MIŠLJENJE NEZAVISNOG ODVJETNIKA

GIOVANNIJA PITRUZZELLE

od 27. siječnja 2022.(1)

Predmet C‑817/19

Ligue des droits humains

protiv

Conseil des ministres

(zahtjev za prethodnu odluku koji je uputio Cour constitutionnelle (Ustavni sud, Belgija))

„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Obrada podataka iz evidencije podataka o putnicima (PNR) – Uredba (EU) 2016/679 – Područje primjene – Direktiva (EU) 2016/681 – Valjanost – Povelja Europske unije o temeljnim pravima – Članci 7. i 8. te članak 52. stavak 1.”

Sadržaj

I. Uvod

II. Pravni okvir

A. Pravo Unije

1. Povelja

2. GDPR

3. Direktiva o PNRu

4. Ostali relevantni akti prava Unije

B. Belgijsko pravo

C. Glavni postupak, prethodna pitanja i postupak pred Sudom

III. Analiza

A. Prvo prethodno pitanje

B. Drugo, treće, četvrto, šesto i osmo prethodno pitanje

1. Temeljna prava navedena u člancima 7. i 8. Povelje

2. Zadiranje u temeljna prava navedena u člancima 7. i 8. Povelje

3. Opravdanje zadiranja koje proizlazi iz Direktive o PNRu

a) Poštovanje zahtjeva prema kojem svako ograničenje ostvarivanja temeljnog prava koje se predviđa Poveljom mora biti predviđeno zakonom

b) Poštovanje biti pravâ iz članaka 7. i 8. Povelje

c) Poštovanje zahtjeva prema kojem zadiranje mora odgovarati cilju u općem interesu

d) Poštovanje načela proporcionalnosti

1) Prikladnost obrade podataka iz PNRa na koju se odnosi Direktiva o PNRu s obzirom na cilj koji se nastoji ostvariti

2) Stroga nužnost zadiranja

i) Razgraničenje svrha obrade podataka iz PNRa

ii) Kategorije podataka iz PNRa koje su obuhvaćene Direktivom o PNRu (drugo i treće prethodno pitanje)

– Dovoljno jasna i precizna priroda točaka 12. i 18. Priloga I. (treće prethodno pitanje)

– Opseg podataka navedenih u Prilogu I. (drugo prethodno pitanje)

– Osjetljivi podaci

iii) Pojam „putnik” (četvrto prethodno pitanje)

iv) Dovoljno jasna, precizna priroda prethodne procjene putnika i njezino ograničavanje na ono što je strogo nužno (šesto prethodno pitanje)

– Usporedba podataka s bazama podataka u smislu članka 6. stavka 3. točke (a) Direktive o PNRu

– Obrada podataka iz PNRa u skladu s prethodno utvrđenim kriterijima

– Zaštitne mjere u pogledu automatizirane obrade podataka iz PNRa

– Zaključak o šestom prethodnom pitanju

v) Čuvanje podataka iz PNRa (osmo prethodno pitanje)

4. Mišljenje o drugom, trećem, četvrtom, šestom i osmom prethodnom pitanju

C. Peto prethodno pitanje

D. Sedmo prethodno pitanje

E. Deveto prethodno pitanje

F. Deseto prethodno pitanje

IV. Zaključak

I.      Uvod

1.        Predmetnim zahtjevom za prethodnu odluku Cour constitutionnelle (Ustavni sud, Belgija) postavlja Sudu niz od deset prethodnih pitanja koja se odnose na tumačenje Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (u daljnjem tekstu: GDPR)(2), kao i na valjanost i tumačenje Direktive (EU) 2016/681 Europskog parlamenta i Vijeća od 27. travnja 2016. o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela (u daljnjem tekstu: Direktiva o PNR‑u)(3) i Direktive Vijeća 2004/82/EZ od 29. travnja 2004. o obvezi prijevoznika na dostavljanje podataka o putnicima (u daljnjem tekstu: Direktiva o API‑ju)(4). Ta su pitanja postavljena u okviru tužbe koju je podnijela neprofitna udruga Ligue des droits humains (LDH) čiji je cilj potpuno ili djelomično poništenje loia du 25 décembre 2016 relative au traitement des données des passagers (Zakon od 25. prosinca 2016. o obradi podataka o putnicima (u daljnjem tekstu: Zakon o PNR‑u)(5), kojim se u belgijsko pravo prenose Direktiva o PNR‑u i Direktiva o API‑ju.

2.        Pitanja o kojima Sud treba odlučiti u ovom predmetu dio su jednog od glavnih izazova u suvremenom demokratsko‑liberalnom konstitucionalizmu: kako uspostaviti ravnotežu između pojedinca i zajednice u doba podataka kad su digitalne tehnologije omogućile prikupljanje, čuvanje, obradu i analizu ogromnih količina osobnih podataka za potrebe predviđanja? Algoritmi, analiza velike količine podataka i umjetna inteligencija koje upotrebljavaju tijela javne vlasti mogu služiti za promicanje i zaštitu temeljnih interesa društva s učinkovitošću koja je dosad bila nezamisliva, od zaštite javnog zdravlja do ekološke održivosti, od borbe protiv terorizma do sprečavanja kaznenih djela, a osobito teških kaznenih djela. Istodobno neselektivno prikupljanje osobnih podataka i upotreba digitalnih tehnologija koje primjenjuju javne vlasti mogu dovesti do digitalnog panoptikuma, odnosno javne vlasti koja vidi sve, a koju nitko ne vidi. Sveprisutna vlast koja može nadzirati i predvidjeti ponašanje svake osobe i poduzeti potrebne mjere, sve do paradoksalnog rezultata, koji je Steven Spielberg zamislio u filmu Minority Report, preventivnog oduzimanja slobode počinitelju kaznenog djela koje još nije počinjeno. Kao što je to poznato, u određenim zemljama društvo je važnije od pojedinca i upotreba osobnih podataka legitimno omogućuje izvršavanje učinkovitog masovnog nadzora čiji je cilj zaštita javnih interesa koji se smatraju temeljnim. S druge strane, europskim nacionalnim i nadnacionalnim konstitucionalizmom, u kojem se na središnjem mjestu nalazi pojedinac i njegove slobode, predstavlja veliku prepreku stvaranju društva u kojem se izvršava masovni nadzor, osobito nakon priznavanja temeljnih prava na zaštitu privatnog života i zaštitu osobnih podataka. Međutim, u kojoj se mjeri ta prepreka može postaviti a da se pritom ozbiljno ne ugroze određeni temeljni interesi društva, kao što su prethodno navedeni primjeri, koji ipak mogu biti povezani s ustavom? Ovo je okosnica pitanja odnosa između pojedinca i zajednice u digitalnom društvu. To je pitanje kojim se zahtijeva, s jedne strane, istraživanje i uspostava osjetljive ravnoteže između interesa zajednice i prava pojedinaca, pri čemu se polazi od temeljne važnosti koju potonji pojedinci imaju u europskom ustavnom nasljeđu i, s druge strane, uvođenje zaštitnih mjera protiv zlouporabe. U ovom je slučaju također riječ o suvremenoj verziji klasične teme konstitucionalizma jer, kao što se to kratko potvrđuje u djelu „Federalistički spisi”, ljudi nisu sveci i zbog toga su potrebni pravni mehanizmi kako bi se ograničila i nadzirala javna ovlast. 

3.        To su opća pitanja koja su obuhvaćena kontekstom ovog mišljenja, koja se mogu ograničiti samo na tumačenje prava Unije, s obzirom na prethodnu sudsku praksu Suda, primjenom ustaljenih tehnika, uključujući tehniku usklađenog tumačenja. Tehnika koja će se u ovom mišljenju često primjenjivati, kad to bude pravno moguće, kako bi se s ustavnopravnog stajališta pronašla potrebna ravnoteža između javne svrhe na kojoj se temelji sustav prijenosa, prikupljanja i obrade podataka iz evidencije podataka o putnicima (u daljnjem tekstu: podaci iz PNR‑a) i prava propisanih u člancima 7. i 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).

II.    Pravni okvir

A.      Pravo Unije

1.      Povelja

4.        U skladu s člankom 7. Povelje „[s]vatko ima pravo na poštovanje svojeg privatnog i obiteljskog života, doma i komuniciranja”.

5.        U skladu s člankom 8. Povelje:

„1.      Svatko ima pravo na zaštitu osobnih podataka koji se na njega ili nju odnose.

2.      Takvi podaci moraju se obrađivati pošteno, u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom. Svatko ima pravo na pristup prikupljenim podacima koji se na njega ili nju odnose i pravo na njihovo ispravljanje.

3.      Poštovanje tih pravila podliježe nadzoru neovisnog tijela.”

6.        U skladu s člankom 52. stavkom 1. Povelje „[s]vako ograničenje pri ostvarivanju prava i sloboda priznatih ovom Poveljom mora biti predviđeno zakonom i mora poštovati bit tih prava i sloboda. Podložno načelu proporcionalnosti, ograničenja su moguća samo ako su potrebna i ako zaista odgovaraju ciljevima od općeg interesa koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba.”

2.      GDPR

7.        Člankom 2. stavkom 2. točkom (d) GDPR‑a iz područja primjene te uredbe isključuje se obrada osobnih podataka „koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja”.

8.        U skladu s člankom 23. stavkom 1. točkom (d) GDPR‑a:

„Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

[…]

(d)      sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje”.

3.      Direktiva o PNR‑u

9.        U nastavku ću iznijeti samo kratak pregled funkcioniranja sustava koji je uveden Direktivom o PNR‑u. Više detalja o sadržaju odredbi Direktive o PNR‑u koja je relevantna u svrhu odgovora koje treba dati na prethodna pitanja navest ću tijekom pravne analize.

10.      U skladu s njezinim člankom 1., Direktivom o PNR‑u, koja je donesena na temelju članka 82. stavka 1. točke (d) UFEU‑a i članka 87. stavka 2. točke (a) UFEU‑a, na razini Europske unije organizira se sustav prijenosa podataka iz PNR‑a koji provode zračni prijevoznici o putnicima na letovima između EU‑a i trećih zemalja(6), kao i prikupljanje, obrada i čuvanje tih podataka koje provode nadležna tijela država članica u svrhu borbe protiv terorizma i teških kaznenih djela.

11.      U skladu s člankom 3. točkom 5. te direktive „evidencija podataka o putnicima” ili „PNR” znači „evidencija zahtjeva u vezi s putovanjem svakog putnika koja sadrži informacije potrebne za obradu i kontrolu rezervacija od strane uključenih zračnih prijevoznika i onih koji obavljaju rezervacije za svako putovanje rezervirano od strane neke osobe ili u njezino ime, neovisno o tome čini li sastavni dio sustava rezervacija, sustava kontrole odlazaka, koji služi prijavi putnika na letove ili jednakovrijednog sustava s istim funkcijama”.

12.      U Prilogu I. Direktivi o PNR‑u (u daljnjem tekstu: Prilog I.), navode se podaci iz evidencije podataka o putnicima kako ih prikupljaju zračni prijevoznici, koji se prenose na način i u skladu s pravilima koja se predviđaju u članku 8. te direktive.

13.      Prilog II. Direktivi o PNR‑u (u daljnjem tekstu: Prilog II.) sadržava popis kaznenih djela koja čine „teška kaznena djela” u smislu članka 3. točke 9. te direktive.

14.      Člankom 2. Direktive o PNR‑u predviđa se da države članice mogu odlučiti primijeniti tu direktivu i na „letove unutar EU‑a”(7), ili na odabrane od tih letova, koje smatraju „potrebnima” kako bi ostvarile ciljeve navedene direktive.

15.      U skladu s člankom 4. stavkom 1. Direktive o PNR‑u „[s]vaka država članica osniva ili određuje tijelo nadležno za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela ili ogranak takvog tijela, da djeluje kao njezin odjel za informacije o putnicima (PIU)”. U skladu sa stavkom 2. točkom (a) tog članka 4. PIU je osobito nadležan za prikupljanje podataka iz PNR‑a od zračnih prijevoznika, pohranu i obradu tih podataka te za prijenos tih podataka ili rezultata njihove obrade nadležnim tijelima iz članka 7. Direktive o PNR‑u. U skladu sa stavkom 2. tog članka 7. ta tijela jesu „tijela nadležna […] za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela”(8).

16.      U skladu s člankom 6. stavkom 1. drugom rečenicom Direktive o PNR‑u, „[a]ko podaci iz PNR‑a koje zračni prijevoznici prenose sadrže podatke koji nisu navedeni u Prilogu I., PIU odmah po primitku trajno briše takve podatke”. Stavak 2. tog članka glasi kako slijedi:

„2.      PIU obrađuje podatke iz PNR‑a samo za sljedeće namjene:

(a)      provođenje procjene putnika prije njihova planiranog dolaska u državu članicu ili odlaska iz nje kako bi se identificirale osobe za koje je potrebno dodatno ispitivanje od strane nadležnih tijela iz članka 7. te prema potrebi Europola, u skladu s člankom 10., s obzirom da to da bi takve osobe mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo;

(b)      odgovaranje, za svaki slučaj pojedinačno, na propisno obrazložen zahtjev podnesen na temelju dovoljno dokaza od strane nadležnih tijela za dostavu i obradu podataka iz PNR‑a u određenim slučajevima u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma ili teških kaznenih djela, te za dostavu rezultata takve obrade nadležnim tijelima ili, prema potrebi, Europolu; i

(c)      analiziranje podataka iz PNR‑a u svrhu ažuriranja ili određivanja novih kriterija za provođenje procjena koje se provode na temelju stavka 3. točke (b) kako bi se identificirale sve osobe koje bi mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo.”

17.      Članak 12. Direktive o PNR‑u sadržava odredbe koje se odnose na čuvanje podataka iz PNR‑a.

18.      Člankom 5. Direktive o PNR‑u predviđa se da svaki PIU imenuje službenika za zaštitu podataka zaduženog za praćenje obrade podataka iz PNR‑a i provedbu odgovarajućih zaštitnih mjera. Usto, svaka država članica dužna je, u skladu s člankom 15. te direktive, osigurati da je nacionalno nadzorno tijelo iz članka 25. Okvirne odluke 2008/977/PUP(9), koju je zamijenila Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (u daljnjem tekstu: Direktiva o policiji)(10), odgovorno za praćenje primjene unutar svojeg državnog područja odredbi donesenih na temelju navedene direktive. To tijelo koje obavlja svoje zadaće s ciljem zaštite temeljnih prava u vezi s obradom osobnih podataka(11) osobito je zaduženo za, s jedne strane, postupanje po pritužbama koje podnese bilo koji ispitanik, istraživanje predmeta i obavještavanje ispitanika o tijeku i ishodu njihovih pritužbi u razumnom roku i, s druge strane, provjeravanje zakonitosti obrade podataka, provođenje istraga, pregleda i revizija u skladu s nacionalnim pravom bilo na vlastitu inicijativu bilo na temelju pritužbe(12).

4.      Ostali relevantni akti prava Unije 

19.      Pravni okvir ovog predmeta dopunjuju Direktiva o API‑ju i Direktiva o policiji. Radi bolje razumljivosti ovog mišljenja, sadržaj relevantnih odredbi tih akata navest će se ako se to pokaže potrebnim za odlučivanje o pitanjima koja se na njih odnose ili, općenitije, za potrebe pravne analize.

B.      Belgijsko pravo

20.      U skladu s člankom 22. belgijskog Ustava „[s]vatko ima pravo na poštovanje svojeg privatnog i obiteljskog života, osim u slučajevima i uvjetima utvrđenima zakonom”.

21.      U skladu s njegovim člankom 2., Zakonom o PNR‑u prenose se Direktiva o API‑ju i Direktiva o PNR‑u te djelomično Direktiva 2010/65/EU(13).

22.      U skladu s njegovim člankom 3. stavkom 1., Zakonom o PNR‑u „određuju [se] obveze prijevoznikâ i turoperatora koje se odnose na prijenos podataka o putnicima čije se odredište ili polazište nalazi na državnom području ili koji prolaze državnim područjem”. U skladu s člankom 4. točkama 1. i 2. tog zakona „prijevoznik” znači „bilo koja fizička ili pravna osoba koja se profesionalno bavi pružanjem usluga zračnog, pomorskog, željezničkog ili cestovnog prijevoza osoba”, a „turoperator” znači „svaki organizator putovanja ili putnički posrednik, u smislu loia du 16 février 1994 régissant le contrat d’organisation de voyages et le contrat d’intermédiaire de voyages [(Zakon od 16. veljače 1994. kojim se uređuju ugovor o organizaciji putovanja i ugovor o putničkom posredniku)]”.

23.      Člankom 8. Zakona o PNR‑u određuje se:

„Stavak 1.      Podaci o putnicima obrađuju se u svrhe:

1.°      istrage i progona, uključujući izvršenje kazni ili mjera ograničavanja slobode, koje se odnose na kaznena djela [iz članka 90.ter stavka 2.] […] 7.°, […] 8.°, […] 11.°, […] 14.°, […] 17.°, 18.°, 19.° i stavka 3. Codea d’instruction criminelle [(Zakonik o kaznenom postupku)];

2.°      istrage i progona, uključujući izvršenje kazni ili mjera ograničavanja slobode, koje se odnose na kaznena djela [iz članka 196. u pogledu kaznenih djela krivotvorenja vjerodostojnih i javnih isprava, članaka 198., 199., 199.bis, 207., 213., 375. i 505. Codea pénal [(Kazneni zakonik)];

3.°      sprečavanja ozbiljnog narušavanja javne sigurnosti u okviru nasilne radikalizacije praćenjem pojava i skupina u skladu s člankom 44/5 stavkom 1. točkama 2.° i 3.° i člankom 44/5 stavkom 2. loia du 5 août 1992 sur la fonction de police [(Zakon od 5. kolovoza 1992. o policijskoj službi)];

4.°      praćenja aktivnosti iz članka 7. stavka 1.° i članka 7. stavka 3.° podstavka 3/1, članka 11. stavka 1. podstavaka 1.° do 3.° i 5.° loia du 30 novembre 1998 organique des services de renseignement et de sécurité [(Organski zakon od 30. studenoga 1998. o obavještajnim i sigurnosnim službama)](14);

5.°      istrage i progona zbog kaznenih djela iz članka 220. stavka 2. loia générale sur les douanes et accises du 18 juillet 1977 [(Opći zakon o carinama i trošarinama od 18. srpnja 1977.)] i članka 45. stavka 3. loia du 22 décembre 2009 relative au régime général d’accise [(Zakon o općim aranžmanima za trošarine)] […].

Stavak 2.      Pod uvjetima predviđenima u poglavlju 11., podaci o putnicima također se obrađuju radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja.”

24.      Članak 9. Zakona o PNR‑u sadržava popis podataka koji se prenose. Ti podaci odgovaraju podacima navedenima u Prilogu I.

25.      U skladu s člankom 18. Zakona o PNR‑u „[p]odaci o putnicima čuvaju se u bazi podataka o putnicima najdulje pet godina od trenutka njihove pohrane. Nakon isteka tog razdoblja, ti se podaci uništavaju”.

26.      Člankom 19. tog zakona predviđa se da, „[n]akon isteka razdoblja od šest mjeseci, od trenutka pohrane podataka o putnicima u bazu podataka o putnicima, svi podaci o putnicima depersonaliziraju se skrivanjem elemenata podataka”.

27.      Člankom 24. Zakona o PNR‑u predviđa se:

„Stavak 1.      Podaci o putnicima obrađuju se radi provedbe prethodne procjene putnika prije njihova dolaska na državno područje, polaska s državnog područja ili tranzita preko državnog područja kako bi se odredilo za koje je osobe potrebno dodatno ispitivanje.

Stavak 2.      U okviru svrha koje se navode u članku 8. stavku 1. podstavcima 1.°, 4.° i 5.° ili koje se odnose na prijetnje navedene u članku 8. stavku 1.° podstavcima a), b), c), d), f), g) i članku 11. stavku 2. Organskog zakona od 30. studenoga 1998. o obavještajnim i sigurnosnim službama, prethodna procjena putnika temelji se na podudarnosti koja proizlazi iz povezanosti podataka o putnicima s:

1.°      bazama podataka kojima upravljaju nadležne službe ili koje su im izravno dostupne ili kojima mogu pristupiti u okviru svojih zadaća ili s popisima osoba koje sastavljaju nadležne službe u okviru svojih zadaća.

2.°      kriterijima za procjene koje je prethodno utvrdio PIU iz članka 25.

Stavak 3.      U okviru svrha koje se navode u članku 8. stavku 1. podstavku 3.°, prethodna procjena putnika temelji se na podudarnosti koja proizlazi iz povezanosti podataka o putnicima s bazama podataka iz stavka 2. podstavka 1.°. […]”

28.      U članku 25. Zakona o PNR‑u preuzima se sadržaj članka 6. stavka 4. Direktive o PNR‑u.

29.      Poglavlje 11. Zakona o PNR‑u sadržava odredbe kojima se uređuje obrada podataka o putnicima radi poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja. Tim se odredbama u belgijsko pravo prenosi Direktiva o API‑ju.

30.      Člankom 44. Zakona o PNR‑u predviđa se da PIU imenuje službenika za zaštitu podataka u okviru servicea public fédéral intérieur (Savezna javna služba za unutarnje poslove, Belgija). Nadzor nad primjenom odredbi Zakona o PNR‑u izvršava Commission de la protection de la vie privée (Povjerenstvo za zaštitu privatnog života, Belgija).

31.      Člankom 51. Zakona o PNR‑u izmjenjuje se Organski zakon od 30. studenoga 1998. o obavještajnim i sigurnosnim službama umetanjem članka 16/3 koji glasi kako slijedi:

„Stavak 1.      Obavještajne i sigurnosne službe u interesu izvršavanja svojih zadaća mogu donijeti obrazloženu odluku o pristupu podacima o putnicima iz članka 7. Zakona [o PNR‑u].

Stavak 2.      Odluku iz stavka 1. donosi voditelj službe i ona se u pisanom obliku dostavlja Odjelu za informacije o putnicima iz poglavlja 7. prethodno navedenog zakona. Odluka se dostavlja Comitéu permanent R [(Stalni odbor R, Belgija)] zajedno s njezinim obrazloženjem.

Stalni odbor R zabranjuje obavještajnim i sigurnosnim službama da se koriste podacima prikupljenima u uvjetima kojima se ne poštuju zakonski uvjeti.

Odluka se može odnositi na skup podataka o konkretnom obavještajnom istraživanju. U tom se slučaju popis obavljanja uvida u podatke o putnicima jednom mjesečno dostavlja Stalnom odboru R.”

C.      Glavni postupak, prethodna pitanja i postupak pred Sudom

32.      Zahtjevom koji je 24. srpnja 2017. uputio Couru constitutionnelle (Ustavni sud), LDH je podnio tužbu za potpuno ili djelomično poništenje Zakona o PNR‑u. U prilog svojoj tužbi iznio je dva tužbena razloga.

33.      Svojim prvim tužbenim razlogom, koji je najprije istaknut i koji se temelji na povredi članka 22. belgijskog Ustava, u vezi s člankom 23. GDPR‑a, članaka 7., 8. i članka 52. stavka 1. Povelje, kao i članka 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda, potpisane u Rimu 4. studenoga 1950. (u daljnjem tekstu: EKLJP), LDH smatra da se pobijanim zakonom ne poštuje načelo proporcionalnosti u pogledu njegova područja primjene i kategorija predmetnih podataka, obrade podataka koja se tim zakonom uvodi, njegove svrhe i razdoblja čuvanja podataka. Konkretno, tvrdi da je definicija podataka iz PNR‑a preširoka i da može dovesti do otkrivanja osjetljivih podataka te da definicija pojma „putnik” iz tog zakona omogućuje neciljanu sustavnu obradu podataka o svim dotičnim putnicima. K tomu, LDH smatra da se Zakonom o PNR‑u ne definiraju dovoljno jasno priroda i načini primjene metode pre‑screening u pogledu baza podataka o putnicima kao i kriterija koji služe kao „pokazatelji prijetnje”. Naposljetku, smatra da se Zakonom o PNR‑u prelaze granice onog što je strogo nužno na način da se njime nastoje postići svrhe obrade podataka iz PNR‑a koje su znatno šire od svrha priznatih Direktivom o PNR‑u i da je razdoblje od pet godina za čuvanje podataka iz PNR‑a neproporcionalno. Svojim drugim tužbenim razlogom, koji je istaknut podredno i koji se temelji na povredi članka 22. belgijskog Ustava, u vezi s člankom 3. stavkom 2. UEU‑a i člankom 45. Povelje, LDH pobija odredbe poglavlja 11. Zakona o PNR‑u kojima se prenosi Direktiva o API‑ju.

34.      Conseil des ministres du Royaume de Belgique (Vijeće ministara Kraljevine Belgije), kao intervenijent pred Courom constitutionnelle (Ustavni sud), protivi se LDH‑ovoj tužbi, pri čemu osporava dopuštenost i osnovanost dvaju tužbenih razloga koji su istaknuti u prilog toj tužbi.

35.      Cour constitutionnelle (Ustavni sud) pak ističe sljedeća razmatranja.

36.      Što se tiče prvog tužbenog razloga, najprije se pita je li definicija podataka iz PNR‑a, navedena u Prilogu I., dovoljno jasna i precizna. Opis nekih od tih podataka služi kao primjer i nije taksativan. Nadalje, navedeni sud ističe da definicija pojma „putnik” iz članka 3. točke 4. Direktive o PNR‑u uključuje prikupljanje, prijenos, obradu i čuvanje podataka iz PNR‑a svake osobe koja se prevozi ili će se prevesti i koja je upisana na popis putnika, neovisno o tome postoje li ozbiljni razlozi za vjerovati da je dotična osoba počinila ili će počiniti kazneno djelo ili da je osuđena za kazneno djelo. Što se tiče obrade podataka iz PNR‑a, napominje da se na potonje podatke sustavno primjenjuje prethodna procjena koja uključuje unakrsnu provjeru podataka iz PNR‑a svih putnika s bazama podataka ili prethodno utvrđenim kriterijima kako bi se utvrdile podudarnosti. Međutim, Cour constitutionnelle (Ustavni sud) pojašnjava da, iako kriteriji trebaju biti specifični, pouzdani i nediskriminirajući, tehnički je nemoguće dodatno odrediti prethodno utvrđene kriterije koji služe za određivanje rizičnih profila. Što se tiče roka za čuvanje podataka iz PNR‑a koji se predviđa u članku 12. stavku 1. Direktive o PNR‑u i na temelju kojeg se navedeni podaci mogu čuvati u razdoblju od pet godina, sud koji je uputio zahtjev smatra da se podaci iz PNR‑a čuvaju a da se pritom ne uzima u obzir pitanje mogu li dotični putnici u okviru prethodne procjene predstavljati opasnost za javnu sigurnost. U tim okolnostima sud koji je uputio zahtjev pita može li se, s obzirom na sudsku praksu koja osobito proizlazi iz presude od 21. prosinca 2016., Tele2 Sverige i Watson i dr.(15) i mišljenja 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017.(16), smatrati da sustav prikupljanja, prijenosa, obrade i čuvanja podataka iz PNR‑a koji je uspostavljen Direktivom o PNR‑u ne prelazi granice onog što je strogo nužno. U tom se kontekstu taj sud pita i protivi li se Direktivi o PNR‑u nacionalni propis, kao što je onaj koji proizlazi iz članka 8. stavka 1. točke 4. Zakona o PNR‑u, kojim se dopušta obrada podataka iz PNR‑a u svrhu različitu od onih koje se predviđaju tom direktivom. Naposljetku, pita može li se smatrati da je PIU „drugo nacionalno tijelo” koje, na temelju članka 12. stavka 3. točke (b) podtočke ii. Direktive o PNR‑u, može dopustiti otkrivanje potpunih podataka iz PNR‑a nakon isteka roka od šest mjeseci. Što se tiče drugog tužbenog razloga, sud koji je uputio zahtjev ističe da je taj tužbeni razlog usmjeren protiv članka 3. stavka 1., članka 8. stavka 2. te članaka 28. do 31. Zakona o PNR‑u kojim se uređuje prikupljanje i obrada podataka o putnicima u svrhu sprečavanja nezakonitog useljavanja i poboljšanja graničnih kontrola. Podsjećajući na to da, u skladu s prvom od tih odredbi, taj zakon obuhvaća letove čije se odredište ili polazište nalazi na državnom području ili koji prolaze državnim područjem, taj sud pojašnjava da je nacionalni zakonodavac uključio letove „unutar EU‑a” u područje primjene navedenog zakona kako bi se dobila „potpunija slika o putnicima koji predstavljaju moguću prijetnju za sigurnost unutar [Unije] i nacionalnu sigurnost”, pri čemu se oslonio na mogućnost koja se predviđa u članku 2. Direktive o PNR‑u, u vezi s njezinom uvodnom izjavom 10.

37.      U tim je okolnostima Cour constitutionnelle (Ustavni sud) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1.      Treba li članak 23. [GDPR‑a], u vezi s člankom 2. stavkom 2. točkom (d) te uredbe, tumačiti na način da se primjenjuje na nacionalno zakonodavstvo poput Zakona [o PNR‑u] kojim se prenose Direktiva [o PNR‑u] kao i Direktiva [o API‑ju] te Direktiva [2010/65]?

2.      Je li Prilog I. […] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da su podaci koji su u njemu navedeni vrlo široki, osobito podaci iz točke 18. [tog priloga I.] koji su širi od podataka iz članka 3. stavka 2. Direktive [o API‑ju], i s obzirom na to da bi oni, kad se promatraju zajedno, mogli otkriti osjetljive podatke i tako povrijediti granice onoga što je ‚strogo nužno’?

3.      Jesu li točke 12. i 18. Priloga I. […] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da su podaci koji se u njima navode, a uzimajući u obzir pojmove ‚uključujući [osobito]’ i ‚uključujući’, navedeni kao primjeri a ne taksativno, te se tako ne poštuje zahtjev preciznosti i jasnoće onih pravila primjenom kojih dolazi do miješanja u pravo na poštovanje privatnog života i u pravo na zaštitu osobnih podataka?

4.      Jesu li članak 3. točka 4. Direktive [o PNR‑u] i Prilog I. […] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da se sustav općeg prikupljanja, prijenosa i obrade podataka o putnicima, koji je uveden tim odredbama, odnosi na svaku osobu koja se koristi predmetnim prijevoznim sredstvom, neovisno o bilo kojem objektivnom elementu iz kojeg bi se moglo zaključiti da ta osoba može predstavljati opasnost za javnu sigurnost?

5.      Treba li članak 6. Direktive [o PNR‑u], u vezi s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], tumačiti na način da mu se protivi nacionalno zakonodavstvo poput pobijanog zakona koji, kao svrhu obrade podataka ‚PNR’, priznaje praćenje aktivnosti obavještajnih i sigurnosnih službi uključujući tako u tu svrhu i sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma i teških kaznenih djela?

6.      Je li članak 6. Direktive [o PNR‑u] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da se prethodna procjena koju provodi, na temelju povezanosti s bazama podataka i unaprijed utvrđenim kriterijima, sustavno i općenito primjenjuje na podatke o putnicima, neovisno o bilo kojem objektivnom elementu iz kojeg bi se moglo zaključiti da ti putnici mogu predstavljati opasnost za javnu sigurnost?

7.      Može li se izraz ‚drugo nacionalno tijelo koje je […] nadležno’ iz članka 12. stavka 3. Direktive [o PNR‑u] tumačiti na način da se odnosi na ‚PIU’ koji je osnovan Zakonom [o PNR‑u] i koji stoga, nakon isteka roka od šest mjeseci, može u okviru ad hoc pretraživanja odobriti pristup podacima ‚PNR’?

8.      Treba li članak 12. Direktive [o PNR‑u], u vezi s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], tumačiti na način da mu se protivi nacionalno zakonodavstvo poput pobijanog zakona koji za čuvanje podataka propisuje opći rok od pet godina, neovisno o tome predstavljaju li dotični putnici, u okviru prethodne procjene, opasnost za javnu sigurnost?

9.      (a)      Je li Direktiva [o API‑ju] u skladu s člankom 3. stavkom 2. [UEU‑a] i člankom 45. [Povelje] s obzirom na to da se obveze koje su njome propisane primjenjuju na letove unutar [Unije]?

(b)      Treba li Direktivu [o API‑ju], u vezi s člankom 3. stavkom 2. [UEU‑a] i člankom 45. [Povelje], tumačiti na način da joj se protivi nacionalno zakonodavstvo poput pobijanog zakona koji, radi sprečavanja ilegalne migracije i poboljšanja graničnih kontrola, dopušta sustav prikupljanja i obrade podataka o putnicima koji ‚dolaze u državni teritorij, polaze iz njega i njime prolaze’ što pak neizravno može podrazumijevati ponovnu uspostavu kontrola na unutarnjim granicama?

10.      Ako na temelju odgovora na navedena prethodna pitanja Cour constitutionnelle (Ustavni sud) dođe do zaključka da pobijani zakon, kojim se među ostalim prenosi Direktiva [o PNR‑u], povređuje jednu ili više obveza koje proizlaze iz odredaba spomenutih u tim pitanjima, može li on privremeno održati na snazi učinke Zakona [o PNR‑u] kako bi spriječio pravnu nesigurnost i omogućio da se prethodno prikupljeni i pohranjeni podaci mogu ponovno upotrijebiti u [tim] zakonom predviđene svrhe?”

38.      Pisana očitovanja podnijeli su, na temelju članka 23. Statuta Suda Europske unije, LDH, belgijska, češka, danska, njemačka, estonska, irska, španjolska, francuska, ciparska, latvijska, nizozemska, austrijska, poljska i finska vlada te Europski parlament, Vijeće Europske unije i Europska komisija. U skladu s člankom 24. Statuta Suda Europske unije, Komisija, Europski nadzornik za zaštitu podataka (ENZP) i Agencija Europske unije za temeljna prava (FRA) pozvani su da u pisanom obliku odgovore na pitanja koja je postavio Sud. Rasprava se održala 13. srpnja 2021.

III. Analiza

A.      Prvo prethodno pitanje

39.      Svojim prvim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud treba li članak 2. stavak 2. točku (d) GDPR‑a tumačiti na način da se ta uredba, te osobito njezin članak 23. stavak 1., u skladu s kojim se na temelju prava Unije ili prava država članica zakonskom mjerom može ograničiti, zbog iscrpno navedenih razloga, opseg obveza i prava koji se predviđaju navedenom uredbom, primjenjuje na obradu podataka koja se obavlja na temelju nacionalnog zakonodavstva, kao što je Zakon o PNR‑u, kojim se u nacionalno pravo prenose Direktiva o PNR‑u, kao i Direktiva o API‑ju i Direktiva 2010/65.

40.      Člankom 2. stavkom 2. GDPR‑a predviđaju se iznimke od područja primjene te uredbe, koje je vrlo široko definirano(17) u njezinu članku 2. stavku 1.(18). Kao odstupanja od primjene propisa kojim se uređuje obrada osobnih podataka kojom se mogu povrijediti temeljne slobode, te iznimke treba usko tumačiti(19).

41.      Članak 2. stavak 2. točka (d) GDPR‑a sadržava, među ostalim, odredbu o isključenju u skladu s kojom se ta uredba ne primjenjuje na obradu osobnih podataka koju obavljaju „nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja”. Ta se odredba o isključenju temelji na dvostrukom subjektivnom i objektivnom kriteriju. Prema tome, iz područja primjene navedene uredbe isključena je obrada podataka koju obavljaju, kao prvo, „nadležna tijela” i koja se obavlja, kao drugo, u svrhe navedene u toj odredbi. Stoga valja ocijeniti različite vrste obrade podataka koje su obuhvaćene Zakonom o PNR‑u s obzirom na taj dvostruki kriterij.

42.      Što se tiče, kao prvo, obrade podataka koju obavljaju prijevoznici (zračni, željeznički, cestovni i pomorski) u PIU‑u ili turoperatori u svrhu pružanja usluga ili u komercijalne svrhe, u dijelu u kojem je obuhvaćena navedenim zakonom, ona se i dalje uređuje GDPR‑om s obzirom na to da nisu ispunjeni ni subjektivan ni objektivan aspekt kriterija isključenja iz članka 2. stavka 2. točke (d) te uredbe.

43.      Što se tiče, kao drugo, prijenosa podataka iz PNR‑a u PIU koji obavljaju prijevoznici ili turoperatori, koji sam po sebi predstavlja „obradu” u smislu članka 4. točke 2. GDPR‑a(20), njegovo je uključivanje u područje primjene te uredbe manje očito.

44.      Naime, s jedne strane, taj prijenos ne obavlja „nadležno tijelo” u smislu članka 3. točke 7. Direktive o policiji, na koji valja uputiti po analogiji zbog nepostojanja definicije tog pojma u GDPR‑u(21). Gospodarski subjekt, kao što su prijevoznik ili putnička agencija, koji ima samo pravnu obvezu prijenosa osobnih podataka i kojem nije povjereno izvršavanje nikakvih javnih ovlasti(22), ne može se smatrati tijelom ili subjektom u smislu navedenog članka 3. točke 7. podtočke (b)(23).

45.      S druge strane, prijenos podataka iz PNR‑a koji obavljaju prijevoznici i turoperatori provodi se kako bi se ispunila zakonom propisana obveza s ciljem da se omogući postizanje svrha navedenih u članku 2. stavku 2. točki (d) GDPR‑a.

46.      Međutim, prema mojem mišljenju, iz teksta te odredbe jasno proizlazi da je samo obrada koja istodobno odgovara subjektivnom i objektivnom aspektu kriterija isključenja koji se u njoj navodi izvan područja primjene GDPR‑a. Prijenos podataka iz PNR‑a u PIU koji se Zakonom o PNR‑u nalaže prijevoznicima i turoperatorima stoga je obuhvaćen tom uredbom.

47.      Što se tiče odredbi Zakona o PNR‑u kojim se prenosi Direktiva o PNR‑u, taj zaključak potkrepljuje članak 21. stavak 2. te direktive, kojim se predviđa da se „ne dovodi […] u pitanje primjenjivost Direktive 95/46/EZ[(24)] na obradu osobnih podataka od strane zračnih prijevoznika”. Smatram da treba odbiti tumačenje te odredbe koje predlaže, među ostalim, francuska vlada, prema kojem se tom odredbom samo predviđa da prijevoznici i dalje podliježu obvezama koje se utvrđuju GDPR‑om u pogledu obrade podataka koja se ne predviđa Direktivom o PNR‑u. Naime, s obzirom na njezin tekst, doseg te „odredbe o nedovođenju pitanju” je širok i utvrđuje se samo upućivanjem na subjekt koji obavlja obradu, pri čemu se uopće ne navodi svrha obrade ili okvir u kojem se ta obrada izvršava, provodi li se prilikom obavljanja gospodarske djelatnosti zračnog prijevoznika ili ispunjavanjem zakonske obveze. K tomu, napominjem da postoji odredba s istim sadržajem u članku 13. stavku 3. Direktive o PNR‑u, u kojem se osobito upućuje na obveze koje zračni prijevoznici imaju na temelju GDPR‑a da „poduzmu odgovarajuće tehničke i organizacijske mjere za zaštitu sigurnosti i povjerljivosti osobnih podataka”. Međutim, ta je odredba jedna od odredbi kojima se organizira zaštita osobnih podataka koji se obrađuju na temelju Direktive o PNR‑u i slijedi članak 13. stavak 1. te direktive, na temelju kojeg se općenito na svaku obradu podataka koja se obavlja u skladu s tom direktivom primjenjuju odredbe Okvirne odluke 2008/977 koje se navode u toj direktivi. Suprotno onomu što tvrdi francuska vlada, takvo normativno uređenje omogućuje, s jedne strane, da se stavak 3. navedenog članka 13. tumači kao odredba kojom se u nadležnost GDPR‑a uključuje samo obrada podataka koja se predviđa Direktivom o PNR‑u koju ne obavljaju „nadležna tijela” u smislu Direktive o policiji i, s druge strane, da se upućivanje na poštovanje obveza utvrđenih navedenom uredbom u području sigurnosti i povjerljivosti podataka shvati kao podsjetnik na zaštitne mjere koje obvezno moraju pratiti prijenos podataka iz PNR‑a u PIU koji obavljaju prijevoznici.

48.      Zaključak naveden u točki 46. ovog mišljenja ne dovodi se u pitanje uvodnom izjavom 19. GDPR‑a i uvodnom izjavom 11. Direktive o policiji, na koje upućuju, među ostalim, njemačka, irska i francuska vlada u potporu svojstvu lex specialis Direktive o PNR‑u. U tom je pogledu doista točno da se tom direktivom u pogledu obrade osobnih podataka na koju se ona odnosi uvodi okvir za zaštitu tih podataka koji je autonoman u odnosu na GDPR. Međutim, taj se poseban okvir primjenjuje samo na obradu podataka iz PNR‑a koju obavljaju „nadležna tijela”, u smislu članka 3. točke 7. Direktive o policiji, koja uključuje osobito PIU‑ove, dok se na prijenos podataka iz PNR‑a u PIU‑ove i dalje primjenjuje opći okvir utvrđen GDPR‑om u skladu s, među ostalim, „odredbom o nedovođenju u pitanje” koja se predviđa u članku 21. stavku 2. Direktive o PNR‑u.

49.      U prilog njihovoj tezi prema kojoj se GDPR ne primjenjuje na prijenos podataka iz PNR‑a u PIU‑ove koji obavljaju prijevoznici i turoperatori, belgijska, irska, francuska i ciparska vlada upućuju na presudu od 30. svibnja 2006., Parlament/Vijeće i Komisija(25), u kojoj je Sud odlučio da prijenos podataka iz PNR‑a zračnih prijevoznika Zajednice tijelima Sjedinjenih Američkih Država, u okviru sporazuma o kojem su potonja tijela pregovarala s Europskom zajednicom, predstavlja obradu osobnih podataka u smislu članka 3. stavka 2. prve alineje Direktive 95/46(26) i stoga nije obuhvaćen područjem primjene te direktive. Kako bi došao do tog zaključka, Sud je uzeo u obzir svrhu prijenosa, kao i činjenicu da je taj prijenos „uključen u okvir koji su uspostavila tijela javne vlasti”, iako su podatke prikupili i prenijeli privatni operatori(27).

50.      U tom pogledu valja istaknuti da je Sud u presudi od 6. listopada 2020., La Quadrature du Net i dr.(28), u biti smatrao da se presuda Parlament/Vijeće ne može primijeniti u kontekstu GDPR‑a(29).

51.      Osim toga, u točki 102. presude La Quadrature du Net(30), primjenom po analogiji rasuđivanja iz presuda Tele2 Sverige i od 2. listopada 2018., Ministerio Fiscal(31), Sud je potvrdio da, „iako je u članku 2. stavku 2. točki (d) [GDPR‑a] pojašnjeno da se ne primjenjuje na obrade koje ‚obavljaju nadležna tijela’ u svrhu, među ostalim, sprečavanja i otkrivanja kaznenih djela, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja, iz članka 23. stavka 1. točaka (d) i (h) iste uredbe proizlazi da obrade osobnih podataka koje u te iste svrhe obavljaju pojedinci spadaju u njezino područje primjene”(32).

52.      Zbog razloga koje sam već naveo uvjeren sam da zaključak prema kojem prijenos podataka iz PNR‑a u PIU‑ove koji obavljaju prijevoznici i turoperatori i koji je obuhvaćen GDPR‑om već jasno proizlazi iz teksta članka 2. stavka 2. točke (d) GDPR‑a, u kojem se upućuje samo na obradu koju obavljaju „nadležna tijela”, a da pritom nije potrebno uputiti na odredbu o ograničenju iz članka 23. stavka 1. navedene uredbe(33). Međutim, tvrdnja iz točke 102. presude La Quadrature du Net predstavlja jasno stajalište Suda u prilog tom zaključku.

53.      Budući da je prijenos podataka iz PNR‑a koji obavljaju prijevoznici i turoperatori obuhvaćen područjem primjene GDPR‑a, nacionalno zakonodavstvo, kao što je Zakon o PNR‑u, kojim se te prijevoznike i te turoperatore obvezuje da provode takav prijenos, predstavlja „zakonsku mjeru” na temelju članka 23. točke 1. podtočke (d) GDPR‑a i stoga treba ispunjavati uvjete koji se predviđaju tom odredbom(34).

54.      Što se tiče, kao treće, obrade podataka iz PNR‑a koju obavljaju PIU i nadležna nacionalna tijela, primjenjivost GDPR‑a ovisi, kao što to proizlazi iz prethodnih razmatranja, o svrhama koje se nastoje postići tom obradom.

55.      Stoga je, na prvom mjestu, obrada podataka iz PNR‑a koju obavljaju PIU i nadležna nacionalna tijela u svrhe navedene u članku 8. stavku 1. točkama 1. do 3. i 5. Zakona o PNR‑u(35) isključena iz područja primjene GDPR‑a jer se, kao što se čini da je to slučaj, navedene svrhe ubrajaju među one koje su obuhvaćene odredbom o isključenju iz članka 2. stavka 2. točke (d) GDPR‑a. Zaštita podataka osoba na koje se odnose te obrade obuhvaćena je nacionalnim pravom, podložno primjeni Direktive o policiji(36) i, u okviru njezina područja primjene, Direktive o PNR‑u.

56.      Isto vrijedi, na drugom mjestu, za obradu podataka iz PNR‑a koju obavljaju PIU te sigurnosne i obavještajne službe u okviru praćenja aktivnosti iz odredbi Organskog zakona o obavještajnim i sigurnosnim službama navedenih u članku 8. stavku 1. točki 4. Zakona o PNR‑u jer se njome ispunjavaju svrhe navedene u članku 2. stavku 2. točki (d) GDPR‑a, što je na sudu koji je uputio zahtjev da ocijeni.

57.      Belgijska vlada tvrdi da je obrada koja se obavlja na temelju članka 8. stavka 1. točke 4. Zakona o PNR‑u u svakom slučaju obuhvaćena odredbom o isključenju koja se predviđa u članku 2. stavku 2. točki (d) GDPR‑a, kao i odredbom koja se predviđa u članku 2. stavku 3. točki (a) Direktive o policiji s obzirom na to da aktivnosti sigurnosnih i obavještajnih službi nisu obuhvaćene područjem primjene prava Unije.

58.      U tom pogledu najprije ističem, pri čemu naglašavam da Sudu nije upućeno pitanje koje se odnosi na tumačenje tih odredbi, da je Sud već potvrdio da je nacionalni propis kojim se nalažu obveze obrade privatnim operatorima obuhvaćen odredbama prava Unije u području zaštite osobnih podataka, čak i kad se odnosi na zaštitu nacionalne sigurnosti(37). Iz toga slijedi da je prijenos podataka iz PNR‑a koji se Zakonom o PNR‑u nalaže prijevoznicima i turoperatorima u načelu obuhvaćen GDPR‑om čak i kad se obavlja za potrebe članka 8. stavka 1. točke 4. tog zakona.

59.      Nadalje, ističem da, iako se u uvodnoj izjavi 16. GDPR‑a navodi da se ta uredba ne primjenjuje na „djelatnosti u vezi s nacionalnom sigurnošću”, a u uvodnoj izjavi 14. Direktive o policiji pojašnjava da se „djelatnosti u vezi s nacionalnom sigurnosti, djelatnosti agencija ili službi zaduženih za pitanja nacionalne sigurnosti […] ne bi […] smjele smatrati djelatnostima koje se obuhvaćene područjem primjene [te] Direktive”, kriteriji na temelju kojih je obrada osobnih podataka koju obavljaju tijelo javne vlasti, javna služba ili javna agencija neke države članice obuhvaćena područjem primjene jednog ili drugog akta prava Unije kojim se uređuje zaštita osoba na koje se odnosi takva obrada ili se nalazi izvan područja primjene tog prava odgovaraju logici koja je povezana s dužnostima dodijeljenima tom tijelu, toj službi ili toj agenciji i sa svrhama navedene obrade. Prema tome, Sud je u pogledu članka 2. stavka 2. točke (a) GDPR‑a, u vezi s uvodnom izjavom 16. te uredbe, presudio da „treba smatrati da je [njegov] jedini cilj […] isključivanje iz njezina područja primjene obrada osobnih podataka koje državna tijela provode u okviru aktivnosti namijenjene zaštiti nacionalne sigurnosti ili neke druge aktivnosti koja se može svrstati u istu kategoriju, tako da sama činjenica da je neka aktivnost specifična za državu ili tijelo javne vlasti nije dovoljna da se ta iznimka automatski primijeni na takvu aktivnost”(38). Sud je pojasnio i da „[a]ktivnosti koje imaju za cilj zaštitu nacionalne sigurnosti koje se navode u članku 2. stavku 2. točki (a) GDPR‑a konkretno obuhvaćaju […] one kojima je cilj zaštita osnovnih državnih funkcija i temeljnih interesa društva”(39). Iz toga proizlazi da bi, u slučaju da država članica svojim sigurnosnim i obavještajnim službama povjeri zadaće u područjima navedenima u članku 3. točki 7. podtočki (a) Direktive o policiji, obrada podataka koju obavljaju te službe radi ispunjavanja tih zadaća bila obuhvaćena područjem primjene te direktive i, po potrebi, Direktive o PNR‑u. Općenitije, ističem da je Sud nekoliko puta presudio, u okviru tumačenja članka 4. stavka 2. UEU‑a, na koji se poziva, među ostalim, belgijska vlada, da sama činjenica da je nacionalna mjera donesena radi zaštite nacionalne sigurnosti ne može dovesti do neprimjenjivosti prava Unije i osloboditi države članice obveze da nužno poštuju to pravo(40), čime je tako pokazao da oklijeva automatski i u potpunosti isključiti iz područja primjene prava Unije djelatnosti država članica koje su povezane sa zaštitom nacionalne sigurnosti.

60.      Na trećem mjestu, u skladu s mišljenjem svih zainteresiranih osoba koje su podnijele očitovanja, osim francuske vlade, valja smatrati da obrada podataka iz PNR‑a koju obavljaju belgijska nadležna tijela u svrhe navedene u članku 8. stavku 2. Zakona o PNR‑u, odnosno u svrhu „poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja”(41), nije obuhvaćena odredbom o isključenju iz članka 2. stavka 2. točke (d) GDPR‑a ni bilo kojom drugom odredbom o isključenju koja se predviđa u tom članku te je stoga obuhvaćena područjem primjene te uredbe. Suprotno onomu što tvrdi francuska vlada, navedena obrada ne može se uređivati Direktivom o PNR‑u, u čijem se članku 1. stavku 2. utvrđuje da se „[p]odaci iz PNR‑a prikupljeni u skladu s ovom Direktivom mogu […] obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela” ni u načelu Direktivom o policiji, koja se u skladu sa svojim člankom 1. stavkom 1. primjenjuje samo na obradu osobnih podataka koju nadležna tijela obavljaju „u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje”. Kao što to proizlazi iz odluke kojom se upućuje zahtjev za prethodnu odluku, cilj je članka 8. stavka 2. Zakona o PNR‑u i poglavlja 11. tog zakona, koji sadržava odredbe kojima se uređuje obrada podataka iz PNR‑a radi poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja te kojim se u tu svrhu predviđa prijenos tih podataka iz PIU‑a osobito policijskim službama zaduženim za graničnu kontrolu, prijenos u belgijsko pravo Direktive o API‑ju i Direktive 2010/65. Međutim, tim se dvjema direktivama nadležnim tijelima nalaže da u pogledu obrade koja se njima predviđa poštuju odredbe Direktive 95/46(42). Suprotno onomu što tvrdi francuska vlada, upućivanje na zaštitna pravila iz te direktive treba tumačiti kao da obuhvaća svaku obradu osobnih podataka koja se obavlja na temelju Direktive o API‑ju i Direktive 2010/65. Činjenica da je Direktiva o API‑ju prethodila stupanju na snagu Okvirne odluke 2008/977 nije relevantna u tom pogledu jer se ta okvirna odluka, kao i Direktiva o policiji koja ju je zamijenila, ne odnose na obradu osobnih podataka iz članka 3. stavka 1. Direktive o API‑ju, koju obavljaju nadležna tijela u svrhu izvršavanja zakona(43).

61.      Na temelju svih prethodnih razmatranja, predlažem Sudu da na prvo prethodno pitanje odgovori da članak 23. GDPR‑a, u vezi s člankom 2. stavkom 2. točkom (d) te uredbe, treba tumačiti na način:

–        da se primjenjuje na nacionalno zakonodavstvo kojim se prenosi Direktiva o PNR‑u u dijelu u kojem se tim zakonodavstvom uređuje obrada podataka iz PNR‑a koju obavljaju prijevoznici i drugi gospodarski subjekti, uključujući prijenos podataka iz PNR‑a u PIU‑ove koji se predviđa u članku 8. navedene direktive;

–        da se ne primjenjuje na nacionalno zakonodavstvo kojim se prenosi Direktiva o PNR‑u u dijelu u kojem se tom direktivom uređuje obrada podataka koju u svrhe koje se predviđaju u članku 1. stavku 2. te direktive obavljaju nadležna nacionalna tijela, uključujući PIU‑ove i, po potrebi, sigurnosne i obavještajne službe dotične države članice;

–        da se primjenjuje na nacionalno zakonodavstvo kojim se prenose Direktiva o API‑ju i Direktiva 2010/65 radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja.

B.      Drugo, treće, četvrto, šesto i osmo prethodno pitanje

62.      Svojim drugim, trećim, četvrtim i šestim prethodnim pitanjem Cour constitutionnelle (Ustavni sud) pita Sud o valjanosti Direktive o PNR‑u s obzirom na članke 7. i 8. te članak 52. stavak 1. Povelje. Osmim prethodnim pitanjem, iako je sastavljeno kao zahtjev za tumačenje, također se u biti od Suda traži da donese odluku u pogledu valjanosti te direktive.

63.      Ta se pitanja odnose na različite elemente sustava obrade podataka iz PNR‑a uspostavljenog Direktivom o PNR‑u i njima se, u odnosu na svaki od tih elemenata, traži ocjena poštovanja uvjeta koji se primjenjuju na zakonitost ograničenja prilikom ostvarivanja temeljnih prava navedenih u člancima 7. i 8. Povelje. Stoga se drugo i treće prethodno pitanje odnose na katalog podataka iz PNR‑a naveden u Prilogu I., četvrto prethodno pitanje odnosi se na definiciju pojma „putnik” iz članka 3. točke 4. Direktive o PNR‑u, šesto prethodno pitanje odnosi se na upotrebu podataka iz PNR‑a u svrhu prethodne procjene na temelju članka 6. te direktive te se osmo prethodno pitanje odnosi na rok za čuvanje podataka iz PNR‑a koji se predviđa u članku 12. stavku 1. navedene direktive.

1.      Temeljna prava navedena u člancima 7. i 8. Povelje

64.      Člankom 7. Povelje svakome se jamči pravo na poštovanje privatnog i obiteljskog života, doma i komuniciranja. Što se tiče članka 8. stavka 1. Povelje, njime se svakoj osobi izričito daje pravo na zaštitu osobnih podataka koji se na nju odnose. Prema ustaljenoj sudskoj praksi, ta prava, koja se odnose na sve informacije o fizičkoj osobi čiji je identitet utvrđen ili se može utvrditi, usko su povezana, a pristup osobnim podacima fizičke osobe radi njihova čuvanja ili upotrebe utječe na pravo te osobe na poštovanje njezina privatnog života(44).

65.      Prava propisana u člancima 7. i 8. Povelje ipak nisu apsolutna prava, nego ih treba uzeti u obzir ovisno o njihovoj funkciji u društvu(45). Člankom 8. stavkom 2. Povelje tako se dopušta obrada osobnih podataka ako su ispunjeni određeni uvjeti. Tom se odredbom predviđa da se osobni podaci moraju obrađivati „pošteno, u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom”.

66.      Svakim se ograničenjem prava na zaštitu osobnih podataka kao i prava na privatan život usto moraju poštovati zahtjevi iz članka 52. stavka 1. Povelje. Stoga takvo ograničenje mora biti predviđeno zakonom, poštovati bit navedenih prava te, podložno načelu proporcionalnosti, mora biti potrebno i zaista odgovarati ciljevima od općeg interesa koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba.

67.      Prilikom ocjene mjere kojom se ograničavaju navedena prava treba voditi računa i o značaju prava utvrđenih u člancima 3., 4., 6. i 7. Povelje i značaju ciljeva zaštite nacionalne sigurnosti i borbe protiv teških kaznenih djela, čime se doprinosi zaštiti prava i sloboda drugih osoba(46). U tom pogledu člankom 6. Povelje utvrđuje se ne samo pravo svake osobe na slobodu, nego i na sigurnost(47).

68.      Osim toga, cilj članka 52. stavka 3. Povelje jest osiguranje potrebne sukladnosti između prava navedenih u toj povelji i odgovarajućih prava zajamčenih EKLJP‑om, koja se moraju uzeti u obzir kao minimalna razina zaštite(48). Pravo na poštovanje privatnog i obiteljskog života, utvrđeno u članku 7. Povelje, odgovara pravu zajamčenom u članku 8. EKLJP‑a, pa mu se stoga mora priznati jednako značenje i opseg(49). Iz sudske prakse Europskog suda za ljudska prava (u daljnjem tekstu: ESLJP) proizlazi da se zadiranje u prava zajamčena tim člankom može opravdati s obzirom na stavak 2. navedenog članka samo ako se predviđa zakonom, ako se odnosi na jedan ili više legitimnih ciljeva navedenih u tom stavku i ako je u demokratskom društvu nužno za postizanje tog cilja ili tih ciljeva(50). Mjera mora biti u skladu s vladavinom prava, izričito navedenom u preambuli EKLJP‑a i svojstvena predmetu i cilju članka 8. te konvencije(51).

69.      Pitanja koja se odnose na ocjenu valjanosti i koja je postavio Cour constitutionnelle (Ustavni sud) valja ispitati s obzirom na ta načela.

2.      Zadiranje u temeljna prava navedena u člancima 7. i 8. Povelje

70.      Sud je već presudio da se odredbe kojima se nalaže ili omogućuje priopćavanje osobnih podataka fizičke osobe trećoj strani, kao što je tijelo javne vlasti, u nedostatku privole tih fizičkih osoba i bez obzira na naknadnu upotrebu predmetnih podataka, moraju smatrati zadiranjem u njihov privatni život i, slijedom toga, ograničenjem temeljnog prava zajamčenog u članku 7. Povelje, pri čemu se ne dovodi u pitanje njihovo eventualno opravdanje(52). Isto vrijedi čak i ako ne postoje okolnosti na temelju kojih se takvo zadiranje može ocijeniti „ozbiljnim” te neovisno o tome jesu li podaci o privatnom životu osjetljivi odnosno jesu li zainteresirane osobe zbog tog zadiranja pretrpjele eventualne neugodnosti(53). Pristup tijelâ javne vlasti takvim podacima predstavlja zadiranje u temeljno pravo na zaštitu osobnih podataka zajamčeno u članku 8. Povelje s obzirom na to da je riječ o obradi osobnih podataka(54). Isto tako, zadržavanje tijekom određenog razdoblja podataka o privatnom životu osobe predstavlja samo po sebi zadiranje u prava zajamčena u člancima 7. i 8. Povelje(55).

71.      Sud je već presudio i da podaci iz PNR‑a, kao što su oni koji su navedeni u Prilogu I., sadržavaju informacije o fizičkim osobama čiji je identitet utvrđen, odnosno dotičnim zrakoplovnim putnicima, te da stoga različita obrada koja se može primijeniti na te podatke utječe na temeljno pravo na poštovanje privatnog života zajamčeno u članku 7. Povelje. Ta je obrada obuhvaćena i člankom 8. Povelje i stoga nužno mora ispunjavati zahtjeve zaštite podataka koji se predviđaju u tom članku(56).

72.      Stoga obrada podataka iz PNR‑a koja se dopušta Direktivom o PNR‑u i, među ostalim, ono što je značajno za potrebe ovog predmeta, prijenos tih podataka u PIU‑ove koji obavljaju zračni prijevoznici, njihova upotreba u tim odjelima, njihov daljnji prijenos nadležnim nacionalnim tijelima u smislu članka 7. te direktive, kao i njihovo čuvanje predstavljaju zadiranja u temeljna prava zajamčena u člancima 7. i 8. Povelje.

73.      Što se tiče ozbiljnosti tih zadiranja, valja istaknuti, kao prvo, da se Direktivom o PNR‑u predviđa sustavni i kontinuirani prijenos u PIU‑ove podataka iz PNR‑a svih zrakoplovnih putnika, kao što se to utvrđuje u članku 3. točki 4. te direktive, koji putuju na letu „između EU‑a i trećih zemalja” u smislu njezina članka 3. točke 2. Takav prijenos podrazumijeva da PIU‑ovi imaju opći pristup svim dostavljenim podacima iz PNR‑a(57). To se utvrđenje ne dovodi u pitanje, suprotno onomu što tvrde određene države članice u ovom postupku, okolnošću da će, s obzirom na to da se na te podatke primjenjuje automatizirana obrada, PIU‑ovi imati konkretan pristup samo podacima čiji je rezultat analize pozitivan. Naime, s jedne strane, takva okolnost dosad nije onemogućila Sud da potvrdi, u okviru sličnih sustava automatizirane obrade osobnih podataka koji se „skupno” prikupljaju i čuvaju, opću prirodu pristupa predmetnih tijela javne vlasti takvim podacima. S druge strane, jednostavno stavljanje na raspolaganje tijelima javne vlasti osobnih podataka radi njihove obrade i čuvanja koje provode ta tijela obuhvaća opći i cjelovit pristup a priori tih tijela takvim podacima i zadiranje u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka.

74.      Kao drugo, u skladu s člankom 2. stavkom 1. Direktive o PNR‑u, države članice mogu odlučiti primijeniti potonju direktivu na letove „unutar EU‑a” u smislu njezina članka 3. točke 3. U tom pogledu ističem, s jedne strane, da se Direktivom o PNR‑u ne predviđa samo mogućnost država članica da prošire njezinu primjenu na letove unutar EU‑a, nego se njome također određuju službeni i materijalni uvjeti kojima se uređuje ostvarivanje te mogućnosti(58) i pojašnjavam da, kad se ta mogućnost ostvaruje samo za određene letove unutar EU‑a, odabir tih letova treba provesti s obzirom na ciljeve koji se nastoje postići navedenom direktivom(59). S druge strane, Direktivom o PNR‑u utvrđuju se posljedice ostvarivanja takve mogućnosti, pri čemu se u njezinu članku 2. stavku 2. predviđa da se, kad država članica odluči primijeniti tu direktivu na letove unutar EU‑a, sve njezine odredbe „primjenjuju […] na letove unutar EU‑a kao da se radi o letovima između EU‑a i trećih zemalja te na podatke iz PNR‑a dobivene na temelju letova unutar EU‑a kao da se radi o podacima iz PNR‑a dobivenima na temelju letova između EU‑a i trećih zemalja”.

75.      U tim okolnostima smatram da, suprotno onomu što tvrdi određen broj vlada koje su podnijele očitovanja u ovom postupku, iako primjena Direktive o PNR‑u na letove unutar EU‑a ovisi o odabiru država članica, pravnu osnovu zadiranjâ u prava na poštovanje privatnog života i zaštitu osobnih podataka povezanih s prijenosom, obradom i čuvanjem podataka iz PNR‑a koji se odnose na te letove, kad se izvrši takav odabir, čini Direktiva o PNR‑u.

76.      Međutim, osim Kraljevine Danske, na koju se ne primjenjuje ta direktiva(60), gotovo sve države članice primjenjuju sustav uspostavljen tom direktivom na letove „unutar EU‑a”(61). Iz toga slijedi da se taj sustav primjenjuje na sve letove koji ulaze u Uniju i izlaze iz nje kao i na gotovo sve letove koji se izvode u Uniji.

77.      Kao treće, što se tiče podataka iz PNR‑a koje treba prenijeti, u Prilogu I. navodi se 19 rubrika koje se odnose na osobne podatke(62), detalje o putovanju zrakoplovom(63) i druge podatke koji se prikupljaju u kontekstu ugovora o zračnom prijevozu, kao što su telefonski broj, adresa elektroničke pošte, načini plaćanja, putnička agencija ili putnički agent, informacije koje se odnose na prtljagu i opće primjedbe(64). Međutim, kao što je to Sud naveo u točki 128. mišljenja 1/15, prilikom odlučivanja o rubrikama navedenima u Prilogu Prijedlogu sporazuma između Kanade i Europske unije o prijenosu i obradi podataka iz popisa imena putnika (u daljnjem tekstu: Prijedlog sporazuma o PNR‑u između Kanade i EU‑a), koje su sastavljene na vrlo sličan način kao one iz Priloga I., „bez obzira što se ne čini da bi pojedini podaci iz PNR‑a, promatrani izolirano, mogli otkrivati važne informacije o privatnom životu dotičnih osoba, ipak ostaje činjenica da ti podaci, promatrani kao cjelina, mogu, među ostalim, otkrivati cjelokupni plan putovanja, putne navike, odnose koji postoje između dviju ili više osoba, kao i informacije o financijskim prilikama zrakoplovnih putnika, njihovim prehrambenim navikama ili zdravstvenom stanju, te da bi čak mogli pružati osjetljive informacije o putnicima”.

78.      Kao četvrto, u skladu s člankom 6. Direktive o PNR‑u, podaci koje prenose zračni prijevoznici namijenjeni su analizi koju provode PIU‑ovi na automatiziran i sustavan način, odnosno neovisno o tome postoji li najmanja naznaka da dotične osobe mogu biti uključene u kaznena djela terorizma ili teška kaznena djela. Konkretnije, u okviru prethodne procjene putnika koja se predviđa u članku 6. stavku 2. točki (a) te direktive i u skladu sa stavkom 3. tog članka, navedeni podaci mogu se provjeriti usporedbom s „relevantnim” bazama podataka (članak 6. stavak 3. točka (a)) i obrađivati u skladu s prethodno utvrđenim kriterijima (članak 6. stavak 3. točka (b)). Doista, prva vrsta obrade može pružiti dodatne informacije o privatnom životu dotičnih osoba(65) i, ovisno o relevantnim bazama podataka za uspoređivanje, može omogućiti i praćenje određenog profila tih osoba. U tim okolnostima prigovor koji je istaknulo nekoliko vlada, prema kojem Direktiva o PNR‑u omogućuje pristup samo jednom skupu osobnih podataka koji je relativno ograničen ne odražava primjereno moguć opseg zadiranjâ koja ta direktiva sadržava u temeljna prava zaštićena člancima 7. i 8. Povelje s obzirom na opseg podataka kojima se na temelju te direktive može dopustiti pristup. Što se tiče druge vrste obrade podataka, koja se predviđa u članku 6. stavku 3. točki (b) Direktive o PNR‑u, podsjećam na to da je Sud u točkama 169. i 172. mišljenja 1/15 naglasio da je svakoj vrsti analize koja se temelji na prethodno utvrđenim kriterijima svojstveno da podrazumijeva određenu stopu pogreške i osobito određen broj „lažnih pozitivnih” rezultata. U skladu s brojčanim podacima iz radnog dokumenta Komisijinih službi(66) (u daljnjem tekstu: radni dokument iz 2020.), priloženog Komisijinu izvješću iz 2020., broj slučajeva pozitivnih rezultata koji su se, nakon pojedinačne provjere koja se predviđa u članku 6. stavku 5. Direktive o PNR‑u, pokazali pogrešnim prilično je velik te se tijekom 2018. i 2019. odnosio na barem pet od šest osoba čiji je identitet utvrđen(67).

79.      Kao peto, u skladu s člankom 12. stavkom 1. Direktive o PNR‑u, podaci iz PNR‑a čuvaju se u bazi podataka u razdoblju od pet godina od njihova prijenosa u PIU države članice na čijem se državnom području nalazi polazište ili odredište leta. Direktivom o PNR‑u stoga se dopušta raspolaganje podacima o privatnom životu zrakoplovnih putnika tijekom prilično dugog razdoblja(68). Osim toga, s obzirom na to da se prijenos podataka iz PNR‑a odnosi na gotovo sve letove koji se izvode iz Unije ili u Uniju kao i unutar Unije i da je zrakoplov postao prilično uobičajeno prijevozno sredstvo, osobni podaci velikog dijela zrakoplovnih putnika mogu se čuvati praktički trajno samo zbog toga jer putuju zrakoplovom najmanje dva puta svakih pet godina.

80.      Naposljetku, na općenitijoj razini, Direktivom o PNR‑u predviđaju se mjere čiji je cilj, kad se razmatraju zajedno, uspostava na razini Unije sustava nadzora koji je „neciljan”, odnosno koji se ne pokreće na temelju sumnje u pogledu jedne ili više određenih osoba, „masovan” jer se primjenjuje na osobne podatke velikog broja pojedinaca(69), pri čemu obuhvaća istu kategoriju osoba u cijelosti(70), te „proaktivan” jer njegov cilj nije samo ispitivanje poznatih prijetnji, nego i pronalazak ili utvrđivanje opasnosti koje su dotad bile nepoznate(71). Takve mjere po samoj svojoj prirodi dovode do ozbiljnih zadiranja u temeljna prava zaštićena člancima 7. i 8. Povelje(72), koja su osobito povezana s njihovom preventivnom i predviđajućom svrhom, kojom se zahtijeva procjena osobnih podataka koji se odnose na velike skupine stanovništva kako bi se „utvrdile” osobe koje, ovisno o rezultatu te procjene, nadležna tijela trebaju dodatno ispitati(73). Osim toga, sve raširenije provođenje, u svrhu sprečavanja određenih teških kaznenih djela, obrade velikih količina osobnih podataka različite prirode koji se „skupno” prikupljaju, kao i njihovo povezivanje i zajednička obrada dovode do „kumulativnog učinka” kojim se pojačava ozbiljnost ograničenja temeljnih prava na poštovanje privatnog života i zaštitu osobnih podataka i kojim se može potaknuti postupak postupnog prelaska prema „društvu u kojem se izvršava nadzor”(74).

81.      Na temelju prethodnih razmatranja smatram da zadiranje u temeljna prava zaštićena člancima 7. i 8. Povelje koje sadržava Direktiva o PNR‑u treba barem kvalificirati kao „ozbiljno”.

82.      Točno je, kao što to osobito tvrdi Komisija, da se na temelju svih zaštitnih mjera i zaštitnih mehanizama koji se predviđaju Direktivom o PNR‑u, osobito kako bi se izbjegla zlouporaba podataka iz PNR‑a, može smanjiti intenzitet ili ozbiljnost tih zadiranja. Svaki sustav kojim se predviđaju pristup osobnim podacima i njihova obrada koju obavljaju tijela javne vlasti ipak predstavlja određenu razinu ozbiljnosti, sa stajališta zaštite predmetnih temeljnih prava, koja je svojstvena njegovim objektivnim značajkama. Tu razinu ozbiljnosti, prema mojem mišljenju, treba odrediti prije nego što se u okviru ocjene proporcionalnosti navedenih zadiranja provede ocjena dostatnosti i primjerenosti zaštitnih mjera koje se predviđaju tim sustavom. Čini mi se da je Sud dosad tako postupao.

83.      Kako bi bile u skladu s Poveljom, zadiranja u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka koja sadržava Direktiva o PNR‑u trebaju ispunjavati uvjete navedene u točkama 65. i 66. ovog mišljenja, što će se ispitati u nastavku u okviru aspekata na koje je Sudu skrenuo pozornost sud koji je uputio zahtjev.

3.      Opravdanje zadiranja koje proizlazi iz Direktive o PNR‑u

84.      Iako se treće prethodno pitanje odnosi na poštovanje uvjeta iz članka 52. stavka 1. prve rečenice Povelje, prema kojem svako zadiranje u temeljno pravo mora biti „predviđeno zakonom”, drugim, četvrtim, šestim i osim prethodnim pitanjem Sudu se osobito postavlja pitanje o poštovanju načela proporcionalnosti iz druge rečenice te odredbe.

a)      Poštovanje zahtjeva prema kojem svako ograničenje ostvarivanja temeljnog prava koje se predviđa Poveljom mora biti predviđeno zakonom 

85.      Prema ustaljenoj sudskoj praksi Suda(75), koja se temelji na sudskoj praksi ESLJP‑a(76), zahtjev prema kojem svako ograničenje ostvarivanja temeljnog prava mora biti „predviđeno zakonom” ne odnosi se samo na „zakonski” izvor zadiranja, o kojem nije riječ u ovom predmetu, nego znači i da se u samoj pravnoj osnovi kojom se dopušta to zadiranje mora jasno i precizno definirati njegov doseg. Budući da je povezan sa „svojstvom zakona” i stoga s dostupnošću i predvidljivošću predmetne mjere(77), taj drugi dio koji obuhvaća izraz „predviđen zakonom” u smislu članka 52. stavka 1. Povelje i njezina članka 8. stavka 2. te članka 8. EKLJP‑a nema za cilj samo osigurati poštovanje načela zakonitosti i primjerenu zaštitu od samovoljnosti(78), nego i ispuniti zahtjev pravne sigurnosti. Taj se zahtjev potvrđuje i u mišljenju od 19. kolovoza 2016. Savjetodavnog odbora Konvencije br. 108(79) o posljedicama u području zaštite podataka uzrokovanim obradom popisa imena putnika (u daljnjem tekstu: mišljenje od 19. kolovoza 2016.)(80).

86.      Donošenjem Direktive o PNR‑u zakonodavac Unije sam je utvrdio ograničenje prava propisanih u člancima 7. i 8. Povelje. Stoga se ne može smatrati da su zadiranja koja se omogućuju tom direktivom u navedena prava posljedica odabira država članica(81), unatoč margini prosudbe koju su potonje države mogle imati u trenutku njezina prenošenja u nacionalno pravo, nego sama Direktiva o PNR‑u predstavlja njihovu pravnu osnovu. U tim je okolnostima bilo na zakonodavcu Unije da, u svrhu usklađivanja sa sudskom praksom navedenom u točki 85. ovog mišljenja i „visokim standardima” zaštite temeljnih prava sadržanih u, među ostalim, Povelji i EKLJP‑u na koje se upućuje u uvodnoj izjavi 15. Direktive o PNR‑u, odredi jasna i precizna pravila kojima se uređuju doseg i primjena mjera koje uključuju navedena zadiranja.

87.      Iako sud koji je uputio zahtjev svojim trećim prethodnim pitanjem pita konkretnije o poštovanju te obveze s obzirom na točke 12. i 18. Priloga I., u okviru ispitivanja drugog, četvrtog i šestog prethodnog pitanja, u kojima taj sud dvoji u pogledu nužnosti zadiranja u temeljna prava navedena u člancima 7. i 8. Povelje koje sadržava Direktiva o PNR‑u, bit će potrebno zauzeti i stajalište o dovoljno jasnoj i preciznoj prirodi odredbi Direktive o PNR‑u koje se dovode u pitanje.

88.      Iako se ta analiza odnosi, kao što sam to naveo u točki 85. ovog mišljenja, na zakonitost zadiranja, u smislu članka 52. stavka 1. prve rečenice Povelje, provest ću tu analizu u okviru ispitivanja njegove proporcionalnosti, navedene u drugoj rečenici tog stavka, u skladu s pristupom koji su primijenili Sud i ESLJP u predmetima u kojima je riječ o mjerama čiji je cilj obrada osobnih podataka(82).

b)      Poštovanje biti pravâ iz članaka 7. i 8. Povelje

89.      U skladu s člankom 52. stavkom 1. prvom rečenicom Povelje, svako ograničenje pri ostvarivanju temeljnih prava mora se temeljiti ne samo na dovoljno preciznoj pravnoj osnovi, nego mora i poštovati bit tih prava.

90.      Kao što sam to naveo u točki 66. ovog mišljenja, taj se zahtjev, koji je uključen u ustave različitih država članica(83) i koji je, iako ga se EKLJP‑om izričito ne priznaje, ipak dobro ukorijenjen u sudsku praksu ESLJP‑a(84), nalazi u članku 52. stavku 1. Povelje(85). Budući da ga je Sud priznao prije njegove kodifikacije(86), takav se zahtjev neprestano potvrđivao u sudskoj praksi sudova Unije, čak i nakon stupanja na snagu Ugovora iz Lisabona.

91.      Iz presude Schrems(87) od 6. listopada 2015. osobito proizlazi da, ako se aktima prava Unije ne poštuje bit temeljnog prava, to automatski dovodi do njegove ništavosti ili nevaljanosti a da pritom nije potrebno izvršiti odvagivanje relevantnih interesa. Sud stoga priznaje da je temeljno pravo „jezgra” koja svakome jamči područje slobode zaštićeno od bilo kakva zadiranja javnih vlasti i koja ne može biti podložna ograničenjima(88), osim ako se dovedu u pitanje demokratska načela, vladavina prava i poštovanje ljudskog dostojanstva na kojima se temelji zaštita temeljnih prava. Osim toga, iz teksta članka 52. stavka 1. Povelje, iz sudske prakse Suda te, među ostalim, iz presude Schrems I proizlazi da se ocjena koja se odnosi na postojanje zadiranja u bit predmetnog temeljnog prava mora provesti prije ocjene proporcionalnosti sporne mjere i neovisno o toj ocjeni. Drugim riječima, riječ je o testu koji ima vlastitu autonomiju.

92.      S obzirom na to, izuzetno je složen postupak utvrditi što čini „bit”, i to nedodirljivu, temeljnog prava čije se ostvarivanje može ograničiti. Ako taj pojam, kako bi ispunio svoju funkciju, treba moći definirati u apsolutnom smislu, s obzirom na ključna obilježja predmetnog temeljnog prava, na subjektivne i objektivne interese koji se njime nastoje zaštititi i, općenitije, s obzirom na njegovu funkciju u demokratskom društvu koje se temelji na poštovanju ljudskog dostojanstva(89), takav je postupak u praksi gotovo nemoguć a da se barem ne uzmu u obzir kriteriji koji se obično upotrebljavaju za ispitivanje proporcionalnosti zadiranja u predmetno pravo, kao što je ozbiljnost tog zadiranja, njegov opseg ili vremenska dimenzija i stoga da se ne uzmu u obzir specifična obilježja svakog pojedinog slučaja.

93.      Što se osobito tiče temeljnog prava na poštovanje privatnog života, valja uzeti u obzir ne samo važnost koju za mentalno i fizičko zdravlje svakog pojedinca, njegovu dobrobit, neovisnost, osobni potencijal i sposobnost da gradi i njeguje društvene odnose ima činjenica da pojedinac raspolaže privatnošću u kojoj razvija vlastitu nutrinu, nego i ulogu koju to pravo ima kako bi se zaštitila ostala prava i slobode kao što su, među ostalim, sloboda mišljenja, savjesti, vjeroispovijedi, izražavanja i informiranja, čije potpuno ostvarivanje podrazumijeva priznavanje privatnosti. Općenitije, valja uzeti u obzir funkciju koju u demokratskom društvu ima poštovanje prava na privatan život(90). Čini se da Sud ocjenjuje postojanje povrede biti tog prava, pri čemu uzima u obzir intenzitet i opseg zadiranja, na temelju čega se može smatrati da se takva povreda utvrđuje kvantitativno, a ne kvalitativno. Prema tome, s jedne strane, Sud je u presudi Digital Rights u biti smatrao da obveza zadržavanja podataka iz Direktive 2006/24/EZ(91) nije dosegla razinu ozbiljnosti koja bi utjecala na bit prava na poštovanje privatnog života jer se njome ne dopušta „uvid u sadržaj elektroničke komunikacije kao takav”(92). S druge strane, u mišljenju 1/15 Sud je u biti smatrao da ograničenje koje obuhvaća samo određene aspekte privatnog života dotičnih osoba ne može dovesti do zadiranja u bit tog temeljnog prava(93).

94.      Što se tiče temeljnog prava na zaštitu osobnih podataka, čini se da Sud smatra da je bit tog prava očuvana kada mjera kojom se utvrđuje zadiranje ograničava svrhe obrade i predviđa pravila kojima se osigurava sigurnost predmetnih podataka, osobito od nenamjernog ili nezakonitog uništenja i nenamjernoga gubitka ili izmjene(94).

95.      Ako sud koji je uputio zahtjev u ovom predmetu nije izričito uputio na poštovanje biti prava navedenih u člancima 7. i 8. Povelje, četvrto i šesto prethodno pitanje temelje se, prema mojem mišljenju, na pitanju poštovanja tog zahtjeva. Stoga predlažem Sudu da ispita to pitanje.

96.      U tom pogledu podsjećam da, iako je Sud u točki 150. mišljenja 1/15 priznao da podaci iz PNR‑a „eventualno mogu otkrivati vrlo precizne informacije o privatnom životu neke osobe”(95) i da te informacije mogu, izravno ili neizravno, otkriti osjetljive podatke o dotičnoj osobi(96), što se tiče Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, Sud je ipak zaključio da, s obzirom na to da je „priroda tih informacija [bila ograničena] na određene aspekte tog privatnog života, posebice vezane uz zrakoplovna putovanja između Kanade i Unije”, povreda temeljnog prava na poštovanje privatnog života nije mogla utjecati na bit navedenog prava.

97.      Međutim, osim okolnosti da se podaci iz PNR‑a koje obuhvaća Prijedlog sporazuma o PNR‑u između Kanade i EU‑a trebaju prenijeti u treću državu i da njihovu daljnju obradu trebaju obaviti tijela te treće države na njezinu području, zadiranje u temeljno pravo na poštovanje privatnog života koje proizlazi iz navedenog prijedloga sporazuma i zadiranja koja se predviđaju Direktivom o PNR‑u po svojoj se prirodi uvelike podudaraju. To je osobito slučaj s predmetnim podacima iz PNR‑a, sa sustavnošću i općenitošću prijenosa i obrade tih podataka, automatiziranom prirodom te obrade i čuvanjem navedenih podataka. Suprotno tomu, ono po čemu se dva predmeta razlikuju je takoreći „zemljopisna pokrivenost” tih zadiranja. Naime, kao što sam to naveo u točki 77. ovog mišljenja, obrade podataka o kojima je riječ u ovom predmetu nisu ograničene na zračne veze sa samo jednom trećom zemljom, kao što je to slučaj u mišljenju 1/15, nego se odnose na gotovo sve letove koji ulaze u Uniju i izlaze iz nje te one koji se izvode u Uniji. Iz toga slijedi da se u odnosu na Prijedlog sporazuma o PNR‑u između Kanade i EU‑a Direktivom o PNR‑u nalaže sustavna obrada znatno većeg broja zrakoplovnih putnika koji putuju zrakoplovom unutar i izvan Unije. K tomu, s obzirom na povećanje količine obrađenih podataka i učestalosti njihova prikupljanja, njihova će obrada vjerojatno pružiti preciznije i opsežnije informacije o privatnom životu dotičnih osoba (putne navike, osobni odnosi, financijske situacije itd.).

98.      Te se informacije, kad se razmatraju zasebno kao što je to bio slučaj u mišljenju 1/15, ipak odnose samo na određene aspekte privatnog života koji su povezani sa zrakoplovnim putovanjima. Međutim, s obzirom na potrebu da se pojam „bit” temeljnih prava usko definira kako bi zadržao svoju funkciju uporišta protiv napada na samu bit tih prava, smatram da se zaključak do kojeg je Sud došao u točki 150. mišljenja 1/15 može primijeniti na ovaj predmet. 

99.      U mišljenju 1/15 Sud je isključio i povredu biti prava na zaštitu osobnih podataka(97). Prema mojem mišljenju, taj se zaključak također može primijeniti na okolnosti ovog predmeta. Naime, kao što je to bio slučaj Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, Direktivom o PNR‑u u njezinu članku 1. stavku 2. ograničavaju se svrhe obrade podataka iz PNR‑a. Osim toga, ta direktiva, kao i ostali akti Unije na koje se u njoj upućuje, osobito GDPR i Direktiva o policiji, sadržavaju posebne odredbe koje su namijenjene, među ostalim, osiguravanju sigurnosti, povjerljivosti i integriteta tih podataka te njihovoj zaštiti od nezakonitog pristupa i obrade. Iako se ne može smatrati da zakonodavstvo kao što je ono koje se predviđa Direktivom o PNR‑u utječe na bit temeljnih prava zaštićenih člancima 7. i 8. Povelje, nad tim se zakonodavstvom ipak treba provesti obvezan i strog nadzor njegove proporcionalnosti.

c)      Poštovanje zahtjeva prema kojem zadiranje mora odgovarati cilju u općem interesu

100. Direktivom o PNR‑u osobito se nastoji zajamčiti unutarnja sigurnost u Uniji i zaštititi živote i sigurnost osoba prijenosom podataka iz PNR‑a nadležnim tijelima država članica s ciljem njihove upotrebe u okviru borbe protiv terorizma i teških kaznenih djela(98).

101. Konkretnije, iz članka 1. stavka 2. Direktive o PNR‑u, u vezi s njezinim uvodnim izjavama 6. i 7., te iz Komisijina prijedloga koji je doveo do donošenja te direktive (u daljnjem tekstu: Prijedlog direktive o PNR‑u)(99) proizlazi da u okviru takvog cilja tijela za izvršavanje zakonodavstva podatke iz PNR‑a upotrebljavaju(100) na različite načine. Kao prvo, ti se podaci upotrebljavaju za identifikaciju osoba koje su uključene ili se sumnja da su uključene u kaznena djela terorizma i teška kaznena djela koja su se već počinila, za prikupljanje dokaza te, po potrebi, za pronalazak pomagača počinitelja kaznenih djela i razotkrivanje kriminalnih mreža (upotreba u „reaktivnom načinu”). Kao drugo, podaci iz PNR‑a mogu se ocijeniti prije dolaska ili odlaska putnika kako bi se spriječilo počinjenje kaznenog djela i identificirale osobe koje prethodno nisu bile osumnjičene za sudjelovanje u kaznenim djelima terorizma ili u teškim kaznenim djelima i koje bi na temelju rezultata te procjene tijela za izvršavanje zakonodavstva trebala dodatno ispitati (upotreba u „stvarnom načinu”). Konačno, podaci iz PNR‑a upotrebljavaju se kako bi se definirali kriteriji procjene koji se kasnije mogu primijeniti u procjeni rizika koji putnici predstavljaju prije svojeg dolaska i prije odlaska (upotreba u „proaktivnom načinu”). Takva proaktivna upotreba podataka iz PNR‑a treba tijelima za izvršavanje zakonodavstva omogućiti sagledavanje prijetnje koja proizlazi iz teških kaznenih djela i terorizma na drukčiji način nego što se to dopušta obradom drugih kategorija osobnih podataka(101).

102. Iz sudske prakse Suda proizlazi da je cilj zaštite javne sigurnosti, koji obuhvaća, među ostalim, sprečavanje, istragu, otkrivanje i kazneni progon kaznenih djela terorizma i kaznenih djela koja se odnose na teška kaznena djela, cilj od općeg interesa Unije u smislu članka 52. stavka 1. Povelje, kojim se mogu opravdati čak i ozbiljna zadiranja u temeljna prava utvrđena u člancima 7. i 8. Povelje(102).

103. Sud je priznao i da ciljevi zaštite javne sigurnosti i borbe protiv teških kaznenih djela pridonose zaštiti prava i sloboda drugih osoba(103). Stoga, što se tiče pravilnog odvagivanja tih ciljeva i temeljnih prava utvrđenih u člancima 7. i 8. Povelje(104), valja uzeti u obzir i važnost prava utvrđenih u člancima 3., 4., 6. i 7. Povelje. U tom pogledu, iako je Sud u presudi La Quadrature du Net smatrao da se članak 6. Povelje „ne može […] tumačiti na način da tijelima javne vlasti određuje obvezu donošenja posebnih mjera radi kažnjavanja određenih kaznenih djela”(105), s druge strane, što se osobito tiče djelotvorne borbe protiv kaznenih djela čije su žrtve, među ostalim, maloljetnici i druge ranjive osobe, Sud je naglasio da pozitivne obveze na teret tijela javne vlasti mogu proizlaziti iz članka 7. Povelje radi donošenja pravnih mjera za zaštitu privatnog i obiteljskog života, kao i iz njezinih članka 3. i 4. u pogledu zaštite tjelesnog i duhovnog integriteta osoba kao i zabrane mučenja te nečovječnog i ponižavajućeg postupanja(106).

104. Konačno, Sud je smatrao da važnost cilja u vidu zaštite nacionalne sigurnosti nadmašuje važnost ciljeva općenite borbe protiv kriminala, čak i teškog, kao i zaštite javne sigurnosti i da stoga može opravdati mjere koje podrazumijevaju ozbiljnija zadiranja u temeljna prava od onih koja bi mogli opravdati ti drugi ciljevi(107). Budući da terorističke aktivnosti mogu predstavljati prijetnju nacionalnoj sigurnosti država članica, sustav koji je uspostavljen Direktivom o PNR‑u, s obzirom na to da služi kao instrument za borbu protiv takvih aktivnosti, pridonosi cilju zaštite nacionalne sigurnosti država članica.

d)      Poštovanje načela proporcionalnosti

105. U skladu s člankom 52. stavkom 1. drugom rečenicom Povelje, podložno načelu proporcionalnosti, ograničenja ostvarivanja temeljnog prava koje se priznaje Poveljom moguća su samo ako su potrebna i ako zaista odgovaraju ciljevima od općeg interesa koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba.

106. U tom pogledu valja podsjetiti na to da, prema ustaljenoj sudskoj praksi Suda, načelo proporcionalnosti zahtijeva da su akti institucija Unije sposobni ostvariti legitimne ciljeve koje slijedi zakonodavstvo o kojem je riječ i da ne prelaze granice onog što je prikladno i nužno za ostvarenje tih ciljeva(108).

107. U skladu s ustaljenom sudskom praksom Suda, zaštita temeljnog prava na poštovanje privatnog života na razini Unije zahtijeva da su odstupanja i ograničenja u zaštiti osobnih podataka u granicama onog što je strogo nužno. Usto, cilj od općeg interesa ne može se postići a da se u obzir ne uzme činjenica da se on mora pomiriti s temeljnim pravima na koja se mjera odnosi, tako da se cilj od općeg interesa, s jedne strane, pravilno odvagne s predmetnim pravima, s druge strane(109). Konkretnije, proporcionalnost ograničenja prava propisanih u člancima 7. i 8. Povelje treba ocijeniti tako da se odmjeri ozbiljnost zadiranja koje takvo ograničenje podrazumijeva i provjeri da je važnost cilja od općeg interesa koji se nastoji postići tim ograničenjem proporcionalna toj ozbiljnosti(110).

108. Iz sudske prakse Suda proizlazi da se, kako bi se ispunio uvjet proporcionalnosti, Direktivom o PNR‑u, kao pravnom osnovom koja sadržava zadiranja u temeljna prava utvrđena u člancima 7. i 8. Povelje opisanih u točkama 70. do 83. ovog mišljenja, moraju predvidjeti jasna i precizna pravila kojima se uređuju doseg i primjena mjera koje uključuju takva zadiranja te propisati minimalne uvjete na način da osobe čiji se osobni podaci obrađuju raspolažu dostatnim jamstvima koja omogućuju djelotvornu zaštitu njihovih osobnih podataka od rizika zlouporabe kao i od svih nezakonitih pristupa i uporabe tih podataka(111). Nužnost raspolaganja takvim jamstvima još je i značajnija kad su, kao u ovom slučaju, osobni podaci podvrgnuti automatskoj obradi i kad je u pitanju zaštita te konkretne kategorije osobnih podataka, a to su osjetljivi podaci(112).

109. Što se tiče opsega sudskog nadzora poštovanja zahtjeva koji proizlaze iz načela proporcionalnosti, s obzirom na važnu ulogu koju ima zaštita osobnih podataka u odnosu na temeljno pravno na poštovanje privatnog života i zadiranje u to pravo koje sadržava Direktiva o PNR‑u, ovlast ocjene zakonodavca Unije smanjena je na način da taj nadzor mora biti strog(113).

1)      Prikladnost obrade podataka iz PNR‑a na koju se odnosi Direktiva o PNR‑u s obzirom na cilj koji se nastoji ostvariti

110. U točki 153. mišljenja 1/15 Sud je u pogledu Prijedloga sporazuma o PNR‑u između Kanade i EU‑a potvrdio da se prijenos podataka iz PNR‑a u Kanadu i naknadna obrada tih podataka mogu smatrati prikladnima za osiguravanje postizanja cilja u pogledu javne zaštite i sigurnosti. Čini mi se da se ta prikladnost, koja je već dugo priznata na razini Unije i na svjetskoj razini(114), ne može dovesti u pitanje što se tiče prikupljanja i naknadne obrade podataka iz PNR‑a u pogledu letova između EU‑a i trećih zemalja te letova unutar EU‑a(115).

111. S obzirom na to, učinkovitost sustava obrade podataka iz PNR‑a koji je uspostavljen direktivom može se procijeniti samo u praksi, ocjenjivanjem rezultata njegove primjene(116). S tog stajališta, bitno je da se takva učinkovitost kontinuirano procjenjuje na temelju najpreciznijih i najpouzdanijih statističkih podataka(117). U tom pogledu Komisija bi redovito trebala provoditi preispitivanje jednako onomu koje se već predviđa u članku 19. Direktive o PNR‑u.

2)      Stroga nužnost zadiranja

112. Iako Cour constitutionnelle (Ustavni sud) nije izričito istaknuo dvojbe u pogledu činjenice da Direktiva o PNR‑u sadržava jasna i precizna pravila koja su ograničena na ono što je strogo nužno u pogledu razgraničenja svrha obrade podataka iz PNR‑a(118), u analizi proporcionalnosti sustava koji se predviđa tom direktivom, koju je zatražio sud koji je uputio zahtjev, ne može se, prema mojem mišljenju, izostaviti rješavanje tog pitanja(119).

i)      Razgraničenje svrha obrade podataka iz PNR‑a

113. Jasno razgraničenje svrha za koje je nadležnim tijelima dopušten pristup osobnim podacima te njihova naknada upotreba odlučujući je uvjet svakog sustava obrade podataka, osobito u svrhu izvršavanja zakona. Osim toga, ispunjenje tog uvjeta potrebno je kako bi se Sudu omogućilo da ocijeni proporcionalnost predmetnih mjera primjenom testa ozbiljnosti zadiranja u odnosu na važnost cilja koji se nastoji ostvariti utvrđenog u njegovoj sudskoj praksi(120).

114. Sud je naglasio važnost jasnog razgraničenja svrha mjera koje uključuju ograničenja temeljnih prava na poštovanje privatnog života i zaštitu osobnih podataka, osobito u presudi Digital Rights u kojoj je Direktivu 2006/24 proglasio nevaljanom. U točki 60. te presude Sud je napomenuo da se tom direktivom ne predviđa „nikakav objektivni kriterij koji bi omogućio ograničenje pristupa nadležnih nacionalnih tijela podacima i njihove naknadne uporabe u svrhu sprečavanja, otkrivanja ili kaznenih progona koji se odnose na kaznena djela koja se mogu, s obzirom na širinu i težinu miješanja u temeljna prava iz članaka 7. i 8. Povelje, smatrati dovoljno teškima za opravdanje takvog miješanja” i da se ona, suprotno tomu, ograničava „u članku 1. stavku 1. […] na općenito upućivanje na teška kaznena djela koja svaka država članica definira u svojem unutarnjem pravu”.

115. U članku 1. stavku 2. Direktive o PNR‑u navodi se opći kriterij ograničenja svrhe prema kojem se „[p]odaci iz PNR‑a prikupljeni u skladu s ovom Direktivom mogu […] obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela”. Međutim, suprotno Direktivi 2006/24, Direktiva o PNR‑u nije ograničena na takvo navođenje, nego se njome samom u njezinu članku 3. točkama 8. i 9. definira pojmove „kaznena djela terorizma” te „teška kaznena djela”, prvi pojam upućivanjem na članke 1. i 4. Okvirne odluke Vijeća 2002/475/PUP od 13. lipnja 2002. o suzbijanju terorizma (SL 2002., L 164, str. 3.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 9., str. 214.) (koju je zamijenila Direktiva (EU) 2017/541(121), a drugi pojam, s jedne strane, navođenjem kategorija kaznenih djela iz Priloga II. koje odgovaraju tom pojmu i, s druge strane, uspostavljanjem stupnja težine u pogledu maksimalnog trajanja kazne zatvora ili mjere oduzimanja slobode kojima su ta kaznena djela kažnjiva.

116. Iako upućivanje na relevantne odredbe Direktive 2017/541 omogućuje da se na dovoljno jasan i precizan način utvrde djela koja se mogu kvalificirati kao kaznena djela terorizma na temelju članka 3. točke 8. Direktive o PNR‑u i da se ocijeni njihova težina radi odvagivanja važnosti cilja zaštite javne sigurnosti koji se nastoji postići tom direktivom i ozbiljnosti zadiranja koje ona sadržava u temeljna prava utvrđena u člancima 7. i 8. Povelje, isti se zaključak ne nalaže toliko očito u pogledu svih kaznenih djela navedenih u Prilogu II.

117. U točki 177. mišljenja 1/15 Sud je smatrao da se u Prijedlogu sporazuma o PNR‑u između Kanade i EU‑a jasno i precizno definira stupanj težine kaznenih djela obuhvaćenih pojmom „teški oblik prekograničnog kriminaliteta”, pri čemu je odredio da se za ta kaznena djela „može izreći kazna oduzimanja slobode od najmanje četiri godine ili stroža”, uputio „na kaznena djela definirana kanadskim pravom” i naveo „različit[e] slučajev[e] u kojima se kazneno djelo smatra prekograničnim”.

118. U odnosu na propis koji Sud ispituje u tom mišljenju, Direktivom o PNR‑u, kao prvo, u definiciji predmetnih kaznenih djela ne uzima se u obzir njihova prekogranična priroda, kao drugo, predviđa se iscrpan katalog kaznenih djela koja se po svojoj prirodi smatraju teškim kaznenim djelom, pod uvjetom da se dosegne najmanje trajanje maksimalne kazne koja se predviđa u članku 3. točki 9. te direktive i, kao treće, načelno se smanjuje stupanj težine donošenjem kriterija koji se temelji na razini maksimalne kazne i utvrđivanjem tog stupnja na tri godine.

119. Kao prvo, što se tiče nepostojanja kriterija ograničenja koji se temelji na prekograničnoj prirodi, točno je da bi se ograničavanjem materijalnog područja primjene Direktive o PNR‑u samo na teške oblike „prekograničnog” kriminaliteta omogućilo da se utvrde kaznena djela koja po svojoj prirodi barem potencijalno mogu održavati objektivnu vezu sa zrakoplovnim putovanjima i stoga s kategorijama podataka koji su prikupljeni i obrađeni u skladu s Direktivom o PNR‑u(122). Međutim, načelno se slažem sa stajalištem koje je izrazila Komisija, prema kojem su, drukčije nego u kontekstu međunarodnog sporazuma, relevantnost i nužnost takvog kriterija manje očite kad je riječ o mehanizmu borbe protiv kaznenih djela čiji je cilj zaštititi unutarnju sigurnost Unije. Osim toga, kao što to i dalje tvrdi Komisija, nepostojanje prekograničnih elemenata samo po sebi nije naznaka koja omogućuje da se isključi težina kaznenog djela.

120. Kao drugo, što se tiče kriterija kojim se utvrđuje stupanj težine predmetnih kaznenih djela koji, kako bi omogućio ocjenu ex ante te težine, treba tumačiti na način da se odnosi na maksimalno trajanje kazne zatvora ili mjere oduzimanja slobode koje se predviđa zakonom, a ne na trajanje koja se može konkretno izreći u određenom slučaju; taj kriterij, iako se temelji na najmanjem trajanju maksimalne kazne, a ne na najmanjem trajanju minimalne kazne, nije sam po sebi neprikladan za utvrđivanje dovoljne razine težine kojom se može opravdati zadiranje u temeljna prava utvrđena u člancima 7. i 8. Povelje koje uključuje obrada podataka predviđena Direktivom o PNR‑u. Međutim, prema mojem mišljenju, taj bi kriterij trebalo tumačiti kao kriterij kojim se utvrđuje „najmanja” razina težine. Stoga se takvim kriterijem kojim se državama članicama zabranjuje da „teškim kaznenim djelima” smatraju kaznena djela iz Priloga II. za koja se u njihovu nacionalnom kaznenom pravu predviđa kazna zatvora ili mjera oduzimanja slobode u najduljem trajanju do tri godine, države članice naprotiv ne obvezuje da automatski priznaju takvu kvalifikaciju za sva kaznena djela koja mogu biti uključena u navedeni Prilog II. i koja su kažnjiva kaznom koja doseže stupanj predviđen u članku 3. točki 9. Direktive o PNR‑u, kada bi, uzimajući u obzir osobitosti njihova kaznenog sustava, takvo priznanje dovelo do upotrebe sustava koji se Direktivom o PNR‑u predviđa u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona oblika općih kaznenih djela, suprotno ciljevima koji se nastoje postići tom direktivom.

121. Kao treće, što se tiče kataloga iz Priloga II., najprije valja istaknuti da okolnost da se u Direktivi o PNR‑u iscrpno navode kaznena djela obuhvaćena definicijom „teških kaznenih djela” predstavlja temeljno formalno i ključno jamstvo kako bi se osigurala zakonitost sustava uspostavljenog Direktivom o PNR‑u i pravna sigurnost putnika. Međutim, valja utvrditi da navedeni katalog uključuje kaznena djela koja po svojoj prirodi imaju nedvojbeno visoku razinu težine, kao što su to primjerice trgovanje ljudima, spolno iskorištavanje djece i dječje pornografije, nedopuštena trgovina oružjem ili nuklearnim ili radioaktivnim materijalima, protupravno oduzimanje zrakoplova ili brodova, kaznena djela iz nadležnosti Međunarodnog kaznenog suda, ubojstvo, silovanje, otmica, protupravno oduzimanje slobode i držanje talaca (123), kao i kaznena djela za koja je ta razina težine manje očita, kao što su prijevara, krivotvorenje i piratstvo proizvoda, krivotvorenje administrativnih isprava i trgovina njima te trgovina ukradenim vozilima(124). Osim toga, među kaznenim djelima koja su uključena u Prilog II. neka od njih po svojoj prirodi mogu imati izraženiju prekograničnu prirodu od ostalih, kao što je trgovanje ljudima, nedopušteno trgovanjem opojnim drogama ili oružjem, spolno iskorištavanje djece, omogućavanje neovlaštenog ulaska i boravka, protupravno oduzimanje zrakoplova, te mogu biti povezana i sa zračnim prijevozom putnika.

122. Što se tiče dovoljno jasne i precizne prirode rubrika navedenih u Prilogu II., i u tom je slučaju razina vrlo različita. Stoga, iako se popis sadržan u tom prilogu treba smatrati iscrpnim, nekoliko je njegovih rubrika „neodređeno”(125), a druge se odnose na generičke pojmove koji mogu uključivati vrlo velik broj kaznenih djela čija je težina promjenjiva, iako uvijek unutar granice najvišeg stupnja predviđenog u članku 3. točki 9. Direktive o PNR‑u(126).

123. U tom pogledu ističem da, s jedne strane, direktive o usklađivanju koje su donesene u područjima iz članka 83. stavka 1. UFEU‑a navedenima u bilješci 123. ovog mišljenja pružaju relevantne elemente koji omogućuju utvrđivanje barem određenih teških kaznenih djela koja se mogu uključiti u odgovarajuće rubrike Priloga II. Stoga se, među ostalim, Direktivom 2013/40 u njezinim člancima 3. do 8. definiraju različita kaznena djela koja obuhvaća pojam „računalni kriminal/kiberkriminalitet” iz točke 9. tog Priloga II., pri čemu se u svakom slučaju uzima u obzir to da se isključe djela koja čine „lakše slučajeve”(127). Isto tako, Direktivom 2019/713 definiraju se određene vrste kaznenih djela prijevara, a Direktivom 2017/1371 definiraju se elementi koji čine „prijevaru počinjenu protiv financijskih interesa Unije”. U tom kontekstu valja navesti i Direktivu 2008/99/EZ o zaštiti okoliša putem kaznenog prava(128), donesenu na temelju članka 175. stavka 1. EZ‑a, u čijem se članku 3. definira niz teških kaznenih djela protiv okoliša, koja bi se mogla uključiti u rubriku 10. Priloga II., uključujući radnje koje se mogu kvalificirati kao „trgovin[a] ugroženim životinjskim vrstama te ugroženim biljnim vrstama i sortama”, pri čemu su isključena sva djelovanja koja imaju neznatan utjecaj na zaštićeno dobro. Konačno, podsjećam na Direktivu 2002/90/EZ(129), kojom se definira olakšavanje neovlaštenog ulaska, tranzita i boravka te na Okvirnu odluku 2002/946/PUP(130), kojom se nastoji ojačati kaznenopravni okvir za sprečavanje tih kaznenih djela, Okvirnu odluku 2003/568/PUP(131), kojom se definiraju kaznena djela koja se kvalificiraju kao „aktivna i pasivna korupcija u privatnom sektoru” i Okvirnu odluku 2008/841/PUP(132), kojom se definiraju kaznena djela koja se odnose na sudjelovanje u zločinačkoj organizaciji.

124. S druge strane, ističem da, kao što to pravilno napominje Komisija, u nedostatku potpunog usklađivanja materijalnog kaznenog prava zakonodavcu Unije ne može se prigovoriti to da nije dodatno pojasnio kaznena djela iz Priloga II. Stoga, za razliku od onog što ću kasnije navesti u ovom mišljenju u pogledu popisa podataka iz PNR‑a iz Priloga I., prijenos kataloga kaznenih djela iz Priloga II. u nacionalno pravo nužno zahtijeva da države članice definiraju kaznena djela koja taj katalog može obuhvaćati s obzirom na osobitosti svojih nacionalnih kaznenih sustava. Međutim, taj se postupak treba provesti uz puno poštovanje kriterija prema kojem svako zadiranje u temeljna prava iz članaka 7. i 8. Povelje treba ograničiti na ono što je strogo nužno. Stoga primjerice, prema mojem mišljenju, nije isključeno da države članice predvide da se za određena kaznena djela, kao što su primjerice ona iz točaka 7., 16., 17., 18. i 25. Priloga II., upotreba podataka iz PNR‑a ograniči na slučajeve u kojima su ta kaznena djela prekogranične prirode ili su počinjena u okviru zločinačke organizacije ili uključuju određene otegotne okolnosti. Na sudovima je država članica da, pod nadzorom Suda, tumače nacionalne odredbe kojima se navedeni katalog prenosi u nacionalno pravo u skladu s Direktivom o PNR‑u i Poveljom, tako da obrada podataka iz PNR‑a za svaku rubriku ostane ograničena na kaznena djela koja dosežu visoku razinu težine koja se zahtijeva tom direktivom i na kaznena djela za koja je takva obrada relevantna(133).

125. U skladu s pojašnjenjima iz točaka 120. i 124. ovog mišljenja, smatram da članak 3. točka 9. Direktive o PNR‑u i katalog kaznenih djela iz njezina Priloga II. ispunjavaju zahtjeve jasnoće i preciznosti i ne prelaze granice onog što je strogo nužno.

126. Međutim, valja priznati da rješenje navedeno u točki 124. ovog mišljenja nije potpuno zadovoljavajuće. Naime, s jedne strane, tim se rješenjem državama članicama ostavlja velika diskrecijska ovlast, tako da se materijalno područje primjene obrade podataka iz PNR‑a može znatno razlikovati od jedne države članice do druge, čime se tako ugrožava cilj usklađivanja koji zakonodavac Unije nastoji postići(134). S druge strane, to rješenje podrazumijeva da se nadzor proporcionalnosti nad ključnim elementom sustava, kao što je ograničenje svrhe te obrade, izvršava ex post nad nacionalnim mjerama za prenošenje, a ne ex ante nad samom Direktivom o PNR‑u. Stoga bi bilo poželjno smatrati, ako Sud odluči, kao što mu predlažem da to učini, da su članak 3. točka 9. Direktive o PNR‑u te katalog kaznenih djela iz njezina Priloga II. u skladu s člancima 7. i 8. Povelje te člankom 52. stavkom 1. Povelje, te da on skrene pozornost zakonodavca Unije na činjenicu da je takva ocjena samo privremena i da podrazumijeva da taj zakonodavac, s obzirom na prijenos te odredbe i tog kataloga koji su izvršile države članice i na temelju statističkih podataka iz članka 20. Direktive o PNR‑u, provjeri nužnost: (i) da se dodatno, uz ograničavanje dosega, pojasne kategorije kaznenih djela koje obuhvaća navedeni katalog, (ii) da se iz njega isključe kaznena djela za koja obrada podataka iz PNR‑a nije proporcionalna, relevantna ili učinkovita te (iii) da se povisi stupanj težine kaznenih djela iz članka 3. točke 9. Direktive o PNR‑u(135). U tom pogledu ističem da, ako se člankom 19. stavkom 2. točkom (b) Direktive o PNR‑u Komisiju obvezuje da provede preispitivanje svih elemenata te direktive i da pri tom posebno vodi računa o „potrebi i proporcionalnosti prikupljanja i obrade podataka iz PNR‑a za svaku svrhu utvrđenu” u toj direktivi, ni Komisijino izvješće iz 2020. ni radni dokument iz 2020. koji je priložen tom izvješću, prema mojem mišljenju, ne sadržavaju zadovoljavajuću provjeru u tom pogledu.

ii)    Kategorije podataka iz PNR‑a koje su obuhvaćene Direktivom o PNR‑u (drugo i treće prethodno pitanje)

127. Direktiva o PNR‑u predviđa prijenos u PIU‑ove 19 kategorija podataka iz PNR‑a koje su zračni prijevoznici prikupili u svrhu rezervacije letova. Te kategorije, koje su navedene u Prilogu I., odgovaraju kategorijama koje se pojavljuju u rezervacijskim sustavima zračnih prijevoznika i onima koje su navedene u Prilogu I. Smjernicama o podacima iz evidencije podataka o putnicima koje je 2010. donijela Međunarodna organizacija civilnog zrakoplovstva (ICAO)(136) (u daljnjem tekstu: Smjernice ICAO‑a).

128. Svojim drugim prethodnim pitanjem sud koji je uputio zahtjev pita o valjanosti Priloga I. s obzirom na članke 7. i 8. te članak 52. stavak 1. Povelje, uzimajući u obzir, s jedne strane, opseg osobnih podataka navedenih u tom prilogu i osobito API podataka iz točke 18. tog priloga jer su širi od podataka navedenih u članku 3. stavku 2. Direktive o API‑ju i, s druge strane, mogućnost da ti podaci, kad se razmatraju zajedno, otkrivaju osjetljive podatke i tako povređuju granice onog što je „strogo nužno”. Svojim trećim prethodnim pitanjem, koje se, kao što sam to već imao priliku naglasiti, odnosi na poštovanje prvog od triju uvjeta iz članka 52. stavka 1. Povelje, prema kojem svako zadiranje u temeljno pravo mora biti „predviđeno zakonom”, Cour constitutionnelle (Ustavni sud) ipak pita Sud o valjanosti točaka 12. i 18. Priloga I., osobito s obzirom na njihovu „neodređenost”.

129. Budući da ispitivanje koje treba provesti u okviru drugog prethodnog pitanja pretpostavlja pitanje o dovoljno jasnoj i preciznoj prirodi kategorija osobnih podataka iz Priloga I., najprije ću razmotriti treće prethodno pitanje.

–       Dovoljno jasna i precizna priroda točaka 12. i 18. Priloga I. (treće prethodno pitanje)

130. Najprije valja istaknuti da širina i težina zadiranja u temeljna prava iz članaka 7. i 8. Povelje koje podrazumijeva mjeru kojom se uvode ograničenja ostvarivanja tih prava prije svega ovisi o opsegu i prirodi osobnih podataka koji su predmet obrade. Stoga identifikacija tih podataka predstavlja osnovnu radnju koja se koliko je to moguće jasno i precizno mora provesti u okviru svake pravne osnove kojom se uvodi takva mjera.

131. Što se tiče obrade podataka iz PNR‑a, taj se zahtjev priznao u mišljenju 1/15. Odlučujući o rubrikama iz Priloga Prijedloga sporazuma o PNR‑u između Kanade i EU‑a koji sadržava popis podataka iz PNR‑a obuhvaćenih predviđenim sporazumom, Sud je u tom mišljenju smatrao, među ostalim, da primjena općih kategorija informacija kojima se ne određuje u dovoljnoj mjeri opseg podataka koje treba prenijeti te upotreba oglednih popisa podataka kojima se ne postavljaju nikakva ograničenja u pogledu prirode i opsega informacija koje se mogu pojaviti u predmetnoj rubrici ne ispunjavaju zahtjeve jasnoće i preciznosti.

132. S obzirom na ta načela, valja ispitati treće prethodno pitanje.

133. Što se tiče točke 12. Priloga I., ona glasi kako slijedi:

„Opće primjedbe (uključujući sve dostupne informacije o maloljetnim putnicima bez pratnje mlađima od 18 godina, kao što su ime i spol maloljetnika, dob, jezik/jezici koje govori, ime i kontaktni podaci pratitelja na polasku i kako je povezan s maloljetnikom, ime i kontaktni podaci pratitelja na dolasku i kako je povezan s maloljetnikom, agent na polasku i dolasku).”

134. U dijelu u kojem se odnosi na „opće primjedbe”, ta točka, poput rubrike 17. iz Priloga Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, predstavlja takozvanu rubriku za „slobodni tekst” koja može uključivati sve informacije koje su zračni prijevoznici prikupili u okviru svoje aktivnosti pružanja usluge, uz one koje su izričito navedene u drugim točkama Priloga I. Međutim, valja utvrditi, kao što je to Sud učinio u točki 160. mišljenja 1/15, da takva rubrika „ne daje nikakvu naznaku o vrsti i opsegu informacija koje se trebaju prenijeti, pa izgleda da bi čak mogla uključivati informacije koje nemaju nikakve veze sa svrhom prijenosa podataka iz PNR‑a”. K tomu, budući da se pojašnjenje u zagradama iz teksta točke 12. Priloga I., koje obuhvaća informacije o maloljetnim putnicima bez pratnje, daje samo kao primjer, što potvrđuje korištenje izraza „uključujući”, tom se točkom ne postavlja nikakvo ograničenje u pogledu vrste i opsega informacija koje se u njoj mogu navesti(137).

135. U tim okolnostima, ne može se smatrati da je točka 12. Priloga I. definirana dovoljno jasno i precizno.

136. Iako se čini da se Komisija i Parlament slažu s tim zaključkom, države članice koje su podnijele očitovanja o trećem prethodnom pitanju i Vijeće mu se protive i to na temelju argumenata koji se uvelike preklapaju.

137. Kao prvo, prvi niz argumenata općenito se odnosi na dovođenje u pitanje mogućnosti prenošenja na ovaj predmet zaključaka do kojih je Sud došao u mišljenju 1/15.

138. U tom pogledu, iako sam svjestan da je kontekst tih dvaju predmeta različit, ovdje ću samo napomenuti da se zaključak do kojeg je Sud došao u točki 160. mišljenja 1/15 u pogledu rubrike 17. iz Priloga Prijedloga sporazumu o PNR‑u između Kanade i EU‑a temelji na isključivo semantičkom i strukturnom tumačenju te rubrike. Naime, takvo se tumačenje u potpunosti može primijeniti na točku 12. Priloga I. čiji je tekst, u dijelu koji nije primjer, identičan tekstu navedene rubrike i ima sličnu strukturu. Osim toga, kao što će se to detaljnije vidjeti u nastavku, dva su predmetna pravila dio istog multilateralnog regulatornog konteksta koji čine, među ostalim, Smjernice ICAO‑a na koje je Sud uostalom izričito uputio u točki 156. mišljenja 1/15. U tim okolnostima ne samo da se ništa ne protivi tomu da se na točku 12. Priloga I. primijeni isto tumačenje kao što je ono koje je Sud predložio u točki 160. mišljenja 1/15 za rubriku 17. iz Priloga Prijedloga sporazumu o PNR‑u između Kanade i EU‑a, nego štoviše ne postoji opravdanje da se od njega odstupi.

139. Kao drugo, brojne države članice naglašavaju da različite točke Priloga I., uključujući točku 12., odgovaraju rubrikama iz Priloga I. Smjernicama ICAO‑a s kojima su zračni prijevoznici dobro upoznati i u pogledu kojih u potpunosti mogu dati precizan sadržaj. Ta točka 12. osobito odgovara posljednjim dvjema rubrikama navedenog priloga, naslovljenima „opće primjedbe” i „slobodni tekst/polja s oznakama u OSI‑ju (ostale dodatne informacije), SSR‑u (informacije o zahtjevima za posebne usluge), SSI‑ju (informacije o posebnim uslugama), primjedbe/povijest” i koje se odnose na „dodatne informacije” ili „koje se odnose na tražene usluge”(138).

140. U tom pogledu najprije napominjem da podudaranje između, s jedne strane, rubrika iz Priloga I. Prijedloga sporazumu o PNR‑u između Kanade i EU‑a, s druge strane, rubrika iz Priloga I. Smjernica ICAO‑a nije spriječilo Sud da u mišljenju 1/15 proglasi da određene rubrike iz Priloga I. navedenog prijedloga sporazumu ne ispunjavaju zahtjeve jasnoće i preciznosti kojima mora odgovarati mjera kojom se ograničava ostvarivanje temeljnih prava. Nadalje, ističem da upućivanje, koje osim toga nije izričito(139), na Smjernice ICAO‑a ne omogućuje, suprotno onomu što se čini da smatraju određene države članice, da se dodatno pojasne priroda i opseg informacija koje mogu biti navedene u točki 12. Priloga I. Naprotiv, tumačenje tih smjernica potkrepljuje zaključak da rubrika „slobodni tekst”, kao što je navedena točka 12., uključuje neodređeni broj informacija različite prirode, uz one koje su službeno navedene u PNR‑u(140).

141. Kao treće, određene vlade tvrde da je na državama članicama da provedbom unutarnjih zakonskih mjera i u skladu s ograničenjima koja se postavljaju člancima 7., 8. i člankom 52. stavkom 1. Povelje pojasne koje se informacije mogu nalaziti u točki 12. Priloga I. Naime, u samoj je prirodi direktive da državama članicama ostavlja marginu prosudbe u pogledu sredstava koja su potrebna za provedbu njezinih odredbi.

142. U tom pogledu, kao što sam to već naveo u točki 86. ovog mišljenja, kad mjere koje uključuju zadiranja u temeljna prava utvrđena Poveljom proizlaze iz zakonodavnog akta Unije, smatram da je na zakonodavcu Unije da uz poštovanje prethodno navedenih kriterija jasnoće i preciznosti te načela proporcionalnosti utvrdi točan opseg tih zadiranja. Iz toga slijedi da, ako je instrument koji je odabrao taj zakonodavac direktiva, prema mojem mišljenju, prilikom njezina prenošenja u nacionalna prava ne može se državama članicama delegirati da odrede ključne elemente na temelju kojih se utvrđuje opseg zadiranja, kao što su, u pogledu ograničavanja temeljnih prava navedenih u članku 7. i 8. Povelje, priroda i opseg osobnih podataka koji podliježu obradi.

143. Kao četvrto, određene države članice napominju da točku 12. Priloga I. treba shvatiti na način da se odnosi isključivo na informacije koje su povezane s uslugom prijevoza. Ako se tako tumači, ta je točka u skladu s člancima 7. i 8. te člankom 52. stavkom 1. Povelje.

144. Ni taj mi se argument ne čini uvjerljivim. Naime, prije svega, informacije koje se mogu navesti u rubrici „opće primjedbe” i pod oznakama OSI, SSI i SSR vrlo su heterogene (zdravstvena zaštita, posebni obroci ili prehrambene sklonosti, svi zahtjevi za pomoć, informacije koje se odnose na maloljetnike koji putuju sami itd.)(141) i sve su povezane s uslugom prijevoza jer je njihov cilj omogućiti zračnom prijevozniku da prilagodi tu uslugu zahtjevima svakog putnika. Kriterij tumačenja koji se temelji na relevantnosti informacije u odnosu na uslugu prijevoza stoga ne omogućuje da se dodatno pojasni opseg te točke 12. Nadalje, ističem da je Sud, iako je u točki 159. mišljenja 1/15 primijenio taj kriterij kako bi u skladu sa zahtjevima jasnoće i preciznosti tumačio drugu rubriku iz Priloga Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, ipak isključio mogućnost postupanja na taj način u pogledu rubrike 17. iz tog priloga, koja odgovara točki 12. Priloga I.

145. Kao peto, nekoliko država članica naglasilo je činjenicu da nekoliko informacija iz točke 12. Priloga I. zračnim prijevoznicima dobrovoljno pružaju sami putnici koji su propisno obaviješteni o naknadnom prijenosu tih podataka tijelima javne vlasti. Čini mi se da ideja na kojoj se temelji takav argument podrazumijeva da postoji određena vrsta prešutne suglasnosti dotičnog putnika da se podaci koje pruži zračnim prijevoznicima potom prenesu tijelima javne vlasti.

146. U tom je pogledu Sud već imao priliku pojasniti da ne može biti riječ o „pristanku” jer se dotična osoba ne može slobodno protiviti obradi svojih osobnih podataka(142). Međutim, dotični putnik ne raspolaže pravim izborom za velik dio informacija koje se mogu navesti u točki 12. Priloga I., ali ih je dužan pružiti kako bi se mogao koristiti uslugom prijevoza. To je osobito slučaj s osobama s invaliditetom ili smanjenom pokretljivošću, osobama kojima je potrebna zdravstvena skrb ili pak maloljetnicima bez pratnje. Osim toga, podsjećam na to da je Sud u točkama 142. i 143. mišljenja 1/15 jasno potvrdio da se ne može smatrati da se obrade podataka iz PNR‑a koje javna tijela obavljaju u svrhu različitu od one za koju su te podatke prikupili zračni prijevoznici temelje na bilo kakvoj vrsti pristanka koji su u pogledu tog prikupljanja dali putnici.

147. Konačno, većina država članica tvrdi da je obrada podataka koja se predviđa Direktivom o PNR‑u popraćena brojnim zaštitnim mjerama među kojima je, kad je riječ o prijenosu podataka u PIU‑ove, obveza PIU‑ova da izbrišu podatke koji nisu navedeni u Prilogu I. i podatke koji bi mogli otkriti rasno ili etničko podrijetlo osobe, njezina politička mišljenja, vjeru ili filozofska uvjerenja, članstvo u sindikatu, zdravstveno stanje, seksualni život ili spolnu orijentaciju.

148. U tom pogledu, najprije ću navesti da se, prema mojem mišljenju, ocjena dovoljno jasne i precizne prirode pravilâ kojima se definiraju opseg i priroda podataka koji mogu biti predmet prijenosa tijelima javne vlasti, jer je njezin cilj osigurati da se mjerom koja uključuje zadiranja u temeljna prava navedena u člancima 7. i 8. Povelje poštuju načela zakonitosti i pravne sigurnosti, mora provesti a da se ne uzmu u obzir zaštitne mjere koje prate obradu tih podataka koju će obaviti navedena tijela s obzirom na to da se te zaštitne mjere uzimaju u obzir samo tijekom ispitivanja proporcionalnosti predmetne mjere. Uostalom, Sud je upravo na taj način postupio u točkama 155. do 163. mišljenja 1/15 u svojoj ocjeni rubrika iz Prijedloga sporazuma o PNR‑u između Kanade i EU‑a. Dodajem da općenito posebnu pozornost treba posvetiti potrebi da se zadrži jasna razlika među različitim fazama ispitivanja mjere koja uključuje zadiranja u temeljna prava s obzirom na to da se spoj između tih različitih faza, prema mojem mišljenju, uvijek odvija na štetu djelotvorne zaštite tih prava.

149. S obzirom na navedeno, samo ću istaknuti da je, s jedne strane, obveza koju PIU‑ovi imaju u skladu s člankom 6. stavkom 1. Direktive PNR‑u da izbrišu podatke koji nisu navedeni u Prilogu I. korisna samo ako taj prilog sadržava jasan i zatvoren katalog podataka koje treba prenijeti. Isto vrijedi za obvezu koju PIU‑ovi imaju u skladu s člankom 13. stavkom 4. Direktive o PNR‑u da izbrišu takozvane „osjetljive” podatke(143). Naime, nejasna, neprecizna ili neodređena definicija informacija koje se moraju prenijeti povećava vjerojatnost da će takvi podaci biti neizravno preneseni te rizik od toga da se neće odmah utvrditi i izbrisati. Drugim riječima, prethodno navedene zaštitne mjere mogu korisno ispuniti svoju funkciju samo ako su pravila kojima se definiraju priroda i opseg podataka iz PNR‑a koje su zračni prijevoznici dužni prenijeti u PIU‑ove dovoljno jasna i precizna i ako je popis tih podataka zatvoren i taksativan.

150. Na temelju svih prethodnih razmatranja i kao što sam to već najavio u točki 135. ovog mišljenja, smatram da točka 12. Priloga I., u dijelu u kojem se u njoj „opće primjedbe” uključuju među podatke koje su zračni prijevoznici dužni prenijeti u PIU‑ove u skladu s Direktivom o PNR‑u ne ispunjava zahtjeve jasnoće i preciznosti koji se zahtijevaju člankom 52. stavkom 1. Povelje kako ga tumači Sud(144) i da bi je stoga, u toj mjeri, trebalo proglasiti nevaljanom.

151. Komisija i Parlament u svojim su pisanim očitovanjima predložili Sudu da umjesto toga primijeni „usklađeno tumačenje” točke 12. Priloga I., tako da je tumače na način da se odnosi samo na podatke o maloljetnicima koji su u njoj izričito navedeni u zagradama. Priznajem da mi je teško smatrati da se takvim tumačenjem poštuju granice jednostavnog usklađenog tumačenja. Točno je da se, u skladu s općim načelom tumačenja, akt Unije mora tumačiti u najvećoj mogućoj mjeri tako da se ne dovede u pitanje njegova valjanost i u skladu s cjelokupnim primarnim pravom i osobito odredbama Povelje(145). Također je točno, što se tiče Direktive o PNR‑u, da mogućnost takvog tumačenja ide u prilog naglasku koji se, među ostalim, u znatnom broju uvodnih izjava te direktive stavlja na puno poštovanje temeljnih prava, pravo na poštovanje privatnog života te načelo proporcionalnosti(146). Međutim, iz ustaljene sudske prakse proizlazi i da je usklađeno tumačenje dopušteno samo kad tekst sekundarnog prava Unije može imati više od jednog tumačenja i da je stoga moguće dati prednost tumačenju koje odredbu čini sukladnom s primarnim pravom, a ne tumačenju koje bi je učinilo neusklađenom s njime(147).

152. Međutim, prema mojem mišljenju, točku 12. Priloga I. ne može se tumačiti na način kako to predlažu Komisija i Parlament, osim da se tumači „contra legem”. Naime, kao što sam to prethodno naveo, ta se točka odnosi na široku kategoriju podataka različite prirode koji se a priori ne mogu utvrditi i u odnosu na koju podaci o maloljetnicima čine potkategoriju. Ako se ta točka tumači na način da se odnosi samo na tu potkategoriju, ne samo da bi se time zanemario dio njezina teksta, nego bi se narušio logički slijed njezina iskaza. Takav postupak, koji se u biti sastoji u uklanjanju dijela teksta točke 12. Priloga I. za koji se smatra da nije u skladu sa zahtjevima jasnoće i preciznosti, može se, prema mojem mišljenju, provesti samo ako se proglasi djelomično poništenje.

153. Što se tiče preostalog dijela točke 12. Priloga I., u kojem je naveden niz podataka koji se odnosi na maloljetnike bez pratnje, smatram da se njime ispunjavaju zahtjevi jasnoće i preciznosti pod uvjetom da ga se tumači na način da obuhvaća samo informacije koje se odnose na maloljetnike bez pratnje koje su izravno povezane s letom i na koje se ta točka izričito odnosi.

154. Što se tiče točke 18. Priloga I., ona glasi kako slijedi:

„Sve informacije o putnicima koje će prevoziti (API) (uključujući vrstu, broj, zemlju izdavanja i datum isteka roka važenja bilo kojeg osobnog dokumenta, državljanstvo, prezime, ime, spol, datum rođenja, zračnog prijevoznika, broj leta, datum polaska, datum dolaska, zračnu luku polaska, zračnu luku dolaska, vrijeme polaska i vrijeme dolaska)”.

155. Ta točka ima strukturu sličnu strukturi točke 12. Priloga I. U njoj se također navodi općenita kategorija podataka, odnosno prethodno prikupljene informacije o putnicima (Advance Passenger Information – API), nakon koje je u zagradama naveden popis podataka koji se smatraju uključenima u tu općenitu kategoriju, a koji se pruža samo kao primjer, kao što to potvrđuje upotreba izraza „uključujući”.

156. Međutim, suprotno točki 12. Priloga I., u točki 18. tog priloga upućuje se na kategoriju podataka koje je u pogledu njihove prirode i opsega moguće lakše utvrditi. Naime, iz uvodne izjave 4. Direktive o PNR‑u proizlazi da ta direktiva, kad upućuje na tu kategoriju podataka, obuhvaća informacije koje u skladu s Direktivom o API‑ju, na koju se u toj uvodnoj izjavi izričito upućuje, zračni prijevoznici prenose nadležnim nacionalnim tijelima s ciljem poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja. Ti se podaci navode u članku 3. stavku 2. potonje direktive.

157. K tomu, iz uvodne izjave 9.(148) Direktive o PNR‑u, kao i iz članka 3. stavka 2. Direktive o API‑ju te oglednog popisa navedenog u točki 18. Priloga I. proizlazi da su API podaci iz navedene točke, s jedne strane, osobni podaci koji omogućuju provjeru identiteta zrakoplovnog putnika i, s druge strane, podaci koji se odnose na rezervirani let. Konkretnije, što se tiče prve kategorije, odnosno one s osobnim podacima, informacije navedene u članku 3. stavku 2. Direktive o API‑ju i u točki 18. Priloga I. obuhvaćaju strojno čitljive podatke dobivene tijekom prijave na let koji se mogu preuzeti iz dijela putovnice (ili drugog putnog dokumenta)(149).

158. Prema tome, u točki 18. Priloga I., koja se tumači s obzirom na uvodne izjave 4. i 9. Direktive o PNR‑u, u načelu se dovoljno jasno i precizno utvrđuje barem priroda podataka na koje se odnosi.

159. Što se tiče njihova opsega, treba utvrditi, s jedne strane, da je i članak 3. stavak 2. Direktive o API‑ju sastavljen „neodređeno”, pri čemu popisu podataka koji se u njemu navode prethodi izraz „navedene informacije sadržavaju”(150) i, s druge strane, da se u kategoriji API podataka, kako se ona utvrđuje u multilateralnim instrumentima usklađivanja u tom području, nalaze i podaci različiti od onih koje obuhvaćaju Direktiva o API‑ju i točka 18. Priloga I.(151).

160. U tim okolnostima, kako bi točka 18. Priloga I. ispunila zahtjeve jasnoće i preciznosti koji se zahtijevaju za pravne osnove koje uključuju zadiranja u članke 7. i 8. Povelje, valja je tumačiti na način da ona obuhvaća samo API podatke koji su izričito navedeni u toj točki i u članku 3. stavku 2. Direktive o API‑ju te koje su zračni prijevoznici prikupili tijekom svojeg redovitog poslovanja(152).

161. U toj fazi valja kratko preispitati ostale točke iz Priloga I. koje su, uzimajući u obzir njihov tekst, „neodređene” ili nisu dovoljno jasne, iako sud koji je uputio zahtjev nije izričito o njima pitao Sud(153).

162. Što se najprije tiče točke 5. Priloga I. u kojoj se navode „adresa i kontaktni podaci (telefonski broj, adresa e‑pošte)”, iako treba smatrati da se odnosi samo na kontaktne podatke koji su izričito navedeni u zagradama te je stoga taksativna, u njoj se ipak ne pojašnjava, kao što je to bio slučaj s odgovarajućom rubrikom iz Prijedloga sporazuma o PNR‑u između Kanade i EU‑a(154), odnose li se ti kontaktni podaci na samog putnika ili na treće strane koje su izvršile rezervaciju leta za zrakoplovnog putnika, na treće strane čijim je posredstvom moguće kontaktirati zrakoplovnog putnika ili pak treće strane koje treba obavijestiti u hitnim slučajevima(155). S obzirom na činjenicu da bi se tumačenjem točke 5. Priloga I. na način da se odnosi i na prethodno navedene kategorije trećih strana proširilo zadiranje koje sadržava Direktiva o PNR‑u na druge subjekte koji nisu zrakoplovni putnici u smislu članka 3. točke 4. Direktive o PNR‑u, predlažem Sudu da, u nedostatku točnih podataka na temelju kojih bi se moglo smatrati da sustavno i općenito prikupljanje kontaktnih podataka o tim trećim stranama predstavlja element koji je strogo nužan za učinkovitost sustava obrade podataka iz PNR‑a uspostavljenog tom direktivom, navedenu točku tumači na način da se odnosi samo na kontaktne podatke koji su u njoj izričito navedeni i koji se odnose na zrakoplovnog putnika na čije je ime izvršena rezervacija. Točno je da se Direktivom o PNR‑u ne isključuje mogućnost prijenosa u PIU‑ove i osobnih podataka drugih subjekata koji nisu zrakoplovni putnici(156). Međutim, bitno je da se pretpostavke u kojima je to moguće jasno i izričito navedu, kao što je slučaj s putničkim agentima iz Priloga I. točke 9. ili pratiteljima maloljetnika koji putuju sami iz točke 12. tog priloga. Naime, samo ako je ispunjen taj uvjet, može se smatrati da je odluka o uključivanju tih podataka u podatke koji se moraju prenijeti u PIU‑ove bila predmet odvagivanja različitih relevantnih interesa u smislu uvodne izjave 15. Direktive o PNR‑u i da se dotične treće strane može na odgovarajući način obavijestiti o obradi njihovih osobnih podataka.

163. Nadalje, što se tiče točke 6. Priloga I. koja obuhvaća „[sve] poda[tke] o načinu plaćanja, uključujući adresu za slanje računa”, kao što je to Sud presudio u točki 159. mišljenja 1/15 u pogledu odgovarajuće rubrike iz Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, kako bi ispunila zahtjeve jasnoće i preciznosti, tu točku treba tumačiti na način da se „odnosi samo na informacije o načinima plaćanja i izdavanja računa za zrakoplovnu kartu, pri čemu su isključene sve ostale informacije koje nisu izravno vezane za let”. Stoga te informacije ne mogu uključivati, primjerice, informacije o načinima plaćanja drugih usluga koje nisu izravno povezane s letom, kao što je to najam vozila po dolasku(157).

164. Što se tiče točke 8. koja se odnosi na „[p]oda[tke] o programima vjernosti”, ona se u skladu sa standardima ICAO‑a definira kao da se odnosi na broj računa i status putnika koji sudjeluje u programu vjernosti(158). Ako se tumači na taj način, ta točka ispunjava zahtjeve jasnoće i preciznosti.

165. Što se tiče točke 10. Priloga I., koja se odnosi na „[s]tatus putnika, uključujući informacije o potvrdi, prijavi na let, neprijavljivanju na let ili prijavi u posljednjem trenutku bez rezervacije”, te točke 13. tog priloga, koja se odnosi na „[i]nformacije s putne karte, uključujući broj karte, datum izdavanja karte, jednosmjerne karte, polja elektronskih karata koja se odnose na cijenu (Automated Ticket Fare Quote)”, iako je njihov tekst neodređen, te se točke odnose samo na informacije koje su vrlo precizne i mogu se jasno utvrditi te su izravno povezane s letom. To vrijedi i za točku 14. Priloga I., koja se odnosi na „[b]roj sjedala i ostale informacije o sjedalu”, te točku 16. tog priloga, koja se odnosi na „[s]ve informacije koje se odnose na prtljagu.”

–       Opseg podataka navedenih u Prilogu I. (drugo prethodno pitanje)

166. Među elementima koje Sud uzima u obzir prilikom ocjene proporcionalnosti mjere koja uključuje zadiranja u prava propisana u člancima 7. i 8. Povelje navodi se da obrađeni osobni podaci moraju biti primjereni i relevantni te da ne smiju biti pretjerani (načelo „smanjenja količine podataka”)(159). Ista se provjera predviđa sudskom praksom ESLJP‑a(160) i zagovara Konvencijom br. 108(161).

167. Iz uvodne izjave 15. Direktive o PNR‑u proizlazi da je popis podataka iz PNR‑a koji se prenosi u PIU‑ove istodobno sastavljen s ciljem odražavanja legitimnih zahtjeva tijela javnih vlasti za borbu protiv terorizma i teških kaznenih djela te zaštite temeljnih prava na poštovanje privatnog života i zaštite osobnih podataka primjenom „visokih standarda” u skladu s Poveljom, Konvencijom br. 108 i EKLJP‑om. U istoj uvodnoj izjavi pojašnjava se da bi podaci iz PNR‑a trebali, među ostalim, sadržavati samo informacije o rezervaciji i planu puta putnika kako bi nadležna tijela mogla identificirati zrakoplovne putnike koji predstavljaju opasnost unutarnjoj sigurnosti.

168. Kao prvo, što se tiče primjerenosti i relevantnosti podataka iz PNR‑a navedenih u Prilogu I., različite točke tog priloga, uključujući točke 5., 6., 8. i 18., kako predlažem da ih se tumači(162), te točka 12., osim dijela za koji predlažem da se proglasi nevaljanim(163), odnose se samo na podatke koji pružaju informacije izravno povezane sa zrakoplovnim putovanjima koje su obuhvaćene područjem primjene Direktive o PNR‑u. K tomu, ti podaci održavaju objektivnu vezu s ciljevima koji se nastoje postići tom direktivom. Konkretnije, API podaci mogu se upotrebljavati, među ostalim, u „reaktivnom načinu” kako bi se identificirala osoba koja je već poznata tijelima za izvršavanje zakonodavstva, primjerice zato što se sumnja da je uključena u kaznena djela terorizma ili teška kaznena djela koja su se već počinila ili će počiniti takvo kazneno djelo, dok se podaci iz PNR‑a mogu upotrebljavati u „stvarnom ili proaktivnom načinu” kako bi se identificirale prijetnje koje predstavlja osoba koja još nije poznata tijelima za izvršavanje zakonodavstva.

169. Kao drugo, što se tiče opsega podataka iz PNR‑a navedenih u Prilogu I., ti podaci, uključujući one iz točaka 5., 6., 8., 12. i 18. tog priloga, kako predlažem da ih se tumači u točkama 134. do 164. ovog mišljenja, nisu pretjerani ako se uzme u obzir, s jedne strane, važnost cilja javne sigurnosti koji se nastoji postići Direktivom o PNR‑u i, s druge strane, sposobnost sustava uspostavljenog tom direktivom kako bi se postigao taj cilj.

170. Što se tiče osobito API podataka o kojima sud koji je uputio zahtjev osobito postavlja pitanje, ističem da ti podaci, koji su osobni i odnose se na poduzeto putovanje, općenito omogućuju dobivanje samo onih informacija koje su ograničene na privatan život dotičnih putnika. Osim toga, točno je da točka 18. Priloga I. obuhvaća informacije koje nisu među onima izričito navedenima u članku 3. stavku 2. Direktive o API‑ju, te se informacije, koje se odnose na identitet zrakoplovnog putnika (spol), putni dokument koji se koristi (zemlja izdavanja, datum isteka roka važenja bilo kojeg osobnog dokumenta) ili pak na poduzeti let (zračni prijevoznik, broj leta, datum i zračna luka polaska i dolaska), djelomično preklapaju ili se mogu preuzeti iz podataka iz PNR‑a navedenih u drugim točkama Priloga I., primjerice iz točaka 3., 7. i 13. K tomu, s obzirom na to da se odnose na osobne podatke ili putne dokumente koji se koriste, navedene informacije mogu pomoći tijelima za izvršavanje zakonodavstva da potvrde identitet pojedinca i, kao što se to ističe u uvodnoj izjavi 9. Direktive o PNR‑u, tako smanje rizik od provođenja provjera i istraga nedužnih osoba. Naposljetku, valja naglasiti da sama činjenica da točka 18. Priloga I. uključuje dodatne podatke u odnosu na one navedene u članku 3. stavku 2. Direktive o API‑ju ne može automatski dovesti do tvrdnje o pretjeranosti tih podataka jer se tom direktivom i Direktivom o PNR‑u nastoje postići različiti ciljevi.

171. Što se tiče podataka koji se odnose na maloljetnike bez pratnje, navedene u točki 12. Priloga I., oni obuhvaćaju kategoriju ranjivih osoba koje uživaju posebnu zaštitu, uključujući u pogledu poštovanja njihova privatnog života i zaštite njihovih osobnih podataka(164). Ograničenje tih prava ipak se može pokazati potrebnim, osobito kako bi se djeca zaštitila od teških kaznenih djela čije bi žrtve mogla postati, kao što su trgovanje i spolno iskorištavanje djece ili otmica djece. Stoga se ne može a priori smatrati da točka 12. Priloga I., time što zahtijeva prijenos većeg broja osobnih podataka što se tiče maloljetnika bez pratnje, prekoračuje ono što je strogo nužno.

172. Iako osobni podaci koje su zračni prijevoznici dužni prenijeti u PIU‑ove u skladu s Direktivom o PNR‑u, prema mojem mišljenju, ispunjavaju zahtjeve primjerenosti i relevantnosti te iako njihov opseg ne prekoračuje ono što je strogo nužno za funkcioniranje sustava uspostavljenog tom direktivom, takav prijenos ipak se odnosi na znatan broj osobnih podataka različite prirode za svakog dotičnog putnika te iznimno veliki broj takvih podataka u apsolutnom smislu. U tim je okolnostima ključno da takav prijenos poprate dostatna jamstva čiji je cilj, s jedne strane, osigurati da se prenesu samo oni podaci na koje se izričito upućuje i, s druge strane, osigurati sigurnost i povjerljivost prenesenih podataka.

173. U tom pogledu valja istaknuti, s jedne strane, da je zakonodavac Unije najprije predvidio niz jamstava koja omogućuju ograničavanje kategorija podataka iz PNR‑a koji su dostupni tijelima za izvršavanje zakonodavstva i koja omogućuju da se osigura da taj pristup ostane ograničen samo na podatke čija se obrada smatra nužnom u skladu s ciljevima koji se žele postići Direktivom o PNR‑u. Prema tome, kao prvo, u toj se direktivi iscrpno i precizno, podložno razmatranjima navedenima u okviru odgovora na treće prethodno pitanje, navode podaci koji se mogu prenijeti u PIU‑ove. Kao drugo, u Direktivi o PNR‑u izričito se navodi da se samo podaci s tog popisa, koji proizlazi iz odvagivanja različitih interesa i zahtjeva navedenih u uvodnoj izjavi 15. te direktive, mogu prenijeti u PIU‑ove (članak 6. stavak 1. Direktive o PNR‑u). Kao treće, u toj se direktivi pojašnjava da, ako preneseni podaci iz PNR‑a sadržavaju podatke koji nisu navedeni u Prilogu I., PIU ih „odmah po primitku trajno” briše (članak 6. stavak 1. Direktive o PNR‑u). Kao četvrto, navedenom se direktivom predviđa da se podaci iz PNR‑a iz Priloga I. mogu prenijeti samo ako su zračni prijevoznici takve podatke već prikupili tijekom svojeg redovitog poslovanja (članak 8. stavak 1. i uvodna izjava 8. Direktive o PNR‑u), što znači da PIU‑ovima nisu sustavno dostupni svi podaci koji su navedeni u Prilogu I., nego samo oni koji su navedeni u sustavu rezervacija dotičnog operatera. Kao peto, člankom 8. stavkom 1. Direktive o PNR‑u zračnim prijevoznicima nalaže se da primjenom metode „unošenja” prenose podatke iz PNR‑a u PIU‑ove. Ta metoda, koja se preporuča u Smjernicama ICAO‑a(165), podrazumijeva da navedeni prijevoznici sami prenose podatke iz PNR‑a u baze podataka PIU‑ova. U odnosu na metodu „povlačenja”, koja nadležnim tijelima omogućuje da pristupe sustavima operatora i iz njihovih baza podataka izvuku kopiju traženih podataka, metoda „unošenja” pruža veću zaštitu jer predmetnom zračnom prijevozniku dodjeljuje ulogu zaštitnika i nadzornika podataka iz PNR‑a. Naposljetku, u skladu sa Smjernicama ICAO‑a i načelom „jedinstveni prozor”(166), Direktivom o PNR‑u predviđa se da se prijenos podataka iz PNR‑a odvija preko jednog tijela, PIU‑a, koje djeluje pod nadzorom službenika iz članka 5. te direktive i osobito pod nadzorom nacionalnog nadzornog tijela iz članka 15. navedene direktive.

174. S druge strane, Direktivom o PNR‑u predviđa se određeni broj zaštitnih mjera čiji je cilj očuvati sigurnost podataka iz PNR‑a. U tom pogledu upućujem na članak 13. stavak 2. te direktive, na temelju kojeg su članci 28. i 29. Direktive o policiji, koji se odnose na povjerljivost obrade i sigurnost podataka, primjenjivi na svaku obradu osobnih podataka koja se obavlja na temelju te direktive, kao i na stavak 3. istog članka u kojem se, što se tiče obrade podataka iz PNR‑a koju obavljaju zračni prijevoznici, podsjeća na obveze koje na temelju GDPR‑a imaju potonji prijevoznici, osobito u pogledu odgovarajućih tehničkih i organizacijskih mjera koje treba poduzeti za zaštitu sigurnosti i povjerljivosti tih podataka(167).

175. Naposljetku, valja naglasiti da se Direktivom o PNR‑u, u njezinim uvodnim izjavama 29. i 37., priznaje pravo putnika na „točne, lako dostupne i razumljive informacije” o, među ostalim, prikupljanju podataka iz PNR‑a, pri čemu se od država članica traži da osiguraju da se to pravo poštuje. Iako to priznanje ne znači da odredba u tekstu direktive o PNR‑u ima obvezujuću vrijednost, podsjećam na to da se, kao što sam to naveo tijekom ispitivanja prvog prethodnog pitanja, na prijenos podataka iz PNR‑a u PIU‑ove primjenjuju odredbe GDPR‑a. Zračni prijevoznici stoga su dužni u okviru tog prijenosa postupati u skladu s, među ostalim, člancima 13. i 14. GDPR‑a, kojima se predviđa pravo na informiranje dotičnih osoba o obradi osobnih podataka. Iako bi valjalo da u okviru prenošenja Direktive o PNR‑u države članice izričito predviđaju pravo na informiranje zrakoplovnih putnika, kako se ono priznaje u uvodnim izjavama 29. i 37. te direktive, u svakom je slučaju isključena mogućnost da ograniče doseg članaka 13. i 14. GDPR‑a u skladu s člankom 23. stavkom 1. te uredbe jer bi to bilo protivno duhu te direktive. Naime, da bi bilo djelotvorno, takvo pravo mora se odnositi i na kategorije podataka iz PNR‑a koji se prenose.

176. S obzirom na sva prethodna razmatranja, smatram da su podaci iz PNR‑a, čija se obrada predviđa Direktivom o PNR‑u, podložno predloženim ograničenjima i pojašnjenjima koja su iznesena u okviru trećeg prethodnog pitanja, relevantni i primjereni te da nisu pretjerani s obzirom na svrhe koje se nastoje postići tom direktivom i da njihov opseg ne prelazi ono što je strogo nužno za ostvarenje tih svrha.

–       Osjetljivi podaci

177. Direktivom o PNR‑u općenito se zabranjuje svaka obrada „osjetljivih podataka”(168).

178. Iako ta direktiva ne sadržava definiciju pojma „osjetljivi podaci”, iz njezina članka 13. stavka 4. proizlazi da taj pojam uključuje barem „podat[ke] iz PNR‑a kojima se otkrivaju rasa ili etničko podrijetlo osobe, njezini politički stavovi, vjera ili filozofska uvjerenja, članstvo u sindikatu, zdravstveno stanje ili seksualni život ili spolna orijentacija”(169). U točki 165. mišljenja 1/15 Sud je pojasnio da bi svaka mjera koja se temelji na postulatu da bi jedna ili više tih značajki „mogle, same po sebi i neovisno o pojedinačnom ponašanju odnosnog putnika, biti relevantne u odnosu na svrhu obrade podataka iz PNR‑a, […] kršila prava zajamčena člancima 7. i 8. u vezi s člankom 21. Povelje”. Budući da zabranjuje svaku obradu podataka iz svojeg članka 13. stavka 4., Direktivom o PNR‑u stoga se poštuju granice koje Sud nalaže za upotrebu tih kategorija podataka u okviru sustava obrade podataka iz PNR‑a, kao što to proizlazi iz nacionalnog prava, prava Unije i međunarodnog sporazuma koji je sklopila Unija.

179. Opća zabrana obrade osjetljivih podataka koja se utvrđuje Direktivom o PNR‑u uključuje i njihovo prikupljanje. Stoga, kao što se na to izričito upućuje u uvodnoj izjavi 15. te direktive, 19 rubrika navedenih u Prilogu I. ne temelji se na podacima iz PNR‑a iz njezina članka 13. stavka 4.

180. Iako se nijedna od tih rubrika izričito ne odnosi na takve podatke, potonje podatke ipak može sadržavati rubrika „Opće primjedbe” iz točke 12. Priloga I., koja predstavlja „neodređeno područje” koje može, kao što sam to već imao priliku napomenuti u okviru ispitivanja trećeg prethodnog pitanja, obuhvaćati neodređeni broj informacija različite prirode. Naime, kao što je to Sud uostalom istaknuo u točki 164. mišljenja 1/15, postoji konkretna opasnost od toga da se na temelju informacija koje obuhvaća navedena rubrika, a koje se odnose primjerice na prehrambene sklonosti, zahtjeve za pomoć, cjenovne pakete za određene kategorije osoba ili udruga, izravno otkriju osjetljivi podaci u smislu članka 13. stavka 4. Direktive o PNR‑u, koji se osobito odnose na vjeru dotičnih putnika, njihovo zdravstveno stanje ili članstvo u sindikatu ili političkoj stranci.

181. Međutim, budući da se Direktivom o PNR‑u ionako isključuje obrada tih podataka, ne samo da njihov prijenos koji obavljaju zračni prijevoznici očito prelazi granice onog što je strogo nužno, nego uopće nije ni koristan. U tom je pogledu važno naglasiti da činjenica da su PIU‑ovi, u skladu s člankom 13. stavkom 4. drugom rečenicom Direktive o PNR‑u, u svakom slučaju dužni odmah brisati podatke iz PNR‑a kojima se otkriva neka od informacija navedenih u prvoj rečenici tog stavka, ne omogućuje da se dopusti ili opravda prijenos tih podataka(170) s obzirom na to da se zabrana obrade tih podataka koja se propisuje navedenom direktivom mora primjenjivati od prve faze obrade podataka iz PNR‑a. Stoga obveza brisanja osjetljivih podataka predstavlja samo dodatnu zaštitnu mjeru koja se tom direktivom predviđa iznimno u slučaju ako se ti podaci pogreškom prenesu u PIU‑ove.

182. Osim toga, ističem da, kao što je to istaknuo nezavisni odvjetnik P. Mengozzi u točki 222. svojeg mišljenja u postupku za donošenje mišljenja 1/15(171), s obzirom na to da informacije koje obuhvaćaju rubrike za „slobodni tekst”, kao što je rubrika „Opće primjedbe” iz točke 12. Priloga I. mogu sadržavati osjetljive podatke na temelju članka 13. stavka 4. Direktive o PNR‑u koje putnici priopćavaju samo dobrovoljno, malo je vjerojatno da će osobe uključene u kaznena djela terorizma ili teška kaznena djela samoinicijativno dati takve informacije, tako da se sustavni prijenos tih podataka uglavnom može vjerojatno odnositi samo na osobe koje su zatražile korištenje dodatne usluge i koje zapravo nisu ni od kakvog interesa za tijela za izvršavanje zakonodavstva(172).

183. U okviru ispitivanja trećeg prethodnog pitanja došao sam do zaključka da točka 12. Priloga I., u dijelu u kojem se odnosi na rubriku „Opće primjedbe”, ne ispunjava zahtjeve jasnoće i preciznosti iz članka 52. stavka 1. prve rečenice Povelje. Zbog razloga koje sam upravo iznio, smatram da ni uključivanje te rubrike u kategorije podataka koje se sustavno prenose u PIU‑ove ,a da se pritom ne daje nikakvo pojašnjenje u pogledu informacija na koje se ona može odnositi, ne ispunjava kriterij nužnosti predviđen člankom 52. stavkom 1. drugom rečenicom Povelje, kako ga tumači Sud(173).

184. S obzirom na navedeno, isključivanje takozvanih rubrika za „slobodni tekst” s popisa podataka iz PNR‑a koji se prenose državnim tijelima u okviru sustava obrade podataka iz PNR‑a nije dovoljno kako bi se uklonila opasnost od toga da se osjetljivi podaci ipak ne stave na raspolaganje tim tijelima. Naime, ne samo da se takvi podaci mogu izravno zaključiti iz informacija koje obuhvaćaju takve rubrike, nego se neizravno mogu otkriti ili pretpostaviti na temelju informacija sadržanih u „kodiranim” rubrikama. Tako primjerice ime zrakoplovnog putnika može pružiti naznake ili barem omogućiti postavljanje pretpostavki o etničkom podrijetlu ili vjerskoj pripadnosti dotičnog putnika. Isto vrijedi i za nacionalnost. Ti se podaci u načelu ne mogu isključiti s popisa podataka iz PNR‑a koje treba prenijeti niti ih tijela ovlaštena za njihovo primanje smiju obrisati. Stoga, kako bi se izbjegla opasnost od stigmatizacije, na temelju zaštićenih značajki, velikog broja pojedinaca koji ipak nisu osumnjičeni ni za kakvo kazneno djelo, važno je da se sustavom obrade podataka iz PNR‑a predvide dovoljne zaštitne mjere koje omogućuju da se u svakoj fazi obrade prikupljenih podataka isključi da se tom obradom može izravno ili neizravno uzeti u obzir takve značajke, primjerice primjenom čimbenika za odabir koji se temelje na tim značajkama tijekom automatske analize. Na to ću se pitanje vratiti u nastavku svojeg ispitivanja.

185. Na temelju prethodnih razmatranja, podložno zaključku do kojeg sam došao u točki 183. ovog mišljenja, smatram da se Direktivom o PNR‑u u fazi prijenosa podataka iz PNR‑a u PIU‑ove predviđaju dostatna jamstva čiji je cilj zaštititi osjetljive podatke.

iii) Pojam „putnik” (četvrto prethodno pitanje)

186. Svojim četvrtim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud je li sustav koji se uspostavlja Direktivom o PNR‑u, time što omogućuje opći prijenos i prikupljanje podataka iz PNR‑a svake osobe koja odgovara pojmu „putnik” u smislu članka 3. točke 4. te direktive, neovisno o bilo kojem objektivnom elementu na temelju kojeg bi se moglo zaključiti da dotična osoba može predstavljati opasnost za javnu sigurnost, u skladu s člancima 7., 8. i člankom 52. stavkom 1. Povelje. Osobito se pita o mogućnosti da se u sustav obrade osobnih podataka koji je uveden Direktivom o PNR‑u prenese sudska praksa Suda u pogledu čuvanja podataka i pristupa tim podacima u sektoru elektroničkih komunikacija.

187. U toj sudskoj praksi, u pogledu onog što je značajno za ovaj postupak, Sud je zaključio da se propis kojim se radi borbe protiv teških kaznenih djela predviđa preventivno opće i neselektivno čuvanje podataka o prometu i lokaciji koji se odnose na elektroničke komunikacije(174), radi pristupa tijelâ za izvršavanje zakonodavstva, a da se pritom ne pravi nikakva razlika, ograničenje ni iznimka ovisno o cilju koji se želi postići, načelno ne može smatrati opravdanim u demokratskom društvu(175). Sud je isto presudio u pogledu nacionalnog propisa koji u svrhu borbe protiv terorizma predviđa automatsku analizu svih navedenih podataka filtriranjem koje obavljaju pružatelji elektroničkih komunikacijskih usluga na zahtjev nacionalnih nadležnih tijela i na temelju vrijednosti koje su ona odredila(176). Prema mišljenju Suda, takve su mjere opravdane samo u situacijama u kojima je dotična država članica suočena s ozbiljnom prijetnjom nacionalnoj sigurnosti koja se pokazala stvarnom i trenutačnom ili predvidljivom te ako je odluka kojom je predviđeno njihovo provođenje predmet djelotvornog nadzora od strane suda ili neovisnog upravnog tijela(177). Prema mišljenju Suda, primjena tih mjera u takvim situacijama mora se usto vremenski ograničiti na ono što je strogo nužno i ni u kojem slučaju ne može biti sustavna(178).

188. Osim toga, ističem da, iako u toj sudskoj praksi Sud nije izričito potvrdio, kao u presudi Schrems I., postojanje povrede biti prava na poštovanje privatnog života, on je ipak smatrao da predmetne mjere dosežu određenu razinu ozbiljnosti zadiranja tako da se, osim u ograničenom slučaju posebnih prijetnji nacionalnoj sigurnosti države članice, jednostavno ne može smatrati da su ograničene na ono što je strogo nužno i da su stoga u skladu s Poveljom(179), neovisno o mogućim zaštitnim mjerama koje se predviđaju protiv rizika zlouporabe i nezakonitog pristupa predmetnim podacima(180).

189. Već sam imao priliku naglasiti da propis kao što je onaj koji se predviđa Direktivom o PNR‑u i mjere kao što su one koje Sud ispituje u sudskoj praksi navedenoj u prethodnim točkama ovog mišljenja imaju određen broj zajedničkih elemenata koji ga čine osobito nametljivim. Stoga se tom direktivom uspostavlja opći i neselektivan sustav prikupljanja i automatizirane obrade osobnih podataka znatnog dijela stanovništva koji se općenito primjenjuje na sve osobe koje odgovaraju pojmu „putnici” iz članka 3. točke 4. navedene direktive te stoga i na one za koje ne postoji nikakva naznaka koja bi navela na mišljenje da ponašanja tih osoba mogu biti povezana, čak i posredno ili daleko, s terorističkim aktivnostima ili teškim kaznenim djelom. U tim okolnostima sud koji je uputio zahtjev postavlja pitanje može li se ta sudska praksa prenijeti na sustav obrade podataka iz PNR‑a kao što je onaj koji se uspostavlja Direktivom o PNR‑u.

190. U tom pogledu ističem da je Sud u mišljenju 1/15, kad je u točkama 186. do 189. tog mišljenja ispitivao područje primjene ratione personae Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, izbjegao bilo kakvo uspoređivanje, s jedne strane, mjera čuvanja te općeg i neselektivnog pristupa sadržaju elektroničkih komunikacija s podacima o prometu i lokaciji te, s druge strane, prijenosa podataka iz PNR‑a i njihove automatizirane obrade u okviru prethodne procjene putnika iz navedenog sporazuma. Međutim, u razdoblju u kojem je to mišljenje doneseno već je postojala ustaljena sudska praksa koja je samo nekoliko mjeseci ranije potvrđena presudom Tele2 Sverige i na koju upućuje sud koji je uputio zahtjev, a u kojoj se presudilo da navedene mjere, osim u posebnim i preciznim situacijama(181), nisu u skladu s Poveljom(182). Najnovije presude Suda u tom području, a osobito presuda La Quadrature du Net, slijede tu sudsku praksu, pojašnjavaju je i u određenim aspektima prilagođavaju.

191. U navedenim točkama mišljenja 1/15 Sud je izričito smatrao da Prijedlog sporazuma o PNR‑u između Kanade i EU‑a prelazi granice onog što je strogo nužno time što omogućuje prijenos i automatiziranu obradu podataka iz PNR‑a svih zrakoplovnih putnika Kanadi u svrhu njihove prethodne procjene i to iako su se takav prijenos i takva obrada trebali obaviti „neovisno o bilo kojem objektivnom čimbeniku iz kojeg se dade zaključiti da ti putnici mogu predstavljati opasnost za javnu sigurnost u Kanadi”(183). U točki 187. tog mišljenja Sud je potvrdio da bi „isključivanje određenih kategorija osoba ili određenih zona podrijetla moglo […] predstavljati prepreku ostvarivanju cilja automatske obrade podataka iz PNR‑a, to jest identifikacije, putem provjere tih podataka, osoba koje mogu predstavljati opasnost za javnu sigurnost među svim zrakoplovnim putnicima te omogućiti izbjegavanje te provjere”(184).

192. Stoga je Sud, barem u pogledu općeg i neselektivnog prijenosa podataka iz PNR‑a, odstupio od primjene strožeg pristupa u pogledu čuvanja metapodataka i pristupa tim metapodacima.

193. Iako je nedvojbeno da je u svojem obrazloženju uzeo u obzir, kao što to osobito proizlazi iz točaka 152. i 188. mišljenja 1/15, s jedne strane, utvrđenje prema kojem automatizirana obrada podataka iz PNR‑a olakšava sigurnosne kontrole osobito na granicama i, s druge strane, činjenicu da, u skladu s Čikaškom konvencijom, zrakoplovni putnici koji žele ući na državno područje države stranke te konvencije obvezno podliježu kontrolama i moraju se pridržavati uvjeta za ulazak i izlazak koje je propisala ta država, uključujući i provjeru njihovih podataka iz PNR‑a, smatram da drugi razlozi idu u prilog takvoj raznolikosti pristupa, a među njima, kao prvo, priroda obrađenih podataka.

194. Sud je nekoliko puta naglasio da osim sadržaja elektroničkih komunikacija i metapodaci mogu otkriti informacije o „velikom broju aspekata privatnog života dotičnih osoba, uključujući osjetljive informacije poput spolne orijentacije, političkih gledišta, vjerskih, filozofskih, društvenih ili drugih uvjerenja kao i zdravstvenog stanja”, da ti podaci, uzeti zajedno, „mogu omogućiti donošenje vrlo preciznih zaključaka o privatnom životu osoba čiji su podaci zadržani, kao što su svakodnevne navike, mjesta trajnih ili privremenih boravišta, dnevna ili druga kretanja, obavljane aktivnosti, društveni odnosi tih osoba i društvene sredine koje su te osobe posjećivale” i da navedeni podaci osobito omogućuju utvrđivanje „profila predmetnih osoba, što je jednako osjetljiva informacija s obzirom na pravo na poštovanje privatnog života, kao i sâm sadržaj komunikacija podataka”(185). Osim toga, podsjećam na to da se propisima koje je Sud dosad ispitao, uključujući onaj sadržan u Direktivi 2006/24, ne predviđa nikakva iznimka i da se primjenjuju i na komunikacije sa službama društvene ili vjerske prirode ili poslovne komunikacije koje su obvezne čuvati profesionalnu tajnu. Stoga, iako nije utvrdio povredu biti prava na poštovanje privatnog života, Sud je ipak potvrdio da „vodeći računa o osjetljivosti informacija koje mogu pružiti podaci o prometu i lokaciji, povjerljivost ovih potonjih je ključna za pravo na poštovanje privatnog života”(186).

195. Suprotno tomu, iako je točno da je Sud, kao što sam na to podsjetio u točkama 77. i 98. ovog mišljenja, u mišljenju 1/15 priznao da podaci iz PNR‑a eventualno mogu otkrivati vrlo precizne informacije o privatnom životu neke osobe(187), ipak je potvrdio da se priroda tih informacija ograničava na određene aspekte tog privatnog života(188), što pristup takvim podacima čini manje nametljivim od pristupa sadržaju elektroničkih komunikacija te podacima o prometu i lokaciji.

196. Kao drugo, ne samo da se priroda podataka iz PNR‑a razlikuje od prirode podataka o prometu i lokaciji, nego se razlikuju i broj i raznolikost informacija koje te različite kategorije podataka mogu otkriti, pri čemu su informacije koje su sadržane u podacima iz PNR‑a kvantitativno i kvalitativno ograničenije. To ne ovisi samo o činjenici da se sustavi za opću i neselektivnu obradu podataka koji se odnose na elektroničke komunikacije mogu odnositi na gotovo cjelokupno ciljano stanovništvo, dok se sustavi za obradu podataka iz PNR‑a odnose na ograničeniji, iako brojčano znatan krug pojedinaca, nego i o učestalosti upotrebe sredstava elektroničke komunikacije i njihovoj raznolikosti. Osim toga, Direktivom o PNR‑u predviđa se prikupljanje i obrada ograničenog i iscrpno određenog broja podataka iz PNR‑a, pri čemu su isključeni podaci koji su obuhvaćeni kategorijama navedenim u članku 13. stavku 4. te direktive, tako da se, ako već ne količina, onda barem osjetljivost informacija o privatnom životu dotičnih osoba koje mogu proizaći iz tih podataka može djelomično ocijeniti unaprijed(189). Međutim, takvo ograničenje tipologije ciljanih podataka, koje omogućuje da se isključi velik dio podataka koji mogu sadržavati osjetljive informacije, samo je djelomično moguće kad je riječ o podacima o prometu i lokaciji, pri čemu se uzimaju u obzir broj korisnika i predmetna sredstva komunikacije(190).

197. Kao treće, ne samo da svaka obrada metapodataka o elektroničkim komunikacijama može zadirati u intimnu sferu gotovo cjelokupnog stanovništva, nego zadire i u ostvarenje drugih sloboda na temelju kojih svaki pojedinac sudjeluje u društvenom i demokratskom životu zemlje(191), te može imati, među ostalim, odvraćajući učinak na slobodu izražavanja korisnikâ elektroničkih komunikacijskih sredstava(192), što je „ jedan […] od osnovnih temelja demokratskog i pluralističkog društva” te je dio vrijednosti na kojima počiva Unija(193). Taj je aspekt svojstven mjerama koje se odnose na te kategorije osobnih podataka i u načelu se ne odnosi na sustave obrade podataka iz PNR‑a.

198. Kao četvrto, uglavnom zbog broja i raznolikosti osjetljivih informacija koje se mogu preuzeti iz sadržaja elektroničkih komunikacija te iz podataka o prometu i lokaciji, postoji znatno veća opasnost od proizvoljnosti koja je povezana s obradom tih podataka nego u pogledu sustavâ za obradu podataka iz PNR‑a.

199. Zbog svih razloga koje sam upravo iznio, smatram da se stroži pristup koji je Sud primijenio u području elektroničkih komunikacija ne može prenijeti kao takav na sustave obrade podataka iz PNR‑a. Sud se u tom smislu već izjasnio, barem implicitno, u mišljenju 1/15 u kontekstu međunarodnog sporazuma kojim se uvodi takav sustav u svrhu zaštite sigurnosti treće zemlje. Prema mojem mišljenju, isto je stajalište dodatno opravdano u pogledu Direktive o PNR‑u čiji je cilj zaštita unutarnje sigurnosti Unije.

200. S obzirom na navedeno, valja istaknuti da, kao što je to učinio nezavisni odvjetnik P. Mengozzi u točki 216. svojeg mišljenja u postupku za donošenje mišljenja 1/15(194), sâm interes sustavâ za obradu podataka iz PNR‑a, bilo da su oni uspostavljeni jednostrano ili su predmet međunarodnog sporazuma, jest upravo osiguranje masovnog prijenosa podataka koji nadležnim tijelima omogućuju identifikaciju, uz pomoć alata za automatsku obradu i prethodno utvrđenih scenarija ili kriterija ocjene, pojedinaca koji su nepoznati represivnim službama, ali za koje se čini da su od „interesa” ili da predstavljaju opasnost za javnu sigurnost i koji stoga mogu biti naknadno podvrgnuti detaljnijoj pojedinačnoj kontroli. Zahtjev „osnovane sumnje” koji se potvrđuje u sudskoj praksi ESLJP‑a koja se odnosi na ciljana presretanja provedena u okviru kaznene istrage(195) i sudskoj praksi Suda o čuvanju metapodataka(196) stoga nije toliko relevantan u kontekstu takvog prijenosa i takve obrade(197). Cilj, među ostalim, sprečavanja koji se nastoji postići takvim sustavima ne može se ostvariti ograničavanjem njihove primjene na određenu kategoriju pojedinaca, kao što je to Sud uostalom potvrdio u točkama mišljenja 1/15 navedenima u točki 191. ovog mišljenja, tako da doseg Direktive o PNR‑u osigurava učinkovito ostvarenje tog cilja(198).

201. Valja naglasiti i da je strateška važnost obrade podataka iz PNR‑a instrument od presudne važnosti za zajednički odgovor Unije na terorizam i teška kaznena djela koji je Komisija nekoliko puta istaknula kao glavnu sastavnicu sigurnosne unije(199). U okviru „općeg pristupa” borbi protiv terorizma, ulogu sustavâ obrade podataka iz PNR‑a priznalo je i Vijeće sigurnosti Ujedinjenih naroda koje je u Rezoluciji 2396 (2017)(200) državama članicama Ujedinjenih naroda naložilo da „razviju sposobnost za prikupljanje, obradu i analizu, u skladu s normama ICAO‑a i preporučenom praksom, podataka iz [PNR‑a] te da osiguraju da sva nacionalna nadležna tijela upotrebljavaju i dijele podatke iz PNR‑a uz puno poštovanje ljudskih prava i temeljnih sloboda u svrhu sprečavanja, otkrivanja i istrage kaznenih djela terorizma i s njima povezanih putovanja”(201). Ta je obveza potvrđena u Rezoluciji 2482/2019 o terorizmu i teškim oblicima prekograničnog kriminaliteta(202).

202. U tom kontekstu, primjena sustava obrade podataka iz PNR‑a koji je usklađen na razini Unije na letove između EU‑a i trećih zemalja, za države koje su iskoristile mogućnost iz članka 2. Direktive o PNR‑u, te letove unutar EU‑a, omogućuje da se osigura da se obrada tih podataka odvija u skladu s visokom razinom zaštite prava propisanih u člancima 7. i 8. Povelje koja se utvrđuje tom direktivom i osigurava referentni pravni sustav za pregovore o međunarodnim sporazumima o obradi i prijenosu podataka iz PNR‑a(203).

203. Osim toga, iako je istina da se sustav uspostavljen Direktivom o PNR‑u bez razlike odnosi na sve zrakoplovne putnike, kao što je to osobito Parlament pravilno naglasio u svojim pisanim očitovanjima i kao što je to istaknulo i Vijeće sigurnosti Ujedinjenih naroda u Rezoluciji 2396 (2017) koja se odnosi na konkretnu opasnost istodobne upotrebe civilnog zrakoplovstva u terorističke svrhe te kao prijevoznog sredstva i kao cilja(204), postoji objektivna veza između zračnog prometa i prijetnji javnoj sigurnosti koji su povezani, među ostalim, s terorizmom i barem s određenim teškim kaznenim djelima kao što su primjerice trgovina drogom ili trgovanje ljudima, koji uostalom imaju snažnu prekograničnu sastavnicu.

204. Konačno, valja naglasiti, kao što su to tvrdili Parlament, Vijeće i nekoliko država članica koje su podnijele svoja pisana očitovanja, da zrakoplovni putnici prilikom ulaska u Uniju ili izlaska iz nje obvezno podliježu sigurnosnim kontrolama(205). Prijenos i obrada podataka iz PNR‑a prije njihova dolaska ili odlaska olakšava i ubrzava te kontrole, kao što je to Sud istaknuo u mišljenju 1/15, pri čemu se tijelima za izvršavanje zakonodavstva omogućuje da se usredotoče na putnike za koje raspolažu činjeničnim elementima koji upućuju na stvarnu opasnost za sigurnost(206).

205. Naposljetku, što se osobito tiče proširenja sustava Direktive o PNR‑u na letove unutar EEU‑a, ako se svaki utjecaj na slobodu kretanja građana Unije koja je osobito utvrđena člankom 45. Povelje ne može a priori isključiti, zadiranje u privatan život koje sadržava Direktiva o PNR‑u, iako ozbiljno, prema mojem mišljenju, nije takvo da bi samo po sebi imalo odvraćajući učinak na ostvarivanje te slobode jer javnost čak može smatrati da je obrada podataka iz PNR‑a mjera koja je nužna za osiguranje sigurnosti zračnog prometa(207). Međutim, mogućnost takvog učinka odvraćanja mora se kontinuirano procjenjivati i pratiti.

206. Međutim, kako bi poštovala sudsku praksu navedenu u točkama 107. i 108. ovog mišljenja, Direktiva o PNR‑u ne može se ograničiti na zahtjev da pristup i automatizirana obrada podataka iz PNR‑a svih zrakoplovnih putnika odgovara cilju koji se nastoji postići, nego također mora predvidjeti, i to jasno i precizno, materijalne i postupovne uvjete kojima se uređuju taj pristup i ta obrada te naknadna upotreba tih podataka(208) i predvidjeti odgovarajuće zaštitne mjere za svaku fazu tog postupka. Već sam tijekom ispitivanja drugog prethodnog pitanja naveo zaštitne mjere koje prate prijenos podataka iz PNR‑a u PIU‑ove. Tijekom ispitivanja šestog prethodnog pitanja preispitat ću zaštitne mjere koje konkretnije prate automatiziranu obradu tih podataka te u okviru ispitivanja osmog prethodnog pitanja one koje su povezane s njihovim čuvanjem.

207. Prije nego što nastavim s tim ispitivanjem, želim naglasiti temeljnu važnost nadzora, u okviru sustava zaštitnih mjera koji se uspostavlja Direktivom o PNR‑u, koji provodi neovisno tijelo iz članka 15. te direktive. U skladu s tim člankom, svaka obrada podataka koja se predviđa navedenom direktivom podložna je nadzoru neovisnog nadzornog tijela koje ima ovlasti provjeravati zakonitost te obrade, provoditi istrage, preglede i revizije te postupati po pritužbama koje podnese bilo koji ispitanik. Takav nadzor koji provodi vanjski subjekt, koji je zadužen za obranu interesa koji mogu biti protivni interesima koje su nastojali postići subjekti koji obavljaju obradu podataka iz PNR‑a i koji je zadužen za osiguranje poštovanja svih ograničenja i zaštitnih mehanizama koji se odnose na navedenu obradu, predstavlja temeljnu zaštitnu mjeru koja je izričito navedena u članku 8. stavku 3. Povelje, čija je učinkovitost, u smislu zaštite predmetnih temeljnih prava, čak i veća od sustava pravnih lijekova koji su dostupni pojedincima. Stoga je ključno, prema mojem mišljenju, da Sud široko tumači opseg nadzornih ovlasti predviđenih člankom 15. Direktive o PNR‑u i da države članice prilikom prenošenja te direktive u nacionalno pravo svojem nacionalnom nadzornom tijelu u potpunosti priznaju opseg tih ovlasti i pritom mu osiguraju materijalna sredstva i osoblje koji su nužni za izvršavanje njegove zadaće.

208. Na temelju svih prethodnih razmatranja, smatram da Direktiva o PNR‑u ne prelazi granice onog što je strogo nužno time što omogućuje prijenos i automatiziranu obradu podataka svake osobe koja odgovara pojmu „putnik” u smislu članka 3. točke 4. te direktive.

iv)    Dovoljno jasna, precizna priroda prethodne procjene putnika i njezino ograničavanje na ono što je strogo nužno (šesto prethodno pitanje)

209. Svojim šestim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud je li prethodna procjena iz članka 6. Direktiva o PNR‑u u skladu s člancima 7. i 8. te člankom 52. stavkom 1. Povelje. Iako je tekst tog pitanja usmjeren na sustavnost i općenitost automatizirane obrade podataka iz PNR‑a svih zrakoplovnih putnika koji su uključeni u tu prethodnu procjenu, iz obrazloženja zahtjeva za prethodnu odluku proizlazi da Cour constitutionnelle (Ustavni sud) traži od Suda da općenitije ocijeni poštovanje zahtjeva zakonitosti i proporcionalnosti u okviru takve obrade. Provest ću tu ocjenu u nastavku i pritom uputiti na analizu koja je izvršena u okviru ispitivanja četvrtog prethodnog pitanja u pogledu neciljane automatizirane obrade podataka o kojoj je riječ.

210. Člankom 6. stavkom 2. točkom (a) Direktive o PNR‑u predviđa se da PIU‑ovi provode prethodnu procjenu zrakoplovnih putnika prije njihova planiranog dolaska u državu članicu ili odlaska iz nje. Cilj je te procjene identificirati osobe za koje je potrebno dodatno ispitivanje od strane nadležnih tijela „s obzirom da to da bi takve osobe mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo”. U skladu s člankom 6. stavkom 6. Direktive o PNR‑u, PIU određene države članice prenosi podatke iz PNR‑a za osobe koje su identificirane u okviru te procjene ili rezultate njihove obrade nadležnim tijelima iz članka 7. te direktive iste države članice za „daljnje ispitivanje”.

211. U skladu s člankom 6. stavkom 3. Direktive o PNR‑u, prethodna procjena na temelju stavka 2. točke (a) tog članka provodi se usporedbom podataka iz PNR‑a s „relevantnim” bazama podataka (članak 6. stavak 3. točka (a)) ili njihovom obradom u skladu s utvrđenim kriterijima (članak 6. stavak 3. točka (b)).

212. Prije nego što započnem s ispitivanjem svake od tih dviju vrsta obrade podataka, ističem da iz teksta prethodno navedenog članka 6. stavka 3. jasno ne proizlazi odgovor na pitanje jesu li države članice dužne predvidjeti da se prethodna procjena putnika provodi sustavno i u svim slučajevima, s obzirom na jednu od te dvije vrste automatizirane analize, ili jesu li, kao što se čini da to potvrđuje upotreba glagola „moći” i rastavnog veznika „ili”, ovlaštene urediti svoje sustave na način da ograniče primjerice ispitivanje predviđeno u stavku 3. točki (b) tog članka 6. na posebne slučajeve. U tom pogledu pojašnjavam da se Prijedlogom direktive o PNR‑u predviđalo da se to ispitivanje provodi samo u okviru borbe protiv ozbiljnih prekograničnih kaznenih djela(209).

213. Poput Komisije, smatram da osobito iz strukture Direktive o PNR‑u proizlazi da su države članice dužne predvidjeti dvije vrste automatizirane obrade podataka iz razloga koji se odnose i na zahtjev da se osigura što je moguće ujednačenija primjena sustava obrade podataka iz PNR‑a u Uniji. Međutim, to ne znači da države članice nisu ovlaštene, i čak dužne, kako bi se zajamčilo da obrada podataka koju uključuje prethodna procjena koja se provodi u skladu s člankom 6. stavkom 2. točkom (a) Direktive o PNR‑u bude ograničena na ono što je strogo nužno, ograničiti analizu, na temelju članka 6. stavka 3. točke (b) Direktive o PNR‑u, ovisno o njezinim rezultatima u smislu učinkovitosti za sve povrede iz te direktive i, ovisno o slučaju, ograničiti je samo na neke od tih povreda. To se potvrđuje uvodnom izjavom 7. Direktive o PNR‑u, prema kojoj, „kako bi se osiguralo da obrada podataka iz PNR‑a ostane ograničena na ono što je potrebno, uspostava i primjena kriterija procjene trebale bi biti ograničene na kaznena djela terorizma i teška kaznena djela za koje je uporaba takvih kriterija relevantna”.

–       Usporedba podataka s bazama podataka u smislu članka 6. stavka 3. točke (a) Direktive o PNR‑u

214. Prvi dio prethodne procjene koju provode PIU‑ovi, na temelju članka 6. stavka 2. točke (a) Direktive o PNR‑u, podrazumijeva, u skladu sa stavkom 3. točkom (a) tog članka, usporedbu podataka iz PNR‑a („data matching”) s bazama podataka kako bi se pronašli mogući pozitivni rezultati („hits”). Te pozitivne rezultate provjeravaju PIU‑ovi u skladu s člankom 6. stavkom 5. Direktive o PNR‑u te ih se, ovisno o slučaju, uspoređuje prije dostave nadležnim tijelima.

215. Kao što je to Sud priznao u točki 172. mišljenja 1/15, opseg zadiranja koja uključuju te vrste automatske analize u pogledu prava priznatih člancima 7. i 8. Povelje prije svega ovisi o bazama podataka na kojima se temelje te vrste automatske analize. Stoga je ključno da se odredbama kojima se predviđa takva obrada podataka dovoljno jasno i precizno utvrde baze podataka s kojima je dopuštena unakrsna usporedba podataka koji se obrađuju.

216. U skladu s člankom 6. stavkom 3. točkom (a) Direktive o PNR‑u, PIU‑ovi uspoređuju podatke iz PNR‑a s „relevantnim bazama podataka”(210) s obzirom na ciljeve koji se nastoje postići tom direktivom. U toj se odredbi navodi i posebna kategorija baza podataka, odnosno baze podataka o „osobama ili predmetima koji se traže ili za koje postoji upozorenje”, kojima je zakonodavac Unije stoga namjeravao izričito dodijeliti kvalifikaciju „relevantne” baze podataka u smislu te odredbe.

217. Osim tog pojašnjenja, pojam „relevantnih baza podataka” nije dodatno objašnjen. Konkretno, nije navedeno moraju li, kako bi ih se smatralo „relevantnima”, bazama podataka koje se koriste u svrhu unakrsne usporedbe podataka iz PNR‑a upravljati tijela za izvršavanje zakonodavstva ili, općenitije, bilo koje tijelo javne vlasti, ili im jednostavno izravno ili neizravno moraju biti dostupne. Ne pojašnjavaju se ni priroda podataka koje takve baze mogu sadržavati ni njihov odnos s ciljevima koji se nastoje postići Direktivom o PNR‑u(211). Osim toga, iz teksta članka 6. stavka 3. točke (a) Direktive o PNR‑u proizlazi da se nacionalne baze podataka i baze podataka Unije kao i međunarodne baze podataka mogu kvalificirati kao „relevantne baze podataka”, čime se dodatno proširuje popis baza podataka na koje bi se ta odredba mogla odnositi te se povećava neodređenost tog pojma(212).

218. U tim uvjetima, u skladu s općim načelom tumačenja na koje se podsjeća u točki 151. ovog mišljenja, na Sudu je da u najvećoj mogućoj mjeri protumači članak 6. stavak 3. točku (a) Direktive o PNR‑u i osobito pojam „relevantne baze podataka” u skladu sa zahtjevima jasnoće i preciznosti iz Povelje. Usto, s obzirom na to da se tom odredbom predviđa zadiranje u temeljna prava navedena u člancima 7. i 8. Povelje, treba je usko tumačiti uzimajući u obzir zahtjev da se osigura visoka razina zaštite tih temeljnih prava, kako je naveden osobito u uvodnoj izjavi 15. Direktive o PNR‑u. Usto je treba tumačiti s obzirom na načelo ograničenja svrhe u koju se podaci iz PNR‑a mogu obrađivati, navedeno u članku 1. stavku 2. Direktive o PNR‑u.

219. Uzimajući u obzir te kriterije, prema mojem mišljenju, pojam „relevantne baze podataka” valja tumačiti na način da se odnosi samo na nacionalne baze podataka kojima upravljaju nadležna tijela na temelju članka 7. stavka 1. Direktive o PNR‑u te na baze podataka Unije i međunarodne baze podataka kojima se ta tijela izravno koriste u okviru svojih zadaća. Usto, navedene baze podataka trebaju biti izravno i usko povezane sa svrhom borbe protiv terorizma i teških kaznenih djela koja se nastoji ispuniti Direktivom o PNR‑u, što znači da su razvijene u tu svrhu. Ako se tako tumači, taj pojam u biti, ako ne i isključivo, obuhvaća baze podataka koje se odnose na osobe ili predmete koji se traže ili za koje postoji upozorenje, koje su izričito navedene u članku 6. stavku 3. točki (a) Direktive o PNR‑u.

220. Iz pojma „relevantne baze podataka” općenito su isključene baze podataka kojima upravljaju ili se njima koriste obavještajne službe država članica, osim ako strogo ne ispunjavaju uvjet uske povezanosti s ciljevima koji se nastoje postići Direktivom o PNR‑u i ako dotična država članica priznaje tim obavještajnim službama posebne ovlasti u području izvršavanja zakona(213).

221. Prethodno predloženo tumačenje u skladu je s preporukama koje je Sud iznio u točki 172. mišljenja 1/15.

222. Međutim, čak i ako ga se na taj način tumači, člankom 6. stavkom 3. točkom (a) Direktive o PNR‑u ne omogućuje se dovoljno precizna identifikacija baza podataka kojima će se koristiti države članice u okviru unakrsne usporedbe s podacima iz PNR‑a te se ne može smatrati da se njime ispunjavaju zahtjevi koji proizlaze iz članka 52. stavka 1. Povelje, kako ga tumači Sud. Stoga tu odredbu treba tumačiti na način da se njome države članice u okviru prenošenja Direktive o PNR‑u u nacionalno pravo obvezuje na to da objave popis navedenih baza podataka i da taj popis ažuriraju. Osim toga, poželjno je da se popis „relevantnih” baza podataka, u smislu članka 6. stavka 3. točke (a) Direktive o PNR‑u, kojima upravlja Unija u suradnji s državama članicama, i međunarodnih baza podataka sastavi na razini Unije kako bi u tom pogledu praksa država članica bila ujednačena.

–       Obrada podataka iz PNR‑a u skladu s prethodno utvrđenim kriterijima

223. Drugi dio prethodne procjene na temelju članka 6. stavka 2. točke (a) Direktive o PNR‑u sastoji se od automatske analize s obzirom na prethodno utvrđene kriterije. U okviru te analize podaci iz PNR‑a obrađuju se najprije u svrhu predviđanja, primjenom algoritama koji bi trebali „identificirati” putnike koji bi mogli biti uključeni u kaznena djela terorizma ili teška kaznena djela. U tom kontekstu PIU u biti provodi aktivnost izrade profila(214). Budući da je vjerojatno da će imati znatne posljedice za pojedince identificirane algoritmom(215), takva obrada zahtijeva precizan okvir s obzirom na metode njezine provedbe i zaštitne mjere koje mora podrazumijevati. Naime, kao što je to Sud istaknuo u točki 172. mišljenja 1/15, opseg zadiranja u prava priznata člancima 7. i 8. Povelje koja uključuju te vrste analiza prije svega ovisi o prethodno utvrđenim modelima i kriterijima koji su se primijenili.

224. U tom pogledu ističem, kao prvo, da se člankom 6. stavkom 4. drugom rečenicom Direktive o PNR‑u pojašnjava da prethodno utvrđeni kriteriji s obzirom na koje se provodi prethodna procjena predviđena u članku 6. stavku 3. točki (b) te direktive moraju biti „usmjereni, proporcionalni i određeni”. Prvi se od tih zahtjeva odnosi na cilj koji se nastoji postići prethodnom procjenom predviđenom u stavku 2. točki (a) tog članka, odnosno identifikaciju osoba za koje je potrebno dodatno ispitivanje od strane nadležnih tijela i stoga odgovara na potrebu, koju je Sud istaknuo u mišljenju 1/15, da primijenjeni kriteriji budu „usmjereni” na pojedince u pogledu kojih može postojati „osnovana sumnja” u pogledu sudjelovanja u kaznenim djelima terorizma ili teškim oblicima kriminaliteta(216). Takva „usmjerenost” znači primjenu apstraktnih kriterija procjene ili, u skladu s izrazom koji je upotrijebljen u Preporuci iz 2021. o izradi profila, „profila”(217) posredstvom kojih se „filtriraju” podaci iz PNR‑a kako bi se identificirali putnici na koje se oni odnose i na koje bi se stoga mogla primijeniti detaljnija kontrola. Suprotno tomu, Direktivom o PNR‑u ne dopušta se pojedinačna izrada profila svih zrakoplovnih putnika čiji se podaci analiziraju, primjerice tako da se svaki od njih svrsta u određenu kategoriju rizika prema prethodno utvrđenoj ljestvici, inače bi se povrijedili članak 6. stavak 4. te direktive i ograničenja koja je Sud utvrdio u pogledu automatizirane obrade podataka iz PNR‑a u mišljenju 1/15.

225. U skladu s člankom 6. stavkom 4. drugom rečenicom, prethodno utvrđeni kriteriji iz članka 6. stavka 3. točke (b) Direktive o PNR‑u trebaju usto biti „određeni”(218), odnosno prilagođeni svrsi koja se nastoji postići, te relevantni u odnosu na tu svrhu, kao i „proporcionalni”(219), odnosno ne smiju prelaziti granice te svrhe. Kako bi se ispunili ti zahtjevi i, osobito, „kako bi se osiguralo da obrada podataka iz PNR‑a ostane ograničena na ono što je potrebno”, u uvodnoj izjavi 7. Direktive o PNR‑u, kao što se to već naglasilo, navodi se da bi „uspostava i primjena kriterija procjene trebale […] biti ograničene na kaznena djela terorizma i teška kaznena djela za koje je uporaba takvih kriterija relevantna”.

226. Naposljetku, iz preambule i odredbi Direktive o PNR‑u te zahtjeva koje je Sud utvrdio u mišljenju 1/15 proizlazi da prethodno utvrđeni kriteriji iz članka 6. stavka 3. točke (b) Direktive o PNR‑u trebaju biti i „pouzdani”(220), što znači, s jedne strane, da ih treba osmisliti na način da se rizik od pogrešaka svede na najmanju moguću mjeru(221) i, kao drugo, da trebaju biti „ažurirani”(222). U tom pogledu člankom 6. stavkom 4. trećom rečenicom Direktive o PNR‑u državama članicama nalaže se da osiguravaju da „PIU‑ovi odrede te kriterije te da ih oni redovito preispituju u suradnji s nadležnim tijelima iz članka 7.”(223). Kako bi se osigurala pouzdanost tih kriterija i kako bi se što je više moguće ograničili lažni pozitivni rezultati, nužno je i, kao što je to priznala Komisija u odgovoru na pisano pitanje Suda, da se ti kriteriji osmisle na način da se uzmu u obzir otegotne i olakotne okolnosti.

227. Kao drugo, Direktivom PNR izričito se zabranjuje diskriminirajuća izrada profila. Tako se člankom 6. stavkom 4. prvom rečenicom te direktive predviđa da se prethodna procjena s obzirom na prethodno utvrđene kriterije na temelju članka 3. točke (b) tog članka „mora […] provesti na nediskriminirajući način”. U tom pogledu valja pojasniti da, iako se trećom rečenicom tog članka 6. stavka 4. utvrđuje da se navedeni kriteriji „ne smiju […] ni u kojem slučaju temeljiti na rasnom ili etničkom podrijetlu osobe, njezinim političkim mišljenjima, vjeri ili filozofskim uvjerenjima, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji”, opću zabranu diskriminirajuće izrade profila treba shvatiti na način da obuhvaća sve osnove diskriminacije navedene u članku 21. Povelje, čak i one koje nisu izričito navedene(224).

228. Kao treće, iz teksta članka 6. stavka 3. točke (b) Direktive o PNR‑u i iz sustava zaštitnih mjera koji se odnosi na automatiziranu obradu podataka iz PNR‑a predviđenog Direktivom o PNR‑u proizlazi da funkcioniranje algoritama upotrijebljenih u okviru analize predviđene tom odredbom treba biti transparentno i rezultat njihove sljedive upotrebe. Taj zahtjev transparentnosti očito ne podrazumijeva da upotrijebljeni „profili” trebaju postati javni. Suprotno tomu, njime se zahtijeva da se osigura da se algoritamsko donošenje odluka može identificirati. Naime, s jedne strane, zahtjev prema kojem kriterije, s obzirom na koje treba provesti tu analizu, treba „prethodno utvrditi” isključuje da se oni mogu izmijeniti bez ljudske intervencije i stoga se protivi upotrebi tehnologija umjetne inteligencije, takozvanom „machine learningu”(225), koji je, iako može imati veći stupanj preciznosti, teško protumačiti, čak i ako su operatori proveli automatiziranu obradu(226). S druge strane, zaštitnom mjerom iz članka 6. stavaka 5. i 6. Direktive o PNR‑u, prema kojoj svaki pozitivni rezultat nastao automatiziranom obradom podataka iz PNR‑a koja se obavlja na temelju stavka 2. točke (a) tog članka treba pojedinačno provjeriti na neautomatizirani način radi djelotvornosti, zahtijeva se, kad je riječ o analizi iz članka 6. stavka 3. točke (b) Direktive o PNR‑u, da se može razumjeti zašto je program doveo do takvog pozitivnog rezultata, što se ne može osigurati osobito kad se upotrebljavaju sustavi za samostalno učenje. Isto vrijedi za nadzor zakonitosti te analize, uključujući u pogledu nediskriminirajuće prirode dobivenih rezultata, koji je povjeren službeniku za zaštitu podataka i nacionalnom nadzornom tijelu, na temelju članka 6. stavka 7. Direktive o PNR‑u odnosno članka 15. stavka 3. točke (b) te direktive. Transparentnost funkcioniranja upotrijebljenih algoritama također je nužan uvjet kako bi se zainteresiranim stranama omogućilo da ostvare svoja prava na pritužbu, kao i pravo na djelotvornu sudsku zaštitu.

–       Zaštitne mjere u pogledu automatizirane obrade podataka iz PNR‑a

229. Već sam imao priliku navesti određene zaštitne mjere koje se primjenjuju na automatiziranu obradu podataka iz PNR‑a u okviru prethodne procjene na temelju članka 6. stavka 2. točke (a) Direktive o PNR‑u, koje odgovaraju na zahtjeve koje je Sud utvrdio u mišljenju 1/15, odnosno zabrani obrade na temelju diskriminirajućih, prethodno utvrđenih kriterija (članak 6. stavak 4. prva i četvrta rečenica Direktive o PNR‑u, mišljenje 1/15, t. 172.), redovitom ažuriranju prethodno utvrđenih kriterija s obzirom na koje treba provesti prethodnu procjenu iz članka 6. stavka 3. točke (b) te direktive (članak 6. stavak 4. treća rečenica Direktive o PNR‑u, mišljenje 1/15, t. 174.), provjeri na neautomatizirani način svakog pozitivnog rezultata nastalog automatiziranom obradom podataka iz PNR‑a (članak 6. stavci 5. i 6. Direktive o PNR‑u, mišljenje 1/15, t. 173.) i nadzoru zakonitosti te obrade koji provode službenik za zaštitu podataka i nacionalno nadzorno tijelo (članak 6. stavak 7. i članak 15. stavak 3. točka (b) Direktive o PNR‑u). U tom je kontekstu ključno da se nadzor koji provodi neovisno tijelo, poput tijela iz članka 15. Direktive o PNR‑u, s jedne strane, može odnositi na sve aspekte automatizirane obrade podataka iz PNR‑a, uključujući identifikaciju baza podataka upotrijebljenih u svrhu uspoređivanja u smislu članka 6. stavka 3. točke (a) te direktive i izrade prethodno utvrđenih kriterija koji se primjenjuju u svrhu analize na temelju članka 6. stavka 3. točke (b) navedene direktive i, s druge strane, može provesti ex ante i ex post. 

230. Važno je naglasiti da treba smatrati da su prethodno navedene zaštitne mjere horizontalno primjenjive na dvije vrste analiza iz članka 6. stavka 3. Direktive o PNR‑u i to unatoč načinu na koji su sastavljene. Stoga, iako se u članku 6. stavku 4. prvoj rečenici te direktive podsjeća na zahtjev poštovanja načela nediskriminacije samo u pogledu prethodne procjene koja se provodi s obzirom na prethodno utvrđene kriterije, taj se zahtjev mora poštovati u svim fazama postupka obrade podataka iz PNR‑a i, prema tome, također kad se oni uspoređuju s relevantnim bazama podataka u okviru prethodne procjene u smislu članka 6. stavka 3. točke (a) te direktive. Isto vrijedi za zahtjev prema kojem prethodno utvrđeni kriteriji koji se primjenjuju u okviru analize iz članka 6. stavka 3. točke (b) Direktive o PNR‑u moraju biti pouzdani i ažurirani, što treba shvatiti kao da se odnosi i na podatke iz baza podataka upotrijebljenih u svrhu uspoređivanja predviđenog člankom 6. stavkom 3. točkom (a) te direktive. U tom pogledu općenitije ističem da su sve zaštitne mjere koje su primjenjive na automatiziranu obradu osobnih podataka predviđenu Direktivom o policiji primjenjive i u okviru Direktive o PNR‑u s obzirom na to da treba smatrati da su automatske analize koje se provode u okviru te direktive obuhvaćene područjem primjene Direktive o policiji.

231. Zaštitnim mjerama navedenima u točki 229. ovog mišljenja treba dodati zaštitnu mjeru predviđenu u članku 7. stavku 6. Direktive o PNR‑u kojom se upotpunjuje, s jedne strane, zabrana da se svi postupci odlučivanja isključivo temelje na rezultatima automatizirane obrade podataka iz PNR‑a i, s druge strane, zabrana diskriminacije u obradi i upotrebi tih podataka. Prema tome, tom se odredbom predviđa da „[n]adležna tijela ne smiju donijeti nikakvu odluku koja bi proizvela štetni pravni učinak na osobu ili bi značajno na nju utjecala isključivo na temelju automatizirane obrade podataka iz PNR‑a” i da se takve odluke „ne smiju […] temeljiti na rasi ili etničkom podrijetlu osobe, njezinim političkim mišljenjima, vjeri ili filozofskim uvjerenjima, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji”. U skladu s onim što sam naveo u točki 227. ovog mišljenja u pogledu članka 6. stavka 4. četvrte rečenice Direktive o PNR‑u, taj popis osnova diskriminacije valja dopuniti tako da mu se dodaju osnove iz članka 21. Povelje koje nisu izričito navedene.

232. Kad je riječ o sigurnosti podataka iz PNR‑a, člankom 6. stavkom 8. Direktive o PNR‑u predviđa se da PIU‑ovi provode pohranu, obradu i analizu tih podataka isključivo na sigurnoj lokaciji ili lokacijama unutar državnog područja država članica.

–       Zaključak o šestom prethodnom pitanju

233. Uzimajući u obzir sva prethodna razmatranja i podložno tumačenjima predloženim u, među ostalim, točkama 213., 219., 220., 222., 227., 228., 230. i 231. ovog mišljenja, smatram da je automatizirana obrada podataka iz PNR‑a u okviru prethodne ocjene iz članka 6. stavka 2. točke (a) Direktive o PNR‑u u skladu sa zahtjevima jasnoće i preciznosti te da je ograničena na ono što je strogo nužno.

v)      Čuvanje podataka iz PNR‑a (osmo prethodno pitanje)

234. Svojim osmim prethodnim pitanjem sud koji je uputio zahtjev pita Sud treba li članak 12. Direktive o PNR‑u, u vezi s člancima 7., 8. i člankom 52. stavkom 1. Povelje, tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se za čuvanje podataka iz PNR‑a propisuje opći rok od pet godina, neovisno o tome predstavljaju li dotični putnici, u okviru prethodne procjene, opasnost za javnu sigurnost. 

235. Člankom 12. stavkom 1. Direktive o PNR‑u predviđa se da se podaci iz PNR‑a čuvaju u bazi podataka „u razdoblju od pet godina od njihova prijenosa PIU‑u države članice na čijem se državnom području nalazi polazište ili odredište leta”. U skladu sa stavkom 2. tog članka, nakon „početnog razdoblja čuvanja”(227) u trajanju od šest mjeseci, podatke iz PNR‑a trebalo bi depersonalizirati skrivanjem određenih podataka koji bi mogli poslužiti za izravnu identifikaciju ispitanika. U skladu sa stavkom 3. navedenog članka, nakon isteka tog razdoblja od šest mjeseci, može se dopustiti otkrivanje potpunih podataka iz PNR‑a, uključujući skrivene elemente, samo ako se „opravdano” smatra da je to potrebno u svrhu iz članka 6. stavka 2. točke (b) Direktive o PNR‑u i ako je to otkrivanje odobrilo pravosudno tijelo ili drugo nacionalno tijelo koje je prema nacionalnom pravu nadležno provjeriti jesu li ispunjeni uvjeti za objavu. Naposljetku, stavkom 4. tog članka predviđa se da se, nakon isteka razdoblja od pet godina iz stavka 1., podaci iz PNR‑a trajno brišu.

236. Iz prethodno navedenog proizlazi da se samom Direktivom o PNR‑u uspostavlja sustav čuvanja podataka iz PNR‑a, uključujući trajanje tog čuvanja koje se utvrđuje na razdoblje od pet godina(228), tako da države članice u tom pogledu načelno nemaju nikakvu marginu prosudbe, što je uostalom potvrdila Komisija. U tim okolnostima, kao što sam to već imao priliku napomenuti, iako je osmo prethodno pitanje sastavljeno kao zahtjev za tumačenje, njime se zapravo traži od Suda da odluči o usklađenosti navedenog sustava s Poveljom.

237. Opće je načelo u području zaštite osobnih podataka da se ti podaci ne smiju čuvati u obliku kojim se omogućuje izravna ili neizravna identifikacija ispitanikâ dulje nego što je to potrebno u svrhe radi kojih se osobni podaci obrađuju(229). Osim toga, iz ustaljene sudske prakse proizlazi da propis kojim se predviđa čuvanje osobnih podataka treba nastaviti ispunjavati objektivne kriterije, uspostavljajući vezu između osobnih podataka koje treba zadržati i cilja koji se nastoji postići(230).

238. Sud je u mišljenju 1/15 u pogledu podataka prikupljenih na ulasku u Kanadu smatrao da je potreban odnos između podataka iz PNR‑a i cilja zacrtanog Prijedlogom sporazuma o PNR‑u između Kanade i EU‑a uspostavljen za sve zrakoplovne putnike sve dok se oni nalaze na državnom području te treće zemlje(231). Suprotno tomu, kad je riječ o zračnim putnicima koji su napustili Kanadu i kod kojih opasnost u pogledu terorizma ili teških oblika prekograničnog kriminaliteta nije bila utvrđena prilikom njihova dolaska u tu treću zemlju te sve do njihova odlaska iz nje, Sud je smatrao da takva veza, makar i neizravna, koja bi opravdavala čuvanje njihovih podataka iz PNR‑a, ne postoji(232). Smatrao je ipak da bi se takvo čuvanje moglo dopustiti, „[m]eđutim, ako se u pojedinačnim slučajevima utvrdi postojanje objektivnih elementa iz kojih se može zaključiti da bi pojedini zrakoplovni putnici mogli, čak i nakon njihova odlaska iz Kanade, predstavljati rizik u kontekstu borbe protiv terorizma i teških oblika prekograničnog kriminaliteta”(233).

239. Prenesena u kontekst Direktive o PNR‑u, načela koja je Sud utvrdio u mišljenju 1/15 znače da se podaci iz PNR‑a o letovima između EU‑a i trećih zemalja prikupljeni na ulasku u Uniju, kao i podaci iz PNR‑a o letovima unutar EU‑a prikupljeni na ulasku u dotičnu državu članicu, mogu čuvati, nakon njihove prethodne analize u smislu članka 6. stavka 2. točke (a) Direktive o PNR‑u sve dok se dotični putnici nalaze na području Unije ili na državnom području te države članice. Kad je riječ o podacima iz PNR‑a o letovima između EU‑a i trećih zemalja prikupljenima na izlasku iz Unije i podacima iz PNR‑a o letovima unutar EU‑a prikupljenima na izlasku iz dotične države članice, oni se načelno nakon navedene prethodne procjene mogu čuvati samo u slučaju putnika u pogledu kojih postoje objektivni elementi iz kojih se može zaključiti da bi mogli predstavljati rizik u kontekstu borbe protiv terorizma i teških kaznenih djela(234).

240. Vlade i institucije koje su Sudu podnijele očitovanja općenito se protive prenošenju na ovaj predmet načela utvrđenih u mišljenju 1/15 u području čuvanja podataka iz PNR‑a. U tom je pogledu točno da nije isključeno da je na činjenicu da je Sud primijenio kriterij povezan s boravkom dotične osobe na državnom području Kanade mogla utjecati okolnost da je bio suočen s čuvanjem osobnih podataka na državnom području treće zemlje. Isto tako, moguće je da bi primjena takvog kriterija u kontekstu Direktive o PNR‑u u praksi mogla dovesti do zadiranja u prava na poštovanje privatnog života i zaštitu osobnih podataka koje bi moglo biti važnije za određene kategorije osoba, osobito one koje trajno borave u Uniji i koje se u njoj kreću ili se u nju nakon boravka u inozemstvu. Konačno, točno je da bi se navedeni kriterij mogao pokazati teškim za provedbu u praksi, barem za letove unutar EU‑a, kao što su to naglasile određene države članice i Vijeće.

241. Čak i ako se želi isključiti kriterij koji je Sud primijenio u mišljenju 1/15, čuvanje svih podataka iz PNR‑a o svim zrakoplovnim putnicima, neovisno o rezultatu prethodne procjene iz članka 6. stavka 2. točke (a) Direktive o PNR‑u i bez ikakve razlike u odnosu na rizik u pogledu terorizma ili teških kaznenih djela na temelju objektivnih i provjerljivih kriterija, ipak je protivno ustaljenoj sudskoj praksi Suda iz točke 237. ovog mišljenja, koju je Sud namjeravao primijeniti u navedenom mišljenju. Međutim, razmatranja iznesena u točkama 201. do 203. ovog mišljenja u okviru ispitivanja četvrtog prethodnog pitanja, iako se njima, prema mojem mišljenju, može opravdati opći i neselektivni prijenos podataka iz PNR‑a, kao i njihova automatska obrada u okviru prethodne procjene predviđene člankom 6. stavkom 2. točkom (a) Direktive o PNR‑u, smatram da se njima samima ne opravdava opće i neselektivno zadržavanje tih podataka, čak i nakon takve procjene.

242. Osim toga, ističem da se isti rok za čuvanje od pet godina primjenjuje na borbu protiv terorizma ili borbu protiv teških kaznenih djela i, u okviru potonje svrhe, na sva kaznena djela iz Priloga II. bez iznimke. Međutim, kao što to proizlazi iz razmatranja iz točke 121. ovog mišljenja, taj je popis posebno opsežan i obuhvaća kaznena djela različitih vrsta i težine. U tom je pogledu važno istaknuti da se opravdanje koje su iznijele praktički sve države članice i institucije koje su podnijele očitovanja u ovom postupku, a koja se odnose na trajanje i složenost istraga, posebno navodi samo za kaznena djela terorizma i za određena kaznena djela koja su prije svega prekogranične prirode, kao što su trgovanje ljudima ili trgovina drogom, kao i, općenitije, za određene oblike organiziranog kriminala. Osim toga, podsjećam na to da je Sud u mišljenju 1/15 prihvatio slično opravdanje samo u pogledu čuvanja podataka iz PNR‑a o zrakoplovnim putnicima koji predstavljaju objektivni rizik u kontekstu borbe protiv terorizma ili teških oblika prekograničnog kriminaliteta i u pogledu kojih se smatra da zadržavanje podataka u trajanju od pet godina ne prelazi granice onoga što je krajnje nužno(235). Suprotno tomu, smatralo se da se tim opravdanjem ne može dopustiti „kontinuirano pohranjivanje podataka iz PNR‑a svih zrakoplovnih putnika […] u svrhu eventualnog pristupa tim podacima neovisno o tome postoji li ikakva veza s borbom protiv terorizma i teškim oblicima prekograničnog kriminaliteta”(236).

243. Točno je, kao što to naglašavaju Vijeće, Parlament i Komisija, kao i sve vlade koje su podnijele očitovanja o osmom prethodnom pitanju, da se Direktivom o PNR‑u predviđaju posebne zaštitne mjere u pogledu čuvanja podataka iz PNR‑a, koji su djelomično skriveni nakon početnog razdoblja u trajanju od šest mjeseci, i u pogledu njihove upotrebe tijekom razdoblja zadržavanja na koju se primjenjuju strogi uvjeti. Međutim, kao prvo, ističem, s jedne strane, da se Prijedlogom sporazuma o PNR‑u između Kanade i EU‑a predviđao i sustav depersonalizacije podataka iz PNR‑a skrivanjem(237) i, s druge strane, da, iako se tom depersonalizacijom, kao što to osobito naglašava Savjetodavni odbor Konvencije br. 108(238), mogu smanjiti rizici zbog produljenog razdoblja čuvanja podataka, poput zlouporabe pristupa, skriveni podaci ipak i dalje omogućuju identifikaciju osoba i na temelju toga oni ostaju osobni podaci, čije čuvanje također treba vremenski ograničiti kako bi se spriječio opći trajni nadzor. U tom pogledu, ističem da rok za čuvanje od pet godina znači da se veliki broj putnika, osobito onih koji se kreću unutar Unije, može gotovo trajno naći u evidenciji. Kao drugo, u pogledu ograničenja upotrebe podataka napominjem da čuvanje osobnih podataka i pristup takvim podacima predstavljaju različita zadiranja u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka, koja se zasebno moraju opravdati. Iako postojanje strogih zaštitnih mjera u pogledu pristupa podacima koji se čuvaju omogućuje sveobuhvatnu ocjenu utjecaja mjere nadzora nad navedenim temeljnim pravima, ipak se njima ne omogućuje otklanjanje zadiranja povezanih s produljenim općim čuvanjem.

244. Što se tiče Komisijina argumenta da je potrebno čuvati podatke iz PNR‑a o svim zrakoplovnim putnicima kako bi se PIU‑ovima omogućilo da izvrše svoje zadaće iz članka 6. stavka 2. točke (c) Direktive o PNR‑u, da ažuriraju ili određuju nove kriterije za provođenje procjena koje se provode na temelju stavka 3. točke (b) tog članka, ističem da se, iako priznajem da preciznost tih kriterija djelomično ovisi o njihovoj usporedbi s „uobičajenim” postupanjem, kao što to tvrdi Komisija, ipak moraju utvrditi na temelju „kaznenog” djelovanja. Takav argument, koji je uostalom istaknuo samo ograničen broj država članica, ne može, prema mojem mišljenju, biti od odlučujuće važnosti koju mu čini se daje Komisija i ne može sam po sebi opravdati opće čuvanje podataka iz PNR‑a o svim zrakoplovnim putnicima u obliku koji nije anonimiziran.

245. S obzirom na prethodna razmatranja, kako bi se osiguralo tumačenje članka 12. stavka 1. Direktive o PNR‑u koje je u skladu s člancima 7., 8. i člankom 52. stavkom 1. Povelje, valja, prema mojem mišljenju, tumačiti tu odredbu na način da je čuvanje podataka iz PNR‑a koje zračni prijevoznici dostavljaju u PIU u bazi podataka u razdoblju od pet godina nakon njihova prijenosa u PIU države članice na čijem se državnom području nalazi polazište ili odredište leta dopušteno, nakon provedbe prethodne procjene na temelju članka 6. stavka 2. točke (a) te direktive, samo ako se na temelju objektivnih kriterija utvrdi odnos između tih podataka i borbe protiv terorizma ili teških kaznenih djela. Opće i neselektivno čuvanje podataka iz PNR‑a u obliku koji nije anonimiziran može se opravdati, po analogiji s onim što je Sud potvrdio u istoj sudskoj praksi, samo u slučaju ozbiljne prijetnje sigurnosti država članica koja se pokaže stvarnom i trenutačnom ili predvidljivom i koja je primjerice povezana s terorističkim aktivnostima, te pod uvjetom da je trajanje tog čuvanja ograničeno na ono što je strogo nužno.

246. Ograničenje mjere čuvanja predviđeno člankom 12. stavkom 1. Direktive o PNR‑u može se primjerice temeljiti na procjeni rizika ili na iskustvu koje su stekla nadležna nacionalna tijela, čime se mogu obuhvatiti određene zračne linije, utvrđeni obrasci putovanja, agencije posredstvom kojih se izvršavaju rezervacije ili čak kategorije osoba ili određena zemljopisna područja, identificirana na temelju objektivnih i nediskriminirajućih elemenata, kao što je to Sud presudio u svojoj sudskoj praksi o čuvanju metapodataka o elektroničkim komunikacijama(239). Osim toga, po analogiji s mišljenjem 1/15, treba smatrati da je potreban odnos između podataka iz PNR‑a i cilja koji se nastoji postići Direktivom o PNR‑u uspostavljen sve dok se zrakoplovni putnici nalaze u Uniji (ili u dotičnoj državi članici) ili su na polasku iz nje. Isto vrijedi i za podatke o putnicima koji su doveli do provjerenog pozitivnog rezultata.

247. Kako bih donio zaključak o osmom prethodnom pitanju, želim razmotriti pravila kojima se uređuje pristup podacima iz PNR‑a i njihova upotreba nakon provedbe prethodne procjene iz članka 6. stavka 2. točke (a) Direktive o PNR‑u i prije njihove depersonalizacije nakon isteka početnog razdoblja čuvanja od šest mjeseci predviđenog člankom 12. stavkom 2. Direktive o PNR‑u.

248. Iz zajedničkog tumačenja članka 6. stavka 2. točke (b) i članka 12. stavka 3. Direktive o PNR‑u proizlazi da se tijekom tog početnog razdoblja ti depersonalizirani podaci iz PNR‑a ili rezultat njihove obrade mogu dostaviti nadležnim tijelima u skladu s prvonavedenom odredbom, a da se pritom ne poštuju uvjeti utvrđeni u točkama (a) i (b) drugonavedene odredbe(240). Naime, člankom 6. stavkom 2. točkom (b) Direktive o PNR‑u samo se predviđa da zahtjevi nadležnih tijela u svrhu takve obrade i takve dostave trebaju biti „propisno obrazložen[i]” i „podnesen[i] na temelju dovoljno dokaza”.

249. Prema ustaljenoj sudskoj praksi, na koju Sud podsjeća u mišljenju 1/15, propis Unije ne može se ograničiti na zahtjev da pristup tijela osobnim podacima koji se zakonito čuvaju odgovara jednom od ciljeva iz tog propisa, nego također mora predvidjeti materijalne i postupovne uvjete kojima se uređuje to korištenje(241), kako bi se, među ostalim, navedeni podaci zaštitili od rizika zlouporabe(242). U tom je mišljenju Sud presudio da se korištenje podataka iz PNR‑a nakon njihove provjere prilikom dolaska zračnih putnika u Kanadu i tijekom njihova boravka u toj zemlji treba temeljiti na novim okolnostima koje opravdavaju to korištenje(243), pri čemu je pojasnio da, „kad postoje objektivni elementi iz kojih se može zaključiti da ti podaci iz PNR‑a jednog ili više zrakoplovnih putnika mogu dati stvaran doprinos cilju borbe protiv kaznenih djela terorizma i teških oblika prekograničnog kriminaliteta, očito je da korištenje tih podataka ne prelazi granice onog što je krajnje nužno”(244). Upućivanjem po analogiji na točku 120. presude Tele2 Sverige Sud je presudio da, kako bi se u praksi osiguralo puno poštovanje tih uvjeta, „važno je da korištenje zadržanim podacima iz PNR‑a tijekom boravka zrakoplovnih putnika u Kanadi u načelu bude, osim u valjano opravdanim hitnim slučajevima, podvrgnuto prethodnom nadzoru suda ili neovisnog upravnog tijela i da odluka tog suda ili tijela bude donesena nakon obrazloženog zahtjeva nadležnih tijela podnesenog osobito u okviru postupaka sprečavanja, otkrivanja ili progona kaznenih djela”(245). Stoga je Sud na mogućnost korištenja podataka iz PNR‑a zadržanih nakon njihove provjere prilikom zračnog putovanja primijenio dvostruki uvjet, istodobno materijalni, koji se odnosi na postojanje objektivnih razloga kojima se opravdava to korištenje, i postupovni, koji se odnosi na nadzor suda ili neovisnog upravnog tijela. Tumačenje Suda uopće nije „kontekstualno”, nego se sastoji od primjene u području podataka iz PNR‑a sudske prakse koja je osobito proizašla iz presuda Digital Rights i Tele2 Sverige.

250. Međutim, sustav uspostavljen Direktivom o PNR‑u tijekom prvih šest mjeseci čuvanja podataka iz PNR‑a, kojim se dopušta, nakon prethodne procjene iz članka 6. stavka 2. točke (a) te direktive, potencijalno ponovljena dostava i obrada podataka iz PNR‑a u nedostatku odgovarajućih postupovnih jamstava i dovoljno jasnih i preciznih materijalnih pravila kojima se definiraju predmet i načini tih različitih zadiranja, nije u skladu sa zahtjevima koje je Sud utvrdio u mišljenju 1/15. Nije u skladu ni sa zahtjevom upotrebe podataka iz PNR‑a koja je ograničena na ono što je strogo nužno.

251. Stoga predlažem Sudu da članak 6. stavak 2. točku (b) Direktive o PNR‑u protumači na način da je obrada podataka na temelju te odredbe koja se provodi tijekom početnog razdoblja od šest mjeseci predviđenog u članku 12. stavku 2. te direktive u skladu sa zahtjevima koje je Sud utvrdio u mišljenju 1/15.

252. Što se tiče prvog materijalnog uvjeta koji je Sud primijenio na naknadnu upotrebu podataka iz PNR‑a, smatram da se izraz „opravdano smatra” u smislu članka 12. stavka 3. točke (a) Direktive o PNR‑u i izraz „dovoljno dokaza” u smislu članka 6. stavka 2. točke (b) te direktive bez poteškoća mogu tumačiti na način da se u zahtjevima nadležnih tijela iz tih odredbi trebaju navesti „objektivni elementi iz kojih se može zaključiti da ti podaci iz PNR‑a jednog ili više zrakoplovnih putnika mogu dati stvaran doprinos cilju borbe protiv kaznenih djela terorizma i teških oblika […] kriminaliteta”(246).

253. Što se tiče prvog postupovnog uvjeta, prema mojem mišljenju, članak 6. stavak 2. točku (b) Direktive o PNR‑u, u vezi s njezinim člankom 12. stavkom 3. i člancima 7., 8. te člankom 52. stavkom 1. Povelje, valja tumačiti na način da se zahtjev za prethodno odobrenje pravosudnog tijela ili neovisnog upravnog tijela predviđen člankom 12. stavkom 3. točkom (b) te direktive primjenjuje na svaku obradu podataka iz PNR‑a koja se obavlja u skladu s navedenim člankom 6. stavkom 2. točkom (b).

4.      Mišljenje o drugom, trećem, četvrtom, šestom i osmom prethodnom pitanju

254. Na temelju svih prethodnih razmatranja, predlažem Sudu da poništi točku 12. Priloga I. u dijelu u kojem uključuje „opće primjedbe” u kategorije podataka iz PNR‑a koje su zračni prijevoznici dužni prenijeti u PIU‑ove, u skladu s člankom 8. Direktive o PNR‑u, te da utvrdi da se u okviru ispitivanja drugog, trećeg, četvrtog, šestog i osmog prethodnog pitanja nisu otkrili nikakvi drugi elementi koji bi mogli utjecati na valjanost te direktive, podložno tumačenjima njezinih odredbi predloženim u točkama 153., 160., 161. do 164., 219., 228., 239. i 251. ovog mišljenja.

255. S obzirom na odgovor koji predlažem da se dâ na prethodna pitanja koja se odnose na valjanost Direktive o PNR‑u, zahtjev koji je istaknulo, među ostalim, Vijeće, koji se odnosi na zadržavanje na snazi učinaka Direktive o PNR‑u ako Sud odluči u cijelosti ili djelomično poništiti Direktivu o PNR‑u u cjelini, ne može se prihvatiti, neovisno o bilo kojem drugom razmatranju.

C.      Peto prethodno pitanje

256. Svojim petim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud treba li članak 6. Direktive o PNR‑u, u vezi s člancima 7., 8. i člankom 52. stavkom 1. Povelje, tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se, kao svrha obrade podataka iz PNR‑a, priznaje praćenje [određenih] aktivnosti obavještajnih i sigurnosnih službi. Iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da te aktivnosti obavljaju Sûreté de l’État (Služba za nacionalnu sigurnost, Belgija) i Service général de Renseignement et de Sécurité (Opća obavještajna i sigurnosna služba, Belgija) u okviru svoje zadaće pružanja zaštite nacionalne sigurnosti.

257. Kao što sam to naveo u točkama 113. i 114. ovog mišljenja, ograničenje svrha obrade osobnih podataka temeljna je zaštitna mjera koju treba poštovati kako se zadiranjima u temeljna prava propisana u člancima 7. i 8. Povelje ne bi prekoračilo ono što je nužno u smislu sudske prakse Suda. Već sam pojasnio i da je, kad je riječ o zadiranjima u ta temeljna prava predviđenima Direktivom o PNR‑u, na zakonodavcu Unije, radi poštovanja načela zakonitosti i proporcionalnosti sadržanih osobito u članku 52. stavku 1. Povelje, da predvidi jasna i precizna pravila kojima se uređuju doseg i primjena mjera koje uključuju takva zadiranja.

258. Međutim, člankom 1. stavkom 2. Direktive o PNR‑u pojašnjava se da se podaci iz PNR‑a prikupljeni u skladu s tom direktivom „mogu […] obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, kako je predviđeno člankom 6. stavkom 2. točkama (a), (b) i (c) [te direktive]”. U skladu s tom odredbom, PIU‑ovi obrađuju podatke iz PNR‑a samo u svrhu provedbe prethodne procjene zrakoplovnih putnika (članak 6. stavak 2. točka (a)), odgovora na precizne zahtjeve nadležnih tijela (članak 6. stavak 2. točka (b)) i ažuriranja ili određivanja novih kriterija za provođenje procjena koje se provode na temelju stavka 3. točke (b) navedenog članka 6. (članak 6. stavak 2. točka (a)). U sva se tri slučaja izričito podsjeća na ciljeve navedene u članku 1. stavku 2. Direktive o PNR‑u borbi protiv terorizma i teških kaznenih djela.

259. Osim toga, člankom 7. stavkom 4. te direktive pojašnjava se da se ne samo obrada podataka iz PNR‑a predviđena člankom 6. te direktive, nego i dodatna obrada tih podataka i rezultata te obrade koju provode nadležna tijela država članica trebaju provoditi „samo u posebnu svrhu sprečavanja, otkrivanja, istrage ili kaznenog progona kaznenih djela terorizma ili teških kaznenih djela”.

260. Iscrpnost utvrđivanja ciljeva koji se nastoje postići Direktivom o PNR‑u jasno proizlazi iz teksta njezina članka 1. stavka 2. te je potvrđuju, osim njezina članka 6. stavka 2. i članka 7. stavka 4. koji su već navedeni, nekoliko članaka i uvodnih izjava te direktive koji svaku fazu postupka pristupa, obrade, čuvanja i razmjene podataka iz PNR‑a sustavno povezuju sa samim tim posebnim ciljevima(247).

261. Iz teksta članka 1. stavka 2. Direktive o PNR‑u i iz njegova tumačenja s obzirom na načela zakonitosti i proporcionalnosti, kojima se nalaže iscrpno ograničenje svrha mjera koje uključuju zadiranja u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka, proizlazi da je svako proširenje svrha obrade podataka iz PNR‑a kojim se prekoračuju sigurnosni ciljevi izričito navedeni u toj odredbi protivno Direktivi o PNR‑u.

262. Ta zabrana proširenja ciljeva koji se nastoje postići Direktivom odnosi se, prema mojem mišljenju, osobito na aktivnosti sigurnosnih i obavještajnih službi država članica, uključujući zbog nedostatka transparentnosti koji obilježava njihov modus operandi. U tom se pogledu slažem s Komisijom, odnosno smatram da te službe u pravilu ne bi trebale imati izravan pristup podacima iz PNR‑a. U tom kontekstu smatram da se već sama po sebi može kritizirati činjenica da nacionalni PIU‑ovi mogu, kao što je to slučaj s belgijskim PIU‑om, među svoje članove uključiti službenike upućene iz sigurnosnih službi(248).

263. Na temelju prethodnih razmatranja, na peto prethodno pitanje, prema mojem mišljenju, treba odgovoriti da Direktivu o PNR‑u, a osobito njezin članak 1. stavak 2. i članak 6., treba tumačiti na način da joj se protivi nacionalno zakonodavstvo kojim se, kao svrha obrade podataka iz PNR‑a, priznaje praćenje određenih aktivnosti obavještajnih i sigurnosnih službi, jer bi, u okviru takve svrhe, nacionalni PIU bio dužan obraditi navedene podatke i/ili ih prenijeti ili prenijeti rezultat njihove obrade navedenim službama u svrhe različite od onih koje su iscrpno navedene u članku 1. stavku 2. te direktive, što je na nacionalnom sudu da provjeri.

D.      Sedmo prethodno pitanje

264. Svojim sedmim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud treba li članak 12. stavak 3. točku (b) Direktive o PNR‑u tumačiti na način da je PIU „nacionalno tijelo koje je […] nadležno” u smislu te odredbe i koje može dopustiti otkrivanje potpunih podataka iz PNR‑a nakon isteka početnog razdoblja od šest mjeseci nakon prijenosa tih podataka.

265. Podsjećam na to da se člankom 12. stavkom 2. Direktive o PNR‑u predviđa da se podaci iz PNR‑a nakon isteka roka od šest mjeseci depersonaliziraju skrivanjem određenih elemenata koji bi mogli poslužiti za izravnu identifikaciju putnika na kojeg se odnose. Nakon tog roka, otkrivanje potpunih podataka iz PNR‑a dopušteno je samo pod uvjetima predviđenima navedenim člankom 12. stavkom 3. i, među ostalim, samo ako je to otkrivanje prethodno odobrilo „pravosudno tijelo” (članak 12. stavak 3. točka (b) podtočka i.) ili „drugo nacionalno tijelo koje je prema nacionalnom pravu nadležno provjeriti jesu li ispunjeni uvjeti za objavu, pod uvjetom da se o tome obavijesti službenik za zaštitu podataka u PIU‑u i da to podliježe njegovoj naknadnoj provjeri” (članak 12. stavak 3. točka (b) podtočka ii.).

266. Većina vlada koje su podnijele svoja pisana očitovanja u ovom postupku nije se očitovala o sedmom prethodnom pitanju. Češka vlada smatra, poput Komisije, da članak 12. stavak 3. Direktive o PNR‑u ne treba tumačiti na način da PIU može biti „nacionalno tijelo koje je […] nadležno”. Suprotno tomu, belgijska(249), irska, španjolska, francuska i ciparska vlada protive se takvom tumačenju. U biti smatraju da se nijednom odredbom Direktive o PNR‑u ili prava Unije ne sprečava da se PIU svrsta među nacionalna tijela koja su nadležna u smislu članka 12. stavka 2. točke (b) podtočke ii. navedene direktive i da je PIU po prirodi dovoljno neovisno tijelo da bi mogao obaviti obradu podataka iz PNR‑a.

267. Ističem, kao prvo, da iz teksta članka 12. stavka 3. točke (b) Direktive o PNR‑u i osobito iz upotrebe veznika „ili” koji povezuje dva izraza iz podtočaka i. i ii. te odredbe proizlazi da je zakonodavac Unije namjeravao izjednačiti nadzor koji provodi nacionalno tijelo iz podtočke ii. i nadzor koji provodi pravosudno tijelo iz podtočke i. Iz toga slijedi da navedeno nacionalno tijelo mora imati određeni stupanj neovisnosti i nepristranosti tako da se nadzor koji provodi može smatrati usporedivom alternativom nadzoru koji može provoditi pravosudno tijelo(250).

268. Kao drugo, iz pripremnih akata Direktive o PNR‑u proizlazi da zakonodavac Unije, s jedne strane, nije prihvatio Komisijin prijedlog da voditelju PIU‑a povjeri zadaću odobravanja otkrivanja potpunih podataka iz PNR‑a(251) i, s druge strane, produljio je na šest mjeseci, odnosno za 30 dana, početno razdoblje zadržavanja tih podataka koje je predložila ta institucija. Upravo u tom kontekstu, koji obilježava postizanje ravnoteže između trajanja razdoblja zadržavanja prije depersonalizacije podataka iz PNR‑a i uvjeta koji se primjenjuju na njihovo razotkrivanje nakon tog razdoblja, nalazi se odluka zakonodavca Unije da se na pristup potpunim podacima iz PNR‑a primijene postupovni uvjeti koji su stroži od onih koje je prvotno predvidjela Komisija i da neovisnom tijelu povjeri zadaću provjere jesu li uvjeti za objavu ispunjeni.

269. Kao treće, kao što je to pravilno napomenula Komisija, iz strukture Direktive o PNR‑u proizlazi da se svrha postupka za odobrenje predviđenog člankom 12. stavkom 3. Direktive o PNR‑u temelji na dodjeli nepristranom trećem subjektu zadaće da u svakom pojedinačnom slučaju odvagne prava dotičnih osoba u represivnu svrhu koja se želi ostvariti tom direktivom.

270. Kao četvrto, iz sudske prakse Suda proizlazi da subjekt zadužen za provedbu prethodnog nadzora koji se zahtijeva kako bi se nadležnim nacionalnim tijelima odobrio pristup osobnim podacima koji se zakonito čuvaju treba raspolagati svim ovlastima i pružati sva potrebna jamstva za usklađivanje različitih interesa i prava o kojima je riječ. Sud je također pojasnio da taj subjekt mora uživati položaj koji mu omogućava da prilikom obavljanja svojih zadaća postupa objektivno i nepristrano i u tu svrhu mora biti zaštićen od svakog vanjskog utjecaja(252). Konkretno, s obzirom na potreban zahtjev neovisnosti, osobito u području kaznenog prava, tijelo zaduženo za prethodni nadzor treba imati svojstvo treće strane u odnosu na ono koje zahtijeva pristup podacima, tako da ne mora biti uključeno u vođenje kaznene istrage i mora zadržati neutralan položaj u odnosu na stranke u kaznenom postupku(253).

271. Međutim, valja utvrditi da PIU ne pruža sva jamstva neovisnosti i nepristranosti koja treba pružati tijelo zaduženo za provedbu prethodnog nadzora predviđenog u članku 12. stavku 3. Direktive o PNR‑u. Naime, PIU‑ovi su izravno povezani s tijelima nadležnim za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela. U skladu s člankom 4. stavkom 1. Direktive o PNR‑u, PIU je sam takvo tijelo ili ogranak takvog tijela. Osim toga, stavkom 3. tog članka predviđa se da članovi osoblja PIU‑a mogu biti upućeni iz nadležnih tijela. To je osobito slučaj belgijskog PIU‑a koji se, u skladu s člankom 14. Zakona o PNR‑u, sastoji, među ostalim, od članova upućenih iz policijskih službi, Službe za nacionalnu sigurnost, Opće obavještajne i sigurnosne službe i administrationa générale des douanes et accises (Opće uprave za carine i trošarine, Belgija).

272. Točno je da općenito članovi PIU‑a trebaju pružati jamstvo integriteta, nadležnosti, transparentnosti i neovisnosti te da je na državama članicama da po potrebi osiguraju, uzimajući u obzir veze koje ih ujedinjuju s tijelima kojima pripadaju, da se ta jamstva stvarno mogu poštovati, osobito kako bi se izbjeglo da nadležna tijela u čiju su strukturu ti članovi prvotno uključeni imaju izravan pristup bazi podataka iz PNR‑a, a ne samo rezultatima zapljena koje su izvršili PIU‑ovi. Članovi PIU‑ova koji su upućeni iz nadležnih tijela u smislu članka 7. stavka 2. Direktive o PNR‑u ipak su i dalje neizbježno povezani sa svojim matičnim službama tijekom razdoblja njihova upućivanja, pri čemu zadržavaju svoj položaj čak i ako su pod funkcionalnom i hijerarhijskom nadležnošću službenika koji upravlja PIU‑om.

273. Zaključak prema kojem PIU nije nacionalno tijelo u smislu članka 12. stavka 3. točke (b) podtočke ii. Direktive o PNR‑u uostalom potkrepljuje činjenica da, u skladu s tom odredbom, službenika za zaštitu podataka u predmetnom PIU‑u treba „obavijesti[ti]” o zahtjevu za objavu te on obavlja „naknadn[u] provjer[u]”. Naime, u slučaju da je PIU ovlašten kao „drugo nacionalno tijelo” odobriti zahtjev za objavu na temelju članka 12. stavka 3. Direktive o PNR‑u, službenika za zaštitu podataka, koji je među ostalim zadužen, u skladu s člankom 5. stavkom 1. te direktive, za provedbu odgovarajućih zaštitnih mjera u pogledu obrade podataka iz PNR‑a, treba obavijestiti o zahtjevu za pristup u trenutku njegova podnošenja te on nužno mora provesti nadzor ex ante(254).

274. S obzirom na prethodna razmatranja, predlažem Sudu da na sedmo prethodno pitanje odgovori da članak 12. stavak 3. točku (b) Direktive o PNR‑u treba tumačiti na način da PIU nije „drugo nacionalno tijelo koje je […] nadležno” u smislu te odredbe.

E.      Deveto prethodno pitanje

275. Svojim devetim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud, s jedne strane, je li Direktiva o API‑ju u skladu s člankom 3. stavkom 2. UEU‑a i člankom 45. Povelje s obzirom na to da se primjenjuje na letove unutar Unije i, s druge strane, treba li tu direktivu, u vezi s člankom 3. stavkom 2. UEU‑a i člankom 45. Povelje, tumačiti na način da joj se protivi nacionalno zakonodavstvo koje, radi sprečavanja ilegalne migracije i poboljšanja graničnih kontrola, dopušta sustav prikupljanja i obrade podataka o putnicima koji bi neizravno mogao podrazumijevati ponovnu uspostavu kontrola na unutarnjim granicama.

276. Iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da je to prethodno pitanje dio ispitivanja drugog tužbenog razloga koji je podredno istaknuo LDH. Taj tužbeni razlog, koji se temelji na povredi članka 22. belgijskog Ustava, u vezi s člankom 3. stavkom 2. UEU‑a i člankom 45. Povelje, usmjeren je protiv članka 3. stavka 1., članka 8. stavka 2. i poglavlja 11., osobito članaka 28. do 31. Zakona o PNR‑u. Iako se u prvom od tih članaka općenito utvrđuje predmet tog zakona, tako da se pojašnjava da se njime „određuju obveze prijevoznikâ i turoperatora koje se odnose na prijenos podataka o putnicima čije se odredište ili polazište nalazi na državnom području ili koji prolaze državnim područjem”, člankom 8. stavkom 2. navedenog zakona predviđa se da, „[p]od uvjetima predviđenima u poglavlju 11. [tog zakona], podaci o putnicima također se obrađuju radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja”. U okviru te svrhe, u skladu s člankom 29. stavkom 1. Zakona o PNR‑u, samo se „podaci o putnicima” iz članka 9. stavka 1. točke 18. tog zakona (odnosno API podaci navedeni u točki 18. Direktive o PNR‑u), koji se odnose na tri kategorije putnika, prenose policijskim službama nadležnim za graničnu kontrolu i Officeu des étrangers (Ured za strance, Belgija). Riječ je o „putnici[ma] koji namjeravaju ući ili su ušli na državno područje Belgije prelaskom njezinih vanjskih granica”, „putnici[ma] koji namjeravaju napustiti ili su napustili državno područje Belgije prelaskom njezinih vanjskih granica” i „putnici[ma] koji namjeravaju prijeći preko međunarodnog tranzitnog područja koje se nalazi u Belgiji, putnici[ma] koji se nalaze na tom području ili su prešli preko tog područja”(255). Iz članka 29. stavka 3. Zakona o PNR‑u proizlazi da navedene podatke PIU dostavlja policijskim službama nadležnim za graničnu kontrolu i Uredu za strance „odmah nakon njihove pohrane u bazu podataka o putnicima” te ih se uništava u roku od 24 sata nakon njihova dostavljanja. U skladu s tom odredbom, Ured za strance nakon tog roka također može PIU‑u podnijeti obrazloženi zahtjev radi dobivanja pristupa istim podacima ako se to pokaže nužnim u okviru njegove pravne zadaće. Stoga pravni okvir devetog prethodnog pitanja nije obuhvaćen pravnim okvirom Direktive o PNR‑u, s obzirom na svrhu obrade podataka iz članaka 28. i 29. Zakona o PNR‑u, nego je uključen u pravni okvir Direktive o API‑ju. Osim toga, iz spisa podnesenog tajništvu Suda osobito proizlazi da se LDH‑ov drugi tužbeni razlog temelji na tumačenju odredbi poglavlja 11. Zakona o PNR‑u prema kojem se taj zakon primjenjuje i u slučaju prelaska unutarnjih granica Belgije.

277. Prvi dio devetog prethodnog pitanja temelji se na pogrešnoj pretpostavci pa Sud, prema mojem mišljenju, na njega ne treba odgovoriti. Naime, iz članka 3. stavka 1. Direktive o API‑ju, u vezi s člankom 2. točkama (b) i (d) te direktive, nedvosmisleno proizlazi da se tom direktivom za zračne prijevoznike predviđa obveza da API podatke prenesu tijelima odgovornim za kontrolu osoba na vanjskim granicama samo ako je riječ o letovima kojima se putnici prevoze prema graničnom prijelazu odobrenom za prelazak vanjskih granica država članica s trećim zemljama. Isto tako, člankom 6. stavkom 1. navedene direktive predviđa se samo obrada API podataka o tim letovima. Osim toga, iako je točno da se Direktivom o PNR‑u za države članice predviđa mogućnost da prošire obvezu prijenosa prikupljenih API podataka i na zračne prijevoznike koji izvode letove unutar EU‑a, tim se proširenjem ne smije dovesti u pitanje Direktiva o API‑ju(256). U okviru Direktive o PNR‑u, dostavljeni API podaci obrađuju se samo u represivne svrhe predviđene tom direktivom. S druge strane, uvodnom izjavom 34. Direktive o PNR‑u predviđa se da se tom direktivom ne dovode u pitanje postojeća pravila Unije o načinu provođenja graničnih kontrola ili pravila Unije kojima se uređuje ulazak na područje Unije i izlazak iz njega, te se člankom 6. stavkom 9. drugom rečenicom te direktive određuje da, ako se procjene na temelju stavka 2. tog članka provode u odnosu na letove unutar EU‑a između država članica na koje se primjenjuje Zakonik o schengenskim granicama(257), posljedice takvih procjena moraju biti u skladu s navedenom uredbom.

278. Preoblikovanje tog dijela devetog prethodnog pitanja, kao što to podredno predlaže Komisija, na način da se odnosi na usklađenost s odredbama Ugovora i Povelje ne Direktive o API‑ju nego Direktive o PNR‑u, a osobito njezina članka 2., ne bi značilo samo izmjenu akta u pogledu kojeg je sud koji je uputio zahtjev podnio zahtjev za ocjenu valjanosti, nego i odstupanje od pravnog okvira u kojem je to prethodno pitanje postavljeno. Naime, kao što sam to već objasnio, odredbama poglavlja 11. Zakona o PNR‑u, protiv kojih je usmjeren drugi tužbeni razlog, prenosi se Direktiva o API‑ju, a ne Direktiva o PNR‑u.

279. U slučaju da Sud tako preoblikuje pitanje, u nastavku ću samo iznijeti nekoliko razmatranja u pogledu, među ostalim, pitanja može li se smatrati da je prethodna procjena koju su države članice ovlaštene provesti u pogledu podataka iz PNR‑a o putnicima na letovima unutar EU‑a, u skladu s mogućnošću kojom raspolažu u smislu članka 2. Direktive o PNR‑u, istovjetna provedbi „granične kontrole” u smislu članka 23. točke (a) Zakonika o schengenskim granicama(258). Kao prvo, ako se prethodna procjena podataka iz PNR‑a ne provodi „na graničnom prijelazu” ili „u trenutku prelaska granice”, nego prije tog trenutka, ipak se provodi „na temelju” neposrednog prelaska granice. Kao drugo, u skladu s člankom 2. Direktive o PNR‑u, države članice ovlaštene su proširiti prethodnu procjenu podataka iz PNR‑a predviđenu člankom 6. stavkom 2. točkom (a) Direktive o PNR‑u na putnike na svim letovima unutar EU‑a, neovisno o ponašanju dotičnih osoba i okolnostima koje upućuju na opasnost od ugrožavanja javne sigurnosti. Usto, ta je prethodna procjena sustavna. Međutim, čini se da ni jedan ni drugi od tih elemenata nije u skladu s indicijama iz članka 23. točke (a) druge rečenice podtočaka ii., iii. i iv. Zakonika o schengenskim granicama(259). Kao treće, kad je riječ o indicijama iz točke (a) druge rečenice podtočaka ii. i iii. tog članka, postavljam pitanje preklapa li se prethodna procjena na temelju članka 6. stavka 2. točke (a) Direktive o PNR‑u barem djelomično sa svrhom granične kontrole provedene u skladu s člankom 8. stavkom 2. točkom (b), člankom 8. stavkom 3. točkom (a) podtočkom iv. i člankom 8. stavkom 3. točkom (g) podtočkom iii. Zakonika o schengenskim granicama, kako je izmijenjen Uredbom 2017/458, te osobito razlikuje li se ona jasno, u pogledu tih načina, od te sustavne kontrole(260). U tom pogledu ističem da se člankom 8. stavkom 2.e i člankom 8. stavkom 3. točkom (ia) tog zakonika pojašnjava da se navedene kontrole „mogu […] provoditi unaprijed na temelju podataka o putnicima zaprimljenih u skladu s Direktivom [o API‑ju] ili u skladu s drugim pravom Unije ili nacionalnim pravom”. S obzirom na to, točno je da Direktiva o PNR‑u nema svrhu „osigurati da se osobama može odobriti ulazak u državno područje države članice ili izlazak iz njega” ili „spriječiti da osobe izbjegnu graničnu kontrolu”, koje je Sud priznao kao ciljeve „nadzora državne granice” u skladu sa Zakonikom o schengenskim granicama(261), s obzirom na to da ta direktiva ima isključivo represivnu svrhu. Usto, člankom 23. točkom (a) drugom rečenicom podtočkom ii. navedenog zakonika izričito se predviđa da se izvršavanje policijskih ovlasti ne može smatrati istovjetnim izvršavanju granične kontrole ako je cilj te kontrole, među ostalim, suzbijanje prekograničnog kriminaliteta(262). Naposljetku, Sud u svojoj ocjeni okolnosti, koju je osobito naglasila Komisija, treba također uzeti u obzir da se člankom 2. Direktive o PNR‑u države članice samo ovlašćuju da zračnim prijevoznicima nalože prijenos podataka iz PNR‑a koje su prikupili tijekom svojeg redovitog poslovanja te se stoga njime ne predviđa obveza slična onoj koja se predviđa Direktivom o API‑ju za prelazak vanjskih granica.

280. Što se tiče drugog dijela devetog prethodnog pitanja, smatram, poput Komisije, da ga treba shvatiti na način da se odnosi na prelazak unutarnjih granica i na način da se njime od Suda traže pojašnjenja na temelju kojih bi sud koji je uputio zahtjev mogao ocijeniti usklađenost odredbi poglavlja 11. Zakona o PNR‑u s ukidanjem kontrola na unutarnjim granicama država članica u schengenskom prostoru.

281. U tom pogledu, uzimajući u obzir neznatan broj elemenata kojima Sud raspolaže, samo ću istaknuti da odredbe poglavlja 11. Zakona o PNR‑u mogu biti u skladu s pravom Unije i osobito člankom 67. stavkom 2. UFEU‑a samo ako ih se tumači na način da se odnose isključivo na prijenos i obradu API podataka o putnicima koji prelaze vanjske granice Belgije s trećim zemljama.

282. U slučaju da Sud odluči preoblikovati drugi dio devetog prethodnog pitanja na način da se ono odnosi na tumačenje Direktive o PNR‑u u vezi s odredbama poglavlja 11. Zakona o PNR‑u, samo ću istaknuti da se obrada API podataka predviđena člancima 28. i 29. tog zakona nadovezuje na sustav koji je uspostavio belgijski zakonodavac radi prenošenja Direktive o PNR‑u. Stoga, kao prvo, API podaci koji se obrađuju jesu podaci navedeni u točki 12. Priloga I. toj direktivi a ne samo podaci sadržani na popisu iz članka 3. stavka 2. Direktive o API‑ju. Kao drugo, u skladu s člankom 29. stavkom 1. Zakona o PNR‑u, te podatke policijskim službama nadležnim za graničnu kontrolu i Uredu za strance dostavlja PIU, koji je zadužen za prikupljanje i obradu podataka iz PNR‑a samo u okviru svrha koje se nastoje postići Direktivom o PNR‑u, a ne izravno zračni prijevoznici, kao što se to predviđa Direktivom o API‑ju. Osim toga, to se dostavljanje odnosi i na podatke o putnicima koji namjeravaju napustiti ili su napustili državno područje Belgije i primatelji tih podataka nisu samo tijela nadležna za graničnu kontrolu, nego i Ured za strance, koji je zadužen za upravljanje migrantskim stanovništvom i suzbijanje nezakonitog useljavanja. Kao treće, na temelju članka 29. stavka 4. drugog podstavka Zakona o PNR‑u čini se da je Ured za strance ovlašten PIU‑u podnositi zahtjeve za pristup API podacima, čak i nakon obrade tih podataka prilikom prelaska granica dotičnih putnika. U tom je smislu taj ured de facto izjednačen s tijelom nadležnim na temelju članka 7. Direktive o PNR‑u, iako nema istu prirodu i nije na popisu tih tijela koji je Belgija dostavila Komisiji. Međutim, takav spoj između sustava predviđenih Direktivom o API‑ju i Direktivom o PNR‑u ne može se, prema mojem mišljenju, prihvatiti jer se njime povređuje načelo ograničenja svrhe iz članka 1. stavka 2. Direktive o PNR‑u(263).

283. Na temelju svih prethodnih razmatranja, predlažem Sudu da na deveto prethodno pitanje odgovori da se članak 3. stavak 1. Direktive o API‑ju, na temelju kojeg države članice poduzimaju sve potrebne mjere kako bi uvele obvezu za zračne prijevoznike da na zahtjev tijela odgovornih za kontrolu osoba na vanjskim granicama, po završetku prijave putnika, prenesu informacije o putnicima iz stavka 2. tog članka, u vezi s člankom 2. točkama (b) i (d) te direktive, ne odnosi na putnike koji se prevoze prema graničnom prijelazu odobrenom za prelazak vanjskih granica država članica s trećim zemljama. Nacionalno zakonodavstvo kojim se, s jedinim ciljem poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja, ta obveza proširuje na podatke osoba koje prelaze unutarnje granice dotične države članice zrakoplovom ili drugim prijevoznim sredstvima, protivno je članku 67. stavku 2. UFEU‑a i članku 22. Zakonika o schengenskim granicama.

F.      Deseto prethodno pitanje

284. Svojim desetim prethodnim pitanjem sud koji je uputio zahtjev u biti pita Sud može li on, ako dođe do zaključka da se Zakonom o PNR‑u povređuju članci 7., 8. i članak 52. stavak 1. Povelje, privremeno održati na snazi učinke tog zakona kako bi spriječio pravnu nesigurnost i omogućio da se prethodno prikupljeni i pohranjeni podaci mogu ponovno upotrijebiti u Zakonom o PNR‑u predviđene svrhe.

285. Sud je odgovorio na pitanje koje isto glasi u presudi La Quadrature du Net koja se odnosi na pohranu metapodataka elektroničkih komunikacija i koja je donesena nakon podnošenja predmetnog zahtjeva za prethodnu odluku. Sud je u toj presudi najprije podsjetio na sudsku praksu prema kojoj bi se ugrozila nadređenost i ujednačena primjena prava Unije kad bi nacionalni sudovi imali ovlast dati prednost nacionalnim odredbama u odnosu na pravo Unije kojemu se te odredbe protive, makar i samo privremeno. Zatim je u presudi od 29. srpnja 2019., Inter‑Environnement Wallonie i Bond Beter Leefmilieu Vlaanderen(264), u kojoj je riječ bila o zakonitosti mjera donesenih protivno obvezi utvrđenoj pravom Unije u pogledu provođenja prethodne procjene utjecaja projekta na okoliš i zaštićeno područje, podsjetio na to da nacionalni sud može, ako nacionalno pravo to dopušta, iznimno održati na snazi učinke takvih mjera ako je to održavanje na snazi opravdano važnim razlozima u vezi s potrebom da se otkloni stvarna i ozbiljna prijetnja od prekida opskrbe dotične države članice električnom energijom onoliko dugo koliko je nužno potrebno za ispravljanje te nezakonitosti. Međutim, zaključio je da, za razliku od neispunjavanja postupovne obveze poput prethodne procjene utjecaja projekta u posebnom području zaštite okoliša, povreda temeljnih prava zajamčenih člancima 7. i 8. Povelje ne može se ispraviti postupkom koji je usporediv s onim spomenutim u prethodno navedenoj presudi(265). Prema mojem mišljenju, na isti način treba odgovoriti na deseto prethodno pitanje u ovom postupku.

286. Budući da sud koji je uputio zahtjev i belgijska vlada, kao i Komisija i Vijeće postavljaju pitanje protivi li se pravu Unije korištenje u okviru kaznenog postupka informacija ili dokaza dobivenih upotrebom podataka iz PNR‑a koji su prikupljeni, obrađeni i/ili čuvani na način koji nije u skladu s pravom Unije, podsjećam na to da je Sud u točki 222. presude La Quadrature du Net pojasnio da je u trenutačnom stanju prava Unije u načelu samo na nacionalnom pravu da odredi pravila o dopuštenosti i ocjeni, u okviru kaznenog postupka pokrenutog protiv osoba osumnjičenih za teška kaznena djela, onih informacija i dokaza koji su pribavljeni zadržavanjem podataka suprotnim pravu Unije, uz poštovanje načela ekvivalentnosti i djelotvornosti. Kad je riječ o potonjem načelu, Sud je presudio da se tim načelom nalaže nacionalnom kaznenom sudu da, u okviru kaznenog postupka pokrenutog protiv osoba osumnjičenih za kaznena djela, izdvoji informacije i dokaze koji su pribavljeni općim i neselektivnim zadržavanjem podataka o prometu i lokaciji koje je nespojivo s pravom Unije, ako te osobe nisu u mogućnosti učinkovito se izjasniti o tim informacijama i dokazima koji potječu iz područja u pogledu kojeg suci ne raspolažu znanjem i koji mogu prevagnuti prilikom ocjene činjenica. Ta se načela također mogu primijeniti mutatis mutandis na okolnosti glavnog postupka.

IV.    Zaključak

287. Na temelju svih prethodnih razmatranja, predlažem Sudu da na prethodna pitanja koja je postavio Cour constitutionnelle (Ustavni sud, Belgija) odgovori na sljedeći način:

1.      Članak 23. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka), u vezi s člankom 2. stavkom 2. točkom (d) te uredbe, treba tumačiti na način:

–        da se primjenjuje na nacionalno zakonodavstvo kojim se prenosi Direktiva (EU) 2016/681 Europskog parlamenta i Vijeća od 27. travnja 2016. o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, u dijelu u kojem se tim zakonodavstvom uređuje obrada podataka iz PNR‑a koju obavljaju zračni prijevoznici i drugi gospodarski subjekti, uključujući prijenos podataka iz PNR‑a u odjele za informacije o putnicima (PIU) iz članka 4. te direktive, koji se predviđa u članku 8. te direktive;

–        da se ne primjenjuje na nacionalno zakonodavstvo kojim se prenosi Direktiva 2016/681 u dijelu u kojem se tom direktivom uređuje obrada podataka koju u svrhe koje se predviđaju u članku 1. stavku 2. te direktive obavljaju nadležna nacionalna tijela, uključujući PIU‑ove i, po potrebi, sigurnosne i obavještajne službe dotične države članice;

–        da se primjenjuje na nacionalno zakonodavstvo kojim se prenose Direktiva Vijeća 2004/82/EZ od 29. travnja 2004. o obvezi prijevoznika na dostavljanje podataka o putnicima i Direktiva 2010/65/EU Europskog parlamenta i Vijeća od 20. listopada 2010. o službenom postupku prijave za brodove koji dolaze u luke i/ili odlaze iz luka država članica i o stavljanju izvan snage Direktive 2002/6/EZ radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja.

2.      Točka 12. Priloga I. Direktivi 2016/681 nije valjana s obzirom na to da uključuje „opće primjedbe” u kategorije podataka koje su zračni prijevoznici dužni prenijeti u PIU‑ove, u skladu s člankom 8. te direktive.

3.      Ispitivanjem drugog, trećeg, četvrtog, šestog i osmog pitanja nisu otkriveni drugi elementi koji bi mogli utjecati na valjanost Direktive 2016/681.

4.      Točku 12. Priloga I. Direktivi 2016/681, u dijelu u kojem nije proglašena nevaljanom, treba tumačiti na način da obuhvaća samo informacije koje se odnose na maloljetnike koje su u njoj izričito navedene i koje su izravno povezane s letom.

5.      Točku 18. Priloga I. Direktivi 2016/681 treba tumačiti na način da obuhvaća samo prethodno prikupljene informacije o putnicima koje su izričito navedene u toj točki i u članku 3. stavku 2. Direktive 2004/82 te koje su zračni prijevoznici prikupili tijekom svojeg redovitog poslovanja.

6.      Pojam „relevantne baze podataka” iz članka 6. stavka 3. točke (a) Direktive 2016/681 treba tumačiti na način da se odnosi samo na nacionalne baze podataka kojima upravljaju nadležna tijela na temelju članka 7. stavka 1. te direktive te na baze podataka Unije i međunarodne baze podataka kojima se ta tijela izravno koriste u okviru svojih zadaća. Navedene baze podataka trebaju biti izravno i usko povezane sa svrhom borbe protiv terorizma i teških kaznenih djela koja se nastoji ispuniti navedenom direktivom, što znači da su razvijene u tu svrhu. U okviru prenošenja u svoje nacionalno pravo Direktive 2016/681, države članice dužne su objaviti popis navedenih baza podataka i ažurirati ga.

7.      Članak 6. stavak 3. točku (b) Direktive 2016/681 treba tumačiti na način da mu se protivi upotreba, u okviru automatizirane obrade predviđene u toj odredbi, algoritamskih sustava koji mogu dovesti do izmjene, bez ljudske intervencije, prethodno utvrđenih kriterija na temelju kojih je provedena ta obrada i na temelju kojih se ne mogu jasno i transparentno utvrditi razlozi koji su doveli do pozitivnog rezultata navedene obrade.

8.      Članak 12. stavak 1. Direktive 2016/681, u vezi s člancima 7., 8. i člankom 52. stavkom 1. Povelje Europske unije o temeljnim pravima, treba tumačiti na način da je čuvanje podataka iz PNR‑a koje zračni prijevoznici dostavljaju PIU‑u u bazi podataka u razdoblju od pet godina nakon njihova prijenosa u PIU države članice na čijem se državnom području nalazi polazište ili odredište leta dopušteno, nakon provedbe prethodne procjene na temelju članka 6. stavka 2. točke (a) te direktive, samo ako se na temelju objektivnih kriterija utvrdi odnos između tih podataka i borbe protiv terorizma ili teških kaznenih djela. Opće i neselektivno čuvanje tih podataka iz PNR‑a u obliku koji nije anonimiziran može se opravdati samo u slučaju ozbiljne prijetnje sigurnosti država članica koja se pokaže stvarnom i trenutačnom ili predvidljivom i koja je primjerice povezana s terorističkim aktivnostima, te pod uvjetom da je trajanje tog čuvanja ograničeno na ono što je strogo nužno.

9.      Članak 6. stavak 2. točku (b) Direktive 2016/681 treba tumačiti na način da otkrivanje podataka iz PNR‑a ili rezultata obrade tih podataka na temelju te odredbe, koja se provodi tijekom početnog razdoblja od šest mjeseci predviđenog u članku 12. stavku 2. te direktive, treba biti u skladu s uvjetima iz članka 12. stavka 3. točke (b) navedene direktive.

10.      Direktivu 2016/681, a osobito njezin članak 1. stavak 2. i članak 6., treba tumačiti na način da joj se protivi nacionalno zakonodavstvo kojim se, kao svrha obrade podataka iz PNR‑a, priznaje praćenje određenih aktivnosti obavještajnih i sigurnosnih službi, jer bi, u okviru takve svrhe, nacionalni PIU bio dužan obraditi navedene podatke i/ili ih prenijeti ili prenijeti rezultat njihove obrade navedenim službama u svrhe različite od onih koje su iscrpno navedene u članku 1. stavku 2. navedene direktive, što je na nacionalnom sudu da provjeri.

11.      Članak 12. stavak 3. točku (b) Direktive 2016/681 treba tumačiti na način da PIU nije „drugo nacionalno tijelo koje je […] nadležno” u smislu te odredbe.

12.      Članak 3. stavak 1. Direktive 2004/82, na temelju kojeg države članice poduzimaju sve potrebne mjere kako bi uvele obvezu za zračne prijevoznike da na zahtjev tijela odgovornih za kontrolu osoba na vanjskim granicama, po završetku prijave putnika, prenesu informacije o putnicima iz stavka 2. tog članka, u vezi s člankom 2. točkama (b) i (d) te direktive, ne odnosi se na putnike koji se prevoze prema graničnom prijelazu odobrenom za prelazak vanjskih granica država članica s trećim zemljama. Nacionalno zakonodavstvo kojim se, s jedinim ciljem poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja, ta obveza proširuje na podatke osoba koje prelaze unutarnje granice dotične države članice zrakoplovom ili drugim prijevoznim sredstvima, protivno je članku 67. stavku 2. UFEU‑a i članku 22. Uredbe (EU) 2016/399 Europskog parlamenta i Vijeća od 9. ožujka 2016. o Zakoniku Unije o pravilima kojima se uređuje kretanje osoba preko granica (Zakonik o schengenskim granicama).

13.      Nacionalni sud ne može primijeniti odredbu svojeg nacionalnog prava koja ga ovlašćuje da vremenski ograniči učinke utvrđenja nezakonitosti koje mora izreći na temelju tog prava u odnosu na nacionalno zakonodavstvo kojim se zračnim, cestovnim i pomorskim prijevoznicima te turoperatorima u svrhu borbe protiv terorizma i teških kaznenih djela nalaže prijenos podataka iz PNR‑a i kojim se predviđaju opća i neselektivna obrada i čuvanje tih podataka koji nisu u skladu s člancima 7., 8. i člankom 52. stavkom 1. Povelje o temeljnim pravima. U skladu s načelom djelotvornosti, nacionalni kazneni sud dužan je, u okviru kaznenog postupka pokrenutog protiv osoba osumnjičenih za terorizam ili teška kaznena djela, izdvojiti informacije i dokaze koji su pribavljeni u skladu s takvim zakonodavstvom koje nije u skladu s pravom Unije, ako te osobe nisu u mogućnosti učinkovito se izjasniti o tim informacijama i dokazima koji potječu iz područja u pogledu kojeg suci ne raspolažu znanjem i koji mogu prevagnuti prilikom ocjene činjenica.

1      Izvorni jezik: francuski

2      SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74., str. 35.

3      SL 2016., L 119, str. 132. i ispravak SL 2021., L 137, str. 20.

4      SL 2004., L 261, str. 24. (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 8., str. 77.)

5      Moniteur belge od 25. siječnja 2017., str. 12905.

6      U skladu s člankom 3. točkom 2. Direktive o PNR‑u „let između EU‑a i trećih zemalja” znači „svaki redoviti ili izvanredni let zračnog prijevoznika čije se polazište nalazi u trećoj zemlji, a odredište na državnom području države članice ili čije se polazište nalazi na državnom području države članice, a odredište u trećoj zemlji, uključujući u oba slučaja letove sa zaustavljanjima na državnom području država članica ili trećih zemalja”.

7      U skladu s člankom 3. točkom 3. Direktive o PNR‑u „let unutar EU‑a” znači „svaki redoviti ili izvanredni let zračnog prijevoznika čije se polazište nalazi na državnom području države članice, a odredište na državnom području jedne države članice ili više njih, bez zaustavljanja na državnom području ili u zračnim lukama treće zemlje”.

8      Člankom 7. stavkom 1. Direktive o PNR‑u predviđa se da svaka država članica donosi popis nadležnih tijela koja su ovlaštena za traženje ili primanje podataka iz PNR‑a ili rezultata obrade tih podataka od strane PIU‑a radi daljnjeg ispitivanja tih informacija ili poduzimanja odgovarajućih mjera u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela. Komisija je objavila taj popis 2018. (SL 2018., C 194, str. 1. i ispravak SL 2020., C 366, str. 55.).

9      Okvirna odluka Vijeća od 27. studenoga 2008. o zaštiti osobnih podataka obrađenih u okviru policijske i pravosudne suradnje u kaznenim stvarima (SL 2008., L 350, str. 60.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 16., svezak 2., str. 118.)

10      SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14. Članak 25. Okvirne odluke 2008/977/PUP zamijenjen je člankom 41. Direktive o policiji.

11      Vidjeti članak 15. stavak 2. Direktive o PNR‑u.

12      Vidjeti članak 15. stavak 3. točke (a) i (b) Direktive o PNR‑u.

13      Direktiva Europskog parlamenta i Vijeća od 20. listopada 2010. o službenom postupku prijave za brodove koji dolaze u luke i/ili odlaze iz luka država članica i o stavljanju izvan snage Direktive 2002/6/EZ (SL 2010., L 283, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 7., svezak 12., str. 218.)

14      Moniteur belge od 18. prosinca 1998., str. 40312.

15      C‑203/15 i C‑698/15, u daljnjem tekstu: presuda Tele2 Sverige, EU:C:2016:970

16      U daljnjem tekstu: mišljenje 1/15,.EU:C:2017:592

17      Vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 61.).

18      U skladu s člankom 2. stavkom 1. GDPR‑a, „[o]va se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane”.

19      Vidjeti presudu od 16. srpnja 2020, Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, t. 84.) i presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 62.).

20      Vidjeti u tom smislu presudu od 6. listopada 2020., Privacy International (C‑623/17, u daljnjem tekstu: presuda Privacy International, EU:C:2020:790, t. 41. i navedena sudska praksa). U skladu s člankom 4. točkom 2. GDPR‑a „obrada” znači „svaki postupak […] koji se obavlj[a] na osobnim podacima ili na skupovima osobnih podataka […] kao što [je] […] otkrivanje prijenosom”.

21      Vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 69.). U skladu s člankom 3. točkom 7. podtočkama (a) i (b) Direktive o policiji „nadležno tijelo” znači „(a) svako tijelo javne vlasti nadležno za sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje; ili (b) svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih dužnosti i izvršavanje javnih ovlasti” u iste svrhe.

22      Iz odluke kojom se upućuje zahtjev za prethodnu odluku ne proizlazi nikakva indicija u tom smislu.

23      Takav se subjekt ne može kvalificirati ni kao „izvršitelj obrade” u smislu članka 4. točke 8. GDPR‑a ili članka 3. točke 9. Direktive o policiji jer je zapravo riječ o „voditelju obrade” u smislu članka 4. točke 7. druge rečenice GDPR‑a. U skladu s člankom 4. točkom 8. GDPR‑a i člankom 3. točkom 9. Direktive o policiji, koje su sastavljene na jednak način, „izvršitelj obrade” znači „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade”. U smislu članka 4. točke 7. prve rečenice GDPR‑a, „voditelj obrade” znači „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje […] određuje svrhe i sredstva obrade osobnih podataka”, a u drugoj se rečenici te odredbe pojašnjava da, „kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice”.

24      Direktiva Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.). Ta je direktiva stavljena izvan snage i zamijenjena GDPR‑om, vidjeti članak 94. te uredbe.

25      C‑317/04 i C‑318/04, u daljnjem tekstu: presuda Parlament/Vijeće, EU:C:2006:346. U predmetima u kojima je donesena ta presuda Parlament je zatražio, s jedne strane, poništenje Odluke Vijeća 2004/496/EZ od 17. svibnja 2004. o sklapanju Sporazuma između Europske zajednice i Sjedinjenih Američkih Država o obradi i prijenosu podataka iz evidencije podataka o putnicima zračnih prijevoznika Ministarstvu domovinske sigurnosti, Uredu carine i pogranične sigurnosti Sjedinjenih Američkih Država (SL 2004., L 183, str. 83.) i, s druge strane, poništenje Odluke Komisije 2004/535/EZ od 14. svibnja 2004. o prikladnosti zaštite osobnih podataka iz evidencije podataka o putnicima koji se prenose Uredu carine i pogranične sigurnosti Sjedinjenih Američkih Država (SL 2004., L 235, str. 11.).

26      U skladu s člankom 3. stavkom 2. prvom alinejom Direktive 95/46, ta se direktiva ne primjenjuje na obradu osobnih podataka „tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. Ugovora o Europskoj uniji i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava” (moje isticanje).

27      U pogledu „teleološkog” i „kontekstualnog pristupa” Suda u presudi Parlament/Vijeće, vidjeti mišljenje nezavisnog odvjetnika M. Camposa Sánchez‑Bordone u spojenim predmetima La Quadrature du Net i dr. (C‑511/18 i C‑512/18, EU:C:2020:6, t. 47. i 62.).

28      C‑511/18, C‑512/18 i C‑520/18, u daljnjem tekstu: presuda La Quadrature du Net, EU:C:2020:791

29      Vidjeti presudu La Quadrature du Net, t. 100. do 102.

30      Vidjeti u istom smislu presudu Privacy International, t. 47.

31      C‑207/16, u daljnjem tekstu: presuda Ministerio Fiscal, EU:C:2018:788, t. 34.

32      Vidjeti po analogiji presude Tele2 Sverige, t. 72. do 74., te Ministerio fiscal, t. 34. Te se presude odnose na tumačenje članka 15. stavka 1. prve rečenice Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.), kojom se predviđa slična odredba o ograničenju kao što je ona sadržana u članku 23. stavku 1. točkama (a) do (d) GDPR‑a.

33      Upućivanje na članak 15. stavak 1. Direktive 2002/58 opravdano je u kontekstu te direktive s obzirom na tekst odredbe o isključenju koja se predviđa u njezinu članku 1. stavku 3., u kojem se općenito upućuje na „aktivnosti države u području kaznenog prava”.

34      Vidjeti po analogiji presudu Privacy International, t. 38. i 39.

35      Riječ je o obradi koja se uređuje poglavljima 7. do 10. i 12. Zakona o PNR‑u.

36      Vidjeti u tom smislu presude La Quadrature du Net, t. 103. i Privacy International, t. 48.

37      Vidjeti osobito presudu La Quadrature du Net.

38      Vidjeti presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 66.).

39      Vidjeti presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504).

40      Vidjeti presudu La Quadrature du Net, t. 99. i navedenu sudsku praksu.

41      Uvjeti koji se odnose na tu obradu podataka predviđaju se u poglavlju 11. Zakona o PNR‑u.

42      Vidjeti uvodne izjave 8., 9. i 12. te članak 6. Direktive o API‑ju i članak 8. stavak 2. Direktive 2010/65.

43      Upotreba prethodno prikupljenih informacija o putnicima (u daljnjem tekstu: API podaci) u svrhu izvršavanja zakona izričito se predviđa u članku 6. stavku 1. posljednjem podstavku Direktive o API‑ju.

44      Vidjeti u tom smislu osobito presudu od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, t. 170. i navedena sudska praksa).

45      Vidjeti osobito presudu od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, t. 172. i navedena sudska praksa).

46      Vidjeti u tom smislu presudu La Quadrature du Net, t. 122.

47      Vidjeti presudu La Quadrature du Net, t. 123.

48      Vidjeti presudu La Quadrature du Net, t. 124. i navedenu sudsku praksu.

49      Vidjeti presudu od 18. lipnja 2020., Komisija/Mađarska (Transparentnost udruženja) (C‑78/18, EU:C:2020:476, t. 122. i navedena sudska praksa).

50      Vidjeti osobito ESLJP, 4. prosinca 2015., Roman Zakharov protiv Rusije (CE:ECHR:2015:1204JUD004714306, t. 227.); ESLJP, 18. svibnja 2010., Kennedy protiv Ujedinjene Kraljevine (CE:ECHR:2010:0518JUD002683905, t. 130.) i ESLJP, 25. svibnja 2021., Centrum för Rättvisa protiv Švedske (CE:ECHR:2021:0525JUD003525208, t. 246.).

51      Vidjeti ESLJP, 4. prosinca 2015., Roman Zakharov protiv Rusije (CE:ECHR:2015:1204JUD004714306, t. 228.); ESLJP, 4. svibnja 2000., Rotaru protiv Rumunjske (CE:ECHR:2000:0504JUD002834195, t. 52.); ESLJP, 4. prosinca 2008., S. i Marper protiv Ujedinjene Kraljevine (CE:ECHR:2008:1204JUD003056204, t. 95.); ESLJP, 18. svibnja 2021., Kennedy protiv Ujedinjene Kraljevine (CE:ECHR:2010:0518JUD002683905, t. 151.) i ESLJP, 25. svibnja 2021., Centrüm för Rättvisa protiv Švedske (CE:ECHR:2021:0525JUD003525208, t. 246.).

52      Vidjeti među ostalim presudu od 18. lipnja 2020., Komisija/Mađarska (C‑78/18, EU:C:2020:476, t. 124. i 126. te navedena sudska praksa); vidjeti i ESLJP, 4. svibnja 2000., Rotaru protiv Rumunjske (CE:ECHR:2000:0504JUD002834195, t. 48.); ESLJP, 26. ožujka 1987., Leander protiv Švedske (CE:ECHR:1987:0326JUD000924881, t. 46.) i ESLJP, 29. lipnja 2006., Weber i Saravia protiv Njemačke (CE:ECHR:2006:0629DEC005493400, t. 79.).

53      Vidjeti među ostalim presudu Ministerio Fiscal, t. 51. i navedenu sudsku praksu.

54      Vidjeti među ostalim presudu od 18. lipnja 2020., Komisija/Mađarska (C‑78/18, EU:C:2020:476, t. 126.) i presudu Ministerio Fiscal, t. 51. i navedena sudska praksa.

55      Vidjeti presudu od 8. travnja 2014., Digital Rights Ireland i dr. (C‑293/12 i C‑594/12, u daljnjem tekstu: presuda Digital Rights, EU:C:2014:238, t. 34.).

56      Vidjeti mišljenje 1/15, t. 121. do 123.

57      Vidjeti po analogiji presudu Privacy International, t. 79. i 80. te navedenu sudsku praksu.

58      Vidjeti članak 2. stavke 1. do 3. Direktive o PNR‑u.

59      Vidjeti članak 2. stavak 3. Direktive o PNR‑u.

60      U skladu s člancima 1. i 2. Protokola br. 22 o stajalištu Danske, budući da ta država članica ne sudjeluje u donošenju Direktive o PNR‑u, ona za nju nije obvezujuća niti se na nju primjenjuje (vidjeti uvodnu izjavu 40. te direktive). Međutim, iz pisanih očitovanja koja je podnijela danska vlada proizlazi da je Kraljevina Danska 2018. donijela zakon koji se odnosi na prikupljanje, upotrebu i čuvanje podataka iz PNR‑a, čije se odredbe uvelike preklapaju s odredbama Direktive o PNR‑u. Što se tiče Irske, iz uvodne izjave 39. Direktive o PNR‑u proizlazi da je ta država članica obavijestila, u skladu s člankom 3. Protokola br. 21 o stajalištu Ujedinjene Kraljevine i Irske s obzirom na područje slobode, sigurnosti i pravde, priloženog UEU‑u i UFEU‑u, da želi sudjelovati u donošenju i primjeni te direktive.

61      Komisija je objavila ažurirani popis država članica koje su odlučile primjenjivati Direktivu o PNR‑u na letove unutar EU‑a kako je navedeno u članku 2. Direktive o PNR‑u (SL 2020., C 358., str. 7.), ispravljen u rujnu 2021. uz dodavanje Slovenije i brisanje upućivanja na Ujedinjenu Kraljevinu (SL 2021., C 360, str. 8.). Irska i Austrija nisu navedene na tom popisu. U izvješću Komisije Europskom parlamentu i Vijeću o preispitivanju Direktive o PNR‑u od 24. srpnja 2020. (COM(2020) 305 final, str. 11.) (u daljnjem tekstu: Komisijino izvješće iz 2020.) navodi se da su sve države članice osim jedne ograničile prikupljanje podataka iz PNR‑a na letove unutar EU‑a.

62      Vidjeti osobito točke 4. i 18. Priloga I. koje se odnose na imena, spol, datum rođenja, državljanstvo i osobne dokumente putnika.

63      Vidjeti osobito točke 2., 3., 7., 13. i 18. Priloga I. Direktivi o PNR‑u u kojima se navode, među ostalim, broj leta, zračna luka polaska i zračna luka dolaska te datum i vrijeme polaska i dolaska.

64      Vidjeti točke 5., 6., 9., 12. i 16. Priloga I.

65      Vidjeti u tom smislu mišljenje 1/15, t. 131.

66      SWD(2020)128 final

67      U radnom dokumentu iz 2020. (str. 28. i bilješka 55.) navodi se stopa pozitivnih rezultata od 0,59 % za 2019., od kojih se samo 0,11 % prenijelo nadležnim tijelima. Za 2018. odgovarajući postotci iznosili su 0,25 % odnosno 0,04 %.

68      Vidjeti mišljenje 1/15, t. 132.

69      Sustav uspostavljen Direktivom o PNR‑u prije zdravstvene krize mogao je obuhvaćati do jedne milijarde putnika godišnje, podaci su dostupni na https://ec.europa.eu/eurostat/databrowser/view/ttr00012/default/table?lang=fr.

70      Odnosno sve osobe koje odgovaraju pojmu „putnik”, kako je definiran u članku 3. točki 4. Direktive o PNR‑u, te koje putuju na „letu između EU‑a i trećih zemalja”, kao i de facto na „letu unutar EU‑a”.

71      U studiji koju je 2015. donijela Europska komisija za demokraciju putem prava (Venecijanska komisija) smatra se da su takve mjere obuhvaćene pojmom „strateški nadzor” i da slijede „opći trend” izvršavanja „proaktivnog nadzora” nad stanovništvom; vidjeti studiju Mise à jour du rapport de 2007 sur le contrôle démocratique des services de sécurité et rapport sur le contrôle démocratique des agences de collecte de renseignements d’origine électromagnétique, koju je Venecijanska komisija donijela na 102. plenarnom zasjedanju (Venecija, 20. i 21. ožujka 2015.), https://www.venice.coe.int/webforms/documents/?pdf=CDL‑AD(2015)006-f, t. 61.

72      Što se tiče članka 8. EKLJP‑a, vidjeti presudu ESLJP‑a, 25. svibnja 2021., Big Brother Watch i dr. protiv Ujedinjene Kraljevine (CE:ECHR:2021:0525JUD005817013, t. 325., u daljnjem tekstu: presuda Big Brother Watch) o mjerama masovnog presretanja u kojoj ESLJP potvrđuje da se intenzitet zadiranja tih mjera u ostvarivanje prava na poštovanje privatnog života postupno povećava kako završavaju različite faze postupka, odnosno presretanje i prvotno zadržavanje komunikacije i povezanih podataka, automatizirana obrada primjenom čimbenika za odabir, ispitivanje koje provode analitičari i naknadno zadržavanje podataka kao i upotreba „konačnog proizvoda”.

73      Vidjeti u tom smislu uvodne izjave 6. i 7. Direktive o PNR‑u; vidjeti za temeljitu analizu svrhe i posljedica za zaštitu privatnog života i osobnih podataka izvješće naslovljeno Passenger Name Records (PNR), data mining and data protection: the need for strong safeguards, koje je sastavio Korff, D., uz sudjelovanje Georgesa, M., https://rm.coe.int/16806a601b (u daljnjem tekstu: izvješće Korff).

74      Kao što se to navodi u izvješću Korff, „PNR is not an isolated issue, but a new symptom of a much wider disease”.

75      Vidjeti među ostalim presude od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, t. 175.); od 8. rujna 2020., Recorded Artists Actors Performers (C‑265/19, EU:C:2020:677, t. 86. i navedena sudska praksa) i presudu Privacy international, t. 65.

76      Vidjeti među ostalim presude ESLJP‑a od 8. lipnja 2006., Lupsa protiv Rumunjske, (CE:ECHR:2006:0608JUD001033704, t. 32. i 33.) i od 15. prosinca 2020., Pişkìn protiv Turske (CE:ECHR:2020:1215JUD003339918, t. 206.); vidjeti i presudu Big Brother Watch, t. 333. U pogledu potrebe da se izraz „predviđeno zakonom” iz članka 52. stavka 1. Povelje tumači isto kao što ga je tumačio i ESLJP, vidjeti mišljenje nezavisnog odvjetnika M. Watheleta u predmetu WebMindLicenses (C‑419/14, EU:C:2015:606, t. 134. do 143.).

77      Vidjeti nedavnu presudu Big Brother Watch, t. 333.

78      Vidjeti presudu od 17. prosinca 2015., WebMindLicenses (C‑419/14, EU:C:2015:832, t. 81.); vidjeti i ESLJP, 1. srpnja 2008., Liberty i dr. protiv Ujedinjene Kraljevine (CE:ECHR:2008:0701JUD005824300, t. 69.) i presudu Big Brother Watch, t. 333.

79      Konvencija Vijeća Europe za zaštitu osoba glede automatizirane obrade osobnih podataka, koja je donesena u Strasbourgu 28. siječnja 1981. i koju su ratificirale sve države članice, poznatija pod nazivom „Konvencija br. 108”. Protokol o izmjeni te konvencije sastavljen je 2018. radi njezina osuvremenjivanja. Odlukom Vijeća (EU) 2019/682 od 9. travnja 2019. (SL 2019., L 115, str. 7.), države članice ovlastilo se da u interesu Unije ratificiraju navedeni protokol o izmjeni u mjeri u kojoj su njegove odredbe u isključivoj nadležnosti Unije. U nastavku ovog mišljenja uputit ću i na osuvremenjeni tekst Konvencije br. 108 kojim se predviđaju, iako ga još nisu ratificirale sve države članice i iako još nije stupio na snagu, kao što to proizlazi iz Odluke 2019/682, zaštitne mjere koje se temelje na istim načelima kao što su ona utvrđena u GDPR‑u i Direktivi o policiji.

80      https://rm.coe.int/t‑pd-2016‑18rev‑avis‑pnr‑fr/16807b6c09, str. 3. i 5. U Izvješću s objašnjenjima uz Protokol o izmjeni Konvencije br. 108 (u daljnjem tekstu: Izvješće s objašnjenjima o osuvremenjenoj Konvenciji br. 108) naglašava se i zahtjev da mjera kojom se predviđa zadiranje u prava na poštovanje privatnog života i zaštitu osobnih podataka treba biti „dostupna”, „predvidljiva”, „dovoljno detaljna” i „jasno sastavljena”; vidjeti točku 91. tog izvješća s objašnjenjima, https://rm.coe.int/convention-108-convention‑for‑the‑protection‑of‑individuals‑with‑regar/16808b36f1.

81      Vidjeti a contrario presudu od 3. prosinca 2019., Češka Republika/Parlament i Vijeće (C‑482/17, EU:C:2019:1035, t. 135.).

82      Vidjeti među ostalim presudu La Quadrature du Net, t. 132. i navedenu sudsku praksu; vidjeti i ESLJP, presudu Big Brother Watch, t. 334.

83      Vidjeti u tom pogledu Tridimas, T., Gentile, G. „The essence of Rights: an unreliable Boundary?”, German Law Journal, 2019., str. 796.; Lenaerts, K., „Limits on limitations: The Essence of Fundamental Rights in the EU”, German Law Journal, 2019., 20, str. 779. i sljedeće.

84      Nakon presude ESLJP‑a od 24. listopada 1979., Winterwerp protiv Nizozemske, (CE:ECHR:1979:1024JUD000630173, t. 60.)

85      Vidjeti Objašnjenja koja se odnose na Povelju o temeljnim pravima (SL 2007., C 303, str. 17., osobito „Objašnjenje članka 52.”, str. 32.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 1., svezak 7., str. 120., u daljnjem tekstu: Objašnjenja koja se odnose na Povelju).

86      U tom smislu vidjeti osobito presude od 14. svibnja 1974., Nold/Komisija (4/73, EU:C:1974:51, t. 14.) i od 13. prosinca 1979., Hauer (44/79, EU:C:1979:290, t. 23.).

87      C‑362/14, u daljnjem tekstu: presuda Schrems I, EU:C:2015:650, t. 94. do 98.

88      Vidjeti Lenaerts, K., op. cit., str. 781.; Tridimas, T., Gentile, G., op. cit., str. 803.

89      U Objašnjenjima koja se odnose na Povelju izričito se priznaje da je „dostojanstvo ljudske osobe jedno od osnovnih prava utvrđenih u […] Povelji” i da se „[s]toga […] mora poštovati, čak i kada je pravo ograničeno”.

90      U tom pogledu upućujem na razmatranja sadržana u zajedničkom djelomično suglasnom mišljenju sudaca Lemmensa, Vehabovića i Bošnjaka u presudi Big Brother Watch, t. 3. do 10.

91      Direktiva Europskog parlamenta i Vijeća od 15. ožujka 2006. o zadržavanju podataka dobivenih ili obrađenih u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga ili javnih komunikacijskih mreža i o izmjeni Direktive 2002/58/EZ (SL 2006., L 105, str. 54.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 50., str. 30.)

92      Vidjeti presudu Digital Rights, t. 39.; vidjeti što se tiče Direktive 2002/58 i presudu Tele2 Sverige, t. 101.

93      Vidjeti mišljenje 1/15, t. 150.

94      Vidjeti u tom smislu osobito presudu Digital Rights, t. 40.

95      Vidjeti u istom smislu mišljenje 1/15, t. 128.

96      Vidjeti mišljenje 1/15, t. 164. i 165.

97      Vidjeti mišljenje 1/15, t. 150.

98      Vidjeti osobito uvodne izjave 5., 6., 15. i 22. Direktive o PNR‑u.

99      Prijedlog Komisije od 2. veljače 2011. o uporabi podataka iz evidencije podataka o putnicima u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela (COM(2011) 32 final, str. 4.).

100      Radi pojednostavljivanja, u ovom ću mišljenju upotrebljavati izraz „tijela za izvršavanje zakonodavstva” kako bih općenito označio svako tijelo koje je ovlašteno u području otkrivanja, sprečavanja, kaznenog progona ili istrage terorizma ili teškog kaznenog djela koje obuhvaća Direktiva o PNR‑u.

101      Vidjeti uvodnu izjavu 7. Direktive o PNR‑u. Vidjeti i Prijedlog direktive o PNR‑u, str. 5.

102      Vidjeti u tom smislu mišljenje 1/15 te presudu od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama) (C‑746/18, u daljnjem tekstu: presuda Prokuratuur, EU:C:2021:152, t. 33. i navedena sudska praksa).

103      Vidjeti u tom smislu mišljenje 1/15, t. 149. i navedenu sudsku praksu te presudu La Quadrature du Net.

104      Vidjeti u nastavku analizu proporcionalnosti zadiranja.

105      Vidjeti presudu La Quadrature du Net, t. 125.

106      Vidjeti presudu La Quadrature du Net, t. 126. i navedenu sudsku praksu.

107      Vidjeti presudu La Quadrature du Net, t. 136.

108      Vidjeti presudu Digital Rights, t. 46. i navedenu sudsku praksu.

109      Vidjeti mišljenje 1/15, t. 140. te presudu La Quadrature du Net, t. 130. i navedenu sudsku praksu. Zahtjev da obrada osobnih podataka u svakoj fazi odražava „pravednu ravnotežu između svih predmetnih interesa, neovisno o tome jesu li javni ili privatni, kao i o relevantnim pravima i slobodama” naveden je i u članku 5. Konvencije br. 108.

110      Vidjeti u tom smislu presudu od 2. listopada 2018., Ministerio Fiscal (C‑207/16, EU:C:2018:788, t. 55. i navedena sudska praksa) te presude La Quadrature du Net, t. 131. i Prokuratuur, t. 32.

111      Vidjeti u tom smislu presude Digital Rights, t. 54. i Schrems I, t. 91. te mišljenje 1/15, t. 141.

112      Vidjeti mišljenje 1/15, t. 141. i navedenu sudsku praksu.

113      Vidjeti u tom smislu presudu Digital Rights, t. 48.

114      Vidjeti u tom smislu točke 201. do 203. ovog mišljenja.

115      U tom pogledu upućujem na podatke iz radnog dokumenta iz 2020.

116      Vidjeti u tom smislu mišljenje od 19. kolovoza 2016., str. 5.

117      O važnosti statističkih podataka za potrebe procjene učinkovitosti sustava uspostavljenog Direktivom o PNR‑u, vidjeti osobito mišljenje 1/2011 od 14. lipnja 2011. o Prijedlogu direktive o PNR‑u, https://fra.europa.eu/sites/default/files/fra_uploads/1786-FRA‑PNR‑Opinion-2011_EN.pdf, t. 2.1.2.1 (u daljnjem tekstu: mišljenje 1/2011 FRA‑e).

118      Suprotno tomu, to je pitanje jasno postavio Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka) u predmetu C‑215/20 koji je u tijeku.

119      Od Komisije se zatražilo da u tom pogledu podnese očitovanja u okviru pitanja na koje treba odgovoriti u pisanom obliku. Druge zainteresirane osobe mogle su zauzeti stajalište na raspravi.

120      Vidjeti točku 107. in fine ovog mišljenja.

121      Direktiva Europskog parlamenta i Vijeća od 15. ožujka 2017. o suzbijanju terorizma i zamjeni Okvirne odluke Vijeća 2002/475/PUP i o izmjeni Odluke Vijeća 2005/671/PUP (SL 2017., L 88, str. 6. i ispravci SL 2018., L 119, str. 41. i SL 2021., L 382, str. 59.)

122      U tom pogledu ističem da je pojam „kazneno djelo prekogranične prirode”, kako je primjerice definiran u Prijedlogu sporazuma o PNR‑u između Kanade i EU‑a, dovoljno širok kako bi uključio i kaznena djela koja su počinjena samo u jednoj zemlji, a počinitelj se „nalazi u drugoj zemlji ili u nju namjerava putovati”; vidjeti članak 3. stavak 3. točku (e) Prijedloga sporazuma o PNR‑u između Kanade i EU‑a, čiji je tekst preuzet u točki 30. mišljenja 1/15. Napominjem i da je u mišljenju 1/2011 (točke 2.2.3.1. i 3.7.) FRA predložila da se Unijin PNR sustav ograniči samo na teška prekogranična kaznena djela. Suprotno tomu, Prijedlogom direktive o PNR‑u predviđa se različita automatizirana obrada podataka za prekogranična kaznena djela i djela koja nisu te prirode (vidjeti članak 4. stavak 2. točku (a) tog prijedloga).

123      Osim toga, ističem da se dio kaznenih djela iz Priloga II. odnosi na područja kriminaliteta koja se člankom 83. stavkom 1. prvim podstavkom UFEU‑a kvalificiraju kao „osobito teška” i koja su navedena u drugom podstavku tog stavka. Riječ je osobito o trgovanju ljudima, seksualnom iskorištavanju djece, nezakonitoj trgovini drogom, nezakonitoj trgovini oružjem, pranju novca, korupciji, krivotvorenju sredstava plaćanja, računalnom kriminalu i organiziranom kriminalu. U nekoliko od tih područja zakonodavac Unije donio je na temelju članka 83. stavka 1. UFEU‑a direktive kojima se utvrđuju „minimalna pravila o definiranju kaznenih djela i sankcija”; vidjeti osobito Direktivu 2011/36/EU Europskog parlamenta i Vijeća od 5. travnja 2011. o sprečavanju i suzbijanju trgovanja ljudima i zaštiti njegovih žrtava te o zamjeni Okvirne odluke Vijeća 2002/629/PUP (SL 2011., L 101, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 13., stranica 180.); Direktivu 2011/93/EU Europskog parlamenta i Vijeća od 13. prosinca 2011. o suzbijanju seksualnog zlostavljanja i seksualnog iskorištavanja djece i dječje pornografije, te o zamjeni Okvirne odluke Vijeća 2004/68/PUP (SL 2011., L 335, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 16., str. 261. i ispravak SL 2018., L 128, str. 22.); Direktivu 2013/40/EU Europskog parlamenta i Vijeća od 12. kolovoza 2013. o napadima na informacijske sustave i o zamjeni Okvirne odluke Vijeća 2005/222/PUP (SL 2013., L 218, str. 8.); Direktivu (EU) 2019/713 Europskog parlamenta i Vijeća od 17. travnja 2019. o borbi protiv prijevara i krivotvorenja u vezi s bezgotovinskim sredstvima plaćanja i zamjeni Okvirne odluke Vijeća 2001/413/PUP (SL 2019., L 123, str. 18.); Direktiva (EU) 2017/1371 Europskog parlamenta i Vijeća od 5. srpnja 2017. o suzbijanju prijevara počinjenih protiv financijskih interesa Unije kaznenopravnim sredstvima (SL 2017., L 198, str. 29.) i Direktivu (EU) 2018/1673 Europskog parlamenta i Vijeća od 23. listopada 2018. o borbi protiv pranja novca kaznenopravnim sredstvima (SL 2018., L 284, str. 22.).

124      Međutim, ističem da su sva kaznena djela iz Priloga I., osim „industrijske špijunaže”, navedena u članku 2. stavku 2. Okvirne odluke Vijeća 2002/584/PUP od 13. lipnja 2002. o Europskom uhidbenom nalogu i postupcima predaje između država članica (SL 2002., L 190, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 3., str. 83. i ispravak SL 2013., L 222, str. 14.). Ako nisu izričito kvalificirana kao teška, kad dosegnu isti stupanj oduzimanja slobode koji se predviđa člankom 3. točkom 9. Direktive o PNR‑u, ta djela ipak dovode do predaje na temelju europskog uhidbenog naloga bez provjere dvostruke kažnjivosti djela. Gotovo sva navedena kaznena djela, osim „sabotaže”, „protupravnog oduzimanja zrakoplova” i „industrijske špijunaže”, navedena su i u Prilogu I. Uredbi (EU) 2018/1727 Europskog parlamenta i Vijeća od 14. studenoga 2018. o Agenciji Europske unije za suradnju u kaznenom pravosuđu (Eurojust) te zamjeni i stavljanju izvan snage Odluke Vijeća 2002/187/PUP (SL 2018., L 295, str. 138.), u kojoj se navodi popis „vrsta teških kaznenih djela” koja su u nadležnost Eurojusta.

125      Riječ je osobito o točkama 7., 8., 10. i 16.

126      To je primjerice slučaj pojmova „prijevara” (točka 7.), „korupcija” (točka 6.), „računalni kriminal/kiberkriminalitet” (točka 9.) i „kaznena djela protiv okoliša” (točka 10.). Konkretno, Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka) ispituje kaznena djela prijevare u predmetu C‑215/20 koji je u tijeku.

127      Uostalom, u toj se direktivi u članku 9. pojašnjava najmanje trajanje maksimalne kazne oduzimanja slobode kojom su kažnjiva navedena kaznena djela, odnosno stupanj koji samo u određenim okolnostima doseže tri godine.

128      Direktiva Europskog parlamenta i Vijeća od 19. studenoga 2008. (SL 2008., L 328, str. 28.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 15., svezak 14., str. 91.)

129      Direktiva Vijeća od 28. studenoga 2002. o definiranju olakšavanja neovlaštenog ulaska, tranzita i boravka (SL 2002., L 328, str. 17.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 3., str. 101.)

130      Okvirna odluka Vijeća od 28. studenoga 2002. o jačanju kaznenopravnog okvira za sprečavanje pomaganja neovlaštenog ulaska, tranzita i boravka (SL 2002., L 328, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 12., str. 26.)

131      Okvirna odluka Vijeća od 22. srpnja 2003. o borbi protiv korupcije u privatnom sektoru (SL 2003., L 192, str. 54.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 16., str. 65.)

132      Okvirna odluka Vijeća od 24. listopada 2008. o borbi protiv organiziranog kriminala (SL 2008., L 300, str. 42.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 16., str. 135.)

133      Vidjeti osobito uvodne izjave 7. i 22. Direktive o PNR‑u.

134      Vidjeti uvodnu izjavu 35. Direktive o PNR‑u.

135      Vidjeti po analogiji presude od 16. prosinca 2008., Arcelor Atlantique i Lorraine i dr. (C‑127/07, EU:C:2008:728, t. 61. i 62.) te od 17. listopada 2013., Schaible (C‑101/12, EU:C:2013:661, t. 91. i 94.).

136      Vidjeti dokument 9944 koji je odobrio i objavio glavni tajnik ICAO‑a. Verzija tog dokumenta na francuskom jeziku dostupna je na internetskoj stranici https://www.icao.int/Security/FAL/ANNEX9/Documents/9944_cons_fr.pdf. U skladu s točkom 9.22. Priloga 9. (Olakšavanje) Konvenciji o međunarodnom civilnom zrakoplovstvu, potpisanoj u Chicagu 7. prosinca 1944. (u daljnjem tekstu: Čikaška konvencija), države ugovornice te konvencije koje zahtijevaju podatke iz PNR‑a dužne su uskladiti svoje potrebe za podacima i obradu tih podataka, među ostalim, s tim smjernicama.

137      Vidjeti u tom smislu mišljenje 1/15, t. 160.

138      Vidjeti točke 2.1.2. i 2.1.5. Smjernica ICAO‑a.

139      Jedino upućivanje na Smjernice ICAO‑a u Direktivi o PNR‑u nalazi se u njezinoj uvodnoj izjavi 17. i odnosi se samo na „podržan[e] format[e] podataka za prijenos podataka iz PNR‑a državama članicama koji obavljaju zračni prijevoznici”.

140      Tako su u točki 2.1.5. predmetnih smjernica navedene „dodatne informacije” ili „koje se odnose na tražene usluge”, koje se mogu odnositi „na zahtjeve za zdravstvenu skrb ili posebne obroke ,maloljetnika koji putuju sami’, zahtjeve za pomoć itd.”. U točki 2.1.6. pojašnjava se pak da „polje ,opće primjedbe’” može sadržavati i „određene informacije kao što su korespondencija ili unutarnja komunikacija između osoblja zračnih prijevoznika i posrednika za rezervacije”.

141      Vidjeti točke 2.1.5. i 2.1.6. Smjernica ICAO‑a.

142      Vidjeti presudu od 17. listopada 2013., Schwarz (C‑291/12, EU:C:2013:670, t. 32.), koja se odnosi na slučaj podnositelja zahtjeva za izdavanje putovnice kojemu je potrebno uzeti otiske prstiju kako bi mogao dobiti dokument koji mu omogućuje putovanje u treću zemlju.

143      Na tu ću se kategoriju podataka vratiti kasnije u ovom mišljenju.

144      FRA se u tom smislu izjasnila u svojem mišljenju 1/2011, str. 13. U svojem mišljenju od 25. ožujka 2011. o Prijedlogu direktive o PNR‑u, (https://edps.europa.eu/sites/edp/files/publication/11‑03-25_pnr_en.pdf, t. 47.) (u daljnjem tekstu: mišljenje ENZP‑a od 25. ožujka 2011.), ENZP je predložio da se rubrika „opće primjedbe” isključi s popisa iz Priloga I.

145      Vidjeti osobito presude od 19. studenoga 2009., Sturgeon i dr. (C‑402/07 i C‑432/07, EU:C:2009:716, t. 47. i navedena sudska praksa); od 19. rujna 2013., Preispitivanje Komisija/Strack (C‑579/12 RX‑II, EU:C:2013:570, t. 40.) te od 14. svibnja 2019., M i dr.(Opoziv statusa izbjeglice) (C‑391/16, C‑77/17 i C‑78/17, EU:C:2019:403, t. 77. i navedena sudska praksa).

146      Vidjeti osobito uvodne izjave 5., 7., 11., 15., 16., 20., 22., 23., 25., 27., 28., 31., 36. i 37. Direktive o PNR‑u.

147      Vidjeti presude od 26. lipnja 2007., Ordre des barreaux francophones et germanophone i dr. (C‑305/05, EU:C:2007:383, t. 28.) te od 14. svibnja 2019., M i dr.(Opoziv statusa izbjeglice) (C‑391/16, C‑77/17 i C‑78/17, EU:C:2019:403, t. 77.).

148      Za potrebe ovog predmeta, uvodnom izjavom 9. predviđa se da „[u]poraba podataka iz PNR‑a zajedno s API podacima dodatno pomaže državama članicama u vezi s potvrdom identiteta pojedinca, čime se dodaje vrijednost rezultatu izvršavanja zakonodavstva i na najmanju moguću mjeru smanjuje rizik od provođenja provjera i istraga nedužnih osoba”.

149      Vidjeti u tom smislu i Prijedlog direktive o PNR‑u, str. 7, t. 1. Isti podaci navedeni su u Smjernicama o prethodno prikupljenim informacijama o putnicima (RPCV) koje su sastavili Svjetska carinska organizacija (WCO), Međunarodno udruženje zračnih prijevoznika (IATA) i ICAO, http://www.wcoomd.org/~/media/wco/public/fr/pdf/topics/facilitation/instruments‑and‑tools/tools/api‑guidelines‑and‑pnr‑doc/api‑guidelines‑_f.pdf?db=web) ((u daljnjem tekstu: Smjernice RPCV), točka 8.1.5. podtočka (a)), kao „glavni dijelovi podataka koji mogu biti navedeni u strojno čitljivom području službenih putnih dokumenata”.

150      Članak 3. stavak 2. Direktive o API‑ju glasi kako slijedi: „Navedene informacije sadržavaju: broj i vrstu putnog dokumenta koji se koristi, nacionalnost, puno ime, datum rođenja, granični prijelaz na kojem se ulazi na državno područje države članice, oznaku prijevoza, vrijeme polaska i dolaska prijevoza, ukupan broj putnika koji se prevoze, prvo mjesto ukrcaja.” Naglašavam da je Komisija u svojem Programu rada za 2022., COM(2021) 645 final, str. 9., predvidjela ažuriranje Direktive o API‑ju. U rujnu 2020. objavila je ocjenu te direktive koja čini temelj za njezinu buduću reviziju, SWD(2020) 174 final (u daljnjem tekstu: radni dokument iz 2020. o Direktivi o API‑ju). U navedenom dokumentu Komisija osobito naglašava činjenicu da popis podataka sadržan u članku 3. stavku 2. Direktive o API‑ju nije u skladu s međunarodnim standardima o API podacima jer ne uključuje sve podatke iz strojno čitljivog dijela putnih dokumenata (vidjeti osobito str. 48.).

151      Vidjeti Smjernice RPCV, t. 8.1.5, podtočke (b) i (c).

152      Istovjetno tumačenje odgovarajuće rubrike Prijedloga sporazuma o PNR‑u između Kanade i EU‑a navodi se u točki 161. mišljenja 1/15.

153      Ističem da je Sudu trenutačno upućen niz prethodnih pitanja koja se konkretno odnose na dovoljnu preciznost nekoliko točaka iz Priloga I., osobito točaka 4., 8., 12. i 18. (vidjeti predmet C‑215/20 koji je u tijeku).

154      Vidjeti mišljenje 1/15, t. 158.

155      Ističem da su informacije koje se odnose na putničku agenciju ili putničkog agenta već navedene u Prilogu I. točki 5.

156      Vidjeti definiciju podataka iz PNR‑a u članku 3. točki 5. Direktive o PNR‑u.

157      Vidjeti u tom smislu i mišljenje nezavisnog odvjetnika P. Mengozzija u mišljenju 1/15 (Sporazum o PNR‑u između Europske unije i Kanade), EU:C:2016:656), t. 218.

158      Vidjeti odgovarajuću rubriku iz Dodatka I. Smjernicama ICAO‑a.

159      Vidjeti osobito u tom smislu presudu Digital Rights, t. 57. U pogledu zahtjeva da se kategorije podataka koje su obuhvaćene mjerom pristupa ograniče na ono što je strogo nužno za cilj koji se želi postići vidjeti nedavnu presudu Prokuratuur, t. 38. Načelo smanjenja količine podataka predviđa se, među ostalim, člankom 5. stavkom 1. točkom (c) GDPR‑a i člankom 4. stavkom 1. točkom (c) Direktive o policiji.

160      Vidjeti osobito ESLJP, 18. travnja 2013., M. K. protiv Francuske (CE:ECHR:2013:0418JUD001952209, t. 35.).

161      Vidjeti Izvješće s objašnjenjima Konvencije br. 108 od 1981. (https://rm.coe.int/16800ca471), članak 5. točka 40. te Izvješće s objašnjenjima o osuvremenjenoj Konvenciji br. 108, članak 5. točka 51.

162      Vidjeti točke 154. do 158. i 162. do 164. ovog mišljenja.

163      Vidjeti točke 133. do 153. ovog mišljenja.

164      Pravo djeteta na poštovanje njegova privatnog života osobito je utvrđeno u članku 16. Konvencije iz New Yorka o pravima djeteta koja je donesena 20. studenoga 1989. i stupila na snagu 2. rujna 1990.

165      Vidjeti točku 2.7.3. Smjernica ICAO‑a.

166      Vidjeti točku 2.7.4. Smjernica ICAO‑a.

167      Uostalom, na zahtjev da se zajamče sigurnost i pouzdanost prijenosa podataka u PIU‑ove podsjeća se u članku 16. stavku 1. Direktive o PNR‑u u pogledu elektroničkih sredstava koja se upotrebljavaju za taj prijenos i to je jedan od kriterija koji je Komisija poštovala u svrhu donošenja, koje se zahtijeva u stavku 3. tog članka, zajedničkih protokola i formata podataka koje zračni prijevoznici trebaju upotrebljavati prilikom navedenog prijenosa; vidjeti Provedbenu odluku Komisije (EU) 2017/759 od 28. travnja 2017. o zajedničkim protokolima i formatima podataka koje zračni prijevoznici trebaju upotrebljavati pri prijenosu podataka iz evidencije podataka o putnicima (PNR) odjelima za informacije o putnicima (SL 2017., L 113, str. 48.).

168      Vidjeti uvodnu izjavu 37. Direktive o PNR‑u.

169      Sve kategorije osobnih podataka navedene u članku 13. stavku 4. Direktive o PNR‑u uključene su u kategorije koje odgovaraju pojmu „posebne kategorije osobnih podataka” iz članka 9. stavka 1. GDPR‑a.

170      U tom pogledu, prema mojem mišljenju, nisu relevantne tvrdnje koje je istaknulo nekoliko država članica koje su podnijele očitovanja o drugom prethodnom pitanju, a koje se temelje na postojanju tehničkih sredstava koja omogućuju jednostavno brisanje osjetljivih podataka koje su prenijeli zračni prijevoznici.

171      Mišljenje nezavisnog odvjetnika P. Mengozzi u mišljenju 1/15 (Sporazum o PNR‑u između Europske unije i Kanade), EU:C:2016:656.

172      Ističem da se čak i u Smjernicama ICAO‑a, iako se njima isključuju samo osjetljivi podaci koji se mogu preuzeti iz rubrika za „slobodni tekst” i koji se mogu upotrijebiti za procjenu opasnosti koju bi putnik mogao predstavljati, državama ugovornicama ipak preporučuje da osiguraju da ih se uzme u obzir samo ako postoje konkretne naznake koje zahtijevaju njihovu upotrebu u svrhe koje se nastoje postići njihovim sustavima PNR.

173      Podsjećam na to da je takvo isključenje već predložio ENZP u svojem mišljenju od 25. ožujka 2011., t. 47.

174      Riječ je o podacima koji mogu pružiti informacije o komunikacijama koje izvršava korisnik sredstva elektroničke komunikacije ili o lokaciji terminalne opreme kojom se koristi.

175      Vidjeti u tom smislu presude La Quadrature du Net, t. 141. do 145. i Tele2 Sverige, t. 105. i 106., koje su donesene u okviru tumačenja članka 15. stavka 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. te člankom 52. stavkom 1. Povelje, kao i presudu Digital Rights, t. 57. i 58., u kojoj je Sud Direktivu 2006/24 proglasio nevaljanom.

176      Vidjeti presudu La Quadrature du Net, t. 177.

177      Vidjeti presudu La Quadrature du Net, t. 134. do 139. i 177. Prema mišljenju Suda, odgovornost koju države članice imaju u području nacionalne sigurnosti „odgovara primarnom interesu zaštite temeljnih državnih funkcija i temeljnih interesa društva te uključuje zaštitu i suzbijanje aktivnosti koje mogu ozbiljno destabilizirati ustavne, političke, gospodarske ili društvene strukture određene zemlje, a osobito izravno ugroziti društvo, stanovništvo ili državu kao takvu, poput, među ostalim, terorističkih aktivnosti”; vidjeti presude La Quadrature du Net, t. 135. i Privacy International, t. 74.

178      Vidjeti presudu La Quadrature du Net, t. 138. i 178.

179      Vidjeti osobito presudu La Quadrature du Net, t. 141. do 145.

180      Vidjeti presudu La Quadrature du Net, t. 115. i 116.; vidjeti i mišljenje nezavisnog odvjetnika M. Camposa Sanchéz‑Bordone u spojenim predmetima SpaceNet i Telekom Deutschland (C‑793/19 i C‑794/19, EU:C:2021:939, t. 74. i 75.).

181      Vidjeti presudu Tele2 Sverige, t. 119.

182      Vidjeti u tom smislu presudu Tele2 Sverige, t. 103. do 107. i 119. te navedenu sudsku praksu.

183      Vidjeti mišljenje 1/15, t. 186. i 187.

184      U presudama Digital Rights (t. 59.) i Tele2 Sverige (t. 111.), kao i u kasnijoj sudskoj praksi (vidjeti osobito presudu La Quadrature du Net, t. 143. do 150.), upravo je činjenica da se predmetni propis nije temeljio na „objektivnim elementima” kao što su oni koje je Sud naveo u točki 187. mišljenja 1/15, koji omogućuju obuhvaćanje javnosti čiji su podaci mogli otkriti vezu, makar i posrednu, s teškim kaznenim djelima, ono što taj propis čini neproporcionalnim.

185      Vidjeti presudu La Quadrature du Net (t. 117. i navedena sudska praksa); vidjeti i presudu Prokuratuur (t. 36.).

186      Presuda La Quadrature du Net, t. 142.

187      Vidjeti mišljenje 1/15, t. 128. i 150.

188      Vidjeti mišljenje 1/15, t. 150.

189      O poteškoćama takve ocjene u pogledu metapodataka vidjeti presudu Prokuratuur, t. 40.

190      To je nastojao učiniti njemački zakonodavac u propisu koji je predmet spojenih predmeta C‑793/19 i C‑794/19, SpaceNet i Telekom Deutschland, u kojima je nezavisni odvjetnik M. Campos Sánchez‑Bordona iznio svoje mišljenje (EU:C:2021:939, t. 60. i 61.).

191      U tom pogledu upućujem na točku 93. ovog mišljenja.

192      Vidjeti presudu La Quadrature du Net, t. 118. i navedenu sudsku praksu.

193      Vidjeti presudu Tele2 Sverige, t. 93.

194      Mišljenje nezavisnog odvjetnika P. Mengozzija u postupku za donošenje mišljenja 1/15 (Sporazum o PNR‑u između Europske unije i Kanade), EU:C:2016:656)

195      Vidjeti osobito ESLJP, 4. prosinca 2015., Roman Zakharov protiv Rusije (CE:ECHR:2015:1204JUD004714306, t. 260.).

196      Vidjeti presude La Quadrature du Net (t. 146. do 151.) i Tele2 Sverige (t. 119.).

197      U tom smislu, što se tiče mjera masovnog presretanja, vidjeti presudu Big Brother Watch, t. 348.

198      Vidjeti po analogiji presudu od 3. listopada 2019., A i dr. (C‑70/18, EU:C:2019:823, t. 61.).

199      Vidjeti nedavnu Komunikaciju Komisije o strategiji EU‑a za sigurnosnu uniju (COM(2020) 605 final, str. 28.) te Komunikaciju Komisije: Agenda EU‑a za borbu protiv terorizma: predviđanje, sprečavanje, zaštita i odgovor (COM(2020) 795 final, str. 15 i sljedeće).

200      Rezolucija od 21. prosinca 2017. (u daljnjem tekstu: Rezolucija 2396 (2017)), https://undocs.org/en/S/RES/2396(2017)

201      Vidjeti Rezoluciju 2396 (2017), t. 12.; u toj točki 12. Vijeće sigurnosti Ujedinjenih naroda „poziva ICAO da surađuje sa svojim državama članicama na utvrđivanju standarda za prikupljanje, upotrebu, obradu i zaštitu podataka iz PNR‑a”. Nakon takvog poziva, ICAO je 23. lipnja 2020. donio izmjenu br. 28 Priloga 9. Čikaškoj konvenciji kojim se, kao što se to već navelo, utvrđuju međunarodni standardi za olakšavanje i čije se poglavlje 9. odjeljak D konkretno odnosi na PNR. Komisija je 12. siječnja 2021. donijela Prijedlog odluke Vijeća o stajalištu koje u ime Europske unije treba zauzeti u ICAO‑u u pogledu te izmjene (COM(2021) 16 final).

202      Rezolucija od 19. srpnja 2019., t. 15. podtočka (c), https://undocs.org/en/S/RES/2482(2019)

203      Trenutačno postoje dva međunarodna sporazuma koje je Unija sklopila s Australijom (Sporazum između Europske unije i Australije o obradi i prijenosu [podataka iz PNR‑a] od strane zračnih prijevoznika carinskoj i graničnoj službi Australije (SL 2012., L 186, str. 4.)) i Sjedinjenih Američkih Država (Sporazum između Sjedinjenih Američkih Država i Europske unije o upotrebi i prijenosu [podataka iz PNR‑a] Ministarstvu domovinske sigurnosti Sjedinjenih Američkih Država (SL 2012., L 215, str. 5.)). U tijeku je zajednička ocjena tih dvaju sporazuma s ciljem sklapanja novih sporazuma. K tomu, Vijeće je 18. veljače 2020. ovlastilo Komisiju da otvori pregovore s Japanom.

204      Vidjeti Rezoluciju 2396 (2017), str. 4.

205      Uključujući osobe s pravom slobodnog kretanja u skladu s pravom Unije; vidjeti Uredbu (EU) 2017/458 Europskog parlamenta i Vijeća od 15. ožujka 2017. o izmjeni Uredbe (EU) 2016/399 u pogledu jačanja kontrola provjerom u relevantnim bazama podataka na vanjskim granicama (SL 2017., L 74, str. 7.).

206      Vidjeti u tom smislu i mišljenje 1/15, t. 187. Vidjeti i Komunikaciju Komisije o globalnom pristupu prijenosu podataka iz [PNR‑a] trećim zemljama (COM(2010) 492 final, str. 6., t. 2.2.).

207      To je na neki način ono što Komisija podrazumijeva u svojem Prijedlogu direktive o PNR‑u, str. 3.

208      Vidjeti u tom smislu presudu Prokuratuur, t. 49. i navedenu sudsku praksu.

209      Vidjeti članak 4. stavak 2. točku (a) Prijedloga direktive o PNR‑u.

210      Iako se u francuskoj jezičnoj verziji članka 6. stavka 3. točke (a) navode „korisne baze podataka” („bases de données utiles”), u većini drugih jezičnih verzija te odredbe upućuje se na „relevantne baze podataka”: vidjeti osobito španjolsku („pertinentes”), njemačku („massgeblich”), englesku („relevant”), talijansku („pertinenti”), nizozemsku („relevant”) i portugalsku jezičnu verziju („relevantes”).

211      Kako je sastavljen, čini se da se člankom 6. stavkom 3. točkom (a) Direktive o PNR‑u dopuštaju analize u obliku istraživanja podataka unakrsnom usporedbom s vrlo različitim podacima, pod uvjetom da se to istraživanje završi postizanjem ciljeva iz te direktive. U pogledu rizika povezanih s pojmom „data mining” koji obuhvaća podatke iz PNR‑a, vidjeti izvješće Korff, str. 77. ENZP je snažno naglasio nedostatak pojašnjenja i predvidljivosti u pogledu identifikacije baza podataka s kojima se podaci iz PNR‑a mogu usporediti u njegovu mišljenju od 25. ožujka 2011., točka 18.

212      Nejasnoća i neodređenost teksta članka 6. stavka 3. točke (a) Direktive o PNR‑u odražava se u njegovu vrlo različitom prenošenju u nacionalno pravo, od uskog tumačenja pojma „relevantna baza podataka”, kojim se predviđena analiza ograničava na samu usporedbu s bazama podataka koje su izričito navedene u toj odredbi (to je slučaj Savezne Republike Njemačke, kao što to proizlazi iz očitovanja koje je njezina vlada podnijela Sudu) do širokog tumačenja koje obuhvaća bilo koju bazu podataka koja je dostupna nadležnim tijelima u okviru njihovih zadaća (u tom je smislu osobito sastavljen članak 24. stavak 1. točka 1. Zakona o PNR‑u).

213      U svakom slučaju, prema mojem mišljenju, država članica ne mora se smatrati dužnom, na temelju članka 6. stavka 3. točke (a) Direktive o PNR‑u, odobriti PIU‑u da sustavno uspoređuje podatke iz PNR‑a s „relevantnim bazama podataka”, u smislu te odredbe, kojima upravljaju njezine obavještajne službe.

214      U članku 3. točki 4. Direktive o policiji „izrada profila” definira se kao „svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca”. Ista je definicija sadržana u članku 4. točki 4. GDPR‑a i točki 1. podtočki (c) Priloga Preporuci CM/Rec(2021)8 od 3. studenoga 2021. Odbora ministara Vijeća Europe o zaštiti pojedinaca u vezi s automatiziranom obradom osobnih podataka u okviru izrade profila https://search.coe.int/cm/pages/result_details.aspx?ObjectId=0900001680a46148, (u daljnjem tekstu: Preporuka iz 2021. o izradi profila).

215      U točki 1. podtočki (j) alineji i. Preporuke iz 2021. o izradi profila „obrada koja uključuje izradu profila visokog rizika” definira se kao „izrada profila čije funkcioniranje proizvodi pravne učinke ili koje ima znatan utjecaj na dotičnog ispitanika ili na grupu ljudi koja je identificirana obradom koja uključuje izradu profila”.

216      Vidjeti mišljenje 1/15, t. 172.

217      U skladu s točkom 1.1. podtočkom (d) Priloga Preporuci iz 2021. o izradi profila, pojam „izrada profila” znači „skup podataka koji se pripisuje nekoj osobi, koji obilježava kategoriju osoba ili koji se namjerava primijeniti na neku osobu”. Kao što se to objašnjava u Izvješću o razvoju situacije nakon donošenja Preporuke (2010)13 o izradi profila (https://rm.coe.int/t‑pd-2019‑07fin‑fr‑rapport‑profilage-2770‑2878‑8993‑1-final‑clean-2755/1680a0925b, str. 21.), koje je prethodilo donošenju Preporuke iz 2021. o izradi profila, pojam „profil” zadržava svoje puno značenje u sustavima u kojima se, kao u Direktivi o PNR‑u, razlikuju operacije izrade profila (vidjeti osobito članak 6. stavak 2. točku (b) te direktive) od onih koji ga primjenjuju i omogućuje „transparentnost kriterija koji se zatim primjenjuju u operaciji izrade profila”.

218      Vidjeti članak 6. stavak 4. Direktive o PNR‑u, kao i mišljenje 1/15, t. 172.

219      Vidjeti članak 6. stavak 4. Direktive o PNR‑u.

220      Vidjeti mišljenje 1/15, t. 172.

221      Vidjeti uvodnu izjavu 7. Direktive o PNR‑u.

222      Vidjeti mišljenje 1/15, t. 174.

223      Isti se zahtjev navodi u točki 174. mišljenja 1/15.

224      Ističem da su sve osnove diskriminacije iz članka 21. Povelje ponovljene u uvodnoj izjavi 20. Direktive o PNR‑u. Usklađivanje s popisom zabranjenih osnova diskriminacije iz članka 21. predložila je FRA u svojem mišljenju 1/2011, str. 8.

225      U skladu s točkom 1.1. podtočkom (g) Priloga Preporuci iz 2021. o izradi profila, izraz „machine learning” znači „obrada uz primjenu posebnih metoda umjetne inteligencije na temelju statističkih pristupa kako bi se računalima dala mogućnost ‚učenja’ iz podataka, odnosno poboljšale njihove performanse u rješavanju zadataka za čije pojedinačno obavljanje nisu izričito programirana”.

226      Što se tiče učinaka netransparentnosti algoritamskih sustava na mogućnost ljudskog nadzora s ciljem sprečavanja štetnih učinaka tih sustava i njihovih negativnih učinaka na ljudska prava, vidi Preporuku CM/Rec(2020)1 Odbora ministara Vijeća Europe državama članicama o učincima algoritamskih sustava na ljudska prava.

227      Ta je definicija sadržana u uvodnoj izjavi 25. Direktive o PNR‑u.

228      Uvodnom izjavom 37. Direktive o PNR‑u, prema kojoj se „dopušta čuvanje podataka iz PNR‑a u PIU‑ovima u razdoblju od najviše pet godina, nakon čega bi se ti podaci trebali izbrisati” (moje isticanje), prema mojem se mišljenju ne dopušta dovođenje u pitanje jasnog teksta članka 12. stavka 1. te direktive.

229      Kad je riječ o obradi osobnih podataka u svrhu otkrivanja, sprečavanja, progona i istrage kaznenih djela, vidjeti članak 4. točku (e) i uvodnu izjavu 26. Direktive o policiji. Vidjeti općenitije članak 5. stavak 1. točku (e) GDPR‑a i članak 5. stavak 4. točku (e) osuvremenjene Konvencije br. 108.

230      Vidjeti presude Schrems I (t. 93.); Tele2 Sverige (t. 110.); mišljenje 1/15 (t. 191.) i presudu La Quadrature du Net (t. 133.).

231      Vidjeti mišljenje 1/15, t. 197.

232      Vidjeti mišljenje 1/15, t. 205.

233      Vidjeti mišljenje 1/15, t. 207.

234      Riječ je o primjeni po analogiji točke 187. i sljedećih točaka mišljenja 1/15 jer se to mišljenje odnosilo samo na slučaj podataka iz PNR‑a prikupljenih prilikom ulaska na državno područje Kanade.

235      Vidjeti mišljenje 1/15, t. 209.

236      Vidjeti mišljenje 1/15, t. 205.

237      Prijedlogom sporazuma o PNR‑u između Kanade i EU‑a predviđalo se skrivanje imena svih putnika 30 dana nakon što ih Kanada zaprimi i skrivanje drugih izričito navedenih informacija dvije godine nakon tog zaprimanja: vidjeti članak 16. točku 3. Prijedloga sporazuma o PNR‑u između Kanade i EU‑a i točku 30. mišljenja 1/15.

238      Vidjeti mišljenje od 19. kolovoza 2016., str. 9.

239      Vidjeti osobito presudu La Quadrature du Net, t. 148. i 149.

240      Isto vrijedi za zahtjeve za dostavu podataka iz PNR‑a koje su istaknuli PIU‑ovi drugih država članica na temelju članka 9. stavka 2. Direktive o PNR‑u.

241      Vidjeti mišljenje 1/15, t. 192. i navedenu sudsku praksu. Vidjeti novije presude Privacy international, t. 77. i po analogiji Prokuratuur, t. 49. i navedenu sudsku praksu.

242      Vidjeti mišljenje 1/15, t. 200.

243      Vidjeti mišljenje 1/15, t. 200.

244      Vidjeti mišljenje 1/15, t. 201.

245      Vidjeti mišljenje 1/15, t. 202.

246      Vidjeti u tom smislu mišljenje 1/15, t. 201.

247      Vidjeti osobito članak 4., članak 7. stavke 1. i 2., članak 9. stavak 2., članak 10. stavak 2., članak 12. stavak 4. Direktive o PNR‑u; vidjeti osobito uvodne izjave 6., 9., 10., 11., 15., 23., 25., 35. i 38. te direktive. Osim toga, podsjećam na to da se u uvodnoj izjavi 28. Prijedloga direktive o PNR‑u pojašnjavalo da se „[o]vom direktivom ne dovodi u pitanje mogućnost koju imaju države članice da na temelju nacionalnog zakonodavstva predvide sustav prikupljanja i obrade podataka iz PNR‑a u svrhe različite od onih predviđenih ovom direktivom”. Međutim, to pojašnjenje nije uključeno u konačan tekst Direktive o PNR‑u.

248      Međutim, ta se mogućnost priznaje u članku 4. stavku 3. Direktive o PNR‑u, u skladu s kojim „[o]soblje PIU‑a može biti upućeno iz nadležnih tijela”, barem u dijelu u kojem se obavještajne i sigurnosne službe dotične države članice mogu kvalificirati kao „nadležna tijela”, u smislu članka 7. stavka 2. te direktive.

249      Što se tiče dvojbi belgijske vlade u pogledu nadležnosti Suda za odgovor na sedmo prethodno pitanje, valja napomenuti da, u skladu sa sadržajem tog pitanja, sud koji je uputio zahtjev pita Sud o tumačenju članka 12. stavka 3. Direktive o PRN‑u, a ne o usklađenosti nacionalnog zakonodavstva s tom odredbom. U svakom slučaju, prema ustaljenoj sudskoj praksi, Sud može nacionalnim sudovima pružiti upute koje im omogućuju da ocijene tu usklađenost (vidjeti osobito presudu od 7. rujna 2016., ANODE, C‑121/15, EU:C:2016:637, t. 54. i navedenu sudsku praksu).

250      Vidjeti u tom pogledu presudu od 5. studenoga 2019., Komisija/Poljska (Neovisnost redovnih sudova) (C‑192/18, EU:C:2019:924, t. 108. do 110.).

251      Člankom 9. stavkom 2. četvrtom rečenicom Prijedloga direktive o PNR‑u određivalo se da „[p]ristup potpunim podacima iz PNR‑a može odobriti samo voditelj odjela za informacije o putnicima”.

252      Presuda Prokuratuur, t. 52. i 53.

253      Presuda Prokuratuur, t. 53. i 54. Vidjeti u istom smislu presudu Big Brother Watch, t. 349. do 352.

254      Člankom 9. stavkom 2. četvrtom rečenicom Prijedloga direktive o PNR‑u određivalo se da „[p]ristup potpunim podacima iz PNR‑a može odobriti samo voditelj odjela za informacije o putnicima”.

255      Zakon o PNR‑u, članak 29. stavci 1. i 2.

256      Vidjeti uvodnu izjavu 10. Direktive o PNR‑u.

257      Uredba (EU) 2016/399 Europskog parlamenta i Vijeća od 9. ožujka 2016. o Zakoniku Unije o pravilima kojima se uređuje kretanje osoba preko granica (Zakonik o schengenskim granicama) (SL 2016., L 77, str. 1.) (u daljnjem tekstu: Zakonik o schengenskim granicama)

258      Člankom 23. točkom (a) Zakonika o schengenskim granicama predviđa se da se izvršavanje policijskih ovlasti ne može smatrati istovjetnim provođenju granične kontrole kada policijske mjere „i. za cilj nemaju nadzor državne granice; ii. se temelje na općim policijskim informacijama i iskustvu vezanom za moguće prijetnje javnoj sigurnosti te im je cilj, posebno, suzbijanje prekograničnog kriminaliteta; iii. su osmišljene i provode se na razvidno drugačiji način od sustavnih kontrola osoba na vanjskim granicama; iv. se provode na temelju provjera na licu mjesta”.

259      Vidjeti po analogiji presudu od 13. prosinca 2018., Touring Tours und Travel i Sociedad de transportes (C‑412/17 i C‑474/17, EU:C:2018:1005, t. 61. i navedena sudska praksa) i rješenje od 4. lipnja 2020., FU (C‑554/19, neobjavljeno, EU:C:2020:439, t. 49. do 56.).

260      U tom pogledu ističem da je Sud u točki 188. mišljenja 1/15 potvrdio da je „identifikacija, putem podataka iz PNR‑a, putnika koji mogu predstavljati opasnost za javnu sigurnost dio […] graničnih kontrola”.

261      Vidjeti presudu od 13. prosinca 2018., Touring Tours und Travel i Sociedad de transportes (C‑412/17 i C‑474/17, EU:C:2018:1005, t. 55. i navedena sudska praksa).

262      Vidjeti u tom smislu rješenje od 4. lipnja 2020., FU (C‑554/19, neobjavljeno, EU:C:2020:439, t. 46.).

263      U svojem radnom dokumentu iz 2020. o Direktivi o API‑ju (str. 20.) Komisija naglašava i problem koji predstavlja preklapanje sustavâ obrade podataka iz PNR‑a i API podataka na nacionalnoj razini.

264      C‑411/17, EU:C:2019:622, t. 175., 176., 179. i 181.

265      Vidjeti presudu La Quadrature du Net, t. 217. do 219.