ROZSUDEK SOUDNÍHO DVORA (velkého senátu)

21. června 2022(*)

Obsah

„Řízení o předběžné otázce – Zpracování osobních údajů – Údaje jmenné evidence cestujících (PNR) – Nařízení (EU) 2016/679 – Článek 2 odst. 2 písm. d) – Působnost – Směrnice (EU) 2016/681 – Používání údajů PNR o cestujících v případě letů uskutečňovaných mezi Evropskou unií a třetími zeměmi – Možnost zahrnout údaje o cestujících v případě letů uskutečňovaných v rámci Unie – Automatizovaná zpracování těchto údajů – Doba uchovávání – Boj proti teroristickým trestným činům a závažné trestné činnosti – Platnost – Listina základních práv Evropské unie – Články 7, 8 a 21, jakož i čl. 52 odst. 1 – Vnitrostátní právní předpisy, které rozšiřují použití systému PNR na jinou přepravu v rámci Unie – Volný pohyb uvnitř Unie – Listina základních práv – Článek 45“

Ve věci C‑817/19,

jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Cour constitutionnelle (ústavní soud, Belgie) ze dne 17. října 2019, došlým Soudnímu dvoru dne 31. října 2019, v řízení

Ligue des droits humains

proti

Conseil des ministres,

SOUDNÍ DVŮR (velký senát),

ve složení K. Lenaerts, předseda, A. Arabadžev, S. Rodin, I. Jarukaitis a N. Jääskinen, předsedové senátu, T. von Danwitz (zpravodaj), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra, L. S. Rossi, A. Kumin a N. Wahl, soudci,

generální advokát: G. Pitruzzella,

vedoucí soudní kanceláře: M. Krausenböck, radová,

s přihlédnutím k písemné části řízení a po jednání konaném dne 13. července 2021,

s ohledem na vyjádření předložená:

–        za Ligue des droits humains C. Forget, avocate,

–        za belgickou vládu P. Cottinem, J.-C. Halleuxem, C. Pochet a M. Van Regemorter, jako zmocněnci, ve spolupráci s C. Cailletem, advocaat, E. Jacubowitzem, avocat, jakož i G. Ceuppensem, V. Dethy a D. Vertongenem,

–        za českou vládu T. Machovičovou, O. Serdulou, M. Smolkem a J. Vláčilem, jako zmocněnci,

–        za dánskou vládu M. Jespersenem, J. Nymann-Lindegrenem, V. Pasternak Jørgensenem a M. Søndahl Wolff, jako zmocněnci,

–        za německou vládu D. Klebsem a J. Möllerem, jako zmocněnci,

–        za estonskou vládu N. Grünberg, jako zmocněnkyní,

–        za Irsko M. Browne, A. Joycem a J. Quaney, jako zmocněnci, ve spolupráci s D. Fennellym, BL,

–        za španělskou vládu L. Aguilera Ruizem, jako zmocněncem,

–        za francouzskou vládu D. Duboisem, E. de Moustier a T. Stehelinem, jako zmocněnci,

–        za kyperskou vládu E. Neofytou, jako zmocněnkyní,

–        za lotyšskou vládu E. Bārdiņšem, K. Pommere a V. Soņeca, jako zmocněnci,

–        za nizozemskou vládu M. K. Bulterman, A. Hanje, J. Langerem a C. S. Schillemans, jako zmocněnci,

–        za rakouskou vládu G. Kunnertem, A. Poschem a J. Schmoll, jako zmocněnci,

–        za polskou vládu B. Majczynou, jako zmocněncem,

–        za slovenskou vládu B. Ricziovou, jako zmocněnkyní,

–        za finskou vládu A. Laine a H. Leppo, jako zmocněnkyněmi,

–        za Evropský parlament O. Hrstkovou Šolcovou a P. López-Carceller, jako zmocněnkyněmi,

–        za Radu Evropské unie J. Lotarskim, N. Rouam, E. Sitbonem a C. Zadrou, jako zmocněnci,

–        za Evropskou komisi D. Nardim a M. Wasmeierem, jako zmocněnci,

–        za Evropského inspektora ochrany údajů P. Angelovem, A. Buchta, F. Coudert a C.-A. Marnier, jako zmocněnci,

–        za Agenturu Evropské unie pro základní práva L. López, T. Molnarem, M. Nesporem a M. O’Flahertym, jako zmocněnci,

po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 27. ledna 2022,

vydává tento

Rozsudek

1        Žádost o rozhodnutí o předběžné otázce se v podstatě týká:

–        výkladu čl. 2 odst. 2 písm. d) a článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“), směrnice Rady 2004/82/ES ze dne 29. dubna 2004 o povinnosti dopravců předávat údaje o cestujících (Úř. věst. 2004, L 261, s. 24; Zvl. vyd. 19/07, s. 74, dále jen „směrnice API“), jakož i směrnice Evropského parlamentu a Rady 2010/65/EU ze dne 20. října 2010 o ohlašovacích formalitách lodí připlouvajících do přístavů členských států nebo odplouvajících z nich a o zrušení směrnice 2002/6/ES (Úř. věst. 2010, L 283, s. 1);

–        výkladu a platnosti čl. 3 bodu 4, článků 6 a 12, jakož i přílohy I směrnice Evropského parlamentu a Rady (EU) 2016/681 ze dne 27. dubna 2016 o používání údajů jmenné evidence cestujících (PNR) pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti (Úř. věst. 2016, L 119, s. 132, dále jen „směrnice PNR“) s ohledem na články 7 a 8, jakož i čl. 52 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“), jakož i 

–        výkladu a platnosti směrnice API s ohledem na čl. 3 odst. 2 SEU a článek 45 Listiny.

2        Tato žádost byla podána v rámci sporu mezi Ligue des droits humains (Liga pro lidská práva) a Conseil des ministres (Rada ministrů, Belgie) ohledně zákonnosti loi du 25 décembre 2016, relative au traitement des données des passagers (zákon ze dne 25. prosince 2016 o zpracování údajů o cestujících).

I.      Právní rámec

A.      Unijní právo

1.      Směrnice 95/46/ES

3        Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355), byla zrušena GDPR s účinností k 25. květnu 2018. Článek 3 odst. 2 této směrnice stanovil:

„Tato směrnice se nevztahuje na zpracování osobních údajů:

–      prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva,

–      prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností.“

2.      Směrnice API

4        Body 1, 7, 9 a 12 odůvodnění směrnice API stanoví:

„(1)      Za účelem účinného boje proti nedovolenému přistěhovalectví a zdokonalení hraniční kontroly je nezbytně nutné, aby členské státy zavedly ustanovení ukládající povinnosti leteckým dopravcům, kteří přepravují cestující na území členských států. Kromě toho by k zajištění vyšší účinnosti tohoto cíle měly být, s přihlédnutím k rozdílnosti právních systémů a postupů mezi členskými státy, v největším možném rozsahu harmonizovány finanční sankce stanovené v současné době členskými státy pro případy, kdy dopravci nesplní své povinnosti.

[…]

(7)      Povinnosti, které mají být uloženy dopravcům na základě této směrnice, doplňují povinnosti stanovené článkem 26 Schengenské úmluvy z roku 1990 k provedení Schengenské dohody ze dne 14. června 1985, doplněným směrnicí Rady 2001/51/ES [ze dne 28. června 2001, kterou se doplňuje článek 26 Úmluvy k provedení Schengenské dohody ze dne 14. června 1985 (Úř. věst. 2001, L 187, s. 45; Zvl. vyd. 19/04, s. 1602)], a oba typy povinností slouží stejnému cíli, totiž k potlačení přílivu přistěhovalců a boji proti nedovolenému přistěhovalectví.

[…]

(9)      Za účelem účinnějšího boje proti nedovolenému přistěhovalectví a k zajištění vyšší účinnosti tohoto cíle je nezbytně nutné vzít v úvahu, aniž je dotčena směrnice [95/46], všechny technologické inovace, zejména s ohledem na zahrnutí a použití biometrických znaků v rámci informací, které jsou dopravci povinni předávat.

[…]

(12)      Směrnice [95/46] je použitelná na zpracovávání osobních údajů orgány členských států. To znamená, že zatímco by bylo oprávněné zpracovávat poskytnuté údaje o cestujícím při provádění hraničních kontrol také za účelem povolení jejich využití jako důkazu v řízeních, jimiž se vynucují právní předpisy a nařízení o vstupu a přistěhovalectví, včetně jejich ustanovení o ochraně veřejného pořádku a národní bezpečnosti, každé další zpracování neslučitelné s těmito důvody by bylo proti zásadám stanoveným v čl. 6 odst. 1 písm. b) směrnice [95/46]. Členské státy by měly stanovit systém sankcí použitelných v případě užití údajů v rozporu s účelem této směrnice.“

5        Článek 1 směrnice API, nadepsaný „Účel“, stanoví:

„Účelem této směrnice je zdokonalení hraničních kontrol a boj proti nedovolenému přistěhovalectví tím, že dopravci předem předávají údaje o cestujících příslušným vnitrostátním orgánům.“

6        Článek 2 této směrnice, nadepsaný „Definice“, stanoví:

„Pro účely této směrnice se rozumí:

a)      ‚dopravcem‘ fyzická nebo právnická osoba, jejíž obchodní činností je letecká přeprava osob;

b)      ‚vnějšími hranicemi‘ vnější hranice členského státu se třetími zeměmi;

c)      ‚hraniční kontrolou‘ kontrola, která se provádí výhradně z důvodu zamýšleného překročení hranice, bez ohledu na jakékoli jiné důvody;

d)      ‚hraničním přechodem‘ hraniční přechod určený příslušnými orgány k přechodu vnějších hranic;

e)      ‚osobními údaji‘, ‚zpracováním osobních údajů‘ a ‚rejstříkem osobních údajů‘ údaje, činnosti a rejstřík uvedené v článku 2 směrnice [95/46].“

7        Článek 3 uvedené směrnice, nadepsaný „Předávání údajů“, stanoví v odstavcích 1 a 2:

„1.      Členské státy přijmou opatření nezbytná ke stanovení povinnosti dopravců předávat na žádost orgánů příslušných pro provádění kontrol osob na vnějších hranicích před ukončením odbavování informace o osobách, které dopravují na hraniční přechody, jimiž tyto osoby vstoupí na území členského státu.

2.      Uvedené informace obsahují

–        číslo a typ použitého cestovního dokladu,

–        státní příslušnost,

–        jméno (jména) a příjmení,

–        datum narození,

–        hraniční přechod vstupu na území členských států,

–        kódové číslo letu,

–        čas odletu a příletu,

–        celkový počet osob přepravovaných uvedeným letem,

–        počáteční místo nástupu na palubu.“

8        Článek 6 směrnice API, nadepsaný „Zpracování údajů“, stanoví:

„1.      Osobní údaje uvedené v čl. 3 odst. 1 se předávají orgánům příslušným pro provádění kontrol osob na vnější hranici, přes kterou cestující vstoupí na území členského státu, pro usnadnění těchto kontrol za účelem účinnějšího boje proti nedovolenému přistěhovalectví.

Členské státy zajistí, aby tyto údaje dopravci shromažďovali a předávali je elektronicky nebo v případě poruchy jinými vhodnými prostředky příslušným orgánům příslušným pro provádění hraničních kontrol na schválených hraničních přechodech, přes které cestující vstoupí na území členského státu. Orgány příslušné pro provádění kontrol osob na vnějších hranicích údaje uchovávají v dočasném datovém souboru.

Po vstupu cestujících tyto orgány údaje do 24 hodin po jejich předání vymaží, pokud nebudou později nutné pro účely výkonu zákonných funkcí orgánů příslušných pro provádění kontrol osob na vnějších hranicích v souladu s vnitrostátním právem a s ohledem na ustanovení o ochraně údajů obsažená ve směrnici [95/46].

Členské státy přijmou nezbytná opatření zavazující dopravce, aby do 24 hodin po příletu dopravních prostředků podle čl. 3 odst. 1 vymazali osobní údaje, které shromáždili a předali pohraničním orgánům pro účely této směrnice.

V souladu se svým vnitrostátním právem a s ohledem na ustanovení o ochraně údajů obsažená ve směrnici [95/46] mohou členské státy použít osobní údaje uvedené v čl. 3 odst. 1 rovněž pro účely vynucování práva.

2.      Členské státy přijmou nezbytná opatření zavazující dopravce, aby informovali cestující v souladu se směrnicí [95/46]. To zahrnuje rovněž informace uvedené v čl. 10 písm. c) a v čl. 11 odst. 1 písm. c) směrnice [95/46].“

3.      Směrnice 2010/65

9        Směrnice 2010/65 byla zrušena na základě článku 25 nařízení Evropského parlamentu a Rady (EU) 2019/1239 ze dne 20. června 2019, kterým se zřizuje evropské prostředí jednotného námořního portálu a zrušuje směrnice 2010/65 (Úř. věst. 2019, L 198, s. 64), počínaje dnem 15. srpna 2025.

10      Bod 2 odůvodnění této směrnice stanoví:

„V zájmu usnadnění námořní dopravy a omezení administrativní zátěže pro společnosti provozující lodní dopravu je třeba v nejvyšší možné míře zjednodušit a harmonizovat ohlašovací formality vyžadované právními předpisy Unie a členských států. […]“

11      Článek 1 uvedené směrnice, nadepsaný „Předmět a oblast působnosti“, stanoví v odstavcích 1 a 2:

„1.      Účelem této směrnice je zjednodušit a harmonizovat správní postupy používané v námořní dopravě standardizací elektronického předávání informací a racionalizací ohlašovacích formalit.

2.      Tato směrnice se vztahuje na ohlašovací formality použitelné v námořní dopravě pro lodě připlouvající do přístavů v členských státech a odplouvající z nich.“

12      Článek 8 této směrnice, nadepsaný „Důvěrnost“, zní:

„1.      Členské státy v souladu s platnými právními předpisy Unie nebo vnitrostátními právními předpisy přijmou nezbytná opatření k zajištění důvěrnosti obchodních nebo jiných důvěrných informací vyměněných v souladu s touto směrnicí.

2.      Členské státy zejména dbají na zajištění ochrany obchodních údajů shromážděných podle této směrnice. Pokud jde o osobní údaje, dbají na to, aby dodržovaly směrnici [95/46]. Orgány a jiné subjekty [Evropské unie] dbají o to, aby dodržovaly nařízení [Evropského parlamentu a Rady] (ES) č. 45/2001 [ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (Úř. věst. 2001, L 8, s. 1; Zvl. vyd. 13/26, s. 10)].“

4.      GDPR

13      Bod 19 odůvodnění GDPR stanoví:

„Ochrana fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem předcházení trestným činům nebo jejich vyšetřování, odhalování či stíhání nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení a volný pohyb těchto údajů jsou upraveny zvláštním právním aktem Unie. Proto by se toto nařízení nemělo uplatňovat na činnosti zpracování za těmito účely. Na osobní údaje zpracovávané orgány veřejné moci podle tohoto nařízení, pokud jsou používány za těmito účely, by se však měl vztahovat konkrétnější právní akt Unie, totiž směrnice Evropského parlamentu a Rady (EU) 2016/680 [ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů a o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89)]. Členské státy mohou pověřit příslušné orgány ve smyslu [směrnice 2016/680] i úkoly, které nemusí být nutně prováděny za účelem předcházení trestným činům a jejich vyšetřování, odhalování či stíhání nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, tak aby zpracování osobních údajů pro tyto jiné účely v rozsahu, v němž náleží do působnosti práva Unie, spadalo do oblasti působnosti tohoto nařízení.

[…]“

14      Článek 2 tohoto nařízení, nadepsaný „Věcná působnost“, stanoví v odstavcích 1 a 2:

„1.      Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

2.      Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:

a)      při výkonu činností, které nespadají do oblasti působnosti práva Unie;

b)      členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU;

[…]

d)      příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“

15      Článek 4 uvedeného nařízení, nadepsaný „Definice“, stanoví:

„Pro účely tohoto nařízení se rozumí:

1)      ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě […];

2)      ‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;

[…]“

16      Článek 23 GDPR, nadepsaný „Omezení“, stanoví:

„1.      Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:

a)      národní bezpečnost;

b)      obranu;

c)      veřejnou bezpečnost;

d)      prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení;

[…]

h)      monitorovací, inspekční nebo regulační funkci spojenou, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až e) a g);

2.      Každé legislativní opatření uvedené v odstavci 1 zejména obsahuje konkrétní ustanovení, alespoň, je-li to relevantní, pokud jde o:

a)      účely zpracování nebo kategorie zpracování;

b)      kategorie osobních údajů;

c)      rozsah zavedených omezení;

d)      záruky proti zneužití údajů nebo protiprávnímu přístupu k nim či jejich protiprávnímu předání;

e)      specifikaci správců nebo kategorie správců;

f)      doby uložení a platné záruky s ohledem na povahu, rozsah a účely zpracování nebo kategorie zpracování;

g)      rizika z hlediska práv a svobod subjektů údajů; a

h)      právo subjektů údajů být informováni o daném omezení, pokud toto informování nemůže být na újmu účelu omezení.“

17      Článek 94 tohoto nařízení, nadepsaný „Zrušení směrnice [95/46]“, stanoví:

„1.      Směrnice [95/46] se zrušuje s účinkem ode dne 25. května 2018.

2.      Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení. Odkazy na pracovní skupinu pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou článkem 29 směrnice [95/46] se považují za odkazy na Evropský sbor pro ochranu osobních údajů zřízený tímto nařízením.“

5.      Směrnice 2016/680

18      Směrnice 2016/680 v souladu s článkem 59 této směrnice zrušila a nahradila s účinkem ode dne 6. května 2018 rámcové rozhodnutí Rady 2008/977/SVV ze dne 27. listopadu 2008 o ochraně osobních údajů zpracovávaných v rámci policejní a justiční spolupráce v trestních věcech (Úř. věst. 2008, L 350, s. 60).

19      Body 9 až 11 odůvodnění směrnice 2016/680 stanoví:

„(9)      Na tomto základě stanoví [GDPR] obecná pravidla pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů a zajištění volného pohybu osobních údajů v Unii.

(10)      V prohlášení č. 21 o ochraně osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, připojeném k závěrečnému aktu mezivládní konference, která přijala Lisabonskou smlouvu, konference uznala, že zvláštní pravidla pro ochranu osobních údajů a volný pohyb osobních údajů v oblastech justiční spolupráce v trestních věcech a policejní spolupráce, založená na článku 16 [SFEU], by se mohla vzhledem ke specifické povaze těchto oblastí ukázat jako nezbytná.

(11)      Je proto vhodné, aby byly tyto oblasti upraveny v samostatné směrnici, která stanoví zvláštní pravidla pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, při respektování zvláštní povahy těchto činností. Tyto příslušné orgány mohou zahrnovat nejen orgány veřejné moci, jako jsou justiční orgány, policie nebo jiné donucovací orgány, ale také jakýkoli jiný orgán nebo subjekt pověřený právem členského státu plnit veřejnou funkci a vykonávat veřejnou moc pro účely této směrnice. Pokud takový orgán nebo subjekt zpracovává osobní údaje pro jiné účely než pro účely této směrnice, použije se [GDPR]. [GDPR] se proto použije v případech, kdy orgán nebo subjekt shromažďuje osobní údaje pro jiné účely a tyto osobní údaje dále zpracovává za účelem splnění právní povinnosti, která mu je uložena. Například finanční instituce uchovávají určité osobní údaje, které zpracovaly, pro účely vyšetřování, odhalování nebo stíhání a poskytují tyto osobní údaje pouze příslušným vnitrostátním orgánům ve zvláštních případech a v souladu s právem členského státu. Orgán nebo subjekt, který zpracovává osobní údaje pro tyto orgány v oblasti působnosti této směrnice, by měl být vázán smlouvou nebo jiným právním aktem, jakož i předpisy vztahujícími se na zpracovatele podle této směrnice, přičemž použití [GDPR] zůstává nedotčeno, pokud jde o zpracování osobních údajů prováděné zpracovatelem mimo oblast působnosti této směrnice.“

20      Článek 1 této směrnice, nadepsaný „Předmět a cíle“, který odpovídá v podstatě článku 1 rámcového rozhodnutí 2008/977, v odstavci 1 stanoví:

„Tato směrnice stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“

21      Článek 3 uvedené směrnice, nadepsaný „Definice“, stanoví:

„Pro účely této směrnice se rozumějí:

[…]

7.      ‚příslušným orgánem‘:

a)      jakýkoliv orgán veřejné moci příslušný k prevenci, vyšetřování, odhalování či stíhání trestných činů či výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení; nebo

b)      jakýkoliv jiný orgán nebo subjekt pověřený právem členského státu plnit veřejnou funkci a vykonávat veřejnou moc pro účely prevence, vyšetřování, odhalování či stíhání trestných činů či výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení;

[…]“

6.      Směrnice PNR

22      Body 4 až 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 a 37 odůvodnění směrnice PNR stanoví:

„(4)      Směrnice [API] upravuje předávání předběžných údajů o cestujících (údaje API) leteckými dopravci příslušným vnitrostátním orgánům s cílem zlepšit hraniční kontroly a bojovat proti nedovolenému přistěhovalectví.

(5)      Cíle této směrnice jsou mimo jiné zajistit bezpečnost a ochránit život a bezpečí osob a vytvořit právní rámec pro ochranu údajů PNR, pokud jde o jejich zpracování příslušnými orgány.

(6)      Účinné využívání údajů PNR, například porovnáním údajů PNR s různými databázemi hledaných osob a předmětů, je nezbytné pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, a tím pro zvýšení vnitřní bezpečnosti, k shromažďování důkazů a případně k nalezení spolupachatele a odhalení zločinecké sítě.

(7)      Posouzení údajů PNR umožňuje identifikaci osob, které nebyly podezřelé z účasti na teroristických trestných činech nebo závažné trestné činnosti před tímto posouzením a které by měly být příslušnými orgány dále prověřeny. Používáním údajů PNR je možno reagovat na hrozbu teroristických trestných činů a závažné trestné činnosti z odlišné perspektivy než zpracováním jiných kategorií osobních údajů. Nicméně pro zajištění toho, aby údaje PNR byly i nadále zpracovávány v co nejomezenějším nezbytném rozsahu, by vytváření a používání kritérií pro posouzení mělo být omezeno na teroristické trestné činy a závažnou trestnou činnost, pro něž je použití takových kritérií relevantní. Kritéria pro posouzení by kromě toho měla být definována tak, aby byl počet nevinných osob nesprávně identifikovaných systémem co nejmenší.

(8)      Letečtí dopravci již shromažďují a zpracovávají údaje PNR pro vlastní komerční účely. Tato směrnice by neměla ukládat povinnost leteckým dopravcům shromažďovat nebo uchovávat další údaje o cestujících ani povinnost cestujícím poskytovat další údaje kromě těch, které již leteckým dopravcům poskytují.

(9)      Někteří letečtí dopravci si ponechávají údaje API, které shromažďují, jakožto součást údajů PNR, zatímco jiní tak nečiní. Přidaná hodnota využití údajů PNR spolu s údaji API spočívá v tom, že členským státům napomáhá při ověřování totožnosti osob, a tím posiluje hodnotu tohoto výsledku z hlediska vymáhání práva a snižuje riziko provádění kontrol a vyšetřování nevinných osob. Je proto důležité zajistit, aby letečtí dopravci v případech, kdy shromažďují údaje API, předávali tyto údaje bez ohledu na to, zda údaje API uchovávají odlišnými technickými prostředky, než jaké jsou použity pro ostatní údaje PNR.

(10)      Pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti je zásadní, aby všechny členské státy zavedly předpisy, jež by leteckým dopravcům, kteří provozují lety mimo EU, ukládaly povinnost předávat shromážděné údaje PNR, včetně údajů API. Členské státy by měly mít možnost rozšířit tuto povinnost rovněž na letecké dopravce, kteří provozují lety uvnitř EU. Těmito předpisy by neměla být dotčena směrnice [API].

(11)      Zpracovávání osobních údajů by mělo být přiměřené konkrétním bezpečnostním cílům, jež tato směrnice sleduje.

(12)      Definice teroristických trestných činů používaná v této směrnici by měla být stejná jako v rámcovém rozhodnutí Rady 2002/475/SVV [ze dne 13. června 2002 o boji proti terorismu (Úř. věst. 2002, L 164, s. 3; Zvl. vyd. 19/06, s. 18)]. Definice závažné trestné činnosti by měla zahrnovat kategorie trestných činů uvedených v příloze II této směrnice.

[…]

(15)      Seznam údajů PNR, které mají být útvaru pro informace o cestujících poskytovány, je třeba vypracovat tak, aby odrážel legitimní požadavek veřejných orgánů na zajištění prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti, čímž se zlepší vnitřní bezpečnost v rámci Unie a ochrání základní práva, zejména právo na soukromí a ochranu osobních údajů. Za tímto účelem by se měly uplatnit přísné standardy v souladu s [Listinou], Úmluvou o ochraně osob se zřetelem na automatizované zpracování osobních údajů (dále jen ‚úmluva č. 108‘) a Evropskou úmluvou o ochraně lidských práv a základních svobod, [podepsanou v Římě dne 4. listopadu 1950 (dále jen ‚EÚLP‘)]. Tento seznam by neměl být založen na údajích o rasovém či etnickém původu, náboženském vyznání ani přesvědčení, politickém nebo jiném názoru, členství v odborových organizacích, zdraví, sexuálním životě nebo sexuální orientaci osoby. Údaje PNR by měly obsahovat pouze podrobné informace o rezervacích a cestovních trasách, které příslušným orgánům umožňují identifikovat ty cestující v letecké dopravě, kteří představují hrozbu pro vnitřní bezpečnost.

[…]

(19)      Každý členský stát by měl být odpovědný za posuzování potenciálních hrozeb spojených s teroristickými trestnými činy a závažnou trestnou činností.

(20)      Vzhledem k tomu, že je třeba plně zohlednit právo na ochranu osobních údajů a právo nebýt diskriminován, by neměla být přijímána žádná rozhodnutí, která mají pro určitou osobu nepříznivé právní účinky nebo ji značně poškozují, pouze z důvodu automatizovaného zpracování údajů PNR. Žádné z těchto rozhodnutí by navíc s ohledem na články 8 a 21 Listiny nemělo představovat diskriminaci založenou na pohlaví, rase, barvě pleti, etnickém nebo sociálním původu, genetických rysech, jazyku, náboženském vyznání nebo přesvědčení, politických názorech či jakýchkoliv jiných názorech, příslušnosti k národnostní menšině, majetku, narození, zdravotním postižení, věku nebo sexuální orientaci. [Evropská komise] by měla rovněž zohlednit tyto zásady při přezkumu uplatňování této směrnice.

[…]

(22)      Uplatňování této směrnice by mělo zajistit plné respektování základních práv, práva na soukromí a zásady proporcionality, a to při plném zohlednění zásad stanovených v nedávné příslušné judikatuře Soudního dvora Evropské unie. Rovněž by mělo být ve skutečném souladu s cíli nezbytnosti a přiměřenost[i], aby bylo dosaženo obecných zájmů uznaných Unií, a mělo by naplňovat potřebu ochrany práv a svobod ostatních v boji proti teroristickým trestným činům a závažné trestné činnosti. Uplatňování této směrnice by mělo být řádně odůvodněno a měly by být zavedeny nezbytné záruky, které zajistí zákonnost veškerého uchovávání, analýz, předávání a využívání údajů PNR.

[…]

(25)      Doba uchování údajů PNR by měla být doba nezbytná pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti a měla by být těmto účelům přiměřená. Vzhledem k povaze údajů a jejich používání je nezbytné, aby byly údaje PNR uchovávány po dobu dostačující k provedení analýzy a k využití při vyšetřování. Aby se zabránilo nepřiměřenému využívání údajů, měly by být tyto údaje po uplynutí počáteční doby uchovávání depersonalizovány maskováním prvků údajů. Aby byla zaručena nejvyšší úroveň ochrany údajů, měl by být přístup k úplným údajům PNR, které umožňují přímou identifikaci subjektu údajů, povolen po uplynutí počáteční doby uchovávání pouze za velmi přísných a omezených podmínek.

[…]

(27)      Zpracování údajů PNR v jednotlivých členských státech útvarem pro informace o cestujících a příslušnými orgány by se mělo řídit normami pro ochranu osobních údajů stanovenými vnitrostátním právem v souladu s rámcovým rozhodnutím [2008/977] a se zvláštními požadavky na ochranu údajů stanovenými touto směrnicí. Odkazy na rámcové rozhodnutí [2008/977] je třeba chápat jako odkazy na stávající platné právní předpisy i jako odkazy na právní předpisy, které je nahradí.

(28)      S ohledem na právo na ochranu osobních údajů by měla být práva subjektů údajů týkající se zpracování jejich údajů PNR, jako je právo na přístup k těmto údajům, právo na jejich opravu, výmaz a omezení zpracování, jakož i právo na náhradu škody a právo na soudní přezkum, v souladu jak s rámcovým rozhodnutím [2008/977], tak i s vysokou úrovní ochrany zakotvenou v Listině a EÚLP.

[…]

(33)      Tato směrnice nemá vliv na možnost členských států stanovit podle svého vnitrostátního práva systém pro shromažďování a zpracování údajů PNR od hospodářských subjektů, které nejsou leteckým dopravcem, jako jsou například cestovní agentury nebo kanceláře, které poskytují služby související s cestovním ruchem, včetně rezervací letů, pro jejichž účely shromažďují a zpracovávají údaje PNR, nebo od jiných dopravců, než jsou dopravci uvedení v této směrnici, a to za předpokladu, že je toto vnitrostátní právo v souladu s právem Unie.

[…]

(36)      Tato směrnice respektuje základní práva a zásady Listiny, a právo na ochranu osobních údajů, právo na soukromí a právo nebýt diskriminován, která jsou chráněna články 8, 7 a 21 Listiny, a měla by být odpovídajícím způsobem provedena. Tato směrnice je slučitelná se zásadami ochrany údajů a její ustanovení jsou v souladu s rámcovým rozhodnutím [2008/977]. V zájmu dodržení zásady proporcionality ve zvláštních oblastech tato směrnice navíc stanoví přísnější pravidla ochrany údajů než rámcové rozhodnutí [2008/977].

(37)      Oblast působnosti této směrnice je co nejvíce omezena, jelikož stanoví uchování údajů PNR u útvarů pro informace o cestujících po dobu nepřekračující pět let, po jejímž uplynutí by údaje měly být zlikvidovány; stanoví, že by údaje měly být depersonalizovány maskováním prvků údajů po počátečním období šesti měsíců a zakazuje shromažďování a používání citlivých údajů. Za účelem zajištění účinnosti a vysoké úrovně ochrany údajů, požaduje se, aby členské státy zajistily, aby za poskytování poradenství a sledování způsobu, jakým jsou údaje PNR zpracovány, odpovídal nezávislý vnitrostátní orgán dohledu, a zejména pracovník pro ochranu údajů. Veškeré zpracování údajů PNR by mělo být pro účely ověření jeho legality, interní kontroly a zajištění nezbytné neporušenosti a bezpečnosti zpracování údajů zaprotokolováno nebo zdokumentováno. Členské státy by měly rovněž zajistit, aby byli cestující o shromažďování údajů PNR a o svých právech jasně a přesně informováni.“

23      Článek 1 směrnice PNR, nadepsaný „Předmět a oblast působnosti“, stanoví:

„1.      Tato směrnice upravuje:

a)      předávání údajů PNR leteckými dopravci na letech mimo EU;

b)      zpracování údajů uvedených v písmenu a), včetně jejich shromažďování, používání a uchovávání členskými státy a vzájemné výměny mezi nimi.

2.      Údaje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, jak je stanoveno v čl. 6 odst. 2 písm. a), b) a c).“

24      Článek 2 této směrnice, nadepsaný „Použití této směrnice na lety uvnitř EU“, zní následovně:

„1.      Jestliže se členský stát rozhodne používat tuto směrnici na lety uvnitř EU, oznámí to písemně Komisi. Členský stát může toto oznámení učinit nebo odvolat kdykoliv. Komise toto oznámení a případné odvolání zveřejní v Úředním věstníku Evropské unie.

2.      Pokud je učiněno oznámení uvedené v odstavci 1, použijí se všechna ustanovení této směrnice na lety uvnitř EU, jako by se jednalo o lety mimo EU, a na údaje PNR na letech uvnitř EU, jakoby se jednalo o údaje PNR na letech mimo EU.

3.      Členský stát se může rozhodnout, že tuto směrnici bude uplatňovat pouze na vybrané lety uvnitř EU. V okamžiku přijetí tohoto rozhodnutí členský stát určí lety, které považuje za nezbytné pro dosažení cílů této směrnice. Členský stát se může kdykoliv rozhodnout změnit výběr takto určených letů uvnitř EU.“

25      Článek 3 uvedené směrnice, nadepsaný „Definice“, stanoví:

„Pro účely této směrnice se rozumí:

1)      ‚leteckým dopravcem‘ podnik letecké dopravy s platnou provozní licencí nebo rovnocenným dokladem, který mu umožňuje provozovat leteckou dopravu cestujících;

2)      ‚letem mimo EU‘ jakýkoliv plánovaný nebo neplánovaný let provozovaný leteckým dopravcem ze třetí země, jenž má přistát na území členského státu, nebo let odlétající z území členského státu, jenž má přistát ve třetí zemi, v obou případech včetně letů s mezipřistáním na území členských států nebo třetích zemí;

3)      ‚letem uvnitř EU‘ jakýkoliv plánovaný nebo neplánovaný let provozovaný leteckým dopravcem z území členského státu, jenž má přistát na území jednoho nebo několika jiných členských států bez mezipřistání na území třetí země;

4)      ‚cestujícím‘ každá osoba, včetně cestující na letech s přestupem a tranzitních letech, kromě členů posádky, která je nebo má být se souhlasem leteckého dopravce letecky přepravena, přičemž tento souhlas je vyjádřen zápisem této osoby na seznam cestujících;

5)      ‚jmennou evidencí cestujících (dále jen ‚PNR‘)‘ evidence cestovních požadavků každého cestujícího, která obsahuje všechny potřebné informace, jež umožňují rezervujícím a zúčastněným leteckým dopravcům zpracovávat a kontrolovat rezervace u každé cesty rezervované kterýmkoliv cestujícím nebo jeho jménem bez ohledu na to, zda je uvedena v rezervačních systémech, kontrolních systémech odletů užívaných pro přihlášení cestujících k letu nebo jiných rovnocenných systémech poskytujících stejné funkce;

6)      ‚rezervačním systémem‘ vnitřní systémy leteckého dopravce, ve kterých jsou údaje PNR shromažďovány pro účely zpracování rezervací;

7)      ‚metodou dodávání‘ metoda, v jejímž rámci letečtí dopravci předávají údaje PNR uvedené v příloze I do databáze orgánu, který je požaduje;

8)      ‚teroristickými trestnými činy‘ trestné činy podle vnitrostátního práva uvedené v článcích 1 až 4 rámcového rozhodnutí [2002/475];

9)      ‚závažným trestným činem‘ trestný čin uvedený v příloze II, za který lze podle vnitrostátního práva členského státu uložit trest odnětí svobody nebo ochranné opatření spojené s odnětím svobody s horní hranicí trestní sazby v délce nejméně tří let;

10)      ‚depersonalizací maskováním prvků údajů‘ postup, kterým se určité prvky údajů, jež by mohly sloužit k přímé identifikaci subjektu údajů, pro uživatele zneviditelní.“

26      Článek 4 směrnice PNR, nadepsaný „Útvar pro informace o cestujících“, stanoví v odstavcích 1 až 3:

„1.      Každý členský stát zřídí nebo určí orgán příslušný pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti či pobočku tohoto orgánu jako svůj ‚útvar pro informace o cestujících‘.

2.      Útvar pro informace o cestujících je odpovědný za:

a)      shromažďování údajů PNR od leteckých dopravců a uchovávání, zpracování a předávání těchto údajů nebo výsledků jejich zpracování příslušným orgánům uvedeným v článku 7;

b)      výměnu údajů PNR a výsledků jejich zpracování s útvary pro informace o cestujících jiných členských států a s Europolem v souladu s články 9 a 10.

3.      Pracovníci útvaru pro informace o cestujících mohou být vysláni z příslušných orgánů. Členské státy poskytnou útvarům pro informace o cestujících odpovídající prostředky, aby mohly plnit své úkoly.“

27      Článek 5 této směrnice, nadepsaný „Pracovník pro ochranu údajů v rámci útvaru pro informace o cestujících“, zní následovně:

„1.      Útvar pro informace o cestujících jmenuje pracovníka pro ochranu údajů, který je odpovědný za sledování zpracování údajů PNR a dodržování příslušných záruk.

2.      Členské státy poskytnou pracovníkům pro ochranu údajů příslušné prostředky, aby mohli účinně a nezávisle plnit své úkoly a povinnosti.

3.      Členské státy zajistí, aby subjekty údajů měly právo obrátit se na pracovníka pro ochranu údajů jako na jednotné kontaktní místo ve všech záležitostech souvisejících se zpracováním svých údajů PNR.“

28      Článek 6 uvedené směrnice, nadepsaný „Zpracování údajů PNR“, stanoví:

„1.      Údaje PNR předávané leteckými dopravci jsou shromažďovány útvarem pro informace o cestujících příslušného členského státu, jak je stanoveno v článku 8. Pokud údaje PNR předávané leteckými dopravci obsahují jiné údaje než údaje uvedené v příloze I, útvar pro informace o cestujících tyto údaje po obdržení ihned a trvale zlikviduje.

2.      Útvar pro informace o cestujících zpracovává údaje PNR pouze pro tyto účely:

a)      posuzování cestujících před jejich plánovaným příletem do nebo odletem z členského státu za účelem identifikace osob, u kterých je vyžadováno další prověření příslušnými orgány uvedenými v článku 7, případně Europolem podle článku 10, vzhledem k tomu, že tyto osoby mohou být zapojeny do teroristického trestného činu nebo závažného trestného činu;

b)      reakce, na základě posouzení jednotlivých případů, po podání řádně zdůvodněné žádosti založené na dostatečných poznatcích příslušných orgánů o poskytnutí a zpracování údajů PNR v konkrétních případech za účelem prevence, odhalování, vyšetřování a stíhání teroristického trestného činu nebo závažného trestného činu nebo poskytnutí výsledků tohoto zpracování příslušným orgánům a případně Europolu; a

c)      analýza údajů PNR za účelem aktualizace nebo vytvoření nových kritérií, která mají být použita při posuzování prováděných podle odst. 3 písm. b) s cílem identifikovat osoby, které mohou být zapojeny do teroristického trestného činu nebo do závažného trestného činu.

3.      Při posuzování uvedeném v odst. 2 písm. a) může útvar pro informace o cestujících:

a)      porovnat údaje PNR s databázemi, jež mají význam z hlediska prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, včetně databází hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, a to v souladu s pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze; nebo

b)      zpracovat údaje PNR na základě předem stanovených kritérií.

4.      Jakékoliv posouzení cestujících před jejich plánovaným příletem do nebo odletem z členského státu na základě předem stanovených kritérií uvedených v odst. 3 písm. b) se provádí nediskriminačním způsobem. Tato předem stanovená kritéria musí být cílená, přiměřená a specifická. Členské státy zajistí, aby útvar pro informace o cestujících ve spolupráci s příslušnými orgány uvedenými v článku 7 stanovil a pravidelně přezkoumával tato kritéria. Tato kritéria nesmí být za žádných okolností založena na rasovém ani etnickém původu dané osoby, jejích politických názorech, náboženském či filozofickém přesvědčení, členství v odborových organizacích, zdraví, sexuálním životě nebo sexuální orientaci.

5.      Členské státy zajistí, aby byl každý pozitivní výsledek automatizovaného zpracování údajů PNR provedeného podle odst. 2 písm. a) individuálně přezkoumán neautomatizovanými prostředky s cílem ověřit, zda je nezbytné, aby příslušný orgán podle článku 7 provedl určitý úkon podle vnitrostátního práva.

6.      Útvar pro informace o cestujících daného členského státu předá údaje PNR osob identifikovaných podle odst. 2 písm. a) nebo výsledky zpracování těchto údajů k dalšímu prověření příslušným orgánům téhož členského státu uvedeným v článku 7. Tato předání mohou být provedena pouze na základě posouzení jednotlivých případů a v případě automatizovaného zpracování údajů PNR po individuálním přezkumu neautomatizovanými prostředky.

7.      Členské státy zajistí, aby měl pracovník pro ochranu údajů přístup ke všem údajům zpracovávaným útvarem pro informace o cestujících. Má-li pracovník pro ochranu údajů za to, že zpracování jakéhokoliv údaje nebylo zákonné, může postoupit věc vnitrostátnímu orgánu dohledu.

[…]

9.      V důsledku posuzování cestujících podle odst. 2 písm. a) tohoto článku nesmí být ohroženo právo vstupu u osob, které požívají práva Unie na volný pohyb na území dotčeného členského státu, stanovené ve směrnici Evropského parlamentu a Rady 2004/38/ES [ze dne 29. dubna 2004 o právu občanů Unie a jejich rodinných příslušníků svobodně se pohybovat a pobývat na území členských států, o změně nařízení (EHS) č. 1612/68 a o zrušení směrnic 64/221/EHS, 68/360/EHS, 72/194/EHS, 73/148/EHS, 75/34/EHS, 75/35/EHS, 90/364/EHS, 90/365/EHS a 93/96/EHS (Úř. věst. 2004, L 158, s. 77; Zvl. vyd. 05/05, s. 46)]. Důsledky těchto posouzení, prováděných u letů uvnitř EU mezi členskými státy, na které se vztahuje nařízení Evropského parlamentu a Rady (ES) č. 562/2006 [ze dne 15. března 2006, kterým se stanoví kodex Společenství o pravidlech upravujících přeshraniční pohyb osob (Schengenský hraniční kodex) (Úř. věst. 2006, L 105, s. 1)], musí být kromě toho v souladu s uvedeným nařízením.“

29      Článek 7 směrnice PNR, nadepsaný „Příslušné orgány“, zní:

„1.      Každý členský stát přijme seznam příslušných orgánů oprávněných požadovat nebo přijímat údaje PNR nebo výsledek zpracování těchto údajů od útvarů pro informace o cestujících s cílem tyto informace dále přezkoumat nebo přijmout vhodné opatření za účelem prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti.

2.      Orgány uvedené v odstavci 1 jsou orgány, které jsou příslušné k prevenci, odhalování, vyšetřování nebo stíhání teroristických trestných činů nebo závažné trestné činnosti.

[…]

4.      Údaje PNR a výsledek zpracování těchto údajů obdržené od útvaru pro informace o cestujících mohou být dále zpracovávány příslušnými orgány členských států pouze pro konkrétní účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti.

5.      Odstavcem 4 nejsou dotčeny vnitrostátní pravomoci v oblasti vymáhání práva a justice v případě, že dojde k odhalení jiných trestných činů nebo ke zjištění informací o nich v průběhu výkonu donucovacího opatření následujícího po takovém zpracování.

6.      Příslušné orgány nepřijmou žádné rozhodnutí, které má pro osobu nepříznivé právní účinky nebo se jí závažným způsobem dotýká, pouze na základě automatizovaného zpracování údajů PNR. Taková rozhodnutí nejsou přijímána na základě rasového nebo etnického původu dané osoby, jejích politických názorů, náboženského či filozofického přesvědčení, členství v odborových organizacích, zdraví, sexuálního života nebo sexuální orientace.“

30      Článek 8 této směrnice, nadepsaný „Povinnosti leteckých dopravců týkající se předávání údajů“, stanoví v odstavcích 1 až 3:

„1.      Členské státy přijmou nezbytná opatření, která zajistí, aby letečtí dopravci předávali metodou ‚dodávání‛ údaje PNR uvedené v příloze I v rozsahu, v jakém je již shromáždili v průběhu své obvyklé činnosti, do databáze útvaru pro informace o cestujících toho členského státu, na jehož území bude let přistávat nebo z jehož území bude let zahájen. V případech, kdy je let označen sdíleným kódem mezi jedním nebo více leteckými dopravci, nese povinnost předávat údaje jmenné evidence o všech cestujících daného letu letecký dopravce, který let provozuje. V případech, kdy let mimo EU zahrnuje jedno či více mezipřistání na letištích členských států, předá letecký dopravce údaje jmenné evidence o všech cestujících útvarům pro informace o cestujících všech dotčených členských států. To platí i tehdy, když jedno či více mezipřistání na letištích různých členských států zahrnuje let uvnitř EU, avšak pouze ve vztahu ke členským státům, jež shromažďují údaje PNR na letech uvnitř EU.

2.      V případě, že letečtí dopravci shromáždili údaje API uvedené v bodě 18 přílohy I, avšak neuchovávají je stejnými technickými prostředky[,] jakými uchovávají ostatní údaje PNR, přijmou členské státy opatření nezbytná k zajištění toho, aby letečtí dopravci tyto údaje předali metodou ‚dodávání‘ útvaru pro informace o cestujících členských států uvedených v odstavci 1. V případě takového předání se na tyto údaje API vztahují všechna ustanovení této směrnice.

3.      Letečtí dopravci předávají údaje PNR elektronicky za použití společných protokolů a podporovaných datových formátů přijatých přezkumným postupem uvedeným v čl. 17 odst. 2, nebo, v případě technické poruchy, jakýmikoliv jinými vhodnými prostředky zajišťujícími odpovídající úroveň bezpečnosti:

a)      24 až 48 hodin před plánovaným časem odletu; a

b)      bezprostředně po uzavření letu, to znamená bezprostředně po nástupu cestujících na palubu letadla připraveného k odletu, kdy již není možné, aby cestující nastoupili na palubu nebo ji opustili.“

31      Článek 12 uvedené směrnice, nadepsaný „Doba uchovávání údajů a depersonalizace“, stanoví:

„1.      Členské státy zajistí, aby údaje PNR poskytnuté leteckými dopravci útvaru pro informace o cestujících byly uchovávány v databázi vedené útvarem pro informace o cestujících po dobu pěti let od jejich předání útvaru pro informace o cestujících členského státu, na jehož území let přistává nebo z něj odlétá.

2.      Po uplynutí doby šesti měsíců od předání údajů PNR uvedeného v odstavci 1 jsou veškeré údaje PNR depersonalizovány maskováním níže uvedených prvků údajů, které by mohly sloužit k přímé identifikaci cestujícího, jehož se údaje PNR týkají:

a)      jméno (jména), včetně jmen dalších cestujících ve jmenné evidenci cestujících a počet cestujících v evidenci, kteří cestují společně;

b)      adresa a kontaktní informace;

c)      veškeré informace o způsobech platby včetně zúčtovací adresy, obsahují-li informace, jež by mohly sloužit k přímé identifikaci cestujícího, jehož se údaje PNR týkají, nebo jiných osob;

d)      informace o věrnostním programu cestujícího;

e)      obecné poznámky, pokud obsahují jakékoliv informace, které by mohly vést k přímé identifikaci cestujícího, jehož se údaje PNR týkají; a

f)      jakékoliv shromážděné údaje API.

3.      Po uplynutí šestiměsíčního období uvedeného v odstavci 2 se povolí zpřístupnění úplných údajů PNR pouze pokud:

a)      lze důvodně předpokládat, že je to nezbytné pro účely čl. 6 odst. 2 písm. b) a

b)      to schválí:

i)      soudní orgán nebo

ii)      jiný vnitrostátní orgán příslušný podle vnitrostátního práva k ověření splnění podmínek pro zpřístupnění, o čemž je informován pracovník pro ochranu údajů z útvaru pro informace o cestujících, který provede následný přezkum.

4.      Členské státy zajistí, aby byly údaje PNR po uplynutí doby uvedené v odstavci 1 zlikvidovány trvale. Tato povinnost se netýká případů, kdy byly konkrétní údaje PNR předány příslušnému orgánu a jsou používány v rámci konkrétního případu pro účely prevence, odhalování, vyšetřování nebo stíhání teroristických trestných činů nebo závažné trestné činnosti; v takovém případě se uchovávání takových údajů příslušným orgánem řídí vnitrostátním právem.

5.      Výsledky zpracování podle čl. 6 odst. 2 písm. a) uchovává útvar pro informace o cestujících pouze po dobu nezbytnou k tomu, aby mohl uvědomit příslušné orgány a v souladu s čl. 9 odst. 1 útvary pro informace o cestujících dalších členských států o pozitivním výsledku porovnání. Pokud se prostřednictvím individuálního přezkumu neautomatizovanými prostředky podle čl. 6 odst. 5 prokáže, že je výsledek automatizovaného zpracování negativní, může být přesto výsledek uchováván za účelem vyloučení budoucích ‚falešných‘ pozitivních výsledků, a to tak dlouho, dokud podkladové údaje nejsou podle odstavce 4 tohoto článku zlikvidovány.“

32      Článek 13 směrnice PNR, nadepsaný „Ochrana osobních údajů“, stanoví v odstavcích 1 až 5:

„1.      Každý členský stát stanoví, že pokud jde o zpracování osobních údajů podle této směrnice, mají všichni cestující stejné právo na ochranu svých osobních údajů, právo na přístup k těmto údajům, právo na jejich opravu, výmaz nebo omezení zpracování a právo na náhradu škody a právo na soudní přezkum, jak je stanoveno v právu Unie a ve vnitrostátním právu a v rámci provádění článků 17, 18, 19 a 20 rámcového rozhodnutí [2008/977]. Uvedené články se tedy použijí.

2.      Každý členský stát stanoví, že předpisy přijaté v rámci vnitrostátního práva při provádění článků 21 a 22 rámcového rozhodnutí [2008/977], pokud jde o důvěrnost zpracování a bezpečnost údajů, se vztahují také na veškeré zpracování osobních údajů podle této směrnice.

3.      Touto směrnicí není dotčena použitelnost směrnice [95/46] na zpracování osobních údajů leteckými dopravci, zejména pokud jde o jejich povinnosti přijmout vhodná technická a organizační opatření na ochranu bezpečnosti a důvěrnosti osobních údajů.

4.      Členské státy zakáží zpracování údajů PNR, které odhalují rasový nebo etnický původ dané osoby, její politické názory, náboženské či filozofické přesvědčení, členství v odborové organizaci, zdraví, sexuální život nebo sexuální orientaci. V případě, že útvar pro informace o cestujících obdrží údaje PNR, které tyto informace odhalují, jsou tyto informace okamžitě zlikvidovány.

5.      Členské státy zajistí, aby útvar pro informace o cestujících vedl dokumentaci o všech systémech a postupech zpracování, za které nese odpovědnost. Tato dokumentace obsahuje alespoň:

a)      jméno a kontaktní informace organizace a pracovníků útvaru pro informace o cestujících, kteří jsou pověřeni zpracováním údajů PNR a informace o různých stupních přístupových oprávnění;

b)      žádosti podané příslušnými orgány a útvary pro informace o cestujících jiných členských států;

c)      všechny žádosti o předání a předání údajů PNR do třetí země.

Útvar pro informace o cestujících zpřístupní na žádost veškerou dokumentaci vnitrostátnímu orgánu dohledu.“

33      Článek 15 této směrnice, nadepsaný „Vnitrostátní orgán dohledu“, stanoví:

„1.      Každý členský stát stanoví, že vnitrostátní orgán dohledu uvedený v článku 25 rámcového rozhodnutí [2008/977] je odpovědný za poskytování poradenství a sledování toho, jak jsou předpisy přijaté členskými státy podle této směrnice uplatňovány na jeho území. Použije se článek 25 rámcového rozhodnutí [2008/977].

2.      Tyto vnitrostátní orgány dohledu vykonávají svou činnost podle odstavce 1 tak, aby byla chráněna základní práva týkající se zpracování osobních údajů.

3.      Každý vnitrostátní orgán dohledu:

a)      se zabývá stížnostmi, jež předloží kterýkoliv subjekt údajů, vyšetří danou záležitost a v přiměřené lhůtě informuje subjekt údajů o pokroku v řešení stížnosti a o jeho výsledku;

b)      ověřuje zákonnost zpracování údajů, provádí šetření, inspekce a audity v souladu s vnitrostátním právem, a to z vlastního podnětu či na základě stížnosti uvedené v písmenu a).

4.      Je-li o to požádán, každý vnitrostátní orgán dohledu poskytuje kterémukoliv subjektu údajů poradenství při výkonu práv vyplývajících z předpisů přijatých na základě této směrnice.“

34      Článek 19 uvedené směrnice, nadepsaný „Přezkum“, stanoví:

„1.      Na základě informací poskytnutých členskými státy, včetně statistických informací uvedených v čl. 20 odst. 2, provede Komise do 25. května 2020 přezkum všech prvků této směrnice a předloží a představí zprávu Evropskému parlamentu a Radě [Evropské unie].

2.      Při provádění přezkumu věnuje Komise zvláštní pozornost:

a)      dodržování platných standardů ochrany osobních údajů;

b)      nezbytnosti a přiměřenosti shromažďování a zpracování údajů PNR pro účely stanovené v této směrnici;

c)      délce doby uchovávání údajů;

d)      účinnosti výměny informací mezi členskými státy a

e)      kvalitě posouzení, a to i s ohledem na statistické informace shromážděné podle článku 20.

3.      Zpráva uvedená v odstavci 1 rovněž zahrnuje přezkum týkající se nezbytnosti, přiměřenosti a účinnosti shromažďování, včetně v oblasti působnosti této směrnice, povinného předávání údajů PNR, pokud jde o všechny nebo o vybrané lety uvnitř EU. Komise zohlední zkušenosti získané členskými státy, zejména těmi, které uplatňují tuto směrnici na lety uvnitř EU podle článku 2. Zpráva rovněž posoudí nezbytnost začlenění hospodářských subjektů, které nejsou leteckými dopravci, jako jsou například cestovní agentury nebo kanceláře, které poskytují služby související s cestovním ruchem, včetně rezervací letů, do oblasti působnosti této směrnice.

4.      Komise případně s ohledem na přezkum provedený podle tohoto článku předloží Evropskému parlamentu a Radě legislativní návrh na změnu této směrnice.“

35      Článek 21 téže směrnice, nadepsaný „Vztah k jiným nástrojům“, v odstavci 2 stanoví:

„Touto směrnicí není dotčena použitelnost směrnice [95/46] na zpracování osobních údajů leteckými dopravci.“

36      Příloha I směrnice PNR, nadepsaná „Údaje PNR shromažďované leteckými dopravci“, stanoví:

„1.      Lokalizační záznam PNR

2.      Datum rezervace/vystavení letenky

3.      Datum (data) zamýšlené cesty

4.      Jméno (jména)

5.      Adresa a kontaktní informace (telefonní číslo, e-mailová adresa)

6.      Veškeré informace o způsobech platby, včetně zúčtovací adresy

7.      Úplná trasa pro jednotlivý záznam ve jmenné evidenci cestujících

8.      Informace o věrnostním programu cestujícího

9.      Cestovní agentura nebo zprostředkovatel

10.      Situace cestujícího včetně potvrzení odletu, odbavení, informací o případech, kdy se cestující nedostavil k odletu nebo kdy se cestující dostavil na letiště bez rezervace

11.      Rozčleněné nebo rozdělené informace PNR

12.      Obecné poznámky (včetně všech dostupných informací o nezletilých osobách mladších 18 let bez doprovodu, jako jsou jméno a pohlaví nezletilé osoby, věk, jazyk (jazyky), kterým (kterými) hovoří, jméno a kontaktní údaje opatrovníka při odletu a vztah k nezletilému, jméno a kontaktní údaje opatrovníka při příletu a vztah k nezletilému, zprostředkovatel při odletu a příletu)

13.      Informace o vystavení letenky, včetně čísla letenky, data vystavení letenky a jednosměrných letenek, a obsah rubrik ATFQ (Automated Ticket Fare Quote)

14.      Číslo sedadla a jiné informace o sedadle

15.      Informace o sdílení kódů

16.      Veškeré informace o zavazadlech

17.      Počet a další jména cestujících v rámci jednoho záznamu PNR

18.      Veškeré shromážděné údaje API (včetně typu, čísla, země vydání a data pozbytí platnosti dokladu totožnosti, státní příslušnosti, příjmení, jména, pohlaví, data narození, letecké společnosti, čísla letu, data odletu, data příletu, místa odletu, místa příletu, času odletu a času příletu)

19.      Všechny předchozí změny záznamů PNR uvedených pod body 1 až 18.“

37      Příloha II této směrnice, nadepsaná „Seznam trestných činů podle čl. 3 bodu 9“, zní následovně:

„1.      účast na zločinném spolčení,

2.      obchodování s lidmi,

3.      pohlavní vykořisťování dětí a dětská pornografie,

4.      nedovolený obchod s omamnými a psychotropními látkami,

5.      nedovolený obchod se zbraněmi, střelivem a výbušninami,

6.      korupce,

7.      podvod, včetně podvodu proti finančním zájmům Unie,

8.      praní výnosů z trestné činnosti a padělání peněz, včetně eura

9.      počítačová trestná činnost/kyberkriminalita,

10.      trestné činy proti životnímu prostředí, včetně nedovoleného obchodu s ohroženými druhy živočichů a ohroženými druhy a odrůdami rostlin,

11.      napomáhání při nedovoleném překročení státní hranice a nedovoleném pobytu,

12.      vražda, těžké ublížení na zdraví,

13.      nedovolený obchod s lidskými orgány a tkáněmi,

14.      únos, omezování osobní svobody a braní rukojmí,

15.      organizovaná a ozbrojená loupež,

16.      nedovolený obchod s kulturními statky, včetně starožitností a uměleckých děl,

17.      padělání a produktové pirátství,

18.      padělání veřejných listin a obchod s nimi,

19.      nedovolený obchod s hormonálními látkami a jinými prostředky na podporu růstu,

20.      nedovolený obchod s jadernými a radioaktivními materiály,

21.      znásilnění,

22.      trestné činy spadající do pravomoci Mezinárodního trestního soudu,

23.      únos letadla nebo plavidla,

24.      sabotáž,

25.      obchod s odcizenými vozidly,

26.      průmyslová špionáž.“

7.      Rámcové rozhodnutí 2002/475

38      Článek 1 rámcového rozhodnutí 2002/475 vymezil pojem „teroristické trestné činy“ výčtem úmyslných jednání, uvedených v písm. a) až i) téhož článku, spáchaných s cílem „závažným způsobem zastrašit obyvatelstvo“, „protiprávně přinutit vládu nebo mezinárodní organizaci, aby jednala určitým způsobem nebo aby se jednání zdržela“, nebo „závažným způsobem destabilizovat či zničit základní politické, ústavní, hospodářské nebo sociální struktury země nebo mezinárodní organizace“. Články 2 a 3 tohoto rámcového rozhodnutí vymezovaly pojmy „trestné činy spojené s teroristickými skupinami“ a „trestné činy spojené s teroristickými činnostmi“. Článek 4 uvedeného rámcového rozhodnutí upravil návod, pokus a pomoc k trestnému činu.

39      Rámcové rozhodnutí 2002/475 bylo zrušeno směrnicí Evropského parlamentu a Rady (EU) 2017/541 ze dne 15. března 2017 o boji proti terorismu, kterou se nahrazuje rámcové rozhodnutí 2002/475 a mění rozhodnutí Rady 2005/671/SVV (Úř. věst. 2017, L 88, s. 6), jehož články 3 až 14 obsahují obdobné definice.

B.      Belgické právo

1.      Ústava

40      Článek 22 Ústavy stanoví:

„Každý má právo na respektování svého soukromého a rodinného života, vyjma případů a podmínek stanovených zákonem.

Zákon, nařízení nebo pravidlo uvedené v článku 134 zaručují ochranu tohoto práva.“

2.      Zákon ze dne 25. prosince 2016

41      Článek 2 loi du 25 décembre 2016, relative au traitement des données des passagers (zákon ze dne 25. prosince 2016 o zpracování údajů o cestujících, Moniteur belge ze dne 25. ledna 2017, s. 12905, dále jen „zákon ze dne 25. prosince 2016“), zní následovně:

„Tento zákon a královské vyhlášky, které budou přijaty k provedení tohoto zákona, provádějí [směrnici API] a [směrnici PNR]. Tento zákon a královská vyhláška týkající se námořního odvětví částečně provádějí směrnici [2010/65].“

42      Článek 3 tohoto zákona stanoví:

„§ l.      Tento zákon stanoví povinnosti dopravců a poskytovatelů cestovních služeb související s předáváním údajů o cestujících, kteří jsou přepravováni na vnitrostátní území, z vnitrostátního území nebo přes něj.

§ 2.      Král stanoví vyhláškou schválenou Radou ministrů v odvětví dopravy a u poskytovatelů cestovních služeb údaje o cestujících, které se předávají, a podmínky jejich předání po stanovisku Komise na ochranu soukromého života.“

43      Článek 4 uvedeného zákona stanoví:

„Pro účely použití tohoto zákona a jeho prováděcích vyhlášek se rozumí:

[…]

8°      ‚příslušnými orgány‘: orgány uvedené v čl. 14 § 1 bodu 2°;

9°      ‚PNR‘: evidence cestovních požadavků každého cestujícího obsahující informace uvedené v článku 9, které jsou nezbytné pro zpracování a kontrolu rezervací příslušnými dopravci a provozovateli cestovních služeb, kteří rezervace provádějí, u každé cesty rezervované kterýmkoliv cestujícím nebo jeho jménem bez ohledu na to, zda je uvedena v rezervačních systémech, kontrolních systémech odletů (užívaných pro přihlášení cestujících k letu) nebo jiných rovnocenných systémech poskytujících stejné funkce;

10°      ‚cestující‘: každá osoba, včetně cestující na letech s přestupem a tranzitních letech, kromě členů posádky, která je nebo má být se souhlasem dopravce přepravena, přičemž tento souhlas je vyjádřen zápisem této osoby na seznam cestujících;

[…]“

44      Článek 8 zákona ze dne 25. prosince 2016 stanoví:

„§ l.      Údaje o cestujících se zpracovávají pro účely:

1°      vyšetřování a trestního stíhání, včetně výkonu trestů nebo opatření omezujících svobodu, která se týkají protiprávních jednání uvedených v čl. 90b § 2 […] bodu 7°, […] bodu 8°, […] bodu 11°, […] bodu 14°, […] bodu 17°, 18°, 19° a § 3 Code d’instruction criminelle (trestní řád);

2°      vyšetřování a stíhání, včetně výkonu trestů nebo opatření omezujících svobodu, která se týkají protiprávních jednání uvedených v článku 196, pokud jde o protiprávní jednání spočívající v padělání úředních a veřejných listin, a v článcích 198, 199, 199a, 207, 213, 375 a 505 Code pénal (trestní zákoník);

[…]

4°      monitorování činností uvedených v čl. 7 bodech 1° a 3°/1 a čl. 11 odst. 1 bodech 1° až 3° a 5° loi du 30 novembre 1998 organique des services de renseignement et de sécurité (zákon ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách);

5°      vyšetřování a stíhání protiprávních jednání uvedených v čl. 220 § 2 loi générale sur les douanes et accises du 18 juillet 1977 (všeobecný zákon ze dne 18. července 1977 o clu a spotřebních daních) a v čl. 45 třetím pododstavci loi du 22 décembre 2009 relative au régime général d’accise (zákon ze dne 22. prosince 2009 o obecné úpravě spotřebních daní) […]

§ 2.      Za podmínek stanovených v kapitole 11 se údaje o cestujících rovněž zpracovávají za účelem zlepšení kontrol osob na vnějších hranicích a za účelem boje proti nedovolenému přistěhovalectví.“

45      Článek 14 § 1 tohoto zákona stanoví:

„Útvar pro informace o cestujících se skládá:

[…]

2°      z členů vyslaných následujícími odbornými orgány:

a)      policejními složkami uvedenými loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux (zákon ze dne 7. prosince 1998 o integrované dvouúrovňové policejní službě);

b)      službami státní bezpečnosti uvedené loi du 30 novembre 1998 organique des services de renseignement et de sécurité (zákon ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách);

c)      obecnou zpravodajskou a bezpečnostní službou uvedenou loi du 30 novembre 1998 organique des services de renseignement et de sécurité (zákon ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách);

[…]“

46      Článek 24 uvedeného zákona, který je obsažen v oddíle 1, nadepsaném „Zpracování údajů o cestujících v rámci předběžného posuzování cestujících“, kapitoly 10 téhož zákona o zpracování údajů, zní následovně:

„§ 1.      Údaje cestujících se zpracovávají za účelem provedení předběžného posuzování cestujících před jejich příjezdem, odjezdem nebo jejich plánovaným průjezdem na území státu, aby bylo možné určit, které osoby musí být podrobeny důkladnému posouzení.

2.      V rámci cílů uvedených v čl. 8 § l bodech 1°, 4° a 5° nebo cílů týkajících se hrozeb uvedených v čl. 8 bodě 1° písm. a), b), c), d), f) a g) a v čl. 11 § 2 loi du 30 novembre 1998 organique des services de renseignement et de sécurité (zákon ze dne 30. listopadu 1998 o zpravodajských a bezpečnostních službách) vychází předběžné posuzování cestujících z pozitivní shody, která vyplývá z porovnání údajů o cestujících s:

1°      databázemi, jež spravují příslušné orgány nebo jež jsou těmto orgánům přímo dostupné nebo přístupné v rámci jejich úkolů, nebo se seznamy osob, které za tímto účelem vypracovávají příslušné služby v rámci svých úkolů.

2°      kritérii pro posuzování předem stanovenými Útvarem pro informace o cestujících, jež jsou uvedena v článku 25.

§ 3      V rámci cílů uvedených v čl. 8 § 1 bodě 3° vychází předběžné posuzování z pozitivní shody, která vyplývá z porovnání údajů o cestujících s databázemi uvedenými v § 2 bodě 1°.

§ 4      Pozitivní shodu potvrdí Útvar pro informace o cestujících do 24 hodin po obdržení automatizovaného oznámení pozitivní shody.

§ 5      Od okamžiku tohoto potvrzení příslušný orgán, který je autorem této pozitivní shody, přijme co nejrychleji potřebné kroky.“

47      Kapitola 11 zákona ze dne 25. prosince 2016, nadepsaná „Zpracování údajů o cestujících za účelem zlepšení kontroly na hranicích a boje proti nedovolenému přistěhovalectví“, obsahuje články 28 až 31 tohoto zákona.

48      Článek 28 tohoto zákona stanoví:

„§ 1.      Tato kapitola se vztahuje na zpracování údajů o cestujících policejními službami odpovědnými za ochranu hranic a cizineckým úřadem za účelem zlepšení kontrol osob na vnějších hranicích a boje proti nedovolenému přistěhovalectví.

2.      Uplatňuje se, aniž jsou dotčeny povinnosti policejních služeb odpovědných za ochranu hranic a cizineckého úřadu předávat osobní údaje nebo informace podle právních nebo správních předpisů.“

49      Článek 29 uvedeného zákona zní:

„§ 1      Pro účely uvedené v čl. 28 § 1 se údaje o cestujících předávají policejním službám odpovědným za hraniční kontrolu a cizineckému úřadu, aby mohly plnit své zákonné povinnosti v mezích stanovených v tomto článku.

§ 2      Předávají se pouze údaje o cestujících uvedené v čl. 9 § 1 bodě 18° týkající se těchto kategorií cestujících:

1°      cestující, kteří hodlají vstoupit nebo vstoupili na území přes vnější hranice Belgie;

2°      cestující, kteří hodlají opustit nebo opustili území přes vnější hranice Belgie;

3°      cestující, kteří hodlají projíždět, nacházejí se nebo projížděli mezinárodním tranzitním prostorem nacházejícím se v Belgii.

§ 3      Údaje o cestujících uvedené v § 2 se předávají policejním službám odpovědným za kontrolu vnějších hranic Belgie bezprostředně po jejich zaznamenání v databázi údajů o cestujících. Tyto služby uchovávají tyto údaje v dočasném souboru a zničí je do 24 hodin od jejich předání.

§ 4      Pokud je potřebuje pro výkon svých zákonných povinností, předá údaje o cestujících uvedené v § 2 cizineckému úřadu neprodleně po jejich zaznamenání v databázi údajů o cestujících. Cizinecký úřad uchovává tyto údaje v dočasném souboru a zničí je do 24 hodin od jejich předání.

Pokud je po uplynutí této lhůty přístup k údajům o cestujících uvedeným v § 2 nezbytný pro plnění jeho zákonných úkolů, zašle Cizinecký úřad řádně odůvodněnou žádost Útvaru pro informace o cestujících.

[…]“

50      Zákon ze dne 25. prosince 2016 se na letecké společnosti, dopravce poskytující služby mezinárodní přepravy cestujících (dopravci HST) a zprostředkovatele cestovních služeb, kteří mají s těmito dopravci uzavřenou smlouvu (distributoři jízdenek HST), jakož i na autobusové dopravce, resp. na letecké dopravce, začal vztahovat na základě arrêté royal du 18 juillet 2017 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les compagnies aériennes (královská vyhláška ze dne 18. července 2017 o provedení zákona ze dne 25. prosince 2016, která přebírá povinnosti leteckých společností, Moniteur belge ze dne 28. července 2017, s. 75934), arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs HST et distributeurs de tickets HST (královská vyhláška ze dne 3. února 2019 o provedení zákona ze dne 25. prosince 2016, která přebírá povinnosti dopravců HST a distributorů jízdenek HST, Moniteur belge ze dne 12. února 2019, s. 13018), a arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs par bus (královská vyhláška ze dne 3. února 2019 o provedení zákona ze dne 25. prosince 2016, která přebírá povinnosti autobusových dopravců, Moniteur belge ze dne 12. února 2019, s. 13023).

II.    Spor v původním řízení a předběžné otázky

51      Návrhem ze dne 24. července 2017 podala Ligue des droits humains ke Cour constitutionnelle (Ústavní soud, Belgie) žalobu znějící na úplné nebo částečné zrušení zákona ze dne 25. prosince 2016.

52      Předkládající soud uvádí, že tento zákon provádí do vnitrostátního práva směrnici PNR a směrnici API a částečně i směrnici 2010/65. Z přípravných prací k uvedenému zákonu vyplývá, že jeho cílem je „vytvořit právní rámec, který bude vyžadovat, aby různá odvětví mezinárodní osobní dopravy (letecká, železniční, mezinárodní silniční a námořní) a poskytovatelé cestovních služeb předávali údaje o svých cestujících do databáze spravované [Service public fédéral intérieur (federální ministerstvo vnitra, Belgie)]“. Vnitrostátní zákonodárce rovněž upřesnil, že účely zákona ze dne 25. prosince 2016 spadají do tří kategorií, a to zaprvé prevence, odhalování, vyšetřování a stíhání trestných činů nebo výkon trestů, zadruhé úkoly zpravodajských a bezpečnostních služeb a zatřetí zlepšení kontroly vnějších hranic a boj proti nedovolenému přistěhovalectví.

53      Na podporu své žaloby Ligue des droits humains předkládá dva žalobní důvody, z nichž první vychází z porušení článku 22 Ústavy ve spojení s článkem 23 GDPR, s články 7, 8 a čl. 52 odst. 1 Listiny, jakož i s článkem 8 EÚLP, a, druhý, dovolávaný podpůrně, z porušení tohoto článku 22, ve spojení s čl. 3 odst. 2 SEU a s článkem 45 Listiny.

54      Prvním žalobním důvodem Ligue des droits humains v podstatě tvrdí, že tento zákon implikuje zásah do práva na respektování soukromého života a do práva na ochranu osobních údajů, který není v souladu s čl. 52 odst. 1 Listiny a zejména se zásadou proporcionality. Působnost uvedeného zákona a definice shromažďovaných údajů, které mohou vést k odhalování citlivých údajů, jsou totiž příliš široké. Stejně tak pojem „cestující“ ve smyslu téhož zákona umožňuje systematické necílené zpracování údajů o všech cestujících. Kromě toho povaha a způsob metody pre-screeningu, jakož i databáze, se kterými jsou tyto údaje srovnávány, jakmile jsou předány, nejsou dostatečně jasně stanoveny. Zákon ze dne 25. prosince 2016 kromě toho sleduje jiné cíle, než jsou cíle směrnice PNR. Konečně, pětiletá doba uchovávání uvedených údajů stanovená tímto zákonem je nepřiměřená.

55      Ve druhém žalobním důvodu, který se týká čl. 3 § 1, čl. 8 § 2 a článků 28 až 31 zákona ze dne 25. prosince 2016, Ligue des droits humains tvrdí, že rozšířením systému stanoveného směrnicí PNR na dopravu uvnitř EU dochází v důsledku těchto ustanovení k nepřímému obnovení kontrol na vnitřních hranicích, které jsou v rozporu s volným pohybem osob. Jakmile se totiž osoba nachází na belgickém území, ať už při příjezdu, odjezdu nebo mezipřistání, její údaje budou automaticky shromažďovány.

56      Rada ministrů tuto argumentaci zpochybňuje. Domnívá se zejména, že první žalobní důvod je nepřípustný, neboť se týká GDPR, které se na zákon ze dne 25. prosince 2016 nepoužije. Zpracování údajů stanovené tímto zákonem v souladu se směrnicí PNR kromě toho představuje zásadní nástroj zejména v rámci boje proti terorismu a závažné trestné činnosti a opatření vyplývající z tohoto zákona jsou nezbytná k dosažení sledovaných cílů a jsou přiměřená.

57      Pokud jde o první žalobní důvod, předkládající soud se nejprve zabývá použitelností ochrany stanovené GDPR na zpracování údajů zavedené zákonem ze dne 25. prosince 2016, který má v zásadě provést směrnici PNR. Tento soud poté s odkazem na judikaturu vyplývající z posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592) uvádí, že definice údajů PNR obsažená v čl. 3 odst. 5 této směrnice a v její příloze I nemusí být dostatečně jasná a přesná vzhledem k demonstrativní povaze popisu některých z těchto údajů obsaženého v těchto ustanoveních a může nepřímo vést k odhalování citlivých údajů. Definice pojmu „cestující“ v čl. 3 odst. 4 uvedené směrnice by navíc mohla vést k tomu, že shromažďování, předávání, zpracovávání a uchovávání údajů PNR jsou obecné a nerozlišující povinnosti, které se vztahují na jakoukoli osobu, která je nebo má být přepravována a je uvedena na seznamu cestujících, bez ohledu na existenci vážných důvodů domnívat se, že tato osoba spáchala nebo se chystá spáchat trestný čin nebo že byla shledána vinnou z trestného činu.

58      Uvedený soud dále poznamenává, že údaje PNR jsou v souladu s ustanoveními směrnice PNR systematicky podrobovány předběžnému posouzení zahrnujícímu křížovou kontrolu s předem stanovenými databázemi nebo kritérii s cílem zjistit shodu. Poradní výbor Rady Evropy k Úmluvě č. 108 přitom ve svém stanovisku ze dne 19. srpna 2016 k důsledkům zpracování údajů o cestujících pro ochranu údajů [T-PD(2016)18rev] uvedl, že zpracování osobních údajů se týká všech cestujících, a nikoli pouze cílových osob podezřelých z účasti na trestném činu nebo z bezprostředního ohrožení národní bezpečnosti nebo veřejného pořádku, a že údaje PNR mohou být nejen porovnávány (data matching) s databázemi, ale také zpracovávány pomocí vytěžování údajů (data mining) s využitím selektorů nebo prediktivních algoritmů s cílem identifikovat každého, kdo by mohl být zapojen do trestné činnosti nebo se jí účastnit, neboť takové posuzování cestujících pomocí porovnávání údajů může vyvolat otázky ohledně předvídatelnosti, zejména pokud je prováděno na základě prediktivních algoritmů využívajících dynamická kritéria, která se mohou průběžně vyvíjet podle svých schopností samoučení. V této souvislosti má předkládající soud za to, že ačkoli předem stanovená kritéria pro určení rizikových profilů musí být konkrétní, spolehlivá a nediskriminační, v souladu s posudkem 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592) se zdá být technicky nemožné tato kritéria dále vymezit.

59      Pokud jde o pětiletou dobu uchovávání a přístup k údajům podle článku 12 směrnice PNR, tento soud uvádí, že Komise pro ochranu soukromí (Belgie) se ve svém stanovisku z vlastní iniciativy č. 01/2010 ze dne 13. ledna 2010 k návrhu zákona, kterým se schvaluje dohoda PNR mezi EU a USA měla za to, že pokud je doba uchovávání dlouhá a údaje jsou uchovávány ve velkém množství, zvyšuje se riziko profilování subjektů údajů, jakož i riziko zneužití těchto údajů k jiným než původně zamýšleným účelům. Ze stanoviska poradního výboru k Úmluvě Rady Evropy č. 108 ze dne 19. srpna 2016 dále vyplývá, že maskované údaje stále umožňují identifikaci osob, a zůstávají tedy osobními údaji, a že jejich uchovávání musí být časově omezeno, aby se zabránilo všeobecnému trvalému sledování.

60      Za těchto podmínek se s ohledem na judikaturu vycházející zejména z posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592) předkládající soud zabývá otázkou, zda lze systém shromažďování, předávání, zpracování a uchovávání údajů PNR zavedený směrnicí PNR považovat za systém v mezích toho, co je nezbytně nutné. Tento soud má za to, že je rovněž třeba určit, zda tato směrnice brání vnitrostátním právním předpisům, které povolují zpracování údajů PNR za jiným účelem, než jsou účely stanovené v uvedené směrnici, a zda zpřístupnění všech těchto údajů po jejich depersonalizaci podle článku 12 téže směrnice může schválit takový vnitrostátní orgán, jako je Útvar pro informace o cestujících zřízený zákonem ze dne 25. prosince 2016.

61      Pokud jde o druhý žalobní důvod, předkládající soud uvádí, že čl. 3 § 1 tohoto zákona stanoví povinnosti dopravců a poskytovatelů cestovních služeb související s předáváním údajů o cestujících, kteří jsou přepravováni „na vnitrostátní území, z vnitrostátního území nebo přes něj“. Tento soud dodává, pokud jde o oblast působnosti uvedeného zákona, že vnitrostátní zákonodárce rozhodl o „zahrnutí shromažďování údajů uvnitř EU“ za účelem získání „přesnějšího přehled o cestujících, kteří představují možnou bezpečnostní hrozbu na území EU a na území státu“, což je stanoveno v článku 2 směrnice PNR ve spojení s bodem 10 odůvodnění této směrnice pro lety uvnitř Unie. Uvedený soud dále uvádí, že Komise pro ochranu soukromí ve svém stanovisku č. 55/2015 ze dne 16. prosince 2015 k předběžnému návrhu zákona, na jehož základě byl přijat zákon ze dne 25. prosince 2016, se zabývala možným rozporem mezi belgickým systémem PNR a zásadou volného pohybu osob v rozsahu, v němž tento systém zahrnuje přepravu uvnitř Unie.

62      Za těchto podmínek se Cour constitutionnelle (Ústavní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

„1)      Musí být článek 23 [GDPR] ve spojení s čl. 2 odst. 2 písm. d) tohoto nařízení vykládán v tom smyslu, že se použije na takovou vnitrostátní právní úpravu, jako je [zákon ze dne 25. prosince 2016], který provádí [směrnici PNR], jakož i [směrnici API] a směrnici [2010/65]?

2)      Je příloha I [směrnice PNR] slučitelná s články 7, 8 a čl. 52 odst. 1 [Listiny] [v tom], že údaje, které vyjmenovává, jsou velmi široké – zejména údaje uvedené v bodě 18 přílohy I [této směrnice], které překračují údaje uvedené v čl. 3 odst. 2 [směrnice API] – a pokud jako celek mohou odhalit citlivé údaje a překročit tak meze toho, co je ‚nezbytně nutné‘?

3)      Jsou body 12 a 18 přílohy I [směrnice PNR] slučitelné s články 7, 8 a čl. 52 odst. 1 [Listiny] v tom, že s ohledem na výraz ‚včetně‘ jsou údaje, jichž se týkají, uvedeny příkladmo, a nikoli vyčerpávajícím způsobem, takže požadavek přesnosti a jasnosti pravidel týkajících se zásahu do práva na respektování soukromého života a do práva na ochranu osobních údajů není dodržen?

4)      Jsou čl. 3 bod 4 [směrnice PNR] a příloha I téže směrnice slučitelné s články 7, 8 a čl. 52 odst. 1 [Listiny], pokud se systém plošného shromažďování, předávání a zpracovávání údajů o cestujících, který tato ustanovení zavádějí, vztahuje na každou osobu, která použije dotčený dopravní prostředek, a to bez ohledu na jakoukoli objektivní skutečnost, na jejímž základě lze mít za to, že tato osoba může představovat riziko pro veřejnou bezpečnost?

5)      Musí být článek 6 [směrnice PNR] ve spojení s články 7, 8 a čl. 52 odst. 1 [Listiny] vykládán v tom smyslu, že brání takovým vnitrostátním právním předpisům, jako je napadený zákon, který jako účel zpracování údajů ‚PNR‘ připouští monitorování činností sledovaných zpravodajskými a bezpečnostními službami, přičemž tento účel začleňuje do prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti?

6)      Je článek 6 [směrnice PNR] slučitelný s články 7, 8 a čl. 52 odst. 1 [Listiny], pokud se jím upravené předběžné posuzování prostřednictvím porovnání s databázemi a s předem stanovenými kritérii vztahuje systematicky a plošně na údaje o cestujících bez ohledu na jakoukoli objektivní skutečnost, na jejímž základě lze mít za to, že tito cestující mohou představovat riziko pro veřejnou bezpečnost?

7)      Může být pojem ‚jiný příslušný vnitrostátní orgán‘ uvedený v čl. 12 odst. 3 [směrnice PNR] vykládán tak, že se vztahuje na Útvar pro informace o cestujících zřízený zákonem ze dne 25. prosince 2016, který by tedy mohl povolit přístup k údajům PNR po uplynutí šestiměsíční lhůty v rámci konkrétního vyšetřování?

8)      Musí být článek 12 [směrnice PNR] ve spojení s články 7, 8 a čl. 52 odst. 1 [Listiny] vykládán v tom smyslu, že brání takovým vnitrostátním právním předpisům, jako je napadený zákon, které stanoví obecnou dobu uchovávání údajů v délce pěti let, a to bez rozlišení, zda při předběžném posuzování vyjde najevo, že dotčení cestující mohou či nemohou představovat riziko pro veřejnou bezpečnost?

9)      a)      Je [směrnice API] slučitelná s čl. 3 odst. 2 [SEU] a článkem 45 [Listiny], pokud se povinnosti, které zavádí, vztahují na lety v rámci Evropské unie?

b)      Musí být [směrnice API] ve spojení s čl. 3 odst. 2 [SEU] a s článkem 45 [Listiny] vykládána v tom smyslu, že brání takovým vnitrostátním právním předpisům, jako je napadený zákon, který za účelem boje proti nedovolenému přistěhovalectví a zlepšování hraničních kontrol povoluje systém shromažďování a zpracování údajů cestujících, ‚kteří jsou přepravováni na vnitrostátní území, z vnitrostátního území nebo přes něj‘, což by mohlo nepřímo znamenat obnovení kontrol na vnitřních hranicích?

10)      Pokud by měl Cour constitutionnelle (Ústavní soud) na základě odpovědí na výše uvedené předběžné otázky dospět k závěru, že je napadený zákon, který provádí zejména [směrnici PNR], v rozporu s jednou nebo více povinnostmi vyplývajícími z ustanovení zmíněných v těchto otázkách, může dočasně zachovat účinky [zákona ze dne 25. prosince 2016], aby zabránil právní nejistotě a zajistil možnost ještě využít již dříve shromážděné a uchovávané údaje pro účely stanovené tímto zákonem?“

III. K předběžným otázkám

A.      K první otázce

63      Podstatou první otázky předkládajícího soudu Soudnímu dvoru je, zda musí být čl. 2 odst. 2 písm. d) a článek 23 GDPR vykládány tak, že se toto nařízení použije na zpracování osobních údajů stanovené vnitrostátními právními předpisy, kterými se do vnitrostátního právního řádu provádí ustanovení směrnice PNR, směrnice API a směrnice 2010/65, zejména na předávání, uchovávání a zpracovaní údajů PNR.

64      Jak vyplývá z čl. 2 odst. 1 GDPR, toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny. Pojem „zpracování“ je vymezen široce v čl. 4 bodu 2 uvedeného nařízení jako zejména shromáždění, zaznamenání, uložení, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení nebo výmaz takových údajů nebo souborů údajů.

65      Belgická vláda však tvrdí, že předávání údajů PNR hospodářskými subjekty Útvaru pro informace o cestujících za účelem prevence a odhalování trestných činů, tak jak je stanoveno v čl. 1 odst. 1 písm. a), čl. 1 odst. 2 a článku 8 směrnice PNR, které představuje „zpracování“ osobních údajů ve smyslu čl. 4 bodu 2 GDPR, jakož i jejich předchozí shromažďování, nespadá do působnosti tohoto nařízení na základě čl. 2 odst. 2 písm. d) uvedeného nařízení, neboť judikatura vycházející z rozsudku ze dne 30. května 2006, Parlament v. Rada a Komise, C‑317/04 a C‑318/04, EU:C:2006:346, body 57 až 59), týkající se čl. 3 odst. 2 první odrážky směrnice 95/46, je použitelná na toto ustanovení uvedeného nařízení.

66      V tomto ohledu je pravda, že, jak Soudní dvůr již konstatoval, čl. 3 odst. 2 první odrážka směrnice 95/46, která byla zrušena a nahrazena GDPR s účinkem ode dne 25. května 2018, obecně vylučoval z oblasti působnosti této směrnice „zpracování, které se týká veřejné bezpečnosti, obrany [a] bezpečnosti státu“, a nerozlišoval podle subjektu, který dotčené zpracování údajů provádí. Na zpracování prováděná soukromými subjekty plynoucí z povinností uložených jim orgány veřejné moci se s ohledem na formulaci tohoto ustanovení, které pokrývá každé zpracování, jehož předmětem je veřejná bezpečnost, obrana nebo bezpečnost státu, a to bez ohledu na subjekt, který takové zpracování provádí, případně mohla vztahovat výjimka stanovená v tomto ustanovení (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 101).

67      Článek 2 odst. 2 písm. d) GDPR však takové rozlišení provádí, neboť, jak uvedl generální advokát v bodech 41 a 46 svého stanoviska, znění tohoto ustanovení jasně prokazuje, že proto, aby se na zpracování údajů vztahovala výjimka, kterou stanoví, je třeba, aby byly splněny dvě podmínky. Zatímco první z těchto podmínek se týká účelů zpracování, a sice prevence, vyšetřování, odhalování či stíhání trestných činů či výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, druhá podmínka se týká subjektu, který toto zpracování provádí, a sice „příslušného orgánu“ ve smyslu uvedeného ustanovení.

68      Jak rovněž konstatoval Soudní dvůr, z čl. 23 odst. 1 písm. d) a h) GDPR vyplývá, že zpracování osobních údajů prováděné za účely uvedenými v čl. 2 odst. 2 písm. d) tohoto nařízení jednotlivci spadá do oblasti jeho působnosti (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 102).

69      Z toho vyplývá, že judikaturu vycházející z rozsudku ze dne 30. května 2006, Parlament v. Rada a Komise (C‑317/04 a C‑318/04, EU:C:2006:346), na kterou se odvolává belgická vláda, nelze použít na výjimku z působnosti GDPR stanovenou v čl. 2 odst. 2 písm. d) tohoto nařízení.

70      Tuto výjimku je třeba mimoto vykládat restriktivně, podobně jako ostatní výjimky z působnosti GDPR uvedené v čl. 2 odst. 2 tohoto nařízení.

71      Jak vyplývá z bodu 19 odůvodnění uvedeného nařízení, uvedená výjimka je odůvodněna tím, že na zpracování osobních údajů, které provádí příslušné orgány za účely zejména prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, se vztahuje konkrétnější unijní akt, a sice směrnice 2016/680, která byla přijata ve stejný den jako GDPR [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 69].

72      Jak kromě toho stanoví body 9 až 11 odůvodnění směrnice 2016/680, tato směrnice stanoví zvláštní pravidla pro ochranu fyzických osob v souvislosti s takovým zpracováním, přičemž respektuje specifickou povahu těchto činností v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, zatímco GDPR vymezuje obecná pravidla pro ochranu těchto osob, která se mají vztahovat na taková zpracování v případech, kdy se konkrétnější akt, kterým je směrnice 2016/680, nepoužije. Podle bodu 11 odůvodnění této směrnice se zejména GDPR použije na zpracování osobních údajů prováděné „příslušným orgánem“ ve smyslu čl. 3 odst. 7 zmíněné směrnice, ale pro jiné účely, než jsou účely uvedené v této směrnici [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 70].

73      Pokud jde o první podmínku uvedenou v bodě 67 tohoto rozsudku, a konkrétně o účely, které sleduje zpracování osobních údajů stanovené směrnicí PNR, je třeba připomenout, že v souladu s čl. 1 odst. 2 této směrnice lze údaje PNR zpracovávat pouze za účelem prevence a odhalování trestných činů a závažné trestné činnosti, jakož i vyšetřování a stíhání v této oblasti. Tyto účely spadají pod účely uvedené v čl. 2 odst. 2 písm. d) GDPR a v čl. 1 odst. 1 směrnice 2016/680, takže na tato zpracování se může vztahovat výjimka uvedená v čl. 2 odst. 2 písm. d) tohoto nařízení, a tudíž působnost této směrnice.

74      Tak tomu naopak není v případě zpracování stanovených směrnicí API a směrnicí 2010/65, jejichž účely jsou jiné než účely stanovené v čl. 2 odst. 2 písm. d) GDPR a čl. 1 odst. 1 směrnice 2016/680.

75      Pokud jde totiž o směrnici API, jejím cílem je zlepšení hraničních kontrol a boj proti nedovolenému přistěhovalectví, jak vyplývá z bodů 1, 7 a 9 odůvodnění, jakož i z článku 1 této směrnice, a to prostřednictvím předchozího předávání údajů o cestujících dopravci příslušným vnitrostátním orgánům. Z několika bodů odůvodnění a ustanovení této směrnice ostatně vyplývá, že zpracování údajů stanovené za účelem jejího provedení spadají do působnosti GDPR. Bod 12 odůvodnění uvedené směrnice tak stanoví, že „směrnice [95/46] je použitelná na zpracovávání osobních údajů orgány členských států“. Mimoto čl. 6 odst. 1 pátý pododstavec směrnice API stanoví, že „s ohledem na ustanovení o ochraně údajů obsažená ve směrnici [95/46]“ mohou členské státy použít údaje API rovněž pro účely vynucování práva, přičemž tento výraz je rovněž použit v třetím pododstavci tohoto ustanovení. Stejně tak je použit zejména v bodě 9 odůvodnění směrnice API výraz „aniž je dotčena směrnice [95/46]“. Konečně čl. 6 odst. 2 směrnice API stanoví, že cestující musí být informováni dopravci „v souladu se směrnicí [95/46]“.

76      Pokud jde o směrnici 2010/65, z bodu 2 odůvodnění a z čl. 1 odst. 1 této směrnice vyplývá, že účelem této směrnice je zjednodušit a harmonizovat správní postupy používané v námořní dopravě standardizací elektronického předávání informací a racionalizací ohlašovacích formalit v zájmu usnadnění námořní dopravy a omezení administrativní zátěže pro společnosti provozující lodní dopravu. Článek 8 odst. 2 uvedené směrnice přitom potvrzuje, že zpracování údajů stanovené za účelem jejího provedení spadají do působnosti GDPR, jelikož toto ustanovení členským státům ukládá, aby dbaly u osobních údajů na to, aby dodržovaly směrnici 95/46.

77      Z toho vyplývá, že zpracování údajů stanovené vnitrostátními právními předpisy, které provádějí ustanovení směrnice API a směrnice 2010/65 do vnitrostátního práva, spadá do působnosti GDPR. Naopak zpracování údajů stanovené vnitrostátními právními předpisy, kterými byla do vnitrostátního práva provedena směrnice PNR, se může vyhnout použití tohoto nařízení v souladu s výjimkou uvedenou v čl. 2 odst. 2 písm. d) tohoto nařízení, pokud je splněna druhá podmínka připomenutá v bodě 67 tohoto rozsudku, a sice že subjekt, který zpracování provádí, je příslušným orgánem ve smyslu tohoto ustanovení.

78      Pokud jde o tuto druhou podmínku, Soudní dvůr rozhodl, že jelikož směrnice 2016/680 v čl. 3 odst. 7 definuje pojem „příslušný orgán“, musí být taková definice obdobně použita i na čl. 2 odst. 2 písm. d) GDPR [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 69].

79      Na základě článků 4 a 7 směrnice PNR přitom musí každý členský stát určit jako svůj útvar pro informace o cestujících příslušný orgán pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti a přijmout seznam příslušných orgánů oprávněných požadovat po útvaru pro informace o cestujících nebo přijímat od něj údaje PNR nebo výsledek zpracování těchto údajů, přičemž tyto orgány jsou rovněž příslušnými orgány v dané oblasti, jak je upřesněno v čl. 7 odst. 2 uvedené směrnice.

80      Z těchto skutečností vyplývá, že zpracování údajů PNR prováděné útvarem pro informace o cestujících a uvedenými příslušnými orgány pro tyto účely splňuje obě podmínky uvedené v bodě 67 tohoto rozsudku, takže tato zpracování spadají vedle ustanovení samotné směrnice PNR do působnosti směrnice 2016/680, a nikoli GDPR, což ostatně potvrzuje bod 27 odůvodnění směrnice PNR.

81      Naproti tomu, jelikož hospodářské subjekty, jako jsou letečtí dopravci, i když mají zákonnou povinnost předávat údaje PNR, nejsou touto směrnicí pověřeny výkonem veřejné moci ani jim nejsou svěřeny výsady veřejné moci, nelze tyto subjekty považovat za příslušné orgány ve smyslu čl. 3 odst. 7 směrnice 2016/680 a čl. 2 odst. 2 písm. d) GDPR, takže shromažďování a předávání těchto údajů leteckými dopravci útvaru pro informace o cestujících spadá do působnosti tohoto nařízení. Stejný závěr platí v situaci, kterou stanoví zákon ze dne 25. prosince 2016, kdy shromažďování a předávání uvedených údajů provádějí jiní dopravci nebo poskytovatelé cestovních služeb.

82      Předkládající soud se nakonec zabývá tím, jaký dopad by mělo případné přijetí vnitrostátních právních předpisů k provedení ustanovení směrnice PNR, směrnice API a směrnice 2010/65, jako je zákon ze dne 25. prosince 2016. V tomto ohledu je třeba připomenout, že jak vyplývá z bodů 72 a 75 až 77 tohoto rozsudku, zpracování údajů stanovené dvěma posledně uvedenými směrnicemi spadá do působnosti GDPR, které obsahuje obecná pravidla pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů.

83      Pokud tedy zpracování údajů prováděné na základě těchto právních předpisů spadá pod směrnici API nebo směrnici 2010/65, vztahuje se na toto zpracování GDPR. Totéž platí pro zpracování údajů prováděné na stejném základě a spadající z hlediska účelu vedle směrnice PNR rovněž pod směrnici API nebo směrnici 2010/65. Konečně, pokud zpracování údajů prováděné na základě stejných právních předpisů spadá z hlediska svého účelu pouze do působnosti směrnice PNR, použije se GDPR, pokud se jedná o shromažďování a předávání údajů PNR útvaru pro informace o cestujících leteckými dopravci. Naproti tomu, pokud takové zpracování provádí útvar pro informace o cestujících nebo příslušné orgány pro účely uvedené v čl. 1 odst. 2 směrnice PNR, vztahuje se na takové zpracování vedle vnitrostátního práva také směrnice 2016/680.

84      S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět tak, že čl. 2 odst. 2 písm. d) a článek 23 RGPD musí být vykládány v tom smyslu, že se toto nařízení vztahuje na zpracování osobních údajů stanovené vnitrostátními právními předpisy, které provádějí do vnitrostátního práva současně ustanovení směrnice API, směrnice 2010/65 a směrnice PNR, pokud jde o zpracování údajů prováděná soukromými subjekty a o zpracování údajů prováděná orgány veřejné moci, která spadají pouze či rovněž do působnosti směrnice API nebo směrnice 2010/65. Naproti tomu se uvedené nařízení nevztahuje na zpracování údajů stanovená takovými právními předpisy, která spadají pouze pod směrnici PNR a která provádí útvar pro informace o cestujících nebo příslušné orgány pro účely uvedené v čl. 1 odst. 2 této směrnice.

B.      K druhé až čtvrté a šesté otázce

85      Podstatou druhé až čtvrté a šesté otázky předkládajícího soudu Soudnímu dvoru, které je třeba přezkoumat společně, je platnost směrnice PNR s ohledem na články 7 a 8, jakož i čl. 52 odst. 1 Listiny. Tyto otázky se týkají zejména:

–        přílohy I této směrnice a údajů v ní uvedených, zejména údajů uvedených v bodech 12 a 18 této přílohy, s ohledem na požadavky jasnosti a přesnosti (druhá a třetí otázka);

–        čl. 3 bodu 4 uvedené směrnice a přílohy I této směrnice v rozsahu, v němž lze systém plošného shromažďování, předávání a zpracovávání údajů PNR, který tato ustanovení zavádějí, použít na každou osobu, která se účastní letu, na nějž se vztahují ustanovení téže směrnice (čtvrtá otázka), a

–        článku 6 směrnice PNR v tom, že stanoví předběžné posouzení prostřednictvím porovnání údajů PNR s databázemi nebo jejich zpracováním s ohledem na předem stanovená kritéria, které se na tyto údaje vztahuje systematicky a plošně, bez ohledu na jakoukoli objektivní skutečnost, na jejímž základě lze mít za to, že tito cestující mohou představovat riziko pro veřejnou bezpečnost (šestá otázka).

86      Úvodem je třeba připomenout, že podle obecné interpretační zásady musí být předpis unijního práva vykládán v co největším možném rozsahu způsobem, který nezpochybní jeho platnost, a v souladu s veškerým primárním právem, zejména s ustanoveními Listiny. Je-li tedy možný více než jeden výklad znění předpisu sekundárního unijního práva, je třeba dát přednost výkladu, v rámci něhož je ustanovení v souladu s primárním právem, před výkladem, který vede ke zjištění, že ustanovení je s primárním právem neslučitelné (rozsudek ze dne 2. února 2021, Consob, C‑481/19, EU:C:2021:84, bod 50 a citovaná judikatura).

87      Mimoto podle ustálené judikatury platí, že pokud ustanovení směrnice ponechávají členským státům prostor pro volné uvážení k vymezení prováděcích opatření, která budou přizpůsobena různým myslitelným situacím, musí členské státy při provádění těchto opatření nejenže vykládat své vnitrostátní právo v souladu se směrnicí, o kterou se jedná, ale musí rovněž dbát na to, aby se neopíraly o výklad této směrnice, který koliduje se základními právy chráněnými právním řádem Unie nebo s jinými obecnými zásadami uznanými v tomto právním řádu [v tomto smyslu viz rozsudky ze dne 15. února 2016, N., C‑601/15 PPU, EU:C:2016:84, bod 60 a citovaná judikatura, jakož i ze dne 16. července 2020, État belge (Sloučení rodiny – Nezletilé dítě), C‑133/19, C‑136/19 a C‑137/19, EU:C:2020:577, bod 33 a citovaná judikatura].

88      Pokud jde o směrnici PNR, je třeba uvést, že zejména body 15, 20, 22, 25, 36 a 37 odůvodnění této směrnice zdůrazňují význam, který unijní normotvůrce přikládá s odkazem na vysokou úroveň ochrany údajů plnému dodržování základních práv zakotvených v článcích 7, 8 a 21 Listiny a zásady proporcionality, takže, jak stanoví bod 36 odůvodnění, tato směrnice „by měla být odpovídajícím způsobem provedena“.

89      Zejména bod 22 odůvodnění směrnice PNR zdůrazňuje, že „[u]platňování této směrnice by mělo zajistit plné respektování základních práv, práva na soukromí a zásady proporcionality, a to při plném zohlednění zásad stanovených v nedávné příslušné judikatuře [Soudního dvora]“ a „mělo by být ve skutečném souladu s cíli nezbytnosti a přiměřenost[i], aby bylo dosaženo obecných zájmů uznaných Unií, a mělo by naplňovat potřebu ochrany práv a svobod ostatních v boji proti teroristickým trestným činům a závažné trestné činnosti“. Tento bod odůvodnění dodává, že toto uplatňování „by mělo být řádně odůvodněno a měly by být zavedeny nezbytné záruky, které zajistí zákonnost veškerého uchovávání, analýz, předávání a využívání údajů PNR“.

90      Kromě toho čl. 19 odst. 2 směrnice PNR ukládá Komisi při provádění přezkumu této směrnice věnovat zvláštní pozornost „dodržování platných standardů ochrany osobních údajů“, „nezbytnosti a přiměřenosti shromažďování a zpracování údajů PNR pro účely stanovené v této směrnici“, jakož i „délce doby uchovávání údajů“.

91      Je tedy třeba ověřit, zda lze směrnici PNR v souladu s tím, jak vyžadují zejména její body odůvodnění a ustanovení uvedená v bodech 88 až 90 tohoto rozsudku, vykládat způsobem, který zajišťuje plné dodržování základních práv zaručených články 7 a 8 Listiny a zásady proporcionality zakotvené v čl. 52 odst. 1 Listiny.

1.      K zásahům vyplývajícím ze směrnice PNR do základních práv zaručených v článcích 7 a 8 Listiny

92      Článek 7 Listiny zaručuje každému právo na respektování soukromého a rodinného života, obydlí a komunikace, zatímco čl. 8 odst. 1 Listiny přiznává každému právo na ochranu osobních údajů, které se ho týkají.

93      Jak vyplývá z čl. 3 bodu 5 směrnice PNR a z výčtu obsaženého v příloze I k této směrnici, údaje PNR dotčené touto směrnicí zahrnují zejména kromě jména (jmen) cestujícího (cestujících) v letecké dopravě také informace nezbytné pro rezervaci, jako jsou dny zamýšlené cesty a cestovní trasa, informace o letence, skupiny osob rezervované pod stejným rezervačním číslem, kontaktní údaje cestujícího (cestujících), informace o způsobech platby nebo o zúčtování, informace o zavazadlech a obecné poznámky ve vztahu k cestujícím.

94      Vzhledem k tomu, že údaje PNR tedy zahrnují informace o identifikovaných fyzických osobách, tj. o dotčených cestujících v letecké dopravě, dotýkají se různé možné způsoby zpracování těchto údajů základního práva na respektování soukromého života zaručeného v článku 7 Listiny [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 121 a 122, jakož i citovaná judikatura].

95      Mimoto takové způsoby zpracování údajů PNR, jako jsou způsoby uvedené ve směrnici PNR, spadají i pod článek 8 Listiny, protože představují zpracování osobních údajů ve smyslu tohoto článku, a musejí tedy nutně splňovat požadavky na ochranu údajů stanovené v tomto článku [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 123 a citovaná judikatura].

96      Podle ustálené judikatury přitom platí, že sdělování osobních údajů třetí straně, například veřejnému orgánu, je zásahem do základních práv zakotvených v článcích 7 a 8 Listiny, bez ohledu na následné využití sdělených informací. Totéž platí pro uchovávání osobních údajů a pro jejich zpřístupňování za účelem jejich využití veřejnými orgány. V tomto ohledu není důležité, zda dotyčné informace o soukromém životě představují citlivé údaje nebo zda dotyčné osoby utrpěly z důvodu tohoto zásahu případné nepříznivé následky [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 124 a 126, jakož i citovaná judikatura].

97      Jak předávání údajů PNR leteckými dopravci útvaru pro informace o cestujících dotčeného členského státu, stanovené v čl. 1 odst. 1 písm. a) směrnice PNR ve spojení s článkem 8 této směrnice, tak i úprava podmínek pro uchovávání těchto údajů, jejich použití a jejich případné následné předání příslušným orgánům tohoto členského státu, útvarům pro informace o cestujících a příslušným orgánům ostatních členských států, Europolu nebo orgánům třetích zemí, která umožňují zejména články 6, 7, 9 a 10 až 12 této směrnice, tedy představují zásah do práv zaručených články 7 a 8 Listiny.

98      V souvislosti se závažností tohoto zásahu je třeba uvést zaprvé, že směrnice PNR na základě čl. 1 odst. 1 písm. a) ve spojení s článkem 8 stanoví, že údaje PNR o všech cestujících využívajících let mimo EU ve smyslu čl. 3 bodu 2 této směrnice, mezi třetími zeměmi a Unií, musí být útvarům pro informace o cestujících předávány systematicky a plynule. Jak uvedl generální advokát v bodě 73 svého stanoviska, během takového předávání musí mít útvary pro informace o cestujících obecný přístup ke všem sdělovaným údajům PNR, které se týkají všech osob využívajících služeb letecké dopravy, bez ohledu na následné využití těchto údajů.

99      Zadruhé článek 2 směrnice PNR v odstavci 1 stanoví, že se členské státy mohou rozhodnout používat tuto směrnici na lety uvnitř EU ve smyslu čl. 3 bodu 3 této směrnice, a v odstavci 2 upřesňuje, že v tomto případě „se použijí všechna ustanovení této směrnice na lety uvnitř EU, jako by se jednalo o lety mimo EU, a na údaje PNR na letech uvnitř EU, jakoby se jednalo o údaje PNR na letech mimo EU“.

100    Zatřetí, i když některé z údajů PNR uvedené v příloze I směrnice PNR, tak jak jsou shrnuty v bodě 93 tohoto rozsudku, patrně samy o sobě nemohou být konkrétními informacemi o soukromém životě dotčených osob, nic to nemění na tom, že tyto údaje jako celek mohou mimo jiné odhalit kompletní cestovní trasu, cestovní návyky, vztahy mezi dvěma či více osobami a informace o finanční situaci cestujících v letecké dopravě, o jejich stravovacích návycích nebo jejich zdravotním stavu, a mohly by dokonce odhalit takové citlivé informace o těchto cestujících [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 128].

101    Začtvrté podle čl. 6 odst. 2 písm. a) a b) směrnice PNR údaje předávané leteckými dopravci mají podléhat nejen předběžnému posuzování před plánovaným příletem nebo odletem cestujících, ale také následnému posuzování.

102    Pokud jde o předběžné posuzování, z čl. 6 odst. 2 písm. a) a odst. 3 směrnice PNR vyplývá, že toto posuzování provádějí útvary pro informace o cestujících členských států systematicky a automatizovaně, tj. průběžně a bez ohledu na to, zda existuje nějaký náznak rizika zapojení dotyčných osob do teroristických trestných činů nebo závažné trestné činnosti. Za tímto účelem tato ustanovení stanoví, že údaje PNR mohou být porovnány s „databázemi, jež mají význam“ a zpracovávány na základě „předem stanovených kritérií“.

103    V této souvislosti je třeba připomenout, že Soudní dvůr již rozhodl, že rozsah zásahu do práv zakotvených v článcích 7 a 8 Listiny, který s sebou přinášejí automatizované analýzy údajů PNR, závisí hlavně na předem stanovených vzorcích a kritériích, jakož i na databázích, na nichž se tento typ zpracovávání údajů zakládá [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 172].

104    Jak přitom uvedl generální advokát v bodě 78 svého stanoviska, zpracování stanovené v čl. 6 odst. 3 písm. a) směrnice PNR, tj. porovnání údajů PNR s „databázemi, jež mají význam“, může poskytnout dodatečné informace o soukromí cestujících v letecké dopravě a umožnit vyvodit v tomto ohledu velmi přesné závěry.

105    Pokud jde o zpracování údajů PNR na základě „předem stanovených kritérií“, stanovené v čl. 6 odst. 3 písm. b) směrnice PNR, je pravda, že čl. 6 odst. 4 této směrnice požaduje, aby posouzení cestujících na základě těchto kritérií bylo provedeno nediskriminačním způsobem a zejména nebylo založené na celé řadě charakteristik, které jsou uvedeny v poslední větě tohoto odstavce 4. Kritéria musí být mimoto cílená, přiměřená a specifická.

106    Soudní dvůr však již rozhodl, že jelikož se automatizované analýzy údajů PNR provádějí na základě neověřených osobních údajů a zakládají se na předem stanovených vzorcích a kritériích, vykazují nutně určitou míru chybovosti [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 169]. Jak zejména uvedl generální advokát v podstatě v bodě 78 svého stanoviska, z pracovního dokumentu Komise [SWD(2020) 128 final], který je přílohou její zprávy ze dne 24. července 2020 ohledně přezkumu směrnice PNR, vyplývá, že počet případů pozitivní shody vyplývající z automatizovaného zpracování stanoveného v čl. 6 odst. 3 písm. a) a b) této směrnice, u nichž následný individuální přezkum odhalil chybu, je dosti vysoký a během let 2018 a 2019 se týkal nejméně pěti z šesti identifikovaných osob. Toto zpracování tak vede k důkladnější analýze údajů PNR týkajících se uvedených osob.

107    Pokud jde o následné posouzení údajů PNR stanovené v čl. 6 odst. 2 písm. b) směrnice PNR, z tohoto ustanovení vyplývá, že během šestiměsíčního období po předání údajů PNR, jak je uvedeno v čl. 12 odst. 2 této směrnice, je útvar pro informace o cestujících povinen na žádost příslušných orgánů poskytnout těmto orgánům údaje PNR a provést zpracování ve zvláštních případech za účelem boje proti teroristickým trestným činům nebo závažné trestné činnosti.

108    Mimoto, i když jsou po uplynutí této doby šesti měsíců údaje PNR depersonalizovány maskováním některých prvků údajů, může být v souladu s čl. 12 odst. 3 směrnice PNR útvar pro informace o cestujících povinen na základě takové žádosti zpřístupnit úplné údaje PNR ve formě, která umožní identifikovat subjekt údajů příslušným orgánům, pokud existují oprávněné důvody domnívat se, že je to nezbytné pro účely uvedené v čl. 6 odst. 2 písm. b) uvedené směrnice, přičemž toto zpřístupnění nicméně podléhá schválení soudním orgánem nebo „jiným příslušným vnitrostátním orgánem“.

109    Zapáté tím, že jsou podle čl. 12 odst. 1 směrnice PNR, aniž jsou v tomto ohledu stanovena jakákoli upřesnění, údaje PNR uchovávány v databázi po dobu pěti let od jejich předání útvaru pro informace o cestujících členského státu, na jehož území let přistává nebo z něj odlétá, směrnice PNR umožňuje vzhledem ke skutečnosti, že i přes jejich depersonalizaci po uplynutí počáteční doby šesti měsíců maskováním některých prvků údajů mohou být dále veškeré údaje PNR zpřístupněny v případě uvedené v předchozím bodě, disponovat informacemi o soukromém životě cestujících v letecké dopravě po dobu, kterou Soudní dvůr označil ve svém posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592, bod 132), za značně dlouhou.

110    S ohledem na obvyklou povahu cestování letadlem má taková doba uchovávání za následek, že značná část obyvatel Unie může mít údaje PNR opakovaně uchovávány v rámci systému zavedeného směrnicí PNR, a v důsledku toho budou přístupné pro analýzu v rámci předběžných a následných posuzování prováděných útvary pro informace o cestujících a příslušnými orgány po značně dlouhou dobu, a v případě osob, které cestují letadlem častěji než jednou za pět let, dokonce po neomezenou dobu.

111    S ohledem na všechny výše uvedené úvahy je třeba mít za to, že směrnice PNR zahrnuje zásahy určité závažnosti do práv zaručených články 7 a 8 Listiny, a to zejména v rozsahu, v němž je jejím cílem zavést systém nepřetržitého, necíleného a systematického dohledu, včetně automatizovaného posuzování osobních údajů všech osob využívajících služeb letecké dopravy.

2.      K odůvodnění zásahů vyplývajících ze směrnice PNR

112    Je třeba připomenout, že základní práva zakotvená v článcích 7 a 8 Listiny se neprojevují jako absolutní výsady, ale musí být nahlížena ve vztahu k jejich společenské funkci [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 136 a citovaná judikatura, jakož i rozsudek ze dne 6. října 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 63 a citovaná judikatura].

113    Podle čl. 52 odst. 1 první věty Listiny každé omezení výkonu práv a svobod uznaných touto listinou musí být stanoveno zákonem a respektovat podstatu těchto práv a svobod. Podle čl. 52 odst. 1 druhé věty Listiny při dodržení zásady proporcionality mohou být omezení zavedena pouze tehdy, jsou-li nezbytná a odpovídají-li skutečně cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. V tomto ohledu čl. 8 odst. 2 Listiny stanoví, že osobní údaje musí být zpracovány zejména „k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem“.

114    Je třeba dodat, že požadavek, aby každé omezení výkonu základních práv bylo stanoveno zákonem, implikuje, že akt dovolující zásah do těchto práv musí sám definovat rozsah omezení výkonu dotyčného práva s tím, že jednak tento požadavek nevylučuje, aby dotčené omezení bylo formulováno dostatečně širokým způsobem, aby se mohlo přizpůsobit odlišným případům, jakož i změnám situací (v tomto smyslu viz rozsudek ze dne 26. dubna 2022, Polsko v. Parlament a Rada, C‑401/19, EU:C:2022:297, body 64 a 74, jakož i citovaná judikatura) a jednak že Soudní dvůr může případně upřesnit výkladem konkrétní rozsah omezení jak s ohledem na skutečné znění dotčené právní úpravy Unie, tak na její obecnou systematiku a cíle, které sleduje, vykládané s ohledem na základní práva zaručená Listinou.

115    Pokud jde o dodržení zásady proporcionality, ochrana základního práva na respektování soukromého života na unijní úrovni vyžaduje – v souladu s ustálenou judikaturou Soudního dvora – aby výjimky z ochrany osobních údajů a její omezení byly činěny v mezích toho, co je nezbytně nutné. Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 140, jakož i rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 52 a citovaná judikatura].

116    Možnost členských států odůvodnit omezení práv zaručených v článcích 7 a 8 Listiny musí být konkrétně posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný závažnosti zásahu (v tomto smyslu viz rozsudky ze dne 2. října 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, bod 55 a citovaná judikatura, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 53 a citovaná judikatura).

117    Za účelem splnění požadavku proporcionality musí předmětná právní úprava, která s sebou přináší zásah, stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a stanovit minimální požadavky, tak aby osoby, jejichž údaje byly předány, měly dostatečné záruky umožňující účinně chránit jejich osobní údaje proti riziku zneužití. Taková právní úprava musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů, čímž zaručí, že se zásah omezí na to, co je nezbytně nutné. Potřeba takových záruk je o to významnější v případě, kdy jsou osobní údaje zpracovávány automaticky. Tyto úvahy platí zvláště tehdy, pokud údaje PNR mohou odhalovat citlivé údaje o cestujících [posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 141, jakož i rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 132 a citovaná judikatura].

118    Právní úprava, která tak upravuje uchovávání osobních údajů, musí vždy odpovídat objektivním kritériím, která vymezují vztah mezi osobními údaji, které mají být uchovávány, a sledovaným účelem [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 191 a citovaná judikatura, jakož i rozsudky ze dne 3. října 2019, A další, C‑70/18, EU:C:2019:823, bod 63, a ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 133].

a)      K dodržování zásady zákonnosti a podstaty dotčených základních práv

119    Omezení výkonu základních práv zaručených články 7 a 8 Listiny vyplývající ze systému zavedeného směrnicí PNR je stanoveno právním předpisem Unie. Pokud jde o otázku, zda v souladu s judikaturou připomenutou v bodě 114 tohoto rozsudku tato směrnice jakožto akt unijního práva, který umožňuje zásah do těchto práv, sama vymezuje rozsah omezení výkonu těchto práv, je třeba uvést, že ustanovení této směrnice a její přílohy I a II jednak obsahují výčet údajů PNR a jednak upravují zpracování těchto údajů, zejména vymezením účelů a způsobů tohoto zpracování. Tato otázka se ostatně do značné míry překrývá s otázkou dodržení požadavku proporcionality připomenutého v bodě 117 tohoto rozsudku (v tomto smyslu viz rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 180) a bude přezkoumána v bodech 125 a násl. tohoto rozsudku.

120    Pokud jde o respektování podstaty základních práv zakotvených v článcích 7 a 8 Listiny, je pravda, že údaje PNR mohou případně odhalit velmi přesné informace o soukromém životě osoby. Jelikož je však povaha těchto informací omezena na určité aspekty tohoto soukromého života, které se týkají zejména leteckých cest této osoby, a jednak čl. 13 odst. 4 směrnice PNR výslovně zakazuje zpracování citlivých údajů ve smyslu čl. 9 odst. 1 GDPR, údaje uvedené v této směrnici samy o sobě neumožňují získat úplný obraz soukromého života osoby. Kromě toho čl. 1 odst. 2 uvedené směrnice ve spojení s jejím čl. 3 body 8 a 9 a její přílohou II vymezuje účely zpracování těchto údajů. Konečně články 4 až 15 téže směrnice obsahují pravidla, která upravují předávání, zpracování a uchovávání uvedených údajů, jakož i pravidla, která mají zajistit zejména bezpečnost, důvěrnost a integritu těchto údajů a chránit je před protiprávním přístupem a zpracováním. Za těchto podmínek zásahy, které zahrnuje směrnice PNR, neporušují podstatu základních práv zakotvených v článcích 7 a 8 Listiny.

b)      K cíli obecného zájmu a způsobilosti zpracování údajů PNR s ohledem na tento cíl

121    Pokud jde o otázku, zda systém zavedený směrnicí PNR sleduje cíl obecného zájmu, z bodů 5, 6 a 15 odůvodnění této směrnice vyplývá, že jejím cílem je zajistit vnitřní bezpečnost Unie a chránit tak život a bezpečnost osob, a zároveň vytvořit právní rámec, který zaručí vysokou úroveň ochrany základních práv cestujících, zejména jejich práv na soukromí a na ochranu osobních údajů při zpracování údajů PNR příslušnými orgány.

122    Za tímto účelem čl. 1 odst. 2 směrnice PNR stanoví, že údaje PNR shromážděné podle této směrnice lze zpracovávat v souladu s čl. 6 odst. 2 písm. a) až c) této směrnice pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti. Tyto účely přitom nepochybně představují cíle obecného zájmu Unie, kterými lze odůvodnit i závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny [v tomto smyslu viz rozsudek ze dne 8. dubna 2014, Digital Rights Ireland a další, C‑293/12 a C‑594/12, EU:C:2014:238, bod 42, jakož i posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 148 a 149].

123    Pokud jde o způsobilost systému zavedeného směrnicí PNR k dosažení sledovaných cílů, je třeba konstatovat, že ačkoli možnost „falešně negativních“ výsledků a poměrně značný počet „falešně pozitivních“ výsledků, které jak bylo uvedeno v bodě 106 tohoto rozsudku, byly získány v důsledku automatizovaného zpracování stanoveného touto směrnicí v letech 2018 a 2019, mohou omezit způsobilost tohoto systému, nejsou však takové povahy, že by jej činily nezpůsobilým přispět k dosažení cíle boje proti teroristickým trestným činům a závažné trestné činnosti. Jak totiž vyplývá z pracovního dokumentu Komise uvedeného v bodě 106 tohoto rozsudku, automatizované zpracování prováděné podle uvedené směrnice již skutečně umožnilo identifikovat cestující v letecké dopravě, kteří představují riziko v rámci boje proti teroristickým trestným činům a závažné trestné činnosti.

124    Kromě toho s ohledem na chybovost, která je vlastní automatizovanému zpracování údajů PNR, a zejména na značný počet „falešně pozitivních“ výsledků, závisí způsobilost systému zavedeného směrnicí PNR v zásadě na řádném fungování následného ověřování výsledků získaných na základě tohoto zpracování neautomatizovanými prostředky, což je úkol, za který podle směrnice odpovídá útvar pro informace o cestujících. Ustanovení stanovená za tímto účelem uvedenou směrnicí proto přispívají k dosažení těchto cílů.

c)      K nezbytnosti zásahů vyplývajících ze směrnice PNR 

125    V souladu s judikaturou připomenutou v bodech 115 až 118 tohoto rozsudku je třeba ověřit, zda jsou zásahy vyplývající ze směrnice PNR omezeny na to, co je nezbytně nutné, a zejména zda tato směrnice stanoví jasná a přesná pravidla, která upravují rozsah a uplatňování opatření, která stanoví, a zda systém, který zavádí, stále splňuje objektivní kritéria, a stanoví vztah mezi údaji PNR, které jsou úzce spojeny s rezervací a uskutečněním letů, a účely sledovanými uvedenou směrnicí, a sice bojem proti teroristickým trestným činům a závažné trestné činnosti.

1)      K údajům o cestujících v letecké dopravě dotčeným směrnicí PNR

126    Je třeba posoudit, zda rubriky údajů uvedené v příloze I směrnice PNR jasně a přesně vymezují údaje PNR, které je letecký dopravce povinen zpřístupnit útvaru pro informace o cestujících.

127    Úvodem je třeba připomenout, že, jak vyplývá z bodu 15 odůvodnění směrnice PNR, unijní normotvůrce chtěl, aby seznam údajů PNR, které se předávají útvaru pro informace o cestujících, byl vypracován „tak, aby odrážel legitimní požadavek veřejných orgánů na zajištění prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti, čímž se zlepší vnitřní bezpečnost v rámci Unie a ochrání základní práva, zejména právo na soukromí a ochranu osobních údajů“. Podle téhož bodu odůvodnění by zejména tyto údaje „měly obsahovat pouze podrobné informace o rezervacích a cestovních trasách, které příslušným orgánům umožňují identifikovat ty cestující v letecké dopravě, kteří představují hrozbu pro vnitřní bezpečnost“. Článek 13 odst. 4 první věta směrnice PNR mimoto zakazuje „zpracování údajů PNR, které odhalují rasový nebo etnický původ dané osoby, její politické názory, náboženské či filozofické přesvědčení, členství v odborové organizaci, zdraví, sexuální život nebo sexuální orientaci“.

128    Údaje PNR shromažďované a sdělované v souladu s přílohou I směrnice PNR proto musí přímo souviset s uskutečněným letem a dotčeným cestujícím a musí být omezeny tak, aby splňovaly pouze oprávněné požadavky orgánů veřejné moci na prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti a aby byly vyloučeny citlivé údaje.

129    Rubriky 1 až 4, 7, 9, 11, 15, 17 a 19 přílohy I směrnice PNR přitom splňují tyto požadavky, jakož i požadavky na jasnost a přesnost, neboť se týkají jasně identifikovatelných a vymezených informací, které se přímo vztahují k uskutečněnému letu a k dotčenému cestujícímu. Jak uvedl generální advokát v bodě 165 svého stanoviska, totéž platí i v případě rubrik 10, 13, 14 a 16, a to navzdory jejich volnému znění.

130    Naproti tomu je třeba vyjasnit výklad rubrik 5, 6, 8, 12 a 18.

131    Pokud jde o rubriku 5, která se týká „[a]dresy a kontaktních informací (telefonní číslo, e-mailová adresa)“, tato rubrika výslovně neupřesňuje, zda se uvedená adresa a uvedené kontaktní údaje vztahují pouze k cestujícímu v letecké dopravě, nebo rovněž ke třetím osobám, které pro cestujícího v letecké dopravě rezervovaly let, či ke třetím osobám, na něž by mohl mít cestující v letecké dopravě vazby, nebo ke třetím osobám, které mají být informovány v naléhavých případech. Nicméně, jak v podstatě uvedl generální advokát v bodě 162 svého stanoviska, vzhledem k požadavkům jasnosti a přesnosti nelze tuto rubriku vykládat tak, že implicitně povoluje také shromažďování a předávání osobních údajů těchto třetích osob. Uvedenou rubriku je proto třeba vykládat tak, že se týká pouze poštovní adresy a kontaktních údajů, tj. telefonního čísla a e-mailové adresy, cestujícího v letecké dopravě, jehož jménem byla provedena rezervace.

132    Pokud jde o rubriku 6, která se týká „[v]eškerých informací o způsobech platby, včetně zúčtovací adresy“, tuto rubriku je třeba vykládat tak, aby splňovala požadavky na jasnost a přesnost, v tom smyslu, že se týká pouze informací o způsobech platby a o fakturaci letenky s vyloučením veškerých dalších informací, jež přímo nesouvisejí s letem [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 159].

133    Pokud jde o rubriku 8, která se týká „[i]nformací o věrnostním programu cestujícího“, tato rubrika musí být vykládána, jak uvedl generální advokát v bodě 164 svého stanoviska, tak, že zahrnuje výlučně údaje týkající se statusu věrnostního programu cestujícího dané letecké společnosti nebo dané skupiny leteckých společností, jakož i číslo, které identifikuje tohoto cestujícího jako „cestujícího s věrnostním programem“. Rubrika 8 tedy neumožňuje shromažďování informací týkajících se transakcí, na jejichž základě byl tento status získán.

134    Pokud jde o rubriku 12, jejím předmětem jsou „[o]becné poznámky (včetně všech dostupných informací o nezletilých osobách mladších 18 let bez doprovodu, jako jsou jméno a pohlaví nezletilé osoby, věk, jazyk (jazyky), kterým (kterými) hovoří, jméno a kontaktní údaje opatrovníka při odletu a vztah k nezletilému, jméno a kontaktní údaje opatrovníka při příletu a vztah k nezletilému, zprostředkovatel při odletu a příletu)“.

135    V tomto ohledu je třeba bez dalšího uvést, že i když výraz „obecné poznámky“ nesplňuje požadavky na jasnost a přesnost, jelikož nestanoví jako takový žádné omezení co do povahy a rozsahu informací, které lze shromáždit a zpřístupnit útvaru pro informace o cestujících na základě rubriky 12 [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 160], výčet, který je v závorkách, tyto požadavky splňuje.

136    Proto je třeba za účelem výkladu rubriky 12, který ji v souladu s judikaturou uvedenou v bodě 86 tohoto rozsudku uvádí do souladu s požadavky jasnosti a přesnosti a v širším smyslu s články 7 a 8 a čl. 52 odst. 1 Listiny, se domnívat, že je povoleno pouze shromažďování a sdělování informací výslovně uvedených v této rubrice, a sice jméno a pohlaví nezletilé osoby, věk, jazyk (jazyky), kterým (kterými) hovoří, jméno a kontaktní údaje opatrovníka při odletu a vztah k nezletilému, jméno a kontaktní údaje opatrovníka při příletu a vztah k nezletilému, zprostředkovatel při odletu a příletu.

137    Konečně, pokud jde o rubriku 18, tato rubrika se týká „[v]eškerých shromážděných údajů API (včetně typu, čísla, země vydání a data pozbytí platnosti dokladu totožnosti, státní příslušnosti, příjmení, jména, pohlaví, data narození, letecké společnosti, čísla letu, data odletu, data příletu, místa odletu, místa příletu, času odletu a času příletu)“.

138    Jak generální advokát v podstatě uvedl v bodech 156 až 160 svého stanoviska, z této rubriky 18, vykládané ve světle bodů 4 a 9 odůvodnění směrnice PNR vyplývá, že informace, na které odkazuje, jsou údaje API taxativně vyjmenované v této rubrice a v čl. 3 odst. 2 směrnice API.

139    Bude-li tedy rubrika 18 vykládána v tom smyslu, že zahrnuje pouze informace výslovně uvedené v této rubrice, jakož i v uvedeném čl. 3 odst. 2 směrnice API, lze mít za to, že splňuje požadavky na jasnost a přesnost [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 161].

140    Je tedy třeba konstatovat, že příloha I směrnice PNR, vykládaná v souladu s úvahami uvedenými zejména v bodech 130 až 139 tohoto rozsudku, je jako celek dostatečně jasná a přesná, a vymezuje tak rozsah zásahu do základních práv zakotvených v článcích 7 a 8 Listiny.

2)      K účelům zpracování údajů PNR

141    Jak vyplývá z čl. 1 odst. 2 směrnice PNR, údaje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány pouze pro účely boje proti „teroristickým trestným činům“ a „závažné trestné činnosti“.

142    Pokud jde o otázku, zda směrnice PNR stanoví v tomto ohledu jasná a přesná pravidla, která omezují použití systému zavedeného touto směrnicí na to, co je pro tyto účely nezbytně nutné, je třeba zaprvé uvést, že výraz „teroristické trestné činy“ je vymezen v čl. 3 bodu 8 uvedené směrnice odkazem na „trestné činy podle vnitrostátního práva uvedené v článcích 1 až 4 rámcového rozhodnutí [2002/475]“.

143    Kromě toho, že články 1 až 3 tohoto rámcového rozhodnutí jasně a přesně vymezovaly „teroristické trestné činy“, „trestné činy spojené s teroristickými skupinami“ a „trestné činy spojené s teroristickými činnostmi“, které členské státy musely učinit trestnými podle uvedeného rámcového rozhodnutí, směrnice Evropského parlamentu a Rady (EU) 2017/541 ze dne 15. března 2017 o boji proti terorismu, kterou se nahrazuje rámcové rozhodnutí Rady 2002/475 a mění rozhodnutí Rady 2005/671/SVV (Úř. věst. 2017, L 88, s. 6), vymezuje rovněž v článcích 3 až 14 jasně a přesně tytéž trestné činy.

144    Zadruhé čl. 3 bod 9 směrnice PNR vymezuje výraz „závažný trestný čin“ odkazem na „trestný čin uvedený v příloze II [této směrnice], za který lze podle vnitrostátního práva členského státu uložit trest odnětí svobody nebo ochranné opatření spojené s odnětím svobody s horní hranicí trestní sazby v délce nejméně tří let“.

145    V této příloze jsou přitom především taxativně vyjmenovány jednotlivé kategorie trestných činů, které mohou spadat pod pojem „závažný trestný čin“, jak je uveden v čl. 3 bodu 9 směrnice PNR.

146    Dále vzhledem ke zvláštnostem trestněprávních systémů členských států v době přijetí této směrnice se při neexistenci harmonizace trestných činů v ní uvedených mohl unijní normotvůrce omezit na uvedení kategorií trestných činů, aniž vymezil jejich skutkové podstaty, a to tím spíše, že tyto skutkové podstaty jsou již pojmově nutně vymezeny vnitrostátním právem, na které odkazuje čl. 3 bod 9 směrnice PNR, v tom smyslu, že členské státy jsou vázány zásadou zákonnosti trestných činů a trestů jakožto složky společné hodnoty právního státu uvedené v článku 2 SEU, sdílené s Unií (obdobně viz rozsudek ze dne 16. února 2022, Maďarsko v. Parlament a Rada, C‑156/21, EU:C:2022:97, body 136, 160 a 234), tedy zásadou, která je mimoto zakotvena v čl. 49 odst. 1 Listiny, který jsou členské státy povinny dodržovat při provádění takového aktu Unie, jako je směrnice PNR (v tomto smyslu viz rozsudek ze dne 10. listopadu 2011, QB, C‑405/10, EU:C:2011:722, bod 48 a citovaná judikatura). S ohledem na obvyklý význam pojmů použitých v téže příloze je tedy třeba mít za to, že tato příloha dostatečně jasně a přesně vymezuje trestné činy, které mohou představovat závažný trestný čin.

147    Je pravda, že body 7, 8, 10 a 16 přílohy II odkazují na velmi obecné kategorie trestných činů (podvod, praní výnosů z trestné činnosti a padělání peněz, trestné činy proti životnímu prostředí, nedovolený obchod s kulturními statky), nicméně odkazují na konkrétní trestné činy spadající do těchto obecných kategorií. Proto, aby byla zajištěna dostatečná přesnost, kterou rovněž vyžaduje článek 49 Listiny, je třeba tyto body vykládat tak, že odkazují na uvedené trestné činy, které jsou v tomto ohledu stanoveny vnitrostátním právem nebo unijním právem. Při tomto výkladu lze mít za to, že uvedené body splňují požadavky na jasnost a přesnost.

148    Konečně je třeba dále připomenout, že pokud v souladu se zásadou proporcionality může cíl boje proti závažné trestné činnosti odůvodnit závažný zásah, který zahrnuje směrnice PNR, do základních práv zaručených v článcích 7 a 8 Listiny, je tomu jinak v případě cíle boje proti trestné činnosti obecně, jelikož tento cíl může odůvodnit pouze zásahy, které nejsou závažné povahy (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 59 a citovaná judikatura). Tato směrnice tedy musí prostřednictvím jasných a přesných pravidel zajistit, aby se použití systému zavedeného touto směrnicí omezilo pouze na trestné činy, které patří mezi závažnou trestnou činnost, a vyloučilo tak trestné činy, které patří mezi běžnou trestnou činnost.

149    Jak v tomto ohledu uvedl generální advokát v bodě 121 svého stanoviska, řada trestných činů uvedených v příloze II směrnice PNR, jako jsou obchodování s lidmi, pohlavní vykořisťování dětí a dětská pornografie, nedovolený obchod se zbraněmi, střelivem a výbušninami, praní peněz, počítačová trestná činnost/kyberkriminalita, nedovolený obchod s lidskými orgány a tkáněmi, nedovolený obchod s omamnými a psychotropními látkami, nedovolený obchod s jadernými a radioaktivními materiály, únos letadla nebo plavidla, trestné činy spadající do pravomoci Mezinárodního trestního soudu, vražda, znásilnění, únos, omezování osobní svobody a braní rukojmí, má ze své povahy nezpochybnitelně vysokou míru závažnosti.

150    Kromě toho, ačkoli jiné trestné činy, které jsou rovněž uvedeny v této příloze II, mohou být a priori obtížněji spojovány se závažnou trestnou činností, ze samotného znění čl. 3 bodu 9 směrnice PNR vyplývá, že tyto trestné činy lze považovat za závažný trestný čin pouze tehdy, když za něj lze podle vnitrostátního práva dotčeného členského státu uložit trest odnětí svobody nebo ochranné opatření spojené s odnětím svobody s horní hranicí trestní sazby v délce nejméně tří let. Požadavky vyplývající z tohoto ustanovení, které se týkají povahy a přísnosti použitelného trestu, v zásadě omezují použití systému zavedeného uvedenou směrnicí na trestné činy s dostatečnou mírou závažnosti, které mohou odůvodnit zásah do základních práv zakotvených v článcích 7 a 8 Listiny, který vyplývá ze systému zavedeného touto směrnicí.

151    Jelikož však čl. 3 bod 9 PNR neodkazuje na dolní hranici trestní sazby použitelného trestu, ale na horní hranici trestní sazby použitelného trestu, nelze vyloučit, že údaje PNR mohou být zpracovávány za účelem boje proti trestným činům, které sice splňují kritérium stanovené v tomto ustanovení týkající se prahové hodnoty závažnosti, ale vzhledem ke zvláštnostem vnitrostátního trestního systému se nejedná o závažnou trestnou činnost, ale o běžnou trestnou činnost.

152    Je proto povinností členských států zajistit, aby se použití systému zavedeného směrnicí PNR skutečně omezilo na boj proti závažné trestné činnosti a aby se tento systém nerozšířil na trestné činy, které patří mezi běžnou trestnou činnost.

3)      K souvislosti mezi údaji PNR a účely zpracování těchto údajů

153    Je pravda, že, jak v podstatě uvedl generální advokát v bodě 119 svého stanoviska, znění čl. 3 bodu 8 a čl. 3 bodu 9 směrnice PNR, ve spojení s přílohou II této směrnice, výslovně neodkazuje na kritérium, které by mohlo omezit působnost této směrnice pouze na trestné činy, které mohou již ze své podstaty vykazovat, přinejmenším nepřímo, objektivní souvislost s cestujícími v letecké dopravě, potažmo s kategoriemi údajů shromážděnými, zpracovanými a uchovávanými na základě směrnice PNR.

154    Nicméně, jak uvedl generální advokát v bodě 121 svého stanoviska, některé z trestných činů zařazených do přílohy II směrnice PNR, jako např. obchodování s lidmi, nedovolený obchod s omamnými látkami nebo se zbraněmi, napomáhání při nedovoleném překročení státní hranice a nedovoleném pobytu či únos letadla jsou vzhledem ke své podstatě způsobilé k tomu, aby měly přímou souvislost s leteckou přepravou cestujících. Totéž platí pro některé teroristické trestné činy, jako je způsobení rozsáhlého poškození dopravního systému nebo infrastruktury nebo zmocnění se letadla, což jsou trestné činy, které byly uvedeny v čl. 1 odst. 1 písm. d) a e) rámcového rozhodnutí 2002/475, na který odkazuje čl. 3 bod 8 směrnice PNR, nebo dále vycestování za účelem terorismu a organizace nebo usnadnění takového vycestování, což jsou trestné činy uvedené v článcích 9 a 10 směrnice 2017/541.

155    V této souvislosti je třeba rovněž připomenout, že Komise odůvodnila svůj návrh směrnice Evropského parlamentu a Rady o používání údajů ze jmenné evidence cestujících pro prevenci odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti ze dne 2. února 2011 [COM(2011) 32 final], na jehož základě byla přijata směrnice PNR, tím, že zdůraznila skutečnost, že „[t]eroristické útoky, k nimž došlo v roce 2001 ve Spojených státech, nezdařený teroristický útok ze srpna 2006, jehož cílem bylo vyhodit do povětří letadlo na cestě ze Spojeného království do Spojených států amerických, či pokus o teroristický útok na palubě letadla z Amsterdamu do Detroitu v prosinci 2009, ukázaly schopnost teroristů organizovat útoky zaměřené na mezinárodní lety ve kterékoliv zemi“ a že „většina teroristických aktivit je nadnárodní povahy a zahrnuje mezinárodní cestovní ruch, mimo jiné do výcvikových táborů za hranicemi EU“. Komise mimoto pro zdůvodnění nutnosti analýzy údajů PNR pro účely boje proti závažné trestné činnosti uvedla jako příklad případ skupiny cestujících, kteří za účelem obchodování s lidmi předložili falešné dokumenty proto, aby se mohli registrovat k letu, a případ sítě obchodníků s lidmi a drogami, která za účelem dovozu drog do několika destinací Evropy využívala osoby, které byly samy oběťmi obchodu s lidmi, přičemž letenky těchto osob si zakoupila pomocí odcizených kreditních karet. Všechny tyto případy se přitom týkaly trestných činů přímo souvisejících s leteckou přepravou cestujících, neboť se jednalo o trestné činy zaměřené na leteckou přepravu cestujících, jakož i o trestné činy spáchané při letecké přepravě nebo v souvislosti s ní.

156    Kromě toho je třeba konstatovat, že i trestné činy, které nemají takovou přímou souvislost s leteckou přepravou cestujících, mohou mít v závislosti na okolnostech případu nepřímou souvislost s leteckou přepravou cestujících. Tak je tomu zejména v případech, kdy je letecká doprava využívána jako prostředek k přípravě takových trestných činů nebo k vyhýbání se trestnímu stíhání po jejich spáchání. Naproti tomu trestné činy, které nemají žádnou objektivní souvislost s leteckou přepravou cestujících, a to ani nepřímou, nemohou odůvodnit použití systému zavedeného směrnicí PNR.

157    Za těchto podmínek čl. 3 body 8 a 9 této směrnice ve spojení s přílohou II této směrnice a s ohledem na požadavky vyplývající z článků 7 a 8 a čl. 52 odst. 1 Listiny, ukládá členským státům povinnost zajistit, aby zejména při individuálním přezkumu neautomatizovanými prostředky podle čl. 6 odst. 5 uvedené směrnice bylo použití systému zavedeného touto směrnicí omezeno na teroristické trestné činy a pouze na ty závažné formy trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících.

4)      K cestujícím v letecké dopravě a k dotčeným letům

158    Systém zavedený směrnicí PNR se vztahuje na údaje PNR o všech osobách, které lze považovat za „cestující“ ve smyslu čl. 3 bodu 4 této směrnice a které cestují lety spadajícími do působnosti této směrnice.

159    Podle čl. 8 odst. 1 uvedené směrnice se tyto údaje předávají útvaru pro informace o cestujících toho členského státu, na jehož území bude let přistávat nebo z jehož území bude let zahájen bez ohledu na jakýkoli objektivní prvek, který by umožňoval se domnívat, že dotčení cestující mohou představovat riziko účasti na teroristických trestných činech nebo závažné trestné činnosti. Takto předané údaje však podléhají zejména automatizovanému zpracování v rámci předběžného posuzování podle čl. 6 odst. 2 písm. a) a odst. 3 směrnice PNR, jehož účelem je, jak vyplývá z bodu 7 odůvodnění uvedené směrnice, identifikace osob, které nebyly podezřelé z účasti na teroristických trestných činech nebo závažné trestné činnosti před tímto posouzením a které by měly být příslušnými orgány dále prověřeny.

160    Z článku 1 odst. 1 písm. a) a z článku 2 směrnice PNR konkrétněji vyplývá, že tato směrnice rozlišuje mezi cestujícími na letech mimo EU mezi Unií a třetími zeměmi a cestujícími na letech uvnitř EU mezi jednotlivými členskými státy.

161    Pokud jde o cestující na letech mimo EU, je třeba připomenout, že v případě cestujících na letech mezi Unií a Kanadou Soudní dvůr již rozhodl, že automatizované zpracovávání jejich údajů PNR před jejich příletem do Kanady usnadňuje a urychluje bezpečnostní kontroly, zejména na hranicích. Mimoto vyloučení některých kategorií osob či některých zón původu těchto osob by mohlo bránit naplňování cíle automatizovaného zpracovávání údajů PNR, tj. ověřováním těchto údajů identifikovat v rámci všech cestujících v letecké dopravě osoby, jež by mohly představovat riziko pro veřejnou bezpečnost, a mohlo by umožnit, aby toto ověřování bylo obcházeno [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 187].

162    Tyto úvahy lze přitom obdobně použít na situaci cestujících na letech mezi Unií a všemi třetími zeměmi, na které členské státy musí vztáhnout systém zavedený směrnicí PNR v souladu s čl. 1 odst. 1 písm. a) této směrnice ve spojení s čl. 3 body 2 a 4 uvedené směrnice. Předávání a předběžné posuzování údajů PNR o cestujících v letecké dopravě, kteří vstupují do Unie nebo ji opouštějí, totiž nelze omezit na určitý okruh cestujících v letecké dopravě vzhledem k samotné povaze hrozeb pro veřejnou bezpečnost, které mohou vyplývat z teroristických trestných činů a závažné trestné činnosti, jež mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících mezi Unií a třetími zeměmi. Je tedy třeba mít za to, že existuje nezbytná souvislost mezi těmito údaji a cílem, který se týká boje proti těmto trestným činům, takže směrnice PNR nepřekračuje meze toho, co je nezbytně nutné, jen proto, že vyžaduje, aby členské státy systematicky předávaly a předběžně posuzovaly údaje PNR o všech těchto cestujících.

163    Pokud jde o cestující na letech mezi jednotlivými členskými státy Unie, čl. 2 odst. 1 směrnice PNR ve spojení s bodem 10 odůvodnění této směrnice stanoví pouze možnost členských států rozšířit použití systému zavedeného touto směrnicí na lety uvnitř EU.

164    Unijní normotvůrce tedy neměl v úmyslu uložit členským státům povinnost rozšířit použití systému zavedeného směrnicí PNR na lety uvnitř EU, ale jak vyplývá z čl. 19 odst. 3 této směrnice, vyhradil si rozhodnutí o takovém rozšíření, přičemž měl za to, že mu musí předcházet důkladné posouzení jeho právních důsledků, zejména na základní práva subjektů údajů.

165    V tomto ohledu je třeba poznamenat, že tím, že stanoví, že zpráva Komise o přezkumu uvedená v čl. 19 odst. 1 směrnice PNR „zahrnuje přezkum týkající se nezbytnosti, přiměřenosti a účinnosti shromažďování, včetně v oblasti působnosti této směrnice, povinného předávání údajů PNR, pokud jde o všechny nebo o vybrané lety uvnitř EU“ a že Komise v tomto ohledu musí zohlednit „zkušenosti získané členskými státy, zejména těmi, které uplatňují tuto směrnici na lety uvnitř EU podle článku 2“, čl. 19 odst. 3 této směrnice jasně ukazuje, že podle unijního normotvůrce nemusí být systém zavedený uvedenou směrnicí nutně rozšířen na všechny lety uvnitř EU.

166    Ve stejném smyslu čl. 2 odst. 3 směrnice PNR stanoví, že členský stát se může rozhodnout, že tuto směrnici bude uplatňovat pouze na vybrané lety uvnitř EU, pokud to považuje za nezbytné pro dosažení cílů této směrnice, přičemž se může kdykoliv rozhodnout změnit výběr takto určených letů.

167    V každém případě musí být možnost členských států rozšířit použití systému zavedeného směrnicí PNR na lety uvnitř EU využita, jak vyplývá z bodu 22 odůvodnění této směrnice, v plném souladu se základními právy zaručenými v článcích 7 a 8 Listiny. V tomto ohledu, i když je v souladu s bodem 19 odůvodnění uvedené směrnice na členských státech, aby posoudily hrozby spojené s teroristickými trestnými činy a závažnou trestnou činností, nic to nemění na tom, že využití této možnosti předpokládá, že členské státy v rámci tohoto posouzení dospějí k závěru, že existuje hrozba spojená s těmito trestnými činy, která může odůvodnit použití téže směrnice i na lety uvnitř EU.

168    Za těchto podmínek není členský stát, který hodlá využít možnosti stanovené v článku 2 směrnice PNR, ať už ve vztahu ke všem letům uvnitř EU podle odstavce 2 tohoto článku, nebo pouze k některým z těchto letů podle odstavce 3 uvedeného článku, osvobozen od povinnosti ověřit, zda je rozšíření použití této směrnice na všechny nebo některé lety uvnitř EU skutečně nezbytné a přiměřené pro dosažení cíle uvedeného v čl. 1 odst. 2 uvedené směrnice.

169    Vzhledem k bodům 5 až 7, 10 a 22 odůvodnění směrnice PNR tedy takový členský stát musí ověřit, že zpracování údajů PNR o cestujících na letech uvnitř EU nebo na některých z těchto letů stanovené touto směrnicí je s ohledem na závažnost zásahu do základních práv zaručených články 7 a 8 Listiny nezbytně nutné k zajištění vnitřní bezpečnosti Unie nebo přinejmenším uvedeného členského státu, a tedy k ochraně života a bezpečnosti osob.

170    Pokud jde zejména o hrozby spojené s teroristickými trestnými činy, z judikatury Soudního dvora vyplývá, že teroristické činnosti patří mezi ty činnosti, které mohou silně destabilizovat základní ústavní, politické, hospodářské nebo společenské uspořádání země, a zejména přímo ohrožovat společnost, obyvatelstvo nebo stát jako takový a že je v prvořadém zájmu každého členského státu prevence a represe těchto činností proto, aby byly chráněny základní funkce státu a základní zájmy společnosti s cílem zajistit národní bezpečnost. Taková hrozba se tedy svou povahou, závažností a specifickou povahou okolností, které ji vytvářejí, liší od obecného a trvalého rizika závažných trestných činů (v tomto smyslu viz rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 135 a 136, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, body 61 a 62).

171    V situaci, kdy je na základě posouzení provedeného členským státem zjištěno, že existují dostatečně konkrétní okolnosti, pro které se lze domnívat, že tento členský stát čelí skutečné a aktuální či předvídatelné teroristické hrozbě, se tedy nezdá, že by skutečnost, že tento členský stát stanoví na základě čl. 2 odst. 1 směrnice PNR použití této směrnice na všechny lety uvnitř EU z tohoto členského státu nebo do něj po omezenou dobu, překračovala meze toho, co je nezbytně nutné. Existence takového ohrožení totiž může sama o sobě prokázat vazbu mezi předáváním a zpracováním dotčených údajů na jedné straně a bojem proti terorismu na straně druhé (obdobně viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 137).

172    Rozhodnutí, které stanoví toto použití, musí být možné podrobit účinnému přezkumu soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, a cílem tohoto přezkumu bude ověřit, že nastala tato situace, jakož i dodržení podmínek a záruk, které musí být stanoveny. Doba použití musí být rovněž omezena pouze na dobu nezbytně nutnou, avšak s možností prodloužení, pokud toto ohrožení přetrvává (obdobně viz rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 168, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 58).

173    Naproti tomu při neexistenci skutečné a aktuální či předvídatelné teroristické hrozby, jíž dotyčný členský stát čelí, nelze považovat nerozlišující použití systému zavedeného směrnicí PNR tímto členským státem nejen na lety mimo EU, ale také na všechny lety uvnitř EU, za omezené na to, co je nezbytně nutné.

174    V takové situaci musí být použití systému zavedeného směrnicí PNR pro některé lety uvnitř EU omezeno na předávání a zpracovávání údajů PNR o letech týkajících se zejména určitých leteckých tras nebo cestovních modelů nebo určitých letišť, u nichž existují náznaky, které mohou odůvodnit takové použití. V takové situaci přísluší dotyčnému členskému státu, aby vybral lety uvnitř EU v souladu s výsledky posouzení, které musí provést na základě požadavků uvedených v bodech 163 až 169 tohoto rozsudku, a toto použití pravidelně přezkoumával s ohledem na vývoj podmínek, které odůvodnily jejich výběr, aby bylo zajištěno, že použití systému zavedeného uvedenou směrnicí na lety uvnitř EU bude vždy omezeno na to, co je nezbytně nutné.

175    Z výše uvedených úvah vyplývá, že takto přijatý výklad článku 2 a čl. 3 bodu 4 směrnice PNR ve světle článků 7 a 8 a čl. 52 odst. 1 Listiny může zajistit, že tato ustanovení dodržují meze toho, co je nezbytně nutné.

5)      K předběžnému posuzování údajů PNR pomocí automatizovaného zpracování

176    Podle článku 6 odst. 2 písm. a) směrnice PNR má předběžné posuzování, které stanoví, za cíl identifikaci osob, u kterých je vyžadováno další prověření příslušnými orgány uvedenými v článku 7 této směrnice, vzhledem k tomu, že tyto osoby mohou být zapojeny do teroristického trestného činu nebo závažného trestného činu.

177    Toto předběžné posuzování se provádí ve dvou fázích. V prvním kroku provádí útvar pro informace o cestujících dotčeného členského státu v souladu s čl. 6 odst. 3 směrnice PNR automatizované zpracování údajů PNR jejich porovnáním s databázemi nebo na základě předem stanovených kritérií. V druhém kroku, pokud tato automatizovaná zpracování vedou k pozitivní shodě (hit), provede uvedený útvar podle čl. 6 odst. 5 této směrnice individuální přezkum neautomatizovanými prostředky s cílem ověřit, zda příslušné orgány uvedené v článku 7 uvedené směrnice musí provést opatření podle vnitrostátního práva (match).

178    Jak bylo přitom připomenuto v bodě 106 tohoto rozsudku, automatizované zpracování má nutně poměrně vysokou míru chybovosti, neboť je prováděno na základě neověřených osobních údajů a zakládá se na předem stanovených kritériích.

179    Za těchto podmínek a vzhledem k nutnosti posílit ochranu základních práv mimo jiné s ohledem na vědecký a technologický vývoj, jak je zdůrazněno ve čtvrtém bodě odůvodnění Listiny, je třeba zajistit, jak je uvedeno v bodě 20 odůvodnění a v čl. 7 odst. 6 směrnice PNR, aby příslušné orgány nemohly přijmout žádné rozhodnutí, které má pro osobu nepříznivé právní účinky nebo se jí závažným způsobem dotýká, pouze na základě automatizovaného zpracování údajů PNR. V souladu s čl. 6 odst. 6 této směrnice může navíc útvar pro informace o cestujících sám předávat údaje PNR těmto orgánům pouze po individuálním přezkoumání neautomatizovanými prostředky. Konečně, vedle těchto kontrol, které musí provádět útvar pro informace o cestujících a příslušné orgány samy, musí být zákonnost všech automatizovaných zpracování přezkoumána pracovníkem pro ochranu údajů a vnitrostátním orgánem dohledu podle čl. 6 odst. 7 a čl. 15 odst. 3 písm. b) uvedené směrnice a vnitrostátními soudy v rámci soudního přezkumu podle čl. 13 odst. 1 této směrnice.

180    Jak přitom v podstatě uvedl generální advokát v bodě 207 svého stanoviska, vnitrostátní orgán dohledu, pracovník pro ochranu údajů a úvar pro informace o cestujících musí mít k dispozici materiální a personální zdroje nezbytné k výkonu dohledu, který jim ukládá směrnice PNR. Mimoto je třeba, aby vnitrostátní právní úprava, kterou se tato směrnice provádí do vnitrostátního práva a kterou se povoluje automatizované zpracování stanovené touto směrnicí, stanovila jasná a přesná pravidla pro určení databází a použitých kritérií analýzy, aniž je možné pro účely předběžného posouzení použít jiné metody, které nejsou výslovně stanoveny v čl. 6 odst. 2 této směrnice.

181    Kromě toho z čl. 6 odst. 9 směrnice PNR vyplývá, že v důsledku předběžného posuzování podle čl. 6 odst. 2 písm. a) této směrnice nesmí být ohroženo právo vstupu u osob, které požívají práva na volný pohyb na území dotčeného členského státu stanoveného ve směrnici 2004/38, a kromě toho musí být respektováno nařízení č. 562/2006. Systém zavedený směrnicí PNR tak neumožňuje příslušným orgánům omezit toto právo nad rámec toho, co stanoví směrnice 2004/38 a nařízení č. 562/2006.

i)      K porovnání údajů PNR s databázemi

182    Podle čl. 6 odst. 3 písm. a) směrnice PNR útvar pro informace o cestujících „může“, pokud provádí posuzování uvedené v čl. 6 odst. 2 písm. a) této směrnice, porovnat údaje PNR s „databázemi, jež mají význam“ z hlediska prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, „včetně databází hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, a to v souladu s pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze“.

183    Ačkoli ze samotného znění tohoto čl. 6 odst. 3 písm. a) směrnice PNR, zejména ze slova „včetně“, vyplývá, že databáze týkající se hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, patří mezi „databáze, jež mají význam“ uvedené v tomto ustanovení, toto ustanovení naproti tomu nicméně neupřesňuje, které další databáze by mohly být rovněž považovány za databáze, „jež mají význam“, s ohledem na cíle sledované touto směrnicí. Jak uvedl generální advokát v bodě 217 svého stanoviska, uvedené ustanovení totiž výslovně neupřesňuje povahu údajů, které mohou být v těchto databázích obsaženy, a jejich vztah k těmto účelům, ani neuvádí, zda musí být údaje PNR porovnávány výhradně s databázemi spravovanými orgány veřejné moci, nebo zda mohou být porovnávány i s databázemi spravovanými soukromými osobami.

184    Za těchto podmínek by čl. 6 odst. 3 písm. a) směrnice PNR mohl být prima facie vykládán v tom smyslu, že údaje PNR mohou být použity jako pouhá vyhledávací kritéria pro účely provádění analýz různých databází, včetně databází, které spravují a provozují bezpečnostní a zpravodajské agentury členských států za účelem dosažení jiných cílů, než jsou cíle uvedené v této směrnici, a že tyto analýzy mohou mít podobu vytěžování dat (data mining). Možnost provádět takové analýzy a porovnávat údaje PNR s takovými databázemi by přitom v cestujících mohla vyvolat pocit, že jejich soukromí podléhá určité formě dohledu. Ačkoli tedy předběžné posouzení stanovené v tomto ustanovení vychází z poměrně omezeného souboru údajů, jakými jsou údaje PNR, nelze takový výklad čl. 6 odst. 3 písm. a) přijmout, neboť by mohl vést k nepřiměřenému používání těchto údajů a poskytovat prostředky ke zjištění přesného profilu subjektů údajů pouze z toho důvodu, že hodlají cestovat letecky.

185    Proto je třeba v souladu s judikaturou připomenutou v bodech 86 a 87 tohoto rozsudku čl. 6 odst. 3 písm. a) směrnice PNR vykládat tak, aby bylo zajištěno plné dodržování základních práv zakotvených v článcích 7 a 8 Listiny.

186    V tomto ohledu z bodů 7 a 15 odůvodnění směrnice PNR vyplývá, že automatizované zpracování stanovené v čl. 6 odst. 3 písm. a) této směrnice musí být omezeno na to, co je nezbytně nutné pro účely boje proti teroristickým trestným činům a závažné trestné činnosti, přičemž musí být zajištěna vysoká úroveň ochrany těchto základních práv.

187    Jak mimoto v podstatě uvedla Komise v odpovědi na dotaz Soudního dvora, znění tohoto ustanovení, podle něhož útvar pro informace o cestujících „může“ porovnat údaje PNR s databázemi, které toto ustanovení uvádí, umožňuje útvaru pro informace o cestujících zvolit si způsob zpracování, který je v závislosti na konkrétní situaci omezen na to, co je nezbytně nutné. S ohledem na nezbytný soulad s požadavky na jasnost a přesnost vyžadovaný k zajištění ochrany základních práv zakotvených v článcích 7 a 8 Listiny je přitom útvar pro informace o cestujících povinen omezit automatizované zpracování stanovené v čl. 6 odst. 3 písm. a) směrnice PNR pouze na ty databáze, které toto ustanovení umožňuje identifikovat. V tomto ohledu, zatímco odkaz na „databáze, jež mají význam“ v posledně uvedeném ustanovení neumožňuje výklad, který by dostatečně jasně a přesně specifikoval databáze, na něž se odkazuje, totéž neplatí o odkazu na „databáze hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, a to v souladu s pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze“.

188    V důsledku toho, jak generální advokát v podstatě uvedl v bodě 219 svého stanoviska, čl. 6 odst. 3 písm. a) směrnice PNR musí být s ohledem na tato základní práva vykládán v tom smyslu, že posledně uvedené databáze jsou jedinými databázemi, s nimiž může útvar pro informace o cestujících porovnávat údaje PNR.

189    Pokud jde o požadavky, které musí tyto databáze splňovat, je třeba uvést, že podle čl. 6 odst. 4 směrnice PNR musí být předběžné posouzení prováděné na základě předem stanovených kritérií podle čl. 6 odst. 3 písm. b) této směrnice prováděno nediskriminačním způsobem, tato kritéria musí být cílená, přiměřená a specifická a musí být stanovena a pravidelně přezkoumávána útvarem pro informace o cestujících ve spolupráci s příslušnými orgány uvedenými v článku 7 této směrnice. Pokud se čl. 6 odst. 4 s odkazem na čl. 6 odst. 3 písm. b) této směrnice vztahuje pouze na zpracování údajů PNR na základě na předem stanovených kritérií, je třeba toto ustanovení vykládat s ohledem na články 7, 8 a 21 Listiny v tom smyslu, že požadavky, které stanoví, se musí obdobně použít na porovnávání těchto údajů s databázemi uvedenými v předchozím bodě tohoto rozsudku, a to tím spíše, že tyto požadavky v podstatě odpovídají požadavkům přijatým pro konfrontaci údajů PNR s databázemi v judikatuře vyplývající z posudku 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017 (EU:C:2017:592, bod 172).

190    V této souvislosti je třeba upřesnit, že požadavek týkající se nediskriminační povahy těchto databází znamená zejména to, že zápis do databází týkajících se hledaných osob nebo osob, o nichž byl proveden záznam, musí být založen na objektivních a nediskriminačních prvcích vymezených pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 78).

191    Kromě toho proto, aby byl splněn požadavek cílenosti, přiměřenosti a specifičnosti předem stanovených kritérií, musí být databáze uvedené v bodě 188 tohoto rozsudku využívány v souvislosti s bojem proti teroristickým trestným činům a závažné trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících.

192    Mimoto databáze používané podle čl. 6 odst. 3 písm. a) směrnice PNR musí být s ohledem na úvahy uvedené v bodech 183 a 184 tohoto rozsudku spravovány příslušnými orgány uvedenými v článku 7 této směrnice nebo, v případě databází Unie a mezinárodních databází, provozovány těmito orgány v rámci jejich úkolů v oblasti boje proti teroristickým trestným činům a závažné trestné činnosti. To platí přitom pro databáze hledaných osob nebo předmětů nebo osob a předmětů, o nichž byl proveden záznam, a to v souladu s pravidly Unie a mezinárodními i vnitrostátními pravidly platnými pro tyto databáze.

ii)    Ke zpracování údajů PNR na základě předem stanovených kritérií

193    Článek 6 odst. 3 písm. b) směrnice PNR stanoví, že útvar pro informace o cestujících může údaje PNR zpracovávat také na základě předem stanovených kritérií. Z článku 6 odst. 2 písm. a) této směrnice vyplývá, že účelem předběžného posouzení, a tedy zpracování údajů PNR na základě předem stanovených kritérií, je v podstatě identifikace osob, které mohou být zapojeny do teroristického trestného činu nebo závažného trestného činu.

194    Pokud jde o kritéria, která může útvar pro informace o cestujících pro tento účel použít, je třeba především poznamenat, že podle samotného znění čl. 6 odst. 3 písm. b) směrnice PNR musí být tato kritéria „předem stanovená“. Jak uvedl generální advokát v bodě 228 svého stanoviska, tento požadavek brání použití technologií umělé inteligence s tzv. strojovým učením (machine learning), které mohou bez lidského zásahu a kontroly měnit proces posuzování a zejména kritéria posuzování, na nichž je založen výsledek použití tohoto procesu, jakož i vážení těchto kritérií.

195    Je třeba dodat, že používání takových technologií by mohlo vést k tomu, že individuální přezkum pozitivních shod a kontrola zákonnosti vyžadované ustanoveními směrnice PNR budou zbaveny užitečného účinku. Jak totiž generální advokát v podstatě uvedl v bodě 228 svého stanoviska, vzhledem k nedostatečné transparentnosti fungování technologií umělé inteligence se může ukázat jako nemožné pochopit důvod, proč daný program dosáhl pozitivní shody. Za těchto okolností by použití takových technologií mohlo zbavit subjekty údajů také jejich práva na účinnou právní ochranu zakotveného v článku 47 Listiny, které má směrnice PNR podle bodu 28 odůvodnění zaručit na vysoké úrovni, zejména pokud jde o zpochybnění nediskriminační povahy získaných výsledků.

196    Pokud jde dále o požadavky vyplývající z čl. 6 odst. 4 směrnice PNR, toto ustanovení ve své první větě stanoví, že předběžné posouzení na základě předem stanovených kritérií se provádí nediskriminačním způsobem, a ve své čtvrté větě upřesňuje, že tato kritéria nesmí být za žádných okolností založena na rasovém ani etnickém původu dané osoby, jejích politických názorech, náboženském či filozofickém přesvědčení, členství v odborových organizacích, zdraví, sexuálním životě nebo sexuální orientaci.

197    Členské státy tedy nemohou jako předem stanovená kritéria používat kritéria založená na charakteristikách uvedených v předchozím bodě tohoto rozsudku, jejichž použití může vést k diskriminaci. V tomto ohledu ze znění čl. 6 odst. 4 čtvrté věty směrnice PNR, podle níž nesmí být předem stanovená kritéria „za žádných okolností“ založena na těchto charakteristikách, vyplývá, že toto ustanovení zahrnuje jak přímou, tak nepřímou diskriminaci. Tento výklad je kromě toho potvrzen čl. 21 odst. 1 Listiny, v jehož světle je třeba toto ustanovení vykládat a který zakazuje „jakoukoli“ diskriminaci na základě těchto charakteristik. Za těchto okolností musí být předem stanovená kritéria stanovena tak, aby jejich uplatňování, byť formulováno neutrálně, nemohlo zvláště znevýhodnit osoby s chráněnými charakteristikami.

198    Pokud jde o požadavky týkající se cílené, přiměřené a specifické povahy předem stanovených kritérií uvedené v čl. 6 odst. 4 druhé větě směrnice PNR, z těchto požadavků vyplývá, že kritéria použitá pro účely předběžného posouzení musí být stanovena tak, aby se zaměřovala konkrétně na ty jednotlivce, u nichž může existovat důvodné podezření ze zapojení do teroristického trestného činu nebo závažného trestného činu uvedeného v této směrnici. Tento výklad podporuje i samotné znění čl. 6 odst. 2 písm. a) této směrnice, které zdůrazňuje „to“, že tyto osoby „mohou“ být zapojeny do teroristického trestného činu nebo závažného trestného činu. Ve stejném smyslu bod 7 odůvodnění uvedené směrnice stanoví, že používání kritérií pro posouzení by mělo být omezeno na teroristické trestné činy a závažnou trestnou činnost, „pro něž je použití takových kritérií relevantní“.

199    Za účelem takového zaměření na takto uvedené osoby a s ohledem na riziko diskriminace, které s sebou nesou kritéria založená na charakteristikách uvedených v čl. 6 odst. 4 čtvrté větě směrnice PNR, se útvar pro informace o cestujících a příslušné orgány v zásadě nemohou na tyto charakteristiky spoléhat. Naproti tomu, jak uvedla německá vláda na jednání, mohou vzít v úvahu mimo jiné zvláštnosti ve faktickém chování osob v souvislosti s přípravou a realizací letecké dopravy, které by podle zjištění a zkušeností příslušných orgánů mohly naznačovat, že takto jednající osoby mohou být zapojeny do teroristických trestných činů nebo závažné trestné činnosti.

200    V této souvislosti, jak uvedla Komise v odpovědi na dotaz Soudního dvora, musí být předem stanovená kritéria stanovena tak, aby zohledňovala jak skutečnosti „v neprospěch“, tak skutečnosti „ve prospěch“, neboť tento požadavek může přispět ke spolehlivosti těchto kritérií a zejména k zajištění jejich přiměřenosti, jak vyžaduje čl. 6 odst. 4 druhá věta směrnice PNR.

201    Konečně podle čl. 6 odst. 4 třetí věty této směrnice musí být předem stanovená kritéria pravidelně přezkoumávána. V rámci tohoto přezkumu musí být tato kritéria aktualizována s ohledem na vývoj podmínek, které odůvodnily jejich zohlednění pro účely předběžného posouzení, čímž je umožněno zejména reagovat na vývoj boje proti terorismu a závažné trestné činnosti uvedeným v bodě 157 tohoto rozsudku [obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 82]. Tento přezkum by měl zejména zohlednit zkušenosti získané při uplatňování předem stanovených kritérií s cílem co nejvíce snížit počet „falešně pozitivních“ výsledků, a tím přispět k přísné nezbytnosti použití těchto kritérií.

iii) K zárukám provázejícím automatizované zpracování údajů PNR

202    Dodržování požadavků, kterým čl. 6 odst. 4 směrnice PNR podřizuje automatizované zpracování údajů PNR, je nezbytné nejen v souvislosti s určením a přezkumem databází a předem stanovených kritérií stanovených v tomto ustanovení, ale také, jak uvedl generální advokát v bodě 230 svého stanoviska, v průběhu celého procesu zpracování těchto údajů.

203    Pokud jde konkrétně o předem stanovená kritéria, je třeba nejprve uvést, že ačkoli musí útvar pro informace o cestujících, jak je uvedeno v bodě 7 odůvodnění směrnice PNR, definovat kritéria pro posouzení tak, aby byl počet nevinných osob nesprávně identifikovaných systémem zavedeným touto směrnicí co nejmenší, tentýž útvar musí v souladu s čl. 6 odst. 5 a 6 uvedené směrnice provést individuální přezkum každé pozitivní shody neautomatizovanými prostředky s cílem v co nejvyšší míře identifikovat možnou existenci „falešně pozitivních“ výsledků. Kromě toho, aniž je dotčena skutečnost, že musí stanovit kritéria pro posouzení nediskriminačním způsobem, je útvar pro informace o cestujících povinen provést takový přezkum, aby vyloučil případné diskriminační výsledky. Stejnou povinnost přezkumu musí útvar pro informace o cestujících dodržovat i při porovnávání údajů PNR s databázemi.

204    Útvar pro informace o cestujících se tedy musí zdržet předávání výsledků těchto automatizovaných operací zpracování příslušným orgánům uvedeným v článku 7 směrnice o PNR, pokud s ohledem na úvahy uvedené v bodě 198 tohoto rozsudku nemá na základě takového přezkumu důkazy, které by mohly právně dostačujícím způsobem zakládat důvodné podezření ze zapojení se do teroristických trestných činů nebo závažné trestné činnosti ve vztahu k osobám identifikovaným prostřednictvím těchto automatizovaných zpracování, nebo pokud má důkazy o tom, že uvedená zpracování vedou k diskriminačním výsledkům.

205    Pokud jde o ověření, která musí útvar pro informace pro cestující za tímto účelem provádět, z čl. 6 odst. 5 a 6 směrnice PNR ve spojení s body 20 a 22 odůvodnění této směrnice vyplývá, že členské státy musí stanovit jasná a přesná pravidla pro vedení a dohled nad analýzou prováděnou pracovníky odpovědnými za individuální přezkum s cílem zajistit plné dodržování základních práv zakotvených v článcích 7, 8 a 21 Listiny, a zejména zaručit jednotnou správní praxi v rámci útvaru pro informace o cestujících, která by respektovala zásadu nediskriminace.

206    Zejména vzhledem k poměrně vysokému počtu „falešně pozitivních“ výsledků, jak je uvedeno v bodě 106 tohoto rozsudku, musí členské státy zajistit, aby útvar pro informace o cestujících stanovil jasným a přesným způsobem objektivní kritéria přezkumu umožňující jeho pracovníkům ověřit, zda a do jaké míry se pozitivní shoda (hit) skutečně týká jednotlivce, který může být zapojen do teroristických trestných činů nebo závažné trestné činnosti uvedených v bodě 157 tohoto rozsudku, a musí být proto podrobněji přezkoumány příslušnými orgány uvedenými v článku 7 této směrnice, jakož i dále nediskriminační povahu automatizovaného zpracování stanoveného uvedenou směrnicí, a zejména předem stanovených kritérií a použitých databází.

207    V této souvislosti jsou členské státy povinny zajistit, aby v souladu s čl. 13 odst. 5 směrnice PNR ve spojení s bodem 37 odůvodnění této směrnice útvar pro informace o cestujících vedl záznam o veškerém zpracování údajů PNR provedeném v rámci předběžného posouzení, a to i v rámci individuálního přezkumu neautomatizovanými prostředky, za účelem ověření jeho zákonnosti a vlastní kontroly.

208    Dále, příslušné orgány nemohou na základě čl. 7 odst. 6 první věty směrnice PNR přijmout žádné rozhodnutí, které má pro osobu nepříznivé právní účinky nebo se jí závažným způsobem dotýká, pouze na základě automatizovaného zpracování údajů PNR, což znamená, že v rámci předběžného posouzení musí vzít v úvahu a případně upřednostnit výsledek individuálního přezkumu provedeného neautomatizovanými prostředky útvarem pro informace o cestujících před výsledkem získaným automatizovaným zpracováním. Druhá věta tohoto čl. 7 odst. 6 upřesňuje, že taková rozhodnutí nesmí být diskriminační.

209    V této souvislosti musí příslušné orgány zajistit zákonnost jak takového automatizovaného zpracování, zejména jeho nediskriminační povahu, tak i individuálního přezkumu.

210    Příslušné orgány se musí zejména ujistit o tom, že dotyčný, aniž je mu nutně umožněno seznámit se v průběhu správního řízení s předem stanovenými kritérii pro posouzení a s programy, které tato kritéria používají, může chápat fungování těchto kritérií a těchto programů tak, aby se mohl rozhodnout s plnou znalostí věci, zda uplatní své právo na soudní přezkum zaručené v čl. 13 odst. 1 směrnice PNR za účelem případného zpochybnění protiprávní a zejména diskriminační povahy uvedených kritérií (obdobně viz rozsudek ze dne 24. listopadu 2020, Minister van Buitenlandse Zaken, C‑225/19 a C‑226/19, EU:C:2020:951, bod 43 a citovaná judikatura). Totéž platí pro kritéria pro přezkum uvedená v bodě 206 tohoto rozsudku.

211    Konečně v rámci žaloby podané na základě čl. 13 odst. 1 směrnice PNR musí mít soud pověřený přezkumem legality rozhodnutí přijatého příslušnými orgány, jakož i dotyčný, s výjimkou případů ohrožení národní bezpečnosti, možnost seznámit se s veškerými odůvodněními i souvisejícími důkazy, na jejichž základě bylo toto rozhodnutí přijato (obdobně viz rozsudek ze dne 4. června 2013, ZZ, C‑300/11, EU:C:2013:363, body 54 až 59), včetně předem stanovených kritérií pro posouzení a fungováním programů, která tato kritéria používají.

212    Kromě toho na základě čl. 6 odst. 7 a čl. 15 odst. 3 písm. b) směrnice PNR jsou pracovník pro ochranu údajů a vnitrostátní orgán dohledu povinni zajistit kontrolu zákonnosti automatizovaných zpracování prováděných útvarem pro informace o cestujících v rámci předběžného posouzení, včetně přezkumu nediskriminační povahy těchto zpracování. I když první z těchto ustanovení za tímto účelem upřesňuje, že pracovník pro ochranu údajů má přístup ke všem údajům zpracovávaným útvarem pro informace o cestujících, tento přístup se musí nutně vztahovat na předem stanovená kritéria a databáze používané tímto útvarem, aby byla zajištěna účinnost a vysoká úroveň ochrany údajů, kterou musí tento pracovník zajistit v souladu s bodem 37 odůvodnění této směrnice. Stejně tak šetření, inspekce a audity, které provádí vnitrostátní orgán dohledu podle druhého z těchto ustanovení, se mohou týkat i těchto předem stanovených kritérií a těchto databází.

213    Ze všech výše uvedených úvah vyplývá, že ustanovení směrnice PNR upravující předběžné posouzení údajů PNR podle čl. 6 odst. 2 písm. a) této směrnice lze vykládat v souladu s články 7, 8 a 21 Listiny při respektování mezí toho, co je nezbytně nutné.

6)      K následnému poskytnutí a posouzení údajů PNR

214    Na základě čl. 6 odst. 2 písm. b) směrnice PNR mohou být rovněž po podání žádosti příslušných orgánů údaje PNR těmto orgánům poskytnuty a být posouzeny po stanoveném příletu do členského státu nebo po stanoveném odletu z něj.

215    Pokud jde o podmínky, za nichž lze takové poskytnutí a posuzování provést, ze znění tohoto ustanovení jasně vyplývá, že úvar pro informace o cestujících může zpracovávat údaje PNR pro účely reakce, na základě posouzení „jednotlivých případů“, „po podání řádně zdůvodněné žádosti založené na dostatečných poznatcích“ příslušných orgánů o poskytnutí a zpracování údajů PNR „v konkrétních případech za účelem prevence, odhalování, vyšetřování a stíhání teroristického trestného činu nebo závažného trestného činu“. Mimoto, pokud je žádost podána více než šest měsíců po předání údajů PNR útvaru pro informace o cestujících, tedy doby, po jejímž uplynutí jsou veškeré údaje PNR v souladu s čl. 12 odst. 2 této směrnice depersonalizovány maskováním některých prvků, čl. 12 odst. 3 uvedené směrnice stanoví, že se povolí zpřístupnění úplných údajů PNR, a tedy jejich verze, která není depersonalizovaná, pouze pokud jsou splněny dvě podmínky, a to zaprvé pokud lze rozumně důvodně předpokládat, že je to nezbytné pro účely čl. 6 odst. 2 písm. b) uvedené směrnice, a zadruhé pokud to schválí soudní orgán nebo jiný vnitrostátní orgán příslušný podle vnitrostátního práva.

216    V tomto ohledu především ze samotného znění čl. 6 odst. 2 písm. b) směrnice PNR vyplývá, že útvar pro informace o cestujících nemůže systematicky poskytovat a následně posuzovat údaje PNR o všech cestujících v letecké dopravě a že může reagovat pouze na základě posouzení „jednotlivých posouzení“ po podání žádosti o takové zpracování „v konkrétních případech“. Jelikož však toto ustanovení odkazuje na „konkrétní případy“, nemusí se takové zpracování nutně omezovat na údaje PNR jednoho cestujícího v letecké dopravě, ale může se, jak Komise uvedla v odpovědi na dotaz Soudního dvora, týkat i většího počtu osob za předpokladu, že subjekty údajů mají řadu společných znaků, které umožňují, aby byly společně považovány za „konkrétní případ“ pro účely požadovaného poskytnutí a posouzení.

217    Pokud jde dále o hmotněprávní podmínky vyžadované proto, aby údaje PNR o cestujících v letecké dopravě mohly být poskytnuty a následně posouzeny, ačkoli čl. 6 odst. 2 písm. b) a čl. 12 odst. 3 písm. a) směrnice PNR odkazují na „dostatečné poznatky“, respektive „lze důvodně předpokládat“, aniž výslovně specifikují povahu těchto důvodů, ze samotného znění prvního z těchto ustanovení, které odkazuje na účely uvedené v čl. 1 odst. 2 uvedené směrnice, nicméně vyplývá, že poskytnutí údajů PNR a následné posouzení může být prováděno pouze za účelem ověření existence indicií o možném zapojení subjektů údajů do teroristických trestných činů nebo do závažné formy trestné činnosti, které mají, jak vyplývá z bodu 157 tohoto rozsudku, alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících.

218    V rámci systému zavedeného směrnicí PNR se přitom poskytování a zpracovávání údajů PNR podle čl. 6 odst. 2 písm. b) této směrnice týká údajů osob, které již byly předmětem předchozího posouzení před jejich očekávaným příletem do dotyčného členského státu nebo jejich odletem z něj. Mimoto žádost o následné posouzení se může týkat zejména osob, jejichž údaje PNR nebyly po předběžném posouzení předány příslušným orgánům, jelikož předběžné posouzení neodhalilo žádné skutečnosti svědčící o tom, že by tyto osoby mohly být zapojeny do teroristických trestných činů nebo závažné trestné činnosti s alespoň nepřímou objektivní souvislostí s leteckou přepravou cestujících. Za těchto okolností musí být poskytnutí a zpracování těchto údajů za účelem jejich následného posouzení založeno na nových okolnostech, které odůvodňují takové využití [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 200 a citovaná judikatura].

219    Pokud jde o povahu okolností, které mohou odůvodnit poskytnutí a zpracování údajů PNR pro účely jejich následného posouzení, podle ustálené judikatury platí, že vzhledem k tomu, že obecný přístup ke všem uchovávaným údajům bez ohledu na jakoukoli alespoň nepřímou souvislost se sledovaným cílem nelze považovat za omezený na to, co je nezbytně nutné, musí dotčená právní úprava, ať již unijní právní úprava nebo vnitrostátní právní úprava, která unijní úpravu provádí, vycházet z objektivních kritérií, na jejichž základě jsou vymezeny okolnosti a podmínky, za nichž musí být příslušným vnitrostátním orgánům přístup k dotčeným údajům poskytnut. V tomto ohledu lze v zásadě takový přístup udělit v souvislosti s cílem boje proti trestné činnosti pouze k údajům osob, u nichž existuje podezření, že připravují, páchají či spáchaly závažný trestný čin nebo se určitým způsobem na takovém trestném činu podílely. Nicméně v určitých situacích, jako jsou případy, kdy jsou ohroženy stěžejní zájmy národní bezpečnosti, obrany nebo veřejné bezpečnosti teroristickými činnostmi, lze rovněž poskytnout přístup k údajům jiných osob, jsou-li dány objektivní skutečnosti, na jejichž základě lze mít za to, že tyto údaje mohou v konkrétním případě účinně přispět k boji proti takovým činnostem [rozsudky ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci), C‑746/18, EU:C:2021:152, bod 50 a citovaná judikatura, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 105].

220    Výrazy „dostatečné poznatky“ a „lze důvodně předpokládat“ uvedené v čl. 6 odst. 2 písm. b) a v čl. 12 odst. 3 písm. a) směrnice PNR musí být ve světle článků 7 a 8 Listiny vykládány tak, že odkazují na objektivní skutečnosti, které mohou vyvolat důvodné podezření, že dotyčná osoba je nějakým způsobem zapojena do závažné trestné činnosti, která alespoň nepřímo objektivně souvisí s leteckou přepravou cestujících, zatímco pokud jde o teroristické trestné činy vykazující takovou souvislost, je tento požadavek splněn, pokud existují objektivní skutečnosti, na jejichž základě lze mít za to, že by údaje PNR mohly v konkrétním případě účinně přispět k boji proti těmto trestným činům.

221    Konečně, pokud jde o procesní podmínky, kterými se řídí poskytnutí a zpracování údajů PNR pro účely jejich následného posouzení, čl. 12 odst. 3 písm. b) směrnice PNR vyžaduje, v případě, že je žádost podána po více než šesti měsících po jejich předání útvaru pro informace o cestujících, tj. když jsou v souladu s odstavcem 2 uvedeného článku veškeré údaje PNR depersonalizovány maskováním prvků uvedených v tomto odstavci 2, aby poskytnutí úplných údajů PNR, a tedy jejich verze, která není depersonalizovaná, schválil soudní orgán nebo jiný vnitrostátní orgán příslušný podle vnitrostátního práva. V této souvislosti přísluší těmto orgánům, aby v plném rozsahu přezkoumaly opodstatněnost žádosti, a zejména, aby ověřily, zda důkazy předložené na podporu uvedené žádosti mohou doložit hmotněprávní podmínku týkající se existence případů, kdy „lze důvodně předpokládat“, uvedenou v předchozím bodě tohoto rozsudku.

222    Je pravda, že v případě, kdy je žádost o následné poskytnutí a posouzení údajů PNR podána před uplynutím šestiměsíčního období po předání těchto údajů, čl. 6 odst. 2 písm. b) směrnice PNR takovou procesní podmínku výslovně nestanoví. Výklad posledně uvedeného ustanovení však musí zohlednit bod 25 odůvodnění této směrnice, z něhož vyplývá, že stanovením této procesní podmínky chtěl unijní normotvůrce „zaručit nejvyšší úroveň ochrany údajů“, pokud jde o přístup k údajům PNR ve formě, která umožňuje přímou identifikaci subjektů údajů. Jakákoli žádost o následné poskytnutí a posouzení přitom implikuje takový přístup k těmto údajům, a to bez ohledu na to, zda je tato žádost podána před uplynutím šestiměsíčního období po předání údajů PNR útvaru pro informace o cestujících nebo po uplynutí tohoto období.

223    Za účelem zaručení plného dodržování základních práv v systému zavedeném směrnicí PNR, a obzvláště podmínek uvedených v bodech 218 a 219 tohoto rozsudku v praxi, je zejména nezbytné, aby poskytnutí údajů PNR pro účely následného posouzení v zásadě podléhalo – s výjimkou náležitě odůvodněných naléhavých případů – předchozímu přezkumu ze strany soudu nebo nezávislého správního orgánu a tento soud nebo orgán rozhodoval na základě odůvodněné žádosti příslušných orgánů podané zejména v rámci postupů pro předcházení, odhalování nebo stíhání trestných činů. V případě náležitě odůvodněných naléhavých případů musí být uvedený přezkum proveden v co nejkratší době [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 202 a citovaná judikatura, jakož i rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 110].

224    Za těchto okolností se požadavek předchozího přezkumu stanoveného v čl. 12 odst. 3 písm. b) směrnice PNR pro žádosti o poskytnutí údajů PNR podané po uplynutí doby šesti měsíců po předání těchto údajů útvaru pro informace o cestujících musí obdobně použít i v případě, že je žádost o poskytnutí podána před uplynutím této doby.

225    Kromě toho, ačkoli čl. 12 odst. 3 písm. b) směrnice PNR výslovně neupřesňuje požadavky, které musí splňovat orgán odpovědný za předchozí přezkum, z ustálené judikatury vyplývá, že k zajištění toho, aby byl zásah do základních práv zaručených články 7 a 8 Listiny, který vyplývá z přístupu k osobním údajům, omezen na nezbytně nutné, musí mít tento orgán veškeré pravomoci a předložit veškeré záruky nezbytné k zajištění souladu různých dotčených zájmů a práv. Pokud jde konkrétně o vyšetřování, takový přezkum vyžaduje, aby tento orgán byl schopen zajistit spravedlivou rovnováhu mezi legitimními zájmy souvisejícími s potřebami vyšetřování v rámci boje proti trestné činnosti na jedné straně a základními právy na respektování soukromého života a na ochranu osobních údajů osob, jichž se přístup dotýká, na straně druhé (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 107, jakož i citovaná judikatura).

226    Takový orgán musí mít za tímto účelem postavení, které mu umožňuje jednat při plnění svých povinností objektivně a nestranně, a za tímto účelem musí být zcela mimo dosah jakýchkoli vnějších vlivů. Z požadavku nezávislosti plyne, že tento orgán musí být ve vztahu k orgánu, který žádá o přístup k údajům, třetím subjektem, aby byl prvně uvedený orgán schopen tento přezkum vykonat objektivně a nestranně zcela mimo dosah jakýchkoliv vnějších vlivů. V oblasti trestního práva požadavek nezávislosti konkrétně znamená, že uvedený orgán nesmí být zaprvé zapojen do předmětného vyšetřování a zadruhé musí mít vůči účastníkům trestního řízení neutrální postavení (v tomto smyslu viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 108, jakož i citovaná judikatura).

227    Ustanovení směrnice PNR upravující následné poskytnutí a posouzení údajů PNR podle čl. 6 odst. 2 písm. b) této směrnice lze proto vykládat v souladu s články 7 a 8 a čl. 52 odst. 1 Listiny v mezích toho, co je nezbytně nutné.

228    S ohledem na všechny výše uvedené úvahy, jelikož výklad směrnice PNR ve světle článků 7, 8 a 21, jakož i čl. 52 odst. 1 Listiny zajišťuje soulad této směrnice s těmito články Listiny, přezkum druhé až čtvrté a šesté otázky neodhalil žádnou skutečnost, která by měla vliv na platnost uvedené směrnice.

C.      K páté otázce

229    Podstatou páté otázky předkládajícího soudu je, zda musí být článek 6 směrnice PNR, ve spojení s články 7 a 8, jakož i čl. 52 odst. 1 Listiny vykládán v tom smyslu, že brání vnitrostátním právním předpisům, které připouští zpracování údajů PNR shromážděných v souladu s touto směrnicí pro účely monitorování činností sledovaných zpravodajskými a bezpečnostními službami.

230    Z žádosti o rozhodnutí o předběžné otázce vyplývá, že touto otázkou má vnitrostátní soud na mysli konkrétněji činnost Sûreté de l’État (Státní bezpečnost, Belgie) a Service général du renseignement et de la sécurité (Obecná zpravodajská a bezpečnostní služba, Belgie) v rámci jejich příslušných úkolů týkajících se ochrany národní bezpečnosti.

231    V tomto ohledu unijní normotvůrce v zájmu dodržení zásad legality a proporcionality uvedených zejména v čl. 52 odst. 1 Listiny stanovil jasná a přesná pravidla, která upravují účel opatření stanovených směrnicí PNR, která zahrnují zásahy do základních práv zaručených články 7 a 8 Listiny.

232    Článek 1 odst. 2 směrnice PNR totiž výslovně stanoví, že údaje PNR shromážděné v souladu s touto směrnicí mohou být zpracovány „pouze pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, jak je stanoveno v čl. 6 odst. 2 písm. a), b) a c) [uvedené směrnice]“. Toto ustanovení potvrzuje zásadu stanovenou v tomto čl. 1 odst. 2, když odkazuje systematicky na pojmy „teroristické trestné činy“ a „závažná trestná činnost“.

233    Ze znění těchto ustanovení je tedy zřejmé, že výčet cílů, které sleduje zpracování údajů PNR na základě směrnice o PNR, je taxativní.

234    Tento výklad potvrzuje mimo jiné bod 11 odůvodnění směrnice PNR, podle něhož musí být zpracování údajů PNR přiměřené „konkrétním bezpečnostním cílům“, jež tato směrnice sleduje, a čl. 7 odst. 4 této směrnice, podle něhož mohou být údaje PNR a výsledek zpracování těchto údajů obdržené od útvaru pro informace o cestujících dále zpracovávány „pouze pro konkrétní účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů nebo závažné trestné činnosti“.

235    Kromě toho z taxativní povahy účelů uvedených v čl. 1 odst. 2 směrnice PNR rovněž vyplývá, že údaje PNR nemohou být uchovávány v jediné databázi, do níž lze nahlížet jak pro tyto účely, tak pro jiné účely. Uchovávání těchto údajů v takové databázi by totiž znamenalo riziko, že by tyto údaje byly použity k jiným účelům, než jsou účely uvedené v tomto čl. 1 odst. 2.

236    V projednávané věci, pokud podle předkládajícího soudu vnitrostátní právní předpisy dotčené v původním řízení připouští jako účel zpracování údajů PNR monitorování činností sledovaných zpravodajskými a bezpečnostními službami, a začleňují tak tento účel do prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, mohou tyto právní předpisy porušovat taxativní povahu výčtu účelů, které sleduje zpracování údajů PNR podle směrnice PNR, což přísluší ověřit předkládajícímu soudu.

237    Na pátou otázku je tudíž třeba odpovědět tak, že článek 6 směrnice PNR, ve spojení s články 7 a 8, jakož i čl. 52 odst. 1 Listiny, musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, které připouští zpracování údajů PNR shromážděných v souladu s touto směrnicí pro jiné účely, než jsou účely výslovně uvedené v čl. 1 odst. 2 uvedené směrnice.

D.      K sedmé otázce

238    Podstatou sedmé otázky předkládajícího soudu je, zda musí být čl. 12 odst. 3 písm. b) směrnice PNR vykládán v tom smyslu, že brání vnitrostátním právním předpisům, podle nichž orgán určený jako útvar pro informace o cestujících má rovněž postavení příslušného vnitrostátního orgánu, který může povolit zpřístupnění úplných údajů PNR po uplynutí doby šesti měsíců od předání těchto údajů útvaru pro informace o cestujících.

239    Úvodem je třeba poznamenat, že belgická vláda má pochybnosti o pravomoci Soudního dvora odpovědět na tuto otázku, jak ji formuloval předkládající soud, z toho důvodu, že pouze předkládající soud je příslušný k výkladu vnitrostátních předpisů, a zejména k posouzení požadavků vyplývajících ze zákona ze dne 25. prosince 2016 s ohledem na čl. 12 odst. 3 písm. b) směrnice PNR.

240    V tomto ohledu stačí uvést, že uvedenou otázkou předkládající soud požaduje výklad ustanovení unijního práva. I když v rámci řízení zahajovaného na základě článku 267 SFEU přísluší výklad vnitrostátních ustanovení soudům členských států, a nikoli Soudnímu dvoru, a Soudnímu dvoru nepřísluší, aby se vyjadřoval ke slučitelnosti norem vnitrostátního práva s ustanoveními práva unijního, je naproti tomu Soudní dvůr příslušný k tomu, aby vnitrostátnímu soudu poskytl veškeré poznatky k výkladu unijního práva, které mu umožní posoudit slučitelnost norem vnitrostátního práva s unijní právní úpravou (rozsudek ze dne 30. dubna 2020, CTT – Correios de Portugal, C‑661/18, EU:C:2020:335, bod 28 a citovaná judikatura). Z toho vyplývá, že Soudní dvůr je příslušný k odpovědi na sedmou otázku.

241    Ve věci samé je třeba uvést, že znění čl. 12 odst. 3 písm. b) směrnice PNR, který v písm. i) a ii) odkazuje na „soudní orgán“ a „jiný vnitrostátní orgán příslušný podle vnitrostátního práva k ověření splnění podmínek pro zpřístupnění“, staví tyto dva orgány na stejnou úroveň, jak vyplývá z použití spojky „nebo“ mezi těmito písm. i) a ii). Z této formulace tedy vyplývá, že takto uvedený „jiný“ příslušný vnitrostátní orgán představuje alternativu k soudnímu orgánu, a proto musí mít úroveň nezávislosti a nestrannosti srovnatelnou se soudním orgánem.

242    Tato analýza je podpořena cílem směrnice PNR uvedeným v bodě 25 odůvodnění této směrnice zaručit nejvyšší úroveň ochrany údajů, pokud jde o přístup k úplným údajům PNR, které umožňují přímou identifikaci subjektu údajů. Tentýž bod odůvodnění ostatně upřesňuje, že takový přístup by měl být umožněn pouze za velmi přísných podmínek po uplynutí šesti měsíců od předání údajů PNR útvaru pro informace o cestujících.

243    Tuto analýzu podporuje i geneze směrnice PNR. Zatímco totiž návrh směrnice uvedený v bodě 155 tohoto rozsudku, na jehož základě byla přijata směrnice PNR, pouze stanovil, že „[p]řístup k údajům PNR v plném rozsahu uděluje pouze vedoucí složky pro informace o cestujících“, verze čl. 12 odst. 3 písm. b) této směrnice, kterou nakonec přijal unijní normotvůrce, určuje soudní orgán a „jiný vnitrostátní orgán“ příslušný k ověření splnění podmínek pro zpřístupnění a ke schválení takového zpřístupnění, přičemž tyto orgány staví na stejnou úroveň.

244    V souladu s ustálenou judikaturou připomenutou v bodech 223, 225 a 226 tohoto rozsudku je mimoto obzvláště nezbytné, aby přístup příslušných orgánů k uchovávaným údajům podléhal předchozímu přezkumu ze strany soudu nebo nezávislého správního orgánu a tento soud nebo tento orgán rozhodoval na základě odůvodněné žádosti příslušných orgánů podané zejména v rámci postupů pro předcházení, odhalování nebo stíhání trestných činů. Požadavek nezávislosti, který musí splňovat orgán pověřený výkonem předchozího přezkumu, rovněž vyžaduje, aby tento orgán byl ve vztahu k orgánu, který žádá o přístup k údajům, třetím subjektem, takže uvedený orgán musí být schopen tento přezkum vykonat objektivně a nestranně zcela mimo dosah jakýchkoliv vnějších vlivů. V oblasti trestního práva požadavek nezávislosti konkrétně znamená, že orgán pověřený tímto předchozím přezkumem nesmí být zaprvé zapojen do předmětného vyšetřování a zadruhé musí mít vůči účastníkům trestního řízení neutrální postavení.

245    Jak přitom uvedl generální advokát v bodě 271 svého stanoviska, čl. 4 odst. 1 a 3 směrnice PNR stanoví, že útvar pro informace o cestujících je v každém členském státě zřízen nebo určen jako orgán příslušný pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti a že pracovníci útvaru pro informace o cestujících mohou být vysláni z příslušných orgánů uvedených v článku 7 této směrnice, takže útvar pro informace o cestujících je na tyto orgány nezbytně vázán. Podle čl. 6 odst. 2 písm. b) uvedené směrnice může útvar pro informace o cestujících rovněž provádět zpracování údajů PNR, jehož výsledek poskytne uvedeným orgánům. S ohledem na tyto skutečnosti nelze útvar pro informace o cestujících považovat za třetí subjekt ve vztahu k těmto orgánům, a tudíž za osobu, která splňuje všechny rysy nezávislosti a nestrannosti nezbytné k provádění předchozího přezkumu uvedeného v předchozím bodě tohoto rozsudku a k ověření, zda byly splněny podmínky pro poskytnutí úplných údajů PNR, jak stanoví čl. 12 odst. 3 písm. b) téže směrnice.

246    Kromě toho skutečnost, že posledně uvedené ustanovení ve svém písm. ii) vyžaduje, aby v případě schválení zpřístupnění těchto úplných údajů „jiný[m] příslušný[m] vnitrostátní[m] orgán[em]“ byl pracovník pro ochranu údajů útvaru pro informace o cestujících „informován [a provedl] následný přezkum“, zatímco v případě schválení soudním orgánem tomu tak není, nemůže zpochybnit toto posouzení. Podle ustálené judikatury totiž platí, že takový následný přezkum, jako je přezkum prováděný pracovníkem pro ochranu údajů, neumožňuje naplnit cíl předchozího přezkumu, kterým je zabránit povolení přístupu k dotčeným údajům, který překračuje meze toho, co je nezbytně nutné (v tomto smyslu viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 110, jakož i citovaná judikatura).

247    S ohledem na všechny tyto úvahy je třeba odpovědět na sedmou otázku tak, že čl. 12 odst. 3 písm. b) směrnice PNR musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, podle nichž orgán zřízený jako útvar pro informace o cestujících má rovněž postavení příslušného vnitrostátního orgánu, který může povolit zpřístupnění údajů PNR po uplynutí doby šesti měsíců od předání těchto údajů útvaru pro informace o cestujících.

E.      K osmé otázce

248    Podstatou osmé otázky předkládajícího soudu je, zda článek 12 směrnice PNR ve spojení s články 7 a 8, jakož i čl. 52 odst. 1 Listiny, musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, které stanoví obecnou dobu uchovávání údajů PNR v délce pěti let, a to bez rozlišení, zda dotčení cestující mohou či nemohou představovat riziko v oblasti teroristických trestných činů nebo závažné trestné činnosti.

249    Je třeba připomenout, že podle čl. 12 odst. 1 a 4 této směrnice útvar pro informace o cestujících členského státu, na jehož území dotčený let přistává nebo z něj odlétá, uchovává údaje PNR poskytnuté leteckými dopravci v databázi po dobu pěti let po jejich předání tomuto útvaru a trvale je zlikviduje po uplynutí této pětileté doby.

250    Jak připomíná bod 25 odůvodnění směrnice PNR, „doba uchování údajů PNR by měla být doba nezbytná pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti a měla by být těmto účelům přiměřená“.

251    Uchovávání údajů PNR podle čl. 12 odst. 1 směrnice PNR proto nemůže být odůvodněné v případě neexistence objektivní souvislosti mezi tímto uchováváním a cíli sledovanými touto směrnicí, a sice bojem proti teroristickým trestným činům a závažné trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících.

252    V tomto ohledu, jak vyplývá z bodu 25 odůvodnění směrnice PNR, je třeba rozlišovat mezi počáteční šestiměsíční dobou uchovávání uvedenou v čl. 12 odst. 2 této směrnice na jedné straně a následnou dobou uvedenou v čl. 12 odst. 3 uvedené směrnice na straně druhé.

253    Při výkladu čl. 12 odst. 1 směrnice PNR je třeba zohlednit ustanovení obsažená v odstavcích 2 a 3 tohoto článku, která stanoví režim pro uchovávání a přístup k údajům PNR uchovávaným po uplynutí počáteční šestiměsíční doby uchovávání. Jak vyplývá z bodu 25 odůvodnění této směrnice, tato ustanovení odrážejí cíl zajistit, „aby byly údaje PNR uchovávány po dobu dostačující k provedení analýzy a k využití při vyšetřování“, které mohou být prováděny již během počáteční šestiměsíční doby uchovávání. Kromě toho je jejich cílem podle téhož bodu 25 odůvodnění „[zabránit] nepřiměřenému využívání údajů“ maskováním těchto údajů a „zaruč[it] nejvyšší úroveň ochrany údajů“ tím, že se povoluje přístup k těmto údajům ve formě, která umožňuje identifikaci subjektu údajů „po uplynutí počáteční doby uchovávání pouze za velmi přísných a omezených podmínek“, čímž je zohledněna skutečnost, že čím je delší doba uchovávání údajů PNR, tím je závažnější zásah, který z toho vyplývá.

254    Rozlišení mezi počáteční šestiměsíční dobou uchovávání uvedenou v čl. 12 odst. 2 směrnice PNR a následnou dobou uvedenou v čl. 12 odst. 3 této směrnice se přitom vztahuje i na nezbytné splnění požadavku uvedeného v bodě 251 tohoto rozsudku.

255    S ohledem na účely směrnice PNR a na potřeby vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti je tedy třeba mít za to, že uchovávání údajů PNR o všech cestujících v letecké dopravě, na které se vztahuje systém zavedený touto směrnicí, během počáteční šestiměsíční doby, aniž existuje sebemenší náznak o jejich zapojení do teroristických trestných činů nebo závažné trestné činnosti, podle všeho v zásadě nepřekračuje meze toho, co je nezbytně nutné, pokud umožňuje provést nezbytné vyšetřování za účelem identifikace osob, které nebyly podezřelé z účasti na teroristických trestných činech nebo závažné trestné činnosti.

256    Naproti tomu, pokud jde o následné období uvedené v čl. 12 odst. 3 směrnice PNR, uchovávání údajů PNR o všech cestujících v letecké dopravě, na které se vztahuje systém zavedený touto směrnicí, kromě toho, že s sebou nese s ohledem na značné množství údajů, které mohou být uchovávány průběžně, inherentní rizika nepřiměřeného využití a zneužití (obdobně viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 119), je v rozporu s požadavkem bodu 25 odůvodnění této směrnice, podle něhož by tyto údaje měly být uchovávány pouze po dobu nezbytnou a přiměřenou sledovaným cílům, přičemž unijní normotvůrce měl v úmyslu stanovit nejvyšší úroveň ochrany údajů PNR, které umožňují přímou identifikaci subjektů údajů.

257    V případě cestujících v letecké dopravě, u nichž ani předběžné posouzení uvedené v čl. 6 odst. 2 písm. a) směrnice PNR, ani případné kontroly provedené během šestiměsíční doby uvedené v čl. 12 odst. 2 této směrnice, ani žádné jiné okolnosti neodhalily existenci objektivních skutečností, které by mohly prokázat riziko teroristických trestných činů nebo závažné trestné činnosti, které by měly alespoň nepřímou objektivní souvislost s letem těchto cestujících, totiž za těchto okolností podle všeho neexistuje byť jen nepřímá souvislost mezi údaji PNR o těchto cestujících a cílem sledovaným uvedenou směrnicí, která by odůvodňovala uchovávání těchto údajů [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, body 204 a 205].

258    Je tedy patrné, že pokračující uchovávání údajů PNR o všech cestujících po počáteční šestiměsíční době není omezeno na to, co je nezbytně nutné [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 206].

259    V rozsahu, v němž jsou však v konkrétních případech identifikovány takové objektivní skutečnosti, jako jsou údaje PNR o cestujících, které vedly k ověřené pozitivní shodě, umožňující se domnívat, že by někteří cestující mohli představovat riziko v oblasti teroristických trestných činů nebo závažné trestné činnosti, zdá se být uchovávání jejich údajů PNR i po uplynutí počáteční doby přípustné [obdobně viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 207 a citovaná judikatura].

260    Identifikace těchto objektivních skutečností totiž může vytvořit souvislost s účely, které sleduje zpracování podle směrnice PNR, takže uchovávání údajů PNR týkajících se těchto cestujících je odůvodněné po maximální dobu připuštěnou uvedenou směrnicí, tj. pět let.

261    V projednávané věci, vzhledem k tomu, že právní předpisy, o které se jedná ve věci v původním řízení, podle všeho stanoví obecnou dobu uchovávání údajů PNR v délce pěti let, která se vztahuje bez rozdílu na všechny cestující, včetně těch, u nichž ani předběžné posouzení uvedené v čl. 6 odst. 2 písm. a) směrnice PNR, ani případné kontroly provedené během počáteční šestiměsíční doby, ani žádné jiné okolnosti neodhalily existenci objektivních skutečností, které by mohly prokázat riziko teroristických trestných činů nebo závažné trestné činnosti, mohou tyto právní předpisy porušovat čl. 12 odst. 1 této směrnice, vykládaný ve světle článků 7 a 8, jakož i čl. 52 odst. 1 Listiny, ledaže by byl možný jejich výklad v souladu s těmito ustanoveními, což přísluší ověřit předkládajícímu soudu.

262    S ohledem na výše uvedené úvahy je třeba odpovědět na osmou otázku tak, že čl. 12 odst. 1 směrnice PNR, vykládaný ve světle článků 7 a 8, jakož i čl. 52 odst. 1 Listiny, musí být vykládán v tom smyslu, že brání právním předpisům, které stanoví obecnou dobu uchovávání údajů PNR v délce pěti let, která se vztahuje bez rozdílu na všechny cestující, včetně těch, u nichž ani předběžné posouzení uvedené v čl. 6 odst. 2 písm. a) této směrnice, ani případné kontroly provedené během šestiměsíční doby uvedené v čl. 12 odst. 2 uvedené směrnice, ani žádné jiné okolnosti neodhalily existenci objektivních skutečností, které by mohly prokázat riziko teroristických trestných činů nebo závažné trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících.

F.      K deváté otázce písm. a)

263    Podstatou deváté otázky písm. a) předkládajícího soudu je platnost směrnice API s ohledem na čl. 3 odst. 2 SEU a článek 45 Listiny, když předkládající soud vychází z předpokladu, že povinnosti, které tato směrnice zavádí, se vztahují na všechny let uvnitř EU.

264    Jak však uvedl generální advokát v bodě 277 svého stanoviska a jak uvedly Rada, Komise a několik vlád, tento předpoklad je chybný.

265    Článek 3 odst. 1 směrnice API stanoví, že členské státy přijmou opatření nezbytná ke stanovení povinnosti dopravců předávat na žádost orgánů příslušných pro provádění kontrol osob na vnějších hranicích před ukončením odbavování informace o osobách, které dopravují na hraniční přechody, jimiž tyto osoby vstoupí na území členského státu. Tyto údaje se předávají podle čl. 6 odst. 1 uvedené směrnice orgánům příslušným pro provádění kontrol osob na vnější hranici, přes kterou cestující vstoupí na toto území a jsou zpracovány za podmínek stanovených v tomto ustanovení.

266    Z těchto ustanovení, vykládaných ve světle čl. 2 písm. a), b) a d) směrnice API, která definují pojmy „dopravce“, „vnější hranice“ a „hraniční přechod“, přitom jasně vyplývá, že tato směrnice ukládá leteckým dopravcům povinnost předávat údaje uvedené v čl. 3 odst. 2 uvedené směrnice orgánům příslušným pro provádění kontrol na vnější hranici pouze v případě letů přepravujících cestující na hraniční přechod určený k přechodu vnějších hranic členských států se třetími zeměmi a stanoví pouze zpracování údajů týkajících se těchto letů.

267    Naproti tomu tato směrnice neukládá žádnou povinnost, pokud jde o údaje cestujících, kteří cestují na letech překračujících pouze vnitřní hranice mezi členskými státy.

268    Je třeba dodat, že směrnice PNR tím, že mezi údaje PNR zahrnula, jak vyplývá z jejího bodu 9 odůvodnění a čl. 8 odst. 2, údaje uvedené v čl. 3 odst. 2 směrnice API shromážděné v souladu s touto směrnicí a uchovávané některými leteckými dopravci, a tím, že členským státům přiznala možnost uplatňovat směrnici PNR na základě jejího článku 2 na lety uvnitř EU, které tyto státy vymezí, nezměnila ani dosah ustanovení směrnice API, ani omezení vyplývající z této směrnice.

269    S ohledem na výše uvedené je třeba odpovědět na devátou otázku písm. a) tak, že směrnice API musí být vykládána v tom smyslu, že se nevztahuje na lety uvnitř EU.

G.      K deváté otázce písm. b)

270    I když předkládající soud ve své deváté otázce pod písm. b) odkazuje na směrnici API, vykládanou ve spojení s čl. 3 odst. 2 SEU a článkem 45 Listiny, je z žádosti o rozhodnutí o předběžné otázce zřejmé, že se tento soud zabývá tím, zda je systém předávání a zpracování údajů o cestujících zavedený zákonem ze dne 25. prosince 2016 slučitelný s volným pohybem osob a se zrušením kontrol na vnitřních hranicích stanovenými unijním právem, neboť tento systém se vztahuje nejen na letecké dopravce, ale také na železniční, pozemní, a dokonce i námořní dopravu z Belgie nebo do Belgie, která se uskutečňuje v rámci Unie bez překročení vnějších hranic se třetími zeměmi.

271    Jak však vyplývá z bodů 265 až 269 tohoto rozsudku, směrnice API, která se nevztahuje na lety uvnitř EU a neukládá povinnost předávat a zpracovávat údaje o cestujících, kteří cestují letecky nebo jiným dopravním prostředkem uvnitř Unie bez překročení vnějších hranic se třetími zeměmi, není pro odpověď na tuto otázku relevantní.

272    Naopak, zatímco podle čl. 67 odst. 2 SFEU Unie zajišťuje, aby nedocházelo ke kontrolám osob na vnitřních hranicích, článek 2 směrnice PNR, z něhož belgický zákonodárce vycházel při přijímání zákona ze dne 25. prosince 2016, o který se jedná ve věci v původním řízení, jak vyplývá z žádosti o rozhodnutí o předběžné otázce, umožňuje členským státům, aby používaly tuto směrnici na lety uvnitř EU.

273    Za těchto okolností je třeba proto, aby byla předkládajícímu soudu poskytnuta užitečná odpověď, devátou otázku pod písm. b) přeformulovat, a to tak, že její podstatou je, zda unijní právo, zejména článek 2 směrnice PNR, vykládaný ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU a článku 45 Listiny, musí být vykládáno v tom smyslu, že brání vnitrostátním právním předpisům, které stanoví systém předávání údajů PNR z letů a přepravy jinými prostředky uvnitř Unie, které pocházejí z členského státu, který přijal tyto předpisy, směřují do něj nebo přes něj, dopravci a poskytovateli cestovních služeb a jejich zpracování příslušnými orgány.

274    Článek 45 Listiny především zakotvuje volný pohyb osob, který je mimoto jednou ze základních svobod vnitřního trhu [v tomto smyslu viz rozsudek ze dne 22. června 2021, Ordre des barreaux francophones et germanophone a další (Preventivní opatření k vyhoštění), C‑718/19, EU:C:2021:505, bod 54].

275    Tento článek zaručuje v odstavci 1 právo každého občana Unie svobodně se pohybovat a pobývat na území členských států, které podle Vysvětlivek k Listině základních práv (Úř. věst. 2007, C 303, s. 17) odpovídá právu zaručenému v čl. 20 odst. 2 prvním pododstavci písm. a) SFEU a je vykonáváno v souladu s čl. 20 odst. 2 druhým pododstavcem SFEU a s čl. 52 odst. 2 Listiny za podmínek a v rámci omezení vymezených ve Smlouvách a opatřeních přijatých na jejich základě.

276    Dále, podle čl. 3 odst. 2 SEU Unie poskytuje svým občanům prostor svobody, bezpečnosti a práva bez vnitřních hranic, ve kterém je zaručen volný pohyb osob ve spojení s vhodnými opatřeními týkajícími se ochrany vnějších hranic, azylu, přistěhovalectví a předcházení a potírání zločinnosti. Stejně tak v souladu s čl. 67 odst. 2 SFEU Unie zajišťuje, že na vnitřních hranicích neprobíhá kontrola osob, a rozvíjí společnou politiku zejména v oblasti ochrany vnějších hranic.

277    V souladu s ustálenou judikaturou Soudního dvora platí, že vnitrostátní právní úprava, která znevýhodňuje některé příslušníky členského státu pouze proto, že využili svobody pohybu a pobytu v jiném členském státě, představuje omezení svobod, které čl. 45 odst. 1 Listiny přiznává každému občanu Unie (v tomto smyslu, pokud jde o čl. 21 odst. 1 SFEU, viz rozsudky ze dne 8. června 2017, Freitag, C‑541/15, EU:C:2017:432, bod 35 a citovaná judikatura, jakož i ze dne 19. listopadu 2020, ZW, C‑454/19, EU:C:2020:947, bod 30).

278    Takové vnitrostátní právní předpisy, jako jsou právní předpisy dotčené v původním řízení, které uplatňují systém stanovený směrnicí PNR nejen na lety mimo EU, ale v souladu s čl. 2 odst. 1 této směrnice také na lety uvnitř EU a nad rámec toho, co je stanoveno v tomto ustanovení, na přepravu jinými prostředky uvnitř Unie, mají za následek systematické a nepřetržité předávání a zpracovávání údajů PNR o každém cestujícím, který cestuje těmito prostředky uvnitř Unie v rámci výkonu svobody pohybu.

279    Jak bylo konstatováno v bodech 98 až 111 tohoto rozsudku, předávání a zpracování údajů o cestujících na letech mimo EU a uvnitř EU vyplývající ze systému zavedeného směrnicí PNR nesou s sebou závažné zásahy do základních práv subjektů údajů zakotvených v článcích 7 a 8 Listiny. Závažnost tohoto zásahu se zvyšuje v případě, že je uplatňování tohoto systému rozšířeno na jiné dopravní prostředky uvnitř Unie. Takové zásahy mohou ze stejných důvodů, jako jsou důvody uvedené v těchto bodech, znevýhodnit, a tedy odradit od jejich výkonu svobody pohybu ve smyslu článku 45 Listiny, státní příslušníky členských států, které přijaly takové právní předpisy, jakož i obecně občany Unie cestující těmito dopravními prostředky v rámci Unie z těchto členských států nebo do nich, takže uvedené právní předpisy obsahují omezení této základní svobody.

280    V souladu s ustálenou judikaturou platí, že omezení svobody pohybu osob může být odůvodněné, pokud se zakládá na objektivních hlediscích obecného zájmu a je přiměřené cíli legitimně sledovanému vnitrostátním právem. Opatření je přiměřené tehdy, pokud je způsobilé zajistit uskutečnění sledovaného cíle a přitom nepřekračuje meze toho, co je k jeho dosažení nezbytné (v tomto smyslu viz rozsudek ze dne 5. června 2018, Coman a další, C‑673/16, EU:C:2018:385, bod 41, jakož i citovaná judikatura).

281    Je třeba dodat, že vnitrostátní opatření, které je způsobilé bránit volnému pohybu osob, může být odůvodněné jen tehdy, je-li v souladu se základními právy zaručenými Listinou, jejichž dodržování Soudní dvůr zajišťuje (rozsudek ze dne 14. prosince 2021, Stolična obština, rajon „Pančarevo“, C‑490/20, EU:C:2021:1008, bod 58 a citovaná judikatura).

282    Zejména v souladu s judikaturou připomenutou v bodech 115 a 116 tohoto rozsudku nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy. V tomto ohledu možnost členských států odůvodnit omezení základního práva zaručeného v čl. 45 odst. 1 Listiny musí být posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný této závažnosti.

283    Jak bylo připomenuto v bodě 122 tohoto rozsudku, cíl boje proti teroristickým trestným činům a závažné trestné činnosti, který sleduje směrnice PNR, je nepochybně cílem obecného zájmu Unie.

284    Pokud jde o to, zda jsou vnitrostátní právní předpisy přijaté za účelem provedení směrnice PNR, které rozšiřují systém stanovený touto směrnicí na lety uvnitř EU a na jiné druhy přepravy v Unii, způsobilé k dosažení sledovaného cíle, z informací obsažených ve spisu, který má Soudní dvůr k dispozici, vyplývá, že použití údajů PNR umožňuje identifikovat osoby, které nebyly podezřelé z účasti na teroristických trestných činech nebo závažné trestné činnosti a které by měly být podrobeny důkladnějšímu přezkumu, takže se tyto právní předpisy jeví jako způsobilé k dosažení cíle boje proti teroristickým trestným činům a závažné trestné činnosti.

285    Pokud jde o nezbytnost takových právních předpisů, musí být výkon možnosti členských států stanovené v čl. 2 odst. 1 směrnice PNR, vykládaného ve světle článků 7 a 8 Listiny, omezen na to, co je nezbytně nutné k dosažení tohoto cíle s ohledem na požadavky uvedené v bodech 163 až 174 tohoto rozsudku.

286    Tyto požadavky platí tím spíše v případě, kdy je systém stanovený směrnicí PNR používán na jiné dopravní prostředky uvnitř Unie.

287    Kromě toho, jak vyplývá z informací obsažených v žádosti o rozhodnutí o předběžné otázce, vnitrostátní právní předpisy, o které se jedná ve věci v původním řízení, provádí v jediném aktu směrnici PNR, směrnici API a částečně i směrnici 2010/65. Za tímto účelem stanoví použití systému stanoveného směrnicí PNR na všechny lety uvnitř EU a na železniční, pozemní, a dokonce i námořní dopravu uvnitř Unie, která směřuje z Belgie, do Belgie a přes Belgii, a vztahuje se rovněž na poskytovatele cestovních služeb, a současně sleduje i jiné cíle než pouze boj proti teroristickým trestným činům a závažné trestné činnosti. Podle týchž informací se zdá, že všechny údaje shromážděné v rámci systému zřízeného těmito vnitrostátními právními předpisy jsou uchovávány útvarem pro informace o cestujících v jediné databázi zahrnující údaje PNR, včetně údajů uvedených v čl. 3 odst. 2 směrnice API, o všech cestujících v dopravě, na kterou se uvedené právní předpisy vztahují.

288    V tomto ohledu v rozsahu, v němž předkládající soud ve své deváté otázce pod písm. b) odkázal na cíl zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví, který je cílem směrnice API, je třeba připomenout, že, jak vyplývá z bodů 233, 234 a 237 tohoto rozsudku, výčet cílů, které sleduje zpracování údajů PNR podle směrnice PNR, je taxativní, takže vnitrostátní právní předpisy, které připouští zpracování údajů PNR shromážděných v souladu s touto směrnicí pro jiné účely, než jsou v ní stanoveny, a sice zejména pro účely zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví, jsou v rozporu s článkem 6 uvedené směrnice, vykládaného ve světle Listiny.

289    Kromě toho, jak vyplývá z bodu 235 tohoto rozsudku, členské státy nemohou vytvořit jedinou databázi obsahující jak údaje PNR shromážděné podle směrnice PNR a týkající se letů mimo EU a uvnitř EU, tak údaje o cestujících z jiných dopravních prostředků, jakož i údaje uvedené v čl. 3 odst. 2 směrnice API, zejména pokud lze do této databáze nahlížet nejen za účelem dosažení účelů uvedených v čl. 1 odst. 2 směrnice PNR, ale i dalších účelů.

290    Konečně a v každém případě, jak uvedl generální advokát v bodě 281 svého stanoviska, články 28 až 31 zákona ze dne 25. prosince 2016 mohou být slučitelné s unijním právem a zvláště s čl. 67 odst. 2 SFEU pouze tehdy, pokud budou vykládány a používány v tom smyslu, že se týkají pouze předávání a zpracování údajů API o těch cestujících, kteří překračují vnější hranice Belgie se třetími zeměmi. Opatření, kterým členský stát rozšiřuje uplatnění ustanovení směrnice API za účelem zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví na lety uvnitř EU a tím spíše na jinou přepravu cestujících do Unie z tohoto členského státu nebo přes něj, zejména povinnost předávat údaje o cestujících stanovená v čl. 3 odst. 1 této směrnice, totiž znamenají pro příslušné orgány možnost při překračování vnitřních hranic tohoto členského státu systematicky ověřovat, zda tito cestující mají oprávnění vstoupit na jeho území nebo jej opustit, a měla by tak stejný účinek jako kontroly prováděné na vnějších hranicích se třetími zeměmi.

291    S ohledem na všechny tyto úvahy je třeba na devátou otázku písm. b) odpovědět tak, že unijní právo, zejména článek 2 směrnice PNR, vykládaný ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU a článku 45 Listiny, musí být vykládáno v tom smyslu, že brání:

–        vnitrostátním právním předpisům, které stanoví v případě, že neexistuje skutečná a aktuální či předvídatelná teroristická hrozba, které čelí dotčený členský stát, systém předávání údajů PNR o všech letech uvnitř EU a přepravě jinými prostředky uvnitř Unie z tohoto členského státu, do něj nebo přes něj procházejí, leteckými dopravci a poskytovateli cestovních služeb, a jejich zpracování příslušnými orgány za účelem boje proti teroristickým trestným činům a závažné trestné činnosti. V takové situaci musí být použití systému zavedeného směrnicí PNR omezeno na předávání a zpracování údajů PNR o letech nebo přepravě, které se týkají zejména určitých tras nebo cestovních modelů nebo určitých letišť, nádraží nebo námořních přístavů, u nichž existují náznaky, které mohou odůvodnit takové použití. Dotčenému členskému státu přísluší, aby vybral lety uvnitř EU nebo přepravu jinými prostředky uvnitř Unie, u nichž takové náznaky existují, a pravidelně přezkoumával uvedené použití s ohledem na vývoj podmínek, které odůvodnily jejich výběr, aby bylo zajištěno, že použití tohoto systému na tyto lety nebo tuto přepravu bude vždy omezeno na to, co je nezbytně nutné a

–        vnitrostátním právním předpisům, které stanoví takový systém předávání a zpracování těchto údajů za účelem zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví.

H.      K desáté otázce

292    Podstatou desáté otázky předkládajícího soudu je, zda unijní právo musí být vykládáno v tom smyslu, že vnitrostátní soud může časově omezit účinky prohlášení protiprávnosti, které je povinen učinit podle vnitrostátního práva, pokud jde o vnitrostátní právní předpisy, která ukládají leteckým, železničním a pozemním dopravcům, jakož i poskytovatelům cestovních služeb předávat údaje PNR a stanoví zpracování a uchovávání těchto údajů, která jsou neslučitelná s ustanoveními směrnice PNR, vykládanými ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU, článků 7, 8 a 45 a čl. 52 odst. 1 Listiny.

293    Zásada přednosti unijního práva zakotvuje nadřazenost unijního práva nad právem členských států. Tato zásada tedy ukládá všem orgánům členských států povinnost zajistit plný účinek jednotlivých unijních norem, přičemž právo členských států nemůže narušovat účinek přiznaný těmto jednotlivým normám na území uvedených států. Z této zásady plyne, že pokud vnitrostátní soud, jež má v rámci svých pravomocí uplatnit ustanovení unijního práva, nemůže vyložit vnitrostátní právní úpravu v souladu s požadavky tohoto práva, má povinnost zajistit plný účinek těchto ustanovení tak, že na základě své vlastní pravomoci podle potřeby upustí od použití jakéhokoli odporujícího ustanovení vnitrostátních právních předpisů, i když je pozdějšího data, aniž musí nejprve žádat o jeho odstranění legislativní cestou nebo jakýmkoliv jiným ústavním postupem či na toto odstranění čekat (rozsudky ze dne 15. července 1964, Costa, 6/64, EU:C:1964:66, s. 1159 a 1160; ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 214 a 215, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 118).

294    Jedině Soudní dvůr může výjimečně a z naléhavých důvodů právní jistoty přiznat dočasné pozastavení vylučovacího účinku, který má unijní právní pravidlo vůči vnitrostátnímu právu, které je v rozporu s tímto pravidlem. Takové omezení časové působnosti výkladu tohoto práva ze strany Soudního dvora lze připustit pouze v samotném rozsudku, kterým se rozhoduje o požadovaném výkladu. Pokud by byly vnitrostátní soudy oprávněny přiznat vnitrostátním ustanovením přednost, byť dočasnou, před unijním právem, s nímž jsou v rozporu, byla by tím narušena přednost a jednotné používání unijního práva (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 119, jakož i citovaná judikatura).

295    Na rozdíl od opomenutí takové procesní povinnosti, jako je předběžné posouzení vlivu záměru na životní prostředí, o které se jednalo ve věci, v níž byl vydán rozsudek ze dne 29. července 2019, Inter-Environnement Wallonie a Bond Beter Leefmilieu Vlaanderen (C‑411/17, EU:C:2019:622, body 175, 176, 179 a 181), v němž Soudní dvůr připustil dočasné pozastavení tohoto vylučovacího účinku, nelze porušení ustanovení směrnice PNR, vykládaná ve světle článků 7, 8 a 45 a čl. 52 odst. 1 Listiny, napravit postupem srovnatelným s postupem přijatým v uvedené věci. Zachování účinků takových vnitrostátních právních předpisů, jako je zákon ze dne 25. prosince 2016, by totiž znamenalo, že by tyto právní předpisy nadále ukládaly leteckým i jiným dopravcům a poskytovatelům cestovních služeb povinnosti, které jsou v rozporu s unijním právem a znamenají závažné zásahy do základních práv osob, jejichž údaje byly předány, uchovávány a zpracovány, jakož i omezení volného pohybu těchto osob, která jdou nad rámec toho, co je nezbytné (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 122 a citovaná judikatura).

296    Předkládající soud tudíž nemůže časově omezit účinky prohlášení neplatnosti, které mu přísluší podle vnitrostátního práva ve vztahu k vnitrostátním právním předpisům dotčeným v původním řízení (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 123 a citovaná judikatura).

297    Konečně, pokud se předkládající soud zabývá dopadem určení případné neslučitelnosti zákona ze dne 25. prosince 2016 s ustanoveními směrnice PNR vykládanými ve světle Listiny na přípustnost a použití důkazů a informací získaných pomocí údajů předaných dotčenými dopravci a poskytovateli cestovních služeb v rámci trestních řízení, stačí odkázat na související judikaturu Soudního dvora, konkrétně na zásady připomenuté v bodech 41 až 44 rozsudku ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci) (C‑746/18, EU:C:2021:152), z nichž vyplývá, že tato přípustnost je podle zásady procesní autonomie členských států věcí vnitrostátního práva, s výhradou dodržení zejména zásad rovnocennosti a efektivity (obdobně viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 127).

298    S ohledem na výše uvedené úvahy je třeba na desátou otázku odpovědět tak, že unijní právo musí být vykládáno v tom smyslu, že brání tomu, aby vnitrostátní soud časově omezil účinky prohlášení protiprávnosti, které je povinen učinit podle vnitrostátního práva, pokud jde o vnitrostátní právní předpisy, které ukládají leteckým, železničním a pozemním dopravcům, jakož i poskytovatelům cestovních služeb předávat údaje PNR a stanoví zpracování a uchovávání těchto údajů, která jsou neslučitelná s ustanoveními směrnice PNR, vykládanými ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU, článků 7, 8 a 45 a čl. 52 odst. 1 Listiny. Přípustnost důkazů získaných tímto způsobem je v souladu se zásadou procesní autonomie členských států věcí vnitrostátního práva, přičemž musí být dodrženy zásady rovnocennosti a efektivity.

IV.    K nákladům řízení

299    Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

1)      Článek 2 odst. 2 písm. d) a článek 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů) musí být vykládány v tom smyslu, že se toto nařízení vztahuje na zpracování osobních údajů stanovené vnitrostátními právními předpisy, které provádějí do vnitrostátního práva současně ustanovení směrnice Rady 2004/82/ES ze dne 29. dubna 2004 o povinnosti dopravců předávat údaje o cestujících, směrnice Evropského parlamentu a Rady 2010/65/EU ze dne 20. října 2010 o ohlašovacích formalitách lodí připlouvajících do přístavů členských států nebo odplouvajících z nich a o zrušení směrnice 2002/6/ES, a směrnice Evropského parlamentu a Rady (EU) 2016/681 ze dne 27. dubna 2016 o používání údajů jmenné evidence cestujících (PNR) pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, pokud jde jednak o zpracování údajů prováděná soukromými subjekty a jednak o zpracování údajů prováděná orgány veřejné moci, která spadají pouze či rovněž do působnosti směrnice 2004/82 nebo směrnice 2010/65. Naproti tomu se uvedené nařízení nevztahuje na zpracování údajů stanovená takovými právními předpisy, která spadají pouze pod směrnici 2016/681 a která provádí útvar pro informace o cestujících nebo příslušné orgány pro účely uvedené v čl. 1 odst. 2 této směrnice.

2)      Jelikož výklad směrnice 2016/681, ve světle článků 7, 8, 21 a čl. 52 odst. 1 Listiny základních práv Evropské unie zajišťuje soulad této směrnice s těmito články Listiny základních práv, přezkum druhé až čtvrté a šesté předběžné otázky neodhalil žádnou skutečnost, která by měla vliv na platnost uvedené směrnice.

3)      Článek 6 směrnice 2016/681, ve spojení s články 7, 8 a čl. 52 odst. 1 Listiny základních práv, musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, které připouští zpracování údajů jmenné evidence cestujících (údaje PNR) shromážděných v souladu s touto směrnicí pro jiné účely, než jsou účely výslovně uvedené v čl. 1 odst. 2 uvedené směrnice.

4)      Článek 12 odst. 3 písm. b) směrnice 2016/681 musí být vykládán v tom smyslu, že brání vnitrostátním právním předpisům, podle nichž orgán zřízený jako útvar pro informace o cestujících má rovněž postavení příslušného vnitrostátního orgánu, který může povolit zpřístupnění údajů PNR po uplynutí doby šesti měsíců od předání těchto údajů útvaru pro informace o cestujících.

5)      Článek 12 odst. 1 směrnice 2016/681, vykládaný ve světle článků 7, 8 a čl. 52 odst. 1 Listiny základních práv, musí být vykládán v tom smyslu, že brání právním předpisům, které stanoví obecnou dobu uchovávání údajů PNR v délce pěti let, která se vztahuje bez rozdílu na všechny cestující, včetně těch, u nichž ani předběžné posouzení uvedené v čl. 6 odst. 2 písm. a) této směrnice, ani případné kontroly provedené během šestiměsíční doby uvedené v čl. 12 odst. 2 uvedené směrnice, ani žádné jiné okolnosti neodhalily existenci objektivních skutečností, které by mohly prokázat riziko teroristických trestných činů nebo závažné trestné činnosti, které mají alespoň nepřímou objektivní souvislost s leteckou přepravou cestujících.

6)      Směrnice 2004/82 musí být vykládána v tom smyslu, že se nevztahuje na plánované nebo neplánované lety provozované leteckým dopravcem, které odlétají z území členského státu a mají přistát na území jednoho nebo několika členských států bez mezipřistání na území třetí země (lety uvnitř EU).

7)      Unijní právo, zejména článek 2 směrnice 2016/681, vykládaný ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU a článku 45 Listiny základnách práv, musí být vykládáno v tom smyslu, že brání:

–        vnitrostátním právním předpisům, které stanoví v případě, že neexistuje skutečná a aktuální či předvídatelná teroristická hrozba, které čelí dotčený členský stát, systém předávání údajů PNR o všech letech uvnitř EU a přepravě jinými prostředky uvnitř Unie z tohoto členského státu, do něj nebo přes něj procházejí, leteckými dopravci a poskytovateli cestovních služeb, a jejich zpracování příslušnými orgány za účelem boje proti teroristickým trestným činům a závažné trestné činnosti. V takové situaci musí být použití systému zavedeného směrnicí 2016/681 omezeno na předávání a zpracování údajů PNR o letech nebo přepravě, které se týkají zejména určitých tras nebo cestovních modelů nebo určitých letišť, nádraží nebo námořních přístavů, u nichž existují náznaky, které mohou odůvodnit takové použití. Dotčenému členskému státu přísluší, aby vybral lety uvnitř EU nebo přepravu jinými prostředky uvnitř Unie, u nichž takové náznaky existují, a pravidelně přezkoumával uvedené použití s ohledem na vývoj podmínek, které odůvodnily jejich výběr, aby bylo zajištěno, že použití tohoto systému na tyto lety nebo tuto přepravu bude vždy omezeno na to, co je nezbytně nutné a

–        vnitrostátním právním předpisům, které stanoví takový systém předávání a zpracování těchto údajů za účelem zlepšení hraničních kontrol a boje proti nedovolenému přistěhovalectví.

8)      Unijní právo musí být vykládáno v tom smyslu, že brání tomu, aby vnitrostátní soud časově omezil účinky prohlášení protiprávnosti, které je povinen učinit podle vnitrostátního práva, pokud jde o vnitrostátní právní předpisy, která ukládají leteckým, železničním a pozemním dopravcům, jakož i poskytovatelům cestovních služeb předávat údaje PNR a stanoví zpracování a uchovávání těchto údajů, která jsou neslučitelná s ustanoveními směrnice 2016/681, vykládanými ve světle čl. 3 odst. 2 SEU, čl. 67 odst. 2 SFEU, článků 7, 8 a 45 a čl. 52 odst. 1 Listiny základních práv. Přípustnost důkazů získaných tímto způsobem je v souladu se zásadou procesní autonomie členských států věcí vnitrostátního práva, přičemž musí být dodrženy zejména zásady rovnocennosti a efektivity.

Podpisy.

*–      Jednací jazyk: francouzština.