CONCLUSIE VAN ADVOCAAT-GENERAAL

G. PITRUZZELLA

van 27 januari 2022 (1)

Zaak C‑817/19

Ligue des droits humains

tegen

Ministerraad

[verzoek van het Grondwettelijk Hof (België) om een prejudiciële beslissing]

„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verwerking van persoonsgegevens van passagiers (PNR) – Verordening (EU) 2016/679 – Toepassingsgebied – Richtlijn (EU) 2016/681 – Geldigheid – Handvest van de grondrechten van de Europese Unie – Artikelen 7 en 8 en artikel 52, lid 1”

Inhoud

I. Inleiding

II. Toepasselijke bepalingen

A. Unierecht

1. Handvest

2. AVG

3. PNR-richtlijn

4. Andere relevante rechtshandelingen van de Unie

B. Belgisch recht

C. Hoofdgeding, prejudiciële vragen en procedure bij het Hof

III. Beoordeling

A. Eerste prejudiciële vraag

B. Tweede, derde, vierde, zesde en achtste prejudiciële vraag

1. In de artikelen 7 en 8 van het Handvest neergelegde grondrechten

2. Inmenging in de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten

3. Rechtvaardiging van de uit de PNR-richtlijn voortvloeiende inmenging

a) Nakoming van het vereiste dat elke beperking op de uitoefening van een in het Handvest neergelegd grondrecht bij wet wordt gesteld

b) Eerbiediging van de wezenlijke inhoud van de in de artikelen 7 en 8 van het Handvest neergelegde rechten

c) Nakoming van het vereiste dat de inmenging moet beantwoorden aan een doelstelling van algemeen belang

d) Eerbiediging van het evenredigheidsbeginsel

1) Geschiktheid van in de PNR-richtlijn bedoelde verwerking van PNR-gegevens ten aanzien van het beoogde doeleinde

2) Strikte noodzakelijkheid van de inmenging

i) Afbakening van de doelstellingen van de verwerking van PNR-gegevens

ii) Door de PNR-richtlijn bedoelde categorieën PNR-gegevens (tweede en derde prejudiciële vraag)

– Voldoende duidelijkheid en nauwkeurigheid van de punten 12 en 18 van bijlage I (derde prejudiciële vraag)

– Omvang van de in bijlage I opgesomde gegevens (tweede prejudiciële vraag)

– Gevoelige gegevens

iii) Begrip „passagier” (vierde prejudiciële vraag)

iv) Voldoende duidelijkheid en nauwkeurigheid en strikte noodzakelijkheid van de voorafgaande beoordeling van de passagiers (zesde prejudiciële vraag)

– Vergelijking met databanken in de zin van artikel 6, lid 3, onder a), van de PNR-richtlijn

– Verwerking van PNR-gegevens overeenkomstig vooraf bepaalde criteria

– Waarborgen met betrekking tot de geautomatiseerde verwerking van PNR-gegevens

– Conclusie met betrekking tot de zesde prejudiciële vraag

v) Bewaring van de PNR-gegevens (achtste prejudiciële vraag)

4. Conclusie met betrekking tot de tweede, de derde, de vierde, de zesde en de achtste prejudiciële vraag

C. Vijfde prejudiciële vraag

D. Zevende prejudiciële vraag

E. Negende prejudiciële vraag

F. Tiende prejudiciële vraag

IV. Conclusie

I.      Inleiding

1.        Met het onderhavige verzoek om een prejudiciële beslissing stelt het Grondwettelijk Hof (België) een reeks van tien prejudiciële vragen aan het Hof over de uitlegging van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (hierna: „AVG”)(2), alsook over de geldigheid en de uitlegging van richtlijn (EU) 2016/681 van het Europees Parlement en de Raad van 27 april 2016 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit (hierna: „PNR-richtlijn”)(3) en van richtlijn 2004/82/EG van de Raad van 29 april 2004 betreffende de verplichting voor vervoerders om passagiersgegevens door te geven (hierna: „API-richtlijn”)(4). Deze vragen zijn opgeworpen in het kader van een door de Ligue des droits humains (hierna: „LDH”), een vereniging zonder winstoogmerk, ingesteld beroep tot gehele of gedeeltelijke vernietiging van de wet van 25 december 2016 betreffende de verwerking van passagiersgegevens (hierna: „PNR-wet”)(5), waarmee de PNR-richtlijn en de API-richtlijn in Belgisch recht zijn omgezet.

2.        De vragen die het Hof in de onderhavige zaak zal moeten beantwoorden, spelen tegen de achtergrond van een van de grootste dilemma’s waarmee het hedendaagse liberaal-democratische constitutionalisme zich geconfronteerd ziet: hoe moet een evenwicht tussen het individu en de gemeenschap worden gevonden in het datatijdperk, nu digitale technologieën het mogelijk maken om enorme hoeveelheden persoonsgegevens voor prognosedoeleinden te verzamelen, te bewaren, te verwerken en te analyseren? De door de overheden gebruikte algoritmen, big-data-analyses en kunstmatige intelligentie kunnen worden aangewend ter bevordering en bescherming van de fundamentele belangen van de samenleving, en wel met een doeltreffendheid die voordien ondenkbaar was: van de bescherming van de volksgezondheid tot milieuduurzaamheid en van de bestrijding van terrorisme tot de preventie van criminaliteit, en met name van ernstige criminaliteit. Tegelijkertijd kunnen de ongedifferentieerde verzameling van persoonsgegevens en het gebruik van digitale technologieën door de overheden een digitaal panopticum doen ontstaan, dat wil zeggen een alziende overheid die zelf onzichtbaar blijft. Een alwetende macht die eenieders gedrag kan controleren en voorspellen en de nodige maatregelen kan nemen, met uiteindelijk als paradoxaal resultaat, zoals Steven Spielberg in de film Minority Report heeft verbeeld, dat de vrijheid preventief kan worden ontnomen aan de pleger van een strafbaar feit dat nog niet heeft plaatsgevonden. Zoals bekend prevaleert in sommige landen de gemeenschap boven het individu en kunnen persoonsgegevens daar legitiem worden gebruikt voor het uitvoeren van massasurveillance met het oog op de bescherming van als fundamenteel beschouwde openbare belangen. Omgekeerd werpt het Europese – nationale en supranationale – constitutionalisme, dat een centrale plaats toekent aan het individu en zijn vrijheden, een belangrijke dam op tegen de komst van een massasurveillancesamenleving, vooral na de erkenning van de grondrechten op de bescherming van de persoonlijke levenssfeer en van persoonsgegevens. In hoeverre kan deze dam echter worden opgeworpen zonder ernstige schade toe te brengen aan bepaalde – zoals de hierboven bij wijze van voorbeeld genoemde – fundamentele belangen van de samenleving die wel degelijk constitutionele aanknopingspunten hebben? Daarmee raken wij aan de kern van het vraagstuk van de relatie tussen individu en gemeenschap in de digitale samenleving. Dit vraagstuk vereist dat, ten eerste, delicate evenwichten tussen de belangen van de gemeenschap en de rechten van het individu worden gezocht en gevonden, daarbij uitgaande van het absolute belang dat in het constitutioneel patrimonium van Europa aan laatstgenoemde rechten wordt gehecht en, ten tweede, waarborgen tegen misbruik worden ingebouwd. Ook hier hebben we te maken met een hedendaagse versie van een klassiek thema van het constitutionalisme, want zoals in de Federalist Papers kernachtig werd verwoord, zijn mensen geen engelen en zijn precies daarom wettelijke instrumenten vereist om de openbare macht te beteugelen en te controleren.

3.        Dat zijn de thema’s van algemene aard die spelen op de achtergrond van de onderhavige conclusie, die zich evenwel dient te beperken tot de uitlegging van het Unierecht in het licht van de eerdere rechtspraak van het Hof, daarbij beproefde technieken hanterend zoals die van de conforme uitlegging. In de onderhavige conclusie zal van die techniek vaak gebruik worden gemaakt, wanneer zulks juridisch mogelijk blijkt, teneinde vanuit constitutioneel oogpunt het noodzakelijke evenwicht te vinden tussen de onderliggende openbare doeleinden van het systeem voor de doorgifte, verzameling en verwerking van persoonsgegevens van passagiers (hierna: „PNR-gegevens”) en de in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) verankerde rechten.

II.    Toepasselijke bepalingen

A.      Unierecht

1.      Handvest

4.        Artikel 7 van het Handvest bepaalt dat „[e]enieder [...] recht [heeft] op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie”.

5.        Artikel 8 van het Handvest luidt als volgt:

„1.      Eenieder heeft recht op bescherming van zijn persoonsgegevens.

2.      Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht van inzake in de over hem verzamelde gegevens en op rectificatie daarvan.

3.      Een onafhankelijke autoriteit ziet erop toe dat deze regels worden nageleefd.”

6.        Overeenkomstig artikel 52, lid 1, van het Handvest moeten „[b]eperkingen op de uitoefening van de in dit handvest erkende rechten en vrijheden [...] bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Met inachtneming van het evenredigheidsbeginsel kunnen slechts beperkingen worden gesteld, indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.”

2.      AVG

7.        Artikel 2, lid 2, onder d), AVG sluit de verwerking van persoonsgegevens „door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid” uit van het toepassingsgebied van deze verordening.

8.        Artikel 23, lid 1, onder d), AVG luidt als volgt:

„De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 22, kan door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:

[...]

d)      de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid”.

3.      PNR-richtlijn

9.        Ik beperk mij hieronder tot een beknopt overzicht van de werking van het door de PNR-richtlijn ingestelde systeem. Nadere bijzonderheden over de inhoud van de voor de beantwoording van de prejudiciële vragen relevante bepalingen van de PNR-richtlijn zullen volgen in het kader van de juridische beoordeling.

10.      De PNR-richtlijn, die is vastgesteld op grond van artikel 82, lid 1, onder d), VWEU en artikel 87, lid 2, onder a), VWEU, stelt overeenkomstig artikel 1 ervan een Uniebreed systeem in voor de doorgifte door luchtvaartmaatschappijen van PNR-gegevens van vluchten naar of vanuit derde landen(6), alsook voor het verzamelen, verwerken en bewaren van deze gegevens door de bevoegde autoriteiten van de lidstaten met het oog op de bestrijding van terrorisme en ernstige criminaliteit.

11.      Overeenkomstig artikel 3, punt 5, van deze richtlijn is het „Passenger Name Record” of „PNR” een „bestand met de reisgegevens van iedere passagier, dat informatie bevat die de boekende en de deelnemende luchtvaartmaatschappijen nodig hebben om reserveringen te kunnen verwerken en controleren bij elke reis die door of namens iemand wordt geboekt; dit bestand kan zich bevinden in een reserveringssysteem, een vertrekcontrolesysteem dat wordt gebruikt bij het inchecken van passagiers op vluchten, of een soortgelijk systeem dat dezelfde functies vervult”.

12.      In bijlage I bij de PNR-richtlijn (hierna: „bijlage I”) staan de door luchtvaartmaatschappijen verzamelde PNR-gegevens opgesomd die overeenkomstig artikel 8 van deze richtlijn en op de daarin bepaalde wijze moeten worden doorgegeven.

13.      Bijlage II bij de PNR-richtlijn (hierna: „bijlage II”) bevat de lijst van strafbare feiten die worden beschouwd als „ernstige criminaliteit” in de zin van artikel 3, punt 9, van deze richtlijn.

14.      Artikel 2 van de PNR-richtlijn voorziet in de mogelijkheid dat de lidstaten deze richtlijn ook toepassen op „vluchten binnen de EU”(7) of uitsluitend op geselecteerde vluchten binnen de EU welke „noodzakelijk” worden geacht met het oog op het nastreven van de doelstellingen van genoemde richtlijn.

15.      Artikel 4, lid 1, van de PNR-richtlijn bepaalt dat „[e]lke lidstaat [...] een instantie [opricht] of [...] een bestaande instantie [aanwijst] die bevoegd is terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken of te vervolgen, of [...] een afdeling van een dergelijke instantie [aanwijst], om op te treden als zijn passagiersinformatie-eenheid (‚PIE’)”. Overeenkomstig lid 2, onder a), van dit artikel 4 heeft de PIE met name tot taak om de PNR-gegevens van de luchtvaartmaatschappijen te verzamelen, op te slaan en te verwerken, en die gegevens of het resultaat van de verwerking ervan aan de in artikel 7 van de PNR-richtlijn bedoelde bevoegde instanties door te geven. Overeenkomstig lid 2 van dit artikel 7 zijn deze instanties „instanties die bevoegd zijn om terroristische misdrijven of ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken of te vervolgen”.(8)

16.      Artikel 6, lid 1, tweede volzin, van de PNR-richtlijn bepaalt dat „indien de door de luchtvaartmaatschappij doorgegeven PNR-gegevens andere dan de in bijlage I vermelde PNR-gegevens bevatten, [...] zij door de PIE onmiddellijk na ontvangst definitief [worden] gewist”. Lid 2 van dit artikel luidt als volgt:

„De PIE verwerkt de PNR-gegevens uitsluitend voor de volgende doeleinden:

a)      het beoordelen van de passagiers vóór hun geplande aankomst in of gepland vertrek uit de lidstaat, om te bepalen welke personen moeten worden onderworpen aan een nader onderzoek door de in artikel 7 bedoelde bevoegde instanties, en, in voorkomend geval, door Europol overeenkomstig artikel 10, omdat zij betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit;

b)      het per geval inwilligen van een op afdoende gronden gebaseerd, gemotiveerd verzoek van de bevoegde instanties om in bepaalde gevallen PNR-gegevens te verstrekken en te verwerken voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven of ernstige criminaliteit, en de resultaten van deze verwerking aan die instanties of, in voorkomend geval, aan Europol mee te delen; en

c)      het analyseren van PNR-gegevens voor het bijstellen van bestaande of het formuleren van nieuwe criteria die moeten worden gebruikt bij de beoordelingen die worden verricht op grond van lid 3, onder b), om te bepalen welke personen betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit.”

17.      In artikel 12 van de PNR-richtlijn is de bewaring van PNR-gegevens geregeld.

18.      Artikel 5 van de PNR-richtlijn bepaalt dat elke PIE een functionaris voor gegevensbescherming benoemt die belast is met het toezicht op de verwerking van PNR-gegevens en met de uitvoering van desbetreffende waarborgen. Bovendien moet elke lidstaat overeenkomstig artikel 15 van deze richtlijn de nationale toezichthoudende autoriteit als bedoeld in artikel 25 van kaderbesluit 2008/977/JBZ(9), thans vervangen door richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (hierna: „politierichtlijn”)(10), belasten met het toezicht op de toepassing op zijn grondgebied van de krachtens deze richtlijn vastgestelde bepalingen. Deze autoriteit, die haar taken uitvoert met het oog op de bescherming van de grondrechten in verband met de verwerking van persoonsgegevens(11), is belast met het behandelen van klachten die door betrokkenen zijn ingediend, het onderzoeken van de zaak en het informeren van betrokkenen binnen een redelijke termijn over de voortgang en het resultaat van de behandeling van hun klachten, en voorts met het controleren van de rechtmatigheid van de gegevensverwerking en het verrichten van onderzoek, inspecties en controles in het kader van toezicht overeenkomstig nationaal recht, hetzij op eigen initiatief, hetzij op basis van een klacht.(12)

4.      Andere relevante rechtshandelingen van de Unie 

19.      De op het onderhavige geval toepasselijke bepalingen van Unierecht worden aangevuld met de API-richtlijn en de politierichtlijn. Ter wille van de leesbaarheid van deze conclusie zullen de relevante bepalingen van deze handelingen inhoudelijk worden toegelicht in zoverre zulks noodzakelijk blijkt voor de behandeling van vraagstukken waarop zij betrekking hebben of, meer algemeen, ten behoeve van de juridische beoordeling.

B.      Belgisch recht

20.      Overeenkomstig artikel 22 van de Belgische Grondwet heeft „[i]eder [...] recht op eerbiediging van zijn privéleven en zijn gezinsleven, behoudens in de gevallen en onder de voorwaarden door de wet bepaald”.

21.      Volgens artikel 2 van de PNR-wet worden de API-richtlijn, de PNR-richtlijn en, zij het gedeeltelijk, richtlijn 2010/65/EU(13) bij deze wet in Belgisch recht omgezet.

22.      Overeenkomstig artikel 3, § 1, ervan bepaalt de PNR-wet „de verplichtingen van de vervoerders en de reisoperatoren inzake de doorgifte van gegevens van passagiers van, naar en op doorreis over het nationaal grondgebied”. Overeenkomstig artikel 4, punten 1 en 2, van deze wet wordt verstaan onder „vervoerder”, „elke natuurlijke of rechtspersoon die het beroepsmatige vervoer van personen door de lucht, over het water, over het spoor of over de weg verricht”, en onder „reisoperator”, „elke reisorganisator of -bemiddelaar in de zin van de wet van 16 februari 1994 tot regeling van het contract tot reisorganisatie en reisbemiddeling”.

23.      Artikel 8 van de PNR-wet luidt als volgt:

„§ l.      De passagiersgegevens worden verwerkt met het oog op:

1°      het opsporen en vervolgen, met inbegrip van de uitvoering van straffen of vrijheidsbeperkende maatregelen, met betrekking tot misdrijven bedoeld in artikel 90 ter, § 2, [...] 7°, [...] 8°, [...] 11°, [...] 14°, [...] 17°, 18°, 19° en § 3, van het Wetboek van Strafvordering;

2°      het opsporen en vervolgen, met inbegrip van de uitvoering van straffen of vrijheidsbeperkende maatregelen, met betrekking tot misdrijven bedoeld in de artikelen 196, voor wat betreft valsheid in authentieke en openbare geschriften, 198, 199, 199bis, 207, 213, 375 en 505 van het Strafwetboek;

3°      de preventie van ernstige inbreuken op de openbare veiligheid in het kader van gewelddadige radicalisering door het toezien op fenomenen en groeperingen overeenkomstig artikel 44/5, § 1, 2° en 3° en § 2, van de wet van 5 augustus 1992 op het politieambt;

4°      het toezien op activiteiten bedoeld in de artikelen 7, 1° en 3°/1, en 11, § 1, 1° tot 3° en 5°, van de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst(14);

5°      het opsporen en vervolgen van de misdrijven bedoeld in artikel 220, § 2, van de algemene wet van 18 juli 1977 inzake douane en accijnzen, en artikel 45, derde lid, van de wet van 22 december 2009 betreffende de algemene regeling inzake accijnzen [...].

§ 2.      Onder de voorwaarden bepaald in hoofdstuk 11, worden de passagiersgegevens eveneens verwerkt ter verbetering van de controles van personen aan de buitengrenzen en ter bestrijding van illegale immigratie.”

24.      Artikel 9 van de PNR-wet geeft een opsomming van de door te geven gegevens. Deze gegevens stemmen overeen met die welke in bijlage I zijn opgesomd.

25.      Overeenkomstig artikel 18 van de PNR-wet worden „de passagiersgegevens [...] in de passagiersgegevensbank bewaard gedurende een maximale termijn van vijf jaar, te rekenen vanaf de registratie ervan. Aan het eind van deze termijn worden ze vernietigd”.

26.      Artikel 19 van genoemde wet bepaalt dat „[n]a een periode van zes maanden vanaf het registreren van de passagiersgegevens in de passagiersgegevensbank, [...] alle passagiersgegevens [worden] gedepersonaliseerd [...] door afscherming van [...] gegevenselementen [...]”.

27.      Artikel 24 van de PNR-wet luidt als volgt:

„§ 1.      De passagiersgegevens worden verwerkt met het oog op het uitvoeren van een voorafgaande beoordeling van de passagiers vóór hun geplande aankomst in, vertrek uit of doorreis over het nationaal grondgebied om te bepalen welke personen moeten worden onderworpen aan een nader onderzoek.

§ 2.      In het kader van de doelen beoogd in artikel 8, § 1, 1°, 2°, 4° en 5°, of met betrekking tot de bedreigingen vermeld in de artikelen 8, 1°, a), b), c), d), f), g), en 11, § 2, van de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst, berust de voorafgaande beoordeling van de passagiers op een positieve overeenstemming, voortvloeiende uit een correlatie van de passagiersgegevens met:

1°      de gegevensbanken die door de bevoegde diensten worden beheerd of die voor hen rechtstreeks beschikbaar of toegankelijk zijn in het kader van hun opdrachten of met lijsten van personen die worden opgesteld door de bevoegde diensten in het kader van hun opdrachten.

2°      de door de PIE vooraf bepaalde beoordelingscriteria, bedoeld in artikel 25.

§ 3.      In het kader van de doeleinden beoogd in artikel 8, § 1, 3°, berust de voorafgaande beoordeling van de passagiers op een positieve overeenstemming, voortvloeiende uit een correlatie van de passagiersgegevens met de gegevensbanken bedoeld in § 2, 1°.

[...]”

28.      In artikel 25 van de PNR-wet is de inhoud van artikel 6, lid 4, van de PNR-richtlijn overgenomen.

29.      Hoofdstuk 11 van de PNR-wet regelt de verwerking van de passagiersgegevens ter verbetering van de grenscontroles en ter bestrijding van de illegale immigratie. Bij deze bepalingen is de API-richtlijn in Belgisch recht omgezet.

30.      Artikel 44 van de PNR-wet bepaalt dat de PIE een functionaris voor de gegevensbescherming aanwijst binnen de Federale Overheidsdienst Binnenlandse Zaken. Het toezicht op de toepassing van de bepalingen van de PNR-wet wordt uitgeoefend door de Commissie voor de bescherming van de persoonlijke levenssfeer.

31.      Artikel 51 van de PNR-wet wijzigt de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst door invoeging van een nieuw artikel 16/3, dat is verwoord als volgt:

„§ 1.      De inlichtingen- en veiligheidsdiensten kunnen, in het belang van de uitoefening van hun opdrachten, mits afdoende motivering, beslissen om toegang te hebben tot de passagiersgegevens bedoeld in artikel 27 van de [PNR-wet].

§ 2.      De in § 1 bedoelde beslissing wordt door een diensthoofd genomen en schriftelijk overgemaakt aan de Passagiersinformatie-eenheid bedoeld in hoofdstuk 7 van voormelde wet. De beslissing wordt met de motivering van deze beslissing aan het Vast Comité I betekend.

Het Vast Comité I verbiedt de inlichtingen- en veiligheidsdiensten om gebruik te maken van de gegevens die verzameld werden in omstandigheden die niet aan de wettelijke voorwaarden voldoen.

De beslissing kan betrekking hebben op een geheel van gegevens die betrekking hebben op een specifiek inlichtingenonderzoek. In dit geval wordt de lijst van de raadplegingen van de passagiersgegevens een keer per maand aan het Vast Comité I doorgegeven.”

C.      Hoofdgeding, prejudiciële vragen en procedure bij het Hof

32.      Bij verzoekschrift van 24 juli 2017 heeft de LDH bij het Grondwettelijk Hof beroep ingesteld tot volledige of gedeeltelijke vernietiging van de PNR-wet. Ter ondersteuning daarvan heeft zij twee middelen aangevoerd.

33.      Met haar eerste – primair aangevoerde – middel, ontleend aan schending van artikel 22 van de Belgische Grondwet, gelezen in samenhang met artikel 23 AVG, de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest en artikel 8 van het op 4 november 1950 te Rome ondertekende Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM), stelt de LDH dat de bestreden wet niet in overeenstemming is met het evenredigheidsbeginsel vanuit het oogpunt van haar toepassingsgebied, de beoogde categorieën van gegevens, de gegevensverwerkingen die zij invoert, haar doelstellingen en de bewaartermijn van de gegevens. Met name betoogt zij dat de definitie van de PNR-gegevens te ruim is en kan leiden tot de onthulling van gevoelige gegevens, en dat de in deze wet opgenomen definitie van het begrip „passagier” de mogelijkheid biedt om de gegevens van alle betrokken passagiers stelselmatig te verzamelen zonder enig onderscheid te maken. Bovendien voert de LDH aan dat de PNR-wet de aard en de wijze van uitvoering van de „pre-screening” in de passagiersdatabanken, alsook de als „dreigingsindicatoren” gehanteerde criteria, onvoldoende duidelijk omschrijft. Tot slot is zij van mening dat de PNR-wet verder gaat dan strikt noodzakelijk is, in die zin dat zij met de verwerking van de PNR-gegevens ruimere doelstellingen beoogt dan die welke volgens de PNR-richtlijn zijn toegestaan, en dat de bewaartermijn van vijf jaar voor de PNR-gegevens onevenredig is. Met haar tweede – subsidiair aangevoerde – middel inzake schending van artikel 22 van de Belgische Grondwet, gelezen in samenhang met artikel 3, lid 2, VEU en artikel 45 van het Handvest, komt de LDH op tegen de bepalingen van hoofdstuk 11 van de PNR-wet, waarbij de API-richtlijn in nationaal recht is omgezet.

34.      Als interveniënt voor het Grondwettelijk Hof betwist de Ministerraad van het Koninkrijk België het door de LDH ingestelde beroep en werpt hij zowel de niet-ontvankelijkheid als de ongegrondheid op van de twee ter ondersteuning ervan aangevoerde middelen.

35.      Het Grondwettelijk Hof, van zijn kant, brengt de volgende overwegingen naar voren.

36.      Wat het eerste middel betreft, stelt het zich allereerst de vraag of de in bijlage I opgenomen definitie van PNR-gegevens voldoende duidelijk en nauwkeurig is. De beschrijving van sommige van deze gegevens heeft een illustratief en niet-uitputtend karakter. Vervolgens merkt genoemde rechterlijke instantie op dat de in artikel 3, punt 4, van de PNR-richtlijn opgenomen definitie van het begrip „passagier” tot gevolg heeft dat van elke persoon die wordt vervoerd of moet worden vervoerd en die op de passagierslijst is ingeschreven, de PNR-gegevens moeten worden verzameld, doorgegeven, verwerkt en bewaard, ongeacht of er ernstige redenen zijn om te geloven dat de betrokken persoon een strafbaar feit heeft gepleegd of op het punt staat een strafbaar feit te plegen, of aan een strafbaar feit schuldig is bevonden. Wat de verwerking van PNR-gegevens betreft, merkt het Grondwettelijk Hof op dat deze gegevens stelselmatig een voorafgaande beoordeling ondergaan waarbij de PNR-gegevens van alle passagiers worden gecorreleerd met databanken of met vooraf bepaalde criteria teneinde overeenstemmingen vast te stellen. Genoemde rechterlijke instantie wijst er echter op dat hoewel deze criteria specifiek, betrouwbaar en niet-discriminerend dienen te zijn, het haar technisch onmogelijk lijkt om de vooraf bepaalde criteria die zullen dienen om risicoprofielen vast te stellen, nader te definiëren. Aangaande de in artikel 12, lid 1, van de PNR-richtlijn vastgestelde bewaartermijn van de PNR-gegevens, die overeenkomstig die bepaling gedurende een termijn van vijf jaar kunnen worden bewaard, is de verwijzende rechter van oordeel dat de PNR-gegevens worden bewaard zonder onderscheid of de betrokken passagiers, in het kader van de voorafgaande beoordeling, al dan niet een risico kunnen vormen voor de openbare veiligheid. In die omstandigheden, en met name gelet op de rechtspraak die onder meer voortvloeit uit het arrest van 21 december 2016, Tele2 Sverige en Watson e.a.(15), en advies 1/15 (PNR-overeenkomst EU-Canada) van 26 juli 2017(16), vraagt de verwijzende rechter zich af of het door de PNR-richtlijn ingestelde systeem voor verzameling, doorgifte, verwerking en bewaring van PNR-gegevens kan worden geacht niet verder te gaan dan strikt noodzakelijk is. Tegen deze achtergrond vraagt genoemde rechterlijke instantie zich ook af of de PNR-richtlijn zich verzet tegen een nationale regeling als die welke voortvloeit uit artikel 8, § 1, punt 4, van de PNR-wet en die de verwerking van PNR-gegevens toestaat voor andere doeleinden dan waarin deze richtlijn voorziet. Tot slot vraagt zij zich af of de PIE kan worden beschouwd als een „andere nationale instantie” die op grond van artikel 12, lid 3, onder b), ii), van de PNR-richtlijn bevoegd is om na afloop van een termijn van zes maanden mededeling van de volledige PNR-gegevens toe te staan. Wat het tweede middel betreft, merkt de verwijzende rechter op dat dit gericht is tegen artikel 3, § 1, artikel 8, § 2, en de artikelen 28 tot en met 31 van de PNR-wet, die zien op de verzameling en verwerking van passagiersgegevens met het oog op de bestrijding van illegale immigratie en de verbetering van de controles aan de buitengrenzen. Na in herinnering te hebben gebracht dat deze wet volgens het eerstgenoemde artikel betrekking heeft op vluchten van, naar en op doorreis over het nationaal grondgebied, wijst deze rechterlijke instantie erop dat de nationale wetgever ook „intra-EU” vluchten in de werkingssfeer van genoemde wet had opgenomen teneinde „een vollediger beeld te krijgen van de verplaatsingen van passagiers die een potentiële bedreiging vormen voor de intracommunautaire en nationale veiligheid”, daarbij gebruikmakend van de mogelijkheid van artikel 2 van de PNR-richtlijn, gelezen in samenhang met overweging 10 ervan.

37.      In die omstandigheden heeft het Grondwettelijk Hof de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vragen voorgelegd:

„1)      Dient artikel 23 [AVG], in samenhang gelezen met artikel 2, lid 2, d), van die verordening, in die zin te worden geïnterpreteerd dat het van toepassing is op een nationale wetgeving zoals de [PNR-wet], die niet enkel de [PNR-richtlijn] omzet, alsook de [API-richtlijn] en [richtlijn 2010/65]?

2)      Is bijlage I [...] bestaanbaar met de artikelen 7, 8 en 52, lid 1, van het [Handvest], in die zin dat de erin opgesomde gegevens zeer ruim zijn – onder meer de gegevens die worden beoogd in punt 18 van [deze bijlage I], die verder gaan dan de gegevens beoogd in artikel 3, lid 2, van de [API-richtlijn] – en doordat die gegevens, in hun geheel beschouwd, gevoelige gegevens zouden kunnen onthullen, en aldus de grenzen van het ‚strikt noodzakelijke’ zou kunnen overschrijden?

3)      Zijn de punten 12 en 18 van bijlage I [...] bestaanbaar met de artikelen 7, 8 en 52, lid 1, van het [Handvest], in zoverre, rekening houdend met de bewoordingen ‚onder meer’ en ‚met inbegrip van’, de erin beoogde gegevens bij wijze van voorbeeld en niet exhaustief worden vermeld, zodat de vereiste van nauwkeurigheid en duidelijkheid van de regels die leiden tot een inmenging in het recht op eerbiediging van het privéleven en in het recht op bescherming van de persoonsgegevens niet in acht zou zijn genomen?

4)      Zijn artikel 3, punt 4, van de [PNR-richtlijn] en bijlage I [...] bestaanbaar met de artikelen 7, 8 en 52, lid 1, van het [Handvest], in zoverre het systeem van het algemeen verzamelen, doorgeven en verwerken van passagiersgegevens dat die bepalingen instellen, iedere persoon beoogt die het desbetreffende vervoersmiddel gebruikt, los van elk objectief element dat het mogelijk maakt ervan uit te gaan dat die persoon een risico voor de openbare veiligheid kan vormen?

5)      Dient artikel 6 van de [PNR-richtlijn], in samenhang gelezen met de artikelen 7, 8 en 52, lid 1, van het [Handvest], aldus te worden uitgelegd dat het zich verzet tegen een nationale wetgeving zoals de bestreden wet, die, als doel van de ‚PNR-gegevensverwerking’, het toezien op door de inlichtingen- en veiligheidsdiensten beoogde activiteiten aanvaardt, waarbij het dat doel aldus opneemt in het voorkomen, het opsporen, het onderzoeken en het vervolgen van terroristische misdrijven en ernstige criminaliteit?

6)      Is artikel 6 van de [PNR-richtlijn] bestaanbaar met de artikelen 7, 8 en 52, lid 1, van het [Handvest], in zoverre de voorafgaande beoordeling die daarin wordt geregeld, door een correlatie met de gegevensbanken en de vooraf bepaalde criteria, stelselmatig en op algemene wijze van toepassing is op de passagiersgegevens, los van elk objectief element dat toelaat ervan uit te gaan dat die passagiers een risico kunnen vormen voor de openbare veiligheid?

7)      Kan het begrip ‚andere bevoegde nationale instantie’ bepaald in artikel 12, lid 3, van de [PNR-richtlijn] zo worden geïnterpreteerd dat het de PIE beoogt die bij de [PNR-wet] is opgericht en die derhalve de toegang tot de ‚PNR-gegevens’, na een termijn van zes maanden, in het kader van de gerichte opzoekingen zou kunnen toestaan?

8)      Dient artikel 12 van de [PNR-richtlijn], in samenhang gelezen met de artikelen 7, 8 en 52, lid 1, van het [Handvest], zo te worden geïnterpreteerd dat het zich verzet tegen een nationale wetgeving zoals de bestreden wet die voorziet in een algemene bewaartermijn van de gegevens van vijf jaar, zonder onderscheid of de betrokken passagiers, in het kader van de voorafgaande beoordeling, al dan niet een risico kunnen vormen voor de openbare veiligheid?

9)      a)      Is de [API-richtlijn] bestaanbaar met artikel 3, lid 2, [VEU] en met artikel 45 van het [Handvest], in zoverre de daarbij ingevoerde verplichtingen van toepassing zijn op de vluchten binnen de [Unie]?

b)      Dient de [API-richtlijn], in samenhang gelezen met artikel 3, lid 2, [VEU] en met artikel 45 van het [Handvest], zo te worden geïnterpreteerd dat zij zich verzet tegen een nationale wetgeving zoals de bestreden wet die, met het oog op de strijd tegen illegale immigratie en het verbeteren van de grenscontroles, een systeem toestaat voor de verzameling en verwerking van de passagiersgegevens ‚van, naar en op doorreis over het nationaal grondgebied’, hetgeen indirect een herinvoering van de controles aan de binnengrenzen zou kunnen impliceren?

10)      Zou het Grondwettelijk Hof, indien het op grond van de antwoorden op de hiervoor weergegeven prejudiciële vragen, tot de conclusie zou komen dat de bestreden wet, die met name de [PNR-richtlijn] omzet, één of meer van de uit de in die vragen vermelde bepalingen voortvloeiende verplichtingen schendt, de gevolgen van de [PNR-wet] tijdelijk kunnen handhaven teneinde rechtsonzekerheid te voorkomen en het mogelijk te maken dat de voorheen verzamelde en bewaarde gegevens alsnog kunnen worden gebruikt voor de door [deze] wet beoogde doelstellingen?”

38.      Overeenkomstig artikel 23 van het Statuut van het Hof van Justitie van de Europese Unie zijn schriftelijke opmerkingen ingediend door de LDH, de Belgische, de Tsjechische, de Deense, de Duitse, de Estse, de Ierse, de Spaanse, de Franse, de Cypriotische, de Letse, de Nederlandse, de Oostenrijkse, de Poolse en de Finse regering, alsook door het Europees Parlement, de Raad van de Europese Unie en de Europese Commissie. Overeenkomstig artikel 24 van het Statuut van het Hof van Justitie van de Europese Unie zijn de Commissie, de Europese Toezichthouder voor gegevensbescherming (ETGB) en het Bureau van de Europese Unie voor de grondrechten (FRA) uitgenodigd om schriftelijk te reageren op door het Hof gestelde vragen. Op 13 juli 2021 heeft een pleitzitting plaatsgevonden.

III. Beoordeling

A.      Eerste prejudiciële vraag

39.      Met zijn eerste prejudiciële vraag wenst de verwijzende rechter in wezen van het Hof te vernemen of artikel 2, lid 2, onder d), AVG aldus moet worden uitgelegd dat deze verordening, en met name artikel 23, lid 1, ervan, volgens hetwelk de reikwijdte van de verplichtingen en rechten als bedoeld in deze verordening op grond van limitatief opgesomde redenen kan worden beperkt door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel, van toepassing is op de verwerking van gegevens op grond van een nationale wetgeving, zoals de PNR-wet, waarbij de PNR-richtlijn, de API-richtlijn en richtlijn 2010/65 in nationaal recht zijn omgezet.

40.      Artikel 2, lid 2, AVG voorziet in uitsluitingen van het toepassingsgebied van deze verordening, zoals dit zeer ruim(17) is afgebakend in artikel 2, lid 1, ervan.(18) Als afwijkingen van de toepassing van een regeling inzake de verwerking van persoonsgegevens die afbreuk kan doen aan de fundamentele vrijheden, moeten deze uitzonderingen strikt worden uitgelegd.(19)

41.      Artikel 2, lid 2, onder d), AVG bevat met name een uitsluitingsbepaling volgens welke deze verordening niet van toepassing is op de verwerking van persoonsgegevens „door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid”. Deze uitsluitingsbepaling is gestoeld op een subjectief en objectief tweeledig criterium. Aldus zijn van het toepassingsgebied van voornoemde verordening de verwerkingen van persoonsgegevens uitgesloten die worden verricht, ten eerste, door „de bevoegde autoriteiten” en, ten tweede, voor de in deze bepaling opgesomde doelstellingen. Bijgevolg moeten de verschillende soorten gegevensverwerkingen waarin de PNR-wet voorziet, in het licht van dit tweeledige criterium worden beoordeeld.

42.      Wat in de eerste plaats de verwerkingen van gegevens betreft die door de vervoerders (door de lucht, over het spoor, over de weg en over het water) ten behoeve van de PIE of door de reisoperatoren met het oog op dienstverlening of voor commerciële doeleinden worden uitgevoerd, zij opgemerkt dat deze verwerkingen, voor zover bedoeld in die wet, beheerst blijven door de AVG, aangezien noch is voldaan aan het subjectieve deel, noch aan het objectieve deel van het in artikel 2, lid 2, onder d), van deze verordening vervatte uitsluitingscriterium.

43.      Wat in de tweede plaats de doorgifte, door vervoerders of reisoperatoren, van PNR-gegevens aan de PIE betreft, hetgeen als zodanig een „verwerking” vormt in de zin van artikel 4, punt 2, AVG(20), is de opneming ervan in het toepassingsgebied van deze verordening minder voor de hand liggend.

44.      Ten eerste wordt deze doorgifte immers niet uitgevoerd door een „bevoegde autoriteit” in de zin van artikel 3, punt 7, van de politierichtlijn, waarnaar naar analogie moet worden verwezen bij gebreke van een omschrijving van dit begrip in de AVG.(21) Een marktdeelnemer zoals een vervoerder of een reisoperator, op wie alleen de wettelijke verplichting rust om persoonsgegevens door te geven en aan wie geen openbare bevoegdheden zijn verleend(22), kan niet worden beschouwd als een instantie of orgaan in de zin van genoemd artikel 3, punt 7, onder b).(23)

45.      Ten tweede worden de PNR-gegevens door de vervoerders en reisoperatoren doorgegeven in uitvoering van een verplichting die hun bij wet is opgelegd teneinde de in artikel 2, lid 2, onder d), AVG genoemde doeleinden na te streven.

46.      Mijns inziens blijkt evenwel duidelijk uit de bewoordingen van deze bepaling dat alleen verwerkingen die zowel aan het subjectieve als het objectieve deel van het daarin genoemde uitsluitingscriterium voldoen, buiten het toepassingsgebied van de AVG vallen. De bij de PNR-wet aan de vervoerders en reisoperatoren opgelegde verplichting tot doorgifte van PNR-gegevens aan de PIE, valt bijgevolg binnen het toepassingsgebied van deze verordening.

47.      Wat betreft de bepalingen van de PNR-wet tot omzetting van de PNR-richtlijn, vindt deze gevolgtrekking steun in artikel 21, lid 2, van genoemde richtlijn, hetwelk bepaalt dat zij „geen afbreuk [doet] aan de toepasselijkheid van richtlijn 95/46/EG(24) op de verwerking van persoonsgegevens door luchtvaartmaatschappijen”. Het argument dat deze bepaling, zoals met name de Franse regering suggereert, aldus moet worden gelezen dat zij alleen voorschrijft dat de vervoerders onderworpen blijven aan de in de AVG vastgestelde verplichtingen inzake de verwerking van gegevens waarin de PNR-richtlijn niet voorziet, moet mijns inziens worden afgewezen. Gelet op haar bewoordingen heeft deze „vrijwaringsclausule” immers een ruime draagwijdte die uitsluitend aanknoopt bij de persoon die de gegevensverwerkingshandeling uitvoert, aangezien geen melding wordt gemaakt van de doeleinden van de verwerking of van de context waarin deze plaatsvindt, namelijk of zij wordt uitgevoerd in het kader van de bedrijfsvoering van de luchtvaartmaatschappij of in uitvoering van een wettelijke verplichting. Bovendien zij opgemerkt dat een clausule met dezelfde strekking is vervat in artikel 13, lid 3, van de PNR-richtlijn, waarin uitdrukkelijk wordt verwezen naar de krachtens de AVG op de luchtvaartmaatschappijen rustende verplichtingen „om passende technische en organisatorische maatregelen te treffen met het oog op de bescherming van de veiligheid en vertrouwelijkheid van persoonsgegevens”. Deze bepaling maakt echter deel uit van die welke zien op de bescherming van persoonsgegevens die krachtens de PNR-richtlijn worden verwerkt en komt na artikel 13, lid 1, van genoemde richtlijn, hetwelk in algemene zin bepaalt dat elke verwerking van persoonsgegevens krachtens deze richtlijn onderworpen is aan de aldaar genoemde bepalingen van kaderbesluit 2008/977. Anders dan de Franse regering betoogt, maakt deze normatieve structuur het mogelijk om, ten eerste, lid 3 van genoemd artikel 13 te lezen als een clausule waarbij de enige verwerking van gegevens als bedoeld in de PNR-richtlijn die niet wordt uitgevoerd door een „bevoegde autoriteit” in de zin van de politierichtlijn onder het toepassingsgebied van de AVG wordt gebracht, en, ten tweede, de verwijzing naar de naleving van de door genoemde verordening opgelegde verplichtingen inzake beveiliging en vertrouwelijkheid van gegevens te begrijpen als een herinnering aan de waarborgen die moeten worden geboden wanneer de vervoerders PNR-gegevens aan de PIE’s doorgeven.

48.      Aan de conclusie in punt 46 van de onderhavige conclusie wordt niet afgedaan door overweging 19 AVG en overweging 11 van de politierichtlijn, waarnaar onder meer de Duitse, de Ierse en de Franse regering verwijzen ter ondersteuning van hun betoog dat het bij de PNR-richtlijn om een lex specialis gaat. In dit verband is het weliswaar juist dat deze richtlijn met betrekking tot de door haar geregelde verwerking van persoonsgegevens een wettelijk kader instelt voor bescherming van deze gegevens dat autonoom is ten opzichte van de AVG. Dit specifieke kader is echter alleen van toepassing op verwerkingen van PNR-gegevens die worden uitgevoerd door een „bevoegde autoriteit” in de zin van artikel 3, punt 7, van de politierichtlijn, waartoe met name de PIE’s behoren, terwijl het doorgeven van PNR-gegevens aan de PIE’s beheerst blijft door het bij de AVG ingestelde algemene kader, onder meer krachtens de „vrijwaringsclausule” van artikel 21, lid 2, van de PNR-richtlijn.

49.      Ter ondersteuning van hun betoog dat de AVG niet van toepassing is op de doorgifte, door vervoerders en reisoperatoren, van PNR-gegevens aan de PIE, verwijzen de Belgische, de Ierse, de Franse en de Cypriotische regering naar het arrest van 30 mei 2006, Parlement/Raad en Commissie(25), waarin het Hof voor recht heeft verklaard dat de doorgifte door communautaire luchtvaartmaatschappijen van PNR-gegevens aan de autoriteiten van de Verenigde Staten in het kader van een tussen laatstgenoemde en de Europese Gemeenschap gesloten overeenkomst, aan te merken was als een verwerking van persoonsgegevens in de zin van artikel 3, lid 2, eerste streepje, van richtlijn 95/46(26) en derhalve niet binnen het toepassingsgebied viel van deze richtlijn. Om tot deze conclusie te komen, heeft het Hof rekening gehouden met het doeleinde van de doorgifte en met het feit dat deze geschiedde „binnen een door de overheid ingesteld kader dat betrekking heeft op de openbare veiligheid”, ook al werden deze gegevens door particuliere marktdeelnemers verzameld en doorgegeven.(27)

50.      In dit verband volstaat het op te merken dat het Hof in zijn arrest van 6 oktober 2020, La Quadrature du Net e.a.(28), in wezen heeft geoordeeld dat het arrest Parlement/Raad niet mutatis mutandis geldt in de context van de AVG.(29)

51.      Bovendien heeft het Hof in punt 102 van het arrest La Quadrature du Net(30), via een analoge toepassing van de redenering uit het arrest Tele2 Sverige en het arrest van 2 oktober 2018, Ministerio Fiscal(31), bevestigd dat „de [AVG] [...] volgens artikel 2, lid 2, onder d), weliswaar niet van toepassing [is] op verwerkingen die ‚door de bevoegde autoriteiten’ worden verricht met het oog op onder meer de voorkoming en de opsporing van strafbare feiten, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, maar uit artikel 23, lid 1, onder d) en h), van deze verordening blijkt dat verwerkingen van persoonsgegevens die voor diezelfde doeleinden worden verricht door particulieren, binnen de werkingssfeer van deze verordening vallen”.(32)

52.      Om de reeds genoemde redenen ben ik ervan overtuigd dat de conclusie dat de doorgifte van PNR-gegevens door vervoerders en reisoperatoren aan de PIE’s door de AVG wordt beheerst, reeds duidelijk volgt uit de bewoordingen van artikel 2, lid 2, onder d), AVG, welke alleen verwijzen naar de verwerking van persoonsgegevens door de „bevoegde autoriteiten”, zonder dat behoeft te worden gerefereerd aan de beperkingsclausule van artikel 23, lid 1, van genoemde verordening.(33) De vaststelling in punt 102 van het arrest La Quadrature du Net vormt niettemin een duidelijke standpuntbepaling van het Hof ter ondersteuning van een dergelijke conclusie.

53.      Aangezien de doorgifte van PNR-gegevens door vervoerders en reisoperatoren binnen het toepassingsgebied van de AVG valt, vormt een nationale wettelijke regeling zoals de PNR-wet, waarbij deze vervoerders en operatoren tot deze doorgifte worden verplicht, een „wetgevingsmaatregel” in de zin van artikel 23, punt 1, onder d), AVG en dient zij derhalve te voldoen aan de in deze bepaling vastgestelde voorwaarden.(34)

54.      Wat in de derde plaats de verwerking van PNR-gegevens door de PIE’s en de bevoegde nationale instanties betreft, is de toepasselijkheid van de AVG – zoals uit het voorgaande blijkt – afhankelijk van de met deze verwerking beoogde doeleinden.

55.      Zo zijn ten eerste de verwerkingen van PNR-gegevens door de PIE’s en de bevoegde nationale instanties voor de in artikel 8, § 1, punten 1 tot en met 3 en 5, van de PNR-wet(35) genoemde doeleinden uitgesloten van het toepassingsgebied van de AVG, voor zover – en dat lijkt het geval te zijn – genoemde doeleinden behoren tot die welke zijn genoemd in de uitsluitingsbepaling van artikel 2, lid 2, onder d), AVG. De bescherming van de bij deze verwerkingen betrokken persoonsgegevens wordt beheerst door nationaal recht, behoudens de toepassing van de politierichtlijn(36) en, binnen het toepassingsgebied ervan, van de PNR-richtlijn.

56.      Ten tweede geldt hetzelfde voor de verwerkingen van PNR-gegevens door de PIE en de inlichtingen- en veiligheidsdienst in het kader van het toezicht op de activiteiten bedoeld in de in artikel 8, § 1, punt 4, van de PNR-wet opgesomde bepalingen van de wet houdende regeling van de inlichtingen- en veiligheidsdienst, voor zover deze verwerkingen beantwoorden aan de in artikel 2, lid 2, onder d), AVG genoemde doeleinden. Het staat aan de verwijzende rechter om dit te beoordelen.

57.      De Belgische regering betoogt dat de in overeenstemming met artikel 8, § 1, punt 4, van de PNR-wet uitgevoerde verwerkingen in ieder geval vallen onder de uitsluitingsbepaling van artikel 2, lid 2, onder a), AVG, alsook onder die van artikel 2, lid 3, onder a), van de politierichtlijn, aangezien de activiteiten van de inlichtingen- en veiligheidsdienst niet vallen onder de werkingssfeer van het Unierecht.

58.      In dit verband, en erop wijzend dat het Hof niet is verzocht om uitlegging van die bepalingen, zij opgemerkt dat het Hof reeds heeft geoordeeld dat een nationale regeling die verwerkingsverplichtingen aan particuliere marktdeelnemers oplegt, beheerst wordt door de bepalingen van Unierecht inzake de bescherming van persoonsgegevens, ook wanneer zij de bescherming van de nationale veiligheid beoogt.(37) Hieruit volgt dat de bij de PNR-wet aan vervoerders en reisoperatoren opgelegde verplichting tot doorgifte van PNR-gegevens in beginsel onder de AVG valt, ook wanneer deze doorgifte wordt uitgevoerd voor de doeleinden van artikel 8, § 1, punt 4, van deze wet.

59.      Voorts zij opgemerkt dat, hoewel overweging 16 AVG bepaalt dat deze verordening niet van toepassing is op „activiteiten betreffende nationale veiligheid” en overweging 14 van de politierichtlijn preciseert dat „activiteiten die de nationale veiligheid betreffen, activiteiten van agentschappen of eenheden die zich met nationale veiligheidsvraagstukken bezighouden [...] niet als binnen het toepassingsgebied van deze richtlijn vallende activiteiten [mogen] worden beschouwd”, de criteria op grond waarvan een verwerking van persoonsgegevens door een autoriteit, een overheidsdienst of -instantie van een lidstaat binnen de werkingssfeer valt van één of andere rechtshandeling van de Unie die ziet op de bescherming van de betrokkenen met betrekking tot dergelijke verwerkingen dan wel buiten de werkingssfeer valt van dit recht, een logica volgen die zowel samenhangt met de aan deze autoriteit, overheidsdienst of -instantie opgedragen taken als met de doeleinden van genoemde verwerking. Zo heeft het Hof geoordeeld dat artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 van deze verordening, moet worden geacht „enkel tot doel te hebben de verwerking van persoonsgegevens door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of in het kader van activiteiten die in dezelfde categorie kunnen worden ondergebracht, van het toepassingsgebied van die verordening uit te sluiten, zodat het feit dat een activiteit kenmerkend is voor de staat of voor een overheidsinstantie, op zichzelf niet volstaat opdat die uitzondering automatisch op die activiteit van toepassing is”.(38) Voorts heeft het Hof gepreciseerd dat „[d]e in artikel 2, lid 2, onder a), AVG bedoelde activiteiten die ertoe strekken de nationale veiligheid te beschermen, [...] met name [...] de activiteiten [bestrijken] die tot doel hebben de essentiële functies van de staat en de fundamentele belangen van de samenleving te beschermen”.(39) Hieruit volgt dat wanneer een lidstaat zijn inlichtingen- en veiligheidsdienst taken opdraagt op de in artikel 3, punt 7, onder a), van de politierichtlijn genoemde gebieden, de door deze diensten uitgevoerde gegevensverwerkingshandelingen ter uitvoering van deze taken binnen het toepassingsgebied van deze richtlijn alsook, in voorkomend geval, van de PNR-richtlijn vallen. Meer in algemeen zij opgemerkt dat het Hof bij de uitlegging van artikel 4, lid 2, VEU, waarop onder andere de Belgische regering zich beroept, herhaaldelijk heeft geoordeeld dat het enkele feit dat een nationale maatregel is genomen met het oog op de bescherming van de nationale veiligheid, niet ertoe kan leiden dat het Unierecht niet van toepassing is en dat de lidstaten worden ontheven van de verplichting om dit recht te eerbiedigen(40), en zich dus terughoudend heeft opgesteld ten aanzien van een automatische en ongedifferentieerde uitsluiting van de activiteiten van de lidstaten in verband met de bescherming van de nationale veiligheid van de werkingssfeer van het Unierecht.

60.      Ten derde moet, overeenkomstig het standpunt van alle belanghebbenden die opmerkingen hebben ingediend, met uitzondering van de Franse regering, worden vastgesteld dat de door de bevoegde Belgische autoriteiten uitgevoerde verwerkingen van PNR-gegevens voor de in artikel 8, § 2, van de PNR-wet genoemde doeleinden, namelijk de „verbetering van de controles van personen aan de buitengrenzen en [de] bestrijding van illegale immigratie”(41), niet vallen onder de uitsluitingsbepaling van artikel 2, lid 2, onder d), AVG en evenmin onder enige andere in dit artikel opgenomen uitsluitingsbepaling, en derhalve binnen het toepassingsgebied van deze verordening vallen. Anders dan de Franse regering betoogt, kunnen genoemde verwerkingen niet worden beheerst door de PNR-richtlijn, waarvan artikel 1, lid 2, bepaalt dat „[o]vereenkomstig deze richtlijn verzamelde PNR-gegevens [...] uitsluitend [mogen] worden verwerkt om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen” en, in beginsel, evenmin door de politierichtlijn, die overeenkomstig artikel 1, lid 1, ervan alleen van toepassing is op de verwerking van persoonsgegevens door de bevoegde autoriteiten „met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid”. Zoals blijkt uit de verwijzingsbeslissing, strekken artikel 8, § 2, van de PNR-wet en hoofdstuk 11 van deze wet, waarin de bepalingen zijn opgenomen tot regeling van de verwerking van PNR-gegevens met het oog op de verbetering van de grenscontroles en de bestrijding van de illegale immigratie en hetwelk te dien einde voorziet in de doorgifte van deze gegevens door de PIE aan met name de politiediensten belast met de grenscontroles, tot omzetting van de API-richtlijn en richtlijn 2010/65 in Belgisch recht. Beide richtlijnen leggen de bevoegde autoriteiten echter de verplichting op om de bepalingen van richtlijn 95/46(42) te eerbiedigen bij de door hen voorgenomen gegevensverwerkingen. Anders dan de Franse regering betoogt, moet deze verwijzing naar de beschermende regels van deze richtlijn worden geacht zich uit te strekken tot elke verwerking van persoonsgegevens op basis van de API-richtlijn en richtlijn 2010/65. Het feit dat de API-richtlijn is vastgesteld vóór de inwerkingtreding van kaderbesluit 2008/977 is in dit verband niet relevant, aangezien dit kaderbesluit alsook de politierichtlijn, die in de plaats ervan is gekomen, uitsluitend betrekking hebben op de persoonsgegevens als bedoeld in artikel 3, lid 1, van de API-richtlijn welke door de bevoegde autoriteiten voor wetshandhavingsdoeleinden worden verwerkt.(43)

61.      Gelet op een en ander geef ik het Hof in overweging om op de eerste prejudiciële vraag te antwoorden dat artikel 23 AVG, gelezen in samenhang met artikel 2, lid 2, onder d), van die verordening, aldus moet worden uitgelegd dat:

–        het van toepassing is op een nationale wetgeving tot omzetting van de PNR-richtlijn, voor zover deze wetgeving de verwerking van PNR-gegevens door vervoerders en andere marktdeelnemers, de doorgifte van PNR-gegevens aan de PIE’s overeenkomstig artikel 8 van deze richtlijn daaronder begrepen, regelt;

–        het niet van toepassing is op een nationale wetgeving tot omzetting van de PNR-richtlijn, voor zover deze wetgeving de verwerking van gegevens door de bevoegde nationale instanties, daaronder begrepen de PIE’s en, in voorkomend geval, de veiligheids- en inlichtingendiensten van de betrokken lidstaat, voor de in artikel 1, lid 2, van deze richtlijn bedoelde doeleinden regelt;

–        het van toepassing is op een nationale wetgeving tot omzetting van de API-richtlijn en van richtlijn 2010/65, met het oog op de verbetering van de controle van personen aan de buitengrenzen en de bestrijding van illegale immigratie.

B.      Tweede, derde, vierde, zesde en achtste prejudiciële vraag

62.      Met zijn tweede, derde, vierde en zesde prejudiciële vraag wenst het Grondwettelijk Hof van het Hof te vernemen of de PNR-richtlijn geldig is in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest. Ook met zijn achtste prejudiciële vraag, die weliswaar als een uitleggingsvraag is geformuleerd, wenst deze verwijzende rechter in wezen een uitspraak van het Hof te verkrijgen over de geldigheid van deze richtlijn.

63.      Deze vragen hebben betrekking op de verschillende elementen van het door de PNR-richtlijn ingestelde systeem voor de verwerking van PNR-gegevens en verzoeken, met betrekking tot elk van die elementen, om een beoordeling of is voldaan aan de voorwaarden voor de wettigheid van de beperkingen die worden gesteld aan de uitoefening van de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten. Zo hebben de tweede en derde prejudiciële vraag betrekking op de in bijlage I opgenomen lijst van PNR-gegevens, draait de vierde vraag rond de definitie van het begrip „passagier” in artikel 3, punt 4, van de PNR-richtlijn, heeft de zesde vraag betrekking op het gebruik van PNR-gegevens met het oog op de voorafgaande beoordeling overeenkomstig artikel 6 van deze richtlijn en houdt de achtste vraag verband met de in artikel 12, lid 1, van genoemde richtlijn bedoelde bewaartermijn.

1.      In de artikelen 7 en 8 van het Handvest neergelegde grondrechten 

64.      Artikel 7 van het Handvest waarborgt eenieder het recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie. Artikel 8, lid 1, van het Handvest erkent op zijn beurt uitdrukkelijk eenieders recht op bescherming van de hem betreffende persoonsgegevens. Volgens vaste rechtspraak zijn deze rechten, die betrekking hebben op elke informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, nauw met elkaar verbonden, aangezien de toegang tot persoonsgegevens van een natuurlijke persoon met het oog op de bewaring of het gebruik ervan het door artikel 7 van het Handvest gewaarborgde grondrecht van die persoon op eerbiediging van het privéleven aantast.(44)

65.      De in de artikelen 7 en 8 van het Handvest verankerde rechten hebben echter geen absolute gelding, maar moeten worden beschouwd in relatie tot hun functie in de samenleving.(45) Op basis van artikel 8, lid 2, van het Handvest kunnen persoonsgegevens dus worden verwerkt indien aan bepaalde voorwaarden is voldaan. Deze bepaling schrijft voor dat persoonsgegevens „eerlijk [moeten] worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet”.

66.      Bovendien moet iedere beperking van het recht op bescherming van persoonsgegevens, alsook van het recht op eerbiediging van de persoonlijke levenssfeer, voldoen aan het bepaalde in artikel 52, lid 1, van het Handvest. Zo moet een dergelijke beperking bij wet zijn gesteld, de wezenlijke inhoud van die rechten eerbiedigen en, met inachtneming van het evenredigheidsbeginsel, noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.

67.      Bij de beoordeling van een maatregel die genoemde rechten beperkt, moet ook rekening worden gehouden met het belang van de door de artikelen 3, 4, 6 en 7 van het Handvest gewaarborgde rechten en met dat van de doelstellingen van bescherming van de nationale veiligheid en bestrijding van ernstige criminaliteit, die bijdragen tot de bescherming van de rechten en vrijheden van anderen.(46) Zo heeft ingevolge artikel 6 van het Handvest eenieder niet alleen recht op vrijheid, maar ook op veiligheid.(47)

68.      Voorts zij eraan herinnerd dat artikel 52, lid 3, van het Handvest beoogt te zorgen voor de nodige samenhang tussen de in het Handvest vervatte rechten en de daarmee corresponderende, door het EVRM gewaarborgde rechten die als minimaal beschermingsniveau in aanmerking moeten worden genomen.(48) Het in artikel 7 van het Handvest verankerde recht op eerbiediging van het privéleven en het familie‑ en gezinsleven komt overeen met het in artikel 8 EVRM verankerde recht, zodat hieraan dezelfde inhoud en reikwijdte moet worden toegekend.(49) Uit de rechtspraak van het Europees Hof voor de Rechten van de Mens (EHRM) volgt dat een inmenging in de door dit artikel gewaarborgde rechten in het licht van lid 2 van genoemd artikel alleen kan worden gerechtvaardigd indien deze bij wet is voorzien, een of meer van de in dat lid genoemde legitieme doelen nastreeft en in een democratische samenleving noodzakelijk is om dat doel of die doelen te bereiken(50). De maatregel moet ook verenigbaar zijn met de rechtsstaat, hetgeen uitdrukkelijk staat vermeld in de preambule van het EVRM en inherent is aan het voorwerp en het doel van artikel 8 ervan.(51)

69.      Het is in het licht van deze beginselen dat de door het Grondwettelijk Hof gestelde geldigheidsvragen moeten worden beoordeeld.

2.      Inmenging in de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten 

70.      Het Hof heeft reeds geoordeeld dat bepalingen die de mededeling van persoonsgegevens van natuurlijke personen aan een derde, zoals een overheidsinstantie, voorschrijven of mogelijk maken, zonder de toestemming van deze natuurlijke personen en ongeacht het verdere gebruik van de betrokken gegevens, moeten worden aangemerkt als inmenging in hun privéleven en derhalve als beperking van het door artikel 7 van het Handvest gewaarborgde recht, onverminderd de eventuele rechtvaardiging ervan.(52) Dit geldt zelfs wanneer die inmenging om bepaalde redenen niet als „ernstig” kan worden aangemerkt en zonder dat van belang is of de informatie over het privéleven al dan niet gevoelig is en of de betrokkenen door die inmenging enig nadeel hebben ondervonden.(53) De toegang van overheidsinstanties tot dergelijke gegevens vormt tevens inmenging in het door artikel 8 van het Handvest gewaarborgde grondrecht op bescherming van de persoonsgegevens, aangezien die toegang een verwerking van persoonsgegevens is.(54) Ook het bewaren van gegevens betreffende het privéleven van een persoon gedurende een bepaalde tijd vormt op zich een inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten.(55)

71.      Het Hof heeft ook reeds geoordeeld dat de in bijlage I opgesomde PNR-gegevens informatie bevatten over geïdentificeerde natuurlijke personen, te weten de betrokken luchtreizigers, en dat bijgevolg de verschillende vormen van verwerking die deze gegevens kunnen ondergaan, raken aan het door artikel 7 van het Handvest gewaarborgde grondrecht op bescherming van het privéleven. Deze verwerkingen vallen voorts ook onder artikel 8 van het Handvest en moeten derhalve noodzakelijkerwijze voldoen aan de in dit artikel gestelde vereisten inzake gegevensbescherming.(56)

72.      Derhalve vormen de door de PNR-richtlijn toegestane verwerkingen van PNR-gegevens en – wat voor de onderhavige zaak van belang is – de doorgifte van deze gegevens door luchtvaartmaatschappijen aan de PIE’s, het gebruik ervan door deze eenheden, de latere doorgifte ervan aan de bevoegde nationale instanties in de zin van artikel 7 van deze richtlijn alsook de bewaring ervan, één voor één inmengingen in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten.

73.      Wat de ernst van deze inmengingen betreft, zij ten eerste opgemerkt dat de PNR-richtlijn voorziet in een stelselmatige en continue doorgifte aan de PIE’s van de PNR-gegevens van elke passagier, zoals gedefinieerd in artikel 3, punt 4, van deze richtlijn, die een vlucht neemt naar of vanuit een derde land in de zin van artikel 3, punt 2, ervan. Een dergelijke doorgifte impliceert dat de PIE’s een algemene toegang hebben tot alle meegedeelde PNR-gegevens.(57) Anders dan sommige lidstaten in de onderhavige procedure aanvoeren, wordt aan deze vaststelling niet afgedaan door de omstandigheid dat de PIE’s, aangezien deze gegevens automatisch worden verwerkt, alleen concreet toegang hebben tot die gegevens waarvan de analyse tot een positieve overeenstemming heeft geleid. Tot op heden heeft een dergelijke omstandigheid immers geen beletsel gevormd voor het Hof om met betrekking tot vergelijkbare systemen voor geautomatiseerde „bulkverwerking” van verzamelde of bewaarde persoonsgegevens te oordelen dat de betrokken overheidsinstanties een algemene toegang hadden tot die gegevens. Voorts gaat het ter beschikking stellen van persoonsgegevens aan overheidsinstanties met het oog op de verwerking en bewaring ervan door diezelfde instanties, op zich a priori gepaard met een algemene en onbeperkte toegang van laatstgenoemde tot die gegevens en derhalve met een inmenging in de grondrechten op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens.

74.      Ten tweede mogen de lidstaten overeenkomstig artikel 2, lid 1, van de PNR-richtlijn besluiten om deze richtlijn toe te passen op vluchten binnen de EU in de zin van artikel 3, punt 3, ervan. In dit verband zij opgemerkt dat de PNR-richtlijn niet louter voorziet in de mogelijkheid voor de lidstaten om haar toepassingsgebied uit te breiden tot vluchten binnen de EU, maar ook de formele en materiële voorwaarden vaststelt om van die mogelijkheid gebruik te maken(58) en daarnaast preciseert dat wanneer deze mogelijkheid uitsluitend voor geselecteerde vluchten binnen de EU wordt gebruikt, bij de keuze van die vluchten rekening moet worden gehouden met de door genoemde richtlijn nagestreefde doelstellingen(59). Voorts stelt de PNR-richtlijn de gevolgen vast die voortvloeien uit het gebruikmaken van deze mogelijkheid, door in artikel 2, lid 2, ervan te bepalen dat wanneer een lidstaat besluit om deze richtlijn toe te passen op vluchten binnen de EU, alle bepalingen ervan „van toepassing [zijn] op vluchten binnen de EU alsof het om vluchten naar of vanuit derde landen gaat, en op de PNR-gegevens van vluchten binnen de EU alsof het om PNR-gegevens gaat van vluchten naar of vanuit derde landen”.

75.      In die omstandigheden ben ik, anders dan sommige regeringen die in de onderhavige procedure opmerkingen hebben ingediend, de mening toegedaan dat de toepassing van de PNR-richtlijn op vluchten binnen de EU weliswaar aan de keuze van de lidstaten wordt overgelaten, maar dat, wanneer die keuze wordt gemaakt, de rechtsgrondslag voor de inmenging in de rechten op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens in het kader van de doorgifte, verwerking en bewaring van PNR-gegevens met betrekking tot deze vluchten, gevormd wordt door de PNR-richtlijn.

76.      Met uitzondering van het Koninkrijk Denemarken, dat niet aan deze richtlijn is onderworpen(60), hanteren vrijwel alle lidstaten evenwel de door de PNR-richtlijn ingestelde regeling voor vluchten binnen de EU(61). Hieruit volgt dat deze regeling wordt toegepast op alle vluchten naar of vanuit derde landen en op nagenoeg alle vluchten binnen de Unie.

77.      Wat in de derde plaats de door te geven PNR-gegevens betreft, bevat bijlage I 19 punten met betrekking tot biografische gegevens(62), details in verband met de vliegreis(63) en andere in de context van de luchtvervoersovereenkomst verzamelde gegevens zoals telefoonnummer, e-mailadres, betalingsinformatie, reisbureau/reisagent, bagage-informatie en algemene opmerkingen(64). Zoals het Hof echter in punt 128 van advies 1/15 heeft aangegeven met betrekking tot de punten in de bijlage bij de ontwerpovereenkomst tussen Canada en de Europese Unie inzake de doorgifte en verwerking van gegevens uit het Passenger Name Record (hierna: „PNR-ontwerpovereenkomst Canada-EU”), waarvan de formulering grotendeels overeenstemt met die van bijlage I, „lijken bepaalde PNR-gegevens op zichzelf beschouwd weliswaar geen belangrijke informatie te kunnen verschaffen over het privéleven van de betrokkenen, maar samen beschouwd kunnen zij onder meer een volledige reisroute blootleggen, inzicht geven in reisgewoontes en relaties tussen twee of meer personen, inlichtingen verschaffen over de financiële situatie van luchtreizigers, hun voedingsgewoonten of hun gezondheidstoestand, en zelfs gevoelige gegevens over deze passagiers bevatten”.

78.      Ten vierde worden de door de luchtvaartmaatschappijen doorgegeven PNR-gegevens overeenkomstig artikel 6 van de PNR-richtlijn geautomatiseerd verwerkt door de PIE’s, en wel op stelselmatige wijze, dat wil zeggen ongeacht of er ook maar enige aanwijzing is dat de betrokken personen betrokken kunnen zijn bij terroristische misdrijven of ernstige vormen van criminaliteit. Meer in het bijzonder kunnen genoemde gegevens, in het kader van de voorafgaande beoordeling van luchtreizigers als bedoeld in artikel 6, lid 2, onder a), van deze richtlijn en overeenkomstig lid 3 van dit artikel, worden vergeleken met databanken die „relevant” zijn [artikel 6, lid 3, onder a)] en worden verwerkt overeenkomstig vooraf bepaalde criteria [artikel 6, lid 3, onder b)]. De eerste vorm van gegevensverwerking kan evenwel aanvullende informatie verschaffen over het privéleven van de betrokken personen(65) en, afhankelijk van de databanken waarmee de gegevens worden vergeleken, zelfs een nauwkeurig profiel van deze personen opleveren. In die omstandigheden gaat het door meerdere regeringen opgeworpen bezwaar dat de PNR-richtlijn hooguit de mogelijkheid biedt om een relatief beperkt aantal persoonsgegevens te raadplegen, voorbij aan de mogelijke draagwijdte van de inmenging als gevolg van deze richtlijn in de door de artikelen 7 en 8 van het Handvest beschermde grondrechten, gelet op de omvang van de gegevens waartoe genoemde richtlijn toegang kan verlenen. Wat betreft de tweede vorm van gegevensverwerking, bedoeld in artikel 6, lid 3, onder b), van de PNR-richtlijn, zij eraan herinnerd dat het Hof in de punten 169 en 172 van advies 1/15 heeft benadrukt dat alle analyses die gebaseerd zijn op vooraf vastgestelde criteria, noodzakelijkerwijs een zekere foutenmarge vertonen en met name een zeker aantal „vals-positieve” resultaten opleveren. Volgens de cijfers in het werkdocument van de diensten van de Commissie(66) (hierna: „werkdocument van 2020”), dat als bijlage bij het verslag van de Commissie van 2020 is gevoegd, is het aantal positieve overeenkomsten dat na de afzonderlijke niet-geautomatiseerde controle als bedoeld in artikel 6, lid 5, van de PNR-richtlijn negatief blijkt te zijn, vrij aanzienlijk en ging het in 2018 en 2019 om minstens vijf zesde van de geïdentificeerde personen(67).

79.      Ten vijfde worden de PNR-gegevens overeenkomstig artikel 12, lid 1, van de PNR-richtlijn in een databank bewaard gedurende een termijn van vijf jaar nadat de gegevens zijn doorgegeven aan de PIE van de lidstaat waar de vlucht aankomt of vertrekt. Bijgevolg maakt de PNR-richtlijn het mogelijk om gedurende een erg lange tijd over informatie inzake het privéleven van de luchtreizigers te beschikken.(68) Aangezien de doorgegeven PNR-gegevens bovendien betrekking hebben op vrijwel alle vluchten naar of vanuit derde landen alsook binnen de Unie, en in de wetenschap dat het vliegtuig een vrij gebruikelijk vervoermiddel is geworden, is het niet ondenkbaar dat de persoonsgegevens van een significant deel van de luchtreizigers nagenoeg permanent worden bewaard wegens het enkele feit dat zij om de vijf jaar minstens twee maal met het vliegtuig reizen.

80.      Tot slot en meer in het algemeen voorziet de PNR-richtlijn in maatregelen die, in hun geheel beschouwd, de instelling beogen van een Uniebreed systeem voor toezicht dat „ongedifferentieerd” is, en dus niet wordt geactiveerd op grond van een op een of meer specifieke individuen rustende verdenking, „massaal” van aard is, in die zin dat het wordt uitgeoefend op basis van de persoonsgegevens van een groot aantal individuen(69), waarbij eenzelfde categorie van personen in haar geheel(70) wordt bestreken, en „proactief” te werk gaat, aangezien het niet alleen gericht is op het detecteren van bekende bedreigingen, maar ook op het opsporen of blootleggen van tot dan toe onbekende gevaren(71). Dergelijke maatregelen leveren per definitie ernstige inmenging op in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten(72), met name door hun preventieve en voorspellende doel dat de beoordeling vereist van de persoonsgegevens van grote delen van de bevolking met het oog op het „identificeren” van individuen die, naargelang van de uitkomst van deze beoordeling, moeten worden onderworpen aan nader onderzoek door de bevoegde instanties.(73) Bovendien resulteren de steeds meer wijdverbreide verwerking van grote hoeveelheden diverse persoonsgegevens die „in bulk” worden verzameld ter voorkoming van bepaalde vormen van ernstige criminaliteit, alsook de correlatie en gecombineerde verwerking ervan, in een „cumulatief effect” dat de beperkingen van de grondrechten op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens ernstiger maakt en een geleidelijk afglijden naar een „surveillancesamenleving” in de hand dreigt te werken.(74)

81.      Op basis van alle voorgaande overwegingen moet de met de PNR-richtlijn gepaard gaande inmenging in de door de artikelen 7 en 8 van het Handvest beschermde grondrechten mijns inziens op zijn minst als „ernstig” worden aangemerkt.

82.      Zoals met name de Commissie betoogt, is het juist dat het geheel van de in de PNR-richtlijn ingebouwde waarborgen en beschermingsmaatregelen, met name tot voorkoming van misbruik van PNR-gegevens, de intensiteit of de ernst van deze inmengingen kunnen milderen. Dit neemt echter niet weg dat elke regeling die overheidsinstanties de mogelijkheid biedt om toegang te krijgen tot persoonsgegevens en om deze te verwerken, vanuit het oogpunt van de bescherming van de geraakte grondrechten een mate van ernst vertoont die inherent is aan haar objectieve kenmerken. Naar mijn mening moet deze mate van ernst worden vastgesteld alvorens in het kader van de evenredigheidsbeoordeling van genoemde inmengingen na te gaan of de door deze regeling geboden waarborgen toereikend en geschikt zijn. Zo is het Hof mijns inziens tot op heden te werk gegaan.

83.      Om verenigbaar te zijn met het Handvest, moeten de met de PNR-richtlijn gepaard gaande inmengingen in de grondrechten op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens voldoen aan de in de punten 65 en 66 van deze conclusie genoemde voorwaarden. Dit zal hieronder worden onderzocht binnen de perken van de aspecten die de verwijzende rechter onder de aandacht van het Hof heeft gebracht.

3.      Rechtvaardiging van de uit de PNR-richtlijn voortvloeiende inmenging 

84.      Terwijl de derde prejudiciële vraag betrekking heeft op de naleving van de in artikel 52, lid 1, eerste volzin, van het Handvest genoemde voorwaarde, volgens welke beperkingen op de uitoefening van een grondrecht „bij wet [moeten] worden gesteld”, wordt het Hof met de tweede, de vierde, de zesde en de achtste prejudiciële vraag met name gevraagd of het in de tweede volzin van deze bepaling bedoelde evenredigheidsbeginsel in acht is genomen.

a)      Nakoming van het vereiste dat elke beperking op de uitoefening van een in het Handvest neergelegd grondrecht bij wet wordt gesteld

85.      Volgens vaste rechtspraak van het Hof(75), die is geïnspireerd door de rechtspraak van het EHRM(76), doelt het vereiste dat elke beperking op de uitoefening van grondrechten „bij wet wordt gesteld”, niet uitsluitend op de „wettelijke” oorsprong van de inmenging – die in casu niet aan de orde is –, maar houdt het ook in dat de rechtsgrond die de inmenging toestaat zelf op duidelijke en nauwkeurige wijze de reikwijdte daarvan moet bepalen. Ter zake van de „kwaliteit van de wet” en derhalve de toegankelijkheid en voorzienbaarheid van de betrokken maatregel(77), beoogt dit tweede aspect dat is vervat in de uitdrukking „bij wet gesteld” in de zin van zowel artikel 52, lid 1, en artikel 8, lid 2, van het Handvest als artikel 8 EVRM, niet alleen te verzekeren dat het legaliteitsbeginsel wordt geëerbiedigd en een passende bescherming tegen willekeur(78) wordt geboden, maar beantwoordt het ook aan een vereiste van rechtszekerheid. Dit vereiste wordt tevens bevestigd in het advies van 19 augustus 2016 van het Raadgevend Comité van Verdrag 108(79) over de implicaties van de verwerking van passagiersgegevens op het gebied van gegevensbescherming (hierna: „advies van 19 augustus 2016”).(80)

86.      Met de vaststelling van de PNR-richtlijn is de Uniewetgever zelf overgegaan tot een beperking van de in de artikelen 7 en 8 van het Handvest verankerde rechten. De door deze richtlijn toegestane inmengingen in genoemde rechten kunnen bijgevolg niet worden beschouwd als het gevolg van een keuze van de lidstaten(81), ondanks de beoordelingsmarge waarover laatstgenoemde konden beschikken bij de omzetting ervan in nationaal recht, maar vinden hun rechtsgrond in de PNR-richtlijn zelf. In die omstandigheden was het aan de Uniewetgever om, teneinde te voldoen aan de in punt 85 van deze conclusie aangehaalde rechtspraak, alsook aan de „hoge normen” op het gebied van de bescherming van de grondrechten als vervat in met name het Handvest en het EVRM, waarnaar overweging 15 van de PNR-richtlijn verwijst, duidelijke en nauwkeurige regels vast te stellen voor zowel de draagwijdte als de toepassing van de maatregelen die deze inmengingen met zich meebrengen.

87.      Ofschoon de verwijzende rechter met zijn derde prejudiciële vraag specifiek wenst te vernemen of de punten 12 en 18 van bijlage I aan die verplichting voldoen, zal ook in het kader van het onderzoek van de tweede, de vierde en de zesde prejudiciële vraag, waarin genoemde rechter vraagtekens plaatst bij de noodzakelijkheid van de met de PNR-richtlijn gepaard gaande inmenging in de grondrechten van artikel 7 en 8 van het Handvest, moeten worden beoordeeld of de in geding zijnde bepalingen van de PNR-richtlijn voldoende duidelijk en nauwkeurig zijn.

88.      Hoewel dit onderzoek, zoals ik in punt 85 van deze conclusie heb uiteengezet, betrekking heeft op de rechtmatigheid van de inmenging in de zin van artikel 52, lid 1, eerste volzin, van het Handvest, zal ik daartoe pas overgaan bij de evenredigheidsbeoordeling ervan als bedoeld in de tweede volzin van dit lid, in overeenstemming met de zowel door het Hof als het EHRM gevolgde benadering in zaken waarin maatregelen met betrekking tot de verwerking van persoonsgegevens in geding zijn.(82)

b)      Eerbiediging van de wezenlijke inhoud van de in de artikelen 7 en 8 van het Handvest neergelegde rechten 

89.      Overeenkomstig artikel 52, lid 1, eerste volzin, van het Handvest moet elke beperking op de uitoefening van de grondrechten niet alleen berusten op een voldoende nauwkeurige rechtsgrondslag, maar ook de wezenlijke inhoud van deze rechten eerbiedigen.

90.      Zoals uiteengezet in punt 66 van deze conclusie, is dit vereiste – dat in de grondwet van verschillende lidstaten(83) is opgenomen en hetwelk ook stevig is verankerd in de rechtspraak van het EHRM(84), ook al is het niet uitdrukkelijk erkend door het EVRM – neergelegd in artikel 52, lid 1, van het Handvest.(85) Dit vereiste, dat reeds ruim vóór de codificatie ervan door het Hof is erkend(86), is sindsdien consequent bevestigd in de rechtspraak van de rechterlijke instanties van de Unie, ook na de inwerkingtreding van het Verdrag van Lissabon.

91.      Met name uit het arrest van 6 oktober 2015, Schrems(87), volgt dat de niet-eerbiediging van de wezenlijke inhoud van een grondrecht door een rechtshandeling van de Unie automatisch leidt tot de nietigheid of ongeldigheid ervan, zonder dat een afweging van de betrokken belangen behoeft te worden gemaakt. Het Hof erkent daarmee dat elk grondrecht een „harde kern” heeft die aan eenieder een vrijheidssfeer garandeert die beschermd is tegen elke vorm van inmenging door de overheid en waaraan geen beperkingen kunnen worden gesteld(88), omdat anders wordt getornd aan de aan de bescherming van de grondrechten ten grondslag liggende beginselen van de democratie, de rechtsstaat en de eerbiediging van de menselijke waardigheid. Bovendien blijkt zowel uit de bewoordingen van artikel 52, lid 1, van het Handvest als uit de rechtspraak van het Hof, en name uit het arrest Schrems I, dat de beoordeling of er sprake is van aantasting van de wezenlijke inhoud van het betrokken grondrecht, voorafgaand aan en los van de evenredigheidsbeoordeling van de betwiste maatregel moet worden gemaakt. Het betreft met andere woorden een zelfstandige toets.

92.      Dit gezegd zijnde, is het bepalen van de „wezenlijke” en derhalve onaantastbare inhoud van een grondrecht waarvan de uitoefening kan worden beperkt, een uiterst complexe oefening. Ofschoon aan dit begrip, opdat het zijn functie zou kunnen vervullen, in absolute termen invulling zou moeten kunnen worden gegeven, met inaanmerkingneming van de wezenlijke kenmerken van het betrokken grondrecht, de subjectieve en objectieve belangen die het beoogt te beschermen en, meer algemeen, de werking ervan in een op de eerbiediging van de menselijke waardigheid gestoelde democratische samenleving(89), blijkt een dergelijke oefening in de praktijk zo goed als onmogelijk te zijn, althans zonder rekening te houden met criteria die doorgaans worden gehanteerd bij de evenredigheidsbeoordeling van de inmenging in het betrokken recht, zoals de ernst van deze inmenging en de draagwijdte of de temporele dimensie ervan, kortom, zonder rekening te houden met de specifieke omstandigheden van elk geval.

93.      Wat met name het grondrecht op eerbiediging van de persoonlijke levenssfeer betreft, moet niet alleen rekening worden gehouden met het belang voor de lichamelijke en geestelijke gezondheid van elk individu, zijn welzijn, autonomie, persoonlijke ontplooiing en vermogen om sociale relaties op te bouwen en te cultiveren, om te kunnen beschikken over een privésfeer waarbinnen het zijn eigen innerlijkheid kan ontwikkelen, maar ook met de rol die dit recht vervult voor de bescherming van andere rechten en vrijheden, zoals met name de vrijheid van gedachte, geweten, godsdienst, meningsuiting en informatie, waarvan het volledige genot de erkenning impliceert van een sfeer van intimiteit. Meer algemeen moet rekening worden gehouden met de rol die de eerbiediging van de persoonlijke levenssfeer vervult in een democratische samenleving.(90) Bij de beoordeling of er sprake is van een aantasting van de wezenlijke inhoud van dit recht, lijkt het Hof rekening te houden met zowel de intensiteit als de reikwijdte van de inmenging, wat de conclusie wettigt dat een dergelijke aantasting veeleer kwantitatief dan kwalitatief wordt gedefinieerd. Zo heeft het Hof in het arrest Digital Rights in wezen geoordeeld dat de door richtlijn 2006/24/EG(91) voorgeschreven bewaring van gegevens niet zo ver gaat dat wordt geraakt aan de wezenlijke inhoud van het recht op eerbiediging van de persoonlijke levenssfeer, aangezien zij niet de mogelijkheid biedt „om kennis te nemen van de inhoud zelf van de elektronische communicaties”.(92) Voorts heeft het Hof in advies 1/15 in wezen geoordeeld dat wanneer de gegevens beperkt blijven tot bepaalde aspecten van het privéleven van de betrokken personen, zulks geen aantasting kan opleveren van de wezenlijke inhoud van dit grondrecht.(93)

94.      Wat het grondrecht op de bescherming van persoonsgegevens betreft, is het Hof kennelijk van mening dat de wezenlijke inhoud van dit recht niet wordt geraakt wanneer de maatregel die in inmenging voorziet, de doeleinden van de verwerking afbakent en voorschriften inzake gegevensbeveiliging bevat die met name moeten vermijden dat de gegevens per ongeluk of onrechtmatig worden vernietigd dan wel per ongeluk verloren geraken of worden gewijzigd.(94)

95.      Hoewel de verwijzende rechter het vereiste van eerbiediging van de wezenlijke inhoud van de in de artikelen 7 en 8 van het Handvest neergelegde rechten in de onderhavige zaak niet uitdrukkelijk ter sprake heeft gebracht, ligt de vraag naar de nakoming van dit vereiste mijns inziens ten grondslag aan de vierde en de zesde prejudiciële vraag. Om die reden stel ik het Hof voor om deze vraag te behandelen.

96.      In dit verband zij eraan herinnerd dat het Hof in punt 150 van advies 1/15 weliswaar heeft erkend dat PNR-gegevens „in voorkomend geval zeer precieze informatie over iemands privéleven [kunnen] onthullen”(95) en dat uit deze informatie rechtstreeks of onrechtstreeks gevoelige gegevens van de betrokken persoon kunnen blijken(96), maar niettemin met betrekking tot de PNR-ontwerpovereenkomst Canada-EU tot de slotsom is gekomen dat aangezien „de aard van deze informatie [...] beperkt is tot bepaalde aspecten van dit privéleven, die in het bijzonder verband houden met luchtreizen tussen Canada en de Unie”, de inmenging in het grondrecht op de eerbiediging van de persoonlijke levenssfeer niet van dien aard is dat zij de wezenlijke inhoud van dit recht aantast.

97.      Afgezien van de omstandigheid dat de PNR-gegevens als bedoeld in de PNR-ontwerpovereenkomst Canada-EU aan een derde land moesten worden doorgegeven en dat de latere verwerking ervan door de autoriteiten van dat derde land op het grondgebied daarvan moest worden uitgevoerd, zijn de uit genoemde ontwerpovereenkomst voortvloeiende en de bij de PNR-richtlijn geregelde inmenging in het grondrecht op de eerbiediging van de persoonlijke levenssfeer naar hun aard echter grotendeels identiek. Dit geldt met name voor de bedoelde PNR-gegevens, het stelselmatige en algemene karakter van de doorgifte en verwerking van deze gegevens, de geautomatiseerde wijze waarop dit gebeurt en de bewaring van genoemde gegevens. Wat beide gevallen daarentegen van elkaar onderscheidt, is als het ware het „geografisch bereik” van deze inmenging. Zoals reeds aangegeven in punt 77 van deze conclusie, is de verwerking van de hier in geding zijnde gegevens niet beperkt tot de luchtverbindingen met één enkel derde land, zoals het geval was in advies 1/15, maar heeft zij betrekking op nagenoeg alle vluchten naar of vanuit derde landen alsook binnen de Unie. Hieruit volgt dat de PNR-richtlijn in vergelijking met de PNR-ontwerpovereenkomst Canada-EU de stelselmatige verwerking oplegt van de gegevens van een aanzienlijk groter aantal luchtreizigers die zowel binnen als buiten de Unie per vliegtuig reizen. Gelet op de toename van het volume van de verwerkte gegevens en de frequentie waarmee ze worden verzameld, is het bovendien niet ondenkbaar dat de verwerking ervan zowel preciezere als ruimere informatie verschaft over het privéleven van de betrokken personen (reisgewoonten, persoonlijke relaties, financiële situaties, enz.).

98.      Dit neemt niet weg dat deze informatie, zoals het geval was in advies 1/15, op zich beschouwd beperkt is tot bepaalde aspecten van het privéleven die verband houden met luchtreizen. Gezien de noodzaak om het begrip „wezenlijke inhoud” van de grondrechten restrictief te omschrijven zodat het als bolwerk blijft fungeren tegen ingrepen die deze rechten in hun kern aantasten, ben ik evenwel van mening dat de slotsom waartoe het Hof in punt 150 van advies 1/15 is gekomen, op de onderhavige zaak kan worden toegepast.

99.      In advies 1/15 heeft het Hof ook uitgesloten dat er sprake was van een aantasting van de wezenlijke inhoud van het recht op bescherming van persoonsgegevens.(97) Deze slotsom kan mijns inziens ook worden toegepast op de omstandigheden van het onderhavige geval. Net als in de PNR-ontwerpovereenkomst Canada-EU worden immers ook in de PNR-richtlijn – meer bepaald in artikel 1, lid 2, ervan – de doeleinden van de verwerking van de PNR-gegevens afgebakend. Bovendien bevatten deze richtlijn en de andere rechtshandelingen van de Unie waarnaar zij verwijst, inzonderheid de AVG en de politierichtlijn, specifieke bepalingen die met name de beveiliging, de vertrouwelijkheid en de integriteit van deze gegevens moeten waarborgen en deze gegevens moeten beschermen tegen onrechtmatige toegang en verwerking. Ook al kan niet worden aangenomen dat een regeling als die welke waarin de PNR-richtlijn voorziet, afbreuk doet aan de wezenlijke inhoud van de door de artikelen 7 en 8 van het Handvest beschermde grondrechten, zulks neemt niet weg dat zij aan een strenge en nauwgezette evenredigheidstoets moet worden onderworpen.

c)      Nakoming van het vereiste dat de inmenging moet beantwoorden aan een doelstelling van algemeen belang

100. De PNR-richtlijn heeft met name tot doel de interne veiligheid van de Unie te waarborgen en het leven en de veiligheid van personen te beschermen via de doorgifte van PNR-gegevens aan de bevoegde autoriteiten van de lidstaten met het oog op het gebruik ervan voor de bestrijding van terroristische misdrijven en ernstige criminaliteit.(98)

101. Meer in het bijzonder volgt uit artikel 1, lid 2, van de PNR-richtlijn, gelezen in samenhang met de overwegingen 6 en 7 ervan, alsook uit het voorstel van de Commissie dat tot de vaststelling van deze richtlijn heeft geleid (hierna: „voorstel voor de PNR-richtlijn”)(99), dat de PNR-gegevens met het oog op voornoemd doel op verschillende wijzen door de rechtshandhavingsinstanties(100) worden gebruikt. Ten eerste worden deze gegevens gebruikt voor het identificeren van personen die betrokken zijn dan wel verdacht zijn van betrokkenheid bij terroristische misdrijven of ernstige criminele feiten die reeds zijn gepleegd, het verzamelen van bewijsmateriaal en, in voorkomend geval, het opsporen van medeplichtigen van criminelen en het oprollen van criminele netwerken („reactief” gebruik). Ten tweede kunnen de PNR-gegevens vóór aankomst of vertrek van de passagiers worden geanalyseerd om misdrijven te voorkomen en personen te identificeren die voorafgaand aan die analyse niet werden verdacht van betrokkenheid bij terroristische misdrijven of ernstige criminaliteit en naar wie de rechtshandhavingsinstanties op basis van het resultaat van die analyse nader onderzoek moeten verrichten („real time” gebruik). Ten derde en tot slot worden de PNR-gegevens gebruikt voor het bepalen van beoordelingscriteria die vervolgens kunnen worden toegepast bij de risicobeoordeling van passagiers vóór hun aankomst of vertrek („proactief” gebruik). Een dergelijk proactief gebruik van PNR-gegevens zou de rechtshandhavingsinstanties in de gelegenheid moeten stellen om het gevaar van terroristische misdrijven en ernstige criminaliteit vanuit een andere invalshoek aan te pakken dan bij de verwerking van andere categorieën persoonsgegevens het geval is.(101)

102. Uit de rechtspraak van het Hof volgt dat de doelstelling van bescherming van de openbare veiligheid, met name door het voorkomen, opsporen, onderzoeken en vervolgen van zowel terroristische misdrijven als strafbare feiten die onder de definitie van zware criminaliteit vallen, een doelstelling vormt van algemeen belang van de Unie in de zin van artikel 52, lid 1, van het Handvest en als zodanig inmengingen – zelfs zware inmengingen – in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten kan rechtvaardigen.(102)

103. Het Hof heeft ook erkend dat de doelstellingen van bescherming van de openbare veiligheid en van bestrijding van zware criminaliteit bijdragen tot de bescherming van de rechten en vrijheden van anderen.(103) Bij de evenwichtige afweging tussen deze doelstellingen en de in de artikelen 7 en 8 van het Handvest verankerde grondrechten(104) moet dus ook rekening worden gehouden met het belang van de in de artikelen 3, 4, 6 en 7 van het Handvest neergelegde rechten. In dit verband heeft het Hof in het arrest La Quadrature du Net weliswaar geoordeeld dat artikel 6 van het Handvest „niet aldus kan worden uitgelegd dat het de overheid een verplichting oplegt om specifieke maatregelen te nemen teneinde bepaalde strafbare handelingen tegen te gaan”(105), maar wat daarentegen en in het bijzonder de effectieve bestrijding betreft van strafbare handelingen waarvan met name minderjarigen en andere kwetsbare personen het slachtoffer zijn, heeft het benadrukt dat positieve verplichtingen voor de overheid zowel kunnen voortvloeien uit artikel 7 van het Handvest, namelijk om juridische maatregelen te nemen ter bescherming van het privéleven en het familie‑ en gezinsleven, als uit de artikelen 3 en 4 ervan, ten aanzien van de bescherming van de lichamelijke en geestelijke integriteit van personen en het verbod op folteringen en onmenselijke en vernederende behandelingen.(106)

104. Tot slot heeft het Hof geoordeeld dat het belang van de doelstelling van bescherming van de nationale veiligheid dat van de doelstellingen van bestrijding van – zelfs ernstige – criminaliteit en van bescherming van de openbare veiligheid overstijgt en dat de doelstelling van bescherming van de nationale veiligheid derhalve maatregelen kan rechtvaardigen die ernstigere inmengingen in de grondrechten met zich brengen dan die welke door die andere doelstellingen zouden kunnen worden gerechtvaardigd.(107) Aangezien terroristische activiteiten een bedreiging kunnen vormen voor de nationale veiligheid van de lidstaten, draagt het door de PNR-richtlijn ingestelde systeem bij aan de bescherming van de nationale veiligheid van de lidstaten, voor zover het wordt ingezet ter bestrijding van dergelijke activiteiten.

d)      Eerbiediging van het evenredigheidsbeginsel

105. Overeenkomstig artikel 52, lid 1, tweede volzin, van het Handvest kunnen, met inachtneming van het evenredigheidsbeginsel, alleen beperkingen worden gesteld aan de uitoefening van de door dit Handvest erkende grondrechten indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.

106. Dienaangaande zij eraan herinnerd dat het evenredigheidsbeginsel volgens vaste rechtspraak van het Hof vereist dat handelingen van de instellingen van de Unie geschikt zijn om de door de betrokken regeling nagestreefde legitieme doelstellingen te verwezenlijken en niet verder gaan dan wat daarvoor geschikt en noodzakelijk is.(108)

107. Overeenkomstig vaste rechtspraak van het Hof vereist de bescherming van het grondrecht op eerbiediging van het privéleven op het niveau van de Unie dat de uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven. Bovendien kan een doelstelling van algemeen belang niet worden nagestreefd zonder rekening te houden met het feit dat deze doelstelling moet worden verzoend met de door de maatregel aangetaste grondrechten, zulks via een evenwichtige afweging tussen de doelstelling van algemeen belang en de op het spel staande rechten.(109) Meer bepaald moet bij de evenredigheidsbeoordeling van een beperking van de in de artikelen 7 en 8 van het Handvest verankerde rechten worden bepaald wat de ernst is van de inmenging die een dergelijke beperking meebrengt, en moet worden nagegaan of het belang van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst.(110)

108. Uit de rechtspraak van het Hof blijkt dat de PNR-richtlijn, als rechtsgrondslag voor de in de punten 70 tot en met 83 van deze conclusie beschreven vormen van inmenging in de grondrechten als neergelegd in de artikelen 7 en 8 van het Handvest, maar aan het vereiste van evenredigheid kan voldoen indien daarin is voorzien in duidelijke en nauwkeurige regels betreffende de draagwijdte en de toepassing van de regeling die de inmenging bevat en daarbij minimale vereisten worden opgelegd, zodat de personen van wie de gegevens zijn doorgegeven over voldoende garanties beschikken dat hun persoonsgegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van deze gegevens.(111) De noodzaak om over dergelijke garanties te beschikken is des te groter wanneer, zoals in het onderhavige geval, de persoonsgegevens geautomatiseerd worden verwerkt en het gaat om de bescherming van een bijzondere categorie persoonsgegevens, te weten gevoelige gegevens.(112)

109. Wat betreft de omvang van de rechterlijke toetsing van de naleving van de uit het evenredigheidsbeginsel voortvloeiende vereisten, zij opgemerkt dat, gelet op de belangrijke rol die de bescherming van persoonsgegevens speelt in het licht van het grondrecht op eerbiediging van de persoonlijke levenssfeer, alsook op de door de PNR-richtlijn veroorzaakte inmenging in dit recht, de beoordelingsbevoegdheid van de Uniewetgever beperkt is, zodat een strikt toezicht moet worden uitgeoefend.(113)

1)      Geschiktheid van in de PNR-richtlijn bedoelde verwerking van PNR-gegevens ten aanzien van het beoogde doeleinde

110. In punt 153 van advies 1/15 heeft het Hof met betrekking tot de PNR-ontwerpovereenkomst Canada-EU bevestigd dat de doorgifte van PNR-gegevens aan Canada en de latere verwerkingen ervan geschikt kunnen worden geacht voor de verwezenlijking van het voorgenomen nagestreefde doel de openbare veiligheid te beschermen. Deze geschiktheid, zowel binnen de Unie als daarbuiten(114) sinds lange tijd erkend, kan mijns inziens niet ter discussie worden gesteld voor wat betreft de verzameling en de latere verwerking van PNR-gegevens van zowel vluchten naar of vanuit derde landen als vluchten binnen de EU.(115)

111. Dit neemt niet weg dat de doeltreffendheid van het door de richtlijn ingestelde systeem voor de verwerking van PNR-gegevens alleen concreet kan worden beoordeeld op basis van de resultaten van de toepassing ervan.(116) Vanuit die optiek is het van groot belang dat die doeltreffendheid doorlopend wordt geëvalueerd op basis van zo nauwkeurig en betrouwbaar mogelijke statistische gegevens.(117) In dit opzicht zou de Commissie op regelmatige tijdstippen een soortgelijke evaluatie moeten uitvoeren als die welke waarin artikel 19 van de PNR-richtlijn reeds voorziet.

2)      Strikte noodzakelijkheid van de inmenging

112. Hoewel het Grondwettelijk Hof niet uitdrukkelijk ter discussie heeft gesteld dat de PNR-richtlijn met betrekking tot de afbakening van de doelstellingen van de verwerking van PNR-gegevens duidelijke en nauwkeurige regels bevat die tot het strikt noodzakelijke beperkt blijven(118), kan bij de door de verwijzende rechter gevraagde evenredigheidsbeoordeling van het door deze richtlijn ingestelde systeem mijns inziens niet aan deze vraag worden voorbijgegaan.(119)

i)      Afbakening van de doelstellingen van de verwerking van PNR-gegevens

113. Voor elk systeem voor gegevensverwerking, met name wanneer dit voor rechtshandhavingsdoeleinden wordt gebruikt, geldt de essentiële eis dat de doelstellingen waarvoor de bevoegde instanties persoonsgegevens mogen raadplegen en later gebruiken duidelijk worden afgebakend. De naleving van deze eis is bovendien noodzakelijk om het Hof in staat te stellen de evenredigheid van de betrokken maatregelen te beoordelen aan de hand van de in zijn rechtspraak(120) ontwikkelde toetsing van de ernst van de inmenging aan het belang van het nagestreefde doeleinde.

114. Het Hof heeft reeds gewezen op het belang van een duidelijke afbakening van de doelstellingen van maatregelen die voorzien in beperkingen op de grondrechten op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens, met name in het arrest Digital Rights waarin het richtlijn 2006/24 ongeldig heeft verklaard. In punt 60 van genoemd arrest heeft het Hof opgemerkt dat deze richtlijn „geen objectieve criteria [bevat] ter begrenzing van de toegang van de bevoegde nationale autoriteiten tot de gegevens en het latere gebruik ervan met het oog op het voorkomen, opsporen of strafrechtelijk vervolgen van inbreuken die, gelet op de omvang en de ernst van de inmenging in de door de artikelen 7 en 8 van het Handvest erkende fundamentele rechten, voldoende ernstig kunnen worden geacht om een dergelijke inmenging te rechtvaardigen” en dat zij integendeel „in artikel 1, lid 1, ervan enkel op algemene wijze [verwijst] naar ernstige criminaliteit zoals gedefinieerd in de nationale wetgevingen van de lidstaten”.

115. Artikel 1, lid 2, van de PNR-richtlijn vermeldt een algemeen doelbindingscriterium volgens hetwelk „[o]vereenkomstig deze richtlijn verzamelde PNR-gegevens [...] uitsluitend [mogen] worden verwerkt om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen”. Anders dan richtlijn 2006/24 beperkt de PNR-richtlijn zich echter niet tot een dergelijke vermelding, maar geeft zij in artikel 3, punten 8 en 9, ervan zelf een definitie van zowel het begrip „terroristische misdrijven” als dat van „ernstige criminaliteit”, waarbij de eerste definitie verwijst naar de artikelen 1 tot en met 4 van kaderbesluit 2002/475/JBZ van de Raad van 13 juni 2002 inzake terrorismebestrijding (PB 2002, L 164, blz. 3) [thans vervangen door richtlijn (EU) 2017/541(121)], en de tweede definitie verwijst naar bijlage II, waarin de strafbare feiten staan opgesomd die aan dit begrip beantwoorden, en een ernstdrempel vaststelt, uitgedrukt in de maximumduur van de vrijheidsbenemende straf of tot detentie strekkende maatregel die op deze strafbare feiten staat.

116. Waar de verwijzing naar de relevante bepalingen van richtlijn 2017/541 een voldoende duidelijke en nauwkeurige classificatie mogelijk maakt van daden die als terroristische misdrijven in de zin van artikel 3, punt 8, van de PNR-richtlijn kunnen worden aangemerkt, en tevens toelaat om de ernst ervan te beoordelen met het oog op de afweging tussen het belang van de met deze richtlijn nagestreefde bescherming van de openbare veiligheid en de ernst van de ermee gepaard gaande inmenging in de grondrechten van de artikelen 7 en 8 van het Handvest, ligt diezelfde conclusie minder voor de hand voor wat betreft alle in bijlage II opgesomde strafbare feiten.

117. In punt 177 van advies 1/15 heeft het Hof vastgesteld dat de PNR-ontwerpovereenkomst Canada-EU duidelijk en nauwkeurig definieerde welke ernst een strafbaar feit moet hebben om als „zware grensoverschrijdende criminaliteit” te kunnen worden aangemerkt, door voor te schrijven dat het moet gaan om feiten waarop „een maximumvrijheidsstraf staat van ten minste vier jaar of een zwaardere straf”, te verwijzen naar „de in het Canadese recht omschreven strafbare feiten” en de verschillende hypothesen vast te leggen „waarin een strafbaar feit wordt geacht van grensoverschrijdende aard te zijn”.

118. In vergelijking met de in dit advies door het Hof onderzochte regeling houdt de PNR-richtlijn in de definitie van de bedoelde strafbare feiten ten eerste geen rekening met de grensoverschrijdende aard ervan, bevat zij ten tweede een limitatieve opsomming van strafbare feiten die naar hun aard worden geacht te vallen onder de definitie van ernstige criminaliteit, op voorwaarde dat op deze feiten de minimale maximumstraf staat als bedoeld in artikel 3, punt 9, van deze richtlijn, en verlaagt zij ten derde – in beginsel – de ernstdrempel door een op de maximumstraf gebaseerd criterium te hanteren en deze drempel op drie jaar vast te leggen.

119. Wat ten eerste het ontbreken van een beperkend criterium op basis van de grensoverschrijdende aard betreft, is het weliswaar juist dat een beperking van het materiële toepassingsgebied van de PNR-richtlijn tot uitsluitend „grensoverschrijdende” ernstige criminaliteit de mogelijkheid zou hebben geboden om strafbare feiten aan te pakken die naar hun aard op zijn minst mogelijkerwijs een objectieve band met luchtreizen kunnen hebben en bijgevolg ook met de categorieën gegevens die in het kader van de uitvoering van de PNR-richtlijn worden verzameld en verwerkt.(122) Niettemin ben ik het in wezen eens met het standpunt van de Commissie dat de relevantie en noodzakelijkheid van een dergelijk criterium, anders dan in de context van een internationale overeenkomst, minder voor de hand liggen waar het een mechanisme voor de bestrijding van criminaliteit betreft dat tot doel heeft om de interne veiligheid van de Unie te beschermen. Bovendien, aldus nog steeds de Commissie, vormt het ontbreken van grensoverschrijdende elementen op zich geen aanwijzing op basis waarvan de ernst van een strafbaar feit kan worden uitgesloten.

120. Wat ten tweede het criterium betreft dat de ernstdrempel van de bedoelde strafbare feiten bepaalt – hetwelk, teneinde een voorafgaande beoordeling van die ernst mogelijk te maken, in die zin moet worden uitgelegd dat het aanknoopt bij de maximumduur van de bij wet gestelde vrijheidsbenemende straf of tot detentie strekkende maatregel en niet bij de straf of maatregel die in een concreet geval kan worden opgelegd –, moet worden vastgesteld dat dit criterium, hoewel het uitgaat van de minimale maximumstraf en niet van de minimale minimumstraf, op zich niet ongeschikt is om een mate van ernst vast te stellen die volstaat ter rechtvaardiging van de inmenging in de grondrechten van de artikelen 7 en 8 van het Handvest, die gepaard gaat met de door de PNR-richtlijn geregelde gegevensverwerkingen. Mijns inziens moet dit criterium echter worden uitgelegd als een criterium tot vaststelling van een „minimale” ernstgraad. Ofschoon dit criterium de lidstaten dus verbiedt om de in bijlage II bedoelde strafbare feiten waarop in hun nationale recht een vrijheidsbenemende straf of een tot detentie strekkende maatregel met een maximumduur van minder dan drie jaar staat, te beschouwen als „ernstige criminaliteit”, legt het hun daarentegen niet de verplichting op een dergelijke kwalificatie automatisch toe te kennen aan alle strafbare feiten die in genoemde bijlage II kunnen worden opgenomen en waarop een straf staat die de in artikel 3, punt 9, van de PNR-richtlijn bedoelde drempel bereikt wanneer, gelet op de specifieke kenmerken van hun strafrechtsysteem, een dergelijke toekenning zou uitmonden in de toepassing van de door de PNR-richtlijn ingestelde regeling met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van vormen van gewone criminaliteit, wat strijdig is met de door deze richtlijn beoogde doelstellingen.

121. Wat ten derde de opsomming in bijlage II betreft, zij allereerst opgemerkt dat de omstandigheid dat de PNR-richtlijn een limitatieve opsomming bevat van de strafbare feiten die onder de definitie vallen van „ernstige criminaliteit”, een wezenlijke formele en materiële garantie vormt voor de wettigheid van het door de PNR-richtlijn ingestelde systeem en de rechtszekerheid van de passagiers. Evenwel moet worden vastgesteld dat genoemde opsomming zowel strafbare feiten bevat die naar hun aard ontegensprekelijk ernstig zijn – zoals bijvoorbeeld mensenhandel, seksuele uitbuiting van kinderen en kinderpornografie, illegale handel in wapens of in nucleaire of radioactieve stoffen, kaping van vliegtuigen of schepen, misdrijven die onder de rechtsmacht van het Internationaal Strafhof vallen, moord, verkrachting, ontvoering, wederrechtelijke vrijheidsberoving en gijzeling(123) – als strafbare feiten waarvoor een dergelijke mate van ernst minder duidelijk is, zoals fraude, namaak van producten en productpiraterij, vervalsing van administratieve documenten en handel in valse documenten, alsook handel in gestolen voertuigen.(124) Bovendien zijn sommige van de in bijlage II vermelde strafbare feiten van dien aard dat zij, meer dan andere daarin genoemde feiten, een grensoverschrijdend karakter kunnen vertonen, zoals bijvoorbeeld mensenhandel, illegale handel in verdovende middelen of wapens, seksuele uitbuiting van kinderen, hulp bij illegale binnenkomst en illegaal verblijf of kaping van vliegtuigen, en ook verband kunnen houden met het luchtvervoer van passagiers.

122. Wat betreft de mate waarin de in bijlage II opgenomen punten voldoende duidelijk en nauwkeurig zijn, is er ook hier sprake van grote verschillen. Hoewel de in deze bijlage opgenomen opsomming als limitatief moet worden beschouwd, hebben meerdere punten ervan echter een „open” karakter(125) en verwijzen andere naar algemene begrippen waaronder een zeer groot aantal strafbare feiten van uiteenlopende ernst kan vallen, zij het steeds binnen de limiet van de maximale ernstdrempel als bedoeld in artikel 3, punt 9, van de PNR-richtlijn.(126)

123. In dit verband zij opgemerkt dat de op de in artikel 83, lid 1, VWEU genoemde gebieden vastgestelde harmonisatierichtlijnen als vermeld in voetnoot 123 van deze conclusie, relevante elementen aanreiken met behulp waarvan op zijn minst sommige ernstige strafbare feiten kunnen worden geïdentificeerd die onder de overeenkomstige punten van bijlage II kunnen worden ingedeeld. Zo worden in de artikelen 3 tot en met 8 van richtlijn 2013/40 verschillende strafbare feiten omschreven die vallen onder het begrip „computercriminaliteit” als bedoeld in punt 9 van genoemde bijlage II, waarbij telkens wordt aangegeven dat „onbeduidende gevallen”(127) daarvan uitgesloten zijn. Ook richtlijn 2019/713 definieert bepaalde typologieën van fraudemisdrijven en richtlijn 2017/1371 omschrijft de bestanddelen van „fraude die de financiële belangen van de Unie schaadt”. Vermeldenswaard in deze context is ook de op grond van artikel 175, lid 1, EG vastgestelde richtlijn 2008/99/EG inzake de bescherming van het milieu door middel van het strafrecht(128), die in artikel 3 ervan verschillende ernstige milieudelicten definieert die onder punt 10 van bijlage II kunnen worden ingedeeld, daaronder begrepen elke handeling die kan worden gekwalificeerd als „illegale handel in bedreigde diersoorten en [...] illegale handel in bedreigde planten- en boomsoorten”, met uitsluiting van handelingen die een verwaarloosbare invloed hebben op de beschermde soort. Tot slot verwijs ik naar richtlijn 2002/90/EG(129), die de hulpverlening bij illegale binnenkomst, illegale doortocht en illegaal verblijf omschrijft, alsook naar kaderbesluit 2002/946/JBZ(130) tot versterking van het strafrechtelijk kader voor de bestrijding van deze strafbare feiten, kaderbesluit 2003/568/JBZ(131), dat een omschrijving geeft van de strafbare feiten „actieve en passieve corruptie in de privésector”, en kaderbesluit 2008/841/JBZ(132), waarin strafbare feiten worden omschreven die verband houden met de deelneming aan een criminele organisatie.

124. Voorts moet, zoals de Commissie terecht heeft opgemerkt, erop worden gewezen dat, bij gebreke van een volledige harmonisatie van het materiële strafrecht, de Uniewetgever niet kan worden verweten dat hij de in bijlage II bedoelde strafbare feiten niet nader heeft gepreciseerd. Anders dan verderop in deze conclusie zal worden opgemerkt in verband met de in bijlage I vervatte lijst van PNR-gegevens, vereist de omzetting van de in bijlage II opgenomen lijst van strafbare feiten in nationaal recht immers dat de lidstaten, afhankelijk van de specifieke kenmerken van hun nationale strafrechtstelsels, de strafbare feiten definiëren die in aanmerking kunnen komen. Deze oefening moet echter worden uitgevoerd met volledige inachtneming van het criterium dat elke inmenging in de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten tot het strikt noodzakelijke beperkt dient te blijven. Zo is het mijns inziens bijvoorbeeld niet uitgesloten dat de lidstaten ervoor kiezen om het gebruik van PNR-gegevens bij bepaalde strafbare feiten, zoals bijvoorbeeld die welke bedoeld zijn in de punten 7, 16, 17, 18 en 25 van bijlage II, te beperken tot die gevallen waarin deze strafbare feiten een grensoverschrijdend karakter vertonen of in het kader van een criminele organisatie dan wel onder bepaalde verzwarende omstandigheden zijn gepleegd. Het is aan de rechterlijke instanties van de lidstaten om, onder controle van het Hof, de nationale bepalingen tot omzetting van genoemde lijst in nationaal recht uit te leggen op een manier die in overeenstemming is met zowel de PNR-richtlijn als het Handvest, zodat de verwerking van PNR-gegevens voor elk punt beperkt blijft tot strafbare feiten die de door deze richtlijn vereiste hoge mate van ernst vertonen en tot strafbare feiten waarvoor een dergelijke verwerking relevant is.(133)

125. Onder voorbehoud van de preciseringen in de punten 120 en 124 van deze conclusie ben ik van mening dat artikel 3, punt 9, van de PNR-richtlijn en de in bijlage II erbij vervatte lijst van strafbare feiten voldoen aan de vereisten van duidelijkheid en nauwkeurigheid en niet verder gaan dan strikt noodzakelijk is.

126. Niettemin dient te worden erkend dat de in punt 124 van deze conclusie weergegeven oplossing niet helemaal bevredigend is. Zij laat de lidstaten immers een aanzienlijke beoordelingsmarge, waardoor het materiële toepassingsgebied van de verwerking van PNR-gegevens van lidstaat tot lidstaat sterk kan verschillen, hetgeen afbreuk zou doen aan de door de Uniewetgever nagestreefde harmonisatie.(134) Voorts impliceert zij dat de evenredigheidstoets van een wezenlijk element van het systeem, namelijk de afbakening van de doelstellingen van deze verwerking, achteraf wordt uitgevoerd op de nationale omzettingsmaatregelen en niet vooraf op de PNR-richtlijn zelf. In de veronderstelling dat het Hof, zoals ik het in overweging geef, zou oordelen dat artikel 3, punt 9, van de PNR-richtlijn en de in bijlage II erbij vervatte lijst van strafbare feiten in overeenstemming zijn met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, zou het dan ook wenselijk zijn dat het de aandacht van de Uniewetgever vestigt op het feit dat een dergelijke beoordeling slechts tijdelijk is en voor deze wetgever met zich meebrengt dat hij, in het licht van de huidige omzetting door de lidstaten van deze bepaling en lijst alsook ook basis van de statistische gegevens als bedoeld in artikel 20 van de PNR-richtlijn, nagaat of het nodig is (i) de in deze lijst bedoelde categorieën strafbare feiten nader te omschrijven door de reikwijdte ervan te beperken, (ii) strafbare feiten met betrekking tot de welke de verwerking van PNR-gegevens onevenredig, irrelevant dan wel ondoeltreffend is, uit deze lijst te verwijderen, en (iii) de ernstdrempel van de in artikel 3, punt 9, van de PNR-richtlijn bedoelde strafbare feiten te verhogen.(135) In dit verband merkt ik op dat hoewel artikel 19, lid 2, onder b), van de PNR-richtlijn de Commissie ertoe verplicht om alle elementen van deze richtlijn te evalueren en daarbij bijzondere aandacht te besteden aan „de noodzakelijkheid en evenredigheid van het verzamelen en het verwerken van PNR-gegevens voor elk van de in deze richtlijn genoemde doelen”, het verslag van de Commissie van 2020 noch het begeleidende werkdocument van 2020 naar mijn mening een afdoende evaluatie op dit punt bevat.

ii)    Door de PNR-richtlijn bedoelde categorieën PNR-gegevens (tweede en derde prejudiciële vraag)

127. De PNR-richtlijn bepaalt dat 19 categorieën PNR-gegevens, welke de luchtvaartmaatschappijen verzamelen ten behoeve van de reservering van vluchten, aan de PIE’s moeten worden doorgegeven. Deze in bijlage I opgesomde categorieën komen overeen met die welke zijn weergegeven in de reserveringssystemen van de luchtvaartmaatschappijen, alsook met die welke staan opgesomd in bijlage I bij de door de Internationale Burgerluchtvaartorganisatie (ICAO) in 2010(136) vastgestelde richtsnoeren voor passagiersgegevens (hierna: „richtsnoeren van de ICAO”).

128. Met zijn tweede prejudiciële vraag wenst de verwijzende rechter te vernemen of bijlage I geldig is in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, gelet op het feit dat, ten eerste, de in deze bijlage opgesomde persoonsgegevens zeer ruim zijn – onder meer de in punt 18 ervan beoogde API-gegevens, die verder gaan dan de gegevens beoogd in artikel 3, lid 2, van de API-richtlijn –, en, ten tweede, die gegevens, in hun geheel beschouwd, gevoelige gegevens kunnen onthullen en aldus de grenzen van het „strikt noodzakelijke” kunnen overschrijden. Met zijn derde prejudiciële vraag – die, zoals ik er reeds op heb gewezen, betrekking heeft op de naleving van de eerste van de drie voorwaarden van artikel 52, lid 1, van het Handvest, namelijk dat elke inmenging in de uitoefening van een grondrecht „bij wet moet worden gesteld” – wenst de verwijzende rechter daarentegen van het Hof te vernemen of de punten 12 en 18 van bijlage I geldig zijn, met name gelet op hun „open” karakter.

129. Aangezien het in het kader van de tweede prejudiciële vraag uit te voeren onderzoek vooronderstelt dat eerst is onderzocht of de in bijlage I bedoelde categorieën persoonsgegevens voldoende duidelijk en nauwkeurig zijn, zal ik eerst de derde prejudiciële vraag behandelen.

–       Voldoende duidelijkheid en nauwkeurigheid van de punten 12 en 18 van bijlage I (derde prejudiciële vraag)

130. Allereerst moet erop worden gewezen dat de omvang en de ernst van de inmenging in de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten door een maatregel waarbij de uitoefening van genoemde rechten wordt beperkt, vooral afhangen van de omvang en de aard van de persoonsgegevens die worden verwerkt. De vaststelling van deze gegevens vormt dan ook een essentiële verrichting, die in elke handeling op grond waarvan een dergelijke maatregel wordt getroffen, zo duidelijk en nauwkeurig mogelijk moet worden uitgevoerd.

131. Wat de verwerking van PNR-gegevens betreft, is dit vereiste erkend door advies 1/15. Met betrekking tot de in de bijlage bij de PNR-ontwerpovereenkomst Canada-EU opgenomen lijst met de opsomming van de door de voorgenomen overeenkomst beoogde PNR-gegevens heeft het Hof in dit advies er met name op gewezen dat het gebruik van algemene gegevenscategorieën die de omvang van de door te geven gegevens onvoldoende bepalen, alsook het gebruik van illustratieve lijsten van gegevens die geen beperking stellen aan de aard en de omvang van de gegevens die onder het betrokken punt kunnen worden opgenomen, niet voldoen aan de vereisten van duidelijkheid en nauwkeurigheid.

132. Het is in het licht van deze beginselen dat de derde prejudiciële vraag dient te worden onderzocht.

133. Punt 12 van bijlage I is als volgt verwoord:

„Algemene opmerkingen (met inbegrip van alle beschikbare informatie over niet-begeleide minderjarigen jonger dan 18 jaar, zoals naam en geslacht van de minderjarige, leeftijd, talen die de minderjarige spreekt, naam en contactgegevens van de persoon die de minderjarige begeleidt naar het vertrek en de aard van de relatie van deze persoon met de minderjarige, naam en contactgegevens van de persoon die de minderjarige afhaalt bij aankomst en de aard van de relatie van deze persoon met de minderjarige, functionaris voor vertrek en aankomst).”

134. In zoverre dit punt „algemene opmerkingen” beoogt, vormt het – net als punt 17 van de bijlage bij de PNR-ontwerpovereenkomst Canada-EU – een zogenoemde „free text”-rubriek die tot doel heeft om alle inlichtingen te omvatten die de luchtvaartmaatschappijen in het kader van hun dienstverleningsactiviteiten verzamelen, bovenop die welke uitdrukkelijk in de andere punten van bijlage I zijn opgesomd. Vastgesteld moet echter worden dat, zoals ook het Hof in punt 160 van advies 1/15 heeft opgemerkt, een dergelijk punt „geen aanwijzingen [levert] over de aard en de omvang van de door te geven inlichtingen, en [...] zelfs informatie [lijkt] te kunnen omvatten die geen verband houdt met de doelstelling van de doorgifte van de PNR-gegevens”. Aangezien de in de tekst van punt 12 van bijlage I tussen haakjes geplaatste aanvulling met betrekking tot niet-begeleide minderjarigen bovendien enkel bij wijze van voorbeeld is gegeven, zoals blijkt uit het gebruik van de uitdrukking „met inbegrip van”, beperkt dit punt bovendien geenszins de aard en de omvang van de informatie die daaronder kan vallen.(137)

135. In deze omstandigheden kan punt 12 van bijlage I niet worden geacht voldoende duidelijk en nauwkeurig te zijn afgebakend.

136. Hoewel de Commissie en het Parlement zich in deze conclusie lijken te kunnen vinden, gaan de lidstaten die schriftelijke opmerkingen over de derde prejudiciële vraag hebben ingediend alsook de Raad hiermee niet akkoord, en wel op grond van argumenten die elkaar grotendeels overlappen.

137. In de eerste plaats worden met een eerste reeks argumenten algemene vraagtekens gezet bij de mogelijkheid om de conclusies waartoe het Hof in advies 1/15 is gekomen, op de onderhavige zaak toe te passen.

138. In dit verband, en in de volle wetenschap van de verschillende achtergrond van beide zaken, volstaat het hier op te merken dat de conclusie waartoe het Hof in punt 160 van advies 1/15 is gekomen met betrekking tot punt 17 van de bijlage bij de PNR-ontwerpovereenkomst Canada-EU, gestoeld was op een zuiver semantische en systematische uitlegging van dit punt. Een dergelijke uitlegging kan dan ook perfect worden toegepast op punt 12 van bijlage I waarvan de bewoordingen, wat het niet illustratieve gedeelte betreft, identiek zijn aan die van genoemd punt en een soortgelijke structuur vertonen. Zoals hieronder nader zal worden uiteengezet, passen beide genoemde regelingen bovendien in hetzelfde multilaterale regelgevende kader dat met name bestaat in de richtsnoeren van de ICAO, waaraan het Hof overigens uitdrukkelijk heeft gerefereerd in punt 156 van advies 1/15. In die omstandigheden verzet niet alleen niets zich ertegen dat aan punt 12 van bijlage I dezelfde uitlegging wordt gegeven als die welke het Hof in punt 160 van advies 1/15 heeft gegeven aan punt 17 van de bijlage bij de PNR-ontwerpovereenkomst Canada-EU, maar zijn er ook en vooral geen gegronde redenen om van die uitlegging af te wijken.

139. In de tweede plaats benadrukken veel lidstaten dat de verschillende punten van bijlage I, daaronder begrepen punt 12, overeenstemmen met de punten van bijlage I bij de richtsnoeren van de ICAO, welke goed bekend zijn bij de luchtvaartmaatschappijen, die perfect in staat zijn om er een specifieke inhoud aan te verbinden. Dit punt 12 zou met name overeenstemmen met de laatste twee punten van genoemde bijlage, die respectievelijk „Algemene opmerkingen” en „Vrije tekst/codeveld in OSI [Other Supplementary Information], SSR [Special Service Request], SSI [Special Service Information], Opmerkingen/log” als opschrift dragen en betrekking hebben op „aanvullende inlichtingen” of inlichtingen „over aangevraagde diensten”.(138)

140. In dit verband zij allereerst opgemerkt dat de overeenkomst tussen enerzijds de punten van bijlage I bij de PNR-ontwerpovereenkomst Canada-EU en anderzijds de punten van bijlage I bij de richtsnoeren van de ICAO, het Hof er niet van heeft weerhouden om in advies 1/15 te verklaren dat sommige van de in bijlage I bij genoemde ontwerpovereenkomst opgenomen punten niet voldeden aan de vereisten van duidelijkheid en nauwkeurigheid waaraan een maatregel tot beperking van de uitoefening van grondrechten moet voldoen. Vervolgens merk ik op dat, anders dan sommige lidstaten kennelijk van mening zijn, een – overigens niet eens uitdrukkelijke(139) – verwijzing naar de richtsnoeren van de ICAO geen nadere precisering kan geven van de aard en de omvang van de gegevens die in punt 12 van bijlage I kunnen worden beoogd. De lezing van deze richtsnoeren zet integendeel de conclusie kracht bij dat een „free text”-rubriek, zoals opgenomen in genoemd punt 12, betrekking heeft op een onbepaald aantal gegevens van diverse aard, bovenop die welke automatisch in de PNR’s zijn opgenomen.(140)

141. In de derde plaats betogen sommige regeringen dat het aan de lidstaten staat om door middel van nationale wetgevingsmaatregelen en met inachtneming van de door de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest gestelde beperkingen, nader te preciseren welke gegevens in punt 12 van bijlage I kunnen worden opgenomen. Het is immers eigen aan een richtlijn dat zij de lidstaten een beoordelingsvrijheid laat wat betreft de noodzakelijke middelen ter uitvoering van de daarin vastgestelde bepalingen.

142. Zoals reeds uiteengezet in punt 86 van deze conclusie, ben ik dienaangaande de mening toegedaan dat wanneer maatregelen die ingrijpen in de grondrechten van het Handvest, hun oorsprong vinden in een wetgevingshandeling van de Unie, het aan de Uniewetgever is om, met inachtneming van de hierboven genoemde vereisten van duidelijkheid en nauwkeurigheid, alsook met eerbiediging van het evenredigheidsbeginsel, de precieze omvang van deze inmengingen te bepalen. Hieruit volgt dat wanneer het door deze wetgever gekozen instrument een richtlijn is, het mijns inziens niet aan de lidstaten kan worden overgelaten om bij de omzetting ervan in hun nationaal recht de wezenlijke elementen vast te stellen die de omvang bepalen van dit ingrijpen alsmede, wat beperkingen betreft op de uitoefening van de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten, de aard en de omvang van de persoonsgegevens die worden verwerkt.

143. In de vierde plaats merken sommige lidstaten op dat punt 12 van bijlage I aldus moet worden opgevat dat het alleen ziet op gegevens die samenhangen met het verlenen van vervoersdiensten. Aldus begrepen is dit punt verenigbaar met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest.

144. Dit argument overtuigt mij evenmin. Om te beginnen zijn de gegevens die in een punt „algemene opmerkingen” en onder de codes OSI, SSI en SSR kunnen worden opgenomen, immers zeer heterogeen van aard (medische zorg, speciale maaltijden of maaltijdkeuzen, verzoeken om bijstand van welke aard ook, gegevens over niet-begeleide minderjarigen, enzovoort)(141) en houden zij zonder uitzondering verband met het verlenen van de vervoersdienst, in die zin dat zij met name tot doel hebben om de luchtvaartmaatschappij in de gelegenheid te stellen deze dienst op de wensen van elke passagier af te stemmen. Bijgevolg kan de omvang van dit punt 12 niet nader worden gepreciseerd aan de hand van een uitleggingscriterium dat uitgaat van de relevantie van de gegevens voor het verlenen van de vervoersdienst. Voorts zij opgemerkt dat het Hof in punt 159 van advies 1/15 weliswaar dit criterium heeft gehanteerd om een ander punt van de bijlage bij de PNR-ontwerpovereenkomst Canada-EU te toetsen aan de vereisten van duidelijkheid en nauwkeurigheid, maar niettemin heeft uitgesloten dat dezelfde werkwijze kan worden gevolgd met betrekking tot punt 17 van deze bijlage, hetwelk overeenstemt met punt 12 van bijlage I.

145. In de vijfde plaats hebben sommige lidstaten erop gewezen dat de inlichtingen die in punt 12 van bijlage I kunnen worden beoogd, door de passagiers zelf op vrijwillige basis aan de luchtvaartmaatschappijen worden meegedeeld en dat genoemde passagiers naar behoren in kennis zijn gesteld van de verdere doorgifte van deze gegevens aan de overheidsinstanties. De gedachte waarop een dergelijk argument berust, is mijns inziens dat de betrokken passagiers in zekere zin stilzwijgend ermee instemmen dat de door hen aan de luchtvaartmaatschappijen meegedeelde gegevens vervolgens aan de overheidsinstanties worden doorgegeven.

146. Dienaangaande heeft het Hof reeds gepreciseerd dat er geen sprake kan zijn van „instemming” wanneer de betrokken persoon zich niet vrijelijk kan verzetten tegen de verwerking van zijn persoonsgegevens.(142) Wat betreft een groot deel van de inlichtingen die in punt 12 van bijlage I kunnen worden opgenomen, beschikt de betrokken passagier evenwel niet over een echte keuze, aangezien hij deze inlichtingen moet verschaffen om gebruik te kunnen maken van de vervoersdienst. Dit geldt met name voor invaliden, personen met beperkte mobiliteit, personen die medische zorg behoeven of ook niet-begeleide minderjarigen. Er zij bovendien aan herinnerd dat het Hof in de punten 142 en 143 van advies 1/15 duidelijk heeft bevestigd dat PNR-gegevens die door overheidsinstanties worden verwerkt voor een ander doel dan dat waarvoor de luchtvaartmaatschappijen deze gegevens verzamelen, niet kunnen worden geacht te zijn gebaseerd op enige vorm van toestemming die de luchtreizigers hebben gegeven voor het verzamelen van deze gegevens.

147. Tot slot voeren de meeste lidstaten aan dat in de PNR-richtlijn tal van waarborgen zijn ingebouwd met betrekking tot de gegevensverwerkingen waarin genoemde richtlijn voorziet. Zo rust, wat de doorgifte van gegevens aan de PIE’s betreft, de verplichting op laatstgenoemde om de gegevens te wissen die niet in bijlage I zijn opgenomen, alsook gegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, het lidmaatschap van een vakvereniging, de gezondheid, het seksleven of de seksuele geaardheid van de betrokkene kunnen blijken.

148. In dit verband wil ik meteen opmerken dat de beoordeling of de regels tot vaststelling van de omvang en de aard van de gegevens die aan de bevoegde instanties mogen worden doorgegeven, voldoende duidelijk en nauwkeurig zijn, in zoverre met deze beoordeling wordt beoogd na te gaan of een in de grondrechten van de artikelen 7 en 8 van het Handvest ingrijpende maatregel het legaliteitsbeginsel en rechtszekerheidsbeginsel eerbiedigt, mijns inziens moet worden uitgevoerd zonder rekening te houden met de waarborgen waarmee de verwerking van deze gegevens door genoemde instanties gepaard gaat, aangezien deze waarborgen pas bij de evenredigheidsbeoordeling van de maatregel in kwestie aan de orde komen. Het Hof is overigens in de punten 155 tot en met 163 van advies 1/15 op die manier te werk gegaan bij de beoordeling van de punten van de PNR-ontwerpovereenkomst Canada-EU. Meer algemeen zij hieraan toegevoegd dat bijzondere aandacht moet worden besteed aan de noodzaak om een duidelijk onderscheid te blijven maken tussen de verschillende stappen van de toetsing van een maatregel die in de grondrechten ingrijpt. Een vermenging van die verschillende stappen gaat mijns inziens immers altijd ten koste van een doeltreffende bescherming van die rechten.

149. Dit gezegd zijnde, wil ik er hier alleen op wijzen dat de overeenkomstig artikel 6, lid 1, van de PNR-richtlijn op de PIE’s rustende verplichting om alle andere dan de in bijlage I vermelde gegevens definitief te wissen, alleen maar zin heeft wanneer deze bijlage een duidelijke en beperkte lijst van door te geven gegevens bevat. Hetzelfde geldt voor de overeenkomstig artikel 13, lid 4, van de PNR-richtlijn op de PIE’s rustende verplichting om zogenoemde „gevoelige” gegevens te wissen.(143) Een te vage, onnauwkeurige of open definitie van de door te geven gegevens vergroot zowel de kans dat dergelijke gegevens indirect worden doorgegeven als het risico dat zij niet onmiddellijk worden geïdentificeerd en gewist. Of anders gezegd, de hierboven genoemde waarborgen kunnen alleen goed werken wanneer de regels tot vaststelling van de aard en de omvang van de PNR-gegevens die de luchtvaartmaatschappijen aan de PIE’s moeten doorgeven voldoende duidelijk en nauwkeurig zijn, en wanneer de lijst van deze gegevens beperkt en limitatief is.

150. Op basis van alle voorgaande overwegingen, en zoals ik in punt 135 van deze conclusie reeds heb aangestipt, ben ik van mening dat het deel van punt 12 van bijlage I waarin „algemene opmerkingen” zijn opgenomen bij de gegevens die de luchtvaartmaatschappijen overeenkomstig de PNR-richtlijn aan de PIE’s moeten doorgeven, niet voldoet aan de in artikel 52, lid 1, van het Handvest gestelde voorwaarden van duidelijkheid en nauwkeurigheid zoals uitgelegd door het Hof(144), en derhalve in zoverre ongeldig moet worden verklaard.

151.  In hun schriftelijke opmerkingen hebben de Commissie en het Parlement het Hof in overweging gegeven om veeleer een „conforme uitlegging” te geven aan punt 12 van bijlage I, en wel door het aldus op te vatten dat het alleen ziet op inlichtingen over de minderjarigen naar wie daarin uitdrukkelijk tussen haakjes wordt verwezen. Ik moet bekennen dat ik enige moeite heb met de aanname dat een dergelijke lezing de grenzen van een louter conforme uitlegging niet te buiten gaat. Het is juist dat volgens een algemeen uitleggingsbeginsel een handeling van de Unie zo veel mogelijk aldus moet worden uitgelegd dat de geldigheid ervan niet wordt aangetast en het gehele primaire recht en met name de bepalingen van het Handvest in acht worden genomen.(145) Voorts is het juist dat een dergelijke uitlegging, wat de PNR-richtlijn betreft, de voorkeur lijkt te hebben, met name gelet op de klemtoon die in tal van overwegingen ervan wordt gelegd op de volle eerbiediging van de grondrechten, het recht op eerbiediging van de persoonlijke levenssfeer en het evenredigheidsbeginsel.(146) Het is echter eveneens vaste rechtspraak dat een conforme uitlegging alleen dan is toegestaan wanneer een bepaling van afgeleid Unierecht voor meer dan één uitlegging vatbaar is en het bijgevolg mogelijk is om de uitlegging die ervoor zorgt dat de bepaling in overeenstemming is met het primaire recht, de voorkeur te geven boven de uitlegging die met zich meebrengt dat zij in strijd is met dat recht.(147)

152. Mijns inziens kan punt 12 van bijlage I echter niet op de door de Commissie en het Parlement geopperde wijze worden uitgelegd, aangezien zulks zou neerkomen op een uitlegging contra legem. Zoals ik hierboven heb uiteengezet, heeft dit punt immers betrekking op een ruime categorie gegevens van diverse aard die niet vooraf kunnen worden geïdentificeerd en waarvan de gegevens over minderjarigen slechts een subcategorie vormen. De lezing volgens welke dit punt alleen ziet op deze subcategorie, zou niet alleen betekenen dat wordt voorbijgegaan aan een deel van de bewoordingen ervan, maar zou ook de logische volgorde van de formulering in dit punt omkeren. Een dergelijke ingreep waarbij in wezen het deel van de bewoordingen van punt 12 van bijlage I wordt geschrapt dat wordt geacht niet te voldoen aan de vereisten van duidelijkheid en nauwkeurigheid, kan mijns inziens alleen worden uitgevoerd door genoemd punt gedeeltelijk nietig te verklaren.

153. Wat betreft het overige deel van punt 12 van bijlage I, waarin een aantal inlichtingen staat opgesomd met betrekking tot niet-begeleide minderjarigen, ben ik van mening dat het voldoet aan de vereisten van duidelijkheid en nauwkeurigheid, op voorwaarde dat het aldus wordt uitgelegd dat het alleen ziet op inlichtingen met betrekking tot de hierin uitdrukkelijk vermelde niet-begeleide minderjarigen die een rechtstreeks verband met de vlucht hebben.

154. Punt 18 van bijlage I is verwoord als volgt:

„Alle verzamelde API-gegevens (Advance Passenger Information) (onder meer soort, nummer, land van afgifte en geldigheidsdatum van een identiteitsdocument, nationaliteit, familienaam, voornaam, geslacht, geboortedatum, luchtvaartmaatschappij, vluchtnummer, datum van vertrek, datum van aankomst, luchthaven van vertrek, luchthaven van aankomst, tijdstip van vertrek, tijdstip van aankomst).”

155. De opbouw van dit punt is vergelijkbaar met die van punt 12 van bijlage I. Het vermeldt eveneens een algemene categorie gegevens, namelijk de vooraf te verstrekken passagiersgegevens (Advance Passenger Information – API), tussen haakjes gevolgd door een lijst van gegevens die worden geacht tot deze algemene categorie te behoren. Deze lijst is louter indicatief, zoals blijkt uit het gebruik van de uitdrukking „onder meer”.

156. Anders dan punt 12 van bijlage I verwijst punt 18 ervan echter naar een categorie gegevens die naar aard en omvang beter identificeerbaar zijn. Uit overweging 4 van de PNR-richtlijn blijkt immers dat wanneer daarin naar deze categorie gegevens wordt verwezen, de passagiersgegevens worden bedoeld die overeenkomstig de API-richtlijn, waarnaar deze overweging uitdrukkelijk verwijst, vooraf door de luchtvaartmaatschappijen aan de bevoegde nationale instanties worden verstrekt ter verbetering van de grenscontroles en ter bestrijding van illegale immigratie. Deze gegevens worden opgesomd in artikel 3, lid 2, van laatstgenoemde richtlijn.

157. Bovendien blijkt uit overweging 9(148) van de PNR-richtlijn, alsook uit artikel 3, lid 2, van de API-richtlijn en de in punt 18 van bijlage I vervatte indicatieve lijst, dat het bij de in dit punt bedoelde API-gegevens enerzijds gaat om biografische gegevens ter verificatie van de identiteit van de passagier en anderzijds om informatie over de geboekte vlucht. Wat meer bepaald de eerste categorie betreft, namelijk de biografische gegevens, heeft de in artikel 3, lid 2, van de API-richtlijn en in punt 18 van bijlage I opgesomde informatie betrekking op gegevens die bij het inchecken worden gegenereerd en welke van het machineleesbare gedeelte van een paspoort (of ander reisdocument) kunnen worden afgelezen.(149)

158. Bijgevolg is in punt 18 van bijlage I, uitgelegd tegen de achtergrond van de overwegingen 4 en 9 van de PNR-richtlijn, op zijn minst de aard van de daarin beoogde gegevens in beginsel voldoende duidelijk en nauwkeurig omschreven.

159. Wat de omvang van die gegevens betreft, moet worden vastgesteld dat ook artikel 3, lid 2, van de API-richtlijn „open” is geformuleerd, aangezien de daarin vervatte opsomming van gegevens wordt voorafgegaan door de uitdrukking „de bovenbedoelde informatie bevat”(150), en dat de API-gegevenscategorie, zoals omschreven in de multilaterale harmonisatie-instrumenten op dit gebied, ook andere gegevens omvat dan die welke bedoeld zijn in zowel de API-richtlijn als in punt 18 van bijlage I.(151)

160. In die omstandigheden dient punt 18 van bijlage I, teneinde te voldoen aan de vereisten van duidelijkheid en nauwkeurigheid die worden gesteld aan rechtsgronden die gepaard gaan met een inmenging in de artikelen 7 en 8 van het Handvest, aldus te worden uitgelegd dat het uitsluitend betrekking heeft op de API-gegevens die uitdrukkelijk zijn opgesomd in dit punt en in artikel 3, lid 2, van de API-richtlijn en welke door de luchtvaartmaatschappijen zijn verzameld in het kader van hun normale bedrijfsvoering.(152)

161. In dit stadium moet kort worden stilgestaan bij de overige punten van bijlage I, die, gelet op hun bewoordingen, eveneens een „open” karakter vertonen of onvoldoende nauwkeurig zijn, ook al heeft de verwijzende rechter het Hof hieromtrent geen uitdrukkelijke vragen gesteld.(153)

162. Wat allereerst punt 5 van bijlage I betreft, waarin gesproken wordt van „adres en contactgegevens (telefoonnummer, e-mailadres)”, moet worden vastgesteld dat het uitsluitend betrekking heeft op de uitdrukkelijk tussen haakjes genoemde contactgegevens en bijgevolg limitatief is. Daartegenover staat evenwel dat genoemd punt, anders dan het overeenkomstige punt van de PNR-ontwerpovereenkomst Canada-EU(154), niet preciseert of deze contactgegevens alleen verwijzen naar de luchtreiziger of naar derden die de vlucht hebben geboekt voor de luchtreiziger, derden via welke een luchtreiziger kan worden bereikt of derden met wie in noodgevallen contact moet worden opgenomen.(155) Aangezien een uitlegging van punt 5 van bijlage I volgens welke dit punt eveneens betrekking heeft op de voornoemde categorieën derden, de met de PNR-richtlijn gepaard gaande inmenging zou uitbreiden tot andere personen dan de passagiers in de zin van artikel 3, punt 4, van de PNR-richtlijn, geef ik, bij gebreke van nauwkeurige gegevens op basis waarvan kan worden vastgesteld dat de stelselmatige en algemene verzameling van de contactgegevens van deze derden strikt noodzakelijk is voor de doeltreffende werking van het door deze richtlijn ingestelde systeem voor de verwerking van PNR-gegevens, het Hof in overweging genoemd punt aldus uit te leggen dat het alleen betrekking heeft op de contactgegevens die daarin uitdrukkelijk zijn genoemd en die de luchtreiziger betreffen op wiens naam de vlucht is geboekt. Het is juist dat de PNR-richtlijn niet uitsluit dat ook persoonsgegevens van andere individuen dan de passagiers aan de PIE’s kunnen worden doorgegeven.(156) Het is echter van groot belang dat de voorwaarden waaronder dit mogelijk is, duidelijk en uitdrukkelijk zijn aangegeven, zoals dat het geval is voor de in punt 9 van bijlage I genoemde reisagenten of de in punt 12 ervan bedoelde personen die minderjarigen begeleiden. Alleen indien aan deze voorwaarde is voldaan, kan immers ervan worden uitgegaan dat bij de beslissing om deze gegevens op te nemen in de aan de PIE’s door te geven gegevens, een afweging is gemaakt tussen de verschillende belangen die in het spel zijn in de zin van overweging 15 van de PNR-richtlijn, en dat de betrokken derden naar behoren kunnen worden geïnformeerd over de verwerking van hun persoonsgegevens.

163. Wat vervolgens punt 6 van bijlage I betreft, dat ziet op „[a]lle betalingsinformatie, met inbegrip van het factuuradres”, kan dit punt, zoals het Hof in punt 159 van advies 1/15 heeft geoordeeld met betrekking tot het overeenkomstige punt van de bijlage bij de PNR-ontwerpovereenkomst Canada-EU, slechts beantwoorden aan de vereisten van duidelijkheid en nauwkeurigheid, indien het wordt uitgelegd als „betrekking hebbend op de informatie inzake de betalings- en factureringswijzen van het vliegticket en dus niet op andere informatie die geen rechtstreeks verband houdt met de vlucht”. Deze informatie mag bijgevolg geen gegevens bevatten over, bijvoorbeeld, de betalingswijze van andere diensten die geen rechtstreeks verband houden met de vlucht, zoals het huren van een auto bij aankomst.(157)

164. Punt 8, dat ziet op „[i]nformatie betreffende reizigers die gebruikmaken van een loyaliteitsprogramma voor frequent reizen”, wordt door de ICAO-normen gedefinieerd als betrekking hebbend op het rekeningnummer in het programma en de status van de frequente reiziger.(158) Aldus uitgelegd, voldoet dit punt aan de vereisten van duidelijkheid en nauwkeurigheid.

165. Aangaande punt 10 van bijlage I, dat ziet op de „[r]eisstatus van de passagier, met inbegrip van bevestigingen, check-in-status en ‚no-show’ of ‚go-show’-informatie”, en punt 13 van genoemde bijlage, dat betrekking heeft op „[i]nformatie uit de biljetuitgifte (‚ticketing field’-informatie), waaronder het biljetnummer, de uitgiftedatum van het reisbiljet, biljetten voor enkele reizen en geautomatiseerde prijsnotering van reisbiljetten”, moet worden vastgesteld dat deze punten, niettegenstaande hun open formulering, alleen betrekking hebben op bijzonder nauwkeurige en duidelijk identificeerbare informatie die rechtstreeks verband houdt met de vlucht. Dit geldt eveneens voor punt 14 van bijlage I, dat ziet op „[z]itplaatsinformatie, waaronder het zitplaatsnummer”, en punt 16 van deze bijlage, dat ziet op „[a]lle bagage-informatie”.

–       Omvang van de in bijlage I opgesomde gegevens (tweede prejudiciële vraag)

166. Een van de factoren waarmee het Hof rekening houdt bij de evenredigheidsbeoordeling van een maatregel die een inmenging oplevert in de rechten van de artikelen 7 en 8 van het Handvest, is of de verwerkte persoonsgegevens toereikend, relevant en niet bovenmatig zijn (beginsel van „gegevensminimalisatie”)(159). Hetzelfde criterium is te vinden in de rechtspraak van het EHRM(160) en wordt tevens aanbevolen door Verdrag 108(161).

167. Uit overweging 15 van de PNR-richtlijn volgt dat de lijst van de PNR-gegevens die door een PIE worden verkregen, zo is opgesteld dat wordt tegemoetgekomen aan zowel de legitieme behoeften van de overheid in verband met de bestrijding van terrorisme en ernstige criminaliteit als de bescherming van de grondrechten op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens door toepassing van „hoge normen” in overeenstemming met het Handvest, Verdrag 108 en het EVRM. In dezelfde overweging wordt gepreciseerd dat de PNR-gegevens uitsluitend details dienen te bevatten over de reserveringen en de reisroutes van de passagier die de bevoegde instanties in staat stellen te bepalen welke vliegtuigpassagiers een risico voor de interne veiligheid vormen.

168. Wat in de eerste plaats de toereikendheid en relevantie van de in bijlage I opgenomen PNR-gegevens betreft, hebben de verschillende punten van deze bijlage, daaronder begrepen de punten 5, 6, 8 en 18, althans volgens de door mij voorgestane uitlegging(162), alsook punt 12, met uitzondering van het gedeelte dat mijns inziens ongeldig moet worden verklaard(163), alleen betrekking op gegevens die rechtstreeks verband houden met de vluchten die binnen het toepassingsgebied vallen van de PNR-richtlijn. Bovendien bestaat er een objectief verband tussen deze gegevens en de met deze richtlijn nagestreefde doelstellingen. Vooral de API-gegevens lenen zich met name voor „reactief” gebruik voor het identificeren van personen die reeds bij de rechtshandhavingsinstanties zijn bekend, bijvoorbeeld omdat zij ervan worden verdacht betrokken te zijn bij terroristische misdrijven of ernstige criminele feiten die reeds zijn gepleegd, of op het punt te staan een dergelijk misdrijf te plegen, terwijl de PNR-gegevens veeleer bedoeld zijn voor „real time” of „proactief” gebruik teneinde gevaren te identificeren die uitgaan van individuen die nog niet bij de rechtshandhavingsinstanties zijn bekend.

169. Wat in de tweede plaats de omvang van de in bijlage I opgesomde PNR-gegevens betreft, lijken deze gegevens, daaronder die welke zijn opgenomen in de punten 5, 6, 8 12 en 18 van deze bijlage, althans volgens de door mij in de punten 134 tot en met 164 van deze conclusie voorgestane uitlegging, niet bovenmatig te zijn, gelet op, ten eerste, het belang van de door de PNR-richtlijn nagestreefde doelstelling van openbare veiligheid en, ten tweede, de geschiktheid van de door de PNR-richtlijn ingestelde regeling voor het nastreven van die doelstelling.

170. Wat met name de API-gegevens betreft die specifiek aan bod komen in de door de verwijzende rechter gestelde vragen, zij opgemerkt dat deze biografische gegevens en gegevens over de afgelegde route in de regel slechts beperkte informatie kunnen opleveren over het privéleven van de betrokken passagiers. Bovendien mag het dan al juist zijn dat punt 18 van bijlage I ziet op gegevens die niet uitdrukkelijk zijn genoemd in artikel 3, lid 2, van de API-richtlijn, dit neemt echter niet weg dat deze gegevens met betrekking tot de identiteit van de passagier (geslacht), het gebruikte reisdocument (land van afgifte en geldigheidsdatum van een identiteitsdocument) of ook de genomen vlucht (luchtvaartmaatschappij, vluchtnummer, datum en luchthaven van vertrek en aankomst) elkaar gedeeltelijk overlappen of ontleend kunnen worden aan de PNR-gegevens als bedoeld in andere punten van bijlage I, zoals bijvoorbeeld de punten 3, 7 en 13. Daarenboven kan genoemde informatie, aangezien zij betrekking heeft op biografische gegevens of gebruikte reisdocumenten, de rechtshandhavingsinstanties helpen bij de identiteitscontrole van personen en zodoende, zoals aangegeven in overweging 9 van de PNR-richtlijn, het risico beperken dat onschuldige personen het voorwerp uitmaken van ongerechtvaardigde controles en onderzoeken. Tot slot moet erop worden gewezen dat op grond van het enkele feit dat punt 18 van bijlage I meer gegevens omvat dan die welke zijn opgenomen in artikel 3, lid 2, van de API-richtlijn, niet automatisch kan worden aangenomen dat deze gegevens buitensporig van aard zijn, aangezien deze richtlijn en de PNR-richtlijn andere doelstellingen nastreven.

171. Aangaande de in punt 12 van bijlage I opgesomde gegevens over niet-begeleide minderjarigen zij opgemerkt dat deze betrekking hebben op een categorie kwetsbare personen die bijzondere bescherming geniet, ook op het gebied van de eerbiediging van de persoonlijke levenssfeer en de bescherming van persoonsgegevens.(164) Dit neemt niet weg dat een beperking van deze rechten noodzakelijk kan zijn, met name met het oog op de bescherming van kinderen tegen vormen van ernstige criminaliteit waarvan zij het slachtoffer kunnen zijn, zoals mensenhandel, seksuele uitbuiting of ontvoering. Bijgevolg kan niet a priori worden aangenomen dat punt 12 van bijlage I verder gaat dan strikt noodzakelijk is, in zoverre dat daarin wordt verlangd dat met betrekking tot niet-begeleide minderjarigen meer persoonsgegevens worden doorgegeven.

172.  Hoewel de persoonsgegevens die de luchtvaartmaatschappijen overeenkomstig de PNR-richtlijn aan de PIE’s moeten doorgeven mijns inziens voldoen aan de vereisten van geschiktheid en relevantie, en ook al gaat de omvang ervan niet verder dan strikt noodzakelijk is voor de werking van de door deze richtlijn ingestelde regeling, dit neemt niet weg dat een dergelijke doorgifte voor elke betrokken passagier betrekking heeft op een aanzienlijke hoeveelheid persoonsgegevens van uiteenlopende aard, alsook op een zeer groot aantal gegevens in absolute termen. In die omstandigheden is het van primordiaal belang dat een dergelijke doorgifte gepaard gaat met voldoende waarborgen die ervoor zorgen dat enerzijds uitsluitend de uitdrukkelijk beoogde gegevens worden doorgegeven en anderzijds de veiligheid en vertrouwelijkheid van de doorgegeven gegevens worden gegarandeerd.

173. In dit verband moet enerzijds worden opgemerkt dat de Uniewetgever om te beginnen een aantal waarborgen heeft ingebouwd die de voor de rechtshandhavingsinstanties toegankelijk gemaakte categorieën PNR-gegevens kunnen beperken en die er tevens voor zorgen dat deze toegang beperkt blijft tot de gegevens waarvan de verwerking noodzakelijk wordt geacht met het oog op de door de PNR-richtlijn nagestreefde doelstellingen. Zo geeft deze richtlijn ten eerste – onder voorbehoud van de in het kader van het antwoord op de derde prejudiciële vraag uiteengezette overwegingen – een limitatieve en nauwkeurige opsomming van de gegevens die aan de PIE’s mogen worden doorgegeven. Ten tweede geeft de PNR-richtlijn uitdrukkelijk aan dat alleen de gegevens in deze lijst – die de uitkomst is van een afweging tussen de verschillende belangen en vereisten zoals bedoeld in overweging 15 van deze richtlijn – aan de PIE’s mogen worden doorgegeven (artikel 6, lid 1, van de PNR-richtlijn). Ten derde schrijft deze richtlijn voor dat wanneer de doorgegeven PNR-gegevens andere dan de in bijlage I vermelde gegevens bevatten, zij „door de PIE onmiddellijk na ontvangst definitief [worden] gewist” (artikel 6, lid 1, van de PNR-richtlijn). Ten vierde bepaalt genoemde richtlijn dat de in bijlage I vermelde PNR-gegevens alleen door de luchtvaartmaatschappijen mogen worden doorgegeven voor zover zij deze gegevens reeds hebben verzameld in het kader van hun normale bedrijfsvoering (artikel 8, lid 1, en overweging 8 van de PNR-richtlijn), wat impliceert dat niet alle in bijlage I vermelde gegevens systematisch door de PIE’s kunnen worden geraadpleegd, maar alleen die gegevens die in het reserveringssysteem van de betrokken luchtvaartmaatschappij zijn ingevoerd. Ten vijfde zijn de luchtvaartmaatschappijen overeenkomstig artikel 8, lid 1, van de PNR-richtlijn verplicht om de PNR-gegevens door middel van de „push-methode” naar de PIE’s te versturen. Deze methode, die door de richtsnoeren van de ICAO(165) wordt aanbevolen, houdt in dat de luchtvaartmaatschappijen de PNR-gegevens zelf versturen naar de databanken van de PIE’s. In vergelijking met de „pull-methode”, waarbij de bevoegde instanties toegang krijgen tot de reserveringssystemen van de luchtvaartmaatschappijen en uit hun databanken een kopie van de benodigde PNR-gegevens kunnen halen, biedt de „push-methode” meer garanties door de betrokken luchtvaartmaatschappij toezicht en controle over de PNR-gegevens te laten behouden. Tot slot bepaalt de PNR-richtlijn, in lijn met de richtsnoeren van de ICAO en het „éénloketbeginsel”(166), dat de PNR-gegevens moeten worden doorgegeven aan één enkele instantie – de PIE – die onder toezicht staat van de in artikel 5 van deze richtlijn bedoelde functionaris en vooral van de nationale toezichthoudende autoriteit als bedoeld in artikel 15 van genoemde richtlijn.

174. Anderzijds voorziet de PNR-richtlijn in een zeker aantal waarborgen om de beveiliging van de PNR-gegevens te verzekeren. Ik verwijs in dit verband naar artikel 13, lid 2, van deze richtlijn, volgens hetwelk de artikelen 28 en 29 van de politierichtlijn betreffende de vertrouwelijkheid van de verwerking en de beveiliging van gegevens van toepassing zijn op elke verwerking van persoonsgegevens krachtens deze richtlijn, alsook naar lid 3 van ditzelfde artikel, waarin de luchtvaartmaatschappijen met betrekking tot de verwerking van persoonsgegevens worden herinnerd aan de krachtens de AVG op hen rustende verplichtingen, met name om passende technische en organisatorische maatregelen te treffen met het oog op de bescherming van de veiligheid en vertrouwelijkheid van deze gegevens.(167)

175. Tot slot moet erop worden gewezen dat passagiers overeenkomstig de overwegingen 29 en 37 van de PNR-richtlijn het recht hebben op „juiste, gemakkelijk toegankelijke en begrijpelijke informatie”, onder meer over de verzameling van PNR-gegevens, waarbij de lidstaten wordt verzocht om te waken over de eerbiediging van dit recht. Hoewel dit recht in de tekst van de PNR-richtlijn niet tot uiting komt in de vorm van een dwingende bepaling, breng ik in herinnering dat, zoals reeds aangegeven bij het onderzoek van de eerste prejudiciële vraag, de bepalingen van de AVG van toepassing zijn op de doorgifte van PNR-gegevens aan de PIE’s. Bijgevolg zijn de luchtvaartmaatschappijen bij deze doorgifte verplicht om – onder meer – de artikelen 13 en 14 AVG in acht te nemen, welke voorzien in het recht op informatie van bij de verwerking van persoonsgegevens betrokken personen. Hoewel het passend zou zijn dat de lidstaten bij de omzetting van de PNR-richtlijn uitdrukkelijk voorzien in het recht van passagiers op informatie, zoals erkend door de overwegingen 29 en 37 van deze richtlijn, is het hun in geen geval toegestaan om de reikwijdte van de artikelen 13 en 14 AVG te beperken op grond van artikel 23, lid 1, van deze verordening, aangezien zulks zou indruisen tegen de geest van de PNR-richtlijn. Om effectief te zijn, moet dit recht echter ook gelden voor de categorieën PNR-gegevens die worden doorgegeven.

176. Gelet op een en ander ben ik van mening dat de PNR-gegevens waarvan de verwerking is geregeld door de PNR-richtlijn, onder voorbehoud van de in het kader van de derde prejudiciële vraag geopperde beperkingen en aangebrachte preciseringen, relevant, toereikend en niet bovenmatig zijn in verhouding tot de door deze richtlijn nagestreefde doelstellingen, en dat de omvang ervan niet verder gaat dan strikt noodzakelijk is om die doelstellingen te verwezenlijken.

–       Gevoelige gegevens

177. De PNR-richtlijn stelt een algemeen verbod op elke verwerking van „gevoelige gegevens”.(168)

178. Hoewel deze richtlijn geen definitie bevat van het begrip „gevoelige gegevens”, blijkt uit artikel 13, lid 4, ervan dat dit begrip ten minste ziet op de „PNR-gegevens [waaruit] ras of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, vakbondslidmaatschap, gezondheid of seksuele geaardheid van de betrokkene blijkt”.(169) In punt 165 van advies 1/15 heeft het Hof duidelijk gemaakt dat een maatregel die uitgaat van het postulaat dat een of meer van deze kenmerken „op zichzelf en los van het individuele gedrag van de betrokken reiziger relevant kunnen zijn in het licht van de doelstelling van de verwerkingen van de PNR-gegevens [...] in strijd is met de rechten die worden gewaarborgd door de artikelen 7 en 8 van het Handvest, juncto artikel 21 ervan”. Bijgevolg eerbiedigt de PNR-richtlijn, door een verbod te stellen op elke verwerking van de in artikel 13, lid 4, ervan bedoelde gegevens, de door het Hof gestelde grenzen aan het gebruik van deze gegevens in het kader van een systeem voor de verwerking van PNR-gegevens, ongeacht of dit wordt beheerst door het nationaal recht, het Unierecht of een door de Unie gesloten internationale overeenkomst.

179. Het door de PNR-richtlijn gestelde algemene verbod op de verwerking van gevoelige gegevens strekt zich ook uit tot de verzameling ervan. Zoals uitdrukkelijk is aangegeven in overweging 15 van deze richtlijn, gaan de in bijlage I opgenomen 19 punten niet uit van de in artikel 13, lid 4, ervan bedoelde PNR-gegevens.

180. Hoewel geen enkel van deze punten uitdrukkelijk ziet op dergelijke gegevens, kunnen deze niettemin vallen onder met name de rubriek „Algemene opmerkingen” als opgenomen in punt 12 van bijlage I, welke een „free text”-rubriek vormt die – zoals reeds opgemerkt in het kader van het onderzoek van de derde prejudiciële vraag – betrekking kan hebben op een onbepaald aantal gegevens van diverse aard. Zoals overigens ook het Hof heeft opgemerkt in punt 164 van advies 1/15, is het gevaar immers niet denkbeeldig dat onder genoemde rubriek vallende informatie, bijvoorbeeld met betrekking tot voedingsvoorkeuren, verzoeken om bijstand of voordelige prijspakketten voor bepaalde categorieën personen of verenigingen, op rechtstreekse wijze gevoelige gegevens onthult in de zin van artikel 13, lid 4, van de PNR-richtlijn, met name met betrekking tot de godsdienstige overtuiging van de betrokken passagiers, hun gezondheid of hun lidmaatschap van een vakvereniging of politieke partij.

181. Aangezien de verwerking van deze gegevens hoe dan ook is uitgesloten door de PNR-richtlijn, gaat de doorgifte ervan door de luchtvaartmaatschappijen niet alleen kennelijk verder dan strikt noodzakelijk is, maar is zij ook volstrekt overbodig. In dit verband zij benadrukt dat het feit dat de PIE’s overeenkomstig artikel 13, lid 4, tweede volzin, van de PNR-richtlijn in ieder geval verplicht zijn om PNR-gegevens onmiddellijk te wissen indien daaruit informatie blijkt zoals bedoeld in de eerste volzin van dit lid, een doorgifte van deze gegevens niet kan toestaan of rechtvaardigen(170), aangezien het door genoemde richtlijn gestelde verbod op verwerking ervan in werking treedt vanaf het eerste stadium van de verwerking van PNR-gegevens. De verplichting om gevoelige gegevens te wissen, vormt dan ook slechts een aanvullende waarborg waarin deze richtlijn voorziet voor de uitzonderlijke gevallen waarin dergelijke gegevens bij vergissing aan de PIE’s worden doorgegeven.

182. Bovendien zij erop gewezen dat, zoals ook advocaat-generaal Mengozzi heeft opgemerkt in punt 222 van zijn conclusie bij advies 1/15(171), informatie die onder „free text”-rubrieken valt, zoals de onder punt 12 van bijlage I opgenomen rubriek „Algemene opmerkingen”, en die gevoelige gegevens kan bevatten in de zin van artikel 13, lid 4, van de PNR-richtlijn, slechts facultatief door de passagiers wordt meegedeeld. Om die reden is het weinig waarschijnlijk dat personen die betrokken zijn bij terroristische misdrijven of ernstige criminaliteit dergelijke informatie spontaan zullen meedelen, zodat de stelselmatige doorgifte van deze gegevens naar alle waarschijnlijkheid in de meeste gevallen personen betreft die een aanvullende dienst hebben aangevraagd en derhalve voor de rechtshandhavingsinstanties in werkelijkheid geen enkel belang hebben.(172)

183. In het kader van het onderzoek van de derde prejudiciële vraag ben ik tot de slotsom gekomen dat punt 12 van bijlage I, in zoverre het ziet op de rubriek „Algemene opmerkingen”, niet voldoet aan de in artikel 52, lid 1, eerste volzin, van het Handvest gestelde voorwaarden van duidelijkheid en nauwkeurigheid. Om de zojuist genoemde redenen ben ik van mening dat de opneming van deze rubriek, zonder nadere precisering van de informatie die zij kan beogen, in de stelselmatig aan de PIE’s doorgegeven categorieën gegevens evenmin voldoet aan de in artikel 52, lid 1, tweede volzin, van het Handvest gestelde voorwaarde van noodzakelijkheid, zoals uitgelegd door het Hof.(173)

184. Daarbij zij aangetekend dat een verwijdering van zogenoemde „free text”-rubrieken uit de lijst van PNR-gegevens die in het kader van een systeem voor de verwerking van PNR-gegevens aan de overheidsinstanties moeten worden doorgegeven, niet volstaat om het gevaar uit te sluiten dat gevoelige gegevens desalniettemin aan deze instanties worden verstrekt. Dergelijke gegevens kunnen immers niet alleen rechtstreeks worden afgeleid uit informatie die onder dergelijke rubrieken valt, maar ook onrechtstreeks worden onthuld door dan wel vermoed op basis van informatie die in „gecodeerde” rubrieken is vervat. Zo kan bijvoorbeeld de naam van de passagier aanwijzingen verschaffen of op zijn minst hypothesen voeden over de etnische afkomst of godsdienstige overtuiging van de betrokken passagier. Hetzelfde geldt voor zijn of haar nationaliteit. Deze gegevens komen in beginsel niet in aanmerking om te worden verwijderd uit de door te geven lijst van PNR-gegevens, en evenmin om te worden gewist door de voor de ontvangst ervan bevoegde overheidsinstanties. Teneinde het gevaar voor stigmatisering van een groot aantal personen – op wie nochtans geen enkele verdenking van een strafbaar feit rust – te voorkomen, is het derhalve van groot belang dat een systeem voor de verwerking van PNR-gegevens voorziet in voldoende waarborgen die in elk stadium van de verwerking van de verzamelde gegevens uitsluiten dat deze verwerking dergelijke kenmerken rechtstreeks of onrechtstreeks in aanmerking kan nemen, bijvoorbeeld door bij de geautomatiseerde analyse selectoren te gebruiken die op deze kenmerken zijn gebaseerd. Verderop in mijn onderzoek zal ik op dit punt terugkomen.

185. Gelet op een en ander ben ik van mening dat de PNR-richtlijn, onder voorbehoud van de conclusie waartoe ik in punt 183 hierboven ben gekomen, in het stadium van de doorgifte van PNR-gegevens aan de PIE’s voldoende waarborgen biedt voor de bescherming van gevoelige gegevens.

iii) Begrip „passagier” (vierde prejudiciële vraag)

186. Met zijn vierde prejudiciële vraag wenst de verwijzende rechter in wezen van het Hof te vernemen of het door de PNR-richtlijn ingestelde systeem, in zoverre dat het de algemene doorgifte en verwerking toelaat van de PNR-gegevens van iedere persoon die beantwoordt aan het begrip „passagier” in de zin van artikel 3, punt 4, van deze richtlijn, los van elk objectief element dat het mogelijk maakt ervan uit te gaan dat die persoon een risico voor de openbare veiligheid kan vormen, verenigbaar is met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest. De verwijzende rechter vraagt zich met name af of de rechtspraak van het Hof inzake de bewaring van en toegang tot gegevens in de sector elektronische communicatie kan worden toegepast op het door de PNR-richtlijn ingestelde systeem voor de verwerking van persoonsgegevens.

187. In genoemde rechtspraak heeft het Hof, voor zover van belang voor de onderhavige zaak, geoordeeld dat een regeling die ter bestrijding van ernstige criminaliteit voorziet in de preventieve, algemene en ongedifferentieerde bewaring van met de elektronische communicatie verband houdende verkeers- en locatiegegevens(174) met het oog op de raadpleging ervan door de rechtshandhavingsinstanties, en die in geen enkele differentiatie, beperking of uitzondering voorziet naargelang van het nagestreefde doel, in beginsel niet kan worden beschouwd als een regeling die in een democratische samenleving gerechtvaardigd is.(175) Het Hof is tot dezelfde conclusie gekomen met betrekking tot een nationale regeling die, met het oog op het bestrijden van terrorisme, voorzag in de geautomatiseerde analyse van alle genoemde gegevens via een filtering ervan door aanbieders van elektronische-communicatiediensten, op verzoek van de bevoegde nationale autoriteiten en in overeenstemming met de door die autoriteiten vastgestelde parameters.(176) Volgens het Hof kunnen dergelijke maatregelen alleen worden gerechtvaardigd in situaties waarin een lidstaat wordt geconfronteerd met een werkelijke en actuele of voorzienbare bedreiging van de nationale veiligheid, en wanneer de beslissing tot uitvoering ervan effectief kan worden getoetst door een rechterlijke instantie of onafhankelijke bestuurlijke autoriteit.(177) Bovendien moet het gebruik van dergelijke maatregelen volgens het Hof beperkt blijven tot een periode die niet langer is dan strikt noodzakelijk en mag het in geen geval een stelselmatig karakter hebben.(178)

188. Bovendien zij opgemerkt dat hoewel het Hof in deze rechtspraak, anders dan in het arrest Schrems I, niet zo ver is gegaan om uitdrukkelijk te bevestigen dat er sprake was van een aantasting van de wezenlijke inhoud van het recht op eerbiediging van de persoonlijke levenssfeer, het toch geoordeeld heeft dat de inmenging die de maatregelen in kwestie met zich meebrachten, zo ernstig waren dat genoemde maatregelen, behoudens in het beperkte geval van specifieke bedreigingen voor de nationale veiligheid van een lidstaat, zonder meer niet konden worden aangemerkt als zijnde beperkt tot het strikt noodzakelijke en aldus verenigbaar met het Handvest(179), ongeacht de waarborgen waarin eventueel was voorzien tegen de risico’s van misbruik van dan wel onrechtmatige toegang tot de betrokken gegevens.(180)

189. Zoals ik eerder al heb beklemtoond, heeft een regeling zoals die van de PNR-richtlijn een zeker aantal elementen gemeen met het type maatregelen dat het Hof heeft onderzocht in de rechtspraak die in de bovenstaande punten van deze conclusie in herinnering is gebracht, welke haar een bijzonder indringend karakter verlenen. Zo is door deze richtlijn een algemeen en ongedifferentieerd systeem ingesteld voor de geautomatiseerde verzameling en analyse van de persoonsgegevens van een aanzienlijk deel van de bevolking, hetwelk op algemene wijze wordt toegepast op alle personen die beantwoorden aan het begrip „passagier” in de zin van artikel 3, punt 4, van genoemde richtlijn en bijgevolg ook op personen voor wie er geen enkele aanwijzing bestaat dat hun gedrag – zelfs maar indirect of van ver – verband houdt met terroristische misdrijven of ernstige criminele feiten. Het is in die omstandigheden dat de verwijzende rechter wenst te vernemen of deze rechtspraak van toepassing is op een systeem voor de verwerking van PNR-gegevens zoals ingesteld door de PNR-richtlijn.

190. In dit verband merk ik op dat het Hof in de punten 186 tot en met 189 van advies 1/15, gewijd aan een onderzoek van de personele werkingssfeer van de PNR-ontwerpovereenkomst Canada-EU, vermeden heeft om maar enige parallel te trekken tussen, enerzijds, de maatregelen met het oog op de bewaring en de algemene en ongedifferentieerde toegang tot de inhoud van elektronische communicatie en verkeers- en locatiegegevens en, anderzijds, de doorgifte van de PNR-gegevens en de geautomatiseerde verwerking ervan in het kader van de met genoemde overeenkomst beoogde voorafgaande beoordeling van passagiers. Op het tijdstip dat dit advies werd uitgebracht, bestond er echter reeds vaste rechtspraak – amper enkele maanden vóór dit advies nog bevestigd door het arrest Tele2 Sverige waaraan de verwijzende rechter refereert – waarin genoemde maatregelen, behoudens specifieke en concrete situaties(181), onverenigbaar werden geacht met het Handvest.(182) De meest recentere arresten van het Hof op dit gebied, en met name het arrest La Quadrature du Net, sluiten aan bij deze rechtspraak door haar nader toe te lichten en in sommige opzichten van nuance te voorzien.

191. In de genoemde punten van advies 1/15 heeft het Hof uitdrukkelijk aangegeven dat de PNR-ontwerpovereenkomst Canada-EU niet verder ging dan strikt noodzakelijk was, voor zover zij de doorgifte en de geautomatiseerde verwerking van de PNR-gegevens van alle luchtreizigers naar Canada toestond met het oog op hun voorafgaande beoordeling, ook al werden een dergelijke doorgifte en verwerking geacht te gebeuren „los van het feit of er al dan niet objectieve gegevens aanwezig zijn die laten vermoeden dat de betrokken reizigers een risico kunnen opleveren voor de openbare veiligheid in Canada”.(183) In punt 187 van dit advies is het Hof zo ver gegaan om te bevestigen dat „de uitsluiting van bepaalde categorieën personen of bepaalde gebieden van herkomst in de weg staan aan de verwezenlijking van de doelstelling van de geautomatiseerde verwerking van de PNR-gegevens – te weten door middel van een verificatie van deze gegevens die luchtreizigers identificeren die een risico zouden kunnen opleveren voor de openbare veiligheid – en het mogelijk maken om aan deze verificatie te ontsnappen”.(184)

192. Zodoende is het Hof, althans wat betreft de algemene en ongedifferentieerde doorgifte van PNR-gegevens, afgeweken van de strengere benadering die wordt gevolgd op het gebied van de bewaring van en de toegang tot metagegevens.

193. Ook al kan niet worden ontkend dat het Hof, zoals met name blijkt uit de punten 152 en 188 van advies 1/15, in zijn redenering rekening heeft gehouden met de vaststelling dat de geautomatiseerde verwerking van de PNR-gegevens ervoor zorgt dat de veiligheidscontroles, met name aan de grens, soepeler verlopen, en voorts met het feit dat overeenkomstig het Verdrag van Chicago alle passagiers die het grondgebied wensen te betreden van een land dat partij is bij genoemd verdrag, de grenscontroles moeten ondergaan en de toelatings- en vertrekvoorwaarden dienen te respecteren waarin het recht van dat land voorziet, daaronder begrepen de verificatie van hun PNR-gegevens, toch pleiten mijns inziens nog andere redenen voor een dergelijke gediversifieerde benadering, waaronder in de eerste plaats de aard van de verwerkte gegevens.

194. Het Hof heeft bij herhaling benadrukt dat niet alleen de inhoud van elektronische communicatie, maar ook metagegevens informatie kunnen prijsgeven over „een groot aantal aspecten van het privéleven van de betrokken personen, waaronder ook gevoelige informatie, zoals seksuele geaardheid, politieke opvattingen, religieuze, filosofische, maatschappelijke of andersoortige overtuigingen en gezondheid” en dat uit deze gegevens, in hun geheel beschouwd, „zeer precieze conclusies [kunnen] worden getrokken over het privéleven van de personen van wie de gegevens zijn bewaard, zoals hun dagelijkse gewoonten, hun permanente of tijdelijke verblijfplaats, hun dagelijkse of andere verplaatsingen, de activiteiten die zij uitoefenen, hun sociale relaties en de sociale kringen waarin zij verkeren”, en dat aan de hand van deze gegevens met name „het profiel van de betrokken personen [kan] worden bepaald, informatie die vanuit het oogpunt van het recht op bescherming van het privéleven even gevoelig is als de inhoud zelf van de communicatie”.(185) Er zij bovendien aan herinnerd dat de tot dusver door het Hof onderzochte regelingen, inclusief die welke bij richtlijn 2006/24 is ingesteld, geen enkele uitzondering toestonden en ook van toepassing waren op communicatie naar of van diensten in de sociale of religieuze sfeer of aan de geheimhoudingsplicht gebonden professionele diensten. Zo heeft het Hof weliswaar niet geoordeeld dat er sprake was van een aantasting van de wezenlijke inhoud van het grondrecht op eerbiediging van de persoonlijke levenssfeer, maar niettemin bevestigd dat „gezien het gevoelige karakter van de informatie die verkeers‑ en locatiegegevens kunnen prijsgeven, [...] de vertrouwelijkheid van deze gegevens [...] essentieel [is] voor het recht op eerbiediging van het privéleven”.(186)

195. Daarentegen heeft het Hof, zoals ik in de punten 77 en 98 van deze conclusie in herinnering heb gebracht, in advies 1/15 weliswaar erkend dat PNR-gegevens in voorkomend geval weliswaar zeer precieze informatie over iemands privéleven kunnen onthullen(187), maar desondanks heeft het bevestigd dat de aard van deze informatie beperkt is tot bepaalde aspecten van het privéleven(188), wat de toegang tot dergelijke gegevens minder indringend maakt dan de toegang tot de inhoud van elektronische communicatie en tot verkeers‑ en locatiegegevens.

196. In de tweede plaats verschillen PNR-gegevens niet alleen naar hun aard van verkeers‑ en locatiegegevens, maar zijn er ook verschillen in de hoeveelheid en verscheidenheid aan informatie die deze verschillende categorieën gegevens kunnen prijsgeven, met dien verstande dat de in PNR-gegevens vervatte informatie zowel kwantitatief als kwalitatief beperkter is. Dit is niet alleen toe te schrijven aan het feit dat de systemen voor de algemene en ongedifferentieerde verwerking van elektronische-communicatiegegevens nagenoeg de volledige doelgroep kunnen bestrijken, terwijl de systemen voor de verwerking van PNR-gegevens gericht zijn op een kleinere – zij het numeriek nog steeds aanzienlijke – groep individuen, maar ook aan de gebruiksfrequentie van elektronische-communicatiemiddelen en de verscheidenheid ervan. Bovendien voorziet de PNR-richtlijn in de verzameling en verwerking van een beperkt en limitatief vastgesteld aantal PNR-gegevens, met uitsluiting van de gegevens behorend tot de in artikel 13, lid 4, van deze richtlijn genoemde categorieën, zodat zo niet de hoeveelheid, dan toch minstens de gevoeligheid van de mogelijk daaruit voortvloeiende informatie over het privéleven van de betrokken personen deels voorafgaand kan worden beoordeeld.(189) Een dergelijke beperking van de soorten beoogde gegevens, die ervoor zorgt dat gegevens die gevoelige informatie kunnen bevatten grotendeels worden uitgesloten, is slechts gedeeltelijk mogelijk in het geval van verkeers‑ en locatiegegevens, gelet op het aantal betrokken gebruikers en communicatiemiddelen.(190)

197. In de derde plaats kan elke verwerking van elektronische-communicatiemetagegevens niet alleen raken aan de privacy van nagenoeg de volledige bevolking, maar maakt zij ook inbreuk op de uitoefening van andere vrijheden die eenieder toelaten om deel te nemen aan het sociale en democratische leven van een land(191) en kan zij gebruikers van elektronische-communicatiemiddelen met name ontmoedigen om hun vrijheid van meningsuiting uit te oefenen(192), „een van de wezenlijke grondslagen van een democratische en pluralistische samenleving”, die behoort tot de waarden waarop de Unie is gebaseerd.(193) Dit aspect is inherent aan maatregelen die zien op deze categorieën van persoonsgegevens en heeft in beginsel niets van doen met systemen voor de verwerking van PNR-gegevens.

198. In de vierde plaats bestaat er, hoofdzakelijk als gevolg van de hoeveelheid en verscheidenheid aan gevoelige informatie die uit de inhoud van elektronische communicatie alsook uit verkeers‑ en locatiegegevens kan worden gewonnen, bij de verwerking van deze gegevens een aanzienlijk groter gevaar voor willekeur dan bij systemen voor de verwerking van PNR-gegevens.

199. Gelet op een en ander ben ik van mening dat de door het Hof gehanteerde striktere benadering op het gebied van elektronische communicatie als zodanig niet kan worden toegepast op de systemen voor de verwerking van PNR-gegevens. In die zin heeft het Hof zich reeds – op zijn minst impliciet – uitgesproken in advies 1/15 tegen de achtergrond van een internationale overeenkomst tot instelling van een dergelijk systeem met het oog op de bescherming van de veiligheid van een derde land. Hetzelfde standpunt is mijns inziens a fortiori gerechtvaardigd met betrekking tot de PNR-richtlijn, die de bescherming beoogt van de interne veiligheid van de Unie.

200. Daarbij zij aangetekend dat, zoals advocaat-generaal Mengozzi heeft opgemerkt in punt 216 van zijn conclusie bij advies 1/15(194), het belang van de PNR‑regelingen – of zij nu eenzijdig worden vastgesteld of het voorwerp zijn van een internationale overeenkomst – juist erin gelegen is, de massieve doorgifte te waarborgen van gegevens aan de hand waarvan de bevoegde autoriteiten met behulp van geautomatiseerde gegevensverwerking en vooraf vastgelegde schema’s of evaluatiecriteria individuen kunnen identificeren die bij de opsporingsdiensten nog onbekend waren, maar een „belang” of een gevaar voor de openbare veiligheid lijken te vertonen en dus de kans lopen dat zij later aan verdergaande individuele controles worden onderworpen. Het vereiste van een „redelijk vermoeden”, dat bevestiging vindt in de rechtspraak van het EHRM over doelgerichte onderscheppingen in het kader van een strafrechtelijk onderzoek(195) en in die van het Hof over de bewaring van metagegevens(196), is derhalve minder relevant in de context van een dergelijke doorgifte en verwerking.(197) Met name het door dergelijke regelingen nagestreefde preventiedoel zou niet kunnen worden bereikt wanneer de toepassing van die regelingen wordt beperkt tot een specifieke categorie personen, zoals het Hof overigens heeft verklaard in de in punt 191 van deze conclusie genoemde punten van advies 1/15, zodat het toepassingsgebied van de PNR-richtlijn blijkt te verzekeren dat het nagestreefde doel daadwerkelijk wordt bereikt.(198)

201. Voorts dient te worden onderstreept dat de Commissie meermaals heeft gewezen op het strategische belang van de verwerking van PNR-gegevens als essentieel instrument voor de gemeenschappelijke respons van de Unie op terrorisme en ernstige criminaliteit en als bouwsteen van de veiligheidsunie.(199) De rol van de systemen voor de verwerking van PNR-gegevens in de context van een „mondiale aanpak” van terrorismebestrijding is ook erkend door de Veiligheidsraad van de Verenigde Naties, die in resolutie 2396 (2017)(200) de lidstaten van de Verenigde Naties heeft opgedragen om „hun capaciteit te ontwikkelen om, ter bevordering van de normen en aanbevolen praktijken van de ICAO, PNR-gegevens te verzamelen, te verwerken en te analyseren en ervoor te zorgen dat deze gegevens worden gebruikt door en worden gedeeld met al hun bevoegde nationale autoriteiten, met volledige eerbiediging van de rechten van de mens en de fundamentele vrijheden, ten behoeve van het voorkomen, opsporen en onderzoeken van terroristische misdrijven en daarmee verband houdende reizen”.(201) Deze verplichting wordt herhaald in resolutie 2482/2019 over terrorisme en ernstige grensoverschrijdende criminaliteit.(202)

202. Tegen die achtergrond waarborgt de vaststelling van een op Unieniveau geharmoniseerd systeem voor de verwerking van PNR-gegevens, zowel voor vluchten naar of vanuit derde landen als voor vluchten binnen de EU – dit laatste ten behoeve van de lidstaten die van artikel 2 van de PNR-richtlijn hebben gebruikgemaakt –, dat deze gegevens worden verwerkt met eerbiediging van het door deze richtlijn geboden hoge niveau van bescherming van de in de artikelen 7 en 8 van het Handvest verankerde grondrechten. Tegelijkertijd wordt hiermee een juridisch kader aangereikt dat als ijkpunt kan dienen voor de onderhandeling van internationale overeenkomsten over de doorgifte en verwerking van PNR-gegevens.(203)

203. Voorts is het weliswaar juist dat het door de PNR-richtlijn ingestelde systeem doelt op alle passagiers zonder onderscheid, zoals met name het Parlement terecht heeft opgemerkt in zijn schriftelijke opmerkingen en zoals ook de Veiligheidsraad van de Verenigde Naties heeft beklemtoond in resolutie 2396 (2017), waarin wordt gewezen op het concrete gevaar dat de burgerluchtvaart voor terroristische doeleinden wordt gebruikt, zowel als vervoermiddel alsook als doelwit(204), feit blijft dat er een objectief verband bestaat tussen het luchtvervoer en de bedreigingen voor de openbare veiligheid die met name uitgaan van terrorisme en, op zijn minst, van bepaalde vormen van ernstige criminaliteit, waaronder vooral drugshandel of mensenhandel die overigens een uitgesproken grensoverschrijdende dimensie hebben.

204. Tot slot, zoals ook is aangevoerd door het Parlement, de Raad en verschillende lidstaten die schriftelijke opmerkingen hebben ingediend, moet erop worden gewezen dat de passagiers bij het binnenkomen of verlaten van de Unie veiligheidscontroles moeten ondergaan.(205) De doorgifte en verwerking van de PNR-gegevens voor hun aankomst of vertrek zorgen ervoor dat deze controles vlotter en sneller verlopen, zoals ook het Hof in advies 1/15 heeft opgemerkt, doordat de rechtshandhavingsinstanties hun aandacht kunnen richten op passagiers van wie zij om gegronde redenen aannemen dat ze mogelijk een echt veiligheidsrisico vormen.(206)

205. Wat in de laatste plaats de uitbreiding van het door de PNR-richtlijn ingestelde systeem tot vluchten binnen de EU betreft, kan niet a priori worden uitgesloten dat zulks een impact kan hebben op het vrije verkeer van de burgers van de Europese Unie als verankerd in met name artikel 45 van het Handvest, al is de inmenging in het privéleven die de PNR-richtlijn met zich meebrengt mijns inziens weliswaar ernstig, maar toch niet van dien aard dat zij op zichzelf een ontmoedigend effect zou hebben op de uitoefening van die vrijheid, te meer daar de verwerking van de PNR-gegevens door het publiek zelfs kan worden ervaren als een noodzakelijke maatregel om de veiligheid van vliegreizen te verzekeren.(207) Feit blijft dat de mogelijkheid van een dergelijk ontmoedigend effect voortdurend moet worden geëvalueerd en gemonitord.

206. Om in overeenstemming te zijn met de in de punten 107 en 108 van deze conclusie aangehaalde rechtspraak, mag de PNR-richtlijn zich er evenwel niet toe beperken te eisen dat de toegang tot en de verwerking van de PNR-gegevens van alle passagiers aan het beoogde doeleinde beantwoorden, maar moet zij ook op duidelijke en nauwkeurige wijze de materiële en procedurele voorwaarden voor die toegang en verwerking bepalen, alsook voor het verdere gebruik van die gegevens(208), en in elk stadium van dit proces voorzien in passende waarborgen. Bij het onderzoek van de tweede prejudiciële vraag zijn al de waarborgen aan bod gekomen met betrekking tot de doorgifte van de PNR-gegevens aan de PIE’s. Bij het onderzoek van de zesde prejudiciële vraag zal ik de waarborgen overlopen waarin specifiek is voorzien bij de geautomatiseerde verwerking van deze gegevens om vervolgens, bij het onderzoek van de achtste prejudiciële vraag, nader in te gaan op de waarborgen met betrekking tot de bewaring ervan.

207. Alvorens verder te gaan met dit onderzoek, wil ik het fundamentele belang benadrukken van het toezicht dat in het kader van het door de PNR-richtlijn ingestelde systeem van waarborgen wordt uitgeoefend door de onafhankelijke autoriteit als bedoeld in artikel 15 van deze richtlijn. Overeenkomstig dit artikel staat elke verwerking van gegevens waarin genoemde richtlijn voorziet, onder toezicht van een onafhankelijke toezichthoudende autoriteit die bevoegd is om de rechtmatigheid van deze verwerking te controleren, onderzoek, inspecties en controles te verrichten en klachten te behandelen die door betrokkenen zijn ingediend. Een dergelijke controle, uitgeoefend door een externe instantie waaraan de taak is opgedragen om belangen te verdedigen die mogelijk in strijd zijn met die welke worden nagestreefd door de instanties die de PNR-gegevens verwerken, en om te waken over de naleving van alle beperkingen en waarborgen met betrekking tot genoemde verwerkingen, vormt een essentiële waarborg, zoals uitdrukkelijk neergelegd in artikel 8, lid 3, van het Handvest, die de betrokken grondrechten zelfs doeltreffender beschermt dan het systeem van voor particulieren openstaande rechtsmiddelen. Bijgevolg is het mijns inziens van fundamenteel belang dat het Hof een ruime uitlegging geeft aan de reikwijdte van de in artikel 15 van de PNR-richtlijn bedoelde toezichtbevoegheden en dat de lidstaten bij de omzetting van deze richtlijn in nationaal recht deze bevoegdheden in hun volle omvang toekennen aan hun nationale toezichthoudende autoriteit door haar de materiële en personele middelen ter beschikking te stellen die nodig zijn om haar taak te vervullen.

208. Gelet op een en ander ben ik van mening dat de PNR-richtlijn niet verder gaat dan strikt noodzakelijk is, voor zover zij de doorgifte en geautomatiseerde verwerking toestaat van de gegevens van iedere persoon die beantwoordt aan het begrip „passagier” in de zin van artikel 3, punt 4, van deze richtlijn.

iv)    Voldoende duidelijkheid en nauwkeurigheid en strikte noodzakelijkheid van de voorafgaande beoordeling van de passagiers (zesde prejudiciële vraag)

209. Met zijn zesde prejudiciële vraag wenst de verwijzende rechter in wezen van het Hof te vernemen of de in artikel 6 van de PNR-richtlijn bedoelde voorafgaande beoordeling van de passagiers verenigbaar is met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest. Hoewel de bewoordingen van deze vraag zich toespitsen op de stelselmatige en algemene wijze waarop de PNR-gegevens van alle passagiers geautomatiseerd worden verwerkt in het kader van deze voorafgaande beoordeling, blijkt uit de motivering van de verwijzingsbeslissing dat het Grondwettelijk Hof het Hof verzoekt om meer in het algemeen te beoordelen of het legaliteits- en evenredigheidsbeginsel in het kader van een dergelijke verwerking in acht wordt genomen. Deze beoordeling zal ik hieronder maken, daarbij teruggrijpend naar de bij het onderzoek van de vierde prejudiciële vraag verrichte analyse met betrekking tot het ongedifferentieerde karakter van genoemde geautomatiseerde verwerking.

210. Artikel 6, lid 2, onder a), van de PNR-richtlijn bepaalt dat de PIE een voorafgaande beoordeling verricht van de passagiers vóór hun geplande aankomst in of gepland vertrek uit de lidstaat. Deze beoordeling beoogt te bepalen welke personen moeten worden onderworpen aan een nader onderzoek door de bevoegde instanties „omdat zij betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit”. Overeenkomstig artikel 6, lid 6, van de PNR-richtlijn worden de PNR-gegevens van de in het kader van deze beoordeling aangemerkte personen of het verwerkingsresultaat van die gegevens door de PIE van een lidstaat „voor nader onderzoek” doorgezonden aan de in artikel 7 van deze richtlijn bedoelde bevoegde instanties van diezelfde lidstaat.

211. Overeenkomstig artikel 6, lid 3, van de PNR-richtlijn worden bij de verrichting van de in lid 2, onder a), van dit artikel bedoelde beoordeling de PNR-gegevens vergeleken met „relevante” databanken [artikel 6, lid 3, onder a)] of verwerkt overeenkomstig vooraf bepaalde criteria [artikel 6, lid 3, onder b)].

212. Alvorens elk van deze beide vormen van gegevensverwerking te onderzoeken, merk ik op dat uit de bewoordingen van het hierboven genoemde artikel 6, lid 3, niet duidelijk blijkt of de lidstaten verplicht zijn te bepalen dat de voorafgaande beoordeling van de passagiers wordt verricht door stelselmatig en in ieder geval zowel de ene als de andere geautomatiseerde verwerking uit te voeren dan wel dat zij, zoals het gebruik van het werkwoord „kunnen” en het tegenstellend voegwoord „of” laat uitschijnen, hun systemen bijvoorbeeld zodanig mogen inrichten dat de in artikel 6, lid 3, onder b), bedoelde beoordeling beperkt blijft tot specifieke gevallen. In dit verband wijs ik erop dat het voorstel voor de PNR-richtlijn erin voorzag dat deze beoordeling alleen zou worden verricht in het kader van de bestrijding van ernstige grensoverschrijdende criminaliteit.(209)

213. Net als de Commissie ben ik van mening dat met name uit de systematiek van de PNR-richtlijn volgt dat de lidstaten verplicht zijn te voorzien in beide vormen van geautomatiseerde verwerking, en wel om redenen die ook verband houden met de eis dat het Uniesysteem voor de verwerking van PNR-gegevens zo uniform mogelijk wordt toegepast. Dit betekent echter niet dat het de lidstaten niet is toegestaan – en zelfs kan worden opgelegd teneinde ervoor te zorgen dat de gegevensverwerking die samenhangt met de voorafgaande beoordeling overeenkomstig artikel 6, lid 2, onder a), van de PNR-richtlijn tot het strikt noodzakelijke beperkt blijft – om de verwerking overeenkomstig artikel 6, lid 3, onder b), van de PNR-richtlijn te beperken op basis van de resultaten ervan in termen van doeltreffendheid voor elk van de in genoemde richtlijn bedoelde strafbare feiten en, in voorkomend geval, uitsluitend toe te spitsen op sommige van deze strafbare feiten. In deze zin pleit overweging 7 van de PNR-richtlijn door aan te geven dat om „ervoor te zorgen dat de verwerking van PNR-gegevens beperkt blijft tot het noodzakelijke, [...] de vaststelling en toepassing van beoordelingscriteria [dient] te worden beperkt tot terroristische misdrijven en ernstige criminaliteit waarvoor het gebruik van dergelijke criteria relevant is”.

–       Vergelijking met databanken in de zin van artikel 6, lid 3, onder a), van de PNR-richtlijn

214. In het eerste deel van de voorafgaande beoordeling die de PIE’s overeenkomstig artikel 6, lid 2, onder a), van de PNR-richtlijn uitvoeren, worden de PNR-gegevens overeenkomstig lid 3, onder a), van dit artikel vergeleken met databanken („data matching”) om te zoeken naar eventuele positieve overeenkomsten („hits”). Vervolgens worden deze „hits” overeenkomstig artikel 6, lid 5, van de PNR-richtlijn door de PIE’s gecontroleerd en in voorkomend geval omgezet in „matches” alvorens naar de bevoegde instanties te worden doorgezonden.

215. Zoals het Hof in punt 172 van advies 1/15 heeft erkend, hangt de mate waarin de geautomatiseerde verwerking van de PNR-gegevens een inmenging oplevert in de grondrechten die in de artikelen 7 en 8 van het Handvest zijn verankerd, hoofdzakelijk af van de databanken waarop dit type van gegevensverwerking is gebaseerd. Het is bijgevolg van fundamenteel belang dat de bepalingen die in dergelijke gegevensverwerkingen voorzien, voldoende duidelijk en nauwkeurig aangeven met welke databanken de te verwerken gegevens mogen worden vergeleken.

216. Overeenkomstig artikel 6, lid 3, onder a), van de PNR-richtlijn vergelijken de PIE’s de PNR-gegevens met „databanken die relevant zijn”(210) in het licht van de met deze richtlijn nagestreefde doelstellingen. Deze bepaling vermeldt ook een specifieke categorie databanken, namelijk die welke in verband staan met „gezochte of gesignaleerde personen of voorwerpen”, waaruit volgt dat de Uniewetgever deze categorie databanken uitdrukkelijk heeft willen kwalificeren als „relevant” in de zin van deze bepaling.

217. Afgezien van deze precisering wordt het begrip „relevante databanken” niet nader toegelicht. Zo wordt met name niet aangegeven of databanken waarmee de PNR-gegevens worden vergeleken, door rechtshandhavingsinstanties of, meer algemeen, door om het even welke overheidsinstantie moeten worden beheerd, of alleen maar direct of indirect toegankelijk moeten zijn voor deze instanties, om als „relevant” te kunnen worden aangemerkt. Ook de aard van de gegevens die dergelijke databanken kunnen bevatten en hun verband met de door de PNR-richtlijn nagestreefde doelstellingen worden evenmin nader gepreciseerd.(211) Uit de bewoordingen van artikel 6, lid 3, onder a), van de PNR-richtlijn blijkt bovendien dat zowel nationale en EU-databanken als internationale databanken als „relevante databanken” kunnen worden aangemerkt, wat de lijst van potentieel in aanmerking komende databanken nog langer maakt en het open karakter van dit begrip verder verruimt.(212)

218. In die omstandigheden is het aan het Hof om, overeenkomstig het in punt 151 van deze conclusie in herinnering gebrachte algemene uitleggingsbeginsel, artikel 6, lid 3, onder a), van de PNR-richtlijn, en met name het begrip „relevante databanken”, zo veel mogelijk uit te leggen in overeenstemming met de in het Handvest neergelegde eisen van duidelijkheid en nauwkeurigheid. Bovendien moet deze bepaling, aangezien zij gepaard gaat met een inmenging in de grondrechten als bedoeld in de artikelen 7 en 8 van het Handvest, restrictief worden uitgelegd en met inachtneming van het vereiste om een hoog niveau van bescherming van deze grondrechten te waarborgen, zoals met name wordt benadrukt in overweging 15 van de PNR-richtlijn. Voorts moet zij worden uitgelegd in het licht van het beginsel van doelafbakening van de verwerking van PNR-gegevens, zoals vastgesteld in artikel 1, lid 2, van de PNR-richtlijn.

219. Met inachtneming van deze criteria moet het begrip „relevante databanken” mijns inziens aldus worden uitgelegd dat het alleen betrekking heeft op nationale databanken die worden beheerd door de bevoegde instanties als bedoeld in artikel 7, lid 1, van de PNR-richtlijn, alsmede op Unie- en internationale databanken die rechtstreeks door die instanties worden geëxploiteerd bij de uitoefening van hun taken. Genoemde databanken moeten ook rechtstreeks en nauw verband houden met de door de PNR-richtlijn nagestreefde doelstellingen van bestrijding van terrorisme en ernstige criminaliteit, hetgeen impliceert dat zij voor die doelstellingen moeten zijn ontwikkeld. Aldus uitgelegd, heeft dit begrip hoofdzakelijk, zo niet uitsluitend, betrekking op de in artikel 6, lid 3, onder a), van de PNR-richtlijn uitdrukkelijk genoemde databanken in verband met gezochte of gesignaleerde personen of voorwerpen.

220. De door de inlichtingendiensten van de lidstaten beheerde databanken zijn op algemene wijze uitgesloten van het begrip „relevante databanken”, tenzij deze in elk opzicht voldoen aan de voorwaarde van een nauw verband met de door de PNR-richtlijn nagestreefde doelstellingen en op voorwaarde dat de betrokken lidstaat zijn inlichtingendiensten specifieke bevoegdheden op het gebied van rechtshandhaving heeft verleend.(213)

221. De hierboven in overweging gegeven uitlegging strookt met de door het Hof geformuleerde aanbevelingen in punt 172 van advies 1/15.

222. Niettemin volstaat ook deze uitlegging van artikel 6, lid 3, onder a), van de PNR-richtlijn niet voor een voldoende nauwkeurige identificatie van de databanken waarmee de lidstaten de PNR-gegevens mogen vergelijken en kan zij niet worden geacht te voldoen aan de uit artikel 52, lid 1, van het Handvest voortvloeiende vereisten, zoals uitgelegd door het Hof. Derhalve moet deze bepaling aldus worden gelezen dat zij de lidstaten ertoe verplicht om bij de omzetting van de PNR-richtlijn in nationaal recht een lijst van genoemde databanken te publiceren en bij te houden. Het zou bovendien wenselijk zijn dat een lijst van door de Unie – in samenwerking met de lidstaten – beheerde en internationale „relevante databanken” in de zin van artikel 6, lid 3, onder a), van de PNR-richtlijn op Unieniveau wordt opgesteld teneinde de praktijk van de lidstaten in dit opzicht uniform te maken.

–       Verwerking van PNR-gegevens overeenkomstig vooraf bepaalde criteria

223. In het tweede deel van de voorafgaande beoordeling overeenkomstig artikel 6, lid 2, onder a), van de PNR-richtlijn wordt een geautomatiseerde analyse overeenkomstig vooraf bepaalde criteria uitgevoerd. In het kader van deze analyse worden de PNR-gegevens hoofdzakelijk voor voorspellende doeleinden verwerkt door toepassing van algoritmen waarvan wordt aangenomen dat zij passagiers kunnen „identificeren” die betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit. Hierbij voert de PIE in wezen een profileringsactiviteit uit.(214) Aangezien een dergelijke verwerking belangrijke gevolgen kan hebben voor de individuen die door het algoritme worden geïdentificeerd(215), behoeft zij een nauwkeurig kader dat zowel de wijze van uitvoering ervan als de noodzakelijke waarborgen vaststelt. Zoals het Hof heeft opgemerkt in punt 172 van advies 1/15, hangt de mate waarin dergelijke verwerkingen een inmenging opleveren in de rechten die in de artikelen 7 en 8 van het Handvest zijn verankerd, immers hoofdzakelijk af van de toegepaste vooraf vastgestelde modellen en criteria.

224. In dit verband zij in de eerste plaats opgemerkt dat artikel 6, lid 4, tweede volzin, van de PNR-richtlijn preciseert dat de vooraf bepaalde criteria op grond waarvan de voorafgaande beoordeling als bedoeld in artikel 6, lid 3, onder b), van deze richtlijn wordt uitgevoerd, „doelgericht, evenredig en specifiek” moeten zijn. De eerstgenoemde voorwaarde heeft betrekking op het nagestreefde doel van de in lid 2, onder a), van dit artikel genoemde voorafgaande beoordeling, namelijk bepalen welke personen moeten worden onderworpen aan een nader onderzoek door de bevoegde instanties, en beantwoordt aldus aan het door het Hof in advies 1/15 benadrukte vereiste dat de gebruikte criteria tot resultaten leiden waarmee „precies” die personen worden geïdentificeerd op wie een „redelijk vermoeden” van deelneming aan terrorisme of zware criminaliteit kan rusten.(216) Een dergelijke „precisie” impliceert de toepassing van abstracte beoordelingscriteria of – zoals de aanbeveling van 2021 over profilering het uitdrukt – „profielen”(217) met behulp waarvan de PNR-gegevens worden „gefilterd” teneinde de passagiers te identificeren die hieraan beantwoorden en naar wie bijgevolg nader onderzoek zou moeten worden verricht. De PNR-richtlijn staat echter geen individuele profilering toe van alle passagiers van wie de gegevens worden geanalyseerd, bijvoorbeeld door elk van hen volgens een vooraf bepaalde schaal in te delen in een risicocategorie, aangezien dit zou ingaan tegen zowel artikel 6, lid 4, van deze richtlijn als de door het Hof in advies 1/15 gestelde grenzen aan de geautomatiseerde verwerking van PNR-gegevens.

225. Overeenkomstig artikel 6, lid 4, tweede volzin, moeten de in artikel 6, lid 3, onder b), van de PNR-richtlijn bedoelde vooraf bepaalde criteria bovendien ook „specifiek”(218)zijn, dat wil zeggen geschikt en relevant zijn ten aanzien van het beoogde doel, alsook „evenredig”(219), dat wil zeggen beperkt tot wat noodzakelijk is voor dat doel. Om aan die eisen te voldoen, en met name om „ervoor te zorgen dat de verwerking van PNR-gegevens beperkt blijft tot het noodzakelijke”, staat in overweging 7 van de PNR-richtlijn, zoals ik eerder al heb opgemerkt, te lezen dat „de vaststelling en toepassing van beoordelingscriteria [dient] te worden beperkt tot terroristische misdrijven en ernstige criminaliteit waarvoor het gebruik van dergelijke criteria relevant is”.

226. Tot slot volgt zowel uit de preambule en de bepalingen van de PNR-richtlijn als uit de door het Hof in advies 1/15 gestelde eisen dat de in artikel 6, lid 3, onder b), van de PNR-richtlijn bedoelde vooraf bepaalde criteria ook „betrouwbaar”(220) moeten zijn, wat ten eerste betekent dat de opzet ervan het foutenrisico zo veel mogelijk moet beperken(221) en ten tweede dat zij „up-to-date”(222) moeten zijn. In dit verband legt artikel 6, lid 4, derde volzin, van de PNR-richtlijn de lidstaten de verplichting op ervoor te zorgen dat deze criteria „door de PIE worden vastgesteld en regelmatig worden getoetst, in samenwerking met de in artikel 7 bedoelde bevoegde instanties”.(223) Teneinde de betrouwbaarheid van deze criteria te verzekeren en het aantal vals-positieve resultaten zo veel mogelijk te beperken, is het, zoals de Commissie in antwoord op een schriftelijke vraag van het Hof heeft erkend, voorts noodzakelijk dat de opzet ervan rekening houdt met zowel belastende als ontlastende elementen.

227. In de tweede plaats voorziet de PNR-richtlijn in een uitdrukkelijk verbod op discriminatoire profilering. Zo bepaalt artikel 6, lid 4, eerste volzin, van deze richtlijn dat de voorafgaande beoordeling op grond van lid 3, onder b), van dit artikel volgens vooraf bepaalde criteria „op niet-discriminerende wijze [wordt] verricht”. In dit verband dient te worden gepreciseerd dat hoewel in de derde volzin van dit artikel 6, lid 4, wordt verklaard dat genoemde criteria „onder geen beding gebaseerd [mogen] zijn op ras, etnische afstamming, religieuze, levensbeschouwelijke of politieke overtuiging, vakbondslidmaatschap, gezondheid, seksleven of seksuele geaardheid van de betrokkene”, het algemene verbod op discriminatoire profilering moet worden geacht zich uit te strekken tot alle in artikel 21 van het Handvest genoemde discriminatiegronden, zelfs die welke niet uitdrukkelijk zijn vermeld.(224)

228. In de derde plaats volgt zowel uit de bewoordingen van artikel 6, lid 3, onder b), van de PNR-richtlijn als uit het systeem van waarborgen met betrekking tot de geautomatiseerde verwerking van PNR-gegevens waarin de PNR-richtlijn voorziet, dat de werking van de gebruikte algoritmen voor de in deze bepaling bedoelde analyse transparant moet zijn en dat het resultaat van hun toepassing traceerbaar dient te zijn. Dit transparantievereiste behelst uiteraard niet dat de gebruikte „profielen” openbaar moeten worden gemaakt. Het verlangt daarentegen wel dat de identificeerbaarheid van de algoritmische besluitvorming is verzekerd. Ten eerste sluit het vereiste dat de criteria op grond waarvan deze analyse wordt uitgevoerd „vooraf” moeten zijn bepaald, immers uit dat genoemde criteria zonder menselijke tussenkomst mogen worden gewijzigd en verzet het zich derhalve tegen het gebruik van kunstmatige-intelligentietechnologieën op basis van „machine learning”(225), die weliswaar een hogere mate van precisie kunnen bereiken, maar die moeilijk te interpreteren zijn, zelfs voor de operators die de geautomatiseerde verwerking hebben uitgevoerd.(226) Ten tweede kan de in artikel 6, leden 5 en 6, van de PNR-richtlijn genoemde waarborg, volgens welke elke positieve overeenkomst die voortvloeit uit het automatische verwerkingsproces van de PNR-gegevens dat op grond van lid 2, onder a), van dit artikel wordt uitgevoerd, per geval wordt gecontroleerd op een niet-geautomatiseerde wijze, alleen effectief zijn – aangezien het hier de in artikel 6, lid 3, onder b), van de PNR-richtlijn bedoelde verwerking betreft – wanneer het mogelijk is om de reden te begrijpen waarom het programma een dergelijke overeenkomst heeft opgeleverd, hetgeen met name bij het gebruik van zelflerende systemen niet kan worden gegarandeerd. Hetzelfde geldt voor de rechtmatigheidstoetsing van deze verwerking, daaronder begrepen de toetsing van de verkregen resultaten op hun niet-discriminerende karakter, die op grond van respectievelijk artikel 6, lid 7, en artikel 15, lid 3, onder b), van de PNR-richtlijn zijn opgedragen aan de functionaris voor gegevensbescherming en de nationale toezichthoudende autoriteit. De transparante werking van de gebruikte algoritmen is tevens vereist opdat de betrokkenen hun klachtrecht en hun recht op een doeltreffende voorziening in rechte zouden kunnen uitoefenen.

–       Waarborgen met betrekking tot de geautomatiseerde verwerking van PNR-gegevens

229. Ik heb eerder al verwezen naar bepaalde waarborgen die verbonden zijn aan de geautomatiseerde verwerking van PNR-gegevens in het kader van de voorafgaande beoordeling op grond van artikel 6, lid 2, onder a), van de PNR-richtlijn en die voldoen aan de door het Hof in advies 1/15 gestelde eisen, namelijk het verbod op verwerking volgens vooraf bepaalde discriminerende criteria (artikel 6, lid 4, eerste en vierde volzin, van de PNR-richtlijn; advies 1/15, punt 172), de regelmatige update van de vooraf bepaalde criteria op basis waarvan de in artikel 6, lid 3, onder b), van deze richtlijn bedoelde voorafgaande beoordeling moet worden uitgevoerd (artikel 6, lid 4, derde volzin, van de PNR-richtlijn; advies 1/15, punt 174), de op niet-geautomatiseerde wijze uitgevoerde controle van elke positieve overeenkomst die voortvloeit uit het automatische verwerkingsproces van de PNR-gegevens (artikel 6, leden 5 en 6, van de PNR-richtlijn; advies 1/15, punt 173) en de rechtmatigheidstoetsing van deze verwerking door de functionaris voor gegevensbescherming en de nationale toezichthoudende autoriteit [artikel 6, lid 7, en artikel 15, lid 3, onder b), van de PNR-richtlijn]. In dit verband is het van cruciaal belang dat het door een onafhankelijke autoriteit – zoals die bedoeld in artikel 15 van de PNR-richtlijn – uitgeoefende toezicht ten eerste betrekking kan hebben op elk aspect dat inherent is aan de geautomatiseerde verwerking van PNR-gegevens, daaronder begrepen de identificatie van de databanken die worden geraadpleegd met het oog op de in artikel 6, lid 3, onder a), van deze richtlijn bedoelde vergelijking en de ontwikkeling van de vooraf bepaalde criteria die bij de verwerking overeenkomstig artikel 6, lid 3, onder b), van genoemde richtlijn worden toegepast, en ten tweede zowel ex ante als ex post kan worden uitgeoefend.

230. Er zij benadrukt dat de hierboven genoemde waarborgen moeten worden geacht transversaal van toepassing te zijn op beide vormen van verwerking als bedoeld in artikel 6, lid 3, van de PNR-richtlijn, ondanks de bewoordingen waarin zij zijn geformuleerd. Bijgevolg mag artikel 6, lid 4, eerste volzin, van deze richtlijn weliswaar alleen met betrekking tot de voorafgaande beoordeling volgens vooraf bepaalde criteria wijzen op de eis tot naleving van het beginsel van non-discriminatie, dit neemt evenwel niet weg dat in elk stadium van het verwerkingsproces van de PNR-gegevens aan deze eis moet worden voldaan, dus ook wanneer deze gegevens in het kader van de voorafgaande beoordeling in de zin van artikel 6, lid 3, onder a), van deze richtlijn met relevante databanken worden vergeleken. Ook de eis dat de vooraf bepaalde criteria die in het kader van de in artikel 6, lid 3, onder b), van de PNR-richtlijn bedoelde verwerking worden toegepast, betrouwbaar en up-to-date moeten zijn, moet worden geacht bij uitbreiding van toepassing te zijn op de gegevens vervat in de databanken die worden geraadpleegd met het oog op de in artikel 6, lid 3, onder a), van deze richtlijn bedoelde vergelijking. In dit verband merk ik meer algemeen op dat alle waarborgen waarin de politierichtlijn voorziet met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van overeenkomstige toepassing zijn in het kader van de PNR-richtlijn, aangezien de geautomatiseerde verwerkingen overeenkomstig deze richtlijn moeten worden geacht te vallen binnen het toepassingsgebied van de politierichtlijn.

231. Bij de in punt 229 hierboven genoemde waarborgen voegt zich die waarin is voorzien in artikel 7, lid 6, van de PNR-richtlijn en die een aanvulling vormt op, ten eerste, het verbod om uitsluitend op grond van de geautomatiseerde verwerking van de PNR-gegevens besluiten te nemen en, ten tweede, het verbod op discriminatie bij de verwerking en het gebruik van deze gegevens. Zo staat in deze bepaling te lezen dat „de bevoegde instanties [...] geen besluiten [nemen], uitsluitend op grond van de geautomatiseerde verwerking van de PNR-gegevens, die voor de betrokkene nadelige juridische of andere ingrijpende gevolgen hebben” en dat deze besluiten „niet gebaseerd [mogen] zijn op de raciale of etnische afkomst, de godsdienstige of levensbeschouwelijke overtuiging, de politieke opvattingen, het lidmaatschap van een vakvereniging, de gezondheid, het seksleven of de seksuele geaardheid van de betrokkene”. In navolging van hetgeen ik in punt 227 van deze conclusie heb aangegeven met betrekking tot artikel 6, lid 4, vierde volzin, van de PNR-richtlijn, moet deze lijst van discriminatiegronden worden aangevuld met de discriminatiegronden van artikel 21 van het Handvest welke niet uitdrukkelijk zijn vermeld.

232. Wat de beveiliging van de PNR-gegevens betreft, bepaalt artikel 6, lid 8, van de PNR-richtlijn dat het opslaan, verwerken en analyseren van PNR-gegevens door de PIE’s uitsluitend geschiedt op een beveiligde locatie of beveiligde locaties op het grondgebied van de lidstaten.

–       Conclusie met betrekking tot de zesde prejudiciële vraag

233. Gelet op een en ander en onder voorbehoud van de met name in de punten 213, 219, 220, 222, 227, 228, 230 en 231 van deze conclusie in overweging gegeven uitleggingen, ben ik van mening dat de geautomatiseerde verwerking van PNR-gegevens in het kader van de voorafgaande beoordeling als bedoeld in artikel 6, lid 2, onder a), van de PNR-richtlijn voldoet aan de vereisten van duidelijkheid en nauwkeurigheid en niet verder gaat dan strikt noodzakelijk is.

v)      Bewaring van de PNR-gegevens (achtste prejudiciële vraag)

234. Met zijn achtste prejudiciële vraag wenst de verwijzende rechter van het Hof te vernemen of artikel 12 van de PNR-richtlijn, gelezen in samenhang met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen een nationale wetgeving die voorziet in een algemene bewaartermijn van de PNR-gegevens van vijf jaar, zonder onderscheid of de betrokken passagiers blijkens de voorafgaande beoordeling al dan niet een risico kunnen vormen voor de openbare veiligheid.

235. Artikel 12, lid 1, van de PNR-richtlijn bepaalt dat de PNR-gegevens in een databank worden bewaard „gedurende een termijn van vijf jaar nadat de gegevens zijn doorgegeven aan de PIE van de lidstaat waar de vlucht aankomt of vertrekt”. Overeenkomstig lid 2 van dit artikel worden de PNR-gegevens na het verstrijken van een „initiële bewaartermijn”(227) van zes maanden gedepersonaliseerd door afscherming van bepaalde gegevenselementen waaruit de identiteit van de betrokken persoon rechtstreeks zou kunnen worden afgeleid. Overeenkomstig lid 3 van genoemd artikel wordt de mededeling van de volledige PNR-gegevens, met inbegrip van de afgeschermde gegevens, uitsluitend toegestaan als „redelijkerwijze” wordt aangenomen dat zulks noodzakelijk is voor de in artikel 6, lid 2, onder b), van de PNR-richtlijn bedoelde doeleinden en als zij is goedgekeurd door een gerechtelijke instantie of een andere nationale instantie die volgens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor mededeling is voldaan. Tot slot bepaalt lid 4 van hetzelfde artikel dat de PNR-gegevens na afloop van de in lid 1 bedoelde termijn van vijf jaar definitief worden gewist.

236. Uit het voorgaande volgt dat de PNR-richtlijn zelf voorziet in de regeling voor PNR-gegevensbewaring, daaronder begrepen de bewaartermijn die zij vaststelt op vijf jaar(228), zodat de lidstaten dienaangaande in beginsel geen beoordelingsmarge bezitten, hetgeen bovendien door de Commissie is bevestigd. In die omstandigheden wordt, zoals ik eerder al heb opgemerkt, met de achtste prejudiciële vraag, ook al is deze als een uitleggingsvraag geformuleerd, het Hof feitelijk verzocht om zich uit te spreken over de verenigbaarheid van deze regeling met het Handvest.

237. Inzake de bescherming van persoonsgegevens geldt het algemene beginsel dat deze gegevens – in een vorm die het mogelijk maakt de betrokkenen rechtstreeks of onrechtstreeks te identificeren – niet langer mogen worden bewaard dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt.(229) Bovendien is het vaste rechtspraak dat een regeling die voorziet in de bewaring van persoonsgegevens, steeds moet beantwoorden aan objectieve criteria die een verband leggen tussen de te bewaren persoonsgegevens en het nagestreefde doel.(230)

238. In advies 1/15 heeft het Hof met betrekking tot de bij aankomst in Canada verzamelde gegevens verklaard dat de noodzakelijke band tussen de PNR-gegevens en de door de PNR-ontwerpovereenkomst Canada-EU nagestreefde doelstelling bleef bestaan zolang de luchtreizigers zich op het grondgebied van dit derde land bevonden.(231) Wat luchtreizigers betreft die Canada hadden verlaten en voor wie bij hun aankomst in dit derde land en tot op het ogenblik van vertrek uit genoemd land niet was vastgesteld dat zij een risico konden vormen op het gebied van terrorisme en zware grensoverschrijdende criminaliteit, heeft het Hof daarentegen geoordeeld dat er geen dergelijk verband – zelfs geen indirect verband – leek te bestaan dat de bewaring van hun PNR-gegevens rechtvaardigde.(232) Het Hof heeft niettemin vastgesteld dat een dergelijke bewaring toelaatbaar kon zijn „[w]anneer echter in specifieke gevallen op basis van objectieve gegevens kan worden aangenomen dat bepaalde luchtreizigers zelfs na hun vertrek uit Canada een risico kunnen vormen op het gebied van de strijd tegen terrorisme en zware grensoverschrijdende criminaliteit”.(233)

239. Vertaald naar de context van de PNR-richtlijn zouden de door het Hof in advies 1/15 ontwikkelde beginselen inhouden dat de bij aankomst in de Unie verzamelde PNR-gegevens van vluchten naar of vanuit derde landen alsook de bij aankomst in de betrokken lidstaat verzamelde PNR-gegevens van vluchten binnen de EU na hun voorafgaande beoordeling in de zin van artikel 6, lid 2, onder a), van de PNR-richtlijn slechts zolang mogen worden bewaard als de betrokken passagiers zich op het grondgebied van de Unie of dat van de betrokken lidstaat bevinden. Wat betreft de bij vertrek uit de Unie verzamelde PNR-gegevens van vluchten naar of vanuit derde landen en de bij vertrek uit de betrokken lidstaat verzamelde PNR-gegevens van vluchten binnen de EU, zouden deze na genoemde voorafgaande beoordeling in beginsel alleen mogen worden bewaard in het geval van passagiers voor wie op basis van objectieve gegevens kan worden aangenomen dat zij een risico kunnen vormen op het gebied van de strijd tegen terrorisme en zware criminaliteit.(234)

240. De regeringen en de instellingen die opmerkingen bij het Hof hebben ingediend, zijn principieel gekant tegen een overeenkomstige toepassing van de in advies 1/15 ontwikkelde beginselen inzake de bewaring van PNR-gegevens op de onderhavige zaak. In dit verband is het beslist niet uitgesloten dat de hantering door het Hof van een criterium in verband met het verblijf van de betrokken persoon op het grondgebied van Canada, kon zijn ingegeven door de omstandigheid dat het zich diende uit te spreken over de bewaring van persoonsgegevens op het grondgebied van een derde land. Het is voorts ook mogelijk dat de toepassing van een dergelijk criterium in de context van de PNR-richtlijn concreet kan leiden tot een inmenging in de rechten op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens die voor sommige personen potentieel ingrijpender kan zijn, te weten die personen die hun vaste verblijfplaats in de Unie hebben en zich daarbinnen verplaatsen of ernaar terugkeren na een verblijf in het buitenland. Tot slot is het juist dat genoemd criterium in de praktijk moeilijk toe te passen kan zijn, althans voor vluchten binnen de EU, zoals sommige lidstaten en de Raad hebben benadrukt.

241. Dit neemt echter niet weg dat, zelfs wanneer het door het Hof in advies 1/15 gehanteerde criterium terzijde wordt geschoven, een bewaring van alle PNR-gegevens van alle passagiers, ongeacht het resultaat van de in artikel 6, lid 2, onder a), van de PNR-richtlijn bedoelde voorafgaande beoordeling en zonder enig onderscheid naargelang van het risico op het gebied van terrorisme en ernstige grensoverschrijdende criminaliteit op grond van objectieve en verifieerbare criteria, ingaat tegen de in punt 237 van deze conclusie in herinnering gebrachte vaste rechtspraak van het Hof waaraan het Hof in genoemd advies uitvoering heeft willen geven. De algemene en ongedifferentieerde doorgifte van PNR-gegevens en de geautomatiseerde verwerking ervan in het kader van de in artikel 6, lid 2, onder a), van de PNR-richtlijn bedoelde voorafgaande beoordeling mogen naar mijn mening dan al zijn gerechtvaardigd in het licht van de in de punten 201 tot en met 203 van deze conclusie uiteengezette overwegingen in het kader van het onderzoek van de vierde prejudiciële vraag, voor een algemene en ongedifferentieerde bewaring van deze gegevens kunnen genoemde overwegingen mijns inziens op zichzelf geen rechtvaardiging vormen, ook na een dergelijke beoordeling.

242. Bovendien zij opgemerkt dat dezelfde bewaartermijn van vijf jaar geldt voor zowel de bestrijding van terrorisme als voor de bestrijding van ernstige criminaliteit en, in het kader van laatstgenoemde doelstelling, zonder uitzondering voor alle in bijlage II bedoelde strafbare feiten. Zoals blijkt uit de overwegingen in punt 121 van deze conclusie, is deze lijst bijzonder uitgebreid is en bevat zij strafbare feiten die naar type en ernst zeer uiteenlopend zijn. Dienaangaande moet worden opgemerkt dat de rechtvaardigingsgrond die verband houdt met de duur en de complexiteit van de onderzoeken, welke is aangevoerd door vrijwel alle lidstaten en instellingen die in de onderhavige procedure schriftelijke opmerkingen hebben ingediend, alleen concreet naar voren wordt gebracht met betrekking tot terroristische misdrijven en bepaalde strafbare feiten met een uitgesproken grensoverschrijdend karakter, zoals mensenhandel of handel in verdovende middelen alsook, in meer algemene zin, bepaalde vormen van georganiseerde criminaliteit. Bovendien breng ik in herinnering dat in advies 1/15 een vergelijkbare rechtvaardigingsgrond door het Hof slechts werd aanvaard voor de bewaring van de PNR-gegevens van luchtreizigers die een objectief risico kunnen vormen op het gebied van de strijd tegen terrorisme en ernstige grensoverschrijdende criminaliteit en voor wie een bewaartermijn van deze gegevens van vijf jaar niet werd geacht verder te gaan dan strikt noodzakelijk is.(235) Deze grond werd daarentegen geacht niet te kunnen rechtvaardigen dat „de PNR-gegevens van alle luchtreizigers [...] duurzaam worden opgeslagen met het oog op een eventuele toegang tot deze gegevens, los van het bestaan van enig verband met de strijd tegen terrorisme en zware grensoverschrijdende criminaliteit”.(236)

243. Het is ongetwijfeld juist dat, zoals de Raad, het Parlement en de Commissie beklemtonen, alsook alle regeringen die opmerkingen over de achtste prejudiciële vraag hebben ingediend, de PNR-richtlijn voorziet in specifieke waarborgen, zowel met betrekking tot de bewaring van PNR-gegevens, die na een initiële bewaartermijn van zes maanden gedeeltelijk worden afgeschermd, als met betrekking tot het gebruik ervan tijdens de bewaartermijn, waarvoor strikte voorwaarden gelden. Ten eerste zij echter opgemerkt dat de PNR-ontwerpovereenkomst Canada-EU ook voorzag in een systeem van depersonalisering van de PNR-gegevens door afscherming van gegevenselementen(237), en dat, zoals met name het Raadgevend Comité van Verdrag 108 benadrukt(238), een dergelijke depersonalisering de risico’s van een verlengde bewaartermijn van de gegevens, zoals een onrechtmatige raadpleging ervan, weliswaar kan verminderen, maar dat de afgeschermde gegevens de identiteit van de betrokken personen nog altijd kunnen prijsgeven en als zodanig persoonsgegevens blijven waarvan de bewaartermijn eveneens in de tijd moet worden beperkt teneinde een veralgemeend permanent toezicht te voorkomen. In dit verband merk ik op dat een bewaartermijn van vijf jaar met zich meebrengt dat de gegevens van een groot aantal passagiers, en met name van reizigers binnen de Unie, vrijwel permanent opgeslagen kunnen blijven. Wat ten tweede de beperkingen op het gebruik van de gegevens betreft, merk ik op dat de bewaring van persoonsgegevens en de toegang tot dergelijke gegevens afzonderlijke inmengingen vormen in de grondrechten op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens, welke autonoom moeten worden gerechtvaardigd. Het bestaan van strikte waarborgen inzake de toegang tot bewaarde gegevens zorgt er weliswaar voor dat de impact van een toezichtmaatregel op genoemde grondrechten globaal kan worden beoordeeld, maar dit neemt niet weg dat genoemde waarborgen niet volstaan om inmengingen uit te sluiten die een lange algemene bewaring met zich mee kan brengen.

244. Aangaande het argument van de Commissie dat de PNR-gegevens van alle passagiers moeten worden bewaard zodat de PIE’s zich kunnen kwijten van de hun overeenkomstig artikel 6, lid 2, onder c), van de PNR-richtlijn opgedragen taak om bestaande criteria bij te stellen of nieuwe criteria te formuleren die moeten worden gebruikt bij de beoordelingen die worden verricht op grond van lid 3, onder b), van dit artikel, erken ik weliswaar dat, zoals de Commissie betoogt, de nauwkeurigheid van deze criteria deels afhankelijk is van hun vergelijking met „normale” gedragingen, maar dat neemt niet weg dat genoemde criteria op basis van „criminele” gedragingen moeten worden ontwikkeld. Een dergelijk argument, dat overigens slechts door een beperkt aantal lidstaten wordt aangevoerd, kan mijns inziens niet het doorslaggevende belang worden toegedicht dat de Commissie eraan lijkt te hechten en kan op zich geen algemene bewaring van de PNR-gegevens van alle passagiers in niet-geanonimiseerde vorm rechtvaardigen.

245. Gelet op het voorgaande en met het oog op een uitlegging van artikel 12, lid 1, van de PNR-richtlijn in overeenstemming met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, moet deze bepaling mijns inziens aldus worden uitgelegd dat de bewaring van door luchtvaartmaatschappijen aan de PIE verstrekte PNR-gegevens in een databank gedurende een periode van vijf jaar na doorgifte van genoemde gegevens aan de PIE van de lidstaat op het grondgebied waarvan de vlucht aankomt of vertrekt, na de voorafgaande beoordeling in de zin van artikel 6, lid 2, onder a), van deze richtlijn alleen is toegestaan voor zover op basis van objectieve criteria een verband wordt vastgesteld tussen deze gegevens en de bestrijding van terrorisme of ernstige criminaliteit. Een algemene en ongedifferentieerde bewaring van PNR-gegevens in niet-geanonimiseerde vorm kan, naar analogie met hetgeen het Hof in diezelfde rechtspraak heeft bevestigd, alleen worden gerechtvaardigd in het geval van een als reëel en actueel of voorzienbaar aan te merken ernstige bedreiging van de veiligheid van de lidstaten, die bijvoorbeeld verband houdt met terroristische activiteiten, en op voorwaarde dat de bewaartermijn wordt beperkt tot wat strikt noodzakelijk is.

246. De afbakening van de in artikel 12, lid 1, van de PNR-richtlijn bedoelde gegevensbewaringsmaatregel kan bijvoorbeeld worden verricht op basis van een risicobeoordeling of aan de hand van de door de bevoegde nationale instanties opgedane ervaring, waarmee kan worden gemikt op specifieke luchtverbindingen, bepaalde reisschema’s, de reisbureaus waarbij de reserveringen zijn gedaan of ook op bepaalde categorieën personen of geografische gebieden die op basis van objectieve en niet-discriminerende factoren zijn geïdentificeerd, zoals het Hof heeft geoordeeld in zijn rechtspraak met betrekking tot de bewaring van metagegevens van elektronische communicatie.(239) Bovendien moet, naar analogie met advies 1/15, de noodzakelijke band tussen de PNR-gegevens en de door de PNR-richtlijn nagestreefde doelstelling geacht worden te blijven bestaan zolang de passagiers zich in de Unie (of in de betrokken lidstaat) bevinden of op het punt staan daaruit te vertrekken. Dit geldt eveneens voor de passagiersgegevens die een geverifieerde positieve overeenstemming hebben opgeleverd.

247. Ter afsluiting van het onderzoek van de achtste prejudiciële vraag wil ik nog enkele overwegingen wijden aan de regels inzake de toegang tot de PNR-gegevens en het gebruik ervan na de voorafgaande beoordeling in de zin van artikel 6, lid 2, onder a), van de PNR-richtlijn en vóór de depersonalisering ervan na het verstrijken van de initiële bewaartermijn van zes maanden als bedoeld in artikel 12, lid 2, van de PNR-richtlijn.

248. Uit een gezamenlijke lezing van artikel 6, lid 2, onder b), en artikel 12, lid 3, van de PNR-richtlijn volgt dat niet-gedepersonaliseerde PNR-gegevens of het verwerkingsresultaat ervan tijdens deze initiële bewaartermijn overeenkomstig eerstgenoemde bepaling aan de bevoegde instanties mogen worden meegedeeld, zonder dat is voldaan aan de in de punten a) en b) van laatstgenoemde bepaling gestelde voorwaarden.(240) Artikel 6, lid 2, onder b), van de PNR-richtlijn bepaalt immers alleen dat de verzoeken van de bevoegde instanties om een dergelijke verwerking of verstrekking op „afdoende gronden gebaseerd” en „gemotiveerd” moeten zijn.

249. Volgens vaste rechtspraak, die het Hof in advies 1/15 in herinnering heeft gebracht, mag een Unieregeling zich er niet toe beperken te eisen dat de toegang van een autoriteit tot rechtmatig bewaarde persoonsgegevens wordt verleend voor een van de doelstellingen van die regeling, maar moet zij ook de materiële en procedurele voorwaarden voor dit gebruik bepalen(241), zodat de gegevens in kwestie met name worden beschermd tegen het gevaar van misbruik.(242) In genoemd advies heeft het Hof geoordeeld dat het gebruik van de PNR-gegevens na verificatie ervan bij aankomst van de passagiers in Canada en tijdens hun verblijf in dit land gebaseerd moest zijn op nieuwe omstandigheden die dit gebruik rechtvaardigen(243), daarbij preciserend dat „wanneer op basis van objectieve gegevens kan worden aangenomen dat de PNR-gegevens van een of meer luchtreizigers daadwerkelijk kunnen bijdragen tot het bereiken van de doelstelling terroristische misdrijven en zware grensoverschrijdende criminaliteit te bestrijden, [...] het gebruik van deze gegevens niet verder [gaat] dan strikt noodzakelijk is”.(244) Naar analogie verwijzend naar punt 120 van het arrest Tele2 Sverige heeft het Hof geoordeeld dat om in de praktijk te garanderen dat deze voorwaarden ten volle worden nageleefd, „het [...] voorts van essentieel belang [is] dat het gebruik van de bewaarde PNR-gegevens tijdens het verblijf van de luchtreizigers in Canada in beginsel – behalve in naar behoren gerechtvaardigde dringende gevallen – wordt onderworpen aan een voorafgaande controle door hetzij een rechterlijke instantie, hetzij een onafhankelijke bestuurlijke entiteit, alsook dat de beslissing van deze rechterlijke instantie of deze entiteit wordt gegeven naar aanleiding van een gemotiveerd verzoek dat de bevoegde autoriteiten met name in het kader van een procedure ter voorkoming, opsporing of vervolging van strafbare feiten hebben ingediend”.(245) Het Hof heeft het mogelijke gebruik van bewaarde PNR-gegevens na hun verificatie naar aanleiding van de vliegreis dus onderworpen aan een dubbele voorwaarde die zowel materieel – namelijk het bestaan van objectieve redenen ter rechtvaardiging van een dergelijk gebruik – als procedureel – namelijk een controle door rechterlijke instantie of een onafhankelijke bestuurlijke entiteit – van aard is. Met deze – verre van „contextuele” – uitlegging heeft het Hof de met name uit de arresten Digital Rights en Tele2 Sverige voortvloeiende rechtspraak toepassing gegeven op het gebied van PNR-gegevens.

250. De door de PNR-richtlijn ingestelde regeling voor de eerste zes maanden van bewaring van de PNR-gegevens, op grond waarvan het na de voorafgaande beoordeling in de zin van artikel 6, lid 2, onder a), van deze richtlijn is toegestaan om PNR-gegevens – in voorkomend geval meer dan eens – mee te delen en te verwerken, zonder dat er sprake is van passende procedurele waarborgen en voldoende duidelijke en nauwkeurige materiële regels die het doel en de voorwaarden van deze verschillende inmengingen bepalen, voldoet bijgevolg niet aan de door het Hof in advies 1/15 gestelde vereisten. Genoemde regeling lijkt evenmin te voldoen aan het vereiste dat het gebruik van PNR-gegevens tot het strikt noodzakelijke beperkt dient te blijven.

251. Bijgevolg geef ik het Hof in overweging om artikel 6, lid 2, onder b), van de PNR-richtlijn aldus uit te leggen dat de gegevensverwerkingen die op grond van deze bepaling worden uitgevoerd tijdens de initiële termijn van zes maanden als bedoeld in artikel 12, lid 2, van deze richtlijn, voldoen aan de door het Hof in advies 1/15 gestelde vereisten.

252. Wat de eerste voorwaarde betreft die het Hof heeft gesteld aan het verdere gebruik van PNR-gegevens, die materieel van aard is, ben ik van mening dat de begrippen „redelijkerwijze wordt aangenomen” in de zin van artikel 12, lid 3, onder a), van de PNR-richtlijn en „op afdoende gronden gebaseerd” als bedoeld in artikel 6, lid 2, onder b), van deze richtlijn zonder meer aldus kunnen worden uitgelegd dat de in deze bepalingen bedoelde verzoeken van de bevoegde instanties „objectieve gegevens” moeten bevatten op basis waarvan „kan worden aangenomen dat de PNR-gegevens van een of meer luchtreizigers daadwerkelijk kunnen bijdragen tot het bereiken van de doelstelling terroristische misdrijven en zware [...] criminaliteit te bestrijden”.(246)

253. Wat de tweede voorwaarde betreft, die procedureel van aard is, moet artikel 6, lid 2, onder b), van de PNR-richtlijn, gelezen in samenhang met artikel 12, lid 3, ervan en in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, mijns inziens aldus worden uitgelegd dat het vereiste van voorafgaande goedkeuring door een gerechtelijke instantie of een onafhankelijke bestuurlijke entiteit als bedoeld in artikel 12, lid 3, onder b), van deze richtlijn, geldt voor elke verwerking van PNR-gegevens die overeenkomstig genoemd artikel 6, lid 2, onder b), wordt uitgevoerd.

4.      Conclusie met betrekking tot de tweede, de derde, de vierde, de zesde en de achtste prejudiciële vraag

254. Op basis van alle voorgaande overwegingen geef ik het Hof in overweging om punt 12 van bijlage I ongeldig te verklaren voor zover deze bepaling als een van de categorieën PNR-gegevens die de luchtvaartmaatschappijen overeenkomstig artikel 8 van de PNR-richtlijn aan de PIE’s moeten doorgeven, de rubriek „algemene opmerkingen” omvat, en te verklaren dat bij onderzoek van de tweede, de derde, de vierde, de zesde en de achtste prejudiciële vraag niet is gebleken van andere feiten of omstandigheden die de geldigheid van deze richtlijn kunnen aantasten, onder voorbehoud van de in de punten 153, 160, 161 tot en met 164, 219, 228, 239 en 251 van deze conclusie in overweging gegeven uitlegging van de bepalingen ervan.

255. In het licht van het door mij in overweging gegeven antwoord op de prejudiciële vragen met betrekking tot de geldigheid van de PNR-richtlijn, kan het met name door de Raad geformuleerde verzoek tot handhaving van de gevolgen van de PNR-richtlijn indien het Hof zou beslissen om de PNR-richtlijn geheel of gedeeltelijk ongeldig te verklaren, afgezien van andere overwegingen, niet worden toegewezen.

C.      Vijfde prejudiciële vraag

256. Met zijn vijfde prejudiciële vraag wenst de verwijzende rechter in wezen van het Hof te vernemen of artikel 6 van de PNR-richtlijn, gelezen in samenhang met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen een nationale wetgeving die, als doel van de PNR-gegevensverwerking, het toezien op door de inlichtingen- en veiligheidsdiensten beoogde activiteiten aanvaardt. Uit de verwijzingsbeslissing blijkt dat het daarbij gaat om de activiteiten welke door de staatsveiligheid en de algemene directie inlichtingen en veiligheid worden uitgevoerd in het kader van de aan hen opgedragen taak om de nationale veiligheid te beschermen.

257. Zoals ik heb aangegeven in de punten 113 en 114 van deze conclusie, vormt de doelbinding van de verwerking van persoonsgegevens een essentiële waarborg die in acht moet worden genomen teneinde te voorkomen dat inmengingen in de in de artikelen 7 en 8 van het Handvest verankerde grondrechten verder gaan dan strikt noodzakelijk is in de zin van de rechtspraak van het Hof. Voorts heb ik met betrekking tot de inmengingen in deze grondrechten waarin de PNR-richtlijn voorziet, reeds gepreciseerd dat het aan de Uniewetgever was om, teneinde te garanderen dat het met name in artikel 52, lid 1, van het Handvest neergelegde legaliteits- en evenredigheidsbeginsel in acht wordt genomen, duidelijke en nauwkeurige regels vast te stellen voor zowel de draagwijdte als de toepassing van de maatregelen die dergelijke inmengingen met zich meebrengen.

258. Volgens artikel 1, lid 2, van de PNR-richtlijn mogen de overeenkomstig deze richtlijn verzamelde PNR-gegevens „uitsluitend worden verwerkt om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen overeenkomstig artikel 6, lid 2, onder a), b) en c)”. Overeenkomstig deze bepaling verwerken de PIE’s de PNR-gegevens uitsluitend met het oog op de voorafgaande beoordeling van de passagiers [artikel 6, lid 2, onder a)], het per geval inwilligen van verzoeken van de bevoegde instanties [artikel 6, lid 2, onder b)] en het bijstellen van bestaande of het formuleren van nieuwe criteria die moeten worden gebruikt bij de beoordelingen die worden verricht op grond van lid 3, onder b), van genoemd artikel 6 [artikel 6, lid 2, onder c)]. In alle drie de gevallen worden de in artikel 1, lid 2, van de PNR-richtlijn aangegeven doelstellingen op het gebied van de bestrijding van terroristische misdrijven en ernstige criminaliteit in herinnering gebracht.

259. Artikel 7, lid 4, van deze richtlijn preciseert bovendien dat niet alleen de in artikel 6 ervan bedoelde verwerking van PNR-gegevens, maar ook de verdere verwerking van deze gegevens en van het verwerkingsresultaat ervan door de bevoegde instanties van de lidstaten uitsluitend plaats mogen vinden „met als specifieke doelstellingen het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit”.

260. De uitputtende vaststelling van de door de PNR-richtlijn nagestreefde doelstellingen blijkt duidelijk uit de bewoordingen van artikel 1, lid 2, ervan en vindt niet alleen bevestiging in de reeds genoemde artikelen 6, lid 2, en 7, lid 4, ervan, maar ook in een aantal artikelen en overwegingen van deze richtlijn die elke stap van het raadplegen, verwerken, bewaren en meedelen van PNR-gegevens systematisch en uitsluitend in verband brengen met deze specifieke doelstellingen.(247)

261. Zowel uit de bewoordingen van artikel 1, lid 2, van de PNR-richtlijn als uit de uitlegging ervan in het licht van het legaliteits- en evenredigheidbeginsel, op grond waarvan de doelstellingen van maatregelen die gepaard gaan met inmengingen in de grondrechten op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens op limitatieve wijze moeten worden vastgesteld, volgt dat elke uitbreiding van de doelstellingen van de PNR-gegevensverwerking die verder gaat dan de uitdrukkelijk in deze bepaling genoemde veiligheidsdoelstellingen, in strijd is met de PNR-richtlijn.

262. Dit verbod op uitbreiding van de door de richtlijn nagestreefde doelstellingen geldt mijns inziens in het bijzonder met betrekking tot de activiteiten van de veiligheids- en inlichtingendiensten van de lidstaten, onder meer om reden van het gebrek aan transparantie dat hun modus operandi kenmerkt. In dit opzicht deel ik het standpunt van de Commissie, namelijk dat deze diensten in de regel geen rechtstreekse toegang tot PNR-gegevens zouden mogen hebben. In dit verband acht ik het op zich al laakbaar dat de nationale PIE’s, zoals dat het geval is voor de Belgische PIE, gedetacheerde ambtenaren van de veiligheidsdiensten tot hun medewerkers mogen rekenen.(248)

263. Gelet op een en ander moet de vijfde prejudiciële vraag mijns inziens aldus worden beantwoord dat de PNR-richtlijn, en met name artikel 1, lid 2, en artikel 6 ervan, aldus moet worden uitgelegd dat zij zich verzet tegen een nationale wetgeving die, als doel van de PNR-gegevensverwerking, het toezien op door de inlichtingen- en veiligheidsdiensten beoogde activiteiten aanvaardt, voor zover de nationale PIE in het kader van een dergelijk doel genoemde gegevens zou moeten verwerken en/of deze gegevens of het verwerkingsresultaat ervan zou moeten doorsturen naar genoemde diensten voor andere doeleinden dan die welke limitatief zijn opgesomd in artikel 1, lid 2, van deze richtlijn, hetgeen ter beoordeling van de verwijzende rechter staat.

D.      Zevende prejudiciële vraag

264. Met zijn zevende vraag wenst de verwijzende rechter in wezen van het Hof te vernemen of artikel 12, lid 3, onder b), van de PNR-richtlijn aldus moet worden uitgelegd dat de PIE een „bevoegde nationale instantie” in de zin van deze bepaling vormt die de mededeling van de volledige PNR-gegevens kan toestaan na afloop van de initiële bewaartermijn van zes maanden volgend op de doorgifte van deze gegevens.

265. Er zij aan herinnerd dat artikel 12, lid 2, van de PNR-richtlijn bepaalt dat de PNR-gegevens na afloop van een termijn van zes maanden worden gedepersonaliseerd door afscherming van bepaalde gegevenselementen waaruit de identiteit van de passagier op wie deze gegevens betrekking hebben, rechtstreeks zou kunnen worden afgeleid. Na het verstrijken van deze termijn mogen de volledige PNR-gegevens alleen worden meegedeeld onder de in lid 3 van genoemd artikel 12 vastgestelde voorwaarden, namelijk wanneer deze mededeling vooraf is goedgekeurd door een „gerechtelijke instantie” [artikel 12, lid 3, onder b), i)] of een „andere nationale instantie die volgens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor mededeling is voldaan, onder voorbehoud van kennisgeving aan, en controle achteraf door, de functionaris voor gegevensbescherming van de PIE” [artikel 12, lid 3, onder b), ii)].

266. De meeste regeringen die in het kader van de onderhavige procedure schriftelijke opmerkingen hebben ingediend, hebben zich niet uitgesproken over de zevende prejudiciële vraag. Net als de Commissie is de Tsjechische regering van mening dat artikel 12, lid 3, van de PNR-richtlijn niet aldus kan worden uitgelegd dat de PIE als „bevoegde nationale instantie” kan worden aangemerkt. De Belgische(249), de Ierse, de Spaanse, de Franse en de Cypriotische regering zijn daarentegen gekant tegen een dergelijke uitlegging. Zij betogen in wezen dat geen enkele bepaling van de PNR-richtlijn of van het Unierecht eraan in de weg staat dat de PIE wordt aangewezen als een bevoegde nationale instantie in de zin van artikel 12, lid 2, onder b), ii), van genoemde richtlijn en dat de PIE naar haar aard een instantie is die voldoende onafhankelijk is om de verwerking van PNR-gegevens toe te staan.

267. In de eerste plaats merk ik op dat uit de bewoordingen van artikel 12, lid 3, onder b), van de PNR-richtlijn, en met name uit het gebruik van het voegwoord „of” dat beide gevallen in de punten i) en ii) van deze bepaling met elkaar verbindt, blijkt dat de Uniewetgever het door de in punt ii) genoemde nationale instantie uitgeoefende toezicht op hetzelfde niveau heeft willen plaatsen als hetwelk wordt uitgeoefend door de in punt i) bedoelde gerechtelijke instantie. Hieruit volgt dat voornoemde nationale instantie een dergelijke mate van onafhankelijkheid en onpartijdigheid moet vertonen dat het door haar uitgeoefende toezicht kan worden beschouwd als een vergelijkbaar alternatief voor het toezicht dat door een gerechtelijke instantie wordt uitgeoefend.(250)

268. In de tweede plaats blijkt uit de totstandkomingsgeschiedenis van de PNR-richtlijn dat de Uniewetgever ten eerste niet is ingegaan op het voorstel van de Commissie om de mededeling van de volledige PNR-gegevens(251) te laten toestaan door het hoofd van de PIE, en ten tweede de door deze instelling voorgestelde initiële bewaartermijn van dertig dagen heeft verlengd en op zes maanden heeft vastgesteld. Tegen die achtergrond, gekenmerkt door het vinden van een evenwicht tussen de duur van de bewaartermijn voorafgaand aan de depersonalisering van de PNR-gegevens en de voorwaarden voor het ongedaan maken van de afscherming ervan na afloop van die termijn, moet de beslissing worden gezien van de Uniewetgever om de toegang tot de volledige PNR-gegevens te onderwerpen aan strengere procedurele voorwaarden dan die welke waarin de Commissie oorspronkelijk had voorzien en om een onafhankelijke instantie op te dragen om na te gaan of aan de voorwaarden voor mededeling is voldaan.

269. In de derde plaats volgt, zoals de Commissie terecht heeft opgemerkt, uit de opzet van de PNR-richtlijn dat de ratio legis van de in artikel 12, lid 3, van de PNR-richtlijn bedoelde goedkeuringsprocedure gelegen is in de toewijzing, aan een onpartijdige derde entiteit, van de taak om per geval een evenwicht te vinden tussen de rechten van de betrokken personen en het door deze richtlijn nagestreefde rechtshandhavingsdoeleinde.

270. In de vierde plaats volgt uit de rechtspraak van het Hof dat een entiteit die belast is met de vereiste voorafgaande toetsing op grond waarvan de bevoegde nationale instanties toegang mag worden verleend tot rechtmatig bewaarde persoonsgegevens, over alle bevoegdheden moet beschikken en alle noodzakelijke waarborgen moet bieden om ervoor te zorgen dat de verschillende betrokken belangen en rechten met elkaar in overeenstemming worden gebracht. Het Hof heeft voorts gepreciseerd dat deze entiteit een zodanige status moet hebben dat zij bij de uitoefening van haar taken objectief en onpartijdig kan handelen, en zij daartoe vrij moet zijn van elke invloed van buitenaf.(252) In het bijzonder impliceert het vereiste van onafhankelijkheid – vooral op strafrechtelijk gebied – dat de instantie die belast is met die voorafgaande toetsing de hoedanigheid van derde moet hebben ten opzichte van degene die om toegang tot de gegevens verzoekt, zodat zij niet betrokken mag zijn bij de uitvoering van het betrokken strafrechtelijk onderzoek en neutraal moet blijven ten opzichte van de partijen in de strafprocedure.(253)

271. Er dient evenwel te worden vastgesteld dat de PIE inzake onafhankelijkheid en onpartijdigheid niet alle waarborgen biedt die worden geëist van de instantie die is belast met de voorafgaande toetsing als bedoeld in artikel 12, lid 3, van de PNR-richtlijn. De PIE’s zijn immers rechtstreeks gelieerd aan de bevoegde instanties op het gebied van het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven of ernstige criminaliteit. Overeenkomstig artikel 4, lid 1, van de PNR-richtlijn is de PIE zelf een dergelijke instantie of een afdeling daarvan. Bovendien bepaalt lid 3 van dit artikel dat het personeel van een PIE uit bevoegde instanties kan worden gedetacheerd. Dit is met name het geval voor de Belgische PIE die overeenkomstig artikel 14 van de PNR-wet is samengesteld uit onder meer gedetacheerde leden van de politiediensten, de staatsveiligheid, de algemene inlichtingen- en veiligheidsdienst en de algemene administratie van de douane en accijnzen.

272. Het is juist dat de personeelsleden van een PIE in de regel alle waarborgen moeten bieden op het gebied van integriteit, deskundigheid, transparantie en onafhankelijkheid. Gelet op de banden met hun diensten van herkomst is het evenwel aan de lidstaten om in voorkomend geval erover te waken dat deze waarborgen daadwerkelijk kunnen worden geboden, met name teneinde te voorkomen dat de bevoegde instanties van waaruit deze personeelsleden oorspronkelijk zijn gedetacheerd rechtstreeks toegang krijgen tot de PNR-databank en niet alleen tot de verwerkingsresultaten van de door de PIE’s ingevoerde gegevens. Dit neemt niet weg dat de personeelsleden van de PIE’s die zijn gedetacheerd uit de bevoegde instanties als bedoeld in artikel 7, lid 2, van de PNR-richtlijn, tijdens hun detachering hoe dan ook een band behouden met hun dienst van herkomst en daarbij hun status behouden, zelfs wanneer zij onder het functionele en hiërarchische gezag van de leidende ambtenaar van de PIE staan.

273. De conclusie dat de PIE geen nationale instantie is in de zin van artikel 12, lid 3, onder b), ii), van de PNR-richtlijn vindt bovendien steun in de omstandigheid dat de functionaris voor gegevensbescherming van de betrokken PIE overeenkomstig deze bepaling in kennis moet worden gesteld van het verzoek om mededeling en een „controle achteraf” uitvoert. Indien de PIE in haar hoedanigheid van „andere nationale instantie” bevoegd was om een verzoek om mededeling op grond van artikel 12, lid 3, van de PNR-richtlijn goed te keuren, dan zou de functionaris voor gegevensbescherming, die overeenkomstig artikel 5, lid 1, van deze richtlijn onder meer belast is met de uitvoering van de desbetreffende waarborgen met betrekking tot de verwerking van PNR-gegevens, immers in kennis worden gesteld van het verzoek om mededeling op het tijdstip van indiening ervan en zou zijn controle noodzakelijkerwijs vooraf plaatsvinden.(254)

274. In het licht van het voorgaande geef ik het Hof in overweging om op de zevende prejudiciële vraag te antwoorden dat artikel 12, lid 3, onder b), van de PNR-richtlijn aldus moet worden uitgelegd dat de PIE niet aan te merken is als een „andere [bevoegde] nationale instantie” in de zin van deze bepaling.

E.      Negende prejudiciële vraag

275. Met zijn negende prejudiciële vraag wenst de verwijzende rechter in wezen van het Hof te vernemen of de API-richtlijn verenigbaar is met artikel 3, lid 2, VEU en artikel 45 van het Handvest, in zoverre zij van toepassing is op vluchten binnen de Unie, en of deze richtlijn, gelezen in samenhang met artikel 3, lid 2, VEU en artikel 45 van het Handvest, aldus moet worden uitgelegd dat zij zich verzet tegen een nationale wetgeving die, met het oog op de strijd tegen illegale immigratie en het verbeteren van de grenscontroles, een systeem toestaat voor de verzameling en verwerking van passagiersgegevens, hetgeen indirect een herinvoering van de controles aan de binnengrenzen zou kunnen impliceren.

276. Uit de verwijzingsbeslissing blijkt dat deze prejudiciële vraag past in het kader van het onderzoek van het door de LDH subsidiair aangevoerde tweede middel. Dit middel, ontleend aan schending van artikel 22 van de Belgische Grondwet, gelezen in samenhang met artikel 3, lid 2, VEU en artikel 45 van het Handvest, is gericht tegen artikel 3, § 1, artikel 8, § 2, en hoofdstuk 11, te weten de artikelen 28 tot en met 31, van de PNR-wet. Waar het eerste van deze artikelen het doel van deze wet in algemene bewoordingen omschrijft door te verduidelijken dat zij „de verplichtingen [bepaalt] van de vervoerders en de reisoperatoren inzake de doorgifte van gegevens van passagiers van, naar en op doorreis over het nationaal grondgebied”, bepaalt artikel 8, § 2, van genoemde wet dat „[o]nder de voorwaarden bepaald in hoofdstuk 11 [van deze wet], [...] de passagiersgegevens eveneens [worden] verwerkt ter verbetering van de controles van personen aan de buitengrenzen en ter bestrijding van illegale immigratie”. Met het oog daarop worden overeenkomstig artikel 29, § 1, van de PNR-wet alleen de „passagiersgegevens” bedoeld in artikel 9, § 1, punt 18, van deze wet (namelijk de in punt 18 van de PNR-richtlijn genoemde gegevens) met betrekking tot drie categorieën passagiers doorgegeven aan de politiediensten belast met de grenscontroles en aan de Dienst Vreemdelingenzaken (België). Het betreft de „passagiers die van plan zijn om het grondgebied via de buitengrenzen van België te betreden of het grondgebied via de buitengrenzen van België betreden hebben”, de „passagiers die van plan zijn om het grondgebied via de buitengrenzen van België te verlaten of het grondgebied via de buitengrenzen van België verlaten hebben” en de „passagiers die van plan zijn om via een in België gelegen internationale transitzone te passeren, die zich in een in België gelegen internationale transitzone bevinden of die via een in België gelegen transitzone gepasseerd zijn”.(255) Uit artikel 29, § 3, van de PNR-wet blijkt dat genoemde gegevens „onmiddellijk na hun registratie in de passagiersgegevensbank” worden doorgestuurd naar de politiediensten belast met de grenscontroles en naar de Dienst Vreemdelingenzaken, en dat zij binnen de vierentwintig uur na doorsturing ervan worden vernietigd. Overeenkomstig deze bepaling kan de Dienst Vreemdelingenzaken ook na het verstrijken van deze termijn een afdoende gemotiveerd verzoek om toegang tot deze gegevens richten aan de PIE indien zulks noodzakelijk is in het kader van de uitvoering van zijn wettelijke opdrachten. Bijgevolg past het juridisch kader van de negende prejudiciële vraag niet langer binnen dat van de PNR-richtlijn, gelet op de doeleinden die met de in de artikelen 28 en 29 van de PNR-wet bedoelde gegevensverwerking worden beoogd, en valt het binnen dat van de API-richtlijn. Bovendien blijkt met name uit het ter griffie van het Hof neergelegde dossier dat het tweede middel van de LDH berust op een uitlegging van de bepalingen van hoofdstuk 11 van de PNR-wet, volgens welke deze ook van toepassing zijn bij het overschrijden van de binnengrenzen van België.

277. Het eerste onderdeel van de negende prejudiciële vraag berust op een onjuiste veronderstelling en behoeft mijns inziens geen antwoord van het Hof. Uit artikel 3, lid 1, van de API-richtlijn, gelezen in samenhang met artikel 2, onder b) en d), ervan blijkt namelijk op ondubbelzinnige wijze dat deze richtlijn de vervoerders alleen verplicht om de API-gegevens met betrekking tot vluchten die de passagiers vervoeren naar een aangewezen grensdoorlaatpost aan de buitengrenzen van de lidstaten met derde landen te verstrekken aan de autoriteiten die belast zijn met de controle van personen aan de buitengrenzen. Ook artikel 6, lid 1, van genoemde richtlijn voorziet alleen in de verwerking van API-gegevens met betrekking tot deze vluchten. Het mag bovendien juist zijn dat de PNR-richtlijn de lidstaten de mogelijkheid biedt om de verplichte doorgifte van de verzamelde API-gegevens ook uit te breiden tot luchtvervoerders die vluchten binnen de Unie uitvoeren, dit neemt niet weg dat deze uitbreiding de bepalingen van de API-richtlijn onverlet laat.(256) Overeenkomstig de PNR-richtlijn mogen de doorgegeven API-gegevens uitsluitend worden verwerkt met het oog op de met deze richtlijn beoogde rechtshandhavingsdoeleinden. Omgekeerd bepaalt overweging 34 van de PNR-richtlijn dat zij bestaande Unieregels betreffende de uitvoering van grenscontroles, evenals Unieregels betreffende binnenkomst in en vertrek van het grondgebied van de Unie, onverlet laat, en bepaalt artikel 6, lid 9, tweede volzin, van deze richtlijn dat wanneer de op grond van lid 2 van dit artikel verrichte beoordeling betrekking heeft op vluchten binnen de EU waarop de Schengengrenscode(257) van toepassing is, de gevolgen van die beoordeling in overeenstemming moeten zijn met die verordening.

278. Een herformulering van dit onderdeel van de negende prejudiciële vraag, zoals de Commissie subsidiair oppert, in die zin dat het niet de verenigbaarheid van de API-richtlijn, maar van de PNR-richtlijn, en met name artikel 2 ervan, met de bepalingen van het verdrag en van het Handvest tot voorwerp heeft, zou niet alleen een wijziging inhouden van de rechtshandeling met betrekking tot dewelke de verwijzende rechter om een geldigheidsbeoordeling heeft verzocht, maar ook betekenen dat wordt getreden buiten het juridisch kader waarin deze prejudiciële vraag past. Zoals ik heb uiteengezet, zetten de bepalingen van hoofdstuk 11 van de PNR-wet, waartegen het tweede middel is gericht, immers de API-richtlijn en niet de PNR-richtlijn om.

279. Mocht het Hof beslissen tot een dergelijke herformulering, beperk ik mij in wat volgt tot enkele overwegingen over met name de vraag of de voorafgaande beoordeling die de lidstaten overeenkomstig de hun geboden mogelijkheid in de zin van artikel 2 van de PNR-richtlijn mogen uitvoeren van de PNR-gegevens van passagiers van vluchten binnen de EU, kan worden geacht gelijk te staan aan de uitoefening van „grenscontroles” in de zin van artikel 23, onder a), van de Schengengrenscode.(258) In de eerste plaats mag de voorafgaande beoordeling van de PNR-gegevens weliswaar niet plaatsvinden op de „grensdoorlaatpost” of op het „tijdstip van grensoverschrijding”, maar vóór dit tijdstip, feit blijft dat zij niettemin wordt uitgevoerd „om reden van” de nakende grensoverschrijding. In de tweede plaats is het de lidstaten overeenkomstig artikel 2 van de PNR-richtlijn toegestaan om de in artikel 6, lid 2, onder a), van de PNR-richtlijn bedoelde voorafgaande beoordeling van PNR-gegevens uit te breiden tot de passagiers van alle vluchten binnen de Unie, los van het gedrag van de betrokken personen en van omstandigheden die een risico op aantasting van de openbare veiligheid opleveren. Deze voorafgaande beoordeling is bovendien stelselmatig van aard. Geen van deze elementen lijkt evenwel te voldoen aan de aanwijzingen bedoeld in artikel 23, onder a), tweede volzin, ii), iii) en iv), van de Schengengrenscode.(259) Wat in de derde plaats de aanwijzingen in punt a), tweede volzin, i) en iii), van dit artikel betreft, vraag ik mij af of de doeleinden van de voorafgaande beoordeling overeenkomstig artikel 6, lid 2, onder a), van de PNR-richtlijn niet, althans ten dele, samenvallen met die van de grenscontroles uitgevoerd overeenkomstig artikel 8, lid 2, onder b), en lid 3, onder a), vi), en onder g), iii), van de Schengengrenscode, zoals gewijzigd bij verordening 2017/458, en vooral of genoemde beoordeling, wat betreft de wijze en voorwaarden ervan, duidelijk verschilt van deze systematische controles.(260) In dit verband merk ik op dat artikel 8, lid 2 sexies, en lid 3, i bis), van deze code preciseren dat genoemde controles „vooraf [kunnen] worden uitgevoerd op basis van passagiersgegevens die worden ontvangen overeenkomstig [de API-richtlijn] of overeenkomstig ander uniaal of nationaal recht”. Dit gezegd zijnde, is het ook zo dat de PNR-richtlijn niet als doel heeft, „na te gaan of de betrokken personen het grondgebied van de lidstaten mogen binnenkomen dan wel verlaten” of „te voorkomen dat personen zich aan de grenscontroles onttrekken”, welke doelen door het Hof zijn erkend als de doeleinden van de „grenscontroles” overeenkomstig de Schengengrenscode(261), aangezien deze richtlijn uitsluitend rechtshandhavingsdoeleinden beoogt. Bovendien bepaalt artikel 23, onder a), tweede volzin, ii), van genoemde code uitdrukkelijk dat de uitoefening van de politiebevoegdheid niet hetzelfde effect heeft als de uitoefening van grenscontroles wanneer de politiële maatregelen met name bedoeld zijn ter bestrijding van grensoverschrijdende criminaliteit.(262) Tot slot zou het Hof bij zijn beoordeling ook rekening moeten houden met de omstandigheid dat, zoals met name de Commissie heeft benadrukt, de lidstaten overeenkomstig artikel 2 van de PNR-richtlijn de luchtvaartmaatschappijen alleen kunnen verplichten tot doorgifte van de PNR-gegevens die zij in het kader van hun normale bedrijfsvoering hebben verzameld en derhalve geen soortgelijke verplichting oplegt als die welke waarin de API-richtlijn voorziet met betrekking tot het overschrijden van de buitengrenzen.

280. Aangaande het tweede onderdeel van de negende prejudiciële vraag ben ik net als de Commissie van mening dat het aldus moet worden opgevat dat het betrekking heeft op het overschrijden van de binnengrenzen en dat daarmee wordt beoogd verduidelijkingen van het Hof te verkrijgen aan de hand waarvan de verwijzende rechter kan beoordelen of de bepalingen van hoofdstuk 11 van de PNR-wet verenigbaar zijn met de afschaffing van de controles aan de binnengrenzen van de lidstaten in het Schengengebied.

281. Gelet op de weinige informatie waarover het Hof beschikt, beperk ik mij dienaangaande ertoe op te merken dat de bepalingen van hoofdstuk 11 van de PNR-wet alleen verenigbaar kunnen zijn met het Unierecht, en met name met artikel 67, lid 2, VWEU, indien zij aldus worden uitgelegd dat zij alleen betrekking hebben op de doorgifte en de verwerking van de API-gegevens van passagiers die de buitengrenzen van België met derde landen overschrijden.

282. Voor zover het Hof zou beslissen om het tweede onderdeel van de negende prejudiciële vraag in die zin te herformuleren dat het betrekking heeft op de uitlegging van de PNR-richtlijn in samenhang met de bepalingen van hoofdstuk 11 van de PNR-wet, beperk ik mij ertoe op te merken dat de in de artikelen 28 en 29 van deze wet bedoelde verwerking van API-gegevens aanknoopt bij de door de Belgische wetgever ingestelde regeling ter omzetting van de PNR-richtlijn. Zo zijn de verwerkte API-gegevens in de eerste plaats die welke zijn opgesomd in punt 12 van bijlage I bij deze richtlijn, en niet alleen die welke zijn vervat in de lijst van artikel 3, lid 2, van de API-richtlijn. In de tweede plaats worden deze gegevens overeenkomstig artikel 29, § 1, van de PNR-wet door de PIE – die uitsluitend met het oog op de door de PNR-richtlijn nagestreefde doeleinden belast is met het verzamelen en het verwerken van de PNR-gegevens – doorgegeven aan de politiediensten belast met de grenscontroles en aan de Dienst Vreemdelingenzaken, en niet rechtstreeks door de luchtvervoerders, zoals voorgeschreven door de API-richtlijn. Bovendien heeft deze doorgifte ook betrekking op de gegevens van passagiers die van plan zijn om het grondgebied van België te verlaten of dat grondgebied hebben verlaten en worden deze gegevens niet alleen doorgegeven aan de politiediensten belast met de grenscontroles, maar ook aan de Dienst Vreemdelingenzaken, die belast is met het beheer van de migrantenpopulatie en de bestrijding van illegale immigratie. In de derde plaats is de Dienst Vreemdelingenzaken op grond van artikel 29, § 4, tweede alinea, van de PNR-wet kennelijk bevoegd om de PIE te verzoeken om toegang tot de API-gegevens, ook na de verwerking van deze gegevens bij overschrijding van de grenzen door de betrokken passagiers. Zo bezien is deze dienst feitelijk gelijkgesteld aan een bevoegde instantie in de zin van artikel 7 van de PNR-richtlijn, evenwel zonder de hoedanigheid daarvan te hebben en zonder te zijn opgenomen in de door België aan de Commissie meegedeelde lijst van deze instanties. Een dergelijke door elkaar halen van de door de API-richtlijn en de PNR-richtlijn ingestelde regelingen kan mijns inziens niet worden aanvaard, aangezien dit ingaat tegen het in artikel 1, lid 2, van de PNR-richtlijn neergelegde doelbindingsbeginsel.(263)

283. Gelet op een en ander geef ik het Hof in overweging om op de negende prejudiciële vraag te antwoorden dat artikel 3, lid 1, van de API-richtlijn, op grond waarvan de lidstaten de nodige maatregelen nemen om de luchtvervoerders te verplichten aan de autoriteiten die belast zijn met de controle van personen aan de buitengrenzen, voor het eind van de instapcontroles desgevraagd informatie te verstrekken over de passagiers bedoeld in lid 2 van dit artikel, gelezen in samenhang met artikel 2, onder b) en d), van deze richtlijn, alleen betrekking heeft op de passagiers die worden vervoerd naar een aangewezen grensdoorlaatpost via welke deze personen de buitengrenzen van de lidstaten met derde landen overschrijden. Een nationale wetgeving die, alleen met het oog op het verbeteren van de grenscontroles en het bestrijden van illegale immigratie, deze verplichting zou uitbreiden tot de gegevens van personen die de binnengrenzen van de betrokken lidstaat door de lucht of met andere vervoermiddelen overschrijden, zou in strijd zijn met artikel 67, lid 2, VWEU en artikel 22 van de Schengengrenscode.

F.      Tiende prejudiciële vraag

284. Met zijn tiende prejudiciële vraag wenst de verwijzende rechter in wezen van het Hof te vernemen of, indien hij tot de conclusie zou komen dat de PNR-wet schending oplevert van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, hij de gevolgen van deze wet tijdelijk zou kunnen handhaven teneinde rechtsonzekerheid te voorkomen en het mogelijk te maken dat de voorheen verzamelde en bewaarde gegevens alsnog kunnen worden gebruikt voor de door de PNR-wet beoogde doeleinden.

285. In het arrest La Quadrature du Net, gewezen na de indiening van de onderhavige prejudiciële vraag, heeft het Hof een vraag van gelijke strekking beantwoord met betrekking tot de bewaring van metagegevens van elektronische communicatie. In dit arrest heeft het Hof allereerst zijn rechtspraak in herinnering gebracht volgens welke afbreuk zou worden gedaan aan de voorrang en de uniforme toepassing van het Unierecht indien de nationale rechterlijke instanties bevoegd waren om, al was het maar tijdelijk, aan nationale bepalingen voorrang te geven boven het Unierecht waarmee deze bepalingen in strijd zijn. Vervolgens heeft het Hof erop gewezen dat het in het arrest van 29 juli 2019, Inter-Environnement Wallonie en Bond Beter Leefmilieu Vlaanderen(264), waarin het draaide om de rechtmatigheid van maatregelen die waren vastgesteld in strijd met de Unierechtelijke verplichting om een voorafgaande beoordeling te verrichten van de gevolgen van een project voor het milieu of voor een beschermd gebied, heeft toegestaan dat een nationale rechterlijke instantie, indien het nationale recht dat toestaat, bij wijze van uitzondering de gevolgen van dergelijke maatregelen kan handhaven indien die handhaving wordt gerechtvaardigd door dwingende redenen die verband houden met de noodzaak om het reële en ernstige risico af te wenden dat de elektriciteitsbevoorrading van de betrokken lidstaat wordt onderbroken, met dien verstande dat die handhaving niet langer kan duren dan strikt noodzakelijk is om een einde te maken aan die onrechtmatigheid. Niettemin heeft het Hof geoordeeld dat, anders dan de niet-nakoming van een procedurele verplichting als de voorafgaande beoordeling van de gevolgen van een project op het specifieke terrein van de milieubescherming, een schending van de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten niet kan worden geregulariseerd via een procedure die vergelijkbaar is met die waaraan in het voornoemde arrest(265) wordt gerefereerd. Mijns inziens moet in de onderhavige procedure hetzelfde antwoord worden gegeven op de tiende prejudiciële vraag.

286. Aangezien zowel de verwijzende rechter als de Belgische regering, alsook de Commissie en de Raad, zich afvragen of het Unierecht zich verzet tegen het gebruik in een strafrechtelijke procedure van informatie of bewijzen welke verkregen zijn door middel van een met het Unierecht strijdige verzameling, verwerking en/of bewaring van PNR-gegevens, breng ik in herinnering dat het Hof in punt 222 van het arrest La Quadrature du Net heeft verduidelijkt dat het bij de huidige stand van het Unierecht uitsluitend een zaak van het nationale recht is om de regels vast te stellen met betrekking tot de aanvaarding en de beoordeling van door middel van een dergelijke met het Unierecht strijdige gegevensbewaring verkregen informatie en bewijzen in het kader van een strafrechtelijke procedure tegen personen die worden verdacht van ernstige strafbare feiten, op voorwaarde dat de beginselen van gelijkwaardigheid en doeltreffendheid in acht worden genomen. Wat laatstgenoemd beginsel betreft, heeft het Hof geoordeeld dat het voor de nationale strafrechter de verplichting meebrengt om informatie en bewijzen die door middel van een met het Unierecht onverenigbare algemene en ongedifferentieerde bewaring van verkeers- en locatiegegevens zijn verkregen, in het kader van een strafrechtelijke procedure tegen personen die worden verdacht van strafbare handelingen, buiten beschouwing te laten indien die personen niet in de gelegenheid zijn om doeltreffend commentaar te leveren op die informatie en die bewijzen, die betrekking hebben op een gebied waarvan de rechter geen kennis heeft en een doorslaggevende invloed kunnen hebben op de beoordeling van de feiten. Deze beginselen zijn eveneens mutatis mutandis van toepassing op de omstandigheden van het hoofdgeding.

IV.    Conclusie

287. Op basis van alle voorgaande overwegingen geef ik het Hof in overweging de door het Grondwettelijk Hof gestelde vragen te beantwoorden als volgt:

„1)      Artikel 23 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), gelezen in samenhang met artikel 2, lid 2, onder d), van deze verordening, moet aldus worden uitgelegd dat:

–        het van toepassing is op een nationale wetgeving tot omzetting van richtlijn (EU) 2016/681 van het Europees Parlement en de Raad van 27 april 2016 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, voor zover deze wetgeving de verwerking van PNR-gegevens door luchtvervoerders en andere marktdeelnemers, de doorgifte van PNR-gegevens aan de in artikel 4 van deze richtlijn bedoelde passagiersinformatie-eenheid (PIE) overeenkomstig artikel 8 ervan daaronder begrepen, regelt;

–        het niet van toepassing is op een nationale wetgeving tot omzetting van richtlijn 2016/681, voor zover deze wetgeving de verwerking van gegevens door de bevoegde nationale instanties, daaronder begrepen de PIE’s en, in voorkomend geval, de veiligheids- en inlichtingendiensten van de betrokken lidstaat, voor de in artikel 1, lid 2, van deze richtlijn bedoelde doeleinden regelt;

–        het van toepassing is op een nationale wetgeving tot omzetting van richtlijn 2004/82/EG van de Raad van 29 april 2004 betreffende de verplichting voor vervoerders om passagiersgegevens door te geven, en van richtlijn 2010/65/EU van het Europees Parlement en de Raad van 20 oktober 2010 betreffende meldingsformaliteiten voor schepen die aankomen in en/of vertrekken uit havens van de lidstaten en tot intrekking van richtlijn 2002/6/EG, met het oog op de verbetering van de controle van personen aan de buitengrenzen en de bestrijding van illegale immigratie.

2)      Punt 12 van bijlage I bij richtlijn 2016/681 is ongeldig voor zover het als een van de categorieën PNR-gegevens die de luchtvaartmaatschappijen overeenkomstig artikel 8 van deze richtlijn aan de PIE’s moeten doorgeven, de rubriek ‚algemene opmerkingen’ omvat.

3)      Bij onderzoek van de tweede, de derde, de vierde, de zesde en de achtste prejudiciële vraag is niet gebleken van andere feiten of omstandigheden die de geldigheid van richtlijn 2016/681 kunnen aantasten.

4)      Punt 12 van bijlage I bij richtlijn 2016/681 moet, wat het deel ervan betreft dat niet ongeldig is verklaard, aldus worden uitgelegd dat het alleen ziet op inlichtingen met betrekking tot de hierin uitdrukkelijk vermelde niet-begeleide minderjarigen die een rechtstreeks verband met de vlucht hebben.

5)      Punt 18 van bijlage I bij richtlijn 2016/681 moet aldus worden uitgelegd dat het uitsluitend betrekking heeft op de vooraf te verstrekken passagiersgegevens die uitdrukkelijk zijn opgesomd in dit punt en in artikel 3, lid 2, van richtlijn 2004/82 en welke door de luchtvaartmaatschappijen zijn verzameld in het kader van hun normale bedrijfsvoering.

6)      Het begrip ‚relevante databanken’ als bedoeld in artikel 6, lid 3, onder a), van richtlijn 2016/681 moet aldus worden uitgelegd dat het alleen betrekking heeft op nationale databanken die worden beheerd door de bevoegde instanties als bedoeld in artikel 7, lid 1, van deze richtlijn, alsmede op Unie- en internationale databanken die rechtstreeks door die instanties worden geëxploiteerd bij de uitoefening van hun taken. Deze databanken moeten rechtstreeks en nauw verband houden met de door genoemde richtlijn nagestreefde doelstellingen van bestrijding van terrorisme en ernstige criminaliteit, hetgeen impliceert dat zij voor die doelstellingen moeten zijn ontwikkeld. Bij de omzetting van richtlijn 2016/681 in nationaal recht zijn de lidstaten ertoe verplicht een lijst van genoemde databanken te publiceren en bij te houden.

7)      Artikel 6, lid 3, onder b), van richtlijn 2016/681 moet aldus worden uitgelegd dat het zich verzet tegen het gebruik van algoritmische systemen bij de geautomatiseerde verwerking als bedoeld in deze bepaling, die zonder menselijke tussenkomst kunnen leiden tot een wijziging van de vooraf vastgestelde criteria op basis waarvan deze verwerking werd uitgevoerd en die het niet mogelijk maken om de redenen op grond waarvan deze verwerking een positieve overeenkomst heeft opgeleverd, op een duidelijke en transparante wijze te achterhalen.

8)      Artikel 12, lid 1, van richtlijn 2016/681, gelezen in overeenstemming met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie, moet aldus worden uitgelegd dat de bewaring van door luchtvaartmaatschappijen aan de PIE verstrekte PNR-gegevens in een databank gedurende een periode van vijf jaar na doorgifte van genoemde gegevens aan de PIE van de lidstaat op het grondgebied waarvan de vlucht aankomt of vertrekt, na de voorafgaande beoordeling in de zin van artikel 6, lid 2, onder a), van deze richtlijn alleen is toegestaan voor zover op basis van objectieve criteria een verband wordt vastgesteld tussen deze gegevens en de bestrijding van terrorisme of ernstige criminaliteit. Een algemene en ongedifferentieerde bewaring van deze PNR-gegevens in niet-geanonimiseerde vorm kan alleen worden gerechtvaardigd in het geval van een als reëel en actueel of voorzienbaar aan te merken ernstige bedreiging van de veiligheid van de lidstaten, die bijvoorbeeld verband houdt met terroristische activiteiten, en op voorwaarde dat de bewaartermijn wordt beperkt tot wat strikt noodzakelijk is.

9)      Artikel 6, lid 2, onder b), van richtlijn 2016/681 moet aldus worden uitgelegd dat voor het meedelen van PNR-gegevens of van het verwerkingsresultaat van deze gegevens op grond van deze bepaling tijdens de in artikel 12, lid 2, van deze richtlijn bedoelde initiële termijn van zes maanden moet zijn voldaan aan de in artikel 12, lid 3, onder b), van genoemde richtlijn vastgestelde voorwaarden.

10)      Richtlijn 2016/681, en met name artikel 1, lid 2, en artikel 6 ervan, moet aldus worden uitgelegd dat zij zich verzet tegen een nationale wetgeving die, als doel van de PNR-gegevensverwerking, het toezien op door de inlichtingen- en veiligheidsdiensten beoogde activiteiten aanvaardt, voor zover de nationale PIE in het kader van een dergelijk doel genoemde gegevens zou moeten verwerken en/of deze gegevens of het verwerkingsresultaat ervan zou moeten doorsturen naar genoemde diensten voor andere doeleinden dan die welke limitatief zijn opgesomd in artikel 1, lid 2, van deze richtlijn, hetgeen ter beoordeling van de verwijzende rechter staat.

11)      Artikel 12, lid 3, onder b), van richtlijn 2016/681 moet aldus worden uitgelegd dat de PIE niet aan te merken is als een ‚andere [bevoegde] nationale instantie’ in de zin van deze bepaling.

12)      Artikel 3, lid 1, van richtlijn 2004/82, op grond waarvan de lidstaten de nodige maatregelen nemen om de luchtvervoerders te verplichten aan de autoriteiten die belast zijn met de controle van personen aan de buitengrenzen, voor het eind van de instapcontroles desgevraagd informatie te verstrekken over de passagiers bedoeld in lid 2 van dit artikel, gelezen in samenhang met artikel 2, onder b) en d), van deze richtlijn, heeft alleen betrekking op de passagiers die worden vervoerd naar een aangewezen grensdoorlaatpost via welke deze personen de buitengrenzen van de lidstaten met derde landen overschrijden. Een nationale wetgeving die, alleen met het oog op het verbeteren van de grenscontroles en het bestrijden van illegale immigratie, deze verplichting zou uitbreiden tot de gegevens van personen die de binnengrenzen van de betrokken lidstaat door de lucht of met andere vervoermiddelen overschrijden, zou in strijd zijn met artikel 67, lid 2, VWEU en artikel 22 van verordening (EU) 2016/399 van het Europees Parlement en de Raad van 9 maart 2016 betreffende een Uniecode voor de overschrijding van de grenzen door personen (Schengengrenscode).

13)      Een nationale rechterlijke instantie mag geen bepaling van haar nationale recht toepassen die haar machtigt om de werking in de tijd te beperken van de door haar op grond van dit recht uit te spreken onwettigverklaring van een nationale wettelijke regeling waarbij met het oog op de bestrijding van terrorisme en zware criminaliteit aan vervoerders door de lucht, over land en over zee, alsook aan reisbureaus, een verplichting wordt opgelegd tot doorgifte van PNR-gegevens en welke voorziet in een algemene en ongedifferentieerde verwerking en bewaring van deze gegevens die onverenigbaar zijn met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest van de grondrechten. Overeenkomstig het doeltreffendheidsbeginsel dient de nationale strafrechter informatie en bewijzen die op grond van deze met het Unierecht onverenigbare wettelijke regeling zijn verkregen, in het kader van een strafrechtelijke procedure tegen personen die worden verdacht van terrorisme of ernstige criminaliteit buiten beschouwing te laten indien die personen niet in de gelegenheid zijn om doeltreffend commentaar te leveren op die informatie en die bewijzen, die betrekking hebben op een gebied waarvan de rechter geen kennis heeft en een doorslaggevende invloed kunnen hebben op de beoordeling van de feiten.”

1      Oorspronkelijke taal: Frans.

2      PB 2016, L 119, blz. 1, met rectificatie in PB 2021, L 74, blz. 35.

3      PB 2016, L 119, blz. 132.

4      PB 2004, L 261, blz. 24.

5      Belgisch Staatsblad, 25 januari 2017, blz. 12905.

6      Overeenkomstig artikel 3, punt 2, van de PNR-richtlijn moet een „vlucht naar of vanuit derde landen” worden begrepen als „iedere geregelde of niet-geregelde vlucht door een luchtvaartmaatschappij die, volgens plan, vanuit een derde land zal aankomen op het grondgebied van een lidstaat of zal vertrekken vanaf het grondgebied van een lidstaat en volgens plan zal aankomen op het grondgebied van een derde land; in beide gevallen zijn hieronder begrepen de vluchten met tussenlandingen op het grondgebied van lidstaten of derde landen”.

7      Overeenkomstig artikel 3, punt 3, van de PNR-richtlijn moet een „vlucht binnen de EU” worden begrepen als „iedere geregelde of niet-geregelde vlucht door een luchtvaartmaatschappij die vanaf het grondgebied van een lidstaat volgens plan zal aankomen op het grondgebied van een of meer andere lidstaten, zonder tussenlandingen op het grondgebied van een derde land”.

8      Artikel 7, lid 1, van de PNR-richtlijn bepaalt dat elke lidstaat een lijst opstelt van de instanties die bevoegd zijn de PIE om PNR-gegevens of het verwerkingsresultaat van die gegevens te verzoeken of PNR-gegevens of het verwerkingsresultaat van die gegevens te ontvangen, teneinde deze informatie nader te onderzoeken of de nodige maatregelen te treffen voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven of ernstige criminaliteit. Deze lijst is door de Commissie gepubliceerd in 2018 (PB 2018, C 194, blz. 1, met rectificatie in PB 2020, C 366, blz. 55).

9      Kaderbesluit van de Raad van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PB 2008, L 350, blz. 60).

10      PB 2016, L 119, blz. 89. Artikel 25 van kaderbesluit 2008/977 is vervangen door artikel 41 van de politierichtlijn.

11      Zie artikel 15, lid 2, van de PNR-richtlijn.

12      Zie artikel 15, lid 3, onder a) en b), van de PNR-richtlijn.

13      Richtlijn van het Europees Parlement en de Raad van 20 oktober 2010 betreffende meldingsformaliteiten voor schepen die aankomen in en/of vertrekken uit havens van de lidstaten en tot intrekking van richtlijn 2002/6/EG (PB 2010, L 283, blz. 1).

14      Belgisch Staatsblad, 18 december 1998, blz. 40312.

15      C‑203/15 en C‑698/15, EU:C:2016:970; hierna: „arrest Tele2 Sverige”.

16      EU:C:2017:592; hierna: „advies 1/15”.

17      Zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punt 61).

18      Overeenkomstig artikel 2, lid 1, AVG is „[d]eze verordening [...] van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”.

19      Zie arresten van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 84), en 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punt 62).

20      Zie in die zin arrest van 6 oktober 2020, Privacy International (C‑623/17, EU:C:2020:790, punt 41 en aldaar aangehaalde rechtspraak; hierna: „arrest Privacy International”). Overeenkomstig artikel 4, punt 2, AVG moet onder „verwerking” worden verstaan „een bewerking [...] met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, zoals het [...] verstrekken door middel van doorzending”.

21      Zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punt 69). Overeenkomstig artikel 3, punt 7, onder a) en b), van de politierichtlijn moet „bevoegde autoriteit” worden begrepen als „a) iedere overheidsinstantie die bevoegd is voor de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; of b) ieder ander orgaan dat of iedere andere entiteit die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen” voor diezelfde doeleinden.

22      De verwijzingsbeslissing bevat geen enkele aanwijzing in die zin.

23      Een dergelijke marktspeler kan evenmin worden aangemerkt als „verwerker” in de zin van artikel 4, punt 8, AVG of artikel 3, punt 9, van de politierichtlijn, aangezien hij veeleer optreedt als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, tweede volzin, AVG. Overeenkomstig artikel 4, punt 8, AVG en artikel 3, punt 9, van de politierichtlijn, die in dezelfde bewoordingen zijn opgesteld, moet „verwerker” worden begrepen als „een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt”. Overeenkomstig artikel 4, punt 7, eerste volzin, AVG moet „verwerkingsverantwoordelijke” worden begrepen als „een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat [...] het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. In de tweede volzin van deze bepaling luidt het dat „wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, [...] daarin [...] bepaald [kan worden] wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen”.

24      Richtlijn van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31). Deze richtlijn is ingetrokken en vervangen door de AVG, zie artikel 94 van deze verordening.

25      C‑317/04 en C‑318/04, EU:C:2006:346; hierna: „arrest Parlement/Raad”. In de zaken die tot dit arrest hebben geleid, had het Parlement verzocht om, ten eerste, nietigverklaring van besluit 2004/496/EG van de Raad van 17 mei 2004 betreffende de sluiting van een overeenkomst tussen de Europese Gemeenschap en de Verenigde Staten van Amerika inzake de verwerking en overdracht van PNR-gegevens door luchtvaartmaatschappijen aan het Bureau of Customs and Border Protection van het ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PB 2004, L 183, blz. 83, met rectificatie in PB 2005, L 255, blz. 168) en, ten tweede, nietigverklaring van beschikking 2004/535/EG van de Commissie van 14 mei 2004 betreffende de passende bescherming van persoonsgegevens in het Passenger Name Record van vliegtuigpassagiers die aan het Bureau of Customs and Border Protection van de Verenigde Staten worden doorgegeven (PB 2004, L 235, blz. 11).

26      Overeenkomstig artikel 3, lid 2, eerste streepje, van richtlijn 95/46 waren de bepalingen ervan niet van toepassing op de verwerking van persoonsgegevens „die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid), en de activiteiten van de staat op strafrechtelijk gebied” (cursivering door mij).

27      Over de „teleologische” en „contextuele” benadering van het Hof in het arrest Parlement/Raad, zie de conclusie van advocaat-generaal Campos Sánchez-Bordona in de gevoegde zaken La Quadrature du Net e.a. (C‑511/18 en C‑512/18, EU:C:2020:6, punten 47 en 62).

28      C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791; hierna: „arrest La Quadrature du Net”.

29      Zie arrest La Quadrature du Net, punten 100‑102.

30      Zie in diezelfde zin arrest Privacy International, punt 47.

31      C‑207/16, EU:C:2018:788, punt 34; hierna: „arrest Ministerio Fiscal”.

32      Zie naar analogie arresten Tele2 Sverige, punten 72‑74, en Ministerio Fiscal, punt 34. Deze arresten hadden betrekking op de uitlegging van artikel 15, lid 1, eerste volzin, van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37), waarin een soortgelijke beperkingsclausule is opgenomen als die in artikel 23, lid 1, onder a) tot en met d), AVG.

33      In de context van richtlijn 2002/58 was een verwijzing naar artikel 15, lid 1, van deze richtlijn gerechtvaardigd, gelet op de bewoordingen van de uitsluitingsbepaling van artikel 1, lid 3, ervan, waarin in het algemeen wordt verwezen naar de „activiteiten van de staat op strafrechtelijk gebied”.

34      Zie naar analogie arrest Privacy International, punten 38 en 39.

35      Het betreft de verwerkingen die vallen onder de hoofdstukken 7 tot en met 10 en 12 van de PNR-wet.

36      Zie in die zin arresten La Quadrature du Net, punt 103, en Privacy International, punt 48.

37      Zie met name arrest La Quadrature du Net.

38      Zie arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punt 66).

39      Zie arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504).

40      Zie arrest La Quadrature du Net, punt 99 en aldaar aangehaalde rechtspraak.

41      De voorwaarden voor de verwerking van deze gegevens worden uiteengezet in hoofdstuk 11 van de PNR-wet.

42      Zie de overwegingen 8, 9 en 12 en artikel 6 van de API-richtlijn, en artikel 8, lid 2, van richtlijn 2010/65.

43      Artikel 6, lid 1, laatste alinea, van de API-richtlijn voorziet uitdrukkelijk in het gebruik van vooraf te verstrekken passagiersgegevens (hierna: „API-gegevens”) voor wetshandhavingsdoeleinden.

44      Zie in die zin met name arrest van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 170 en aldaar aangehaalde rechtspraak).

45      Zie met name arrest van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 172 en aldaar aangehaalde rechtspraak).

46      Zie in die zin arrest La Quadrature du Net, punt 122.

47      Zie arrest La Quadrature du Net, punt 123.

48      Zie arrest La Quadrature du Net, punt 124 en aldaar aangehaalde rechtspraak.

49      Zie arrest van 18 juni 2020, Commissie/Hongarije (Transparantie van verenigingen) (C‑78/18, EU:C:2020:476, punt 122 en aldaar aangehaalde rechtspraak).

50      Zie met name EHRM, 4 december 2015, Roman Zakharov tegen Rusland (CE:ECHR:2015:1204JUD004714306, § 227); EHRM, 18 mei 2010, Kennedy tegen Verenigd Koninkrijk (CE:ECHR:2010:0518JUD002683905, § 130), en EHRM, 25 mei 2021, Centrum för Rättvisa tegen Zweden (CE:ECHR:2021:0525JUD003525208, § 246).

51      Zie EHRM, 4 december 2015, Roman Zakharov tegen Rusland, (CE:ECHR:2015:1204JUD004714306, § 228); EHRM, 4 mei 2000, Rotaru tegen Roemenië (CE:ECHR:2000:0504JUD002834195, § 52); EHRM, 4 december 2008, S. en Marper tegen Verenigd Koninkrijk (CE:ECHR:2008:1204JUD003056204, § 95); EHRM, 18 mei 2021, Kennedy tegen Verenigd Koninkrijk (CE:ECHR:2010:0518JUD002683905, § 151), en EHRM, 25 mei 2021, Centrüm för Rättvisa tegen Zweden (CE:ECHR:2021:0525JUD003525208, § 246).

52      Zie onder meer arrest van 18 juni 2020, Commissie/Hongarije (Transparantie van verenigingen) (C‑78/18, EU:C:2020:476, punten 124 en 126 en aldaar aangehaalde rechtspraak); zie ook EHRM, 4 mei 2000, Rotaru tegen Roemenië (CE:ECHR:2000:0504JUD002834195, § 48); EHRM, 26 maart 1987, Leander tegen Zweden (CE:ECHR:1987:0326JUD000924881, § 46), en EHRM, 29 juni 2006, Weber en Saravia tegen Duitsland (CE:ECHR:2006:0629DEC005493400, § 79).

53      Zie onder meer arrest Ministerio Fiscal, punt 51 en aldaar aangehaalde rechtspraak.

54      Zie onder meer arrest van 18 juni 2020, Commissie/Hongarije (Transparantie van verenigingen) (C‑78/18, EU:C:2020:476, punt 126), alsook arrest Ministerio Fiscal, punt 51 en aldaar aangehaalde rechtspraak.

55      Zie arrest van 8 april 2014, Digital Rights Ireland e.a. (C‑293/12 en C‑594/12, EU:C:2014:238, punt 34; hierna: „arrest Digital Rights”).

56      Zie advies 1/15, punten 121‑123.

57      Zie naar analogie arrest Privacy International, punten 79 en 80 en aldaar aangehaalde rechtspraak.

58      Zie artikel 2, leden 1‑3, van de PNR-richtlijn.

59      Zie artikel 2, lid 3, van de PNR-richtlijn.

60      Overeenkomstig de artikelen 1 en 2 van Protocol nr. 22 betreffende de positie van Denemarken, neemt deze lidstaat niet deel aan de vaststelling van deze richtlijn en is het hierdoor niet gebonden, noch onderworpen aan de toepassing ervan (zie overweging 40 van deze richtlijn). Uit de door de Deense regering ingediende schriftelijke opmerkingen blijkt echter dat het Koninkrijk Denemarken in 2018 een wet heeft aangenomen die ziet op het verzamelen, gebruiken en bewaren van PNR-gegevens, waarvan de bepalingen grotendeels overeenkomen met die van de PNR-richtlijn. Wat Ierland betreft, blijkt uit overweging 39 van de PNR-richtlijn dat deze lidstaat overeenkomstig artikel 3 van Protocol nr. 21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, gehecht aan het VEU en het VWEU, kennis heeft gegeven van zijn wens deel te nemen aan de vaststelling en toepassing van deze richtlijn.

61      De Commissie heeft een bijgewerkte lijst bekendgemaakt van de lidstaten die hebben besloten de PNR-richtlijn toe te passen op vluchten binnen de EU, overeenkomstig artikel 2 van [de PNR-richtlijn] (PB 2020, C 358, blz. 7), gerectificeerd in september 2021 met de toevoeging van Slovenië en de schrapping van de verwijzing naar het Verenigd Koninkrijk (PB 2021, C 360, blz. 8). Ierland en Oostenrijk komen niet voor in deze lijst. Het verslag van de Commissie aan het Europees Parlement en de Raad van 24 juli 2020 over de evaluatie van de [PNR-richtlijn] [COM(2020) 305 final, blz. 11; hierna: „verslag van de Commissie van 2020”] vermeldt dat alle lidstaten, op één uitzondering na, de verzameling van PNR-gegevens hebben uitgebreid tot alle vluchten binnen de EU.

62      Zie met name de punten 4 en 18 van bijlage I met betrekking tot de naam/namen, het geslacht, de geboortedatum, de nationaliteit en het identiteitsdocument van de passagier.

63      Zie met name de punten 2, 3, 7, 13 en 18 van bijlage I bij de PNR-richtlijn, waarin met name het vluchtnummer, de luchthavens van vertrek en aankomst en de tijdstippen van vertrek en aankomst staan vermeld.

64      Zie de punten 5, 6, 9, 12 en 16 van bijlage I.

65      Zie in die zin advies 1/15, punt 131.

66      SWD(2020) 128 final.

67      Het werkdocument van 2020 (blz. 28 en voetnoot op blz. 55) maakt voor 2019 melding van een percentage positieve overeenkomsten van 0,59 %, waarvan slechts 0,11 % aan de bevoegde instanties werd doorgegeven. Voor 2018 bedroegen de overeenkomstige percentages respectievelijk 0,25 % en 0,04 %.

68      Zie advies 1/15, punt 132.

69      Vóór de gezondheidscrisis kon het door de PNR-richtlijn ingestelde systeem tot een miljard passagiers per jaar bestrijken, gegevens beschikbaar op https://ec.europa.eu/eurostat/databrowser/view/ttr00012/default/table?lang=en.

70      Namelijk iedere persoon die beantwoordt aan het begrip „passagier” in de zin van artikel 3, punt 4, van de PNR-richtlijn en die een vlucht neemt naar of vanuit een derde land alsook – de facto – een vlucht binnen de EU.

71      Volgens een in 2015 verricht onderzoek van de Europese commissie voor democratie door recht (Commissie van Venetië) worden dergelijke maatregelen geacht te vallen onder het begrip „strategisch toezicht” en een „algemene trend” te volgen naar de instelling van een „proactief toezicht” op de bevolking; zie de studie Mise à jour du rapport de 2007 sur le contrôle démocratique des services de sécurité et rapport sur le contrôle démocratique des agences de collecte de renseignements d’origine électromagnétique (Actualisering van het verslag van 2007 over het democratische toezicht op de veiligheidsdiensten en verslag over het democratische toezicht op de diensten voor inlichtingenverzameling uit berichtenverkeer), door de Commissie van Venetië goedgekeurd tijdens haar 102e plenaire vergadering (Venetië, 20 en 21 maart 2015), https://www.venice.coe.int/webforms/documents/?pdf=CDL-AD(2015)006-f, punt 61.

72      Wat artikel 8 EVRM betreft, zie EHRM, 25 mei 2021, Big Brother Watch e.a. tegen Verenigd Koninkrijk (CE:ECHR:2021:0525JUD005817013, § 325; hierna: „arrest Big Brother Watch”), over massale onderscheppingsmaatregelen, waarin het EHRM bevestigt dat de mate van inmenging in de uitoefening van het recht op eerbiediging van de persoonlijke levenssfeer toeneemt naarmate de verschillende stappen van het proces worden doorlopen, namelijk de onderschepping en initiële bewaring van berichten en bijbehorende gegevens, de geautomatiseerde verwerking door toepassing van selectoren, het onderzoek door analisten, de daaropvolgende bewaring van gegevens en het gebruik van het „eindproduct”.

73      Zie in die zin de overwegingen 6 en 7 van de PNR-richtlijn; voor een diepgaande analyse van dit doel en de implicaties ervan voor de bescherming van de persoonlijke levenssfeer en van persoonsgegevens, zie het rapport getiteld Passenger Name Records (PNR), data mining and data protection: the need for strong safeguards, opgesteld door Korff, D., in samenwerking met Georges, M., https://rm.coe.int/16806a601b (hierna: „rapport Korff”).

74      In het rapport Korff luidt het: „PNR is not an isolated issue, but a new symptom of a much wider disease.”

75      Zie onder meer arresten van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559, punt 175), en 8 september 2020, Recorded Artists Actors Performers (C‑265/19, EU:C:2020:677, punt 86 en aldaar aangehaalde rechtspraak), en arrest Privacy International, punt 65.

76      Zie onder meer EHRM, 8 juni 2006, Lupsa tegen Roemenië, (CE:ECHR:2006:0608JUD001033704, §§ 32 en 33), en EHRM, 15 december 2020, Pişkìn tegen Turkije (CE:ECHR:2020:1215JUD003339918, § 206); zie ook arrest Big Brother Watch, § 333. Over de noodzakelijkheid om aan de uitdrukking „bij wet gesteld” van artikel 52, lid 1, van het Handvest dezelfde uitlegging te geven als de in het EHRM gebezigde uitdrukking, zie de conclusie van advocaat-generaal Wathelet in de zaak WebMindLicenses (C‑419/14, EU:C:2015:606, punten 134‑143).

77      Zie laatstelijk arrest Big Brother Watch, § 333.

78      Zie arrest van 17 december 2015, WebMindLicenses (C‑419/14, EU:C:2015:832, punt 81); zie ook EHRM, 1 juli 2008, Liberty e.a. tegen Verenigd Koninkrijk (CE:ECHR:2008:0701JUD005824300, § 69), en arrest Big Brother Watch, § 333.

79      Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, op 28 januari 1981 aangenomen in Straatsburg en door alle lidstaten geratificeerd, beter bekend als „Verdrag 108”. In 2018 werd een protocol tot wijziging van dit verdrag opgesteld met het oog op modernisering ervan. Bij besluit (EU) 2019/682 van de Raad van 9 april 2019 (PB 2019, L 115, blz. 7) werden de lidstaten gemachtigd om, in het belang van de Europese Unie, genoemd protocol te ondertekenen, voor zover de bepalingen ervan onder de exclusieve bevoegdheid van de Unie vallen. Hierna zal ik ook verwijzen naar de tekst van het gemoderniseerde Verdrag 108, dat, hoewel het nog niet door alle lidstaten is geratificeerd en nog niet in werking is getreden, voorziet in waarborgen die op dezelfde beginselen berusten als vervat in de AVG en de politierichtlijn, zoals blijkt uit besluit 2019/682.

80      https://rm.coe.int/t-pd-2016‑18rev-avis-pnr-fr/16807b6c09, blz. 3 en 5. Het toelichtend rapport bij het Protocol tot wijziging van Verdrag 108 (hierna: „toelichtend rapport bij het gemoderniseerde Verdrag 108”) benadrukt ook het vereiste dat de maatregel die een inmenging in het grondrecht op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens met zich meebrengt, „toegankelijk”, „voorzienbaar”, „voldoende gedetailleerd” en „duidelijk geformuleerd” is; zie punt 91 van dit toelichtend rapport, https://rm.coe.int/convention-108-convention-pour-la-protection-des-personnes-a-l-egard-d/16808b3726.

81      Zie a contrario arrest van 3 december 2019, Tsjechië/Parlement en Raad (C‑482/17, EU:C:2019:1035, punt 135).

82      Zie onder meer arrest La Quadrature du Net, punt 132 en aldaar aangehaalde rechtspraak; zie ook EHRM, arrest Big Brother Watch, § 334.

83      Zie in dit verband Tridimas, T., Gentile, G., „The Essence of Rights: an Unreliable Boundary?”, German Law Journal, 2019, blz. 796; Lenaerts, K., „Limits on limitations: The Essence of Fundamental Rights in the EU”, German Law Journal, 2019, deel 20, blz. 779 e.v.

84      Vanaf het arrest van het EHRM van 24 oktober 1979, Winterwerp tegen Nederland, (CE:ECHR:1979:1024JUD000630173, § 60).

85      Zie toelichtingen bij het Handvest van de grondrechten (PB 2007, C 303, blz. 17, meer bepaald „Toelichting ad artikel 52”, blz. 32; hierna: „toelichtingen bij het Handvest”).

86      Zie in die zin reeds met name arresten van 14 mei 1974, Nold/Commissie (4/73, EU:C:1974:51, punt 14), en 13 december 1979, Hauer (44/79, EU:C:1979:290, punt 23).

87      C‑362/14, EU:C:2015:650, punten 94‑98; hierna: „arrest Schrems I”.

88      Zie Lenaerts, K., op. cit., blz. 781; Tridimas, T., Gentile, G., op. cit., blz. 803.

89      De toelichtingen bij het Handvest erkennen uitdrukkelijk dat „de menselijke waardigheid tot het wezen van de in [het] Handvest vastgelegde rechten behoort” en dat „[e]r [...] derhalve geen afbreuk aan [kan] worden gedaan, zelfs niet als een recht wordt beperkt”.

90      Ik verwijs in dit verband naar de overwegingen in de gemeenschappelijke, deels afwijkende mening van de rechters Lemmens, Vehabović en Bošniak in het arrest Big Brother Watch, §§ 3‑10.

91      Richtlijn van het Europees Parlement en de Raad van 15 maart 2006 betreffende de bewaring van gegevens die zijn gegenereerd of verwerkt in verband met het aanbieden van openbaar beschikbare elektronische-communicatiediensten of van openbare communicatienetwerken en tot wijziging van richtlijn 2002/58/EG (PB 2006, L 105, blz. 54).

92      Zie arrest Digital Rights, punt 39; zie ook, met betrekking tot richtlijn 2002/58, arrest Tele2 Sverige, punt 101.

93      Zie advies 1/15, punt 150.

94      Zie in die zin met name arrest Digital Rights, punt 40.

95      Zie in diezelfde zin advies 1/15, punt 128.

96      Zie advies 1/15, punten 164 en 165.

97      Zie advies 1/15, punt 150.

98      Zie met name de overwegingen 5, 6, 15 en 22 van de PNR-richtlijn.

99      Voorstel van de Commissie van 2 februari 2011 betreffende het gebruik van persoonsgegevens van passagiers voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en zware criminaliteit [COM(2011) 32 definitief, blz. 4].

100      Omwille van de eenvoud gebruik ik in de onderhavige conclusie de uitdrukkingen „rechtshandhavingsdiensten” of „rechtshandhavingsinstanties” ter algemene aanduiding van elke autoriteit waaraan bevoegdheden zijn verleend op het binnen het toepassingsgebied van de PNR-richtlijn vallende gebied van het opsporen, voorkomen, vervolgen of onderzoeken van terroristische misdrijven of zware criminaliteit.

101      Zie overweging 7 van de PNR-richtlijn. Zie ook het voorstel voor de PNR-richtlijn, blz. 5.

102      Zie in die zin advies 1/15, alsook arrest van 2 maart 2021, Prokuratuur (Voorwaarden voor toegang tot elektronische-communicatiegegevens) (C‑746/18, EU:C:2021:152; hierna: „arrest Prokuratuur”, punt 33 en aldaar aangehaalde rechtspraak).

103      Zie in die zin advies 1/15, punt 149 en aldaar aangehaalde rechtspraak, en arrest La Quadrature du Net.

104      Zie hieronder de evenredigheidsbeoordeling van de inmenging.

105      Zie arrest La Quadrature du Net, punt 125.

106      Zie arrest La Quadrature du Net, punt 126 en aldaar aangehaalde rechtspraak.

107      Zie arrest La Quadrature du Net, punt 136.

108      Zie arrest Digital Rights, punt 46 en aldaar aangehaalde rechtspraak.

109      Zie advies 1/15, punt 140, alsook arrest La Quadrature du Net, punt 130 en aldaar aangehaalde rechtspraak. Het vereiste dat de verwerking van persoonsgegevens in elk stadium „blijk geeft van een billijk evenwicht tussen alle betrokken openbare dan wel particuliere belangen en tussen de rechten en vrijheden die op het spel staan”, is ook neergelegd in artikel 5 van Verdrag 108.

110      Zie in die zin arrest van 2 oktober 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, punt 55 en aldaar aangehaalde rechtspraak), en arresten La Quadrature du Net, punt 131, en Prokuratuur, punt 32.

111      Zie in die zin arresten Digital Rights, punt 54, en Schrems I, punt 91, alsook advies 1/15, punt 141.

112      Zie advies 1/15, punt 141 en aldaar aangehaalde rechtspraak.

113      Zie in die zin arrest Digital Rights, punt 48.

114      Zie in die zin de punten 201‑203 van de onderhavige conclusie.

115      In dit verband verwijs ik naar de in het werkdocument van 2020 vervatte gegevens.

116      Zie in die zin het advies van 19 augustus 2016, blz. 5.

117      Over het belang van statistieken voor de beoordeling van de doeltreffendheid van het door de PNR-richtlijn ingestelde systeem, zie met name advies 1/2011 van 14 juni 2011 over het voorstel voor de PNR-richtlijn, https://fra.europa.eu/sites/default/files/fra_uploads/1786-FRA-PNR-Opinion-2011_FR.pdf, punt 2.1.2.1 (hierna: „advies 1/2011 van het FRA”).

118      Deze vraag wordt daarentegen duidelijk opgeworpen door het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) in de aanhangige zaak C‑215/20.

119      De Commissie werd verzocht om haar opmerkingen dienaangaande in te dienen in het kader van een schriftelijk te beantwoorden vraag. De overige belanghebbenden hebben hun standpunt ter terechtzitting kenbaar kunnen maken.

120      Zie punt 107, in fine, van de onderhavige conclusie.

121      Richtlijn van het Europees Parlement en de Raad van 15 maart 2017 inzake terrorismebestrijding en ter vervanging van kaderbesluit 2002/475/JBZ van de Raad en tot wijziging van besluit 2005/671/JBZ van de Raad (PB 2017, L 88, blz. 6).

122      In dit verband zij opgemerkt dat het begrip „strafbaar feit met een grensoverschrijdend karakter”, zoals bijvoorbeeld omschreven in de PNR-ontwerpovereenkomst Canada-EU, zo ruim was opgevat dat het ook strafbare feiten omvatte die in één land worden gepleegd, „maar de dader zich in een ander land bevindt of voornemens is zich naar een ander land te begeven”; zie artikel 3, lid 3, onder e), van de PNR-ontwerpovereenkomst Canada-EU, waarvan de bewoordingen integraal zijn overgenomen in punt 30 van advies 1/15. Ook zij opgemerkt dat de FRA in zijn advies 1/2011 (punten 2.2.3.1 en 3.7) had geopperd om het PNR-systeem van de Unie te beperken tot uitsluitend ernstige grensoverschrijdende criminaliteit. Het voorstel voor de PNR-richtlijn voorzag daarentegen in een onderscheiden geautomatiseerde verwerking voor grensoverschrijdende strafbare feiten en voor feiten die niet als zodanig zijn aan te merken [zie artikel 4, lid 2, onder a), van dit voorstel].

123      Er zij bovendien opgemerkt dat een deel van de in bijlage II bedoelde strafbare feiten behoort tot vormen van criminaliteit die als „bijzonder zwaar” worden aangemerkt in artikel 83, lid 1, eerste alinea, VWEU en in de tweede alinea van dit lid worden opgesomd. Het betreft met name mensenhandel, seksuele uitbuiting van kinderen, illegale drugshandel, illegale wapenhandel, witwassen van geld, corruptie, vervalsing van betaalmiddelen, computercriminaliteit en georganiseerde criminaliteit. Op verschillende van die gebieden heeft de Uniewetgever op grond van artikel 83, lid 1, VWEU richtlijnen vastgesteld met daarin „minimumvoorschriften betreffende de bepaling van strafbare feiten en sancties”; zie met name richtlijn 2011/36/EU van het Europees Parlement en de Raad van 5 april 2011 inzake de voorkoming en bestrijding van mensenhandel en de bescherming van slachtoffers daarvan, en ter vervanging van kaderbesluit 2002/629/JBZ van de Raad (PB 2011, L 101, blz. 1); richtlijn 2011/93/EU van het Europees Parlement en de Raad van 13 december 2011 ter bestrijding van seksueel misbruik en seksuele uitbuiting van kinderen en kinderpornografie, en ter vervanging van kaderbesluit 2004/68/JBZ van de Raad (PB 2011, L 335, blz. 1); richtlijn 2013/40/EU van het Europees Parlement en de Raad van 12 augustus 2013 over aanvallen op informatiesystemen en ter vervanging van kaderbesluit 2005/222/JBZ van de Raad (PB 2013, L 218, blz. 8); richtlijn (EU) 2019/713 van het Europees Parlement en de Raad van 17 april 2019 betreffende de bestrijding van fraude met en vervalsing van niet-contante betaalmiddelen en ter vervanging van kaderbesluit 2001/413/JBZ van de Raad (PB 2019, L 123, blz. 18); richtlijn (EU) 2017/1371 van het Europees Parlement en de Raad van 5 juli 2017 betreffende de strafrechtelijke bestrijding van fraude die de financiële belangen van de Unie schaadt (PB 2017, L 198, blz. 29), en richtlijn (EU) 2018/1673 van het Europees Parlement en de Raad van 23 oktober 2018 inzake de strafrechtelijke bestrijding van het witwassen van geld (PB 2018, L 284, blz. 22).

124      Er zij evenwel opgemerkt dat alle in bijlage II bedoelde strafbare feiten, met uitzondering van „industriële spionage”, zijn vermeld in artikel 2, lid 2, van kaderbesluit 2002/584/JBZ van de Raad van 13 juni 2002 betreffende het Europees aanhoudingsbevel en de procedures van overlevering tussen de lidstaten (PB 2002, L 190, blz. 1). Hoewel deze strafbare feiten daarin niet uitdrukkelijk worden aangemerkt als ernstig, geven zij bij het bereiken van dezelfde drempelwaarde voor een vrijheidsbenemende straf als bedoeld in artikel 3, punt 9, van de PNR-richtlijn niettemin aanleiding tot overlevering op grond van een Europees aanhoudingsbevel, zonder toetsing van de dubbele strafbaarheid. Vrijwel alle genoemde strafbare feiten, met uitzondering van „sabotage”, „kaping van vliegtuigen” en „industriële spionage”, zijn eveneens opgenomen in bijlage I bij verordening (EU) 2018/1727 van het Europees Parlement en de Raad van 14 november 2018 betreffende het Agentschap van de Europese Unie voor justitiële samenwerking in strafzaken (Eurojust), en tot vervanging en intrekking van besluit 2002/187/JBZ van de Raad (PB 2018, L 295, blz. 138), waarin de „vormen van ernstige criminaliteit” staan opgesomd waarvoor Eurojust bevoegd is.

125      Het betreft met name de punten 7, 8, 10 en 16.

126      Dit geldt bijvoorbeeld voor „fraude” (punt 7), „corruptie” (punt 6), „computercriminaliteit” (punt 9) en „milieumisdrijven” (punt 10). In de aanhangige zaak C‑215/20 stelt het Verwaltungsgericht Wiesbaden met name vragen over fraudemisdrijven.

127      In artikel 9 van deze richtlijn wordt overigens de minimumduur gepreciseerd van de maximale gevangenisstraf die op deze strafbare feiten moet worden gesteld. Alleen in bepaalde omstandigheden bedraagt deze maximumstraf drie jaar.

128      Richtlijn van het Europees Parlement en de Raad van 19 november 2008 (PB 2008, L 328, blz. 28).

129      Richtlijn van de Raad van 28 november 2002 tot omschrijving van hulpverlening bij illegale binnenkomst, illegale doortocht en illegaal verblijf (PB 2002, L 328, blz. 17).

130      Kaderbesluit van de Raad van du 28 november 2002 tot versterking van het strafrechtelijk kader voor de bestrijding van hulpverlening bij illegale binnenkomst, illegale doortocht en illegaal verblijf (PB 2002, L 328, blz. 1).

131      Kaderbesluit van de Raad van 22 juli 2003 inzake de bestrijding van corruptie in de privésector (PB 2003, L 192, blz. 54).

132      Kaderbesluit van de Raad van 24 oktober 2008 ter bestrijding van georganiseerde criminaliteit (PB 2008, L 300, blz. 42).

133      Zie met name de overwegingen 7 en 22 van de PNR-richtlijn.

134      Zie overweging 35 van de PNR-richtlijn.

135      Zie naar analogie arresten van 16 december 2008, Arcelor Atlantique et Lorraine e.a. (C‑127/07, EU:C:2008:728, punten 61 en 62), en 17 oktober 2013, Schaible (C‑101/12, EU:C:2013:661, punten 91 en 94).

136      Zie document 9944, goedgekeurd door de secretaris-generaal van de ICAO en bekendgemaakt onder diens gezag. De Franse taalversie van dit document is beschikbaar via https://www.icao.int/Security/FAL/ANNEX9/Documents/9944_cons_en.pdf. Overeenkomstig punt 9.22 van bijlage 9 (Facilitations) bij het op 7 december 1944 te Chicago ondertekende Verdrag inzake de internationale burgerluchtvaart (hierna: „Verdrag van Chicago”) zijn de verdragsluitende staten die de doorgifte van PNR-gegevens vereisen, ertoe gehouden hun behoeften op het gebied van gegevens en de verwerking ervan onder meer af te stemmen op deze richtsnoeren.

137      Zie in diezelfde zin advies 1/15, punt 160.

138      Zie de punten 2.1.2 en 2.1.5 van de richtsnoeren van de ICAO.

139      In de PNR-richtlijn wordt alleen in overweging 17 verwezen naar de richtsnoeren van de ICAO. Bovendien heeft deze verwijzing enkel betrekking op de „ondersteunde dataformaten voor de doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan de lidstaten”.

140      Zo wordt in punt 2.1.5 van genoemde richtsnoeren melding gemaakt van „aanvullende inlichtingen” of inlichtingen „over aangevraagde diensten”, welke onder meer betrekking kunnen hebben op „verzoeken om medische zorg of speciale maaltijden”, „niet-begeleide minderjarigen” of „verzoeken om bijstand”. In punt 2.1.6 wordt dan weer gepreciseerd dat het „veld ‚algemene opmerkingen’” ook „bepaalde inlichtingen” kan bevatten „zoals interne correspondentie of informatie tussen het personeel van de luchtvaartmaatschappijen en de boekingsagenten”.

141      Zie de punten 2.1.5 en 2.1.6 van de richtsnoeren van de ICAO.

142      Zie arrest van 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670, punt 32), gewezen in verband met de aan paspoortaanvragers opgelegde verplichting om vingerafdrukken te laten afnemen voor het verkrijgen van een document waarmee zij naar een derde land kunnen reizen.

143      Verderop in deze conclusie zal ik nog terugkomen op deze categorie gegevens.

144      Het FRA heeft zich in die zin uitgesproken in zijn advies 1/2011 (blz. 13). In het advies van 25 maart 2011 van de Europese Toezichthouder voor gegevensbescherming (hierna: „EDPS”) over het voorstel voor de PNR-richtlijn (https://edps.europa.eu/sites/edp/files/publication/11‑03‑25_pnr_en.pdf, punt 47) (hierna: „advies van de EDPS van 25 maart 2011”) heeft de EDPS voorgesteld om de rubriek „Algemene opmerkingen” uit de lijst van bijlage I te verwijderen.

145      Zie met name arresten van 19 november 2009, Sturgeon e.a. (C‑402/07 en C‑432/07, EU:C:2009:716, punt 47 en aldaar aangehaalde rechtspraak); 19 september 2013, Heroverweging Commissie/Strack (C‑579/12 RX-II, EU:C:2013:570, punt 40), en 14 mei 2019, M e.a. (Intrekking van de vluchtelingenstatus) (C‑391/16, C‑77/17 en C‑78/17, EU:C:2019:403, punt 77 en aldaar aangehaalde rechtspraak).

146      Zie met name de overwegingen 5, 7, 11, 15, 16, 20, 22, 23, 25, 27, 28, 31, 36 en 37 van de PNR-richtlijn.

147      Zie arresten van 26 juni 2007, Orde van Franstalige en Duitstalige balies e.a. (C‑305/05, EU:C:2007:383, punt 28), en 14 mei 2019, M e.a. (Intrekking van de vluchtelingenstatus) (C‑391/16, C‑77/17 en C‑78/17, EU:C:2019:403, punt 77).

148      Voor zover hier van belang, bepaalt overweging 9 dat „[h]et gecombineerde gebruik van PNR- en API-gegevens [...] meerwaarde [biedt] doordat het de lidstaten helpt bij de identiteitscontrole van personen, waardoor uit het oogpunt van rechtshandhaving dat resultaat aan waarde wint, en het risico wordt beperkt dat onschuldige personen het voorwerp uitmaken van controle en onderzoek”.

149      Zie in die zin ook het voorstel voor de PNR-richtlijn, blz. 7, punt 1. Dezelfde gegevens worden in de door de Werelddouaneorganisatie (WDO), de International Air Transport Association (IATA) en de ICAO opgestelde richtsnoeren inzake voorafgaande informatie over reizigers (RVIR), http://www.wcoomd.org/~/media/wco/public/fr/pdf/topics/facilitation/instruments-and-tools/tools/api-guidelines-and-pnr-doc/api-guidelines-_f.pdf?db=web) [hierna: „RVIR-richtsnoeren”, punt 8.1.5, onder a)], omschreven als de „belangrijkste gegevenselementen die kunnen worden opgenomen in de machineleesbare zone van officiële reisdocumenten”.

150      Artikel 3, lid 2, van de API-richtlijn luidt als volgt: „De bovenbedoelde informatie bevat: het nummer en de aard van het gebruikte reisdocument; de nationaliteit; de volledige naam; de geboortedatum; de grensdoorlaatpost van binnenkomst op het grondgebied van de lidstaten; het vervoermiddel; het tijdstip van vertrek en van aankomst van het vervoermiddel; het totale aantal met dat vervoermiddel vervoerde passagiers; het eerste instappunt.” Er zij op gewezen dat de Commissie in haar werkprogramma voor 2022, COM(2021) 645 final, blz. 9, een actualisering van de API-richtlijn voor ogen had. In september 2020 heeft zij een evaluatie van deze richtlijn bekendgemaakt die het uitgangspunt zal vormen voor de toekomstige herziening ervan, SWD(2020) 174 final (hierna: „werkdocument 2020 betreffende de API-richtlijn”). In dit document benadrukt de Commissie met name het feit dat de in artikel 3, lid 2, van de API-richtlijn opgenomen lijst van gegevens niet voldoet aan de internationale normen inzake API-gegevens, onder meer omdat zij niet alle gegevens bevat die zich in de machineleesbare zone van identiteitsdocumenten bevinden (zie in het bijzonder blz. 48).

151      Zie de RVIR-richtsnoeren, punt 8.1.5, onder b) en c).

152      Voor een vergelijkbare uitlegging van het overeenkomstige punt van de PNR-ontwerpovereenkomst Canada-EU, zie punt 161 van advies 1/15.

153      Ik merk op dat momenteel een aantal prejudiciële vragen aan het Hof is voorgelegd die specifiek verband houden met de voldoende nauwkeurigheid van verschillende punten van bijlage I, namelijk de punten 4, 8, 12 en 18 (zie aanhangige zaak C‑215/20).

154      Zie advies 1/15, punt 158.

155      Ik merk op dat de gegevens met betrekking tot het reisbureau of de reisagent reeds worden bestreken door bijlage I, punt 9.

156      Zie de definitie van PNR-gegevens in artikel 3, punt 5, van de PNR-richtlijn.

157      Zie in die zin ook de conclusie van advocaat-generaal Mengozzi bij advies 1/15 [(PNR-overeenkomst EU-Canada), EU:C:2016:656], punt 218.

158      Zie overeenkomstig punt in aanhangsel I bij de richtsnoeren van de ICAO.

159      Zie in die zin met name arrest Digital Rights, punt 57. Aangaande het vereiste dat de categorieën gegevens waarvoor om toegang wordt verzocht, beperkt blijven tot hetgeen strikt noodzakelijk is voor de beoogde doelstelling, zie laatstelijk arrest Prokuratuur, punt 38. Het beginsel van gegevensminimalisatie is onder meer ook neergelegd in artikel 5, lid 1, onder c), AVG en in artikel 4, lid 1, onder c), van de politierichtlijn.

160      Zie met name EHRM, 18 april 2013, M. K. tegen Frankrijk (CE:ECHR:2013:0418JUD001952209, § 35).

161      Zie toelichtend rapport bij het Verdrag 108 van 1981 (https://rm.coe.int/16800ca471), artikel 5, punt 40, alsook toelichtend rapport bij het gemoderniseerde Verdrag 108, artikel 5, punt 51.

162      Zie de punten 154‑158 en 162‑164 van deze conclusie.

163      Zie de punten 133‑153 van deze conclusie.

164      Het recht van het kind op eerbiediging van de persoonlijke levenssfeer is met name verankerd in artikel 16 van het op 20 november 1989 aangenomen en op 2 september 1990 in werking getreden Verdrag van New York inzake de rechten van het kind.

165      Zie punt 2.7.3 van de richtsnoeren van de ICAO.

166      Zie punt 2.7.4 van de richtsnoeren van de ICAO.

167      Het vereiste dat de doorgifte van gegevens aan de PIE’s in alle veiligheid en vertrouwelijkheid dient te geschieden, wordt overigens herhaald in artikel 16, lid 1, van de PNR-richtlijn met betrekking tot de voor die doorgifte gebruikte elektronische middelen en is een van de criteria geweest die de Commissie in acht heeft genomen bij de vaststelling, overeenkomstig lid 3 van dit artikel, van gemeenschappelijke protocollen en ondersteunde dataformaten die de luchtvaartmaatschappijen bij voornoemde doorgifte moeten gebruiken; zie uitvoeringsbesluit (EU) 2017/759 van de Commissie van 28 april 2017 betreffende de door luchtvaartmaatschappijen te gebruiken gemeenschappelijke protocollen en dataformaten bij het doorgeven van PNR-gegevens aan passagiersinformatie-eenheden (PB 2017, L 113, blz. 48).

168      Zie overweging 37 van de PNR-richtlijn.

169      Alle in artikel 13, lid 4, van de PNR-richtlijn opgesomde categorieën persoonsgegevens zijn opgenomen bij die welke beantwoorden aan het begrip „bijzondere categorieën van persoonsgegevens” als bedoeld in artikel 9, lid 1, AVG.

170      In dit verband zijn de argumenten van meerdere lidstaten die opmerkingen over de tweede prejudiciële vraag hebben ingediend en volgens welke er technische middelen bestaan waarmee de door luchtvaartmaatschappijen doorgegeven gevoelige gegevens eenvoudig kunnen worden gewist, mijns inziens niet relevant.

171      Conclusie van advocaat-generaal Mengozzi bij advies 1/15 (PNR-overeenkomst EU-Canada), EU:C:2016:656.

172      Ik merkt op dat zelfs de richtsnoeren van de ICAO, zonder uit te sluiten dat uit „free text”-rubrieken onttrokken gevoelige gegevens van nut kunnen zijn voor de risicobeoordeling van een passagier, de verdragsluitende staten niettemin aanbevelen ervoor te zorgen dat deze gegevens alleen in aanmerking worden genomen wanneer er concrete aanwijzingen bestaan die nopen tot het gebruik ervan voor de door hun PNR-regeling nagestreefde doeleinden.

173      Ik breng in herinnering dat de EDPS een dergelijke uitsluiting reeds had geopperd in punt 47 van zijn advies van 25 maart 2011.

174      Het betreft gegevens die informatie kunnen verschaffen over de door een gebruiker tot stand gebrachte verbindingen met behulp van een elektronisch communicatiemiddel of over de locatie van de door hem gebruikte eindapparatuur.

175      Zie in die zin arresten La Quadrature du Net, punten 141‑145, en Tele2 Sverige, punten 105 en 106, gewezen in het kader van de uitlegging van artikel 15, lid 1, van richtlijn 2002/58, gelezen in samenhang met de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest, alsook arrest Digital Rights, punten 57 en 58, waarin het Hof richtlijn 2006/24 ongeldig heeft verklaard.

176      Zie arrest La Quadrature du Net, punt 177.

177      Zie arrest La Quadrature du Net, punten 134‑139 en punt 177. Volgens het Hof strookt de op de lidstaten rustende verantwoordelijkheid op het gebied van nationale veiligheid „met het grote belang dat wordt gehecht aan de bescherming van de essentiële staatsfuncties en de fundamentele belangen van de samenleving, en omvat [zij] het voorkomen en bestrijden van activiteiten die de fundamentele constitutionele, politieke, economische of sociale structuren van een land ernstig kunnen destabiliseren en, met name, een rechtstreekse bedreiging kunnen vormen voor de samenleving, de bevolking of de staat als zodanig, zoals terroristische activiteiten”; zie arresten La Quadrature du Net, punt 135, en Privacy International, punt 74.

178      Zie arrest La Quadrature du Net, punten 138 en 178.

179      Zie met name arrest La Quadrature du Net, punten 141‑145.

180      Zie arrest La Quadrature du Net, punten 115 en 116; zie ook de conclusie van advocaat-generaal Campos Sanchéz-Bordona in de gevoegde zaken SpaceNet en Telekom Deutschland (C‑793/19 en C‑794/19, EU:C:2021:939, punten 74 en 75).

181      Zie arrest Tele2 Sverige, punt 119.

182      Zie in die zin arrest Tele2 Sverige, punten 103‑107 en 119 en aldaar aangehaalde rechtspraak.

183      Zie advies 1/15, punten 186 en 187.

184      In de arresten Digital Rights, punt 59, en Tele2 Sverige, punt 111, net als in de latere rechtspraak (zie met name arrest La Quadrature du Net, punten 143‑150), leidde juist het feit dat de in geding zijnde regeling niet was gebaseerd op „objectieve gegevens” – als die welke door het Hof genoemd in punt 187 van advies 1/15 – waarmee kon worden gemikt op personen wier gegevens, op zijn minst indirect, een band met handelingen van zware criminaliteit aan het licht konden brengen, ertoe dat de regeling niet evenredig was.

185      Zie arrest La Quadrature du Net, punt 117 en aldaar aangehaalde rechtspraak; zie ook arrest Prokuratuur, punt 36.

186      Arrest La Quadrature du Net, punt 142.

187      Zie advies 1/15, punten 128 en 150.

188      Zie advies 1/15, punt 150.

189      Over de moeilijkheid van een dergelijke beoordeling in het geval van metagegevens, zie arrest Prokuratuur, punt 40.

190      Een inspanning in die zin is geleverd door de Duitse wetgever in de regeling die aan de orde is in de gevoegde zaken C‑793/19 en C‑794/19, SpaceNet en Telekom Deutschland, waarin advocaat-generaal Campos Sánchez-Bordona conclusie heeft genomen (EU:C:2021:939, punten 60 en 61).

191      Ik verwijs in dit verband naar punt 93 van deze conclusie.

192      Zie arrest La Quadrature du Net, punt 118 en aldaar aangehaalde rechtspraak.

193      Zie arrest Tele2 Sverige, punt 93.

194      Conclusie van advocaat-generaal Mengozzi bij advies 1/15 [(PNR-overeenkomst EU-Canada), EU:C:2016:656].

195      Zie met name EHRM, 4 december 2015, Roman Zakharov tegen Rusland (CE:ECHR:2015:1204JUD004714306, § 260).

196      Zie arresten La Quadrature du Net, punten 146‑151, en Tele2 Sverige, punt 119.

197      Met betrekking tot massale onderscheppingsmaatregelen, zie arrest Big Brother Watch, § 348.

198      Zie naar analogie arrest van 3 oktober 2019, A e.a. (C‑70/18, EU:C:2019:823, punt 61).

199      Zie recent de mededeling van de Commissie betreffende de EU-strategie voor de veiligheidsunie [COM(2020) 605 final, blz. 28], alsook de mededeling van de Commissie: terrorismebestrijdingsagenda voor de EU: anticiperen, voorkomen, beschermen en reageren [COM(2020) 795 final, blz. 15 e.v.].

200      Resolutie van 21 december 2017 [hierna: „resolutie 2396 (2017)”], https://undocs.org/fr/S/RES/2396(2017).

201      Zie resolutie 2396 (2017), punt 12; in datzelfde punt 12 verzoekt de Veiligheidsraad van de Verenigde Naties de ICAO om „samen te werken met de verdragsluitende staten met het oog op de vaststelling van een norm voor het verzamelen, gebruiken, verwerken en beschermen van PNR-gegevens”. Naar aanleiding van dit verzoek heeft de ICAO op 23 juni 2020 amendement nr. 28 aangenomen op bijlage 9 bij het Verdrag van Chicago, waarin – zoals al aangegeven – internationale normen inzake facilitering zijn vastgesteld en waarvan hoofdstuk 9, deel D, specifiek betrekking heeft op PNR-gegevens. Op 12 januari 2021 heeft de Commissie een voorstel goedgekeurd voor een besluit van de Raad betreffende het namens de Europese Unie binnen de [ICAO] in te nemen standpunt met betrekking tot dit amendement [COM(2021) 16 final].

202      Resolutie van 19 juli 2019, punt 15, onder c), https://undocs.org/fr/S/RES/2482(2019).

203      De Unie heeft tot dusver twee internationale overeenkomsten gesloten, respectievelijk met Australië [overeenkomst tussen de Europese Unie en Australië inzake de verwerking en doorgifte van [PNR-gegevens] door luchtvaartmaatschappijen aan de Australische dienst Douane en Grensbescherming (PB 2012, L 186, blz. 4)] en de Verenigde Staten [overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie inzake het gebruik en de doorgifte van [PNR-gegevens] aan het Amerikaanse Ministerie van Binnenlandse Veiligheid (PB 2012, L 215, blz. 5)]. Momenteel loopt een gezamenlijke evaluatie van beide overeenkomsten met het oog op het sluiten van nieuwe overeenkomsten. Daarnaast heeft de Raad op 18 februari 2020 de Commissie gemachtigd om onderhandelingen te openen met Japan.

204      Zie resolutie 2396 (2017), blz. 4.

205      Daaronder begrepen de personen die op grond van het Unierecht het recht van vrij verkeer genieten; zie verordening (EU) 2017/458 van het Europees Parlement en de Raad van 15 maart 2017 tot wijziging van verordening (EU) 2016/399 inzake het aanscherpen van de controles aan de hand van relevante databanken aan de buitengrenzen (PB 2017, L 74, blz. 7).

206      Zie in die zin ook advies 1/15, punt 187. Zie ook de mededeling van de Commissie over de algemene aanpak van de doorgifte van [PNR-gegevens] aan derde landen [COM(2010) 492 definitief, blz. 6, punt 2.2].

207      Aldus min of meer door de Commissie geïmpliceerd in haar voorstel voor de PNR-richtlijn, blz. 3.

208      Zie in die zin arrest Prokuratuur, punt 49 en aldaar aangehaalde rechtspraak.

209      Zie artikel 4, lid 2, onder a), van het voorstel voor de PNR-richtlijn.

210      Waar artikel 6, lid 3, onder a), in de Franse taalversie ervan gewaagt van „bases de données utiles”, doelt deze bepaling in de meeste andere taalversies veeleer op „relevante databanken”; zie met name de Spaanse („pertinentes”), de Duitse („massgeblich”), de Engelse („relevant”), de Italiaanse („pertinenti”), de Nederlandse („relevant”) en de Portugese („relevantes”) taalversie.

211      In zijn huidige redactie lijkt artikel 6, lid 3, onder a), van de PNR-richtlijn zich niet te verzetten tegen verwerkingen die de vorm aannemen van datamining waarbij de PNR-gegevens met zeer uiteenlopende gegevens worden vergeleken, voor zover deze datamining gebeurt ten behoeve van de verwezenlijking van de door deze richtlijn beoogde doelstellingen. Over de risico’s van datamining op het gebied van PNR-gegevens, zie rapport Korff, blz. 77. Met betrekking tot de identificatie van databanken waarmee de PNR-gegevens kunnen worden vergeleken, heeft de EDPS in punt 18 van zijn advies van 25 maart 2011 met klem gewezen op het gebrek aan duidelijkheid en voorspelbaarheid dienaangaande.

212      De vage en open bewoordingen van artikel 6, lid 3, onder a), van de PNR-richtlijn hebben geleid tot een zeer uiteenlopende omzetting ervan in nationaal recht, gaande van een strikte uitlegging van het begrip „relevante databank”, die de uit te voeren analyse beperkt tot een vergelijking met de uitdrukkelijk in deze bepaling genoemde databanken (dit is het geval voor de Bondsrepubliek Duitsland, zoals blijkt uit de opmerkingen die haar regering bij het Hof heeft ingediend), tot een ruimere uitlegging die zich uitstrekt tot alle databanken die de bevoegde instanties in het kader van hun taak kunnen gebruiken of raadplegen (met name artikel 24, § 1, punt 1, van de PNR-wet is in die zin opgesteld).

213      Mijns inziens mag een lidstaat zich op basis van artikel 6, lid 3, onder a), van de PNR-richtlijn in geen geval verplicht achten zijn PIE toestemming te verlenen om de PNR-gegevens stelselmatig te vergelijken met „relevante databanken”, als bedoeld in deze bepaling, die door zijn inlichtingendiensten worden beheerd.

214      Artikel 3, punt 4, van de politierichtlijn omschrijft „profilering” als „elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling aspecten betreffende zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen”. Dezelfde definitie is opgenomen in artikel 4, punt 4, AVG en in punt 1, onder c), van de bijlage bij aanbeveling CM/Rec(2021)8 van 3 november 2021 van het Comité van Ministers van de Raad van Europa over de bescherming van personen met betrekking tot de automatische verwerking van persoonsgegevens in het kader van profilering, https://search.coe.int/cm/pages/result_details.aspx?ObjectId=0900001680a46148 (hierna: „aanbeveling van 2021 over profilering”).

215      Punt 1, onder j), i), van de aanbeveling van 2021 over profilering omschrijft „profilering met een hoog risico” als „profileringsactiviteiten die rechtsgevolgen of een significante impact hebben voor de betrokken persoon of voor de groep van personen die door deze profilering is geïdentificeerd”.

216      Zie advies 1/15, punt 172.

217      Overeenkomstig punt 1.1, onder d), van de bijlage bij de aanbeveling van 2021 over profilering moet het begrip „profiel” worden begrepen als „een aan een persoon toegekende gegevensreeks die een categorie van individuen kenmerkt of die bedoeld is om op een individu te worden toegepast”. Zoals wordt verduidelijkt in het voortgangsverslag na de goedkeuring van aanbeveling (2010)13 over profilering (https://rm.coe.int/t-pd-2019‑07fin-fr-rapport-profilage-2770‑2878‑8993‑1-final-clean-2755/1680a0925b, blz. 21), hetwelk is voorafgegaan aan de goedkeuring van de aanbeveling van 2021 over profilering, behoudt het begrip „profiel” zijn volle betekenis in systemen die, zoals de PNR-richtlijn, verrichtingen voor het creëren van profielen [zie met name artikel 6, lid 2, onder b), van deze richtlijn] onderscheiden van die welke waarmee deze profielen worden toegepast, en zorgt het voor „een transparantie van de vervolgens bij de profilering gehanteerde criteria”.

218      Zie artikel 6, lid 4, van de PNR-richtlijn en advies 1/15, punt 172.

219      Zie artikel 6, lid 4, van de PNR-richtlijn.

220      Zie advies 1/15, punt 172.

221      Zie overweging 7 van de PNR-richtlijn.

222      Zie advies 1/15, punt 174.

223      Dezelfde eis wordt gesteld in punt 174 van advies 1/15.

224      Ik merk op dat alle in artikel 21 van het Handvest genoemde discriminatiegronden zijn overgenomen in overweging 20 van de PNR-richtlijn. Op bladzijde 8 van zijn advies 1/2011 had het FRA gepleit voor een afstemming op de in artikel 21 opgenomen lijst van verboden discriminatiegronden.

225      Overeenkomstig punt 1.1, onder g), van de bijlage bij de aanbeveling van 2021 over profilering moet het begrip „machine learning” worden begrepen als „een verwerking die gebruikmaakt van specifieke kunstmatige-intelligentiemethoden op basis van statistische benaderingen om computers in staat te stellen om uit gegevens te ‚leren’, dat wil zeggen taken efficiënter op te lossen zonder uitdrukkelijk voor elk van die taken te zijn geprogrammeerd”.

226      Met betrekking tot de impact van ondoorzichtige algoritmische systemen op de mogelijkheid om door menselijk toezicht schadelijke effecten van deze systemen en de negatieve gevolgen ervan voor de mensenrechten te voorkomen, zie aanbeveling CM/Rec(2020)1 van het Comité van Ministers van de Raad van Europa aan de lidstaten over de impact van algoritmische systemen op de mensenrechten.

227      Deze uitdrukking wordt gebruikt in overweging 25 van de PNR-richtlijn.

228      De bewoordingen van overweging 37 van de PNR-richtlijn, volgens welke „de PNR-gegevens in de PIE’s niet langer dan vijf jaar mogen worden bewaard, waarna zij moeten worden gewist” (cursivering door mij), kunnen mijns inziens niet afdoen aan de duidelijke bewoordingen van artikel 12, lid 1, van deze richtlijn.

229      Met betrekking tot de verwerking van persoonsgegevens met het oog op het opsporen, voorkomen, vervolgen en onderzoeken van strafbare feiten, zie artikel 4, onder e), en overweging 26 van de politierichtlijn. Zie meer algemeen artikel 5, lid 1, onder e), AVG en artikel 5, lid 4, onder e), van het gemoderniseerde Verdrag 108.

230      Zie arresten Schrems I, punt 93; Tele2 Sverige, punt 110; advies 1/15, punt 191, en arrest La Quadrature du Net, punt 133.

231      Zie advies 1/15, punt 197.

232      Zie advies 1/15, punt 205.

233      Zie advies 1/15, punt 207.

234      Het zou hier gaan om een analoge toepassing van de punten 187 e.v. van advies 1/15, aangezien genoemd advies alleen betrekking had op de bij aankomst op het grondgebied van Canada verzamelde PNR-gegevens.

235      Zie advies 1/15, punt 209.

236      Zie advies 1/15, punt 205.

237      De PNR-ontwerpovereenkomst Canada-EU voorzag in een afscherming van de namen van alle passagiers dertig dagen na ontvangst ervan door Canada en in een afscherming van andere, uitdrukkelijk opgesomde gegevens twee jaar na deze ontvangst; zie artikel 16, punt 3, van de door het Hof onderzochte PNR-ontwerpovereenkomst Canada-EU en advies 1/15, punt 30.

238      Zie het advies van 19 augustus 2016, blz. 9.

239      Zie met name arrest La Quadrature du Net, punten 148 en 149.

240      Hetzelfde geldt voor door de PIE’s van andere lidstaten op grond van artikel 9, lid 2, van de PNR-richtlijn ingediende verzoeken om mededeling van PNR-gegevens.

241      Zie advies 1/15, punt 192 en aldaar aangehaalde rechtspraak. Zie laatstelijk arrest Privacy International, punt 77, en naar analogie arrest Prokuratuur, punt 49 en aldaar aangehaalde rechtspraak.

242      Zie advies 1/15, punt 200.

243      Zie advies 1/15, punt 200.

244      Zie advies 1/15, punt 201.

245      Zie advies 1/15, punt 202.

246      Zie in die zin advies 1/15, punt 201.

247      Zie met name artikel 4, artikel 7, leden 1 en 2, artikel 9, lid 2, artikel 10, lid 2, en artikel 12, lid 4, van de PNR-richtlijn; zie met name de overwegingen 6, 9, 10, 11, 15, 23, 25, 35 en 38 van deze richtlijn. Er zij overigens aan herinnerd dat het voorstel voor de PNR-richtlijn in overweging 28 ervan preciseerde dat „[d]eze richtlijn [...] geen afbreuk [doet] aan de mogelijkheid van de lidstaten om krachtens hun nationale recht [...] een systeem op te zetten voor het verzamelen en verwerken van PNR-gegevens voor andere doeleinden dan de in deze richtlijn bepaalde”. Deze precisering is echter niet overgenomen in de definitieve tekst van de PNR-richtlijn.

248      Deze mogelijkheid is niettemin toegestaan door artikel 4, lid 3, van de PNR-richtlijn op grond waarvan „[h]et personeel van een PIE [...] uit bevoegde instanties [kan] worden gedetacheerd”, tenminste voor zover de inlichtingen- en veiligheidsdiensten van de betrokken lidstaat kunnen worden aangemerkt als „bevoegde instanties” in de zin van artikel 7, lid 2, van deze richtlijn.

249      Wat betreft de door de Belgische regering geuite twijfel over de bevoegdheid van het Hof om de zevende prejudiciële vraag te beantwoorden, zij opgemerkt dat uit de bewoordingen van deze vraag volgt dat de verwijzende rechter het Hof verzoekt om uitlegging van artikel 12, lid 3, van de PNR-richtlijn en niet om zich uit te spreken over de verenigbaarheid van de nationale wetgeving met deze bepaling. Het is hoe dan ook vaste rechtspraak dat het Hof de nationale rechterlijke instanties aanwijzingen kan verstrekken aan de hand waarvan laatstgenoemde deze verenigbaarheid kunnen beoordelen (zie met name arrest van 7 september 2016, ANODE, C‑121/15, EU:C:2016:637, punt 54 en aldaar aangehaalde rechtspraak).

250      Zie in dit verband arrest van 5 november 2019, Commissie/Polen (Onafhankelijkheid van de gewone rechterlijke instanties) (C‑192/18, EU:C:2019:924, punten 108‑110).

251      Artikel 9, lid 2, vierde volzin, van het voorstel voor de PNR-richtlijn bepaalde dat „[t]oegang tot de volledige PNR-gegevens [...] alleen door het hoofd van de passagiersinformatie-eenheid [wordt] verleend”.

252      Arrest Prokuratuur, punten 52 en 53.

253      Arrest Prokuratuur, punten 53 en 54. Zie in diezelfde zin arrest Big Brother Watch, §§ 349‑352.

254      Artikel 9, lid 2, vierde volzin, van het voorstel voor de PNR-richtlijn bepaalde dat „[t]oegang tot de volledige PNR-gegevens [...] alleen door het hoofd van de passagiersinformatie-eenheid [wordt] verleend”.

255      PNR-wet, artikel 29, §§ 1 en 2.

256      Zie overweging 10 van de PNR-richtlijn.

257      Verordening (EU) 2016/399 van het Europees Parlement en de Raad van 9 maart 2016 betreffende een Uniecode voor de overschrijding van de grenzen door personen (Schengengrenscode) (PB 2016, L 77, blz. 1; hierna: „Schengengrenscode”).

258      Artikel 23, onder a), van de Schengengrenscode bepaalt dat de uitoefening van de politiebevoegdheid niet hetzelfde effect heeft als de uitoefening van grenscontroles wanneer de politiële maatregelen „i) niet grenstoezicht tot doel hebben; ii) gebaseerd zijn op algemene politie-informatie en -ervaring met betrekking tot mogelijke bedreigingen van de openbare veiligheid en met name bedoeld zijn ter bestrijding van grensoverschrijdende criminaliteit; iii) worden gepland en uitgevoerd op een manier die duidelijk verschilt van de systematische controles van personen aan de buitengrenzen, en iv) op basis van controles ter plaatse worden uitgevoerd”.

259      Zie naar analogie arrest van 13 december 2018, Touring Tours und Travel en Sociedad de transportes (C‑412/17 en C‑474/17, EU:C:2018:1005, punt 61 en aldaar aangehaalde rechtspraak), en beschikking van 4 juni 2020, FU (C‑554/19, niet gepubliceerd, EU:C:2020:439, punten 49‑56).

260      In dit verband merk ik op dat het Hof in punt 188 van advies 1/15 heeft bevestigd dat „de identificatie – door middel van de PNR-gegevens – van de passagiers die een risico kunnen opleveren voor de openbare veiligheid, deel [uitmaakt] van de grenscontroles”.

261      Zie arrest van 13 december 2018, Touring Tours und Travel en Sociedad de transportes (C‑412/17 en C‑474/17, EU:C:2018:1005, punt 55 en aldaar aangehaalde rechtspraak).

262      Zie in die zin met name beschikking van 4 juni 2020, FU (C‑554/19, niet gepubliceerd, EU:C:2020:439, punt 46).

263      In haar werkdocument van 2020 over de API-richtlijn (blz. 20) wijst de Commissie eveneens op de problematische overlapping van de nationale systemen voor de verwerking van PNR- en API-gegevens.

264      C‑411/17, EU:C:2019:622, punten 175, 176, 179 en 181.

265      Zie arrest La Quadrature du Net, punten 217‑219.