Дело C‑817/19
Ligue des droits humains
срещу
Conseil des ministres
(Преюдициално запитване, отправено от Cour constitutionnelle (Конституционен съд, Белгия)
Решение на Съда (голям състав) от 21 юни 2022 г.
„Преюдициално запитване — Обработване на лични данни — Резервационни данни на пътниците (PNR) — Регламент (ЕС) 2016/679 — Член 2, параграф 2, буква г) — Приложно поле — Директива (ЕС) 2016/681 — Използване на PNR данни на пътниците на полети, извършвани между Европейския съюз и трети държави — Възможност за включване на данни на пътниците на полети, извършвани в Съюза — Автоматизирано обработване на тези данни — Срок на съхраняване — Борба срещу терористичните престъпления и тежките престъпления — Валидност — Харта на основните права на Европейския съюз — Членове 7, 8 и 21, и член 52, параграф 1 — Национално законодателство, което включва в обхвата на PNR системата други превози, извършвани в Съюза — Свобода на движение в Съюза — Харта на основните права — Член 45“
1. Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Приложно поле — Обработване на лични данни, предвидено в национална правна уредба, с която се транспонират директиви 2004/82, 2010/65 и 2016/681 — Включване — Граници
(член 2, параграф 2, буква г) и член 23 от Регламент 2016/679 на Европейския парламент и на Съвета; директиви 2010/65, 2016/680 и 2016/681 на Европейския парламент и на Съвета; Директива 2004/82 на Съвета)
(вж. т. 67, 68, 73, 74, 80, 83 и 84; т. 1 от диспозитива)
2. Полицейско сътрудничество — Съдебно сътрудничество по наказателноправни въпроси — Използване на резервационни данни на пътниците (PNR) с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления — Директива 2016/681 — PNR данни — Обхват — Пътници във въздушния транспорт и съответни полети — Автоматизирано обработване на тези данни — Нарушаване на правото на зачитане на личния живот и на правото на защита на личните данни — Липса
(членове 7, 8, 21 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; член 1, параграф 2, член 2, член 3, точки 2, 4, 8 и 9, член 6, член 12 и приложения I и II към Директива 2016/681 на Европейския парламент и на Съвета)
(вж. т. 94—97, 111, 122, 123, 129, 131—140, 152, 157, 162, 169—175, 184, 188, 197, 202, 213, 218‑220, 223 и 225—228; т. 2 от диспозитива)
3. Основни права — Зачитане на личния живот — Защита на личните данни — Ограничения — Условия
(членове 7 и 8 и член 52, параграф 1 от Хартата на основните права на Европейския съюз)
(вж. т. 115—118)
4. Полицейско сътрудничество — Съдебно сътрудничество по наказателноправни въпроси — Използване на резервационни данни на пътниците (PNR) с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления — Директива 2016/681 — Обработване на PNR данни — Цели — Обработване за цели, различни от изрично предвидените — Недопустимост
(членове 7, 8 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; член 1, параграф 2 и член 6 от Директива 2016/681 на Европейския парламент и на Съвета)
(вж. т. 233, 235, 237, 288 и 289; т. 3 от диспозитива)
5. Полицейско сътрудничество — Съдебно сътрудничество по наказателноправни въпроси — Използване на резервационни данни на пътниците (PNR) с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления — Директива 2016/681 — Разкриване на PNR данните след изтичането на шестмесечния срок от момента на предаването им от въздушните превозвачи — Условие — Одобрение от компетентен национален орган — Понятие — Звено за данни за пътниците — Изключване
(членове 7 и 8 от Хартата на основните права на Европейския съюз; член 4, параграфи 1—3 и член 12, параграф 3, буква б) от Директива 2016/681 на Европейския парламент и на Съвета)
(вж. т. 244, 245 и 247; т. 4 от диспозитива)
6. Полицейско сътрудничество — Съдебно сътрудничество по наказателноправни въпроси — Използване на резервационни данни на пътниците (PNR) с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления — Директива 2016/681 — Срок на съхраняване на PNR данните — Общ срок от пет години за съхраняване на PNR данните, приложим без разграничение към всички пътници във въздушния транспорт — Недопустимост
(членове 7, 8 и 45 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; член 12 от Директива 2016/681 на Европейския парламент и на Съвета)
(вж. т. 251, 255—259 и 262; т. 5 от диспозитива)
7. Контрол по границите, убежище и имиграция — Задължение на превозвачите да съобщават данни на пътниците — Директива 2004/82 — Приложно поле — Вътрешни за ЕС полети — Изключване
(член 2 от Директива 2016/681 на Европейския парламент и на Съвета; член 2, букви а), б) и г), член 3, параграфи 1 и 2 и член 6, параграф 1 от Директива 2004/82 на Съвета)
(вж. т. 266—269; т. 6 от диспозитива)
8. Полицейско сътрудничество — Съдебно сътрудничество по наказателноправни въпроси — Използване на резервационни данни на пътниците (PNR) с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления — Директива 2016/681 — Прилагане на Директивата към вътрешни за ЕС полети — Прилагане към всички вътрешни за ЕС полети и към превозите, извършвани с други средства в Съюза, при липсата на действителна и настояща или предвидима терористична заплаха — Недопустимост — Ограничено прилагане — Допустимост — Условия
(член 3, параграф 2 ДЕС; член 67, параграф 2 ДФЕС; членове 7, 8, 45 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; Директива 2016/681 на Европейския парламент и на Съвета)
(вж. т. 277—282, 285, 290 и 291; т. 7 от диспозитива)
9. Право на Европейския съюз — Предимство — Директива 2016/681 — Отмяна от националния съд на национални разпоредби, несъвместими с тази директива — Възможност да се запазят последиците на съответните разпоредби — Липса — Допустимост на доказателствата, получени в съответствие с тези разпоредби — Приложение на националното право — Граници — Спазване на принципите на равностойност и ефективност
(член 3, параграф 2 ДЕС; член 67, параграф 2 ДФЕС; членове 7, 8, 45 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; Директива 2016/681 на Европейския парламент и на Съвета)
(вж. т. 293—298; т. 8 от диспозитива)
Резюме
PNR данните (Passenger Name Record) представляват информация за резервациите, съхранявани от въздушните превозвачи в техните системи за резервации и контрол на излитанията. Директивата за PNR(1) задължава тези превозвачи да предават PNR данните на всички пътници във въздушния транспорт при външни за ЕС полети на звеното за данни за пътниците (наричано по-нататък „ЗДП“) на държавата членка на пристигане или на излитане на съответния полет с оглед на борбата срещу тероризма и тежките престъпления. Всъщност така предадените PNR данни подлежат на предварителна оценка от ЗДП(2), а впоследствие се съхраняват за евентуална последваща оценка от компетентните органи на съответната държава членка или тези на друга държава членка. Държавите членки могат да решат да прилагат Директивата и към вътрешни за ЕС полети(3).
Cour constitutionnelle (Конституционен съд, Белгия) е сезиран от Ligue des droits humains с жалба за отмяна на Закона от 25 декември 2016 г.(4), който транспонира в белгийското право както Директивата за PNR, така и Директивата за API(5). Според жалбоподателя този закон нарушава правото на зачитане на личния живот и на защита на личните данни. Той оспорва, от една страна, твърде широкия обхват на PNR данните и от друга страна, общия характер на събирането, предаването и обработването на тези данни. Законът нарушавал и свободното движение на хора, тъй като възобновявал непряко граничния контрол, разширявайки PNR системата върху вътрешните за ЕС полети и превозите, извършвани с други средства в Съюза.
В този контекст белгийският Cour constitutionnelle (Конституционен съд) отправя до Съда десет преюдициални въпроса, които се отнасят по-специално до валидността и тълкуването на Директивата за PNR и до прилагането на ОРЗД(6).
Тези въпроси са повод за Съда да разгледа отново обработването на PNR данните с оглед на основните права на зачитане на личния живот и на защита на личните данни(7), закрепени в Хартата на основните права на Европейския съюз(8). В своето решение, постановено от голям състав, Съдът потвърждава валидността на Директивата за PNR, тъй като тя може да се тълкува в съответствие с Хартата, и прави уточнения относно тълкуването на някои от разпоредбите ѝ(9).
Съображения на Съда
След като уточнява към кои от видовете обработване на лични данни, предвидени от национално законодателство като разглежданото в настоящия случай, с което се транспонират едновременно Директивата за API и Директивата за PNR, се прилагат общите правила на ОРЗД(10), Съдът проверява валидността на Директивата за PNR.
По валидността на Директивата за PNR
В своето решение Съдът постановява, че тъй като направеното от Съда тълкуване на разпоредбите на Директивата за PNR с оглед на основните права, гарантирани в членове 7, 8 и 21, и на член 52, параграф 1 от Хартата(11) осигурява съгласуваността на тази директива с тези членове, при разглеждането на поставените въпроси не се установяват обстоятелства, които могат да засегнат валидността на същата директива.
Най-напред Съдът припомня, че актовете на Съюза трябва, доколкото е възможно, да се тълкуват по начин, който не поставя под съмнение тяхната валидност, и в съответствие с цялото първично право, и в частност с разпоредбите на Хартата, поради което държавите членки трябва да не допускат да се основават на нейно тълкуване, което би влязло в конфликт с основните права, защитавани от правния ред на Съюза, или с останалите общи принципи, признати в този правен ред. Що се отнася до Директивата за PNR, Съдът уточнява, че редица съображения и разпоредби от нея изискват такова съответстващо тълкуване, като подчертава значението което законодателят на Съюза, позовавайки се на високото равнище на защита на данните, отдава на пълното зачитане на основните права, закрепени в Хартата.
Съдът констатира, че Директивата за PNR предвижда несъмнено сериозна намеса в правата, гарантирани в членове 7 и 8 от Хартата, тъй като по-специално има за цел да въведе режим на постоянен, систематичен и нецеленасочен контрол, включващ автоматизирана оценка на лични данни на всички лица, които използват услугите на въздушния транспорт. Той припомня, че възможността за държавите членки да обосноват такава намеса трябва да се прецени, като се измери нейната тежест и като се провери дали значението на преследваната цел от общ интерес е свързано с тази тежест.
Съдът заключава, че предаването, обработването и съхранението на PNR данни, предвидени в тази директива, могат да се считат за ограничени до строго необходимото за целите на борбата срещу терористичните престъпления и тежките престъпления, при условие че предвидените с посочената директива правомощия се тълкуват стриктно. В това отношение в постановеното днес решение се уточнява по-специално, че:
– Установената с Директивата за PNR система трябва да обхваща само ясно разпознаваема и определена в точките на приложение I към тази директива информация, пряко свързана с извършения полет и съответния пътник, което за някои точки в това приложение означава, че е обхваната само изрично посочената информация(12).
– Прилагането на установената с Директивата за PNR система трябва да се ограничава само до терористичните престъпления и тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците. Що се отнася до тежките престъпления, прилагането на системата не може да обхване престъпленията, които, макар да отговарят на предвидения с тази директива критерий относно степента на тежест и да са посочени в приложение II към нея, с оглед на особеностите на националната наказателна система спадат към обикновената престъпност.
– Евентуалното разширяване на прилагането на тази директива към всички или част от вътрешните за ЕС полети, което държава членка може да реши, като използва предвидената в Директивата възможност, трябва да е ограничено до строго необходимото. За тази цел то трябва да подлежи на ефективен контрол от юрисдикция или от независима административна структура, чието решение има обвързващо действие. В това отношение Съдът уточнява, че:
– Прилагането на тази директива за ограничен до строго необходимото период, който може да бъде удължен, към всички вътрешни за ЕС полети от или към посочената държава членка, не надхвърля границите на строго необходимото само в случаите, когато посочената държава членка констатира наличието на конкретни обстоятелства, които позволяват да се приеме, че тя е изправена пред терористична заплаха, която е действителна и настояща или предвидима(13).
– При липсата на такава терористична заплаха прилагането на посочената директива не може да обхване всички вътрешни за ЕС полети, а трябва да се ограничи до вътрешни за ЕС полети, които се отнасят по-специално до някои маршрути или схеми за пътуване или още до някои летища, за които според преценката на съответната държава членка са налице индиции, които могат да обосноват това прилагане. Строго необходимият характер на това прилагане към така избраните вътрешни за ЕС полети трябва да се преразглежда периодично в зависимост от развитието на обстоятелствата, обосновали подбора им.
– За целите на предварителната оценка, насочена към идентифициране на лицата, за които се налага допълнителна проверка преди тяхното пристигане или заминаване, която на първо място се извършва посредством автоматизирано обработване, ЗДП може, от една страна, да съпоставя данните само с базите данни относно лицата или предметите, които се издирват или за които е подаден сигнал(14). Тези бази данни трябва да са недискриминационни и да се използват от компетентните органи във връзка с борбата срещу терористичните престъпления и тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците. От друга страна, що се отнася до предварителната оценка съобразно предварително определени критерии ЗДП не следва да използва технологии за изкуствен интелект в рамките на системи за самообучение (machine learning), които могат да променят процеса на оценка без човешка намеса или контрол, и по-конкретно критериите за оценка, на които се основава резултатът от прилагането на този процес, както и претеглянето на тези критерии. Посочените критерии трябва да са определени така, че да са насочени конкретно към лица, по отношение на които може да съществува разумно подозрение за участие в терористични или тежки престъпления, и да отчитат както „уличаващите“ така и „оневиняващите“ факти, като същевременно не водят до пряка или непряка дискриминация(15).
– Като се има предвид степента грешка, присъща на автоматизираното обработване на PNR данни и значителният брой „фалшиви положителни“ резултати, получени вследствие на прилагането му през 2018 г. и 2019 г., годността на установената с Директивата за PNR система за постигане на преследваните цели зависи основно от правилното провеждане с неавтоматизирани средства на извършваната от ЗДП последваща проверка на получените от това обработване резултати. В това отношение държавите членки трябва да предвидят ясни и точни правила, които да насочват и регламентират анализа, извършван от служителите на ЗДП, отговорни за този индивидуален преглед, за да се осигури пълното зачитане на основните права, закрепени в членове 7, 8 и 21 от Хартата, и по-специално да се гарантира последователна административна практика в рамките на ЗДП, съобразена с принципа на недопускане на дискриминация. По-конкретно държавите членки трябва да гарантират, че ЗДП определя обективни критерии за преглед, позволяващи на служителите му да проверяват, от една страна, дали и доколко дадено съвпадение (hit) се отнася действително до лице, което може да е замесено в терористични престъпления или тежки престъпления, и от друга страна, недискриминационния характер на автоматизираното обработване. В този контекст Съдът подчертава още, че компетентните органи трябва да се уверят, че заинтересованото лице може да разбере как функционират предварително определените критерии за оценка и програмите, използващи тези критерии, така че да може да реши, разполагайки с цялата необходима информация, дали да упражни правото си на съдебна защита. По същия начин при упражняването на това на съдебна защита право съдът, натоварен с контрола за законосъобразност на приетото от компетентните органи решение, както и — с изключение на случаите на заплаха за националната сигурност — самото заинтересовано лице, трябва да могат да се запознаят както с всички съображения, така и с доказателствата, въз основа на които е прието това решение, включително с предварително определените критерии за оценка и с функционирането на програмите, използващи тези критерии.
– Последващото разкриване и оценка на PNR данните, т.е. след пристигането или отпътуването на съответното лице, могат да се извършват само въз основа на нови обстоятелства и обективни сведения, които или могат да обосноват разумно подозрение за участие на това лице в тежки престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците, или да позволят да се приеме, че в случая тези данни действително биха могли да подпомогнат борбата с терористични престъпления, които имат такава връзка. Разкриването на PNR данните за целите на такава последваща оценка трябва да се осъществява поначало, освен в надлежно обосновани неотложни случаи, след предварителен контрол, извършван или от юрисдикция, или от независим административен орган, след мотивирано искане от страна на компетентните органи, независимо от това дали искането е направено преди или след изтичането на шестмесечния срок от предаването на PNR данните на ЗДП(16).
По тълкуването на Директивата за PNR
След като констатира валидността на Директивата за PNR, Съдът прави някои допълнителни уточнения относно нейното тълкуване. Първо, Съдът отбелязва, че в Директивата изчерпателно се изброяват целите, преследвани с обработването на PNR данните. Следователно тази директива не допуска национално законодателство, което разрешава обработването на PNR данни за цели различни от борбата срещу терористичните престъпления и тежките престъпления. Поради това национално законодателство, което освен това допуска като цел на обработването на PNR данни да се извършва контрол на съответните дейности от разузнавателните служби и службите за сигурност, може да е в противоречие с изчерпателния характер това изброяване. По същия начин установената с Директивата за PNR система не може да бъде предвидена за целите на подобряването на граничния контрол и борбата срещу незаконната имиграция(17). От това следва също, че PNR данните не могат да бъдат съхранявани в единна база данни, с която може да се прави справка за постигането както на целите на Директивата за PNR, така и на други цели.
Второ, Съдът изяснява понятието за независим национален орган, компетентен да провери дали са изпълнени условията за разкриване на PNR данните за целите на тяхната последваща оценка и да одобри такова разкриване. По-конкретно органът, създаден като ЗДП, не може да бъде квалифициран като такъв, тъй като няма качеството на трето лице по отношение на органа, който иска достъп до данните. Всъщност, тъй като неговите служители могат да бъдат командировани от органите, които са оправомощени да искат такъв достъп, ЗДП изглежда по необходимост свързано с тези органи. Следователно Директивата за PNR не допуска национално законодателство, съгласно което органът, създаден като ЗДП, има същевременно качеството на компетентен национален орган, оправомощен да одобрява разкриването на PNR данни в рамките на шест месеца след предаването на тези данни на ЗДП.
Трето, що се отнася до срока на съхранение на PNR данните, Съдът постановява, че член 12 от Директивата за PNR във връзка с членове 7 и 8, и член 52, параграф 1 от Хартата не допуска национално законодателство, което предвижда общ срок от пет години за съхраняване на тези данни, приложим без разграничение към всички пътуващи със самолет пътници.
Всъщност според Съда след изтичането на първоначалния срок от шест месеца съхранението на PNR данните не изглежда ограничено до строго необходимото, що се отнася до пътниците във въздушния транспорт, за които нито предварителната оценка, нито евентуалните проверки, извършени в рамките на първоначалния шестмесечен срок на съхранение, нито някое друго обстоятелство е разкрило наличието на обективни сведения — като фактът, че обработването на PNR данните на съответните пътници е довело до съвпадение, проверено в рамките на предварителната оценка — от които да може да се установи опасност в областта на терористичните престъпления или тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците. За разлика на това Съдът счита, че съхранението през първоначалния срок от шест месеца на PNR данните на всички пътници във въздушния транспорт, обхванати от установената с тази директива система, по принцип не надхвърля границите на строго необходимото.
Четвърто, Съдът предоставя указания относно евентуалното прилагане на Директивата за PNR за целите на борбата срещу терористичните престъпления и тежките престъпления към други транспортни средства, превозващи пътници в Съюза. Директивата обаче, тълкувана с оглед на член 3, параграф 2 ДЕС, член 67, параграф 2 ДФЕС и член 45 от Хартата, не допуска система за предаване и обработване на PNR данни за превозите, извършвани с други средства в Съюза, при липсата на действителна и настояща или предвидима терористична заплаха, пред която е изправена съответната държава членка. При това положение, както за вътрешните за ЕС полети, прилагането на установената с Директивата за PNR система трябва да бъде ограничено до PNR данните за превозите, които се отнасят по-специално до някои маршрути или схеми за пътуване или още до някои гари или морски пристанища, за които са налице индиции, които могат да обосноват това прилагане. Съответната държава членка трябва да подбере превозите, за които са налице такива индиции, и да преразглежда периодично това прилагане в зависимост от развитието на обстоятелствата, обосновали подбора им.