Asia C-817/19
Ligue des droits humains
vastaan
Conseil des ministres
(Cour constitutionnellen (Belgia) esittämä ennakkoratkaisupyyntö)
Unionin tuomioistuimen tuomio (suuri jaosto) 21.6.2022
Ennakkoratkaisupyyntö – Henkilötietojen käsittely – Matkustajarekisteritiedot (PNR) – Asetus (EU) 2016/679 – 2 artiklan 2 kohdan d alakohta – Soveltamisala – Direktiivi (EU) 2016/681 – Euroopan unionin ja kolmansien maiden välillä suoritettujen lentojen matkustajia koskevien matkustajarekisteritietojen käyttö – Mahdollisuus unionissa suoritettujen lentojen matkustajia koskevien tietojen sisällyttämiseen – Näiden tietojen automaattinen käsittely – Säilytysaika – Terrorismirikosten ja vakavan rikollisuuden torjunta – Pätevyys – Euroopan unionin perusoikeuskirja – 7, 8 ja 21 artikla sekä 52 artiklan 1 kohta – Kansallinen lainsäädäntö, jolla matkustajatietorekisterin käyttö ulotetaan koskemaan muutakin liikennettä unionissa – Vapaa liikkuvuus unionissa – Perusoikeuskirja – 45 artikla
1. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Soveltamisala – Henkilötietojen käsittely, josta säädetään kansallisessa lainsäädännössä, jolla direktiivit 2004/82, 2010/65 ja 2016/681 saatetaan osaksi kansallista oikeusjärjestystä – Kuuluminen soveltamisalaan – Rajat
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 2 artiklan 2 kohdan d alakohta ja 23 artikla; Euroopan parlamentin ja neuvoston direktiivit 2010/65, 2016/680 ja 2016/681; neuvoston direktiivi 2004/82)
(ks. 67, 68, 73, 74, 80, 83 ja 84 kohta sekä tuomiolauselman 1 kohta)
2. Poliisiyhteistyö – Oikeudellinen yhteistyö rikosasioissa – Matkustajarekisteritietojen (PNR) käyttö terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten – Direktiivi 2016/681 – PNR-tiedot – Ulottuvuus – Asianomaiset lentomatkustajat ja lennot – Näiden tietojen automaattinen käsittely ei loukkaa oikeutta yksityiselämän kunnioittamiseen ja henkilötietojen suojaan
(Euroopan unionin perusoikeuskirjan 7, 8 ja 21 artikla sekä 52 artiklan 1 kohta; Euroopan parlamentin ja neuvoston direktiivin 2016/681 1 artiklan 2 kohta, 2 artikla, 3 artiklan 2, 4, 8 ja 9 alakohta, 6 ja 12 artikla sekä liitteet I ja II)
(ks. 94–97, 111, 122, 123, 129, 131–140, 152, 157, 162, 169–175, 184, 188, 197, 202, 213, 218–220, 223 ja 225–228 kohta sekä tuomiolauselman 2 kohta)
3. Perusoikeudet – Yksityiselämän kunnioittaminen – Henkilötietojen suoja – Rajat – Edellytykset
(Euroopan unionin perusoikeuskirjan 7, 8 ja 21 artikla sekä 52 artiklan 1 kohta)
(ks. 115–118 kohta)
4. Poliisiyhteistyö – Oikeudellinen yhteistyö rikosasioissa – Matkustajarekisteritietojen (PNR) käyttö terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten – Direktiivi 2016/681 – PNR-tietojen käsittely – Tarkoitukset – Käsittelyä muita kuin nimenomaisesti säädettyjä tarkoituksia varten ei voida hyväksyä
(Euroopan unionin perusoikeuskirjan 7 ja 8 artikla sekä 52 artiklan 1 kohta; Euroopan parlamentin ja neuvoston direktiivin 2016/681 1 artiklan 2 kohta ja 6 artikla)
(ks. 233, 235, 237, 288 ja 289 kohta sekä tuomiolauselman 3 kohta)
5. Poliisiyhteistyö – Oikeudellinen yhteistyö rikosasioissa – Matkustajarekisteritietojen (PNR) käyttö terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten – Direktiivi 2016/681 – PNR-tietojen luovuttaminen yli kuuden kuukauden kuluttua siitä, kun lentoliikenteen harjoittajat olivat siirtäneet ne – Edellytys – Toimivaltaisen kansallisen viranomaisen hyväksyntä – Käsite – Matkustajatietoyksikkö ei kuulu käsitteen piiriin
(Euroopan unionin perusoikeuskirjan 7 ja 8 artikla; Euroopan parlamentin ja neuvoston direktiivin 2016/681 4 artiklan 1–3 kohta ja 12 artiklan 3 kohdan b alakohta)
(ks. 244, 245 ja 247 kohta sekä tuomiolauselman 4 kohta)
6. Poliisiyhteistyö – Oikeudellinen yhteistyö rikosasioissa – Matkustajarekisteritietojen (PNR) käyttö terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten – Direktiivi 2016/681 – PNR-tietojen säilytysaika – Yleistä viiden vuoden säilytysaikaa, jota sovelletaan erotuksetta kaikkiin lentomatkustajiin, ei voida hyväksyä
(Euroopan unionin perusoikeuskirjan 7, 8 ja 45 artikla sekä 52 artiklan 1 kohta; Euroopan parlamentin ja neuvoston direktiivin 2016/681 12 artikla)
(ks. 251, 255–259 ja 262 kohta sekä tuomiolauselman 5 kohta)
7. Rajavalvonta, turvapaikka ja maahanmuutto – Liikenteenharjoittajien velvollisuus toimittaa tietoja matkustajista – Direktiivi 2004/82 – Soveltamisala – EU:n sisäiset lennot eivät kuulu soveltamisalaan
(Euroopan parlamentin ja neuvoston direktiivin 2016/681 2 artikla; neuvoston direktiivin 2004/82 2 artiklan a, b ja d alakohta, 3 artiklan 1 ja 2 kohta sekä 6 artiklan 1 kohta)
(ks. 266–269 kohta sekä tuomiolauselman 6 kohta)
8. Poliisiyhteistyö – Oikeudellinen yhteistyö rikosasioissa – Matkustajarekisteritietojen (PNR) käyttö terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten – Direktiivi 2016/681 – Soveltaminen EU:n sisäisiin lentoihin – Soveltamista kaikkiin EU:n sisäisiin lentoihin ja muilla liikennevälineillä unionin alueella suoritettuihin kuljetuksiin silloin, kun todellista ja konkreettista tai ennakoitavissa olevaa terrorismiuhkaa ei ole, ei voida hyväksyä – Rajoitetun soveltamisen hyväksyttävyyden edellytykset
(SEU 3 artiklan 2 kohta; SEUT 67 artiklan 2 kohta; Euroopan unionin perusoikeuskirjan 7, 8 ja 45 artikla sekä 52 artiklan 1 kohta; Euroopan parlamentin ja neuvoston direktiivi 2016/681)
(ks. 277–282, 285, 290 ja 291 kohta sekä tuomiolauselman 7 kohta)
9. Euroopan unionin oikeus – Ensisijaisuus – Direktiivi 2016/681 – Kyseisen direktiivin vastaisten kansallisten säännösten kumoaminen kansallisessa tuomioistuimessa – Ei mahdollisuutta kyseisten säännösten vaikutusten pysyttämiseen – Kyseisten säännösten nojalla saatujen todisteiden tutkittavaksi ottaminen – Kansallisen oikeuden soveltaminen – Rajat – Vastaavuusperiaatteen ja tehokkuusperiaatteen noudattaminen
(SEU 3 artiklan 2 kohta; SEUT 67 artiklan 2 kohta; Euroopan unionin perusoikeuskirjan 7, 8 ja 45 artikla sekä 52 artiklan 1 kohta; Euroopan parlamentin ja neuvoston direktiivi 2016/681)
(ks. 293–298 kohta sekä tuomiolauselman 8 kohta)
Tiivistelmä
PNR-tiedot (Passenger Name Record) ovat tietoja, joita lentoliikenteen harjoittajat tallentavat varausjärjestelmiinsä ja lähtöselvitysjärjestelmiinsä. PNR-direktiivissä(1) velvoitetaan kyseiset liikenteenharjoittajat siirtämään kolmannen maan ja Euroopan unionin välillä suoritettavaa EU:n ulkopuolista lentoa käyttävien kaikkien matkustajien tiedot kyseisen lennon määräpaikan tai lähtöpaikan jäsenvaltion matkustajatietoyksikölle terrorismin ja vakavan rikollisuuden torjumiseksi. Matkustajatietoyksikkö nimittäin arvioi näin siirretyt PNR-tiedot etukäteen, minkä jälkeen tiedot säilytetään asianomaisen jäsenvaltion tai toisen jäsenvaltion toimivaltaisten viranomaisten mahdollisesti suorittamaa myöhempää arviointia(2) varten. Jäsenvaltiot voivat päättää soveltaa tätä direktiiviä myös EU:n sisäisiin lentoihin.(3)
Ligue des droits humains nosti Cour de constitutionnellessa (perustuslakituomioistuin, Belgia) kumoamiskanteen 25.12.2016 annetusta laista(4), jolla sekä PNR-direktiivi että API-direktiivi(5) saatettiin osaksi kansallista oikeusjärjestystä. Kantajan mukaan kyseinen laki loukkaa oikeutta yksityiselämän kunnioittamiseen ja henkilötietojen suojaan. Se arvostelee yhtäältä sitä, että PNR tiedot ovat erittäin laajoja, ja toisaalta sitä, että niiden kerääminen, siirtäminen ja käsittely on luonteeltaan yleistä. Kantajan mukaan laki loukkaa myös henkilöiden vapaata liikkuvuutta, koska sillä palautetaan välillisesti rajatarkastukset ulottamalla PNR-järjestelmä EU:n sisäisiin lentoihin ja muilla liikennemuodoilla unionin alueella tehtyihin matkoihin.
Tässä yhteydessä Belgian perustuslakituomioistuin on esittänyt unionin tuomioistuimelle kymmenen ennakkoratkaisukysymystä, jotka koskevat erityisesti PNR-direktiivin pätevyyttä ja tulkintaa sekä yleisen tietosuoja-asetuksen(6) sovellettavuutta.
Näiden kysymysten johdosta unionin tuomioistuimen on jälleen tarkasteltava PNR-tietojen käsittelyä Euroopan unionin perusoikeuskirjassa(7) vahvistettujen yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien perusoikeuksien(8) kannalta. Unionin tuomioistuimen suuri jaosto vahvistaa tuomiossaan, että PNR-direktiivi on pätevä, koska sitä on mahdollista tulkita perusoikeuskirjan mukaisesti, ja esittää täsmennyksiä sen tiettyjen säännösten(9) tulkinnasta.
Unionin tuomioistuimen arviointi asiasta
Unionin tuomioistuin täsmentää ensin, mihin niistä henkilötietojen käsittelyistä, joista säädetään kansallisessa lainsäädännössä, jonka tarkoituksena on nyt kyseessä olevan kansallisen lainsäädännön tavoin saattaa yhtaikaa API-direktiivi ja PNR-direktiivi osaksi kansallista oikeusjärjestystä, sovelletaan yleisen tietosuoja-asetuksen yleisiä sääntöjä,(10) ja tutkii sitten PNR-direktiivin pätevyyden.
PNR-direktiivin pätevyys
Unionin tuomioistuin toteaa tuomiossaan, että koska unionin tuomioistuimen omaksuma PNR-direktiivin säännösten tulkitseminen Euroopan unionin perusoikeuskirjan 7, 8 ja 21 artiklassa sekä 52 artiklan 1 kohdassa(11) taattujen perusoikeuksien mukaisesti varmistaa tämän direktiivin yhdenmukaisuuden perusoikeuskirjan kyseisten artiklojen kanssa, esitettyjä kysymyksiä tutkittaessa ei ole tullut esille mitään, mikä vaikuttaisi mainitun direktiivin pätevyyteen.
Unionin tuomioistuin muistuttaa aluksi, että unionin toimea on tulkittava niin pitkälle kuin mahdollista tavalla, joka ei aseta sen pätevyyttä kyseenalaiseksi, ja kaiken primaarioikeuden sekä erityisesti perusoikeuskirjan määräysten mukaisesti, joten jäsenvaltioiden on myös varottava tukeutumasta sellaiseen kyseisen toimen tulkintaan, joka johtaisi ristiriitaan unionin oikeusjärjestyksellä suojattujen perusoikeuksien tai muiden unionin oikeusjärjestyksessä tunnustettujen yleisten periaatteiden kanssa. PNR-direktiivin osalta unionin tuomioistuin täsmentää, että useissa kyseisen direktiivin johdanto osan perustelukappaleissa ja säännöksissä edellytetään perusoikeuksien mukaista tulkintaa, sekä korostaa merkitystä, jonka unionin lainsäätäjä antaa perusoikeuskirjassa taattujen perusoikeuksien täysimääräiselle kunnioittamiselle viitatessaan tietosuojan korkeaan tasoon.
Unionin tuomioistuin toteaa, että PNR-direktiiviin sisältyy selvästi vakavia puuttumisia perusoikeuskirjan 7 ja 8 artiklassa taattuihin oikeuksiin erityisesti siltä osin kuin sen tarkoituksena on ottaa käyttöön jatkuva, kohdentamaton ja järjestelmällinen valvontajärjestelmä, johon kuuluu kaikkien lentoliikennepalveluja käyttävien henkilöiden henkilötietojen automaattinen arviointi. Se muistuttaa, että jäsenvaltioiden mahdollisuutta oikeuttaa tällainen puuttuminen on arvioitava mittaamalla puuttumisen vakavuus ja tarkastamalla, että yleisen edun mukaisen tavoitteen tärkeys on suhteessa tähän vakavuuteen.
Unionin tuomioistuin katsoo, että kyseisessä direktiivissä säädetyn PNR-tietojen siirron, käsittelyn ja säilyttämisen voidaan katsoa olevan rajoitettuja siihen, mikä on ehdottoman välttämätöntä terrorismirikosten ja vakavan rikollisuuden torjumiseksi, edellyttäen että mainitussa direktiivissä säädettyjä toimivaltuuksia tulkitaan suppeasti. Tänään annetussa tuomiossa täsmennetään tältä osin muun muassa seuraavaa:
– PNR-direktiivillä käyttöön otettu järjestelmä saa koskea vain kyseisen direktiivin liitteessä I mainittuja tietoja, jotka ovat selvästi tunnistettavissa ja rajattuja ja joilla on suora yhteys suoritettuun lentoon ja asianomaiseen matkustajaan, mikä edellyttää tiettyjen kyseisessä liitteessä olevien otsikkojen osalta sitä, että järjestelmä koskee vain nimenomaisesti mainittuja tietoja.(12)
– PNR-direktiivillä käyttöön otetun järjestelmän soveltaminen on rajoitettava terrorismirikoksiin ja ainoastaan sellaisiin vakavan rikollisuuden muotoihin, joilla on vähintään välillinen objektiivinen yhteys matkustajalentoliikenteeseen. Tällaisten vakavan rikollisuuden muotojen osalta järjestelmän soveltamista ei saada ulottaa sellaisiin rikoksiin, jotka täyttävät kyseisessä direktiivissä säädetyn vakavuuskynnystä koskevan kriteerin ja joita direktiivin liitteessä II muun muassa tarkoitetaan mutta jotka kuitenkin kansallisen rikosoikeusjärjestelmän erityispiirteet huomioon ottaen kuuluvat tavanomaisen rikollisuuden alaan.
– Mahdollinen PNR-direktiivin soveltamisen ulottaminen kaikkiin tai joihinkin EU:n sisäisiin lentoihin, mistä jäsenvaltio voi päättää käyttämällä kyseisessä direktiivissä säädettyä mahdollisuutta, on rajattava siihen, mikä on ehdottoman välttämätöntä. Tätä varten tuomioistuimen tai riippumattoman hallinnollisen elimen, jonka ratkaisu on sitova, on voitava kohdistaa tällaiseen soveltamiseen tehokasta valvontaa. Tältä osin unionin tuomioistuin täsmentää seuraavaa:
– Vain siinä tapauksessa, että mainittu jäsenvaltio toteaa, että on olemassa riittävän konkreettisia seikkoja, joiden perusteella voidaan katsoa, että jäsenvaltioon kohdistuu todellinen ja välitön tai ennakoitavissa oleva terroriuhka, kyseisen direktiivin soveltaminen kaikkiin EU:n sisäisiin lentoihin, jotka lähtevät kyseisestä jäsenvaltiosta tai saapuvat sinne, täysin välttämättömäksi rajoitettuna ajanjaksona, jota voidaan kuitenkin jatkaa, ei ylitä ehdottomasti välttämättömän rajoja.(13)
– Silloin, kun tällaista terroriuhkaa ei ole, mainitun direktiivin soveltamista ei saa ulottaa kaikkiin EU:n sisäisiin lentoihin vaan soveltaminen on rajoitettava tiettyihin EU:n sisäisiin lentoihin, jotka liittyvät muun muassa tiettyihin lentoyhteyksiin tai matkustusjärjestelyihin tai tiettyihin lentoasemiin, joiden osalta on asianomaisen jäsenvaltion arvion mukaan olemassa viitteitä, jotka voivat oikeuttaa tämän soveltamisen. Kysymystä siitä, onko järjestelmän soveltaminen täten valittuihin EU:n sisäisiin lentoihin täysin välttämätöntä, on tarkasteltava säännöllisin väliajoin uudelleen niiden valitsemisen perusteina olleiden seikkojen kehittymisen mukaan.
– PNR tietojen etukäteisarviointia varten, jonka tarkoituksena on tunnistaa henkilöt, joista on tehtävä lisätutkimuksia ennen heidän saapumistaan tai lähtöään, ja joka tehdään ensi vaiheessa tietojen automaattisella käsittelyllä, matkustajatietoyksikkö saa vertailla näitä tietoja vain tietokantoihin, jotka koskevat etsittyjä tai kuulutuksen kohteena olevia henkilöitä tai esineitä.(14) Kyseisten tietokantojen on oltava syrjimättömiä, ja toimivaltaisten viranomaisten on käytettävä niitä terrorismirikosten ja sellaisen vakavan rikollisuuden, jolla on ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen, torjuntaa koskevassa tehtävässään. Siltä osin kuin kyse on toisaalta etukäteisarvioinnista ennalta määritetyin perustein, matkustajatietoyksikkö ei saa käyttää tekoälyteknologiaa koneoppimiseen (machine learning) perustuvissa järjestelmissä, jotka voivat ilman ihmisen puuttumista ja valvontaa muuttaa arviointiprosessia ja erityisesti arviointikriteereitä, joihin kyseisen prosessin soveltamisen tulos perustuu, sekä näiden kriteerien painotusta. Mainitut perusteet on määritettävä siten, että ne kohdistuvat selvästi henkilöihin, joiden voidaan perustellusti epäillä olevan osallisina terrorismirikoksissa tai vakavassa rikollisuudessa, ja siten, että otetaan huomioon sekä asianomaista henkilöä ”vastaan” että hänen ”puolestaan” puhuvat seikat, ja samalla siten, ettei tämä johda välittömään eikä välilliseen syrjintään.(15)
– Kun otetaan huomioon PNR-tietojen automaattisiin käsittelyihin liittyvä virheprosentti ja erityisesti niitä vuosina 2018 ja 2019 sovellettaessa saatujen ”väärien positiivisten” tulosten varsin huomattava määrä, PNR direktiivillä perustetun järjestelmän soveltuvuus riippuu olennaisesti siitä, että näiden käsittelyjen perusteella saatujen positiivisten tulosten tarkistaminen matkustajatietoyksikön toimesta toisessa vaiheessa muilla kuin automaattisilla keinoilla toimii asianmukaisesti. Tältä osin jäsenvaltioiden on säädettävä selkeistä ja täsmällisistä säännöistä, joilla voidaan ohjata ja säännellä yksittäin suoritettavasta tarkistuksesta vastaavan matkustajatietoyksikön toimihenkilöiden tekemää analyysiä, jotta voidaan varmistaa, että perusoikeuskirjan 7, 8 ja 21 artiklassa vahvistettuja perusoikeuksia kunnioitetaan täysimääräisesti, ja erityisesti taata matkustajatietoyksikön hallintokäytännön johdonmukaisuus syrjintäkiellon periaatetta noudattaen. Jäsenvaltioiden on muun muassa varmistettava, että matkustajatietoyksikkö vahvistaa objektiiviset tarkistuskriteerit, joiden avulla sen toimihenkilöt voivat tarkistaa yhtäältä sen, koskeeko – ja jos koskee niin missä määrin – osuma (hit) tosiasiallisesti henkilöä, joka voi olla osallisena terrorismirikoksissa tai vakavassa rikollisuudessa, sekä toisaalta sen, että automaattiset käsittelyt ovat syrjimättömiä. Tässä yhteydessä unionin tuomioistuin korostaa vielä, että toimivaltaisten viranomaisten on varmistettava, että asianomainen henkilö voi ymmärtää ennalta määritetyt kriteerit ja niiden soveltamiseen käytettyjen ohjelmien toimintatavan siinä määrin, että hän voi päättää kaikista asiaan vaikuttavista seikoista tietoisena, käyttääkö hän oikeuttaan oikeudellisiin muutoksenhakukeinoihin. Vastaavasti tällaisen oikeussuojakeinon yhteydessä tuomioistuimen, jonka tehtävänä on toimivaltaisten viranomaisten tekemän päätöksen laillisuuden tutkiminen, sekä, jollei tästä aiheudu uhkaa valtion turvallisuudelle, myös asianomaisen itsensä on voitava saada tieto sekä kaikista perusteista että kaikesta selvitysaineistosta, joiden perusteella kyseinen päätös on tehty, mukaan lukien etukäteen määritetyt kriteerit ja niiden soveltamiseen käytettyjen ohjelmien toimintatapa.
– PNR-tietojen luovuttaminen ja arviointi myöhemmin eli asianomaisen henkilön saapumisen tai lähdön jälkeen on sallittua vain sellaisten uusien olosuhteiden ja objektiivisten seikkojen perusteella, jotka joko antavat perustellun aiheen epäillä asianomaisen henkilön olevan osallisena terrorismirikoksissa tai vakavassa rikollisuudessa, jolla on ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen, taikka joiden perusteella voidaan katsoa, että PNR-tiedot voivat konkreettisessa tapauksessa tosiasiallisesti myötävaikuttaa sellaisen terrorismirikollisuuden torjumiseen, jolla on tällainen yhteys. Lähtökohtaisesti PNR-tietojen luovuttaminen myöhempää arviointia varten edellyttää asianmukaisesti perusteltuja kiireellisiä tapauksia lukuun ottamatta joko tuomioistuimen tai riippumattoman hallintoelimen etukäteisvalvontaa ja sitä, että kyseisen tuomioistuimen tai elimen ratkaisu annetaan perustellusta pyynnöstä siitä riippumatta, onko pyyntö esitetty ennen tietojen siirtämisestä alkavan kuuden kuukauden määräajan päättymistä vai sen jälkeen.(16)
PNR-direktiivin tulkinta
Todettuaan PNR-direktiivin päteväksi unionin tuomioistuin esittää lisätarkennuksia kyseisen direktiivin tulkinnasta. Se toteaa ensinnäkin, että direktiivissä luetellaan tyhjentävästi PNR-tietojen käsittelyllä tavoitellut päämäärät. Kyseinen direktiivi on näin ollen esteenä kansalliselle lainsäädännölle, jossa sallitaan PNR-tietojen käsittely muihin tarkoituksiin kuin terrorismirikosten ja vakavan rikollisuuden torjuntaan. Näin ollen kansallinen lainsäädäntö, jossa sallitaan PNR-tietojen käsittelyn tarkoitukseksi myös tiedustelu- ja turvallisuuspalvelujen toimintojen seuranta, saattaa jättää huomiotta sen, että luettelo on tyhjentävä. PNR-direktiivillä käyttöön otetusta järjestelmästä ei voida myöskään säätää rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi.(17) Tästä seuraa myös, että PNR-tietoja ei saa säilyttää sellaisessa yhtenäisessä tietokannassa, johon voidaan tehdä hakuja sekä PNR-direktiivin tavoitteisiin että muunlaisiin tavoitteisiin pyrittäessä.
Toiseksi unionin tuomioistuin selventää sellaisen riippumattoman kansallisen viranomaisen käsitettä, jolla on toimivalta tarkistaa, täyttyvätkö PNR-tietojen toimittamisen edellytykset niiden myöhempää arviointia varten, ja hyväksyä tällainen luovuttaminen. Erityisesti matkustajatietoyksiköksi perustettua viranomaista ei voida luokitella sellaiseksi viranomaiseksi, koska se ei ole ulkopuolinen siihen viranomaiseen nähden, joka pyytää oikeutta tutustua tietoihin. Koska matkustajatietoyksikön henkilöstöön kuuluvat voivat olla tällaisen tutustumisoikeuden hakemiseen oikeutettujen viranomaisten lähettämiä toimihenkilöitä, matkustajatietoyksiköllä on ilmeisesti välttämättä yhteys näihin viranomaisiin. Näin ollen PNR-direktiivi on esteenä kansalliselle lainsäädännölle, jonka mukaan matkustajatietoyksiköksi perustettu viranomainen on samalla toimivaltainen kansallinen viranomainen, jolla on toimivalta hyväksyä PNR-tietojen luovuttaminen näiden tietojen matkustajatietoyksikölle siirtämisestä alkavan kuuden kuukauden ajanjakson päätyttyä.
Kolmanneksi unionin tuomioistuin toteaa PNR-tietojen säilytysajasta, että PNR-direktiivin 12 artikla, luettuna perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan valossa, on esteenä kansalliselle lainsäädännölle, jossa säädetään PNR-tietojen viiden vuoden pituisesta yleisestä säilytysajasta, jota sovelletaan erotuksetta kaikkiin lentomatkustajiin.
Unionin tuomioistuin nimittäin katsoo, että PNR-tietojen säilyttäminen kuuden kuukauden alkuperäisen ajanjakson jälkeen ei ilmeisesti rajoitu täysin välttämättömään niiden lentomatkustajien osalta, joiden osalta etukäteisarviointi, kuuden kuukauden jakson aikana suoritetut mahdolliset tarkistukset tai mikään muukaan seikka ei ole osoittanut sellaisten objektiivisten seikkojen – kuten esimerkiksi sen seikan, että asianomaisten matkustajien PNR-tiedot ovat tuottaneet etukäteisarvioinnin yhteydessä tarkistetun osuman – olemassaoloa, joiden perusteella voitaisiin todeta terrorismirikoksiin tai vakavaan rikollisuuteen liittyvä riski, jolla on ainakin välillinen objektiivinen yhteys kyseisten matkustajien suorittamaan lentomatkaan. Sen sijaan unionin tuomioistuin katsoo, että kaikkien kyseisellä direktiivillä käyttöön otetun järjestelmän soveltamisalaan kuuluvien lentomatkustajien PNR-tietojen säilyttäminen kuuden kuukauden alkuperäisen jakson ajan ei lähtökohtaisesti näytä ylittävän ehdottomasti välttämättömän rajoja.
Neljänneksi unionin tuomioistuin antaa ohjeita PNR-direktiivin mahdollisesta soveltamisesta muihin matkustajia unionissa kuljettaviin liikennemuotoihin terrorismirikosten ja vakavan rikollisuuden torjumiseksi. Direktiivi, luettuna SEU 3 artiklan 2 kohdan, SEUT 67 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan valossa, on esteenä järjestelmälle, jossa siirretään ja käsitellään kaikilla liikennemuodoilla unionin alueella suoritettavien kuljetusten PNR-tietoja silloinkin, kun kyseessä olevaan jäsenvaltioon ei kohdistu todellista ja konkreettista tai ennakoitavissa olevaa terrorismiuhkaa. Tällaisessa tilanteessa PNR-direktiivillä käyttöön otettua järjestelmää on nimittäin sovellettava EU:n sisäisten lentojen tavoin ainoastaan sellaisten kuljetusten PNR-tietojen siirtoon ja käsittelyyn, jotka liittyvät muun muassa tiettyihin reitteihin tai matkustusjärjestelyihin tai tiettyihin lentoasemiin, rautatieasemiin tai merisatamiin, joiden osalta on olemassa viitteitä, jotka voivat oikeuttaa tämän soveltamisen. Asianomaisen jäsenvaltion tehtävänä on valita ne kuljetukset, joiden osalta tällaisia viitteitä on olemassa, ja tarkastella mainittua soveltamista säännöllisesti uudelleen näiden kuljetusten valinnan perusteena olleiden olosuhteiden kehityksen mukaan.