Wyrok Trybunału (wielka izba) z dnia 21 czerwca 2022 r. Ligue des droits humains ASBL przeciwko Conseil des ministres., sygn. C-817/19

1)Artykuł 2 ust. 2 lit. d) oraz art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) należy interpretować w ten sposób, iż rozporządzenie to ma zastosowanie do przetwarzania danych osobowych przewidzianego przez uregulowanie krajowe dokonujące transpozycji do prawa krajowego jednocześnie przepisów dyrektywy Rady 2004/82/WE z dnia 29 kwietnia 2004 r. w sprawie zobowiązania przewoźników do przekazywania danych pasażerów, dyrektywy Parlamentu Europejskiego i Rady 2010/65/UE z dnia 20 października 2010 r. w sprawie formalności sprawozdawczych dla statków wchodzących do lub wychodzących z portów państw członkowskich i uchylającej dyrektywę 2002/6/WE oraz dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania, w zakresie, po pierwsze, przetwarzania danych dokonywanego przez podmioty prywatne, a po drugie, dokonywanego przez organy publiczne przetwarzania danych objętego dyrektywą 2004/82, dyrektywą 2010/65 lub obiema tymi dyrektywami. Rozporządzenie to nie ma natomiast zastosowania do przewidzianego przez to uregulowanie przetwarzania danych objętego jedynie dyrektywą 2016/681, które jest dokonywane przez jednostkę do spraw informacji o pasażerach (JIP) lub właściwe organy w celach wskazanych w art. 1 ust. 2 tej dyrektywy.2)Jako że wykładnia dyrektywy 2016/681, w świetle art. 7, 8 i 21 oraz art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej, zapewnia zgodność tej dyrektywy ze wskazanymi postanowieniami karty, analiza pytań od drugiego do czwartego oraz pytania szóstego nie doprowadziła do żadnych ustaleń, które mogłyby mieć wpływ na ważność owej dyrektywy.3)Artykuł 6 dyrektywy 2016/681, w związku z art. 7 i 8 oraz art. 52 ust. 1 karty praw podstawowych, należy interpretować w ten sposób, że stoi on na przeszkodzie uregulowaniu krajowemu, które zezwala na przetwarzanie danych dotyczących przelotu pasażera (danych PNR), gromadzonych zgodnie z tą dyrektywą, do celów innych niż wprost wskazane w art. 1 ust. 2 owej dyrektywy.4)Artykuł 12 ust. 3 lit. b) dyrektywy 2016/681 należy interpretować w ten sposób, że stoi on na przeszkodzie uregulowaniu krajowemu, zgodnie z którym organ ustanowiony jako jednostka do spraw informacji o pasażerach (JIP) ma jednocześnie status właściwego organu krajowego uprawnionego do udzielania zgody na ujawnienie danych PNR po upływie okresu sześciu miesięcy od przekazania tych danych do JIP.5)Artykuł 12 ust. 1 dyrektywy 2016/681, w związku z art. 7 i 8 oraz art. 52 ust. 1 karty praw podstawowych, należy interpretować w ten sposób, że stoi on na przeszkodzie uregulowaniu krajowemu, które przewiduje ogólny okres zatrzymywania danych wynoszący pięć lat, mający zastosowanie bez rozróżnienia do wszystkich pasażerów, w tym do takich, co do których ani podczas wstępnej oceny, o której mowa w art. 6 ust. 2 lit. a) tej dyrektywy, ani podczas ewentualnych sprawdzeń dokonywanych w okresie sześciu miesięcy, o którym mowa w art. 12 ust. 2 wspomnianej dyrektywy, ani w innych okolicznościach nie wykryto istnienia jakichkolwiek obiektywnych przesłanek wskazujących na to, że mogą stanowić ryzyko w zakresie przestępstw terrorystycznych lub poważnej przestępczości, które mają obiektywny związek, choćby pośredni, z lotniczym przewozem pasażerów.6)Dyrektywę 2004/82 należy interpretować w ten sposób, że nie ma ona zastosowania do lotów regularnych lub nieregularnych, obsługiwanych przez przewoźnika lotniczego, odbywających się z terytorium państwa członkowskiego, z zaplanowanym lądowaniem na terytorium co najmniej jednego państwa członkowskiego, bez postojów na terytorium państw trzecich (lotów wewnątrzunijnych).7)Prawo Unii, w szczególności art. 2 dyrektywy 2016/681, w związku z art. 3 ust. 2 TUE, art. 67 ust. 2 TFUE oraz art. 45 karty praw podstawowych należy interpretować w ten sposób, że stoi ono na przeszkodzie:uregulowaniu krajowemu, które przewiduje, przy braku rzeczywistego i aktualnego lub dającego się przewidzieć zagrożenia terrorystycznego, z którym zmaga się państwo członkowskie, system przekazywania przez przewoźników lotniczych i operatorów podróży, a także przetwarzania przez właściwe organy, danych PNR dotyczących wszystkich lotów wewnątrzunijnych i przewozów realizowanych innymi środkami transportu wewnątrz Unii, które rozpoczynają się, kończą lub przebiegają przez to państwo członkowskie, w celu zwalczania przestępstw terrorystycznych i poważnej przestępczości. W takim przypadku stosowanie systemu wprowadzonego dyrektywą 2016/681 powinno być ograniczone do przekazywania i przetwarzania danych PNR lotów lub innych przewozów dotyczących, w szczególności, niektórych połączeń lub planów podróży, lub niektórych lotnisk, dworców lub portów morskich, co do których istnieją przesłanki uzasadniające takie stosowanie. To do danego państwa członkowskiego należy wybór lotów wewnątrzunijnych lub przewozów odbywających się za pomocą innych środków transportu wewnątrz Unii, dla których takie przesłanki istnieją, oraz dokonywanie regularnego przeglądu takiego stosowania, w zależności od zmiany warunków, które uzasadniają ich wybór, celem zapewnienia, że zastosowanie przedmiotowego systemu do takich lotów lub takich innych przewozów jest cały czas ograniczone do tego, co ściśle konieczne, iuregulowaniu krajowemu przewidującemu zastosowanie wspomnianego systemu przekazywania i przetwarzania danych do celów ulepszenia kontroli na granicach i zwalczania nielegalnej imigracji.8)Prawo Unii należy interpretować w ten sposób, że stoi ono na przeszkodzie temu, by sąd krajowy mógł ograniczyć w czasie skutki stwierdzenia niezgodności z prawem, którego ma on dokonać na podstawie prawa krajowego, uregulowania krajowego nakładającego na przewoźników lotniczych, kolejowych i lądowych, a także operatorów podróży obowiązek przekazywania danych PNR i przewidującego przetwarzanie i zatrzymanie tych danych niezgodne z przepisami dyrektywy PNR, w związku z art. 3 ust. 2 TUE, art. 67 ust. 2 TFUE, art. 7, 8 i 45 oraz art. 52 ust. 1 karty. Kwestia dopuszczalności dowodów uzyskanych w przedmiotowy sposób należy, zgodnie z zasadą autonomii proceduralnej państw członkowskich, do prawa krajowego, z zastrzeżeniem poszanowania w szczególności zasad równoważności i skuteczności.