NÁVRHY GENERÁLNEHO ADVOKÁTA

GIOVANNI PITRUZZELLA

prednesené 27. januára 2022(1)

Vec C‑817/19

Ligue des droits humains

proti

Conseil des ministres

[návrh na začatie prejudiciálneho konania, ktorý podal Cour constitutionnelle (Ústavný súd, Belgicko)

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Spracúvanie údajov z osobného záznamu o cestujúcom (PNR) – Nariadenie (EÚ) 2016/679 – Pôsobnosť – Smernica (EÚ) 2016/681 – Platnosť – Charta základných práv Európskej únie – Články 7, 8 a článok 52 ods. 1“

Obsah

I.      Úvod

1.        Týmto návrhom na začatie prejudiciálneho konania Cour constitutionnelle (Ústavný súd, Belgicko) predkladá Súdnemu dvoru súbor desiatich prejudiciálnych otázok týkajúcich sa výkladu nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej len „GDPR“)(2), ako aj platnosti a výkladu smernice Európskeho parlamentu a Rady (EÚ) 2016/681 z 27. apríla 2016 o využívaní údajov zo záznamov o cestujúcich (PNR) na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti (ďalej len „smernica PNR“)(3) a smernice Rady 2004/82/ES z 29. apríla 2004 o povinnosti dopravcov oznamovať údaje o cestujúcich (ďalej len „smernica API“)(4). Tieto otázky boli položené v rámci žaloby podanej neziskovým združením Ligue des droits humains (Liga pre ľudské práva, ďalej len „LDH“), ktorou sa domáha úplného alebo čiastočného zrušenia loi du 25 décembre 2016 relative au traitement des données des passagers (zákon z 25. decembra 2016 o spracúvaní údajov o cestujúcich) (ďalej aj len „zákon PNR“)(5), ktorým sa do belgického práva preberá smernica PNR a smernica API.

2.        Otázky, o ktorých má Súdny dvor v tejto veci rozhodnúť, spadajú do rámca jednej z hlavných dilem súčasného liberálno‑demokratického konštitucionalizmu: ako by sa mala vymedziť rovnováha medzi jednotlivcom a spoločenstvom v ére dát, keď digitálne technológie umožnili zhromažďovať, spracúvať, uchovávať a analyzovať na prognostické účely obrovské množstvo osobných údajov? Algoritmy, analýzu veľkých objemov dát a umelú inteligenciu, ktoré využívajú orgány verejnej moci, možno použiť na presadzovanie a ochranu základných záujmov spoločnosti s doteraz nepredstaviteľnou účinnosťou: od ochrany verejného zdravia po udržateľnosť životného prostredia, od boja proti terorizmu po predchádzanie trestnej činnosti, a to najmä závažnej trestnej činnosti. Neselektívne zhromažďovanie osobných údajov a používanie digitálnych technológií orgánmi verejnej moci môže zároveň viesť ku vzniku digitálneho panoptika, teda verejnej moci, ktorá vidí všetko bez toho, aby bola videná. Vševediaca moc, ktorá dokáže kontrolovať a predvídať správanie každého z nás a prijímať potrebné opatrenia, môže dospieť až do paradoxného štádia vymysleného Stevenom Spielbergom vo filme Minority Report, keď bude preventívne odňatá sloboda páchateľovi zločinu, ktorý sa ešte nestal. Ako je známe, v niektorých krajinách má spoločnosť prednosť pred jednotlivcom a využívanie osobných údajov umožňuje legitímne vykonávať účinné monitorovanie veľkého množstva ľudí s cieľom chrániť verejné záujmy, ktoré sa považujú za hlavné. Naopak, európsky konštitucionalizmus – národný a nadnárodný – so svojím zameraním na jednotlivca a jeho slobody, vytvára značné prekážky pre vznik spoločnosti hromadného sledovania, a to najmä uznaním základných práv na ochranu súkromia a na ochranu osobných údajov. Do akej miery však možno klásť túto prekážku bez toho, aby sa vážne narušili niektoré základné záujmy spoločnosti, akými sú napríklad vyššie uvedené záujmy, ktoré ale môžu mať svoje ústavné vyjadrenie? Práve to je jadrom otázky týkajúcej sa vzťahu medzi jednotlivcom a spoločenstvom v digitálnej spoločnosti. Ide o otázku, ktorá si na jednej strane vyžaduje hľadanie a vytváranie krehkej rovnováhy medzi záujmami spoločenstva a právami jednotlivcov, pričom vychádza z mimoriadnej dôležitosti, ktorú majú títo jednotlivci v európskom ústavnom dedičstve, a na druhej strane vyžaduje zavedenie určitých záruk proti zneužitiu. V tomto prípade sa opäť dostávame k súčasnej verzii klasickej témy ústavnosti, pretože, ako sa výstižne spomína v Le Féderaliste, ľudia nie sú anjeli, a preto potrebujeme právne mechanizmy na obmedzenie a kontrolu verejnej moci.

3.        To sú otázky všeobecnej povahy, ktoré zapadajú do kontextu týchto návrhov, ktoré budú vychádzať predovšetkým z výkladu práva Únie vo svetle predchádzajúcej judikatúry Súdneho dvora s použitím osvedčených postupov, medzi ktoré patrí aj konformný výklad. Ide o metódu, ktorá bude v týchto návrhoch využívaná často tam, kde to bude z právneho hľadiska možné, s cieľom nájsť z ústavného hľadiska nevyhnutnú rovnováhu medzi verejnými cieľmi, na ktorých je založený systém prenosu, zhromažďovania a spracúvania údajov z osobného záznamu o cestujúcom (ďalej len „údaje z PNR“), a právami zakotvenými v článkoch 7 a 8 Charty základných práv Európskej únie (ďalej len „Charta“).

II.    Právny rámec

A.      Právo Únie

1.      Charta

4.        Podľa článku 7 Charty „každý má právo na rešpektovanie svojho súkromného a rodinného života, obydlia a komunikácie“.

5.        Podľa článku 8 Charty:

„1.      Každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.

2.      Tieto údaje musia byť riadne spracované na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom. Každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu.

3.      Dodržiavanie týchto pravidiel podlieha kontrole nezávislého orgánu.“

6.        Podľa článku 52 ods. 1 Charty „akékoľvek obmedzenie výkonu práv a slobôd uznaných v tejto charte musí byť ustanovené zákonom a rešpektovať podstatu týchto práv a slobôd. Za predpokladu dodržiavania zásady proporcionality možno tieto práva a slobody obmedziť len vtedy, ak je to nevyhnutné a skutočne to zodpovedá cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo ak je to potrebné na ochranu práv a slobôd iných.“

2.      GDPR

7.        Článok 2 ods. 2 písm. d) GDPR vylučuje z pôsobnosti tohto nariadenia spracúvanie osobných údajov „príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania“.

8.        Podľa článku 23 ods. 1 písm. d) GDPR:

„V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:

…

d)      predchádzanie trestným činom, ich vyšetrovanie, odhaľovanie alebo stíhanie alebo výkon trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzanie.“

3.      Smernica PNR

9.        Nižšie uvediem len stručný prehľad fungovania systému zavedeného smernicou PNR. Podrobnejšie informácie o obsahu ustanovení smernice PNR, ktoré sú relevantné na účely odpovede na prejudiciálne otázky, budú poskytnuté v rámci právnej analýzy.

10.      Podľa článku 1 smernice PNR, ktorá bola prijatá na základe článku 82 ods. 1 písm. d) ZFEÚ a článku 87 ods. 2 písm. a) ZFEÚ, sa touto smernicou zriaďuje na úrovni Európskej únie systém prenosu údajov PNR na letoch mimo EÚ(6), ktorý vykonávajú leteckí dopravcovia, ako aj zhromažďovania, spracúvania a uchovávania týchto údajov zo strany príslušných orgánov členských štátov na účely boja proti terorizmu a závažnej trestnej činnosti.

11.      Podľa článku 3 bodu 5 tejto smernice „záznamy o cestujúcich“ alebo „PNR“ sú „záznamy o cestovných požiadavkách jednotlivých cestujúcich, ktoré obsahujú informácie potrebné na spracúvanie rezervácie a jej kontrolu zo strany rezervujúceho a zúčastneného leteckého dopravcu pre každú cestu, ktorú si osoba rezervovala alebo ktorá bola rezervovaná v jej mene, bez ohľadu na to, či sú obsiahnuté v rezervačných systémoch, systémoch kontroly odletov, používané na vybavenie cestujúcich alebo v rovnocenných systémoch poskytujúcich tie isté funkcie“.

12.      Príloha I k smernici PNR (ďalej len „príloha I“) vymenúva údaje zo záznamov o cestujúcich zhromažďované leteckým dopravcami, ktoré sa prenášajú v zmysle a spôsobom stanoveným v článku 8 tejto smernice.

13.      Príloha II k smernici PNR (ďalej len „príloha II“) obsahuje zoznam trestných činov, ktoré predstavujú „závažnú trestnú činnosť“ v zmysle článku 3 bodu 9 tejto smernice.

14.      Článok 2 smernice PNR stanovuje pre členské štáty možnosť rozhodnúť, že budú uplatňovať túto smernicu aj na „lety vnútri EÚ“(7) alebo na niektoré z nich, ktoré považujú za „nevyhnuté“ v záujme sledovania cieľov uvedenej smernice.

15.      Podľa článku 4 ods. 1 smernice PNR „každý členský štát zriadi alebo určí orgán zodpovedný za prevenciu, odhaľovanie, vyšetrovanie alebo stíhanie teroristických trestných činov a závažnej trestnej činnosti alebo podriadený útvar takéhoto orgánu, ktorý bude konať ako [útvar informácií o cestujúcich] PIU“. V súlade s článkom 4 ods. 2 písm. a) je útvar PIU okrem iného zodpovedný za zhromažďovanie údajov PNR od leteckých dopravcov, ich uchovávanie a spracúvanie týchto údajov a za prenos týchto údajov alebo výsledky ich spracúvania príslušným orgánom uvedeným v článku 7 smernice o PNR. Podľa článku 7 ods. 2 týmito orgánmi sú „orgány s právomocou v oblasti prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti“(8).

16.      Podľa článku 6 ods. 1 druhej vety smernice PNR „ak údaje PNR prenesené leteckými dopravcami obsahujú údaje iné ako údaje zo zoznamu uvedeného v prílohe I, PIU tieto údaje ihneď po ich prijatí natrvalo vymaže“. Odsek 2 tohto článku znie:

„2.      PIU spracúva údaje PNR iba na tieto účely:

a)      vykonanie posúdenia cestujúcich pred ich plánovaným príletom do členského štátu alebo odletom z neho s cieľom identifikovať osoby, ktoré by mali príslušné orgány uvedené v článku 7 a v relevantných prípadoch Europol v súlade s článkom 10 ďalej preskúmať vzhľadom na to, že by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti;

b)      reagovanie na individuálnom základe na riadne odôvodnenú, dostatočne podloženú žiadosť príslušných orgánov o poskytnutie a spracovanie údajov PNR v konkrétnych prípadoch na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov alebo závažnej trestnej činnosti a poskytnutie výsledkov takéhoto spracúvania príslušným orgánom, prípadne Europolu, a

c)      analýza údajov PNR na účely aktualizácie alebo vytvárania nových kritérií, ktoré sa majú používať pri posúdeniach vykonávaných podľa odseku 3 písm. b) s cieľom identifikovať osoby, ktoré sa môžu podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti.“

17.      Článok 12 smernice PNR obsahuje ustanovenia o uchovávaní údajov z PNR.

18.      Článok 5 smernice PNR stanovuje, že každý útvar PIU vymenuje zodpovednú osobu, ktorá bude zodpovedná za monitorovanie spracovania údajov z PNR a uplatňovanie príslušných záruk. Okrem toho podľa článku 15 tejto smernice je každý členský štát povinný poveriť vnútroštátny dozorný orgán uvedený v článku 25 rámcového rozhodnutia 2008/977/SVV(9), ktoré bolo nahradené smernicou Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (ďalej len „smernica o ochrane“)(10), monitorovaním uplatňovania ustanovení prijatých na základe tejto smernice na svojom území. Tento orgán, ktorý vykonáva svoje úlohy so zreteľom na ochranu základných práv pri spracúvaní osobných údajov,(11) je okrem iného zodpovedný jednak za riešenie sťažností podaných akoukoľvek dotknutou osobou, vyšetrovanie danej záležitosti a informovanie dotknutej osoby o vývoji a výsledku šetrenia jej sťažnosti v primeranej lehote, a jednak za overenie zákonnosti spracúvania údajov, vedenie vyšetrovania, inšpekcie a audity v súlade s vnútroštátnym právom, a to buď z vlastného podnetu alebo na základe sťažnosti.(12)

4.      Ďalšie relevantné právne akty Únie

19.      Právny rámec prejednávanej veci dopĺňa smernica API a smernica o ochrane. Z dôvodov zrozumiteľnosti týchto návrhov bude obsah relevantných ustanovení týchto aktov uvedený v rozsahu potrebnom na vyriešenie otázok, ktorých sa týkajú, alebo všeobecne pre potreby právnej analýzy.

B.      Belgické právo

20.      Podľa článku 22 Constitution belge (belgická Ústava) „každý má právo na rešpektovanie svojho súkromného a rodinného života, s výnimkou prípadov a podmienok stanovených zákonom“.

21.      Podľa článku 2 zákona PNR sa týmto zákonom preberá smernica API a smernica PNR, ako aj čiastočne smernica 2010/65/EÚ(13).

22.      Zákon PNR podľa svojho článku 3 ods. 1 „určuje povinnosti dopravcov a cestovných kancelárií týkajúce sa prenosu údajov o cestujúcich, ktorí cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú“. Podľa článku 4 bodov 1 a 2 tohto zákona sa pod pojmom „dopravca“ rozumie „každá fyzická alebo právnická osoba, ktorá v rámci podnikateľskej činnosti poskytuje prepravu osôb leteckou, námornou, železničnou alebo pozemnou dopravou“ a pod pojmom „cestovná kancelária“ každý „organizátor alebo sprostredkovateľ cesty v zmysle zákona zo 16. februára 1994, ktorým sa spravuje zmluva o organizovaní ciest a zmluva o sprostredkovaní ciest“.

23.      Článok 8 zákona PNR stanovuje:

„1.      Údaje o cestujúcich sa spracúvajú na tieto účely:

(1)      vyšetrovanie a stíhanie, vrátane výkonu trestov alebo opatrení obmedzenia osobnej slobody, ktoré sa týkajú trestných činov uvedených v článku 90b ods. 2 bodoch… 7,…8,…11,…14,…17, 18, 19 a článku 90b ods. 3 Code d’instruction criminelle [Trestný poriadok];

(2)      vyšetrovanie a stíhanie, vrátane výkonu trestov alebo opatrení obmedzenia osobnej slobody, ktoré sa týkajú trestných činov uvedených v článku 196, pokiaľ ide o trestné činy pozmeňovania verejných listín, a článkoch 198, 199, 199a, 207, 213, 375 a 505 Code pénal [Trestný zákon];

(3)      predchádzanie závažným narušeniam verejnej bezpečnosti súvisiacim s násilnou radikalizáciou prostredníctvom sledovania javov a skupín v súlade s článkom 44/5 ods. 1 bodmi 2 a 3 a článkom 44/5 ods. 2 loi du 5 août 1992 sur la fonction de police [zákon z 5. augusta 1992 o policajnej službe];

(4)      monitorovanie činností uvedených v článku 7 bodoch 1 a 3/1, článku 11 ods. 1 bodoch 1 až 3 a 5 loi du 30 novembre 1998 organique des services de renseignement et de sécurité [organický zákon z 30. novembra 1998 o spravodajských a bezpečnostných službách][(14)];

(5)      vyšetrovanie a stíhanie trestných činov uvedených v článku 220 ods. 2 loi générale sur les douanes et accises du 18 juillet 1977 [všeobecný zákon o clách a spotrebných daniach z 18. júla 1977] a článku 45 ods. 3 loi du 22 décembre 2009 relative au régime général d’accise [zákon z 22. decembra 2009 o všeobecnom systéme spotrebných daní]…

2.      Za podmienok stanovených v kapitole 11 sa údaje o cestujúcich spracúvajú aj na účely zlepšenia kontrol osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu.“

24.      Článok 9 zákona PNR obsahuje zoznam údajov, ktoré sa prenášajú. Tieto údaje zodpovedajú údajom uvedeným v prílohe I.

25.      Podľa článku 18 zákona PNR „údaje o cestujúcich sa uchovávajú v databáze cestujúcich najviac päť rokov od ich zaznamenania. Po uplynutí tejto doby sa vymažú“.

26.      Článok 19 tohto zákona stanovuje, že „po uplynutí obdobia šiestich mesiacov od zaznamenania údajov o cestujúcich do databázy cestujúcich sú všetky údaje o cestujúcich anonymizované prostredníctvom maskovania jednotlivých informácií“.

27.      Článok 24 zákona PNR stanovuje:

„1.      Údaje o cestujúcich sa spracúvajú na účely vykonania predbežného posúdenia cestujúcich pred ich plánovaným príchodom na vnútroštátne územie, odchodom z tohto územia alebo tranzitom cez neho, s cieľom určiť, ktoré osoby treba podrobiť ďalšiemu preskúmaniu.

2.      V rámci cieľov uvedených v článku 8 ods. 1 bodoch 1, 4 a 5, alebo súvisiacich s hrozbami spomenutými v článku 8 ods. 1 písm. a), b), c), d), f), g) a článku 11 ods. 2 organického zákona z 30. novembra 1998 o spravodajských a bezpečnostných službách je predbežné posúdenie cestujúcich založené na pozitívnej zhode vyplývajúcej z korelácie medzi údajmi o cestujúcich a:

(1)      databázami, ktoré spravujú príslušné orgány alebo ktoré sú im priamo dostupné či prístupné v rámci ich úloh, alebo zoznamami osôb vypracovaných príslušnými orgánmi v rámci ich úloh.

(2)      kritériami hodnotenia, ktoré vopred stanovil PIU a ktoré sú uvedené v článku 25.

3.      V rámci cieľov uvedených v článku 8 ods. 1 bode 3 je predbežné posúdenie cestujúcich založené na pozitívnej zhode vyplývajúcej z korelácie medzi údajmi o cestujúcich a databázami uvedenými v odseku 2 bode 1. …“

28.      Článok 25 zákona PNR preberá obsah článku 6 ods. 4 smernice PNR.

29.      Kapitola 11 zákona z PNR obsahuje ustanovenia, ktoré upravujú spracúvanie údajov o cestujúcich na účely zlepšenia kontroly hraníc a boja proti nelegálnemu prisťahovalectvu. Tieto ustanovenia predstavujú prebratie smernice API do belgického práva.

30.      Článok 44 zákona PNR stanovuje, že útvar PIU určí v rámci Service public fédéral intérieur (Federálne ministerstvo vnútra, Belgicko) zodpovednú osobu pre ochranu údajov. Dohľad nad uplatňovaním ustanovení zákona PNR vykonáva Commission de la protection de la vie privée (Komisia na ochranu súkromia).

31.      Článok 51 zákona z PNR mení organický zákon z 30. novembra 1998 o spravodajských a bezpečnostných službách vložením článku 16/3, ktorý znie:

„1.      Spravodajské a bezpečnostné služby môžu v záujme plnenia svojich úloh rozhodnúť na základe riadneho odôvodnenia o prístupe k údajom o cestujúcich, ktoré sú uvedené v článku 7 zákona [PNR].

2.      Rozhodnutie uvedené v odseku 1 prijíma riaditeľ služby a písomne ho oznamuje l’Unité d’information des passagers [Útvar informácií o cestujúcich] uvedenému v kapitole 7 vyššie uvedeného zákona. Rozhodnutie sa oznámi Comité permanent R [Stály výbor R] spolu s odôvodnením.

Stály výbor R zakazuje spravodajským a bezpečnostným službám využívať údaje zhromaždené za podmienok, ktoré nie sú v súlade so zákonnými podmienkami.

Rozhodnutie sa môže vzťahovať na súbor údajov týkajúcich sa konkrétneho spravodajského vyšetrovania. V tomto prípade sa záznamy o nahliadnutí do údajov o cestujúcich oznamujú raz mesačne Stálemu výboru R.“

C.      Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore

32.      Návrhom zaslaným Cour constitutionnelle (Ústavný súd) 24. júla 2017 podala LDH žalobu, ktorou sa domáha úplného alebo čiastočného zrušenia zákona PNR. Na podporu svojej žaloby uviedla dva žalobné dôvody.

33.      V rámci svojho prvého žalobného dôvodu, ktorý bol predložený ako hlavný dôvod a ktorý je založený na porušení článku 22 belgickej Ústavy v spojení s článkom 23 GDPR, článkami 7, 8 a článkom 52 ods. 1 Charty, ako aj s článkom 8 Európskeho dohovoru o ochrane ľudských práv a základných slobôd, podpísaného 4. novembra 1950 v Ríme (ďalej len „EDĽP“), LDH zastáva názor, že napadnutý zákon nerešpektuje zásadu proporcionality, pokiaľ ide o jeho pôsobnosť a uvádzané kategórie údajov, spracúvanie údajov, ktoré zavádza, jeho ciele a dobu uchovávania údajov. Konkrétne tvrdí, že vymedzenie údajov z PNR je príliš široké a môže viesť k odhaleniu citlivých údajov a že definícia pojmu „cestujúci“ obsiahnutá v tomto zákone umožňuje systematické necielené spracúvanie údajov o všetkých príslušných cestujúcich. Okrem toho sa LDH domnieva, že zákon PNR dostatočne jasne nevymedzuje povahu a pravidlá metódy pre‑screening vykonávanej v databázach údajov o cestujúcich, ani kritériá slúžiace ako „ukazovatele hrozby“. Napokon zastáva názor, že zákon PNR prekračuje hranice toho, čo je prísne nevyhnutné, keďže sleduje účely spracúvania údajov z PNR, ktoré sú širšie než tie, ktoré stanovuje smernica PNR, a že päťročná doba uchovávania údajov z PNR je neprimeraná. Svojím druhým žalobným dôvodom uvádzaným subsidiárne a založeným na porušení článku 22 belgickej Ústavy v spojení s článkom 3 ods. 2 ZEÚ a článkom 45 Charty LDH napáda ustanovenia kapitoly 11 zákona PNR, ktorými sa preberá smernica API.

34.      Conseil des ministres du Royaume de Belgique (Rada ministrov Belgického kráľovstva) ako vedľajší účastník konania na Cour constitutionnelle (Ústavný súd) namieta proti žalobe LDH, pričom spochybňuje tak prípustnosť, ako aj opodstatnenosť oboch žalobných dôvodov uvádzaných na jej podporu.

35.      Cour constitutionnelle (Ústavný súd) uvádza nasledujúce úvahy.

36.      V súvislosti s prvým žalobným dôvodom sa pýta, či je vymedzenie údajov z PNR uvedené v prílohe I dostatočne jasné a presné. Opis niektorých z týchto údajov je ilustratívny a nie je vyčerpávajúci. Ďalej tento súd poukazuje na to, že definícia pojmu „cestujúci“ uvedená v článku 3 bode 4 smernice PNR má za následok zhromažďovanie, prenos, spracúvanie a uchovávanie údajov z PNR každej osoby, ktorá sa prepravuje alebo má byť prepravená a je zapísaná do zoznamu cestujúcich, bez ohľadu na to, či existujú závažné dôvody domnievať sa, že dotknutá osoba spáchala alebo sa chystá spáchať trestný čin, alebo bola odsúdená za spáchanie trestného činu. V súvislosti so spracúvaním údajov z PNR poznamenáva, že tieto údaje systematicky podliehajú predbežnému posúdeniu, ktoré zahŕňa vzájomné porovnávanie údajov z PNR všetkých cestujúcich s databázami alebo vopred stanovenými kritériami s cieľom nájsť zhody. Cour constitutionnelle (Ústavný súd) však spresňuje, že hoci kritériá musia byť konkrétne, spoľahlivé a nediskriminačné, zrejme je technicky nemožné presnejšie vymedziť vopred stanovené kritériá, ktoré budú slúžiť na určenie rizikových profilov. Pokiaľ ide o dobu uchovávania údajov z PNR stanovenú v článku 12 ods. 1 smernice PNR, podľa ktorého sa uvedené údaje môžu uchovávať po dobu piatich rokov, vnútroštátny súd zastáva názor, že údaje z PNR sa uchovávajú bez ohľadu na to, či sa v rámci predbežného posúdenia ukázalo, že dotknutí cestujúci predstavujú riziko pre verejnú bezpečnosť alebo takéto riziko nepredstavujú. Za týchto podmienok vnútroštátny súd predkladá otázku, či vzhľadom na judikatúru vyplývajúcu najmä z rozsudku z 21. decembra 2016, Tele2 Sverige a Watson a i.(15), a stanovisko 1/15 (Dohoda PNR medzi Kanadou a EÚ), z 26. júla 2017(16), možno v prípade systému zhromažďovania, prenosu, spracúvania a uchovávania údajov z PNR stanoveného v smernici PNR usúdiť, že nejde nad rámec toho, čo je striktne nevyhnutné. V tejto súvislosti sa tento súd tiež pýta, či smernica PNR bráni takej vnútroštátnej právnej úprave, aká vyplýva z článku 8 ods. 1 bodu 4 zákona PNR, ktorý povoľuje spracúvanie údajov z PNR na iný účel, než sú účely stanovené touto smernicou. Napokon sa pýta, či možno útvar PIU považovať za „iný vnútroštátny orgán“, ktorý môže podľa článku 12 ods. 3 písm. b) bodu ii) smernice PNR povoliť sprístupnenie úplných údajov z PNR po uplynutí šesťmesačnej lehoty. Pokiaľ ide o druhý žalobný dôvod, vnútroštátny súd uvádza, že smeruje proti článku 3 ods. 1, článku 8 ods. 2 a článkom 28 až 31 zákona PNR, ktoré upravujú zhromažďovanie a spracúvanie údajov o cestujúcich na účely boja proti nelegálnemu prisťahovalectvu a zlepšenia hraničných kontrol. Tento súd pripomína, že podľa prvého z týchto ustanovení uvedený zákon zahŕňa lety na vnútroštátne územie, z tohto územia a cez toto územie, a spresňuje, že vnútroštátny zákonodarca zahrnul lety „vnútri EÚ“ do pôsobnosti toho istého zákona s cieľom získať „ucelenejší obraz o pohybe cestujúcich, ktorí predstavujú potenciálnu hrozbu pre bezpečnosť [na úrovni Únie] a pre národnú bezpečnosť“, pričom sa opieral o možnosť stanovenú v článku 2 smernice PNR v spojení s jej odôvodnením 10.

37.      Za týchto okolností Cour constitutionnelle (Ústavný súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1.      Má sa článok 23 [GDPR] v spojení s článkom 2 ods. 2 písm. d) tohto nariadenia, vykladať v tom zmysle, že sa vzťahuje na vnútroštátnu právnu úpravu, akou je zákon [PNR], ktorým sa preberá smernica [PNR], ako aj smernica [API] a smernica 2010/65?

2.      Je príloha I… zlučiteľná s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže údaje, ktoré sú v nej vymenované, sú veľmi obsiahle – najmä údaje uvedené v bode 18 [tejto prílohy I], ktoré sú obsiahlejšie než údaje uvedené v článku 3 ods. 2 smernice [API] – a z tohto dôvodu by celkovo mohli prezrádzať citlivé údaje, a tak prekračovať rámec toho, čo je ‚striktne nevyhnutné‘?

3.      Sú body 12 a 18 prílohy I… zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže vzhľadom na výrazy ‚notamment (vrátane)‘ a ‚y compris (vrátane)‘ sú údaje, na ktoré sa tieto výrazy vzťahujú, uvedené ako príklad a nie sú úplné, a teda požiadavka presnosti a jasnosti pravidiel zásahu do práva na rešpektovanie súkromného života a práva na ochranu osobných údajov, nie je pravdepodobne dodržaná?

4.      Sú článok 3 bod 4 smernice [PNR] a príloha I… zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže systém všeobecného zhromažďovania, prenosu a spracúvania údajov o cestujúcich, ktorý tieto ustanovenia zavádzajú, sa vzťahuje na každú osobu, ktorá využíva daný dopravný prostriedok, nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že táto osoba môže predstavovať riziko pre verejnú bezpečnosť?

5.      Má sa článok 6 smernice [PNR] v spojení s článkami 7, 8 a článkom 52 ods. 1 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý ako účel spracúvania údajov z PNR pripúšťa monitorovanie činností, na ktoré sa zameriavajú spravodajské a bezpečnostné služby, čím sa tento účel začleňuje do predchádzania, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti?

6.      Je článok 6 smernice [PNR] zlučiteľný s článkami 7, 8 a článkom 52 ods. 1 [Charty], keďže predbežné posúdenie, ktoré upravuje, vykonávané koreláciou s databázami a vopred určenými kritériami, sa systematicky a všeobecne vzťahuje na údaje o cestujúcich nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že títo cestujúci môžu predstavovať riziko pre verejnú bezpečnosť?

7.      Môže sa pojem ‚iný príslušný vnútroštátny orgán‘ uvedený v článku 12 ods. 3 smernice [PNR] vykladať v tom zmysle, že sa vzťahuje na útvar PIU zriadený zákonom [PNR], ktorý by teda mohol po uplynutí obdobia šiestich mesiacov povoliť prístup k údajom z PNR v súvislosti s ad hoc zisťovaním?

8.      Má sa článok 12 smernice [PNR] v spojení s článkami 7, 8 a článkom 52 ods. 1 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý stanovuje všeobecnú dobu uchovávania údajov v dĺžke piatich rokov bez toho, aby v rámci predbežného posúdenia rozlišoval medzi prípadom, keď sa ukáže, že dotknutí cestujúci predstavujú riziko pre verejnú bezpečnosť a prípadom, keď sa ukáže, že takéto riziko nepredstavujú?

9.      a)      Je smernica [API] zlučiteľná s článkom 3 ods. 2 [ZEÚ] a článkom 45 [Charty], keďže sa povinnosti, ktoré stanovuje, vzťahujú na lety v rámci [Únie]?

b)      Má sa smernica [API] v spojení s článkom 3 ods. 2 [ZEÚ] a článkom 45 [Charty] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, akou je napadnutý zákon, ktorý na účely boja proti nelegálnemu prisťahovalectvu a zlepšenia hraničných kontrol povoľuje systém zhromažďovania a spracúvania údajov o cestujúcich, ‚ktorí cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú‘, čo by mohlo nepriamo viesť k obnoveniu kontrol na vnútorných hraniciach?

10.      Ak by Cour constitutionnelle (Ústavný súd) na základe odpovedí na predchádzajúce prejudiciálne otázky dospel k záveru, že napadnutý zákon, ktorým sa preberá najmä smernica [PNR], porušuje jednu alebo viaceré povinnosti vyplývajúce z ustanovení uvedených v týchto otázkach, mohol by prechodne zachovať účinky zákona [PNR], aby tak zabránil vzniku právnej neistoty a umožnil ešte použitie v minulosti zhromaždených a uchovávaných údajov na účely stanovené [týmto] zákonom?“

38.      Na základe článku 23 Štatútu Súdneho dvora Európskej únie písomné pripomienky predložili LDH, belgická, česká, dánska, nemecká, estónska, írska, španielska, francúzska, cyperská, lotyšská, holandská, rakúska, poľská a fínska vláda, ako aj Európsky parlament, Rada Európskej únie a Európska komisia. V súlade s článkom 24 Štatútu Súdneho dvora boli Komisia, Európsky dozorný úradník pre ochranu údajov (EDPS) a Agentúra Európskej únie pre základné práva (FRA) vyzvaní, aby písomne odpovedali na otázky položené Súdnym dvorom. Pojednávanie sa konalo 13. júla 2021.

III. Analýza

A.      O prvej prejudiciálnej otázke

39.      Svojou prvou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, či sa má článok 2 ods. 2 písm. d) GDPR vykladať v tom zmysle, že toto nariadenie, a najmä jeho článok 23 ods. 1, podľa ktorého v práve Únie alebo práve členských štátov možno prostredníctvom legislatívneho opatrenia obmedziť z taxatívne vymenovaných dôvodov rozsah povinností a práv stanovených v uvedenom nariadení, sa vzťahuje na spracúvanie údajov vykonávané na základe vnútroštátnej právnej úpravy, akou je zákon PNR, ktorým sa do vnútroštátneho práva preberá smernica PNR, ako aj smernica API a smernica 2010/65.

40.      Článok 2 ods. 2 GDPR stanovuje výnimky z pôsobnosti tohto nariadenia, ktoré sú veľmi široko vymedzené(17) v jeho článku 2 ods. 1(18) Keďže ide o výnimky z uplatňovania právnej úpravy upravujúcej spracovanie osobných údajov, ktoré môžu zasahovať do základných slobôd, treba tieto výnimky vykladať reštriktívne.(19)

41.      Článok 2 ods. 2 písm. d) GDPR obsahuje najmä ustanovenie o vylúčení, podľa ktorého sa toto nariadenie nevzťahuje na spracúvanie osobných údajov vykonávané „príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania“. Toto ustanovenie o vylúčení je založené na dvojitom subjektívnom a objektívnom kritériu. Z pôsobnosti uvedeného nariadenia je tak vylúčené spracovanie údajov vykonávané po prvé „príslušnými orgánmi“ a po druhé na účely vymenované v tomto ustanovení. Je preto potrebné posúdiť rôzne typy spracúvania údajov, na ktoré sa vzťahuje zákon PNR, z hľadiska tohto dvojitého kritéria.

42.      Pokiaľ ide v prvom rade o spracúvania údajov vykonávané dopravcami (leteckými, železničnými, pozemnými a námornými) pre útvar PIU alebo cestovnými kanceláriami na účely poskytovania služieb alebo obchodné účely, pokiaľ sa na ne vzťahuje uvedený zákon, naďalej sa riadia GDPR, keďže nie je splnená ani subjektívna, ani objektívna časť kritéria vylúčenia obsiahnutého v článku 2 ods. 2 písm. d) tohto nariadenia.

43.      Pokiaľ ide v druhom rade o prenos údajov z PNR dopravcami alebo cestovnými kanceláriami útvaru PIU, ktorý sám osebe predstavuje „spracúvanie“ v zmysle článku 4 bodu 2 GDPR,(20) jeho zahrnutie do pôsobnosti tohto nariadenia je menej zjavné.

44.      Na jednej strane totiž tento prenos nevykonáva „príslušný orgán“ v zmysle článku 3 bodu 7 smernice o ochrane, na ktorý treba analogicky odkázať, keďže GDPR neobsahuje definíciu tohto pojmu.(21) Hospodársky subjekt, akým je dopravná spoločnosť alebo cestovná kancelária, ktorý má len zákonnú povinnosť prenosu osobných údajov a ktorému nebola zverená žiadna výsada verejnej moci,(22) nemôže byť považovaný za orgán alebo subjekt v zmysle uvedeného článku 3 bodu 7 písm. b).(23)

45.      Na druhej strane sa prenos údajov z PNR dopravnými spoločnosťami a cestovnými kanceláriami uskutočňuje na splnenie povinnosti stanovenej zákonom s cieľom umožniť dosiahnutie cieľov uvedených v článku 2 ods. 2 písm. d) GDPR.

46.      Zo znenia tohto ustanovenia pritom podľa môjho názoru jasne vyplýva, že do pôsobnosti GDPR nespadajú iba spracúvania, ktoré spĺňajú subjektívnu a zároveň objektívnu časť kritéria vylúčenia uvedeného v tomto ustanovení. Na prenos údajov z PNR útvaru PIU, ktorý dopravným spoločnostiam a cestovným kanceláriám ukladá zákon PNR, sa teda toto nariadenie vzťahuje.

47.      Pokiaľ ide o ustanovenia zákona PNR, ktorými sa preberá smernica PNR, je tento záver potvrdený aj článkom 21 ods. 2 tejto smernice, ktorý stanovuje, že touto smernicou „nie je dotknutá uplatniteľnosť smernice 95/46/ES(24) na spracúvanie osobných údajov leteckým dopravcami“. Výklad tohto ustanovenia navrhovaný francúzskou vládou, podľa ktorého sa ním len stanovuje, že dopravcovia naďalej podliehajú povinnostiam stanoveným v GDPR v súvislosti so spracúvaniami údajov, ktoré smernica PNR neupravuje, treba podľa môjho názoru odmietnuť. Vzhľadom na znenie tohto ustanovenia je totiž rozsah tejto „klauzuly o nezasahovaní“ široký a je vymedzený výlučne odkazom na subjekt, ktorý vykonáva spracúvanie, pričom sa nespomína ani účel spracovania, ani rámec, v ktorom k nemu dochádza, pokiaľ sa uskutočňuje pri výkone obchodnej činnosti leteckého dopravcu alebo pri plnení zákonnej povinnosti. Okrem toho poznamenávam, že ustanovenie rovnakého znenia je obsiahnuté v článku 13 ods. 3 smernice PNR, ktorý osobitne odkazuje na povinnosti leteckých dopravcov podľa GDPR, a to „prijať primerané technické a organizačné opatrenia na ochranu bezpečnosti a dôvernosti osobných údajov“. Toto ustanovenie je pritom jedným z ustanovení upravujúcich ochranu osobných údajov spracúvaných na základe smernice PNR a nadväzuje na článok 13 ods. 1 tejto smernice, ktorý vo všeobecnosti podriaďuje každé spracúvanie údajov vykonané podľa tejto smernice ustanoveniam rámcového rozhodnutia 2008/977, ktoré sú v ňom uvedené. Na rozdiel od toho, čo tvrdí francúzska vláda, takéto normatívne usporiadanie umožňuje na jednej strane vykladať uvedený článok 13 ods. 3 ako klauzulu, ktorou sa do pôsobnosti GDPR dostáva samotné spracúvanie údajov stanovené smernicou PNR, ktoré nevykonávajú „príslušné orgány“ v zmysle smernice o ochrane, a na druhej strane chápať odkaz na dodržiavanie povinností uložených uvedeným nariadením v oblasti bezpečnosti a dôvernosti údajov ako pripomenutie záruk, ktoré musia sprevádzať prenos údajov z PNR útvarom PIU zo strany dopravcov.

48.      Záver uvedený v bode 46 vyššie nie je spochybnený odôvodnením 19 GDPR a odôvodnením 11 smernice o ochrane, na ktoré sa okrem iného odvolávajú francúzska, írska a nemecká vláda na podporu povahy smernice PNR ako lex specialis. V tejto súvislosti je nepochybne pravda, že táto smernica zavádza pre spracúvania osobných údajov, na ktoré sa vzťahuje, autonómny rámec ochrany týchto údajov vo vzťahu k GDPR. Tento osobitný rámec sa však vzťahuje len na spracúvanie údajov z PNR vykonávané „príslušnými orgánmi“ v zmysle článku 3 bodu 7 smernice o ochrane, medzi ktoré patria najmä útvary PIU, zatiaľ čo prenos údajov z PNR útvarom PIU naďalej podlieha všeobecnému rámcu stanovenému v GDPR, okrem iného na základe „klauzuly o nezasahovaní“ stanovenej v článku 21 ods. 2 smernice PNR.

49.      Belgická, francúzska, írska a cyperská vláda na podporu svojho tvrdenia, že GDPR sa nevzťahuje na prenos údajov z PNR útvarom PIU zo strany dopravcov a cestovných kancelárií, odkazujú na rozsudok z 30. mája 2006, Parlament/Rada a Komisia(25), v ktorom Súdny dvor rozhodol, že prenos údajov z PNR orgánom Spojených štátov amerických zo strany leteckých dopravcov Spoločenstva v rámci dohody uzavretej medzi Spojenými štátmi americkými a Európskym spoločenstvom predstavuje spracúvanie osobných údajov v zmysle článku 3 ods. 2 prvej zarážky smernice 95/46(26), a preto nepatrí do pôsobnosti tejto smernice. Na to, aby Súdny dvor dospel k tomuto záveru, zohľadnil účel prenosu, ako aj skutočnosť, že tento prenos „patrí do rámca vytvoreného orgánmi verejnej moci“, hoci údaje zhromažďovali a prenášali súkromné subjekty.(27)

50.      V tejto súvislosti stačí poznamenať, že v rozsudku zo 6. októbra 2020, La Quadrature du Net a i.(28), Súdny dvor v zásade rozhodol, že rozsudok Parlament/Rada nemožno uplatniť v kontexte GDPR.(29)

51.      Okrem toho Súdny dvor v bode 102 rozsudku La Quadrature du Net(30), v ktorom analogicky uplatnil odôvodnenie uvedené v rozsudku Tele2 Sverige a rozsudku z 2. októbra 2018, Ministerio Fiscal(31), uviedol, že „hoci [GDPR] vo svojom článku 2 ods. 2 písm. d) spresňuje, že sa nevzťahuje na operácie spracúvania ‚vykonávané príslušnými orgánmi‘ najmä na účely predchádzania trestným činom a ich odhaľovania vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania, z článku 23 ods. 1 písm. d) a h) toho istého nariadenia vyplýva, že spracúvanie osobných údajov vykonávané jednotlivcami na rovnaké účely patrí do pôsobnosti tohto nariadenia“(32).

52.      Na základe uvedeného som presvedčený, že záver, podľa ktorého prenos údajov z PNR útvarom PIU zo strany dopravných spoločností a cestovných kancelárií patrí do pôsobnosti GDPR, vyplýva jasne už zo znenia článku 2 ods. 2 písm. d) GDPR, ktorý odkazuje len na spracúvania vykonávané „príslušnými orgánmi“, pričom nie je potrebné odkazovať na obmedzujúcu klauzulu obsiahnutú v článku 23 ods. 1 uvedeného nariadenia.(33) Tvrdenie uvedené v bode 102 rozsudku La Quadrature du Net je však jasným stanoviskom Súdneho dvora v prospech takéhoto záveru.

53.      Keďže prenos údajov z PNR dopravnými spoločnosťami a cestovnými kanceláriami patrí do pôsobnosti GDPR, vnútroštátna právna úprava, akou je zákon PNR, ktorá ukladá týmto spoločnostiam a kanceláriám povinnosť uskutočniť takýto prenos, predstavuje „legislatívne opatrenie“ podľa článku 23 bodu 1 písm. d) GDPR, a preto musí spĺňať podmienky stanovené v tomto ustanovení.(34)

54.      Pokiaľ ide v treťom rade o spracúvania údajov z PNR, ktoré vykonávajú útvary UIP a príslušné vnútroštátne orgány, uplatniteľnosť GDPR závisí, ako vyplýva z vyššie uvedených úvah, od cieľov sledovaných týmito spracúvaniami.

55.      Po prvé spracúvania údajov z PNR vykonávané útvarmi PIU a príslušnými vnútroštátnymi orgánmi na účely vymenované v článku 8 ods. 1 bodoch 1 až 3 a 5 zákona PNR(35) sú teda vylúčené z pôsobnosti GDPR, keďže, ako sa zdá, uvedené účely patria medzi tie, na ktoré sa vzťahuje klauzula o vylúčení uvedená v článku 2 ods. 2 písm. d) GDPR. Na ochranu údajov osôb dotknutých týmito spracúvaniami sa vzťahuje vnútroštátne právo, s výhradou uplatnenia smernice o ochrane(36) a v rámci jej pôsobnosti aj smernice PNR.

56.      Po druhé to isté platí pre spracúvania údajov z PNR vykonávané útvarmi PIU a bezpečnostnými a informačnými službami v rámci monitorovania činností uvedených v ustanoveniach organického zákona o spravodajských a bezpečnostných službách, ktoré sú vymenované v článku 8 ods. 1 bode 4 zákona PNR, pokiaľ spĺňajú účely uvedené v článku 2 ods. 2 písm. d) GDPR, čo prináleží posúdiť vnútroštátnemu súdu.

57.      Belgická vláda tvrdí, že na spracúvania vykonávané na základe článku 8 ods. 1 bodu 4 zákona PNR sa v každom prípade vzťahuje klauzula o vylúčení stanovená v článku 2 ods. 2 písm. a) GDPR, ako aj klauzula o vylúčení stanovená v článku 2 ods. 3 písm. a) smernice o ochrane, keďže činnosti bezpečnostných a spravodajských služieb nepatria do pôsobnosti práva Únie.

58.      V tejto súvislosti hoci treba zdôrazniť, že Súdnemu dvoru nebola položená otázka týkajúca sa výkladu týchto ustanovení, chcem v prvom rade poukázať na to, že Súdny dvor už potvrdil, že na vnútroštátnu právnu úpravu, ktorá ukladá povinnosti spracúvania súkromným subjektom, sa vzťahujú ustanovenia práva Únie v oblasti ochrany osobných údajov, aj keď sa týka ochrany národnej bezpečnosti.(37) Z toho vyplýva, že na prenos údajov z PNR, ktorý od dopravcov a cestovných kancelárií vyžaduje zákon PNR, sa v zásade vzťahuje GDPR, aj keď sa uskutočňuje na účely článku 8 ods. 1 bodu 4 tohto zákona.

59.      Ďalej poznamenávam, že hoci odôvodnenie 16 GDPR uvádza, že toto nariadenie sa nevzťahuje na „činnosti týkajúce sa národnej bezpečnosti“ a odôvodnenie 14 smernice o ochrane spresňuje, že „činnosti týkajúce sa národnej bezpečnosti, činnosti orgánov alebo útvarov zaoberajúcich sa otázkami národnej bezpečnosti…, by sa nemali považovať za činnosti, ktoré patria do rozsahu pôsobnosti tejto smernice“, kritériá, na základe ktorých spracúvanie osobných údajov vykonávané orgánom verejnej moci, verejným útvarom alebo úradom členského štátu spadá do pôsobnosti jedného alebo druhého aktu práva Únie upravujúceho ochranu dotknutých osôb v súvislosti s takýmto spracúvaním alebo sa nachádza mimo pôsobnosti tohto práva, zodpovedajú logike spojenej tak s úlohami pridelenými takémuto orgánu, útvaru alebo úradu, ako aj s účelmi uvedeného spracúvania. Súdny dvor tak rozhodol, že článok 2 ods. 2 písm. a) GDPR v spojení s odôvodnením 16 tohto nariadenia „treba považovať za ustanovenie, ktorého jediným cieľom je vylúčiť z pôsobnosti uvedeného nariadenia spracúvanie osobných údajov vykonávané štátnymi orgánmi v rámci činnosti, ktorej cieľom je zabezpečiť národnú bezpečnosť alebo činnosti, ktorá môže byť zaradená do tej istej kategórie, takže samotná skutočnosť, že určitá činnosť je vlastná štátu alebo orgánu verejnej moci, nestačí na to, aby táto výnimka bola automaticky uplatniteľná na takúto činnosť“(38). Súdny dvor tiež spresnil, že „činnosti, ktorých cieľom je chrániť národnú bezpečnosť, uvedené v článku 2 ods. 2 písm. a) GDPR, zahŕňajú najmä činnosti, ktorých cieľom je chrániť základné funkcie štátu a základné záujmy spoločnosti“(39). Z toho vyplýva, že v prípade, ak by členský štát poveril svoje bezpečnostné a spravodajské služby úlohami v oblastiach vymenovaných v článku 3 bode 7 písm. a) smernice o ochrane, spracúvania údajov vykonávané týmito službami na splnenie týchto úloh by patrili do pôsobnosti tejto smernice a prípadne aj smernice PNR. Všeobecnejšie chcem poukázať na to, že Súdny dvor v rámci výkladu článku 4 ods. 2 ZEÚ, o ktorý sa opiera aj belgická vláda, opakovane rozhodol, že samotná skutočnosť, že určité vnútroštátne opatrenie je prijímané v záujme národnej bezpečnosti, nemôže viesť k tomu, že sa neuplatní právo Únie a členské štáty budú zbavené povinnosti nevyhnutne dodržiavať toto právo,(40) čím sa postavil zdržanlivo k automatickému a celkovému vylúčeniu činností členských štátov spojených s ochranou národnej bezpečnosti z pôsobnosti práva Únie.

60.      Po tretie v súlade so stanoviskom všetkých zúčastnených strán, ktoré predložili pripomienky, s výnimkou francúzskej vlády, treba konštatovať, že na spracúvania údajov z PNR vykonávané príslušnými belgickými orgánmi na účely uvedené v článku 8 ods. 2 zákona PNR, teda na „zlepšenie kontrol osôb na vonkajších hraniciach a boj proti nelegálnemu prisťahovalectvu“(41), sa nevzťahuje klauzula o vylúčení obsiahnutá v článku 2 ods. 2 písm. d) GDPR, ani iná klauzula o vylúčení stanovená v tomto článku, a preto spadajú do pôsobnosti tohto nariadenia. Na rozdiel od toho, čo tvrdí francúzska vláda, uvedené spracúvania sa nemôžu riadiť smernicou PNR, ktorej článok 1 ods. 2 stanovuje, že „údaje PNR zhromaždené v súlade s touto smernicou možno spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti“, a v zásade ani smernicou o ochrane, ktorá sa podľa jej článku 1 ods. 1 uplatňuje len na spracúvania osobných údajov príslušnými orgánmi „na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu“. Ako vyplýva z návrhu na začatie prejudiciálneho konania, článok 8 ods. 2 zákona PNR a kapitola 11 tohto zákona, ktoré obsahujú ustanovenia upravujúce spracúvanie údajov z PNR na účely zlepšenia kontroly hraníc a boja proti nelegálnemu prisťahovalectvu, a ktoré na tento účel umožňujú prenos týchto údajov útvarmi UIP najmä policajným orgánom zodpovedným za hraničnú kontrolu, sú určené na prebratie smernice API a smernice 2010/65 do belgického práva. Tieto dve smernice pritom vyžadujú, aby príslušné orgány v súvislosti so spracúvaniami, ktoré upravujú, dodržiavali ustanovenia smernice 95/46.(42) Na rozdiel od toho, čo tvrdí francúzska vláda, odkaz na ochranné pravidlá tejto smernice treba chápať tak, že zahŕňa akékoľvek spracúvanie osobných údajov vykonávané na základe smernice API a smernice 2010/65. Skutočnosť, že smernica API predchádzala nadobudnutiu účinnosti rámcového rozhodnutia 2008/977, je v tejto súvislosti irelevantná, keďže toto rámcové rozhodnutie, ako aj smernica o ochrane, ktorá ho nahradila, sa týkajú iba spracúvaní osobných údajov uvedených v článku 3 ods. 1 smernice API, ktoré vykonávajú príslušné orgány na účely presadzovania práva.(43)

61.      Na základe všetkých predchádzajúcich úvah navrhujem, aby Súdny dvor odpovedal na prvú prejudiciálnu otázku tak, že článok 23 GDPR v spojení s článkom 2 ods. 2 písm. d) tohto nariadenia sa má vykladať v tom zmysle, že:

–        sa vzťahuje na vnútroštátne právne predpisy, ktorými sa preberá smernica PNR, v rozsahu, v akom tieto právne predpisy upravujú spracúvania údajov z PNR vykonávané dopravcami a inými hospodárskymi subjektmi, vrátane prenosu údajov z PNR útvarom PIU, ako je stanovené v článku 8 uvedenej smernice,

–        sa nevzťahuje na vnútroštátne právne predpisy, ktorými sa preberá smernica PNR, v rozsahu, v akom upravujú spracúvania údajov vykonávané príslušnými vnútroštátnymi orgánmi na účely uvedené v článku 1 ods. 2 tejto smernice, vrátane útvarov PIU a prípadne bezpečnostných a spravodajských služieb príslušného členského štátu,

–        sa vzťahuje na vnútroštátne právne predpisy, ktorými sa preberajú smernica API a smernica 2010/65 na účely zlepšenia kontroly osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu.

B.      O druhej, tretej, štvrtej, šiestej a ôsmej prejudiciálnej otázke

62.      Svojou druhou, treťou, štvrtou a šiestou prejudiciálnou otázkou sa Cour constitutionnelle (Ústavný súd) pýta Súdneho dvora na platnosť smernice PNR z hľadiska článkov 7, 8 a článku 52 ods. 1 Charty. Cieľom ôsmej prejudiciálnej otázky, hoci je formulovaná ako otázka týkajúca sa výkladu, je tiež v podstate dosiahnuť, aby sa Súdny dvor vyjadril k platnosti tejto smernice.

63.      Tieto otázky sa týkajú rôznych prvkov systému spracúvania údajov z PNR zavedeného smernicou PNR a požadujú vo vzťahu ku každému z týchto prvkov posúdenie dodržania podmienok, ktorým podlieha zákonnosť obmedzení výkonu základných práv uvedených v článkoch 7 a 8 Charty. Druhá a tretia prejudiciálna otázka sa tak týkajú zoznamu údajov z PNR uvedeného v prílohe I, štvrtá sa vzťahuje na definíciu pojmu „cestujúci“ uvedenú v článku 3 bode 4 smernice PNR, šiesta sa týka využívania údajov z PNR na účely predbežného posúdenia podľa článku 6 tejto smernice a ôsma sa vzťahuje na lehotu uchovávania údajov z PNR stanovenú v článku 12 ods. 1 uvedenej smernice.

1.      O základných právach uvedených v článkoch 7 a 8 Charty

64.      Článok 7 Charty zaručuje každému právo na rešpektovanie jeho súkromného a rodinného života, obydlia a komunikácie. Pokiaľ ide o článok 8 ods. 1 Charty, ten každému výslovne priznáva právo na ochranu osobných údajov, ktoré sa ho týkajú. Podľa ustálenej judikatúry sú tieto práva, ktoré sa vzťahujú na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby, úzko prepojené, keďže prístup k osobným údajom fyzickej osoby s cieľom ich uchovávania alebo ich použitia má vplyv na právo tejto osoby na rešpektovanie súkromného života.(44)

65.      Práva zakotvené v článkoch 7 a 8 Charty však nie sú absolútnymi výsadami, ale musia sa vnímať vo vzťahu k ich úlohe v spoločnosti.(45) Článok 8 ods. 2 Charty tak povoľuje spracúvanie osobných údajov, pokiaľ sú splnené určité podmienky. V tomto ustanovení sa uvádza, že osobné údaje „musia byť riadne spracované na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom“.

66.      Akékoľvek obmedzenie práva na ochranu osobných údajov, ako aj práva na súkromie musí byť okrem toho v súlade s požiadavkami článku 52 ods. 1 Charty. Takéto obmedzenie teda musí byť stanovené zákonom, musí rešpektovať podstatu uvedených práv a za predpokladu dodržiavania zásady proporcionality musí byť nevyhnutné a skutočne zodpovedať cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo potrebe chrániť práva a slobody iných.

67.      Posúdenie opatrenia obmedzujúceho uvedené práva musí tiež zohľadniť význam práv zakotvených v článkoch 3, 4, 6 a 7 Charty a dôležitosť cieľov ochrany národnej bezpečnosti a boja proti závažnej trestnej činnosti, ktoré prispievajú k ochrane práv a slobôd iných.(46) V tejto súvislosti článok 6 Charty zakotvuje právo každej osoby nielen na slobodu, ale aj na bezpečnosť.(47)

68.      Okrem toho cieľom článku 52 ods. 3 Charty je zabezpečiť potrebnú súdržnosť medzi právami uvedenými v Charte a zodpovedajúcimi právami zaručenými EDĽP, ktoré treba zohľadniť ako úroveň minimálnej ochrany.(48) Právo na rešpektovanie súkromného a rodinného života zakotvené v článku 7 Charty zodpovedá právu zaručenému v článku 8 EDĽP a v dôsledku toho mu musí byť priznaný rovnaký zmysel a rozsah.(49) Z judikatúry Európskeho súdu pre ľudské práva (ďalej len „ESĽP“) vyplýva, že zásah do práv zaručených v tomto článku možno vzhľadom na jeho odsek 2 odôvodniť iba vtedy, ak je stanovený zákonom, sleduje jeden alebo viac legitímnych cieľov vymenovaných v tomto odseku a je v demokratickej spoločnosti nevyhnutný na dosiahnutie tohto cieľa alebo cieľov.(50) Opatrenie musí byť tiež zlučiteľné s právnym štátom, ktorý sa výslovne spomína v preambule EDĽP a súvisí s predmetom a cieľom článku 8 tohto dohovoru.(51)

69.      Práve z hľadiska týchto zásad treba preskúmať otázky týkajúce sa posúdenia platnosti, ktoré položil Cour constitutionnelle (Ústavný súd).

2.      O zásahu do základných práv uvedených v článkoch 7 a 8 Charty

70.      Súdny dvor už rozhodol, že ustanovenia, ktoré ukladajú povinnosť alebo zakladajú možnosť sprístupniť osobné údaje fyzických osôb tretím stranám, ako napríklad orgánu verejnej moci, sa musia v prípade neexistencie súhlasu týchto fyzických osôb a bez ohľadu na neskoršie použitie predmetných údajov považovať za zásah do ich súkromného života, a teda za obmedzenie základného práva zaručeného v článku 7 Charty bez toho, aby tým bolo dotknuté ich prípadné odôvodnenie.(52) Je to tak aj v prípade neexistencie okolností umožňujúcich posúdiť tento zásah ako „závažný“ a bez toho, aby bolo dôležité, či dotknuté informácie týkajúce sa súkromného života majú alebo nemajú citlivú povahu alebo či pre dotknuté osoby z dôvodu tohto zásahu vyplynuli alebo nevyplynuli prípadné nepriaznivé následky.(53) Prístup orgánov verejnej moci k takýmto informáciám tiež zasahuje do základného práva na ochranu osobných údajov zaručeného článkom 8 Charty, pretože predstavuje spracúvanie osobných údajov.(54) Rovnako uchovávanie údajov týkajúcich sa súkromného života osoby na určité obdobie predstavuje ako také zásah do práv zaručených článkami 7 a 8 Charty.(55)

71.      Súdny dvor už takisto rozhodol, že údaje z PNR, ktoré sú vymenované v prílohe I, obsahujú informácie o identifikovaných fyzických osobách, konkrétne o dotknutých cestujúcich v leteckej doprave, a preto rôzne spôsoby spracúvania týchto údajov sa dotýkajú základného práva na rešpektovanie súkromného života, ktoré je zaručené v článku 7 Charty. Na tieto spracúvania sa tiež vzťahuje článok 8 Charty, a teda nevyhnutne musia spĺňať požiadavky ochrany údajov stanovené v tomto článku.(56)

72.      Spracúvania údajov z PNR, ktoré umožňuje smernica PNR, a najmä, pokiaľ je to relevantné na účely prejednávanej veci, prenos týchto údajov leteckými dopravcami útvarom PIU, ich využívanie týmito útvarmi, ich následný prenos príslušným vnútroštátnym orgánom v zmysle článku 7 tejto smernice, ako aj ich uchovávanie, tak predstavujú zásahy do základných práv zaručených článkami 7 a 8 Charty.

73.      Pokiaľ ide o závažnosť týchto zásahov, treba po prvé uviesť, že smernica PNR stanovuje systematický a nepretržitý prenos údajov z PNR útvarom PIU o každom cestujúcom v leteckej doprave, ako je vymedzený v článku 3 bode 4 tejto smernice, ktorý cestuje letom „mimo EÚ“ v zmysle článku 3 bodu 2 tejto smernice. Takýto prenos znamená všeobecný prístup útvarov PIU ku všetkým poskytnutým údajom z PNR.(57) Na rozdiel od toho, čo tvrdia niektoré členské štáty v tomto konaní, toto konštatovanie nie je spochybnené okolnosťou, že vzhľadom na to, že tieto údaje podliehajú automatizovanému spracúvaniu, budú mať útvary PIU konkrétne prístup len k údajom, ktorých analýza viedla k pozitívnemu výsledku. Na jednej strane totiž takáto okolnosť doteraz nebránila Súdnemu dvoru, aby v rámci podobných systémov automatizovaného spracúvania osobných údajov zhromažďovaných alebo uchovávaných „vo veľkom množstve“ potvrdil všeobecnú povahu prístupu dotknutých orgánov verejnej moci k takýmto údajom. Na druhej strane samotné sprístupnenie osobných údajov orgánom verejnej moci na účely ich spracúvania a uchovávania týmito orgánmi zahŕňa a priori ich všeobecný a úplný prístup k takýmto údajom a zásah do základných práv na rešpektovanie súkromného života a ochranu osobných údajov.

74.      Po druhé v súlade s článkom 2 ods. 1 smernice PNR sa členské štáty môžu rozhodnúť uplatňovať túto smernicu na lety „vnútri EÚ“ v zmysle jej článku 3 bodu 3. V tejto súvislosti chcem na jednej strane poznamenať, že smernica PNR nestanovuje len možnosť členských štátov rozšíriť jej uplatňovanie na lety vnútri EÚ, ale stanovuje aj formálne a hmotnoprávne podmienky, ktorými sa riadi využívanie tejto možnosti,(58) a spresňuje, že ak sa táto možnosť využije len na niektoré lety vnútri Únie, určenie týchto letov sa musí vykonať s prihliadnutím na ciele sledované uvedenou smernicou.(59) Na druhej strane smernica PNR stanovuje dôsledky využitia takejto možnosti, keď vo svojom článku 2 ods. 2 uvádza, že ak sa členský štát rozhodne uplatňovať túto smernicu na lety vnútri EÚ, všetky ustanovenia tejto smernice „sa uplatňujú na lety vnútri EÚ rovnako ako na lety mimo EÚ a na údaje PNR z letov vnútri EÚ rovnako ako na údaje PNR z letov mimo EÚ“.

75.      Za týchto okolností zastávam názor, na rozdiel od tvrdení viacerých vlád, ktoré predložili pripomienky v tomto konaní, že hoci uplatnenie smernice PNR na lety vnútri EÚ závisí od voľby členských štátov, právnym základom zásahov do práv na rešpektovanie súkromného života a ochranu osobných údajov spojených s prenosom, spracúvaním a uchovávaním údajov z PNR týkajúcich sa týchto letov je, pokiaľ sa takáto voľba uskutočnila, smernica PNR.

76.      Okrem Dánskeho kráľovstva, na ktoré sa táto smernica nevzťahuje,(60) pritom takmer všetky členské štáty uplatňujú ňou stanovený režim na lety „vnútri EÚ“(61). Z toho vyplýva, že tento režim sa uplatňuje na všetky lety vstupujúce do Únie a odchádzajúce z nej, ako aj na takmer všetky lety prevádzkované v rámci Únie.

77.      Po tretie, pokiaľ ide o údaje z PNR, ktoré majú byť prenášané, príloha I uvádza 19 rubrík týkajúcich sa životopisných údajov(62), podrobností o ceste lietadlom(63) a ďalších údajov získaných v rámci zmluvy o leteckej preprave, akými sú telefónne číslo, emailová adresa, spôsoby platby, cestovná agentúra alebo jej zástupca, informácie o batožine a všeobecné poznámky(64). Ako pritom uviedol Súdny dvor v bode 128 stanoviska 1/15, v ktorom sa vyjadril k rubrikám uvedeným v prílohe návrhu Dohody medzi Kanadou a Európskou úniou o prenose a spracúvaní údajov z osobného záznamu o cestujúcom (ďalej len „návrh dohody PNR medzi Kanadou a EÚ“), ktoré sú formulované vo veľkej miere rovnako ako rubriky v prílohe I, „aj keď sa v prípade niektorých údajov z PNR, posudzovaných samostatne, nezdá, že by odhaľovali dôležité informácie o súkromnom živote dotknutých osôb, nič to nemení na tom, že uvedené údaje, ak sú posudzované spoločne, môžu okrem iného odhaliť celú cestovnú trasu, cestovné zvyky, vzťahy, ktoré existujú medzi dvomi alebo viacerými osobami, ako aj informácie o finančnej situácii cestujúcich v leteckej doprave, ich stravovacích návykoch alebo o ich zdravotnom stave a mohli by tiež poskytnúť také citlivé informácie o týchto cestujúcich“.

78.      Po štvrté podľa článku 6 smernice PNR sú údaje prenášané leteckými dopravcami určené na to, aby ich útvary PIU prostredníctvom automatizovaných prostriedkov analyzovali systematicky, teda nezávisle od toho, či existuje nejaká zmienka o tom, že dotknuté osoby by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti. Konkrétne v rámci predbežného posúdenia cestujúcich stanoveného v článku 6 ods. 2 písm. a) tejto smernice a v súlade s jej článkom 6 ods. 3 možno uvedené údaje overiť porovnaním s „relevantnými“ databázami [článok 6 ods. 3 písm. a)] a spracúvať na základe vopred stanovených kritérií [článok 6 ods. 3 písm. b)]. Prvý typ spracúvania pritom môže poskytnúť dodatočné informácie o súkromnom živote dotknutých osôb(65) a v závislosti od databáz používaných na porovnávanie môže tiež určiť presný profil týchto osôb. Za týchto okolností námietka vznesená viacerými vládami, podľa ktorej smernica PNR umožňuje prístup len k relatívne obmedzenému súboru osobných údajov, primerane neodráža potenciálny rozsah zásahov, ktoré táto smernica prináša do základných práv chránených článkami 7 a 8 Charty, a to z hľadiska rozsahu údajov, ku ktorým môže táto smernica umožniť prístup. Pokiaľ ide o druhý typ spracúvania údajov stanovený v článku 6 ods. 3 písm. b) smernice PNR, chcem pripomenúť, že v bodoch 169 a 172 stanoviska 1/15 Súdny dvor zdôraznil, že každý typ analýzy založenej na vopred stanovených kritériách vykazuje určitú mieru odchýlky, a najmä určitý počet „falošne pozitívnych“ výsledkov. Podľa číselných údajov uvedených v pracovnom dokumente útvarov Komisie(66) (ďalej len „pracovný dokument z roku 2020“), ktorý je prílohou správy Komisie z roku 2020, bol počet prípadov pozitívnej lustrácie, ktoré sa po individuálnom preskúmaní podľa článku 6 ods. 5 smernice PNR ukázali ako nesprávne, pomerne značný a v rokoch 2018 a 2019 predstavoval najmenej päť zo šiestich identifikovaných osôb.(67)

79.      Po piate v súlade s článkom 12 ods. 1 smernice PNR sa údaje z PNR uchovávajú v databáze po dobu piatich rokov po ich prenose útvaru PIU členského štátu, na území ktorého let pristáva alebo z ktorého odlieta. Smernica PNR teda umožňuje disponovať informáciami o súkromnom živote cestujúcich v leteckej doprave počas osobitne dlhej doby.(68) Okrem toho, keďže prenos údajov z PNR sa týka takmer všetkých letov s odletom a príletom do Únie, ako aj v rámci Únie, a lietadlo sa stalo pomerne bežným dopravným prostriedkom, osobné údaje podstatnej časti cestujúcich v leteckej doprave by mohli byť uchovávané prakticky natrvalo len preto, že cestujú lietadlom aspoň dvakrát za päť rokov.

80.      Napokon, na všeobecnejšej úrovni smernica PNR stanovuje opatrenia, ktorých cieľom ako celku je vytvoriť na úrovni Únie systém dohľadu, ktorý je „necielený“, t. j. že sa neaktivuje na základe podozrenia voči jednej alebo viacerým konkrétnym osobám, „hromadný“ v tom zmysle, že sa vzťahuje na osobné údaje veľkého počtu jednotlivcov,(69) pričom pokrýva jednu kategóriu osôb v celom jej rozsahu,(70) a „proaktívny“, keďže sa zameriava nielen na vyšetrovanie známych hrozieb, ale aj na hľadanie alebo identifikáciu dovtedy neznámych nebezpečenstiev.(71) Takéto opatrenia svojou povahou vedú k závažným zásahom do základných práv chránených článkami 7 a 8 Charty,(72) najmä v súvislosti s ich preventívnym a prognostickým účelom, ktorý si vyžaduje posudzovanie osobných údajov týkajúcich sa veľkej časti populácie, pričom cieľom je „identifikovať“ osoby, ktoré by mali byť v závislosti od výsledkov tohto posúdenia podrobené ďalšiemu skúmaniu príslušnými orgánmi.(73) Okrem toho čoraz rozšírenejšie využívanie spracúvania veľkého množstva osobných údajov rôzneho druhu zhromažďovaných „masovo“ na účely predchádzania niektorým závažným formám trestnej činnosti, ako aj ich prepájanie a kombinované spracúvanie vedie ku „kumulatívnemu účinku“, čo zvyšuje závažnosť obmedzení základných práv na ochranu súkromného života a osobných údajov a môže napomáhať procesu postupného posunu smerom k „sledovanej spoločnosti“(74).

81.      Na základe všetkých predchádzajúcich úvah sa domnievam, že zásah smernice PNR do základných práv chránených článkami 7 a 8 Charty treba prinajmenšom označiť za „závažný“.

82.      Je pravda, ako tvrdí najmä Komisia, že všetky záruky a ochranné opatrenia, ktoré smernica PNR stanovuje najmä s cieľom zabrániť zneužitiu údajov z PNR, môžu znížiť intenzitu alebo závažnosť týchto zásahov. Nič to však nemení na tom, že každý režim umožňujúci prístup a spracúvanie osobných údajov zo strany orgánov verejnej moci má z hľadiska ochrany dotknutých základných práv určitý stupeň závažnosti, ktorý súvisí s jeho objektívnymi vlastnosťami. Tento stupeň závažnosti musí byť podľa môjho názoru určený predtým, ako sa v rámci posúdenia proporcionality uvedených zásahov vykoná posúdenie dostatočnosti a primeranosti záruk, ktoré tento režim stanovuje. Domnievam sa, že Súdny dvor doteraz postupoval práve takto.

83.      Aby boli zásahy smernice PNR do základných práv na rešpektovanie súkromného života a ochranu osobných údajov zlučiteľné s Chartou, musia spĺňať podmienky uvedené v bodoch 65 a 66 vyššie, čo bude ďalej preskúmané v rámci aspektov, ktoré vnútroštátny súd predložil Súdnemu dvoru.

3.      O odôvodnení zásahu vyplývajúceho zo smernice PNR

84.      Zatiaľ čo tretia prejudiciálna otázka sa týka dodržania podmienky uvedenej v článku 52 ods. 1 prvej vete Charty, podľa ktorej akýkoľvek zásah do základného práva musí byť „ustanovený zákonom“, druhou, štvrtou, šiestou a ôsmou prejudiciálnou otázkou sa vnútroštátny súd pýta Súdneho dvora najmä na dodržiavanie zásady proporcionality uvedenej v druhej vete tohto ustanovenia.

a)      O dodržaní požiadavky, podľa ktorej akékoľvek obmedzenie výkonu základného práva zakotveného v Charte musí byť stanovené zákonom

85.      Podľa ustálenej judikatúry Súdneho dvora(75), ktorá čerpá z judikatúry ESĽP(76), požiadavka, podľa ktorej akékoľvek obmedzenie výkonu základného práva musí byť „ustanovené zákonom“, sa netýka len „právneho“ pôvodu zásahu – o ktorý v prejednávanej veci nejde – ale tiež predpokladá, že samotný právny základ, ktorý umožňuje tento zásah, musí jasne a presne vymedziť jeho rozsah. Keďže sa vzťahuje na „kvalitu zákona“, a teda prístupnosť a predvídateľnosť predmetného opatrenia,(77) tento druhý aspekt, ktorý zahŕňa výraz „ustanovený zákonom“ tak v zmysle článku 52 ods. 1 Charty, ako aj jej článku 8 ods. 2 a článku 8 EDĽP, nemá len zabezpečiť dodržiavanie zásady zákonnosti a primeranú ochranu proti svojvôli,(78) ale tiež zodpovedá požiadavke právnej istoty. Táto požiadavka je potvrdená aj v stanovisku poradného výboru Dohovoru č. 108(79) z 19. augusta 2016 o dôsledkoch spracúvania osobných údajov v oblasti ochrany údajov (ďalej len „stanovisko z 19. augusta 2016“).(80)

86.      Prijatím smernice PNR normotvorca Únie sám pristúpil k obmedzeniu práv zakotvených v článkoch 7 a 8 Charty. Zásahy do uvedených práv, ktoré táto smernica umožňuje, teda nemožno považovať za dôsledok voľby členských štátov,(81) napriek miere voľnej úvahy, ktorú mohli využiť v čase jej prebratia do vnútroštátneho práva, ale skôr za zásahy, ktoré majú svoj právny základ v samotnej smernici PNR. Za týchto podmienok bolo úlohou normotvorcu Únie, aby na dosiahnutie súladu s judikatúrou pripomenutou v bode 85 vyššie a s „vyššími štandardmi“ ochrany základných práv obsiahnutými najmä v Charte a EDĽP, na ktoré odkazuje odôvodnenie 15 smernice PNR, stanovil jasné a presné pravidlá vymedzujúce tak rozsah, ako aj uplatňovanie opatrení zahŕňajúcich uvedené zásahy.

87.      Hoci sa vnútroštátny súd svojou treťou prejudiciálnou otázkou konkrétne pýta na dodržanie tejto povinnosti vo vzťahu k bodom 12 a 18 prílohy I, preskúmanie druhej, štvrtej a šiestej prejudiciálnej otázky, ktorými tento súd vznáša pochybnosti, pokiaľ ide o nevyhnutnosť zásahov, ktoré prináša smernica PNR do základných práv uvedených v článkoch 7 a 8 Charty, si bude tiež vyžadovať zaujatie stanoviska k dostatočne jasnej a presnej povahe dotknutých ustanovení smernice PNR.

88.      Aj keď sa táto analýza týka, ako som už uviedol v bode 85 vyššie, zákonnosti zásahu v zmysle článku 52 ods. 1 prvej vety Charty, pristúpim k nej v rámci preskúmania jeho proporcionality uvedenej v druhej vete tohto odseku v súlade s prístupom, ktorý zvolil tak Súdny dvor, ako aj ESĽP vo veciach, v ktorých ide o opatrenia zamerané na spracúvanie osobných údajov.(82)

b)      O rešpektovaní podstaty práv uvedených v článkoch 7 a 8 Charty

89.      V súlade s článkom 52 ods. 1 prvou vetou Charty akékoľvek obmedzenie výkonu základných práv musí spočívať nielen na dostatočne presnom právnom základe, ale musí tiež rešpektovať podstatu týchto práv.

90.      Ako som uviedol v bode 66 vyššie, táto požiadavka, ktorá sa nachádza v ústavách rôznych členských štátov(83) a ktorá, hoci nie je výslovne uznaná EDĽP, je napriek tomu pevne zakotvená v judikatúre ESĽP(84), sa stala súčasťou článku 52 ods. 1 Charty.(85) Táto požiadavka, uznaná Súdnym dvorom dávno pred jej kodifikáciou,(86) bola neustále potvrdzovaná v judikatúre súdov Únie, a to aj po nadobudnutí účinnosti Lisabonskej zmluvy.

91.      Predovšetkým z rozsudku zo 6. októbra 2015, Schrems(87), vyplýva, že nerešpektovanie podstaty základného práva aktom Únie má automaticky za následok jeho nulitnosť alebo neplatnosť bez toho, aby bolo potrebné vykonať zváženie dotknutých záujmov. Súdny dvor tak uznal, že každé základné právo má „jadro“, ktoré každému zaručuje sféru slobody chránenej pred akýmkoľvek zásahom zo strany orgánov verejnej moci a ktoré nemožno obmedzovať,(88) s výnimkou spochybnenia zásad demokracie, právneho štátu a rešpektovania ľudskej dôstojnosti, z ktorých vychádza ochrana základných práv. Okrem toho tak zo znenia článku 52 ods. 1 Charty, ako aj z judikatúry Súdneho dvora a najmä z rozsudku Schrems I vyplýva, že posúdenie týkajúce sa existencie zásahu do podstaty predmetného základného práva sa musí uskutočniť pred posúdením proporcionality dotknutého opatrenia a nezávisle od neho. Inými slovami, ide o test s vlastnou autonómiou.

92.      Preto je určenie toho, čo predstavuje „podstatu“, a teda to nedotknuteľné zo základného práva, ktorého výkon môže byť obmedzený, mimoriadne zložitý úkon. Ak má byť tento pojem, aby plnil svoju funkciu, vymedzený v absolútnych pojmoch so zreteľom na podstatné vlastnosti dotknutého základného práva, subjektívne a objektívne záujmy, ktoré má chrániť, a všeobecnejšie na jeho funkciu v demokratickej spoločnosti založenej na rešpektovaní ľudskej dôstojnosti,(89) takýto postup sa v praxi ukazuje takmer nemožný, a to prinajmenšom bez zohľadnenia kritérií, ktoré sa bežne používajú pri skúmaní proporcionality zásahu do dotknutého práva, akými sú závažnosť tohto zásahu a jeho rozsah alebo jeho časový rozmer, a teda bez zohľadnenia osobitostí každého prípadu.

93.      Pokiaľ ide najmä o základné právo na rešpektovanie súkromného života, je potrebné zohľadniť nielen význam, ktorý má pre duševné a fyzické zdravie každého jednotlivca, jeho blaho, nezávislosť, osobný rozvoj, schopnosť budovať a rozvíjať sociálne vzťahy, disponovanie súkromnou sférou, v ktorej rozvíja svoje osobné vnútro, ale aj úlohu, ktorú toto právo zohráva pri ochrane iných práv a slobôd, ako sú najmä sloboda myslenia, svedomia, náboženského vyznania, prejavu, právo na informácie, ktorých plné užívanie predpokladá uznanie sféry súkromia. Vo všeobecnejšej rovine je potrebné zohľadniť funkciu, ktorú v demokratickej spoločnosti plní dodržiavanie práva na súkromný život.(90) Zdá sa, že Súdny dvor posudzuje existenciu zásahu do podstaty tohto práva tak, že zohľadňuje tak intenzitu, ako aj rozsah zásahu, čo vedie k názoru, že takýto zásah je vymedzený skôr kvantitatívne ako kvalitatívne. Na jednej strane tak Súdny dvor v rozsudku Digital Rights v podstate konštatoval, že povinnosť uchovávania údajov uložená smernicou 2006/24/ES(91) nedosahuje takú úroveň závažnosti, ktorá by mala vplyv na podstatu práva na rešpektovanie súkromného života, pretože neumožňuje „oboznámiť sa so samotným obsahom elektronickej komunikácie“(92). Na druhej strane Súdny dvor v stanovisku 1/15 v podstate konštatoval, že obmedzenie limitované len na určité aspekty súkromného života dotknutých osôb nemôže viesť k zásahu do podstaty tohto základného práva.(93)

94.      Pokiaľ ide o základné právo na ochranu osobných údajov, Súdny dvor podľa všetkého zastáva názor, že podstata tohto práva je zachovaná, ak opatrenie, ktorým sa zavádza zásah, vymedzuje účely spracovania a stanovuje pravidlá zaisťujúce bezpečnosť dotknutých údajov, a to najmä proti náhodnému alebo nezákonnému zničeniu, strate alebo náhodnej zmene.(94)

95.      Hoci v prejednávanej veci vnútroštátny súd výslovne neuviedol požiadavku rešpektovania podstaty práv uvedených v článkoch 7 a 8 Charty, otázka dodržiavania tejto požiadavky podľa môjho názoru stojí v pozadí štvrtej a šiestej prejudiciálnej otázky. Z tohto dôvodu navrhujem, aby sa ňou Súdny dvor zaoberal.

96.      V tejto súvislosti chcem pripomenúť, že Súdny dvor v bode 150 stanoviska 1/15 síce uznal, že údaje z PNR „môžu prípadne odhaliť veľmi presné informácie o súkromnom živote určitej osoby“(95) a že tieto informácie môžu priamo alebo nepriamo odhaliť citlivé údaje dotknutej osoby,(96) dospel však k záveru, že v prípade návrhu dohody PNR medzi Kanadou a EÚ, keďže „povaha týchto informácií sa obmedzuje na určité aspekty tohto súkromného života týkajúce sa najmä letov medzi Kanadou a Úniou“, zásah do základného práva na rešpektovanie súkromného života sa nedotýka podstaty uvedeného práva.

97.      Odhliadnuc od okolnosti, že údaje z PNR, ktorých sa týka návrh dohody PNR medzi Kanadou a EÚ, mali byť prenášané do tretej krajiny a že ich následné spracúvanie mali vykonávať orgány tejto tretej krajiny na jej území, zásahy do základného práva na rešpektovanie súkromného života vyplývajúce z uvedeného návrhu dohody a zásahy stanovené smernicou PNR sa z hľadiska svojej povahy do veľkej miery zhodujú. Týka sa to najmä dotknutých údajov z PNR, systematického a všeobecného prenosu a spracúvania týchto údajov, automatizovanej povahy tohto spracúvania, ako aj uchovávania uvedených údajov. Tieto dve veci sa naproti tomu líšia takpovediac „geografickým pokrytím“ týchto zásahov. Ako som totiž uviedol v bode 77 vyššie, spracúvania údajov, o ktoré ide v prejednávanej veci, sa neobmedzujú na letecké spojenia s jedinou treťou krajinou, ako to bolo v prípade stanoviska 1/15, ale týkajú sa takmer všetkých letov, ktoré vstupujú do Únie a odchádzajú z nej alebo sú prevádzkované v rámci Únie. Z toho vyplýva, že smernica PNR v porovnaní s návrhom dohody PNR medzi Kanadou a EÚ vyžaduje systematické spracúvanie podstatne väčšieho počtu cestujúcich v leteckej doprave, ktorí cestujú lietadlom v rámci Únie a mimo nej. Okrem toho vzhľadom na zvýšenie objemu spracúvaných údajov, ako aj frekvenciu, s akou sú zhromažďované, môže ich spracúvanie pravdepodobne poskytnúť presnejšie a zároveň podrobnejšie informácie o súkromnom živote dotknutých osôb (cestovné zvyky, osobné vzťahy, finančná situácia atď.).

98.      Nič to však nemení na tom, že podobne ako v prípade stanoviska 1/15 sa tieto informácie, posudzované samostatne, týkajú len určitých aspektov súkromného života, ktoré súvisia s leteckou dopravou. Vzhľadom na potrebu reštriktívne vymedziť pojem „podstata“ základných práv tak, aby si zachoval svoju funkciu hradby proti atakom na samotnú podstatu týchto práv, pritom zastávam názor, že záver, ku ktorému Súdny dvor dospel v bode 150 stanoviska 1/15, možno uplatniť na prejednávanú vec.

99.      V stanovisku 1/15 Súdny dvor tiež vylúčil narušenie podstaty práva na ochranu osobných údajov.(97) Podľa môjho názoru tento záver možno tiež uplatniť na okolnosti prejednávanej veci. Podobne ako v prípade návrhu dohody PNR medzi Kanadou a EÚ totiž aj smernica PNR vo svojom článku 1 ods. 2 vymedzuje účely spracúvania údajov z PNR. Okrem toho táto smernica, ako aj ostatné akty Únie, na ktoré odkazuje, najmä GDPR a smernica o ochrane, obsahujú osobitné ustanovenia určené najmä na zaistenie bezpečnosti, dôvernosti a integrity týchto údajov, ako aj na ich ochranu pred neoprávneným prístupom a spracúvaním. Hoci sa nemožno domnievať, že taká právna úprava, akú stanovuje smernica PNR, zasahuje do podstaty základných práv chránených článkami 7 a 8 Charty, nič to nemení na tom, že musí podliehať prísnemu a dôslednému preskúmaniu jej proporcionality.

c)      O dodržaní požiadavky, podľa ktorej zásah musí zodpovedať cieľu všeobecného záujmu

100. Cieľom smernice PNR je okrem iného zaistiť vnútornú bezpečnosť Únie a chrániť život a bezpečnosť osôb prostredníctvom prenosu údajov z PNR príslušným orgánom členských štátov na účely ich využitia v rámci boja proti terorizmu a závažnej trestnej činnosti.(98)

101. Konkrétne z článku 1 ods. 2 smernice PNR v spojení s jej odôvodneniami 6 a 7, ako aj z návrhu Komisie, ktorý viedol k prijatiu tejto smernice (ďalej len „návrh smernice PNR“)(99), vyplýva, že v rámci takéhoto cieľa využívajú orgány presadzovania práva(100) údaje z PNR rôznymi spôsobmi. Po prvé sa tieto údaje využívajú s cieľom identifikovať osoby, ktoré sa podieľajú alebo sú podozrivé z účasti na teroristických trestných činoch a závažnej trestnej činnosti, ktoré už boli spáchané, zhromaždiť dôkazy a prípadne nájsť osoby spojené so zločincami a odhaliť zločinecké siete („spätné“ využívanie). Po druhé údaje z PNR možno posudzovať aj pred príchodom alebo odchodom cestujúcich s cieľom zabrániť spáchaniu trestného činu a identifikovať osoby, ktoré predtým neboli podozrivé z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti a ktoré by na základe výsledku tohto posúdenia mali byť podrobené dôkladnejšej kontrole zo strany orgánov presadzovania práva (využívanie v „reálnom čase“). Napokon sa údaje z PNR využívajú na účely vytvorenia hodnotiacich kritérií, ktoré možno následne použiť pri posúdení rizika, ktoré predstavujú cestujúci pred príletom a pred odletom („proaktívne“ využívanie). Takéto proaktívne využívanie údajov z PNR by malo umožniť orgánom presadzovania práva čeliť hrozbe, ktorú predstavuje závažná trestná činnosť a terorizmus, aj z iného uhla pohľadu než poskytuje spracúvanie iných kategórií osobných údajov.(101)

102. Z judikatúry Súdneho dvora vyplýva, že cieľ ochrany verejnej bezpečnosti, ktorý zahŕňa najmä predchádzanie, vyšetrovanie, odhaľovanie a stíhanie tak teroristických trestných činov, ako aj trestných činov súvisiacich so závažnou trestnou činnosťou, predstavuje cieľ všeobecného záujmu Únie v zmysle článku 52 ods. 1 Charty, ktorý môže odôvodniť zásahy, hoci aj závažné, do základných práv zakotvených v článkoch 7 a 8 Charty.(102)

103. Súdny dvor tiež uznal, že ciele ochrany verejnej bezpečnosti a boja proti závažnej trestnej činnosti prispievajú k ochrane práv a slobôd iných.(103) V rámci náležitého vyváženia medzi týmito cieľmi a základnými právami zakotvenými v článkoch 7 a 8 Charty(104) tak treba zohľadniť aj význam práv zakotvených v článkoch 3, 4, 6 a 7 Charty. V tejto súvislosti hoci Súdny dvor v rozsudku La Quadrature du Net konštatoval, že článok 6 Charty „nemožno vykladať tak, že orgánom verejnej moci ukladá povinnosť prijať konkrétne opatrenia na účely stíhania niektorých trestných činov“(105), naproti tomu, pokiaľ ide konkrétne o účinný boj proti trestným činom, ktorých obeťami sú najmä maloleté osoby a iné zraniteľné osoby, zdôraznil, že pre orgány verejnej moci môžu vyplývať aj pozitívne povinnosti tak z článku 7 Charty, so zreteľom na prijatie právnych opatrení na ochranu súkromného a rodinného života, ako aj z článkov 3 a 4 Charty, pokiaľ ide o ochranu fyzickej a duševnej integrity osôb a zákaz mučenia a neľudského alebo ponižujúceho zaobchádzania.(106)

104. Súdny dvor napokon konštatoval, že význam cieľa ochrany národnej bezpečnosti presahuje význam cieľov boja proti trestnej činnosti vo všeobecnosti, hoci aj závažnej, a ochrany verejnej bezpečnosti, a teda môže odôvodniť opatrenia, ktoré zasahujú do základných práv závažnejšie než tie, ktoré by mohli byť odôvodnené týmito ostatnými cieľmi.(107) Keďže teroristické aktivity môžu predstavovať hrozbu pre národnú bezpečnosť členských štátov, systém zavedený smernicou PNR sa v rozsahu, v akom slúži ako nástroj boja proti takýmto aktivitám, podieľa na cieli ochrany národnej bezpečnosti členských štátov.

d)      O dodržiavaní zásady proporcionality

105. Podľa článku 52 ods. 1 druhej vety Charty za predpokladu dodržiavania zásady proporcionality možno výkon základného práva uznaného Chartou obmedziť len vtedy, ak je to nevyhnutné a skutočne to zodpovedá cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo ak je to potrebné na ochranu práv a slobôd iných.

106. V tejto súvislosti treba pripomenúť, že podľa ustálenej judikatúry Súdneho dvora zásada proporcionality vyžaduje, aby akty inštitúcií Únie boli vhodné na dosiahnutie legitímnych cieľov sledovaných predmetnou právnou úpravou a neprekračovali hranice toho, čo je primerané a potrebné na uskutočnenie týchto cieľov.(108)

107. V súlade s judikatúrou Súdneho dvora si ochrana základného práva na rešpektovanie súkromného života na úrovni Únie vyžaduje, aby výnimky a obmedzenia v súvislosti s ochranou osobných údajov nepôsobili nad rámec toho, čo je striktne nevyhnutné. Okrem toho nemožno sledovať cieľ všeobecného záujmu bez zohľadnenia skutočnosti, že musí byť zosúladený so základnými právami dotknutými opatrením, a to náležitým vyvážením cieľa všeobecného záujmu a dotknutých práv.(109) Konkrétne primeranosť obmedzenia práv a povinností zakotvených v článkoch 7 a 8 Charty treba posudzovať prostredníctvom merania závažnosti zásahu, ktorý spôsobí takéto obmedzenie, a overenia, či je dôležitosť cieľa všeobecného záujmu sledovaného týmto obmedzením priamo úmerná takejto závažnosti.(110)

108. Z judikatúry Súdneho dvora vyplýva, že na účely splnenia požiadavky proporcionality musí smernica PNR ako právny základ obsahujúci zásahy do základných práv zakotvených v článkoch 7 a 8 Charty, opísané v bodoch 70 až 83 vyššie, stanoviť jasné a presné pravidlá, ktoré budú upravovať rozsah a uplatnenie opatrení zahŕňajúcich takéto zásahy a ukladať minimálne požiadavky, tak aby osoby, ktorých údaje boli prenesené, mali dostatočné záruky umožňujúce im účinne chrániť ich osobné údaje pred rizikami zneužitia, ako aj pred akýmkoľvek nezákonným prístupom a akýmkoľvek nezákonným použitím týchto údajov.(111) Nevyhnutnosť disponovať takými zárukami je o to dôležitejšia v prípade, keď ako v prejednávanej veci sú osobné údaje spracúvané automaticky a keď ide o ochranu tejto osobitnej kategórie osobných údajov, ktorú tvoria citlivé údaje.(112)

109. Pokiaľ ide o rozsah súdneho preskúmania dodržiavania požiadaviek vyplývajúcich zo zásady proporcionality, vzhľadom na dôležitú úlohu, ktorú zohráva ochrana osobných údajov so zreteľom na základné právo na rešpektovanie súkromného života, a zásah do týchto práv, ktorý obsahuje smernica PNR, je voľná úvaha normotvorcu Únie obmedzená, takže toto preskúmanie musí byť prísne.(113)

1)      O vhodnosti spracúvania údajov z PNR podľa smernice PNR vzhľadom na sledovaný cieľ

110. V bode 153 stanoviska 1/15 Súdny dvor v súvislosti s návrhom dohody PNR medzi Kanadou a EÚ uviedol, že prenosom údajov z PNR do Kanady a ich následným spracúvaním možno zaručiť dosiahnutie cieľa spočívajúceho v zaistení ochrany a verejnej bezpečnosti. Domnievam sa, že túto vhodnosť, ktorá je dlhodobo uznávaná tak na úrovni Únie, ako aj na celosvetovej úrovni,(114) nemožno spochybniť v súvislosti so zhromažďovaním a následným spracúvaním údajov z PNR v prípade letov mimo EÚ, ako aj letov vnútri EÚ.(115)

111. Efektívnosť systému spracúvania údajov PNR zavedeného smernicou preto možno v praxi vyhodnotiť len na základe posúdenia výsledkov jeho uplatňovania.(116) Z tohto pohľadu je nevyhnutné, aby bola takáto účinnosť neustále vyhodnocovaná na základe čo najpresnejších a najspoľahlivejších štatistických údajov.(117) V tejto súvislosti by Komisia mala v pravidelných intervaloch vykonávať preskúmanie podobné tomu, ktoré už bolo stanovené v článku 19 smernice PNR.

2)      O striktnej nevyhnutnosti zásahu

112. Hoci Cour constitutionnelle (Ústavný súd) výslovne nevyjadril pochybnosti o tom, či smernica PNR obsahuje jasné a presné pravidlá, ktoré sa obmedzujú na to, čo je prísne nevyhnutné, pokiaľ ide o vymedzenie účelov spracúvania údajov z PNR(118), analýza proporcionality systému stanoveného touto smernicou, ktorú požaduje vnútroštátny súd, nemôže podľa môjho názoru opomenúť túto otázku.(119)

i)      O vymedzení účelov spracúvania údajov z PNR

113. Jasné vymedzenie účelov, na ktoré je príslušným orgánom povolený prístup k osobným údajom a ich následné využitie, predstavuje základnú požiadavku každého systému spracúvania údajov najmä na presadzovanie práva. Splnenie tejto požiadavky je okrem toho nevyhnutné na to, aby Súdny dvor mohol posúdiť primeranosť predmetných opatrení uplatnením testu závažnosti zásahu vo vzťahu k dôležitosti sledovaného cieľa, ako stanovuje jeho judikatúra.(120)

114. Súdny dvor zdôraznil význam jasného vymedzenia účelov opatrení zahŕňajúcich obmedzenia základných práv na rešpektovanie súkromného života a na ochranu osobných údajov, a to najmä v rozsudku Digital Rights, v ktorom vyhlásil smernicu 2006/24 za neplatnú. V bode 60 tohto rozsudku Súdny dvor poznamenal, že táto smernica nestanovuje „nijaké objektívne kritérium umožňujúce vymedziť prístup príslušných vnútroštátnych orgánov k údajom a ich neskoršiemu použitiu na účely predchádzania, odhaľovania alebo stíhania trestných činov v prípade trestnej činnosti, ktorú možno vzhľadom na rozsah a závažnosť zásahu do práv zakotvených v článkoch 7 a 8 Charty považovať za dostatočne závažnú, aby odôvodňovala takýto zásah“, a že sa „vo svojom článku 1 ods. 1 naopak obmedzuje na to, že všeobecne odkazuje na závažné trestné činy, ako ich definuje vnútroštátne právo každého členského štátu“.

115. Článok 1 ods. 2 smernice PNR uvádza všeobecné kritérium obmedzenia účelov, podľa ktorého „údaje PNR zhromaždené v súlade s touto smernicou možno spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti“. Na rozdiel od smernice 2006/24 sa však smernica PNR neobmedzuje len na takúto formuláciu, ale sama vo svojom článku 3 bodoch 8 a 9 vymedzuje tak pojem „teroristické trestné činy“, ako aj pojem „závažná trestná činnosť“, a to pri prvom pojme odkazom na články 1 až 4 rámcového rozhodnutia Rady 2002/475/SVV z 13. júna 2002 o boji proti terorizmu (Ú. v. ES L 164, 2002, s. 3; Mim. vyd. 19/006, s. 18) [nahradeného smernicou (EÚ) 2017/541](121), a pri druhom pojme jednak vymenovaním kategórií trestných činov zodpovedajúcich tomuto pojmu v prílohe II, a jednak stanovením hranice závažnosti z hľadiska hornej hranice trestnej sadzby trestu odňatia slobody alebo ochranného opatrenia, ktoré možno uložiť za tieto trestné činy.

116. Hoci odkaz na príslušné ustanovenia smernice 2017/541 umožňuje dostatočne jasne a presne vymedziť činy, ktoré možno kvalifikovať ako teroristické trestné činy podľa článku 3 bodu 8 smernice o PNR, a posúdiť ich závažnosť na účely zváženia významu cieľa ochrany verejnej bezpečnosti sledovaného touto smernicou a závažnosti zásahu, ktorý prináša do základných práv zakotvených v článkoch 7 a 8 Charty, takýto záver nie je taký jednoznačný, pokiaľ ide o všetky trestné činy uvedené v prílohe II.

117. V bode 177 stanoviska 1/15 Súdny dvor konštatoval, že návrh dohody PNR medzi Kanadou a EÚ jasne a presne vymedzuje stupeň závažnosti trestných činov, na ktoré sa vzťahuje pojem „závažná nadnárodná trestná činnosť“, a to tým, že stanovuje, že za tieto trestné činy „sa ukladá trest odňatia slobody s hornou hranicou trestnej sadzby najmenej 4 roky alebo vyšší trest“, a že uvádza „jednotlivé prípady, keď možno usúdiť, že trestný čin má nadnárodnú povahu“.

118. V porovnaní s právnou úpravou skúmanou Súdnym dvorom v tomto stanovisku smernica PNR po prvé nezohľadňuje pri vymedzení dotknutých trestných činov ich nadnárodný charakter, po druhé stanovuje vyčerpávajúci zoznam trestných činov, ktoré sa vzhľadom na svoju povahu považujú za závažnú trestnú činnosť, pokiaľ sa za ne ukladá trest s minimálnou hornou hranicou trestnej sadzby stanovenou v článku 3 bode 9 tejto smernice, a po tretie v zásade znižuje hranicu závažnosti prijatím kritéria založeného na výške maximálneho trestu a stanovením tejto hranice na tri roky.

119. Pokiaľ ide po prvé o neexistenciu obmedzujúceho kritéria založeného na nadnárodnej povahe, je nepochybne pravda, že obmedzenie vecnej pôsobnosti smernice PNR len na závažnú „cezhraničnú“ trestnú činnosť by umožnilo zamerať sa na trestné činy, ktoré by si svojou povahou mohli aspoň potenciálne zachovávať objektívnu súvislosť s cestami leteckou dopravou, a teda aj s kategóriami údajov zhromažďovaných a spracúvaných podľa smernice PNR.(122) V zásade však súhlasím s názorom Komisie, že na rozdiel od kontextu medzinárodnej dohody je relevantnosť a nevyhnutnosť takéhoto kritéria menej zrejmá v prípade mechanizmu boja proti trestnej činnosti, ktorého cieľom je ochrana vnútornej bezpečnosti Únie. Okrem toho, ako ďalej tvrdí Komisia, neexistencia cezhraničných prvkov nie je sama osebe indíciou umožňujúcou vylúčiť závažnosť trestného činu.

120. Pokiaľ ide po druhé o kritérium stanovujúce hranicu závažnosti dotknutých trestných činov, ktoré sa má v záujme umožnenia predbežného posúdenia tejto závažnosti vykladať v tom zmysle, že odkazuje na maximálnu dĺžku trestu odňatia slobody alebo ochranného opatrenia obmedzujúceho slobodu stanovenú zákonom, a nie na takú, ktorá môže byť skutočne uložená v konkrétnom prípade, toto kritérium, aj keď vychádza z minimálnej hornej hranice trestnej sadzby a nie z minimálnej dolnej hranice trestnej sadzby, nie je samo osebe spôsobilé určiť dostatočnú úroveň závažnosti umožňujúcu odôvodniť zásah do základných práv zakotvených v článkoch 7 a 8 Charty, ktorý so sebou prinášajú spracúvania údajov stanovené v smernici PNR. Podľa môjho názoru by sa však malo vykladať ako kritérium určujúce „minimálnu“ úroveň závažnosti. Hoci teda takéto kritérium zakazuje členským štátom pokladať za „formy závažnej trestnej činnosti“ trestné činy uvedené v prílohe II, za ktoré ich vnútroštátne trestné právo ukladá trest odňatia slobody alebo ochranné opatrenie obmedzujúce slobodu s hornou hranicou trestnej sadzby v dĺžke menej ako tri roky, neukladá im povinnosť automaticky uznať takúto kvalifikáciu všetkým trestným činom, ktoré môžu byť zahrnuté do uvedenej prílohy II a za ktoré možno uložiť trest v dĺžke dosahujúcej hranicu stanovenú v článku 3 bode 9 smernice o PNR, ak by takéto uznanie vzhľadom na osobitosti ich trestnoprávnych systémov viedlo k využívaniu režimu stanoveného smernicou PNR na účely predchádzania, odhaľovania, vyšetrovania a stíhania foriem bežnej trestnej činnosti, čo je v rozpore s cieľmi sledovanými touto smernicou.

121. Pokiaľ ide po tretie o zoznam v prílohe II, treba predovšetkým poznamenať, že okolnosť, že smernica PNR taxatívne vymenúva trestné činy spadajúce pod definíciu „závažnej trestnej činnosti“, predstavuje základnú formálnu a materiálnu záruku na zabezpečenie zákonnosti systému zavedeného touto smernicou a právnej istoty cestujúcich. Treba však konštatovať, že uvedený zoznam zahŕňa tak trestné činy, ktoré svojou povahou vykazujú nepochybne vysoký stupeň závažnosti – ako napríklad obchodovanie s ľuďmi, sexuálne vykorisťovanie detí a detská pornografia, nedovolené obchodovanie so zbraňami, s jadrovými alebo rádioaktívnymi materiálmi, nezákonné ovládnutie lietadla alebo plavidla, trestné činy podliehajúce právomoci Medzinárodného trestného súdu, vražda, znásilnenie, únos, obmedzovanie osobnej slobody a branie rukojemníka(123) – ako aj trestné činy, pri ktorých je tento stupeň závažnosti menej zrejmý, ako napríklad podvod, falšovanie, pozmeňovanie výrobkov vrátane konaní porušujúcich práva duševného vlastníctva alebo ich distribúcia, falšovanie a pozmeňovanie verejných listín a obchodovanie s takými listinami, ako aj obchodovanie s odcudzenými vozidlami.(124) Okrem toho medzi trestnými činmi uvedenými v prílohe II sú také, ktoré samotnou svojou podstatou môžu viac ako iné vykazovať nadnárodnú povahu – ako napríklad obchodovanie s ľuďmi, nedovolené obchodovanie s omamnými látkami alebo so zbraňami, sexuálne vykorisťovanie detí, uľahčenie neoprávneného prekročenia štátnej hranice a neoprávneného pobytu, nezákonné ovládnutie lietadla – a tiež súvislosť s leteckou prepravou cestujúcich.

122. Pokiaľ ide o dostatočne jasnú a presnú povahu rubrík uvedených v prílohe II, aj tu sa úroveň značne líši. Hoci sa teda zoznam obsiahnutý v tejto prílohe musí považovať za vyčerpávajúci, viaceré z jej rubrík majú „otvorenú“ povahu(125) a iné odkazujú na všeobecné pojmy, ktoré môžu zahŕňať veľmi veľký počet trestných činov rôznej závažnosti, aj keď vždy v medziach hornej hranice trestnej sadzby stanovenej v článku 3 bode 9 smernice PNR.(126)

123. V tejto súvislosti chcem na jednej strane uviesť, že harmonizačné smernice prijaté v oblastiach uvedených v článku 83 ods. 1 ZFEÚ a spomenuté v poznámke pod čiarou 123 vyššie, poskytujú relevantné informácie umožňujúce identifikovať prinajmenšom niektoré závažné trestné činy, ktoré môžu spadať pod príslušné rubriky prílohy II. Predovšetkým smernica 2013/40 tak vo svojich článkoch 3 až 8 vymedzuje rôzne trestné činy spadajúce pod pojem „počítačová kriminalita“ uvedený v bode 9 tejto prílohy II, pričom dbá o to, aby v každom jednotlivom prípade boli vylúčené skutky, ktoré predstavujú „menej závažné prípady“.(127) Podobne smernica 2019/713 vymedzuje určité druhy podvodných trestných činov a smernica 2017/1371 vymedzuje znaky skutkovej podstaty „podvodu proti finančným záujmom Únie“. V tejto súvislosti treba spomenúť aj smernicu 2008/99/ES o ochrane životného prostredia prostredníctvom trestného práva(128) prijatú na základe článku 175 ods. 1 ES, ktorá vo svojom článku 3 vymedzuje súbor závažných trestných činov proti životnému prostrediu, ktoré môžu spadať pod rubriku 10 prílohy II, vrátane skutkov kvalifikovateľných ako „nedovolené obchodovanie, pričom vylučuje akékoľvek konanie, ktoré má zanedbateľný vplyv na chránenú vec. Napokon by som chcel pripomenúť smernicu 2002/90/ES(129), ktorá vymedzuje napomáhanie neoprávnenému vstupu, tranzitu a pobytu, ako aj rámcové rozhodnutie 2002/946/SVV(130) o posilnení trestného systému na zabránenie týmto trestným činom, rámcové rozhodnutie 2003/568/SVV(131), ktoré vymedzuje trestné činy kvalifikované ako „aktívna a pasívna korupcia v súkromnom sektore“, a rámcové rozhodnutie 2008/841/SVV(132), ktoré vymedzuje trestné činy súvisiace s účasťou v zločineckej organizácii.

124. Na druhej strane chcem uviesť, že – ako správne poznamenala Komisia – pri neexistencii úplnej harmonizácie hmotného trestného práva nemožno normotvorcovi Únie vytýkať, že bližšie nešpecifikoval trestné činy uvedené v prílohe II. Preto na rozdiel od toho, čo bude uvedené ďalej v súvislosti so zoznamom údajov z PNR obsiahnutým v prílohe I, si prebratie zoznamu trestných činov v prílohe II do vnútroštátneho práva nevyhnutne vyžaduje, aby členské štáty v závislosti od osobitostí svojich vnútroštátnych trestnoprávnych systémov vymedzili trestné činy, na ktoré sa tento zoznam môže vzťahovať. Táto operácia sa však musí vykonať pri úplnom rešpektovaní kritéria, podľa ktorého každý zásah do základných práv zakotvených v článkoch 7 a 8 Charty sa musí obmedziť na to, čo je prísne nevyhnutné. Domnievam sa teda, že napríklad nie je vylúčené, aby členské štáty stanovili, že využívanie údajov z PNR bude pri niektorých trestných činoch, ako sú napríklad trestné činy uvedené v bodoch 7, 16, 17, 18, 25 prílohy II, obmedzené na prípady, keď majú tieto trestné činy cezhraničnú povahu alebo sú spáchané v rámci zločineckej organizácie alebo obsahujú určité priťažujúce okolnosti. Úlohou súdov členských štátov bude vykladať, s možnosťou preskúmania Súdnym dvorom, vnútroštátne ustanovenia preberajúce uvedený zoznam do vnútroštátneho práva spôsobom, ktorý je v súlade so smernicou PNR, ako aj s Chartou, tak aby sa spracúvanie údajov z PNR v prípade každej rubriky obmedzilo na trestné činy, ktoré dosahujú vysoký stupeň závažnosti požadovaný touto smernicou, ako aj na trestné činy, pre ktoré je takéto spracúvanie relevantné.(133)

125. S výhradou spresnení uvedených v bodoch 120 a 124 vyššie sa domnievam, že článok 3 bod 9 smernice PNR, ako aj katalóg trestných činov obsiahnutý v jej prílohe II zodpovedajú požiadavkám jasnosti a presnosti a neprekračujú rámec toho, čo je striktne nevyhnutné.

126. Treba však uznať, že riešenie uvedené v bode 124 vyššie nie je úplne uspokojivé. Na jednej strane totiž ponecháva členským štátom značnú mieru voľnej úvahy, takže vecná pôsobnosť spracúvania údajov z PNR sa môže v jednotlivých členských štátoch výrazne líšiť, čo ohrozuje cieľ harmonizácie sledovaný normotvorcom Únie.(134) Na druhej strane z neho vyplýva, že kontrola proporcionality základného prvku systému, akým je obmedzenie účelov tohto spracúvania, bude vykonávaná ex post vo vzťahu k vnútroštátnym vykonávacím opatreniam, a nie ex ante voči samotnej smernici PNR. Bolo by teda žiaduce, aby Súdny dvor v prípade, že sa rozhodne v súlade s mojím návrhom považovať článok 3 bod 9 smernice PNR, ako aj zoznam trestných činov obsiahnutý v jej prílohe II za zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 Charty, upozornil normotvorcu Únie na skutočnosť, že takéto posúdenie je len dočasné a že vyžaduje, aby tento normotvorca vzhľadom na prebratie tohto ustanovenia a tohto zoznamu členskými štátmi a na základe štatistických údajov uvedených v článku 20 smernice PNR overil potrebu: i) prostredníctvom obmedzenia rozsahu bližšie špecifikovať kategórie trestných činov, na ktoré sa vzťahuje uvedený zoznam, ii) odstrániť z tohto zoznamu trestné činy, pri ktorých je spracúvanie údajov z PNR buď neprimerané, irelevantné alebo neúčinné, a iii) zvýšiť hranicu závažnosti trestných činov uvedených v článku 3 bode 9 smernice PNR.(135) V tejto súvislosti chcem poukázať na to, že hoci článok 19 ods. 2 písm. b) smernice PNR ukladá Komisii povinnosť preskúmať všetky prvky tejto smernice a venovať osobitnú pozornosť „potrebe a proporcionalite zhromažďovania a spracúvania údajov PNR v prípade každého účelu ustanoveného“ v tejto smernici, ani správa Komisie z roku 2020, ani sprievodný pracovný dokument z roku 2020 podľa môjho názoru neobsahujú v tomto smere uspokojivé preskúmanie.

ii)    O kategóriách údajov z PNR uvedených v smernici PNR (druhá a tretia prejudiciálna otázka)

127. Smernica PNR stanovuje prenos 19 kategórií údajov z PNR, ktoré zhromažďujú leteckí dopravcovia na účely rezervácie letov, útvarom PIU. Tieto kategórie vymenované v prílohe I zodpovedajú kategóriám, ktoré sa objavujú v rezervačných systémoch leteckých spoločností, a kategóriám vymenovaným v prílohe I usmernení o údajoch z osobného záznamu o cestujúcom, ktoré prijala Medzinárodná organizácia pre civilné letectvo (ICAO) v roku 2010(136) (ďalej len „usmernenia ICAO“).

128. Svojou druhou prejudiciálnou otázkou sa vnútroštátny súd pýta na platnosť prílohy I z hľadiska článkov 7, 8 a článku 52 ods. 1 Charty, a to jednak vzhľadom na rozsah osobných údajov vymenovaných v tejto prílohe – a najmä údajov API uvedených v bode 18 tejto prílohy v rozsahu, v akom sú obsiahlejšie než údaje vymenované v článku 3 ods. 2 smernice API – a jednak vzhľadom na to, že tieto údaje môžu ako celok prezrádzať citlivé údaje, a tak prekračovať rámec toho, čo je „striktne nevyhnutné“. Svojou treťou prejudiciálnou otázkou, ktorá – ako som už mal príležitosť uviesť – súvisí s dodržaním prvej z troch podmienok uvedených v článku 52 ods. 1 Charty, podľa ktorej akýkoľvek zásah do základného práva musí byť „ustanovený zákonom“, sa Cour constitutionnelle (Ústavný súd) naopak pýta Súdneho dvora na platnosť bodov 12 a 18 prílohy I, a to najmä vzhľadom na ich „otvorenú“ povahu.

129. Keďže preskúmanie, ktoré sa má vykonať v rámci druhej prejudiciálnej otázky, predpokladá preskúmanie dostatočne jasnej a presnej povahy kategórií osobných údajov uvedených v prílohe I, budem sa najprv zaoberať treťou prejudiciálnou otázkou.

–       O dostatočne jasnej a presnej povahe bodov 12 a 18 prílohy I (tretia prejudiciálna otázka)

130. Na úvod treba poznamenať, že rozsah a závažnosť zásahu do základných práv uvedených v článkoch 7 a 8 Charty, ktorý zahŕňa opatrenie zavádzajúce obmedzenia výkonu týchto práv, závisí predovšetkým od rozsahu a povahy osobných údajov, ktoré sú predmetom spracúvania. Identifikácia týchto údajov teda predstavuje základnú operáciu, ktorú musí každý právny základ zavádzajúci takéto opatrenie povinne vykonať čo najjasnejším a najpresnejším spôsobom.

131. Táto požiadavka bola v súvislosti so spracúvaním údajov PNR uznaná v stanovisku 1/15. Pokiaľ ide o rubriky nachádzajúce sa v prílohe k návrhu dohody PNR medzi Kanadou a EÚ, ktoré obsahujú výpočet údajov z PNR, ktorých sa týka zamýšľaná dohoda, Súdny dvor v tomto stanovisku okrem iného konštatoval, že použitie všeobecných kategórií informácií, ktoré dostatočne neurčujú rozsah údajov, ktoré majú byť prenášané, ako aj použitie demonštratívnych zoznamov údajov, ktoré nestanovujú nijaké obmedzenie, pokiaľ ide o povahu a rozsah informácií, ktoré môžu byť zahrnuté v dotknutej rubrike, nespĺňajú podmienky jasnosti a presnosti.

132. Tretiu prejudiciálnu otázku treba preskúmať práve z hľadiska týchto zásad.

133. Pokiaľ ide o bod 12 prílohy I, jeho znenie je takéto:

„Všeobecné poznámky (vrátane všetkých dostupných informácií o maloletých bez sprievodu mladších ako 18 rokov, napríklad meno alebo pohlavie maloletého, vek, jazyk(‑y), ktorým(‑i) hovorí, meno a kontaktné údaje osoby, ktorá ho sprevádza k odletu a jej vzťah k maloletému, meno a kontaktné údaje osoby, ktorá ho sprevádza po prílete a jej vzťah k maloletému, sprevádzajúci pracovník letiska pri odlete a prílete).“

134. Pokiaľ ide o „všeobecné poznámky“, tento bod je podobne ako rubrika 17 prílohy k návrhu dohody PNR medzi Kanadou a EÚ tzv. „voľným textom“, ktorého účelom je zahrnúť všetky informácie zhromažďované leteckými dopravcami v rámci ich činnosti poskytovania služieb nad rámec informácií, ktoré sú uvedené v ostatných bodoch prílohy I. Treba pritom konštatovať, ako to urobil Súdny dvor v bode 160 stanoviska 1/15, že rubrika tohto typu „neposkytuje žiadny údaj o povahe a rozsahu informácií, ktoré majú byť prenášané, a takisto sa zdá, že môže zahŕňať informácie, ktoré vôbec nesúvisia s účelom prenosu údajov z PNR“. Okrem toho, keďže spresnenie v zátvorke uvedené v znení bodu 12 prílohy I, ktoré sa týka informácií o maloletých bez sprievodu, je uvedené len ako príklad, o čom svedčí použitie výrazu „vrátane“, tento bod nestanovuje nijaké obmedzenie, pokiaľ ide o povahu a rozsah informácií, ktoré v ňom môžu byť zahrnuté.(137)

135. Za týchto podmienok nemožno bod 12 prílohy I považovať za dostatočne jasne a presne vymedzený.

136. Hoci sa zdá, že Komisia a Parlament s týmto záverom súhlasia, členské štáty, ktoré predložili pripomienky k tretej prejudiciálnej otázke, ako aj Rada, sa proti tomu bránia, a to na základe tvrdení, ktoré sa do veľkej miery prekrývajú.

137. V prvom rade je prvý súbor tvrdení vo všeobecnosti zameraný na spochybnenie možnosti uplatniť na túto vec závery, ku ktorým Súdny dvor dospel v stanovisku 1/15.

138. V tejto súvislosti hoci som si vedomý rozdielneho kontextu týchto dvoch vecí, obmedzím sa na poznámku, že záver, ku ktorému Súdny dvor dospel v bode 160 stanoviska 1/15, pokiaľ ide o rubriku 17 prílohy k návrhu dohody PNR medzi Kanadou a EÚ, bol založený na výlučne sémantickom a štrukturálnom výklade tejto rubriky. Takýto výklad je v plnom rozsahu použiteľný na bod 12 prílohy I, ktorého znenie je v prípade nedemonštratívnej časti zhodné so znením uvedenej rubriky a má podobnú štruktúru. Okrem toho, ako bude podrobnejšie uvedené ďalej, obe dotknuté pravidlá patria do toho istého multilaterálneho regulačného kontextu, ktorý tvoria najmä usmernenia ICAO, na ktoré sa Súdny dvor navyše výslovne odvoláva v bode 156 stanoviska 1/15. Za týchto podmienok nielenže nič nebráni tomu, aby sa v prípade bodu 12 prílohy I uplatnil rovnaký výklad, aký Súdny dvor podal v bode 160 stanoviska 1/15 v súvislosti s rubrikou 17 prílohy k návrhu dohody PNR medzi Kanadou a EÚ, ale predovšetkým neexistuje žiadny dôvod na odchýlenie sa od neho.

139. V druhom rade viacero členských štátov zdôrazňuje, že jednotlivé body prílohy I vrátane bodu 12 zodpovedajú rubrikám v prílohe I k usmerneniam ICAO, ktoré leteckí dopravcovia dobre poznajú a ku ktorým dokážu veľmi dobre priradiť konkrétny obsah. Tento bod 12 zodpovedá najmä posledným dvom rubrikám uvedenej prílohy, nazvaným v príslušnom poradí „všeobecné poznámky“ a „Voľný text/kódové polia v OSI [Other Supplementary Information], SSR [Special Service Request], SSI [Special Service Information], Poznámky/história“, ktoré sa týkajú „doplňujúcich informácií“ alebo informácií „týkajúcich sa požadovaných služieb“(138).

140. V tejto súvislosti chcem v prvom rade poznamenať, že zhoda medzi rubrikami prílohy I návrhu dohody PNR medzi Kanadou a EÚ na jednej strane a rubrikami prílohy I usmernení ICAO na druhej strane nebránila Súdnemu dvoru, aby v stanovisku 1/15 vyhlásil, že niektoré položky nachádzajúce sa v prílohe I uvedeného návrhu dohody nespĺňajú požiadavky jasnosti a presnosti, ktoré musí spĺňať opatrenie obmedzujúce výkon základných práv. Ďalej chcem poukázať na to, že odkaz na usmernenia ICAO, ktorý navyše nie je výslovný,(139) neumožňuje, na rozdiel od toho, čo zrejme naznačujú niektoré členské štáty, bližšie spresniť povahu a rozsah informácií, ktoré by mohol zahŕňať bod 12 prílohy I. Naopak, výklad týchto usmernení posilňuje záver, podľa ktorého rubrika „voľný text“, akou je uvedený bod 12, zahŕňa bližšie neurčený počet informácií rôznej povahy nad rámec informácií, ktoré sa povinne uvádzajú v PNR.(140)

141. V treťom rade niektoré vlády tvrdia, že je úlohou členských štátov, aby prostredníctvom vnútroštátnych legislatívnych opatrení a v rámci obmedzení stanovených článkami 7, 8 a článkom 52 ods. 1 Charty spresnili informácie, ktoré môžu byť zahrnuté v bode 12 prílohy I. Zo samotnej podstaty smernice totiž podľa nich vyplýva, že ponecháva členským štátom určitú mieru voľnej úvahy, pokiaľ ide o prostriedky potrebné na vykonanie ustanovení, ktoré obsahuje.

142. V tejto súvislosti, ako som už vysvetlil v bode 86 vyššie, zastávam názor, že keď majú opatrenia zahŕňajúce zásahy do základných práv stanovených Chartou svoj pôvod v legislatívnom akte Únie, je úlohou normotvorcu Únie, aby pri dodržaní vyššie uvedených kritérií jasnosti a presnosti, ako aj zásady proporcionality určil presný rozsah týchto zásahov. Z toho vyplýva, že ak je právnym nástrojom zvoleným týmto normotvorcom smernica, nemožno podľa môjho názoru delegovať na členské štáty, aby pri jej prebratí do svojho vnútroštátneho práva určovali základné prvky vymedzujúce rozsah zásahu, akými sú v prípade obmedzení základných práv uvedených v článkoch 7 a 8 Charty povaha a rozsah spracúvaných osobných údajov.

143. Vo štvrtom rade niektoré členské štáty poukazujú na to, že bod 12 prílohy I by sa mal chápať tak, že sa vzťahuje len na informácie, ktoré súvisia s poskytovaním prepravy. Takto vykladaný by bol tento bod zlučiteľný s článkami 7, 8 a článkom 52 ods. 1 Charty.

144. Ani toto tvrdenie ma nepresvedčilo. Predovšetkým informácie, ktoré môžu spadať pod rubriku „všeobecné poznámky“ a pod kódy OSI, SSI, a SSR sú totiž veľmi rôznorodé (lekárska starostlivosť, osobitné jedlá a stravovacie preferencie, akákoľvek žiadosť o pomoc, informácie o maloletých bez sprievodu, atď.)(141) a všetky súvisia s poskytovaním prepravy, keďže ich cieľom je najmä umožniť leteckému dopravcovi prispôsobiť túto službu požiadavkám každého cestujúceho. Výkladové kritérium založené na relevantnosti informácie súvisiacej s poskytovaním prepravy teda neumožňuje bližšie spresniť rozsah tohto bodu 12. Ďalej chcem poznamenať, že hoci Súdny dvor v bode 159 stanoviska 1/15 použil toto kritérium s cieľom vykladať v súlade s požiadavkami jasnosti a presnosti inú rubriku prílohy k návrhu dohody PNR medzi Kanadou a EÚ, vylúčil však možnosť takto postupovať v súvislosti s rubrikou 17 tejto prílohy, ktorá zodpovedá bodu 12 prílohy I.

145. V piatom rade niekoľko členských štátov zdôraznilo skutočnosť, že informácie, ktoré má zahŕňať bod 12 prílohy I, poskytujú leteckým dopravcom dobrovoľne samotní cestujúci, ktorí sú riadne informovaní o následnom prenose týchto údajov verejným orgánom. Domnievam sa, že takéto tvrdenie je založené na tom, že existuje určitý implicitný súhlas dotknutého cestujúceho s tým, že údaje, ktoré poskytuje leteckým spoločnostiam, sa budú následne prenášať orgánom verejnej moci.

146. V tejto súvislosti Súdny dvor už mal príležitosť spresniť, že nejde o „súhlas“, ak dotknutá osoba nemôže slobodne namietať voči spracúvaniu jej osobných údajov.(142) V prípade veľkej časti informácií, ktoré môžu spadať do bodu 12 prílohy I, pritom dotknutý cestujúci nemá skutočnú možnosť voľby, ale je povinný ich poskytnúť, aby mohol využiť službu prepravy. Platí to najmä v prípade osôb so zdravotným postihnutím alebo zníženou pohyblivosťou, alebo osôb, ktoré potrebujú lekársku starostlivosť, alebo maloletých osôb bez sprievodu. Okrem toho chcem pripomenúť, že Súdny dvor v bodoch 142 a 143 stanoviska 1/15 jasne uviedol, že spracúvanie údajov z PNR orgánmi verejnej moci, ktoré sleduje iný účel než je ten, na ktorý leteckí dopravcovia tieto údaje zhromažďujú, nemožno považovať za založené na akejkoľvek forme súhlasu poskytnutého cestujúcimi na toto zhromažďovanie.

147. Napokon väčšina členských štátov tvrdí, že spracúvania údajov stanovené v smernici PNR sú sprevádzané viacerými zárukami, medzi ktoré patria, pokiaľ ide o prenos údajov útvarom PIU, povinnosť PIU vymazať údaje, ktoré nie sú uvedené v prílohe I, ako aj údaje, z ktorých môže byť zrejmý rasový alebo etnický pôvod osoby, jej politické zmýšľanie, náboženské vyznanie či filozofické presvedčenie, členstvo v odborových organizáciách, zdravie, sexuálny život alebo sexuálna orientácia.

148. V tejto súvislosti chcem na úvod uviesť, že podľa môjho názoru posúdenie dostatočne jasnej a presnej povahy pravidiel vymedzujúcich rozsah a povahu údajov, ktoré môžu byť prenášané orgánom verejnej správy, v rozsahu, v akom je jeho cieľom zabezpečiť, aby opatrenie zahŕňajúce zásahy do základných práv uvedených v článkoch 7 a 8 Charty bolo v súlade so zásadami zákonnosti a právnej istoty, sa musí vykonať bez zohľadnenia záruk spojených so spracúvaním týchto údajov zo strany uvedených orgánov, pričom tieto záruky sa zohľadnia len pri skúmaní primeranosti daného opatrenia. Takto navyše postupoval Súdny dvor v bodoch 155 až 163 stanoviska 1/15 pri posúdení rubrík návrhu dohody PNR medzi Kanadou a EÚ. Všeobecnejšie chcem dodať, že osobitná pozornosť by sa mala venovať potrebe zachovania jasného rozlíšenia medzi jednotlivými fázami preskúmania opatrenia zahŕňajúceho zásahy do základných práv, keďže zlúčenie týchto rôznych fáz ide podľa mňa vždy na úkor účinnej ochrany týchto práv.

149. Vzhľadom na to len uvediem, že na jednej strane povinnosť útvarov PIU v súlade s článkom 6 ods. 1 smernice PNR vymazať iné údaje ako tie, ktoré sú vymenované v prílohe I, je užitočná len vtedy, ak táto príloha obsahuje jasný a uzavretý zoznam údajov, ktoré majú byť prenášané. To isté platí pre povinnosť útvarov PIU v súlade s článkom 13 ods. 4 smernice PNR vymazať tzv. „citlivé“ údaje.(143) Príliš neurčité, nepresné alebo otvorené vymedzenie informácií, ktoré sa majú prenášať, totiž zvyšuje pravdepodobnosť, že takéto údaje budú nepriamo prenesené, ako aj riziko, že nebudú hneď identifikované a vymazané. Inými slovami, vyššie uvedené záruky môžu účinne plniť svoju funkciu len vtedy, ak pravidlá vymedzujúce povahu a rozsah údajov z PNR, ktoré majú leteckí dopravcovia prenášať útvarom PIU, sú dostatočne jasné a presné a ak je zoznam týchto údajov uzavretý a vyčerpávajúci.

150. Na základe všetkých predchádzajúcich úvah a ako som už uviedol v bode 135 vyššie, zastávam názor, že bod 12 prílohy I v časti, ktorá zahŕňa „všeobecné poznámky“ medzi údaje, ktoré sú leteckí dopravcovia povinní prenášať útvarom PIU v súlade so smernicou PNR, nespĺňa požiadavky jasnosti a presnosti vyžadované článkom 52 ods. 1 Charty, ako ich vykladá Súdny dvor,(144) a preto by mal byť v tomto rozsahu vyhlásený za neplatný.

151. Komisia a Parlament vo svojich písomných pripomienkach navrhli, aby Súdny dvor použil skôr „konformný výklad“ bodu 12 prílohy I, a to v tom zmysle, že tento bod sa vzťahuje len na informácie o maloletých, ktoré sú v ňom výslovne uvedené v zátvorke. Priznávam, že mám určité ťažkosti s konštatovaním, že takýto výklad sa pohybuje v medziach obyčajného konformného výkladu. Je nepochybne pravda, že podľa všeobecnej zásady výkladu sa má akt Únie vykladať, pokiaľ je to možné, spôsobom, ktorý nespochybní jeho platnosť, a v súlade s celým primárnym právom a najmä s ustanoveniami Charty.(145) Rovnako je pravda, že v prípade smernice PNR sa možnosť takéhoto výkladu zdá byť podporovaná dôrazom, ktorý kladú najmä mnohé odôvodnenia tejto smernice na plné dodržiavanie základných práv, práva na rešpektovanie súkromia, ako aj zásady proporcionality.(146) Z ustálenej judikatúry však tiež vyplýva, že konformný výklad je prípustný len vtedy, keď je znenie sekundárneho práva Únie možné vykladať viac ako jedným spôsobom, a preto je možné uprednostniť výklad, podľa ktorého je ustanovenie v súlade s primárnym právom, pred výkladom, ktorý vedie k zisteniu, že ustanovenie je s primárnym právom nezlučiteľné.(147)

152. Bod 12 prílohy I pritom podľa môjho názoru nemožno vykladať tak, ako to navrhuje Komisia a Parlament, pokiaľ nejde o výklad contra legem. Ako som totiž vysvetlil vyššie, tento bod zahŕňa širokú kategóriu údajov rôznej povahy, a priori neidentifikovateľných, pričom údaje o maloletých sú len jednou z jej podkategórií. Ak by sa tento bod vykladal tak, že sa týka len tejto jednej podkategórie, znamenalo by to nielen ignorovanie časti jeho znenia, ale tiež narušenie logického sledu formulácií, ktoré tento bod obsahuje. Takúto operáciu, ktorá v podstate spočíva v odstránení jednej časti znenia bodu 12 prílohy I, ktorá by sa považovala za nezlučiteľnú s požiadavkami jasnosti a presnosti, je podľa môjho názoru možné vykonať len formou čiastočného zrušenia.

153. Pokiaľ ide o zvyšnú časť bodu 12 prílohy I, v ktorej je vymenovaný súbor údajov týkajúcich sa maloletých bez sprievodu, zastávam názor, že spĺňa požiadavky jasnosti a presnosti pod podmienkou, že bude vykladaná v tom zmysle, že zahŕňa len informácie o maloletých bez sprievodu, ktoré priamo súvisia s letom a ktoré sú v tomto bode výslovne uvedené.

154. Pokiaľ ide o bod 18 prílohy I, jeho znenie je takéto:

„Akékoľvek zhromaždené vopred poskytované informácie o cestujúcich (API) (vrátane typu, čísla, krajiny, v ktorej bol vydaný a dátumu uplynutia platnosti akéhokoľvek dokladu totožnosti, národnosti, priezviska, mena, pohlavia, dátumu narodenia, leteckej spoločnosti, čísla letu, dátumu odletu, dátumu príletu, miesta odletu, miesta príletu, času odletu a času príletu).“

155. Tento bod má podobnú štruktúru ako bod 12 prílohy I. Uvádza tiež všeobecnú kategóriu údajov, a to vopred poskytované informácie o cestujúcich (Advance Passenger Information – API), za ktorou nasleduje v zátvorkách zoznam údajov považovaných za súčasť tejto všeobecnej kategórie, ktorý je iba demonštratívny, o čom svedčí použitie výrazu „vrátane“.

156. Na rozdiel od bodu 12 prílohy I však bod 18 tejto prílohy odkazuje na kategóriu údajov, ktoré sú lepšie identifikovateľné, a to pokiaľ ide o ich povahu, ako aj rozsah. Z odôvodnenia 4 smernice PNR totiž vyplýva, že keď táto smernica odkazuje na túto kategóriu údajov, ide o informácie, ktoré v súlade so smernicou API, na ktorú toto odôvodnenie výslovne odkazuje, leteckí dopravcovia prenášajú príslušným vnútroštátnym orgánom na účely zlepšenia hraničných kontrol a boja proti nelegálnemu prisťahovalectvu. Tieto údaje sú vymenované v článku 3 ods. 2 poslednej uvedenej smernice.

157. Okrem toho z odôvodnenia 9(148) smernice PNR, ako aj z článku 3 ods. 2 smernice API a z demonštratívneho zoznamu uvedeného v bode 18 prílohy I vyplýva, že údaje API spadajúce pod uvedený bod sú jednak biografické údaje umožňujúce overiť totožnosť cestujúceho v leteckej doprave, a jednak údaje týkajúce sa rezervovaného letu. Pokiaľ ide konkrétne o prvú kategóriu, ktorou sú biografické údaje, informácie vymenované v článku 3 ods. 2 smernice API a v bode 18 prílohy I zahŕňajú údaje vygenerované pri odbavení, ktoré možno získať z prístrojom snímateľnej časti pasu (alebo iného cestovného dokladu).(149)

158. Bod 18 prílohy I vykladaný s prihliadnutím na odôvodnenia 4 a 9 smernice PNR tak v zásade dostatočne jasne a presne určuje prinajmenšom povahu údajov, na ktoré sa vzťahuje.

159. Pokiaľ ide o rozsah týchto údajov, treba konštatovať, že na jednej strane článok 3 ods. 2 smernice API je tiež formulovaný „otvoreným“ spôsobom, keďže zoznamu údajov, ktoré vymenúva, predchádza slovné spojenie „uvedené informácie musia zahrnovať tieto údaje“,(150) a na druhej strane, že kategória údajov API, ako je vymedzená vo viacstranných harmonizačných nástrojoch v tejto oblasti, zahŕňa aj iné údaje ako tie, ktoré sú uvedené v smernici API a v bode 18 prílohy I.(151)

160. Na to, aby za týchto okolností bod 18 prílohy I spĺňal požiadavky jasnosti a presnosti vyžadované od právnych základov, z ktorých vyplývajú zásahy do článkov 7 a 8 Charty, treba ho vykladať v tom zmysle, že zahŕňa iba údaje API, ktoré sú výslovne vymenované v tomto bode, ako aj v článku 3 ods. 2 smernice API, a ktoré boli zhromaždené leteckými dopravcami v rámci svojich bežných činností.(152)

161. V tejto fáze je vhodné stručne preskúmať ostatné body prílohy I, ktoré majú vzhľadom na ich znenie tiež „otvorenú“ povahu alebo nie sú dostatočne presné, hoci sa na ne vnútroštátny súd výslovne nepýtal Súdneho dvora.(153)

162. Pokiaľ ide v prvom rade o bod 5 prílohy I, v ktorom sa uvádza „adresa a kontaktné informácie (telefónne číslo, e‑mailová adresa)“, hoci treba vychádzať z toho, že sa týka len kontaktných údajov výslovne uvedených v zátvorke, a teda má taxatívnu povahu, tento bod nespresňuje, ako to bolo v prípade príslušnej rubriky návrhu dohody PNR medzi Kanadou a EÚ,(154) či sa tieto kontaktné údaje vzťahujú len na cestujúceho alebo na tretie osoby, ktoré uskutočnili rezerváciu letu pre cestujúceho v leteckej doprave, tretie osoby, prostredníctvom ktorých možno tohto cestujúceho kontaktovať, alebo aj na tretie osoby, ktoré majú byť informované v naliehavom prípade.(155) Vzhľadom na skutočnosť, že výklad bodu 5 prílohy I v tom zmysle, že sa vzťahuje aj na vyššie uvedené kategórie tretích osôb, by rozšíril zásah vyplývajúci zo smernice PNR aj na ďalšie subjekty okrem cestujúcich v leteckej doprave v zmysle článku 3 bodu 4 smernice PNR, navrhujem, aby v prípade neexistencie presných údajov, na základe ktorých sa možno domnievať, že systematické a všeobecné získavanie kontaktných údajov týchto tretích osôb predstavuje prvok striktne nevyhnutný pre účinnosť systému PNR zavedeného touto smernicou, Súdny dvor vykladal uvedený bod tak, že sa vzťahuje len na kontaktné údaje, ktoré sú v ňom výslovne uvedené a ktoré sa týkajú cestujúceho v leteckej doprave, v ktorého mene bola urobená rezervácia. Je pravda, že smernica PNR nevylučuje, že útvarom PIU môžu byť prenášané aj osobné údaje iných subjektov ako cestujúcich v leteckej doprave.(156) Je však nevyhnutné, aby prípady, keď je to možné, boli jasne a výslovne uvedené, ako je to v prípade zástupcov cestovných agentúr uvedených v bode 9 prílohy I, alebo opatrovníkov maloletých osôb bez sprievodu uvedených v bode 12 tejto prílohy. Len vtedy, keď je táto podmienka splnená, sa totiž možno domnievať, že rozhodnutie zahrnúť tieto údaje do údajov, ktoré majú byť prenesené útvarom PIU, podliehalo zváženiu rôznych dotknutých záujmov v zmysle odôvodnenia 15 smernice PNR a že dotknuté tretie osoby môžu byť primerane informované o spracovaní ich osobných údajov.

163. Pokiaľ ide ďalej o bod 6 prílohy I, ktorý zahŕňa „informácie o všetkých spôsoboch platby vrátane fakturačnej adresy“, treba tento bod podobne, ako rozhodol Súdny dvor v bode 159 stanoviska 1/15 v súvislosti s príslušnou rubrikou prílohy k návrhu dohody PNR medzi Kanadou a EÚ, vykladať na účely splnenia požiadaviek jasnosti a presnosti tak, že „sa týka iba informácií o spôsoboch platby a fakturácii letenky, s vylúčením akýchkoľvek ďalších informácií, ktoré s letom priamo nesúvisia“. Tieto informácie teda nemôžu zahŕňať napríklad informácie o spôsoboch platby za iné služby, ktoré priamo nesúvisia s letom, ako je prenájom vozidla po prílete.(157)

164. Pokiaľ ide o bod 8, ktorý zahŕňa „Informácie o častých cestujúcich (‚frequent flyer‘)“, v normách ICAO je vymedzený tak, že sa týka čísla účtu a statusu častého cestujúceho.(158) Na základe výkladu v tomto zmysle tento bod spĺňa požiadavky jasnosti a presnosti.

165. Pokiaľ ide o bod 10 prílohy I, ktorý zahŕňa „Štádium cesty cestujúceho vrátane potvrdení odletu, stavu vybavenia (‚check‑in‘), informácií o prípadoch, keď sa cestujúci nedostavil k odletu (no show), alebo informácií o prípadoch, keď sa cestujúci dostavil bez rezervácie (‚go show‘)“, a bod 13 tejto prílohy zahŕňajúci „informácie o vystavení letenky vrátane čísla letenky, dátumu vystavenia letenky a jednosmerných leteniek, údajov zaznamenaných v rámci automatizovaného výpočtu cestovného (‚automated ticket fare quote‘)“, tieto body sa napriek ich otvorenej formulácii týkajú len veľmi presných a jasne identifikovateľných informácií, ktoré priamo súvisia s letom. To isté platí pre bod 14 prílohy I, ktorý zahŕňa „Číslo sedadla a ostatné informácie týkajúce sa sedadla“, a pre bod 16 tejto prílohy zahŕňajúci „všetkých informácií o batožine“.

–       O rozsahu údajov vymenovaných v prílohe I (druhá prejudiciálna otázka)

166. Medzi prvky, ktoré Súdny dvor zohľadňuje pri posúdení primeranosti opatrenia prinášajúceho zásahy do práv zakotvených v článkoch 7 a 8 Charty, patrí primeranosť, relevantnosť a neprekračovanie určitého rozsahu spracúvaných osobných údajov (zásada „minimalizácie údajov“).(159) Rovnaký test je stanovený v judikatúre ESĽP(160) a odporúčaný v Dohovore č. 108.(161)

167. Z odôvodnenia 15 smernice PNR vyplýva, že zoznam údajov PNR, ktoré majú byť prenesené útvarom PIU, bol vypracovaný tak, aby zodpovedal oprávneným požiadavkám orgánov verejnej moci v oblasti boja proti terorizmu a závažnej trestnej činnosti, a zároveň chránil základné práva, najmä právo na rešpektovanie súkromného života a na ochranu osobných údajov, a to uplatňovaním „vyšších štandardov“ v súlade s Chartou, Dohovorom č. 108 a EDĽP. To isté odôvodnenie spresňuje, že údaje z PNR by mali predovšetkým obsahovať len údaje o rezervácii cestujúceho a trase jeho cesty, ktoré príslušným orgánom umožnia identifikovať v leteckej doprave cestujúcich, ktorí predstavujú hrozbu pre vnútornú bezpečnosť.

168. Pokiaľ ide v prvom rade o primeranosť a relevantnosť údajov z PNR uvedených v prílohe I, jednotlivé body tejto prílohy, vrátane bodov 5, 6, 8 a 18, ako ich navrhujem vykladať(162), a bodu 12 s výnimkou časti, ktorú navrhujem vyhlásiť za neplatnú(163), zahŕňajú len údaje poskytujúce informácie priamo spojené s cestami leteckou dopravou, ktoré patria do pôsobnosti smernice PNR. Tieto údaje majú navyše objektívnu súvislosť s cieľmi sledovanými touto smernicou. Konkrétne, údaje API sú spôsobilé najmä na „spätné využívanie“ s cieľom identifikovať osobu, ktorá je už útvarom presadzovania práva známa, napríklad preto, lebo je podozrivá z účasti na teroristických trestných činoch alebo závažnej trestnej činnosti, ktoré už boli spáchané, alebo z toho, že sa chystá spáchať takýto trestný čin, zatiaľ čo údaje z PNR sú spôsobilé skôr na využívanie „v reálnom čase“ alebo „proaktívne využívanie“, s cieľom identifikovať hrozby pochádzajúce od osôb, ktoré útvary presadzovania práva ešte nepoznajú.

169. V druhom rade, pokiaľ ide o rozsah údajov z PNR vymenovaných v prílohe I, tieto údaje, vrátane údajov uvedených v bodoch 5, 6, 8, 12 a 18 tejto prílohy, ako ich navrhujem vykladať v bodoch 134 až 164 vyššie, sa nezdajú byť nadbytočné, a to jednak vzhľadom na význam cieľa ochrany verejnej bezpečnosti sledovaného smernicou PNR, a jednak na vhodnosť režimu zavedeného touto smernicou sledovať takýto cieľ.

170. Pokiaľ ide najmä o údaje API, na ktoré sa konkrétne pýta vnútroštátny súd, chcem poukázať na to, že tieto údaje, ktoré majú biografickú povahu a týkajú sa trasy letu, umožňujú vo všeobecnosti dospieť len k obmedzeným informáciám o súkromnom živote dotknutých cestujúcich. Okrem toho, hoci je pravda, že bod 18 prílohy I zahŕňa informácie, ktoré sa nenachádzajú medzi informáciami výslovne uvedenými v článku 3 ods. 2 smernice API, tieto informácie týkajúce sa totožnosti cestujúceho v leteckej doprave (pohlavie), použitého cestovného dokladu (krajina vydania, dátum uplynutia platnosti akéhokoľvek identifikačného dokladu), alebo tiež konkrétneho letu (letecká spoločnosť, číslo letu, dátum a miesto odletu a príletu), sa čiastočne prekrývajú s údajmi z PNR uvedenými v iných bodoch prílohy I, napríklad v bodoch 3, 7 a 13, alebo ich možno z týchto údajov získať. V rozsahu, v akom sa týkajú biografických údajov alebo použitých cestovných dokladov, môžu uvedené informácie navyše pomáhať útvarom presadzovania práva pri overovaní totožnosti osoby, a tak znižovať, ako uvádza odôvodnenie 9 smernice PNR, riziko kontrolovania a vyšetrovania nevinných osôb. Napokon treba zdôrazniť, že samotná skutočnosť, že bod 18 prílohy I obsahuje údaje, ktoré dopĺňajú údaje uvedené v článku 3 ods. 2 smernice API, nemôže automaticky viesť k tvrdeniu o nadbytočnosti týchto údajov, keďže táto smernica sleduje odlišné ciele ako smernica PNR.

171. Pokiaľ ide o údaje týkajúce sa maloletých osôb bez sprievodu, ktoré sú vymenované v bode 12 prílohy I, tieto údaje sa týkajú kategórie zraniteľných osôb, ktorým je poskytovaná osobitná ochrana, a to aj pokiaľ ide o rešpektovanie ich súkromného života a ochranu ich osobných údajov.(164) Nič to však nemení na tom, že obmedzenie týchto práv sa môže ukázať ako nevyhnutné, najmä s cieľom ochrany detí pred závažnou trestnou činnosťou, ktorej by mohli byť obeťami, ako je napríklad obchodovanie s deťmi a sexuálne vykorisťovanie detí alebo únosy detí. Nemožno sa teda a priori domnievať, že bod 12 prílohy I tým, že vyžaduje prenos väčšieho počtu osobných údajov v súvislosti s maloletými bez sprievodu, prekračuje rámec toho, čo je striktne nevyhnutné.

172. Hoci osobné údaje, ktoré sú leteckí dopravcovia povinní prenášať útvarom PIU v súlade so smernicou PNR, podľa môjho názoru spĺňajú požiadavky primeranosti a relevantnosti a ich rozsah neprekračuje rámec toho, čo je nevyhnutne potrebné na fungovanie režimu zavedeného touto smernicou, nič to nemení na tom, že takýto prenos sa týka značného množstva osobných údajov rôznej povahy pre každého dotknutého cestujúceho, ako aj mimoriadne vysokého počtu takýchto údajov v absolútnom vyjadrení. Za týchto okolností je prvoradé, aby takýto prenos sprevádzali dostatočné záruky, ktorých cieľom je jednak zabezpečiť, aby sa prenášali len výslovne stanovené údaje, a jednak zaistiť bezpečnosť a dôvernosť prenášaných údajov.

173. V tejto súvislosti treba na jednej strane uviesť, že normotvorca Únie najprv stanovil súbor záruk umožňujúcich obmedziť kategórie údajov z PNR sprístupnených útvarom presadzovania práva a zabezpečiť, že tento prístup sa bude obmedzovať na údaje, ktorých spracúvanie sa považuje za nevyhnutné na účely cieľov sledovaných smernicou PNR. Táto smernica teda po prvé taxatívne a presne vymenúva údaje, ktoré môžu byť prenášané útvarom PIU, s výhradou úvah rozvinutých v rámci odpovede na tretiu prejudiciálnu otázku. Po druhé smernica PNR výslovne uvádza, že útvarom PIU sa môžu prenášať len údaje obsiahnuté v tomto zozname, ktorý je výsledkom zváženia jednotlivých záujmov a požiadaviek uvedených v odôvodnení 15 tejto smernice (článok 6 ods. 1 smernice PNR). Po tretie táto smernica spresňuje, že ak prenášané údaje z PNR obsahujú iné údaje než tie, ktoré sú uvedené v prílohe I, PIU tieto údaje „ihneď po ich prijatí natrvalo“ vymaže (článok 6 ods. 1 smernice PNR). Po štvrté uvedená smernica stanovuje, že údaje z PNR uvedené v prílohe I môžu byť prenášané iba v rozsahu, v akom ich už leteckí dopravcovia zhromaždili v rámci bežného výkonu svojich činností (článok 8 ods. 1 a odôvodnenie 8 smernice PNR), čo znamená, že útvary PIU nemajú prístup ku všetkým údajom uvedeným v prílohe I, ale len k tým, ktoré sú uvedené v rezervačnom systéme príslušného prevádzkovateľa. Po piate článok 8 ods. 1 smernice PNR ukladá leteckým dopravcom povinnosť používať na prenos údajov z PNR útvarom PIU metódu „push“. Táto metóda, ktorú odporúčajú aj usmernenia ICAO(165), znamená, že uvedení dopravcovia sami prenášajú údaje z PNR do databáz útvarov PIU. V porovnaní s metódou „pull“, pri ktorej môžu mať príslušné orgány prístup do systémov prevádzkovateľov a vybrať z ich databáz kópiu požadovaných údajov, poskytuje metóda „push“ viac záruk, pretože príslušnému leteckému dopravcovi priznáva úlohu strážcu a kontrolóra údajov z PNR. Napokon smernica PNR v súlade s usmerneniami ICAO a so zásadou „jednotného kontaktného miesta“(166) stanovuje, že k prenosu údajov z PNR dochádza prostredníctvom jediného subjektu, a to útvaru PIU, ktorý koná pod dohľadom zodpovednej osoby uvedenej v článku 5 tejto smernice, a predovšetkým pod dohľadom vnútroštátneho dozorného orgánu uvedeného v článku 15 spomínanej smernice.

174. Na druhej strane smernica PNR stanovuje určitý počet záruk určených na zaistenie bezpečnosti údajov z PNR. V tejto súvislosti odkazujem na článok 13 ods. 2 tejto smernice, podľa ktorého sa na každé spracúvanie osobných údajov podľa tejto smernice uplatnia články 28 a 29 ochrannej smernice týkajúce sa dôvernosti pri spracúvaní a bezpečnosti údajov, ako aj na odsek 3 toho istého článku, ktorý v súvislosti so spracúvaním údajov z PNR leteckými dopravcami pripomína povinnosti, ktoré im vyplývajú z GDPR, najmä pokiaľ ide o primerané technické a organizačné opatrenia, ktoré sa majú prijať na ochranu bezpečnosti a dôvernosti týchto údajov.(167)

175. Napokon treba zdôrazniť, že smernica PNR vo svojich odôvodneniach 29 a 37 uznáva právo cestujúcich na „správne, ľahko dostupné a zrozumiteľné informácie“ okrem iného o zhromažďovaní údajov z PNR, pričom od členských štátov požaduje, aby dohliadali na dodržiavanie tohto práva. Hoci sa toto uznanie nepremieta do záväzného ustanovenia v texte smernice PNR, chcem pripomenúť, že ako som uviedol pri skúmaní prvej prejudiciálnej otázky, na prenos údajov z PNR útvarom PIU sa uplatňujú ustanovenia GDPR. Leteckí dopravcovia sú preto v rámci tohto prenosu povinní dodržiavať okrem iného články 13 a 14 GDPR, ktoré stanovujú právo na informovanie osôb dotknutých spracúvaním osobných údajov. Hoci by členské štáty mali pri prebratí smernice PNR výslovne upraviť právo na informovanie cestujúcich v leteckej doprave, ako je uznané v odôvodneniach 29 a 37 tejto smernice, v každom prípade je vylúčené, aby obmedzili pôsobnosť článkov 13 a 14 GDPR na základe článku 23 ods. 1 tohto nariadenia, pretože by to bolo v rozpore s duchom tejto smernice. Ak má byť pritom takéto právo účinné, musí sa vzťahovať aj na kategórie údajov z PNR, ktoré majú byť prenášané.

176. Vzhľadom na všetky predchádzajúce úvahy zastávam názor, že údaje z PNR, ktorých spracúvanie stanovuje smernica PNR, sú s výhradou navrhovaných obmedzení a spresnení v rámci tretej prejudiciálnej otázky primerané, relevantné a nie nadbytočné vzhľadom na ciele sledované touto smernicou a že ich rozsah neprekračuje rámec toho, čo je striktne nevyhnutné na dosiahnutie týchto cieľov.

–       O citlivých údajoch

177. Smernica PNR vo všeobecnosti zakazuje akékoľvek spracúvanie „citlivých údajov“(168).

178. Hoci táto smernica neobsahuje definíciu pojmu „citlivé údaje“, z jej článku 13 ods. 4 vyplýva, že táto definícia zahŕňa prinajmenšom údaje z PNR, „z ktorých je zrejmý rasový alebo etnický pôvod osoby, jej politické zmýšľanie, náboženské vyznanie či filozofické presvedčenie, členstvo v odborových organizáciách, zdravie, sexuálny život alebo sexuálna orientácia“(169). V bode 165 stanoviska 1/15 Súdny dvor spresnil, že akékoľvek opatrenie vychádzajúce z predpokladu, že jeden alebo viac týchto znakov „by sám osebe a bez ohľadu na individuálne správanie dotknutého cestujúceho mohol byť relevantný z hľadiska účelu spracúvania údajov z PNR…, by bolo v rozpore s právami zaručenými v článkoch 7 a 8 Charty v spojení s jej článkom 21“. Keďže smernica PNR zakazuje akékoľvek spracúvanie údajov uvedených v jej článku 13 ods. 4, pohybuje sa teda v medziach, ktoré určil Súdny dvor pre využívanie týchto kategórií údajov v rámci systému spracúvania údajov z PNR, či už sa riadi vnútroštátnym právom, právom Únie alebo medzinárodnou dohodou uzatvorenou Úniou.

179. Všeobecný zákaz spracúvania citlivých údajov stanovený v smernici PNR zahŕňa aj ich zhromažďovanie. Ako sa výslovne uvádza v odôvodnení 15 tejto smernice, 19 rubrík obsiahnutých v prílohe I sa tak nezakladá na údajoch z PNR uvedených v článku 13 ods. 4 tejto smernice.

180. Hoci žiadna z týchto rubrík výslovne neuvádza takéto údaje, mohli by tieto údaje patriť najmä pod rubriku „Všeobecné poznámky“ uvedenú v bode 12 prílohy I predstavujúcom „otvorené pole“, ktorá môže zahŕňať, ako som už uviedol v rámci skúmania tretej prejudiciálnej otázky, bližšie neurčený počet informácií rôznej povahy. Existuje totiž konkrétne riziko, ako to navyše uviedol Súdny dvor v bode 164 stanoviska 1/15, že informácie patriace do uvedenej rubriky, ktoré sa týkajú napríklad diétnych preferencií, žiadostí o pomoc, paušálnych cien v prospech určitých kategórií osôb alebo združení, priamo odhalia citlivé údaje v zmysle článku 13 ods. 4 smernice PNR týkajúce sa najmä vierovyznania dotknutých cestujúcich, ich zdravotného stavu alebo členstva v odborovej organizácii či politickej strane.

181. Keďže spracúvanie týchto údajov je smernicou PNR v každom prípade vylúčené, ich prenos leteckými dopravcami nielenže zjavne prekračuje rámec toho, čo je striktne nevyhnutné, ale sa tiež zdá byť nepotrebný. V tejto súvislosti treba zdôrazniť, že skutočnosť, že podľa článku 13 ods. 4 druhej vety smernice PNR sú útvary PIU v každom prípade povinné ihneď vymazať údaje z PNR, ktoré odhaľujú niektorú z informácií uvedených v prvej vete tohto odseku, neumožňuje povoliť alebo odôvodniť prenos týchto údajov,(170) keďže zákaz ich spracúvania stanovený uvedenou smernicou musí platiť od prvej etapy spracúvania údajov z PNR. Povinnosť vymazať citlivé údaje teda predstavuje len dodatočnú záruku, ktorú táto smernica stanovuje pre prípad, že by sa takéto údaje výnimočne prenášali útvarom PIU omylom.

182. Okrem toho chcem uviesť, ako poznamenal generálny advokát Mengozzi v bode 222 svojich návrhov k stanovisku 1/15(171), že vzhľadom na to, že informácie patriace do rubrík „voľný text“, akou je rubrika „Všeobecné poznámky“ uvedená v bode 12 prílohy I, ktoré môžu obsahovať citlivé údaje podľa článku 13 ods. 4 smernice PNR, oznamujú cestujúci len fakultatívne, je len málo pravdepodobné, že by osoby podieľajúce sa na teroristických trestných činoch alebo závažnej trestnej činnosti pristúpili k takémuto spontánnemu oznámeniu, takže systematický prenos týchto údajov by sa pravdepodobne týkal z väčšej časti iba osôb, ktoré si vyžiadali doplnkovú službu, čo v skutočnosti nie je pre útvary presadzovania práva vôbec relevantné.(172)

183. V rámci preskúmania tretej prejudiciálnej otázky som dospel k záveru, že bod 12 prílohy I v rozsahu, v akom zahŕňa rubriku „Všeobecné poznámky“, nespĺňa požiadavky jasnosti a presnosti vyžadované podľa článku 52 ods. 1 prvej vety Charty. Z dôvodov, ktoré som práve uviedol, sa domnievam, že zahrnutie tejto rubriky do kategórií údajov, ktoré sú systematicky prenášané útvarom PIU, bez akékoľvek spresnenia informácií, ktorých sa môže týkať, nespĺňa kritérium nevyhnutnosti stanovené v článku 52 ods. 1 druhej vete Charty, ako ho vykladá Súdny dvor.(173)

184. Vylúčenie rubrík s „voľným textom“ zo zoznamu údajov z PNR, ktoré majú byť prenášané štátnym orgánom v rámci systému spracúvania údajov z PNR, však nestačí na odstránenie rizika, že budú citlivé údaje napriek tomu sprístupnené týmto orgánom. Takéto údaje možno totiž nielen priamo vyvodiť z informácií patriacich do takýchto rubrík, ale aj nepriamo odhaliť alebo predpokladať z informácií obsiahnutých v „kódovaných“ rubrikách. Napríklad meno cestujúceho v leteckej doprave môže poskytnúť indície alebo prinajmenšom priestor na dohady o etnickom pôvode alebo náboženskom vyznaní dotknutého cestujúceho. To isté platí aj pre štátnu príslušnosť. Tieto údaje v zásade nie sú vhodné na vylúčenie zo zoznamu údajov z PNR, ktoré majú byť prenášané, ani vymazanie zo strany orgánov oprávnených na ich prijatie. Aby sa predišlo riziku, že na základe chránených charakteristík bude stigmatizovaný veľký počet jednotlivcov, ktorí však nie sú podozriví z nijakého trestného činu, musí systém PNR poskytovať dostatočné záruky, aby sa v každej etape spracúvania zhromaždených údajov vylúčilo, že sa počas tohto spracúvania môžu priamo alebo nepriamo zohľadňovať takéto charakteristiky, napríklad tým, že pri automatizovanej analýze sa aplikujú selektory založené na týchto charakteristikách. K tejto záležitosti sa ešte vrátim neskôr v rámci svojho preskúmania.

185. Na základe všetkých vyššie uvedených úvah sa domnievam, s výhradou záveru, ku ktorému som dospel v bode 183 vyššie, že smernica PNR stanovuje v štádiu prenosu údajov z PNR útvarom PIU dostatočné záruky na ochranu citlivých údajov.

iii) O pojme „cestujúci“ (štvrtá prejudiciálna otázka)

186. Svojou štvrtou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, či je systém zavedený smernicou PNR v rozsahu, v akom umožňuje všeobecný prenos a spracúvanie údajov z PNR každej osoby, ktorá zodpovedá pojmu „cestujúci“ v zmysle článku 3 bodu 4 tejto smernice, a to nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že dotknutá osoba môže predstavovať riziko pre verejnú bezpečnosť, zlučiteľný s článkami 7, 8 a článkom 52 ods. 1 Charty. Vnútroštátny súd sa pýta najmä na možnosť preniesť judikatúru Súdneho dvora týkajúcu sa uchovávania údajov a prístupu k nim v odvetví elektronických komunikácií na systém spracúvania osobných údajov stanovený smernicou PNR.

187. Na účely prejednávanej veci Súdny dvor dospel v tejto judikatúre k záveru, že právna úprava, ktorá na účely boja proti závažnej trestnej činnosti stanovuje preventívne všeobecné a nediferencované uchovávanie údajov o prenose dát týkajúcich sa elektronických komunikácií a údajov o polohe(174), s cieľom sprístupniť tieto údaje orgánom presadzovania práva bez akéhokoľvek rozlišovania, obmedzení alebo výnimiek na účely sledovaného cieľa, nemôže byť považovaná za odôvodnenú v demokratickej spoločnosti.(175) Súdny dvor rovnako rozhodol aj v súvislosti s vnútroštátnou právnou úpravou, ktorá na účely boja proti terorizmu zaviedla automatizovanú analýzu všetkých uvedených údajov prostredníctvom filtrácie, ktorú vykonávali poskytovatelia elektronických komunikačných služieb na žiadosť príslušných vnútroštátnych orgánov a na základe parametrov, ktoré tieto orgány stanovili.(176) Podľa Súdneho dvora môžu byť takéto opatrenia odôvodnené len v situáciách, keď dotknutý členský štát čelí vážnej hrozbe pre národnú bezpečnosť, ktorá sa javí ako skutočná a aktuálna alebo predvídateľná, a pokiaľ rozhodnutie o zavedení týchto opatrení môže byť účinne preskúmané zo strany súdu alebo nezávislého správneho orgánu.(177) Použitie týchto opatrení v takýchto situáciách musí byť navyše podľa Súdneho dvora časovo obmedzené na to, čo je striktne nevyhnutné, a v žiadnom prípade nemôže mať systematickú povahu.(178)

188. Okrem toho chcem poznamenať, že hoci v tejto judikatúre Súdny dvor nezašiel tak ďaleko, aby výslovne potvrdil, ako v rozsudku Schrems I, existenciu zásahu do podstaty práva na rešpektovanie súkromného života, napriek tomu konštatoval, že predmetné opatrenia dosahujú takú úroveň závažnosti zásahu, že s výnimkou obmedzeného prípadu osobitných hrozieb pre národnú bezpečnosť členského štátu jednoducho nemohli byť považované za opatrenia obmedzené na to, čo je striktne nevyhnutné, a teda za opatrenia zlučiteľné s Chartou,(179) bez ohľadu na prípadné záruky stanovené pre prípad nebezpečenstva zneužitia dotknutých údajov alebo nezákonnému prístupu k nim.(180)

189. Už som mal príležitosť poukázať na to, že taká právna úprava, aká je stanovená v smernici PNR, má s opatreniami takého druhu, aké skúmal Súdny dvor v judikatúre pripomenutej v predchádzajúcich bodoch, niekoľko spoločných prvkov, ktoré jej dodávajú osobitne rušivý charakter. Táto smernica tak zavádza všeobecný a nediferencovaný systém zhromažďovania a automatizovanej analýzy osobných údajov významnej časti obyvateľstva, ktorý sa globálne týka všetkých osôb spadajúcich pod pojem „cestujúci“ uvedený v článku 3 bode 4 uvedenej smernice, a teda aj osôb, pri ktorých nie je dôvod domnievať sa, že by ich konanie mohlo mať aspoň nepriamu alebo vzdialenú súvislosť s teroristickými aktivitami alebo závažnou trestnou činnosťou. Práve za týchto okolností si vnútroštátny súd kladie otázku, či je táto judikatúra uplatniteľná na taký systém spracúvania údajov z PNR, akým je systém zavedený smernicou PNR.

190. V tejto súvislosti chcem uviesť, že keď Súdny dvor v bodoch 186 až 189 stanoviska 1/15 skúmal pôsobnosť ratione personae návrhu dohody PNR medzi Kanadou a EÚ, vylúčil akékoľvek prirovnanie opatrení týkajúcich sa uchovávania a všeobecného a nediferencovaného prístupu k obsahu elektronickej komunikácie a údajom o prenose dát a polohe k prenosu údajov z PNR a ich automatizovanému spracúvaniu v rámci predbežného posúdenia cestujúcich, ktorého sa týka uvedená dohoda. V čase vyhlásenia tohto stanoviska však už existovala ustálená judikatúra – potvrdená len niekoľko mesiacov pred týmto vyhlásením rozsudkom Tele2 Sverige, na ktorý odkazuje vnútroštátny súd –, v ktorej boli uvedené opatrenia, s výnimkou špecifických konkrétnych situácií,(181) vyhlásené za nezlučiteľné s Chartou.(182) Najnovšie rozsudky Súdneho dvora v tejto oblasti, a najmä rozsudok La Quadrature du Net, nadväzujú na túto judikatúru, spresňujú ju a v určitých ohľadoch ju rozvíjajú.

191. V uvedených bodoch stanoviska 1/15 Súdny dvor výslovne konštatoval, že sa nezdá, že by dohoda PNR medzi Kanadou a EÚ tým, že umožňuje prenos a automatické spracúvanie údajov z PNR do Kanady na účely predbežného posúdenia v prípade všetkých cestujúcich v leteckej doprave, išla nad rámec toho, čo je striktne nevyhnutné, a to aj keď sa takýto prenos a takéto spracúvanie mali uskutočňovať „nezávisle od akejkoľvek objektívnej skutočnosti, na základe ktorej by bolo možné domnievať sa, že cestujúci môžu predstavovať riziko pre verejnú bezpečnosť v Kanade.(183) V bode 187 tohto stanoviska Súdny dvor dokonca uviedol, že „vylúčenie niektorých kategórií osôb alebo niektorých zón pôvodu by mohlo brániť uskutočňovaniu cieľa automatizovaného spracúvania údajov z PNR, ktorým je identifikácia osôb, ktoré by mohli predstavovať riziko pre verejnú bezpečnosť, spomedzi všetkých cestujúcich v leteckej doprave prostredníctvom overovania týchto údajov, a mohlo by viesť k tomu, že toto overovanie sa bude obchádzať“(184).

192. Súdny dvor teda prinajmenšom v súvislosti so všeobecným a nediferencovaným prenosom údajov z PNR uvoľňuje prísnejší prístup, ktorý zaujal v oblasti uchovávania metadát a prístupu k nim.

193. Hoci je nepopierateľné, že Súdny dvor vo svojom odôvodnení, ako vyplýva najmä z bodov 152 a 188 stanoviska 1/15, zohľadnil jednak konštatovanie, že automatizované spracúvanie údajov z PNR uľahčuje vybavovanie bezpečnostných kontrol, a to najmä na hraniciach, a jednak skutočnosť, že v súlade s Chicagským dohovorom sú cestujúci v leteckej doprave, ktorí chcú vstúpiť na územie zmluvného štátu tohto dohovoru, povinní podrobiť sa kontrolám a dodržiavať podmienky vstupu a výstupu stanovené týmto štátom vrátane overenia ich údajov z PNR, domnievam sa, že existujú aj ďalšie dôvody, ktoré hovoria v prospech takejto rozmanitosti prístupov, a medzi nimi v prvom rade povaha spracúvaných údajov.

194. Súdny dvor už viackrát zdôraznil, že nielen obsah elektronickej komunikácie, ale aj metadáta môžu odhaliť informácie o „značnom počte aspektov súkromného života dotknutých osôb vrátane citlivých informácií, akými sú sexuálna orientácia, politické názory, náboženské, filozofické, spoločenské alebo iné presvedčenie a zdravotný stav“, že z týchto údajov ako celku „možno vyvodiť presné závery týkajúce sa súkromného života osôb, ktorých údaje boli uchovávané, ako ich každodenné zvyklosti, miesta ich trvalého alebo prechodného pobytu, denné alebo iné presuny, vykonávané činnosti, spoločenské vzťahy týchto osôb a spoločenské kruhy, v ktorých sa pohybujú“, a že uvedené údaje poskytujú najmä prostriedky na stanovenie „profilu dotknutých osôb, čo je rovnako citlivá informácia, pokiaľ ide o právo na rešpektovanie súkromného života, ako samotný obsah komunikácií“(185). Okrem toho chcem pripomenúť, že právne predpisy, ktoré Súdny dvor doteraz skúmal, vrátane právnej úpravy obsiahnutej v smernici 2006/24, nestanovovali žiadnu výnimku a uplatňovali sa aj na prijímanú alebo odosielanú komunikáciu so službami sociálneho alebo náboženského charakteru alebo s odborníkmi viazanými služobným tajomstvom. Súdny dvor tak síce nekonštatoval narušenie podstaty práva na rešpektovanie súkromného života, ale potvrdil, že „vzhľadom na citlivú povahu informácií, ktoré môžu poskytovať údaje o prenose dát a polohe, je… dôvernosť týchto údajov nevyhnutná pre právo na rešpektovanie súkromného života“(186).

195. Aj keď je pravda, ako som pripomenul v bodoch 77 a 98 vyššie, že Súdny dvor v stanovisku 1/15 uznal, že údaje z PNR môžu prípadne odhaliť veľmi presné informácie o súkromnom živote určitej osoby,(187) napriek tomu uviedol, že povaha týchto informácií sa obmedzuje na určité aspekty tohto súkromného života,(188) v dôsledku čoho je prístup k takýmto údajom menej rušivý než prístup k obsahu elektronickej komunikácie, ako aj k údajom o prenose dát a polohe.

196. V druhom rade, nielenže sa odlišuje povaha údajov z PNR od povahy údajov o prenose dát a polohe, ale odlišný je aj počet a rozmanitosť informácií, ktoré môžu tieto rôzne kategórie údajov odhaliť, keďže informácie obsiahnuté v údajoch z PNR sú tak kvantitatívne, ako aj kvalitatívne obmedzenejšie. Spôsobuje to nielen skutočnosť, že systémy všeobecného a nediferencovaného spracúvania údajov o elektronickej komunikácií sa môžu vzťahovať takmer na celú cieľovú populáciu, zatiaľ čo systémy spracúvania údajov z PNR sa uplatňujú na užší, hoci početne významný okruh jednotlivcov, ale aj frekvencia používania prostriedkov elektronickej komunikácie a ich početnosť. Okrem toho smernica PNR stanovuje zhromažďovanie a spracúvanie obmedzeného a taxatívne určeného počtu údajov z PNR s výnimkou údajov spadajúcich do kategórií vymenovaných v článku 13 ods. 4 tejto smernice, takže ak nie množstvo, tak minimálne citlivosť informácií o súkromnom živote dotknutých osôb, ktoré z týchto údajov môžu vyplynúť, možno čiastočne vyhodnotiť vopred.(189) Takéto obmedzenie typológie predmetných údajov, ktoré umožňuje vylúčiť veľkú časť údajov, ktoré môžu obsahovať citlivé informácie, je pritom v prípade údajov o prenose dát a polohe možné len čiastočne, a to vzhľadom na počet dotknutých užívateľov a komunikačných prostriedkov.(190)

197. V treťom rade akékoľvek spracovanie metadát elektronickej komunikácie okrem toho, že sa môže dotýkať intímnej sféry života takmer celého obyvateľstva, zasahuje aj do výkonu iných slobôd, prostredníctvom ktorých sa každý jednotlivec podieľa na spoločenskom a demokratickom živote krajiny,(191) a najmä by mohlo mať odradzujúci účinok na slobodu prejavu používateľov elektronických komunikačných prostriedkov,(192) ktorá predstavuje „jednu zo základných podstát demokratickej a pluralitnej spoločnosti“ a je súčasťou hodnôt, na ktorých je Únia založená.(193) Tento aspekt je spojený s opatreniami vzťahujúcimi sa na tieto kategórie osobných údajov a v zásade sa netýka systémov spracúvania údajov z PNR.

198. Vo štvrtom rade najmä z dôvodu počtu a rôznorodosti citlivých informácií, ktoré možno získať z obsahu elektronických komunikácií, ako aj z údajov o prenose dát a polohe, existuje pri spracúvaní týchto údajov výrazne vyššie riziko svojvôle ako v prípade systémov spracúvania údajov z PNR.

199. Zo všetkých dôvodov, ktoré som práve uviedol, zastávam názor, že prísnejší prístup, ktorý zaujal Súdny dvor v oblasti elektronických komunikácií, nemožno ako taký uplatniť na systémy spracúvania údajov z PNR. Súdny dvor sa prinajmenšom implicitne už vyjadril v tomto zmysle v stanovisku 1/15, a to v kontexte medzinárodnej dohody zavádzajúcej takýto systém na účely ochrany bezpečnosti tretej krajiny. Rovnaký postoj je podľa môjho názoru odôvodnený o to viac v súvislosti so smernicou PNR, ktorej cieľom je ochrana vnútornej bezpečnosti Únie.

200. Vzhľadom na to je potrebné poznamenať, ako to urobil generálny advokát Mengozzi v bode 216 svojich návrhov k stanovisku 1/15(194), že samotný význam systémov spracúvania údajov z PNR – bez ohľadu na to, či boli prijaté jednostranne, alebo sú predmetom medzinárodnej dohody – spočíva práve v tom, aby sa zabezpečilo hromadné poskytovanie údajov, ktoré umožnia príslušným orgánom identifikovať pomocou nástrojov automatizovaného spracovania a vopred stanovených scenárov alebo hodnotiacich kritérií jednotlivcov, o ktorých represívne zložky nevedia, ale ktorí sú podľa všetkého „relevantní“ alebo predstavujú riziko pre verejnú bezpečnosť, a preto ich možno neskôr podrobiť dôkladnejším individuálnym kontrolám. Požiadavka „dôvodného podozrenia“, ktorá bola potvrdená judikatúrou ESĽP týkajúcou sa cieleného odpočúvania vykonávaného v rámci vyšetrovania trestných činov(195) a judikatúrou Súdneho dvora v súvislosti s uchovávaním metadát(196), je teda v kontexte takéhoto poskytovania a takéhoto spracúvania menej významná.(197) Cieľ spočívajúci v prevencii, ktorý sledujú takéto režimy, nemožno dosiahnuť ani obmedzením ich použitia na určitú kategóriu jednotlivcov, ako to už navyše uviedol Súdny dvor v bodoch stanoviska 1/15 pripomenutých v bode 191 vyššie, takže rozsah smernice PNR podľa všetkého zabezpečuje účinné dosiahnutie tohto cieľa.(198)

201. Treba tiež zdôrazniť, že na strategický význam spracúvania údajov z PNR ako kľúčového nástroja spoločnej reakcie EÚ na terorizmus a závažnú trestnú činnosť a ako hlavnú zložku bezpečnosti Únie poukázala pri viacerých príležitostiach aj Komisia.(199) V rámci „globálneho prístupu“ k boju s terorizmom uznala úlohu, ktorú zohrávajú systémy spracúvania údajov z PNR, aj Bezpečnostná rada Organizácie Spojených národov, ktorá v rezolúcii č. 2396 (2017)(200) požaduje, aby členské štáty Organizácie Spojených národov „na základe štandardov a odporúčaní ICAO vybudovali kapacity na zhromažďovanie, spracúvanie a analýzu údajov [PNR] a aby všetky ich príslušné vnútroštátne orgány využívali a navzájom si vymieňali údaje PNR pri plnom dodržiavaní ľudských práv a základných slobôd na účely predchádzania, odhaľovania a vyšetrovania teroristických trestných činov a ciest teroristov“(201). Táto povinnosť bola znovu potvrdená v rezolúcii č. 2482/2019 v oblasti terorizmu a závažnej nadnárodnej trestnej činnosti.(202)

202. V tejto súvislosti prijatie systému spracúvania údajov z PNR harmonizovaného na úrovni Únie tak pre lety mimo EÚ, ako aj v prípade štátov, ktoré využili článok 2 smernice PNR, pre lety vnútri EÚ, umožňuje zabezpečiť, že spracúvanie týchto údajov bude prebiehať pri dodržaní vysokej úrovne ochrany základných práv uvedených v článkoch 7 a 8 Charty stanovenej touto smernicou, a poskytuje referenčný právny systém pre rokovania o medzinárodných dohodách o spracúvaní a prenose údajov z PNR.(203)

203. Okrem toho, hoci je pravda, že systém zavedený smernicou PNR sa uplatňuje bez rozdielu na všetkých cestujúcich v leteckej doprave, ako správne zdôraznil najmä Parlament vo svojich písomných pripomienkach, a ako tiež uviedla Bezpečnostná rada Organizácie Spojených národov v rezolúcii č. 2396 (2017), v ktorej sa spomína konkrétne riziko použitia civilného letectva na teroristické účely ako dopravného prostriedku a zároveň ako cieľa,(204) existuje objektívna súvislosť medzi leteckou dopravou a hrozbami pre verejnú bezpečnosť, ktoré súvisia najmä s terorizmom a prinajmenšom s niektorými formami závažnej trestnej činnosti, akými sú predovšetkým obchodovanie s drogami alebo obchodovanie s ľuďmi, ktoré majú navyše silný cezhraničný prvok.

204. Napokon treba zdôrazniť, ako tvrdí Parlament, Rada a viaceré členské štáty, ktoré predložili písomné pripomienky, že cestujúci v leteckej doprave sú pred príletom do Únie alebo odletom z Únie povinní podrobiť sa bezpečnostným kontrolám.(205) Ako tiež uviedol Súdny dvor v stanovisku 1/15, prenos a spracúvanie údajov z PNR pred ich príletom alebo odletom uľahčuje a urýchľuje tieto kontroly tým, že umožňuje represívnym zložkám zamerať sa na cestujúcich, v prípade ktorých disponujú skutočnosťami, ktoré poukazujú na existenciu skutočného rizika pre bezpečnosť.(206)

205. Nakoniec pokiaľ ide najmä o rozšírenie systému podľa smernice PNR na lety vnútri Únie, hoci nemožno a priori vylúčiť akýkoľvek vplyv na slobodu pohybu európskych občanov zakotvenú najmä v článku 45 Charty, zásah do súkromia vyplývajúci zo smernice PNR, aj keď je závažný, nie je podľa môjho názoru takej povahy, že by mal sám osebe odradzujúci účinok na výkon tejto slobody, pričom spracúvanie údajov z PNR môže verejnosť dokonca vnímať ako nevyhnutné opatrenie na zaistenie bezpečnosti leteckej dopravy.(207) Možnosť takéhoto odradzujúceho účinku je však potrebné priebežne vyhodnocovať a monitorovať.

206. Na účely dodržania judikatúry pripomenutej v bodoch 107 a 108 vyššie sa však smernica PNR nemôže obmedziť na požiadavku, aby prístup k údajom z PNR všetkých cestujúcich v leteckej doprave a automatizované spracúvanie týchto údajov zodpovedali sledovanému cieľu, ale musí tiež jasne a presne stanoviť hmotnoprávne a procesné podmienky upravujúce tento prístup a toto spracúvanie, ako aj neskoršie využívanie týchto údajov,(208) a poskytnúť primerané záruky v každej fáze tohto procesu. V rámci preskúmania druhej prejudiciálnej otázky som sa už zmienil o zárukách, ktoré sú spojené s prenosom údajov z PNR útvarom PIU. Pri rozbore šiestej prejudiciálnej otázky sa budem zaoberať zárukami, ktoré konkrétne sprevádzajú automatizované spracúvanie týchto údajov, a pri rozbore ôsmej prejudiciálnej otázky zárukami spojenými s uchovávaním týchto údajov.

207. Predtým, ako budem pokračovať, by som chcel zdôrazniť zásadný význam, ktorý má v rámci systému záruk zavedeného smernicou PNR dozor vykonávaný nezávislým orgánom uvedeným v článku 15 tejto smernice. Podľa tohto článku každé spracúvanie údajov stanovené touto smernicou podlieha dohľadu nezávislého dozorného orgánu, ktorý má právomoc overovať zákonnosť tohto spracúvania, viesť vyšetrovania, inšpekcie a audity a riešiť sťažnosti podané akoukoľvek dotknutou osobou. Takáto kontrola, ktorú vykonáva externý subjekt poverený ochranou záujmov, ktoré sa môžu dostať do konfliktu so záujmami orgánov spracúvania údajov z PNR, a ktorej úlohou je zabezpečiť dodržiavanie všetkých obmedzení a ochranných opatrení spojených s uvedeným spracúvaním, predstavuje hlavnú záruku výslovne uvedenú v článku 8 ods. 3 Charty, ktorej účinnosť z hľadiska ochrany dotknutých základných práv je dokonca vyššia ako systém opravných prostriedkov, ktoré môžu jednotlivci využiť. Podľa môjho názoru je preto podstatné, aby Súdny dvor vykladal rozsah právomocí dohľadu stanovených v článku 15 smernice PNR extenzívne, a aby členské štáty pri prebratí tejto smernice do vnútroštátneho práva priznali svojmu vnútroštátnemu dozornému orgánu plný rozsah týchto právomocí tým, že mu poskytnú materiálne a personálne zdroje potrebné na plnenie jeho úloh.

208. Na základe všetkých vyššie uvedených úvah sa domnievam, že smernica PNR tým, že umožňuje prenos a automatizované spracúvanie údajov o všetkých osobách, ktoré zodpovedajú pojmu „cestujúci“ v zmysle článku 3 bodu 4 tejto smernice, neprekračuje rámec toho, čo je striktne nevyhnutné.

iv)    O dostatočne jasnej a presnej povahe predbežného posúdenia cestujúcich a o tom, či neprekračuje rámec toho, čo je striktne nevyhnutné (šiesta prejudiciálna otázka)

209. Svojou šiestou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, či je predbežné posúdenie uvedené v článku 6 smernice PNR zlučiteľné s článkami 7, 8 a článkom 52 ods. 1 Charty. Hoci sa znenie tejto otázky zameriava na systematickú a všeobecnú povahu automatizovaného spracúvania údajov z PNR všetkých cestujúcich v leteckej doprave, ktoré zahŕňa toto predbežné posúdenie, z odôvodnenia rozsudku vnútroštátneho súdu vyplýva, že Cour constitutionnelle (Ústavný súd) žiada Súdny dvor o komplexnejšie posúdenie dodržiavania požiadaviek zákonnosti a proporcionality v kontexte takéhoto spracúvania. Ďalej teda pristúpim k tomuto posúdeniu, pričom v súvislosti s necielenou povahou automatizovaného spracúvania odkazujem na analýzu uskutočnenú pri rozbore štvrtej prejudiciálnej otázky.

210. Článok 6 ods. 2 písm. a) smernice PNR stanovuje, že útvary PIU vykonávajú posúdenie cestujúcich v leteckej doprave pred ich plánovaným príletom do členského štátu alebo odletom z neho. Cieľom tohto posúdenia je identifikovať osoby, ktoré by mali príslušné orgány ďalej preskúmať „vzhľadom na to, že by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti“. V súlade s článkom 6 ods. 6 smernice PNR útvar PIU členského štátu prenesie údaje z PNR osôb identifikovaných v rámci tohto posúdenia alebo výsledok spracúvania týchto údajov na „ďalšie preskúmanie“ príslušným orgánom toho istého členského štátu uvedeným v článku 7 tejto smernice.

211. Podľa článku 6 ods. 3 smernice PNR sa predbežné posúdenie podľa odseku 2 písm. a) tohto článku vykonáva porovnaním údajov z PNR s databázami, ktoré sú „relevantné“ [článok 6 ods. 3 písm. a)], alebo spracúvaním týchto údajov na základe vopred stanovených kritérií [článok 6 ods. 3 písm. b)].

212. Skôr ako pristúpim k preskúmaniu každého z týchto dvoch typov spracúvania údajov, chcem poukázať na to, že zo znenia vyššie uvedeného článku 6 ods. 3 jasne nevyplýva, či sú členské štáty povinné stanoviť, že predbežné posúdenie cestujúcich sa vykoná systematicky a vo všetkých prípadoch prostredníctvom oboch automatizovaných analýz, alebo či, ako by mohlo naznačovať použitie slovesa „môcť“ a vylučovacej spojky „alebo“, sú oprávnené upraviť svoje systémy tak, že napríklad vyhradia analýzu stanovenú v článku 6 ods. 3 písm. b) pre osobitné prípady. V tejto súvislosti chcem spresniť, že návrh smernice PNR stanovoval, že táto analýza sa vykoná len v rámci boja proti závažným cezhraničným trestným činom.(209)

213. Rovnako ako Komisia sa domnievam, že predovšetkým zo štruktúry smernice PNR vyplýva, že členské štáty sú povinné ustanoviť oba typy automatizovaného spracúvania, a to z dôvodov, ktoré súvisia aj s požiadavkou zabezpečiť čo najjednotnejšie uplatňovanie systému Únie pre spracúvanie údajov z PNR. To však neznamená, že by členské štáty neboli oprávnené – či dokonca povinné s cieľom zabezpečiť, aby sa spracúvanie údajov v rámci predbežného posúdenia vykonaného podľa článku 6 ods. 2 písm. a) smernice PNR obmedzilo na to, čo je striktne nevyhnutné – ohraničiť analýzu podľa článku 6 ods. 3 písm. b) z hľadiska efektivity jej výsledkov pri každom z trestných činov uvedených v tejto smernici a prípadne ju vyhradiť len pre niektoré z týchto trestných činov. V tom istom zmysle vyznieva aj odôvodnenie 7 smernice PNR, podľa ktorého „s cieľom zabezpečiť, aby sa spracúvanie údajov PNR obmedzilo na nevyhnutné minimum, by… malo byť vytváranie a uplatňovanie kritérií posudzovania obmedzené na teroristické trestné činy a závažnú trestnú činnosť, pre ktoré je použitie takýchto kritérií relevantné“.

–       O porovnaní s databázami v zmysle článku 6 ods. 3 písm. a) smernice PNR

214. Prvý spôsob predbežného posúdenia, ktorý vykonávajú útvary PIU na základe článku 6 ods. 2 písm. a) smernice PNR, zahŕňa v súlade s odsekom 3 písm. a) tohto článku porovnanie údajov z PNR („data matching“) s databázami s cieľom vyhľadať možné pozitívne zhody („hits“). Tieto pozitívne zhody musia ďalej overiť útvary PIU v súlade s článkom 6 ods. 5 smernice PNR a v prípade potreby ich pred odovzdaním príslušným orgánom prevedú do podoby „match“ (spárovanie).

215. Ako Súdny dvor uznal v bode 172 stanoviska 1/15, rozsah zásahu do práv zakotvených v článkoch 7 a 8 Charty, ktorý vyplýva z týchto druhov automatizovaných analýz, závisí najmä od databáz, z ktorých tento typ spracúvania údajov vychádza. Preto je dôležité, aby ustanovenia, ktoré upravujú takéto spracúvanie údajov, dostatočne jasne a presne určili databázy, s ktorými je povolené porovnávať údaje z PNR, ktoré sa majú spracúvať.

216. Podľa článku 6 ods. 3 písm. a) smernice PNR útvary PIU vykonajú porovnanie údajov z PNR s „databázami, ktoré sú relevantné“(210) z hľadiska cieľov sledovaných touto smernicou. Toto ustanovenie tiež uvádza osobitnú kategóriu databáz, a to databáz „hľadaných osôb alebo vecí, alebo osôb alebo vecí, na ktoré bol vydaný zápis“, ktoré teda chcel normotvorca Únie výslovne označiť za databázy, „ktoré sú relevantné“, v zmysle tohto ustanovenia.

217. Okrem tohto spresnenia pojem „databázy, ktoré sú relevantné“ nie je bližšie vysvetlený. Predovšetkým nie je uvedené, či na to, aby sa databázy používané na porovnanie s údajmi z PNR považovali za databázy, „ktoré sú relevantné“, musia byť spravované represívnymi orgánmi alebo vo všeobecnosti akýmkoľvek orgánom verejnej moci, alebo im len majú byť priamo alebo nepriamo prístupné. Ďalej nie je spresnená ani povaha údajov, ktoré môžu takéto databázy obsahovať, a ich vzťah k cieľom sledovaným smernicou PNR.(211) Okrem toho zo znenia článku 6 ods. 3 písm. a) smernice PNR vyplýva, že za „databázy, ktoré sú relevantné“ možno považovať tak vnútroštátne databázy, ako aj databázy Únie a medzinárodné databázy, čo ďalej rozširuje zoznam potenciálne zahrnutých databáz a zvyšuje otvorenú povahu tohto pojmu.(212)

218. Za týchto okolností pri uplatnení všeobecnej zásady výkladu pripomenutej v bode 151 vyššie prináleží Súdnemu dvoru, aby v čo najväčšej miere podal výklad článku 6 ods. 3 písm. a) smernice PNR a najmä pojmu „databázy, ktoré sú relevantné“, v súlade s požiadavkami jasnosti a presnosti, ktoré vyžaduje Charta. Keďže toto ustanovenie navyše stanovuje zásah do základných práv zakotvených v článkoch 7 a 8 Charty, treba ho vykladať reštriktívne a s prihliadnutím na požiadavku zabezpečiť vysokú úroveň ochrany týchto základných práv, ako sa uvádza najmä v odôvodnení 15 smernice PNR. Okrem toho sa má vykladať vo svetle zásady obmedzenia účelov spracúvania údajov z PNR, ktorá je uvedená v článku 1 ods. 2 smernice PNR.

219. Vzhľadom na tieto kritériá treba podľa môjho názoru vykladať pojem „databázy, ktoré sú relevantné“ v tom zmysle, že zahŕňa iba vnútroštátne databázy spravované príslušnými orgánmi v zmysle článku 7 ods. 1 smernice PNR, ako aj databázy Únie a medzinárodné databázy priamo využívané týmito orgánmi v rámci plnenia svojich úloh. Uvedené databázy musia okrem toho priamo a úzko súvisieť s cieľmi boja proti terorizmu a závažnej trestnej činnosti, ktoré sleduje smernica PNR, čo znamená, že ide o databázy vyvinuté na tieto účely. Takto vykladaný pojem zahŕňa hlavne, ak nie výlučne, databázy hľadaných osôb alebo vecí, alebo osôb alebo vecí, na ktoré bol vydaný zápis, ktoré sú výslovne uvedené v článku 6 ods. 3 písm. a) smernice PNR.

220. Do pojmu „databázy, ktoré sú relevantné“ vo všeobecnosti nespadajú databázy spravované alebo využívané spravodajskými službami členských štátov, pokiaľ striktne nespĺňajú podmienku úzkej súvislosti s cieľmi sledovanými smernicou PNR a ak dotknutý členský štát nepriznáva svojim spravodajským službám osobitné právomoci v oblasti presadzovania práva.(213)

221. Vyššie navrhovaný výklad je v súlade s odporúčaniami Súdneho dvora vyjadrenými v bode 172 stanoviska 1/15.

222. Aj pri takomto výklade však článok 6 ods. 3 písm. a) smernice PNR neumožňuje dostatočne presnú identifikáciu databáz, ktoré budú členské štáty používať v rámci porovnávania s údajmi z PNR, a nemožno konštatovať, že spĺňa požiadavky vyplývajúce z článku 52 ods. 1 Charty, ako ho vykladá Súdny dvor. Toto ustanovenie preto treba chápať v tom zmysle, že ukladá členským štátom povinnosť uverejniť v rámci prebratia smernice PNR do vnútroštátneho práva zoznam uvedených databáz a priebežne ho aktualizovať. Okrem toho by bolo žiaduce, aby sa na úrovni Únie vypracoval zoznam databáz, „ktoré sú relevantné“, v zmysle článku 6 ods. 3 písm. a) smernice PNR, a to databáz spravovaných Úniou v spolupráci s členskými štátmi a medzinárodných databáz, s cieľom zjednotiť v tejto oblasti prax členských štátov.

–       O spracúvaní údajov z PNR na základe vopred stanovených kritérií

223. Druhý spôsob predbežného posúdenia podľa článku 6 ods. 2 písm. a) smernice PNR spočíva v automatizovanej analýze na základe vopred stanovených kritérií. V rámci tejto analýzy sa údaje z PNR spracúvajú najmä na prognostické účely pomocou algoritmov, ktoré majú umožniť „identifikovať“ cestujúcich, ktorí by sa mohli podieľať na teroristických trestných činoch alebo závažnej trestnej činnosti. V tejto súvislosti útvar PIU vykonáva v podstate činnosť profilovania.(214) Keďže takéto spracúvanie môže mať významný dopad na jednotlivcov identifikovaných algoritmom,(215) vyžaduje si presný rámec, pokiaľ ide tak o podmienky jeho vykonania, ako aj o záruky, ktoré ho musia sprevádzať. Ako totiž Súdny dvor uviedol v bode 172 stanoviska 1/15, rozsah zásahu do práv zakotvených v článkoch 7 a 8 Charty, ktorý vyplýva z týchto druhov analýz, v podstate závisí od použitých vopred stanovených vzorov a kritérií.

224. V tejto súvislosti chcem v prvom rade uviesť, že článok 6 ods. 4 druhá veta smernice PNR spresňuje, že vopred stanovené kritériá, na základe ktorých sa vykonáva predbežné posúdenie stanovené v článku 6 ods. 3 písm. b) tejto smernice, musia byť „cielené, primerané a konkrétne“. Prvá z týchto požiadaviek sa týka cieľa sledovaného predchádzajúcim posúdením stanoveným v odseku 2 písm. a) tohto článku, t. j. identifikácie osôb, ktoré by mali príslušné orgány ďalej preskúmať, a zodpovedá tak potrebe zdôraznenej Súdnym dvorom v stanovisku 1/15, aby použité kritériá dosiahli „zacielenie“ na jednotlivcov, vo vzťahu ku ktorým môže existovať „dôvodné podozrenie“ z účasti na teroristických trestných činoch alebo na závažnej trestnej činnosti.(216) Takéto „zacielenie“ znamená aplikovanie abstraktných hodnotiacich kritérií alebo – slovami odporúčania z roku 2021 o profilovaní – použitie „profilov“(217), pomocou ktorých sa „filtrujú“ údaje z PNR s cieľom určiť cestujúcich, ktorí týmto profilom zodpovedajú a preto by mali byť podrobení dôkladnejšej kontrole. Naproti tomu smernica PNR nepovoľuje individuálne profilovanie všetkých cestujúcich v leteckej doprave, ktorých údaje sú analyzované, napríklad priradením každého z nich k rizikovej kategórii na vopred určenej stupnici, pretože inak by došlo k porušeniu tak článku 6 ods. 4 tejto smernice, ako aj obmedzení stanovených Súdnym dvorom v stanovisku 1/15 pre automatizované spracúvanie údajov z PNR.

225. Podľa článku 6 ods. 4 druhej vety vopred určené kritériá uvádzané v článku 6 ods. 3 písm. b) smernice PNR musia byť okrem iného „konkrétne“,(218) t. j. prispôsobené sledovanému účelu a relevantné vo vzťahu k nemu, ako aj „primerané“,(219) t. j. neprekračujúce hranice tohto účelu. S cieľom splniť tieto požiadavky a najmä „zabezpečiť, aby sa spracúvanie údajov PNR obmedzilo na nevyhnutné minimum“, odôvodnenie 7 smernice PNR, ako som už zdôraznil, uvádza, že vytváranie a uplatňovanie kritérií posudzovania by malo byť „obmedzené na teroristické trestné činy a závažnú trestnú činnosť, pre ktoré je použitie takýchto kritérií relevantné“.

226. Napokon z preambuly a ustanovení smernice PNR, ako aj z požiadaviek stanovených Súdnym dvorom v stanovisku 1/15 vyplýva, že vopred určené kritériá uvádzané v článku 6 ods. 3 písm. b) tejto smernice musia byť tiež „spoľahlivé“,(220) čo znamená, že jednak musia byť navrhnuté tak, aby minimalizovali riziko vzniku chýb,(221) a jednak musia byť „aktuálne“.(222) V tejto súvislosti článok 6 ods. 4 tretia veta smernice PNK ukladá členským štátom povinnosť zabezpečiť, aby tieto kritériá „stanovovali a pravidelne preskúmavali útvary PIU v spolupráci s príslušnými orgánmi uvedenými v článku 7“(223). Na zabezpečenie spoľahlivosti týchto kritérií a čo najväčšie obmedzenie falošne pozitívnych výsledkov je tiež potrebné, ako uznala Komisia v odpovedi na písomnú otázku položenú Súdnym dvorom, aby boli navrhnuté tak, že budú zohľadňovať tak usvedčujúce, ako aj oslobodzujúce dôkazy.

227. V druhom rade smernica PNR výslovne zakazuje diskriminačné profilovanie. Článok 6 ods. 4 prvá veta tejto smernice tak stanovuje, že predbežné posúdenie na základe vopred stanovených kritérií podľa odseku 3 písm. b) tohto článku „sa vykonáva nediskriminačným spôsobom“. V tejto súvislosti treba spresniť, že hoci tretia veta tohto článku 6 ods. 4 uvádza, že takéto kritériá „sa v žiadnom prípade nezakladajú na rasovom alebo etnickom pôvode osoby, jej politickom zmýšľaní, náboženskom vyznaní či filozofickom presvedčení, členstve v odborových organizáciách, zdraví, sexuálnom živote alebo sexuálnej orientácii“, všeobecný zákaz diskriminačného profilovania sa musí chápať tak, že sa vzťahuje na všetky dôvody diskriminácie uvedené v článku 21 Charty, a to aj na tie, ktoré sa výslovne nespomínajú.(224)

228. V treťom rade zo znenia článku 6 ods. 3 písm. b) smernice PNR, ako aj zo systému záruk spojených s automatizovaným spracúvaním údajov z PNR podľa tejto smernice vyplýva, že fungovanie algoritmov používaných v rámci analýzy stanovenej v tomto ustanovení musí byť transparentné a výsledok ich použitia musí byť vysledovateľný. Táto požiadavka transparentnosti samozrejme neznamená, že použité „profily“ majú byť zverejnené. Naproti tomu vyžaduje, aby bola zabezpečená identifikovateľnosť algoritmického rozhodovania. Na jednej strane totiž požiadavka, aby kritériá, podľa ktorých sa má vykonať táto analýza, boli „vopred stanovené“, vylučuje možnosť, že by tieto kritériá mohli byť zmenené bez ľudského zásahu, a preto bráni použitiu technológií umelej inteligencie známych ako „machine learning“ (strojové učenie)(225), ktoré síce umožňujú dosiahnuť vyšší stupeň presnosti, ale ich interpretácia je náročná, a to aj pre subjekty, ktoré vykonávajú automatizované spracúvanie.(226) Na druhej strane záruka uvedená v článku 6 ods. 5 a 6 smernice PNR, podľa ktorej sa všetky pozitívne výsledky získané v nadväznosti na automatizované spracúvanie údajov z PNR vykonané podľa odseku 2 písm. a) tohto článku individuálne preskúmajú prostredníctvom neautomatizovaných prostriedkov na účely ich účinnosti, si vyžaduje – pokiaľ ide o analýzu uvedenú v článku 6 ods. 3 písm. b) smernice PNR – aby bolo možné pochopiť, z akého dôvodu program dospel k takejto zhode, čo nie je možné zabezpečiť najmä v prípade použitia systémov s automatickým učením. To isté platí aj pre kontrolu zákonnosti tejto analýzy vrátane nediskriminačnej povahy získaných výsledkov, ktorá je zverená zodpovednej osobe na základe článku 6 ods. 7 smernice PNR a vnútroštátnemu dozornému orgánu na základe článku 15 ods. 3 písm. b) tejto smernice. Transparentnosť fungovania použitých algoritmov je tiež nevyhnutnou podmienkou na to, aby dotknuté osoby mohli uplatniť svoje právo na podanie sťažnosti, ako aj právo na účinné súdne preskúmanie.

–       O zárukách spojených s automatizovaným spracúvaním údajov z PNR

229. Už som mal príležitosť spomenúť niektoré záruky, ktoré sú spojené s automatizovaným spracúvaním údajov z PNR v rámci predbežného posúdenia podľa článku 6 ods. 2 písm. a) smernice PNR a ktoré spĺňajú požiadavky uvedené Súdnym dvorom v stanovisku 1/15, konkrétne zákaz spracúvania na základe vopred stanovených diskriminačných kritérií (článok 6 ods. 4 prvá a štvrtá veta smernice PNR; stanovisko 1/15, bod 172), pravidelná aktualizácia vopred stanovených kritérií, na základe ktorých sa má vykonať predbežné posúdenie uvedené v článku 6 ods. 3 písm. b) tejto smernice (článok 6 ods. 4 tretia veta smernice PNR; stanovisko 1/15, bod 174), preskúmanie každého pozitívneho výsledku získaného v nadväznosti na automatizované spracúvanie údajov z PNR prostredníctvom neautomatizovaných prostriedkov (článok 6 ods. 5 a 6 smernice PNR; stanovisko 1/15, bod 173) a kontrola zákonnosti tohto spracúvania zo strany zodpovednej osoby a vnútroštátneho dozorného orgánu (článok 6 ods. 7 a článok 15 ods. 3 písm. b) smernice PNR). V tejto súvislosti je prvoradé, aby sa kontrola vykonávaná takým nezávislým orgánom, akým je orgán uvedený v článku 15 smernice PNR, mohla na jednej strane vzťahovať na všetky aspekty spojené s automatizovaným spracúvaním údajov z PNR vrátane identifikácie databáz používaných na účely porovnávania v zmysle článku 6 ods. 3 písm. a) tejto smernice a vypracovania vopred stanovených kritérií aplikovaných na účely analýzy vykonávanej na základe článku 6 ods. 3 písm. b) uvedenej smernice, a na druhej strane, aby sa mohla vykonávať tak ex ante, ako aj ex post.

230. Treba zdôrazniť, že vyššie uvedené záruky sa musia považovať za uplatniteľné na oba druhy analýz uvedené v článku 6 ods. 3 smernice PNR, a to bez ohľadu na ich formuláciu. Hoci teda článok 6 ods. 4 prvá veta tejto smernice odkazuje na požiadavku týkajúcu sa dodržiavania zásady zákazu diskriminácie len vo vzťahu k predbežnému posúdeniu vykonanému na základe vopred stanovených kritérií, táto požiadavka sa uplatňuje v každej fáze procesu spracúvania údajov z PNR, a teda aj vtedy, ak sú tieto údaje porovnávané s relevantnými databázami v rámci predbežného posúdenia v zmysle článku 6 ods. 3 písm. a) tejto smernice. To isté platí pre požiadavku, podľa ktorej vopred stanovené kritériá aplikované v rámci analýzy uvedenej v článku 6 ods. 3 písm. b) smernice PNR musia byť spoľahlivé a aktuálne, čo treba chápať tak, že sa vzťahuje aj na údaje obsiahnuté v databázach používaných na účely porovnania stanoveného v článku 6 ods. 3 písm. a) tejto smernice. V tejto súvislosti chcem všeobecnejšie uviesť, že všetky záruky uplatniteľné na automatizované spracúvanie osobných údajov stanovené v smernici o ochrane sú použiteľné aj v rámci smernice PNR, pričom automatizované analýzy vykonané na základe tejto smernice sa musia považovať za analýzy, ktoré spadajú do pôsobnosti smernice o ochrane.

231. K zárukám vymenovaným v bode 229 vyššie sa pripája záruka stanovená v článku 7 ods. 6 smernice PNR, ktorá dopĺňa jednak zákaz založiť akýkoľvek rozhodovací proces výlučne na výsledkoch automatizovaného spracúvania údajov z PNR, a jednak zákaz diskriminácie pri spracúvaní a využívaní týchto údajov. Toto ustanovenie tak uvádza, že „príslušné orgány neprijmú žiadne rozhodnutie, ktoré by malo nepriaznivé právne účinky alebo závažné dôsledky pre určitú osobu, len na základe automatizovaného spracúvania údajov PNR“, a že tieto rozhodnutia „sa nesmú prijímať na základe rasového alebo etnického pôvodu osoby, jej politického zmýšľania, náboženského vyznania či filozofického presvedčenia, členstva v odborových organizáciách, zdravia, sexuálneho života alebo sexuálnej orientácie“. Ako som už uviedol v bode 227 vyššie v súvislosti s článkom 6 ods. 4 štvrtou vetou smernice PNR, tento zoznam dôvodov diskriminácie treba doplniť o dôvody, ktoré sú uvedené v článku 21 Charty a ktoré sa výslovne nespomínajú.

232. Pokiaľ ide o bezpečnosť údajov z PNR, článok 6 ods. 8 smernice PNR stanovuje, že uchovávanie, spracúvanie a analýza týchto údajov útvarmi PIU sa uskutočňuje výhradne na bezpečnom mieste alebo miestach na území členských štátov.

–       Záver k šiestej prejudiciálnej otázke

233. Vzhľadom na všetky predchádzajúce úvahy a s výhradou výkladu navrhovaného najmä v bodoch 213, 219, 220, 222, 227, 228, 230 a 231 vyššie zastávam názor, že automatizované spracúvanie údajov z PNR v rámci predbežného posúdenia uvedeného v článku 6 ods. 2 písm. a) smernice PNR spĺňa požiadavky jasnosti a presnosti a neprekračuje rámec toho, čo je striktne nevyhnutné.

v)      O uchovávaní údajov z PNR (ôsma prejudiciálna otázka)

234. Svojou ôsmou prejudiciálnou otázkou sa vnútroštátny súd pýta Súdneho dvora, či sa má článok 12 smernice PNR v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá stanovuje všeobecnú dobu uchovávania údajov v dĺžke piatich rokov bez toho, aby sa rozlišovalo, či sa pri dotknutých cestujúcich v rámci predbežného posúdenia ukázalo alebo neukázalo, že môžu predstavovať riziko pre verejnú bezpečnosť.

235. Článok 12 ods. 1 smernice PNR stanovuje, že údaje z PNR sa uchovávajú v databáze „po dobu piatich rokov po ich prenose PIU členského štátu, na území ktorého let pristáva alebo z ktorého odlieta“. V súlade s odsekom 2 tohto článku sa po uplynutí „počiatočnej doby uchovávania“(227) v dĺžke šiestich mesiacov všetky údaje z PNR depersonalizujú maskovaním niektorých dátových prvkov, ktoré by mohli slúžiť na priamu identifikáciu cestujúceho. Podľa odseku 3 uvedeného článku po uplynutí tejto doby šiestich mesiacov je sprístupnenie úplných údajov PNR vrátane maskovaných prvkov prípustné, len ak sa možno „opodstatnene“ domnievať, že je to nevyhnutné na účely uvedené v článku 6 ods. 2 písm. b), a pokiaľ to schválil justičný orgán alebo iný vnútroštátny orgán, ktorý je podľa vnútroštátneho práva príslušný overiť, či boli splnené podmienky sprístupnenia. Napokon odsek 4 toho istého článku stanovuje, že po uplynutí doby piatich rokov uvedenej v odseku 1 sa údaje z PNR natrvalo vymažú.

236. Z vyššie uvedeného vyplýva, že samotná smernica PNR stanovuje režim uchovávania údajov z PNR vrátane dĺžky trvania tohto uchovávania, ktorú stanovuje na päť rokov,(228) takže členské štáty v zásade nemajú v tomto ohľade nijakú diskrečnú právomoc, čo navyše potvrdila aj Komisia. Za týchto okolností, ako som už mal príležitosť uviesť, ôsma prejudiciálna otázka, hoci je formulovaná ako otázka týkajúca sa výkladu, v skutočnosti vyzýva Súdny dvor, aby sa vyjadril k zlučiteľnosti uvedeného režimu s Chartou.

237. V oblasti ochrany osobných údajov je všeobecnou zásadou, že tieto údaje sa vo forme umožňujúcej priamu alebo nepriamu identifikáciu dotknutých osôb nesmú uchovávať dlhšie, než je to potrebné na účely, na ktoré sa spracúvajú.(229) Z judikatúry Súdneho dvora navyše vyplýva, že právna úprava uchovávania osobných údajov musí vždy zodpovedať objektívnym kritériám, ktoré vymedzujú vzťah medzi osobnými údajmi, ktoré majú byť uchovávané, a sledovaným cieľom.(230)

238. V stanovisku 1/15 Súdny dvor v súvislosti s údajmi zhromaždenými pri vstupe do Kanady dospel k záveru, že pokiaľ sa cestujúci v leteckej doprave nachádzajú na území tejto tretej krajiny, existuje nevyhnutný vzťah medzi týmito údajmi a cieľom, ktorý sleduje návrh dohody PNR medzi Kanadou a EÚ.(231) Pokiaľ ide naopak o cestujúcich v leteckej doprave, ktorí opustili územie Kanady a v prípade ktorých nebolo identifikované riziko v oblasti terorizmu a cezhraničnej trestnej činnosti pri ich prílete do tejto tretej krajiny a až do chvíle, kým neopustili túto krajinu, Súdny dvor konštatoval, že sa nezdá, že by existoval takýto, hoci len nepriamy vzťah, ktorý by odôvodňoval uchovávanie ich údajov z PNR.(232) Napriek tomu rozhodol, že takéto uchovávanie by mohlo byť prípustné, „pokiaľ sú však v osobitných prípadoch identifikované objektívne skutočnosti, na základe ktorých možno prijať záver, že určití cestujúci v leteckej doprave by mohli aj po svojom odlete z Kanady predstavovať riziko z hľadiska boja proti terorizmu a závažnej nadnárodnej trestnej činnosti“(233).

239. Prenesenie zásad stanovených Súdnym dvorom v stanovisku 1/15 do kontextu smernice PNR by znamenalo, že údaje z PNR v súvislosti s letmi mimo EÚ získané pri prílete do Únie, ako aj údaje z PNR v súvislosti s letmi vnútri EÚ získané pri prílete do dotknutého členského štátu, možno po ich predbežnom posúdení v zmysle článku 6 ods. 2 písm. a) smernice PNR uchovávať len dovtedy, kým dotknutí cestujúci zostávajú na území Únie alebo území tohto členského štátu. Pokiaľ ide o údaje z PNR v súvislosti s letmi mimo EÚ získané pri odlete z Únie a údaje z PNR v súvislosti s letmi vnútri EÚ získané pri odlete z dotknutého členského štátu, tieto údaje môžu byť v zásade uchovávané po uvedenom predbežnom posúdení len v prípade cestujúcich, u ktorých by objektívne skutočnosti odhalili existenciu rizika z hľadiska boja proti terorizmu a závažnej trestnej činnosti.(234)

240. Vlády a inštitúcie, ktoré predložili pripomienky Súdnemu dvoru, vo všeobecnosti namietajú proti tomu, aby sa v rámci prejednávanej veci prebrali zásady uvedené v stanovisku 1/15 v súvislosti s uchovávaním údajov z PNR. V tejto súvislosti určite nemožno vylúčiť, že pri uplatnení kritéria spojeného s pobytom dotknutej osoby na území Kanady mohol byť Súdny dvor ovplyvnený okolnosťou, že sa zaoberal uchovávaním osobných údajov na území tretej krajiny. Je tiež možné, že uplatnenie takéhoto kritéria v kontexte smernice PNR by mohlo konkrétne viesť k zásahu do práva na rešpektovanie súkromného života a ochranu osobných údajov, ktorý môže byť potenciálne závažnejší pre určité kategórie osôb, a to najmä tie, ktoré majú trvalý pobyt v Únii a cestujú v rámci Únie alebo sa vracajú z pobytu v zahraničí. Napokon je pravda, ako zdôraznili niektoré členské štáty a Rada, že uplatňovanie uvedeného kritéria by sa mohlo v praxi ukázať ako ťažké, prinajmenšom pokiaľ ide o lety vnútri EÚ.

241. Nič to však nemení na tom, že aj keby sa vylúčilo kritérium, ktoré použil Súdny dvor v stanovisku 1/15, uchovávanie všetkých údajov z PNR týkajúcich sa všetkých cestujúcich v leteckej doprave bez ohľadu na výsledok predbežného posúdenia uvedeného v článku 6 ods. 2 písm. a) smernice PNR a bez akéhokoľvek rozlišovania z hľadiska rizika v oblasti terorizmu alebo závažnej trestnej činnosti na základe objektívnych a overiteľných kritérií, je v rozpore s ustálenou judikatúrou Súdneho dvora uvedenou v bode 237 vyššie, ktorú Súdny dvor zamýšľal uplatniť v uvedenom stanovisku. Hoci úvahy uvedené v bodoch 201 až 203 vyššie v rámci preskúmania štvrtej prejudiciálnej otázky pritom podľa môjho názoru umožňujú odôvodniť všeobecný a nediferencovaný prenos údajov z PNR, ako aj ich automatické spracúvanie v rámci predbežného posúdenia stanoveného v článku 6 ods. 2 písm. a) smernice PNR, samy osebe podľa mňa nemôžu odôvodniť všeobecné a nediferencované uchovávanie týchto údajov, a to ani po takomto posúdení.

242. Okrem toho chcem poukázať na to, že rovnaká päťročná doba uchovávania sa uplatňuje v prípade boja proti terorizmu alebo boja proti závažnej trestnej činnosti a v rámci tohto posledného uvedeného účelu platí pre všetky trestné činy uvedené v prílohe II bez výnimky. Ako pritom vyplýva z úvah rozvinutých v bode 121 vyššie, tento zoznam je obzvlášť rozsiahly a zahŕňa trestné činy rôzneho druhu a závažnosti. V tejto súvislosti treba poznamenať, že odôvodnenie týkajúce sa trvania a zložitosti vyšetrovania, uvádzané takmer všetkými členskými štátmi a inštitúciami, ktoré predložili pripomienky v tomto konaní, sa konkrétne spomína len v prípade teroristických trestných činov a niektorých trestných činov, ktoré majú výrazne nadnárodnú povahu, ako je napríklad obchodovanie s ľuďmi alebo nedovolené obchodovanie s omamnými látkami, a vo všeobecnosti v prípade niektorých foriem organizovaného zločinu. Ďalej chcem pripomenúť, že v stanovisku 1/15 Súdny dvor prijal podobné odôvodnenie len v súvislosti s uchovávaním údajov z PNR týkajúcich sa cestujúcich v leteckej doprave, v prípade ktorých existuje objektívne riziko z hľadiska boja proti terorizmu alebo závažnej nadnárodnej trestnej činnosti, pričom uchovávanie údajov po dobu piatich rokov sa v prípade týchto údajov nepovažovalo za prekročenie toho, čo je striktne nevyhnutné.(235) Naproti tomu Súdny dvor konštatoval, že takéto odôvodnenie neumožňuje povoliť „pokračujúce uchovávanie údajov z PNR v prípade všetkých cestujúcich v leteckej doprave… na účely prípadného prístupu k uvedeným údajom, a to nezávisle od akéhokoľvek vzťahu s bojom proti terorizmu a závažnej nadnárodnej trestnej činnosti“(236).

243. Je nepochybne pravda, ako zdôrazňujú Rada, Parlament a Komisia, ako aj všetky vlády, ktoré predložili pripomienky k ôsmej prejudiciálnej otázke, že smernica PNR stanovuje osobitné záruky tak v súvislosti s uchovávaním údajov z PNR, ktoré sú po uplynutí počiatočného obdobia šiestich mesiacov čiastočne maskované, ako aj v súvislosti s ich využívaním počas doby uchovávania, ktoré podlieha prísnym podmienkam. Chcem však po prvé uviesť, že na jednej strane návrh dohody PNR medzi Kanadou a EÚ tiež stanovoval systém anonymizácie údajov z PNR pomocou maskovania,(237) a na druhej strane, že hoci takáto anonymizácia, ako to zdôrazňuje najmä poradný výbor Dohovoru č. 108,(238) môže zmierniť riziká spojené s dlhšou dobou uchovávania údajov, ako napríklad neoprávnený prístup, maskované údaje stále umožňujú identifikáciu jednotlivcov a preto zostávajú naďalej osobnými údajmi, ktorých uchovávanie musí byť tiež časovo obmedzené, aby sa predišlo neustálemu všeobecnému dohľadu. V tejto súvislosti chcem poukázať na to, že päťročná doba uchovávania údajov má za následok, že veľký počet cestujúcich, najmä tých, ktorí cestujú v rámci Únie, sa môže nachádzať v záznamoch takmer natrvalo. Po druhé, pokiaľ ide o obmedzenia využívania údajov, chcem poznamenať, že uchovávanie osobných údajov a prístup k takýmto údajom predstavujú odlišné zásahy do základných práv na rešpektovanie súkromného života a ochranu osobných údajov, ktoré si vyžadujú, aby bol každý z nich odôvodnený samostatne. Hoci existencia prísnych záruk v oblasti prístupu k uchovávaným údajom umožňuje celkovo posúdiť vplyv opatrenia dohľadu na uvedené základné práva, nič to nemení na tom, že tieto záruky neumožňujú eliminovať zásahy vyplývajúce z dlhodobého všeobecného uchovávania.

244. Pokiaľ ide o tvrdenie Komisie, podľa ktorého je potrebné uchovávať údaje z PNR všetkých cestujúcich v leteckej doprave, aby útvary PIU mohli plniť úlohu uvedenú v článku 6 ods. 2 písm. c) smernice o PNR, ktorá spočíva v aktualizácii alebo vytváraní nových kritérií, ktoré sa majú používať pri posúdeniach vykonávaných podľa odseku 3 písm. b) tohto článku, treba poznamenať, že aj keď pripustíme, že spresnenie týchto kritérií čiastočne závisí od ich porovnania s „bežným“ správaním, ako tvrdí Komisia, nič to nemení na tom, že musia byť vypracované na základe „zločinného“ správania. Takéto tvrdenie, ktoré navyše uvádza len niekoľko členských štátov, nemôže mať podľa môjho názoru rozhodujúci význam, ktorý mu podľa všetkého prikladá Komisia, a nemôže sám osebe odôvodniť všeobecné uchovávanie údajov z PNR týkajúcich sa všetkých cestujúcich v leteckej doprave v neanonymizovanej forme.

245. Vzhľadom na predchádzajúce úvahy a s cieľom zabezpečiť výklad článku 12 ods. 1 smernice PNR, ktorý bude v súlade s článkami 7, 8 a článkom 52 ods. 1 Charty, je podľa môjho názoru potrebné vykladať toto ustanovenie v tom zmysle, že uchovávanie údajov z PNR, ktoré poskytli leteckí dopravcovia útvarom PIU, v databáze po dobu piatich rokov po ich prenose útvaru PIU členského štátu, na území ktorého let pristáva alebo z ktorého odlieta, je po vykonaní predbežného posúdenia podľa článku 6 ods. 2 písm. a) tejto smernice prípustné iba vtedy, ak je na základe objektívnych kritérií preukázaný vzťah medzi týmito údajmi a bojom proti terorizmu alebo závažnej trestnej činnosti. Všeobecné a nediferencované uchovávanie údajov z PNR v neanonymizovanej forme možno odôvodniť, analogicky s tým, čo Súdny dvor uviedol v tej istej judikatúre, len vzhľadom na závažné ohrozenie bezpečnosti členských štátov, ktoré sa javí ako skutočné a aktuálne trvajúce alebo predvídateľné, pričom sa týka napríklad teroristických aktivít, a to pod podmienkou, že trvanie tohto uchovávania bude obmedzené len na dobu, počas ktorej je to nevyhnutne potrebné.

246. Vymedzenie opatrenia na uchovávanie údajov podľa článku 12 ods. 1 smernice PNR môže napríklad vychádzať z posúdenia rizík alebo zo skúseností získaných príslušnými vnútroštátnymi orgánmi, čo umožňuje zamerať sa na určité letecké spojenia, schémy cestovania, agentúry, prostredníctvom ktorých boli vykonané rezervácie, alebo tiež na určité kategórie osôb alebo geografické oblasti identifikované na základe objektívnych a nediskriminačných prvkov, podobne ako usúdil Súdny dvor vo svojej judikatúre o uchovávaní metadát elektronickej komunikácie.(239) Okrem toho analogicky so stanoviskom 1/15 treba konštatovať, že pokiaľ sa cestujúci v leteckej doprave nachádzajú na území Únie (alebo dotknutého členského štátu) alebo toto územie opúšťajú, existuje nevyhnutný vzťah medzi údajmi z PNR a cieľom, ktorý sleduje smernica PNR. To isté platí aj pre údaje týkajúce sa cestujúcich, v prípade ktorých došlo k overenej pozitívnej lustrácii.

247. Na záver odpovede na ôsmu prejudiciálnu otázku by som chcel uviesť niekoľko úvah o pravidlách, ktorými sa riadi prístup k údajom z PNR a ich využívanie po tom, ako bolo vykonané predbežné posúdenie uvedené v článku 6 ods. 2 písm. a) smernice PNR a predtým, než budú tieto údaje anonymizované po uplynutí počiatočnej doby uchovávania v trvaní šiestich mesiacov, ktorá je uvedená v článku 12 ods. 2 smernice o PNR.

248. Zo znenia článku 6 ods. 2 písm. b) v spojení s článkom 12 ods. 3 smernice PNR vyplýva, že neanonymizované údaje z PNR alebo výsledok ich spracúvania možno v priebehu tejto počiatočnej doby poskytnúť príslušným orgánom v súlade s prvým z týchto ustanovení bez toho, aby boli dodržané podmienky stanovené v písmenách a) a b) druhého z uvedených ustanovení.(240) Článok 6 ods. 2 písm. b) smernice PNR stanovuje totiž len to, že žiadosti príslušných orgánov o takéto spracovanie a poskytnutie musia byť „riadne odôvodnené“ a „dostatočne podložené“.

249. Podľa ustálenej judikatúry pripomenutej Súdnym dvorom v stanovisku 1/15 právna úprava Únie nemôže iba vyžadovať, aby prístup orgánu k legitímne uchovávaným osobným údajom zodpovedal jednému z účelov tejto právnej úpravy, ale musí takisto stanoviť hmotnoprávne a procesné podmienky upravujúce toto využívanie,(241) a to najmä v záujme ochrany uvedených údajov pred nebezpečenstvom zneužitia.(242) V tomto stanovisku Súdny dvor rozhodol, že využívanie údajov z PNR po tom, ako boli tieto údaje overené pri prílete cestujúcich v leteckej doprave do Kanady, a počas ich pobytu v tejto krajine sa musí zakladať na nových okolnostiach, ktoré toto využívanie odôvodňujú,(243) pričom spresnil, že „pokiaľ existujú objektívne skutočnosti umožňujúce prijať záver, že údaje z PNR jedného alebo viacerých cestujúcich v leteckej doprave môžu účinne prispieť k splneniu cieľa spočívajúceho v boji proti teroristickým trestným činom a závažnej nadnárodnej trestnej činnosti, v tejto súvislosti sa nezdá, že by využívanie týchto údajov išlo nad rámec toho, čo je striktne nevyhnutné“(244). Súdny dvor rozhodol, pričom analogicky odkázal na bod 120 rozsudku Tele2 Sverige, že na to, aby sa v praxi zabezpečilo plné dodržiavanie týchto podmienok, „je nevyhnutné, aby využívanie uchovávaných údajov z PNR počas pobytu cestujúcich v leteckej doprave na území Kanady v zásade podliehalo, s výnimkou náležite odôvodnených prípadov, predchádzajúcemu preskúmaniu buď zo strany súdu alebo nezávislého správneho orgánu a aby rozhodnutie tohto súdu alebo orgánu bolo prijaté v nadväznosti na odôvodnenú žiadosť príslušných orgánov predloženú najmä v rámci konaní týkajúcich sa predchádzania trestným činom, ich odhaľovania a stíhania“(245). Súdny dvor teda podriadil možnosť využívania údajov z PNR uchovávaných po ich overení pri ceste lietadlom dvom podmienkam, a to hmotnoprávnej – t. j. existencii objektívnych skutočností odôvodňujúcich takéto využívanie – a zároveň procesnej – t. j. preskúmaniu zo strany súdu nezávislého správneho orgánu. Výklad podaný Súdnym dvorom, ktorý ani zďaleka nie je „kontextuálny“, predstavuje uplatnenie judikatúry vyplývajúcej najmä z rozsudkov Digital Rights a Tele2 Sverige v oblasti údajov z PNR.

250. Režim zavedený smernicou PNR počas prvých šiestich mesiacov uchovávania údajov z PNR, ktorý umožňuje, aby boli tieto údaje po predbežnom posúdení uvedenom v článku 6 ods. 2 písm. a) poskytnuté a spracované, a to aj opakovane, bez primeraných procesných záruk a dostatočne jasných a presných hmotnoprávnych pravidiel, ktoré by vymedzovali predmet a podmienky týchto jednotlivých zásahov, pritom nespĺňa požiadavky, ktoré Súdny dvor uviedol v stanovisku 1/15. Nespĺňa podľa všetkého ani požiadavku, aby sa využívanie údajov z PNR obmedzovalo na to, čo je striktne nevyhnutné.

251. Navrhujem preto, aby Súdny dvor vykladal článok 6 ods. 2 písm. b) smernice PNR s cieľom zabezpečiť, aby spracúvanie údajov na základe tohto ustanovenia, ku ktorému dochádza počas počiatočnej doby v dĺžke šesť mesiacov stanovenej v článku 12 ods. 2 tejto smernice, spĺňalo požiadavky, ktoré Súdny dvor uviedol v stanovisku 1/15.

252. Pokiaľ ide o prvú podmienku hmotnoprávnej povahy, ktorej Súdny dvor podriadil neskoršie využívanie údajov z PNR, zastávam názor, že pojem „opodstatnene“ v zmysle článku 12 ods. 3 písm. a) smernice PNR a pojem „dostatočne podloženú“ podľa článku 6 ods. 2 písm. b) tejto smernice možno bez problémov vykladať v tom zmysle, že žiadosti zo strany príslušných orgánov uvádzané v týchto ustanoveniach musia obsahovať „objektívne skutočnosti umožňujúce prijať záver, že údaje z PNR jedného alebo viacerých cestujúcich v leteckej doprave môžu účinne prispieť k splneniu cieľa spočívajúceho v boji proti teroristickým trestným činom a závažnej… trestnej činnosti“(246).

253. Pokiaľ ide o druhú podmienku procesnej povahy, podľa môjho názoru treba vykladať článok 6 ods. 2 písm. b) smernice PNR v spojení s článkom 12 ods. 3 tejto smernice a s prihliadnutím na články 7, 8 a článok 52 ods. 1 Charty v tom zmysle, že požiadavka predchádzajúceho schválenia zo strany justičného orgánu alebo nezávislého správneho orgánu stanovená v článku 12 ods. 3 písm. b) tejto smernice sa vzťahuje na akékoľvek spracúvanie údajov z PNR vykonávané podľa článku 6 ods. 2 písm. b) tejto smernice.

4.      Závery k druhej, tretej, štvrtej, šiestej a ôsmej prejudiciálnej otázke

254. Na základe všetkých vyššie uvedených úvah navrhujem, aby Súdny dvor vyhlásil bod 12 prílohy I za neplatný v rozsahu, v akom zahŕňa „všeobecné poznámky“ medzi kategórie údajov z PNR, ktoré sú leteckí dopravcovia povinní poskytnúť útvarom PIU v súlade s článkom 8 smernice PNR, a aby vyhlásil, že preskúmanie druhej, tretej, štvrtej, šiestej a ôsmej prejudiciálnej otázky neodhalilo ďalšie skutočnosti, ktoré by mohli ovplyvniť platnosť tejto smernice, s výhradou výkladu ustanovení tejto smernice navrhovaného v bodoch 153, 160, 161 až 164, 219, 228, 239 a 251 vyššie.

255. Vzhľadom na mnou navrhovanú odpoveď na prejudiciálne otázky týkajúce sa platnosti smernice PNR nemožno vyhovieť návrhu podanému predovšetkým Radou, ktorý sa týka zachovania účinkov smernice PNR v prípade, že by Súdny dvor rozhodol o čiastočnej alebo úplnej neplatnosti celej smernice PNR, a to s výnimkou akýchkoľvek iných úvah.

C.      O piatej prejudiciálnej otázke

256. Svojou piatou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, či sa má článok 6 smernice PNR v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá ako účel spracúvania údajov z PNR pripúšťa monitorovanie činností, na ktoré sa zameriavajú spravodajské a bezpečnostné služby. Z návrhu na začatie prejudiciálneho konania vyplýva, že ide o činnosti vykonávané Sûreté de l’État (Štátna bezpečnosť) a Service général du renseignement et de la sécurité (Ústredná spravodajská a bezpečnostná služba) v rámci ich úloh týkajúcich sa ochrany národnej bezpečnosti.

257. Ako som uviedol v bodoch 113 a 114 vyššie, obmedzenie účelov spracúvania osobných údajov je základnou zárukou, ktorá sa musí dodržiavať, aby zásahy do základných práv zakotvených v článkoch 7 a 8 Charty nešli nad rámec toho, čo je nevyhnutné v zmysle judikatúry Súdneho dvora. Tiež som už spresnil, že pokiaľ ide o zásahy do týchto základných práv vyplývajúce zo smernice PNR, je úlohou normotvorcu Únie, aby v záujme dodržania zásad zákonnosti a proporcionality zakotvených najmä v článku 52 ods. 1 Charty stanovil jasné a presné pravidlá upravujúce rozsah a uplatňovanie opatrení zahŕňajúcich takéto zásahy.

258. Článok 1 ods. 2 smernice PNR pritom spresňuje, že údaje z PNR zhromaždené v súlade s touto smernicou „možno spracúvať len na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti podľa článku 6 ods. 2 písm. a), b) a c)“. V súlade s týmto ustanovením útvary PIU spracúvajú údaje z PNR iba na účely vykonania predbežného posúdenia cestujúcich v leteckej doprave [článok 6 ods. 2 písm. a)], reakcie na konkrétne žiadosti príslušných orgánov [článok 6 ods. 2 písm. b)] a aktualizácie alebo vytvárania nových kritérií, ktoré sa majú používať pri posúdeniach vykonávaných podľa odseku 3 písm. b) uvedeného článku 6 [článok 6 ods. 2 písm. a)]. Vo všetkých troch prípadoch sa výslovne pripomínajú ciele v oblasti boja proti terorizmu a závažnej trestnej činnosti, ktoré sú uvedené v článku 1 ods. 2 smernice PNR.

259. Článok 7 ods. 4 tejto smernice spresňuje, že nielen spracúvanie údajov z PNR stanovené v článku 6 tejto smernice, ale aj ďalšie spracúvanie týchto údajov a výsledky tohto spracúvania príslušnými orgánmi členských štátov, sa musí obmedziť „iba na konkrétne účely prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti“.

260. Taxatívna povaha vymedzenia cieľov sledovaných smernicou PNR jasne vyplýva zo znenia jej článku 1 ods. 2 a je potvrdená okrem už spomenutého článku 6 ods. 2 a článku 7 ods. 4 tejto smernice aj viacerými článkami a odôvodneniami tejto smernice, ktoré systematicky spájajú každú fázu procesu prístupu, spracúvania, uchovávania a zdieľania údajov z PNR výlučne s týmito osobitnými cieľmi.(247)

261. Zo znenia článku 1 ods. 2 smernice PNR, ako aj z jeho výkladu z hľadiska zásad zákonnosti a proporcionality, ktoré ukladajú povinnosť vyčerpávajúcim spôsobom obmedziť účely opatrení zahŕňajúcich zásahy do základných práv na rešpektovanie súkromného života a ochranu osobných údajov, vyplýva, že akékoľvek rozšírenie účelov spracúvania údajov z PNR nad rámec bezpečnostných cieľov výslovne uvedených v tomto ustanovení je v rozpore so smernicou PNR.

262. Tento zákaz rozšírenia cieľov sledovaných smernicou podľa môjho názoru platí osobitne pre činnosti bezpečnostných a spravodajských služieb členských štátov, a to aj z dôvodu nedostatočnej transparentnosti, ktorá je charakteristická pre ich modus operandi. V tomto bode súhlasím s názorom Komisie, že tieto služby by vo všeobecnosti nemali mať priamy prístup k údajom z PNR. Za diskutabilnú považujem v tejto súvislosti už samotnú okolnosť, že vnútroštátne útvary PIU môžu byť zložené aj z vyslaných príslušníkov bezpečnostných služieb, ako je to v prípade belgického útvaru PIU.(248)

263. Na základe predchádzajúcich úvah treba podľa môjho názoru odpovedať na piatu prejudiciálnu otázku tak, že smernica PNR, a najmä jej článok 1 ods. 2 a článok 6, sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá ako účel spracúvania údajov z PNR pripúšťa monitorovanie činností, na ktoré sa zameriavajú spravodajské a bezpečnostné služby, pokiaľ by vnútroštátny útvar PIU mal v rámci takéhoto účelu spracúvať uvedené údaje a/alebo poskytovať tieto údaje alebo výsledok ich spracúvania uvedeným službám na iné účely než tie, ktoré sú taxatívne uvedené v článku 1 ods. 2 tejto smernice, čo prináleží overiť vnútroštátnemu súdu.

D.      O siedmej prejudiciálnej otázke

264. Svojou siedmou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, či sa má článok 12 ods. 3 písm. b) smernice PNR vykladať v tom zmysle, že útvar PIU predstavuje „príslušný vnútroštátny orgán“ v zmysle tohto ustanovenia, ktorý môže povoliť sprístupnenie úplných údajov z PNR po uplynutí počiatočnej doby šiestich mesiacov od prenosu týchto údajov.

265. Pripomínam, že článok 12 ods. 2 smernice PNR stanovuje, že po uplynutí doby šiestich mesiacov sa údaje PNR depersonalizujú maskovaním niektorých prvkov, ktoré by mohli slúžiť na priamu identifikáciu cestujúceho, ktorého sa údaje z PNR týkajú. Po uplynutí tejto lehoty je sprístupnenie úplných údajov z PNR povolené len za podmienok stanovených v odseku 3 uvedeného článku 12, a najmä ak toto sprístupnenie vopred schválil „justičný orgán“ [článok 12 ods. 3 písm. b) bod i)] alebo „iný vnútroštátny orgán, ktorý je podľa vnútroštátneho práva príslušný overiť, či boli splnené podmienky sprístupnenia, a za podmienky, že zodpovedná osoba PIU bola o sprístupnení informovan[á] a následne ho uvedená zodpovedná osoba preskúmala“ [článok 12 ods. 3 písm. b) bod ii)].

266. Väčšina vlád, ktoré predložili svoje písomné pripomienky v tomto konaní, sa nevyjadrila k siedmej prejudiciálnej otázke. Česká vláda sa podobne ako Komisia domnieva, že článok 12 ods. 3 smernice PNR nemožno vykladať v tom zmysle, že útvar PIU môže predstavovať „príslušný vnútroštátny orgán“. Naproti tomu belgická(249), írska, španielska, francúzska a cyperská vláda s takýmto výkladom nesúhlasia. V podstate sa domnievajú, že nijaké ustanovenie smernice PNR ani práva Únie nebráni tomu, aby bol útvar PIU určený ako jeden z príslušných vnútroštátnych orgánov v zmysle článku 12 ods. 2 písm. b) bodu ii) uvedenej smernice, a že útvar PIU je z hľadiska svojej povahy dostatočne nezávislým orgánom na to, aby mohol schvaľovať spracúvanie údajov z PNR.

267. Po prvé chcem poukázať na to, že zo znenia článku 12 ods. 3 písm. b) smernice PNR a najmä z použitia spojky „alebo“ spájajúcej dva prípady v bodoch i) a ii) tohto ustanovenia vyplýva, že normotvorca Únie mal v úmysle postaviť na rovnakú úroveň preskúmanie vykonávané vnútroštátnym orgánom uvedeným v bode ii) a preskúmanie vykonávané súdnym orgánom uvedeným v bode i). Z toho vyplýva, že uvedený vnútroštátny orgán musí mať takú úroveň nezávislosti a nestrannosti, aby ním vykonávané preskúmanie mohlo byť považované za alternatívu porovnateľnú s preskúmaním, ktoré môže vykonať súdny orgán.(250)

268. Po druhé z prípravných prác k smernici PNR vyplýva, že normotvorca Únie na jednej strane neprijal návrh Komisie poveriť vedúceho útvaru PIU úlohou schvaľovať sprístupnenie úplných údajov z PNR,(251) a na druhej strane predĺžil počiatočnú dobu uchovávania týchto údajov, ktorú navrhla táto inštitúcia v dĺžke 30 dní, na šesť mesiacov. Práve do tohto kontextu, ktorý sa vyznačuje hľadaním rovnováhy medzi dĺžkou doby uchovávania údajov z PNR pred ich anonymizáciou a podmienkami, ktorým podlieha odmaskovanie týchto údajov po uplynutí tejto doby, spadá rozhodnutie normotvorcu Únie podriadiť úplný prístup k údajom z PNR prísnejším procesným podmienkam, než aké pôvodne stanovila Komisia, a poveriť nezávislý orgán úlohou overovať splnenie podmienok sprístupnenia.

269. Po tretie, ako správne poznamenala Komisia, zo štruktúry smernice PNR vyplýva, že zmysel schvaľovacieho postupu stanoveného v článku 12 ods. 3 smernice PNR spočíva v tom, že nestranný tretí subjekt je poverený úlohou, aby v každom jednotlivom prípade pristúpil k zváženiu práv dotknutých osôb a účelu presadzovania práva sledovaného touto smernicou.

270. Po štvrté z judikatúry Súdneho dvora vyplýva, že subjekt poverený vykonávaním predchádzajúceho preskúmania, ktoré sa vyžaduje na účely povolenia prístupu príslušných vnútroštátnych orgánov k legitímne uchovávaným osobným údajom, musí disponovať všetkými právomocami a poskytovať všetky záruky potrebné na zosúladenie rôznych dotknutých záujmov a práv. Súdny dvor tiež spresnil, že tento subjekt musí mať postavenie, ktoré mu umožní konať pri výkone svojich úloh objektívne a nestranne a musí byť na tento účel chránený pred akýmkoľvek vonkajším vplyvom.(252) Konkrétne v trestnoprávnej oblasti požiadavka nezávislosti znamená, že orgán poverený vykonávaním predchádzajúceho preskúmania musí mať postavenie tretej osoby vo vzťahu k orgánu, ktorý žiada o prístup k údajom, takže nesmie byť zapojený do vedenia dotknutého trestného vyšetrovania a musí byť vo vzťahu k účastníkom trestného konania neutrálny.(253)

271. Treba pritom konštatovať, že útvar PIU neposkytuje všetky záruky nezávislosti a nestrannosti, ktoré musí spĺňať orgán poverený vykonávaním predchádzajúceho preskúmania stanoveného v článku 12 ods. 3 smernice PNR. Útvary PIU sú totiž priamo prepojené s príslušnými orgánmi v oblasti prevencie, odhaľovania, vyšetrovania alebo stíhania teroristických trestných činov alebo závažnej trestnej činnosti. Podľa článku 4 ods. 1 smernice PNR je samotný útvar PIU takýmto orgánom alebo jeho pobočkou. Okrem toho odsek 3 tohto článku stanovuje, že členmi personálu útvaru PIU môžu byť osoby vyslané príslušnými orgánmi. Tak je to najmä v prípade belgického útvaru PIU, ktorá sa podľa článku 14 zákona PNR skladá okrem iných aj z vyslaných príslušníkov polície, štátnej bezpečnosti, ústrednej spravodajskej a bezpečnostnej služby a ústrednej správy ciel a daní.

272. Je pravda, že členovia útvaru PIU musia vo všeobecnosti poskytovať všetky záruky integrity, príslušnosti, transparentnosti a nezávislosti a je úlohou členských štátov, aby v prípade potreby zabezpečili, že vzhľadom na väzby medzi týmito členmi a ich materskými orgánmi budú môcť byť tieto záruky v konkrétnych prípadoch dodržané, najmä s cieľom zabrániť tomu, aby mali príslušné orgány, do ktorých štruktúry títo členovia pôvodne patrili, priamy prístup k celej databáze údajov z PNR a nielen k výsledkom zisteným útvarmi PIU. Nič to však nemení na tom, že členovia útvarov PIU, ktorí sú vyslaní príslušnými orgánmi v zmysle článku 7 ods. 2 smernice PNR, nevyhnutne udržujú po dobu vyslania väzbu so svojimi pôvodnými útvarmi, pričom si zachovávajú svoj status, aj keď sú funkčne a hierarchicky podriadení riaditeľovi útvaru PIU.

273. Záver, podľa ktorého útvar PIU nie je vnútroštátnym orgánom v zmysle článku 12 ods. 3 písm. b) bodu ii) smernice PNR, je navyše potvrdený aj okolnosťou, že v súlade s týmto ustanovením bola zodpovedná osoba útvaru PIU o žiadosti o sprístupnenie „informovaná“ a „následne [ju] preskúmala“. V prípade, že by bol útvar PIU ako „iný vnútroštátny orgán“ oprávnený schváliť žiadosť o sprístupnenie údajov podľa článku 12 ods. 3 smernice PNR, by totiž zodpovedná osoba, ktorá je okrem iného zodpovedná za uplatňovanie príslušných záruk spojených so spracúvaním údajov z PNR v súlade s článkom 5 ods. 1 tejto smernice, bola informovaná o žiadosti o prístup už v čase jej podania a svoje preskúmanie by teda nevyhnutne vykonala vopred.(254)

274. Vzhľadom na predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na siedmu prejudiciálnu otázku tak, že článok 12 ods. 3 písm. b) smernice PNR sa má vykladať v tom zmysle, že útvar PIU nepredstavuje „iný príslušný vnútroštátny orgán“ v zmysle tohto ustanovenia.

E.      O deviatej prejudiciálnej otázke

275. Svojou deviatou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, jednak či je smernica API zlučiteľná s článkom 3 ods. 2 ZEÚ a článkom 45 Charty v rozsahu, v akom sa uplatňuje na lety v rámci Únie, a jednak, či sa má táto smernica v spojení s článkom 3 ods. 2 ZEÚ a článkom 45 Charty vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá na účely boja proti nelegálnemu prisťahovalectvu a zlepšenia hraničných kontrol povoľuje systém zhromažďovania a spracúvania údajov o cestujúcich, čo by mohlo nepriamo viesť k obnoveniu kontrol na vnútorných hraniciach.

276. Z návrhu na začatie prejudiciálneho konania vyplýva, že táto prejudiciálna otázka spadá do preskúmania druhého žalobného dôvodu, ktorý LDH predložilo subsidiárne. Tento žalobný dôvod založený na porušení článku 22 belgickej Ústavy v spojení s článkom 3 ods. 2 ZEÚ a článkom 45 Charty smeruje proti článku 3 ods. 1, článku 8 ods. 2 a kapitole 11, najmä článkom 28 až 31, zákona PNR. Zatiaľ čo prvý z týchto článkov všeobecne uvádza cieľ tohto zákona, pričom spresňuje, že tento zákon „určuje povinnosti dopravcov a cestovných kancelárií týkajúce sa prenosu údajov o cestujúcich, ktorí cestujú na územie štátu, z územia štátu alebo cezeň prechádzajú“, článok 8 ods. 2 uvedeného zákona stanovuje, že „za podmienok stanovených v kapitole 11 sa údaje o cestujúcich spracúvajú aj na účely zlepšenia kontrol osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu“. V rámci tohto účelu sa podľa článku 29 ods. 1 zákona PNR prenášajú policajným orgánom zodpovedným za hraničné kontroly a Office des étrangers (Cudzinecký úrad, Belgicko) iba „údaje o cestujúcich“, ktoré sú uvedené v článku 9 ods. 1 bode 18 tohto zákona (t. j. údaje API spomenuté v bode 18 smernice PNR) a ktoré sa týkajú troch kategórií cestujúcich. Sú to „cestujúci, ktorí plánujú vstúpiť na územie alebo vstúpili na územie cez vonkajšie hranice Belgicka“, „cestujúci, ktorí plánujú opustiť územie alebo opustili územie cez vonkajšie hranice Belgicka“ a „cestujúci, ktorí plánujú prejsť cez medzinárodné tranzitné pásmo nachádzajúce sa v Belgicku, nachádzajú sa v ňom alebo cezeň prešli.(255) Z článku 29 ods. 3 zákona PNR vyplýva, že útvar PIU uvedené údaje prenáša policajným orgánom zodpovedným za hraničné kontroly a Cudzineckému úradu „hneď po ich zaznamenaní do databázy cestujúcich“ a že do dvadsaťštyri hodín po ich prenose sa vymažú. Podľa tohto ustanovenia môže Cudzinecký úrad aj po uplynutí tejto lehoty zaslať útvaru PIU odôvodnenú žiadosť o sprístupnenie tých istých údajov, pokiaľ je to potrebné v súvislosti s plnením jeho zákonom stanovenej úlohy. Právny rámec, do ktorého spadá deviata prejudiciálna otázka, teda vzhľadom na účel sledovaný spracúvaním údajov uvedeným v článkoch 28 a 29 zákona PNR presahuje rámec smernice PNR a začleňuje sa do rámca smernice API. Okrem toho zo spisu doručeného kancelárii Súdneho dvora predovšetkým vyplýva, že druhý žalobný dôvod podaný LDH vychádza z výkladu ustanovení kapitoly 11 zákona PNR, podľa ktorého sa tieto ustanovenia uplatňujú aj v prípade prekročenia vnútorných hraníc Belgicka.

277. Prvá časť deviatej prejudiciálnej otázky je založená na nesprávnom predpoklade a podľa môjho názoru si nevyžaduje odpoveď zo strany Súdneho dvora. Z článku 3 ods. 1 smernice API v spojení s článkom 2 písm. b) a d) tejto smernice totiž jednoznačne vyplýva, že táto smernica ukladá leteckým dopravcom povinnosť poskytnúť údaje API orgánom zodpovedným za vykonávanie kontrol osôb na vonkajších hraniciach iba v súvislosti s letmi, ktoré prepravujú cestujúcich k hraničnému priechodu povolenému na prekračovanie vonkajších hraníc členských štátov s tretími krajinami. Rovnako článok 6 ods. 1 tejto smernice stanovuje spracúvanie údajov API iba v súvislosti s týmito letmi. Okrem toho, hoci je pravda, že smernica PNR stanovuje pre členské štáty možnosť rozšíriť povinnosť prenosu zhromaždených údajov API aj na leteckých dopravcov, ktorí prevádzkujú lety vnútri EÚ, týmto rozšírením by nemala byť dotknutá smernica API.(256) V rámci smernice PNR sa prenášané údaje API spracúvajú len na účely presadzovania práva stanovené touto smernicou. A naopak, odôvodnenie 34 smernice PNR stanovuje, že touto smernicou nie sú dotknuté platné pravidlá Únie týkajúce sa spôsobu vykonávania kontroly hraníc, ani pravidlá Únie upravujúce vstup na územie Únie a výstup z neho, a článok 6 ods. 9 druhá veta tejto smernice uvádza, že ak sa posúdenia podľa odseku 2 tohto článku vykonávajú vo vzťahu k letom vnútri EÚ medzi členskými štátmi, na ktoré sa vzťahuje Kódex schengenských hraníc(257), dôsledky takýchto posúdení musia byť v súlade s uvedeným nariadením.

278. Ak by sa mala táto časť deviatej prejudiciálnej otázky preformulovať, ako subsidiárne navrhuje Komisia, v tom zmysle, že sa týka zlučiteľnosti s ustanoveniami Zmluvy a Charty v prípade smernice PNR, a najmä jej článku 2, a nie smernice API, znamenalo by to nielen zmenu aktu, vo vzťahu ku ktorému vnútroštátny súd požiadal o posúdenie platnosti, ale aj odklon od právneho rámca, do ktorého spadá táto prejudiciálna otázka. Ako som totiž vysvetlil, ustanovenia kapitoly 11 zákona PNR, proti ktorým smeruje druhý žalobný dôvod, preberajú smernicu API, a nie smernicu PNR.

279. Pre prípad, že by Súdny dvor pristúpil k takémuto preformulovaniu, obmedzím sa na niekoľko nasledujúcich úvah, najmä pokiaľ ide o otázku, či predbežné posúdenie údajov z PNR týkajúcich sa cestujúcich v prípade letov vnútri EÚ, ktoré môžu členské štáty vykonávať na základe oprávnenia, ktorým disponujú v zmysle článku 2 smernice PNR, možno považovať za rovnocenné s vykonávaním „hraničných kontrol“ v zmysle článku 23 písm. a) Kódexu schengenských hraníc(258). Po prvé, hoci sa predbežné posúdenie údajov z PNR nevykonáva „na hraničnom prechode“ alebo „v okamihu prekročenia hranice“, ale pred týmto okamihom, uskutočňuje sa „z dôvodu“ bezprostredného prekročenia hraníc. Po druhé v súlade s článkom 2 smernice PNR sú členské štáty oprávnené rozšíriť predbežné posúdenie údajov z PNR stanovené v článku 6 ods. 2 písm. a) smernice PNR aj na cestujúcich všetkých letov vnútri EÚ bez ohľadu na správanie dotknutých osôb a okolnosti zakladajúce riziko narušenia verejnej bezpečnosti. Toto predbežné posúdenie má navyše systematickú povahu. Ani jeden z týchto prvkov pritom podľa všetkého nezodpovedá znakom uvedeným v článku 23 písm. a) druhej vete bodoch ii), iii) a iv) Kódexu schengenských hraníc.(259) Po tretie, pokiaľ ide o znaky uvedené v písmenách a) druhej vete bodoch i) a iii) tohto článku, kladiem si otázku, či sa predbežné posúdenie podľa článku 6 ods. 2 písm. a) smernice PNR aspoň čiastočne neprekrýva s účelom hraničných kontrol vykonávaných podľa článku 8 ods. 2 písm. b), článku 8 ods. 3 písm. a) bodu vi) a článku 8 ods. 3 písm. g) bodu iii) Kódexu schengenských hraníc v znení nariadenia 2017/458, a najmä ak sa z hľadiska podmienok vykonávania jasne odlišuje od týchto systematických kontrol.(260) V tejto súvislosti chcem uviesť, že článok 8 ods. 2e a článok 8 ods. 3 písm. ia) tohto kódexu spresňujú, že uvedené kontroly „možno vykonávať vopred na základe údajov o cestujúcich získaných v súlade so smernicou [API] alebo v súlade s inými právnymi predpismi Únie alebo vnútroštátnym právom“. Napriek tomu je pravda, že cieľom smernice PNR nie je „zabezpečiť, aby sa osobám mohol povoliť vstup na územie členského štátu alebo jeho opustenie“ ani „zabrániť osobám, aby sa vyhýbali hraničným kontrolám“, čo Súdny dvor uznal za ciele „hraničnej kontroly“ podľa Kódexu schengenských hraníc,(261) keďže táto smernica sleduje jediný ciel, ktorým je presadzovanie práva. Okrem toho článok 23 písm. a) druhá veta bod ii) uvedeného kódexu výslovne stanovuje, že výkon policajných právomocí nemožno považovať za rovnocenný výkonu hraničných kontrol, ak je cieľom kontrol predovšetkým boj proti cezhraničnej kriminalite.(262) Napokon by mal Súdny dvor pri svojom posúdení zohľadniť aj okolnosť, ktorú zdôraznila najmä Komisia, že článok 2 smernice PNR oprávňuje členské štáty iba k tomu, aby uložili leteckým dopravcom povinnosť prenášať údaje z PNR, ktoré zhromaždili v rámci svojej bežnej činnosti, a teda nestanovuje povinnosť podobnú tej, ktorú stanovuje smernica API v súvislosti s prekračovaním vonkajších hraníc.

280. Pokiaľ ide o druhú časť deviatej prejudiciálnej otázky, rovnako ako Komisia sa domnievam, že by sa mala chápať tak, že sa vzťahuje na prekročenie vnútorných hraníc a že jej cieľom je získať od Súdneho dvora vysvetlenia umožňujúce vnútroštátnemu súdu posúdiť zlučiteľnosť ustanovení kapitoly 11 zákona PNR so zrušením kontrol na vnútorných hraniciach členských štátov v schengenskom priestore.

281. Vzhľadom na nedostatok informácií, ktoré má Súdny dvor k dispozícii, sa v tejto súvislosti obmedzím na konštatovanie, že ustanovenia kapitoly 11 zákona PNR môžu byť zlučiteľné s právom Únie a najmä s článkom 67 ods. 2 ZFEÚ len vtedy, keď sa budú vykladať v tom zmysle, že sa týkajú iba prenosu a spracúvania údajov API cestujúcich, ktorí prekračujú vonkajšie hranice Belgicka s tretími krajinami.

282. Pokiaľ by sa Súdny dvor rozhodol preformulovať druhú časť deviatej prejudiciálnej otázky v tom zmysle, že sa týka výkladu smernice PNR v súvislosti s ustanoveniami kapitoly 11 zákona PNR, chcem poznamenať len toľko, že spracúvanie údajov API stanovené v článkoch 28 a 29 tohto zákona je súčasťou systému zavedeným belgickým zákonodarcom na účely prebratia smernice PNR. Po prvé tak údaje API, ktoré sú predmetom spracúvania, sa zhodujú s údajmi vymenovanými v bode 12 prílohy I tejto smernice, a nie len s údajmi obsiahnutými v zozname uvedenom v článku 3 ods. 2 smernice API. Po druhé v súlade s článkom 29 ods. 1 zákona PNR tieto údaje prenáša policajným orgánom povereným kontrolou hraníc a Cudzineckému úradu útvar PIU, ktorý je poverený zhromažďovaním a spracúvaním údajov z PNR len na účely sledované smernicou PNR, a nie priamo leteckí dopravcovia, ako stanovuje smernica API. Okrem toho sa tento prenos týka aj údajov o cestujúcich, ktorí chcú opustiť belgické územie alebo ho opustili, a jeho jediným adresátom nie sú len orgány poverené kontrolou hraníc, ale aj Cudzinecký úrad, ktorý je poverený riadením migrantov a bojom proti nelegálnemu prisťahovalectvu. Po tretie, podľa článku 29 ods. 4 druhého pododseku zákona PNR je zrejme Cudzinecký úrad oprávnený podávať útvaru PIU žiadosti o sprístupnenie údajov API aj po tom, čo boli tieto údaje spracované pri prekročení hraníc dotknutými cestujúcimi. V tomto zmysle sa tento úrad de facto považuje za príslušný orgán podľa článku 7 smernice PNR, hoci nemá povahu takéhoto orgánu a nie je uvedený v zozname týchto orgánov, ktorý Belgicko oznámilo Komisii. Takéto spojenie medzi systémami stanovenými smernicou API a smernicou PNR pritom podľa môjho názoru nemožno pripustiť, pretože porušuje zásadu obmedzenia účelov zakotvenú v článku 1 ods. 2 smernice PNR.(263)

283. Na základe všetkých predchádzajúcich úvah navrhujem, aby Súdny dvor odpovedal na deviatu prejudiciálnu otázku tak, že článok 3 ods. 1 smernice API, podľa ktorého členské štáty prijmú potrebné opatrenia s cieľom ustanoviť pre leteckých dopravcov povinnosť oznamovať do skončenia odbavenia, na žiadosť orgánov zodpovedných za vykonávanie kontrol osôb na vonkajších hraniciach, informácie týkajúce sa cestujúcich uvedené v odseku 2 tohto článku v spojení s článkom 2 písm. b) a d) tejto smernice sa týka len cestujúcich prepravovaných k hraničnému priechodu povolenému na prekračovanie vonkajších hraníc členských štátov s tretími krajinami. Vnútroštátna právna úprava, ktorá len na účely zlepšenia hraničných kontrol a boja proti nelegálnemu prisťahovalectvu rozširuje túto povinnosť na údaje týkajúce sa osôb, ktoré prekračujú vnútorné hranice dotknutého členského štátu lietadlom alebo inými dopravnými prostriedkami, je v rozpore s článkom 67 ods. 2 ZFEÚ a článkom 22 Kódexu schengenských hraníc.

F.      O desiatej prejudiciálnej otázke

284. Svojou desiatou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta Súdneho dvora, či by v prípade, ak dospeje k záveru, že zákon PNR porušuje články 7, 8 a článok 52 ods. 1 Charty, mohol dočasne zachovať účinky tohto zákona, aby tak zabránil vzniku právnej neistoty a umožnil použitie v minulosti zhromaždených a uchovávaných údajov na účely stanovené zákonom PNR.

285. Súdny dvor už na otázku s rovnakým znením odpovedal v rozsudku La Quadrature du Net, ktorý sa týkal uchovávania metadát elektronickej komunikácie a ktorý bol vyhlásený po podaní tohto návrhu na začatie prejudiciálneho konania. V tomto rozsudku Súdny dvor najprv pripomenul svoju judikatúru, podľa ktorej ak by vnútroštátne súdy mali právomoc priznať vnútroštátnym ustanoveniam prednosť pred právom Únie, ktorému tieto ustanovenia odporujú, hoci len dočasne, došlo by k narušeniu prednosti a jednotného uplatňovania práva Únie. Súdny dvor ďalej pripomenul, že v rozsudku z 29. júla 2019, Inter‑Environnement Wallonie a Bond Beter Leefmilieu Vlaanderen(264), v ktorom išlo o zákonnosť opatrení prijatých v rozpore s povinnosťou podľa práva Únie vykonať predbežné posúdenie vplyvov projektu na životné prostredie a chránenú lokalitu, pripustil, že vnútroštátny súd môže, ak to vnútroštátne právo umožňuje, výnimočne zachovať účinky takýchto opatrení, pokiaľ je toto zachovanie odôvodnené naliehavými dôvodmi spojenými s potrebou odvrátiť skutočnú a vážnu hrozbu prerušenia zásobovania dotknutého členského štátu elektrickou energiou, a to len časový úsek, ktorý je striktne nevyhnutný na odstránenie protiprávnosti. Dospel však k záveru, že na rozdiel od opomenutia procesnej povinnosti, akou je predchádzajúce posúdenie vplyvov projektu v konkrétnej oblasti ochrany životného prostredia, porušenie základných práv zaručených v článkoch 7 a 8 Charty nemožno napraviť postupom, ktorý je porovnateľný s postupom uvedeným vo vyššie spomínanom rozsudku.(265) Rovnakým spôsobom by sa podľa môjho názoru malo odpovedať aj na desiatu prejudiciálnu otázku v tomto konaní.

286. Vzhľadom na to, že tak vnútroštátny súd a belgická vláda, ako aj Komisia a Rada sa pýtajú, či právo Únie bráni tomu, aby sa v rámci trestného konania použili informácie alebo dôkazy získané z údajov z PNR zhromaždených, spracovaných a/alebo uchovávaných spôsobom, ktorý je nezlučiteľný s právom Únie, chcem pripomenúť, že v bode 222 rozsudku La Quadrature du Net Súdny dvor spresnil, že za súčasného stavu práva Únie v zásade prináleží iba vnútroštátnemu právu, aby v rámci trestného konania vedeného proti osobám podozrivým zo závažnej trestnej činnosti určilo pravidlá týkajúce sa prípustnosti a posúdenia informácií a dôkazov získaných takýmto uchovávaním údajov, ktoré je v rozpore s právom Únie, s výhradou dodržania zásad ekvivalencie a efektivity. V súvislosti s touto poslednou uvedenou zásadou Súdny dvor rozhodol, že táto zásada vyžaduje, aby vnútroštátny trestný súd v rámci trestného konania vedeného proti osobám podozrivým z trestnej činnosti vylúčil informácie a dôkazy získané prostredníctvom všeobecného a nediferencovaného uchovávania údajov o prenose dát a polohe, ktoré je nezlučiteľné s právom Únie, ak tieto osoby nie sú schopné účinne sa vyjadriť k týmto informáciám a dôkazom, ktoré pochádzajú z oblasti mimo znalostí súdu a ktoré môžu mať podstatný vplyv na posúdenie skutkového stavu. Tieto zásady možno mutatis mutandis uplatniť aj na okolnosti konania vo veci samej.

IV.    Návrh

287. Na základe všetkých predchádzajúcich úvah navrhujem, aby Súdny dvor odpovedal na prejudiciálne otázky, ktoré položil Cour constitutionnelle (Ústavný súd, Belgicko), takto:

1.      Článok 23 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) v spojení s článkom 2 ods. 2 písm. d) tohto nariadenia sa má vykladať v tom zmysle, že:

–        sa vzťahuje na vnútroštátne právne predpisy, ktorými sa preberá smernica Európskeho parlamentu a Rady (EÚ) 2016/681 z 27. apríla 2016 o využívaní údajov zo záznamov o cestujúcich (PNR) na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti, v rozsahu, v akom tieto právne predpisy upravujú spracúvania údajov z PNR vykonávané leteckými dopravcami a inými hospodárskymi subjektmi, vrátane prenosu údajov z PNR útvarom informácií o cestujúcich (PIU) uvedeným v článku 4 tejto smernice, ktoré je stanovené v článku 8 tej istej smernice,

–        sa nevzťahuje na vnútroštátne právne predpisy, ktorými sa preberá smernica 2016/681, v rozsahu, v akom tieto právne predpisy upravujú spracúvania údajov vykonávané príslušnými vnútroštátnymi orgánmi na účely uvedené v článku 1 ods. 2 tejto smernice, vrátane útvarov PIU a prípadne bezpečnostných a spravodajských služieb príslušného členského štátu,

–        sa vzťahuje na vnútroštátne právne predpisy, ktorými sa preberá smernica Rady 2004/82/ES z 29. apríla 2004 o povinnosti dopravcov oznamovať údaje o cestujúcich a smernica Európskeho parlamentu a Rady 2010/65/EÚ z 20. októbra 2010 o ohlasovacích formalitách lodí plávajúcich do prístavov a/alebo z prístavov členských štátov, ktorou sa zrušuje smernica 2002/6/ES, a to na účely zlepšenia kontrol osôb na vonkajších hraniciach a boja proti nelegálnemu prisťahovalectvu.

2.      Bod 12 prílohy I smernice 2016/681 je neplatný v rozsahu, v akom zahŕňa „všeobecné poznámky“ medzi kategórie údajov, ktoré sú leteckí dopravcovia povinní poskytnúť útvarom PIU v súlade s článkom 8 tejto smernice.

3.      Preskúmanie druhej, tretej, štvrtej, šiestej a ôsmej otázky neodhalilo ďalšie skutočnosti, ktoré by mohli ovplyvniť platnosť smernice 2016/681.

4.      Bod 12 prílohy I smernice 2016/681 sa má v časti, ktorá nebola vyhlásená za neplatnú, vykladať tak, že zahŕňa len informácie o maloletých, ktoré sú v tomto bode výslovne uvedené a ktoré priamo súvisia s letom.

5.      Bod 18 prílohy I smernice 2016/681 sa má vykladať v tom zmysle, že zahŕňa iba vopred poskytované informácie o cestujúcich, ktoré sú výslovne vymenované v tomto bode, ako aj v článku 3 ods. 2 smernice 2004/82 a ktoré boli zhromaždené leteckými dopravcami v rámci svojich bežných činností.

6.      Pojem „databázy, ktoré sú relevantné“ uvedený v článku 6 ods. 3 písm. a) smernice 2016/681 sa má vykladať v tom zmysle, že sa týka iba vnútroštátnych databáz spravovaných príslušnými orgánmi v zmysle článku 7 ods. 1 smernice, ako aj databáz Únie a medzinárodných databáz priamo využívaných týmito orgánmi v rámci plnenia svojich úloh. Uvedené databázy musia priamo a úzko súvisieť s cieľmi boja proti terorizmu a závažnej trestnej činnosti, ktoré sleduje uvedená smernica, čo znamená, že ide o databázy vyvinuté na tieto účely. V rámci prebratia smernice 2016/681 do svojho vnútroštátneho práva sú členské štáty povinné zverejniť zoznam uvedených databáz a priebežne ho aktualizovať.

7.      Článok 6 ods. 3 písm. b) smernice 2016/681 sa má vykladať v tom zmysle, že bráni tomu, aby sa v rámci automatizovaného spracúvania uvedeného v tomto ustanovení používali algoritmické systémy, ktoré môžu bez ľudského zásahu viesť k zmene vopred stanovených kritérií, podľa ktorých sa toto spracúvanie vykonalo, a ktoré neumožňujú jasným a transparentným spôsobom identifikovať dôvody, ktoré viedli k pozitívnemu výsledku získanému v nadväznosti na uvedené spracúvanie

8.      Článok 12 ods. 1 smernice 2016/681 v spojení s článkami 7, 8 a článkom 52 ods. 1 Charty základných práv Európskej únie treba vykladať v tom zmysle, že uchovávanie údajov z PNR, ktoré poskytli leteckí dopravcovia útvarom PIU, v databáze po dobu piatich rokov po ich prenose útvaru PIU členského štátu, na území ktorého let pristáva alebo z ktorého odlieta, je po vykonaní predbežného posúdenia podľa článku 6 ods. 2 písm. a) tejto smernice prípustné iba vtedy, ak je na základe objektívnych kritérií preukázaný vzťah medzi týmito údajmi a bojom proti terorizmu alebo závažnej trestnej činnosti. Všeobecné a nediferencované uchovávanie týchto údajov z PNR v neanonymizovanej forme možno odôvodniť len vzhľadom na závažné ohrozenie bezpečnosti členských štátov, ktoré sa javí ako skutočné a aktuálne trvajúce alebo predvídateľné, pričom sa týka napríklad teroristických aktivít, a to pod podmienkou, že trvanie tohto uchovávania bude obmedzené len na dobu, počas ktorej je to nevyhnutne potrebné.

9.      Článok 6 ods. 2 písm. b) smernice 2016/681 sa má vykladať v tom zmysle, že poskytovanie údajov z PNR alebo výsledku ich spracovania na základe tohto ustanovenia, ku ktorému dochádza počas počiatočnej doby v dĺžke šesť mesiacov, ktorá je stanovená v článku 12 ods. 2 tejto smernice, musí spĺňať podmienky stanovené v článku 12 ods. 3 písm. b) uvedenej smernice.

10.      Smernica 2016/681, a najmä jej článok 1 ods. 2 a článok 6, sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá ako účel spracúvania údajov z PNR pripúšťa monitorovanie činností, na ktoré sa zameriavajú spravodajské a bezpečnostné služby, pokiaľ by vnútroštátny útvar PIU mal v rámci takéhoto účelu spracúvať uvedené údaje a/alebo poskytovať tieto údaje alebo výsledok ich spracúvania uvedeným službám na iné účely než tie, ktoré sú taxatívne uvedené v článku 1 ods. 2 uvedenej smernice, čo prináleží overiť vnútroštátnemu súdu.

11.      Článok 12 ods. 3 písm. b) smernice 2016/681 sa má vykladať v tom zmysle, že útvar PIU nepredstavuje „iný príslušný vnútroštátny orgán“ v zmysle tohto ustanovenia.

12.      Článok 3 ods. 1 smernice 2004/82, podľa ktorého členské štáty prijmú potrebné opatrenia s cieľom ustanoviť pre leteckých dopravcov povinnosť oznamovať do skončenia odbavenia, na žiadosť orgánov zodpovedných za vykonávanie kontrol osôb na vonkajších hraniciach, informácie týkajúce sa cestujúcich uvedené v odseku 2 tohto článku v spojení s článkom 2 písm. b) a d) tejto smernice sa týka len cestujúcich prepravovaných k hraničnému priechodu povolenému na prekračovanie vonkajších hraníc členských štátov s tretími krajinami. Vnútroštátna právna úprava, ktorá len na účely zlepšenia hraničných kontrol a boja proti nelegálnemu prisťahovalectvu rozširuje túto povinnosť na údaje týkajúce sa osôb, ktoré prekračujú vnútorné hranice dotknutého členského štátu lietadlom alebo inými dopravnými prostriedkami, je v rozpore s článkom 67 ods. 2 ZFEÚ a článkom 22 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/399 z 9. marca 2016, ktorým sa ustanovuje kódex Únie o pravidlách upravujúcich pohyb osôb cez hranice (Kódex schengenských hraníc).

13.      Vnútroštátny súd nemôže uplatniť ustanovenie vnútroštátneho práva, ktoré ho oprávňuje obmedziť časové účinky vyhlásenia protiprávnosti, ktoré mu prislúcha urobiť podľa tohto práva vo vzťahu k vnútroštátnej právnej úprave, ktorá na účely boja proti terorizmu a závažnej trestnej činnosti ukladá leteckým, pozemným a námorným dopravcom, ako aj cestovným kanceláriám povinnosť prenášať údaje z PNR a stanovuje všeobecné a nediferencované spracúvanie a uchovávanie týchto údajov, ktoré sú nezlučiteľné s článkami 7, 8 a článkom 52 ods. 1 Charty základných práv. V súlade so zásadou efektivity je vnútroštátny trestný súd povinný v rámci trestného konania vedeného proti osobám podozrivým z trestnej činnosti vylúčiť informácie a dôkazy získané na základe takejto právnej úpravy, ktorá je nezlučiteľná s právom Únie, ak tieto osoby nie sú schopné účinne sa vyjadriť k týmto informáciám a dôkazom, ktoré pochádzajú z oblasti mimo znalostí súdu a ktoré môžu mať podstatný vplyv na posúdenie skutkového stavu.

1      Jazyk prednesu: francúzština.

2      Ú. v. EÚ L 119, 2016, s. 1

3      Ú. v. EÚ L 119, 2016, s. 132.

4      Ú. v. EÚ L 261, 2004, s. 24; Mim. vyd. 19/007, s. 74.

5      Moniteur belge z 25. januára 2017, s. 12905.

6      Podľa článku 3 bodu 2 smernice PNR „let mimo EÚ“ je „akýkoľvek plánovaný alebo neplánovaný let prevádzkovaný leteckým dopravcom s odletom z tretej krajiny a plánovaným pristátím na území členského štátu alebo s odletom z územia členského štátu a plánovaným pristátím v tretej krajine, pričom v oboch prípadoch zahŕňa lety s akýmikoľvek medzipristátiami na území členských štátov alebo tretích krajín“.

7      Podľa článku 3 bodu 3 smernice PNR „let vnútri EÚ“ je „akýkoľvek plánovaný alebo neplánovaný let prevádzkovaný leteckým dopravcom s odletom z územia členského štátu a plánovaným pristátím na území jedného alebo viacerých iných členských štátov bez akýchkoľvek medzipristátí na území tretej krajiny“.

8      Článok 7 ods. 1 smernice PNR stanovuje, že každý členský štát prijme zoznam príslušných orgánov, ktoré sú oprávnené žiadať od útvarov PIU údaje PNR alebo výsledky spracúvania týchto údajov alebo ich od nich prijímať s cieľom ďalej preskúmať tieto informácie alebo prijať náležité opatrenia na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov alebo závažnej trestnej činnosti. Tento zoznam Komisia uverejnila v roku 2018 (Ú. v. EÚ C 194, 2018, s. 1).

9      Rámcové rozhodnutie Rady z 27. novembra 2008 o ochrane osobných údajov spracúvaných v rámci policajnej a justičnej spolupráce v trestných veciach (Ú. v. EÚ L 350, 2008, s. 60).

10      (Ú. v. EÚ L 119, 2016, s. 89) Článok 25 rámcového rozhodnutia 2008/977/SVV bol nahradený článkom 41 smernice o ochrane.

11      Pozri článok 15 ods. 2 smernice PNR.

12      Pozri článok 15 ods. 3 písm. a) a b) smernice PNR.

13      Smernica Európskeho parlamentu a Rady z 20. októbra 2010 o ohlasovacích formalitách lodí plávajúcich do prístavov a/alebo z prístavov členských štátov, ktorou sa zrušuje smernica 2002/6/ES (Ú. v. EÚ L 283, 2010, s. 1).

14      Moniteur belge z 18. decembra 1998, s. 40312.

15      C‑203/15 a C‑698/15, ďalej len „rozsudok Tele2 Sverige“, EU:C:2016:970.

16      Ďalej len „stanovisko 1/15“, EU:C:2017:592.

17      Pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504, bod 61).

18      Podľa článku 2 ods. 1 GDPR sa toto nariadenie „vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému“.

19      Pozri rozsudky zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 84), ako aj z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504, bod 62).

20      Pozri v tomto zmysle rozsudok zo 6. októbra 2020, Privacy International (C‑623/17, ďalej len „rozsudok Privacy International“, EU:C:2020:790, bod 41 a citovaná judikatúra). Podľa článku 4 bodu 2 GDPR „spracúvanie“ je „operácia… s osobnými údajmi alebo súbormi osobných údajov, napríklad… poskytovanie prenosom“.

21      Pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504, bod 69). Podľa článku 3 bodu 7 písm. a) a b) smernice o ochrane „príslušný orgán“ je „a) akýkoľvek orgán verejnej moci príslušný v oblasti predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu, alebo b) akýkoľvek iný orgán alebo subjekt, ktorý bol právom členského štátu poverený vykonávať verejnú moc a verejné právomoci“ na tie isté účely.

22      Z návrhu na začatie prejudiciálneho konania nevyplýva žiadna indícia v tomto zmysle.

23      Takýto subjekt nemožno kvalifikovať ani ako „sprostredkovateľa“ v zmysle článku 4 bodu 8 GDPR alebo článku 3 bodu 9 smernice o ochrane, keďže ide skôr o „prevádzkovateľa“ v zmysle článku 4 bodu 7 druhej vety GDPR. Podľa článku 4 bodu 8 GDPR a článku 3 bodu 9 smernice o ochrane, ktoré sú formulované rovnako, „sprostredkovateľ“ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa“. V zmysle článku 4 bodu 7 prvej vety GDPR „prevádzkovateľ“ je „fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý… určí účely a prostriedky spracúvania osobných údajov“, pričom druhá veta tohto ustanovenia spresňuje, že „v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu“.

24      Smernica Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355). Táto smernica bola zrušená a nahradená GDPR, pozri článok 94 tohto nariadenia.

25      C‑317/04 a C‑318/04, ďalej len „rozsudok Parlament/Rada“, EU:C:2006:346. Vo veciach, ktoré viedli k tomuto rozsudku, Parlament žiadal na jednej strane zrušenie rozhodnutia Rady zo 17. mája 2004 o uzavretí dohody medzi Európskym spoločenstvom a Spojenými štátmi americkými o spracovaní a postúpení údajov PNR leteckými dopravcami Úradu pre colnú správu a ochranu hraníc Ministerstva vnútornej bezpečnosti Spojených štátov amerických (Ú. v. EÚ L 183, 2004, s. 83) a na druhej strane zrušenie rozhodnutia Komisie zo 14. mája 2004 o adekvátnej ochrane osobných údajov uvedených v Zázname podľa mena cestujúceho o cestujúcich lietadlom odoslaných Úradu Spojených štátov na ochranu colného priestoru a hraníc (Ú. v. EÚ L 235, 2004, s. 11).

26      Podľa článku 3 ods. 2 prvej zarážky smernice 95/46 sa táto smernica neuplatňuje na spracúvanie osobných údajov „v priebehu činností, ktoré sú mimo rozsahu zákona spoločenstva [mimo pôsobnosti práva Spoločenstva – neoficiálny preklad], ako sú tie, ktoré sú uvedené v hlave V a VI Zmluvy o Európskej únii, a v žiadnom prípade sa neuplatňujú [neuplatňuje – neoficiálny preklad] na operácie spracovania týkajúce sa verejnej bezpečnosti, obrany, bezpečnosti štátu (vrátane hospodárskej prosperity štátu, keď sa operácia spracovania týka záležitostí bezpečnosti štátu) a činností štátu v oblastiach trestného zákona [trestného práva – neoficiálny preklad]“ (kurzívou zvýraznil generálny advokát).

27      V súvislosti s „teleologickým“ a „kontextuálnym“ prístupom Súdneho dvora v rozsudku Parlament/Rada pozri návrhy, ktoré predniesol generálny advokát Campos Sánchez‑Bordona v spojených veciach La Quadrature du Net a i. (C‑511/18 a C‑512/18, EU:C:2020:6, body 47 a 62).

28      C‑511/18, C‑512/18 et C‑520/18, ďalej len rozsudok „La Quadrature du Net“, EU:C:2020:791.

29      Pozri rozsudok La Quadrature du Net, body 100 až 102.

30      Pozri v tom istom zmysle rozsudok Privacy International, bod 47.

31      C‑207/16, ďalej len „rozsudok Ministerio Fiscal“, EU:C:2018:788, bod 34.

32      Pozri analogicky rozsudky Tele2 Sverige, body 72 až 74, a Ministerio fiscal, bod 34. Tieto rozsudky sa týkali výkladu článku 15 ods. 1 prvej vety smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514), ktorý stanovuje obmedzujúcu klauzulu podobnú tej, ktorá je obsiahnutá v článku 23 ods. 1 písm. a) až d) GDPR.

33      Odkaz na článok 15 ods. 1 smernice 2002/58 bol v kontexte tejto smernice odôvodnený vzhľadom na znenie klauzuly o vylúčení stanovenej v jej článku 1 ods. 3, ktorý vo všeobecnosti odkazuje na „činnosti [činnosti štátu – neoficiálny preklad] v oblasti trestného práva“.

34      Pozri analogicky rozsudok Privacy International, body 38 a 39.

35      Ide o spracúvania upravené v kapitolách 7 až 10 a 12 zákona PNR

36      Pozri v tomto zmysle rozsudky La Quadrature du Net, bod 103 a Privacy International, bod 48.

37      Pozri najmä rozsudok La Quadrature du Net.

38      Pozri rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504, bod 66).

39      Pozri rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504).

40      Pozri rozsudok La Quadrature du Net, bod 99 a citovanú judikatúru.

41      Podmienky spojené s týmto spracúvaním údajov sú stanovené v kapitole 11 zákona PNR.

42      Pozri odôvodnenia 8, 9 a 12 a článok 6 smernice API a článok 8 ods. 2 smernice 2010/65.

43      Použitie vopred poskytovaných informácií o cestujúcich (ďalej len „údaje API“) orgánmi presadzovania práva je výslovne stanovené v článku 6 ods. 1 poslednom pododseku smernice API.

44      Pozri v tomto zmysle najmä rozsudok zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 170 a citovaná judikatúra).

45      Pozri najmä rozsudok zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 172 a citovaná judikatúra).

46      Pozri v tomto zmysle rozsudok La Quadrature du Net, bod 122.

47      Pozri rozsudok La Quadrature du Net, bod 123.

48      Pozri rozsudok La Quadrature du Net, bod 124 a citovanú judikatúru.

49      Pozri rozsudok z 18. júna 2020, Komisia/Maďarsko (Transparentnosť združení) (C‑78/18, EU:C:2020:476, bod 122 a citovaná judikatúra).

50      Pozri najmä rozsudky ESĽP, 4. decembra 2015, Roman Zakharov v. Rusko (CE:ECHR:2015:1204JUD004714306, § 227); 18. mája 2010, Kennedy v. Spojené kráľovstvo (CE:ECHR:2010:0518JUD002683905, § 130), a 25. mája 2021, Centrum för Rättvisa v. Švédsko (CE:ECHR:2021:0525JUD003525208, § 246).

51      Pozri rozsudky ESĽP, 4. decembra 2015, Roman Zakharov v. Rusko (CE:ECHR:2015:1204JUD004714306, § 228); 4. mája 2000, Rotaru v. Rumunsko (CE:ECHR:2000:0504JUD002834195, § 52); 4. decembra 2008, S. a Marper v. Spojené kráľovstvo (CE:ECHR:2008:1204JUD003056204, § 95); 18. mája 2021, Kennedy v. Spojené kráľovstvo (CE:ECHR:2010:0518JUD002683905, § 151), a 25. mája 2021, Centrum för Rättvisa v. Švédsko (CE:ECHR:2021:0525JUD003525208, § 246).

52      Pozri okrem iného rozsudok z 18. júna 2020, Komisia/Maďarsko (C‑78/18, EU:C:2020:476, body 124 a 126, ako aj citovaná judikatúra); pozri tiež rozsudky ESĽP, 4. mája 2000, Rotaru v. Rumunsko (CE:ECHR:2000:0504JUD002834195, § 48); 26. marca 1987, Leander v. Švédsko (CE:ECHR:1987:0326JUD000924881, § 46), a 29. júna 2006, Weber a Saravia v. Nemecko (CE:ECHR:2006:0629DEC005493400, § 79).

53      Pozri okrem iného rozsudok Ministerio Fiscal, bod 51 a citovanú judikatúru.

54      Pozri okrem iného rozsudok z 18. júna 2020, Komisia/Maďarsko (C‑78/18, ECLI:EU:C:2020:476, bod 126), ako aj rozsudok Ministerio Fiscal, bod 51 a citovanú judikatúru.

55      Pozri rozsudok z 8. apríla 2014, Digital Rights Ireland a i. (C‑293/12 a C‑594/12, ďalej len „rozsudok Digital Rights“, EU:C:2014:238, bod 34).

56      Pozri stanovisko 1/15, body 121 až 123.

57      Pozri analogicky rozsudok Privacy International, body 79 a 80, ako aj a citovanú judikatúru.

58      Pozri článok 2 ods. 1 až 3 smernice PNR.

59      Pozri článok 2 ods. 3 smernice PNR.

60      V súlade s článkami 1 a 2 Protokolu (č. 22) o postavení Dánska, keďže sa tento členský štát nezúčastnil na prijatí smernice PNR, nie je ňou viazaný ani nepodlieha jej uplatňovaniu (pozri odôvodnenie 40 tejto smernice). Z písomných pripomienok predložených dánskou vládou však vyplýva, že Dánske kráľovstvo prijalo v roku 2018 zákon o zhromažďovaní, využívaní a uchovávaní údajov z PNR, ktorého ustanovenia sa vo veľkej miere zhodujú s ustanoveniami smernice PNR. Pokiaľ ide o Írsko, z odôvodnenia 39 smernice PNR vyplýva, že tento členský štát v súlade s článkom 3 Protokolu č. 21 o postavení Spojeného kráľovstva a Írska s ohľadom na priestor slobody, bezpečnosti a spravodlivosti, ktorý je pripojený k ZEÚ a ZFEÚ, oznámil svoje želanie zúčastniť sa na prijatí a uplatňovaní tejto smernice.

61      Komisia uverejnila aktualizovaný zoznam členských štátov, ktoré sa rozhodli uplatňovať smernicu PNR na lety vnútri EÚ podľa článku 2 smernice [PNR] (Ú. v. EÚ C 358, 2020, s. 7), v znení korigenda zo septembra 2021 pridaním Slovinska a zrušením odkazu na Spojené kráľovstvo (Ú. v. EÚ C 360, 2021, s. 8). Írsko a Rakúsko sa na tomto zozname nenachádzajú. V správe Komisie Európskemu parlamentu a Rade o preskúmaní smernice [PNR] z 24. júla 2020 [COM(2020) 305 final, s. 11 (ďalej len „správa Komisie z roku 2020“)] sa uvádza, že všetky členské štáty okrem jedného rozšírili zhromažďovanie údajov z PNR aj na lety vnútri EÚ.

62      Pozri najmä body 4 a 18 prílohy I, ktoré sa týkajú mien, pohlavia, dátumu narodenia, národnosti a dokladov totožnosti cestujúceho.

63      Pozri najmä body 2, 3, 7, 13 a 18 prílohy I smernice PNR, ktoré uvádzajú okrem iného číslo letu, miesta odletu a príletu, ako aj dátumy a časy odletu a príletu.

64      Pozri body 5, 6, 9, 12 a 16 prílohy I.

65      Pozri v tomto zmysle stanovisko 1/15, bod 131.

66      SWD(2020)128 final.

67      Pracovný dokument z roku 2020 (s. 28 a poznámka pod čiarou 55) uvádza za rok 2019 mieru pozitívnych lustrácií vo výške 0,59 %, z ktorých len 0,11 % bolo prenesených príslušným orgánom. Za rok 2018 boli zodpovedajúce percentuálne podiely v príslušnom poradí 0,25 % a 0,04 %.

68      Pozri stanovisko 1/15, bod 132.

69      Systém zavedený smernicou PNR mohol pred zdravotnou krízou pokrývať až jednu miliardu cestujúcich za rok; údaje sú dostupné na adrese https://ec.europa.eu/eurostat/databrowser/view/ttr00012/default/table?lang=fr.

70      To znamená každú osobu, ktorá spadá pod pojem „cestujúci“, ako je vymedzený v článku 3 bode 4 smernice PNR, a ktorá cestuje letom „mimo EÚ“, ako aj de facto letom „vnútri EÚ“.

71      V štúdii prijatej v roku 2015 Európskou komisiou pre demokraciu prostredníctvom práva (Benátska komisia) sa takéto opatrenia považujú za súčasť pojmu „strategický dohľad“ a nasledovanie „všeobecného trendu“ využívania „proaktívneho dohľadu“ nad obyvateľstvom; pozri štúdiu Mise à jour du rapport de 2007 sur le contrôle démocratique des services de sécurité et rapport sur le contrôle démocratique des agences de collecte de renseignements d’origine électromagnétique, ktorú prijala Benátska komisia na svojom 102. plenárnom zasadnutí (Benátky, 20. a 21. marca 2015), https://www.venice.coe.int/webforms/documents/?pdf=CDL‑AD(2015)006‑f, bod 61.

72      Pokiaľ ide o článok 8 EDĽP, pozri rozsudok ESĽP, 25. mája 2021, Big Brother Watch a i. v. Spojené kráľovstvo (CE:ECHR:2021:0525JUD005817013, § 325, ďalej len „rozsudok Big Brother Watch“) o opatreniach hromadného odpočúvania, v ktorom ESĽP uvádza, že intenzita zásahu týchto opatrení do výkonu práva na súkromie sa zvyšuje s priebehom jednotlivých fáz procesu, konkrétne zachytením a počiatočným uchovávaním komunikácie a súvisiacich údajov, automatizovaným spracúvaním pomocou selektorov, preskúmaním údajov analytikmi a ich následným uchovávaním, ako aj využitím „finálneho produktu“.

73      Pozri v tomto zmysle odôvodnenia 6 a 7 smernice PNR; pozri k hlbšej analýze účelu a dôsledkov pre ochranu súkromia a osobných údajov správu s názvom Passenger Name Records (PNR), data mining and data protection: the need for strong safeguards, ktorú vypracoval KORFF, D. s prispením GEORGES, M. https://rm.coe.int/16806a601b (ďalej len „správa Korff“).

74      Ako sa uvádza v správe Korff, „PNR is not an isolated issue, but a new symptom of a much wider disease“.

75      Pozri okrem iného rozsudky zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 175), a z 8. septembra 2020, Recorded Artists Actors Performers (C‑265/19, EU:C:2020:677, bod 86 a citovaná judikatúra), ako aj rozsudok Privacy international, bod 65.

76      Pozri okrem iného rozsudky ESĽP, 8. júna 2006, Lupsa v. Rumunsko, (CE:ECHR:2006:0608JUD001033704, §§ 32 a 33), a 15. decembra 2020, Pişkìn v. Turecko (CE:ECHR:2020:1215JUD003339918, § 206); pozri tiež rozsudok Big Brother Watch, § 333. O potrebe priznať výrazu „ustanovený zákonom“ v článku 52 ods. 1 Charty ten istý výklad, aký podal ESĽP, pozri návrhy, ktoré predniesol generálny advokát Wathelet vo veci WebMindLicenses (C‑419/14, EU:C:2015:606, body 134 až 143).

77      Pozri napokon rozsudok Big Brother Watch, § 333.

78      Pozri rozsudok zo 17. decembra 2015, WebMindLicenses (C‑419/14, EU:C:2015:832, bod 81); pozri tiež rozsudok ESĽP, 1. júla 2008, Liberty a i. v. Spojené kráľovstvo (CE:ECHR:2008:0701JUD005824300, § 69), ako aj rozsudok Big Brother Watch, § 333.

79      Dohovor Rady Európy o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov, prijatý v Štrasburgu 28. januára 1981 a ratifikovaný všetkými členskými štátmi, ktorý je známy ako „Dohovor č. 108“. V roku 2018 bol vypracovaný protokol, ktorým sa mení tento dohovor s cieľom jeho modernizácie. Rozhodnutím Rady (EÚ) 2019/682 z 9. apríla 2019 (Ú. v. EÚ L 115, 2019, s. 7) boli členské štáty poverené ratifikovať uvedený pozmeňujúci protokol v rozsahu, v akom jeho ustanovenia patria do výlučnej právomoci Únie. Ďalej v týchto návrhoch budem odkazovať aj na znenie modernizovaného Dohovoru č. 108, ktorý, hoci ešte nebol ratifikovaný všetkými členskými štátmi a ešte nenadobudol účinnosť, stanovuje, ako vyplýva z rozhodnutia 2019/682, záruky založené na rovnakých zásadách, aké sú uvedené v GDPR a v smernici o ochrane.

80      https://rm.coe.int/t‑pd‑2016‑18rev‑avis‑pnr‑fr/16807b6c09, s. 3 a 5. V dôvodovej správe pripojenej k protokolu, ktorým sa mení Dohovor č. 108 (ďalej len „dôvodová správa k modernizovanému Dohovoru č. 108“) sa tiež zdôrazňuje požiadavka, aby opatrenie stanovujúce zásahy do práva na rešpektovanie súkromného života a ochranu osobných údajov bolo „prístupné“, „predvídateľné“, „dostatočne podrobné“ a „jasne formulované“; pozri bod 91 tejto dôvodovej správy, https://rm.coe.int/convention‑108‑convention‑pour‑la‑protection‑des‑personnes‑a‑l‑egard‑d/16808b3726.

81      Pozri a contrario rozsudok z 3. decembra 2019, Česká republika/Parlament a Rada (C‑482/17, EU:C:2019:1035, bod 135).

82      Pozri okrem iného rozsudok La Quadrature du Net, bod 132 a citovanú judikatúru; pozri tiež rozsudok ESĽP, Big Brother Watch, § 334.

83      Pozri v tejto súvislosti TRIDIMAS, T., GENTILE, G.: The essence of Rights: an unreliable Boundary? In: German Law Journal. 2019, s. 796; LENAERTS, K: Limits on limitations: The Essence of Fundamental Rights in the EU. In: German Law Journal. 2019, 20, s. 779 a nasl.

84      Počnúc rozsudkom ESĽP, 24. októbra 1979, Winterwerp v. Holandsko (CE:ECHR:1979:1024JUD000630173, § 60).

85      Pozri Vysvetlivky k Charte základných práv (Ú. v. EÚ C 303, 2007, s. 17, konkrétne „Vysvetlivky k článku 52“, s. 32, ďalej len „vysvetlivky k Charte“).

86      Pozri už v tomto zmysle najmä rozsudky zo 14. mája 1974, Nold/Komisia (4/73, EU:C:1974:51, bod 14), a z 13. decembra 1979, Hauer (44/79, EU:C:1979:290, bod 23).

87      C‑362/14, ďalej len rozsudok „Schrems I“, EU:C:2015:650, body 94 až 98.

88      Pozri LENAERTS, K.: c. d., s. 781; TRIDIMAS, T., GENTILE, G.: c. d., s. 803.

89      Vo vysvetlivkách k Charte sa výslovne uznáva, že „dôstojnosť ľudskej osoby je súčasťou podstaty práv priznaných v tejto charte“ a že „sa preto [musí] rešpektovať, a to aj v prípade obmedzenia iného práva“.

90      V tejto súvislosti odkazujem na úvahy obsiahnuté v spoločnom čiastočne súhlasnom stanovisku sudcov Lemmensa, Vehabovića a Bošniaka v rozsudku Big Brother Watch, § 3 až § 10.

91      Smernica Európskeho parlamentu a Rady z 15. marca 2006 o uchovávaní údajov vytvorených alebo spracovaných v súvislosti s poskytovaním verejne dostupných elektronických komunikačných služieb alebo verejných komunikačných sietí a o zmene a doplnení smernice 2002/58/ES smernice (Ú. v. EÚ L 105, 2006, s. 54).

92      Pozri rozsudok Digital Rights, bod 39; pozri tiež, pokiaľ ide o smernicu 2002/58, rozsudok Tele2 Sverige, bod 101.

93      Pozri stanovisko 1/15, bod 150.

94      Pozri v tomto zmysle najmä rozsudok Digital Rights, bod 40.

95      Pozri v tomto istom zmysle stanovisko 1/15, bod 128.

96      Pozri stanovisko 1/15 body 164 a 165.

97      Pozri stanovisko 1/15, bod 150.

98      Pozri najmä odôvodnenia 5, 6, 15 a 22 smernice PNR.

99      Návrh Komisie z 2. februára 2011 o využívaní údajov z osobných záznamov o cestujúcich na účely prevencie, odhaľovania, vyšetrovania a stíhania teroristických trestných činov a závažnej trestnej činnosti [KOM(2011) 32 v konečnom znení, s. 4].

100      V záujme zjednodušenia budem v týchto návrhoch používať výrazy „útvary presadzovania práva“ alebo „orgány presadzovania práva“ na všeobecné označenie všetkých orgánov s právomocami v oblasti odhaľovania, prevencie, stíhania a vyšetrovania terorizmu a závažnej trestnej činnosti, na ktoré sa vzťahuje smernica PNR.

101      Pozri odôvodnenie 7 smernice o PNR. Pozri tiež návrh smernice PNR, s. 5.

102      Pozri v tomto zmysle stanovisko 1/15, ako aj rozsudok z 2. marca 2021, Prokuratuur (Podmienky prístupu k údajom týkajúcim sa elektronických komunikácií) (C‑746/18, ďalej len „rozsudok Prokuratuur“, EU:C:2021:152, bod 33 a citovaná judikatúra).

103      Pozri v tomto zmysle stanovisko 1/15, bod 149 a citovanú judikatúru, ako aj rozsudok La Quadrature du Net.

104      Pozri nižšie analýzu o proporcionalite zásahu.

105      Pozri rozsudok La Quadrature du Net, bod 125.

106      Pozri rozsudok La Quadrature du Net, bod 126 a citovanú judikatúru.

107      Pozri rozsudok La Quadrature du Net, bod 136.

108      Pozri rozsudok Digital Rights, bod 46 a citovanú judikatúru.

109      Pozri stanovisko 1/15, bod 140, ako aj rozsudok La Quadrature du Net, bod 130 a citovanú judikatúru. Požiadavka, aby spracúvanie osobných údajov odrážalo vo všetkých fázach „spravodlivú rovnováhu medzi všetkými dotknutými záujmami, či už verejnými alebo súkromnými a príslušnými právami a slobodami“, je uvedená aj v článku 5 Dohovoru č. 108.

110      Pozri v tomto zmysle rozsudok z 2. októbra 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, bod 55 a citovaná judikatúra), ako aj rozsudky La Quadrature du Net, bod 131, a Prokuratuur, bod 32.

111      Pozri v tomto zmysle rozsudky Digital Rights, bod 54, a Schrems I, bod 91, ako aj stanovisko 1/15, bod 141.

112      Pozri stanovisko 1/15, bod 141 a citovanú judikatúru.

113      Pozri v tomto zmysle rozsudok Digital Rights, bod 48.

114      Pozri v tomto zmysle body 201 až 203 nižšie.

115      V tejto súvislosti odkazujem na údaje obsiahnuté v pracovnom dokumente z roku 2020.

116      Pozri v tomto zmysle stanovisko z 19. augusta 2016, s. 5.

117      O význame štatistík na účely posúdenia účinnosti systému zavedeného smernicou PNR pozri najmä stanovisko 1/2011 zo 14. júna 2011 k návrhu smernice PNR, dostupné na adrese https://fra.europa.eu/sites/default/files/fra_uploads/1786‑FRA‑PNR‑Opinion‑2011_FR.pdf, bod 2.1.2.1 (ďalej len „stanovisko FRA 1/2011“).

118      Túto otázku naopak jasne položil Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko) v prebiehajúcej veci C‑215/20.

119      Komisia bola vyzvaná, aby sa k tomu vyjadrila v rámci otázky na písomné zodpovedanie. Ostatní účastníci konania mohli zaujať stanovisko na pojednávaní.

120      Pozri vyššie, bod 107 na konci.

121      Smernica Európskeho parlamentu a Rady z 15. marca 2017 o boji proti terorizmu, ktorou sa nahrádza rámcové rozhodnutie Rady 2002/475/SVV a mení rozhodnutie Rady 2005/671/SVV (Ú. v. EÚ L 88, 2017, s. 6).

122      V tejto súvislosti chcem poznamenať, že pojem „trestný čin nadnárodnej povahy“, ako je vymedzený napríklad v návrhu dohody PNR medzi Kanadou a EÚ, bol dostatočne široký na to, aby zahŕňal aj trestné činy spáchané v jednej krajine, ak sa páchateľ „nachádza v inej krajine alebo má v úmysle vycestovať do inej krajiny“; pozri článok 3 ods. 3 písm. e) návrhu dohody PNR medzi Kanadou a EÚ, ktorého znenie je uvedené v bode 30 stanoviska 1/15. Tiež poznamenávam, že FRA vo svojom stanovisku 1/2011 (pozri body 2.2.3.1 a 3.7) navrhovala obmedziť systém PNR Únie len na závažné nadnárodné trestné činy. Návrh smernice PNR naproti tomu rozlišoval medzi automatizovaným spracúvaním údajov v prípade nadnárodnej trestnej činnosti a v prípade trestnej činnosti, ktorá takúto povahu nemá [pozri článok 4 ods. 2 písm. a) tohto návrhu].

123      Ďalej chcem poznamenať, že určitá časť trestných činov uvedených v prílohe II patrí do oblastí trestnej činnosti, ktorú článok 83 ods. 1 prvý pododsek ZFEÚ kvalifikuje ako „obzvlášť závažnú“, a tieto oblasti sú vymenované v druhom pododseku tohto odseku. Ide najmä o obchodovanie s ľuďmi, sexuálne zneužívanie detí, nedovolené obchodovanie s drogami, nedovolené obchodovanie so zbraňami, pranie špinavých peňazí, korupciu, falšovanie platobných prostriedkov, počítačovú kriminalitu a organizovanú trestnú činnosť. Vo viacerých týchto oblastiach prijal normotvorca Únie na základe článku 83 ods. 1 ZFEÚ smernice, ktorými sa stanovujú „minimálne pravidlá týkajúce sa vymedzenia trestných činov a sankcií“; pozri najmä smernicu Európskeho parlamentu a Rady 2011/36/EÚ z 5. apríla 2011 o prevencii obchodovania s ľuďmi a boji proti nemu a o ochrane obetí obchodovania, ktorou sa nahrádza rámcové rozhodnutie Rady 2002/629/SVV (Ú. v. EÚ L 101, 2011, s. 1); smernicu Európskeho parlamentu a Rady 2011/93/EÚ z 13. decembra 2011 o boji proti sexuálnemu zneužívaniu a sexuálnemu vykorisťovaniu detí a proti detskej pornografii, ktorou sa nahrádza rámcové rozhodnutie Rady 2004/68/SVV (Ú. v. EÚ L 335, 2011, s. 1); smernicu Európskeho parlamentu a Rady 2013/40/EÚ z 12. augusta 2013 o útokoch na informačné systémy, ktorou sa nahrádza rámcové rozhodnutie Rady 2005/222/SVV (Ú. v. EÚ L 218, 2013, s. 8); smernicu Európskeho parlamentu a Rady (EÚ) 2019/713 zo 17. apríla 2019 o boji proti podvodom s bezhotovostnými platobnými prostriedkami a proti ich falšovaniu a pozmeňovaniu, ktorou sa nahrádza rámcové rozhodnutie Rady 2001/413/SVV (Ú. v. EÚ L 123, 2019, s. 18); smernicu Európskeho parlamentu a Rady (EÚ) 2017/1371 z 5. júla 2017 o boji proti podvodom, ktoré poškodzujú finančné záujmy Únie, prostredníctvom trestného práva (Ú. v. EÚ L 198, 2017, s. 29), a smernicu Európskeho parlamentu a Rady (EÚ) 2018/1673 z 23. októbra 2018 o boji proti praniu špinavých peňazí prostredníctvom trestného práva (Ú. v. EÚ L 284, 2018, s. 22).

124      Chcem však poukázať na to, že všetky trestné činy uvedené v prílohe I, s výnimkou „priemyselnej špionáže“, sú uvedené aj v článku 2 ods. 2 rámcového rozhodnutia Rady z 13. júna 2002 o európskom zatykači a postupoch odovzdávania osôb medzi členskými štátmi (Ú. v. ES L 190, 2002, s. 1; Mim. vyd. 19/006, s. 34). Hoci tieto trestné činy nie sú výslovne označené ako závažné, napriek tomu, ak za ne možno uložiť trest odňatia slobody v dĺžke dosahujúcej hranicu stanovenú v článku 3 bode 9 smernice o PNR, sú dôvodom na vydanie osôb v súlade s európskym zatykačom, bez overenia dvojitej trestnosti činu. Takmer všetky uvedené trestné činy, s výnimkou „sabotáže“, „nezákonného ovládnutia lietadla“ a „priemyselnej špionáže“, sú uvedené aj v prílohe I k nariadeniu Európskeho parlamentu a Rady (EÚ) 2018/1727 zo 14. novembra 2018 o Agentúre Európskej únie pre justičnú spoluprácu v trestných veciach (Eurojust) a o nahradení a zrušení rozhodnutia Rady 2002/187/SVV (Ú. v. EÚ L 295, 2018, s. 138), ktorá uvádza zoznam „foriem závažnej trestnej činnosti“ patriacich do právomoci Eurojustu

125      Ide najmä o body 7, 8, 10 a 16.

126      Napríklad v prípade „podvodu“ (bod 7), „korupcie“ (bod 6), „počítačovej kriminality“ (bod 9) a „trestných činov proti životnému prostrediu“ (bod 10). Práve podvodnými trestnými činmi sa konkrétne zaoberá Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden) v prebiehajúcej veci C‑215/20.

127      Táto smernica okrem toho v článku 9 spresňuje minimálnu výšku hornej hranice sadzby trestu odňatia slobody, ktorá má byť stanovená za uvedené trestné činy, pričom táto hranica dosahuje tri roky len za určitých okolností.

128      Smernica Európskeho parlamentu a Rady z 19. novembra 2008 (Ú. v. EÚ L 328, 2008, s. 28).

129      Smernica Rady z 28. novembra 2002, ktorá definuje napomáhanie neoprávnenému vstupu, tranzitu a pobytu (Ú. v. ES L 328, 2002, s. 17; Mim. vyd. 19/006, s. 64).

130      Rámcové rozhodnutie Rady z 28. novembra 2002 o posilnení trestného systému na zabránenie napomáhaniu neoprávnenému vstupu, tranzitu a pobytu (Ú. v. ES L 328, 2002, s. 1; Mim. vyd. 19/006, s. 61).

131      Rámcové rozhodnutie Rady z 22. júla 2003 o boji proti korupcii v súkromnom sektore (Ú. v. EÚ L 192, 2003, s. 54; Mim. vyd. 19/006, s. 182).

132      Rámcové rozhodnutie Rady z 24. októbra 2008 o boji proti organizovanému zločinu (Ú. v. EÚ L 300, 2008, s. 42).

133      Pozri najmä odôvodnenia 7 a 22 smernice PNR.

134      Pozri odôvodnenie 35 smernice PNR.

135      Pozri analogicky rozsudky zo 16. decembra 2008, Arcelor Atlantique a Lorraine a i. (C‑127/07, EU:C:2008:728, body 61 a 62), a zo 17. októbra 2013, Schaible (C‑101/12, EU:C:2013:661, body 91 a 94).

136      Pozri dokument 9944 schválený generálnym tajomníkom ICAO a uverejnený s jeho súhlasom. Francúzska verzia tohto dokumentu je dostupná na stránke https://www.icao.int/Security/FAL/ANNEX9/Documents/9944_cons_fr.pdf. V súlade s bodom 9.22 prílohy 9 (Zjednodušenie) k Dohovoru o medzinárodnom civilnom letectve (Chicago, 1944) zmluvné štáty tohto dohovoru, ktoré požadujú údaje z PNR, sú povinné zosúladiť svoje potreby týkajúce sa údajov a spracúvanie týchto údajov okrem iného s týmito usmerneniami.

137      Pozri v tomto zmysle stanovisko 1/15, bod 160.

138      Pozri body 2.1.2 a 2.1.5 usmernení ICAO.

139      Jediný odkaz na usmernenia ICAO v smernici PNR sa nachádza v jej odôvodnení 17 a týka sa len „podporovaných formátov údajov pre prenos údajov PNR leteckými dopravcami členským štátom“.

140      V bode 2.1.5 uvedených usmernení sa tak uvádzajú „doplňujúce informácie“ alebo informácie „týkajúce sa požadovaných služieb“, ktoré sa môžu týkať „požiadaviek na lekársku starostlivosť alebo špeciálnu stravu, ‚maloletých bez sprievodu‘, žiadostí o pomoc atď.“. Bod 2.1.6 spresňuje, že „pole ‚všeobecné poznámky‘“ môže tiež obsahovať „určité informácie, ako sú napríklad interná korešpondencia alebo komunikácia medzi zamestnancami leteckých spoločností a rezervačnými kanceláriami“.

141      Pozri body 2.1.5 a 2.1.6 usmernení ICAO.

142      Pozri rozsudok zo 17. októbra 2013, Schwarz (C‑291/12, EU:C:2013:670, bod 32), týkajúci sa prípadu žiadateľa o cestovný pas, ktorý sa musí podrobiť odobratiu odtlačkov prstov, aby mohol získať doklad umožňujúci mu cestovať do tretej krajiny.

143      K tejto kategórii údajov sa vrátim neskôr.

144      FRA sa v tomto zmysle vyjadrila vo svojom stanovisku 1/2011, s. 13. EDPS vo svojom stanovisku z 25. marca 2011 k návrhu smernice PNR (https://edps.europa.eu/sites/edp/files/publication/11‑03‑25_pnr_en.pdf, bod 47) (ďalej len „stanovisko EDPS z 25. marca 2011“) navrhoval vylúčiť rubriku „Všeobecné poznámky“ zo zoznamu v prílohe I.

145      Pozri najmä rozsudky z 19. novembra 2009, Sturgeon a i. (C‑402/07 a C‑432/07, EU:C:2009:716, bod 47 a citovaná judikatúra); z 19. septembra 2013, Preskúmanie Komisia/Strack (C‑579/12 RX‑II, EU:C:2013:570, bod 40), a zo 14. mája 2019, M a i. (Odňatie postavenia utečenca) (C‑391/16, C‑77/17 a C‑78/17, EU:C:2019:403, bod 77 a citovaná judikatúra).

146      Pozri najmä odôvodnenia 5, 7, 11, 15, 16, 20, 22, 23, 25, 27, 28, 31, 36 a 37 smernice PNR.

147      Pozri rozsudky z 26. júna 2007, Ordre des barreaux francophones et germanophone a i. (C‑305/05, EU:C:2007:383, bod 28), a zo 14. mája 2019, M a i. (Odňatie postavenia utečenca) (C‑391/16, C‑77/17 a C‑78/17, EU:C:2019:403, bod 77).

148      Na účely relevantnosti v prejednávanej veci odôvodnenie 9 stanovuje, že „využívanie údajov PNR spolu s údajmi API má pridanú hodnotu spočívajúcu v tom, že pomáha členským štátom pri overovaní totožnosti fyzickej osoby, čím tak zvyšuje hodnotu takéhoto výsledku z hľadiska presadzovania práva a znižuje na minimum riziko kontrolovania a vyšetrovania nevinných“.

149      Pozri v tomto zmysle tiež návrh smernice PNR, s. 7, bod 1. Tie isté údaje sa nachádzajú v pokynoch týkajúcich sa predbežných informácií o cestujúcich (RPCV), ktoré vypracovali Svetová colná organizácia (WCO), Medzinárodné združenie leteckých dopravcov (IATA) a ICAO, http://www.wcoomd.org/~/media/wco/public/fr/pdf/topics/facilitation/instruments‑and‑tools/tools/api‑guidelines‑and‑pnr‑doc/api‑guidelines‑_f.pdf?db=web) [ďalej len „pokyny RPCV“, bod 8.1.5 písm. a)], ako „hlavné prvky údajov, ktoré môžu byť obsiahnuté v prístrojom snímateľnej časti úradných cestovných dokladov“.

150      Článok 3 ods. 2 smernice API znie: „Uvedené informácie musia zahrnovať tieto údaje: počet a druh použitého cestovného kladu, štátna príslušnosť, celé meno, dátum narodenia, hraničný priechod pre vstup na územie členských štátov, číselný znak dopravy, čas odchodu a príchodu pri doprave, celkový počet cestujúcich, ktoré sú prepravované touto dopravou, počiatočné miesto vstupu na palubu“. Chcem zdôrazniť, že Komisia vo svojom pracovnom programe na rok 2022, COM(2021) 645 final, s. 9, plánovala aktualizáciu smernice API. V septembri 2020 uverejnila hodnotenie tejto smernice ako základ pre jej budúcu revíziu, SWD(2020), 174 final (ďalej len „pracovný dokument k smernici API z roku 2020“). Komisia v uvedenom dokumente zdôrazňuje predovšetkým skutočnosť, že zoznam údajov obsiahnutý v článku 3 ods. 2 smernice API nie je v súlade s medzinárodnými normami o údajoch API, najmä preto, že nezahŕňa všetky údaje uvedené v prístrojom snímateľnej časti dokladov totožnosti (pozri najmä s. 48).

151      Pozri pokyny RPCV, bod 8.1.5 písm. b) a c).

152      Podobný výklad príslušnej rubriky v návrhu dohody PNR medzi Kanadou a EÚ je uvedený v bode 161 stanoviska 1/15.

153      Chcem poznamenať, že Súdnemu dvoru je v súčasnosti predložených niekoľko prejudiciálnych otázok, ktoré sa osobitne týkajú dostatočne presnej povahy viacerých bodov prílohy I, a to najmä bodov 4, 8, 12, 18 (pozri prebiehajúcu vec C‑215/20).

154      Pozri stanovisko 1/15, bod 158.

155      Poznamenávam, že informácie týkajúce sa cestovnej agentúry alebo zástupcu cestovnej agentúry sú už uvedené v bode 5 prílohy I.

156      Pozri definíciu údajov z PNR v článku 3 bode 5 smernice PNR.

157      Pozri v tomto zmysle tiež návrhy, ktoré predniesol generálny advokát Mengozzi k stanovisku 1/15, [(Dohoda PNR medzi Kanadou a EÚ), EU:C:2016:656], bod 218.

158      Pozri príslušnú rubriku v dodatku I k usmerneniam ICAO.

159      Pozri v tomto zmysle predovšetkým rozsudok Digital Rights, bod 57. K požiadavke, aby boli kategórie údajov, ktoré sú predmetom opatrenia týkajúceho sa prístupu, obmedzené na to, čo je striktne nevyhnuté pre sledovaný cieľ, pozri naposledy rozsudok Prokuratuur, bod 38. Zásada minimalizácie údajov je okrem iného stanovená aj v článku 5 ods. 1 písm. c) GDPR a v článku 4 ods. 1 písm. c) ochrannej smernice.

160      Pozri najmä rozsudok ESĽP, 18. apríla 2013, M. K. v. Francúzsko (CE:ECHR:2013:0418JUD001952209, § 35).

161      Pozri dôvodovú správu k Dohovoru č. 108 z roku 1981 (https://rm.coe.int/16800ca471), článok 5 bod 40, ako aj dôvodovú správu k modernizovanému Dohovoru č. 108, článok 5 bod 51.

162      Pozri body 154 až 158 a 162 až 164 vyššie.

163      Pozri body 133 až 153 vyššie.

164      Právo dieťaťa na rešpektovanie jeho súkromného života je zakotvené najmä v článku 16 Newyorského dohovoru o právach dieťaťa, ktorý bol prijatý 20. novembra 1989 a nadobudol platnosť 2. septembra 1990.

165      Pozri bod 2.7.3 usmernení ICAO.

166      Pozri bod 2.7.4 usmernení ICAO.

167      Požiadavka na zaistenie bezpečnosti a spoľahlivosti prenosu údajov útvarom PIU je navyše pripomenutá v článku 16 ods. 1 smernice PNR v súvislosti s elektronickými prostriedkami používanými na tento prenos a bola jedným z kritérií, ktorými sa Komisia riadila pri prijímaní, ako to vyžaduje odsek 3 tohto článku, spoločných protokolov a formátov údajov, ktoré majú používať leteckí dopravcovia pri uvedenom prenose; pozri vykonávacie rozhodnutie Komisie (EÚ) 2017/759 z 28. apríla 2017 o spoločných protokoloch a formátoch údajov, ktoré majú používať leteckí dopravcovia pri prenose údajov zo záznamov o cestujúcich útvarom informácií o cestujúcich (Ú. v. EÚ L 113, 2017, s. 48).

168      Pozri odôvodnenie 37 smernice o PNR.

169      Všetky kategórie osobných údajov vymenované v článku 13 ods. 4 smernice PNR sú zahrnuté v kategóriách, ktoré zodpovedajú pojmu „osobitné kategórie osobných údajov“ uvedenému v článku 9 ods. 1 GDPR.

170      V tejto súvislosti považujem za irelevantné tvrdenia predložené viacerými členskými štátmi, ktoré predniesli pripomienky k druhej prejudiciálnej otázke, že existujú technické prostriedky umožňujúce ľahko odstrániť citlivé údaje prenášané leteckými dopravcami.

171      Návrhy, ktoré predniesol generálny advokát Mengozzi k stanovisku 1/15 (Dohoda PNR medzi Kanadou a EÚ), EU:C:2016:656.

172      Chcem poznamenať, že aj usmernenia ICAO, ktoré nevylučujú, že by citlivé údaje, ktoré možno získať z rubrík s „voľným textom“, mohli byť užitočné pre posúdenie rizika, ktoré môže cestujúci predstavovať, napriek tomu odporúčajú zmluvným štátom, aby tieto údaje zohľadnili len vtedy, ak existujú konkrétne informácie, ktoré si vyžadujú ich použitie na účely sledované systémami PNR týchto štátov.

173      Pripomínam, že EDPS už navrhoval takéto vylúčenie vo svojom stanovisku z 25. marca 2011, bod 47.

174      Ide o údaje, ktoré môžu poskytnúť informácie o komunikácii uskutočnenej používateľom elektronického komunikačného prostriedku alebo o polohe koncových zariadení, ktoré používa.

175      V tomto zmysle pozri rozsudky La Quadrature du Net, body 141 až 145, a Tele2 Sverige, body 105 a 106, ktoré boli vydané v súvislosti s výkladom článku 15 ods. 1 smernice 2002/58 v spojení s článkami 7, 8, 11 a článku 52 ods. 1 Charty, ako aj rozsudok Digital Rights, body 57 a 58, v ktorom Súdny dvor vyhlásil smernicu 2006/24 za neplatnú.

176      Pozri rozsudok La Quadrature du Net, bod 177.

177      Pozri rozsudok La Quadrature du Net, body 134 až 139 a 177. Podľa Súdneho dvora zodpovednosť, ktorú majú členské štáty v oblasti národnej bezpečnosti, „zodpovedá prvoradému záujmu chrániť základné funkcie štátu a základné záujmy spoločnosti a zahŕňa prevenciu a potláčanie aktivít, ktoré môžu vážne destabilizovať základné politické, ústavné, hospodárske alebo sociálne štruktúry krajiny a najmä priamo ohroziť spoločnosť, obyvateľstvo alebo samotný štát, akými sú napríklad teroristické aktivity“; pozri rozsudky La Quadrature du Net, bod 135, a Privacy International, bod 74.

178      Pozri rozsudok La Quadrature du Net, body 138 a 178.

179      Pozri najmä rozsudok Quadrature Net, body 141 až 145.

180      Pozri rozsudok La Quadrature du Net, body 115 a 116; pozri tiež návrhy, ktoré predniesol generálny advokát Campos Sanchéz‑Bordona v spojených veciach SpaceNet a Telekom Deutschland (C‑793/19 a C‑794/19, EU:C:2021:939, body 74 a 75).

181      Pozri rozsudok Tele2 Sverige, bod 119.

182      Pozri v tomto zmysle rozsudok Tele2 Sverige, body 103 až 107 a 119 a citovanú judikatúru.

183      Pozri stanovisko 1/15, body 186 a 187.

184      V rozsudkoch Digital Rights, bod 59, a Tele2 Sverige, bod 111, ako aj v neskoršej judikatúre (pozri najmä rozsudok La Quadrature du Net, body 143 až 150) práve v dôsledku toho, že predmetná právna úprava sa nezakladala na „objektívnych skutočnostiach“ takého druhu, ako boli tie, ktoré Súdny dvor spomína v bode 187 stanoviska 1/15 a ktoré umožňovali zamerať sa na verejnosť, ktorej údaje by mohli odhaliť aspoň nepriamu súvislosť so závažnými trestnými činmi, bola táto právna úprava považovaná za neprimeranú.

185      Pozri rozsudok La Quadrature du Net, bod 117 a citovanú judikatúru; pozri tiež rozsudok Prokuratuur, bod 36.

186      Rozsudok La Quadrature du Net, bod 142.

187      Pozri stanovisko 1/15, body 128 a 150.

188      Pozri stanovisko 1/15, bod 150.

189      V súvislosti s náročnosťou takéhoto posúdenia v súvislosti s metadátami pozri rozsudok Prokuratuur, bod 40.

190      Snažil sa o to nemecký zákonodarca v právnej úprave, ktorá bola predmetom spojených vecí C‑793/19 a C‑794/19, SpaceNet a Telekom Deutschland, v ktorých predniesol návrhy generálny advokát Campos Sanchéz‑Bordona (EU:C:2021:939, body 60 a 61).

191      V tejto súvislosti odkazujem na bod 93 vyššie.

192      Pozri rozsudok La Quadrature du Net, bod 118 a citovanú judikatúru.

193      Pozri rozsudok Tele2 Sverige, bod 93.

194      Návrhy, ktoré predniesol generálny advokát Mengozzi k stanovisku 1/15 [(Dohoda PNR medzi Kanadou a EÚ), EU:C:2016:656].

195      Pozri najmä rozsudok ESĽP, 4. decembra 2015, Roman Zakharov v. Rusko (CE:ECHR:2015:1204JUD004714306, § 260).

196      Pozri rozsudky La Quadrature du Net, body 146 až 151, a Tele2 Sverige, bod 119.

197      Pozri v tomto zmysle, pokiaľ ide o opatrenia hromadného odpočúvania, rozsudok Big Brother Watch, § 348.

198      Pozri analogicky rozsudok z 3. októbra 2019, A a i. (C‑70/18, EU:C:2019:823, bod 61).

199      Pozri nedávne oznámenie Komisie o stratégii EÚ pre bezpečnostnú úniu [COM(2020) 605 final, s. 28], ako aj oznámenie Komisie: Program boja proti terorizmu pre EÚ: predvídanie, predchádzanie, ochrana a reakcia [COM(2020) 795 final, s. 15 a nasl.].

200      Rezolúcia z 21. decembra 2017 [ďalej len „rezolúcia č. 2396 (2017)“], https://undocs.org/fr/S/RES/2396(2017).

201      Pozri rezolúciu č. 2396 (2017), bod 12; v tom istom bode 12 Bezpečnostná rada Organizácie Spojených národov „vyzýva organizáciu ICAO, aby spolupracovala so svojimi členskými štátmi s cieľom stanoviť štandard pre zber, používanie, spracúvanie a ochranu údajov PNR“. V nadväznosti na takúto výzvu prijala ICAO 23. júna 2020 pozmeňujúci návrh č. 28 k prílohe 9 k Chicagskemu dohovoru, ktorá, ako už bolo uvedené, stanovuje medzinárodné normy týkajúce sa zjednodušenia a oddiel D jej kapitoly 9 sa osobitne týka údajov z PNR. Dňa 12. januára 2021 Komisia prijala návrh rozhodnutia Rady o pozícii, ktorá sa má zaujať v mene Európskej únie v [ICAO], pokiaľ ide o tento pozmeňovací návrh [COM(2021) 16 final].

202      Rezolúcia z 19. júla 2019, bod 15 písm. c), https://undocs.org/fr/S/RES/2482(2019).

203      V súčasnosti existujú dve medzinárodné dohody, ktoré uzavrela Únia s Austráliou [Dohoda medzi Európskou úniou a Austráliou o spracovaní a prenose údajov z [PNR] leteckými dopravcami Austrálskemu úradu pre colnú správu a ochranu hraníc (Ú. v. EÚ L 186, 2012, s. 4)] a so Spojenými štátmi americkými [Dohoda medzi Spojenými štátmi americkými a Európskou úniou o využívaní [údajov z PNR] a ich postupovaní Ministerstvu vnútornej bezpečnosti Spojených štátov amerických (Ú. v. EÚ L 215, 2012, s. 5)]. Aktuálne prebieha spoločné hodnotenie týchto dvoch dohôd s cieľom uzavrieť nové dohody. Dňa 18. februára 2020 Rada okrem toho poverila Komisiu, aby začala rokovania s Japonskom.

204      Pozri rezolúciu č. 2396 (2017), s. 4.

205      Vrátane osôb, ktoré požívajú právo na voľný pohyb v súlade s právom Únie; pozri nariadenie Európskeho parlamentu a Rady (EÚ) 2017/458 z 15. marca 2017, ktorým sa mení nariadenie (EÚ) 2016/399, pokiaľ ide o posilnenie kontrol na vonkajších hraniciach s použitím príslušných databáz (Ú. v. EÚ L 74, 2017, s. 7).

206      Pozri v tomto zmysle tiež stanovisko 1/15, bod 187. Pozri tiež oznámenie Komisie o všeobecnom prístupe k prenosu [PNR] do tretích krajín [COM(2010) 492 final, s. 6, bod 2.2].

207      Do istej miery to naznačuje aj Komisia vo svojom návrhu smernice PNR, s. 3.

208      Pozri v tomto zmysle rozsudok Prokuratuur, bod 49 a citovanú judikatúru.

209      Pozri článok 4 ods. 2 písm. a) návrhu smernice PNR.

210      Zatiaľ čo vo francúzskej jazykovej verzii sa v článku 6 ods. 3 písm. a) uvádzajú „bases de données utiles“ („databázy, ktoré sú užitočné“), vo väčšine ostatných jazykových verzií sa toto ustanovenie týka skôr „bases de données pertinentes“ („databáz, ktoré sú relevantné“): pozri najmä španielsku („pertinentes“), nemeckú („massgeblich“), anglickú („relevant“), taliansku („pertinenti“), holandskú („relevant“), a portugalskú („relevantes“) jazykovú verziu.

211      Zdá sa, že formulácia článku 6 ods. 3 písm. a) smernice PNR umožňuje analýzy vo forme získavania dát porovnávaním so širokou škálou údajov, a to za predpokladu, že toto získavanie v konečnom dôsledku sleduje ciele stanovené touto smernicou. K rizikám spojeným s „data mining“ (získavanie dát) v oblasti údajov z PNR pozri správu Korff, s. 77. EDPS vo svojom stanovisku z 25. marca 2011, bod 18, dôrazne upozornil, že databázy, s ktorými môžu byť porovnávané údaje z PNR, nie sú spresnené a predvídateľné.

212      Neurčitá a otvorená povaha znenia článku 6 ods. 3 písm. a) smernice PNR sa odráža v rôznorodom prebratí do vnútroštátneho práva, počnúc striktným výkladom pojmu „databáza, ktorá je relevantná“, podľa ktorého sa stanovená analýza obmedzuje len na porovnanie s databázami výslovne uvedenými v tomto ustanovení (prípad Spolkovej republiky Nemecko, ako vyplýva z pripomienok predložených Súdnemu dvoru nemeckou vládou), končiac širším výkladom, ktorý zahŕňa akúkoľvek databázu dostupnú alebo prístupnú príslušným orgánom v rámci plnenia ich úloh (v tomto zmysle je formulovaný najmä článok 24 ods. 1 bod 1 zákona PNR).

213      Podľa môjho názoru by sa členský štát v žiadnom prípade nemal považovať za povinný na základe článku 6 ods. 3 písm. a) smernice PNR povoliť útvarom PIU systematicky porovnávať údaje z PNR s „databázami, ktoré sú relevantné“ v zmysle tohto ustanovenia, pokiaľ sú spravované spravodajskými službami.

214      V článku 3 bode 4 smernice o ochrane je pojem „profilovanie“ vymedzený ako „akákoľvek forma automatizovaného spracúvania osobných údajov, ktoré pozostáva z použitia osobných údajov na vyhodnotenie určitých osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým analýzy alebo predvídania aspektov dotknutej fyzickej osoby súvisiacich s výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom“. Rovnaká definícia sa nachádza v článku 4 bode 4 GDPR a v bode 1 písm. c) prílohy k odporúčaniu Výboru ministrov Rady Európy CM/Rec(2021)8 z 3. novembra 2021 o ochrane jednotlivcov v súvislosti s automatizovaným spracúvaním osobných údajov v kontexte profilovania, https://search.coe.int/cm/pages/result_details.aspx?ObjectId=0900001680a46148, (ďalej len „odporúčanie z roku 2021 o profilovaní“).

215      V bode 1 písm. j) bode i) odporúčania z roku 2021 o profilovaní sa „vysokorizikové profilovanie“ vymedzuje ako „činnosti profilovania, ktoré majú právne účinky alebo významný dopad na dotknutú osobu alebo skupinu osôb identifikovaných uvedeným profilovaním“.

216      Pozri stanovisko 1/15, bod 272.

217      Podľa bodu 1.1 písm. d) prílohy k odporúčaniu z roku 2021 o profilovaní sa výrazom „profil“ označuje „súbor údajov priradených k osobe, ktorý charakterizuje kategóriu osôb alebo ktorý sa má použiť na osobu“. Ako vysvetľuje správa o vývoji situácie po prijatí odporúčania (2010)13 o profilovaní (https://rm.coe.int/t‑pd‑2019‑07fin‑fr‑rapport‑profilage‑2770‑2878‑8993‑1‑final‑clean‑2755/1680a0925b, p. 21), ktorá predchádzala prijatiu odporúčania z roku 2021 o profilovaní, pojem „profil“ si zachováva svoj plný význam v systémoch, ktoré podobne ako smernica PNR rozlišujú medzi operáciami vytvárania profilov [pozri najmä článok 6 ods. 2 písm. b) tejto smernice] a operáciami, ktoré tieto profily aplikujú, a umožňuje „transparentnosť kritérií, ktoré sa následne uplatňujú v rámci profilovania“.

218      Pozri článok 6 ods. 4 smernice PNR, ako aj stanovisko 1/15, bod 172.

219      Pozri článok 6 ods. 4 smernice PNR.

220      Pozri stanovisko 1/15, bod 172.

221      Pozri odôvodnenie 7 smernice PNR.

222      Pozri stanovisko 1/15, bod 174.

223      Rovnaká požiadavka je uvedená v bode 174 stanoviska 1/15.

224      Chcem poukázať na to, že všetky dôvody diskriminácie uvedené v článku 21 Charty sú zopakované v odôvodnení 20 smernice PNR. Zosúladenie so zoznamom zakázaných dôvodov diskriminácie uvedeným v článku 21 navrhla FRA vo svojom stanovisku 1/2011, s. 8.

225      Podľa bodu 1.1 písm. g) prílohy odporúčania z roku 2021 o profilovaní sa výrazom „machine learning“ označuje „spracúvanie využívajúce osobitné metódy umelej inteligencie založené na štatistických prístupoch s cieľom umožniť počítačom ‚učiť sa‘ z údajov, t. j. zlepšovať ich výkony pri riešení úloh bez toho, aby boli na každú z nich osobitne naprogramované“.

226      Pokiaľ ide o vplyv neprehľadnosti algoritmických systémov na možnosť ľudskej kontroly zameranej na predchádzanie škodlivým účinkom týchto systémov a ich negatívnym vplyvom na ľudské práva, pozri odporúčanie Výboru ministrov Rady Európy CM/Rec(2020)1 členským štátom o vplyve algoritmických systémov na ľudské práva.

227      Táto definícia je obsiahnutá v odôvodnení 25 smernice PNR.

228      Znenie odôvodnenia 37 smernice PNR, podľa ktorého sa stanovuje „uchovávanie údajov PNR v rámci PIU po dobu najviac piatich rokov, po ktorej uplynutí by sa údaje mali vymazať“ (kurzívou zvýraznil generálny advokát), neumožňuje podľa môjho názoru spochybniť jasné znenie článku 12 ods. 1 tejto smernice.

229      Pokiaľ ide o spracúvanie osobných údajov na účely odhaľovania, predchádzania, stíhania a vyšetrovania trestných činov, pozri článok 4 písm. e) a odôvodnenie 26 smernice o ochrane. Pozri všeobecnejšie článok 5 ods. 1 písm. e) GDPR a článok 5 ods. 4 písm. e) modernizovaného Dohovoru č. 108.

230      Pozri rozsudky Schrems I, bod 93; Tele2 Sverige, bod 110; stanovisko 1/15, bod 191, ako aj rozsudok La Quadrature du Net, bod 133.

231      Pozri stanovisko 1/15, bod 197.

232      Pozri stanovisko 1/15, bod 205.

233      Pozri stanovisko 1/15, bod 207.

234      Išlo by o analogické uplatnenie bodov 187 a nasl. stanoviska 1/15, keďže uvedený bod sa týka len hypotézy o údajoch z PNR získaných pri vstupe na územie Kanady.

235      Pozri stanovisko 1/15, bod 209.

236      Pozri stanovisko 1/15, bod 205.

237      Návrh dohody PNR medzi Kanadou a EÚ stanovil maskovanie mien všetkých cestujúcich po tridsiatich dňoch od prijatia údajov z PNR Kanadou a maskovanie ďalších výslovne uvedených informácií po dvoch rokoch od tohto prijatia: pozri článok 16 bod 3 návrhu dohody PNR medzi Kanadou a EÚ, ktorý skúmal Súdny dvor, a stanovisko 1/15, bod 30.

238      Pozri stanovisko z 19. augusta 2016, s. 9.

239      Pozri predovšetkým rozsudok La Quadrature du Net, body 148 a 149.

240      To isté platí pre žiadosti o poskytnutie údajov z PNR, ktoré predkladajú útvary PIU iných členských štátov na základe článku 9 ods. 2 smernice PNR.

241      Pozri stanovisko 1/15, bod 192 a citovanú judikatúru. Z nedávnej doby pozri rozsudky Privacy International, bod 77, a analogicky rozsudok Prokuratuur, bod 49 a citovanú judikatúru.

242      Pozri stanovisko 1/15, bod 200.

243      Pozri stanovisko 1/15, bod 200.

244      Pozri stanovisko 1/15, bod 201.

245      Pozri stanovisko 1/15, bod 202.

246      Pozri v tomto zmysle stanovisko 1/15, bod 201.

247      Pozri najmä článok 4, článok 7 ods. 1 a 2, článok 9 ods. 2, článok 10 ods. 2, článok 12 ods. 4 smernice PNR; pozri najmä odôvodnenia 6, 9, 10, 11, 15, 23, 25, 35 a 38 tejto smernice. Okrem toho pripomínam, že v návrhu smernice PNR sa v odôvodnení 28 uvádzalo, že „touto smernicou nie je dotknutá možnosť členských štátov ustanoviť v rámci svojho vnútroštátneho práva systém zhromažďovania údajov PNR a manipulácie s nimi na iné účely než sú uvedené v tejto smernici“. Toto spresnenie pritom nebolo zahrnuté do konečného znenia smernice PNR.

248      Túto možnosť však pripúšťa článok 4 ods. 3 smernice PNR, podľa ktorého „členmi personálu PIU môžu byť osoby vyslané príslušnými orgánmi“, prinajmenšom v rozsahu, v akom spravodajské a bezpečnostné služby dotknutého členského štátu možno považovať za „príslušné orgány“ v zmysle článku 7 ods. 2 tejto smernice.

249      Pokiaľ ide o pochybnosti, ktoré vyjadrila belgická vláda v súvislosti s právomocou Súdneho dvora odpovedať na siedmu prejudiciálnu otázku, treba poznamenať, že podľa znenia tejto otázky sa vnútroštátny súd pýta Súdneho dvora na výklad článku 12 ods. 3 smernice PNR a nie na zlučiteľnosť vnútroštátnej právnej úpravy s týmto ustanovením. V každom prípade z ustálenej judikatúry vyplýva, že Súdny dvor môže vnútroštátnym súdom poskytnúť usmernenia, ktoré im umožnia posúdiť túto zlučiteľnosť (pozri najmä rozsudok zo 7. septembra 2016, ANODE, C‑121/15, EU:C:2016:637, bod 54 a citovaná judikatúra).

250      Pozri v tejto súvislosti rozsudok z 5. novembra 2019, Komisia/Poľsko (Nezávislosť všeobecných súdov) (C‑192/18, EU:C:2019:924, body 108 až 110).

251      Článok 9 ods. 2 štvrtá veta návrhu smernice PNR uvádzal, že „prístup k úplným údajom PNR sa povolí iba vedúcemu útvaru informácií o cestujúcich“.

252      Rozsudok Prokuratuur, body 52 a 53.

253      Rozsudok Prokuratuur, body 53 a 54. Pozri v tomto zmysle rozsudok Big Brother Watch, § 349 až 352.

254      Článok 9 ods. 2 štvrtá veta návrhu smernice PNR uvádzal, že „prístup k úplným údajom PNR sa povolí iba vedúcemu útvaru informácií o cestujúcich“.

255      Zákon PNR, článok 29 ods. 1 a 2.

256      Pozri odôvodnenie 10 smernice PNR.

257      Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/399 z 9. marca 2016, ktorým sa ustanovuje kódex Únie o pravidlách upravujúcich pohyb osôb cez hranice (Kódex schengenských hraníc) (Ú. v. EÚ L 77, 2016, s. 1) (ďalej len „Kódex schengenských hraníc“).

258      Článok 23 písm. a) Kódexu schengenských hraníc stanovuje, že výkon policajných právomocí sa nemôže považovať za rovnocenný výkonu hraničných kontrol, ak policajné opatrenia: „i) nemajú za cieľ kontrolu hraníc; ii) zakladajú sa na všeobecných policajných informáciách a skúsenostiach vo vzťahu k možným ohrozeniam verejnej bezpečnosti a ich cieľom je predovšetkým boj proti cezhraničnej kriminalite; iii) pripravujú a vykonávajú sa spôsobom, ktorý sa zreteľne odlišuje od systematických kontrol osôb na vonkajších hraniciach; iv) vykonávajú sa na základe náhodných kontrol“.

259      Pozri analogicky rozsudok z 13. decembra 2018, Touring Tours und Travel a Sociedad de transportes (C‑412/17 a C‑474/17, EU:C:2018:1005, bod 61 a citovaná judikatúra), ako aj uznesenie zo 4. júna 2020, FU (C‑554/19, neuverejnené, EU:C:2020:439, body 49 až 56).

260      V tejto súvislosti chcem poukázať na to, že v bode 188 stanoviska 1/15 Súdny dvor uviedol, že „identifikácia cestujúcich, ktorí by mohli predstavovať riziko pre verejnú bezpečnosť, na základe údajov z PNR je súčasťou hraničných kontrol“.

261      Pozri rozsudok z 13. decembra 2018, Touring Tours und Travel a Sociedad de transportes (C‑412/17 a C‑474/17, EU:C:2018:1005, bod 55 a citovaná judikatúra).

262      Pozri v tomto zmysle najmä uznesenie zo 4. júna 2020, FU (C‑554/19, neuverejnené, EU:C:2020:439, bod 46).

263      Komisia vo svojom pracovnom dokumente k smernici API z roku 2020 (s. 20) tiež zdôrazňuje problematickú povahu prekrývania systémov spracúvania údajov PNR a API na vnútroštátnej úrovni.

264      C‑411/17, EU:C:2019:622, body 175, 176, 179 a 181.

265      Pozri rozsudok La Quadrature du Net, body 217 až 219.