PRESUDA SUDA (veliko vijeće)

21. lipnja 2022.(*)

Sadržaj

„Zahtjev za prethodnu odluku – Obrada osobnih podataka – Podaci iz evidencije podataka o putnicima (PNR) – Uredba (EU) 2016/679 – Članak 2. stavak 2. točka (d) – Područje primjene – Direktiva (EU) 2016/681 – Upotreba podataka iz PNR‑a o putnicima na letovima koji se izvode između Europske unije i trećih zemalja – Mogućnost uključivanja podataka o putnicima na letovima koji se izvode unutar Unije – Automatizirane obrade tih podataka – Rok za čuvanje – Borba protiv kaznenih djela terorizma i teških kaznenih djela – Valjanost – Povelja Europske unije o temeljnim pravima – Članci 7., 8. i 21. te članak 52. stavak 1. – Nacionalno zakonodavstvo kojim se primjena PNR sustava proširuje na druge prijevoze koji se odvijaju unutar Unije – Sloboda kretanja unutar Unije – Povelja o temeljnim pravima – Članak 45.”

U predmetu C‑817/19,

povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Cour constitutionnelle (Belgija), odlukom od 17. listopada 2019., koju je Sud zaprimio 31. listopada 2019., u postupku

Ligue des droits humains

protiv

Conseil des ministres

SUD (veliko vijeće),

u sastavu: K. Lenaerts, predsjednik, A. Arabadjiev, S. Rodin, I. Jarukaitis i N. Jääskinen, predsjednici vijeća, T. von Danwitz (izvjestitelj), M. Safjan, F. Biltgen, P. G. Xuereb, N. Piçarra, L. S. Rossi, A. Kumin i N. Wahl, suci,

nezavisni odvjetnik: G. Pitruzzella,

tajnik: M. Krausenböck, administratorica,

uzimajući u obzir pisani postupak i nakon rasprave održane 13. srpnja 2021.,

uzimajući u obzir očitovanja koja su podnijeli:

–        za Ligue des droits humains, C. Forget, avocate,

–        za belgijsku vladu, P. Cottin, J.-C. Halleux, C. Pochet i M. Van Regemorter, u svojstvu agenata, uz asistenciju C. Caillet, advocaat, E. Jacubowitza, avocat, kao i G. Ceuppensa, V. Dethy i D. Vertongena,

–        za češku vladu, T. Machovičová, O. Serdula, M. Smolek i J. Vláčil, u svojstvu agenata,

–        za dansku vladu, M. Jespersen, J. Nymann‑Lindegren, V. Pasternak Jørgensen i M. Søndahl Wolff, u svojstvu agenata,

–        za njemačku vladu, D. Klebs i J. Möller, u svojstvu agenata,

–        za estonsku vladu, N. Grünberg, u svojstvu agenta,

–        za Irsku, M. Browne, A. Joyce i J. Quaney, u svojstvu agenata, uz asistenciju D. Fennellyja, BL,

–        za španjolsku vladu, L. Aguilera Ruiz, u svojstvu agenta,

–        za francusku vladu, D. Dubois, E. de Moustier i T. Stehelin, u svojstvu agenata,

–        za ciparsku vladu, E. Neofytou, u svojstvu agenta,

–        za latvijsku vladu, E. Bārdiņš, K. Pommere i V. Soņeca, u svojstvu agenata,

–        za nizozemsku vladu, M. K. Bulterman, A. Hanje, M. J. Langer i C. S. Schillemans, u svojstvu agenata,

–        za austrijsku vladu, G. Kunnert, A. Posch i J. Schmoll, u svojstvu agenta,

–        za poljsku vladu, B. Majczyna, u svojstvu agenta,

–        za slovačku vladu, B. Ricziová, u svojstvu agenta,

–        za finsku vladu, A. Laine i H. Leppo, u svojstvu agenata,

–        za Europski parlament, O. Hrstková Šolcová i P. López‑Carceller, u svojstvu agenata,

–        za Vijeće Europske unije, J. Lotarski, N. Rouam, E. Sitbon i C. Zadra, u svojstvu agenata,

–        za Europsku komisiju, D. Nardi i M. Wasmeier, u svojstvu agenata,

–        za Europskog nadzornika za zaštitu podataka, M. P. Angelov, A. Buchta, F. Coudert i C.-A. Marnier, u svojstvu agenata,

–        za Agenciju Europske unije za temeljna prava, L. López, T. Molnar, M. Nespor i M. O’Flaherty, u svojstvu agenata,

saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 27. siječnja 2022.,

donosi sljedeću

Presudu

1        Zahtjev za prethodnu odluku u bitnom se odnosi na:

–        tumačenje članka 2. stavka 2. točke (d) i članka 23. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: GDPR), Direktive Vijeća 2004/82/EZ od 29. travnja 2004. o obvezi prijevoznika na dostavljanje podataka o putnicima (SL 2004., L 261, str. 24.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 8., str. 77., u daljnjem tekstu: Direktiva o API‑ju), kao i Direktive 2010/65/EU Europskog parlamenta i Vijeća od 20. listopada 2010. o službenom postupku prijave za brodove koji dolaze u luke i/ili odlaze iz luka država članica i o stavljanju izvan snage Direktive 2002/6/EZ (SL 2010., L 283, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 7., svezak 12., str. 218.);

–        tumačenje i valjanost, s obzirom na članke 7. i 8. kao i članak 52. stavak 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja), članka 3. točke 4., članaka 6. i 12., kao i Priloga I. Direktivi (EU) 2016/681 Europskog parlamenta i Vijeća od 27. travnja 2016. o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela (SL 2016., L 119, str. 132. i ispravak SL 2021., L 137, str. 20., u daljnjem tekstu: Direktiva o PNR‑u), kao i

–        tumačenje i valjanost Direktive o API‑ju s obzirom na članak 3. stavak 2. UEU‑a i članak 45. Povelje.

2        Taj je zahtjev podnesen u okviru spora između Ligue des droits humains i Conseila des ministres (Vijeće ministara, Belgija) u pogledu zakonitosti loia du 25 décembre 2016, relative au traitement des données des passagers (Zakon od 25. prosinca 2016. o obradi podataka o putnicima).

I.      Pravni okvir

A.      Pravo Unije

1.      Direktiva 95/46/EZ

3        Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) stavljena je izvan snage GDPR‑om s učinkom od 25. svibnja 2018. Člankom 3. stavkom 2. te direktive određivalo se:

„Ova se Direktiva ne primjenjuje na obradu osobnih podataka:

–      tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. Ugovora o Europskoj uniji i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava,

–      koju provodi fizička osoba tijekom aktivnosti isključivo osobne ili domaće naravi.”

2.      Direktiva o API‑ju

4        Uvodnim izjavama 1., 7., 9. i 12. Direktive o API‑ju predviđa se:

„(1)      Kako bi se učinkovito spriječila ilegalna imigracija i poboljšala kontrola na granicama, bitno je da sve države članice uvedu odredbe kojima se utvrđuju obveze zračnih prijevoznika koji prevoze putnike na državno područje država članica. Osim toga, kako bi se učinkovitije postigao ovaj cilj, financijske sankcije koje trenutačno predviđaju države članice za slučajeve kada prijevoznici ne ispunjavaju svoje obveze trebale bi biti usklađene koliko god je to moguće, uzimajući u obzir razlike u pravnim sustavima i praksama između država članica.

[…]

(7)      Obveze koje će biti nametnute prijevoznicima na temelju ove Direktive dopunjuju obveze utvrđene prema odredbama članka 26. Schengenske konvencije iz 1990. o provedbi Schengenskog sporazuma od 14. lipnja 1985., dopunjene Direktivom Vijeća 2001/51/EZ [od 28. lipnja 2001. o dopuni odredaba članka 26. Konvencije o primjeni Sporazuma iz Schengena od 14. lipnja 1985. (SL 2001., L 187, str. 45.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 3., str. 60.)]. Obje vrste obveza služe istom cilju, odnosno suzbijanju migracijskih tokova i sprečavanju ilegalnih imigracija.

[…]

(9)      Kako bi se učinkovitije spriječila ilegalna imigracija i učinkovitije ostvario ovaj cilj, nužno je, ne dovodeći u pitanje odredbe Direktive 95/46/EZ, što ranije uzeti u obzir bilo koju tehnološku inovaciju, posebno onu vezanu za integraciju i uporabu biometrijskih karakteristika u informacijama koje prijevoznici trebaju dostaviti.

[…]

(12)      Direktiva [95/46] primjenjuje se na obradu osobnih podataka koju obavljaju tijela država članica. To znači da budući da bi bilo legitimno obrađivati podatke o putnicima prenijete radi provedbe graničnih kontrola kako bi se također dopustilo njihovo korištenje kao dokaza u sporovima koji imaju za cilj provedbu zakona i propisa o ulasku i imigraciji, uključujući njihove odredbe o zaštiti javnog interesa i nacionalne sigurnosti, a svaka daljnja obrada na način koji odstupa od tih namjera proturječila bi načelu iz članka 6. stavka 1. točke (b) Direktive [95/46/]. Države bi članice trebale predvidjeti sustav sankcija koje bi se primjenjivale u slučaju uporabe koja bi se kosila s namjerom ove Direktive.”

5        Člankom 1. Direktive o API‑ju, naslovljenim „Svrha”, predviđa se:

„Svrha je ove Direktive poboljšati kontrole na granici i spriječiti ilegalnu imigraciju tako da prijevoznici unaprijed prenesu podatke o putnicima nadležnim nacionalnim tijelima.”

6        U članku 2. te direktive, naslovljenom „Definicije”, navodi se:

„U smislu ove Direktive:

(a)      ‚prijevoznik’ znači bilo koja fizička ili pravna osoba čija se djelatnost sastoji u prijevozu putnika zračnim putem;

(b)      ‚vanjske granice’ znači vanjske granice država članica s trećim zemljama;

(c)      ‚kontrola na granici’ znači provjera koja se obavlja na granici isključivo na temelju namjere da se prijeđe tu granicu, bez obzira na druge aspekte;

(d)      ‚granični prijelaz’ znači bilo koji prijelaz kojeg su odobrila tijela nadležna za prelaženje vanjskih granica;

(e)      ‚osobni podaci’, ‚obrada osobnih podataka’ i ‚sistem odlaganja osobnih podataka’ imaju značenje navedeno u članku 2. Direktive [95/46].”

7        Člankom 3. navedene direktive, naslovljenim „Prijenos podataka”, u stavcima 1. i 2. određuje se:

„1.      Države članice poduzimaju sve potrebne mjere kako bi uvele obvezu za prijevoznike da na zahtjev tijela odgovornih za kontrolu osoba na vanjskim granicama, po završetku prijave putnika, prenesu informacije o putnicima koje će prevoziti, službenom graničnom prijelazu preko kojeg će te osobe ući na državno područje države članice.

2.      Navedene informacije sadržavaju:

–        broj i vrstu putnog dokumenta koji se koristi,

–        nacionalnost;

–        puno ime,

–        datum rođenja,

–        granični prijelaz na kojem se ulazi na državno područje države članice,

–        oznaku prijevoza,

–        vrijeme polaska i dolaska prijevoza,

–        ukupan broj putnika koji se prevoze;

–        prvo mjesto ukrcaja.”

8        U članku 6. Direktive o API‑ju, naslovljenom „Obrada podataka”, navodi se:

„1.      Osobni podaci iz članka 3. stavka 1. dostavljaju se tijelima odgovornima za kontrolu osoba na vanjskim granicama preko kojih će putnik ući na državno područje države članice, kako bi im olakšali obavljanje takvih provjera s ciljem učinkovitijeg sprečavanja ilegalne imigracije.

Države članice osiguravaju da prijevoznici prikupljaju te podatke i prenose ih elektroničkim putem, ili u slučaju nemogućnosti takvog prijenosa nekim drugim prikladnim sredstvom, tijelima odgovornima za kontrolu osoba na službenom graničnom prijelazu preko kojeg će putnik ući na državno područje države članice. Tijela odgovorna za kontrolu osoba na vanjskim granicama čuvaju te podatke u privremenoj datoteci.

Nakon ulaska putnika ta tijela brišu podatke u roku od 24 sata nakon prijenosa, osim ako podaci ne budu kasnije potrebni tijelima odgovornima za kontrolu osoba na vanjskim granicama za izvršenje njihovih zakonskih funkcija u skladu s nacionalnim zakonodavstvom i pridržavajući se odredaba o zaštiti podataka iz Direktive [95/46].

Države članice poduzimaju potrebne mjere kako bi obvezale prijevoznike da u roku od 24 sata od dolaska prijevoznog sredstva, prema članku 3. stavku 1. obrišu osobne podatke koje su prikupili i prenijeli graničnim tijelima za svrhe ove Direktive.

U skladu s vlastitim nacionalnim zakonodavstvom i pridržavajući se odredaba o zaštiti podataka iz Direktive [95/46], države članice mogu koristiti osobne podatke iz članka 3. stavka 1. također u svrhu izvršavanja zakona.

2.      Države članice poduzimaju potrebne mjere kako bi obvezale prijevoznike da informiraju putnike u skladu s odredbama utvrđenima Direktivom [95/46]. To također uključuje informacije iz članka 10. točke (c) i članka 11. stavka 1. točke (c) Direktive [95/46].”

3.      Direktiva 2010/65

9        Direktiva 2010/65 stavljena je izvan snage na temelju članka 25. Uredbe (EU) 2019/1239 Europskog parlamenta i Vijeća od 20. lipnja 2019. o uspostavi europskog okružja jedinstvenog pomorskog sučelja i stavljanju izvan snage Direktive 2010/65/EU (SL 2019., L 198, str. 64.) od 15. kolovoza 2025.

10      U uvodnoj izjavi 2. te direktive navodi se:

„Radi pojednostavnjivanja pomorskog prometa i smanjenja administrativnih opterećenja za brodare, treba u najvećoj mogućoj mjeri pojednostaviti i uskladiti službeni postupak prijave koji zahtijevaju pravni akti Unije i države članice. […]”

11      Člankom 1. navedene direktive, naslovljenim „Predmet i područje primjene”, u stavcima 1. i 2. određuje se:

„1.      Svrha je ove Direktive pojednostaviti i uskladiti administrativne postupke koji se primjenjuju u pomorskom prijevozu standardiziranjem elektroničkog prijenosa informacija i racionaliziranjem službenog postupka prijave.

2.      Ova se Direktiva primjenjuje na službeni postupak prijave koji se primjenjuje na pomorski prijevoz za brodove koji uplovljavaju u luke smještene u državama članicama i isplovljavaju iz tih luka.”

12      U skladu s člankom 8. iste direktive, naslovljenim „Povjerljivost”:

„1.      Države članice, u skladu s primjenjivim pravnim aktima Unije ili nacionalnim zakonodavstvom, poduzimaju potrebne mjere da osiguraju povjerljivost poslovnih i drugih povjerljivih informacija koje se razmjenjuju u skladu s ovom Direktivom.

2.      Države članice posebno se brinu za zaštitu poslovnih podataka prikupljenih na temelju ove Direktive. U pogledu osobnih podataka, države članice osiguravaju usklađenost s Direktivom [95/46]. Institucije i tijela [Europske u]nije osiguravaju usklađenost s Uredbom (EZ) br. 45/2001 [Europskog parlamenta i Vijeća od 18. prosinca 2000. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama i tijelima Zajednice i o slobodnom kretanju takvih podataka (SL 2001., L 8, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 34., str. 6.)].”

4.      GDPR

13      U uvodnoj izjavi 19. GDPR‑a navodi se:

„Zaštita pojedinaca s obzirom na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i slobodnom kretanju takvih podataka i njihovo sprečavanje, podliježe posebnom pravnom aktu Unije. Stoga se ova Uredba ne bi trebala primjenjivati na aktivnosti obrade u te svrhe. No, osobni podaci koje su obradila tijela javne vlasti u skladu s ovom Uredbom trebali bi, kada se upotrebljavaju u te svrhe, biti uređeni posebnim pravnim aktom Unije i to Direktivom (EU) 2016/680 Europskog parlamenta i Vijeća [od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14.)]. Države članice mogu povjeriti nadležnim tijelima u smislu Direktive [2016/680] zadaće koje se ne provode nužno u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, tako da je obrada osobnih podataka za te druge svrhe, u mjeri u kojoj potpada pod područje primjene prava Unije, obuhvaćena područjem primjene ove Uredbe.

[…]”

14      Člankom 2. te uredbe, naslovljenim „Glavno područje primjene”, u stavcima 1. i 2. određuje se:

„1.      Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

2.      Ova se Uredba ne odnosi na obradu osobnih podataka:

(a)      tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije;

(b)      koju obavljaju države članice kada obavljaju aktivnosti koje su obuhvaćene područjem primjene glave V. poglavlja 2. UEU‑a;

[…]

(d)      koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.”

15      Člankom 4. navedene uredbe, naslovljenim „Definicije”, predviđa se:

„Za potrebe ove Uredbe:

1.      ,osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi […];

2.      ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

[…]”

16      Člankom 23. GDPR‑a, naslovljenim „Ograničenja”, određuje se:

„1.      Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

(a)      nacionalne sigurnosti;

(b)      obrane;

(c)      javne sigurnosti;

(d)      sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje;

[…]

(h)      funkcije praćenja, inspekcije ili regulatorne funkcije koja je, barem povremeno, povezana s izvršavanjem službene ovlasti u slučajevima iz točaka od (a) do (e) i točke (g);

2.      Osobito, svaka zakonodavna mjera iz stavka 1. sadrži posebne odredbe, prema potrebi, najmanje o:

(a)      svrhama obrade ili kategorijama obrade;

(b)      kategorijama osobnih podataka;

(c)      opsegu uvedenih ograničenja;

(d)      zaštitnim mjerama za sprečavanje zlouporabe ili nezakonitog pristupa ili prijenosa;

(e)      specifikaciji voditelja obrade ili kategorija voditeljâ obrade;

(f)      razdoblju pohrane i zaštitnim mjerama koje se mogu primijeniti uzimajući u obzir prirodu, opseg i svrhe obrade ili kategorije obrade;

(g)      rizicima za prava i slobode ispitanika; i

(h)      pravu ispitanika da budu obaviješteni o ograničenju, osim ako može biti štetno za svrhu tog ograničenja.”

17      Člankom 94. te uredbe, naslovljenim „Stavljanje izvan snage Direktive [95/46]”, predviđa se:

„1.      Direktiva [95/46] stavlja se izvan snage s učinkom od 25. svibnja 2018.

2.      Upućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na ovu Uredbu. Upućivanja na Radnu skupinu o zaštiti pojedinaca s obzirom na obradu osobnih podataka osnovanu člankom 29. Direktive 95/46/EZ tumače se kao upućivanja na Europski odbor za zaštitu podataka osnovan ovom Uredbom.”

5.      Direktiva 2016/680

18      U skladu s člankom 59. Direktive 2016/680, njome se od 6. svibnja 2018. stavila izvan snage i zamijenila Okvirna odluka Vijeća 2008/977/PUP od 27. studenoga 2008. o zaštiti osobnih podataka obrađenih u okviru policijske i pravosudne suradnje u kaznenim stvarima (SL 2008., L 350, str. 60.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 16., svezak 2., str. 118.).

19      U skladu s uvodnim izjavama 9. do 11. Direktive 2016/680:

„(9)      Na temelju toga, [GDPR‑om se] utvrđuju […] opća pravila za zaštitu pojedinaca u vezi s obradom osobnih podataka i za osiguravanje slobodnog kretanja osobnih podataka unutar Unije.

(10)      U Izjavi br. 21 o zaštiti osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje, priloženoj završnom aktu međuvladine konferencije na kojoj je donesen Ugovor iz Lisabona, na konferenciji je potvrđeno da bi se određena pravila o zaštiti osobnih podataka i slobodnom kretanju osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje na temelju članka 16. UFEU‑a mogla pokazati neophodnima zbog specifične prirode tih područja.

(11)      Stoga je primjereno da se ta područja urede posebnom direktivom kojom bi se utvrdila posebna pravila o zaštiti pojedinaca s obzirom na obradu osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, poštujući posebnu prirodu tih aktivnosti. Takva nadležna tijela mogu obuhvaćati ne samo tijela javne vlasti poput pravosudnih tijela, policije ili drugih tijela za izvršavanje zakonodavstva, nego i svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih nadležnosti i javnih ovlasti za potrebe ove Direktive. Ako takvo tijelo ili subjekt obrađuje osobne podatke u svrhe koje nisu svrhe ove Direktive, primjenjuje se [GDPR]. [GDPR se stoga] primjenjuje u slučajevima kad tijelo ili subjekt prikuplja osobne podatke za druge potrebe i dalje ih obrađuje radi poštovanja pravne obveze kojoj podliježe. Na primjer, za potrebe istrage, otkrivanja ili kaznenog progona kaznenih djela financijske institucije zadržavaju određene osobne podatke koje obrađuju te pružaju te osobne podatke samo nadležnim nacionalnim tijelima u posebnim slučajevima i u skladu s pravom države članice. Tijelo ili subjekt koji obrađuje osobne podatke u ime takvih tijela u području primjene ove Direktive trebao bi biti obvezan ugovorom ili drugim pravnim aktom i odredbama primjenjivima na izvršitelje obrade u skladu s ovom Direktivom, dok na primjenu [GDPR‑a] nema učinaka u kontekstu aktivnosti obrade osobnih podataka koju obavlja izvršitelj obrade izvan područja primjene ove Direktive.”

20      Člankom 1. te direktive, naslovljenim „Predmet i ciljevi”, koji u biti odgovara članku 1. Okvirne odluke 2008/977, u stavku 1. predviđa se:

„Ovom se Direktivom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.”

21      Člankom 3. navedene direktive, naslovljenim „Definicije”, određuje se:

„Za potrebe ove Direktive:

[…]

7.      ,nadležno tijelo’ znači:

(a)      svako tijelo javne vlasti nadležno za sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje; ili

(b)      svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih dužnosti i izvršavanje javnih ovlasti u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje;

[…]”

6.      Direktiva o PNR‑u

22      U uvodnim izjavama 4. do 12., 15., 19., 20., 22., 25., 27., 28., 33., 36. i 37. Direktive o PNR‑u navodi se:

„(4)      Direktivom [o API‑ju] propisuje se da zračni prijevoznici nadležnim nacionalnim tijelima prenose informacije o putnicima koje će prevoziti (API podaci) s ciljem poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja.

(5)      Ciljevi su ove Direktive, među ostalim, zajamčiti sigurnost, zaštititi živote i sigurnost osoba te uspostaviti pravni okvir za zaštitu podataka iz PNR‑a u pogledu njihove obrade koju provode nadležna tijela.

(6)      Učinkovita uporaba podataka iz PNR‑a, primjerice uspoređivanjem podataka iz PNR‑a s raznim bazama podataka o traženim osobama i predmetima, potrebna je za sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma i teških kaznenih djela, čime se jača unutarnja sigurnost, za prikupljanje dokaza te prema potrebi za pronalazak pomagača počinitelja kaznenih djela i razotkrivanje kriminalnih mreža.

(7)      Procjena podataka iz PNR‑a omogućuje identifikaciju osoba koje nisu bile osumnjičene za sudjelovanje u kaznenim djelima terorizma ili teškim kaznenim djelima prije takve procjene i koje bi nadležna tijela trebale dodatno ispitati. Upotrebom podataka iz PNR‑a omogućuje se sagledavanje prijetnje koja proizlazi iz kaznenih djela terorizma i teških kaznenih djela na drugačiji način u usporedbi s obradom ostalih kategorija osobnih podataka. Ipak, kako bi se osiguralo da obrada podataka iz PNR‑a ostane ograničena na ono što je potrebno, uspostava i primjena kriterija procjene trebale bi biti ograničene na kaznena djela terorizma i teška kaznena djela za koje je uporaba takvih kriterija relevantna. Nadalje, kriteriji procjene trebali bi se odrediti na način kojim se broj nedužnih osoba koje sustav pogrešno identificira svodi na najmanju moguću mjeru.

(8)      Zračni prijevoznici već u vlastite komercijalne svrhe prikupljaju i obrađuju podatke iz PNR‑a o svojim putnicima. Ovom Direktivom ne bi trebalo obvezivati zračne prijevoznike na prikupljanje ili čuvanje dodatnih podataka o putnicima, kao ni obvezivati putnike na davanje dodatnih podataka povrh onih koje već dostavljaju zračnim prijevoznicima.

(9)      Neki zračni prijevoznici čuvaju, kao dio podataka iz PNR‑a, API podatke koje prikupe dok drugi to ne čine. Uporaba podataka iz PNR‑a zajedno s API podacima dodatno pomaže državama članicama u vezi s potvrdom identiteta pojedinca, čime se dodaje vrijednost rezultatu izvršavanja zakonodavstva i na najmanju moguću mjeru smanjuje rizik od provođenja provjera i istraga nedužnih osoba. Stoga je važno osigurati da zračni prijevoznici prenose API podatke koje prikupe, bez obzira na to čuvaju li oni API podatke putem različitih tehničkih sredstava kao druge podatke iz PNR‑a.

(10)      Radi sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela ključno je da sve države članice uvedu odredbe kojima se utvrđuju obveze prijenosa svih prikupljenih podataka iz PNR‑a, uključujući i API podatke za zračne prijevoznike koji obavljaju letove između EU‑a i trećih zemalja. Države članice trebale bi imati mogućnost proširiti ovu obvezu i na zračne prijevoznike koji obavljaju letove unutar EU‑a. Tim se odredbama ne bi trebala dovoditi u pitanje Direktiva [o API‑ju].

(11)      Obrada osobnih podataka trebala bi biti proporcionalna posebnim sigurnosnim ciljevima koji se nastoje ostvariti ovom Direktivom.

(12)      Definicija kaznenih djela terorizma koja se primjenjuje u ovoj Direktivi trebala bi biti istovjetna definiciji iz Okvirne odluke Vijeća 2002/475/PUP [od 13. lipnja 2002. o suzbijanju terorizma (SL 2002., L 164, str. 3.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 9., str. 214.)]. Definicija teških kaznenih djela trebala bi obuhvatiti kategorije kaznenih djela navedene u Prilogu II. ovoj Direktivi.

[…]

(15)      Popis podataka iz PNR‑a koji se dostavlja [odjelu za informacije o putnicima (PIU)] trebalo bi sastaviti s ciljem odražavanja legitimnih zahtjeva tijela javnih vlasti za sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma ili teških kaznenih djela, čime se povećava unutarnja sigurnost u Uniji i štite temeljna prava, osobito pravo na privatnost i zaštitu osobnih podataka. U tu svrhu trebali bi se primjenjivati visoki standardi u skladu s [Poveljom], Konvencijom za zaštitu osoba glede automatizirane obrade osobnih podataka (‚Konvencija br. 108’) i Europskom konvencijom za zaštitu ljudskih prava i temeljnih sloboda[, potpisanom u Rimu 4. studenoga 1950. (EKLJP)]. Takvi se popisi ne bi trebali temeljiti na rasi osobe ili njezinom etničkom podrijetlu, vjeri ili uvjerenju, političkom ili bilo kojem drugom mišljenju, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji. Podaci iz PNR‑a trebali bi sadržavati samo informacije o rezervaciji i planu puta putnika kako bi nadležna tijela mogla identificirati zračne putnike koji predstavljaju opasnost unutarnjoj sigurnosti.

[…]

(19)      Svaka država članica trebala bi biti odgovorna za procjenu potencijalnih prijetnji povezanih s kaznenim djelima terorizma i teškim kaznenim djelima.

(20)      Kako bi se u potpunosti poštovalo pravo na zaštitu osobnih podataka i pravo na nediskriminaciju, ne bi trebalo donositi odluke koje bi proizvele štetan pravni učinak za osobu ili bi značajno na nju utjecale isključivo na temelju automatizirane obrade podataka iz PNR‑a. Nadalje, u skladu s člancima 8. i 21. Povelje ni jedna takva odluka ne bi smjela diskriminirati osobu, na temelju njezina spola, rase, boje kože, etničkog ili socijalnog podrijetla, genetskih osobina, jezika, vjere ili uvjerenja, političkog ili bilo kakvog drugog mišljenja, pripadnosti nacionalnoj manjini, imovine, rođenja, invalidnosti, dobi ili spolne orijentacije. Kada [Europska k]omisija preispituje primjenu ove Direktive, trebala bi uzeti u obzir i ta načela.

[…]

(22)      Uzimajući u potpunosti u obzir načela istaknuta u nedavnoj relevantnoj sudskoj praksi Suda Europske unije, primjenom ove Direktive trebalo bi se osigurati potpuno poštovanje temeljnih prava, prava na privatnost te načela proporcionalnosti. Također bi se u potpunosti trebalo voditi računa o tome što je potrebno i proporcionalno za ostvarenje općih interesa koje Unija prepoznaje te o potrebi za zaštitom tuđih prava i sloboda u borbi protiv kaznenih djela terorizma i teških kaznenih djela. Primjena ove Direktive trebala bi biti opravdana te bi trebalo poduzeti sve potrebne zaštitne mjere kako bi se osigurala zakonitost svake pohrane, analize, prijenosa ili uporabe podataka iz PNR‑a.

[…]

(25)      Razdoblje tijekom kojeg je potrebno čuvati podatke iz PNR‑a trebalo bi biti ono koje je potrebno za svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela te proporcionalno tim svrhama. Zbog prirode tih podataka i njihovih uporaba, potrebno je da se podaci iz PNR‑a čuvaju dovoljno dugo za provedbu analize i uporabu u istragama. Kako bi se izbjegla nerazmjerna uporaba, nakon početnog razdoblja čuvanja, podatke iz PNR‑a trebalo bi depersonalizirati skrivanjem elemenata podataka. Radi osiguravanja najviše razine zaštite podataka pristup potpunim podacima iz PNR‑a, kojim se omogućuje izravna identifikacija ispitanika, trebao bi se odobriti samo pod vrlo strogim i ograničenim uvjetima nakon tog početnog razdoblja.

[…]

(27)      Za obradu podataka iz PNR‑a u svakoj državi članici obavlja PIU i nadležna tijela trebao bi se primjenjivati standard za zaštitu osobnih podataka u okviru nacionalnog prava koji je u skladu s Okvirnom odlukom [2008/977] i posebnim zahtjevima o zaštiti podataka navedenima u ovoj Direktivi. Upućivanja na Okvirnu odluku [2008/977] trebala bi se shvatiti kao upućivanja na zakonodavstvo koje je trenutačno na snazi, ali i na zakonodavstvo koje će ga zamijeniti.

(28)      Uzimajući u obzir pravo na zaštitu osobnih podataka, prava ispitanika koja se odnose na obradu njihovih podataka iz PNR‑a, poput prava na pristup, na ispravljanje, brisanje ili ograničavanje te pravâ na naknadu i na pravno sredstvo, trebala bi biti u skladu s Okvirnom odlukom [2008/977] i visokom razinom zaštite utvrđenom u Povelji i EKLJP‑u.

[…]

(33)      Ovom Direktivom ne utječe se na mogućnost država članica da u okviru svojeg nacionalnog prava predvide sustav prikupljanja i obrade podataka iz PNR‑a gospodarskih subjekata koji nisu prijevoznici, kao što su putničke agencije i organizatori turističkih putovanja koji pružaju usluge povezane s putovanjima, uključujući rezervacije letova za koje prikupljaju i obrađuju podatke iz PNR‑a, ili prijevoznika koji nisu obuhvaćeni ovom Direktivom, pod uvjetom da takvo nacionalno pravo bude u skladu s pravnom stečevinom Unije.

[…]

(36)      Ovom Direktivom poštuju se temeljna prava i načela Povelje, osobito pravo na zaštitu osobnih podataka, pravo na privatnost i pravo na nediskriminaciju, koja su zaštićena njezinim člancima 8., 7., i 21. te bi je stoga trebalo na odgovarajući način provesti. Ova je Direktiva u skladu s načelima zaštite podataka, a njezine odredbe u skladu su s Okvirnom odlukom [2008/977]. Nadalje, radi poštovanja načela proporcionalnosti, ova će Direktiva za određena pitanja imati stroža pravila o zaštiti podataka nego Okvirna odluka [2008/977].

(37)      Područje primjene ove Direktive ograničeno je u najvećoj mogućoj mjeri budući da dopušta čuvanje podataka iz PNR‑a u PIU‑ovima u razdoblju od najviše pet godina, nakon čega bi se ti podaci trebali izbrisati; predviđa da se podaci depersonaliziraju skrivanjem elemenata podataka nakon početnog razdoblja od šest mjeseci te zabranjuje prikupljanje i uporabu osjetljivih podataka. Kako bi se osigurala učinkovitost i visoka razina zaštite podataka, države članice trebaju osigurati da neovisno nacionalno nadzorno tijelo, a posebno službenik za zaštitu podataka, budu nadležni za savjetovanje i praćenje načina obrade podataka iz PNR‑a. Svaku obradu podataka iz PNR‑a trebalo bi evidentirati ili dokumentirati u svrhu provjere njezine zakonitosti, samonadzora i osiguravanja pravilne nepovredivosti podataka i sigurne obrade. Države članice ujedno bi trebale putnicima osigurati jasne i precizne informacije o prikupljanju podataka iz PNR‑a i njihovim pravima.”

23      U članku 1. Direktive o PNR‑u, naslovljenom „Predmet i područje primjene”, navodi se:

„1.      Ovom Direktivom propisuju se:

(a)      prijenos podataka iz evidencije podataka o putnicima (PNR) koji provode zračni prijevoznici o putnicima na letovima između EU‑a i trećih zemalja,

(b)      obrada podataka iz točke (a), uključujući njihovo prikupljanje, uporabu i čuvanje u državama članicama te njihovu razmjenu između država članica.

2.      Podaci iz PNR‑a prikupljeni u skladu s ovom Direktivom mogu se obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, kako je predviđeno člankom 6. stavkom 2. točkama (a), (b) i (c).”

24      Članak 2. te direktive, naslovljen „Primjena ove Direktive na letove unutar EU‑a”, glasi kako slijedi:

„1.      Ako država članica odluči primijeniti ovu Direktivu na letove unutar EU‑a, u pisanom obliku obavješćuje Komisiju. Država članica može dostaviti ili povući obavijest u bilo kojem trenutku. Komisija objavljuje tu obavijest i njezino povlačenje u Službenom listu Europske unije.

2.      Ako je obavijest iz stavka 1. dostavljena, sve odredbe ove Direktive primjenjuju se na letove unutar EU‑a kao da se radi o letovima između EU‑a i trećih zemalja te na podatke iz PNR‑a dobivene na temelju letova unutar EU‑a kao da se radi o podacima iz PNR‑a dobivenima na temelju letova između EU‑a i trećih zemalja.

3.      Država članica može odlučiti primijeniti ovu Direktivu samo na odabrane letove unutar EU‑a. Pri donošenju takve odluke država članica odabire letove koje smatra potrebnima kako bi ostvarila ciljeve ove Direktive. Država članica može odlučiti promijeniti svoj odabir letova unutar EU‑a u bilo kojem trenutku.”

25      Člankom 3. navedene direktive, naslovljenim „Definicije”, određuje se:

„Za potrebe ove Direktive primjenjuju se sljedeće definicije:

1.      ‚zračni prijevoznik’ znači poduzeće za zračni prijevoz s važećom dozvolom za obavljanje djelatnosti ili jednakovrijednom dozvolom za obavljanje prijevoza putnika zrakom;

2.      ‚let između EU‑a i trećih zemalja’ znači svaki redoviti ili izvanredni let zračnog prijevoznika čije se polazište nalazi u trećoj zemlji, a odredište na državnom području države članice ili čije se polazište nalazi na državnom području države članice, a odredište u trećoj zemlji, uključujući u oba slučaja letove sa zaustavljanjima na državnom području država članica ili trećih zemalja;

3.      ‚let unutar EU‑a’ znači svaki redoviti ili izvanredni let zračnog prijevoznika čije se polazište nalazi na državnom području države članice, a odredište na državnom području jedne države članice ili više njih, bez zaustavljanja na državnom području ili u zračnim lukama treće zemlje;

4.      ‚putnik’ znači svaka osoba, uključujući transferne ili tranzitne putnike, izuzev članova posade, koja se prevozi ili će se prevesti u zrakoplovu uz pristanak zračnog prijevoznika, vidljivog iz upisa osoba na popis putnika;

5.      ‚evidencija podataka o putnicima’ ili ‚PNR’ znači evidencija zahtjeva u vezi s putovanjem svakog putnika koja sadrži informacije potrebne za obradu i kontrolu rezervacija od strane uključenih zračnih prijevoznika i onih koji obavljaju rezervacije za svako putovanje rezervirano od strane neke osobe ili u njezino ime, neovisno o tome čini li sastavni dio sustava rezervacija, Sustava kontrole odlazaka, koji služi prijavi putnika na letove ili jednakovrijednog sustava s istim funkcijama;

6.      ‚sustav rezervacija’ znači unutarnji sustav zračnog prijevoznika u kojem se prikupljaju podaci iz PNR‑a za upravljanje rezervacijama;

7.      ‚metoda unošenja’ znači metoda kojom zračni prijevoznici prenose podatke iz PNR‑a navedene u Prilogu I. u bazu podataka tijela koje ih zahtijeva;

8.      ‚kaznena djela terorizma’ znači kaznena djela u skladu s nacionalnim pravom iz članaka od 1. do 4. Okvirne odluke Vijeća 2002/475/PUP;

9.      ‚teška kaznena djela’ znači kaznena djela navedena u Prilogu II. za koja je u skladu s nacionalnim pravom države članice propisana najviša kazna zatvora ili mjera oduzimanja slobode od najmanje tri godine;

10.      ‚depersonalizirati skrivanjem elemenata podataka’ znači učiniti nevidljivim za korisnika određene elemente podataka iz kojih bi se izravno mogao identificirati ispitanik.”

26      U članku 4. Direktive o PNR‑u, naslovljenom „Odjel za informacije o putnicima”, u stavcima 1. do 3. navodi se:

„1.      Svaka država članica osniva ili određuje tijelo nadležno za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela ili ogranak takvog tijela, da djeluje kao njezin odjel za informacije o putnicima (PIU).

2.      PIU je nadležan za:

(a)      prikupljanje podataka iz PNR‑a od zračnih prijevoznika, pohranu i obradu tih podataka te za prijenos tih podataka ili rezultata njihove obrade nadležnim tijelima iz članka 7.;

(b)      razmjenu podataka iz PNR‑a i rezultata obrade tih podataka s PIU‑ovima drugih država članica i Europolom u skladu s člancima 9. i 10.

3.      Osoblje PIU‑a može biti upućeno iz nadležnih tijela. Države članice osiguravaju PIU‑ovima dovoljno sredstava za ispunjavanje njihovih zadaća.”

27      Članak 5. te direktive, naslovljen „Službenik za zaštitu podataka u PIU‑u”, glasi kako slijedi:

„1.      PIU imenuje službenika za zaštitu podataka zaduženog za praćenje obrade podataka iz PNR‑a i provedbu odgovarajućih zaštitnih mjera.

2.      Države članice osiguravaju službenicima za zaštitu podataka sva potrebna sredstva za učinkovito i neovisno obavljanje njihovih dužnosti i zadaća u skladu s ovim člankom.

3.      Države članice osiguravaju da ispitanik ima pravo na kontaktiranje sa službenikom za zaštitu podataka, kao jedinstvenom kontaktnom točkom, u pogledu svih pitanja povezanih s obradom njegovih podataka iz PNR‑a.”

28      Člankom 6. navedene direktive, naslovljenim „Obrada podataka iz PNR‑a”, određuje se:

„1.      PIU dotične države članice prikuplja podatke iz PNR‑a koje zračni prijevoznici prenose, kako je predviđeno člankom 8. Ako podaci iz PNR‑a koje zračni prijevoznici prenose sadrže podatke koji nisu navedeni u Prilogu I., PIU odmah po primitku trajno briše takve podatke.

2.      PIU obrađuje podatke iz PNR‑a samo za sljedeće namjene:

(a)      provođenje procjene putnika prije njihova planiranog dolaska u državu članicu ili odlaska iz nje kako bi se identificirale osobe za koje je potrebno dodatno ispitivanje od strane nadležnih tijela iz članka 7. te prema potrebi Europola, u skladu s člankom 10., s obzirom da to da bi takve osobe mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo;

(b)      odgovaranje, za svaki slučaj pojedinačno, na propisno obrazložen zahtjev podnesen na temelju dovoljno dokaza od strane nadležnih tijela za dostavu i obradu podataka iz PNR‑a u određenim slučajevima u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma ili teških kaznenih djela, te za dostavu rezultata takve obrade nadležnim tijelima ili, prema potrebi, Europolu; i

(c)      analiziranje podataka iz PNR‑a u svrhu ažuriranja ili određivanja novih kriterija za provođenje procjena koje se provode na temelju stavka 3. točke (b) kako bi se identificirale sve osobe koje bi mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo.

3.      Pri provođenju procjene iz stavka 2. točke (a) PIU može:

(a)      uspoređivati podatke iz PNR‑a s bazama podataka relevantnima za svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, što uključuje baze podataka o osobama ili predmetima koji se traže ili za koje postoji upozorenje, u skladu s pravilima Unije te međunarodnim i nacionalnim pravilima koja se primjenjuju na takve baze podataka; ili

(b)      obrađivati podatke iz PNR‑a u skladu s prethodno utvrđenim kriterijima.

4.      Svaka procjena putnika prije njihova planiranog dolaska u državu članicu ili odlaska iz nje provedeno na temelju stavka 3. točke (b) u skladu s prethodno određenim kriterijima mora se provesti na nediskriminirajući način. Ti prethodno utvrđeni kriteriji procjene moraju biti usmjereni, proporcionalni i određeni. Države članice osiguravaju da PIU‑ovi odrede te kriterije te da ih oni redovito preispituju u suradnji s nadležnim tijelima iz članka 7. Ti kriteriji ne smiju se ni u kojem slučaju temeljiti na rasnom ili etničkom podrijetlu osobe, njezinim političkim mišljenjima, vjeri ili filozofskim uvjerenjima, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji.

5.      Države članice osiguravaju da se svaki pozitivni rezultat nastao automatiziranom obradom podataka iz PNR‑a koja se provodi na temelju stavka 2. točke (a) pojedinačno provjeri na neautomatizirani način radi utvrđivanja treba li nadležno tijelo iz članka 7. poduzeti mjere na temelju nacionalnog prava.

6.      PIU određene države članice prenosi podatke iz PNR‑a za osobe koje su identificirane u skladu sa stavkom 2. točkom (a) ili rezultate njihove obrade nadležnim tijelima iz članka 7. iste države članice za daljnje ispitivanje. Takvi se prijenosi obavljaju samo za svaki slučaj pojedinačno i u slučaju automatizirane obrade podataka iz PNR‑a nakon pojedinačne neautomatizirane provjere.

7.      Države članice osiguravaju da službenik za zaštitu podataka ima pristup svim podacima koje obrađuje PIU. Ako službenik za zaštitu podataka smatra da obrada bilo kojih podataka nije bila zakonita, on može uputiti predmet nacionalnom nadzornom tijelu.

[…]

9.      Posljedice procjena putnika iz stavka 2. točke (a) ovog članka ne dovode u pitanje pravo ulaska osoba koje uživaju pravo Unije na slobodno kretanje na državno područje dotične države članice kako je to utvrđeno Direktivom 2004/38/EZ Europskog parlamenta i Vijeća [od 29. travnja 2004. o pravu građana Unije i članova njihovih obitelji slobodno se kretati i boraviti na državnom području država članica, o izmjeni Uredbe (EEZ) br. 1612/68 i stavljanju izvan snage direktiva 64/221/EEZ, 68/360/EEZ, 72/194/EEZ, 73/148/EEZ, 75/34/EEZ, 75/35/EEZ, 90/364/EEZ, 90/365/EEZ i 93/96/EEZ (SL 2004., L 158, str. 77.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 5., svezak 2., str. 42. i ispravak SL 2016., L 87, str. 36.)]. Osim toga, ako se procjene provode u odnosu na letove unutar EU‑a između država članica na koje se primjenjuje Uredba (EZ) br. 562/2006 Europskog parlamenta i Vijeća [od 15. ožujka 2006. o Zakoniku Zajednice o pravilima kojima se uređuje kretanje osoba preko granica (Zakonik o schengenskim granicama) (SL 2006., L 105, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 10, str. 61.)], posljedice takvih procjena moraju biti u skladu s tom Uredbom.”

29      U skladu s člankom 7. Direktive o PNR‑u, naslovljenim „Nadležna tijela”:

„1.      Svaka država članica donosi popis nadležnih tijela koja su ovlaštena za traženje ili primanje podataka iz PNR‑a ili rezultata obrade tih podataka od strane PIU‑a radi daljnjeg ispitivanja tih informacija ili poduzimanja odgovarajućih mjera u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela.

2.      Tijela iz stavka 1. jesu tijela nadležna su za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela.

[…]

4.      Nadležna tijela država članica podatke iz PNR‑a i rezultat obrade tih podataka koje je zaprimio PIU mogu dodatno obrađivati samo u posebnu svrhu sprečavanja, otkrivanja, istrage ili kaznenog progona kaznenih djela terorizma ili teških kaznenih djela.

5.      Stavak 4. ne dovodi u pitanje izvršavanje zakonodavstva ni pravosudne ovlasti na nacionalnoj razini kada se druga kaznena djela ili sumnja na njihovo postojanje otkriju tijekom aktivnosti progona koja proizlazi iz takve obrade.

6.      Nadležna tijela ne smiju donijeti nikakvu odluku koja bi proizvela štetni pravni učinak na osobu ili bi značajno na nju utjecala isključivo na temelju automatizirane obrade podataka iz PNR‑a. Takve odluke ne smiju se temeljiti na rasi ili etničkom podrijetlu osobe, njezinim političkim mišljenjima, vjeri ili filozofskim uvjerenjima, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji.”

30      Člankom 8. te direktive, naslovljenim „Obveze za zračne prijevoznike u pogledu prijenosa podataka”, u stavcima 1. do 3. predviđa se:

„1.      Države članice donose potrebne mjere kako bi osigurale da zračni prijevoznici podatke iz PNR‑a navedene u Prilogu I., u mjeri u kojoj su takve podatke već prikupili tijekom svojeg redovitog poslovanja, prenose (‚metodom unošenja’) u bazu podataka PIU‑a države članice na čijem se državnom području nalazi polazište ili odredište leta. Kada se radi o zajedničkim letovima (code‑sharing) jednog zračnog prijevoznika ili više njih, zračni prijevoznik koji obavlja let odgovoran je za prijenos podatka iz PNR‑a svih putnika na letu. Kada let između EU‑a i trećih zemalja ima jedno zaustavljanje ili više njih u zračnim lukama država članica, zračni prijevoznici prenose podatke iz PNR‑a u pogledu svih putnika PIU‑ovima svih uključenih država članica. To se također primjenjuje kada let unutar EU‑a ima jedno zaustavljanje ili više njih u zračnim lukama različitih država članica, ali samo u odnosu na države članice koje prikupljaju podatke iz PNR‑a dobivene na temelju letova unutar EU‑a.

2.      U slučaju da zračni prijevoznici prikupljaju bilo kakve API podatke navedene u točki 18. Priloga I., ali te podatke ne zadržavaju putem istih tehničkih sredstava kao druge podatke iz PNR‑a, države članice donose potrebne mjere kako bi se osiguralo da zračni prijevoznici te podatke također prenose (‚metodom unošenja’) PIU‑u države članice iz stavka 1. U slučaju prijenosa sve odredbe ove Direktive primjenjuju se na te API podatke.

3.      Zračni prijevoznici podatke iz PNR‑a prenose elektroničkim putem upotrebljavajući zajedničke protokole i podržane formate za prijenos podataka koji se donose u skladu s postupkom ispitivanja iz članka 17. stavka 2. ili, u slučaju tehničke neispravnosti, nekim drugim odgovarajućim načinom koji jamči odgovarajuću razinu sigurnosti podataka, pod sljedećim uvjetima:

(a)      24 do 48 sati prije zakazanog vremena polaska zrakoplova; te

(b)      odmah po zatvaranju leta, tj. kada su se putnici ukrcali u zrakoplov koji se sprema za polazak i kada se putnici više ne mogu ukrcati ni iskrcati.”

31      Člankom 12. navedene direktive, naslovljenim „Razdoblje čuvanja i depersonalizacije podataka”, određuje se:

„1.      Države članice osiguravaju da se podaci iz PNR‑a koje zračni prijevoznici dostavljaju PIU‑u čuvaju u bazi podataka PIU‑a u razdoblju od pet godina od njihova prijenosa PIU‑u države članice na čijem se državnom području nalazi polazište ili odredište leta.

2.      Nakon isteka razdoblja od šest mjeseci nakon prijenosa podataka iz PNR‑a iz stavka 1., svi podaci iz PNR‑a depersonaliziraju se skrivanjem sljedećih elemenata podataka koji bi mogli poslužiti za izravnu identifikaciju putnika na kojeg se ti podaci iz PNR‑a odnose:

(a)      ime(na), uključujući imena drugih putnika u PNR‑u i broj putnika u PNR‑u koji putuju zajedno;

(b)      adresa i kontaktni podaci;

(c)      svi podaci o načinu plaćanja, uključujući adresu za slanje računa, u mjeri u kojoj oni sadrže bilo kakve informacije koje bi mogle poslužiti za izravnu identifikaciju putnika na kojeg se ti podaci iz PNR‑a odnose ili bilo koje druge osobe;

(d)      podaci o programima vjernosti;

(e)      opće opaske u mjeri u kojoj sadrže bilo kakve informacije koje bi mogle poslužiti za izravnu identifikaciju putnika na kojeg se odnosi PNR; te

(f)      svi prikupljeni API podaci.

3.      Nakon isteka razdoblja od šest mjeseci iz stavka 2., otkrivanje potpunih podataka iz PNR‑a dopušteno je samo ako se:

(a)      opravdano smatra da je to potrebno u svrhu iz članka 6. stavka 2. točke (b); i

(b)      ako je odobri:

i.      pravosudno tijelo; ili

ii.      drugo nacionalno tijelo koje je prema nacionalnom pravu nadležno provjeriti jesu li ispunjeni uvjeti za objavu, pod uvjetom da se o tome obavijesti službenik za zaštitu podataka u PIU‑u i da to podliježe njegovoj naknadnoj provjeri.

4.      Države članice osiguravaju trajno brisanje podataka iz PNR‑a po isteku razdoblja iz stavka 1. Tom obvezom ne dovode se u pitanje slučajevi u kojima su određeni podaci iz PNR‑a preneseni nadležnom tijelu i upotrebljavaju se u okviru određenog slučaja u svrhe sprečavanja, otkrivanja, istrage ili kaznenog progona kaznenih djela terorizma i teških kaznenih djela te je u tom slučaju čuvanje takvih podataka od strane nadležnog tijela uređeno nacionalnim pravom.

5.      Rezultat obrade iz članka 6. stavka 2. točke (a) čuva se u PIU‑u samo toliko dugo koliko je potrebno da se o pozitivnom rezultatu obavijeste nadležna tijela i, u skladu s člankom 9. stavkom 1., PIU‑ovi drugih država članica. U slučaju kad se rezultat automatizirane obrade, i to nakon pojedinačne neautomatizirane provjere iz članka 6. stavka 5., pokaže negativan, on se svejedno može čuvati kako bi se izbjegli budući ‚lažni’ pozitivni rezultati dokle god osnovni podaci nisu izbrisani na temelju stavka 4. ovoga članka.”

32      U članku 13. Direktive o PNR‑u, naslovljenom „Zaštita osobnih podataka”, u stavcima 1. do 5. navodi se:

„1.      Svaka država članica osigurava da u pogledu obrade svih osobnih podataka na temelju ove Direktive svaki putnik ima jednako pravo na zaštitu svojih osobnih podataka, pravâ pristupa, ispravljanja, brisanja i ograničavanja te pravâ na naknadu i na pravno sredstvo kako je utvrđeno pravom Unije i nacionalnim pravom te u skladu s provedbom članaka 17., 18., 19. i 20. Okvirne odluke [2008/977]. Stoga se primjenjuju ti članci.

2.      Svaka država članica osigurava da se odredbe donesene u skladu s nacionalnim pravom za provedbu članaka 21. i 22. Okvirne odluke Vijeća [2008/977] o povjerljivosti obrade i sigurnosti podataka također primjenjuju na svaku obradu osobnih podataka na temelju ove Direktive.

3.      Ovom Direktivom ne dovodi se u pitanje primjenjivost Direktive [95/46] na obradu osobnih podataka od strane zračnih prijevoznika, posebno njihove obveze da poduzmu odgovarajuće tehničke i organizacijske mjere za zaštitu sigurnosti i povjerljivosti osobnih podataka.

4.      Države članice zabranjuju obradu podataka iz PNR‑a kojima se otkrivaju rasa ili etničko podrijetlo osobe, njezini politički stavovi, vjera ili filozofska uvjerenja, članstvo u sindikatu, zdravstveno stanje ili seksualni život ili spolna orijentacija. Ako PIU zaprimi podatke iz PNR‑a kojima se otkrivaju takve informacije, odmah ih briše.

5.      Države članice osiguravaju da PIU vodi dokumentaciju o svim sustavima i postupcima obrade u svojoj nadležnosti. Ta dokumentacija mora sadržavati najmanje sljedeće:

(a)      ime i kontaktne podatke organizacije i osoblja u PIU‑u kojem je povjerena obrada podataka iz PNR‑a te različite razine ovlaštenja za pristup;

(b)      zahtjeve nadležnih tijela i PIU‑ova drugih država članica;

(c)      sve zahtjeve i prijenose podataka iz PNR‑a u treću zemlju.

PIU na zahtjev stavlja na raspolaganje svu dokumentaciju nacionalnom nadzornom tijelu.”

33      U skladu s člankom 15. te direktive, naslovljenim „Nacionalna nadzorna tijela”:

„1.      Svaka država članica osigurava da je nacionalno nadzorno tijelo iz članka 25. Okvirne odluke [2008/977] odgovorno unutar svog državnog područja za savjetovanje o primjeni odredaba koje je donijela država članica na temelju ove Direktive i njezino praćenje. Primjenjuje se članak 25. Okvirne odluke [2008/977].

2.      Ta nacionalna nadzorna tijela svoje aktivnosti obavljaju na temelju stavka 1. s ciljem zaštite temeljnih prava u vezi s obradom osobnih podataka.

3.      Svako nacionalno nadzorno tijelo:

(a)      postupa po pritužbama koje podnese bilo koji ispitanik, istražuje predmet i obavješćuje ispitanike o tijeku i ishodu njihovih pritužbi u razumnom roku;

(b)      provjerava zakonitost obrade podataka, provodi istrage, preglede i revizije u skladu s nacionalnim pravom bilo na vlastitu inicijativu bilo na temelju pritužbe iz točke (a).

4.      Svako nacionalno nadzorno tijelo na zahtjev savjetuje svakog ispitanika o ostvarivanju prava utvrđenih odredbama donesenima na temelju ove Direktive.”

34      Člankom 19. navedene direktive, naslovljenim „Preispitivanje”, predviđa se:

„1.      Na temelju informacija država članica, uključujući statističke informacije iz članka 20. stavka 2., Komisija do 25. svibnja 2020. provodi preispitivanje svih elemenata ove Direktive te podnosi i predstavlja izvješće Europskom parlamentu i Vijeću [Europske unije].

2.      Pri provedbi tog preispitivanja, Komisija posebno vodi računa o:

(a)      pridržavanju primjenjivih standarda zaštite osobnih podataka;

(b)      potrebi i proporcionalnosti prikupljanja i obrade podataka iz PNR‑a za svaku svrhu utvrđenu u ovoj Direktivi;

(c)      duljini razdoblja čuvanja podataka;

(d)      učinkovitosti razmjene podataka između država članica, te

(e)      kvaliteti procjena, između ostalog u odnosu na statističke informacije prikupljene na temelju članka 20.

3.      Izvješće iz stavka 1. također uključuje preispitivanje potrebe, proporcionalnosti i učinkovitosti obveznog prikupljanja i prijenosa podataka iz PNR‑a o svim ili odabranim letovima unutar EU‑a obuhvaćenim područjem primjene ove Direktive. Komisija uzima u obzir stečeno iskustvo država članica, osobito onih država članica koje ovu Direktivu primjenjuju na letove unutar EU‑a u skladu s člankom 2. Izvješće također uzima u obzir potrebu uključivanja gospodarskih subjekata koji nisu prijevoznici, kao što su putničke agencije i organizatori turističkih putovanja koji pružaju usluge povezane s putovanjima, uključujući rezervacije letova, u područje primjene ove Direktive.

4.      Prema potrebi, s obzirom na preispitivanje provedeno u skladu s ovim člankom, Komisija podnosi zakonodavni prijedlog Europskom parlamentu i Vijeću s ciljem izmjene ove Direktive.”

35      U članku 21. te direktive, naslovljenom „Odnos s ostalim instrumentima”, u stavku 2. navodi se:

„Ovom Direktivom ne dovodi se u pitanje primjenjivost Direktive [95/46] na obradu osobnih podataka od strane zračnih prijevoznika.”

36      Prilogom I. Direktivi o PNR‑u, naslovljenim „Podaci iz evidencije podataka o putnicima kako ih prikupljaju zračni prijevoznici”, određuje se:

„1.      Kod evidencije PNR‑a

2.      Datum rezervacije/izdavanja karte

3.      Predviđen(i) datum(i) putovanja

4.      Ime(na)

5.      Adresa i kontaktni podaci (telefonski broj, adresa e‑pošte)

6.      Svi podaci o načinu plaćanja, uključujući adresu za slanje računa

7.      Cjeloviti plan puta za konkretni PNR

8.      Podaci o programima vjernosti

9.      Putnička agencija/putnički agent

10.      Status putnika, uključujući informacije o potvrdi, prijavi na let, neprijavljivanju na let ili prijavi u posljednjem trenutku bez rezervacije

11.      Razdijeljene/podijeljene informacije iz PNR‑a

12.      Opće primjedbe (uključujući sve dostupne informacije o maloljetnim putnicima bez pratnje mlađima od 18 godina, kao što su ime i spol maloljetnika, dob, jezik/jezici koje govori, ime i kontaktni podaci pratitelja na polasku i kako je povezan s maloljetnikom, ime i kontaktni podaci pratitelja na dolasku i kako je povezan s maloljetnikom, agent na polasku i dolasku)

13.      Informacije s putne karte, uključujući broj karte, datum izdavanja karte, jednosmjerne karte, polja elektronskih karata koja se odnose na cijenu (Automated Ticket Fare Quote)

14.      Broj sjedala i ostale informacije o sjedalu

15.      Informacije o zajedničkom letu

16.      Sve informacije koje se odnose na prtljagu

17.      Broj i imena drugih putnika iz PNR‑a

18.      Sve informacije o putnicima koje će prevoziti (API) (uključujući vrstu, broj, zemlju izdavanja i datum isteka roka važenja bilo kojeg osobnog dokumenta, državljanstvo, prezime, ime, spol, datum rođenja, zračnog prijevoznika, broj leta, datum polaska, datum dolaska, zračnu luku polaska, zračnu luku dolaska, vrijeme polaska i vrijeme dolaska)

19.      Sve kronološke izmjene podataka iz PNR‑a navedene u točkama od 1. do 18.”

37      Prilog II. toj direktivi, naslovljen „Popis kaznenih djela iz članka 3. točke 9.”, glasi kako slijedi:

„1.      pripadanje zločinačkoj organizaciji,

2.      trgovanje ljudima,

3.      spolno iskorištavanje djece i dječja pornografija,

4.      nedopušteno trgovanje opojnim drogama i psihotropnim tvarima,

5.      nedopuštena trgovina oružjem, streljivom i eksplozivima,

6.      korupcija,

7.      prijevara, uključujući i prijevaru koja ugrožava financijske interese Unije,

8.      pranje prihoda stečenog kaznenim djelom i krivotvorenje novca, uključujući euro,

9.      računalni kriminal/kiberkriminalitet,

10.      kaznena djela protiv okoliša, uključujući i nedopuštenu trgovinu ugroženim životinjskim vrstama te ugroženim biljnim vrstama i sortama,

11.      omogućavanje neovlaštenog ulaska i boravka,

12.      ubojstvo, teška tjelesna ozljeda,

13.      nezakonita trgovina ljudskim organima i tkivima,

14.      otmica, protupravno oduzimanje slobode i držanje talaca,

15.      organizirana i oružana pljačka,

16.      nedopuštena trgovina kulturnim dobrima, uključujući starine i umjetnička djela,

17.      krivotvorenje i piratstvo proizvoda,

18.      krivotvorenje administrativnih isprava i trgovina njima,

19.      nezakonita trgovina hormonskim tvarima i drugim poticateljima rasta,

20.      nedopuštena trgovina nuklearnim ili radioaktivnim materijalima,

21.      silovanje,

22.      kaznena djela iz nadležnosti Međunarodnog kaznenog suda,

23.      protupravno oduzimanje zrakoplova ili brodova,

24.      sabotaža,

25.      trgovina ukradenim vozilima,

26.      industrijska špijunaža.”

7.      Okvirna odluka 2002/475

38      Člankom 1. Okvirne odluke 2002/475 definirao se pojam „teroristička kaznena djela” navođenjem niza namjernih djelovanja navedenih u točkama (a) do (i) tog članka, počinjenih s ciljem „ozbiljnog zastrašivanja stanovništva”, „nezakonitog prisiljavanja Vlade ili međunarodne organizacije na činjenje ili nečinjenje neke radnje” ili „ozbiljne destabilizacije ili uništavanja temeljnih političkih, ustavnih, gospodarskih ili društvenih struktura neke zemlje ili međunarodne organizacije”. U člancima 2. i 3. te okvirne odluke definiraju se pojmovi „kaznena djela koja se odnose na terorističku skupinu” odnosno „kaznena djela vezana za terorističke aktivnosti”. Člankom 4. navedene okvirne odluke uređuju se kažnjiva djela poticanja, pomaganja ili sudioništva prilikom počinjenja tih kaznenih djela, kao i pokušaj njihova počinjenja.

39      Okvirna odluka 2002/475 stavljena je izvan snage Direktivom (EU) 2017/541 Europskog parlamenta i Vijeća od 15. ožujka 2017. o suzbijanju terorizma i zamjeni Okvirne odluke Vijeća 2002/475/PUP i o izmjeni Odluke Vijeća 2005/671/PUP (SL 2017., L 88, str. 6. i ispravci SL 2018., L 119, str. 41. i SL 2021., L 382, str. 59.), čiji članci 3. do 14. sadržavaju slične definicije.

B.      Belgijsko pravo

1.      Ustav

40      Člankom 22. Ustava određuje se:

„Svatko ima pravo na poštovanje svojeg privatnog i obiteljskog života, osim u slučajevima i uvjetima utvrđenima zakonom.

Zakon, uredba ili pravilo navedeno u članku 134. jamče zaštitu tog prava.”

2.      Zakon od 25. prosinca 2016.

41      Članak 2. Zakona od 25. prosinca 2016. o obradi podataka o putnicima (Moniteur belge od 25. siječnja 2017., str. 12905., u daljnjem tekstu: Zakon o 25. prosinca 2016.), glasi kako slijedi:

„Ovim se zakonom i kraljevskim uredbama koje će se donijeti radi provedbe ovog zakona prenose [Direktiva o API‑ju] i [Direktiva o PNR‑u]. Ovim se zakonom i kraljevskom uredbom koja se odnosi na pomorski sektor djelomično prenosi Direktiva [2010/65].”

42      Člankom 3. tog zakona određuje se:

„Stavak 1.      Ovim se zakonom određuju obveze prijevoznikâ i turoperatora koje se odnose na prijenos podataka o putnicima čije se odredište ili polazište nalazi na državnom području ili koji prolaze državnim područjem.

Stavak 2.      Kralj uredbom o kojoj se raspravljalo u Vijeću ministara po prometnom sektoru i za turoperatore određuje koje je podatke o putnicima potrebno dostaviti i načine njihova dostavljanja, nakon zaprimanja mišljenja Povjerenstva za zaštitu privatnog života.”

43      Člankom 4. navedenog zakona predviđa se:

„U svrhu primjene ovog zakona i njegovih provedbenih uredbi primjenjuju se sljedeće definicije:

[…]

8°      ‚nadležne službe’: službe iz članka 14. stavka 1. točke 2°;

9°      ‚PNR’: evidencija zahtjeva u vezi s putovanjem svakog putnika koja sadržava informacije koje se navode u članku 9., potrebne za obradu i kontrolu rezervacija od strane uključenih prijevoznika i turoperatora koji obavljaju rezervacije za svako putovanje rezervirano od strane neke osobe ili u njezino ime, neovisno o tome čini li sastavni dio sustava rezervacija, sustava kontrole odlazaka, koji služi prijavi putnika na letove, ili jednakovrijednog sustava s istim funkcijama;

10°      ‚putnik’: svaka osoba, uključujući transferne ili tranzitne putnike, izuzev članova posade, koja se prevozi ili će se prevesti uz pristanak prijevoznika, vidljivog iz upisa te osobe na popis putnika;

[…]”

44      U članku 8. Zakona od 25. prosinca 2016. navodi se:

„Stavak 1.      Podaci o putnicima obrađuju se u svrhe:

1°      istrage i progona, uključujući izvršenje kazni ili mjera ograničavanja slobode, koje se odnose na kaznena djela iz članka 90.ter stavka 2. […] podstavaka 7°, […] 8°, […] 11°, […] 14°, […] 17°, 18°, 19° i članka 90.ter stavka 3. Codea d’instruction criminelle [(Zakonik o kaznenom postupku)];

2°      istrage i progona, uključujući izvršenje kazni ili mjera ograničavanja slobode, koje se odnose na kaznena djela iz članka 196. u pogledu kaznenih djela krivotvorenja vjerodostojnih i javnih isprava, članaka 198., 199., 199.bis, 207., 213., 375. i 505. Codea pénal [(Kazneni zakonik)];

[…]

4°      praćenja aktivnosti iz članka 7. stavka 1.° i članka 7. stavka 3.° podstavka 3°/1, članka 11. stavka 1. podstavaka 1.° do 3.° i 5.° loia du 30 novembre 1998 organique des services de renseignement et de sécurité [(Organski zakon od 30. studenoga 1998. o obavještajnim i sigurnosnim službama)];

5°      istrage i progona zbog kaznenih djela iz članka 220. stavka 2. loia générale sur les douanes et accises du 18 juillet 1977 [(Opći zakon o carinama i trošarinama od 18. srpnja 1977.)] i članka 45. stavka 3. loia du 22 décembre 2009 relative au régime général d’accise [(Zakon o općim aranžmanima za trošarine)] […].

Stavak 2.      Pod uvjetima predviđenima u poglavlju 11., podaci o putnicima također se obrađuju radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja.”

45      U skladu s člankom 14. stavkom 1. tog zakona:

„PIU čine:

[…]

2°      upućeni članovi iz sljedećih nadležnih službi:

(a)      policijske službe iz loia du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux [(Zakon od 7. prosinca 1998. o uređenju integrirane policijske službe strukturirane na dvije razine)];

(b)      Sûreté de l’État (Služba za nacionalnu sigurnost, Belgija) iz Organskog zakona od 30. studenoga 1998. o obavještajnim i sigurnosnim službama;

(c)      Service général de Renseignement et de Sécurité (Opća obavještajna i sigurnosna služba, Belgija) iz Organskog zakona od 30. studenoga 1998. o obavještajnim i sigurnosnim službama;

[…]”

46      Članak 24. navedenog zakona, koji se nalazi u odjeljku 1., naslovljenom „Obrada podataka o putnicima u kontekstu prethodne procjene putnika”, iz poglavlja 10. istog zakona, koji se odnosi na obradu podataka, glasi kako slijedi:

„Stavak 1.      Podaci o putnicima obrađuju se radi provedbe prethodne procjene putnika prije njihova dolaska na državno područje, polaska s državnog područja ili tranzita preko državnog područja kako bi se odredilo za koje je osobe potrebno dodatno ispitivanje.

Stavak 2.      U okviru svrha koje se navode u članku 8. stavku 1. podstavcima 1°, 4° i 5° ili koje se odnose na prijetnje navedene u članku 8. stavku 1° točkama (a), (b), (c), (d), (f), (g) i članku 11. stavku 2. Organskog zakona od 30. studenoga 1998. o obavještajnim i sigurnosnim službama, prethodna procjena putnika temelji se na podudarnosti koja proizlazi iz povezanosti podataka o putnicima s:

1°      bazama podataka kojima upravljaju nadležne službe ili koje su im izravno dostupne ili kojima mogu pristupiti u okviru svojih zadaća ili s popisima osoba koje sastavljaju nadležne službe u okviru svojih zadaća.

2°      kriterijima za procjene koje je prethodno utvrdio PIU iz članka 25.

Stavak 3.      U okviru svrha koje se navode u članku 8. stavku 1. podstavku 3°, prethodna procjena putnika temelji se na podudarnosti koja proizlazi iz povezanosti podataka o putnicima s bazama podataka iz stavka 2. podstavka 1°.

Stavak 4.      Podudarnost potvrđuje PIU u 24 sata nakon zaprimanja automatske obavijesti o postojanju podudarnosti.

Stavak 5.      Od trenutka te potvrde, nadležna služba koja je utvrdila podudarnost postupa u vezi s time u što kraćem roku.”

47      Poglavlje 11. Zakona od 25. prosinca 2016., naslovljeno „Obrada podataka o putnicima radi poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja”, sadržava njegove članke 28. do 31.

48      U članku 28. tog zakona određuje se:

„Stavak 1.      Ovo se poglavlje primjenjuje na podatke o putnicima koje obrađuju policijske službe nadležne za graničnu kontrolu i Office des étrangers (Ured za strance, Belgija) radi poboljšanja kontrola osoba na vanjskim granicama i sprečavanja nezakonitog useljavanja.

Stavak 2.      Primjenjuje se ne dovodeći u pitanje obveze koje imaju policijske službe nadležne za graničnu kontrolu i Ured za strance da dostave osobne podatke ili informacije na temelju zakonskih ili regulatornih odredbi.”

49      U skladu s člankom 29. navedenog zakona:

„Stavak 1.      U svrhe iz članka 28. stavka 1. podaci o putnicima dostavljaju se policijskim službama nadležnima za graničnu kontrolu i Uredu za strance kako bi im se omogućilo da izvrše svoje zakonske zadaće u okvirima predviđenima ovim člankom.

Stavak 2.      Dostavljaju se samo podaci o putnicima iz članka 9. stavka 1. podstavka 18° koji se odnose na sljedeće kategorije putnika:

1°      putnici koji namjeravaju ući ili su ušli na državno područje Belgije prelaskom njezinih vanjskih granica;

2°      putnici koji namjeravaju napustiti ili su napustili državno područje Belgije prelaskom njezinih vanjskih granica;

3°      putnici koji namjeravaju prijeći preko međunarodnog tranzitnog područja koje se nalazi u Belgiji, putnici koji se nalaze na tom području ili su prešli preko tog područja.

Stavak 3.      Podaci o putnicima iz stavka 2. dostavljaju se policijskim službama nadležnima za kontrolu vanjskih granica Belgije odmah nakon njihove pohrane u bazu podataka o putnicima. Navedene službe čuvaju te podatke u privremenoj datoteci i uništavaju ih u roku od 24 sata nakon njihova dostavljanja.

Stavak 4.      Ako je to potrebno radi izvršenja njegovih zakonskih zadaća, podaci o putnicima iz stavka 2. dostavljaju se Uredu za strance odmah nakon njihove pohrane u bazu podataka o putnicima. Navedeni ured čuva te podatke u privremenoj datoteci i uništava ih u roku od 24 sata nakon njihova dostavljanja.

Ako mu je nakon isteka tog roka pristup podacima o putnicima iz stavka 2. potreban u okviru izvršavanja njegovih zakonskih zadaća, Ured za strance podnosi propisno obrazloženi zahtjev PIU‑u.

[…]”

50      Zakon od 25. prosinca 2016. postao je primjenjiv na zračne prijevoznike, prijevoznike koji pružaju međunarodnu uslugu prijevoza putnika (prijevoznici HST) i na putničke posrednike koji imaju sklopljen ugovor s tim prijevoznicima (distributeri karata HST), kao i na autobusne prijevoznike redom Kraljevskom uredbom od 18. srpnja 2017. o provedbi Zakona od 25. prosinca 2016., u kojoj se preuzimaju obveze za zračne prijevoznike (Moniteur belge od 28. srpnja 2017., str. 75934.), Kraljevskom uredbom od 3. veljače 2019. o provedbi Zakona od 25. prosinca 2016., u kojoj se preuzimaju obveze za prijevoznike HST i distributere karata HST (Moniteur belge od 12. veljače 2019., str. 13018.) i Kraljevskom uredbom od 3. veljače 2019. o provedbi Zakona od 25. prosinca 2016., u kojoj se preuzimaju obveze za autobusne prijevoznike (Moniteur belge od 12. veljače 2019., str. 13023.).

II.    Glavni postupak i prethodna pitanja

51      Tužbom od 24. srpnja 2017. Ligue des droits humains pokrenuo je pred Cour constitutionnelle (Ustavni sud, Belgija) postupak za potpuno ili djelomično poništenje Zakona od 25. prosinca 2016.

52      Sud koji je uputio zahtjev navodi da se tim zakonom u nacionalno pravo prenosi Direktiva o PNR‑u i Direktiva o API‑u te djelomično Direktiva 2010/65. Iz pripremnih akata navedenog zakona proizlazi da se tim zakonom „stvara zakonski okvir kako bi se različitim sektorima prijevoza osoba na međunarodnoj razini (zračni, željeznički, međunarodni cestovni i pomorski sektor) i turoperatorima naložilo da dostave podatke o svojim putnicima u bazu podataka kojom upravlja [Service public fédéral Intérieur (Savezna javna služba za unutarnje poslove, Belgija)]”. Nacionalni zakonodavac naveo je i da se svrhe Zakona od 25. prosinca 2016. dijele u tri kategorije, odnosno, kao prvo, sprečavanje, istraga, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, kao drugo, zadaće obavještajnih i sigurnosnih službi te, kao treće, poboljšanje kontrola na vanjskim granicama i sprečavanje nezakonitog useljavanja.

53      U prilog svojoj tužbi Ligue des droits humains ističe dva tužbena razloga od kojih se prvi temelji na povredi članka 22. Ustava, u vezi s člankom 23. GDPR‑a, člancima 7., 8. i člankom 52. stavkom 1. Povelje, kao i člankom 8. EKLJP‑a te drugi, koji se ističe podredno, na povredi tog članka 22., u vezi s člankom 3. stavkom 2. UEU‑a i članka 45. Povelje.

54      Ligue des droits humains svojim prvim tužbenim razlogom u biti tvrdi da taj zakon podrazumijeva zadiranje u prava na poštovanje privatnog života i zaštitu osobnih podataka, koje nije u skladu s člankom 52. stavkom 1. Povelje i osobito načelom proporcionalnosti. Naime, područje primjene navedenog zakona i definicija prikupljenih podataka, koji mogu otkriti osjetljive informacije, previše su široki. Isto tako, pojam „putnik” u smislu istog zakona omogućuje automatiziranu, sustavnu, neciljanu obradu podataka o svim putnicima. Usto, priroda i načini primjene metode prescreening i baze podataka s kojima se ti podaci uspoređuju nakon što ih se dostavi nisu dovoljno jasno određeni. Osim toga, Zakonom od 25. prosinca 2016. nastoje se postići samo svrhe iz Direktive o PNR‑u. Naposljetku, rok od pet godina koji se tim zakonom predviđa za čuvanje navedenih podataka nije proporcionalan.

55      Svojim drugim tužbenim razlogom, koji se odnosi na članak 3. stavak 1., članak 8. stavak 2. i članke 28. do 31. Zakona od 25. prosinca 2016., Ligue des droits humains tvrdi da te odredbe, time što proširuju sustav predviđen Direktivom o PNR‑u na prijevoze unutar EU‑a, za učinak imaju neizravno ponovno uspostavljanje kontrola na unutarnjim granicama koje su protivne slobodi kretanja osoba. Naime, kad se osoba nalazi na belgijskom državnom području, neovisno je li to prilikom njezina dolaska, odlaska ili radi presjedanja, njezini se podaci automatski prikupljaju.

56      Vijeće ministara osporava tu argumentaciju. Konkretno, smatra da prvi tužbeni razlog nije dopušten jer se odnosi na GDPR, koji nije primjenjiv na Zakon od 25. prosinca 2016. Osim toga, obrada podataka predviđena tim zakonom, u skladu s Direktivom o PNR‑u, predstavlja ključan instrument, među ostalim, u okviru borbe protiv terorizma i teških kaznenih djela, a mjere koje proizlaze iz navedenog zakona potrebne su kako bi se ostvarili proporcionalni ciljevi koji se nastoje postići.

57      Što se tiče prvog tužbenog razloga, sud koji je uputio zahtjev najprije pita o primjenjivosti zaštite predviđene GDPR‑om na obradu podataka uvedenu Zakonom od 25. prosinca 2016., kojim se prije svega nastoji provesti Direktiva o PNR‑u. Taj sud zatim upućuje na sudsku praksu iz mišljenja 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017. (EU:C:2017:592) te pritom ističe da definicija podataka iz PNR‑a, koja se navodi u članku 3. točki 5. te u Prilogu I. toj direktivi, može, s jedne strane, biti nedovoljno jasna i precizna zbog neiscrpnog opisa određenih podataka sadržanih u tim odredbama i, s druge strane, neizravno dovesti do otkrivanja osjetljivih podataka. Usto, definicija pojma „putnik” iz članka 3. točke 4. navedene direktive može imati za posljedicu da su prikupljanje, prijenos, obrada i čuvanje podataka iz PNR‑a opće i neselektivne obveze koje se primjenjuju na svaku osobu koja se prevozi ili će se prevesti i koja je upisana na popis putnika, neovisno o tome postoje li ozbiljni razlozi za vjerovati da je ta osoba počinila ili će počiniti kazneno djelo ili da je osuđena za kazneno djelo.

58      Navedeni sud napomenuo je i da se u pogledu podataka iz PNR‑a, u skladu s odredbama Direktive o PNR‑u, sustavno provodi prethodna procjena koja uključuje unakrsnu provjeru s bazama podataka ili prethodno utvrđenim kriterijima kako bi se utvrdile podudarnosti. Međutim, Savjetodavni odbor Konvencije br. 108 Vijeća Europe u svojem mišljenju od 19. kolovoza 2016. o posljedicama obrade podataka o putnicima u području zaštite podataka (T‑PD(2016)18rev) naveo je da se obrada osobnih podataka odnosi na sve putnike, a ne samo na ciljane osobe za koje se sumnja da su uključene u kazneno djelo ili da predstavljaju neposrednu prijetnju nacionalnoj sigurnosti ili javnom poretku te da se podatke iz PNR‑a, osim što se mogu usporediti (data matching) s bazama podataka, može i obraditi rudarenjem (data mining) primjenom čimbenika za odabir ili algoritama za predviđanje radi utvrđivanja bilo koje osobe koja može biti uključena u kriminalne aktivnosti ili ih vršiti, uzimajući u obzir da takva procjena putnika na temelju podudarnosti podataka može dovesti do pitanja predvidljivosti, osobito ako se provodi na temelju algoritama za predviđanje koji se koriste dinamičkim kriterijima koji se neprestano mogu razvijati ovisno o autodidaktičkim kapacitetima. U tom kontekstu, sud koji je uputio zahtjev smatra da, iako prethodno utvrđeni kriteriji koji služe za određivanje rizičnih profila moraju biti specifični, pouzdani i nediskriminirajući, u skladu s mišljenjem 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017. (EU:C:2017:592), čini se da je tehnički nemoguće dodatno odrediti te kriterije.

59      Što se tiče roka za čuvanje od pet godina i pristupa podacima predviđenima u članku 12. Direktive o PNR‑u, taj sud ističe da je Commission de la protection de la vie privée (Povjerenstvo za zaštitu privatnog života, Belgija) u svojem samoinicijativnom mišljenju br. 01/2010 od 13. siječnja 2010. o prijedlogu zakona koji se odnosi na Sporazum između Europske unije i Sjedinjenih Američkih Država smatrao da, kad je rok za čuvanje dugačak i kad se podaci masovno pohranjuju, povećava se rizik od profiliranja dotičnih osoba, kao i rizik od zlouporabe tih podataka za svrhe koje nisu bile prvotno predviđene. Usto, iz mišljenja od 19. kolovoza 2016. Savjetodavnog odbora Konvencije br. 108 Vijeća Europe proizlazi da prikriveni podaci i dalje omogućuju identifikaciju osoba i na temelju toga oni ostaju osobni podaci, te da njihovo čuvanje treba vremenski ograničiti kako bi se spriječio opći trajni nadzor.

60      U tim okolnostima, s obzirom na sudsku praksu koja osobito proizlazi iz mišljenja 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017. (EU:C:2017:592), sud koji je uputio zahtjev pita može li se smatrati da sustav prikupljanja, prijenosa, obrade i čuvanja podataka iz PNR‑a koji je uspostavljen Direktivom o PNR‑u ne prelazi granice onog što je strogo nužno. Taj sud smatra da valja i odrediti protivi li se toj direktivi nacionalno zakonodavstvo kojim se dopušta obrada podataka iz PNR‑a u svrhu različitu od onih koje se predviđaju navedenom direktivom i može li nacionalno tijelo, kao što je PIU koji je osnovan Zakonom od 25. prosinca 2016., odobriti otkrivanje potpunih podataka nakon njihove depersonalizacije, na temelju članka 12. iste direktive.

61      Što se tiče drugog tužbenog razloga, sud koji je uputio zahtjev navodi da članak 3. stavak 1. tog zakona određuje obveze prijevoznikâ i turoperatora koje se odnose na prijenos podataka o putnicima „čije se odredište ili polazište nalazi na državnom području ili koji prolaze državnim područjem”. Taj sud u pogledu područja primjene navedenog zakona dodaje da je nacionalni zakonodavac odlučio „uključ[iti] letov[e] unutar EU‑a prilikom prikupljanja podataka” kako bi dobio „potpunij[u] slik[u] o kretanjima putnika koji predstavljaju moguću prijetnju za sigurnost unutar Zajednice i nacionalnu sigurnost”, što se predviđa člankom 2. Direktive o PNR‑u, u vezi s uvodnom izjavom 10. te direktive, za letove unutar Unije. Navedeni sud navodi i da je Povjerenstvo za zaštitu privatnog života u svojem mišljenju br. 55/2015 od 16. prosinca 2015. o prednacrtu zakona na kojem se temelji Zakon od 25. prosinca 2016. pitalo o eventualnom sukobu između belgijskog PNR sustava i načela slobodnog kretanja osoba, s obzirom na to da se u taj sustav uključuju prijevozi koji se odvijaju unutar Unije.

62      U tim je okolnostima Cour constitutionnelle (Ustavni sud, Belgija) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1.      Treba li članak 23. [GDPR‑a], u vezi s člankom 2. stavkom 2. točkom (d) te uredbe, tumačiti na način da se primjenjuje na nacionalno zakonodavstvo poput Zakona [od 25. prosinca 2016.] kojim se prenose Direktiva [o PNR‑u] kao i Direktiva [o API‑ju] te Direktiva [2010/65]?

2.      Je li Prilog I. Direktivi [o PNR‑u] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], s obzirom na to da su podaci koji su u njemu navedeni vrlo široki, osobito podaci iz točke 18. Priloga I. [toj direktivi] koji su širi od podataka iz članka 3. stavka 2. Direktive [o API‑ju], i s obzirom na to da bi oni, kad se promatraju zajedno, mogli otkriti osjetljive podatke i tako povrijediti granice onoga što je ‚strogo nužno’?

3.      Jesu li točke 12. i 18. Priloga I. Direktivi [o PNR‑u] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], s obzirom na to da su podaci koji se u njima navode, a uzimajući u obzir pojmove ‚uključujući [osobito]’ i ‚uključujući’, navedeni kao primjeri a ne taksativno, te se tako ne poštuje zahtjev preciznosti i jasnoće onih pravila primjenom kojih dolazi do zadiranja u pravo na poštovanje privatnog života i u pravo na zaštitu osobnih podataka?

4.      Jesu li članak 3. točka 4. Direktive [o PNR‑u] i Prilog I. navedenoj direktivi u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], s obzirom na to da se sustav općeg prikupljanja, prijenosa i obrade podataka o putnicima, koji je uveden tim odredbama, odnosi na svaku osobu koja se koristi predmetnim prijevoznim sredstvom, neovisno o bilo kojem objektivnom elementu iz kojeg bi se moglo zaključiti da ta osoba može predstavljati opasnost za javnu sigurnost?

5.      Treba li članak 6. Direktive [o PNR‑u], u vezi s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], tumačiti na način da mu se protivi nacionalno zakonodavstvo poput pobijanog zakona koji, kao svrhu obrade podataka ‚PNR’, priznaje praćenje aktivnosti obavještajnih i sigurnosnih službi uključujući tako tu svrhu u sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma i teških kaznenih djela?

6.      Je li članak 6. Direktive [o PNR‑u] u skladu s člancima 7., 8. i člankom 52. stavkom 1. [Povelje] s obzirom na to da se prethodna procjena koju provodi, na temelju povezanosti s bazama podataka i unaprijed utvrđenim kriterijima, sustavno i općenito primjenjuje na podatke o putnicima, neovisno o bilo kojem objektivnom elementu iz kojeg bi se moglo zaključiti da ti putnici mogu predstavljati opasnost za javnu sigurnost?

7.      Može li se izraz ‚drugo nacionalno tijelo koje je […] nadležno’ iz članka 12. stavka 3. Direktive [o PNR‑u] tumačiti na način da se odnosi na ‚PIU’ koji je osnovan Zakonom od 25. prosinca 2016. i koji stoga, nakon isteka roka od šest mjeseci, može u okviru ad hoc pretraživanja odobriti pristup podacima ‚PNR’?

8.      Treba li članak 12. Direktive [o PNR‑u], u vezi s člancima 7., 8. i člankom 52. stavkom 1. [Povelje], tumačiti na način da mu se protivi nacionalno zakonodavstvo poput pobijanog zakona koji za čuvanje podataka propisuje opći rok od pet godina, neovisno o tome predstavljaju li dotični putnici, u okviru prethodne procjene, opasnost za javnu sigurnost?

9.      (a)      Je li Direktiva [o API‑ju] u skladu s člankom 3. stavkom 2. [UEU‑a] i člankom 45. [Povelje] s obzirom na to da se obveze koje su njome propisane primjenjuju na letove unutar Europske unije?

(b)      Treba li Direktivu [o API‑ju], u vezi s člankom 3. stavkom 2. [UEU‑a] i člankom 45. [Povelje], tumačiti na način da joj se protivi nacionalno zakonodavstvo poput pobijanog zakona koji, radi sprečavanja ilegalne migracije i poboljšanja graničnih kontrola, dopušta sustav prikupljanja i obrade podataka o putnicima koji ‚dolaze u državni teritorij, polaze iz njega i njime prolaze’ što pak neizravno može podrazumijevati ponovnu uspostavu kontrola na unutarnjim granicama?

10.      Ako na temelju odgovora na navedena prethodna pitanja Cour constitutionnelle (Ustavni sud) dođe do zaključka da pobijani zakon, kojim se među ostalim prenosi Direktiva [o PNR‑u], povređuje jednu ili više obveza koje proizlaze iz odredaba spomenutih u tim pitanjima, može li on privremeno održati na snazi učinke [Zakona od 25. prosinca 2016.] kako bi spriječio pravnu nesigurnost i omogućio da se prethodno prikupljeni i pohranjeni podaci mogu ponovno upotrijebiti u zakonom predviđene svrhe?”

III. O prethodnim pitanjima

A.      Prvo pitanje

63      Sud koji je uputio zahtjev prvim pitanjem u biti pita treba li članak 2. stavak 2. točku (d) i članak 23. GDPR‑a tumačiti na način da se ta uredba primjenjuje na obradu osobnih podataka predviđenu nacionalnim zakonodavstvom kojim se u nacionalno pravo istodobno nastoje prenijeti odredbe Direktive o PNR‑u i Direktive o API‑ju te Direktive 2010/65, konkretno na prijenos, čuvanje i obradu podataka iz PNR‑a.

64      Kao što proizlazi iz članka 2. stavka 1. GDPR‑a, ta se uredba primjenjuje na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane. Pojam „obrada” široko se definira u članku 4. stavku 2. navedene uredbe tako da uključuje, među ostalim, prikupljane, bilježenje, pohranu, obavljanje uvida, uporabu, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili brisanje takvih podataka ili skupova podataka.

65      Belgijska vlada ipak tvrdi da prijenos podataka iz PNR‑a PIU‑u koji izvršavaju gospodarski subjekti u svrhu sprečavanja i otkrivanja kaznenih djela, kao što se to predviđa člankom 1. stavkom 1. točkom (a), člankom 1. stavkom 2. i člankom 8. Direktive o PNR‑u, koji predstavlja „obradu” osobnih podataka u smislu članka 4. točke 2. GDPR‑a, kao i njihovo prethodno prikupljanje, nije obuhvaćen područjem primjene te uredbe na temelju članka 2. stavka 2. točke (d) navedene uredbe jer se sudska praksa proizašla iz presude od 30. svibnja 2006., Parlament/Vijeće i Komisija, (C‑317/04 i C‑318/04, EU:C:2006:346, t. 57. do 59.), koja se odnosi na članak 3. stavak 2. prvu alineju Direktive 95/46, može primijeniti na tu odredbu navedene uredbe.

66      U tom je pogledu točno da je, kao što je to utvrdio Sud, članak 3. stavak 2. prva alineja Direktive 95/46, koja je s učinkom od 25. svibnja 2018. stavljena izvan snage i zamijenjena GDPR‑om, iz njezina područja primjene općenito isključivao „postupke obrade koji se odnose na javnu sigurnost [i] nacionalnu sigurnost” te se njime nisu razlikovale osobe koje su obavljale dotičnu obradu podataka. Prema tome, obrada koju provode privatni subjekti i koja proizlaze iz obveza koje su im naložila tijela javne vlasti po potrebi može biti obuhvaćena iznimkom predviđenom tom odredbom, s obzirom na činjenicu da se formulacija te odredbe odnosi na sve postupke obrade čiji je cilj javna sigurnost, obrana ili nacionalna sigurnost, neovisno o osobi koja obavlja te aktivnosti (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 101.).

67      Međutim, u članku 2. stavku 2. točke (d) GDPR‑a pravi se takva razlika jer, kao što je to istaknuo nezavisni odvjetnik u točkama 41. i 46. svojeg mišljenja, tekstom te odredbe jasno se ističe da se zahtijeva ispunjavanje dvaju uvjeta kako bi obrada podataka bila obuhvaćena iznimkom koju predviđa. Dok se prvi od tih dvaju uvjeta odnosi na svrhe obrade, odnosno sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenopravnih sankcija uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, drugi uvjet odnosi se na osobu koja obavlja tu obradu, odnosno „nadležno tijelo” u smislu navedene odredbe.

68      Kao što je to utvrdio Sud, iz članak 23. stavka 1. točaka (d) i (h) GDPR‑a proizlazi da je obrada osobnih podataka koju provode pojedinci u svrhe iz članka 2. stavka 2. točke (d) te uredbe obuhvaćena njezinim područjem primjene (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 102.).

69      Iz toga slijedi da se sudska praksa proizašla iz presude od 30. svibnja 2006., Parlament/Vijeće i Komisija (C‑317/04 i C‑318/04, EU:C:2006:346), na koju se poziva belgijska vlada, ne može primijeniti na iznimku od područja primjene GDPR‑a koja se navodi u članku 2. stavku 2. točki (d) te uredbe.

70      Usto, tu iznimku treba tumačiti usko, kao i druge iznimke od područja primjene GDPR‑a predviđene u članku 2. stavku 2. te uredbe.

71      Kao što to proizlazi iz uvodne izjave 19. navedene uredbe, navedena je iznimka opravdana činjenicom da je obrada osobnih podataka koju nadležna tijela provode, među ostalim, u svrhu sprečavanja i otkrivanja kaznenih djela, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, uređena posebnim aktom Unije, odnosno Direktivom 2016/680, koja je donesena istog dana kad i GDPR (presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 69.).

72      Osim toga, kao što se to navodi u uvodnim izjavama 9. do 11. Direktive 2016/680, njome se utvrđuju posebna pravila o zaštiti pojedinaca s obzirom na tu obradu, pri čemu se poštuje posebna priroda tih aktivnosti koje su obuhvaćene područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje, dok se u GDPR‑u definiraju opća pravila o zaštiti tih osoba koja se mogu primijeniti na navedenu obradu ako nije primjenjiv poseban akt koji predstavlja Direktiva 2016/680. Konkretno, u skladu s uvodnom izjavom 11. te direktive, GDPR se primjenjuje na obradu osobnih podataka koju provodi „nadležno tijelo” u smislu članka 3. stavka 7. navedene direktive, ali u druge svrhe osim onih predviđenih tom direktivom (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 70.).

73      Što se tiče prvog uvjeta iz točke 67. ove presude, i konkretnije svrha koje se nastoje ostvariti obradom osobnih podataka predviđenom Direktivom o PNR‑u, valja podsjetiti na to da se u skladu s člankom 1. stavkom 2. te direktive podaci iz PNR‑a mogu obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela. Te su svrhe obuhvaćene onima iz članka 2. stavka 2. točke (d) GDPR‑a i članka 1. stavka 1. Direktive 2016/680, tako da se na tu obradu može primijeniti iznimka iz članka 2. stavka 2. točke (d) te uredbe te stoga ona može biti obuhvaćena područjem primjene te direktive.

74      Suprotno tomu, to nije slučaj u pogledu obrada predviđenih Direktivom o API‑ju i Direktivom 2010/65 čije se svrhe razlikuju od onih predviđenih člankom 2. stavkom 2. točkom (d) GDPR‑a i člankom 1. stavkom 1. Direktive 2016/680.

75      Naime, što se tiče Direktive o API‑ju, njome se nastoje poboljšati kontrole na granici i spriječiti ilegalna imigracija, kao što to proizlazi iz njezinih uvodnih izjava 1., 7. i 9. te njezina članka 1., tako da prijevoznici unaprijed prenesu podatke o putnicima nadležnim nacionalnim tijelima. Uostalom, u nekoliko uvodnih izjava i odredbi te direktive ističe se da je obrada podataka predviđena za njezinu provedbu obuhvaćena područjem primjene GDPR‑a. Tako se u uvodnoj izjavi 12. navedene direktive navodi da se „Direktiva [95/46] primjenjuje […] na obradu osobnih podataka koju obavljaju tijela država članica”. Usto, u članku 6. stavku 1. petom podstavku Direktive o API‑ju navodi se da države članice također mogu koristiti API podatke u svrhu izvršavanja zakona „pridržavajući se odredaba o zaštiti podataka iz Direktive [95/46]”, uzimajući u obzir da se taj izraz upotrebljava i u trećem podstavku te odredbe. Isto se tako, osobito u uvodnoj izjavi 9. Direktive o API‑ju, upotrebljava izraz „ne dovodeći u pitanje odredbe Direktive [95/46]”. Člankom 6. stavkom 2. Direktive o API‑ju naposljetku se predviđa da prijevoznici moraju informirati putnike „u skladu s odredbama utvrđenima Direktivom [95/46]”.

76      Što se tiče Direktive 2010/65, iz njezine uvodne izjave 2. i članka 1. stavka 1. proizlazi da je svrha te direktive pojednostaviti i uskladiti administrativne postupke koji se primjenjuju u pomorskom prijevozu standardiziranjem elektroničkog prijenosa informacija i racionaliziranjem službenog postupka prijave radi pojednostavnjivanja pomorskog prometa i smanjenja administrativnih opterećenja za brodare. Međutim, članak 8. stavak 2. navedene direktive potvrđuje da je obrada podataka predviđena za njezinu provedbu obuhvaćena područjem primjene GDPR‑a, uzimajući u obzir da se tom odredbom u pogledu osobnih podataka zapravo nalaže državama članicama da osiguraju usklađenost s Direktivom 95/46.

77      Iz toga slijedi da je obrada podataka predviđena nacionalnim zakonodavstvom kojim se u nacionalno pravo prenose odredbe Direktive o API‑ju i Direktive 2010/65 obuhvaćena područjem primjene GDPR‑a. Suprotno tomu, obrada podataka predviđena nacionalnim zakonodavstvom kojim se u nacionalno pravo prenosi Direktiva o PNR‑u može se, u skladu s iznimkom iz članka 2. stavka 2. točke (d) te uredbe, izuzeti iz njezine primjene, podložno poštovanju drugog uvjeta navedenog u točki 67. ove presude, odnosno tomu da je osoba koja obavlja obradu nadležno tijelo u smislu potonje odredbe.

78      Što se tiče drugog uvjeta, Sud je presudio da, s obzirom na to da se u članku 3. stavku 7. Direktive 2016/680 definira pojam „nadležno tijelo”, takvu definiciju po analogiji treba primijeniti na članak 2. stavak 2. točku (d) GDPR‑a (vidjeti u tom smislu presudu od 22. lipnja 2021.,Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 69.).

79      Međutim, na temelju članaka 4. i 7. Direktive o PNR‑u, svaka država članica treba odrediti tijelo nadležno za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela da djeluje kao PIU te donijeti popis nadležnih tijela koja su ovlaštena od PIU‑a tražiti ili primiti podatke iz PNR‑a ili rezultate obrade tih podataka, uzimajući u obzir da su potonja tijela također nadležna tijela za to područje, kao što se to navodi u članku 7. stavku 2. navedene direktive.

80      Iz tih elemenata proizlazi da obrada podataka iz PNR‑a koju provode PIU i navedena nadležna tijela u takve svrhe ispunjava dva uvjeta navedena u točki 67. ove presude, tako da je ta obrada usto obuhvaćena odredbama same Direktive o PNR‑u, odredbama Direktive 2016/680, a ne GDPR‑om, što uostalom potvrđuje uvodna izjava 27. Direktive o PNR‑u.

81      Suprotno tomu, budući da gospodarski subjekti kao što su zračni prijevoznici, čak i ako imaju zakonsku obvezu prijenosa podataka iz PNR‑a, nisu zaduženi za izvršavanje javnih ovlasti niti imaju ovlasti javnog tijela na temelju te direktive, ne može se smatrati da su ti subjekti nadležna tijela u smislu članka 3. stavka 7. Direktive 2016/680 i članka 2. stavka 2. točke (d) GDPR‑a, tako da su prikupljanje i prijenos tih podataka PIU‑u koje izvršavaju zračni prijevoznici obuhvaćeni tom uredbom. Do istog se zaključka dolazi u situaciji, kao što je ona predviđena Zakonom od 25. prosinca 2016., u kojem prikupljanje i prijenos navedenih podataka izvršavaju drugi prijevoznici ili turoperatori.

82      Naposljetku, sud koji je uputio zahtjev pita o eventualnom utjecaju donošenja nacionalnog zakonodavstva kojim se istodobno nastoje prenijeti odredbe Direktive o PNR‑u, Direktive o API‑ju i Direktive 2010/65, kao što je Zakon od 25. prosinca 2016. U tom pogledu valja podsjetiti na to da je, kao što to proizlazi iz točaka 72. i 75. do 77. ove presude, obrada podataka predviđena na temelju tih dviju direktiva obuhvaćena područjem primjene GDPR‑a koji sadržava opća pravila o zaštiti pojedinaca u vezi s obradom osobnih podataka.

83      Prema tome, ako je obrada podataka koja se provodi na temelju tog zakonodavstva obuhvaćena Direktivom o API‑ju i/ili Direktivom 2010/65, GDPR se primjenjuje na tu obradu. Isto vrijedi za obradu podataka koja se provodi na istom temelju te je s obzirom na svoju svrhu, uz Direktivu o PNR‑u, obuhvaćena Direktivom o API‑ju i/ili Direktivom 2010/65. Naposljetku, ako je obrada podataka koja se provodi na temelju istog zakonodavstva s obzirom na svoju svrhu obuhvaćena samo Direktivom o PNR‑u, GDPR se primjenjuje ako je riječ o prikupljanju i prijenosu podataka iz PNR‑a PIU‑u koje izvršavaju zračni prijevoznici. Suprotno tomu, ako takvu obradu provode PIU ili nadležna tijela u svrhe iz članka 1. stavka 2. Direktive o PNR‑u, ta je obrada, osim nacionalnim pravom, obuhvaćena Direktivom 2016/680.

84      S obzirom na prethodno navedena razmatranja, na prvo pitanje valja odgovoriti da članak 2. stavak 2. točku (d) i članak 23. GDPR‑a treba tumačiti na način da se ta uredba primjenjuje na obradu osobnih podataka predviđenu nacionalnim zakonodavstvom kojim se u nacionalno pravo istodobno nastoje prenijeti odredbe Direktive o API‑ju, Direktive 2010/65 i Direktive o PNR‑u u pogledu, s jedne strane, obrade podataka koju provode privatni subjekti i, s druge strane, obrade podataka koju provode tijela javne vlasti koja je jedino ili također obuhvaćena Direktivom o API‑ju ili Direktivom 2010/65. Suprotno tomu, navedena uredba ne primjenjuje se na obradu podataka predviđenu takvim zakonodavstvom koja je obuhvaćena samo Direktivom o PNR‑u i koju provode PIU ili nadležna tijela u svrhe iz članka 1. stavka 2. te direktive.

B.      Drugo, treće, četvrto i šesto pitanje

85      U svojem drugom, trećem, četvrtom i šestom pitanju, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita Sud o valjanosti Direktive o PNR‑u s obzirom na članke 7. i 8. te članak 52. stavak 1. Povelje. Ta se pitanja osobito odnose na:

–        Prilog I. toj direktivi i podatke koji se navode u tom prilogu, osobito one iz njegovih točaka 12. i 18., s obzirom na zahtjeve jasnoće i preciznosti (drugo i treće pitanje);

–        članak 3. točku 4. navedene direktive i njezin Prilog I., s obzirom na to da se sustav općeg prikupljanja, prijenosa i obrade podataka iz PNR‑a, koji je uveden tim odredbama, može primijeniti na svaku osobu koja putuje na letu na koji se primjenjuju odredbe te direktive (četvrto pitanje), i

–        članak 6. Direktive o PNR‑u, u dijelu u kojem se njime predviđa prethodna procjena, na temelju usporedbe podataka iz PNR‑a s bazama podataka i/ili njihove obrade u skladu s prethodno određenim kriterijima, koja se sustavno i općenito primjenjuje na te podatke, neovisno o bilo kojem objektivnom elementu iz kojeg bi se moglo zaključiti da ti putnici mogu predstavljati opasnost za javnu sigurnost (šesto pitanje).

86      Najprije valja podsjetiti na to da se, prema općem načelu tumačenja, akt Unije mora tumačiti, u najvećoj mogućoj mjeri, tako da se ne dovede u pitanje njegova valjanost i u skladu s cjelokupnim primarnim pravom i osobito odredbama Povelje. Dakle, kada tekst sekundarnog prava Unije može imati više od jednog tumačenja, prednost valja dati tumačenju koje odredbu čini sukladnom s primarnim pravom, a ne tumačenju koje bi je učinilo neusklađenom s njime (presuda od 2. veljače 2021., Consob, C‑481/19, EU:C:2021:84, t. 50. i navedena sudska praksa).

87      Usto, prema ustaljenoj sudskoj praksi, kada odredbe direktive ostavljaju državama članicama marginu prosudbe za određivanje mjera za prenošenje koje su prilagođene različitim situacijama koje je moguće zamisliti, tada je prilikom provedbe tih mjera na njima ne samo da tumače svoje nacionalno pravo na način koji je u skladu s direktivom o kojoj je riječ nego i da skrbe da se ne temelje na njezinu tumačenju koje bi bilo u sukobu s temeljnim pravima zaštićenima pravnim poretkom Unije ili drugim općim načelima priznatim u tom pravnom poretku (vidjeti u tom smislu presude od 15. veljače 2016., N., C‑601/15 PPU, EU:C:2016:84, t. 60. i navedenu sudsku praksu i od 16. srpnja 2020., État belge (Spajanje obitelji – maloljetno dijete), C‑133/19, C‑136/19 i C‑137/19, EU:C:2020:577, t. 33. i navedenu sudsku praksu).

88      Što se tiče Direktive o PNR‑u, valja istaknuti da se osobito u njezinim uvodnim izjavama 15., 20., 22., 25., 36. i 37. stavlja naglasak na važnost koju zakonodavac Unije, kada upućuje na veću razinu zaštite podataka, pridaje punom poštovanju temeljnih prava propisanih člancima 7., 8. i 21. Povelje, kao i načela proporcionalnosti, tako da bi, kao što se to navodi u uvodnoj izjavi 36., tu direktivu „trebalo na odgovarajući način provesti”.

89      Konkretno, u uvodnoj izjavi 22. Direktive o PNR‑u ističe se da bi se „[u]zimajući u potpunosti u obzir načela istaknuta u nedavnoj relevantnoj sudskoj praksi [Suda], primjenom ove Direktive trebalo […] osigurati potpuno poštovanje temeljnih prava, prava na privatnost te načela proporcionalnosti” te bi se „u potpunosti trebalo voditi računa o tome što je potrebno i proporcionalno za ostvarenje općih interesa koje Unija prepoznaje te o potrebi za zaštitom tuđih prava i sloboda u borbi protiv kaznenih djela terorizma i teških kaznenih djela”. U toj se uvodnoj izjavi dodaje da bi primjena „trebala […] biti opravdana te bi trebalo poduzeti sve potrebne zaštitne mjere kako bi se osigurala zakonitost svake pohrane, analize, prijenosa ili uporabe podataka iz PNR‑a”.

90      Osim toga, člankom 19. stavkom 2. Direktive o PNR‑u Komisiju se obvezuje da u okviru preispitivanja te direktive posebno vodi računa o „pridržavanju primjenjivih standarda zaštite osobnih podataka”, „potrebi i proporcionalnosti prikupljanja i obrade podataka iz PNR‑a za svaku svrhu utvrđenu u ovoj Direktivi” te o „duljini razdoblja čuvanja podataka”.

91      Stoga valja provjeriti može li se Direktiva o PNR‑u, u skladu s onim što se osobito zahtijeva njezinim uvodnim izjavama i odredbama navedenim u točkama 88. do 90. ove presude, tumačiti na način kojim se osigurava puno poštovanje temeljnih prava zajamčenih člancima 7. i 8. Povelje te načela proporcionalnosti propisanog njezinim člankom 52. stavkom 1.

1.      Zadiranja u temeljna prava zajamčena u člancima 7. i 8. Povelje, koja proizlaze iz Direktive o PNR‑u

92      Člankom 7. Povelje svakom se jamči pravo na poštovanje privatnog i obiteljskog života, doma i komuniciranja, a člankom 8. stavkom 1. Povelje svakoj se osobi izričito dodjeljuje pravo na zaštitu osobnih podataka koji se na nju odnose.

93      Kao što to proizlazi iz članka 3. točke 5. Direktive o PNR‑u i popisa u njezinu Prilogu I., podaci iz PNR‑a navedeni u toj direktivi pored imena zrakoplovnog putnika odnosno zrakoplovnih putnika uključuju, među ostalim, informacije potrebne za rezervaciju, kao što su datumi planiranog putovanja, plan putovanja, informacije o kartama, skupine osoba registrirane pod istim brojem rezervacije, kontaktne informacije o putniku odnosno putnicima, informacije o načinu plaćanja i izdavanju računa, informacije o prtljazi te opće primjedbe vezane uz putnike.

94      Budući da podaci iz PNR‑a sadržavaju informacije o fizičkim osobama čiji je identitet utvrđen, to jest dotičnim zrakoplovnim putnicima, različitim postupcima kojima mogu biti podvrgnute te informacije zadire se u temeljno pravo na poštovanje privatnog života zajamčeno člankom 7. Povelje (vidjeti u tom smislu Mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 121. i 122. te navedenu sudsku praksu).

95      Usto, na takvo se postupanje s podacima iz PNR‑a uređeno Direktivom o PNR‑u primjenjuje i članak 8. Povelje jer ono predstavlja obradu osobnih podataka u smislu tog članka i dakle nužno mora ispunjavati uvjete zaštite podataka koji proizlaze iz tog članka (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 123. i navedenu sudsku praksu).

96      Doista, iz ustaljene sudske prakse proizlazi da dostavljanje osobnih podataka trećoj osobi, primjerice javnom tijelu, predstavlja zadiranje u temeljna prava propisana člancima 7. i 8. Povelje, neovisno o kasnijem korištenju dostavljenim informacijama. Isto vrijedi i za čuvanje osobnih podataka te za pristup tim podacima kako bi se njima koristila javna tijela. U tom je pogledu nevažno imaju li dotične informacije o privatnom životu osjetljiv karakter, odnosno jesu li zainteresirane osobe zbog tog zadiranja pretrpjele eventualne neugodnosti (mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 124. i 126. i navedena sudska praksa).

97      Stoga, kako prijenos podataka iz PNR‑a koji provode zračni prijevoznici prema PIU‑u dotične države članice, predviđen u članku 1 stavku 1. točki (a) Direktive o PNR‑u, u vezi s njezinim člankom 8., tako i okvir uvjeta koji se odnose na čuvanje tih podataka, njihovo korištenje i eventualno daljnje prenošenje nadležnim tijelima te države članice, PIU‑u i nadležnim tijelima drugih država članica, Europolu ili pak tijelima trećih zemalja, što posebice omogućuju članci 6., 7., 9., 10., 11. i 12. te direktive, predstavljaju zadiranja u prava zajamčena člancima 7. i 8. Povelje.

98      Što se tiče ozbiljnosti tih zadiranja, valja istaknuti, kao prvo, da se Direktivom o PNR‑u na temelju njezina članka 1. stavka 1. točke (a), u vezi s njezinim člankom 8., predviđa sustavan i stalan prijenos u PIU‑ove podataka iz PNR‑a o svim putnicima koji putuju na letu između EU‑a i trećih zemalja, u smislu članka 3. stavka 2. te direktive. Kao što je to nezavisni odvjetnik istaknuo u točki 73. svojeg mišljenja, takav prijenos podrazumijeva da PIU‑ovi imaju opći pristup svim dostavljenim podacima iz PNR‑a koji se odnose na sve osobe koje se koriste uslugama zračnog prijevoza, neovisno o kasnijem korištenju tih podataka.

99      Kao drugo, člankom 2. Direktive o PNR‑u predviđa se, u njegovu stavku 1., da države članice mogu odlučiti primijeniti tu direktivu na letove unutar EU‑a, u smislu njezina članka 3. točke 3., te se u njegovu stavku 2. pojašnjava da se u tom slučaju sve odredbe navedene direktive „primjenjuju […] na letove unutar EU‑a kao da se radi o letovima između EU‑a i trećih zemalja te na podatke iz PNR‑a dobivene na temelju letova unutar EU‑a kao da se radi o podacima iz PNR‑a dobivenima na temelju letova između EU‑a i trećih zemalja”.

100    Kao treće, bez obzira na to što se ne čini da bi pojedini podaci iz PNR‑a, popisani u Prilogu I. Direktivi o PNR‑u, kako su ukratko navedeni u točki 93. ove presude, promatrani izolirano, mogli otkrivati važne informacije o privatnom životu dotičnih osoba, ipak ostaje činjenica da ti podaci, promatrani kao cjelina, mogu, među ostalim, otkrivati cjelokupni plan putovanja, putne navike, odnose koji postoje između dviju ili više osoba, kao i informacije o financijskim prilikama zrakoplovnih putnika, njihovim prehrambenim navikama ili zdravstvenom stanju, te bi čak mogli pružati osjetljive informacije o tim putnicima (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017, EU:C:2017:592, t. 128.).

101    Kao četvrto, na temelju članka 6. stavka 2. točaka (a) i (b) Direktive o PNR‑u, podaci koje prenose zračni prijevoznici trebaju proći ne samo prethodnu procjenu prije planiranog dolaska ili planiranog odlaska putnikâ, nego i naknadnu procjenu.

102    Što se tiče prethodne procjene, iz članka 6. stavka 2. točke (a) i članka 6. stavka 3. Direktive o PNR‑u proizlazi da tu procjenu PIU‑ovi država članica provode na sustavan i automatiziran način, odnosno stalno i neovisno o tome postoji li najmanja naznaka da dotične osobe mogu biti uključene u kaznena djela terorizma ili teška kaznena djela. U tu se svrhu tim odredbama predviđa da se podaci iz PNR‑a mogu uspoređivati s „relevantnim bazama podataka” i obrađivati „u skladu s prethodno utvrđenim kriterijima”.

103    U tom kontekstu valja podsjetiti na to da je Sud već smatrao da opseg zadiranja koje uključuju automatske analize podataka iz PNR‑a u pogledu prava priznatih člancima 7. i 8. Povelje ponajprije ovisi o unaprijed definiranim modelima i kriterijima kao i bazama podataka na kojima se temelji ta vrsta obrade podataka (mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 172.).

104    Doista, kao što je to nezavisni odvjetnik istaknuo u točki 78. svojeg mišljenja, obrada predviđena u članku 6. stavku 3. točki (a) Direktive o PNR‑u, odnosno uspoređivanje podataka iz PNR‑a s „relevantnim bazama podataka” može pružiti dodatne informacije o privatnom životu zrakoplovnih putnika i omogućiti donošenje vrlo preciznih zaključaka u tom pogledu.

105    Što se tiče obrade podataka iz PNR‑a s obzirom na „prethodno utvrđene kriterije” predviđene u članku 6. stavku 3. točki (b) Direktive o PNR‑u, točno je da se u članku 6. stavku 4. te direktive zahtijeva da se procjena putnika u skladu s tim kriterijima provede na nediskriminirajući način i da se osobito ne temelji ni na jednom od obilježja navedenih u posljednjoj rečenici tog stavka 4. Usto, utvrđeni kriteriji moraju biti usmjereni, proporcionalni i određeni.

106    Međutim, Sud je već presudio da, budući da se automatske analize podataka iz PNR‑a provode na temelju neprovjerenih osobnih podataka i da se zasnivaju na unaprijed definiranim modelima i kriterijima, one nužno podrazumijevaju određenu stopu pogreške (vidjeti po analogiji mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 169.). Konkretno, kao što je to u biti istaknuo nezavisni odvjetnik u točki 78. svojeg mišljenja, iz radnog dokumenta Komisije (SWD(2020) 128 final) priloženog njezinu izvješću od 24. srpnja 2020. o preispitivanju Direktive o PNR‑u proizlazi da je broj slučajeva pozitivnih rezultata automatizirane obrade predviđene člankom 6. stavkom 3. točkama (a) i (b) te direktive koji su se, nakon neautomatizirane pojedinačne provjere, pokazali pogrešnima prilično velik te se tijekom 2018. i 2019. odnosio na barem pet od šest osoba čiji je identitet utvrđen. Ta obrada stoga dovodi do temeljite analize podataka iz PNR‑a koji se odnose na navedene osobe.

107    Što se tiče naknadne procjene podataka iz PNR‑a predviđene u članku 6. stavku 2. točki (b) Direktive o PNR‑u, iz te odredbe proizlazi da je PIU u razdoblju od šest mjeseci nakon prijenosa podataka iz PNR‑a, navedenog u članku 12. stavku 2. te direktive, na zahtjev nadležnih tijela dužan dostaviti tim tijelima podatke iz PNR‑a i u određenim slučajevima obraditi podatke u svrhu borbe protiv kaznenih djela terorizma ili teških kaznenih djela.

108    Usto, iako se nakon isteka tog razdoblja od šest mjeseci podaci iz PNR‑a depersonaliziraju skrivanjem određenih elemenata tih podataka, PIU može biti obvezan, u skladu s člankom 12. stavkom 3., nakon takvog zahtjeva dostaviti potpune podatke iz PNR‑a u obliku koji nadležnim tijelima omogućuje da utvrde identitet dotičnih osoba ako se opravdano smatra da je to potrebno u svrhu iz članka 6. stavka 2. točke (b) te direktive, takvu dostavu ipak mora odobriti pravosudno tijelo ili „drugo nacionalno tijelo koje je […] nadležno”.

109    Kao peto, budući da se u njezinu članku 12. stavku 1. predviđa, a da se pritom ne navode dodatna pojašnjenja u tom pogledu, da se podaci iz PNR‑a čuvaju u bazi podataka u razdoblju od pet godina od njihova prijenosa PIU‑u države članice na čijem se državnom području nalazi polazište ili odredište leta, Direktiva o PNR‑u, s obzirom na činjenicu da je unatoč njihovu depersonaliziranju skrivanjem određenih elemenata podataka nakon isteka početnog razdoblja od šest mjeseci i dalje moguće, u slučaju iz prethodne točke, dostaviti potpune podatke iz PNR‑a, omogućuje raspolaganje podacima o privatnom životu zrakoplovnih putnika tijekom razdoblja koje je Sud, u svojem mišljenju 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017. (EU:C:2017:592, t. 132.), već opisao kao prilično dugo razdoblje.

110    S obzirom na uobičajenost korištenja zračnim prijevozom, zbog takvog se roka čuvanja podaci iz PNR‑a znatnog dijela stanovništva Unije mogu u više navrata čuvati u okviru sustava uspostavljenog Direktivom o PNR‑u te stoga biti dostupni za analize koje PIU i nadležna tijela provode u okviru prethodnih i naknadnih procjena tijekom duljeg razdoblja, ako ne i neodređenog kada je riječ o osobama koje putuju zrakoplovom više od jednom svakih pet godina.

111    S obzirom na sva prethodna razmatranja, valja smatrati da Direktiva o PNR‑u sadržava nedvojbeno ozbiljna zadiranja u prava zajamčena člancima 7. i 8. Povelje, osobito u dijelu u kojem se njome nastoji uspostaviti sustav stalnog, neciljanog i sustavnog nadzora koji uključuje automatiziranu procjenu osobnih podataka svih osoba koje se koriste uslugama zračnog prijevoza.

2.      Opravdanje zadiranja koja proizlaze iz Direktive o PNR‑u

112    Valja podsjetiti na to da temeljna prava propisana člancima 7. i 8. Povelje nisu apsolutna prava, nego ih treba uzeti u obzir imajući na umu njihovu funkciju u društvu (mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 136. i navedena sudska praksa te presuda od 6. listopada 2020., Privacy International, C‑623/17, EU:C:2020:790, t. 63. i navedena sudska praksa).

113    U skladu s člankom 52. stavkom 1. prvom rečenicom Povelje, svako ograničenje pri ostvarivanju njome priznatih prava i sloboda mora biti predviđeno zakonom i mora poštovati njihovu bit. U skladu s člankom 52. stavkom 1. drugom rečenicom Povelje, podložno načelu proporcionalnosti, ograničenja tih prava i sloboda moguća su samo ako su potrebna i ako zaista odgovaraju ciljevima u općem interesu koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba. U tom se pogledu u članku 8. stavku 2. Povelje pojašnjava da se osobni podaci moraju obrađivati, među ostalim, „u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom”.

114    Valja dodati da zahtjev prema kojem svako ograničavanje ostvarivanja temeljnih prava mora biti predviđeno zakonom znači da se u samom aktu kojim se dopušta zadiranje u ta prava mora definirati doseg ograničavanja ostvarivanja dotičnog prava, pri čemu valja pojasniti, s jedne strane, da taj zahtjev ne isključuje da to ograničenje bude dovoljno široko formulirano da se može prilagoditi promjenama situacija (vidjeti u tom smislu presudu od 26. travnja 2022., Poljska/Parlament i Vijeće, C‑401/19, EU:C:2022:297, t. 64. i 74. i navedenu sudsku praksu) i da, s druge strane, Sud može, po potrebi, tumačenjem pojasniti konkretan doseg ograničavanja s obzirom na sami tekst predmetnog propisa Unije, kao i s obzirom na njegovu opću strukturu i ciljeve koji se njime nastoje postići, kako se tumače s obzirom na temeljna prava zajamčena Poveljom.

115    Što se tiče poštovanja načela proporcionalnosti, zaštita temeljnog prava na poštovanje privatnog života na razini Unije zahtijeva, sukladno ustaljenoj sudskoj praksi Suda, da su odstupanja i ograničenja u zaštiti osobnih podataka u granicama onoga što je strogo nužno. Usto, cilj od općeg interesa ne može se postići a da se u obzir ne uzme činjenica da se on mora pomiriti s temeljnim pravima na koja se mjera odnosi, tako da se cilj od općeg interesa, s jedne strane, pravilno odvagne s predmetnim pravima, s druge strane (mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 140. i presuda od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 52. i navedena sudska praksa).

116    Konkretnije, mogućnost država članica da opravdaju ograničenje prava zajamčenih člancima 7. i 8. Povelje treba ocijeniti tako da se odmjeri ozbiljnost zadiranja takvog ograničenja i provjeri da je važnost cilja od općeg interesa koji se nastoji postići tim ograničenjem povezana s tom ozbiljnošću (vidjeti u tom smislu presude od 2. listopada 2018., Ministerio Fiscal, C‑207/16, EU:C:2018:788, t. 55. i navedenu sudsku praksu te od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 53. i navedenu sudsku praksu).

117    Da bi ispunio uvjet proporcionalnosti, predmetni propis koji navodno sadržava zadiranje mora imati jasna i precizna pravila kojima se uređuje doseg i primjena u njemu predviđene mjere te propisivati minimalne uvjete, na način da osobe čiji se podaci prenose raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu njihovih osobnih podataka od rizika zlouporabe. On mora osobito navoditi u kojim se okolnostima i pod kojim uvjetima mjera kojom se predviđa obrada takvih podataka može donijeti, jamčeći time da će zadiranje biti ograničeno na ono što je strogo nužno. Nužnost raspolaganja takvim jamstvima još je i značajnija kad su osobni podaci podvrgnuti automatskoj obradi. Ti zaključci posebice vrijede kada podaci iz PNR‑a mogu otkriti osjetljive informacije o putnicima (mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 141. i presuda od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 132. i navedena sudska praksa).

118    Stoga propis koji predviđa zadržavanje osobnih podataka treba nastaviti ispunjavati objektivne kriterije, uspostavljajući vezu između podataka koji se trebaju zadržati i cilja koji se nastoji postići (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 191. i navedenu sudsku praksu, kao i presude od 3. listopada 2019., A i dr., C‑70/18, EU:C:2019:823, t. 63. i od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 133.).

a)      Poštovanje načela zakonitosti i biti predmetnih temeljnih prava

119    Ograničavanje ostvarivanja temeljnih prava zajamčenih člancima 7. i 8. Povelje koje proizlazi iz sustava uspostavljenog Direktivom o PNR‑u predviđa se zakonodavnim aktom Unije. Što se tiče pitanja definira li, u skladu sa sudskom praksom navedenom u točki 114. ove presude, sama ta direktiva, kao akt prava Unije kojim se dopušta zadiranje u ta prava, doseg ograničenja ostvarivanja navedenih prava, valja istaknuti da odredbe navedene direktive kao i njezini prilozi I. i II, s jedne strane, sadržavaju popis podataka iz PNR‑a i, s druge strane, uređuju obradu tih podataka, među ostalim, određivanjem svrha i uvjeta te obrade. Uostalom, to se pitanje uvelike miješa s pitanjem poštovanja zahtjeva proporcionalnosti navedenog u točki 117. ove presude (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 180.) te će se ispitati u točki 125. i sljedećim točkama ove presude.

120    Što se tiče poštovanja biti temeljnih prava propisanih člancima 7. i 8. Povelje, točno je da podaci iz PNR‑a mogu, ovisno o slučaju, otkriti vrlo precizne informacije o privatnom životu osobe. Međutim, budući da je, s jedne strane, priroda tih informacija ograničena na određene aspekte tog privatnog života, koji se konkretno odnose na putovanja te osobe zrakoplovom i da se, s druge strane, Direktivom o PNR‑u, u njezinu članku 13. stavku 4., izričito zabranjuje obrada osjetljivih podataka u smislu članka 9. stavka 1. GDPR‑a, podaci navedeni u toj direktivi sami po sebi ne mogu pružiti potpunu sliku privatnog života osobe. Usto, u navedenoj su direktivi, u njezinu članku 1. stavku 2., u vezi s njezinim člankom 3. točkama 8. i 9. i Prilogom II., ograničene svrhe obrade tih podataka. Naposljetku, u toj se direktivi, u njezinim člancima 4. do 15., utvrđuju pravila kojima se uređuje prijenos, obrada i čuvanje navedenih podataka, kao i pravila čija je svrha osigurati, među ostalim, sigurnost, povjerljivost i nepovredivost tih podataka te ih zaštititi od nezakonitog pristupa i obrade. U tim okolnostima, zadiranja koja uključuje Direktiva o PNR‑u ne ugrožavaju bit temeljnih prava propisanih člancima 7. i 8. Povelje.

b)      Cilj u općem interesu i prikladnost obrade podataka iz PNR‑a s obzirom na taj cilj

121    Što se tiče pitanja nastoji li se sustavom koji je uspostavljen Direktivom o PNR‑u postići cilj u općem interesu, iz uvodnih izjava 5., 6. i 15. te direktive proizlazi da je njezin cilj zajamčiti unutarnju sigurnost u Uniji i na taj način zaštititi živote i sigurnost osoba te pritom stvoriti pravni okvir koji jamči visoku razinu zaštite temeljnih prava putnika, osobito prava na poštovanje privatnog života i zaštitu osobnih podataka kada nadležna tijela obrađuju podatke iz PNR‑a.

122    U tu se svrhu u članku 1. stavku 2. Direktive o PNR‑u određuje da se podaci iz PNR‑a prikupljeni u skladu s tom direktivom mogu obrađivati kako je predviđeno njezinim člankom 6. stavkom 2. točkama (a), (b) i (c) samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela. Doista, te svrhe nedvojbeno predstavljaju ciljeve u općem interesu Unije kojima se može opravdati zadiranje, čak i ozbiljno, u temeljna prava priznata člancima 7. i 8. Povelje (vidjeti u tom smislu presudu od 8. travnja 2014., Digital Rights Ireland i dr., C‑293/12 i C‑594/12, EU:C:2014:238, t. 42. i mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 148. i 149.).

123    Što se tiče prikladnosti sustava uspostavljenog Direktivom o PNR‑u da ostvari postavljene ciljeve, valja utvrditi da, iako mogućnost „lažnih negativnih” rezultata i prilično velikog broja „lažnih pozitivnih” rezultata koji su, kao što se to ističe u točki 106. ove presude, dobiveni automatiziranom obradom predviđenom tom direktivom tijekom 2018. i 2019., umanjuje prikladnost tog sustava, ipak se zbog toga navedeni sustav ne može smatrati neprikladnim da pridonese ostvarivanju cilja koji se odnosi na borbu protiv kaznenih djela terorizma i teških kaznenih djela. Naime, kao što to proizlazi iz Komisijina radnog dokumenta navedenog u točki 106. ove presude, automatizirane obrade provedene na temelju navedene direktive u stvarnosti su već omogućile identifikaciju zrakoplovnih putnika koji predstavljaju opasnost u okviru borbe protiv kaznenih djela terorizma i teških kaznenih djela.

124    Usto, s obzirom na stopu pogreške specifičnu za automatiziranu obradu podataka iz PNR‑a i osobito na prilično velik broj „lažnih pozitivnih” rezultata, prikladnost sustava uspostavljenog Direktivom o PNR‑u u biti ovisi o dobrom funkcioniranju neautomatizirane naknadne provjere rezultata dobivenih tom obradom, a to je na temelju te direktive zadaća PIU‑a. Odredbe koje se navedenom direktivom predviđaju u tu svrhu stoga pridonose ostvarivanju tih ciljeva.

c)      Nužnost zadiranja koja proizlaze iz Direktive o PNR‑u 

125    U skladu sa sudskom praksom navedenom u točkama 115. do 118. ove presude, valja provjeriti jesu li zadiranja koja proizlaze iz Direktive o PNR‑u ograničena na ono što je krajnje nužno i, osobito, određuju li se tom direktivom jasna i precizna pravila koja uređuju doseg i primjenu mjera predviđenih njome te ispunjava li sustav koji je njome uspostavljen i dalje objektivne kriterije i pritom uspostavlja vezu između podataka iz PNR‑a, koji su usko povezani s rezervacijom i realizacijom zrakoplovnih putovanja, i ciljeva koji se nastoje postići navedenom direktivom, odnosno borbe protiv kaznenih djela terorizma i teških kaznenih djela.

1)      Podaci o zrakoplovnim putnicima navedeni u Direktivi o PNR‑u

126    Valja ocijeniti jesu li podaci o PNR‑u koje zračni prijevoznik mora dostaviti PIU‑u jasno i precizno određeni u rubrikama podataka u Prilogu I. Direktivi o PNR‑u.

127    Najprije valja podsjetiti na to da je, kao što to proizlazi iz uvodne izjave 15. Direktive o PNR‑u, zakonodavac Unije podrazumijevao da popis podataka iz PNR‑a koji se dostavlja PIU‑u bude sastavljen „s ciljem odražavanja legitimnih zahtjeva tijela javnih vlasti za sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma ili teških kaznenih djela, čime se povećava unutarnja sigurnost u Uniji i štite temeljna prava, osobito pravo na privatnost i zaštitu osobnih podataka”. Konkretno, u skladu s tom uvodnom izjavom, ti bi podaci „trebali […] sadržavati samo informacije o rezervaciji i planu puta putnika kako bi nadležna tijela mogla identificirati zračne putnike koji predstavljaju opasnost unutarnjoj sigurnosti.” Usto, Direktivom o PNR‑u, u njezinu članku 13. stavku 4. prvoj rečenici, zabranjuje se „obrad[a] podataka iz PNR‑a kojima se otkrivaju rasa ili etničko podrijetlo osobe, njezini politički stavovi, vjera ili filozofska uvjerenja, članstvo u sindikatu, zdravstveno stanje ili seksualni život ili spolna orijentacija”.

128    Stoga podaci iz PNR‑a prikupljeni i dostavljeni u skladu s Prilogom I. Direktivi o PNR‑u moraju biti izravno povezani s izvedenim letom i dotičnim putnikom i moraju biti ograničeni na način da, s jedne strane, ispunjavaju isključivo legitimne zahtjeve tijela javnih vlasti za sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma ili teških kaznenih djela i, s druge strane, isključuju osjetljive podatke.

129    Doista, rubrike 1. do 4., 7., 9., 11., 15., 17. i 19. Priloga I. Direktivi o PNR‑u ispunjavaju te zahtjeve, kao i one u pogledu jasnoće i preciznosti jer se odnose na jasno odredive i ograničene informacije koje su izravno povezane s izvedenim letom i dotičnim putnikom. Kao što je to nezavisni odvjetnik istaknuo u točki 165. svojeg mišljenja, to je slučaj i s rubrikama 10., 13., 14. i 16., iako je njihov tekst neodređen.

130    Suprotno tomu, valja dati pojašnjenja u svrhu tumačenja rubrika 5., 6., 8., 12. i 18.

131    Što se tiče rubrike 5., u kojoj se navode „[a]dresa i kontaktni podaci (telefonski broj, adresa e‑pošte)”, u toj se rubrici izričito ne pojašnjava odnose li se navedena adresa i kontaktni podaci samo na zrakoplovnog putnika ili i na treće osobe koje su izvršile rezervaciju za zrakoplovnog putnika, na treće osobe čijim je posredstvom moguće kontaktirati zrakoplovnog putnika ili pak na treće osobe koje treba obavijestiti u hitnom slučaju. Međutim, kao što je to u biti istaknuo nezavisni odvjetnik u točki 162. svojeg mišljenja, s obzirom na zahtjeve jasnoće i preciznosti, tu se rubriku ne može tumačiti na način da implicitno dopušta i prikupljanje i prijenos osobnih podataka takvih trećih osoba. Stoga navedenu rubriku treba tumačiti na način da se odnosi samo na adresu i kontaktne podatke, odnosno telefonski broj i adresu e‑pošte, zrakoplovnog putnika na čije je ime izvršena rezervacija.

132    Što se tiče rubrike 6., u kojoj se navode „[s]vi podaci o načinu plaćanja, uključujući adresu za slanje računa”, kako bi se ispunili zahtjevi jasnoće i preciznosti, tu rubriku treba tumačiti na način da se odnosi samo na informacije o načinima plaćanja i izdavanja računa za zrakoplovnu kartu, pri čemu su isključene sve ostale informacije koje nisu izravno povezane s letom (vidjeti po analogiji mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 159.).

133    Što se tiče rubrike 8., u kojoj se navode „[p]odaci o programima vjernosti”, treba je, kao što je to istaknuo nezavisni odvjetnik u točki 164. mišljenja, tumačiti na način da se odnosi isključivo na podatke o statusu dotičnog putnika u kontekstu programa vjernosti određenog zračnog prijevoznika ili određene grupe zračnih prijevoznika, kao i identifikacijski broj tog putnika kao sudionika u programu vjernosti. Rubrika 8. stoga ne dopušta prikupljanje informacija o transakcijama kojima je taj status stečen.

134    Što se tiče rubrike 12., ona se odnosi na „[o]pće primjedbe (uključujući sve dostupne informacije o maloljetnim putnicima bez pratnje mlađima od 18 godina, kao što su ime i spol maloljetnika, dob, jezik/jezici koje govori, ime i kontaktni podaci pratitelja na polasku i kako je povezan s maloljetnikom, ime i kontaktni podaci pratitelja na dolasku i kako je povezan s maloljetnikom, agent na polasku i dolasku)”.

135    U tom pogledu najprije valja istaknuti da, iako izraz „opće primjedbe” ne ispunjava zahtjeve jasnoće i preciznosti jer kao takav ne postavlja nikakvo ograničenje glede vrste i opsega informacija koje se mogu prikupiti i dostaviti PIU‑u na temelju rubrike 12. (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 160.), popis naveden u zagradama ispunjava te zahtjeve.

136    Stoga, kako bi se rubrika 12. mogla tumačiti na način da, u skladu sa sudskom praksom navedenom u točki 86. ove presude, ispunjava zahtjeve jasnoće i preciznosti te da je, u širem smislu, usklađena s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, valja smatrati da je dopušteno samo prikupljanje i dostavljanje informacija koje se izričito navode u toj rubrici, odnosno ime i spol maloljetnog zrakoplovnog putnika, njegova dob, jezik ili jezici koje govori, ime i kontaktni podaci pratitelja na polasku i njegova veza s maloljetnikom, ime i kontaktni podaci pratitelja na dolasku i njegova veza s maloljetnikom, agent na polasku i dolasku.

137    Naposljetku, što se tiče rubrike 18., ona se odnosi na „[s]ve informacije o putnicima koje će prevoziti (API) (uključujući vrstu, broj, zemlju izdavanja i datum isteka roka važenja bilo kojeg osobnog dokumenta, državljanstvo, prezime, ime, spol, datum rođenja, zračnog prijevoznika, broj leta, datum polaska, datum dolaska, zračnu luku polaska, zračnu luku dolaska, vrijeme polaska i vrijeme dolaska)”.

138    Kao što je to u biti istaknuo nezavisni odvjetnik u točkama 156. do 160. svojeg mišljenja, iz te rubrike 18., u vezi s uvodnim izjavama 4. i 9. Direktive o PNR‑u, proizlazi da su informacije na koje se ona odnosi svi API podaci, koji su popisani u navedenoj rubrici, kao i u članku 3. stavku 2. Direktive o API‑ju.

139    Stoga se za rubriku 18., pod uvjetom da se tumači na način da uključuje samo informacije koje se izričito navode u toj rubrici, kao i u navedenom članku 3. stavku 2. Direktive o API‑ju, može smatrati da ispunjava zahtjeve jasnoće i preciznosti (vidjeti po analogiji mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 161.).

140    Prema tome, valja utvrditi da je Prilog I. Direktivi o PNR‑u, ako se tumači u skladu s razmatranjima iznesenima u točkama 130. do 139. ove presude, u cjelini dovoljno jasan i precizan, zbog čega ograničava doseg zadiranja u temeljna prava propisana člancima 7. i 8. Povelje.

2)      Svrhe obrade podataka iz PNR‑a

141    Kao što to proizlazi iz članka 1. stavka 2. Direktive o PNR‑u, svrha je obrade podataka iz PNR‑a prikupljenih u skladu s tom direktivom borba protiv „kaznenih djela terorizma” i „teških kaznenih djela”.

142    Što se tiče pitanja jesu li Direktivom o PNR‑u u predmetnom području predviđena jasna i precizna pravila kojima se ograničava primjena sustava uspostavljenog tom direktivom na ono što je krajnje nužno u tu svrhu, valja istaknuti da se, s jedne strane, pojam „kaznena djela terorizma” definira u članku 3. točki 8. navedene direktive upućivanjem na „kaznena djela u skladu s nacionalnim pravom iz članaka od 1. do 4. Okvirne odluke [2002/475]”.

143    Doista, osim činjenice da se u člancima 1. do 3. te okvirne odluke jasno i precizno definiraju „teroristička kaznena djela”, „kaznena djela koja se odnose na terorističku skupinu” i „kaznena djela vezana za terorističke aktivnosti”, za koje države članice moraju osigurati da se kažnjavaju kao kaznena djela na temelju navedene okvirne odluke, ta se kaznena djela također jasno i precizno definiraju u člancima 3. do 14. Direktive (EU) 2017/541 Europskog parlamenta i Vijeća od 15. ožujka 2017. o suzbijanju terorizma i zamjeni Okvirne odluke Vijeća 2002/475/PUP i o izmjeni Odluke Vijeća 2005/671/PUP (SL 2017., L 88, str. 6.).

144    S druge strane, u članku 3. točki 9. Direktive o PNR‑u pojam „teška kaznena djela” definira se upućivanjem na „kaznena djela navedena u Prilogu II. [toj direktivi] koja su kažnjiva kaznom zatvora ili mjerom oduzimanja slobode od najmanje tri godine u skladu s nacionalnim pravom države članice”.

145    Naime, u tom se prilogu najprije iscrpno navode različite kategorije kaznenih djela koja mogu biti obuhvaćena „teškim kaznenim djelima” iz članka 3. točke 9. Direktive o PNR‑u.

146    Nadalje, s obzirom na posebnosti koje su prilikom donošenja te direktive obilježavale kaznene sustave država članica, jer tako navedena kaznena djela nisu bila usklađena, zakonodavac Unije mogao se ograničiti na navođenje kategorija kaznenih djela a da pritom ne odredi njihove sastavne elemente, tim više što su ti elementi teoretski određeni u nacionalnom pravu, na koje upućuje članak 3. točka 9. Direktive o PNR‑u, jer su države članice dužne poštovati načelo zakonitosti kaznenih djela i kazni kao dio zajedničke vrijednosti vladavine prava, koju dijele s Unijom, iz članka 2. UEU‑a (vidjeti po analogiji presudu od 16. veljače 2022., Mađarska/Parlament i Vijeće, C‑156/21, EU:C:2022:97, t. 136., 160. i 234.), a osim toga, to je načelo propisano člankom 49. stavkom 1. Povelje, koju su države članice dužne poštovati kada provode akt Unije kao što je Direktiva o PNR‑u (vidjeti u tom smislu presudu od 10. studenoga 2011., QB, C‑405/10, EU:C:2011:722, t. 48. i navedenu sudsku praksu). Stoga, s obzirom i na uobičajeni smisao pojmova upotrijebljenih u tom prilogu, valja smatrati da su u njemu dovoljno jasno i precizno utvrđena kaznena djela koja mogu predstavljati teška kaznena djela.

147    Točno je da se u točkama 7., 8., 10. i 16. Priloga II. navode vrlo općenite kategorije kaznenih djela (prijevara, pranje prihoda stečenog kaznenim djelom i krivotvorenje novca, kaznena djela protiv okoliša, nedopuštena trgovina kulturnim dobrima), ali se pritom ipak upućuje na određena kaznena djela u tim općenitim kategorijama. Kako bi se osigurala dovoljna preciznost koja se također zahtijeva člankom 49. Povelje, te točke treba tumačiti na način da se odnose na navedena kaznena djela, kako su određena nacionalnim pravom i/ili pravom Unije u tom području. Ako se tumače na taj način, može se smatrati da te točke ispunjavaju zahtjeve jasnoće i preciznosti.

148    Naposljetku, važno je i podsjetiti na to da, iako u skladu s načelom proporcionalnosti cilj borbe protiv teških kaznenih djela može opravdati ozbiljno zadiranje u temeljna prava zajamčena člancima 7. i 8. Povelje koje uključuje Direktiva o PNR‑u, to ne vrijedi za borbu protiv kriminaliteta općenito, jer potonji cilj može opravdati samo zadiranja koja nisu ozbiljna (vidjeti po analogiji presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 59. i navedenu sudsku praksu). Stoga tom direktivom treba jasnim i preciznim pravilima osigurati da je primjena sustava uspostavljenog navedenom direktivom ograničena na teška kaznena djela i zbog toga isključuje standardna kaznena djela.

149    U tom pogledu, kao što je to istaknuo nezavisni odvjetnik u točki 121. svojeg mišljenja, velik broj kaznenih djela iz Priloga II. Direktivi o PNR‑u, kao što su trgovanje ljudima, spolno iskorištavanje djece i dječja pornografija, nedopuštena trgovina oružjem, streljivom i eksplozivima, pranje novca, računalni kriminal/kiberkriminalitet, nezakonita trgovina ljudskim organima i tkivima, nedopušteno trgovanje opojnim drogama i psihotropnim tvarima, nedopuštena trgovina nuklearnim ili radioaktivnim materijalima, protupravno oduzimanje zrakoplova ili brodova, kaznena djela iz nadležnosti Međunarodnog kaznenog suda, ubojstvo, silovanje, otmica, protupravno oduzimanje slobode i držanje talaca, po svojoj prirodi nedvojbeno imaju veliku težinu.

150    Usto, iako se neka druga kaznena djela također navedena u tom Prilogu II. a priori ne mogu tako lako povezati s teškim kaznenim djelima, ipak iz samog teksta članka 3. točke 9. Direktive o PNR‑u proizlazi da se ta kaznena djela mogu smatrati teškim kaznenim djelima samo ako su kažnjiva kaznom zatvora ili mjerom oduzimanja slobode od najmanje tri godine na temelju nacionalnog prava dotične države članice. Zahtjevi koji proizlaze iz te odredbe i koji se odnose na prirodu i težinu primjenjive kazne u načelu mogu ograničiti primjenu sustava uspostavljenog navedenom direktivom na kaznena djela dovoljnog stupnja težine koji može opravdati zadiranje u temeljna prava propisana člancima 7. i 8. Povelje do kojeg dovodi sustav uspostavljen tom direktivom.

151    Međutim, budući da se članak 3. točka 9. Direktive o PNR‑u ne odnosi na najmanju primjenjivu kaznu, nego na najveću primjenjivu kaznu, nije isključeno da se podaci iz PNR‑a mogu obrađivati u svrhu borbe protiv kaznenih djela koja se, iako ispunjavaju kriterij predviđen tom odredbom u pogledu stupnja težine, s obzirom na posebnosti nacionalnog kaznenog sustava ne ubrajaju u teška kaznena djela, nego standardna kaznena djela.

152    Stoga je na državama članicama da osiguraju da primjena sustava uspostavljenog Direktivom o PNR‑u doista bude ograničena na borbu protiv teških kaznenih djela i da se tim sustavom ne obuhvaćaju standardna kaznena djela.

3)      Povezanost između podataka iz PNR‑a i svrha obrade tih podataka

153    Točno je da, kao što je to u biti istaknuo nezavisni odvjetnik u točki 119. svojeg mišljenja, tekst članka 3. točke 8. i članka 3. točke 9. Direktive o PNR‑u, u vezi s njezinim Prilogom II., ne upućuje izričito na kriterij koji može ograničiti područje primjene te direktive samo na kaznena djela koja po svojoj prirodi mogu biti, makar i posredno, objektivno povezana sa zrakoplovnim putovanjima i stoga s kategorijama podataka koji su preneseni, prikupljeni i obrađeni u skladu s navedenom direktivom.

154    Međutim, kao što je to nezavisni odvjetnik istaknuo u točki 121. svojeg mišljenja, određena kaznena djela iz Priloga II. Direktivi o PNR‑u, kao što je trgovanje ljudima, nedopušteno trgovanje opojnim drogama ili oružjem, omogućavanje neovlaštenog ulaska i boravka ili protupravno oduzimanje zrakoplova, po svojoj prirodi mogu biti izravno povezana sa zračnim prijevozom putnika. Isto vrijedi i za određena kaznena djela terorizma, kao što je uzrokovanje velikih uništenja prijevoznog sustava ili infrastrukturnih objekata ili zapljena zrakoplova, koja su navedena u članku 1. stavku 1. točkama (d) i (e) Okvirne odluke 2002/475, na koji se upućuje u članku 3. točki 8. Direktive o PNR‑u, ili pak putovanja u svrhu terorizma i organiziranje ili olakšavanje takvih putovanja, koja su navedena u člancima 9. i 10. Direktive 2017/541.

155    U tom kontekstu, također valja podsjetiti na to da je Komisija svoj Prijedlog direktive Europskog parlamenta i Vijeća o uporabi podataka iz evidencije podataka o putnicima u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela od 2. veljače 2011. (COM(2011) 32 final), na temelju kojeg je donesena Direktiva o PNR‑u, obrazložila naglašavanjem činjenice da su „[n]apadi izvršeni u Sjedinjenim Američkim Državama 2001., neuspjeli napad u kolovozu 2006. u kojem se planiralo srušiti više zrakoplova na letu između Ujedinjene Kraljevine i Sjedinjenih Američkih Država te pokušaj napada na letu Amsterdam – Detroit u prosincu 2009. dokazali da su teroristi sposobni organizirati napade kojima su meta međunarodni letovi u svim zemljama” i da je „većina terorističkih aktivnosti prekogranična i uključuje međunarodna putovanja, među ostalim, prema kampovima za obuku izvan Unije”. Usto, kako bi opravdala potrebu za analizom podataka iz PNR‑a u svrhu borbe protiv teških kaznenih djela, Komisija je, radi primjera, uputila na skupinu krijumčara koji su, u svrhu trgovine ljudima, prilikom registracije za let predali krivotvorene isprave, kao i na slučaj mreže trgovanja ljudima i trgovanja drogom koja se radi uvoza droge u veći broj europskih regija oslanjala na osobe koje su same žrtve trgovanja, pri čemu je zrakoplovne karte tih osoba kupovala ukradenim kreditnim karticama. Doista, svi ti slučajevi odnosili su se na kaznena djela izravno povezana sa zračnim prijevozom putnika jer je bila riječ o kaznenim djelima kojima se ciljao zračni prijevoz putnika te kaznenim djelima koja su počinjena prilikom ili putem zračnog prijevoza.

156    Usto, važno je utvrditi da čak i kaznena djela koja nemaju takvu izravnu vezu sa zračnim prijevozom putnika mogu, ovisno o okolnostima slučaja, biti neizravno povezana sa zračnim prijevozom putnika. To osobito vrijedi kada zračni prijevoz služi za pripremanje takvih kaznenih djela ili za bijeg od kaznenog progona nakon njihova počinjenja. Suprotno tomu, kaznena djela koja nemaju nikakvu, makar i neizravnu, objektivnu vezu sa zračnim prijevozom putnika ne mogu opravdati primjenu sustava uspostavljenog Direktivom o PNR‑u.

157    U tim okolnostima, člankom 3. točkama 8. i 9 te direktive, u vezi s njezinim Prilogom II. i s obzirom na zahtjeve koji proizlaze iz članaka 7. i 8. te članka 52. stavka 1. Povelje, od država članica zahtijeva se da osiguraju da, osobito prilikom neautomatizirane pojedinačne provjere predviđene u članku 6. stavku 5. navedene direktive, primjena sustava koji je njome uspostavljen bude ograničena na kaznena djela terorizma i samo na teška kaznena djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika.

4)      Predmetni zrakoplovni putnici i letovi

158    Sustav uspostavljen Direktivom o PNR‑u obuhvaća podatke iz PNR‑a svih osoba koje odgovaraju definiciji pojma „putnik” u smislu članka 3. točke 4. te direktive i koji putuju na letovima iz njezina područja primjene.

159    U skladu s člankom 8. stavkom 1. navedene direktive, ti se podaci prenose PIU‑u države članice na čijem se državnom području nalazi polazište ili odredište leta, neovisno o bilo kojem objektivnom elementu na temelju kojeg se može smatrati da dotični putnici mogu biti uključeni u kaznena djela terorizma ili teška kaznena djela. Međutim, podaci koji se na taj način prenose, među ostalim, podliježu automatiziranoj obradi u okviru prethodne procjene na temelju članka 6. stavka 2. točke (a) i članka 6. stavka 3. Direktive o PNR‑u, a svrha je te procjene, kao što to proizlazi iz uvodne izjave 7., da se identificiraju osobe koje nisu bile osumnjičene za sudjelovanje u kaznenim djelima terorizma ili teškim kaznenim djelima prije takve procjene i koje bi nadležna tijela trebala dodatno ispitati.

160    Konkretnije, iz članka 1 stavka 1. točke (a) i članka 2. Direktive o PNR‑u proizlazi da se u njoj pravi razlika između putnika koji putuju na letovima između EU‑a i trećih zemalja i putnika koji putuju na letovima unutar EU‑a, koji se izvode između različitih država članica.

161    Što se tiče putnika na letovima između EU‑a i trećih zemalja, valja podsjetiti na to da je Sud, u pogledu putnika koji putuju na letovima između Unije i Kanade, već presudio da automatizirana obrada njihovih podataka iz PNR‑a prije njihova dolaska u Kanadu olakšava i ubrzava sigurnosne kontrole, osobito na granicama. Usto, isključivanje određenih kategorija osoba ili određenih zona podrijetla moglo bi predstavljati prepreku ostvarivanju cilja automatske obrade podataka iz PNR‑a, to jest identifikacije, putem provjere tih podataka, osoba koje mogu predstavljati opasnost za javnu sigurnost među svim zrakoplovnim putnicima te omogućiti izbjegavanje te provjere (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 187.).

162    Ta se razmatranju mogu pak mutatis mutandis primijeniti na situaciju putnika koji putuju na letovima između Unije i svih trećih zemalja, koje su države članice obvezne obuhvatiti sustavom uspostavljenim Direktivom o PNR‑u, u skladu s člankom 1. stavkom 1. točkom (a) te direktive, u vezi s člankom 3. točkama 2. i 4. navedene direktive. Naime, prijenos i prethodna procjena podataka iz PNR‑a zrakoplovnih putnika koji ulaze u Uniju ili izlaze iz Unije ne može se ograničiti na određeni krug zrakoplovnih putnika, s obzirom na samu prirodu prijetnji javnoj sigurnosti, iz kojih mogu proizići kaznena djela terorizma ili teška kaznena djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika između Unije i trećih zemalja. Stoga valja smatrati da su ti podaci i cilj koji se odnosi na borbu protiv takvih kaznenih djela nužno povezani, tako da Direktiva o PNR‑u ne prekoračuje granice onoga što je strogo nužno samo zato što države članice obvezuje na sustavan prijenos i prethodnu procjenu podataka iz PNR‑a o svim tim putnicima.

163    Što se tiče putnika koji putuju na letovima između različitih država članica Unije, člankom 2. stavkom 1. Direktive o PNR‑u, u vezi s njezinom uvodnom izjavom 10., predviđa se samo mogućnost da države članice prošire primjenu sustava uspostavljenog tom direktivom na letove unutar EU‑a.

164    Stoga zakonodavac Unije nije namjeravao države članice obvezati da prošire primjenu sustava uspostavljenog Direktivom o PNR‑u na letove unutar Unije, nego je, kao što to proizlazi iz članka 19. stavka 3. te direktive, odgodio donošenje odluke o takvom proširenju, pri čemu je smatrao da mu treba prethoditi detaljna procjena njegovih pravnih posljedica, osobito na temeljna prava dotičnih osoba.

165    U tom pogledu valja napomenuti da se u članku 19. stavku 3. Direktive o PNR‑u, s obzirom na to da se u njemu navodi da Komisijino izvješće o preispitivanju iz članka 19. stavka 1. Direktive o PNR‑u „uključuje preispitivanje potrebe, proporcionalnosti i učinkovitosti obveznog prikupljanja i prijenosa podataka iz PNR‑a o svim ili odabranim letovima unutar EU‑a obuhvaćenim područjem primjene ove Direktive” i da u tom pogledu Komisija mora uzimati u obzir „stečeno iskustvo država članica, osobito onih država članica koje ovu Direktivu primjenjuju na letove unutar EU‑a u skladu s člankom 2.”, naglašava to da zakonodavac smatra da se primjena sustava uspostavljenog navedenom direktivom ne mora proširiti na sve letove unutar EU‑a.

166    U istom smislu, u članku 2. stavku 3. Direktive o PNR‑u određuje se da države članice mogu odlučiti primijeniti tu direktivu samo na odabrane letove unutar EU‑a kada to smatraju potrebnim kako bi ostvarile ciljeve navedene direktive, pri čemu mogu u svakom trenutku promijeniti svoj odabir tih letova.

167    U svakom slučaju, mogućnost država članica da prošire primjenu sustava uspostavljenog Direktivom o PNR‑u na letove unutar EU‑a, kao što to proizlazi iz njezine uvodne izjave 22., mora se ostvariti uz potpuno poštovanje temeljnih prava zajamčenih člancima 7. i 8. Povelje. U tom pogledu, iako je u skladu s uvodnom izjavom 19. navedene direktive na državama članicama da procijene prijetnje povezane s kaznenim djelima terorizma i teškim kaznenim djelima, ostvarivanje te mogućnosti ipak pretpostavlja da su države članice prilikom te procjene zaključile da postoji prijetnja povezana s takvim kaznenim djelima koja može opravdati primjenu te direktive i na letove unutar EU‑a.

168    U tim okolnostima, ako država članica želi iskoristiti mogućnost predviđenu člankom 2. Direktive o PNR‑u, neovisno o tome želi li je iskoristiti za sve letove unutar EU‑a na temelju stavka 2. tog članka ili samo za neke od tih letova na temelju stavka 3. navedenog članka, ona također mora provjeriti je li proširenje primjene te direktive na sve ili dio letova unutar EU‑a stvarno potrebno za ostvarivanje cilja iz članka 1. stavka 2. navedene direktive i proporcionalno tom cilju.

169    Stoga, s obzirom na uvodne izjave 5. do 7., 10. i 22. Direktive o PNR‑u, takva država članica mora provjeriti je li obrada podataka iz PNR‑a o putnicima koji putuju na letovima unutar EU‑a ili na nekima od tih letova, predviđena tom direktivom, krajnje nužna, s obzirom na ozbiljnost zadiranja u temeljna prava zajamčena člancima 7. i 8. Povelje, kako bi se zajamčila unutarnja sigurnost u Uniji ili barem u navedenoj državi članici te na taj način zaštitili životi i sigurnost osoba.

170    Što se konkretno tiče prijetnji povezanih s kaznenim djelima terorizma, iz sudske prakse Suda proizlazi da su terorističke aktivnosti među onim aktivnostima koje mogu ozbiljno destabilizirati ustavne, političke, gospodarske ili društvene strukture određene zemlje, a osobito izravno ugroziti društvo, stanovništvo ili državu kao takvu i da je primarni interes svake države članice da spriječi i suzbije te aktivnosti kako bi se zaštitile temeljne državne funkcije i temeljni interesi društva, s ciljem očuvanja nacionalne sigurnosti. Takve se opasnosti po svojoj naravi, svojoj težini i posebnosti okolnosti koje ih čine razlikuju od općeg i stalnog rizika od teških kaznenih djela (vidjeti u tom smislu presude od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 135. i 136. i od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 61. i 62.).

171    Stoga, u situaciji u kojoj se na temelju procjene koju je provela država članica utvrdi da postoje dovoljno konkretne okolnosti zbog kojih se može smatrati da je potonja država članica suočena s ozbiljnom terorističkom prijetnjom koja se pokaže stvarnom i trenutačnom ili predvidljivom, činjenica da ta država članica, na temelju članka 2. stavka 1. te direktive, predvidi primjenu Direktive o PNR‑u na sve letove unutar EU‑a s polazištem i odredištem u navedenoj državi članici na određeno razdoblje ne prekoračuje granice onoga što je strogo nužno. Naime, postojanje takve opasnosti može samo po sebi uspostaviti vezu između, s jedne strane, prijenosa i obrade predmetnih podataka i, s druge strane, borbe protiv terorizma (vidjeti po analogiji presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 137.).

172    U pogledu odluke kojom se predviđa ta primjena sud ili neovisno upravno tijelo mora moći provesti djelotvoran nadzor, na način da odluka tog suda odnosno tijela ima obvezujući učinak, kojim se nastoji provjeriti postoji li ta situacija i poštuju li se uvjeti i jamstva koji se moraju predvidjeti. Razdoblje primjene također treba biti vremenski ograničeno na ono što je strogo nužno, ali se mora moći produljiti u slučaju postojanosti te opasnosti (vidjeti po analogiji presude od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 168. i od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 58.).

173    Suprotno tomu, ako dotična država članica nije suočena sa stvarnom i trenutačnom ili predvidljivom terorističkom prijetnjom, činjenica da bez razlike primjenjuje sustav uspostavljen Direktivom o PNR‑u ne samo na letove između EU‑a i trećih zemalja, nego i na sve letove unutar EU‑a ne može se smatrati ograničenom na ono što je strogo nužno.

174    U takvoj situaciji, primjenu sustava uspostavljenog Direktivom o PNR‑u na odabrane letove unutar EU‑a treba ograničiti na prijenos i obradu podataka iz PNR‑a o letovima koji se osobito odnose na određene zračne linije ili obrasce putovanja ili pak određene zračne luke za koje postoje naznake koje mogu opravdati tu primjenu. Dotična država članica dužna je u takvoj situaciji odabrati letove unutar EU‑a u skladu s rezultatima ocjene koju treba provesti na temelju zahtjeva iznesenih u točkama 163. do 169. ove presude i redovito preispitivati tu ocjenu s obzirom na promjenu uvjeta koji opravdavaju njezin odabir kako bi se osiguralo da je primjena sustava uspostavljenog navedenom direktivom na letove unutar EU‑a i dalje ograničena na ono što je strogo nužno.

175    Iz prethodnih razmatranja proizlazi da tako prihvaćeno tumačenje članka 2. i članka 3. točke 4. Direktive o PNR‑u, s obzirom na članke 7. i 8. i članak 52. stavak 1. Povelje, može osigurati da se tim odredbama ne prekorače granice onoga što je strogo nužno.

5)      Prethodna procjena podataka iz PNR‑a automatiziranom obradom

176    U skladu s člankom 6. stavkom 2. točkom (a) Direktive o PNR‑u, cilj je prethodne procjene koja se njime predviđa identificirati osobe za koje je potrebno dodatno ispitivanje od strane nadležnih tijela iz članka 7., s obzirom da to da bi takve osobe mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo.

177    Ta se prethodna procjena provodi u dva koraka. Najprije PIU dotične države članice provodi, u skladu s člankom 6. stavkom 3. Direktive o PNR‑u, automatiziranu obradu podataka iz PNR‑a uspoređivanjem tih podataka s bazama podataka ili u skladu s prethodno određenim kriterijima. Zatim u slučaju u kojem se tom automatiziranom obradom dobije pozitivan rezultat (hit) navedeni odjel na temelju članka 6. stavka 5. te direktive provodi neautomatiziranu pojedinačnu provjeru kako bi se utvrdilo trebaju li nadležna tijela iz članka 7. navedene direktive poduzeti mjere na temelju nacionalnog prava (match).

178    Naime, kao što se to navodi u točki 106. ove presude, automatizirana obrada nužno podrazumijeva prilično veliku stopu pogreške s obzirom na to da se provodi na temelju neprovjerenih osobnih podataka i da se zasniva na unaprijed utvrđenim kriterijima.

179    U tim okolnostima i s obzirom na nužnost, istaknutu u četvrtoj uvodnoj izjavi preambule Povelje, da se ojača zaštita temeljnih prava, osobito u svjetlu znanstvenog i tehnološkog razvoja, treba osigurati da, kao što se to navodi u uvodnoj izjavi 20. i članku 7. stavku 6. Direktive o PNR‑u, nadležna tijela ne smiju donijeti nikakvu odluku koja bi proizvela štetni pravni učinak na osobu ili bi značajno na nju utjecala isključivo na temelju automatizirane obrade podataka iz PNR‑a. Usto, u skladu s člankom 6. stavkom 6. te direktive, sam PIU može prenijeti podatke iz PNR‑a tim tijelima tek nakon neautomatizirane pojedinačne provjere. Naposljetku, povrh tih provjera koje su dužni provesti sam PIU i nadležna tijela, službenik za zaštitu podataka i nacionalno nadzorno tijelo na temelju članka 6. stavka 7. odnosno članka 15. stavka 3. točke (b) navedene direktive, kao i nacionalni sudovi u okviru pravnog sredstva iz članka 13. stavka 1. te direktive, moraju moći provoditi nadzor zakonitosti svih automatiziranih obrada.

180    Nacionalno nadzorno tijelo, službenik za zaštitu podataka i PIU moraju pak, kao što je to istaknuo nezavisni odvjetnik u točki 207. svojeg mišljenja, raspolagati materijalnim sredstvima i osobljem koji su nužni za izvršavanje obveze nadzora koju imaju na temelju Direktive o PNR‑u. Usto, važno je da se u nacionalnom propisu kojim se ta direktiva prenosi u nacionalno pravo i kojim se dopušta njome predviđena automatizirana obrada odrede jasna i precizna pravila kojima se određuju baze podataka i upotrijebljeni kriteriji analize, a da se pritom u svrhu prethodne procjene ne mogu primijeniti druge metode koje nisu izričito predviđene u članku 6. stavku 2. te direktive.

181    Osim toga, iz članka 6. stavka 9. Direktive o PNR‑u proizlazi da posljedice prethodne procjene na temelju njezina članka 6. stavka 2. točke (a) ne dovode u pitanje pravo ulaska osoba koje uživaju pravo na slobodno kretanje na državno područje dotične države članice koje je predviđeno Direktivom 2004/38/EZ te osim toga moraju biti u skladu s Uredbom br. 562/2006. Stoga sustav uspostavljen Direktivom o PNR‑u nadležnim tijelima ne omogućuje da ograniče to pravo više nego što se to predviđa Direktivom 2004/38 i Uredbom br. 562/2006.

i)      Uspoređivanje podataka iz PNR‑a s bazama podataka

182    U skladu s člankom 6. stavkom 3. točkom (a) Direktive o PNR‑u, prilikom provođenja procjene iz članka 6. stavka 2. točke (a) te direktive, PIU „može” uspoređivati podatke iz PNR‑a s „bazama podataka relevantnima” za svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, „što uključuje baze podataka o osobama ili predmetima koji se traže ili za koje postoji upozorenje, u skladu s pravilima Unije te međunarodnim i nacionalnim pravilima koja se primjenjuju na takve baze podataka”.

183    Iako iz samog teksta tog članka 6. stavka 3. točke (a) Direktive o PNR‑u, konkretno iz izraza „što uključuje”, proizlazi da se baze podataka o osobama ili predmetima koji se traže ili za koje postoji upozorenje ubrajaju u „relevantne baze podataka” navedene u toj odredbi, u njoj se, suprotno tomu, ne pojašnjava koje bi se druge baze podataka mogle smatrati „relevantnima” s obzirom na ciljeve koji se nastoje postići tom direktivom. Naime, kao što je to istaknuo nezavisni odvjetnik u točki 217. svojeg mišljenja, u navedenoj se odredbi izričito ne pojašnjava priroda podataka koji se mogu nalaziti u takvim bazama i njihov odnos s tim ciljevima niti se navodi mogu li se podaci iz PNR‑a uspoređivati isključivo s bazama podataka kojima upravljaju javna tijela ili se mogu uspoređivati i s onim bazama podataka kojima upravljaju privatnopravne osobe.

184    U tim okolnostima, članak 6. stavak 3. točka (a) Direktive o PNR‑u mogao bi se, na prvi pogled, tumačiti na način da se podaci iz PNR‑a mogu koristiti kao jednostavni kriteriji pretraživanja u svrhu provođenja analiza na temelju različitih baza podataka, uključujući baze podataka kojima upravljaju i kojima se koriste agencije za sigurnost i obavještajne agencije država članica radi ostvarivanja ciljeva drukčijih od ciljeva te direktive i da te analize mogu imati oblik rudarenja podataka (data mining).  Međutim, mogućnost provođenja takvih analiza i uspoređivanja podataka iz PNR‑a s takvim bazama podataka može kod putnika u zračnom prijevozu stvoriti dojam da se u pogledu njihova privatnog života provodi određeno oblik nadzora. Stoga se, iako se prethodna procjena predviđena u toj odredbi provodi na temelju relativno ograničenog skupa podataka kao što su podaci iz PNR‑a, takvo tumačenje tog članka 6. stavka 3. točke (a) ne može prihvatiti jer bi moglo dovesti do nerazmjerne uporabe tih podataka i pružiti sredstva za određivanje detaljnog profila dotičnih osoba samo zato što namjeravaju putovati zrakoplovom.

185    Prema tome, u skladu sa sudskom praksom navedenom u točkama 86. i 87. ove presude, članak 6. stavak 3. točku (a) Direktive o PNR‑u valja tumačiti na takav način da se jamči puno poštovanje temeljnih prava propisanih člancima 7. i 8. Povelje.

186    U tom pogledu, iz uvodnih izjava 7. i 15. Direktive o PNR‑u proizlazi da automatizirana obrada predviđena člankom 6. stavkom 3. točkom (a) te direktive mora biti ograničena na ono što je strogo nužno za borbu protiv kaznenih djela terorizma i teških kaznenih djela, pri čemu se osigurava visoka razina zaštite tih temeljnih prava.

187    Usto, kao što je to Komisija u biti istaknula u odgovoru na pitanje Suda, tekst te odredbe, prema kojem PIU „može” uspoređivati podatke iz PNR‑a s bazama podataka koje se u njoj navode, omogućuje PIU‑u da odabere način obrade koji je ograničen na ono što je strogo nužno s obzirom na konkretnu situaciju. Međutim, s obzirom na nužno poštovanje zahtjeva jasnoće i preciznosti koje treba ispuniti kako bi se osigurala zaštita temeljnih prava propisanih člancima 7. i 8. Povelje, PIU je dužan ograničiti automatiziranu obradu predviđenu u članku 6. stavku 3. točki (a) Direktive o PNR‑u na baze podataka koje se mogu odrediti na temelju te odredbe. U tom pogledu, dok se upućivanje u potonjoj odredbi na „relevantne baze podataka” ne može tumačiti na način da se dovoljno jasno i precizno određuju baze podataka koje se tako navode, to ne vrijedi za upućivanje na „baze podataka o osobama ili predmetima koji se traže ili za koje postoji upozorenje, u skladu s pravilima Unije te međunarodnim i nacionalnim pravilima koja se primjenjuju na takve baze podataka”.

188    Stoga, kao što je to u biti istaknuo nezavisni odvjetnik u točki 219. svojeg mišljenja, članak 6. stavak 3. točka (a) Direktive o PNR‑u može se, s obzirom na ta temeljna prava, tumačiti na način da su potonje baze podataka jedine baze podataka s kojima PIU može uspoređivati podatke iz PNR‑a.

189    Što se tiče zahtjeva koje moraju ispunjavati te baze podataka, valja istaknuti da se, u skladu s člankom 6. stavkom 4. Direktive o PNR‑u, prethodna procjena u skladu s prethodno utvrđenim kriterijima mora, na temelju članka 6. stavka 3. točke (b) te direktive, provesti na nediskriminirajući način, a ti kriteriji moraju biti usmjereni, proporcionalni i određeni te ih PIU‑ovi moraju odrediti i redovito preispitivati u suradnji s nadležnim tijelima iz članka 7. navedene direktive. Iako se tekst tog članka 6. stavka 4., u kojem se upućuje na članak 6. stavak 3. točku (b) te direktive, odnosi samo na obradu podataka iz PNR‑a u skladu s prethodno određenim kriterijima, taj članak 6. stavak 4., s obzirom na članke 7., 8. i 21. Povelje, treba tumačiti na način da se njime propisani zahtjevi moraju mutatis mutandis primjenjivati na uspoređivanje tih podataka s bazama podataka iz prethodne točke ove presude, tim više jer ti zahtjevi u biti odgovaraju zahtjevima koji se za unakrsnu usporedbu podataka iz PNR‑a s bazama podataka utvrđuju u sudskoj praksi proizašloj iz mišljenja 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017. (EU:C:2017:592, t. 172.).

190    U tom pogledu valja pojasniti da zahtjev koji se odnosi na nediskriminatornost navedenih baza podataka osobito podrazumijeva da se unos u baze podataka o osobama ili predmetima koji se traže ili za koje postoji upozorenje temelji na objektivnim i nediskriminirajućim elementima koji su utvrđeni pravilima Unije te međunarodnim i nacionalnim pravilima koja se primjenjuju na takve baze podataka (vidjeti po analogiji presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 78.).

191    Usto, kako bi ispunjavale zahtjev koji se odnosi na usmjerenost, proporcionalnost i određenost prethodno utvrđenih kriterija, baze podataka iz točke 188. ove presude treba upotrebljavati za borbu protiv kaznenih djela terorizma i teških kaznenih djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika.

192    Osim toga, bazama podataka koje se koriste na temelju članka 6. stavka 3. točke (a) Direktive o PNR‑u, s obzirom na razmatranja iz točaka 183. i 184. ove presude, moraju upravljati nadležna tijela navedena u članku 7. te direktive ili ih, u pogledu baza podataka Unije i međunarodnih baza podataka, ta tijela moraju upotrebljavati u okviru svoje zadaće u borbi protiv kaznenih djela terorizma i teških kaznenih djela. Doista, to je slučaj s bazama podataka o osobama ili predmetima koji se traže ili za koje postoji upozorenje, u skladu s nacionalnim i međunarodnim pravilima te pravilima Unije koja se primjenjuju na takve baze podataka.

ii)    Obrada podataka iz PNR‑a u skladu s prethodno utvrđenim kriterijima

193    Člankom 6. stavkom 3. točkom (b) Direktive o PNR‑u predviđa se da PIU također može obrađivati podatke iz PNR‑a u skladu s prethodno utvrđenim kriterijima. Iz članka 6. stavka 2. točke (a) te direktive proizlazi da je cilj prethodne procjene i stoga obrade podataka iz PNR‑a u skladu s prethodno utvrđenim kriterijima u biti identificirati osobe koje bi mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo.

194    Što se tiče kriterija koje PIU može primijeniti u tu svrhu, najprije valja istaknuti da, u skladu sa samim tekstom članka 6. stavka 3. točke (b) Direktive o PNR‑u, ti kriteriji moraju biti „prethodno utvrđeni”. Kao što je to nezavisni odvjetnik istaknuo u točki 228. svojeg mišljenja, taj se zahtjev protivi upotrebi tehnologija umjetne inteligencije u okviru sustava za samostalno učenje (machine learning), koji bez ljudske intervencije i kontrole mogu izmijeniti postupak procjene i, konkretno, kriterije procjene na kojima se temelji rezultat primjene tog postupka, kao i ponderiranje tih kriterija.

195    Važno je dodati da bi se upotrebom takvih tehnologija mogao oduzeti koristan učinak pojedinačnoj provjeri pozitivnih rezultata, kao i nadzoru zakonitosti koji se zahtijeva odredbama Direktive o PNR‑u. Naime, kao što je to nezavisni odvjetnik u biti istaknuo u točki 228. svojeg mišljenja, s obzirom na netransparentnost funkcioniranja tehnologija umjetne inteligencije, može se pokazati nemogućim razumjeti zašto je određeni program doveo do pozitivnog rezultata. U tim okolnostima, upotrebom takvih tehnologija može se dotičnim osobama oduzeti i pravo na djelotvoran pravni lijek propisano člankom 47. Povelje, koje se Direktivom o PNR‑u nastoji, u skladu s njezinom uvodnom izjavom 28., zajamčiti na visokoj razini, osobito radi osporavanja nediskriminirajuće prirode dobivenih rezultata.

196    Nadalje, što se tiče zahtjeva koji proizlaze iz članka 6. stavka 4. Direktive o PNR‑u, u prvoj rečenici te odredbe navodi se da se prethodna procjena u skladu s prethodno određenim kriterijima mora provesti precizno i na nediskriminirajući način, a u njezinoj četvrtoj rečenici da se ti kriteriji ne smiju ni u kojem slučaju temeljiti na rasnom ili etničkom podrijetlu osobe, njezinim političkim mišljenjima, vjeri ili filozofskim uvjerenjima, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji.

197    Stoga države članice ne mogu kao prethodno utvrđene kriterije primijeniti kriterije koji se temelje na obilježjima iz prethodne točke ove presude i čija primjena može biti takva da dovede do diskriminacije. U tom pogledu, iz teksta članka 6. stavka 4. četvrte rečenice Direktive o PNR‑u, prema kojem se prethodno utvrđeni kriteriji ne smiju „ni u kojem slučaju” temeljiti na tim obilježjima, proizlazi da se ta odredba odnosi na izravnu i neizravnu diskriminaciju. To je tumačenje uostalom potvrđeno člankom 21. stavkom 1. Povelje, s obzirom na koji treba tumačiti navedenu odredbu i kojim se zabranjuje „svaka” diskriminacija koja se temelji na navedenim obilježjima. U tim okolnostima, prethodno utvrđene kriterije treba odrediti na način da, iako su sastavljeni neutralno, njihova primjena ne može dovesti u nepovoljniji položaj posebno osobe koje imaju zaštićene osobine.

198    Što se tiče zahtjeva koji se odnose na to da prethodno utvrđeni kriteriji moraju biti usmjereni, proporcionalni i određeni i koji se predviđaju člankom 6. stavkom 4. drugom rečenicom Direktive o PNR‑u, iz tih zahtjeva proizlazi da kriterije upotrijebljene u svrhu prethodne procjene treba odrediti na način da se konkretno odnose na pojedince za koje može postojati osnovana sumnja u pogledu sudjelovanja u kaznenim djelima terorizma ili teškim kaznenim djelima iz te direktive. To je tumačenje potkrijepljeno samim tekstom članka 6. stavka 2. točke (a) te direktive, u kojem se ističe „to” da bi dotične osobe „mogle” biti uključene u „kazneno djelo” terorizma ili teško „kazneno djelo”. U istom smislu, u uvodnoj izjavi 7. navedene direktive pojašnjava se da bi uspostava i primjena kriterija procjene trebale biti ograničene na kaznena djela terorizma i teška kaznena djela „za koje je uporaba takvih kriterija relevantna”.

199    Radi takvog usmjeravanja na tako obuhvaćene osobe i s obzirom na opasnost od diskriminacije do koje dovode kriteriji koji se temelje na obilježjima navedenima u članku 6. stavku 4. četvrtoj rečenici Direktive o PNR‑u, PIU i nadležna tijela u načelu se ne smiju oslanjati na ta obilježja. Suprotno tomu, kao što je to njemačka vlada istaknula na raspravi, oni mogu, među ostalim, uzeti u obzir posebnosti u stvarnom ponašanju osoba povezano s pripremom i izvođenjem letova, koje mogu, u skladu s utvrđenjima i iskustvom koje su stekla nadležna tijela, upućivati na to da bi osobe koje se tako ponašaju mogle biti uključene u kaznena djela terorizma ili teška kaznena djela.

200    U tom kontekstu, kao što je to Komisija napomenula u odgovoru na pitanje Suda, prethodno utvrđene kriterije treba odrediti tako da se uzmu u obzir elementi koji se nekome „stavljaju na teret” i oni koji mu „idu u korist”, s obzirom na to da taj zahtjev može pridonijeti pouzdanosti tih kriterija i, među ostalim, osigurati da budu proporcionalni, kao što se to zahtijeva člankom 6. stavkom 4. drugom rečenicom Direktive o PNR‑u.

201    Naposljetku, u skladu s člankom 6. stavkom 4. trećom rečenicom te direktive, prethodno utvrđene kriterije treba redovito preispitivati. U okviru tog preispitivanja, te kriterije treba ažurirati ovisno o promjeni uvjeta koji opravdavaju njihovo uzimanje u obzir u svrhu prethodne procjene, čime se osobito omogućuje reakcija na razvoj borbe protiv kaznenih djela terorizma i teških kaznena djela iz točke 157. ove presude (vidjeti po analogiji presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 82.). Konkretno, u okviru navedenog preispitivanja treba uzeti u obzir stečeno iskustvo u primjeni prethodno utvrđenih kriterija kako bi se u najvećoj mogućoj mjeri smanjio broj „lažnih pozitivnih” rezultata i pritom pridonijelo strogoj nužnosti primjene tih kriterija.

iii) Zaštitne mjere u pogledu automatizirane obrade podataka iz PNR‑a

202    Poštovanje zahtjeva s kojima automatizirana obrada podataka iz PNR‑a mora biti u skladu na temelju članka 6. stavka 4. Direktive o PNR‑u ne nalaže se samo u okviru utvrđivanja i preispitivanja baza podataka i prethodno utvrđenih kriterija predviđenih u toj odredbi, nego i, kao što je to nezavisni odvjetnik istaknuo u točki 230. mišljenja, tijekom cijelog postupka obrade tih podataka.

203    Što se konkretnije tiče prethodno utvrđenih kriterija, najprije valja pojasniti da, iako UIP treba, kao što se to navodi u uvodnoj izjavi 7. Direktive o PNR‑u, odrediti kriterije procjene na način kojim se broj nedužnih osoba koje sustav uspostavljen tom direktivom pogrešno identificira svodi na najmanju moguću mjeru, taj odjel ipak mora, u skladu s člankom 6. stavcima 5. i 6. navedene direktive, provesti pojedinačnu neautomatiziranu provjeru svakog pozitivnog rezultata kako bi koliko je to moguće otkrio eventualno postojanje „lažnih pozitivnih” rezultata. Usto, neovisno o činjenici da taj odjel treba utvrditi kriterije procjene na nediskriminirajući način, PIU je dužan provesti takvu provjeru kako bi isključio eventualno postojanje diskriminirajućih rezultata. UIP treba poštovati tu obvezu provjere u pogledu uspoređivanja podataka iz PNR‑a s bazama podataka.

204    Stoga PIU ne smije rezultate te automatizirane obrade prenijeti nadležnim tijelima iz članka 7. Direktive o PNR‑u ako, s obzirom na razmatranja iz točke 198. ove presude, nakon te provjere ne raspolaže elementima na kojima bi se mogla u dovoljnoj mjeri temeljiti osnovana sumnja da su osobe identificirane tom automatiziranom obradom sudjelovale u kaznenim djelima terorizma ili teškim kaznenim djelima ili ako raspolaže elementima koji upućuju na to da navedena obrada dovodi do diskriminirajućih rezultata.

205    Što se tiče provjera koje PIU treba provesti u tu svrhu, iz članka 6. stavaka 5. i 6. Direktive o PNR‑u, u vezi s uvodnim izjavama 20. i 22. te direktive, proizlazi da države članice trebaju predvidjeti jasna i precizna pravila u skladu s kojima će se voditi i usmjeravati analiza koju provode službenici zaduženi za pojedinačnu provjeru kako bi se osiguralo puno poštovanje temeljnih prava propisanih člancima 7., 8. i 21. Povelje i, osobito, kako bi se zajamčila dosljedna upravna praksa u okviru PIU‑a kojom se poštuje načelo nediskriminacije.

206    Konkretno, s obzirom na prilično velik broj „lažnih pozitivnih” rezultata, koji se navodi u točki 106. ove presude, države članice trebaju osigurati da PIU jasno i precizno utvrdi objektivne kriterije provjere na temelju kojih njegovi službenici mogu provjeriti, s jedne strane, odnosi li se stvarno i u kojoj mjeri pozitivni rezultat (hit) na pojedinca koji bi mogao biti uključen u kaznena djela terorizma ili teška kaznena djela iz točke 157. ove presude i trebaju li ga zbog toga nadležna tijela iz članka 7. te direktive detaljnije ispitati te, s druge strane, nediskriminirajuću prirodu automatizirane obrade predviđene navedenom direktivom i osobito prethodno utvrđene kriterije i upotrijebljene baze podataka.

207    U tom kontekstu države članice dužne su osigurati da, u skladu s člankom 13. stavkom 5. Direktive o PNR‑u, u vezi s njezinom uvodnom izjavom 37., PIU vodi dokumentaciju o svim postupcima obrade podataka iz PNR‑a u okviru prethodne procjene, uključujući u okviru pojedinačne neautomatizirane provjere u svrhu provjere njezine zakonitosti i samonadzora.

208    Nadalje, nadležna tijela ne smiju na temelju članka 7. stavka 6. prve rečenice Direktive o PNR‑u donijeti nikakvu odluku koja bi proizvela štetni pravni učinak na osobu ili bi značajno na nju utjecala isključivo na temelju automatizirane obrade podataka iz PNR‑a, što u okviru prethodne procjene znači da trebaju uzeti u obzir i po potrebi dati prednost rezultatu pojedinačne neautomatizirane provjere koju je proveo PIU u odnosu na rezultat automatizirane obrade. U drugoj rečenici tog članka 7. stavka 6. pojašnjava se da takve odluke ne smiju biti diskriminirajuće.

209    U tom okviru nadležna tijela trebaju osigurati zakonitost te automatizirane obrade, osobito njezinu nediskriminirajuću prirodu, kao i pojedinačne provjere.

210    Konkretno, nadležna tijela trebaju osigurati da zainteresirana osoba može razumjeti funkcioniranje prethodno utvrđenih kriterija procjene i programa koji primjenjuju te kriterije, a da joj pritom u okviru upravnog postupka nužno ne omogući da se upozna s tim kriterijima i tim programima, tako da može odlučiti uz potpuno poznavanje činjenica hoće li ostvariti svoje pravo na podnošenje pravnog sredstva koje joj je zajamčeno člankom 13. stavkom 1. Direktive o PNR‑u kako bi po potrebi dovela u pitanje nezakonitost i, među ostalim, diskriminirajuću prirodu tih kriterija (vidjeti po analogiji presudu od 24. studenoga 2020., Minister van Buitenlandse Zaken, C‑225/19 i C‑226/19, EU:C:2020:951, t. 43. i navedenu sudsku praksu). Isto treba vrijediti za kriterije provjere iz točke 206. ove presude.

211    Naposljetku, u okviru pravnog sredstva podnesenog na temelju članka 13. stavka 1. Direktive o PNR‑u, sud zadužen za nadzor zakonitosti odluke koju su donijela nadležna tijela, kao i, osim u slučajevima prijetnji državnoj sigurnosti, sama zainteresirana osoba moraju se moći upoznati sa svim razlozima i dokazima na temelju kojih je ta odluka donesena (vidjeti po analogiji presudu od 4. lipnja 2013., ZZ, C‑300/11, EU:C:2013:363, t. 54. do 59.), uključujući prethodno utvrđene kriterije procjene i funkcioniranje programa koji primjenjuju te kriterije.

212    Osim toga, na temelju članka 6. stavka 7. i članka 15. stavka 3. točke (b) Direktive o PNR‑u, na službeniku za zaštitu podataka i nacionalnom nadzornom tijelu je da osiguraju nadzor zakonitosti automatizirane obrade koju PIU provodi u okviru prethodne procjene, odnosno nadzor koji osobito obuhvaća nediskriminirajuću prirodu te obrade. Iako se prvonavedenom odredbom u tu svrhu pojašnjava da službenik za zaštitu podataka ima pristup svim podacima koje obrađuje PIU, taj se pristup nužno treba odnositi na prethodno utvrđene kriterije i baze podataka koje upotrebljava taj odjel kako bi se osigurala učinkovitost i visoka razina zaštite podataka koje taj službenik treba osigurati u skladu s uvodnom izjavom 37. te direktive. Isto tako, istrage, pregledi i revizije koje nacionalno nadzorno tijelo provodi na temelju drugonavedene odredbe mogu se odnositi i na te prethodno utvrđene kriterije i te baze podataka.

213    Iz svih prethodno navedenih razmatranja proizlazi da se odredbe Direktive o PNR‑u kojima se uređuje prethodna procjena podataka iz PNR‑a na temelju članka 6. stavka 2. točke (a) te direktive mogu tumačiti u skladu s člancima 7., 8. i 21. Povelje, uz poštovanje granica onoga što je strogo nužno.

6)      Naknadna dostava i procjena podataka iz PNR‑a

214    Na temelju članka 6. stavka 2. točke (b) Direktive o PNR‑u, podaci iz PNR‑a mogu se i dostaviti nadležnim tijelima na njihov zahtjev te se u njihovu pogledu može provesti procjena nakon planiranog dolaska u državu članicu ili planiranog odlaska iz nje.

215    Što se tiče uvjeta u kojima treba provesti takvu dostavu i takvu procjenu, iz teksta te odredbe proizlazi da PIU može obraditi podatke iz PNR‑a kako bi odgovorio „za svaki slučaj pojedinačno” na „propisno obrazložen zahtjev podnesen na temelju dovoljno dokaza” od strane nadležnih tijela za dostavu i obradu podataka iz PNR‑a „u određenim slučajevima u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma ili teških kaznenih djela”. Usto, ako je zahtjev podnesen više od šest mjeseci nakon prijenosa podataka iz PNR‑a PIU‑u, što je razdoblje nakon čijeg se isteka svi podaci iz PNR‑a depersonaliziraju skrivanjem određenih elemenata, u skladu s člankom 12. stavkom 2. te direktive, člankom 12. stavkom 3. navedene direktive određuje se da je otkrivanje potpunih podataka iz PNR‑a i stoga njihove verzije koja nije depersonalizirana, dopušteno samo ako su ispunjena dva uvjeta, s jedne strane, da se opravdano smatra da je to potrebno u svrhu iz članka 6. stavka 2. točke (b) navedene direktive i, s druge strane, ako ga odobri pravosudno tijelo ili drugo nacionalno tijelo koje je nadležno prema nacionalnom pravu.

216    U tom pogledu, iz samog teksta članka 6. stavka 2. točke (b) Direktive o PNR‑u najprije proizlazi da PIU ne može sustavno naknadno dostaviti i procijeniti podatke iz PNR‑a o svim zrakoplovnim putnicima i da samo može odgovarati „za svaki slučaj pojedinačno” na zahtjeve za takvu obradu „u određenim slučajevima”. S obzirom na navedeno, budući da se ta odredba odnosi na „određene slučajeve”, tu se obradu ne mora nužno ograničiti na podatke iz PNR‑a o samo jednom zrakoplovnom putniku, nego se može, kao što je to Komisija istaknula u odgovoru na pitanje Suda, odnositi i na više osoba, pod uvjetom da dotične osobe dijele određen broj osobina na temelju kojih se za njih može smatrati da zajedno čine „određeni slučaj” u svrhu tražene dostave i procjene.

217    Nadalje, što se tiče materijalnih uvjeta čije se ispunjavanje traži kako bi se podaci iz PNR‑a o zrakoplovnim putnicima mogli naknadno dostaviti i procijeniti, iako se u članku 6. stavku 2. točki (b) i članku 12. stavku 3. točki (a) Direktive o PNR‑u navode izrazi „dovoljno dokaza” i „opravdano smatra”, a da se pritom izričito ne pojašnjava priroda tih dokaza i smatranja, iz samog teksta prvonavedene odredbe, u kojoj se upućuje na svrhe iz članka 1. stavka 2. navedene direktive, ipak proizlazi da se naknadna dostava podataka iz PNR‑a i procjena mogu provoditi samo u svrhu provjere postojanja sumnji u to da dotične osobe mogu biti uključene u kaznena djela terorizma ili teška kaznena djela koja su, kao što to proizlazi iz točke 157. ove presude, makar i posredno, objektivno povezana sa zračnim prijevozom putnika.

218    Međutim, u okviru sustava uspostavljenog Direktivom o PNR‑u, dostava i obrada podataka iz PNR‑a u skladu s člankom 6. stavkom 2. točkom (b) te direktive odnose se na podatke o osobama u pogledu kojih je već provedena prethodna procjena prije njihova planiranog dolaska u dotičnu državu članicu ili odlaska iz nje. Usto, zahtjev za naknadnu procjenu može se odnositi, među ostalim, na osobe čiji podaci iz PNR‑a nisu preneseni nadležnim tijelima nakon prethodne procjene, ako u okviru te procjene nisu otkriveni elementi koji upućuju na to da bi te osobe mogle biti uključene u kaznena djela terorizma ili teška kaznena djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika. U tim okolnostima, dostava i obrada tih podataka u svrhu njihove naknadne procjene moraju se temeljiti na novim okolnostima koje opravdavaju to korištenje (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade), od 26. srpnja 2017., EU:C:2017:592, t. 200. i navedenu sudsku praksu).

219    Što se tiče prirode okolnosti kojima se može opravdati dostava i obrada podataka iz PNR‑a u svrhu njihove naknadne procjene, prema ustaljenoj sudskoj praksi, s obzirom na to da se opći pristup svim zadržanim podacima, neovisno o tome postoji li ikakva veza, makar i posredna, s ciljem koji se nastoji postići, ne može smatrati ograničenim na ono što je strogo nužno, predmetni propis, neovisno o tome je li riječ o propisu Unije ili nacionalnom pravilu kojim se prenosi potonji propis, mora se temeljiti na objektivnim kriterijima kako bi definirao okolnosti i uvjete u kojima nadležnim tijelima treba biti odobren pristup predmetnim podacima. U tom pogledu takav pristup u načelu može biti odobren, s obzirom na cilj borbe protiv kriminaliteta, samo u odnosu na podatke osoba za koje postoji sumnja da namjeravaju počiniti, da čine ili su počinile teško kazneno djelo ili da su na kakav drugi način sudjelovale u tom djelu. Ipak, u posebnim okolnostima, poput onih u kojima terorističke aktivnosti predstavljaju prijetnju za ključne interese nacionalne sigurnosti, obrane ili javne sigurnosti, pristup podacima drugih osoba može se također odobriti kad postoje objektivni elementi koji omogućavaju zaključak da ti podaci u konkretnom slučaju mogu dati stvaran doprinos borbi protiv takvih aktivnosti (presude od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C‑746/18, EU:C:2021:152, t. 50. i navedena sudska praksa i od 5. travnja 2022, Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 105.).

220    Stoga izraze „dovoljno dokaza” i „opravdano smatra” iz članka 6. stavka 2. točke (b) odnosno članka 12. stavka 3. točke (a) Direktive o PNR‑a, treba tumačiti, u vezi s člancima 7. i 8. Povelje, na način da se odnose na objektivne elemente koji su takve prirode da mogu ukazivati na postojanje osnovane sumnje da je dotična osoba na neki način uključena u teška kaznena djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika, dok je taj zahtjev, kad je riječ o kaznenim djelima terorizma koja imaju takvu povezanost, ispunjen ako postoje objektivni elementi koji omogućavaju zaključak da podaci iz PNR‑a u konkretnom slučaju mogu dati stvaran doprinos borbi protiv takvih kaznenih djela.

221    Naposljetku, što se tiče postupovnih uvjeta koji se primjenjuju na dostavu i obradu podataka iz PNR‑a u svrhu njihove naknadne procjene, člankom 12. stavkom 3. točkom (b) Direktive o PNR‑u zahtijeva se, u slučaju u kojem je zahtjev podnesen više od šest mjeseci nakon njihova prijenosa PIU‑u, odnosno kad su, u skladu sa stavkom 2. tog članka, navedeni podaci depersonalizirani skrivanjem elemenata iz tog stavka 2., da otkrivanje potpunih podataka iz PNR‑a i stoga njihove verzije koja nije depersonalizirana odobrava pravosudno tijelo ili drugo nacionalno tijelo koje je nadležno prema nacionalnom pravu. U tom kontekstu, na tim je tijelima da u cijelosti ispitaju osnovanost zahtjeva i, među ostalim, provjere mogu li elementi podneseni u potporu navedenom zahtjevu potkrijepiti materijalni uvjet koji se navodi u prethodnoj točki ove presude i koji se odnosi na to da se „opravdano smatra” da je otkrivanje potrebno.

222    Točno je da se, u slučaju u kojem je zahtjev za naknadnu dostavu i procjenu podataka iz PNR‑a podnesen prije isteka roka od šest mjeseci nakon prijenosa tih podataka, člankom 6. stavkom 2. točkom (b) Direktive o PNR‑u izričito ne predviđa takav postupovni uvjet. Međutim, u okviru tumačenja potonje odredbe treba uzeti u obzir uvodnu izjavu 25. te direktive, iz koje proizlazi da je zakonodavac Unije, kad je predvidio navedeni postupovni uvjet, namjeravao „osigura[ti] najviš[u] razin[u] zaštite podataka” u pogledu pristupa podacima iz PNR‑a u obliku kojim se omogućuje izravna identifikacija ispitanika. Međutim, svi zahtjevi za naknadnu dostavu i procjenu podrazumijevaju takav pristup tim podacima, neovisno o tome je li taj zahtjev podnesen prije isteka razdoblja od šest mjeseci nakon prijenosa podataka iz PNR‑a PIU‑u ili je podnesen nakon isteka tog roka.

223    Konkretno, kako bi se u praksi osiguralo puno poštovanje temeljnih prava u sustavu uspostavljenom Direktivom o PNR‑u i, među ostalim, uvjeta utvrđenih u točkama 218. i 219. ove presude, ključno je da dostavi podataka iz PNR‑a u svrhu naknadne procjene u načelu, osim u propisno opravdanim hitnim slučajevima, prethodi nadzor suda ili neovisnog upravnog tijela i da odluka tog suda ili tijela bude donesena na temelju obrazloženog zahtjeva nadležnih tijela podnesenog osobito u okviru postupaka sprečavanja, otkrivanja ili progona kaznenih djela. U slučaju propisno opravdane hitnosti, navedeni nadzor mora uslijediti u kratkim rokovima (vidjeti po analogiji mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 202. i navedenu sudsku praksu i presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 110.).

224    U tim okolnostima, zahtjev za prethodni nadzor predviđen člankom 12. stavkom 3. točkom (b) Direktive o PNR‑u, u pogledu zahtjeva za dostavu podataka iz PNR‑a koji su podneseni nakon isteka roka od šest mjeseci nakon prijenosa tih podataka PIU‑u također treba primijeniti mutatis mutandis u slučaju u kojem je zahtjev za dostavu podnesen prije isteka tog roka.

225    Osim toga, iako se člankom 12. stavkom 3. točkom (b) Direktive o PNR‑u ne pojašnjavaju izričito zahtjevi koje treba ispuniti tijelo zaduženo za prethodni nadzor, prema ustaljenoj sudskoj praksi, kako bi se osiguralo da je zadiranje u temeljna prava zajamčena člancima 7. i 8. Povelje, koje proizlazi iz pristupa osobnim podacima, ograničeno na ono što je strogo nužno, to tijelo treba raspolagati svim ovlastima i pružati sva potrebna jamstva za usklađivanje različitih interesa i prava o kojima je riječ. Konkretnije, kad je riječ o kaznenoj istrazi, takav nadzor zahtijeva da to tijelo može osigurati pravednu ravnotežu između, s jedne strane, interesa povezanih s potrebama istrage u okviru borbe protiv kriminaliteta i, s druge strane, temeljnih prava na poštovanje privatnog života i zaštite osobnih podataka osoba čiji su podaci obuhvaćeni pristupom (presuda od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 107. i navedena sudska praksa).

226    U tu svrhu takvo tijelo mora uživati položaj koji mu omogućava da prilikom obavljanja svojih zadaća postupa objektivno i nepristrano i u tu svrhu mora biti zaštićeno od svakog vanjskog utjecaja. Zahtjev neovisnosti nalaže da ono ima svojstvo treće strane u odnosu na tijelo koje zahtijeva pristup podacima, tako da prvonavedeno tijelo može izvršavati taj nadzor zaštićeno od svakog vanjskog utjecaja. Konkretno, zahtjev neovisnosti u kaznenom postupku podrazumijeva da navedeno tijelo, s jedne strane, nije uključeno u provođenje predmetne kaznene istrage i, s druge strane, da ima neutralan položaj u odnosu na stranke kaznenog postupka (vidjeti u tom smislu presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 108. i navedenu sudsku praksu).

227    Stoga se odredbe Direktive o PNR‑u kojima se uređuje prethodna dostava i procjena podataka iz PNR‑a na temelju članka 6. stavka 2. točke (b) te direktive mogu tumačiti u skladu s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, uz poštovanje granica onoga što je strogo nužno.

228    S obzirom na sva prethodna razmatranja, budući da se tumačenjem Direktive o PNR‑u na način koji je u skladu s člancima 7., 8. i 21. te člankom 52. stavkom 1. Povelje osigurava usklađenost te direktive s tim člancima Povelje, razmatranjem drugog, trećeg, četvrtog i šestog pitanja nije utvrđen nijedan element koji može utjecati na valjanost navedene direktive.

C.      Peto pitanje

229    Svojim petim pitanjem, sud koji je uputio zahtjev želi znati treba li članak 6. Direktive o PNR‑u, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se dopušta obrada podataka iz PNR‑a prikupljenih u skladu s tom direktivom u svrhu praćenja aktivnosti obavještajnih i sigurnosnih službi.

230    Iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da u tom pitanju sud koji je uputio zahtjev konkretnije upućuje na aktivnosti koje obavljaju Služba za nacionalnu sigurnost (Belgija) i Opća obavještajna i sigurnosna služba (Belgija) u okviru svojih zadaća pružanja zaštite nacionalne sigurnosti.

231    U tom pogledu, radi poštovanja načela zakonitosti i proporcionalnosti sadržanih osobito u članku 52. stavku 1. Povelje, zakonodavac Unije predvidio je jasna i precizna pravila kojima se uređuju svrhe mjera predviđenih Direktivom o PNR‑u koje uključuju zadiranja u temeljna prava zajamčena člancima 7. i 8. Povelje.

232    Naime, u članku 1. stavku 2. Direktive o PNR izričito se navodi da se podaci iz PNR‑a prikupljeni u skladu s tom direktivom „mogu […] obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, kako je predviđeno člankom 6. stavkom 2. točkama (a), (b) i (c) [navedene direktive]”. Potonjom se odredbom potvrđuje načelo navedeno u tom članku 1. stavku 2., tako što se u njoj sustavno upućuje na pojmove „kazneno djelo terorizma” i „teško kazneno djelo”.

233    Tako iz teksta tih odredbi jasno proizlazi da se u tim odredbama iscrpno navode ciljevi koji se nastoje postići obradom podataka iz PNR‑a na temelju Direktive o PNR‑u.

234    To je tumačenje potvrđeno, među ostalim, uvodnom izjavom 11. Direktive o PNR‑u, u skladu s kojom obrada podataka iz PNR‑a treba biti proporcionalna „posebnim sigurnosnim ciljevima” koji se nastoje ostvariti tom direktivom, i njezinim člankom 7. stavkom 4., u skladu s kojim se podaci iz PNR‑a i rezultat obrade tih podataka koje je zaprimio PIU mogu dodatno obrađivati „samo u posebnu svrhu sprečavanja, otkrivanja, istrage ili kaznenog progona kaznenih djela terorizma ili teških kaznenih djela”.

235    Osim toga, iscrpnost svrha iz članka 1. stavka 2. Direktive o PNR‑u također znači da se podaci iz PNR‑a ne mogu čuvati u jedinstvenoj bazi podataka kojoj se može pristupiti radi postizanja tih, ali i drugih svrha. Naime, kad bi se ti podaci čuvali u takvoj bazi podataka, postojala bi opasnost od toga da će se navedeni podaci upotrijebiti u svrhe različite od onih predviđenih u tom članku 1. stavku 2.

236    U ovom slučaju, s obzirom na to da se, prema mišljenju suda koji je uputio zahtjev, nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku priznaje, kao svrha obrade podataka iz PNR‑a, praćenje aktivnosti obavještajnih i sigurnosnih službi uključujući tako u tu svrhu i sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma i teških kaznenih djela, tim se zakonodavstvom može povrijediti iscrpnost navođenja ciljeva koji se nastoje postići obradom podataka iz PNR‑a na temelju Direktive o PNR‑u, što je na sudu koji je uputio zahtjev da provjeri.

237    Stoga na peto pitanje valja odgovoriti da članak 6. Direktive o PNR‑u, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, treba tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se dopušta obrada podataka iz PNR‑a prikupljenih u skladu s tom direktivom u svrhe različite od onih izričito predviđenih člankom 1. stavkom 2. navedene direktive.

D.      Sedmo pitanje

238    Svojim sedmim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 12. stavak 3. točku (b) Direktive o PNR‑u tumačiti na način da mu se protivi nacionalno zakonodavstvo u skladu s kojim tijelo uspostavljeno kao PIU također ima svojstvo nadležnog nacionalnog tijela koje je ovlašteno dopustiti otkrivanje podataka iz PNR‑a nakon isteka razdoblja od šest mjeseci nakon prijenosa tih podataka PIU‑u.

239    Uvodno valja napomenuti da belgijska vlada ima dvojbe u pogledu nadležnosti Suda da odgovori na to pitanje, kako ga je sastavio sud koji je uputio zahtjev, s obzirom na to da je potonji sud jedini nadležan za tumačenje nacionalnih odredbi i, konkretno, ocjenu zahtjeva koji proizlaze iz Zakona od 25. prosinca 2016., s obzirom na članak 12. stavak 3. točku (b) Direktive o PNR‑u.

240    U tom je pogledu dovoljno istaknuti da u okviru navedenog pitanja sud koji je uputio zahtjev traži tumačenje odredbe prava Unije. Usto, iako u okviru postupka koji je uveden člankom 267. UFEU‑a, odredbe unutarnjeg prava tumače sudovi država članica, a ne Sud, te iako Sud nema nadležnost za odlučivanje o usklađenosti normi unutarnjeg prava s odredbama prava Unije, Sud je nadležan pružiti nacionalnom sudu sve odgovarajuće elemente tumačenja prava Unije koji mu omogućuju ocjenu usklađenosti takvih pravnih pravila s propisima Unije (presuda od 30. travnja 2020., CTT – Correios de Portugal, C‑661/18, EU:C:2020:335, t. 28. i navedena sudska praksa). Iz toga slijedi da je Sud nadležan odgovoriti na sedmo pitanje.

241    U pogledu merituma valja istaknuti da se u tekstu članka 12. stavka 3. točke (b) Direktive o PNR‑u, u čijim se podtočkama i. i ii. navodi „pravosudno tijelo” i „drugo nacionalno tijelo koje je prema nacionalnom pravu nadležno provjeriti jesu li ispunjeni uvjeti za objavu”, ta dva tijela stavljaju na istu razinu, kao što to proizlazi iz upotrebe veznika „ili” između tih podtočaka i. i ii. Stoga iz tog teksta proizlazi da je tako navedeno „drugo” nadležno nacionalno tijelo alternativa pravosudnom tijelu i treba prema tome imati određeni stupanj neovisnosti i nepristranosti koji je usporediv sa stupnjem koji ima to pravosudno tijelo.

242    Tu analizu potvrđuje cilj Direktive o PNR‑u naveden u njezinoj uvodnoj izjavi 25., koji se odnosi na osiguravanje najviše razine zaštite podataka u pogledu pristupa potpunim podacima iz PNR‑a, kojima se omogućuje izravna identifikacija ispitanika. U istoj se uvodnoj izjavi uostalom pojašnjava da bi se takav pristup trebao odobriti samo pod vrlo strogim uvjetima nakon isteka razdoblja od šest mjeseci nakon prijenosa podataka iz PNR‑a PIU‑u.

243    Navedenu analizu također potvrđuje nastanak Direktive o PNR‑u. Naime, dok se u Prijedlogu direktive navedenom u točki 155. ove presude, na temelju kojeg je donesena Direktiva o PNR‑u, samo predviđalo da „[p]ristup potpunim podacima iz PNR‑a može odobriti samo voditelj odjela za informacije o putnicima”, u verziji članka 12. stavka 3. točke (b) te direktive koju je zakonodavac Unije naposljetku prihvatio utvrđuje se, tako što ih se stavlja na istu razinu, da su pravosudno tijelo i „drugo nacionalno tijelo” nadležni provjeriti jesu li ispunjeni uvjeti za objavu potpunih podataka iz PNR‑a i odobriti takvu objavu.

244    Usto i prije svega, u skladu s ustaljenom sudskom praksom na koju se podsjeća u točkama 223., 225. i 226. ove presude, bitno je da se prije pristupa nadležnih tijela zadržanim podacima provede nadzor suda ili neovisnog upravnog tijela i da odluka tog suda ili tijela bude donesena nakon obrazloženog zahtjeva tih tijela podnesenog osobito u okviru postupaka sprečavanja, otkrivanja ili progona kaznenih djela. Zahtjev neovisnosti koji mora ispuniti subjekt zadužen za obavljanje prethodnog nadzora nalaže i da on ima svojstvo treće strane u odnosu na tijelo koje zahtijeva pristup podacima, tako da navedeni subjekt može izvršavati taj nadzor objektivno i nepristrano, zaštićeno od svakog vanjskog utjecaja. Konkretno, zahtjev neovisnosti u kaznenom postupku podrazumijeva da tijelo zaduženo za taj prethodni nadzor, s jedne strane, nije uključeno u provođenje predmetne kaznene istrage i, s druge strane, da ima neutralan položaj u odnosu na stranke kaznenog postupka.

245    Međutim, kao što je to nezavisni odvjetnik istaknuo u točki 271. mišljenja, člankom 4. stavcima 1. i 3. Direktive o PNR‑u predviđa se da je PIU koji svaka država članica osniva ili određuje tijelo nadležno za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela i da njegovo osoblje može biti upućeno iz nadležnih tijela iz članka 7. te direktive, tako da je PIU nužno povezan s tim tijelima. PIU također može, na temelju članka 6. stavka 2. točke (b) navedene direktive, provoditi obrade podataka iz PNR‑a, čiji rezultat dostavlja navedenim tijelima. S obzirom na te elemente, za PIU se ne može smatrati da ima svojstvo treće strane u odnosu na ta tijela i stoga da ima sva svojstva neovisnosti i nepristranosti koja se zahtijevaju za obavljanje prethodnog nadzora navedenog u prethodnoj točki ove presude i za provjeru toga jesu li ispunjeni uvjeti za objavu potpunih podataka iz PNR‑a, kako se predviđa člankom 12. stavkom 3. točkom (b) iste direktive.

246    Osim toga, ta se ocjena ne može dovesti u pitanje činjenicom da se potonjom odredbom u njezinoj podtočki ii. zahtijeva, u slučaju da „drugo nacionalno tijelo koje je […] nadležno” odobri objavu potpunih podataka, „da se o tome obavijesti” službenik za zaštitu podataka u PIU‑u i da „to podliježe njegovoj naknadnoj provjeri”, dok to nije slučaj ako pravosudno tijelo izda odobrenje. Naime, prema ustaljenoj sudskoj praksi, naknadni nadzor, poput onog koji obavlja službenik za zaštitu podataka, ne omogućava ispunjenje cilja prethodnog nadzora, koji se sastoji u sprečavanju da se odobri pristup predmetnim podacima koji prekoračuje granice onog što je strogo nužno (vidjeti u tom smislu presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 110., kao i navedenu sudsku praksu).

247    S obzirom na sva ta razmatranja, na sedmo pitanje valja odgovoriti da članak 12. stavak 3. točku (b) Direktive o PNR‑u treba tumačiti na način da mu se protivi nacionalno zakonodavstvo u skladu s kojim tijelo uspostavljeno kao PIU također ima svojstvo nadležnog nacionalnog tijela koje je ovlašteno dopustiti otkrivanje podataka iz PNR‑a nakon isteka razdoblja od šest mjeseci nakon prijenosa tih podataka PIU‑u.

E.      Osmo pitanje

248    Svojim osmim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 12. Direktive o PNR‑u, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se za čuvanje podataka iz PNR‑a predviđa opći rok od pet godina, neovisno o tome predstavljaju li dotični putnici opasnost u smislu počinjenja kaznenih djela terorizma i teških kaznenih djela.

249    Valja podsjetiti na to da, u skladu s člankom 12. stavcima 1. i 4. te direktive, PIU‑u države članice na čijem se državnom području nalazi polazište ili odredište predmetnog leta čuva podatke iz PNR‑a koje dostavljaju zračni prijevoznici u bazi podataka u razdoblju od pet godina nakon njihova prijenosa u taj odjel i trajno briše te podatke nakon isteka tog razdoblja od pet godina.

250    Kao što se na to podsjeća u uvodnoj izjavi 25. Direktive o PNR‑u, „[r]azdoblje tijekom kojeg je potrebno čuvati podatke iz PNR‑a trebalo bi biti ono koje je potrebno za svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela te proporcionalno tim svrhama”.

251    Slijedom toga, čuvanje podataka iz PNR‑a u skladu s člankom 12. stavkom 1. Direktive o PNR‑u ne može se opravdati ako ne postoji objektivna veza između tog čuvanja i ciljeva koji se nastoje postići tom direktivom, odnosno borbe protiv kaznenih djela terorizma i teških kaznenih djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika.

252    U tom pogledu, kao što to proizlazi iz te uvodne izjave 25. Direktive o PNR‑u, valja razlikovati, s jedne strane, početno razdoblje čuvanja od šest mjeseci iz članka 12. stavka 2. te direktive i, s druge strane, kasnije razdoblje iz članka 12. stavka 3. navedene direktive.

253    U okviru tumačenja članka 12. stavka 1. Direktive o PNR‑u treba uzeti u obzir odredbe iz stavaka 2. i 3. tog članka, kojima se uspostavlja sustav čuvanja podataka iz PNR‑a i pristupa tim podacima koji se čuvaju nakon isteka početnog razdoblja čuvanja od šest mjeseci. Kao što to proizlazi iz uvodne izjave 25. te direktive, cilj je tih odredbi, s jedne strane, osigurati „da se podaci iz PNR‑a čuvaju dovoljno dugo za provedbu analize i uporabu u istragama”, uzimajući u obzir da se one mogu provesti tijekom početnog razdoblja čuvanja od šest mjeseci. S druge strane, njihov je cilj, u skladu s tom uvodnom izjavom 25., „izbje[ći] nerazmjern[u] uporab[u]” skrivanjem tih podataka i „osigura[ti] najviš[u] razin[u] zaštite podataka” tako da se pristup tim podacima u obliku koji bi omogućio izravnu identifikaciju ispitanika odobrava „samo pod vrlo strogim i ograničenim uvjetima nakon tog početnog razdoblja”, čime se uzima u obzir činjenica da, što je dulje čuvanje podataka iz PNR‑a, to je ozbiljnije zadiranje koje iz toga proizlazi.

254    Međutim, razlikovanje početnog razdoblja čuvanja od šest mjeseci iz članka 12. stavka 2. Direktive o PNR‑u od kasnijeg razdoblja iz članka 12. stavka 3. te direktive primjenjuje se i na nužno poštovanje zahtjeva iz točke 251. ove presude.

255    Stoga, s obzirom na svrhe Direktive o PNR‑u i potrebu za istragama i progonom kaznenih djela terorizma i teških kaznenih djela, valja smatrati da se načelno ne čini da čuvanje tijekom početnog razdoblja od šest mjeseci podataka iz PNR‑a o svim zrakoplovnim putnicima na koje se primjenjuje sustav uspostavljen tom direktivom, a da pritom ne postoji ni najmanja sumnja u pogledu njihove uključenosti u kaznena djela terorizma ili teška kaznena djela, prekoračuje granice onog što je strogo nužno jer se njime omogućuju istrage koje su nužne za identifikaciju osoba koje nisu bile osumnjičene za sudjelovanje u kaznenim djelima terorizma ili teškim kaznenim djelima.

256    Suprotno tomu, što se tiče kasnijeg razdoblja iz članka 12. stavka 3. Direktive o PNR‑u, čuvanje podataka iz PNR‑a o svim zrakoplovnim putnicima na koje se primjenjuje sustav uspostavljen tom direktivom, osim činjenice da zbog velike količine podataka koji se mogu kontinuirano zadržavati podrazumijeva rizike od nerazmjerne uporabe i zlouporabe (vidjeti po analogiji presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 119.), protivi se zahtjevu iz uvodne izjave 25. navedene direktive, prema kojem te podatke treba čuvati samo tijekom razdoblja koje je potrebno i proporcionalno ciljevima koji se žele postići, uzimajući u obzir da je zakonodavac Unije namjeravao utvrditi najvišu razinu zaštite podataka iz PNR‑a kojima se omogućuje izravna identifikacija ispitanika.

257    Naime, što se tiče zrakoplovnih putnika u pogledu kojih ni prethodna procjena iz članka 6. stavka 2. točke (a) Direktive o PNR‑u ni eventualne provjere provedene tijekom razdoblja od šest mjeseci predviđenog u članku 12. stavku 2. te direktive ni bilo koja druga okolnost nisu ukazali na postojanje objektivnih elemenata na temelju kojih se može utvrditi opasnost u pogledu kaznenih djela terorizma ili teških kaznenih djela koja su, makar i posredno, objektivno povezana sa zračnim prijevozom tih putnika, u takvim okolnostima ne postoji veza makar i neposredna, između podataka iz PNR‑a o tim putnicima i cilja koji se želi postići tom direktivom, koja bi opravdala čuvanje tih podataka (vidjeti po analogiji mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade), od 26. srpnja 2017., EU:C:2017:592, t. 204. i 205.).

258    Stoga se kontinuirano pohranjivanje podataka iz PNR‑a svih putnika nakon početnog razdoblja od šest mjeseci očito ne ograničava samo na ono što je krajnje nužno (vidjeti po analogiji mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade), od 26. srpnja 2017., EU:C:2017:592, t. 206.).

259    Međutim, ako se u pojedinačnim slučajevima utvrdi postojanje objektivnih elementa, poput podataka iz PNR‑a o putnicima koji su doveli do provjerenog pozitivnog rezultata, iz kojih se može zaključiti da bi pojedini putnici mogli predstavljati opasnost u pogledu kaznenih djela terorizma ili teških kaznenih djela, pohranjivanje njihovih podataka iz PNR‑a dopušteno je i izvan okvira tog početnog razdoblja (vidjeti po analogiji mišljenje 1/15 (Sporazum o PNR‑u između Europske unije i Kanade), od 26. srpnja 2017., EU:C:2017:592, t. 207. i navedena sudska praksa).

260    Naime, na temelju identifikacije tih objektivnih elemenata može se utvrditi veza s ciljevima koji se nastoje postići obradom na temelju Direktive o PNR‑u, tako da je čuvanje podataka iz PNR‑a o tim putnicima opravdano tijekom najduljeg razdoblja dopuštenog navedenom direktivom, odnosno tijekom pet godina.

261    U ovom slučaju, s obzirom na to da se čini da se zakonodavstvom o kojem je riječ u glavnom postupku za čuvanje podataka iz PNR‑a propisuje opći rok od pet godina, koji se bez razlike primjenjuje na sve putnike, uključujući one u pogledu kojih ni prethodna procjena iz članka 6. stavka 2. točke (a) Direktive o PNR‑u ni eventualne provjere provedene tijekom početnog razdoblja od šest mjeseci ni bilo koja druga okolnost nisu ukazali na postojanje objektivnih elemenata na temelju kojih se može utvrditi opasnost u pogledu kaznenih djela terorizma ili teških kaznenih djela, tim se zakonodavstvom može povrijediti članak 12. stavak 1. te direktive, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, osim ako ga se može tumačiti u skladu s tim odredbama, što je na sudu koji je uputio zahtjev da provjeri.

262    S obzirom na prethodna razmatranja, na osmo pitanje valja odgovoriti da članak 12. stavak 1. Direktive o PNR‑u, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje, treba tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se za čuvanje podataka iz PNR‑a propisuje opći rok od pet godina, koji se bez razlike primjenjuje na sve zrakoplovne putnike, uključujući one u pogledu kojih ni prethodna procjena iz članka 6. stavka 2. točke (a) te direktive ni eventualne provjere provedene tijekom razdoblja od šest mjeseci iz članka 12. stavka 2. navedene direktive ni bilo koja druga okolnost nisu ukazali na postojanje objektivnih elemenata na temelju kojih se može utvrditi opasnost u pogledu kaznenih djela terorizma ili teških kaznenih djela, koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika.

F.      Deveto pitanje, točka (a)

263    Svojim devetim pitanjem točkom (a) sud koji je uputio zahtjev u biti postavlja pitanje o valjanosti Direktive o API‑ju s obzirom na članak 3. stavak 2. UEU‑a i članak 45. Povelje, pri čemu polazi od pretpostavke da se obveze iz te direktive primjenjuju na letove unutar EU‑a.

264    Međutim, kao što je to nezavisni odvjetnik istaknuo u točki 277. mišljenja i kao što su to napomenuli Vijeće, Komisija i nekoliko vlada, ta je pretpostavka pogrešna.

265    Naime, člankom 3. stavkom 1. Direktive o API‑ju predviđa se da države članice trebaju poduzeti sve potrebne mjere kako bi uvele obvezu za prijevoznike da na zahtjev tijela odgovornih za kontrolu osoba na vanjskim granicama, po završetku prijave putnika, prenesu informacije o putnicima koje će prevoziti, službenom graničnom prijelazu preko kojeg će te osobe ući na državno područje države članice. Ti se podaci u skladu s člankom 6. stavkom 1. navedene direktive dostavljaju tijelima odgovornima za kontrolu na vanjskim granicama preko kojih će putnik ući na to državno područje te se obrađuju u uvjetima predviđenima potonjom odredbom.

266    Međutim, iz tih odredbi, u vezi s člankom 2. točkama (a), (b) i (d) Direktive o API‑ju, u kojima su definirani pojmovi „prijevoznik”, „vanjske granice” i „granični prijelaz”, jasno proizlazi da se tom direktivom zračnim prijevoznicima propisuje obveza da dostave podatke iz njezina članka 3. stavka 2. tijelima odgovornima za kontrolu na vanjskim granicama samo u slučaju letova kojima se putnici prevoze prema graničnom prijelazu odobrenom za prelazak vanjskih granica država članica s trećim zemljama i predviđa samo obrada podataka o tim letovima.

267    Suprotno tomu, navedenom se direktivom ne propisuje nikakva obveza u pogledu podataka o putnicima na letovima koji prelaze samo unutarnje granice između država članica.

268    Valja dodati da se Direktivom o PNR‑u, time što se u njoj među podatke iz PNR‑a, kao što to proizlazi iz uvodne izjave 9. i njezina članka 8: stavka 2., uključuju podaci iz članka 3. stavka 2. Direktive o API‑ju, koji su prikupljeni u skladu s tom direktivom i koje čuvaju određeni zračni prijevoznici, i time što se u njoj državama članicama daje mogućnost da primjenjuju Direktivu o PNR‑u, na temelju njezina članka 2., na letove unutar EU‑a koje definiraju, nije izmijenio ni doseg odredbi Direktive o API‑ju ni ograničenja koja proizlaze iz te direktive.

269    S obzirom na prethodno navedeno, na deveto pitanje točku (a) valja odgovoriti da Direktivu o API‑ju treba tumačiti na način da se ona ne primjenjuje na letove unutar EU‑a.

G.      Deveto pitanje, točka (b)

270    Iako sud koji je uputio zahtjev u svojem devetom pitanju točki (a) upućuje na Direktivu o API‑ju, u vezi s člankom 3. stavkom 2. UEU‑a i člankom 45. Povelje, iz zahtjeva za prethodnu odluku proizlazi da taj sud postavlja pitanje o usklađenosti sustava prijenosa i obrade podataka o putnicima uspostavljenog Zakonom od 25. prosinca 2016. sa slobodnim kretanjem osoba i ukidanjem kontrola na unutarnjim granicama koji se predviđaju pravom Unije, s obzirom na to da se taj sustav ne primjenjuje samo na zračni prijevoz, nego i na željeznički, cestovni odnosno pomorski prijevoz iz Belgije ili prema njoj, koji se obavlja unutar Unije, bez prelaska vanjskih granica s trećim zemljama.

271    Međutim, kao što to proizlazi iz točaka 265. do 269. ove presude, Direktiva o API‑ju, koja se ne primjenjuje na letove unutar EU‑a i kojom se ne propisuje obveza prijenosa i obrade podataka o putnicima koji se zračnim putem ili drugim prijevoznim sredstvom kreću unutar Unije, a da pritom ne prelaze vanjske granice s trećim zemljama, nije relevantna za odgovor na to pitanje.

272    Suprotno tomu, iako u skladu s člankom 67. stavkom 2. UFEU‑a Unija osigurava da se osobe pri prijelazu unutarnjih granica ne provjeravaju, člankom 2. Direktive o PNR‑u, na kojem je belgijski zakonodavac temeljio Zakon od 25. prosinca 2016. o kojem je riječ u glavnom postupku, kao što to proizlazi iz zahtjeva za prethodnu odluku, dopušta se državama članicama da primjenjuju tu direktivu na letove unutar EU‑a.

273    U tim okolnostima, kako bi se sudu koji je uputio zahtjev dao koristan odgovor, valja preoblikovati deveto pitanje točku (b) na način da se njime u biti pita treba li pravo Unije, konkretno članak 2. Direktive o PNR‑u, u vezi s člankom 3. stavkom 2. UEU‑a, člankom 67. stavkom 2. UFEU‑a i člankom 45. Povelje, tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se predviđa sustav prijenosa koji obavljaju prijevoznici i turoperatori, kao i obrade, koju provode nadležna tijela, podataka iz PNR‑a o letovima i prijevozu obavljenom drugim sredstvima unutar Unije, s polazištem ili odredištem u državi članici koja je donijela navedeno zakonodavstvo ili pak prolaskom kroz nju.

274    Prije svega, članak 45. Povelje odnosi se na slobodno kretanje osoba koje je uostalom jedna od temeljnih sloboda unutarnjeg tržišta (vidjeti u tom smislu presudu od 22. lipnja 2021., Ordre des barreaux francophones et germanophone i dr. (Preventivne mjere u svrhu udaljavanja), C‑718/19, EU:C:2021:505, t. 54.).

275    Tim se člankom, u njegovu stavku 1., jamči pravo svih građana Unije da se slobodno kreću i borave na državnom području država članica, a to pravo, u skladu s Objašnjenjima koja se odnose na Povelju o temeljnim pravima (SL 2007., C 303, str. 17.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 1., svezak 7., str. 120.), odgovara pravu zajamčenom člankom 20. stavkom 2. prvim podstavkom točkom (a) UFEU‑a te se u skladu s člankom 20. stavkom 2. drugim podstavkom UFEU‑a i člankom 52. stavkom 2. Povelje, ostvaruje u skladu s uvjetima i ograničenjima utvrđenima Ugovorima i mjerama usvojenima na temelju tih Ugovora.

276    Nadalje, u skladu s člankom 3. stavkom 2. UEU‑a, Unija svojim građanima nudi područje slobode, sigurnosti i pravde bez unutarnjih granica, na kojem je osigurano slobodno kretanje osoba zajedno s odgovarajućim mjerama u pogledu, među ostalim, nadzora vanjskih granica, te sprečavanja i suzbijanja kriminala. Isto tako, u skladu s člankom 67. stavkom 2. UFEU‑a, Unija osigurava da se osobe pri prijelazu unutarnjih granica ne provjeravaju i oblikuje zajedničku politiku osobito kontrole vanjskih granica.

277    U skladu s ustaljenom sudskom praksom Suda, nacionalno zakonodavstvo koje određene državljane države članice dovodi u nepovoljniji položaj samo zbog činjenice da su izvršavali svoju slobodu kretanja i boravka u drugoj državi članici čini ograničenje sloboda koje su člankom 45. stavkom 1. Povelje priznate svakom građaninu Unije (vidjeti u tom smislu, u pogledu članka 21. stavka 1. UFEU‑a, presude od 8. lipnja 2017., Freitag, C‑541/15, EU:C:2017:432, t. 35. i navedenu sudsku praksu i od 19. studenoga 2020., ZW, C‑454/19, EU:C:2020:947, t. 30.).

278    Međutim, nacionalno zakonodavstvo kao što je ono o kojem je riječ u glavnom postupku, kojim se sustav predviđen Direktivom o PNR‑u ne primjenjuje samo na letove između EU‑a i trećih zemalja, nego i, u skladu s člankom 2. stavkom 1. te direktive, na letove unutar EU‑a kao i, osim onoga što se predviđa tom odredbom, na prijevoz obavljen drugim sredstvima unutar Unije, ima za posljedicu sustavan i stalan prijenos i obradu podataka iz PNR‑a o svim putnicima koji se kreću tim sredstvima unutar Unije čime ostvaruju svoju slobodu kretanja.

279    Kao što se to utvrđuje u točkama 98. do 111. ove presude, prijenos i obrada podataka o putnicima na letovima između EU‑a i trećih zemalja i unutar EU‑a koji proizlaze iz sustava uspostavljenog Direktivom o PNR‑u podrazumijevaju zadiranje određene težine u temeljna prava propisana člancima 7. i 8. Povelje koja imaju dotične osobe. Ozbiljnost tog zadiranja još je veća u slučaju u kojem se primjena tog sustava proširuje na druga prijevozna sredstva unutar Unije. Iz istih razloga kao što su oni izneseni u tim točkama, takvim se zadiranjima državljani država članica koje su donijele takvo zakonodavstvo i općenito građani Unije koji se kreću tim prijevoznim sredstvima u Uniji iz ili prema tim državama članicama mogu također dovesti u nepovoljniji položaj i stoga ih se može odvratiti od ostvarivanja slobode kretanja, u smislu članka 45. Povelje, tako da navedeno zakonodavstvo podrazumijeva ograničavanje te temeljne slobode.

280    Prema ustaljenoj sudskoj praksi, ograničenje slobodnog kretanja osoba može se opravdati samo ako se temelji na objektivnim razlozima i ako je proporcionalno legitimnom cilju koji se nacionalnim pravom nastoji postići. Mjera je proporcionalna ako je prikladna za ostvarenje zadanog cilja i ako ne prekoračuje ono što je nužno za njegovo postizanje (vidjeti u tom smislu presudu od 5. lipnja 2018., Coman i dr., C‑673/16, EU:C:2018:385, t. 41. i navedenu sudsku praksu).

281    Valja dodati da se nacionalna mjera koja je takve prirode da priječi ostvarivanje slobodnog kretanja osoba može opravdati samo ako je u skladu s temeljnim pravima zajamčenima Poveljom, čije poštovanje osigurava Sud (presuda od 14. prosinca 2021., Stolična obština, rajon „Pančarevo”, C‑490/20, EU:C:2021:1008, t. 58. i navedena sudska praksa).

282    Konkretno, u skladu sa sudskom praksom navedenom u točkama 115. i 116. ove presude, cilj od općeg interesa ne može se postići a da se u obzir ne uzme činjenica da se on mora pomiriti s temeljnim pravima na koja se mjera odnosi, tako da se cilj od općeg interesa, s jedne strane, pravilno odvagne s predmetnim pravima, s druge strane. U tom pogledu, mogućnost država članica da opravdaju ograničenje temeljnog prava zajamčenog člankom 45. stavkom 1. Povelje treba ocijeniti tako da se odmjeri ozbiljnost zadiranja koje takvo ograničenje podrazumijeva i provjeri da je važnost cilja od općeg interesa koji se nastoji postići tim ograničenjem proporcionalna toj ozbiljnosti.

283    Kao što se na to podsjetilo u točki 122. ove presude, cilj borbe protiv kaznenih djela terorizma i teških kaznenih djela koji se nastoji postići Direktivom o PNR‑u nedvojbeno je cilj u općem interesu Unije.

284    Što se tiče toga je li nacionalno zakonodavstvo, koje je doneseno u svrhu prijenosa Direktive o PNR‑u i kojim se sustav predviđen tom direktivom proširuje na letove unutar EU‑a i druga prijevozna sredstva unutar Unije, prikladno za ostvarivanje cilja koji se želi postići, iz naznaka u spisu kojim raspolaže Sud proizlazi da upotreba podataka iz PNR‑a omogućuje identifikaciju osoba koje nisu bile osumnjičene za sudjelovanje u kaznenim djelima terorizma ili teškim kaznenim djelima i koje bi trebalo dodatno ispitati, tako da se čini da je takvo zakonodavstvo prikladno za ostvarivanje cilja borbe protiv kaznenih djela terorizma i teških kaznenih djela koji se želi postići.

285    Što se tiče nužnosti takvog zakonodavstva, korištenje mogućnosti država članica, predviđene u članku 2. stavku 1. Direktive o PNR‑u, u vezi s člancima 7. i 8. Povelje, treba ograničiti na ono što je strogo nužno za postizanje tog cilja s obzirom na zahtjeve iz točaka 163. do 174. ove presude.

286    Ti se zahtjevi tim više primjenjuju u slučaju u kojem se sustav predviđen Direktivom o PNR‑u primjenjuje na druga prijevozna sredstva unutar Unije.

287    Osim toga, kao što to proizlazi iz naznaka u zahtjevu za prethodnu odluku, nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku prenose se Direktiva o PNR‑u, Direktiva o API‑ju i djelomično Direktiva 2010/65 u samo jedan akt. U tu svrhu, tim se zakonodavstvom predviđa primjena sustava predviđenog Direktivom o PNR‑u na sve letove unutar EU‑a i željeznički, cestovni odnosno pomorski prijevoz, koji se obavlja unutar Unije, iz Belgije, prema njoj ili prolaskom kroz nju te se primjenjuje i na turoperatore, pri čemu se njime nastoje postići i drugi ciljevi osim same borbe protiv kaznenih djela terorizma i teških kaznenih djela. U skladu s tim naznakama, čini se da PIU sve podatke prikupljene u okviru sustava uspostavljenog tim nacionalnim zakonodavstvom čuva u jedinstvenoj bazi podataka koja obuhvaća podatke iz PNR‑a, uključujući podatke iz članka 3. stavka 2. Direktive o API‑ju za sve putnike u prometu iz navedenog zakonodavstva.

288    U tom pogledu, s obzirom na to da sud koji je uputio zahtjev u svojem devetom pitanju točki (b) upućuje na cilj poboljšanja graničnih kontrola i sprečavanja ilegalne migracije, odnosno na cilj Direktive o API‑ju, valja podsjetiti na to da se, kao što to proizlazi iz točaka 233., 234. i 237. ove presude, ciljevi koji se nastoje postići obradom podataka iz PNR‑a na temelju Direktive o PNR‑u iscrpno navode, iako se nacionalno zakonodavstvo kojim se dopušta obrada podataka iz PNR‑a prikupljenih u skladu s tom direktivom, u različite svrhe od onih predviđenih tom direktivom, odnosno, među ostalim, u svrhu poboljšanja graničnih kontrola i sprečavanja ilegalne migracije, protivi članku 6. navedene direktive, u vezi s Poveljom.

289    Usto, kao što to proizlazi iz točke 235. ove presude, države članice ne mogu uspostaviti jedinstvenu bazu podataka koja sadržava podatke iz PNR‑a prikupljene na temelju Direktive o PNR‑u i povezane s letovima između EU‑a i trećih zemalja i unutar EU‑a i podatke o putnicima koji se kreću drugim prijevoznim sredstvima, kao i podatke iz članka 3. stavka 2. Direktive o API‑ju, osobito ako se toj bazi podataka može pristupiti radi postizanja svrha iz članka 1. stavka 2. Direktive o PNR‑u, ali i drugih svrha.

290    Naposljetku i u svakom slučaju, kao što je to nezavisni odvjetnik istaknuo u točki 281. svojeg mišljenja, članci 28. do 31. Zakona od 25. prosinca 2016 mogu biti u skladu s pravom Unije i osobito člankom 67. stavkom 2. UFEU‑a samo ako ih se tumači i primjenjuje na način da se odnose isključivo na prijenos i obradu API podataka o putnicima koji prelaze vanjske granice Belgije s trećim zemljama. Naime, mjera kojom bi država članica proširila odredbe Direktive o API‑ju, u svrhu poboljšanja graničnih kontrola i sprečavanja ilegalne migracije, na letove unutar EU‑a i, a fortiori, druga prijevozna sredstva kojima se putnici prevoze u Uniji iz te države članice, prema njoj ili pak prolaskom kroz nju, osobito obveza prijenosa podataka o putnicima predviđena člankom 3. stavkom 1. te direktive, omogućila bi nadležnim tijelima da se pri prelasku vanjskih granica navedene države članice sustavno osiguraju da se tim putnicima može odobriti ulazak u njihovo državno područje ili izlazak iz njega i stoga bi imala istovjetan učinak kao i kontrole koje se provode na vanjskim granicama s trećim zemljama.

291    S obzirom na sva ta razmatranja, na deveto pitanje točku (b) valja odgovoriti da pravo Unije, konkretno članak 2. Direktive o PNR‑u, u vezi s člankom 3. stavkom 2. UEU‑a, člankom 67. stavkom 2. UFEU‑a i člankom 45. Povelje, treba tumačiti na način da mu se protivi:

–        nacionalno zakonodavstvo kojim se predviđa, ako se dotična država članica ne suočava sa stvarnom i trenutačnom ili predvidljivom terorističkom prijetnjom, sustav prijenosa koji obavljaju zračni prijevoznici i turoperatori, kao i obrada, koju provode nadležna tijela, podataka iz PNR‑a o svim letovima unutar EU‑a i prijevozu obavljenom drugim sredstvima unutar Unije, iz te države članice, prema njoj ili pak prolaskom kroz nju, u svrhu borbe protiv kaznenih djela terorizma i teških kaznenih djela. U takvoj situaciji, primjenu sustava uspostavljenog Direktivom o PNR‑u treba ograničiti na prijenos i obradu podataka iz PNR‑a o letovima i/ili prijevozu koji se osobito odnose na određene linije ili obrasce putovanja ili pak određene zračne luke, kolodvore ili morske luke za koje postoje naznake koje mogu opravdati tu primjenu. Na dotičnoj je državi članici da odabere letove unutar EU‑a i/ili prijevoz obavljen drugim sredstvima unutar Unije za koje postoje takve naznake i da redovito preispituje navedenu primjenu ovisno o promjeni uvjeta koji opravdavaju njezin odabir, kako bi osigurala da je primjena tog sustava na te letove i/ili taj prijevoz uvijek ograničena na ono što je strogo nužno, i

–        nacionalno zakonodavstvo kojim se predviđa takav sustav prijenosa i obrade navedenih podataka u svrhu poboljšanja graničnih kontrola i sprečavanja ilegalne migracije.

H.      Deseto pitanje

292    Svojim desetim pitanjem, sud koji je uputio zahtjev u biti želi znati treba li pravo Unije tumačiti na način da nacionalni sud može vremenski ograničiti učinke utvrđenja nezakonitosti, za koje je nadležan na temelju nacionalnog prava, u pogledu nacionalnog zakonodavstva kojim se zračnim, željezničkim i cestovnim prijevoznicima te turoperatorima nalaže prijenos podataka iz PNR‑a te predviđa obrada i čuvanje tih podataka koji nisu u skladu s odredbama Direktive o PNR‑u, u vezi s člankom 3. stavkom 2. UEU‑a, člankom 67. stavkom 2. UFEU‑a, člancima 7., 8. i 45. te člankom 52. stavkom 1. Povelje.

293    Načelo nadređenosti prava Unije utvrđuje prvenstvo prava Unije nad pravom država članica. Stoga to načelo zahtijeva da sva tijela država članica osiguraju puni učinak različitih odredbi Unije, pri čemu pravo država članica ne može utjecati na učinak koji se tim različitim odredbama priznaje na području navedenih država. Na temelju tog načela, ako nacionalni propis nije moguće tumačiti u skladu sa zahtjevima prava Unije, nacionalni sud koji je u okviru svojih nadležnosti zadužen za primjenu odredbi prava Unije dužan je osigurati njihov puni učinak izuzimajući iz primjene, prema potrebi, svaku suprotnu odredbu nacionalnog prava, pa bila ona i naknadna, a da pritom ne mora zatražiti ni čekati prethodno stavljanje izvan snage te nacionalne odredbe kroz zakonodavni ili bilo koji drugi postupak predviđen Ustavom (presude od 15. srpnja 1964., Costa, 6/64, EU:C:1964:66, str. 1159. i 1160.; od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 214. i 215. i od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 118.).

294    Samo Sud može, u iznimnim slučajevima i iz važnih razloga pravne sigurnosti, odobriti privremenu suspenziju poništavajućeg učinka koji pravilo prava Unije ima u odnosu na nacionalno pravo koje mu se protivi. Takvo se vremensko ograničenje učinaka tumačenja tog prava koje je Sud dao može dopustiti samo u istoj presudi kojom se odlučuje o traženom tumačenju. Naime, ugrozila bi se nadređenost i ujednačena primjena prava Unije kad bi nacionalni sudovi imali ovlast dati prednost nacionalnim odredbama u odnosu na pravo Unije kojemu se te odredbe protive, makar i samo privremeno (presuda od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 119. i navedena sudska praksa).

295    Za razliku od neispunjavanja postupovne obveze poput prethodne procjene utjecaja projekta na okoliš, o čemu je riječ u predmetu u kojem je donesena presuda od 29. srpnja 2019., Inter‑Environnement Wallonie i Bond Beter Leefmilieu Vlaanderen (C‑411/17, EU:C:2019:622, t. 175., 176., 179. i 181.), u kojoj je Sud odobrio privremenu suspenziju tog poništavajućeg učinka, povreda odredbi Direktive o PNR‑u, u vezi s člancima 7., 8. i 45. te člankom 52. stavkom 1. Povelje, ne može se legalizirati provedbom postupka usporedivog s postupkom dopuštenim u tom predmetu. Naime, održavanje na snazi učinaka nacionalnog zakonodavstva, poput Zakona od 25. prosinca 2016., značilo bi da to zakonodavstvo nastavlja zračnim i drugim prijevoznicima te turoperatorima određivati obveze koje su suprotne pravu Unije i koje podrazumijevaju ozbiljna zadiranja u temeljna prava osoba čiji se podaci prenose, zadržavaju i obrađuju, kao i ograničenja slobodnom kretanju tih osoba koja prekoračuju ono što je nužno (vidjeti po analogiji presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 122. i navedena sudska praksa).

296    Prema tome, sud koji je uputio zahtjev ne može vremenski ograničiti učinke utvrđenja nezakonitosti, za koje je nadležan na temelju nacionalnog prava, u pogledu nacionalnog zakonodavstva o kojemu je riječ u glavnom postupku (vidjeti po analogiji presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 123. i navedena sudska praksa).

297    Naposljetku, s obzirom na to da je sud koji je uputio zahtjev postavio pitanje o utjecaju utvrđenja moguće neusklađenosti Zakona od 25. prosinca 2016. s odredbama Direktive o PNR‑u, u vezi s Poveljom, na dopuštenost i korištenje dokaza i informacija dobivenih iz podataka koje su prenijeli dotični prijevoznici i turoperatori u okviru kaznenih postupaka, dovoljno je uputiti na sudsku praksu Suda koja se na to odnosi, konkretno na načela navedena u točkama 41. do 44. presude od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama) (C‑746/18, EU:C:2021:152), iz kojih proizlazi da ta dopuštenost, u skladu s načelom postupovne autonomije država članica, proizlazi iz nacionalnog prava, pod uvjetom poštovanja osobito načela ekvivalentnosti i djelotvornosti (vidjeti po analogiji presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 127.).

298    S obzirom na prethodna razmatranja, na deseto pitanje valja odgovoriti da pravo Unije treba tumačiti na način da mu se protivi to da nacionalni sud vremenski ograniči učinke utvrđenja nezakonitosti, za koje je nadležan na temelju nacionalnog prava, u pogledu nacionalnog zakonodavstva kojim se zračnim, željezničkim i cestovnim prijevoznicima te turoperatorima nalaže prijenos podataka iz PNR‑a te predviđa obrada i čuvanje tih podataka koji nisu u skladu s odredbama Direktive o PNR‑u, u vezi s člankom 3. stavkom 2. UEU‑a, člankom 67. stavkom 2. UFEU‑a, člancima 7., 8. i 45. te člankom 52. stavkom 1. Povelje. Dopuštenost dokaza dobivenih na takav način, u skladu s načelom postupovne autonomije država članica, proizlazi iz nacionalnog prava, pod uvjetom poštovanja osobito načela ekvivalentnosti i djelotvornosti.

IV.    Troškovi

299    Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (veliko vijeće) odlučuje:

1.      Članak 2. stavak 2. točku (d) i članak 23. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da se ta uredba primjenjuje na obradu osobnih podataka predviđenu nacionalnim zakonodavstvom kojim se u nacionalno pravo istodobno nastoje prenijeti odredbe Direktive Vijeća 2004/82/EZ od 29. travnja 2004. o obvezi prijevoznika na dostavljanje podataka o putnicima, Direktive 2010/65/EU Europskog parlamenta i Vijeća od 20. listopada 2010. o službenom postupku prijave za brodove koji dolaze u luke i/ili odlaze iz luka država članica i o stavljanju izvan snage Direktive 2002/6/EZ i odredbe Direktive (EU) 2016/681 Europskog parlamenta i Vijeća od 27. travnja 2016. o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, u pogledu, s jedne strane, obrade podataka koju provode privatni subjekti i, s druge strane, obrade podataka koju provode tijela javne vlasti koja je jedino ili također obuhvaćena Direktivom 2004/82 ili Direktivom 2010/65. Suprotno tomu, navedena uredba ne primjenjuje se na obradu podataka predviđenu takvim zakonodavstvom koja je obuhvaćena samo Direktivom 2016/681 i koju provode odjel za informacije o putnicima (PIU) ili nadležna tijela u svrhe iz članka 1. stavka 2. te direktive.

2.      Budući da se tumačenjem Direktive 2016/681, na način koji je u skladu s člancima 7., 8. i 21. te člankom 52. stavkom 1. Povelje Europske unije o temeljnim pravima, osigurava usklađenost te direktive s tim člancima Povelje o temeljnim pravima, razmatranjem drugog, trećeg, četvrtog i šestog prethodnog pitanja nije utvrđen nijedan element koji može utjecati na valjanost navedene direktive.

3.      Članak 6. Direktive 2016/681, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje o temeljnim pravima, treba tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se dopušta obrada podataka iz popisa imena putnika (podaci iz PNR‑a) prikupljenih u skladu s tom direktivom u svrhe različite od onih izričito predviđenih člankom 1. stavkom 2. navedene direktive.

4.      Članak 12. stavak 3. točku (b) Direktive 2016/681 treba tumačiti na način da mu se protivi nacionalno zakonodavstvo u skladu s kojim tijelo uspostavljeno kao odjel za informacije o putnicima (PIU) također ima svojstvo nadležnog nacionalnog tijela koje je ovlašteno dopustiti otkrivanje podataka iz PNR‑a nakon isteka razdoblja od šest mjeseci nakon prijenosa tih podataka PIU‑u.

5.      Članak 12. stavak 1. Direktive 2016/681, u vezi s člancima 7. i 8. te člankom 52. stavkom 1. Povelje o temeljnim pravima, treba tumačiti na način da mu se protivi nacionalno zakonodavstvo kojim se za čuvanje podataka iz PNR‑a propisuje opći rok od pet godina, koji se bez razlike primjenjuje na sve zrakoplovne putnike, uključujući one u pogledu kojih ni prethodna procjena iz članka 6. stavka 2. točke (a) te direktive ni eventualne provjere provedene tijekom razdoblja od šest mjeseci iz članka 12. stavka 2. navedene direktive ni bilo koja druga okolnost nisu ukazali na postojanje objektivnih elemenata na temelju kojih se može utvrditi opasnost u pogledu kaznenih djela terorizma ili teških kaznenih djela, koja su, makar i posredno, objektivno povezana sa zračnim prijevozom putnika.

6.      Direktivu 2004/82 treba tumačiti na način da se ona ne primjenjuje na redovite ili izvanredne letove zračnog prijevoznika čije se polazište nalazi na državnom području države članice, a odredište na državnom području jedne države članice ili više njih, bez zaustavljanja na državnom području treće zemlje (letovi unutar EU‑a),

7.      Pravo Unije, konkretno članak 2. Direktive o 2016/681, u vezi s člankom 3. stavkom 2. UEU‑a, člankom 67. stavkom 2. UFEU‑a i člankom 45. Povelje o temeljnim pravima, treba tumačiti na način da mu se protivi:

–        nacionalno zakonodavstvo kojim se predviđa, ako se dotična država članica ne suočava sa stvarnom i trenutačnom ili predvidljivom terorističkom prijetnjom, sustav prijenosa koji obavljaju zračni prijevoznici i turoperatori, kao i obrada, koju provode nadležna tijela, podataka iz PNR‑a o svim letovima unutar EU‑a i prijevozu obavljenom drugim sredstvima unutar Unije, iz te države članice, prema njoj ili pak prolaskom kroz nju, u svrhu borbe protiv kaznenih djela terorizma i teških kaznenih djela. U takvoj situaciji, primjenu sustava uspostavljenog Direktivom 2016/681 treba ograničiti na prijenos i obradu podataka iz PNR‑a o letovima i/ili prijevozu koji se osobito odnose na određene linije ili obrasce putovanja ili pak određene zračne luke, kolodvore ili morske luke za koje postoje naznake koje mogu opravdati tu primjenu. Na dotičnoj je državi članici da odabere letove unutar EU‑a i/ili prijevoz obavljen drugim sredstvima unutar Unije za koje postoje takve naznake i da redovito preispituje navedenu primjenu ovisno o promjeni uvjeta koji opravdavaju njezin odabir, kako bi osigurala da je primjena tog sustava na te letove i/ili taj prijevoz uvijek ograničena na ono što je strogo nužno, i

–        nacionalno zakonodavstvo kojim se predviđa takav sustav prijenosa i obrade navedenih podataka u svrhu poboljšanja graničnih kontrola i sprečavanja ilegalne migracije.

8.      Pravo Unije treba tumačiti na način da mu se protivi to da nacionalni sud vremenski ograniči učinke utvrđenja nezakonitosti, za koje je nadležan na temelju nacionalnog prava, u pogledu nacionalnog zakonodavstva kojim se zračnim, željezničkim i cestovnim prijevoznicima te turoperatorima nalaže prijenos podataka iz PNR‑a te predviđa obrada i čuvanje tih podataka koji nisu u skladu s odredbama Direktive o 2016/681, u vezi s člankom 3. stavkom 2. UEU‑a, člankom 67. stavkom 2. UFEU‑a, člancima 7., 8. i 45. te člankom 52. stavkom 1. Povelje o temeljnim pravima. Dopuštenost dokaza dobivenih na takav način, u skladu s načelom postupovne autonomije država članica, proizlazi iz nacionalnog prava, pod uvjetom poštovanja osobito načela ekvivalentnosti i djelotvornosti.

Potpisi

*      Jezik postupka: francuski