Διευκρινίσεις σχετικά με το πεδίο εφαρμογής και τους περιορισμούς της επεξεργασίας προσωπικών δεδομένων επιβατών πτήσεων
Με σημερινή του απόφαση του Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε ότι ο σεβασμός των θεμελιωδών δικαιωμάτων επιβάλλει να περιορίζεται η άσκηση των εξουσιών που προβλέπει η οδηγία PNR στον απολύτως αναγκαίο βαθμό.
Σύμφωνα με το ΔΕΕ, εφόσον ένα κράτος μέλος δεν αντιμετωπίζει πραγματική και παρούσα ή προβλέψιμη τρομοκρατική απειλή, το δίκαιο της Ένωσης αντιτίθεται σε εθνική νομοθεσία η οποία προβλέπει τη διαβίβαση και επεξεργασία δεδομένων PNR για πτήσεις εντός της Ένωσης, καθώς και για μεταφορές που πραγματοποιούνται με άλλα μέσα εντός της Ένωσης.
Ιστορικό
Η οδηγία PNR1 επιβάλλει τη συστηματική επεξεργασία σημαντικού αριθμού δεδομένων PNR (Passenger Name Record) των επιβατών αεροπορικών πτήσεων εκτός της Ένωσης, κατά την είσοδο και την έξοδο από την Ένωση, με σκοπό την καταπολέμηση της τρομοκρατίας και της σοβαρής εγκληματικότητας. Επιπλέον, το άρθρο 2 προβλέπει τη δυνατότητα των κρατών μελών να εφαρμόζουν την οδηγία και στις πτήσεις εντός της Ένωσης.
Η Ligue des droits humains (LDH) είναι ένωση μη κερδοσκοπικού σκοπού η οποία προσέφυγε στο Cour constitutionnelle (Συνταγματικό Δικαστήριο, Βέλγιο) τον Ιούλιο του 2017, ζητώντας την ακύρωση του νόμου της 25ης Δεκεμβρίου 2016 για τη μεταφορά της οδηγίας PNR, της οδηγίας API2 και της οδηγίας 2010/653 στο βελγικό δίκαιο Κατά την LDH, ο νόμος αυτός προσβάλλει το δικαίωμα σεβασμού της ιδιωτικής ζωής και προστασίας των δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο βελγικό δίκαιο και στο δίκαιο της Ένωσης. Οι επικρίσεις της αφορούν, αφενός, το πολύ μεγάλο εύρος των δεδομένων PNR και, αφετέρου, τον γενικευμένο χαρακτήρα της συλλογής, της διαβίβασης και της επεξεργασίας των δεδομένων αυτών. Υποστηρίζει ακόμη ότι ο νόμος θίγει επίσης την ελεύθερη κυκλοφορία των προσώπων, καθόσον εμμέσως επαναφέρει τους ελέγχους στα σύνορα επεκτείνοντας το σύστημα PNR στις πτήσεις καθώς και στις μεταφορές προσώπων με άλλα μεταφορικά μέσα εντός της Ένωσης.
Τον Οκτώβριο του 2019, το Συνταγματικό Δικαστήριο υπέβαλε στο Δικαστήριο δέκα προδικαστικά ερωτήματα σχετικά, μεταξύ άλλων, με το κύρος της οδηγίας PNR και τη συμβατότητα του νόμου της 25ης Δεκεμβρίου 2016 με το δίκαιο της Ένωσης.
Η απόφαση του Δικαστηρίου
Με τη σημερινή του απόφαση, το Δικαστήριο κρίνει, πρώτον, ότι, δεδομένου ότι η ερμηνεία των διατάξεων της οδηγίας PNR από το Δικαστήριο υπό το πρίσμα των θεμελιωδών δικαιωμάτων που κατοχυρώνονται στα άρθρα 7, 8 και 21, καθώς και στο άρθρο 52, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης) εξασφαλίζει τη συμβατότητα της οδηγίας προς τα άρθρα αυτά, από την εξέταση των προδικαστικών ερωτημάτων δεν προκύπτει κανένα στοιχείο που να θίγει το κύρος της οδηγίας.
Προκαταρκτικώς, το Δικαστήριο υπενθυμίζει ότι μια πράξη της Ένωσης πρέπει να ερμηνεύεται, στο μέτρο του δυνατού, κατά τρόπον ώστε να μη θίγεται το κύρος της και συμφώνως προς το σύνολο του πρωτογενούς δικαίου και, ιδίως, προς τις διατάξεις του Χάρτη, τα δε κράτη μέλη οφείλουν να μεριμνούν ώστε να μη βασίζονται σε ερμηνεία της πράξης αυτής αντίθετη προς τα θεμελιώδη δικαιώματα που προστατεύονται από την έννομη τάξη της Ένωσης ή αντίθετη προς τις λοιπές γενικές αρχές που αναγνωρίζονται στην εν λόγω έννομη τάξη. Όσον αφορά την οδηγία PNR, το Δικαστήριο διευκρινίζει ότι πολλές από τις αιτιολογικές σκέψεις και τις διατάξεις της οδηγίας απαιτούν μια τέτοια σύμφωνη ερμηνεία και υπογραμμίζει τη σημασία που αποδίδει ο νομοθέτης της Ένωσης στον πλήρη σεβασμό των θεμελιωδών δικαιωμάτων που κατοχυρώνονται στον Χάρτη, κάνοντας λόγο για υψηλό επίπεδο προστασίας των δεδομένων.
Το Δικαστήριο διαπιστώνει ότι η οδηγία PNR συνεπάγεται αναμφίβολα επεμβάσεις στα δικαιώματα που κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη, στο μέτρο ιδίως που αποσκοπεί στην εγκαθίδρυση ενός συστήματος διαρκούς, μη στοχευμένης και συστηματικής επιτήρησης, η οποία περιλαμβάνει αυτόματη αξιολόγηση των δεδομένων προσωπικού χαρακτήρα όλων των προσώπων που κάνουν χρήση υπηρεσιών αεροπορικής μεταφοράς. Υπενθυμίζει ότι, για την εκτίμηση της δυνατότητας των κρατών μελών να δικαιολογούν τέτοια επέμβαση, πρέπει να λαμβάνεται υπόψη η βαρύτητα της επέμβασης και να εξετάζεται αν η βαρύτητα αυτή συνάδει προς τη σημασία του επιδιωκόμενου σκοπού γενικού συμφέροντος.
Το Δικαστήριο καταλήγει στο συμπέρασμα ότι η διαβίβαση, η επεξεργασία και η αποθήκευση δεδομένων PNR κατά τα προβλεπόμενα στην οδηγία μπορεί να θεωρηθεί ότι περιορίζονται στο απολύτως αναγκαίο μέτρο για την καταπολέμηση τρομοκρατικών και σοβαρών εγκλημάτων, υπό την προϋπόθεση ότι οι εξουσίες που προβλέπει η οδηγία ερμηνεύονται περιοριστικά. Συγκεκριμένα, στη σημερινή απόφαση διευκρινίζονται ιδίως τα εξής:
– Το σύστημα που καθιερώνει η οδηγία PNR πρέπει να καλύπτει μόνον πληροφορίες δυνάμενες να προσδιοριστούν με σαφήνεια και εμπίπτουσες στις κατηγορίες δεδομένων του παραρτήματος Ι της οδηγίας, οι οποίες σχετίζονται με την πραγματοποιηθείσα πτήση και με τον αντίστοιχο επιβάτη, όπερ συνεπάγεται, όσον αφορά ορισμένες από τις κατηγορίες δεδομένων του παραρτήματος αυτού, ότι καλύπτονται μόνον οι ρητώς μνημονευόμενες πληροφορίες.
– Η εφαρμογή του συστήματος που καθιερώνει η οδηγία PNR πρέπει να περιορίζεται μόνο στα τρομοκρατικά εγκλήματα καθώς και στα σοβαρά εγκλήματα που αντικειμενικώς συνδέονται, έστω εμμέσως, με την αεροπορική μεταφορά επιβατών. Όσον αφορά τα συγκεκριμένα εγκλήματα, η εφαρμογή του συστήματος δεν πρέπει να εκτείνεται σε εγκλήματα τα οποία, μολονότι πληρούν το κριτήριο του βαθμού σοβαρότητας που προβλέπει η οδηγία και μολονότι μνημονεύονται στο παράρτημα ΙΙ αυτής, εμπίπτουν εντούτοις στο κοινό έγκλημα λόγω των ιδιαιτεροτήτων του εθνικού ποινικού συστήματος.
– Η ενδεχόμενη επέκταση της εφαρμογής της οδηγίας PNR στο σύνολο ή σε μέρος των πτήσεων εντός της Ένωσης, την οποία μπορεί να αποφασίσει ένα κράτος μέλος κάνοντας χρήση της ευχέρειας που προβλέπει η οδηγία, πρέπει να περιορίζεται στο απολύτως αναγκαίο. Γι’ αυτό, πρέπει να αποτελεί αντικείμενο αποτελεσματικού ελέγχου από δικαιοδοτικό όργανο ή από ανεξάρτητη διοικητική αρχή, των οποίων οι αποφάσεις παράγουν δεσμευτικά αποτελέσματα.
Συναφώς, το Δικαστήριο διευκρινίζει:
- μόνο στην περίπτωση που το κράτος μέλος διαπιστώνει ότι συντρέχουν περιστάσεις αρκούντως συγκεκριμένες ώστε να θεωρήσει ότι αντιμετωπίζει πραγματική και παρούσα ή προβλέψιμη τρομοκρατική απειλή μπορεί να γίνει δεκτό ότι δεν υπερβαίνει το απολύτως αναγκαίο μέτρο η εφαρμογή της οδηγίας PNR σε όλες τις πτήσεις εντός της Ένωσης από ή προς το εν λόγω κράτος μέλος για ένα απολύτως αναγκαίο χρονικό διάστημα, το οποίο δύναται όμως να παραταθεί.
- Ελλείψει τέτοιας τρομοκρατικής απειλής, η εφαρμογή της οδηγίας δεν μπορεί να επεκταθεί σε όλες τις πτήσεις εντός της Ένωσης, αλλά πρέπει να περιορίζεται στις πτήσεις εντός της Ένωσης οι οποίες σχετίζονται με ορισμένα αεροπορικά δρομολόγια, ορισμένα ταξίδια ή ορισμένα αεροδρόμια για τα οποία υφίστανται, κατά την εκτίμηση του οικείου κράτους μέλους, ενδείξεις ικανές να δικαιολογήσουν την εφαρμογή της οδηγίας. Ο απολύτως αναγκαίος χαρακτήρας της εφαρμογής της οδηγίας σε επιλεγμένες κατά τα προεκτεθέντα πτήσεις εντός της Ένωσης πρέπει να επανεξετάζεται τακτικά, ανάλογα με την εξέλιξη των συνθηκών που δικαιολόγησαν την επιλογή τους.
– Για την προηγούμενη αξιολόγηση των δεδομένων PNR, σκοπός της οποίας είναι η ταυτοποίηση των προσώπων για τα οποία απαιτείται διεξοδικότερος έλεγχος πριν από την άφιξη ή την αναχώρησή τους και η οποία, σε πρώτο στάδιο, διενεργείται με αυτοματοποιημένη επεξεργασία, η μονάδα στοιχείων επιβατών (ΜΣΕ) μπορεί, αφενός, να αντιπαραβάλει τα δεδομένα αυτά μόνο με τις βάσεις δεδομένων για πρόσωπα ή αντικείμενα που αναζητούνται ή για τα οποία υπάρχει σχετική καταχώριση. Οι βάσεις δεδομένων πρέπει να μην εισάγουν δυσμενείς διακρίσεις και να αξιοποιούνται από τις αρμόδιες αρχές για την καταπολέμηση τρομοκρατικών και σοβαρών εγκλημάτων που αντικειμενικώς συνδέονται, έστω εμμέσως, με την αεροπορική μεταφορά επιβατών. Όσον αφορά, αφετέρου, την προηγούμενη αξιολόγηση βάσει προκαθορισμένων κριτηρίων, η ΜΣΕ δεν επιτρέπεται να χρησιμοποιεί τεχνολογίες τεχνητής νοημοσύνης στο πλαίσιο συστημάτων αυτόματης εκμάθησης (machine learning), δυνάμενων να τροποποιούν, χωρίς ανθρώπινη παρέμβαση και ανθρώπινο έλεγχο, τη διαδικασία της αξιολόγησης και, ιδίως, τα κριτήρια αξιολόγησης βάσει των οποίων προκύπτει το αποτέλεσμα της εφαρμογής της εν λόγω διαδικασίας, καθώς και τη στάθμιση των κριτηρίων αυτών. Τα ως άνω κριτήρια πρέπει να καθορίζονται κατά τρόπον ώστε, αφενός, η εφαρμογή τους να στοχεύει ειδικώς τα πρόσωπα για τα οποία υπάρχει εύλογη υπόνοια συμμετοχής σε τρομοκρατικά ή σοβαρά εγκλήματα και, αφετέρου, να λαμβάνονται υπόψη τόσον τα «επιβαρυντικά» όσο και τα «ελαφρυντικά» στοιχεία και να μην προκαλούνται άμεσες ή έμμεσες δυσμενείς διακρίσεις.
– Λαμβανομένου υπόψη του ποσοστού σφάλματος που είναι εγγενές στις αυτοματοποιημένες επεξεργασίες δεδομένων PNR και του αρκετά υψηλού αριθμού «ψευδώς θετικών» αποτελεσμάτων που εμφανίστηκαν κατά την εφαρμογή τέτοιων μεθόδων επεξεργασίας κατά τα έτη 2018 και 2019, η καταλληλότητα του συστήματος που θεσπίζει η οδηγία PNR για την επίτευξη των επιδιωκόμενων σκοπών εξαρτάται ουσιαστικά από την ορθή λειτουργία του ελέγχου των θετικών αποτελεσμάτων που προκύπτουν από τις αυτοματοποιημένες επεξεργασίες δεδομένων, ελέγχου τον οποίον διενεργεί εκ των υστέρων η ΜΣΕ με μη αυτοματοποιημένα μέσα. Συνεπώς, τα κράτη μέλη πρέπει να προβλέπουν σαφείς και ακριβείς κανόνες που να καθοδηγούν και να πλαισιώνουν την ανάλυση που διενεργούν οι αρμόδιοι για την εξατομικευμένη επανεξέταση υπάλληλοι της ΜΣΕ, προκειμένου να διασφαλίζεται ο πλήρης σεβασμός των θεμελιωδών δικαιωμάτων που κατοχυρώνονται στα άρθρα 7, 8 και 21 του Χάρτη και, ιδίως, να διασφαλίζεται μια συνεκτική διοικητική πρακτική εντός της ΜΣΕ που τηρεί την αρχή της απαγορεύσεως των δυσμενών διακρίσεων. Ειδικότερα, πρέπει να διασφαλίζεται ότι η ΜΣΕ καθορίζει αντικειμενικά κριτήρια επανεξέτασης τα οποία παρέχουν στους υπαλλήλους της τη δυνατότητα να ελέγχουν, αφενός, αν και σε ποιο βαθμό ένα θετικό αποτέλεσμα (hit) αφορά πράγματι πρόσωπο το οποίο ενδεχομένως εμπλέκεται σε τρομοκρατικά ή σε σοβαρά εγκλήματα καθώς και, αφετέρου, τον αμερόληπτο χαρακτήρα της αυτοματοποιημένης επεξεργασίας. Στο πλαίσιο αυτό, το Δικαστήριο υπογραμμίζει επίσης ότι οι αρμόδιες αρχές πρέπει να διασφαλίζουν ότι ο ενδιαφερόμενος μπορεί να κατανοήσει τη λειτουργία των προκαθορισμένων κριτηρίων αξιολόγησης και των προγραμμάτων που εφαρμόζουν τα κριτήρια αυτά, ώστε να μπορεί να αποφασίσει, με πλήρη γνώση των περιστάσεων, αν θα ασκήσει ή όχι το δικαίωμά του ένδικης προσφυγής. Ομοίως, στο πλαίσιο μιας τέτοιας προσφυγής, ο δικαστής που είναι αρμόδιος για τον έλεγχο νομιμότητας της αποφάσεως των αρμοδίων αρχών καθώς και ο ίδιος ο ενδιαφερόμενος, εφόσον δεν πρόκειται για περίπτωση απειλής κατά της ασφάλειας του κράτους, πρέπει να μπορούν να λάβουν γνώση τόσο του συνόλου των λόγων όσο και των αποδεικτικών στοιχείων βάσει των οποίων ελήφθη η απόφαση αυτή, περιλαμβανομένων των προκαθορισμένων κριτηρίων αξιολόγησης και του τρόπου λειτουργίας των προγραμμάτων που εφαρμόζουν τα προαναφερθέντα κριτήρια.
– Η κοινοποίηση και η αξιολόγηση των δεδομένων PNR εκ των υστέρων, δηλαδή μετά την άφιξη ή την αναχώρηση του προσώπου το οποίο αφορούν τα δεδομένα, μπορούν να πραγματοποιούνται μόνο βάσει νέων περιστάσεων και αντικειμενικών στοιχείων που είτε θεμελιώνουν εύλογη υπόνοια ανάμειξης του προσώπου αυτού σε σοβαρά εγκλήματα, αντικειμενικώς συνδεόμενα, έστω εμμέσως, με την αεροπορική μεταφορά επιβατών, είτε οδηγούν στο συμπέρασμα ότι τα δεδομένα αυτά θα μπορούσαν, σε συγκεκριμένη περίπτωση, να συμβάλουν αποτελεσματικά στην καταπολέμηση των τρομοκρατικών εγκλημάτων που έχουν τέτοιο σύνδεσμο με την αεροπορική μεταφορά επιβατών. Η διαβίβαση δεδομένων PNR για τους σκοπούς μιας τέτοιας μεταγενέστερης αξιολόγησης πρέπει, κατ’ αρχήν, εφόσον δεν συντρέχει περίπτωση έκτακτης ανάγκης δεόντως αιτιολογημένης, να υπόκειται σε προηγούμενο έλεγχο είτε από δικαιοδοτικό όργανο είτε από ανεξάρτητη διοικητική αρχή, κατόπιν αιτιολογημένου αιτήματος των αρμόδιων αρχών, ανεξάρτητα από το αν το αίτημα αυτό υποβάλλεται πριν ή μετά την παρέλευση εξαμήνου μετά τη διαβίβαση των δεδομένων στη ΜΣΕ.
Δεύτερον, το Δικαστήριο κρίνει ότι η οδηγία PNR, ερμηνευόμενη υπό το πρίσμα του Χάρτη, αντιτίθεται σε εθνική νομοθεσία που επιτρέπει την επεξεργασία δεδομένων PNR, συλλεγόμενων σύμφωνα με την οδηγία, για σκοπούς άλλους από εκείνους που αναφέρονται ρητώς στο άρθρο 1, παράγραφος 2, αυτής.
Τρίτον, όσον αφορά την περίοδο διατήρησης των δεδομένων PNR, το Δικαστήριο κρίνει ότι το άρθρο 12 της οδηγίας PNR, ερμηνευόμενο υπό το πρίσμα των άρθρων 7 και 8 και του άρθρου 52, παράγραφος 1, του Χάρτη, αντιτίθεται σε εθνική νομοθεσία η οποία προβλέπει γενικώς πενταετή περίοδο διατήρησης των δεδομένων αυτών, εφαρμοζόμενη αδιακρίτως σε όλους τους επιβάτες αεροπορικών μεταφορών. Πράγματι, κατά το Δικαστήριο, μετά τη λήξη της αρχικής εξάμηνης περιόδου διατήρησης, η διατήρηση των δεδομένων PNR δεν φαίνεται να περιορίζεται στο απολύτως αναγκαίο μέτρο όσον αφορά τους επιβάτες αεροπορικών μεταφορών για τους οποίους ούτε από την προηγούμενη αξιολόγηση ούτε από τους ενδεχόμενους ελέγχους που διενεργήθηκαν κατά την αρχική εξάμηνη περίοδο διατήρησης ούτε από άλλες περιστάσεις διαπιστώθηκε η ύπαρξη αντικειμενικών στοιχείων – όπως ένα θετικό αποτέλεσμα που προέκυψε από τα δεδομένα PNR των εν λόγω επιβατών και ελέγχθηκε στο πλαίσιο της προηγούμενης αξιολόγησης – που να τεκμηριώνουν κίνδυνο τρομοκρατικών εγκλημάτων ή σοβαρών εγκλημάτων αντικειμενικώς συνδεόμενων, έστω εμμέσως, με το αεροπορικό ταξίδι των εν λόγω επιβατών. Αντιθέτως, το Δικαστήριο κρίνει ότι, κατά την αρχική εξάμηνη περίοδο, η διατήρηση των δεδομένων PNR όλων των επιβατών αεροπορικών μεταφορών που υπόκεινται στο σύστημα που θεσπίστηκε με την οδηγία PNR δεν φαίνεται, κατ’ αρχήν, να υπερβαίνει τα όρια του απολύτως αναγκαίου.
Τέταρτον, το Δικαστήριο κρίνει ότι το δίκαιο της Ένωσης αντιτίθεται σε εθνική νομοθεσία η οποία, αποσκοπώντας στην καταπολέμηση τρομοκρατικών εγκλημάτων και σοβαρών εγκλημάτων, προβλέπει, ακόμη και αν το οικείο κράτος μέλος δεν αντιμετωπίζει πραγματική και παρούσα ή προβλέψιμη τρομοκρατική απειλή, σύστημα διαβίβασης, από τους αερομεταφορείς και τους ταξιδιωτικούς πράκτορες, καθώς και σύστημα επεξεργασίας, από τις αρμόδιες αρχές, των δεδομένων PNR για το σύνολο των πτήσεων εντός της Ένωσης και των μεταφορών που πραγματοποιούνται με άλλα μέσα εντός της Ένωσης, οι οποίες προέρχονται από το εν λόγω κράτος μέλος, κατευθύνονται σε αυτό ή διέρχονται από αυτό. Συγκεκριμένα, σε μια τέτοια περίπτωση, η εφαρμογή του συστήματος που θεσπίζει η οδηγία PNR πρέπει να περιορίζεται στη διαβίβαση και επεξεργασία των δεδομένων PNR πτήσεων ή/και μεταφορών που αφορούν ορισμένα αεροπορικά δρομολόγια, ορισμένα ταξίδια ή ακόμη ορισμένους αερολιμένες, σταθμούς ή λιμένες, για τους οποίους υπάρχουν ενδείξεις που να δικαιολογούν την εφαρμογή του συστήματος αυτού. Το Δικαστήριο διευκρινίζει, εξάλλου, ότι το δίκαιο της Ένωσης αντιτίθεταισε εθνική νομοθεσία που προβλέπει ένα τέτοιο σύστημα διαβίβασης και επεξεργασίας των εν λόγω δεδομένων με σκοπό τη βελτίωση των συνοριακών ελέγχων και την καταπολέμηση της παράνομης μετανάστευσης.
Το πλήρες κείμενο και η σύνοψη της αποφάσεως είναι διαθέσιμα στην ιστοσελίδα CURIA.
- 1.Οδηγία (EE) 2016/681 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, σχετικά με τη χρήση των δεδομένων που περιέχονται στις καταστάσεις ονομάτων επιβατών (PNR) για την πρόληψη, ανίχνευση, διερεύνηση και δίωξη τρομοκρατικών και σοβαρών εγκλημάτων (ΕΕ 2016, L 119, σ. 132).
- 2.Οδηγία 2004/82/ΕΚ του Συμβουλίου, της 29ης Απριλίου 2004, σχετικά με την υποχρέωση των μεταφορέων να κοινοποιούν τα στοιχεία των επιβατών (ΕΕ 2004, L 261, σ. 24)
- 3.Οδηγία 2010/65/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Οκτωβρίου 2010, σχετικά με τις διατυπώσεις υποβολής δηλώσεων για τα πλοία κατά τον κατάπλου ή/και απόπλου από λιμένες των κρατών μελών και για την κατάργηση της οδηγίας 2002/6/ΕΚ (ΕΕ 2010, L283, σ. 1).
