Α) Εισαγωγή
Στις 27 Απριλίου 2016 εκδόθηκε η ευρωπαϊκή οδηγία 2016/681 σχετικά με τη χρήση των δεδομένων που περιέχονται στις καταστάσεις ονομάτων επιβατών (Passenger Name Record) για την πρόληψη, ανίχνευση, διερεύνηση και δίωξη τρομοκρατικών και σοβαρών εγκλημάτων, η οποία προβλέπει την υποχρέωση των αερομεταφορέων να κοινοποιούν τα δεδομένα των καταστάσεων ονομάτων επιβατών στην αρμόδια αρχή των κρατών μελών.
Η συγκεκριμένη οδηγία είναι τμήμα της δέσμης προστασίας των προσωπικών δεδομένων που εισήγαγε ο ευρωπαίος νομοθέτης μέσα στο 2016. Συμπληρώνει τον κανονισμό για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (ΕΕ 2016/679) και την οδηγία για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων (ΕΕ 2016/680).
Παράλληλα, η οδηγία για τα δεδομένα των καταστάσεων ονομάτων επιβατών συνδέεται με συμφωνίες της Ευρωπαϊκής Ένωσης με τρίτες χώρες και συγκεκριμένα με τις Ηνωμένες Πολιτείες της Αμερικής[1], τον Καναδά και την Αυστραλία με ανάλογο περιεχόμενο.
Β) Η προηγούμενη ευρωπαϊκή νομοθετική κίνηση
Η πρώτη σχετική νομοθετική προσπάθεια της Ένωσης στο χώρο των δεδομένων επιβατών τοποθετείται το 2004. Πρόκειται για την οδηγία 2004/82, η οποία ρυθμίζει την υποχρέωση των μεταφορέων να κοινοποιούν στοιχεία των επιβατών. Η συγκεκριμένη οδηγία αφορούσε την κοινοποίηση των δεδομένων API (Advanced Passenger Information) ή «πληροφοριακών στοιχείων επιβατών», όπως υιοθετήθηκε από την ελληνική μετάφραση της οδηγίας. Τα δεδομένα API περιλαμβάνουν τα στοιχεία από το μηχανικά αναγνώσιμο τμήμα του διαβατηρίου[2] και ιδιαίτερα το όνομα του επιβάτη, την ημερομηνία γέννησης, τον αριθμό του διαβατηρίου, την ιθαγένεια και επίσης, τον κωδικό μεταφοράς, την ώρα αναχώρησης και άφιξης της μεταφοράς, το συνολικό αριθμό επιβατών, το αρχικό σημείο επιβίβασης και το σημείο διάβασης των συνόρων.
Αντίθετα, κατά το παράρτημα Ι της υπό εξέταση οδηγίας 2016/681 τα δεδομένα PNR περιλαμβάνουν τα προαναφερθέντα πληροφοριακά στοιχεία επιβατών και επιπλέον, την ημερομηνία κράτησης και έκδοσης του εισιτηρίου, τα στοιχεία επικοινωνίας του επιβάτη (αριθμός τηλεφώνου και ηλεκτρονικού ταχυδρομείου), τα στοιχεία πληρωμής συμπεριλαμβανομένης της διεύθυνσης χρέωσης, το πρόγραμμα τακτικού επιβάτη, το ταξιδιωτικό πρακτορείο, το ταξιδιωτικό ιστορικό του επιβάτη, τον αριθμό θέσης, πληροφορίες για τις αποσκευές και τέλος γενικές πληροφορίες για τον επιβάτη (αν πρόκειται για ασυνόδευτο ανήλικο, το όνομα και το φύλο του ανηλίκου, στοιχεία επικοινωνίας κηδεμόνα, ή αν ο επιβάτης είχε κάποια ιδιαίτερη υπηρεσία κατά την πτήση, όπως για παράδειγμα γεύμα). Εξάλλου, η κοινοποίηση των δεδομένων PNR είναι κατά το άρθρο 1 της οδηγίας υποχρεωτική για τους αερομεταφορείς, ενώ τα δεδομένα API κοινοποιούνταν έπειτα από σχετική αίτηση των αρμόδιων για την άσκηση ελέγχων προσώπων στα εξωτερικά σύνορα αρχών[3]. Τέλος, αξίζει να σημειωθεί, ότι αποκλειστικός στόχος της οδηγίας για τα δεδομένα API ήταν η καταπολέμηση της παράνομης μετανάστευσης, ενώ αντίθετα η παρουσιαζόμενη οδηγία στοχεύει στην καταπολέμηση της τρομοκρατίας και των σοβαρών εγκλημάτων.
Το 2007 έγινε η πρώτη προσπάθεια εισαγωγής υποχρεωτικής κοινοποίησης των δεδομένων PNR, με την πρόταση της ευρωπαϊκής επιτροπής για απόφαση πλαίσιο[4]. Η πρόταση του 2007 έθετε ως στόχο της προτεινόμενης απόφασης πλαίσιο την καταπολέμηση της τρομοκρατίας και της σοβαρής εγκληματικότητας. Ως προς τη συνεισφορά των δεδομένων των καταστάσεων ονομάτων επιβατών σε αυτό το στόχο, η μελέτη της επιτροπής[5] ανέφερε, ότι οι εθνικές αρχές θα μπορούσαν να τα χρησιμοποιήσουν με πέντε τρόπους: Πρώτον, για την αναγνώριση τρομοκρατών ή εγκληματιών με την «αντιπαραβολή»[6] με άλλες βάσεις δεδομένων. Δεύτερον, την αναγνώριση μέχρι πρότινος μη- ύποπτων επιβατών που συνδέονται με εγκληματίες (αν για παράδειγμα χρησιμοποιούν ίδια διεύθυνση, ή πιστωτική κάρτα). Τρίτον, την αναγνώριση «επιβατών υψηλού κινδύνου»[7] μέσω της ανάλυσης των δεδομένων PNR με τη βοήθεια «προτύπων συμπεριφοράς και χαρακτηριστικών»[8]. Τέταρτον, την αναγνώριση «επιβατών υψηλού κινδύνου» μέσω της ανάλυσης των δεδομένων με παράγοντες κινδύνου (για παράδειγμα, αν οι αρχές γνωρίζουν τη σύνδεση ενός ταξιδιωτικού πρακτορείου με τρομοκρατική οργάνωση, θα μπορούν να ταυτοποιήσουν επιβάτες που έχουν κάνει κράτηση από εκεί). Τέλος, με την ανάλυση των συγκεκριμένων δεδομένων θα μπορούν να μελετηθούν τα ταξιδιωτικά πρότυπα μετά από κάποιο τρομοκρατικό ή σοβαρό έγκλημα.
Επιπλέον, η πρόταση του 2007 εισήγαγε την έννοια της Μονάδας Στοιχείων Επιβατών (Passenger Information Unit), η οποία ως αρμόδια αρχή κάθε κράτους μέλους θα «παραλάμβανε» τα δεδομένα PNR από τους αερομεταφορείς και θα προέβαινε στην αποθήκευση, την προστασία, αλλά και την επεξεργασία τους. Τα δεδομένα θα παρέμεναν στη Μονάδα Στοιχείων Επιβατών αρχικά για πέντε έτη (στα οποία θα επιτρεπόταν η ανάλυση) και στη συνέχεια για άλλα οκτώ, στα οποία όμως η ανάλυση θα επιτρεπόταν κατ’ εξαίρεση[9]. Η πρόταση του 2007 υπέστη κριτική από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων[10], λόγω των περιορισμένων προβλέψεών της σχετικά με την προστασία των δεδομένων[11], ενώ κατέστη «παρωχημένη» μετά τη Συνθήκη της Λισαβόνας και τελικά δεν υιοθετήθηκε ποτέ.
Εξάλλου, μία δεύτερη απόπειρα ευρωπαϊκής νομοθέτησης της χρήσης των δεδομένων PNR ξεκίνησε με την πρόταση για οδηγία[12] του 2011. Η νομοθετική διαδικασία, ωστόσο σταμάτησε λόγω της απόρριψης[13] της νέας πρότασης από την επιτροπή LIBE του Ευρωπαϊκού Κοινοβουλίου το 2013, η οποία αμφισβήτησε την αναγκαιότητα και την αναλογικότητα της πρότασης. Ωστόσο, μετά την επίθεση στα γραφεία της εφημερίδας Charlie Hebdo το 2015 οι συζητήσεις για την οδηγία ξεκίνησαν ξανά και η επιτροπή LIBE εξέδωσε νέα έκθεση[14], η οποία περιλάμβανε τροποποιήσεις ως προς την πρόταση του 2011[15]. Εν τέλει το Ευρωπαϊκό Συμβούλιο υιοθέτησε την νέα υπό εξέταση οδηγία τον Απρίλη του 2016.
Γ) Το ρυθμιστικό πλαίσιο της υπό εξέταση οδηγίας
Η οδηγία 2016/681 έχει ως στόχο την αποτελεσματική πρόληψη, ανίχνευση, διερεύνηση και δίωξη τρομοκρατικών[16] και άλλων σοβαρών εγκλημάτων[17] μέσω της ανάλυσης των δεδομένων PNR[18] και της αντιπαραβολής αυτών με άλλες βάσεις δεδομένων[19]. Για την εκπλήρωση του παραπάνω σκοπού η οδηγία προβλέπει την υποχρέωση των αερομεταφορέων να διαβιβάζουν τα δεδομένα PNR καταρχάς για πτήσεις εκτός της Ευρωπαϊκής Ένωσης (άρθρο 1). Ως πτήση εκτός της Ευρωπαϊκής Ένωσης θεωρείται κάθε πτήση (τακτική ή μη) που αναχωρεί από τρίτη χώρα προς κράτος μέλος και κάθε πτήση (τακτική ή μη) που αναχωρεί από κράτος μέλος προς τρίτη χώρα[20] (άρθρο 3).
Παράλληλα, το άρθρο 2 δίνει στα κράτη μέλη την ευχέρεια να επεκτείνουν την εφαρμογή της οδηγίας και για τις πτήσεις (όλες ή επιλεγμένες) εντός της Ευρωπαϊκής Ένωσης[21].
Σύμφωνα με τα άρθρα 3, 4 και 8 της οδηγίας τα δεδομένα PNR διαβιβάζονται από τους αερομεταφορείς στη Μονάδα Στοιχείων Επιβατών κάθε κράτους μέλους[22], μέσω της «μεθόδου προώθησης»[23]. Η εφαρμογή της συγκεκριμένης μεθόδου σημαίνει πρακτικά, ότι οι αερομεταφορείς θα διαβιβάζουν τα δεδομένα με τα δικά τους μέσα στην αντίστοιχη Μονάδα Στοιχείων Επιβατών. Η υπό κρίση οδηγία προβλέπει αποκλειστικά τη χρήση της «μεθόδου προώθησης» και σε καμία περίπτωση της «μεθόδου άντλησης» («Pull method»)[24], σε αντίθεση με την αρχική πρόταση για απόφαση πλαίσιο του 2007 που προέβλεπε και τις δύο μεθόδους συνδυαστικά[25].
Στη συνέχεια η Μονάδα Στοιχείων Επιβατών είναι υπεύθυνη για τη συλλογή, την αποθήκευση, την επεξεργασία και τη διαβίβαση των δεδομένων στις αρμόδιες αρχές που κάθε κράτος ορίζει περιοριστικά ως υπεύθυνες για την καταπολέμηση των τρομοκρατικών και σοβαρών εγκλημάτων (άρθρο 7), καθώς για την ανταλλαγή δεδομένων PNR, όσο και του αποτελέσματος της ανάλυσής τους με την Europol και τις Μονάδες Στοιχείων Επιβατών άλλων κρατών μελών (άρθρο 4). Ουσιαστικά οι Μονάδες αυτές επιτελούν ένα ρόλο φιλτραρίσματος των δεδομένων PNR πριν τις αρμόδιες αρχές[26].
Παράλληλα, οι προαναφερθείσες Μονάδες είναι αυτές που βαρύνονται με την επεξεργασία των δεδομένων. Καταρχάς, σύμφωνα με το άρθρο 6, υποχρεούνται να διαγράφουν κάθε επιπλέον δεδομένο που τους διαβιβάζεται πέρα από όσα συμπεριλαμβάνονται στο Παράρτημα Ι της οδηγίας. Οι σκοποί για τους οποίους επιτρέπεται η επεξεργασία των δεδομένων PNR από τη Μονάδα είναι κατά βάση δύο:
Πρώτον, η αξιολόγηση των επιβατών πριν την άφιξη στο έδαφος του κράτους μέλους ή την αναχώρησή τους από αυτό, έτσι ώστε να ταυτοποιηθούν τα πρόσωπα που πρέπει να εξεταστούν περαιτέρω από τις αρμόδιες αρχές (άρθρο 6 παρ.2 στοιχείο α). Η αξιολόγηση από τη Μονάδα γίνεται είτε με αντιπαραβολή με άλλες βάσεις δεδομένων[27], είτε «με ανάλυση με προκαθορισμένα κριτήρια» (άρθρο 6 παρ. 3). Τα κριτήρια δεν διευκρινίζονται περαιτέρω, ενώ η οδηγία σημειώνει την ανάγκη να εξειδικευτούν[28].
Δεύτερον, η απάντηση για χορήγηση των δεδομένων PNR προς επεξεργασία, κατόπιν αιτήματος των αρμόδιων αρχών (άρθρο 6 παρ.2 στοιχείο β). Αξίζει να σημειωθεί, ότι και οι αρμόδιες αρχές μπορούν να προβούν σε περαιτέρω επεξεργασία των δεδομένων επιβατών[29].
Οι Μονάδες Στοιχείων Επιβατών διατηρούν τα δεδομένα για πέντε έτη[30], ενώ υποχρεούνται να από-προσωποποιήσουν μετά από έξι μήνες τα ακόλουθα στοιχεία: το όνομα του επιβάτη, τη διεύθυνση κατοικίας και τα στοιχεία επικοινωνίας του, τα στοιχεία πληρωμής, τις πληροφορίες τακτικού επιβάτη, τις γενικές παρατηρήσεις και όσα τυχόν δεδομένα API υπάρχουν (άρθρο 12 παρ 2). Στο σημείο αυτό παρατηρούμε μία αστοχία της ελληνικής μετάφρασης της οδηγίας, η οποία συγχέει τους όρους «ανωνυμοποίηση» και «αποπροσωποποίηση». Συγκεκριμένα, ο μεταφρασμένος τίτλος του άρθρου 12 είναι «Περίοδος διατήρησης των δεδομένων και αποπροσωποποίηση», ενώ στην παράγραφο 2 του ίδιου άρθρου αναφέρεται ότι «τα δεδομένα PNR ανωνυμοποιούνται». Η σύγχυση αυτή παρατηρείται και στις αιτιολογικές σκέψεις 25[31] και 37[32]. Το σημαντικότερο ωστόσο είναι, ότι η εσφαλμένη μετάφραση παρατηρείται και στο βασικό άρθρο των ορισμών. Στο άρθρο 3 στοιχείο 10 διαβάζουμε ότι ο όρος «ανωνυμοποίηση μέσω κάλυψης των δεδομένων» σημαίνει ότι «ορισμένα στοιχεία των δεδομένων εκείνων που θα μπορούσαν να χρησιμεύσουν στην άμεση ταυτοποίηση του υποκειμένου των δεδομένων καθίστανται αόρατα στους χρήστες».
Οι παραπάνω αποκλίσεις στη μετάφραση μπορεί να έχουν και νομικές συνέπειες, διότι αφορούν την έννοια της δυνατότητας προσδιορισμού του υποκειμένου των δεδομένων («Bestimmbarkeit»). Το ζήτημα, πότε μπορεί η ταυτότητα ενός φυσικού προσώπου να προσδιοριστεί, είναι ευρύτερο και ξεπερνάει τη συγκεκριμένη ανάλυση. Μπορούμε ωστόσο να σημειώσουμε ότι η δυνατότητα προσδιορισμού εξαρτάται άμεσα από την ποσότητα και την ακρίβεια των στοιχείων[33] της αρχής που αποθηκεύει τα δεδομένα[34]. Εν προκειμένω θα πρέπει να ληφθεί υπόψη η δυνατότητα της Μονάδας Στοιχείων Επιβατών να προσδιορίσει την ταυτότητα του επιβάτη, μετά την αποπροσωποποίηση των αποθηκευμένων στοιχείων. Το ερώτημα, λοιπόν, είναι αν μπορεί να προκύψει από τα εναπομείναντα στοιχεία η ταυτότητα του επιβάτη. Τα στοιχεία που απομένουν μετά την αποπροσωποποίηση είναι ο κωδικός φακέλου PNR και το δρομολόγιό του, η ημερομηνία ταξιδιού, το ταξιδιωτικό πρακτορείο, το ταξιδιωτικό ιστορικό του επιβάτη (συμπεριλαμβανομένων των επιβεβαιώσεων κράτησης), κάθε πληροφορία για το εισιτήριο (όπως ο αριθμός του και η ημερομηνία έκδοσης), ο αριθμός θέσης και πληροφορίες για της αποσκευές. Άρα η Μονάδα, ακόμα και μετά την αφαίρεση ορισμένων στοιχείων, μπορεί να προσδιορίσει την ταυτότητα του επιβάτη με βάση τα εναπομείναντα.
Ορθότερα, λοιπόν, η οδηγία προβλέπει την αποπροσωποποίηση και όχι την ανωνυμοποίηση των δεδομένων μετά τους έξι μήνες, προκειμένου να μην είναι άμεση η αναγνώριση. Επιπλέον, τόσο η αγγλική, όσο και η γερμανική μετάφραση της οδηγίας χρησιμοποιούν σε όλα τα παραπάνω σημεία τον όρο depersonalization- Depersonalisierung και όχι τον όρο anonymisation- Anonymisierung.
Αν είχαμε ανωνυμοποίηση των δεδομένων PNR μετά την πάροδο των έξι μηνών οι επιβάτες δεν θα ενέπιπταν στους κανόνες προστασίας των δεδομένων[35] της οδηγίας, αφού δε θα υπήρχε επί της αρχής δυνατότητα προσδιορισμού τους. Εξάλλου, στο άρθρο 12 παρ. 3 ορίζεται, ότι στην περίπτωση αιτιολογημένης αίτησης της αρμόδιας αρχής ή έγκρισης από δικαστική αρχή μπορούν να κοινολογηθούν τα πλήρη δεδομένα PNR, διάταξη που δείχνει, ότι δεν προβλέπεται πραγματική ανωνυμοποίηση των δεδομένων.
Δ) Τα δικαιώματα των επιβατών
Η οδηγία 2016/681 περιλαμβάνει εκτενέστερες (σε σχέση με τις προηγούμενες νομοθετικές προσπάθειες) προβλέψεις όσον αφορά την προστασία των δικαιωμάτων των υποκειμένων των δεδομένων PNR. Αφενός μεν παρατηρούνται προσθήκες ως προς τη διαφάνεια της επεξεργασίας των δεδομένων[36] και συγκεκριμένα η υποχρέωση καταγραφής κάθε πράξης επεξεργασίας από τη Μονάδα (αιτιολογική σκέψη 37 και άρθρο 13 παρ. 6), η υποχρέωση ελέγχου των θετικών αποτελεσμάτων της αντιπαραβολής και με μη αυτοματοποιημένα μέσα πριν την ειδοποίηση της αρμόδιας αρχής (άρθρο 6 παρ. 5), η υποχρέωση των Μονάδων να έχουν έναν υπεύθυνο για την προστασία των δεδομένων με πλήρη πρόσβαση στα υπό επεξεργασία δεδομένα, στον οποίο μπορούν να απευθυνθούν τα υποκείμενα των δεδομένων PNR (άρθρο 5)[37] και η υποχρέωση τεκμηρίωσης του άρθρου 13 παρ. 5.
Αφετέρου δε η οδηγία αποκλείει την επεξεργασία ευαίσθητων προσωπικών δεδομένων (άρθρο 13 παρ. 4), ενώ επιπλέον ορίζει ότι τα «προκαθορισμένα κριτήρια αξιολόγησης» δεν μπορούν να βασίζονται στη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, την υγεία, τη συμμετοχή σε συνδικαλιστική οργάνωση, τη σεξουαλική ζωή και τον σεξουαλικό προσανατολισμό του επιβάτη για την αποφυγή αξιολογήσεων βάσει διάκρισης (άρθρο 6 παρ. 4). Αξίζει ωστόσο να παρατηρηθεί, ότι η οδηγία δεν περιλαμβάνει στον παραπάνω περιορισμό τις κατηγορίες της γλώσσας και της περιουσίας που καταγράφονται στην απαγόρευση των διακρίσεων του άρθρου 14 της ΕΣΔΑ.
Εξάλλου, όλοι οι επιβάτες έχουν δικαίωμα, πρόσβασης, διαγραφής, διόρθωσης και περιορισμού των δεδομένων τους, αποζημίωσης και δικαστικής προσφυγής κατ’ ανάλογη εφαρμογή των διατάξεων της απόφασης – πλαίσιο 2008/ 977/ ΔΕΥ, καθώς και καταγγελίας στην εποπτεύουσα ανεξάρτητη αρχή (άρθρα 13 παρ. 1 και 15 παρ. 3).
Τέλος, ως προς τη διαβίβαση των δεδομένων PNR σε τρίτες χώρες, η οδηγία ενσωματώνει τις αρχές που ισχύουν στην απόφαση πλαίσιο 2008/ 977/ ΔΕΥ και στον κανονισμό 2016/679, απαιτώντας αφενός τη χρήση τους για τους σκοπούς που η ίδια προβλέπει και αφετέρου τη βεβαίωση ότι η τρίτη χώρα προσφέρει επαρκείς εγγυήσεις για την προστασία των δεδομένων[38] και τη ρητή έγκριση του κράτους μέλους[39] (άρθρο 11).
Ε) Η πρόσφατη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης
i) Η υπόθεση Digital Rights Ireland
Για την κριτική αποτίμηση της υπό εξέταση οδηγίας σημαντική είναι η πρόσφατη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης όσον αφορά το δικαίωμα του σεβασμού της ιδιωτικής και οικογενειακής ζωής, όπως ορίζεται στο άρθρο 7 του Χάρτη Θεμελιωδών Δικαιωμάτων[40] και το άρθρο 8 της ΕΣΔΑ[41], καθώς και το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα, όπως ορίζεται στο άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων[42].
Κομβική ως προς την ερμηνεία των άρθρων 7 και 8 του Χάρτη είναι η πρόσφατη απόφαση Digital Rights Ireland[43], όπου κρίθηκε η νομιμότητα της οδηγίας 2006/24. Η τελευταία θέσπιζε την υποχρέωση των παρόχων υπηρεσιών ηλεκτρονικών επικοινωνιών να διατηρούν ορισμένα δεδομένα που παράγονται ή υφίστανται επεξεργασία από αυτούς, για τους σκοπούς της διερεύνησης, διαπίστωσης και δίωξης σοβαρών ποινικών αδικημάτων. Το δικαστήριο, αφού πρώτα διέγνωσε ότι η αποθήκευση των μετα-δεδομένων δεν θίγει τον πυρήνα της ιδιωτικής ζωής (διότι δεν καταγράφεται το περιεχόμενο των συνομιλιών) και της προστασίας των προσωπικών δεδομένων (αφού προβλέπονταν ασφαλιστικές δικλείδες για την ασφάλειά τους) προχώρησε στην εξέταση της αναλογικότητας του μέτρου σε σχέση με τα προαναφερθέντα δικαιώματα[44]. Μάλιστα το ΔΕΕ παρέπεμψε στην απόφαση του ΕΔΔΑ S. and Marper κατά Ηνωμένου Βασιλείου αναφέροντας:
«Όσον αφορά τον δικαιοδοτικό έλεγχο της τηρήσεως των προϋποθέσεων αυτών, οσάκις πρόκειται για επεμβάσεις σε θεμελιώδη δικαιώματα, η έκταση της εξουσίας εκτιμήσεως του νομοθέτη της Ένωσης μπορεί να περιορίζεται από ορισμένα στοιχεία μεταξύ των οποίων είναι ο οικείος τομέας, η φύση του συγκεκριμένου δικαιώματος που κατοχυρώνει ο Χάρτης, η φύση και η σοβαρότητα της επεμβάσεως, καθώς και ο επιδιωκόμενος από αυτήν σκοπός. Εν προκειμένω, λαμβανομένου υπόψη, αφενός, της σημασίας που έχει η προστασία των δεδομένων προσωπικού χαρακτήρα υπό το πρίσμα του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής και, αφετέρου, της εκτάσεως και της σοβαρότητας της παρεμβάσεως στο εν λόγω δικαίωμα που συνεπάγεται η οδηγία 2006/24, η εξουσία εκτιμήσεως του νομοθέτη της Ένωσης είναι περιορισμένη, οπότε επιβάλλεται η διενέργεια ενός αυστηρού ελέγχου»[45].
Με βάση το παραπάνω σκεπτικό το δικαστήριο συνήγαγε ότι η συνολική[46] - δίχως διαφοροποιήσεις[47]- εφαρμογή του μέτρου, η έλλειψη αντικειμενικών κριτηρίων για την εφαρμογή[48], ο χρόνος της διατήρησης των δεδομένων και το γεγονός ότι η πρόσβαση στα δεδομένα δεν υπαγόταν σε προηγούμενη έγκριση από δικαστήριο ή ανεξάρτητη διοικητική αρχή[49]παραβιάζουν την αρχή της αναλογικότητας.
ii) Η υπόθεση Maximillian Schrems
Εξάλλου, στην υπόθεση Schrems[50] το ΔΕΕ εξέτασε τη νομιμότητα της απόφασης 2000/520 της Ευρωπαϊκής Επιτροπής. Η απόφαση της Ευρωπαϊκής Επιτροπής έκρινε ότι: «οι αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής, […] που εκδόθηκαν από το Υπουργείο Εμπορίου των ΗΠΑ στις 21 Ιουλίου 2000, […] θεωρείται ότι παρέχουν ικανοποιητικό επίπεδο προστασίας για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Κοινότητα σε οργανισμούς εγκατεστημένους στις Ηνωμένες Πολιτείες»[51]. Το Δικαστήριο σημείωσε ξανά τη σημασία των δικαιωμάτων στην ιδιωτική ζωή και της προστασίας των δεδομένων προσωπικού χαρακτήρα και έθεσε το Χάρτη Θεμελιωδών Δικαιωμάτων στο επίκεντρο της ερμηνείας τους[52].
Στη συνέχεια το Δικαστήριο επιβεβαίωσε τις σκέψεις της προαναφερθείσας Digital Rights Ireland αναφέροντας ότι: «δεν περιορίζεται στα όρια του απολύτως αναγκαίου μια ρύθμιση που επιτρέπει κατά γενικευμένο τρόπο τη διατήρηση του συνόλου των δεδομένων προσωπικού χαρακτήρα όλων των προσώπων των οποίων τα δεδομένα διαβιβάστηκαν από την Ένωση στις Ηνωμένες Πολιτείες, χωρίς καμία διαφοροποίηση, περιορισμό ή εξαίρεση σε σχέση με τον επιδιωκόμενο σκοπό και χωρίς να προβλέπεται αντικειμενικό κριτήριο που θα μπορούσε να οριοθετήσει την πρόσβαση των δημόσιων αρχών στα δεδομένα και τη μεταγενέστερη χρήση τους για συγκεκριμένους σκοπούς, αυστηρά περιορισμένους, που μπορούν να δικαιολογήσουν την προσβολή που συνεπάγεται τόσο η πρόσβαση όσο και η χρήση των δεδομένων αυτών»[53], κρίνοντας τελικά την απόφαση 2000/520 της Ευρωπαϊκής Επιτροπής ως ανίσχυρη.
iii) Η συμφωνία Ευρωπαϊκής Ένωσης – Καναδά για τη διαβίβαση δεδομένων PNR
Στις 25 Νοεμβρίου 2014 το Ευρωπαϊκό Κοινοβούλιο ζήτησε τη γνωμοδότηση του Δικαστηρίου της Ευρωπαϊκής Ένωσης επί του σχεδίου συμφωνίας[54] μεταξύ Ευρωπαϊκής Ένωσης και Καναδά για την διαβίβαση των δεδομένων επιβατών[55]. Στην πρότασή του[56] ο εισαγγελέας αρχικά τονίζει, ότι η συμφωνία έχει διττό σκοπό, δηλαδή αφενός μεν την καταπολέμηση της τρομοκρατίας και της σοβαρής εγκληματικότητας, αφετέρου δε την προστασία των προσωπικών δεδομένων[57]. Με βάση αυτό το διττό σκοπό, προσδιορίζει ως νομική βάση της συμφωνίας τα άρθρα 16[58] και 82 παρ. 2[59] εδάφιο α της ΣΛΕΕ[60].
Στη συνέχεια αναλύοντας τη συμβατότητα του σχεδίου συμφωνίας με τα άρθρα 16 ΣΛΕΕ, 7 και 8 του Χάρτη Θεμελιωδών Δικαιωμάτων παρατηρεί:
Α) ότι δεν είναι σαφείς οι μέθοδοι που θα χρησιμοποιηθούν για την αναγνώριση των επιβατών[61], οι κανόνες που θα τις διέπουν καθώς και οι βάσεις δεδομένων με τις οποίες θα αντιπαραβάλλονται τα δεδομένα PNR[62].
Β) ότι δεν θίγεται ο πυρήνας των οριζόμενων στα άρθρα 7 και 8 του Χάρτη δικαιωμάτων. Η παρατήρηση αυτή συμβαδίζει με το σκεπτικό του Δικαστηρίου στην υπόθεση Digital Rights Ireland, όπου έκρινε περίπτωση εκτενέστερης αποθήκευσης και επεξεργασίας δεδομένων[63]. Σε σύγκριση με την περίπτωση της υπόθεσης Digital Rights Ireland, η επέμβαση στα δικαιώματα είναι μικρότερη σε έκταση και σε «βάθος», ωστόσο παραμένει γενική και δίχως διαφοροποιήσεις[64].
Γ) ότι κριτήρια για τη νομιμότητα της συμφωνίας θα πρέπει να είναι η αναγκαιότητα και η αναλογικότητά της[65], καθόσον προβλέπει μία σημαντική σε μέγεθος και όχι αδιάφορη σε σοβαρότητα επέμβαση σε θεμελιώδη δικαιώματα[66]. Αξίζει να παρατηρηθεί, ότι ο εισαγγελέας εξετάζει το δικαίωμα της προστασίας των προσωπικών δεδομένων αποκλειστικά ενόψει της σημασίας του για την προστασία της ιδιωτικής και οικογενειακής ζωής[67].
Δ) ότι κάποιες κατηγορίες δεδομένων είναι διατυπωμένες με αόριστο τρόπο. Ειδικότερα αναφέρει τις κατηγορίες «διαθέσιμες πληροφορίες τακτικού ταξιδιώτη και σχετικές παροχές», «κάθε διαθέσιμο στοιχείο επικοινωνίας» και «γενικές παρατηρήσεις»[68].
Ε) ότι τα διαβιβαζόμενα δεδομένα μπορούν να περιέχουν πληροφορίες που αφορούν ευαίσθητα δεδομένα, όπως στην περίπτωση που ο επιβάτης ζητήσει κάποια περαιτέρω υπηρεσία στη διάρκεια της πτήσης (για παράδειγμα γεύμα που αποκαλύπτει την καταγωγή του ή τη θρησκεία του)[69].
Τέλος ο γενικός εισαγγελέας εκτιμά ότι η συμφωνία υπερβαίνει τον κανόνα της αναγκαιότητας σε πέντε σημεία[70]:
Α) στο άρθρο 3 παρ. 5, αφού επιτρέπει την επεξεργασία των δεδομένων και για άλλους σκοπούς πέρα από την καταπολέμηση των τρομοκρατικών και σοβαρών εγκλημάτων.
Β) στο άρθρο 8, διότι επιτρέπει την αποθήκευση και επεξεργασία ευαίσθητων προσωπικών δεδομένων.
Γ) στο άρθρο 12 παρ. 3, γιατί αναγνωρίζει τη δυνατότητα των καναδικών αρχών να δημοσιεύουν τις πληροφορίες.
Δ) στο άρθρο 16 παρ. 5, αφού προβλέπει τη διατήρηση των δεδομένων για πέντε έτη προς επεξεργασία, ακόμα και χωρίς σύνδεση με το σκοπό της καταπολέμησης των τρομοκρατικών και σοβαρών εγκλημάτων.
Ε) στο άρθρο 19, διότι επιτρέπει τη διαβίβαση των δεδομένων σε αρχές τρίτης χώρας, χωρίς πρότερο έλεγχο από καναδική ανεξάρτητη αρχή, που να διασφαλίζει ότι τα δεδομένα δε θα διαβιβαστούν περαιτέρω.
iv) Η Γνωμοδότηση 1/15 του Δικαστηρίου της Ευρωπαϊκής Ένωσης
Στις 26 Ιουλίου 2017 δημοσιεύθηκε η γνωμοδότηση του ΔΕΕ επί του σχεδίου συμφωνίας ανάμεσα στον Καναδά και την Ευρωπαϊκή Ένωση για τη διαβίβαση των δεδομένων των καταστάσεων επιβατών, η οποία θα είναι κομβική και για το μέλλον της οδηγίας για τη χρήση δεδομένων PNR σε ευρωπαϊκό επίπεδο. Το Δικαστήριο στην γνωμοδότηση 1/15 προβαίνει σε σημαντικές παρατηρήσεις ως προς το σχέδιο συμφωνίας Ευρωπαϊκής Ένωσης – Καναδά:
Α) Έτσι, κατά το Δικαστήριο ορισμένες από τις κατηγορίες δεδομένων που σύμφωνα με το σχέδιο θα διαβιβάζονται στον Καναδά διατυπώνονται κατά τρόπο αόριστο. Συγκεκριμένα, η κατηγορία «διαθέσιμες πληροφορίες τακτικού ταξιδιώτη και σχετικές παροχές», η κατηγορία «κάθε διαθέσιμο στοιχείο επικοινωνίας» και η κατηγορία «γενικές παρατηρήσεις, περιλαμβανομένων των άλλων συμπληρωματικών πληροφοριών, ειδικών υπηρεσιακών πληροφοριών και πληροφοριών από αιτήσεις ειδικών υπηρεσιών», διατυπώνονται με τρόπο που δε συμβιβάζεται με τα άρθρα 7, 8 και 52 παρ. 1 του Χάρτη Θεμελιωδών δικαιωμάτων[71]. Αντίθετα η κατηγορία «κάθε διαθέσιμη πληροφορία πληρωμών και διακανονισμών» πληροί τις προϋποθέσεις περί σαφήνειας και ακρίβειας.
Εξάλλου, ως αόριστη χαρακτηρίζεται και η διατύπωση του άρθρου 3 παρ. 5 στοιχείο α’ του σχεδίου συμφωνίας[72].
Β) Περαιτέρω το Δικαστήριο θεωρεί ότι το σχέδιο συμφωνίας αναγνωρίζει τη δυνατότητα διαβίβασής ευαίσθητων προσωπικών δεδομένων, εφόσον προβλέπει στα άρθρα 8 και 16 κανόνες για τη χρήση τους. Τέτοια δεδομένα μπορούν να εμπίπτουν στην κατηγορία 17, όπου αποθηκεύονται «γενικές παρατηρήσεις, περιλαμβανομένων των άλλων συμπληρωματικών πληροφοριών, ειδικών υπηρεσιακών πληροφοριών και πληροφοριών από αιτήσεις ειδικών υπηρεσιών»[73]. Το ΔΕΕ καταλήγει, ότι στο βαθμό που το σχέδιο της συμφωνίας με τον Καναδά δεν αποκλείει τη διαβίβαση ευαίσθητων προσωπικών δεδομένων, παραβιάζει τα άρθρα 7, 8 και 52 παρ. 1 του Χάρτη Θεμελιωδών Δικαιωμάτων.
Γ) Εξάλλου, κατά το Δικαστήριο οφείλουν τα πρότυπα και τα κριτήρια της αυτοματοποιημένης επεξεργασίας των δεδομένων PNR να είναι ειδικά και αξιόπιστα, χωρίς να ενέχουν διακρίσεις. Αντίστοιχα οι βάσεις δεδομένων για την αντιπαραβολή θα πρέπει να περιορίζονται μόνο σε όσες οι καναδικές αρχές χρησιμοποιούν για την καταπολέμηση της τρομοκρατίας και του σοβαρού εγκλήματος.
Δ) Το Δικαστήριο εν τέλει αποδέχεται στη σκέψη 209, ότι η πενταετής διατήρηση των δεδομένων επιβατών «δεν βαίνει πέραν των ορίων του απολύτως αναγκαίου». Όμως, το Δικαστήριο προβαίνει σε έναν σημαντικό διαχωρισμό δημιουργώντας στην ουσία δύο περιπτώσεις χρήσης δεδομένων PNR.
Η πρώτη περίπτωση αφορά τη χρήση των δεδομένων προ της άφιξης των επιβατών στον Καναδά, κατά την παραμονή τους και κατά την αναχώρησή τους. Ως προς την περίπτωση αυτή, το ΔΕΕ σημειώνει στη σκέψη 197: «Η διατήρηση και η χρήση τους προς τούτο δεν δύνανται, ως εκ της φύσεώς τους, να περιορίζονται σε ένα συγκεκριμένο κύκλο επιβατών αεροπορικών μεταφορών ή να απαιτούν τη χορήγηση προηγούμενης αδείας από δικαστήριο ή ανεξάρτητη διοικητική αρχή, ενώ […] πρέπει να γίνει δεκτό ότι, καθόσον χρόνο οι επιβάτες αεροπορικών μεταφορών βρίσκονται στον Καναδά ή όταν πρόκειται να αναχωρήσουν από την τρίτη χώρα αυτή, υφίσταται η αναγκαία σχέση μεταξύ των δεδομένων αυτών και του επιδιωκομένου με τη συμφωνία αυτή σκοπού, οπότε η συμφωνία δεν υπερβαίνει τα όρια του απολύτως αναγκαίου απλώς και μόνον επειδή επιτρέπει τη συστηματική διατήρηση και χρήση των δεδομένων PNR του συνόλου των επιβατών αυτών».
Ωστόσο, για τη χρήση των δεδομένων κατά την παραμονή των επιβατών στον Καναδά, το ΔΕΕ απαιτεί αυτή να στηρίζεται σε νέες περιστάσεις, αντικειμενικά στοιχεία και προηγούμενο έλεγχο από δικαστήριο ή ανεξάρτητη διοικητική αρχή[74].
Η δεύτερη περίπτωση αφορά τη χρήση των δεδομένων κατόπιν της αναχώρησης των επιβατών από τον Καναδά. Το Δικαστήριο θεωρεί, ότι τα δεδομένα αυτών των επιβατών έχουν ήδη ελεγχθεί κατά την άφιξη, την παραμονή και την αναχώρησή τους, επομένως «οι επιβάτες αυτοί δεν είναι καταρχήν επικίνδυνοι, όσον αφορά την τρομοκρατία και το σοβαρό διεθνικό έγκλημα»[75]. Άρα, η αποθήκευση των δεδομένων του συνόλου των επιβατών, μετά την αναχώρησή τους υπερβαίνει το απολύτως αναγκαίο και θα πρέπει να περιοριστεί μόνο σε όσους επιβάτες υπάρχουν αντικειμενικά στοιχεία ότι πιθανόν να αποτελούν κίνδυνο[76].
Στ) Συμπεράσματα
Η σύγκριση της πρόσφατης νομολογίας του ΔΕΕ τόσο σε περιπτώσεις γενικής διατήρησης μετα-δεδομένων, όσο και στην περίπτωση του σχεδίου συμφωνίας Ευρωπαϊκής Ένωσης – Καναδά με τις ρυθμίσεις της οδηγίας 2016/681 μπορεί να μας οδηγήσει στα παρακάτω συμπεράσματα:
Α) Στο βαθμό που οι προβλέψεις της οδηγίας 2006/24 δεν προσβάλλουν τον πυρήνα των δικαιωμάτων των άρθρων 7 και 8 του Χάρτη, όπως κρίθηκε στην υπόθεση Digital Rights Ireland, το ίδιο θα πρέπει να λεχθεί και για την οδηγία 2016/681, εφόσον οι ρυθμίσεις της επεμβαίνουν στα δικαιώματα αυτά λιγότερο δραστικά από ότι η οδηγία 2006/24.
Β) Ο ρητός αποκλεισμός της χρήσης ευαίσθητων προσωπικών δεδομένων και η συνακόλουθη υποχρέωση διαγραφής τους αποτελούν σημαντικές εγγυήσεις για την προστασία των δεδομένων PNR. Εξάλλου, το ΔΕΕ φαίνεται να αντιμετωπίζει την οδηγία 2016/681 ως πρότυπο (τουλάχιστον ως προς το συγκεκριμένο ζήτημα) αναφέροντας: «επιπροσθέτως, πρέπει να επισημανθεί ότι ο νομοθέτης της Ένωσης απέκλεισε την επεξεργασία των ευαίσθητων δεδομένων, με το άρθρο 6, παράγραφος 4, το άρθρο 7, παράγραφος 6, και το άρθρο 13, παράγραφος 4, της οδηγίας (ΕΕ) 2016/681, του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, σχετικά με τη χρήση των δεδομένων που περιέχονται στις καταστάσεις ονομάτων επιβατών (PNR) για την πρόληψη, ανίχνευση, διερεύνηση και δίωξη τρομοκρατικών και σοβαρών εγκλημάτων»[77].
Γ) Εξίσου σημαντική είναι η πρόβλεψη για έλεγχο με μη αυτοματοποιημένα μέσα των θετικών αποτελεσμάτων.
Δ) Ορισμένες κατηγορίες δεδομένων PNR διατυπώνονται με ασαφή τρόπο, παρόμοιο με αυτόν του σχεδίου της συμφωνίας Ευρωπαϊκής Ένωσης – Καναδά. Πρόκειται για τις κατηγορίες «πληροφορίες σχετικά με το πρόγραμμα τακτικού επιβάτη» και «γενικές πληροφορίες (οι διαθέσιμες πληροφορίες για ασυνόδευτους ανηλίκους κάτω των 18 ετών, όπως όνομα και φύλο του ανηλίκου, ηλικία, γλώσσα ή γλώσσες που ομιλεί, ονοματεπώνυμο και στοιχεία επικοινωνίας κηδεμόνα κατά την αναχώρηση και σχέση με τον ανήλικο, ονοματεπώνυμο και στοιχεία επικοινωνίας κηδεμόνα κατά τη άφιξη και σχέση με τον ανήλικο, πράκτορας αναχώρησης και άφιξης)». Εξάλλου, στην τελευταία κατηγορία είναι δυνατόν να συμπεριλαμβάνονται και ευαίσθητα δεδομένα, που προκύπτουν από ειδικές υπηρεσίες κατά τη διάρκεια της πτήσης. Οι υπηρεσίες αυτές είναι δυνατόν να υποδεικνύουν την καταγωγή ή τη θρησκεία κάποιου επιβάτη (όπως προτιμήσεις σε γεύματα).
Ε) Δεν είναι βέβαιο κατά πόσον ορίζονται σαφώς τα προκαθορισμένα κριτήρια της οδηγίας 2016/681 και οι βάσεις δεδομένων με τις οποίες θα γίνεται αντιπαραβολή. Η διατύπωση της οδηγίας, ότι τα κριτήρια πρέπει να είναι «στοχοθετημένα, αναλογικά και ειδικά» και να μην πραγματοποιούν διακρίσεις, είναι συμβατή με τη γνωμοδότηση 1/15 του ΔΕΕ. Ωστόσο, δεν έχει διασαφηνιστεί πότε ένα κριτήριο επεξεργασίας έχει αυτά τα χαρακτηριστικά. Εξάλλου, σύμφωνα με την γνωμοδότηση 1/15 του ΔΕΕ αντιπαραβολή θα πρέπει να γίνεται μόνο με τις βάσεις δεδομένων που χρησιμοποιούνται για την καταπολέμηση της τρομοκρατίας και του σοβαρού εγκλήματος.
Στ) Ο διαχωρισμός που εισήγαγε το ΔΕΕ ως προς τη χρήση δεδομένων επιβατών κατόπιν της αναχώρησής τους από τον Καναδά θα έχει συνέπειες ως προς την οδηγία 2016/681, καθ’ όσον η τελευταία δεν αντιμετωπίζει με διαφορετικό τρόπο τα δεδομένα των επιβατών, μετά την αναχώρησή τους από το έδαφος κράτους μέλους προς τρίτη χώρα, αλλά προβλέπει την πενταετή διατήρησή τους.
[1] Βλ. Μεταξάκη Ε., Η ποινική προστασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των ηλεκτρονικών επικοινωνιών, ΠΟΙΝΙΚΑ ν. 87, σ. 31 επόμενες.
[2] «Machine readable». Βλ. Brouwer E., The EU Passenger Name Record (PNR) system and human rights: Transferring passenger data or passenger freedom? Centre for European Policy Studies working document no. 320, September 2009, σ. 3.
[3] Άρθρο 1 της οδηγίας 2004/82.
[4] COM 2007/654. Βλ. επιπλέον τη μελέτη της ευρωπαϊκής επιτροπής Impact Assessment SEC 2007/ 1422.
[5] Impact Assessment SEC 2007/ 1422.
[6] Impact Assessment SEC 2007/ 1422, σ. 3, όπου χρησιμοποιείται η φράση «running PNR data against alert systems in order to identify terrorist and criminals».
[7] «High risk passengers» σε Impact Assessment SEC 2007/1422, σ.4.
[8] «Characteristics and behavioral patterns» σε Impact Assessment SEC 2007/ 1422, σ. 4.
[9] Brouwer E., όπ.παρ., σ. 5.
[10] Opinion of European Data Protection Supervisor 2008/ c 110 /01.
[11] Βλ. και Lowe D., The European Union’s Passenger Name Record Data Directive 2016/681: Is it fit for purpose?, International Criminal Law Review, 2016, σ. 865.
[12] COM 2011/32 (final).
[13] http://www.europarl.europa.eu/news/en/press-room/20130422IPR07523/civil-liberties-committee-rejects-eu-passenger-name-record-proposal.
[14] Βλ. Lowe, όπ.παρ., σ. 874 και Opinion of European Data Protection Supervisor 5/2015,σ. 3.
[15] http://www.europarl.europa.eu/sides/getDoc.do?type=REPORT&mode=XML&reference=A8-2015-0248&language=EN#title6
[16] Για τον ορισμό των τρομοκρατικών εγκλημάτων η οδηγία παραπέμπει στην απόφαση πλαίσιο 2002/475/ΔΕΥ.
[17]Τα σοβαρά εγκλήματα ορίζονται περιοριστικά στο Παράρτημα ΙΙ της οδηγίας.
[18] Τα δεδομένα PNR ορίζονται περιοριστικά στο Παράρτημα Ι της οδηγίας.
[19] Οδηγία 2016/681 σκέψη 4. Οι βάσεις δεδομένων δεν κατονομάζονται συγκεκριμένα.
[20] Και στις δύο περιπτώσεις συμπεριλαμβάνονται, κατά το άρθρο 3 της οδηγίας, οι πτήσεις με ενδιάμεσες στάσεις στο έδαφος κρατών μελών.
[21] Στις πτήσεις εντός της Ένωσης δεν συμπεριλαμβάνονται, κατά το άρθρο 3 της οδηγίας, οι πτήσεις με ενδιάμεσες στάσεις σε έδαφος τρίτης χώρας.
[22] Η διαβίβαση γίνεται 24 έως 48 ώρες πριν την αναχώρηση της πτήσης καθώς και με την επιβίβαση των επιβατών στο αεροσκάφος (άρθρο 8 παρ. 3).
[23] «Push method» άρθρο 3 στοιχείο 7 της οδηγίας.
[24] Η μέθοδος άντλησης πρακτικά σημαίνει ότι η αρμόδια κρατική αρχή αποκτά τα δεδομένα PNR έχοντας πρόσβαση στα συστήματα κράτησης των αερομεταφορέων.
[25] Brouwer E., Ignoring dissent and legality. The EU’s proposal to share the personal information of all passengers, Centre for European Policy Studies, June 2011, σ. 2.
[26] Βλ. και Reif Y., Und noch etwas Vorratsspeicherung- EU Richtlinie Über die Verwendung von Fluggastdaten beschlossen, Recht der Datenverarbeitung 2016, σ. 205.
[27] Οι οποίες δεν κατονομάζονται συγκεκριμένα. Βλ. και Opinion 5/2015 EDPS, σ. 10, παρ. 37.
[28] «Τα προκαθορισμένα κριτήρια πρέπει να είναι στοχοθετημένα, αναλογικά και ειδικά» (άρθρο 6 παρ.4).
[29] Κατά το άρθρο 7 παρ. 4, «για συγκεκριμένους σκοπούς της πρόληψης, ανίχνευσης, διερεύνησης ή δίωξης τρομοκρατικών ή σοβαρών εγκλημάτων».
[30] Παρατηρούμε σημαντική μείωση σε σχέση με το συνολικό χρόνο δεκατριών ετών που προέβλεπε η πρόταση του 2007. Βλ και Brouwer E., όπ. παρ., σ. 2.
[31] Όπου αναφέρεται ότι «[…] μετά την αρχική περίοδο διατήρησής […] θα πρέπει να καθίστανται ανώνυμα αποκρύπτοντας διάφορα στοιχεία».
[32] Όπου αναφέρεται ότι «[…] προβλέπει ότι τα δεδομένα θα ανωνυμοποιούνται».
[33] Υπέρ μίας σχετικής θεώρησης της δυνατότητας προσδιορισμού, η οποία να περιλαμβάνει και τις «επιπλέον γνώσεις» («Zusatzwissen») του υπεύθυνου επεξεργασίας δεδομένων τάσσεται ο Gola P., σε Datenschutz – Grundverordnung Kommentar, 2017, σ. 168.
[34] Δηλαδή από τις δυνατότητες της αρχής: «Möglichkeiten der speicherden Stelle». Βλ Bergt, Die Bestimmbarkeit als Grundproblem des Datenschutzrechts. Überblick den Theorienstreit und Lösungsvorschlag, Zeitschrift für Datenschutz, 2015, σ. 366.
[35] Βέβαια δεν τίθεται θέμα εφαρμογής του νέου κανονισμού ως προς τη ρυθμιζόμενη από την οδηγία ύλη. Στην περίπτωση των δεδομένων PNR, το υποκείμενο των δεδομένων θα έχει τα δικαιώματα που απορρέουν από την οδηγία. Διαφορετικό είναι το ζήτημα του κατά πόσο τα δικαιώματα αυτά συμβαδίζουν με τις κατευθυντήριες αρχές του νέου κανονισμού.
[36] Βλ. Reif Y., όπ. παρ., σ. 205.
[37] Το οποίο μάλιστα δεν υπήρχε στην εκδοχή του 2011. Βλ. Lowe, όπ. παρ., σ. 875.
[38] Βλ. και Lowe, όπ. παρ., σ. 876.
[39] Από την οποία πάντως εξαιρέσεις προβλέπει η παράγραφος 2 του άρθρου 11.
[40] «Κάθε πρόσωπο έχει δικαίωμα στο σεβασμό της ιδιωτικής και οικογενειακής του ζωής, της κατοικίας του και των επικοινωνιών του».
[41] « 1. Παν πρόσωπον δικαιούται εις τον σεβασμόν της ιδιωτικής και οικογενειακής ζωής του, της κατοικίας του και της αλληλογραφίας του. 2. Δεν επιτρέπεται να υπάρξη επέμβασις δημοσίας αρχής εν τη ασκήσει του δικαιώματος τούτου, εκτός εάν η επέμβασις αύτη προβλέπεται υπό του νόμου και αποτελεί μέτρον το οποίον, εις μίαν δημοκρατικήν κοινωνίαν, είναι αναγκαίον δια την εθνικήν ασφάλειαν, την δημοσίαν ασφάλειαν, την οικονομικήν ευημερίαν της χώρας, την προάσπισιν της τάξεως και την πρόληψιν ποινικών παραβάσεων, την προστασίαν της υγείας ή της ηθικής, ή την προστασίαν των δικαιωμάτων και ελευθεριών άλλων».
[42] «1. Κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. 2. Η επεξεργασία αυτών των δεδομένων πρέπει να γίνεται νομίμως, για καθορισμένους σκοπούς και με βάση τη συγκατάθεση του ενδιαφερομένου ή άλλους θεμιτούς λόγους που προβλέπονται από το νόμο. Κάθε πρόσωπο έχει δικαίωμα να έχει πρόσβαση στα συλλεγέντα δεδομένα που το αφορούν και να επιτυγχάνει τη διόρθωσή τους. 3. Ο σεβασμός των κανόνων αυτών υπόκειται στον έλεγχο ανεξάρτητης αρχής».
[43] Συνεκδικαζόμενες υποθέσεις C-293/12 και C-594/12.
[44] Βλ. και Granger M., Irion K., The Court of Justice and the Data Retention Directive in Digital Rights Ireland: Telling off the EU legislator and teaching a lesson in privacy and data protection, European Law Review, Issue 6 2014,σ. 842.
[45] Digital Rights Ireland (C-293/12 και C-594/12) σκέψεις 47 και 48.
[46] «Συνεπάγεται επέμβαση στα θεμελιώδη δικαιώματα σχεδόν του συνόλου του ευρωπαϊκού πληθυσμού. Συναφώς, επιβάλλεται η διαπίστωση, πρώτον, ότι η οδηγία 2006/24 καλύπτει εν γένει κάθε πρόσωπο και κάθε μέσο ηλεκτρονικής επικοινωνίας, καθώς και το σύνολο των δεδομένων κινήσεως άνευ ουδεμίας διαφοροποιήσεως, περιορισμού ή εξαιρέσεως σε σχέση προς τον σκοπό της καταπολεμήσεως των σοβαρών παραβάσεων» Digital Rights Ireland (C-293/12 και C-594/12) σκέψεις 56 και 57.
[47] «Blanket approach».
[48] Δεν υπήρχαν κριτήρια επιλογής των δεδομένων που θα διατηρούνταν, όπως για παράδειγμα γεωγραφικά, χρονικά. Βλ. Και Guild E., Carrera S., Centre for European Policy Studies, Paper in Liberty and Security in Europe No. 65, May 2014, σ. 8.
[49] «Administrative body», Digital Rights Ireland (C-293/12 καιC-594/12) σκέψη 62.
[50] Υπόθεση C-362/14.
[51] Υπόθεση C-362/14 σκέψη 7.
[52] «Ως προς το ζήτημα αυτό διαπιστώνεται ότι λαμβανομένων υπόψη, αφενός, της σημασίας που έχει η προστασία των δεδομένων προσωπικού χαρακτήρα υπό το πρίσμα του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής ζωής και, αφετέρου, του μεγάλου αριθμού προσώπων των οποίων τα θεμελιώδη δικαιώματα ενδέχεται να προσβληθούν σε περίπτωση διαβιβάσεως δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα η οποία δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, η εξουσία εκτιμήσεως της Επιτροπής ως προς την επάρκεια του επιπέδου προστασίας που εξασφαλίζει η τρίτη αυτή χώρα είναι περιορισμένη, οπότε επιβάλλεται η διενέργεια ενός αυστηρού ελέγχου των απαιτήσεων που απορρέουν από το άρθρο 25 της οδηγίας 95/46 υπό το φως του Χάρτη», Υπόθεση C-362/14 σκέψη 78. Βλ. Και Kuner C., Reality and illusion in EU Transfer Regulation post Schrems, German Law Journal, vol. 18 No. 04, σ. 882 επόμενες.
[53] Υπόθεση C-362/14 σκέψη 93.
[54] http://eur-lex.europa.eu/legal-content/EL/TXT/PDF/?uri=CELEX:52013PC0529&from=EN
[55] http://www.europarl.europa.eu/news/en/press-room/20141121IPR79818/meps-refer-eu-canada-air-passenger-data-deal-to-the-eu-court-of-justice
[56] Opinion of General Advocate Mengozzi 8/9/2016, request for opinion (1/15) submitted by the European Parliament.
[57] Σκέψη 67 της πρότασης.
[58] «Άρθρο 16 (πρώην άρθρο 286 της ΣΕΚ) 1. Κάθε πρόσωπο έχει δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν. 2. Το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, αποφασίζοντας σύμφωνα με τη συνήθη νομοθετική διαδικασία, θεσπίζουν τους κανόνες σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης, καθώς και από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης, και σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών. Η τήρηση των κανόνων αυτών υπόκειται στον έλεγχο ανεξάρτητων αρχών. Οι κανόνες που θεσπίζονται βάσει του παρόντος άρθρου δεν θίγουν τους ειδικούς κανόνες που προβλέπονται στο άρθρο 39 της Συνθήκης για την Ευρωπαϊκή Ένωση».
[59] «Άρθρο 87 (πρώην άρθρο 30 της ΣΕΕ) 2. Για τους σκοπούς της παραγράφου 1, το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, αποφασίζοντας σύμφωνα με τη συνήθη νομοθετική διαδικασία μπορούν να λαμβάνουν μέτρα που αφορούν: α) τη συλλογή, αποθήκευση, επεξεργασία, ανάλυση και ανταλλαγή σχετικών πληροφοριών».
[60] Σκέψη 65 της πρότασης.
[61] Σκέψη 164 της πρότασης.
[62] Σκέψη 328 της πρότασης.
[63] Σκέψη 185 της πρότασης.
[64] «The interference with […] is less extensive than that provided for in Directive 2006/24 and is also less intrusive into the daily life of everyone, its undifferentiated and generalized nature raises questions». Σκέψη 240 της πρότασης.
[65] Σκέψεις 197 και 201 της πρότασης.
[66] «Of a considerable size and a not insignificant seriousness».
[67] «The need to ensure a strict review of that type is supported by the important role which the protection of personal data plays in the light of the fundamental right for private life and […] by the extent and seriousness of the interference with that right»
[68] Σκέψη 162 της πρότασης. Πρόκειται για τις κατηγορίες 5, 7 και 17 του παραρτήματος της συμφωνίας.
[69] Σκέψεις 221 και 222 της πρότασης.
[70] Σκέψη 328 της πρότασης.
[71] Σκέψεις 156 – 160 της γνωμοδότησης 1/15 από 26 Ιουλίου 2017.
[72]«Ο Καναδάς μπορεί επίσης να επεξεργάζεται δεδομένα PNR κατά περίπτωση, με στόχο: α) να εγγυάται την εποπτεία ή τη λογοδοσία της δημόσιας διοίκησης· ή β) να συμμορφώνεται με την κλήτευση ή ένταλμα σύλληψης που εκδίδεται από δικαστήριο, ή με διάταξη δικαστηρίου». Σκέψη 181 της γνωμοδότησης 1/15 από 26 Ιουλίου 2017.
[73] Σκέψη 164 της γνωμοδότησης 1/15 από 26 Ιουλίου 2017.
[74] Σκέψεις 199 – 203 της γνωμοδότησης 1/15 από 26 Ιουλίου 2017.
[75] Σκέψη 204 της γνωμοδότησης 1/15 από 26 Ιουλίου 2017.
[76] Σκέψη 232 παρ. 3 στοιχείο δ’ της γνωμοδότησης 1/15 από 26 Ιουλίου 2017.
[77] Σκέψη 166 της γνωμοδότησης 1/15 από 26 Ιουλίου 2017.
