Advies 1/15
Advies krachtens artikel 218, lid 11, VWEU
„Advies krachtens artikel 218, lid 11, VWEU – Ontwerp van overeenkomst tussen Canada en de Europese Unie – Doorgifte van persoonsgegevens van luchtreizigers van de Unie naar Canada – Juiste rechtsgrondslagen – Artikel 16, lid 2, artikel 82, lid 1, tweede alinea, onder d), en artikel 87, lid 2, onder a), VWEU – Verenigbaarheid met de artikelen 7 en 8 en met artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie”
Samenvatting – Advies van het Hof (Grote kamer) van 26 juli 2017
1. Internationale overeenkomsten – Sluiting – Voorafgaand advies van het Hof – Voorwerp – Vragen over de materiële of formele geldigheid van een overeenkomst ten aanzien van het Verdrag – Verenigbaarheid van de overeenkomst met het Handvest van de grondrechten van de Europese Unie
(Art. 6, lid 1, VWEU, 217 VWEU en 218 VWEU)
2. Handelingen van de instellingen – Keuze van de rechtsgrondslag – Criteria – Handeling van de Unie waarmee een tweeledige doelstelling wordt nagestreefd of die bestaat uit twee componenten – Verwijzing naar het doel dat of de component die het belangrijkst of overwegend is – Onlosmakelijk met elkaar verbonden doelen of componenten – Cumulatie van rechtsgrondslagen – Grenzen – Onverenigbaarheid van de procedures
3. Internationale overeenkomsten – Overeenkomsten van de Unie – Sluiting –Overeenkomst EU-Canada inzake de doorgifte en verwerking van gegevens uit de persoonsgegevens van passagiers – Rechtsgrondslag – Invloed van de aan het VEU en het VWEU gehechte protocollen nr. 21 en nr. 22 betreffende de positie van het Verenigd Koninkrijk, Ierland en Denemarken – Niet-toepasselijkheid van de overeenkomst op Denemarken
[Art. 16, lid 2, VWEU en 87, lid 2, a), VWEU; protocollen nr. 21 en nr. 22 bij het VEU en het VWEU]
4. Internationale overeenkomsten – Overeenkomsten van de Unie – Sluiting – Overeenkomst EU-Canada inzake de doorgifte en verwerking van gegevens uit de persoonsgegevens van passagiers – Overeenkomst die de openbare veiligheid beoogt te verzekeren en de persoonsgegevens van de luchtreizigers beoogt te beschermen – Rechtsgrondslag – Artikel 16, lid 2, VWEU juncto artikel 87, lid 2, onder a), VWEU
[Art. 39 VEU, art. 16, lid 2, VWEU en 87, lid 2, a), VWEU; protocollen nr. 21 en nr. 22 bij het VEU en het VWEU; verklaring nr. 21 bij het VEU en het VWEU]
5. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Werkingssfeer – Verwerking van gegevens uit de persoonsgegevens van de luchtreizigers op grond van een internationale overeenkomst tussen de Unie en een derde land – Daaronder begrepen – Noodzaak een niveau van bescherming van de fundamentele vrijheden en de grondrechten te verzekeren dat gelijkwaardig is aan het binnen de Unie gewaarborgde niveau – Draagwijdte
(Handvest van de grondrechten van de Europese Unie, art. 7 en 8; richtlijn 95/46 van het Europees Parlement en de Raad, art. 25, lid 6)
6. Internationale overeenkomsten – Overeenkomsten van de Unie – Sluiting – Overeenkomst met een derde staat inzake de doorgifte en verwerking van gegevens uit de persoonsgegevens van passagiers – Inmenging in het recht op eerbiediging van het privéleven en in het recht op bescherming van de persoonsgegevens – Verplichting om de inmenging tot het strikt noodzakelijke te beperken – Omvang
(Handvest van de grondrechten van de Europese Unie, art. 7 en 8)
7. Grondrechten – Handvest van de grondrechten van de Europese Unie – Beperking van de uitoefening en het gebruik van de in het Handvest neergelegde rechten en vrijheden – Voorwaarden – Vereiste dat de beperking bij wet wordt gesteld – Draagwijdte
(Handvest van de grondrechten van de Europese Unie, art. 52, lid 1)
8. Grondrechten – Bescherming van persoonsgegevens – Verwerking op grond van toestemming van de betrokkene of op basis van een andere legitieme grond waarin de wet voorziet – Begrip wet – Overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Daaronder begrepen
[Art. 218, lid 6, a), v), VWEU en 294 VWEU; Handvest van de grondrechten van de Europese Unie, art. 8, lid 2, en 52, lid 1]
9. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Inmenging – Rechtvaardiging – Bescherming van de openbare veiligheid tegen terrorisme en zware grensoverschrijdende criminaliteit – Toelaatbaarheid
(Handvest van de grondrechten van de Europese Unie, art. 7 en 8; richtlijn 2016/681 van het Europees Parlement en de Raad, art. 6, lid 4, 7, lid 6, en 13, lid 4)
10. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Gevoelige gegevens – Noodzaak van een nauwkeurige en goed onderbouwde rechtvaardiging die is gebaseerd op andere gronden dan de bescherming van de openbare veiligheid tegen terrorisme en ernstige grensoverschrijdende criminaliteit
(Handvest van de grondrechten van de Europese Unie, art. 7, 8, 21 en 52, lid 1)
11. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Eerbiediging van het evenredigheidsbeginsel – Geautomatiseerde verwerking van de gegevens – Beoordeling ten aanzien van de voor deze verwerking gebruikte modellen, criteria en databanken
(Handvest van de grondrechten van de Europese Unie, art. 7 en 8)
12. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Eerbiediging van het evenredigheidsbeginsel – Verwerking overeenkomstig de doelstellingen van het Verdrag van Chicago – Toelaatbaarheid
13. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Eerbiediging van het evenredigheidsbeginsel – Noodzaak te voorzien in duidelijke en nauwkeurige regels voor de toegang tot en het gebruik van de gegevens – Draagwijdte
(Handvest van de grondrechten van de Europese Unie, art. 7 en 8)
14. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Eerbiediging van het evenredigheidsbeginsel – Bewaring en gebruik van de gegevens tijdens het verblijf van de passagiers in het derde land – Minimumvereisten
(Handvest van de grondrechten van de Europese Unie, art. 7 en 8)
15. Grondrechten – Eerbiediging van het privéleven – Bescherming van persoonsgegevens – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Eerbiediging van het evenredigheidsbeginsel – Bewaring van de gegevens na het vertrek van de passagiers uit het derde land – Ontoelaatbaarheid – Uitzondering – Passagiers die een risico van terrorisme of van ernstige grensoverschrijdende criminaliteit opleveren
(Handvest van de grondrechten van de Europese Unie, art. 7 en 8)
16. Grondrechten – Eerbiediging van het privéleven – Eerbiediging in het kader van de verwerking van persoonsgegevens – Verplichting om de betrokkene toegang tot de hem betreffende gegevens te verlenen teneinde de juistheid en de rechtmatigheid ervan na te gaan – Omvang – Sluiting door de Unie van een overeenkomst met een derde land inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van luchtreizigers – Noodzaak te bepalen dat de passagiers worden ingelicht over de doorgifte en het gebruik van hun gegevens
(Handvest van de grondrechten van de Europese Unie, art. 7 en 47, eerste alinea)
17. Grondrechten – Bescherming van persoonsgegevens – Toezichthoudende autoriteiten – Vereiste van onafhankelijkheid – Doel
(Art. 16, lid 2, VWEU; Handvest van de grondrechten van de Europese Unie, art. 8, lid 3)
1. De bepalingen van een door de Unie overeenkomstig de artikelen 217 en 218 VWEU gesloten internationale overeenkomst vormen vanaf de inwerkingtreding van de overeenkomst een integrerend bestanddeel van de rechtsorde van de Unie. De bepalingen van een dergelijke overeenkomst moeten dus volledig verenigbaar zijn met de Verdragen en met de daaruit voortvloeiende constitutionele beginselen. In dit verband dient artikel 218, lid 11, VWEU ter voorkoming van de complicaties die zouden ontstaan indien de verenigbaarheid met de Verdragen van internationale overeenkomsten die de Unie binden, in rechte werd aangevochten. Wanneer na de sluiting van een internationale overeenkomst die de Unie bindt, in een rechterlijke beslissing zou worden vastgesteld dat deze overeenkomst, hetzij door de inhoud ervan, hetzij wegens de procedure volgens welke zij is gesloten, onverenigbaar is met de bepalingen van de Verdragen, zou dit immers niet alleen op intern vlak binnen de Unie, maar ook in de internationale betrekkingen ernstige moeilijkheden creëren en alle belanghebbende partijen, daaronder begrepen derde staten, schade kunnen toebrengen. Gelet op de functie van de in artikel 218, lid 11, VWEU bedoelde procedure volstaat het loutere risico van ongeldigverklaring van een handeling tot sluiting van een internationale overeenkomst om het verzoek om advies van het Hof toe te staan.
In het kader van de in artikel 218, lid 11, VWEU bedoelde procedure moeten aldus alle vragen kunnen worden behandeld die twijfels zouden kunnen doen rijzen over de materiële of de formele geldigheid van de overeenkomst ten aanzien van de Verdragen. In dat verband kan het oordeel over de verenigbaarheid van een overeenkomst met de Verdragen met name niet alleen afhangen van bepalingen betreffende de bevoegdheid, de procedure of de institutionele organisatie van de Unie, maar ook van bepalingen van materieel recht. Dit geldt voor de verenigbaarheid van een internationale overeenkomst met artikel 6, lid 1, VWEU en dus met de waarborgen die worden geboden door het Handvest van de grondrechten van de Europese Unie, dat dezelfde juridische waarde heeft als de Verdragen.
(zie punten 67, 69, 70, 74)
2. Zie de tekst van de beslissing.
(zie punten 76‑78)
3. Het gebruik van een dubbele rechtsgrondslag is uitgesloten wanneer de procedures die voor de twee rechtsgrondslagen zijn voorgeschreven, onverenigbaar zijn. In dit verband kan een verschil tussen de stemvoorschriften binnen de Raad ertoe leiden dat de betrokken rechtsgrondslagen onverenigbaar zijn.
Met betrekking tot een besluit van de Raad betreffende de sluiting van een overwogen internationale overeenkomst dat op artikel 16, lid 2, VWEU en op artikel 87, lid 2, onder a), VWEU is gebaseerd, volgt een dergelijke onverenigbaarheid niet uit de als bijlage bij de VEU en VWEU gevoegde protocollen nr. 21, betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, en nr. 22, betreffende de positie van Denemarken. Wat protocol nr. 21 betreft, hebben, aangezien Ierland en het Verenigd Koninkrijk te kennen hebben gegeven dat zij aan de vaststelling van dit besluit wensten deel te nemen, de bepalingen van dit protocol immers geen invloed op de stemvoorschriften binnen de Raad ingeval dit besluit zowel op artikel 16, lid 2, VWEU als op artikel 87, lid 2, onder a), VWEU wordt gegrond.
Protocol nr. 22 beoogt een rechtskader te scheppen dat de lidstaten de mogelijkheid biedt om hun samenwerking op het gebied van de ruimte van vrijheid, veiligheid en recht verder te versterken door zonder de deelname van het Koninkrijk Denemarken maatregelen te treffen die deze lidstaat niet binden, en laatstgenoemde lidstaat tegelijk de mogelijkheid biedt om aan de vaststelling van maatregelen op dit gebied deel te nemen en erdoor gebonden te zijn onder de in artikel 8 van dit protocol vastgelegde voorwaarden. Aangezien het besluit betreffende de sluiting van de overwogen overeenkomst zowel op artikel 16 VWEU als op artikel 87 VWEU moet worden gebaseerd en dus onder het derde deel, titel V, hoofdstuk 5, van het VWEU valt voor zover het moet worden gegrond op artikel 87 VWEU, zal het Koninkrijk Denemarken krachtens de artikelen 2 en 2 bis van protocol nr. 22 dus niet gebonden zijn door de bepalingen van dit besluit en dus evenmin door de overwogen overeenkomst. Bovendien zal het Koninkrijk Denemarken overeenkomstig artikel 1 van dit protocol niet deelnemen aan de vaststelling van dit besluit. Protocol nr. 22 kan in casu dus geen aanleiding geven tot verschillende stemvoorschriften binnen de Raad ingeval een handeling op grond van zowel artikel 16, lid 2, VWEU als artikel 87, lid 2, onder a), VWEU wordt vastgesteld.
(zie punten 78, 107, 109‑111, 113, 117)
4. De overwogen overeenkomst tussen Canada en de Europese Unie inzake de doorgifte en de verwerking van gegevens uit de persoonsgegevens van passagiers bevat – gelet op de doelstellingen en de inhoud ervan – twee componenten, waarvan de ene betrekking heeft op de noodzaak om de openbare veiligheid te verzekeren en de andere op de bescherming van de gegevens uit de persoonsgegevens van passagiers. Deze twee componenten zijn onlosmakelijk met elkaar verbonden en moeten bijgevolg allebei als essentieel worden aangemerkt. De inhoud van de overwogen overeenkomst bestaat immers voor een groot deel uit gedetailleerde regels die beogen te garanderen dat de voorwaarden waaronder de gegevens uit de persoonsgegevens van de luchtreizigers aan een derde staat worden doorgegeven met het oog op het gebruik ervan ter verzekering van de openbare veiligheid, verenigbaar zijn met de bescherming van de persoonsgegevens.
In die omstandigheden houdt het besluit betreffende de sluiting van de overwogen overeenkomst in de eerste plaats rechtstreeks verband met de doelstelling van artikel 16, lid 2, VWEU. Onverminderd artikel 39 VEU vormt die bepaling immers een passende rechtsgrondslag wanneer de bescherming van persoonsgegevens een van de essentiële doelen of componenten van de door de Uniewetgever vastgestelde regels vormt, daaronder begrepen de regels die worden gegeven in het kader van de vaststelling van maatregelen vallende onder de bepalingen van het VWEU betreffende de politiële en justitiële samenwerking in strafzaken, zoals wordt bevestigd door artikel 6 bis van protocol nr. 21 en artikel 2 bis van protocol nr. 22 en door de verklaring betreffende de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en op het gebied van politiële samenwerking, die is gehecht aan de Slotakte van de Intergouvernementele Conferentie die het Verdrag van Lissabon heeft aangenomen.
In de tweede plaats moet dit besluit eveneens gebaseerd zijn op artikel 87, lid 2, onder a), VWEU, dat bepaalt dat het Parlement en de Raad voor de toepassing van artikel 87, lid 1, VWEU – volgens hetwelk de Unie een vorm van politiële samenwerking ontwikkelt waarbij alle bevoegde autoriteiten van de lidstaten betrokken zijn – maatregelen kunnen vaststellen voor de verzameling, opslag, verwerking, analyse en uitwisseling van relevante informatie. Enerzijds kan de relevante informatie in de zin van artikel 87, lid 2, onder a), VWEU op het gebied van voorkoming, opsporing en onderzoek van strafbare feiten persoonsgegevens bevatten, en anderzijds betreffen de termen „verwerking” en „uitwisseling” van dergelijke gegevens zowel de doorgifte ervan aan autoriteiten van de lidstaten die op dat gebied bevoegd zijn, als het gebruik ervan door die autoriteiten. In dit verband staat het feit dat de gegevens uit de persoonsgegevens van de passagiers aanvankelijk worden verzameld door luchtvaartmaatschappijen voor commerciële doeleinden en niet door een autoriteit die bevoegd is voor het voorkomen, opsporen en onderzoeken van strafbare feiten er niet aan in de weg dat die bepaling tevens een passende rechtsgrondslag voor het besluit van de Raad betreffende de sluiting van de overwogen overeenkomst vormt.
(zie punten 90, 92, 94‑96, 98, 99, 101)
5. De verschillende vormen van verwerking die de gegevens van de passagiers van vluchten tussen de Unie en een derde land volgens een tussen de Unie en dat derde land overwogen internationale overeenkomst kunnen ondergaan, te weten de doorgifte ervan vanuit de Unie naar dat derde land, de toegang ertoe met het oog op het gebruik ervan of de bewaring ervan, raken aan het door artikel 7 van het Handvest van de grondrechten van de Europese Unie gewaarborgde grondrecht op bescherming van het privéleven. Dit recht ziet immers op alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. De verwerkingen van de gegevens uit de persoonsgegevens van de passagiers vallen voorts ook onder artikel 8 van het Handvest doordat zij verwerkingen van persoonsgegevens in de zin van dit artikel vormen en derhalve noodzakelijkerwijze moeten voldoen aan de in dit artikel gestelde vereisten inzake gegevensbescherming.
In dit verband vereist het recht op bescherming van de persoonsgegevens met name dat het door het Unierecht gewaarborgde hoge niveau van bescherming van de vrijheden en grondrechten behouden blijft ingeval persoonsgegevens vanuit de Unie naar een derde land worden doorgegeven. De middelen waarmee dit beschermingsniveau wordt gewaarborgd, mogen weliswaar verschillen van die welke binnen de Unie worden ingezet om voor naleving van de uit het Unierecht voortvloeiende vereisten te zorgen, maar deze middelen moeten in de praktijk wel doeltreffend genoeg blijken om een bescherming te bieden die in grote lijnen overeenkomt met die welke binnen de Unie wordt gewaarborgd.
Dit vereiste inzake een niveau van bescherming van de vrijheden en de grondrechten dat in wezen gelijkwaardig is aan het binnen de Unie gewaarborgde niveau, geldt eveneens in het geval waarin gegevens uit de persoonsgegevens van de passagiers door het derde land aan andere derde landen worden meegedeeld, teneinde te vermijden dat het door de overeenkomst inzake de doorgifte geboden beschermingsniveau kan worden omzeild door de doorgifte van persoonsgegevens aan andere derde landen en teneinde de continuïteit van het door het Unierecht geboden beschermingsniveau te garanderen. In die omstandigheden vereist een dergelijke mededeling dat er ofwel tussen de Unie en het betrokken derde land een overeenkomst bestaat die gelijkwaardig is aan deze overeenkomst, ofwel dat de Commissie krachtens artikel 25, lid 6, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens een besluit heeft gegeven houdende vaststelling dat dit derde land een passend beschermingsniveau in de zin van het Unierecht waarborgt, welk besluit betrekking heeft op de autoriteiten waaraan wordt overwogen de gegevens uit de persoonsgegevens van de passagiers door te geven.
(zie punten 122, 123, 134, 214)
6. De mededeling van persoonsgegevens aan een derde, zoals een openbare instantie, vormt een inmenging in het in artikel 7 van het Handvest van de grondrechten van de Europese Unie verankerde grondrecht, ongeacht het latere gebruik van de aldus meegedeelde gegevens. Dit geldt ook voor het bewaren van persoonsgegevens en voor de toegang tot die gegevens met het oog op het gebruik ervan door openbare instanties. In dit verband is het van weinig belang of de gegevens betreffende het privéleven al dan niet gevoelig zijn en of de betrokkenen door die inmenging enig nadeel hebben ondervonden.
Met betrekking tot een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van passagiers aan een derde land vormt aldus zowel de doorgifte van dergelijke gegevens vanuit de Unie aan de bevoegde autoriteit in dat derde land als de door de Unie met dat derde land overeengekomen afbakening van de voorwaarden inzake de bewaring en het gebruik van deze gegevens en de eventuele latere doorgifte ervan aan andere autoriteiten van dat land, aan Europol, aan Eurojust, aan de justitiële of politiële autoriteiten van de lidstaten of aan de autoriteiten van andere derde landen een inmenging in het door artikel 7 van het Handvest gewaarborgde recht. Deze handelingen vormen tevens een inmenging in het door artikel 8 van het Handvest gewaarborgde grondrecht op bescherming van persoonsgegevens, aangezien zij verwerkingen van persoonsgegevens zijn.
De in de artikelen 7 en 8 van het Handvest verankerde rechten hebben evenwel geen absolute gelding, maar moeten in relatie tot hun maatschappelijke functie worden beschouwd. Dienaangaande vereist de bescherming van het grondrecht op eerbiediging van het privéleven op het niveau van de Unie dat de uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven. De betrokken regeling die de inmenging bevat, voldoet slechts aan dit vereiste indien zij duidelijke en nauwkeurige regels over de reikwijdte en de toepassing van de betrokken maatregel bevat die minimale eisen opleggen, zodat degenen van wie de gegevens zijn doorgegeven, over voldoende garanties beschikken dat hun gegevens doeltreffend worden beschermd tegen het risico van misbruik. Zij moet in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt. De noodzaak om over dergelijke garanties te beschikken is des te groter wanneer de persoonsgegevens geautomatiseerd worden verwerkt. Deze overwegingen gelden inzonderheid wanneer het gaat om de bescherming van een bijzondere categorie persoonsgegevens, te weten gevoelige gegevens.
(zie punten 124‑126, 136, 140, 141)
7. Het in artikel 52, lid 1, eerste alinea, van het Handvest van de grondrechten van de Europese Unie gestelde vereiste dat elke beperking van de uitoefening van de grondrechten bij wet moet worden gesteld, houdt in dat de rechtsgrond die de inmenging in die rechten toestaat, zelf de reikwijdte van de beperking van de uitoefening van het betrokken recht moet bepalen.
(zie punt 139)
8. Een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van de passagiers aan een derde land valt onder het begrip wet in de zin van artikel 8, lid 2, van het Handvest van de grondrechten van de Europese Unie en dus ook van artikel 52, lid 1, ervan.
Artikel 218, lid 6, VWEU weerspiegelt immers op extern vlak de intern geldende bevoegdheidsverdeling tussen de instellingen en roept een symmetrie in het leven tussen de procedure voor de vaststelling van Uniemaatregelen op intern vlak en de procedure voor de vaststelling van internationale overeenkomsten, teneinde met inachtneming van het bij de Verdragen gecreëerde institutionele evenwicht te verzekeren dat de bevoegdheden van het Parlement en de Raad op een gegeven gebied op beide vlakken dezelfde zijn. De sluiting van internationale overeenkomsten betreffende gebieden waarop – op intern vlak – de gewone wetgevingsprocedure van artikel 294 VWEU van toepassing is, vereist krachtens artikel 218, lid 6, onder a), v), VWEU dus de goedkeuring van het Parlement, zodat een dergelijke overeenkomst kan worden gezien als het equivalent op extern vlak van hetgeen een wetgevingshandeling op intern vlak is.
Hieruit volgt dat de doorgifte van de gegevens uit de persoonsgegevens van de passagiers aan een derde land, als die waarin de overwogen internationale overeenkomst voorziet, is gebaseerd op een andere grondslag waarin de wet voorziet in de zin van artikel 8, lid 2, van het Handvest.
(zie punten 145‑147)
9. De inmenging in de in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie verankerde grondrechten die een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van de passagiers aan een derde land meebrengt, kunnen worden gerechtvaardigd door een doelstelling van algemeen belang van de Unie en doen geen afbreuk aan de wezenlijke inhoud van de in de artikelen 7 en 8 van het Handvest verankerde grondrechten, aangezien de overwogen overeenkomst met name tot doel heeft, de openbare veiligheid te waarborgen via de doorgifte van gegevens uit de persoonsgegevens van de passagiers en het gebruik ervan bij de bestrijding van terroristische misdrijven en zware grensoverschrijdende criminaliteit. Die doelstelling vormt immers een doelstelling van algemeen belang van de Unie die inmengingen – zelfs zware inmengingen – in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten kan rechtvaardigen. Bovendien draagt de bescherming van de openbare veiligheid ook bij tot de bescherming van de rechten en vrijheden van anderen. Aangezien de evaluatie van de door de luchtreizigers gevormde risico’s door middel van een analyse van deze gegevens vóór hun aankomst ervoor zorgt dat de veiligheids‑ en grenscontroles veel soepeler en sneller verlopen, kunnen de doorgifte van de gegevens uit de persoonsgegeven van luchtreizigers aan een derde land en de latere verwerkingen daarvan geschikt worden geacht voor de verwezenlijking van het met de overwogen overeenkomst nagestreefde doel, de openbare veiligheid te beschermen.
(zie punten 148, 149, 151‑153)
10. Met betrekking tot een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gevoelige gegevens uit de persoonsgegevens van de passagiers aan een derde land, is elke maatregel die uitgaat van het postulaat dat een of meer in de overwogen overeenkomst vermelde kenmerken, zoals de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, het lidmaatschap van een vakvereniging, de gezondheid of het seksuele gedrag van een persoon, op zichzelf en los van het individuele gedrag van de betrokken reiziger relevant kunnen zijn tegen de achtergrond van de doelstelling van de verwerkingen van gegevens uit de persoonsgegevens van de passagiers in strijd is met de rechten die worden gewaarborgd door de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie juncto artikel 21 ervan. Gelet op het gevaar voor een gegevensverwerking die ingaat tegen artikel 21 van het Handvest, is voor de doorgifte van dergelijke gegevens aan een derde land een nauwkeurige en bijzonder goed onderbouwde rechtvaardiging nodig die is gebaseerd op andere gronden dan de bescherming van de openbare veiligheid tegen terrorisme en ernstige grensoverschrijdende criminaliteit. Bij gebreke van een dergelijke rechtvaardiging verzetten de artikelen 7, 8 en 21 alsook artikel 52, lid 1, van het Handvest zich zowel tegen de doorgifte van gevoelige gegevens aan een derde staat als tegen de door de Unie met deze derde staat overeengekomen afbakening van de voorwaarden inzake het gebruik en de bewaring van dergelijke gegevens door de autoriteiten van die derde staat.
(zie punten 164‑167)
11. In het kader van een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van de passagiers aan een derde land die voorziet in geautomatiseerde verwerking van die gegevens ter bescherming van de openbare veiligheid tegen terrorisme en ernstige grensoverschrijdende criminaliteit, hangt de draagwijdte van de inmenging in de in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie verankerde grondrechten die de geautomatiseerde analyse van de gegevens uit de persoonsgegevens van de passagiers meebrengt, hoofdzakelijk af van de vooraf vastgestelde modellen en criteria en de databases waarop dit type van gegevensverwerking is gebaseerd. De vooraf vastgestelde modellen en criteria moeten aldus enerzijds specifiek en betrouwbaar zijn, zodat zij tot resultaten leiden waarmee precies die personen worden geïdentificeerd op wie een redelijk vermoeden van deelneming aan terrorisme of zware grensoverschrijdende criminaliteit kan rusten, en mogen zij anderzijds niet discrimineren. Evenzo moeten de databases waarmee de gegevens uit de persoonsgegevens van de passagiers worden vergeleken, betrouwbaar en up-to-date zijn en mag het alleen gaan om databases die het derde land gebruikt ter bestrijding van terrorisme en zware grensoverschrijdende criminaliteit.
(zie punten 168, 172)
12. Een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van passagiers aan een derde land gaat niet verder dan strikt noodzakelijk is, voor zover zij de doorgifte van die gegevens van alle luchtreizigers aan dat derde land toestaat, voor zover dankzij deze gegevens met name de veiligheidscontroles aan de grenzen kunnen worden vergemakkelijkt, waaraan alle luchtreizigers overeenkomstig artikel 13 van het Verdrag van Chicago inzake de internationale burgerluchtvaart volgens de wetten en voorschriften van het derde land zijn onderworpen.
(zie punten 187‑189)
13. In het geval van een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van de passagiers aan een derde land, moet de overwogen overeenkomst, om te garanderen dat de bewaring van de doorgegeven gegevens, de toegang tot deze gegevens door de in de overwogen overeenkomst bedoelde nationale instanties en het gebruik van deze gegevens door die instanties tot het strikt noodzakelijke beperkt blijven, voorzien in duidelijke en nauwkeurige regels die aangeven in welke omstandigheden en op welke voorwaarden deze instanties die gegevens mogen bewaren en gebruiken en er toegang tot mogen hebben.
Wat de bewaring van de persoonsgegevens betreft, moet de regeling met name steeds beantwoorden aan objectieve criteria die een verband leggen tussen de te bewaren persoonsgegevens en het nagestreefde doel. Wat het gebruik door een instantie van rechtmatig bewaarde persoonsgegevens betreft, mag de maatregel zich er niet toe beperken te eisen dat de toegang tot deze gegevens wordt verleend voor een van de doelstellingen van die maatregel, maar moet hij ook de materiële en procedurele voorwaarden voor dit gebruik regelen.
(zie punten 190‑192)
14. In het geval van een internationale overeenkomst die voorziet in de bewaring van de gegevens uit de persoonsgegevens van de passagiers en het gebruik ervan tot aan het vertrek van die passagiers uit het betrokken derde land met name teneinde de veiligheidscontroles en de grenscontroles te vereenvoudigen, kunnen de bewaring en het gebruik ervan voor dat doel, door de aard zelf van deze gegevens, niet worden beperkt tot een bepaalde groep luchtreizigers noch het voorwerp uitmaken van een voorafgaande goedkeuring door een rechterlijke instantie of een onafhankelijke bestuurlijke entiteit. Zolang de luchtreizigers zich in het betrokken derde land bevinden of op het punt staan dat land te verlaten, blijft de noodzakelijke band tussen deze gegevens en de door deze overeenkomst nagestreefde doelstelling bestaan, zodat deze overeenkomst niet op de enkele grond dat zij de systematische bewaring en het systematische gebruik van gegevens uit de persoonsgegevens van al deze passagiers toestaat, verder gaat dan strikt noodzakelijk is. Evenzo houdt het systematische gebruik van die gegevens teneinde na te gaan of de vooraf vastgestelde modellen en criteria op grond waarvan de geautomatiseerde verwerking van deze gegevens plaatsvindt, betrouwbaar en up-to-date zijn of teneinde nieuwe modellen en criteria voor deze verwerkingen te bepalen, rechtstreeks verband met de uitvoering van de veiligheidscontroles en de grenscontroles, zodat het eveneens moeten worden geacht binnen de grenzen van het strikt noodzakelijke te blijven.
Het gebruik van gegevens uit de persoonsgegevens van de passagiers tijdens het verblijf van deze luchtreizigers in het betrokken derde land moet zijn gebaseerd op nieuwe omstandigheden, aangezien deze luchtreizigers na verificatie van de gegevens uit hun persoonsgegevens zijn toegelaten tot het grondgebied van dit derde land. Een dergelijk gebruik is slechts toegestaan indien het wordt beheerst door regels die de materiële en procedurele voorwaarden daarvoor bepalen, zodat de gegevens in kwestie met name worden beschermd tegen het gevaar van misbruik. Dergelijke regels moeten zijn gebaseerd op objectieve criteria ter bepaling van de omstandigheden en voorwaarden waarin de in de overwogen overeenkomst bedoelde instanties van het betrokken derde land deze gegevens mogen gebruiken.
Wanneer op basis van objectieve gegevens kan worden geoordeeld dat de gegevens uit de persoonsgegevens van een of meer luchtreizigers daadwerkelijk kunnen bijdragen tot het bereiken van de doelstelling, terroristische misdrijven en zware grensoverschrijdende criminaliteit te bestrijden, gaat het gebruik van deze gegevens niet verder dan strikt noodzakelijk is. Om in de praktijk te garanderen dat deze voorwaarden volledig worden nageleefd, is het van essentieel belang dat het gebruik van de bewaarde gegevens uit de persoonsgegevens van de passagiers tijdens het verblijf van de luchtreizigers in het betrokken derde land in beginsel – behalve in naar behoren gerechtvaardigde dringende gevallen – wordt onderworpen aan een voorafgaande controle door hetzij een rechterlijke instantie, hetzij een onafhankelijke bestuurlijke entiteit, en dat de beslissing van deze rechterlijke instantie of deze entiteit wordt gegeven op een gemotiveerd verzoek dat de bevoegde instanties met name in het kader van een procedure ter voorkoming, opsporing of vervolging van strafbare feiten hebben ingediend.
(zie punten 197‑202)
15. In het geval van een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van passagiers aan een derde land die, ter bescherming van de openbare veiligheid tegen terrorisme en ernstige grensoverschrijdende criminaliteit, voorziet in de bewaring van die gegevens nadat de luchtreizigers dat derde land hebben verlaten, lijkt er, met betrekking tot de luchtreizigers voor wie bij hun aankomst in dat derde land en tot op het ogenblik van hun vertrek uit dat land niet is vastgesteld dat zij een gevaar van terrorisme of zware grensoverschrijdende criminaliteit opleveren, na het vertrek van die luchtreizigers geen – zij het indirect – verband tussen de gegevens uit hun persoonsgegevens het door de overwogen overeenkomst nagestreefde doel te bestaan dat de bewaring van deze gegevens rechtvaardigt. De duurzame opslag van de gegevens uit de persoonsgegevens van alle luchtreizigers na hun vertrek uit het betrokken derde land blijkt dus niet beperkt te zijn tot wat strikt noodzakelijk is. Wanneer echter in specifieke gevallen op basis van objectieve gegevens kan worden geoordeeld dat bepaalde luchtreizigers zelfs na hun vertrek uit het betrokken derde land een risico van terrorisme en zware grensoverschrijdende criminaliteit kunnen opleveren, lijkt het wel toelaatbaar de gegevens uit hun persoonsgegevens langer te bewaren dan de duur van hun verblijf in dat derde land. Het gebruik van de aldus opgeslagen gegevens uit de persoonsgegevens van de passagiers moet worden gebaseerd op objectieve criteria ter bepaling van de omstandigheden waarin en de voorwaarden waaronder de in de overwogen overeenkomst bedoelde instanties van het derde land toegang kunnen krijgen tot deze gegevens. Tevens moet dit gebruik – behalve in naar behoren gerechtvaardigde dringende gevallen – worden onderworpen aan een voorafgaande controle door hetzij een rechterlijke instantie, hetzij een onafhankelijke bestuurlijke entiteit, waarvan de beslissing houdende toelating van het gebruik wordt gegeven op een gemotiveerd verzoek dat die instanties met name in het kader van een procedure ter voorkoming, opsporing of vervolging van strafbare feiten hebben ingediend. Wat de duur van de bewaring van deze gegevens betreft, gaat een duur van vijf jaar niet verder dan strikt noodzakelijk is met het oog op de bestrijding van terrorisme en zware grensoverschrijdende criminaliteit.
(zie punten 205‑209)
16. Het in artikel 7 van het Handvest van de grondrechten van de Europese Unie verankerde grondrecht op eerbiediging van het privéleven houdt in dat de betrokkene zich ervan kan vergewissen dat zijn persoonsgegevens juist en rechtmatig worden verwerkt. Om de nodige verificaties te kunnen verrichten, moet hij over het recht beschikken, inzage te verkrijgen in de hem betreffende gegevens die het voorwerp van een verwerking vormen.
In dit verband is het in het geval van een door de Unie overwogen internationale overeenkomst inzake de doorgifte van gegevens uit de persoonsgegevens van de passagiers aan een derde land van belang dat de luchtreizigers over de doorgifte van de gegevens uit hun persoonsgegevens aan het betrokken derde land en over het gebruik van deze gegevens worden ingelicht zodra deze mededeling geen gevaar meer kan opleveren voor de onderzoeken die door de in de overwogen overeenkomst bedoelde overheidsinstanties worden gevoerd. Deze informatieverstrekking is immers noodzakelijk om de luchtreizigers de mogelijkheid te bieden, gebruik te maken van hun recht om inzage te vragen in de hen betreffende gegevens uit hun persoonsgegevens en in voorkomend geval de rectificatie ervan te vragen, alsook overeenkomstig artikel 47, eerste alinea, van het Handvest een doeltreffende voorziening in rechte in te stellen.
Zo is het in de gevallen waarin objectieve gegevens een dergelijk gebruik van gegevens uit de persoonsgegevens van de passagiers ter bestrijding van terrorisme en zware grensoverschrijdende criminaliteit rechtvaardigen, en er een voorafgaande goedkeuring nodig is van een rechterlijke instantie of een onafhankelijke bestuurlijke entiteit, noodzakelijk dat de luchtreizigers individueel worden geïnformeerd. Dit geldt ook in gevallen waarin de gegevens uit de persoonsgegevens van de luchtreizigers aan andere overheidsinstanties of aan particulieren worden meegedeeld. Een dergelijke informatieverstrekking mag evenwel pas geschieden zodra dit geen gevaar meer kan opleveren voor de onderzoeken die door de in de overwogen overeenkomst bedoelde overheidsinstanties worden gevoerd.
(zie punten 219, 220, 223, 224)
17. Volgens artikel 8, lid 3, van het Handvest van de grondrechten van de Europese Unie ziet een onafhankelijke autoriteit erop toe dat de uit artikel 8, leden 1 en 2, van het Handvest voortvloeiende vereisten inzake verwerking van persoonsgegevens worden nageleefd. De waarborg van onafhankelijkheid van een dergelijke toezichthoudende autoriteit, waarvan de instelling ook is voorgeschreven door artikel 16, lid 2, VWEU, beoogt de doeltreffendheid en de betrouwbaarheid van het toezicht op de naleving van de bepalingen inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens te verzekeren en moet tegen de achtergrond van deze doelstelling worden uitgelegd. De instelling van een onafhankelijke toezichthoudende autoriteit is dus van wezenlijk belang voor de eerbiediging van de bescherming van personen bij de verwerking van persoonsgegevens.
(zie punten 228, 229)