SODBA SODIŠČA (veliki senat)

z dne 21. junija 2022(*)

Kazalo

I. Pravni okvir

A. Pravo Unije

1. Direktiva 95/46/ES

2. Direktiva o API

3. Direktiva 2010/65

4. SUVP

5. Direktiva 2016/680

6. Direktiva o PNR

7. Okvirni sklep 2002/475

B. Belgijsko pravo

1. Ustava

2. Zakon z dne 25. decembra 2016

II. Spor o glavni stvari in vprašanja za predhodno odločanje

III. Vprašanja za predhodno odločanje

A. Prvo vprašanje

B. Drugo, tretje, četrto in šesto vprašanje

1. Poseganja, ki izhajajo iz Direktive o PNR, v temeljne pravice, zagotovljene s členoma 7 in 8 Listine

2. Upravičenost poseganj, ki izhajajo iz Direktive o PNR

a) Spoštovanje načela zakonitosti in bistvene vsebine zadevnih temeljnih pravic

b) Cilj v splošnem interesu in primernost obdelav podatkov PNR glede na ta cilj

c) Nujnost poseganj, ki izhajajo iz Direktive o PNR

1) Podatki o letalskih potnikih, na katere se nanaša Direktiva o PNR

2) Nameni obdelav podatkov PNR

3) Povezava med podatki PNR in nameni obdelave teh podatkov

4) Zadevni letalski potniki in leti

5) Predhodno ocenjevanje podatkov PNR z avtomatiziranimi obdelavami

i) Primerjanje podatkov PNR s podatkovnimi zbirkami

ii) Obdelava podatkov PNR glede na vnaprej določena merila

iii) Zaščitni ukrepi, ki spremljajo avtomatizirano obdelavo podatkov PNR

6) Naknadno zagotavljanje in naknadno ocenjevanje podatkov PNR

C. Peto vprašanje

D. Sedmo vprašanje

E. Osmo vprašanje

F. Deveto vprašanje pod točko (a)

G. Deveto vprašanje pod točko (b)

H. Deseto vprašanje

IV. Stroški

„Predhodno odločanje – Obdelava osebnih podatkov – Podatki iz evidence podatkov o potnikih (PNR) – Uredba (EU) 2016/679 – Člen 2(2)(d) – Področje uporabe – Direktiva (EU) 2016/681 – Uporaba podatkov PNR o potnikih na letih med Evropsko Unijo in tretjimi državami – Možnost vključitve podatkov o potnikih na letih znotraj Unije – Avtomatizirana obdelava teh podatkov – Obdobje hrambe – Boj proti terorističnim in hudim kaznivim dejanjem – Veljavnost – Listina Evropske unije o temeljnih pravicah – Členi 7, 8 in 21 ter člen 52(1) – Nacionalna zakonodaja, ki uporabo sistema PNR razširja na druge vrste prevoza znotraj Unije – Svoboda gibanja znotraj Unije – Listina o temeljnih pravicah – Člen 45“

V zadevi C‑817/19,

katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Cour constitutionnelle (ustavno sodišče, Belgija) z odločbo z dne 17. oktobra 2019, ki je na Sodišče prispela 31. oktobra 2019, v postopku

Ligue des droits humains

proti

Conseil des ministres,

SODIŠČE (veliki senat),

v sestavi K. Lenaerts, predsednik, A. Arabadjiev, S. Rodin, I. Jarukaitis in N. Jääskinen, predsedniki senatov, T. von Danwitz (poročevalec), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra, sodniki, L. S. Rossi, sodnica, A. Kumin in N. Wahl, sodnika,

generalni pravobranilec: G. Pitruzzella,

sodna tajnica: M. Krausenböck, administratorka,

na podlagi pisnega postopka in obravnave z dne 13. julija 2021,

ob upoštevanju stališč, ki so jih predložili:

–        za Ligue des droits humains C. Forget, avocate,

–        za belgijsko vlado P. Cottin, J.-C. Halleux, C. Pochet in M. Van Regemorter, agenti, skupaj s C. Caillet, avocaat, E. Jacubowitzom, avocat, G. Ceuppensom, V. Dethy in D. Vertongenom,

–        za češko vlado T. Machovičová, O. Serdula, M. Smolek in J. Vláčil, agenti,

–        za dansko vlado M. Jespersen, J. Nymann-Lindegren, V. Pasternak Jørgensen in M. Søndahl Wolff, agenti,

–        za nemško vlado D. Klebs in J. Möller, agenta,

–        za estonsko vlado, N. Grünberg, agentka,

–        za Irsko M. Browne, A. Joyce in J. Quaney, agenti, skupaj z D. Fennellyem, BL,

–        za špansko vlado L. Aguilera Ruiz, agent,

–        za francosko vlado D. Dubois, E. de Moustier in T. Stehelin, agenti,

–        za ciprsko vlado E. Neofytou, agentka,

–        za latvijsko vlado E. Bārdiņš, K. Pommere in V. Soņeca, agenti,

–        za nizozemsko vlado M. K. Bulterman, A. Hanje, J. Langer in C. S. Schillemans, agenti,

–        za avstrijsko vlado G. Kunnert, A. Posch in J. Schmoll, agenti,

–        za poljsko vlado B. Majczyna, agent,

–        za slovaško vlado B. Ricziová, agentka,

–        za finsko vlado A. Laine in H. Leppo, agentki,

–        za Evropski parlament O. Hrstková Šolcová in P. López-Carceller, agentki,

–        za Svet Evropske unije J. Lotarski, N. Rouam, E. Sitbon in C. Zadra, agenti,

–        za Evropsko komisijo D. Nardi in M. Wasmeier, agenta,

–        za Evropskega nadzornika za varstvo podatkov P. Angelov, A. Buchta, F. Coudert in C.-A. Marnier, agenti,

–        za Agencijo Evropske unije za temeljne pravice L. López, T. Molnar, M. Nespor in M. O’Flaherty, agenti,

po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 27. januarja 2022

izreka naslednjo

Sodbo

1        Predlog za sprejetje predhodne odločbe se v bistvu nanaša na:

–        razlago člena 2(2)(d) in člena 23 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP), Direktive Sveta 2004/82/ES z dne 29. aprila 2004 o dolžnosti prevoznikov, da posredujejo podatke o potnikih (UL 2004, L 261, str. 24, v nadaljevanju: Direktiva o API), in Direktive Evropskega parlamenta in Sveta 2010/65/EU z dne 20. oktobra 2010 o formalnostih poročanja za ladje, ki priplujejo v pristanišča držav članic in/ali izplujejo iz njih, in o razveljavitvi Direktive 2002/6/ES (UL 2010, L 283, str. 1);

–        razlago in veljavnost – z vidika členov 7 in 8 ter člena 52(1) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina) – člena 3, točka 4, členov 6 in 12 ter Priloge I k Direktivi (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj (UL 2016, L 119, str. 132, v nadaljevanju: Direktiva o PNR) ter

–        razlago in veljavnost – z vidika člena 3(2) PEU in člena 45 Listine – Direktive o API.

2        Ta predlog je bil vložen v okviru spora med združenjem Ligue des droits humains in Conseil des ministres (svet ministrov, Belgija) glede zakonitosti loi du 25 décembre 2016, relative au traitement des données des passagers (zakon z dne 25. decembra 2016 o obdelavi podatkov o potnikih).

I.      Pravni okvir

A.      Pravo Unije

1.      Direktiva 95/46/ES

3        Direktiva Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355) je bila z učinkom od 25. maja 2018 razveljavljena s SUVP. Člen 3(2) te direktive je določal:

„Ta direktiva se ne uporablja za obdelavo osebnih podatkov:

–      med dejavnostjo, ki ne sodi na področje uporabe zakonodaje Skupnosti, kot so tiste, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, in v vsakem primeru v postopkih obdelave v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno z gospodarsko blaginjo države, kadar se postopek obdelave nanaša na zadeve državne varnosti) in pri dejavnostih države na področju kazenskega prava,

–      s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti.“

2.      Direktiva o API

4        V uvodnih izjavah 1, 7, 9 in 12 Direktive o API je navedeno:

„(1)      Za učinkovit boj proti nezakonitemu priseljevanju in za izboljšanje mejne kontrole je bistvenega pomena, da vse države članice uvedejo določbe o dolžnostih letalskih prevoznikov, ki prevažajo potnike na ozemlje držav članic. Poleg tega je treba za zagotavljanje večje uspešnosti tega cilja finančne kazni, ki jih trenutno predvidevajo države članice v primerih, ko prevozniki ne izpolnijo svojih obveznosti, uskladiti [harmonizirati] v največjem mogočem obsegu, pri čemer se upoštevajo razlike med pravnimi sistemi in praksami držav članic.

[…]

(7)      Dolžnosti, ki se naložijo prevoznikom s to direktivo, dopolnjujejo določbe, uvedene skladno z določbami člena 26 Schengenske konvencije iz leta 1990 o izvajanju schengenskega sporazuma z dne 14. junija 1985, kot je bila dopolnjena z Direktivo Sveta 2001/51/ES [z dne 28. junija 2001
o dopolnitvi določb člena 26 Konvencije o izvajanju Schengenskega sporazuma z dne 14. junija 1985 (UL, posebna izdaja v slovenščini, poglavje 19, zvezek 4, str. 160)], pri čemer je cilj obeh vrst odgovornosti zajezitev migracijskih tokov in boj proti nezakonitemu priseljevanju.

[…]

(9)      Za uspešnejši boj proti nezakonitemu priseljevanju in za zagotovitev večje uspešnosti tega cilja je bistvenega pomena ob prvi priložnosti upoštevati, brez poseganja v določbe Direktive [95/46], vse tehnološke inovacije, zlasti glede vključitve in uporabe biometričnih lastnosti pri informacijah, ki naj jih posredujejo prevozniki.

[…]

(12)      Direktiva [95/46] se uporablja za obdelavo osebnih podatkov s strani organov države članice. To pomeni, da bo zaradi zakonitosti obdelave podatkov o potnikih, prenesenih za izvajanje mejnih kontrol, tudi za namene omogočanja njihove uporabe kot dokaznega gradiva v postopkih za izvrševanje zakonov in predpisov o vstopu in priseljevanju, vključno z določbami o varstvu javnega reda (ordre public) in državne varnosti, vsaka nadaljnja obdelava v te namene v nasprotju z načelom iz člena 6(1)(b) Direktive [95/46]. Države članice naj poskrbijo za sistem sankcij, ki se uporabijo v primeru uporabe, ki nasprotuje namenu pričujoče direktive.“

5        Člen 1 Direktive o API, z naslovom „Cilj“, določa:

„Cilj te direktive je izboljšanje mejne kontrole in boj proti nezakonitemu priseljevanju z vnaprejšnjim posredovanjem podatkov o potnikih pristojnim nacionalnim organom s strani prevoznikov.“

6        Člen 2 te direktive, naslovljen „Opredelitve“, določa:

„V tej direktivi:

(a)      ‚prevoznik‘ pomeni vsako fizično ali pravno osebo, katerega zaposlitev je izvajanje prevoza potnikov po zraku;

(b)      ‚zunanje meje‘ pomeni zunanje meje držav članic s tretjimi državami;

(c)      ‚mejna kontrola‘ pomeni kontrolo, ki se izvaja na meji in je povezana izključno z namenom prehoda te meje, ne glede na ostale vidike;

(d)      ‚mejni prehod‘ pomeni vsak prehod, ki ga pristojni organi določijo za prehod zunanjih meja;

(e)      ‚osebni podatki‘, ‚obdelava osebnih podatkov‘ in ‚sistem arhiviranja osebnih podatkov‘ imajo pomen, določen s členom 2 Direktive [95/46].“

7        Člen 3 navedene direktive, naslovljen „Posredovanje podatkov“, v odstavkih 1 in 2 določa:

„1.      Države članice sprejmejo potrebne ukrepe za uveljavitev dolžnosti prevoznikov, da na zahtevo organov, odgovornih za izvajanje kontrole oseb na zunanjih mejah, do konca prijave potnikov posredujejo informacije o potnikih, ki jih bodo prepeljali na določeni mejni prehod, preko katerega bodo te osebe vstopile na ozemlje države članice.

2.      Zgoraj navedene informacije so naslednje:

–        številka in vrsta uporabljene potne listine,

–        državljanstvo,

–        celotna imena,

–        datum rojstva,

–        mejni prehod vstopa na ozemlje držav članic,

–        oznaka prevoza,

–        čas odhoda in prihoda prevoza,

–        skupno število potnikov, ki se prevažajo,

–        začetno mesto vkrcanja.“

8        Člen 6 Direktive o API, naslovljen „Obdelava podatkov“, določa:

„1.      Osebni podatki iz člena 3(1) se posredujejo organom, odgovornim za izvajanje kontrole oseb na zunanjih mejah, preko katerih bo potnik vstopil na ozemlje držav članic, za lažje izvajanje takšnih kontrol s ciljem učinkovitejšega boja proti nezakonitemu priseljevanju.

Države članice zagotovijo, da takšne podatke zbirajo prevozniki in jih elektronsko ali v primeru okvare na druge primerne načine posredujejo organom, odgovornim za izvajanje mejnih kontrol na določenem mejnem prehodu, preko katerega bo potnik vstopil na ozemlje države članice. Organi, odgovorni za izvajanje kontrole oseb na zunanjih mejah, podatke shranijo v začasno datoteko.

Po vstopu potnikov ti organi izbrišejo podatke v 24 urah po posredovanju, razen kadar so podatki potrebni pozneje za izvajanje zakonskih pooblastil organov, odgovornih za izvajanje kontrol oseb na zunanjih mejah, skladno z nacionalnimi zakoni in ob upoštevanju določb o varstvu podatkov po Direktivi [95/46].

Države članice sprejmejo potrebne ukrepe, ki obvezujejo prevoznike, da v 24 urah po prihodu prevoznega sredstva skladno s členom 3(1) izbrišejo osebne podatke, ki so jih zbrali in posredovali mejnim organom za namene te direktive.

Skladno z nacionalnimi zakoni in ob upoštevanju določb o varstvu podatkov po Direktivi [95/46], lahko države članice osebne podatke iz člena 3(1) uporabijo tudi za pregon.

2.      Države članice sprejmejo potrebne ukrepe, ki obvezujejo prevoznike k obveščanju potnikov skladno z določbami Direktive [95/46]. To vključuje tudi informacije iz člena 10(c) in člena 11(1)(c) Direktive [95/46].“

3.      Direktiva 2010/65

9        Direktiva 2010/65 se v skladu s členom 25 Uredbe (EU) 2019/1239 Evropskega parlamenta in Sveta z dne 20. junija 2019 o vzpostavitvi evropskega okolja enotnega okenca za pomorski sektor in razveljavitvi Direktive 2010/65 (UL 2019, L 198, str. 64) razveljavi s 15. avgustom 2025.

10      V uvodni izjavi 2 te direktive je navedeno:

„Za olajšanje pomorskega prevoza in zmanjšanje upravne obremenitve ladijskih družb bi bilo treba v največji možni meri poenostaviti in uskladiti [harmonizirati] formalnosti poročanja, ki jih določajo pravni akti Unije in držav članic. […]“

11      Člen 1 navedene direktive, naslovljen „Vsebina in področje uporabe“, v odstavkih 1 in 2 določa:

„1.      Namen te direktive je poenostaviti in uskladiti [harmonizirati] upravne postopke, ki se uporabljajo pri pomorskem prevozu, s standardizacijo uporabe elektronskega pošiljanja informacij in racionalizacijo formalnosti poročanja.

2.      Ta direktiva se uporablja za formalnosti poročanja, ki se uporabljajo za pomorski promet za ladje, ki vplujejo v pristanišča v državah članicah, in ladje, ki iz njih izplujejo.“

12      Člen 8 te direktive, naslovljen „Zaupnost“, določa:

„1.      Države članice v skladu z veljavnimi pravnimi akti Unije ali nacionalno zakonodajo sprejmejo potrebne ukrepe za zagotovitev zaupnosti poslovnih in drugih zaupnih informacij, izmenjanih v skladu s to direktivo.

2.      Države članice zagotovijo zlasti varstvo poslovnih podatkov, zbranih na podlagi te direktive. V zvezi z osebnimi podatki države članice zagotovijo skladnost z Direktivo [95/46]. Institucije in organi [Evropske] [u]nije zagotovijo skladnost z Uredbo (ES) št. 45/2001 [Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 26, str. 102)].“

4.      SUVP

13      V uvodni izjavi 19 SUVP je navedeno:

„Varstvo posameznikov pri obdelavi osebnih podatkov s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ter prosti pretok takih podatkov je urejeno v posebnem pravnem aktu Unije. Ta uredba se zato ne bi smela uporabljati za dejavnosti obdelave v navedene namene. Vendar pa bi moral obdelavo osebnih podatkov s strani javnih organov na podlagi te uredbe, kadar se uporablja za navedene namene, urejati bolj poseben pravni akt Unije, in sicer Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta [z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL 2016, L 119, str. 89)]. Države članice lahko pristojnim organom v smislu [Direktive 2016/680] zaupajo naloge, ki se ne izvajajo nujno za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, tako da obdelava osebnih podatkov za te druge namene, kolikor spada na področje uporabe prava Unije, spada na področje uporabe te uredbe.

[…]“.

14      Člen 2 te uredbe, naslovljen „Področje uporabe“, v odstavkih 1 in 2 določa:

„1.      Ta uredba se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke.

2.      Ta uredba se ne uporablja za obdelavo osebnih podatkov:

(a)      v okviru dejavnosti zunaj področja uporabe prava Unije;

(b)      s strani držav članic, kadar izvajajo dejavnosti, ki spadajo na področje uporabe poglavja 2 naslova V PEU;

[…]

(d)      s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

15      Člen 4 navedene uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

(1)      ‚osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom […];

(2)      ‚obdelava‘ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;

[…]“.

16      Člen 23 SUVP, naslovljen „Omejitve“, določa:

„1.      Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

(a)      državne varnosti;

(b)      obrambe;

(c)      javne varnosti;

(d)      preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem;

[…]

(h)      spremljanja, pregledovanja ali urejanja, povezanega, lahko tudi zgolj občasno, z izvajanjem javne oblasti v primerih iz točk (a) do (e) in (g);

2.      Zlasti vsak zakonodajni ukrep iz odstavka 1 vsebuje posebne določbe vsaj, kjer je ustrezno, glede:

(a)      namenov obdelave ali vrst obdelave;

(b)      vrst osebnih podatkov;

(c)      obsega uvedenih omejitev;

(d)      zaščitnih ukrepov za preprečitev zlorab ali nezakonitega dostopa ali prenosa;

(e)      natančnejše ureditve upravljavca ali vrst upravljavcev;

(f)      obdobij hrambe in veljavnih zaščitnih ukrepov, pri čemer se upoštevajo narava, obseg in nameni obdelave ali vrste obdelave;

(g)      tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ter

(h)      pravice posameznikov, na katere se nanašajo osebni podatki, da so obveščeni o omejitvi, razen če bi to posegalo v namen omejitve.“

17      Člen 94 te uredbe, naslovljen „Razveljavitev Direktive [95/46]“, določa:

„1.      Direktiva [95/46] se razveljavi z učinkom od 25. maja 2018.

2.      Sklicevanja na razveljavljeno direktivo se štejejo kot sklicevanja na to uredbo. Sklicevanja na Delovno skupino za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljeno s členom 29 Direktive [95/46], se štejejo kot sklicevanja na Evropski odbor za varstvo podatkov, ustanovljen s to uredbo.“

5.      Direktiva 2016/680

18      Direktiva 2016/680 je v skladu s svojim členom 59 s 6. majem 2018 razveljavila in nadomestila Okvirni sklep Sveta 2008/977/PNZ z dne 27. novembra 2008 o varstvu osebnih podatkov, ki se obdelujejo v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah (UL 2008, L 350, str. 60).

19      V uvodnih izjavah od 9 do 11 Direktive 2016/680 je navedeno:

„(9)      Na podlagi tega so v [SUVP] določena splošna pravila o varstvu posameznikov pri obdelavi osebnih podatkov in o zagotovitvi prostega pretoka osebnih podatkov v Uniji.

(10)      V izjavi št. 21 o varstvu osebnih podatkov na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja, ki je priložena Sklepni listini medvladne konference, ki je sprejela Lizbonsko pogodbo, je konferenca potrdila, da bi lahko bili zaradi posebne narave pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja na teh področjih potrebni posebni predpisi o varstvu osebnih podatkov in o prostem pretoku osebnih podatkov na podlagi člena 16 PDEU.

(11)      Zato je primerno, da ta področja ureja direktiva, v kateri so določena posebna pravila o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ob upoštevanju posebnih lastnosti teh dejavnosti. Ti pristojni organi lahko vključujejo ne le javne organe, kot so pravosodni organi, policija ali drugi organi preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, temveč tudi vse druge organe ali subjekte, ki v skladu z zakonodajo države članice izvajajo javno oblast in javna pooblastila za namene te direktive. Kadar takšen organ ali subjekt obdeluje osebne podatke za namene, ki so drugačni od namenov iz te direktive, se uporablja [SUVP]. [SUVP] se torej uporablja v primerih, ko organ ali subjekt zbira osebne podatke za druge namene in jih dodatno obdeluje, ker jih k temu zavezujejo pravne obveznosti. Na primer finančne institucije za namene preiskovanja, odkrivanja ali pregona kaznivih dejanj zadržijo nekatere osebne podatke, ki so jih obdelale, ter jih pristojnim nacionalnim organom posredujejo le v posebnih primerih in v skladu z zakonodajo države članice. Organ ali subjekt, ki v imenu navedenih organov obdeluje osebne podatke v okviru področja uporabe te direktive, bi morali zavezovati pogodba ali drug pravni akt in določbe, ki veljajo za obdelovalce v skladu s to direktivo, medtem ko bi morala uporaba [SUVP] ostati nespremenjena za obdelavo osebnih podatkov, ki jih obdelovalec izvaja zunaj področja uporabe te direktive.“

20      Člen 1 te direktive, naslovljen „Predmet urejanja in cilji“, ki v bistvu ustreza členu 1 Okvirnega sklepa 2008/977, v odstavku 1 določa:

„V tej direktivi so določena pravila o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

21      Člen 3 navedene direktive, naslovljen „Opredelitev pojmov“, določa:

„V tej direktivi:

[…]

7.      ‚pristojni organ‘ pomeni:

(a)      kateri koli javni organ, ki je pristojen za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ali

(b)      kateri koli drug organ ali subjekt, ki v skladu s pravom države članice lahko opravlja javne funkcije ali izvaja javna pooblastila za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem;

[…]“.

6.      Direktiva o PNR

22      V uvodnih izjavah od 4 do 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 in 37 Direktive o PNR je navedeno:

„(4)      Direktiva [o PNR] ureja prenos predhodnih podatkov o potnikih (API) pristojnim nacionalnim organom s strani letalskih prevoznikov za namen izboljšanja mejnih kontrol in boja proti nezakonitemu priseljevanju.

(5)      Cilji te direktive so med drugim zagotoviti varnost, zaščititi življenje in varnost oseb ter oblikovati pravni okvir za varstvo podatkov PNR pri njihovi obdelavi s strani pristojnih organov.

(6)      Učinkovita uporaba podatkov PNR, na primer s primerjanjem podatkov PNR z različnimi podatkovnimi zbirkami iskanih oseb in predmetov, je potrebna za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj ter s tem za krepitev notranje varnosti, za zbiranje dokazov ter, kadar je to potrebno, da se izsledijo osebe, ki sodelujejo s storilci kaznivih dejanj in se razkrijejo kriminalne mreže.

(7)      Ocenjevanje podatkov PNR omogoča identifikacijo oseb, ki pred takim ocenjevanjem niso bile osumljene sodelovanja pri terorističnih ali hudih kaznivih dejanjih in ki bi jih pristojni organi morali podrobneje preveriti. Z uporabo podatkov PNR je mogoče obravnavati grožnjo terorističnih in hudih kaznivih dejanj z drugega vidika kot pri obdelavi drugih vrst osebnih podatkov. Da pa bi zagotovili, da obdelava podatkov PNR ostane omejena le na to, kar je potrebno, bi morala biti oblikovanje in uporaba ocenjevalnih meril omejena na teroristična kazniva dejanja in huda kazniva dejanja, pri katerih je uporaba takšnih meril potrebna. Poleg tega bi bilo treba ocenjevalna merila opredeliti tako, da bo število nedolžnih ljudi, ki jih sistem napačno identificira, čim nižje.

(8)      Letalski prevozniki že zbirajo in obdelujejo podatke PNR svojih potnikov v lastne komercialne namene. Ta direktiva ne bi smela naložiti nobenih obveznosti letalskim prevoznikom glede zbiranja ali hrambe kakršnih koli dodatnih podatkov o potnikih, pa tudi potnikom glede zagotavljanja kakršnih koli podatkov poleg podatkov, ki jih že zagotavljajo letalskim prevoznikom.

(9)      Nekateri letalski prevozniki hranijo podatke API, ki jih zbirajo, kot del podatkov PNR, drugi pa ne. Uporaba podatkov PNR skupaj s podatki API ima dodano vrednost, saj je državam članicam v pomoč pri preverjanju identitete posameznika, s čimer se povečuje vrednost tega rezultata za namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj ter zmanjšuje tveganje, da se preverjajo in preiskujejo nedolžni ljudje. Zato je pomembno zagotoviti, da letalski prevozniki, kadar zbirajo podatke API, te posredujejo, ne glede na to, ali podatke API hranijo z drugačnimi tehničnimi sredstvi kot ostale podatke PNR.

(10)      Za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj je bistveno, da vse države članice določijo predpise, v skladu s katerimi morajo letalski prevozniki, ki opravljajo lete zunaj EU, posredovati zbrane podatke PNR, vključno s podatki API. Države članice bi tudi morale imeti možnost, da to obveznost razširijo na letalske prevoznike, ki opravljajo lete znotraj EU. Ti predpisi ne bi smeli posegati v Direktivo [o API].

(11)      Obdelava osebnih podatkov bi morala biti sorazmerna s posebnimi varnostnimi cilji iz te direktive.

(12)      Opredelitev terorističnih kaznivih dejanj, ki se uporablja v tej direktivi, bi morala biti enaka kot v Okvirnem sklepu Sveta 2002/475/PNZ [z dne 13. junija 2002 o boju proti terorizmu (UL, posebna izdaja v slovenščini, poglavje 19, zvezek 6, str. 18)]. Opredelitev hudih kaznivih dejanj bi morala zajemati vrste kaznivih dejanj iz Priloge II k tej direktivi.

[…]

(15)      Seznam podatkov PNR, ki naj bi jih pridobila enota za informacije o potnikih, bi bilo treba oblikovati tako, da bi se upoštevale upravičene zahteve javnih organov za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih ali hudih kaznivih dejanj, s čimer bi se izboljšala notranja varnost v Uniji in zaščitile temeljne pravice, zlasti pravica do zasebnosti in varstva osebnih podatkov. V ta namen bi se morali uporabljati visoki standardi v skladu z [Listino], Konvencijo o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov (v nadaljnjem besedilu: Konvencija št. 108) ter Evropsko konvencijo o varstvu človekovih pravic in temeljnih svoboščin[, podpisano v Rimu 4. novembra 1950 (v nadaljevanju: EKČP)]. Tak seznam ne bi smel biti oblikovan na podlagi rase ali etničnega porekla osebe, njene vere ali prepričanja, političnega ali drugega mnenja, članstva v sindikatu, zdravstvenega stanja, spolnega življenja ali spolne usmerjenosti. Podatki PNR bi morali vsebovati zgolj podrobnosti o rezervacijah in načrtih potovanja potnikov, ki pristojnim organom omogočajo identifikacijo letalskih potnikov, ki predstavljajo grožnjo notranji varnosti.

[…]

(19)      Vsaka država članica bi morala biti odgovorna za ocenjevanje morebitnih groženj v zvezi s terorističnimi in hudimi kaznivimi dejanji.

(20)      Ob doslednem spoštovanju pravice do varstva osebnih podatkov in pravice do nediskriminacije ne bi smela biti nobena odločitev, ki bi imela za osebo negativne pravne posledice ali bi nanjo znatneje vplivala, sprejeta le na podlagi avtomatizirane obdelave podatkov PNR. Poleg tega v skladu s členoma 8 in 21 Listine nobena takšna odločitev ne bi smela predstavljati diskriminacije na kakršni koli podlagi, kot je denimo spol, rasa, barva kože, etnično ali socialno poreklo, genetske značilnosti, jezik, vera ali prepričanje, politično ali drugo mnenje, pripadnost narodnostni manjšini, premoženje, rojstvo, invalidnost, starost ali spolna usmerjenost. [Evropska] [k]omisija bi morala upoštevati ta načela tudi ob izvedbi pregleda uporabe te direktive.

[…]

(22)      Pri uporabi te direktive bi bilo treba zagotoviti popolno spoštovanje temeljnih pravic, pravice do zasebnosti in načela sorazmernosti, ob doslednem spoštovanju načel iz nedavne sodne prakse Sodišča Evropske unije s tega področja. Poleg tega bi bilo treba dejansko izpolnjevati cilje nujnosti in sorazmernosti za uresničitev splošnih interesov, ki jih priznava Unija, in potrebe po varovanju pravic in svoboščin drugih v boju proti terorističnim in hudim kaznivim dejanjem. Uporaba te direktive bi morala biti ustrezno utemeljena in vzpostavljeni bi morali biti potrebni zaščitni ukrepi, da se zagotovi zakonitost vsakršne hrambe, analize, prenosa ali uporabe podatkov PNR.

[…]

(25)      Obdobje hrambe podatkov PNR bi moralo biti tako dolgo, kot je to potrebno za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj ter sorazmerno s temi nameni. Zaradi narave zadevnih podatkov in njihove uporabe je treba podatke PNR hraniti dovolj dolgo za izvedbo analiz in uporabo v preiskavah. Da bi se izognili nesorazmerni uporabi, bi bilo treba podatke PNR po začetnem obdobju hrambe depersonalizirati z zakrivanjem podatkovnih elementov. Za zagotovitev najvišje ravni varstva podatkov bi moral biti dostop do popolnih podatkov PNR, ki omogočajo neposredno identifikacijo posameznika, na katerega se podatki nanašajo, odobren le pod zelo strogimi in omejenimi pogoji po tem začetnem obdobju.

[…]

(27)      V vsaki državi članici bi morala za obdelavo podatkov PNR, ki jo izvajajo enote za informacije o potnikih in pristojni organi, veljati raven varstva osebnih podatkov v skladu z nacionalnim pravom, ki je skladna z Okvirnim sklepom Sveta [2008/977], in posebne zahteve glede varstva podatkov iz te direktive. Sklicevanja na Okvirni sklep [2008/977] bi bilo treba razumeti kot sklicevanja na trenutno veljavno zakonodajo kot tudi na zakonodajo, ki jo bo nadomestila.

(28)      Ob upoštevanju pravice do varstva osebnih podatkov bi morale biti pravice posameznikov, na katere se podatki nanašajo, glede obdelave njihovih podatkov PNR, kot so pravice do dostopa, popravka, izbrisa in omejitve, ter pravici do nadomestila škode in sodnega varstva, skladne tako z Okvirnim sklepom [2008/977] kot z visoko ravnjo varstva, ki jo zagotavljata Listina in EKČP.

[…]

(33)      Ta direktiva ne vpliva na možnost držav članic, da v nacionalnem pravu vzpostavijo sistem zbiranja in obdelave podatkov PNR, ki jih prejmejo od gospodarskih subjektov, ki niso prevozniki, kot so potovalne agencije in organizatorji potovanj, ki nudijo s potovanji povezane storitve – vključno z rezervacijami letov – za katere zbirajo in obdelujejo podatke PNR, ali od ponudnikov prevoza, ki niso navedeni v tej direktivi, če je takšno nacionalno pravo skladno s pravom Unije.

[…]

(36)      Ta direktiva spoštuje temeljne pravice in načela Listine, zlasti pravico do varstva osebnih podatkov, pravico do zasebnosti in pravico do nediskriminacije, kakor jih zagotavljajo členi 8, 7 in 21 Listine; zato bi jo bilo treba izvajati temu ustrezno. Ta direktiva je združljiva z načeli varstva podatkov, njene določbe pa so skladne z Okvirnim sklepom [2008/977]. V tej direktivi so poleg tega zaradi upoštevanja načela sorazmernosti v zvezi z nekaterimi vprašanji določena strožja pravila o varstvu podatkov kot v Okvirnem sklepu [2008/977].

(37)      Področje uporabe te direktive je kar najbolj omejeno, saj: omogoča hrambo podatkov PNR v enotah za informacije o potnikih za obdobje največ pet let, po preteku katerega bi bilo treba podatke izbrisati; omogoča depersonalizacijo podatkov z zakrivanjem podatkovnih elementov po začetnem obdobju šestih mesecev; in prepoveduje zbiranje in uporabo občutljivih podatkov. Za zagotovitev učinkovitosti in visoke ravni varstva podatkov morajo države članice zagotoviti, da je za svetovanje glede načina obdelave podatkov PNR in za spremljanje tega načina pristojen neodvisen nacionalni nadzorni organ, zlasti pa pooblaščena oseba za varstvo podatkov. Zabeležiti ali dokumentirati bi bilo treba vsako obdelavo podatkov PNR za namene preverjanja njene zakonitosti, notranjega spremljanja in zagotavljanja celovitosti podatkov ter njihove varne obdelave. Države članice bi morale tudi zagotoviti, da so potniki jasno in natančno obveščeni o zbiranju podatkov PNR in svojih pravicah.“

23      Člen 1 Direktive o PNR, naslovljen „Predmet urejanja in področje uporabe“, določa:

„1.      Ta direktiva ureja:

(a)      prenos podatkov iz evidence podatkov o potnikih (PNR) s strani letalskih prevoznikov na letih zunaj EU;

(b)      obdelavo podatkov iz točke (a), vključno z njihovim zbiranjem, uporabo in hrambo s strani držav članic ter njihovo izmenjavo med državami članicami.

2.      Podatki PNR, zbrani v skladu s to direktivo, se lahko obdelujejo le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj iz točk (a), (b) in (c) člena 6(2).“

24      Člen 2 te direktive, naslovljen „Uporaba te direktive za lete znotraj EU“, določa:

„1.      Če se država članica odloči uporabljati to direktivo za lete znotraj EU, uradno pisno obvesti Komisijo. Država članica lahko tako uradno obvestilo poda ali prekliče kadar koli. Komisija objavi to uradno obvestilo in njegov morebiten preklic v Uradnem listu Evropske unije.

2.      Kadar je podano uradno obvestilo iz odstavka 1, se uporabljajo vse določbe te direktive za lete znotraj EU, kot da bi bili leti zunaj EU, in za podatke PNR o letih znotraj EU, kot da bi bili podatki PNR o letih zunaj EU.

3.      Država članica se lahko odloči, da bo to direktivo uporabljala le za izbrane lete znotraj EU. Država članica pri taki odločitvi izbere lete, za katere meni, da so potrebni za uresničevanje ciljev te direktive. Država članica se lahko kadar koli odloči za spremembo izbire letov znotraj EU.“

25      Člen 3 navedene direktive, naslovljen „Opredelitev pojmov“, določa:

„V tej direktivi se uporabljajo naslednje opredelitve pojmov:

(1)      ‚letalski prevoznik‘ pomeni podjetje za zračni prevoz z veljavno operativno licenco ali enakovrednim dovoljenjem, ki mu omogoča opravljanje zračnega prevoza potnikov;

(2)      ‚let zunaj EU‘ pomeni vsak redni ali posebni let letalskega prevoznika z odhodom v tretji državi in načrtovanim prihodom na ozemlju države članice ali z odhodom na ozemlju države članice in načrtovanim prihodom v tretji državi, pri čemer so v obeh primerih vključeni tudi leti z vsemi morebitnimi postanki na ozemlju držav članic ali tretjih držav;

(3)      ‚let znotraj EU‘ pomeni vsak redni ali posebni let letalskega prevoznika z odhodom na ozemlju države članice in načrtovanim prihodom na ozemlju ene ali več držav članic, brez postankov na ozemlju tretje države;

(4)      ‚potnik‘ pomeni vsako osebo – tudi potnike v tranzitu in potnike, ki prestopajo, vendar ne članov posadke – ki se prevaža ali se bo prevažala na letalu s privolitvijo letalskega prevoznika, pri čemer se takšno soglasje izrazi z registracijo te osebe na seznamu potnikov;

(5)      ‚evidenca podatkov o potnikih‘ ali ‚PNR‘ pomeni zapis zahtevanih podatkov o potovanju vsakega potnika, ki vsebuje potrebne informacije, da lahko letalski prevozniki, ki zagotavljajo rezervacije, in udeleženi letalski prevozniki obdelujejo in nadzorujejo rezervacije za vsako potovanje, ki ga rezervira posamezna oseba ali se rezervira v njenem imenu, ne glede na to, ali je sestavni del sistema rezervacij, sistema za nadzor odhodov, ki se uporablja za prijavo potnikov na let, ali enakovrednih sistemov, ki zagotavljajo enake funkcije;

(6)      ‚sistem rezervacij‘ pomeni notranji sistem letalskega prevoznika, v katerem se zbirajo podatki PNR za obdelavo rezervacij;

(7)      ‚metoda ‚push‘‘ pomeni metodo, v skladu s katero letalski prevozniki posredujejo podatke PNR iz Priloge I v podatkovno zbirko organa, ki za podatke zaprosi;

(8)      ‚teroristično kaznivo dejanje‘ pomeni kaznivo dejanje po nacionalnem pravu iz členov 1 do 4 Okvirnega sklepa [2002/475];

(9)      ‚hudo kaznivo dejanje‘ pomeni kazniva dejanja iz Priloge II, ki se po nacionalnem pravu države članice kaznujejo z zaporno kaznijo oziroma ukrepom odvzema prostosti z najvišjo zagroženo kaznijo najmanj treh let;

(10)      ‚depersonalizirati z zakrivanjem podatkovnih elementov‘ pomeni, da se te podatkovne elemente, na podlagi katerih bi bilo mogoče neposredno identificirati posameznika, na katerega se podatki nanašajo, zakrije tako, da za uporabnika postanejo nevidni.“

26      Člen 4 Direktive o PNR, naslovljen „Enota za informacije o potnikih“, v odstavkih od 1 do 3 določa:

„1.      Vsaka država članica ustanovi ali imenuje organ, pristojen za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih in hudih kaznivih dejanj ali organizacijsko enoto takšnega organa, da deluje kot njena enota za informacije o potnikih.

2.      Enota za informacije o potnikih je pristojna za:

(a)      zbiranje podatkov PNR od letalskih prevoznikov, njihovo hrambo in obdelavo in za posredovanje teh podatkov ali rezultatov njihove obdelave pristojnim organom iz člena 7;

(b)      izmenjavo tako podatkov PNR kot rezultatov njihove obdelave z enotami za informacije o potnikih drugih držav članic in Europolom v skladu s členoma 9 in 10.

3.      Člani osebja enote za informacije o potnikih so lahko napoteni iz pristojnih organov. Države članice enotam za informacije o potnikih zagotovijo ustrezna sredstva za opravljanje njihovih nalog.“

27      Člen 5 te direktive, naslovljen „Pooblaščena oseba za varstvo podatkov pri enoti za informacije o potnikih“, določa:

„1.      Enota za informacije o potnikih imenuje pooblaščeno osebo za varstvo podatkov, ki je pristojna za spremljanje obdelave podatkov PNR in izvajanje ustreznih zaščitnih ukrepov.

2.      Države članice pooblaščeni osebi za varstvo podatkov zagotovijo sredstva za učinkovito in neodvisno opravljanje svojih dolžnosti in nalog v skladu s tem členom.

3.      Države članice posamezniku, na katerega se podatki nanašajo, zagotovijo pravico, da stopi v stik s pooblaščeno osebo za varstvo podatkov kot enotno kontaktno točko glede vseh vprašanj, povezanih z obdelavo njegovih podatkov PNR.“

28      Člen 6 navedene direktive, naslovljen „Obdelava podatkov PNR“, določa:

„1.      Podatke PNR, ki jih posredujejo letalski prevozniki, zbira enota za informacije o potnikih zadevne države članice, kot je določeno v členu 8. Kadar podatki PNR, ki jih posredujejo letalski prevozniki, vključujejo podatke, ki niso navedeni v Prilogi I, enota za informacije o potnikih takšne podatke ob prejemu izbriše takoj in trajno.

2.      Enota za informacije o potnikih obdeluje podatke PNR samo za naslednje namene:

(a)      za ocenjevanje potnikov pred njihovim načrtovanim prihodom v državo članico ali odhodom iz nje, da bi identificirala osebe, ki jih morajo pristojni organi iz člena 7 in, kadar je ustrezno, Europol v skladu s členom 10 podrobneje preveriti glede na dejstvo, da bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju;

(b)      za odzivanje, za vsak primer posebej, na ustrezno obrazloženo zaprosilo, ki ga pristojni organi predložijo na zadostni podlagi za zagotavljanje in obdelavo podatkov PNR v konkretnih primerih za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih ali hudih kaznivih dejanj ter za zagotavljanje rezultatov takšne obdelave pristojnim organom ali, kadar je ustrezno, Europolu, ter

(c)      za analiziranje podatkov PNR za namene posodabljanja ali oblikovanja novih meril za izvajanje ocenjevanj iz točke (b) odstavka 3, da bi identificirali osebe, ki bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju.

3.      Pri izvajanju ocenjevanja iz točke (a) odstavka 2, lahko enota za informacije o potnikih:

(a)      primerja podatke PNR s podatkovnimi zbirkami, ki so pomembne za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj, vključno s podatkovnimi zbirkami o osebah ali predmetih, ki so iskani ali so zanje razpisani ukrepi, v skladu s pravili Unije ter mednarodnimi in nacionalnimi pravili, ki veljajo za takšne podatkovne zbirke, ali

(b)      obdeluje podatke PNR glede na vnaprej določena merila.

4.      Ocenjevanje potnikov pred njihovim načrtovanim prihodom v državo članico ali odhodom iz države članice v skladu s točko (b) odstavka 3 glede na vnaprej določena merila se izvaja na nediskriminatoren način. Ta vnaprej določena merila morajo biti ciljna, sorazmerna in specifična. Države članice zagotovijo, da enote za informacije o potnikih v sodelovanju s pristojnimi organi iz člena 7 določijo in redno pregleduje ta merila. Ta merila ne smejo v nobenem primeru temeljiti na podlagi rase ali etničnega porekla osebe, njenih političnih mnenj, vere ali filozofskega prepričanja, članstva v sindikatu, zdravstvenega stanja, spolnega življenja ali spolne usmerjenosti.

5.      Države članice zagotovijo, da se kakršen koli zadetek, ki je rezultat avtomatizirane obdelave podatkov PNR, izvedene v skladu s točko (a) odstavka 2, posamično pregleda z neavtomatiziranimi sredstvi, da se preveri, ali mora pristojni organ iz člena 7 ukrepati v skladu z nacionalnim pravom.

6.      Enota države članice za informacije o potnikih posreduje podatke PNR oseb, identificiranih v skladu s točko (a) odstavka 2, ali rezultate obdelave teh podatkov v podrobnejšo preučitev pristojnim organom iz člena 7 iste države članice. Takšen prenos se lahko izvede le za vsak primer posebej, v primeru avtomatizirane obdelave podatkov PNR pa po posamičnem pregledu z neavtomatiziranimi sredstvi.

7.      Države članice zagotovijo, da ima pooblaščena oseba za varstvo podatkov dostop do vseh podatkov, ki jih obdeluje enota za informacije o potnikih. Če pooblaščena oseba za varstvo podatkov meni, da obdelava kakršnih koli podatkov ni bila zakonita, lahko zadevo predloži nacionalnemu nadzornemu organu.

[…]

9.      Posledice ocenjevanj potnikov iz točke (a) odstavka 2 tega člena ne ogrožajo pravice do vstopa oseb, ki uživajo pravico Unije do prostega gibanja, na ozemlje zadevne države članice, kot je določeno v Direktivi [Evropskega parlamenta in Sveta 2004/38/ES z dne 29. aprila 2004 o pravici državljanov Unije in njihovih družinskih članov do prostega gibanja in prebivanja na ozemlju držav članic, ki spreminja Uredbo (EGS) št. 1612/68 in razveljavlja Direktive 64/221/EGS, 68/360/EGS, 72/194/EGS, 73/148/EGS, 75/34/EGS, 75/35/EGS, 90/364/EGS, 90/365/EGS in 93/96/EEC (UL, posebna izdaja v slovenščini, poglavje 5, zvezek 5, str. 46]. Poleg tega so posledice takšnih ocenjevanj, kadar so izvedena v zvezi z leti znotraj EU med državami članicami, za katere se uporablja Uredba (ES) št. 562/2006 Evropskega parlamenta in Sveta [z dne 15. marca 2006 o Zakoniku Skupnosti o pravilih, ki urejajo gibanje oseb prek meja (Zakonik o schengenskih mejah) (UL 2006, L 105, str. 1)], skladne z navedeno uredbo.“

29      Člen 7 Direktive o PNR, naslovljen „Pristojni organi“, določa:

„1.      Vsaka država članica sprejme seznam pristojnih organov, ki so za namene preprečevanja, odkrivanja, preiskovanja ter pregona terorističnih ali hudih kaznivih dejanj upravičeni, da enoto za informacije o potnikih zaprosijo za podatke PNR ali rezultate obdelave teh podatkov – ali da jih prejmejo – da bi te informacije nadalje podrobno preučili oziroma sprejeli ustrezne ukrepe.

2.      Organi iz odstavka 1 so organi, ki so pristojni za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih ali hudih kaznivih dejanj.

[…]

4.      Pristojni organi držav članic lahko podatke PNR in rezultate obdelave teh podatkov, ki jih prejmejo od enote za informacije o potnikih, nadalje obdelujejo samo za specifične namene preprečevanja, odkrivanja, preiskovanja ali pregona terorističnih ali hudih kaznivih dejanj.

5.      Odstavek 4 ne posega v pristojnosti nacionalnih organov preprečevanja, odkrivanja in preiskovanja kaznivih dejanj oziroma pravosodnih organov, kadar se v predkazenskem ali kazenskem postopku na podlagi navedene obdelave odkrijejo druga kazniva dejanja ali indici v zvezi z njimi.

6.      Pristojni organi izključno na podlagi avtomatizirane obdelave podatkov PNR ne sprejmejo nobene odločitve, ki bi imela za osebo negativne pravne posledice ali bi nanjo znatneje vplivala. Takšne odločitve se ne sprejmejo na podlagi rase ali etničnega porekla osebe, njenih političnih mnenj, vere ali filozofskega prepričanja, članstva v sindikatu, zdravstvenega stanja, spolnega življenja ali spolne usmerjenosti.“

30      Člen 8 te direktive, naslovljen „Obveznosti letalskih prevoznikov glede prenosa podatkov“, v odstavkih od 1 do 3 določa:

„1.      Države članice sprejmejo potrebne ukrepe, da zagotovijo, da letalski prevozniki podatke PNR, navedene v Prilogi I – kolikor so jih že zbrali med običajnim poslovanjem – z metodo ‚push‘ posredujejo v podatkovno zbirko enote za informacije o potnikih države članice, na ozemlju katere je prihod ali odhod leta. Pri letih pod skupno oznako enega ali več letalskih prevoznikov je za prenos podatkov PNR o vseh potnikih na tem letu odgovoren letalski prevoznik, ki izvaja let. Kadar je na letu zunaj EU predviden eden ali več postankov na letališčih držav članic, letalski prevozniki posredujejo podatke PNR o vseh potnikih enotam za informacije o potnikih vseh zadevnih držav članic. To velja tudi tedaj, ko ima let znotraj EU enega ali več postankov na letališčih različnih držav članic, vendar le za tiste države članice, ki zbirajo podatke PNR o letih znotraj EU.

2.      Če letalski prevozniki zberejo predhodne informacije o potnikih (API) iz točke 18 Priloge I, vendar teh informacij ne hranijo z enakimi tehničnimi sredstvi kot druge podatke PNR, države članice z ustreznimi ukrepi zagotovijo, da letalski prevozniki tudi te informacije z metodo ‚push‘ posredujejo enoti za informacije o potnikih držav članic iz odstavka 1. V primeru takšnega prenosa se tudi za zadevne podatke API uporabljajo vse določbe te direktive.

3.      Letalski prevozniki podatke PNR prenesejo z elektronskimi sredstvi z uporabo skupnih protokolov in sistemsko podprtih oblik zapisa podatkov, ki se sprejmejo v skladu s postopkom pregleda iz člena 17(2), v primeru tehnične okvare pa na kakršen koli drug ustrezen način, ki zagotavlja ustrezno raven varnosti podatkov:

(a)      24 do 48 ur pred načrtovanim časom odhoda leta in

(b)      nemudoma po zaprtju leta, to je takrat, ko so potniki že vkrcani na letalo v pripravi na odhod in se ne morejo več vkrcati ali izkrcati.“

31      Člen 12 navedene direktive, naslovljen „Čas hrambe podatkov in depersonalizacija“, določa:

„1.      Države članice zagotovijo, da se podatki PNR, ki jih enoti za informacije o potnikih zagotovijo letalski prevozniki, hranijo v podatkovni zbirki enote za informacije o potnikih pet let od njihovega prenosa enoti za informacije o potnikih države članice, na območju katere je prihod ali odhod leta.

2.      Po izteku šestih mesecev od prenosa podatkov PNR iz odstavka 1 se vsi podatki PNR depersonalizirajo z zakrivanjem naslednjih podatkovnih elementov, na podlagi katerih bi bilo mogoče neposredno identificirati potnika, na katerega se podatki PNR nanašajo:

(a)      ime(na), vključno z imeni drugih potnikov v PNR, in število potnikov v PNR, ki potujejo skupaj;

(b)      naslov in kontaktni podatki;

(c)      vsi podatki o načinu plačila, vključno z naslovom za izstavitev računa, kolikor vsebujejo kakršne koli informacije, na podlagi katerih bi bilo mogoče neposredno identificirati potnika, na katerega se podatki PNR nanašajo, ali katero koli drugo osebo;

(d)      informacije v zvezi s programi za pogoste potnike;

(e)      splošne opombe, kolikor vsebujejo kakršne koli informacije, na podlagi katerih bi bilo mogoče neposredno identificirati potnika, na katerega se podatki PNR nanašajo, in

(f)      vse zbrane podatke API.

3.      Po izteku šestih mesecev iz odstavka 2 je razkritje popolnih podatkov PNR dovoljeno le, kadar:

(a)      se utemeljeno domneva, da je to potrebno za namene iz točke (b) člena 6(2), in

(b)      ga odobri:

(i)      sodni organ ali

(ii)      drug nacionalni organ, ki je v skladu z nacionalnim pravom pristojen za preverjanje, ali so izpolnjeni pogoji za razkritje, pod pogojem, da je pooblaščena oseba za varstvo podatkov enote za informacije o potnikih o tem obveščena in da lahko opravi naknadni pregled.

4.      Države članice zagotovijo, da se podatki PNR trajno izbrišejo po izteku obdobja iz odstavka 1. Ta obveznost ne posega v primere, v katerih so bili določeni podatki PNR posredovani pristojnemu organu in se uporabljajo v okviru konkretnih primerov za namene preprečevanja, odkrivanja, preiskovanja ali pregona terorističnih ali hudih kaznivih dejanj; v tem primeru hrambo takšnih podatkov s strani pristojnega organa ureja nacionalno pravo.

5.      Enota za informacije o potnikih hrani rezultate obdelave iz točke (a) člena 6(2) le toliko časa, kolikor je potrebno, da o zadetku obvesti pristojne organe in v skladu s členom 9(1) obvesti enote za informacije o potnikih drugih držav članic. Kadar je po posamičnem preverjanju z neavtomatiziranimi sredstvi iz člena 6(5) rezultat avtomatizirane obdelave negativen, se kljub temu lahko shrani v izogib prihodnjim ‚lažnim‘ zadetkom, dokler s tem povezani podatki niso izbrisani v skladu z odstavkom 4 tega člena.“

32      Člen 13 Direktive o PNR, naslovljen „Varstvo osebnih podatkov“, v odstavkih od 1 do 5 določa:

„1.      Vsaka država članica pri vsakršni obdelavi osebnih podatkov v skladu s to direktivo zagotovi, da ima vsak potnik enako pravico do varstva svojih osebnih podatkov, pravice do dostopa, popravka, izbrisa in omejitve in pravici do odškodnine in do sodnega varstva, kot so določene v pravu Unije in nacionalnem pravu ter za izvajanje členov 17, 18, 19 in 20 Okvirnega sklepa [2008/977]. Navedeni členi se torej uporabljajo.

2.      Vsaka država članica zagotovi, da se določbe v nacionalnem pravu, ki so sprejete za izvajanje členov 21 in 22 Okvirnega sklepa [2008/977] glede zaupnosti obdelave in varnosti podatkov, uporabljajo tudi za vsako obdelavo osebnih podatkov v skladu s to direktivo.

3.      Ta direktiva ne posega v uporabo Direktive [95/46] za obdelavo osebnih podatkov s strani letalskih prevoznikov, zlasti v njihovo obveznost za sprejetje ustreznih tehničnih in organizacijskih ukrepov za zaščito varnosti in zaupnosti osebnih podatkov.

4.      Države članice prepovejo obdelavo podatkov PNR, ki razkrivajo raso ali etnično poreklo osebe, njena politična mnenja, versko ali filozofsko prepričanje, članstvo v sindikatu, zdravstveno stanje, spolno življenje ali spolno usmerjenost. Če enota za informacije o potnikih prejme podatke PNR, ki razkrivajo takšne informacije, se takoj izbrišejo.

5.      Države članice zagotovijo, da enote za informacije o potnikih hranijo dokumentacijo glede vseh sistemov in postopkov obdelave, za katere so pristojne. Ta dokumentacija vsebuje vsaj:

(a)      ime in kontaktne podatke organizacije in osebja v enoti za informacije o potnikih, ki je zadolžena za obdelavo podatkov PNR, in informacije o različnih stopnjah pooblastil za dostop;

(b)      zaprosila pristojnih organov in enot za informacije o potnikih iz drugih držav članic;

(c)      vsa zaprosila za prenose podatkov PNR tretji državi in vse takšne prenose.

Enota za informacije o potnikih na zahtevo da tako dokumentacijo na voljo nacionalnemu nadzornemu organu.“

33      Člen 15 te direktive, naslovljen „Nacionalni nadzorni organ“, določa:

„1.      Vsaka država članica zagotovi, da je nacionalni nadzorni organ iz člena 25 Okvirnega sklepa [2008/977] na ozemlju svoje države članice pristojen za svetovanje glede uporabe predpisov, ki so jih države članice sprejele na podlagi te direktive, in za spremljanje takšne uporabe. Uporablja se člen 25 Okvirnega sklepa [2008/977].

2.      Ti nacionalni nadzorni organi opravljajo dejavnosti iz odstavka 1 tako, da se pri obdelavi osebnih podatkov zaščitijo temeljne pravice.

3.      Vsak nacionalni nadzorni organ:

(a)      obravnava prijave oziroma pritožbe, ki jih vloži posameznik, na katerega se podatki nanašajo, razišče zadevo, in posameznike, na katere se podatki nanašajo, v razumnem roku obvesti o stanju zadeve in odločitvi o njihovih prijavah oziroma pritožbah;

(b)      preverja zakonitost obdelave podatkov, izvaja preiskave, preglede in revizije v skladu z nacionalnim pravom, in sicer na lastno pobudo ali na podlagi prijave oziroma pritožbe iz točke (a).

4.      Vsak nacionalni nadzorni organ posamezniku, na katerega se podatki nanašajo, na zahtevo svetuje glede uveljavljanja pravic iz določb, sprejetih na podlagi te direktive.“

34      Člen 19 navedene direktive, naslovljen „Pregled“, določa:

„1.      Komisija na podlagi informacij, ki jih zagotovijo države članice, vključno s statističnimi informacijami iz člena 20(2), do 25. maja 2020 opravi pregled vseh elementov te direktive ter predloži in predstavi poročilo Evropskemu parlamentu in Svetu [Evropske unije].

2.      Komisija v okviru pregleda posebno pozornost nameni:

(a)      spoštovanju veljavnih standardov varstva osebnih podatkov;

(b)      nujnosti in sorazmernosti zbiranja in obdelave podatkov PNR za vsakega od namenov, določenih v tej direktivi;

(c)      trajanju obdobja hrambe podatkov;

(d)      učinkovitosti izmenjave informacij med državami članicami in

(e)      kakovosti ocenjevanj, vključno glede statističnih informacij, zbranih v skladu s členom 20.

3.      Poročilo iz odstavka 1 vključuje tudi pregled nujnosti, sorazmernosti in učinkovitosti vključitve obveznega zbiranja in prenosa podatkov PNR o vseh ali določenih letih znotraj EU v področje uporabe te direktive. Komisija pri tem upošteva izkušnje, ki so jih pridobile države članice, zlasti tiste, ki uporabljajo to direktivo za lete znotraj EU v skladu s členom 2. V poročilu preuči tudi potrebo po vključitvi gospodarskih subjektov, ki niso letalski prevozniki, kot so potovalne agencije in organizatorji potovanj, ki nudijo s potovanji povezane storitve, vključno z rezervacijami letov, v področje uporabe te direktive.

4.      Komisija na podlagi pregleda, izvedenega na podlagi tega člena, Evropskemu parlamentu in Svetu po potrebi predloži zakonodajni predlog za spremembo te direktive.“

35      Člen 21 te direktive, naslovljen „Razmerje do drugih instrumentov“, v odstavku 2 določa:

„Ta direktiva ne posega v uporabo Direktive [95/46] glede obdelave osebnih podatkov s strani letalskih prevoznikov.“

36      V Prilogi I k Direktivi o PNR, naslovljeni „Podatki iz evidence podatkov o potnikih, kolikor jih zbirajo letalski prevozniki“, je med drugim navedeno:

„1.      Koda lokatorja evidence PNR

2.      Datum rezervacije/izdaje vozovnice

3.      Predvideni datum(-i) potovanja

4.      Ime(-na)

5.      Naslov in kontaktni podatki (telefonska številka, naslov elektronske pošte)

6.      Vsi podatki o načinu plačila, vključno z naslovom za izstavitev računa

7.      Popoln načrt potovanja za posamezen PNR

8.       Informacije v zvezi s programi za pogoste potnike

9.      Potovalna agencija/potovalni agent

10.      Potovalni status potnika, vključno s potrditvami, prijavo na let, informacijami o neizkoriščenih in neodpovedanih rezervacijah ter informacijami o vozovnicah brez rezervacije

11.      Razdeljene/ločene informacije PNR

12.      Splošne opombe (vključno z vsemi razpoložljivimi informacijami o mladoletnikih brez spremstva, mlajših od 18 let, kot so ime in spol, starost, znanje jezikov, ime in kontaktni podatki skrbnika pri odhodu ter sorodstveno razmerje z mladoletnikom, ime in kontaktni podatki skrbnika pri prihodu in sorodstveno razmerje z mladoletnikom, podatki o zastopniku ob odhodu in prihodu)

13.      Informacije na vozovnici, vključno s številko vozovnice, datumom izdaje vozovnice, enosmernimi vozovnicami in podatki ATFQ (automated ticket fare quote)

14.      Številka sedeža in druge informacije v zvezi s sedežem

15.      Informacije o letih pod skupno oznako

16.      Vse informacije o prtljagi

17.      Število potnikov in njihova druga imena v PNR

18.      Vse zbrane predhodne podatke o potnikih (API) (vključno z vrsto, številko, državo izdaje in datumom izteka veljavnosti osebnega dokumenta, državljanstvom, priimkom, imenom, spolom, datumom rojstva, letalskim prevoznikom, številko leta, datumom odhoda, datumom prihoda, letališčem odhoda, letališčem prihoda, časom odhoda in časom prihoda)

19.      Vse pretekle spremembe v PNR iz točk 1 do 18.“

37      Priloga II k tej direktivi, naslovljena „Seznam kaznivih dejanj iz točke (9) člena 3“, določa:

„1.      Sodelovanje v hudodelski združbi,

2.      trgovina z ljudmi,

3.      spolno izkoriščanje otrok in otroška pornografija,

4.      nedovoljena trgovina z mamili in psihotropnimi snovmi,

5.      nedovoljena trgovina z orožjem, strelivom in razstrelivi,

6.      korupcija,

7.      goljufija, vključno z goljufijo, ki škoduje finančnim interesom Unije,

8.      pranje premoženjske koristi, pridobljene s kaznivim dejanjem, in ponarejanje denarja, vključno z eurom,

9.      računalniška kriminaliteta/kibernetska kriminaliteta,

10.      kazniva dejanja zoper okolje, vključno z nedovoljeno trgovino z ogroženimi živalskimi vrstami ter ogroženimi rastlinskimi vrstami in sortami,

11.      pomoč pri nezakonitem vstopu v državo in bivanju v njej,

12.      umor, huda telesna poškodba,

13.      nedovoljena trgovina s človeškimi organi in tkivi,

14.      ugrabitev, protipraven odvzem prostosti in jemanje talcev,

15.      organiziran in oborožen rop,

16.      nedovoljena trgovina s kulturnimi dobrinami, vključno s starinami in umetniškimi deli,

17.      ponarejanje in piratstvo izdelkov,

18.      ponarejanje uradnih listin in promet z njimi,

19.      nedovoljena trgovina s hormonskimi snovmi in drugimi pospeševalci rasti,

20.      nedovoljena trgovina z jedrskimi ali radioaktivnimi snovmi,

21.      posilstvo,

22.      kazniva dejanja v pristojnosti Mednarodnega kazenskega sodišča,

23.      ugrabitev letala/plovila,

24.      sabotaža,

25.      trgovina z ukradenimi vozili,

26.      industrijsko vohunjenje.“

7.      Okvirni sklep 2002/475

38      V členu 1 Okvirnega sklepa 2002/475 je bil pojem „teroristično kaznivo dejanje“ opredeljen z naštetjem vrste namernih dejanj iz točk od (a) do (i) tega člena, ki so bila storjena z namenom, „da bi resno zastraševala prebivalstvo“ ali „nezakonito izsiljevala vlado ali mednarodno organizacijo, da izvede ali opusti kakršno koli dejanje,“ ali „da bi resno rušila ali uničevala temeljne politične, ustavne, gospodarske ali socialne strukture države ali mednarodne organizacije“. V členih 2 in 3 tega okvirnega sklepa sta bila opredeljena pojma „kazniva dejanja v povezavi s teroristično skupino“ in „kazniva dejanja, povezana s terorističnimi dejavnostmi“. Člen 4 navedenega okvirnega sklepa je urejal inkriminacijo spodbujanja in pomoči oziroma podpore pri teh kaznivih dejanjih ter poskusa njihove storitve.

39      Okvirni sklep 2002/475 je bil razveljavljen z Direktivo (EU) 2017/541 Evropskega parlamenta in Sveta z dne 15. marca 2017 o boju proti terorizmu in nadomestitvi Okvirnega sklepa Sveta 2002/475/PNZ ter o spremembi Sklepa Sveta 2005/671/PNZ (UL 2017, L 88, str. 6), katere členi od 3 do 14 vsebujejo podobne opredelitve.

B.      Belgijsko pravo

1.      Ustava

40      Člen 22 Constitution (ustava) določa:

„Vsakdo ima pravico do spoštovanja njegovega zasebnega in družinskega življenja, razen v primerih in pod pogoji, določenimi z zakonom.

Zakon, dekret ali pravilo iz člena 134 zagotavljajo varstvo te pravice.“

2.      Zakon z dne 25. decembra 2016

41      Člen 2 loi du 25 décembre 2016 relative au traitement des données des passagers (zakon z dne 25. decembra 2016 o obdelavi podatkov o potnikih) (Moniteur belge z dne 25. januarja 2017, str. 12905, v nadaljevanju: zakon z dne 25. decembra 2016) določa:

„S tem zakonom in kraljevimi odloki, ki se sprejmejo na podlagi tega zakona, se prenašata [Direktiva o API] in [Direktiva o PNR]. S tem zakonom in kraljevim odlokom, ki se nanaša na pomorski sektor, se delno prenaša Direktiva [2010/65].“

42      Člen 3 tega zakona določa:

„1.      Ta zakon določa obveznosti prevoznikov in potovalnih agencij v zvezi s pošiljanjem podatkov o potnikih, ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega.

2.      Kralj z odlokom, ki ga obravnava svet ministrov, za vsak sektor prevoza in potovalne agencije določi podatke o potnikih, ki se pošljejo, in podrobna pravila njihovega pošiljanja, in sicer po posvetovanju s Commission de la protection de la vie privée (komisija za varstvo zasebnosti).“

43      Člen 4 navedenega zakona določa:

„Pri uporabi tega zakona in njegovih izvedbenih odlokov se uporabljajo naslednje opredelitve pojmov:

[…]

(8)      ,pristojne službe‘: službe v skladu s členom 14(1), točka 2;

(9)      ,PNR‘: zapis zahtevanih podatkov o potovanju vsakega potnika, ki vsebuje potrebne informacije iz člena 9, da lahko letalski prevozniki in potovalne agencije, ki zagotavljajo rezervacije, obdelujejo in nadzorujejo rezervacije za vsako potovanje, ki ga rezervira posamezna oseba ali se rezervira v njenem imenu, ne glede na to, ali je ta zapis sestavni del sistema rezervacij, sistema za nadzor odhodov (ki se uporablja za nadzor nad prijavo potnikov na let) ali enakovrednih sistemov, ki zagotavljajo enake funkcije;

(10)      ‚potnik‘: pomeni vsako osebo – tudi potnike v tranzitu in potnike, ki prestopajo, vendar ne članov posadke – ki ga prevaža ali ga bo prevažal prevoznik s privolitvijo tega prevoznika, pri čemer se takšno soglasje izrazi z registracijo te osebe na seznamu potnikov;

[…]“.

44      Člen 8 zakona z dne 25. decembra 2016 določa:

„1.      Podatki o potnikih se obdelujejo za te namene:

(1)       preiskovanje in pregon, vključno z izvrševanjem kazni ali ukrepov omejitve prostosti, v zvezi s kaznivimi dejanji iz člena 90b(2), točke 2, […] 7, […] 8, […] 11, […] 14, […] 17, 18, 19, ter (3) Code d’instruction criminelle (zakonik o kazenskem postopku);

(2)      preiskovanje in pregon, vključno z izvrševanjem kazni ali ukrepov omejitve prostosti, v zvezi s kaznivimi dejanji iz člena 196 za kazniva dejanja ponarejanja javnih listin ter členov 198, 199, 199a, 207, 213, 375 in 505 Code pénal (kazenski zakonik);

[…]

(4)      spremljanje dejavnosti iz členov 7, točki 1 in 3/l, ter 11(1), točke od 1 do 3 in 5, loi du 30 novembre 1998 organique des services de renseignement et de sécurité (organski zakon z dne 30. novembra 1998 o obveščevalno- varnostnih službah);

(5)      preiskovanje in pregon v zvezi s kaznivimi dejanji iz člena 220(2) loi générale sur les douanes et accises du 18 juillet 1977 (splošni zakon o carinah in trošarinah z dne 18. julija 1977) in člena 45, tretji odstavek, loi du 22 décembre 2009 relative au régime général d’accise (zakon z dne 22. decembra 2009 o splošnem trošarinskem sistemu) […].

2.      Pod pogoji iz poglavja 11 se podatki o potnikih obdelujejo tudi za izboljšanje kontrole oseb na zunanjih mejah in boj proti nezakonitemu priseljevanju.“

45      Člen 14(1) tega zakona določa:

„Enoto za informacije o potnikih sestavljajo:

[…]

(2)      člani, ki jih napotijo te pristojne službe:

(a)      policija iz loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux (zakon z dne 7. decembra 1998 o organizaciji integrirane policije, strukturirane na dveh ravneh);

(b)      služba državne varnosti iz organski zakona z dne 30. novembra 1998 o obveščevalnih in varnostnih službah;

(c)      splošna obveščevalno-varnostna služba iz organskega zakona z dne 30. novembra 1998 o obveščevalnih in varnostnih službah;

[…]“.

46      Člen 24 navedenega zakona, ki je v oddelku 1, naslovljenem „Obdelava podatkov o potnikih v okviru predhodnega ocenjevanja podatkov“, iz poglavja 10 tega zakona, ki se nanaša na obdelavo podatkov, določa:

„1.      Podatki o potnikih se obdelujejo za izvajanje predhodnega ocenjevanja potnikov pred njihovim predvidenim prihodom na nacionalno ozemlje, odhodom z njega ali tranzitom prek njega, da se ugotovi, katere osebe je treba temeljiteje pregledati.

2.      V okviru namenov iz člena 8(1), točke 1, 4 in 5, ali v zvezi z grožnjami, navedenimi v členih 8(1)(a), (b), (c), (d), (f) in (g) ter 11(2) organskega zakona z dne 30. novembra 1998 o obveščevalno-varnostnih službah predhodno ocenjevanje potnikov temelji na zadetku, ki izhaja iz ujemanja podatkov o potnikih z:

(1)      podatkovnimi zbirkami, ki jih upravljajo pristojne službe ali ki so jim neposredno na voljo ali dostopne v okviru njihovih nalog, ali seznami oseb, ki jih pristojne službe pripravijo v okviru svojih nalog;

(2)      merili za ocenjevanje, ki jih vnaprej določi enota za informacije o potnikih in so navedena v členu 25.

3.      V okviru namenov iz člena 8(1), točka 3, predhodno ocenjevanje potnikov temelji na zadetku, ki izhaja iz ujemanja podatkov o potnikih s podatkovnimi zbirkami iz odstavka 2, točka 1.

4.      Zadetek potrdi enota za informacije o potnikih v 24 urah po prejetju avtomatiziranega obvestila o zadetku.

5.      Od trenutka te potrditve pristojna služba, ki je ta zadetek identificirala, brez odlašanja ustrezno ukrepa.“

47      Poglavje 11 zakona z dne 25. decembra 2016, naslovljeno „Obdelava podatkov o potnikih za izboljšanje mejne kontrole in boj proti nezakonitemu priseljevanju“, vsebuje člene od 28 do 31 tega zakona.

48      Člen 28 tega zakona določa:

„1.      To poglavje se uporablja za obdelavo podatkov o potnikih, ki jo izvajajo policijske službe, pristojne za mejno kontrolo, in Office des étrangers (urad za tujce) za izboljšanje kontrole oseb na zunanjih mejah in boj proti nezakonitemu priseljevanju.

2.      To poglavje se uporablja brez poseganja v obveznosti policijskih služb, pristojnih za mejno kontrolo, in urada za tujce glede pošiljanja osebnih podatkov ali informacij na podlagi zakonskih ali drugih predpisov.“

49      Člen 29 navedenega zakona določa:

„1.      Za namene iz člena 28(1) se podatki o potnikih pošljejo policijskim službam, pristojnim za mejno kontrolo, in uradu za tujce, da se jim omogoči izvajanje njihovih zakonskih nalog v mejah, določenih v tem členu.

2.      Pošljejo se samo podatki o potnikih iz člena 9(1), točka 18, ki se nanašajo na te kategorije potnikov:

(1)      potniki, ki nameravajo vstopiti ali so vstopili na ozemlje prek zunanjih meja Belgije;

(2)      potniki, ki nameravajo zapustiti ali so zapustili ozemlje prek zunanjih meja Belgije;

(3)      potniki, ki nameravajo potovati prek mednarodnega tranzitnega območja v Belgiji, ki so na takem območju ali so potovali prek takega območja.

3.      Podatki o potnikih iz odstavka 2 se pošljejo policijskim službam, pristojnim za kontrolo na zunanjih mejah Belgije, takoj po njihovem vpisu v podatkovno zbirko o potnikih. Te službe te podatke hranijo v začasni datoteki in jih uničijo v 24 urah po njihovem pošiljanju.

4.      Če je to potrebno za izvajanje njegovih nalog, določenih z zakonom, se podatki o potnikih iz odstavka 2 uradu za tujce pošljejo takoj po njihovem vnosu v podatkovno zbirko o potnikih. Urad te podatke hrani v začasni datoteki in jih uniči v 24 urah po njihovem pošiljanju.

Če je po izteku tega obdobja dostop do podatkov o potnikih iz odstavka 2 potreben v okviru izvajanja nalog urada za tujce, določenih z zakonom, ta na enoto za informacije o potnikih naslovi ustrezno obrazloženo zahtevo.

[…]“.

50      Zakon z dne 25. decembra 2016 se je z arrêté royal du 18 juillet 2017 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les compagnies aériennes (kraljevi odlok z dne 18. julija 2017 o izvajanju zakona z dne 25. decembra 2016, ki določa obveznosti letalskih prevoznikov, Moniteur belge z dne 28. julija 2017, str. 75934), arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs HST et distributeurs de tickets HST (kraljevi odlok z dne 3. februarja 2019 o izvajanju zakona z dne 25. decembra 2016, ki določa obveznosti za prevoznike HST in distributerje vozovnic za HST, Moniteur belge z dne 12. februarja 2019, str. 13018), oziroma z arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs par bus (kraljevi odlok z dne 3. februarja 2019 o izvajanju zakona z dne 25. decembra 2016, ki določa obveznosti za avtobusne prevoznike, Moniteur belge z dne 12. februarja 2019, str. 13023), začel uporabljati za letalske prevoznike, prevoznike, ki opravljajo mednarodni prevoz potnikov (prevozniki HST), in potovalne posrednike, ki imajo sklenjeno pogodbo s temi prevozniki (distributerji vozovnic za HST), ter za avtobusne prevoznike.

II.    Spor o glavni stvari in vprašanja za predhodno odločanje

51      Združenje Ligue des droits humains je pri Cour constitutionnelle (ustavno sodišče, Belgija) vložilo tožbo z dne 24. julija 2017 za razglasitev ničnosti – v celoti ali delno – zakona z dne 25. decembra 2016.

52      Predložitveno sodišče navaja, da so s tem zakonom v nacionalno pravo prenesene Direktiva o PNR in Direktiva o API ter deloma Direktiva 2010/65. Iz pripravljalnih dokumentov za navedeni zakon naj bi bilo razvidno, da je namen tega zakona „vzpostaviti pravni okvir, s katerim se različnim sektorjem mednarodnega prevoza oseb (zračni, železniški, mednarodni cesti in pomorski) in potovalnim agencijam naloži, da podatke o svojih potnikih pošiljajo v podatkovno zbirko, ki jo upravlja [Service public fédéral intérieur (ministrstvo za notranje zadeve, Belgija)]“. Nacionalni zakonodajalec naj bi tudi pojasnil, da cilji zakona z dne 25. decembra 2016 spadajo v tri kategorije, in sicer, prvič, preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, drugič, naloge obveščevalno-varnostnih služb, in tretjič, izboljšanje kontrole na zunanjih mejah in boj proti nezakonitemu priseljevanju.

53      Združenje Ligue des droits humains v utemeljitev tožbe navaja dva tožbena razloga, od katerih se prvi nanaša na kršitev člena 22 ustave v povezavi s členom 23 SUVP, členoma 7, 8 in členom 52(1) Listine ter členom 8 EKČP, drugi pa, podredno, na kršitev tega člena 22 v povezavi s členom 3(2) PEU in členom 45 Listine.

54      Združenje Ligue des droits humains s prvim tožbenim razlogom v bistvu trdi, da ta zakon pomeni poseganje v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki ni v skladu s členom 52(1) Listine in zlasti z načelom sorazmernosti. Področje uporabe navedenega zakona in opredelitev zbranih podatkov, ki bi lahko razkrili občutljive informacije, naj bi bila namreč preširoka. Prav tako naj bi pojem „potnik“ v smislu tega zakona omogočal neciljno sistematično in avtomatizirano obdelavo podatkov o vseh potnikih. Poleg tega naj narava in podrobna pravila metode prescreening in podatkovnih zbirk, s katerimi se ti podatki primerjajo, po pošiljanju ne bi bili dovolj jasno določeni. Ravno tako naj bi bili cilji zakona z dne 25. decembra 2016 drugačni od ciljev Direktive o PNR. Nazadnje, petletni rok, ki ga ta zakon določa za hrambo navedenih podatkov, naj bi bil nesorazmeren.

55      Združenje Ligue des droits humains z drugim tožbenim razlogom, ki se nanaša na člen 3(1), člen 8(2) in člene od 28 do 31 zakona z dne 25. decembra 2016, trdi, da se s temi določbami – zaradi širitve sistema iz Direktive o PNR na prevoze znotraj EU – posredno ponovno vzpostavlja kontrola na notranjih mejah, kar naj bi bilo v nasprotju s prostim gibanjem oseb. Kadar je oseba na belgijskem ozemlju, naj bo to ob prihodu, odhodu ali med postankom, naj bi se njeni podatki namreč zbrali avtomatsko.

56      Svet ministrov te trditve prereka. Natančneje, svet ministrov meni, da prvi tožbeni razlog ni dopusten v delu, v katerem se nanaša na SUVP, ki naj se ne bi uporabljala za zakon z dne 25. decembra 2016. Poleg tega naj bi bila obdelava podatkov, ki jo ta zakon določa, v skladu z Direktivo o PNR bistveno orodje v okviru, med drugim, boja proti terorizmu in hudim kaznivim dejanjem, ukrepi, ki izhajajo iz navedenega zakona, pa naj bi bili nujni za uresničevanje zasledovanih ciljev in sorazmerni.

57      V zvezi s prvim tožbenim razlogom se predložitveno sodišče najprej sprašuje, ali se varstvo, določeno s SUVP, uporablja za obdelave podatkov, uvedene z zakonom z dne 25. decembra 2016, s katerim se prenaša predvsem Direktiva o PNR. Dalje, navedeno sodišče ob sklicevanju na sodno prakso, ki izhaja iz mnenja 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592), navaja, da opredelitev podatkov PNR iz člena 3, točka 5, in Priloge I k tej direktivi morda, prvič, ni dovolj jasna in natančna, ker opis nekaterih od teh podatkov v teh določbah ni izčrpen, in drugič, posredno vodi do razkritja občutljivih podatkov. Poleg tega bi lahko opredelitev pojma „potnik“ iz člena 3, točka 4, navedene direktive povzročila, da so zbiranje, prenos, obdelava in hramba podatkov PNR splošne in neselektivne obveznosti, ki se uporabljajo za vse osebe, ki se prevažajo ali se bodo prevažale in so vpisane na seznam potnikov, ne glede na obstoj utemeljenih razlogov za sum, da je zadevna oseba storila kaznivo dejanje ali ga namerava storiti ali je bila spoznana za krivo kaznivega dejanja.

58      Navedeno sodišče še opozarja, da so podatki PNR v skladu z določbami Direktive o PNR sistematično predmet predhodnega ocenjevanja, ki vključuje navzkrižno preverjanje s podatkovnimi zbirkami ali vnaprej določenimi merili, da se ugotovijo ujemanja. Posvetovalni odbor iz Konvencije št. 108 Sveta Evrope pa naj bi v mnenju z dne 19. avgusta 2016 o posledicah obdelave podatkov o potnikih za varstvo podatkov (T-PD (2016) 18rev) navedel, da se obdelave osebnih podatkov nanašajo na vse potnike in ne le na ciljne posameznike, osumljene, da so sodelovali pri kaznivem dejanju ali da pomenijo neposredno grožnjo za nacionalno varnost ali javni red, in da se podatki PNR lahko ne le primerjajo (data matching) s podatkovnimi zbirkami, temveč tudi obdelujejo s podatkovnim rudarjenjem (data mining) s pomočjo izbirnikov ali napovednih algoritmov, da bi se identificirale osebe, ki bi lahko bile vpletene ali sodelovale v kriminalnih dejavnostih, pri čemer lahko takšna ocena potnikov s pomočjo ujemanja podatkov sproži vprašanje predvidljivosti, zlasti če deluje na podlagi napovednih algoritmov z uporabo dinamičnih meril, ki se lahko nenehno razvijajo v skladu s svojimi sposobnostmi samoučenja. V tem okviru predložitveno sodišče ugotavlja, da morajo biti vnaprej določena merila za ugotavljanje tveganih profilov v skladu z mnenjem 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592) sicer specifična, zanesljiva in nediskriminatorna, vendar se zdi tehnično nemogoče ta merila še natančneje opredeliti.

59      V zvezi s petletnim rokom hrambe in dostopom do podatkov, določenima v členu 12 Direktive o PNR, navedeno sodišče navaja, da je Commission de la protection de la vie privée (komisija za varstvo zasebnosti, Belgija) v mnenju na lastno pobudo št. 01/2010 z dne 13. januarja 2010 o osnutku zakona o potrditvi Sporazuma PNR med EU in Združenimi državami Amerike menila, da če je obdobje hrambe dolgotrajno in če se podatki shranjujejo množično, se tveganje oblikovanja profilov zadevnih oseb – kot tudi tveganje zlorabe uporabe teh podatkov za namene, ki niso bili prvotno predvideni – poveča. Poleg tega naj bi iz mnenja posvetovalnega odbora iz Konvencije št. 108 Sveta Evrope z dne 19. avgusta 2016 izhajalo, da zakriti podatki še vedno omogočajo identifikacijo oseb in tako ostajajo osebni podatki in da mora biti njihova hramba časovno omejena, da se prepreči splošen in stalen nadzor.

60      V teh okoliščinah se predložitveno sodišče ob upoštevanju sodne prakse, ki izhaja zlasti iz mnenja 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592), sprašuje, ali se lahko šteje, da sistem zbiranja, prenosa, obdelave in hrambe podatkov PNR, vzpostavljen z Direktivo o PNR, upošteva meje tega, kar je nujno potrebno. Navedeno sodišče meni, da je treba tudi ugotoviti, ali ta direktiva nasprotuje nacionalni zakonodaji, ki dovoljuje obdelavo podatkov PNR za namen, ki ni tisti, ki jih določa navedena direktiva, in ali bi lahko nacionalni organ, kot je enota za informacije o potnikih, ustanovljen z zakonom z dne 25. decembra 2016, odobril razkritje teh popolnih podatkov po njihovi depersonalizaciji v skladu s členom 12 te direktive.

61      V zvezi z drugim tožbenim razlogom predložitveno sodišče navaja, da člen 3(1) tega zakona določa obveznosti prevoznikov in potovalnih agencij v zvezi s pošiljanjem podatkov o potnikih, „ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega“. Navedeno sodišče v zvezi s področjem uporabe navedenega zakona dodaja, da se je nacionalni zakonodajalec odločil za „vključitev potovanj znotraj EU v zbiranje podatkov“, da bi dobil „popolnejši pregled nad gibanjem potnikov, ki pomenijo morebitno grožnjo za varnost v Uniji in nacionalno varnost“, kot določa člen 2 Direktive o PNR v povezavi z uvodno izjavo 10 te direktive za lete znotraj Unije. Navedeno sodišče pojasnjuje tudi, da se je komisija za varstvo zasebnosti v mnenju št. 55/2015 z dne 16. decembra 2015 o osnutku zakona z dne 25. decembra 2016 spraševala o morebitnem nasprotju med belgijskim sistemom PNR in načelom prostega gibanja oseb, ker ta sistem vključuje prevoze, opravljene znotraj Unije.

62      V teh okoliščinah je Cour constitutionnelle (ustavno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

„1.      Ali je treba člen 23 [SUVP] v povezavi s členom 2(2)(d) navedene uredbe razlagati tako, da se uporablja za nacionalno zakonodajo, kot je zakon [z dne 25. decembra 2016], s katerim so prenesene Direktiva [o PNR], Direktiva [o API] ter Direktiva [2010/65]?

2.      Ali je Priloga I [Direktive o PNR] združljiva s členi 7, 8 in 52(1) [Listine] glede na to, da so podatki, našteti v njej, zelo obširni – zlasti podatki iz točke 18 Priloge I [te direktive], ki presegajo podatke iz člena 3(2) Direktive [o API] – in glede na to, da bi lahko ti podatki, upoštevani skupaj, razkrili občutljive podatke in s tem kršili meje ,nujno potrebnega‘?

3.      Ali sta točki 12 in 18 Priloge I [Direktive o PNR] združljivi s členi 7, 8 in 52(1) [Listine] glede na to, da so ob upoštevanju izraza ,vključno‘ podatki, na katere se nanašata, navedeni primeroma in ne izčrpno, tako da se ne spoštuje zahteva po natančnosti in jasnosti pravil, s katerimi se posega v pravico do spoštovanja zasebnega življenja in pravico do varstva osebnih podatkov?

4.      Ali sta člen 3, točka 4, Direktive [o PNR] in Priloga I [te direktive] združljiva s členi 7, 8 in 52(1) [Listine] glede na to, da se sistem splošnega zbiranja, pošiljanja in obdelave podatkov o potnikih, ki ga ti določbi uvajata, nanaša na vsako osebo, ki uporabi zadevni način prevoza, ne glede na kakršen koli objektiven element, zaradi katerega bi se lahko štelo, da ta oseba lahko pomeni tveganje za javno varnost?

5.      Ali je treba člen 6 Direktive [o PNR] v povezavi s členi 7, 8 in 52(1) [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki kot namen obdelave podatkov iz PNR priznava spremljanje zadevnih dejavnosti obveščevalno-varnostnih služb ter s tem ta namen vključuje v preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj?

6.      Ali je člen 6 Direktive [o PNR] združljiv s členi 7, 8 in 52(1) [Listine] glede na to, da se predhodno ocenjevanje, ki ga ureja, s povezovanjem z zbirkami podatkov in na podlagi vnaprej določenih meril sistematično in splošno uporablja za podatke o potnikih, ne glede na kakršen koli objektiven element, zaradi katerega bi se lahko štelo, da ti potniki lahko pomenijo tveganje za javno varnost?

7.      Ali je mogoče pojem ,drug pristojen nacionalni organ‘ iz člena 12(3) Direktive [o PNR] razlagati tako, da se nanaša na enoto za informacije o potnikih, ustanovljeno z zakonom [z dne 25. decembra 2016], ki lahko zato dovoli dostop do podatkov iz PNR po izteku šestmesečnega obdobja v okviru posameznih poizvedb?

8.      Ali je treba člen 12 Direktive [o PNR] v povezavi s členi 7, 8 in 52(1) [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki določa splošno petletno obdobje hrambe podatkov ne glede na to, ali se za zadevne potnike v okviru predhodnega ocenjevanja izkaže, da lahko pomenijo tveganje za javno varnost?

9.      (a)      Ali je Direktiva [o API] združljiva s členom 3(2) [PEU] in členom 45 [Listine] glede na to, da se obveznosti, ki jih uvaja, uporabljajo za lete znotraj Evropske unije?

(b)      Ali je treba Direktivo [o API] v povezavi s členom 3(2) [PEU] in členom 45 [Listine] razlagati tako, da nasprotuje nacionalni zakonodaji, kot je izpodbijani zakon, ki za boj proti nezakonitemu priseljevanju in izboljšanje nadzora na mejah dovoljuje sistem zbiranja in obdelave podatkov o potnikih, ,ki so namenjeni na nacionalno ozemlje, ki prihajajo z njega in ki so v tranzitu prek njega‘, kar bi lahko posredno pomenilo ponovno vzpostavitev nadzora na notranjih mejah?

10.      Ali lahko Cour constitutionnelle (ustavno sodišče), če bi na podlagi odgovorov na navedena vprašanja za predhodno odločanje ugotovilo, da se z izpodbijanim zakonom, s katerim je med drugim prenesena Direktiva [o PNR], kršijo ena ali več obveznosti, ki izhajajo iz določb, omenjenih v teh vprašanjih, odloči, da se učinki zakona [z dne 25. decembra 2016] začasno ohranijo, da se prepreči pravna negotovost in da se omogoči, da se lahko prej zbrani in ohranjeni podatki še uporabljajo za cilje iz zakona?“

III. Vprašanja za predhodno odločanje

A.      Prvo vprašanje

63      Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 2(2)(d) in člen 23 SUVP razlagati tako, da se ta uredba uporablja za obdelave osebnih podatkov, določene z nacionalno zakonodajo, katere namen je v nacionalno pravo prenesti hkrati določbe Direktive o PNR, Direktive o API in Direktive 2010/65, zlasti za prenos, hrambo in obdelavo podatkov PNR.

64      Kot izhaja iz člena 2(1) SUVP, se ta uredba uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke. Pojem „obdelava“ je v členu 4, točka 2, navedene uredbe opredeljen široko, tako da med drugim vključuje zbiranje, beleženje, shranjevanje, vpogled, uporabo, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali izbris takih podatkov ali nizov podatkov.

65      Belgijska vlada pa trdi, da prenos podatkov PNR s strani gospodarskih subjektov enoti za informacije o potnikih za namene preprečevanja in odkrivanje kaznivih dejanj, kot je določen v členu 1(1)(a), členu 1(2) in členu 8 Direktive o PNR, ki pomeni „obdelavo“ osebnih podatkov v smislu člena 4, točka 2, SUVP – tako kot njihovo predhodno zbiranje – ne spada na področje uporabe te uredbe na podlagi člena 2(2)(d) navedene uredbe, ker naj bi bilo mogoče za to določbo navedene uredbe uporabiti sodno prakso, ki izhaja iz sodbe z dne 30. maja 2006, Parlament/Svet in Komisija (C‑317/04 in C‑318/04, EU:C:2006:346, točke od 57 do 59), ki se nanaša na člen 3(2), prva alinea, Direktive 95/46.

66      V zvezi s tem je res, kot je Sodišče že ugotovilo, da so s členom 3(2), prva alinea, Direktive 95/46, ki je bila z učinkom od 25. maja 2018 razveljavljena in nadomeščena s SUVP, z njenega področja uporabe na splošno izključeni „postopk[i] obdelave v zvezi z javno varnostjo, obrambo [in] državno varnostjo“, brez razlikovanja glede na to, kdo izvaja zadevno obdelavo podatkov. Tako so lahko obdelave, ki jih izvajajo zasebni subjekti in izhajajo iz obveznosti, ki so jim jih naložili javni organi, kadar je bilo to primerno, spadale na področje uporabe izjeme iz določbe glede na to, da so bili v formulacijo te določbe zajeti vsi postopki obdelave v zvezi z javno varnostjo, obrambo ali državno varnostjo, ne glede na to, kdo jih izvaja (glej v tem smislu sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 101).

67      Vendar je v členu 2(2)(d) SUVP podano tako razlikovanje, saj, kot je generalni pravobranilec navedel v točkah 41 in 46 sklepnih predlogov, iz besedila te določbe jasno izhaja, da je treba izpolniti dva pogoja, da za obdelavo podatkov velja izjema iz te uredbe. Medtem ko se prvi od teh pogojev nanaša na namene obdelave, in sicer preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, se drugi pogoj nanaša na osebo, ki izvaja to obdelavo, in sicer na „pristojni organ“ v smislu navedene določbe.

68      Kot je ugotovilo tudi Sodišče, iz člena 23(1)(d) in (h) SUVP izvaja, da obdelave osebnih podatkov, ki jih posamezniki izvajajo za namene iz člena 2(2)(d) te uredbe, spadajo na njeno področje uporabe (glej v tem smislu sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 102).

69      Iz tega sledi, da sodne prakse, ki izhaja iz sodbe z dne 30. maja 2006, Parlament/Svet in Komisija (C‑317/04 in C‑318/04, EU:C:2006:346), na katero se sklicuje belgijska vlada, ni mogoče uporabiti za izjemo od področja uporabe SUVP iz njenega člena 2(2)(d).

70      Poleg tega je treba to izjemo, tako kot druge izjeme od področja uporabe SUVP, določene v členu 2(2) te uredbe, razlagati ozko.

71      Kot je razvidno iz uvodne izjave 19 navedene uredbe, je navedena izjema utemeljena z okoliščino, da obdelavo osebnih podatkov, ki jo pristojni organi izvajajo med drugim za namene preprečevanja in odkrivanja kaznivih dejanj, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, ureja bolj poseben akt Unije, in sicer Direktiva 2016/680, ki je bila sprejeta istega dne kot SUVP (sodba z dne 22. junija 2021, Latvijas Republikas Saeints (Kazenske točke), C‑439/19, EU:C:2021:504, točka 69).

72      Kot je poleg tega pojasnjeno v uvodnih izjavah od 9 do 11 Direktive 2016/680, ta direktiva določa posebna pravila o varstvu posameznikov pri teh obdelavah ob upoštevanju posebnih lastnosti teh dejavnosti na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja, medtem ko SUVP določa splošna pravila o varstvu teh oseb, ki se uporabljajo za navedene obdelave, kadar se bolj poseben akt, kot je Direktiva 2016/680, ne uporablja. Natančneje, v skladu z uvodno izjavo 11 te direktive se SUVP uporablja za obdelavo osebnih podatkov, ki jo izvede „pristojni organ“ v smislu člena 3, točka 7, navedene direktive, vendar za namene, ki so drugačni od namenov iz te direktive (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 70).

73      Glede prvega pogoja iz točke 67 te sodbe in, natančneje, namenov obdelave osebnih podatkov, določenih v Direktivi o PNR, je treba opozoriti, da se v skladu s členom 1(2) te direktive podatki PNR lahko obdelujejo le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj. Ti nameni spadajo med tiste iz člena 2(2)(d) SUVP in člena 1(1) Direktive 2016/680, zaradi česar za take obdelave lahko velja izjema iz člena 2(2)(d) te uredbe in zato lahko spadajo na področje uporabe te direktive.

74      To pa ne velja za obdelave, določene v Direktivi o API in Direktivi 2010/65, katerih nameni so drugačni od tistih iz člena 2(2)(d) SUVP in člena 1(1) Direktive 2016/680.

75      Namen Direktive o API je namreč izboljšanje mejnih kontrol in boja proti nezakonitemu priseljevanju, kot je razvidno iz njenih uvodnih izjav 1, 7 in 9 ter člena 1, z vnaprejšnjim posredovanjem podatkov o potnikih pristojnim nacionalnim organom s strani prevoznikov. Poleg tega je iz več uvodnih izjav in določb te direktive razvidno, da obdelave podatkov, predvidene za njeno izvajanje, spadajo na področje uporabe SUVP. Tako je v uvodni izjavi 12 navedene direktive navedeno, da se „[d]irektiva [95/46] […] uporablja za obdelavo osebnih podatkov s strani organov držav članic“. Poleg tega člen 6(1), peti pododstavek, Direktive o API določa, da lahko države članice uporabijo podatke API tudi za pregon „ob upoštevanju določb o varstvu podatkov po Direktivi [95/46]“, pri čemer je ta izraz uporabljen tudi v tretjem pododstavku te določbe. Prav tako je med drugim v uvodni izjavi 9 Direktive o API uporabljen izraz „brez poseganja v določbe Direktive [95/46]“. Nazadnje, člen 6(2) Direktive o API določa, da morajo prevozniki potnike obvestiti „skladno z določbami Direktive [95/46]“.

76      Glede Direktive 2010/65 je treba navesti, da je iz njene uvodne izjave 2 in člena 1(1) razvidno, da je namen te direktive poenostaviti in harmonizirati upravne postopke, ki se uporabljajo pri pomorskem prevozu, s standardizacijo uporabe elektronskega pošiljanja informacij in racionalizacijo formalnosti poročanja za olajšanje pomorskega prevoza in zmanjšanje upravne obremenitve ladijskih družb. Člen 8(2) navedene direktive pa potrjuje, da obdelave podatkov, predvidene za njeno izvajanje, spadajo na področje uporabe SUVP, saj ta določba državam članicam namreč nalaga, da v zvezi z osebnimi podatki zagotovijo skladnost z Direktivo 95/46.

77      Iz tega sledi, da obdelave podatkov, določene z nacionalno zakonodajo, s katero so v nacionalno pravo prenesene določbe Direktive o API in Direktive 2010/65, spadajo na področje uporabe SUVP. Obdelave podatkov, določene z nacionalno zakonodajo, s katero je v nacionalno pravo prenesena Direktiva o PNR, pa so lahko v skladu z izjemo iz člena 2(2)(d) te uredbe izključene iz uporabe te uredbe, če je izpolnjen drugi pogoj, naveden v točki 67 te sodbe, in sicer da je oseba, ki izvaja obdelave, pristojni organ v smislu zadnjenavedene določbe.

78      V zvezi s tem drugim pogojem je Sodišče razsodilo, da Direktiva 2016/680 v členu 3(7) opredeljuje pojem „pristojni organ“, zato je treba tako opredelitev po analogiji uporabiti za člen 2(2)(d) SUVP (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 69).

79      V skladu s členoma 4 in 7 Direktive o PNR pa mora vsaka država članica imenovati organ, pristojen za preprečevanje, odkrivanje, preiskovanje ali pregon terorističnih in hudih kaznivih dejanj, da deluje kot njena enota za informacije o potnikih, oziroma sprejeti seznam pristojnih organov, ki so upravičeni, da enoto za informacije o potnikih zaprosijo za podatke PNR ali rezultate obdelave teh podatkov – ali da jih prejmejo – pri čemer so ti organi prav tako pristojni organi na tem področju, kot je določeno v členu 7(2) navedene direktive.

80      Iz teh elementov je razvidno, da obdelave podatkov PNR, ki jih za take namene izvajajo enota za informacije o potnikih in navedeni pristojni organi, izpolnjujejo pogoja, navedena v točki 67 te sodbe, zaradi česar se za te obdelave poleg določb same Direktive o PNR uporabljajo določbe Direktive 2016/680, in ne SUVP, kar je poleg tega potrjeno z uvodno izjavo 27 Direktive o PNR.

81      Ker pa gospodarski subjekti, kot so letalski prevozniki – tudi če imajo zakonsko obveznost prenosa podatkov PNR – nimajo niti obveznosti izvajanja javne oblasti niti jim ta direktiva ne daje javnih pooblastil, teh gospodarskih subjektov ni mogoče šteti za pristojne organe v smislu člena 3(7) Direktive 2016/680 in člena 2(2)(d) SUVP, zaradi česar zbiranje in prenos teh podatkov enotam za informacije o potnikih s strani letalskih prevoznikov spadata na področje uporabe te uredbe. Enako je treba ugotoviti tudi v primeru, kakršen je določen z zakonom z dne 25. decembra 2016, v katerem zbiranje in prenos navedenih podatkov izvajajo drugi prevozniki ali potovalne agencije.

82      Predložitveno sodišče se nazadnje sprašuje o morebitnem vplivu sprejetja nacionalne zakonodaje za prenos hkrati določb Direktive o PNR, Direktive o API in Direktive 2010/65, kot je zakon z dne 25. decembra 2016. V zvezi s tem je treba spomniti, kot je razvidno iz točk 72 in od 75 do 77 te sodbe, da obdelave podatkov, določene v skladu z zadnjenavedenima direktivama, spadajo na področje uporabe SUVP, ki vsebuje splošna pravila o varstvu posameznikov pri obdelavi osebnih podatkov.

83      Če torej obdelava podatkov, ki se izvaja na podlagi te zakonodaje, spada na področje uporabe Direktive o API in/ali Direktive 2010/65, se za to obdelavo uporablja SUVP. Enako velja za obdelavo podatkov, ki se izvaja na isti podlagi in glede na svoj namen – poleg tega, da spada na področje uporabe Direktive o PNR – spada tudi na področje uporabe Direktive o API in/ali Direktive 2010/65. Nazadnje, če obdelava podatkov, ki se izvaja na podlagi iste zakonodaje, glede na svoj namen spada le na področje uporabe Direktive o PNR, se SUVP uporablja, če gre za zbiranje in prenos podatkov PNR enotam za informacije o potnikih s strani letalskih prevoznikov. Če pa tako obdelavo izvaja enota za informacije o potnikih ali pristojni organi za namene iz člena 1(2) Direktive o PNR, ta obdelava poleg tega, da spada na področje uporabe nacionalnega prava, spada na področje uporabe Direktive 2016/680.

84      Glede na zgoraj navedene preudarke je treba na prvo vprašanje odgovoriti, da je treba člen 2(2)(d) in člen 23 SUVP razlagati tako, da se ta uredba uporablja za obdelave osebnih podatkov, določene z nacionalno zakonodajo, katere namen je v nacionalno pravo prenesti hkrati določbe Direktive o API, Direktive 2010/65 in Direktive o PNR, na eni strani glede obdelav podatkov, ki jih izvajajo zasebni gospodarski subjekti, in na drugi strani obdelav podatkov, ki jih izvajajo javni organi, ki spadajo zgolj ali tudi na področje uporabe Direktive o API ali Direktive 2010/65. Navedena uredba pa se ne uporablja za obdelave podatkov, ki jih določa takšna zakonodaja in spadajo le na področje uporabe Direktive o PNR ter ki jih izvaja enota za informacije o potnikih ali pristojni organi za namene iz člena 1(2) te direktive.

B.      Drugo, tretje, četrto in šesto vprašanje

85      Predložitveno sodišče z drugim, tretjim, četrtim in šestim vprašanjem, ki jih je treba obravnavati skupaj, Sodišče v bistvu sprašuje o veljavnosti Direktive o PNR z vidika členov 7 in 8 ter člena 52(1) Listine. Ta vprašanja se nanašajo zlasti na:

–        Prilogo I k tej direktivi in podatke, naštete v tej prilogi, zlasti tiste iz točk 12 in 18, ob upoštevanju zahtev po jasnosti in natančnosti (drugo in tretje vprašanje);

–        člen 3, točka 4, navedene direktive in Prilogo I k tej direktivi, ker se sistem splošnega zbiranja, prenosa in obdelave podatkov PNR, ki je vzpostavljen s temi določbami, lahko uporablja za vse osebe na letu, za katerega veljajo določbe te direktive (četrto vprašanje), in

–        člen 6 Direktive o PNR v delu, v katerem določa predhodno ocenjevanje s primerjavo podatkov PNR s podatkovnimi zbirkami in/ali njihovo obdelavo glede na vnaprej določena merila, ki se sistematično in splošno uporablja za te podatke, ne glede na kakršen koli objektiven element, na podlagi katerega bi bilo mogoče sklepati, da lahko zadevni potniki pomenijo tveganje za javno varnost (šesto vprašanje).

86      Najprej je treba opozoriti, da se v skladu s splošnim načelom razlage akt Unije, kolikor je le mogoče, razlaga tako, da se ne vzbuja dvom o njegovi veljavnosti, in v skladu z vsem primarnim pravom ter predvsem z določbami Listine. Tako je treba, kadar se določba sekundarnega prava Unije lahko razlaga na več načinov, dati prednost tisti razlagi, na podlagi katere je določba skladna s primarnim pravom, ne pa tisti, ki bi pripeljala do ugotovitve njene nezdružljivosti s tem pravom (sodba z dne 2. februarja 2021, Consob, C‑481/19, EU:C:2021:84, točka 50 in navedena sodna praksa).

87      Poleg tega iz ustaljene sodne prakse izhaja, da morajo države članice, kadar jim puščajo določbe direktive polje proste presoje pri opredelitvi ukrepov za prenos, ki so prilagojeni različnim mogočim položajem, ob uporabi teh ukrepov ne zgolj razlagati nacionalno pravo v skladu z upoštevno direktivo, temveč tudi paziti, da se ne oprejo na tako razlago te direktive, ki bi bila v nasprotju s temeljnimi pravicami, ki jih varuje pravni red Unije, ali z drugimi splošnimi načeli pravnega reda Unije (glej v tem smislu sodbi z dne 15. februarja 2016, N., C‑601/15 PPU, EU:C:2016:84, točka 60 in navedena sodna praksa, in z dne 16. julija 2020, État belge (Združitev družine – mladoletni otrok), C‑133/19, C‑136/19 in C‑137/19, EU:C:2020:577, točka 33 in navedena sodna praksa).

88      V zvezi z Direktivo o PNR je treba navesti, da je med drugim v njenih uvodnih izjavah 15, 20, 22, 25, 36 in 37 poudarjen pomen, ki ga zakonodajalec Unije s sklicevanjem na visoko raven varstva podatkov pripisuje popolnemu spoštovanju temeljnih pravic, določenih v členih 7, 8 in 21 Listine, ter načela sorazmernosti, zaradi česar „bi […] bilo treba [to direktivo] izvajati temu ustrezno“, kot je navedeno v uvodni izjavi 36.

89      Natančneje, v uvodni izjavi 22 Direktive o PNR je poudarjeno, da bi bilo treba [p]ri uporabi te direktive […] zagotoviti popolno spoštovanje temeljnih pravic, pravice do zasebnosti in načela sorazmernosti, ob doslednem spoštovanju načel iz nedavne sodne prakse [Sodišča] s tega področja“, ter „dejansko izpolnjevati cilje nujnosti in sorazmernosti za uresničitev splošnih interesov, ki jih priznava Unija, in potrebe po varovanju pravic in svoboščin drugih v boju proti terorističnim in hudim kaznivim dejanjem“. V tej uvodni izjavi je dodano, da bi uporaba te direktive „morala biti ustrezno utemeljena in vzpostavljeni bi morali biti potrebni zaščitni ukrepi, da se zagotovi zakonitost vsakršne hrambe, analize, prenosa ali uporabe podatkov PNR“.

90      Poleg tega člen 19(2) Direktive o PNR Komisiji v okviru pregleda te direktive nalaga, da posebno pozornost nameni „spoštovanju veljavnih standardov varstva osebnih podatkov“, „nujnosti in sorazmernosti zbiranja in obdelave podatkov PNR za vsakega od namenov, določenih v tej direktivi“, in „trajanju obdobja hrambe podatkov“.

91      Preveriti je torej treba, ali je Direktivo o PNR zlasti v skladu z zahtevami iz njenih uvodnih izjav in določb, navedenih v točkah od 88 do 90 te sodbe, mogoče razlagati tako, da zagotavlja popolno upoštevanje temeljnih pravic, zagotovljenih v členih 7 in 8 Listine, ter načela sorazmernosti, določenega v členu 52(1) Listine.

1.      Poseganja, ki izhajajo iz Direktive o PNR, v temeljne pravice, zagotovljene s členoma 7 in 8 Listine

92      Člen 7 Listine zagotavlja, da ima vsakdo pravico do spoštovanja svojega zasebnega in družinskega življenja, stanovanja ter komunikacij, medtem ko člen 8(1) Listine vsakomur izrecno podeljuje pravico do varstva osebnih podatkov, ki se nanašajo nanj.

93      Kot je razvidno iz člena 3, točka 5, Direktive o PNR in iz seznama iz Priloge k tej direktivi podatki PNR, na katere se ta direktiva nanaša, obsegajo med drugim ime ali imena letalskih potnikov, informacije, potrebne za rezervacijo, kot so predvideni datumi potovanja in načrt potovanja, informacije o vozovnicah, skupine oseb, registriranih pod isto številko rezervacije, kontaktne informacije potnika ali potnikov, podatke o načinu plačila ali zaračunavanju, informacije o prtljagi in splošne opombe glede potnikov.

94      Ker podatki PNR tako vsebujejo informacije o določenih fizičnih osebah, in sicer o zadevnih letalskih potnikih, različne mogoče obdelave teh podatkov posegajo v temeljno pravico do spoštovanja zasebnega življenja, zagotovljeno v členu 7 Listine (glej v tem smislu mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točki 121 in 122 ter navedena sodna praksa).

95      Poleg tega spadajo obdelave podatkov PNR, kot so te, na katere se nanaša Direktiva o PNR, tudi pod člen 8 Listine, ker gre za obdelave osebnih podatkov v smislu tega člena in morajo zato nujno izpolnjevati zahteve v zvezi z varstvom podatkov iz navedenega člena (glej v tem smislu mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 123 in navedena sodna praksa).

96      V skladu z ustaljeno sodno prakso pa gre pri sporočanju osebnih podatkov tretji osebi, kot je javni organ, za poseganje v temeljne pravice iz členov 7 in 8 Listine, ne glede na nadaljnjo uporabo sporočenih informacij. Enako velja za hrambo osebnih podatkov in za dostop do navedenih podatkov z namenom, da bi jih javni organi uporabljali. V zvezi s tem ni pomembno, ali so zadevne informacije o zasebnem življenju občutljive, niti to, ali so bile zadevne osebe zaradi tega poseganja morda oškodovane (mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točki 124 in 126 ter navedena sodna praksa).

97      Tako prenos podatkov PNR s strani letalskih prevoznikov enoti za informacije o potnikih zadevne države članice, določen v členu 1(1)(a) Direktive o PNR v povezavi s členom 8 te direktive, kot določitev pogojev v zvezi s hrambo teh podatkov, njihovo uporabo in morebitnimi poznejšimi prenosi pristojnim organom te države članice, enotam za informacije o potnikih in pristojnim organom drugih držav članic, Europolu ali celo organom tretjih držav, ki jih omogočajo zlasti členi 6, 7, 9 in od 10 do 12 te direktive, torej pomenita poseganja v pravice iz členov 7 in 8 te direktive.

98      V zvezi z resnostjo teh poseganj je treba navesti, prvič, da Direktiva o PNR v skladu z njenim členom 1(1)(a) v povezavi z njenim členom 8 določa, da se enotam za informacije o potnikih sistematično in stalno prenašajo podatki PNR o vsakem letalskem potniku na letu zunaj EU v smislu člena 3, točka 2, te direktive, ki je opravljen med tretjimi državami in Unijo. Kot je generalni pravobranilec navedel v točki 73 sklepnih predlogov, tak prenos vključuje splošen dostop enot za informacije o potnikih do vseh predloženih podatkov PNR, ki se nanašajo na vse osebe, ki uporabljajo storitve letalskega prevoza, ne glede na nadaljnjo uporabo teh podatkov.

99      Drugič, člen 2 Direktive o PNR v odstavku 1 določa, da se države članice lahko odločijo, da to direktivo uporabljajo za lete „znotraj EU“ v smislu člena 3, točka 3, te direktive, in v odstavku 2 določa, da se v tem primeru „uporabljajo vse določbe te direktive za lete znotraj EU, kot da bi bili leti zunaj EU, in za podatke PNR o letih znotraj EU, kot da bi bili podatki PNR o letih zunaj EU“.

100    Tretjič, tudi če se zdi, da nekateri podatki PNR, našteti v Prilogi I k Direktivi o PNR, kot so povzeti v točki 93 te sodbe, obravnavani ločeno, ne morejo razkriti natančnih informacij o zasebnem življenju zadevnih oseb, lahko navedeni podatki, obravnavani skupaj, vseeno razkrijejo med drugim popoln načrt potovanja, potovalne navade, razmerja med dvema ali več osebami in informacije o finančnem položaju letalskih potnikov, njihove prehranske navade ali njihovo zdravstveno stanje ter bi lahko celo razkrili občutljive informacije o teh potnikih (glej v tem smislu mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 128).

101    Četrtič, v skladu s členom 6(2)(a) in (b) Direktive o PNR so podatki, ki jih prenesejo letalski prevozniki, namenjeni ne le predhodnemu ocenjevanju, opravljenemu pred načrtovanim prihodom ali odhodom potnikov, ampak tudi naknadnemu ocenjevanju.

102    V zvezi s predhodnim ocenjevanjem iz člena 6(2)(a) in (3) Direktive o PNR izhaja, da to ocenjevanje opravijo enote za informacije o potnikih držav članic sistematično in z avtomatiziranimi sredstvi, to je stalno in neodvisno od tega, ali obstaja kakršen koli indic, da zadevne osebe sodelujejo pri terorističnem ali hudem kaznivem dejanju. Za to te določbe določajo, da se podatki PNR lahko primerjajo s „podatkovnimi zbirkami, ki so pomembne“, in se obdelujejo glede na „vnaprej določena merila“.

103    V tem okviru je treba spomniti, da je Sodišče že razsodilo, da je obseg poseganja samodejnih analiz podatkov PNR v pravice, določene v členih 7 in 8 Listine, v bistvu odvisen od predhodno določenih modelov in meril ter od podatkovnih zbirk, na katerih temelji taka obdelava podatkov (mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 172).

104    Kot pa je generalni pravobranilec navedel v točki 78 sklepnih predlogov, lahko obdelava iz člena 6(3)(a) Direktive o PNR, in sicer primerjava podatkov PNR s „podatkovnimi zbirkami, ki so pomembne“, lahko zagotovi dodatne informacije o zasebnem življenju letalskih potnikov in omogoča izpeljavo zelo natančnih ugotovitev v zvezi s tem.

105    V zvezi z obdelavo podatkov PNR glede na „vnaprej določena merila“ iz člena 6(3)(b) Direktive o PNR, res je, da se s členom 6(4) te direktive zahteva, da se ocenjevanje potnikov s temi merili izvaja na nediskriminatoren način in zlasti ne sme temeljiti na vrsti značilnosti iz zadnjega stavka tega odstavka 4. Poleg tega morajo biti uporabljena merila ciljna, sorazmerna in specifična.

106    Vendar je Sodišče že razsodilo, da ker se samodejne analize podatkov PNR opravljajo na podlagi nepreverjenih osebnih podatkov in ker temeljijo na predhodno določenih modelih in merilih, nujno vključujejo določeno stopnjo napak (glej po analogiji mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 169). Natančneje, kot je generalni pravobranilec v bistvu navedel v točki 78 sklepnih predlogov, je iz delovnega dokumenta Komisije (SWD (2020) 128 final), priloženega k njenemu Poročilu z dne 24. julija 2020 o pregledu Direktive o PNR, razvidno, da je število zadetkov iz avtomatizirane obdelave iz člena 6(3)(a) in (b) te direktive, ki so se po posamičnem preverjanju z neavtomatiziranimi sredstvi izkazali za napačne, zelo veliko in je v letih 2018 in 2019 znašalo vsaj pet od šestih identificiranih oseb. Te obdelave tako vodijo do poglobljene analize podatkov PNR o navedenih osebah.

107    Glede naknadnega ocenjevanja podatkov PNR iz člena 6(2)(b) Direktive o PNR, iz te določbe je razvidno, da mora enota za informacije o potnikih v obdobju šestih mesecev od prenosa podatkov PNR iz člena 12(2) te direktive na zaprosilo pristojnih organov tem organom razkriti podatke PNR in jih obdelati v konkretnih primerih za namene boja proti terorističnim ali hudim kaznivim dejanjem.

108    Poleg tega, tudi če se po izteku tega šestmesečnega obdobja podatki PNR depersonalizirajo z zakrivanjem nekaterih elementov teh podatkov, se lahko od enote za informacije o potnikih v skladu s členom 12(3) Direktive o PNR zahteva, da na podlagi takega zaprosila razkrije popolne podatke PNR v obliki, ki pristojnim organom omogoča identifikacijo posameznika, na katerega se osebni podatki nanašajo, kadar se utemeljeno domneva, da je to potrebno za namene iz člena 6(2)(b) te direktive, pri čemer mora tako razkritje odobriti sodni organ ali „drug nacionalni organ, ki je […] pristojen“.

109    Petič, ker je v Direktivi o PNR v členu 12(1), ne da bi bilo v zvezi s tem navedeno več podrobnosti, določeno, da se podatki PNR hranijo v podatkovni zbirki pet let od njihovega prenosa enoti za informacije o potnikih države članice, na območju katere je prihod ali odhod leta, ta direktiva omogoča – glede na to, da je popolne podatke PNR, čeprav so bili ti podatki depersonalizirani po izteku začetnega šestmesečnega obdobja z zakrivanjem nekaterih elementov podatkov, še vedno mogoče razkriti v primeru iz prejšnje točke – da se z informacijami o zasebnem življenju letalskih potnikov razpolaga za obdobje, ki ga je Sodišče že opredelilo v mnenju 1/15 (Sporazum med EU in Kanado o PNR) z dne 26. julija 2017 (EU:C:2017:592, točka 132) kot posebej dolgo.

110    Glede na to, da se zračni prevoz uporablja pogosto, je posledica takega obdobja hrambe lahko, da se podatki PNR zelo velikega dela populacije Unije večkrat shranijo v okviru sistema, vzpostavljenega z Direktivo o PNR, in da so zato v daljšem obdobju ali celo za nedoločen čas dostopni za analize, ki se opravljajo v okviru predhodnih in naknadnih ocenjevanj enote za informacije o potnikih in pristojnih organov v zvezi z osebami, ki z letalom potujejo več kot enkrat vsakih pet let.

111    Glede na vse zgornje preudarke je treba ugotoviti, da Direktiva o PNR vsebuje nedvoumno resna poseganja v pravice, zagotovljene s členoma 7 in 8 Listine, med drugim ker je namen te direktive vzpostaviti sistem stalnega, neciljnega in sistematičnega nadzora, ki vključuje avtomatizirano ocenjevanje osebnih podatkov vseh oseb, ki uporabljajo storitve letalskega prevoza.

2.      Upravičenost poseganj, ki izhajajo iz Direktive o PNR

112    Spomniti je treba, da temeljne pravice iz členov 7 in 8 Listine niso absolutne pravice, temveč jih je treba upoštevati glede na njihovo funkcijo v družbi (mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 136 in navedena sodna praksa, ter sodba z dne 6. oktobra 2020, Privacy International, C‑623/17, EU:C:2020:790, točka 63 in navedena sodna praksa).

113    V skladu s členom 52(1), prvi stavek, Listine mora biti kakršno koli omejevanje uresničevanja pravic in svoboščin, ki jih priznava Listina, predpisano z zakonom in mora spoštovati njihovo bistveno vsebino. Člen 52(1), drugi stavek, Listine pa določa, da so ob upoštevanju načela sorazmernosti omejitve teh pravic in svoboščin dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali če so potrebne zaradi zaščite pravic in svoboščin drugih oseb. V zvezi s tem člen 8(2) Listine določa, da se morajo osebni podatki obdelovati med drugim „za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom“.

114    Dodati je treba, da zahteva, da mora biti kakršno koli omejevanje uresničevanja temeljnih pravic predpisano z zakonom, pomeni, da mora biti v aktu, ki omogoča poseganje v te pravice, opredeljen obseg omejitve uresničevanja zadevne pravice, pri čemer je po eni strani treba pojasniti, da ta zahteva ne izključuje možnosti, da je zadevna omejitev oblikovana dovolj ohlapno, da se lahko prilagodi različnim primerom in spremembam položajev (glej v tem smislu sodbo z dne 26. aprila 2022, Poljska/Parlament in Svet, C‑401/19, EU:C:2022:97, točki 64 in 74 ter navedena sodna praksa), in po drugi strani, da lahko Sodišče po potrebi z razlago pojasni konkretni obseg omejitve tako glede na samo besedilo zadevne ureditve Unije kot glede na njeno splošno sistematiko in cilje, ki se z njo uresničujejo, kot se razlagajo ob upoštevanju temeljnih pravic, zagotovljenih z Listino.

115    Glede upoštevanja načela sorazmernosti je treba navesti, da varstvo temeljne pravice do spoštovanja zasebnega življenja na ravni Unije v skladu z ustaljeno sodno prakso Sodišča zahteva, da se odstopanja od varstva osebnih podatkov in njegove omejitve določijo v mejah tega, kar je nujno potrebno. Poleg tega cilja v splošnem interesu ni mogoče uresničevati brez upoštevanja dejstva, da ga je treba uskladiti s temeljnimi pravicami, na katere se nanaša ukrep, in sicer z uravnoteženjem cilja v splošnem interesu na eni strani ter zadevnih pravic na drugi strani (mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 140, in sodba z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 52 in navedena sodna praksa).

116    Natančneje, možnost držav članic, da upravičijo omejitev pravic, zagotovljenih s členoma 7 in 8 Listine, je treba presojati tako, da se oceni teža poseganja, ki ga vključuje taka omejitev, in preveri, ali je pomembnost cilja v splošnem interesu, ki se uresničuje s to omejitvijo, v sorazmerju s to težo (glej v tem smislu sodbi z dne 2. oktobra 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, točka 55 in navedena sodna praksa, ter z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 53 in navedena sodna praksa).

117    Zadevna ureditev, ki vsebuje poseganje, mora za izpolnjevanje zahteve po sorazmernosti določati jasna in natančna pravila, ki urejajo obseg in uporabo ukrepov, ki jih ta ureditev določa, ter določajo minimalne zahteve, tako da imajo osebe, katerih podatki so bili preneseni, na voljo zadostna jamstva, ki omogočajo učinkovito varovanje njihovih osebnih podatkov pred tveganji zlorabe. Zlasti mora biti v tej ureditvi navedeno, v kakšnih okoliščinah in pod katerimi pogoji je mogoče sprejeti ukrep, ki določa obdelavo takih podatkov, s čimer se tako zagotovi, da je poseganje omejeno na tisto, kar je nujno potrebno. Nujnost obstoja takih jamstev je toliko pomembnejša, če se osebni podatki obdelujejo avtomatizirano. Te ugotovitve veljajo zlasti, kadar lahko podatki PNR razkrijejo občutljive informacije o potnikih (mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 141, in sodba z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 132 in navedena sodna praksa).

118    Tako mora ureditev, ki določa hrambo osebnih podatkov, vedno ustrezati objektivnim merilom, ki vzpostavljajo povezavo med podatki, ki jih je treba hraniti, in zastavljenim ciljem (glej v tem smislu mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 191 in navedena sodna praksa, ter sodbi z dne 3. oktobra 2019, A in drugi, C‑70/18, EU:C:2019:823, točka 63, in z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 133).

a)      Spoštovanje načela zakonitosti in bistvene vsebine zadevnih temeljnih pravic

119    Omejitev uresničevanja temeljnih pravic, zagotovljenih s členoma 7 in 8 Listine, ki izhaja iz sistema, vzpostavljenega z Direktivo o PNR, je določena z zakonodajnim aktom Unije. Glede vprašanja, ali v skladu s sodno prakso, navedeno v točki 114 te sodbe, ta direktiva kot akt prava Unije, ki omogoča poseganje v te pravice, sama opredeljuje obseg omejitve uresničevanja navedenih pravic, je treba navesti, da določbe navedene direktive ter njeni prilogi I in II vsebujejo po eni strani seznam podatkov PNR in po drugi strani določajo okvir za obdelavo teh podatkov, med drugim z opredelitvijo namenov in podrobnih pravil te obdelave. Poleg tega se to vprašanje v veliki meri prekriva z vprašanjem izpolnjevanja zahteve po sorazmernosti, na katero je bilo opozorjeno v točki 117 te sodbe (glej v tem smislu sodbo z dne 16. julija 2020, Facebook Ireland in Schrems, C‑311/18, EU:C:2020:559, točka 180) in bo obravnavano v točki 125 in naslednjih te sodbe.

120    Glede spoštovanja bistvene vsebine temeljnih pravic, določenih v členih 7 in 8 Listine, je res, da lahko podatki PNR po potrebi razkrijejo zelo natančne informacije o zasebnem življenju osebe. Vendar, ker je po eni strani narava teh informacij omejena na nekatere vidike tega zasebnega življenja, ki so povezani zlasti z letalskimi potovanji te osebe, in ker po drugi strani Direktiva o PNR v členu 13(4) izrecno prepoveduje obdelavo občutljivih podatkov v smislu člena 9(1) SUVP, podatki iz te direktive sami po sebi ne omogočajo popolnega pregleda nad zasebnim življenjem osebe. Poleg tega navedena direktiva v členu 1(2) v povezavi s členom 3, točki 8 in 9, ter njeno Prilogo II omejuje namene obdelave teh podatkov. Nazadnje, ta direktiva v členih od 4 do 15 določa pravila, ki urejajo prenos, obdelavo in hrambo navedenih podatkov, ter pravila, ki so namenjena zlasti zagotavljanju varnosti, zaupnosti in celovitosti teh podatkov ter varovanju teh podatkov pred nezakonitimi dostopi in obdelavami. V teh okoliščinah poseganja, ki jih vsebuje Direktiva o PNR, ne posegajo v bistveno vsebino temeljnih pravic, določenih v členih 7 in 8 Listine.

b)      Cilj v splošnem interesu in primernost obdelav podatkov PNR glede na ta cilj

121    Glede vprašanja, ali sistem, vzpostavljen z Direktivo o PNR, uresničuje cilj v splošnem interesu, je iz uvodnih izjav 5, 6 in 15 te direktive razvidno, da je cilj te direktive zagotoviti notranjo varnost Unije ter tako zaščititi življenje in varnost oseb ter hkrati oblikovati pravni okvir, ki zagotavlja visoko raven varstva temeljnih pravic potnikov, zlasti pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, kadar podatke PNR obdelujejo pristojni organi.

122    V zvezi s tem člen 1(2) Direktive o PNR določa, da so podatki PNR, zbrani v skladu s to direktivo, lahko predmet obdelave iz člena 6(2), od (a) do (c), te direktive le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj. Ti nameni pa so nedvomno cilji v splošnem interesu Unije, s katerimi je mogoče upravičiti poseganja – tudi resna – v temeljne pravice, določene v členih 7 in 8 Listine (glej v tem smislu sodbo z dne 8. aprila 2014, Digital Rights Ireland in drugi, C‑293/12 in C‑594/12, EU:C:2014:238, točka 42, in mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točki 148 in 149).

123    V zvezi s primernostjo sistema, vzpostavljenega z Direktivo o PNR, da se uresničijo želeni cilji, je treba ugotoviti, da lahko možnost „lažno negativnih“ rezultatov in precejšnje število „lažno pozitivnih“ rezultatov, ki so bili, kot je bilo navedeno v točki 106 te sodbe, pridobljeni na podlagi avtomatiziranih obdelav, določenih s to direktivo, v letih 2018 in 2019, sicer lahko omejita primernost tega sistema, vendar zaradi tega sistem ni neprimeren za prispevanje k uresničevanju cilja boja proti terorističnim in hudim kaznivim dejanjem. Kot je namreč razvidno iz delovnega dokumenta Komisije, navedenega v točki 106 te sodbe, so avtomatizirane obdelave, izvedene na podlagi navedene direktive, dejansko že omogočile identifikacijo letalskih potnikov, ki so pomenili tveganje v okviru boja proti terorističnim in hudim kaznivim dejanjem.

124    Poleg tega je glede na stopnjo napake, ki je neločljivo povezana z avtomatizirano obdelavo podatkov PNR, in zlasti glede na precejšnje število „lažno pozitivnih“ rezultatov, primernost sistema, vzpostavljenega z Direktivo o PNR, odvisna predvsem od pravilnega delovanja naknadnega preverjanja rezultatov, pridobljenih na podlagi teh obdelav, z neavtomatiziranimi sredstvi, kar je v skladu s to direktivo naloga, ki jo ima enota za informacije o potnikih. Določbe, ki jih za to določa navedena direktiva, torej prispevajo k uresničitvi teh ciljev.

c)      Nujnost poseganj, ki izhajajo iz Direktive o PNR 

125    V skladu s sodno prakso, navedeno v točkah od 115 do 118 te sodbe, je treba preveriti, ali so poseganja, ki izhajajo iz Direktive o PNR, omejena na tisto, kar je nujno potrebno, in zlasti, ali ta direktiva določa jasna in natančna pravila, ki urejajo obseg in uporabo ukrepov, ki jih ta direktiva določa, ter ali sistem, vzpostavljen z navedeno direktivo, vedno izpolnjuje objektivna merila, ki vzpostavljajo povezavo med podatki PNR, ki so tesno povezani z rezervacijo in uresničevanjem letalskih potovanj, ter cilji, ki jih ta direktiva uresničuje, in sicer bojem proti terorističnim in hudim kaznivim dejanjem.

1)      Podatki o letalskih potnikih, na katere se nanaša Direktiva o PNR

126    Presoditi je treba, ali rubrike s podatki iz Priloge I k Direktivi o PNR jasno in natančno opredeljujejo podatke PNR, ki jih mora letalski prevoznik posredovati enoti za informacije o potnikih.

127    Najprej je treba opozoriti, da je zakonodajalec Unije, kot je razvidno iz uvodne izjave 15 Direktive o PNR, želel, da se seznam podatkov PNR, ki naj bi jih pridobila enota za informacije o potnikih, oblikuje tako, „da bi se upoštevale upravičene zahteve javnih organov za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih ali hudih kaznivih dejanj, s čimer bi se izboljšala notranja varnost v Uniji in zaščitile temeljne pravice, zlasti pravica do zasebnosti in varstva osebnih podatkov“. Natančneje, v skladu z isto uvodno izjavo bi ti podatki „morali vsebovati zgolj podrobnosti o rezervacijah in načrtih potovanja potnikov, ki pristojnim organom omogočajo identifikacijo letalskih potnikov, ki predstavljajo grožnjo notranji varnosti“. Poleg tega Direktiva o PNR v členu 13(4), prvi stavek, prepoveduje „obdelavo podatkov PNR, ki razkrivajo raso ali etnično poreklo osebe, njena politična mnenja, versko ali filozofsko prepričanje, članstvo v sindikatu, zdravstveno stanje, spolno življenje ali spolno usmerjenost“.

128    Zato morajo biti podatki PNR, zbrani in posredovani v skladu s Prilogo I k Direktivi o PNR, v neposredni zvezi z opravljenim letom in zadevnim potnikom ter morajo biti omejeni tako, da po eni strani izpolnjujejo le legitimne zahteve javnih organov za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih ali hudih kaznivih dejanj ter po drugi strani izključujejo občutljive podatke.

129    Rubrike od 1 do 4, 7, 9, 11, 15, 17, in 19 Priloge I k Direktivi o PNR pa izpolnjujejo te zahteve ter zahtevi po jasnosti in natančnosti, ker se nanašajo na jasno opredeljive in omejene informacije, neposredno povezane z opravljenim letom in zadevnim potnikom. Kot je generalni pravobranilec navedel v točki 165 sklepnih predlogov, to – ne glede na njihovo ohlapno besedilo – velja tudi za rubrike 10, 13, 14 in 16.

130    Treba pa je dati pojasnila za razlago rubrik 5, 6, 8, 12 in 18.

131    Glede rubrike 5, ki se nanaša na „[n]aslov in kontaktn[e] podatk[e] (telefonska številka, naslov elektronske pošte)“ je treba navesti, da v tej rubriki ni izrecno navedeno, ali se navedeni naslov in navedeni kontaktni podatki nanašajo le na letalskega potnika ali tudi na tretje osebe, ki so rezervirale let za letalskega potnika, tretje osebe, prek katerih je mogoče doseči letalskega potnika, ali celo tretje osebe, ki jih je treba obvestiti v nujnih primerih. Vendar kot je generalni pravobranilec v bistvu navedel v točki 162 sklepnih predlogov, ob upoštevanju zahtev po jasnosti in natančnosti te rubrike ni mogoče razlagati tako, da implicitno dovoljuje tudi zbiranje in pošiljanje osebnih podatkov takih tretjih oseb. Zato je treba navedeno rubriko razlagati tako, da se nanaša le na poštni naslov in kontaktne podatke, in sicer telefonsko številko in naslov elektronske pošte letalskega potnika, na ime katerega je opravljena rezervacija.

132    Glede rubrike 6, ki se nanaša na „[vse] podatk[e] o načinu plačila, vključno z naslovom za izstavitev računa“, je treba navesti, da jo je treba, da bi se zadostilo zahtevama po jasnosti in natančnosti, razlagati tako, da se ta rubrika nanaša le na informacije o načinu plačila in zaračunavanju letalske vozovnice, pri čemer so izključene vse druge informacije, ki niso neposredno povezane z letom (glej po analogiji mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 159).

133    Glede rubrike 8, ki se nanaša na „[i]nformacije v zvezi s programi za pogoste potnike“, je treba navesti, da jo je treba razlagati, kot je generalni pravobranilec navedel v točki 164 sklepnih predlogov, tako, da se nanaša izključno na podatke v zvezi s statusom zadevnega potnika v okviru programa zvestobe določene letalske družbe ali skupine letalskih družb ter na identifikacijsko številko tega potnika kot pogostega potnika. Rubrika 8 torej ne omogoča zbiranja informacij o transakcijah, s katerimi je bil ta status pridobljen.

134    Glede rubrike 12 je treba navesti, da se ta nanaša na „[s]plošne opombe (vključno z vsemi razpoložljivimi informacijami o mladoletnikih brez spremstva, mlajših od 18 let, kot so ime in spol, starost, znanje jezikov, ime in kontaktni podatki skrbnika pri odhodu ter sorodstveno razmerje z mladoletnikom, ime in kontaktni podatki skrbnika pri prihodu in sorodstveno razmerje z mladoletnikom, podatki o zastopniku ob odhodu in prihodu)“.

135    V zvezi s tem je treba najprej navesti, da izraz „splošne opombe“ sicer ne izpolnjuje zahtev po jasnosti in natančnosti, ker kot tak ne določa nobene omejitve glede narave in obsega informacij, ki jih je mogoče na podlagi rubrike 12 zbrati in posredovati enoti za informacije o potnikih (glej v tem smislu mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 160), vendar seznam med oklepaji ti zahtevi izpolnjuje.

136    Zato je treba, da bi se rubriko 12 na podlagi sodne prakse, navedene v točki 86 te sodbe, razlagalo skladno z zahtevama po jasnosti in natančnosti ter, splošneje, s členoma 7 in 8 ter členom 52(1) Listine, šteti, da sta dopustni le zbiranje in posredovanje podatkov, ki so izrecno našteti v tej rubriki, in sicer ime in spol mladoletnega letalskega potnika, starost, znanje jezikov, ime in kontaktni podatki skrbnika pri odhodu ter sorodstveno razmerje z mladoletnikom, ime in kontaktni podatki skrbnika pri prihodu in sorodstveno razmerje z mladoletnikom, podatki o zastopniku ob odhodu in prihodu.

137    Nazadnje, glede rubrike 18 je treba navesti, da se ta nanaša na „[v]se zbrane predhodne podatke o potnikih (API) (vključno z vrsto, številko, državo izdaje in datumom izteka veljavnosti osebnega dokumenta, državljanstvom, priimkom, imenom, spolom, datumom rojstva, letalskim prevoznikom, številko leta, datumom odhoda, datumom prihoda, letališčem odhoda, letališčem prihoda, časom odhoda in časom prihoda)“.

138    Kot je generalni pravobranilec v bistvu navedel v točkah od 156 do 160 sklepnih predlogov, je iz te rubrike 18 v povezavi z uvodnima izjavama 4 in 9 Direktive o PNR razvidno, da so informacije, na katere se ta rubrika nanaša, v celoti podatki API, našteti v navedeni rubriki in v členu 3(2) Direktive o API.

139    Tako je mogoče šteti, da rubrika 18, če se razlaga tako, da zajema le informacije, ki so izrecno navedene v tej rubriki in v navedenem členu 3(2) Direktive o API, izpolnjuje zahtevi po jasnosti in natančnosti (glej po analogiji mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 161).

140    Zato je treba ugotoviti, da je Priloga I k Direktivi o PNR, razlagana v skladu s preudarki, navedenimi zlasti v točkah od 130 do 139 te sodbe, v celoti dovolj jasna in natančna ter tako razmejuje obseg poseganja v temeljne pravice, določene v členih 7 in 8 Listine.

2)      Nameni obdelav podatkov PNR

141    Kot je razvidno iz člena 1(2) Direktive o PNR, je namen obdelav podatkov PNR, zbranih v skladu s to direktivo, boj proti „terorističnim“ in „hudim kaznivim dejanjem“.

142    Glede vprašanja, ali Direktiva o PNR na tem področju določa jasna in natančna pravila, ki uporabo sistema, vzpostavljenega s to direktivo, omejujejo na to, kar je nujno potrebno za te namene, je treba po eni strani navesti, da je izraz „teroristično kaznivo dejanje“ opredeljen v členu 3, točka 8, navedene direktive s sklicevanjem na „kaznivo dejanje po nacionalnem pravu iz členov 1 do 4 Okvirnega sklepa [2002/475]“.

143    Poleg tega, da so bila v členih od 1 do 3 tega okvirnega sklepa jasno in natančno opredeljena „teroristično kaznivo dejanje“, „kazniva dejanja v povezavi s teroristično skupino“ in „kazniva dejanja, povezana s terorističnimi dejavnostmi“, ki so jih morale države članice na podlagi navedenega okvirnega sklepa opredeliti kot kazniva dejanja, pa so ta ista kazniva dejanja prav tako jasno in natančno opredeljena v členih od 3 do 14 Direktive (EU) 2017/541 Evropskega parlamenta in Sveta z dne 15. marca 2017 o boju proti terorizmu in nadomestitvi Okvirnega sklepa Sveta 2002/475/PNZ ter o spremembi Sklepa Sveta 2005/671/PNZ (UL 2017, L 88, str. 6).

144    Po drugi strani je v členu 3, točka 9, Direktive o PNR pojem „hudo kaznivo dejanje“ opredeljen s sklicevanje na „kazniva dejanja iz Priloge II [te direktive], ki se po nacionalnem pravu države članice kaznujejo z zaporno kaznijo oziroma ukrepom odvzema prostosti z najvišjo zagroženo kaznijo najmanj treh let“.

145    V tej prilogi so tako najprej izčrpno naštete različne kategorije kaznivih dejanj, ki lahko spadajo med „hudo kaznivo dejanje“ iz člena 3, točka 9, Direktive o PNR.

146    Dalje, ob upoštevanju posebnosti, ki so jih ob sprejetju navedene direktive imeli kazenski sistemi držav članic zaradi neobstoja harmonizacije tako navedenih kaznivih dejanj, je zakonodajalec Unije lahko določil le kategorije kaznivih dejanj, ne da bi opredelil njihove elemente, in to še toliko bolj, ker so ti elementi nujno opredeljeni v nacionalnem pravu, na katero napotuje člen 3, točka 9, Direktive o PNR, saj morajo države članice upoštevati načelo zakonitosti v kazenskem pravu kot del skupne vrednote, ki si jo delijo z Unijo, in sicer pravne države iz člena 2 PEU (glej po analogiji sodbo z dne 16. februarja 2022, Madžarska/Parlament in Svet, C‑156/21, EU:C:2022:97, točke 136, 160 in 234), ki je načelo, ki je poleg tega določeno v členu 49(1) Listine in ki ga morajo države članice upoštevati pri prenosu akta Unije, kot je Direktiva o PNR (glej v tem smislu sodbo z dne 10. novembra 2011, QB, C‑405/10, EU:C:2011:722, točka 48 in navedena sodna praksa). Tako je treba tudi glede na običajni pomen izrazov, uporabljenih v tej prilogi, šteti, da so v tej prilogi kazniva dejanja, ki lahko pomenijo hudo kaznivo dejanje, dovolj jasno in natančno določena.

147    Res je, da se točke 7, 8, 10 in 16 Priloge II nanašajo na kategorije zelo splošnih kaznivih dejanj (goljufija, pranje premoženjske koristi, pridobljene s kaznivim dejanjem, in ponarejanje denarja, kazniva dejanja zoper okolje, nedovoljena trgovina s kulturnimi dobrinami), vendar je v teh točkah vseeno naveden sklic na posebna kazniva dejanja, ki spadajo v te splošne kategorije. Za zagotovitev zadostne natančnosti, ki se zahteva tudi s členom 49 Listine, je treba te točke razlagati tako, da se nanašajo na navedena kazniva dejanja, kot so opredeljena v nacionalnem pravu in/ali pravu Unije na tem področju. Če se te točke razlagajo tako, se lahko šteje, da izpolnjujejo zahtevi jasnosti in natančnosti.

148    Nazadnje je treba še opozoriti, da je v skladu z načelom sorazmernosti s ciljem boja proti hudim kaznivim dejanjem sicer mogoče upravičiti resno poseganje, ki ga vsebuje Direktiva o PNR, v temeljne pravice, zagotovljene s členoma 7 in 8 Listine, vendar to ne velja za cilj boja proti kaznivim dejanjem na splošno, saj se lahko z zadnjenavedenim ciljem upraviči le poseganja, ki niso resna (glej po analogiji sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 59 in navedena sodna praksa). Tako mora ta direktiva z jasnimi in natančnimi pravili zagotoviti, da je uporaba sistema, vzpostavljenega z navedeno direktivo, omejena le na kazniva dejanja, ki spadajo med huda kazniva dejanja, in zato izključuje tista kazniva dejanja, ki spadajo med splošna kazniva dejanja.

149    V zvezi s tem, kot je generalni pravobranilec navedel v točki 121 sklepnih predlogov, je veliko kaznivih dejanj iz Priloge II k Direktivi o PNR – kot so trgovina z ljudmi, spolno izkoriščanje otrok in otroška pornografija, nedovoljena trgovina z orožjem, strelivom in razstrelivi, pranje denarja, računalniška kriminaliteta/kibernetska kriminaliteta, nedovoljena trgovina s človeškimi organi in tkivi, nedovoljena trgovina z mamili in psihotropnimi snovmi, nedovoljena trgovina z jedrskimi ali radioaktivnimi snovmi, ugrabitev letala ali plovila, kazniva dejanja v pristojnosti Mednarodnega kazenskega sodišča, umor, posilstvo, ugrabitev, protipraven odvzem prostosti in jemanje talcev – po svoji naravi nedvomno hudih.

150    Poleg tega, čeprav je druga kazniva dejanja, ki so prav tako navedena v Prilogi II, a priori težje povezati s hudimi kaznivimi dejanji, pa iz samega besedila člena 3, točka 9, Direktive o PNR izhaja, da je mogoče ta kazniva dejanja šteti za hudo kaznivo dejanje le, če se po nacionalnem pravu zadevne države članice kaznujejo z zaporno kaznijo oziroma ukrepom odvzema prostosti z najvišjo zagroženo kaznijo najmanj treh let. Zahteve iz te določbe, ki se nanašajo na naravo in težo kazni, ki se uporabi, so načeloma takšne, da lahko omejijo uporabo sistema, vzpostavljenega z navedeno direktivo, na dovolj resna kazniva dejanja, da lahko upravičijo poseganje v temeljne pravice, določene v členih 7 in 8 Listine, ki izhaja iz sistema, vzpostavljenega s to direktivo.

151    Ker pa se člen 3, točka 9, Direktive o PNR ne nanaša na najnižjo možno zagroženo kazen, temveč na najvišjo možno zagroženo kazen, je izključeno, da se podatki PNR lahko obdelujejo zaradi boja proti kaznivim dejanjem, ki – čeprav izpolnjujejo merilo iz te določbe v zvezi s pragom teže – ob upoštevanju posebnosti nacionalnega kazenskega sistema ne spadajo med huda kazniva dejanja, ampak med splošna kazniva dejanja.

152    Države članice morajo torej zagotoviti, da je uporaba sistema, vzpostavljenega z Direktivo o PNR, dejansko omejena na boj proti hudim kaznivim dejanjem in da se ta sistem ne razširja na kazniva dejanja, ki spadajo med splošna kazniva dejanja.

3)      Povezava med podatki PNR in nameni obdelave teh podatkov

153    Res je, kot je generalni pravobranilec v bistvu navedel v točki 119 sklepnih predlogov, da se besedili člena 3, točka 8, in člena 3, točka 9, Direktive o PNR v povezavi s Prilogo II k tej direktivi ne sklicujeta izrecno na merilo, ki bi lahko omejilo področje uporabe te direktive le na kazniva dejanja, ki bi lahko bila zaradi svoje narave vsaj posredno povezana z letalskimi potovanji in zato s kategorijami podatkov, ki se prenašajo, obdelujejo in shranjujejo v skladu z navedeno direktivo.

154    Vendar, kot je generalni pravobranilec navedel v točki 121 sklepnih predlogov, so nekatera kazniva dejanja iz Priloge II k Direktivi o PNR – kot so trgovina z ljudmi, nedovoljena trgovina z mamili ali orožjem, pomoč pri nezakonitem vstopu v državo in bivanju v njej ali celo ugrabitev letala – že po svoji naravi lahko neposredno povezana z letalskim prevozom potnikov. Enako velja za nekatera teroristična kazniva dejanja, kot so povzročanje znatnega uničenja transportnega sistema ali infrastrukture ali ugrabitev letal, kar so kazniva dejanja iz člena 1(1)(d) in (e) Okvirnega sklepa 2002/475, na katerega napotuje člen 3, točka 8, Direktive o PNR, ali potovanja za namen terorizma ter organiziranje ali omogočanje takih potovanj, kar so kazniva dejanja iz členov 9 in 10 Direktive 2017/541.

155    V tem okviru je treba tudi opozoriti, da je Komisija obrazložila svoj predlog direktive Evropskega parlamenta in Sveta o uporabi podatkov iz evidence podatkov o potnikih za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj z dne 2. februarja 2011 (COM(2011) 32 final), na podlagi katerega je bila sprejeta Direktiva o PNR, tako, da je poudarila, da so „[t]eroristični napadi v Združenih državah leta 2001, ponesrečeni teroristični napad avgusta 2006, ki je bil namenjen razstrelitvi več letal na poti iz Združenega kraljestva v Združene države, in poskus terorističnega napada na letu iz Amsterdama v Detroit decembra 2009 […] pokazali sposobnost teroristov za izvajanje napadov, osredotočenih na mednarodne lete, v kateri koli državi“ in da je „[v]ečina terorističnih dejavnosti […] mednarodnega značaja in njihov sestavni del so mednarodna potovanja[…], med drugim v tabore za urjenje teroristov zunaj EU“. Poleg tega se je Komisija, da bi utemeljila potrebo po analizi podatkov PNR za namene boja proti hudim kaznivim dejanjem, kot primer sklicevala na primer skupine tihotapcev, ki je za namene trgovine z ljudmi predložila ponarejene dokumente za prijavo na let, in na primer mreže trgovine z ljudmi in prepovedanimi drogami, ki je za uvoz drog v več delov Evrope uporabljala osebe, ki so bile tudi same žrtve trgovine z ljudmi, in tem osebam kupila letalske vozovnice z ukradenimi kreditnimi karticami. Vsi ti primeri so se tako nanašali na kazniva dejanja, ki so neposredno povezana z letalskim prevozom potnikov, saj je šlo za kazniva dejanja, katerih tarča je bil letalski prevoz potnikov, in kazniva dejanja, storjena med letalskim potovanjem ali z njim.

156    Poleg tega je treba ugotoviti, da so lahko tudi kazniva dejanja, ki nimajo take neposredne zveze z letalskim prevozom potnikov, glede na okoliščine primera posredno povezana z letalskim prevozom potnikov. To zlasti velja, kadar je zračni prevoz sredstvo za pripravo takih kaznivih dejanj ali za izognitev kazenskemu pregonu po njihovi storitvi. Kazniva dejanja, ki nimajo nobene objektivne, niti posredne, povezave z letalskim prevozom potnikov, pa ne morejo upravičiti uporabe sistema, vzpostavljenega z Direktivo o PNR.

157    V teh okoliščinah člen 3, točki 8 in 9, te direktive v povezavi s Prilogo II k tej direktivi in ob upoštevanju zahtev iz členov 7 in 8 ter člena 52(1) Listine od držav članic zahteva, da zlasti pri posamičnem pregledu z neavtomatiziranimi sredstvi iz člena 6(5) navedene direktive zagotovijo, da je uporaba sistema, vzpostavljenega s to direktivo, omejena na teroristična kazniva dejanja in samo na huda kazniva dejanja, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov.

4)      Zadevni letalski potniki in leti

158    Sistem, vzpostavljen z Direktivo o PNR, zajema podatke PNR o vseh osebah, ki ustrezajo pojmu „potnik“ v smislu člena 3, točka 4, te direktive in so na letih, ki spadajo na področje uporabe te direktive.

159    V skladu s členom 8(1) navedene direktive se ti podatki posredujejo enoti za informacije o potnikih države članice, na ozemlju katere je prihod ali odhod leta, ne glede na kakršen koli objektivni element, na podlagi katerega bi bilo mogoče sklepati, da bi zadevni potniki lahko pomenili tveganje za sodelovanje pri terorističnem ali hudem kaznivem dejanju. Vendar so tako posredovani podatki med drugim predmet avtomatizirane obdelave v okviru predhodnega ocenjevanja na podlagi člena 6(2)(a) in (3) Direktive o PNR, pri čemer je namen tega ocenjevanja, kot je razvidno iz uvodne izjave 7 te direktive, identificirati osebe, ki pred takim ocenjevanjem niso bile osumljene sodelovanja pri terorističnih ali hudih kaznivih dejanjih in ki bi jih pristojni organi morali podrobneje preveriti.

160    Natančneje, iz člena 1(1)(a) in člena 2 Direktive o PNR je razvidno, da ta direktiva razlikuje med potniki na letih zunaj EU, opravljenih med Unijo in tretjimi državami, in potniki na letih znotraj EU, opravljenih med različnimi državami članicami.

161    V zvezi s potniki na letih zunaj EU je treba opozoriti, da je Sodišče v zvezi s potniki na letih med Unijo in Kanado že razsodilo, da avtomatizirana obdelava njihovih podatkov PNR pred prihodom v Kanado olajšuje in pospešuje varnostne preglede, zlasti na mejah. Poleg tega bi lahko izključitev nekaterih kategorij oseb ali nekaterih območij izvora ovirala uresničevanje cilja avtomatizirane obdelave podatkov PNR, torej da se s preverjanjem teh podatkov identificirajo osebe, ki lahko pomenijo tveganje za javno varnost, med vsemi letalskimi potniki, in bi lahko omogočila izognitev temu preverjanju (glej v tem smislu mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 187).

162    Te preudarke pa je mogoče mutatis mutandis uporabiti za položaj potnikov na letih med Unijo in vsemi tretjimi državami, za katere morajo države članice v skladu s členom 1(1)(a) te direktive v povezavi s členom 3, točki 2 in 4, navedene direktive uporabiti sistem, vzpostavljen z Direktivo o PNR. Prenosa in predhodnega ocenjevanja podatkov PNR o letalskih potnikih, ki vstopajo v Unijo ali iz nje izstopajo, namreč ob upoštevanju same narave groženj javni varnosti, ki lahko izhajajo iz terorističnih in hudih kaznivih dejanj, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov med Unijo in tretjimi državami, ni mogoče omejiti na določen krog letalskih potnikov. Tako je treba šteti, da obstaja potrebno razmerje med temi podatki in ciljem boja proti takim kaznivim dejanjem, tako da Direktiva o PNR zgolj zato, ker državam članicam nalaga sistematičen prenos in sistematično predhodno ocenjevanje podatkov PNR o vseh teh potnikih, ne presega meja tega, kar je nujno potrebno.

163    V zvezi s potniki na letih med različnimi državami članicami Unije je treba navesti, da člen 2(1) Direktive o PNR v povezavi z njeno uvodno izjavo 10 določa le možnost držav članic, da razširijo uporabo sistema, vzpostavljenega s to direktivo, na lete znotraj EU.

164    Zakonodajalec Unije tako ni želel državam članicam naložiti obveznosti razširitve uporabe sistema, vzpostavljenega z Direktivo o PNR, na lete znotraj EU, temveč si je, kot je razvidno iz člena 19(3) te direktive, odločitev o taki razširitvi pridržal, pri čemer je menil, da bi morala biti pred to odločitvijo opravljena podrobna presoja pravnih posledic takšne razširitve, zlasti za temeljne pravice zadevnih oseb.

165    V zvezi s tem je treba ugotoviti, da je v členu 19(3) Direktive o PNR s tem, da je navedeno, da poročilo o pregledu Komisije iz člena 19(1) te direktive „vključuje tudi pregled nujnosti, sorazmernosti in učinkovitosti vključitve obveznega zbiranja in prenosa podatkov PNR o vseh ali določenih letih znotraj EU v področje uporabe te direktive“ in da mora Komisija pri tem upoštevati „izkušnje, ki so jih pridobile države članice, zlasti tiste, ki uporabljajo to direktivo za lete znotraj EU v skladu s členom 2“, poudarjeno, da po mnenju zakonodajalca Unije sistema, vzpostavljenega z navedeno direktivo, ni treba nujno razširiti na vse lete znotraj EU.

166    Podobno člen 2(3) Direktive o PNR določa, da se lahko države članice odločijo, da bodo to direktivo uporabljale le za izbrane lete znotraj EU, če menijo, da je to potrebno za uresničevanje ciljev navedene direktive, pri čemer lahko kadar koli spremenijo izbiro teh letov.

167    Vsekakor je treba možnost držav članic, da razširijo uporabo sistema, vzpostavljenega z Direktivo o PNR, na lete znotraj EU, izvajati, kot je razvidno iz njene uvodne izjave 22, ob popolnem spoštovanju temeljnih pravic, zagotovljenih v členih 7 in 8 Listine. V zvezi s tem morajo države članice v skladu z uvodno izjavo 19 navedene direktive sicer oceniti grožnje, povezane s terorističnimi in hudimi kaznivimi dejanji, vendar se za izvajanje te možnosti zahteva, da države članice pri tem ocenjevanju ugotovijo obstoj grožnje v zvezi s takimi kaznivimi dejanji, ki lahko upraviči uporabo te direktive tudi za lete znotraj EU.

168    V teh okoliščinah mora država članica, kadar želi uporabiti možnost iz člena 2 Direktive o PNR, bodisi za vse lete znotraj EU v skladu z odstavkom 2 tega člena bodisi samo za izbrane lete v skladu z odstavkom 3 navedenega člena, vseeno preveriti, ali je razširitev uporabe te direktive na vse ali del letov znotraj EU dejansko potrebna in sorazmerna za uresničitev cilja iz člena 1(2) navedene direktive.

169    Tako mora takšna država članica ob upoštevanju uvodnih izjav od 5 do 7, 10 in 22 Direktive o PNR preveriti, ali so obdelave, določene s to direktivo, glede podatkov PNR o potnikih na letih znotraj EU ali izbranih letih nujno potrebne za zagotovitev notranje varnosti Unije ali vsaj za zagotovitev notranje varnosti navedene države članice ter s tem za zaščito življenja in varnosti oseb glede na resnost poseganja v temeljne pravice, zagotovljene s členoma 7 in 8 Listine.

170    Zlasti glede groženj, povezanih s terorističnimi dejanji, iz sodne prakse Sodišča izhaja, da so teroristične dejavnosti med tistimi, ki lahko resno destabilizirajo temeljne ustavne, politične, gospodarske ali družbene strukture države in zlasti neposredno ogrozijo družbo, prebivalstvo ali državo kot tako, ter da je glavni interes vsake države članice preprečiti in kaznovati te dejavnosti za zaščito bistvenih funkcij države in temeljnih interesov nacionalne varnosti. Take grožnje se po svoji naravi, posebni resnosti in posebnosti okoliščin, ki jih sestavljajo, razlikujejo od splošnega in stalnega tveganja hudih kaznivih dejanj (glej v tem smislu sodbi z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točki 135 in 136, in z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točki 61 in 62).

171    Tako v položaju, v katerem se na podlagi ocenjevanja, ki ga opravi država članica, ugotovi, da obstajajo dovolj konkretne okoliščine, zaradi katerih je mogoče šteti, da se ta država članica spopada s teroristično grožnjo, ki se izkaže za resnično in sedanjo ali predvidljivo, dejstvo, da ta država članica na podlagi člena 2(1) Direktive o PNR določi uporabo te direktive za vse lete znotraj EU, ki prihajajo iz navedene države članice ali so vanjo namenjeni, za omejeno obdobje, ne presega meja tega, kar je nujno potrebno. Zaradi obstoja take grožnje same po sebi se namreč lahko vzpostavi povezava med prenosom in obdelavo zadevnih podatkov na eni strani ter bojem proti terorizmu na drugi strani (glej po analogiji sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 137).

172    Mora biti mogoče, da je odločba, ki določa to uporabo, predmet učinkovitega nadzora sodišča ali neodvisnega upravnega organa, katerega odločitev je zavezujoča, da se preveri obstoj tega položaja ter spoštovanje pogojev in jamstev, ki morajo biti določeni. Obdobje uporabe mora biti tudi časovno omejeno na tisto, kar je nujno potrebno, vendar ga je v primeru nadaljnjega obstoja te grožnje mogoče podaljšati (glej po analogiji sodbi z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 168, in z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 58).

173    Ob neobstoju resnične in sedanje ali predvidljive teroristične grožnje, s katero bi se spopadala zadevna država članica, pa ni mogoče šteti, da je uporaba sistema, vzpostavljenega z Direktivo o PNR, brez razlikovanja s strani te države članice ne le za lete zunaj EU, ampak tudi za vse lete znotraj EU, omejena na tisto, kar je nujno potrebno.

174    V takem položaju mora biti uporaba sistema, vzpostavljenega z Direktivo o PNR, za izbrane lete znotraj EU omejena na prenos in obdelavo podatkov PNR o letih, ki se med drugim nanašajo na nekatere letalske povezave, določene potovalne načrte ali celo na nekatera letališča, za katera obstajajo indici, ki lahko upravičijo to uporabo. Zadevna država članica mora v takem položaju lete znotraj EU izbrati glede na rezultate presoje, ki jo mora opraviti na podlagi zahtev, navedenih v točkah od 163 do 169 te sodbe, in to presojo redno pregledovati glede na razvoj okoliščin, ki so utemeljevale njihovo izbiro, da se zagotovi, da je uporaba sistema, vzpostavljenega z navedeno direktivo, za lete znotraj EU vedno omejena na tisto, kar je nujno potrebno.

175    Iz zgornjih preudarkov izhaja, da je s tako sprejeto razlago člena 2 in člena 3, točka 4, Direktive o PNR ob upoštevanju člena 7 in 8 ter člen 52(1) Listine mogoče zagotoviti, da te določbe spoštujejo meje tega, kar je nujno potrebno.

5)      Predhodno ocenjevanje podatkov PNR z avtomatiziranimi obdelavami

176    V skladu s členom 6(2)(a) Direktive o PNR je namen predhodnega ocenjevanja, ki ga določa, identificirati osebe, ki jih morajo med drugim pristojni organi iz člena 7 te direktive podrobneje preveriti glede na dejstvo, da bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju.

177    To predhodno ocenjevanje se izvaja v dveh fazah. Enota za informacije o potnikih zadevne države članice v skladu s členom 6(3) Direktive o PNR najprej opravi avtomatizirano obdelavo podatkov PNR tako, da jih primerja s podatkovnimi zbirkami ali glede na vnaprej določena merila. Če te avtomatizirane obdelave privedejo do zadetka (hit), nato navedena enota v skladu s členom 6(5) te direktive izvede posamičen pregled z neavtomatiziranimi sredstvi, da se preveri, ali morajo pristojni organi iz člena 7 navedene direktive ukrepati v skladu z nacionalnim pravom (match).

178    Kot pa je bilo opozorjeno v točki 106 te sodbe, avtomatizirane obdelave nujno vključujejo precejšnjo stopnjo napak, saj se izvajajo na podlagi nepreverjenih osebnih podatkov in temeljijo na vnaprej določenih merilih.

179    V teh okoliščinah in ob upoštevanju potrebe, izpostavljene v četrti uvodni izjavi preambule Listine, da se glede na, med drugim, znanstveni in tehnični razvoj okrepi varstvo temeljnih pravic, je treba zagotoviti, kot je navedeno v uvodni izjavi 20 in členu 7(6) Direktive o PNR, da pristojni organi izključno na podlagi avtomatizirane obdelave podatkov PNR ne smejo sprejeti nobene odločitve, ki bi imela za osebo negativne pravne posledice ali bi nanjo znatneje vplivala. Poleg tega lahko v skladu s členom 6(6) te direktive enota za informacije o potnikih sama prenese podatke PNR na te organe šele po posamičnem pregledu z neavtomatiziranimi sredstvi. Nazadnje, poleg teh preverjanj, ki jih morajo opraviti enota za informacije o potnikih in pristojni organi sami, mora biti omogočeno, da zakonitost celotne avtomatizirane obdelave nadzorujejo pooblaščena oseba za varstvo podatkov, nacionalni nadzorni organ na podlagi člena 6(7) oziroma člena 15(3)(b) navedene direktive ter nacionalna sodišča v okviru sodnega varstva iz člena 13(1) te direktive.

180    Kot je generalni pravobranilec v bistvu navedel v točki 207 sklepnih predlogov, pa morajo imeti nacionalni nadzorni organ, pooblaščena oseba za varstvo podatkov in enota za informacije o potnikih materialna sredstva in osebje, potrebna za izvajanje nadzora, ki ga morajo opraviti v skladu z Direktivo o PNR. Poleg tega je pomembno, da so z nacionalno ureditvijo, s katero je bila ta direktiva prenesena v nacionalno pravo in ki dovoljuje avtomatizirano obdelavo, ki jo ta direktiva določa, določena jasna in natančna pravila, ki urejajo določitev podatkovnih zbirk, in merila za analizo, ki se uporabijo, ne da bi bilo mogoče za predhodno ocenjevanje uporabiti druge metode, ki niso izrecno določene v členu 6(2) te direktive.

181    Poleg tega iz člena 6(9) Direktive o PNR izhaja, da posledice predhodnega ocenjevanja na podlagi člena 6(2)(a) te direktive ne ogrožajo pravice do vstopa oseb, ki uživajo pravico do prostega gibanja, na ozemlje zadevne države članice, kot je določeno v Direktivi 2004/38, in morajo prav tako spoštovati Uredbo št. 562/2006. Tako sistem, vzpostavljen z Direktivo o PNR, pristojnim organom ne omogoča, da to pravico omejijo prek tega, kar je določeno v Direktivi 2004/38 in Uredbi št. 562/2006.

i)      Primerjanje podatkov PNR s podatkovnimi zbirkami

182    V skladu s členom 6(3)(a) Direktive o PNR „lahko“ enota za informacije o potnikih pri izvajanju ocenjevanja iz člena 6(2)(a) te direktive primerja podatke PNR s „podatkovnimi zbirkami, ki so pomembne“ za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj, „vključno s podatkovnimi zbirkami o osebah ali predmetih, ki so iskani ali so zanje razpisani ukrepi, v skladu s pravili Unije ter mednarodnimi in nacionalnimi pravili, ki veljajo za takšne podatkovne zbirke“.

183    Iz samega besedila tega člena 6(3)(a) Direktive o PNR, zlasti iz izraza „vključno“, sicer izhaja, da so podatkovne zbirke o osebah ali predmetih, ki so iskani ali so zanje razpisani ukrepi, med „podatkovnimi zbirkami, ki so pomembne“, iz te določbe, vendar v tej določbi ni določeno, katere druge podatkovne zbirke bi bilo prav tako mogoče šteti za „pomembne“ glede na cilje te direktive. Kot je namreč generalni pravobranilec navedel v točki 217 sklepnih predlogov, navedena določba ne določa izrecno narave podatkov, ki jih je mogoče vključiti v take zbirke, in njihovo povezavo s temi cilji, niti ne določa, ali je treba podatke PNR primerjati izključno s podatkovnimi zbirkami, ki jih upravljajo javni organi, ali pa jih je mogoče primerjati tudi s podatkovnimi zbirkami, ki jih upravljajo zasebniki.

184    V teh okoliščinah bi bilo mogoče člen 6(3)(a) Direktive o PNR na prvi pogled razlagati tako, da se podatki PNR lahko uporabijo kot zgolj iskalna merila za izvajanje analiz na podlagi različnih podatkovnih zbirk, vključno s podatkovnimi zbirkami, ki jih obveščevalno-varnostne agencije držav članic upravljajo in uporabljajo pri uresničevanju ciljev, ki niso cilji te direktive, in da so take analize lahko v obliki podatkovnega rudarjenja (data mining). Možnost izvedbe takih analiz in primerjanja podatkov PNR s takimi podatkovnimi zbirkami pa naj bi pri potnikih letalskega prevoza ustvarila občutek, da je njihovo zasebno življenje pod neke vrste nadzorom. Tako predhodno ocenjevanje iz te določbe sicer temelji na razmeroma omejenem nizu podatkov, in sicer podatkov PNR, vendar takšne razlage tega člena 6(3)(a) ni mogoče sprejeti, ker bi lahko takšna razlaga pripeljala do nesorazmerne uporabe teh podatkov, ki bi omogočala ugotovitev natančnega profila zadevnih oseb zgolj zato, ker te osebe nameravajo potovati z letalom.

185    Zato je treba v skladu s sodno prakso, navedeno v točkah 86 in 87 te sodbe, člen 6(3)(a) Direktive o PNR razlagati tako, da se zagotovi popolno spoštovanje temeljnih pravic, določenih v členih 7 in 8 Listine.

186    V zvezi s tem je iz uvodnih izjav 7 in 15 Direktive o PNR razvidno, da mora biti avtomatizirana obdelava iz člena 6(3)(a) te direktive omejena na to, kar je nujno potrebno za namene boja proti terorističnim in hudim kaznivim dejanjem, ob hkratnem zagotavljanju visoke ravni varstva teh temeljnih pravic.

187    Poleg tega, kot je Komisija v bistvu navedla v odgovoru na vprašanje Sodišča, besedilo te določbe, v skladu s katerim enota za informacije o potnikih „lahko“ primerja podatke PNR s podatkovnimi zbirkami, na katere se nanaša, omogoča, da enota za informacije o potnikih izbere metodo obdelave, ki je glede na konkretni položaj omejena na tisto, kar je nujno potrebno. Enota za informacije o potnikih pa mora glede na potrebno izpolnjevanje zahtev po jasnosti in natančnosti, ki se zahtevata za zagotovitev varstva temeljnih pravic, določenih v členih 7 in 8 Listine, avtomatizirano obdelavo iz člena 6(3)(a) Direktive o PNR omejiti zgolj na podatkovne zbirke, ki jih je mogoče identificirati na podlagi te določbe. V zvezi s tem, čeprav sklicevanja na „podatkovne zbirke, ki so pomembne“, iz zadnjenavedene določbe ni mogoče razlagati tako, da dovolj jasno in natančno opredeljuje tako zajete podatkovne zbirke, pa to ne velja za sklicevanje na „podatkovn[e] zbirk[e] o osebah ali predmetih, ki so iskani ali so zanje razpisani ukrepi, v skladu s pravili Unije ter mednarodnimi in nacionalnimi pravili, ki veljajo za takšne podatkovne zbirke“.

188    Zato je treba, kot je generalni pravobranilec v bistvu navedel v točki 219 sklepnih predlogov, člen 6(3)(a) Direktive o PNR glede na te temeljne pravice razlagati tako, da so zadnjenavedene podatkovne zbirke edine podatkovne zbirke, s katerimi lahko enota za informacije o potnikih primerja podatke PNR.

189    V zvezi z zahtevami, ki jih morajo izpolnjevati te podatkovne zbirke, je treba navesti, da mora biti v skladu s členom 6(4) Direktive o PNR predhodno ocenjevanje, opravljeno glede na vnaprej določena merila, izvedeno na nediskriminatoren način na podlagi člena 6(3)(b) te direktive, da morajo biti ta merila ciljna, sorazmerna in specifična ter da jih morajo enote za informacije o potnikih v sodelovanju s pristojnimi organi iz člena 7 navedene direktive določiti in redno pregledovati. Čeprav se besedilo tega člena 6(4) s sklicevanjem na člen 6(3)(b) te direktive nanaša le na obdelavo podatkov PNR glede na vnaprej določena merila, je treba člen 6(4) ob upoštevanju členov 7, 8 in 21 Listine razlagati tako, da se morajo zahteve, ki jih določa, mutatis mutandis uporabljati za primerjavo teh podatkov s podatkovnimi zbirkami iz prejšnje točke te sodbe, zlasti ker te zahteve v bistvu ustrezajo zahtevam, ki so za primerjanje podatkov PNR s podatkovnimi zbirkami določene v sodni praksi, ki izhaja iz mnenja 1/15 (Sporazum o PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592, točka 172).

190    V zvezi s tem je treba pojasniti, da zahteva, ki se nanaša na nediskriminatornost navedenih podatkovnih zbirk, med drugim pomeni, da vpis v podatkovne zbirke o osebah ali predmetih, ki so iskani ali so zanje razpisani ukrepi, temelji na objektivnih in nediskriminatornih elementih, opredeljenih v pravilih Unije ter mednarodnih in nacionalnih pravilih, ki se uporabljajo za take podatkovne zbirke (glej po analogiji sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 78).

191    Poleg tega je treba podatkovno zbirko iz točke 188 te sodbe, da bi se zadostilo zahtevi po ciljnim, sorazmernim in specifičnim vnaprej določenim merilom, uporabljati v povezavi z bojem proti terorističnim in hudim kaznivim dejanjem, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov.

192    Poleg tega morajo podatkovne zbirke, uporabljene na podlagi člena 6(3)(a) Direktive o PNR, glede na preudarke iz točk 183 in 184 te sodbe upravljati pristojni organi iz člena 7 te direktive oziroma morajo ti organi, v zvezi s podatkovnimi zbirkami Unije in mednarodnimi podatkovnimi zbirkami, te uporabljati v okviru svoje naloge boja proti terorističnim in hudim kaznivim dejanjem. To pa velja za podatkovne zbirke o osebah ali predmetih, ki so iskani ali so zanje razpisani ukrepi, v skladu s pravili Unije ter mednarodnimi in nacionalnimi pravili, ki veljajo za takšne podatkovne zbirke.

ii)    Obdelava podatkov PNR glede na vnaprej določena merila

193    Člen 6(3)(b) Direktive o PNR določa, da lahko enota za informacije o potnikih obdeluje podatke PNR tudi glede na vnaprej določena merila. Iz člena 6(2)(a) te direktive je razvidno, da je namen predhodnega ocenjevanja in s tem obdelave podatkov PNR glede na vnaprej določena merila v bistvu identificirati osebe, ki bi lahko sodelovale pri terorističnem ali hudem kaznivem dejanju.

194    Glede meril, ki jih lahko za to uporabi enota za informacije o potnikih, je treba najprej navesti, da morajo biti ta merila v skladu z besedilom člena 6(3)(b) Direktive o PNR „vnaprej določena“. Kot je generalni pravobranilec navedel v točki 228 sklepnih predlogov, ta zahteva nasprotuje uporabi tehnologij umetne inteligence v okviru sistemov samostojnega učenja (machine learning), ki lahko brez človekovega posredovanja in nadzora spremenijo postopek ocenjevanja ter zlasti merila za ocenjevanje, na katerih temelji rezultat uporabe tega postopka, in težo teh meril.

195    Dodati je treba, da bi uporaba takih tehnologij lahko posamičnemu pregledu zadetkov in nadzoru zakonitosti, ki se zahteva z določbami Direktive o PNR, odvzela polni učinek. Kot je namreč generalni pravobranilec v bistvu navedel v točki 228 sklepnih predlogov, se lahko ob upoštevanju nepreglednosti, značilne za delovanje tehnologij umetne inteligence, izkaže, da ni mogoče razumeti, zakaj je določen program prišel do zadetka. V teh okoliščinah bi lahko uporaba takih tehnologij zadevnim osebam odvzela tudi njihovo pravico do učinkovitega pravnega sredstva, določeno v členu 47 Listine, ki si jo Direktiva o PNR v skladu z njeno uvodno izjavo 28 prizadeva zagotoviti na visoki ravni, zlasti za izpodbijanje nediskriminatornosti pridobljenih rezultatov.

196    Dalje, v zvezi z zahtevo iz člena 6(4) Direktive o PNR je treba navesti, da ta določba v prvem stavku določa, da se predhodno ocenjevanje glede na vnaprej določena merila izvaja na nediskriminatoren način, v četrtem stavku pa določa, da ta merila ne smejo v nobenem primeru temeljiti na rasi ali etničnem poreklu osebe, njenih političnih mnenjih, veri ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju ali spolni usmerjenosti.

197    Tako države članice kot vnaprej določena merila ne smejo uporabiti meril, ki temeljijo na značilnostih iz prejšnje točke te sodbe in katerih uporaba lahko povzroči diskriminacijo. V zvezi s tem iz besedila člena 6(4), četrti stavek, Direktive o PNR, v skladu s katerim merila, ki so vnaprej določena, „v nobenem primeru“ ne smejo temeljiti na teh značilnostih, izhaja, da se ta določba nanaša tako na neposredno diskriminacijo kot na posredno diskriminacijo. To razlago poleg tega potrjuje člen 21(1) Listine, ob upoštevanju katerega je treba razlagati navedeno določbo in ki prepoveduje „vsakršno“ diskriminacijo na podlagi navedenih značilnosti. V teh okoliščinah morajo biti vnaprej določena merila določena tako, da njihova uporaba, čeprav so oblikovana nevtralno, ne more biti taka, da osebe z zaščitenimi značilnostmi postavi v posebno neugoden položaj.

198    V zvezi z zahtevami, ki se nanašajo na ciljno, sorazmerno in specifično naravo vnaprej določenih meril iz člena 6(4), drugi stavek, Direktive o PNR, je treba navesti, da iz teh zahtev izhaja, da je treba merila, ki se uporabljajo za predhodno ocenjevanje, določiti tako, da so usmerjena izrecno na posameznike, glede katerih bi lahko obstajal utemeljen sum sodelovanja pri terorističnih ali hudih kaznivih dejanjih, na katere se nanaša ta direktiva. To razlago potrjuje besedilo člena 6(2)(a) te direktive, v katerem je poudarjeno „dejstvo“, da bi zadevne osebe „lahko“ sodelovale pri „terorističnem ali hudem kaznivem dejanju“. Podobno je v uvodni izjavi 7 navedene direktive navedeno, da bi morala biti oblikovanje in uporaba ocenjevalnih meril omejena na teroristična kazniva dejanja in huda kazniva dejanja, „pri katerih je uporaba takšnih meril potrebna“.

199    Da bi se tako usmerili na osebe, na katere se to nanaša, in ob upoštevanju tveganja diskriminacije, ki ga vsebujejo merila, ki temeljijo na značilnostih, navedenih v členu 6(4), četrti stavek, Direktive o PNR, se enota za informacije o potnikih in pristojni organi načeloma ne morejo opreti na te značilnosti. Enota za informacije o potnikih in pristojni organi pa lahko, kot je na obravnavi navedla nemška vlada, upoštevajo med drugim posebnosti dejanskega ravnanja oseb v zvezi s pripravo in izvedbo letalskih potovanj, ki bi lahko v skladu z izvedenimi ugotovitvami in izkušnjami, ki so jih pridobili pristojni organi, kazale na to, da bi lahko osebe, ki tako ravnajo, sodelovale pri terorističnem ali hudem kaznivem dejanju.

200    V tem okviru, kot je Komisija opozorila v odgovoru na vprašanje Sodišča, morajo biti vnaprej določena merila določena tako, da se upoštevajo tako „obremenilni“ kot „razbremenilni“ dokazi, saj lahko ta zahteva prispeva k zanesljivosti teh meril in zlasti zagotovi, da so ta merila sorazmerna, kot se to zahteva s členom 6(4), drugi stavek, Direktive o PNR.

201    Nazadnje, v skladu s členom 6(4), tretji stavek, te direktive je treba vnaprej določena merila redno pregledovati. Pri tem pregledu je treba ta merila posodobiti glede na razvoj okoliščin, ki so utemeljevale njihovo upoštevanje pri predhodnem ocenjevanju, s čimer se je zlasti mogoče odzvati na razvoj boja proti terorističnim in hudim kaznivim dejanjem iz točke 157 te sodbe (glej po analogiji sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 82). Natančneje, pri navedenem pregledu je treba upoštevati izkušnje, pridobljene v okviru uporabe vnaprej določenih meril, da se čim bolj zmanjša število „lažno pozitivnih“ rezultatov in s tem prispeva k temu, da je uporaba teh meril nujno potrebna.

iii) Zaščitni ukrepi, ki spremljajo avtomatizirano obdelavo podatkov PNR

202    Izpolnjevanje zahtev, ki jih člen 6(4) Direktive o PNR določa za avtomatizirano obdelavo podatkov PNR, ni nujno le v okviru določitve in pregleda podatkovnih zbirk ter vnaprej določenih meril iz te določbe, ampak tudi – kot je generalni pravobranilec navedel v točki 230 sklepnih predlogov – med celotnim postopkom obdelave teh podatkov.

203    Natančneje, v zvezi z vnaprej določenimi merili je treba najprej pojasniti, da mora enota za informacije o potnikih, kot je navedeno v uvodni izjavi 7 Direktive o PNR, merila za ocenjevanje sicer opredeliti tako, da bo število ljudi, ki jih sistem, vzpostavljen s to direktivo, napačno identificira, čim nižje, vendar mora ta enota vseeno v skladu s členom 6(5) in (6) navedene direktive izvesti posamičen pregled vsakega zadetka z neavtomatiziranimi sredstvi, da bi se v največji možni meri odkril morebitni obstoj „lažno pozitivnih“ rezultatov. Poleg tega mora enota za informacije o potnikih ne glede na to, da mora nediskriminatorno določiti merila za ocenjevanje, izvesti tak pregled, da se izključijo morebitni diskriminatorni rezultati. Enota za informacije o potnikih mora to isto obveznost pregleda izpolnjevati pri primerjavi podatkov PNR s podatkovnimi zbirkami.

204    Tako se mora enota za informacije o potnikih vzdržati prenosa rezultatov teh avtomatiziranih obdelav pristojnim organom iz člena 7 Direktive o PNR, če glede na preudarke iz točke 198 te sodbe po tem pregledu nima na voljo elementov, s katerimi bi lahko pravno zadostno utemeljila utemeljen sum sodelovanja pri terorističnih ali hudih kaznivih dejanjih pri osebah, identificiranih s temi avtomatiziranimi obdelavami, ali če razpolaga z elementi, ki kažejo, da navedene obdelave vodijo do diskriminatornih rezultatov.

205    V zvezi s preverjanji, ki jih mora za to opraviti enota za informacije o potnikih, iz člena 6(5) in (6) Direktive o PNR v povezavi z uvodnima izjavama 20 in 22 te direktive izhaja, da morajo države članice določiti jasna in natančna pravila, na podlagi katerih se usmerja in omeji analiza, ki jo opravijo uslužbenci, odgovorni za posamičen pregled, da se zagotovi popolno spoštovanje temeljnih pravic, določenih v členih 7, 8 in 21 Listine, ter zlasti dosledna upravna praksa znotraj enote za informacije o potnikih, s katero se upošteva načelo prepovedi diskriminacije.

206    Natančneje, države članice se morajo glede na precejšnje število „lažno pozitivnih“ rezultatov, kot je navedeno v točki 106 te sodbe, prepričati, da enota za informacije o potnikih jasno in natančno določi objektivna merila za pregled, na podlagi katerih lahko njeni uslužbenci preverijo, prvič, ali in kako se določen zadetek (hit) dejansko nanaša na posameznika, ki bi lahko sodeloval pri terorističnih ali hudih kaznivih dejanjih iz točke 157 te sodbe in ki ga morajo zato pristojni organi iz člena 7 te direktive podrobneje preveriti, ter drugič, nediskriminatorno naravo avtomatiziranih obdelav, ki jih določa navedena direktiva, zlasti vnaprej določenih meril in uporabljenih podatkovnih zbirk.

207    V tem okviru morajo države članice zagotoviti, da v skladu s členom 13(5) Direktive o PNR v povezavi z uvodno izjavo 37 te direktive enote za informacije o potnikih hranijo dokumentacijo vsake obdelave podatkov PNR, ki se opravi v okviru predhodnega ocenjevanja, vključno tiste v okviru posamičnega pregleda z neavtomatiziranimi sredstvi, za namene preverjanja njene zakonitosti in notranjega spremljanja.

208    Dalje, pristojni organi na podlagi člena 7(6), prvi stavek, Direktive o PNR izključno na podlagi avtomatizirane obdelave podatkov PNR ne sprejmejo nobene odločitve, ki bi imela za osebo negativne pravne posledice ali bi nanjo znatneje vplivala, kar v okviru predhodnega ocenjevanja pomeni, da morajo pristojni organi upoštevati in po potrebi dati prednost rezultatu posamičnega pregleda, ki ga enota za informacije o potnikih opravi z neavtomatiziranimi sredstvi, pred rezultatom, ki ga dobi z avtomatiziranimi obdelavami. Drugi stavek tega člena 7(6) določa, da takšne odločitve ne smejo biti diskriminatorne.

209    V tem okviru se morajo pristojni organi prepričati o zakonitosti tako teh avtomatiziranih obdelav, zlasti da niso nediskriminatorne, kot posamičnega pregleda.

210    Natančneje, pristojni organi se morajo prepričati, da zadevna oseba – ne da bi se ji med upravnim postopkom nujno omogočilo, da se seznani z vnaprej določenimi ocenjevalnimi merili in programi, ki ta merila uporabljajo – lahko razume, kako ta merila in programi delujejo, tako da se lahko ta oseba ob popolnem poznavanju zadeve odloči, ali bo uveljavljala svojo pravico do sodnega varstva, zagotovljeno s členom 13(1) Direktive o PNR, da bi po potrebi izpodbijala zakonitost in zlasti diskriminatornost navedenih meril (glej po analogiji sodbo z dne 24. novembra 2020, Minister van Buitenlandse Zaken, C‑225/19 in C‑226/19, EU:C:2020:951, točka 43 in navedena sodna praksa). Enako mora veljati za merila za pregled iz točke 206 te sodbe.

211    Nazadnje, v okviru pravnega sredstva, vloženega na podlagi člena 13(1) Direktive o PNR, morata imeti sodišče, pristojno za nadzor nad zakonitostjo odločitve, ki so jo sprejeli pristojni organi, in – razen v primeru groženj državni varnosti – zadevna oseba možnost, da se seznanita tako z vsemi razlogi kot dokazi, na podlagi katerih je bila ta odločitev sprejeta (glej po analogiji sodbo z dne 4. junija 2013, ZZ, C‑300/11, EU:C:2013:363, točke od 54 do 59), vključno z vnaprej določenimi merili za ocenjevanje in delovanjem programov, ki ta merila uporabljajo.

212    Poleg tega morata v skladu s členom 6(7) in členom 15(3)(b) Direktive o PNR pooblaščena oseba za varstvo podatkov in nacionalni nadzorni organ zagotoviti nadzor nad zakonitostjo avtomatiziranih obdelav, ki jih izvaja enota za informacije o potnikih v okviru predhodnega ocenjevanja, pri čemer se ta nadzor razteza med drugim na nediskriminatornost teh obdelav. Čeprav je v prvi od teh določb v zvezi s tem pojasnjeno, da ima pooblaščena oseba za varstvo podatkov dostop do vseh podatkov, ki jih obdeluje enota za informacije o potnikih, pa je treba ta dostop nujno razširiti na vnaprej določena merila in podatkovne zbirke, ki jih ta enota uporablja, da se zagotovita učinkovitost in visoka raven varstva podatkov, ki ju mora ta pooblaščena oseba zagotoviti v skladu z uvodno izjavo 37 te direktive. Prav tako se lahko preiskave, pregledi in revizije, ki jih nacionalni nadzorni organ izvaja na podlagi druge od teh določb, nanašajo tudi na vnaprej določena merila in podatkovne zbirke.

213    Iz vseh zgornjih preudarkov izhaja, da je določbe Direktive o PNR, ki urejajo predhodno ocenjevanje podatkov PNR na podlagi člena 6(2)(a) te direktive, mogoče razlagati v skladu s členi 7, 8 in 21 Listine ob spoštovanju meja tega, kar je nujno potrebno.

6)      Naknadno zagotavljanje in naknadno ocenjevanje podatkov PNR

214    V skladu s členom 6(2)(b) Direktive o PNR se lahko podatki PNR pristojnim organom na njihovo zaprosilo zagotovijo in ocenjujejo tudi po predvidenem prihodu v državo članico ali po predvidenem odhodu iz nje.

215    V zvezi s pogoji, pod katerimi je mogoče opraviti tako zagotavljanje in tako ocenjevanje, je iz besedila te določbe razvidno, da lahko enota za informacije o potnikih obdeluje podatke PNR za odzivanje, ,,za vsak primer posebej“, na „ustrezno obrazloženo zaprosilo“, ki ga pristojni organi predložijo „na zadostni podlagi“ za zagotavljanje in obdelavo teh podatkov „v konkretnih primerih za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih ali hudih kaznivih dejanj“. Poleg tega, če je zaprosilo vloženo več kot šest mesecev od prenosa podatkov PNR enoti za informacije o potnikih, to je obdobje, po izteku katerega se vsi podatki PNR depersonalizirajo z zakrivanjem nekaterih elementov v skladu s členom 12(2) te direktive, člen 12(3) navedene direktive določa, da je razkritje popolnih podatkov PNR in zato nedepersonalizirane različice teh podatkov dovoljeno le pod dvema pogojema, in sicer, prvič, da se utemeljeno domneva, da je to potrebno za namene člena 6(2) navedene direktive, in drugič, da ga odobri sodni organ ali drug nacionalni organ, ki je pristojen v skladu z nacionalnim pravom.

216    V zvezi s tem je najprej iz samega besedila člena 6(2)(b) Direktive o PNR razvidno, da enota za informacije o potnikih ne sme sistematično naknadno zagotavljati in naknadno ocenjevati podatkov PNR o vseh letalskih potnikih, in da se lahko le odzove, „za vsak primer posebej“, na zaprosilo za tako obdelavo „v konkretnih primerih“. Poleg tega pa v delu, v katerem se ta določba nanaša na „konkretne primere“, ni nujno, da se te obdelave omejijo na podatke PNR samo enega letalskega potnika, temveč se lahko, kot je Komisija navedla v odgovoru na vprašanje Sodišča, nanašajo tudi na več oseb, če imajo zadevne osebe določeno število enakih značilnosti, na podlagi katerih jih je mogoče skupaj šteti za „konkreten primer“ za namene zaprošenega zagotavljanja in ocenjevanja.

217    Dalje, v zvezi z materialnimi pogoji, ki se zahtevajo za to, da se podatki PNR o letalskih potnikih lahko naknadno zagotavljajo in naknadno ocenjujejo, je treba navesti, da se člen 6(2)(b) in člen 12(3)(a) Direktive o PNR sicer nanašata na razloge, ki temeljijo na „zadostni podlagi“, oziroma na „utemeljene“ razloge, ne da bi bila izrecno pojasnjena narava teh razlogov, vendar iz besedila prve od teh določb, ki se nanaša na namene iz člena 1(2) navedene direktive, izhaja, da se lahko naknadno zagotavljanje podatkov PNR in naknadno ocenjevanje opravita le za namene preverjanja obstoja indicev morebitnega sodelovanja zadevnih oseb pri terorističnem ali hudem kaznivem dejanju, ki so, kot izhaja iz točke 157 te sodbe, objektivno, vsaj posredno, povezana z letalskim prevozom potnikov.

218    V okviru sistema, vzpostavljenega z Direktivo o PNR, pa se zagotavljanje in obdelava podatkov PNR v skladu s členom 6(2)(b) te direktive nanašata na podatke oseb, ki so že bile predmet predhodnega ocenjevanja pred njihovim predvidenim prihodom v zadevno državo članico ali pred njihovim predvidenim odhodom iz nje. Poleg tega se lahko zaprosilo za naknadno ocenjevanje nanaša med drugim na osebe, katerih podatki PNR niso bili preneseni pristojnim organom po predhodnem ocenjevanju, ker pri predhodnem ocenjevanju niso bili ugotovljeni elementi, ki bi kazali na to, da bi te osebe lahko sodelovale pri terorističnem ali hudem kaznivem dejanju, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov. V teh okoliščinah morata zagotavljanje in obdelava teh podatkov za namene naknadnega ocenjevanja temeljiti na novih okoliščinah, ki upravičujejo to uporabo (glej v tem smislu mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 200 in navedena sodna praksa).

219    V zvezi z naravo okoliščin, s katerimi je mogoče upravičiti zagotavljanje in obdelavo podatkov PNR za namene njihovega naknadnega ocenjevanja, je treba navesti, da iz ustaljene sodne prakse izhaja, da ker ni mogoče šteti, da je splošni dostop do vseh shranjenih podatkov, neodvisno od kakršne koli povezave, tudi posredne, s ciljem, ki se želi doseči, omejen na tisto, kar je nujno potrebno, se mora zadevna nacionalna ureditev, bodisi ureditev Unije bodisi nacionalno pravilo za prenos te direktive, pri določitvi okoliščin in pogojev, pod katerimi se pristojnim nacionalnim organom omogoči dostop do zadevnih podatkov, opreti na objektivna merila. V zvezi s tem je treba ugotoviti, da je v povezavi s ciljem boja proti kriminalu dostop načeloma mogoče dovoliti le do podatkov oseb, za katere obstaja sum, da nameravajo storiti ali da so storile hudo kaznivo dejanje ali da so tako ali drugače sodelovale pri takem kaznivem dejanju. Vendar je v posebnih okoliščinah, kot so te, v katerih teroristične dejavnosti ogrožajo bistvene interese nacionalne varnosti, obrambe ali javne varnosti, dostop do podatkov drugih oseb mogoče odobriti tudi, če obstajajo objektivni elementi, na podlagi katerih je mogoče šteti, da bi lahko ti podatki v konkretnem primeru učinkovito prispevali k boju proti takim dejavnostim (sodbi z dne 2. marca 2021, Prokuratuur (Pogoji za dostop do podatkov o elektronskih komunikacijah), C‑746/18, EU:C:2021:152, točka 50 in navedena sodna praksa, in z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 105).

220    Tako je treba izraza „zadostna podlaga“ in „utemeljeno“ iz člena 6(2)(b) oziroma člena 12(3)(a) Direktive o PNR ob upoštevanju členov 7 in 8 Listine razlagati tako, da se nanašata na objektivne elemente, na podlagi katerih je mogoče utemeljiti utemeljen sum sodelovanja zadevne osebe pri hudih kaznivih dejanjih, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov, medtem ko je v zvezi s terorističnimi kaznivimi dejanji s takšno povezavo ta zahteva izpolnjena, če obstajajo objektivni elementi, na podlagi katerih je mogoče šteti, da bi lahko podatki PNR v konkretnem primeru učinkovito prispevali k boju proti takim kaznivim dejanjem.

221    Nazadnje, v zvezi s postopkovnimi pogoji, ki veljajo za zagotavljanje in obdelavo podatkov PNR za namene njihovega naknadnega ocenjevanja, je treba navesti, da se s členom 12(3)(b) Direktive o PNR zahteva, da če je zaprosilo vloženo več kot šest mesecev po njihovem prenosu enoti za informacije o potnikih – to pomeni, da so navedeni podatki v skladu z odstavkom 2 tega člena depersonalizirani z zakrivanjem elementov iz tega odstavka 2 – razkritje popolnih podatkov PNR in zato nedepersonalizirane različice teh podatkov odobri sodni organ ali drug nacionalni organ, ki je pristojen v skladu z nacionalnim pravom. V tem okviru morajo ti organi v celoti preučiti utemeljenost zaprosila in zlasti preveriti, ali je z dokazi, predloženimi v utemeljitev navedenega zaprosila, mogoče podpreti materialni pogoj v zvezi z obstojem „utemeljenih“ razlogov iz prejšnje točke te sodbe.

222    Res je, da če je zaprosilo za naknadno zagotavljanje in naknadno ocenjevanje podatkov PNR vloženo pred iztekom šestmesečnega obdobja od prenosa teh podatkov, člen 6(2)(b) Direktive o PNR ne določa izrecno take postopkovne zahteve. Vendar je treba pri razlagi zadnjenavedene določbe upoštevati uvodno izjavo 25 te direktive, iz katere izhaja, da je zakonodajalec Unije z določitvijo navedene postopkovne zahteve želel „zagotoviti najvišjo raven varstva podatkov“ v zvezi z dostopom do podatkov PNR v obliki, ki omogoča neposredno identifikacijo posameznika, na katerega se podatki nanašajo. Vsako zaprosilo za naknadno zagotavljanje in naknadno ocenjevanje pa pomeni tak dostop do teh podatkov, ne glede na to, ali je to zaprosilo vloženo pred iztekom šestmesečnega obdobja od prenosa podatkov PNR enoti za informacije o potnikih ali pa se vloži po izteku tega obdobja.

223    Natančneje, da bi se v praksi zagotovili popolno spoštovanje temeljnih pravic v sistemu, vzpostavljenem z Direktivo o PNR, in zlasti pogoji, navedeni v točkah 218 in 219 te sodbe, je bistveno to, da za zagotavljanje podatkov PNR za namene naknadnega ocenjevanja načeloma, razen v nujnih primerih, ki so ustrezno utemeljeni, sodišče ali neodvisen upravni organ opravi predhoden nadzor in da se odločba tega sodišča ali tega organa izda na podlagi obrazloženega predloga pristojnih organov, ki se vloži zlasti v postopku preprečevanja, odkrivanja ali pregona kaznivih dejanj. V nujnem in ustrezno utemeljenem primeru se mora navedeni nadzor izvesti v najkrajšem možnem času (glej po analogiji mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 202 in navedena sodna praksa, ter sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 110).

224    V teh okoliščinah je treba zahtevo po predhodnem nadzoru iz člena 12(3)(b) Direktive o PNR za zaprosila za zagotavljanje podatkov PNR, vložena po izteku šestmesečnega obdobja od prenosa teh podatkov enoti za informacije o potnikih, mutatis mutandis uporabiti tudi v primeru, v katerem je zaprosilo za zagotavljanje vloženo pred iztekom tega obdobja.

225    Poleg tega, čeprav člen 12(3)(b) Direktive o PNR ne določa izrecno zahtev, ki jih mora izpolniti organ, pristojen za predhodni nadzor, mora imeti ta organ v skladu z ustaljeno sodno prakso, da se zagotovi, da je poseganje v temeljne pravice, zagotovljene s členoma 7 in 8 Listine, ki izhaja iz dostopa do osebnih podatkov, omejeno na tisto, kar je nujno potrebno, vsa pooblastila in zagotoviti vsa potrebna jamstva za uskladitev različnih zadevnih interesov in pravic. Glede, natančneje, preiskave kaznivih dejanj mora ta organ v okviru takega preizkusa zagotoviti pravično ravnotežje med interesi, povezanimi s potrebami preiskave, ki se nanaša na boj proti kriminalu, na eni strani ter temeljnimi pravicami do spoštovanja zasebnega življenja in varstva osebnih podatkov posameznikov, do katerih podatkov se dostopa, na drugi strani (sodba z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 107 in navedena sodna praksa).

226    Za to mora imeti tak organ status, ki mu omogoča, da pri izvajanju svojih nalog deluje objektivno in nepristransko, pri čemer mora biti zato zaščiten pred kakršnim koli zunanjim vplivom. S to zahtevo po neodvisnosti se zahteva, da je ta organ v razmerju do organa, ki prosi za dostop do podatkov, tretja oseba, tako da lahko prvonavedeni organ ta nadzor izvaja tako, da je zaščiten pred kakršnim koli zunanjim vplivom. Natančneje, na kazenskem področju zahteva po neodvisnosti pomeni, da navedeni organ, prvič, ne sodeluje pri preiskovanju zadevnih kaznivih dejanj, in drugič, da je glede strank v kazenskem postopku nevtralen (glej v tem smislu sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 108 in navedena sodna praksa).

227    Zato je določbe Direktive o PNR, ki urejajo naknadno zagotavljanje in naknadno ocenjevanje podatkov PNR na podlagi člena 6(2)(b) te direktive, mogoče razlagati v skladu s členoma 7 in 8 ter členom 52(1) Listine ob spoštovanju meja tega, kar je nujno potrebno.

228    Glede na vse zgornje preudarke in ker razlaga Direktive o PNR z vidika členov 7, 8 in 21 ter člena 52(1) Listine zagotavlja skladnost te direktive s temi členi Listine, pri preučitvi drugega, tretjega, četrtega in šestega vprašanja ni bil ugotovljen noben element, ki bi lahko vplival na veljavnost navedene direktive.

C.      Peto vprašanje

229    Predložitveno sodišče želi s petim vprašanjem izvedeti, ali je treba člen 6 Direktive o PNR v povezavi s členoma 7 in 8 ter členom 52(1) Listine razlagati tako, da nasprotuje nacionalni zakonodaji, ki dovoljuje obdelavo podatkov PNR, zbranih v skladu s to direktivo, za namene spremljanja dejavnosti, ki ga izvajajo obveščevalno-varnostne službe.

230    Iz predloga za sprejetje predhodne odločbe je razvidno, da se predložitveno sodišče s tem vprašanjem sklicuje zlasti na dejavnosti, ki jih pokrivata Sûreté de l’État (služba državne varnosti, Belgija) in Service général du renseignement et de la sécurité (splošna obveščevalno-varnostna služba, Belgija) v okviru njihovih nalog zaščite nacionalne varnosti.

231    V zvezi s tem je zakonodajalec Unije, da bi spoštoval načeli zakonitosti in sorazmernosti, na kateri se med drugim nanaša člen 52(1) Listine, določil jasna in natančna pravila, ki urejajo namene ukrepov, določenih z Direktivo o PNR, ki vključujejo poseganja v temeljne pravice, zagotovljene s členoma 7 in 8 Listine.

232    Člen 1(2) Direktive o PNR namreč izrecno določa, da se podatki PNR, zbrani v skladu s to direktivo, lahko obdelujejo „le za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj iz točk (a), (b) in (c) člena 6(2) [navedene direktive]“. Zadnjenavedena določba potrjuje načelo iz tega člena 1(2) s tem, da se sistematično sklicuje na pojma „teroristično“ in „hudo kaznivo dejanje“.

233    Tako je iz besedila teh določb jasno razvidno, da je seznam namenov obdelave podatkov PNR, ki je naveden v teh določbah, v skladu z Direktivo o PNR izčrpen.

234    Ta razlaga je med drugim podprta z uvodno izjavo 11 Direktive o PNR, v skladu s katero mora biti obdelava podatkov PNR sorazmerna s „posebnimi varnostnimi cilji“ iz te direktive, in njenim členom 7(4), v skladu s katerim se lahko podatke PNR in rezultate obdelave teh podatkov, prejete od enote za informacije o potnikih, nadalje obdeluje „samo za specifične namene preprečevanja, odkrivanja, preiskovanja ali pregona terorističnih ali hudih kaznivih dejanj“.

235    Poleg tega izčrpnost namenov iz člena 1(2) Direktive o PNR pomeni tudi, da se podatkov PNR ne sme hraniti v enotni podatkovni zbirki, ki bi jo bilo mogoče uporabljati za te in druge namene. Hramba teh podatkov v takšni podatkovni zbirki naj bi namreč pomenila tveganje, da bi se navedeni podatki uporabili za druge namene, kot so tisti iz tega člena 1(2).

236    Ker v obravnavani zadevi po mnenju predložitvenega sodišča nacionalna zakonodaja iz postopka v glavni stvari kot namen obdelave podatkov PNR dopušča spremljanje dejavnosti, ki ga izvajajo obveščevalno-varnostne službe, pri čemer se ta namen obravnava kot del preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj, se lahko s to zakonodajo krši izčrpnost seznama namenov obdelave podatkov PNR v skladu z Direktivo o PNR, kar pa mora preveriti predložitveno sodišče.

237    Zato je treba na peto vprašanje odgovoriti, da je treba člen 6 Direktive o PNR v povezavi s členoma 7 in 8 ter členom 52(1) Listine razlagati tako, da nasprotuje nacionalni zakonodaji, ki dovoljuje obdelavo podatkov PNR, zbranih v skladu s to direktivo, za druge namene, kot so tisti, ki so izrecno navedeni v členu 1(2) navedene direktive.

D.      Sedmo vprašanje

238    Predložitveno sodišče s sedmim vprašanjem v bistvu sprašuje, ali je treba člen 12(3)(b) Direktive o PNR razlagati tako, da nasprotuje nacionalni zakonodaji, v skladu s katero je organ, ustanovljen kot enota za informacije o potnikih, tudi pristojni nacionalni organ, ki je pooblaščen za odobritev razkritja podatkov PNR po izteku šestmesečnega obdobja od prenosa teh podatkov enoti za informacije o potnikih.

239    Najprej je treba ugotoviti, da belgijska vlada dvomi, da je Sodišče pristojno za odgovor na to vprašanje, kot ga je oblikovalo predložitveno sodišče, ker naj bi bilo zadnjenavedeno sodišče edino pristojno za razlago nacionalnih določb in zlasti za presojo zahtev, ki izhajajo iz zakona z dne 25. decembra 2016, glede na člen 12(3)(b) Direktive o PNR.

240    V zvezi s tem zadostuje navesti, da predložitveno sodišče z navedenim vprašanjem prosi za razlago določbe prava Unije. Poleg tega, čeprav so v okviru postopka, začetega na podlagi člena 267 PDEU, za razlago nacionalnih določb pristojna sodišča držav članic, in ne Sodišče, in čeprav to ni pristojno za odločanje o skladnosti pravnih pravil nacionalnega prava z določbami prava Unije, pa je Sodišče pristojno, da nacionalnemu sodišču da vse napotke za razlago prava Unije, ki mu bodo omogočili presojo skladnosti pravil nacionalnega prava s predpisi Unije (sodba z dne 30. aprila 2020 v zadevi CTT – Correios de Portugal, C‑661/18, EU:C:2020:335, točka 28 in navedena sodna praksa). Iz tega sledi, da je Sodišče pristojno za odgovor na sedmo vprašanje.

241    Z vsebinskega vidika je treba navesti, da besedilo člena 12(3)(b) Direktive o PNR, ki v točkah (i) in (ii) omenja „sodni organ“ oziroma „drug nacionalni organ, ki je v skladu z nacionalnim pravom pristojen za preverjanje, ali so izpolnjeni pogoji za razkritje“, ta organa obravnava enako, kot je razvidno iz uporabe veznika „ali“ med tema točkama (i) in (ii). Iz tega besedila tako izhaja, da je tako navedeni „drug“ pristojni nacionalni organ alternativa sodnemu organu in mora zato imeti podobno raven neodvisnosti in nepristranskosti kot sodni organ.

242    To analizo potrjuje cilj Direktive o PNR, naveden v njeni uvodni izjavi 25, da se zagotovi najvišja raven varstva podatkov v zvezi z dostopom do popolnih podatkov PNR, ki omogočajo neposredno identifikacijo posameznika, na katerega se podatki nanašajo. Poleg tega je v isti uvodni izjavi pojasnjeno, da bi moral biti tak dostop odobren le pod zelo strogimi pogoji po šestmesečnem obdobju od prenosa podatkov PNR enoti za informacije o potnikih.

243    Navedena analiza je podprta tudi z zgodovino nastanka Direktive o PNR. Medtem ko je bilo namreč v predlogu direktive, navedenem v točki 155 te sodbe, na podlagi katerega je bila sprejeta Direktiva o PNR, določeno le, da „[d]ostop do popolnih podatkov PNR lahko dovoli le vodja enote za informacije o potnikih“, pa sta v različici člena 12(3)(b) te direktive, ki jo je nazadnje sprejel zakonodajalec Unije, določena in enako obravnavana sodni organ in „drug nacionalni organ“, ki je pristojen za preverjanje, ali so izpolnjeni pogoji za razkritje popolnih podatkov PNR, in za odobritev takega razkritja.

244    Poleg tega in predvsem v skladu z ustaljeno sodno prakso iz točk 223, 225 in 226 te sodbe je bistveno, da je dostop pristojnih nacionalnih organov do shranjenih podatkov odvisen od predhodnega nadzora, ki ga opravi sodišče ali neodvisen upravni organ, in da se odločba tega sodišča ali tega organa sprejme na podlagi obrazloženega predloga teh organov, ki je vložen med drugim v okviru postopkov preprečevanja, odkrivanja ali pregona kaznivih dejanj. Z zahtevo po neodvisnosti, ki jo mora izpolnjevati subjekt, pristojen za izvajanje predhodnega nadzora, se tudi zahteva, da je ta subjekt v razmerju do organa, ki prosi za dostop do podatkov, tretja oseba, tako da lahko navedeni subjekt ta nadzor izvaja objektivno in nepristransko, pri čemer je zaščiten pred vsakršnim zunanjim vplivom. Natančneje, na kazenskem področju zahteva po neodvisnosti pomeni, da organ, pristojen za ta predhodni nadzor, prvič, ne sodeluje pri preiskovanju zadevnih kaznivih dejanj, in drugič, da je v razmerju do strank v kazenskem postopku nevtralen.

245    Kot pa je generalni pravobranilec navedel v točki 271 sklepnih predlogov, člen 4 Direktive o PNR v odstavkih 1 in 3 določa, da je enota za informacije o potnikih, ustanovljena ali imenovana v vsaki državi članici, organ, pristojen za preprečevanje in odkrivanje terorističnih in hudih kaznivih dejanj, in da so lahko člani njenega osebja uslužbenci, ki jih napotijo pristojni organi iz člena 7 te direktive, tako da je enota za informacije o potnikih nujno povezana s temi organi. Enota za informacije o potnikih lahko na podlagi člena 6(2)(b) navedene direktive obdeluje podatke PNR in rezultat te obdelave zagotovi navedenim organom. Glede na te elemente ni mogoče šteti, da je enota za informacije o potnikih tretja oseba v razmerju do teh organov in da ima torej vse lastnosti neodvisnosti in nepristranskosti, ki se zahtevajo za izvedbo predhodnega nadzora, navedenega v prejšnji točki te sodbe, in preverjanje, ali so izpolnjeni pogoji za razkritje popolnih podatkov PNR, kot je določeno v členu 12(3)(b) te direktive.

246    Poleg tega dejstvo, da se z zadnjenavedeno določbo v točki (ii), če „drugi nacionalni organ, ki je […] pristojen“ odobri popolno razkritje teh podatkov, zahteva, da je pooblaščena oseba za varstvo podatkov pri enoti za informacije o potnikih „o tem obveščena in da lahko opravi naknadni pregled“, medtem ko to ne velja za odobritev sodnega organa, ne more ovreči te presoje. V skladu z ustaljeno sodno prakso namreč s poznejšim nadzorom, kot je tisti, ki ga izvaja pooblaščena oseba za varstvo podatkov, ni mogoče izpolniti cilja predhodnega nadzora, ki je preprečiti, da bi se dovolil dostop do zadevnih podatkov, ki bi presegal to, kar je nujno potrebno (glej v tem smislu sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 110 in navedena sodna praksa).

247    Glede na vse te preudarke je treba na sedmo vprašanje odgovoriti, da je treba člen 12(3)(b) Direktive o PNR razlagati tako, da nasprotuje nacionalni zakonodaji, v skladu s katero je organ, ustanovljen kot enota za informacije o potnikih, tudi pristojni nacionalni organ, ki je pooblaščen za odobritev razkritja podatkov PNR po izteku šestmesečnega obdobja od prenosa teh podatkov enoti za informacije o potnikih.

E.      Osmo vprašanje

248    Predložitveno sodišče z osmim vprašanjem v bistvu sprašuje, ali je treba člen 12 Direktive o PNR v povezavi s členoma 7 in 8 ter členom 52(1) Listine razlagati tako, da nasprotuje nacionalni zakonodaji, ki določa splošno petletno obdobje hrambe podatkov PNR, ne glede na to, ali zadevni potniki pomenijo tveganje v zvezi s terorističnimi ali hudimi kaznivimi dejanji.

249    Spomniti je treba, da v skladu s členom 12(1) in (4) te direktive enota za informacije o potnikih države članice, na območju katere je prihod ali odhod zadevnega leta, hrani podatke PNR, ki jih enoti za informacije o potnikih zagotovijo letalski prevozniki, v podatkovni zbirki pet let od njihovega prenosa tej enoti, in te podatke trajno izbriše po izteku tega petletnega obdobja.

250    Obdobje hrambe podatkov PNR, kot je opozorjeno v uvodni izjavi 25 Direktive o PNR, „bi moralo biti tako dolgo, kot je to potrebno za namene preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in hudih kaznivih dejanj ter sorazmerno s temi nameni“.

251    Zato hramba podatkov PNR v skladu s členom 12(1) Direktive o PNR ne more biti upravičena, če ni objektivne povezave med to hrambo in cilji, ki jih uresničuje ta direktiva, in sicer bojem proti terorističnim in hudim kaznivim dejanjem, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov.

252    V zvezi s tem je treba, kot je razvidno iz uvodne izjave 25 Direktive o PNR, razlikovati med, na eni strani, začetnim šestmesečnim obdobjem hrambe iz člena 12(2) te direktive in, na drugi strani, poznejšim obdobjem hrambe iz člena 12(3) navedene direktive.

253    Pri razlagi člena 12(1) Direktive o PNR je treba upoštevati določbe odstavkov 2 in 3 tega člena, ki določajo ureditev hrambe in dostopa do podatkov PNR, ki se hranijo po izteku začetnega šestmesečnega obdobja hrambe. Kot izhaja iz uvodne izjave 25 te direktive, je v teh določbah po eni strani izražen cilj, da „je treba podatke PNR hraniti dovolj dolgo za izvedbo analiz in uporabo v preiskavah“, pri čemer se te preiskave lahko opravijo že v začetnem šestmesečnem obdobju hrambe. Po drugi strani se na podlagi teh določb v skladu z isto uvodno izjavo 25 skuša „izogni[ti] nesorazmerni uporabi“ z zakrivanjem teh podatkov in „zagotovit[i] najvišj[o] ravn[en] varstva podatkov“ z odobritvijo dostopa do teh podatkov v obliki, ki omogoča neposredno identifikacijo posameznika, na katerega se podatki nanašajo, „le pod zelo strogimi in omejenimi pogoji po tem začetnem obdobju“, torej ob upoštevanju dejstva, da dlje ko traja hramba podatkov PNR, večje je poseganje, ki iz tega izhaja.

254    Razlikovanje med začetnim šestmesečnim obdobjem hrambe iz člena 12(2) Direktive o PNR in poznejšim obdobjem hrambe iz člena 12(3) te direktive pa se uporablja tudi za nujno upoštevanje zahteve iz točke 251 te sodbe.

255    Tako je treba glede na cilje Direktive o PNR in potrebe po preiskavah in pregonu terorističnih in hudih kaznivih dejanj šteti, da ni razvidno, da bi hramba podatkov PNR o vseh letalskih potnikih, za katere velja sistem, vzpostavljen s to direktivo – čeprav ni nobenega indica, da ti potniki sodelujejo pri terorističnih ali hudih kaznivih dejanjih – med začetnim šestmesečnim obdobjem načeloma presegala meje tega, kar je nujno potrebno, saj omogoča izvedbo potrebnih poizvedb za identifikacijo oseb, ki niso bile osumljene sodelovanja pri terorističnih ali hudih kaznivih dejanjih.

256    V zvezi s poznejšim obdobjem iz člena 12(3) Direktive o PNR pa je hramba podatkov PNR o vseh letalskih potnikih, za katere velja sistem, vzpostavljen s to direktivo – poleg tega, da zaradi velike količine podatkov, ki se lahko hranijo stalno, pomeni tveganje, ki je neločljivo povezano z nesorazmerno uporabo in z zlorabo (glej po analogiji sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 119) – v nasprotju z zahtevo iz uvodne izjave 25 navedene direktive, v skladu s katero bi moralo biti obdobje hrambe teh podatkov tako dolgo, kot je to potrebno za namene, ki se jih zasleduje, ter sorazmerno s temi nameni, saj je zakonodajalec Unije želel vzpostaviti najvišjo raven varstva podatkov PNR, ki omogočajo neposredno identifikacijo posameznika, na katerega se podatki nanašajo.

257    V zvezi z letalskimi potniki, za katere niti predhodno ocenjevanje iz člena 6(2)(a) Direktive o PNR niti morebitna preverjanja, opravljena v šestmesečnem obdobju iz člena 12(2) te direktive, niti nobena druga okoliščina niso pokazali na obstoj objektivnih elementov, ki bi lahko dokazovali tveganje v zvezi s terorističnimi ali hudimi kaznivimi dejanji, ki so objektivno, vsaj posredno, povezana z letalskim potovanjem teh potnikov, v teh okoliščinah namreč ni razvidno, da bi obstajala povezava, čeprav le posredna, med podatki PNR o teh potnikih in ciljem navedene direktive, ki bi upravičevala hrambo teh podatkov (glej po analogiji mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točki 204 in 205).

258    Nadaljnja hramba podatkov PNR o vseh potnikih po začetnem šestmesečnem obdobju torej očitno ni omejena na tisto, kar je nujno potrebno (glej po analogiji mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 206).

259    Če pa se v nekaterih primerih ugotovijo objektivni elementi, kot so podatki PNR o potnikih, iz katerih izhaja preverjen zadetek in na podlagi katerih je mogoče šteti, da bi lahko nekateri potniki pomenili tveganje v zvezi s terorističnimi ali hudimi kaznivimi dejanji, se zdi dopustno njihove podatke PNR hraniti tudi po tem začetnem obdobju (glej po analogiji mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017, EU:C:2017:592, točka 207 in navedena sodna praksa).

260    Ugotovitev teh objektivnih elementov namreč lahko vzpostavi povezavo z nameni obdelave v skladu z Direktivo o PNR, zaradi česar je hramba podatkov PNR v zvezi s temi potniki upravičena v najdaljšem obdobju, ki ga dopušča navedena direktiva, to je pet let.

261    Ker se v obravnavani zadevi zdi, da zakonodaja iz postopka v glavni stvari določa splošno petletno obdobje hrambe podatkov PNR, ki se uporablja brez razlikovanja za vse potnike, vključno s tistimi, za katere niti predhodno ocenjevanje iz člena 6(2)(a) Direktive o PNR niti morebitna preverjanja, opravljena v začetnem šestmesečnem obdobju, niti nobena druga okoliščina niso pokazali na obstoj objektivnih elementov, ki bi lahko dokazovali tveganje v zvezi s terorističnimi ali hudimi kaznivimi dejanji, lahko ta zakonodaja krši člen 12(1) te direktive v povezavi s členoma 7 in 8 ter členom 52(1) Listine, razen če jo je mogoče razlagati v skladu s temi določbami, kar pa mora preveriti predložitveno sodišče.

262    Glede na zgornje preudarke je treba na osmo vprašanje odgovoriti, da je treba člen 12(1) Direktive o PNR v povezavi s členoma 7 in 8 ter členom 52(1) Listine razlagati tako, da nasprotuje nacionalni zakonodaji, ki določa splošno petletno obdobje hrambe podatkov PNR, ki se uporablja brez razlikovanja za vse letalske potnike, vključno s tistimi, za katere niti predhodno ocenjevanje iz člena 6(2)(a) te direktive niti morebitna preverjanja, opravljena v šestmesečnem obdobju iz člena 12(2) navedene direktive, niti nobena druga okoliščina niso pokazali na obstoj objektivnih elementov, ki bi lahko dokazovali tveganje v zvezi s terorističnimi ali hudimi kaznivimi dejanji, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov.

F.      Deveto vprašanje pod točko (a)

263    Predložitveno sodišče z devetim vprašanjem pod točko (a) v bistvu sprašuje o veljavnosti Direktive o API glede na člen 3(2) PEU in člen 45 Listine, pri čemer izhaja iz premise, da se obveznosti, uvedene s to direktivo, uporabljajo za lete znotraj EU.

264    Kot pa je navedel generalni pravobranilec v točki 277 sklepnih predlogov ter kot so navedli Svet, Komisija in več vlad, je ta premisa napačna.

265    Člen 3(1) Direktive o API določa, da morajo države članice sprejeti potrebne ukrepe za uveljavitev dolžnosti prevoznikov, da na zahtevo organov, odgovornih za izvajanje kontrole oseb na zunanjih mejah, do konca prijave potnikov posredujejo informacije o potnikih, ki jih bodo prepeljali na določeni mejni prehod, preko katerega bodo te osebe vstopile na ozemlje države članice. Ti podatki se v skladu s členom 6(1) navedene direktive posredujejo organom, odgovornim za izvajanje kontrole na zunanjih mejah, preko katerih bo potnik vstopil na to ozemlje, in se obdelujejo pod pogoji, določenimi v zadnjenavedeni določbi.

266    Iz teh določb v povezavi s členom 2(a), (b) in (d) Direktive o API, v katerih so opredeljeni pojmi „prevoznik“, „zunanje meje“ oziroma „mejni prehod“, pa jasno izhaja, da ta direktiva letalskim prevoznikom nalaga obveznosti, da podatke iz člena 3(2) te direktive posredujejo organom, odgovornim za izvajanje kontrole na zunanjih mejah, samo za lete, ki potnike pripeljejo na mejni prehod, na katerem je dovoljeno prehajati zunanje meje držav članic s tretjimi državami, in določa obdelavo podatkov samo v zvezi s temi leti.

267    Navedena direktiva pa ne nalaga nobene obveznosti v zvezi s podatki o potnikih, ki potujejo na letih, s katerimi se prehajajo le notranje meje med državami članicami.

268    Dodati je treba, da Direktiva o PNR, s tem, da so, kot je razvidno iz njene uvodne izjave 9 in njenega člena 8(2), med podatke PNR vključeni podatki iz člena 3(2) Direktive o API, ki so zbrani v skladu s to direktivo in jih hranijo nekateri letalski prevozniki, in s tem, da državam članicam daje možnost, da Direktivo o PNR v skladu z njenim členom 2 uporabljajo za lete znotraj EU, ki jih opredelijo, ni spremenila niti obsega določb Direktive o API niti omejitev, ki izhajajo iz te direktive.

269    Glede na zgoraj navedeno je treba na deveto vprašanje pod točko (a) odgovoriti, da je treba Direktivo o API razlagati tako, da se ne uporablja za lete znotraj EU.

G.      Deveto vprašanje pod točko (b)

270    Čeprav se predložitveno sodišče v devetem vprašanju pod točko (b) sklicuje na Direktivo o API v povezavi s členom 3(2) PEU in členom 45 Listine, je iz predloga za sprejetje predhodne odločbe razvidno, da se to sodišče sprašuje o združljivosti sistema prenosa in obdelave podatkov potnikov, uvedenega z zakonom z dne 25. decembra 2016, s prostim gibanjem oseb in odpravo kontrol na notranjih mejah, ki ju določa pravo Unije, saj se ta sistem ne uporablja le za zračni prevoz, temveč tudi za železniški, kopenski in celo pomorski prevoz, ki prihaja iz Belgije ali je vanjo namenjen, znotraj Unije, ne da bi prišlo do prehoda zunanjih meja s tretjimi državami.

271    Kot pa je razvidno iz točk od 265 do 269 te sodbe, Direktiva o API, ki se ne uporablja za lete znotraj EU ter ne nalaga obveznosti prenosa in obdelave podatkov potnikov, ki potujejo z letalskim prevozom ali z drugim načinom prevoza znotraj Unije, ne da bi prišlo do prehoda zunanjih meja s tretjimi državami, ni upoštevna za odgovor na to vprašanje.

272    Medtem ko Unija v skladu s členom 67(2) PDEU zagotavlja, da se pri prehajanju notranjih meja ne izvaja kontrola oseb, pa člen 2 Direktive o PNR, na katerega se je belgijski zakonodajalec oprl pri sprejetju zakona z dne 26. decembra 2016 iz postopka v glavni stvari, kot je razvidno iz predloga za sprejetje predhodne odločbe, državam članicam dovoljuje, da to direktivo uporabljajo za lete znotraj EU.

273    Da bi se predložitvenemu sodišču dal koristen odgovor, je treba v teh okoliščinah deveto vprašanje pod točko b preoblikovati tako, da se v bistvu nanaša na to, ali je treba pravo Unije, zlasti člen 2 Direktive o PNR v povezavi s členom 3(2) PEU, členom 67(2) PDEU in členom 45 Listine, razlagati tako, da nasprotuje nacionalni zakonodaji, ki določa sistem prenosa, ki ga izvajajo prevozniki in potovalne agencije, in obdelave, ki jo opravljajo pristojni organi, glede podatkov PNR o letih in prevozih, opravljenih z drugimi prevoznimi sredstvi, znotraj Unije, ki prihajajo iz države članice, ki je sprejela navedeno zakonodajo, ki so namenjeni vanjo ali ki so v tranzitu prek te države članice.

274    Najprej, člen 45 Listine določa prosto gibanje oseb, ki je poleg tega ena od temeljnih svoboščin notranjega trga (glej v tem smislu sodbo z dne 22. junija 2021, Ordre des barreaux francophones et germanophone in drugi (Preventivni ukrepi zaradi odstranitve), C‑718/19, EU:C:2021:505, točka 54).

275    Ta člen v odstavku 1 zagotavlja, da ima vsak državljan Unije pravico do prostega gibanja in prebivanja na ozemlju držav članic, kar v skladu s Pojasnili k Listini o temeljnih pravicah (UL 2007, C 303, str. 17) ustreza pravici, zagotovljeni s členom 20(2), prvi pododstavek, točka (a), PDEU, in se v skladu s členom 20(2), drugi pododstavek, PDEU in členom 52(2) Listine uresničuje v skladu s pogoji in omejitvami, opredeljenimi s Pogodbama in ukrepi, sprejetimi za njuno izvajanje.

276    Dalje, v skladu s členom 3(2) PEU Unija nudi svojim državljanom območje svobode, varnosti in pravice brez notranjih meja, na katerem je v povezavi z ustreznimi ukrepi glede med drugim kontrole zunanjih meja ter glede preprečevanja kriminala in boja proti njemu zagotovljeno prosto gibanje oseb. Prav tako Unija v skladu s členom 67(2) PDEU zagotovi, da se pri prehajanju notranjih meja ne izvaja kontrola oseb, in oblikuje skupno politiko med drugim o nadzoru zunanjih meja.

277    V skladu z ustaljeno sodno prakso Sodišča nacionalna zakonodaja, ki je za nekatere državljane manj ugodna zgolj zato, ker so uresničevali svojo pravico do prostega gibanja in prebivanja v drugi državi članici, pomeni omejitev svoboščin, ki jih člen 45(1) Listine priznava vsakemu državljanu Unije (glej v tem smislu v zvezi s členom 21(1) PDEU sodbi z dne 8. junija 2017, Freitag, C‑541/15, EU:C:2017:432, točka 35 in navedena sodna praksa, in z dne 19. novembra 2020, ZW, C‑454/19, EU:C:2020:947, točka 30).

278    Nacionalna zakonodaja, kakršna je ta v postopku v glavni stvari, ki sistem, določen z Direktivo o PNR, uporablja ne le za lete zunaj EU, temveč tudi v skladu s členom 2(1) te direktive za lete znotraj EU in – presegajoč to, kar je določeno v tej določbi – za prevoze, opravljene z drugimi prevoznimi sredstvi znotraj Unije, pa ima za posledico sistematičen in stalen prenos ter sistematično in stalno obdelavo podatkov PNR o vseh potnikih, ki z uresničevanjem svobode gibanja potujejo s temi prevoznimi sredstvi znotraj Unije.

279    Kot je bilo ugotovljeno v točkah od 98 do 111 te sodbe, prenos in obdelava podatkov o potnikov na letih zunaj EU in znotraj EU, ki izhajata iz sistema, vzpostavljenega z Direktivo o PNR, pomenita nedvoumno resna poseganja v temeljne pravice, določene v členih 7 in 8 Listine zadevnih oseb. Resnost tega poseganja je še večja, če se uporaba tega sistema razširi na druga sredstva prevoza znotraj Unije. Takšna poseganja lahko iz istih razlogov, kot so navedeni v teh točkah, državljane držav članic, ki so sprejele tako zakonodajo, in na splošno državljane Unije, ki potujejo s temi prevoznimi sredstvi znotraj Unije in prihajajo iz te države članice ali so vanjo namenjeni, prav tako postavljajo v slabši položaj in jih zato odvračajo od uresničevanja svobode gibanja v smislu člena 45 Listine, zaradi česar navedena zakonodaja to temeljno svoboščino omejuje.

280    V skladu z ustaljeno sodno prakso je omejitev prostega gibanja oseb lahko upravičena le, če temelji na objektivnih razlogih in če je sorazmerna s ciljem, ki ga nacionalno pravo legitimno uresničuje. Ukrep je sorazmeren, če se z njim lahko uresniči zastavljeni cilj in če ne prekorači tega, kar je potrebno za njegovo uresničitev (glej v tem smislu sodbo z dne 5. aprila 2018, Coman in drugi, C‑673/16, EU:C:2018:385, točka 41 in navedena sodna praksa).

281    Dodati je treba, da je nacionalni ukrep, ki lahko ovira uresničevanje prostega pretoka oseb, lahko utemeljen le, če je v skladu s temeljnimi pravicami iz Listine, katere spoštovanje zagotavlja Sodišče (sodba z dne 14. decembra 2021, Stolichna obshtina, rayon „Pancharevo“, C‑490/20, EU:C:2021:1008, točka 58 in navedena sodna praksa).

282    Natančneje, v skladu s sodno prakso, navedeno v točkah 115 in 116 te sodbe, cilja v splošnem interesu ni mogoče uresničevati brez upoštevanja dejstva, da ga je treba uskladiti s temeljnimi pravicami, na katere se nanaša ukrep, in sicer z uravnoteženjem na eni strani cilja v splošnem interesu ter na drugi strani zadevnih pravic. V zvezi s tem je treba možnost držav članic, da upravičijo omejitev temeljne pravice, zagotovljene s členom 45(1) Listine, presojati tako, da se oceni teža poseganja, ki ga vključuje taka omejitev, in preveri, ali je pomembnost cilja v splošnem interesu, ki se uresničuje s to omejitvijo, v sorazmerju s to težo.

283    Kot je bilo opozorjeno v točki 122 te sodbe, je cilj boja proti terorističnim in hudim kaznivim dejanjem, ki ga uresničuje Direktiva o PNR, nedvomno cilj v splošnem interesu Unije.

284    Glede vprašanja, ali je nacionalna zakonodaja, sprejeta za prenos Direktive o PNR in s katero se sistem, določen s to direktivo, razširja na lete znotraj EU in na druge načine prevoza znotraj Unije, primerna za uresničitev zastavljenega cilja, je treba navesti, da je iz navedb v spisu, ki ga ima na voljo Sodišče, razvidno, da uporaba podatkov PNR omogoča identifikacijo oseb, ki niso bile osumljene sodelovanja pri terorističnih ali hudih kaznivih dejanjih in ki bi jih bilo treba podrobneje preveriti, zaradi česar se zdi, da je takšna zakonodaja primerna za uresničitev cilja boja proti terorističnim in hudim kaznivim dejanjem.

285    Glede nujnosti take zakonodaje je treba navesti, da se morajo države članice pri izvajanju možnosti iz člena 2(1) Direktive o PNR v povezavi s členoma 7 in 8 Listine omejiti na to, kar je nujno potrebno za uresničitev tega cilja glede na zahteve iz točk od 163 do 174 te sodbe.

286    Te zahteve veljajo še toliko bolj, če se sistem iz Direktive o PNR uporablja za druga prevozna sredstva znotraj Unije.

287    Poleg tega, kot je razvidno iz navedb v predlogu za sprejetje predhodne odločbe, nacionalna zakonodaja iz postopka v glavni stvari prenaša Direktivo o PNR, Direktivo o API in delno Direktivo 2010/65 v en sam akt. Za to nacionalna zakonodaja iz postopka v glavni stvari določa uporabo sistema, določenega v Direktivi o PNR, za vse lete znotraj EU in železniški, kopenski in celo pomorski prevoz znotraj Unije, ki prihajajo iz Belgije, so namenjeni vanjo in ki so v tranzitu prek te države, ter se uporablja tudi za potovalne agencije, pri čemer se poleg tega uresničujejo tudi drugi cilji, ne le boj proti terorističnim in hudim kaznivim dejanjem. V skladu s temi navedbami se zdi, da enota za informacije o potnikih vse podatke, zbrane v okviru sistema, vzpostavljenega s to nacionalno zakonodajo, hrani v enotni podatkovni zbirki, ki zajema podatke PNR, vključno s podatki iz člena 3(2) Direktive o API, o vseh potnikih prevozov, na katere se navedena zakonodaja nanaša.

288    V zvezi s tem, ker se je predložitveno sodišče v devetem vprašanju pod točko (b) sklicevalo na cilj izboljšanja mejnih kontrol in boja proti nezakonitemu priseljevanju, kar je cilj Direktive o API, je treba opozoriti, da je, kot izhaja iz točk 233, 234 in 237 te sodbe, seznam ciljev, ki se uresničujejo z obdelavo podatkov PNR na podlagi Direktive o PNR, izčrpen, zaradi česar je nacionalna zakonodaja, s katero je dovoljena obdelava podatkov PNR, zbranih v skladu s to direktivo, za namene, ki niso določeni v tej direktivi, in sicer med drugim za izboljšanje mejnih kontrol in boj proti nezakonitemu priseljevanju, v nasprotju s členom 6 navedene direktive v povezavi z Listino.

289    Poleg tega, kot je razvidno iz točke 235 te sodbe, države članice ne smejo ustvariti enotne podatkovne zbirke, ki vsebuje tako podatke PNR, zbrane na podlagi Direktive o PNR, ki se nanašajo na lete zunaj EU in znotraj EU, kot tudi podatke o potnikih, ki uporabljajo druga prevozna sredstva, ter podatke iz člena 3(2) Direktive o API, zlasti kadar je mogoče to podatkovno zbirko uporabljati ne le za uresničevanje ciljev iz člena 1(2) Direktive o PNR, ampak tudi za druge namene.

290    Nazadnje, kot je generalni pravobranilec navedel v točki 281 sklepnih predlogov, so členi od 28 do 31 zakona z dne 25. decembra 2016 vsekakor združljivi s pravom Unije, zlasti s členom 67(2) PDEU, le če se razlagajo in uporabljajo tako, da se nanašajo le na prenos in obdelavo podatkov API o potnikih, ki prehajajo zunanje meje Belgije s tretjimi državami. Ukrep, s katerim bi država članica razširila določbe Direktive o API za namene izboljšanja mejnih kontrol in boja proti nezakonitemu priseljevanju, za lete znotraj EU in a fortiori za druge načine prevoza, s katerimi se v Uniji prevaža potnike, ki prihajajo iz te države članice, ki iz nje odhajajo in ki so v tranzitu prek navedene države članice, zlasti obveznost posredovanja podatkov o potnikih iz člena 3(1) navedene direktive, bi namreč pristojnim organom omogočil, da pri prehodu notranjih meja te države članice sistematično preverjajo, ali imajo ti potniki dovoljenje za vstop na njeno ozemlje ali izstop z njega, in bi tako imel enak učinek kot kontrole, ki se izvajajo na zunanjih mejah s tretjimi državami.

291    Glede na vse te preudarke je treba na deveto vprašanje pod točko b odgovoriti, da je treba pravo Unije, zlasti člen 2 Direktive o PNR v povezavi s členom 3(2) PEU, členom 67(2) PDEU in členom 45 Listine, razlagati tako, da nasprotuje:

–        nacionalni zakonodaji, ki ob neobstoju resnične in sedanje ali predvidljive teroristične grožnje, s katero bi se spopadala zadevna država članica, določa sistem prenosa, ki ga izvajajo letalski prevozniki in potovalne agencije, in obdelave, ki jo opravljajo pristojni organi, glede podatkov PNR o vseh letih znotraj EU in prevozih, opravljenih z drugimi prevoznimi sredstvi znotraj Unije, ki prihajajo iz te države članice, ki so vanjo namenjeni ali ki so v tranzitu prek te države članice, za namene boja proti terorističnim in hudim kaznivim dejanjem. V takem položaju mora biti uporaba sistema, vzpostavljenega z Direktivo o PNR, omejena na prenos in obdelavo podatkov PNR o letih in/ali prevozih, ki se med drugim nanašajo na nekatere povezave, določene potovalne načrte ali celo na nekatera letališča, železniške postaje ali pristanišča, za katera obstajajo indici, ki lahko upravičijo to uporabo. Zadevna država članica mora izbrati lete znotraj EU in/ali prevoze, opravljene z drugimi prevoznimi sredstvi znotraj Unije, za katere obstajajo taki indici, in navedeno uporabo redno pregledovati glede na razvoj okoliščin, ki so utemeljevale njihovo izbiro, da se zagotovi, da je uporaba tega sistema za te lete in/ali prevoze vedno omejena na tisto, kar je nujno potrebno, in

–        nacionalni zakonodaji, ki določa tak sistem prenosa in obdelave navedenih podatkov za namene izboljšanja mejnih kontrol in boja proti nezakonitemu priseljevanju.

H.      Deseto vprašanje

292    Predložitveno sodišče želi z desetim vprašanjem v bistvu izvedeti, ali je treba pravo Unije razlagati tako, da lahko nacionalno sodišče časovno omeji učinke ugotovitve nezakonitosti, ki mu je naložena v skladu z nacionalnim pravom glede nacionalne zakonodaje, ki letalskim prevoznikom, železniškim in kopenskim prevoznikom ter potovalnim agencijam nalaga prenos podatkov PNR ter določa obdelavo in hrambo teh podatkov, ki nista združljivi z določbami Direktive o PNR v povezavi s členom 3(2) PEU in členom 67(2) PDEU, členi 7, 8 in 45 ter členom 52(1) Listine.

293    Načelo primarnosti prava Unije določa prednost prava Unije pred pravom držav članic. To načelo zato vsem organom držav članic nalaga, da različnim določbam prava Unije zagotovijo polni učinek, saj pravo držav članic ne more vplivati na učinek, ki je tem določbam priznan na ozemlju navedenih držav. Če nacionalno sodišče, ki mora uporabiti določbe prava Unije, ne more podati razlage nacionalne ureditve, ki bi bila skladna z zahtevami prava Unije, ima na podlagi tega načela dolžnost zagotoviti polni učinek teh določb, pri čemer lahko po potrebi po uradni dolžnosti odloči, da ne bo uporabilo neskladne določbe nacionalne zakonodaje, tudi poznejše, ne da bi mu bilo treba zahtevati ali čakati predhodno odpravo te določbe po zakonodajni poti ali kakšnem drugem ustavnem postopku (sodbe z dne 15. julija 1964, Costa, 6/64, EU:C:1964:66, str. 1159 in 1160; z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točki 214 in 215, ter z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 118).

294    Le Sodišče lahko izjemoma in iz nujnih razlogov pravne varnosti prizna začasno odložitev učinka izrinjenja, ki ga ima pravilo prava Unije v razmerju do nacionalnega prava, ki je v nasprotju z njim. Tako časovno omejitev učinkov razlage tega prava, ki jo je podalo Sodišče, je mogoče odobriti le v sami sodbi, s katero se odloči o zahtevani razlagi. Če bi nacionalna sodišča imela pristojnost, da nacionalnim določbam dajo prednost pred pravom Unije, s katerim so te določbe v nasprotju, čeprav začasno, bi posegla v primarnost in enotno uporabo prava Unije (sodba z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 119 in navedena sodna praksa).

295    Drugače kot pri opustitvi postopkovne obveznosti, kakršna je predhodna presoja vplivov projekta na okolje, ki je bila obravnavana v zadevi, v kateri je bila izdana sodba z dne 29. julija 2019, Inter-Environnement Wallonie in Bond Beter Leefmilieu Vlaanderen (C‑411/17, EU:C:2019:622, točke 175, 176, 179 in 181), v kateri je Sodišče sprejelo začasno odložitev tega učinka izrinjenja, kršitve določb Direktive o PNR v povezavi s členi 7, 8 in 45 ter členom 52(1) Listine ni mogoče regularizirati prek postopka, primerljivega s tistim, ki je bil dopuščen v navedeni zadevi. Ohranitev učinkov nacionalne zakonodaje, kakršen je zakon z dne 25. decembra 2016, bi namreč pomenila, da ta zakonodaja letalskim prevoznikom in drugim prevoznikom in potovalnim agencijam še naprej nalaga obveznosti, ki so v nasprotju s pravom Unije in ki vključujejo resna poseganja v temeljne pravice oseb, katerih podatki so bili preneseni, shranjeni in obdelani, ter omejitve prostega gibanja teh oseb, ki presegajo tisto, kar je potrebno (glej po analogiji sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 122 in navedena sodna praksa).

296    Zato predložitveno sodišče ne more časovno omejiti učinkov ugotovitve nezakonitosti, ki mu je naložena v skladu z nacionalnim pravom, glede nacionalne zakonodaje iz postopka v glavni stvari (glej po analogiji sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 123 in navedena sodna praksa).

297    Nazadnje, v delu, v katerem se predložitveno sodišče sprašuje o vplivu ugotovitve morebitne nezdružljivosti zakona z dne 25. decembra 2016 z določbami Direktive o PNR v povezavi z Listino, na dopustnost in uporabo dokazov in informacij, pridobljenih s podatki, ki so jih zadevni prevozniki in potovalne agencije posredovali v okviru kazenskih postopkov, zadostuje napotitev na sodno prakso Sodišča v zvezi s tem, zlasti na načela, na katera je bilo opozorjeno v točkah od 41 do 44 sodbe z dne 2. marca 2021, Prokuratuur (Pogoji za dostop do podatkov o elektronskih komunikacijah) (C‑746/18, EU:C:2021:152), iz katerih je razvidno, da ta dopustnost v skladu z načelom procesne avtonomije držav članic spada na področje nacionalnega prava, ob upoštevanju med drugim načel enakovrednosti in učinkovitosti (glej po analogiji sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 127).

298    Glede na zgornje preudarke je treba na deseto vprašanje odgovoriti, da je treba pravo Unije razlagati tako, da nasprotuje temu, da nacionalno sodišče časovno omeji učinke ugotovitve nezakonitosti, ki mu je naložena v skladu z nacionalnim pravom glede nacionalne zakonodaje, ki letalskim prevoznikom, železniškim in kopenskim prevoznikom ter potovalnim agencijam nalaga prenos podatkov PNR ter določa obdelavo in hrambo teh podatkov, ki nista združljivi z določbami Direktive o PNR v povezavi s členom 3(2) PEU in členom 67(2) PDEU, členi 7, 8 in 45 ter členom 52(1) Listine. Dopustnost tako pridobljenih dokazov v skladu z načelom procesne avtonomije držav članic spada na področje nacionalnega prava, ob upoštevanju med drugim načel enakovrednosti in učinkovitosti.

IV.    Stroški

299    Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (veliki senat) razsodilo:

1.      Člen 2(2)(d) in člen 23 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako, da se ta uredba uporablja za obdelave osebnih podatkov, določene z nacionalno zakonodajo, katere namen je v nacionalno pravo prenesti hkrati določbe Direktive Sveta 2004/82/ES z dne 29. aprila 2004 o dolžnosti prevoznikov, da posredujejo podatke o potnikih, Direktive Evropskega parlamenta in Sveta 2010/65/EU z dne 20. oktobra 2010 o formalnostih poročanja za ladje, ki priplujejo v pristanišča držav članic in/ali izplujejo iz njih, in o razveljavitvi Direktive 2002/6/ES in Direktive (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj, na eni strani glede obdelav podatkov, ki jih izvajajo zasebni gospodarski subjekti, in na drugi strani obdelav podatkov, ki jih izvajajo javni organi, ki spadajo zgolj ali tudi na področje uporabe Direktive 2004/82 ali Direktive 2010/65. Navedena uredba pa se ne uporablja za obdelave podatkov, ki jih določa takšna zakonodaja in spadajo le na področje uporabe Direktive 2016/681 ter ki jih izvaja enota za informacije o potnikih ali pristojni organi za namene iz člena 1(2) te direktive.

2.      Ker razlaga Direktive 2016/681 z vidika členov 7, 8 in 21 ter člena 52(1) Listine Evropske unije o temeljnih pravicah zagotavlja skladnost te direktive s temi členi Listine o temeljnih pravicah, pri preučitvi drugega, tretjega, četrtega in šestega vprašanja za predhodno odločanje ni bil ugotovljen noben element, ki bi lahko vplival na veljavnost navedene direktive.

3.      Člen 6 Direktive 2016/681 v povezavi s členoma 7 in 8 ter členom 52(1) Listine o temeljnih pravicah je treba razlagati tako, da nasprotuje nacionalni zakonodaji, ki dovoljuje obdelavo podatkov iz evidence podatkov o potnikih (podatki PNR), zbranih v skladu s to direktivo, za druge namene, kot so tisti, ki so izrecno navedeni v členu 1(2) navedene direktive.

4.      Člen 12(3)(b) Direktive 2016/681 je treba razlagati tako, da nasprotuje nacionalni zakonodaji, v skladu s katero je organ, ustanovljen kot enota za informacije o potnikih, tudi pristojni nacionalni organ, ki je pooblaščen za odobritev razkritja podatkov PNR po izteku šestmesečnega obdobja od prenosa teh podatkov enoti za informacije o potnikih.

5.      Člen 12(1) Direktive 2016/681 v povezavi s členoma 7 in 8 ter členom 52(1) Listine o temeljnih pravicah je treba razlagati tako, da nasprotuje nacionalni zakonodaji, ki določa splošno petletno obdobje hrambe podatkov PNR, ki se uporablja brez razlikovanja za vse letalske potnike, vključno s tistimi, za katere niti predhodno ocenjevanje iz člena 6(2)(a) te direktive niti morebitna preverjanja, opravljena v šestmesečnem obdobju iz člena 12(2) navedene direktive, niti nobena druga okoliščina niso pokazali na obstoj objektivnih elementov, ki bi lahko dokazovali tveganje v zvezi s terorističnimi ali hudimi kaznivimi dejanji, ki so objektivno, vsaj posredno, povezana z letalskim prevozom potnikov.

6.      Direktivo 2004/82 je treba razlagati tako, da se ne uporablja za redne ali posebne lete letalskega prevoznika z odhodom na ozemlju države članice in načrtovanim prihodom na ozemlju ene ali več držav članic, brez postankov na ozemlju tretje države (leti znotraj EU).

7.      Pravo Unije, zlasti člen 2 Direktive 2016/681 v povezavi s členom 3(2) PEU, členom 67(2) PDEU in členom 45 Listine o temeljnih pravicah, je treba razlagati tako, da nasprotuje:

–        nacionalni zakonodaji, ki ob neobstoju resnične in sedanje ali predvidljive teroristične grožnje, s katero bi se spopadala zadevna država članica, določa sistem prenosa, ki ga izvajajo letalski prevozniki in potovalne agencije, in obdelave, ki jo opravljajo pristojni organi, glede podatkov PNR o vseh letih znotraj EU in prevozih, opravljenih z drugimi prevoznimi sredstvi znotraj Unije, ki prihajajo iz te države članice, ki so vanjo namenjeni ali ki so v tranzitu prek te države članice, za namene boja proti terorističnim in hudim kaznivim dejanjem. V takem položaju mora biti uporaba sistema, vzpostavljenega z Direktivo 2016/681, omejena na prenos in obdelavo podatkov PNR o letih in/ali prevozih, ki se med drugim nanašajo na nekatere povezave, določene potovalne načrte ali celo na nekatera letališča, železniške postaje ali pristanišča, za katera obstajajo indici, ki lahko upravičijo to uporabo. Zadevna država članica mora izbrati lete znotraj EU in/ali prevoze, opravljene z drugimi prevoznimi sredstvi znotraj Unije, za katere obstajajo taki indici, in navedeno uporabo redno pregledovati glede na razvoj okoliščin, ki so utemeljevale njihovo izbiro, da se zagotovi, da je uporaba tega sistema za te lete in/ali prevoze vedno omejena na tisto, kar je nujno potrebno, in

–        nacionalni zakonodaji, ki določa tak sistem prenosa in obdelave navedenih podatkov za namene izboljšanja mejnih kontrol in boja proti nezakonitemu priseljevanju.

8.      Pravo Unije je treba razlagati tako, da nasprotuje temu, da nacionalno sodišče časovno omeji učinke ugotovitve nezakonitosti, ki mu je naložena v skladu z nacionalnim pravom glede nacionalne zakonodaje, ki letalskim prevoznikom, železniškim in kopenskim prevoznikom ter potovalnim agencijam nalaga prenos podatkov PNR ter določa obdelavo in hrambo teh podatkov, ki nista združljivi z določbami Direktive 2016/681 v povezavi s členom 3(2) PEU in členom 67(2) PDEU, členi 7, 8 in 45 ter členom 52(1) Listine o temeljnih pravicah. Dopustnost tako pridobljenih dokazov v skladu z načelom procesne avtonomije držav članic spada na področje nacionalnega prava, ob upoštevanju med drugim načel enakovrednosti in učinkovitosti.

Podpisi

*      Jezik postopka: francoščina.