Gebruik van PNR-gegevens van passagiers van vluchten

HvJ EU 21 juni 2022, IT 3986, IEFbe 3489; ECLI:EU:C:2022:491 (Ligue tegen Ministerraad) De Ligue des droits humains (hierna: de Ligue) heeft bij het Grondwettelijk Hof in België beroep ingesteld tot gehele of gedeeltelijke vernietiging van de wet van 25 december 2016 betreffende de verwerking van passagiersgegevens. De rechter dient een verzoek in om een prejudiciële beslissing. Door het Hof wordt onder meer geoordeeld dat artikel 2, lid 2 onder d en artikel 23 AVG zo moeten worden uitgelegd dat de AVG van toepassing is op de verwerking van persoonsgegevens die wordt voorgeschreven in nationale wetgeving die tegelijkertijd de API-richtlijn, richtlijn 2010/65 en de PNR-richtlijn in nationaal recht beoogt om te zetten. Daarnaast verzet artikel 6 van de PNR-richtlijn zich volgens het Hof tegen nationale wetgeving die toestaat dat overeenkomstig de richtlijn verzamelde PNR-gegevens verwerkt worden voor andere doeleinden dan die uitdrukkelijk in artikel 1 lid 2 van de richtlijn genoemd worden.

Ook wordt er door het Hof geoordeeld dat de API-richtlijn zo moet worden uitgelegd dat zij niet van toepassing is op vluchten binnen de EU. Het Hof meent verder dat het Unierecht en (met name) artikel 2 PNR-richtlijn zo moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die bij het bestrijden van terroristische misdrijven en ernstige criminaliteit een systeem van doorgifte invoert. Het gaat dan om de doorgifte door luchtvaartmaatschappijen en reisoperatoren en de verwerking door de bevoegde autoriteiten van PNR-gegevens voor alle vluchten binnen de EU en andere soorten vervoer binnen de Unie vanuit, naar of door de betrokken lidstaat. Dit is zo indien deze lidstaat niet met een actuele of voorzienbare terroristische dreiging wordt geconfronteerd. Daarnaast is het zo dat het Unierecht en (met name) artikel 2 PNR-richtlijn zo moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die een dergelijk systeem van doorgifte en verwerking van die gegevens invoert om controles aan de buitengrenzen te verbeteren en illegale immigratie te bestrijden.

84. Gelet op de voorgaande overwegingen dient op de eerste vraag te worden geantwoord dat artikel 2, lid 2, onder d), en artikel 23 AVG aldus moeten worden uitgelegd dat de AVG van toepassing is op de verwerking van persoonsgegevens die wordt voorgeschreven in nationale wetgeving die tegelijkertijd de API-richtlijn, richtlijn 2010/65 en de PNR-richtlijn in nationaal recht beoogt om te zetten, wanneer de verwerking door particuliere marktdeelnemers gebeurt of wanneer zij door overheidsinstanties wordt verricht en enkel of ook onder de API-richtlijn of richtlijn 2010/65 valt. Die verordening is daarentegen niet van toepassing op door dergelijke wetgeving voorgeschreven gegevensverwerking die enkel onder de PNR-richtlijn valt, die de PIE of de bevoegde autoriteiten verrichten voor de doeleinden die worden genoemd in artikel 1, lid 2, van deze richtlijn.

237. Bijgevolg dient op de vijfde vraag te worden geantwoord dat artikel 6 van de PNR-richtlijn, gelezen in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die toestaat dat overeenkomstig deze richtlijn verzamelde PNR-gegevens worden verwerkt voor andere doeleinden dan die welke uitdrukkelijk worden genoemd in artikel 1, lid 2, van deze richtlijn.

269  Gelet op het voorgaande dient op de negende vraag, onder a), te worden geantwoord dat de API-richtlijn aldus moet worden uitgelegd dat zij niet van toepassing is op vluchten binnen de EU.

291. Gelet op al het voorgaande dient op de negende vraag, onder b), te worden geantwoord dat het Unierecht en met name artikel 2 van de PNR-richtlijn, gelezen in het licht van artikel 3, lid 2, VEU, artikel 67, lid 2, VWEU en artikel 45 van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen:

- nationale wetgeving die ter bestrijding van terroristische misdrijven en ernstige criminaliteit een systeem invoert van doorgifte door luchtvaartmaatschappijen en reisoperatoren en verwerking door de bevoegde autoriteiten van PNR-gegevens voor alle vluchten binnen de EU en andere soorten vervoer binnen de Unie vanuit, naar of door de betrokken lidstaat, indien deze lidstaat niet met een werkelijke en actuele of voorzienbare terroristische dreiging wordt geconfronteerd. In een dergelijke situatie moet het systeem van de PNR-richtlijn worden beperkt tot het doorgeven en verwerken van PNR-gegevens voor vluchten en/of transportmiddelen die met name verband houden met bepaalde verbindingen, reisroutes of luchthavens, treinstations of zeehavens waarvoor er aanwijzingen bestaan dat deze toepassing gerechtvaardigd is. De betrokken lidstaat moet dan selecteren voor welke vluchten binnen de EU en/of andere soorten vervoer binnen de Unie er dergelijke aanwijzingen bestaan, en die toepassing regelmatig herzien in het licht van wijzigingen in de omstandigheden die die selectie rechtvaardigden, om te verzekeren dat dat systeem steeds in de mate van het strikt noodzakelijke op die vluchten en/of dat vervoer wordt toegepast, en

- nationale wetgeving die een dergelijk systeem van doorgifte en verwerking van die gegevens invoert om controles aan de buitengrenzen te verbeteren en illegale immigratie te bestrijden.