Soudní dvůr EU zveřejnil dne 27. ledna 2022 stanovisko generálního advokáta Giovanniho Pitruzzelly ve věci C-817/19 Ligue des droits humains, podle něhož platí, že předávání, jakož i plošné automatizované a nerozlišující zpracování údajů PNR je slučitelné se základními právy na respektování soukromí a ochranu osobních údajů. Naproti tomu plošné a nerozlišující uchovávání údajů PNR v neanonymizované formě je opodstatněné pouze v případě vážného, skutečného a aktuálního nebo předvídatelného ohrožení bezpečnosti členských států a pouze pod podmínkou, že doba tohoto uchovávání je omezena na dobu nezbytně nutnou. Generální advokát dále konstatoval, že kromě toho předávání údajů uvedených v položce „obecné poznámky“ uvedené ve směrnici PNR nesplňuje požadavky jasnosti a přesnosti, které vyžaduje Listina.

Používání údajů PNR představuje důležitý prvek v boji proti terorismu a závažné trestné činnosti. Za tímto účelem směrnice PNR¹ vyžaduje systematické zpracování řady důležitých údajů o cestujících leteckou dopravou při vstupu do Unie a při jejím opuštění. Kromě toho článek 2 této směrnice stanoví, že členské státy mohou tuto směrnici používat i na lety uvnitř EU.

Neziskové sdružení Ligue des droits humains (LDH) podalo v červenci 2017 ke Cour constitutionnelle (Ústavní soud, Belgie) žalobu na neplatnost zákona z 25. prosince 2016, který do belgického práva provedl směrnice PNR a API. ² Podle LDH tento zákon porušuje právo na respektování soukromí a právo na ochranu osobních údajů, která jsou zaručena belgickým právem a unijním právem. Kritizuje jednak velmi široký charakter údajů PNR a jednak všeobecnou povahu shromažďování, předávání a zpracování těchto údajů. Uvedený zákon podle něj narušuje i volný pohyb osob tím, že nepřímo obnovuje hraniční kontroly rozšířením systému PNR na lety uvnitř EU.

V říjnu 2019 Ústavní soud předložil Soudnímu dvoru deset předběžných otázek týkajících se platnosti a výkladu směrnic PNR a API, ale také výkladu obecného nařízení o ochraně osobních údajů. ³

Generální advokát Giovanni Pitruzzella ve svém stanovisku, které dnes přednesl, nejprve upřesňuje, že mají-li opatření zahrnující zásahy do základních práv stanovených Listinou základních práv Evropské unie (dále jen „Listina“) svůj zdroj v unijním legislativním aktu, úlohou unijního zákonodárce je stanovit základní prvky, které vymezují rozsah těchto zásahů. Dále připomíná, že ustanovení ukládající nebo umožňující sdělování osobních údajů fyzických osob třetí straně, jako je orgán veřejné moci, je třeba v případě absence souhlasu těchto fyzických osob a bez ohledu na následné použití dotčených údajů považovat za zásah do jejich soukromí, jakož i do základního práva na ochranu osobních údajů. ⁴ Tyto zásahy mohou být odůvodněny pouze tehdy, pokud jsou stanoveny zákonem, respektují podstatu obsahu uvedených práv a jsou při dodržování zásady proporcionality nezbytné a skutečně odpovídají cílům obecného zájmu uznaným Unií nebo potřebě ochrany práv a svobod druhých.

Zaprvé, pokud jde o osobní údaje, které jsou letečtí dopravci v souladu se směrnicí PNR povinni předávat útvarům pro informace o cestujících, generální advokát uvádí, že rozsah a závažnost zásahu do základních práv na respektování soukromí a na ochranu osobních údajů vyplývajícího z opatření, kterým se zavádí omezení výkonu těchto práv, závisí především na rozsahu a povaze údajů, které jsou předmětem zpracování. Identifikace těchto údajů je tedy základní operací, jež musí být povinně učiněna v každém právním základu zavádějícím takové opatření, a to co nejjasnějším a nejpřesnějším způsobem. Po konstatování, že použití všeobecných kategorií informací, které dostatečně neurčují povahu a rozsah údajů, které mají být předávány, nesplňuje podmínky jasnosti a přesnosti stanovené v Listině, dospěl generální advokát k závěru o neplatnosti přílohy I bodu 12 této směrnice v rozsahu, v němž toto ustanovení zahrnuje mezi kategorie údajů, které mají být předávány, položku „obecné poznámky“, která může zahrnovat jakékoli informace shromážděné leteckými dopravci v rámci jejich činnosti poskytování služeb nad rámec těch, které jsou výslovně uvedeny v ostatních bodech této přílohy I.

Ve zbývající části generální advokát zdůrazňuje, že údaje, které jsou letečtí dopravci povinni předávat útvarům pro informace o cestujících v souladu se směrnicí PNR, jsou relevantní, přiměřené a nikoli nadměrné vzhledem k cílům sledovaným touto směrnicí a že jejich rozsah nepřesahuje to, co je nezbytně nutné k dosažení těchto cílů. Kromě toho má za to, že toto předávání je spojeno s dostatečnými zárukami směřujícími jednak k tomu, aby byly předávány pouze výslovně uvedené údaje, a dále k zajištění bezpečnosti a důvěrnosti předávaných údajů. Generální advokát též připomíná, že směrnice PNR stanoví všeobecný zákaz zpracování citlivých údajů, včetně jejich shromažďování, takže systém PNR poskytuje dostatečné záruky umožňující v každé fázi zpracování shromážděných údajů vyloučit, že by toto zpracování mohlo přímo či nepřímo zohledňovat chráněné vlastnosti.

Zadruhé má generální advokát za to, že plošná a nerozlišující povaha předávání údajů PNR a předběžného posuzování cestujících v letecké dopravě prostřednictvím automatizovaného zpracování takových údajů je slučitelná s články 7 a 8 Listiny, které zakotvují základní práva na respektování soukromí a na ochranu osobních údajů. V tomto ohledu má zejména za to, že judikaturu Soudního dvora týkající se uchovávání údajů a přístupu k nim v odvětví elektronických komunikací⁵ nelze přenést na systém stanovený směrnicí PNR. Kromě toho uvádí, že přijetí systému zpracování údajů PNR harmonizovaného na unijní úrovni jak pro lety mimo EU, tak – v případě států, které využily článku 2 směrnice PNR – pro lety uvnitř EU, umožňuje zajistit, že zpracování těchto údajů bude probíhat při dodržení vysoké úrovně ochrany stanovené touto směrnicí, co se týče základních práv uvedených v článcích 7 a 8 Listiny.

V rámci systému záruk zavedených směrnicí PNR generální advokát obecněji zdůrazňuje zásadní význam dohledu vykonávaného nezávislým orgánem dohledu, který má pravomoc ověřovat zákonnost tohoto zpracování, provádět šetření, inspekce a audity a řešit stížnosti, jež předloží kterýkoliv subjekt údajů. V tomto ohledu upřesňuje, že je zásadní, aby členské státy při provádění této směrnice do vnitrostátního práva přiznaly svému vnitrostátnímu orgánu dohledu plný rozsah těchto pravomocí tím, že mu poskytnou materiální a personální zdroje potřebné k plnění jeho úlohy.

Pokud jde zejména o předběžné posuzování cestujících v letecké dopravě, a to, zaprvé ve vztahu ke srovnání údajů PNR s databázemi, jež mají význam z hlediska prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti, které tvoří první část tohoto posuzování, generální advokát uvádí, že pojem „databáze, jež mají význam“ se má vykládat v souladu s požadavky jasnosti a přesnosti požadovanými Listinou, jakož i s ohledem na cíle směrnice PNR. Tento pojem je podle něj nutno vykládat tak, že zahrnuje pouze vnitrostátní databáze spravované příslušnými orgány, jakož i unijní a mezinárodní databáze přímo využívané těmito orgány v rámci plnění jejich úloh, které kromě toho musí přímo a úzce souviset s cíli boje proti terorismu a závažné trestní činnosti, které sleduje směrnice PNR, což znamená, že se jedná o databáze vyvinuté pro tyto účely. Zadruhé, pokud jde o automatizované zpracování údajů PNR na základě předem stanovených kritérií, které představuje druhou část uvedeného předběžného posuzování, generální advokát má zejména za to, že takové zpracování nelze provádět pomocí systémů umělé inteligence se strojovým učením, které neumožňují zjistit důvody, které vedly algoritmus k potvrzení pozitivního výsledku.

Zatřetí, pokud jde o otázku, zda unijní právo brání vnitrostátní legislativě stanovící obecnou pětiletou lhůtu pro uchovávání údajů PNR bez rozlišení, zda se u dotyčných cestujících v rámci předběžného posouzení ukázalo, že mohou představovat riziko pro veřejnou bezpečnost či nikoli, generální advokát navrhuje vykládat směrnici PNR v souladu s Listinou v tom smyslu, že uchovávání údajů PNR poskytovaných leteckými dopravci útvarům pro informace o cestujících po dobu pěti let je po uskutečnění předběžného posouzení povoleno pouze v rozsahu, v němž je na základě objektivních kritérií prokázán vztah mezi těmito údaji a bojem proti terorismu nebo závažné trestné činnosti. Plošné a nerozlišující uchovávání údajů PNR v neanonymizované formě lze odůvodnit pouze v případě závažného ohrožení bezpečnosti členských států, které se jeví skutečné a aktuální či předvídatelné, souvisejícího například s teroristickými činnostmi, a pouze pod podmínkou, že doba tohoto uchovávání je omezena na dobu nezbytně nutnou.

Úplné znění stanoviska se na internetové stránce curia.europa.eu zveřejňuje v den, kdy je generální advokát přednesl.

Zdroj: Soudní dvůr EU
Foto: canva.com

¹ Směrnice Evropského parlamentu a Rady (EU) 2016/681 ze dne 27. dubna 2016 o používání údajů jmenné evidence cestujících (PNR) pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti (Úř. věst. 2016, L 119, str. 132).

² Směrnice Rady 2004/82/ES ze dne 29. dubna 2004 o povinnosti dopravců předávat údaje o cestujících (Úř věst. 2004, L 261, s. 24, Zvl. vyd. 19/07, str. 74).

³ Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, str. 1).

⁴ Viz zejména rozsudek ze dne 18. června 2020, Komise v. Maďarsko, C-78/18 (bod 124 a citovaná judikatura), jakož i TZ č. 73/20.

⁵ Viz zejména rozsudky ze dne 21. prosince 2016, Télé2 Sverige, C-203/15 a C-698/15 (viz rovněž TZ č. 145/16), a ze dne 6. října 2020, La Quadrature du Net a další, C-511/18, C-512/18 a C-520/18 (viz rovněž TZ č. 123/20).