Sag C-817/19
Ligue des droits humains
mod
Conseil des ministres
(anmodning om præjudiciel afgørelse indgivet af Cour constitutionnelle (Belgien))
Domstolens dom (Store Afdeling) af 21. juni 2022
»Præjudiciel forelæggelse – behandling af personoplysninger – passagerlisteoplysninger (PNR-oplysninger) – forordning (EU) 2016/679 – artikel 2, stk. 2, litra d) – anvendelsesområde – direktiv (EU) 2016/681 – anvendelse af PNR-oplysninger om passagerer på flyvninger mellem Den Europæiske Union og tredjelande – mulighed for at inkludere oplysninger om passagerer på flyvninger inden for EU – automatisk behandling af disse oplysninger – opbevaringsperiode – bekæmpelse af terrorhandlinger og grov kriminalitet – gyldighed – Den Europæiske Unions charter om grundlæggende rettigheder – artikel 7, 8 og 21 samt artikel 52, stk. 1 – national lovgivning, der udvider anvendelsen af PNR-systemet til at omfatte anden befordring inden for EU – fri bevægelighed inden for EU – chartret om grundlæggende rettigheder – artikel 45«
1. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – anvendelsesområde – behandling af personoplysninger, som er fastsat i en national lovgivning, der tager sigte på at gennemføre direktiv 2004/82, 2010/65 og 2016/681 – omfattet – grænser
[Europa-Parlamentets og Rådets forordning 2016/679, art. 2, stk. 2, litra d), og art. 23; Europa-Parlamentets og Rådets direktiv 2010/65, 2016/680 og 2016/681; Rådets direktiv 2004/82]
(jf. præmis 67, 68, 73, 74, 80, 83 og 84 samt domskonkl. 1)
2. Politisamarbejde – retligt samarbejde i straffesager – anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet – direktiv 2016/681 – PNR-oplysninger – rækkevidde – de berørte flypassagerer og flyvninger – automatisk behandling af disse oplysninger – indgreb i retten til respekt for privatlivet og retten til beskyttelse af personoplysninger – foreligger ikke
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7, 8 og 21 samt art. 52, stk. 1; Europa-Parlamentets og Rådets direktiv 2016/681, art. 1, stk. 2, art. 2, art. 3, nr. 2), 4), 8) og 9), art. 6 og 12 samt bilag I og II]
(jf. præmis 94-97, 111, 122, 123, 129, 131-140, 152, 157, 162, 169-175, 184, 188, 197, 202, 213, 218-220, 223 og 225-228 samt domskonkl. 2)
3. Grundlæggende rettigheder – ret til respekt for privatlivet – beskyttelse af personoplysninger – begrænsninger – betingelser
(Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8 samt art. 52, stk. 1)
(jf. præmis 115-118)
4. Politisamarbejde – retligt samarbejde i straffesager – anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet – direktiv 2016/681 – behandling af PNR-oplysninger – formål – behandling til andre formål end de udtrykkeligt fastsatte – ikke tilladt
(Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8 samt art. 52, stk. 1; Europa-Parlamentets og Rådets direktiv 2016/681, art. 1, stk. 2, og art. 6)
(jf. præmis 233, 235, 237, 288 og 289 samt domskonkl. 3)
5. Politisamarbejde – retligt samarbejde i straffesager – anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet – direktiv 2016/681 – videregivelse af PNR-oplysninger mere end seks måneder efter, at de er blevet videregivet af flyselskaberne – betingelse – godkendelse fra en kompetent national myndighed – begreb – passageroplysningsenhed – ikke omfattet
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8; Europa-Parlamentets og Rådets direktiv 2016/681, art. 4. stk. 1-3, og art. 12, stk. 3, litra b)]
(jf. præmis 244, 245 og 247 samt domskonkl. 4)
6. Politisamarbejde – retligt samarbejde i straffesager – anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet – direktiv 2016/681 – dataopbevaringsperiode for PNR-oplysninger – generel dataopbevaringsperiode på fem år, der finder anvendelse uden forskel på alle flypassagerer – ikke tilladt
(Den Europæiske Unions charter om grundlæggende rettigheder, art. 7, 8 og 45 samt art. 52, stk. 1; Europa-Parlamentets og Rådets direktiv 2016/681, art. 12)
(jf. præmis 251, 255-259 og 262 samt domskonkl. 5)
7. Grænsekontrol, asyl og indvandring – transportvirksomheders forpligtelse til at fremsende oplysninger om passagerer – direktiv 2004/82 – anvendelsesområde – flyvninger inden for EU – ikke omfattet
[Europa-Parlamentets og Rådets direktiv 2016/681, art. 2; Rådets direktiv 2004/82, art. 2, litra a), b) og d), art. 3, stk. 1 og 2, og art. 6, stk. 1]
(jf. præmis 266-269 og domskonkl. 6)
8. Politisamarbejde – retligt samarbejde i straffesager – anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet – direktiv 2016/681 – anvendelse af dette direktiv på flyvninger inden for EU – anvendelse på samtlige flyvninger inden for EU og transporter med andre midler inden for EU, uden at der foreligger en reel og aktuel eller forudsigelig terrortrussel – ikke tilladt – begrænset anvendelse – lovlighed – betingelser
(Art. 3, stk. 2, TEU, art. 67, stk. 2, TEUF; Den Europæiske Unions charter om grundlæggende rettigheder, art. 7, 8 og 45 samt art. 52, stk. 1, Europa-Parlamentets og Rådets direktiv 2016/681)
(jf. præmis 277-282, 285, 290 og 291 samt domskonkl. 7)
9. EU-ret – forrang – direktiv 2016/681 – en national rets annullation af nationale bestemmelser, der er uforenelige med dette direktiv – muligheden for at opretholde virkningerne af de pågældende bestemmelser – foreligger ikke – antageligheden af beviser, der er fremskaffet ved hjælp af disse bestemmelser – anvendelse af national ret – grænser – overholdelse af ækvivalensprincippet og effektivitetsprincippet
(Art. 3, stk. 2, TEU, art. 67, stk. 2, TEUF; Den Europæiske Unions charter om grundlæggende rettigheder, art. 7, 8 og 45 samt art. 52, stk. 1, Europa-Parlamentets og Rådets direktiv 2016/681)
(jf. præmis 293-298 og domskonkl. 8)
Resumé
PNR-oplysninger (Passenger Name Record) er oplysninger om reservationer, som luftfartsselskaberne lagrer i deres reservations- og afgangskontrolsystemer. PNR-direktivet (1) forpligter luftfartsselskaberne til at videregive oplysninger om alle passagerer, der benytter en flyvning uden for EU mellem et tredjeland og Den Europæiske Union, til passageroplysningsenheden i den medlemsstat, som det pågældende fly flyver til eller fra, med henblik på at bekæmpe terrorisme og grov kriminalitet. De PNR-oplysninger, der således videregives, underkastes nemlig en forudgående vurdering i passageroplysningsenheden (2) og opbevares herefter med henblik på en eventuel efterfølgende vurdering, som de kompetente myndigheder i den berørte medlemsstat eller en anden medlemsstat foretager. Medlemsstaterne kan beslutte også at anvende dette direktiv på flyvninger inden for EU (3).
Ligue des droits humains (en belgisk menneskerettighedsorganisation) anlagde ved Cour constitutionnelle (forfatningsdomstol, Belgien) et søgsmål med påstand om annullation af loven af 25. december 2016 (4), der gennemfører både PNR-direktivet og API-direktivet i belgisk ret (5). Sagsøgeren anførte, at denne lov tilsidesatte retten til respekt for privatlivet og til beskyttelse af personoplysninger. Sagsøgeren anfægtede dels det meget store omfang af PNR-oplysninger, dels den generelle karakter af indsamlingen, videregivelsen og behandlingen af disse oplysninger. Loven udgjorde efter sagsøgerens opfattelse ligeledes et indgreb i den frie bevægelighed for personer, idet den indirekte genindførte grænsekontrol ved at udvide PNR-systemet til at omfatte flyvninger inden for EU og transporter med andre midler inden for EU.
I denne sammenhæng forelagde den belgiske forfatningsdomstol Domstolen ti præjudicielle spørgsmål vedrørende navnlig gyldigheden og fortolkningen af PNR-direktivet og anvendelsen af databeskyttelsesforordningen (6).
Disse spørgsmål gav Domstolen lejlighed til på ny at beskæftige sig med behandling af PNR-oplysninger i lyset af den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger (7), der er sikret ved Den Europæiske Unions charter om grundlæggende rettigheder (8). I dommen, der blev afsagt af Store Afdeling, bekræftede Domstolen gyldigheden af PNR-direktivet, for så vidt som dette kan fortolkes i overensstemmelse med chartret, og anførte nogle præciseringer vedrørende fortolkningen af visse af direktivets bestemmelser (9).
Domstolens bemærkninger
Domstolen præciserede, hvilke af de former for behandling af personoplysninger, der er fastsat i en national lovgivning som den omhandlede, der tager sigte på at gennemføre både API-direktivet og PNR-direktivet, de generelle regler i databeskyttelsesforordningen finder anvendelse på (10), hvorefter den efterprøvede PNR-direktivets gyldighed.
PNR-direktivets gyldighed
Domstolen fastslog i dommen, at da Domstolens fortolkning af PNR-direktivets bestemmelser i lyset af de grundlæggende rettigheder, som beskyttes ved chartrets artikel 7, 8 og 21 samt artikel 52, stk. 1 (11), sikrer dette direktivs overensstemmelse med disse bestemmelser i chartret, havde undersøgelsen af de forelagte spørgsmål intet frembragt, der kunne rejse tvivl om direktivets gyldighed.
Domstolen bemærkede indledningsvis, at en EU-retsakt i videst muligt omfang skal fortolkes således, at dens gyldighed ikke drages i tvivl, og i overensstemmelse med hele den primære ret og navnlig med chartrets bestemmelser, og medlemsstaterne skal således sikre, at de ikke lægger en fortolkning heraf til grund, som kommer i konflikt med de grundlæggende rettigheder, der beskyttes ved Unionens retsorden, eller med andre generelle principper, som er anerkendt i denne retsorden. Hvad angår PNR-direktivet præciserede Domstolen, at mange betragtninger og bestemmelser heri kræver en sådan overensstemmende fortolkning, idet der er lagt vægt på den betydning, som EU-lovgiver, med henvisning til et højt databeskyttelsesniveau, tillægger den fulde respekt for de grundlæggende rettigheder, som er sikret ved chartret.
Domstolen konstaterede, at PNR-direktivet indebærer indgreb af en klart alvorlig karakter i de rettigheder, som er sikret ved chartrets artikel 7 og 8, for så vidt som det bl.a. har til formål at indføre et system til kontinuerlig, ikke-målrettet og systematisk overvågning, der omfatter automatisk vurdering af personoplysninger vedrørende samtlige personer, der benytter lufttransporttjenester. Den bemærkede, at medlemsstaternes mulighed for at begrunde et sådan indgreb skal vurderes ved at bedømme dets alvor og ved at kontrollere, at betydningen af det mål af almen interesse, der forfølges, står i forhold til denne alvor.
Domstolen konkluderede, at videregivelse, behandling og opbevaring af PNR-oplysninger som fastsat i dette direktiv kan anses for at være begrænset til det strengt nødvendige med henblik på bekæmpelse af terrorhandlinger og grov kriminalitet, forudsat at beføjelserne i henhold til direktivet fortolkes snævert. Domstolen fastslog i sin dom navnlig følgende:
– Det system, der er indført ved PNR-direktivet, bør kun omfatte klart identificerbare og afgrænsede oplysninger inden for de rubrikker, der er angivet i bilag I til direktivet, som har forbindelse til flyvningen og den pågældende passager, hvilket – for visse af rubrikkerne i dette bilag – indebærer, at alene udtrykkeligt omhandlede oplysninger er omfattet (12).
– Anvendelsen af det system, der er indført ved PNR-direktivet, skal begrænses til terrorhandlinger og alene de former for grov kriminalitet, som har en – i det mindste indirekte – objektiv forbindelse med luftbefordring af passagerer. Hvad angår disse former for kriminalitet kan anvendelsen af dette system ikke udvides til at omfatte overtrædelser, der – selv om de opfylder kriteriet i dette direktiv om alvorstærsklen og bl.a. er omhandlet i bilag II til direktivet – under hensyntagen til det nationale strafferetlige systems særlige kendetegn henhører under almindelig kriminalitet.
– En eventuel udvidelse af anvendelsen af PNR-direktivet til at omfatte alle eller en del af flyvningerne inden for EU, som en medlemsstat kan træffe bestemmelse om ved at udnytte beføjelsen i henhold til dette direktiv, skal være begrænset til det strengt nødvendige. Med henblik herpå skal den udvidede anvendelse kunne gøres til genstand for en effektiv prøvelse ved en domstol eller en uafhængig administrativ enhed, der træffer bindende afgørelser. Domstolen præciserede i denne henseende følgende:
– Kun i en situation, hvor den pågældende medlemsstat konstaterer, at der foreligger tilstrækkeligt konkrete omstændigheder til at antage, at den står over for en terrortrussel, som må anses for at være reel og aktuel eller forudsigelig, vil det ikke overskride grænserne for det strengt nødvendige at anvende dette direktiv på alle flyvninger inden for EU fra eller til medlemsstaten i en periode, som er tidsmæssigt begrænset til det strengt nødvendige, men som kan forlænges (13).
– Hvis en sådan terrortrussel ikke foreligger, kan anvendelsen af dette direktiv ikke udvides til at omfatte samtlige flyvninger inden for EU, men skal begrænses til flyvninger inden for EU i forbindelse med bl.a. bestemte flyforbindelser, rejseruter eller bestemte lufthavne, for hvilke den berørte medlemsstat vurderer, at der foreligger oplysninger, der kan begrunde denne anvendelse. Det skal regelmæssigt evalueres, om denne anvendelse på de således udvalgte flyvninger inden for EU er strengt nødvendig, i lyset af udviklingen i de forhold, der har begrundet valget af disse flyvninger.
– Med henblik på den forudgående vurdering af PNR-oplysninger, der har til formål at identificere personer, for hvilke det er nødvendigt at foretage en nærmere undersøgelse før deres ankomst eller afrejse, og som i første omgang foretages ved automatisk behandling af oplysningerne, må passageroplysningsenheden for det første kun sammenholde disse oplysninger med oplysninger i databaser vedrørende personer eller genstande, der eftersøges eller er indberettet (14). Disse databaser skal være ikke-diskriminerende og benyttes af de kompetente myndigheder i forbindelse med bekæmpelse af terrorhandlinger og grov kriminalitet, der har en – i det mindste indirekte – objektiv forbindelse med luftbefordring af passagerer. Hvad for det andet angår den forudgående vurdering efter forud fastsatte kriterier må passageroplysningsenheden ikke anvende teknologier inden for kunstig intelligens i forbindelse med selvlæringssystemer (machine learning), som uden menneskelig indgriben og kontrol kan ændre vurderingsprocessen og navnlig de vurderingskriterier, som resultatet af anvendelsen af denne proces er baseret på, samt vægtningen af disse kriterier. Disse kriterier skal være fastsat således, at de specifikt er målrettet personer, for hvilke der kan foreligge en rimelig mistanke om, at de deltager i terrorhandlinger eller grov kriminalitet, og således, at de tager hensyn til både »belastende« og »diskulperende« forhold, samtidig med at de ikke giver anledning til direkte eller indirekte forskelsbehandling (15).
– Henset til den fejlmargen, som nødvendigvis er forbundet med en sådan automatisk behandling af PNR-oplysninger, og det ganske betydelige antal »falsk positive« resultater, der blev opnået efter automatisk behandling i 2018 og 2019, afhænger egnetheden af det system, der er indført ved PNR-direktivet, til at opfylde de forfulgte formål, i bund og grund af, om den kontrol af de positive resultater opnået ved denne behandling, som passageroplysningsenheden i anden omgang foretager manuelt, fungerer korrekt. I denne henseende skal medlemsstaterne fastsætte klare og præcise regler, der bestemmer grundlaget og rammerne for den analyse, som de medarbejdere i passageroplysningsenheden, der er ansvarlige for denne individuelle gennemgang, foretager, med henblik på at sikre den fulde respekt for de grundlæggende rettigheder, som er sikret ved chartrets artikel 7, 8 og 21, og navnlig sikre en konsekvent administrativ praksis i passageroplysningsenheden under overholdelse af princippet om forbud mod forskelsbehandling. De skal navnlig sikre, at passageroplysningsenheden fastsætter objektive kriterier for gennemgangen, som gør det muligt for dens medarbejdere at kontrollere dels, om og i hvilket omfang et hit faktisk vedrører en person, som kan være involveret i terrorhandlinger eller grov kriminalitet, dels at den automatiske behandling ikke er af en diskriminerende karakter. I denne sammenhæng fremhævede Domstolen også, at de kompetente myndigheder skal sikre sig, at den berørte kan forstå, hvordan disse forud fastsatte vurderingskriterier og de programmer, som anvender dem, fungerer, således at den pågældende på grundlag af et fuldt kendskab til sagen kan afgøre, om vedkommende vil gøre brug af sin klageadgang. I forbindelse med en sådan klage skal det være muligt for den dommer, der skal foretage legalitetsprøvelsen af den afgørelse, som de kompetente myndigheder har truffet, og – undtagen i tilfælde, hvor der er tale om trusler mod statens sikkerhed – for den berørte selv at få kendskab til såvel den fulde begrundelse som de beviser, på grundlag af hvilke denne afgørelse er truffet, herunder til de forud fastsatte vurderingskriterier og til, hvordan de programmer, som anvender disse kriterier, fungerer.
– Den efterfølgende videregivelse og vurdering af PNR-oplysningerne, dvs. efter den registreredes ankomst eller afrejse, må kun ske på grundlag af nye omstændigheder og objektive forhold, der enten kan begrunde en rimelig mistanke om, at den pågældende er involveret i grov kriminalitet, der har en – i det mindste indirekte – objektiv forbindelse med luftbefordring af passagerer, eller gør det muligt at antage, at disse PNR-oplysninger i en konkret sag kan bidrage effektivt til bekæmpelsen af terrorhandlinger med en sådan forbindelse. Videregivelse af PNR-oplysninger med henblik på en sådan efterfølgende vurdering skal principielt, undtagen i behørigt begrundede hastende tilfælde, være undergivet en forudgående kontrol, der foretages af enten en domstol eller en uafhængig administrativ enhed på grundlag af en begrundet anmodning fra de kompetente myndigheder, uanset om denne anmodning er blevet indgivet før eller efter udløbet af fristen på seks måneder efter videregivelsen af disse PNR-oplysninger til passageroplysningsenheden (16).
Fortolkningen af PNR-direktivet
Efter at Domstolen havde fastslået, at PNR-direktivet er gyldigt, anførte den nogle yderligere præciseringer vedrørende fortolkningen af dette direktiv. Den bemærkede for det første, at direktivet udtømmende opregner de formål, der forfølges med behandlingen af PNR-oplysninger. Dette direktiv er derfor til hinder for en national lovgivning, der tillader behandling af PNR-oplysninger til andre formål end bekæmpelse af terrorhandlinger og grov kriminalitet. En national lovgivning, der desuden anerkender efterretnings- og sikkerhedstjenesternes overvågning af de omhandlede aktiviteter som formål med behandlingen af PNR-oplysninger, kan således udgøre en tilsidesættelse af den udtømmende karakter af denne opregning. Det system, der er indført ved PNR-direktivet, må heller ikke anvendes med henblik på at forbedre grænsekontrollen og bekæmpe ulovlig indvandring (17). Det følger ligeledes heraf, at PNR-oplysninger ikke må opbevares i en enkelt database, der kan konsulteres med henblik på både PNR-direktivets formål og andre formål.
Domstolen belyste for det andet begrebet uafhængig national myndighed, der er kompetent til at kontrollere, om betingelserne for videregivelse af PNR-oplysninger med henblik på efterfølgende vurdering er opfyldt, og til at godkende en sådan videregivelse. Navnlig kan den myndighed, der er oprettet som passageroplysningsenhed, ikke kvalificeres som en sådan uafhængig myndighed, da den ikke er udenforstående i forhold til den myndighed, der anmoder om adgang til oplysningerne. Da passageroplysningsenhedens personale kan være udstationeret fra de myndigheder, der kan anmode om en sådan adgang, synes den nemlig nødvendigvis at være knyttet til disse myndigheder. PNR-direktivet er derfor til hinder for en national lovgivning, hvorefter den myndighed, der er oprettet som passageroplysningsenhed, ligeledes har egenskab af kompetent national myndighed med bemyndigelse til at godkende videregivelsen af PNR-oplysningerne ved udløbet af seksmånedersperioden efter videregivelsen af disse oplysninger til passageroplysningsenheden.
For det tredje fastslog Domstolen med hensyn til dataopbevaringsperioden for PNR-oplysninger, at PNR-direktivets artikel 12, sammenholdt med chartrets artikel 7 og 8 samt artikel 52, stk. 1, er til hinder for en national lovgivning, som fastsætter en generel opbevaringsperiode for PNR-oplysninger på fem år, der finder anvendelse uden forskel på alle flypassagerer.
Ifølge Domstolen synes opbevaring af PNR-oplysninger, efter udløbet af den indledende opbevaringsperiode på seks måneder, nemlig ikke at være begrænset til det strengt nødvendige for så vidt angår de flypassagerer, for hvilke hverken den forudgående vurdering, de eventuelle kontroller, der er foretaget i løbet af den indledende opbevaringsperiode på seks måneder, eller nogen anden omstændighed har afsløret, at der foreligger objektive forhold – såsom at PNR-oplysningerne vedrørende de pågældende passagerer har givet et hit, der er blevet kontrolleret i forbindelse med den forudgående vurdering – som kan godtgøre en risiko i forbindelse med terrorhandlinger eller grov kriminalitet, der har en – i det mindste indirekte – objektiv forbindelse med disse passagerers flyrejse. Derimod fandt Domstolen, at opbevaring af PNR-oplysninger vedrørende samtlige flypassagerer, som er omfattet af det system, der er indført ved dette direktiv, i den indledende periode på seks måneder, principielt ikke synes at gå ud over grænserne for det strengt nødvendige.
For det fjerde udtalte Domstolen sig om en eventuel anvendelse af PNR-direktivet på andre transportformer, der befordrer passagerer i EU, med henblik på bekæmpelse af terrorhandlinger og grov kriminalitet. PNR-direktivet, sammenholdt med artikel 3, stk. 2, TEU, artikel 67, stk. 2, TEUF og chartrets artikel 45, er til hinder for et system for videregivelse og behandling af PNR-oplysninger for samtlige transporter med andre midler inden for EU, når den pågældende medlemsstat ikke står over for en reel og aktuel eller forudsigelig terrortrussel. I en sådan situation skal anvendelsen af det system, der er indført ved PNR-direktivet, ligesom for flyvninger inden for EU, begrænses til at omfatte PNR-oplysninger for transporter vedrørende bl.a. bestemte flyforbindelser eller rejseruter eller bestemte banegårde eller havne, for hvilke der foreligger oplysninger, der kan begrunde denne anvendelse. Det tilkommer den pågældende medlemsstat at udvælge de transporter, for hvilke sådanne oplysninger foreligger, og regelmæssigt foretage en ny vurdering af denne anvendelse i lyset af udviklingen i de forhold, der har begrundet valget af disse transporter.