HvJ: De PNR-richtlijn is geldig, mits deze beperkt blijft tot wat "strikt noodzakelijk" is.

Bij een belangrijke uitspraak van 21 juni 2022, waarin het Gerechtshof van de Europese Unie (HvJ EU) optrad in plaats van het Groot Gerecht, werd het EU-regime voor het verzamelen en gebruiken van gegevens van reizigers bevestigd, mits dit strikt wordt geïnterpreteerd in overeenstemming met de fundamentele rechten van de EU. Bovendien is het zonder meer onrechtmatig om de gegevens op een ongecontroleerde manier te verwerken in gevallen van vluchten die uitsluitend binnen de EU plaatsvinden, tenzij er een dreiging van terrorisme is. Over het algemeen moeten de gegevens van passagiers ook worden verwijderd na maximaal zes maanden, tenzij er een verband met terrorisme of ernstige misdaad is vastgesteld. Dit zijn de belangrijkste punten uit de antwoorden die aan het Belgische Grondwettelijk Hof zijn gegeven in zaak C-817/19 (Ligue des droits humains). Het advies van de advocaat-generaal Pitruzzella is te vinden in eucrim 1/2022, 30-31.

Achtergrond van de zaak

De Passenger Name Record (PNR)-gegevens zijn boekingsgegevens die door luchtvaartmaatschappijen worden opgeslagen in hun reserverings- en check-insystemen. De Richtlijn (EU) 2016/681 over het gebruik van passagiersnamen voor strafrechtelijke doeleinden (de PNR-richtlijn) vereist dat luchtvaartmaatschappijen de gegevens van alle passagiers op vluchten tussen een derde land en de Europese Unie (vluchten buiten de EU) overdragen aan de Passenger Information Unit (PIU) van de lidstaat van aankomst of vertrek, om terroristische misdrijven en ernstige misdrijven te bestrijden. De overgedragen PNR-gegevens worden vooraf geverifieerd door de PIU en vervolgens opgeslagen voor mogelijke verdere verificatie door de bevoegde (handhavings-)autoriteiten van de betreffende lidstaat of van een andere lidstaat. Artikel 2 van de PNR-richtlijn laat het aan de lidstaten of zij de richtlijn ook willen toepassen op vluchten binnen de Unie (vluchten binnen de EU) – de meeste lidstaten hebben deze optie gekozen.

De Ligue des droits humains (Mensenrechtenliga) heeft een beroep ingesteld bij het Belgische Grondwettelijk Hof tegen de wet die de PNR-richtlijn in Belgisch recht omzet. De vereniging stelt dat deze wet de rechten op respect voor de persoonlijke levenssfeer en op bescherming van de persoonlijke gegevens schendt, vanwege de zeer brede aard van de PNR-gegevens en de algemene aard van hun verzameling, overdracht en verwerking. Bovendien stelt de vereniging dat de wet de vrijheid van verkeer beperkt, omdat deze indirect grenscontroles opnieuw invoert door het PNR-systeem uit te breiden naar zowel EU-vluchten als naar transport met andere vervoermiddelen binnen de EU.

In deze context heeft het Belgische Grondwettelijk Hof tien vragen voorgelegd aan het HvJ EU voor een prejudiciële beslissing over onder meer de geldigheid en interpretatie van de PNR-richtlijn en de toepasselijkheid van de AVG.

Op basis van deze vragen had het Hof opnieuw de mogelijkheid om uitspraak te doen over de verwerking van PNR-gegevens in het licht van de fundamentele rechten, nadat het in zijn belangrijke uitspraak van 26 juli 2017 (Advies 1/15 → eucrim 3/2017, 114-115) de overeenkomst tussen de EU en Canada over de overdracht en verwerking van PNR-gegevens had beoordeeld.

Bij zijn uitspraak van 21 juni 2022 bevestigde het Groot Gerecht van het HvJ EU de geldigheid van de PNR-richtlijn, zoals deze kan worden geïnterpreteerd in overeenstemming met het Handvest, en gaf het verduidelijking over de interpretatie van bepaalde bepalingen van de richtlijn.

Over de geldigheid van de PNR-richtlijn

Het Hof van Justitie van de Europese Unie (HvJ EU) heeft in eerste instantie vastgesteld dat de PNR-richtlijn kan worden geïnterpreteerd in overeenstemming met het primair recht van de EU, met name het Handvest van de grondrechten van de Europese Unie (HGR). Het erkende dat de PNR-richtlijn "onmiskenbaar ernstige inbreuken oplegt op de rechten die zijn gegarandeerd in artikelen 7 en 8 van het HGR", maar dat de proportionaliteit binnen de rechtvaardiging van de PNR-richtlijn kan worden gehandhaafd als de overdracht, verwerking en opslag van PNR-gegevens is beperkt tot wat strikt noodzakelijk is. In deze context heeft het HvJ EU de restrictieve interpretatie van verschillende bepalingen van de PNR-richtlijn als volgt verduidelijkt:

• Verschillende datapunten in bijlage I van de PNR-richtlijn moeten nauwkeuriger en specifieker worden geïnterpreteerd;
• Aangezien de richtlijn de lidstaten enige flexibiliteit biedt door uitsluitend maximale straffen te voorzien, moet ervoor worden gezorgd dat de lidstaten het systeem uitsluitend toepassen op terroristische misdrijven (zoals gedefinieerd in het EU-recht) en ernstige misdrijven "die een objectief verband hebben, zelfs al is het een indirect verband, met het vervoer van passagiers per vliegtuig" – dus de toepassing op gewone misdrijven moet worden uitgesloten;
• De optionele toepassing van de richtlijn op vluchten binnen de EU moet worden beperkt: toepassing op alle vluchten binnen de EU is alleen mogelijk als een lidstaat wordt geconfronteerd met een reële en actuele of te verwachten terroristische dreiging. In afwezigheid van een dergelijke terroristische dreiging moet de toepassing van de richtlijn op vluchten binnen de EU worden beperkt tot bepaalde routes of reispatronen, of tot bepaalde luchthavens waarvoor, naar de beoordeling van de betreffende lidstaat, aanwijzingen zijn die die toepassing rechtvaardigen. Bovendien is dit gekoppeld aan de procedurele eis dat de uitbreiding van de toepassing van de PNR-richtlijn op geselecteerde vluchten binnen de EU onderworpen is aan een effectieve toetsing, ofwel door een rechtbank of door een onafhankelijke administratieve instantie;
• De geautomatiseerde verwerking bij een voorafgaande beoordeling van PNR-gegevens moet worden beperkt en vergezeld gaan van verschillende waarborgen: bijvoorbeeld mag de PIU (Passenger Information Unit) geen kunstmatige intelligentietechnologie gebruiken in zelflerende systemen ("machine learning"), en moet de verificatie van positieve resultaten onderworpen zijn aan niet-geautomatiseerde (d.w.z. menselijke) interventie, met duidelijke en precieze regels die voldoende begeleiding en ondersteuning bieden voor de analyse die wordt uitgevoerd door de medewerkers van de PIU. Om een uniforme administratieve praktijk te waarborgen en het beginsel van non-discriminatie te respecteren, moeten objectieve beoordelingscriteria worden vastgesteld;
• De daaropvolgende openbaarmaking en beoordeling van PNR-gegevens na aankomst of vertrek van de betreffende persoon moet verschillende garanties omvatten: in wezen kan deze beoordeling alleen worden uitgevoerd op basis van nieuwe omstandigheden of objectief bewijs dat een redelijke verdenking kan wekken van de betrokkenheid van de persoon bij ernstige misdrijven, zoals hierboven gedefinieerd. Procedureel gezien moet de openbaarmaking in principe onderworpen zijn aan een voorafgaande toetsing, ofwel door een rechtbank of door een onafhankelijke administratieve instantie.

Over de interpretatie van de PNR-richtlijn

Met betrekking tot vragen over de compatibiliteit van de Belgische wetgeving met de PNR-richtlijn, hebben de rechters in Luxemburg belangrijke uitspraken gedaan over de bewaartermijnen. Ze wijzen erop dat er een onderscheid moet worden gemaakt tussen passagiers die een risico vormen in verband met terroristische misdrijven of ernstige misdrijven en diegenen die dat niet zijn. Gezien de verschillende periodes die zijn vastgesteld in artikel 12 van de richtlijn, voldoet de bewaartijd van alle passagiers die onder het PNR-systeem vallen aan de eis van "strikte noodzaak" slechts gedurende de eerste zes maanden. Een bewaartijd van maximaal vijf jaar (zoals aangegeven in artikel 12(1) van de PNR-richtlijn) is alleen toegestaan voor gegevens over luchtpassagiers als er objectief bewijs is van een mogelijke betrokkenheid bij terroristische misdrijven of ernstige misdrijven (die een objectief verband hebben, zelfs al is het een indirect verband, met het vervoer van passagiers per vliegtuig). Kortom, de volledige bewaartermijn van vijf jaar is alleen toegestaan voor "doelgerichte passagiers".

Het Hof van Justitie van de Europese Unie (HvJ EU) heeft uitspraak gedaan over mogelijke schendingen van de vrijheid van verkeer binnen de EU, indien een lidstaat het Passenger Name Record (PNR)-systeem toepast op vluchten binnen de EU en – zoals België deed – op andere vervoerswijzen (vervoer per spoor, weg en water), die vertrekken vanuit of naar België en plaatsvinden binnen de Europese Unie, dat wil zeggen zonder de buitengrenzen met derde landen te overschrijden. De rechters in Luxemburg herhaalden hun standpunt dat dergelijke beperkingen van de rechten van burgers alleen proportioneel zijn als er een reëel en actueel of voorzienbaar terroristisch gevaar bestaat waarmee de betreffende lidstaat wordt geconfronteerd, of, indien dat niet het geval is, als de toepassing is beperkt tot bepaalde routes of reispatronen, of tot bepaalde luchthavens/stations/havens (zie hierboven). Bovendien staat EU-recht nationale wetgeving niet toe die een dergelijk systeem wil gebruiken om de controle op de buitengrenzen te verbeteren en illegale immigratie te bestrijden.

Belangrijkste punten

De uitspraak van het HvJ EU is sterk beïnvloed door eerdere uitspraken over de legaliteit van het EU-Canada-akkoord over de overdracht en verwerking van PNR-gegevens (zie hierboven). Ook de standpunten van het HvJ EU over het bewaren van telecommunicatiegegevens (bijvoorbeeld recentelijk geuit in de uitspraak van 5 april 2022 in zaak C-140/20 → apart nieuwsbericht) speelden een rol in de PNR-context. Het HvJ EU volgt voornamelijk het advies van de advocaat-generaal Pitruzzella in deze zaak (→ eucrim 1/2022, 30-31). Zowel de uitspraak van het Hof als het advies van de advocaat-generaal zijn sterk gericht op het handhaven van de secundaire EU-wetgeving (de PNR-richtlijn), terwijl tegelijkertijd wordt geprobeerd een evenwicht te vinden tussen vrijheid en veiligheid op nationaal niveau.

Desalniettemin heeft het HvJ EU, in vergelijking met de advocaat-generaal, in bepaalde opzichten een restrictiever standpunt ingenomen, met name met betrekking tot twee punten: (1) striktere grenzen aan de toepassing op vluchten binnen de EU en transportactiviteiten binnen de EU; (2) een strengere aanpak van de bewaartermijnen.

Het is nu aan het Grondwettelijk Hof van België om te beslissen of de Belgische wet die de EU-PNR-wetgeving implementeert, in overeenstemming is met de grondwet. Het is waarschijnlijk dat het Belgische Hof de wet ongeldig verklaart; in ieder geval moet het een beperktere interpretatie van de Belgische wet toepassen.

De uitspraak in Ligue des droits humains is ook een voorbode van verdere beslissingen over lopende procedures waarin verduidelijking wordt gezocht over de verenigbaarheid van de PNR-richtlijn met fundamentele rechten en/of van nationale implementatiewetten met de wettelijke eisen van de EU inzake de verzameling en verwerking van PNR-gegevens. De uitspraak zal waarschijnlijk van toepassing zijn op de Duitse implementatie, waar twijfel over bestond door het Administratief Hof van Wiesbaden (zaken C-215/20, JV en C-222/20, OC v Bundesrepublik Deutschland) en door de Rechtbank van Keulen (zaak C-150/20, Deutsche Lufthansa).

Reacties

De uitspraak leidde tot relatief gematigde reacties van juristen, NGO's en academici.

Catherine Forget, die de zaak voor de CJEU bepleitte namens de Ligue des droits humains, vertelde aan euobserver dat de uitspraak een "overwinning" is en dat "[het] ongetwijfeld onze [Belgische] wet [over PNR]" in twijfel trekt.

De Europarlementariër en voorstander van digitale vrijheid, [Patrick Breyer], reageerde: "De EU-enthousiastelingen voor surveillance hebben opnieuw onze fundamentele rechten genegeerd. (...) Het feit dat niet-transparante, complexe systemen voor machine learning voor risicobeoordeling zijn verboden, is een belangrijke overwinning tegen dystopische AI-technologieën in het algemeen, zoals 'video-liegen detectoren'. Ik ben teleurgesteld dat er überhaupt toestemming is gegeven voor het opslaan van informatie van alle reizigers naar en van landen buiten de EU gedurende zes maanden."

Douwe Korff, emeritus hoogleraar internationaal recht aan de London Metropolitan University, stelde in euractiv: "Hoewel het Hof de richtlijn niet volledig ongeldig heeft verklaard, heeft het talloze gedetailleerde en strenge voorwaarden en beperkingen opgelegd aan het gebruik van PNR-gegevens, en met name aan het analyseren van die gegevens om profielen te creëren." Korff benadrukte dat de uitspraak bredere implicaties heeft voor toekomstige EU-wetgeving, en dat "in plaats van het uit te breiden van algemeen gegevensverzameling en -analyse en -profilering, zoals de EU wil doen via Europol, deze ingrijpende maatregelen moeten worden afgeschaft."

European Digital Rights (EDRi) reageerde: "Op verschillende belangrijke punten geeft het Hof een onevenredig groot vertrouwen aan de lidstaten om de PNR-richtlijn op een beperkte manier toe te passen om te voldoen aan de eisen van het Handvest. Zo vertrouwt het Hof erop dat de lidstaten het gebruik van het PNR-surveillance systeem beperken in de strijd tegen terrorisme en ernstige misdaad, hoewel de richtlijn de risico's van misbruik door opsporingsinstanties en het gebruik van PNR-gegevens voor gewone misdrijven niet voldoende voorkomt."

Estelle Massé, Europe Legislative Manager bij Access Now, zei: "Gezien de impact die de EU-PNR-richtlijn heeft op fundamentele rechten, zoals bevestigd door het Hof, had de wet ongeldig verklaard moeten worden. Alle EU-lidstaten moeten nu hun gebruik van PNR-gegevens beperken vanwege de indringende aard ervan."

Evenzo schreef Christian Thönnes, promovendus aan de afdeling staatsrecht van het Max Planck Instituut voor de studie van criminaliteit, veiligheid en recht in Freiburg, op Verfassungsblog: "[Het CJEU] heeft [de richtlijn] tot onherkenbaarheid veranderd. (...) Sommige van de richtlijnen van het Hof zullen lidstaten vrijwel zeker dwingen hun omzettingswetten aan te passen, wat waarschijnlijk zal leiden tot langdurige juridische geschillen. (...) Ik weet echter niet zeker of de Europese veiligheidsdiensten niet beter af waren met een duidelijke beslissing om de richtlijn ongeldig te verklaren."

---

Deze inhoud is automatisch vertaald met behulp van machinevertaling. De originele versie is beschikbaar in de brontaal.