Sprawa C-215/20: Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wiesbaden (Niemcy) w dniu 19 maja 2020 r. - JV / Bundesrepublik Deutschland.

Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wiesbaden (Niemcy) w dniu 19 maja 2020 r. - JV / Bundesrepublik Deutschland

(Sprawa C-215/20)

Język postępowania: niemiecki

(2020/C 279/39)

(Dz.U.UE C z dnia 24 sierpnia 2020 r.)

Sąd odsyłający

Verwaltungsgericht Wiesbaden

Strony w postępowaniu głównym

Strona skarżąca: JV

Strona pozwana: Bundesrepublik Deutschland

Pytania prejudycjalne

1) Czy dyrektywa (UE) 2016/681 ¹  (zwana dalej "dyrektywą 2016/681"), zgodnie z którą przewoźnicy lotniczy przekazują kompleksowe dane dotyczące bez wyjątku wszystkich pasażerów do ustanowionych lub wyznaczonych jednostek do spraw informacji o pasażerach (JIP), gdzie dane te bez konkretnej potrzeby są wykorzystywane do zautomatyzowanego porównania z bazami danych i wzorami, a następnie zatrzymywane przez okres 5 lat, jest - przy uwzględnieniu celu tej dyrektywy i wymogów określoności oraz proporcjonalności - zgodna z Kartą prawa podstawowych Unii Europejskiej (zwaną dalej "kartą praw podstawowych"), w szczególności art. 7, 8 i 52 tej karty?

2) W szczególności:

a) Czy art. 3 pkt 9 dyrektywy 2016/681 w związku z załącznikiem II do tej dyrektywy w zakresie, w jakim regulują, iż pojęcie "poważnej przestępczości" w rozumieniu dyrektywy 2016/681 oznacza przestępstwa wymienione w załączniku II do tej dyrektywy, które na mocy prawa krajowego państwa członkowskiego podlegają karze pozbawienia wolności lub środkowi zabezpieczającemu polegającemu na pozbawieniu wolności o maksymalnym wymiarze co najmniej trzech lat, jest z uwzględnieniem wymogów wystarczającej określoności i proporcjonalności zgodny z art. 7 i 8 karty?

b) Czy podlegające przekazywaniu dane dotyczące przelotu pasażera (zwane dalej "danymi PNR") w zakresie, w jakim dotyczą imienia i nazwiska (imion i nazwisk) (art. 8 ust. 1 zdanie pierwsze w związku z pkt 4 załącznika I do dyrektywy 2016/681), programów lojalnościowych (art. 8 ust. 1 zdanie pierwsze w związku z pkt 8 załącznika I do dyrektywy 2016/681) oraz wpisów uwag ogólnych w wolnym polu tekstowym (art. 8 ust. 1 zdanie pierwsze w związku z pkt 12 załącznika I do dyrektywy 2016/681), są na tyle wystarczająco określone, żeby usprawiedliwić ingerencję w prawa przewidziane w art. 7 i 8 karty praw podstawowych?

c) Czy zgodne z art. 7 i 8 karty praw podstawowych oraz celem dyrektywy 2016/681 jest to, że poza danymi dotyczącymi pasażerów zbierane są także dane podmiotów trzecich, np. biur podróży/agencji turystycznych (pkt 9 załącznika I do dyrektywy 2016/681), opiekunów osób małoletnich (pkt 12 załącznika I do dyrektywy 2016/681) i innych podróżnych wymienionych w PNR (pkt 17 załącznika I do dyrektywy 2016/681)?

d) Czy dyrektywa 2016/681 w zakresie, w jakim zgodnie z jej przepisami przekazywane, przetwarzane i zatrzymywane są dane PNR pasażerów małoletnich, jest zgodna z art. 7, 8 i 24 karty praw podstawowych?

e) Czy art. 8 ust. 2 dyrektywy 2016/681 w związku z pkt 18 załącznika I do dyrektywy 2016/681, zgodnie z którym dane API podlegają przekazaniu przez przewoźnika lotniczego do JIP w państwie członkowskim także wtedy, gdy są identyczne z danymi PNR, jest, przy uwzględnieniu zasady minimalizacji danych, zgodny z art. 8 i 52 karty praw podstawowych?

f) Czy art. 6 ust. 4 dyrektywy 2016/681 jako podstawa prawna dla określenia kryteriów, według których porównywane są dane (tzw. wzorów), stanowi wystarczającą podstawę prawną przewidzianą ustawą w rozumieniu art. 8 ust. 2 i art. 52 karty praw podstawowych oraz art. 16 ust. 2 TFUE?

g) Czy art. 12 dyrektywy 2016/681 ogranicza ingerencję w art. 7 i 8 karty praw podstawowych do tego, co jest absolutnie konieczne, skoro przekazywane dane są przechowywane przez JIP w państwach członkowskich przez pięć lat?

h) Czy depersonalizacja na podstawie art. 12 ust. 2 dyrektywy 2016/681 prowadzi do zmniejszenia ilości danych osobowych do poziomu wymaganego na podstawie art. 8 i 52 karty praw podstawowych, skoro w jej przypadku chodzi o nic innego, jak tylko o możliwą do odwrócenia w każdym czasie pseudonimizację?

i) Czy art. 7, 8 i 47 karty praw podstawowych należy interpretować w ten sposób, że wymagają one, by pasażerowie, których dane zostały ponownie ujawnione w trakcie przetwarzania danych PNR (art. 12 ust. 3 dyrektywy 2016/681), zostali o tym poinformowani i w ten sposób uzyskali możliwość poddania ujawnienia danych kontroli sądowej?

3) Czy art. 11 dyrektywy 2016/681 w zakresie, w jakim pozwala na przekazywanie danych PNR państwom trzecim, które nie zapewniają odpowiedniego poziomu ochrony danych, jest zgodny z art. 7 i 8 karty praw podstawowych?

4) Czy art. 6 ust. 4 zdanie czwarte dyrektywy 2016/681 zapewnia wystarczającą ochronę przed przetwarzaniem szczególnych kategorii danych osobowych w rozumieniu art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 ²  z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; zwanego dalej "RODO") i art. 10 dyrektywy Parlamentu Europejskiego i Rady (UE) nr 2016/680 ³  z dnia 27 czerwca 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 1; zwanej dalej "dyrektywą 2016/680"), w sytuacji gdy w wolnym polu tekstowym "Uwagi ogólne" (pkt 12 załącznika I do dyrektywy 2016/681) mogą zostać wpisane przykładowo informacje o preferencjach dotyczących posiłków, które pozwalają na wyciągnięcie wniosków dotyczących takich szczególnych kategorii danych osobowych?

5) Czy w zgodzie z art. 13 RODO pozostaje sytuacja, w której pasażerowie są informowani przez przewoźnika lotniczego na jego stronie internetowej wyłącznie o krajowej ustawie transponującej dyrektywę {tu: Gesetz über die Verarbeitung von Fluggastdaten zur Umsetzung der Richtlinie (EU) 2016/681 (Fluggastdatengesetz - FlugDaG) [ustawa o przetwarzaniu danych dotyczących przelotu pasażera w celu transpozycji dyrektywy (UE) 2016/681 (ustawa o danych dotyczących przelotu pasażera)] z dnia 6 czerwca 2017 r., BGBl. I s. 1484, zwana dalej "FlugDaG"}?

1 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu] zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania (Dz.U. 2016, L 119, s. 132).

2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1).

3 Dyrektywa Parlamentu Europejskiego i Rady (UE) nr 2016/680 z dnia 27 czerwca 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89).

• Identyfikator: Dz.U.UE.C.2020.279.27/2
• Rodzaj: ogłoszenie
• Tytuł: Sprawa C-215/20: Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wiesbaden (Niemcy) w dniu 19 maja 2020 r. - JV / Bundesrepublik Deutschland.
• Data aktu: 2020-08-24
• Data ogłoszenia: 2020-08-24