РЕШЕНИЕ НА СЪДА (голям състав)

21 юни 2022 година(*)

Съдържание

I. Правна уредба

А. Правото на Съюза

1. Директива 95/46/ЕО

2. Директивата за API

3. Директива 2010/65

4. ОРЗД

5. Директива 2016/680

6. Директивата за PNR

7. Рамково решение 2002/475

Б. Белгийското право

1. Конституцията

2. Законът от 25 декември 2016 г.

II. Спорът в главното производство и преюдициалните въпроси

III. По преюдициалните въпроси

А. По първия въпрос

Б. По втория, третия, четвъртия и шестия въпрос

1. По произтичащата от Директивата за PNR намеса в основните права, гарантирани в членове 7 и 8 от Хартата

2. По обосновката на намесата, произтичаща от Директивата за PNR

а) По спазването на принципа на законност и зачитането на основното съдържание на разглежданите основни права

б) По целта от общ интерес и годността на обработването на PNR данни с оглед на тази цел

в) По необходимостта от намесата, произтичаща от Директивата за PNR

1) По посочените в Директивата за PNR данни на пътниците във въздушния транспорт

2) Относно целите на различните видове обработване на PNR данни

3) Относно между PNR данните и целите на обработването на тези данни

4) Относно пътниците във въздушния транспорт и съответните полети

5) По предварителната оценка на PNR данните чрез автоматизирани средства

i) По съпоставянето на PNR данните с базите данни

ii) По обработването на PNR данните съобразно предварително определени критерии

iii) По гаранциите, свързани с автоматизираното обработване на PNR данни

6) По последващото предаване и последващата оценка на PNR данните

В. По петия въпрос

Г. По седмия въпрос

Д. По осмия въпрос

Е. По деветия въпрос, буква а)

Ж. По деветия въпрос, буква б)

З. По десетия въпрос

IV. По съдебните разноски

„Преюдициално запитване — Обработване на лични данни — Резервационни данни на пътниците (PNR) — Регламент (ЕС) 2016/679 — Член 2, параграф 2, буква г) — Приложно поле — Директива (ЕС) 2016/681 — Използване на PNR данни на пътниците на полети, извършвани между Европейския съюз и трети държави — Възможност за включване на данни на пътниците на полети, извършвани в Съюза — Автоматизирано обработване на тези данни — Срок на съхраняване — Борба срещу терористичните престъпления и тежките престъпления — Валидност — Харта на основните права на Европейския съюз — Членове 7, 8 и 21 и член 52, параграф 1 — Национално законодателство, което включва в обхвата на PNR системата други превози, извършвани в Съюза — Свобода на движение в Съюза — Харта на основните права — Член 45“

По дело C‑817/19

с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Cour constitutionnelle (Конституционен съд, Белгия) с акт от 17 октомври 2019 г., постъпил в Съда на 31 октомври 2019 г., в рамките на производство по дело

Ligue des droits humains

срещу

Conseil des ministres,

СЪДЪТ (голям състав),

състоящ се от: K. Lenaerts, председател, Aл. Арабаджиев, S. Rodin, I. Jarukaitis и N. Jääskinen, председатели на състави, T. von Danwitz (докладчик), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra и L. S. Rossi, A. Kumin r N. Wahl, съдии,

генерален адвокат: G. Pitruzzella,

секретар: M. Krausenböck, администратор,

предвид изложеното в писмената фаза на производството и в съдебното заседание от 13 юли 2021 г.,

като има предвид становищата, представени:

–        за Ligue des droits humains, от C. Forget, адвокат,

–        за белгийското правителство, от P. Cottin, J.‑C. Halleux, C. Pochet и M. Van Regemorter в качеството на представители, подпомагани от  C. Caillet, advocaat, E. Jacubowitz, адвокат, както и от G. Ceuppens, V. Dethy и D. Vertongen,

–        за чешкото правителство, от T. Machovičová, O. Serdula, M. Smolek и J. Vláčil, в качеството на представители,

–        за датското правителство, от M. Jespersen, J. Nymann-Lindegren, V. Pasternak Jørgensen и M. Søndahl Wolff, в качеството на представители,

–        за германското правителство, от D. Klebs и J. Möller, в качеството на представители,

–        за естонското правителство, от N. Grünberg, в качеството на представител,

–        за Ирландия, от M. Browne, A. Joyce и J. Quaney, в качеството на представители, подпомагани от D. Fennelly, BL,

–        за испанското правителство, от L. Aguilera Ruiz, в качеството на представител,

–        за френското правителство, от D. Dubois, E. de Moustier и T. Stehelin, в качеството на представители,

–        за кипърското правителство, от E. Neofytou, в качеството на представител,

–        за латвийското правителство, от E. Bārdiņš, K. Pommere и V. Soņeca, в качеството на представители,

–        за нидерландското правителство, от M. K. Bulterman, A. Hanje, J. Langer и C. S. Schillemans, в качеството на представители,

–        за австрийското правителство, от G. Kunnert, A. Posch и J. Schmoll, в качеството на представители,

–        за полското правителство, от B. Majczyna, в качеството на представител,

–        за словашкото правителство, от B. Ricziová, в качеството на представител,

–        за финландското правителство, от A. Laine и H. Leppo, в качеството на представители,

–        за Европейски парламент, от O. Hrstková Šolcová и P. López-Carceller, в качеството на представители,

–        за Съвета на Европейския съюз, от J. Lotarski, N. Rouam, E. Sitbon и C. Zadra, в качеството на представители,

–        за Европейската комисия, от D. Nardi и M. Wasmeier, в качеството на представители,

–        за Европейския надзорен орган по защита на данните, от П. Ангелов, A. Buchta, F. Coudert и C.‑A. Marnier, в качеството на представители,

–        за Агенцията на Европейския съюз за основните права, от L. López, T. Molnar, M. Nespor и M. O’Flaherty, в качеството на представители,

след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 27 януари 2022 г.,

постанови настоящото

Решение

1        Преюдициалното запитване по същество се отнася до:

–        тълкуването на член 2, параграф 2, буква г) и член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“), на Директива 2004/82/ЕО на Съвета от 29 април 2004 година относно задължението на превозвачите да съобщават данни на пътниците (ОВ L 261, 2004 г., стр. 24; Специално издание на български език, 2007 г., глава 19, том 7, стр. 40, наричана по-нататък „Директивата за API“), както и на Директива 2010/65/ЕС на Европейския парламент и на Съвета от 20 октомври 2010 година относно формалностите за даване на сведения за кораби, пристигащи във и/или напускащи пристанищата на държавите членки, и за отмяна на Директива 2002/6/ЕО (ОВ L 283, 2010 г., стр. 1),

–        тълкуването и валидността — с оглед на членове 7 и 8 и член 52, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“) — на член 3, точка 4, членове 6 и 12 и приложение I към Директива (ЕС) 2016/681 на Европейския парламент и на Съвета от 27 април 2016 година относно използването на резервационни данни на пътниците (PNR) с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления (ОВ L 119, 2016 г., стр. 132, наричана по-нататък „Директивата за PNR“), както и до

–        тълкуването и валидността на Директивата за API с оглед на член 3, параграф 2 ДЕС и на член 45 от Хартата.

2        Запитването е отправено в рамките на спор между Ligue des droits humains и Conseil des ministres (Министерски съвет, Белгия) по повод на законосъобразността на Loi du 25 décembre 2016, relative au traitement des données des passagers (Закон от 25 декември 2016 г. за обработването на данните за пътниците).

I.      Правна уредба

А.      Правото на Съюза

1.      Директива 95/46/ЕО

3        Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10) е отменена с ОРЗД, считано от 25 май 2018 г. Член 3, параграф 2 от посочената директива предвижда:

„Настоящата директива не се прилага за обработването на лични данни:

–      при извършване на дейности, извън приложното поле на правото на Общността, например дейностите, предвидени в дял V и дял VI от Договора за Европейския съюз, и във всички случаи при дейности по обработването на данни, отнасящи се до обществената сигурност, отбраната, държавната сигурност (включително икономическото благосъстояние на държавата, когато процесът на обработка е свързани с държавната сигурност) и при дейности на държавата в областта на наказателното право,

–      когато се извършва от физическо лице в хода на предимно лични или домашни занимания“.

2.      Директивата за API

4        Съображения 1, 7, 9 и 12 от Директивата за API предвиждат:

„(1)      За да се борят ефективно с незаконната имиграция и да подобрят контрола по границите, всички държави членки трябва да приемат разпоредби, които определят задълженията на въздушните превозвачи, които превозват пътници към територията на държавите членки. За тази цел е необходимо също да се хармонизират финансовите санкции за нарушение на тези задължения, като се отчетат разликите в съдебните системи и практики на държавите членки.

[…]

(7)      Задълженията за превозвачите по силата на настоящата директива допълват посочените в разпоредбите на член 26 от Конвенцията за прилагане на Споразумението от Шенген от 14 юни 1985 г., подписана през 1990 г., допълнени с Директива 2001/51/ЕО на Съвета [от 28 юни 2001 година за допълнение на разпоредбите на член 26 от Конвенцията за прилагане на Споразумението от Шенген от 14 юни 1985 (ОВ L 187, 2001 г., стр. 45; Специално издание на български език, 2007 г., глава 19, том 3, стр. 177)], тъй като тези два вида задължения спомагат за осъществяването на една и съща цел, а именно овладяване на миграционните потоци и борба с нелегалната имиграция.

[…]

(9)      За ефективна борба с незаконната миграция е важно да се отчитат навреме всички технологически новости, без да се засягат разпоредбите на Директива [95/46], по-специално въвеждане на биометрични характеристики в информацията, която превозвачите трябва да съобщават.

[…]

(12)      При обработка на личните данни органите на държавите членки прилагат Директива [95/46]. Следователно ако данните се обработват за целите на граничния контрол, би било законно те да бъдат използвани и като доказателство в процедурите за защита на обществения ред и националната сигурност и използването им за други цели противоречи на принципа, посочен в член 6, параграф 1, буква б) от Директива [95/46]. Държавите членки трябва да предвидят санкции за използването на тези данни за цели, несъвместими с целите, посочени в настоящата директива“.

5        Член 1 от Директивата за API е озаглавен „Цели“ и предвижда:

„Настоящата директива има за цел да подобри граничния контрол и да се бори срещу незаконната имиграция, като за целта превозвачите предварително предават на компетентните национални органи данните за пътниците“.

6        Член 2 от тази директива е озаглавен „Определения“ и гласи:

„За целите на настоящата директива:

а)      „превозвач“ е всяко физическо или юридическо лице, което извършва професионални превози на пътници по въздушен път;

б)      „външни граници“ са външните граници на държавите членки с трети държави;

в)      „граничен контрол“ е контролът, който се извършва на границата само когато има наличие на намерение за преминаване на тази граница;

г)      „гранично-пропускателен пункт“ е всеки разрешен пункт, който е определен от компетентните органи за преминаване на външните граници;

д)      „лични данни“, „обработка на лични данни“ и „архив с лични данни“ се разбират така, както тези термини са определени в член 2 от Директива [95/46]“.

7        Член 3 от посочената директива е озаглавен „Предаване на данни“ и параграфи 1 и 2 от него предвиждат:

„1.      Държавите членки ще предприемат необходимото, за да задължат превозвачите да предават при поискване на органите, извършващи контрола на лицата по външните граници, преди края на регистрацията данните за пътниците, които предстои да превозят към граничния пункт, през който тези лица ще влязат на територията на дадена държава членка.

2.      Тези сведения съдържат:

–        номер и вид на пътния документ;

–        националност;

–        пълното име;

–        дата на раждане;

–        граничен пункт, през който се влиза на територията на държавата членка;

–        транспортен код;

–        час на тръгване и на пристигане;

–        общ брой превозвани пътници;

–        начална точка на излизане“.

8        Член 6 от Директивата за API е озаглавен „Обработка на данните“ и гласи:

„1.      Данните за лицата, посочени в член 3, параграф 1, се предават на органите, извършващи проверките на лицата по външните граници, през които пътникът ще влезе на територията на дадена държава членка, с цел да се улесни извършването на проверките и да се води по-ефикасно борбата с незаконната имиграция.

Държавите членки гарантират, че тези данни ще бъдат събрани от превозвачите и предадени по електронен път или, ако това е невъзможно, по друг подходящ начин, на контролните органи на граничните пунктове, през които пътникът влиза на територията на дадена държава членка. Органите, извършващи проверките на лицата по външните граници, съхраняват тези данни във временен архив.

След като пътниците влязат, посочените органи заличават данните до двадесет и четири часа след предаването им, освен ако няма да са необходими впоследствие на органите, извършващи контрола на лицата по външните граници, за упражняването на техните правомощия съгласно националното законодателство и като се съобразяват с разпоредбите за защита на личните данни съобразно Директива [95/46].

Държавите членки предприемат необходимото да задължат превозвачите да заличат до двадесет и четири часа след пристигането на транспортното средство, посочено в член 3, параграф 1, личните данни, които са събрали и предали на контролните гранични органи за целите на настоящата директива.

Съгласно вътрешното си законодателство и като се съобразяват с разпоредбите за защита на личните данни от Директива [95/46], държавите членки могат също така да използват личните данни, посочени в член 3, параграф 1, за нуждите на органите на реда.

2.      Държавите членки предприемат необходимото да задължат превозвачите да информират пътниците съгласно разпоредбите на Директива [95/46]. Това задължение се отнася също за информацията по член 10, буква в) и член 11, параграф 1, буква в) от Директива 95/46/ЕО“.

3.      Директива 2010/65

9        Директива 2010/65 е отменена по силата на член 25 от Регламент (ЕС) 2019/1239 на Европейския парламент и на Съвета от 20 юни 2019 година за създаване на единна европейска среда за морско информационно обслужване и за отмяна на Директива 2010/65/ЕС (ОВ L 198, 2019 г., стр. 64), считано от 15 август 2025 г.

10      Съображение 2 от посочената директива гласи:

„За улесняването на морския транспорт и намаляването на административната тежест за корабните дружества е необходимо възможно най-голямо опростяване и хармонизация на формалностите за даване на сведения, предвидени в правни актове на Съюза и на държавите членки. […]“.

11      Член 1 от посочената директива е озаглавен „Предмет и приложно поле“ и параграфи 1 и 2 от него предвиждат:

„1.      Настоящата директива има за цел да опрости и хармонизира административните процедури, прилагани в морския транспорт, посредством стандартизиране на електронното предаване на данни и рационализиране на формалностите за даване на сведения.

2.      Настоящата директива се прилага за формалностите за даване на сведения, приложими в морския транспорт по отношение на кораби, пристигащи във и/или напускащи пристанищата на държавите членки“.

12      Текстът на член 8 от същата директива, озаглавен „Поверителност“, е следният:

„1.      Съгласно приложимите правни актове на Съюза или в съответствие с националното законодателство държавите членки предприемат необходимите мерки за гарантиране поверителността на търговската и друга поверителна информация, която се обменя в съответствие с настоящата директива.

2.      Държавите членки обръщат специално внимание на защитата на търговските данни, събирани съгласно настоящата директива. По отношение на личните данни, държавите членки гарантират спазването на Директива [95/46]. Институциите и органите на [Европейския съюз] гарантират спазването на Регламент (ЕО) № 45/2001 [на Европейския парламент и на Съвета от 18 декември 2000 г. за защита на физическите лица по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (ОВ L 8, 2001 г., стр. 1; Специално издание на български език, 2007 г., глава 13, том 30, стр. 142)]“.

4.      ОРЗД

13      Съображение 19 от ОРЗД гласи:

„Защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, както и свободното движение на такива данни, са предмет на специален правен инструмент на Съюза. Следователно настоящият регламент не следва да се прилага за дейности по обработване на лични данни за такива цели. Обработването на лични данни от страна на публичните органи по силата на настоящия регламент, когато е за тези цели, обаче следва да бъде уредено с по-специфичен правен акт на Съюза, а именно с Директива (ЕС) 2016/680 на Европейския парламент и на Съвета [от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 2016 г., стр. 89)]. Държавите членки могат да възлагат на компетентните органи по смисъла на [Директива 2016/680] други задачи, чието изпълнение не е свързано задължително с целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от заплахи за обществената сигурност и предотвратяването им, така че обработването на лични данни за тези цели, доколкото то е в обхвата на правото на Съюза, попада в приложното поле на настоящия регламент.

[…]“.

14      Член 2 от този регламент е озаглавен „Материален обхват“ и параграфи 1 и 2 от него гласят:

„1.      Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2.      Настоящият регламент не се прилага за обработването на лични данни:

а)      в хода на дейности, които са извън приложното поле на правото на Съюза;

б)      от държавите членки, когато извършват дейности, които попадат в приложното поле на дял V, глава 2 от ДЕС;

[…]

г)      от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност“.

15      Член 4 от посочения регламент е озаглавен „Определения“ и предвижда:

„За целите на настоящия регламент:

1)      „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано […];

2)      „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

[…]“.

16      Член 23 от RGPD е озаглавен „Ограничения“ и гласи:

„1.      В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:

а)      националната сигурност;

б)      отбраната;

в)      обществената сигурност;

г)      предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност;

[…]

з)      функция по наблюдението, проверката или регламентирането, свързана, дори само понякога, с упражняването на официални правомощия в случаите, посочени в букви а)—д) и ж);

2.      По-специално, всяка законодателна мярка, посочена в параграф 1, съдържа специални разпоредби най-малко, където е целесъобразно, по отношение на:

а)      целите на обработването или категориите обработване;

б)      категориите лични данни;

в)      обхвата на въведените ограничения;

г)      гаранциите за предотвратяване на злоупотреби или незаконен достъп или предаване;

д)      спецификацията на администратора или категориите администратори;

е)      периодите на съхранение и приложимите гаранции, като се вземат предвид естеството, обхватът и целите на обработването или категориите обработване;

ж)      рисковете за правата и свободите на субектите на данни; и

з)      правото на субектите на данни да бъдат информирани за ограничаването, освен ако това би било в разрез с целта на ограничаването“.

17      Член 94 от този регламент е озаглавен „Отмяна на Директива [95/46]“ и предвижда:

„1.      Директива [95/46] се отменя, считано от 25 май 2018 г.

2.      Позоваванията на отменената директива се тълкуват като позовавания на настоящия регламент. Позоваванията на Работната група за защита на лицата при обработването на лични данни, създадена по силата на член 29 от Директива [95/46], се тълкуват като позовавания на Европейския комитет по защита на личните данни, създаден с настоящия регламент“.

5.      Директива 2016/680

18      Съгласно член 59 от Директива 2016/680 тя отменя и заменя, считано от 6 май 2018 г., Рамково решение 2008/977/ПВР на Съвета от 27 ноември 2008 г. относно защитата на личните данни, обработвани в рамките на полицейското и съдебното сътрудничество по наказателноправни въпроси (ОВ L 350, 2008 г., стр. 60).

19      Съгласно съображения 9—11 от Директива 2016/680:

„(9)      Въз основа на това в [ОРЗД] се определят общи правила за защита на физическите лица във връзка с обработването на лични данни и за гарантиране на свободното движение на такива данни в Съюза.

(10)      В Декларация № 21 относно защитата на личните данни в областта на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество, приложена към заключителния акт на Междуправителствената конференция, която прие Договора от Лисабон, конференцията признава, че може да са необходими специални правила относно защитата на личните данни и свободното движение на лични данни в областите на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество въз основа на член 16 от ДФЕС, поради специфичното естество на тези области.

(11)      Поради това е уместно тези области да бъдат предмет на директива, която установява специални правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, като се отчита специфичният характер на тези дейности. Такива компетентни органи могат да включват не само публични органи, например съдебните органи, полицията и други правоприлагащи органи, но и всеки друг орган или образувание, който по силата на правото на държавите членки упражнява публична власт и публични правомощия за целите на настоящата директива. Когато обаче подобен орган или образувание обработва лични данни за цели, различни от целите на настоящата директива, се прилага [ОРЗД]. Поради това [ОРЗД] се прилага в случаите, в които даден орган или образувание събира лични данни за други цели и допълнително обработва тези лични данни, за да се съобрази с правно задължение, с което е обвързан. За целите на разследването, разкриването или наказателното преследване на престъпления например финансови институции задържат определени лични данни, обработвани от тях, и предоставят тези лични данни единствено на компетентните национални органи в специфични случаи и в съответствие с правото на държавите членки. Орган или образувание, който обработва лични данни от името на компетентните национални органи в рамките на обхвата на настоящата директива, следва да бъде обвързан от договор или друг правен акт и от разпоредбите, приложими към обработващите лични данни съгласно настоящата директива, докато [ОРЗД] продължава да се прилага по отношение на обработването на лични данни от обработващ лични данни извън обхвата на настоящата директива“.

20      Член 1 от тази директива, озаглавен „Предмет и цели“, по същество съответства на член 1 от Рамково решение 2008/977 и параграф 1 от него предвижда:

„С настоящата директива се установяват правилата във връзка със защитата на физическите лица по отношение на обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване“.

21      Член 3 от посочената директива е озаглавен „Определения“ и предвижда:

„За целите на настоящата директива:

[…]

7)      „компетентен орган“ означава:

а)      всеки публичен орган, който е компетентен за предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване; или

б)      всякакъв друг орган или образувание, който по силата на правото на държава членка разполага с публична власт и публични правомощия за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване;

[…]“.

6.      Директивата за PNR

22      Съображения 4—12, 15, 19, 20, 22, 25, 27, 28, 33, 36 и 37 от Директивата за PNR гласят:

„(4)      С [Директивата за API] се урежда предаването на предварителни данни на пътниците от страна на въздушните превозвачи на компетентните национални органи с цел подобряване на граничния контрол и борба с незаконната имиграция.

(5)      Целите на настоящата директива са, inter alia, да се гарантира сигурността, да се защитят животът и безопасността на лицата, както и да се създаде правна рамка за защита на резервационните данни на пътниците по отношение на тяхното обработване от страна на компетентните органи.

(6)      Ефективното използване на резервационните данни на пътниците, например чрез съпоставянето им с различни бази данни за издирвани лица и предмети, е необходимо за предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления и по този начин — за укрепване на вътрешната сигурност, за събирането на доказателства и, при необходимост, за откриването на съучастници на престъпници и разкриването на престъпни мрежи.

(7)      Оценяването на резервационните данни на пътниците позволява идентифицирането на лица, които не са били подозирани за участие в терористични престъпления или тежки престъпления преди тази оценка и които следва да бъдат подложени на допълнителна проверка от компетентните органи. Използването на резервационни данни на пътниците дава възможност заплахата от терористични престъпления и тежки престъпления да се разглежда от перспектива, различна от обработването на други категории лични данни. За да се гарантира обаче, че обработването на резервационните данни на пътниците остава ограничено до необходимото, създаването и прилагането на критерии за оценка следва да бъдат ограничени до терористични престъпления и тежки престъпления, при които използването на тези критерии има значение. Освен това критериите за оценка следва да се определят по такъв начин, че броят на погрешно идентифицираните от системата невинни лица да бъде възможно най-малък.

(8)      Въздушните превозвачи вече събират и обработват резервационни данни на пътниците на своите пътници за собствените си търговски цели. Настоящата директива не следва да налага на въздушните превозвачи никакво задължение да събират или запазват каквито и да е допълнителни данни на пътниците, нито задължение пътниците да предоставят каквито и да е данни в допълнение към тези, които вече предоставят на въздушните превозвачи.

(9)      Някои въздушни превозвачи съхраняват, като част от резервационните данни на пътниците, събраните от тях предварителни данни на пътниците, докато други не го правят. Използването на резервационни данни на пътниците наред с предварителни данни за пътниците помага допълнително на държавите членки при проверяването на самоличността на дадено лице, като по този начин се увеличава значението на резултата от проверката за предотвратяването, разкриването и разследването на престъпления и се свежда до минимум риска от извършване на проверки и разследвания на невинни лица. Следователно е важно да се гарантира, че когато въздушните превозвачи събират предварителни данни за пътниците, те ги предават, независимо дали съхраняват предварителните данни за пътниците с различни технически средства от използваните за други резервационни данни на пътниците.

(10)      За предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления е от съществено значение всички държави членки да въведат разпоредби, установяващи задължения за въздушните превозвачи, които извършват външни за ЕС полети, да предават всички събирани от тях резервационни данни за пътниците, включително предварителни данни за пътниците. Държавите членки следва също така да имат възможността да разширят прилагането на това задължение и по отношение на превозвачи, които извършват вътрешни за ЕС полети. Тези разпоредби не следва да засягат [Директивата за API].

(11)      Обработването на лични данни следва да бъде пропорционално на конкретните цели, свързани със сигурността, към постигането на които е насочена настоящата директива.

(12)      Прилаганото в настоящата директива определение за терористични престъпления следва да бъде същото като в Рамково решение 2002/475/ПВР на Съвета [от 13 юни 2002 г. относно борбата срещу тероризма (ОВ L 164, 2002 г., стр. 3; Специално издание на български език, 2007 г., глава 19, том 3, стр. 252)]. Определението за тежки престъпления следва да обхваща категориите престъпления, изброени в приложение II към настоящата директива.

[…]

(15)      Следва да бъде изготвен списък с резервационните данни на пътниците, които трябва да получи [определено звено за данни за пътниците (ЗДП)] с цел съобразяване на законните изисквания на публичните органи за предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления, като по този начин се подобрява вътрешната сигурност в рамките на Съюза и се защитават основните права, по-специално неприкосновеността на личния живот и защитата на личните данни. За тази цел следва да се прилагат високи стандарти в съответствие с [Хартата], Конвенцията за защита на лицата при автоматизираното обработване на лични данни (наричана по-долу „Конвенция № 108“) и Европейската конвенция за защита на правата на човека и основните свободи[, подписана в Рим на 4 ноември 1950 г.] (ЕКПЧ). Този списък не следва да се основава на расата или етническия произход на лицето, на неговата религия или убеждения, политически или други възгледи, членство в профсъюзи, здравословно състояние, сексуален живот или сексуална ориентация. Резервационните данни на пътниците следва да съдържат единствено данни за резервациите на пътниците и маршрута на пътуванията им, които позволяват на компетентните органи да идентифицират пътуващи със самолет пътници, представляващи заплаха за вътрешната сигурност.

[…]

(19)      Всяка държава членка следва да бъде отговорна за оценката на потенциалните заплахи от терористични престъпления и тежки престъпления.

(20)      Като се отчита в пълна степен правото на защита на личните данни и правото на недискриминация, не следва да се взема решение, което създава неблагоприятни правни последици за дадено лице или го засяга в значителна степен, само въз основа на автоматизираното обработване на резервационни данни на пътниците. Освен това, в съответствие с членове 8 и 21 от Хартата подобно решение не следва да води до дискриминация, основана на какъвто и да е признак, като пол, раса, цвят на кожата, етнически или социален произход, генетични характеристики, език, религия или убеждения, политически или други мнения, принадлежност към национално малцинство, имотно състояние, рождение, увреждане, възраст или сексуална ориентация. Когато [Европейската комисия] извършва преглед на прилагането на настоящата директива, тя следва да вземе под внимание и тези принципи.

[…]

(22)      Като се отчитат изцяло принципите, очертани в най-новата практика на Съда на Европейския съюз, прилагането на настоящата директива следва да гарантира пълно зачитане на основните права, на правото на неприкосновеност на личния живот и на принципа на пропорционалност. Прилагането също така следва реално да съответства на целите за необходимост и пропорционалност, за да се постигнат общите интереси, отчетени от Съюза, и необходимостта от защита на правата и свободите на другите в борбата срещу терористичните престъпления и тежките престъпления. Прилагането на настоящата директива следва да бъде надлежно обосновано и следва да се въведат необходимите гаранции, за да се осигури законността на всяко съхраняване, анализ, предаване или използване на резервационни данни на пътниците.

[…]

(25)      Срокът, през който се съхраняват резервационните данни на пътниците, следва да бъде толкова дълъг, колкото е необходимо и пропорционално на целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления. Поради естеството на данните и тяхното използване е необходимо резервационните данни на пътниците да се съхраняват за срок, който е достатъчно дълъг за извършване на анализ и използване при разследвания. За да се избегне непропорционалното използване, след първоначалния срок на съхранение е необходимо данните да бъдат деперсонализирани чрез прикриването на елементи от тях. За да се осигури най-високо равнище на защита на данните, след изтичането на този първоначален срок достъпът до пълните резервационни данни на пътниците, които позволяват непосредственото идентифициране на субекта на данните, следва да бъде предоставян само при много строги и ограничени условия.

[…]

(27)      За обработването на резервационни данни на пътниците във всяка държава членка от ЗДП и от компетентните органи следва да се прилага стандарт за защита на личните данни съгласно националното право, който е в съответствие с Рамково решение [2008/977] и със специалните изисквания за защита на данните, предвидени в настоящата директива. Позоваванията на Рамково решение [2008/977] следва да се тълкуват като позовавания на действащото понастоящем законодателство, както и на законодателството, което ще го замени.

(28)      Като се има предвид правото на защита на личните данни, правата на субектите на данните във връзка с обработването на техните резервационни данни на пътници, като например правото на достъп, коригиране, заличаване и ограничаване, както и правото на обезщетение и съдебна защита, следва да бъдат в съответствие както с Рамково решение [2008/977], така и с високото равнище на защита, предвидено в Хартата и ЕКПЧ.

[…]

(33)      Настоящата директива не засяга възможността държавите членки да предвидят съгласно националното си право система за събиране и обработване на резервационни данни на пътниците от икономически оператори, които не са превозвачи, като например туристически агенции и туроператори, които предоставят свързани с пътувания услуги, включително резервации на полети, за които събират и обработват резервационни данни на пътниците, или от транспортни оператори, различни от описаните в настоящата директива, при условие че националното право е съобразено с правото на Съюза.

[…]

(36)      Настоящата директива съблюдава основните права и принципите на Хартата и по-специално правото на защита на личните данни, правото на неприкосновеност на личния живот и правото на недискриминация, защитени съгласно членове 8, 7 и 21 от нея, поради това тя следва да се прилага по съответния начин. Настоящата директива е съвместима с принципите за защита на данните и нейните разпоредби са в съответствие с Рамково решение [2008/977]. Освен това, за да е съобразена с принципа на пропорционалност, по конкретни въпроси настоящата директива съдържа по-строги правила за защита на данните от Рамково решение [2008/977].

(37)      Обхватът на настоящата директива е ограничен във възможно най-голяма степен, тъй като в нея се предвижда съхраняването на резервационни данни на пътниците в ЗДП за срок от не повече от пет години, след което данните следва да бъдат заличени; в нея се предвижда, че след изтичането на първоначален срок от шест месеца данните се деперсонализират чрез прикриване на елементи от тях, и се забранява събирането и използването на чувствителни данни. За да се осигури ефективност и високо равнище на защита на данните, от държавите членки се изисква да гарантират, че за консултациите и наблюдението във връзка с начина за обработване на резервационните данни на пътниците отговаря независим национален надзорен орган, и по-специално длъжностно лице по защита на данните. Всички действия по обработването на резервационни данни на пътниците следва да се записват или документират с цел проверка на тяхната законосъобразност, самонаблюдение и осигуряване на необходимата цялост на данните и сигурност на обработването. Държавите членки следва също така да гарантират, че пътниците са ясно и точно информирани за събирането на резервационни данни на пътниците и за своите права“.

23      Член 1 от Директивата за PNR е озаглавен „Предмет и обхват“ и гласи:

„1.      Настоящата директива предвижда:

а)      предаването от страна на въздушните превозвачи на резервационни данни на пътниците по външни за ЕС полети;

б)      обработването на данните по подточка а), включително тяхното събиране, използване и съхраняване от държави членки, както и обмена им между държави членки.

2.      Събраните в съответствие с настоящата директива резервационни данни на пътниците могат да се обработват единствено за целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления, както е предвидено в член 6, параграф 2, букви а), б) и в)“.

24      Член 2 от тази директива е озаглавен „Прилагане на настоящата директива по отношение на вътрешни за ЕС полети“ и гласи:

„1.      В случай че държава членка вземе решение да прилага настоящата директива към вътрешни за ЕС полети, тя уведомява писмено Комисията за това. Държава членка може да изпрати или да оттегли такова уведомление във всеки един момент. Комисията публикува уведомлението или информация за неговото оттегляне в Официален вестник на Европейския съюз.

2.      В случай че бъде изпратено уведомление по параграф 1, всички разпоредби на настоящата директива се прилагат по отношение на вътрешни за ЕС полети като към външни за ЕС полети и по отношение на резервационните данни на пътниците по вътрешни за ЕС полети като към резервационни данни на пътниците по външни за ЕС полети.

3.      Дадена държава членка може да реши да прилага настоящата директива единствено спрямо избрани вътрешни за ЕС полети. При вземането на подобно решение държавата членка избира полетите, които счита за необходими с оглед преследването на целите на настоящата директива. Държавата членка може по всяко време да реши да промени избраните от нея вътрешни за ЕС полети“.

25      Член 3 от посочената директива е озаглавен „Определения“ и предвижда:

„За целите на настоящата директива се прилагат следните определения:

1)      „въздушен превозвач“ означава предприятие за въздушни превози с валиден оперативен лиценз или равностоен документ, който позволява извършването на превози на пътници по въздуха;

2)      „външен за ЕС полет“ означава всеки редовен или нередовен полет на въздушен превозвач, пътуващ от трета държава с предвидено кацане на територията на държава членка или пътуващ от територията на държава членка с предвидено кацане в трета държава, като и в двата случая се включват полети с евентуални междинни кацания на територията на държавите членки или трети държави;

3)      „вътрешен за ЕС полет“ означава всеки редовен или нередовен полет на въздушен превозвач, пътуващ от територията на държава членка с предвидено кацане на територията на една или повече от останалите държави членки без никакви междинни кацания на територията на трета държава;

4)      „пътник“ означава всяко лице, включително прехвърлящите се или транзитно преминаващите пътници, но с изключение на членовете на екипажа, което се превозва или ще бъде превозено с въздухоплавателно средство със съгласието на въздушния превозвач, като това съгласие се доказва с регистрирането на посоченото лице в списъка на пътниците;

5)      „резервационни данни на пътниците“ [или „PNR“] означава запис на изискванията за пътуването на всеки пътник, в който се съдържа цялата информация, необходима за обработване и контролиране на резервацията от въздушните превозвачи, извършващи резервацията, и от участващите въздушни превозвачи за всяко пътуване, резервирано от пътник или от негово име, без значение дали записът се съдържа в системи за резервации, системи за контрол на излитанията, използвани за регистрация на пътниците преди полета, или сходни системи със същите функционални възможности;

6)      „система за резервации“ означава вътрешната система на въздушния превозвач, в която се събират резервационни данни на пътниците за целите на обработването на резервациите;

7)      „метод „push“ означава метод, при който въздушните превозвачи предават резервационните данни на пътниците, изброени в приложение I, в базата данни на органа, който ги изисква;

8)      „терористични престъпления“ са престъпленията съгласно националното право, посочени в членове 1—4 от Рамково решение [2002/475];

9)      „тежки престъпления“ са престъпленията, изброени в приложение II, които са наказуеми с лишаване от свобода или с мярка за задържане за максимален срок от най-малко три години съгласно националното право на държава членка;

10)      „деперсонализиране чрез прикриване на елементи от данните“ означава прикриването от ползвателя на елементите от данните, които могат да послужат за непосредствено идентифициране на субекта на данните“.

26      Член 4 е озаглавен „Звено за данни за пътниците“ и параграфи 1—3 от него гласят:

„1.      Всяка държава членка създава или определя орган, компетентен за предотвратяването, разкриването, разследването или наказателното преследване на терористични престъпления и тежки престъпления, или подразделение на такъв орган, което да действа като „звено за данни за пътниците“ (ЗДП).

2.      ЗДП отговаря за:

а)      събирането на резервационни данни на пътниците от въздушните превозвачи, съхраняването и обработването на тези данни и предаването на тези данни или на резултатите от обработването им на компетентните органи, посочени в член 7;

б)      обмена както на резервационни данни на пътниците, така и на резултатите от обработването на тези данни със ЗДП на други държави членки и с Европол в съответствие с членове 9 и 10.

3.      Служителите на ЗДП могат да бъдат командировани от компетентните органи. Държавите членки осигуряват на ЗДП достатъчно ресурси, за да изпълняват задълженията си“.

27      Член 5 от тази директива е озаглавен „Длъжностно лице по защита на данните в рамките на ЗДП“ и гласи:

„1.      ЗДП назначава длъжностно лице по защита на данните, което отговаря за наблюдението на обработването на резервационни данни на пътниците и за прилагането на съответните гаранции.

2.      Държавите членки осигуряват на длъжностните лица по защита на данните средствата за ефективно и независимо изпълнение на техните задачи и задължения в съответствие с настоящия член.

3.      Държавите членки осигуряват на субекта на данните правото да се свързва с длъжностно лице по защита на данните, като единно звено за контакт, по всички въпроси, свързани с обработването на резервационните данни на пътниците на субекта на тези данни“.

28      Член 6 от посочената директива е озаглавен „Обработване на резервационни данни на пътниците“ и гласи:

„1.      Предоставяните от въздушните превозвачи резервационни данни на пътниците се събират от ЗДП на съответната държава членка, както е предвидено в член 8. В случай че резервационните данни на пътниците, предавани от въздушните превозвачи, включват други данни освен изброените в приложение I, ЗДП заличава тези данни окончателно и незабавно след получаването им.

2.      ЗДП обработва резервационни данни на пътниците единствено за следните цели:

а)      извършване на оценка на пътниците преди тяхното обявено време за пристигане в държава членка или за заминаване от нея с цел да се идентифицират лицата, за които се налага допълнителна проверка от компетентните органи, посочени в член 7, и когато е приложимо, от Европол, в съответствие с член 10, предвид факта, че тези лица може да са замесени в терористично престъпление или тежко престъпление;

б)      даване на отговор въз основа на оценка на всеки отделен случай по надлежно обосновано, основаващо се на достатъчно данни искане от страна на компетентните органи за предоставяне и за обработване и на резервационни данни на пътниците в конкретни случаи с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления, както и за предоставяне на компетентните органи, или, когато е целесъобразно, на Европол, на резултатите от обработването на тези данни; и

в)      анализиране на резервационни данни на пътниците с цел актуализиране или създаване на нови критерии, които да се използват в оценките, извършвани съгласно параграф 3, буква б), с цел идентифициране на всяко лице, което може да е замесено в терористично престъпление или тежко престъпление.

3.      При извършването на оценката, посочена в параграф 2, буква а), ЗДП може:

а)      да съпостави резервационни данни на пътниците с базите данни, които са от значение за целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления, включително базите данни относно лицата или предметите, които се издирват или за които е подаден сигнал, в съответствие с правилата на Съюза и международните и националните правила, приложими към тези бази данни; или

б)      да обработва резервационни данни на пътниците съобразно предварително определени критерии.

4.      Всяка оценка на пътниците преди тяхното обявено време за пристигане в държавата членка или за заминаване от нея, която се извършва съгласно параграф 3, буква б) съобразно предварително определените критерии, се извършва по недискриминационен начин. Посочените предварително определени критерии за оценка трябва да бъдат целенасочени, пропорционални и конкретни. Държавите членки гарантират, че тези критерии се определят и подлежат на редовен преглед от ЗДП в сътрудничество с компетентните органи, посочени в член 7. Критериите при никакви обстоятелства не са основани на расата или етническия произход на лицето, на неговите политически мнения, религия или философски убеждения, членство в профсъюзи, здравословно състояние, сексуален живот или сексуална ориентация.

5.      Държавите членки гарантират, че всяко съвпадение вследствие на автоматизирано обработване на резервационни данни на пътниците, извършено съгласно параграф 2, буква а), се преглежда поотделно по неавтоматизиран начин, за да се провери дали компетентният орган, посочен в член 7, трябва да предприеме действия съгласно националното право.

6.      ЗДП на държава членка предава резервационните данни на пътниците на идентифицираните в съответствие с параграф 2, буква а) лица или резултатите от обработването на тези данни за допълнителна проверка от страна на компетентните органи на същата държава членка, посочени в член 7. Такова предаване се извършва само въз основа на оценка на всеки отделен случай, а в случаите на автоматизирано обработване на резервационни данни на пътниците — след индивидуален преглед по неавтоматизиран начин.

7.      Държавите членки гарантират, че длъжностното лице по защита на данните разполага с достъп до всички данни, обработвани от ЗДП. Ако длъжностното лице по защита на данните сметне, че обработването на данни е било незаконосъобразно, то може да отнесе въпроса до националния надзорен орган.

[…]

9.      Последиците от оценките на пътниците съгласно параграф 2, буква а) от настоящия член не застрашават правото на влизане на лица, които се ползват от правото на Съюза на свободно движение на територията на съответната държава членка, както е предвидено в Директива 2004/38/ЕО на Европейския парламент и на Съвета [от 29 април 2004 година относно правото на граждани на Съюза и на членове на техните семейства да се движат и да пребивават свободно на територията на държавите членки, за изменение на Регламент (ЕИО) № 1612/68 и отменяща директиви 64/221/ЕИО, 68/360/ЕИО, 72/194/ЕИО, 73/148/ЕИО, 75/34/ЕИО, 75/35/ЕИО, 90/364/ЕИО, 90/365/ЕИО и 93/96/ЕИО (ОВ L 158, 2004 г.,стр. 77; Специално издание на български език, 2007 г., глава 5, том 7, стр. 56)]. Освен това, когато оценките се извършват във връзка с вътрешни за ЕС полети между държави членки, към които се прилага Регламент (ЕО) № 562/2006 на Европейския парламент и на Съвета [от 15 март 2006 година за създаване на Кодекс на Общността за режима на движение на лица през границите (Кодекс на шенгенските граници) (OВ L 105, 2006 г., стр. 1; Специално издание на български език, 2007 г., глава 19, том 8, стр. 5)], последиците от тези оценки трябва да са съобразени с разпоредбите на същия регламент“.

29      Съгласно член 7 от Директивата за PNR, озаглавен „Компетентни органи“:

„1.      Всяка държава членка приема списък на компетентните органи, оправомощени да изискват или получават резервационни данни на пътниците или резултатите от обработването на тези данни от ЗДП, за да проверяват тази информация допълнително или да предприемат съответните действия с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления.

2.      Посочените в параграф 1 органи са органите, които са компетентни във връзка с предотвратяването, разкриването, разследването или наказателното преследване на терористични престъпления или тежки престъпления.

[…]

4.      Резервационните данни на пътниците и резултатите от обработването на данните, получени от ЗДП, могат да бъдат обработвани допълнително от компетентните органи на държавите членки единствено с конкретната цел за предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления.

5.      Параграф 4 не засяга правомощията на националните правоохранителни или съдебни органи в случаите, когато в хода на действия по правоприлагане вследствие на това обработване бъдат разкрити други престъпления или допълнителни данни за такива.

6.      Компетентните органи не вземат решения, които водят до неблагоприятни правни последици за дадено лице или сериозно го засягат, въз основа единствено на автоматизирано обработване на резервационни данни на пътниците. Тези решения не се вземат въз основа на расата или етническия произход на лицето, на неговите политически мнения, религия или философски убеждения, членство в профсъюзи, здравословно състояние, сексуален живот или сексуална ориентация“.

30      Член 8 от тази директива е озаглавен „Задължения на въздушните превозвачи във връзка с предаването на данни“ и параграфи 1—3 от него предвиждат:

„1.      Държавите членки приемат необходимите мерки, за да гарантират, че въздушните превозвачи предават чрез метода „push“ резервационните данни на пътниците, изброени в приложение I, доколкото те вече са събрали такива данни в хода на обичайната си работа, към базата данни на ЗДП на държавата членка, на чиято територия ще се приземи самолетът или от чиято територия ще излети. В случай на съвместно използване на кодове при полети от един или повече въздушни превозвачи, задължението за предаване на резервационните данни на пътниците за всички пътници от полета е на въздушния превозвач, който извършва полета. Когато външен за ЕС полет включва едно или повече междинни кацания на летища на държавите членки, въздушните превозвачи предават резервационните данни на пътниците за всички пътници на ЗДП на всички съответни държави членки. Това се прилага и за вътрешни за ЕС полети с едно или повече междинни кацания на летища на различни държави членки, но само по отношение на държавите членки, които събират резервационни данни на пътниците по вътрешни за ЕС полети.

2.      В случай че въздушните превозвачи разполагат с предварителни данни за пътниците, посочени в точка 18 от приложение I, но не съхраняват тези данни със същите технически средства като използваните за други резервационни данни на пътниците, държавите членки приемат необходимите мерки, за да гарантират, че въздушните превозвачи предават тези данни чрез метода „push“ на ЗДП на посочените в параграф 1 държави членки. При това предаване всички разпоредби на настоящата директива се прилагат по отношение на предварителните данни за пътниците.

3.      Въздушните превозвачи предават резервационните данни на пътниците по електронен път, като използват общите протоколи и поддържаните формати на данни, които се приемат в съответствие с процедурата по разглеждане, посочена в член 17, параграф 2, или — в случай на техническа неизправност — по всеки друг подходящ начин, чрез който се гарантира подходящо равнище на сигурност на данните:

а)      в срок от 24 до 48 часа преди обявеното време за излитане; и

б)      непосредствено преди полета, т.е. след като пътниците са се качили на самолета в подготовка за излитане и вече няма възможност за качване или слизане“.

31      Член 12 от посочената директива е озаглавен „Срок за съхраняване на данните и деперсонализация“ и гласи:

„1.      Държавите членки гарантират, че резервационните данни на пътниците, предоставени от въздушните превозвачи на ЗДП, се съхраняват в база данни към ЗДП за срок от пет години след тяхното предаване на ЗДП на държавата членка, на чиято територия полетът пристига или заминава.

2.      След изтичане на срок от шест месеца от момента на посоченото в параграф 1 предаване на резервационните данни на пътниците всички резервационни данни на пътниците се деперсонализират чрез прикриване на следните елементи от тях, които могат да послужат за непосредствено идентифициране на пътника, за когото се отнасят:

а)      име(на), включително имената на други пътници, съдържащи се в резервационните данни на пътниците, и броят на пътниците, пътуващи заедно, съдържащи се в резервационните данни на пътниците;

б)      адрес и информация за връзка;

в)      всякакви видове данни за плащането, включително адрес на фактуриране, доколкото съдържат информация, която може да послужи за непосредствено идентифициране на пътника, за когото се отнасят резервационните данни на пътниците, или на други лица;

г)      информация за редовни пътници;

д)      общи забележки, доколкото те съдържат информация, която може да послужи за непосредствено идентифициране на пътника, за когото се отнасят резервационните данни на пътниците; и

е)      всякакви предварителни данни за пътниците, които са били събрани.

3.      След изтичане на шестмесечния срок, посочен в параграф 2, разкриването на пълните резервационни данни на пътниците се разрешава единствено ако са налице:

а)      разумни основания да се счита, че това е необходимо за целите, посочени в член 6, параграф 2, буква б); и

б)      одобрение от:

i)      съдебен орган, или

ii)      друг национален орган, компетентен съгласно националното право да провери дали са изпълнени условията за разкриване на информация, при условие че длъжностното лице по защита на данните на ЗДП бъде информирано и извърши последваща проверка.

4.      Държавите членки гарантират, че резервационните данни на пътниците се заличават окончателно след изтичане на срока, посочен в параграф 1. Това задължение не засяга случаите, в които определени резервационни данни на пътниците са предадени на компетентен орган и се използват в рамките на конкретен случай за целите на предотвратяване, разкриване, разследване или наказателно преследване на терористични престъпления или тежки престъпления, като в такива случаи съхранението на такива данни от компетентния орган се урежда от националното право.

5.      Резултатите от обработването, посочено в член 6, параграф 2, буква а), се съхраняват от ЗДП само за времето, което е необходимо за информиране на компетентните органи и, в съответствие с член 9, параграф 1 — на ЗДП на другите държави членки за наличието на съвпадение. В случай че след индивидуален преглед по неавтоматизиран начин съгласно член 6, параграф 5 резултатите от автоматизирано обработване се окажат отрицателни, те все пак може да се съхраняват с цел да се избегнат бъдещи „фалшиви“ съвпадения, докато основните данни не бъдат заличени съгласно параграф 4 от настоящия член“.

32      Член 13 от Директивата за PNR е озаглавен „Защита на личните данни“ и параграфи 1—5 от него гласят:

„1.      Всяка държава членка предвижда, че по отношение на всички случаи на обработване на лични данни съгласно настоящата директива всеки пътник има същото право на защита на личните си данни, право на достъп, коригиране, заличаване и ограничаване, както и право на обезщетение и съдебна защита, като предвидените в правото на Съюза и в националното право и в изпълнение на членове 17, 18, 19 и 20 от Рамково решение [2008/977]. Следователно тези членове се прилагат.

2.      Всяка държава членка предвижда, че разпоредбите в националното право, приети в изпълнение на членове 21 и 22 от Рамково решение [2008/977] по отношение на поверителността на обработването и сигурността на данните, се прилагат и за цялото обработване на лични данни съгласно настоящата директива.

3.      Настоящата директива не засяга приложимостта на Директива [95/46] спрямо обработването на лични данни от въздушните превозвачи, по-специално задълженията на въздушните превозвачи да предприемат подходящи технически и организационни мерки за защита на сигурността и поверителността на личните данни.

4.      Държавите членки забраняват обработването на резервационни данни на пътниците, разкриващи расата или етническия произход на дадено лице, неговите политически мнения, религия или философски убеждения, членство в профсъюзи, здравословно състояние, сексуален живот или сексуална ориентация. В случай че ЗДП получи резервационни данни на пътниците, които разкриват такава информация, те се заличават незабавно.

5.      Държавите членки гарантират, че ЗДП поддържа документация, свързана с всички системи и процедури за обработване, за които носи отговорност. Документацията съдържа най-малко:

а)      името и данните за връзка на организацията и персонала в ЗДП, натоварени с обработването на резервационни данни на пътниците, и различните нива на разрешение за достъп;

б)      исканията, отправени от компетентните органи и ЗДП на други държави членки;

в)      всички искания за и предаването на резервационни данни на пътниците на трета държава.

При поискване ЗДП предоставя цялата налична документация на националния надзорен орган“.

33      Съгласно член 15 от тази директива, озаглавен „Национален надзорен орган“:

„1.      Всяка държава членка предвижда, че националният надзорен орган, посочен в член 25 от Рамково решение [2008/977], отговаря за даване на консултации и за наблюдение на прилагането на нейна територия на разпоредбите, приети от държавите членки съгласно настоящата директива. Прилага се член 25 от Рамково решение [2008/977].

2.      Тези национални надзорни органи извършват своята дейност по параграф 1 с цел защита на основните права във връзка с обработването на личните данни.

3.      Всеки национален надзорен орган:

а)      разглежда жалбите, подадени от субект на данни, проучва въпроса и информира субектите на данните за напредъка и резултатите от техните жалби в разумен срок;

б)      проверява законосъобразността на обработването на данни, води разследвания, провежда проверки и одити в съответствие с националното право, по своя инициатива или въз основа на жалба съгласно буква а).

4.      Всеки национален надзорен орган, при поискване, дава консултации на субектите на данни относно упражняването на правата, предвидени в разпоредби, приети съгласно настоящата директива“.

34      Член 19 от посочената директива е озаглавен „Преглед“ и предвижда:

„1.      Въз основа на информацията, предоставена от държавите членки, включително статистическите данни, посочени в член 20, параграф 2, Комисията извършва преглед на всички елементи от настоящата директива до 25 май 2020 г. и изпраща и представя доклад на Европейския парламент и на Съвета [на Европейския съюз].

2.      При извършването на прегледа Комисията отделя специално внимание на:

а)      спазването на приложимите стандарти за защита на личните данни;

б)      необходимостта и пропорционалността на събирането и обработването на резервационни данни на пътниците за всяка от установените в настоящата директива цели;

в)      продължителността на срока на съхранение на данните;

г)      ефективността на обмена на информация между държавите членки; и

д)      качеството на оценките, включително по отношение на събираната в съответствие с член 20 статистическа информация.

3.      Докладът, посочен в параграф 1, включва и преглед на необходимостта, пропорционалността и ефективността на включването в обхвата на настоящата директива на задължителното събиране и предаване на резервационни данни на пътниците по отношение на всички или на избрани вътрешни за ЕС полети. Комисията взема предвид натрупания от държавите членки опит, по-специално опита на онези държави членки, които прилагат настоящата директива по отношение на вътрешни за ЕС полети в съответствие с член 2. В доклада се разглежда и необходимостта от включването в обхвата на настоящата директива на икономически оператори, които не са превозвачи, като например туристически агенции или туроператори, които предоставят свързани с пътувания услуги, включително резервации на полети.

4.      Ако е целесъобразно предвид прегледа, извършен съгласно настоящия член, Комисията представя пред Европейския парламент и Съвета законодателно предложение за изменение на настоящата директива“.

35      Член 21 от същата директива е озаглавен „Връзка с други правни инструменти“ и параграф 2 от него гласи:

„Настоящата директива не засяга приложимостта на Директива [95/46] спрямо обработването на лични данни от въздушните превозвачи“.

36      В приложение I („Резервационни данни на пътниците, събирани от въздушните превозвачи“) към Директивата за PNR се посочват:

„1.      Код на записа с резервационни данни на пътниците

2.      Дата на резервация/издаване на билета

3.      Дата (дати) на планираното пътуване

4.      Име (имена)

5.      Адрес и информация за връзка (телефонен номер, адрес на електронна поща)

6.      Пълна информация за плащането, включително адрес на фактуриране

7.      Пълен маршрут на пътуването за конкретни резервационни данни на пътниците

8.      Информация за редовни пътници

9.      Пътническа агенция/пътнически агент

10.      Пътнически статус на пътника, включително потвърждения, регистрационен статус, информация за неявяване на пътник за полет или за пътник без резервация, купуващ си билет в последния момент

11.      Разделена информация във връзка с резервационни данни на пътниците

12.      Общи забележки (включително всяка налична информация за непридружавани непълнолетни лица под 18 години, като име и пол на лицето, възраст, говорим език (говорими езици), име и данни за връзка с настойника при заминаване и връзката му с непълнолетното лице, име и данни за връзка с настойника при пристигане и връзката му с непълнолетното лице, агент при заминаване и пристигане)

13.      Информация от полето за издаване на билета, включително номер на билета, дата на издаване и еднопосочни билети и информация от полето Automated Ticket Fare Quote (цена на билета)

14.      Номер на мястото и друга информация за мястото

15.      Информация за споделянето на кодовете

16.      Пълна информация за багажа

17.      Брой и други имена на пътници в резервационните данни на пътниците

18.      Всички събрани предварителни данни за пътниците (включително вид, номер, държава на издаване и срок на валидност на всеки документ за самоличност, гражданство, фамилно име, собствено име, пол, дата на раждане, въздушен превозвач, номер на полета, дата на излитане, дата на кацане, място на излитане, място на кацане, време на излитане и време на кацане)

19.      Всички настъпили във времето промени в записа с PNR данни, посочени в точки от 1 до 18“.

37      Приложение II („Списък на престъпленията, посочени в член 3, точка 9“) към тази директива гласи:

„1.      Участие в престъпна организация,

2.      трафик на хора,

3.      сексуална експлоатация на деца и детска порнография,

4.      незаконен трафик на упойващи и психотропни вещества,

5.      незаконен трафик на оръжия, боеприпаси и експлозиви,

6.      корупция,

7.      измами, включително такива, насочени срещу финансовите интереси на Съюза,

8.      изпиране на приходи от престъпна дейност и подправяне на парични знаци, включително евро,

9.      престъпления, свързани с компютри/киберпрестъпления,

10.      престъпления срещу околната среда, включително незаконен трафик на застрашени животински видове и на застрашени растителни видове и разновидности,

11.      помощ за незаконно влизане и пребиваване,

12.      убийство, тежка телесна повреда,

13.      незаконна търговия с човешки органи и тъкани,

14.      отвличане, противозаконно лишаване от свобода и вземане на заложници,

15.      организиран и въоръжен грабеж,

16.      незаконен трафик на предмети на културата, включително антични предмети и произведения на изкуството,

17.      подправяне и пиратство на изделия,

18.      подправяне на административни документи и търговия с тях,

19.      незаконен трафик на хормонални вещества и други стимулатори на растежа,

20.      незаконен трафик на ядрени или радиоактивни материали,

21.      изнасилване,

22.      престъпления от компетентността на Международния наказателен съд,

23.      незаконно отвличане на въздухоплавателни средства/плавателни съдове,

24.      саботаж,

25.      трафик на откраднати превозни средства,

26.      промишлен шпионаж“.

7.      Рамково решение 2002/475

38      В член 1 от Рамково решение 2002/475 се определя понятието „терористично престъпление“, като се изброяват поредица умишлени деяния, посочени в точки а)—и) от същия член, които са извършени с намерение „силно да се сплаши населението“, „да се принуди правителство или международна организация да извършат или да пропуснат да извършат определено действие“ или „сериозно да бъдат дестабилизирани или разрушени основните политически, конституционни, икономически или обществени структури на дадена страна или международна организация“. В членове 2 и 3 от това рамково решение се определят съответно понятията „престъпления, свързани с терористични групи“ и „престъпления, които са свързани с терористични дейности“. Член 4 от посоченото рамково решение урежда инкриминирането на престъпления като подбудителство, помагачество, съучастие и опит за извършване на престъпление.

39      Рамково решение 2002/475 е отменено с Директива (ЕС) 2017/541 на Европейския парламент и на Съвета от 15 март 2017 година относно борбата с тероризма и за замяна на Рамково решение 2002/475 на Съвета, и за изменение на Решение 2005/671/ПВР на Съвета (ОВ L 88, 2017 г., стр. 6), като членове 3—14 от нея съдържат подобни определения.

Б.      Белгийското право

1.      Конституцията

40      Член 22 от Конституцията гласи:

„Всеки има право на зачитане на неговия личен и семеен живот освен в случаите и при условията, предвидени в закона.

Законът, указът или правилото по член 134 гарантира това право“.

2.      Законът от 25 декември 2016 г.

41      Член 2 от Loi du 25 décembre 2016, relative au traitement des données des passagers (Закон от 25 декември 2016 г. за обработването на данните за пътниците) (Moniteur belge от 25 януари 2017 г., стр. 12905, наричан по-нататък „Законът от 25 декември 2016 г.“) гласи:

„Настоящият закон и кралските укази, които ще бъдат приети за изпълнението му, транспонират [Директивата за API] и [Директивата за PNR]. Настоящия закон и кралският указ относно морския сектор транспонират частично Директива [2010/65]“.

42      Член 3 от този закон предвижда:

„§ 1.      Настоящият закон определя задълженията на превозвачите и туроператорите относно предаването на резервационни данни на пътници към, от и преминаващи през територията на страната.

§ 2.      С указ, обсъден в Министерския съвет, Кралят определя, за отделните транспортни сектори и туроператорите, данните за пътниците, които следва да се предават и условията и реда за предаването им след становище на Commission de la protection de la vie privée (Комисия за защита на личния живот)“.

43      Член 4 от посочения закон предвижда:

„За прилагането на настоящия закон и указите за неговото изпълнение:

[…]

8°      „компетентни служби“ означава службите, посочени в член 14, параграфи 1 и 2;

9°      „PNR“ означава запис на изискванията за пътуването на всеки пътник, в който се съдържа цялата информация по член 9, необходима за обработване и контролиране на резервацията от въздушните превозвачи, извършващи резервацията, и от участващите въздушни превозвачи за всяко пътуване, резервирано от пътник или от негово име, без значение дали записът се съдържа в системи за резервации, системи за контрол на излитанията, използвани за регистрация на пътниците преди полета, или сходни системи със същите функционални възможности;

10°      „пътник“ означава всяко лице, включително прехвърлящите се или транзитно преминаващите пътници, но с изключение на членовете на екипажа, което се превозва или ще бъде превозено с от въздушния превозвач с негово съгласие, като това съгласие се доказва с регистрирането на посоченото лице в списъка на пътниците;

[…]“.

44      Член 8 от Закона от 25 декември 2016 г. гласи:

„§ 1.      Данните за пътниците се обработват за целите на:

1°      разследване и преследване, включително изпълнение на наказания или ограничаващи свободата мерки, свързани с престъпленията, посочени в член 90 ter, параграф 2, точки […] 7°, […] 8°, […] 11°, […] 14°, […] 17°, 18°, 19° и параграф 3 от Code d’instruction criminelle (Наказателно-процесуален кодекс);

2°      разследване и преследване, включително изпълнение на наказания или ограничаващи свободата мерки, свързани с престъпленията, посочени в член 196, що се отнася до престъпленията, свързани със съставянето на подправени официални документи, и в членове 198, 199, 199bis, 207, 213, 375 и 505 от Code pénal (Наказателен кодекс);

[…]

4°      контрол на дейностите, предвидени в член 7, точки 1° и 3°/1 и член 11, параграф 1, точки 1—3° и 5° от Loi du 30 novembre 1998 organique des services de renseignement et de sécurité (Закон от 30 ноември 1998 г. за устройството на разузнавателните служби и службите за сигурност);

5°      разследване и преследване на престъпленията, посочени в член 220, параграф 2 от Loi générale sur les douanes et accises (Общ закон за митата и акцизите) от 18 юли 1977 г. и член 45, алинея 3 от Loi du 22 décembre 2009 relative au régime général d’accise (Закон от 22 декември 2009 г. относно общия режим на облагане с акциз) […]

§ 2.      При условията, предвидени в глава 11, данните за пътниците се обработват и с цел подобряване на контрола на лицата по външните граници, както и с цел борба с незаконната имиграция“.

45      Съгласно член 14, параграф 1 от този закон:

„ЗДП се състои от:

[…]

2°      командировани членове от следните компетентни служби:

а)      полицейските служби, посочени в Loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux (Закон от 7 декември 1998 г. за организацията на интегрирана полицейска служба, структурирана на две нива);

б)      службата за национална сигурност, посочена в Закона от 30 ноември 1998 г. за устройството на разузнавателните служби и службите за сигурност;

б)      главната служба за разузнаване и сигурност, посочена в Закона от 30 ноември 1998 г. за устройството на разузнавателните служби и службите за сигурност;

[…]“.

46      Текстът на член 24, който се съдържа в раздел 1 („Обработването на данните за пътници в рамките на предварителната оценка на пътниците“) от глава 10 от същия закон, отнасяща се до обработването на данни, е следният:

§ 1.      Данните за пътниците се обработват с цел извършване на предварителна оценка на пътниците преди пристигането, отпътуването или транзита им на територията на страната, за да се определи спрямо кои лица трябва да се прилага допълнителна проверка.

§ 2.      В рамките на целите, предвидени в член 8, параграф l, точки 1°, 4° и 5°, или във връзка със заплахите, посочени в член 8, точка 1°, букви a), b), c), d), f), g) и в член 11, параграф 2 от Закона от 30 ноември 1998 г. за устройството на разузнавателните служби и службите за сигурност, предварителната оценка на пътниците се основава на съвпадение, произтичащо от взаимозависимостта между данните на пътниците и:

1°      управляваните от компетентните служби бази данни, които са на тяхно пряко разположение или до които те имат пряк достъп при изпълнението на техните функции, или списъците на лица, изготвени от компетентните служби при изпълнението на техните функции.

2°      предварително определените от ЗДП критерии по член 25.

§ 3.      В рамките на целите, предвидени в член 8, параграф 1, точка 3, предварителната оценка на пътниците се основава на съвпадение, произтичащо от взаимозависимостта между данните за пътниците и базите данни, посочени в параграф 2, точка 1.

§ 4.      ЗДП потвърждава съвпадението в рамките на двадесет и четири часа след получаването на автоматизираното уведомление за съвпадението.

§ 5.      От момента на това потвърждение компетентната служба, с която е свързано това съвпадение, предприема възможно най-бързо по-нататъшни действия“.

47      Глава 11 от Закона от 25 декември 2016 г. е озаглавена „Обработването на данните за пътниците с цел подобряване на граничния контрол и борба с незаконната имиграция“ и съдържа членове 28—31.

48      Член 28 от този закон предвижда:

§ 1.      Настоящата глава се прилага за обработването на данни за пътниците от полицейските служби, които отговарят за граничния контрол, и от Office des étrangers (Служба за чужденците) с оглед на подобряването на контрола на лицата по външните граници и с цел борба с незаконната имиграция.

§ 2.      Тя се прилага, без да се засягат задълженията на полицейските служби, които отговарят за граничния контрол, и на Службата за чужденците да предават лични данни или информация в съответствие със законовите или подзаконови разпоредби“.

49      Съгласно член 29 от посочения закон:

§ 1.      За целите по член 28, параграф 1 данните на пътниците се предават на полицейските служби, които отговарят за граничния контрол, и на Службата за чужденците, за да им се даде възможност да изпълняват законоустановените си задачи в предвидените в настоящия член граници.

§ 2.      Предават се само данните за пътниците, посочени в член 9, параграф 1, точка 18°, които се отнасят до следните категории пътници:

1°      пътници, които възнамеряват да влязат или влизат на територията през външните граници на Белгия;

2°      пътници, които възнамеряват да напуснат или напускат територията през външните граници на Белгия;

3°      пътници, които възнамеряват да преминат или преминават, или са преминали през международна зона за транзитно преминаване в Белгия.

§ 3.      Данните за пътниците, посочени в параграф 2, се предават на полицейските служби, които отговарят за контрола на външните граници на Белгия незабавно след регистрацията им в базата данни за пътниците. Те съхраняват тези данни във временен файл и ги унищожават в срок от двадесет и четири часа след предаването им.

§ 4.      Когато са ѝ необходими за изпълнението на законоустановените ѝ задачи, данните за пътниците, предвидени в параграф 2, се предават на Службата за чужденците незабавно след регистрацията им в базата данни за пътниците. Службата съхранява тези данни във временен файл и ги унищожава в срок от двадесет и четири часа след предаването им.

Ако при изтичането на този срок достъпът до данните за пътниците по параграф 2 е необходим при упражняване на законоустановените ѝ задачи, Службата за чужденците изпраща надлежно мотивирано искане до ЗДП.

[…]“.

50      Законът от 25 декември 2016 г. става приложим към авиокомпаниите, превозвачите, предлагащи международна услуга за превоз на пътници (превозвачи HST), и туристическите посредници, които имат договор с тези превозвачи (дистрибутори на билети HST), както и към автобусните превозвачи въз основа съответно на Arrêté royal du 18 juillet 2017 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les compagnies aériennes (Кралски указ от 18 юли 2017 г. за прилагане на Закона от 25 декември 2016 г. и за задълженията на авиокомпаниите) (Moniteur belge от 28 юли 2017 г., стр. 75934), Arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs HST et distributeurs de tickets HST (Кралски указ от 3 февруари 2019 г. за прилагане на Закона от 25 декември 2016 г. и за задълженията на превозвачите HST и дистрибуторите на билети HST) (Moniteur belge от 12 февруари 2019 г., стр. 13018) и Arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs par bus (Кралски указ от 3 февруари 2019 г. за прилагане на Закона от 25 декември 2016 г. и за задълженията на автобусните превозвачи) (Moniteur belge от 12 февруари 2019 г., стр. 13023).

II.    Спорът в главното производство и преюдициалните въпроси

51      На 24 юли 2017 г. Ligue des droits humains подава жалба до Cour constitutionnelle (Конституционен съд, Белгия) за пълната или частична отмяна на Закона от 25 декември 2016 г.

52      Запитващата юрисдикция посочва, че този закон транспонира в националното право Директивата за API и Директивата за PNR, както и частично — Директива 2010/65. От подготвителните работи по посочения закон било видно, че целта му е „да се създаде правна рамка, с която да се наложи изискване за различни сектори на международни превози на пътници (въздушен, железопътен, международен автомобилен и морски) и на туроператорите да предават резервационни данни на пътниците в база данни, управлявана от [Service public fédéral intérieur (Федерална публична служба за вътрешните работи, Белгия)]“. Националният законодател уточнил и че целите на Закона от 25 декември 2016 г. спадат към три категории, а именно, първо, предотвратяване, разследване, разкриване и наказателно преследване на престъпления или изпълнение на наказания, второ, задачи на разузнавателните служби и службите за сигурност и трето, подобряване на контрола на лицата по външните граници и борба с незаконната имиграция.

53      В подкрепа на жалбата си Ligue des droits humains изтъква две основания: първото — нарушение на член 22 от Конституцията във връзка с член 23 от ОРЗД, членове 7 и 8 и член 52, параграф 1 от Хартата, както и член 8 от ЕКПЧ, и второто, посочено при условията на евентуалност — нарушение на същия член 22 във връзка с член 3, параграф 2 ДЕС и член 45 от Хартата.

54      С първото си основание Ligue des droits humains твърди по същество, че този закон предполага намеса в правата на зачитане на личния живот и на защита на личните данни, която не е в съответствие с член 52, параграф 1 от Хартата, и по-специално с принципа на пропорционалност. Всъщност обхватът на посочения закон и определението на събраните данни, които могат да разкрият чувствителна информация, били твърде широки. По същия начин понятието „пътник“ по смисъла на същия закон позволявало систематично, автоматично и нецеленасочено обработване на данни за всички пътници. Освен това естеството и условията на метода prescreening, както и базите данни, с които се съпоставят тези данни след предаването им, не били определени достатъчно ясно. Нещо повече, преследваните от Закона от 25 декември 2016 г. цели били различни от тези на Директивата за PNR. Накрая, предвиденият с този закон петгодишен срок за съхранение на посочените данни бил непропорционален.

55      С второто си основание, което се отнася до член 3, параграф 1, член 8, параграф 2 и членове 28—31 от Закона от 25 декември 2016 г., Ligue des droits humains твърди, че като включват вътрешните за ЕС превози в системата, предвидена в Директивата за PNR, тези разпоредби водят до непряко възстановяване на контрола по вътрешните граници, което противоречи на свободата на движение на хора. Всъщност веднага щом лице се озове на територията на Белгия, независимо дали при пристигане, отпътуване или междинно кацане, неговите данни автоматично били събирани.

56      Министерският съвет оспорва тези доводи. Той счита по-конкретно, че първото основание е недопустимо, тъй като се отнася до ОРЗД, който не се прилага към Закона от 25 декември 2016 г. Освен това обработването на данни, предвидено с този закон в съответствие с Директивата за PNR, представлявало основен инструмент, по-специално за борба с тероризма и тежките престъпления, а произтичащите от този закон мерки били пропорционални и необходими за постигането на преследваните цели.

57      Що се отнася до първото основание, запитващата юрисдикция иска най-напред да установи дали предвидената в ОРЗД защита се прилага към обработването на данни, въведено със Закона от 25 декември 2016 г., който има за цел главно да се приложи Директивата за PNR. По-нататък, като се позовава на съдебната практика, установена със Становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592), тази юрисдикция отбелязва, че определението на PNR данните, съдържащо се в член 3, точка 5 и в приложение I към тази директива, можело, от една страна, да не е достатъчно ясно и точно поради неизчерпателното описание на някои от тези данни, съдържащи се в посочените разпоредби, и от друга страна, да доведе непряко до разкриване на чувствителни данни. Освен това определението на понятието „пътник“, съдържащо се в член 3, точка 4 от посочената директива, можело да доведе до това събирането, предаването, обработването и съхраняването на PNR данни да представляват общи и недиференцирани задължения, които се прилагат за всяко лице, което се превозва или трябва да бъде превозено и е включено в списъка на пътниците, независимо от това дали са налице сериозни основания да се смята, че е извършило или възнамерява да извърши престъпление, или е признато за виновно за извършване на престъпление.

58      Посочената юрисдикция отбелязва още, че съгласно разпоредбите на Директивата за PNR към PNR данните систематично се прилага предварителна оценка, предполагаща съпоставяне с бази данни или предварително определени критерии, за да се установяват съответствия. В становището си от 19 август 2016 г. относно последиците в областта на защитата на данните при обработването на резервационните данни на пътниците [T-PD(2016)18rev] обаче Консултативният комитет по Конвенция № 108 на Съвета на Европа посочил, че обработването на лични данни се отнася до всички пътници, а не само до лицата, срещу които е насочено и за които има съмнения, че участват в извършването на престъпление или представляват непосредствена заплаха за националната сигурност или обществения ред, и че PNR данните могат не само да бъдат сравнявани (data matching) с бази данни, но и обработвани чрез извличане на данни (data mining) посредством критерии за подбор или прогнозни алгоритми, за да се идентифицира всеки, който би могъл да е замесен или да участва в престъпни дейности, като такава оценка на пътниците чрез съпоставяне на данни може да повдигне въпроси относно предвидимостта, по-специално когато се извършва въз основа на прогнозни алгоритми, използващи динамични критерии, които могат да се променят постоянно в зависимост от способността им за самообучение. В този контекст запитващата юрисдикция счита, че ако предварително установените критерии, които служат за определяне на рисковите профили, трябва да са конкретни, надеждни и недискриминационни в съответствие със становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592), то изглежда технически невъзможно да се определят допълнително такива критерии.

59      Колкото до петгодишния срок на съхранение и предвидения в член 12 от Директивата за PNR достъп до данните, тази юрисдикция отбелязва, че в становище № 01/2010 от 13 януари 2010 г. относно проектозакона за одобрение на Споразумение PNR ЕС—Съединени американски щати Commission de la protection de la vie privée (Комисия за защита на личния живот, Белгия), което е приела по свой собствен почин, е счела, че когато срокът за съхранение на данните е дълъг и когато данните се съхраняват в широк мащаб, рискът от профилиране на съответните лица нараства, също както рискът от използването на тези данни за цели, различни от първоначално предвидените. Освен това от становището от 19 август 2016 г. на Консултативният комитет по Конвенция № 108 Съвета на Европа било видно, че маскирани данни продължават да позволяват идентифицирането на лицата и поради това остават лични данни и съхраняването им трябва да се ограничи във времето, за да се предотврати всеобхватен постоянен контрол.

60      При това положение с оглед на съдебната практика, произтичаща от становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592), запитващата юрисдикция иска да установи дали може да се приеме, че въведената с Директивата за PNR система за събиране, предаване, обработване и съхранение на PNR данните остава в границите на строго необходимото. Тази юрисдикция счита, че следва да се определи и дали тази директива допуска национално законодателство, което разрешава обработването на PNR данните за цел, различна от предвидените в посочената директива и дали разкриването на всички тези данни след тяхната деперсонализация съгласно член 12 от същата директива може да бъде одобрено от национален орган като ЗДП, създаден със Закона от 25 декември 2016 г.

61      Що се отнася до второто основание, запитващата юрисдикция посочва, че член 3, параграф 1 от този закон определя задълженията на превозвачите и туроператорите относно предаването на данните за пътниците „към, от и преминаващи през територията на страната“. Що се отнася до приложното поле на посочения закон, тази юрисдикция добавя, че националният законодател е решил „събирането на данни да обхване и вътрешните за ЕС полети“, за да се получи „по-пълна картина на пътуванията на пътниците, които представляват потенциална заплаха за сигурността в рамките на Съюза и за националната сигурност“, което член 2 от Директивата за PNR във връзка със съображение 10 от нея предвижда по отношение на полетите в рамките на Съюза. Посочената юрисдикция уточнява още, че в своето становище № 55/2015 от 16 декември 2015 г. относно предварителния проектозакон, който е в основата на Закона от 25 декември 2016 г., Комисията за защита на личния живот повдига въпроса за евентуален конфликт между белгийската PNR система и принципа на свободното движение на хора, доколкото тази система включва превозите, извършени в рамките на Съюза.

62      При тези обстоятелства Cour constitutionnelle (Конституционен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:

„1)      Трябва ли член 23 от [ОРЗД] във връзка с член 2, параграф 2, буква г) от този регламент да се тълкува в смисъл, че се прилага по отношение на национално законодателство като [Закона от 25 декември 2016 г.], който транспонира [Директивата за PNR], както и [Директивата за API] и [Директива 2010/65]?

2)      Съвместимо ли е приложение I към [Директивата за PNR] с член 7, член 8 и член 52, параграф 1 от [Хартата] доколкото изброените в него данни са с много широк обхват — по-специално посочените в точка 18 от приложение I към [тази директива] данни, които надхвърлят тези по член 3, параграф 2 от [Директивата за API] — и доколкото, взети заедно, те биха могли да разкрият чувствителни данни и по този начин да надхвърлят границите на „строго необходимото“?

3)      Съвместими ли са точки 12 и 18 от приложение I към [Директивата за PNR] с член 7, член 8 и член 52, параграф 1 от [Хартата], доколкото с оглед на изразите „[по-специално]“ и „включително“ данните, до които се отнасят, са посочени примерно и неизчерпателно, като по този начин не е спазено изискването за точност и яснота на правилата за намеса в правото на зачитане на личния живот и в правото на защита на личните данни?

4)      Съвместими ли са член 3, точка 4 от [Директивата за PNR] и приложение I към същата директива с член 7, член 8 и член 52, параграф 1 от [Хартата], доколкото системата за общо събиране, предаване и обработване на данните за пътниците, които се въвеждат с тези разпоредби, се отнася до всяко лице, което използва съответното транспортно средство, без оглед на каквито и да било обективни критерии, позволяващи да се приеме, че това лице може да представлява риск за обществената сигурност?

5)      Трябва ли член 6 от [Директивата за PNR] във връзка с член 7, член 8 и член 52, параграф 1 от [Хартата] да се тълкува в смисъл, че не допуска национална правна уредба като оспорвания закон, в който се предвижда като цел на обработването на PNR данни да се извършва контрол на съответните дейности от разузнавателните служби и службите за сигурност, като по този начин посочената цел се включва в рамките на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления?

6)      Съвместим ли е член 6 от [Директивата за PNR] с член 7, член 8 и член 52, параграф 1 от [Хартата], доколкото предварителната оценка, която предвижда посредством взаимозависимост между бази данни и предварително установени критерии, се прилага систематично и общо към данните за пътниците, без оглед на каквито и да било обективни критерии, позволяващи да се приеме, че тези пътници могат да представляват риск за обществената сигурност?

7)      Може ли понятието „друг компетентен национален орган“ в член 12, параграф 3 от [Директивата за PNR] да се тълкува в смисъл, че се отнася до ЗДП, създадено със Закона от 25 декември 2016 г., което поради това би могло да разреши достъпа до PNR данните след изтичането на шестмесечен срок в рамките на ad hoc търсения?

8)      Трябва ли член 12 от [Директивата за PNR] във връзка с член 7, член 8 и член 52, параграф 1 от [Хартата] да се тълкува в смисъл, че не допуска национална правна уредба като оспорвания закон, който предвижда общ срок от пет години за съхраняване на данните, без да се прави разграничение дали при предварителната оценка се установява, че съответните пътници могат да представляват риск за обществената сигурност?

9)      а)      В съответствие ли е [Директивата за API] с член 3, параграф 2 [ДЕС] и с член 45 от [Хартата], доколкото предвидените в нея задължения се прилагат за полети в рамките на Европейския съюз?

б)      Трябва ли [Директивата за API], тълкувана във връзка с член 3, параграф 2 [ДЕС] и с член 45 от [Хартата], да се тълкува в смисъл, че не допуска национална правна уредба като оспорвания закон, който за целите на борбата с незаконната имиграция и подобряването на граничния контрол разрешава система за събиране и обработване на данните за пътниците „към, от и преминаващи през територията на страната“, което би могло да доведе до непряко възстановяване на контрола на вътрешните граници?

10)      Ако въз основа на отговорите на предходните преюдициални въпроси Cour constitutionnelle би трябвало да стигне до извода, че оспорваният закон, с който по-специално се транспонира [Директивата за PNR], не е в съответствие с едно или повече задължения, произтичащи от посочените в тези въпроси разпоредби, може ли да се запазят временно последиците от [Закона от 25 декември 2016 г.] с цел да се избегне правна несигурност и да се позволи вече събраните и съхранявани данни да могат да продължат да се използват за целите на закона?“.

III. По преюдициалните въпроси

А.      По първия въпрос

63      С първия си въпрос запитващата юрисдикция иска по същество да установи дали член 2, параграф 2, буква г) и член 23 от ОРЗД трябва да се тълкуват в смисъл, че този регламент се прилага към обработване на лични данни, предвидено в национално законодателство, което има за цел да транспонира в националното право едновременно разпоредбите на Директивата за PNR, Директивата за API и Директива 2010/65, и по-конкретно към предаването, съхранението и обработването на PNR данните.

64      Както следва от член 2, параграф 1 от ОРЗД, този регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на такива лични данни, които са част от регистър данни или които са предназначени да съставляват част от регистър с лични данни. Понятието „обработване“ е определено широко в член 4, точка 2 от посочения регламент като включващо събиране, записване, съхранение, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или изтриване на такива данни или набор от данни.

65      Белгийското правителство обаче твърди, че предаване на PNR данни от икономическите оператори на ЗДП за целите на предотвратяването и разкриването на престъпления като предвиденото в член 1, параграф 1, буква а), член 1, параграф 2 и член 8 от Директивата за PNR, което представлява „обработване“ на лични данни по смисъла на член 4, точка 2 от ОРЗД, както и предварителното им събиране не попада в приложното поле на този регламент в съответствие с член 2, параграф 2, буква г) от него, тъй като съдебната практика, установена с решение от 30 май 2006 г., Парламент/Съвет и Комисия, C‑317/04 и C‑318/04, EU:C:2006:346, т. 57—59), отнасяща се до член 3, параграф 2, първо тире от Директива 95/46, била приложима към тази разпоредба на посочения регламент.

66      В това отношение е вярно, че както Съдът вече е констатирал, член 3, параграф 2, първо тире от Директива 95/46, която е отменена и заменена с ОРЗД, считано от 25 май 2018 г., по принцип изключва от нейното приложно поле „обработването на данни, отнасящи се до обществената сигурност, отбраната [и] държавната сигурност“, без да въвежда разграничение, свързано със субекта, осъществяващ обработването на съответните данни. Поради това обработване на данни, извършено от частни оператори, което произтича от наложени им от публичните органи задължения, може евентуално да попада в изключението, предвидено в тази разпоредба, като се има предвид, че нейният текст се отнася до всеки вид обработване на данни, независимо от лицето, което го извършва, свързани с обществената сигурност, отбраната или държавната сигурност. (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 101).

67      Въпреки това в член 2, параграф 2, буква г) от ОРЗД се прави такова разграничение, тъй като, както отбелязва генералният адвокат в точки 41 и 46 от своето заключение, от текста на тази разпоредба е очевидно, че за да попадне обработване на данни в предвиденото в този член изключение, са необходими две условия. Ако първото условие да се отнася до целите на обработването на данни, а именно предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност, второто условие се отнася до субекта, осъществяващ обработването, а именно „компетентен орган“ по смисъла на посочената разпоредба.

68      Както е констатирал още Съдът, от член 23, параграф 1, букви г) и з) от ОРЗД следва, че обработването на лични данни, извършвано от частноправни субекти за цели по член 2, параграф 2, буква г) от този регламент, попада в приложното му поле (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 102).

69      От това следва, че съдебната практика, установена с решение от 30 май 2006 г., Парламент/Съвет и Комисия (C‑317/04 и C‑318/04, EU:C:2006:346), на която се позовава белгийското правителство, не е приложима по отношение на изключението от приложното поле на ОРЗД, съдържащо се в член 2, параграф 2, буква г) от него.

70      Освен това, подобно на останалите изключения от приложното поле на ОРЗД, предвидени в член 2, параграф 2, буква г) от този регламент, посоченото изключение трябва да се тълкува стриктно.

71      Както следва от съображение 19 от посочения регламент, това изключение е мотивирано от обстоятелството, че обработването на лични данни от компетентните органи за целите по-специално на предотвратяването и разкриването на престъпления, включително предпазването от и предотвратяването на заплахи, се урежда от по-конкретен акт на Съюза, а именно от Директива 2016/680, която е приета в същия ден като ОРЗД (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Наказателни точки), C‑439/19, EU:C:2021:504, т. 69).

72      Както освен това се уточнява в съображения 9—11 от Директива 2016/680, тя установява специални правила за защита на физическите лица във връзка с това обработване, като се отчита специфичният характер на тези дейности в областта на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество, докато ОРЗД установява общи правила за защита на тези лица, които се прилагат към посоченото обработване, когато не е приложим по-конкретният акт, какъвто е Директива 2016/680. По-специално, съгласно съображение 11 от тази директива ОРЗД се прилага към обработването на лични данни, което се извършва от „компетентен орган“ по смисъла на член 3, параграф 7 от посочената директива, но за цели, различни от предвидените в нея (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Наказателни точки), C‑439/19, EU:C:2021:504, т. 70).

73      Що се отнася до първото условие, посочено в точка 67 от настоящото решение, и по-конкретно до целите, преследвани с обработването на лични данни, предвидено с Директивата за PNR, следва да се припомни, че съгласно член 1, параграф 2 от тази директива PNR данните могат да се обработват единствено за целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления. Тези цели са свързани с посочените в член 2, параграф 2, буква г) от ОРЗД и член 1, параграф 1 от Директива 2016/680, така че такова обработване може да попадне в обхвата на изключението, посочено в член 2, параграф 2, буква г) от този регламент, и следователно в приложното поле на тази директива.

74      Това обаче не се отнася до обработването на данни, предвидено в Директивата за API и в Директива 2010/65, чиито цели са различни от предвидените в член 2, параграф 2, буква г) от ОРЗД и член 1, параграф 1 от Директива 2016/680.

75      Всъщност, що се отнася до Директивата за API, както е видно от съображения 1, 7 и 9 и член 1 от нея, тя има за цел да се подобри граничния контрол и да се противодейства на незаконната имиграция, като за целта превозвачите предварително предават на компетентните национални органи данните за пътниците. Впрочем в редица съображения и разпоредби на тази директива се изтъква, че обработването на данни, предвидено за целите на нейното прилагане, попада в приложното поле на ОРЗД. В този смисъл съображение 12 от посочената директива гласи, че „[п]ри обработка на личните данни органите на държавите членки прилагат Директива [95/46]“. Освен това в член 6, параграф 1, пета алинея от Директивата за API се уточнява, че държавите членки могат също така да използват предварителните данни за пътниците за нуждите на органите на реда „като се съобразяват с разпоредбите за защита на личните данни от Директива [95/46]“, като този израз се използва и в трета алинея от тази разпоредба. По същия начин в съображение 9 от Директивата за API е използван изразът „без да се засягат разпоредбите на Директива [95/46]“. Член 6, параграф 2 от Директивата за API предвижда накрая, че превозвачите трябва да информират пътниците „съгласно разпоредбите на Директива [95/46]“.

76      Колкото до Директива 2010/65, от съображение 2 и член 1, параграф 1 от нея следва, че тя има за цел да опрости и хармонизира административните процедури, прилагани в морския транспорт, посредством стандартизиране на електронното предаване на данни и рационализиране на формалностите за даване на сведения, за да се улесни морският транспорт и да се намали административната тежест за корабните дружества. В член 8, параграф 2 от посочената директива обаче се потвърждава, че обработването на данни, предвидено за целите нейното прилагане, попада в обхвата на ОРЗД, тъй като тази разпоредба всъщност задължава държавите членки да се уверят в спазването на Директива 95/46 по отношение на личните данни.

77      От това следва, че обработването на данни, предвидено в национално законодателство, което транспонира във вътрешното право разпоредбите на Директивата за API и на Директива 2010/65, попада в обхвата на ОРЗД. За разлика от това в съответствие с изключението в член 2, параграф 2, буква г) от ОРЗД обработването на данни, предвидено в национално законодателство, което транспонира във вътрешното право Директивата за PNR, може да бъде изключено от обхвата на този регламент, стига да е изпълнено второто условие, припомнено в точка 67 от настоящото решение, а именно субектът, извършващ обработването, да е компетентен орган по смисъла на последната разпоредба.

78      Що се отнася до това второ условие, Съдът е постановил, че доколкото понятието „компетентен орган“ е определено в член 3, параграф 7 от Директива 2016/680, това определение трябва да се приложи по аналогия към член 2, параграф 2, буква г) от ОРЗД (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Наказателни точки), C‑439/19, EU:C:2021:504, т. 69).

79      Съгласно членове 4 и 7 от Директивата за API обаче всяка държава членка трябва съответно да определи като ЗДП орган, компетентен за предотвратяването, разкриването, разследването или наказателното преследване на терористични престъпления и тежки престъпления и да изготви списък на компетентните органи, оправомощени да изискват или получават резервационни данни на пътниците или резултатите от обработването на тези данни от ЗДП, като последните органи са и компетентни органи в тази област, както е уточнено в член 7, параграф 2 от посочената директива.

80      От тези обстоятелства следва, че обработването на PNR данните от ЗДП и посочените компетентни органи за такива цели изпълнява двете условия, посочени в точка 67 от настоящото решение, поради което освен в обхвата на разпоредбите на самата Директива за PNR то попада в този на разпоредбите на Директива 2016/680, а не на ОРЗД, което впрочем се потвърждава от съображение 27 от Директивата за PNR.

81      За разлика от това, щом като икономически оператори като въздушните превозвачи, които, макар да са правно задължени да предават PNR данните, не са нито натоварени с упражняването на публична власт, нито разполагат с властнически правомощия по силата на тази директива, тези оператори не могат да се считат за компетентни органи по смисъла на член 3, параграф 7 от Директива 2016/680 и член 2, параграф 2, буква г) от ОРЗД, поради което събирането и предаването на ЗДП на тези данни от въздушните превозвачи попадат в обхвата на този регламент. Същият извод се налага в положение като предвиденото в Закона от 25 декември 2016 г., при което събирането и предаването на посочените данни се извършват от други превозвачи или от туроператорите.

82      Накрая, запитващата юрисдикция иска да установи какво е евентуалното отражение от приемането на национално законодателство като Закона от 25 декември 2016 г., с което се транспонират едновременно разпоредбите на Директивата за PNR, Директивата за API и Директива 2010/65. В това отношение следва да се припомни, че както е видно от точки 72 и 75—77 от настоящото решение, обработването на данни, предвидено в последните две директиви, попада в приложното поле на ОРЗД, който съдържа общи правила за защитата на физическите лица при обработването на лични данни.

83      Следователно, когато обработване на данни, извършвано въз основа на това законодателство, попада в обхвата на Директивата за API и/или Директива 2010/65, към него се прилага ОРЗД. Това се отнася и до обработване на данни, което се извършва на същото основание и което, що се отнася до целта му, освен в обхвата на Директивата за PNR попада в обхвата на Директивата за API и/или в този на Директива 2010/65. Накрая, когато обработване на данни въз основа на същото законодателство попада, що се отнася до целта му, само в обхвата на Директивата за PNR, ОРЗД се прилага, ако събирането и предаването на PNR данните на ЗДП се извършва от въздушните превозвачи. За разлика от това, когато такова обработване се извършва от ЗДП или компетентните органи за целите по член 1, параграф 2 от Директивата за PNR, освен в обхвата на националното право то попада и в обхвата на Директива 2016/680.

84      С оглед на гореизложените съображения на първия въпрос следва да се отговори, че член 2, параграф 2, буква г) и член 23 от ОРЗД трябва да се тълкуват в смисъл, че този регламент се прилага за обработването на лични данни, предвидено в национално законодателство, с което във вътрешното право се транспонират едновременно разпоредбите на Директивата за PNR, Директивата за API и Директива 2010/65, що се отнася, от една страна, до обработването на данни, извършвано от частни оператори, и от друга страна, до обработването на данни, извършвано от публични органи, което попада в обхвата само или включително на Директивата за API или на Директива 2010/65. За разлика от това посоченият регламент не е приложим за предвиденото в такова законодателство обработване на данни, което попада само в обхвата на Директивата за PNR и което се извършва от ЗДП или от компетентните органи за целите, посочени в член 1, параграф 2 от тази директива.

Б.      По втория, третия, четвъртия и шестия въпрос

85      С втория, третия, четвъртия и шестия въпрос, които следва да се разгледат заедно, запитващата юрисдикция иска по същество от Съда да се произнесе по валидността на Директивата за PNR с оглед на членове 7 и 8 и член 52, параграф 1 от Хартата. Тези въпроси се отнасят по-специално до:

–        приложение I към тази директива и изброените в това приложение данни, по-специално посочените в точки 12 и 18 от него, с оглед на изискванията за яснота и точност (втори и трети въпрос),

–        член 3, точка 4 от посочената директива и приложение I към нея, тъй като въведената с тези разпоредби система за общо събиране, предаване и обработване на PNR данни може да се прилага към всяко лице, използващо полет, към който се прилагат разпоредбите на същата директива (четвърти въпрос), и

–        член 6 от Директивата за PNR, тъй като предвижда предварителна оценка чрез съпоставянето на PNR данните с бази данни и/или обработването им съобразно предварително установени критерии, което се прилага систематично и общо към данните за пътниците, без оглед на каквито и да било обективни критерии, позволяващи да се приеме, че тези пътници могат да представляват риск за обществената сигурност (шести въпрос).

86      Най-напред следва да се припомни, че съгласно един от общите принципи за тълкуване акт на Съюза трябва, доколкото е възможно, да се тълкува по начин, който не поставя под съмнение неговата валидност, и в съответствие с цялото първично право, и в частност с разпоредбите на Хартата. В този смисъл, когато такъв акт може да бъде тълкуван по различни начини, следва да се предпочете това тълкувание, съгласно което разпоредбата съответства на първичното право, а не това, което води до установяване на несъвместимост с последното (решение от 2 февруари 2021 г., Consob, C‑481/19, EU:C:2021:84, т. 50 и цитираната съдебна практика).

87      Освен това съгласно постоянната съдебна практика, когато разпоредбите на съответната директива оставят на държавите членки свобода на преценка, за да определят мерки за транспониране, които да са пригодени към различните възможни хипотези, при прилагането на тези мерки държавите членки са длъжни не само да тълкуват националното си право по начин, който да съответства на въпросната директива, но и да не допускат да се основават на тълкуване на директивата, което би влязло в конфликт с основните права, защитавани от правния ред на Съюза, или с останалите общи принципи, признати в този правен ред (вж. в този смисъл решения 15 февруари 2016 г., N., C‑601/15 PPU, EU:C:2016:84, т. 60 и цитираната съдебна практика, и от 16 юли 2020 г., État belge (Събиране на семейството — Малолетно или непълнолетно дете), C‑133/19, C‑136/19 и C‑137/19, EU:C:2020:577, т. 33 и цитираната съдебна практика).

88      Що се отнася до Директивата за PNR, следва да се отбележи, че по-специално в съображения 15, 20, 22, 25, 36 и 37 от нея се подчертава значението, което законодателят на Съюза, позовавайки се на високото равнище на защита на данните, отдава на пълното зачитане на основните права, закрепени в членове 7, 8 и 21 от Хартата, както и на принципа на пропорционалност, поради което, както се посочва в съображение 36, тази директива „следва да се прилага по съответния начин“.

89      По-конкретно в съображение 22 от Директивата за PNR се подчертава, че „[к]ато се отчитат изцяло принципите, очертани в най-новата практика на [Съда], прилагането на [тази] директива следва да гарантира пълно зачитане на основните права, на правото на неприкосновеност на личния живот и на принципа на пропорционалност“ и „реално да съответства на целите за необходимост и пропорционалност, за да се постигнат общите интереси, отчетени от Съюза, и необходимостта от защита на правата и свободите на другите в борбата срещу терористичните престъпления и тежките престъпления“. Това съображение гласи също, че това прилагане „следва да бъде надлежно обосновано и следва да се въведат необходимите гаранции, за да се осигури законността на всяко съхраняване, анализ, предаване или използване на [PNR данните]“.

90      Освен това член 19, параграф 2 от Директивата за PNR налага на Комисията в рамките на прегледа на тази директива да отдели специално внимание на „спазването на приложимите стандарти за защита на личните данни“, „необходимостта и пропорционалността на събирането и обработването на [PNR данните] за всяка от установените в настоящата директива цели“ и „продължителността на срока на съхранение на данните“.

91      Поради това следва да се провери дали съгласно изискванията, съдържащи се по-специално в посочените в точки 88—90 от настоящото решение съображения и разпоредби, Директивата за PNR може да се тълкува по начин, който да осигури пълното зачитане на основните права, гарантирани в членове 7 и 8 от Хартата, както и на принципа на пропорционалност, закрепен в член 52, параграф 1 от нея.

1.      По произтичащата от Директивата за PNR намеса в основните права, гарантирани в членове 7 и 8 от Хартата

92      Член 7 от Хартата гарантира на всеки правото на зачитане на неговия личен и семеен живот, на неговото жилище и тайната на неговите съобщения, докато член 8, параграф 1 от Хартата изрично предоставя на всеки правото на защита на неговите лични данни.

93      Както е видно от член 3, точка 5 от Директивата за PNR и от изброяването в приложение I към нея, PNR данните, за които се отнася тази директива, включват по-специално, освен името на пътника или на пътниците във въздушния транспорт, и необходимата информация, за да се направи резервация, например датите на заплануваното пътуване и маршрута на пътуването, информация за билетите, групите лица, регистрирани под един и същ номер на резервация, наличната информация за контакт с пътника или пътниците, информация относно средствата за плащане или фактуриране, информация за багажа, както и общи бележки за пътниците.

94      В този смисъл, тъй като PNR данните съдържат информация за идентифицирани физически лица, а именно съответните пътници във въздушния транспорт, различните видове обработване, на които тези данни могат да са предмет, засягат основното право на зачитане на личния живот, гарантирано в член 7 от Хартата (вж. в този смисъл становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 121 и 122 и цитираната съдебна практика).

95      Освен това обработването на PNR данни като посоченото в Директивата за PNR попада в обхвата и на член 8 от Хартата, поради това че представлява обработка на лични данни по смисъла на посочения член, и следователно задължително трябва да отговаря на изискванията за защита на данните, произтичащи от него (вж. в този смисъл становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 123 и цитираната съдебна практика).

96      Съгласно постоянната съдебна практика обаче съобщаването на лични данни на трето лице, например публичен орган, представлява намеса в основните права, закрепени в членове 7 и 8 от Хартата, независимо от последващото използване на съобщената информация. Същото се отнася до запазването на лични данни, както и до достъпа до тях с оглед на използването им от публичните органи. В това отношение е без значение дали съответните данни за личния живот имат чувствителен характер и дали заинтересованите лица са претърпели евентуални неудобства поради тази намеса (становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 124 и 126 и цитираната съдебна практика).

97      Следователно както предаването на PNR данни от въздушните превозвачи на ЗДП на съответната държава членка, предвидено в член 1, параграф 1, буква а) от Директивата за PNR във връзка с член 8 от нея, така и регламентирането на условията за запазването, използването и евентуалното последващо предаване на тези данни на компетентните органи на тази държава членка, на ЗДП и на компетентните органи на другите държави членки, на Европол или пък на органите на трети държави съгласно членове 6, 7, 9 и 10—12 от тази директива, представляват форми на намеса в гарантираните в членове 7 и 8 от Хартата права.

98      Що се отнася до сериозността на намесата, следва да се отбележи, първо, че съгласно член 1, параграф 1, буква а) във връзка с член 8 от Директивата за PNR същата предвижда систематичното и непрекъснато предаване на ЗДП на PNR данните на всички пътници по външни за ЕС полети по смисъла на член 3, точка 2 от посочената директива, извършвани между трети страни и Съюза. Както отбелязва генералният адвокат в точка 73 от своето заключение, такова предаване предполага общ достъп от страна на ЗДП до всички предадени PNR данни за всички лица, които използват услугите на въздушния транспорт, независимо от последващото използване на тези данни.

99      Второ, член 2 от Директивата за PNR предвижда в параграф 1, че държавите членки могат да вземат решение да прилагат последната към вътрешни за ЕС полети по смисъла на член 3, точка 3 от нея, а в параграф 2 от същия член 2 се уточнява, че в такъв случай всички разпоредби на посочената директива „се прилагат по отношение на вътрешни за ЕС полети като към външни за ЕС полети и по отношение на [PNR данните] на пътниците по вътрешни за ЕС полети като към [PNR данни] на пътниците по външни за ЕС полети“.

100    Трето, макар да изглежда, че разгледани самостоятелно, някои PNR данни, изброени в приложение I от Директивата за PNR, като обобщените в точка 93 от настоящото решение не могат да разкрият точна информация за личния живот на засегнатите лица, все пак, взети заедно, те могат по-специално да разкрият пълния маршрут на пътуването, навиците при пътуване, съществуващите отношения между две или повече лица, както и информация относно финансовото положение на пътниците във въздушния транспорт, техните хранителни навици или здравословно състояние и дори биха могли да разкрият чувствителна информация за тези пътници (вж. в този смисъл становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 128).

101    Четвърто, съгласно член 6, параграф 2, букви а) и б) от Директивата за PNR предаваните от въздушните превозвачи данни подлежат не само на предварителна оценка, извършвана преди обявеното време за пристигане или заминаване на пътниците, но и на последваща оценка.

102    Що се отнася до предварителната оценка, от член 6, параграф 2, буква а) и параграф 3 от Директивата за PNR е видно, че тази оценка се извършва от ЗДП на държавите членки систематично и автоматизирано, т.е. непрекъснато и независимо от наличието каквито и да било данни за риск от участие на съответните лица в терористични престъпления или тежки престъпления. За тази цел посочените разпоредби предвиждат, че PNR данните могат да се съпоставят с „базите данни, които са от значение“ и да бъдат обработени съобразно „предварително определени критерии“.

103    В този контекст следва да се припомни, че Съдът вече е постановил, че обхватът на намеса в правата по членове 7 и 8 от Хартата, която представляват автоматизираните анализи на PNR данните, зависи предимно от предварително изготвените модели и критерии, както и от базите данни, на които се основава този вид обработка на данни (становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 172).

104    Както обаче отбелязва генералният адвокат в точка 78 от своето заключение, предвиденото в член 6, параграф 3, буква а) от Директивата за PNR обработване, а именно съпоставянето на PNR данните с „базите данни, които са от значение“, може да предостави допълнителна информация за личния живот на пътниците във въздушния транспорт и да позволи да се направят точни изводи в тази връзка.

105    Що се отнася до обработването на PNR данни съобразно „предварително определени критерии“, предвидено в член 6, параграф 3, буква б) от Директивата за PNR, вярно е, че член 6, параграф 4 от тази директива изисква оценката на пътниците посредством тези критерии да се извършва по недискриминационен начин, и по-специално без да се основава на поредица от характеристики, посочени в последното изречение на същия параграф 4. Освен това възприетите критерии трябва да бъдат целенасочени, пропорционални и конкретни.

106    Въпреки това Съдът вече е постановил, че доколкото автоматизирани анализи се правят въз основа на непроверени лични данни и се базират на предварително изготвени модели и критерии, те по необходимост включват определена степен на грешка (вж. по аналогия становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 169). По-конкретно, както отбелязва по същество генералният адвокат в точка 78 от своето заключение, от работния документ на Комисията (SWD(2020) 128 final), приложен към нейния доклад от 24 юли 2020 г. относно прегледа на Директивата за PNR, е видно, че броят на случаите на съвпадения, произтичащи от видовете автоматизирано обработване, предвидени в член 6, параграф 3, букви а) и б) от тази директива, които след индивидуален преглед с неавтоматизирани средства са се оказали погрешни, е голям, като през 2018 г. и 2019 г. те са засягали пет от шест идентифицирани лица. Следователно тези видове обработване водят до подробен анализ на PNR данните на посочените лица.

107    Що се отнася до последващото обработване на PNR данните, предвидено в член 6, параграф 2, буква б) от Директивата за PNR, от тази разпоредба е видно, че в рамките на шестмесечния срок от момента на предаването на PNR данните, посочен в член 12, параграф 2 от тази директива, ЗДП е длъжно при поискване от страна на компетентните органи да им предостави PNR данните и да извърши обработване в конкретни случаи за целите на борбата срещу терористичните престъпления или тежките престъпления.

108    Освен това, макар след изтичането на шестмесечния период PNR данните да се деперсонализират чрез прикриване на елементи от тях, след такова поискване ЗДП може да бъде задължено съгласно член 12, параграф 3 от Директивата за PNR да разкрие на компетентните органи всички PNR данни под форма, която позволява да се идентифицира съответното лице, ако са налице разумни основания да се счита, че това е необходимо за целта, посочена в член 6, параграф 2, буква б) от тази директива, като такова разкриване все пак може да е подчинено на разрешение, получено от съдебен орган или „друг [компетентен] национален орган“.

109    Пето, като предвижда в член 12, параграф 1, без да предоставя повече подробности в това отношение, че PNR данните се съхраняват в база данни за срок от пет години след тяхното предаване на ЗДП на държавата членка, на чиято територия полетът пристига или заминава, Директивата за PNR предоставя — с оглед на обстоятелството, че независимо от деперсонализирането чрез прикриване на елементи от данните при изтичането на първоначалния шестмесечен период, всички PNR данни все още могат да бъдат предадени при посочената в предходната точка хипотеза — възможност за достъп до информация за личния живот на пътниците във въздушния транспорт за период, който Съдът вече е квалифицирал като „особено продължителен“ в становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 132).

110    С оглед на обичайното използване на въздушния транспорт такъв срок на съхранение води до това PNR данните на голяма част от населението на Съюза да се съхраняват системно в рамките на установената с Директивата за PNR система и по този начин да са достъпни за анализ при предварителни и последващи оценки от ЗДП и компетентните органи през значителен, дори неопределен период от време, що се отнася до лицата, които пътуват със самолет по-често от един път на всеки пет години.

111    С оглед на всички гореизложени съображения, следва да се приеме, че Директивата за PNR предвижда несъмнено сериозна намеса в правата, гарантирани в членове 7 и 8 от Хартата, тъй като по-специално има за цел да въведе режим на постоянен, систематичен и нецеленасочен контрол, включващ автоматизирана оценка на лични данни на всички лица, които използват услугите на въздушния транспорт.

2.      По обосновката на намесата, произтичаща от Директивата за PNR

112    Следва да се припомни, че основните права, признати в членове 7 и 8 от Хартата, не са абсолютни, а трябва да се вземат предвид във връзка с тяхната социална функция (становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 136 и цитираната съдебна практика, и решение от 6 октомври 2020 г., Privacy International, C‑623/17, EU:C:2020:790, т. 63 цитираната съдебна практика).

113    Съгласно член 52, параграф 1, първо изречение от Хартата всяко ограничаване на упражняването на правата и свободите, признати от нея, трябва да бъде предвидено в закон и да зачита основното съдържание на тези права. Съгласно член 52, параграф 1, второ изречение от Хартата при спазване на принципа на пропорционалност ограничения на тези права и свободи могат да бъдат налагани само ако са необходими и ако действително отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора. В това отношение в член 8, параграф 2 от Хартата се посочва, че личните данни трябва по-специално да бъдат обработвани „за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание“.

114    Следва да се добави, че изискването всяко ограничаване на упражняването на основните права да бъде предвидено в закон означава, че самият правен акт, който допуска намеса в тези права, трябва да определи обхвата на ограничаването на упражняването на съответното право, като се има предвид, от една страна, че това изискване не изключва възможността предвиждащата ограничаването правна уредба да бъде формулирана достатъчно широко, за да може да се адаптира към различни хипотези и променящи се обстоятелства (вж. в този смисъл решение от 26 април 2022 г., Полша/Парламент и Съвет, C‑401/19, EU:C:2022:297, т. 64 и 74 и цитираната съдебна практика), и от друга страна, че Съдът би могъл при необходимост да уточни чрез тълкуване конкретния обхват на ограничаването, като вземе предвид както текста на въпросната уредба на Съюза, така и общата ѝ структура и преследваните с нея цели, тълкувани с оглед на гарантираните с Хартата основни права.

115    Що се отнася до спазването на принципа на пропорционалност, защитата на основното право на зачитане на личния живот на равнището на Съюза изисква дерогациите и ограниченията на защитата на личните данни да се въвеждат в границите на строго необходимото. Освен това целта от общ интерес не може да се преследва, без да се отчете фактът, че тя трябва да бъде съвместена с основните права, които се засягат от мярката, като се претеглят, от една страна, целта от общ интерес и от друга страна, разглежданите права (становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 140 и цитираната съдебна практика и решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 52 и цитираната съдебна практика).

116    По-конкретно възможността за държавите членки да обосноват ограничение на правата и задълженията, гарантирани в членове 7 и 8 от Хартата, трябва да се прецени, като се измери тежестта на намесата в съответните основни права, която включва подобно ограничение, и като се провери дали значението на преследваната с това ограничение цел от общ интерес е свързано с тази тежест (вж. в този смисъл решения от 2 октомври 2018 г., Ministerio Fiscal, C‑207/16, EU:C:2018:788, т. 55 и цитираната съдебна практика, и от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 53 и цитираната съдебна практика).

117    За да удовлетвори изискването за пропорционалност, разглежданата правна уредба, която включва намесата, трябва да предвижда ясни и точни правила, които да уреждат обхвата и прилагането на предвидените от нея мерки и да установяват минимални изисквания, така че лицата, чиито данни са били предадени, да разполагат с достатъчни гаранции, позволяващи ефикасна защита на техните лични данни срещу рискове от злоупотреби. Тя трябва в частност да посочва обстоятелствата и условията, при които може да се приложи мярка за обработване на такива данни, като по този начин гарантира ограничаване на намесата до строго необходимото. Необходимостта от такива гаранции е още по-голяма, когато личните данни са подложени на автоматична обработка. Тези съображения важат най-вече когато PNR данните могат да разкрият чувствителна информация за пътниците (становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 141, и решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 132 и цитираната съдебна практика).

118    Така уредба, предвиждаща запазване на личните данни, трябва винаги да отговаря на обективни критерии, установяващи връзка между подлежащите на запазване лични данни и преследваната цел (вж. в този смисъл становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 191 и цитираната съдебна практика, и решения от 3 октомври 2019 г., А и др., C‑70/18, EU:C:2019:823, т. 63, и от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 133).

а)      По спазването на принципа на законност и зачитането на основното съдържание на разглежданите основни права

119    Ограничаването на упражняването на гарантираните в членове 7 и 8 от Хартата основни права, произтичащо от Директивата за PNR, е предвидено със законодателен акт на Съюза. Колкото до това дали в съответствие с припомнената в точка 114 от настоящото решение съдебна практика тази директива, като акт от правото на Съюза, който позволява намеса в тези права, определя обхвата на ограничението при упражняването на посочените права, следва да се отбележи, че разпоредбите на тази директива, както и приложения I и II към нея съдържат, от една страна, изброяване на PNR данните и от друга страна, регламентират обработването на тези данни, по-специално като определят целите и условията на това обработване. Освен това този въпрос до голяма степен се припокрива с въпроса за спазването на изискването за пропорционалност, припомнено в точка 117 от настоящото решение (вж. в този смисъл решение от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, EU:C:2020:559, т. 180) и ще бъде разгледан в точка 125 и сл. от настоящото решение.

120    Що се отнася до основното съдържание на основните права, закрепени в членове 7 и 8 от Хартата, вярно е, че PNR данните могат евентуално да разкрият много конкретна информация за личния живот на определено лице. Доколкото обаче, от една страна, по естеството си тази информация е ограничена до определени аспекти на личния живот, свързани по-специално с пътуванията с въздушен транспорт на това лице, и от друга страна, член 13, параграф 4 от Директивата за PNR забранява изрично обработването на чувствителни данни по смисъла на член 9, параграф 1 от ОРЗД, обхванатите от тази директива данни не позволяват сами по себе си да се създаде цялостна представа за личния живот на съответното лице. Освен това член 1, параграф 2 във връзка с член 3, точки 8 и 9 от посочената директива, както и с приложение II към нея очертава целите на обработването на тези данни. Накрая, членове 4—15 от същата директива определят правилата, уреждащи предаването, обработването и съхранението на посочените данни, както и правила, с които да се гарантира по-специално сигурността, поверителността и целостта на същите данни, както и тяхната защита срещу незаконен достъп и обработване. При тези обстоятелства предвидената в Директивата за PNR намеса не засяга основното съдържание на основните права, закрепени в членове 7 и 8 от Хартата.

б)      По целта от общ интерес и годността на обработването на PNR данни с оглед на тази цел

121    Що се отнася до въпроса дали установената с Директивата за PNR система преследва цел от общ интерес, от съображения 5, 6 и 15 от тази директива е видно, че тя има за цел да се гарантира вътрешната сигурност на Съюза и така да се защитят животът и безопасността на лицата, като същевременно се създаде правна рамка, която гарантира високо ниво на защита на основните права на пътниците, и по-специално правата на неприкосновеност на личния живот и на защита на личните данни при обработването на PNR данните от компетентните органи.

122    В това отношение член 1, параграф 2 от Директивата за PNR гласи, че събраните PNR данни могат да се обработват съгласно член 6, параграф 2, букви а)—в) от нея единствено за целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления. Тези цели обаче несъмнено са цели от общ интерес за Съюза, които могат да обосноват дори сериозна намеса в основните права, закрепени в членове 7 и 8 от Хартата. (вж. в този смисъл решение от 8 април 2014 г., Digital Rights Ireland и др., C‑293/12 и C‑594/12, EU:C:2014:238, т. 42, и становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 148 и 149).

123    Що се отнася до годността на установената с Директивата за PNR система за постигане на преследваните цели, следва да се констатира, че макар възможността за „фалшиви отрицателни“ резултати и значителният брой „фалшиви положителни“ резултати, които, както беше посочено в точка 106 от настоящото решение, са получени през 2018 г. и 2019 г. след предвиденото с тази директива автоматизирано обработване, да могат да ограничат годността на тази система, те все пак не могат по естеството си да направят посочената система негодна да допринесе за постигането на целта за борба с терористичните престъпления и тежките престъпления. Всъщност, както е видно от работния документ на Комисията, посочен в точка 106 от настоящото решение, автоматизираното обработване, извършено на основание на посочената директива, действително е позволило идентифицирането на пътници във въздушния транспорт, които представляват опасност от гледна точка на борбата срещу терористичните престъпления и тежките престъпления.

124    Освен това с оглед на степента на грешка, присъща на автоматизираното обработване на PNR данни, и по-специално на значителния брой „фалшиви положителни“ резултати годността на установената с Директивата за PNR система зависи основно от правилното извършване с неавтоматизирани средства на последващата проверка на получените от това обработване резултати, което съгласно тази директива е задача на ЗДП. Следователно разпоредбите, предвидени в това отношение от посочената директива, допринасят за постигането на тези цели.

в)      По необходимостта от намесата, произтичаща от Директивата за PNR 

125    Съгласно съдебната практика, припомнена в точки 115—118 от настоящото решение, следва да се провери дали произтичащата от Директивата за PNR намеса е ограничена до строго необходимото, и по-специално дали тази директива съдържа ясни и точни правила, които уреждат обхвата и прилагането на предвидените в нея мерки и дали установената с нея система продължава да отговаря на обективни критерии, установяващи връзка между PNR данните, които са тясно свързани с резервацията и извършването на полетите, и преследваните с тази директива цели, а именно борбата срещу терористичните престъпления и тежките престъпления.

1)      По посочените в Директивата за PNR данни на пътниците във въздушния транспорт

126    Следва да се прецени дали информацията в точките, съдържащи се в приложение I към Директивата за PNR, определят ясно и точно PNR данните, които въздушните превозвачи са длъжни да предават на ЗДП.

127    В самото начало следва да се припомни, че както е видно от съображение 15 от Директивата за PNR, законодателят на Съюза е искал, списъкът с PNR данни, който трябва да получи ЗДП, да се изготви „с цел съобразяване на законните изисквания на публичните органи за предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления, като по този начин се подобрява вътрешната сигурност в рамките на Съюза и се защитават основните права, по-специално неприкосновеността на личния живот и защитата на личните данни“. По-конкретно съгласно същото съображение тези данни „следва да съдържат единствено данни за резервациите на пътниците и маршрута на пътуванията им, които позволяват на компетентните органи да идентифицират пътуващи със самолет пътници, представляващи заплаха за вътрешната сигурност“. Освен това член 13, параграф 4, първо изречение от Директивата за PNR забранява „обработването на [PNR данни], разкриващи расата или етническия произход на дадено лице, неговите политически мнения, религия или философски убеждения, членство в профсъюзи, здравословно състояние, сексуален живот или сексуална ориентация“.

128    Следователно PNR данните, събрани и предадени съгласно приложение I от Директивата за PNR, трябва да имат пряка връзка с извършения полет и съответния пътник и трябва да бъдат ограничени по такъв начин, че от една страна, да отговарят само на законните изисквания на публичните органи за предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления и от друга страна, да изключват чувствителните данни.

129    Точки 1—4, 7, 9, 11, 15, 17 и 19 от приложение I към Директивата за PNR отговарят на тези изисквания, както и на тези за яснота и точност, тъй като се отнасят до ясно разпознаваема и ограничена информация, пряко свързана с извършения полет и съответния пътник. Както отбелязва генералният адвокат в точка 165 от заключението си, това се отнася и за точки 10, 13, 14 и 16, независимо от отворената им формулировка.

130    За разлика от това следва да се направят уточнения за целите на тълкуването на точки 5, 6, 8, 12 и 18.

131    Що се отнася до точка 5, в която се посочват „[а]дрес[ът] и информация[та] за връзка (телефонен номер, адрес на електронна поща)“, в нея не се уточнява изрично дали адресът и информацията за връзка се отнасят само до пътника или и до трети лица, които са резервирали полета на пътника във въздушния транспорт, до трети лица, чрез които може да се осъществи връзка с пътник във въздушния транспорт, или до трети лица, които трябва да бъдат уведомени в неотложни случаи. Както обаче отбелязва по същество генералният адвокат в точка 162 от заключението си, като се имат предвид изискванията за яснота и точност, тази точка не може да бъде тълкувана в смисъл, че имплицитно позволява събирането и предаването на лични данни и на такива трети лица. Следователно посочената точка трябва да се тълкува като отнасяща се само до пощенския адрес и информацията за връзка, а именно телефонен номер и адрес на електронна поща, на пътника, на чието име е направена резервацията.

132    Що се отнася до точка 6, в която се посочва „[п]ълна информация за плащането, включително адрес на фактуриране“, за да се отговори на изискванията за яснота и точност, тази точка трябва да се тълкува в смисъл, че се отнася единствено до информацията относно начина на плащане и фактурирането на самолетния билет, без други данни, които нямат пряка връзка с полета (вж. по аналогия становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 159).

133    Колкото до точка 8, в която се посочва „[и]нформация за редовни пътници“, тя трябва да се тълкува, както отбелязва генералният адвокат в точка 164 от заключението си, като отнасяща се изключително до данните за качеството на съответния пътник в контекста на програма за предоставяне на предимства от дадена авиокомпания или група авиокомпании, както и номера, на този пътник, който го обозначава като редовен пътник. Поради това точка 8 не позволява събирането на информация относно операциите, с които е придобито това качество.

134    Що се отнася до точка 12, в нея се посочват „[о]бщи забележки (включително всяка налична информация за непридружавани непълнолетни лица под 18 години, като име и пол на лицето, възраст, говорим език (говорими езици), име и данни за връзка с настойника при заминаване и връзката му с непълнолетното лице, име и данни за връзка с настойника при пристигане и връзката му с непълнолетното лице, агент при заминаване и пристигане)“.

135    В това отношение следва веднага да се отбележи, че макар изразът „общи забележки“ да не отговаря на изискванията за яснота и точност, тъй като сам по себе си не определя никакво ограничение относно естеството и обхвата на информацията, която може да бъде събрана и предадена на ЗДП въз основа на точка 12 (вж. становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 160), изброяването в скоби от своя страна изпълнява това изискване.

136    Следователно, за да бъде тълкувана точка 12 така, че съгласно цитираната в точка 86 от настоящото решение съдебна практика да е в съответствие с изискванията за яснота и точност и по-общо — с членове 7 и 8 и член 52, параграф 1 от Хартата, следва да се приеме, че са допустими само събирането и предаването на изрично посочените в тази точка данни, т.е. име и пол на ненавършилия пълнолетие пътник във въздушния транспорт, възраст, говорим език (говорими езици), име и данни за връзка с настойника при заминаване и връзката му с ненавършилото пълнолетие лице, име и данни за връзка с настойника при пристигане и връзката му с ненавършилото пълнолетие лице, агент при заминаване и пристигане.

137    Накрая, що се отнася до точка 18, в нея се посочват „[в]сички събрани предварителни данни за пътниците (включително вид, номер, държава на издаване и срок на валидност на всеки документ за самоличност, гражданство, фамилно име, собствено име, пол, дата на раждане, въздушен превозвач, номер на полета, дата на излитане, дата на кацане, място на излитане, място на кацане, време на излитане и време на кацане)“.

138    Както отбелязва по същество генералният адвокат в точки 156—160 от своето заключение, от същата точка 18 във връзка със съображения 4 и 9 от Директивата за PNR е видно, че сведенията, до които тази точка се отнася, са предварителните данни на пътниците, изчерпателно изброени в посочената точка, както и в член 3, параграф 2 от Директивата за API.

139    Следователно може да се приеме, че точка 18, доколкото се тълкува в смисъл, че обхваща само сведенията, изрично посочени в същата точка и в член 3, параграф 2 от Директивата за API, удовлетворява изискванията за яснота и точност (вж. по аналогия становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 161).

140    Ето защо следва да се констатира, че тълкувано в съответствие със съображенията, изложени по-специално в точки 130—139 от настоящото решение, приложение I към Директивата за PNR е достатъчно ясно и точно в своята цялост и така определя обхвата на намесата в основните права, закрепени в членове 7 и 8 от Хартата.

2)      Относно целите на различните видове обработване на PNR данни

141    Както е видно от член 1, параграф 2 от Директивата за PNR, целта на обработването на PNR данните, събрани в съответствие с тези директива, е борбата срещу „терористичните престъпления“ и „тежките престъпления“.

142    Що се отнася до въпроса дали Директивата за PNR предвижда в това отношение ясни и точни правила, които ограничават прилагането ѝ до строго необходимото за тази цел, следва да се отбележи, от една страна, че понятията „терористични престъпления“ и „тежки престъпления“ са определени в член 3, точка 8 от посочената директива чрез позоваване на „престъпленията съгласно националното право, посочени в членове 1—4 от Рамково решение [2002/475]“.

143    Освен факта обаче, че понятията „терористични престъпления“, „престъпления, свързани с терористична група“ и „престъпления, които са свързани с терористични дейности“, които държавите членки трябва да направят инкриминират съгласно посоченото рамково решение, са ясно и точно определени в членове 1—3 от него, същите престъпления са определени ясно и точно и в членове 3—14 от Директива (ЕС) 2017/541 на Европейския парламент и на Съвета от 15 март 2017 г. относно борбата с тероризма и за замяна на Рамково решение 2002/475/ПВР на Съвета, и за изменение на Решение 2005/671/ПВР на Съвета (ОВ L 88, 2017 г., стр. 6).

144    От друга страна понятието „тежки престъпления“ е определено в член 3, точка 9 от Директивата за PNR чрез позоваване на „престъпленията, изброени в приложение II [от тази директива], които са наказуеми с лишаване от свобода или с мярка за задържане за максимален срок от най-малко три години съгласно националното право на държава членка“.

145    Най-напред обаче в това приложение се изброяват изчерпателно различните категории престъпления, които могат да се считат за „тежки престъпления“ по смисъла на член 3, точка 9 от Директивата за PNR.

146    По-нататък, с оглед на особеностите на наказателните системи към момента на приемането на посочената директива при липсата на хармонизация на посочените престъпления, законодателят на Съюза е можел да се ограничи да посочи категории престъпления, без да определя съответните им фактически състави, още повече че тези състави по принцип са определени задължително в националното право, към което препраща член 3, точка 9 от Директивата за PNR, тъй като държавите членки са длъжни да спазват принципа на законност на престъплението и наказанието като съставна част на споделяната със Съюза обща ценност на правовата държава, посочена в член 2 ДЕС (вж. по аналогия решение от 16 февруари 2022 г., Унгария/Парламент и Съвет, C‑156/21, EU:C:2022:97, т. 136, 160 и 234), принцип, който освен това е закрепен член 49, параграф 1 от Хартата и който държавите членки трябва да спазват, когато прилагат акт на Съюза като Директивата за PNR (вж. в този смисъл решение от 10 ноември 2011 г., QB, C‑405/10, EU:C:2011:722, т. 48 и цитираната съдебна практика). Следователно с оглед и на обичайния смисъл на използваните в същото приложение термини следва да се приеме, че то определя достатъчно ясно и точно престъпленията, които могат да представляват тежки престъпления.

147    Вярно е, че точки 7, 8, 10 и 16 от приложение II се отнасят до много общи категории престъпления (измами, изпиране на приходи от престъпна дейност и подправяне на парични знаци, престъпления срещу околната среда, незаконен трафик на предмети на културата), като същевременно обаче посочват конкретни престъпления в рамките на тези общи категории. За да осигурят достатъчна точност, която се изисква и от член 49 от Хартата, тези точки трябва да се тълкуват като отнасящи се до посочените престъпления, както са определени от националното право и/или правото на Съюза в тази област. Тълкувани в този смисъл, посочените точки могат да се считат за съответстващи на изискванията за яснота и точност.

148    Накрая, необходимо е още да се припомни, че макар съгласно принципа на пропорционалност целта за борба срещу тежката престъпност да може да обоснове сериозна намеса в гарантираните в членове 7 и 8 от Хартата основни права, каквато предвижда Директивата за PNR, случаят не е такъв, когато целта е борбата с престъпността като цяло, тъй като тази цел може да обоснове само намеса, която не е сериозна (вж. по аналогия решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 59 и цитираната съдебна практика). Следователно тази директива трябва да гарантира чрез ясни и точни правила, че прилагането на установената с нея система се ограничава само до тежките престъпления и поради това изключва обикновените престъпления.

149    В това отношение, както отбелязва генералният адвокат в точка 121 от своето заключение, много от престъпленията, посочени в приложение II към Директивата за PNR, като трафик на хора, сексуална експлоатация на деца и детска порнография, незаконен трафик на оръжия, боеприпаси и експлозиви, изпиране на пари, киберпрестъпления, незаконна търговия с човешки органи и тъкани, незаконен трафик на упойващи и психотропни вещества, незаконен трафик на ядрени или радиоактивни материали, незаконно отвличане на въздухоплавателни средства/плавателни съдове, престъпления от компетентността на Международния наказателен съд, убийство, изнасилване, отвличане, противозаконно лишаване от свобода и вземане на заложници, по естеството си несъмнено са с висока степен на тежест.

150    Освен това, макар други престъпления, които също са посочени в приложение II, да не е толкова лесно да бъдат свързани с тежката престъпност, от самия текст на член 3, точка 9 от Директивата за PNR все пак е видно, че тези престъпления могат да се считат за тежки само ако са наказуеми с лишаване от свобода или с мярка за задържане за максимален срок от най-малко три години съгласно националното право на съответната държава членка. Произтичащите от тази разпоредба изисквания, които са свързани с естеството и строгостта на приложимото наказание, по принцип могат да ограничат прилагането на системата, установена с посочената директива, до престъпления с достатъчна степен на тежест, която може да обоснове намесата в основните права, закрепени в членове 7 и 8 от Хартата, произтичаща от системата, установена със същата директива.

151    Доколкото обаче член 3, точка 9 от Директивата за PNR се отнася не до минималното, а до максималното приложимо наказание, не е изключена възможността PNR данните да се обработват за целите на борбата с престъпления, които, макар да отговарят на предвидения с тази разпоредба критерий относно степента на тежест, с оглед на особеностите на националната наказателна система спадат не към тежката, а към обикновената престъпност.

152    Ето защо държавите членки следва да гарантират, че прилагането на установената с Директивата за PNR система действително е ограничена до борбата с тежките престъпления и че не обхваща престъпления, които са част от обикновената престъпност.

3)      Относно между PNR данните и целите на обработването на тези данни

153    Вярно е, че както отбелязва по същество генералният адвокат в точка 119 от своето заключение, в текста на член 3, точка 8 и член 3, точка 9 от Директивата за PNR във връзка с приложение II към нея не се посочва изрично критерий, който да може да ограничи приложното поле на тази директива само до престъпления, които по естеството си могат да имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците и съответно с предадените категории данни, обработени и запазени в съответствие с посочената директива.

154    Въпреки това, както отбелязва генералният адвокат в точка 121 от своето заключение, някои престъпления, посочени в приложение II към Директивата за PNR, като трафик на хора, незаконен трафик на упойващи вещества или оръжия, помощ за незаконно влизане и пребиваване или пък незаконно отвличане на въздухоплавателни средства по своя характер могат да имат пряка връзка с въздушния превоз на пътниците. Това важи и за някои терористични престъпления като причиняване на съществени разрушения на транспортни системи или на инфраструктура или отвличане на самолети, които са посочени в член 1, параграф 1, букви г) и д) от Рамково решение 2002/475, към който препраща член 3, точка 8 от Директивата за PNR, или пък предприемане на пътуване с цел тероризъм и организиране или подпомагане на такова пътуване, които са посочени в членове 9 и 10 от Директива 2017/541.

155    В този контекст следва също да се припомни, че Комисията е мотивирала своето предложение за директива на Европейския парламент и на Съвета относно използването на резервационни данни на пътниците за предотвратяване, разкриване, разследване и наказателно преследване на престъпления, свързани с тероризъм, и на тежки престъпления от 2 февруари 2011 г. (COM(2011) 32 final), въз основа на което е приета Директивата за PNR, като е подчертала, че „[т]ерористичните атаки в Съединените щати през 2001 г., неуспешният терористичен опит през август 2006 г. за взривяване на няколко самолета от Великобритания за САЩ, и опитът за терористичен акт на борда на самолет от Амстердам за Детройт през декември 2009 г. показаха възможностите на терористите да организират атаки срещу международни полети в която и да е държава“ и че „[п]овечето терористични действия имат международен характер и включват международни пътувания наред с другото до тренировъчни лагери извън ЕС“. Освен това, за да обоснове необходимостта от анализ на PNR данните за целите на борбата с тежките престъпления, Комисията е дала пример с група трафиканти, които с цел трафик на хора представили подправени документи за регистрация за полет, както и с мрежа за трафик на хора и наркотици, която с цел внос на наркотици в различни части на Европа използвала лица, самите те жертви на трафик на хора, като същевременно закупувала самолетните билети на тези лица с откраднати кредитни карти. Всички тези случаи обаче са се отнасяли до престъпления, които имат пряка връзка с въздушния транспорт на пътници, тъй като са били насочени към въздушния превоз на пътници или са били извършени по повод или с помощта на пътуване със самолет.

156    Освен това следва да се констатира, че дори престъпления, които нямат такава пряка връзка с въздушния транспорт на пътници, в зависимост от конкретните обстоятелства могат да имат непряка връзка с въздушния транспорт на пътници. Това е така по-специално когато въздушният транспорт служи като средство за подготовка на такива престъпления или за избягване на наказателно преследване след извършването им. За разлика от това престъпленията, които нямат никаква връзка с въздушния транспорт на пътници, дори и непряка, не могат да обосноват прилагането на установената с Директивата за PNR система.

157    При това положение член 3, точки 8 и 9 от тази директива, тълкуван във връзка с приложение II към нея и с оглед на изискванията, произтичащи от членове 7 и 8 и член 52, параграф 1 от Хартата, изисква от държавите членки да гарантират по-специално при индивидуалния преглед по неавтоматизиран начин, предвиден в член 6, параграф 5 от посочената директива, че установената с нея система се ограничава само до терористичните престъпления и тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците.

4)      Относно пътниците във въздушния транспорт и съответните полети

158    Установената с Директивата за PNR система обхваща PNR данните на всички лица, които отговарят на понятието „пътник“ по смисъла на член 3, точка 4 от тази директива и използват въздушен транспорт, попадащ в нейния обхват.

159    Съгласно член 8, параграф 1 от посочената директива, тези данни се предават на ЗДП на държавата членка, на чиято територия ще се приземи самолетът или от чиято територия ще излети, независимо от каквито и да било обективни критерии, позволяващи да се приеме, че може да има риск съответните пътници да участват в терористични престъпления или тежки престъпления. Така предадените данни обаче подлежат по-специално на автоматизирано обработване в рамките на предварителната оценка съгласно член 6, параграф 2, буква а) и параграф 3 от Директивата за PNR, тъй като, както е видно от съображение 7 от тази директива, целта на тази оценка е идентифицирането на лица, които не са били подозирани за участие в терористични престъпления или тежки престъпления преди тази оценка и които следва да бъдат подложени на допълнителна проверка от компетентните органи.

160    По-конкретно от член 1, параграф 1, буква а) и член 2 от Директивата за PNR е видно, че тя прави разграничение между пътниците по външни за ЕС полети, извършвани между Съюза и трети страни, и тези по вътрешни за ЕС полети, извършвани между различните държави членки.

161    Във връзка с външните за ЕС полети, следва да се припомни, че що се отнася до пътниците във въздушния транспорт на полети между Съюза и Канада Съдът вече е постановил, че автоматизираната обработка на техните PNR данни преди пристигането им в Канада улеснява и ускорява проверките за сигурност, по-специално по границите. Освен това изключването на определени категории лица или отправни райони би могло да попречи на осъществяването на целта на автоматизираната обработка на PNR данните, а именно идентифициране чрез проверката на тези данни на лица, които могат да представляват риск за обществената сигурност, сред всички пътници във въздушния транспорт, и да позволи избягването на тази проверка (вж. в това отношение становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 187).

162    Тези съображения обаче могат да бъдат пренесени mutatis mutandis към положението на пътниците във въздушния транспорт на полети между Съюза и всички трети страни, към което положение държавите членки са длъжни да приложат установената с Директивата за PNR система съгласно член 1, параграф 1, буква а) във връзка с член 3, точки 2 и 4 от посочената директива. Всъщност, като се има предвид самото естество на заплахите за обществената сигурност, които могат да произтичат от терористични престъпления и тежки престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътници на полети между Съюза и трети страни, предаването и предварителната оценка на PNR данните на пътниците във въздушния транспорт, които пристигат в Съюза или го напускат, не могат да бъдат ограничени до определен кръг от пътници. Поради това следва да се приеме, че необходимата връзка между тези данни и целта за борба с такива престъпления е налице, така че Директивата за PNR не надхвърля границите на строго необходимото само защото налага на държавите членки предаването и предварителната оценка на PNR данните на всички тези пътници.

163    Що се отнася до пътниците във въздушния транспорт на полети между различните държави — членки на Съюза, член 2, параграф 1 във връзка със съображение 10 от Директивата за PNR предвижда само възможност за държавите членки да разширят прилагането на системата, установена с тази директива, по отношение на вътрешните за ЕС полети.

164    В тази връзка законодателят на Съюза не е възнамерявал да наложи на държавите членки задължението да разширят прилагането на установената с Директивата за PNR система по отношение на вътрешните за ЕС полети, а както е видно от член 19, параграф 3 от тази директива, не се е произнесъл по такова разширяване, приемайки същевременно, че то трябва да бъде предхождано от подробна оценка на правните му последици, по специално върху основните права на съответните лица.

165    В това отношение следва да се отбележи, че като посочва, че докладът от извършения от Комисията преглед по член 19, параграф 1 от Директивата за PNR „включва и преглед на необходимостта, пропорционалността и ефективността на включването в обхвата на настоящата директива на задължителното събиране и предаване на [PNR данни] по отношение на всички или на избрани вътрешни за ЕС полети“ и че в тази връзка Комисията трябва да вземе предвид „натрупания от държавите членки опит, по-специално опита на онези държави членки, които прилагат настоящата директива по отношение на вътрешни за ЕС полети в съответствие с член 2“, член 19, параграф 3 от посочената директива показва, че за законодателя на Съюза системата, установена със същата директива, не трябва непременно да обхваща всички вътрешни за ЕС полети.

166    В същия ред на мисли член 2, параграф 3 от Директивата за PNR гласи, че държавите членки могат да решат да прилагат тази директива единствено спрямо избрани вътрешни за ЕС полети, които считат за необходими с оглед преследването на целите на посочената директива, като могат по всяко време да променят избраните полети.

167    Във всеки случай, както следва от съображение 22 от Директивата за PNR, възможността държавите членки да прилагат системата, установена с тази директива, и към вътрешните за ЕС полети, трябва да се упражнява при пълното зачитане на основните права, гарантирани в членове 7 и 8 от Хартата. В това отношение, въпреки че съгласно съображение 19 от посочената директива държавите членки следва да оценят заплахите от терористични престъпления и тежки престъпления, това не променя факта, че упражняването на тази възможност предполага при извършването на тази оценка държавите членки да установят, че е налице заплаха от такива престъпления, която може да обоснове прилагането на същата директива и към вътрешните за ЕС полети.

168    При тези обстоятелства държава членка, която иска да използва възможността, предвидена в член 2 от Директивата за PNR, било за всички вътрешни за ЕС полети съгласно параграф 2 от този член, било само за някои от тези полети съгласно параграф 3 от същия член, не се освобождава от задължението да провери, че разширяването на прилагането на тази директива към всички или част от вътрешните за ЕС полети действително е необходимо и пропорционално за постигането на целта по член 1, параграф 2 от посочената директива.

169    В този смисъл, като се имат предвид съображения 5—7, 10 и 22 от Директивата за PNR, такава държава членка трябва да провери дали предвиденото с тази директива обработване на PNR данните на пътниците във въздушния превоз на вътрешните за ЕС полети или на някои от тези полети е строго необходимо с оглед на сериозността на намесата в основните права, гарантирани в членове 7 и 8 от Хартата, за да се гарантира вътрешната сигурност на Съюза, или на-малкото тази на посочената държава членка, и така да се защитят живота и сигурността на лицата.

170    Що се отнася по-конкретно до заплахите от терористични престъпления, от практиката на Съда следва, че към терористичните дейности спадат такива, които могат сериозно да дестабилизират основните конституционни, политически, икономически или социални структури на дадена страна, и по-специално да заплашват пряко обществото, населението или самата държава, и че предотвратяването и преследването на тези дейности, за да се защитят съществените функции на държавата и основните интереси на обществото за опазването на националната сигурност е от първостепенен интерес за всяка държава членка. Такива заплахи по своето естество, особена тежест и специфика на свързаните с тях обстоятелства се различават от общия и постоянен риск от тежки престъпления (вж. в този смисъл решения от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 135 и 136, и от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 61 и 62).

171    Ето защо в положение, в което въз основа на извършената от държава членка оценка е констатирано, че са налице достатъчно конкретни обстоятелства, които позволяват да се приеме, че последната е изправена пред терористична заплаха, която е действителна и настояща или предвидима, обстоятелството, че тази държава членка е предвидила, в съответствие с член 2, параграф 1 от Директивата за PNR, да прилага за ограничен период тази директива към всички вътрешни за ЕС полети от или към посочената държава членка, не надхвърля границите на строго необходимото. Всъщност наличието на такава заплаха може само по себе си да създаде връзка между, от една страна предаването и обработването на съответните данни, и от друга страна, борбата с тероризма (вж. по аналогия решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 137).

172    Решението, с което се предвижда това прилагане, следва да подлежи на ефективен контрол от юрисдикция или от независима административна структура, чието решение има обвързващо действие, за да се провери за наличието на това положение, както и за спазването на условията и гаранциите, които трябва да бъдат предвидени. Освен това прилагането трябва да е за ограничен до строго необходимото период от време, който може да бъде удължен, ако заплахата продължи да съществува (вж. по аналогия решения от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 168, и от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 58).

173    За разлика от това при липсата на действителна и настояща или предвидима терористична заплаха, пред която е изправена съответната държава членка, не може да се счита, че общото прилагане от последната на установената с Директивата за PNR система не само към външните за ЕС полети, но и към всички вътрешни за ЕС полети, е ограничено до строго необходимото.

174    При това положение прилагането на установената с Директивата за PNR система към някои вътрешни за ЕС полети трябва да бъде ограничено до предаването и обработването на PNR данни за полетите, които се отнасят по-специално до някои маршрути или схеми за пътуване или още до някои летища, за които са налице индиции, които могат да обосноват това прилагане. В такъв случай съответната държава членка следва да подбере вътрешни за ЕС полети в зависимост от резултатите от оценката, която трябва да извърши въз основа на посочените в точки 163—169 от настоящото решение изисквания и да преразглежда периодично в зависимост от развитието на обстоятелствата, обосновали подбора им, за да гарантира, че прилагането на установената с посочената директива система към вътрешните за ЕС полети продължава да е ограничено до строго необходимото.

175    От гореизложените съображения следва, че така възприетото тълкуване на член 2 и член 3, точка 4 от Директивата за PNR във връзка с членове 7 и 8 и член 52, параграф 1 от Хартата може да гарантира, че тези разпоредби не надхвърлят границите на строго необходимото.

5)      По предварителната оценка на PNR данните чрез автоматизирани средства

176    Съгласно член 6, параграф 2, буква а) от Директивата за PNR предвидената в него предварителна оценка има за цел да се идентифицират лицата, за които се налага допълнителна проверка, по-специално от компетентните органи, посочени в член 7 от тази директива, предвид факта, че тези лица може да са замесени в терористично престъпление или тежко престъпление.

177    Тази предварителна оценка протича на два етапа. На първо място, ЗДП на съответната държава членка извършва, съгласно член 6, параграф 3 от Директивата за PNR, автоматизирано обработване на PNR данните, като ги сравнява с бази данни или съобразно предварително определени критерии. На второ място, ако това автоматизирано обработване води до съвпадение (hit), посоченото звено извършва, съгласно член 6, параграф 5 от тази директива, индивидуален преглед по неавтоматизиран начин, за да провери дали компетентните органи, посочени в член 7 от същата директива, трябва да предприемат действия съгласно националното право (match).

178    Както обаче беше припомнено в точка 106 от настоящото решение, автоматизираното обработване включва значителна степен на грешка, тъй като се извършва въз основа на непроверени лични данни и се базира на предварително определени критерии.

179    При това положение и като се има предвид необходимостта, изтъкната в четвъртото съображение от преамбюла на Хартата, да се засили защитата на основните права в светлината по-специално на развитието на научните и технологичните постижения, трябва да се гарантира, както гласят съображение 20 и член 7, параграф 6 от Директивата за PNR, че компетентните органи не вземат решения, които водят до неблагоприятни правни последици за дадено лице или сериозно го засягат, въз основа единствено на автоматизирано обработване на PNR данните. Освен това съгласно член 6, параграф 6 от тази директива самото ЗДП може да предаде PNR данните на тези органи само след като е извършило индивидуален преглед по неавтоматизиран начин. Накрая, освен тези проверки, които самото ЗДП и самите компетентни органи трябва да извършат, законосъобразността на всички видове автоматизирано обработване следва да подлежи на контрол от длъжностното лице по защита на данните и националния надзорен орган съгласно съответно член 6, параграф 7 и член 15, параграф 3, буква б) от посочената директива, както и от националните съдилища в рамките на съдебната защита, предвидена в член 13, параграф 1 от същата директива.

180    Както обаче отбелязва по същество генералният адвокат в точка 207 от своето заключение, националният надзорен орган, длъжностното лице по защита на данните и ЗДП трябва да разполагат с материалните и човешките ресурси, необходими за упражняване на възложения им по силата на Директивата за PNR контрол. Освен това е необходимо националната правна уредба, която транспонира тази директива във вътрешното право и разрешава предвиденото в последната автоматизирано обработване, да установява ясни и точни правила, които уреждат определянето на базите данни и използваните критерии за анализ, като за целите на предварителната оценка не използва други методи, които не са изрично предвидени в член 6, параграф 2 от тази директива.

181    Освен това от член 6, параграф 9 от Директивата за PNR следва, че последиците от предварителната оценка по член 6, параграф 2, буква а) от директивата не застрашават правото на влизане на лица, които се ползват от правото на свободно движение на територията на съответната държава членка, както е предвидено в Директива 2004/38, и трябва освен това да са съобразени с Регламент № 562/2006. Ето защо установената с Директивата за PNR система не позволява на компетентните органи да ограничават това право отвъд предвиденото от Директива 2004/38 и Регламент № 562/2006.

i)      По съпоставянето на PNR данните с базите данни

182    Съгласно член 6, параграф 3, буква а) от Директивата за PNR при извършването на оценката по член 6, параграф 2, буква а) от тази директива ЗДП „може“ да съпостави резервационни данни на пътниците с „базите данни, които са от значение“ за целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления, „включително базите данни относно лицата или предметите, които се издирват или за които е подаден сигнал, в съответствие с правилата на Съюза и международните и националните правила, приложими към тези бази данни“.

183    Макар от самия текст на същия член 6, параграф 3, буква а) от Директивата за PNR, и по-специално от термина „включително“, да следва, че базите данни относно лицата или предметите, които се издирват или за които е подаден сигнал, са сред посочените в тази разпоредба „[бази] данни, които са от значение“, тя не уточнява за какви други бази данни може да се счита, че са „от значение“ с оглед на преследваните от тази директива цели. Всъщност, както отбелязва генералният адвокат в точка 217 от своето заключение, посочената разпоредба не уточнява изрично естеството на данните, които могат да се съдържат в такива бази, и тяхната връзка с тези цели, нито посочва дали PNR данните трябва да се съпоставят само с бази данни, които се управляват от публични органи, или могат да се съпоставят и с бази данни, управлявани от частни лица.

184    При това положение член 6, параграф 3, буква а) от Директивата за PNR на пръв поглед би могъл да се тълкува в смисъл, че PNR данните могат да се използват като обикновени критерии за търсене за извършването на анализи въз основа на различни бази данни, включително бази данни, които службите за сигурност и разузнаване на държавите членки управляват и използват при преследването на цели, различни от посочените в тази директива, и че такива анализи могат да са под формата на извличане на данни (data mining). Възможността за извършване на такова извличане на данни и за съпоставяне на PNR данните с такива бази данни обаче би могла да породи в съзнанието на пътниците във въздушния транспорт усещането, че личният им живот е обект на някаква форма на наблюдение. Поради това, въпреки че предвидената в тази разпоредба предварителна оценка изхожда от сравнително ограничен набор от данни, каквито са PNR данните, такова тълкуване на член 6, параграф 3, буква а) не може да бъде възприето, тъй като би могло да доведе до непропорционално използване на тези данни, предоставящо средствата за установяване на точния профил на съответните лица само поради това че възнамеряват да пътуват със самолет.

185    Следователно съгласно припомнената в точки 86 и 87 от настоящото решение съдебна практика член 6, параграф 3, буква а) от Директивата за PNR следва да се тълкува така, че да гарантира пълното зачитане на основните права, закрепени в членове 7 и 8 от Хартата.

186    В това отношение от съображения 7 и 15 от Директивата за PNR е видно, че предвиденото в член 6, параграф 3, буква а) от тази директива автоматизирано обработване трябва да е ограничено до строго необходимото за целите на борбата срещу терористичните престъпления и тежките престъпления, като същевременно осигурява високо равнище на защита на тези основни права.

187    Освен това, както Комисията отбелязва по същество в отговор на зададен от Съда въпрос, текстът на тази разпоредба, съгласно който ЗДП „може“ да съпоставя PNR данните с посочените в разпоредбата бази данни, позволява на ЗДП да избере начин на обработване, който е ограничен до строго необходимото, в зависимост от конкретното положение. С оглед обаче на необходимостта от спазване на изискванията за яснота и точност, които са нужни, за да се гарантира защитата на закрепените в членове 7 и 8 от Хартата основни права, ЗДП е длъжно да ограничи предвиденото в член 6, параграф 3, буква а) от Директивата за PNR автоматизирано обработване само до базите данни, които тази разпоредба позволява да бъдат идентифицирани. В това отношение, макар споменаването в последната разпоредба на „базите данни, които са от значение“ да не позволява тълкуване, което да уточнява достатъчно ясно и точно така посочените бази данни, това не се отнася до споменаването на „базите данни относно лицата или предметите, които се издирват или за които е подаден сигнал, в съответствие с правилата на Съюза и международните и националните правила, приложими към тези бази данни“.

188    Следователно, както отбелязва по същество генералният адвокат в точка 219 от своето заключение, с оглед на тези основни права член 6, параграф 3, буква а) от Директивата за PNR трябва да се тълкува в смисъл, че последно посочените бази данни са единствените, с които ЗДП може съпоставя PNR данните.

189    Що се отнася до изискванията, на които трябва да отговарят тези бази данни, следва да се отбележи, че съгласно член 6, параграф 4 от Директивата за PNR предварителната оценка, която се предприема съгласно член 6, параграф 3, буква б) от тази директива съобразно предварително определените критерии, се извършва по недискриминационен начин, като тези критерии трябва да бъдат целенасочени, пропорционални и конкретни и да се определят и подлежат на редовен преглед от ЗДП в сътрудничество с компетентните органи, посочени в член 7 от същата директива. Макар, като препраща към член 6, параграф 3, буква б) от същата директива, текстът на член 6, параграф 4 да се отнася само до обработването на PNR данни съобразно предварително определени критерии, последната разпоредба трябва да се тълкува, с оглед на членове 7, 8 и 21 от Хартата, в смисъл, че изискванията, които предвижда, трябва да се прилагат mutatis mutandis към съпоставянето на тези данни с посочените в предходната точка от настоящото решение бази данни, още повече че тези изисквания съответстват по същество на възприетите от съдебната практика, установена със становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 172) за съпоставянето на PNR данните с бази данни.

190    В това отношение следва да се уточни, че изискването, свързано с недискриминационния характер на посочените бази данни, предполага по-специално, че включването в базите данни относно лицата или предметите, които се издирват или за които е подаден сигнал, трябва да се основава на обективни и недискриминационни критерии, определени с правилата на Съюза и международните и националните правила, приложими към тези бази данни (вж. по аналогия решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 78).

191    Освен това, за да се отговори на изискването за целенасочения, пропорционален и конкретен характер на предварително определените критерии, посочените в точка 188 от настоящото решение бази данни трябва да се използват във връзка с борбата срещу терористичните престъпления и тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците.

192    Впрочем с оглед на съображенията, съдържащи се в точки 183 и 184 от настоящото решение, базите данни, използвани съгласно член 6, параграф 3, буква а) от Директивата за PNR, трябва да се управляват от посочените в член 7 от тази директива компетентни органи или, що се отнася до базите данни на Съюза или международните бази данни, да се използват от тези органи в рамките на тяхната задача за борба с терористичните престъпления и тежките престъпления. Такъв обаче е случаят с базите данни относно лицата или предметите, които се издирват или за които е подаден сигнал, в съответствие с правилата на Съюза и международните и националните правила, приложими към тези бази данни.

ii)    По обработването на PNR данните съобразно предварително определени критерии

193    Член 6, параграф 3, буква б) от Директивата за PNR предвижда, че ЗДП може да обработва PNR данните и съобразно предварително определени критерии. От член 6, параграф 2, буква а) от тази директива е видно, че предварителната оценка, а оттам и обработването на PNR данни съобразно предварително определени критерии, има за цел да се идентифицират лицата, които може да са замесени в терористично престъпление или тежко престъпление.

194    Що се отнася до критериите, които ЗДП може да използва за тази цел, следва да се отбележи, най-напред, че съгласно самия текст на член 6, параграф 3, буква б) от Директивата за PNR, тези критерии трябва да са „предварително определени“. Както отбелязва генералният адвокат в точка 228 от своето заключение, това изискване не допуска използването на технологии за изкуствен интелект в рамките на системи за самообучение (machine learning), които могат да променят процеса на оценка без човешка намеса или контрол, и по-конкретно критериите за оценка, на които се основава резултатът от прилагането на този процес, както и претеглянето на тези критерии.

195    Следва да се добави, че използването на такива технологии може да лиши от полезен ефект индивидуалния преглед на съответствията, както и контрола на законосъобразността, който се изисква в разпоредбите на Директивата за PNR. Всъщност, както отбелязва по същество генералният адвокат в точка 228 от своето заключение, като се има предвид непрозрачността, която е характерна за функционирането на технологиите за изкуствен интелект, може да се окаже невъзможно да се разбере причината, поради която дадена програма е стигнала до съвпадение. При това положение използването на тези технологии може да лиши съответните лица и от правото на ефективна съдебна защита, закрепено в член 47 от Хартата, за което Директивата за PNR, съгласно съображение 28 от нея, предвижда високо равнище на защита, по-конкретно за оспорване на недискриминационния характер на получените резултати.

196    По-нататък, що се отнася до изискванията, произтичащи от член 6, параграф 4 от Директивата за PNR, първото изречение на тази разпоредба гласи, че предварителната оценка съобразно предварително определени критерии се извършва по недискриминационен начин, а съгласно четвърто изречение критериите при никакви обстоятелства не са основани на расата или етническия произход на лицето, на неговите политически мнения, религия или философски убеждения, членство в профсъюзи, здравословно състояние, сексуален живот или сексуална ориентация.

197    Следователно държавите членки не могат да възприемат за предварително определени критерии такива, които се основават на характеристиките, посочени в предходната точка от настоящото решение и чието използване може да доведе до дискриминация. В това отношение от текста на член 6, параграф 4 от Директивата за PNR, съгласно който предварително определените критерии „при никакви обстоятелства“ не са основани на тези характеристики, следва, че тази разпоредба се отнася както до пряката, така и до непряката дискриминация. Това тълкуване впрочем се потвърждава от член 21, параграф 1 от Хартата, с оглед на който трябва да се тълкува тази разпоредба и който забранява „всяка форма“ на дискриминация, основана на посочените характеристики. При това положение предварително определените критерии трябва да се определят така, че макар и формулирани неутрално, прилагането им да не може да поставя в неблагоприятно положение лицата, притежаващи защитените характеристики.

198    Що се отнася до изискването за целенасочения, пропорционален и конкретен характер на предварително определените критерии, предвидено в член 6, параграф 4, второ изречение от Директивата за PNR, от това изискване следва, че критериите, използвани за целите на предварителната оценка, трябва да са определени така, че да са насочени конкретно към лица, по отношение на които може да съществува разумно подозрение за участие в терористични или тежки престъпления, посочени в тази директива. Това тълкуване се потвърждава от самия текст на член 6, параграф 2, буква а) от същата директива, който поставя акцента върху „факта“, че съответните лица „може“ да са замесени в „терористично престъпление“ или „тежко престъпление“. В същия ред на мисли в съображение 7 от посочената директива се уточнява, че създаването и прилагането на критерии за оценка следва да бъдат ограничени до терористични престъпления и тежки престъпления, „при които използването на тези критерии има значение“.

199    За да са насочени по този начин към съответните лица и предвид риска от дискриминация, който крият критериите, основани на характеристиките, посочени в член 6, параграф 4, четвърто изречение от Директивата за PNR, ЗДП и компетентните органи по принцип не могат да се основават на тези характеристики. За разлика от това, както отбелязва германското правителство по време на съдебното заседание, те могат по-специално да вземат предвид особености във фактическото поведение на лица във връзка с подготовката и извършването на полетите, които в зависимост от направените констатации и придобития опит на компетентните органи могат да покажат, че лицата, които се държат по този начин, могат да са замесени в терористични престъпления или тежки престъпления.

200    В този контекст, както отбелязва Комисията в отговор на въпрос на Съда, предварително определените критерии трябва да са установени така, че да вземат предвид както „уличаващите“ така и „оневиняващите“ факти, тъй като това изискване може да допринесе за надеждността на тези критерии, и по-специално да гарантира, че са пропорционални, както изисква член 6, параграф 4, второ изречение от Директивата за PNR.

201    Накрая, съгласно член 6, параграф 4, трето изречение от тази директива предварително определените критерии трябва да подлежат на редовен преглед. В рамките на този преглед, тези критерии трябва да се актуализират в зависимост от развитието на условията, обосновали вземането им предвид за целите на предварителната оценка, като по този начин става възможно по-специално да се реагира на промените в борбата срещу терористичните престъпления и тежките престъпления, посочени в точка 157 от настоящото решение (вж. по аналогия решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 82). По-конкретно посоченият преглед трябва да вземе предвид опита, придобит в рамките на прилагането на предварително определените критерии, за да се намали, доколкото е възможно, броят на „фалшивите положителни“ резултати и по този начин да се допринесе за строго необходимия характер на прилагането на тези критерии.

iii) По гаранциите, свързани с автоматизираното обработване на PNR данни

202    Спазването на изискванията, с които съгласно член 6, параграф 4 от Директивата за PNR е обвързано автоматизираното обработване на PNR данните, се налага не само в рамките на определянето и прегледа на базите данни и предварително определените критерии, предвидени в тази разпоредба, но и, както отбелязва генералният адвокат в точка 230 от своето заключение, по време на целия процес на обработване на тези данни.

203    Що се отнася по-конкретно до предварително определените критерии, най-напред следва да се уточни, че макар ЗДП да трябва, както гласи съображение 7 от Директивата за PNR, да определи критериите за оценка по такъв начин, че броят на погрешно идентифицираните невинни лица от установената с тази директива система да бъде възможно най-малък, това звено трябва все пак, съгласно член 6, параграфи 5 и 6 от посочената директива, да преглежда поотделно по неавтоматизиран начин всяко съвпадение, за да се установи, доколкото е възможно, евентуалното наличие на „фалшиви положителни резултати“. Освен това независимо от факта, че трябва да определя критериите за преценка по недискриминационен начин, ЗДП е длъжно да извършва такъв преглед, за да изключи евентуални дискриминационни резултати. ЗДП трябва да спазва същото задължение за преглед по отношение на съпоставянето на PNR данните с базите данни.

204    Следователно ЗДП трябва да се въздържа да предава резултатите от това автоматизирано обработване на компетентните органи по член 7 от Директивата за PNR, когато с оглед на съображенията, съдържащи се в точка 198 от настоящото решение, то не разполага с данни, произтичащи от този преглед, които могат надлежно да обосноват разумно подозрение за участие в терористични престъпления или тежки престъпления на лица, идентифицирани чрез автоматичното обработване, или когато разполага с доказателства, че посоченото обработване води до дискриминационни резултати.

205    Що се отнася до проверките, които ЗДП трябва да извърши за тази цел, от член 6, параграфи 5 и 6 във връзка със съображения 20 и 22 от Директивата за PNR следва, че държавите членки трябва да предвидят ясни и точни правила, които да насочват и регламентират анализа, извършван от служителите, отговорни за индивидуалния преглед, за да се осигури пълното зачитане на основните права, закрепени в членове 7, 8 и 21 от Хартата, и по-специално да се гарантира последователна административна практика в рамките на ЗДП, съобразена с принципа на недопускане на дискриминация.

206    По-конкретно, предвид значителния брой „фалшиви положителни резултати“, посочен в точка 106 от настоящото решение, държавите членки трябва да се уверят, че ЗДП определя ясно и точно обективни критерии за преглед, които позволяват на служителите му да проверяват, от една страна, дали и доколко дадено съвпадение (hit) се отнася действително до лице, което може да е замесено в терористичните престъпления или тежките престъпления, посочени в точка 157 от настоящото решение, и поради това трябва да подлежи на допълнителна проверка от компетентните органи по член 7 от тази директива, и от друга страна, недискриминационния характер на предвиденото в посочената директива автоматизирано обработване, и по-специално на предварително определените критерии и използваните бази данни.

207    В този контекст държавите членки са длъжни да гарантират, че в съответствие с член 13, параграф 5 във връзка със съображение 37 от Директивата за PNR ЗДП поддържа документация за всяко обработване на PNR данни, извършено в рамките на предварителната оценка, включително в рамките на индивидуалния преглед с неавтоматизирани средства с цел проверка на неговата законосъобразност и самонаблюдение.

208    По-нататък, съгласно член 7, параграф 6, първо изречение от Директивата за PNR компетентните органи не вземат решения, които водят до неблагоприятни правни последици за дадено лице или сериозно го засягат, въз основа единствено на автоматизирано обработване на PNR данни, което в рамките на предварителната оценка означава, че те трябва да вземат предвид и евентуално да отдадат предимство на резултата от индивидуалния преглед, извършен от ЗДП с неавтоматизирани средства, пред получения чрез автоматизираното обработване. Във второто изречение на същия член 7, параграф 6 се уточнява, че тези решения не трябва да са дискриминационни.

209    В този контекст компетентните органи трябва да се уверят в законосъобразността както на това автоматизирано обработване, по-специално неговия недискриминационен характер, така и на индивидуалния преглед.

210    По-конкретно, компетентните органи трябва да се уверят, без непременно да предоставят на заинтересованото лице възможността в рамките на административното производство да се запознае с предварително определените критерии за оценка и програмите, използващи тези критерии, че то може да разбере как функционират тези критерии и програми, така че да може да реши, разполагайки с цялата необходима информация, дали да упражни правото си на съдебна защита, гарантирано в член 13, параграф 1 от Директивата за PNR, за да оспори евентуално незаконосъобразността, и по-специално недискриминационния характер на посочените критерии (вж. по аналогия решение от 24 ноември 2020 г., Minister van Buitenlandse Zaken, C‑225/19 и C‑226/19, EU:C:2020:951, т. 43 и цитираната съдебна практика). Същото трябва да се отнася и за критериите за преглед, посочени в точка 206 от настоящото решение.

211    Накрая, при обжалване съгласно член 13, параграф 1 от Директивата за PNR съдът, натоварен с контрола за законосъобразност на приетото от компетентните органи решение, както и — с изключение на случаите на заплаха за националната сигурност — самото заинтересовано лице, трябва да могат да се запознаят както с всички съображения, така и с доказателствата, въз основа на които е прието това решение (вж. по аналогия решение от 4 юни 2013 г., ZZ, C‑300/11, EU:C:2013:363, т. 54—59), включително с предварително определените критерии за оценка и с функционирането на програмите, използващи тези критерии.

212    Освен това по силата съответно на член 6, параграф 7 и член 15, параграф 3, буква б) от Директивата за PNR, длъжностното лице по защита на данните и националният надзорен орган трябва да осигурят контрола за законосъобразност на автоматизираното обработване, извършено от ЗДП в рамките на предварителната оценка, който обхваща и недискриминационния характер на това обработване. Макар в първата от тези разпоредби да се уточнява в тази връзка, че длъжностното лице по защита на данните разполага с достъп до всички обработвани от ЗДП данни, този достъп трябва непременно да обхване и използваните от това звено предварително определени критерии и бази данни, за да се осигурят ефективността и високото равнище на защита на данните, които длъжностното лице трябва да осигури съгласно съображение 37 от тази директива. По същия начин разследванията, проверките и одитите, които националният надзорен орган провежда съгласно втората разпоредба също могат да се отнасят до предварително определените критерии и базите данни.

213    От всички гореизложени съображения следва, че разпоредбите на Директивата за PNR, които уреждат предварителната оценка на PNR данните по член 6, параграф 2, буква а) от тази директива, могат да се тълкуват в съответствие с членове 7, 8 и 21 от Хартата, тъй като не надхвърлят границите на строго необходимото.

6)      По последващото предаване и последващата оценка на PNR данните

214    Съгласно член 6, параграф 2, буква б) от Директивата за PNR по искане на компетентните органи PNR данните могат също така да им бъдат предоставени и подложени на оценка след обявеното време за пристигане в държавата членка или за заминаване от нея.

215    Що се отнася до условията, при които могат да се извършат предаването и оценката, от текста на тази разпоредба е видно, че ЗДП може да обработва PNR данните, за да се даде отговор „въз основа на оценка на всеки отделен случай“ по „надлежно обосновано, основаващо се на достатъчно данни искане“ от страна на компетентните органи за предоставяне и за обработване „в конкретни случаи с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления“. Освен това, когато искането е подадено повече от шест месеца след предаването на PNR данните на ЗДП, срок, след който съгласно член 12, параграф 2 от тази директива всички PNR данни се деперсонализират чрез прикриване на елементи от тях, член 12, параграф 3 от посочената директива предвижда, че разкриването на пълните PNR данни и съответно на недеперсонализиран вариант от тях се разрешава само при две условия, а именно да са налице, от една страна, разумни основания да се счита, че това е необходимо за целите по член 6, параграф 2, буква б) от посочената директива, и от друга страна, одобрение от съдебен орган или друг национален орган, компетентен съгласно националното право.

216    В това отношение, както е видно най-напред от самия текст на член 6, параграф 2, буква б) от Директивата за PNR, ЗДП не може да извършва систематично последващо разкриване и оценка на PNR данните на всички пътници във въздушния транспорт, а може само да отговаря „въз основа на оценка на всеки отделен случай“ на искания за такова обработване „в конкретни случаи“. Въпреки това, доколкото в тази разпоредба се споменават „конкретни случаи“, това обработване не трябва непременно да се ограничава до PNR данните само на един пътник във въздушния транспорт, а може, както отбелязва Комисията в отговор на въпрос на Съда, да се отнася и до кръг лица, стига съответните лица да притежават определен брой характеристики, които позволяват да се приеме, че заедно представляват „конкретен случай“ за целите на исканото разкриване и оценка.

217    По-нататък, що се отнася до материалните условия, необходими, за да може PNR данните да бъдат подложени на последващо разкриване и оценка, макар в член 6, параграф 2, буква б) и член 12, параграф 3, буква а) от Директивата за PNR да се споменават съответно „достатъчно данни“ и „разумни основания“, без да се уточнява изрично естеството на тези данни и основания, от самия текст на първата разпоредба, която се позовава на целите, посочени в член 1, параграф 2 от същата директива, следва, че последващото разкриване и оценка на PNR данните могат да се извършат само за да се провери за наличието на улики за възможно участие на съответните лица в терористични престъпления или тежки престъпления, които имат, както следва от точка 157 от настоящото решение, обективна връзка, най-малкото непряка, с въздушния превоз на пътниците.

218    В рамките на установената с Директивата за PNR система обаче разкриването и обработването на PNR данните съгласно член 6, параграф 2, буква б) от тази директива се отнасят до данните на лицата, които вече са били подложени на предварителна оценка преди тяхното обявено време за пристигане в съответната държава членка или за заминаване от нея. Освен това искане за последваща оценка може да се отнася по-специално до лицата, чиито данни не са предадени на компетентните органи след предварителната оценка, тъй като при нея не са открити доказателства, че тези лица може да са замесени в терористични престъпления или тежки престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците. При това положение разкриването и обработването на тези данни за целите на последващата им обработка трябва да се основават на нови обстоятелства, които да обосновават това използване (вж. в този смисъл становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 200 и цитираната съдебна практика).

219    Що се отнася до естеството на обстоятелствата, които могат да обосноват разкриването и обработването на PNR данните за целите на последващата им оценка, съгласно постоянната съдебна практика, тъй като общ достъп до всички запазени данни — независимо дали те имат някаква, макар и непряка връзка с преследваната цел — не може да се счита за ограничен до строго необходимото, съответната правна уредба, независимо дали става въпрос за правната уредба на Съюза или за национална норма, която я транспонира, трябва да се основава на обективни критерии за определяне на обстоятелствата и условията, при които на компетентните органи трябва да се предоставя достъп до въпросните данни. В това отношение за целите на борбата с престъпността достъп може по принцип да се предостави само до данните на лица, които са заподозрени, че подготвят, извършват или са извършили тежко престъпление или че по някакъв начин са участвали в такова престъпление. При все това в някои изключителни случаи като тези, при които жизнено важните интереси на националната сигурност, отбраната или обществената сигурност са застрашени от терористични дейности, достъп до данните на други лица също би могъл да се предостави, ако съществуват обективни обстоятелства, позволяващи да се приеме, че в случая тези данни действително биха могли да подпомогнат борбата с такива дейности (решения от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения), C‑746/18, EU:C:2021:152, т. 50 и цитираната съдебна практика, и от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 105).

220    Следователно изразите „достатъчно данни“ и „разумни основания“, съдържащи се съответно в член 6, параграф 2, буква б) и член 12, параграф 3, буква а) от Директивата за PNR, трябва да се тълкуват, с оглед на членове 7 и 8 от Хартата в смисъл, че се отнасят до обективни обстоятелства, които могат да обосноват разумно подозрение за участие на съответното лице по един или друг начин в тежки престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците, докато, що се отнася до терористичните престъпления, които имат такава връзка, това изискване е изпълнено, когато са налице обективни обстоятелства, позволяващи да се приеме, че в случая PNR данните действително биха могли да подпомогнат борбата с такива престъпления.

221    Накрая, що се отнася до процесуалните условия, с които са обвързани разкриването и обработването на PNR данните за целите на тяхната последваща оценка, в случаите, когато искането е подадено повече от шест месеца след предаването им на ЗДП, т.е. когато съгласно параграф 2 от този член посочените данни се деперсонализират чрез прикриване на посочените в същия параграф 2 елементи от тях, член 12, параграф 3, буква б) от Директивата за PNR изисква разкриването на пълните PNR данни и съответно на недеперсонализиран вариант от тях да е одобрено от съдебен или друг национален орган, компетентен съгласно националното право. В този контекст тези органи следва да проверят изцяло основателността на искането, и по-специално дали доказателствата в подкрепа на това искане могат да обосноват посоченото в предходната точка от настоящото решение материалноправно условие, свързано с наличието на „разумни основания“.

222    Вярно е, че когато искането за последващо разкриване и оценка на PNR данните е направено преди изтичането на шестмесечния срок след предаването на тези данни, член 6, параграф 2, буква б) от Директивата за PNR не предвижда изрично такова процесуално условие. При тълкуването на последната разпоредба обаче трябва да се вземе предвид съображение 25 от тази директива, от което е видно, че като е предвидил посоченото процесуално условие, законодателят на Съюза е възнамерявал да „осигури най-високо равнище на защита на данните“, що се отнася до достъпа на PNR данните под форма, която да позволява непосредственото идентифициране на съответното лице. Всяко искане за последващо разкриване и оценка обаче предполага такъв достъп до тези данни, независимо от това дали искането е направено преди или след изтичането на шестмесечния срок от предаването на PNR данните на ЗДП.

223    По-конкретно, за да се гарантира на практика пълното зачитане на основните права в рамките на установената с Директивата за PNR система, и по-специално условията, посочени в точки 218 и 219 от настоящото решение, от съществено значение е разкриването на PNR данните за целите на последваща оценка да се осъществява поначало, освен в надлежно обосновани неотложни случаи, след предварителен контрол, извършван или от юрисдикция, или от независим административен орган, и решението на тази юрисдикция или на този орган да се постановява след мотивирана молба на компетентните органи, подадена по-специално в рамките на наказателни производства за предотвратяване, разкриване или наказателно преследване на престъпления. В надлежно обосновани спешни случаи контролът трябва да се извърши в кратки срокове (вж. по аналогия становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 202 и цитираната съдебна практика, и решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 110).

224    При това положение изискването за предвидения в член 12, параграф 3, буква б) от Директивата за PNR предварителен контрол на исканията за разкриване на PNR данните, направени след изтичането на шестмесечния срок от предаването на тези данни на ЗДП, трябва да се прилага mutatis mutandis и в случаите, когато искането за разкриване е направено преди изтичането на този срок.

225    Освен това, макар член 12, параграф 3, буква б) от Директивата за PNR да не уточнява изрично изискванията, на които трябва да отговаря органът, натоварен с предварителния контрол, съгласно постоянната съдебна практика, за да се гарантира, че намесата в предвидените в членове 7 и 8 от Хартата основни права, която произтича от достъп до личните данни, е ограничена до строго необходимото, този орган трябва да разполага с всички правомощия и да представи всички необходими гаранции, за да осигури съвместяване на различните разглеждани интереси и права. Що се отнася по-специално до наказателно разследване, подобен контрол изисква този орган да е в състояние да осигури справедливо равновесие между, от една страна, интересите, свързани с нуждите на разследването в рамките на борбата с престъпността, и от друга страна, основните права на зачитане на личния живот и на защита на личните данни на лицата, чиито данни са засегнати от достъпа (решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 107 и цитираната съдебна практика).

226    За тази цел такъв орган трябва да се ползва със статут, който му позволява при упражняването на неговите функции да действа по обективен и безпристрастен начин и поради това трябва да бъде защитен от всякакво външно влияние. Това изискване за независимост налага посоченият орган да има качеството на трето лице по отношение на органа, който иска достъп до данните, така че да е в състояние да упражнява своя контрол без каквото и да било външно влияние. По-специално в наказателноправната област изискването за независимост предполага посоченият орган, от една страна, да не участва в провеждането на въпросното наказателно разследване и от друга страна, да заема неутрално положение по отношение на страните в наказателното производство (вж. в този смисъл решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 108 и цитираната съдебна практика).

227    Следователно разпоредбите на Директивата за PNR, които уреждат последващото разкриване и оценка на PNR данните по член 6, параграф 2, буква б) от тази директива, могат да се тълкуват в съответствие с членове 7 и 8 и член 52, параграф 1 от Хартата, тъй като не надхвърлят границите на строго необходимото.

228     С оглед на всички гореизложени съображения, тъй като тълкуването на Директивата за PNR с оглед на членове 7, 8 и 21, и член 52, параграф 1 от Хартата осигурява съгласуваността на тази директива с посочените членове от Хартата, при разглеждането на втория, третия, четвъртия и шестия въпрос не се установяват обстоятелства, които могат да засегнат валидността на същата директива.

В.      По петия въпрос

229    С петия си въпрос запитващата юрисдикция иска да установи дали член 6 от Директивата за PNR във връзка с членове 7 и 8 и член 52, параграф 1 от Хартата, трябва да се тълкува в смисъл, че не допуска национално законодателство, което разрешава обработването на PNR данни, събрани в съответствие с тази директива, за целите на контрола на дейности от разузнавателните служби и службите за сигурност.

230    От акта за преюдициално запитване следва, че с този въпрос запитващата юрисдикция има предвид по-конкретно дейностите, посочени от Sûreté de l’État (Служба за национална сигурност, Белгия) и Service général du renseignement et de la sécurité (Обща служба за разузнаване и сигурност, Белгия) в рамките на съответните им задачи за защита на националната сигурност.

231    В това отношение, за да се спазят принципите на законност и пропорционалност, посочени по-специално в член 52, параграф 1 от Хартата, законодателят на Съюза е предвидил ясни и точни правила, уреждащи целите на предвидените с Директивата за PNR мерки, които включват намеса в основните права, гарантирани с членове 7 и 8 от Хартата.

232    Всъщност член 1, параграф 2 от Директивата за PNR предвижда изрично, че събраните в съответствие с тази директива PNR данни могат да се обработват „единствено за целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления, както е предвидено в член 6, параграф 2, букви а), б) и в)“ [от посочената директива]“. Текстът на последната разпоредба, в който систематично се използват понятията „терористично престъпление“ и „тежко престъпление“, потвърждава принципа, посочен в същия член 1, параграф 2.

233    Следователно от текста на тези разпоредби следва ясно, че изброяването на съдържащите се в тях цели, преследвани с обработването на PNR данните съгласно Директивата за PNR, е изчерпателно.

234    Това тълкуване се потвърждава по-специално от съображение 11 от Директивата за PNR, съгласно което обработването на PNR данните трябва да бъде пропорционално на „конкретните цели, свързани със сигурността“, преследвани с тази директива и с член 7, параграф 4 от нея, съгласно който PNR данните и резултатите от обработването тези данни, получени от ЗДП, могат да бъдат обработвани допълнително „единствено с конкретната цел за предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления или тежки престъпления“.

235    Освен това изчерпателният характер на целите, посочени в член 1, параграф 2 от Директивата за PNR, предполага също, че PNR данните не могат да бъдат съхранявани в единна база данни, с която може да се прави справка за постигането както на тези, така и на други цели. Всъщност съхраняването на тези данни в такава база би създало риск от използване на посочените данни за цели, различни от посочените в член 1, параграф 2.

236    В настоящия случай, тъй като според запитващата юрисдикция разглежданото в главното производство национално законодателство допуска като цел на обработването на PNR данни да се извършва контрол на съответните дейности от разузнавателните служби и службите за сигурност, като по този начин посочената цел се включва в рамките на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления, това законодателство може да е в противоречие с изчерпателното изброяване на целите, преследвани с обработването на PNR данните в съответствие с Директивата за PNR, което запитващата юрисдикция следва да провери.

237    Следователно на петия въпрос следва да се отговори, че член 6 от Директивата за PNR във връзка с членове 7 и 8, и член 52, параграф 1 от Хартата трябва да се тълкува в смисъл, че не допуска национално законодателство, което разрешава обработването на PNR данни, събрани в съответствие с тази директива, за цели, различни от изрично посочените в член 1, параграф 2 от същата директива.

Г.      По седмия въпрос

238    Със седмия си въпрос запитващата юрисдикция иска да установи по същество дали член 12, параграф 3, буква б) от Директивата за PNR трябва да се тълкува в смисъл, че не допуска национално законодателство, съгласно което органът, създаден като ЗДП има същевременно качеството на компетентен национален орган, оправомощен да одобрява разкриването на PNR данни след изтичането на срок от шест месеца след предаването на тези данни на ЗДП.

239    Най-напред следва да се отбележи, че белгийското правителство има съмнения относно компетентността на Съда да отговори на този въпрос, както е формулиран от запитващата юрисдикция, тъй като само последната е компетентна да тълкува националните разпоредби, и по-специално да прецени изискванията, произтичащи от Закона от 25 декември 2016 г. с оглед на член 12, параграф 3, буква б) от Директивата за PNR.

240    В това отношение е достатъчно да се отбележи, че запитващата юрисдикция иска да бъде тълкувана разпоредба от правото на Съюза. Освен това, макар в производство, образувано съгласно член 267 ДФЕС, националните разпоредби да трябва да се тълкуват от юрисдикциите на държавите членки, а не от Съда, и макар последният да не следва да се произнася относно съвместимостта на норми на вътрешното право с разпоредбите на правото на Съюза, Съдът е компетентен да предостави на националната юрисдикция всички насоки за тълкуване на правото на Съюза, които да ѝ позволят да прецени съвместимостта на такива норми с правната уредба на Съюза (решение от 30 април 2020 г., CTT — Correios de Portugal, C‑661/18, EU:C:2020:335, т. 28 и цитираната съдебна практика). Следователно Съдът е компетентен да отговори на седмия въпрос.

241    По същество следва да се отбележи, че текстът на член 12, параграф 3, буква б) от Директивата за PNR, в който в подточки i) и ii) се посочват съответно „съдебен орган“ и „друг национален орган, компетентен съгласно националното право да провери дали са изпълнени условията за разкриване на информация“, поставя на една и съща плоскост тези органи, както е видно от употребата на съюза „или“ между подточки i) и ii). При това положение от този текст следва, че посоченият „друг“ национален орган е алтернатива на съдебния орган и поради това трябва да бъде в сходна степен независим и безпристрастен като последния.

242    Този анализ се потвърждава от целта на Директивата за PNR, посочена в съображение 25 от нея, да се осигури най-високо равнище на защита на данните, що се отнася до достъпа до пълните PNR данни, които позволяват непосредственото идентифициране на съответното лице. Впрочем в същото съображение се уточнява, че след шестмесечния срок от предаването на PNR данните на ЗДП този достъп трябва да се предоставя при много строги условия.

243    Посоченият анализ се подкрепя и от законодателната история на Директивата за PNR. Всъщност, докато в предложението за директива, посочено в точка 155 от настоящото решение, се е предвиждало само че „[д]остъп до пълните данни за пътниците ще се разрешава само от ръководителя на звеното за данни за пътниците“, в окончателно възприетия от законодателя на Съюза текст на член 12, параграф 3, буква б) от тази директива се посочват, като се поставят на една и съща плоскост, съдебният орган и „друг национален орган“, компетентен да провери дали са изпълнени условията за разкриване на пълните PNR данни и да одобри такова разкриване.

244    Освен това и преди всичко съгласно съдебната практика, припомнена в точки 223, 225 и 226 от настоящото решение, от съществено значение е достъпът на компетентните органи до запазените данни да се предоставя след предварителен контрол, осъществяван или от юрисдикция, или от независима административна структура, и решението на тази юрисдикция или на тази структура да се постановява след мотивирана молба на тези органи, подадена по-специално в рамките на наказателни производства за предотвратяване, разкриване или наказателно преследване на престъпления. Изискването за независимост, на което трябва да отговаря структурата, натоварена с упражняването на предварителния контрол, налага също тази структура да има качеството на трето лице по отношение на органа, който иска достъп до данните, така че въпросната структура да е в състояние да упражнява този контрол обективно и безпристрастно, без каквото и да било външно влияние. По-специално в наказателноправната област изискването за независимост предполага органът, на който е възложен този предварителен контрол, от една страна, да не участва в провеждането на въпросното наказателно разследване и от друга страна, да има неутрално положение по отношение на страните в наказателното производство.

245    Както обаче отбелязва генералният адвокат в точка 271 от своето заключение, член 4, параграфи 1 и 3 от Директивата за PNR предвижда, че ЗДП, създадено или определено във всяка държава членка, е орган, който е компетентен във връзка с предотвратяването, разкриването, разследването или наказателното преследване на терористични престъпления и тежки престъпления и че служителите му могат да бъдат командировани от компетентните органи по член 7 от тази директива, така че ЗДП изглежда по необходимост свързано с тези органи. Съгласно член 6, параграф 2, буква б) от посочената директива ЗДП може също да обработва PNR данните, чиито резултати предоставя на посочените органи. С оглед на тези съображения не може да се приеме, че ЗДП има качеството на трето лице по отношение на същите органи и съответно че притежава всички качества за независимост и безпристрастност, необходими за да упражнява посочения в предходната точка от настоящото решение предварителен контрол и да проверява дали са изпълнени условията за разкриването на пълните PNR данни, както е предвидено в член 12, параграф 3, буква б) от Директивата за PNR.

246    Освен това фактът, че при одобрение на разкриването на пълните PNR данни от „компетентен национален орган“ в подточка ii) от последната разпоредба се изисква длъжностното лице по защита на данните на ЗДП да „бъде информирано и [да] извърши последваща проверка“, докато случаят не е такъв, когато това одобрение е дадено от съдебния орган, не може да постави под въпрос тази преценка. Всъщност съгласно установената съдебна практика последващ контрол като упражнявания от длъжностното лице по защита на данните не позволява да се отговори на целта за предварителен контрол, а именно да се предотврати разрешаването на достъп до разглежданите данни, който надхвърля границите на строго необходимото (вж. в този смисъл решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 110 и цитираната съдебна практика).

247    С оглед на всички изложени съображения на седмия въпрос следва да се отговори, че член 12, параграф 3, буква б) от Директивата за PNR трябва да се тълкува в смисъл, че не допуска национално законодателство, съгласно което органът, създаден като ЗДП, има същевременно качеството на компетентен национален орган, оправомощен да одобрява разкриването на PNR данни след изтичането на срок от шест месеца след предаването на тези данни на ЗДП.

Д.      По осмия въпрос

248    С осмия си въпрос запитващата юрисдикция иска по същество да установи дали член 12 от Директивата за PNR във връзка с членове 7 и 8, и член 52, параграф 1 от Хартата трябва да се тълкува в смисъл, че не допуска национално законодателство, което предвижда общ срок от пет години за съхраняване на PNR данните, без да се прави разграничение дали съответните пътници представляват риск в областта на терористичните престъпления или тежките престъпления или не.

249    Следва да се припомни, че съгласно член 12, параграфи 1 и 4 от тази директива ЗДП на държавата членка, на чиято територия съответният полет пристига или заминава, съхранява предоставените от въздушните превозвачи PNR данни в база данни за срок от пет години след тяхното предаване на това звено и ги заличава окончателно след изтичане на този петгодишен срок.

250    Както се припомня в съображение 25 от Директивата за PNR „[с]рокът, през който се съхраняват резервационните данни на пътниците, следва да бъде толкова дълъг, колкото е необходимо и пропорционално на целите на предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежки престъпления“.

251    Следователно съхраняването на PNR данните в съответствие с член 12, параграф 1 от Директивата за PNR не може да бъде обосновано, ако липсва обективна връзка между това съхранение и преследваните с тази директива цели, а именно борбата срещу терористичните престъпления и тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците.

252    В това отношение, както следва от съображение 25 от Директивата за PNR, следва да се прави разграничение между, от една страна, първоначалния срок на съхранение от шест месеца, посочен в член 12, параграф 2 от тази директива, и от друга страна, последващия срок, посочен в член 12, параграф 3 от същата директива.

253    При тълкуването на член 12, параграф 1 от Директивата за PNR трябва да се вземат предвид разпоредбите на параграфи 2 и 3 от този член, които определят режима на съхранение и достъп до запазените PNR данни след изтичането на първоначалния срок на съхранение от шест месеца. Както следва от съображение 25 от тази директива, тези разпоредби отразяват, от една страна, целта да се гарантира, че „[PNR данните] се съхраняват за срок, който е достатъчно дълъг за извършване на анализ и използване при разследвания“, като последните може вече да са били извършени през първоначалния срок на съхранение от шест месеца. От друга страна, съгласно същото съображение 25 те са насочени към това „да се избегне непропорционалното използване“ чрез прикриването на елементи от тях и да се „осигури най-високо равнище на защита на данните“, като достъпът до тези данни под форма, която позволява непосредственото идентифициране на съответното лице, следва да се предоставя „само при много строги и ограничени условия [след изтичането на този първоначален срок]“, като така се отчита фактът, че колкото по-дълго се съхраняват PNR данните, толкова по сериозна е съответната намеса.

254    Разграничението между първоначалния срок на съхранение от шест месеца, посочен в член 12, параграф 2 от Директивата за PNR, и последващия срок, посочен в член 12, параграф 3 от тази директива, се прилага и към задължителното спазване на изискването, посочено в точка 251 от настоящото решение.

255    Следователно с оглед на целите на Директивата за PNR и нуждите на разследването и наказателното преследване на терористични престъпления и тежки престъпления следва да се приеме, че съхранението през първоначалния период от шест месеца на PNR данните на всички пътници във въздушния транспорт, обхванати от установената с тази директива система, без да е налице каквато и да е улика за участие в терористични престъпления или тежки престъпления, по принцип не надхвърля границите на строго необходимото, доколкото то позволява търсения, необходими за идентифицирането на лица, които не са били подозирани за участие в терористични престъпления или тежки престъпления.

256    За разлика от това, що се отнася до посочения в член 12, параграф 3 от Директивата за PNR последващ период, освен че поради значителното количество данни, които могат да се запазват постоянно, създава опасност от непропорционално използване и злоупотреби (вж. по аналогия решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 119), съхранението на PNR данните на всички пътници във въздушния транспорт, обхванати от установената с тази директива система, противоречи и на изискването, посочено в съображение 25 от същата директива, съгласно което тези данни трябва да се съхраняват само за срок, който е толкова дълъг, колкото е необходимо и пропорционално на преследваните цели, тъй като законодателят на Съюза е възнамерявал да установи най-високо равнище на защита на PNR данните, които позволяват непосредственото идентифициране на съответните лица.

257    Всъщност, що се отнася до пътниците във въздушния транспорт, за които нито предварителната оценка по член 6, параграф 2, буква а) от Директивата за PNR, нито евентуалните проверки, извършени в рамките на шестмесечния срок по член 12, параграф 2 от тази директива, нито някое друго обстоятелство е разкрило наличието на обективни сведения, от които да може да се установи опасност в областта на терористичните престъпления или тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците, предвид тези обстоятелства не е налице дори непряка връзка между PNR данните на тези пътници и преследваната с посочената директива цел, която би обосновала запазването на същите данни (вж. по аналогия становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 204 и 205).

258    Непрекъснатото съхранение на PNR данните за всички пътници след първоначалния срок от шест месеца следователно не е ограничено до строго необходимото (вж. по аналогия становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 206).

259    Доколкото обаче в отделни случаи се установи наличието на обективни обстоятелства — като PNR данни, довели до проверено съответствие — които позволяват да се приеме, че някои пътници биха могли да представляват риск от гледна точка на терористичните престъпления или тежките престъпления, съхраняването на техните PNR данни след изтичането на този първоначален период изглежда допустимо (становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г., EU:C:2017:592, т. 207 и цитираната съдебна практика).

260    Всъщност установяването на тези обективни обстоятелства би могло да разкрие връзка с целите, преследвани с обработването на PNR данните съгласно Директивата за PNR, поради което съхраняването на тези данни след максимално допустимия в съответствие с посочената директива срок, а именно пет години, би било обосновано.

261    В настоящия случай, доколкото разглежданото в главното производство законодателство предвижда общ срок от пет години за съхраняване на PNR данните, приложим без разграничение към всички пътуващи със самолет пътници, включително тези, за които нито предварителната оценка по член 6, параграф 2, буква а) от Директивата за PNR, нито евентуалните проверки, извършени в рамките на първоначалния шестмесечен срок, нито някое друго обстоятелство е разкрило наличието на обективни сведения, от които да може да се установи опасност в областта на терористичните престъпления или тежките престъпления, това законодателство може да нарушава член 12, параграф 1 от тази директива във връзка с членове 7 и 8 и член 52, параграф 1 от Хартата, освен ако не може да бъде тълкувано в съответствие с тези разпоредби, което запитващата юрисдикция следва да провери.

262    С оглед на гореизложените съображения на осмия въпрос следва да се отговори, че член 12, параграф 1 от Директивата за PNR във връзка с членове 7 и 8, и член 52, параграф 1 от Хартата трябва да се тълкува в смисъл, че не допуска национално законодателство, което предвижда общ срок от пет години за съхраняване на PNR данните, приложим без разграничение към всички пътуващи със самолет пътници, включително тези, за които нито предварителната оценка по член 6, параграф 2, буква а) от тази директива, нито евентуалните проверки, извършени в рамките на шестмесечния срок по член 12, параграф 2 от посочената директива, нито някое друго обстоятелство е разкрило наличието на обективни сведения, от които да може да се установи опасност в областта на терористичните престъпления или тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците.

Е.      По деветия въпрос, буква а)

263    С деветия си въпрос, буква а) запитващата юрисдикция иска да установи дали Директивата за API е валидна с оглед на член 3, параграф 2 ДЕС и на член 45 от Хартата, като изхожда от схващането, че установените с тази директива задължения се прилагат към вътрешните за ЕС полети.

264    Както обаче отбелязва генералният адвокат в точка 277 от своето заключение и както посочват Съветът, Комисията и няколко правителства, това схващане е неправилно.

265    Всъщност член 3, параграф 1 от Директивата за API предвижда, че държавите членки трябва да предприемат необходимото, за да задължат превозвачите преди края на регистрацията да предават при поискване на органите, извършващи контрола на лицата по външните граници, данните за пътниците, които предстои да превозят към граничния пункт, през който тези лица ще влязат на територията на дадена държава членка. Съгласно член 6, параграф 1 от посочената директива тези данни се предават на органите, извършващи проверките по външните граници, през които пътникът ще влезе на тази територия и се обработват при условията, предвидени в същата разпоредба.

266    От тези разпоредби обаче, тълкувани във връзка с член 2, букви а), б) и г) от Директивата за API, в които са определени съответно понятията „превозвач“, „външни граници“ и „гранично-пропускателен пункт“, ясно следва, че тази директива налага задължение за превозвачите да предават посочените в член 3, параграф 2 от нея данни на органите, извършващи проверките по външните граници, само в случай на полети, превозващи пътници до разрешен граничен пункт за преминаване на външните граници на държавите членки с трети страни, и предвижда само обработване на данните, свързани с тези полети.

267    За разлика от това посочената директива не налага никакво задължение относно данните на пътниците от полети, които пресичат само вътрешните граници между държавите членки.

268    Следва да се добави, че Директивата за PNR — като включва сред PNR данните, както е видно от съображение 9 и член 8, параграф 2 от нея, посочени в член 3, параграф 2 от Директивата за API, събрани в съответствие с тази директива и съхранявани от някои въздушни превозвачи, и като предоставя на държавите членки възможността в съответствие с член 2 от нея да я прилагат към избрани от тях вътрешни за ЕС полети — не променя нито обхвата на разпоредбите на Директивата за API, нито произтичащите от нея ограничения.

269    С оглед на гореизложеното на деветия въпрос, буква а), следва да се отговори, че Директивата за API трябва да се тълкува в смисъл, че не се прилага към вътрешните за ЕС полети.

Ж.      По деветия въпрос, буква б)

270    Макар в деветия си въпрос, буква б), запитващата юрисдикция да се позовава на Директивата за API във връзка с член 3, параграф 2 ДЕС и член 45 от Хартата, от акта за преюдициално запитване е видно, че тази юрисдикция иска да установи дали системата за предаване и обработване на данните на пътниците, въведена със Закона от 25 декември 2016 г., е съвместима със свободното движение на хора и премахването на проверките по вътрешните граници, предвидени в правото на Съюза, доколкото тази система се прилага не само към въздушния, а и към железопътния, автомобилния и дори морския транспорт от и до Белгия, извършван в рамките на Съюза без преминаване на външните граници с трети страни.

271    Както обаче следва от точки 265—269 от настоящото решение, Директивата за API, която не се прилага към вътрешните за ЕС полети и не налага задължението за предаване и обработване на данните на пътниците, пътуващи със самолет или друг вид транспорт в Съюза без преминаване на външните граници с трети страни, не е релевантна за отговора на този въпрос.

272    За разлика от това и след като съгласно член 67, параграф 2 ДФЕС Съюзът осигурява отсъствието на контрол на лицата по вътрешните граници, член 2 от Директивата за PNR — на който, както е видно от акта за преюдициално запитване, се основава белгийският законодател за приемането на разглеждания в главното производство Закон от 25 декември 2016 г. — разрешава на държавите членки да прилагат тази директива към вътрешните за ЕС полети.

273    При това положение, за да се даде полезен отговор на запитващата юрисдикция, деветият въпрос, буква б), следва да се преформулира като насочен по същество към това дали правото на Съюза, и по-специално член 2 от Директивата за PNR във връзка с член 3, параграф 2 ДЕС, член 67, параграф 2 ДФЕС и член 45 от Хартата трябва да се тълкува в смисъл, че не допуска национално законодателство, което предвижда система за предаване от въздушните превозвачи и туроператорите, както и за обработване от компетентните органи на PNR данните за полетите и за превозите, извършвани с други средства в Съюза, от или към приелата това законодателство държава членка или при преминаване през нея.

274    Най-напред, член 45 от Хартата закрепва свободното движение на хора, което представлява една от основните свободи на вътрешния пазар (вж. в този смисъл решение от 22 юни 2021 г., Ordre des barreaux francophones et germanophone и др. (Превантивни мерки с цел извеждане), C‑718/19, EU:C:2021:505, т. 54).

275    В параграф 1 този член гарантира правото на всеки гражданин на Съюза да се движи и да пребивава на територията на държавите членки, право, което съгласно Разясненията относно Хартата на основните права (ОВ С 303, 2007 г., стр. 17) съответства на правото, гарантирано в член 20, параграф 2, първа алинея, буква а) ДФЕС и което съгласно член 20, параграф 2, втора алинея ДФЕС и член 52, параграф 2 от Хартата се прилага при условията и в границите, предвидени с Договорите и приетите в съответствие с тях мерки.

276    По-нататък, съгласно член 3, параграф 2 ДЕС Съюзът предоставя на своите граждани пространство на свобода, сигурност и правосъдие без вътрешни граници, в което е гарантирано свободното движение на хора, в съчетание с подходящи мерки по отношение по-специално на контрола на външните граници, както и предотвратяването и борбата с престъпността. По същия начин съгласно член 67, параграф 2 ДФЕС Съюзът осигурява отсъствието на контрол на лицата на вътрешните граници и развива единна политика по-специално по въпросите на имиграцията и контрола на външните граници.

277    Съгласно постоянната практика на Съюза законодателство, с което някои граждани на държава членка се поставят в по-неблагоприятно положение единствено поради обстоятелството че са упражнили правото си на свободно движение и пребиваване в друга държава членка, представлява ограничение на свободите, признати на всеки гражданин на Съюза с член 45, параграф 1 от Хартата (вж. в този смисъл, що се отнася до член 21, параграф 1 ДФЕС, решения от 8 юни 2017 г., C‑541/15, EU:C:2017:432, т. 35 и цитираната съдебна практика, и от 19 ноември 2020 г., ZW, C‑454/19, EU:C:2020:947, т. 30).

278    Национално законодателство като разглежданото в главното производство, което прилага предвидената с Директивата за PNR система не само към външните за ЕС полети, но и към вътрешните за ЕС полети в съответствие с член 2, параграф 1 от тази директива, както и — надхвърляйки предвиденото в тази разпоредба — към превози, извършвани с други средства в Съюза, обаче води до систематично и непрекъснато предаване и обработване на PNR данните на всички пътници, които, упражнявайки правото си на свободно движение, се придвижват с тези средства в рамките на Съюза.

279    Както беше констатирано в точки 98—111 от настоящото решение, предаването и обработването на данните на пътниците на външните и вътрешните за ЕС полети, произтичащи от установената с Директивата за PNR система, предполагат несъмнено сериозна намеса в закрепените в членове 7 и 8 от Хартата основни права на съответните лица. Сериозността на тази намеса е още по-голяма, когато прилагането на тази система обхваща други средства за вътрешен за Съюза транспорт. По същите причини като изложените в тези точки такава намеса може също да постави в неблагоприятно положение гражданите на приелите такова законодателство държави членки, както и като цяло гражданите на Съюза, които се придвижват с тези транспортни средства в Съюза от и към тези държави членки, и по този начин да ги разубеди да упражнят правото си на свободно движение по смисъла на член 45 от Хартата, поради което посоченото законодателство включва ограничение на тази основна свобода.

280    Съгласно постоянната съдебна практика дадена пречка за свободното движение на лицата може да бъде оправдана само ако се основава на обективни съображения и е пропорционална на легитимно следваната от националното право цел. Определена мярка е пропорционална, когато е годна да осъществи следваната цел и същевременно не надхвърля необходимото за постигането ѝ (вж. в този смисъл решение от 5 юни 2018 г., Coman и др., C‑673/16, EU:C:2018:385, т. 41 и цитираната съдебна практика).

281    Важно е да се добави, че национална мярка, която може да възпрепятства упражняването на свободата на движение на хората, може да бъде оправдана само ако е в съответствие с основните права, гарантирани в Хартата, за чието спазване следи Съдът (решение от 14 декември 2021 г., Столична община, район „Панчарево“, C‑490/20, EU:C:2021:1008, т. 58 и цитираната съдебна практика).

282    По-конкретно съгласно съдебната практика, припомнена в точки 115 и 116 от настоящото решение, целта от общ интерес не може да се преследва, без да се отчете фактът, че тя трябва да бъде съвместена с основните права, които се засягат от мярката, като се претеглят, от една страна, целта от общ интерес и от друга страна, разглежданите права. В това отношение възможността за държавите членки да обосноват ограничение на основното право, гарантирано в член 45, параграф 1 от Хартата, трябва да се прецени, като се измери тежестта на намесата, до която води това ограничение, и като се провери дали значението на преследваната с това ограничение цел от общ интерес е свързано с тази тежест.

283    Както беше припомнено в точка 122 от настоящото решение, преследваната с Директивата за PNR цел за борба с терористичните престъпления и тежките престъпления несъмнено е цел от общ интерес за Съюза.

284    Що се отнася до въпроса дали национално законодателство, прието за транспонирането на Директивата за PNR и включващо в обхвата на системата, предвидена с тази директива, и други видове транспорт в Съюза, позволява постигането на преследваната цел, от сведенията в преписката, с която разполага Съдът, е видно, че използването на PNR данните позволява идентифицирането на лица, които не са били подозирани за участие в терористични престъпления или тежки престъпления и които следва да бъдат подложени на допълнителна проверка, поради което такова законодателство е подходящо за постигането на целта за борба с терористичните престъпления и тежките престъпления.

285    Що се отнася до необходимостта от такова законодателство, упражняването от държавите членки на възможността, предвидена в член 2, параграф 1 от Директивата за PNR във връзка с членове 7 и 8 от Хартата, трябва да бъде ограничено до строго необходимото за постигането на тази цел с оглед на изискванията, посочени в точки 163—174 от настоящото решение.

286    Тези изисквания се прилагат на още по-силно основание, когато системата, предвидена с Директивата за PNR, се прилага към други средства за вътрешен за Съюза транспорт.

287    Освен това, както е видно от сведенията в акта за преюдициално запитване, разглежданото в главното производство национално законодателство транспонира с един-единствен акт Директивата за PNR, Директивата за API и частично — Директива 2010/65. За тази цел то предвижда прилагането на системата, установена с Директивата за PNR, към всички вътрешни за ЕС полети и към железопътния, автомобилния и дори морския транспорт в Съюза от към и при преминаване през Белгия и се прилага също към туроператорите, като същевременно преследва цели, различни от борбата срещу терористичните престъпления и тежките престъпления. Според същите сведения изглежда всички данни, събрани в рамките на установената с това национално законодателство система, се съхраняват от ЗДП в единна база данни, обхващаща PNR данните, включително данните, посочени в член 3, параграф 2 от Директивата за API, за всички пътници на посочените в същото законодателство видове транспорт.

288    В това отношение, тъй като в деветия си въпрос, буква б), запитващата юрисдикция се позовава на целта за подобряване на граничния контрол и за борба срещу незаконната имиграция, която съвпада с целта на Директивата за API, следва да се припомни, че съгласно точки 233, 234 и 237 от настоящото решение изброяването на целите, преследвани с обработването на PNR данните в съответствие с Директивата за PNR, е изчерпателно, така че национално законодателство, което разрешава обработването на PNR данни, събрани в съответствие с тази директива, за цели, различни от предвидените в нея, а именно, по-специално, за целите на подобряването на граничния контрол и борбата срещу незаконната имиграция, противоречи на член 6 от посочената директива, тълкуван във връзка с Хартата.

289    Освен това, както е видно от точка 235 от настоящото решение, държавите членки не могат да създават единна база данни, съдържаща освен PNR данните, събрани в съответствие с Директивата за PNR и свързани с външните и вътрешните за ЕС полети, и данните на пътниците, ползващи други транспортни средства, както и данните, посочени в член 3, параграф 2 от Директивата за API, по-специално когато тази база данни може да се използва за преследване не само на целите по член 1, параграф 2 от Директивата за PNR, но и на други цели.

290    Накрая и във всички случаи, както отбелязва генералният адвокат в точка 281 от своето заключение, членове 28—31 от Закона от 25 декември 2016 г. могат да са съвместими с правото на Съюза, по-специално с член 67, параграф 2 ДФЕС само при условие че се тълкуват и прилагат в смисъл, че се отнасят единствено до предаването и обработването на предварителните данни на пътниците, които преминават външните граници на Белгия с трети страни. Всъщност мярка, с която държава членка разширява обхвата на разпоредбите на Директивата за API за целите на подобряването на граничния контрол и борбата срещу незаконната имиграция, включвайки вътрешните за ЕС полети и дори други видове транспорт, превозващи пътници в Съюза, пристигащи, заминаващи или преминаващи през посочената държава членка, по-специално задължението за предаване на данните на пътниците, предвидено в член 3, параграф 1 от тази директива, би означавала при преминаването на вътрешните граници на посочената държава членка на компетентните органи да се позволи да проверяват систематично, че на тези лица може да бъде разрешено да влизат на нейната територия или да я напускат, и би била равностойна на проверките, извършвани по външните граници с трети страни.

291    С оглед на всички изложени съображения на деветия въпрос, буква б) следва да се отговори, че правото на Съюза, и по-специално член 2 от Директивата за PNR във връзка с член 3, параграф 2 ДЕС, член 67, параграф 2 ДФЕС и член 45 от Хартата на основните права трябва да се тълкува в смисъл, че не допуска:

–        национално законодателство, което предвижда при липсата на действителна и настояща или предвидима терористична заплаха, пред която е изправена съответната държава членка, система за предаване от въздушните превозвачи и туроператорите, както и за обработване от компетентните органи, на PNR данни за всички вътрешни за ЕС полети и за превозите, извършвани с други средства в Съюза, от или към тази държава членка или при преминаване през нея, за целите на борбата срещу терористичните престъпления и тежките престъпления. При това положение прилагането на установената с Директивата за PNR система трябва да бъде ограничено до предаването и обработването на PNR данни за полетите и/или превозите, които се отнасят по-специално до някои маршрути или схеми за пътуване или още до някои летища, гари или морски пристанища, за които са налице индиции, които могат да обосноват това прилагане. Съответната държава членка следва да подбере вътрешни за ЕС полети и/или превози, извършвани с други средства в Съюза, за които съществуват такива индиции, и да преразглежда периодично посоченото прилагане в зависимост от развитието на обстоятелствата, обосновали подбора им, за да гарантира, че прилагането на тази система към посочените полети и/или превози е ограничено до строго необходимото, и

–        национално законодателство, предвиждащо такава система за предаване и обработване на посочените данни за целите на подобряването на граничния контрол и борбата срещу незаконната имиграция.

З.      По десетия въпрос

292    С десетия си въпрос запитващата юрисдикция иска по същество да установи дали правото на Съюза трябва да се тълкува в смисъл, че национална юрисдикция може да ограничава във времето действието на възложено ѝ по силата на националното право обявяване на незаконосъобразност на национално законодателство, което налага на въздушните, железопътните и автомобилните превозвачи, както и на туроператорите да предават PNR данните на пътниците и предвижда обработване и съхраняване на тези данни, несъвместими с разпоредбите на Директивата за PNR във връзка с член 3, параграф 2 ДЕС, член 67, параграф 2 ДФЕС, членове 7, 8 и 45, и член 52, параграф 1 от Хартата.

293    Принципът на предимство на правото на Съюза утвърждава върховенството на правото на Съюза над правото на държавите членки. Следователно този принцип задължава всички институции на държавите членки да осигурят пълното действие на различните разпоредби на правото на Съюза, като правото на държавите членки не може да накърнява признатото действие на тези разпоредби на територията на посочените държави. По силата на този принцип при невъзможност да тълкува националната правна уредба в съответствие с изискванията на правото на Съюза, националният съд, натоварен в рамките на своята компетентност с прилагането на разпоредбите от правото на Съюза, е длъжен да гарантира пълното им действие, като при необходимост по собствена инициатива оставя без приложение противоречащите им разпоредби от националното законодателство, дори да са по-късни, без да е необходимо да иска или да изчаква тяхната предварителна отмяна по законодателен път или по какъвто и да било друг ред, предвиден в конституцията (решения от 15 юли 1964 г., Costa, 6/64, EU:C:1964:66, стр. 1159 и 1160, от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 214 и 215, и от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 118).

294    Единствено Съдът може по изключение и поради императивни съображения за правна сигурност временно да отложи последиците, изразяващи се в неприлагането на национално право, противоречащо на норма на правото на Съюза. Такова ограничение във времето на действието на даденото от Съда тълкуване на това право се допуска единствено в самото решение по искането за тълкуване. Ако националните юрисдикции бяха оправомощени, дори и временно, да дадат предимство пред правото на Съюза на противоречащи му национални разпоредби, това би застрашило предимството и еднаквото прилагане на правото на Съюза (решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 119 и цитираната съдебна практика).

295    За разлика от неизпълнението на процедурно задължение като изготвянето на предварителна оценка на въздействието на проект върху околната среда, което е предмет на делото, по което е постановено решение от 29 юли 2019 г., Inter-Environnement Wallonie и Bond Beter Leefmilieu Vlaanderen (C‑411/17, EU:C:2019:622, т. 175, 176, 179 и 181), в което Съдът приема временно отлагане на тези последици, неизпълнението на разпоредбите на Директивата за PNR във връзка с членове 7, 8 и 45 и член 52, параграф 1 от Хартата не може да бъде отстранено чрез процедура, сравнима с допусната в това дело. Всъщност запазването на последиците от национално законодателство като Закона от 25 декември 2016 г. би означавало, че това законодателство продължава да налага на въздушните превозвачи, както и на други превозвачи и на туроператорите задължения, които противоречат на правото на Съюза и които предполагат сериозна намеса в основните права на лицата, чиито данни са предадени, запазени и обработени, както и ограничение на свободата на движение на тези лица, което надхвърля необходимото (вж. по аналогия решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 122 и цитираната съдебна практика).

296    Затова запитващата юрисдикция не може да ограничи във времето последиците на възложено ѝ по силата на националното право обявяване на незаконосъобразност по отношение на разглежданото в главното производство национално законодателство (вж. по аналогия решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 123 и цитираната съдебна практика).

297    Накрая, доколкото запитващата юрисдикция иска да установи какво би било отражението на евентуалната несъвместимост на Закона от 25 декември 2016 г. с разпоредбите на Директивата за PNR, тълкувана във връзка с Хартата, върху допустимостта и използването на доказателствата и информацията, получени посредством данните, предадени от съответните превозвачи и туроператори в рамките на наказателни производства, достатъчно е да се препрати към практиката на Съда в това отношение, и по-конкретно към принципите, припомнени в точки 41—44 от решение от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения) (C‑746/18, EU:C:2021:152), от които следва, че в съответствие с принципа на процесуална автономия на държавите членки тази допустимост зависи от националното право, стига да са спазени по-специално принципите на равностойност и на ефективност (вж. по аналогия решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 127).

298    С оглед на гореизложените съображения на десетия въпрос следва да се отговори, че правото на Съюза трябва да се тълкува в смисъл, че не допуска национална юрисдикция да ограничава във времето действието на възложено ѝ по силата на националното право обявяване на незаконосъобразност по отношение на национално законодателство, което налага на въздушните, железопътните и автомобилните превозвачи, както и на туроператорите да предават PNR данните на пътниците и предвижда обработване и съхраняване на тези данни, несъвместими с разпоредбите на Директивата за PNR във връзка с член 3, параграф 2 ДЕС, член 67, параграф 2 ДФЕС, членове 7, 8 и 45 и член 52, параграф 1 от Хартата. Съгласно принципа на процесуална автономия на държавите членки допустимостта на получените по този начин доказателства зависи от националното право, стига да са спазени по-специално принципите на равностойност и на ефективност.

IV.    По съдебните разноски

299    С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (голям състав) реши:

1)      Член 2, параграф 2, буква г) и член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че този регламент се прилага за обработването на лични данни, предвидено в национално законодателство, с което във вътрешното право се транспонират едновременно разпоредбите на Директива 2004/82/ЕО на Съвета от 29 април 2004 година относно задължението на превозвачите да съобщават данни на пътниците, на Директива 2010/65/ЕС на Европейския парламент и на Съвета от 20 октомври 2010 година относно формалностите за даване на сведения за кораби, пристигащи във и/или напускащи пристанищата на държавите членки и за отмяна на Директива 2002/6/ЕО, и на Директива (ЕС) 2016/681 на Европейския парламент и на Съвета от 27 април 2016 година относно използването на резервационни данни на пътниците с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления, що се отнася, от една страна, до обработването на данни, извършвано от частни оператори, и от друга страна, до обработването на данни, извършвано от публични органи, което попада в обхвата само или включително на Директива 2004/82 или на Директива 2010/65. За разлика от това посоченият регламент не е приложим за предвиденото в такова законодателство обработване на данни, което попада само в обхвата на Директива 2016/681 и което се извършва от звеното за данни за пътниците (ЗДП) или от компетентните органи за целите, посочени в член 1, параграф 2 от тази директива.

2)      Тъй като тълкуването на Директива 2016/681 с оглед на членове 7, 8 и 21, и член 52, параграф 1 от Хартата на основните права на Европейския съюз осигурява съгласуваността на тази директива с посочените членове от Хартата на основните права, при разглеждането на втория, третия, четвъртия и шестия преюдициален въпрос не се установяват обстоятелства, които могат да засегнат валидността на същата директива.

3)      Член 6 от Директива 2016/681 във връзка с членове 7 и 8, и член 52, параграф 1 от Хартата на основните права трябва да се тълкува в смисъл, че не допуска национално законодателство, което разрешава обработването на резервационни данни на пътниците (PNR данни), събрани в съответствие с тази директива, за цели, различни от изрично посочените в член 1, параграф 2 от същата директива.

4)      Член 12, параграф 3, буква б) от Директива 2016/681 трябва да се тълкува в смисъл, че не допуска национално законодателство, съгласно което органът, създаден като звено за данни за пътниците (ЗДП), има същевременно качеството на компетентен национален орган, оправомощен да одобрява разкриването на PNR данни след изтичането на срок от шест месеца след предаването на тези данни на ЗДП.

5)      Член 12, параграф 1 от Директива 2016/681 във връзка с членове 7 и 8, и член 52, параграф 1 от Хартата на основните права трябва да се тълкува в смисъл, че не допуска национално законодателство, което предвижда общ срок от пет години за съхраняване на PNR данните, приложим без разграничение към всички пътуващи със самолет пътници, включително тези, за които нито предварителната оценка по член 6, параграф 2, буква а) от тази директива, нито евентуалните проверки, извършени в рамките на шестмесечния срок по член 12, параграф 2 от посочената директива, нито някое друго обстоятелство е разкрило наличието на обективни сведения, от които да може да се установи опасност в областта на терористичните престъпления или тежките престъпления, които имат обективна връзка, най-малкото непряка, с въздушния превоз на пътниците.

6)      Директива 2004/82 трябва да се тълкува в смисъл, че не се прилага за редовните или нередовните полети на въздушен превозвач, пътуващ от територията на държава членка с предвидено кацане на територията на една или повече от останалите държави членки без никакви междинни кацания на територията на трета държава (вътрешни за ЕС полети).

7)      Правото на Съюза и по-специално член 2 от Директива 2016/681 във връзка с член 3, параграф 2 ДЕС, член 67, параграф 2 ДФЕС и член 45 от Хартата на основните права, трябва да се тълкува в смисъл, че не допуска:

–        национално законодателство, което предвижда при липсата на действителна и настояща или предвидима терористична заплаха, пред която е изправена съответната държава членка, система за предаване от въздушните превозвачи и туроператорите, както и за обработване от компетентните органи, на PNR данни за всички вътрешни за ЕС полети и за превозите, извършвани с други средства в Съюза, от или към тази държава членка или при преминаване през нея, за целите на борбата срещу терористичните престъпления и тежките престъпления. При това положение прилагането на установената с Директива 2016/681 система трябва да бъде ограничено до предаването и обработването на PNR данни за полетите и/или превозите, които се отнасят по-специално до някои маршрути или схеми за пътуване или още до някои летища, гари или морски пристанища, за които са налице индиции, които могат да обосноват това прилагане. Съответната държава членка следва да подбере вътрешни за ЕС полети и/или превози, извършвани с други средства в Съюза, за които съществуват такива индиции, и да преразглежда периодично посоченото прилагане в зависимост от развитието на обстоятелствата, обосновали подбора им, за да гарантира, че прилагането на тази система към посочените полети и/или превози е ограничено до строго необходимото, и

–        национално законодателство, предвиждащо такава система за предаване и обработване на посочените данни за целите на подобряването на граничния контрол и борбата срещу незаконната имиграция.

8)      Правото на Съюза трябва да се тълкува в смисъл, че не допуска национална юрисдикция да ограничава във времето действието на възложено ѝ по силата на националното право обявяване на незаконосъобразност по отношение на национално законодателство, което налага на въздушните, железопътните и автомобилните превозвачи, както и на туроператорите да предават PNR данните на пътниците и предвижда обработване и съхраняване на тези данни, несъвместими с разпоредбите на Директива 2016/681 във връзка с член 3, параграф 2 ДЕС, член 67, параграф 2 ДФЕС, членове 7, 8 и 45, и член 52, параграф 1 от Хартата на основните права. Съгласно принципа на процесуална автономия на държавите членки допустимостта на получените по този начин доказателства зависи от националното право, стига да са спазени по-специално принципите на равностойност и на ефективност.

Подписи

*      Език на производството: френски.