Predmet C-817/19
Ligue des droits humains
protiv
Conseil des ministres
(zahtjev za prethodnu odluku koji je uputio Cour constitutionnelle (Ustavni sud, Belgija))
Presuda Suda (veliko vijeće) od 21. lipnja 2022.
„Zahtjev za prethodnu odluku – Obrada osobnih podataka – Podaci iz evidencije podataka o putnicima (PNR) – Uredba (EU) 2016/679 – Članak 2. stavak 2. točka (d) – Područje primjene – Direktiva (EU) 2016/681 – Upotreba podataka iz PNR-a o putnicima na letovima koji se izvode između Europske unije i trećih zemalja – Mogućnost uključivanja podataka o putnicima na letovima koji se izvode unutar Unije – Automatizirana obrada tih podataka – Rok za čuvanje – Borba protiv kaznenih djela terorizma i teških kaznenih djela – Valjanost – Povelja Europske unije o temeljnim pravima – Članci 7., 8. i 21. te članak 52. stavak 1. – Nacionalno zakonodavstvo kojim se primjena PNR sustava proširuje na druge prijevoze koji se odvijaju unutar Unije – Sloboda kretanja unutar Unije – Povelja o temeljnim pravima – Članak 45.”
1. Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Područje primjene – Obrada osobnih podataka predviđena nacionalnim propisom kojim se nastoje prenijeti direktive 2004/82, 2010/65 i 2016/681 – Uključivanje – Granice
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 2. st. 2. t. (d) i čl. 23.; direktive 2010/65, 2016/680 i 2016/681 Europskog parlamenta i Vijeća; Direktiva Vijeća 2004/82)
(t. 67., 68., 73., 74., 80., 83., 84., t. 1. izreke)
2. Policijska suradnja – Pravosudna suradnja u kaznenim stvarima – Uporaba podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela – Direktiva 2016/681 – Podaci iz PNR-a – Doseg – Predmetni zrakoplovni putnici i letovi – Automatizirana obrada tih podataka – Povreda prava na poštovanje privatnog života i zaštitu osobnih podataka – Nepostojanje
(Povelja Europske unije o temeljnim pravima, čl. 7., 8., 21. i čl. 52. st. 1.; Direktiva 2016/681 Europskog parlamenta i Vijeća, čl. 1. st. 2., čl. 2., čl. 3. t. 2., 4., 8. i 9., čl. 6. i 12. te prilozi I. i II.)
(t. 94.-97., 111., 122., 123., 129., 131.-140., 152., 157., 162., 169.-175., 184., 188., 197., 202., 213., 218.-220., 223., 225.-228., t. 2. izreke)
3. Temeljna prava – Poštovanje privatnog života – Zaštita osobnih podataka – Ograničenja – Uvjeti
(Povelja Europske unije o temeljnim pravima., čl. 7., 8. i čl. 52. st. 1.)
(t. 115.-118.)
4. Policijska suradnja – Pravosudna suradnja u kaznenim stvarima – Uporaba podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela – Direktiva 2016/681 – Obrada podataka iz PNR-a – Svrhe – Obrada u svrhe koje nisu izričito predviđene svrhe – Nedopuštenost
(Povelja Europske unije o temeljnim pravima, čl. 7., 8. i čl. 52. st. 1.; Direktiva 2016/681 Europskog parlamenta i Vijeća, čl. 1. st. 2. i čl. 6.)
(t. 233., 235., 237., 288., 289., t. 3. izreke)
5. Policijska suradnja – Pravosudna suradnja u kaznenim stvarima – Uporaba podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela – Direktiva 2016/681 – Dostavljanje podataka iz PNR-a šest mjeseci nakon što su ih prenijeli zračni prijevoznici – Uvjet – Odobrenje nadležnog nacionalnog tijela – Pojam – Odjel za informacije o putnicima – Isključenost
(Povelja Europske unije o temeljnim pravima, čl. 7. i 8.; Direktiva 2016/681 Europskog parlamenta i Vijeća, čl. 4. st. 1. do 3. i čl. 12. st. 3. t. (b))
(t. 244., 245., 247., t. 4. izreke)
6. Policijska suradnja – Pravosudna suradnja u kaznenim stvarima – Uporaba podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela – Direktiva 2016/681 – Razdoblje čuvanja podataka iz PNR-a – Opći rok za čuvanje od pet godina koji se bez razlike primjenjuje na sve zrakoplovne putnike – Nedopuštenost
(Povelja Europske unije o temeljnim pravima, čl. 7., 8., 45. i čl. 52. st. 1.; Direktiva 2016/681 Europskog parlamenta i Vijeća, čl. 12.)
(t. 251., 255.-259., 262., t. 5. izreke)
7. Granična kontrola, azil i useljavanje – Obveza prijevoznika da dostave podatke o putnicima – Direktiva 2004/82 – Područje primjene – Letovi unutar EU-a – Isključenost
(Direktiva 2016/681 Europskog Parlamenta i Vijeća, čl. 2.; Direktiva Vijeća 2004/82, čl. 2. t. (a), (b) i (d), čl. 3. st. 1. i 2., čl. 6. st. 1.)
(t. 266.-269., t. 6. izreke)
8. Policijska suradnja – Pravosudna suradnja u kaznenim stvarima – Uporaba podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela – Direktiva 2016/681 – Primjena Direktive na letove unutar EU-a – Primjena na sve letove unutar EU-a i prijevoze koji se odvijaju drugim sredstvima unutar Unije ako ne postoji stvarna i trenutačna ili predvidljiva teroristička prijetnja – Nedopuštenost – Ograničena primjena – Dopuštenost – Uvjeti
(čl. 3. st. 2. UEU-a; čl. 67. st. 2. UFEU-a; Povelja Europske unije o temeljnim pravima, čl. 7., 8., 45. i čl. 52. st. 1.; Direktiva 2016/681 Europskog parlamenta i Vijeća)
(t. 277.-282., 285., 290., 291., t. 7. izreke)
9. Pravo Europske unije – Nadređenost – Direktiva 2016/681 – Poništenje nacionalnih odredbi neusklađenih s tom direktivom koje proglašava nacionalni sud – Mogućnost održavanja na snazi učinaka predmetnih odredbi – Nepostojanje – Dopuštenost dokaza dobivenih na temelju tih odredbi – Primjena nacionalnog prava – Granice – Poštovanje načelâ ekvivalentnosti i djelotvornosti
(čl. 3. st. 2. UEU-a; čl. 67. st. 2. UFEU-a; Povelja Europske unije o temeljnim pravima, čl. 7., 8., 45. i čl. 52. st. 1.; Direktiva 2016/681 Europskog parlamenta i Vijeća)
(t. 293.-298., t. 8. izreke)
Kratak prikaz
Podaci iz PNR-a (Passenger Name Record) informacije su o rezervaciji koje pohranjuju zračni prijevoznici u svojim sustavima rezervacija i kontrole odlazaka. Direktiva o PNR-u(1) obvezuje te prijevoznike da podatke o svim putnicima koji putuju na letu između EU-a i trećih zemalja prenesu odjelu za informacije o putnicima (u daljnjem tekstu: PIU) države članice odredišta ili polaska predmetnog leta u svrhu borbe protiv kaznenih djela terorizma i teških kaznenih djela. Naime, u pogledu tako prenesenih podataka iz PNR-a PIU provodi prethodnu procjenu(2) te se oni zatim čuvaju u svrhu eventualne naknadne procjene koju provode nadležna tijela dotične države članice ili druge države članice. Države članice mogu odlučiti primijeniti Direktivu i na letove unutar EU-a(3).
Ligue des droits humains podnio je Couru constitutionnelle (Ustavni sud, Belgija) tužbu za poništenje protiv Zakona od 25. prosinca 2016.(4) kojim se u belgijsko pravo prenosi Direktiva o PNR-u i Direktiva o API-ju(5). Prema tužiteljevu mišljenju, tim se zakonom povređuje pravo na poštovanje privatnog života i zaštitu osobnih podataka. Tužitelj kritizira, s jedne strane, široki opseg podataka iz PNR-a i, s druge strane, opću prirodu prikupljanja, prijenosa i obrade tih podataka. Zakonom se ugrožava i slobodno kretanje osoba jer se njime neizravno ponovno uspostavljaju granične kontrole proširenjem PNR sustava na letove unutar EU-a i prijevoze koji se odvijaju drugim sredstvima unutar Unije.
U tom je kontekstu belgijski Cour constitutionnelle (Ustavni sud) uputio Sudu deset prethodnih pitanja koja se odnose, među ostalim, na valjanost i tumačenje Direktive o PNR-u i primjenjivost GDPR-a(6).
U tim se pitanjima od Suda traži da ponovno odluči o obradi podataka iz PNR-a s obzirom na temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka(7), propisana Poveljom Europske unije o temeljnim pravima(8). Sud u presudi koju je donijelo njegovo veliko vijeće potvrđuje valjanost Direktive o PNR-u jer se ona može tumačiti u skladu s Poveljom te daje pojašnjenja u pogledu tumačenja određenih njezinih odredbi(9).
Ocjena Suda
Nakon što je pojasnio na koje se obrade osobnih podataka predviđene nacionalnim zakonodavstvom kojim se, kao onim o kojem je riječ u ovom slučaju, nastoje istodobno prenijeti Direktiva o API-ju i Direktiva o PNR-u, primjenjuju opća pravila GDPR-a(10), Sud je provjerio valjanost Direktive o PNR-u.
Valjanost Direktive o PNR-u
Sud u presudi odlučuje da, s obzirom na to da se tumačenjem koje je Sud utvrdio u pogledu odredbi Direktive o PNR-u u vezi s temeljnim pravima zajamčenim člancima 7., 8. i 21. te člankom 52. stavkom 1. Povelje(11) osigurava usklađenost te direktive s tim člancima, razmatranjem upućenih pitanja nije utvrđen nijedan element koji može utjecati na valjanost navedene direktive.
Uvodno, Sud podsjeća na to da se akt Unije mora tumačiti, u najvećoj mogućoj mjeri, tako da se ne dovede u pitanje njegova valjanost i u skladu s cjelokupnim primarnim pravom i osobito odredbama Povelje, a države članice stoga trebaju osigurati da se ne oslanjaju na njegovo tumačenje koje bi bilo u sukobu s temeljnim pravima zaštićenima pravnim poretkom Unije ili drugim općim načelima priznatima u tom pravnom poretku. Što se tiče Direktive o PNR-u Sud pojašnjava da se velikim brojem njezinih uvodnih izjava i odredbi zahtijeva takvo usklađeno tumačenje, pri čemu se naglašava važnost koju zakonodavac Unije, kad upućuje na veću razinu zaštite podataka, pridaje punom poštovanju temeljnih prava propisanih Poveljom.
Sud utvrđuje da Direktiva o PNR-u sadržava nedvojbeno ozbiljna zadiranja u prava zajamčena člancima 7. i 8. Povelje, osobito u dijelu u kojem se njome nastoji uspostaviti sustav stalnog, neciljanog i sustavnog nadzora koji uključuje automatiziranu procjenu osobnih podataka svih osoba koje se koriste uslugama zračnog prijevoza. Podsjeća na to da mogućnost država članica da opravdaju takvo zadiranje treba ocijeniti tako da se odmjeri njegova ozbiljnost i provjeri da je važnost cilja od općeg interesa koji se nastoji postići proporcionalna toj ozbiljnosti.
Sud zaključuje da se može smatrati da su prijenos, obrada i čuvanje podataka iz PNR-a koji su predviđeni tom direktivom ograničeni na ono što je strogo nužno u svrhu borbe protiv kaznenih djela terorizma i teških kaznenih djela, pod uvjetom da se ovlasti predviđene navedenom direktivom usko tumače. U tom pogledu, u danas donesenoj presudi navodi se, među ostalim, sljedeće:
– Sustav uspostavljen Direktivom o PNR-u smije obuhvaćati samo informacije koje su jasno odredive i ograničene u rubrikama u Prilogu I. toj direktivi i koje su povezane s izvedenim letom i dotičnim putnikom, što za neke rubrike u tom prilogu znači da su obuhvaćene samo informacije koje se u njima izričito navode(12).
– Primjenu sustava uspostavljenog Direktivom o PNR-u treba ograničiti na kaznena djela terorizma i samo na teška kaznena djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika. Što se tiče tih teških kaznenih djela, primjena tog sustava ne može se proširiti na kaznena djela koja su, iako ispunjavaju kriterij predviđen tom direktivom koji se odnosi na stupanj težine te se osobito navode u Prilogu II. toj direktivi, ulaze u okvir standardnih kaznenih djela, s obzirom na posebnosti nacionalnog kaznenog sustava.
– Eventualno proširenje primjene Direktive o PNR-u na sve ili dio letova unutar EU-a, koje država članica može odlučiti primijeniti iskorištavanjem mogućnosti predviđene tom direktivom, treba ograničiti na ono što je strogo nužno. U tu svrhu, sud ili neovisno upravno tijelo mora moći provesti djelotvoran nadzor u pogledu te primjene na način da odluka tog suda odnosno tijela ima obvezujući učinak. U tom pogledu Sud pojašnjava da:
– Samo u situaciji u kojoj navedena država članica utvrdi da postoje dovoljno konkretne okolnosti zbog kojih se može smatrati da je suočena s ozbiljnom terorističkom prijetnjom koja se pokaže stvarnom i trenutačnom ili predvidljivom, primjena te direktive na sve letove unutar EU-a s polazištem ili odredištem u navedenoj državi članici na razdoblje koje je ograničeno na ono što je strogo nužno, ali se može obnoviti, ne prekoračuje granice onoga što je strogo nužno(13).
– Ako takva teroristička prijetnja ne postoji, primjena navedene direktive ne može se proširiti na sve letove unutar EU-a, nego je treba ograničiti na letove unutar EU-a koji se osobito odnose na određene zračne linije ili obrasce putovanja ili pak određene zračne luke za koje, u skladu s ocjenom dotične države članice, postoje naznake koje mogu opravdati tu primjenu. Strogo nužnu prirodu te primjene na tako odabrane letove unutar EU-a treba redovito preispitivati s obzirom na promjenu uvjeta koji opravdavaju njezin odabir.
– Za potrebe prethodne procjene podataka iz PNR-a, čiji je cilj identificirati osobe za koje je potrebno dodatno ispitivanje prije njihova dolaska ili odlaska te koju se najprije provodi automatiziranom obradom, PIU može, s jedne strane, usporediti te podatke samo s bazama podataka koje se odnose na osobe ili predmete koji se traže ili za koje postoji upozorenje(14). Te baze podataka trebaju biti nediskriminirajuće te ih nadležna tijela trebaju upotrebljavati za borbu protiv kaznenih djela terorizma i teških kaznenih djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika. S druge strane, što se tiče prethodne procjene s obzirom na prethodno utvrđene kriterije, PIU ne može upotrebljavati tehnologije umjetne inteligencije u okviru sustava za samostalno učenje (machine learning), koji bez ljudske intervencije i kontrole mogu izmijeniti postupak procjene i, konkretno, kriterije procjene na kojima se temelji rezultat primjene tog postupka, kao i ponderiranje tih kriterija. Navedene kriterije treba odrediti tako da je njihova primjena posebno usmjerena na pojedince u pogledu kojih može postojati osnovana sumnja da su sudjelovali u kaznenim djelima terorizma ili teškim kaznenim djelima i tako da se uzmu u obzir elementi koji se nekome „stavljaju na teret” i oni koji mu „idu u korist”, pri čemu ne smije postojati izravna ili neizravna diskriminacija(15).
– S obzirom na stopu pogreške specifičnu za takvu automatiziranu obradu podataka iz PNR-a i na prilično velik broj „lažnih pozitivnih” rezultata dobivenih nakon njezine primjene tijekom 2018. i 2019., prikladnost sustava uspostavljenog Direktivom o PNR-u da ostvari postavljene ciljeve u biti ovisi o dobrom funkcioniranju neautomatizirane provjere pozitivnih rezultata dobivenih tom obradom, koju naknadno provodi PIU. U tom pogledu, države članice trebaju predvidjeti jasna i precizna pravila u skladu s kojima će se voditi i usmjeravati analiza koju provode službenici PIU-a zaduženi za tu pojedinačnu provjeru kako bi se osiguralo puno poštovanje temeljnih prava propisanih člancima 7., 8. i 21. Povelje i, osobito, kako bi se zajamčila dosljedna upravna praksa u okviru PIU-a kojom se poštuje načelo nediskriminacije. Konkretno, one trebaju osigurati da PIU utvrdi objektivne kriterije provjere na temelju kojih njegovi službenici mogu provjeriti, s jedne strane, odnosi li se stvarno i u kojoj mjeri pozitivni rezultat (hit) na pojedinca koji bi mogao biti uključen u kaznena djela terorizma ili teška kaznena djela te, s druge strane, nediskriminirajuću prirodu automatizirane obrade. U tom kontekstu, Sud naglašava i da nadležna tijela trebaju osigurati da zainteresirana osoba može razumjeti funkcioniranje prethodno utvrđenih kriterija procjene i programa koji primjenjuju te kriterije, tako da može odlučiti uz potpuno poznavanje činjenica hoće li ostvariti svoje pravo na podnošenje pravnog sredstva. Isto tako, u okviru takvog pravnog sredstva, sud zadužen za nadzor zakonitosti odluke koju su donijela nadležna tijela, kao i, osim u slučajevima prijetnji državnoj sigurnosti, sama zainteresirana osoba moraju se moći upoznati sa svim razlozima i dokazima na temelju kojih je ta odluka donesena, uključujući prethodno utvrđene kriterije procjene i funkcioniranje programa koji primjenjuju te kriterije.
– Naknadno dostavljanje i procjena podataka iz PNR-a, odnosno nakon dolaska ili polaska dotične osobe, mogu se provesti samo na temelju novih okolnosti i objektivnih elemenata koji su takve prirode da mogu ukazivati na postojanje osnovane sumnje da je ta osoba uključena u teška kaznena djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika ili na temelju kojih se može smatrati da ti podaci u konkretnom slučaju mogu dati stvaran doprinos borbi protiv kaznenih djela terorizma koja imaju takvu vezu. Dostavljanju podataka iz PNR-a u svrhu takve naknadne procjene, osim u propisno opravdanom hitnom slučaju, u načelu treba prethoditi nadzor suda ili neovisnog upravnog tijela, koji se provodina obrazloženi zahtjev nadležnih tijela, i to neovisno o tome je li taj zahtjev podnesen prije ili poslije isteka roka od šest mjeseci nakon prijenosa tih podataka PIU-u(16).
Tumačenje Direktive o PNR-u
Nakon što je Sud utvrdio valjanost Direktive o PNR-u, iznosi dodatna pojašnjenja u pogledu tumačenja te direktive. Kao prvo, ističe da se u Direktivi iscrpno navode ciljevi koji se nastoje postići obradom podataka iz PNR-a. Slijedom toga, toj se direktivi protivi nacionalno zakonodavstvo kojim se dopušta obrada podataka iz PNR-a u svrhe koje se razlikuju od borbe protiv kaznenih djela terorizma i teških kaznenih djela. Prema tome, nacionalno zakonodavstvo kojim se usto kao svrha obrade podataka iz PNR-a priznaje praćenje aktivnosti obavještajnih i sigurnosnih službi može povrijediti iscrpnost tog navođenja. Isto tako, sustav uspostavljen Direktivom o PNR-u ne može se predvidjeti u svrhu poboljšanja graničnih kontrola i sprečavanja ilegalne migracije(17). Iz toga slijedi i da se podaci iz PNR-a ne mogu čuvati u jedinstvenoj bazi podataka kojoj se može pristupiti radi postizanja svrha iz Direktive o PNR-u i drugih svrha.
Kao drugo, Sud objašnjava pojam neovisnog nacionalnog tijela, koje je nadležno za provjeru toga jesu li ispunjeni uvjeti za dostavu podataka iz PNR-a u svrhu njihove naknadne procjene te za odobravanje takve dostave. Konkretno, tijelo uspostavljeno kao PIU ne može se kvalificirati kao takvo neovisno nacionalno tijelo jer nema svojstvo treće strane u odnosu na tijelo koje traži pristup podacima. Naime, budući da članovi njegova osoblja mogu biti službenici koje su ovlaštena tijela uputila da zatraže takav pristup, PIU je nužno povezan s tim tijelima. Stoga se Direktivi o PNR-u protivi nacionalno zakonodavstvo u skladu s kojim tijelo uspostavljeno kao PIU također ima svojstvo nadležnog nacionalnog tijela koje je ovlašteno dopustiti otkrivanje podataka iz PNR-a nakon isteka razdoblja od šest mjeseci nakon prijenosa tih podataka PIU-u.
Kao treće, što se tiče roka za čuvanje podataka iz PNR-a, Sud odlučuje da se članku 12. Direktive o PNR-u, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, protivi nacionalno zakonodavstvo kojim se za čuvanje tih podataka predviđa opći rok od pet godina, koji se bez razlike primjenjuje na sve zrakoplovne putnike.
Naime, prema mišljenju Suda, nakon isteka početnog razdoblja za čuvanje od šest mjeseci, čuvanje podataka iz PNR-a nije ograničeno na ono što je strogo nužno kad je riječ o zrakoplovnim putnicima u pogledu kojih ni prethodna procjena ni eventualne provjere provedene tijekom početnog razdoblja čuvanja od šest mjeseci ni bilo koja druga okolnost nisu otkrile postojanje objektivnih elemenata, kao što je činjenica da su podaci iz PNR-a o dotičnim putnicima doveli do pozitivnog rezultata provjerenog u okviru prethodne procjene, na temelju kojih se može utvrditi opasnost u pogledu kaznenih djela terorizma ili teških kaznenih djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom tih putnika. Suprotno tomu, smatra da tijekom početnog razdoblja od šest mjeseci, čuvanje podataka iz PNR-a o svim zrakoplovnim putnicima koje je obuhvaćeno sustavom uspostavljenim tom direktivom u načelu ne prekoračuje granice onoga što je strogo nužno.
Kao četvrto, Sud pruža smjernice u pogledu eventualne primjene Direktive o PNR-u, u svrhu borbe protiv kaznenih djela terorizma i teških kaznenih djela, na druga prijevozna sredstva kojima se putnici prevoze u Uniji. Međutim, Direktivi se, u vezi s člankom 3. stavkom 2. UEU-a, člankom 67. stavkom 2. UFEU-a i člankom 45. Povelje, protivi sustav prijenosa i obrade podataka iz PNR-a o svim prijevozima koji se odvijaju drugim sredstvima unutar Unije ako se dotična država članica ne suočava sa stvarnom i trenutačnom ili predvidljivom terorističkom prijetnjom. U takvoj situaciji, kao i za letove unutar EU-a, primjenu sustava uspostavljenog Direktivom o PNR-u treba ograničiti na podatke iz PNR-a o prijevozima koji se osobito odnose na određene linije ili obrasce putovanja ili pak određene kolodvore ili morske luke za koje postoje naznake koje mogu opravdati tu primjenu. Na dotičnoj je državi članici da odabere prijevoze za koje postoje takve naznake i da redovito preispituje tu primjenu s obzirom na promjenu uvjeta koji opravdavaju njezin odabir.