ROZSUDOK SÚDNEHO DVORA (veľká komora)

z 21. júna 2022 (*)

Obsah

„Návrh na začatie prejudiciálneho konania – Spracúvanie osobných údajov – Údaje z osobného záznamu o cestujúcom (PNR) – Nariadenie (EÚ) 2016/679 – Článok 2 ods. 2 písm. d) – Pôsobnosť – Smernica (EÚ) 2016/681 – Využívanie údajov z PNR cestujúcich na letoch prevádzkovaných medzi Úniou a tretími krajinami – Možnosť začlenenia údajov o cestujúcich na letoch prevádzkovaných v rámci Únie – Operácie automatizovaného spracúvania týchto údajov – Doba uchovávania – Boj proti teroristickým trestným činom a závažnej trestnej činnosti – Platnosť – Charta základných práv Európskej únie – Články 7, 8 a 21, ako aj článok 52 ods. 1 – Vnútroštátna právna úprava rozširujúca uplatňovanie systému PNR na iné druhy dopravy prevádzkované v rámci Únie – Sloboda pohybu v rámci Únie – Charta základných práv – Článok 45“

Vo veci C‑817/19,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Cour constitutionnelle (Ústavný súd, Belgicko) zo 17. októbra 2019 a doručený Súdnemu dvoru 31. októbra 2019, ktorý súvisí s konaním:

Ligue des droits humains

proti

Conseil des ministres,

SÚDNY DVOR (veľká komora),

v zložení: predseda K. Lenaerts, predsedovia komôr A. Arabadžiev, S. Rodin, I. Jarukaitis a N. Jääskinen, sudcovia T. von Danwitz (spravodajca), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra, L. S. Rossi, A. Kumin a N. Wahl,

generálny advokát: G. Pitruzzella,

tajomník: M. Krausenböck, referentka,

so zreteľom na písomnú časť konania a po pojednávaní z 13. júla 2021,

so zreteľom na pripomienky, ktoré predložili:

–        Ligue des droits humains, v zastúpení: C. Forget, avocate,

–        belgická vláda, v zastúpení: P. Cottin, J.‑C. Halleux, C. Pochet a M. Van Regemorter, splnomocnení zástupcovia, za právnej pomoci C. Caillet, advocaat, E. Jacubowitz, avocat, G. Ceuppens, V. Dethy a D. Vertongen,

–        česká vláda, v zastúpení: T. Machovičová, O. Serdula, M. Smolek a J. Vláčil, splnomocnení zástupcovia,

–        dánska vláda, v zastúpení: M. Jespersen, J. Nymann‑Lindegren, V. Pasternak Jørgensen a M. Søndahl Wolff, splnomocnení zástupcovia,

–        nemecká vláda, v zastúpení: D. Klebs a J. Möller, splnomocnení zástupcovia,

–        estónska vláda, v zastúpení: N. Grünberg, splnomocnená zástupkyňa,

–        Írsko, v zastúpení: M. Browne, A. Joyce a J. Quaney, splnomocnení zástupcovia, za právnej pomoci D. Fennelly, BL,

–        španielska vláda, v zastúpení: L. Aguilera Ruiz, splnomocnený zástupca,

–        francúzska vláda, v zastúpení: D. Dubois, E. de Moustier a T. Stehelin, splnomocnení zástupcovia,

–        cyperská vláda, v zastúpení: E. Neofytou, splnomocnená zástupkyňa,

–        lotyšská vláda, v zastúpení: E. Bārdiņš, K. Pommere a V. Soņeca, splnomocnení zástupcovia,

–        holandská vláda, v zastúpení: M. K. Bulterman, A. Hanje, J. Langer a C. S. Schillemans, splnomocnení zástupcovia,

–        rakúska vláda, v zastúpení: G. Kunnert, A. Posch a J. Schmoll, splnomocnení zástupcovia,

–        poľská vláda, v zastúpení: B. Majczyna, splnomocnený zástupca,

–        slovenská vláda, v zastúpení: B. Ricziová, splnomocnená zástupkyňa,

–        fínska vláda, v zastúpení: A. Laine a H. Leppo, splnomocnené zástupkyne,

–        Európsky parlament, v zastúpení: O. Hrstková Šolcová a P. López‑Carceller, splnomocnené zástupkyne,

–        Rada Európskej únie, v zastúpení: J. Lotarski, N. Rouam, E. Sitbon a C. Zadra, splnomocnení zástupcovia,

–        Európska komisia, v zastúpení: D. Nardi a M. Wasmeier, splnomocnení zástupcovia,

–        Európsky dozorný úradník pre ochranu údajov, v zastúpení: P. Angelov, A. Buchta, F. Coudert a C.‑A. Marnier, splnomocnení zástupcovia,

–        Agentúra Európskej únie pre základné práva, v zastúpení: L. López, T. Molnar, M. Nespor a M. O’Flaherty, splnomocnení zástupcovia,

po vypočutí návrhov generálneho advokáta na pojednávaní 27. januára 2022,

vyhlásil tento

Rozsudok

1        Návrh na začatie prejudiciálneho konania sa v podstate týka:

–        výkladu článku 2 ods. 2 písm. d) a článku 23 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“), smernice Rady 2004/82/ES z 29. apríla 2004 o povinnosti dopravcov oznamovať údaje o cestujúcich (Ú. v. EÚ L 261, 2004, s. 24; Mim. vyd. 19/007, s. 74, ďalej len „smernica API“), ako aj smernice Európskeho parlamentu a Rady 2010/65/EÚ z 20. októbra 2010 o ohlasovacích formalitách lodí plávajúcich do prístavov a/alebo z prístavov členských štátov, ktorou sa zrušuje smernica 2002/6/ES (Ú. v. EÚ L 283, 2010, s. 1),

–        výkladu a platnosti článku 3 bodu 4, článkov 6 a 12, ako aj prílohy I smernice Európskeho parlamentu a Rady (EÚ) 2016/681 z 27. apríla 2016 o využívaní údajov zo záznamov o cestujúcich (PNR) na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti (Ú. v. EÚ L 119, 2016, s. 132, ďalej len „smernica PNR“), z hľadiska článkov 7 a 8, ako aj článku 52 ods. 1 Charty základných práv Európskej únie (ďalej len „Charta“), a

–        výkladu a platnosti smernice API z hľadiska článku 3 ods. 2 ZEÚ a článku 45 Charty.

2        Tento návrh bol podaný v rámci sporu medzi neziskovým združením Ligue des droits humains (Liga pre ľudské práva) a Conseil des ministres (Rada ministrov, Belgicko) v súvislosti so zákonnosťou loi du 25 décembre 2016 relative au traitement des données des passagers (zákon z 25. decembra 2016 o spracúvaní údajov o cestujúcich).

I.      Právny rámec

A.      Právo Únie

1.      Smernica 95/46/EHS

3        Smernica Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355) bola s účinnosťou od 25. mája 2018 zrušená GDPR. Článok 3 ods. 2 tejto smernice stanovoval:

„Táto smernica sa neuplatňuje na spracovanie osobných údajov:

–      v priebehu činností, ktoré sú mimo rozsahu zákona [práva – neoficiálny preklad] spoločenstva, ako sú tie, ktoré sú uvedené v hlave V a VI Zmluvy o Európskej únii, a v žiadnom prípade sa neuplatňuj[e] na operácie spracovania týkajúce sa verejnej bezpečnosti, obrany, bezpečnosti štátu (vrátane hospodárskej prosperity štátu, keď sa operácia spracovania týka záležitostí bezpečnosti štátu) a činností štátu v oblastiach trestného zákona [práva – neoficiálny preklad],

–      fyzickou osobou v priebehu osobnej činnosti, alebo činnosti týkajúcej sa domácnosti [fyzickou osobou na výkon výlučne osobných alebo domácich činností – neoficiálny preklad].“

2.      Smernica API

4        Odôvodnenia 1, 7, 9 a 12 smernice API stanovujú:

„(1)      Na účinný boj proti nelegálnemu prisťahovalectvu a zlepšenie hraničných kontrol je dôležité, aby členské štáty zaviedli opatrenia, ktorými sa uložia povinnosti leteckým dopravcom, ktorí prevážajú cestujúcich na územie členských štátov. Na zabezpečenie väčšej účinnosti tohto cieľa je ďalej potrebné v čo najväčšej možnej miere zosúladiť finančné sankcie, ktoré členské štáty majú v súčasnosti ustanovené pre prípady, keď dopravcovia porušia svoje povinnosti, a prihliadnuť na rozdiely medzi právnymi systémami a zvyklosťami členských štátov.

…

(7)      Povinnosti, ktoré sa majú uložiť dopravcom na základe tejto smernice, sú doplnkové vo vzťahu k povinnostiam zavedeným podľa ustanovení článku 26 Schengenského dohovoru z roku 1990, ktorým sa uplatňuje Schengenská dohoda zo 14. júna 1985, v znení doplnení smernice Rady 2001/51/ES [z 28. júna 2001, ktorou sa dopĺňajú ustanovenia článku 26 Dohovoru, ktorým sa vykonáva Schengenská dohoda zo 14. júna 1985 (Ú. v. ES L 187, 2001, s. 45; Mim. vyd. 19/004, s. 160)], pričom obidve povinnosti vyplývajúce z ustanovení slúžia rovnakému cieľu, t. j. obmedziť migračné toky a bojovať proti nelegálnemu prisťahovalectvu.

…

(9)      S cieľom efektívnejšie bojovať proti nelegálnemu prisťahovalectvu a na zabezpečenie väčšej efektívnosti tohto cieľa je dôležité, bez toho, aby boli dotknuté ustanovenia smernice [95/46], pri najbližšej príležitosti zohľadniť každú technologickú inováciu, osobitne s odkazom na integráciu a použitie biometrických znakov v informáciách, ktoré majú dopravcovia poskytovať.

…

(12)      Smernica [95/46] sa uplatňuje so zreteľom na spracovanie osobných údajov orgánmi členských štátov. To znamená, že keďže by bolo legitímne spracovať údaje o cestujúcich, odovzdané na účely vykonania hraničných kontrol, aj na účely umožnenia ich použitia ako dôkazu v konaniach zameraných na vynutiteľnosť zákonov a iných právnych predpisov pri vstupe a prisťahovaní, vrátane ustanovení o ochrane verejného poriadku (ordre public) a národnej bezpečnosti, akékoľvek ďalšie spracovanie spôsobom, ktorý je nezlučiteľný s týmito účelmi, by bolo proti zásade ustanovenej v článku 6 ods. 1 písm. b) smernice [95/46]. Členské štáty by mali ustanoviť systém sankcií, ktorý sa má uplatňovať v prípade, že tieto údaje sa použijú v rozpore s existujúcou smernicou.“

5        Článok 1 smernice API, nazvaný „Cieľ“, stanovuje:

„Cieľom tejto smernice je zlepšiť hraničné kontroly a bojovať proti nelegálnemu prisťahovalectvu tým, že dopravcovia vopred oznámia údaje o cestujúcich príslušným vnútroštátnym orgánom.“

6        Článok 2 tejto smernice s názvom „Vymedzenie pojmov“ uvádza:

„Na účely tejto smernice:

a)      ‚dopravca‘ je každá právnická alebo fyzická osoba, ktorá poskytuje leteckú dopravu cestujúcich;

b)      ‚vonkajšie hranice‘ znamenajú vonkajšie hranice členských štátov s tretími krajinami;

c)      ‚hraničná kontrola‘ znamená kontrolu, vykonávanú na hranici, ako reakciu výlučne na úmysel prekročiť túto hranicu, bez ohľadu na akékoľvek iné úvahy;

d)      ‚hraničný priechod‘ znamená akýkoľvek priechod, ktorý príslušné orgány povolili na prekračovanie vonkajších hraníc;

e)      výrazy ‚osobné údaje‘, ‚spracovanie osobných údajov‘ a ‚registračný systém osobných údajov‘ majú význam podľa definície v článku 2 smernice [95/46].“

7        Článok 3 uvedenej smernice, nazvaný „Prenos údajov“, v odsekoch 1 a 2 stanovuje:

„1.      Členské štáty prijmú potrebné opatrenia s cieľom ustanoviť pre dopravcov povinnosť oznamovať do skončenia odbavenia na žiadosť orgánov, zodpovedných za vykonávanie kontrol osôb na vonkajších hraniciach, informácie týkajúce sa cestujúcich, ktorých budú títo dopravcovia dopravovať k povolenému hraničnému priechodu, cez ktorý tieto osoby budú vstupovať na územie členského štátu.

2.      Uvedené informácie musia zahrnovať tieto údaje:

–        počet a druh použitého cestovného [do]kladu,

–        štátna príslušnosť,

–        celé meno,

–        dátum narodenia,

–        hraničný priechod pre vstup na územie členských štátov,

–        číselný znak dopravy,

–        čas odchodu a príchodu pri doprave,

–        celkový počet cestujúcich, ktorí sú prepravovaní touto dopravou,

–        počiatočné miesto vstupu na palubu.“

8        Článok 6 smernice API, nazvaný „Spracovanie údajov“, uvádza:

„1.      Osobné údaje, uvedené v článku 3 ods. 1, sa oznamujú orgánom zodpovedným za vykonávanie kontrol osôb na vonkajších hraniciach, cez ktoré cestujúci vstúpi na územie členského štátu, pričom účelom je uľahčiť vykonávanie takýchto kontrol s cieľom efektívnejšie bojovať proti nelegálnemu prisťahovalectvu.

Členské štáty zabezpečia, aby tieto údaje zhromaždili dopravcovia a zabezpečia ich elektronický prenos alebo, v prípade zlyhania prenosu, ich oznámenie akýmkoľvek iným vhodným spôsobom orgánom, ktoré sú zodpovedné za vykonávanie hraničných kontrol na povolenom hraničnom priechode, cez ktorý daný cestujúci vstúpi na územie členského štátu. Orgány, zodpovedné za vykonávanie hraničných kontrol osôb na vonkajších hraniciach, sú povinné ukladať údaje do dočasného súboru.

Tieto orgány sú po vstupe cestujúcich osôb povinné uvedené údaje vymazať do 24 hodín po ich prenose, ak tieto údaje nebudú neskôr potrebné na účely vykonávania zákonom stanovených funkcií orgánov, ktoré sú zodpovedné za vykonávanie kontrol osôb na vonkajších hraniciach v súlade s vnútroštátnym právnymi predpismi a v súlade s ustanoveniami o ochrane údajov podľa smernice [95/46].

Členské štáty sú povinné prijať nevyhnutné opatrenia, aby uložili dopravcom povinnosť vymazať do 24 hodín od príchodu dopravných prostriedkov podľa článku 3 ods. 1 osobné údaje, ktoré na účely tejto smernice zhromaždili a oznámili hraničným orgánom.

Členské štáty môžu v súlade so svojimi vnútroštátnymi právnymi predpismi a ustanoveniami o ochrane údajov podľa smernice [95/46] tiež použiť osobné údaje, uvedené v článku 3 ods. 1, na účely vynutiteľnosti práva.

2.      Členské štáty prijmú nevyhnutné opatrenia, aby uložili dopravcom informovať cestujúcich v súlade s ustanoveniami ustanovenými v smernici [95/46]. Musia byť v tom zahrnuté aj informácie uvedené v článku 10 písm. c) a v článku 11 ods. 1 písm. c) smernice [95/46].“

3.      Smernica 2010/65

9        Smernica 2010/65 sa zrušuje na základe článku 25 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/1239 z 20. júna 2019, ktorým sa zriaďuje európske prostredie jednotnej námornej platformy a ktorým sa zrušuje smernica 2010/65/EÚ (Ú. v. EÚ L 198, 2019, s. 64), od 15. augusta 2025.

10      Odôvodnenie 2 tejto smernice uvádza:

„Na uľahčenie námornej dopravy a zníženie administratívneho zaťaženia spoločností lodnej dopravy sa ohlasovacie formality vyžadované právnymi aktmi Únie a členskými štátmi musia v čo najväčšej miere zjednodušiť a harmonizovať. …“

11      Článok 1 uvedenej smernice s názvom „Predmet úpravy a rozsah pôsobnosti“ v odsekoch 1 a 2 stanovuje:

„1.      Účelom tejto smernice je zjednodušiť a harmonizovať administratívne postupy uplatňované v námornej doprave prostredníctvom štandardizácie elektronického prenosu informácií a racionalizácie ohlasovacích formalít.

2.      Táto smernica sa vzťahuje na ohlasovacie formality uplatniteľné v námornej doprave na lode plaviace sa do prístavov a/alebo z prístavov, ktoré sa nachádzajú v členských štátoch.“

12      Článok 8 tej istej smernice, nazvaný „Dôvernosť“, znie:

„1.      Členské štáty v súlade s platnými právnymi aktmi Únie alebo vnútroštátnymi právnymi predpismi prijmú opatrenia potrebné na zabezpečenie dôvernosti obchodných alebo iných dôverných informácií, ktoré sa vymieňajú v súlade s touto smernicou.

2.      Členské štáty venujú osobitnú pozornosť ochrane obchodných údajov získaných podľa tejto smernice. V prípade osobných údajov členské štáty zaručia ich súlad so smernicou [95/46]. Inštitúcie a orgány Únie zaručia ich súlad s nariadením [Európskeho parlamentu a Rady] (ES) č. 45/2001 [z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi spoločenstva a o voľnom pohybe takýchto údajov (Ú. v. ES L 8, 2001, s. 1; Mim. vyd. 13/026, s. 102)].“

4.      GDPR

13      Odôvodnenie 19 GDPR uvádza:

„Ochrana fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti alebo jeho predchádzania a voľný pohyb takýchto údajov podlieha osobitnému právnemu aktu Únie. Toto nariadenie by sa preto nemalo vzťahovať na spracovateľské činnosti na takéto účely. Ak sa však osobné údaje spracúvané orgánmi verejnej moci podľa tohto nariadenia používajú na uvedené účely, mal by sa na ne vzťahovať špecifickejší právny akt Únie, a to smernica Európskeho parlamentu a Rady (EÚ) 2016/680 [z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 2016, s. 89)]. Členské štáty môžu poveriť príslušné orgány v zmysle [smernice 2016/680] úlohami, ktoré nie sú nevyhnutne vykonávané na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti alebo predchádzania takémuto ohrozeniu, v dôsledku čoho spracúvanie osobných údajov na tieto iné účely, pokiaľ patria do pôsobnosti práva Únie, patrí do pôsobnosti tohto nariadenia.

…“

14      Článok 2 tohto nariadenia, nazvaný „Vecná pôsobnosť“, v odsekoch 1 a 2 stanovuje:

„1.      Toto nariadenie sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.

2.      Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov:

a)      v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie;

b)      členskými štátmi pri vykonávaní činností patriacich do rozsahu pôsobnosti kapitoly 2 hlavy V ZEÚ;

…

d)      príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania.“

15      Článok 4 uvedeného nariadenia s názvom „Vymedzenie pojmov“ stanovuje:

„Na účely tohto nariadenia:

1.      ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby…;

2.      ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

…“

16      Článok 23 GDPR, nazvaný „Obmedzenia“, stanovuje:

„1.      V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:

a)      národnú bezpečnosť;

b)      obranu;

c)      verejnú bezpečnosť;

d)      predchádzanie trestným činom, ich vyšetrovanie, odhaľovanie alebo stíhanie alebo výkon trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzanie;

…

h)      monitorovaciu, kontrolnú alebo regulačnú funkciu spojenú, hoci aj príležitostne, s výkonom verejnej moci v prípadoch uvedených v písmenách a) až e) a g);

2.      Konkrétne musí každé legislatívne opatrenie uvedené v odseku 1 obsahovať osobitné ustanovenia, ktoré v relevantných prípado[ch] upravujú aspoň:

a)      účely spracúvania alebo kategórie spracúvania;

b)      kategórie osobných údajov;

c)      rozsah zavedených obmedzení;

d)      záruky zabraňujúce zneužitiu údajov alebo nezákonnému prístupu či prenosu;

e)      určenie prevádzkovateľa alebo kategórií prevádzkovateľov;

f)      doby uchovávania a uplatniteľné záruky, pričom sa zohľadní povaha, rozsah a účely spracúvania alebo kategórie spracúvania;

g)      riziká pre práva a slobody dotknutých osôb a

h)      práva dotknutých osôb na informovanie o obmedzení, pokiaľ tým nie je ohrozený účel obmedzenia.“

17      Článok 94 tohto nariadenia, nazvaný „Zrušenie smernice [95/46]“, stanovuje:

„1.      Smernica [95/46] sa zrušuje s účinnosťou od 25. mája 2018.

2.      Odkazy na zrušenú smernicu sa považujú za odkazy na toto nariadenie. Odkazy na Pracovnú skupinu pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov, zriadenú článkom 29 smernice [95/46], sa považujú za odkazy na Európsky výbor pre ochranu údajov zriadený týmto nariadením.“

5.      Smernica 2016/680

18      Smernica 2016/680 v súlade so svojím článkom 59 zrušila a nahradila od 6. mája 2018 rámcové rozhodnutie Rady 2008/977/SVV z 27. novembra 2008 o ochrane osobných údajov spracúvaných v rámci policajnej a justičnej spolupráce v trestných veciach (Ú. v. EÚ L 350, 2008, s. 60).

19      Podľa odôvodnení 9 až 11 smernice 2016/680:

„(9)      Na uvedenom základe sa v [GDPR] stanovujú všeobecné pravidlá na ochranu fyzických osôb pri spracúvaní osobných údajov a na zabezpečenie voľného pohybu osobných údajov v rámci Únie.

(10)      Vo vyhlásení č. 21 o ochrane osobných údajov v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce, pripojenom k záverečnému aktu medzivládnej konferencie, na ktorej bola prijatá Lisabonská zmluva, konferencia uznala, že vzhľadom na osobitný charakter uvedených oblastí sa možno budú musieť prijať osobitné pravidlá o ochrane osobných údajov a o voľnom pohybe osobných údajov v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce na základe článku 16 ZFEÚ.

(11)      Je preto vhodné, aby uvedené oblasti boli upravené smernicou, v ktorej sa stanovia osobitné pravidlá týkajúce sa ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu pri rešpektovaní osobitnej povahy týchto činností. Medzi takéto príslušné orgány môžu patriť nielen orgány verejnej moci, ako napríklad justičné orgány, polícia alebo iné orgány presadzovania práva, ale aj akýkoľvek iný orgán alebo subjekt, ktorý je právom členského štátu poverený vykonávať verejnú moc a verejné právomoci na účely tejto smernice. Ak takýto orgán alebo subjekt spracúva osobné údaje na iné účely ako na účely tejto smernice, uplatňuje sa [GDPR]. [GDPR] sa preto uplatňuje v prípadoch, keď orgán alebo subjekt získava osobné údaje na iné účely a ďalej spracúva tieto osobné údaje s cieľom splniť zákonnú povinnosť, ktorá sa naň vzťahuje. Napríklad finančné inštitúcie uchovávajú na účely vyšetrovania, odhaľovania alebo stíhania trestných činov určité osobné údaje, ktoré spracúvajú, a v jednotlivých prípadoch a v súlade s právom členského štátu poskytujú tieto osobné údaje len príslušným vnútroštátnym orgánom. Na orgán alebo subjekt, ktorý spracúva osobné údaje v mene takýchto orgánov podľa tejto smernice, by sa mala vzťahovať zmluva alebo iný právny akt a ustanovenia vzťahujúce sa na sprostredkovateľov podľa tejto smernice, pričom uplatňovanie [GDPR] na spracúvanie osobných údajov sprostredkovateľom mimo rozsahu pôsobnosti tejto smernice zostáva nedotknuté.“

20      Článok 1 tejto smernice s názvom „Predmet úpravy a ciele“, ktorý v podstate zodpovedá článku 1 rámcového rozhodnutia 2008/977, v odseku 1 stanovuje:

„Touto smernicou sa stanovujú pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu.“

21      Článok 3 uvedenej smernice, nazvaný „Vymedzenie pojmov“, stanovuje:

„Na účely tejto smernice:

…

7.      ‚príslušný orgán‘ je:

a)      akýkoľvek orgán verejnej moci príslušný v oblasti predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu, alebo

b)      akýkoľvek iný orgán alebo subjekt, ktorý bol právom členského štátu poverený vykonávať verejnú moc a verejné právomoci na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu;

…“

6.      Smernica PNR

22      Odôvodnenia 4 až 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 a 37 smernice PNR uvádzajú:

„(4)      V smernici [API] sa na účely zlepšenia hraničných kontrol a boja proti nelegálnemu prisťahovalectvu upravuje prenos vopred poskytovaných informácií o cestujúcich (ďalej len ‚API‘ – advance passenger information) leteckými dopravcami príslušným vnútroštátnym orgánom.

(5)      Ciele tejto smernice sú okrem iného zaistiť bezpečnosť, chrániť život a bezpečnosť osôb a vytvoriť právny rámec na ochranu údajov PNR pri ich spracúvaní príslušnými orgánmi.

(6)      Efektívne využívanie údajov PNR, napríklad porovnaním údajov PNR s rôznymi databázami o hľadaných osobách a veciach, je potrebné na prevenciu, odhaľovanie, vyšetrovanie a stíhanie teroristických trestných činov a závažnej trestnej činnosti, ďalej pri zhromažďovaní dôkazov a v prípade potreby pri vyhľadávaní osôb podieľajúcich sa na trestných činoch a pri odhaľovaní zločineckých sietí.

(7)      Posúdenie údajov PNR umožňuje identifikáciu osôb, ktoré neboli podozrivé z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti pred takýmto posúdením, a príslušné orgány by ich preto mali ďalej preskúmať. Využívaním údajov PNR možno reagovať na hrozbu teroristických trestných činov a závažnej trestnej činnosti aj z inej perspektívy, než je spracúvanie iných kategórií osobných údajov. S cieľom zabezpečiť, aby sa spracúvanie údajov PNR obmedzilo na nevyhnutné minimum, by však malo byť vytváranie a uplatňovanie kritérií posudzovania obmedzené na teroristické trestné činy a závažnú trestnú činnosť, pre ktoré je použitie takýchto kritérií relevantné. Kritériá posudzovania by sa okrem toho mali vymedziť takým spôsobom, aby sa zabezpečilo, že systém nesprávne identifikuje minimálny počet nevinných osôb.

(8)      Leteckí dopravcovia už údaje PNR svojich cestujúcich zhromažďujú a spracúvajú na vlastné komerčné účely. Touto smernicou by sa leteckým dopravcom nemali ukladať žiadne povinnosti zhromažďovať akékoľvek dodatočné informácie od cestujúcich alebo ich uchovávať, ani ukladať cestujúcim povinnosť, aby poskytovali akékoľvek ďalšie údaje okrem tých, ktoré sa už leteckým dopravcom poskytujú.

(9)      Niektorí leteckí dopravcovia uchovávajú ako súčasť údajov PNR údaje API, ktoré zbierajú, a niektorí nie. Využívanie údajov PNR spolu s údajmi API má pridanú hodnotu spočívajúcu v tom, že pomáha členským štátom pri overovaní totožnosti fyzickej osoby, čím tak zvyšuje hodnotu takéhoto výsledku z hľadiska presadzovania práva a znižuje na minimum riziko kontrolovania a vyšetrovania nevinných osôb. Preto je dôležité zabezpečiť, aby leteckí dopravcovia, ktorí zbierajú údaje API, tieto preniesli bez ohľadu na to, či uchovávajú údaje API rôznymi technickými prostriedkami ako iné údaje PNR.

(10)      V záujme prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti je nevyhnutné, aby všetky členské štáty prijali ustanovenia ukladajúce povinnosti leteckým dopravcom, ktorí prevádzkujú lety mimo EÚ, aby prenášali údaje PNR, ktoré zbierajú, vrátane údajov API. Členské štáty by mali mať tiež možnosť rozšíriť túto povinnosť na leteckých dopravcov, ktorí prevádzkujú lety vnútri EÚ. Týmito ustanoveniami by nemala byť dotknutá smernica [API].

(11)      Spracúvanie osobných údajov by malo byť primerané konkrétnym cieľom v oblasti bezpečnosti, ktoré sa touto smernicou sledujú.

(12)      Vymedzenie teroristických trestných činov, ktoré sa uplatňuje v rámci tejto smernice, by malo byť rovnaké ako v rámcovom rozhodnutí Rady 2002/475/SVV [z 13. júna 2002 o boji proti terorizmu (Ú. v. ES L 164, 2002, s. 3; Mim. vyd. 19/006, s. 18)]. Vymedzenie závažnej trestnej činnosti by malo zahŕňať kategórie trestných činov uvedené v prílohe II k tejto smernici.

…

(15)      Zoznam údajov PNR, ktorý by mal dostať [útvar informácií o cestujúcich (PIU)], by sa mal vypracovať tak, aby zodpovedal oprávneným požiadavkám orgánov verejnej moci týkajúcim sa prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti, a aby sa takto zlepšila vnútorná bezpečnosť v rámci Únie a chránili základné práva, najmä právo na súkromie a na ochranu osobných údajov. Na tento účel by sa mali uplatňovať prísne normy v súlade s [Chartou], Dohovorom o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov (ďalej len ‚dohovor č. 108‘) a Európskym dohovorom o ochrane ľudských práv a základných slobôd [, podpísaným 4. novembra 1950 v Ríme (‚EDĽP‘)]. Tento zoznam by sa nemal zakladať na rasovom alebo etnickom pôvode osoby, jej náboženskom vyznaní alebo viere, politickom alebo inom zmýšľaní, členstve v odborových organizáciách, zdraví, sexuálnom živote alebo sexuálnej orientácii. Údaje PNR by mali obsahovať len údaje o rezervácii cestujúceho a trase jeho cesty, ktoré príslušným orgánom umožnia identifikovať v leteckej doprave cestujúcich, ktorí predstavujú hrozbu pre vnútornú bezpečnosť.

…

(19)      Každý členský štát by mal byť zodpovedný za posúdenie potenciálnych hrozieb súvisiacich s teroristickými trestnými činmi a závažnou trestnou činnosťou.

(20)      Berúc plne do úvahy právo na ochranu osobných údajov a právo na nediskrimináciu, žiadne rozhodnutie, ktoré má nepriaznivé právne účinky alebo závažné dôsledky pre danú osobu, by sa nemalo prijať len na základe automatizovaného spracúvania údajov PNR. Okrem toho, vzhľadom na články 8 a 21 charty by žiadne takéto rozhodnutie nemalo diskriminovať zo žiadneho dôvodu, ako napríklad pohlavia, rasy, farby pleti, etnického alebo sociálneho pôvodu osoby, jej genetických vlastností, jazyka, náboženstva alebo viery, politického alebo iného zmýšľania, príslušnosti k národnostnej menšine, majetku, narodenia, zdravotného postihnutia, veku alebo sexuálnej orientácie. Komisia by mala tieto zásady tiež zohľadniť pri preskúmaní uplatňovania tejto smernice.

…

(22)      Berúc v plnej miere do úvahy zásady vysvetlené v nedávnej judikatúre Súdneho dvora Európskej únie v tejto oblasti by sa uplatňovaním tejto smernice malo v plnej miere zabezpečiť dodržiavanie základných práv, práva na súkromie, ako aj zásady proporcionality. Zároveň by mali byť skutočne dosiahnuté ciele, pokiaľ ide o nevyhnutnosť a primeranosť z hľadiska zabezpečovania všeobecných záujmov, ktoré uznáva Únia, a potreby chrániť práva a slobody iných v boji proti teroristickým trestným činom a závažnej trestnej činnosti. Uplatňovanie tejto smernice by malo byť riadne odôvodnené a mali by existovať nevyhnutné záruky, ktorými sa zabezpečí zákonnosť každého uchovávania, analýzy, prenosu alebo využitia údajov PNR.

…

(25)      Dĺžka doby uchovávania údajov PNR by mala byť nevyhnutná a primeraná účelom prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti. Vzhľadom na povahu údajov a spôsoby ich využívania je potrebné, aby sa údaje PNR uchovávali po dostatočne dlhú dobu, aby sa umožnilo vykonanie analýzy a ich využitie v rámci vyšetrovania. Aby sa predišlo neprimeranému využívaniu údajov, je nevyhnutné, aby sa po určitej počiatočnej dobe uchovávania údajov údaje PNR depersonalizovali maskovaním dátových prvkov. Na zabezpečenie čo najvyššej úrovne ochrany údajov by sa mal prístup k úplným údajom PNR, ktoré umožňujú priamo identifikovať dotknutú osobu, poskytnúť po uplynutí uvedenej počiatočnej doby len za veľmi prísnych a obmedzených podmienok.

…

(27)      Spracúvanie údajov PNR PIU a príslušnými orgánmi jednotlivých členských štátov by malo podliehať normám ochrany osobných údajov podľa vnútroštátnych právnych predpisov v súlade s rámcovým rozhodnutím [2008/977] a s osobitnými požiadavkami na ochranu údajov stanovenými v tejto smernici. Odkazy na rámcové rozhodnutie [2008/977] by sa mali považovať za odkazy na právne predpisy účinné v súčasnosti, ako aj na právne predpisy, ktoré ich nahradia.

(28)      Vzhľadom na právo na ochranu osobných údajov by práva dotknutých osôb pri spracúvaní ich údajov PNR, napríklad práva na prístup k nim, na ich opravu, vymazanie a obmedzenie a práva na náhradu škody a súdne opravné prostriedky, mali byť v súlade s rámcovým rozhodnutím [2008/977] a s vysokou úrovňou ochrany, ktorá je stanovená v charte a EDĽP.

…

(33)      Touto smernicou nie je dotknutá možnosť členských štátov ustanoviť v rámci svojho vnútroštátneho práva systém zhromažďovania a spracúvania údajov PNR od hospodárskych subjektov, ktoré nie sú leteckými dopravcami, ako napríklad cestovných agentúr a kancelárií, ktoré poskytujú služby súvisiace s cestovaním, vrátane rezervácie letov, v súvislosti s ktorými zhromažďujú a spracúvajú údaje PNR, alebo od iných dopravcov neuvedených v tejto smernici, ak sa v tomto vnútroštátnom práve dodržiava právo Únie.

…

(36)      V tejto smernici sa dodržiavajú základné práva a zásady charty, najmä právo na ochranu osobných údajov, právo na súkromie a právo na nediskrimináciu, ktoré sú chránené v jej článkoch 8, 7 a 21 preto by sa mala zodpovedajúcim spôsobom vykonávať. Táto smernica je v súlade so zásadami ochrany údajov a jej ustanovenia sú v súlade s rámcovým rozhodnutím Rady [2008/977]. Okrem toho táto smernica v záujme zabezpečenia súladu so zásadou proporcionality v niektorých otázkach obsahuje prísnejšie pravidlá ochrany údajov než rámcové rozhodnutie [2008/977].

(37)      Rozsah pôsobnosti tejto smernice sa čo najviac obmedzil, pretože: stanovuje uchovávanie údajov PNR v rámci PIU po dobu najviac piatich rokov, po ktorej uplynutí by sa údaje mali vymazať; stanovuje, že údaje sa majú po počiatočnej dobe šiestich mesiacov depersonalizovať maskovaním dátových prvkov; a zakazuje zhromažďovanie a využívanie citlivých údajov. V záujme zabezpečenia účinnosti a vysokej úrovne ochrany údajov sa od členských štátov vyžaduje, aby zabezpečili, zodpovedný nezávislý vnútroštátny dozorný orgán, konkrétne zodpovednú osobu, ktorá bude zodpovedať za poradenstvo a monitorovanie spôsobu, akým sa údaje PNR spracúvajú. Každé spracúvanie údajov PNR by sa malo zaznamenať alebo zdokumentovať na účely overovania jeho zákonnosti, vlastného monitorovania a zabezpečenia riadnej integrity údajov a bezpečnosti spracúvania. Členské štáty by tiež mali zabezpečiť, aby cestujúci boli jasne a presne informovaní o zhromažďovaní údajov PNR a o svojich právach.“

23      Článok 1 smernice PNR, nazvaný „Predmet úpravy a rozsah pôsobnosti“, uvádza:

„1.      Táto smernica ustanovuje:

a)      prenos osobných záznamov o cestujúcich (ďalej len ‚PNR‘) na letoch mimo EÚ, ktorý vykonávajú leteckí dopravcovia;

b)      spracúvanie údajov uvedených v písmene a) vrátane ich zhromažďovania, využívania a uchovávania zo strany členských štátov a ich výmeny medzi členskými štátmi.

2.      Údaje PNR zhromaždené v súlade s touto smernicou možno spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti podľa článku 6 ods. 2 písm. a), b) a c).“

24      Článok 2 tejto smernice s názvom „Uplatňovanie tejto smernice na lety vnútri EÚ“ znie:

„1.      Ak sa členský štát rozhodne uplatňovať túto smernicu na lety vnútri EÚ, oznámi to písomnou formou Komisii. Členský štát môže takéto oznámenie kedykoľvek zaslať alebo odvolať. Komisia uvedené oznámenie a každé jeho odvolanie uverejní v Úradnom vestníku Európskej únie.

2.      Ak sa oznámenie uvedené v odseku 1 zašle, všetky ustanovenia tejto smernice sa uplatňujú na lety vnútri EÚ rovnako ako na lety mimo EÚ a na údaje PNR z letov vnútri EÚ rovnako ako na údaje PNR z letov mimo EÚ.

3.      Členský štát sa môže rozhodnúť, že bude uplatňovať túto smernicu len na určené lety vnútri EÚ. Keď sa tak rozhodne, určí lety, ktoré považuje za nevyhnuté v záujme sledovania cieľov tejto smernice. Členský štát môže výber letov vnútri EÚ kedykoľvek zmeniť.“

25      Článok 3 uvedenej smernice, nazvaný „Vymedzenie pojmov“, stanovuje:

„Na účely tejto smernice sa uplatňujú tieto vymedzenia pojmov:

1.      ‚letecký dopravca‘ je podnik leteckej dopravy, ktorý je držiteľom platnej prevádzkovej licencie alebo rovnocenného dokladu oprávňujúceho vykonávať leteckú prepravu cestujúcich;

2.      ‚let mimo EÚ‘ je akýkoľvek plánovaný alebo neplánovaný let prevádzkovaný leteckým dopravcom s odletom z tretej krajiny a plánovaným pristátím na území členského štátu alebo s odletom z územia členského štátu a plánovaným pristátím v tretej krajine, pričom v oboch prípadoch zahŕňa lety s akýmikoľvek medzipristátiami na území členských štátov alebo tretích krajín;

3.      ‚let vnútri EÚ‘ je akýkoľvek plánovaný alebo neplánovaný let prevádzkovaný leteckým dopravcom s odletom z územia členského štátu a plánovaným pristátím na území jedného alebo viacerých iných členských štátov bez akýchkoľvek medzipristátí na území tretej krajiny;

4.      ‚cestujúci‘ je každá osoba, vrátane osôb v transfere alebo tranzite okrem členov posádky, ktorá sa so súhlasom leteckého dopravcu prepravuje alebo má byť prepravená lietadlom, pričom takýto súhlas je preukázaný zápisom danej osoby na zozname cestujúcich;

5.      ‚záznamy o cestujúcich‘ alebo ‚PNR‘ sú záznamy o cestovných požiadavkách jednotlivých cestujúcich, ktoré obsahujú informácie potrebné na spracúvanie rezervácie a jej kontrolu zo strany rezervujúceho a zúčastneného leteckého dopravcu pre každú cestu, ktorú si osoba rezervovala alebo ktorá bola rezervovaná v jej mene, bez ohľadu na to, či sú obsiahnuté v rezervačných systémoch, systémoch kontroly odletov, používané na vybavenie cestujúcich alebo v rovnocenných systémoch poskytujúcich tie isté funkcie;

6.      ‚rezervačný systém‘ je vnútorný systém leteckého dopravcu, v ktorom sa zhromažďujú údaje PNR na účely spracúvania rezervácií;

7.      metóda ‚push‘ je metóda, ktorou leteckí dopravcovia prenášajú údaje PNR uvedené v prílohe I do databázy orgánu, ktorý ich požaduje;

8.      ‚teroristické trestné činy‘ sú trestné činy podľa vnútroštátneho práva uvedené v článkoch 1 až 4 rámcového rozhodnutia [2002/475];

9.      ‚závažná trestná činnosť‘ sú trestné činy uvedené v prílohe II, za ktoré možno podľa vnútroštátneho práva členského štátu uložiť trest odňatia slobody alebo ochranné opatrenie obmedzujúce slobodu s hornou hranicou trestnej sadzby v dĺžke najmenej troch rokov;

10.      ‚depersonalizovať maskovaním dátových prvkov‘ je zneviditeľniť tie dátové prvky, ktoré by mohli slúžiť na priamu identifikáciu dotknutej osoby.“

26      Článok 4 smernice PNR s názvom „Útvar informácií o cestujúcich“ v odsekoch 1 až 3 uvádza:

„1.      Každý členský štát zriadi alebo určí orgán zodpovedný za prevenciu, odhaľovanie, vyšetrovanie alebo stíhanie teroristických trestných činov a závažnej trestnej činnosti alebo podriadený útvar takéhoto orgánu, ktorý bude konať ako ‚útvar informácií o cestujúcich‘ (ďalej len ‚PIU‘).

2.      PIU je zodpovedný za:

a)      zhromažďovanie údajov PNR od leteckých dopravcov, ich uchovávanie a spracúvanie týchto údajov a za prenos týchto údajov alebo výsledky ich spracúvania príslušným orgánom uvedeným v článku 7;

b)      výmenu údajov PNR a aj výsledkov spracúvania týchto údajov s PIU iných členských štátov a s Europolom v súlade s článkami 9 a 10.

3.      Členmi personálu PIU môžu byť osoby vyslané príslušnými orgánmi. Členské štáty poskytnú PIU primerané zdroje na plnenie ich úloh.“

27      Článok 5 tejto smernice, nazvaný „Zodpovedná osoba v PIU“, znie:

„1.      PIU vymenuje zodpovednú osobu, ktorá bude zodpovedná za monitorovanie spracovania údajov PNR a uplatňovanie príslušných záruk.

2.      Členské štáty poskytnú zodpovednej osobe prostriedky na účinné a nezávislé vykonávanie ich povinností a úloh podľa tohto článku.

3.      Členské štáty zabezpečia, aby dotknutá osoba mala právo obrátiť sa na zodpovednú osobu, ktorá plní úlohu jednotného kontaktného miesta, so všetkými otázkami týkajúcimi sa spracúvania uvedených údajov PNR.“

28      Článok 6 uvedenej smernice s názvom „Spracúvanie údajov PNR“ stanovuje:

„1.      Údaje PNR prenesené leteckými dopravcami zhromažďuje PIU príslušného členského štátu podľa článku 8. Ak údaje PNR prenesené leteckými dopravcami obsahujú údaje iné ako údaje zo zoznamu uvedeného v prílohe I, PIU tieto údaje ihneď po ich prijatí natrvalo vymaže.

2.      PIU spracúva údaje PNR iba na tieto účely:

a)      vykonanie posúdenia cestujúcich pred ich plánovaným príletom do členského štátu alebo odletom z neho s cieľom identifikovať osoby, ktoré by mali príslušné orgány uvedené v článku 7 a v relevantných prípadoch Europol v súlade s článkom 10 ďalej preskúmať vzhľadom na to, že by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti;

b)      reagovanie na individuálnom základe na riadne odôvodnenú, dostatočne podloženú žiadosť príslušných orgánov o poskytnutie a spracovanie údajov PNR v konkrétnych prípadoch na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov alebo závažnej trestnej činnosti a poskytnutie výsledkov takéhoto spracúvania príslušným orgánom, prípadne Europolu, a

c)      analýza údajov PNR na účely aktualizácie alebo vytvárania nových kritérií, ktoré sa majú používať pri posúdeniach vykonávaných podľa odseku 3 písm. b) s cieľom identifikovať osoby, ktoré sa môžu podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti.

3.      Pri vykonávaní posúdenia uvedeného v odseku 2 písm. a) PIU môže:

a)      porovnať údaje PNR s databázami, ktoré sú relevantné na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti, vrátane databáz hľadaných osôb alebo vecí, alebo osôb alebo vecí, na ktoré bol vydaný zápis, a to v súlade s normami Únie a medzinárodnými a vnútroštátnymi normami vzťahujúcimi sa na takéto databázy, alebo

b)      spracúvať údaje PNR na základe vopred stanovených kritérií.

4.      Každé posudzovanie cestujúcich pred ich plánovaným príletom do členského štátu alebo odletom z neho vykonávané podľa odseku 3 písm. b) na základe vopred určených kritérií sa vykonáva nediskriminačným spôsobom. Tieto predurčené kritériá musia byť cielené, primerané a konkrétne. Členské štáty zabezpečia, aby tieto kritériá stanovovali a pravidelne preskúmavali útvary PIU v spolupráci s príslušnými orgánmi uvedenými v článku 7. Kritéria sa v žiadnom prípade nezakladajú na rasovom alebo etnickom pôvode osoby, jej politickom zmýšľaní, náboženskom vyznaní či filozofickom presvedčení, členstve v odborových organizáciách, zdraví, sexuálnom živote alebo sexuálnej orientácii.

5.      Členské štáty zabezpečia, aby sa všetky pozitívne lustrácie, ktoré sú výsledkom automatizovaného spracúvania údajov PNR vykonaného podľa odseku 2 písm. a), individuálne preskúmali neautomatizovanými prostriedkami s cieľom overiť, či je potrebné, aby príslušný orgán uvedený v článku 7 podnikol kroky podľa vnútroštátneho práva.

6.      PIU členského štátu prenesie údaje PNR, ktoré sa týkajú osôb identifikovaných podľa odseku 2 písm. a) alebo výsledok spracúvania uvedených údajov na ďalšie preskúmanie príslušným orgánom toho istého členského štátu uvedeným v článku 7. Tieto prenosy sa vykonávajú iba na individuálnom základe a v prípade automatizovaného spracúvania údajov PNR po individuálnom preskúmaní neautomatizovanými prostriedkami.

7.      Členské štáty zabezpečia, aby mala zodpovedná osoba prístup ku všetkým údajom spracúvaným útvarom PIU. Ak sa zodpovedná osoba domnieva, že spracúvanie akýchkoľvek údajov nebolo zákonné, môže postúpiť vec vnútroštátnemu dozornému orgánu.

…

9.      Dôsledky posúdenia cestujúcich podľa odseku 2 písm. a) tohto článku nesmú ohroziť právo na vstup osôb, ktoré požívajú právo Únie na voľný pohyb na území dotknutého členského štátu, ako sa ustanovuje v smernici Európskeho parlamentu a Rady 2004/38/ES [z 29. apríla 2004 o práve občanov Únie a ich rodinných príslušníkov voľne sa pohybovať a zdržiavať sa v rámci územia členských štátov, ktorá mení a dopĺňa nariadenie (EHS) 1612/68 a ruší smernice 64/221/EHS, 68/360/EHS, 72/194/EHS, 73/148/EHS, 75/34/EHS, 75/35/EHS, 90/364/EHS, 90/365/EHS a 93/96/EHS (Ú. v. EÚ L 158, 2004, s. 77; Mim. vyd. 05/005, s. 46)]. Okrem toho ak sa posúdenia vykonávajú vo vzťahu k letom vnútri EÚ medzi členskými štátmi, na ktoré sa vzťahuje nariadenie Európskeho parlamentu a Rady (ES) č. 562/2006 [z 15. marca 2006, ktorým sa ustanovuje kódex Spoločenstva o pravidlách upravujúcich pohyb osôb cez hranice (Kódex schengenských hraníc) (Ú. v. EÚ L 105, 2006, s. 1], dôsledky takýchto posúdení musia byť v súlade s uvedeným nariadením.“

29      Článok 7 smernice PNR, nazvaný „Príslušné orgány“, znie:

„1.      Každý členský štát prijme zoznam príslušných orgánov, ktoré sú oprávnené žiadať od PIU údaje PNR alebo výsledky spracúvania týchto údajov alebo ich od nich prijímať s cieľom ďalej preskúmať tieto informácie alebo prijať náležité opatrenia na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov alebo závažnej trestnej činnosti.

2.      Orgány uvedené v odseku 1 sú orgány s právomocou v oblasti prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti.

…

4.      Údaje PNR a výsledky spracúvania týchto údajov, ktoré boli doručené PIU môžu príslušné orgány členského štátu ďalej spracúvať iba na konkrétne účely prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti.

5.      Odsekom 4 nie je dotknuté presadzovanie vnútroštátneho práva ani súdne právomoci v prípadoch, ak sa v priebehu vykonávania opatrenia na presadzovanie práva vyplývajúceho z tohto spracúvania odhalia iné trestné činy alebo ich náznaky.

6.      Príslušné orgány neprijmú žiadne rozhodnutie, ktoré by malo nepriaznivé právne účinky alebo závažné dôsledky pre určitú osobu, len na základe automatizovaného spracúvania údajov PNR. Takéto rozhodnutia sa nesmú prijímať na základe rasového alebo etnického pôvodu osoby, jej politického zmýšľania, náboženského vyznania či filozofického presvedčenia, členstva v odborových organizáciách, zdravia, sexuálneho života alebo sexuálnej orientácie.“

30      Článok 8 tejto smernice s názvom „Povinnosti leteckých dopravcov týkajúce sa prenosov údajov“ v odsekoch 1 až 3 stanovuje:

„1.      Členské štáty prijmú opatrenia potrebné na zabezpečenie toho, aby leteckí dopravcovia (‚metódou push‘) prenášali údaje PNR uvedené v prílohe I v rozsahu, v akom takéto údaje zhromaždili počas bežného výkonu svojich činností, do databázy PIU členského štátu, na ktorého území let pristáva a/alebo z ktorého územia odlieta. Ak ide o let so spoločnými letovými kódmi jedného alebo viacerých leteckých dopravcov, povinnosť prenášať údaje PNR všetkých cestujúcich na tomto lete sa vzťahuje na leteckého dopravcu, ktorý let prevádzkuje. Ak má let mimo EÚ jedno či viac medzipristátí na letiskách členských štátov, leteckí dopravcovia prenesú údaje PNR o všetkých cestujúcich PIU všetkých dotknutých členských štátov. To platí aj vtedy, keď má let vnútri EÚ jedno alebo viacero medzipristátí na letiskách rôznych členských štátov, ale len vo vzťahu k členským štátom, ktoré zhromažďujú údaje PNR z letov vnútri EÚ.

2.      V prípade, že leteckí dopravcovia zhromaždili [údaje API] uvedené v bode 18 prílohy I, ale neuchovávajú ich tými istými technickými prostriedkami ako iné údaje PNR, členské štáty prijmú potrebné opatrenia, aby sa zabezpečilo, že leteckí dopravcovia uvedené údaje prenesú (‚metódou push‘) PIU členského štátu uvedeného v odseku 1. V prípade takéhoto prenosu sa na tieto údaje API uplatnia všetky ustanovenia tejto smernice.

3.      Leteckí dopravcovia prenesú údaje PNR elektronickými prostriedkami s využitím spoločných protokolov a podporovaných formátov údajov, ktoré sa prijmú v súlade s postupom preskúmania uvedeným v článku17 ods. 2, alebo v prípade technickej poruchy akýmikoľvek inými vhodnými prostriedkami, ktorými sa zabezpečí primeraná úroveň bezpečnosti údajov:

a)      24 až 48 hodín pred plánovaným časom odletu, a

b)      bezodkladne po uzatvorení letu, teda po tom, ako cestujúci nastúpili na palubu lietadla pripraveného na odlet a už žiadni cestujúci nemôžu nastúpiť alebo vystúpiť.“

31      Článok 12 uvedenej smernice, nazvaný „Doba uchovávania údajov a depersonalizácia“, stanovuje:

„1.      Členské štáty zabezpečia, aby sa údaje PNR, ktoré leteckí dopravcovia poskytnú PIU, uchovávali v databáze PIU po dobu piatich rokov po ich prenose PIU členského štátu, na území ktorého let pristáva alebo z ktorého odlieta.

2.      Po uplynutí doby šiestich mesiacov od prenosu údajov PNR podľa odseku 1, sa všetky údaje PNR depersonalizujú maskovaním nasledujúcich dátových prvkov, ktoré by mohli slúžiť na priamu identifikáciu cestujúceho, ktorého sa údaje PNR týkajú:

a)      meno (mená) vrátane mien ostatných cestujúcich uvedené v PNR a počet spolucestujúcich v PNR;

b)      adresa a kontaktné informácie;

c)      informácie o všetkých spôsoboch platby vrátane fakturačnej adresy, pokiaľ obsahujú akékoľvek informácie, ktoré by mohli slúžiť na priamu identifikáciu cestujúceho, ktorého sa údaje PNR týkajú, alebo akýchkoľvek iných osôb;

d)      informácie o častých cestujúcich (‚frequent flyer‘);

e)      všeobecné poznámky, pokiaľ obsahujú akékoľvek informácie, ktoré by mohli slúžiť na priamu identifikáciu cestujúceho, ktorého sa údaje PNR týkajú, a

f)      akékoľvek údaje API, ktoré boli zhromaždené.

3.      Po uplynutí doby šiestich mesiacov uvedenej v odseku 2 je sprístupnenie úplných údajov PNR prípustné, len ak:

a)      sa možno opodstatnene domnievať, že je to nevyhnutné na účely uvedené v článku 6 ods. 2 písm. b) a

b)      ho schválil:

i)      justičný orgán alebo

ii)      iný vnútroštátny orgán, ktorý je podľa vnútroštátneho práva príslušný overiť, či boli splnené podmienky sprístupnenia, a za podmienky, že zodpovedná osoba PIU bola o sprístupnení informovan[á] a následne ho uvedená zodpovedná osoba preskúmala.

4.      Členské štáty zabezpečia, aby sa údaje PNR po uplynutí doby uvedenej v odseku 1 natrvalo vymazali. Touto povinnosťou nie sú dotknuté prípady, keď boli konkrétne údaje PNR prenesené príslušnému orgánu a využívajú sa v súvislosti s konkrétnym prípadmi na účely prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti; v týchto prípadoch sa uchovávanie takýchto údajov príslušným orgánom riadi vnútroštátnym právom.

5.      PIU uchováva výsledok spracúvania podľa článku 6 ods. 2 písm. a) iba tak dlho, ako je to nevyhnutné na účely informovania príslušných orgánov a v súlade s článkom 9 ods. 1 informujú PIU iných členských štátov o pozitívnej lustrácii. Aj keď je výsledok automatizovaného spracúvania po následnom individuálnom preskúmaní neautomatizovanými prostriedkami uvedenými v článku 6 ods. 5 negatívny, môže sa uchovávať, aby sa predišlo budúcim falošným pozitívnym lustráciám, a to dovtedy, kým sa nevymažú podkladové údaje podľa odseku 4 tohto článku.“

32      Článok 13 smernice PNR s názvom „Ochrana osobných údajov“ v odsekoch 1 až 5 uvádza:

„1.      Každý členský štát zabezpečí, aby pri každom spracúvaní osobných údajov podľa tejto smernice mal každý cestujúci rovnaké právo na ochranu svojich osobných údajov, práva na prístup k nim, na ich opravu, vymazanie a obmedzenie a práva na náhradu škody a súdne opravné prostriedky, ako sú ustanovené v práve Únie a vo vnútroštátnom práve a na účely vykonania článkov 17, 18, 19 a 20 rámcového rozhodnutia [2008/977]. Uvedené články sa preto uplatnia.

2.      Každý členský štát zabezpečí, aby sa ustanovenia prijaté vo vnútroštátnom práve na účely vykonania článkov 21 a 22 rámcového rozhodnutia [2008/977] týkajúce sa dôvernosti pri spracúvaní a bezpečnosti údajov vzťahovali aj na spracúvanie osobných údajov podľa tejto smernice.

3.      Touto smernicou nie je dotknutá uplatniteľnosť smernice [95/46] na spracúvanie osobných údajov leteckým dopravcami, najmä ich povinnosti prijať primerané technické a organizačné opatrenia na ochranu bezpečnosti a dôvernosti osobných údajov.

4.      Členské štáty zakážu spracúvanie údajov PNR, z ktorých je zrejmý rasový alebo etnický pôvod osoby, jej politické zmýšľanie, náboženské vyznanie či filozofické presvedčenie, členstvo v odborových organizáciách, zdravie, sexuálny život alebo sexuálna orientácia. Ak PIU dostane údaje PNR obsahujúce takéto informácie, ihneď ich vymaže.

5.      Členské štáty zabezpečia, aby PIU viedli dokumentáciu týkajúcu sa všetkých systémov a postupov spracovania patriacich do ich pôsobnosti. Táto dokumentácia obsahuje aspoň:

a)      názov/meno a kontaktné údaje organizácie a pracovníkov PIU poverených spracúvaním údajov PNR a jednotlivé úrovne oprávnení na prístup;

b)      žiadosti podané príslušnými orgánmi a PIU ostatných členských štátov;

c)      všetky žiadosti o prenosy údajov PNR do tretej krajiny a prenosy týchto údajov do tretej krajiny.

PIU na požiadanie sprístupní celú dokumentáciu vnútroštátnemu dozornému orgánu.

33      Článok 15 tejto smernice, nazvaný „Vnútroštátny dozorný orgán“, znie:

„1.      Každý členský štát zabezpečí, aby vnútroštátny dozorný orgán uvedený v článku 25 rámcového rozhodnutia [2008/977] bol zodpovedný aj za poradenstvo a monitorovanie týkajúce sa uplatňovania ustanovení prijatých členskými štátmi na základe tejto smernice na svojom území. Uplatňuje sa pritom článok 25 rámcového rozhodnutia [2008/977].

2.      Uvedené vnútroštátne dozorné orgány vykonávajú činnosti podľa odseku 1 s ohľadom na ochranu základných práv pri spracúvaní osobných údajov.

3.      Každý vnútroštátny dozorný orgán:

a)      rieši sťažnosti podané akoukoľvek dotknutou osobou, vyšetruje predmetnú záležitosť a v primeranej lehote informuje dotknutú osobu o vývoji a výsledku šetrenia jej sťažnosti;

b)      overuje zákonnosť spracúvania údajov vedie vyšetrovania, inšpekcie a audity v súlade s vnútroštátnym právom, a to buď z vlastného podnetu alebo na základe sťažnosti uvedenej v písmene a).

4.      Každý vnútroštátny dozorný orgán poskytne na požiadanie poradenstvo ktorejkoľvek dotknutej osobe v súvislosti s výkonom jej práv uvedených v ustanoveniach prijatých podľa tejto smernice.“

34      Článok 19 uvedenej smernice, nazvaný „Preskúmanie“, stanovuje:

„1.      Na základe informácií poskytnutých členskými štátmi vrátane štatistických informácií uvedených v článku 20 ods. 2 Komisia do 25. mája 2020, preskúma všetky prvky tejto smernice a predloží a predstaví správu Európskemu parlamentu a Rade [Európskej únie].

2.      Komisia pri preskúmaní venuje osobitnú pozornosť:

a)      dodržiavaniu uplatniteľných noriem ochrany osobných údajov;

b)      potrebe a proporcionalite zhromažďovania a spracúvania údajov PNR v prípade každého účelu ustanoveného v tejto smernici;

c)      dĺžke doby uchovávania údajov;

d)      účinnosti výmeny informácií medzi členskými štátmi a

e)      kvalite posúdení, a to aj so zreteľom na štatistické informácie zozbierané podľa článku 20.

3.      Správa uvedená v odseku 1 tiež obsahuje preskúmanie nevyhnutnosti, proporcionality a efektívnosti začlenenia v rámci rozsahu pôsobnosti tejto smernice povinného zhromažďovania a prenosu údajov PNR, týkajúcich sa všetkých alebo vybraných letov vnútri EÚ. Komisia zohľadní skúsenosti členských štátov a najmä tých, ktoré uplatňujú túto smernicu na lety vnútri EÚ v súlade s článkom 2. Správa tiež zváži potrebu začleniť do pôsobnosti tejto smernice hospodárske subjekty, ktoré nie sú leteckými dopravcami ako napríklad cestovných agentúr a kancelárií, ktoré poskytujú služby súvisiace s cestovaním, vrátane rezervácie letov.

4.      Komisia podľa potreby predloží na základe preskúmania uskutočneného podľa tohto článku Európskemu parlamentu a Rade legislatívny návrh na zmenu tejto smernice.“

35      Článok 21 tej istej smernice s názvom „Vzťah k iným nástrojom“ v odseku 2 uvádza:

„Touto smernicou nie je dotknutá uplatniteľnosť smernice [95/46] spracúvanie osobných údajov leteckým dopravcami.“

36      Príloha I k smernici PNR, nazvaná „Údaje zo záznamov o cestujúcich zhromažďované leteckým dopravcami“, stanovuje:

„1.      Lokalizačný záznam PNR (‚PNR record locator‘)

2.      Dátum rezervácie/vystavenia letenky

3.      Dátum(‑y) plánovanej cesty

4.      Meno (mená)

5.      Adresa a kontaktné informácie (telefónne číslo, e‑mailová adresa)

6.      Informácie o všetkých spôsoboch platby vrátane fakturačnej adresy

7.      Celá trasa cesty pre konkrétny záznam o cestujúcom

8.      Informácie o častých cestujúcich (‚frequent flyer‘)

9.      Cestovná agentúra/zástupca cestovnej agentúry

10.      Štádium cesty cestujúceho vrátane potvrdení odletu, stavu vybavenia (‚check‑in‘), informácií o prípadoch, keď sa cestujúci nedostavil k odletu (no show), alebo informácií o prípadoch, keď sa cestujúci dostavil bez rezervácie (‚go show‘)

11.      Oddelené/rozdelené informácie PNR (Split/Divided PNR Information)

12.      Všeobecné poznámky (vrátane všetkých dostupných informácií o maloletých bez sprievodu mladších ako 18 rokov, napríklad meno alebo pohlavie maloletého, vek, jazyk(‑y), ktorým(‑i) hovorí, meno a kontaktné údaje osoby, ktorá ho sprevádza k odletu a jej vzťah k maloletému, meno a kontaktné údaje osoby, ktorá ho sprevádza po prílete a jej vzťah k maloletému, sprevádzajúci pracovník letiska pri odlete a prílete)

13.      Informácie o vystavení letenky vrátane čísla letenky, dátumu vystavenia letenky a jednosmerných leteniek, údajov zaznamenaných v rámci automatizovaného výpočtu cestovného (‚automated ticket fare quote‘)

14.      Číslo sedadla a ostatné informácie týkajúce sa sedadla

15.      Informácie týkajúce sa spoločného označovania liniek (code‑sharing)

16.      Všetky informácie o batožine

17.      Počet a mená ďalších cestujúcich v rámci jedného záznamu o cestujúcom

18.      Akékoľvek zhromaždené vopred poskytované informácie o cestujúcich (API) (vrátane typu, čísla, krajiny, v ktorej bol vydaný a dátumu uplynutia platnosti akéhokoľvek dokladu totožnosti, národnosti, priezviska, mena, pohlavia, dátumu narodenia, leteckej spoločnosti, čísla letu, dátumu odletu, dátumu príletu, miesta odletu, miesta príletu, času odletu a času príletu)

19.      Všetky doterajšie zmeny v údajoch PNR uvedených v bodoch 1 až 18.“

37      Príloha II k tejto smernici, nazvaná „Zoznam trestných činov, na ktoré sa odkazuje v článku 3 bode 9“, znie:

„1.      Účasť na zločinnom spolčení;

2.      obchodovanie s ľuďmi;

3.      sexuálne vykorisťovanie detí a detská pornografia;

4.      nedovolené obchodovanie s omamnými a psychotropnými látkami;

5.      nedovolené obchodovanie so zbraňami, strelivom a výbušninami;

6.      korupcia;

7.      podvod vrátane podvodu týkajúceho sa finančných záujmov Únie;

8.      legalizácia príjmov z trestnej činnosti a falšovanie a pozmeňovanie meny vrátane eura;

9.      kriminalita súvisiaca s počítačmi/počítačová kriminalita;

10.      trestné činy proti životnému prostrediu vrátane nedovoleného obchodovania s ohrozenými živočíšnymi a rastlinnými druhmi, ich plemenami a odrodami;

11.      uľahčenie neoprávneného prekročenia štátnej hranice a neoprávneného pobytu;

12.      vražda, závažné ublíženie na zdraví;

13.      nedovolené obchodovanie s ľudskými orgánmi a tkanivami;

14.      únos, obmedzovanie osobnej slobody a branie rukojemníka;

15.      organizovaná a ozbrojená lúpež;

16.      nedovolené obchodovanie s kultúrnymi objektmi vrátane starožitností a umeleckých diel;

17.      falšovanie, pozmeňovanie výrobkov vrátane konaní porušujúcich práva duševného vlastníctva alebo ich distribúcia;

18.      falšovanie a pozmeňovanie verejných listín a obchodovanie s takými listinami;

19.      nedovolené obchodovanie s hormonálnymi látkami a ďalšími prostriedkami na podporu rastu;

20.      nedovolené obchodovanie s jadrovými alebo rádioaktívnymi materiálmi;

21.      znásilnenie;

22.      trestné činy podliehajúce právomoci Medzinárodného trestného súdu;

23.      nezákonné ovládnutie lietadla alebo plavidla;

24.      sabotáž;

25.      obchodovanie s odcudzenými vozidlami;

26.      priemyselná špionáž.“

7.      Rámcové rozhodnutie 2002/475

38      Článok 1 rámcového rozhodnutia 2002/475 vymedzoval pojem „teroristický trestný čin“ vymenovaním súboru úmyselných činov uvedených v písmenách a) až i) toho istého článku, spáchaných s cieľom „vážne zastrašovať obyvateľstvo“, „neoprávnene naliehať na vládu alebo medzinárodnú organizáciu, aby vykonala alebo sa zdržala vykonania akéhokoľvek činu“ alebo „vážne destabilizovať alebo poškodiť základné politické, ústavné, hospodárske alebo sociálne štruktúry krajiny alebo medzinárodnej organizácie“. Články 2 a 3 tohto rámcového rozhodnutia vymedzovali v príslušnom poradí pojmy „trestné činy týkajúce sa teroristických skupín“ a „trestné činy spojené s teroristickými aktivitami“. Článok 4 uvedeného rámcového rozhodnutia upravoval trestnosť podnecovania, napomáhania alebo navádzania na trestný čin, ako aj pokusu o spáchanie trestného činu.

39      Rámcové rozhodnutie 2002/475 bolo zrušené smernicou Európskeho parlamentu a Rady (EÚ) 2017/541 z 15. marca 2017 o boji proti terorizmu, ktorou sa nahrádza rámcové rozhodnutie Rady 2002/475/SVV a mení rozhodnutie Rady 2005/671/SVV (Ú. v. EÚ L 88, 2017, s. 6).

B.      Belgické právo

1.      Ústava

40      Článok 22 Ústavy stanovuje:

„Každý má právo na rešpektovanie svojho súkromného a rodinného života, s výnimkou prípadov a podmienok stanovených zákonom.

Zákon, vyhláška alebo pravidlo uvedené v článku 134 zaručujú ochranu tohto práva.“

2.      Zákon z 25. decembra 2016

41      Článok 2 loi du 25 décembre 2016 relative au traitement des données des passagers (zákon z 25. decembra 2016 o spracúvaní údajov o cestujúcich, Moniteur belge z 25. januára 2017, s. 12905, ďalej aj len „zákon z 25. decembra 2016“), znie:

„Týmto zákonom a kráľovskými nariadeniami, ktoré budú prijaté na jeho vykonanie, sa preberá [smernica API] a [smernica PNR]. Týmto zákonom a kráľovským nariadením týkajúcim sa námorného odvetvia sa čiastočne preberá smernica [2010/65].“

42      Článok 3 tohto zákona stanovuje:

„1.      Tento zákon určuje povinnosti dopravcov a cestovných kancelárií týkajúce sa prenosu údajov o cestujúcich, ktorí cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú.

2.      Kráľ nariadením prerokovaným v Rade ministrov určí podľa odvetví dopravy a pre cestovné kancelárie údaje o cestujúcich, ktoré sa majú prenášať, a spôsoby ich prenosu po tom, ako získa stanovisko Commission de la protection de la vie privée [Komisia na ochranu súkromia].“

43      Článok 4 uvedeného zákona stanovuje:

„Na účely uplatňovania tohto zákona a jeho vykonávacích predpisov sa uplatňujú tieto vymedzenia pojmov:

…

(8)      ‚príslušné orgány‘ sú orgány uvedené v článku 14 ods. 1 bode 2;

(9)      ‚PNR‘ sú záznamy o cestovných požiadavkách jednotlivých cestujúcich, ktoré obsahujú informácie uvedené v článku 9, potrebné na spracúvanie rezervácie a jej kontrolu zo strany zúčastneného dopravcu a zúčastnenej cestovnej kancelárie pre každú cestu, ktorú si osoba rezervovala alebo ktorá bola rezervovaná v jej mene, bez ohľadu na to, či sú obsiahnuté v rezervačných systémoch, systémoch kontroly odjazdov/odletov (používaných na vybavenie cestujúcich) alebo v rovnocenných systémoch poskytujúcich tie isté funkcie;

(10)      ‚cestujúci‘ je každá osoba, vrátane osôb v transfere alebo tranzite okrem členov posádky, ktorá sa so súhlasom dopravcu prepravuje alebo má byť prepravená dopravcom, pričom takýto súhlas je preukázaný zápisom danej osoby v zozname cestujúcich;

…“

44      Článok 8 zákona z 25. decembra 2016 uvádza:

„1.      Údaje o cestujúcich sa spracúvajú na tieto účely:

(1)      vyšetrovanie a stíhanie, vrátane výkonu trestov alebo opatrení obmedzenia osobnej slobody, ktoré sa týkajú trestných činov uvedených v článku 90b ods. 2… bodoch 7,… 8,… 11,… 14,… 17, 18, 19 a článku 90b ods. 3 Code d’instruction criminelle [Trestný poriadok];

(2)      vyšetrovanie a stíhanie, vrátane výkonu trestov alebo opatrení obmedzenia osobnej slobody, ktoré sa týkajú trestných činov uvedených v článku 196, pokiaľ ide o trestné činy pozmeňovania verejných listín, a článkoch 198, 199, 199a, 207, 213, 375 a 505 Code pénal [Trestný zákon];

…

(4)      monitorovanie činností uvedených v článku 7 bodoch 1 a 3/1, článku 11 ods. 1 bodoch 1 až 3 a 5 loi du 30 novembre 1998 organique des services de renseignement et de sécurité [organický zákon z 30. novembra 1998 o spravodajských a bezpečnostných službách];

(5)      vyšetrovanie a stíhanie trestných činov uvedených v článku 220 ods. 2 loi générale sur les douanes et accises du 18 juillet 1977 [všeobecný zákon o clách a spotrebných daniach z 18. júla 1977] a článku 45 ods. 3 loi du 22 décembre 2009 relative au régime général d’accise [zákon z 22. decembra 2009 o všeobecnom systéme spotrebných daní]…

2.      Za podmienok stanovených v kapitole 11 sa údaje o cestujúcich spracúvajú aj na účely zlepšenia kontrol osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu.“

45      Podľa článku 14 ods. 1 tohto zákona:

„PIU tvoria:

…

(2)      členovia vyslaní z týchto príslušných orgánov:

a)      policajné orgány uvedené v loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux [zákon zo 7. decembra 1998 o organizácii integrovanej policajnej služby s dvojstupňovou štruktúrou];

b)      Sûreté de l’État [Štátna bezpečnosť] uvedená v organickom zákone z 30. novembra 1998 o spravodajských a bezpečnostných službách;

c)      Service général de Renseignement et de Sécurité [Ústredná spravodajská a bezpečnostná služba] uvedená v organickom zákone z 30. novembra 1998 o spravodajských a bezpečnostných službách;

…“

46      Článok 24 uvedeného zákona, ktorý sa nachádza v oddiele 1 s názvom „Spracúvanie údajov cestujúcich v rámci predbežného posúdenia cestujúcich“ kapitoly 10 toho istého zákona týkajúcej sa spracúvania údajov, znie:

„1.      Údaje o cestujúcich sa spracúvajú na účely vykonania predbežného posúdenia cestujúcich pred ich plánovaným príchodom na vnútroštátne územie, odchodom z tohto územia alebo tranzitom cez neho, s cieľom určiť, ktoré osoby treba podrobiť ďalšiemu preskúmaniu.

2.      V rámci cieľov uvedených v článku 8 ods. 1 bodoch 1, 4 a 5, alebo súvisiacich s hrozbami spomenutými v článku 8 ods. 1 písm. a), b), c), d), f), g) a článku 11 ods. 2 organického zákona z 30. novembra 1998 o spravodajských a bezpečnostných službách je predbežné posúdenie cestujúcich založené na pozitívnej zhode vyplývajúcej z korelácie medzi údajmi o cestujúcich a:

(1)      databázami, ktoré spravujú príslušné orgány alebo ktoré sú im priamo dostupné či prístupné v rámci ich úloh, alebo zoznamami osôb vypracovaných príslušnými orgánmi v rámci ich úloh.

(2)      kritériami posudzovania, ktoré vopred stanovil PIU a ktoré sú uvedené v článku 25.

3.      V rámci cieľov uvedených v článku 8 ods. 1 bode 3 je predbežné posúdenie cestujúcich založené na pozitívnej zhode vyplývajúcej z korelácie medzi údajmi o cestujúcich a databázami uvedenými v odseku 2 bode 1.

4.      Pozitívnu zhodu potvrdí PIU do 24 hodín od prijatia automatizovaného oznámenia o pozitívnej zhode.

5.      Od okamihu tohto potvrdenia príslušný orgán, ktorý pôvodne identifikoval túto pozitívnu zhodu, bezodkladne podnikne ďalšie opatrenia.“

47      Kapitola 11 zákona z 25. decembra 2016, nazvaná „Spracúvanie údajov o cestujúcich na účely zlepšenia kontroly hraníc a boja proti nelegálnemu prisťahovalectvu“, zahŕňa články 28 až 31 tohto zákona.

48      Článok 28 tohto zákona stanovuje:

„1.      Táto kapitola sa vzťahuje na spracúvanie údajov o cestujúcich policajnými orgánmi zodpovednými za hraničné kontroly a Office des étrangers [Cudzinecký úrad] na účely zlepšenia kontroly osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu.

2.      Uplatňovaním tejto kapitoly nie sú dotknuté povinnosti policajných orgánov zodpovedných za hraničné kontroly a Cudzineckého úradu oznamovať osobné údaje alebo informácie podľa ustanovení zákonov alebo iných právnych predpisov.“

49      Podľa článku 29 uvedeného zákona:

„1.      Na účely uvedené v článku 28 ods. 1 sa údaje o cestujúcich prenášajú policajným orgánom zodpovedným za hraničné kontroly a Cudzineckému úradu, aby mohli vykonávať svoje úlohy vyplývajúce zo zákona v medziach stanovených v tomto článku.

2.      Prenášajú sa iba údaje o cestujúcich, ktoré sú uvedené v článku 9 ods. 1 bode 18 a ktoré sa týkajú týchto kategórií cestujúcich:

(1)      cestujúci, ktorí plánujú vstúpiť na územie alebo vstúpili na územie cez vonkajšie hranice Belgicka;

(2)      cestujúci, ktorí plánujú opustiť územie alebo opustili územie cez vonkajšie hranice Belgicka;

(3)      cestujúci, ktorí plánujú prejsť cez medzinárodné tranzitné pásmo nachádzajúce sa v Belgicku, nachádzajú sa v ňom alebo cezeň prešli.

3.      Údaje o cestujúcich uvedené v ods. 2 sa prenesú policajným orgánom zodpovedným za kontrolu na vonkajších hraniciach Belgicka hneď po ich zaznamenaní do databázy cestujúcich. Policajné orgány uchovávajú tieto údaje v dočasnom súbore a do dvadsaťštyri hodín po ich prenose ich vymažú.

4.      Ak je to potrebné v súvislosti s plnením jeho zákonom stanovených úloh, údaje o cestujúcich uvedené v odseku 2 sa prenášajú Cudzineckému úradu hneď po ich zaznamenaní do databázy cestujúcich. Tento úrad ich uchováva v dočasnom súbore a do dvadsaťštyri hodín po ich prenose ich vymaže.

Ak je po uplynutí tejto lehoty potrebný prístup k údajom uvedených v odseku 2 v súvislosti s plnením jeho zákonom stanovených úloh, Cudzinecký úrad zašle útvaru PIU riadne odôvodnenú žiadosť.

…“

50      Zákon z 25. decembra 2016 sa začal uplatňovať na letecké spoločnosti, dopravcov poskytujúcich služby medzinárodnej osobnej dopravy (dopravcovia HST) a sprostredkovateľov ciest, ktorí majú uzavretú zmluvu s týmito dopravcami (distribútori lístkov HST), ako aj na autobusových dopravcov v príslušnom poradí na základe arrêté royal du 18 juillet 2017 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les compagnies aériennes (kráľovské nariadenie z 18. júla 2017 o vykonaní zákona z 25. decembra 2016, ktorým sa preberajú povinnosti pre letecké spoločnosti, Moniteur belge z 28. júla 2017, s. 75934), arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs HST et distributeurs de tickets HST (kráľovské nariadenie z 3. februára 2019 o vykonaní zákona z 25. decembra 2016, ktorým sa preberajú povinnosti pre dopravcov HST a distribútorov lístkov HST, Moniteur belge z 12. februára 2019, s. 13018), a arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs par bus (kráľovské nariadenie z 3. februára 2019 o vykonaní zákona z 25. decembra 2016, ktorým sa preberajú povinnosti pre autobusových dopravcov, Moniteur belge z 12. februára 2019, s. 13023).

II.    Spor vo veci samej a prejudiciálne otázky

51      Návrhom z 24. júla 2017 Ligue des droits humains podalo na Cour constitutionnelle (Ústavný súd, Belgicko) žalobu, ktorou sa domáhalo úplného alebo čiastočného zrušenia zákona z 25. decembra 2016.

52      Vnútroštátny súd vysvetľuje, že týmto zákonom sa do vnútroštátneho práva preberá smernica PNR a čiastočne smernica 2010/65. Z prípravných prác k uvedenému zákonu vyplýva, že jeho cieľom je „vytvoriť právny rámec umožňujúci uložiť jednotlivým odvetviam medzinárodnej osobnej dopravy (letecká, železničná, medzinárodná cestná a námorná doprava) a cestovným kanceláriám povinnosť prenášať údaje o svojich cestujúcich do databázy, ktorú spravuje [Service public fédéral intérieur (Federálne ministerstvo vnútra, Belgicko)]“. Vnútroštátny zákonodarca tiež spresnil, že účely zákona z 25. decembra 2016 spadajú do troch kategórií, a to po prvé predchádzanie trestným činom, ich vyšetrovanie, odhaľovanie alebo stíhanie alebo výkon trestných sankcií, po druhé úlohy spravodajských a bezpečnostných služieb a po tretie zlepšenie kontrol na vonkajších hraniciach a boj proti nelegálnemu prisťahovalectvu.

53      Na podporu svojej žaloby Ligue des droits humains uvádza dva žalobné dôvody, pričom prvý z nich je založený na porušení článku 22 Ústavy v spojení s článkom 23 GDPR, článkami 7, 8 a článkom 52 ods. 1 Charty, ako aj s článkom 8 EDĽP, a druhý, uvádzaný subsidiárne, na porušení tohto článku 22 v spojení s článkom 3 ods. 2 ZEÚ a článkom 45 Charty.

54      Svojím prvým žalobným dôvodom Ligue des droits humains v podstate tvrdí, že tento zákon zahŕňa zásah do práv na rešpektovanie súkromného života a ochranu osobných údajov, ktorý nie je v súlade s článkom 52 ods. 1 Charty a najmä so zásadou proporcionality. Pôsobnosť uvedeného zákona a vymedzenie zhromažďovaných údajov, ktoré by mohli odhaliť citlivé informácie, sú totiž príliš široké. Rovnako pojem „cestujúci“ v zmysle toho istého zákona umožňuje systematické a necielené automatizované spracúvanie údajov všetkých cestujúcich. Okrem toho povaha a pravidlá metódy prescreening, ako aj databázy, s ktorými sa porovnávajú tieto údaje po ich prenose, nie sú dostatočne jasne určené. Zákon z 25. decembra 2016 navyše sleduje iné účely ako smernica PNR. Napokon päťročná doba stanovená týmto zákonom na uchovávanie uvedených údajov je neprimeraná.

55      Svojím druhým žalobným dôvodom týkajúcim sa článku 3 ods. 1, článku 8 ods. 2 a článkov 28 až 31 zákona z 25. decembra 2016 Ligue des droits humains tvrdí, že tieto ustanovenia tým, že rozširujú systém stanovený smernicou PNR na prepravu vnútri EÚ, nepriamo vedú k obnoveniu kontrol na vnútorných hraniciach, ktoré sú v rozpore so slobodou pohybu osôb. Pokiaľ sa totiž osoba nachádza na belgickom území, či už pri príchode, odchode alebo medzipristátí, jej údaje sú automaticky zhromažďované.

56      Rada ministrov spochybňuje túto argumentáciu. Konkrétne sa domnieva, že prvý žalobný dôvod je neprípustný v rozsahu, v akom sa týka GDPR, ktoré sa na zákon z 25. decembra 2016 nevzťahuje. Okrem toho spracúvanie údajov stanovené týmto zákonom v súlade so smernicou PNR predstavuje kľúčový nástroj najmä v rámci boja proti terorizmu a závažnej trestnej činnosti, a opatrenia vyplývajúce z uvedeného zákona sú nevyhnutné na dosiahnutie sledovaných cieľov a primerané.

57      Pokiaľ ide o prvý žalobný dôvod, vnútroštátny súd sa v prvom rade pýta, či sa ochrana stanovená v GDPR vzťahuje aj na spracúvania údajov zavedené zákonom z 25. decembra 2016, ktorého cieľom je predovšetkým vykonanie smernice PNR. Ďalej tento súd s odvolaním sa na judikatúru vyplývajúcu zo stanoviska 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017 (EU:C:2017:592) poukazuje na to, že vymedzenie údajov z PNR uvedené v článku 3 bode 5 a prílohe I tejto smernice jednak nemusí byť dostatočne jasné a presné, a to z dôvodu, že opis niektorých z týchto údajov obsiahnutý v týchto ustanoveniach nie je vyčerpávajúci, a jednak môže nepriamo viesť k odhaleniu citlivých údajov. Okrem toho definícia pojmu „cestujúci“ uvedená v článku 3 bode 4 uvedenej smernice môže mať za následok, že zhromažďovanie, prenos, spracúvanie a uchovávanie údajov z PNR sa stanú všeobecnými a nediferencovanými povinnosťami uplatniteľnými na každú osobu, ktorá sa prepravuje alebo má byť prepravená a je zapísaná do zoznamu cestujúcich, bez ohľadu na to, či existujú závažné dôvody domnievať sa, že táto osoba spáchala alebo sa chystá spáchať trestný čin, alebo bola odsúdená za spáchanie trestného činu.

58      Uvedený súd ďalej poznamenáva, že údaje z PNR v súlade s ustanoveniami smernice PNR systematicky podliehajú predbežnému posúdeniu, ktoré zahŕňa vzájomné porovnávanie údajov s databázami alebo vopred stanovenými kritériami s cieľom nájsť zhody. Poradný výbor Dohovoru č. 108 Rady Európy pritom vo svojom stanovisku z 19. augusta 2016 o dôsledkoch spracúvania údajov o cestujúcich v oblasti ochrany údajov [T‑PD(2016)18rev] uviedol, že spracúvanie osobných údajov sa týka všetkých cestujúcich a nie len cieľových osôb, ktoré sú podozrivé z účasti na trestnom čine alebo z toho, že predstavujú bezprostrednú hrozbu pre národnú bezpečnosť alebo verejný poriadok, a že údaje z PNR okrem toho, že sa dajú porovnávať  (data matching) s databázami, možno spracúvať aj získavaním (data mining) pomocou selektorov alebo prediktívnych algoritmov s cieľom identifikovať každého, kto môže byť zapojený do trestnej činnosti alebo sa na nej podieľať, pričom takéto posudzovanie cestujúcich prostredníctvom párovania údajov môže vyvolať otázku predvídateľnosti, najmä ak sa vykonáva na základe prediktívnych algoritmov využívajúcich dynamické kritériá, ktoré sa môžu neustále vyvíjať v závislosti od schopností samoučenia. V tejto súvislosti vnútroštátny súd zastáva názor, že hoci vopred stanovené kritériá slúžiace na určenie rizikových profilov musia byť konkrétne, spoľahlivé a nediskriminačné v súlade so stanoviskom 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017 (EU:C:2017:592), zrejme je technicky nemožné tieto kritériá presnejšie vymedziť.

59      Pokiaľ ide o päťročnú dobu uchovávania a prístup k údajom podľa článku 12 smernice PNR, tento súd uvádza, že Commission de la protection de la vie privée (Komisia na ochranu súkromia, Belgicko) vo svojom stanovisku z vlastnej iniciatívy č. 01/2010 z 13. januára 2010 k návrhu zákona, ktorým sa schvaľuje Dohoda PNR medzi EÚ a USA, konštatovala, že ak je doba uchovávania údajov dlhá a údaje sa uchovávajú hromadne, zvyšuje sa riziko profilovania dotknutých osôb, ako aj riziko zneužitia týchto údajov na iné ako pôvodne stanovené účely. Zo stanoviska Poradného výboru Dohovoru č. 108 z 19. augusta 2016 navyše vyplýva, že „maskované údaje stále umožňujú identifikáciu osôb, a preto zostávajú osobnými údajmi, a že ich uchovávanie musí byť časovo obmedzené, aby sa predišlo neustálemu všeobecnému dohľadu.

60      Za týchto okolností sa vnútroštátny súd vzhľadom na judikatúru vyplývajúcu najmä so stanoviska 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017 (EU:C:2017:592) pýta, či možno v prípade systému zhromažďovania, prenosu, spracúvania a uchovávania údajov z PNR stanoveného v smernici PNR usúdiť, že nejde nad rámec toho, čo je striktne nevyhnutné. Tento súd zastáva názor, že treba tiež určiť, či táto smernica bráni vnútroštátnej právnej úprave, ktorá povoľuje spracúvanie údajov z PNR na iný účel, než sú účely stanovené uvedenou smernicou, a či sprístupnenie úplných údajov z PNR po ich depersonalizácii podľa článku 12 tej istej smernice môže povoliť vnútroštátny orgán, akým je útvar PIU vytvorený zákonom z 25. decembra 2016.

61      Pokiaľ ide o druhý žalobný dôvod, vnútroštátny súd uvádza, že článok 3 ods. 1 tohto zákona určuje povinnosti dopravcov a cestovných kancelárií týkajúce sa prenosu údajov o cestujúcich, ktorí „cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú“. Tento súd v súvislosti s pôsobnosťou uvedeného zákona dodáva, že vnútroštátny zákonodarca rozhodol o „zahrnutí územia EÚ do zhromažďovania údajov“ s cieľom získať „ucelenejší obraz o pohybe cestujúcich, ktorí predstavujú potenciálnu hrozbu pre bezpečnosť na úrovni Spoločenstva a pre národnú bezpečnosť“, čo stanovuje článok 2 smernice PNR v spojení s odôvodnením 10 tejto smernice pre lety v rámci Únie. Uvedený súd ďalej spresňuje, že Komisia pre ochranu súkromia sa vo svojom stanovisku č. 55/2015 zo 16. decembra 2015 k predbežnému návrhu zákona, ktorý sa neskôr stal zákonom z 25. decembra 2016, zaoberala možným konfliktom medzi belgickým systémom PNR a zásadou voľného pohybu osôb, pokiaľ by tento systém zahŕňal prepravu uskutočňovanú v rámci Únie.

62      Za týchto podmienok Cour constitutionnelle (Ústavný súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1.      Má sa článok 23 [GDPR] v spojení s článkom 2 ods. 2 písm. d) tohto nariadenia, vykladať v tom zmysle, že sa vzťahuje na vnútroštátnu právnu úpravu, akou je [zákon z 25. decembra 2016], ktorým sa preberá [smernica PNR], ako aj [smernica API] a smernica [2010/65]?

2.      Je príloha I [k smernici PNR] zlučiteľná s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže údaje, ktoré sú v nej vymenované, sú veľmi obsiahle – najmä údaje uvedené v bode 18 prílohy I [tejto smernice], ktoré sú obsiahlejšie než údaje uvedené v článku 3 ods. 2 [smernice API] – a z tohto dôvodu by celkovo mohli prezrádzať citlivé údaje, a tak prekračovať rámec toho, čo je ‚striktne nevyhnutné‘?

3.      Sú body 12 a 18 prílohy I [k smernici PNR] zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže vzhľadom na výrazy ‚notamment (vrátane)‘ a ‚y compris (vrátane)‘ sú údaje, na ktoré sa tieto výrazy vzťahujú, uvedené ako príklad a nie sú úplné, a teda požiadavka presnosti a jasnosti pravidiel zásahu do práva na rešpektovanie súkromného života a práva na ochranu osobných údajov, nie je pravdepodobne dodržaná?

4.      Sú článok 3 bod 4 [smernice PNR] a príloha I k tej istej smernici zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže systém všeobecného zhromažďovania, prenosu a spracúvania údajov o cestujúcich, ktorý tieto ustanovenia zavádzajú, sa vzťahuje na každú osobu, ktorá využíva daný dopravný prostriedok, nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že táto osoba môže predstavovať riziko pre verejnú bezpečnosť?

5.      Má sa článok 6 [smernice PNR] v spojení s článkami 7, 8 a článkom 52 ods. 1 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý ako účel spracúvania údajov z PNR pripúšťa monitorovanie činností, na ktoré sa zameriavajú spravodajské a bezpečnostné služby, čím sa tento účel začleňuje do predchádzania, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti?

6.      Je článok 6 [smernice PNR] zlučiteľný s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže predbežné posúdenie, ktoré upravuje, vykonávané koreláciou s databázami a vopred určenými kritériami, sa systematicky a všeobecne vzťahuje na údaje o cestujúcich nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že títo cestujúci môžu predstavovať riziko pre verejnú bezpečnosť?

7.      Môže sa pojem ‚iný [príslušný] vnútroštátny orgán‘ uvedený v článku 12 ods. 3 [smernice PNR] vykladať v tom zmysle, že sa vzťahuje na útvar PIU zriadený zákonom z 25. decembra 2016, ktorý by teda mohol po uplynutí obdobia šiestich mesiacov povoliť prístup k údajom z PNR v súvislosti s ad hoc zisťovaním?

8.      Má sa článok 12 [smernice PNR] v spojení s článkami 7, 8 a článkom 52 ods. 1 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý stanovuje všeobecnú dobu uchovávania údajov v dĺžke piatich rokov bez toho, aby v rámci predbežného posúdenia rozlišoval medzi prípadom, keď sa ukáže, že dotknutí cestujúci predstavujú riziko pre verejnú bezpečnosť a prípadom, keď sa ukáže, že takéto riziko nepredstavujú?

9.      a)      Je [smernica API] zlučiteľná s článkom 3 ods. 2 [ZEÚ] a článkom 45 [Charty], keďže sa povinnosti, ktoré stanovuje, vzťahujú na lety v rámci Európskej únie?

b)      Má sa [smernica API] v spojení s článkom 3 ods. 2 [ZEÚ] a článkom 45 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý na účely boja proti nelegálnemu prisťahovalectvu a zlepšenia hraničných kontrol povoľuje systém zhromažďovania a spracúvania údajov o cestujúcich, ‚ktorí cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú‘, čo by mohlo nepriamo viesť k obnoveniu kontrol na vnútorných hraniciach?

10.      Ak by Cour constitutionnelle (Ústavný súd) na základe odpovedí na predchádzajúce prejudiciálne otázky dospel k záveru, že napadnutý zákon, ktorým sa preberá najmä [smernica PNR], porušuje jednu alebo viaceré povinnosti vyplývajúce z ustanovení uvedených v týchto otázkach, mohol by prechodne zachovať účinky [zákona z 25. decembra 2016], aby tak zabránil vzniku právnej neistoty a umožnil ešte použitie v minulosti zhromaždených a uchovávaných údajov na účely stanovené zákonom?“

III. O prejudiciálnych otázkach

A.      O prvej otázke

63      Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa majú článok 2 ods. 2 písm. d) a článok 23 GDPR vykladať v tom zmysle, že toto nariadenie sa vzťahuje na operácie spracúvania osobných údajov stanovené vnútroštátnou právnou úpravou, ktorej cieľom je súčasne prebrať do vnútroštátneho práva ustanovenia smernice PNR, smernice API a smernice 2010/65, najmä na prenos, uchovávanie a spracúvanie údajov z PNR.

64      Ako vyplýva z článku 2 ods. 1 GDPR, toto nariadenie sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade takýchto údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému. Pojem „spracúvanie“ je široko vymedzený v článku 4 bode 2 uvedeného nariadenia a zahŕňa okrem iného získavanie, zaznamenávanie, uchovávanie, prehliadanie, využívanie, poskytovanie prenosom, šírenie alebo poskytovanie iným spôsobom, preskupovanie alebo vymazanie takýchto údajov alebo súborov údajov.

65      Belgická vláda však tvrdí, že prenos údajov z PNR útvarom PIU zo strany hospodárskych subjektov na účely predchádzania trestným činom a ich odhaľovania, ako je stanovený v článku 1 ods. 1 písm. a), článku 1 ods. 2 a článku 8 smernice PNR, ktorý predstavuje „spracúvanie“ osobných údajov v zmysle článku 4 bodu 2 GDPR, ako aj ich predbežný zber, nespadá do pôsobnosti tohto nariadenia na základe jeho článku 2 ods. 2 písm. d) z dôvodu, že judikatúru vyplývajúcu z rozsudku z 30. mája 2006, Parlament/Rada a Komisia, C‑317/04 a C‑318/04, EU:C:2006:346, body 57 až 59), ktorá sa týka článku 3 ods. 2 prvej zarážky smernice 95/46, možno uplatniť na toto ustanovenie uvedeného nariadenia.

66      V tejto súvislosti je pravda, ako už konštatoval Súdny dvor, že článok 3 ods. 2 prvá zarážka smernice 95/46, ktorá bola zrušená a nahradená GDPR s účinnosťou od 25. mája 2018, vo všeobecnosti vylučoval z pôsobnosti tejto smernice „operácie spracovania týkajúce sa verejnej bezpečnosti, obrany [a] bezpečnosti štátu“, pričom sa nerozlišovali osoby, ktoré vykonávali dotknutú operáciu spracovania údajov. Na operácie spracúvania vykonávané súkromnými subjektmi vyplývajúce z povinností uložených orgánmi verejnej moci sa tak prípadne mohla vzťahovať výnimka stanovená v tomto ustanovení vzhľadom na skutočnosť, že formulácia tohto ustanovenia sa vzťahovala na všetky operácie spracúvania týkajúce sa verejnej bezpečnosti, obrany alebo bezpečnosti štátu, bez ohľadu na to, kto ich vykonával (pozri v tomto zmysle rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 101).

67      V článku 2 ods. 2 písm. d) GDPR je však už takéto rozlíšenie uvedené, pretože, ako uviedol generálny advokát v bodoch 41 a 46 svojich návrhov, zo znenia tohto ustanovenia jasne vyplýva, že je potrebné splniť dve podmienky, aby sa na spracúvanie údajov vzťahovala výnimka, ktorú stanovuje. Zatiaľ čo prvá podmienka sa týka účelov spracúvania, konkrétne predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu, druhá podmienka sa týka osoby, ktorá toto spracúvanie vykonáva, teda „príslušného orgánu“ v zmysle uvedeného ustanovenia.

68      Ako tiež konštatoval Súdny dvor, z článku 23 ods. 1 písm. d) a h) GDPR vyplýva, že operácie spracúvania osobných údajov vykonávané jednotlivcami na účely uvedené v článku 2 ods. 2 písm. d) tohto nariadenia patria do jeho pôsobnosti (pozri v tomto zmysle rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 102).

69      Z toho vyplýva, že judikatúru pochádzajúcu z rozsudku z 30. mája 2006, Parlament/Rada a Komisia (C‑317/04 a C‑318/04, EU:C:2006:346), na ktorú sa odvoláva belgická vláda, nemožno uplatniť na výnimku z pôsobnosti GDPR uvedenú v článku 2 ods. 2 písm. d) tohto nariadenia.

70      Okrem toho sa táto výnimka, podobne ako ostatné výnimky z pôsobnosti GDPR stanovené v článku 2 ods. 2 tohto nariadenia, musí vykladať reštriktívne.

71      Ako vyplýva z odôvodnenia 19 uvedeného nariadenia, táto výnimka je odôvodnená okolnosťou, že operácie spracúvania osobných údajov vykonávané príslušnými orgánmi najmä na účely predchádzania trestným činom a ich odhaľovania vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania sa riadia osobitným aktom Únie, a to smernicou 2016/680, ktorá bola prijatá v ten istý deň ako GDPR [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 69].

72      Ako navyše spresňujú odôvodnenia 9 až 11 smernice 2016/680, táto smernica stanovuje osobitné pravidlá týkajúce sa ochrany fyzických osôb pri týchto operáciách spracúvania, pričom rešpektuje osobitnú povahu týchto činností patriacich do oblasti justičnej spolupráce v trestných veciach a policajnej spolupráce, zatiaľ čo GDPR vymedzuje všeobecné pravidlá týkajúce sa ochrany týchto osôb, ktoré sa majú uplatniť na uvedené operácie spracúvania, ak sa neuplatní osobitný akt, ktorým je smernica 2016/680. Konkrétne podľa odôvodnenia 11 tejto smernice sa GDPR uplatňuje na spracúvanie osobných údajov, ktoré vykonáva „príslušný orgán“ v zmysle článku 3 ods. 7 uvedenej smernice, ale na iné účely než tie, ktoré sú v nej stanovené [pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 70].

73      Pokiaľ ide o prvú podmienku uvedenú v bode 67 tohto rozsudku, a konkrétnejšie o účely, ktoré sledujú operácie spracúvania osobných údajov podľa smernice PNR, treba pripomenúť, že v súlade s článkom 1 ods. 2 tejto smernice možno údaje z PNR spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti. Tieto účely patria medzi účely uvedené v článku 2 ods. 2 písm. d) GDPR a článku 1 ods. 1 smernice 2016/680, takže na takéto operácie spracúvania sa môže vzťahovať výnimka uvedená v článku 2 ods. 2 písm. d) tohto nariadenia a teda spadajú do pôsobnosti tejto smernice.

74      To však neplatí pre operácie spracúvania upravené smernicou API a smernicou 2010/65, ktorých účely sú iné ako účely stanovené v článku 2 ods. 2 písm. d) GDPR a článku 1 ods. 1 smernice 2016/680.

75      Pokiaľ totiž ide o smernicu API, cieľom tejto smernice je zlepšiť hraničné kontroly a bojovať proti nelegálnemu prisťahovalectvu, ako vyplýva z jej odôvodnení 1, 7 a 9, ako aj z jej článku 1, a to tým, že dopravcovia vopred oznámia údaje o cestujúcich príslušným vnútroštátnym orgánom. Okrem toho viaceré odôvodnenia a ustanovenia tejto smernice poukazujú na to, že operácie spracúvania údajov stanovené na účely jej vykonania patria do pôsobnosti GDPR. Odôvodnenie 12 uvedenej smernice tak uvádza, že „smernica [95/46] sa uplatňuje so zreteľom na spracovanie osobných údajov orgánmi členských štátov“. Okrem toho článok 6 ods. 1 piaty pododsek smernice API spresňuje, že členské štáty môžu použiť údaje API aj na účely presadzovania práva „v súlade… [s] ustanoveniami o ochrane údajov podľa smernice [95/46]“, pričom tento výraz je tiež použitý v treťom pododseku tohto ustanovenia. Podobne je výraz „bez toho, aby boli dotknuté ustanovenia smernice [95/46]“ použitý okrem iného v odôvodnení 9 smernice API. Článok 6 ods. 2 smernice API napokon stanovuje, že cestujúci musia byť informovaní zo strany dopravcov „v súlade s ustanoveniami ustanovenými v smernici [95/46]“.

76      Pokiaľ ide o smernicu 2010/65, z jej odôvodnenia 2 a článku 1 ods. 1 vyplýva, že účelom tejto smernice je zjednodušiť a harmonizovať administratívne postupy uplatňované v námornej doprave prostredníctvom štandardizácie elektronického prenosu informácií a racionalizácie ohlasovacích formalít s cieľom uľahčiť námornú dopravu a znížiť administratívne zaťaženie spoločností lodnej dopravy. Článok 8 ods. 2 uvedenej smernice pritom potvrdzuje, že operácie spracúvania údajov stanovené na účely jej vykonania spadajú do pôsobnosti GDPR, keďže toto ustanovenie vyžaduje, aby členské štáty, pokiaľ ide o osobné údaje, zabezpečili dodržiavanie smernice 95/46.

77      Z toho vyplýva, že operácie spracúvania údajov stanovené vnútroštátnou právnou úpravou, ktorá do vnútroštátneho práva preberá ustanovenia smernice API a smernice 2010/65, spadajú do pôsobnosti GDPR. Naproti tomu operácie spracúvania údajov stanovené vnútroštátnou právnou úpravou, ktorou sa do vnútroštátneho práva preberá smernica PNR, môžu byť v súlade s výnimkou uvedenou v článku 2 ods. 2 písm. d) tohto nariadenia vyňaté z jeho uplatňovania, pokiaľ je splnená druhá podmienka uvedená v bode 67 tohto rozsudku, teda že osobou vykonávajúcou operácie spracúvania je príslušný orgán v zmysle tohto posledného uvedeného ustanovenia.

78      Pokiaľ ide o túto druhú podmienku, Súdny dvor rozhodol, že keďže smernica 2016/680 vo svojom článku 3 ods. 7 definuje pojem „príslušný orgán“, takáto definícia sa musí analogicky uplatniť na článok 2 ods. 2 písm. d) GDPR [pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 69].

79      Podľa článkov 4 a 7 smernice PNR pritom každý členský štát musí určiť orgán s právomocou v oblasti prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov a závažnej trestnej činnosti, ktorý bude konať ako útvar PIU, a prijať zoznam príslušných orgánov, ktoré sú oprávnené žiadať od PIU údaje PNR alebo výsledky spracúvania týchto údajov, pričom tieto orgány sú tiež orgánmi s právomocou v tejto oblasti, ako sa uvádza v článku 7 ods. 2 uvedenej smernice.

80      Z týchto skutočností vyplýva, že operácie spracúvania údajov z PNR vykonávané útvarom PIU a uvedenými príslušnými orgánmi na takéto účely spĺňajú obe podmienky uvedené v bode 67 tohto rozsudku, takže na tieto operácie spracúvania sa okrem ustanovení samotnej smernice PNR vzťahujú aj ustanovenia smernice 2016/680, a nie GDPR, čo napokon potvrdzuje aj odôvodnenie 27 smernice PNR.

81      Naproti tomu, keďže hospodárske subjekty, akými sú leteckí dopravcovia, hoci majú zákonnú povinnosť prenášať údaje z PNR, nie sú poverené výkonom verejnej moci, ani im nie sú zverené výsady verejnej moci na základe tejto smernice, nemožno tieto subjekty považovať za príslušné orgány v zmysle článku 3 ods. 7 smernice 2016/680 a článku 2 ods. 2 písm. d) GDPR, takže zber a prenos týchto údajov útvaru PIU zo strany leteckých dopravcov spadá do pôsobnosti tohto nariadenia. Rovnaký záver platí aj v takej situácii, akou je situácia stanovená zákonom z 25. decembra 2016, keď zber a prenos uvedených údajov vykonávajú iní dopravcovia alebo cestovné kancelárie.

82      Vnútroštátny súd sa napokon pýta na možný vplyv prijatia vnútroštátnej právnej úpravy, ktorej cieľom je súčasne prebrať ustanovenia smernice PNR, smernice API a smernice 2010/65, podobne ako zákon z 25. decembra 2016. V tejto súvislosti treba pripomenúť, ako vyplýva z bodov 72 a 75 až 77 tohto rozsudku, že operácie spracúvania údajov stanovené v týchto dvoch posledných uvedených smerniciach patria do pôsobnosti GDPR, ktoré obsahuje všeobecné pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov.

83      Ak teda spracúvanie údajov vykonávané na základe tejto právnej úpravy spadá do pôsobnosti smernice API a/alebo smernice 2010/65, na toto spracúvanie sa vzťahuje GDPR. To isté platí v prípade spracúvania údajov, ktoré sa vykonáva na rovnakom základe a vzhľadom na jeho účel sa naň vzťahuje okrem smernice PNR aj smernica API a/alebo smernica 2010/65. Napokon, ak spracúvanie údajov vykonávané na základe tej istej právnej úpravy spadá z hľadiska jeho účelu len do pôsobnosti smernice PNR, GDPR sa uplatní, ak ide o zber a prenos údajov z PNR útvaru PIU zo strany leteckých dopravcov. Naproti tomu, ak takéto spracúvanie vykonáva PIU alebo príslušné orgány na účely uvedené v článku 1 ods. 2 smernice PNR, na toto spracúvanie sa okrem vnútroštátneho práva vzťahuje smernica 2016/680.

84      Vzhľadom na predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 2 ods. 2 písm. d) a článok 23 GDPR sa majú vykladať v tom zmysle, že toto nariadenie sa vzťahuje na operácie spracúvania osobných údajov stanovené vnútroštátnou právnou úpravou, ktorej cieľom je súčasne prebrať do vnútroštátneho práva ustanovenia smernice API, smernice 2010/65 a smernice PNR, pokiaľ ide na jednej strane o operácie spracúvania údajov vykonávané súkromnými subjektmi a na druhej strane o operácie spracúvania údajov vykonávané orgánmi verejnej moci, ktoré spadajú výlučne do pôsobnosti smernice API alebo smernice 2010/65 alebo do pôsobnosti oboch smerníc zároveň. Naproti tomu uvedené nariadenie sa nevzťahuje na operácie spracúvania údajov stanovené takouto právnou úpravou, ktoré spadajú len do pôsobnosti smernice PNR a ktoré vykonáva PIU alebo príslušné orgány na účely uvedené v článku 1 ods. 2 tejto smernice.

B.      O druhej až štvrtej otázke a šiestej otázke

85      Svojou druhou až štvrtou otázkou a šiestou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta Súdneho dvora na platnosť smernice PNR z hľadiska článkov 7, 8 a článku 52 ods. 1 Charty. Tieto otázky sa týkajú najmä:

–        prílohy I k tejto smernici a údajov vymenovaných v tejto prílohe, najmä údajov uvedených v jej bodoch 12 a 18 s ohľadom na požiadavky jasnosti a presnosti (druhá a tretia otázka),

–        článku 3 bodu 4 uvedenej smernice a jej prílohy I v rozsahu, v akom sa systém všeobecného zhromažďovania, prenosu a spracúvania údajov z PNR, ktorý tieto ustanovenia zavádzajú, môže vzťahovať na každú osobu, ktorá cestuje letom, na ktorý sa vzťahujú ustanovenia tejto smernice (štvrtá otázka), a

–        článku 6 smernice PNR v rozsahu, v akom stanovuje predbežné posúdenie prostredníctvom porovnania údajov z PNR s databázami a/alebo ich spracovania na základe vopred stanovených kritérií, ktoré sa na tieto údaje uplatňuje systematicky a všeobecne, a to nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že dotknutí cestujúci môžu predstavovať riziko pre verejnú bezpečnosť (šiesta otázka).

86      Na úvod treba pripomenúť, že podľa všeobecnej zásady výkladu sa má akt Únie vykladať, pokiaľ je to možné, spôsobom, ktorý nespochybní jeho platnosť, a v súlade s celým primárnym právom a najmä s ustanoveniami Charty. Ak je teda text sekundárneho práva Únie možné vykladať viac ako jedným spôsobom, treba dať prednosť tomu výkladu, podľa ktorého je ustanovenie v súlade s primárnym právom, pred výkladom, ktorý vedie k zisteniu, že ustanovenie je s primárnym právom nezlučiteľné (rozsudok z 2. februára 2021, Consob, C‑481/19, EU:C:2021:84, bod 50 a citovaná judikatúra).

87      Okrem toho z ustálenej judikatúry vyplýva, že ak ustanovenia smernice ponechávajú členským štátom určitú mieru voľnej úvahy na stanovenie opatrení na ich prebratie, ktoré budú prispôsobené rôznym možným situáciám, je potrebné, aby členské štáty pri vykonávaní týchto opatrení nielen vykladali svoje vnútroštátne právo v súlade s predmetnou smernicou, ale takisto dbali na to, aby nevychádzali z výkladu tejto smernice, ktorý by bol v rozpore so základnými právami alebo s inými všeobecnými zásadami práva Únie [pozri v tomto zmysle rozsudky z 15. februára 2016, N., C‑601/15 PPU, EU:C:2016:84, bod 60 a citovanú judikatúru, ako aj zo 16. júla 2020, Belgicko (Zlúčenie rodiny – Maloleté dieťa), C‑133/19, C‑136/19 a C‑137/19, EU:C:2020:577, bod 33 a citovanú judikatúru].

88      Pokiaľ ide o smernicu PNR, treba uviesť, že najmä odôvodnenia 15, 20, 22, 25, 36 a 37 zdôrazňujú význam, ktorý normotvorca Únie prikladá s odkazom na vysokú úroveň ochrany údajov plnému dodržiavaniu základných práv zakotvených v článkoch 7, 8 a 21 Charty, ako aj zásady proporcionality, takže, ako sa uvádza v odôvodnení 36, táto smernica „by sa mala zodpovedajúcim spôsobom vykonávať“.

89      Konkrétne v odôvodnení 22 smernice PNR sa zdôrazňuje, že „berúc v plnej miere do úvahy zásady vysvetlené v nedávnej judikatúre [Súdneho dvora] v tejto oblasti by sa uplatňovaním tejto smernice malo v plnej miere zabezpečiť dodržiavanie základných práv, práva na súkromie, ako aj zásady proporcionality“ a skutočne dosiahnuť „ciele, pokiaľ ide o nevyhnutnosť a primeranosť z hľadiska zabezpečovania všeobecných záujmov, ktoré uznáva Únia, a potreby chrániť práva a slobody iných v boji proti teroristickým trestným činom a závažnej trestnej činnosti“. V tomto odôvodnení sa ďalej uvádza, že toto uplatňovanie „by malo byť riadne odôvodnené a mali by existovať nevyhnutné záruky, ktorými sa zabezpečí zákonnosť každého uchovávania, analýzy, prenosu alebo využitia údajov PNR“.

90      Okrem toho článok 19 ods. 2 smernice PNR ukladá Komisii, aby v rámci preskúmania tejto smernice venovala osobitnú pozornosť „dodržiavaniu uplatniteľných noriem ochrany osobných údajov“, „potrebe a proporcionalite zhromažďovania a spracúvania údajov PNR v prípade každého účelu ustanoveného v tejto smernici“ a „dĺžke doby uchovávania údajov“.

91      Treba teda overiť, či smernicu PNR v súlade s tým, čo vyžadujú najmä jej odôvodnenia a ustanovenia uvedené v bodoch 88 až 90 tohto rozsudku, možno vykladať spôsobom, ktorý zabezpečuje plné dodržiavanie základných práv zaručených v článkoch 7 a 8 Charty, ako aj zásady proporcionality zakotvenej v článku 52 ods. 1 Charty.

1.      O zásahoch do základných práv zaručených v článkoch 7 a 8 Charty, ktoré vyplývajú zo smernice PNR

92      Článok 7 Charty zaručuje každému právo na rešpektovanie jeho súkromného a rodinného života, obydlia a komunikácie, zatiaľ čo článok 8 ods. 1 Charty každému výslovne priznáva právo na ochranu osobných údajov, ktoré sa ho týkajú.

93      Ako vyplýva z článku 3 bodu 5 smernice PNR a z výpočtu uvedeného v jej prílohe I, údaje z PNR, na ktoré sa vzťahuje táto smernica, zahŕňajú popri mene cestujúceho alebo cestujúcich v leteckej doprave najmä informácie, ktoré sú nevyhnutné na rezerváciu, ako sú dátumy plánovanej cesty a cestovná trasa, informácie týkajúce sa leteniek, skupiny osôb zaregistrovaných pod rovnakým rezervačným číslom, údaje o cestujúcom alebo cestujúcich, informácie o spôsobe platby a fakturácii, informácie o batožine, ako aj všeobecné poznámky vo vzťahu k cestujúcim.

94      Keďže údaje z PNR tak obsahujú informácie o identifikovaných fyzických osobách, a to dotknutých cestujúcich v leteckej doprave, rôzne spôsoby spracúvania týchto údajov sa dotýkajú základného práva na rešpektovanie súkromného života, ktoré je zaručené v článku 7 Charty [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, body 121 a 122, ako aj citovanú judikatúru].

95      Okrem toho sa na operácie spracúvania údajov z PNR podľa smernice PNR tiež vzťahuje článok 8 Charty z dôvodu, že predstavujú spracúvanie osobných údajov v zmysle tohto článku, a teda nevyhnutne musia spĺňať požiadavky ochrany údajov, ktoré stanovuje uvedený článok [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 123 a citovanú judikatúru].

96      Z ustálenej judikatúry pritom vyplýva, že poskytnutie osobných údajov takej tretej osobe, akou je orgán verejnej moci, predstavuje zásah do základných práv zakotvených v článkoch 7 a 8 Charty bez ohľadu na neskoršie využitie poskytnutých informácií. To isté platí v prípade uchovávania osobných údajov, ako aj prístupu k uvedeným údajom na účely ich využitia orgánmi verejnej moci. V tejto súvislosti nie je dôležité, či predmetné informácie týkajúce sa súkromného života majú alebo nemajú citlivú povahu alebo či pre dotknuté osoby z dôvodu tohto zásahu vyplynuli alebo nevyplynuli prípadné nepriaznivé následky [stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, body 124 a 126, ako aj citovaná judikatúra].

97      Prenos údajov z PNR leteckými dopravcami útvaru PIU dotknutého členského štátu stanovený v článku 1 ods. 1 písm. a) smernice PNR v spojení s jej článkom 8, ako aj rámec podmienok týkajúcich sa uchovávania týchto údajov, ich využívania a ich prípadného ďalšieho poskytovania príslušným orgánom tohto členského štátu, útvarom PIU a príslušným orgánom iných členských štátov, Europolu alebo dokonca orgánom tretích krajín, ktoré umožňujú najmä články 6, 7, 9 a 10 až 12 tejto smernice, tak predstavujú zásahy do základných práv zaručených článkami 7 a 8 Charty.

98      Pokiaľ ide o závažnosť týchto zásahov, treba po prvé uviesť, že smernica PNR podľa jej článku 1 ods. 1 písm. a) v spojení s jej článkom 8 stanovuje systematický a nepretržitý prenos údajov z PNR útvarom PIU o každom cestujúcom, ktorý cestuje letom mimo EÚ v zmysle článku 3 bodu 2 tejto smernice medzi tretími krajinami a Úniou. Ako uviedol generálny advokát v bode 73 svojich návrhov, takýto prenos znamená všeobecný prístup útvarov PIU ku všetkým poskytnutým údajom z PNR, ktoré sa týkajú všetkých osôb využívajúcich služby leteckej dopravy, bez ohľadu na neskoršie využitie týchto údajov.

99      Po druhé článok 2 smernice PNR stanovuje v odseku 1, že členské štáty sa môžu rozhodnúť uplatňovať túto smernicu na lety vnútri EÚ v zmysle jej článku 3 bodu 3, a v odseku 2 spresňuje, že v takom prípade sa všetky ustanovenia tejto smernice „uplatňujú na lety vnútri EÚ rovnako ako na lety mimo EÚ a na údaje PNR z letov vnútri EÚ rovnako ako na údaje PNR z letov mimo EÚ“.

100    Po tretie, aj keď sa nezdá, že by niektoré údaje z PNR vymenované v prílohe I smernice PNR, ako sú zhrnuté v bode 93 tohto rozsudku, posudzované samostatne, mohli odhaliť konkrétne informácie o súkromnom živote dotknutých osôb, nič to nemení na tom, že uvedené údaje, ak sú posudzované spoločne, môžu okrem iného odhaliť celú cestovnú trasu, cestovné zvyky, vzťahy, ktoré existujú medzi dvomi alebo viacerými osobami, ako aj informácie o finančnej situácii cestujúcich v leteckej doprave, ich stravovacích návykoch alebo o ich zdravotnom stave a mohli by tiež odhaliť citlivé informácie o týchto cestujúcich [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 128].

101    Po štvrté na základe článku 6 ods. 2 písm. a) a b) smernice PNR sú údaje prenášané leteckými dopravcami určené nielen na predbežné posúdenie, ktoré sa uskutočňuje pred plánovaným príletom alebo odletom cestujúcich, ale aj na následné posúdenie.

102    Pokiaľ ide o predbežné posúdenie, z článku 6 ods. 2 písm. a) a článku 6 ods. 3 smernice PNR vyplýva, že toto posúdenie vykonávajú útvary PIU členských štátov systematicky a prostredníctvom automatizovaných prostriedkov, teda nepretržite a nezávisle od toho, či existuje nejaká zmienka o existencii rizika účasti dotknutých osôb na teroristických trestných činoch alebo závažnej trestnej činnosti. Na tento účel tieto ustanovenia stanovujú, že údaje z PNR sa môžu porovnať s „databázami, ktoré sú relevantné“, a spracúvať na základe „vopred stanovených kritérií“.

103    V tomto kontexte treba pripomenúť, že Súdny dvor už rozhodol, že rozsah zásahu do práv zakotvených v článkoch 7 a 8 Charty, ktorý vyplýva z automatizovaných analýz údajov z PNR, v podstate závisí od vopred stanovených vzorov a kritérií, ako aj od databáz, z ktorých tento typ spracúvania údajov vychádza [stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 172].

104    Ako pritom uviedol generálny advokát v bode 78 svojich návrhov, spracúvanie stanovené v článku 6 ods. 3 písm. a) smernice PNR, t. j. porovnanie údajov z PNR s „databázami, ktoré sú relevantné“, môže poskytnúť dodatočné informácie o súkromnom živote cestujúcich v leteckej doprave a umožňuje vyvodiť v tomto smere veľmi presné závery.

105    Pokiaľ ide o operácie spracúvania údajov z PNR na základe „vopred stanovených kritérií“ podľa článku 6 ods. 3 písm. b) smernice PNR, je pravda, že článok 6 ods. 4 tejto smernice vyžaduje, aby sa posudzovanie cestujúcich na základe týchto kritérií vykonávalo nediskriminačným spôsobom a aby sa predovšetkým nezakladalo na súbore charakteristík uvedených v poslednej vete tohto odseku 4. Okrem toho musia byť stanovené kritériá cielené, primerané a konkrétne.

106    Súdny dvor však už rozhodol, že keďže sa automatizované analýzy údajov z PNR uskutočňujú na základe neoverených osobných údajov a vychádzajú z vopred stanovených vzorov a kritérií, nevyhnutne vykazujú určitú mieru odchýlky [pozri analogicky stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 169]. Ako v podstate uviedol generálny advokát v bode 78 svojich návrhov, z pracovného dokumentu Komisie [SWD(2020)128 final] pripojeného k jej správe z 24. júla 2020 o preskúmaní smernice PNR konkrétne vyplýva, že počet prípadov pozitívnych lustrácií z automatizovaného spracovania podľa článku 6 ods. 3 písm. a) a b) tejto smernice, ktoré sa po individuálnom preskúmaní neautomatizovanými prostriedkami ukázali ako nesprávne, bol pomerne značný a v rokoch 2018 a 2019 predstavoval najmenej päť zo šiestich identifikovaných osôb. Tieto operácie spracúvania tak vedú k dôkladnej analýze údajov z PNR týkajúcich sa uvedených osôb.

107    Pokiaľ ide o následné posúdenie údajov z PNR stanovené v článku 6 ods. 2 písm. b) smernice PNR, z tohto ustanovenia vyplýva, že počas obdobia šiestich mesiacov od prenosu údajov z PNR podľa článku 12 ods. 2 tejto smernice je PIU povinný na žiadosť príslušných orgánov poskytnúť týmto orgánom údaje z PNR a spracovať tieto údaje v konkrétnych prípadoch na účely boja proti teroristickým trestným činom alebo závažnej trestnej činnosti.

108    Okrem toho, hoci po uplynutí tejto doby šiestich mesiacov sa údaje z PNR depersonalizujú maskovaním niektorých prvkov týchto údajov, od PIU možno v súlade s článkom 12 ods. 3 smernice PNR vyžadovať, aby na základe takejto žiadosti sprístupnil príslušným orgánom úplné údaje z PNR vo forme umožňujúcej identifikáciu dotknutej osoby, ak sa možno opodstatnene domnievať, že je to nevyhnutné na účely uvedené v článku 6 ods. 2 písm. b) tejto smernice, pričom takéto sprístupnenie je podriadené schváleniu zo strany súdneho orgánu alebo „iného [príslušného] vnútroštátneho orgánu“.

109    Po piate smernica PNR tým, že v článku 12 ods. 1 bez ďalších spresnení v tomto smere stanovuje, že údaje PNR sa uchovávajú v databáze po dobu piatich rokov po ich prenose PIU členského štátu, na území ktorého let pristáva alebo z ktorého odlieta, umožňuje vzhľadom na skutočnosť, že napriek ich anonymizácii pomocou maskovania niektorých dátových prvkov po uplynutí počiatočného obdobia šiestich mesiacov možno úplné údaje z PNR aj naďalej poskytovať v prípade uvedenom v predchádzajúcom bode, disponovať informáciami o súkromnom živote cestujúcich v leteckej doprave počas obdobia, ktoré Súdny dvor už charakterizoval vo svojom stanovisku 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017 (EU:C:2017:592, bod 132), ako osobitne dlhé.

110    Vzhľadom na to, že využívanie leteckej dopravy je bežné, má takáto doba uchovávania za následok, že údaje z PNR značnej časti obyvateľstva Únie sa budú môcť opakovane uchovávať v rámci systému zavedeného smernicou PNR, a teda budú prístupné pre analýzy vykonávané v rámci predbežných a následných posúdení zo strany PIU a príslušných orgánov počas dlhšieho obdobia, ak nie na neurčito, v prípade osôb, ktoré cestujú lietadlom častejšie ako raz za päť rokov.

111    Vzhľadom na všetky predchádzajúce úvahy treba konštatovať, že smernica PNR nepochybne prináša vážne zásahy do práv zaručených v článkoch 7 a 8 Charty, najmä v rozsahu, v akom sa snaží zaviesť nepretržitý, necielený a systematický režim dohľadu vrátane automatizovaného posudzovania osobných údajov všetkých osôb, ktoré využívajú služby leteckej dopravy.

2.      O odôvodnení zásahov vyplývajúcich zo smernice PNR

112    Je potrebné pripomenúť, že základné práva zakotvené v článkoch 7 a 8 Charty nie sú absolútnymi výsadami, ale musia sa vnímať vo vzťahu k ich úlohe v spoločnosti [stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 136 a citovaná judikatúra, ako aj rozsudok zo 6. októbra 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 63 a citovaná judikatúra].

113    Článok 52 ods. 1 prvá veta Charty stanovuje, že akékoľvek obmedzenie výkonu práv a slobôd priznaných v tejto Charte musí byť ustanovené zákonom a musí rešpektovať podstatu týchto práv a slobôd. Podľa článku 52 ods. 1 druhej vety Charty možno pri dodržaní zásady proporcionality tieto práva a slobody obmedziť len vtedy, ak je to nevyhnutné a skutočne to zodpovedá cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo ak je to potrebné na ochranu práv a slobôd iných. V tejto súvislosti článok 8 ods. 2 Charty spresňuje, že osobné údaje musia byť spracované najmä „na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom“.

114    Je potrebné dodať, že požiadavka, podľa ktorej musí byť každé obmedzenie výkonu základných práv stanovené zákonom, predpokladá, že samotný právny základ, ktorý umožňuje zásah do týchto práv, musí vymedzovať rozsah obmedzenia výkonu dotknutého práva, pričom treba spresniť, že na jednej strane táto požiadavka nevylučuje, aby bolo predmetné obmedzenie formulované dostatočne široko na to, aby sa mohlo prispôsobiť zmenám situácií (pozri v tomto zmysle rozsudok z 26. apríla 2022, Poľsko/Parlament a Rada, C‑401/19, EU:C:2022:297, body 64 a 74, ako aj citovanú judikatúru), a na druhej strane, že Súdny dvor môže v prípade potreby prostredníctvom výkladu objasniť konkrétny rozsah obmedzenia z hľadiska samotného znenia predmetnej právnej úpravy Únie, ako aj jej všeobecnej štruktúry a cieľov, ktoré sleduje, ako sú vykladané s ohľadom na základné práva zaručené Chartou.

115    Pokiaľ ide o dodržiavanie zásady proporcionality, ochrana základného práva na rešpektovanie súkromného života na úrovni Únie si v súlade s ustálenou judikatúrou Súdneho dvora vyžaduje, aby výnimky a obmedzenia v súvislosti s ochranou osobných údajov nepôsobili nad rámec toho, čo je striktne nevyhnutné. Okrem toho nemožno sledovať cieľ všeobecného záujmu bez zohľadnenia skutočnosti, že musí byť zosúladený so základnými právami dotknutými opatrením, a to náležitým vyvážením cieľa všeobecného záujmu a dotknutých práv [stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 140, ako aj rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 52 a citovaná judikatúra].

116    Konkrétnejšie možnosť členských štátov odôvodniť obmedzenie práv a povinností zaručených v článkoch 7 a 8 Charty treba posudzovať prostredníctvom merania závažnosti zásahu, ktorý spôsobí takéto obmedzenie, a overenia, či je dôležitosť cieľa všeobecného záujmu sledovaného týmto obmedzením priamo úmerná takejto závažnosti (pozri v tomto zmysle rozsudky z 2. októbra 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, bod 55 a citovanú judikatúru, a z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 53 a citovanú judikatúru).

117    Na účely splnenia požiadavky proporcionality musí dotknutá právna úprava obsahujúca zásah stanoviť jasné a presné pravidlá, ktoré budú upravovať rozsah a uplatnenie v nej stanovených opatrení a ukladať minimálne požiadavky, tak aby osoby, ktorých údaje boli prenesené, mali dostatočné záruky umožňujúce im účinne chrániť ich osobné údaje pred rizikami zneužitia. Táto právna úprava musí najmä vymedziť okolnosti a podmienky, za akých možno prijať opatrenie upravujúce spracovanie takýchto údajov, čím zaručí, aby zásah nešiel nad rámec toho, čo je striktne nevyhnutné. Nevyhnutnosť disponovať takými zárukami je o to dôležitejšia v prípade, keď sú osobné údaje spracúvané automaticky. Tieto úvahy platia najmä vtedy, keď údaje z PNR môžu odhaliť citlivé údaje o cestujúcich [stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 141, ako aj rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 132 a citovaná judikatúra].

118    Právna úprava stanovujúca uchovávanie osobných údajov tak musí vždy spĺňať objektívne kritériá, ktoré vymedzujú vzťah medzi údajmi, ktoré majú byť uchovávané, a sledovaným cieľom [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 191 a citovanú judikatúru, ako aj rozsudky z 3. októbra 2019, A a i., C‑70/18, EU:C:2019:823, bod 63, a zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 133].

a)      O dodržiavaní zásady zákonnosti a rešpektovaní podstaty dotknutých základných práv

119    Obmedzenie výkonu základných práv zaručených článkami 7 a 8 Charty, ktoré vyplýva zo systému zavedeného smernicou PNR, je stanovené v legislatívnom akte Únie. Pokiaľ ide o otázku, či v súlade s judikatúrou uvedenou v bode 114 tohto rozsudku táto smernica ako právny akt Únie, ktorý pripúšťa zásah do týchto práv, sama osebe vymedzuje rozsah obmedzenia výkonu uvedených práv, treba poznamenať, že ustanovenia tejto smernice a jej príloh I a II na jednej strane obsahujú výpočet údajov z PNR a na druhej strane stanovujú rámec spracúvania týchto údajov najmä tým, že vymedzujú účely a spôsoby vykonávania tohto spracúvania. Napokon sa táto otázka do veľkej miery zhoduje s otázkou dodržania požiadavky proporcionality uvedenou v bode 117 tohto rozsudku (pozri v tomto zmysle rozsudok zo 16. júla 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 180) a bude preskúmaná v bode 125 a nasl. tohto rozsudku.

120    Pokiaľ ide o rešpektovanie podstaty základných práv zakotvených v článkoch 7 a 8 Charty, je pravda, že údaje z PNR môžu prípadne odhaliť veľmi presné informácie o súkromnom živote určitej osoby. Keďže sa však na jednej strane povaha týchto informácií obmedzuje na určité aspekty tohto súkromného života týkajúce sa najmä leteckých ciest tejto osoby, a na druhej strane smernica PNR vo svojom článku 13 ods. 4 výslovne zakazuje spracúvanie citlivých údajov v zmysle článku 9 ods. 1 GDPR, údaje uvedené v tejto smernici samy osebe neumožňujú získať úplný prehľad o súkromnom živote osoby. Okrem toho uvedená smernica v článku 1 ods. 2 v spojení s článkom 3 bodmi 8 a 9, ako aj s prílohou II vymedzuje účely spracúvania údajov z PNR. Napokon táto smernica v článkoch 4 až 15 určuje pravidlá prenosu, spracúvania a uchovávania uvedených údajov, ako aj pravidlá určené najmä na zabezpečenie bezpečnosti, dôvernosti a integrity týchto údajov, ako aj na ich ochranu pred nezákonným prístupom a spracúvaním. Za týchto podmienok zásahy vyplývajúce zo smernice PNR nenarúšajú podstatu základných práv zakotvených v článkoch 7 a 8 Charty.

b)      O cieli všeobecného záujmu a vhodnosti spracúvania údajov z PNR vzhľadom na tento cieľ

121    Pokiaľ ide o otázku, či systém zavedený smernicou PNR sleduje cieľ všeobecného záujmu, z odôvodnení 5, 6 a 15 tejto smernice vyplýva, že jej cieľom je zaistiť vnútornú bezpečnosť Únie a tak chrániť život a bezpečnosť osôb, a zároveň vytvoriť právny rámec, ktorý zabezpečí vysokú úroveň ochrany základných práv cestujúcich, a to najmä práv na rešpektovanie súkromného života a ochranu osobných údajov, pri spracúvaní údajov z PNR príslušnými orgánmi.

122    Na tento účel článok 1 ods. 2 smernice PNR uvádza, že údaje z PNR zhromaždené v súlade s touto smernicou možno spracúvať podľa jej článku 6 ods. 2 písm. a) až c) len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti. Tieto účely pritom nepochybne predstavujú ciele všeobecného záujmu Únie, ktorý možno odôvodniť zásahmi, a to aj závažnými, do základných práv zakotvených v článkoch 7 a 8 Charty [pozri v tomto zmysle rozsudok z 8. apríla 2014, Digital Rights Ireland a i., C‑293/12 a C‑594/12, EU:C:2014:238, bod 42, ako aj stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, body 148 a 149].

123    Pokiaľ ide o to, či je systém zavedený smernicou PNR vhodný na dosiahnutie sledovaných cieľov, treba konštatovať, že hoci možnosť „falošne negatívnych“ výsledkov a pomerne veľký počet „falošne pozitívnych“ výsledkov, ktoré, ako bolo uvedené v bode 106 tohto rozsudku, vyplynuli z operácií automatizovaného spracúvania podľa tejto smernice v rokoch 2018 a 2019, môžu obmedziť vhodnosť tohto systému, nie sú však takej povahy, že by bol uvedený systém vďaka nej nespôsobilý prispievať k dosiahnutiu cieľa spočívajúceho v boji proti teroristickým trestným činom a závažnej trestnej činnosti. Ako totiž vyplýva z pracovného dokumentu Komisie uvedeného v bode 106 tohto rozsudku, operácie automatizovaného spracúvania vykonávané na základe uvedenej smernice už skutočne umožnili identifikovať cestujúcich v leteckej doprave, ktorí predstavujú riziko z hľadiska boja proti teroristickým trestným činom a závažnej trestnej činnosti.

124    Okrem toho vzhľadom na mieru odchýlky spojenú s operáciami automatizovaného spracúvania údajov z PNR, a najmä na pomerne veľký počet „falošne pozitívnych“ výsledkov, vhodnosť systému zavedeného smernicou PNR v podstate závisí od správneho fungovania následného overenia výsledkov z tohto spracúvania inými ako automatizovanými prostriedkami, čo je podľa tejto smernice úlohou útvaru PIU. Ustanovenia, ktoré na tento účel stanovuje uvedená smernica, teda prispievajú k dosiahnutiu týchto cieľov.

c)      O nevyhnutnosti zásahov vyplývajúcich zo smernice PNR

125    V súlade s judikatúrou pripomenutou v bodoch 115 až 118 tohto rozsudku treba overiť, či sú zásahy vyplývajúce zo smernice PNR obmedzené na to, čo je striktne nevyhnutné, a najmä či táto smernica uvádza jasné a presné pravidlá upravujúce rozsah a uplatňovanie ňou stanovených opatrení, a či systém, ktorý zavádza, naďalej spĺňa objektívne kritériá určujúce vzťah medzi údajmi z PNR, ktoré úzko súvisia s rezerváciou a uskutočnením leteckých ciest, a cieľmi sledovanými touto smernicou, konkrétne bojom proti teroristickým trestným činom a závažnej trestnej činnosti.

1)      O údajoch o cestujúcich v leteckej doprave, na ktoré sa vzťahuje smernica PNR

126    Je potrebné posúdiť, či rubriky údajov uvedené v prílohe I smernice PNR jasne a presne vymedzujú údaje z PNR, ktoré je letecký dopravca povinný poskytnúť PIU.

127    Na úvod treba pripomenúť, že ako vyplýva z odôvodnenia 15 smernice PNR, úmyslom normotvorcu Únie bolo vypracovať zoznam údajov z PNR, ktoré sa majú prenášať PIU, a to tak, aby „zodpovedal oprávneným požiadavkám orgánov verejnej moci týkajúcim sa prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti, a aby sa takto zlepšila vnútorná bezpečnosť v rámci Únie a chránili základné práva, najmä právo na súkromie a na ochranu osobných údajov“. Konkrétne podľa toho istého odôvodnenia by tieto „mali obsahovať len údaje o rezervácii cestujúceho a trase jeho cesty, ktoré príslušným orgánom umožnia identifikovať v leteckej doprave cestujúcich, ktorí predstavujú hrozbu pre vnútornú bezpečnosť“. Okrem toho smernica PNR v článku 13 ods. 4 prvej vete zakazuje „spracúvanie údajov PNR, z ktorých je zrejmý rasový alebo etnický pôvod osoby, jej politické zmýšľanie, náboženské vyznanie či filozofické presvedčenie, členstvo v odborových organizáciách, zdravie, sexuálny život alebo sexuálna orientácia“.

128    V dôsledku toho údaje z PNR zhromaždené a odovzdané v súlade s prílohou I smernice PNR musia priamo súvisieť s uskutočneným letom a dotknutým cestujúcim a musia byť obmedzené tak, aby na jednej strane spĺňali výlučne legitímne požiadavky orgánov verejnej moci v oblasti prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti, a na druhej strane vylučovali citlivé údaje.

129    Rubriky 1 až 4, 7, 9, 11, 15, 17 a 19 prílohy I smernice PNR pritom spĺňajú tieto požiadavky, ako aj požiadavky jasnosti a presnosti, keďže sa týkajú jasne identifikovateľných a obmedzených informácií, ktoré priamo súvisia s uskutočneným letom a dotknutým cestujúcim. Ako uviedol generálny advokát v bode 165 svojich návrhov, platí to aj pre rubriky 10, 13, 14 a 16, napriek ich otvorenej formulácii.

130    Naproti tomu je potrebné poskytnúť určité spresnenia na účely výkladu rubrík 5, 6, 8, 12 a 18.

131    Pokiaľ ide o rubriku 5, v ktorej sa uvádza „adresa a kontaktné informácie (telefónne číslo, e‑mailová adresa)“, táto rubrika výslovne nespresňuje, či sa uvedená adresa a uvedené kontaktné informácie vzťahujú výlučne na cestujúceho v leteckej doprave alebo aj na tretie osoby, ktoré uskutočnili rezerváciu letu pre tohto cestujúceho, tretie osoby, prostredníctvom ktorých možno tohto cestujúceho kontaktovať, alebo dokonca na tretie osoby, ktoré majú byť informované v naliehavom prípade. Ako však v podstate uviedol generálny advokát v bode 162 svojich návrhov, vzhľadom na požiadavky jasnosti a presnosti túto rubriku nemožno vykladať tak, že implicitne umožňuje tiež zhromažďovanie a prenos osobných údajov takýchto tretích osôb. Uvedenú rubriku preto treba vykladať tak, že sa vzťahuje len na poštovú adresu a kontaktné informácie, teda telefónne číslo a emailovú adresu, cestujúceho v leteckej doprave, v ktorého mene bola urobená rezervácia.

132    Pokiaľ ide o rubriku 6, ktorá zahŕňa „informácie o všetkých spôsoboch platby vrátane fakturačnej adresy“, treba túto rubriku vykladať na účely splnenia požiadaviek jasnosti a presnosti tak, že sa týka len informácií o spôsoboch platby a fakturácii letenky, s vylúčením akýchkoľvek ďalších informácií, ktoré s letom priamo nesúvisia [pozri analogicky stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 159].

133    Pokiaľ ide o rubriku 8, ktorá zahŕňa „informácie o častých cestujúcich (‚frequent flyer‘)“, treba ju, ako uviedol generálny advokát v bode 164 svojich návrhov, vykladať tak, že sa týka výlučne údajov o statuse dotknutého cestujúceho v rámci vernostného programu danej leteckej spoločnosti alebo skupiny leteckých spoločností, ako aj identifikačného čísla tohto cestujúceho ako účastníka programu „frequent flyer“. Rubrika 8 teda neumožňuje zhromažďovať informácie o transakciách, na základe ktorých bol tento status získaný.

134    Pokiaľ ide o rubriku 12, táto zahŕňa „všeobecné poznámky (vrátane všetkých dostupných informácií o maloletých bez sprievodu mladších ako 18 rokov, napríklad meno alebo pohlavie maloletého, vek, jazyk(‑y), ktorým(‑i) hovorí, meno a kontaktné údaje osoby, ktorá ho sprevádza k odletu a jej vzťah k maloletému, meno a kontaktné údaje osoby, ktorá ho sprevádza po prílete a jej vzťah k maloletému, sprevádzajúci pracovník letiska pri odlete a prílete).“

135    V tejto súvislosti treba na úvod uviesť, že hoci výraz „všeobecné poznámky“ nezodpovedá požiadavkám jasnosti a presnosti, keďže ako taký nestanovuje nijaké obmedzenie, pokiaľ ide o povahu a rozsah informácií, ktoré možno zhromažďovať a prenášať PIU na základe rubriky 12 [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 160], výpočet v zátvorkách spĺňa tieto požiadavky.

136    Preto na účely výkladu rubriky 12, ktorý by v súlade s judikatúrou uvedenou v bode 86 tohto rozsudku umožnil jej zosúladenie s požiadavkami jasnosti a presnosti a všeobecnejšie s článkami 7 a 8, ako aj s článkom 52 ods. 1 Charty, treba usudzovať, že povolené je len zhromažďovanie a poskytovanie informácií výslovne vymenovaných v tejto rubrike, t. j. meno alebo pohlavie maloletého, vek, jazyk(‑y), ktorým(‑i) hovorí, meno a kontaktné údaje osoby, ktorá ho sprevádza k odletu a jej vzťah k maloletému, meno a kontaktné údaje osoby, ktorá ho sprevádza po prílete a jej vzťah k maloletému, sprevádzajúci pracovník letiska pri odlete a prílete.

137    Napokon, pokiaľ ide o rubriku 18, táto zahŕňa „akékoľvek zhromaždené vopred poskytované informácie o cestujúcich (API) (vrátane typu, čísla, krajiny, v ktorej bol vydaný a dátumu uplynutia platnosti akéhokoľvek dokladu totožnosti, národnosti, priezviska, mena, pohlavia, dátumu narodenia, leteckej spoločnosti, čísla letu, dátumu odletu, dátumu príletu, miesta odletu, miesta príletu, času odletu a času príletu)“.

138    Ako v podstate uviedol generálny advokát v bodoch 156 až 160 svojich návrhov, z tejto rubriky 18 v spojení s odôvodneniami 4 a 9 smernice PNR vyplýva, že informácie, na ktoré odkazuje, sú taxatívne určené údaje API vymenované v uvedenej rubrike, ako aj v článku 3 ods. 2 smernice API.

139    Pokiaľ sa teda bude rubrika 18 vykladať v tom zmysle, že zahŕňa iba údaje, ktoré sú výslovne uvedené v tejto rubrike, ako aj v uvedenom článku 3 ods. 2 smernice API, možno usúdiť, že spĺňa požiadavky jasnosti a presnosti [pozri analogicky stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 161].

140    Treba preto konštatovať, že príloha I k smernici PNR, vykladaná v súlade s úvahami uvedenými najmä v bodoch 130 až 139 tohto rozsudku, je ako celok dostatočne jasná a presná, čím vymedzuje rozsah zásahu do základných práv zakotvených v článkoch 7 a 8 Charty.

2)      O účeloch spracúvania údajov z PNR

141    Ako vyplýva z článku 1 ods. 2 smernice PNR, účelom operácií spracúvania údajov z PNR zhromaždených v súlade s touto smernicou je boj proti „teroristickým trestným činom“ a „závažnej trestnej činnosti“.

142    Pokiaľ ide o otázku, či smernica PNR stanovuje v tejto oblasti jasné a presné pravidlá, ktoré obmedzujú uplatňovanie systému zavedeného touto smernicou na to, čo je striktne nevyhnutné na tieto účely, treba na jednej strane uviesť, že pojem „teroristické trestné činy“ je vymedzený v článku 3 bode 8 uvedenej smernice odkazom na „trestné činy podľa vnútroštátneho práva uvedené v článkoch 1 až 4 rámcového rozhodnutia [2002/475]“.

143    Okrem toho, že toto rámcové rozhodnutie v článkoch 1 až 3 jasne a presne vymedzilo pojmy „teroristické trestné činy“, „trestné činy súvisiace s teroristickou skupinou“ a „trestné činy súvisiace s teroristickými činnosťami“, pri ktorých mali členské štáty zabezpečiť, aby boli trestané ako trestné činy na základe uvedeného rámcového rozhodnutia, pritom smernica Európskeho parlamentu a Rady (EÚ) 2017/541 z 15. marca 2017 o boji proti terorizmu, ktorou sa nahrádza rámcové rozhodnutie Rady 2002/475/SVV a mení rozhodnutie Rady 2005/671/SVV (Ú. v. EÚ L 88, 2017, s. 6), tiež v článkoch 3 až 14 jasne a presne vymedzuje tie isté trestné činy.

144    Na druhej strane článok 3 bod 9 smernice PNR vymedzuje pojem „závažná trestná činnosť“ odkazom na „trestné činy uvedené v prílohe II [tejto smernice], za ktoré možno podľa vnútroštátneho práva členského štátu uložiť trest odňatia slobody alebo ochranné opatrenie obmedzujúce slobodu s hornou hranicou trestnej sadzby v dĺžke najmenej troch rokov“.

145    Táto príloha pritom v prvom rade taxatívne vymenúva jednotlivé kategórie trestných činov, ktoré môžu spadať pod definíciu „závažnej trestnej činnosti“ uvedenú v článku 3 bode 9 tejto smernice.

146    Ďalej vzhľadom na osobitosti trestnoprávnych systémov členských štátov v čase prijatia tejto smernice, pri neexistencii harmonizácie takto uvedených trestných činov, sa normotvorca Únie mohol obmedziť na uvedenie kategórií trestných činov bez vymedzenia ich znakov skutkovej podstaty, a to tým skôr, že sa predpokladá, že tieto znaky sú nevyhnutne vymedzené vnútroštátnym právom, na ktoré odkazuje článok 3 ods. 9 smernice o PNR, keďže členské štáty sú povinné rešpektovať zásadu zákonnosti trestných činov a trestov ako súčasti spoločnej hodnoty právneho štátu podľa článku 2 ZEÚ zdieľanej s Úniou (pozri analogicky rozsudok zo 16. februára 2022, Maďarsko/Parlament a Rada, C‑156/21, EU:C:2022:97, body 136, 160 a 234), pričom ide navyše o zásadu zakotvenú v článku 49 ods. 1 Charty, ktorý sú členské štáty povinné dodržiavať pri vykonávaní takého aktu Únie, akým je smernica PNR (pozri v tomto zmysle rozsudok z 10. novembra 2011, QB, C‑405/10, EU:C:2011:722, bod 48 a citovanú judikatúru). Preto aj vzhľadom na obvyklý význam pojmov použitých v tejto prílohe treba konštatovať, že táto príloha dostatočne jasne a presne určuje trestné činy, ktoré môžu predstavovať závažnú trestnú činnosť.

147    Je pravda, že body 7, 8, 10 a 16 prílohy II sa týkajú veľmi všeobecných kategórií trestných činov (podvod, legalizácia príjmov z trestnej činnosti a falšovanie a pozmeňovanie meny, trestné činy proti životnému prostrediu, nedovolené obchodovanie s kultúrnymi objektmi), pričom však odkazujú na konkrétne trestné činy patriace do týchto všeobecných kategórií. Na účely zabezpečenia dostatočnej presnosti, ktorú tiež vyžaduje článok 49 Charty, treba tieto body vykladať tak, že odkazujú na uvedené trestné činy, ako ich vymedzuje vnútroštátne právo a/alebo právo Únie v tejto oblasti. Ak sa uvedené body vykladajú v tomto zmysle, možno usúdiť, že spĺňajú požiadavky jasnosti a presnosti.

148    Napokon treba ešte pripomenúť, že hoci v súlade so zásadou proporcionality cieľ boja proti závažnej trestnej činnosti môže odôvodniť závažný zásah, ktorý smernica PNR prináša do základných práv zaručených v článkoch 7 a 8 Charty, inak je to v prípade cieľa boja proti trestnej činnosti vo všeobecnosti, keďže tento posledný uvedený cieľ môže odôvodniť len zásahy, ktoré nemajú závažnú povahu (pozri analogicky rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 59 a citovanú judikatúru). Táto smernica tak musí prostredníctvom jasných a presných pravidiel zabezpečiť, aby sa uplatňovanie systému zavedeného uvedenou smernicou obmedzovalo len na trestné činy predstavujúce závažnú trestnú činnosť, a tým vylúčilo trestné činy spadajúce pod bežnú trestnú činnosť.

149    V tejto súvislosti, ako uviedol generálny advokát v bode 121 svojich návrhov, veľký počet trestných činov uvedených v prílohe II smernice PNR – ako je obchodovanie s ľuďmi, sexuálne vykorisťovanie detí a detská pornografia, nedovolené obchodovanie so zbraňami, strelivom a výbušninami, pranie špinavých peňazí, počítačová kriminalita, nedovolené obchodovanie s ľudskými orgánmi a tkanivami, nedovolené obchodovanie s omamnými a psychotropnými látkami, nedovolené obchodovanie s jadrovými alebo rádioaktívnymi materiálmi, nezákonné ovládnutie lietadla alebo plavidla, trestné činy podliehajúce právomoci Medzinárodného trestného súdu, vražda, znásilnenie, únos, obmedzovanie osobnej slobody a branie rukojemníka – svojou povahou vykazujú nepochybne vysoký stupeň závažnosti.

150    Okrem toho, hoci iné trestné činy, ktoré sú tiež uvedené v tejto prílohe II, a priori nemožno tak ľahko spojiť so závažnou trestnou činnosťou, zo samotného znenia článku 3 bodu 9 smernice PNR vyplýva, že tieto trestné činy možno považovať za závažnú trestnú činnosť len vtedy, ak za ne možno podľa vnútroštátneho práva dotknutého členského štátu uložiť trest odňatia slobody alebo ochranné opatrenie obmedzujúce slobodu s hornou hranicou trestnej sadzby v dĺžke najmenej troch rokov. Požiadavky vyplývajúce z tohto ustanovenia, ktoré sa týkajú povahy a prísnosti uplatniteľného trestu, sú v zásade schopné obmedziť uplatňovanie systému zavedeného uvedenou smernicou na trestné činy s dostatočnou mierou závažnosti, ktorá môže odôvodniť zásah do základných práv zakotvených v článkoch 7 a 8 Charty vyplývajúci zo systému zavedeného tou istou smernicou.

151    Keďže však článok 3 bod 9 smernice PNR odkazuje na hornú hranicu uplatniteľnej trestnej sadzby a nie na jej dolnú hranicu, nie je vylúčené, že údaje z PNR by sa mohli spracúvať na účely boja proti trestným činom, ktoré síce spĺňajú kritérium stanovené v tomto ustanovení týkajúce sa hranice závažnosti, ale vzhľadom na osobitosti vnútroštátneho trestnoprávneho systému predstavujú bežnú trestnú činnosť, a nie závažnú trestnú činnosť.

152    Členským štátom teda prináleží zabezpečiť, aby sa uplatňovanie systému zavedeného smernicou PNR skutočne obmedzilo na boj proti závažnej trestnej činnosti a aby sa tento systém nerozšíril na trestné činy, ktoré predstavujú bežnú trestnú činnosť.

3)      O súvislosti medzi údajmi z PNR a účelom spracúvania týchto údajov

153    Je pravda, ako v podstate uviedol generálny advokát v bode 119 svojich návrhov, že znenie článku 3 bodu 8 a článku 3 bodu 9 smernice PNR v spojení s jej prílohou II výslovne neodkazuje na kritérium, ktoré by mohlo obmedziť pôsobnosť tejto smernice na trestné činy, ktoré si svojou povahou môžu aspoň nepriamo zachovávať objektívnu súvislosť s cestami leteckou dopravou, a teda aj s kategóriami údajov zhromažďovaných, spracúvaných a uchovávaných podľa uvedenej smernice.

154    Ako však uviedol generálny advokát v bode 121 svojich návrhov, niektoré trestné činy uvedené v prílohe II smernice PNR, akými sú obchodovanie s ľuďmi, nedovolené obchodovanie s omamnými látkami alebo so zbraňami, uľahčenie neoprávneného prekročenia štátnej hranice a neoprávneného pobytu, nezákonné ovládnutie lietadla, môžu svojou povahou priamo súvisieť s s leteckou prepravou cestujúcich. To isté platí o niektorých teroristických trestných činoch, ako sú napríklad trestné činy rozsiahleho poškodenia dopravného systému alebo zariadenia infraštruktúry, alebo ovládnutie lietadiel, ktoré sú uvedené v článku 1 ods. 1 písm. d) a e) rámcového rozhodnutia 2002/475, na ktorý odkazuje článok 3 bod 8 smernice PNR, alebo tiež trestné činy cestovania na účely terorizmu a organizovania alebo uľahčovania tohto cestovania, ktoré sú uvedené v článkoch 9 a 10 smernice 2017/541.

155    V tomto kontexte treba tiež pripomenúť, že Komisia svoj návrh smernice Európskeho parlamentu a Rady o využívaní údajov z osobných záznamov o cestujúcich na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti z 2. februára 2011 [KOM(2011) 32 v konečnom znení], na základe ktorého bola prijatá smernica PNR, odôvodňovala zdôraznením skutočnosti, že „teroristické útoky v Spojených štátoch v roku 2001, zmarený teroristický útok v auguste 2006, pri ktorom malo vybuchnúť viacero lietadiel smerujúcich zo Spojeného kráľovstva do Spojených štátov, ako aj pokus o teroristický útok na palube lietadla z Amsterdamu do Detroitu v decembri 2009 ukázali schopnosť teroristov uskutočniť útoky zamerané na medzinárodné lety v ktorejkoľvek krajine“, a že „väčšina teroristických aktivít má medzinárodný charakter a je spojená s medzinárodným cestovaním, okrem iného aj do výcvikových stredísk mimo EÚ“. Okrem toho Komisia s cieľom zdôvodniť potrebu analýzy údajov z PNR na účely boja proti závažnej trestnej činnosti napríklad odkázala na prípad skupiny obchodníkov s ľuďmi, ktorí na účely obchodovania s ľuďmi používali pri registrácii na let falošné doklady, ako aj na prípad siete obchodníkov s ľuďmi a drogami, ktorá na účely dovozu drog do viacerých miest určenia v Európe využívali osoby, ktoré aj sami boli obeťami obchodovania s ľuďmi, pričom letenky im kupovali pomocou ukradnutých kreditných kariet. Všetky tieto prípady sa pritom týkali porušení, ktoré mali priamu súvislosť s leteckou dopravou cestujúcich, keďže išlo o trestné činy zamerané na leteckú dopravu cestujúcich, ako aj trestné činy spáchané počas leteckej cesty alebo s jej pomocou.

156    Okrem toho treba konštatovať, že aj trestné činy, ktoré nemajú takúto priamu súvislosť s leteckou dopravou cestujúcich, môžu v závislosti od okolností prípadu nepriamo súvisieť s leteckou dopravou cestujúcich. Platí to najmä vtedy, keď letecká doprava slúži ako prostriedok na prípravu takýchto trestných činov alebo na vyhýbanie sa trestnému stíhaniu po ich spáchaní. Naproti tomu trestné činy, ktoré nemajú žiadnu, dokonca ani nepriamu, objektívnu súvislosť s leteckou dopravou cestujúcich, nemôžu odôvodniť uplatnenie systému zavedeného smernicou PNR.

157    Za týchto okolností článok 3 body 8 a 9 tejto smernice v spojení s jej prílohou II a so zreteľom na požiadavky vyplývajúce z článkov 7, 8 a článku 52 ods. 1 Charty ukladá členským štátom povinnosť zabezpečiť najmä pri individuálnom preskúmaní neautomatizovanými prostriedkami podľa článku 6 ods. 5 uvedenej smernice, aby sa uplatňovanie systému zavedeného touto smernicou obmedzilo na teroristické trestné činy a len na závažnú trestnú činnosť, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich.

4)      O cestujúcich v leteckej doprave a dotknutých letoch

158    Systém zavedený smernicou PNR sa vzťahuje na údaje z PNR všetkých osôb, ktoré zodpovedajú pojmu „cestujúci“ v zmysle článku 3 bodu 4 tejto smernice a využívajú lety spadajúce do pôsobnosti tejto smernice.

159    Podľa článku 8 ods. 1 uvedenej smernice sa tieto údaje prenášajú PIU členského štátu, na ktorého území má let pristáť alebo z ktorého územia má odletieť, a to nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že pri dotknutých cestujúcich existuje riziko zapojenia do teroristických trestných činov alebo závažnej trestnej činnosti. Takto prenášané údaje však podliehajú okrem iného automatizovanému spracúvaniu v rámci predbežného posúdenia podľa článku 6 ods. 2 písm. a) a článku 6 ods. 3 smernice PNR, pričom cieľom tohto posúdenia, ako vyplýva z odôvodnenia 7 tejto smernice, je identifikovať osoby, ktoré neboli podozrivé z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti pred takýmto posúdením, a príslušné orgány by ich preto mali ďalej preskúmať.

160    Konkrétnejšie z článku 1 ods. 1 písm. a) a článku 2 smernice PNR vyplýva, že táto smernica rozlišuje medzi cestujúcimi na letoch mimo EÚ, ktoré sú prevádzkované medzi Úniou a tretími krajinami, a cestujúcimi na letoch vnútri EÚ, ktoré sú prevádzkované medzi rôznymi členskými štátmi.

161    Pokiaľ ide o cestujúcich na letoch mimo EÚ, treba pripomenúť, že pokiaľ ide o cestujúcich, ktorí využívajú lety medzi Úniou a Kanadou, Súdny dvor už rozhodol, že automatizované spracúvanie údajov z PNR týchto cestujúcich pred ich príletom do Kanady uľahčuje a urýchľuje vybavovanie bezpečnostných kontrol, a to najmä na hraniciach. Okrem toho vylúčenie niektorých kategórií osôb alebo niektorých zón pôvodu by mohlo brániť uskutočňovaniu cieľa automatizovaného spracúvania údajov z PNR, ktorým je identifikácia osôb, ktoré by mohli predstavovať riziko pre verejnú bezpečnosť, spomedzi všetkých cestujúcich v leteckej doprave prostredníctvom overovania týchto údajov, a mohlo by viesť k tomu, že toto overovanie sa bude obchádzať [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 187].

162    Tieto úvahy možno uplatniť mutatis mutandis na situáciu cestujúcich na letoch medzi Úniou a všetkými tretími krajinami, ktoré musia členské štáty podriadiť systému zavedenému smernicou PNR v súlade s článkom 1 ods. 1 písm. a) tejto smernice v spojení s jej článkom 3 bodmi 2 a 4. Prenos a predbežné posúdenie údajov z PNR cestujúcich v leteckej doprave, ktorí vstupujú do Únie alebo z nej odchádzajú, totiž nemožno obmedziť na určitý okruh cestujúcich v leteckej doprave, a to vzhľadom na samotnú povahu hrozieb pre verejnú bezpečnosť, ktoré môžu vyplývať z teroristických trestných činov a závažnej trestnej činnosti, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich medzi Úniou a tretími krajinami. Treba sa teda domnievať, že medzi týmito údajmi a cieľom týkajúcim sa boja proti takýmto trestným činom existuje nevyhnutná súvislosť, takže smernica PNR neprekračuje rámec toho, čo je striktne nevyhnutné len preto, že ukladá členským štátom povinnosť systematicky prenášať a predbežne posudzovať údaje z PNR všetkých týchto cestujúcich.

163    Pokiaľ ide o cestujúcich na letoch medzi rôznymi členskými štátmi Únie, článok 2 ods. 1 smernice PNR v spojení s jej odôvodnením 10 stanovuje pre členské štáty len možnosť rozšíriť uplatňovanie systému zavedeného touto smernicou na lety vnútri EÚ.

164    Normotvorca Únie teda nemal v úmysle uložiť členským štátom povinnosť rozšíriť uplatňovanie systému zavedeného smernicou o PNR na lety vnútri EÚ, ale ako vyplýva z článku 19 ods. 3 tejto smernice, rozhodnutie o takomto rozšírení vyhradil na neskôr, pričom zastával názor, že mu musí predchádzať podrobné posúdenie jeho právnych dôsledkov, a to najmä na základné práva dotknutých osôb.

165    V tejto súvislosti treba poznamenať, že článok 19 ods. 3 smernice PNR tým, že uvádza, že správa Komisie o preskúmaní uvedená v článku 19 ods. 1 tejto smernice „tiež obsahuje preskúmanie nevyhnutnosti, proporcionality a efektívnosti začlenenia v rámci rozsahu pôsobnosti tejto smernice povinného zhromažďovania a prenosu údajov PNR, týkajúcich sa všetkých alebo vybraných letov vnútri EÚ“, a že v tejto súvislosti musí zohľadniť „skúsenosti členských štátov a najmä tých, ktoré uplatňujú túto smernicu na lety vnútri EÚ v súlade s článkom 2“, poukazuje na to, že podľa názoru normotvorcu Únie sa systém zavedený smernicou o PNR nemusí nevyhnutne rozšíriť na všetky lety vnútri EÚ.

166    V rovnakom duchu článok 2 ods. 3 smernice PNR stanovuje, že členské štáty sa môžu rozhodnúť, že budú uplatňovať túto smernicu len na určené lety vnútri EÚ, ak to považujú za nevyhnuté v záujme sledovania cieľov uvedenej smernice, pričom môžu kedykoľvek zmeniť výber týchto letov.

167    V každom prípade možnosť členských štátov rozšíriť uplatňovanie systému zavedeného touto smernicou na lety vnútri EÚ sa musí uplatňovať, ako vyplýva z odôvodnenia 22 tejto smernice, pri plnom dodržiavaní základných práv zaručených článkami 7 a 8 Charty. V tejto súvislosti, hoci podľa odôvodnenia 19 uvedenej smernice posúdenie hrozieb súvisiacich s teroristickými trestnými činmi a závažnou trestnou činnosťou prináleží členským štátom, nič to nemení na tom, že výkon tejto možnosti predpokladá, že pri tomto posudzovaní členské štáty dospejú k záveru, že existuje hrozba súvisiaca s takýmito trestnými činmi, ktorá môže odôvodniť uplatnenie tejto smernice aj na lety vnútri EÚ.

168    Za týchto podmienok, ak chce členský štát využiť možnosť stanovenú v článku 2 smernice PNR, či už pre všetky lety vnútri EÚ podľa odseku 2 tohto článku alebo len pre niektoré z týchto letov podľa odseku 3 uvedeného článku, nie je oslobodený od povinnosti overiť, či je rozšírenie uplatňovania tejto smernice na všetky alebo niektoré lety vnútri EÚ skutočne nevyhnutné a primerané na dosiahnutie cieľa uvedeného v článku 1 ods. 2 tejto smernice.

169    Vzhľadom na odôvodnenia 5, 6, 7, 10 a 22 smernice PNR teda takýto členský štát musí overiť, či sú operácie spracúvania údajov z PNR cestujúcich na letoch vnútri EÚ alebo na niektorých z týchto letov, stanovené touto smernicou, striktne nevyhnutné z hľadiska závažnosti zásahu do základných práv zaručených článkami 7 a 8 Charty na zaistenie vnútornej bezpečnosti Únie alebo prinajmenšom bezpečnosti uvedeného členského štátu, a teda na ochranu života a bezpečnosti osôb.

170    Pokiaľ ide konkrétne o hrozby súvisiace s teroristickými trestnými činmi, z judikatúry Súdneho dvora vyplýva, že teroristické aktivity patria medzi aktivity, ktoré môžu vážne destabilizovať základné politické, ústavné, hospodárske alebo sociálne štruktúry krajiny a najmä priamo ohroziť spoločnosť, obyvateľstvo alebo samotný štát, a že prvoradým záujmom každého členského štátu je predchádzať týmto aktivitám a potláčať ich, a tak chrániť základné funkcie štátu a základné záujmy spoločnosti s cieľom ochrany národnej bezpečnosti. Takéto hrozby sa svojou povahou, osobitnou závažnosťou a špecifickou povahou okolností, ktoré ju tvoria, odlišujú od všeobecného a trvalého rizika, ktorým je riziko závažných trestných činov (pozri v tomto zmysle rozsudky zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 135 a 136, a z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, body 61 a 62).

171    V situácii, keď sa na základe posúdenia vykonaného členským štátom zistí, že existujú dostatočne konkrétne okolnosti na vyvodenie záveru, že tento členský štát čelí teroristickej hrozbe, ktorá sa javí ako skutočná a aktuálna alebo predvídateľná, sa tak nezdá, že by skutočnosť, že tento členský štát na základe článku 2 ods. 1 smernice PNR stanovil na obmedzenú dobu uplatnenie tejto smernice na všetky lety vnútri EÚ, ktoré do uvedeného členského štátu prilietajú alebo z neho odlietajú, išla nad rámec toho, čo je striktne nevyhnutné. Už samotná existencia takejto hrozby totiž môže vytvárať spojitosť medzi prenosom a spracúvaním dotknutých údajov na jednej strane a bojom proti terorizmu na strane druhej (pozri analogicky rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 137).

172    Rozhodnutie stanovujúce toto uplatňovanie musí byť možné účinne preskúmať zo strany súdu alebo nezávislého správneho orgánu, ktorého rozhodnutie má záväzný účinok, pričom cieľom tohto preskúmania je overiť existenciu tejto situácie, ako aj dodržanie podmienok a záruk, ktoré musia byť stanovené. Doba uplatňovania musí byť tiež časovo obmedzená na to, čo je striktne nevyhnutné, s možnosťou jej predĺženia v prípade pretrvávania takejto hrozby (pozri analogicky rozsudky zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 168, a z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 58).

173    Naproti tomu, ak dotknutý členský štát nie je vystavený skutočnej a aktuálnej alebo predvídateľnej teroristickej hrozbe a uplatňuje bez rozdielu systém zavedený smernicou PNR nielen na lety mimo EÚ, ale aj na všetky lety vnútri EÚ, nemožno takéto uplatňovanie považovať za obmedzené na to, čo je striktne nevyhnutné.

174    V takejto situácii sa uplatňovanie systému zavedeného smernicou PNR na niektoré lety vnútri EÚ musí obmedziť na prenos a spracúvanie údajov z PNR pri letoch týkajúcich sa najmä určitých leteckých spojení alebo schém cestovania či dokonca niektorých letísk, v súvislosti s ktorými existujú informácie, ktoré môžu odôvodniť takéto uplatňovanie. Je úlohou dotknutého členského štátu, aby v takejto situácii určil lety vnútri EÚ podľa výsledkov posúdenia, ktoré musí vykonať na základe požiadaviek uvedených v bodoch 163 až 169 tohto rozsudku, a aby toto posúdenie pravidelne prehodnocoval so zreteľom na zmeny podmienok, ktoré odôvodnili výber týchto letov, s cieľom zabezpečiť, aby sa uplatňovanie systému zavedeného uvedenou smernicou na lety vnútri EÚ stále obmedzovalo na to, čo je striktne nevyhnutné.

175    Z predchádzajúcich úvah vyplýva, že takto podaný výklad článku 2 a článku 3 bodu 4 smernice PNR s ohľadom na články 7, 8 a článok 52 ods. 1 Charty môže zabezpečiť, že tieto ustanovenia neprekračujú hranice toho, čo je striktne nevyhnutné.

5)      O predbežnom posúdení údajov z PNR prostredníctvom automatizovaného spracúvania

176    Podľa článku 6 ods. 2 písm. a) smernice PNR cieľom predbežného posúdenia, ktoré stanovuje, je identifikovať osoby, ktoré by mali predovšetkým príslušné orgány uvedené v článku 7 tejto smernice ďalej preskúmať vzhľadom na to, že by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti.

177    Toto predbežné posudzovanie prebieha v dvoch krokoch. V prvom kroku PIU dotknutého členského štátu v súlade s článkom 6 ods. 3 smernice PNR vykonáva automatizované spracúvanie údajov z PNR tak, že ich porovnáva s databázami alebo vopred stanovenými kritériami. V druhom kroku, pokiaľ toto automatizované spracúvanie viedlo k pozitívnej zhode (hit), uvedený útvar vykoná na základe článku 6 ods. 5 smernice PNR individuálne preskúmanie prostredníctvom neautomatizovaných prostriedkov s cieľom overiť, či príslušné orgány uvedené v článku 7 tejto smernice majú prijať opatrenia podľa vnútroštátneho práva (match).

178    Ako pritom bolo pripomenuté v bode 106 tohto rozsudku, operácie automatizovaného spracúvania nevyhnutne vykazujú dosť vysokú mieru odchýlky, keďže sa vykonávajú na základe neoverených osobných údajov a sú založené na vopred stanovených kritériách.

179    Za týchto okolností a vzhľadom na potrebu, zdôraznenú v štvrtom odseku preambuly Charty, posilniť ochranu základných práv najmä vzhľadom na vedecký a technický vývoj, je potrebné zabezpečiť, ako sa uvádza v odôvodnení 20 a článku 7 ods. 6 smernice PNR, že príslušné orgány neprijmú žiadne rozhodnutie, ktoré by malo nepriaznivé právne účinky alebo závažné dôsledky pre určitú osobu, len na základe automatizovaného spracúvania údajov z PNR. Okrem toho v súlade s článkom 6 ods. 6 tejto smernice samotný útvar PIU môže týmto orgánom prenášať údaje z PNR až po individuálnom preskúmaní neautomatizovanými prostriedkami. Napokon okrem týchto overení, ktoré prináleží vykonať PIU a príslušným orgánom, musí byť prípustná kontrola zákonnosti všetkých operácií automatizovaného spracúvania zo strany zodpovednej osoby a vnútroštátneho dozorného orgánu na základe článku 6 ods. 7 a článku 15 ods. 3 písm. b) uvedenej smernice, ako aj vnútroštátnych súdov v rámci súdneho opravného prostriedku podľa článku 13 ods. 1 tej istej smernice.

180    Ako v podstate uviedol generálny advokát v bode 207 svojich návrhov, vnútroštátnemu dozornému orgánu, zodpovednej osobe a PIU pritom musia byť poskytnuté materiálne a personálne zdroje potrebné na výkon kontroly, ktorý im ukladá smernica PNR. Okrem toho je dôležité, aby vnútroštátna právna úprava, ktorou sa do vnútroštátneho práva preberá táto smernica a ktorá povoľuje automatizované spracúvanie, stanovila jasné a presné pravidlá vymedzujúce určovanie databáz a používaných kritérií analýzy bez možnosti používať na účely predbežného posúdenia iné metódy, ktoré nie sú výslovne uvedené v článku 6 ods. 2 tejto smernice.

181    Z článku 6 ods. 9 smernice PNR navyše vyplýva, že dôsledky predbežného posúdenia podľa článku 6 ods. 2 písm. a) tejto smernice nesmú ohroziť právo na vstup osôb, ktoré požívajú právo na voľný pohyb na území dotknutého členského štátu, ako je stanovené v smernici 2004/38, a musia byť v súlade aj s nariadením č. 562/2006. Systém zavedený smernicou PNR tak príslušným orgánom neumožňuje obmedziť toto právo nad rámec toho, čo je stanovené v smernici 2004/38 a nariadení č. 562/2006.

i)      O porovnávaní údajov z PNR s databázami

182    Podľa článku 6 ods. 3 písm. a) smernice PNR „môže“ PIU pri vykonávaní posúdenia uvedeného v článku 6 ods. 2 písm. a) tejto smernice porovnať údaje PNR s „databázami, ktoré sú relevantné“ na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti, „vrátane databáz hľadaných osôb alebo vecí, alebo osôb alebo vecí, na ktoré bol vydaný zápis, a to v súlade s normami Únie a medzinárodnými a vnútroštátnymi normami vzťahujúcimi sa na takéto databázy“.

183    Hoci zo samotného znenia tohto článku 6 ods. 3 písm. a) smernice PNR a najmä z výrazu „vrátane“ vyplýva, že databázy hľadaných osôb alebo vecí, alebo osôb alebo vecí, na ktoré bol vydaný zápis, sú zahrnuté do „databáz, ktoré sú relevantné“ podľa tohto ustanovenia, uvedené ustanovenie nespresňuje, ktoré ďalšie databázy by sa tiež mohli považovať za „relevantné“ z hľadiska cieľov sledovaných touto smernicou. Ako totiž uviedol generálny advokát v bode 217 svojich návrhov, uvedené ustanovenie výslovne nespresňuje povahu údajov, ktoré môžu takéto databázy obsahovať, a ich vzťah k týmto cieľom, ani neuvádza, či údaje z PNR musia byť porovnávané výlučne s databázami spravovanými orgánmi verejnej moci alebo či ich možno porovnávať aj s databázami spravovanými súkromnými osobami.

184    Za týchto podmienok by sa článok 6 ods. 3 písm. a) smernice PNR mohol na prvý pohľad vykladať tak, že údaje z PNR možno použiť ako jednoduché kritériá vyhľadávania na účely vykonania analýz v rôznych databázach, vrátane databáz, ktoré spravujú a využívajú bezpečnostné a spravodajské agentúry členských štátov pri sledovaní iných cieľov, než sú ciele uvedené v tejto smernici, a že takéto analýzy môžu mať formu získavania dát (data mining). Možnosť vykonávať takéto analýzy a porovnávať údaje z PNR s takými databázami by pritom mohla vyvolať u cestujúcich v leteckej doprave pocit, že ich súkromný život podlieha určitej forme sledovania. Hoci teda predbežné posúdenie stanovené v tomto ustanovení vychádza z relatívne obmedzeného súboru údajov, akým sú údaje z PNR, takýto výklad tohto článku 6 ods. 3 písm. a) nemožno prijať, keďže by mohol viesť k neprimeranému využívaniu týchto údajov, čim by sa poskytli prostriedky na vytvorenie presného profilu dotknutých osôb len preto, že tieto osoby majú v úmysle cestovať lietadlom.

185    V súlade s judikatúrou pripomenutou v bodoch 86 a 87 tohto rozsudku je preto potrebné vykladať článok 6 ods. 3 písm. a) smernice PNR tak, aby sa zabezpečilo plné dodržiavanie základných práv zakotvených v článkoch 7 a 8 Charty.

186    V tejto súvislosti z odôvodnení 7 a 15 smernice PNR vyplýva, že automatizované spracúvanie stanovené v článku 6 ods. 3 písm. a) tejto smernice sa musí obmedziť na to, čo je striktne nevyhnutné na účely boja proti teroristickým trestným činom a závažnej trestnej činnosti pri súčasnom zabezpečení vysokej úrovne ochrany týchto základných práv.

187    Okrem toho, ako v podstate uviedla Komisia v odpovedi na otázku Súdneho dvora, znenie tohto ustanovenia, podľa ktorého PIU „môže“ porovnať údaje z PNR s databázami, ktorých sa týka, umožňuje PIU zvoliť si spôsob spracovania, ktorý je obmedzený na to, čo je striktne nevyhnutné, v závislosti od konkrétnej situácie. Vzhľadom na potrebu splniť požiadavky jasnosti a presnosti požadované na zabezpečenie ochrany základných práv zakotvených v článkoch 7 a 8 Charty je pritom PIU povinný obmedziť automatizované spracúvanie stanovené v článku 6 ods. 3 písm. a) smernice PNR len na databázy, ktoré možno identifikovať podľa tohto ustanovenia. V tejto súvislosti, hoci odkaz v tomto poslednom uvedenom ustanovení na „databázy, ktoré sú relevantné“ neumožňuje výklad, ktorý by dostatočne jasne a presne vymedzil takto uvedené databázy, neplatí to v prípade odkazu na „databáz[y] hľadaných osôb alebo vecí, alebo osôb alebo vecí, na ktoré bol vydaný zápis, a to v súlade s normami Únie a medzinárodnými a vnútroštátnymi normami vzťahujúcimi sa na takéto databázy“.

188    Preto, ako v podstate uviedol generálny advokát v bode 219 svojich návrhov, článok 6 ods. 3 písm. a) smernice PNR treba s ohľadom na tieto základné práva vykladať v tom zmysle, že tieto posledné uvedené databázy sú jedinými databázami, s ktorými môže PIU porovnávať údaje z PNR.

189    Pokiaľ ide o požiadavky, ktoré musia tieto databázy spĺňať, treba uviesť, že podľa článku 6 ods. 4 smernice PNR každé predbežné posúdenie vykonávané podľa článku 6 ods. 3 písm. b) tejto smernice na základe vopred určených kritérií sa vykonáva nediskriminačným spôsobom, tieto kritériá musia byť cielené, primerané a konkrétne a musia ich stanoviť a pravidelne preskúmavať útvary PIU v spolupráci s príslušnými orgánmi uvedenými v článku 7 uvedenej smernice. Hoci sa znenie tohto článku 6 ods. 4 tým, že odkazuje na článok 6 ods. 3 písm. b) tejto smernice, vzťahuje len na spracúvanie údajov z PNR na základe vopred stanovených kritérií, treba toto prvé uvedené ustanovenie vykladať s ohľadom na články 7, 8 a 21 Charty v tom zmysle, že požiadavky, ktoré stanovuje, sa musia uplatniť mutatis mutandis na porovnávanie týchto údajov s databázami uvedenými v predchádzajúcom bode tohto rozsudku, a to tým skôr, že tieto požiadavky v podstate zodpovedajú požiadavkám stanoveným na porovnávanie údajov z PNR s databázami v judikatúre vyplývajúcej zo stanoviska 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017 (EU:C:2017:592, bod 172).

190    V tejto súvislosti treba spresniť, že požiadavka týkajúca sa nediskriminačnej povahy uvedených databáz predovšetkým znamená, že zápis do databáz hľadaných osôb alebo osôb, na ktoré bol vydaný zápis, musí byť založený na objektívnych a nediskriminačných faktoroch vymedzených normami Únie a medzinárodnými a vnútroštátnymi normami vzťahujúcimi sa na takéto databázy (pozri analogicky rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 78).

191    Okrem toho na splnenie požiadavky týkajúcej sa cielenej, primeranej a konkrétnej povahy vopred stanovených kritérií musia byť databázy uvedené v bode 188 tohto rozsudku využívané v súvislosti s bojom proti teroristickým trestným činom a závažnej trestnej činnosti, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich.

192    Databázy používané na základe článku 6 ods. 3 písm. a) smernice PNR navyše musia byť vzhľadom na úvahy uvedené v bodoch 183 a 184 tohto rozsudku spravované príslušnými orgánmi uvedenými v článku 7 tejto smernice alebo, pokiaľ ide o databázy Únie a medzinárodné databázy, využívané týmito orgánmi v rámci ich úloh v boji proti teroristickým trestným činom a závažnej trestnej činnosti. Takými databázami sú pritom databázy hľadaných osôb alebo vecí, alebo osôb alebo vecí, na ktoré bol vydaný zápis, v súlade s normami Únie a medzinárodnými a vnútroštátnymi normami vzťahujúcimi sa na takéto databázy.

ii)    O spracúvaní údajov z PNR na základe vopred stanovených kritérií

193    Článok 6 ods. 3 písm. b) smernice PNR stanovuje, že PIU môže tiež spracúvať údaje z PNR na základe vopred stanovených kritérií. Z článku 6 ods. 2 písm. a) tejto smernice vyplýva, že cieľom predbežného posúdenia, a teda spracúvania údajov z PNR na základe vopred stanovených kritérií, je v podstate identifikovať osoby, ktoré by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti.

194    Pokiaľ ide o kritériá, ktoré PIU môže na tento účel použiť, treba najskôr uviesť, že podľa samotného znenia článku 6 ods. 3 písm. b) smernice PNR musia byť tieto kritériá „vopred stanovené“. Ako uviedol generálny advokát v bode 228 svojich návrhov, táto požiadavka bráni použitiu technológií umelej inteligencie v rámci systémov strojového učenia (machine learning), ktoré sú schopné bez ľudského zásahu a kontroly meniť proces posudzovania a najmä kritériá posudzovania, na ktorých je založený výsledok uplatňovania tohto procesu, ako aj zváženie týchto kritérií.

195    Treba dodať, že použitie takýchto technológií by mohlo zbaviť potrebného účinku individuálne preskúmanie pozitívnych lustrácií, ako aj kontrolu zákonnosti, ktoré vyžadujú ustanovenia smernice PNR. Ako totiž v podstate uviedol generálny advokát v bode 228 svojich návrhov, vzhľadom na neprehľadnosť charakterizujúcu fungovanie technológií umelej inteligencie sa môže ukázať ako nemožné pochopiť, z akého dôvodu daný program dospel k pozitívnej zhode. Za týchto okolností by používanie takýchto technológií mohlo zbaviť dotknuté osoby aj ich práva na účinný prostriedok nápravy pred súdom zakotveného v článku 47 Charty, ktoré má smernica PNR podľa jej odôvodnenia 28 za cieľ zabezpečiť na vysokej úrovni, a to najmä na účely spochybnenia nediskriminačnej povahy získaných výsledkov.

196    Pokiaľ ide ďalej o požiadavky vyplývajúce z článku 6 ods. 4 smernice PNR, toto ustanovenie v prvej vete uvádza, že predbežné posúdenie na základe vopred stanovených kritérií sa vykonáva nediskriminačným spôsobom, a vo štvrtej vete spresňuje, že tieto kritériá sa v žiadnom prípade nezakladajú na rasovom alebo etnickom pôvode osoby, jej politickom zmýšľaní, náboženskom vyznaní či filozofickom presvedčení, členstve v odborových organizáciách, zdraví, sexuálnom živote alebo sexuálnej orientácii.

197    Členské štáty tak nemôžu ako vopred stanovené kritériá použiť kritériá, ktoré sú založené na charakteristikách uvedených v predchádzajúcom bode tohto rozsudku a ktorých použitie môže viesť k diskriminácii. V tejto súvislosti zo znenia článku 6 ods. 4 štvrtej vety smernice PNR, podľa ktorého sa vopred stanovené kritériá „v žiadnom prípade“ nezakladajú na týchto charakteristikách, vyplýva, že toto ustanovenie sa vzťahuje tak na priamu, ako aj nepriamu diskrimináciu. Tento výklad je navyše potvrdený aj článkom 21 ods. 1 Charty, s ohľadom na ktorý treba vykladať uvedené ustanovenie a ktorý zakazuje „akúkoľvek“ diskrimináciu na základe uvedených charakteristík. Za týchto podmienok musia byť vopred stanovené kritériá určené tak, aby ich uplatnenie, aj keď je formulované neutrálne, nemohlo osobitne znevýhodňovať osoby s chránenými charakteristikami.

198    Pokiaľ ide o požiadavky týkajúce sa cielenej, primeranej a konkrétnej povahy vopred stanovených kritérií podľa článku 6 ods. 4 druhej vety smernice PNR, z týchto požiadaviek vyplýva, že kritériá použité na účely predbežného posúdenia musia byť určené tak, aby sa osobitne zameriavali na jednotlivcov, vo vzťahu ku ktorým môže existovať dôvodné podozrenie z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti, na ktoré sa vzťahuje táto smernica. Tento výklad je potvrdený samotným znením článku 6 ods. 2 písm. a) tejto smernice, ktoré zdôrazňuje skutočnosť, že dotknuté osoby „by sa mohli“ podieľať na určitom teroristickom čine alebo určitej závažnej trestnej činnosti. V rovnakom duchu odôvodnenie 7 uvedenej smernice spresňuje, že vytváranie a uplatňovanie kritérií posudzovania by malo byť obmedzené na teroristické trestné činy a závažnú trestnú činnosť, „pre ktoré je použitie takýchto kritérií relevantné“.

199    S cieľom zamerať sa týmto spôsobom na takto uvedené osoby a vzhľadom na riziko diskriminácie, ktoré so sebou prinášajú kritériá založené na charakteristikách uvedených v článku 6 ods. 4 štvrtej vete smernice PNR, PIU a príslušné orgány v zásade nemôžu vychádzať z týchto charakteristík. Naproti tomu, ako uviedla nemecká vláda na pojednávaní, môžu okrem iného zohľadniť zvláštnosti skutkového správania osôb v súvislosti s prípravou a uskutočňovaním ciest leteckou dopravou, ktoré by podľa zistení a skúseností získaných príslušnými orgánmi mohli naznačovať, že osoby, ktoré sa takto správajú, môžu byť zapojené do teroristických trestných činov alebo závažnej trestnej činnosti.

200    V tomto kontexte, ako poznamenala Komisia v odpovedi na otázku Súdneho dvora, musia byť vopred stanovené kritériá určené tak, aby zohľadňovali skutočnosti svedčiace „v prospech“ ako aj „v neprospech“, pričom táto požiadavka môže prispieť k spoľahlivosti týchto kritérií a najmä zabezpečiť, aby boli primerané, ako to vyžaduje článok 6 ods. 4 druhá veta smernice PNR.

201    Napokon podľa článku 6 ods. 4 tretej vety tejto smernice musia byť vopred stanovené kritériá pravidelne preskúmavané. V rámci tohto preskúmania musia byť tieto kritériá aktualizované v závislosti od vývoja podmienok, ktoré odôvodnili ich zohľadnenie na účely predbežného posúdenia, čo umožní okrem iného reagovať na vývoj boja proti teroristickým trestným činom a závažnej trestnej činnosti uvedeným v bode 157 tohto rozsudku [pozri analogicky rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 82]. Uvedené preskúmanie musí predovšetkým zohľadniť skúsenosti získané pri uplatňovaní vopred stanovených kritérií, aby sa v čo najväčšej možnej miere znížil počet „falošne pozitívnych“ výsledkov, a tým prispieť k striktnej nevyhnutnosti uplatňovania týchto kritérií.

iii) O zárukách spojených s automatizovaným spracúvaním údajov z PNR

202    Dodržiavanie požiadaviek, ktoré pre automatizované spracúvanie údajov z PNR vyplývajú z článku 6 ods. 4 smernice PNR, sa vyžaduje nielen v rámci určovania a preskúmavania databáz a vopred stanovených kritérií uvedených v tomto ustanovení, ale tiež, ako uviedol generálny advokát v bode 230 svojich návrhov, v celom procese spracúvania týchto údajov.

203    Pokiaľ ide konkrétnejšie o vopred stanovené kritériá, treba v prvom rade spresniť, že hoci má PIU, ako sa uvádza v odôvodnení 7 smernice PNR, vymedziť kritériá posudzovania takým spôsobom, aby sa zabezpečilo, že systém zavedený touto smernicou nesprávne identifikuje minimálny počet nevinných osôb, tento útvar musí napriek tomu v súlade s článkom 6 ods. 5 a 6 uvedenej smernice vykonať individuálne preskúmanie každej pozitívnej zhody neautomatizovanými prostriedkami s cieľom odhaliť v čo najväčšej možnej miere prípadnú existenciu „falošne pozitívnych“ výsledkov. Okrem toho bez ohľadu na skutočnosť, že PIU musí stanoviť kritériá posudzovania nediskriminačným spôsobom, je povinný vykonať takéto preskúmanie s cieľom vylúčiť prípadné diskriminačné výsledky. Tú istú povinnosť preskúmania má PIU aj vo vzťahu k porovnávaniu údajov z PNR s databázami.

204    PIU sa tak musí zdržať prenosu výsledkov týchto operácií automatizovaného spracúvania príslušným orgánom uvedeným v článku 7 smernice PNR, ak vzhľadom na úvahy uvedené v bode 198 tohto rozsudku nemá po tomto preskúmaní k dispozícii dôkazy, ktoré by mohli z právneho hľadiska dostatočne založiť dôvodné podozrenie z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti vo vzťahu k osobám identifikovaným prostredníctvom týchto operácií automatizovaného spracúvania, alebo ak disponuje dôkazmi, ktoré naznačujú, že uvedené operácie spracúvania vedú k diskriminačným výsledkom.

205    Pokiaľ ide o overenia, ktoré má na tento účel vykonať PIU, z článku 6 ods. 5 a 6 smernice PNR v spojení s jej odôvodneniami 20 a 22 vyplýva, že členské štáty musia stanoviť jasné a presné pravidlá, ktoré môžu usmerniť a vymedziť analýzu vykonanú zástupcami zodpovednými za individuálne preskúmanie, s cieľom zaručiť plné dodržiavanie základných práv zakotvených v článkoch 7, 8 a 21 Charty a najmä zabezpečiť jednotný administratívny postup v rámci PIU, ktorý rešpektuje zásadu nediskriminácie.

206    Predovšetkým vzhľadom na pomerne veľký počet „falošne pozitívnych“ výsledkov uvádzaný v bode 106 tohto rozsudku sa členské štáty musia uistiť, že PIU jasným a presným spôsobom stanoví objektívne kritériá preskúmania, ktoré umožnia jeho zástupcom overiť na jednej strane, či a v akom rozsahu sa pozitívna zhoda (hit) skutočne týka jednotlivca, ktorý môže byť zapojený do teroristických trestných činov alebo závažnej trestnej činnosti uvedených v bode 157 tohto rozsudku, a preto musí byť predmetom ďalšieho preskúmania zo strany príslušných orgánov uvedených článok 7 tejto smernice, ako aj na druhej strane nediskriminačnú povahu operácií automatizovaného spracúvania podľa uvedenej smernice a najmä vopred stanovených kritérií a použitých databáz.

207    V tomto kontexte sú členské štáty povinné dbať na to, aby PIU v súlade s článkom 13 ods. 5 smernice PNR v spojení s jej odôvodnením 37 uchovával dokumentáciu o každom spracúvaní údajov z PNR vykonanom v rámci predbežného posúdenia, a to aj v rámci individuálneho preskúmania neautomatizovanými prostriedkami, na účely overenia jeho zákonnosti a vlastnej kontroly.

208    Ďalej príslušné orgány neprijmú podľa článku 7 ods. 6 prvej vety smernice PNR žiadne rozhodnutie, ktoré by malo nepriaznivé právne účinky alebo závažné dôsledky pre určitú osobu, len na základe automatizovaného spracúvania údajov z PNR, čo v rámci predbežného posúdenia znamená, že musia zohľadniť a prípadne uprednostniť výsledok individuálneho preskúmania, ktoré vykonáva PIU neautomatizovanými prostriedkami, pred výsledkom získaným automatizovaným spracúvaním. Článok 7 ods. 6 druhá veta spresňuje, že takéto rozhodnutia nesmú byť diskriminačné.

209    V tejto súvislosti musia príslušné orgány zabezpečiť zákonnosť týchto operácií automatizovaného spracúvania, najmä ich nediskriminačnú povahu, ako aj zákonnosť individuálneho preskúmania.

210    Príslušné orgány sa musia najmä uistiť, že dotknutá osoba – bez toho, aby jej počas správneho konania nevyhnutne umožnili oboznámiť sa s vopred stanovenými kritériami posúdenia a s programami uplatňujúcimi tieto kritériá – je schopná pochopiť fungovanie týchto kritérií a programov tak, aby sa s plnou znalosťou veci mohla rozhodnúť, či uplatní alebo neuplatní svoje právo na súdny prostriedok nápravy zaručené v článku 13 ods. 1 smernice PNR, na účely prípadného spochybnenia nezákonnej a najmä diskriminačnej povahy uvedených kritérií (pozri analogicky rozsudok z 24. novembra 2020, Minister van Buitenlandse Zaken, C‑225/19 a C‑226/19, EU:C:2020:951, bod 43 a citovanú judikatúru). To isté musí platiť pre kritériá preskúmania uvedené v bode 206 tohto rozsudku.

211    Napokon v rámci opravného prostriedku podaného na základe článku 13 ods. 1 smernice PNR musí mať súd zodpovedný za preskúmanie zákonnosti rozhodnutia prijatého príslušnými orgánmi, a s výnimkou prípadov ohrozenia bezpečnosti štátu aj samotná dotknutá osoba, možnosť oboznámiť sa so všetkými dôvodmi a dôkazmi, na základe ktorých bolo toto rozhodnutie prijaté (pozri analogicky rozsudok zo 4. júna 2013, ZZ, C‑300/11, EU:C:2013:363, body 54 až 59), vrátane vopred stanovených kritérií posúdenia a fungovania programov uplatňujúcich tieto kritériá.

212    Okrem toho podľa článku 6 ods. 7 a článku 15 ods. 3 písm. b) smernice PNR je úlohou zodpovednej osoby a vnútroštátneho dozorného orgánu zabezpečiť kontrolu zákonnosti operácií automatizovaného spracúvania vykonávaných útvarom PIU v rámci predbežného posúdenia, pričom táto kontrola sa vzťahuje najmä na nediskriminačnú povahu týchto operácií spracúvania. Hoci sa v prvom z týchto ustanovení na tento účel spresňuje, že zodpovedná osoba má prístup ku všetkým údajom spracúvaným útvarom PIU, tento prístup sa musí nevyhnutne vzťahovať aj na vopred stanovené kritériá a databázy používané týmto útvarom, aby sa zabezpečila účinnosť a vysoká úroveň ochrany údajov, čo má na starosti táto zodpovedná osoba v súlade s odôvodnením 37 tejto smernice. Rovnako vyšetrovania, inšpekcie a audity, ktoré vykonáva vnútroštátny dozorný orgán podľa druhého z týchto ustanovení, sa môžu týkať aj týchto vopred stanovených kritérií a týchto databáz.

213    Zo všetkých predchádzajúcich úvah vyplýva, že ustanovenia smernice PNR upravujúce predbežné posúdenie údajov z PNR podľa článku 6 ods. 2 písm. a) tejto smernice možno vykladať v súlade s článkami 7, 8 a 21 Charty, pri dodržaní toho, čo je striktne nevyhnutné.

6)      O následnom sprístupnení a posúdení údajov z PNR

214    Podľa článku 6 ods. 2 písm. b) smernice PNR možno údaje z PNR na žiadosť príslušných orgánov poskytnúť týmto orgánom a posudzovať aj po plánovanom prílete do členského štátu alebo po plánovanom odlete z neho.

215    Pokiaľ ide o podmienky, za ktorých možno vykonať takéto sprístupnenie a posúdenie, zo znenia tohto ustanovenia vyplýva, že PIU môže spracúvať údaje z PNR na účely odpovede „na individuálnom základe“ na „riadne odôvodnenú, dostatočne podloženú žiadosť“ príslušných orgánov o poskytnutie a spracovanie týchto údajov „v konkrétnych prípadoch na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov alebo závažnej trestnej činnosti“. Okrem toho, ak je žiadosť podaná viac ako šesť mesiacov po prenose údajov z PNR útvaru PIU, čo je doba, po uplynutí ktorej sa v súlade s článkom 12 ods. 2 tejto smernice všetky údaje z PNR anonymizujú pomocou maskovania niektorých dátových prvkov, článok 12 ods. 3 uvedenej smernice stanovuje, že sprístupnenie úplných údajov z PNR, a teda neanonymizovanej verzie týchto údajov, je prípustné, len ak je splnená dvojitá podmienka, a to po prvé, že sa možno opodstatnene domnievať, že je to nevyhnutné na účely uvedené v článku 6 ods. 2 písm. b) uvedenej smernice, a po druhé, že ho schválil justičný orgán alebo iný vnútroštátny orgán, ktorý je podľa vnútroštátneho práva príslušný.

216    V tejto súvislosti zo samotného znenia článku 6 ods. 2 písm. b) smernice PNR v prvom rade vyplýva, že PIU nemôže systematicky uskutočňovať následné poskytovanie a posudzovanie údajov z PNR všetkých cestujúcich v leteckej doprave a že má možnosť odpovedať len „na individuálnom základe“ na žiadosti o takéto operácie spracúvania „v konkrétnych prípadoch“. Napriek tomu, keďže toto ustanovenie odkazuje na „konkrétne prípady“, tieto operácie spracúvania sa nemusia nevyhnutne obmedzovať na údaje z PNR jediného cestujúceho v leteckej doprave, ale môžu sa týkať, ako uviedla Komisia v odpovedi na otázku Súdneho dvora, aj viacerých osôb za predpokladu, že dotknuté osoby majú spoločné určité charakteristiky, ktoré umožňujú považovať ich spoločne za „špecifický prípad“ na účely požadovaného poskytnutia a posúdenia.

217    Pokiaľ ide ďalej o hmotnoprávne podmienky vyžadované na to, aby sa údaje z PNR cestujúcich v leteckej doprave mohli následne poskytovať a posudzovať, hoci článok 6 ods. 2 písm. b) a článok 12 ods. 3 písm. a) smernice PNR odkazujú na pojmy „dostatočne podložená“ a „opodstatnene“ bez toho, aby výslovne spresnili povahu týchto pojmov, zo samotného znenia prvého z týchto ustanovení, ktoré odkazuje na účely uvedené v článku 1 ods. 2 uvedenej smernice, vyplýva, že následné poskytnutie a posúdenie údajov z PNR sa môže uskutočniť len na účely overenia existencie indícií o možnej účasti dotknutých osôb na teroristických trestných činoch alebo závažnej trestnej činnosti, ktoré, ako vyplýva z bodu 157 tohto rozsudku, majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich.

218    V rámci systému zavedeného smernicou PNR sa pritom sprístupnenie a spracúvanie údajov z PNR podľa článku 6 ods. 2 písm. b) tejto smernice týka údajov osôb, ktoré už boli predbežne posudzované pred ich plánovaným príletom do dotknutého členského štátu alebo plánovaným odchodom z neho. Okrem toho sa žiadosť o následné posúdenie môže okrem iného týkať osôb, ktorých údaje z PNR neboli prenesené príslušným orgánom v nadväznosti na predbežné posúdenie, keďže toto posúdenie neodhalilo skutočnosti, ktoré by naznačovali, že tieto osoby môžu byť zapojené do teroristických trestných činov alebo závažnej trestnej činnosti, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich. Za týchto podmienok sa sprístupnenie a spracúvanie týchto údajov na účely ich následného posúdenia musí zakladať na nových okolnostiach, ktoré toto využívanie odôvodňujú [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 200 a citovanú judikatúru].

219    Pokiaľ ide o povahu okolností, ktoré môžu odôvodniť sprístupnenie a spracúvanie údajov z PNR na účely ich následného posúdenia, z ustálenej judikatúry vyplýva, že keďže všeobecný prístup ku všetkým uchovávaným údajom, bez ohľadu na akúkoľvek – čo i len nepriamu – spojitosť so sledovaným cieľom, nemožno považovať za obmedzený na to, čo je striktne nevyhnutné, dotknutá právna úprava, či už právna úprava Únie alebo vnútroštátny predpis určený na jej prebratie, sa musí zakladať na objektívnych kritériách s cieľom určiť okolnosti a podmienky, za akých sa má poskytnúť prístup príslušným vnútroštátnym orgánom k dotknutým údajom. Z tohto pohľadu možno taký prístup v súvislosti s cieľom boja proti trestnej činnosti v zásade poskytnúť len k údajom osôb podozrivých z prípravy, páchania alebo zo spáchania závažného trestného činu, ako aj tých, ktoré sa takým či onakým spôsobom podieľali na takom trestnom čine. Za osobitných okolností, ako sú okolnosti, za akých životne dôležité záujmy národnej bezpečnosti, obrany alebo verejnej bezpečnosti sú ohrozené teroristickými aktivitami, možno však poskytnúť prístup aj k údajom iných osôb, pokiaľ existujú objektívne skutočnosti, na základe ktorých sa možno domnievať, že tieto údaje môžu v konkrétnom prípade účinne prispieť k boju proti takýmto činnostiam [rozsudky z 2. marca 2021, Prokuratuur (Podmienky prístupu k údajom týkajúcim sa elektronických komunikácií), C‑746/18, EU:C:2021:152, bod 50 a citovaná judikatúra, ako aj z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 105].

220    Pojmy „dostatočne podložená“ a „opodstatnene“ uvedené v príslušnom poradí v článku 6 ods. 2 písm. b) a v článku 12 ods. 3 písm. a) smernice PNR sa teda musia vykladať s ohľadom na články 7 a 8 Charty tak, že sa vzťahujú na objektívne skutočnosti, ktoré môžu založiť dôvodné podozrenie zo zapojenia dotknutej osoby, takým či onakým spôsobom, do závažnej trestnej činnosti, ktorá má prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich, zatiaľ čo pokiaľ ide o teroristické trestné činy s takouto súvislosťou, táto požiadavka je splnená, ak existujú objektívne skutočnosti, na základe ktorých sa možno domnievať, že údaje z PNR môžu v konkrétnom prípade účinne prispieť k boju proti takýmto trestným činom.

221    Napokon, pokiaľ ide o procesné podmienky, ktorým podlieha sprístupnenie a spracúvanie údajov z PNR na účely ich následného posúdenia, článok 12 ods. 3 písm. b) smernice PNR vyžaduje, aby v prípade, že je žiadosť podaná viac ako šesť mesiacov po ich prenose PIU, teda po tom, ako boli uvedené údaje v súlade s odsekom 2 tohto článku anonymizované pomocou maskovania prvkov uvedených v tomto odseku 2, bolo sprístupnenie úplných údajov z PNR, a teda neanonymizovanej verzie týchto údajov, schválené justičným orgánom alebo iným vnútroštátnym orgánom, ktorý je podľa vnútroštátneho práva príslušný. V tomto kontexte prináleží týmto orgánom, aby v plnom rozsahu preskúmali dôvodnosť žiadosti a najmä overili, či dôkazy predložené na podporu uvedenej žiadosti môžu odôvodniť hmotnoprávnu podmienku spočívajúcu v existencii „opodstatnených dôvodov“ uvedenú v predchádzajúcom bode tohto rozsudku.

222    Je pravda, že ak je žiadosť o následné sprístupnenie a posúdenie údajov z PNR podaná pred uplynutím lehoty šiestich mesiacov po prenose týchto údajov, článok 6 ods. 2 písm. b) smernice PNR výslovne nestanovuje takúto procesnú podmienku. Výklad tohto posledného uvedeného ustanovenia však musí zohľadniť odôvodnenie 25 tejto smernice, z ktorého vyplýva, že stanovením uvedenej procesnej podmienky mal normotvorca Únie v úmysle zabezpečiť „najvyššiu úroveň ochrany údajov“, pokiaľ ide o prístup k údajom z PNR vo forme, ktorá umožňuje priamo identifikovať dotknutú osobu. Každá žiadosť o následné sprístupnenie a posúdenie pritom zahŕňa takýto prístup k týmto údajom bez ohľadu na to, či je táto žiadosť podaná pred uplynutím obdobia šiestich mesiacov po prenose údajov z PNR útvaru PIU, alebo či je podaná po uplynutí tohto obdobia.

223    Konkrétne s cieľom zabezpečiť v praxi plné dodržiavanie základných práv v systéme zavedenom smernicou PNR, a najmä podmienok uvedených v bodoch 218 a 219 tohto rozsudku, je nevyhnutné, aby sprístupnenie údajov z PNR na účely následného posúdenia v zásade podliehalo, s výnimkou náležite odôvodnených naliehavých prípadov, predchádzajúcemu preskúmaniu buď zo strany súdu alebo nezávislého správneho orgánu a aby rozhodnutie tohto súdu alebo orgánu bolo prijaté v nadväznosti na odôvodnenú žiadosť príslušných orgánov predloženú najmä v rámci konaní týkajúcich sa predchádzania trestným činom, ich odhaľovania a stíhania. V prípade náležite odôvodnených naliehavých prípadov sa uvedené preskúmanie musí uskutočniť čo najskôr [pozri analogicky stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 202 a citovanú judikatúru, ako aj rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 110].

224    Za týchto podmienok sa požiadavka predchádzajúcej kontroly stanovená v článku 12 ods. 3 písm. b) smernice PNR v prípade žiadostí o sprístupnenie údajov z PNR podaných po uplynutí obdobia šiestich mesiacov po prenose týchto údajov PIU musí uplatniť mutatis mutandis aj vtedy, keď je žiadosť o sprístupnenie podaná pred uplynutím tohto obdobia.

225    Okrem toho, hoci článok 12 ods. 3 písm. b) smernice PNR výslovne nespresňuje požiadavky, ktoré musí splniť orgán zodpovedný za predchádzajúce preskúmanie, z ustálenej judikatúry vyplýva, že s cieľom zabezpečiť, aby sa zásah do základných práv zaručených článkami 7 a 8 Charty, ktorý vyplýva z prístupu k osobným údajom, obmedzil na to, čo je striktne nevyhnutné, musí tento orgán disponovať všetkými právomocami a poskytovať všetky záruky potrebné na zosúladenie rôznych dotknutých záujmov a práv. Pokiaľ ide konkrétnejšie o trestné vyšetrovanie, takéto preskúmanie vyžaduje, aby tento orgán bol schopný zabezpečiť spravodlivú rovnováhu medzi záujmami súvisiacimi s potrebami vyšetrovania v rámci boja proti trestnej činnosti na jednej strane a základnými právami na rešpektovanie súkromného života a ochrany osobných údajov osôb, ktorých údaje sú predmetom prístupu, na druhej strane (rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 107 a citovaná judikatúra).

226    Na tento účel musí mať takýto orgán postavenie, ktoré mu umožní konať pri výkone svojich úloh objektívne a nestranne, a preto musí byť chránený pred akýmkoľvek vonkajším vplyvom. Táto požiadavka nezávislosti vyžaduje, aby mal tento orgán postavenie tretej osoby vo vzťahu k orgánu, ktorý žiada o prístup k údajom tak, aby bol tento prvý orgán schopný vykonávať svoje preskúmanie bez akéhokoľvek vonkajšieho vplyvu. Konkrétne v trestnoprávnej oblasti požiadavka nezávislosti znamená, že uvedený orgán jednak nie je zapojený do vedenia dotknutého trestného vyšetrovania a jednak je vo vzťahu k účastníkom trestného konania neutrálny (pozri v tomto zmysle rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 108 a citovanú judikatúru).

227    Ustanovenia smernice PNR upravujúce následné sprístupnenie a posúdenie údajov z PNR podľa článku 6 ods. 2 písm. b) tejto smernice možno preto vykladať v súlade s článkami 7, 8 a článkom 52 ods. 1 Charty, pri dodržaní toho, čo je striktne nevyhnutné.

228    Vzhľadom na všetky predchádzajúce úvahy, keďže výklad smernice PNR s ohľadom na články 7, 8 a 21, ako aj článok 52 ods. 1 Charty zabezpečuje súlad tejto smernice s týmito článkami Charty, preskúmanie druhej až štvrtej otázky a šiestej otázky neodhalilo nijakú skutočnosť, ktorá by mohla mať vplyv na platnosť uvedenej smernice.

C.      O piatej otázke

229    Svojou piatou otázkou sa vnútroštátny súd pýta, či sa má článok 6 smernice PNR v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá povoľuje spracúvanie údajov z PNR zhromaždených v súlade s touto smernicou na účely monitorovania činností zo strany spravodajských a bezpečnostných služieb.

230    Z návrhu na začatie prejudiciálneho konania vyplýva, že táto otázka vnútroštátneho súdu sa týka konkrétnejšie činností, na ktoré sa zameriavajú Sûreté de l’État (Štátna bezpečnosť, Belgicko) a Service général du renseignement et de la sécurité (Ústredná spravodajská a bezpečnostná služba, Belgicko) v rámci ich príslušných úloh týkajúcich sa ochrany národnej bezpečnosti.

231    V tejto súvislosti normotvorca Únie v záujme dodržania zásad zákonnosti a proporcionality uvedených najmä v článku 52 ods. 1 Charty stanovil jasné a presné pravidlá upravujúce účely opatrení stanovených smernicou PNR, ktoré prinášajú zásahy do základných práv zaručených článkami 7 a 8 Charty.

232    Článok 1 ods. 2 smernice PNR totiž výslovne uvádza, že údaje z PNR zhromaždené v súlade s touto smernicou „možno spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti podľa článku 6 ods. 2 písm. a), b) a c) [uvedenej smernice]“. Toto posledné uvedené ustanovenie potvrdzuje zásadu uvedenú v tomto článku 1 ods. 2 tým, že systematicky odkazuje na pojmy „teroristické trestné činy“ a „závažná trestná činnosť“.

233    Zo znenia týchto ustanovení teda jasne vyplýva, že v nich uvedený výpočet cieľov, ktoré sleduje spracúvanie údajov z PNR na základe smernice PNR, má taxatívnu povahu.

234    Tento výklad je potvrdený najmä odôvodnením 11 smernice PNR, podľa ktorého spracúvanie údajov z PNR musí byť primerané „konkrétnym cieľom v oblasti bezpečnosti“, ktoré sa touto smernicou sledujú, a jej článkom 7 ods. 4, podľa ktorého údaje z PNR a výsledky spracúvania týchto údajov, ktoré boli doručené PIU môžu byť ďalej spracúvané „iba na konkrétne účely prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosť“.

235    Okrem toho z taxatívnej povahy účelov uvedených v článku 1 ods. 2 smernice PNR tiež vyplýva, že údaje z PNR nemožno uchovávať v jednej databáze, do ktorej je možné nahliadať na dosiahnutie týchto, ako aj iných účelov. Uchovávanie týchto údajov v takejto databáze by totiž v sebe zahŕňalo riziko, že uvedené údaje budú použité na iné účely než sú uvedené v tomto článku 1 ods. 2.

236    V prejednávanej veci v rozsahu, v akom podľa vnútroštátneho súdu vnútroštátna právna úprava, o ktorú ide vo veci samej, pripúšťa ako účel spracúvania údajov z PNR monitorovanie činností, na ktoré sa zameriavajú spravodajské a bezpečnostné služby, čím tento účel začleňuje do predchádzania, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti, môže táto právna úprava porušovať taxatívnu povahu výpočtu cieľov sledovaných spracúvaním údajov z PNR na základe smernice PNR, čo prináleží overiť vnútroštátnemu súdu.

237    Preto treba na piatu otázku odpovedať tak, že článok 6 smernice PNR v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá povoľuje spracúvanie údajov z PNR zhromaždených v súlade s touto smernicou na iné účely než sú výslovne uvedené v článku 1 ods. 2 uvedenej smernice.

D.      O siedmej otázke

238    Svojou siedmou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 12 ods. 3 písm. b) smernice PNR vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, podľa ktorej orgán zriadený ako PIU má tiež postavenie príslušného vnútroštátneho orgánu oprávneného schváliť sprístupnenie údajov z PNR po uplynutí obdobia šiestich mesiacov po prenose týchto údajov PIU.

239    Na úvod treba poznamenať, že belgická vláda má pochybnosti o právomoci Súdneho dvora odpovedať na túto otázku, ako ju formuloval vnútroštátny súd, z dôvodu, že len tento posledný uvedený súd má právomoc vykladať vnútroštátne ustanovenia a najmä posúdiť požiadavky vyplývajúce zo zákona z 25. decembra 2016 s ohľadom na článok 12 ods. 3 písm. b) smernice PNR.

240    V tejto súvislosti stačí uviesť, že uvedenou otázkou sa vnútroštátny súd dožaduje výkladu ustanovenia práva Únie. Okrem toho, aj keď v rámci konania začatého podľa článku 267 ZFEÚ výklad vnútroštátnych ustanovení prislúcha vnútroštátnym súdom, a nie Súdnemu dvoru, a aj keď Súdnemu dvoru neprislúcha vyslovovať sa k zlučiteľnosti predpisov vnútroštátneho práva s ustanoveniami práva Únie, Súdny dvor má právomoc poskytnúť vnútroštátnemu súdu všetky výkladové prvky spadajúce do rámca práva Únie, ktoré mu umožnia posúdiť zlučiteľnosť vnútroštátnych právnych predpisov s právnou úpravou Únie (rozsudok z 30. apríla 2020, CTT – Correios de Portugal, C‑661/18, EU:C:2020:335, bod 28 a citovaná judikatúra). Z toho vyplýva, že Súdny dvor má právomoc odpovedať na siedmu otázku.

241    Pokiaľ ide o vec samu, treba poznamenať, že znenie článku 12 ods. 3 písm. b) smernice PNR, ktoré vo svojich bodoch i) a ii) uvádza „justičný orgán“ a „iný vnútroštátny orgán, ktorý je podľa vnútroštátneho práva príslušný overiť, či boli splnené podmienky sprístupnenia“, stavia tieto dva orgány na rovnakú úroveň, ako to vyplýva z použitia spojky „alebo“ medzi týmito bodmi i) a ii). Z tohto znenia teda vyplýva, že takto uvedený „iný“ vnútroštátny orgán je alternatívou k súdnemu orgánu, a preto musí mať úroveň nezávislosti a nestrannosti porovnateľnú s týmto orgánom.

242    Túto analýzu potvrdzuje cieľ smernice PNR uvedený v jej odôvodnení 25, ktorým je zabezpečenie čo najvyššej úrovne ochrany údajov, pokiaľ ide o prístup k úplným údajom z PNR, ktoré umožňujú priamo identifikovať dotknutú osobu. To isté odôvodnenie navyše spresňuje, že takýto prístup by sa mal poskytnúť len za veľmi prísnych podmienok po uplynutí obdobia šiestich mesiacov po prenose údajov z PNR útvaru PIU.

243    Uvedenú analýzu potvrdzuje aj legislatívny vývoj smernice PNR. Zatiaľ čo totiž návrh smernice spomenutý v bode 155 tohto rozsudku, na základe ktorého bola prijatá smernica PNR, len stanovil, že „prístup k úplným údajom PNR sa povolí iba vedúcemu útvaru informácií o cestujúcich“, znenie článku 12 ods. 3 písm. b) tejto smernice, ktoré normotvorca Únie nakoniec prijal, určuje justičný orgán a „iný vnútroštátny orgán“, pričom ich stavia na rovnakú úroveň, ako orgány príslušné overiť, či sú splnené podmienky na sprístupnenie úplných údajov z PNR, a schváliť takéto sprístupnenie.

244    Okrem toho a predovšetkým v súlade s ustálenou judikatúrou pripomenutou v bodoch 223, 225 a 226 tohto rozsudku je nevyhnutné, aby prístup príslušných orgánov k uchovávaným údajom podliehal predchádzajúcemu preskúmaniu zo strany súdu alebo nezávislého správneho orgánu a aby rozhodnutie tohto súdu alebo orgánu nasledovalo po odôvodnenej žiadosti týchto orgánov podanej najmä v rámci konania týkajúceho sa predchádzania trestným činom, ich odhaľovania a stíhania. Požiadavka nezávislosti, ktorú musí splniť orgán poverený vykonávaním predchádzajúceho preskúmania, tiež vyžaduje, aby mal tento orgán postavenie tretej strany vo vzťahu k orgánu, ktorý žiada o prístup k údajom, takže uvedený orgán bude schopný vykonávať toto preskúmanie objektívne a nestranne, pričom bude chránený pred akýmkoľvek vonkajším vplyvom. Konkrétne v trestnoprávnej oblasti požiadavka nezávislosti znamená, že orgán zodpovedný za toto predchádzajúce preskúmanie jednak nie je zapojený do vedenia dotknutého trestného vyšetrovania a jednak je voči účastníkom trestného konania neutrálny.

245    Ako pritom uviedol generálny advokát v bode 271 svojich návrhov, článok 4 smernice PNR vo svojich odsekoch 1 a 3 stanovuje, že PIU zriadený alebo určený v každom členskom štáte je príslušným orgánom v oblasti prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti, a že členmi jeho personálu môžu byť vyslaní zástupcovia príslušných orgánov uvedených v článku 7 tejto smernice, takže PIU sa zdá byť nevyhnutne prepojený s týmito orgánmi. PIU môže podľa článku 6 ods. 2 písm. b) uvedenej smernice tiež spracúvať údaje z PNR a výsledky sprístupňovať uvedeným orgánom. Vzhľadom na tieto skutočnosti nemožno PIU považovať za tretiu stranu vo vzťahu k týmto orgánom, a teda za orgán, ktorý má všetky znaky nezávislosti a nestrannosti potrebné na vykonávanie predchádzajúceho preskúmania uvedeného v predchádzajúcom bode tohto rozsudku a na overenie, či sú splnené podmienky sprístupnenia úplných údajov z PNR, ako stanovuje článok 12 ods. 3 písm. b) tej istej smernice.

246    Okrem toho skutočnosť, že toto posledné uvedené ustanovenie vo svojom bode ii) vyžaduje, aby v prípade schválenia sprístupnenia úplných údajov z PNR „iným [príslušným] vnútroštátnym orgánom“ bola zodpovedná osoba v PIU „o sprístupnení informovan[á] a následne ho uvedená zodpovedná osoba preskúmala“, zatiaľ čo v prípade schválenia súdnym orgánom to tak nie je, nemôže spochybniť toto posúdenie. Podľa ustálenej judikatúry totiž následné preskúmanie, aké vykonáva zodpovedná osoba, neumožňuje splniť cieľ predchádzajúceho preskúmania, ktorý spočíva v zabránení tomu, aby bol povolený prístup k dotknutým údajom, ktorý prekračuje rámec toho, čo je striktne nevyhnutné (pozri v tomto zmysle rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 110 a citovanú judikatúru).

247    Vzhľadom na všetky tieto úvahy treba na siedmu otázku odpovedať tak, že článok 12 ods. 3 písm. b) smernice PNR sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, podľa ktorej orgán zriadený ako PIU má tiež postavenie príslušného vnútroštátneho orgánu oprávneného schváliť sprístupnenie údajov z PNR po uplynutí obdobia šiestich mesiacov po prenose týchto údajov PIU.

E.      O ôsmej otázke

248    Svojou ôsmou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 12 smernice PNR v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá stanovuje všeobecnú dobu uchovávania údajov v dĺžke piatich rokov bez ohľadu na to, či dotknutí cestujúci predstavujú alebo nepredstavujú riziko v oblasti teroristických trestných činov alebo závažnej trestnej činnosti.

249    Je potrebné pripomenúť, že podľa článku 12 ods. 1 a 4 tejto smernice PIU členského štátu, na území ktorého dotknutý let pristáva alebo z ktorého odlieta, uchováva údaje z PNR poskytnuté leteckými dopravcami v databáze po dobu piatich rokov po ich prenose tomuto útvaru a natrvalo vymaže tieto údaje po uplynutí tejto doby piatich rokov.

250    Ako uvádza odôvodnenie 25 smernice PNR, „dĺžka doby uchovávania údajov PNR by mala byť nevyhnutná a primeraná účelom prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti“.

251    V dôsledku toho, uchovávanie údajov z PNR podľa článku 12 ods. 1 smernice PNR nemôže byť odôvodnené, ak neexistuje objektívny vzťah medzi týmto uchovávaním a cieľmi sledovanými touto smernicou, teda bojom proti teroristickým trestným činom a závažnej trestnej činnosti, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich.

252    V tejto súvislosti, ako vyplýva z odôvodnenia 25 smernice PNR, treba rozlišovať na jednej strane počiatočnú dobou uchovávania v dĺžke šiestich mesiacov stanovenú v článku 12 ods. 2 tejto smernice a na druhej strane následné obdobie uvedené v článku 12 ods. 3 uvedenej smernice.

253    Výklad článku 12 ods. 1 smernice PNR musí zohľadňovať ustanovenia uvedené v odsekoch 2 a 3 tohto článku, ktoré stanovujú režim uchovávania a prístupu k údajom z PNR uchovávaným po uplynutí počiatočnej doby uchovávania v dĺžke šiestich mesiacov. Ako vyplýva z odôvodnenia 25 tejto smernice, tieto ustanovenia odrážajú na jednej strane cieľ zabezpečiť, „aby sa údaje PNR uchovávali po dostatočne dlhú dobu, aby sa umožnilo vykonanie analýzy a ich využitie v rámci vyšetrovania“, ktoré možno uskutočniť v priebehu počiatočnej doby uchovávania v dĺžke šiestich mesiacov. Na druhej strane sa podľa toho istého odôvodnenia 25 snažia predísť „neprimeranému využívaniu údajov“ pomocou maskovania údajov a zabezpečiť „čo najvyšš[iu] úrov[eň] ochrany údajov“ tým, že povoľujú prístup k týmto údajom vo forme umožňujúcej priamo identifikovať dotknutú osobu „po uplynutí uvedenej počiatočnej doby len za veľmi prísnych a obmedzených podmienok“, teda so zreteľom na skutočnosť, že čím dlhšia je doba uchovávania údajov z PNR, tým závažnejší je výsledný zásah.

254    Rozlišovanie medzi počiatočnou dobou uchovávania v dĺžke šiestich mesiacov stanovenou v článku 12 ods. 2 smernice PNR a následným obdobím uvedeným v článku 12 ods. 3 tejto smernice sa pritom uplatňuje aj na nevyhnutné dodržiavanie požiadavky uvedenej v bode 251 tohto rozsudku.

255    Vzhľadom na účely smernice PNR a potreby vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti tak treba konštatovať, že uchovávanie údajov z PNR všetkých cestujúcich v leteckej doprave, na ktorých sa vzťahuje systém zavedený touto smernicou, počas počiatočnej doby šiestich mesiacov bez toho, aby existovala nejaká zmienka o ich zapojení do teroristických trestných činov alebo závažnej trestnej činnosti, sa v zásade nezdá byť nad rámec toho, čo je striktne nevyhnutné, keďže umožňuje vykonať potrebné šetrenia na účely identifikácie osôb, ktoré neboli podozrivé z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti.

256    Naproti tomu, pokiaľ ide o následné obdobie uvedené v článku 12 ods. 3 smernice PNR, uchovávanie údajov z PNR všetkých cestujúcich v leteckej doprave, na ktorých sa vzťahuje systém zavedený touto smernicou, okrem toho, že vzhľadom na značné množstvo údajov, ktoré možno nepretržite uchovávať, v sebe zahŕňa riziká neprimeraného používania a zneužitia (pozri analogicky rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 119), naráža na požiadavku uvedenú v odôvodnení 25 tejto smernice, podľa ktorej dĺžka doby uchovávania týchto údajov by mala byť nevyhnutná a primeraná sledovaným účelom, keďže normotvorca Únie mal v úmysle zaviesť čo najvyššiu úroveň ochrany údajov z PNR, ktoré umožňujú priamo identifikovať dotknuté osoby.

257    Pokiaľ totiž ide o cestujúcich v leteckej doprave, v prípade ktorých ani predbežné posúdenie uvedené v článku 6 ods. 2 písm. a) smernice PNR, ani prípadné overenia vykonané počas obdobia šiestich mesiacov uvedeného v článku 12 ods. 2 tejto smernice, ani žiadna iná okolnosť neodhalili existenciu objektívnych skutočností schopných preukázať riziko v oblasti teroristických trestných činov alebo závažnej trestnej činnosti, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich, sa za týchto okolností nezdá, že by existoval hoci len nepriamy vzťah medzi údajmi z PNR týchto cestujúcich a cieľom sledovaným touto smernicou, ktorý by odôvodňoval uchovávanie týchto údajov [pozri analogicky stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, body 204 a 205].

258    Pokračujúce uchovávanie údajov z PNR všetkých cestujúcich po uplynutí počiatočnej doby šiestich mesiacov sa teda nezdá byť obmedzené na to, čo je striktne nevyhnutné [pozri analogicky stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 206].

259    Pokiaľ sú však v osobitných prípadoch identifikované objektívne skutočnosti, ako sú napríklad údaje z PNR cestujúcich vedúce k overenej pozitívnej lustrácii, na základe ktorých možno prijať záver, že určití cestujúci by mohli predstavovať riziko v oblasti teroristických trestných činov alebo závažnej trestnej činnosti, uchovávanie ich údajov z PNR sa zdá byť prípustné aj po skončení tejto počiatočnej doby [pozri analogicky stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ) z 26. júla 2017, EU:C:2017:592, bod 207 a citovanú judikatúru].

260    Identifikácia týchto objektívnych skutočností by totiž mohla vytvoriť súvislosť s cieľmi sledovanými operáciami spracúvania podľa smernice PNR, takže uchovávanie údajov z PNR týkajúcich sa týchto cestujúcich by bolo odôvodnené počas maximálneho obdobia povoleného uvedenou smernicou, t. j. počas piatich rokov.

261    V prejednávanej veci, keďže právna úprava, o ktorú ide vo veci samej, podľa všetkého stanovuje všeobecnú dobu uchovávania údajov z PNR v dĺžke piatich rokov, ktorá sa uplatňuje bez rozdielu na všetkých cestujúcich, vrátane cestujúcich, v prípade ktorých ani predbežné posúdenie uvedené v článku 6 ods. 2 písm. a) smernice PNR, ani prípadné overenia vykonané počas obdobia šiestich mesiacov, ani žiadna iná okolnosť neodhalili existenciu objektívnych skutočností, ktoré by mohli preukázať riziko v oblasti teroristických trestných činov alebo závažnej trestnej činnosti, môže táto právna úprava porušovať článok 12 ods. 1 tejto smernice v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty, pokiaľ ju nemožno vykladať v súlade s týmito ustanoveniami, čo prináleží overiť vnútroštátnemu súdu.

262    Vzhľadom na predchádzajúce úvahy treba na ôsmu otázku odpovedať tak, že článok 12 ods. 1 smernice PNR v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá stanovuje všeobecnú dobu uchovávania údajov z PNR v dĺžke piatich rokov uplatniteľnú bez rozdielu na všetkých cestujúcich v leteckej doprave, vrátane cestujúcich, v prípade ktorých ani predbežné posúdenie uvedené v článku 6 ods. 2 písm. a) tejto smernice, ani prípadné overenia vykonané počas obdobia šiestich mesiacov uvedeného v článku 12 ods. 2 uvedenej smernice, ani žiadna iná okolnosť neodhalili existenciu objektívnych skutočností schopných preukázať riziko v oblasti teroristických trestných činov alebo závažnej trestnej činnosti, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich.

F.      O deviatej otázke písm. a)

263    Svojou deviatou otázkou písm. a) sa vnútroštátny súd v podstate pýta na platnosť smernice API z hľadiska článku 3 ods. 2 ZEÚ a článku 45 Charty, pričom vychádza z predpokladu, že povinnosti stanovené touto smernicou sa uplatňujú na lety vnútri EÚ.

264    Ako pritom uviedol generálny advokát v bode 277 svojich návrhov a ako poznamenala Rada, Komisia a viaceré vlády, tento predpoklad je nesprávny.

265    Článok 3 ods. 1 smernice API stanovuje, že členské štáty musia prijať potrebné opatrenia s cieľom stanoviť pre dopravcov povinnosť oznamovať do skončenia odbavenia na žiadosť orgánov, zodpovedných za vykonávanie kontrol osôb na vonkajších hraniciach, informácie týkajúce sa cestujúcich, ktorých budú títo dopravcovia dopravovať k povolenému hraničnému priechodu, cez ktorý tieto osoby budú vstupovať na územie členského štátu. Tieto údaje sa podľa článku 6 ods. 1 uvedenej smernice oznamujú orgánom zodpovedným za vykonávanie kontrol osôb na vonkajších hraniciach, cez ktoré cestujúci vstúpi na toto územie, a sú spracúvané za podmienok stanovených v tomto poslednom uvedenom ustanovení.

266    Z týchto ustanovení v spojení s článkom 2 písm. a), b) a d) smernice API, v ktorých sú v príslušnom poradí vymedzené pojmy „dopravca“, „vonkajšie hranice“ a „hraničný prechod“, pritom jasne vyplýva, že táto smernica ukladá leteckým dopravcom povinnosť poskytnúť údaje uvedené v jej článku 3 ods. 2 orgánom zodpovedným za vykonávanie kontrol na vonkajších hraniciach iba v prípade letov, ktoré prepravujú cestujúcich k hraničnému priechodu povolenému na prekračovanie vonkajších hraníc členských štátov s tretími krajinami, a stanovuje len spracúvanie údajov týkajúcich sa týchto letov.

267    Uvedená smernica naproti tomu neukladá žiadnu povinnosť týkajúcu sa údajov o cestujúcich, ktorí cestujú letmi prekračujúcimi len vnútorné hranice medzi členskými štátmi.

268    Je potrebné dodať, že smernica PNR tým, že medzi údaje z PNR, ako vyplýva z jej odôvodnenia 9 a článku 8 ods. 2, zahrnula údaje uvedené v článku 3 ods. 2 smernice API, ktoré boli zhromaždené v súlade s touto smernicou a uchovávané niektorými leteckými dopravcami, a tým, že členským štátom poskytla možnosť uplatniť smernicu PNR na základe jej článku 2 na lety vnútri EÚ, ktoré vymedzujú, nezmenila pôsobnosť ustanovení smernice API ani obmedzenia vyplývajúce z tejto smernice.

269    Vzhľadom na vyššie uvedené treba na deviatu otázku písm. a) odpovedať, že smernica API sa má vykladať tak, že sa neuplatňuje na lety vnútri EÚ.

G.      O deviatej otázke písm. b)

270    Hoci vnútroštátny súd vo svojej deviatej otázke písm. b) odkazuje na smernicu API v spojení s článkom 3 ods. 2 ZEÚ a článkom 45 Charty, z návrhu na začatie prejudiciálneho konania vyplýva, že tento súd sa pýta na zlučiteľnosť systému prenosu a spracúvania údajov cestujúcich zavedeného zákonom z 25. decembra 2016 s voľným pohybom osôb a odstránením kontrol na vnútorných hraniciach stanovených právom Únie, keďže tento systém sa vzťahuje nielen na leteckú dopravu, ale aj na železničnú, pozemnú alebo dokonca námornú dopravu, ktorá prichádza do Belgicka alebo z neho odchádza a ktorá sa uskutočňuje v rámci Únie bez prekročenia vonkajších hraníc s tretími krajinami.

271    Ako pritom vyplýva z bodov 265 až 269 tohto rozsudku, smernica API, ktorá sa neuplatňuje na lety vnútri EÚ a neukladá povinnosť prenosu a spracúvania údajov cestujúcich, ktorí cestujú letecky alebo iným spôsobom dopravy v rámci Únie bez prekročenia vonkajších hraníc s tretími krajinami, nie je relevantná na účely odpovede na túto otázku.

272    Naproti tomu, hoci podľa článku 67 ods. 2 ZFEÚ Únia zabezpečuje absenciu kontrol osôb na vnútorných hraniciach, článok 2 smernice PNR, z ktorého vychádzal belgický zákonodarca pri prijímaní zákona z 25. decembra 2016 dotknutého vo veci samej, ako vyplýva z návrhu na začatie prejudiciálneho konania, oprávňuje členské štáty, aby uplatňovali túto smernicu na lety vnútri EÚ.

273    Za týchto podmienok treba na účely poskytnutia užitočnej odpovede vnútroštátnemu súdu preformulovať deviatu otázku písm. b) tak, že jej cieľom je v podstate zistiť, či sa má právo Únie, konkrétne článok 2 smernice PNR v spojení s článkom 3 ods. 2 ZEÚ, článkom 67 ods. 2 ZFEÚ a článkom 45 Charty, vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá stanovuje systém prenosu zo strany dopravcov a cestovných kancelárií, ako aj spracúvania zo strany príslušných orgánov, údajov z PNR pri letoch a doprave inými prostriedkami v rámci Únie, ktoré smerujú do členského štátu, ktorý prijal uvedenú právnu úpravu, odchádzajú z tohto štátu alebo cezeň prechádzajú.

274    V prvom rade článok 45 Charty zakotvuje slobodný pohyb osôb, ktorý navyše predstavuje jednu zo základných slobôd vnútorného trhu [pozri v tomto zmysle rozsudok z 22. júna 2021, Ordre des barreaux francophones et germanophone a i. (Preventívne opatrenia na účely vyhostenia), C‑718/19, EU:C:2021:505, bod 54].

275    Tento článok v odseku 1 zaručuje právo každého občana Únie na slobodný pohyb a pobyt na území členských štátov, pričom toto právo podľa Vysvetliviek k Charte základných práv (Ú. v. EÚ C 303, 2007, s. 17) zodpovedá právu zaručenému v článku 20 ods. 2 prvom pododseku písm. a) ZFEÚ a podľa článku 20 ods. 2 druhého pododseku ZFEÚ a článku 52 ods. 2 Charty sa uplatňuje v súlade s podmienkami a obmedzeniami vymedzenými v Zmluvách a opatreniami prijatými na ich vykonanie.

276    Ďalej podľa článku 3 ods. 2 ZEÚ Únia ponúka svojim občanom priestor slobody, bezpečnosti a spravodlivosti bez vnútorných hraníc, v ktorom je zaručený voľný pohyb osôb v spojení s príslušnými opatreniami týkajúcimi sa najmä kontroly na vonkajších hraniciach a predchádzania trestnej činnosti a boja s ňou. Rovnako v súlade s článkom 67 ods. 2 ZFEÚ Únia zabezpečuje absenciu kontrol osôb na vnútorných hraniciach a tvorí spoločnú politiku okrem iného v oblasti kontroly vonkajších hraníc.

277    V súlade s ustálenou judikatúrou Súdneho dvora vnútroštátna právna úprava, ktorá niektorých štátnych príslušníkov znevýhodňuje len z toho dôvodu, že uplatnili svoju slobodu pohybu a pobytu na území iného členského štátu, predstavuje obmedzenie slobôd, ktoré sú v článku 45 ods. 1 Charty priznané každému občanovi Únie (pozri v tomto zmysle, pokiaľ ide o článok 21 ods. 1 ZFEÚ, rozsudky z 8. júna 2017, Freitag, C‑541/15, EU:C:2017:432, bod 35 a citovanú judikatúru, ako aj z 19. novembra 2020, ZW, C‑454/19, EU:C:2020:947, bod 30).

278    Vnútroštátna právna úprava, o akú ide vo veci samej, ktorá uplatňuje systém stanovený smernicou PNR nielen na lety mimo EÚ, ale v súlade s článkom 2 ods. 1 tejto smernice aj na lety vnútri EÚ, ako aj, nad rámec toho, čo je stanovené v tomto ustanovení, na dopravu vykonávanú inými prostriedkami v rámci Únie, má pritom za následok prenos, ako aj systematické a nepretržité spracúvanie údajov z PNR každého cestujúceho, ktorý cestuje týmito prostriedkami v rámci Únie pri uplatňovaní svojej slobody pohybu.

279    Ako bolo konštatované v bodoch 98 až 111 tohto rozsudku, prenos a spracúvanie údajov cestujúcich na letoch mimo EÚ a vnútri EÚ, ktoré vyplývajú zo systému zavedeného smernicou PNR, prinášajú vážne zásahy do základných práv dotknutých osôb zakotvených v článkoch 7 a 8 Charty. Závažnosť tohto zásahu je ešte väčšia v prípade, keď sa uplatňovanie tohto systému rozšíri na iné dopravné prostriedky v rámci Únie. Takéto zásahy môžu tiež z rovnakých dôvodov, aké sú uvedené v týchto bodoch, znevýhodniť, a teda odradiť od výkonu slobody pohybu v zmysle článku 45 Charty občanov členských štátov, ktoré prijali takúto právnu úpravu, ako aj vo všeobecnosti občanov Únie, ktorí cestujú týmito dopravnými prostriedkami v rámci Únie do týchto členských štátov alebo z nich odchádzajú, takže uvedená právna úprava zahŕňa obmedzenie tejto základnej slobody.

280    V súlade s ustálenou judikatúrou obmedzenie voľného pohybu osôb, môže byť opodstatnené len vtedy, ak vychádza z objektívnych dôvodov a je primerané cieľu, ktorý legitímne sleduje vnútroštátne právo. Opatrenie je primerané vtedy, ak popritom, že je spôsobilé realizovať sledovaný cieľ, nejde nad rámec toho, čo je nevyhnutné na jeho dosiahnutie (pozri v tomto zmysle rozsudok z 5. júna 2018, Coman a i., C‑673/16, EU:C:2018:385, bod 41 a citovanú judikatúru).

281    Treba dodať, že vnútroštátne opatrenie, ktoré môže narušiť výkon voľného pohybu osôb, môže byť odôvodnené len vtedy, ak je toto opatrenie v súlade so základnými právami zaručenými Chartou, na ktorých dodržiavanie dohliada Súdny dvor (rozsudok zo 14. decembra 2021, Stolična obština, rajon „Pančarevo“, C‑490/20, EU:C:2021:1008, bod 58 a citovaná judikatúra).

282    Konkrétne v súlade s judikatúrou pripomenutou v bodoch 115 a 116 tohto rozsudku nemožno sledovať cieľ všeobecného záujmu bez zohľadnenia skutočnosti, že musí byť zosúladený so základnými právami dotknutými opatrením, a to náležitým vyvážením cieľa všeobecného záujmu a dotknutých práv. V tejto súvislosti sa možnosť členských štátov odôvodniť obmedzenie základného práva zaručeného článkom 45 ods. 1 Charty musí posudzovať prostredníctvom merania závažnosti zásahu, ktorý spôsobí takéto obmedzenie, a overenia, či je dôležitosť cieľa všeobecného záujmu sledovaného týmto obmedzením priamo úmerná takejto závažnosti.

283    Ako bolo pripomenuté v bode 122 tohto rozsudku, cieľ boja proti teroristickým trestným činom a závažnej trestnej činnosti, ktorý sleduje smernica PNR, je nepochybne cieľom všeobecného záujmu Únie.

284    Pokiaľ ide o otázku, či je vnútroštátna právna úprava prijatá na účely prebratia smernice PNR, ktorá rozširuje systém stanovený touto smernicou na lety vnútri EÚ a iné druhy dopravy v rámci Únie, spôsobilá realizovať sledovaný cieľ, z informácií uvedených v spise, ktorý má k dispozícii Súdny dvor, vyplýva, že využívanie údajov z PNR umožňuje identifikovať osoby, ktoré neboli podozrivé z účasti na teroristických trestných činoch a závažnej trestnej činnosti a ktoré by sa mali podrobiť ďalšiemu preskúmaniu, takže takáto právna úprava je podľa všetkého vhodná na dosiahnutie zamýšľaného cieľa boja proti teroristickým trestným činom a závažnej trestnej činnosti,

285    Pokiaľ ide o nevyhnutnosť takejto právnej úpravy, vyžívanie možnosti stanovenej v článku 2 ods. 1 smernice PNR v spojení s článkami 7 a 8 Charty zo strany členských štátov sa musí obmedziť na to, čo je striktne nevyhnutné na dosiahnutie tohto cieľa so zreteľom na požiadavky uvedené v bodoch 163 až 174 tohto rozsudku.

286    Tieto požiadavky sa o to viac uplatňujú v prípade, keď sa systém stanovený smernicou PNR uplatňuje aj na iné dopravné prostriedky v rámci Únie.

287    Okrem toho, ako vyplýva z informácií uvedených v návrhu na začatie prejudiciálneho konania, vnútroštátna právna úprava, o ktorú ide vo veci samej, preberá jediným aktom smernicu PNR, smernicu API a čiastočne smernicu 2010/65. Na tento účel stanovuje uplatňovanie systému uvedeného v smernici PNR na všetky lety vnútri EÚ a železničnú, pozemnú či dokonca námornú dopravu vykonávanú v rámci Únie, ktoré prichádzajú do Belgicka, odchádzajú z neho alebo cezeň prechádzajú, ako aj na cestovné kancelárie, pričom sleduje aj iné ciele ako len boj proti teroristickým trestným činom a závažnej trestnej činnosti. Podľa tých istých informácií sa zdá, že všetky údaje zhromaždené v rámci systému zavedeného touto vnútroštátnou právnou úpravou uchováva PIU v jedinej databáze, ktorá zahŕňa údaje z PNR, vrátane údajov uvedených v článku 3 ods. 2 smernice API, všetkých cestujúcich využívajúcich dopravu, na ktorú sa vzťahuje uvedená právna úprava.

288    V tejto súvislosti, keďže vnútroštátny súd vo svojej deviatej otázke písm. b) odkazuje na cieľ boja proti nelegálnemu prisťahovalectvu a zlepšenia hraničných kontrol, čo je cieľom smernice API, treba pripomenúť, že ako vyplýva z bodov 233, 234 a 237 tohto rozsudku, výpočet cieľov sledovaných spracúvaním údajov z PNR na základe smernice PNR má taxatívnu povahu, takže vnútroštátna právna úprava, ktorá povoľuje spracúvanie údajov z PNR zhromaždených v súlade s touto smernicou na iné účely, než sú v nej stanovené, a to najmä na účely zlepšenia hraničných kontrol a boja proti nelegálnemu prisťahovalectvu, je v rozpore s článkom 6 uvedenej smernice v spojení s Chartou.

289    Okrem toho, ako vyplýva z bodu 235 tohto rozsudku, členské štáty nemôžu vytvoriť jedinú databázu obsahujúcu tak údaje z PNR zhromaždené na základe smernice PNR a týkajúce sa letov mimo EÚ a vnútri EÚ, ako aj údaje o cestujúcich využívajúcich iné dopravné prostriedky a údaje uvedené v článku 3 ods. 2 smernice API, najmä ak možno do tejto databázy nahliadať nielen na účely uvedené v článku 1 ods. 2 smernice o PNR, ale aj na iné účely.

290    Napokon a v každom prípade, ako uviedol generálny advokát v bode 281 svojich návrhov, články 28 až 31 zákona z 25. decembra 2016 môžu byť zlučiteľné s právom Únie a najmä s článkom 67 ods. 2 ZFEÚ len vtedy, keď sa budú vykladať v tom zmysle, že sa týkajú iba prenosu a spracúvania údajov API cestujúcich, ktorí prekračujú vonkajšie hranice Belgicka s tretími krajinami. Opatrenie, ktorým by členský štát na účely zlepšenia kontrol na hraniciach a boja proti nelegálnemu prisťahovalectvu rozšíril uplatňovanie ustanovení smernice API na lety vnútri Únie a a fortiori na iné druhy prepravy cestujúcich v rámci Únie, ktoré smerujú do členského štátu, odchádzajú z tohto štátu alebo dokonca cezeň prechádzajú, a to najmä povinnosť oznamovať údaje o cestujúcich stanovenú v článku 3 ods. 1 tejto smernice, by totiž znamenalo, že by sa príslušným orgánom umožnilo pri prekračovaní vnútorných hraníc uvedeného členského štátu systematicky overovať, či sa týmto cestujúcim môže povoliť vstup na jeho územie alebo či smú toto územie opustiť, čo by tak malo rovnaký účinok ako kontroly vykonávané na vonkajších hraniciach s tretími krajinami.

291    Vzhľadom na všetky tieto úvahy treba na deviatu otázku písm. b) odpovedať tak, že právo Únie, najmä článok 2 smernice PNR v spojení s článkom 3 ods. 2 ZEÚ, článkom 67 ods. 2 ZFEÚ a článkom 45 Charty, sa má vykladať v tom zmysle, že bráni:

–        vnútroštátnej právnej úprave, ktorá v prípade neexistencie skutočnej a aktuálnej alebo predvídateľnej teroristickej hrozby, ktorej by čelil dotknutý členský štát, stanovuje systém prenosu zo strany dopravcov a cestovných kancelárií, ako aj spracúvania zo strany príslušných orgánov, údajov z PNR pri všetkých letoch vnútri EÚ a doprave inými prostriedkami v rámci Únie, ktoré smerujú do členského štátu, odchádzajú z tohto štátu alebo cezeň prechádzajú, na účely boja proti teroristickým trestným činom a závažnej trestnej činnosti. V takejto situácii sa uplatňovanie systému zavedeného smernicou PNR musí obmedziť na prenos a spracúvanie údajov z PNR pri letoch a/alebo doprave, ktoré sa týkajú najmä určitých spojení alebo schém cestovania či dokonca niektorých letísk, staníc alebo námorných prístavov, v súvislosti s ktorými existujú informácie, ktoré môžu odôvodniť takéto uplatňovanie. Je úlohou dotknutého členského štátu, aby určil lety vnútri EÚ a/alebo dopravu inými prostriedkami v rámci Únie, v súvislosti s ktorými existujú takéto informácie, a aby uvedené uplatňovanie pravidelne prehodnocoval so zreteľom na zmeny podmienok, ktoré odôvodnili ich výber, s cieľom zabezpečiť, aby sa uplatňovanie tohto systému na tieto lety a/alebo túto dopravu vždy obmedzovalo na to, čo je striktne nevyhnutné.

–        vnútroštátnej právnej úprave, ktorá stanovuje takýto systém prenosu a spracúvania uvedených údajov na účely zlepšenia kontroly hraníc a boja proti nelegálnemu prisťahovalectvu.

H.      O desiatej otázke

292    Svojou desiatou otázkou sa vnútroštátny súd v podstate pýta, či sa má právo Únie vykladať v tom zmysle, že vnútroštátny súd môže obmedziť časové účinky vyhlásenia protiprávnosti, ktoré mu prislúcha urobiť podľa vnútroštátneho práva vo vzťahu k vnútroštátnej právnej úprave ukladajúcej leteckým, železničným a pozemným dopravcom, ako aj cestovným kanceláriám povinnosť prenosu údajov z PNR a stanovujúcej spracúvanie a uchovávanie takýchto údajov v rozpore s ustanoveniami smernice PNR v spojení s článkom 3 ods. 2 ZEÚ, článkom 67 ods. 2 ZFEÚ a s článkami 7, 8, 45 a článkom 52 ods. 1 Charty.

293    Zásada prednosti práva Únie zakotvuje prednostné postavenie práva Únie pred právom členských štátov. Táto zásada preto ukladá všetkým orgánom členských štátov povinnosť zaručiť plný účinok jednotlivých ustanovení práva Únie, pričom právo členských štátov nemôže mať vplyv na účinok priznaný týmto ustanoveniam na území uvedených štátov. Táto zásada vyžaduje, aby v prípade nemožnosti vyložiť vnútroštátnu právnu úpravu v súlade s požiadavkami práva Únie vnútroštátny súd, ktorý je v rámci svojej právomoci poverený uplatňovať ustanovenia práva Únie, zabezpečil ich plný účinok, pričom v prípade potreby z vlastnej iniciatívy neuplatní akékoľvek odporujúce ustanovenie vnútroštátneho práva, hoci aj časovo následné, a to bez toho, aby musel požiadať alebo vyčkať na jeho predchádzajúce zrušenie zákonodarnou cestou alebo akýmkoľvek iným ústavným postupom (rozsudky z 15. júla 1964, Costa, 6/64, EU:C:1964:66, s. 1159 a 1160; zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 214 a 215, ako aj z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 118).

294    Iba Súdny dvor môže výnimočne a z naliehavých dôvodov právnej istoty priznať dočasné pozastavenie účinku vylúčenia vyplývajúceho z právneho predpisu Únie vo vzťahu k vnútroštátnemu právu, ktoré je v rozpore s týmto predpisom. Takéto obmedzenie časových účinkov výkladu tohto práva poskytnutého Súdnym dvorom možno pripustiť len v samotnom rozsudku, ktorým sa rozhoduje o požadovanom výklade. Ak by vnútroštátne súdy mali právomoc priznať vnútroštátnym ustanoveniam prednosť pred právom Únie, ktorému tieto ustanovenia odporujú, hoci len dočasne, došlo by k narušeniu prednosti a jednotného uplatňovania práva Únie (rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 119 a citovaná judikatúra).

295    Na rozdiel od opomenutia procesnej povinnosti, akou je predchádzajúce posúdenie vplyvov projektu v konkrétnej oblasti ochrany životného prostredia, o aké išlo vo veci, v ktorej bol vydaný rozsudok z 29. júla 2019, Inter‑Environnement Wallonie a Bond Beter Leefmilieu Vlaanderen (C‑411/17, EU:C:2019:622, body 175, 176, 179 a 181), v ktorom Súdny dvor súhlasil s dočasným pozastavením tohto účinku vylúčenia, porušenie smernice PNR v spojení s článkami 7, 8, 45 a článkom 52 ods. 1 Charty nemožno napraviť postupom, ktorý je porovnateľný s postupom povoleným v tejto veci. Zachovanie účinkov vnútroštátnej právnej úpravy, akou je zákon z 25. decembra 2016, by totiž znamenalo, že táto právna úprava by naďalej ukladala leteckým dopravcom, ako aj iným prepravcom a cestovným kanceláriám povinnosti, ktoré sú v rozpore s právom Únie a ktoré prinášajú závažné zásahy do základných práv osôb, ktorých údaje boli prenášané, uchovávané a spracúvané, ako aj obmedzenia slobody pohybu týchto osôb presahujúce rámec toho, čo je nevyhnutné (pozri analogicky rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 122 a citovanú judikatúru).

296    Vnútroštátny súd preto nemôže obmedziť časové účinky vyhlásenia protiprávnosti, ktoré mu prislúcha urobiť podľa vnútroštátneho práva, pokiaľ ide o vnútroštátnu právnu úpravu dotknutú vo veci samej (pozri analogicky rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 123 a citovanú judikatúru).

297    Napokon v rozsahu, v akom sa vnútroštátny súd pýta na vplyv konštatovania prípadnej nezlučiteľnosti zákona z 25. decembra 2016 s ustanoveniami smernice PNR v spojení s Chartou na prípustnosť a použitie dôkazov a informácií, ktoré boli získané prostredníctvom údajov prenášaných dotknutými dopravcami a cestovnými kanceláriami, v rámci trestných konaní, stačí odkázať na príslušnú judikatúru Súdneho dvora, najmä na zásady pripomenuté v bodoch 41 až 44 rozsudku z 2. marca 2021, Prokuratuur (Podmienky prístupu k údajom týkajúcim sa elektronických komunikácií) (C‑746/18, EU:C:2021:152), z ktorých vyplýva, že v súlade so zásadou procesnej autonómie členských štátov patrí takáto prípustnosť do pôsobnosti vnútroštátneho práva za predpokladu, že sú dodržané najmä zásady ekvivalencie a efektivity (pozri analogicky rozsudok z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 127).

298    Vzhľadom na predchádzajúce úvahy treba na desiatu otázku odpovedať tak, že právo Únie sa má vykladať v tom zmysle, že bráni tomu, aby vnútroštátny súd obmedzil časové účinky vyhlásenia protiprávnosti, ktoré mu prislúcha urobiť podľa vnútroštátneho práva vo vzťahu k vnútroštátnej právnej úprave ukladajúcej leteckým, železničným a pozemným dopravcom, ako aj cestovným kanceláriám povinnosť prenosu údajov z PNR a stanovujúcej spracúvanie a uchovávanie takýchto údajov v rozpore s ustanoveniami smernice PNR v spojení s článkom 3 ods. 2 ZEÚ, článkom 67 ods. 2 ZFEÚ a s článkami 7, 8, 45 a článkom 52 ods. 1 Charty. Prípustnosť dôkazov získaných týmto spôsobom patrí v súlade so zásadou procesnej autonómie členských štátov do pôsobnosti vnútroštátneho práva za predpokladu, že sú dodržané najmä zásady ekvivalencie a efektivity

IV.    O trovách

299    Vzhľadom na to, že konanie má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (veľká komora) rozhodol takto:

1.      Článok 2 ods. 2 písm. d) a článok 23 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), sa majú vykladať v tom zmysle, že toto nariadenie sa vzťahuje na operácie spracúvania osobných údajov stanovené vnútroštátnou právnou úpravou, ktorej cieľom je súčasne prebrať do vnútroštátneho práva ustanovenia smernice Rady 2004/82/ES z 29. apríla 2004 o povinnosti dopravcov oznamovať údaje o cestujúcich, smernice Európskeho parlamentu a Rady 2010/65/EÚ z 20. októbra 2010 o ohlasovacích formalitách lodí plávajúcich do prístavov a/alebo z prístavov členských štátov, ktorou sa zrušuje smernica 2002/6/ES, a smernice Európskeho parlamentu a Rady (EÚ) 2016/681 z 27. apríla 2016 o využívaní údajov zo záznamov o cestujúcich (PNR) na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti, pokiaľ ide na jednej strane o operácie spracúvania údajov vykonávané súkromnými subjektmi a na druhej strane o operácie spracúvania údajov vykonávané orgánmi verejnej moci, ktoré spadajú výlučne do pôsobnosti smernice 2004/82 alebo smernice 2010/65 alebo do pôsobnosti oboch smerníc zároveň. Naproti tomu uvedené nariadenie sa nevzťahuje na operácie spracúvania údajov stanovené takouto právnou úpravou, ktoré spadajú len do pôsobnosti smernice 2016/681 a ktoré vykonáva útvar informácií o cestujúcich (PIU) alebo príslušné orgány na účely uvedené v článku 1 ods. 2 tejto smernice.

2.      Keďže výklad smernice 2016/681 s ohľadom na články 7, 8 a 21, ako aj článok 52 ods. 1 Charty základných práv a slobôd Európskej únie zabezpečuje súlad tejto smernice s týmito článkami Charty základných práv, preskúmanie druhej až štvrtej prejudiciálnej otázky a šiestej prejudiciálnej otázky neodhalilo nijakú skutočnosť, ktorá by mohla mať vplyv na platnosť uvedenej smernice.

3.      Článok 6 smernice 2016/681 v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty základných práv sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá povoľuje spracúvanie údajov z osobného záznamu o cestujúcom (údaje z PNR) zhromaždených v súlade s touto smernicou na iné účely než sú výslovne uvedené v článku 1 ods. 2 uvedenej smernice.

4.      Článok 12 ods. 3 písm. b) smernice 2016/681 sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, podľa ktorej orgán zriadený ako útvar informácií o cestujúcich (PIU) má tiež postavenie príslušného vnútroštátneho orgánu oprávneného schváliť sprístupnenie údajov z PNR po uplynutí obdobia šiestich mesiacov po prenose týchto údajov PIU.

5.      Článok 12 ods. 1 smernice 2016/681 v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty základných práv sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá stanovuje všeobecnú dobu uchovávania údajov z PNR v dĺžke piatich rokov uplatniteľnú bez rozdielu na všetkých cestujúcich v leteckej doprave, vrátane cestujúcich, v prípade ktorých ani predbežné posúdenie uvedené v článku 6 ods. 2 písm. a) tejto smernice, ani prípadné overenia vykonané počas obdobia šiestich mesiacov uvedeného v článku 12 ods. 2 uvedenej smernice, ani žiadna iná okolnosť neodhalili existenciu objektívnych skutočností schopných preukázať riziko v oblasti teroristických trestných činov alebo závažnej trestnej činnosti, ktoré majú prinajmenšom nepriamo objektívnu súvislosť s leteckou prepravou cestujúcich.

6.      Smernica 2004/82 sa má vykladať v tom zmysle, že sa nevzťahuje na plánované alebo neplánované lety prevádzkované leteckým dopravcom s odletom z územia členského štátu a plánovaným pristátím na území jedného alebo viacerých iných členských štátov bez akýchkoľvek medzipristátí na území tretej krajiny (lety vnútri EÚ).

7.      Právo Únie, najmä článok 2 smernice 2016/681 v spojení s článkom 3 ods. 2 ZEÚ, článkom 67 ods. 2 ZFEÚ a článkom 45 Charty základných práv, sa má vykladať v tom zmysle, že bráni:

–        vnútroštátnej právnej úprave, ktorá v prípade neexistencie skutočnej a aktuálnej alebo predvídateľnej teroristickej hrozby, ktorej by čelil dotknutý členský štát, stanovuje systém prenosu zo strany dopravcov a cestovných kancelárií, ako aj spracúvania zo strany príslušných orgánov, údajov z PNR pri všetkých letoch vnútri EÚ a doprave inými prostriedkami v rámci Únie, ktoré smerujú do členského štátu, odchádzajú z tohto štátu alebo cezeň prechádzajú, na účely boja proti teroristickým trestným činom a závažnej trestnej činnosti. V takejto situácii sa uplatňovanie systému zavedeného smernicou 2016/681 musí obmedziť na prenos a spracúvanie údajov z PNR pri letoch a/alebo doprave, ktoré sa týkajú najmä určitých spojení alebo schém cestovania či dokonca niektorých letísk, staníc alebo námorných prístavov, v súvislosti s ktorými existujú informácie, ktoré môžu odôvodniť takéto uplatňovanie. Je úlohou dotknutého členského štátu, aby určil lety vnútri EÚ a/alebo dopravu inými prostriedkami v rámci Únie, v súvislosti s ktorými existujú takéto informácie, a aby uvedené uplatňovanie pravidelne prehodnocoval so zreteľom na zmeny podmienok, ktoré odôvodnili ich výber, s cieľom zabezpečiť, aby sa uplatňovanie tohto systému na tieto lety a/alebo túto dopravu vždy obmedzovalo na to, čo je striktne nevyhnutné.

–        vnútroštátnej právnej úprave, ktorá stanovuje takýto systém prenosu a spracúvania uvedených údajov na účely zlepšenia kontroly hraníc a boja proti nelegálnemu prisťahovalectvu.

8.      Právo Únie sa má vykladať v tom zmysle, že bráni tomu, aby vnútroštátny súd obmedzil časové účinky vyhlásenia protiprávnosti, ktoré mu prislúcha urobiť podľa vnútroštátneho práva vo vzťahu k vnútroštátnej právnej úprave ukladajúcej leteckým, železničným a pozemným dopravcom, ako aj cestovným kanceláriám povinnosť prenosu údajov z PNR a stanovujúcej spracúvanie a uchovávanie takýchto údajov v rozpore s ustanoveniami smernice 2016/681 v spojení s článkom 3 ods. 2 ZEÚ, článkom 67 ods. 2 ZFEÚ a s článkami 7, 8, 45 a článkom 52 ods. 1 Charty základných práv. Prípustnosť dôkazov získaných týmto spôsobom patrí v súlade so zásadou procesnej autonómie členských štátov do pôsobnosti vnútroštátneho práva za predpokladu, že sú dodržané najmä zásady ekvivalencie a efektivity

Podpisy

*      Jazyk konania: francúzština.