[Odesłanie prejudycjalne - Przetwarzanie danych osobowych - Dane dotyczące przelotu pasażera (PNR) - Rozporządzenie (UE) 2016/679 - Artykuł 2 ust. 2 lit. d) - Zakres stosowania - Dyrektywa (UE) 2016/681 - Wykorzystywanie danych PNR pasażerów lotów wykonywanych między Unią Europejską a państwami trzecimi - Możliwość włączenia danych dotyczących pasażerów lotów wykonywanych wewnątrz Unii - Zautomatyzowane przetwarzanie tych danych - Okres zatrzymywania - Zwalczanie terroryzmu i poważnej przestępczości - Ważność - Karta praw podstawowych Unii Europejskiej - Artykuł y 7, 8, 21 i art. 52 ust. 1 - Krajowe ustawodawstwo rozszerzające stosowanie systemu PNR na inne operacje transportu wykonywane w Unii - Swoboda przemieszczania się w ramach Unii - Karta praw podstawowych - Artykuł 45]Język postępowania: francuski
(2022/C 340/05)
(Dz.U.UE C z dnia 5 września 2022 r.)
Sąd odsyłający
Cour constitutionnelle
Strony w postępowaniu głównym
Strona skarżąca: Ligue des droits humains
Strona pozwana: Conseil des ministres
Sentencja
1) Artykuł 2 ust. 2 lit. d) i art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) należy interpretować w ten sposób, że rozporządzenie to znajduje zastosowanie do przetwarzania danych osobowych przewidzianego przez krajowe ustawodawstwo mające na celu transpozycję do prawa krajowego przepisów dyrektywy Rady 2004/82/WE z dnia 29 kwietnia 2004 r. w sprawie zobowiązania przewoźników do przekazywania danych pasażerów, dyrektywy Parlamentu Europejskiego i Rady 2010/65/UE z dnia 20 października 2010 r. w sprawie formalności sprawozdawczych dla statków wchodzących do lub wychodzących z portów państw członkowskich i uchylającej dyrektywę 2002/6/WE oraz dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania w odniesieniu do, po pierwsze, przetwarzania danych dokonywanego przez podmioty prywatne, a po drugie, przetwarzania danych dokonywanego przez organy publiczne, podlegających, wyłącznie lub również, dyrektywie 2004/82 lub dyrektywie 2010/65. Wspomniane rozporządzenie nie znajduje natomiast zastosowania do przewidzianego przez takie ustawodawstwo przetwarzania danych podlegającego wyłącznie dyrektywie 2016/681, dokonywanego przez jednostki do spraw informacji o pasażerach (JIP) lub przez właściwe organy do celów, o których mowa w art. 1 ust. 2 tej dyrektywy.
2) Zważywszy że wykładnia dyrektywy 2016/681 w świetle art. 7, 8 i 21 Karty praw podstawowych Unii Europejskiej zapewnia zgodność tej dyrektywy ze wspomnianymi artykułami karty praw podstawowych, analiza pytań prejudycjalnych od drugiego do czwartego i pytania szóstego nie wykazała istnienia żadnego elementu mogącego wpłynąć na ważność owej dyrektywy.
3) Artykuł 6 dyrektywy 2016/681 w świetle art. 7, 8 i art. 52 ust. 1 karty praw podstawowych należy interpretować w ten sposób, że stoi on na przeszkodzie ustawodawstwu krajowemu, które dopuszcza przetwarzanie zgromadzonych zgodnie z tą dyrektywą danych dotyczących przelotu pasażera (PNR) do celów innych niż wyraźnie określone w jej art. 1 ust. 2.
4) Artykuł 12 ust. 3 lit. b) dyrektywy 2016/681 należy interpretować w ten sposób, że stoi on na przeszkodzie ustawodawstwu krajowemu, zgodnie z którym organ wyznaczony jako jednostka do spraw informacji o pasażerach (JIP) ma również status właściwego krajowego organu upoważnionego do zatwierdzania ujawnienia danych PNR po upływie okresu sześciu miesięcy od chwili przekazania JIP tych danych.
5) Artykuł 12 ust. 1 dyrektywy 2016/681 w związku z art. 7, 8 i art. 52 ust. 1 karty praw podstawowych należy interpretować w ten sposób, że stoi on na przeszkodzie ustawodawstwu krajowemu, które przewiduje ogólny okres zatrzymywania danych wynoszący pięć lat, stosowany bez rozróżnienia do wszystkich pasażerów lotniczych, w tym do tych, w stosunku do których nie została przeprowadzona ani ocena wstępna, o której mowa w art. 6 ust. 2 lit. a) tej dyrektywy, ani ewentualne kontrole dokonywane w trakcie sześciomiesięcznego okresu, o którym mowa w art. 12 ust. 2 wspomnianej dyrektywy, ani też żadna inna okoliczność nie ujawniła istnienia obiektywnych czynników zdolnych uzasadnić ryzyko w zakresie przestępstw terrorystycznych lub poważnej przestępczości mające obiektywny związek, chociażby pośredni, z przewozem lotniczym pasażerów.
6) Dyrektywę 2004/82 należy interpretować w ten sposób, że nie znajduje ona zastosowania do lotów, regularnych lub nieregularnych, wykonywanych przez przewoźnika lotniczego z terytorium państwa członkowskiego z zaplanowanym lądowaniem na terytorium co najmniej jednego innego państwa członkowskiego, bez postojów na terytorium państwa trzeciego (loty wewnątrzunijne).
7) Prawo Unii, w szczególności art. 2 dyrektywy 2016/681, w świetle art. 3 ust. 2 TUE, art. 67 ust. 2 TFUE i art. 45 karty praw podstawowych należy interpretować w ten sposób, że stoi ono na przeszkodzie:
- ustawodawstwu krajowemu, które przewiduje, w braku rzeczywistego i aktualnego lub przewidywalnego zagrożenia terrorystycznego, wobec którego stoi dane państwo członkowskie, system przekazywania, przez przewoźników lotniczych i operatorów turystycznych oraz przetwarzania - przez właściwe organy - danych PNR wszystkich lotów wewnątrzunijnych i przewozów dokonywanych innymi środkami w obrębie Unii, z lub do tego państwa członkowskiego, lub też tranzytu przez jego terytorium, do celów walki z terroryzmem i poważną przestępczością. W takiej sytuacji stosowanie systemu ustanowionego przez dyrektywę 2016/681 musi być ograniczone do przekazywania i przetwarzania danych PNR lotów lub innych operacji przewozu odnoszących się w szczególności do określonych połączeń lub planów podróży czy też określonych lotnisk, stacji kolejowych lub portów morskich, w stosunku do których istnieją wskazania mogące uzasadnić takie zastosowanie. Do zainteresowanego państwa członkowskiego należy wyselekcjonowanie lotów wewnątrzunijnych lub operacji przewozu innymi środkami wewnątrz Unii, w odniesieniu do których istnieją takie wskazania, i regularne dokonywanie przeglądu takiego stosowania w zależności od ewolucji przesłanek, które uzasadniły ich wyselekcjonowanie, tak aby zapewnić, by stosowanie tego systemu do tych lotów lub innych operacji przewozu było zawsze ograniczone do tego, co ściśle niezbędne, i
- ustawodawstwu krajowemu, które przewiduje taki system przekazywania i przetwarzania wspomnianych danych do celów ulepszenia kontroli na granicach i zwalczania nielegalnej imigracji.
8) Prawo Unii należy interpretować w ten sposób, że stoi ono na przeszkodzie temu, aby sąd krajowy ograniczył w czasie skutki dokonywanego przez niego stwierdzenia niezgodności z prawem, na mocy prawa krajowego, ustawodawstwa krajowego nakładającego na przewoźników lotniczych, kolejowych i lądowych oraz operatorów podróży obowiązek przekazywania danych PNR i przewidującego przetwarzanie i zatrzymywanie tych danych niezgodne z przepisami dyrektywy 2016/681 interpretowanych w świetle art. 3 ust. 2 TUE, art. 67 ust. 2 TUE, art. 7, 8, 45 i art. 52 ust. 1 karty praw podstawowych. Dopuszczalność dowodów uzyskanych w ten sposób podlega, zgodnie z zasadą autonomii proceduralnej państw członkowskich, prawu krajowemu, z zastrzeżeniem poszanowania między innymi zasad równoważności i skuteczności.
