UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)

21 päivänä kesäkuuta 2022 (*)

Sisällys

I  Asiaa koskevat oikeussäännöt

A  Unionin oikeus

1.  Direktiivi 95/46/EY

2.  API-direktiivi

3.  Direktiivi 2010/65

4.  Yleinen tietosuoja-asetus

5.  Direktiivi 2016/680

6.  PNR-direktiivi

7.  Puitepäätös 2002/475

B  Belgian oikeus

1.  Perustuslaki

2.  25.12.2016 annettu laki

II  Pääasia ja ennakkoratkaisukysymykset

III  Ennakkoratkaisukysymysten tarkastelu

A  Ensimmäinen kysymys

B  Toinen, kolmas, neljäs ja kuudes kysymys

1.  PNR-direktiivistä johtuva puuttuminen perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin

2.  PNR-direktiivistä johtuvien perusoikeuksiin puuttumisten oikeuttaminen

a)  Laillisuusperiaatteen ja kyseessä olevien perusoikeuksien keskeisen sisällön kunnioittaminen

b)  Yleisen edun mukainen tavoite ja PNR-tietojen käsittelyjen soveltuvuus tähän tavoitteeseen nähden

c)  PNR-direktiivistä johtuvien puuttumisten tarpeellisuus

1)  PNR-direktiivissä tarkoitetut lentomatkustajien tiedot

2)  PNR-tietojen käsittelyjen tarkoitukset

3)  Yhteys PNR-tietojen ja näiden tietojen käsittelyjen tarkoituksen välillä

4)  Asianomaiset lentomatkustajat ja lennot

5)  PNR-tietojen etukäteisarviointi automaattisten käsittelyjen avulla

i)  PNR-tietojen vertailu tietokantoihin

ii)  PNR-tietojen käsittely ennalta määritettyjen kriteerien mukaisesti

iii)  PNR-tietojen automaattiseen käsittelyyn liittyvät suojatoimet

6)  PNR-tietojen luovuttaminen ja myöhempi arviointi

C  Viides kysymys

D  Seitsemäs kysymys

E  Kahdeksas kysymys

F  Yhdeksännen kysymyksen a kohta

G  Yhdeksännen kysymyksen b kohta

H  Kymmenes kysymys

Oikeudenkäyntikulut

Ennakkoratkaisupyyntö – Henkilötietojen käsittely – Matkustajarekisteritiedot (PNR) – Asetus (EU) 2016/679 – 2 artiklan 2 kohdan d alakohta – Soveltamisala – Direktiivi (EU) 2016/681 – Euroopan unionin ja kolmansien maiden välillä suoritettujen lentojen matkustajia koskevien matkustajarekisteritietojen käyttö – Mahdollisuus unionissa suoritettujen lentojen matkustajia koskevien tietojen käyttämiseen – Näiden tietojen automaattinen käsittely – Säilytysaika – Terrorismirikosten ja vakavan rikollisuuden torjunta – Pätevyys – Euroopan unionin perusoikeuskirja – 7, 8 ja 21 artikla sekä 52 artiklan 1 kohta – Kansallinen lainsäädäntö, jolla matkustajatietorekisterin käyttö ulotetaan koskemaan muutakin liikennettä unionissa – Vapaa liikkuvuus unionissa – Perusoikeuskirja – 45 artikla

Asiassa C-817/19,

jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Cour constitutionnelle (perustuslakituomioistuin, Belgia) on esittänyt 17.10.2019 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 31.10.2019, saadakseen ennakkoratkaisun asiassa

Ligue des droits humains ASBL

vastaan

Conseil des ministres,

UNIONIN TUOMIOISTUIN (suuri jaosto),

toimien kokoonpanossa: presidentti K. Lenaerts, jaostojen puheenjohtajat A. Arabadjiev, S. Rodin, I. Jarukaitis ja N. Jääskinen sekä tuomarit T. von Danwitz (esittelevä tuomari), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra, L. S. Rossi, A. Kumin ja N. Wahl,

julkisasiamies: G. Pitruzzella,

kirjaaja: hallintovirkamies M. Krausenböck,

ottaen huomioon kirjallisessa käsittelyssä ja 13.7.2021 pidetyssä istunnossa esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–        Ligue des droits humains, edustajanaan C. Forget, avocate,

–        Belgian hallitus, asiamiehinään P. Cottin, J.-C. Halleux, C. Pochet ja M. Van Regemorter, avustajinaan C. Caillet, advocaat, E. Jacubowitz, avocat, sekä G. Ceuppens, V. Dethy ja D. Vertongen,

–        Tšekin hallitus, asiamiehinään T. Machovičová, O. Serdula, M. Smolek ja J. Vláčil,

–        Tanskan hallitus, asiamiehinään M. Jespersen, J. Nymann-Lindegren, V. Pasternak Jørgensen ja M. Søndahl Wolff,

–        Saksan hallitus, asiamiehinään D. Klebs ja J. Möller,

–        Viron hallitus, asiamiehenään N. Grünberg,

–        Irlanti, asiamiehinään M. Browne, A. Joyce ja J. Quaney, avustajanaan D. Fennelly, BL,

–        Espanjan hallitus, asiamiehenään L. Aguilera Ruiz,

–        Ranskan hallitus, asiamiehinään D. Dubois, E. de Moustier ja T. Stehelin,

–        Kyproksen hallitus, asiamiehenään E. Neophytou,

–        Latvian hallitus, asiamiehinään E. Bārdiņš, K. Pommere ja V. Soņeca,

–        Alankomaiden hallitus, asiamiehinään K. Bulterman, A. Hanje, J. Langer ja C. S. Schillemans,

–        Itävallan hallitus, asiamiehinään G. Kunnert, A. Posch ja J. Schmoll,

–        Puolan hallitus, asiamiehenään B. Majczyna,

–        Slovakian hallitus, asiamiehenään B. Ricziová,

–        Suomen hallitus, asiamiehinään A. Laine ja H. Leppo,

–        Euroopan parlamentti, asiamiehinään O. Hrstková Šolcová ja P. López-Carceller,

–        Euroopan unionin neuvosto, asiamiehinään J. Lotarski, N. Rouam, E. Sitbon ja C. Zadra,

–        Euroopan komissio, asiamiehinään D. Nardi ja M. Wasmeier,

–        Euroopan tietosuojavaltuutettu, asiamiehinään P. Angelov, A. Buchta, F. Coudert ja C.-A. Marnier,

–        Euroopan unionin perusoikeusvirasto, asiamiehinään L. López, T. Molnar, M. Nespor ja M. O’Flaherty,

kuultuaan julkisasiamiehen 27.1.2022 pidetyssä istunnossa esittämän ratkaisuehdotuksen,

on antanut seuraavan

tuomion

1        Ennakkoratkaisupyyntö koskee pääasiallisesti

–        luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 2 artiklan 2 kohdan d alakohdan ja 23 artiklan, liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista 29.4.2004 annetun neuvoston direktiivin 2004/82/EY (EUVL 2004, L 261, s. 24) (jäljempänä API-direktiivi) sekä jäsenvaltioiden satamiin saapuvia ja/tai satamista lähteviä aluksia koskevista ilmoitusmuodollisuuksista ja direktiivin 2002/6/EY kumoamisesta 20.10.2010 annetun Euroopan parlamentin ja neuvoston direktiivin 2010/65/EU (EUVL 2010, L 283, s. 1) tulkintaa

–        matkustajarekisteritietojen (PNR) käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/681 (EUVL 2016, L 119, s. 132) (jäljempänä PNR-direktiivi) 3 artiklan 4 alakohdan, 6 ja 12 artiklan ja liitteen I tulkintaa ja pätevyyttä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7 ja 8 artiklan ja 52 artiklan 1 kohdan kannalta

–        API-direktiivin tulkintaa ja pätevyyttä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kannalta.

2        Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat yhtäältä Ligue des droits humains ja toisaalta Conseil des ministres (Belgian hallitus) ja joka koskee matkustajatietojen käsittelystä 25.12.2016 annetun lain lainmukaisuutta.

I       Asiaa koskevat oikeussäännöt

A       Unionin oikeus

1.     Direktiivi 95/46/EY

3        Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi 95/46/EY (EYVL 1995, L 281, s. 31) on kumottu 25.5.2018 lähtien yleisellä tietosuoja-asetuksella. Kyseisen direktiivin 3 artiklan 2 kohdassa säädettiin seuraavaa:

”Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,

–      joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,

–      jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.”

2.     API-direktiivi

4        API-direktiivin johdanto-osan 1, 7, 9 ja 12 perustelukappaleessa todetaan seuraavaa:

”(1)      Laittoman maahanmuuton torjumiseksi tehokkaasti ja rajatarkastusten parantamiseksi on erittäin tärkeää, että kaikissa jäsenvaltioissa säädetään velvollisuuksia jäsenvaltioiden alueelle matkustajia kuljettaville lentoliikenteen harjoittajille. Tämän tavoitteen vaikutusten tehostamiseksi velvollisuutensa laiminlyöneille liikenteenharjoittajille jäsenvaltioissa tällä hetkellä määrättävät sakkorangaistukset olisi lisäksi mahdollisuuksien mukaan yhdenmukaistettava ottaen tällöin huomioon jäsenvaltioiden oikeusjärjestelmien ja ‑käytäntöjen eroavuudet.

– –

(7)      Liikenteenharjoittajille tämän direktiivin nojalla asetettavat velvollisuudet täydentävät velvollisuuksia, jotka on otettu käyttöön 14 päivänä kesäkuuta 1985 tehdyn Schengenin sopimuksen soveltamisesta vuonna 1990 tehdyn Schengenin yleissopimuksen 26 artiklan määräysten, sellaisina kuin ne ovat täydennettyinä [14 päivänä kesäkuuta 1985 tehdyn Schengenin sopimuksen soveltamisesta tehdyn yleissopimuksen 26 artiklan määräysten täydentämiseksi 28.6.2001 annetulla] neuvoston direktiivillä 2001/51/EY [(EYVL 2001, L 187, s. 45)], nojalla, sillä näiden kumpienkin velvollisuuksien yhteisenä tavoitteena on maahanmuuttovirtojen hillintä ja laittoman maahanmuuton torjunta.

– –

(9)      Laittoman maahanmuuton torjumiseksi tehokkaasti ja tämän tavoitteen vaikutusten tehostamiseksi on syytä kiinnittää huomiota mahdollisimman varhaisessa vaiheessa erityisesti sellaisiin teknologisiin innovaatioihin, jotka liittyvät biometristen tunnisteiden käyttöönottoon ja käyttöön liikenteenharjoittajien toimitettavissa tiedoissa, sanotun kuitenkaan rajoittamatta direktiivin [95/46] säännösten soveltamista.

– –

(12)      Jäsenvaltioiden viranomaisten tämän direktiivin nojalla suorittamaan henkilötietojen käsittelyyn sovelletaan direktiiviä [95/46]. Tämä tarkoittaa, että vaikka olisi perusteltua käsitellä rajatarkastuksia varten toimitettuja tietoja matkustajista myös niiden käytön sallimiseksi todisteena oikeudenkäynneissä, joiden tarkoituksena on panna täytäntöön maahantuloa ja maahanmuuttoa koskevia lakeja ja asetuksia, mukaan lukien niiden yleistä järjestystä ja sisäistä turvallisuutta koskevat säännökset, niiden myöhempi käsittely näiden tarkoitusten kanssa yhteensopimattomalla tavalla olisi vastoin direktiivin [95/46] 6 artiklan 1 kohdan b alakohdassa vahvistettua periaatetta. Jäsenvaltioiden olisi säädettävä seuraamusjärjestelmästä, jota sovelletaan tämän direktiivin tarkoituksen vastaiseen käyttöön.”

5        API-direktiivin 1 artiklassa, jonka otsikko on ”Tavoite”, säädetään seuraavaa:

”Tämän direktiivin tarkoituksena on tehostaa rajatarkastuksia ja torjua laitonta maahanmuuttoa siten, että liikenteenharjoittajat toimittavat toimivaltaisille kansallisille viranomaisille matkustajia koskevat tiedot etukäteen.”

6        Kyseisen direktiivin 2 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä direktiivissä tarkoitetaan:

a)      ’liikenteenharjoittajalla’ luonnollista henkilöä tai oikeushenkilöä, joka harjoittaa ammattimaisesti henkilöiden kuljetusta ilmateitse;

b)      ’ulkorajoilla’ jäsenvaltioiden ulkorajoja kolmansien maiden kanssa;

c)      ’rajatarkastuksella’ rajalla suoritettua tarkastusta, joka perustuu yksinomaan asianomaisen henkilön aikomukseen ylittää kyseinen raja, ottamatta huomioon muita näkökohtia;

d)      ’rajanylityspaikalla’ toimivaltaisten viranomaisten ulkorajojen ylitykseen hyväksymää ylityspaikkaa;

e)      ’henkilötiedoilla’, ’henkilötietojen käsittelyllä’ ja ’henkilötietojen rekisteröintijärjestelmällä’ samaa kuin direktiivin [95/46] 2 artiklassa.”

7        Mainitun direktiivin 3 artiklan, jonka otsikko on ”Tietojen toimittaminen”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.      Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet velvoittaakseen liikenteenharjoittajat toimittamaan henkilöille ulkorajoilla suoritettavista tarkastuksista vastaavien viranomaisten pyynnöstä lähtöselvityksen päätyttyä tiedot matkustajista, jotka liikenteenharjoittajat kuljettavat viralliselle rajanylityspaikalle, jonka kautta kyseiset henkilöt saapuvat jäsenvaltioiden alueelle.

2.      Edellä mainittuihin tietoihin on sisällyttävä:

–        käytetyn matkustusasiakirjan numero ja tyyppi,

–        kansalaisuus,

–        koko nimi,

–        syntymäaika,

–        rajanylityspaikka, jonka kautta henkilö saapuu jäsenvaltioiden alueelle,

–        kuljetuksen koodi,

–        kuljetuksen lähtö- ja saapumisaika,

–        asianomaisella kuljetuksella kuljetettujen henkilöiden kokonaismäärä,

–        alkuperäinen lähtöpaikka.”

8        API-direktiivin 6 artiklassa, jonka otsikko on ”Tietojen käsittely”, säädetään seuraavaa:

”1.      Edellä 3 artiklan 1 kohdassa tarkoitetut henkilötiedot toimitetaan viranomaisille, joiden tehtävänä on tarkastaa henkilöt ulkorajoilla, joiden kautta matkustajat saapuvat jäsenvaltion alueelle, näiden tarkastusten helpottamiseksi, jotta laitonta maahanmuuttoa voidaan torjua tehokkaammin.

Jäsenvaltioiden on varmistettava, että liikenteenharjoittajat hankkivat kyseiset tiedot ja toimittavat ne sähköisesti tai, jos se ei ole mahdollista, muulla asianmukaisella tavalla viranomaisille, jotka suorittavat tarkastuksen virallisella rajanylityspaikalla, jonka kautta matkustaja saapuu jäsenvaltioiden alueelle. Viranomaiset, joiden tehtävänä on tarkastaa ulkorajat ylittävät henkilöt, säilyttävät tiedot väliaikaisesti.

Matkustajien saavuttua maahan kyseisten viranomaisten on hävitettävä tiedot 24 tunnin kuluessa niiden toimittamisesta, ellei tietoja tarvita myöhemmin henkilötarkastuksia ulkorajoilla suorittavien viranomaisten lakisääteisten tehtävien harjoittamista varten kansallisen lainsäädännön mukaisesti ja jollei direktiivin [95/46] mukaisista tietosuojasäännöksistä muuta johdu.

Jäsenvaltioiden on toteutettava tarpeelliset toimenpiteet velvoittaakseen liikenteenharjoittajat hävittämään tämän direktiivin mukaisesti hankkimansa ja rajaviranomaisille toimittamansa henkilötiedot 24 tunnin kuluessa 3 artiklan 1 kohdassa tarkoitetussa kuljetuksessa käytetyn liikennevälineen saapumisesta määränpäähän.

Jäsenvaltiot voivat myös käyttää 3 artiklan 1 kohdassa tarkoitettuja henkilötietoja lainvalvontatarkoituksiin kansallisen lainsäädäntönsä mukaisesti ja jollei direktiivin [95/46] mukaisista tietosuojasäännöksistä muuta johdu.

2.      Jäsenvaltioiden on toteutettava tarpeelliset toimenpiteet velvoittaakseen liikenteenharjoittajat antamaan matkustajille tietoja direktiivin [95/46] säännösten mukaisesti. Tähän sisältyvät myös direktiivin [95/46] 10 artiklan c alakohdassa ja 11 artiklan 1 kohdan c alakohdassa tarkoitetut tiedot.”

3.     Direktiivi 2010/65

9        Direktiivi 2010/65 kumotaan eurooppalaisen merenkulkualan yhdennetyn palveluympäristön perustamisesta ja direktiivin 2010/65 kumoamisesta 20.6.2019 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) 2019/1239 (EUVL 2019, L 198, s. 64) 15.8.2025 lähtien.

10      Kyseisen direktiivin johdanto-osan toisessa perustelukappaleessa todetaan seuraavaa:

”Unionin säädöksissä edellytettyjä ja jäsenvaltioiden edellyttämiä ilmoitusvelvollisuuksia on yksinkertaistettava ja yhdenmukaistettava mahdollisimman suuressa määrin meriliikenteen helpottamiseksi ja meriliikenteen harjoittajien hallinnollisten rasitteiden keventämiseksi. – –”

11      Mainitun direktiivin 1 artiklan, jonka otsikko on ”Kohde ja soveltamisala” 1 ja 2 kohdassa säädetään seuraavaa:

”1.      Tämän direktiivin tarkoituksena on yksinkertaistaa ja yhdenmukaistaa hallinnollisia menettelyjä, joita sovelletaan meriliikenteeseen tekemällä sähköisestä tiedonsiirrosta vakiomenettely ja järkeistämällä ilmoitusmuodollisuudet.

2.      Tätä direktiiviä sovelletaan meriliikenteen ilmoitusmuodollisuuksiin, jotka koskevat jäsenvaltioiden satamiin saapuvia tai niistä lähteviä aluksia.”

12      Saman direktiivin 8 artiklassa, jonka otsikko on ”Luottamuksellisuus”, säädetään seuraavaa:

”1.      Jäsenvaltioiden on toteutettava sovellettavien unionin säädösten tai kansallisen lainsäädännön mukaisesti tarpeelliset toimenpiteet sen varmistamiseksi, että tämän direktiivin mukaisesti vaihdettavat kaupalliset ja muut luottamukselliset tiedot käsitellään luottamuksellisina.

2.      Jäsenvaltioiden on huolehdittava erityisesti tämän direktiivin nojalla kerättyjen kaupallisten tietojen suojaamisesta. Jäsenvaltioiden on varmistettava, että ne noudattavat direktiiviä [95/46]. [Euroopan] unionin toimielinten ja elinten on varmistettava, että ne noudattavat [yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18.12.2000 annettua Euroopan parlamentin ja neuvoston] asetusta (EY) N:o 45/2001 [(EYVL 2001, L 8, s. 1)].”

4.     Yleinen tietosuoja-asetus

13      Yleisen tietosuoja-asetuksen johdanto-osan 19 perustelukappaleessa todetaan seuraavaa:

”Luonnollisten henkilöiden suojelusta tapauksissa, joissa toimivaltaiset viranomaiset käsittelevät henkilötietoja rikosten estämistä, selvittämistä, paljastamista tai rikoksiin liittyviä syytetoimia varten taikka rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, sekä näiden henkilötietojen vapaasta liikkuvuudesta on annettu erillinen unionin säädös. Tätä asetusta ei näin ollen olisi sovellettava näitä tarkoituksia varten tehtävään henkilötietojen käsittelyyn. Kun viranomaiset käsittelevät tämän asetuksen soveltamisalaan kuuluvia henkilötietoja näitä tarkoituksia varten, olisi sen sijaan sovellettava unionin erityissäädöstä eli [luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annettua] Euroopan parlamentin ja neuvoston direktiiviä (EU) 2016/680 [(EUVL 2016, L 119, s. 89)]. Jäsenvaltiot voivat antaa direktiivissä – – 2016/680 tarkoitetuille toimivaltaisille viranomaisille tehtäviä, joita ei välttämättä suoriteta rikosten estämistä, selvittämistä, paljastamista tai rikoksiin liittyviä syytetoimia varten taikka rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Tällöin muita tarkoituksia varten tehtävä henkilötietojen käsittely kuuluu tämän asetuksen soveltamisalaan, sikäli kuin se kuuluu unionin lainsäädännön soveltamisalaan.

– –”

14      Kyseisen asetuksen 2 artiklan, jonka otsikko on ”Aineellinen soveltamisala”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.      Tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

2.      Tätä asetusta ei sovelleta henkilötietojen käsittelyyn,

a)      jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan;

b)      jota suorittavat jäsenvaltiot toteuttaessaan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa;

– –

d)      jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.”

15      Mainitun asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

1)      ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön – – liittyviä tietoja; – –,

2)      ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,

– –”

16      Yleisen tietosuoja-asetuksen 23 artiklassa, jonka otsikko on ”Rajoitukset”, säädetään seuraavaa:

”1.      Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niiden velvollisuuksien ja oikeuksien soveltamisalaa, joista säädetään 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata

a)      kansallinen turvallisuus;

b)      puolustus;

c)      yleinen turvallisuus;

d)      rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy;

– –

h)      valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a–e ja g alakohdassa tarkoitetuissa tapauksissa;

– –

2.      Edellä 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin

a)      käsittelytarkoitusta tai käsittelyn ryhmiä;

b)      henkilötietoryhmiä;

c)      käyttöön otettujen rajoitusten soveltamisalaa;

d)      suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen;

e)      rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämistä;

f)      tietojen säilytysaikoja ja sovellettavia suojatoimia ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset;

g)      rekisteröidyn oikeuksiin ja vapauksiin kohdistuvia riskejä; ja

h)      rekisteröityjen oikeutta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen.”

17      Kyseisen asetuksen 94 artiklassa, jonka otsikko on ”Direktiivin [95/46] kumoaminen”, säädetään seuraavaa:

”1.      Kumotaan direktiivi [95/46] 25 päivästä toukokuuta 2018.

2.      Viittauksia kumottuun direktiiviin pidetään viittauksina tähän asetukseen. Viittauksia direktiivin [95/46] 29 artiklalla perustettuun tietosuojatyöryhmään pidetään viittauksina tällä asetuksella perustettuun Euroopan tietosuojaneuvostoon.”

5.     Direktiivi 2016/680

18      Direktiivillä 2016/680 on sen 59 artiklan mukaisesti kumottu ja korvattu rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta 27.11.2008 tehty neuvoston puitepäätös 2008/977/YOS (EUVL 2008, L 350, s. 60) 6.5.2018 lähtien.

19      Direktiivin 2016/680 johdanto-osan 9–11 perustelukappaleessa todetaan seuraavaa:

”(9)      Tältä pohjalta [yleisessä tietosuoja-asetuksessa] vahvistetaan yleiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja näiden tietojen vapaan liikkuvuuden varmistamiseksi unionissa.

(10)      Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että [SEUT] 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi.

(11)      On sen vuoksi asianmukaista kohdistaa näille aloille direktiivi, jossa vahvistetaan erityiset säännöt luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, ottaen huomioon näiden toimintojen erityisluonteen. Tällaisiin toimivaltaisiin viranomaisiin voi kuulua oikeusviranomaisten kaltaisten julkisten viranomaisten lisäksi poliisiviranomaisia tai muita lainvalvontaviranomaisia sekä myös muita elimiä tai yksiköitä, joille on jäsenvaltion lainsäädännössä annettu tehtäväksi hoitaa julkishallinnon tehtäviä tai käyttää julkista valtaa tässä direktiivissä mainittuihin tarkoituksiin. Jos tällainen elin tai yksikkö käsittelee henkilötietoja muita kuin tässä direktiivissä säädettyjä tarkoituksia varten, sovelletaan [yleistä tietosuoja-asetusta]. Näin ollen [yleistä tietosuoja-asetusta] sovelletaan tapauksissa, joissa elin tai yksikkö kerää henkilötietoja muita tarkoituksia varten ja käsittelee näitä henkilötietoja edelleen lakisääteisen velvoitteensa noudattamiseksi. Esimerkiksi rahoituslaitokset säilyttävät rikosten tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien tarkoituksiin tiettyjä käsittelemiään henkilötietoja ja antavat kyseiset henkilötiedot ainoastaan toimivaltaisten viranomaisten käyttöön erityistapauksissa ja jäsenvaltion lainsäädäntöä noudattaen. Sopimuksen tai muun oikeudellisen asiakirjan ja henkilötietojen käsittelijöihin tämän direktiivin nojalla sovellettavien säännösten olisi sidottava elintä tai yksikköä, joka käsittelee henkilötietoja tällaisten viranomaisten lukuun tämän direktiivin soveltamisalan puitteissa; tämä ei kuitenkaan vaikuta [yleisen tietosuoja-asetuksen] soveltamiseen siltä osin kuin se koskee henkilötietojen käsittelyä sellaisen käsittelijän toimesta, joka ei kuulu tämän direktiivin soveltamisalaan.”

20      Kyseisen direktiivin 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet” ja joka vastaa olennaisilta osin puitepäätöksen 2008/977 1 artiklaa, 1 kohdassa säädetään seuraavaa:

”Tässä direktiivissä vahvistetaan säännöt luonnollisten henkilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.”

21      Mainitun direktiivin 3 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä direktiivissä tarkoitetaan

– –

7)      ’toimivaltaisella viranomaisella’

a)      kaikkia viranomaisia, joiden toimivalta kattaa rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvät syytetoimet tai rikosoikeudellisten seuraamusten täytäntöönpanon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy; tai

b)      kaikkia muita elimiä tai yksiköitä, joille on jäsenvaltion lainsäädännössä annettu tehtäväksi käyttää julkista valtaa tai valtuuksia rikosten ennalta estämiseen, tutkimiseen, paljastamiseen tai rikoksiin liittyviin syytetoimiin tai rikosoikeudellisten seuraamusten täytäntöönpanoon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy;

– –”

6.     PNR-direktiivi

22      PNR-direktiivin johdanto-osan 4–12, 15, 19, 20, 22, 25, 27, 28, 33, 36 ja 37 perustelukappaleessa todetaan seuraavaa:

”(4)      [API-direktiivillä] säännellään ennalta annettavien matkustajatietojen (API-tiedot) siirtämistä toimivaltaisille kansallisille viranomaisille lentoliikenteen harjoittajien toimesta rajavalvonnan parantamiseksi ja laittoman maahanmuuton torjumiseksi.

(5)      Tämän direktiivin tavoitteina on muun muassa varmistaa turvallisuus, suojella ihmisten elämää ja turvallisuutta sekä luoda matkustajarekisteritietojen suojelua koskeva oikeudellinen kehys toimivaltaisten viranomaisten suorittamaa tietojenkäsittelyä varten.

(6)      PNR-tietojen tehokas käyttäminen muun muassa vertailemalla PNR-tietoja erilaisiin etsittyjä henkilöitä ja esineitä koskeviin tietokantoihin on tarpeen terrorismirikosten ja vakavan rikollisuuden ennalta estämisen, paljastamisen ja tutkimisen sekä tällaisiin rikoksiin liittyvien syytetoimien kannalta ja siten sisäisen turvallisuuden parantamiseksi, todisteiden hankkimiseksi ja tarvittaessa rikollisten apureiden ja rikollisverkostojen paljastamiseksi.

(7)      PNR-tietojen arvioinnin avulla on mahdollista yksilöidä henkilöitä, joita ei ole epäilty osallisuudesta terrorismirikoksiin tai vakavaan rikollisuuteen ennen sellaista arviointia, ja joiden suhteen toimivaltaisten viranomaisten olisi tehtävä lisätutkimuksia. PNR-tietojen avulla voidaan puuttua terrorismirikosten ja vakavan rikollisuuden uhkaan eri tavoin kuin muuntyyppisiä henkilötietoja käsittelemällä. Jotta voidaan varmistaa, että PNR-tietoja käsitellään vain siinä määrin kuin on tarpeen, arviointiperusteiden laatiminen ja soveltaminen olisi rajoitettava kattamaan terrorismirikokset ja vakavat rikokset, joiden kohdalla kyseisten perusteiden käyttö on asianmukaista. Lisäksi arviointiperusteet olisi määritettävä niin, että järjestelmä yksilöi mahdollisimman vähän viattomia henkilöitä.

(8)      Lentoliikenteen harjoittajat keräävät ja käsittelevät jo matkustajien PNR-tietoja omia kaupallisia tarkoituksiaan varten. Tällä direktiivillä ei pitäisi velvoittaa lentoliikenteen harjoittajia keräämään tai säilyttämään mitään uusia matkustajatietoja eikä velvoittaa matkustajia antamaan mitään uusia tietoja lentoliikenteen harjoittajille nykyään annettavien tietojen lisäksi.

(9)      Jotkin lentoliikenteen harjoittajat säilyttävät keräämiään API-tietoja osana PNR-tietoja, toiset taas eivät. PNR-tietojen käyttö yhdessä API-tietojen käytön kanssa tuo lisäarvoa auttamalla jäsenvaltioita yksilön henkilöllisyyden tarkistamisessa, mikä vahvistaa tarkistuksen tuloksen arvoa lainvalvonnan kannalta ja minimoi viattomien henkilöiden tarkastukset ja tutkimisen. Tämän vuoksi on tärkeää varmistaa, että kun lentoliikenteen harjoittajat keräävät API-tietoja, ne siirtävät tiedot riippumatta siitä, säilyttävätkö ne API-tietoja eri teknisin keinoin kuin muita PNR-tietoja.

(10)      Terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista sekä tällaisiin rikoksiin liittyviä syytetoimia varten on erittäin tärkeää, että kaikki jäsenvaltiot antavat säännöksiä, joissa vahvistetaan EU:n ulkopuolisia lentoja suorittaville lentoliikenteen harjoittajille velvollisuus siirtää kaikki kerätyt PNR-tiedot, myös API-tiedot. Jäsenvaltioilla olisi oltava mahdollisuus laajentaa tämä velvollisuus EU:n sisäisiä lentoja suorittaviin lentoliikenteen harjoittajiin. Nämä säännökset eivät saisi rajoittaa [API-direktiivin] soveltamista.

(11)      Henkilötietojen käsittelyn olisi oltava oikeassa suhteessa tämän direktiivin erityisiin turvallisuustavoitteisiin nähden.

(12)      Tässä direktiivissä olisi sovellettava samaa terrorismirikosten määritelmää kuin [terrorismin torjumisesta 13.6.2002 tehdyssä] neuvoston puitepäätöksessä 2002/475/YOS [(EYVL 2002, L 164, s. 3)]. Vakavan rikollisuuden määritelmän olisi katettava tämän direktiivin liitteessä II luetellut rikollisuuden muodot.

– –

(15)      Laadittaessa matkustajatietoyksikölle toimitettavien PNR-tietojen luetteloa olisi otettava huomioon terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista sekä tällaisiin rikoksiin liittyviä syytetoimia koskevat viranomaisten oikeutetut vaatimukset, jotta voidaan parantaa unionin sisäistä turvallisuutta ja suojata perusoikeuksia, erityisesti oikeutta yksityisyyden ja henkilötietojen suojaan. Tätä varten olisi sovellettava [perusoikeuskirjan], yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen (jäljempänä yleissopimus N:o 108) ja [Roomassa 4.11.1950 allekirjoitetun] ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen [(jäljempänä Euroopan ihmisoikeussopimus)] mukaista korkeaa tasoa. Nämä luettelot eivät saisi perustua henkilön rotuun tai etniseen alkuperään, uskontoon tai vakaumukseen, poliittisiin tai muihin mielipiteisiin, ammattiliiton jäsenyyteen eivätkä terveydentilaa, sukupuolielämää tai sukupuolista suuntautuneisuutta koskeviin tietoihin. PNR-tietojen olisi sisällettävä ainoastaan matkustajien varausta ja matkareittiä koskevia yksityiskohtia, joiden avulla toimivaltaiset viranomaiset voivat yksilöidä ne lentomatkustajat, jotka muodostavat riskin sisäiselle turvallisuudelle.

– –

(19)      Jokaisen jäsenvaltion olisi vastattava terrorismirikoksiin ja vakavaan rikollisuuteen liittyvien mahdollisten uhkien arvioinnista.

(20)      Ottaen täysimääräisesti huomioon oikeus henkilötietojen suojaan ja syrjimättömyyteen, mitään päätöstä, joka aiheuttaa yksilölle haitallisia oikeusvaikutuksia tai vaikuttaa häneen merkittävästi, ei pitäisi tehdä pelkästään PNR-tietojen automaattisen käsittelyn perusteella. Euroopan unionin perusoikeuskirjan 8 ja 21 artiklan mukaisesti tällainen päätös ei myöskään saisi käsittää minkäänlaista syrjintää, joka perustuu sukupuoleen, rotuun, ihonväriin, etniseen tai sosiaaliseen alkuperään, geneettisiin ominaisuuksiin, kieleen, uskontoon tai vakaumukseen, poliittisiin tai muihin mielipiteisiin, kansalliseen vähemmistöön kuulumiseen, varallisuuteen, syntyperään, vammaisuuteen, ikään tai sukupuoliseen suuntautumiseen. [Euroopan] komission olisi myös otettava nämä periaatteet huomioon, kun se tarkastelee tämän direktiivin soveltamista.

– –

(22)      Tätä direktiiviä sovellettaessa olisi varmistettava, että perusoikeuksia ja oikeutta yksityisyyteen sekä oikeasuhteisuusperiaatetta kunnioitetaan täysipainoisesti, kun otetaan huomioon Euroopan unionin tuomioistuimen viimeaikaisen asiaankuuluvan oikeuskäytännön periaatteet. Soveltamisessa olisi myös tosiasiallisesti saavutettava tarpeellisuutta ja oikeasuhteisuutta koskevat tavoitteet, jotta unionin tunnustamat yleiset edut toteutuisivat ja jotta voitaisiin huolehtia tarpeesta suojella muiden oikeuksia ja vapauksia terrorismirikosten ja vakavan rikollisuuden torjunnassa. Tämän direktiivin soveltamisen olisi oltava asianmukaisesti perusteltua ja olisi annettava tarvittavat takeet siitä, että PNR-tietojen tallentaminen, analysoiminen, toimittaminen tai käyttö on lainmukaista.

– –

(25)      PNR-tietojen säilytysajan olisi oltava niin pitkä kuin on tarpeen ja oikeassa suhteessa siihen, mikä on tarpeen terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista ja syytetoimia varten. PNR-tietojen luonteen ja käyttötarkoitusten vuoksi tietoja on säilytettävä riittävän kauan, jotta niitä voidaan käyttää analyysien laatimisessa ja tutkimuksissa. Suhteettoman käytön välttämiseksi on tarpeen, että ensivaiheen kuluttua tiedoista erotetaan tunnistamisen mahdollistavat tiedonosat tiedonosia häivyttämällä. Korkeatasoisimman tietosuojan varmistamiseksi oikeus tutustua kaikkiin PNR-tietoihin, jotka mahdollistavat rekisteröidyn välittömän tunnistamisen, olisi ensivaiheen jälkeen myönnettävä vain hyvin tiukkojen ja rajoitettujen edellytysten täyttyessä.

– –

(27)      Kussakin jäsenvaltiossa matkustajatietoyksikön ja toimivaltaisten viranomaisten toimesta tapahtuvaan PNR-tietojen käsittelyyn olisi sovellettava henkilötietojen suojaa koskevan kansallisen lain tasoa, [puitepäätöksen 2008/977] ja tässä direktiivissä vahvistettujen erityisten tietosuojavaatimusten mukaisesti. Viittaukset puitepäätökseen [2008/977] olisi katsottava viittauksiksi tällä hetkellä voimassa olevaan lainsäädäntöön ja sen korvaavaan lainsäädäntöön.

(28)      Kun otetaan huomioon oikeus henkilötietojen suojaan, PNR-tietojen käsittelyyn liittyvien rekisteröityjen oikeuksien, kuten heidän oikeuteensa tutustua omiin tietoihinsa, oikaista niitä, poistaa ne tai rajoittaa niiden käyttöä tietokannassa sekä heidän oikeuksiensa vahingonkorvaukseen ja oikeudelliseen muutoksenhakuun, olisi oltava sekä puitepäätöksen [2008/977] että perusoikeuskirjan ja Euroopan ihmisoikeussopimuksen tarjoaman korkean tason suojan mukaisia.

– –

(33)      Tämä direktiivi ei vaikuta jäsenvaltioiden mahdollisuuteen säätää kansallisessa laissaan sellaisten PNR-tietojen keräämistä ja käsittelyä koskevasta järjestelmästä, jotka ovat peräisin muilta kuin lentoliikennettä harjoittavilta talouden toimijoilta, kuten matkatoimistoilta ja matkanjärjestäjiltä, jotka suorittavat matkoihin liittyviä palveluja, mukaan lukien lentojen varaaminen, joita varten ne keräävät ja käsittelevät PNR-tietoja, taikka muilta kuin direktiivissä tarkoitetuilta liikenteenharjoittajilta, kunhan kyseinen kansallinen laki on unionin oikeuden mukainen.

– –

(36)      Tässä direktiivissä kunnioitetaan perusoikeuksia ja perusoikeuskirjassa tunnustettuja periaatteita, erityisesti oikeutta henkilötietojen ja yksityisyyden suojaan ja syrjintäkiellon periaatetta, sellaisina kuin ne on vahvistettu perusoikeuskirjan 8, 7 ja 21 artiklassa, ja se olisi näin ollen pantava täytäntöön sen mukaisesti. Tämä direktiivi on yhdenmukainen tietosuojaperiaatteiden kanssa, ja sen säännökset ovat puitepäätöksen [2008/977] mukaiset. Lisäksi tässä direktiivissä säädetään suhteellisuusperiaatteen noudattamiseksi, että tiettyjen asioiden osalta on sovellettava tiukempia tietosuojasääntöjä kuin ne, jotka vahvistetaan puitepäätöksellä [2008/977].

(37)      Tämän direktiivin soveltamisalaa on rajoitettu mahdollisimman pitkälle siten, että PNR-tietoja voidaan säilyttää matkustajatietoyksiköissä enintään viisi vuotta, minkä jälkeen tiedot olisi poistettava, ja siten, että kuuden kuukauden pituisen ensivaiheen kuluttua tiedoista olisi erotettava tunnistamisen mahdollistavat tiedot tiedonosia häivyttämällä, ja siten, että arkaluonteisten tietojen kerääminen ja käyttö olisi kiellettävä. Jotta voidaan varmistaa toiminnan tehokkuus ja tietosuojan korkea taso, jäsenvaltioiden on varmistettava, että riippumaton kansallinen valvontaviranomainen ja erityisesti tietosuojavastaava ovat vastuussa PNR-tietojen käsittelytapaan liittyvästä neuvonnasta ja valvonnasta. Kaikesta PNR-tietojen käsittelystä olisi laadittava loki tai muu dokumentaatio, jotta voidaan varmistaa sen lainmukaisuus ja omavalvonta ja taata tietojen eheys ja niiden käsittelyn turvallisuus. Jäsenvaltioiden olisi myös varmistettava, että matkustajille ilmoitetaan selkeästi ja yksityiskohtaisesti PNR-tietojen keräämisestä ja heidän oikeuksistaan.”

23      PNR-direktiivin 1 artiklassa, jonka otsikko on ”Kohde ja soveltamisala”, säädetään seuraavaa:

”1.      Tässä direktiivissä säädetään:

a)      lentoliikenteen harjoittajien velvollisuudesta toimittaa EU:n ulkopuolisten lentojen matkustajien matkustajarekisteritiedot (PNR-tiedot) sekä

b)      edellä a alakohdassa tarkoitettujen tietojen käsittelystä, muun muassa niiden keräämisestä, käytöstä ja säilyttämisestä jäsenvaltioissa, sekä niiden vaihtamisesta jäsenvaltioiden kesken.

2.      Tämän direktiivin mukaisesti kerättyjä PNR-tietoja saa käsitellä vain terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten 6 artiklan 2 kohdan a, b ja c alakohdan mukaisesti.”

24      Kyseisen direktiivin 2 artiklassa, jonka otsikko on ”Tämän direktiivin soveltaminen EU:n sisäisiin lentoihin”, säädetään seuraavaa:

”1.      Jos jäsenvaltio päättää soveltaa tätä direktiiviä EU:n sisäisiin lentoihin, sen on ilmoitettava aikomuksestaan kirjallisesti komissiolle. Jäsenvaltio voi toimittaa tai peruuttaa tällaisen ilmoituksen milloin tahansa. Komissio julkaisee tämän ilmoituksen ja sitä koskevan mahdollisen peruutuksen Euroopan unionin virallisessa lehdessä.

2.      Jos 1 kohdassa tarkoitettu ilmoitus on annettu, tämän direktiivin kaikkia säännöksiä sovelletaan EU:n sisäisiin lentoihin ja EU:n sisäisten lentojen PNR-tietoihin ikään kuin kyseessä olisivat EU:n ulkopuoliset lennot ja EU:n ulkopuolisten lentojen PNR-tiedot.

3.      Jäsenvaltio voi päättää soveltaa tätä direktiiviä vain valikoituihin EU:n sisäisiin lentoihin. Tehdessään tällaisen päätöksen jäsenvaltion on valittava lennot, joita se pitää tarpeellisina tämän direktiivin tavoitteiden edistämiseksi. Jäsenvaltio voi milloin tahansa päättää muuttaa kyseistä EU:n sisäisten lentojen valikoimaa.”

25      Mainitun direktiivin 3 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä direktiivissä tarkoitetaan:

1)      ’lentoliikenteen harjoittajalla’ lentoliikenneyritystä, jolla on voimassa oleva liikennelupa tai muu vastaava lupa, jonka nojalla se voi kuljettaa matkustajia lentoteitse;

2)      ’EU:n ulkopuolisella lennolla’ mitä tahansa lentoliikenteen harjoittajan reitti- tai tilauslentoa, joka lennetään kolmannesta maasta ja jonka on määrä laskeutua jäsenvaltion alueelle tai joka lentää jäsenvaltion alueelta ja jonka on määrä laskeutua kolmanteen maahan, mukaan lukien molemmissa tapauksissa lennot, joihin sisältyy välilasku jäsenvaltioiden tai kolmansien maiden alueella;

3)      ’EU:n sisäisellä lennolla’ mitä tahansa lentoliikenteen harjoittajan reitti- tai tilauslentoa, joka lennetään jäsenvaltion alueelta ja jonka on määrä laskeutua yhden tai useamman muun jäsenvaltion alueelle ilman välilaskuja jonkin kolmannen maan alueelle;

4)      ’matkustajalla’ henkilöä, mukaan lukien vaihto- tai kauttakulkumatkustajat, lukuun ottamatta miehistön jäseniä, jota kuljetetaan tai on tarkoitus kuljettaa ilma-aluksella lentoliikenteenharjoittajan suostumuksella, joka käy ilmi matkustajaluetteloon kirjatuista henkilöistä;

5)      ’matkustajarekisterillä’ eli ’PNR:llä’ kunkin matkustajan matkustustiedot sisältävää rekisteriä, joka sisältää kaikki ne tiedot, jotka lippuvarauksia tekevät sekä kuljetukseen osallistuvat lentoliikenteen harjoittajat tarvitsevat varausten käsittelyä ja valvontaa varten kunkin matkan osalta, jonka henkilö on varannut tai joka on varattu hänen puolestaan, riippumatta siitä, sisältyykö rekisteri varausjärjestelmään, lähtöselvitysjärjestelmään, jota käytetään lentomatkustajien lähtöselvityksen tekemiseksi, vai muuhun vastaavaan järjestelmään, jolla on samat toiminnot;

6)      ’varausjärjestelmällä’ lentoliikenteen harjoittajan sisäistä järjestelmää, johon PNR-tiedot kerätään varausten käsittelyä varten;

7)      ’tarjontamenetelmällä’ menetelmää, jossa lentoliikenteen harjoittajat siirtävät liitteessä I luetellut PNR-tiedot niitä pyytävän viranomaisen tietokantaan;

8)      ’terrorismirikoksilla’ [puitepäätöksen 2002/475] 1–4 artiklassa tarkoitettuja kansallisessa laissa rikoksiksi määriteltyjä tekoja;

9)      ’vakavalla rikollisuudella’ liitteessä II lueteltuja tekoja, joista voidaan määrätä vapaudenmenetyksen käsittävä rangaistus tai turvaamistoimenpide, jonka enimmäiskesto on jäsenvaltion kansallisen oikeuden mukaan vähintään kolme vuotta;

10)      ’tunnistamisen mahdollistavien tietojen erottamisella tiedonosia häivyttämällä’ näiden tietojen osien, joiden avulla voisi olla mahdollista tunnistaa välittömästi matkustaja, saattamista käyttäjälle näkymättömiksi.”

26      PNR-direktiivin 4 artiklan, jonka otsikko on ”Matkustajatietoyksikkö”, 1–3 kohdassa säädetään seuraavaa:

”1.      Kunkin jäsenvaltion on perustettava tai nimettävä viranomainen, jolla on terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista tai syytetoimia koskeva toimivalta, tai tällaisen viranomaisen yksikkö, toimimaan matkustajatietoyksikkönä.

2.      Matkustajatietoyksikkö vastaa:

a)      PNR-tietojen keräämisestä lentoliikenteen harjoittajilta sekä kyseisten tietojen säilyttämisestä ja käsittelystä ja kyseisten tietojen tai niiden käsittelyn tulosten siirtämisestä 7 artiklassa tarkoitetuille viranomaisille;

b)      sekä PNR-tietojen että kyseisten tietojen käsittelyn tulosten vaihtamisesta muiden jäsenvaltioiden matkustajatietoyksiköiden ja Europolin kanssa 9 ja 10 artiklan mukaisesti.

3.      Matkustajatietoyksikön henkilöstön jäsenet voivat olla toimivaltaisten viranomaisten lähettämiä työntekijöitä. Jäsenvaltioiden on huolehdittava siitä, että matkustajatietoyksiköllä on riittävät resurssit tehtäviensä hoitamiseksi.”

27      Kyseisen direktiivin 5 artiklassa, jonka otsikko on ”Matkustajatietoyksikön tietosuojavastaava”, säädetään seuraavaa:

”1.      Matkustajatietoyksikön on nimitettävä tietosuojavastaava, joka on vastuussa PNR-tietojen käsittelyn valvonnasta ja asiaankuuluvien suojatoimien täytäntöönpanosta.

2.      Jäsenvaltioiden on huolehdittava siitä, että tietosuojavastaavilla on resurssit hoitaa tässä artiklassa tarkoitetut velvollisuutensa ja tehtävänsä tehokkaasti ja riippumattomasti.

3.      Jäsenvaltioiden on varmistettava, että rekisteröidyllä on oikeus ottaa yhteyttä keskitettynä yhteyspisteenä toimivaan tietosuojavastaavaan kaikissa kyseisen rekisteröidyn PNR-tietojen käsittelyyn liittyvissä asioissa.”

28      Mainitun direktiivin 6 artiklassa, jonka otsikko on ”PNR-tietojen käsittely”, säädetään seuraavaa:

”1.      Asianomaisen jäsenvaltion matkustajatietoyksikkö kerää lentoliikenteen harjoittajien siirtämät PNR-tiedot 8 artiklan mukaisesti. Jos lentoliikenteen harjoittajien siirtämiin PNR-tietoihin sisältyy muita kuin liitteessä I mainittuja tietoja, matkustajatietoyksikön on poistettava tällaiset tiedot välittömästi ja pysyvästi niiden vastaanottamisen jälkeen.

2.      Matkustajatietoyksikkö saa käsitellä PNR-tietoja vain seuraavia tarkoituksia varten:

a)      matkustajien arviointi ennen heidän aikataulunmukaista saapumistaan kyseiseen jäsenvaltioon tai lähtöään sieltä, jotta voidaan tunnistaa henkilöt, joista 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten ja tarvittaessa 10 artiklan nojalla myös Europolin on tehtävä lisätutkimuksia, koska he saattavat olla osallisina terrorismirikoksessa tai vakavassa rikollisuudessa;

b)      vastaaminen tapauskohtaisesti toimivaltaisilta viranomaisilta saatuun asianmukaisesti perusteltuun ja riittäviin havaintoihin perustuvaan pyyntöön toimittaa PNR-tietoja ja käsitellä niitä yksittäisissä tapauksissa terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten sekä [toimittaa] tällaisen käsittelyn tulo[kset] toimivaltaisille viranomaisille tai tarpeen mukaan Europolille;

c)      PNR-tietojen analysointi kriteereiden päivittämiseksi tai uusien määrittelemiseksi 3 kohdan b alakohdan nojalla toteutettujen arviointien suorittamista varten, jotta voidaan tunnistaa terrorismirikoksissa tai vakavassa rikollisuudessa mahdollisesti osallisina olevat henkilöt.

3.      Edellä 2 kohdan a alakohdassa tarkoitettu matkustajatietoyksikkö voi arviointia toteuttaessaan:

a)      verrata PNR-tietoja terrorismirikosten tai vakavan rikollisuuden ennalta estämisen, paljastamisen, tutkinnan sekä tällaisiin rikoksiin liittyvien syytetoimien kannalta olennaisiin tietokantoihin, kuten etsittyjä tai kuulutuksen kohteena olevia henkilöitä tai esineitä koskeviin tietokantoihin, tällaisiin tietokantoihin sovellettavien unionin, kansainvälisten ja kansallisten sääntöjen mukaisesti; tai

b)      käsitellä PNR-tietoja ennalta määritettyjen kriteerien mukaisesti.

4.      Ennalta määrättyjen kriteerien mukaisesti 3 kohdan b alakohdan nojalla toteutettava matkustajien arviointi ennen heidän aikataulunmukaista saapumistaan jäsenvaltioon tai lähtöään sieltä on suoritettava syrjimättömästi. Näiden ennalta määrättyjen kriteerien on oltava kohdennettuja, oikeasuhteisia ja selkeitä. Jäsenvaltioiden on varmistettava, että matkustajatietoyksiköt vahvistavat ja säännöllisesti tarkistavat nämä kriteerit yhteistyössä 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten kanssa. Arviointikriteerit eivät saa missään olosuhteissa perustua henkilön rotuun tai etniseen alkuperään, poliittisiin mielipiteisiin, uskonnolliseen tai filosofiseen vakaumukseen, ammattiliiton jäsenyyteen eivätkä terveydentilaa, sukupuolielämää tai sukupuolista suuntautuneisuutta koskeviin tietoihin.

5.      Jäsenvaltioiden on varmistettava, että 2 kohdan a alakohdan nojalla suoritetun automaattisen PNR-tietojen käsittelyn tuloksena saatavat osumat tarkistetaan yksittäin, ei-automaattisen käsittelyn keinoin, jotta voidaan arvioida, onko 7 artiklassa tarkoitetun toimivaltaisen viranomaisen ryhdyttävä kansallisen oikeuden mukaisiin toimiin.

6.      Jäsenvaltion matkustajatietoyksikön on toimitettava PNR-tiedot tai 2 kohdan a alakohdan mukaisesti tunnistettujen henkilöiden PNR-tiedot tai näiden tietojen käsittelyn tulokset lisätutkimuksia varten 7 artiklassa tarkoitetuille saman jäsenvaltion toimivaltaisille viranomaisille. Tällaiset tiedonsiirrot on tehtävä ainoastaan tapauskohtaisesti, ja PNR-tietoja automaattisesti käsiteltäessä yksittäisen tarkistuksen jälkeen ei-automaattisen käsittelyn keinoin.

7.       Jäsenvaltioiden on varmistettava, että tietosuojavastaavalla on pääsy matkustajatietoyksikön käsittelemiin tietoihin. Jos tietosuojavastaava katsoo, että tietojenkäsittely on ollut laitonta, hän voi saattaa asian kansallisen valvontaviranomaisen käsiteltäväksi.

– –

9.      Edellä tämän artiklan 2 kohdan a alakohdassa tarkoitettujen matkustajia koskevien arviointien seuraukset eivät saa heikentää unionin vapaata liikkuvuutta koskevan oikeuden piiriin kuuluvien henkilöiden oikeutta tulla asianomaisen jäsenvaltion alueelle [Euroopan unionin kansalaisten ja heidän perheenjäsentensä oikeudesta liikkua ja oleskella vapaasti jäsenvaltioiden alueella, asetuksen (ETY) N:o 1612/68 muuttamisesta ja direktiivien 64/221/ETY, 68/360/ETY, 72/194/ETY, 73/148/ETY, 75/34/ETY, 75/35/ETY, 90/364/ETY, 90/365/ETY ja 93/96/ETY kumoamisesta 29.4.2004 annetun] Euroopan parlamentin ja neuvoston direktiivin 2004/38/EY [(EUVL 2004, L 158, s. 77)] mukaisesti. Lisäksi jos arvioinnit toteutetaan jäsenvaltioiden välisten EU:n sisäisten lentojen osalta, joihin sovelletaan [henkilöiden liikkumista rajojen yli koskevasta yhteisön säännöstöstä 15.3.2006 annettua] Euroopan parlamentin ja neuvoston asetusta (EY) N:o 562/2006 [(Schengenin rajasäännöstö) (EUVL 2006, L 105, s. 1)], näiden arviointien seurausten on oltava kyseisen asetuksen mukaisia.”

29      PNR-direktiivin 7 artiklassa, jonka otsikko on ”Toimivaltaiset viranomaiset”, säädetään seuraavaa:

”1.      Kunkin jäsenvaltion on laadittava luettelo toimivaltaisista viranomaisista, joilla on oikeus pyytää tai ottaa vastaan matkustajatietoyksiköltä PNR-tietoja tai näiden tietojen käsittelyn tuloksia tehdäkseen niitä koskevia lisätutkimuksia tai toteuttaakseen tarvittavat toimenpiteet terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten.

2.      Edellä 1 kohdassa tarkoitetuilla viranomaisilla on terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa tai tällaisiin rikoksiin liittyviä syytetoimia koskeva toimivalta.

– –

4.      Jäsenvaltion toimivaltaiset viranomaiset voivat jatkokäsitellä matkustajatietoyksiköltä vastaanotettuja PNR-tietoja tai PNR-tietojen käsittelyn tuloksia vain tiettyyn tarkoitukseen, kuten terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa tai tällaisiin rikoksiin liittyviä syytetoimia varten.

5.      Edellä oleva 4 kohta ei vaikuta kansallisen oikeuden mukaisiin lainvalvonta- tai tuomiovaltuuksiin, jos tällaisen käsittelyn perusteella tapahtuvien lainvalvontatoimien yhteydessä tulee esiin muita rikoksia tai viitteitä sellaisista.

6.      Toimivaltaiset viranomaiset eivät saa tehdä yksinomaan PNR-tietojen automaattisen käsittelyn perusteella mitään päätöstä, jolla on henkilön kannalta kielteinen oikeusvaikutus tai joka vaikuttaa häneen merkittävästi. Tällaisia päätöksiä ei saa tehdä henkilön rodun tai etnisen alkuperän, poliittisten mielipiteiden, uskonnollisen tai filosofisen vakaumuksen, ammattiliiton jäsenyyteen eikä terveydentilaa, sukupuolielämää tai sukupuolista suuntautuneisuutta koskevien tietojen perusteella.”

30      Kyseisen direktiivin 8 artiklan, jonka otsikko on ”Lentoliikenteen harjoittajien tietojensiirtoa koskevat velvollisuudet”, 1–3 kohdassa säädetään seuraavaa:

”1.      Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että lentoliikenteen harjoittajat toimittavat ’tarjontamenetelmällä’ liitteessä I luetellut PNR-tiedot, siltä osin kuin ne ovat jo keränneet tällaiset tiedot tavanomaisen liiketoimintansa yhteydessä, sen jäsenvaltion matkustajatietoyksikön tietokantaan, jonka alueelle lennon on määrä laskeutua tai jonka alueelta lento lähtee. Jos kyseessä on yhden tai useamman lentoliikenteen harjoittajan yhteistunnuksin suorittama lento, velvollisuus toimittaa kaikkien lennon matkustajien PNR-tiedot koskee sitä lentoliikenteen harjoittajaa, joka operoi lennon. Jos EU:n ulkopuoliseen lentoon kuuluu yksi tai useampia välilaskuja eri jäsenvaltioiden lentokentille, lentoliikenteen harjoittajien on toimitettava kaikkien matkustajien PNR-tiedot kaikkien asianomaisten jäsenvaltioiden matkustajatietoyksiköille. Tätä sovelletaan myös, kun EU:n sisäiseen lentoon kuuluu yksi tai useampia välilaskuja eri jäsenvaltioiden lentokentille, mutta vain niiden PNR-tietoja keräävien jäsenvaltioiden osalta, jotka keräävät EU:n sisäisten lentojen PNR-tietoja.

2.      Mikäli lentoliikenteen harjoittajat ovat keränneet liitteessä I olevassa 18 kohdassa lueteltuja API-tietoja, mutta eivät säilytä niitä samoin teknisin keinoin kuin muita PNR-tietoja, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että lentoliikenteen harjoittajat toimittavat ’tarjontamenetelmällä’ myös nämä tiedot 1 kohdassa tarkoitetun jäsenvaltion matkustajatietoyksikköön. Tällaisessa siirrossa tämän direktiivin kaikkia säännöksiä sovelletaan API-tietoihin.

3.      Lentoliikenteen harjoittajien on toimitettava PNR-tiedot sähköisesti käyttäen yhteistä yhteyskäytäntöä ja tuettuja tietomuotoja, jotka vahvistetaan 17 artiklan 2 kohdassa tarkoitetun tarkastelumenettelyn mukaisesti, tai teknisten ongelmien sattuessa käyttäen mitä tahansa muuta soveltuvaa tapaa, joka takaa asianmukaisen tietoturvan tason, seuraavasti:

a)      24–48 tuntia ennen lennon aikataulunmukaista lähtöaikaa; ja

b)      välittömästi lähtöportin sulkeuduttua eli kun matkustajat ovat nousseet ilma-alukseen lähtöön valmistautumista varten eikä matkustajia voi enää nousta ilma-alukseen tai poistua siitä.”

31      Mainitun direktiivin 12 artiklassa, jonka otsikko on ”Tietojen säilytysaika ja tunnistamisen mahdollistavien tiedonosien erottaminen”, säädetään seuraavaa:

”1.      Jäsenvaltioiden on varmistettava, että lentoliikenteen harjoittajien matkustajatietoyksikölle toimittamia PNR-tietoja säilytetään matkustajatietoyksikön tietokannassa viiden vuoden ajan sen jälkeen, kun ne on toimitettu sen jäsenvaltion matkustajatietoyksikölle, jonka alueelle lento laskeutui tai jonka alueelta se lähti.

2.      Kun kuuden kuukauden määräaika 1 kohdassa tarkoitetusta PNR-tietojen siirtämisestä matkustajatietoyksikölle on umpeutunut, kaikista PNR-tiedoista on erotettava häivyttämällä seuraavat tiedonosat, joiden avulla voisi olla mahdollista tunnistaa välittömästi matkustaja, johon PNR-tiedot liittyvät:

a)      nimi/nimet, mukaan lukien muiden PNR-tiedoissa mainittujen yhdessä matkustavien matkustajien nimet ja lukumäärä;

b)      osoite ja muut yhteystiedot;

c)      kaikki maksutapaa koskevat tiedot, myös laskutusosoite, sikäli kuin ne sisältävät tietoja, joiden avulla voisi olla mahdollista tunnistaa välittömästi matkustaja, johon PNR-tiedot liittyvät, tai muita henkilöitä;

d)      kanta-asiakastiedot;

e)      yleiset huomautukset siltä osin kuin niihin sisältyy tietoja, joiden avulla voisi olla mahdollista välittömästi tunnistaa matkustaja, johon PNR-tiedot liittyvät; ja

f)      matkustajan ennakkotiedot (API-tiedot), jos sellaisia on kerätty.

3.      Kun 2 kohdassa tarkoitettu kuuden kuukauden määräaika on umpeutunut, PNR-tiedot saa luovuttaa kokonaisuudessaan vain, kun voidaan

a)      kohtuudella olettaa, että se on tarpeen 6 artiklan 2 kohdan b alakohdan soveltamiseksi, ja

b)      luovuttamisen on hyväksynyt:

i)      oikeusviranomainen tai

ii)      muu kansallinen viranomainen, jolla on kansallisen oikeuden mukainen toimivalta arvioida tietojen luovuttamista koskevien edellytysten täyttymistä, edellyttäen, että matkustajatietoyksikön tietosuojavastaavaa on informoitu asiasta ja että tämä on toteuttanut jälkiarvioinnin.

4.      Jäsenvaltioiden on varmistettava, että PNR-tiedot pysyvästi poistetaan sen jälkeen kun 1 kohdassa tarkoitettu määräaika on umpeutunut. Tämä velvoite ei koske tapauksia, joissa määrätyt PNR-tiedot on siirretty toimivaltaiselle viranomaiselle ja niitä käytetään määrätyssä tapauksessa terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa tai syytetoimia varten, jolloin tällaisten tietojen säilyttämiseen toimivaltaisen viranomaisen toimesta sovelletaan kansallista lakia.

5.      Matkustajatietoyksikön on säilytettävä 6 artiklan 2 kohdan a alakohdassa tarkoitetun käsittelyn tulokset vain niin kauan, että osumasta voidaan ilmoittaa toimivaltaisille viranomaisille ja 9 artiklan 1 kohdan mukaisesti muiden jäsenvaltioiden matkustajatietoyksiköille. Jos automaattisen käsittelyn tulos osoittautuu 6 artiklan 5 kohdassa tarkoitetuin ei-automaattisin keinoin tehdyn yksittäisen tarkistuksen jälkeen negatiiviseksi, se voidaan kuitenkin tallentaa myöhempien virheosumien välttämiseksi tämän artiklan 4 kohdan nojalla siihen asti, kun taustalla olevat tiedot on poistettu.”

32      PNR-direktiivin 13 artiklan, jonka otsikko on ”Henkilötietojen suojaaminen”, 1–5 kohdassa säädetään seuraavaa:

”1.      Kunkin jäsenvaltion on säädettävä, että tämän direktiivin mukaisen henkilötietojen käsittelyn osalta kaikilla matkustajilla on samat oikeudet suojata omat henkilötietonsa, tutustua niihin ja oikaista tai poistaa ne tai rajoittaa niiden käyttöä sekä oikeus vahingonkorvaukseen ja oikeudellisiin muutoksenhakukeinoihin kuin ne oikeudet, jotka on vahvistettu unionin ja kansallisessa oikeudessa sekä puitepäätöksen [2008/977] 17, 18, 19 ja 20 artiklan täytäntöönpanossa. Tätä varten on sovellettava kyseisiä artikloja.

2.      Kunkin jäsenvaltion on säädettävä, että puitepäätöksen [2008/977] 21 ja 22 artiklan täytäntöönpanoa varten kansallisessa oikeudessa annettuja tietojenkäsittelyn luottamuksellisuutta ja tietoturvaa koskevia säännöksiä, sovelletaan myös kaikkeen tämän direktiivin nojalla tapahtuvaan henkilötietojen käsittelyyn.

3.      Tämä direktiivi ei estä soveltamasta [direktiiviä 95/46] lentoliikenteen harjoittajien suorittamaan henkilötietojen käsittelyyn eikä etenkään rajoita heidän velvollisuuttaan toteuttaa asianmukaisia teknisiä ja organisatorisia toimenpiteitä henkilötietojen turvan ja luottamuksellisuuden suojelemiseksi.

4.      Jäsenvaltioiden on kiellettävä sellaisten PNR-tietojen käsittely, jotka paljastavat henkilön rodun tai etnisen alkuperän, poliittiset mielipiteet, uskonnollisen tai filosofisen vakaumuksen, ammattiliiton jäsenyyden, terveydentilan tai seksuaalielämän tai sukupuolisen suuntautumisen. Jos matkustajatietoyksikkö vastaanottaa PNR-tietoja, joista käy ilmi jokin tällainen tieto, kyseiset tiedot on välittömästi poistettava.

5.      Jäsenvaltioiden on varmistettava, että matkustajatietoyksikkö säilyttää asiakirjat kaikista vastuullaan tapahtuvista tietojenkäsittelyjärjestelmistä ja ‑menettelyistä. Näihin asiakirjoihin on sisällyttävä ainakin:

a)      matkustajatietoyksikön organisaation ja PNR-tietojen käsittelystä vastaavan henkilöstön nimet ja yhteystiedot sekä eritasoiset valtuudet saada tietoja;

b)      muiden jäsenvaltioiden toimivaltaisten viranomaisten ja matkustajatietoyksiköiden tekemät pyynnöt;

c)      kaikki PNR-tietoja koskevat pyynnöt ja PNR-tietojen siirrot kolmansiin maihin.

Matkustajatietoyksikön on asetettava kaikki sellaiset asiakirjat pyynnöstä kansallisen valvontaviranomaisen saataville.

33      Kyseisen direktiivin 15 artiklassa, jonka otsikko on ”Kansallinen valvontaviranomainen”, säädetään seuraavaa:

”1.      Kunkin jäsenvaltion on säädettävä, että puitepäätöksen [2008/977] 25 artiklassa tarkoitettu kansallinen valvontaviranomainen vastaa jäsenvaltioiden tämän direktiivin nojalla antamien säännösten soveltamisen valvonnasta omalla alueellaan ja tähän liittyvästä neuvonnasta.

2.      Näiden valvontaviranomaisten on toteutettava 1 kohdan mukaisia toimia perusoikeuksien suojelemiseksi henkilötietojen käsittelyssä.

3.      Kaikkien kansallisten viranomaisten on:

a)      käsiteltävä rekisteröityjen tekemiä valituksia ja tutkittava ne sekä ilmoitettava rekisteröidylle asian etenemisestä sekä näiden valituksia koskevista ratkaisuistaan kohtuullisen ajan kuluessa;

b)      tarkastettava tietojen käsittelyn lainmukaisuus, tehtävä tutkimuksia, todentamisia ja tarkastuksia kansallisen oikeuden mukaisesti joko omasta aloitteestaan tai a alakohdassa tarkoitetun valituksen perusteella.

4.      Kaikkien kansallisten valvontaviranomaisten on pyynnöstä annettava rekisteröidyille neuvontaa tämän direktiivin nojalla annetuissa säädöksissä vahvistettujen oikeuksien käytöstä.”

34      Mainitun direktiivin 19 artiklassa, jonka otsikko on ”Uudelleentarkastelu”, säädetään seuraavaa:

”1.      Jäsenvaltioiden toimittamien tietojen perusteella, mukaan lukien 20 artiklan 2 kohdassa tarkoitetut tilastotiedot, komissio tarkastelee 25 päivänä toukokuuta 2020 kaikkia direktiivin osa-alueita ja esittää Euroopan parlamentille ja [Euroopan unionin] neuvostolle kertomuksen.

2.      Komissio kiinnittää tarkastelussaan erityistä huomiota:

a)      sovellettavien henkilötietojen suojaa koskevien sääntöjen noudattamiseen;

b)      PNR-tietojen keräämisen ja käsittelyn tarpeellisuuteen ja oikeasuhteisuuteen kunkin tässä direktiivissä esitetyn tarkoituksen kannalta;

c)      tietojen säilytysaikaan;

d)      jäsenvaltioiden välisen tietojenvaihdon tehokkuuteen; ja

e)      arviointien laatuun myös 20 artiklan nojalla kerättyjen tilastotietojen kannalta.

3.      Edellä 1 kohdassa tarkoitetussa kertomuksessa on tarkasteltava myös kaikkiin tai valikoituihin tämän direktiivin soveltamisalaan kuuluviin EU:n sisäisiin lentoihin liittyvien PNR-tietojen pakollisen keräämisen ja siirtämisen tarpeellisuutta, oikeasuhteisuutta ja tehokkuutta. Komissio ottaa huomioon jäsenvaltioiden saamat kokemukset ja erityisesti niiden jäsenvaltioiden saamat kokemukset, jotka soveltavat tätä direktiiviä EU:n sisäisiin lentoihin 2 artiklan mukaisesti. Kertomuksessa on myös tarkasteltava tarvetta sisällyttää tämän direktiivin soveltamisalaan muita kuin lentoliikennettä harjoittavia talouden toimijoita, kuten matkatoimistot ja matkanjärjestäjät, jotka suorittavat matkoihin liittyviä palveluja, mukaan lukien lentojen varaaminen.

4.      Tämän artiklan mukaisesti toteutetun tarkastelun perusteella komissio toimittaa tarvittaessa säädösehdotuksen Euroopan parlamentille ja neuvostolle tämän direktiivin muuttamiseksi.”

35      Saman direktiivin 21 artiklan, jonka otsikko on ”Suhde muihin välineisiin”, 2 kohdassa säädetään seuraavaa:

”Tämä direktiivi ei rajoita lentoliikenteen harjoittajien mahdollisuutta soveltaa direktiiviä [95/46] henkilötietojen käsittelyyn.”

36      PNR-direktiivin liitteessä I, jonka otsikko on ”Lentoliikenteen harjoittajien keräämät matkustajarekisteritiedot (PNR-tiedot)”, säädetään seuraavaa:

”1.      PNR-varaustunnus

2.      Lipun varauspäivä/kirjoituspäivä

3.      Suunniteltu (suunnitellut) matkustuspäivä(t)

4.      Nimi (nimet)

5.      Osoite ja yhteystiedot (puhelinnumero, sähköpostiosoite)

6.      Kaikki maksutapaa koskevat tiedot, myös laskutusosoite

7.      Tietyn PNR:n kaikki matkareittitiedot

8.      Kanta-asiakastiedot

9.      Matkatoimisto/matkatoimistovirkailija

10.      Matkustajan matkustustilanne mukaan luettuina vahvistukset, lähtöselvitystilanne, viime hetkellä lennolta pois jääminen (no show) tai viime hetken lähtö ilman varausta (go show)

11.      Jaetut PNR-tiedot

12.      Yleiset huomautukset (mukaan lukien kaikki saatavilla olevat tiedot alle 18-vuotiaista ilman huoltajaa matkustavista alaikäisistä, kuten alaikäisen nimi ja sukupuoli, ikä, kieli tai kielet, jo(i)ta hän puhuu, lähdön yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, saapumisen yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, asiamies lähdön ja saapumisen yhteydessä)

13.      Lipunkirjoituskentän tiedot, joihin kuuluvat lipun numero, lipun kirjoituspäivä ja yhdensuuntaiset liput sekä lipun hinnan ilmoittamista koskevat ATFQ-tiedot (Automated Ticket Fare Quote)

14.      Istumapaikan numero ja muut paikkatiedot

15.      Yhteistunnusten käyttöä koskevat tiedot

16.      Kaikki matkatavaratiedot

17.      Muiden PNR-tiedoissa olevien matkustajien määrä ja nimet

18.      Matkustajan ennakkotiedot (Advance Passenger Information, API), jos sellaisia on kerätty (mm. [henkilöllisyys]asiakirjan tyyppi, numero, myöntämismaa ja voimassaoloaika, kansalaisuus, sukunimi, etunimi, sukupuoli, syntymäaika, lentoyhtiö, lennon numero, lähtöpäivä, saapumispäivä, lähtökenttä, saapumiskenttä, lähtöaika ja saapumisaika)

19.      Kaikki aiemmin tehdyt muutokset 1–18 kohdassa lueteltuihin PNR-tietoihin.”

37      Kyseisen direktiivin liitteessä II, jonka otsikko on ”3 artiklan 9 alakohdassa tarkoitettujen rikosten luettelo”, säädetään seuraavaa:

”1.      rikollisjärjestöön osallistuminen

2.      ihmiskauppa

3.      lasten seksuaalinen hyväksikäyttö ja lapsipornografia

4.      huumausaineiden ja psykotrooppisten aineiden laiton kauppa

5.      aseiden, ampumatarvikkeiden ja räjähteiden laiton kauppa

6.      lahjonta

7.      petokset, mukaan lukien unionin taloudellisiin etuihin kohdistuvat petokset

8.      rikoksen tuottaman hyödyn rahanpesu ja rahan, mukaan lukien euron, väärentäminen

9.      tietoverkkorikollisuus / kyberrikollisuus

10.      ympäristörikollisuus, mukaan lukien uhanalaisten eläinlajien ja uhanalaisten kasvilajien ja ‑lajikkeiden laiton kauppa

11.      laittomassa maahantulossa ja maassa oleskelussa avustaminen

12.      murha, vakavan ruumiinvamman aiheuttaminen

13.      ihmisen elinten ja kudosten laiton kauppa

14.      ihmisryöstö, vapaudenriisto ja panttivangiksi ottaminen

15.      järjestäytynyt varkausrikollisuus ja aseellinen ryöstö

16.      kulttuuriomaisuuden, mukaan lukien antiikki- ja taide-esineiden, laiton kauppa

17.      tuotteiden laiton väärentäminen ja jäljentäminen

18.      hallinnollisten asiakirjojen väärentäminen ja kaupankäynti väärennöksillä

19.      hormonivalmisteiden ja muiden kasvua edistävien aineiden laiton kauppa

20.      ydin- ja radioaktiivisten aineiden laiton kauppa

21.      raiskaus

22.      Kansainvälisen rikostuomioistuimen tuomiovaltaan kuuluvat rikokset

23.      ilma-aluksen tai aluksen kaappaus

24.      tuhotyö

25.      varastettujen ajoneuvojen laiton kauppa

26.      teollisuusvakoilu.”

7.     Puitepäätös 2002/475

38      Puitepäätöksen 2002/475 1 artiklassa määriteltiin terrorismirikoksen käsite luettelemalla saman artiklan a–i alakohdassa joukko tahallisia tekoja, joiden tarkoituksena on ”pelotella vakavasti väestöä”, ”pakottaa aiheettomasti viranomaiset tai kansainvälinen järjestö johonkin tekoon tai pidättymään jostakin teosta” tai ”horjuttaa vakavasti jonkin maan tai kansainvälisen järjestön poliittisia, perustuslaillisia, taloudellisia tai sosiaalisia perusrakenteita tai tuhota ne”. Kyseisen puitepäätöksen 2 ja 3 artiklassa määriteltiin terroristiryhmään liittyvien terrorismirikosten ja terroritoimintaan liittyvien rikosten käsitteet. Mainitun puitepäätöksen 4 artikla koski näihin rikoksiin avunannon tai yllyttämisen ja näiden rikosten yrityksen säätämistä rangaistavaksi.

39      Puitepäätös 2002/475 on kumottu terrorismin torjumisesta sekä [puitepäätöksen 2002/475] korvaamisesta sekä neuvoston päätöksen 2005/671/YOS muuttamisesta 15.3.2017 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) 2017/541 (EUVL 2017, L 88, s. 6), jonka 3–14 artiklaan sisältyy vastaavat määritelmät.

B       Belgian oikeus

1.     Perustuslaki

40      Perustuslain (constitution) 22 §:ssä säädetään seuraavaa:

”Jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä kunnioitetaan, laissa säädettyjä tapauksia ja edellytyksiä lukuun ottamatta.

Lailla, asetuksella tai 134 §:ssä tarkoitetulla säännöllä taataan tämän oikeuden suojaaminen.”

2.     25.12.2016 annettu laki

41      Matkustajatietojen käsittelystä 25.12.2016 annetun lain (loi du 25 décembre 2016 relative au traitement des données des passagers) (Moniteur belge 25.1.2017, s. 12905) (jäljempänä 25.12.2016 annettu laki) 2 §:ssä säädetään seuraavaa:

”Tällä lailla ja tämän lain täytäntöön panemiseksi annetuilla kuninkaan asetuksilla saatetaan [API-direktiivi] ja [PNR-direktiivi] osaksi kansallista oikeusjärjestystä. Tällä lailla ja merenkulkualaa koskevalla kuninkaan asetuksella saatetaan direktiivi [2010/65] osittain osaksi kansallista oikeusjärjestystä.”

42      Kyseisen lain 3 §:ssä säädetään seuraavaa:

”1 momentti.      Tässä laissa vahvistetaan liikenteenharjoittajien ja matkanjärjestäjien velvollisuudet, jotka koskevat sellaisten matkustajien tietojen välittämistä, joiden tarkoituksena on saapua valtion alueelle, jotka lähtevät sieltä tai jotka kulkevat sen kautta.

2 momentti.      Kuningas vahvistaa hallituksen istunnossa annettavalla asetuksella yksityisyyden suojaa käsittelevän lautakunnan kuulemisen jälkeen liikennealakohtaisesti ja matkanjärjestäjien osalta välitettävät matkustajatiedot ja niiden välittämistä koskevat yksityiskohtaiset säännöt.”

43      Mainitun lain 4 §:ssä säädetään seuraavaa:

”Tätä lakia ja sen täytäntöönpanosta annettuja asetuksia sovellettaessa tarkoitetaan

– –

8°      ’toimivaltaisilla viranomaisilla’ 14 §:n 1 momentin 2 kohdassa mainittuja viranomaisia

9°      ’PNR:llä’ kunkin matkustajan matkustustiedot sisältävää rekisteriä, joka sisältää jäljempänä 9 §:ssä tarkoitetut tiedot, jotka asianomaiset lippuvarauksia tekevät liikenteenharjoittajat tai matkanjärjestäjät tarvitsevat varausten käsittelyä ja valvontaa varten, kunkin matkan osalta, jonka henkilö on varannut tai joka on varattu hänen puolestaan, riippumatta siitä, sisältyykö rekisteri varausjärjestelmään, lähtöselvitysjärjestelmään (jota käytetään lentomatkustajien lähtöselvityksen tekemiseksi) vai muuhun vastaavaan järjestelmään, jossa on samat toiminnot

10°      ’matkustajalla’ miehistöön kuulumatonta henkilöä, mukaan lukien vaihto- tai kauttakulkumatkustajat, jota liikenteenharjoittaja kuljettaa tai jota liikenteenharjoittajan on tarkoitus kuljettaa suostumuksellaan, joka käy ilmi siitä, että kyseinen henkilö on kirjattu matkustajaluetteloon

– –”

44      Edellä mainitun 25.12.2016 annetun lain 8 §:ssä säädetään seuraavaa:

”1 momentti.      Matkustajatietoja käsitellään

1°      rikostutkinnasta annetun lain (code d’instruction criminelle) 90ter §:n 2 momentin – – 7, – – 8, – – 11, – – 14, – – 17, 18 ja 19 kohdassa ja 3 momentissa tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi, mukaan lukien rangaistusten tai vapauden rajoitusta koskevien toimenpiteiden täytäntöön panemiseksi

2°      rikoslain (code pénal) 196 §:ssä tarkoitettuihin virallisten ja julkisten asiakirjojen väärentämiseen liittyvien rikosten sekä rikoslain 198, 199, 199bis, 207, 213, 375 ja 505 §:ssä tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi, mukaan lukien rangaistusten tai vapauden rajoitusta koskevien toimenpiteiden täytäntöön panemiseksi

– –

4°      tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetun lain (loi du 30 novembre 1998 organique des services de renseignement et de sécurité) 7 §:n 1 ja 3/1 kohdassa ja 11 §:n 1 momentin 1–3 ja 5 kohdassa tarkoitetun toiminnan seuraamiseksi

5°      18.7.1977 annetun yleisen tulli- ja valmisteverolain (loi générale sur les douanes et accises du 18 juillet 1977) 220 §:n 2 momentissa ja yleisestä valmisteverojärjestelmästä 22.12.2009 annetun lain (loi du 22 décembre 2009 relative au régime général d’accises) 45 §:n 3 momentissa tarkoitettujen rikosten tutkimiseksi ja niitä koskevien syytetoimien toteuttamiseksi.

2 momentti.      Jäljempänä 11 luvussa säädetyin edellytyksin matkustajatietoja käsitellään myös ulkorajoilla suoritettavien henkilötarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi.”

45      Kyseisen lain 14 §:n 1 momentissa säädetään seuraavaa:

”Matkustajatietoyksikköön kuuluu

– –

2°      seuraavista toimivaltaisista viranomaisista lähetettyjä jäseniä:

a)      kaksitasoisen yhdennetyn poliisiviranomaisen järjestämisestä 7.12.1998 annetussa laissa (loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux) tarkoitetut poliisiyksiköt

b)      tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetussa laissa (loi du 30 novembre 1998 organique des services de renseignement et de sécurité) tarkoitettu Sûreté de l’État (valtion turvallisuuspalvelu)

c)      tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetussa laissa tarkoitettu Service général de Renseignement et de Sécurité (yleinen tiedustelu- ja turvallisuuspalvelu)

– –”

46      Mainitun lain 10 luvun, joka koskee tietojenkäsittelyä, 1 jaksoon, jonka otsikko on ”Matkustajatietojen käsittely matkustajien etukäteisarvioinnin yhteydessä”, sisältyvässä 24 §:ssä säädetään seuraavaa:

”1 momentti. Matkustajatietoja käsitellään matkustajien etukäteisarvioinnin suorittamiseksi ennen heidän saapumistaan valtion alueelle, lähtöään sieltä tai suunniteltua kauttakulkuaan valtion alueella sen selvittämiseksi, kenestä on tehtävä perusteellisempi tutkinta.

2 momentti.      Edellä 8 §:n 1 momentin 1, 4 ja 5 kohdassa säädettyjen tarkoitusten yhteydessä tai tiedustelu- ja turvallisuuspalveluista 30.11.1998 annetun lain 8 §:n 1 kohdan a, b, c, d, f, ja g alakohdassa ja 11 §:n 2 momentissa mainittujen uhkien yhteydessä matkustajien etukäteisarviointi perustuu positiiviseen vastaavuuteen, joka johtuu matkustajatietojen korrelaatiosta

1°      tietokantojen kanssa, joita toimivaltaiset viranomaiset hallinnoivat tai jotka ovat toimivaltaisten viranomaisten välittömästi käytettävissä tai saatavilla näiden tehtävien yhteydessä, tai henkilöluetteloiden kanssa, joita toimivaltaiset viranomaiset ovat laatineet tehtäviensä yhteydessä

2°      matkustajatietoyksikön ennalta määrittämien 25 §:ssä tarkoitettujen arviointikriteerien kanssa.

3 momentti.      Edellä 8 §:n 1 momentin 3 kohdassa säädettyjen tarkoitusten yhteydessä matkustajien etukäteisarviointi perustuu positiiviseen vastaavuuteen, joka johtuu matkustajatietojen korrelaatiosta 2 momentin 1 kohdassa tarkoitettujen tietokantojen kanssa.

4 momentti.      Matkustajatietoyksikkö vahvistaa positiivisen vastaavuuden 24 tunnin kuluessa positiivista vastaavuutta koskevan automaattisen ilmoituksen vastaanottamisesta.

5 momentti.      Tämän vahvistamisen jälkeen toimivaltainen viranomainen, jonka toimenpiteistä tämä positiivinen vastaavuus on aiheutunut, ryhtyy asianmukaisiin toimenpiteisiin mahdollisimman nopeasti.”

47      Kyseisen 25.12.2016 annetun lain 11 lukuun, jonka otsikko on ”Matkustajatietojen käsittely rajavalvonnan parantamiseksi ja laittoman maahanmuuton torjumiseksi”, sisältyy lain 28–31 §.

48      Kyseisen lain 28 §:ssä säädetään seuraavaa:

”1 momentti. Tätä lukua sovelletaan rajavalvonnasta vastaavan poliisiviranomaisen tai ulkomaalaisviraston (Office des étrangers) suorittamaan matkustajatietojen käsittelyyn ulkorajoilla tehtävien henkilötarkastusten tehostamiseksi ja laittoman maahanmuuton torjumiseksi.

2 momentti. Sen soveltaminen ei vaikuta rajatarkastuksista vastaavien poliisiviranomaisten ja ulkomaalaisviraston velvollisuuksiin toimittaa henkilötietoja tai muita tietoja lakien tai asetusten nojalla.”

49      Mainitun lain 29 §:ssä säädetään seuraavaa:

”1 momentti. Edellä 28 §:n 1 momentissa säädettyjä tarkoituksia varten matkustajatiedot toimitetaan rajavalvonnasta vastaaville poliisiviranomaisille ja ulkomaalaisvirastolle, jotta nämä voivat suorittaa lakisääteiset tehtävänsä tässä pykälässä säädetyissä rajoissa.

2 momentti.      Vain seuraavia matkustajaryhmiä koskevat 9 §:n 1 momentin 18 kohdassa tarkoitetut matkustajatiedot välitetään:

1°      matkustajat, joiden tarkoituksena on tulla tai jotka ovat tulleet valtion alueelle ylittämällä Belgian ulkorajan

2°      matkustajat, joiden tarkoituksena on poistua tai jotka ovat poistuneet valtion alueelta ylittämällä Belgian ulkorajan

3°      matkustajat, joiden tarkoituksena on kulkea Belgiassa sijaitsevan kansainvälisen kauttakulkualueen kautta, jotka ovat tällaisella alueella tai jotka ovat kulkeneet tällaisen alueen kautta.

3 momentti.      Edellä 2 momentissa tarkoitetut matkustajatiedot toimitetaan Belgian ulkorajoilla suoritettavista tarkastuksista vastaaville poliisiviranomaisille välittömästi sen jälkeen, kun ne on tallennettu matkustajatietokantaan. Poliisiviranomaiset tallentavat kyseiset tiedot väliaikaiseen tiedostoon ja hävittävät ne 24 tunnin kuluttua niiden välittämisestä.

4 momentti.      Edellä 2 momentissa tarkoitetut matkustajatiedot toimitetaan ulkomaalaisvirastolle heti sen jälkeen, kun ne on tallennettu matkustajatietokantaan, jos se tarvitsee niitä lakisääteisten tehtäviensä hoitamiseksi. Ulkomaalaisvirasto tallentaa kyseiset tiedot väliaikaiseen tiedostoon ja tuhoaa ne 24 tunnin kuluttua niiden välittämisestä.

Jos tämän määräajan päätyttyä oikeus saada 2 momentissa tarkoitettuja matkustajatietoja on tarpeen ulkomaalaisviraston lakisääteisten tehtävien hoitamiseksi, ulkomaalaisvirasto lähettää matkustajatietoyksikölle asianmukaisesti perustellun pyynnön.

– –”

50      Kyseinen 25.12.2016 annettu laki on saatettu voimaan lentoyhtiöihin nähden 25.12.2016 annetun lain täytäntöönpanosta 18.7.2017 annetulla kuninkaan asetuksella, johon sisältyy lentoyhtiöiden velvollisuudet (arrêté royal du 18 juillet 2017 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les compagnies aériennes) (Moniteur belge 28.7.2017, s. 75934), kansainvälistä henkilöliikennettä suorittaviin liikenteenharjoittajiin (HST-liikenteenharjoittajat) ja tällaisten liikenteenharjoittajien kanssa sopimuksen tehneisiin matkanvälittäjiin (HST-matkanvälittäjät) nähden 25.12.2016 annetun lain täytäntöönpanosta 3.2.2019 annetulla kuninkaan asetuksella, johon sisältyy HST-liikenteenharjoittajien ja HST-matkanvälittäjien velvollisuudet (arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs HST et distributeurs de tickets HST) (Moniteur belge, 12.2.2019, s. 13018) sekä linja-autoliikenteen harjoittajiin nähden 25.12.2016 annetun lain täytäntöönpanosta 3.2.2019 annetulla kuninkaan asetuksella, johon sisältyy linja-autoliikenteen harjoittajien velvollisuudet (arrêté royal du 3 février 2019 relatif à l’exécution de la loi du 25 décembre 2016, reprenant les obligations pour les transporteurs par bus) (Moniteur belge, 12.2.2019, s. 13023).

II     Pääasia ja ennakkoratkaisukysymykset

51      Ligue des droits humains nosti 24.7.2017 Cour constitutionnellessa (perustuslakituomioistuin, Belgia) kanteen, jossa vaaditaan 25.12.2016 annetun lain kumoamista kokonaan tai osittain.

52      Ennakkoratkaisua pyytänyt tuomioistuin selittää, että kyseisellä lailla saatetaan osaksi kansallista oikeusjärjestystä PNR-direktiivi, API-direktiivi ja osittain direktiivi 2010/65. Mainitun lain esitöistä ilmenee, että lain tarkoituksena on ”luoda lainsäädännölliset puitteet, joilla asetetaan eri kansainvälisen henkilöliikenteen aloille (lentoliikenne, rautatieliikenne, kansainvälinen maantieliikenne ja meriliikenne) ja matkanjärjestäjille velvollisuus välittää tiedot matkustajistaan tietokantaan, jota ylläpitää [Service public fédéral intérieur (sisäministeriö)]”. Kansallinen lainsäätäjä on myös täsmentänyt, että 25.12.2016 annetun lain tavoitteet jakautuvat kolmeen luokkaan, jotka ovat ensinnäkin rikosten ehkäiseminen ja paljastaminen, tutkinta ja syytteeseenpano tai rikosoikeudellisten seuraamusten täytäntöönpano, toiseksi tiedustelu- ja turvallisuuspalvelujen tehtävät ja kolmanneksi ulkorajavalvonnan parantaminen ja laittoman maahanmuuton torjunta.

53      Ligue des droits humains esittää kanteensa tueksi kaksi kanneperustetta, joista ensimmäinen koskee perustuslain 22 §:n, luettuna yhdessä yleisen tietosuoja-asetuksen 23 artiklan, perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan sekä Euroopan ihmisoikeussopimuksen 8 artiklan rikkomista, ja toinen, johon vedotaan toissijaisesti, koskee kyseisen 22 §:n, luettuna yhdessä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kanssa, rikkomista.

54      Ensimmäisellä kanneperusteellaan Ligue des droits humains vetoaa lähinnä siihen, että kyseinen laki merkitsee puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin oikeuksiin, mikä ei ole perusoikeuskirjan 52 artiklan 1 kohdan ja varsinkaan suhteellisuusperiaatteen mukaista. Mainitun lain soveltamisala ja kerättävien tietojen, jotka voivat paljastaa arkaluonteisia tietoja, määritelmä ovat nimittäin liian laajoja. Samoin samassa laissa tarkoitettu matkustajan käsite mahdollistaa kaikkien matkustajien tietojen järjestelmällisen ja kohdentamattoman automaattisen käsittelyn. Lisäksi prescreening-menetelmän luonnetta ja siihen sovellettavia yksityiskohtaisia sääntöjä sekä tietokantoja, joihin näitä tietoja verrataan, ei ole määritelty riittävän selvästi. Lisäksi 25.12.2016 annetulla lailla pyritään pääasian kantajan mukaan muihin kuin PNR-direktiivin mukaisiin tavoitteisiin. Lopuksi pääasian kantaja katsoo, että mainittujen tietojen säilyttämiselle kyseisessä laissa säädetty viiden vuoden aika on suhteeton.

55      Toisella kanneperusteellaan, joka kohdistuu 25.12.2016 annetun lain 3 §:n 1 momenttiin, 8 §:n 2 momenttiin ja 28–31 §:ään, Ligue des droits vetoaa siihen, että koska kyseisillä säännöksillä ulotetaan PNR-direktiivissä säädetty järjestelmä koskemaan EU:n sisäistä liikennettä, niillä palautetaan välillisesti henkilöiden vapaan liikkuvuuden vastaiset rajatarkastukset sisärajoille. Kun henkilö on Belgian alueella, hänen tietonsa nimittäin kerätään automaattisesti joko hänen saapuessaan, hänen lähtiessään tai välilaskun vuoksi.

56      Belgian hallitus kiistää nämä väitteet. Se katsoo erityisesti, että ensimmäinen kanneperuste on jätettävä tutkimatta siltä osin kuin se koskee yleistä tietosuoja-asetusta, jota ei voida soveltaa 25.12.2016 annettuun lakiin. Lisäksi kyseisessä laissa säädetty tietojen käsittely PNR-direktiivin mukaisesti on olennainen väline muun muassa terrorismin ja vakavan rikollisuuden torjunnassa, ja mainitusta laista johtuvat toimenpiteet ovat tarpeellisia tavoiteltujen päämäärien saavuttamiseksi ja oikeasuhteisia.

57      Ennakkoratkaisua pyytänyt tuomioistuin pohtii ensimmäisen kanneperusteen osalta ensinnäkin yleisellä tietosuoja-asetuksella säädetyn suojan sovellettavuutta 25.12.2016 annetulla lailla, jonka tarkoituksena on ensisijaisesti PNR-direktiivin täytäntöönpano, säädettyyn tietojen käsittelyyn. Kyseinen tuomioistuin toteaa tämän jälkeen 26.7.2017 annettuun lausuntoon 1/15 ((EU–Kanada-PNR-sopimus) EU:C:2017:592) perustuvaan oikeuskäytäntöön viitaten, että kyseisen direktiivin 3 artiklan 5 alakohtaan ja liitteeseen I sisältyvä PNR-tietojen määritelmä ei ensinnäkään mahdollisesti ole riittävän selvä ja täsmällinen, koska näihin säännöksiin sisältyvä kuvaus tietyistä tiedoista ei ole tyhjentävä, ja toiseksi sen välillisenä seurauksena on arkaluonteisten tietojen paljastaminen. Lisäksi mainitun direktiivin 3 artiklan 4 alakohtaan sisältyvä matkustajan käsitteen määritelmä voi johtaa siihen, että PNR-tietojen kerääminen, siirto, käsittely ja säilyttäminen ovat yleisiä ja toisistaan erottamattomia velvoitteita, joita sovelletaan kaikkiin kuljetettuihin tai kuljetettaviin henkilöihin, jotka on kirjattu matkustajaluetteloon, riippumatta siitä, onko olemassa painavia syitä uskoa, että kyseinen henkilö on tehnyt tai aikoo tehdä rikoksen tai että hänen on todettu syyllistyneen rikokseen.

58      Mainittu tuomioistuin huomauttaa vielä, että PNR-tiedoista tehdään PNR-direktiivin säännösten mukaisesti järjestelmällinen etukäteisarviointi, joka edellyttää vertailua tietokantojen tai ennalta määritettyjen kriteerien kanssa vastaavuuksien toteamiseksi. Euroopan neuvoston sopimuksen nro 108 nojalla perustettu neuvoa-antava komitea on kuitenkin todennut 19.8.2016 antamassaan lausunnossa, joka koskee vaikutuksia matkustajatietojen suojan alalla (T-PD(2016)18rev), että henkilötietojen käsittely koskee kaikkia matkustajia eikä pelkästään kohdennetusti henkilöitä, joita epäillään rikokseen osallistumisesta tai joiden epäillään muodostavan välittömän uhan kansalliselle turvallisuudelle tai yleiselle järjestykselle, ja että PNR-tietoja voidaan sekä verrata tietokantoihin (data matching) että myös käsitellä tiedonlouhintatekniikalla (data mining) valintakriteerien tai ennakoivien algoritmien avulla sellaisten henkilöiden tunnistamiseksi, jotka saattavat olla osallisina rikollisessa toiminnassa tai ryhtyä sellaiseen, joten matkustajien tällainen arviointi tietokartoituksella voi nostaa esiin kysymyksen ennakoitavuudesta, erityisesti silloin, kun arviointi suoritetaan sellaisten ennakoivien algoritmien avulla, jotka käyttävät dynaamisia kriteerejä, jotka voivat jatkuvasti muuttua automatisoidun oppimiskyvyn mukaan. Ennakkoratkaisua pyytänyt tuomioistuin katsoo tässä yhteydessä, että riskiprofiilien määrittämistä koskevien ennalta määritettyjen kriteerien on oltava erityisiä, luotettavia ja syrjimättömiä 26.7.2017 annetun lausunnon 1/15 ((EU–Kanada-PNR-sopimus) EU:C:2017:592) mukaisesti mutta että vaikuttaa teknisesti mahdottomalta määritellä näitä kriteerejä tarkemmin.

59      Ennakkoratkaisua pyytänyt tuomioistuin toteaa PNR-direktiivin 12 artiklassa säädetyistä viiden vuoden säilytysajasta ja tietojen saannista, että Commission de la protection de la vie privée (yksityisyyden suojaa käsittelevä lautakunta, Belgia) on EU:n ja Amerikan yhdysvaltojen välisen PNR-sopimuksen hyväksymistä koskevasta lakiehdotuksesta 13.1.2010 antamassaan lausuntoaloitteessa nro 01/2010 katsonut, että kun tietojen säilytysaika on pitkä ja kun tietoja säilytetään massoittain, riski rekisteröityjen profiloinnista kasvaa ja myös riski näiden tietojen käyttämisestä muihin kuin alun perin säädettyihin tarkoituksiin kasvaa. Lisäksi Euroopan neuvoston sopimuksen nro 108 nojalla perustetun neuvoa-antavan komitean 19.8.2016 antamasta lausunnosta ilmenee, että tiedoista, joista on poistettu osia, voidaan edelleenkin tunnistaa kyseiset henkilöt ja siten ne ovat edelleenkin henkilötietoja ja että niiden säilytysajan olisi oltava myöskin rajattu yleisen ja pysyvän valvonnan välttämiseksi.

60      Kun otetaan huomioon erityisesti 26.7.2017 annettuun lausuntoon 1/15 ((EU–Kanada-PNR-sopimus) EU:C:2017:592) perustuva oikeuskäytäntö, ennakkoratkaisua pyytänyt tuomioistuin pohtii tässä tilanteessa, voidaanko PNR-direktiivillä käyttöön otetun PNR-tietojen keräys-, siirto-, käsittely- ja säilytysjärjestelmän katsoa noudattavan sen rajoja, mikä on täysin välttämätöntä. Kyseinen tuomioistuin katsoo, että on myös ratkaistava, onko kyseinen direktiivi esteenä kansalliselle lainsäädännölle, jossa sallitaan PNR-tietojen käsittely muussa kuin mainitussa direktiivissä säädetyssä tarkoituksessa, ja voiko 25.12.2016 annetulla lailla perustetun matkustajatietoyksikön kaltainen kansallinen viranomainen hyväksyä kaikkien näiden tietojen luovuttamisen sen jälkeen, kun tunnistamisen mahdollistavat tiedot on erotettu niistä saman direktiivin 12 artiklan mukaisesti.

61      Ennakkoratkaisua pyytänyt tuomioistuin toteaa toisesta kanneperusteesta, että kyseisen lain 3 §:n 1 momentissa määritellään liikenteenharjoittajien ja matkanjärjestäjien velvollisuudet välittää tiedot matkustajista, ”jotka saapuvat valtion alueelle, lähtevät sieltä tai kulkevat sen kautta”. Lisäksi kyseinen tuomioistuin toteaa mainitun lain soveltamisalasta, että kansallinen lainsäätäjä on päättänyt ”ulottaa tietojen keräämisen myös EU:n sisälle” saadakseen ”täydellisemmän kuvan sellaisten matkustajien liikkumisesta, jotka muodostavat potentiaalisen turvallisuusuhan yhteisön sisällä ja kansallisesti”, kuten PNR-direktiivin 2 artiklassa, luettuna yhdessä kyseisen direktiivin johdanto-osan kymmenennen perustelukappaleen kanssa, säädetään unionin sisäisten lentojen osalta. Mainittu tuomioistuin täsmentää vielä, että Commission de la protection de la vie privée on 25.12.2016 annetun lain säätämiseen johtaneesta lakiehdotuksesta 16.12.2015 antamassaan lausunnossa nro 55/2015 pohtinut Belgian PNR-järjestelmän ja henkilöiden vapaan liikkuvuuden periaatteen välillä mahdollisesti vallitsevaa ristiriitaa siltä osin kuin Belgian järjestelmään on sisällytetty unionin sisällä suoritettavat kuljetukset.

62      Tässä tilanteessa Cour constitutionnelle päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1)      Onko [yleisen tietosuoja-asetuksen] 23 artiklaa, luettuna yhdessä asetuksen 2 artiklan 2 kohdan d alakohdan kanssa, tulkittava siten, että sitä sovelletaan [25.12.2016 annetun lain] kaltaiseen kansalliseen lainsäädäntöön, jolla [PNR-direktiivi], [API-direktiivi] ja – – direktiivi [2010/65] saatetaan osaksi kansallista oikeusjärjestystä?

2)      Soveltuuko [PNR-direktiivin] liite I yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin liitteessä luetellut tiedot ovat hyvin laaja-alaisia – erityisesti [kyseisen direktiivin] liitteessä I olevassa 18 kohdassa tarkoitetut tiedot, joilla ylitetään [API-direktiivin] 3 artiklan 2 kohdassa tarkoitetut tiedot – ja siltä osin kuin yhdessä arvioituna kyseiset tiedot voivat paljastaa arkaluonteisia tietoja ja niillä voidaan siten rikkoa ”täysin välttämättömän” rajat?

3)      Soveltuvatko [PNR-direktiivin] liitteessä I olevat 12 ja 18 kohta yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin – kun otetaan huomioon ilmaisujen ”mukaan lukien” ja ”mm.” käyttö – kyseisissä kohdissa tarkoitetut tiedot mainitaan esimerkkeinä eikä tyhjentävästi, joten ei noudateta vaatimusta siitä, että sääntöjen, joilla puututaan yksityiselämän kunnioittamista koskevaan oikeuteen ja henkilötietojen suojaa koskevaan oikeuteen, on oltava täsmällisiä ja selkeitä?

4)      Soveltuvatko [PNR-direktiivin] 3 artiklan 4 alakohta ja liite I yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin kyseisillä säännöksillä käyttöön otettu matkustajatietojen yleistä keräämistä, siirtämistä ja käsittelyä koskeva järjestelmä koskee kaikkia henkilöitä, jotka käyttävät kyseistä liikennevälinettä, riippumatta siitä, onko olemassa mitään objektiivista seikkaa, jonka perusteella voidaan katsoa, että kyseinen henkilö voi merkitä riskiä yleiselle turvallisuudelle?

5)      Onko [PNR-direktiivin] 6 artiklaa, luettuna yhdessä – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa hyväksytään PNR-tietojen käsittelytarkoitukseksi tiedustelu- ja turvallisuuspalvelujen silmälläpitämän toiminnan seuranta, jolloin kyseinen käsittelytarkoitus on otettu osaksi terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista ja kyseisten rikosten syytetoimien mahdollistamista?

6)      Soveltuuko [PNR-direktiivin] 6 artikla yhteen – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa siltä osin kuin siinä säädetään, että matkustajatiedoista suoritetaan järjestelmällisesti ja yleisesti etukäteisarviointi, jossa tietoja verrataan tietopankkeihin ja ennalta määritettyihin kriteereihin, riippumatta siitä, onko olemassa mitään objektiivista seikkaa, jonka perusteella voidaan katsoa, että kyseiset matkustajat voivat merkitä riskiä yleiselle turvallisuudelle?

7)      Voidaanko [PNR-direktiivin] 12 artiklan 3 kohdassa tarkoitettua muun toimivaltaisen kansallisen viranomaisen käsitettä tulkita siten, että sillä tarkoitetaan 25.12.2016 annetulla lailla perustettua matkustajatietoyksikköä, joka voisi näin ollen sallia pääsyn PNR-tietoihin kuuden kuukauden määräajan päätyttyä kohdennettujen tutkimusten yhteydessä?

8)      Onko [PNR-direktiivin] 12 artiklaa, luettuna yhdessä – – perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa säädetään yleisestä tietojen säilytysajasta, joka on viisi vuotta, tekemättä eroa sen mukaan, osoittautuvatko asianomaiset matkustajat etukäteisarvioinnissa sellaisiksi, että he voivat merkitä riskiä yleiselle turvallisuudelle, vai eivät?

9)      a)      Soveltuuko [API-direktiivi] yhteen [SEU] 3 artiklan 2 kohdan ja – – perusoikeuskirjan 45 artiklan kanssa siltä osin kuin direktiivissä säädettyjä velvollisuuksia sovelletaan Euroopan unionin sisäisiin lentoihin?

b)      Onko [API-direktiiviä], luettuna yhdessä [SEU] 3 artiklan 2 kohdan ja – – perusoikeuskirjan 45 artiklan kanssa, tulkittava siten, että se on esteenä riidanalaisen lain kaltaiselle kansalliselle lainsäädännölle, jossa sallitaan laittoman maahanmuuton torjumiseksi ja rajavalvonnan tehostamiseksi matkustajatietojen keräämis- ja käsittelyjärjestelmä, kun kyse on matkustajista, ”joiden tarkoituksena on saapua valtion alueelle, jotka lähtevät sieltä tai jotka kulkevat sen kautta”, mikä voi merkitä välillisesti sisärajatarkastusten ottamista uudelleen käyttöön?

10)      Jos edellä esitettyihin ennakkoratkaisukysymyksiin annettujen vastausten perusteella Cour constitutionnelle katsoisi, että riidanalaisella lailla, jolla on pantu täytäntöön muun muassa [PNR-direktiivi], rikotaan yhtä tai useampaa ennakkoratkaisukysymyksissä mainittuihin määräyksiin tai säännöksiin perustuvaa velvollisuutta, voiko Cour constitutionnelle pitää väliaikaisesti voimassa 25.12.2016 annetun lain vaikutukset epäselvän oikeustilan välttämiseksi ja sen mahdollistamiseksi, että aiemmin kerättyjä ja säilytettyjä tietoja voidaan edelleenkin käyttää [kyseisessä] laissa säädettyjä tarkoituksia varten?”

III  Ennakkoratkaisukysymysten tarkastelu

A       Ensimmäinen kysymys

63      Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohtaa ja 23 artiklaa tulkittava siten, että kyseistä asetusta sovelletaan henkilötietojen käsittelyyn, josta säädetään kansallisessa lainsäädännössä, jonka tarkoituksena on saattaa samanaikaisesti PNR-direktiivi, API-direktiivi ja direktiivi 2010/65 osaksi kansallista oikeusjärjestystä, ja erityisesti PNR-tietojen siirtoon, säilyttämiseen ja käsittelyyn.

64      Kuten yleisen tietosuoja-asetuksen 2 artiklan 1 kohdasta ilmenee, tätä asetusta sovelletaan osittain tai kokonaan automatisoituun henkilötietojen käsittelyyn sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Käsite ”käsittely” määritellään mainitun asetuksen 4 artiklan 2 alakohdassa laajasti siten, että siihen sisältyy muun muassa tällaisten tietojen tai tietojoukkojen kerääminen, tallentaminen, säilyttäminen, kysely, käyttö, tietojen luovuttaminen siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittaminen tai poistaminen.

65      Belgian hallitus vetoaa kuitenkin siihen, että se, että talouden toimijat siirtävät PNR-tiedot matkustajatietoyksikölle rikosten ennalta estämistä ja paljastamista varten siten kuin siitä säädetään PNR-direktiivin 1 artiklan 1 kohdan a alakohdassa ja 2 kohdassa sekä 8 artiklassa, mikä on yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua henkilötietojen ”käsittelyä”, samoin kuin sekään, että tiedot on ensin koottu, eivät kyseisen asetuksen 2 artiklan 2 kohdan d alakohdan mukaan kuulu mainitun asetuksen soveltamisalaan, sillä 30.5.2006 annettuun tuomioon parlamentti v. neuvosto ja komissio (C-317/04 ja C-318/04, EU:C:2006:346, 57–59 kohta) perustuva direktiivin 95/46 3 artiklan 2 kohdan ensimmäistä luetelmakohtaa koskeva oikeuskäytäntö pätee vastaavasti kyseiseen mainitun asetuksen säännökseen.

66      Tältä osin pitää paikkansa, että – kuten unionin tuomioistuin on jo todennut – direktiivin 95/46, joka on kumottu ja korvattu yleisellä tietosuoja-asetuksella 25.5.2018 alkavin vaikutuksin, 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa jätettiin yleisesti sen soveltamisalan ulkopuolelle ”käsittely, joka koskee yleistä turvallisuutta, puolustusta [ja] valtion turvallisuutta”, tekemättä eroa sen perusteella, kuka asianomaisia tietoja on käsitellyt. Näin ollen yksityisten toimijoiden suorittama käsittely, joka seuraa viranomaisten niille asettamista velvollisuuksista, voi mahdollisesti kuulua kyseisessä säännöksessä säädetyn poikkeuksen soveltamisalaan, kun otetaan huomioon, että kyseisen säännöksen sanamuoto koski kaikkea käsittelyä, joka käsittelijästä riippumatta koskee yleistä turvallisuutta, puolustusta tai valtion turvallisuutta (ks. vastaavasti tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 101 kohta).

67      Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa tehdään kuitenkin tällainen erottelu, koska – kuten julkisasiamies on todennut ratkaisuehdotuksensa 41 ja 46 kohdassa – tämän säännöksen sanamuodosta ilmenee selvästi, että tietojenkäsittelyn kuulumiselle siinä säädetyn poikkeuksen piiriin on asetettu kaksi edellytystä. Ensimmäinen näistä edellytyksistä koskee käsittelyn tarkoituksia eli rikosten ennalta estämistä ja paljastamista, tutkintaa ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, ja toinen edellytys koskee käsittelijää eli kyseisessä säännöksessä tarkoitettua ”toimivaltaista viranomaista”.

68      Kuten unionin tuomioistuin on myös todennut, yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d ja h alakohdasta ilmenee, että yksityisten tämän asetuksen 2 artiklan 2 kohdan d ja h alakohdassa säädettyjä tarkoituksia varten suorittama henkilötietojen käsittely kuuluu asetuksen soveltamisalaan (ks. vastaavasti tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 102 kohta).

69      Tästä seuraa, että 30.5.2006 annettuun tuomioon parlamentti v. neuvosto ja komissio (C-317/04 ja C-318/04, EU:C:2006:346) perustuvaa oikeuskäytäntöä, johon Belgian hallitus on vedonnut, ei voida soveltaa yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa säädettyyn kyseisen asetuksen soveltamisalaa koskevaan poikkeukseen.

70      Tätä poikkeusta on lisäksi tulkittava suppeasti, kuten muitakin yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa säädettyjä kyseisen asetuksen soveltamisalaa koskevia poikkeuksia.

71      Kuten mainitun asetuksen johdanto-osan 19 perustelukappaleesta ilmenee, kyseisen poikkeuksen perusteluna on se seikka, että toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä muun muassa rikosten estämiseksi ja paljastamiseksi, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, sääntelee erityisempi unionin toimi eli direktiivi 2016/680, joka on annettu samana päivänä kuin yleinen tietosuoja-asetus (tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C-439/19, EU:C:2021:504, 69 kohta).

72      Kuten lisäksi direktiivin 2016/680 johdanto-osan 9–11 perustelukappaleessa täsmennetään, kyseisessä direktiivissä vahvistetaan erityissäännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä siten, että otetaan huomioon rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön alaan kuuluvien toimintojen erityisluonne, kun taas yleisessä tietosuoja-asetuksessa vahvistetaan näiden henkilöiden suojelua koskevat yleiset säännöt, joita sovelletaan kyseiseen käsittelyyn silloin, kun erityissäädöstä, jollainen direktiivi 2016/680 on, ei sovelleta. Erityisesti mainitun direktiivin johdanto-osan 11 perustelukappaleen mukaan yleistä tietosuoja-asetusta sovelletaan henkilötietojen käsittelyyn, jonka mainitun direktiivin 3 artiklan 7 kohdassa tarkoitettu ”toimivaltainen viranomainen” suorittaa, mutta muihin tarkoituksiin kuin niihin, joista säädetään kyseisessä direktiivissä (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C-439/19, EU:C:2021:504, 70 kohta).

73      Tämän tuomion 67 kohdassa mainitusta ensimmäisestä edellytyksestä ja erityisesti PNR-direktiivissä säädetyllä henkilötietojen käsittelyllä tavoitelluista tarkoituksista on muistutettava, että kyseisen direktiivin 1 artiklan 2 kohdan mukaan PNR-tietoja voidaan käsitellä ainoastaan terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten. Nämä tavoitteet kuuluvat yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa ja direktiivin 2016/680 1 artiklan 1 kohdassa tarkoitettuihin tavoitteisiin, joten tällainen henkilötietojen käsittely voi kuulua kyseisen asetuksen 2 artiklan 2 kohdan d alakohdassa tarkoitetun poikkeuksen soveltamisalaan ja näin ollen kuulua kyseisen direktiivin soveltamisalaan.

74      Näin ei sen sijaan ole silloin, kun kyse on API-direktiivissä ja direktiivissä 2010/65 säädetystä käsittelystä, jonka tarkoitukset ovat muut kuin ne, joista säädetään yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa ja direktiivin 2016/680 1 artiklan 1 kohdassa.

75      API-direktiivillä pyritään nimittäin parantamaan rajatarkastuksia ja torjumaan laitonta maahanmuuttoa, kuten sen johdanto-osan ensimmäisestä, seitsemännestä ja yhdeksännestä perustelukappaleesta sekä 1 artiklasta ilmenee, siten, että liikenteenharjoittajat toimittavat etukäteen matkustajia koskevia tietoja toimivaltaisille kansallisille viranomaisille. Lisäksi useissa kyseisen direktiivin johdanto-osan perustelukappaleissa ja säännöksissä tehdään selväksi, että direktiivin täytäntöön panemiseksi säädetty tietojen käsittely kuuluu yleisen tietosuoja-asetuksen soveltamisalaan. Mainitun direktiivin johdanto-osan 12 perustelukappaleessa todetaan, että ”jäsenvaltioiden viranomaisten tämän direktiivin nojalla suorittamaan henkilötietojen käsittelyyn sovelletaan direktiiviä [95/46]”. Lisäksi API-direktiivin 6 artiklan 1 kohdan viidennessä alakohdassa täsmennetään, että jäsenvaltiot voivat myös käyttää API-tietoja lainvalvontatarkoituksiin, ”jollei direktiivin [95/46] mukaisista tietosuojasäännöksistä muuta johdu”; tätä ilmaisua käytetään myös kyseisen säännöksen kolmannessa alakohdassa. Myös muun muassa API-direktiivin johdanto-osan yhdeksännessä perustelukappaleessa käytetään ilmaisua ”sanotun kuitenkaan rajoittamatta direktiivin [95/46] säännösten soveltamista”. API-direktiivin 6 artiklan 2 kohdassa säädetään lopuksi, että liikenteenharjoittajien on annettava matkustajille tietoja ”direktiivin [95/46] säännösten mukaisesti”.

76      Direktiivin 2010/65 johdanto-osan toisesta perustelukappaleesta ja 1 artiklan 1 kohdasta ilmenee, että kyseisen direktiivin tarkoituksena on yksinkertaistaa ja yhdenmukaistaa merikuljetuksiin sovellettavia hallinnollisia menettelyjä tekemällä sähköisestä tiedonsiirrosta vakiomenettely ja järkeistämällä ilmoitusmuodollisuudet meriliikenteen helpottamiseksi ja meriliikenteen harjoittajien hallinnollisten rasitteiden keventämiseksi. Mainitun direktiivin 8 artiklan 2 kohdassa vahvistetaan, että sen täytäntöön panemiseksi säädetty tietojen käsittely kuuluu yleisen tietosuoja-asetuksen soveltamisalaan, koska tässä säännöksessä velvoitetaan jäsenvaltiot henkilötietojen osalta varmistamaan direktiivin 95/46 noudattaminen.

77      Tästä seuraa, että tietojen käsittely, josta säädetään kansallisessa lainsäädännössä, jolla API-direktiivin ja direktiivin 2010/65 säännökset saatetaan osaksi kansallista oikeusjärjestystä, kuuluu yleisen tietosuoja-asetuksen soveltamisalaan. Sitä vastoin tietojen käsittely, josta säädetään kansallisessa lainsäädännössä, jolla PNR-direktiivi saatetaan osaksi kansallista oikeusjärjestystä, voi kyseisen asetuksen 2 artiklan 2 kohdan d alakohdassa säädetyn poikkeuksen mukaisesti jäädä kyseisen asetuksen soveltamisalan ulkopuolelle edellyttäen, että noudatetaan tämän tuomion 67 kohdassa mainittua toista edellytystä eli sitä, että käsittelyn suorittaja on viimeksi mainitussa säännöksessä tarkoitettu toimivaltainen viranomainen.

78      Unionin tuomioistuin on todennut tästä toisesta edellytyksestä, että koska direktiivin 2016/680 3 artiklan 7 kohdassa määritellään toimivaltaisen viranomaisen käsite, tätä määritelmää on sovellettava analogisesti yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohtaan (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C-439/19, EU:C:2021:504, 69 kohta).

79      PNR-direktiivin 4 ja 7 artiklan mukaan kunkin jäsenvaltion on nimettävä matkustajatietoyksikökseen viranomainen, jolla on terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista tai syytetoimia koskeva toimivalta, sekä laadittava luettelo toimivaltaisista viranomaisista, joilla on oikeus pyytää tai ottaa vastaan matkustajatietoyksiköltä PNR-tietoja tai näiden tietojen käsittelyn tuloksia, ja viimeksi mainitut viranomaiset ovat myös toimivaltaisia näissä asioissa, kuten mainitun direktiivin 7 artiklan 2 kohdassa täsmennetään.

80      Näistä seikoista ilmenee, että matkustajatietoyksikön ja mainittujen toimivaltaisten viranomaisten tällaisia tarkoituksia varten suorittama PNR-tietojen käsittely täyttää tämän tuomion 67 kohdassa mainitut kaksi edellytystä, joten tämä käsittely kuuluu itse PNR-direktiivin säännösten lisäksi myös direktiivin 2016/680 mutta ei yleisen tietosuoja-asetuksen säännösten soveltamisalaan, mikä sitä paitsi vahvistetaan PNR-direktiivin johdanto-osan 27 perustelukappaleessa.

81      Koska lentoliikenteen harjoittajien kaltaisilla taloudellisilla toimijoilla on lakisääteinen velvollisuus siirtää PNR-tietoja, vaikka niille ei ole annettu tällä direktiivillä julkisen vallan käyttöä koskevia tehtäviä eikä julkisen vallan valtaoikeuksia, näitä toimijoita ei sitä vastoin voida pitää direktiivin 2016/680 3 artiklan 7 kohdassa ja yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa tarkoitettuina toimivaltaisina viranomaisina, joten kyseisten liikenteenharjoittajien suorittama matkustajatietojen kerääminen ja siirtäminen matkustajatietoyksikölle kuuluvat kyseisen asetuksen soveltamisalaan. Sama päätelmä on tehtävä 25.12.2016 annetussa laissa säädetyn kaltaisessa tilanteessa, jossa muut liikenteenharjoittajat tai matkanjärjestäjät suorittavat mainittujen tietojen keräämisen ja siirtämisen.

82      Ennakkoratkaisua pyytänyt tuomioistuin pohtii lopuksi sellaisen kansallisen lainsäädännön mahdollista merkitystä, jolla 25.12.2016 annetun lain tavoin saatetaan osaksi kansallista oikeusjärjestystä samanaikaisesti PNR-direktiivin, API-direktiivin ja direktiivin 2010/65 säännökset. Tältä osin on muistutettava, että – kuten tämän tuomion 72 ja 75–77 kohdasta ilmenee – näissä kahdessa viimeksi mainitussa direktiivissä säädetty tietojen käsittely kuuluu yleisen tietosuoja-asetuksen, joka sisältää yleisiä sääntöjä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä, soveltamisalaan.

83      Jos siis tämän lainsäädännön perusteella suoritettava tietojen käsittely kuuluu API-direktiivin ja/tai direktiivin 2010/65 soveltamisalaan, tähän käsittelyyn sovelletaan yleistä tietosuoja-asetusta. Sama pätee samalla perusteella suoritettavaan tietojen käsittelyyn, joka tarkoituksensa vuoksi kuuluu PNR-direktiivin lisäksi myös API-direktiivin ja/tai direktiivin 2010/65 soveltamisalaan. Silloin, kun saman lainsäädännön perusteella suoritettava tietojen käsittely kuuluu tarkoituksensa vuoksi vain PNR-direktiivin soveltamisalaan, yleistä tietosuoja-asetusta sovelletaan lentoliikenteen harjoittajien suorittamaan PNR-tietojen keräämiseen ja niiden siirtämiseen matkustajatietoyksikölle. Sen sijaan silloin, kun matkustajatietoyksikkö tai toimivaltaiset viranomaiset käsittelevät tällaisia tietoja PNR-direktiivin 1 artiklan 2 kohdassa säädettyjä tarkoituksia varten, käsittely kuuluu kansallisen lainsäädännön lisäksi direktiivin 2016/680 soveltamisalaan.

84      Ensimmäiseen kysymykseen on edellä todetun perusteella vastattava, että yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohtaa ja 23 artiklaa on tulkittava siten, että kyseistä asetusta sovelletaan henkilötietojen käsittelyyn, josta säädetään kansallisessa lainsäädännössä, jonka tarkoituksena on saattaa osaksi kansallista oikeusjärjestystä samanaikaisesti API-direktiivin, direktiivin 2010/65 ja PNR-direktiivin säännökset yhtäältä siltä osin kuin kyse on yksityisten toimijoiden suorittamasta tietojen käsittelystä ja toisaalta siltä osin kuin kyse on viranomaisten suorittamasta tietojen käsittelystä, joka kuuluu yksinomaan tai myös API-direktiivin tai direktiivin 2010/65 soveltamisalaan. Mainittua asetusta ei sen sijaan sovelleta tällaisessa lainsäädännössä säädettyyn tietojen käsittelyyn, joka kuuluu vain PNR-direktiivin soveltamisalaan ja jota matkustajatietoyksikkö tai toimivaltaiset viranomaiset suorittavat kyseisen direktiivin 1 artiklan 2 kohdassa säädettyjä tarkoituksia varten.

B       Toinen, kolmas, neljäs ja kuudes kysymys

85      Toisella, kolmannella, neljännellä ja kuudennella kysymyksellään, joita on tarkasteltava yhdessä, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee unionin tuomioistuimelta pääasiallisesti PNR-direktiivin pätevyyttä perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan kannalta. Kysymykset koskevat erityisesti seuraavia seikkoja:

–        kyseisen direktiivin liite I ja kyseisessä liitteessä luetellut tiedot, erityisesti sen 12 ja 18 kohdassa tarkoitetut tiedot, selvyyden ja täsmällisyyden vaatimusten kannalta (toinen ja kolmas kysymys)

–        mainitun direktiivin 3 artiklan 4 alakohta ja liite I siltä osin kuin näissä säännöksissä käyttöön otettua PNR-tietojen yleistä keräämistä, siirtoa ja käsittelyä koskevaa järjestelmää voidaan soveltaa jokaiseen tämän direktiivin säännösten soveltamisalaan kuuluvaa lentoa käyttävään henkilöön (neljäs kysymys)

–        PNR-direktiivin 6 artikla siltä osin kuin siinä säädetään PNR-tietojen etukäteisarvioinnista, joka tehdään vertailemalla PNR-tietoja tietokantoihin ja/tai käsittelemällä niitä ennalta määritettyjen kriteerien perusteella ja jota sovelletaan järjestelmällisesti ja yleisesti kyseisiin tietoihin riippumatta mistään sellaisista objektiivisista seikoista, joiden perusteella voitaisiin katsoa, että asianomaiset matkustajat voivat aiheuttaa riskin yleiselle turvallisuudelle (kuudes kysymys).

86      Aluksi on syytä muistuttaa, että yleisen tulkintaperiaatteen mukaan unionin toimea on tulkittava niin pitkälle kuin mahdollista tavalla, joka ei aseta sen pätevyyttä kyseenalaiseksi, ja kaiken primaarioikeuden sekä erityisesti perusoikeuskirjan määräysten mukaisesti. Niinpä tilanteessa, jossa unionin johdettua oikeutta voidaan tulkita eri tavoin, etusija on annettava tulkinnalle, jonka ansiosta säännös on primaarioikeuden mukainen, eikä tulkinnalle, jonka johdosta säännöksen todetaan olevan ristiriidassa sen kanssa (tuomio 2.2.2021, Consob, C-481/19, EU:C:2021:84, 50 kohta oikeuskäytäntöviittauksineen).

87      Lisäksi on vakiintuneen oikeuskäytännön mukaan niin, että kun direktiivin säännöksissä jäsenvaltioille jätetään harkintavaltaa määritellä ajateltavissa oleviin eri tilanteisiin sopivia toimenpiteitä, joilla direktiivin säännökset saatetaan osaksi kansallista oikeutta, niiden tehtävänä on kyseisten toimenpiteiden täytäntöönpanossa paitsi tulkita kansallista oikeuttaan kyseessä olevan direktiivin mukaisesti myös varoa tukeutumasta sellaiseen kyseisen direktiivin tulkintaan, joka johtaisi ristiriitaan unionin oikeusjärjestyksellä suojattujen perusoikeuksien tai muiden unionin oikeusjärjestyksessä tunnustettujen yleisten periaatteiden kanssa (ks. vastaavasti tuomio 15.2.2016, N., C-601/15 PPU, EU:C:2016:84, 60 kohta oikeuskäytäntöviittauksineen ja tuomio 16.7.2020, Belgian valtio (Perheenyhdistäminen – Alaikäinen lapsi), C-133/19, C-136/19 ja C-137/19, 33 kohta oikeuskäytäntöviittauksineen).

88      PNR-direktiivistä on todettava, että muun muassa sen johdanto-osan 15, 20, 22, 25, 36 ja 37 perustelukappaleessa korostetaan sitä merkitystä, jonka unionin lainsäätäjä tietosuojan korkeaan tasoon viitaten antaa perusoikeuskirjan 7, 8 ja 21 artiklassa vahvistettujen perusoikeuksien ja suhteellisuusperiaatteen täysimääräiselle noudattamiselle, joten kyseinen direktiivi ”olisi pantava täytäntöön tämän mukaisesti”, kuten sen johdanto-osan 36 perustelukappaleessa todetaan.

89      Erityisesti PNR-direktiivin johdanto-osan 22 perustelukappaleessa korostetaan, että ”tätä direktiiviä sovellettaessa olisi varmistettava, että perusoikeuksia ja oikeutta yksityisyyteen sekä oikeasuhteisuusperiaatetta kunnioitetaan täysipainoisesti, kun otetaan huomioon – – unionin tuomioistuimen viimeaikaisen asiaankuuluvan oikeuskäytännön periaatteet”, sekä ”tosiasiallisesti saavutettava tarpeellisuutta ja oikeasuhteisuutta koskevat tavoitteet, jotta unionin tunnustamat yleiset edut toteutuisivat ja jotta voitaisiin huolehtia tarpeesta suojella muiden oikeuksia ja vapauksia terrorismirikosten ja vakavan rikollisuuden torjunnassa”. Kyseisessä perustelukappaleessa todetaan lisäksi, että tämän direktiivin soveltamisen ”olisi oltava asianmukaisesti perusteltua ja olisi annettava tarvittavat takeet siitä, että PNR-tietojen tallentaminen, analysoiminen, toimittaminen tai käyttö on lainmukaista”.

90      Lisäksi PNR-direktiivin 19 artiklan 2 kohdassa velvoitetaan komissio tämän direktiivin uudelleentarkastelun yhteydessä kiinnittämään erityistä huomiota ”sovellettavien henkilötietojen suojaa koskevien sääntöjen noudattamiseen”, ”PNR-tietojen keräämisen ja käsittelyn tarpeellisuuteen ja oikeasuhteisuuteen kunkin tässä direktiivissä esitetyn tarkoituksen kannalta” sekä ”tietojen säilytysaikaan”.

91      On siis tutkittava, voidaanko PNR-direktiiviä tämän tuomion 88–90 kohdassa mainittujen kyseisen direktiivin johdanto-osan perustelukappaleiden ja säännösten mukaisesti tulkita siten, että varmistetaan perusoikeuskirjan 7 ja 8 artiklassa taattujen perusoikeuksien ja perusoikeuskirjan 52 artiklan 1 kohdassa vahvistetun suhteellisuusperiaatteen täysimääräinen noudattaminen.

1.     PNR-direktiivistä johtuva puuttuminen perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin

92      Perusoikeuskirjan 7 artiklassa taataan jokaiselle oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan, ja perusoikeuskirjan 8 artiklan 1 kohdassa annetaan nimenomaisesti jokaiselle oikeus henkilötietojensa suojaan.

93      Kuten PNR-direktiivin 3 artiklan 5 alakohdasta ja direktiivin liitteessä I olevasta luettelosta ilmenee, tässä direktiivissä tarkoitettuja PNR-tietoja ovat muun muassa paitsi lentomatkustajan tai lentomatkustajien nimi myös varauksen kannalta tarpeelliset tiedot, kuten suunnitellut matkustuspäivät ja matkareitti, lippuja koskevat tiedot, samalla varausnumerolla rekisteröityjen henkilöjen ryhmät, matkustajan tai matkustajien yhteystiedot, maksutapoja tai laskutusta koskevat tiedot, matkatavaratiedot sekä yleiset merkinnät matkustajista.

94      Koska PNR-tiedot sisältävät siten tietoja tunnistetuista luonnollisista henkilöistä eli kyseessä olevista lentomatkustajista, ne eri käsittelyt, joiden kohteena kyseiset tiedot voivat olla, vaikuttavat perusoikeuskirjan 7 artiklassa taattuun yksityiselämän kunnioittamista koskevaan perusoikeuteen (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 121 ja 122 kohta oikeuskäytäntöviittauksineen).

95      Lisäksi PNR-direktiivissä tarkoitettujen kaltaiset PNR-tietojen käsittelyt kuuluvat myös perusoikeuskirjan 8 artiklan soveltamisalaan, koska ne merkitsevät tässä artiklassa tarkoitettuja henkilötietojen käsittelyjä ja niiden on näin ollen välttämättä täytettävä kyseisessä artiklassa määrätyt tietosuojan vaatimukset (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 123 kohta oikeuskäytäntöviittauksineen).

96      Vakiintuneen oikeuskäytännön mukaan henkilötietojen välittäminen kolmannelle, kuten viranomaiselle, merkitsee puuttumista perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin välitettyjen tietojen myöhemmästä käytöstä riippumatta. Sama koskee henkilötietojen säilyttämistä sekä pääsyä kyseisiin tietoihin niiden käyttämiseksi viranomaisissa. Tässä yhteydessä ei ole merkitystä sillä, ovatko kyseessä olevat yksityiselämään liittyvät tiedot arkaluonteisia vai eivät, tai onko asianomaisille mahdollisesti aiheutunut haittaa tästä puuttumisesta (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 124 ja 126 kohta oikeuskäytäntöviittauksineen).

97      Näin ollen sekä PNR-direktiivin 1 artiklan 1 kohdan a alakohdassa, luettuna yhdessä sen 8 artiklan kanssa, säädetty lentoliikenteen harjoittajien suorittama PNR-tietojen siirtäminen asianomaisen jäsenvaltion matkustajatietoyksikölle että erityisesti kyseisen direktiivin 6, 7, 9 ja 10–12 artiklassa sallittuun näiden tietojen säilytykseen, käyttöön sekä niiden mahdolliseen myöhempään siirtoon kyseisen jäsenvaltion toimivaltaisille viranomaisille, muiden jäsenvaltioiden toimivaltaisille matkustajatietoyksiköille ja viranomaisille, Europolille tai jopa kolmansien maiden viranomaisille liittyvien edellytysten valvonta ovat puuttumista perusoikeuskirjan 7 ja 8 artiklassa taattuihin oikeuksiin.

98      Näiden puuttumisten vakavuudesta on todettava ensinnäkin, että PNR-direktiivin 1 artiklan 1 kohdan a alakohdan, luettuna yhdessä sen 8 artiklan kanssa, mukaan direktiivissä säädetään kyseisen direktiivin 3 artiklan 2 alakohdassa tarkoitetulla kolmansien maiden ja unionin välisellä EU:n ulkopuolisella lennolla matkustavien lentomatkustajien PNR-tietojen järjestelmällisestä ja jatkuvasta siirtämisestä matkustajatietoyksiköille. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 73 kohdassa, tällainen siirto merkitsee sitä, että matkustajatietoyksiköillä on yleinen pääsy kaikkiin luovutettuihin PNR-tietoihin kaikkien lentoliikennepalveluja käyttävien henkilöiden osalta riippumatta näiden tietojen myöhemmästä käytöstä.

99      Toiseksi PNR-direktiivin 2 artiklan 1 kohdassa säädetään, että jäsenvaltiot voivat päättää soveltaa direktiiviä kyseisen direktiivin 3 artiklan 3 alakohdassa tarkoitettuihin ”EU:n sisäisiin” lentoihin, ja sen 2 kohdassa täsmennetään, että tässä tapauksessa tämän direktiivin kaikkia säännöksiä ”sovelletaan EU:n sisäisiin lentoihin ja EU:n sisäisten lentojen PNR-tietoihin ikään kuin kyseessä olisivat EU:n ulkopuoliset lennot ja EU:n ulkopuolisten lentojen PNR-tiedot”.

100    Kolmanneksi on niin, että vaikka jotkin PNR-direktiivin liitteessä I luetelluista tiedoista, sellaisina kuin niistä on esitetty yhteenveto tämän tuomion 93 kohdassa, eivät erikseen tarkasteltuina näytä voivan paljastaa täsmällisiä tietoja rekisteröityjen yksityiselämästä, kyseiset tiedot voivat yhdessä tarkasteltuina muun muassa paljastaa koko matkareitin, matkustustottumuksia, kahden tai useamman henkilön välisiä suhteita sekä tietoja lentomatkustajien taloudellisesta tilanteesta, heidän ravintotottumuksistaan tai heidän terveydentilastaan, ja ne voisivat jopa paljastaa näistä matkustajista arkaluonteisia tietoja (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 128 kohta).

101    Neljänneksi PNR-direktiivin 6 artiklan 2 kohdan a ja b alakohdan mukaan lentoliikenteen harjoittajien siirtämiä tietoja on tarkoitus arvioida ennen matkustajien aikataulunmukaista saapumista tai lähtöä tehtävän etukäteisarvioinnin lisäksi myöhemminkin.

102    Etukäteisarvioinnin osalta PNR-direktiivin 6 artiklan 2 kohdan a alakohdasta ja 3 kohdasta ilmenee, että jäsenvaltioiden matkustajatietoyksiköt suorittavat arvioinnin järjestelmällisesti ja automatisoiduin keinoin, toisin sanoen jatkuvasti ja riippumatta siitä, viittaako mikään siihen, että rekisteröidyt saattaisivat olla osallisina terrorismirikoksissa tai vakavassa rikollisuudessa. Tässä tarkoituksessa kyseisissä säännöksissä säädetään, että PNR-tietoja voidaan verrata ”olennaisiin tietokantoihin” ja että niitä voidaan käsitellä ”ennalta määritettyjen kriteerien” mukaisesti.

103    Tässä yhteydessä on syytä muistuttaa, että unionin tuomioistuin on jo katsonut, että se, miten laajasti PNR-tietojen automaattisilla analyyseillä puututaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin oikeuksiin, riippuu olennaisesti niistä ennalta määritetyistä malleista ja kriteereistä sekä tietokannoista, joihin tällainen tietojenkäsittely perustuu (lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 172 kohta).

104    Kuten julkisasiamies on todennut ratkaisuehdotuksensa 78 kohdassa, PNR-direktiivin 6 artiklan 3 kohdan a alakohdassa säädetty käsittely eli PNR-tietojen vertailu ”olennaisiin tietokantoihin” voi kuitenkin tuottaa lisätietoja lentomatkustajien yksityiselämästä ja mahdollistaa tätä koskevien hyvin täsmällisten päätelmien tekemisen.

105    Siltä osin kuin on kyse PNR-tietojen käsittelyistä PNR-direktiivin 6 artiklan 3 kohdan b alakohdassa tarkoitettujen ”ennalta määritettyjen kriteerien” mukaisesti, on sinänsä totta, että kyseisen direktiivin 6 artiklan 4 kohdassa edellytetään, että matkustajien arviointi näillä kriteereillä on tehtävä syrjimättömästi ja erityisesti ilman, että se perustuisi kyseisen 4 kohdan viimeisessä virkkeessä tarkoitettuihin lukuisiin ominaisuuksiin. Käytettyjen kriteerien on lisäksi oltava kohdennettuja, oikeasuhteisia ja selkeitä.

106    Unionin tuomioistuin on kuitenkin jo katsonut, että siltä osin kuin PNR-tietojen automaattiset analyysit tehdään tarkistamattomien henkilötietojen sekä ennalta määritettyjen mallien ja kriteereiden perusteella, niihin liittyy välttämättä tietty virhemarginaali (ks. analogisesti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 169 kohta). Kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 78 kohdassa, PNR-direktiivin uudelleentarkastelua koskevan komission 24.7.2020 päivätyn kertomuksen liitteenä olevasta työasiakirjasta (SWD(2020)128 final) ilmenee, että PNR-direktiivin 6 artiklan 3 kohdan a ja b alakohdassa säädettyjen automaattisten käsittelyjen tuloksena saatujen osumien, jotka yksittäin suoritetun ei-automaattisen tarkastuksen jälkeen osoittautuvat virheellisiksi, määrä on melko huomattava: vuosina 2018 ja 2019 virheellinen osuma oli saatu kuudesta tunnistetusta henkilöstä vähintään viiden henkilön osalta. Nämä käsittelyt johtavat siten kyseisten henkilöiden PNR-tietojen perusteelliseen arviointiin.

107    Siltä osin kuin on kyse PNR-direktiivin 6 artiklan 2 kohdan b alakohdassa säädetystä PNR-tietojen myöhemmästä arvioinnista, kyseisestä säännöksestä ilmenee, että kyseisen direktiivin 12 artiklan 2 kohdassa tarkoitetun PNR-tietojen siirtoa seuraavan kuuden kuukauden jakson aikana matkustajatietoyksikön on toimivaltaisten viranomaisten pyynnöstä toimitettava PNR-tiedot näille viranomaisille ja suoritettava käsittely tietyissä tapauksissa terrorismirikosten tai vakavan rikollisuuden torjumiseksi.

108    Lisäksi on niin, että vaikka tämän kuuden kuukauden jakson päättymisen jälkeen PNR-tiedoista poistetaan tunnistamisen mahdollistavat tiedot häivyttämällä tietyt tiedonosat, matkustajatietoyksiköllä voi olla PNR-direktiivin 12 artiklan 3 kohdan mukaisesti velvollisuus toimittaa tällaisen pyynnön johdosta toimivaltaisille viranomaisille kaikki PNR-tiedot sellaisessa muodossa, jonka avulla rekisteröity voidaan tunnistaa, jos voidaan kohtuudella olettaa, että se on tarpeen 6 artiklan 2 kohdan b alakohdan soveltamiseksi, mutta tällöin edellytetään, että oikeusviranomainen tai muu kansallinen toimivaltainen viranomainen on antanut luvan niiden luovuttamiseen.

109    Viidenneksi on todettava, että kun PNR-direktiivin 12 artiklan 1 kohdassa säädetään tätä koskevia tarkempia täsmennyksiä esittämättä, että PNR-tietoja säilytetään tietokannassa viiden vuoden ajan siitä, kun ne on siirretty sen jäsenvaltion matkustajatietoyksikölle, jonka alueella lennon saapumis- tai lähtöpaikka on, PNR-direktiivi mahdollistaa sen, että kun otetaan huomioon se seikka, että huolimatta tunnistamisen mahdollistavien tietojen poistamisesta häivyttämällä tietyt tiedonosat alkuperäisen kuuden kuukauden jakson päätyttyä kaikki PNR-tiedot voidaan kuitenkin vielä toimittaa edellisessä kohdassa mainitussa tapauksessa, lentomatkustajien yksityiselämästä on käytettävissä tietoja sellaisen ajan, jonka unionin tuomioistuin on 26.7.2017 antamassaan lausunnossa 1/15 (EU–Kanada-PNR-sopimus, EU:C:2017:592, 132 kohta) jo katsonut erityisen pitkäksi.

110    Kun otetaan huomioon se, että lentoliikenteen käyttö on tavanomaista, tällaisesta säilytysajasta seuraa, että unionin väestön erittäin suuren osan PNR-tietoja voidaan toistuvasti säilyttää PNR-direktiivillä käyttöön otetussa järjestelmässä ja että nämä tiedot ovat tästä syystä saatavilla matkustajatietoyksikön ja toimivaltaisten viranomaisten etukäteisarviointien ja jälkikäteisarviointien yhteydessä tehtäviä analyyseja varten huomattavan pitkän ajan ja jopa rajoittamattoman ajan sellaisten henkilöiden osalta, jotka matkustavat lentokoneella useammin kuin kerran viidessä vuodessa.

111    Kaiken edellä esitetyn perusteella on katsottava, että PNR-direktiiviin sisältyy selvästi vakavia puuttumisia perusoikeuskirjan 7 ja 8 artiklassa taattuihin oikeuksiin erityisesti siltä osin kuin sen tarkoituksena on ottaa käyttöön jatkuva, kohdentamaton ja järjestelmällinen valvontajärjestelmä, johon kuuluu kaikkien lentoliikennepalveluja käyttävien henkilöiden henkilötietojen automaattinen arviointi.

2.     PNR-direktiivistä johtuvien perusoikeuksiin puuttumisten oikeuttaminen

112    On syytä muistuttaa, että perusoikeuskirjan 7 ja 8 artiklassa vahvistetut perusoikeudet eivät ole ehdottomia vaan ne on suhteutettava siihen tehtävään, joka niillä on yhteiskunnassa (lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 136 kohta oikeuskäytäntöviittauksineen ja tuomio 6.10.2020, Privacy International, C-623/17, EU:C:2020:790, 63 kohta oikeuskäytäntöviittauksineen).

113    Perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisen virkkeen mukaan perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä niiden keskeistä sisältöä kunnioittaen. Perusoikeuskirjan 52 artiklan 1 kohdan toisessa virkkeessä määrätään, että suhteellisuusperiaatteen mukaisesti näille oikeuksille ja vapauksille voidaan säätää rajoituksia ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Tältä osin perusoikeuskirjan 8 artiklan 2 kohdassa täsmennetään, että henkilötietojen käsittelyn on muun muassa ”tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla”.

114    On syytä lisätä, että edellytys, jonka mukaan perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla, tarkoittaa sitä, että itse siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä asianomaisen oikeuden käyttämiselle asetettavan rajoituksen laajuus, ja on täsmennettävä yhtäältä, että kyseinen edellytys ei sulje pois sitä, että rajoitus muotoillaan riittävän avoimesti niin, että se voi mukautua erilaisiin tapauksiin ja tilanteiden muutoksiin (ks. vastaavasti tuomio 26.4.2022, Puola v. parlamentti ja neuvosto, C-401/19, EU:C:2022:000, 64 ja 74 kohta oikeuskäytäntöviittauksineen), ja toisaalta, että unionin tuomioistuin voi tarvittaessa täsmentää tulkintateitse rajoituksen konkreettisen ulottuvuuden sekä kyseessä olevan unionin lainsäädännön sanamuodon kannalta että sen yleisen järjestelmän ja sillä tavoiteltujen päämäärien kannalta, siten kuin näitä tulkitaan perusoikeuskirjassa taattujen perusoikeuksien mukaisesti.

115    Suhteellisuusperiaatteen noudattamisesta on todettava, että yksityiselämän kunnioittamista koskevan perusoikeuden suoja unionin tasolla edellyttää unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan sitä, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset toteutetaan täysin välttämättömän rajoissa. Yleisen edun mukaiseen tavoitteeseen ei myöskään voida pyrkiä ottamatta huomioon sitä, että se on sovitettava yhteen niiden perusoikeuksien kanssa, joita toimenpide koskee, saattamalla yleisen edun mukainen tavoite ja toisaalta kyseessä olevat oikeudet keskenään harmoniseen tasapainoon (lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 140 kohta ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 52 kohta oikeuskäytäntöviittauksineen).

116    Erityisesti jäsenvaltioiden mahdollisuutta oikeuttaa perusoikeuskirjan 7 ja 8 artiklassa taattujen oikeuksien rajoittaminen on arvioitava mittaamalla tällaiseen rajoittamiseen sisältyvän puuttumisen vakavuus ja tarkastamalla, että kyseisen rajoituksen yleisen edun mukaisen tavoitteen tärkeys on suhteessa tähän vakavuuteen (ks. vastaavasti tuomio 2.10.2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, 55 kohta oikeuskäytäntöviittauksineen ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 53 kohta oikeuskäytäntöviittauksineen).

117    Oikeasuhteisuusvaatimuksen täyttämiseksi kyseessä olevassa säännöstössä, joka merkitsee perusoikeuksiin puuttumista, on säädettävä selvistä ja täsmällisistä siinä säädettyjen toimenpiteiden laajuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden tietoja on siirretty, on riittävät takeet, joiden avulla heidän henkilötietojaan voidaan tehokkaasti suojata väärinkäytön vaaroilta. Siinä on erityisesti mainittava, missä olosuhteissa ja millä edellytyksillä tällaisten tietojen käsittelyä koskeva toimenpide voidaan toteuttaa, jotta taataan, että puuttuminen rajoittuu täysin välttämättömään. Tarve tällaisista takeista on tärkeä varsinkin silloin, kun henkilötietoja käsitellään automaattisesti. Nämä näkökohdat pätevät erityisesti silloin, kun PNR-tiedot ovat luonteeltaan sellaisia, että ne voivat paljastaa matkustajia koskevia arkaluonteisia tietoja (lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 141 kohta ja tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 132 kohta oikeuskäytäntöviittauksineen).

118    Säännöstön, jossa säädetään henkilötietojen säilyttämisestä, on siis aina täytettävä objektiiviset kriteerit, joilla luodaan yhteys säilytettävien tietojen ja tavoitellun päämäärän välille (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 191 kohta oikeuskäytäntöviittauksineen, tuomio 3.10.2019, A ym., C-70/18, EU:C:2019:823, 63 kohta ja tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 133 kohta).

a)     Laillisuusperiaatteen ja kyseessä olevien perusoikeuksien keskeisen sisällön kunnioittaminen

119    PNR-direktiivillä käyttöön otetusta järjestelmästä johtuvasta perusoikeuskirjan 7 ja 8 artiklassa taattujen perusoikeuksien käytön rajoittamisesta säädetään lainsäätämisjärjestyksessä hyväksytyssä unionin säädöksessä. Siitä kysymyksestä, määritelläänkö itse kyseisessä direktiivissä, joka on kyseisiin oikeuksiin puuttumisen mahdollistava unionin oikeuden säädös, tämän tuomion 114 kohdassa mainitun oikeuskäytännön mukaisesti asianomaisten oikeuksien käyttämiselle asetettavien rajoitusten laajuus, on syytä todeta, että mainitun direktiivin säännöksiin ja sen liitteisiin I ja II yhtäältä sisältyy PNR-tietojen luettelo ja toisaalta niissä säännellään kyseisten tietojen käyttöä muun muassa määrittämällä niiden käsittelyn tarkoitukset ja käsittelyä koskevat yksityiskohtaiset säännöt. Tämä kysymys on sitä paitsi suurelta osin päällekkäinen tämän tuomion 117 kohdassa mainitun oikeasuhteisuusvaatimuksen noudattamista koskevan kysymyksen kanssa (ks. vastaavasti tuomio 16.7.2020, Facebook Ireland ja Schrems, C-311/18, EU:C:2020:559, 180 kohta), ja sitä tarkastellaan tämän tuomion 125 kohdassa ja sitä seuraavissa kohdissa.

120    Perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien keskeisen sisällön kunnioittamisesta on todettava, että pitää paikkansa, että PNR-tiedot voivat tapauksesta riippuen paljastaa hyvin täsmällisiä tietoja henkilön yksityiselämästä. Koska yhtäältä näiden tietojen luonne rajoittuu tiettyihin yksityisyyden näkökohtiin, jotka liittyvät erityisesti kyseisen henkilön lentomatkoihin, ja koska toisaalta PNR-direktiivin 13 artiklan 4 kohdassa nimenomaisesti kielletään yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettujen arkaluonteisten tietojen käsittely, kyseisessä direktiivissä tarkoitetut tiedot eivät kuitenkaan yksinään mahdollista täydellisen kuvan saamista henkilön yksityiselämästä. Lisäksi mainitun direktiivin 1 artiklan 2 kohdassa, luettuna yhdessä sen 3 artiklan 8 ja 9 alakohdan sekä sen liitteen II kanssa, rajataan näiden tietojen käsittelyn tarkoitukset. Lopuksi on todettava, että saman direktiivin 4–15 artiklassa vahvistetaan sääntöjä, jotka koskevat mainittujen tietojen siirtämistä, käsittelyä ja säilyttämistä, sekä sääntöjä, joilla pyritään varmistamaan muun muassa näiden tietojen turvaaminen, luottamuksellisuus ja eheys sekä suojaamaan niitä laittomalta pääsyltä ja käsittelyltä. Näin ollen PNR-direktiivistä johtuvat puuttumiset eivät loukkaa perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien keskeistä sisältöä.

b)     Yleisen edun mukainen tavoite ja PNR-tietojen käsittelyjen soveltuvuus tähän tavoitteeseen nähden

121    Siitä, pyritäänkö PNR-direktiivillä käyttöön otetulla järjestelmällä yleisen edun mukaiseen tavoitteeseen, on todettava, että kyseisen direktiivin johdanto-osan 5, 6 ja 15 perustelukappaleesta ilmenee, että direktiivin tavoitteena on varmistaa unionin sisäinen turvallisuus ja siten suojella henkilöiden elämää ja turvallisuutta luomalla samalla oikeudellinen kehys, jolla varmistetaan matkustajien perusoikeuksien, erityisesti yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien oikeuksien, suojelun korkea taso toimivaltaisten viranomaisten käsitellessä PNR-tietoja.

122    Tätä varten PNR-direktiivin 1 artiklan 2 kohdassa säädetään, että kyseisen direktiivin mukaisesti kerättyjä PNR-tietoja voidaan käsitellä direktiivin 6 artiklan 2 kohdan a–c alakohdassa säädetyllä tavalla ainoastaan terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten. Nämä tarkoitukset ovat epäilemättä unionin yleistä etua koskevia tavoitteita, jotka voivat oikeuttaa jopa vakavan puuttumisen perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin (ks. vastaavasti tuomio 8.4.2014, Digital Rights Ireland ym., C-293/12 ja C-594/12, EU:C:2014:238, 42 kohta ja lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 148 ja 149 kohta).

123    PNR-direktiivillä perustetun järjestelmän soveltuvuudesta tavoiteltujen päämäärien toteuttamiseen on todettava, että vaikka ”väärien negatiivisten” tulosten mahdollisuus ja varsin huomattava määrä ”vääriä positiivisia” tuloksia, jotka on tämän tuomion 106 kohdassa todetuin tavoin saatu kyseisessä direktiivissä säädettyjen automaattisten käsittelyjen seurauksena vuosina 2018 ja 2019, tosin voivat rajoittaa kyseisen järjestelmän soveltuvuutta, ne eivät kuitenkaan voi tehdä mainittua järjestelmää soveltumattomaksi edistämään terrorismirikosten ja vakavan rikollisuuden torjuntaa koskevan tavoitteen toteutumista. Kuten tämän tuomion 106 kohdassa mainitusta komission työasiakirjasta ilmenee, mainitun direktiivin nojalla suoritetut automaattiset käsittelyt ovat nimittäin jo tosiasiallisesti tehneet mahdolliseksi tunnistaa riskin aiheuttavia lentomatkustajia terrorismirikosten ja vakavien rikosten torjunnassa.

124    Kun lisäksi otetaan huomioon PNR-tietojen automaattisiin käsittelyihin liittyvä virheprosentti ja erityisesti ”väärien positiivisten” tulosten varsin huomattava määrä, PNR-direktiivillä perustetun järjestelmän soveltuvuus riippuu olennaisesti siitä, että näiden käsittelyjen perusteella saatujen tulosten tarkistaminen sen jälkeen ei- automaattisin keinoin toimii asianmukaisesti, ja tämä tehtävä kuuluu kyseisen direktiivin mukaan matkustajatietoyksikölle. Tätä tarkoitusta varten säädetyillä mainitun direktiivin säännöksillä edistetään siis näiden tavoitteiden toteutumista.

c)     PNR-direktiivistä johtuvien puuttumisten tarpeellisuus

125    Tämän tuomion 115–118 kohdassa mainitun oikeuskäytännön mukaisesti on tarkistettava, rajoittuvatko PNR-direktiivistä johtuvat perusoikeuksiin puuttumiset kaikkein välttämättömimpään, ja erityisesti, annetaanko kyseisessä direktiivissä selkeitä ja täsmällisiä sääntöjä, joilla säännellään siinä säädettyjen toimenpiteiden ulottuvuutta ja soveltamista, ja täyttääkö kyseisellä direktiivillä käyttöön otettu järjestelmä edelleen objektiiviset kriteerit, joilla luodaan yhteys lentomatkojen varaamiseen ja toteutumiseen läheisesti liittyvien PNR-tietojen ja mainitulla direktiivillä tavoiteltujen päämäärien eli terrorismirikosten ja vakavan rikollisuuden torjunnan välille.

1)     PNR-direktiivissä tarkoitetut lentomatkustajien tiedot

126    On arvioitava, määritelläänkö PNR-direktiivin liitteessä I mainituissa nimikkeissä selvästi ja täsmällisesti ne PNR-tiedot, jotka lentoliikenteen harjoittajan on luovutettava matkustajatietoyksikölle.

127    Aluksi on muistutettava, että – kuten PNR-direktiivin johdanto-osan 15 perustelukappaleesta ilmenee – unionin lainsäätäjän tarkoituksena on ollut, että matkustajatietoyksikölle toimitettavien PNR-tietojen luettelo laaditaan ”ottaen huomioon terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista sekä tällaisiin rikoksiin liittyviä syytetoimia koskevat viranomaisten oikeutetut vaatimukset, jotta voidaan parantaa unionin sisäistä turvallisuutta ja suojata perusoikeuksia, erityisesti oikeutta yksityisyyden ja henkilötietojen suojaan”. Samassa perustelukappaleessa todetaan erityisesti, että PNR-tietojen ”olisi sisällettävä ainoastaan matkustajien varausta ja matkareittiä koskevia yksityiskohtia, joiden avulla toimivaltaiset viranomaiset voivat yksilöidä ne lentomatkustajat, jotka muodostavat riskin sisäiselle turvallisuudelle”. Lisäksi PNR-direktiivin 13 artiklan 4 kohdan ensimmäisessä virkkeessä kielletään ”sellaisten PNR-tietojen käsittely, jotka paljastavat henkilön rodun tai etnisen alkuperän, poliittiset mielipiteet, uskonnollisen tai filosofisen vakaumuksen, ammattiliiton jäsenyyden, terveydentilan tai seksuaalielämän tai sukupuolisen suuntautumisen”.

128    Näin ollen PNR-direktiivin liitteen I nojalla kerättävien ja toimitettavien PNR-tietojen on oltava suorassa yhteydessä suoritettuun lentoon ja asianomaiseen matkustajaan, ja ne on rajattava yhtäältä siten, että ne täyttävät yksinomaan viranomaisten oikeutetut vaatimukset terrorismirikosten tai vakavan rikollisuuden ennalta estämisessä, paljastamisessa, tutkinnassa ja syytteeseenpanossa, ja toisaalta siten, että arkaluonteiset tiedot jätetään pois.

129    PNR-direktiivin liitteessä I olevat nimikkeet 1–4, 7, 9, 11, 15, 17 ja 19 täyttävät nämä vaatimukset sekä selvyyden ja täsmällisyyden vaatimukset, koska ne koskevat tietoja, jotka ovat selvästi tunnistettavissa ja rajattuja ja joilla on suora yhteys suoritettuun lentoon ja asianomaiseen matkustajaan. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 165 kohdassa, tämä pätee myös nimikkeisiin 10, 13, 14 ja 16 niiden avoimesta sanamuodosta huolimatta.

130    Sitä vastoin on syytä tehdä täsmennyksiä nimikkeiden 5, 6, 8, 12 ja 18 tulkitsemiseksi.

131    Nimikkeessä 5, ”Osoite ja yhteystiedot (puhelinnumero, sähköpostiosoite)”, ei täsmennetä nimenomaisesti, tarkoitetaanko osoitteella ja yhteystiedoilla ainoastaan lentomatkustajaa vai myös lentomatkustajan puolesta lennon varanneita kolmansia osapuolia, sellaisia kolmansia osapuolia, joiden välityksellä lentomatkustaja voidaan tavoittaa, ja kolmansia osapuolia, joille on ilmoitettava hätätapauksessa. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 162 kohdassa, kun otetaan huomioon selvyyden ja täsmällisyyden vaatimukset, tätä nimikettä ei kuitenkaan voida tulkita siten, että se mahdollistaisi implisiittisesti myös tällaisten kolmansien osapuolten henkilötietojen keräämisen ja välittämisen. Näin ollen kyseistä nimikettä on tulkittava siten, että se koskee vain lentomatkustajan, jonka nimissä varaus tehtiin, postiosoitetta ja yhteystietoja eli puhelinnumeroa ja sähköpostiosoitetta.

132    Nimikkeen 6, ”Kaikki maksutapaa koskevat tiedot, myös laskutusosoite”, osalta on todettava, että tätä nimikettä on selkeyden ja täsmällisyyden vaatimusten täyttämiseksi tulkittava siten, että se koskee ainoastaan lentolipun maksutapaa ja laskutusta koskevia tietoja eikä mitään muita tietoja, jotka eivät suoraan liity lentoon (ks. analogisesti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 159 kohta).

133    Nimikettä 8, ”Kanta-asiakastiedot”, on julkisasiamiehen ratkaisuehdotuksensa 164 kohdassa esittämän toteamuksen mukaisesti tulkittava siten, että se koskee yksinomaan tietoja, jotka koskevat asianomaisen matkustajan asemaa tietyn lentoyhtiön tai lentoyhtiökonsernin kanta-asiakasohjelmassa, sekä numeroa, jolla tämä matkustaja tunnistetaan kanta-asiakkaaksi. Nimikkeen 8 perusteella ei siis voida kerätä tietoja niistä toimista, joilla tämä asema on hankittu.

134    Nimikkeen 12 kohde on puolestaan ”Yleiset huomautukset (mukaan lukien kaikki saatavilla olevat tiedot alle 18-vuotiaista ilman huoltajaa matkustavista alaikäisistä, kuten alaikäisen nimi ja sukupuoli, ikä, kieli tai kielet, jo(i)ta hän puhuu, lähdön yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, saapumisen yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, asiamies lähdön ja saapumisen yhteydessä)”.

135    Tältä osin on heti aluksi todettava, että vaikka ilmaisu ”yleiset huomautukset” ei täytä selvyyden ja täsmällisyyden vaatimuksia, koska ilmaisulla sellaisenaan ei mitenkään rajata nimikkeen 12 perusteella kerättävien ja matkustajatietoyksikölle toimitettavien tietojen laatua ja laajuutta (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 160 kohta), sulkeissa oleva luettelo sen sijaan täyttää nämä vaatimukset.

136    Tästä seuraa, että nimikkeen 12 tulkitsemiseksi sellaisella tavalla, jonka ansiosta se on tämän tuomion 86 kohdassa mainitun oikeuskäytännön mukaan selvyyden ja täsmällisyyden vaatimusten ja yleisemminkin perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan mukainen, on katsottava, että on sallittua kerätä ja luovuttaa ainoastaan kyseisessä nimikkeessä nimenomaisesti luetellut tiedot eli alaikäisen lentomatkustajan nimi ja sukupuoli, ikä, kieli tai kielet, jo(i)ta hän puhuu, lähdön yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, saapumisen yhteydessä huoltajana olleen henkilön nimi ja yhteystiedot sekä tieto siitä, mikä on hänen suhteensa alaikäiseen, sekä asiamies lähdön ja saapumisen yhteydessä.

137    Nimikkeen 18 kohde on ”Matkustajan ennakkotiedot (Advance Passenger Information, API), jos sellaisia on kerätty (mm. [henkilöllisyys]asiakirjan tyyppi, numero, myöntämismaa ja voimassaoloaika, kansalaisuus, sukunimi, etunimi, sukupuoli, syntymäaika, lentoyhtiö, lennon numero, lähtöpäivä, saapumispäivä, lähtökenttä, saapumiskenttä, lähtöaika ja saapumisaika)”.

138    Kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 156–160 kohdassa, kyseisestä nimikkeestä 18, luettuna yhdessä PNR-direktiivin johdanto-osan neljännen ja yhdeksännen perustelukappaleen kanssa, ilmenee, että tiedot, joita siinä tarkoitetaan, ovat yksinomaan mainitussa nimikkeessä ja API-direktiivin 3 artiklan 2 kohdassa luetellut API-tiedot.

139    Näin ollen voidaan katsoa, että nimike 18 täyttää selvyyden ja täsmällisyyden vaatimukset edellyttäen, että sitä tulkitaan siten, että se kattaa ainoastaan tässä samassa nimikkeessä ja API-direktiivin 3 artiklan 2 kohdassa nimenomaisesti tarkoitetut tiedot (ks. analogisesti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 161 kohta).

140    Näin ollen on todettava, että kunhan PNR-direktiivin liitettä I tulkitaan erityisesti tämän tuomion 130–139 kohdassa esitettyjen seikkojen mukaisesti, se on kokonaisuutena riittävän selkeä ja täsmällinen ja rajaa siten perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin puuttumisen laajuuden.

2)     PNR-tietojen käsittelyjen tarkoitukset

141    Kuten PNR-direktiivin 1 artiklan 2 kohdasta ilmenee, kyseisen direktiivin mukaisesti kerättyjen PNR-tietojen käsittelyjen tarkoituksena on ”terrorismirikosten” ja ”vakavan rikollisuuden” torjunta.

142    Siitä, säädetäänkö PNR-direktiivissä tällä alalla selkeistä ja täsmällisistä säännöistä, joilla rajoitetaan kyseisellä direktiivillä perustetun järjestelmän soveltaminen siihen, mikä on ehdottoman välttämätöntä näitä tarkoituksia varten, on todettava yhtäältä, että ilmaisu ”terrorismirikokset” määritellään mainitun direktiivin 3 artiklan 8 alakohdassa viittaamalla puitepäätöksen 2002/475 1–4 artiklassa tarkoitettuihin kansallisessa laissa rikoksiksi määriteltyihin tekoihin.

143    Sen lisäksi, että kyseisen puitepäätöksen 1–3 artiklassa määriteltiin selvästi ja täsmällisesti ”terrorismirikokset”, ”terroristiryhmään liittyvät terrorismirikokset” ja ”terroritoimintaan liittyvät rikokset”, jotka jäsenvaltioiden oli säädettävä rangaistaviksi mainittuina puitepäätöksessä tarkoitettuina rikoksina, myös terrorismin torjumisesta sekä puitepäätöksen 2002/475 korvaamisesta sekä neuvoston päätöksen 2005/671/YOS muuttamisesta 15.3.2017 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2017/541 (EUVL 2017, L 88, s. 6) 3–14 artiklassa määritellään samat rikokset selvästi ja täsmällisesti.

144    Toisaalta PNR-direktiivin 3 artiklan 9 alakohdassa määritellään käsite ”vakava rikollisuus” siten, että sillä tarkoitetaan ”[tämän direktiivin] liitteessä II lueteltuja tekoja, joista voidaan määrätä vapaudenmenetyksen käsittävä rangaistus tai turvaamistoimenpide, jonka enimmäiskesto on jäsenvaltion kansallisen oikeuden mukaan vähintään kolme vuotta”.

145    Kyseisessä liitteessä luetellaan ensinnäkin tyhjentävästi eri rikosten luokat, jotka voivat kuulua PNR-direktiivin 3 artiklan 9 alakohdassa tarkoitettuun ”vakavaan rikollisuuteen”.

146    Kun tämän jälkeen otetaan huomioon erityispiirteet, joita jäsenvaltioiden rikosoikeudellisiin järjestelmiin liittyi mainitun direktiivin säätämisen yhteydessä näin määriteltyjä rikoksia koskevan yhdenmukaistamisen puuttumisen vuoksi, unionin lainsäätäjä on voinut tyytyä viittaamaan rikostyyppeihin määrittelemättä niiden tunnusmerkistöjä, ja näin on varsinkin siksi, että oletusarvoisesti tunnusmerkistöt määritellään välttämättä kansallisessa oikeudessa, johon PNR-direktiivin 3 artiklan 9 alakohdassa viitataan, koska jäsenvaltiot ovat velvollisia noudattamaan nullum crimen, nulla poena sine lege ‑periaatetta, joka sisältyy osana SEU 2 artiklassa tarkoitettuun unionin yhteisiin arvoihin kuuluvaan oikeusvaltion arvoon (ks. analogisesti tuomio 16.2.2022, Unkari v. parlamentti ja neuvosto, C-156/21, EU:C:2022:97, 136, 160 ja 234 kohta) ja joka lisäksi vahvistetaan perusoikeuskirjan 49 artiklan 1 kohdassa, joka jäsenvaltioiden on otettava huomioon pannessaan täytäntöön PNR-direktiivin kaltaista unionin säädöstä (ks. vastaavasti tuomio 10.11.2011, QB, C-405/10, EU:C:2011:722, 48 kohta oikeuskäytäntöviittauksineen). Kun siis otetaan huomioon myös samassa liitteessä käytettyjen ilmaisujen tavanomainen merkitys, on katsottava, että siinä määritellään riittävän selvästi ja täsmällisesti rikokset, jotka voivat olla vakavaa rikollisuutta.

147    On totta, että liitteessä II olevat 7, 8, 10 ja 16 kohta koskevat hyvin yleisluonteisia rikostyyppejä (petokset, rikoksen tuottaman hyödyn rahanpesu, rahan väärentäminen, ympäristörikollisuus, kulttuuriomaisuuden laiton kauppa), samalla kuin niissä kuitenkin viitataan näihin yleisiin luokkiin kuuluviin erityisiin rikoksiin. Perusoikeuskirjan 49 artiklassa niin ikään edellytetyn riittävän täsmällisyyden varmistamiseksi näitä kohtia on tulkittava siten, että niissä viitataan kyseisiin rikoksiin, sellaisina kuin ne on määritelty asiaa koskevassa kansallisessa ja/tai unionin oikeudessa. Näin tulkittuina kyseisten kohtien voidaan katsoa täyttävän selkeyden ja täsmällisyyden vaatimukset.

148    Lopuksi on vielä muistutettava, että vaikka PNR-direktiivistä johtuva vakava puuttuminen perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin voidaan suhteellisuusperiaatteen mukaisesti oikeuttaa vakavan rikollisuuden torjunnan tavoitteella, tämä ei päde rikollisuuden torjuntaa yleisesti koskevaan tavoitteeseen, jolla voidaan oikeuttaa ainoastaan puuttumiset, jotka eivät ole vakavia (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 59 kohta oikeuskäytäntöviittauksineen). Kyseisellä direktiivillä on siten varmistettava selvillä ja täsmällisillä säännöillä se, että mainitulla direktiivillä käyttöön otetun järjestelmän soveltaminen rajoittuu ainoastaan vakavaan rikollisuuteen ja että sen ulkopuolelle näin ollen jäävät tavalliseen rikollisuuteen kuuluvat rikokset.

149    Kuten julkisasiamies on tältä osin todennut ratkaisuehdotuksensa 121 kohdassa, useat PNR-direktiivin liitteessä II tarkoitetuista rikoksista ovat luonteeltaan kiistatta hyvin vakavia, kuten ihmiskauppa, lasten seksuaalinen hyväksikäyttö ja lapsipornografia, aseiden, ampumatarvikkeiden ja räjähteiden laiton kauppa, rahanpesu, tietoverkkorikollisuus/kyberrikollisuus, ihmisen elinten ja kudosten laiton kauppa, huumausaineiden ja psykotrooppisten aineiden laiton kauppa, ydin- ja radioaktiivisten aineiden laiton kauppa, ilma-aluksen tai aluksen kaappaus, Kansainvälisen rikostuomioistuimen tuomiovaltaan kuuluvat rikokset, murha, raiskaus, ihmisryöstö, vapaudenriisto ja panttivangiksi ottaminen.

150    Lisäksi on niin, että vaikka eräitä muita kyseisessä liitteessä II niin ikään tarkoitettuja rikoksia ei lähtökohtaisesti voi yhtä helposti yhdistää vakavaan rikollisuuteen, jo PNR-direktiivin 3 artiklan 9 alakohdan sanamuodosta ilmenee kuitenkin, että näitä rikoksia voidaan pitää vakavina rikoksina vain, jos niistä voidaan määrätä asianomaisen jäsenvaltion kansallisen oikeuden nojalla vapaudenmenetyksen käsittävä rangaistus tai turvaamistoimenpide, jonka enimmäiskesto on vähintään kolme vuotta. Kyseisestä säännöksestä johtuvat vaatimukset, jotka liittyvät sovellettavan rangaistuksen luonteeseen ja ankaruuteen, ovat lähtökohtaisesti asianmukaisia kyseisellä direktiivillä käyttöön otetun järjestelmän soveltamisen rajoittamiseksi rikoksiin, joiden vakavuus riittää oikeuttamaan samalla direktiivillä käyttöön otetusta järjestelmästä johtuvan puuttumisen perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin.

151    Koska PNR-direktiivin 3 artiklan 9 alakohdassa ei kuitenkaan viitata sovellettavaan vähimmäisrangaistukseen vaan sovellettavaan enimmäisrangaistukseen, ei ole poissuljettua, että PNR-tietoja voidaan käsitellä sellaisten rikosten torjumiseksi, jotka tosin täyttävät kyseisessä säännöksessä säädetyn vakavuuskynnystä koskevan kriteerin mutta eivät kansallisen rikosoikeusjärjestelmän erityispiirteet huomioon ottaen kuitenkaan kuulu vakavan rikollisuuden vaan tavanomaisen rikollisuuden alaan.

152    Jäsenvaltioiden on siis varmistettava, että PNR-direktiivillä käyttöön otetun järjestelmän soveltaminen tosiasiallisesti rajoittuu vakavan rikollisuuden torjuntaan ja että järjestelmää ei laajenneta rikoksiin, jotka kuuluvat tavanomaisen rikollisuuden alaan.

3)     Yhteys PNR-tietojen ja näiden tietojen käsittelyjen tarkoituksen välillä

153    Tältä osin on todettava, että pitää paikkansa, että – kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 119 kohdassa – PNR-direktiivin 3 artiklan 8 alakohdan ja 3 artiklan 9 alakohdan sanamuodossa, luettuina yhdessä direktiivin liitteen II kanssa, ei viitata nimenomaisesti kriteeriin, joka olisi omiaan rajaamaan tämän direktiivin soveltamisalan vain sellaisiin rikoksiin, joilla voi luonteensa puolesta olla vähintään välillisesti objektiivinen yhteys lentomatkustamiseen ja siten myös mainitun direktiivin nojalla siirrettävien, käsiteltävien ja säilytettävien tietojen eri ryhmiin.

154    Kuten julkisasiamies on todennut ratkaisuehdotuksensa 121 kohdassa, tietyt PNR-direktiivin liitteessä II tarkoitetut rikokset, kuten ihmiskauppa, huumausaineiden tai aseiden laiton kauppa, laittomassa maahantulossa ja maassa oleskelussa avustaminen tai ilma-aluksen kaappaus voivat luonteensa vuoksi kuitenkin liittyä suoraan lentomatkustamiseen. Sama pätee tiettyihin terrorismirikoksiin, kuten suurten tuhojen aiheuttaminen liikennejärjestelmälle tai infrastruktuurille tai ilma-alusten haltuunotto, jotka ovat rikoksia, jotka mainittiin puitepäätöksen 2002/475 1 artiklan, johon PNR-direktiivin 3 artiklan 8 alakohdassa viitataan, 1 kohdan d ja e alakohdassa tai myös matkojen tekeminen terrorismitarkoituksessa ja tällaisten matkojen järjestäminen tai helpottaminen, jotka ovat direktiivin 2017/541 9 ja 10 artiklassa tarkoitettuja rikoksia.

155    Tässä yhteydessä on myös muistutettava, että komissio perusteli PNR-direktiivin säätämiseen johtanutta 2.2.2011 päivättyä ehdotustaan Euroopan parlamentin ja neuvoston direktiiviksi matkustajarekisteritietojen käytöstä terrorismirikosten ja vakavan rikollisuuden ehkäisemistä, paljastamista, tutkimista ja syytteeseenpanoa varten (KOM(2011) 32 lopullinen) korostaen, että ”Yhdysvalloissa vuonna 2001 toteutetut terrori-iskut, elokuussa 2006 tehty terrori-iskun yritys, jonka tarkoituksena oli räjäyttää useita Yhdistyneestä kuningaskunnasta Yhdysvaltoihin matkalla olleita lentokoneita, ja joulukuussa 2009 Amsterdamista Detroitiin suuntautuneella lennolla tehty terrori-iskun yritys osoittavat, että terroristit kykenevät suunnittelemaan kansainvälisiin lentoihin kohdistuvia iskuja missä tahansa maassa” ja että ”terroristien toiminta on useimmiten luonteeltaan kansainvälistä ja siihen liittyy matkustamista maasta toiseen, esimerkiksi EU:n ulkopuolella sijaitseville koulutusleireille”. Perustellakseen tarvetta analysoida PNR-tietoja vakavan rikollisuuden torjunnassa komissio viittasi lisäksi esimerkkeinä ihmissalakuljettajien ryhmään, joka oli ihmiskaupan suorittamiseksi esittänyt väärennettyjä asiakirjoja lennon lähtöselvitystä varten, sekä ihmiskaupan ja huumausaineiden laittoman kaupan verkostoon, joka käytti huumausaineiden tuomisessa useille Euroopan alueille henkilöitä, jotka olivat itse ihmiskaupan uhreja, ostettuaan näiden henkilöiden matkaliput varastetuilla luottokorteilla. Kaikki nämä tapaukset koskivat kuitenkin rikoksia, joilla oli suora yhteys lentomatkustamiseen, koska kyse oli rikoksista, jotka kohdistuivat matkustajien lentokuljetukseen, sekä lentomatkan yhteydessä tai sen avulla tehdyistä rikoksista.

156    Lisäksi on todettava, että jopa sellaisilla rikoksilla, joilla ei ole tällaista suoraa yhteyttä matkustajalentoliikenteeseen, voi yksittäisen tapauksen olosuhteiden perusteella olla välillinen yhteys matkustajalentoliikenteeseen. Näin on erityisesti silloin, kun lentokuljetuksia käytetään keinona tällaisten rikosten valmisteluun tai syytetoimien välttämiseen niiden tekemisen jälkeen. Sitä vastoin rikoksilla, joilla ei ole mitään objektiivista, edes välillistä, yhteyttä matkustajalentoliikenteeseen, ei voida oikeuttaa PNR-direktiivillä käyttöön otetun järjestelmän soveltamista.

157    Näin ollen kyseisen direktiivin 3 artiklan 8 ja 9 alakohdassa, luettuna yhdessä sen liitteen II kanssa ja perusoikeuskirjan 7 ja 8 artiklasta ja 52 artiklan 1 kohdasta johtuvien vaatimusten valossa, edellytetään, että jäsenvaltiot huolehtivat muun muassa mainitun direktiivin 6 artiklan 5 kohdassa säädetyssä yksittäisessä ei-automaattisen käsittelyn keinoin suoritettavassa tarkistuksessa siitä, että direktiivillä käyttöön otetun järjestelmän soveltaminen rajoitetaan terrorismirikoksiin ja ainoastaan sellaiseen vakavaan rikollisuuteen, jolla on vähintään välillinen objektiivinen yhteys matkustajalentoliikenteeseen.

4)     Asianomaiset lentomatkustajat ja lennot

158    PNR-direktiivillä perustettu järjestelmä kattaa kaikkien niiden henkilöiden PNR-tiedot, jotka vastaavat kyseisen direktiivin 3 artiklan 4 alakohdassa tarkoitettua matkustajan käsitettä ja jotka käyttävät kyseisen direktiivin soveltamisalaan kuuluvia lentoja.

159    Mainitun direktiivin 8 artiklan 1 kohdan mukaan nämä tiedot siirretään sen jäsenvaltion matkustajatietoyksikölle, jonka alueelle lennon on määrä laskeutua tai jonka alueelta sen on määrä lähteä, riippumatta mistään objektiivisista seikoista, joiden perusteella voitaisiin katsoa, että asianomaiset matkustajat ovat mahdollisesti osallisina terrorismirikoksissa tai vakavassa rikollisuudessa. Näin siirrettyihin tietoihin kohdistetaan kuitenkin muun muassa automaattisia käsittelyjä PNR-direktiivin 6 artiklan 2 kohdan a alakohdan ja 3 kohdan mukaisen etukäteisarvioinnin yhteydessä, ja tämän arvioinnin tarkoituksena on, kuten kyseisen direktiivin johdanto-osan seitsemännestä perustelukappaleesta ilmenee, yksilöidä henkilöt, joita ei ennen kyseistä arviointia epäilty osallisuudesta terrorismirikoksiin tai vakavaan rikollisuuteen ja joista toimivaltaisten viranomaisten on tehtävä lisätutkimuksia.

160    Tarkemmin sanottuna PNR-direktiivin 1 artiklan 1 kohdan a alakohdasta ja 2 artiklasta ilmenee, että kyseisessä direktiivissä erotetaan toisistaan unionin ja kolmansien maiden välillä lennettäviä EU:n ulkopuolisia lentoja käyttävät matkustajat ja unionin eri jäsenvaltioiden välillä lennettäviä EU:n sisäisiä lentoja käyttävät matkustajat.

161    EU:n ulkopuolisten lentojen matkustajien osalta on muistutettava, että unionin tuomioistuin on jo katsonut unionin ja Kanadan välisiä lentoja käyttävien matkustajien osalta, että heidän PNR-tietojensa automaattinen käsittely ennen heidän saapumistaan Kanadaan helpottaa ja nopeuttaa turvatarkastuksia muun muassa rajoilla. Lisäksi tiettyjen henkilöryhmien tai tiettyjen lähtöalueiden pois sulkeminen olisi omiaan estämään PNR-tietojen automaattisen käsittelyn sen tavoitteen saavuttamisen, joka on kyseisten tietojen tarkastamisella tunnistaa kaikkien lentomatkustajien joukosta henkilöt, jotka voivat merkitä riskiä yleiselle turvallisuudelle, ja mahdollistamaan, että tätä tarkastusta voidaan kiertää (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 187 kohta).

162    Näitä toteamuksia voidaan soveltaa vastaavasti unionin ja kaikkien kolmansien maiden välisiä lentoja käyttäviin matkustajiin, joihin jäsenvaltiot ovat velvollisia soveltamaan PNR-direktiivillä käyttöön otettua järjestelmää kyseisen direktiivin 1 artiklan 1 kohdan a alakohdan, luettuna yhdessä mainitun direktiivin 3 artiklan 2 ja 4 alakohdan kanssa, mukaisesti. Unionin alueelle saapuvien tai sieltä lähtevien lentomatkustajien PNR-tietojen siirtoa ja etukäteisarviointia ei nimittäin voida rajoittaa tiettyyn lentomatkustajien ryhmään, kun otetaan huomioon niiden yleiseen turvallisuuteen kohdistuvien uhkien luonne, joita voi aiheutua terrorismirikoksista ja vakavasta rikollisuudesta, joilla on ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen unionin ja kolmansien maiden välillä. On siis katsottava, että näiden tietojen ja tällaisten rikosten torjuntaa koskevan tavoitteen välinen välttämätön yhteys on olemassa, joten PNR-direktiivissä ei ylitetä täysin välttämättömän rajoja pelkästään siitä syystä, että siinä velvoitetaan jäsenvaltiot siirtämään ja arvioimaan etukäteen järjestelmällisesti kaikkien näiden matkustajien PNR-tiedot.

163    Sellaisten matkustajien osalta, jotka käyttävät unionin eri jäsenvaltioiden välisiä lentoja, PNR-direktiivin 2 artiklan 1 kohdassa, luettuna yhdessä direktiivin johdanto-osan kymmenennen perustelukappaleen kanssa, säädetään ainoastaan jäsenvaltioiden mahdollisuudesta laajentaa kyseisellä direktiivillä käyttöön otetun järjestelmän soveltaminen EU:n sisäisiin lentoihin.

164    Unionin lainsäätäjän tarkoituksena ei siis ole ollut asettaa jäsenvaltioille velvollisuutta ulottaa PNR-direktiivillä käyttöön otetun järjestelmän soveltaminen koskemaan EU:n sisäisiä lentoja, vaan se on kyseisen direktiivin 19 artiklan 3 kohdasta ilmenevin tavoin jättänyt tällaista laajentamista koskevan päätöksensä tehtäväksi myöhemmin ja katsonut, että sitä ennen on arvioitava yksityiskohtaisesti sen oikeusvaikutukset erityisesti rekisteröityjen perusoikeuksiin.

165    Tässä yhteydessä on syytä huomauttaa, että koska PNR-direktiivin 19 artiklan 3 kohdassa todetaan, että saman direktiivin 19 artiklan 1 kohdassa tarkoitetussa komission uudelleentarkastelua koskevassa kertomuksessa ”on tarkasteltava myös kaikkiin tai valikoituihin tämän direktiivin soveltamisalaan kuuluviin EU:n sisäisiin lentoihin liittyvien PNR-tietojen pakollisen keräämisen ja siirtämisen tarpeellisuutta, oikeasuhteisuutta ja tehokkuutta” ja että komission on tässä tarkoituksessa otettava huomioon ”jäsenvaltioiden saamat kokemukset ja erityisesti niiden jäsenvaltioiden saamat kokemukset, jotka soveltavat tätä direktiiviä EU:n sisäisiin lentoihin 2 artiklan mukaisesti”, kyseisen direktiivin 19 artiklan 3 kohdassa tehdään selväksi, että unionin lainsäätäjän mielestä mainitulla direktiivillä käyttöön otettua järjestelmää ei välttämättä ole ulotettava koskemaan kaikkia EU:n sisäisiä lentoja.

166    Vastaavasti PNR-direktiivin 2 artiklan 3 kohdassa säädetään, että jäsenvaltiot voivat päättää soveltaa tätä direktiiviä vain valikoituihin EU:n sisäisiin lentoihin pitäessään tätä tarpeellisena mainitun direktiivin tavoitteiden edistämiseksi ja että jäsenvaltiot voivat milloin tahansa päättää muuttaa kyseisten lentojen valikoimaa.

167    Kuten PNR-direktiivin johdanto-osan 22 perustelukappaleesta ilmenee, jäsenvaltioiden mahdollisuutta laajentaa kyseisellä direktiivillä käyttöön otetun järjestelmän soveltaminen EU:n sisäisiin lentoihin on joka tapauksessa käytettävä perusoikeuskirjan 7 ja 8 artiklassa taattuja perusoikeuksia täysimääräisesti kunnioittaen. Tältä osin on todettava, että vaikka mainitun direktiivin johdanto-osan 19 perustelukappaleen mukaan jäsenvaltioiden on arvioitava terrorismirikoksiin ja vakavaan rikollisuuteen liittyviä uhkia, tämän mahdollisuuden käyttäminen edellyttää kuitenkin, että jäsenvaltiot toteavat arvioinnin yhteydessä, että on olemassa tällaisiin rikoksiin liittyvä uhka, joka on omiaan oikeuttamaan mainitun direktiivin soveltamisen myös EU:n sisäisiin lentoihin.

168    Näin ollen silloin, kun jäsenvaltio haluaa käyttää PNR-direktiivin 2 artiklassa säädettyä mahdollisuutta joko kaikkiin EU:n sisäisiin lentoihin kyseisen artiklan 2 kohdan nojalla tai vain joihinkin näistä lennoista kyseisen artiklan 3 kohdan nojalla, se ei vapaudu velvollisuudesta varmistaa, että saman direktiivin soveltamisen laajentaminen koskemaan kaikkia EU:n sisäisiä lentoja tai osaa niistä on tosiasiallisesti tarpeellista ja oikeasuhteista mainitun direktiivin 1 artiklan 2 kohdassa tarkoitetun tavoitteen saavuttamiseksi.

169    Kun otetaan huomioon PNR-direktiivin johdanto-osan 5, 6, 7, 10 ja 22 perustelukappale, tällaisen jäsenvaltion on siis varmistettava, että kyseisessä direktiivissä säädetty EU:n sisäisiä lentoja tai joitakin näistä lennoista käyttävien matkustajien PNR-tietojen käsittely on perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin puuttumisen vakavuus huomioon ottaen ehdottoman välttämätöntä unionin sisäisen turvallisuuden tai ainakin mainitun jäsenvaltion sisäisen turvallisuuden varmistamiseksi ja siten ihmisten hengen ja turvallisuuden suojelemiseksi.

170    Erityisesti terrorismirikoksiin liittyvien uhkien osalta unionin tuomioistuimen oikeuskäytännöstä ilmenee, että terroristinen toiminta kuuluu toimintaan, joka on omiaan horjuttamaan vakavasti tietyn maan perustavanlaatuisia perustuslaillisia, poliittisia, taloudellisia tai yhteiskunnallisia rakenteita ja erityisesti uhkaamaan suoraan yhteiskuntaa, väestöä tai valtiota sellaisenaan, ja että jokaisen jäsenvaltion ensisijaisen tärkeä intressi on torjua tällaista toimintaa ja rangaista siitä suojellakseen valtion keskeisiä tehtäviä ja yhteiskunnan perustavanlaatuisia etuja kansallisen turvallisuuden takaamiseksi. Tällaiset uhat eroavat luonteeltaan, erityiseltä vakavuudeltaan ja uhat muodostavien erityisten olosuhteiden vuoksi vakavien rikosten yleisestä ja pysyvästä vaarasta (ks. vastaavasti tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 135 ja 136 kohta ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 61 ja 62 kohta).

171    Tilanteessa, jossa jäsenvaltion tekemän arvioinnin perusteella todetaan, että on olemassa riittävän konkreettisia seikkoja, joiden perusteella voidaan katsoa, että jäsenvaltioon kohdistuu terrorismiuhka, joka osoittautuu todelliseksi ja välittömäksi tai ennakoitavissa olevaksi, se, että kyseinen jäsenvaltio säätää rajoitetuksi ajaksi PNR-direktiivin soveltamisesta kyseisen direktiivin 2 artiklan 1 kohdan nojalla kaikkiin EU:n sisäisiin lentoihin, jotka lähtevät kyseisestä jäsenvaltiosta tai saapuvat sinne, ei vaikuta ylittävän ehdottomasti välttämättömän rajoja. Tällaisen uhan olemassaolo on sellaisenaan omiaan osoittamaan tämän yhteyden olemassaolon yhtäältä asianomaisten tietojen siirtämisen ja käsittelyn ja toisaalta terrorismin torjunnan välillä (ks. analogisesti tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 137 kohta).

172    Tuomioistuimen tai riippumattoman hallinnollisen elimen, jonka ratkaisu on sitova, on voitava kohdistaa päätökseen, jolla tällaisesta soveltamisesta määrätään, tehokasta valvontaa, jolla pyritään tarkastamaan, että kyseessä on tällainen tilanne ja että niitä edellytyksiä ja takeita, joista on säädettävä, noudatetaan. Soveltamisen ajanjakso on myös rajoitettava täysin välttämättömään, mutta sitä voidaan jatkaa, jos kyseinen uhka on edelleen olemassa (ks. analogisesti tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 168 kohta ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 58 kohta).

173    Sitä vastoin silloin, kun kyseessä olevaan jäsenvaltioon ei kohdistu todellista ja välitöntä tai ennakoitavissa olevaa terroriuhkaa, sen, että se soveltaa PNR-direktiivillä käyttöön otettua järjestelmää EU:n ulkopuolisten lentojen lisäksi myös erotuksetta kaikkiin EU:n sisäisiin lentoihin, ei voida katsoa rajoittuvan täysin välttämättömään.

174    Tällaisessa tilanteessa PNR-direktiivillä käyttöön otetun järjestelmän soveltaminen tiettyihin EU:n sisäisiin lentoihin on rajoitettava sellaisten lentojen PNR-tietojen siirtoon ja käsittelyyn, jotka liittyvät muun muassa tiettyihin lentoyhteyksiin tai matkustusjärjestelyihin tai tiettyihin lentoasemiin, joiden osalta on olemassa viitteitä, jotka voivat oikeuttaa tämän soveltamisen. Asianomaisen jäsenvaltion on tällaisessa tilanteessa valittava EU:n sisäiset lennot sen arvioinnin tulosten mukaan, joka sen on tehtävä tämän tuomion 163–169 kohdassa selostettujen vaatimusten perusteella, ja tarkasteltava sitä säännöllisin väliajoin uudelleen niiden valitsemisen perusteina olleiden seikkojen kehittymisen mukaan varmistaakseen, että mainitulla direktiivillä käyttöön otetun järjestelmän soveltaminen EU:n sisäisiin lentoihin rajoittuu edelleen täysin välttämättömään.

175    Edellä todetusta seuraa, että PNR-direktiivin 2 artiklan ja 3 artiklan 4 alakohdan tällainen tulkinta perusoikeuskirjan 7 ja 8 artiklan ja 52 artiklan 1 kohdan mukaisesti on omiaan varmistamaan, että näissä säännöksissä noudatetaan täysin välttämättömän rajoja.

5)     PNR-tietojen etukäteisarviointi automaattisten käsittelyjen avulla

176    PNR-direktiivin 6 artiklan 2 kohdan a alakohdan mukaan siinä säädetyn etukäteisarvioinnin tarkoituksena on tunnistaa henkilöt, joista muun muassa kyseisen direktiivin 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten on tehtävä lisätutkimuksia, koska nämä henkilöt saattavat olla osallisina terrorismirikoksessa tai vakavassa rikollisuudessa.

177    Tämä etukäteisarviointi tapahtuu kahdessa vaiheessa. Ensimmäisessä vaiheessa asianomaisen jäsenvaltion matkustajatietoyksikkö suorittaa PNR-tietojen automaattisia käsittelyjä PNR-direktiivin 6 artiklan 3 kohdan mukaisesti vertaamalla niitä tietokantoihin tai ennalta määritettyihin kriteereihin. Jos näiden automaattisten käsittelyjen tuloksena on saatu osuma (hit), mainittu yksikkö tarkistaa toisessa vaiheessa tiedot kyseisen direktiivin 6 artiklan 5 kohdan nojalla yksittäin ei-automaattisen käsittelyn keinoilla sen selvittämiseksi, onko mainitun direktiivin 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten ryhdyttävä toimenpiteisiin kansallisen oikeuden nojalla (match).

178    Kuten tämän tuomion 106 kohdassa on muistutettu, automaattisiin käsittelyihin liittyy välttämättä melko huomattava virheprosentti, koska ne tehdään käyttäen tarkistamattomia henkilötietoja ja ne perustuvat ennalta määritettyihin kriteereihin.

179    Kun otetaan huomioon perusoikeuskirjan johdanto-osan neljännessä perustelukappaleessa korostettu tarve tehostaa perusoikeuksien suojaa erityisesti tieteen ja tekniikan kehityksen mukaisesti, on näin ollen varmistettava PNR-direktiivin johdanto-osan 20 perustelukappaleessa ja 7 artiklan 6 kohdassa todetun mukaisesti, että toimivaltaiset viranomaiset eivät saa tehdä yksinomaan PNR-tietojen automaattisen käsittelyn perusteella mitään päätöstä, jolla on henkilön kannalta kielteisiä oikeusvaikutuksia tai joka vaikuttaa häneen merkittävästi. Lisäksi kyseisen direktiivin 6 artiklan 6 kohdan mukaan matkustajatietoyksikkö voi itse siirtää PNR-tiedot näille viranomaisille vasta sen jälkeen, kun se on suorittanut yksittäisen tarkistuksen ei-automaattisen käsittelyn keinoilla. Kaikkien automaattisten käsittelyjen laillisuutta on voitava valvoa näiden tarkastusten, joita matkustajatietoyksikön ja toimivaltaisten viranomaisten on itse suoritettava, lisäksi myös tietosuojavastaavan ja kansallisen valvontaviranomaisen mainitun direktiivin 6 artiklan 7 kohdan ja 15 artiklan 3 kohdan b alakohdan nojalla suorittamassa valvonnassa sekä kansallisissa tuomioistuimissa saman direktiivin 13 artiklan 1 kohdassa tarkoitetun oikeussuojakeinon yhteydessä.

180    Kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 207 kohdassa, kansallisella valvontaviranomaisella, tietosuojavastaavalla ja matkustajatietoyksiköllä on oltava niille PNR-direktiivin nojalla kuuluvan valvonnan suorittamiseen tarvittavat aineelliset resurssit ja henkilöresurssit. Lisäksi on tärkeää, että kansallisessa säännöstössä, jolla tämä direktiivi saatetaan osaksi kansallista oikeusjärjestystä ja sallitaan direktiivissä säädetyt automatisoidut käsittelyt, vahvistetaan selkeät ja täsmälliset säännöt, jotka koskevat käytettyjen tietokantojen ja analyysiperusteiden määrittämistä, ilman että etukäteisarviointia varten voidaan turvautua muihin menetelmiin, joista ei nimenomaisesti säädetä kyseisen direktiivin 6 artiklan 2 kohdassa.

181    Lisäksi PNR-direktiivin 6 artiklan 9 kohdasta ilmenee, että direktiivin 6 artiklan 2 kohdan a alakohdan mukaisen etukäteisarvioinnin seuraukset eivät saa heikentää unionin vapaata liikkuvuutta koskevan oikeuden piiriin kuuluvien henkilöiden oikeutta tulla asianomaisen jäsenvaltion alueelle direktiivin 2004/38 mukaisesti, ja niiden on lisäksi oltava asetuksen N:o 562/2006 mukaisia. Näin ollen PNR-direktiivillä käyttöön otettu järjestelmä ei mahdollista sitä, että toimivaltaiset viranomaiset rajoittaisivat tätä oikeutta enemmän kuin direktiivissä 2004/38 ja asetuksessa N:o 562/2006 säädetään.

i)     PNR-tietojen vertailu tietokantoihin

182    PNR-direktiivin 6 artiklan 3 kohdan a alakohdan mukaan matkustajatietoyksikkö ”voi” kyseisen direktiivin 6 artiklan 2 kohdan a alakohdassa tarkoitettua arviointia toteuttaessaan verrata PNR-tietoja terrorismirikosten tai vakavan rikollisuuden ennalta estämisen, paljastamisen, tutkinnan sekä tällaisiin rikoksiin liittyvien syytetoimien kannalta ”olennaisiin tietokantoihin”, ”kuten etsittyjä tai kuulutuksen kohteena olevia henkilöitä tai esineitä koskeviin tietokantoihin, tällaisiin tietokantoihin sovellettavien unionin, kansainvälisten ja kansallisten sääntöjen mukaisesti”.

183    Vaikka suoraan PNR-direktiivin 6 artiklan 3 kohdan a alakohdan sanamuodosta ja erityisesti sanasta ”kuten” ilmenee, että etsittyjä tai kuulutuksen kohteena olevia henkilöitä tai esineitä koskevat tietokannat kuuluvat tässä säännöksessä tarkoitettuihin ”olennaisiin tietokantoihin”, siinä ei kuitenkaan täsmennetä, mitä muitakin tietokantoja voitaisiin pitää ”olennaisina” kyseisellä direktiivillä tavoiteltujen päämäärien kannalta. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 217 kohdassa, kyseisessä säännöksessä ei nimittäin täsmennetä nimenomaisesti niiden tietojen luonnetta, jotka voivat sisältyä tällaisiin tietokantoihin, ja niiden suhdetta PNR-direktiivin tavoitteisiin eikä siinä myöskään mainita, onko PNR-tietoja verrattava yksinomaan viranomaisten hallinnoimiin tietokantoihin vai voidaanko niitä verrata myös yksityishenkilöiden hallinnoimiin tietokantoihin.

184    Näin ollen PNR-direktiivin 6 artiklan 3 kohdan a alakohtaa voitaisiin ensi näkemältä tulkita siten, että PNR-tietoja voidaan käyttää pelkkinä hakukriteereinä analyysien suorittamiseksi erilaisista tietokannoista, mukaan lukien tietokannoista, joita jäsenvaltioiden turvallisuus- ja tiedustelupalvelut hallinnoivat ja hyödyntävät muiden kuin tässä direktiivissä tarkoitettujen tavoitteiden saavuttamiseksi, ja että tällaiset analyysit voivat tapahtua tiedonlouhinnan (data mining) muodossa. Mahdollisuus tehdä tällaisia analyysejä ja verrata PNR-tietoja tällaisiin tietokantoihin olisi kuitenkin omiaan luomaan lentomatkustajille tunteen siitä, että heidän yksityiselämänsä on jonkinlaisen valvonnan kohteena. Vaikka kyseisessä säännöksessä säädetyn etukäteisarvioinnin lähtökohtana on suhteellisen rajoitettu tietokokonaisuus, jollainen PNR-tiedot ovat, tällaista kyseisen 6 artiklan 3 kohdan a alakohdan tulkintaa ei voida hyväksyä, koska se voisi johtaa siihen, että näitä tietoja, joissa annetaan keinot rekisteröityjen täsmälliseen profilointiin, käytettäisiin suhteettomasti pelkästään siitä syystä, että he aikovat matkustaa lentokoneella.

185    Näin ollen tämän tuomion 86 ja 87 kohdassa mainitun oikeuskäytännön mukaisesti PNR-direktiivin 6 artiklan 3 kohdan a alakohtaa on tulkittava siten, että taataan perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien täysimääräinen kunnioittaminen.

186    Tältä osin PNR-direktiivin johdanto-osan 7 ja 15 perustelukappaleesta ilmenee, että kyseisen direktiivin 6 artiklan 3 kohdan a alakohdassa säädetty automaattinen käsittely on rajoitettava siihen, mikä on ehdottoman välttämätöntä terrorismirikosten ja vakavan rikollisuuden torjunnassa, samalla kun varmistetaan näiden perusoikeuksien korkeatasoinen suoja.

187    Kuten komissio on pääasiallisesti todennut vastauksena unionin tuomioistuimen esittämään kysymykseen, tämän säännöksen sanamuoto, jonka mukaan matkustajatietoyksikkö ”voi” vertailla PNR-tietoja siinä tarkoitettuihin tietokantoihin, antaa matkustajatietoyksikölle mahdollisuuden valita käsittelytapa, joka rajoittuu täysin välttämättömään konkreettisen tilanteen mukaisesti. Kun otetaan huomioon tarve noudattaa selvyyden ja täsmällisyyden vaatimuksia perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien suojan varmistamiseksi, matkustajatietoyksikön on rajattava PNR-direktiivin 6 artiklan 3 kohdan a alakohdassa säädetty automaattinen käsittely koskemaan ainoastaan tietokantoja, jotka voidaan yksilöidä kyseisen säännöksen perusteella. Tältä osin on todettava, että vaikka viimeksi mainitussa säännöksessä olevaa viittausta ”olennaisiin tietokantoihin” ei voida tulkita siten, että siinä täsmennettäisiin riittävän selvästi ja täsmällisesti näin tarkoitetut tietokannat, asia on toisin, kun on kyse viittauksesta ”etsittyjä tai kuulutuksen kohteena olevia henkilöitä tai esineitä koskeviin tietokantoihin, tällaisiin tietokantoihin sovellettavien unionin, kansainvälisten ja kansallisten sääntöjen mukaisesti”.

188    Kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 219 kohdassa, PNR-direktiivin 6 artiklan 3 kohdan a alakohtaa on näin ollen tulkittava näiden perusoikeuksien mukaisesti siten, että viimeksi mainitut tietokannat ovat ainoita tietokantoja, joihin matkustajatietoyksikkö voi vertailla PNR-tietoja.

189    Vaatimuksista, jotka näiden tietokantojen on täytettävä, on todettava, että PNR-direktiivin 3 kohdan b alakohdan nojalla ennalta määritettyjen kriteerien mukaisesti toteutettava etukäteisarviointi on kyseisen direktiivin 6 artiklan 4 kohdan mukaan suoritettava syrjimättömästi, näiden kriteerien on oltava kohdennettuja, oikeasuhteisia ja selkeitä, ja matkustajatietoyksikköjen on vahvistettava ja säännöllisesti tarkistettava nämä kriteerit yhteistyössä mainitun direktiivin 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten kanssa. Vaikka 6 artiklan 4 kohdan sanamuoto, jossa viitataan saman direktiivin 6 artiklan 3 kohdan b alakohtaan, koskee ainoastaan PNR-tietojen käsittelyä ennalta määritettyjen kriteerien mukaisesti, ensiksi mainittua säännöstä on tulkittava perusoikeuskirjan 7, 8 ja 21 artiklan mukaisesti siten, että siinä asetettuja vaatimuksia on vastaavasti sovellettava näiden tietojen vertailuun tämän tuomion edellisessä kohdassa tarkoitettuihin tietokantoihin, varsinkin kun nämä vaatimukset vastaavat olennaisilta osin 26.7.2017 annettuun lausuntoon 1/15 (EU–Kanada-PNR-sopimus, EU:C:2017:592, 172 kohta) perustuvassa oikeuskäytännössä asetettuja vaatimuksia PNR-tietojen vertailulle tietokantojen kanssa.

190    Tässä yhteydessä on syytä täsmentää, että mainittujen tietokantojen syrjimättömyyttä koskeva vaatimus edellyttää muun muassa, että etsittyjen tai kuulutuksen kohteena olevien henkilöiden rekisteröinti tietokantoihin perustuu objektiivisiin ja syrjimättömiin seikkoihin, jotka on määritelty tällaisiin tietokantoihin sovellettavissa kansallisissa, kansainvälisissä ja unionin säännöissä (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 78 kohta).

191    Lisäksi tämän tuomion 188 kohdassa tarkoitettujen tietokantojen käytön on ennalta määritettyjen kriteereiden kohdentamista, oikeasuhteisuutta ja selkeyttä koskevan vaatimuksen täyttämiseksi liityttävä terrorismirikosten ja sellaisen vakavan rikollisuuden torjuntaan, jolla on ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen.

192    Kun otetaan huomioon tämän tuomion 183 ja 184 kohdassa esitetyt seikat, PNR-direktiivin 6 artiklan 3 kohdan a alakohdan nojalla käytettyjen tietokantojen on oltava kyseisen direktiivin 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten hallinnoimia tai, siltä osin kuin on kyse unionin tietokannoista ja kansainvälisistä tietokannoista, kyseisten viranomaisten on käytettävä niitä terrorismirikosten ja vakavan rikollisuuden torjuntaa koskevassa tehtävässään. Näin on sellaisten tietokantojen osalta, jotka koskevat etsittyjä tai kuulutuksen kohteena olevia henkilöitä tai esineitä tällaisiin tietokantoihin sovellettavien kansallisten, kansainvälisten ja unionin sääntöjen mukaisesti.

ii)  PNR-tietojen käsittely ennalta määritettyjen kriteerien mukaisesti

193    PNR-direktiivin 6 artiklan 3 kohdan b alakohdassa säädetään, että matkustajatietoyksikkö voi käsitellä PNR-tietoja myös ennalta määritettyjen kriteerien mukaisesti. Kyseisen direktiivin 6 artiklan 2 kohdan a alakohdasta ilmenee, että PNR-tietojen etukäteisarvioinnin ja näin ollen ennalta määritettyjen kriteerien perusteella tapahtuvan käsittelyn tarkoituksena on pääasiallisesti tunnistaa henkilöt, jotka voivat olla osallisina terrorismirikoksessa tai vakavassa rikollisuudessa.

194    Kriteereistä, joita matkustajatietoyksikkö voi käyttää tähän tarkoitukseen, on aluksi todettava, että PNR-direktiivin 6 artiklan 3 kohdan b alakohdan sanamuodon mukaan näiden kriteerien on oltava ”ennalta määritettyjä”. Kuten julkisasiamies on todennut ratkaisuehdotuksensa 228 kohdassa, tämä vaatimus estää tekoälyteknologian käytön koneoppimiseen (machine learning) perustuvissa järjestelmissä, jotka voivat ilman ihmisen puuttumista ja valvontaa muuttaa arviointiprosessia ja erityisesti arviointikriteereitä, joihin kyseisen prosessin soveltamisen tulos perustuu, sekä näiden kriteerien painotusta.

195    On lisättävä, että turvautuminen tällaisiin teknologioihin voisi viedä PNR-direktiivin säännöksissä edellytetyiltä osumien yksittäin tarkistamiselta ja laillisuuden valvonnalta niiden tehokkaan vaikutuksen. Kuten julkisasiamies on nimittäin pääasiallisesti todennut ratkaisuehdotuksensa 228 kohdassa, voi osoittautua mahdottomaksi ymmärtää syy, jonka vuoksi tietty ohjelma on antanut tulokseksi osuman, kun otetaan huomioon tekoälyteknologioiden toiminnalle ominainen läpinäkymättömyys, Näin ollen tällaisten teknologioiden käyttö voisi viedä kyseisiltä henkilöiltä myös perusoikeuskirjan 47 artiklassa vahvistetun tehokkaita oikeussuojakeinoja koskevan oikeuden erityisesti saatujen tulosten syrjimättömyyden riitauttamiseen, vaikka PNR-direktiivillä pyritään sen johdanto-osan 28 perustelukappaleen mukaan takaamaan kyseisen oikeuden suojan korkea taso.

196    PNR-direktiivin 6 artiklan 4 kohtaan perustuvista vaatimuksista on todettava, että kyseisen säännöksen ensimmäisessä virkkeessä säädetään, että etukäteisarviointi ennalta määritettyjen kriteerien perusteella tehdään syrjimättömällä tavalla, ja sen neljännessä virkkeessä täsmennetään, että nämä kriteerit eivät missään olosuhteissa saa perustua henkilön rotuun tai etniseen alkuperään, poliittisiin mielipiteisiin, uskonnolliseen tai filosofiseen vakaumukseen, ammattiliiton jäsenyyteen eivätkä terveydentilaa, sukupuolielämää tai sukupuolista suuntautuneisuutta koskeviin tietoihin.

197    Jäsenvaltiot eivät näin ollen saa käyttää ennalta määritettyinä kriteereinä sellaisia kriteerejä, jotka perustuvat tämän tuomion edellisessä kohdassa mainittuihin ominaisuuksiin ja joiden käyttö voi olla omiaan johtamaan syrjintään. Tältä osin PNR-direktiivin 6 artiklan 4 kohdan neljännen virkkeen sanamuodosta, jonka mukaan ennalta määritetyt kriteerit eivät ”missään olosuhteissa” saa perustua näihin ominaisuuksiin, ilmenee, että kyseinen säännös koskee sekä välitöntä että välillistä syrjintää. Tätä tulkintaa tukee lisäksi perusoikeuskirjan 21 artiklan 1 kohta, jonka mukaisesti mainittua säännöstä on tulkittava ja jossa kielletään ”kaikenlainen” näihin ominaisuuksiin perustuva syrjintä. Näin ollen ennalta määritetyt kriteerit on määritettävä siten, että vaikka ne on muotoiltu neutraalisti, niiden soveltaminen ei voi olla omiaan saattamaan erityisen epäedulliseen asemaan henkilöitä, joilla on suojattuja ominaisuuksia.

198    PNR-direktiivin 6 artiklan 4 kohdan toisessa virkkeessä säädetyistä vaatimuksista, joiden mukaan ennalta määritettyjen kriteerien on oltava kohdennettuja, oikeasuhteisia ja selkeitä, seuraa, että etukäteisarvioinnissa käyttävät kriteerit on määritettävä siten, että ne kohdistuvat selvästi henkilöihin, joiden voidaan perustellusti epäillä olevan osallisina kyseisessä direktiivissä tarkoitetuissa terrorismirikoksissa tai vakavassa rikollisuudessa. Tätä tulkintaa tukee suoraan kyseisen direktiivin 6 artiklan 2 kohdan a alakohdan sanamuoto, jossa korostetaan sitä, että kyseiset henkilöt ”saattavat” olla osallisina terrorismirikoksessa tai vakavassa rikollisuudessa. Vastaavasti kyseisen direktiivin johdanto-osan seitsemännessä perustelukappaleessa täsmennetään, että arviointiperusteiden laatiminen ja soveltaminen olisi rajoitettava kattamaan terrorismirikokset ja vakavat rikokset, ”joiden kohdalla kyseisten perusteiden käyttö on asianmukaista”.

199    Kun otetaan huomioon PNR-direktiivin 6 artiklan 4 kohdan neljännessä virkkeessä mainittuihin ominaisuuksiin perustuviin kriteereihin liittyvä syrjintävaara, matkustajatietoyksikkö ja toimivaltaiset viranomaiset eivät lähtökohtaisesti voi tukeutua näihin ominaisuuksiin etsiessään tällä tavoin edellä tarkoitettuja henkilöitä. Kuten Saksan hallitus totesi istunnossa, ne voivat sitä vastoin ottaa huomioon muun muassa lentomatkojen valmisteluun ja toteuttamiseen liittyviä henkilöiden tosiasiallisen käyttäytymisen erityispiirteitä, jotka toimivaltaisten viranomaisten tekemien toteamusten ja saamien kokemusten mukaan voivat osoittaa, että tällä tavoin menettelevät henkilöt voivat olla osallisina terrorismirikoksissa tai vakavassa rikollisuudessa.

200    Kuten komissio on tässä yhteydessä huomauttanut vastauksena unionin tuomioistuimen esittämään kysymykseen, ennalta määritetyt kriteerit on määritettävä siten, että otetaan huomioon sekä asianomaista henkilöä ”vastaan” että hänen ”puolestaan” puhuvat seikat, koska tämä vaatimus on omiaan edistämään näiden kriteerien luotettavuutta ja erityisesti varmistamaan, että ne ovat oikeasuhteisia, kuten PNR-direktiivin 6 artiklan 4 kohdan toisessa virkkeessä edellytetään.

201    Lopuksi kyseisen direktiivin 6 artiklan 4 kohdan kolmannen virkkeen mukaan ennalta määritetyt kriteerit on tarkistettava säännöllisesti. Tämän tarkistuksen yhteydessä nämä kriteerit on saatettava ajan tasalle niiden olosuhteiden kehityksen mukaan, jotka oikeuttivat niiden huomioon ottamisen etukäteisarvioinnissa, mikä mahdollistaa muun muassa reagoimisen terrorismirikosten ja tämän tuomion 157 kohdassa mainitun vakavan rikollisuuden torjunnan kehitykseen (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 82 kohta). Mainitussa tarkistuksessa on erityisesti otettava huomioon ennalta määritettyjen kriteerien soveltamisen yhteydessä saatu kokemus, jotta voidaan mahdollisuuksien mukaan vähentää väärien positiivisten tulosten määrää ja näin ollen myötävaikuttaa siihen, että näiden kriteerien soveltaminen on ehdottoman välttämätöntä.

iii)  PNR-tietojen automaattiseen käsittelyyn liittyvät suojatoimet

202    PNR-tietojen automaattiselle käsittelylle PNR-direktiivin 6 artiklan 4 kohdassa asetettujen vaatimusten noudattaminen on välttämätöntä paitsi kyseisessä säännöksessä säädettyjen tietokantojen ja ennalta määritettyjen kriteerien määrittämisessä ja tarkistuksessa, myös PNR-tietojen käsittelyprosessin koko keston ajan, kuten julkisasiamies on todennut ratkaisuehdotuksensa 230 kohdassa.

203    Erityisesti ennalta määritettyjen kriteerien osalta on aluksi täsmennettävä, että vaikka matkustajatietoyksikön on PNR-direktiivin johdanto-osan seitsemännessä perustelukappaleessa todetuin tavoin määritettävä arviointiperusteet siten, että kyseisellä direktiivillä perustetun järjestelmän virheellisesti yksilöimien viattomien henkilöiden määrä saadaan mahdollisimman pieneksi, matkustajatietoyksikön on kuitenkin mainitun direktiivin 6 artiklan 5 ja 6 kohdan mukaisesti tarkistettava kaikki osumat yksittäin ei- automaattisen käsittelyn keinoilla mahdollisten ”väärien positiivisten” tulosten paljastamiseksi mikäli suinkin mahdollista. Lisäksi siitä huolimatta, että matkustajatietoyksikön on määritettävä kriteerit syrjimättömällä tavalla, matkustajatietoyksikön on suoritettava tällainen tarkistus mahdollisten syrjivien tulosten poistamiseksi. Matkustajatietoyksikön on täytettävä sama tarkistusvelvollisuus PNR-tietojen vertailussa tietokantoihin.

204    Matkustajatietoyksikön on näin ollen pidättäydyttävä siirtämästä näiden automaattisten käsittelyjen tuloksia PNR-direktiivin 7 artiklassa tarkoitetuille toimivaltaisille viranomaisille, jos sillä ei tämän tuomion 198 kohdassa esitettyjen seikkojen perusteella ole kyseisen tarkistamisen jälkeen käytössään seikkoja, joiden nojalla olisi oikeudellisesti riittävällä tavalla perusteltu syy epäillä tällaisissa automaattisissa käsittelyissä yksilöityjen henkilöiden olevan osallisina terrorismirikoksissa tai vakavassa rikollisuudessa, tai jos sen käytössä olevat tiedot osoittavat, että automaattiset käsittelyt johtavat syrjiviin tuloksiin.

205    Matkustajatietoyksikön tältä osin suoritettaviksi kuuluvista tarkistuksista on todettava, että PNR-direktiivin 6 artiklan 5 ja 6 kohdasta, luettuna yhdessä direktiivin johdanto-osan 20 ja 22 perustelukappaleen kanssa, ilmenee, että jäsenvaltioiden on säädettävä selkeistä ja täsmällisistä säännöistä, joilla voidaan ohjata ja säännellä yksittäin suoritettavasta tarkistuksesta vastaavien virkamiesten tekemää analyysiä, jotta voidaan varmistaa, että perusoikeuskirjan 7, 8 ja 21 artiklassa vahvistettuja perusoikeuksia kunnioitetaan täysimääräisesti, ja erityisesti taata se, että matkustajatietoyksikön hallintokäytäntö on johdonmukaista ja noudattaa syrjintäkiellon periaatetta.

206    Kun erityisesti otetaan huomioon tämän tuomion 106 kohdassa mainittu ”väärien positiivisten” tulosten melko huomattava määrä, jäsenvaltioiden on varmistettava, että matkustajatietoyksikkö vahvistaa selkeästi ja täsmällisesti objektiiviset tarkistamiskriteerit, joiden avulla sen toimihenkilöt voivat tarkistaa yhtäältä sen, koskeeko – ja jos koskee niin missä määrin – osuma (hit) tosiasiallisesti henkilöä, joka voi olla osallisena terrorismirikoksissa tai tämän tuomion 157 kohdassa tarkoitetussa vakavassa rikollisuudessa ja jonka suhteen kyseisen direktiivin 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten on tehtävä lisätutkimuksia, sekä toisaalta sen, että mainitussa direktiivissä säädetyt automaattiset käsittelyt ja muun muassa ennalta määritetyt kriteerit ja käytettävät tietokannat ovat syrjimättömiä.

207    Tässä yhteydessä jäsenvaltioiden on varmistettava, että matkustajatietoyksikkö säilyttää PNR-direktiivin 13 artiklan 5 kohdan, luettuna yhdessä direktiivin johdanto-osan 37 perustelukappaleen kanssa, mukaisesti asiakirjat kaikesta etukäteisarvioinnissa, yksittäin tehty tarkistaminen ei-automaattisen käsittelyn keinoin mukaan lukien, suoritetusta PNR-tietojen käsittelystä sen laillisuuden valvomista ja omavalvontaa varten.

208    Toimivaltaiset viranomaiset eivät PNR-direktiivin 7 artiklan 6 kohdan ensimmäisen virkkeen mukaan myöskään saa tehdä yksinomaan PNR-tietojen automaattisen käsittelyn perusteella mitään päätöstä, jolla on henkilön kannalta kielteinen oikeusvaikutus tai joka vaikuttaa häneen merkittävästi, mikä merkitsee sitä, että niiden on otettava etukäteisarvioinnissa huomioon matkustajatietoyksikön ei-automaattisen käsittelyn keinoin yksittäin suorittaman tarkistuksen tulokset ja tarvittaessa annettava niille etusija automaattisen käsittelyn tuloksiin nähden. Kyseisen säännöksen toisessa virkkeessä täsmennetään, että tällaiset päätökset eivät saa olla syrjiviä.

209    Toimivaltaisten viranomaisten on tässä yhteydessä varmistuttava sekä automaattisen käsittelyn laillisuudesta ja erityisesti sen syrjimättömyydestä että yksittäin tehdyn tarkistuksen laillisuudesta.

210    Vaikka asianomaiselle henkilölle ei välttämättä tarvitse antaa hallinnollisen menettelyn aikana mahdollisuutta saada tietoonsa ennalta määritettyjä kriteerejä ja näiden kriteerien soveltamiseen käytettyjä ohjelmia, toimivaltaisten viranomaisten on erityisesti varmistettava, että asianomainen henkilö voi ymmärtää näiden kriteerien ja ohjelmien toimintatavan siinä määrin, että hän voi päättää kaikista asiaan vaikuttavista seikoista tietoisena, käyttääkö hän PNR-direktiivin 13 artiklan 1 kohdassa taattua oikeuttaan oikeudellisiin muutoksenhakukeinoihin riitauttaakseen tarvittaessa mainittujen kriteerien lainvastaisuuden ja erityisesti niiden syrjivyyden (ks. analogisesti tuomio 24.11.2020, Minister van Buitenlandse Zaken, C-225/19 ja C-226/19, EU:C:2020:951, 43 kohta oikeuskäytäntöviittauksineen). Näin on oltava myös tämän tuomion 206 kohdassa tarkoitettujen tarkistamiskriteerien osalta.

211    Lopuksi on todettava, että PNR-direktiivin 13 artiklan 1 kohdassa säädetyn muutoksenhakukeinon yhteydessä tuomioistuimen, jonka tehtävänä on toimivaltaisten viranomaisten tekemän päätöksen laillisuuden tutkiminen, sekä, jollei tästä aiheudu uhkaa valtion turvallisuudelle, myös asianomaisen itsensä on voitava saada tieto sekä kaikista perusteista että kaikesta selvitysaineistosta, joiden perusteella kyseinen päätös on tehty (ks. analogisesti tuomio 4.6.2013, ZZ, C-300/11, EU:C:2013:363, 54–59 kohta), mukaan lukien ennalta määritetyt kriteerit ja niiden soveltamiseen käytettyjen ohjelmien toimintatapa.

212    Lisäksi PNR-direktiivin 6 artiklan 7 kohdan nojalla tietosuojavastaavan ja sen 15 artiklan 3 kohdan b alakohdan nojalla kansallisen valvontaviranomaisen on suoritettava matkustajatietoyksikön etukäteisarvioinnissa suorittamien automatisoitujen käsittelyjen laillisuuden valvontaa, joka ulottuu muun muassa näiden käsittelyjen syrjimättömyyteen. Ensin mainitussa säännöksessä täsmennetään tältä osin, että tietosuojavastaavalla on pääsy kaikkiin matkustajatietoyksikön käsittelemiin tietoihin, ja tämän pääsyn on välttämättä ulotuttava ennalta määritettyihin kriteereihin ja matkustajatietoyksikön käyttämiin tietokantoihin, jotta varmistetaan tietosuojan tehokkuus ja korkea taso, joka tietosuojavastaavan on varmistettava kyseisen direktiivin johdanto-osan 37 perustelukappaleen mukaisesti. Samoin kansallisen valvontaviranomaisen jälkimmäisen säännöksen nojalla suorittamat tutkinnat ja tarkastukset voivat koskea myös kyseisiä ennalta määritettyjä kriteerejä ja kyseisiä tietokantoja.

213    Kaikesta edellä todetusta seuraa, että PNR-direktiivin säännöksiä, jotka koskevat kyseisen direktiivin 6 artiklan 2 kohdan a alakohdan mukaista PNR-tietojen etukäteisarviointia, on mahdollista tulkita perusoikeuskirjan 7, 8 ja 21 artiklan mukaisesti siten, että täysin välttämättömän rajoja noudatetaan.

6)     PNR-tietojen luovuttaminen ja myöhempi arviointi

214    PNR-tiedot voidaan PNR-direktiivin 6 artiklan 2 kohdan b alakohdan nojalla myös luovuttaa toimivaltaisille viranomaisille näiden viranomaisten pyynnöstä, ja niitä voidaan arvioida aikataulunmukaisen jäsenvaltioon saapumisen tai sieltä lähtemisen jälkeen.

215    Siltä osin kuin on kyse edellytyksistä, joilla tällainen luovuttaminen ja tällainen arviointi voidaan suorittaa, kyseisen säännöksen sanamuodosta ilmenee, että matkustajatietoyksikkö voi käsitellä PNR-tietoja vastatakseen ”tapauskohtaisesti” toimivaltaisilta viranomaisilta saatuun ”asianmukaisesti perusteltuun ja riittäviin havaintoihin perustuvaan pyyntöön” toimittaa PNR-tietoja ja käsitellä niitä ”yksittäisissä tapauksissa terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten”. Kun pyyntö on tehty ajankohtana, jolloin PNR-tietojen siirtämisestä matkustajatietoyksikölle on kulunut enemmän kuin kuusi kuukautta, joka on määräaika, jonka umpeutuessa kaikista PNR-tiedoista erotetaan tunnistamisen mahdollistavat tiedot häivyttämällä niistä tietyt tiedonosat kyseisen direktiivin 12 artiklan 2 kohdan mukaisesti, mainitun direktiivin 12 artiklan 3 kohdassa säädetään, että PNR-tiedot kokonaisuudessaan ja siten niiden anonymisoimaton versio saadaan luovuttaa vain, jos voidaan kohtuudella olettaa, että se on tarpeen mainitun direktiivin 6 artiklan 2 kohdan b alakohdan soveltamiseksi, ja tämän lisäksi luovuttamisen on hyväksynyt oikeusviranomainen tai muu kansallisen oikeuden mukaan toimivaltainen kansallinen viranomainen.

216    Tältä osin ensinnäkin suoraan PNR-direktiivin 6 artiklan 2 kohdan b alakohdan sanamuodosta ilmenee, ettei matkustajatietoyksikkö saa järjestelmällisesti luovuttaa ja arvioida jälkikäteen kaikkien lentomatkustajien PNR-tietoja ja että se voi ainoastaan vastata ”tapauskohtaisesti” tällaista käsittelyä koskeviin pyyntöihin ”yksittäisissä tapauksissa”. Koska kyseisessä säännöksessä viitataan ”yksittäisiin tapauksiin”, näiden käsittelyjen ei kuitenkaan tarvitse välttämättä rajoittua vain yhden matkustajan PNR-tietoihin, vaan ne voivat koskea myös useita henkilöitä, kuten komissio on todennut unionin tuomioistuimen kysymykseen antamassaan vastauksessa, kunhan rekisteröidyillä on tiettyjä yhteisiä ominaisuuksia, joiden perusteella heidän voidaan katsoa yhdessä muodostavan pyydettyjen tietojen luovuttamisen ja arvioinnin kannalta ”yksittäisen tapauksen”.

217    Siltä osin kuin seuraavaksi on kyse aineellisista edellytyksistä, joiden on täytyttävä, jotta lentomatkustajien PNR-tietoja voidaan luovuttaa ja arvioida jälkikäteen, on todettava, että vaikka PNR-direktiivin 6 artiklan 2 kohdan b alakohdassa käytetään ilmaisua ”riittäviin havaintoihin” ja 12 artiklan 3 kohdan a alakohdassa ilmaisua ”kohtuudella” täsmentämättä nimenomaisesti näiden perusteiden luonnetta, näistä säännöksistä ensimmäisen, jossa viitataan mainitun direktiivin 1 artiklan 2 kohdassa säädettyihin tarkoituksiin, sanamuodosta ilmenee kuitenkin suoraan, että PNR-tietoja saadaan luovuttaa ja arvioida jälkeenpäin vain sellaisten seikkojen tarkistamiseksi, jotka viittaavat rekisteröityjen mahdolliseen osallisuuteen terrorismirikoksissa tai vakavassa rikollisuudessa, joilla on tämän tuomion 157 kohdasta ilmenevin tavoin ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen.

218    PNR-direktiivillä käyttöön otetussa järjestelmässä PNR-tietojen luovuttaminen ja käsittely kyseisen direktiivin 6 artiklan 2 kohdan b alakohdan mukaisesti koskevat sellaisten henkilöiden tietoja, joita on jo arvioitu etukäteen ennen heidän aikataulunmukaista saapumistaan kyseiseen jäsenvaltioon tai aikataulunmukaista lähtöään sieltä. Lisäksi jälkiarviointipyyntö voi koskea muun muassa henkilöitä, joiden PNR-tietoja ei ole siirretty toimivaltaisille viranomaisille etukäteisarvioinnin jälkeen, koska arvioinnissa ei ole tullut esiin seikkoja, jotka osoittaisivat, että nämä henkilöt saattaisivat olla osallisina terrorismirikoksissa tai vakavassa rikollisuudessa, joilla olisi ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen. Näissä olosuhteissa näiden tietojen toimittamisen ja käsittelyn niiden myöhempää arviointia varten on perustuttava uusiin olosuhteisiin, jotka oikeuttavat tällaisen käytön (ks. vastaavasti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 200 kohta oikeuskäytäntöviittauksineen).

219    Siltä osin kuin on kyse niiden olosuhteiden luonteesta, joilla voidaan perustella PNR-tietojen luovuttaminen ja käsitteleminen niiden myöhempää arviointia varten, vakiintuneesta oikeuskäytännöstä ilmenee, että koska yleisen kaikkien säilytettyjen tietojen saamista koskevan oikeuden, joka on riippumaton siitä, onko olemassa mitään edes välillistä yhteyttä asetettuun tavoitteeseen nähden, ei voida katsoa olevan rajoitettu täysin välttämättömään, kyseessä olevan säännöstön – olipa kyse sitten unionin säännöstöstä tai sen täytäntöön panemiseksi annetusta kansallisesta säännöstä – on perustuttava objektiivisiin kriteereihin niiden olosuhteiden ja edellytysten määrittämiseksi, joilla toimivaltaisille viranomaisille on annettava oikeus saada kyseessä olevia tietoja. Tältä osin tällainen oikeus voidaan lähtökohtaisesti myöntää rikollisuuden torjuntaa koskevan tavoitteen yhteydessä vain sellaisten henkilöiden tietoihin, joiden epäillään suunnittelevan, tekevän tai tehneen vakavan rikoksen tai olevan jollakin tavalla mukana tällaisessa rikoksessa. Erityisissä tilanteissa, kuten niissä, joissa kansallisen turvallisuuden, maanpuolustuksen tai yleisen turvallisuuden elintärkeitä intressejä uhkaa terrorismi, oikeus saada muiden henkilöiden tietoja voidaan kuitenkin myöntää myös, jos on olemassa objektiivisia seikkoja, joiden perusteella voidaan katsoa, että näillä tiedoilla voidaan konkreettisessa tapauksessa tosiasiallisesti myötävaikuttaa tällaisen toiminnan torjumiseen (tuomio 2.3.2021, Prokuratuur (Sähköiseen viestintään liittyvien tietojen saannin edellytykset), C‑746/18, EU:C:2021:152, 50 kohta oikeuskäytäntöviittauksineen ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 105 kohta).

220    Näin ollen PNR-direktiivin 6 artiklan 2 kohdan b alakohdassa ja 12 artiklan 3 kohdan a alakohdassa olevia ilmaisuja ”riittäviin havaintoihin” ja ”kohtuudella” on tulkittava perusoikeuskirjan 7 ja 8 artiklan mukaisesti siten, että niillä viitataan objektiivisiin seikkoihin, joiden perusteella voidaan perustellusti epäillä rekisteröidyn olevan tavalla tai toisella osallisena vakavassa rikollisuudessa, jolla on ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen, kun taas sellaisten terrorismirikosten osalta, joilla on tällainen yhteys, kyseinen vaatimus täyttyy silloin, kun on olemassa objektiivisia seikkoja, joiden perusteella voidaan katsoa, että PNR-tiedot voivat konkreettisessa tapauksessa tosiasiallisesti edistää tällaisten rikosten torjuntaa.

221    Lopuksi PNR-direktiivin 12 artiklan 3 kohdan b alakohdassa asetetaan menettelylliseksi edellytykseksi PNR-tietojen luovuttamiselle ja käsittelylle niiden myöhempää arviointia varten, että silloin, kun pyyntö tehdään yli kuusi kuukautta sen jälkeen, kun tiedot on siirretty matkustajatietoyksikölle, eli kun mainituista tiedoista on kyseisen artiklan 2 kohdan mukaisesti erotettu tunnistamisen mahdollistavat tiedot häivyttämällä niistä kyseisessä 2 kohdassa mainitut tiedonosat, PNR-tietojen luovuttamiseen kokonaisuudessaan ja siten niiden anonymisoimattoman version luovuttamiseen tarvitaan oikeusviranomaisen tai muun kansallisen oikeuden mukaan toimivaltaisen kansallisen viranomaisen hyväksyntä. Tässä yhteydessä kyseisten viranomaisten on tutkittava kokonaisuudessaanpyynnön perusteltavuus ja erityisesti tarkistettava, ovatko mainitun pyynnön tueksi esitetyt seikat omiaan tukemaan sitä, että tämän tuomion edellisessä kohdassa mainitun aineellisen edellytyksen voidaan ”kohtuudella” olettaa täyttyvän.

222    On totta, että jos PNR-tietojen myöhempää luovuttamista ja arviointia koskeva pyyntö tehdään ennen näiden tietojen siirtämisestä alkavan kuuden kuukauden määräajan päättymistä, PNR-direktiivin 6 artiklan 2 kohdan b alakohdassa ei säädetä nimenomaisesti tällaisesta menettelyllisestä edellytyksestä. Viimeksi mainitun säännöksen tulkinnassa on kuitenkin otettava huomioon kyseisen direktiivin johdanto-osan 25 perustelukappale, josta ilmenee, että unionin lainsäätäjän säätäessä mainitusta menettelyllisestä edellytyksestä sen tarkoituksena on ollut ”korkeatasoisimman tietosuojan varmistaminen” silloin, kun on kyse oikeudesta tutustua PNR-tietoihin sellaisessa muodossa, joka mahdollistaa rekisteröidyn välittömän tunnistamisen. Kaikki myöhemmät luovuttamis- ja arviointipyynnöt merkitsevät tällaista pääsyä näihin tietoihin riippumatta siitä, onko tämä pyyntö esitetty ennen PNR-tietojen siirtämisestä matkustajatietoyksikölle alkavan kuuden kuukauden jakson päättymistä vai tämän jakson päättymisen jälkeen.

223    Erityisesti sen takaamiseksi, että perusoikeuksia kunnioitetaan käytännössä täysimääräisesti PNR-direktiivillä käyttöön otetussa järjestelmässä ja erityisesti tämän tuomion 218 ja 219 kohdassa mainituissa olosuhteissa, on olennaista, että PNR-tietojen luovuttaminen myöhempää arviointia varten lähtökohtaisesti edellyttää asianmukaisesti perusteltuja kiireellisiä tapauksia lukuun ottamatta joko tuomioistuimen tai riippumattoman hallintoelimen etukäteisvalvontaa ja sitä, että kyseisen tuomioistuimen tai elimen ratkaisu annetaan perustellusta pyynnöstä, jonka toimivaltaiset viranomaiset esittävät muun muassa rikoksen estämis-, selvittämis- tai syyteharkintamenettelyssä. Asianmukaisesti perustelluissa kiireellisissä tapauksissa kyseinen valvonta on suoritettava ensi tilassa (ks. analogisesti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 202 kohta oikeuskäytäntöviittauksineen ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 110 kohta).

224    Näin ollen PNR-direktiivin 12 artiklan 3 kohdan b alakohdassa säädettyä vaatimusta ennakkovalvonnasta, joka kohdistuu PNR-tietojen toimittamisesta matkustajatietoyksikölle alkavan kuuden kuukauden määräajan päättymisen jälkeen tehtyihin tietojen luovuttamispyyntöihin, on sovellettava vastaavasti myös silloin, kun pyyntö tietojen luovuttamisesta on tehty ennen kyseisen määräajan päättymistä.

225    Lisäksi on niin, että vaikka PNR-direktiivin 12 artiklan 3 kohdan b alakohdassa ei täsmennetä nimenomaisesti vaatimuksia, jotka ennakkovalvonnasta vastaavan viranomaisen on täytettävä, vakiintuneen oikeuskäytännön mukaan on niin, että sen varmistamiseksi, että perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin puuttuminen, joka johtuu oikeudesta saada henkilötietoja, rajoitetaan siihen, mikä on ehdottoman välttämätöntä, kyseisellä viranomaisella on oltava kaikki valtuudet ja kaikki takeet, jotka ovat välttämättömiä sen varmistamiseksi, että kyseessä olevat eri intressit ja oikeudet sovitetaan yhteen. Tarkemmin ottaen rikostutkinnan osalta tällainen valvonta edellyttää sitä, että kyseinen viranomainen pystyy turvaamaan oikeudenmukaisen tasapainon yhtäältä rikollisuuden torjumiseksi tehtävän tutkinnan tarpeisiin liittyvien intressien ja toisaalta henkilöiden, joita tietojensaanti koskee, yksityiselämän kunnioittamista ja henkilötietojen suojelua koskevien perusoikeuksien välillä (tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 107 kohta oikeuskäytäntöviittauksineen).

226    Tätä varten tällaisella viranomaisella on oltava asema, jossa se voi suorittaa tehtävänsä objektiivisesti ja puolueettomasti, ja sen on tätä varten oltava suojattu kaikelta ulkopuoliselta vaikuttamiselta. Tämä riippumattomuutta koskeva vaatimus edellyttää sitä, että kyseinen viranomainen on ulkopuolinen siihen viranomaiseen nähden, joka pyytää kyseisten tietojen saantia, jotta ensiksi mainittu voi suorittaa valvonnan suojattuna kaikelta ulkopuoliselta vaikuttamiselta. Erityisesti rikosasioissa riippumattomuuden vaatimus tarkoittaa, että kyseinen viranomainen yhtäältä ei osallistu kyseisen rikostutkinnan suorittamiseen ja toisaalta on neutraalissa asemassa rikosprosessin asianosaisiin nähden (ks. vastaavasti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 108 kohta oikeuskäytäntöviittauksineen).

227    PNR-direktiivin säännöksiä PNR-tietojen luovuttamisesta ja myöhemmästä arvioinnista tämän direktiivin 6 artiklan 2 kohdan b alakohdan nojalla on siten mahdollista tulkita perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan mukaisesti siten, että täysin välttämättömän rajoja noudatetaan.

228    Kaiken edellä esitetyn perusteella on niin, että koska PNR-direktiivin tulkitseminen perusoikeuskirjan 7, 8 ja 21 artiklan sekä 52 artiklan 1 kohdan mukaisesti varmistaa tämän direktiivin yhdenmukaisuuden perusoikeuskirjan kyseisten artiklojen kanssa, toista, kolmatta, neljättä ja kuudetta kysymystä tutkittaessa ei ole tullut esille mitään, mikä vaikuttaisi mainitun direktiivin pätevyyteen.

C       Viides kysymys

229    Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee viidennellä kysymyksellään, onko PNR-direktiivin 6 artiklaa, luettuna perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan valossa, tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa sallitaan tämän direktiivin mukaisesti kerättyjen PNR-tietojen käsittely tiedustelu- ja turvallisuuspalvelujen silmälläpitämän toiminnan seurantaa varten.

230    Ennakkoratkaisupyynnöstä ilmenee, että ennakkoratkaisua pyytänyt tuomioistuin tarkoittaa tällä kysymyksellä erityisesti Sûreté de l’État’n (Belgia) ja Service général du renseignement et de la sécuritén (Belgia) toimintaa kansallisen turvallisuuden suojaamiseen liittyvien tehtäviensä yhteydessä.

231    Unionin lainsäätäjä on erityisesti perusoikeuskirjan 52 artiklan 1 kohdassa tarkoitettujen laillisuus- ja suhteellisuusperiaatteiden noudattamiseksi antanut selkeät ja täsmälliset säännöt, joilla säännellään perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin puuttumista merkitsevien PNR-direktiivissä säädettyjen toimenpiteiden tavoitteet.

232    PNR-direktiivin 1 artiklan 2 kohdassa nimittäin säädetään nimenomaisesti, että tämän direktiivin mukaisesti kerättyjä PNR-tietoja saa käsitellä ”vain terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten [mainitun direktiivin] 6 artiklan 2 kohdan a, b ja c alakohdan mukaisesti”. Viimeksi mainitussa säännöksessä vahvistetaan 1 artiklan 2 kohdassa ilmaistu periaate viittaamalla järjestelmällisesti terrorismirikoksen ja vakavan rikollisuuden käsitteisiin.

233    Näiden säännösten sanamuodosta ilmenee siten selvästi, että niissä oleva luettelo niistä päämääristä, joihin PNR-tietojen käsittelyllä PNR-direktiivin nojalla pyritään, on tyhjentävä.

234    Tätä tulkintaa tukevat muun muassa PNR-direktiivin johdanto-osan 11 perustelukappale, jonka mukaan PNR-tietojen käsittelyn on oltava oikeassa suhteessa kyseisen direktiivin ”erityisiin turvallisuustavoitteisiin” nähden, ja sen 7 artiklan 4 kohta, jonka mukaan matkustajatietoyksiköltä vastaanotettuja PNR-tietoja tai PNR-tietojen käsittelyn tuloksia voidaan jatkokäsitellä ”vain tiettyyn tarkoitukseen, kuten terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa tai tällaisiin rikoksiin liittyviä syytetoimia varten”.

235    Lisäksi PNR-direktiivin 1 artiklan 2 kohdassa mainittujen tarkoitusten tyhjentävyys merkitsee myös sitä, että PNR-tietoja ei saa säilyttää yhdessä ja samassa tietokannassa, johon voidaan tehdä hakuja sekä näiden tarkoitusten että muiden tarkoitusten saavuttamiseksi. Näiden tietojen säilyttäminen tällaisessa tietokannassa sisältää nimittäin riskin siitä, että mainittuja tietoja käytetään muihin kuin 1 artiklan 2 kohdassa mainittuihin tarkoituksiin.

236    Nyt käsiteltävässä tapauksessa on niin, että koska ennakkoratkaisua pyytäneen tuomioistuimen mukaan pääasiassa kyseessä olevassa kansallisessa lainsäädännössä sallitaan PNR-tietojen käsittelyn tarkoitukseksi tiedustelu- ja turvallisuuspalvelujen silmälläpitämien toimintojen seuranta ja siten tämä tavoite yhdistetään terrorismirikosten ja vakavan rikollisuuden ennalta estämiseen ja paljastamiseen sekä niitä koskeviin tutkinta- ja syytetoimiin, kyseinen lainsäädäntö saattaa jättää huomiotta sen, että luettelo PNR-direktiivin mukaisista PNR-tietojen käsittelyn tavoitteista on tyhjentävä, ja tämän seikan tarkistaminen on ennakkoratkaisua pyytäneen tuomioistuimen tehtävä.

237    Viidenteen kysymykseen on näin ollen vastattava, että PNR-direktiivin 6 artiklaa, luettuna perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan valossa, on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa sallitaan kyseisen direktiivin mukaisesti kerättyjen PNR-tietojen käsittely muihin kuin mainitun direktiivin 1 artiklan 2 kohdassa nimenomaisesti mainittuihin tarkoituksiin.

D       Seitsemäs kysymys

238    Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee seitsemännellä kysymyksellään pääasiallisesti, onko PNR-direktiivin 12 artiklan 3 kohdan b alakohtaa tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan matkustajatietoyksiköksi perustettu viranomainen on samalla toimivaltainen kansallinen viranomainen, jolla on toimivalta hyväksyä PNR-tietojen luovuttaminen näiden tietojen matkustajatietoyksikölle siirtämisestä alkavan kuuden kuukauden jakson päätyttyä.

239    Aluksi on huomautettava, että Belgian hallituksella on epäilyjä unionin tuomioistuimen toimivallasta vastata tähän kysymykseen, sellaisena kuin ennakkoratkaisua pyytänyt tuomioistuin on sen muotoillut, sillä perusteella, että ainoastaan viimeksi mainittu tuomioistuin on toimivaltainen tulkitsemaan kansallisia säännöksiä ja erityisesti arvioimaan 25.12.2016 annetusta laista johtuvia vaatimuksia PNR-direktiivin 12 artiklan 3 kohdan b alakohdan kannalta.

240    Tältä osin on riittävää todeta, että ennakkoratkaisua pyytänyt tuomioistuin pyytää mainitulla kysymyksellä unionin oikeussäännön tulkintaa. Lisäksi on niin, että vaikka SEUT 267 artiklan nojalla vireille pannussa menettelyssä kansallisten säännösten tulkinta kuuluu jäsenvaltioiden tuomioistuimille eikä unionin tuomioistuimelle ja vaikka unionin tuomioistuimen tehtävänä ei ole lausua kansallisten oikeussääntöjen yhteensoveltuvuudesta unionin oikeuden säännösten ja määräysten kanssa, unionin tuomioistuimella on toimivalta esittää kansalliselle tuomioistuimelle kaikki sellaiset unionin oikeuden tulkintaan liittyvät seikat, joiden avulla kansallinen tuomioistuin voi arvioida tällaisten oikeussääntöjen yhteensoveltuvuutta unionin oikeuden kanssa (tuomio 30.4.2020, CTT – Correios de Portugal, C-661/18, EU:C:2020:335, 28 kohta oikeuskäytäntöviittauksineen). Tästä seuraa, että unionin tuomioistuin on toimivaltainen vastaamaan seitsemänteen kysymykseen.

241    Asiakysymyksestä on todettava, että PNR-direktiivin 12 artiklan 3 kohdan b alakohdan, jonka i alakohdassa mainitaan ”oikeusviranomainen” ja ii alakohdassa ”muu kansallinen viranomainen, jolla on kansallisen oikeuden mukainen toimivalta arvioida tietojen luovuttamista koskevien edellytysten täyttymistä”, sanamuodossa nämä kaksi viranomaista asetetaan samaan asemaan, kuten ilmenee konjunktion ”tai” käyttämisestä näiden i ja ii alakohdan välissä. Kyseisestä sanamuodosta ilmenee siten, että siinä tarkoitettu ”muu” toimivaltainen kansallinen viranomainen on vaihtoehto oikeusviranomaiselle ja että sen riippumattomuuden ja puolueettomuuden on näin ollen oltava tasoltaan verrattavissa oikeusviranomaiseen.

242    Tätä analyysiä tukee PNR-direktiivin johdanto-osan 25 perustelukappaleessa mainittu kyseisen direktiivin tavoite eli korkeatasoisimman tietosuojan varmistaminen siltä osin kuin on kyse pääsystä kaikkiin PNR-tietoihin, jotka mahdollistavat rekisteröidyn välittömän tunnistamisen. Samassa perustelukappaleessa täsmennetään lisäksi, että tällainen pääsy olisi myönnettävä vain erittäin tiukoin edellytyksin PNR-tietojen siirtämisestä matkustajatietoyksikölle alkaneen kuuden kuukauden määräajan päättymisen jälkeen.

243    Tätä arviointia tukevat myös PNR-direktiivin säätämiseen johtaneet vaiheet. On nimittäin niin, että vaikka tämän tuomion 155 kohdassa mainitussa PNR-direktiivin säätämiseen johtaneessa direktiiviehdotuksessa ehdotettiin säädettäväksi ainoastaan, että ”matkustajarekisteriyksiköstä vastaavan henkilön on sallittava pääsy kaikkiin PNR-tietoihin”, unionin lainsäätäjän lopulta hyväksymässä kyseisen direktiivin 12 artiklan 3 kohdan b alakohdan versiossa nimetään – asettamalla ne samaan asemaan – oikeusviranomainen ja ”muu kansallinen viranomainen”, jolla on toimivalta tarkistaa, täyttyvätkö kaikkien PNR-tietojen luovuttamisen edellytykset, ja hyväksyä niiden luovuttaminen.

244    Lisäksi ja ennen kaikkea tämän tuomion 223, 225 ja 226 kohdassa mainitun vakiintuneen oikeuskäytännön mukaisesti on olennaista se, että toimivaltaisten viranomaisten oikeus saada säilytettyjä tietoja edellyttää joko tuomioistuimen tai riippumattoman hallinnollisen elimen etukäteisvalvontaa, ja se, että kyseisen tuomioistuimen tai elimen ratkaisu annetaan perustellusta pyynnöstä, jonka nämä viranomaiset esittävät rikosta koskevassa ennaltaestämis-, selvittämis- tai syyteharkintamenettelyssä. Riippumattomuutta koskeva vaatimus, joka etukäteisvalvonnasta vastaavan viranomaisen on täytettävä, edellyttää myös sitä, että kyseinen viranomainen on ulkopuolinen siihen viranomaiseen nähden, joka pyytää pääsyä kyseisiin tietoihin, jotta ensiksi mainittu voi suorittaa valvonnan objektiivisesti ja puolueettomasti suojattuna kaikelta ulkopuoliselta vaikuttamiselta. Erityisesti rikosasioissa riippumattomuuden vaatimus tarkoittaa, että tästä etukäteisvalvonnasta vastaava viranomainen yhtäältä ei osallistu kyseisen rikostutkinnan suorittamiseen ja toisaalta on neutraalissa asemassa rikosprosessin asianosaisiin nähden.

245    Kuten julkisasiamies on todennut ratkaisuehdotuksensa 271 kohdassa, PNR-direktiivin 4 artiklan 1 ja 3 kohdassa säädetään, että kussakin jäsenvaltiossa perustettu tai nimetty matkustajatietoyksikkö on viranomainen, joka on toimivaltainen terrorismirikosten ja vakavan rikollisuuden ennalta estämisen ja paljastamisen sekä tutkinnan ja näihin liittyvien syytetoimien alalla, ja että sen henkilöstön jäsenet voivat olla kyseisen direktiivin 7 artiklassa tarkoitettujen toimivaltaisten viranomaisten lähettämiä työntekijöitä, joten on ilmeistä, että matkustajatietoyksikkö on väistämättä sidoksissa näihin viranomaisiin. Matkustajatietoyksikkö voi mainitun direktiivin 6 artiklan 2 kohdan b alakohdan nojalla myös käsitellä PNR-tietoja, joiden käsittelyn tuloksen se luovuttaa kyseisille viranomaisille. Näiden seikkojen perusteella matkustajatietoyksikön ei voida katsoa olevan ulkopuolinen näihin samoihin viranomaisiin nähden, eikä sillä näin ollen voida katsoa olevan vaadittavaa riippumattomuutta ja puolueettomuutta tämän tuomion edellisessä kohdassa mainitun ennakkovalvonnan harjoittamiseksi ja sen tarkastamiseksi, täyttyvätkö kaikkien PNR-tietojen luovuttamiselle asetetut edellytykset siten kuin saman direktiivin 12 artiklan 3 kohdan b alakohdassa säädetään.

246    Tätä arviointia ei voida kyseenalaistaa myöskään sillä, että viimeksi mainitun säännöksen ii alakohdassa edellytetään, että jos ”muu toimivaltainen kansallinen viranomainen” hyväksyy kaikkien PNR-tietojen luovuttamisen, ”tietosuojavastaavaa on informoitu asiasta ja että tämä on toteuttanut jälkiarvioinnin”, kun puolestaan tätä ei vaadita silloin, kun hyväksynnän on antanut oikeusviranomainen. Täysin vakiintuneen oikeuskäytännön mukaan tietosuojavastaavan myöhemmin suorittaman valvonnan kaltainen valvonta ei nimittäin vastaa etukäteisvalvonnan tavoitteeseen, joka on sen estäminen, että sallitaan täysin välttämätöntä laajempi pääsy kyseessä oleviin tietoihin (ks. vastaavasti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 110 kohta oikeuskäytäntöviittauksineen).

247    Seitsemänteen kysymykseen on kaiken edellä todetun perusteella vastattava, että PNR-direktiivin 12 artiklan 3 kohdan b alakohtaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan matkustajatietoyksiköksi perustettu viranomainen on samalla toimivaltainen kansallinen viranomainen, jolla on toimivalta hyväksyä PNR-tietojen luovuttaminen näiden tietojen matkustajatietoyksikölle siirtämisestä alkavan kuuden kuukauden jakson päätyttyä.

E       Kahdeksas kysymys

248    Kahdeksannella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee pääasiallisesti, onko PNR-direktiivin 12 artiklaa, luettuna yhdessä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan kanssa, tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa säädetään viiden vuoden pituisesta PNR-tietojen yleisestä säilytysajasta tekemättä eroa sen mukaan, liittyykö asianomaisiin matkustajiin terrorismirikosten tai vakavien rikollisuuden riski vai ei.

249    On syytä muistuttaa, että kyseisen direktiivin 12 artiklan 1 ja 4 kohdan mukaan sen jäsenvaltion matkustajatietoyksikkö, jonka alueelle asianomainen lento saapuu tai jonka alueelta se lähtee, säilyttää lentoliikenteen harjoittajien antamat PNR-tiedot tietokannassa viiden vuoden ajan siitä, kun ne on siirretty kyseiselle yksikölle, ja poistaa nämä tiedot lopullisesti tämän viiden vuoden ajanjakson päätyttyä.

250    Kuten PNR-direktiivin johdanto-osan 25 perustelukappaleessa muistutetaan, PNR-tietojen ”säilytysajan olisi oltava niin pitkä kuin on tarpeen ja oikeassa suhteessa siihen, mikä on tarpeen terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkimista ja syytetoimia varten”.

251    Näin ollen PNR-tietojen säilyttämistä PNR-direktiivin 12 artiklan 1 kohdan nojalla ei voida perustella, jos säilyttämisellä ei ole objektiivista yhteyttä kyseisen direktiivin tavoitteisiin eli terrorismirikosten ja sellaisen vakavan rikollisuuden torjuntaan, jolla on ainakin välillinen objektiivinen yhteys matkustajalentoliikenteeseen.

252    Kuten PNR-direktiivin johdanto-osan 25 perustelukappaleesta ilmenee, tältä osin on erotettava toisistaan yhtäältä kyseisen direktiivin 12 artiklan 2 kohdassa tarkoitettu kuuden kuukauden alkuperäinen säilytysjakso ja toisaalta mainitun direktiivin 12 artiklan 3 kohdassa tarkoitettu myöhempi jakso.

253    PNR-direktiivin 12 artiklan 1 kohdan tulkinnassa on otettava huomioon säännökset, jotka sisältyvät kyseisen artiklan 2 ja 3 kohtaan, joissa vahvistetaan säännöt, jotka koskevat PNR-tietojen säilyttämistä ja niihin pääsyä kuuden kuukauden alkuperäisen säilytysjakson päättymisen jälkeen. Kuten kyseisen direktiivin johdanto-osan 25 perustelukappaleesta ilmenee, nämä säännökset ilmaisevat yhtäältä tavoitteen, jonka mukaan ”tietoja on säilytettävä riittävän kauan, jotta niitä voidaan käyttää analyysien laatimisessa ja tutkimuksissa”, jotka voidaan suorittaa jo kuuden kuukauden alkuperäisenä säilytysjaksona. Toisaalta saman 25 perustelukappaleen mukaan niillä pyritään ”suhteettoman käytön välttämiseen” häivyttämällä näiden tietojen osia ja ”korkeimman tietosuojan tason takaamiseen” sallimalla näihin tietoihin pääsy sellaisessa muodossa, että rekisteröity voidaan tunnistaa suoraan, alkuperäisen määräajan jälkeen ”vain hyvin tiukkojen ja rajoitettujen edellytysten täyttyessä”, ja siinä otetaan näin ollen huomioon se, että PNR-tietojen säilyttämisestä johtuva perusoikeuksiin puuttuminen on sitä vakavampi, mitä pitempi säilytysaika on.

254    PNR-direktiivin 12 artiklan 2 kohdassa tarkoitetun kuuden kuukauden alkuperäisen säilytysjakson ja kyseisen direktiivin 12 artiklan 3 kohdassa tarkoitetun myöhemmän säilytysajan välistä eroa sovelletaan myös tämän tuomion 251 kohdassa tarkoitetun vaatimuksen välttämättömään noudattamiseen.

255    Kun otetaan huomioon PNR-direktiivin tavoitteet sekä terrorismirikoksia ja vakavaa rikollisuutta koskevien tutkinta- ja syytetoimien tarve, on katsottava, että kaikkien kyseisellä direktiivillä käyttöön otetun järjestelmän soveltamisalaan kuuluvien lentomatkustajien PNR-tietojen säilyttäminen kuuden kuukauden alkuperäisen jakson ajan, vaikka ei olisi mitään viitteitä heidän osallisuudestaan terrorismirikoksiin tai vakavaan rikollisuuteen, ei lähtökohtaisesti näytä ylittävän ehdottomasti välttämättömän rajoja, koska se mahdollistaa haut sellaisten henkilöiden tunnistamiseksi, joita ei epäilty osallisuudesta terrorismirikoksiin tai vakavaan rikollisuuteen.

256    Siltä osin kuin on sen sijaan kyse PNR-direktiivin 12 artiklan 3 kohdassa tarkoitetusta myöhemmästä ajanjaksosta, kaikkien kyseisellä direktiivillä käyttöön otetun järjestelmän soveltamisalaan kuuluvien lentomatkustajien PNR-tietojen säilyttäminen ei pelkästään merkitse jatkuvasti säilytettävissä olevien tietojen suuren määrän vuoksi asiasta luonnostaan johtuvia suhteettoman käytön ja väärinkäytösten riskejä (ks. analogisesti tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 119 kohta), vaan se on myös vastoin vaatimusta, joka todetaan mainitun direktiivin johdanto-osan 25 perustelukappaleessa, jonka mukaan PNR-tietojen säilytysajan olisi oltava vain niin pitkä kuin on tarpeen ja oikeassa suhteessa tavoiteltuihin päämääriin, koska unionin lainsäätäjän tarkoituksena on ollut rekisteröidyn välittömän tunnistamisen mahdollistavien PNR-tietojen korkeatasoisimman tietosuojan varmistaminen.

257    Sellaisten lentomatkustajien, joiden osalta PNR-direktiivin 6 artiklan 2 artiklan a kohdassa säädetty etukäteisarviointi, kyseisen direktiivin 12 artiklan 2 kohdassa tarkoitetun kuuden kuukauden jakson aikana suoritetut mahdolliset tarkistukset tai mikään muukaan seikka ei ole osoittanut sellaisten objektiivisten seikkojen olemassaoloa, joiden perusteella voitaisiin todeta terrorismirikoksiin tai vakavaan rikollisuuteen liittyvä riski, jolla on ainakin välillinen objektiivinen yhteys kyseisten matkustajien suorittamaan lentomatkaan, PNR-tietojen ja mainitulla direktiivillä tavoitellun päämäärän välillä ei nimittäin näytä olevan näissä olosuhteissa olemassa välillistäkään yhteyttä, joka oikeuttaisi kyseisten tietojen säilyttämisen (ks. analogisesti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 204 ja 205 kohta).

258    Kaikkien lentomatkustajien PNR-tietojen jatkuva säilyttäminen kuuden kuukauden alkuperäisen jakson jälkeen ei siis ilmeisesti rajoitu täysin välttämättömään (ks. analogisesti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 206 kohta).

259    Siltä osin kuin erityistapauksissa kuitenkin tunnistetaan objektiivisia seikkoja, kuten tarkistetun osuman tuottaneiden matkustajien PNR-tiedot, joiden perusteella voidaan katsoa, että jotkut matkustajat voisivat merkitä riskiä terrorismin ja vakavan rikollisuuden torjunnan kannalta, heidän PNR-tietojensa säilyttäminen on hyväksyttävää kyseisen alkuperäisen jakson jälkeenkin (ks. analogisesti lausunto 1/15 (EU–Kanada-PNR-sopimus), 26.7.2017, EU:C:2017:592, 207 kohta).

260    Näiden objektiivisten seikkojen tunnistaminen olisi nimittäin omiaan luomaan yhteyden PNR-direktiivin nojalla tapahtuvalla käsittelyllä tavoiteltuihin päämääriin, joten näitä matkustajia koskevien PNR-tietojen säilyttäminen on perusteltua mainitussa direktiivissä sallitun enimmäisajan eli viiden vuoden ajan.

261    Nyt käsiteltävässä asiassa on niin, että koska pääasiassa kyseessä olevassa lainsäädännössä näyttää säädettävän PNR-tietojen yleisestä viiden vuoden säilytysajasta, jota sovelletaan erotuksetta kaikkiin matkustajiin, mukaan lukien ne, joiden osalta PNR-direktiivin 6 artiklan 2 artiklan a kohdassa säädetty etukäteisarviointi, kuuden kuukauden alkuperäisen jakson aikana suoritetut mahdolliset tarkistukset tai mikään muukaan seikka ei ole paljastanut sellaisten objektiivisten seikkojen olemassaoloa, jotka osoittaisivat terrorismirikoksiin tai vakavaan rikollisuuteen liittyvää riskiä, kyseinen lainsäädäntö on omiaan rikkomaan kyseisen direktiivin 12 artiklan 1 kohtaa, luettuna perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan valossa, paitsi jos sitä on mahdollista tulkita näiden säännösten ja määräysten mukaisella tavalla, minkä tarkistaminen on ennakkoratkaisua pyytäneen tuomioistuimen tehtävä.

262    Edellä esitetyn perusteella kahdeksanteen kysymykseen on vastattava, että PNR-direktiivin 12 artiklan 1 kohtaa, luettuna yhdessä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan kanssa, on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa säädetään PNR-tietojen viiden vuoden pituisesta yleisestä säilytysajasta, jota sovelletaan erotuksetta kaikkiin lentomatkustajiin, mukaan lukien ne, joiden osalta kyseisen direktiivin 6 artiklan 2 artiklan a kohdassa säädetty etukäteisarviointi, mainitun direktiivin 12 artiklan 2 kohdassa tarkoitetun kuuden kuukauden jakson aikana suoritetut mahdolliset tarkistukset tai mikään muukaan seikka ei ole osoittanut sellaisten objektiivisten seikkojen olemassaoloa, joiden perusteella voitaisiin todeta terrorismirikoksiin tai vakavaan rikollisuuteen liittyvä riski, jolla on ainakin välillinen objektiivinen yhteys matkustajien lentomatkaan.

F       Yhdeksännen kysymyksen a kohta

263    Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee yhdeksännen kysymyksensä a kohdassa lähinnä API-direktiivin pätevyyttä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kannalta, kun oletetaan, että kyseisessä direktiivissä säädettyjä velvoitteita sovelletaan EU:n sisäisiin lentoihin.

264    Kuten julkisasiamies on todennut ratkaisuehdotuksensa 277 kohdassa ja kuten neuvosto, komissio ja useat hallitukset ovat huomauttaneet, tämä oletus on virheellinen.

265    API-direktiivin 3 artiklan 1 kohdassa nimittäin säädetään, että jäsenvaltioiden on toteutettava tarvittavat toimenpiteet velvoittaakseen liikenteenharjoittajat toimittamaan henkilöille ulkorajoilla suoritettavista tarkastuksista vastaavien viranomaisten pyynnöstä lähtöselvityksen päätyttyä tiedot matkustajista, jotka liikenteenharjoittajat kuljettavat viralliselle rajanylityspaikalle, jonka kautta kyseiset henkilöt saapuvat jäsenvaltioiden alueelle. Kyseisen direktiivin 6 artiklan 1 kohdan mukaan nämä tiedot toimitetaan viranomaisille, jotka vastaavat niillä ulkorajoilla suoritettavista tarkastuksista, joiden kautta matkustaja saapuu kyseiselle alueelle, ja niitä käsitellään viimeksi mainitussa säännöksessä säädetyin edellytyksin.

266    Kyseisistä säännöksistä, luettuina API-direktiivin 2 artiklan a, b ja d alakohdan valossa, joissa määritellään käsitteet ”liikenteenharjoittaja”, ”ulkorajat” ja ”rajanylityspaikka”, ilmenee selvästi, että kyseisessä direktiivissä asetetaan lentoliikenteen harjoittajille velvollisuus toimittaa sen 3 artiklan 2 kohdassa tarkoitetut tiedot ulkorajoilla suoritettavista tarkastuksista vastaaville viranomaisille ainoastaan sellaisten lentojen osalta, joilla matkustajia kuljetetaan rajanylityspaikalle, jolla jäsenvaltioiden ja kolmansien maiden välisten ulkorajojen ylittäminen on sallittu, ja niissä säädetään ainoastaan tällaisia lentoja koskevien tietojen käsittelystä.

267    Kyseisessä direktiivissä ei sitä vastoin aseteta mitään velvollisuutta, joka koskisi sellaisten matkustajien tietoja, jotka matkustavat lennoilla, jotka ylittävät ainoastaan jäsenvaltioiden välisiä sisärajoja.

268    On syytä todeta lisäksi, että kun PNR-direktiivissä sen johdanto-osan yhdeksännestä perustelukappaleesta ja 8 artiklan 2 kohdasta ilmenevin tavoin sisällytetään PNR-tietoihin API-direktiivin 3 artiklan 2 kohdassa mainitut tiedot, jotka on kerätty kyseisen direktiivin mukaisesti ja jotka tietyt lentoliikenteen harjoittajat säilyttävät, ja kun siinä annetaan jäsenvaltioille mahdollisuus soveltaa sen 2 artiklan nojalla PNR-direktiiviä määrittelemiinsä EU:n sisäisiin lentoihin, siinä ei ole muutettu API-direktiivin säännösten ulottuvuutta eikä kyseisestä direktiivistä johtuvia rajoituksia.

269    Edellä esitetyn perusteella yhdeksännen kysymyksen a kohtaan on vastattava, että API-direktiiviä on tulkittava siten, että sitä ei sovelleta EU:n sisäisiin lentoihin.

G       Yhdeksännen kysymyksen b kohta

270    Vaikka ennakkoratkaisua pyytänyt tuomioistuin viittaa yhdeksännen kysymyksensä b kohdassa API-direktiiviin, luettuna yhdessä SEU 3 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan kanssa, ennakkoratkaisupyynnöstä ilmenee, että kyseinen tuomioistuin pohtii 25.12.2016 annetulla lailla käyttöön otetun matkustajatietojen siirtoa ja käsittelyä koskevan järjestelmän yhteensopivuutta henkilöiden vapaan liikkuvuuden ja sisärajatarkastusten poistamisen, jotka perustuvat unionin oikeuteen, kanssa, koska kyseistä järjestelmää sovelletaan lentomatkojen lisäksi myös EU:n sisäisiin rautatiematkoihin, maantiematkoihin ja jopa merimatkoihin, joiden lähtöpaikka tai määräpaikka on Belgiassa ja jotka tehdään unionin sisällä ylittämättä kolmansien maiden vastaisia ulkorajoja.

271    Kuten tämän tuomion 265–269 kohdasta ilmenee, API-direktiivillä, jota ei sovelleta EU:n sisäisiin lentoihin ja jossa ei aseteta velvollisuutta siirtää ja käsitellä tietoja matkustajista, jotka matkustavat lentoteitse tai muulla liikennemuodolla unionin sisällä ylittämättä kolmansien maiden vastaisia ulkorajoja, ei ole merkitystä tähän kysymykseen annettavan vastauksen kannalta.

272    Sen sijaan SEUT 67 artiklan 2 kohdan mukaan unioni varmistaa sen, ettei henkilöitä tarkasteta sisärajoilla, mutta PNR-direktiivin 2 artiklassa, johon Belgian lainsäätäjä on nojautunut säätäessään pääasiassa kyseessä olevan 25.12.2016 annetun lain, kuten ennakkoratkaisupyynnöstä ilmenee, oikeutetaan jäsenvaltiot soveltamaan tätä direktiiviä EU:n sisäisiin lentoihin.

273    Jotta ennakkoratkaisua pyytäneelle tuomioistuimelle voidaan antaa hyödyllinen vastaus, yhdeksännen kysymyksen b kohta on näin ollen muotoiltava uudelleen siten, että sen tarkoituksena on selvittää lähinnä, onko unionin oikeutta ja erityisesti PNR-direktiivin 2 artiklaa, luettuna SEU 3 artiklan 2 kohdan, SEUT 67 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan valossa, tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa säädetään järjestelmästä, jossa liikenteenharjoittajat ja matkanjärjestäjät siirtävät ja toimivaltaiset viranomaiset käsittelevät PNR-tietoja, jotka koskevat unionin sisäisiä lentomatkoja ja muilla liikennevälineillä tehtyjä matkoja, joiden lähtöpaikka tai määräpaikka on mainitun lainsäädännön antaneessa jäsenvaltiossa tai jotka tehdään kyseisen jäsenvaltion kautta.

274    Ensinnäkin perusoikeuskirjan 45 artiklassa vahvistetaan henkilöiden vapaa liikkuvuus, joka on lisäksi yksi sisämarkkinoiden perusvapauksista (ks. vastaavasti tuomio 22.6.2021, Ordre des barreaux francophones et germanophone ym. (Toimet maastapoistamisen turvaamiseksi), C-718/19, EU:C:2021:505, 54 kohta).

275    Kyseisen artiklan 1 kohdassa taataan jokaiselle unionin kansalaiselle oikeus vapaasti liikkua ja oleskella jäsenvaltioiden alueella, ja tämä oikeus vastaa perusoikeuskirjan selitysten (EUVL 2007, C 303, s. 17) mukaan SEUT 20 artiklan 2 kohdan ensimmäisen alakohdan a alakohdassa taattua oikeutta ja sitä käytetään SEUT 20 artiklan 2 kohdan toisen alakohdan ja perusoikeuskirjan 52 artiklan 2 kohdan mukaan perussopimuksissa ja niiden soveltamiseksi hyväksytyissä toimenpiteissä määritellyin edellytyksin ja rajoituksin.

276    SEU 3 artiklan 2 kohdan mukaan unioni tarjoaa kansalaisilleen vapauden, turvallisuuden ja oikeuden alueen, jolla ei ole sisärajoja ja jolla taataan henkilöiden vapaa liikkuvuus, toteuttaen samalla muun muassa ulkorajoilla tehtäviä tarkastuksia sekä rikollisuuden ehkäisyä ja torjuntaa koskevat aiheelliset toimenpiteet. Samoin SEUT 67 artiklan 2 kohdan mukaan unioni varmistaa sen, ettei henkilöitä tarkasteta sisärajoilla, sekä kehittää muun muassa ulkorajavalvontaa koskevan yhteisen politiikan.

277    Unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan kansallinen lainsäädäntö, jolla tietyt kansalaiset asetetaan huonompaan asemaan pelkästään siksi, että he ovat käyttäneet vapauttaan liikkua ja oleskella toisessa jäsenvaltiossa, on perusoikeuskirjan 45 artiklan 1 kohdassa jokaiselle unionin kansalaiselle tunnustettuja vapauksia koskeva rajoitus (ks. vastaavasti SEUT 21 artiklan 1 kohdan osalta tuomio 8.6.2017, Freitag, C-541/15, EU:C:2017:432, 35 kohta oikeuskäytäntöviittauksineen ja tuomio 19.11.2020, ZW, C-454/19, EU:C:2020:947, 30 kohta).

278    Pääasiassa kyseessä olevan kaltaisesta kansallisesta lainsäädännöstä, jolla PNR-direktiivissä säädettyä järjestelmää sovelletaan EU:n ulkopuolisten lentojen lisäksi kyseisen direktiivin 2 artiklan 1 kohdan mukaan myös EU:n sisäisiin lentoihin ja kyseisessä säännöksessä säädetyn lisäksi matkoihin muilla liikennevälineillä unionin sisällä, on kuitenkin seurauksena kaikkien matkustajien, jotka matkustavat näillä liikennevälineillä unionin sisällä käyttäen oikeuttaan vapaaseen liikkuvuuteen, PNR-tietojen siirto ja järjestelmällinen ja jatkuva käsittely.

279    Kuten tämän tuomion 98–111 kohdassa on todettu, PNR-direktiivillä käyttöön otetusta järjestelmästä johtuva EU:n ulkopuolisten ja EU:n sisäisten lentojen matkustajien tietojen siirto ja käsittely merkitsevät selvästi vakavaa puuttumista asianomaisten henkilöiden perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin. Tämän puuttumisen vakavuus on vielä suurempi siinä tapauksessa, että järjestelmän soveltaminen ulotetaan muihin liikennevälineisiin unionissa. Tällaiset puuttumiset ovat samoista kyseisissä kohdissa selostetuista syistä myös omiaan asettamaan epäedullisempaan asemaan tällaisen lainsäädännön käyttöön ottaneiden jäsenvaltioiden kansalaiset ja yleensäkin unionin kansalaiset, jotka matkustavat kyseisillä liikennevälineillä unionin alueella näistä jäsenvaltioista tai näihin jäsenvaltioihin, ja näin ollen tekemään heidän perusoikeuskirjan 45 artiklassa tarkoitetun liikkumisvapautensa käyttämisen vähemmän houkuttelevaksi, joten mainittu lainsäädäntö merkitsee tämän perusvapauden rajoittamista.

280    Vakiintuneen oikeuskäytännön mukaan on niin, että henkilöiden vapaan liikkumisen rajoitus voi olla oikeutettu vain, jos se perustuu objektiivisiin syihin ja on oikeassa suhteessa kansallisessa oikeudessa hyväksyttävästi tavoiteltuun päämäärään. Toimenpide on oikeasuhteinen, kun sillä voidaan toteuttaa tavoiteltu päämäärä ja kun sillä ei ylitetä sitä, mikä on tarpeen tämän päämäärän saavuttamiseksi (ks. vastaavasti tuomio 5.6.2018, Coman ym., C-673/16, EU:C:2018:385, 41 kohta oikeuskäytäntöviittauksineen).

281    On lisättävä, että kansallinen toimenpide, joka on omiaan rajoittamaan henkilöiden vapaan liikkuvuuden käyttämistä, voi olla oikeutettu vain silloin, kun tällainen toimenpide on perusoikeuskirjassa taattujen perusoikeuksien, joiden noudattamista unionin tuomioistuin valvoo, mukainen (tuomio 14.12.2021, Stolichna obshtina, rayon ”Pancharevo”, C-490/20, EU:C:2021:1008, 58 kohta oikeuskäytäntöviittauksineen).

282    Erityisesti on todettava, että tämän tuomion 115 ja 116 kohdassa mainitun oikeuskäytännön mukaan yleisen edun mukaiseen tavoitteeseen ei voida pyrkiä ottamatta huomioon sitä, että se on sovitettava yhteen niiden perusoikeuksien kanssa, joita toimenpide koskee, siten, että yleistä etua koskeva tavoite ja kyseessä olevat oikeudet punnitaan keskenään asianmukaisesti. Tältä osin jäsenvaltioiden mahdollisuutta oikeuttaa perusoikeuskirjan 45 artiklan 1 kohdassa taatun perusoikeuden rajoittaminen on arvioitava mittaamalla tällaisen rajoituksen sisältämän puuttumisen vakavuus ja varmistamalla, että kyseisellä rajoituksella tavoitellun yleisen edun mukaisen tavoitteen merkitys on oikeassa suhteessa tähän vakavuuteen.

283    Kuten tämän tuomion 122 kohdassa on muistutettu, PNR-direktiivillä tavoiteltu päämäärä, joka koskee terrorismirikosten ja vakavan rikollisuuden torjuntaa, on epäilyksittä unionin yleisen edun mukainen tavoite.

284    Siltä osin kuin kyse on siitä, soveltuuko PNR-direktiivin täytäntöön panemiseksi annettu kansallinen lainsäädäntö, jolla kyseisessä direktiivissä säädetty järjestelmä ulotetaan koskemaan EU:n sisäisiä lentoja ja muita liikennemuotoja unionissa, tavoitellun päämäärän saavuttamiseen, unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, että PNR-tietojen arvioinnin avulla on mahdollista yksilöidä henkilöitä, joita ei ole epäilty osallisuudesta terrorismirikoksiin tai vakavaan rikollisuuteen ja joiden suhteen toimivaltaisten viranomaisten olisi tehtävä lisätutkimuksia, joten tällainen lainsäädäntö vaikuttaa asianmukaiselta terrorismirikosten ja vakavan rikollisuuden torjuntaa koskevan tavoitteen saavuttamiseksi.

285    Tällaisen lainsäädännön välttämättömyydestä on todettava, että sen, että jäsenvaltiot käyttävät PNR-direktiivin 2 artiklan 1 kohdassa, luettuna perusoikeuskirjan 7 ja 8 artiklan valossa, säädettyä mahdollisuutta, on rajoituttava siihen, mikä on tämän tuomion 163–174 kohdassa tarkoitettujen vaatimusten kannalta ehdottoman välttämätöntä tämän tavoitteen saavuttamiseksi.

286    Näitä vaatimuksia on sovellettava vielä suuremmalla syyllä silloin, kun PNR-direktiivissä säädettyä järjestelmää sovelletaan muihin liikennevälineisiin unionissa.

287    Kuten ennakkoratkaisupyyntöön sisältyvistä tiedoista lisäksi ilmenee, pääasiassa kyseessä olevassa kansallisessa lainsäädännössä saatetaan yhdellä ja samalla säädöksellä PNR-direktiivi, API-direktiivi ja osittain direktiivi 2010/65 osaksi kansallista oikeusjärjestystä. Tässä tarkoituksessa siinä säädetään, että PNR-direktiivillä käyttöön otettua järjestelmää sovelletaan kaikkiin EU:n sisäisiin lentoihin ja unionin sisällä tehtäviin rautatiematkoihin, maantiematkoihin ja merimatkoihin, joiden lähtöpaikka tai määräpaikka on Belgiassa tai jotka kulkevat Belgian kautta, ja myös matkanjärjestäjiin, ja tällä järjestelmällä pyritään muihinkin tavoitteisiin kuin pelkästään terrorismirikosten ja vakavan rikollisuuden torjuntaan. Samojen tietojen mukaan matkustajatietoyksikkö näyttää säilyttävän kaikki tällä kansallisella lainsäädännöllä perustetun järjestelmän puitteissa kerätyt tiedot yhdessä ainoassa tietokannassa, johon sisältyvät PNR-tiedot, API-direktiivin 3 artiklan 2 kohdassa tarkoitetut tiedot mukaan lukien, kaikista kyseisessä lainsäädännössä tarkoitettujen liikennevälineiden matkustajista.

288    Siltä osin kuin ennakkoratkaisua pyytänyt tuomioistuin on viitannut yhdeksännen kysymyksensä b kohdassa rajatarkastusten parantamista ja laittoman maahanmuuton torjuntaa koskevaan tavoitteeseen, joka on API-direktiivin tavoite, on muistutettava, että – kuten tämän tuomion 233, 234 ja 237 kohdasta ilmenee – PNR-tietojen käsittelyssä PNR-direktiivin nojalla tavoiteltavien päämäärien luettelo on tyhjentävä, joten kansallinen lainsäädäntö, jossa sallitaan kyseisen direktiivin mukaisesti kerättyjen PNR-tietojen käyttö muihin kuin kyseisessä direktiivissä säädettyihin tarkoituksiin eli muun muassa rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi, on mainitun direktiivin 6 artiklan, luettuna perusoikeuskirjan valossa, vastainen.

289    Kuten tämän tuomion 235 kohdasta ilmenee, jäsenvaltiot eivät myöskään voi luoda yhtenäistä tietokantaa, joka sisältäisi sekä PNR-direktiivin nojalla kerätyt PNR-tiedot, jotka liittyvät EU:n ulkopuolisiin ja EU:n sisäisiin lentoihin, että tiedot muiden liikennevälineiden matkustajista ja API-direktiivin 3 artiklan 2 kohdassa tarkoitetut tiedot, etenkään silloin, kun tähän tietokantaan voidaan tehdä hakuja paitsi PNR-direktiivin 1 artiklan 2 kohdassa tarkoitettujen päämäärien, myös muunlaisten päämäärien saavuttamiseksi.

290    Kuten julkisasiamies on todennut ratkaisuehdotuksensa 281 kohdassa, 25.12.2016 annetun lain 28–31 § voivat joka tapauksessa olla unionin oikeuden ja erityisesti SEUT 67 artiklan 2 kohdan mukaisia ainoastaan sillä edellytyksellä, että niitä tulkitaan ja sovelletaan siten, että ne koskevat ainoastaan Belgian ja kolmannen maan välisen ulkorajan ylittävien matkustajien API-tietojen siirtämistä ja käsittelyä. Toimenpide, jolla jäsenvaltio ulottaisi API-direktiivin säännökset rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi EU:n sisäisiin lentoihin saati sitten muihin liikennemuotoihin, joilla kuljetetaan unionissa kyseiseen jäsenvaltioon tulevia ja sieltä lähteviä tai mainitun jäsenvaltion kautta kulkevia matkustajia, ja erityisesti kyseisen direktiivin 3 artiklan 1 kohdassa säädetty matkustajatietojen siirtämisvelvollisuus merkitsisi toimivaltaisten viranomaisten mahdollisuutta varmistua kyseisen jäsenvaltion sisärajojen ylittämisen yhteydessä järjestelmällisesti siitä, että kyseisten matkustajien saapuminen sen alueelle tai heidän lähtönsä sieltä voidaan sallia, joten sillä olisi vastaava vaikutus kuin kolmansien maiden vastaisilla ulkorajoilla suoritettavilla tarkastuksilla.

291    Kaiken edellä esitetyn perusteella yhdeksännen kysymyksen b kohtaan on vastattava, että unionin oikeutta ja erityisesti PNR-direktiivin 2 artiklaa, luettuna SEU 3 artiklan 2 kohdan, SEUT 67 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan valossa, on tulkittava siten, että se on esteenä

–        kansalliselle lainsäädännölle, jossa säädetään järjestelmästä, jossa lentoliikenteen harjoittajat ja matkanjärjestäjät siirtävät ja toimivaltaiset viranomaiset käsittelevät kaikkien EU:n sisäisten lentojen ja muilla liikennevälineillä unionin sisällä kyseiseen jäsenvaltioon, kyseisestä jäsenvaltiosta tai sen kautta suoritettavien kuljetusten PNR-tietoja terrorismirikosten ja vakavan rikollisuuden torjumiseksi, vaikka kyseessä olevaan jäsenvaltioon ei kohdistu todellista ja välitöntä tai ennakoitavissa olevaa terrorismiuhkaa. Tällaisessa tilanteessa PNR-direktiivillä käyttöön otettua järjestelmää on sovellettava ainoastaan sellaisten lentojen ja/tai kuljetusten PNR-tietojen siirtoon ja käsittelyyn, jotka liittyvät muun muassa tiettyihin reitteihin tai matkustusjärjestelyihin tai tiettyihin lentoasemiin, asemiin tai merisatamiin, joiden osalta on olemassa viitteitä, jotka voivat oikeuttaa tämän soveltamisen. Asianomaisen jäsenvaltion tehtävänä on valita ne EU:n sisäiset lennot ja/tai muilla liikennevälineillä unionin sisällä suoritettavat kuljetukset, joiden osalta tällaisia viitteitä on olemassa, ja tarkastella mainittua soveltamista säännöllisesti uudelleen näiden lentojen ja kuljetusten valinnan perusteena olleiden olosuhteiden kehityksen mukaan sen varmistamiseksi, että tämän järjestelmän soveltaminen näihin lentoihin ja/tai kuljetuksiin rajoittuu aina siihen, mikä on ehdottoman välttämätöntä, ja

–        kansalliselle lainsäädännölle, jossa säädetään tällaisesta mainittujen tietojen siirto- ja käsittelyjärjestelmästä rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi.

H       Kymmenes kysymys

292    Kymmenennellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin pyrkii selvittämään lähinnä, onko unionin oikeutta tulkittava siten, että kansallinen tuomioistuin voi rajoittaa lainvastaiseksi toteamisen ajallisia vaikutuksia tilanteessa, jossa se on kansallisen oikeuden mukaan velvollinen toteamaan lainvastaiseksi kansallisen lainsäädännön, jossa velvoitetaan lentoliikenteen, rautatieliikenteen ja maaliikenteen harjoittajat ja matkanjärjestäjät siirtämään PNR-tietoja ja jossa säädetään näiden tietojen käsittelystä ja säilyttämisestä, jotka ovat yhteensopimattomia PNR-direktiivin säännösten kanssa, luettuina SEU 3 artiklan 2 kohdan, SEUT 67 artiklan 2 kohdan sekä perusoikeuskirjan 7, 8 ja 45 artiklan ja 52 artiklan 1 kohdan kanssa.

293    Unionin oikeuden ensisijaisuuden periaatteella vahvistetaan unionin oikeuden etusija jäsenvaltioiden oikeuteen nähden. Kyseinen periaate velvoittaa siis kaikki jäsenvaltioiden elimet huolehtimaan unionin eri oikeussääntöjen täyden vaikutuksen toteutumisesta, eikä jäsenvaltioiden oikeudella voida puuttua siihen vaikutukseen, joka näillä oikeussäännöillä katsotaan olevan mainittujen valtioiden alueella. Kyseisen periaatteen mukaan on niin, että jos kansallinen tuomioistuin, jonka tehtävänä on toimivaltansa puitteissa soveltaa unionin oikeuden säännöksiä ja määräyksiä, ei voi tulkita kansallista säännöstöä unionin oikeuden vaatimusten mukaisesti, sillä on velvollisuus varmistaa kyseisten säännösten ja määräysten täysi vaikutus ja jättää tarvittaessa omasta aloitteestaan soveltamatta kaikkia unionin oikeuden kanssa ristiriidassa olevia, myös myöhemmin annettuja kansallisen lainsäädännön säännöksiä ilman, että sen olisi pyydettävä tai odotettava, että tällainen säännös ensin poistetaan lainsäädäntöteitse tai jollakin muulla perustuslain mukaisella keinolla (tuomio 15.7.1964, Costa, 6/64, EU:C:1964:66, s. 1159 ja 1160; tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 214 ja 215 kohta ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 118 kohta).

294    Ainoastaan unionin tuomioistuin voi poikkeustapauksissa ja oikeusvarmuutta koskevista pakottavista syistä lykätä tilapäisesti unionin oikeuden säännön syrjäyttävää vaikutusta sen kanssa ristiriidassa olevaan kansallisen oikeuden sääntöön nähden. Unionin tuomioistuimen unionin oikeudesta esittämän tulkinnan vaikutuksia voidaan rajoittaa tällä tavalla ajallisesti ainoastaan siinä samassa tuomiossa, jossa annetaan pyydetty tulkintaratkaisu. Unionin oikeuden ensisijaisuutta ja yhtenäistä soveltamista näet heikennettäisiin, jos kansallisilla tuomioistuimilla olisi toimivalta antaa kansallisille säännöksille etusija, vaikka vain väliaikaisesti, siihen unionin oikeuteen nähden, jota niillä rikotaan (tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 119 kohta oikeuskäytäntöviittauksineen).

295    Toisin kuin menettelyä koskevan velvoitteen, kuten hankkeen ympäristövaikutusten etukäteisarvioinnin, josta oli kyse asiassa, joka ratkaistiin 29.7.2019 annetulla tuomiolla Inter-Environnement Wallonie ja Bond Beter Leefmilieu Vlaanderen (C-411/17, EU:C:2019:622, 175, 176, 179 ja 181 kohta), jossa unionin tuomioistuin hyväksyi kyseisen syrjäyttävän vaikutuksen väliaikaisen lykkäämisen, laiminlyöntiä PNR-direktiivin säännösten, luettuina yhdessä perusoikeuskirjan 7, 8 ja 45 artiklan sekä 52 artiklan 1 kohdan kanssa, rikkomista ei voida korjata menettelyllä, joka olisi verrattavissa tuossa asiassa hyväksyttyyn menettelyyn. On nimittäin niin, että 25.12.2016 annetun lain kaltaisen kansallisen lainsäädännön vaikutusten pysyttäminen merkitsisi sitä, että kyseisessä lainsäädännössä asetetaan edelleen sekä lentoliikenteen harjoittajille että muille liikenteenharjoittajille ja matkanjärjestäjille unionin oikeuden vastaisia velvoitteita, joilla puututaan vakavalla tavalla niiden henkilöiden perusoikeuksiin, joiden tietoja on siirretty, säilytetty ja käsitelty, sekä näiden henkilöiden vapaata liikkuvuutta koskevia rajoituksia, jotka ylittävät sen, mikä on tarpeen (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 122 kohta oikeuskäytäntöviittauksineen).

296    Ennakkoratkaisua pyytänyt tuomioistuin ei siis voi rajoittaa ajallisesti sellaisen lainvastaiseksi toteamisen vaikutuksia, joka sen on tehtävä kansallisen oikeuden nojalla pääasiassa kyseessä olevan kansallisen lainsäädännön osalta (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 123 kohta oikeuskäytäntöviittauksineen).

297    Siltä osin kuin ennakkoratkaisua pyytänyt tuomioistuin pohtii, millä tavoin 25.12.2016 annetun lain toteaminen mahdollisesti yhteensopimattomaksi PNR-direktiivin säännösten kanssa, luettuina perusoikeuskirjan valossa, vaikuttaa niiden todisteiden ja tietojen, jotka on saatu asianomaisten liikenteenharjoittajien ja matkanjärjestäjien siirtämien tietojen avulla rikosoikeudellisissa menettelyissä, tutkittavaksi ottamiseen ja hyödyntämiseen, on riittävää viitata siihen liittyvään unionin tuomioistuimen oikeuskäytäntöön ja erityisesti 2.3.2021 annetun tuomion Prokuratuur (Sähköiseen viestintään liittyvien tietojen saannin edellytykset) (C‑746/18, EU:C:2021:152) 41–44 kohdassa mainittuihin periaatteisiin, joista seuraa, että tämä tutkittavaksi ottaminen kuuluu jäsenvaltioiden menettelyllisen itsemääräämisoikeuden periaatteen mukaisesti kansallisen oikeuden alaan, edellyttäen, että erityisesti vastaavuus- ja tehokkuusperiaatteita noudatetaan (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C-140/20, EU:C:2022:258, 127 kohta).

298    Edellä esitetyn perusteella kymmenenteen kysymykseen on vastattava, että unionin oikeutta on tulkittava siten, että se on esteenä sille, että kansallinen tuomioistuin rajoittaa lainvastaiseksi toteamisen ajallisia vaikutuksia tilanteessa, jossa se on kansallisen oikeuden mukaan velvollinen toteamaan lainvastaiseksi kansallisen lainsäädännön, jossa velvoitetaan lentoliikenteen, rautatieliikenteen ja maaliikenteen harjoittajat ja matkanjärjestäjät siirtämään PNR-tietoja ja jossa säädetään näiden tietojen käsittelystä ja säilyttämisestä, jotka ovat yhteensopimattomia PNR-direktiivin säännösten kanssa, luettuina SEU 3 artiklan 2 kohdan, SEUT 67 artiklan 2 kohdan sekä perusoikeuskirjan 7, 8 ja 45 artiklan ja 52 artiklan 1 kohdan kanssa. Tällä tavalla saatujen todisteiden tutkittavaksi ottaminen kuuluu jäsenvaltioiden menettelyllistä itsemääräämisoikeutta koskevan periaatteen mukaisesti kansallisen oikeuden alaan edellyttäen, että erityisesti vastaavuus- ja tehokkuusperiaatteita noudatetaan.

 Oikeudenkäyntikulut

299    Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:

1)      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 2 artiklan 2 kohdan d alakohtaa ja 23 artiklaa on tulkittava siten, että kyseistä asetusta sovelletaan henkilötietojen käsittelyyn, josta säädetään kansallisessa lainsäädännössä, jonka tarkoituksena on saattaa osaksi kansallista oikeusjärjestystä samanaikaisesti liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista 29.4.2004 annetun neuvoston direktiivin 2004/82/EY, jäsenvaltioiden satamiin saapuvia ja/tai satamista lähteviä aluksia koskevista ilmoitusmuodollisuuksista ja direktiivin 2002/6/EY kumoamisesta 20.10.2010 annetun Euroopan parlamentin ja neuvoston direktiivin 2010/65/EU ja matkustajarekisteritietojen (PNR) käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/681 säännökset yhtäältä siltä osin kuin kyse on yksityisten toimijoiden suorittamasta tietojen käsittelystä ja toisaalta siltä osin kuin kyse on viranomaisten suorittamasta tietojen käsittelystä, joka kuuluu yksinomaan tai myös direktiivin 2004/82 tai direktiivin 2010/65 soveltamisalaan. Mainittua asetusta ei sen sijaan sovelleta tällaisessa lainsäädännössä säädettyyn tietojen käsittelyyn, joka kuuluu vain direktiivin 2016/681 soveltamisalaan ja jota matkustajatietoyksikkö tai toimivaltaiset viranomaiset suorittavat kyseisen direktiivin 1 artiklan 2 kohdassa säädettyjä tarkoituksia varten.

2)      Koska direktiivin 2016/681 tulkitseminen Euroopan unionin perusoikeuskirjan 7, 8 ja 21 artiklan sekä 52 artiklan 1 kohdan mukaisesti varmistaa tämän direktiivin yhdenmukaisuuden perusoikeuskirjan kyseisten artiklojen kanssa, toista, kolmatta, neljättä ja kuudetta ennakkoratkaisukysymystä tutkittaessa ei ole tullut esille mitään, mikä vaikuttaisi mainitun direktiivin pätevyyteen.

3)      Direktiivin 2016/681 6 artiklaa, luettuna perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan valossa, on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa sallitaan kyseisen direktiivin mukaisesti kerättyjen matkustajarekisteritietojen (PNR-tiedot) käsittely muihin kuin mainitun direktiivin 1 artiklan 2 kohdassa nimenomaisesti mainittuihin tarkoituksiin.

4)      Direktiivin 2016/681 12 artiklan 3 kohdan b alakohtaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan matkustajatietoyksiköksi perustettu viranomainen on samalla toimivaltainen kansallinen viranomainen, jolla on toimivalta hyväksyä PNR-tietojen luovuttaminen näiden tietojen matkustajatietoyksikölle siirtämisestä alkavan kuuden kuukauden jakson päätyttyä.

5)      Direktiivin 2016/681 12 artiklan 1 kohtaa, luettuna yhdessä perusoikeuskirjan 7 ja 8 artiklan sekä 52 artiklan 1 kohdan kanssa, on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa säädetään PNR-tietojen viiden vuoden pituisesta yleisestä säilytysajasta, jota sovelletaan erotuksetta kaikkiin lentomatkustajiin, mukaan lukien ne, joiden osalta kyseisen direktiivin 6 artiklan 2 artiklan a kohdassa säädetty etukäteisarviointi, mainitun direktiivin 12 artiklan 2 kohdassa tarkoitetun kuuden kuukauden jakson aikana suoritetut mahdolliset tarkistukset tai mikään muukaan seikka ei ole osoittanut sellaisten objektiivisten seikkojen olemassaoloa, joiden perusteella voitaisiin todeta terrorismirikoksiin tai vakavaan rikollisuuteen liittyvä riski, jolla on ainakin välillinen objektiivinen yhteys matkustajien lentomatkaan.

6)      Direktiiviä 2004/82 on tulkittava siten, että sitä ei sovelleta lentoliikenteen harjoittajan reitti- tai tilauslentoihin, jotka lennetään jäsenvaltion alueelta ja joiden on määrä laskeutua yhden tai useamman muun jäsenvaltion alueelle ilman välilaskuja jonkin kolmannen maan alueelle (EU:n sisäiset lennot).

7)      Unionin oikeutta ja erityisesti direktiivin 2016/681 2 artiklaa, luettuna SEU 3 artiklan 2 kohdan, SEUT 67 artiklan 2 kohdan ja perusoikeuskirjan 45 artiklan valossa, on tulkittava siten, että se on esteenä

–        kansalliselle lainsäädännölle, jossa säädetään järjestelmästä, jossa lentoliikenteen harjoittajat ja matkanjärjestäjät siirtävät ja toimivaltaiset viranomaiset käsittelevät kaikkien EU:n sisäisisten lentojen ja muilla liikennevälineillä unionin sisällä kyseiseen jäsenvaltioon, kyseisestä jäsenvaltiosta tai sen kautta suoritettavien kuljetusten PNR-tietoja terrorismirikosten ja vakavan rikollisuuden torjumiseksi, vaikka kyseessä olevaan jäsenvaltioon ei kohdistu todellista ja välitöntä tai ennakoitavissa olevaa terrorismiuhkaa. Tällaisessa tilanteessa direktiivillä 2016/681 käyttöön otettua järjestelmää on sovellettava ainoastaan sellaisten lentojen ja/tai kuljetusten PNR-tietojen siirtoon ja käsittelyyn, jotka liittyvät muun muassa tiettyihin reitteihin tai matkustusjärjestelyihin tai tiettyihin lentoasemiin, asemiin tai merisatamiin, joiden osalta on olemassa viitteitä, jotka voivat oikeuttaa tämän soveltamisen. Asianomaisen jäsenvaltion tehtävänä on valita ne EU:n sisäiset lennot ja/tai muilla liikennevälineillä unionin sisällä suoritettavat kuljetukset, joiden osalta tällaisia viitteitä on olemassa, ja tarkastella mainittua soveltamista säännöllisesti uudelleen näiden lentojen ja kuljetusten valinnan perusteena olleiden olosuhteiden kehityksen mukaan sen varmistamiseksi, että tämän järjestelmän soveltaminen näihin lentoihin ja/tai kuljetuksiin rajoittuu aina siihen, mikä on ehdottoman välttämätöntä, ja

–        kansalliselle lainsäädännölle, jossa säädetään tällaisesta mainittujen tietojen siirto- ja käsittelyjärjestelmästä rajatarkastusten parantamiseksi ja laittoman maahanmuuton torjumiseksi.

8)      Unionin oikeutta on tulkittava siten, että se on esteenä sille, että kansallinen tuomioistuin rajoittaa lainvastaiseksi toteamisen ajallisia vaikutuksia tilanteessa, jossa se on kansallisen oikeuden mukaan velvollinen toteamaan lainvastaiseksi kansallisen lainsäädännön, jossa velvoitetaan lentoliikenteen, rautatieliikenteen ja maaliikenteen harjoittajat ja matkanjärjestäjät siirtämään PNR-tietoja ja jossa säädetään näiden tietojen käsittelystä ja säilyttämisestä, jotka ovat yhteensopimattomia direktiivin 2016/681 säännösten kanssa, luettuina SEU 3 artiklan 2 kohdan, SEUT 67 artiklan 2 kohdan sekä perusoikeuskirjan 7, 8 ja 45 artiklan ja 52 artiklan 1 kohdan kanssa. Tällä tavalla saatujen todisteiden tutkittavaksi ottaminen kuuluu jäsenvaltioiden menettelyllistä itsemääräämisoikeutta koskevan periaatteen mukaisesti kansallisen oikeuden alaan edellyttäen, että erityisesti vastaavuus- ja tehokkuusperiaatteita noudatetaan.

Allekirjoitukset

*      Oikeudenkäyntikieli: ranska.