Arrest van het Hof (Grote kamer) van 21 juni 2022

1. Richtlijn 95/46

3 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31) is met ingang van 25 mei 2018 ingetrokken bij de AVG. Artikel 3, lid 2, van deze richtlijn luidde als volgt:

„De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:

• die met het oog op de uitoefening van niet binnen de werkingssfeer van het Gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de Staat (waaronder de economie van de Staat, wanneer deze verwerkingen in verband staan met vraagstukken van Staatsveiligheid), en de activiteiten van de Staat op strafrechtelijk gebied;

• die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.”

2. API-richtlijn

4 De overwegingen 1, 7, 9 en 12 van de API-richtlijn luiden:

„(1) Voor een doeltreffende bestrijding van illegale immigratie en betere grenscontroles is het van essentieel belang dat alle lidstaten een regeling invoeren waarbij de verplichtingen worden vastgesteld die gelden voor luchtvervoerders die passagiers naar het grondgebied van de lidstaten vervoeren. Om die doelstelling effectiever te verwezenlijken, moeten tevens de geldboeten die in de lidstaten zijn gesteld op niet-nakoming van de verplichtingen door vervoerders, zoveel mogelijk worden geharmoniseerd, waarbij rekening moet worden gehouden met de verschillen in de rechtsstelsels en de juridische praktijk van de lidstaten.

[…]

(7) De krachtens deze richtlijn aan vervoerders op te leggen verplichtingen vormen een aanvulling op die welke zijn vastgesteld op grond van artikel 26 van de in 1990 te Schengen gesloten Overeenkomst ter uitvoering van het Akkoord van Schengen van 14 juni 1985, zoals aangevuld bij richtlijn 2001/51/EG van de Raad [van 28 juni 2001 tot aanvulling van het bepaalde in artikel 26 van de Overeenkomst ter uitvoering van het Akkoord van Schengen van 14 juni 1985 (PB 2001, L 187, blz. 45)]: de twee soorten verplichtingen dienen hetzelfde doel, namelijk beheersing van de migratiestromen en bestrijding van de illegale immigratie.

[…]

(9) Voor een doeltreffender bestrijding van illegale immigratie en een effectievere verwezenlijking van die doelstelling is het van essentieel belang dat, zonder afbreuk te doen aan richtlijn [95/46], in een zo vroeg mogelijk stadium rekening wordt gehouden met elke technologische innovatie, met name wat betreft de opneming en het gebruik van biometrische kenmerken in de door de vervoerders te verstrekken informatie.

[…]

(12) Richtlijn [95/46] is van toepassing op de verwerking van persoonsgegevens door de autoriteiten van de lidstaten. Dit houdt in dat het weliswaar legitiem is om ten behoeve van grenscontroles doorgegeven passagiersgegevens ook te gebruiken als bewijsmateriaal in procedures ter handhaving van de wettelijke en bestuursrechtelijke bepalingen inzake binnenkomst en immigratie en van de daarin vervatte bepalingen over de bescherming van de openbare orde (‚ordre public’) en nationale veiligheid, maar dat iedere verdere verwerking van die gegevens voor andere dan deze doeleinden, ingaat tegen de beginselen in artikel 6, lid 1, onder b), van richtlijn [95/46]. De lidstaten moeten voorzien in een stelsel van sancties in geval van gebruik dat in strijd is met het doel van onderhavige richtlijn.”

5 Artikel 1 van de API-richtlijn heeft als opschrift „Doel” en bepaalt:

„Deze richtlijn heeft tot doel de grenscontroles te verbeteren en de illegale immigratie te bestrijden door erin te voorzien dat de vervoerders de passagiersgegevens vooraf aan de bevoegde nationale autoriteiten verstrekken.”

6 Artikel 2 van deze richtlijn, met als opschrift „Definities”, bepaalt:

„In deze richtlijn wordt verstaan onder:

1. ‚vervoerder’: een natuurlijke of rechtspersoon die het beroepsmatige vervoer van personen door de lucht verricht;

2. ‚buitengrenzen’: de buitengrenzen van de lidstaten met derde landen;

3. ‚grenscontrole’: de controle aan de grenzen welke, onafhankelijk van enige andere aanleiding, uitsluitend op grond van de beoogde grensoverschrijding wordt uitgeoefend;

4. ‚grensdoorlaatpost’: een door de bevoegde autoriteiten voor grensoverschrijding aangewezen doorlaatpost aan de buitengrenzen;

5. ‚persoonsgegevens’, ‚verwerking van persoonsgegevens’ en ‚bestand van persoonsgegevens’: de betekenis die eraan wordt gegeven in artikel 2 van richtlijn [95/46].”

7 Artikel 3 van deze richtlijn heeft als opschrift „Verstrekking van gegevens” en bepaalt in de leden 1 en 2:

„1.

De lidstaten nemen de nodige maatregelen om de vervoerders te verplichten aan de autoriteiten die belast zijn met de controle van personen aan de buitengrenzen, vóór het eind van de instapcontroles desgevraagd informatie te verstrekken over de passagiers die zij zullen vervoeren naar een aangewezen grensdoorlaatpost via welke deze personen het grondgebied van een lidstaat binnenkomen.

2.

De bovenbedoelde informatie bevat:

• het nummer en de aard van het gebruikte reisdocument;

• de nationaliteit;

• de volledige naam;

• de geboortedatum;

• de grensdoorlaatpost van binnenkomst op het grondgebied van de lidstaten;

• het vervoermiddel;

• het tijdstip van vertrek en van aankomst van het vervoermiddel;

• het totale aantal met dat vervoermiddel vervoerde passagiers;

• het eerste instappunt.”

8 Artikel 6 van de API-richtlijn, „Verwerking van gegevens”, luidt als volgt:

„1.

De in artikel 3, lid 1, bedoelde persoonsgegevens worden verstrekt aan de autoriteiten die belast zijn met de controle van personen aan de buitengrenzen via welke de passagier het grondgebied van een lidstaat zal binnenkomen, zulks om de uitvoering van deze controle te vergemakkelijken met als doel de illegale immigratie doeltreffender te bestrijden.

De lidstaten zorgen ervoor dat deze gegevens door de vervoerders worden verzameld en langs elektronische weg of, wanneer dat middel niet voorhanden is, op enige andere geschikte wijze, worden verstrekt aan de autoriteiten die belast zijn met de grenscontroles aan de erkende doorlaatpost via welke de passagier het grondgebied van een lidstaat zal binnenkomen. De autoriteiten die belast zijn met de controle van de personen die de buitengrenzen overschrijden, bewaren de gegevens in een tijdelijk bestand.

Nadat de passagiers het grondgebied zijn binnengekomen, vernietigen deze autoriteiten de gegevens binnen 24 uur na de toezending ervan, tenzij deze later nodig zijn voor de uitoefening van de wettelijke taken van de autoriteiten die belast zijn met de controle van personen aan de buitengrenzen, overeenkomstig het nationale recht en de in richtlijn [95/46] vervatte bepalingen inzake gegevensbescherming.

De lidstaten nemen de nodige maatregelen om de vervoerders te verplichten binnen 24 uur na aankomst van het vervoermiddel overeenkomstig artikel 3, lid 1, de in het kader van deze richtlijn door hen verzamelde en aan de grensautoriteiten verstrekte persoonsgegevens te vernietigen.

Overeenkomstig hun nationale recht en de in richtlijn [95/46] vervatte bepalingen inzake gegevensbescherming kunnen de lidstaten de in artikel 3, lid 1, bedoelde persoonsgegevens ook voor wetshandhavingsdoeleinden gebruiken.

2.

De lidstaten nemen de nodige maatregelen om de vervoerders te verplichten aan de passagiers informatie te verstrekken overeenkomstig richtlijn [95/46]. Daaronder valt ook de informatie als bedoeld in artikel 10, onder c), en artikel 11, lid 1, onder c), van richtlijn [95/46].”

3. Richtlijn 2010/65

9 Richtlijn 2010/65 wordt met ingang van 15 augustus 2025 ingetrokken overeenkomstig artikel 25 van verordening (EU) 2019/1239 van het Europees Parlement en de Raad van 20 juni 2019 tot instelling van een Europees maritiem éénloketsysteem en tot intrekking van richtlijn 2010/65 (PB 2019, L 198, blz. 64).

10 Overweging 2 van deze richtlijn luidt:

„Om het zeevervoer te vergemakkelijken en de administratieve lasten voor de scheepvaartmaatschappijen te verminderen, moeten de meldingsformaliteiten die in de rechtshandelingen van de Unie en de lidstaten worden voorgeschreven, zoveel mogelijk worden vereenvoudigd en geharmoniseerd. […]”

11 Artikel 1 van deze richtlijn, „Voorwerp en toepassingsgebied”, bepaalt in de leden 1 en 2:

„1.

Deze richtlijn heeft ten doel de administratieve procedures die van toepassing zijn op het zeevervoer te vereenvoudigen en te harmoniseren door de algemene invoering van de elektronische overdracht van gegevens en door rationalisering van de meldingsformaliteiten.

2.

Deze richtlijn is van toepassing op de meldingsformaliteiten betreffende het zeevervoer voor schepen die aankomen in en vertrekken uit havens van de lidstaten.”

12 Artikel 8 van deze richtlijn heeft als opschrift „Vertrouwelijkheid” en luidt:

„1.

De lidstaten nemen overeenkomstig de toepasselijke rechtshandelingen van de Unie of het nationale recht de nodige maatregelen om de vertrouwelijkheid van de overeenkomstig deze richtlijn uitgewisselde commerciële en andere vertrouwelijke informatie te waarborgen.

2.

De lidstaten dragen er in het bijzonder zorg voor dat commerciële gegevens die uit hoofde van deze richtlijn worden verzameld worden beschermd. Waar het gaat om persoonsgegevens zien de lidstaten erop toe dat wordt voldaan aan richtlijn [95/46]. De instellingen en organen van de [Europese] Unie zien erop toe dat wordt voldaan aan verordening (EG) nr. 45/2001 [van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB 2001, L 8, blz. 1)].”

4. AVG

13 Overweging 19 AVG luidt als volgt:

„De bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, en het vrije verkeer van die gegevens wordt geregeld in een specifieke rechtshandeling van de Unie. Deze verordening mag derhalve niet van toepassing zijn op de met die doeleinden verrichte verwerkingsactiviteiten. Persoonsgegevens die door overheidsinstanties in het kader van deze verordening worden verwerkt moeten echter, wanneer ze voor die doeleinden worden gebruikt, vallen onder een meer specifieke rechtshandeling van de Unie, namelijk richtlijn (EU) 2016/680 van het Europees Parlement en de Raad [van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89)]. De lidstaten kunnen bevoegde autoriteiten in de zin van [richtlijn 2016/680] taken opdragen die niet noodzakelijk worden verricht met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, zodat de verwerking van persoonsgegevens voor die andere doeleinden binnen het toepassingsgebied van deze verordening valt, voor zover zij binnen het toepassingsgebied van de Uniewetgeving valt.

[…]”

14 Artikel 2 van deze verordening heeft als opschrift „Materieel toepassingsgebied” en bepaalt in de leden 1 en 2:

„1.

Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

2.

Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:

1. in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;

2. door de lidstaten bij de uitvoering van activiteiten die binnen de werkingssfeer van titel V, hoofdstuk 2, VEU vallen;

[…]

1. door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”

15 Artikel 4 van deze verordening, „Definities”, bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

1. ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon […];

2. ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

[…]”

16 Artikel 23 AVG, „Beperkingen”, bepaalt:

„1.

De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede in artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 20, kan door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:

1. de nationale veiligheid;

2. landsverdediging;

3. de openbare veiligheid;

4. de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;

[…]

1. een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de in de punten a) tot en met e) en punt g) bedoelde gevallen;

2.

De in lid 1 bedoelde wetgevingsmaatregel bevat met name specifieke bepalingen met betrekking tot, in voorkomend geval, ten minste:

1. de doeleinden van de verwerking of van de categorieën van verwerking,

2. de categorieën van persoonsgegeven,

3. het toepassingsgebied van de ingevoerde beperkingen,

4. de waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte,

5. de specificatie van de verwerkingsverantwoordelijke of de categorieën van verwerkingsverantwoordelijken,

6. de opslagperiodes en de toepasselijke waarborgen, rekening houdend met de aard, de omvang en de doeleinden van de verwerking of van de categorieën van verwerking,

7. de risico’s voor de rechten en vrijheden van de betrokkenen, en

8. het recht van betrokkenen om van de beperking op de hoogte te worden gesteld, tenzij dit afbreuk kan doen aan het doel van de beperking.”

17 Artikel 94 van die verordening heeft als opschrift „Intrekking van richtlijn [95/46]” en bepaalt:

„1.

Richtlijn [95/46] wordt met ingang van 25 mei 2018 ingetrokken.

2.

Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar deze verordening. Verwijzingen naar de groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens, die bij artikel 29 van richtlijn [95/46] is opgericht, gelden als verwijzingen naar het bij deze verordening opgerichte Europees Comité voor gegevensbescherming.”

5. Richtlijn 2016/680

18 Richtlijn 2016/680 heeft overeenkomstig artikel 59 ervan kaderbesluit 2008/977/JBZ van de Raad van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PB 2008, L 350, blz. 60) met ingang van 6 mei 2018 ingetrokken en vervangen.

19 De overwegingen 9 tot en met 11 van richtlijn 2016/680 luiden als volgt:

„(9) Op die basis worden bij [de AVG] algemene regels vastgesteld om de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van persoonsgegevens in de Unie te waarborgen.

(10) In Verklaring nr. 21 betreffende de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking, gehecht aan de slotakte van de intergouvernementele conferentie die het Verdrag van Lissabon heeft aangenomen, erkende de conferentie dat, vanwege de specifieke aard van de justitiële samenwerking in strafzaken en de politiële samenwerking, op die gebieden specifieke voorschriften inzake de bescherming van persoonsgegevens en het vrije verkeer van persoonsgegevens op basis van artikel 16 VWEU nodig zouden kunnen blijken.

(11) Derhalve is het aangewezen dat die gebieden worden behandeld in een richtlijn waarin specifieke regels worden vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, daarbij rekening houdend met de specifieke aard van die activiteiten. Die bevoegde autoriteiten kunnen niet alleen overheidsinstanties zoals de rechterlijke autoriteiten, de politie of andere rechtshandhavingsautoriteiten omvatten, maar ook ieder ander orgaan dat of iedere andere entiteit die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen voor de doeleinden van deze richtlijn. Wanneer dat orgaan of die entiteit persoonsgegevens verwerkt voor andere doeleinden dan die van deze richtlijn, is [de AVG] van toepassing. [De AVG] is dan ook van toepassing in gevallen waarin een orgaan of entiteit persoonsgegevens verzamelt voor andere doeleinden en die persoonsgegevens verder verwerkt met het oog op nakoming van een wettelijke verplichting waaraan het orgaan of de entiteit is onderworpen. Zo bewaren financiële instellingen met het oog op onderzoek, opsporing of vervolging van strafbare feiten bepaalde persoonsgegevens die door hen worden verwerkt, en verstrekken zij die persoonsgegevens uitsluitend in specifieke gevallen en overeenkomstig het lidstatelijke recht aan de bevoegde nationale autoriteiten. Een orgaan dat of entiteit die namens die autoriteiten persoonsgegevens verwerkt binnen het toepassingsgebied van deze richtlijn, dient gebonden te zijn door een overeenkomst of een andere rechtshandeling en door de ingevolge deze richtlijn op verwerkers toepasselijke bepalingen, terwijl [de AVG] onverminderd van toepassing blijft op de verwerking van persoonsgegevens door de verwerker die buiten het toepassingsgebied van deze richtlijn valt.”

20 Artikel 1 van deze richtlijn, „Onderwerp en doelstellingen”, dat in wezen overeenkomt met artikel 1 van kaderbesluit 2008/977, bepaalt in lid 1:

„Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”

21 Artikel 3 van deze richtlijn, „Definities”, luidt:

„Voor de toepassing van deze richtlijn wordt verstaan onder:

[…]

7. ‚bevoegde autoriteit’:

1. iedere overheidsinstantie die bevoegd is voor de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; of

2. ieder ander orgaan dat of iedere andere entiteit die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;

[…]”

6. PNR-richtlijn

22 De overwegingen 4 tot en met 12, 15, 19, 20, 22, 25, 27, 28, 33, 36 en 37 van de PNR-richtlijn luiden als volgt:

„(4) [De API-richtlijn] regelt de verstrekking vooraf van passagiersgegevens (advance passenger information data – API-gegevens) door luchtvaartmaatschappijen aan de bevoegde nationale instanties, ter verbetering van de grenscontroles en ter bestrijding van illegale immigratie.

(5) Doelstellingen van deze richtlijn zijn onder meer de veiligheid te waarborgen, het leven en de veiligheid van personen te beschermen, en een wettelijk kader te scheppen voor de bescherming van PNR-gegevens bij de verwerking door bevoegde autoriteiten.

(6) Een doeltreffend gebruik van PNR-gegevens, onder meer door PNR-gegevens te vergelijken met diverse databanken van gezochte personen en voorwerpen, is noodzakelijk om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen en zo de interne veiligheid te bevorderen, databanken om bewijsmateriaal te verzamelen en in voorkomend geval medeplichtigen van criminelen op te sporen en criminele netwerken op te rollen.

(7) Dankzij de analyse van PNR-gegevens kunnen personen worden geïdentificeerd die, voordat een dergelijke analyse werd verricht, niet van terroristische misdrijven of ernstige criminaliteit verdacht werden, en naar wie de bevoegde instanties nader onderzoek moeten verrichten. Door PNR-gegevens te gebruiken kan het gevaar van terroristische misdrijven en ernstige criminaliteit vanuit een andere invalshoek worden aangepakt dan bij de verwerking van andere categorieën persoonsgegevens het geval is. Om echter ervoor te zorgen dat de verwerking van PNR-gegevens beperkt blijft tot het noodzakelijke, dient de vaststelling en toepassing van beoordelingscriteria te worden beperkt tot terroristische misdrijven en ernstige criminaliteit waarvoor het gebruik van dergelijke criteria relevant is. Bovendien moeten de beoordelingscriteria zo worden opgesteld dat het systeem zo weinig mogelijk onschuldige personen aanduidt.

(8) Luchtvaartmaatschappijen verzamelen en verwerken PNR-gegevens van hun passagiers reeds voor hun eigen commerciële doeleinden. Deze richtlijn mag niet voorschrijven dat de luchtvaartmaatschappijen ertoe worden verplicht aanvullende gegevens bij passagiers te verzamelen of deze te bewaren, en evenmin dat passagiers ertoe worden verplicht nog meer gegevens aan de luchtvaartmaatschappijen te verstrekken dan thans het geval is.

(9) Sommige luchtvaartmaatschappijen bewaren de API-gegevens die zij verzamelen als onderdeel van de PNR-gegevens, andere niet. Het gecombineerde gebruik van PNR- en API-gegevens biedt meerwaarde doordat het de lidstaten helpt bij de identiteitscontrole van personen, waardoor uit het oogpunt van rechtshandhaving dat resultaat aan waarde wint, en het risico wordt beperkt dat onschuldige personen het voorwerp uitmaken van controle en onderzoek. Daarom moet er beslist voor worden gezorgd dat luchtvaartmaatschappijen die API-gegevens verzamelen, deze doorgeven, ongeacht of zij API-gegevens bewaren door middel van andere technische middelen dan voor PNR-gegevens.

(10) Om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen is het van essentieel belang dat alle lidstaten voorschriften vaststellen waarbij luchtvaartmaatschappijen die vluchten van of naar derde landen uitvoeren worden verplicht PNR-gegevens, met inbegrip van API-gegevens, die zij verzamelen, door te geven. De lidstaten moeten ook de mogelijkheid hebben deze verplichting uit te breiden naar luchtvaartmaatschappijen die vluchten binnen de Unie uitvoeren. Deze voorschriften laten [de API-richtlijn] onverlet.

(11) De verwerking van persoonsgegevens moet evenredig zijn aan de specifieke veiligheidsdoelen die met deze richtlijn worden nagestreefd.

(12) In deze richtlijn moet het begrip terroristische misdrijven worden gedefinieerd zoals in kaderbesluit 2002/475/JBZ van de Raad [van 13 juni 2002 inzake terrorismebestrijding (PB 2002, L 164, blz. 3)]. De definitie van ernstige criminaliteit dient de categorieën misdrijven die zijn vermeld in bijlage II bij deze richtlijn te omvatten.

[…]

(15) Een lijst van de PNR-gegevens die door een [aangewezen passagiersinformatie-eenheid (PIE)] worden verkregen, dient zo te worden opgesteld dat wordt tegemoetgekomen aan de legitieme behoeften van de overheid in verband met het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, en dat aldus de interne veiligheid van de EU wordt bevorderd, en dient anderzijds de bescherming van de grondrechten, en met name het recht op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens, te waarborgen. Daartoe moeten hoge normen worden toegepast in overeenstemming met het [Handvest], het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (‚Verdrag nr. 108’) en het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden[, ondertekend te Rome op 4 november 1950 (EVRM)]. Dergelijke lijst mag niet uitgaan van ras of etnische oorsprong, godsdienstige of levensbeschouwelijke overtuiging, politieke of andere opvattingen, vakbondslidmaatschap, gezondheid, seksleven of seksuele geaardheid. De PNR-gegevens dienen uitsluitend details over de reserveringen en de reisroutes van de passagier te bevatten die de bevoegde instanties in staat stellen te bepalen welke vliegtuigpassagiers een risico voor de interne veiligheid vormen.

[…]

(19) Iedere lidstaat dient zelf de mogelijke dreigingen op het gebied van terroristische misdrijven en ernstige criminaliteit te beoordelen.

(20) Gelet op het recht op bescherming van persoonsgegevens en het discriminatieverbod mag een beslissing die voor de betrokkene nadelige rechtsgevolgen of andere ingrijpende gevolgen heeft, niet uitsluitend berusten op automatisch verwerkte PNR-gegevens. Gelet op de artikelen 8 en 21 van het Handvest mag een dergelijke beslissing bovendien geen enkele vorm van discriminatie inhouden, zoals op grond van geslacht, ras, huidskleur, etnische of sociale afkomst, genetische kenmerken, taal, godsdienst of overtuiging, politieke of andere opvattingen, het behoren tot een nationale minderheid, vermogen, geboorte, een handicap, leeftijd of seksuele geaardheid. De [Europese] Commissie moet deze beginselen ook in aanmerking nemen wanneer zij de toepassing van deze richtlijn evalueert.

[…]

(22) Gelet op de in recente relevante rechtspraak van het Hof van Justitie van de Europese Unie uiteengezette beginselen moet bij de toepassing van deze richtlijn worden gezorgd voor volledige eerbiediging van de grondrechten, het recht op bescherming van de persoonlijke levenssfeer en het evenredigheidsbeginsel. Tevens moet erop worden toegezien dat de maatregelen werkelijk noodzakelijk en proportioneel zijn met het oog op het door de Unie erkende algemeen belang en noodzakelijk zijn om de rechten en vrijheden van anderen bij de bestrijding van terroristische misdrijven en ernstige criminaliteit te beschermen. De toepassing van deze richtlijn moet naar behoren worden gemotiveerd en er moet worden voorzien in de nodige waarborgen om de rechtmatigheid van de opslag, analyse, doorgifte of het gebruik van de PNR-gegevens te garanderen.

[…]

(25) De bewaartermijn voor PNR-gegevens dient zo lang te zijn als noodzakelijk is voor en evenredig te zijn aan de doelstellingen, namelijk het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit. Gezien de aard van de gegevens en het gebruik ervan dienen de PNR-gegevens lang genoeg te worden bewaard om er een analyse mee te kunnen uitvoeren en ze bij onderzoek te kunnen gebruiken. Ter voorkoming van onevenredig gebruik dienen de gegevens na de initiële bewaartermijn door afscherming van gegevenselementen te worden gedepersonaliseerd. Om te zorgen voor het hoogste niveau van gegevensbescherming, dient toegang tot de volledige PNR-gegevens, waarmee de betrokkene rechtstreeks kan worden geïdentificeerd, uitsluitend onder zeer strikte en restrictieve voorwaarden te worden toegestaan na die initiële bewaartermijn.

[…]

(27) Voor de verwerking van PNR-gegevens in elke lidstaat door de PIE en de bevoegde instanties dient een nationaalrechtelijke norm voor persoonsgegevensbescherming te gelden die in overeenstemming is met kaderbesluit [2008/977], en de specifieke gegevensbeschermingsvoorschriften van deze richtlijn. Verwijzingen naar kaderbesluit [2008/977] dienen te worden gelezen als verwijzingen naar de momenteel geldende wetgeving en naar mogelijke toekomstige vervangende wetgeving daarvoor.

(28) Gelet op het recht op de bescherming van persoonsgegevens, dienen de rechten van de betrokkenen wat betreft de verwerking van hun PNR-gegevens, zoals het recht op toegang, rectificatie en wissen, het recht van beperking, het recht op schadevergoeding en het recht op het aanwenden van rechtsmiddelen, in lijn te zijn met kaderbesluit [2008/977], en met het hoge niveau van bescherming dat geboden wordt door het Handvest en het EVRM.

[…]

(33) Deze richtlijn laat onverlet dat de lidstaten krachtens hun nationaal recht een systeem kunnen opzetten voor het verzamelen en verwerken van PNR-gegevens van marktdeelnemers die geen luchtvaartmaatschappij zijn, zoals reisbureaus en touroperators die diensten in verband met reizen aanbieden, met inbegrip van het boeken van vluchten, waarvoor zij PNR-gegevens verzamelen en verwerken, of van andere vervoerders dan de in deze richtlijn bepaalde, mits dit nationale recht in overeenstemming is met het recht van de Unie.

[…]

(36) Deze richtlijn is in overeenstemming met de grondrechten en beginselen uit het Handvest, in het bijzonder het recht op bescherming van persoonsgegevens, het recht op eerbiediging van het privéleven en het recht op non-discriminatie, zoals deze worden beschermd door de artikelen 7, 8 en 21 ervan; zij dient dan ook dienovereenkomstig te worden uitgevoerd. Deze richtlijn is verenigbaar met de beginselen inzake gegevensbescherming en de bepalingen ervan zijn in overeenstemming met kaderbesluit [2008/977]. Om voorts te voldoen aan het evenredigheidsbeginsel voorziet deze richtlijn op bepaalde punten in strengere gegevensbeschermingsregels dan kaderbesluit [2008/977].

(37) Het toepassingsgebied van deze richtlijn is zo beperkt mogelijk, aangezien zij bepaalt dat de PNR-gegevens in de PIE’s niet langer dan vijf jaar mogen worden bewaard, waarna zij moeten worden gewist; dat gegevens na een initiële termijn van zes maanden door afscherming van gegevenselementen dienen te worden gedepersonaliseerd; en dat het verboden is gevoelige gegevens te verzamelen en gebruiken. Om efficiëntie en een hoog niveau van gegevensbescherming te waarborgen, dienen de lidstaten een onafhankelijke, nationale toezichthoudende autoriteit, alsmede in het bijzonder een functionaris voor gegevensbescherming, te belasten met het adviseren over en het toezicht op de wijze van verwerking van PNR-gegevens. Iedere verwerking van PNR-gegevens dient te worden geregistreerd of gedocumenteerd, zodat de rechtmatigheid ervan kan worden gecontroleerd, interne controle kan worden uitgeoefend en de integriteit van de gegevens en een beveiligde verwerking kunnen worden gewaarborgd. De lidstaten moeten er ook zorg voor dragen dat passagiers duidelijk en nauwkeurig worden geïnformeerd over het verzamelen van PNR-gegevens en over hun rechten.”

23 Artikel 1 van de PNR-richtlijn heeft als opschrift „Onderwerp en toepassingsgebied” en bepaalt:

„1.

Bij deze richtlijn worden voorschriften vastgesteld inzake:

1. de doorgifte door luchtvaartmaatschappijen van persoonsgegevens van passagiers (Passenger Name Record – PNR) van vluchten naar of vanuit derde landen;

2. de verwerking van de onder a) bedoelde gegevens, met inbegrip van het verzamelen, gebruiken, bewaren en onderling uitwisselen daarvan door lidstaten.

2.

Overeenkomstig deze richtlijn verzamelde PNR-gegevens mogen uitsluitend worden verwerkt om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen overeenkomstig artikel 6, lid 2, onder a), b) en c).”

24 Artikel 2 van deze richtlijn, met als opschrift „Toepassing van deze richtlijn op vluchten binnen de EU”, luidt als volgt:

„1.

Indien een lidstaat het besluit neemt deze richtlijn toe te passen op vluchten binnen de EU, brengt hij dit schriftelijk ter kennis van de Commissie. Een lidstaat kan een dergelijke kennisgeving te allen tijde doen of intrekken. De Commissie maakt deze kennisgeving en een eventuele intrekking ervan bekend in het Publicatieblad van de Europese Unie.

2.

Wanneer een in lid 1 bedoelde kennisgeving is gedaan, zijn alle bepalingen van deze richtlijn van toepassing op vluchten binnen de EU alsof het om vluchten naar of vanuit derde landen gaat, en op de PNR-gegevens van vluchten binnen de EU alsof het om PNR-gegevens gaat van vluchten naar of vanuit derde landen.

3.

Een lidstaat kan besluiten de bepalingen van deze richtlijn uitsluitend op geselecteerde vluchten binnen de EU toe te passen. De lidstaat duidt daarbij aan welke vluchten hij met het oog op het nastreven van de doelstellingen van deze richtlijn noodzakelijk acht. De lidstaat kan te allen tijde besluiten de geselecteerde vluchten binnen de EU te wijzigen.”

25 Artikel 3 van deze richtlijn heeft als opschrift „Definities” en bepaalt:

26 Artikel 4 van de PNR-richtlijn heeft als opschrift „Passagiersinformatie-eenheid” en bepaalt in de leden 1 tot en met 3:

„1.

Elke lidstaat richt een instantie op of wijst een bestaande instantie aan die bevoegd is terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken of te vervolgen, of wijst een afdeling van een dergelijke instantie aan, om op te treden als zijn passagiersinformatie-eenheid (‚PIE’).

2.

De PIE heeft tot taak:

1. de PNR-gegevens van de luchtvaartmaatschappijen te verzamelen, op te slaan en te verwerken, en die gegevens of het resultaat van de verwerking ervan aan de in artikel 7 bedoelde bevoegde instanties door te geven;

2. zowel de PNR-gegevens als het resultaat van de verwerking ervan met de PIE’s van andere lidstaten en met Europol uit te wisselen, overeenkomstig de artikelen 9 en 10.

3.

Het personeel van een PIE kan uit bevoegde instanties worden gedetacheerd. De lidstaten verschaffen de PIE’s toereikende middelen om hun taken te vervullen.”

27 Artikel 5 van deze richtlijn, „Functionaris voor gegevensbescherming binnen de PIE”, luidt als volgt:

„1.

De PIE benoemt een functionaris voor gegevensbescherming die belast is met het toezicht op de verwerking van PNR-gegevens en met de uitvoering van desbetreffende waarborgen.

2.

De lidstaten bieden de functionarissen voor gegevensbescherming de middelen die zij nodig hebben om de in dit artikel genoemde taken effectief en onafhankelijk uit te voeren.

3.

De lidstaten zorgen ervoor dat een betrokkene het recht heeft zich te wenden tot de functionaris voor gegevensbescherming, die fungeert als enig aanspreekpunt, voor alle aangelegenheden in verband met de verwerking van de PNR-gegevens van die betrokkene.”

28 Artikel 6 van deze richtlijn, „Verwerking van PNR-gegevens”, luidt als volgt:

„1.

De door de luchtvaartmaatschappij doorgegeven PNR-gegevens worden door de PIE van de betrokken lidstaat verzameld overeenkomstig artikel 8. Indien de door de luchtvaartmaatschappij doorgegeven PNR-gegevens andere dan de in bijlage I vermelde PNR-gegevens bevatten, worden zij door de PIE onmiddellijk na ontvangst definitief gewist.

2.

De PIE verwerkt de PNR-gegevens uitsluitend voor de volgende doeleinden:

1. het beoordelen van de passagiers vóór hun geplande aankomst in of gepland vertrek uit de lidstaat, om te bepalen welke personen moeten worden onderworpen aan een nader onderzoek door de in artikel 7 bedoelde bevoegde instanties, en, in voorkomend geval, door Europol overeenkomstig artikel 10, omdat zij betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit;

2. het per geval inwilligen van een op afdoende gronden gebaseerd, gemotiveerd verzoek van de bevoegde instanties om in bepaalde gevallen PNR-gegevens te verstrekken en te verwerken voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven of ernstige criminaliteit, en de resultaten van deze verwerking aan die instanties of, in voorkomend geval, aan Europol mee te delen; en

3. het analyseren van PNR-gegevens voor het bijstellen van bestaande of het formuleren van nieuwe criteria die moeten worden gebruikt bij de beoordelingen die worden verricht op grond van lid 3, onder b), om te bepalen welke personen betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit.

3.

Bij de verrichting van de in lid 2, onder a), bedoelde beoordeling kan de PIE:

1. de PNR-gegevens vergelijken met databanken die relevant zijn voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, met name databanken in verband met gezochte of gesignaleerde personen of voorwerpen, in overeenstemming met de op zulke databanken van toepassing zijnde Unie-, internationale en nationale voorschriften; of

2. de PNR-gegevens verwerken overeenkomstig vooraf bepaalde criteria.

4.

Het beoordelen van passagiers vóór hun geplande aankomst in of gepland vertrek uit de lidstaat op grond van lid 3, onder b), volgens vooraf bepaalde criteria wordt op niet-discriminerende wijze verricht. Deze vooraf bepaalde criteria moeten doelgericht, evenredig en specifiek zijn. De lidstaten zorgen ervoor dat deze criteria door de PIE worden vastgesteld en regelmatig worden getoetst, in samenwerking met de in artikel 7 bedoelde bevoegde instanties. Deze criteria mogen onder geen beding gebaseerd zijn op ras, etnische afstamming, religieuze, levensbeschouwelijke of politieke overtuiging, vakbondslidmaatschap, gezondheid, seksleven of seksuele geaardheid van de betrokken.

5.

De lidstaten zorgen ervoor dat elke positieve overeenkomst die voortvloeit uit het automatisch verwerkingsproces van de PNR-gegevens dat wordt uitgevoerd op grond van lid 2, onder a), per geval wordt gecontroleerd op een niet-geautomatiseerde wijze om te bepalen of de in artikel 7 bedoelde bevoegde instantie maatregelen moet treffen overeenkomstig het nationale recht.

6.

De PNR-gegevens van de overeenkomstig lid 2, onder a), aangemerkte personen of het verwerkingsresultaat van die gegevens worden door de PIE van een lidstaat voor nader onderzoek aan de in artikel 7 bedoelde bevoegde instanties van diezelfde lidstaat doorgezonden. Tot die doorgifte kan alleen per geval worden besloten en, in geval van geautomatiseerde verwerking van PNR-gegevens, na een afzonderlijke niet-geautomatiseerde controle.

7.

De lidstaten zorgen ervoor dat de functionaris voor gegevensbescherming toegang heeft tot alle gegevens die door de PIE worden verwerkt. Indien de functionaris voor gegevensbescherming oordeelt dat een verwerking van gegevens niet rechtmatig was, kan hij de zaak naar de nationale toezichthoudende autoriteit verwijzen.

[…]

9.

Het resultaat van de in lid 2, onder a), van dit artikel bedoelde beoordeling laat onverlet het in richtlijn 2004/38/EG van het Europees Parlement en de Raad [van 29 april 2004 betreffende het recht van vrij verkeer en verblijf op het grondgebied van de lidstaten voor de burgers van de Unie en hun familieleden, tot wijziging van verordening (EEG) nr. 1612/68 en tot intrekking van richtlijnen 64/221/EEG, 68/360/EEG, 72/194/EEG, 73/148/EEG, 75/34/EEG, 75/35/EEG, 90/364/EEG, 90/365/EEG en 93/96/EEG (PB 2004, L 158, blz. 77)] neergelegde recht van personen die het Unierecht van vrij verkeer genieten, om het grondgebied van de betrokken lidstaat te betreden. Bovendien moeten de gevolgen van die beoordeling, indien verricht met betrekking tot vluchten binnen de EU tussen lidstaten waarop verordening (EG) nr. 562/2006 van het Europees Parlement en de Raad [van 15 maart 2006 tot vaststelling van een communautaire code betreffende de overschrijding van de grenzen door personen (Schengengrenscode) (PB 2006, L 105, blz. 1)] van toepassing is, in overeenstemming zijn met die verordening.”

29 Artikel 7 van de PNR-richtlijn, „Bevoegde instanties”, bepaalt:

„1.

Elke lidstaat stelt een lijst op van de instanties die bevoegd zijn de PIE om PNR-gegevens of het verwerkingsresultaat van die gegevens te verzoeken of PNR-gegevens of het verwerkingsresultaat van die gegevens te ontvangen, teneinde deze informatie nader te onderzoeken of de nodige maatregelen te treffen voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven of ernstige criminaliteit.

2.

De in lid 1 bedoelde instanties zijn instanties die bevoegd zijn om terroristische misdrijven of ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken of te vervolgen.

[…]

4.

De PNR-gegevens en het verwerkingsresultaat van die gegevens die van de PIE zijn ontvangen, mogen door de bevoegde instanties van de lidstaten uitsluitend met als specifieke doelstellingen het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit verder worden verwerkt.

5.

Lid 4 laat, indien in het kader van handhavingsmaatregelen die naar aanleiding van de verwerking worden getroffen, andere strafbare feiten of aanwijzingen daarvoor aan het licht komen, de nationale justitiële en rechtshandhavingsbevoegdheden onverlet.

6.

De bevoegde instanties nemen geen besluiten, uitsluitend op grond van de geautomatiseerde verwerking van de PNR-gegevens, die voor de betrokkene nadelige juridische of andere ingrijpende gevolgen hebben. Deze besluiten mogen niet gebaseerd zijn op de raciale of etnische afkomst, de godsdienstige of levensbeschouwelijke overtuiging, de politieke opvattingen, het lidmaatschap van een vakvereniging, de gezondheid, het seksleven of de seksuele geaardheid van de betrokkene.”

30 Artikel 8 van deze richtlijn, met als opschrift „Verplichtingen van luchtvaartmaatschappijen betreffende de doorgifte van gegevens”, bepaalt in de leden 1 tot en met 3:

„1.

De lidstaten treffen de nodige maatregelen om ervoor te zorgen dat luchtvaartmaatschappijen, door middel van de ‚push’-methode, de in bijlage I vermelde PNR-gegevens, voor zover zij deze gegevens in het kader van hun normale bedrijfsvoering reeds hebben verzameld, versturen naar de databank van de PIE van de lidstaat waar de vlucht zal aankomen en/of vertrekken. Bij een internationale vlucht die een code-sharingvlucht van twee of meer luchtvaartmaatschappijen is, rust de verplichting om de PNR-gegevens van alle passagiers door te geven op de maatschappij die de vlucht uitvoert. Omvat een vlucht naar of vanuit derde landen een of meer tussenlandingen op luchthavens van de lidstaten, dan geven de luchtvaartmaatschappijen de PNR-gegevens van alle passagiers door aan de PIE’s van de betrokken lidstaten. Dit geldt eveneens in het geval van een vlucht binnen de EU met een of meer tussenlandingen op luchthavens van verschillende lidstaten, maar dan uitsluitend met betrekking tot lidstaten die PNR-gegevens van vluchten binnen de EU verzamelen.

2.

In het geval dat de luchtvaartmaatschappijen [API-gegevens] in de zin van punt 18 van bijlage I hebben verzameld, maar deze gegevens niet bewaren door middel van dezelfde technische middelen als voor andere PNR-gegevens, nemen de lidstaten de nodige maatregelen om ervoor te zorgen dat de luchtvaartmaatschappijen deze gegevens tevens doorgeven, door middel van de ‚push’-methode, aan de PIE van de in lid 1 bedoelde lidstaten. In geval van een dergelijke doorgifte zijn alle bepalingen van deze richtlijn op die API-gegevens van toepassing.

3.

De PNR-gegevens worden door de luchtvaartmaatschappijen langs elektronische weg verstrekt, waarbij zij gebruikmaken van de gemeenschappelijke protocollen en de ondersteunde dataformaten die volgens de onderzoeksprocedure bedoeld in artikel 17, lid 2, worden vastgesteld, of, in geval van technische storing, van andere passende middelen die een passend niveau van gegevensbeveiliging garanderen:

1. 24 tot 48 uur vóór de geplande vertrektijd van de vlucht; en

2. onmiddellijk na de beëindiging van het inchecken, dat wil zeggen wanneer de passagiers aan boord zijn gegaan van het vliegtuig dat klaar staat voor vertrek en er geen passagiers meer aan of van boord kunnen gaan.”

31 Artikel 12 van deze richtlijn, „Bewaartermijn van de gegevens en anonimisering”, luidt:

„1.

De lidstaten zorgen ervoor dat de door de luchtvaartmaatschappijen aan de PIE verstrekte PNR-gegevens bij die PIE in een databank worden bewaard gedurende een termijn van vijf jaar nadat de gegevens zijn doorgegeven aan de PIE van de lidstaat waar de vlucht aankomt of vertrekt.

2.

Wanneer een termijn van zes maanden is verstreken nadat de PNR-gegevens overeenkomstig lid 1 zijn doorgegeven, worden de PNR-gegevens gedepersonaliseerd door afscherming van de volgende gegevenselementen waaruit de identiteit van de passagier op wie de PNR-gegevens betrekking hebben, rechtstreeks zou kunnen worden afgeleid:

1. naam/namen, waaronder de namen van andere passagiers in het PNR en het aantal reizigers in het PNR dat samen reist;

2. adres en contactgegevens;

3. alle betalingsinformatie, met inbegrip van het factuuradres, voor zover daarin informatie is vervat waaruit de identiteit van de passagier op wie het PNR betrekking heeft of van andere personen rechtstreeks zou kunnen worden afgeleid;

4. informatie betreffende reizigers die gebruikmaken van een loyaliteitsprogramma voor frequent reizen;

5. algemene opmerkingen, voor zover deze informatie bevatten waaruit rechtstreeks de identiteit zou kunnen worden afgeleid van de passagier op wie het PNR betrekking heeft; en

6. verzamelde API-gegevens.

3.

Wanneer de in lid 2 bedoelde termijn van zes maanden is verstreken, wordt mededeling van de volledige PNR-gegevens uitsluitend toegestaan als:

1. er redelijkerwijze wordt aangenomen dat zulks noodzakelijk is voor de in artikel 6, lid 2, onder b), bedoelde doeleinden en

2. [dit is] goedgekeurd door:

   1. een gerechtelijke instantie, of

   2. een andere nationale instantie die volgens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor mededeling is voldaan, onder voorbehoud van kennisgeving aan, en controle achteraf door, de functionaris voor gegevensbescherming van de PIE.

4.

De lidstaten zorgen ervoor dat de PNR-gegevens na het verstrijken van de in lid 1 bedoelde termijn definitief worden gewist. Deze verplichting geldt niet indien bepaalde PNR-gegevens zijn doorgegeven aan een bevoegde instantie en worden gebruikt in het kader van een specifieke zaak met het oog op het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit; in dat geval beheerst het nationale recht het bewaren van de gegevens door de bevoegde instantie.

5.

De PIE bewaart het resultaat van de in artikel 6, lid 2, onder a), bedoelde verwerking niet langer dan noodzakelijk is om een overeenstemming te kunnen melden aan de bevoegde instanties en, overeenkomstig artikel 9, lid 1, aan de PIE’s van andere lidstaten. Indien het resultaat van geautomatiseerde verwerking na een afzonderlijke niet-geautomatiseerde controle als bedoeld in artikel 6, lid 5, negatief blijkt te zijn, kan dit niettemin worden opgeslagen om ‚valse’ overeenkomsten in de toekomst te voorkomen, voor zover de onderliggende gegevens niet op grond van lid 4 van dit artikel worden gewist.”

32 Artikel 13 van de PNR-richtlijn, met als opschrift „Bescherming van persoonsgegevens”, bepaalt in de leden 1 tot en met 5:

„1.

Iedere lidstaat zorgt ervoor dat iedere passagier ten aanzien van elke verwerking van persoonsgegevens krachtens deze richtlijn hetzelfde recht heeft inzake bescherming van [zijn] persoonsgegevens, alsook het recht op toegang, rectificatie en wissen, het recht van beperking, het recht op schadevergoeding en het recht op het aanwenden van rechtsmiddelen, als zijn vastgelegd in nationaal recht en Unierecht en in de bepalingen ter uitvoering van de artikelen 17, 18, 19 en 20 van kaderbesluit [2008/977]. Deze artikelen zijn derhalve van toepassing.

2.

Iedere lidstaat zorgt ervoor dat de bepalingen die ter uitvoering van de artikelen 21 en 22 van kaderbesluit [2008/977] betreffende de vertrouwelijkheid van de verwerking en de beveiliging van gegevens in het nationale recht zijn vastgesteld, ook van toepassing zijn op elke verwerking van persoonsgegevens krachtens deze richtlijn.

3.

Deze richtlijn doet geen afbreuk aan de toepasselijkheid van richtlijn [95/46] op de verwerking van persoonsgegevens door luchtvaartmaatschappijen, en met name hun verplichtingen om passende technische en organisatorische maatregelen te treffen met het oog op de bescherming van de veiligheid en vertrouwelijkheid van persoonsgegevens.

4.

De lidstaten verbieden dat uit de verwerking van PNR-gegevens ras of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, vakbondslidmaatschap, gezondheid of seksuele geaardheid van de betrokkene blijkt. Indien de PIE PNR-gegevens ontvangt waaruit dergelijke informatie blijkt, worden deze onmiddellijk gewist.

5.

De lidstaten zorgen ervoor dat de PIE documentatie bijhoudt inzake alle verwerkingssystemen en -procedures die onder haar verantwoordelijkheid vallen. Deze documentatie omvat ten minste:

1. de naam en contactgegevens van de organisatie en het personeel van de PIE belast met de verwerking van PNR-gegevens en de verschillende niveaus van toegangsbevoegdheid;

2. de verzoeken van bevoegde instanties en PIE’s van andere lidstaten;

3. alle verzoeken om PNR-gegevens van en doorgiften van PNR-gegevens aan een derde land.

De PIE stelt op verzoek alle documentatie ter beschikking aan de nationale toezichthoudende autoriteit.”

33 Artikel 15 van deze richtlijn, „Nationale toezichthoudende autoriteit”, luidt:

„1.

Elke lidstaat bepaalt dat de in artikel 25 van kaderbesluit [2008/977] bedoelde nationale toezichthoudende autoriteit ook is belast met advisering en toezicht met betrekking tot de toepassing op zijn grondgebied van de krachtens deze richtlijn door de lidstaten vastgestelde bepalingen. Artikel 25 van kaderbesluit [2008/977] is van toepassing.

2.

Deze nationale toezichthoudende autoriteiten verrichten activiteiten uit hoofde van lid 1 met het oog op de bescherming van de grondrechten in verband met de verwerking van persoonsgegevens.

3.

Elke nationale toezichthoudende autoriteit:

1. behandelt klachten die door betrokkenen zijn ingediend, onderzoekt de zaak en informeert hen binnen een redelijke termijn over de voortgang en het resultaat van de behandeling van hun klachten;

2. controleert de rechtmatigheid van de gegevensverwerking, verricht onderzoek, inspecties en controles in het kader van toezicht overeenkomstig nationaal recht, hetzij op eigen initiatief, hetzij op basis van een klacht als bedoeld onder a).

4.

Elke nationale toezichthoudende autoriteit adviseert op verzoek elke betrokkene over de uitoefening van zijn rechten uit hoofde van krachtens deze richtlijn vastgestelde bepalingen.”

34 Artikel 19 van deze richtlijn heeft als opschrift „Evaluatie” en bepaalt:

„1.

Op basis van de door de lidstaten verstrekte informatie, waaronder de in artikel 20, lid 2, bedoelde statistische gegevens, evalueert de Commissie uiterlijk op 25 mei 2020 alle elementen van deze richtlijn en dient zij bij het Europees Parlement en bij de Raad [van de Europese Unie] een verslag in en licht zij dit toe.

2.

Bij deze evaluatie besteedt de Commissie bijzondere aandacht aan:

1. de naleving van de geldende normen voor de bescherming van persoonsgegevens,

2. de noodzakelijkheid en evenredigheid van het verzamelen en het verwerken van PNR-gegevens voor elk van de in deze richtlijn genoemde doelen,

3. de lengte van de bewaartermijn,

4. de doeltreffendheid van de gegevensuitwisseling tussen de lidstaten, en

5. de kwaliteit van de beoordelingen, onder meer met betrekking tot de krachtens artikel 20 verzamelde statistische gegevens.

3.

Het in lid 1 bedoelde verslag bevat ook een evaluatie van de noodzakelijkheid, evenredigheid en doeltreffendheid van het in het toepassingsgebied van deze richtlijn opnemen van het verplicht verzamelen en doorgeven van PNR-gegevens inzake alle of een aantal uitgekozen vluchten binnen de EU. De Commissie houdt rekening met de ervaring die in de lidstaten is opgedaan, en met name in de lidstaten die deze richtlijn toepassen op vluchten binnen de EU overeenkomstig artikel 2. In het verslag wordt ook aandacht besteed aan de noodzaak om marktdeelnemers die geen luchtvaartmaatschappij zijn, zoals reisbureaus en touroperators die diensten in verband met reizen aanbieden, met inbegrip van het boeken van vluchten, in het toepassingsgebied van deze richtlijn op te nemen.

4.

De Commissie stelt, indien nodig in het licht van de op grond van dit artikel gevoerde evaluatie, een wetgevingsvoorstel op voor het Europees Parlement en voor de Raad met het oog op de wijziging van deze richtlijn.”

35 Artikel 21 van deze richtlijn, „Verhouding tot andere instrumenten”, bepaalt in lid 2:

„Deze richtlijn doet geen afbreuk aan de toepasselijkheid van richtlijn [95/46] op de verwerking van persoonsgegevens door luchtvaartmaatschappijen.”

36 Bijlage I bij de PNR-richtlijn heeft als opschrift „PNR-gegevens verzameld door luchtvaartmaatschappijen” en luidt als volgt:

• PNR-bestandslocatie

• Datum van reservering/afgifte van het biljet

• Geplande reisdatum (-data)

• Naam/namen

• Adres en contactgegevens (telefoonnummer, e-mailadres)

• Alle betalingsinformatie, met inbegrip van het factuuradres

• Volledige reisroute voor dit specifieke PNR

• Informatie betreffende reizigers die gebruikmaken van een loyaliteitsprogramma voor frequent reizen

• Reisbureau/reisagent

• Reisstatus van de passagier, met inbegrip van bevestigingen, check-in-status en ‚no-show’ of ‚go-show’-informatie

• Opgesplitste/opgedeelde PNR-informatie

• Algemene opmerkingen (met inbegrip van alle beschikbare informatie over niet-begeleide minderjarigen jonger dan 18 jaar, zoals naam en geslacht van de minderjarige, leeftijd, talen die de minderjarige spreekt, naam en contactgegevens van de persoon die de minderjarige begeleidt naar het vertrek en de aard van de relatie van deze persoon met de minderjarige, naam en contactgegevens van de persoon die de minderjarige afhaalt bij aankomst en de aard van de relatie van deze persoon met de minderjarige, functionaris voor vertrek en aankomst)

• Informatie uit de biljetuitgifte (‚ticketing field’-informatie), waaronder het biljetnummer, de uitgiftedatum van het reisbiljet, biljetten voor enkele reizen en geautomatiseerde prijsnotering van reisbiljetten

• Zitplaatsinformatie, waaronder het zitplaatsnummer

• Informatie over gemeenschappelijke vluchtnummers

• Alle bagage-informatie

• Aantal en namen van de andere reizigers in het PNR

• Alle verzamelde API-gegevens (Advance Passenger Information) (onder meer soort, nummer, land van afgifte en geldigheidsdatum van een identiteitsdocument, nationaliteit, familienaam, voornaam, geslacht, geboortedatum, luchtvaartmaatschappij, vluchtnummer, datum van vertrek, datum van aankomst, luchthaven van vertrek, luchthaven van aankomst, tijdstip van vertrek, tijdstip van aankomst)

• Alle vroegere wijzigingen in de onder de punten 1 tot en met 18 genoemde PNR-gegevens.”

37 Bijlage II bij deze richtlijn, „Lijst van de in artikel 3, punt 9, bedoelde strafbare feiten”, luidt als volgt:

• deelneming aan een criminele organisatie,

• mensenhandel,

• seksuele uitbuiting van kinderen en kinderpornografie,

• illegale handel in verdovende middelen en psychotrope stoffen,

• illegale handel in wapens, munitie en explosieven,

• corruptie,

• fraude, met inbegrip van fraude ten nadele van de financiële belangen van de Unie,

• witwassen van opbrengsten van criminaliteit en valsemunterij, met inbegrip van namaak van de euro,

• computercriminaliteit/cybercriminaliteit,

• milieumisdrijven, met inbegrip van de illegale handel in bedreigde diersoorten en de illegale handel in bedreigde planten- en boomsoorten,

• hulp bij illegale binnenkomst en illegaal verblijf,

• moord, zware mishandeling,

• illegale handel in menselijke organen en weefsels,

• ontvoering, wederrechtelijke vrijheidsberoving en gijzeling,

• georganiseerde en gewapende diefstal,

• illegale handel in cultuurgoederen, waaronder antiquiteiten en kunstvoorwerpen,

• namaak van producten en productpiraterij,

• vervalsing van administratieve documenten en handel in valse documenten,

• illegale handel in hormonale stoffen en andere groeibevorderaars,

• illegale handel in nucleaire of radioactieve stoffen,

• verkrachting,

• misdrijven die onder de rechtsmacht van het Internationaal Strafhof vallen,

• kaping van vliegtuigen/schepen,

• sabotage,

• handel in gestolen voertuigen,

• industriële spionage.”

7. Kaderbesluit 2002/475

38 Artikel 1 van kaderbesluit 2002/475 definieerde het begrip „terroristisch misdrijf” aan de hand van een reeks in de punten a) tot en met i) van dit artikel opgesomde opzettelijke gedragingen die worden gepleegd om „een bevolking ernstig vrees aan te jagen”, „de overheid of een internationale organisatie op onrechtmatige wijze te dwingen tot het verrichten of het zich onthouden van een handeling” of „de politieke, constitutionele, economische of sociale basisstructuren van een land of een internationale organisatie ernstig te ontwrichten of te vernietigen”. In de artikelen 2 en 3 van dit kaderbesluit werden de begrippen „strafbare feiten met betrekking tot een terroristische groep” respectievelijk „strafbare feiten in verband met terroristische activiteiten” gedefinieerd. Artikel 4 had betrekking op de strafbaarstelling van uitlokking van, medeplichtigheid aan en poging tot het plegen van deze strafbare feiten.

39 Dit kaderbesluit is ingetrokken bij richtlijn (EU) 2017/541 van het Europees Parlement en de Raad van 15 maart 2017 inzake terrorismebestrijding en ter vervanging van kaderbesluit 2002/475 en tot wijziging van besluit 2005/671/JBZ van de Raad (PB 2017, L 88, blz. 6), waarvan de artikelen 3 tot en met 14 vergelijkbare definities bevatten.

1. Grondwet

40 Artikel 22 van de Grondwet bepaalt:

„Ieder heeft recht op eerbiediging van zijn privé-leven en zijn gezinsleven, behoudens in de gevallen en onder de voorwaarden door de wet bepaald.

De wet, het decreet of de in artikel 134 bedoelde regel waarborgen de bescherming van dat recht.”

2. Wet van 25 december 2016

41 Artikel 2 van de wet van 25 december 2016 betreffende de verwerking van passagiersgegevens (Belgisch Staatsblad, 25 januari 2017, blz. 12905; hierna: „wet van 25 december 2016”) luidt als volgt:

„Deze wet en de koninklijke besluiten die in uitvoering van deze wet zullen genomen worden, zetten de [API-richtlijn] en de [PNR-richtlijn] volledig om. Deze wet, alsook het daaropvolgend koninklijk besluit betreffende de maritieme sector, zetten gedeeltelijk richtlijn [2010/65] om.”

42 Artikel 3 van deze wet luidt:

„§ l.

Deze wet bepaalt de verplichtingen van de vervoerders en de reisoperatoren inzake de doorgifte van gegevens van passagiers van, naar en op doorreis over het nationaal grondgebied.

§ 2.

De Koning bepaalt bij een in Ministerraad overlegd besluit, per vervoerssector en voor de reisoperatoren, de passagiersgegevens die moeten worden doorgestuurd en de nadere regels voor het doorsturen, na advies van de Commissie voor de bescherming van de persoonlijke levenssfeer.”

43 Artikel 4 van deze wet bepaalt:

„Voor de toepassing van deze wet en de uitvoeringsbesluiten ervan wordt verstaan onder:

[…]

• ‚de bevoegde diensten’: de diensten bedoeld in artikel 14, § 1, 2°;

• ‚PNR’: het bestand met de reisgegevens van iedere passagier, dat de in artikel 9 bedoelde informatie bevat, die de boekende en de deelnemende vervoerders en reisoperatoren nodig hebben om reserveringen te kunnen verwerken en controleren bij elke reis die door of namens iemand wordt geboekt; dit bestand kan zich bevinden in een reserveringssysteem, een vertrekcontrolesysteem (voor de controle van vertrekkende passagiers) of een soortgelijk systeem dat dezelfde functies vervult;

• ‚passagier’: iedere persoon, met inbegrip van de transferpassagiers en transitpassagiers en met uitsluiting van de bemanningsleden, die wordt vervoerd of moet worden vervoerd door een vervoerder, met de toestemming van deze laatste, wat zich vertaalt door de inschrijving van deze persoon op de passagierslijst;

[…]”

44 Artikel 8 van de wet van 25 december 2016 bepaalt:

„§ l.

De passagiersgegevens worden verwerkt met het oog op:

• het opsporen en vervolgen, met inbegrip van de uitvoering van straffen of vrijheidsbeperkende maatregelen, met betrekking tot misdrijven bedoeld in artikel 90ter, § 2, […] 7°, […] 8°, […] 11°, […] 14°, […] 17°, 18°, 19° en § 3, van het Wetboek van strafvordering;

• het opsporen en vervolgen, met inbegrip van de uitvoering van straffen of vrijheidsbeperkende maatregelen, met betrekking tot misdrijven bedoeld in de artikelen 196, voor wat betreft valsheid in authentieke en openbare geschriften, 198, 199, 199bis, 207, 213, 375 en 505 van het Strafwetboek;

[…]

• het toezien op activiteiten bedoeld in de artikelen 7, 1° en 3°/1, en 11, § 1, 1° tot 3° en 5°, van de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst;

• het opsporen en vervolgen met betrekking tot de misdrijven bedoeld in artikel 220, § 2, van de algemene wet van 18 juli 1977 inzake douane en accijnzen en artikel 45, derde lid, van de wet van 22 december 2009 betreffende de algemene regeling inzake accijnzen […]

§ 2.

Onder de voorwaarden bepaald in hoofdstuk 11, worden de passagiersgegevens eveneens verwerkt ter verbetering van de controles van personen aan de buitengrenzen en ter bestrijding van illegale immigratie.”

45 Artikel 14, § 1, van deze wet bepaalt:

„De PIE is samengesteld uit:

[…]

2° uit de volgende bevoegde diensten gedetacheerde leden:

1. de politiediensten, bedoeld in de wet van 7 december 1998 tot organisatie van een geïntegreerde politiedienst, gestructureerd op twee niveaus;

2. de Veiligheid van de Staat, bedoeld in de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst;

3. de Algemene Inlichtingen- en Veiligheidsdienst, bedoeld in de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst;

[…]”

46 Artikel 24 van deze wet is opgenomen in afdeling 1, „De verwerking van passagiersgegevens in het kader van de voorafgaande beoordeling van de passagiers”, van hoofdstuk 10, betreffende gegevensverwerking, en luidt als volgt:

„§ 1.

De passagiersgegevens worden verwerkt met het oog op het uitvoeren van een voorafgaande beoordeling van de passagiers vóór hun geplande aankomst in, vertrek uit of doorreis over het nationaal grondgebied om te bepalen welke personen moeten worden onderworpen aan een nader onderzoek.

§ 2.

In het kader van de doelen beoogd in artikel 8, § 1, 1°, 4° en 5°, of met betrekking tot de bedreigingen vermeld in de artikelen 8, 1°, a), b), c), d), f), g), en 11, § 2, van de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst, berust de voorafgaande beoordeling van de passagiers op een positieve overeenstemming, voortvloeiende uit een correlatie van de passagiersgegevens met:

• de gegevensbanken die door de bevoegde diensten worden beheerd of die voor hen rechtstreeks beschikbaar of toegankelijk zijn in het kader van hun opdrachten of met lijsten van personen die worden opgesteld door de bevoegde diensten in het kader van hun opdrachten.

• de door de PIE vooraf bepaalde beoordelingscriteria, bedoeld in artikel 25.

§ 3.

In het kader van de doeleinden beoogd in artikel 8, § 1, 3°, berust de voorafgaande beoordeling van de passagiers op een positieve overeenstemming, voortvloeiende uit een correlatie van de passagiersgegevens met de gegevensbanken bedoeld in § 2, 1°.

§ 4.

De positieve overeenstemming wordt gevalideerd door de PIE binnen de vierentwintig uur na ontvangst van het geautomatiseerd bericht van de positieve overeenstemming.

§ 5.

Vanaf het moment van validatie geeft de bevoegde dienst die aan de basis ligt van de positieve overeenstemming een nuttig gevolg binnen de kortst mogelijke termijn.”

47 Hoofdstuk 11 van de wet van 25 december 2016 heeft als opschrift „De verwerking van de passagiersgegevens ter verbetering van de grenscontroles en ter bestrijding van de illegale immigratie” en bestaat uit de artikelen 28 tot en met 31.

48 Artikel 28 bepaalt:

„§ 1.

Dit hoofdstuk is van toepassing op de verwerking van de passagiersgegevens door de politiediensten belast met de grenscontroles en door de Dienst Vreemdelingenzaken, met het oog op de verbetering van de controles van personen aan de buitengrenzen en met het oog op de bestrijding van de illegale immigratie.

§ 2.

Dit hoofdstuk is van toepassing onverminderd de verplichtingen van de politiediensten belast met de grenscontroles en van de Dienst Vreemdelingenzaken om persoonsgegevens of inlichtingen door te geven krachtens wettelijke of reglementaire bepalingen.”

49 Artikel 29 luidt:

„§ 1.

Met het oog op de in artikel 28, § 1, beoogde doelen worden de passagiersgegevens doorgegeven aan de politiediensten belast met de grenscontroles en aan de Dienst Vreemdelingenzaken, om hen in staat te stellen hun wettelijke opdrachten te vervullen, binnen de in dit artikel bepaalde grenzen.

§ 2.

Enkel de passagiersgegevens bedoeld in artikel 9, § 1, 18°, worden doorgegeven voor de volgende categorieën van passagiers:

• de passagiers die van plan zijn om het grondgebied via de buitengrenzen van België te betreden of het grondgebied via de buitengrenzen van België betreden hebben;

• de passagiers die van plan zijn om het grondgebied via de buitengrenzen van België te verlaten of het grondgebied via de buitengrenzen van België verlaten hebben;

• de passagiers die van plan zijn om via een in België gelegen internationale transitzone te passeren, die zich in een in België gelegen internationale transitzone bevinden of die via een in België gelegen transitzone gepasseerd zijn.

§ 3.

De passagiersgegevens bedoeld in § 2 worden onmiddellijk na hun registratie in de passagiersgegevensbank doorgestuurd naar de politiediensten die belast zijn met de controle aan de buitengrenzen van België. Deze bewaren de gegevens in een tijdelijk bestand en vernietigen ze binnen de vierentwintig uur na doorsturing.

§ 4.

Wanneer de Dienst Vreemdelingenzaken de gegevens nodig heeft voor de vervulling van zijn wettelijke opdrachten, worden de passagiersgegevens bedoeld in § 2 onmiddellijk na hun registratie in de passagiersgegevensbank doorgestuurd. De Dienst Vreemdelingenzaken bewaart deze gegevens in een tijdelijk bestand en vernietigt ze binnen de vierentwintig uur na doorsturing.

Indien, na het verstrijken van deze termijn, de toegang tot de passagiersgegevens bedoeld in § 2 voor de Dienst Vreemdelingenzaken noodzakelijk is in het kader van de uitvoering van zijn wettelijke opdrachten, richt hij hiertoe een afdoende gemotiveerde aanvraag tot de PIE.

[…]”

50 De wet van 25 december 2016 vindt toepassing op luchtvaartmaatschappijen, op vervoerders die internationale reizigersvervoersdiensten verlenen (HST-vervoerders) en reisbemiddelaars die een contract hebben met deze vervoerders (HST-ticketverdelers) alsook op busvervoerders krachtens, respectievelijk, het koninklijk besluit van 18 juli 2017 ter uitvoering van de wet van 25 december 2016 betreffende de verwerking van de passagiersgegevens, houdende de verplichtingen opgelegd aan de luchtvaartmaatschappijen (Belgisch Staatsblad, 28 juli 2017, blz. 75934), het koninklijk besluit van 3 februari 2019 ter uitvoering van de wet van 25 december 2016 betreffende de verwerking van passagiersgegevens, houdende de verplichtingen opgelegd aan de HST-vervoerders en de HST-ticketverdelers (Belgisch Staatsblad, 12 februari 2019, blz. 13018) en het koninklijk besluit van 3 februari 2019 ter uitvoering van de wet van 25 december 2016 betreffende de verwerking van passagiersgegevens, houdende de verplichtingen opgelegd aan de busvervoerders (Belgisch Staatsblad, 12 februari 2019, blz. 13023).

1. Door de PNR-richtlijn veroorzaakte inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten

92 Artikel 7 van het Handvest waarborgt eenieder het recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie. Artikel 8, lid 1, ervan biedt eenieder uitdrukkelijk het recht op bescherming van zijn persoonsgegevens.

93 Zoals uit artikel 3, punt 5, van de PNR-richtlijn en de opsomming in bijlage I daarbij blijkt, omvatten de PNR-gegevens die in deze richtlijn worden bedoeld, naast de naam van de vliegtuigpassagier(s), onder meer gegevens die nodig zijn voor de reservering, zoals de geplande reisdata en de reisroute, informatie over de reisbiljetten, de groepen van personen die onder hetzelfde boekingsnummer geregistreerd zijn, de contactgegevens van de passagier(s), informatie over de betaalmethode of de facturatie, bagage-informatie en algemene opmerkingen over de passagier(s).

94 Aangezien PNR-gegevens informatie bevatten over geïdentificeerde natuurlijke personen, te weten de betrokken luchtreizigers, raken de verschillende vormen van verwerking die deze gegevens kunnen ondergaan dus aan het door artikel 7 van het Handvest gewaarborgde grondrecht op bescherming van het privéleven [zie in die zin advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punten 121 en 122 en aldaar aangehaalde rechtspraak].

95 De in de PNR-richtlijn bedoelde verwerkingen van PNR-gegevens vallen voorts ook onder artikel 8 van het Handvest doordat zij verwerkingen van persoonsgegevens in de zin van dit artikel vormen, en moeten derhalve noodzakelijkerwijs voldoen aan de in dit artikel gestelde vereisten inzake gegevensbescherming [zie in die zin advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 123 en aldaar aangehaalde rechtspraak].

96 Volgens vaste rechtspraak vormt de mededeling van persoonsgegevens aan een derde, zoals een openbare instantie, een inmenging in de in de artikelen 7 en 8 van het Handvest verankerde grondrechten, ongeacht het latere gebruik van de aldus meegedeelde gegevens. Dit geldt ook voor het bewaren van persoonsgegevens en voor de toegang tot die gegevens met het oog op het gebruik ervan door openbare instanties. In dit verband is het van weinig belang of de gegevens betreffende het privéleven al dan niet gevoelig zijn en of de betrokkenen door die inmenging enig nadeel hebben ondervonden [advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punten 124 en 126 en aldaar aangehaalde rechtspraak].

97 Aldus vormt zowel de doorgifte van de PNR-gegevens door de luchtvaartmaatschappijen aan de PIE van de betrokken lidstaat [artikel 1, lid 1, onder a), juncto artikel 8 van de PNR-richtlijn] als de afbakening van de voorwaarden inzake de bewaring en het gebruik van deze gegevens en de eventuele latere doorgifte ervan aan de bevoegde autoriteiten van deze lidstaat, de PIE’s en de bevoegde autoriteiten van andere lidstaten, Europol of autoriteiten van derde landen – zoals toegestaan door met name de artikelen 6, 7, 9 en 10 tot en met 12 van deze richtlijn – een inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten.

98 Wat de ernst van deze inmenging betreft, zij er ten eerste op gewezen dat de PNR-richtlijn volgens artikel 1, lid 1, onder a), juncto artikel 8 ervan voorziet in een stelselmatige, continue doorgifte aan de PIE’s van de PNR-gegevens van iedereen die een vlucht naar of vanuit een derde land in de zin van artikel 3, punt 2, ervan neemt, dat wil zeggen tussen een derde land en de Unie. Zoals de advocaat-generaal in punt 73 van zijn conclusie heeft opgemerkt, betekent dit dat de PIE’s algemene toegang hebben tot alle meegedeelde PNR-gegevens van alle personen die een vlucht nemen, ongeacht welk gebruik daar later van wordt gemaakt.

99 Ten tweede bepaalt artikel 2 van de PNR-richtlijn in lid 1 dat de lidstaten kunnen beslissen om deze richtlijn toe te passen op vluchten binnen de EU in de zin van artikel 3, punt 3, ervan, en in lid 2 dat in dit geval alle bepalingen van deze richtlijn „van toepassing [zijn] op vluchten binnen de EU alsof het om vluchten naar of vanuit derde landen gaat, en op de PNR-gegevens van vluchten binnen de EU alsof het om PNR-gegevens gaat van vluchten naar of vanuit derde landen”.

100 Ten derde lijken bepaalde van de in bijlage I bij de PNR-richtlijn opgesomde PNR-gegevens – die worden samengevat in punt 93 van dit arrest – op zichzelf beschouwd weliswaar geen nauwkeurige informatie te kunnen verschaffen over het privéleven van de betrokkenen, maar kunnen zij samen beschouwd onder meer een volledige reisroute blootleggen, inzicht geven in reisgewoontes en relaties tussen twee of meer personen, inlichtingen verschaffen over de financiële situatie van luchtreizigers, hun voedingsgewoonten of hun gezondheidstoestand, en zelfs gevoelige gegevens over deze passagiers onthullen [zie in die zin advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 128 ].

101 Ten vierde is het volgens artikel 6, lid 2, onder a) en b), van de PNR-richtlijn de bedoeling dat de door de luchtvaartmaatschappijen doorgegeven gegevens niet alleen op voorhand worden beoordeeld, vóór de geplande aankomst of het geplande vertrek van de passagiers, maar ook achteraf.

102 Uit artikel 6, lid 2, onder a), en lid 3, van de PNR-richtlijn blijkt dat de PIE’s van de lidstaten de voorafgaande beoordeling systematisch en met geautomatiseerde middelen verrichten, dat wil zeggen continu en ongeacht of er aanwijzingen zijn dat de personen in kwestie mogelijkerwijs betrokken zijn bij terrorisme of ernstige criminaliteit, en dat de PNR‑gegevens daarbij kunnen worden vergeleken met „databanken die relevant zijn” en kunnen worden verwerkt aan de hand van „vooraf bepaalde criteria”.

103 In dit verband zij eraan herinnerd dat het Hof reeds heeft geoordeeld dat de mate waarin de geautomatiseerde verwerking van de PNR-gegevens een inmenging oplevert in de rechten die in de artikelen 7 en 8 zijn verankerd, hoofdzakelijk afhangt van de vooraf vastgestelde modellen en criteria en de databanken waarop dit type van gegevensverwerking is gebaseerd [advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 172 ].

104 Zoals de advocaat-generaal in punt 78 van zijn conclusie heeft opgemerkt, kunnen met de verwerking die in artikel 6, lid 3, onder a), van de PNR-richtlijn wordt voorgeschreven – het vergelijken van de PNR-gegevens met „databanken die relevant zijn” – aanvullende gegevens over het privéleven van de luchtreizigers worden verkregen en daar zeer precieze conclusies over worden getrokken.

105 Wat de verwerking van PNR-gegevens aan de hand van „vooraf bepaalde criteria” betreft [artikel 6, lid 3, onder b), van de PNR-richtlijn], vereist artikel 6, lid 4, van deze richtlijn dat de beoordeling van passagiers op basis van dergelijke criteria op niet-discriminerende wijze gebeurt en met name zonder dat wordt gekeken naar een reeks in de laatste volzin van dit lid 4 genoemde kenmerken. De gekozen criteria moeten bovendien doelgericht, evenredig en specifiek zijn.

106 Het Hof heeft evenwel reeds geoordeeld dat geautomatiseerde analyses van PNR-gegevens, aangezien zij worden uitgevoerd op basis van niet-geverifieerde persoonsgegevens en gebaseerd zijn op vooraf vastgestelde modellen en criteria, noodzakelijkerwijs een zekere foutenmarge vertonen [zie naar analogie advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 169 ]. Zoals de advocaat-generaal in punt 78 van zijn conclusie in wezen heeft aangegeven, blijkt met name uit het werkdocument van de Commissie [SWD(2020) 128 final] dat als bijlage bij haar verslag van 24 juli 2020 over de evaluatie van de PNR-richtlijn is gevoegd, dat het aantal positieve overeenkomsten dat geautomatiseerde verwerking als bedoeld in artikel 6, lid 3, onder a) en b), van deze richtlijn oplevert en dat na een afzonderlijke niet-geautomatiseerde controle onjuist blijkt te zijn, vrij aanzienlijk is en in 2018 en 2019 minstens vijf op de zes geïdentificeerde personen bedroeg. Die verwerking draait dus uit op een uitgebreide analyse van de PNR-gegevens van deze personen.

107 Wat betreft de beoordeling achteraf van PNR-gegevens als bedoeld in artikel 6, lid 2, onder b), van de PNR-richtlijn, blijkt uit deze bepaling dat de PIE gedurende de in artikel 12, lid 2, van deze richtlijn genoemde termijn van zes maanden na de doorgifte van die gegevens verplicht is om deze in bepaalde gevallen op verzoek van de bevoegde instanties te verstrekken en te verwerken voor het bestrijden van terroristische misdrijven of ernstige criminaliteit.

108 Zelfs nadat de PNR-gegevens na het verstrijken van die termijn van zes maanden zijn gedepersonaliseerd – door bepaalde elementen ervan af te schermen – kan de PIE overeenkomstig artikel 12, lid 3, van de PNR-richtlijn gehouden zijn de bevoegde instanties op verzoek de volledige PNR-gegevens mee te delen in een vorm die het mogelijk maakt de betrokkene te identificeren, mits er redelijkerwijs kan worden aangenomen dat dit noodzakelijk is voor de in artikel 6, lid 2, onder b), van deze richtlijn genoemde doelstellingen en hiervoor goedkeuring is gegeven door een gerechtelijke instantie of een „andere nationale instantie die […] bevoegd is”.

109 Ten vijfde bepaalt artikel 12, lid 1, van de PNR-richtlijn zonder verdere precisering dat PNR-gegevens in een databank worden bewaard gedurende een termijn van vijf jaar nadat zij zijn doorgegeven aan de PIE van de lidstaat waar de vlucht aankomt of vertrekt. Aangezien de gegevens – ondanks de depersonalisering ervan na de initiële termijn van zes maanden, door afscherming van bepaalde elementen – nog integraal kunnen worden meegedeeld in het in het vorige punt genoemde geval, is het dus mogelijk om gedurende een periode die het Hof in zijn advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017 (EU:C:2017:592, punt 132 ) erg lang heeft genoemd, te beschikken over informatie over het privéleven van de luchtreizigers.

110 Aangezien er regelmatig vliegtuigreizen worden gemaakt, impliceert een dergelijke bewaartermijn dat voor een zeer groot deel van de Uniebevolking herhaaldelijk PNR-gegevens worden bewaard in het kader van het door de PNR-richtlijn ingestelde systeem, en dus gedurende lange tijd – en zelfs onbepaalde tijd bij personen die meer dan eens in de vijf jaar het vliegtuig nemen – beschikbaar zijn om door de PIE en de bevoegde autoriteiten te worden geanalyseerd bij de beoordelingen vooraf en achteraf.

111 Gelet op een en ander moet worden geoordeeld dat de PNR-richtlijn inmengingen van een zekere ernst in de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten met zich brengt, met name voor zover deze richtlijn een systeem van permanente, niet-gerichte en systematische controle beoogt in te voeren waarbij de persoonsgegevens van iedereen die luchtvervoerdiensten gebruikt automatisch worden beoordeeld.

2. Rechtvaardiging van de door de PNR-richtlijn veroorzaakte inmenging

112 Er zij aan herinnerd dat de in de artikelen 7 en 8 van het Handvest verankerde grondrechten geen absolute gelding hebben, maar in relatie tot hun sociale functie moeten worden beschouwd [advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 136 en aldaar aangehaalde rechtspraak, en arrest van 6 oktober 2020, Privacy International, C‑623/17, EU:C:2020:790, punt 63 en aldaar aangehaalde rechtspraak].

113 Volgens artikel 52, lid 1, eerste volzin, van het Handvest moeten beperkingen op de uitoefening van de in dit Handvest erkende rechten en vrijheden bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Artikel 52, lid 1, tweede volzin, ervan bepaalt dat, met inachtneming van het evenredigheidsbeginsel, dergelijke beperkingen slechts kunnen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen. Artikel 8, lid 2, van het Handvest preciseert in dit verband dat persoonsgegevens onder meer „voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet” moeten worden verwerkt.

114 Hieraan moet worden toegevoegd dat het vereiste dat elke beperking op de uitoefening van grondrechten bij wet wordt gesteld, inhoudt dat de rechtsgrond die de inmenging in die rechten toestaat zelf de reikwijdte van de beperking op de uitoefening van het betrokken recht moet bepalen, met dien verstande, ten eerste, dat dit vereiste zich er niet tegen verzet dat de betrokken beperking in voldoende open bewoordingen is geformuleerd om te kunnen worden toegepast op verschillende gevallen en aangepast aan veranderende omstandigheden (zie in die zin arrest van 26 april 2022, Polen/Parlement en Raad, C‑401/19, EU:C:2022:297, punten 64 en 74 en aldaar aangehaalde rechtspraak) en, ten tweede, dat het Hof in voorkomend geval via uitlegging de concrete reikwijdte van de beperking kan verduidelijken aan de hand van de bewoordingen zelf van de betrokken Uniewetgeving alsook de algemene opzet en de doelstellingen van die wetgeving, zoals uitgelegd tegen de achtergrond van de door het Handvest gewaarborgde grondrechten.

115 Wat de inachtneming van het evenredigheidsbeginsel betreft, vereist de bescherming van het grondrecht op eerbiediging van het privéleven op het niveau van de Unie volgens vaste rechtspraak van het Hof dat de uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven. Bovendien kan een doelstelling van algemeen belang niet worden nagestreefd zonder rekening te houden met het feit dat deze doelstelling moet worden verzoend met de door de maatregel aangetaste grondrechten, zulks via een evenwichtige afweging tussen de doelstelling en de op het spel staande rechten [advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 140 , en arrest van 5 april 2022, Commissioner of An Garda Síochána e.a., C‑140/20, EU:C:2022:258, punt 52 en aldaar aangehaalde rechtspraak].

116 Meer bepaald moet bij de beoordeling of de lidstaten een beperking van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten kunnen rechtvaardigen, worden bepaald wat de ernst is van de inmenging die een dergelijke beperking meebrengt, en worden nagegaan of het belang van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst (zie in die zin arresten van 2 oktober 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, punt 55 en aldaar aangehaalde rechtspraak, en  5 april 2022, Commissioner of An Garda Síochána e.a., C‑140/20, EU:C:2022:258, punt 53 en aldaar aangehaalde rechtspraak).

117 De betrokken regeling die de inmenging bevat, voldoet slechts aan het evenredigheidsvereiste indien zij duidelijke en nauwkeurige regels over de reikwijdte en de toepassing van de daarin bepaalde maatregelen bevat die minimale eisen opleggen, zodat degenen van wie de gegevens zijn doorgegeven over voldoende garanties beschikken dat hun persoonsgegevens doeltreffend worden beschermd tegen het risico van misbruik. Zij moet in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt. De noodzaak om over dergelijke garanties te beschikken is des te groter wanneer de persoonsgegevens geautomatiseerd worden verwerkt. Deze overwegingen gelden inzonderheid wanneer de PNR-gegevens gevoelige informatie over de passagiers kunnen onthullen [advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 141 , en arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 132 en aldaar aangehaalde rechtspraak].

118 Een regeling die voorziet in de bewaring van persoonsgegevens moet derhalve steeds beantwoorden aan objectieve criteria die een verband leggen tussen de te bewaren gegevens en het nagestreefde doel [zie in die zin advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 191 en aldaar aangehaalde rechtspraak, en arresten van 3 oktober 2019, A e.a., C‑70/18, EU:C:2019:823, punt 63 , en  6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 133 ].