohdan mukainen tietojen tutkiminen toteutetaan vain tietyissä tapauksissa, mihin verbin ”voida” sekä konjunktion ”tai” käyttäminen vaikuttaisi viittaavan. Täsmennän tältä osin, että ehdotuksessa PNR-direktiiviksi esitettiin, että tällainen tietojen tutkiminen suoritettaisiin vain vakavien rajatylittävien rikosten torjumisen yhteydessä.(209)

213. Katson komission tavoin, että erityisesti PNR-direktiivin rakenteesta ilmenee, että jäsenvaltioiden on säädettävä näistä molemmista automaattisen käsittelyn tavoista muun muassa siksi, että on varmistettava unionin PNR-tietojen käsittelyjärjestelmän mahdollisimman yhdenmukainen soveltaminen. Tämä ei merkitse kuitenkaan sitä, etteivätkö jäsenvaltiot saisi – tai eikö niiden jopa pitäisi, jotta PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukaisesti suoritettuun etukäteisarviointiin kuuluva tietojenkäsittely rajoittuisi vain siihen, mikä on täysin välttämätöntä – rajoittaa PNR-direktiivin 6 artiklan 3 kohdan b alakohdan mukaista analyysia sen mukaan, miten tehokkaita tuloksia sillä saadaan aikaan kunkin kyseisessä direktiivissä tarkoitetun rikoksen kohdalla, ja tarvittaessa rajata sen käyttö vain osaan näistä rikoksista. Tällaista tulkintaa puoltaa PNR-direktiivin johdanto-osan seitsemäs perustelukappale, jossa todetaan, että ”jotta voidaan varmistaa, että PNR-tietoja käsitellään vain siinä määrin kuin on tarpeen, arviointiperusteiden laatiminen ja soveltaminen olisi rajoitettava kattamaan terrorismirikokset ja vakavat rikokset, joiden kohdalla kyseisten perusteiden käyttö on asianmukaista”.

–       PNR-direktiivin 6 artiklan 3 kohdan a alakohdassa tarkoitettu vertaaminen tietokantoihin

214. Matkustajatietoyksiköiden PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukaisesti suorittaman etukäteisarvioinnin ensimmäisessä vaiheessa PNR-tietoja verrataan (data matching) kyseisen artiklan 3 kohdan a alakohdan mukaisesti tietokantoihin mahdollisten osumien (hit) löytämiseksi. Matkustajatietoyksikköjen on tarkistettava nämä osumat PNR-direktiivin 6 artiklan 5 kohdan mukaisesti, ja tarvittaessa niistä laaditaan vastaavuudet (match), ennen kuin ne toimitetaan toimivaltaisille viranomaisille.

215. Kuten unionin tuomioistuin on todennut lausunnon 1/15 172 kohdassa, se, miten laajasti tämäntyyppisillä automaattisilla analyyseilla puututaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin oikeuksiin, riippuu olennaisesti analyysien pohjana käytetyistä tietokannoista. On siis olennaista, että säännöksissä, joissa säädetään tällaisista tietojenkäsittelyistä, yksilöidään riittävän selkeästi ja täsmällisesti tietokannat, joihin käsiteltävien tietojen vertaaminen on sallittua.

216. PNR-direktiivin 6 artiklan 3 kohdan a alakohdan mukaan matkustajatietoyksiköt vertaavat PNR-tietoja direktiivin tavoitteiden kannalta ”olennaisiin tietokantoihin”.(210) Kyseisessä säännöksessä mainitaan myös yksittäinen tietokantojen ryhmä eli ”etsittyjä tai kuulutuksen kohteena olevia henkilöitä tai esineitä koskevat tietokannat”, jotka unionin lainsäätäjä on siten halunnut määrittää nimenomaisesti kyseisessä säännöksessä tarkoitetuiksi olennaisiksi tietokannoiksi.

217. Tätä täsmennystä lukuun ottamatta olennaisten tietokantojen käsitettä ei selitetä tarkemmin. Etenkään ei mainita, onko PNR-tietojen vertaamiseen käytettyjen tietokantojen oltava lainvalvontaviranomaisten tai yleisemmin minkä tahansa viranomaisen ylläpitämiä, jotta niitä voitaisiin pitää olennaisina, vai onko niiden oltava vain suoraan tai välillisesti lainvalvontaviranomaisten käytettävissä. Myöskään tällaisiin tietokantoihin sisältyvien tietojen luonnetta ja niiden suhdetta PNR-direktiivin tavoitteisiin ei ole täsmennetty.(211) Lisäksi PNR-direktiivin 6 artiklan 3 kohdan a alakohdan sanamuodosta ilmenee, että olennaisiksi tietokannoiksi voidaan katsoa niin kansalliset tietokannat ja unionin tietokannat kuin kansainväliset tietokannat, mikä laajentaa merkittävästi siihen mahdollisesti sisältyvien tietokantojen luetteloa ja jättää kyseisen käsitteen määritelmän entistä avoimemmaksi.(212)

218. Näissä olosuhteissa edellä tämän ratkaisuehdotuksen 151 kohdassa mainitun yleisen tulkintaperiaatteen mukaisesti unionin tuomioistuimen on tulkittava PNR-direktiivin 6 artiklan 3 kohdan a alakohtaa ja erityisesti olennaisen tietokannan käsitettä mahdollisimman pitkälti perusoikeuskirjassa edellytettyjen selkeyden ja täsmällisyyden vaatimusten mukaisesti. Lisäksi koska kyseisessä säännöksessä säädetään puuttumisesta perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin, sitä on tulkittava suppeasti ja ottaen huomioon vaatimus varmistaa näiden perusoikeuksien suojelun korkea taso, sellaisena kuin se vahvistetaan erityisesti PNR-direktiivin johdanto-osan 15 perustelukappaleessa. Lisäksi sitä tulkittaessa on otettava huomioon PNR-direktiivin 1 artiklan 2 kohdassa oleva periaate, jonka mukaan tarkoitukset, joita varten PNR-tietoja voidaan käsitellä, on rajattava.

219. Nämä kriteerit huomioon ottaen olennaisten tietokantojen käsitettä on tulkittava mielestäni siten, että sillä tarkoitetaan ainoastaan PNR-direktiivin 7 artiklan 1 kohdassa tarkoitettujen toimivaltaisten viranomaisten ylläpitämiä tietokantoja sekä unionin tietokantoja ja kansainvälisiä tietokantoja, joita kyseiset viranomaiset käyttävät suoraan tehtäviensä hoitamisen yhteydessä. Edellä mainittujen tietokantojen on myös liityttävä suoraan ja läheisesti PNR-direktiivillä tavoiteltuihin terrorismin ja vakavan rikollisuuden torjuntaa koskeviin tarkoituksiin, mikä edellyttää, että kyseiset tietokannat on kehitetty näitä tarkoituksia varten. Näin tulkittuna kyseinen käsite tarkoittaa pääsääntöisesti – ellei peräti yksinomaan – PNR-direktiivin 6 artiklan 3 kohdan a alakohdassa nimenomaisesti mainittuja tietokantoja, jotka koskevat etsittyjä tai etsintäkuulutuksen kohteena olevia henkilöitä tai esineitä.

220. Olennaisten tietokantojen käsitteeseen eivät kuulu yleisesti tietokannat, joita jäsenvaltioiden tiedustelupalvelut ylläpitävät tai käyttävät, paitsi jos nämä tietokannat täyttävät täysin sen edellytyksen, että niiden on liityttävä lähteisesti PNR-direktiivin tavoitteisiin, ja jos kyseinen jäsenvaltio on myöntänyt näille tiedustelupalveluille erityistä toimivaltaa lainvalvonnan alalla.(213)

221. Edellä ehdotettu tulkinta on niiden suositusten mukainen, jotka unionin tuomioistuin antaa lausunnon 1/15 172 kohdassa.

222. Näinkään tulkittuna PNR-direktiivin 6 artiklan 3 kohdan a alakohdan avulla ei voida kuitenkaan eritellä riittävän täsmällisesti tietokantoja, joita jäsenvaltiot käyttävät PNR-tietojen vertaamisen yhteydessä, eikä sen voida katsoa täyttävän perusoikeuskirjan 52 artiklan 1 kohdasta, siten kuin unionin tuomioistuin on sitä tulkinnut, johtuvia vaatimuksia. Kyseistä säännöstä on tulkittava näin ollen siten, että siinä velvoitetaan jäsenvaltiot julkaisemaan luettelo mainituista tietokannoista ja pitämään se ajan tasalla, kun ne saattavat PNR-direktiivin osaksi kansallista lainsäädäntöään. Lisäksi olisi toivottavaa, että PNR-direktiivin 6 artiklan 3 kohdan a alakohdassa tarkoitetuista olennaisista tietokannoista, joita unioni ylläpitää yhteistyössä jäsenvaltioiden kanssa, sekä kansainvälisistä tietokannoista laaditaan luettelo unionin tasolla, jotta jäsenvaltioiden käytännöistä saadaan tältä osin yhdenmukaisia.

–       PNR-tietojen käsittely ennalta määritettyjen kriteerien mukaisesti

223. PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen etukäteisarvioinnin toisessa vaiheessa suoritetaan automaattinen analyysi ennalta määritettyjen kriteerien mukaisesti. Kyseisen analyysin yhteydessä PNR-tietoja käsitellään lähinnä ennakointia varten soveltamalla algoritmeja, joiden avulla voidaan tunnistaa matkustajat, jotka saattavat olla osallisina terrorismirikoksissa tai vakavassa rikollisuudessa. Tässä yhteydessä matkustajatietoyksikkö tekee lähinnä profilointia.(214) Koska tällaisesta käsittelystä voi aiheutua merkittäviä seurauksia algoritmin perusteella tunnistetuille henkilöille,(215) käsittelyn suorittamista koskevat yksityiskohtaiset säännöt ja siihen liittyvät suojatoimet on määritettävä täsmällisesti. Kuten unionin tuomioistuin on nimittäin todennut lausunnon 1/15 172 kohdassa, se, miten laajasti tämäntyyppisillä analyyseillä puututaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin oikeuksiin, riippuu olennaisesti ennalta vahvistetuista malleista ja kriteereistä.

224. Tuon tältä osin esille ensinnäkin, että PNR-direktiivin 6 artiklan 4 kohdan toisessa virkkeessä täsmennetään, että ennalta määritettyjen kriteerien, joiden mukaisesti kyseisen direktiivin 6 artiklan 3 kohdan b alakohdan mukainen etukäteisarviointi toteutetaan, on oltava ”kohdennettuja, oikeasuhteisia ja selkeitä”. Ensimmäinen näistä vaatimuksista liittyy kyseisen artiklan 2 kohdan a alakohdan mukaisen etukäteisarvioinnin tavoitteeseen eli niiden henkilöiden tunnistamiseen, joiden osalta toimivaltaisten viranomaisten on suoritettava lisätutkimuksia, ja se vastaa näin vaatimukseen, jonka unionin tuomioistuin on ottanut esille lausunnossa 1/15 ja jonka mukaan käytetyillä kriteereillä on onnistuttava kohdentamaan henkilöt, joihin voi kohdistua perusteltu epäily osallisuudesta terrorismirikoksiin tai vakavaan rikollisuuteen.(216) Tällainen kohdentaminen edellyttää teoreettisten arviointiperusteiden tai – profilointia koskevassa vuoden 2021 suosituksessa käytettyä ilmaisua lainaten – ”profiilien”(217) käyttämistä apuna PNR-tietojen suodattamisessa, jotta arviointiperusteita vastaavat matkustajat voidaan tunnistaa ja heihin voidaan näin ollen kohdistaa lisätutkimuksia. Sen sijaan PNR-direktiivissä ei sallita kaikkien lentomatkustajien, joiden tiedot analysoidaan, yksilöllistä profilointia esimerkiksi liittämällä kuhunkin heistä ennalta määritellyn asteikon mukainen riskiluokitus, tai muussa tapauksessa jätetään noudattamatta sekä kyseisen direktiivin 6 artiklan 4 kohtaa että unionin tuomioistuimen lausunnossa 1/15 PNR-tietojen automaattiselle käsittelylle asettamia rajoituksia.

225. PNR-direktiivin 6 artiklan 4 kohdan toisen virkkeen mukaisesti kyseisen direktiivin 6 artiklan 3 kohdan b alakohdassa tarkoitettujen ennalta määritettyjen kriteerien on oltava lisäksi ”selkeitä”(218) eli niiden on sovelluttava tavoitteen mukaiseen tarkoitukseen ja oltava kyseisen tarkoituksen kannalta merkityksellisiä, samoin kuin oikeasuhteisia,(219) eli ne eivät saa ylittää kyseisen tarkoituksen rajoja. Näiden vaatimusten täyttämiseksi ja erityisesti ”jotta voidaan varmistaa, että PNR-tietoja käsitellään vain siinä määrin kuin on tarpeen”, PNR-direktiivin johdanto-osan seitsemännessä perustelukappaleessa todetaan, kuten olen jo korostanut, että ”arviointiperusteiden laatiminen ja soveltaminen olisi rajoitettava kattamaan terrorismirikokset ja vakavat rikokset, joiden kohdalla kyseisten perusteiden käyttö on asianmukaista”.

226. Niin PNR-direktiivin johdanto- ja säädösosasta kuin unionin tuomioistuimen lausunnossa 1/15 luettelemista vaatimuksista ilmenee vielä, että PNR-direktiivin 6 artiklan 3 kohdan b alakohdassa tarkoitettujen ennalta määritettyjen kriteerien on oltava myös luotettavia,(220) mikä merkitsee yhtäältä sitä, että niitä laadittaessa on minimoitava virheiden vaara,(221) ja toisaalta sitä, että niiden on oltava ajankohtaisia.(222) PNR-direktiivin 6 artiklan 4 kohdan kolmannessa virkkeessä velvoitetaan tältä osin jäsenvaltiot varmistamaan, että ”matkustajatietoyksiköt vahvistavat ja säännöllisesti tarkistavat nämä kriteerit yhteistyössä 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten kanssa”.(223) Näiden kriteerien luotettavuuden varmistamiseksi ja väärien positiivisten tulosten minimoimiseksi on vielä tarpeen, kuten komissio on myöntänyt unionin tuomioistuimen esittämään kysymykseen vastatessaan, että kriteerejä laadittaessa otetaan huomioon sekä puolesta että vastaan vaikuttavat seikat.

227. Toiseksi PNR-direktiivissä kielletään nimenomaisesti syrjivä profilointi. Kyseisen direktiivin 6 artiklan 4 kohdan ensimmäisessä virkkeessä säädetään, että etukäteisarviointi kyseisen artiklan 3 kohdan b alakohdassa tarkoitettujen ennalta määritettyjen kriteerien mukaisesti ”on suoritettava syrjimättömästi”. Tältä osin on täsmennettävä, että vaikka 6 artiklan 4 kohdan kolmannen virkkeen mukaan tällaiset kriteerit ”eivät saa missään olosuhteissa perustua henkilön rotuun tai etniseen alkuperään, poliittisiin mielipiteisiin, uskonnolliseen tai filosofiseen vakaumukseen, ammattiliiton jäsenyyteen eivätkä terveydentilaa, sukupuolielämää tai sukupuolista suuntautuneisuutta koskeviin tietoihin”, syrjivän profiloinnin yleinen kielto olisi ymmärrettävä siten, että se kattaa kaikki perusoikeuskirjan 21 artiklassa mainitut syrjintäperusteet – myös ne, joita ei erikseen mainita.(224)

228. Kolmanneksi sekä PNR-direktiivin 6 artiklan 3 kohdan b alakohdan sanamuodosta että PNR-direktiivin mukaisesta PNR-tietojen automaattiseen käsittelyyn liittyvästä suojatoimijärjestelmästä ilmenee, että kyseisessä säännöksessä tarkoitetun analyysin yhteydessä käytettävien algoritmien toiminnan on oltava läpinäkyvää ja niiden soveltamisen tuloksen on oltava jäljitettävissä. Tämä läpinäkyvyyttä koskeva vaatimus ei tarkoita tietenkään sitä, että käytetyt profiilit olisi julkistettava. Se edellyttää sitä vastoin, että algoritmeihin perustuva päätöksenteko on tunnistettavissa. Yhtäältä vaatimus, jonka mukaan kyseisessä analyysissä käytettävien kriteerien on oltava ennalta määritettyjä, on esteenä sille, että näissä kriteereissä voisi tapahtua muutoksia ilman ihmisen suorittamia toimia, ja siten tekoälyteknologialle (niin sanotulle koneoppimiselle),(225) jonka tulkinta olisi vaikeaa myös automaattisen käsittelyn suorittaneille toimijoille, joskin sillä voitaisiin lisätä analyysin tarkkuutta.(226) Toisaalta PNR-direktiivin 6 artiklan 5 ja 6 kohdassa säädetty suojatoimi, jonka mukaan kyseisen artiklan 2 kohdan a alakohdan nojalla suoritetun automaattisen PNR-tietojen käsittelyn tuloksena saatavat osumat on tarkistettava yksittäin ei-automaattisen käsittelyn keinoin, jotta osuma olisi pätevä, edellyttää PNR-direktiivin 6 artiklan 3 kohdan b alakohdassa tarkoitetun analyysin osalta sitä, että on mahdollista ymmärtää syy, jonka vuoksi ohjelma on antanut kyseisen osuman, mitä ei voida varmistaa etenkään koneoppimiseen perustuvia järjestelmiä käytettäessä. Sama pätee kyseisen analyysin lainmukaisuuden valvontaan, joka käsittää myös saatujen tulosten syrjimättömyyden valvonnan ja johon tietosuojavastaavalla ja kansallisella valvontaviranomaisella on valtuudet PNR-direktiivin 6 artiklan 7 kohdan ja 15 artiklan 3 kohdan b alakohdan nojalla. Käytettyjen algoritmien toiminnan läpinäkyvyys on myös välttämätön edellytys, jotta asianomaiset osapuolet voivat käyttää valitusoikeuttaan sekä oikeuttaan tehokkaisiin oikeussuojakeinoihin.

–       PNR-tietojen automaattiseen käsittelyyn liittyvät suojatoimet

229. Olen saanut jo tilaisuuden mainita muutamia PNR-tietojen automaattiseen käsittelyyn liittyviä suojatoimia, joita käytetään PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen etukäteisarvioinnin yhteydessä ja jotka täyttävät unionin tuomioistuimen lausunnossa 1/15 vahvistamat vaatimukset, jotka ovat ennalta määritettyjen syrjivien kriteerien perusteella tapahtuvan käsittelyn kielto (PNR-direktiivin 6 artiklan 4 kohdan ensimmäinen ja neljäs virke sekä lausunnon 1/15 172 kohta), kyseisen direktiivin 6 artiklan 3 kohdan b alakohdassa tarkoitetussa etukäteisarvioinnissa käytettyjen ennalta määritettyjen kriteerien päivittäminen säännöllisin väliajoin (PNR-direktiivin 6 artiklan 4 kohdan kolmas virke ja lausunnon 1/15 174 kohta), PNR-tietojen automaattisen käsittelyn tuloksena saatujen osumien tarkistaminen ei-automaattisen käsittelyn keinoin (PNR-direktiivin 6 artiklan 5 ja 6 kohta ja lausunnon 1/15 173 kohta) sekä tietosuojavaltuutetun ja kansallisen valvontaviranomaisen harjoittama tällaisen käsittelyn lainmukaisuuden valvonta (PNR-direktiivin 6 artiklan 7 kohta ja 15 artiklan 3 kohdan b alakohta). Tässä yhteydessä on ensiarvoisen tärkeää, että PNR-direktiivin 15 artiklassa tarkoitetun kaltaisen riippumattoman viranomaisen harjoittama valvonta voi yhtäältä käsittää kaikki PNR-tietojen automaattiseen käsittelyyn liittyvät näkökohdat, mukaan lukien kyseisen direktiivin 6 artiklan 3 kohdan a alakohdassa tarkoitetussa vertailussa käytettyjen tietokantojen yksilöinti sekä kyseisen direktiivin 6 artiklan 3 kohdan b alakohdassa tarkoitetussa analyysissa sovellettavien ennalta määritettyjen kriteerien arviointi, ja toisaalta tapahtua sekä etu- että jälkikäteen.

230. On korostettava, että edellä mainittujen suojatoimien on katsottava olevan yleisesti sovellettavissa molempiin PNR-direktiivin 6 artiklan 3 kohdassa tarkoitettuihin analyyseihin niiden sanamuodosta huolimatta. Vaikka kyseisen direktiivin 6 artiklan 4 kohdan ensimmäisessä virkkeessä mainitaan syrjintäkiellon periaatteen noudattamista koskeva vaatimus vain ennalta määritettyjen kriteerien mukaisesti suoritettavan etukäteisarvioinnin osalta, kyseinen vaatimus on velvoittava kaikissa PNR-tietojen käsittelyprosessin vaiheissa – myös silloin, kun PNR-tietoja verrataan olennaisiin tietokantoihin kyseisen direktiivin 6 artiklan 3 kohdan a alakohdassa tarkoitetun etukäteisarvioinnin yhteydessä. Sama pätee vaatimukseen, jonka mukaan PNR-direktiivin 6 artiklan 3 kohdan b alakohdassa tarkoitetun analyysin yhteydessä käytettyjen ennalta määritettyjen kriteerien on oltava luotettavia ja ajankohtaisia ja jonka on katsottava koskevan myös niihin tietokantoihin sisältyviä tietoja, joita käytetään kyseisen direktiivin 6 artiklan 3 kohdan a alakohdan mukaisessa vertailussa. Tuon tältä osin yleisemmin esille, että kaikkia poliisidirektiivissä säädettyjä henkilötietojen automaattiseen käsittelyyn sovellettavia suojatoimia voidaan soveltaa myös PNR-direktiivin yhteydessä, sillä viimeksi mainitun direktiivin mukaisesti suoritettujen automaattisten analyysien on katsottava kuuluvan poliisidirektiivin soveltamisalaan.

231. Edellä tämän ratkaisuehdotuksen 229 kohdassa lueteltuihin suojatoimiin on lisättävä PNR-direktiivin 7 artiklan 6 kohdassa säädetty suojatoimi, jolla täydennetään yhtäältä kieltoa perustaa päätöksenteko yksinomaan PNR-tietojen automaattisen käsittelyn tuloksiin ja toisaalta tällaisten tietojen käsittelyssä ja käytössä tapahtuvan syrjinnän kieltoa. Kyseisessä säännöksessä säädetäänkin, että ”toimivaltaiset viranomaiset eivät saa tehdä yksinomaan PNR-tietojen automaattisen käsittelyn perusteella mitään päätöstä, jolla on henkilön kannalta kielteinen oikeusvaikutus tai joka vaikuttaa häneen merkittävästi”, ja että ”tällaisia päätöksiä ei saa tehdä henkilön rodun tai etnisen alkuperän, poliittisten mielipiteiden, uskonnollisen tai filosofisen vakaumuksen, ammattiliiton [jäsenyyden] eikä terveydentilaa, sukupuolielämää tai sukupuolista suuntautuneisuutta koskevien tietojen perusteella”. Kuten olen jo tuonut esille tämän ratkaisuehdotuksen 227 kohdassa PNR-direktiivin 6 artiklan 4 kohdan neljännestä virkkeestä, kyseistä syrjintäperusteiden luetteloa on täydennettävä lisäämällä siihen perusteet, jotka sisältyvät perusoikeuskirjan 21 artiklaan ja joita ei mainita siinä erikseen.

232. PNR-direktiivin 6 artiklan 8 kohdassa säädetään PNR-tietojen turvallisuudesta, että matkustajatietoyksikkö saa suorittaa näiden tietojen tallentamista, käsittelyä ja analysointia ainoastaan yhdessä tai useammassa turvallisessa paikassa, joka sijaitsee jäsenvaltioiden alueella.

–       Ratkaisuehdotus kuudenteen ennakkoratkaisukysymykseen

233. Kaiken edellä esitetyn perusteella ja jollei erityisesti edellä tämän ratkaisuehdotuksen 213, 219, 220, 222, 227, 228, 230 ja 231 kohdassa ehdotetuista tulkinnoista muuta johdu, katson, että PNR-tietojen automaattinen käsittely PNR-direktiivin 6 artiklan 2 kohdan a alakohdassa tarkoitetun etukäteisarvioinnin yhteydessä täyttää selkeyden ja täsmällisyyden vaatimukset ja rajoittuu siihen, mikä on täysin välttämätöntä.

v)     PNR-tietojen säilyttäminen (kahdeksas ennakkoratkaisukysymys)

234. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta kahdeksannella ennakkoratkaisukysymyksellään, onko PNR-direktiivin 12 artiklaa, luettuna yhdessä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa säädetään yleisestä PNR-tietojen säilytysajasta, joka on viisi vuotta, tekemättä eroa sen mukaan, osoittautuvatko asianomaiset matkustajat etukäteisarvioinnin perusteella merkitsevän mahdollista riskiä yleiselle turvallisuudelle.

235. PNR-direktiivin 12 artiklan 1 kohdan mukaisesti PNR-tietoja säilytetään tietokannassa ”viiden vuoden ajan sen jälkeen, kun ne on toimitettu sen jäsenvaltion matkustajatietoyksikölle, jonka alueelle lento laskeutui tai jonka alueelta se lähti”. Kyseisen artiklan 2 kohdan mukaan kuuden kuukauden ensivaiheen kuluttua(227) PNR-tiedoista on erotettava häivyttämällä ne tiedonosat, joiden avulla matkustaja, johon PNR-tiedot liittyvät, voisi olla mahdollista tunnistaa välittömästi. Saman artiklan 3 kohdan mukaan kyseisen kuuden kuukauden määräajan umpeuduttua PNR-tiedot – myös häivytetyt tiedonosat – saa luovuttaa kokonaisuudessaan vain, kun voidaan ”kohtuudella” olettaa, että tämä on tarpeen PNR-direktiivin 6 artiklan 2 kohdan b alakohdan soveltamiseksi, ja kun luovuttamisen on hyväksynyt oikeusviranomainen tai muu kansallinen viranomainen, jolla on kansallisen oikeuden mukainen toimivalta arvioida tietojen luovuttamista koskevien edellytysten täyttymistä. Kyseisen artiklan 4 kohdassa säädetään vielä, että PNR-tiedot on poistettava pysyvästi 1 kohdassa tarkoitetun viiden vuoden määräajan umpeuduttua.

236. Edellä esitetyn perusteella PNR-direktiivissä itsessään säädetään PNR-tietojen säilyttämistä koskevasta järjestelmästä ja myös säilyttämisen kestosta asettamalla se viideksi vuodeksi,(228) joten jäsenvaltioilla ei ole lähtökohtaisesti lainkaan harkintavaltaa tältä osin, minkä komissiokin on vahvistanut. Kuten minulla on jo ollut tilaisuus huomauttaa, kahdeksannella ennakkoratkaisukysymyksellä, vaikka se on muotoiltu tulkintakysymykseksi, kehotetaan näin ollen unionin tuomioistuinta ottamaan tosiasiassa kantaa kyseisen säännöstön perusoikeuskirjan mukaisuuteen.

237. Henkilötietojen suojan alalla vallitsee yleinen periaate, jonka mukaan kyseisiä tietoja saa säilyttää muodossa, josta rekisteröity on tunnistettavissa suoraan tai epäsuorasti, ainoastaan niin kauan kuin on tarpeen henkilötietojen käsittelytarkoitusten toteuttamista varten.(229) Lisäksi vakiintuneen oikeuskäytännön mukaan säännöstön, jossa sallitaan henkilötietojen säilyttäminen, on oltava aina sellaisten objektiivisten perusteiden mukainen, joilla luodaan yhteys säilytettävien henkilötietojen ja asetetun tavoitteen välille.(230)

238. Unionin tuomioistuin on katsonut lausunnossa 1/15 Kanadaan saapumisen yhteydessä kerättävistä tiedoista, että PNR-tietojen ja suunnitellun Kanada–EU-PNR-sopimuksen tavoitteen välinen tarpeellinen yhteys säilyy kaikkien lentomatkustajien osalta niin kauan kuin he ovat Kanadan alueella.(231) Sen sijaan niiden Kanadasta lähteneiden lentomatkustajien kohdalla, joiden osalta terrorismin tai vakavan kansainvälisen rikollisuuden riskiä ei ole tunnistettu heidän maahan saapumisensa ajankohdasta siihen asti, kun he lähtevät maasta, unionin tuomioistuin on katsonut, että tällainen epäsuorakin yhteys, joka oikeuttaisi heitä koskevien PNR-tietojen säilyttämiseen, lakkaa olemasta.(232) Unionin tuomioistuin on todennut kuitenkin, että tällainen säilyttäminen voisi olla hyväksyttävää ”siltä osin kuin erityistapauksissa – – tunnistetaan objektiivisia seikkoja, joiden perusteella voidaan katsoa, että jotkut lentomatkustajat voisivat Kanadasta lähdettyäänkin merkitä riskiä terrorismin ja vakavan kansainvälisen rikollisuuden torjunnan kannalta”.(233)

239. Kun näitä unionin tuomioistuimen lausunnossa 1/15 vahvistamia periaatteita sovelletaan PNR-direktiivin asiayhteydessä, unioniin saapumisen yhteydessä kerättyjä EU:n ulkopuolisten lentojen PNR-tietoja sekä jäsenvaltioon saapumisen yhteydessä kerättyjä EU:n sisäisten lentojen PNR-tietoja voidaan säilyttää PNR-direktiivin 6 artiklan 2 kohdan a alakohdassa tarkoitetun kyseisten tietojen etukäteisarvioinnin jälkeen vain niin kauan kuin asianomaiset matkustajat oleskelevat unionin tai kyseisen jäsenvaltion alueella. Unionista poistumisen yhteydessä kerätyt EU:n ulkopuolisten lentojen PNR-tiedot ja asianomaisesta jäsenvaltiosta poistumisen yhteydessä kerätyt EU:n sisäisten lentojen PNR-tiedot voidaan säilyttää lähtökohtaisesti edellä mainitun etukäteisarvioinnin jälkeen vain niiden matkustajien osalta, joiden kohdalla objektiivisten seikkojen perusteella ilmenee terrorismin ja vakavan rikollisuuden torjuntaan liittyvä riski.(234)

240. Unionin tuomioistuimessa huomautuksia esittäneet hallitukset ja toimielimet vastustavat yleisesti lausunnossa 1/15 vahvistettujen, PNR-tietojen säilyttämistä koskevien periaatteiden soveltamista käsiteltävässä asiassa. Tässä on tosin mahdollista, että unionin tuomioistuin käytti rekisteröidyn oleskelua Kanadan alueella koskevaa arviointiperustetta sen vuoksi, että sen tarkasteltavana oli henkilötietojen säilyttäminen kolmannen maan alueella. Yhtä lailla on mahdollista, että tällaisen perusteen soveltaminen PNR-direktiivin yhteydessä voi johtaa konkreettisesti siihen, että tiettyjen henkilöryhmien, esimerkiksi unionissa vakituisesti asuvien henkilöiden ja unionin sisällä matkustavien tai ulkomailla oleskelun jälkeen unioniin palaavien henkilöiden, yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin oikeuksiin puututaan mahdollisesti merkittävämmin. Totta on vielä sekin, että kyseistä perustetta saattaisi olla käytännössä hankalaa soveltaa ainakin EU:n sisäisten lentojen kohdalla, kuten muutamat jäsenvaltiot ja neuvosto korostavat.

241. Vaikkei unionin tuomioistuimen lausunnossa 1/15 käyttämää arviointiperustetta haluttaisi soveltaa, kaikkien lentomatkustajien PNR-tietojen säilyttäminen PNR-direktiivin 6 artiklan 2 kohdan a alakohdassa tarkoitetun etukäteisarvioinnin tuloksesta riippumatta ja tekemättä minkäänlaista eroa objektiivisiin ja todennettavissa oleviin kriteereihin perustuvan terrorismia tai vakavaa rikollisuutta koskevan riskin perusteella on vastoin edellä tämän ratkaisuehdotuksen 237 kohdassa mainittua unionin tuomioistuimen vakiintunutta oikeuskäytäntöä, jota unionin tuomioistuin pyrki soveltamaan edellä mainitussa lausunnossa. Vaikka edellä tämän ratkaisuehdotuksen 201–203 kohdassa neljännen ennakkoratkaisukysymyksen tarkastelun yhteydessä esitetyillä seikoilla voidaan nähdäkseni oikeuttaa PNR-tietojen yleinen ja erotuksetta tapahtuva siirtäminen sekä 6 artiklan 2 kohdan a alakohdan mukaisen etukäteisarvioinnin yhteydessä tapahtuva näiden tietojen automaattinen käsittely, niillä ei nähdäkseni voida yksin oikeuttaa kyseisten tietojen yleistä ja erotuksetta tapahtuvaa säilyttämistä edes tällaisen arvioinnin suorittamisen jälkeen.

242. Tuon lisäksi esille, että samaa viiden vuoden säilytysaikaa sovelletaan erotuksetta, olipa kyseessä terrorismin torjunta tai vakavan rikollisuuden torjunta, ja viimeksi mainitun tarkoituksen yhteydessä kyseeseen tulevat poikkeuksetta kaikki liitteessä II mainitut rikokset. Kuten edellä tämän ratkaisuehdotuksen 121 kohdassa esitetyistä seikoista ilmenee, kyseinen luettelo on erityisen laaja ja käsittää hyvin monentyyppisiä ja vakavuudeltaan vaihtelevia rikoksia. Tältä osin on tuotava esille, että käytännössä kaikkien tässä menettelyssä huomautuksia esittäneiden jäsenvaltioiden ja toimielinten esittämä oikeuttamisperuste, joka koskee tutkimusten kestoa ja monitahoisuutta, liittyy varsinaisesti ainoastaan terrorismirikoksiin ja muutamiin valtaosin kansainvälisiksi rikoksiksi luonnehdittaviin rikoksiin, kuten ihmiskauppaan tai huumausainekauppaan, sekä yleisemmin muutamiin järjestäytyneen rikollisuuden muotoihin. Muistutan lisäksi, että unionin tuomioistuin hyväksyi lausunnossa 1/15 vastaavan kaltaisen perustelun vain siinä tapauksessa, että kyseessä on niiden lentomatkustajien PNR-tietojen säilyttäminen, joiden kohdalla olemassa on terrorismin torjuntaan tai vakavaan kansainväliseen rikollisuuteen liittyvä objektiivinen riski, sillä näiden kohdalla viiden vuoden säilytysajan ei katsottu ylittävän sitä, mikä on täysin välttämätöntä.(235) Sen sijaan kyseisen perustelun ei katsottu oikeuttavan ”kaikkien lentomatkustajien PNR-tietojen – – jatkuvaa säilytystä – –, jolla voidaan taata mahdollinen pääsy kyseisiin tietoihin mutta joka on riippumaton siitä, onko olemassa yhteyttä terrorismin ja vakavan kansainvälisen rikollisuuden torjuntaan”.(236)

243. On tosin totta, kuten neuvosto, parlamentti ja komissio sekä kaikki kahdeksannesta ennakkoratkaisukysymyksestä huomautuksia esittäneet hallitukset korostavat, että PNR-direktiivissä säädetään erityisistä suojatoimista, jotka koskevat sekä niiden PNR-tietojen säilyttämistä, joista on häivytetty tiedonosia kuuden kuukauden ensivaiheen jälkeen, että näiden tietojen säilytysajan aikana tapahtuvaa käyttöä, johon sovelletaan tiukkoja ehtoja. Huomautan kuitenkin ensimmäiseksi, että yhtäältä myös suunnitellussa Kanada–EU-PNR-sopimuksessa määrättiin henkilön tunnistamisessa auttavien PNR-tietojen häivyttämisestä(237) ja että toisaalta – kuten yleissopimuksen N:o 108 nojalla perustettu neuvoa antava komitea erityisesti korostaa –(238) vaikka tällaisella tiedonosien häivyttämisellä voidaan vähentää tietojen pitkästä säilytysajasta aiheutuvia riskejä, kuten väärinkäyttöä, häivytetyt tiedonosat antavat kuitenkin edelleen mahdollisuuden henkilöiden tunnistamiseen ja ne ovat tämän vuoksi edelleen henkilötietoja, joiden säilyttämistä on rajattava ajallisesti pysyvän yleisen seurannan estämiseksi. Tuon tältä osin esille, että viiden vuoden säilytysajan vuoksi suuri määrä matkustajia, erityisesti EU:n sisällä matkustavia, voi säilyä lähes pysyvästi rekisteröitynä. Huomautan toiseksi tietojen käyttöä koskevista rajoituksista, että henkilötietojen säilyttäminen ja tällaisten tietojen käyttö ovat toisistaan erillistä puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin, ja ne on kumpikin oikeutettava erikseen. Vaikka säilytettyjen tietojen saantiin liittyvien tiukkojen suojatoimien olemassaolo antaa mahdollisuuden arvioida seurantatoimenpiteen kokonaisvaikutusta kyseisiin perusoikeuksiin, näillä suojatoimilla ei pystytä kuitenkaan poistamaan yleiseen pitkäaikaiseen säilyttämiseen liittyvää oikeuksiin puuttumista.

244. Komission väitteestä, jonka mukaan kaikkien lentomatkustajien PNR-tietojen säilyttäminen on välttämätöntä, jotta matkustajatietoyksiköt voivat täyttää PNR-direktiivin 6 artiklan 2 kohdan c alakohdan mukaisen tehtävän, joka koskee kriteerien päivittämistä tai uusien kriteerien määrittelemistä kyseisen artiklan 3 kohdan b alakohdan nojalla toteutettujen arviointien suorittamista varten, on tuotava esille, että vaikka kyseisten kriteerien täsmällisyys riippuu osaksi siitä, että niitä verrataan tavanomaiseen käyttäytymiseen, kuten komissio toteaa, niiden laatimisen pohjana on käytettävä kuitenkin rikollista käyttäytymistä. Tällaisella väitteellä, jonka vain muutamat jäsenvaltioista ovat sitä paitsi esittäneet, ei voi nähdäkseni olla sellaista ratkaisevaa merkitystä, jonka komissio vaikuttaa sille antavan, eikä sillä voida yksin oikeuttaa kaikkien lentomatkustajien PNR-tietojen yleistä säilyttämistä muodossa, jossa tietoja ei ole anonymisoitu.

245. Edellä esitetyn perusteella ja sen varmistamiseksi, että PNR-direktiivin 12 artiklan 1 kohtaa tulkitaan perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan mukaisesti, kyseistä säännöstä on tulkittava mielestäni siten, että lentoliikenteen harjoittajien matkustajatietoyksiköille toimittamia PNR-tietoja voidaan säilyttää tietokannassa viisi vuotta siitä, kun ne on siirretty sen jäsenvaltion matkustajatietoyksikölle, jonka alueelle lento on saapunut tai jonka alueelta se on lähtenyt, kyseisen direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen etukäteisarvioinnin suorittamisen jälkeen vain siinä tapauksessa, että objektiivisin perustein voidaan osoittaa, että kyseisten tietojen ja terrorismin tai vakavan rikollisuuden torjunnan välillä on yhteys. PNR-tietojen yleistä ja erotuksetta tapahtuvaa säilyttämistä muodossa, jossa tietoja ei ole anonymisoitu, voidaan pitää oikeutettuna analogisesti sillä perusteella, mitä unionin tuomioistuin on todennut samassa oikeuskäytännössä, ainoastaan tilanteessa, jossa asianomaisen jäsenvaltion turvallisuuteen kohdistuu vakava uhka, joka osoittautuu todelliseksi ja olemassa olevaksi tai ennakoitavissa olevaksi ja liittyy esimerkiksi terrorismiin, edellyttäen, että tämän säilyttämisen kesto rajoitetaan siihen, mikä on täysin välttämätöntä.

246. PNR-direktiivin 12 artiklan 1 kohdassa säädetyn säilyttämistoimenpiteen rajaaminen voi perustua esimerkiksi riskien arviointiin tai toimivaltaisten kansallisten viranomaisten kokemuksiin, joiden perusteella kohteeksi voidaan valikoida tietyt lentoyhteydet, matkareitit, matkatoimistot, joiden kautta varaukset on tehty, tai objektiivisten ja syrjimättömien kriteerien perusteella yksilöidyt tietyt henkilöryhmät tai tietyt maantieteelliset alueet, vastaavalla tavalla kuin unionin tuomioistuin toteaa sähköisen viestinnän metatietojen säilyttämistä koskevassa oikeuskäytännössään.(239) Lisäksi analogisesti lausunnon 1/15 kanssa PNR-tietojen ja PNR-direktiivin tavoitteen välisen tarpeellisen yhteyden on katsottava olevan olemassa niin kauan kuin lentomatkustajat oleskelevat unionissa (tai asianomaisessa jäsenvaltiossa) tai ovat lähdössä sieltä. Sama pätee niiden lentomatkustajien tietoihin, jotka ovat tuottaneet tarkistetun osuman.

247. Käsittelen kahdeksannen ennakkoratkaisukysymyksen tarkastelun päätteeksi hieman sääntöjä, jotka koskevat PNR-tietoihin pääsyä ja niiden käyttöä sen jälkeen, kun PNR-direktiivin 6 artiklan 2 kohdan a alakohdassa tarkoitettu etukäteisarviointi on tehty, mutta ennen kuin niistä häivytetään henkilön tunnistamisessa auttavat tiedonosat PNR-direktiivin 12 artiklan 2 kohdassa säädetystä kuuden kuukauden säilytysajasta muodostuvan ensivaiheen päätyttyä.

248. Kun PNR-direktiivin 6 artiklan 2 kohdan b alakohtaa ja 12 artiklan 3 kohtaa luetaan yhdessä, ilmenee, että kyseisen ensivaiheen aikana PNR-tiedot, joista ei ole erotettu tunnistamisessa auttavia tiedonosia, tai niiden käsittelyn tulokset voidaan toimittaa toimivaltaisille viranomaisille ensin mainitun säännöksen mukaisesti ilman jälkimmäisen säännöksen a ja b alakohdassa säädettyjen edellytysten noudattamista.(240) PNR-direktiivin 6 artiklan 2 kohdan b alakohdassa säädetään nimittäin ainoastaan, että tällaista käsittelyä ja tietojen toimittamista koskevien toimivaltaisten viranomaisten pyyntöjen on oltava ”asianmukaisesti perusteltuja” ja ”riittäviin havaintoihin perustuvia”.

249. Unionin tuomioistuimen lausunnossa 1/15 mainitseman vakiintuneen oikeuskäytännön mukaan unionin säännöstössä ei voida tyytyä vaatimaan, että pääsy laillisesti säilytettyihin henkilötietoihin vastaa jotakin kyseisen säännöstön tarkoituksista, vaan siinä on myös säädettävä aineellisista ja menettelyllisistä kyseistä käyttöä koskevista edellytyksistä(241) muun muassa kyseisten tietojen suojaamiseksi väärinkäytön vaaroilta.(242) Unionin tuomioistuin on todennut kyseisessä lausunnossa, että lentomatkustajien Kanadaan saapumisen yhteydessä tapahtuvan PNR-tietojen tarkastamisen jälkeen ja Kanadassa oleskelun aikana tapahtuvan PNR-tietojen käytön on perustuttava uusiin kyseisen käytön oikeuttaviin olosuhteisiin,(243) ja se on täsmentänyt, että ”kun on olemassa objektiivisia seikkoja, joiden perusteella voidaan katsoa, että yhden tai useamman lentomatkustajan PNR-tiedoilla voidaan tosiasiallisesti myötävaikuttaa terrorismirikosten ja vakavan kansainvälisen rikollisuuden torjunnan tavoitteeseen, näiden tietojen käyttö ei ylitä täysin välttämättömän rajoja”.(244) Viitaten analogisesti tuomion Tele2 Sverige 120 kohtaan unionin tuomioistuin on todennut, että sen takaamiseksi käytännössä, että kyseisiä edellytyksiä noudatetaan täysimääräisesti, ”on olennaista, että säilytettyjen PNR-tietojen käyttö silloin, kun lentomatkustajat oleskelevat Kanadassa, lähtökohtaisesti edellyttää asianmukaisesti perusteltuja kiireellisiä tapauksia lukuun ottamatta joko tuomioistuimen tai riippumattoman hallintoelimen etukäteisvalvontaa ja sitä, että kyseisen tuomioistuimen tai elimen ratkaisu annetaan perustellusta pyynnöstä, jonka toimivaltaiset viranomaiset esittävät muun muassa rikoksen estämis-, selvittämis- tai syyteharkintamenettelyssä”.(245) Unionin tuomioistuin on siis asettanut lentomatkan yhteydessä tapahtuvan PNR-tietojen tarkastamisen jälkeen säilytettävien PNR-tietojen käyttömahdollisuudelle kaksi edellytystä, joista toinen on aineellinen – käytön oikeuttavien objektiivisten perusteiden olemassaolo – ja toinen menettelyllinen – tuomioistuimen tai riippumattoman hallintoelimen harjoittama valvonta. Unionin tuomioistuimen esittämä tulkinta on kaikkea muuta kuin kontekstuaalinen, sillä siinä sovelletaan PNR-tietojen alalla erityisesti tuomioon Digital Rights ja tuomioon Tele2 Sverige perustuvaa oikeuskäytäntöä.

250. PNR-tietojen säilyttämisen kuutta ensimmäistä kuukautta koskeva PNR-direktiivillä käyttöön otettu järjestelmä, jonka mukaan PNR-tietoja voidaan toimittaa ja käsitellä mahdollisesti toistuvasti kyseisen direktiivin 6 artiklan 2 kohdan a alakohdassa tarkoitetun etukäteisarvioinnin jälkeen ilman asianmukaisia menettelyllisiä takeita ja riittävän selkeitä ja täsmällisiä aineellisia sääntöjä, joissa määritellään näiden toisistaan erillisten oikeuksiin puuttumisten kohde ja niitä koskevat yksityiskohtaiset säännöt, ei täytä vaatimuksia, jotka unionin tuomioistuin vahvistaa lausunnossa 1/15. Se ei vaikuta täyttävän myöskään vaatimusta, jonka mukaan PNR-tietojen käyttö on rajattava siihen, mikä on täysin välttämätöntä.

251. Ehdotan näin ollen, että unionin tuomioistuin tulkitsee PNR-direktiivin 6 artiklan 2 kohdan b alakohtaa siten, että kyseisen säännöksen mukainen tietojen käsittely, joka tapahtuu kyseisen direktiivin 12 artiklan 2 kohdassa säädetyn kuuden kuukauden ensivaiheen aikana, täyttää unionin tuomioistuimen lausunnossa 1/15 vahvistamat vaatimukset.

252. Katson ensin mainitusta aineellisesta edellytyksestä, jonka unionin tuomioistuin on asettanut PNR-tietojen myöhemmän käytön ehdoksi, että PNR-direktiivin 12 artiklan 3 kohdan a alakohdan ilmaisua ”kohtuudella” ja kyseisen direktiivin 6 artiklan 2 kohdan b alakohdan ilmaisua ”riittävät havainnot” on helppo tulkita siten, että näissä säännöksissä tarkoitettujen toimivaltaisten viranomaisten esittämistä pyynnöistä on ilmettävä ”objektiivisia seikkoja, joiden perusteella voidaan katsoa, että yhden tai useamman lentomatkustajan PNR-tiedoilla voidaan tosiasiallisesti myötävaikuttaa terrorismirikosten ja vakavan – – rikollisuuden torjunnan tavoitteeseen”.(246)

253. Jälkimmäisen menettelyllisen edellytyksen osalta PNR-direktiivin 6 artiklan 2 kohdan b alakohtaa, luettuna yhdessä kyseisen direktiivin 12 artiklan 3 kohdan kanssa sekä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan valossa, on tulkittava nähdäkseni siten, että kyseisen direktiivin 12 artiklan 3 kohdan b alakohdan mukaista oikeusviranomaisen tai muun riippumattoman kansallisen viranomaisen etukäteen antaman hyväksynnän vaatimusta sovelletaan kaikkeen edellä mainitun 6 artiklan 2 kohdan b alakohdan mukaisesti tapahtuvaan PNR-tietojen käsittelyyn.

4.     Ratkaisuehdotus toiseen, kolmanteen, neljänteen, kuudenteen ja kahdeksanteen ennakkoratkaisukysymykseen

254. Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin toteaa, että liitteessä I oleva 12 kohta on pätemätön siltä osin kuin siinä mainitaan ”yleiset huomautukset” yhtenä niistä PNR-tietojen ryhmistä, jotka lentoliikenteen harjoittajien on toimitettava matkustajatietoyksiköille PNR-direktiivin 8 artiklan mukaisesti, eikä toisen, kolmannen, neljännen, kuudennen ja kahdeksannen ennakkoratkaisukysymyksen tarkastelussa ole ilmennyt muita seikkoja, jotka voisivat vaikuttaa kyseisen direktiivin pätevyyteen, sanotun kuitenkaan rajoittamatta kyseisen direktiivin säännösten tulkintaa, jota ehdotetaan edellä tämän ratkaisuehdotuksen 153, 160, 161–164, 219, 228, 239 ja 251 kohdassa.

255. PNR-direktiivin pätevyyttä koskeviin ennakkoratkaisukysymyksiin ehdottamani vastauksen perusteella erityisesti Conseil des ministresin esittämä vaatimus, joka koskee PNR-direktiivin vaikutusten pysyttämistä siinä tapauksessa, että unionin tuomioistuin päättäisi todeta PNR-direktiivin olevan osittain tai kokonaan pätemätön, ei voida hyväksyä, eikä muita näkökohtia oteta huomioon.

C       Viides ennakkoratkaisukysymys

256. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta viidennellä ennakkoratkaisukysymyksellään lähinnä, onko PNR-direktiivin 6 artiklaa, luettuna yhdessä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä sellaiselle kansalliselle lainsäädännölle, jossa hyväksytään PNR-tietojen käsittelytarkoitukseksi tiedustelu- ja turvallisuuspalvelujen silmälläpitämän toiminnan seuranta. Ennakkoratkaisupyynnöstä ilmenee, että tällaista toimintaa harjoittavat valtion turvallisuuspalvelu sekä yleinen tiedustelu- ja turvallisuuspalvelu kansallisen turvallisuuden suojelemiseen liittyvän tehtävänsä yhteydessä.

257. Kuten olen tuonut esille tämän ratkaisuehdotuksen 113 ja 114 kohdassa, henkilötietojen käyttötarkoitusten rajoittaminen on olennainen suojatoimi, jota on noudatettava, jotta perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumiset eivät ylitä sitä, mikä on välttämätöntä unionin tuomioistuimen oikeuskäytännössä tarkoitetulla tavalla. Olen täsmentänyt niin ikään, että PNR-direktiivin mukaisten perusoikeuksiin puuttumisten kohdalla unionin lainsäätäjän tehtävänä on muun muassa perusoikeuskirjan 52 artiklan 1 kohdassa vahvistettujen laillisuus- ja suhteellisuusperiaatteen noudattamiseksi säätää selkeistä ja täsmällisistä säännöistä, jotka koskevat tällaisia perusoikeuksiin puuttumisia sisältävien toimenpiteiden ulottuvuutta ja soveltamista.

258. PNR-direktiivin 1 artiklan 2 kohdassa täsmennetään, että kyseisen direktiivin mukaisesti kerättyjä PNR-tietoja ”saa käsitellä vain terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten 6 artiklan 2 kohdan a, b ja c alakohdan mukaisesti”. Tämän säännöksen mukaisesti matkustajatietoyksiköt saavat käsitellä PNR-tietoja vain lentomatkustajien etukäteisarvioinnin suorittamiseksi (6 artiklan 2 kohdan a alakohta), toimivaltaisilta viranomaisilta saatuihin yksittäisiin pyyntöihin vastaamiseksi (6 artiklan 2 kohdan b alakohta) ja 6 artiklan 3 kohdan b alakohdan nojalla toteutettavissa arvioinneissa käytettävien kriteerien päivittämiseksi tai uusien kriteerien määrittämiseksi (6 artiklan 2 kohdan c alakohta). Kaikissa kolmessa tapauksessa mainitaan nimenomaisesti PNR-direktiivin 1 artiklan 2 kohdassa ilmoitetut terrorismin ja vakavan rikollisuuden torjuntaa koskevat tavoitteet.

259. Lisäksi kyseisen direktiivin 7 artiklan 4 kohdassa täsmennetään, että direktiivin 6 artiklan mukaisen PNR-tietojen käsittelyn lisäksi jäsenvaltioiden toimivaltaiset viranomaiset saavat jatkokäsitellä PNR-tietoja ja PNR-tietojen käsittelyn tuloksia vain tietyssä tarkoituksessa eli ”terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa tai tällaisiin rikoksiin liittyviä syytetoimia varten”.

260. PNR-direktiivin 1 artiklan 2 kohdan sanamuodosta ilmenee selvästi, että PNR-direktiivin tavoitteet on määritetty tyhjentävästi, ja tätä tukevat jo mainittujen 6 artiklan 2 kohdan ja 7 artiklan 4 kohdan lisäksi useat kyseisen direktiivin artiklat ja johdanto-osan perustelukappaleet, joissa PNR-tietojen käytön, käsittelyn, säilyttämisen ja jakamisen jokainen vaihe liitetään järjestelmällisesti vain näihin tiettyihin tavoitteisiin.(247)

261. Kun PNR-direktiivin 1 artiklan 2 kohdan sanamuotoa tarkastellaan ja tulkitaan ottamalla huomioon laillisuus- ja suhteellisuusperiaatteet, jotka edellyttävät yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin puuttumisen sisältävien toimenpiteiden tarkoitusten rajaamista tyhjentävästi, ilmenee, että kaikki PNR-tietojen käsittelytarkoitukset, jotka ylittävät kyseisessä säännöksessä nimenomaisesti mainitut turvallisuustavoitteet, ovat PNR-direktiivin vastaisia.

262. Tämä direktiivin tavoitteiden laajentamisen kielto pätee nähdäkseni ennen kaikkea jäsenvaltioiden turvallisuus- ja tiedustelupalvelujen toimintaan – myös siksi, että niiden toimintatavoille on tyypillistä läpinäkyvyyden puute. Olen tästä samaa mieltä kuin komissio: näillä tahoilla ei pitäisi pääsääntöisesti olla suoraa pääsyä PNR-tietoihin. Pidän tässä yhteydessä sinänsä paheksuttavana jo sitä, että jäsenvaltioiden matkustajatietoyksiköiden henkilöstöön voi kuulua turvallisuuspalveluista lähetettyjä työntekijöitä, kuten Belgian matkustajatietoyksikössä.(248)

263. Edellä esitettyjen seikkojen perusteella viidenteen ennakkoratkaisukysymykseen on vastattava nähdäkseni niin, että PNR-direktiiviä ja erityisesti sen 1 artiklan 2 kohtaa ja 6 artiklaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa hyväksytään PNR-tietojen käsittelytarkoitukseksi tiedustelu- ja turvallisuuspalvelujen silmälläpitämän toiminnan seuraaminen, jos jäsenvaltion matkustajatietoyksikkö joutuu tällaisen käsittelytarkoituksen yhteydessä käsittelemään kyseisiä tietoja ja/tai siirtämään niitä tai niiden käsittelyn tuloksia näille palveluille muita tarkoituksia varten kuin niissä tarkoituksissa, jotka luetellaan tyhjentävästi kyseisen direktiivin 1 artiklan 2 kohdassa, mikä kansallisen tuomioistuimen on tarkistettava.

D       Seitsemäs ennakkoratkaisukysymys

264. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta seitsemännellä kysymyksellään lähinnä, onko PNR-direktiivin 12 artiklan 3 kohdan b alakohtaa tulkittava siten, että matkustajatietoyksikkö on kyseisessä säännöksessä tarkoitettu toimivaltainen kansallinen viranomainen, joka voi antaa luvan kaikkien PNR-tietojen luovuttamiseen näiden tietojen siirron jälkeisen kuuden kuukauden ensivaiheen päätyttyä.

265. Muistutan, että PNR-direktiivin 12 artiklan 2 kohdassa säädetään, että kun kuuden kuukauden määräaika on umpeutunut, PNR-tiedoista on erotettava häivyttämällä tiedonosat, joiden avulla voisi olla mahdollista tunnistaa välittömästi matkustaja, johon PNR-tiedot liittyvät. Kyseisen määräajan päätyttyä kaikkien PNR-tietojen luovuttaminen on sallittua vain kyseisen 12 artiklan 3 kohdassa säädetyin edellytyksin ja erityisesti silloin, kun tämän luovuttamisen on hyväksynyt etukäteen ”oikeusviranomainen” (12 artiklan 3 kohdan b alakohdan i luetelmakohta) tai ”muu kansallinen viranomainen, jolla on kansallisen oikeuden mukainen toimivalta arvioida tietojen luovuttamista koskevien edellytysten täyttymistä, edellyttäen, että matkustajatietoyksikön tietosuojavastaavaa on informoitu asiasta ja että tämä on toteuttanut jälkiarvioinnin” (12 artiklan 3 kohdan b alakohdan ii luetelmakohta).

266. Valtaosa tässä menettelyssä kirjallisia huomautuksia esittäneistä hallituksista ei ole ottanut kantaa seitsemänteen ennakkoratkaisukysymykseen. Tšekin hallitus katsoo komission tavoin, että PNR-direktiivin 12 artiklan 3 kohtaa ei voida tulkita siten, että matkustajatietoyksikköä voidaan pitää toimivaltaisena kansallisena viranomaisena. Sen sijaan Belgian,(249) Irlannin, Espanjan, Ranskan ja Kyproksen hallitukset vastustavat tällaista tulkintaa. Ne katsovat olennaisin osin, ettei yksikään PNR-direktiivin säännöksistä eikä unionin oikeuden määräyksistä tai säännöksistä estä matkustajatietoyksikön nimeämistä kyseisen direktiivin 12 artiklan 2 kohdan b alakohdan ii luetelmakohdassa tarkoitetuksi toimivaltaiseksi kansalliseksi viranomaiseksi ja että matkustajatietoyksikkö on luonteensa puolesta riittävän riippumaton viranomainen, jotta se voi antaa luvan PNR-tietojen käsittelyyn.

267. Tuon puolestani esille ensinnäkin, että PNR-direktiivin 12 artiklan 3 kohdan b alakohdan sanamuodosta ja erityisesti siitä, että kyseisen säännöksen i ja ii luetelmakohdassa annetut kaksi esimerkkiä on liitetty toisiinsa käyttämällä konjunktiota ”tai”, ilmenee unionin lainsäätäjän halunneen asettaa ii luetelmakohdassa tarkoitetun kansallisen viranomaisen harjoittaman valvonnan ja i luetelmakohdassa tarkoitetun oikeusviranomaisen harjoittaman valvonnan samalle tasolle. Tästä seuraa, että kyseisen kansallisen viranomaisen on oltava niin riippumaton ja puolueeton, että sen harjoittamaa valvontaa voidaan pitää oikeusviranomaisen harjoittamaan valvontaan rinnastettavana vaihtoehtona.(250)

268. Toiseksi PNR-direktiivin valmisteluasiakirjoista ilmenee, ettei unionin lainsäätäjä ole yhtäältä säilyttänyt komission ehdotusta siitä, että luvan antaminen kaikkien PNR-tietojen luovuttamiseen annettaisiin matkustajatietoyksikön päällikön tehtäväksi,(251) ja toisaalta unionin lainsäätäjä on pidentänyt komission alun perin ehdottamaa näiden tietojen säilytysaikaa 30 päivästä kuuteen kuukauteen. Tässä asiayhteydessä, jossa on haettu tasapainoa PNR-tietoihin sisältyvien tunnistamisessa auttavien tiedonosien häivyttämistä edeltävän säilytysajan keston sekä kyseisen ajanjakson päätteeksi tapahtuvaa tiedonosien poistamista koskevien edellytysten välillä, unionin lainsäätäjä on päättänyt asettaa kaikkiin PNR-tietoihin pääsylle tiukempia menettelyllisiä edellytyksiä komission alun perin ehdottamiin verrattuna ja antaa tietojen luovuttamisen edellytysten täyttymisen tarkistamisen riippumattoman viranomaisen tehtäväksi.

269. Kuten komissio on perustellusti huomauttanut, kolmanneksi PNR-direktiivin rakenteesta ilmenee, että PNR-direktiivin 12 artiklan 3 kohdan mukaisen hyväksymismenettelyn tarkoitus perustuu siihen, että rekisteröityjen henkilöiden oikeuksien tasapainottaminen kyseisellä direktiivillä tavoiteltuun lainvalvontatarkoitukseen nähden annetaan kussakin yksittäistapauksessa puolueettoman kolmannen elimen tehtäväksi.

270. Neljänneksi unionin tuomioistuimen oikeuskäytännöstä ilmenee, että elimellä, jonka tehtävänä on suorittaa etukäteisvalvonta, jota tarvitaan, jotta toimivaltaiset kansalliset viranomaiset saavat pääsyn laillisesti säilytettyihin henkilötietoihin, on oltava kaikki valtuudet ja kaikki takeet, jotka ovat välttämättömiä sen varmistamiseksi, että kyseessä olevat eri intressit ja oikeudet sovitetaan yhteen. Unionin tuomioistuin on täsmentänyt myös, että kyseisellä elimellä on oltava asema, jossa se voi suorittaa tehtävänsä objektiivisesti ja puolueettomasti, ja sen on tätä varten oltava suojattu kaikelta ulkopuoliselta vaikuttamiselta.(252) Erityisesti rikosasioissa riippumattomuuden vaatimus tarkoittaa, että etukäteisvalvonnasta vastaavan viranomaisen on oltava ulkopuolinen siihen viranomaiseen nähden, joka pyytää kyseisten tietojen saantia, joten se ei saa osallistua rikostutkinnan suorittamiseen ja sen on oltava neutraalissa asemassa rikosprosessin asianosaisiin nähden.(253)

271. On todettava, ettei matkustajatietoyksikkö voi tarjota kaikkia riippumattomuuden ja puolueettomuuden takeita, jotka PNR-direktiivin 12 artiklan 3 kohdassa tarkoitetulla etukäteisvalvonnan suorittamisesta vastaavalla viranomaisella on oltava. Matkustajatietoyksiköt ovat näet suoraan sidoksissa viranomaisiin, jotka ovat toimivaltaisia terrorismirikosten ja vakavan rikollisuuden ennalta estämisen ja paljastamisen sekä tutkinnan ja näihin liittyvien syytetoimien alalla. PNR-direktiivin 4 artiklan 1 kohdan mukaisesti matkustajatietoyksikkö on itse tällainen viranomainen tai tällaisen viranomaisen yksikkö. Lisäksi saman artiklan 3 kohdassa säädetään, että matkustajatietoyksikön henkilöstön jäsenet voivat olla toimivaltaisten viranomaisten lähettämiä työntekijöitä. Belgian matkustajatietoyksikkö on tällainen, sillä PNR-lain 14 §:n mukaisesti sen henkilöstön jäseniin kuuluu muun muassa poliisin, valtion turvallisuuspalvelun, yleisen tiedustelu- ja turvallisuuspalvelun sekä yleisen tulli- ja valmisteverohallinnon lähettämiä työntekijöitä.

272. Matkustajatietoyksikön henkilöstön jäsenten on tosin tarjottava yleisesti kaikki koskemattomuutta, toimivaltaa, avoimuutta ja riippumattomuutta koskevat takeet, ja jäsenvaltioiden on huolehdittava tarvittaessa siitä, että kun mielessä pidetään kaikki henkilöstön jäsenten siteet heidän omiin yksikköihinsä, näitä takeita voidaan konkreettisesti noudattaa erityisesti sen välttämiseksi, että toimivaltaisilla viranomaisilla, joiden organisaatioon kyseiset henkilöstön jäsenet alun perin kuuluvat, on suora pääsy PNR-tietokantaan eikä ainoastaan matkustajatietoyksikön hakemien tietojen tuloksiin. Matkustajatietoyksikön henkilöstön jäsenet, jotka PNR-direktiivin 7 artiklan 2 kohdassa tarkoitetut toimivaltaiset viranomaiset ovat lähettäneet, säilyttävät väistämättä siteen alkuperäiseen yksikköönsä matkustajatietoyksikössä työskentelynsä ajan, ja he säilyttävät asemansa, vaikka heidät sijoitetaan toiminnallisesti ja organisatorisesti matkustajatietoyksikköä johtavan virkamiehen alaisuuteen.

273. Päätelmää, jonka mukaan matkustajatietoyksikkö ei ole PNR-direktiivin 12 artiklan 3 kohdan b alakohdan ii luetelmakohdassa tarkoitettu kansallinen viranomainen, tukee lisäksi se seikka, että kyseisen säännöksen mukaisesti matkustajatietoyksikön tietosuojavastaavaa täytyy ”informoida” tietojen luovuttamista koskevasta pyynnöstä ja sen on toteutettava jälkiarviointi. Siinä tapauksessa, että matkustajatietoyksiköllä olisi muuna kansallisena viranomaisena valtuudet hyväksyä tietojen luovuttamista koskeva pyyntö PNR-direktiivin 12 artiklan 3 kohdan mukaisesti, tietosuojavastaavaa, joka vastaa kyseisen direktiivin 5 artiklan 1 kohdan mukaisesti muun muassa PNR-tietojen käsittelyyn liittyvien asiaankuuluvien suojatoimien täytäntöönpanosta, olisi nimittäin informoitava tiedonsaantipyynnöstä silloin, kun pyyntö esitetään, joten pyynnön tarkastaminen tapahtuisi väistämättä etukäteen.(254)

274. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa seitsemänteen ennakkoratkaisukysymykseen niin, että PNR-direktiivin 12 artiklan 3 kohdan b alakohtaa on tulkittava siten, että matkustajatietoyksikkö ei ole kyseisessä säännöksessä tarkoitettu muu kansallinen toimivaltainen viranomainen.

E       Yhdeksäs ennakkoratkaisukysymys

275. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta yhdeksännellä ennakkoratkaisukysymyksellään yhtäältä sitä, onko API-direktiivi yhteensopiva SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kanssa siltä osin kuin sitä sovelletaan EU:n sisäisiin lentoihin, ja toisaalta sitä, onko kyseistä direktiiviä, luettuna yhdessä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kanssa, tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa sallitaan laittoman maahanmuuton torjumiseksi ja rajatarkastusten parantamiseksi matkustajatietojen keräämis- ja käsittelyjärjestelmä, kun kyse on matkustajista, jotka voivat edellyttää välillisesti sisärajatarkastusten ottamista uudelleen käyttöön.

276. Ennakkoratkaisupyynnöstä ilmenee, että tämä ennakkoratkaisukysymys liittyy LDH:n toissijaisesti esittämän toisen kanneperusteen tutkimiseen. Kyseinen kanneperuste, jonka mukaan Belgian perustuslain 22 §:n rikkominen, kun kyseinen pykälä luetaan yhdessä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kanssa, kohdistuu PNR-lain 3 §:n 1 momenttiin, 8 §:n 2 momenttiin ja 11 lukuun – erityisesti 28–31 §:ään. Vaikka ensimmäisessä näistä pykälistä ilmoitetaan yleisesti kyseisen lain tarkoitus ja täsmennetään, että siinä ”vahvistetaan liikenteenharjoittajien ja matkanjärjestäjien velvollisuudet, jotka koskevat sellaisten matkustajien tietojen välittämistä, joiden tarkoituksena on saapua valtion alueelle, lähteä sieltä tai kulkea sen kautta”, kyseisen lain 8 §:n 2 momentissa säädetään, että kyseisen lain ”11 luvussa säädetyin edellytyksin matkustajatietoja käsitellään myös ulkorajoilla suoritettavien henkilötarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi”. PNR-lain 29 §:n 1 momentin mukaisesti tämän käsittelytarkoituksen yhteydessä kyseisen lain 9 §:n 1 momentin 18 kohdassa tarkoitettuja matkustajatietoja (eli PNR-direktiivin liitteessä I olevassa 18 kohdassa mainittuja API-tietoja) voidaan välittää vain kolmen matkustajaryhmän osalta rajavalvonnasta vastaaville poliisiviranomaisille ja Belgian ulkomaalaisvirastolle. Kyseessä ovat ”matkustajat, joiden tarkoituksena on tulla tai jotka ovat tulleet valtion alueelle Belgian ulkorajan ylittämällä”; ”matkustajat, joiden tarkoituksena on poistua tai jotka ovat poistuneet valtion alueelta Belgian ulkorajan ylittämällä”, ja ”matkustajat, joiden tarkoituksena on kulkea Belgiassa sijaitsevan kansainvälisen kauttakulkualueen kautta, jotka ovat tällaisella alueella tai jotka ovat kulkeneet tällaisen alueen kautta”.(255) PNR-lain 29 §:n 3 momentista ilmenee, että matkustajatietoyksiköt välittävät kyseiset tiedot rajavalvonnasta vastaaville poliisiviranomaisille ja ulkomaalaisvirastolle ”välittömästi niiden matkustajatietokantaan kirjaamisen jälkeen” ja että tiedot tuhotaan 24 tunnin kuluttua niiden välittämisestä. Kyseisen säännöksen mukaisesti myös ulkomaalaisvirasto voi esittää matkustajatietoyksikölle edellä mainitun määräajan päätyttyä perustellun pyynnön saada tutustua kyseisiin tietoihin, jos tämä on tarpeen sen lakisääteisen tehtävän yhteydessä. Yhdeksännen ennakkoratkaisukysymyksen taustalla oleva oikeudellinen kehys ylittää siis PNR-direktiivin oikeudellisen kehyksen, koska PNR-lain 28 ja 29 §:n mukaisen tietojenkäsittelyn tarkoitus ulottuu API-direktiivin oikeudelliseen kehykseen. Lisäksi unionin tuomioistuimen kirjaamoon toimitetusta asiakirja-aineistosta ilmenee erityisesti, että LDH:n esittämä toinen kanneperuste perustuu PNR-lain 11 luvun säännösten tulkitsemiseen siten, että näitä säännöksiä sovelletaan myös Belgian sisärajojen ylittämisen yhteydessä.

277. Yhdeksännen ennakkoratkaisukysymyksen ensimmäinen osa perustuu virheelliseen oletukseen, eikä unionin tuomioistuimen tule mielestäni vastata siihen. API-direktiivin 3 artiklan 1 kohdasta, luettuna yhdessä kyseisen direktiivin 2 artiklan b ja d alakohdan kanssa, käy nimittäin yksiselitteisesti ilmi, että kyseisessä direktiivissä säädetään lentoliikenteen harjoittajien velvollisuudesta välittää API-tiedot ulkorajalla suoritettavista henkilötarkastuksista vastaaville viranomaisille vain niiden lentojen osalta, joilla matkustajia kuljetetaan rajanylityspaikalle, joka on vahvistettu jäsenvaltioiden ja kolmansien maiden välisen ulkorajan ylityspaikaksi. Kyseisen direktiivin 6 artiklan 1 kohdassa säädetään samoin vain tällaisiin lentoihin liittyvien API-tietojen käsittelystä. Lisäksi vaikka on totta, että PNR-direktiivissä säädetään jäsenvaltioiden mahdollisuudesta laajentaa kerättyjen API-tietojen siirtämistä koskeva velvollisuus koskemaan myös EU:n sisäisiä lentoja lentäviä lentoliikenteen harjoittajia, tätä mahdollisuutta on tulkittava API-direktiivissä säädettyä rajoittamatta.(256) Siirrettyjä API-tietoja voidaan käsitellä PNR-direktiivin puitteissa vain PNR-direktiivissä säädettyjen lainvalvontatarkoitusten yhteydessä. Sitä vastoin PNR-direktiivin johdanto-osan 34 perustelukappaleessa todetaan, ettei PNR-direktiivi vaikuta rajavalvonnan toteuttamista koskeviin voimassa oleviin unionin sääntöihin tai unionin alueelle tuloa ja sieltä poistumista koskeviin unionin sääntöihin, ja PNR-direktiivin 6 artiklan 9 kohdan toisessa virkkeessä säädetään, että jos kyseisen artiklan 2 kohdassa tarkoitetut arvioinnit toteutetaan jäsenvaltioiden välisten EU:n sisäisten lentojen osalta, joihin sovelletaan Schengenin rajasäännöstöä,(257) näiden arviointien seurausten olisi oltava Schengenin rajasäännöstön mukaisia.

278. Jos yhdeksännen ennakkoratkaisukysymyksen tämä osa muotoiltaisiin uudelleen komission toissijaisen ehdotuksen mukaisesti niin, että se koskisi API-direktiivin sijaan PNR-direktiivin ja erityisesti PNR-direktiivin 2 artiklan sekä perussopimuksen ja perusoikeuskirjan määräysten yhteensoveltuvuutta, muutettaisiin sitä toimea, jonka osalta ennakkoratkaisua pyytänyt tuomioistuin on pyytänyt pätevyyden arviointia, ja poikettaisiin kyseisen ennakkoratkaisukysymyksen taustalla olevasta oikeudellisesta kehyksestä. Kuten olen selittänyt, PNR-lain 11 luvun säännöksillä, joihin toinen kanneperuste kohdistuu, on nimittäin saatettu API-direktiivi – ei PNR-direktiivi – kansallisen lainsäädännön osaksi.

279. Siltä varalta, että unionin tuomioistuin muotoilisi tämän kysymyksen osan uudelleen, esitän vain muutamia pohdintoja erityisesti siitä kysymyksestä, voidaanko etukäteisarvioinnin, jonka jäsenvaltiot saavat suorittaa EU:n sisäisten lentojen matkustajien PNR-tiedoille PNR-direktiivin 2 artiklassa niille annetun toimivallan mukaisesti, katsoa vastaavan Schengenin rajasäännöstön 23 artiklan a alakohdassa(258) tarkoitettujen rajatarkastusten suorittamista. Ensinnäkin on todettava, että jos PNR-tietojen etukäteisarviointia ei suoriteta rajanylityspaikalla tai rajaa ylitettäessä, vaan ennen kyseistä hetkeä, se suoritetaan kuitenkin lähiaikoina tapahtuvan rajanylityksen vuoksi. Toiseksi PNR-direktiivin 2 artiklan mukaisesti jäsenvaltiot voivat laajentaa PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen PNR-tietojen etukäteisarvioinnin koskemaan kaikkien EU:n sisäisten lentojen matkustajia riippumatta siitä, miten asianomaiset matkustajat käyttäytyvät ja osoittavatko olosuhteet yleiseen turvallisuuteen kohdistuvan uhan olevan olemassa. Tällainen etukäteisarviointi on lisäksi luonteeltaan järjestelmällistä. Kumpikaan näistä seikoista ei vaikuta täyttävän Schengenin rajasäännöstön 23 artiklan a alakohdan toisen virkkeen ii, iii ja iv luetelmakohdassa tarkoitettuja edellytyksiä.(259) Kolmanneksi pohdin kyseisen artiklan a alakohdan toisen virkkeen i ja iii luetelmakohdassa mainittujen edellytysten osalta, eikö PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukainen etukäteisarviointi vastaa ainakin osittain Schengenin rajasäännöstön, sellaisena kuin se on muutettuna asetuksella 2017/458, 8 artiklan 2 kohdan b alakohdan, saman artiklan 3 kohdan a alakohdan vi luetelmakohdan ja saman kohdan g alakohdan iii luetelmakohdan mukaisesti suoritettavien rajatarkastusten tarkoitusta, ja ennen kaikkea poikkeaako se selvästi yksityiskohtaisilta säännöiltään näistä järjestelmällisistä tarkastuksista.(260) Tuon tältä osin esille, että Schengenin rajasäännöstön 8 artiklan 2 e kohdassa ja 3 kohdan i a kohdassa täsmennetään, että kyseiset tarkastukset ”voidaan tehdä etukäteen [API-direktiivin] mukaisesti tai muun unionin oikeuden tai kansallisen lainsäädännön mukaisesti vastaanotetuista matkustajatiedoista”. Tästä huolimatta PNR-direktiivin tarkoituksena ei ole ”varmistaa, että henkilöt voidaan päästää jäsenvaltioiden alueelle tai pois sieltä”, tai ”estää henkilöitä kiertämästä rajatarkastuksia”, jotka unionin tuomioistuin on vahvistanut rajavalvonnan tavoitteiksi Schengenin rajasäännöstön mukaisesti,(261) vaan kyseisellä direktiivillä on ainoastaan lainvalvontatarkoitus. Lisäksi Schengenin rajasäännöstön 23 artiklan a alakohdan toisen virkkeen ii luetelmakohdassa säädetään nimenomaisesti, että poliisivaltuuksien käyttämistä ei voida rinnastaa rajatarkastusten suorittamiseen, jos poliisitoimenpiteiden tarkoituksena on torjua rajat ylittävää rikollisuutta.(262) Unionin tuomioistuimen olisi otettava arvioinnissaan huomioon vielä sekin erityisesti komission korostama seikka, että PNR-direktiivin 2 artiklassa annetaan jäsenvaltioille lupa edellyttää lentoliikenteen harjoittajilta vain niiden PNR-tietojen siirtämistä, joita nämä ovat keränneet tavanomaisen liiketoimintansa yhteydessä, eikä siinä säädetä näin ollen vastaavasta velvollisuudesta kuin se, josta säädetään API-direktiivissä ulkorajojen ylittämisen osalta.

280. Katson yhdeksännen ennakkoratkaisukysymyksen toisesta osasta komission tavoin, että sen on ymmärrettävä liittyvän sisärajojen ylittämiseen ja että sillä pyritään saamaan unionin tuomioistuimelta selvennyksiä, jotta ennakkoratkaisua pyytänyt tuomioistuin voi arvioida, soveltuvatko PNR-lain 11 luvun säännökset yhteen sen kanssa, että jäsenvaltioiden sisärajatarkastukset on poistettu Schengen-alueella.

281. Koska unionin tuomioistuimella on käytettävissään tältä osin vain niukasti tietoja, otan esille ainoastaan sen, että PNR-lain 11 luvun säännökset voivat soveltua yhteen unionin oikeuden ja erityisesti SEUT 67 artiklan 2 kohdan kanssa vain, jos niitä tulkitaan siten, että ne koskevat ainoastaan Belgian ja kolmannen maan välisen ulkorajan ylittävien matkustajien API-tietojen siirtämistä ja käsittelyä.

282. Siltä varalta, että unionin tuomioistuin päättäisi muotoilla yhdeksännen ennakkoratkaisukysymyksen toisen osan uudelleen siten, että se koskee PNR-direktiivin tulkintaa suhteessa PNR-lain 11 luvun säännöksiin, tuon esille ainoastaan, että kyseisen lain 28 ja 29 §:n mukainen API-tietojen käsittely tapahtuu järjestelmässä, jonka Belgian lainsäätäjä on ottanut käyttöön PNR-direktiivin saattamiseksi osaksi kansallista lainsäädäntöä. Käsittelyn kohteena olevat API-tiedot ovat ensinnäkin niitä, jotka luetellaan liitteessä I olevassa 12 kohdassa, eivät pelkästään API-direktiivin 3 artiklan 2 kohdan luetteloon sisältyviä tietoja. Toiseksi PNR-lain 29 §:n 1 momentin mukaisesti matkustajatietoyksikkö, jonka tehtävänä on kerätä ja käsitellä PNR-tietoja pelkästään PNR-direktiivin mukaisia tarkoituksia varten, välittää kyseiset tiedot rajavalvonnasta vastaaville poliisiviranomaisille ja ulkomaalaisvirastolle; niitä eivät siis toimita lentoliikenteen harjoittajat suoraan, kuten API-direktiivissä säädetään. Lisäksi kyseinen tietojen välittäminen koskee myös niiden matkustajien tietoja, jotka aikovat poistua tai ovat jo poistuneet Belgiasta, eikä tietoja välitetä ainoastaan rajavalvonnasta vastaaville viranomaisille, vaan myös ulkomaalaisvirastolle, jonka tehtävänä on huolehtia maahanmuuttajaväestöstä ja laittoman maahanmuuton torjumisesta. Kolmanneksi vaikuttaa siltä, että ulkomaalaisvirasto voi esittää PNR-lain 29 §:n 4 momentin toisen kohdan nojalla matkustajatietoyksikölle pyyntöjä saada tutustua API-tietoihin myös sen jälkeen, kun näitä tietoja on käsitelty asianomaisten matkustajien rajanylityksen yhteydessä. Ulkomaalaisvirasto rinnastuu tässä mielessä tosiasiallisesti PNR-direktiivin 7 artiklassa tarkoitettuun toimivaltaiseen viranomaiseen, vaikkei se ole luonteeltaan tällainen viranomainen eikä se sisälly näitä viranomaisia koskevaan luetteloon, jonka Belgia on toimittanut komissiolle. API-direktiivin ja PNR-direktiivin mukaisten järjestelmien sulautuminen toisiinsa tällä tavoin ei ole mielestäni hyväksyttävää, koska siinä ei oteta huomioon PNR-direktiivin 1 artiklan 2 kohtaan sisältyvää tarkoitusten rajaamisen periaatetta.(263)

283. Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa yhdeksänteen ennakkoratkaisukysymykseen niin, että API-direktiivin 3 artiklan 1 kohtaa, jonka mukaan jäsenvaltioiden on toteutettava tarvittavat toimenpiteet velvoittaakseen lentoliikenteen harjoittajat toimittamaan henkilöille ulkorajoilla suoritettavista tarkastuksista vastaavien viranomaisten pyynnöstä lähtöselvityksen päätyttyä tiedot kyseisen artiklan 2 artiklassa tarkoitetuista matkustajista, luettuna yhdessä kyseisen direktiivin 2 artiklan b ja d alakohdan kanssa, on tulkittava siten, että se koskee ainoastaan matkustajia, jotka kuljetetaan rajanylityspaikalle, joka on vahvistettu jäsenvaltioiden ja kolmansien maiden välisen ulkorajan ylityspaikaksi. Kansallinen lainsäädäntö, jolla tämä velvoite laajennetaan koskemaan asianomaisen jäsenvaltion sisärajat lentokoneella tai muulla kulkuneuvolla ylittävien henkilöiden tietoja ainoastaan rajatarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi, on vastoin SEUT 67 artiklan 2 kohtaa ja Schengenin rajasäännöstön 22 artiklaa.

F       Kymmenes ennakkoratkaisukysymys

284. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kymmenennellä ennakkoratkaisukysymyksellään unionin tuomioistuimelta lähinnä sitä, voiko se siinä tapauksessa, että unionin tuomioistuin toteaisi PNR-lain olevan vastoin perusoikeuskirjan 7 ja 8 artiklaa sekä 52 artiklan 1 kohtaa, pysyttää väliaikaisesti voimassa kyseisen lain vaikutukset epäselvän oikeustilan välttämiseksi ja sen mahdollistamiseksi, että aiemmin kerättyjä ja säilytettyjä tietoja voidaan edelleenkin käyttää laissa säädettyjä tarkoituksia varten.

285. Unionin tuomioistuin on vastannut samansisältöiseen kysymykseen sähköisen viestinnän metatietojen säilyttämistä koskevassa tuomiossa La Quadrature du Net, joka on annettu nyt käsiteltävän ennakkoratkaisupyynnön jättämisen jälkeen. Unionin tuomioistuin kertasi kyseisessä tuomiossa ensin oikeuskäytäntöään, jonka mukaan unionin oikeuden ensisijaisuutta ja yhtenäistä soveltamista heikennettäisiin, jos kansallisilla tuomioistuimilla olisi toimivalta antaa kansallisille säännöksille etusija, vaikka vain väliaikaisesti, siihen unionin oikeuteen nähden, jota niillä rikotaan. Sitten se muistutti myöntäneensä 29.7.2019 antamassaan tuomiossa Inter-Environnement Wallonie ja Bond Beter Leefmilieu Vlaanderen,(264) jossa oli kyse sellaisten toimenpiteiden laillisuudesta, jotka oli toteutettu noudattamatta unionin oikeudessa asetettua velvoitetta arvioida etukäteen hankkeen vaikutukset ympäristöön ja suojelualueeseen, että kansallinen tuomioistuin voi kansallisen lainsäädännön sen salliessa poikkeuksellisesti pysyttää toimenpiteiden vaikutukset, jos vaikutusten pysyttäminen on perusteltua sellaisten pakottavien syiden vuoksi, jotka liittyvät tarpeeseen estää sellainen todellinen ja vakava vaara, että sähköntoimitus kyseisessä jäsenvaltiossa keskeytyy, vain sen ajan, joka on ehdottoman tarpeen tämän lainvastaisuuden korjaamiseksi. Se totesi kuitenkin, että ympäristönsuojelun erityisalalla suoritettavan hankkeen vaikutusten ennakkoarvioinnin kaltaisen menettelyllisen velvollisuuden noudattamatta jättämisestä poiketen perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien loukkaamista ei voida kuitenkaan korjata menettelyllä, joka on verrattavissa edellä mainitussa tuomiossa tarkoitettuun menettelyyn.(265) Kymmenenteen ennakkoratkaisukysymykseen on annettava nähdäkseni sama vastaus tässä menettelyssä.

286. Koska sekä ennakkoratkaisua pyytänyt tuomioistuin että Belgian hallitus, samoin kuin komissio ja neuvosto, pohtivat sitä kysymystä, onko unionin oikeus esteenä unionin oikeuden kanssa yhteensopimattomalla tavalla kerättyjä, käsiteltyjä ja/tai säilytettyjä PNR-tietoja käyttäen saatujen tietojen tai todisteiden hyödyntämiselle rikosoikeudellisessa menettelyssä, muistutan unionin tuomioistuimen täsmentäneen tuomion La Quadrature du Net 222 kohdassa, että unionin oikeuden nykytilassa lähtökohtaisesti yksinomaan kansallisessa oikeudessa on määritettävä säännöt, jotka koskevat sellaisten tietojen ja todisteiden, jotka on hankittu tällaisella unionin oikeuden vastaisella tietojen säilyttämisellä, hyväksyttävyyttä ja arviointia rikosprosessissa, joka on pantu vireille vakavista rikoksista epäiltyjä henkilöitä vastaan, sanotun kuitenkaan rajoittamatta vastaavuus- ja tehokkuusperiaatteiden noudattamista. Unionin tuomioistuin on todennut viimeksi mainitusta periaatteesta, että se velvoittaa kansallisen rikostuomioistuimen jättämään huomiotta tiedot ja todisteet, jotka on hankittu unionin oikeuden vastaisella liikenne- ja paikkatietojen yleisesti ja erotuksetta tapahtuvalla säilyttämisellä, rikosprosessissa, joka on pantu vireille sellaisia henkilöitä vastaan, joiden epäillään syyllistyneen rikoksiin, jos kyseiset henkilöt eivät voi tehokkaasti ilmaista käsitystään näistä tiedoista ja todisteista, jotka ovat peräisin alalta, jota tuomarit eivät tunne, ja jotka voivat vaikuttaa ratkaisevalla tavalla tosiseikkojen arviointiin. Näitä periaatteita voidaan soveltaa soveltuvin osin myös pääasian olosuhteissa.

IV     Ratkaisuehdotus

287. Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Cour constitutionnellen esittämiin ennakkoratkaisukysymyksiin seuraavasti:

1)      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 23 artiklaa, luettuna yhdessä kyseisen asetuksen 2 artiklan 2 kohdan d alakohdan kanssa, on tulkittava siten, että

–        sitä sovelletaan kansalliseen lainsäädäntöön, jolla on saatettu kansallisen lainsäädännön osaksi matkustajarekisteritietojen (PNR) käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten 27.4.2016 annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/681, siltä osin kuin kyseisessä lainsäädännössä säädetään lentoliikenteen harjoittajien ja muiden talouden toimijoiden suorittamasta PNR-tietojen käsittelystä, mukaan lukien kyseisen direktiivin 8 artiklan mukainen PNR-tietojen siirtäminen kyseisen direktiivin 4 artiklassa tarkoitetuille matkustajatietoyksiköille;

–        sitä ei sovelleta kansalliseen lainsäädäntöön, jolla direktiivi 2016/681 on saatettu kansallisen lainsäädännön osaksi, siltä osin kuin siinä säädetään toimivaltaisten viranomaisten, myös matkustajatietoyksiköiden ja tarvittaessa asianomaisen jäsenvaltion turvallisuus- ja tiedustelupalvelujen, suorittamasta tietojen käsittelystä kyseisen direktiivin 1 artiklan 2 kohdassa säädettyjä tarkoituksia varten;

–        sitä sovelletaan kansalliseen lainsäädäntöön, jolla on saatettu kansallisen lainsäädännön osaksi liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista 29.4.2004 annettu neuvoston direktiivi 2004/82/EY sekä jäsenvaltioiden satamiin saapuvia ja/tai satamista lähteviä aluksia koskevista ilmoitusmuodollisuuksista ja direktiivin 2002/6/EY kumoamisesta 20.10.2010 annettu Euroopan parlamentin ja neuvoston direktiivi 2010/65/EU, ulkorajoilla suoritettavien henkilötarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi.

2)      Direktiivin 2016/681 liitteessä I oleva 12 kohta on pätemätön siltä osin kuin siinä mainitaan ”yleiset huomautukset” yhtenä niistä tietoryhmistä, jotka lentoliikenteen harjoittajien on toimitettava matkustajatietoyksiköille kyseisen direktiivin 8 artiklan mukaisesti.

3)      Toisen, kolmannen, neljännen, kuudennen ja kahdeksannen kysymyksen tarkastelussa ei tullut esille muita seikkoja, jotka voisivat vaikuttaa direktiivin 2016/681 pätevyyteen.

4)      Direktiivin 2016/681 liitteessä I olevaa 12 kohtaa on tulkittava niiltä osin kuin sitä ei ole todettu pätemättömäksi siten, että se kattaa vain ne alaikäisiä koskevat tiedot, jotka mainitaan siinä nimenomaisesti ja jotka liittyvät suoraan lentoon.

5)      Direktiivin 2016/681 liitteessä I olevaa 18 kohtaa on tulkittava siten, että se kattaa vain ne matkustajan ennakkotiedot, jotka on lueteltu nimenomaisesti kyseisessä kohdassa sekä direktiivin 2004/82 3 artiklan 2 kohdassa ja jotka lentoliikenteen harjoittajat ovat keränneet tavanomaisen liiketoimintansa yhteydessä.

6)      Direktiivin 2016/681 6 artiklan 3 kohdan a alakohdassa tarkoitettua olennaisten tietokantojen käsitettä on tulkittava siten, että sillä tarkoitetaan ainoastaan kyseisen direktiivin 7 artiklan 1 kohdan mukaisten toimivaltaisten viranomaisten ylläpitämiä tietokantoja sekä unionin tietokantoja ja kansainvälisiä tietokantoja, joita kyseiset viranomaiset käyttävät suoraan tehtäviensä hoitamisen yhteydessä. Edellä mainittujen tietokantojen on myös liityttävä suoraan ja läheisesti kyseisellä direktiivillä tavoiteltuihin terrorismin ja vakavan rikollisuuden torjuntaa koskeviin tarkoituksiin, mikä edellyttää, että kyseiset tietokannat kehitetty näitä tarkoituksia varten. Jäsenvaltioiden on julkaistava luettelo näistä tietokannoista ja pidettävä se ajan tasalla, kun ne saattavat direktiivin 2016/681 kansallisen lainsäädäntönsä osaksi.

7)      Direktiivin 2016/681 6 artiklan 3 kohdan b alakohtaa on tulkittava siten, että se estää käyttämästä kyseisessä säännöksessä tarkoitetun automaattisen käsittelyn yhteydessä algoritmijärjestelmiä, joissa ne ennalta määritetyt kriteerit, joiden perusteella kyseinen käsittely on suoritettu ja joista ei voida saada selville selkeästi ja läpinäkyvästi niitä syitä, joiden perusteella kyseinen käsittely on tuottanut osuman, voisivat muuttua ilman ihmisen suorittamia toimia.

8)      Direktiivin 2016/681 12 artiklan 1 kohtaa, luettuna Euroopan unionin perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan mukaisesti, on tulkittava siten, että lentoliikenteen harjoittajien matkustajatietoyksiköille toimittamia PNR-tietoja voidaan säilyttää tietokannassa viisi vuotta siitä, kun ne on siirretty sen jäsenvaltion matkustajatietoyksikölle, jonka alueelle lento on saapunut tai jonka alueelta se on lähtenyt, kyseisen direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen etukäteisarvioinnin suorittamisen jälkeen vain siinä tapauksessa, että objektiivisin perustein voidaan osoittaa, että kyseisten tietojen ja terrorismin tai vakavan rikollisuuden torjunnan välillä on yhteys. PNR-tietojen yleistä ja erotuksetta tapahtuvaa säilyttämistä, kun tietoja ei ole anonymisoitu, voidaan pitää oikeutettuna ainoastaan tilanteessa, jossa jäsenvaltioiden turvallisuuteen kohdistuu vakava uhka, joka osoittautuu todelliseksi ja olemassa olevaksi tai ennakoitavissa olevaksi ja liittyy esimerkiksi terrorismiin, edellyttäen, että tämän säilyttämisen kesto rajoitetaan siihen, mikä on täysin välttämätöntä.

9)      Direktiivin 2016/681 6 artiklan 2 kohdan b alakohtaa on tulkittava siten, että kyseisen säännöksen mukaisen PNR-tietojen tai niiden käsittelyn tuloksen luovuttamisen, joka tapahtuu kyseisen direktiivin 12 artiklan 2 kohdassa säädetyn kuuden kuukauden ensivaiheen aikana, on täytettävä kyseisen direktiivin 12 artiklan 3 kohdan b alakohdassa säädetyt edellytykset.

10)      Direktiiviä 2016/681 ja erityisesti sen 1 artiklan 2 kohtaa ja 6 artiklaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa hyväksytään PNR-tietojen käsittelytarkoitukseksi tiedustelu- ja turvallisuuspalvelujen silmälläpitämän toiminnan seuranta, jos jäsenvaltion matkustajatietoyksikkö joutuu tällaisen käsittelytarkoituksen yhteydessä käsittelemään kyseisiä tietoja ja/tai siirtämään niitä tai niiden käsittelyn tuloksia tällaisille tahoille muita tarkoituksia varten kuin niissä tarkoituksissa, jotka luetellaan tyhjentävästi edellä mainitun direktiivin 1 artiklan 2 kohdassa, mikä kansallisen tuomioistuimen on tarkistettava.

11)      Direktiivin 2016/681 12 artiklan 3 kohdan b alakohtaa on tulkittava siten, että matkustajatietoyksikkö ei ole kyseisessä säännöksessä tarkoitettu muu toimivaltainen kansallinen viranomainen.

12)      Direktiivin 2004/82 3 artiklan 1 kohtaa, jonka mukaan jäsenvaltioiden on toteutettava tarvittavat toimenpiteet velvoittaakseen lentoliikenteen harjoittajat toimittamaan henkilöille ulkorajoilla suoritettavista tarkastuksista vastaavien viranomaisten pyynnöstä lähtöselvityksen päätyttyä tiedot kyseisen artiklan 2 kohdassa tarkoitetuista matkustajista, luettuna yhdessä kyseisen direktiivin 2 artiklan b ja d alakohdan kanssa, on tulkittava siten, että se koskee ainoastaan matkustajia, jotka kuljetetaan rajanylityspaikalle, joka on vahvistettu jäsenvaltioiden ja kolmansien maiden välisen ulkorajan ylityspaikaksi. Kansallinen lainsäädäntö, jolla tämä velvoite laajennetaan koskemaan asianomaisen jäsenvaltion sisärajat lentokoneella tai muulla kulkuneuvolla ylittävien henkilöiden tietoja ainoastaan rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi, on vastoin SEUT 67 artiklan 2 kohtaa ja henkilöiden liikkumista rajojen yli koskevasta unionin säännöstöstä 9.3.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/399 (Schengenin rajasäännöstö) 22 artiklaa.

13)      Kansallinen tuomioistuin ei voi soveltaa kansallisen lainsäädäntönsä säännöstä, jossa sille annetaan toimivalta rajoittaa ajallisesti sellaisen lainvastaisuutta koskevan toteamuksen vaikutuksia, joka sen on tehtävä kyseisen oikeuden nojalla, kun kyseessä on kansallinen lainsäädäntö, jossa lento-, maa- ja meriliikenteen harjoittajat sekä matkanjärjestäjät velvoitetaan terrorismin ja vakavan rikollisuuden torjumiseksi siirtämään PNR-tietoja ja säädetään näiden tietojen yleisestä ja erotuksetta tapahtuvasta käsittelystä ja säilyttämisestä vastoin perusoikeuskirjan 7 ja 8 artiklaa sekä 52 artiklan 1 kohtaa. Tehokkuusperiaatteen mukaisesti kansallisen rikostuomioistuimen on jätettävä huomiotta tiedot ja todisteet, jotka on hankittu soveltamalla tällaista unionin oikeuden vastaista lainsäädäntöä rikosprosessissa, joka on pantu vireille sellaisia henkilöitä vastaan, joiden epäillään syyllistyneen terrorismiin tai vakavaan rikollisuuteen, jos kyseiset henkilöt eivät voi tehokkaasti ilmaista käsitystään näistä tiedoista ja todisteista, jotka ovat peräisin alalta, jota tuomarit eivät tunne, ja jotka voivat vaikuttaa ratkaisevalla tavalla tosiseikkojen arviointiin.

1      Alkuperäinen kieli: ranska.

2      EUVL 2016, L 119, s. 1.

3      EUVL 2016, L 119, s. 132.

4      EUVL 2004, L 261, s. 24.

5      Moniteur belge, 25.1.2017, s. 12905.

6      PNR-direktiivin 3 artiklan 2 alakohdan mukaan ”EU:n ulkopuolisella lennolla” tarkoitetaan ”mitä tahansa lentoliikenteen harjoittajan reitti- tai tilauslentoa, joka lennetään kolmannesta maasta ja jonka on määrä laskeutua jäsenvaltion alueelle tai joka lentää jäsenvaltion alueelta ja jonka on määrä laskeutua kolmanteen maahan, mukaan lukien molemmissa tapauksissa lennot, joihin sisältyy välilasku jäsenvaltioiden tai kolmansien maiden alueella”.

7      PNR-direktiivin 3 artiklan 3 alakohdan mukaan ”EU:n sisäisellä lennolla” tarkoitetaan ”mitä tahansa lentoliikenteen harjoittajan reitti- tai tilauslentoa, joka lennetään jäsenvaltion alueelta ja jonka on määrä laskeutua yhden tai useamman muun jäsenvaltion alueelle ilman välilaskuja jonkin kolmannen maan alueelle”.

8      PNR-direktiivin 7 artiklan 1 kohdassa säädetään, että kunkin jäsenvaltion on laadittava luettelo toimivaltaisista viranomaisista, joilla on oikeus pyytää tai ottaa vastaan matkustajatietoyksiköltä PNR-tietoja tai näiden tietojen käsittelyn tuloksia tehdäkseen niitä koskevia lisätutkimuksia tai toteuttaakseen tarvittavat toimenpiteet terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten. Komissio julkaisi tämän luettelon vuonna 2018 (EUVL 2018, C 194, s. 1; oikaisu EUVL 2020, C 366, s. 55).

9      Rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta 27.11.2008 tehty neuvoston puitepäätös (EUVL 2008, L 350, s. 60).

10      EUVL 2016, L 119, s. 89. Puitepäätöksen 2008/977/YOS 25 artikla on korvattu poliisidirektiivin 41 artiklalla.

11      Ks. PNR-direktiivin 15 artiklan 2 kohta.

12      Ks. PNR-direktiivin 15 artiklan 3 kohdan a ja b alakohta.

13      Jäsenvaltioiden satamiin saapuvia ja/tai satamista lähteviä aluksia koskevista ilmoitusmuodollisuuksista ja direktiivin 2002/6/EY kumoamisesta 20.10.2010 annettu Euroopan parlamentin ja neuvoston direktiivi (EUVL 2010, L 283, s. 1).

14      Moniteur belge, 18.12.1998, s. 40312.

15      C-203/15 ja C-698/15, EU:C:2016:970; jäljempänä tuomio Tele2 Sverige.

16      EU:C:2017:592; jäljempänä lausunto 1/15.

17      Ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C-439/19, EU:C:2021:504, 61 kohta).

18      Yleisen tietosuoja-asetuksen 2 artiklan 1 kohdan mukaan ”tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa”.

19      Ks. tuomio 16.7.2020, Facebook Ireland ja Schrems (C-311/18, EU:C:2020:559, 84 kohta) ja tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C-439/19, EU:C:2021:504, 62 kohta).

20      Ks. vastaavasti tuomio 6.10.2020, Privacy International (C-623/17, EU:C:2020:790, jäljempänä tuomio Privacy International, 41 kohta oikeuskäytäntöviittauksineen). Yleisen tietosuoja-asetuksen 4 artiklan 2 kohdan mukaan ”käsittelyllä” tarkoitetaan ”toimintoa – – [joka] kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin – –, kuten – – tietojen luovuttamista siirtämällä”.

21      Ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C-439/19, EU:C:2021:504, 69 kohta). Poliisidirektiivin 3 artiklan 7 alakohdan a ja b alakohdan mukaan ”toimivaltaisella viranomaisella” tarkoitetaan ”a) kaikkia viranomaisia, joiden toimivalta kattaa rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvät syytetoimet tai rikosoikeudellisten seuraamusten täytäntöönpanon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy; tai b) kaikkia muita elimiä tai yksiköitä, joille on jäsenvaltion lainsäädännössä annettu tehtäväksi käyttää julkista valtaa tai valtuuksia” näitä samoja tarkoituksia varten.

22      Ennakkoratkaisupyynnöstä ei ilmene mitään tähän viittaavaa.

23      Tällaista toimijaa ei voida pitää myöskään yleisen tietosuoja-asetuksen 4 artiklan 8 alakohdassa tai poliisidirektiivin 3 artiklan 9 alakohdassa tarkoitettuna ”henkilötietojen käsittelijänä”, vaan kyseessä on pikemmin yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan toisessa virkkeessä tarkoitettu ”rekisterinpitäjä”. Yleisen tietosuoja-asetuksen 4 artiklan 8 alakohta ja poliisidirektiivin 3 artiklan 9 alakohta ovat sanamuodoltaan identtiset, ja niiden mukaan ”henkilötietojen käsittelijällä” tarkoitetaan ”luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun”. Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan ensimmäisen virkkeen mukaan ”rekisterinpitäjällä” tarkoitetaan ”luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka – – määrittelee – – käsittelyn tarkoitukset ja keinot”, ja kyseisen säännöksen toisessa virkkeessä täsmennetään, että ”jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti”.

24      Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi (EYVL 1995, L 281, s. 31). Tämä direktiivi on kumottu ja korvattu yleisellä tietosuoja-asetuksella, ks. kyseisen asetuksen 94 artikla.

25      C-317/04 ja C-318/04, EU:C:2006:346; jäljempänä tuomio parlamentti v. neuvosto. Kyseisen tuomion taustalla olleissa asioissa parlamentti oli vaatinut kumoamaan yhtäältä lentoyhtiöiden PNR-tietojen käsittelemistä ja siirtämistä Yhdysvaltojen sisäisen turvallisuuden ministeriön alaiselle tulli- ja rajavalvontalaitokselle koskevan Euroopan yhteisön ja Amerikan yhdysvaltojen välisen sopimuksen tekemisestä 17.5.2004 tehdyn neuvoston päätöksen 2004/496/EY (EUVL 2004, L 183, s. 83) ja toisaalta Yhdysvaltojen tulli- ja rajavartiolaitokselle toimitettavien lentomatkustajia koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta 14.5.2004 tehdyn komission päätöksen 2004/535/EY (EUVL 2004, L 235, s. 11).

26      Direktiivin 95/46 3 artiklan 2 kohdan ensimmäisen luetelmakohdan mukaan kyseistä direktiiviä ei sovellettu henkilötietojen käsittelyyn, ”joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa” (kursivointi tässä).

27      Ks. unionin tuomioistuimen tuomiossa parlamentti v. neuvosto soveltamasta teleologisesta ja kontekstuaalisesta lähestymistavasta julkisasiamies Campos Sánchez-Bordonan ratkaisuehdotus La Quadrature du Net ym. (yhdistetyt asiat C-511/18 ja C-512/18, EU:C:2020:6, 47 ja 62 kohta).

28      C-511/18, C-512/18 ja C-520/18, EU:C:2020:791; jäljempänä tuomio La Quadrature du Net.

29      Ks. tuomio La Quadrature du Net, 100–102 kohta.

30      Ks. vastaavasti tuomio Privacy International, 47 kohta.

31      C-207/16, EU:C:2018:788, jäljempänä tuomio Ministerio Fiscal, 34 kohta.

32      Ks. analogisesti tuomio Tele2 Sverige, 72–74 kohta, ja tuomio Ministerio Fiscal, 34 kohta. Näissä tuomioissa oli kyseessä henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (EYVL 2002, L 201, s. 37) 15 artiklan 1 kohdan ensimmäisen virkkeen tulkinta; kyseiseen virkkeeseen sisältyy vastaava rajoitus kuin yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan a–d alakohtaan.

33      Viittaaminen direktiivin 2002/58 15 artiklan 1 kohtaan oli perusteltua kyseisen direktiivin asiayhteydessä, kun huomioon otetaan kyseisen direktiivin 1 artiklan 3 kohdassa olevan poissulkemislausekkeen sanamuoto, jossa viitataan yleisesti ”valtion toimiin rikosoikeuden alalla”.

34      Ks. analogisesti tuomio Privacy International, 38 ja 39 kohta.

35      PNR-lain 7–10 luvussa ja 12 luvussa säädetyn mukainen käsittely.

36      Ks. vastaavasti tuomio La Quadrature du Net, 103 kohta, ja tuomio Privacy International, 48 kohta.

37      Ks. erityisesti tuomio La Quadrature du Net.

38      Ks. tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C-439/19, EU:C:2021:504, 66 kohta).

39      Ks. tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C-439/19, EU:C:2021:504).

40      Ks. tuomio La Quadrature du Net, 99 kohta oikeuskäytäntöviittauksineen.

41      Tällaisen tietojenkäsittelyn edellytyksistä säädetään PNR-lain 11 luvussa.

42      Ks. API-direktiivin johdanto-osan 8, 9 ja 12 perustelukappale sekä 6 artikla ja direktiivin 2010/65 8 artiklan 2 kohta.

43      API-direktiivin 6 artiklan 1 kohdan viimeisessä alakohdassa säädetään nimenomaisesti matkustajan ennakkotietojen (jäljempänä API-tiedot) käytöstä lainvalvontatarkoituksiin.

44      Ks. vastaavasti erityisesti tuomio 16.7.2020, Facebook Ireland ja Schrems (C-311/18, EU:C:2020:559, 170 kohta oikeuskäytäntöviittauksineen).

45      Ks. erityisesti tuomio 16.7.2020, Facebook Ireland ja Schrems (C-311/18, EU:C:2020:559, 172 kohta oikeuskäytäntöviittauksineen).

46      Ks. vastaavasti tuomio La Quadrature du Net, 122 kohta.

47      Ks. tuomio La Quadrature du Net, 123 kohta.

48      Ks. tuomio La Quadrature du Net, 124 kohta oikeuskäytäntöviittauksineen.

49      Ks. tuomio 18.6.2020, komissio v. Unkari (Järjestöjen avoimuus) (C-78/18, EU:C:2020:476, 122 kohta oikeuskäytäntöviittauksineen).

50      Ks. erityisesti Euroopan ihmisoikeustuomioistuimen tuomio 4.12.2015, Roman Zakharov v. Venäjä (CE:ECHR:2015:1204JUD004714306, 227 kohta); Euroopan ihmisoikeustuomioistuimen tuomio 18.5.2010, Kennedy v. Yhdistynyt kuningaskunta (CE:ECHR:2010:0518JUD002683905, 130 kohta) ja Euroopan ihmisoikeustuomioistuimen tuomio 25.5.2021, Centrum för Rättvisa v. Ruotsi (CE:ECHR:2021:0525JUD003525208, 246 kohta).

51      Ks. Euroopan ihmisoikeustuomioistuimen tuomio 4.12.2015, Roman Zakharov v. Venäjä (CE:ECHR:2015:1204JUD004714306, 228 kohta); Euroopan ihmisoikeustuomioistuimen tuomio 4.5.2000, Rotaru v. Romania (CE:ECHR:2000:0504JUD002834195, 52 kohta); Euroopan ihmisoikeustuomioistuimen tuomio 4.12.2008, S. ja Marper v. Yhdistynyt kuningaskunta (CE:ECHR:2008:1204JUD003056204, 95 kohta); Euroopan ihmisoikeustuomioistuimen tuomio 18.5.2021, Kennedy v. Yhdistynyt kuningaskunta (CE:ECHR:2010:0518JUD002683905, 151 kohta) ja Euroopan ihmisoikeustuomioistuimen tuomio 25.5.2021, Centrüm för Rättvisa v. Ruotsi (CE:ECHR:2021:0525JUD003525208, 246 kohta).

52      Ks. mm. tuomio 18.6.2020, komissio v. Unkari (C-78/18, EU:C:2020:476, 124 ja 126 kohta oikeuskäytäntöviittauksineen); ks. myös Euroopan ihmisoikeustuomioistuimen tuomio 4.5.2000, Rotaru v. Romania (CE:ECHR:2000:0504JUD00283419, 48 kohta); Euroopan ihmisoikeustuomioistuimen tuomio 26.3.1987, Leander v. Ruotsi (CE:ECHR:1987:0326JUD000924881, 46 kohta) ja Euroopan ihmisoikeustuomioistuimen tuomio 29.6.2006, Weber ja Saravia v. Saksa (CE:ECHR:2006:0629DEC005493400, 79 kohta).

53      Ks. mm. tuomio Ministerio Fiscal, 51 kohta oikeuskäytäntöviittauksineen.

54      Ks. mm. tuomio 18.6.2020, komissio v. Unkari (C-78/18, EU:C:2020:476, 126 kohta) ja tuomio Ministerio Fiscal, 51 kohta oikeuskäytäntöviittauksineen.

55      Ks. tuomio 8.4.2014, Digital Rights Ireland ym. (C-293/12 ja C-594/12, EU:C:2014:238, jäljempänä tuomio Digital Rights, 34 kohta).

56      Ks. lausunto 1/15, 121–123 kohta.

57      Ks. analogisesti tuomio Privacy International, 79 ja 80 kohta oikeuskäytäntöviittauksineen.

58      Ks. PNR-direktiivin 2 artiklan 1–3 kohta.

59      Ks. PNR-direktiivin 2 artiklan 3 kohta.

60      Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 1 ja 2 artiklan mukaisesti Tanska ei osallistu PNR-direktiivin hyväksymiseen, PNR-direktiivi ei sido Tanskaa eikä sitä sovelleta Tanskaan (ks. PNR-direktiivin johdanto-osan 40 perustelukappale). Tanskan hallituksen esittämistä kirjallisista huomautuksista ilmenee kuitenkin, että Tanskan kuningaskunta antoi vuonna 2018 PNR-tietojen keräämistä, käyttöä ja säilyttämistä koskevan lain, jonka säännökset vastaavat suurelta osin PNR-direktiivin säännöksiä. PNR-direktiivin johdanto-osan 39 perustelukappaleesta ilmenee puolestaan, että Irlanti on ilmoittanut haluavansa osallistua kyseisen direktiivin hyväksymiseen ja soveltamiseen EU- ja EUT-sopimuksiin liitetyssä Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyssä pöytäkirjassa N:o 21 olevan 3 artiklan mukaisesti.

61      Komissio on julkaissut päivitetyn luettelon jäsenvaltioista, jotka ovat päättäneet soveltaa PNR-direktiiviä kyseisen direktiivin 2 artiklassa tarkoitettuihin EU:n sisäisiin lentoihin (EUVL 2020, C 358, s. 7); luetteloa on oikaistu syyskuussa 2021 lisäämällä siihen Slovenia ja poistamalla maininta Yhdistyneestä kuningaskunnasta (EUVL 2021, C 360, s. 8). Irlanti ja Itävalta eivät sisälly tähän luetteloon. PNR-direktiivin uudelleentarkastelusta 24.7.2020 annetussa komission kertomuksessa Euroopan parlamentille ja neuvostolle (COM(2020) 305 final, s. 11; jäljempänä vuoden 2020 komission kertomus) mainitaan, että kaikki jäsenvaltiot yhtä lukuun ottamatta ovat laajentaneet PNR-tietojen keräämisen EU:n sisäisiin lentoihin.

62      Ks. erityisesti liitteessä I olevat 4 ja 18 kohta, jotka koskevat nimeä, sukupuolta, syntymäaikaa, kansalaisuutta ja matkustajan henkilöllisyystodistuksia.

63      Ks. erityisesti PNR-direktiivin liitteessä I olevat 2, 3, 7, 13 ja 18 kohta, joissa mainitaan muun muassa lennon numero, lähtö- ja saapumiskenttä sekä lähtö- ja saapumispäivä ja ‑aika.

64      Ks. liitteessä I olevat 5, 6, 9, 12 ja 16 kohta.

65      Ks. vastaavasti lausunto 1/15, 131 kohta.

66      SWD(2020) 128 final.

67      Vuoden 2020 valmisteluasiakirjassa (s. 28 ja alaviite 55) mainitaan, että vuoden 2019 positiivisten osumien osuus oli 0,59 prosenttia ja näistä vain 0,11 prosenttia siirrettiin toimivaltaisille viranomaisille. Vuonna 2018 vastaavat prosentuaaliset osuudet olivat 0,25 prosenttia ja 0,04 prosenttia.

68      Ks. lausunto 1/15, 132 kohta.

69      PNR-direktiivillä käyttöön otettu järjestelmä saattoi kattaa ennen pandemiaa jopa miljardi matkustajaa vuodessa; tiedot saatavilla osoitteessa https://ec.europa.eu/eurostat/databrowser/view/ttr00012/default/table?lang=fr.

70      Tarkoitan kaikkia henkilöitä, jotka vastaavat PNR-direktiivin 3 artiklan 4 alakohdassa annetun määritelmän mukaista matkustajan käsitettä ja jotka matkustavat ”EU:n ulkopuolisella lennolla” ja tosiasiallisesti myös ”EU:n sisäisellä lennolla”.

71      Euroopan neuvoston Demokratiaa oikeusteitse ‑komission (Venetsian komissio) vuonna 2015 julkaisemassa tutkimuksessa tällaisten toimenpiteiden katsotaan kuuluvan strategisen valvonnan käsitteen alaan ja seuraavan yleistä suuntausta harjoittaa ennakoivaa väestönvalvontaa, ks. Venetsian komission 102. täysistunnossa (Venetsia, 20. ja 21.3.2015) hyväksymä tutkimus Mise à jour du rapport de 2007 sur le contrôle démocratique des services de sécurité et rapport sur le contrôle démocratique des agences de collecte de renseignements d’origine électromagnétique, 61 kohta; saatavilla osoitteessa https://www.venice.coe.int/webforms/documents/?pdf=CDL-AD(2015)006-f.

72      Ks. Euroopan ihmisoikeussopimuksen 8 artiklasta Euroopan ihmisoikeustuomioistuimen tuomio 25.5.2021, Big Brother Watch ym. v. Yhdistynyt kuningaskunta (CE:ECHR:2021:0525JUD005817013, jäljempänä tuomio Big Brother Watch, 325 kohta), jossa Euroopan ihmisoikeustuomioistuin toteaa joukkosalakuuntelusta, että kyseisillä toimenpiteillä puututaan yksityiselämän kunnioittamista koskevan oikeuden käyttämiseen sitä enemmän, mitä pidemmälle prosessi etenee eri vaiheissaan, joita ovat viestin ja siihen liittyvien tietojen sieppaaminen ja alkuvaiheen säilytys, valintatoimintoja soveltamalla tapahtuva automaattinen käsittely, analyytikkojen suorittama tutkiminen ja tätä seuraava tietojen säilyttäminen sekä ”lopputuotteen” käyttäminen.

73      Ks. vastaavasti PNR-direktiivin johdanto-osan kuudes ja seitsemäs perustelukappale; ks. perusteellisempi analyysi käsittelyn tarkoituksesta sekä yksityisyyden ja henkilötietojen suojaan kohdistuvista vaikutuksista D. Korffin M. Georgesin avustuksella laatima selvitys Passenger Name Records (PNR), data mining and data protection: the need for strong safeguards joka on saatavilla osoitteessa https://rm.coe.int/16806a601b (jäljempänä Korffin selvitys).

74      Kuten Korffin selvityksessä todetaan, ”PNR is not an isolated issue, but a new symptom of a much wider disease”.

75      Ks. mm. Euroopan ihmisoikeustuomioistuimen tuomio 8.6.2006, Lupsa v. Romania (CE:ECHR:2006:0608JUD001033704, 32 ja 33 kohta) ja tuomio 15.12.2020, Piskìn v. Turkki (CE:ECHR:2020:1215JUD003339918, 206 kohta); ks. myös tuomio Big Brother Watch, 333 kohta. Ks. tarpeesta tulkita perusoikeuskirjan 52 artiklan 1 kohdassa olevaa ilmausta ”rajoittaa lailla” samalla tavalla kuin Euroopan ihmisoikeustuomioistuin julkisasiamies Watheletin ratkaisuehdotus WebMindLicenses (C-419/14, EU:C:2015:606, 134–143 kohta).

76      Ks. mm. tuomio 16.7.2020, Facebook Ireland ja Schrems (C-311/18, EU:C:2020:559, 175 kohta); tuomio 8.9.2020, Recorded Artists Actors Performers (C-265/19, EU:C:2020:677, 86 kohta oikeuskäytäntöviittauksineen) ja tuomio Privacy International, 65 kohta.

77      Ks. viimeksi tuomio Big Brother Watch, 333 kohta.

78      Ks. tuomio 17.12.2015, WebMindLicenses (C-419/14, EU:C:2015:832, 81 kohta); ks. myös Euroopan ihmisoikeustuomioistuimen tuomio 1.7.2008, Liberty ym. v. Yhdistynyt kuningaskunta (CE:ECHR:2008:0701JUD005824300, 69 kohta) sekä tuomio Big Brother Watch, 333 kohta.

79      Euroopan neuvoston yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä, joka hyväksyttiin Strasbourgissa 28.1.1981 ja jonka kaikki jäsenvaltiot ovat ratifioineet, tunnetaan paremmin nimellä yleissopimus N:o 108. Vuonna 2018 laadittiin pöytäkirja sopimuksen nykyaikaistamiseksi. Jäsenvaltioille annettiin 9.4.2019 annetulla neuvoston päätöksellä (EU) 2019/682 (EUVL 2019, L 115, s. 7) lupa ratifioida kyseinen muutospöytäkirja toimien yhdessä unionin etujen mukaisesti siltä osin kuin sen määräykset kuuluvat unionin yksinomaiseen toimivaltaan. Viittaan jäljempänä tässä ratkaisuehdotuksessa myös nykyaikaistetun yleissopimuksen N:o 108 tekstiin, jota kaikki jäsenvaltiot eivät ole vielä ratifioineet ja joka ei ole vielä tullut voimaan; kuten päätöksestä 2019/682 ilmenee, siinä määrätään kuitenkin samoihin periaatteisiin perustuvista suojatoimista kuin ne, joista on säädetty yleisessä tietosuoja-asetuksessa ja poliisidirektiivissä.

80      Saatavilla osoitteessa https://rm.coe.int/t-pd-2016-18rev-avis-pnr-fr/16807b6c09, s. 3 ja 5. Yleissopimuksen N:o 108 muutospöytäkirjaan liitetyissä perusteluissa (jäljempänä nykyaikaistetun yleissopimuksen N:o 108 perustelut) korostetaan myös edellytystä, jonka mukaan yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin oikeuksiin puuttumisesta säätävän toimenpiteen olisi oltava avoin, ennakoitavissa, riittävän yksityiskohtainen ja selkeästi laadittu; ks. kyseisten perustelujen 91 kohta, saatavilla osoitteessa https://rm.coe.int/convention-108-convention-pour-la-protection-des-personnes-a-l-egard-d/16808b3726.

81      Ks. a contrario sensu tuomio 3.12.2019, Tšekin tasavalta v. parlamentti ja neuvosto (C-482/17, EU:C:2019:1035, 135 kohta).

82      Ks. mm. tuomio La Quadrature du Net, 132 kohta oikeuskäytäntöviittauksineen; ks. myös Euroopan ihmisoikeustuomioistuimen tuomio Big Brother Watch, 334 kohta.

83      Ks. tästä Tridimas, T., Gentile, G., ”The essence of Rights: an unreliable Boundary?”, German Law Journal, 2019, s. 796; Lenaerts, K., ”Limits on limitations: The Essence of Fundamental Rights in the EU”, German Law Journal, 2019, 20, s. 779 ja sitä seuraavat sivut.

84      Euroopan ihmisoikeustuomioistuimen 24.10.1979 antamasta tuomiosta Winterwerp v. Alankomaat (CE:ECHR:1979:1024JUD000630173, 60 kohta) lähtien.

85      Ks. perusoikeuskirjan selitykset (EUVL 2007, C 303, s. 17, jäljempänä perusoikeuskirjan selitykset, erityisesti selitys 52 artiklaan, s. 32).

86      Ks. vastaavasti jo erityisesti tuomio 14.5.1974, Nold v. komissio (4/73, EU:C:1974:51, 14 kohta) ja tuomio 13.12.1979, Hauer (44/79, EU:C:1979:290, 23 kohta).

87      C-362/14, EU:C:2015:650, jäljempänä tuomio Schrems I, 94–98 kohta.

88      Ks. em. teos Lenaerts, K., s. 781 ja em. teos Tridimas, T., Gentile, G., s. 803.

89      Perusoikeuskirjan selityksissä myönnetään nimenomaisesti, että ”ihmisarvo kuuluu – – perusoikeuskirjassa vahvistettuihin olennaisiin oikeuksiin” ja että ”näin ollen sitä ei saa loukata myöskään silloin, kun jotain oikeutta rajoitetaan”.

90      Viittaan tältä osin näkemyksiin, jotka sisältyvät tuomion Big Brother Watch yhteydessä esitettyyn tuomari Lemmensin, tuomari Vehabovićin ja tuomari Bošniakin yhteisen osittain yhtenevän lausunnon 3–10 kohtaan.

91      Yleisesti saatavilla olevien sähköisten viestintäpalvelujen tai yleisten viestintäverkkojen yhteydessä tuotettavien tai käsiteltävien tietojen säilyttämisestä ja direktiivin 2002/58/EY muuttamisesta 15.3.2006 annettu Euroopan parlamentin ja neuvoston direktiivi (EUVL 2006, L 105, s. 54).

92      Ks. tuomio Digital Rights, 39 kohta; ks. myös direktiivistä 2002/58 tuomio Tele2 Sverige, 101 kohta.

93      Ks. lausunto 1/15, 150 kohta.

94      Ks. vastaavasti erityisesti tuomio Digital Rights, 40 kohta.

95      Ks. vastaavasti lausunto 1/15, 128 kohta.

96      Ks. lausunto 1/15, 164 ja 165 kohta.

97      Ks. lausunto 1/15, 150 kohta.

98      Ks. erityisesti PNR-direktiivin johdanto-osan 5, 6, 15 ja 22 perustelukappale.

99      2.2.2011 annettu komission ehdotus direktiiviksi matkustajarekisteritietojen käytöstä terrorismirikosten ja vakavan rikollisuuden ehkäisemistä, paljastamista, tutkimista ja syytteeseenpanoa varten (KOM(2011) 32 lopullinen, s. 4).

100      Yksinkertaisuuden vuoksi tässä ratkaisuehdotuksessa käytetään termiä ”lainvalvontaviranomaiset” siinä merkityksessä, että sillä tarkoitetaan yleisesti kaikkia viranomaisia, joilla on toimivaltaa PNR-direktiivin soveltamisalaan kuuluvien terrorismin tai vakavan rikollisuuden paljastamisen, ennalta estämisen, niihin liittyvien syytetoimien tai tutkinnan alalla.

101      Ks. PNR-direktiivin johdanto-osan seitsemäs perustelukappale. Ks. myös ehdotus PNR-direktiiviksi, s. 5.

102      Ks. vastaavasti lausunto 1/15 sekä tuomio 2.3.2021, Prokuratuur (Sähköiseen viestintään liittyvien tietojen saantia koskevat edellytykset) (C-746/18, EU:C:2021:152, jäljempänä tuomio Prokuratuur, 33 kohta oikeuskäytäntöviittauksineen).

103      Ks. vastaavasti lausunto 1/15, 149 kohta oikeuskäytäntöviittauksineen ja tuomio La Quadrature du Net.

104      Ks. jäljempänä esitetty oikeuksiin puuttumisen oikeasuhteisuutta koskeva arviointi.

105      Ks. tuomio La Quadrature du Net, 125 kohta.

106      Ks. tuomio La Quadrature du Net, 126 kohta oikeuskäytäntöviittauksineen.

107      Ks. tuomio La Quadrature du Net, 136 kohta.

108      Ks. tuomio Digital Rights, 46 kohta oikeuskäytäntöviittauksineen.

109      Ks. lausunto 1/15, 140 kohta ja tuomio La Quadrature du Net, 130 kohta oikeuskäytäntöviittauksineen. Myös yleissopimuksen N:o 108 5 artiklaan sisältyy edellytys, jonka mukaan henkilötietojen käsittelyn on oltava kaikissa vaiheissaan ”oikeudenmukaisessa tasapainossa toisaalta kaikkien asiaan liittyvien julkisten tai yksityisten etujen ja toisaalta suojattavien oikeuksien ja vapauksien välillä”.

110      Ks. vastaavasti tuomio 2.10.2018, Ministerio Fiscal (C-207/16, EU:C:2018:788, 55 kohta oikeuskäytäntöviittauksineen) sekä tuomio La Quadrature du Net, 131 kohta ja tuomio Prokuratuur, 32 kohta.

111      Ks. vastaavasti tuomio Digital Rights, 54 kohta; tuomio Schrems I, 91 kohta ja lausunto 1/15, 141 kohta.

112      Ks. lausunto 1/15, 141 kohta oikeuskäytäntöviittauksineen.

113      Ks. vastaavasti tuomio Digital Rights, 48 kohta.

114      Ks. vastaavasti edellä tämän ratkaisuehdotuksen 201–203 kohta.

115      Viittaan tältä osin vuoden 2020 valmisteluasiakirjan tietoihin.

116      Ks. vastaavasti 19.8.2016 annettu lausunto, s. 5.

117      Ks. PNR-direktiivillä käyttöön otetun järjestelmän tehokkuuden arvioinnissa käytettävien tilastojen tärkeydestä erityisesti 14.6.2011 annettu Euroopan unionin perusoikeusviraston lausunto 1/2011 ehdotuksesta PNR-direktiiviksi, 21.2.1 kohta (jäljempänä perusoikeusviraston lausunto 1/2011); saatavilla osoitteessa https://fra.europa.eu/sites/default/files/fra_uploads/1786-FRA-PNR-Opinion-2011_FR.pdf.

118      Verwaltungsgericht Wiesbaden (Wiesbadenin hallintotuomioistuin, Saksa) on sen sijaan esittänyt tämän kysymyksen selkeästi vireillä olevassa asiassa C-215/20.

119      Komissiota pyydettiin esittämään tästä huomautuksensa kirjallisesti vastattavan kysymyksen yhteydessä. Muut asianomaiset osapuolet pystyivät ottamaan tähän kantaa istunnossa.

120      Ks. edellä tämän ratkaisuehdotuksen 107 kohdan loppuosa.

121      Terrorismin torjumisesta sekä neuvoston puitepäätöksen 2002/475/YOS korvaamisesta sekä neuvoston päätöksen 2005/671/YOS muuttamisesta 15.3.2017 annettu Euroopan parlamentin ja neuvoston direktiivi (EUVL 2017, L 88, s. 6).

122      Tuon tältä osin esille, että käsite ”kansainvälinen rikos”, sellaisena kuin se määritellään esimerkiksi suunnitellussa Kanada–EU-PNR-sopimuksessa, on riittävän laaja niin, että se voi kattaa myös yhdessä ainoassa maassa tehdyt rikokset ja rikokset, joiden tekijä ”on toisessa maassa tai aikoo matkustaa toiseen maahan”; ks. lausunnon 1/15 30 kohdassa toistetun suunnitellun Kanada–EU-PNR-sopimuksen 3 artiklan 3 kohdan e alakohta. Huomautan samoin, että perusoikeusvirasto ehdotti lausunnossaan 1/2011 (2.2.3.1 ja 3.7 kohta), että unionin PNR-järjestelmä rajattaisiin koskemaan vain vakavia kansainvälisiä rikoksia. Ehdotuksessa PNR-direktiiviksi kaavailtiin sen sijaan kansainvälisten rikosten ja muiden kuin tällaisten rikosten osalta toisistaan erillistä automaattista käsittelyä (ks. kyseisen ehdotuksen 4 artiklan 2 kohdan a alakohta).

123      Tuon lisäksi esille, että osa liitteessä II tarkoitetuista rikoksista kuuluu rikollisuuden aloihin, joita luonnehditaan SEUT 83 artiklan 1 kohdan ensimmäisessä alakohdassa ”erityisen vakaviksi” ja jotka luetellaan kyseisen kohdan toisessa alakohdassa. Näitä ovat muun muassa ihmiskauppa, lasten seksuaalinen hyväksikäyttö, laiton huumausainekauppa, laiton asekauppa, rahanpesu, lahjonta, maksuvälineiden väärentäminen, tietokonerikollisuus ja järjestäytynyt rikollisuus. Unionin lainsäätäjä on antanut useilla näistä aloista SEUT 83 artiklan 1 kohdan nojalla direktiivejä, joissa säädetään ”rikosten ja seuraamusten määrittelyä koskevista vähimmäissäännöistä”; ks. erityisesti ihmiskaupan ehkäisemisestä ja torjumisesta sekä ihmiskaupan uhrien suojelemisesta ja neuvoston puitepäätöksen 2002/629/YOS korvaamisesta 5.4.2011 annettu Euroopan parlamentin ja neuvoston direktiivi 2011/36/EU (EUVL 2011, L 101, s. 1); lasten seksuaalisen hyväksikäytön ja seksuaalisen riiston sekä lapsipornografian torjumisesta ja neuvoston puitepäätöksen 2004/68/YOS korvaamisesta 13.12.2011 annettu Euroopan parlamentin ja neuvoston direktiivi 2011/93/EU (EUVL 2011, L 335, s. 1); tietojärjestelmiin kohdistuvista hyökkäyksistä ja neuvoston puitepäätöksen 2005/222/YOS korvaamisesta 12.8.2013 annettu Euroopan parlamentin ja neuvoston direktiivi 2013/40/EU (EUVL 2013, L 218, s. 8); muihin maksuvälineisiin kuin käteisrahaan liittyvien petosten ja väärennysten torjunnasta ja neuvoston puitepäätöksen 2001/413/YOS korvaamisesta 17.4.2019 annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2019/713 (EUVL 2019, L 123, s. 18); unionin taloudellisiin etuihin kohdistuvien petosten torjunnasta rikosoikeudellisin keinoin 5.7.2017 annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2017/1371 (EUVL 2017, L 198, s. 29) ja rahanpesun torjumisesta rikosoikeudellisin keinoin 23.10.2018 annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/1673 (EUVL 2018, L 284, s. 22).

124      Tuon kuitenkin esille, että teollisuusvakoilua lukuun ottamatta kaikki liitteessä I mainitut rikokset sisältyvät eurooppalaisesta pidätysmääräyksestä ja jäsenvaltioiden välisistä luovuttamismenettelyistä 13.6.2002 tehdyn neuvoston puitepäätöksen 2002/584/YOS (EYVL 2002, L 190, s. 1) 2 artiklan 2 kohtaan. Vaikka niitä ei luokitella nimenomaisesti vakaviksi, ne ovat kuitenkin eurooppalaiseen pidätysmääräykseen pohjautuva luovuttamisperuste teon kaksoisrangaistavuutta tutkimatta, jos ne yltävät samaan, PNR-direktiivin 3 artiklan 9 alakohdan mukaiseen vapaudenmenetyksen käsittävää rangaistusta koskevaan kynnysarvoon. Lähes kaikki näistä rikoksista, lukuun ottamatta tuhotyötä, ilma-aluksen kaappausta ja teollisuusvakoilua, sisältyvät myös Euroopan unionin rikosoikeudellisen yhteistyön virastosta (Eurojust) ja neuvoston päätöksen 2002/187/YOS korvaamisesta ja kumoamisesta 14.11.2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1727 (EUVL 2018, L 295, s. 138) liitteeseen I, jossa luetellaan Eurojustin toimivaltaan kuuluvat vakavan rikollisuuden muodot.

125      Tällaisia ovat erityisesti 7, 8, 10 ja 16 kohta.

126      Tämä koskee esimerkiksi petoksia (7 kohta), lahjontaa (6 kohta), tietoverkkorikollisuutta (9 kohta) ja ympäristörikollisuutta (10 kohta). Vireillä olevassa asiassa C-215/20 Verwaltungsgericht Wiesbaden (Wiesbadenin hallintotuomioistuin) pohtii erityisesti petoksia.

127      Kyseisen direktiivin 9 artiklassa täsmennetään lisäksi kyseisistä rikoksista määrättävän vankeusrangaistuksen enimmäiskeston vähimmäiskynnysarvo, joka on vain tietyissä olosuhteissa kolme vuotta.

128      19.11.2008 annettu parlamentin ja neuvoston direktiivi (EUVL 2008, L 328, s. 28).

129      Laittomassa maahantulossa, kauttakulussa ja maassa oleskelussa avustamisen määrittelystä 28.11.2002 annettu neuvoston direktiivi (EYVL 2002, L 328, s. 17).

130      Rikosoikeudellisten puitteiden vahvistamisesta laittomassa maahantulossa, kauttakulussa ja maassa oleskelussa avustamisen ehkäisemistä varten 28.11.2002 tehty neuvoston puitepäätös (EYVL 2002, L 328, s. 1).

131      Lahjonnan torjumisesta yksityisellä sektorilla 22.7.2003 tehty neuvoston puitepäätös (EUVL 2003, L 192, s. 54).

132      Järjestäytyneen rikollisuuden torjunnasta 24.10.2008 tehty neuvoston puitepäätös (EUVL 2008, L 300, s. 42).

133      Ks. erityisesti PNR-direktiivin johdanto-osan 7 ja 22 perustelukappale.

134      Ks. PNR-direktiivin johdanto-osan 35 perustelukappale.

135      Ks. analogisesti tuomio 16.12.2008, Arcelor Atlantique ja Lorraine ym. (C-127/07, EU:C:2008:728, 61 ja 62 kohta) ja tuomio 17.10.2013, Schaible (C-101/12, EU:C:2013:661, 91 ja 94 kohta).

136      Ks. ICAO:n pääsihteerin hyväksymä ja hänen suostumuksellaan julkaistu asiakirja 9944. Asiakirjan ranskankielinen versio on saatavilla osoitteessa https://www.icao.int/Security/FAL/ANNEX9/Documents/9944_cons_fr.pdf. Chicagossa 7.12.1994 allekirjoitetun kansainvälisen siviili-ilmailun yleissopimuksen (jäljempänä Chicagon sopimus) liitteessä 9 (Maahantulon helpottaminen) olevan 9.22 kohdan mukaan PNR-tietoja vaativien kyseisen yleissopimuksen sopimusvaltioiden on mukautettava tietovaatimuksensa ja kyseisten tietojen käsittely kyseisten suuntaviivojen mukaisiksi.

137      Ks. vastaavasti lausunto 1/15, 160 kohta.

138      Ks. ICAO:n suuntaviivojen 2.1.2 ja 2.1.5 kohta.

139      PNR-direktiivin ainoa viittaus ICAO:n suuntaviivoihin sisältyy sen johdanto-osan 17 perustelukappaleeseen, ja se koskee ainoastaan tuettuja tietomuotoja, ”joita lentoliikenteen harjoittajien on käytettävä PNR-tietojen toimittamisessa jäsenvaltioille”.

140      Kyseisten suuntaviivojen 2.1.5 kohdassa mainitaan ”lisätiedot” tai ”pyydettyihin palveluihin liittyvät tiedot”, jotka voivat koskea esimerkiksi ”lääketieteelliseen hoitoon tai erityisruokavalioon liittyviä pyyntöjä, ’yksin matkustavia alaikäisiä’ tai avustamispyyntöjä”. Niiden 2.1.6 kohdassa täsmennetään puolestaan, että ”yleisten huomautusten” kenttä voi sisältää myös ”tiettyjä tietoja, kuten lentoliikenteen harjoittajan henkilökunnan ja matkatoimistovirkailijoiden välistä tai sisäistä kirjeen- tai viestienvaihtoa”.

141      Ks. ICAO:n suuntaviivojen 2.1.5 ja 2.1.6 kohta.

142      Ks. tuomio 17.10.2013, Schwarz (C-291/12, EU:C:2013:670, 32 kohta), jossa passinhakijan oli annettava sormenjäljet saadakseen asiakirjan, jonka avulla hän voi matkustaa kolmanteen maahan.

143      Palaan tähän tietojen ryhmään jäljempänä tässä ratkaisuehdotuksessa.

144      Perusoikeusvirasto on todennut vastaavaa lausunnossaan 1/2011, s. 13. Euroopan tietosuojavaltuutettu on ehdottanut 25.3.2011 antamansa ehdotusta PNR-direktiiviksi koskevan lausunnon (saatavilla osoitteessa https://edps.europa.eu/sites/edp/files/publication/11-03-25_pnr_en.pdf; jäljempänä 25.3.2011 annettu Euroopan tietosuojavaltuutetun lausunto) 47 kohdassa, että otsikko ”Yleiset huomautukset” olisi poistettava liitteessä I olevasta luettelosta.

145      Ks. erityisesti tuomio 19.11.2009, Sturgeon ym. (C-402/07 ja C-432/07, EU:C:2009:716, 47 kohta oikeuskäytäntöviittauksineen); tuomio 19.9.2013, Uudelleenkäsittely komissio v. Strack (C-579/12 RX-II, EU:C:2013:570, 40 kohta) ja tuomio 14.5.2019, M ym. (Pakolaisaseman peruuttaminen) (C-391/16, C-77/17 ja C-78/17, EU:C:2019:403, 77 kohta oikeuskäytäntöviittauksineen).

146      Ks. erityisesti PNR-direktiivin johdanto-osan 5, 7, 11, 15, 16, 20, 22, 23, 25, 27, 28, 31, 36 ja 37 perustelukappale.

147      Ks. tuomio 26.6.2007, Ordre des barreaux francophones et germanophone ym. (C-305/05, EU:C:2007:383, 28 kohta) ja tuomio 14.5.2019, M ym. (Pakolaisaseman peruuttaminen) (C-391/16, C-77/17 ja C-78/17, EU:C:2019:403, 77 kohta).

148      Tässä yhteydessä merkityksellisiltä osin johdanto-osan yhdeksännessä perustelukappaleessa todetaan, että ”PNR-tietojen käyttö yhdessä API-tietojen käytön kanssa tuo lisäarvoa auttamalla jäsenvaltioita yksilön henkilöllisyyden tarkistamisessa, mikä vahvistaa tarkistuksen tuloksen arvoa lainvalvonnan kannalta ja minimoi viattomien henkilöiden tarkastukset ja tutkimisen”.

149      Ks. vastaavasti myös ehdotus PNR-direktiiviksi, s. 7, 1 kohta. Nämä samat tiedot sisältyvät Maailman tullijärjestön (WCO), Kansainvälisen lentokuljetusliiton (IATA) ja ICAO:n laatimien, matkustajien ennakkotietoja koskevien suuntaviivojen (saatavilla osoitteessa http://www.wcoomd.org/~/media/wco/public/fr/pdf/topics/facilitation/instruments-and-tools/tools/api-guidelines-and-pnr-doc/api-guidelines-_f.pdf?db=web; jäljempänä matkustajatietoja koskevat suuntaviivat) 8.1.5 kohdan a alakohtaan ”keskeisinä tietoina, jotka voivat sisältyä virallisten matkustusasiakirjojen koneellisesti luettavaan osaan”.

150      API-direktiivin 3 artiklan 2 kohdan sanamuoto on seuraava: ”Edellä mainittuihin tietoihin on sisällyttävä: käytetyn matkustusasiakirjan numero ja tyyppi, kansalaisuus, koko nimi, syntymäaika, rajanylityspaikka, jonka kautta henkilö saapuu jäsenvaltion alueelle, kuljetuksen koodi, kuljetuksen lähtö- ja saapumisaika, asianomaisella kuljetuksella kuljetettujen henkilöiden kokonaismäärä, alkuperäinen lähtöpaikka.” Korostan, että komissio kaavailee API-direktiivin päivittämistä vuoden 2022 työohjelmassaan (COM(2021) 645 final, s. 9). Se julkaisi syyskuussa 2020 kyseistä direktiiviä koskevan arvioinnin direktiivin tulevan tarkistamisen pohjaksi (SWD(2020) 174 final, jäljempänä API-direktiiviä koskeva vuoden 2020 valmisteluasiakirja). Komissio korostaa kyseisessä asiakirjassa erityisesti sitä, että API-direktiivin 3 artiklan 2 kohtaan sisältyvä tietojen luettelo ei vastaa API-tietoja koskevia kansainvälisiä standardeja etenkään siksi, etteivät siihen sisälly kaikki henkilöllisyysasiakirjan koneellisesti luettavassa osassa olevat tiedot (ks. erityisesti s. 48).

151      Ks. matkustajatietoja koskevat suuntaviivat, 8.1.5 kohdan b ja c alakohta.

152      Lausunnon 1/15 161 kohdassa esitetään analoginen tulkinta vastaavasta suunniteltuun Kanada–EU-PNR-sopimukseen sisältyvästä otsikosta.

153      Tuon esille, että unionin tuomioistuimen käsiteltävänä on parhaillaan useita ennakkoratkaisukysymyksiä, jotka koskevat nimenomaan useiden liitteessä I olevien kohtien, erityisesti 4, 8, 12 ja 18 kohdan, riittävää täsmällisyyttä (ks. vireillä oleva asia C-215/20).

154      Ks. lausunto 1/15, 158 kohta.

155      Huomautan, että matkatoimistoa tai matkatoimistovirkailijaa koskevat tiedot mainitaan jo liitteessä I olevassa 5 kohdassa.

156      Ks. PNR-direktiivin 3 artiklan 5 alakohdassa annettu PNR-tietojen määritelmä.

157      Ks. vastaavasti myös julkisasiamies Mengozzin ratkaisuehdotus lausunto 1/15 (Kanada–EU-PNR-sopimus) (EU:C:2016:656, 218 kohta).

158      Ks. ICAO:n suuntaviivojen liitteessä I oleva vastaava otsikko.

159      Ks. vastaavasti erityisesti tuomio Digital Rights, 57 kohta. Ks. vaatimuksesta, jonka mukaan tietojen saantia koskevassa toimenpiteessä tarkoitetut tietoryhmät on rajattava siihen, mikä on täysin välttämätöntä tavoitellun päämäärän kannalta, viimeksi tuomio Prokuratuur, 38 kohta. Tietojen minimoinnin periaatteesta on säädetty muiden muassa yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa ja poliisidirektiivin 4 artiklan 1 kohdan c alakohdassa.

160      Ks. erityisesti Euroopan ihmisoikeustuomioistuimen tuomio 18.4.2013, M. K. v. Ranska (CE:ECHR:2013:0418JUD001952209, 35 kohta).

161      Ks. vuoden 1981 yleissopimusta N:o 108 koskeva selitysmuistio (saatavilla osoitteessa https://rm.coe.int/16800ca471), 5 artiklan 40 kohta, sekä nykyaikaistettua yleissopimusta N:o 108 koskeva selitysmuistio, 5 artiklan 51 kohta.

162      Ks. edellä tämän ratkaisuehdotuksen 154–158 ja 162–164 kohta.

163      Ks. edellä tämän ratkaisuehdotuksen 133–153 kohta.

164      Lapsen oikeus yksityiselämänsä kunnioittamiseen vahvistetaan erityisesti lapsen oikeuksista 20.11.1989 tehdyn ja 2.9.1990 voimaan tulleen New Yorkin yleissopimuksen 16 artiklassa.

165      Ks. ICAO:n suuntaviivojen 2.7.3 kohta.

166      Ks. ICAO:n suuntaviivojen 2.7.4 kohta.

167      Lisäksi PNR-direktiivin 16 artiklan 1 kohdassa muistutetaan vaatimuksesta, jonka mukaan matkustajatietoyksiköille siirrettävien tietojen tietoturva ja luotettavuus on taattava kyseisessä siirtämisessä käytettyjen sähköisten välineiden osalta, mikä on ollut yksi niistä perusteista, joita komissio on noudattanut hyväksyessään kyseisen artiklan 3 kohdassa edellytettyjä yhteisiä yhteyskäytäntöjä ja tietomuotoja, joita lentoliikenteen harjoittajien on käytettävä kyseisissä siirroissa; ks. lentoliikenteen harjoittajien suorittamassa PNR-tietojen matkustajatietoyksiköille siirrossa käytettävistä yhteisistä yhteyskäytännöistä ja tietomuodoista 28.4.2017 annettu komission täytäntöönpanopäätös (EU) 2017/759 (EUVL 2017, L 113, s. 48).

168      Ks. PNR-direktiivin johdanto-osan 37 perustelukappale.

169      PNR-direktiivin 13 artiklan 4 kohdassa luetellut henkilötietojen ryhmät sisältyvät kaikki niihin ryhmiin, jotka vastaavat yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettujen erityisten henkilötietoryhmien käsitettä.

170      Useiden toisesta ennakkoratkaisukysymyksestä huomautuksia esittäneiden jäsenvaltioiden väitteet siitä, että olemassa on teknisiä keinoja, joilla lentoliikenteen harjoittajien siirtämien arkaluonteisten tietojen poistaminen käy helposti, ovat nähdäkseni tältä osin merkityksettömiä.

171      Julkisasiamies Mengozzin ratkaisuehdotus lausunto 1/15 (Kanada–EU-PNR-sopimus) (EU:C:2016:656).

172      Huomautan, että jopa ICAO:n suuntaviivoissa jätetään mahdollisuus siihen, että vapaan tekstin otsikoista poimitut arkaluonteiset tiedot voivat olla hyödyllisiä arvioitaessa matkustajasta mahdollisesti aiheutuvaa riskiä, mutta niissä suositellaan sopimusvaltioiden toimivan kuitenkin siten, että tällaiset tiedot otetaan huomioon vain siinä tapauksessa, että olemassa on konkreettisia viitteitä, jotka puoltavat niiden käyttöä valtion PNR-järjestelmällä tavoiteltuja tarkoituksia varten.

173      Muistutan, että Euroopan tietosuojavaltuutettu ehdotti kyseisen otsikon pois jättämistä jo 25.3.2011 antamansa lausunnon 47 kohdassa.

174      Kyseessä ovat tiedot, jotka voivat paljastaa yksityiskohtia sähköisen viestintävälineen käyttäjän suorittamasta viestinnästä tai käyttäjän käyttämien päätelaitteiden sijainnista.

175      Ks. vastaavasti tuomio La Quadrature du Net (141–145 kohta) ja tuomio Tele2 Sverige (105 ja 106 kohta), jotka on annettu direktiivin 2002/58 15 artiklan 1 kohdan, luettuna yhdessä perusoikeuskirjan 7, 8 ja 11 artiklan sekä 52 artiklan 1 kohdan kanssa, tulkinnasta, sekä tuomio Digital Rights (57 ja 58 kohta), jossa unionin tuomioistuin toteaa direktiivin 2006/24 olevan pätemätön.

176      Ks. tuomio La Quadrature du Net, 177 kohta.

177      Ks. tuomio La Quadrature du Net, 134–139 kohta ja 177 kohta. Unionin tuomioistuimen mukaan jäsenvaltioille kansallisen turvallisuuden alalla kuuluva vastuu ”vastaa ensisijaisen tärkeää intressiä suojella valtion keskeisiä tehtäviä ja yhteiskunnan perustavanlaatuisia etuja, ja siihen kuuluu sellaisten etenkin terrorismin kaltaisten toimien torjuminen ja niistä rankaiseminen, jotka ovat omiaan horjuttamaan vakavasti tietyn maan perustavanlaatuisia perustuslaillisia, poliittisia, taloudellisia tai yhteiskunnallisia rakenteita ja erityisesti uhkaamaan suoraan yhteiskuntaa, väestöä tai valtiota sellaisenaan”; ks. tuomio La Quadrature du Net, 135 kohta, ja tuomio Privacy International, 74 kohta.

178      Ks. tuomio La Quadrature du Net, 138 ja 178 kohta.

179      Ks. erityisesti tuomio La Quadrature du Net, 141–145 kohta

180      Ks. tuomio La Quadrature du Net, 115 ja 116 kohta; ks. myös julkisasiamies Campos Sanchéz-Bordonan ratkaisuehdotus SpaceNet ja Telekom Deutschland (yhdistetyt asiat C-793/19 ja C-794/19, EU:C:2021:939, 74 ja 75 kohta).

181      Ks. tuomio Tele2 Sverige, 119 kohta.

182      Ks. vastaavasti tuomio Tele2 Sverige, 103–107 kohta ja 119 kohta oikeuskäytäntöviittauksineen.

183      Ks. lausunto 1/15, 186 ja 187 kohta.

184      Tuomiossa Digital Rights (59 kohta) ja tuomiossa Tele2 Sverige (111 kohta), samoin kuin myöhemmässä oikeuskäytännössä (ks. erityisesti tuomio La Quadrature du Net, 143–150 kohta) kyseisen säännöstön suhteellisuusperiaatteen vastaisuus johtui nimenomaisesti siitä seikasta, ettei säännöstö perustunut sentyyppisiin ”objektiivisiin seikkoihin”, jotka unionin tuomioistuin mainitsee lausunnon 1/15 187 kohdassa ja joiden avulla toimet voitaisiin kohdistaa henkilöihin, joilla saattaa olla ainakin epäsuora yhteys vakavaan rikollisuuteen kuuluviin tekoihin.

185      Ks. tuomio La Quadrature du Net, 117 kohta oikeuskäytäntöviittauksineen; ks. myös tuomio Prokuratuur, 36 kohta.

186      Ks. tuomio La Quadrature du Net, 142 kohta.

187      Ks. lausunto 1/15, 128 ja 150 kohta.

188      Ks. lausunto 1/15, 150 kohta.

189      Ks. tällaisen arvioinnin hankaluudesta metatietojen kohdalla tuomio Prokuratuur, 40 kohta.

190      Saksan lainsäätäjä on pyrkinyt tähän suuntaan säännöstöllä, josta on kyse yhdistetyissä asioissa C-793/19 ja C-794/19, SpaceNet ja Telekom Deutschland, joissa julkisasiamies Campos Sánchez-Bordona on esittänyt ratkaisuehdotuksensa (EU:C:2021:939, 60 ja 61 kohta).

191      Viittaan tältä osin edellä tämän ratkaisuehdotuksen 93 kohtaan.

192      Ks. tuomio La Quadrature du Net, 118 kohta oikeuskäytäntöviittauksineen.

193      Ks. tuomio Tele2 Sverige, 93 kohta.

194      Julkisasiamies Mengozzin ratkaisuehdotus Lausunto 1/15 (Kanada–EU-PNR-sopimus) (EU:C:2016:656).

195      Ks. erityisesti Euroopan ihmisoikeustuomioistuimen tuomio 4.12.2015, Roman Zakharov v. Venäjä (CE:ECHR:2015:1204JUD004714306, 260 kohta).

196      Ks. tuomio La Quadrature du Net, 146–151 kohta ja tuomio Tele2 Sverige, 119 kohta.

197      Ks. vastaavasti massoittain tapahtuvan salakuuntelun osalta tuomio Big Brother Watch, 348 kohta.

198      Ks. analogisesti tuomio 3.10.2019, A ym. (C-70/18, EU:C:2019:823, 61 kohta).

199      Ks. hiljattain annettu komission tiedonanto EU:n turvallisuusunionistrategiasta (COM(2020) 605 final, s. 28) sekä komission tiedonanto – EU:n terrorisminvastainen ohjelma: ennakointi, ennaltaehkäisy, suojelu ja vastatoimet (COM(2020) 795 final, s. 15 ja sitä seuraavat sivut).

200      21.12.2017 annettu päätöslauselma (jäljempänä päätöslauselma 2396(2017)); saatavilla osoitteessa https://undocs.org/fr/S/RES/2396(2017).

201      Ks. päätöslauselma 2396(2017), 12 kohta; Yhdistyneiden kansakuntien turvallisuusneuvosto rohkaisee kyseisessä kohdassa ”ICAO:ta tekemään yhteistyötä siihen kuuluvien valtioiden kanssa PNR-tietojen keräämistä, käyttöä, käsittelyä ja suojaamista koskevan normin laatimiseksi”. Tämän kehotuksen johdosta ICAO hyväksyi 23.6.2020 muutoksen 28 Chicagon yleissopimuksen liitteeseen 9, jossa vahvistetaan, kuten edellä on todettu, maahantulon helpottamista koskevia kansainvälisiä normeja ja jonka 9 luvun D osa koskee nimenomaan PNR-tietoja. Komissio antoi 12.1.2021 ehdotuksen neuvoston päätökseksi ICAO:ssa Euroopan unionin puolesta otettavasta kannasta kyseiseen muutokseen (COM(2021) 16 final).

202      19.7.2019 annettu päätöslauselma, 15 kohdan c alakohta; saatavilla osoitteessa https://undocs.org/fr/S/RES/2482(2019).

203      Tällä hetkellä voimassa on kaksi kansainvälistä sopimusta, jotka unioni on tehnyt Australian (Euroopan unionin ja Australian välinen sopimus lentoliikenteen harjoittajien [PNR-tietojen] käsittelemisestä ja siirtämisestä Australian tulli- ja rajavartiolaitokselle (EUVL 2012, L 186, s. 4)) ja Amerikan yhdysvaltojen (Amerikan yhdysvaltojen ja Euroopan unionin sopimus [PNR-tietojen] käytöstä ja siirtämisestä Yhdysvaltojen sisäisen turvallisuuden ministeriölle (EUVL 2012, L 215, s. 5)) kanssa. Näistä kahdesta sopimuksesta laaditaan parhaillaan yhteistä arviointia uusien sopimusten tekemistä varten. Lisäksi neuvosto antoi 18.2.2020 komissiolle valtuuden aloittaa neuvottelut Japanin kanssa.

204      Ks. päätöslauselma 2396(2017), s. 4.

205      Mukaan lukien henkilöt, joilla on oikeus vapaaseen liikkuvuuteen unionin oikeuden nojalla; ks. asetuksen (EU) 2016/399 muuttamisesta siltä osin kuin on kyse asiaankuuluvien tietokantojen käyttöön perustuvien tarkastusten vahvistamisesta ulkorajoilla 15.3.2017 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2017/458 (EUVL 2017, L 74, s. 7).

206      Ks. vastaavasti myös lausunto 1/15, 187 kohta. Ks. myös komission tiedonanto [PNR-]tietojen siirtoa kolmansiin maihin koskevasta kokonaisvaltaisesta lähestymistavasta (KOM(2010) 492 lopullinen, s. 6, 2.2 kohta).

207      Komissio viittaa tähän tavallaan ehdotuksessaan PNR-direktiiviksi, s. 3.

208      Ks. vastaavasti tuomio Prokuratuur, 49 kohta oikeuskäytäntöviittauksineen.

209      Ks. ehdotus PNR-direktiiviksi, 4 artiklan 2 kohdan a alakohta.

210      Vaikka 6 artiklan 3 kohdan a alakohdan ranskankielisessä toisinnossa käytetään ilmaisua ”bases de données utiles” (hyödylliset tietokannat), valtaosassa muista kielitoisinnoista kyseisessä säännöksessä tarkoitetaan pikemminkin ”merkityksellisiä” tietokantoja; ks. espanjankielisen toisinnon pertinentes, saksankielisen toisinnon massgeblich, englanninkielisen toisinnon relevant, italiankielisen toisinnon pertinenti, hollanninkielisen toisinnon relevant ja portugalinkielisen toisinnon relevantes.

211      PNR-direktiivin 6 artiklan 3 kohdan a alakohdan sanamuoto vaikuttaa antavan mahdollisuuden tietojen analysointiin vertaamalla niitä hyvin monenlaisiin tietoihin edellyttäen, että analysointi tehdään kyseisen direktiivin tavoitteiden saavuttamiseksi. Ks. tiedonlouhintaan (data mining) liittyvistä riskeistä Korffin selvitys, s. 77. Euroopan tietosuojavaltuutettu korostaa 25.3.2011 antamansa lausunnon 18 kohdassa painokkaasti sitä, ettei tietokantoja, joihin PNR-tietoja voidaan verrata, ole yksilöity täsmällisesti eikä ennakoitavalla tavalla.

212      PNR-direktiivin 6 artiklan 3 kohdan a alakohdan sanamuoto on väljä ja avoin, minkä vuoksi se on saatettu hyvin vaihtelevalla tavalla kansallisten lainsäädäntöjen osaksi: olennaisen tietokannan käsitettä on tulkittu suppeasti niin, että säädetyn mukainen analyysi rajoittuu pelkästään kyseisessä säännöksessä nimenomaisesti mainittuihin tietokantoihin vertaamiseen (näin on Saksan liittotasavallassa, kuten Saksan hallituksen unionin tuomioistuimessa esittämistä huomautuksista ilmenee), mutta laajemmin tulkittuna analyysi kattaa kaikki tietokannat, jotka ovat toimivaltaisten viranomaisten käytettävissä niiden hoitaessa tehtäviään (näin on laadittu muun muassa PNR-lain 24 §:n 1 momentin 1 kohta).

213      Jäsenvaltiota ei tule mielestäni missään tapauksessa pitää PNR-direktiivin 6 artiklan 3 kohdan a alakohdan perusteella velvollisena antamaan matkustajatietoyksikölleen luvan PNR-tietojen järjestelmälliseen vertaamiseen kyseisessä säännöksessä tarkoitettuihin olennaisiin tietokantoihin, joita sen tiedustelupalvelut ylläpitävät.

214      Poliisidirektiivin 3 artiklan 4 alakohdassa annetun määritelmän mukaan ”profiloinnilla” tarkoitetaan ”mitä tahansa henkilötietojen automaattista käsittelyä, jossa henkilötietoja käyttämällä arvioidaan luonnollisen henkilön tiettyjä henkilökohtaisia ominaisuuksia, erityisesti analysoidaan tai ennakoidaan piirteitä, jotka liittyvät kyseisen luonnollisen henkilön työsuoritukseen, taloudelliseen tilanteeseen, terveyteen, henkilökohtaisiin mieltymyksiin, kiinnostuksen kohteisiin, luotettavuuteen, käyttäytymiseen, sijaintiin tai liikkeisiin”. Sama määritelmä sisältyy yleisen tietosuoja-asetuksen 4 artiklan 4 alakohtaan sekä henkilöiden suojelusta profiloinnin yhteydessä tapahtuvassa henkilötietojen automaattisessa käsittelyssä 3.11.2021 annetun Euroopan neuvoston ministerikomitean suosituksen CM/Rec(2021)8 liitteessä olevan 1 kohdan c alakohtaan (saatavilla osoitteessa https://search.coe.int/cm/pages/result_details.aspx?ObjectId=0900001680a46148; jäljempänä profilointia koskeva vuoden 2021 suositus).

215      Profilointia koskevan vuoden 2021 suosituksen 1 kohdan j alakohdan i luetelmakohdassa annetun määritelmän mukaan ”suuririskisellä profiloinnilla” tarkoitetaan ”profilointia, jonka käytöstä aiheutuu oikeusvaikutuksia tai jolla on merkittävä vaikutus asianomaiseen henkilöön tai profiloinnilla tunnistettuun henkilöryhmään”.

216      Ks. lausunto 1/15, 172 kohta.

217      Profilointia koskevan vuoden 2021 suosituksen liitteessä olevan 1.1. kohdan d alakohdan mukaan käsitteellä ”profiili” tarkoitetaan ”kaikkia henkilöön liitettäviä tietoja, jotka ovat ominaisia henkilöryhmälle tai joita on tarkoitus soveltaa henkilöön”. Kuten selvitetään selonteossa, joka koskee tilanteen kehittymistä profilointia koskevan vuoden 2021 suosituksen antamista edeltäneen profilointia koskevan suosituksen (2010)13 antamisen jälkeen (saatavilla osoitteessa https://rm.coe.int/t-pd-2019-07fin-fr-rapport-profilage-2770-2878-8993-1-final-clean-2755/1680a0925b; s. 21), käsite ”profiili” säilyttää kaiken merkityksensä järjestelmissä, joissa PNR-direktiivin tavoin erotetaan toisistaan profiilien laatiminen (ks. erityisesti kyseisen direktiivin 6 artiklan 2 kohdan b alakohta) niiden soveltamisesta, minkä ansiosta ”profiloinnissa myöhemmin sovellettavat kriteerit ovat läpinäkyviä”.

218      Ks. PNR-direktiivin 6 artiklan 4 kohta sekä lausunto 1/15, 172 kohta.

219      Ks. PNR-direktiivin 6 artiklan 4 kohta.

220      Ks. lausunto 1/15, 172 kohta.

221      Ks. PNR-direktiivin johdanto-osan seitsemäs perustelukappale.

222      Ks. lausunto 1/15, 174 kohta.

223      Sama vaatimus sisältyy lausunnon 1/15 174 kohtaan.

224      Tuon esille, että kaikki perusoikeuskirjan 21 artiklaan sisältyvät syrjintäperusteet toistetaan PNR-direktiivin johdanto-osan 20 perustelukappaleessa. Perusoikeusvirasto ehdotti lausunnossaan 1/2011 (s. 8) yhdenmukaistamista 21 artiklassa olevan kiellettyjen syrjintäperusteiden luettelon kanssa.

225      Profilointia koskevan vuoden 2021 suosituksen liitteessä olevan 1.1. kohdan g alakohdan mukaan ilmaisulla ”koneoppiminen” tarkoitetaan ”tietojen käsittelyä, jossa käytetään erityisiä tilastollisiin lähestymistapoihin perustuvia tekoälypohjaisia menetelmiä, jotta tietokone pystyisi ”oppimaan” tietojen perusteella eli parantamaan suorituskykyään tehtävien ratkaisussa ilman erillistä ohjelmointia näihin tehtäviin”.

226      Ks. algoritmijärjestelmien läpinäkymättömyyden vaikutuksesta ihmisen mahdollisuuteen harjoittaa valvontaa näistä järjestelmistä aiheutuvien haittojen ja ihmisoikeuksiin kohdistuvien kielteisten vaikutusten ehkäisemiseksi algoritmijärjestelmien vaikutuksista ihmisoikeuksiin annettu Euroopan neuvoston jäsenvaltioiden ministerineuvoston suositus CM/Rec (2020)1.

227      Tällainen määritelmä sisältyy PNR-direktiivin johdanto-osan 25 perustelukappaleeseen.

228      PNR-direktiivin johdanto-osan 37 perustelukappaleessa oleva toteamus, jonka mukaan ”PNR-tietoja voidaan säilyttää matkustajatietoyksiköissä enintään viisi vuotta, minkä jälkeen tiedot olisi poistettava” (kursivointi tässä), ei nähdäkseni kyseenalaista kyseisen direktiivin 12 artiklan 1 kohdan selkeää sanamuotoa.

229      Ks. henkilötietojen käsittelystä rikosten paljastamista, ennalta estämistä, syytetoimia ja tutkimista varten poliisidirektiivin 4 artiklan e alakohta ja johdanto-osan 26 perustelukappale. Ks. yleisemmin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohta ja nykyaikaistetun yleissopimuksen N:o 108 5 artiklan 4 kappaleen e kohta.

230      Ks. tuomio Schrems I, 93 kohta; tuomio Tele2 Sverige, 110 kohta; lausunto 1/15, 191 kohta ja tuomio Quadrature du Net, 133 kohta.

231      Ks. lausunto 1/15, 197 kohta.

232      Ks. lausunto 1/15, 205 kohta.

233      Ks. lausunto 1/15, 207 kohta.

234      Tässä sovelletaan analogisesti lausunnon 1/15 187 kohtaa ja sitä seuraavia kohtia, sillä lausunto koskee ainoastaan tilannetta, jossa PNR-tietoja kerätään Kanadan alueelle saapumisen yhteydessä.

235      Ks. lausunto 1/15, 209 kohta.

236      Ks. lausunto 1/15, 205 kohta.

237      Suunnitellussa Kanada–EU-PNR-sopimuksessa määrätään kaikkien matkustajien nimien peittämisestä 30 vuorokauden kuluttua siitä, kun Kanada on ne vastaanottanut, ja muiden nimenomaisesti lueteltujen tietojen peittämisestä kahden vuoden päästä tästä vastaanottamisesta; ks. unionin tuomioistuimen tarkasteleman suunnitellun Kanada–EU-PNR-sopimuksen 16 artiklan 3 kohta ja lausunto 1/15, 30 kohta.

238      Ks. 19.8.2016 annettu lausunto, s. 9.

239      Ks. erityisesti tuomio La Quadrature du Net, 148 ja 149 kohta.

240      Sama koskee muiden jäsenvaltioiden matkustajatietoyksikköjen PNR-direktiivin 9 artiklan 2 kohdan mukaisesti esittämiä PNR-tietojen toimittamista koskevia pyyntöjä.

241      Ks. lausunto 1/15, 192 kohta oikeuskäytäntöviittauksineen. Ks. uudempi tuomio Privacy International, 77 kohta ja analogisesti tuomio Prokuratuur, 49 kohta oikeuskäytäntöviittauksineen.

242      Ks. lausunto 1/15, 200 kohta.

243      Ks. lausunto 1/15, 200 kohta.

244      Ks. lausunto 1/15, 201 kohta.

245      Ks. lausunto 1/15, 202 kohta.

246      Ks. vastaavasti lausunto 1/15, 201 kohta.

247      Ks. erityisesti PNR-direktiivin 4 artikla, 7 artiklan 1 ja 2 kohta, 9 artiklan 2 kohta, 10 artiklan 2 kohta, 12 artiklan 4 kohta; ks. erityisesti kyseisen direktiivin johdanto-osan 6, 9, 10, 11, 15, 23, 25, 35 ja 38 perustelukappale. Muistutan lisäksi, että ehdotukseen PNR-direktiiviksi sisältyneessä johdanto-osan 28 perustelukappaleessa täsmennettiin, että ”tämä direktiivi ei vaikuta jäsenvaltioiden mahdollisuuteen säätää kansallisessa laissaan PNR-tietojen keräämistä ja käsittelyä koskevasta järjestelmästä muita kuin tässä direktiivissä mainittuja tarkoituksia varten”. Tätä täsmennystä ei sisällytetty PNR-direktiivin lopulliseen tekstiin.

248      Tämä mahdollisuus sallitaan kuitenkin PNR-direktiivin 4 artiklan 3 kohdassa, jonka mukaan ”matkustajatietoyksikön henkilöstön jäsenet voivat olla toimivaltaisten viranomaisten lähettämiä työntekijöitä”, ainakin siinä tapauksessa, että asianomaisen jäsenvaltion tiedustelu- ja turvallisuuspalvelun voidaan katsoa olevan kyseisen direktiivin 7 artiklan 2 kohdassa tarkoitettu toimivaltainen viranomainen.

249      Belgian hallitus on epäillyt unionin tuomioistuimen toimivaltaa vastata seitsemänteen ennakkoratkaisukysymykseen, mihin on huomautettava, että kyseisen kysymyksen sanamuodon mukaan ennakkoratkaisua pyytänyt tuomioistuin kysyy unionin tuomioistuimelta PNR-direktiivin 12 artiklan 3 kohdan tulkinnasta, ei kansallisen lainsäädännön yhteensoveltuvuudesta kyseisen säännöksen kanssa. Vakiintuneen oikeuskäytännön mukaan unionin tuomioistuin voi joka tapauksessa antaa kansallisille tuomioistuimille ohjeita, joiden avulla nämä voivat arvioida tätä yhteensoveltuvuutta (ks. erityisesti tuomio 7.9.2016, ANODE, C-121/15, EU:C:2016:637, 54 kohta oikeuskäytäntöviittauksineen).

250      Ks. tästä tuomio 5.11.2019, komissio v. Puola (Yleisten tuomioistuinten riippumattomuus) (C-192/18, EU:C:2019:924, 108–110 kohta).

251      Ehdotukseen PNR-direktiiviksi sisältyneen 9 artiklan 2 kohdan neljännen virkkeen mukaan ”oikeuden tutustua kaikkiin PNR-tietoihin voi myöntää vain matkustajatietoyksikön päällikkö”.

252      Tuomio Prokuratuur, 52 ja 53 kohta.

253      Tuomio Prokuratuur, 53 ja 54 kohta. Ks. vastaavasti tuomio Big Brother Watch, 349–352 kohta.

254      Ehdotukseen PNR-direktiiviksi sisältyneen 9 artiklan 2 kohdan neljännen virkkeen mukaan ”oikeuden tutustua kaikkiin PNR-tietoihin voi myöntää vain matkustajatietoyksikön päällikkö”.

255      PNR-lain 29 §:n 1 ja 2 momentti.

256      Ks. PNR-direktiivin johdanto-osan kymmenes perustelukappale.

257      Henkilöiden liikkumista rajojen yli koskevasta unionin säännöstöstä 9.3.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/399 (Schengenin rajasäännöstö) (EUVL 2016, L 77, s. 1; jäljempänä Schengenin rajasäännöstö).

258      Schengenin rajasäännöstön 23 artiklan a alakohdassa säädetään, että poliisivaltuuksien käyttämistä ei voida rinnastaa rajatarkastuksen suorittamiseen, jos ”i) poliisitoimenpiteen tarkoituksena ei ole rajavalvonta; ii) poliisitoimenpiteet perustuvat poliisin yleisiin tietoihin ja kokemuksiin, jotka koskevat yleiseen turvallisuuteen kohdistuvia uhkia, ja niiden erityisenä tarkoituksena on torjua rajat ylittävää rikollisuutta; iii) poliisitoimenpiteet suunnitellaan ja toteutetaan henkilöihin ulkorajoilla järjestelmällisesti kohdistuvista rajatarkastuksista selkeästi poikkeavalla tavalla; iv) poliisitoimenpiteet toteutetaan satunnaistarkastuksina”.

259      Ks. analogisesti tuomio 13.12.2018, Touring Tours und Travel ja Sociedad de transportes (C-412/17 ja C-474/17, EU:C:2018:1005, 61 kohta oikeuskäytäntöviittauksineen) ja määräys 4.6.2020, FU (C-554/19, ei julkaistu, EU:C:2020:439, 49–56 kohta).

260      Tuon tässä yhteydessä esille, että unionin tuomioistuin on todennut lausunnon 1/15 188 kohdassa, että ”matkustajien, jotka voivat merkitä riskiä yleiselle turvallisuudelle, tunnistaminen PNR-tietojen avulla on osa rajatarkastuksia”.

261      Ks. tuomio 13.12.2018, Touring Tours und Travel ja Sociedad de transportes (C-412/17 ja C-474/17, EU:C:2018:1005, 55 kohta oikeuskäytäntöviittauksineen).

262      Ks. vastaavasti erityisesti määräys 4.6.2020, FU (C-554/19, ei julkaistu, EU:C:2020:439, 46 kohta).

263      API-direktiiviä koskevassa vuoden 2020 valmisteluasiakirjassa (s. 20) komissio korostaa myös PNR- ja API-tietojen käsittelyjärjestelmien kansallisen tason päällekkäisyyden ongelmallisuutta.

264      C-411/17, EU:C:2019:622, 175, 176, 179 ja 181 kohta.

265      Ks. tuomio La Quadrature du Net, 217–219 kohta.