C-215/20 Bundesrepublik Deutschland e.a.

Contentverzamelaar

C-215/20 Bundesrepublik Deutschland e.a.

Prejudiciële hofzaak

Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).

Termijnen: Motivering departement:     28 juli 2020
Schriftelijke opmerkingen:                     14 september 2020

Trefwoorden : PNR-richtlijn; AVG

Onderwerp :

-           Handvest van de grondrechten van de Europese Unie;

-           Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad;

-           Richtlijn (EU) 2016/681 van het Europees Parlement en de Raad van 27 april 2016 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit (hierna: PNR-richtlijn);

-           Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (hierna: AVG);

-           Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens;

 

Feiten:

Op 10-06-2017 is het FlugDaG (de Duitse wet tot omzetting van de PNR-richtlijn) in werking getreden. De PNR-richtlijn heeft tot doel terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen. Lidstaten zijn verplicht om passagiersinformatie-eenheden (PIE’s) op te richten, die tot taak hebben de PNR-gegevens van de luchtvaartmaatschappijen te verzamelen en die gegevens op te slaan, te verwerken en aan de bevoegde instanties door te geven. Verzoeker is met de luchtvaartmaatschappij Lufthansa van Frankfurt naar Bogota gevlogen en is later van Rio de Janeiro teruggevlogen naar Frankfurt. Met betrekking tot deze vluchten verzoekt hij om wissing van zijn gegevens bij verweerster (de Duitse staat).

 

Overweging:

Voor de beslechting van het hoofdgeding is beslissend of de PNR-richtlijn geheel of gedeeltelijk in strijd is met het Handvest. Mocht dit het geval zijn, dan is het FlugDaG als wet tot omzetting van die richtlijn niet van toepassing, zodat de litigieuze gegevensverwerking ontoelaatbaar was en verzoeker recht heeft op wissing van de betreffende gegevens.

 

Prejudiciële vragen:

1) Is richtlijn (EU) 2016/681 van het Europees Parlement en de Raad van 27 april 2016 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit (PB 2016, L 119, blz. 132 hierna: „PNR-richtlijn”), op grond waarvan, ten eerste, luchtvaartmaatschappijen ook bij vluchten binnen de Europese Unie uitgebreide gegevensreeksen die zonder enige uitzondering betrekking hebben op alle passagiers, moeten doorgeven aan de in de betrokken lidstaten opgerichte passagiersinformatie-eenheden (hierna: „PIE”) en, ten tweede, die gegevensreeksen aldaar zonder aanleiding moeten worden gebruikt voor geautomatiseerde vergelijkingen met databanken en modellen, waarna zij gedurende vijf jaar moeten worden opgeslagen, verenigbaar met het Handvest van de grondrechten van de Europese Unie en in het bijzonder de artikelen 7, 8 en 52 daarvan, rekening houdend met de doelstelling van de PNR-richtlijn en met de vereisten van nauwkeurigheid en evenredigheid?

2) Meer bepaald:

a)         Is artikel 3, punt 9, van de PNR-richtlijn juncto bijlage II bij deze richtlijn, in het licht van de vereisten van voldoende nauwkeurigheid en evenredigheid, verenigbaar met de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie, voor zover in die bepaling van de PNR-richtlijn is geregeld dat onder het begrip „ernstige criminaliteit” in de zin van deze richtlijn worden verstaan de in bijlage II bij die richtlijn bedoelde strafbare feiten waarop in het nationale recht van een lidstaat een vrijheidsbenemende straf of een tot detentie strekkende maatregel met een maximumduur van ten minste drie jaar staat?

b)         Zijn de door te geven persoonsgegevens van passagiers voldoende nauwkeurig bepaald opdat zij een inmenging in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie kunnen rechtvaardigen, voor zover het gaat om de doorgifte van de naam of de namen (artikel 8, lid 1, eerste volzin, van de PNR-richtlijn juncto punt 4 van bijlage I bij deze richtlijn), de informatie betreffende reizigers die gebruikmaken van een loyaliteitsprogramma voor frequent reizen (artikel 8, lid 1, eerste volzin, van de PNR-richtlijn juncto punt 8 van bijlage I bij deze richtlijn), en de opname van een vrij tekstveld met algemene opmerkingen (artikel 8, lid 1, eerste volzin, van de PNR-richtlijn juncto punt 12 van bijlage I bij deze richtlijn)?

c)         Is het met de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie en met de strekking van de PNR-richtlijn verenigbaar dat naast de gegevens van passagiers ook de gegevens van derden worden geregistreerd, bijvoorbeeld de gegevens van het reisbureau of de reisagent (punt 9 van bijlage I bij de PNR-richtlijn), de personen die een minderjarige begeleiden (punt 12 van bijlage I bij de PNR-richtlijn) en de andere reizigers (punt 17 van bijlage I bij de PNR-richtlijn)? 

d)         Is de PNR-richtlijn verenigbaar met de artikelen 7, 8 en 24 van het Handvest van de grondrechten van de Europese Unie voor zover op grond van die richtlijn PNR-gegevens van minderjarige passagiers worden doorgegeven, verwerkt en opgeslagen?

e)         Is artikel 8, lid 2, van de PNR-richtlijn juncto punt 18 van bijlage I bij deze richtlijn, op grond  waarvan de luchtvaartmaatschappijen APIgegevens, ook voor zover deze identiek zijn aan PNR-gegevens, moeten doorgeven aan de PIE’s van de lidstaten, verenigbaar met de artikelen 8 en 52 van het Handvest in het licht van het beginsel van gegevensminimalisatie?

f)          Vormt artikel 6, lid 4, van de PNR-richtlijn als rechtsgrondslag voor de bepaling van de criteria op basis waarvan de gegevens worden vergeleken (zogenoemde modellen), een toereikende  gerechtvaardigde grondslag waarin de wet voorziet in de zin van zowel artikel 8, lid 2, en artikel 52 van het Handvest van de grondrechten van de Europese Unie als artikel 16, lid 2, VWEU?

g)         Beperkt artikel 12 van de PNR-richtlijn de inmenging in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie nog tot het strikt noodzakelijke wanneer de PIE’s van de lidstaten de doorgegeven gegevens gedurende een termijn van vijf jaar bewaren?

h)         Heeft de depersonalisatie als bedoeld in artikel 12, lid 2, van de PNRrichtlijn tot gevolg dat de persoonsgegevens worden gereduceerd tot wat strikt noodzakelijk is in de zin van de artikelen 8 en 52 van het Handvest van de grondrechten van de Europese Unie, wanneer die depersonalisatie niet meer inhoudt dan een pseudonimisering die te allen tijde ongedaan kan worden gemaakt?

i)          Dienen de artikelen 7, 8 en 47 van het Handvest van de grondrechten van de Europese Unie aldus te worden uitgelegd dat wanneer de depersonalisatie van PNR-gegevens bij de verwerking van deze gegevens ongedaan wordt gemaakt (artikel 12, lid 3, van de PNRrichtlijn), de betrokken passagiers krachtens die bepalingen in kennis moeten worden gesteld van die ongedaanmaking teneinde hun de mogelijkheid van rechterlijke toetsing te bieden?

3) Is artikel 11 van de PNR-richtlijn met de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie verenigbaar voor zover PNRgegevens op grond van die richtlijnbepaling mogen worden doorgegeven aan derde landen waar geen sprake is van een adequaat niveau van gegevensbescherming?

4) Biedt artikel 6, lid 4, vierde volzin, van de PNR-richtlijn voldoende bescherming tegen de verwerking van bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (PB 2016, L 119, blz. 1: hierna: „algemene verordening gegevensbescherming”) en artikel 10 van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89; hierna: „richtlijn 2016/680”), wanneer in het kader van het vrije tekstveld „algemene opmerkingen” (punt 12 van bijlage I bij de PNR-richtlijn) bijvoorbeeld informatie over eetvoorkeuren kan worden doorgegeven waaruit gevolgtrekkingen kunnen worden gemaakt met betrekking tot dergelijke bijzondere categorieën van persoonsgegevens?

5) Is het met artikel 13 van de algemene verordening gegevensbescherming verenigbaar dat  luchtvaartmaatschappijen op hun website de passagiers enkel wijzen op de nationale omzettingswet [in casu: Gesetz über die Verarbeitung von Fluggastdaten zur Umsetzung der Richtlinie (EU) 2016/681 (wet betreffende de verwerking van persoonsgegevens van passagiers tot omzetting van richtlijn 2016/681) van 6 juni 2017, BGBl. I, blz. 1484; hierna: „FlugDaG”)?

 

Aangehaalde (recente) jurisprudentie: C-92/09 en C-93/09; Advies 1/15; Digital Rights Ireland e.a. C-293/12 en C-594/12; AGET Iraklis C-201/15; Österreichischer Rundfunk e. a. C-465/00, C-138/01 en C-139/01; Commissie/Duitsland C-518/07; Commissie/Oostenrijk C-614/10;

Specifiek beleidsterrein: