Sprawa C‑817/19
Ligue des droits humains
przeciwko
Conseil des ministres
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Cour constitutionnelle (trybunał konstytucyjny, Belgia)]
Wyrok Trybunału (wielka izba) z dnia 21 czerwca 2022 r.
Odesłanie prejudycjalne – Przetwarzanie danych osobowych – Dane dotyczące przelotu pasażera (PNR) – Rozporządzenie (UE) 2016/679 – Artykuł 2 ust. 2 lit. d) – Zakres stosowania – Dyrektywa (UE) 2016/681 – Wykorzystywanie danych PNR pasażerów odbywających loty między Unią i państwami trzecimi – Możliwość włączenia danych pasażerów lotów wewnątrzunijnych – Zautomatyzowane przetwarzanie danych – Okres zatrzymania – Zwalczanie przestępstw terrorystycznych i poważnej przestępczości – Ważność – Karta praw podstawowych Unii Europejskiej – Artykuły 7, 8 i 21 oraz art. 52 ust. 1 – Uregulowanie krajowe rozszerzające zastosowanie systemu PNR na inne rodzaje przewozów wewnątrz Unii – Swoboda przemieszczania się w obrębie Unii – Karta praw podstawowych – Artykuł 45
1. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Zakres stosowania – Przetwarzanie danych osobowych przewidziane przez uregulowanie krajowe mające na celu transpozycję dyrektyw 2004/82, 2010/65 i 2016/681 – Objęcie zakresem stosowania – Ograniczenia
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 2 ust. 2 lit. d), art. 23; dyrektywy Parlamentu Europejskiego i Rady: 2010/65, 2016/680, 2016/681; dyrektywa Rady 2004/82]
(zob. pkt 67, 68, 73, 74, 80, 83, 84; pkt 1 sentencji)
2. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Dane PNR – Zakres – Objęci zakresem stosowania pasażerowie lotniczy i loty – Zautomatyzowane przetwarzanie tych danych – Naruszenie prawa do ochrony życia prywatnego i prawa do ochrony danych osobowych – Brak
(Karta praw podstawowych Unii Europejskiej, art. 7, 8, 21, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 1 ust. 2, art. 2, art. 3 pkt 2, 4, 8, 9, art. 6, 12, załączniki I, II)
(zob. pkt 94–97, 111, 122, 123, 129, 131–140, 152, 157, 162, 169–175, 184, 188, 197, 202, 213, 218–220, 223, 225–228; pkt 2 sentencji)
3. Prawa podstawowe – Poszanowanie życia prywatnego – Ochrona danych osobowych – Ograniczenia – Przesłanki
(Karta praw podstawowych Unii Europejskiej, art. 7, 8, art. 52 ust. 1)
(zob. pkt 115–118)
4. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Przetwarzanie danych PNR – Cele – Przetwarzanie w celach innych niż wyraźnie przewidziane – Niedopuszczalność
(Karta praw podstawowych Unii Europejskiej, art. 7, 8, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 1 ust. 2, art. 6)
(zob. pkt 233, 235, 237, 288, 289; pkt 3 sentencji)
5. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Ujawnienie danych PNR po upływie okresu sześciu miesięcy od ich przekazania przez przewoźników lotniczych – Przesłanka – Zgoda udzielona przez właściwy organ krajowy – Pojęcie – Jednostka do spraw informacji o pasażerach – Wyłączenie
(Karta praw podstawowych Unii Europejskiej, art. 7, 8; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 4 ust. 1–3, art. 12 ust. 3 lit. b)]
(zob. pkt 244, 245, 247; pkt 4 sentencji)
6. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych – Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Okres zatrzymania danych PNR – Ogólny okres zatrzymywania danych wynoszący pięć lat, mający zastosowanie bez rozróżnienia do wszystkich pasażerów lotniczych – Niedopuszczalność
(Karta praw podstawowych Unii Europejskiej, art. 7, 8, 45, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681, art. 12)
(zob. pkt 251, 255–259, 262; pkt 5 sentencji)
7. Kontrole graniczne, azyl i imigracja – Zobowiązanie przewoźników do przekazywania danych pasażerów – Dyrektywa 2004/82 – Zakres stosowania – Loty wewnątrzunijne – Wyłączenie
[dyrektywy: Parlamentu Europejskiego i Rady 2016/681, art. 2; Rady 2004/82, art. 2 lit. a), b), d), art. 3 ust. 1, 2, art. 6 ust. 1]
(zob. pkt 266–269; pkt 6 sentencji)
8. Współpraca policyjna – Współpraca wymiarów sprawiedliwości w sprawach karnych –Wykorzystywanie danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania – Dyrektywa 2016/681 – Stosowanie dyrektywy do lotów wewnątrzunijnych – Zastosowanie do wszystkich lotów wewnątrzunijnych i przewozów realizowanych innymi środkami transportu w obrębie Unii przy braku rzeczywistego i aktualnego lub dającego się przewidzieć zagrożenia terrorystycznego – Niedopuszczalność – Ograniczone zastosowanie – Dopuszczalność – Przesłanki
(art. 3 ust. 2 TUE; art. 67 ust. 2 TFUE; Karta praw podstawowych Unii Europejskiej, art. 7, 8, 45, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681)
(zob. pkt 277–282, 285, 290, 291; pkt 7 sentencji)
9. Prawo Unii Europejskiej – Pierwszeństwo – Dyrektywa 2016/681 – Stwierdzenie przed sąd krajowy nieważności krajowych przepisów niezgodnych z tą dyrektywą – Możliwość utrzymania w mocy skutków tych przepisów – Brak – Dopuszczalność dowodów uzyskanych na mocy tych przepisów – Stosowanie prawa krajowego – Granice – Poszanowanie zasad równoważności i skuteczności
(art. 3 ust. 2 TUE; art. 67 ust. 2 TFUE; Karta praw podstawowych Unii Europejskiej, art. 7, 8, 45, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/681)
(zob. pkt 293–298; pkt 8 sentencji)
Streszczenie
Dane PNR (Passenger Name Record) są informacjami dotyczącymi rezerwacji, przechowywanymi przez przewoźników lotniczych w ich systemach rezerwacji i systemach odpraw pasażerskich. Dyrektywa PNR(1) zobowiązuje tych przewoźników do przekazywania danych wszystkich pasażerów odbywających lot pozaunijny, wykonywany między państwem trzecim a Unią Europejską, jednostce do spraw informacji o pasażerach (zwanej dalej „JIP”) państwa członkowskiego przeznaczenia lub wylotu danego lotu w celu zwalczania terroryzmu i poważnej przestępczości. Przekazywane w ten sposób dane PNR są przedmiotem wstępnej oceny dokonywanej przez JIP(2), a następnie są zatrzymywane do celów ewentualnej późniejszej oceny przez właściwe organy zainteresowanego państwa członkowskiego lub organy innego państwa członkowskiego. Państwa członkowskie mogą postanowić o stosowaniu dyrektywy również do lotów wewnątrzunijnych(3).
Ligue des droits humains wniosła do Cour constitutionnelle (trybunału konstytucyjnego, Belgia) skargę o stwierdzenie nieważności ustawy z dnia 25 grudnia 2016 r.(4), która dokonuje transpozycji do prawa belgijskiego zarówno dyrektywy PNR, jak i dyrektywy API(5). Zdaniem skarżącej ustawa ta narusza prawo do poszanowania życia prywatnego i prawo do ochrony danych osobowych. Skarżąca zakwestionowała, po pierwsze, dopuszczalność bardzo szerokiego ujęcia danych PNR, a po drugie, niezróżnicowany charakter gromadzenia, przekazywania i przetwarzania tych danych. W przekonaniu skarżącej ustawa ta narusza również swobodę przepływu osób, ponieważ pośrednio przywraca kontrole graniczne poprzez rozszerzenie systemu PNR na loty wewnątrzunijne i przewozy dokonywane innymi środkami transportu w obrębie Unii.
W tym kontekście belgijski Cour constitutionnelle (trybunał konstytucyjny) skierował do Trybunału dziesięć pytań prejudycjalnych dotyczących w szczególności ważności i wykładni dyrektywy PNR, a także zastosowania RODO(6).
Pytania te postawiły Trybunał wobec konieczności zajęcia się kolejny raz kwestią przetwarzania danych PNR w świetle praw podstawowych do poszanowania życia prywatnego i do ochrony danych osobowych(7), wyrażonych w Karcie praw podstawowych Unii Europejskiej(8). W wyroku wydanym w składzie wielkiej izby Trybunał potwierdził ważność dyrektywy PNR z tego względu, że poddaje się ona wykładni zgodnej z kartą i dostarcza wskazówek co do wykładni niektórych jej przepisów(9).
Ocena Trybunału
Uściśliwszy, do których spośród rodzajów przetwarzania danych osobowych przewidzianych przez przepisy krajowe, które – tak jak przepisy rozpatrywane w niniejszej sprawie – mają na celu transpozycję jednocześnie dyrektywy API i dyrektywy PNR, mają zastosowanie zasady ogólne RODO(10), Trybunał zbadał ważność dyrektywy PNR.
W przedmiocie ważności dyrektywy PNR
Trybunał orzekł w wyroku, że ponieważ dokonana przez Trybunał wykładnia dyrektywy 2016/681 w świetle praw podstawowych zagwarantowanych w art. 7, 8 i 21 oraz art. 52 ust. 1 karty(11) zapewnia zgodność tej dyrektywy ze wskazanymi postanowieniami karty, analiza zadanych pytań nie doprowadziła do żadnych ustaleń, które mogłyby mieć wpływ na ważność owej dyrektywy.
Tytułem wstępu Trybunał przypomniał, że akt prawa Unii powinien być interpretowany tak dalece, jak to możliwe, w sposób, który nie podważa jego ważności, i w zgodzie z całością prawa pierwotnego, w tym w szczególności z postanowieniami karty, a co za tym idzie, państwa członkowskie nie powinny opierać się na takiej wykładni karty, która pozostawałaby w konflikcie z prawami podstawowymi chronionymi przez porządek prawny Unii lub z innymi ogólnymi zasadami uznanymi przez ten porządek prawny. W odniesieniu do dyrektywy PNR Trybunał wyjaśnił, że szereg jej motywów i przepisów wymaga takiej wykładni zgodnej, podkreślając wagę, jaką ustawodawca Unii przykłada, gdy odnosi się do wysokiego poziomu ochrony danych, do pełnego poszanowania praw podstawowych zagwarantowanych w karcie.
Trybunał stwierdził, że dyrektywa PNR przewiduje istotną ingerencję w prawa zagwarantowane w art. 7 i 8 karty, w szczególności z tego względu, że zmierza do stworzenia systemu ciągłego nadzoru, nieukierunkowanego i systematycznego, zakładającego zautomatyzowane przetwarzanie danych osobowych wszystkich osób korzystających z usług transportu lotniczego. Przypomniał on, że możliwość uzasadnienia przez państwa członkowskie takiej ingerencji należy oceniać, badając jej wagę oraz sprawdzając, czy znaczenie zamierzonego celu interesu ogólnego pozostaje w relacji do tej wagi.
Trybunał stwierdził, że przekazywanie, przetwarzanie i zatrzymywanie danych PNR przewidziane w tej dyrektywie można uznać za ograniczone do tego, co ściśle konieczne do celów walki z przestępstwami terrorystycznymi i poważną przestępczością, pod warunkiem że uprawnienia przewidziane w owej dyrektywie podlegają wykładni zawężającej. W tym względzie w ogłoszonym dziś wyroku Trybunał wyjaśnił w szczególności, że:
– system ustanowiony w dyrektywie PNR powinien obejmować jedynie informacje jednoznacznie możliwe do określenia i o oznaczonym zakresie w rubrykach zawartych w załączniku I do tej dyrektywy, dotyczące wykonanego lotu i danego pasażera, co w odniesieniu do niektórych rubryk zawartych w tym załączniku oznacza, że objęte są jedynie informacje wyraźnie wskazane(12).
– stosowanie systemu ustanowionego dyrektywą PNR powinno być ograniczone do przestępstw terrorystycznych i tylko do poważnych form przestępczości wykazujących obiektywny związek, przynajmniej pośredni, z lotniczym przewozem pasażerów. Co się tyczy tych form, stosowanie owego systemu nie może zostać rozszerzone na przestępstwa, które – mimo że spełniają przewidziane w tej dyrektywie kryterium dotyczące progu ich wagi i które są w szczególności wymienione w załączniku II do tej dyrektywy – stanowią, ze względu na specyfikę krajowego systemu karnego, nie przestępstwa poważne, a zwyczajne.
– ewentualne rozszerzenie stosowania dyrektywy PNR na całość lub część lotów wewnątrzunijnych, o którym państwo członkowskie może postanowić, czyniąc użytek z uprawnienia przewidzianego w tej dyrektywie, powinno zostać ograniczone do tego, co ściśle konieczne. Takie rozszerzenie powinno podlegać skutecznej kontroli sądu lub niezależnego organu administracyjnego, którego decyzja wywiera wiążący skutek. W tym względzie Trybunał uściślił, że:
– jedynie w sytuacji gdy rzeczone państwo członkowskie stwierdzi istnienie wystarczająco konkretnych okoliczności pozwalających na uznanie, że stoi ono w obliczu zagrożenia terrorystycznego, które okazuje się rzeczywiste i aktualne lub możliwe do przewidzenia, zastosowanie tej dyrektywy przez ograniczony do tego co ściśle konieczne lecz odnawialny okres do wszystkich lotów wewnątrzunijnych rozpoczynających się lub kończących w tym państwie nie wykracza poza to co ściśle konieczne(13).
– w braku takiego zagrożenia terrorystycznego stosowanie wspomnianej dyrektywy nie może obejmować wszystkich lotów wewnątrzunijnych, lecz powinno być ograniczone do lotów wewnątrzunijnych związanych w szczególności z niektórymi trasami lotniczymi lub planami podróży, lub niektórymi lotniskami, w odniesieniu do których istnieją przesłanki mogące uzasadnić takie zastosowanie. Ściśle konieczny charakter tego stosowania do tak wybranych lotów wewnątrzunijnych powinien być regularnie poddawany przeglądowi pod kątem ewolucji okoliczności uzasadniających ich wybór.
– do celów wstępnej oceny danych PNR mającej na celu identyfikację osób wymagających dalszego sprawdzenia przed ich przylotem lub wylotem, która w pierwszym etapie odbywa się w drodze zautomatyzowanego przetwarzania, JIP może jedynie, po pierwsze, zestawić te dane z bazami danych o osobach lub przedmiotach poszukiwanych lub objętych wpisem(14). Te bazy danych powinny mieć charakter niedyskryminacyjny i być użytkowane przez właściwe organy w związku ze zwalczaniem przestępstw terrorystycznych i poważnej przestępczości oraz mieć obiektywny związek, choćby pośredni, z lotniczym przewozem pasażerów. Co się tyczy, po drugie, wstępnej oceny w świetle wcześniej ustalonych kryteriów, JIP nie może wykorzystywać technologii sztucznej inteligencji w ramach systemu uczenia maszynowego (machine learning), który może, bez interwencji i udziału ludzi, zmieniać proces oceny, a w szczególności kryteria oceny, na których opiera się rezultat zastosowania takiego procesu, jak i wagę tych kryteriów. Wspomniane kryteria powinny być sformułowane w taki sposób, by ukierunkować je ściśle na osoby, wobec których może istnieć racjonalne podejrzenie ich udziału w przestępstwach terrorystycznych lub poważnej przestępczości, z uwzględnieniem zarówno elementów „obciążających”, jak i „odciążających” i pomijając wszelką dyskryminację, bezpośrednią, jak i pośrednią(15).
– biorąc pod uwagę odsetek błędów wynikających ze zautomatyzowanego przetwarzania danych PNR, a zwłaszcza znaczną liczbę wyników „fałszywie pozytywnych”, które zostały uzyskane w latach 2018 i 2019, przydatność systemu wprowadzonego dyrektywą PNR do realizowania zamierzonych celów zależy zasadniczo od dobrego funkcjonowania następczej weryfikacji pozytywnych wyników uzyskanych w ramach takiego przetwarzania przeprowadzanej przez JIP – w drugim etapie – za pomocą środków niezautomatyzowanych. W tym względzie państwa członkowskie powinny ustanowić jasne i precyzyjne zasady określające ramy analizy przeprowadzanej przez pracowników odpowiedzialnych za indywidualną ocenę w celu zapewnienia pełnego poszanowania praw podstawowych wyrażonych w art. 7, 8 i 21 karty, a w szczególności zapewnienia w ramach JIP spójnej praktyki administracyjnej przestrzegającej zasady niedyskryminacji. W szczególności państwa członkowskie mają obowiązek zapewnienia, by JIP określała w sposób jasny i precyzyjny obiektywne kryteria oceny pozwalające jej pracownikom zweryfikować, po pierwsze, czy i w jakim stopniu wynik pozytywny (hit) dotyczy w istocie jednostki, która może być zaangażowana w przestępstwa terrorystyczne lub poważną przestępczość, oraz, po drugie, niedyskryminacyjny charakter zautomatyzowanego przetwarzania. W tym kontekście Trybunał podkreślił ponadto, że właściwe organy powinny zagwarantować, by osoba zainteresowana mogła zrozumieć działanie zastosowanych kryteriów wstępnej oceny i programów stosujących te kryteria, w sposób pozwalający jej na podjęcie w sposób w pełni świadomy decyzji, czy skorzysta z prawa do sądowego środka ochrony prawnej. Podobnie, w ramach sądowego środka ochrony prawnej zarówno sąd dokonujący kontroli legalności decyzji wydanej przez właściwe organy, jak i osoba zainteresowana, z wyłączeniem przypadków zagrożenia bezpieczeństwa narodowego, powinny mieć możliwość zapoznania się z całością zarówno motywów, jak i odnośnych dowodów, na podstawie których decyzja ta została wydana, w tym z wcześniej ustalonymi kryteriami oceny oraz działaniem programów stosujących te kryteria.
– późniejsze ujawnianie i ocena danych PNR, to jest po przylocie lub wylocie zainteresowanej osoby, muszą być oparte na nowych okolicznościach i obiektywnych przesłankach – na których można oprzeć racjonalne podejrzenie zaangażowania danej osoby w poważną przestępczość, która ma związek, choćby pośredni, z lotniczym przewozem pasażerów – albo które pozwalają stwierdzić, że dane te mogą w konkretnym przypadku skutecznie przyczynić się do zwalczania przestępstw terrorystycznych wykazujących taki związek. Ujawnianie danych PNR do celów takiej późniejszej oceny powinno, co do zasady, z wyjątkiem należycie uzasadnionych pilnych przypadków, być uzależnione od uprzedniej kontroli sądu lub niezależnego organu administracyjnego, przeprowadzanej na uzasadniony wniosek właściwych organów, niezależnie od tego, czy ten wniosek został złożony przed upływem sześciu miesięcy od przekazania tych danych JIP czy przed jego upływem(16).
W przedmiocie wykładni dyrektywy PNR
Po stwierdzeniu ważności dyrektywy PNR Trybunał sformułował dalsze wyjaśnienia co do wykładni tej dyrektywy. Po pierwsze, wskazał on, że dyrektywa wylicza cele przetwarzania danych PNR w sposób wyczerpujący. W związku z tym dyrektywa ta stoi na przeszkodzie uregulowaniu krajowemu, które zezwala na przetwarzanie danych PNR w celach innych niż zwalczanie przestępstw terrorystycznych i poważnej przestępczości. Tym samym uregulowanie krajowe dopuszczające ponadto, jako cel przetwarzania danych PNR, monitorowanie działalności będącej przedmiotem zainteresowania służb wywiadowczych i bezpieczeństwa może naruszać wyczerpujący charakter tego wyliczenia. Podobnie, system ustanowiony przez dyrektywę PNR nie może być wykorzystywany do celów poprawy kontroli granicznej i zwalczania nielegalnej imigracji(17). Z powyższego wynika również, że dane PNR nie mogą być zatrzymywane w pojedynczej bazie danych, z której można by korzystać na potrzeby realizacji zarówno celów dyrektywy PNR, jak i innych celów.
Po drugie, Trybunał uściślił pojęcie niezależnego organu krajowego, właściwego do sprawdzenia, czy są spełnione przesłanki ujawnienia danych PNR do celów ich późniejszej oceny, i do zatwierdzenia takiego ujawnienia. W szczególności organ wyznaczony jako JIP nie może zostać uznany za niezależny organ krajowy, ponieważ nie ma statusu podmiotu trzeciego względem organu, który wnosi o udzielenie dostępu do danych. Pracownicy JIP mogą bowiem być oddelegowani z organów właściwych do wnoszenia o taki dostęp, a zatem JIP jawi się w sposób jednoznaczny jako podmiot powiązany z tymi organami. W konsekwencji dyrektywa PNR stoi na przeszkodzie uregulowaniu krajowemu, zgodnie z którym organ wyznaczony jako JIP ma również status właściwego organu krajowego upoważnionego do zatwierdzania ujawniania danych PNR po upływie sześciu miesięcy od przekazania tych danych do JIP.
Po trzecie, co się tyczy okresu zatrzymywania danych PNR, Trybunał orzekł, że art. 12 dyrektywy PNR w związku z art. 7, 8 i art. 52 ust. 1 karty stoi na przeszkodzie uregulowaniu krajowemu, które przewiduje ogólny pięcioletni okres zatrzymywania tych danych, mający zastosowanie bez rozróżnienia do wszystkich pasażerów lotniczych.
Zdaniem Trybunału po upływie pierwotnego sześciomiesięcznego okresu zatrzymywania danych PNR zatrzymywanie tych danych nie jawi się bowiem jako ograniczone do tego, co jest absolutnie konieczne w odniesieniu do pasażerów lotniczych, co do których ani podczas wstępnej oceny, ani podczas ewentualnych sprawdzeń dokonywanych w pierwotnym okresie sześciu miesięcy, ani w innych okolicznościach, nie wykryto istnienia jakichkolwiek obiektywnych przesłanek – takich jak pozytywny wynik zestawienia danych PNR uzyskany w ramach wstępnej oceny – wskazujących na to, że mogą stanowić ryzyko w zakresie przestępstw terrorystycznych lub poważnej przestępczości, które mają obiektywny związek, choćby pośredni, z podróżą lotniczą tych pasażerów. Trybunał doszedł natomiast do wniosku, że zatrzymywanie, w pierwotnym okresie sześciu miesięcy, danych PNR wszystkich pasażerów lotniczych objętych systemem ustanowionym przez tę dyrektywę nie wydaje się, co do zasady, wykraczać poza to, co jest ściśle konieczne.
Po czwarte, Trybunał dostarczył wskazówek dotyczących ewentualnego stosowania dyrektywy PNR – do celów walki z przestępstwami terrorystycznymi i poważną przestępczością – do innych środków transportu przewożących pasażerów w obrębie Unii. Otóż dyrektywa ta, interpretowana w świetle art. 3 ust. 2 TUE, art. 67 ust. 2 TFUE i art. 45 karty stoi na przeszkodzie systemowi przekazywania i przetwarzania danych PNR w odniesieniu do ogółu operacji transportu dokonywanych przez inne środki transportu w obrębie Unii przy braku rzeczywistego i aktualnego lub dającego się przewidzieć zagrożenia terrorystycznego, z którym zmaga się państwo członkowskie. W takiej sytuacji, tak jak w przypadku lotów wewnątrzunijnych, stosowanie systemu ustanowionego przez dyrektywę PNR powinno być ograniczone do danych PNR odnoszących się do przewozów dotyczących, w szczególności, niektórych połączeń lub planów podróży, lub niektórych lotnisk, dworców lub portów morskich, co do których istnieją przesłanki uzasadniające takie stosowanie. Do danego państwa członkowskiego należy wybór środka transportu, w odniesieniu do którego takie przesłanki istnieją, oraz dokonywanie regularnych przeglądów takiego stosowania w zależności od ewolucji warunków, które uzasadniały ich wybór.