Datum van inontvangstneming
:
02/04/2015
Id Publié Numéro de pièce Numéro de registre Date de dépôt Date d'inscription au registre Type de pièce
Référence du dépôt effectué par e-Curia Numéro de fichier Auteur du dépôt
: : : : : :
Avis 1/15 9 985296 02/03/2015 02/03/2015 Demande d'avis
: :
Pièce DC38099
: :
1 Dominique Moore (R13745) Parlement
1
Juridische Dienst
SJ-0976/14
Brussel, 30 januari 2015
D(2015) 4861
AAN DE PRESIDENT EN DE LEDEN VAN HET HOF VAN JUSTITIE VAN DE EUROPESE UNIE
VERZOEK OM ADVIES*
overeenkomstig artikel 218, lid 11, VWEU, van het
EUROPEES PARLEMENT vertegenwoordigd door Freddy DREXLER, de Directeur-generaal, juridisch adviseur, Antonio CAIOLA, afdelingshoofd bij de juridische dienst, en Dominique MOORE, medewerker bij de juridische dienst, als gemachtigden, die ermee instemmen dat aan hen gerichte kennisgevingen worden verzonden via e-Curia of zo nodig aan het volgende adres: Europees Parlement, dienst juridische zaken, KAD 06A007, L-2929 Luxemburg,
over de verenigbaarheid met de Verdragen van de beoogde overeenkomst tussen de Europese Unie en Canada inzake de doorgifte en verwerking van gegevens uit het Passenger Name Record, en met name over de volgende vragen: "Is de beoogde overeenkomst verenigbaar met de verdragsbepalingen (artikel 16 VWEU) en het Handvest van de grondrechten van de Europese Unie (artikelen 7, 8 en 52, lid 1) waar het gaat om het recht van natuurlijke personen op bescherming van hun persoonsgegevens?"
"Vormen artikel 82, lid 1, punt d), en artikel 87, lid 2, punt a), VWEU de juiste rechtsgrondslag voor de handeling van de Raad houdende sluiting van de beoogde overeenkomst, of moet die handeling worden gebaseerd op artikel 16 VWEU?"
*
VERTALING: oorspronkelijke taal van het verzoek: Frans.
2 INHOUD
I.
INLEIDING
4
II.
FEITEN EN PROCEDURE
4
A.
B.
De eerste overeenkomst, gesloten vóór inwerkingtreding van het Verdrag van Lissabon
5
De nieuwe overeenkomst waarover na de inwerkingtreding van het Verdrag van Lissabon is onderhandeld
6
1.
De start van de onderhandelingen met Canada
6
2.
Andere wetgevingsvoorstellen van de Commissie: EU-PNR en de hervorming van de wetgeving inzake gegevensbescherming
8
Afsluiting van de onderhandelingen met Canada - Advies van de Europese Toezichthouder voor gegevensbescherming
9
Eerste lezing van het Parlement inzake de hervorming van de wetgeving inzake gegevensbescherming
11
Ondertekening van de overeenkomst en verzoek om de goedkeuring van het Parlement
11
De goedkeuringsprocedure bij het Parlement
11
3.
4.
5.
6.
III. JURIDISCHE ACHTERGROND
12
A.
Grondrechten
12
B.
Justitiële samenwerking in strafzaken en politiële samenwerking
14
IV.
JURIDISCHE ANALYSE
15
A.
Ontvankelijkheid van de adviesaanvraag
15
B.
De eerste vraag betreffende eerbiediging van de grondrechten
16
1.
De relevantie van de artikelen 7 en 8 van het Handvest
16
2.
Bestaan van een inmenging in de in de artikelen 7 en 8 van het Handvest neergelegde rechten 17
3.
Rechtvaardiging van de inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten, als bedoeld in artikel 52, lid 1, van het Handvest 18
3 a.
"Bij wet gesteld"
19
b.
"Noodzaak"
20
c.
Evenredigheid van de vastgestelde inmenging
21
4. C.
Algemene toepassing van de overeenkomst op alle passagiers
23
ii.
Zijn er voldoende objectieve criteria ter begrenzing van de toegang voor de Canadese autoriteiten tot de gegevens?
23
iii.
Bewaringstermijn van de gegevens - vijf jaar - motivering?
26
iv.
Toezicht door een onafhankelijke autoriteit?
28
Tussentijdse conclusie Met betrekking tot de tweede vraag over de rechtsgrondslag van het besluit van de Raad betreffende sluiting van de overeenkomst
30
30
1.
Vaste jurisprudentie ten aanzien van de keuze van de rechtsgrondslag
30
2.
Doel van de overeenkomst
31
3.
Inhoud van de overeenkomst
33
4.
Tussentijdse conclusie
38
5.
Andere relevante overwegingen
38
a.
De door het Verdrag van Lissabon totstandgebrachte nieuwe structuur van het Verdrag betreffende de werking van de Europese Unie – algemeen toepasselijke bepalingen inzake de bescherming van persoonsgegevens 38
b.
Oud artikel 30, lid 1, onder b), VEU en artikel 87, VWEU
40
c.
Hervorming van de Europese wetgeving inzake bescherming van persoonsgegevens – passendverklaringen op strafrechtelijk gebied in de ontwerprichtlijn
42
In het Unierecht afwezige verplichting tot doorgifte van PNR-gegevens aan politiële autoriteiten
45
Protocol nr. 21 betreffende het Verenigd Koninkrijk en Ierland en protocol nr. 22 betreffende Denemarken
46
d.
e.
V.
i.
CONCLUSIES
LIJST VAN BIJLAGEN
49 50
4 I.
INLEIDING
1.
Bij schrijven van 7 juli 2014, ingeschreven bij de officiële post van het Europees Parlement op 8 juli 2014, heeft de Raad het Parlement gevraagd om goedkeuring van het ontwerpbesluit betreffende de sluiting van de overeenkomst tussen Canada en de Europese Unie inzake de doorgifte en verwerking van gegevens uit het Passenger Name Record (hierna: "de beoogde overeenkomst")1: zie de bijlagen 1 en 3.
2.
In dit verzoekschrift vraagt het Europees Parlement overeenkomstig artikel 218, lid 11, VWEU het advies van het Hof van Justitie over de verenigbaarheid van de beoogde overeenkomst met de Verdragen, en met name over de volgende vragen: "Is de beoogde overeenkomst verenigbaar met de verdragsbepalingen (artikel 16 VWEU) en het Handvest van de grondrechten van de Europese Unie (artikelen 7, 8 en 52, lid 1) waar het gaat om het recht van natuurlijke personen op bescherming van hun persoonsgegevens?" "Vormen artikel 82, lid 1, punt d), en artikel 87, lid 2, punt a), VWEU de juiste rechtsgrondslag voor de handeling van de Raad houdende sluiting van de beoogde overeenkomst, of moet die handeling worden gebaseerd op artikel 16 VWEU?"
3.
In deze adviesaanvraag gaat het om belangrijke juridische vragen over de manier waarop in het Handvest van de grondrechten van de Europese Unie (hierna: "het Handvest") en artikel 16 VWEU erkende grondrechten zoals eerbiediging van het privéleven en bescherming van persoonsgegevens, voortaan – sinds de inwerkingtreding van het Verdrag van Lissabon – moeten worden beschermd, met name in de sfeer van de preventie en de bestrijding van terrorisme en andere vormen van zware grensoverschrijdende criminaliteit.
II.
FEITEN EN PROCEDURE
4.
Ofschoon deze adviesaanvraag niet meer behelst dan de uitlegging van het Unierecht zoals dat op dit moment sinds de inwerkingtreding van het verdrag van
1
12652/2013 - C8-0089/2014 - 2013/0250(NLE).
5 Lissabon geldt, moet volledigheidshalve eerst worden begonnen met een korte omschrijving van de situatie zoals die eerder bestond. A.
De eerste overeenkomst, gesloten vóór inwerkingtreding van het Verdrag van Lissabon
5.
Bij besluit van 18 juli 20052, heeft de Raad de eerste "overeenkomst tussen de Europese Gemeenschap en de regering van Canada inzake de verwerking van op voorhand af te geven passagiersgegevens ["API"] en persoonsgegevens van passagiers ["PNR"]" goedgekeurd. Deze eerste overeenkomst trad op 22 maart 2006 in werking. In de aanhef van het besluit van de Raad van 18 juli 2005 wordt als rechtsgrondslag voor deze handeling van de Europese Gemeenschap artikel 95 genoemd, in verbinding met artikel 300, lid 2, eerste alinea, eerste volzin, en lid 3, eerste alinea, van het Verdrag tot oprichting van de Europese Gemeenschap zoals dat toentertijd van kracht was.
6.
Luidens artikel 1 had de overeenkomst tussen de Europese Gemeenschap en de regering van Canada tot doel "te waarborgen dat bij de verstrekking van API/PNRgegevens van personen op relevante vluchten de fundamentele rechten en vrijheden, met name het recht op privacy, ten volle worden geëerbiedigd" [onderstreping door ons].
7.
Het optreden van de Gemeenschap was dus van meet af aan op de allereerste plaats ingegeven door de wens de grondrechten en met name het recht op eerbiediging van het privéleven ten volle te doen respecteren. Zoals het Parlement hieronder nog zal laten zien, heeft ook de inwerkingtreding van het Verdrag van Lissabon hieraan niets veranderd, en is het streven veeleer geweest de bescherming van de grondrechten nog te versterken. Respectering van de grondrechten en met name het recht op eerbiediging van het privéleven isin al de tijd dat deze kwestie speelt de leidraad gebleven.
8.
Bij beschikking 2006/253/EG van 6 september 20053, verklaarde de Commissie dat de Canadese "Customs Border Services Agency" (hierna CBSA) "een passend beschermingsniveau overeenkomstig de verbintenissen in de bijlage biedt voor PNR-gegevens die vanuit de Gemeenschap met betrekking tot vluchten van en naar
2 3
PB L 82 van 21.3.2006, blz. 14. PB L 91 van 29.3.2006, blz. 49.
6 Canada worden doorgegeven". Deze passendverklaring van de Commissie berustte op richtlijn 95/46/EG4, en met name op artikel 25, lid 6. 9.
Op 22 september 2009 liep de passendverklaring van de Commissie af, zoals in artikel 7 van de desbetreffende beschikking was bepaald. Nauwelijks drie maanden voor de inwerkingtreding van het verdrag van Lissabon verloor het door de Raad en de Commissie ingevoerde regime zijn gelding en moest het dus worden vervangen. B.
De nieuwe overeenkomst waarover na de inwerkingtreding van het Verdrag van Lissabon is onderhandeld
10.
Belangrijk is dat alle onderhandelingen die de Raad en de Commissie hebben gevoerd om een nieuwe overeenkomst met Canada tot stand te brengen ter vervanging van de oude, na de inwerkingtreding van het verdrag van Lissabon op 1 december 2009 hebben plaatsgevonden, dus onder de werking van het huidige rechtsstelsel van de Europese Unie zoals we dat nu kennen. 1.
11.
De start van de onderhandelingen met Canada
Op 5 mei 2010 werd door het Parlement een resolutie aangenomen5 over de opening van onderhandelingen over overeenkomsten inzake persoonsgegevens van passagiers (PNR-gegevens) met de Verenigde Staten, Australië en Canada, die in de eerste plaats verwijst naar de artikelen 16 en 218 VWEU, artikel 6 VEU, artikel 8 van het Handvest en artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: "EVRM"). Het Parlement herinnerde er hierin onder meer aan dat "noodzaak en evenredigheid grondbeginselen zijn zonder welke terrorismebestrijding nooit doeltreffend zal zijn", en onderstreepte dat de Europese Unie stoelt op de beginselen van de rechtsstaat en dat elke overdracht van persoonsgegevens uit de EU en de lidstaten aan derde landen voor veiligheidsdoeleinden "moet zijn gebaseerd op internationale overeenkomsten met de status van wetgevingshandelingen, om de nodige bescherming aan de EU-burgers te bieden, gepaard moet gaan met procedurele
4
5
Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. PB L 281 van 23.11.1995, blz. 31. PB C 81E van 15.3.2011, blz. 70.
7 waarborgen en recht op verdediging, en in overeenstemming moet zijn met de gegevensbeschermingswetgeving op nationaal en Europees niveau"6. 12.
Het Parlement vroeg de Commissie dan ook om alle nuttige informatie, en om een coherente aanpak van het gebruik van PNR-gegevens voor rechtshandhavings- en veiligheidsdoeleinden, volgens een model dat aan bepaalde minimumnormen moet beantwoorden7.
13.
Op 21 september 2010 bracht de Commissie een mededeling uit, "over de algemene aanpak van de doorgifte van passagiersgegevens (Passenger Name Record - PNR) aan derde landen"8. Met haar voorstel voor deze "herziene algemene aanpak" met betrekking tot passagiersgegevens, wil de Commissie de Unie een basis verschaffen op grond waarvan zij kan beslissen hoe in de toekomst het best kan worden omgegaan met verzoeken van derde landen om doorgifte van PNR-gegevens9.
14.
Ten aanzien van de bescherming van persoonsgegevens bevestigt de Commissie dat "het van cruciaal belang is dat de EU uitsluitend medewerking verleent aan derde landen die voor de uit de EU afkomstige PNR-gegevens een passend beschermingsniveau kunnen waarborgen"10. Onder punt 3.3.1 "Bescherming van persoonsgegevens", noemt de Commissie in dit verband een reeks "basisbeginselen" die het aanvragende derde land inzake de bescherming van persoonsgegevens in acht moet nemen, waaronder de volgende: • beperking van de doeleinden – gebruik van de gegevens • beperking van de doeleinden – soort gegevens • bijzondere categorieën persoonsgegevens (gevoelige gegevens) • gegevensbeveiliging • toezicht en verantwoording • transparantie en kennisgeving • toegang, rectificatie en wissing • beroepsmogelijkheid
6 7 8 9 10
Punten 1 en 2 van de resolutie van het Parlement. Punten 3, 5, 7 en 9 van de resolutie van het Parlement. (COM(2010)0492). Zie punt 3.2, onder "Algemene overwegingen" van de mededeling van de Commissie. Ibid.
8 • geautomatiseerde individuele besluiten • de bewaringstermijn van de gegevens • beperkingen op verdere doorgifte aan andere overheidsinstanties • beperkingen op verdere doorgifte aan derde landen 15.
In zijn resolutie van 11 november 201011, stemde het Parlement in met de aanbeveling van de Commissie aan de Raad om machtiging te verlenen voor het openen van onderhandelingen over een overeenkomst tussen de EU en Canada, maar niet zonder erop te wijzen dat "de overeenkomsten zijn bedoeld om ervoor te zorgen dat de doorgifte van gegevens in overeenstemming is met de Europese normen voor gegevensbescherming" en te benadrukken dat "de rechtsgrond artikel 16 van het VWEU moet omvatten" [onderstreping door ons]12.
16.
In het bijzonder wees het Parlement erop dat: "evenredigheid een grondbeginsel blijft van het beleid inzake gegevensbescherming en dat alle overeenkomsten en beleidsmaatregelen op juridische evenredigheid moeten worden getoetst, waarbij moet worden aangetoond dat zij gericht zijn op de in de verdragen omschreven doelstellingen, en niet verder gaan dan wat nodig is om deze doelstellingen te bereiken; herhaalt zijn verzoek aan de Commissie om feitelijk bewijs dat het vergaren, opslaan en verwerken van PNR-gegevens noodzakelijk is voor alle genoemde doeleinden; herhaalt tevens zijn verzoek aan de Commissie om alternatieven met een minder indringend karakter te onderzoeken".13
17.
Op
2
december
2010
stelde
de
Raad
een
besluit
vast,
met
onderhandelingsrichtsnoeren, waarbij de Commissie werd gemachtigd om namens de Europese Unie onderhandelingen te openen met Canada over de doorgifte en het gebruik van gegevens uit het Passenger Name Record. 2.
Andere wetgevingsvoorstellen van de Commissie: EU-PNR en de hervorming van de wetgeving inzake gegevensbescherming
18.
Na opening van de onderhandelingen met Canada eind 2010 heeft de Commissie het Parlement en de Raad ook nog andere wetgevingsvoorstellen voorgelegd, met betrekking tot enerzijds de inzameling en verwerking van PNR-gegevens binnen de Unie, en anderzijds de bescherming van natuurlijke personen in verband met de
11 12 13
PB C 74E van 13.3.2012, blz. 8. Punt 5 van de resolutie van het Parlement. Punt 6 van de resolutie van het Parlement.
9 verwerking van persoonsgegevens, ook in de strafrechtelijke sfeer. Dat het daarbij gaat om wetgevingsprocedures uit hoofde van de interne bevoegdheid van de Unie die zijn geïnitieerd in samenloop met de onderhandelingen met Canada in het kader van de externe bevoegdheid van de Unie, maakt het verband tussen al deze dossiers niet minder evident. 19.
Op 2 februari 2011 legde de Commissie een voorstel voor een richtlijn voor aan het Parlement en de Raad betreffende het gebruik van persoonsgegevens van passagiers voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en zware criminaliteit14. Dat voorstel is gebaseerd op artikel 82, lid 1, onder d), en artikel 87, lid 2, onder a) VWEU.
20.
Een jaar later, op 25 januari 2012, kwam de Commissie bovendien - nog steeds parallel met de onderhandelingsprocedure met Canada – met haar "pakket" voor de hervorming van de Europese wetgeving op het gebied van gegevensbescherming, dat uit twee onderdelen bestaat. Enerzijds gaat het om een ontwerpverordening van het Europees Parlement en de Raad inzake de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Algemene verordening gegevensbescherming)15. Daarnaast heeft de Commissie een richtlijn voorgesteld van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens16. Beide voorstellen zijn gebaseerd op artikel 16 VWEU, volgens de Commissie17 de nieuwe, met het Verdrag van Lissabon ingevoerde rechtsgrondslag voor de uitvaardiging van regels op het gebied van gegevensbescherming. 3.
Afsluiting van de onderhandelingen met Canada - Advies van de Europese Toezichthouder voor gegevensbescherming
21.
Na afloop van de onderhandelingen met Canada werd de overeenkomst op 6 mei 2013 geparafeerd.
14 15 16 17
COM(2011) 32 final. 2011/0023 (COD). COM(2012) 11 final. 2012/0011 (COD). COM(2012) 10 final. 2012/0010 (COD). Punt "3.1. Rechtsgrondslag" van de toelichting in de beide respectieve voorstellen.
10 22.
Op 18 juli 2013 kwam de Commissie vervolgens met een voorstel voor enerzijds een besluit van de Raad betreffende de sluiting van de overeenkomst18, en anderzijds een voorstel voor een besluit van de Raad betreffende de ondertekening van de overeenkomst19.
23.
Op
30
september
2013
heeft
de
Europese
Toezichthouder
voor
gegevensbescherming (hierna: de "EDPS"), advies uitgebracht over deze voorstellen voor besluiten van de Raad tot sluiting respectievelijk ondertekening van de beoogde overeenkomst20. Bij wijze van algemene opmerking stelt de EDPS vraagtekens bij de noodzaak en de evenredigheid van PNR-regelingen en van bulkoverdracht van PNR-gegevens naar derde landen21. Met name trekt de EDPS de keuze van de rechtsgrondslag in twijfel, d.w.z. de keuze van alleen artikel 82, lid 1, onder d), en artikel 87, lid 2, onder a) VWEU als rechtsgrondslag; hij beveelt aan artikel 16 VWEU als een rechtsgrondslag in overweging te nemen22. Voorts doet de EDPS een reeks concrete aanbevelingen omtrent een beduidend aantal nader genoemde bepalingen in de overeenkomst23. 24.
Slechts enkele maanden nadat de EDPS zijn advies had uitgebracht, namelijk op 5 december 2013, nam de Raad een besluit voor de ondertekening van de overeenkomst. Er werd vervolgens besloten de goedkeuring van het Europees Parlement te vragen die nodig is voordat de Raad het besluit betreffende de sluiting van de overeenkomst kan vaststellen24.
25.
De tekst die de Raad ter goedkeuring aan het Parlement heeft voorgelegd blijkt dezelfde versie te zijn als in het voorstel van de Commissie van 18 juli 2013, zonder dat is voorzien in enigerlei wijziging als gevolg van het inmiddels uitgebrachte advies van de EDPS van 30 september 2013. Het Parlement heeft althans geen wijziging in deze zin kunnen vaststellen.
18 19 20 21 22 23 24
COM(2013) 528 final. 2013/0250 (NLE). COM(2013) 529 final. 2013/0251 (NLE). PB C 51 van 22.2.2014, blz. 12. Punt 3 van het advies, onder II. Algemene opmerkingen, van het advies van de EDPS. Punten 7 t/m 9, onder III. 1 Rechtsgrondslag, van het advies van de EDPS. Punten 10 t/m 46 van het advies van de EDPS. Persmededeling 534 (17342/13), 3279e zitting van de Raad, Justitie en Binnenlandse Zaken, Brussel, 5 en 6 december 2013, blz. 25, onder "Andere goedgekeurde punten".
11 4.
Eerste lezing van het Parlement inzake de hervorming van de wetgeving inzake gegevensbescherming
26.
Op 12 maart 2014 stelde het Parlement overeenkomstig artikel 294, lid 3, VWEU zijn standpunt in eerste lezing vast omtrent de hervorming van de Europese wetgeving inzake gegevensbescherming, namelijk over zowel het voorstel voor de algemene verordening25 als de ontwerp-richtlijn26. Dit standpunt van het Europees Parlement in eerste lezing werd vervolgens aan de Raad meegedeeld.
27.
Zo hebben twee afzonderlijke procedures die bij de respectieve takken van de Europese wetgever aanhangig waren, elkaar in het voorjaar van 2014 gekruist, namelijk enerzijds de procedure rond de onderhandelingen met Canada volgens artikel 218 VWEU en anderzijds de procedure voor aanneming van een wetgevingsvoorstel volgens artikel 294 VWEU met betrekking tot hervorming van de Europese wetgeving inzake gegevensbescherming. Terwijl het Parlement in maart 2014 zijn standpunt in eerste lezing over het op artikel 16 VWEU gebaseerde richtlijnvoorstel van de Commissie inzake gegevensbescherming al aan de Raad had overgebracht, maakte de Raad van zijn kant aanstalten om de goedkeuring van het Parlement te vragen van de ontwerpovereenkomst met Canada, onder verwijzing naar de artikelen 82 en 87 VWEU. 5.
Ondertekening van de overeenkomst en verzoek om de goedkeuring van het Parlement
28.
De overeenkomst werd ondertekend op 25 juni 2014.
29.
Bij schrijven van 7 juli 2014, ingeschreven bij de officiële post van het Europees Parlement op 8 juli 2014, verzocht de Raad om de goedkeuring van het Europees Parlement van het ontwerpbesluit tot sluiting van de beoogde overeenkomst (bijlagen 1 - 3)27. 6.
30.
De goedkeuringsprocedure bij het Parlement
Op 14 juli 2014 maakte de voorzitter van het Europees Parlement in de plenaire vergadering te Straatsburg bekend dat de Raad het voorstel voor een besluit
25 26 27
P7_TA(2014)0212. P7_TA(2014)0219. 12652/2013 - C8-0089/2014 - 2013/0250(NLE). Bij schrijven van 17 juli 2014, ingeschreven bij de officiële post van het Europees Parlement op 23 juli 2014, zond de Raad eveneens een gewaarmerkte cd-kopie van de beoogde overeenkomst waarvan een origineel exemplaar bij het secretariaat-generaal van de Raad is gedeponeerd.
12 betreffende de sluiting, namens de Unie, van de beoogde overeenkomst aan het Parlement had voorgelegd28. Dit voorstel werd vervolgens verwezen naar de commissie ten principale, de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken (hierna: de "LIBE-commissie"). 31.
De LIBE-commissie heeft in haar vergadering van 5 november 2014 over dit dossier gedebatteerd. Meerdere leden kwamen met bedenkingen en vragen omtrent de verdragsconformiteit van de overeenkomst en het gemis van voldoende informatie van de zijde van de Raad en de Commissie, waardoor zij niet tot een positief oordeel over het goedkeuringsverzoek van de Raad konden komen29. In de loop van het debat werd de mogelijkheid van een adviesaanvraag aan het Hof geopperd.
32.
Op 25 november 2014 nam het Parlement een resolutie aan over het inwinnen van het advies van het Hof inzake de verenigbaarheid met de Verdragen van de beoogde overeenkomst (bijlage 4)30.
III. JURIDISCHE ACHTERGROND A. 33.
Grondrechten Artikel 6, lid 1, van het EU-Verdrag bepaalt: "1. De Unie erkent de rechten, vrijheden en beginselen die zijn vastgesteld in het Handvest van de grondrechten van de Europese Unie van 7 december 2000, als aangepast op 12 december 2007 te Straatsburg, dat dezelfde rechtskracht als de Verdragen heeft. [...] De rechten, vrijheden en beginselen van het Handvest worden uitgelegd overeenkomstig de algemene bepalingen van Titel VII van het Handvest betreffende de uitlegging en toepassing ervan, waarbij de in het Handvest bedoelde verduidelijkingen, waarin de bronnen van deze bepalingen vermeld zijn, terdege in acht genomen worden".
28 29
30
12652/2013 - C8-0089/2014 - 2013/0250(NLE). De opnamen van de LIBE-vergadering zijn te zien op de volgende webstreamlink: http://www.europarl.europa.eu/ep-live/en/committees/video?event=20141105-0900-COMMITTEELIBE 2014/2966(RSP). P8_TA(2014)0058. Op grond van artikel 108, lid 6, van het Reglement heeft een fractie een ontwerpresolutie ingediend (van Sophia in 't Veld, Nathalie Griesbeck en Cecilia Wikström, namens de Fractie Alliantie van Liberalen en Democraten voor Europa), ertoe strekkende dat het Parlement een adviesaanvraag richt tot het Hof . In de plenaire vergadering van 25 november 2014, heeft het Parlement dit voorstel aangenomen, hetgeen betekent dat de stemming over de goedkeuring van de overeenkomst wordt aangehouden totdat het Hof zijn advies heeft uitgebracht.
13 34.
Artikel 7 van het Handvest luidt als volgt: "De eerbiediging van het privéleven en van het familie- en gezinsleven Eenieder heeft recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie".
35.
Artikel 8 van het Handvest luidt als volgt: "De bescherming van persoonsgegevens 1. Eenieder heeft recht op bescherming van zijn persoonsgegevens. 2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan. 3. Een onafhankelijke autoriteit ziet erop toe dat deze regels worden nageleefd".
36.
Artikel 52, lid 1, van het Handvest luidt als volgt:. "Reikwijdte en uitlegging van de gewaarborgde rechten en beginselen 1. Beperkingen op de uitoefening van de in dit Handvest erkende rechten en vrijheden moeten bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Met inachtneming van het evenredigheidsbeginsel kunnen slechts beperkingen worden gesteld, indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen".
37.
Artikel 16 VWEU, opgenomen in het eerste deel ("De beginselen"), titel II, "Algemeen toepasselijke bepalingen", VWEU, bepaalt:. "1. Eenieder heeft recht op bescherming van zijn persoonsgegevens. 2. Het Europees Parlement en de Raad stellen volgens de gewone wetgevingsprocedure de voorschriften vast betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie, alsook door de lidstaten, bij de uitoefening van activiteiten die binnen het toepassingsgebied van het recht van de Unie vallen, alsmede de voorschriften betreffende het vrij verkeer van die gegevens. Op de naleving van deze voorschriften wordt toezicht uitgeoefend door onafhankelijke autoriteiten. De op basis van dit artikel vastgestelde voorschriften doen geen afbreuk aan de in artikel 39 van het Verdrag betreffende de Europese Unie bedoelde specifieke voorschriften".
14 B. 38.
Justitiële samenwerking in strafzaken en politiële samenwerking In artikel 82, lid 1), onder d), in het derde deel "beleid en intern optreden van de Unie", onder titel V "ruimte van vrijheid, veiligheid en recht", hoofdstuk 4 "Justitiële samenwerking in strafzaken" VWEU is bepaald: "1. De justitiële samenwerking in strafzaken in de Unie berust op het beginsel van de wederzijdse erkenning van rechterlijke uitspraken en beslissingen en omvat de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten op de in lid 2 en in artikel 83 genoemde gebieden. Het Europees Parlement en de Raad stellen, volgens wetgevingsprocedure, maatregelen vast die ertoe strekken:
de
gewone
[...] d) in het kader van strafvervolging en tenuitvoerlegging van beslissingen de samenwerking tussen de justitiële of gelijkwaardige autoriteiten van de lidstaten te bevorderen". 39.
In artikel 87, leden 1 en 2, onder a), in het derde deel "beleid en intern optreden van de Unie", onder titel V "ruimte van vrijheid, veiligheid en recht", hoofdstuk 5 "Politiële samenwerking" VWEU is bepaald: "1. De Unie ontwikkelt een vorm van politiële samenwerking waarbij alle bevoegde autoriteiten van de lidstaten betrokken zijn, met inbegrip van de politie, de douane en andere gespecialiseerde wetshandhavingsdiensten die belast zijn met het voorkomen, opsporen en onderzoeken van strafbare feiten. 2. Voor de toepassing van lid 1 stellen het Europees Parlement en de Raad volgens de gewone wetgevingsprocedure maatregelen vast voor: a) de verzameling, opslag, verwerking, analyse en uitwisseling van relevante informatie […]".
40.
Ter vergelijking dient hier het oude artikel 30, lid 1, punt b, VEU dat als volgt luidde31 (wij hebben de bij het Verdrag van Lissabon geschrapte woorden vetgedrukt): "1. Gezamenlijk optreden op het gebied van politiële samenwerking omvat: [...] b) de verzameling, opslag, verwerking, analyse en uitwisseling van relevante informatie, met inbegrip van informatie over meldingen van verdachte financiële transacties waarover instanties belast met wetshandhaving beschikken, met name via Europol, onder voorbehoud van passende bepalingen inzake de bescherming van persoonsgegevens […]".
31
Zie de geconsolideerde versie van het Verdrag betreffende de Europese Unie gepubliceerd in PB C321 E van 29.12.2006.
15 IV.
JURIDISCHE ANALYSE
41.
Alvorens nader op de twee in deze adviesaanvraag gestelde vragen in te gaan, zal het Europees Parlement hierna eerst de ontvankelijkheid van die vragen toelichten.
A. 42.
Ontvankelijkheid van de adviesaanvraag Waar het gaat om de ontvankelijkheid van de vraag naar de keuze van de rechtsgrondslag voor de handeling houdende sluiting van de overeenkomst, blijkt uit de vaste rechtspraak dat over vragen die twijfels kunnen oproepen omtrent de materiële of formele geldigheid van de overeenkomst in het licht van de verdragen, het advies van het Hof op grond van artikel 218, lid 11, VWEU kan worden ingewonnen32.
43.
De keuze van de juiste rechtsgrondslag is van constitutioneel belang. Waar de Unie immers alleen over de bevoegdheden beschikt die haar uitdrukkelijk zijn toegedeeld, moet zij de overeenkomst die zij voornemens is te sluiten, onderbrengen bij een verdragsbepaling die haar tot vaststelling van de desbetreffende handeling machtigt. De keuze van een onjuiste rechtsgrondslag kan dus de handeling tot sluiting van de overeenkomst zelf ongeldig maken en daarmee ook de toestemming van de Unie ontkrachten om zich aan de door haar gesloten overeenkomst te binden. Immers, zo benadrukte het Hof, de ongeldigverklaring van de handeling tot sluiting van het de overeenkomst wegens een onjuiste rechtsgrondslag van die handeling, leidt zowel op communautair vlak als in de internationale rechtsorde tot complicaties die juist door de in artikel 218, lid 11, VWEU geregelde uitzonderlijke procedure van voorafgaand advies van het Hof moeten worden voorkomen33.
44.
Wat de ontvankelijkheid van de vraag omtrent de eerbiediging van de in het Handvest erkende grondrechten betreft, staat het volgens het Parlement buiten twijfel dat over deze vraag het advies van het Hof ex artikel 218, lid 11, VWEU kan worden ingewonnen, ook al geeft de rechtspraak op dit punt nog geen definitief uitsluitsel.34 Eerbiediging van de grondrechten van het Handvest - dat volgens
32 33
34
Advies 2/92 van het Hof van 24 maart 1995, EU:C:1995:83, punten 10 t/m 15. Advies 1/08 van het Hof, van 30 november 2009, EU:C:2009:739, punt 110. Zie ook Advies 2/08 van het Hof, van 6 december 2001, EU:C:2001:664, punten 5 en 6, en de daarin aangehaalde rechtspraak. De vraag welke de juiste rechtsgrondslag is, is ook rechtstreeks van invloed – bijvoorbeeld wegens de eventuele toepassing van Protocol nr. 21 al naargelang de gekozen rechtsgrondslag – op de territoriale draagwijdte van het Unierecht in het concrete geval. Het Parlement en de Commissie hadden volgens deze zelfde procedure het Hof reeds om advies gevraagd over kwesties rond de eerbiediging van grondrechten. Die adviesaanvragen moesten echter
16 artikel 6 VEU dezelfde juridische waarde heeft als de verdragen - is immers eveneens van constitutioneel belang. 45.
Het Europees Parlement vraagt het Hof dan ook de beide gestelde vragen ontvankelijk te verklaren.
B. 46.
De eerste vraag betreffende eerbiediging van de grondrechten Zoals onder punt 1 van zijn resolutie van 25 november 2014 (bijlage 4) gesteld, is het Parlement van oordeel dat er rechtsonzekerheid heerst over de vraag of de ontwerpovereenkomst verenigbaar is met de bepalingen van de Verdragen (artikel 16 VWEU) en het Handvest van de grondrechten van de Europese Unie (artikelen 7, 8 en 52, lid 1) betreffende het recht van personen op de bescherming van hun persoonsgegevens.
47.
Ofschoon hieromtrent al eerder serieuze twijfels zijn geuit – met name in het advies van de EDPS van 30 september 201335 – is deze rechtsonzekerheid des te groter sinds het arrest van het Hof van Justitie (grote kamer) van 8 april 2014 in de gevoegde zaken C 293/12 en C 594/12, Digital Rights Ireland en Seitlinger e.a.36, (hierna "het arrest Digital Rights Ireland"), dat ook in de resolutie van het Europees Parlement van 25 november 2014 wordt aangehaald37.
48.
Het Parlement zal hierna dan ook aan de hand van de redenering in het arrest Digital Rights Ireland, achtereenvolgens de vragen behandelen omtrent (1) de relevantie van de grondrechten, (2) het bestaan van een inmenging in die rechten en (3) de eventuele rechtvaardiging voor zulke inmenging. 1.
49.
De relevantie van de artikelen 7 en 8 van het Handvest
Het is duidelijk dat de passagiersgegevens die in de bijlage van de beoogde overeenkomst worden genoemd, tezamen genomen, zeer precieze aanwijzingen opleveren over het privéleven van degenen wier gegevens worden verwerkt, zoals hun
tijdelijke
of
permanente
verblijfplaats,
hun
beweegpatroon,
hun
werkzaamheden en hun sociale omgeving. De verwerking van gegevens met het oog
35 36 37
ingetrokken worden, om redenen die geen verband houden met de vraag naar de ontvankelijkheid: zie de door het EP ingediende adviesaanvraag 1/04 (overeenkomst EU-VS inzake verwerking PNRgegevens) en de door de Commissie ingediende adviesaanvraag 1/12 (ACTA-overeenkomst). De Raad schijnt de ontvankelijkheid van die beide aanvragen indertijd niet te hebben betwist. PB C 51 van 22.2.2014, blz. 12. EU:C:2014:238 Zie overweging J van de resolutie van het Europees Parlement van 25 november 2014.
17 op eventuele toegang daartoe voor de bevoegde Canadese autoriteiten, zoals in de beoogde overeenkomst geregeld, raakt rechtstreeks en specifiek het privéleven en dus de door artikel 7 van het Handvest gewaarborgde rechten. Een dergelijke bewerking van gegevens valt bovendien onder artikel 8 van het Handvest omdat het gaat om een verwerking van persoonsgegevens in de zin van dit artikel. Zij moet bijgevolg noodzakelijkerwijs voldoen aan de uit dit artikel voortvloeiende vereisten inzake
gegevensbescherming.
De
verdragsconformiteit
van
de
beoogde
overeenkomst moet dus aan de artikelen 7 en 8 van het Handvest worden getoetst38. 2.
Bestaan van een inmenging in de in de artikelen 7 en 8 van het Handvest neergelegde rechten
50.
Voor de vaststelling van een inmenging in het grondrecht op eerbiediging van de persoonlijke levenssfeer is het van weinig belang of de betreffende gegevens aangaande het privéleven al dan niet gevoelig zijn en of de betrokkenen door die inmenging enig nadeel hebben ondervonden. Hieruit volgt dat de verplichting die de Canadese wetgeving oplegt aan luchtvaartmaatschappijen die vanuit de EU vliegen, om de PNR-gegevens van hun passagiers aan de Canadese autoriteiten door te geven, op zich een inmenging vormt in de door artikel 7 van het Handvest gewaarborgde rechten. Dat de bevoegde Canadese autoriteiten bovendien toegang krijgen tot die gegevens is nog een extra inmenging in dat grondrecht. De Canadese wetgeving en de beoogde overeenkomst vormen ook een inmenging in het door artikel 8 van het Handvest gewaarborgde grondrecht op bescherming van persoonsgegevens, aangezien zij in de verwerking van persoonsgegevens voorzien39.
51.
Vastgesteld moet worden dat de beoogde overeenkomst een zeer ruime en bijzonder zware inmenging vormt in de door de artikelen 7 en 8 van het Handvest gewaarborgde fundamentele rechten40.
52.
Bovendien is de omstandigheid dat de persoonsgegevens vanuit het grondgebied van de Unie naar dat van een derde staat worden doorgegeven en dus niet meer onder de juridische bescherming vallen die door het recht van de Unie op haar grondgebied worden gegarandeerd nog een bijkomend element waarmee bij de
38 39 40
Zie de punten 27 t/m 31 van het arrest Digital Rights Ireland. Zie de punten 32 t/m 36 van het arrest Digital Rights Ireland. Zie punt 37 van het arrest Digital Rights Ireland.
18 beoordeling van de aard en de ernst van de inmenging rekening moet worden gehouden 41. 3.
Rechtvaardiging van de inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten, als bedoeld in artikel 52, lid 1, van het Handvest
53.
De belangrijkste vraag die het Parlement in deze zaak door het Hof beantwoord zou willen zien is, of er een adequate rechtvaardiging bestaat in de zin van artikel 52, lid 1, van het Handvest, nu als vaststaand mag worden aangenomen dat de beoogde overeenkomst een inmenging vormt in de in artikelen 7 en 8 van het Handvest gewaarborgde grondrechten. a.
54.
"bij wet gesteld"
Artikel 52, lid 1, van het Handvest vereist dat eventuele beperkingen op de uitoefening van de in het Handvest erkende rechten "bij wet worden gesteld". Zo bepaalt artikel 8, lid 2, van het Handvest ook dat persoonsgegevens eerlijk moeten worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of "op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet". Het gaat hier dus om een voorwaarde die essentieel is voor de eerbiediging van het Handvest.
55.
Hier doet zich de vraag voor of een internationale overeenkomst een "wet" is in de zin van artikel 8, lid 2, en artikel 52, lid 1, van het Handvest, en of een dergelijke overeenkomst dus beperkingen kan stellen op de uitoefening van de in de artikelen 7 en 8 van het Handvest erkende rechten.
56.
In dit verband zou het Europees Parlement het Hof in overweging willen geven zich te oriënteren42 op de rechtspraak van het Europese Hof voor de mensenrechten inzake de uitlegging van het begrip " bij wet voorzien" in artikel 8 EVRM43. Het EHRM is immers van oordeel dat iedere inmenging een grondslag moet hebben in "het interne recht"44 en dat het in de eerste plaats aan de nationale rechter staat om dat interne recht te interpreteren.
41 42
43
44
Zie punt 68 van het arrest Digital Rights Ireland. Zie punt 109 van de conclusie van advocaat-generaal Cruz Villalón in de zaak Digital Rights Ireland, EU:C:2013:845. Arrest EHRM Kruslin/Frankrijk, nr. 11801/85, punt 29, van 24 april 1990. Zie eveneens arrest EHRM Malone/Verenigd Koninkrijk, nr. 8691/79, punten 66 en 79, van 2 augustus 1984. "Domestic law" in de Engelse tekst van de aangehaalde arresten.
19 57.
In dit geval is natuurlijk het Hof van Justitie de rechterlijke instantie die bevoegd is voor de uitlegging van het "interne recht" van de Unie. Het Parlement vraagt het Hof dus om antwoord op de vraag, hoe de woorden "waarin de wet voorziet" (respectievelijk "bij wet gesteld") in de artikelen 8, lid 2, en 52, lid 1, van het Handvest "volgens het interne recht" van de Unie moeten worden beoordeeld, dus volgens het door de verdragen tot stand gebrachte rechtsstelsel, zoals dat wordt uitgelegd door het Hof.
58.
Het Parlement stelt dat bij de beantwoording van die vraag moet worden bedacht dat met het Verdrag van Lissabon de rechtsorde van de Unie grondig is gewijzigd. Niet alleen kent het Verdrag van Lissabon aan het Handvest eenzelfde juridische waarde toe als aan de verdragen, maar ook introduceert het voor het eerst het concept van "wetgevingshandeling"45. Bij een wetgevingshandeling, of deze nu volgens de gewone of volgens een bijzondere wetgevingsprocedure wordt vastgesteld, hebben beide wetgevers, de Raad en het Parlement, in verschillende mate deel aan de besluitvorming. Maar het begrip wetgevingshandeling is meer dan alleen een procedurekwestie.
Anders
dan
een
niet-wetgevingshandeling
heeft
een
wetgevingshandeling niet te verwaarlozen consequenties waaronder enkele die van bijzondere betekenis zijn voor de onderhavige problematiek. Bij de vaststelling van een wetgevingshandeling moeten immers zowel de Raad als het Parlement toezien op de transparantie van de procedure, en wetgevingshandelingen zijn ook onderworpen aan de subsidiariteitstoetsing door de nationale parlementen. 59.
Het lijkt dus vanzelfsprekend het begrip "waarin de wet voorziet/bij wet gesteld" in de zin van het Handvest te laten samenvallen met het begrip "wetgevingshandeling" in de zin van de verdragen, wanneer de instellingen van de Unie beperkingen overwegen op de uitoefening van grondrechten46.
60.
Hier aangekomen moet worden opgemerkt dat een internationale overeenkomst een niet-wetgevende rechtshandeling is.
45 46
Artikel 289 VWEU. Een andere benadering kan worden gevolgd waar de lidstaten het recht van de Unie ten uitvoer brengen als bedoeld in artikel 51 van het Handvest, in welk geval het voorbehoud "bij wet gesteld" betrekking heeft op de nationale wet en de beoordeling dus geschiedt aan de hand van het van toepassing zijnde nationale recht door de nationale rechter.
20 61.
Het Parlement vraagt zich dan ook af of in het rechtssysteem van de Unie een "wetgevende" aanpak (dus volgens artikel 16 VWEU) niet beter bij dit begrip "wet" zou passen dan een "internationale" aanpak47 (volgens artikel 218 VWEU)48.
62.
Op dit punt brengt het Parlement onder de aandacht, dat de verdragen in een geheel andere aanpak voorzien, namelijk de "wetgevende" aanpak volgens artikel 16 VWEU, dan de onderhavige, door de Raad voorgestelde "internationale" aanpak volgens artikel 218 VWEU. De kwestie van doorgifte van persoonsgegevens naar een derde land zou namelijk evengoed - of zelfs beter - kunnen worden geregeld in een wetgevingshandeling van de Unie, vastgesteld volgens de gewone wetgevingsprocedure van artikel 16 VWEU, zeker als de Europese wetgever de Commissie een bevoegdheid geeft tot het afgeven van een "passendverklaring" terzake. Op die manier zou niet meer met een derde land, en volgens internationaal recht, over het beschermingsniveau voor personengegevens hoeven te worden "onderhandeld".
63.
De hier aan de orde zijnde vraag naar de uitlegging van de woorden " waarin de wet voorziet/bij wet gesteld " in de artikelen 8, lid 2, en 52, lid 1, van het Handvest, en de tweede vraag omtrent de keuze van de rechtsgrondslag hangen nauw met elkaar samen. Het Europees Parlement verwijst daarom naar de argumenten die het in verband met de tweede vraag zal aanvoeren, en refereert zich aan het oordeel van het Hof voor wat betreft de beste manier om die argumenten tezamen te behandelen. b.
64.
"Noodzaak"
Ook moet de vraag worden gesteld of de beperkingen op de uitoefening van de in de artikelen 7 en 8 van het Handvest erkende rechten "noodzakelijk" zijn in de zin van artikel 52, lid 1, tweede volzin, van het Handvest.
47
48
De Unie zou weliswaar een verdrag kunnen sluiten op grond van artikel 216 VWEU wanneer daarin bij een juridisch bindende handeling van de Unie is voorzien, wat mogelijk zou zijn als de wetgever van de Unie zulks in een wetgevingshandeling op de grondslag van artikel 16 VWEU had voorgeschreven, maar in casu is daar geen sprake van. Bij zijn verzoek om de goedkeuring van het Parlement van de beoogde overeenkomst verwijst de Raad dan ook niet naar een rechtsgrondslag waarin de Europese wetgeving voorziet. Bovendien voorzien de Verdragen niet uitdrukkelijk in het sluiten van een internationale overeenkomst als de onderhavige. Waar de Raad en de Commissie hebben gemeend van dit paradigma van het Unierecht te moeten afwijken en een volgens artikel 218 VWEU te sluiten internationaal verdrag voorstellen in plaats van een wetgevingshandeling volgens de aangewezen wetgevingsprocedure die in de verdragen is geregeld, staat het aan henzelf aan het Hof uit te leggen hoe zij deze aanpak menen te kunnen onderbouwen. Het Parlement kan niet meer doen dan zijn twijfel kenbaar maken omtrent de wettigheid van deze aanpak in het licht van het Handvest en de verdragen.
21 65.
Hier is van belang dat het de Canadese wetgever is geweest – en niet die van de Unie – die een systeem voor de verwerking van passagiersgegevens heeft ingevoerd en daartoe Canadese wetgeving heeft uitgevaardigd. Het betreft hier dus de keuze van een derde staat. De Europese wetgever heeft op dit moment nog geen Europese wetgeving uitgevaardigd voor de invoering van een PNR-systeem binnen het grondgebied van de Unie. Er is op dit moment een levendig debat gaande over de "noodzaak" van een op Europees niveau in te voeren PNR-systeem. Uiteraard is het geenszins de bedoeling van het Parlement om in het kader van deze rechtsprocedure voor het Hof een standpunt over deze wetgevingsoptie in te nemen. Niettemin, zonder vooruit te lopen op de aanhangige wetgevingsprocedure rond het voorstel van de Commissie voor invoering van een PNR-systeem in de Unie, blijft het een essentieel feit dat de Raad en de Commissie aan de hand van objectieve elementen moeten aantonen dat de sluiting van de beoogde overeenkomst werkelijk "noodzakelijk" is in de zin van artikel 52, lid 1, tweede volzin, van het Handvest, nu die overeenkomst een "beperking" inhoudt op de uitoefening van de in de artikelen 7 en 8 van het Handvest erkende rechten.
66.
Objectieve elementen – die het Parlement dan door de Raad en de Commissie zouden moeten worden aangeleverd – die aantonen dat deze beperking op de uitoefening van grondrechten noodzakelijk is, schijnen te ontbreken. Overigens zou die noodzaak moeten worden onderbouwd aan de hand van de Canadese PNRwetgeving. Bij gebreke van Europese wetgeving op dit gebied kan niet als vaststaand feit gelden dat de "noodzaak" van het PNR-systeem van een derde staat rechtens (d.w.z. naar Europees recht) genoegzaam is aangetoond. c.
67.
Evenredigheid van de vastgestelde inmenging
In deze omstandigheden moet worden nagegaan of de vastgestelde inmenging evenredig
is.
Volgens
vaste
rechtspraak
van
het
Hof
vereist
het
evenredigheidsbeginsel dat handelingen van de instellingen van de Unie geschikt zijn om de door de betrokken regeling nagestreefde legitieme doelstellingen te verwezenlijken en niet verder gaan dan wat daarvoor geschikt en noodzakelijk is49. 68.
Wat het rechterlijk toezicht op de naleving van deze voorwaarden betreft, zij opgemerkt dat wanneer sprake is van een inmenging in fundamentele rechten, de omvang van de beoordelingsbevoegdheid van de wetgever van de Unie beperkt kan
49
Zie punt 46 van het arrest Digital Rights Ireland.
22 zijn. Dit hangt af van een aantal factoren, waaronder met name het betrokken domein, de aard van het door het Handvest gewaarborgde recht dat aan de orde is, alsook de aard, de ernst en het doel van de inmenging. Gelet op de belangrijke rol die de bescherming van persoonsgegevens speelt in het licht van het fundamentele recht op bescherming van het privéleven, alsook op de omvang en de ernst van de door de beoogde overeenkomst veroorzaakte inmenging in dit recht is de beoordelingsbevoegdheid van de Uniewetgever in casu beperkt, zodat een strikt toezicht moet worden uitgeoefend50. 69.
Het Europees Parlement zag nu graag door het Hof vastgesteld dat dezelfde in de punten 47 en 48 van het arrest Digital Rights Ireland uiteengezette overwegingen ook gelden voor de omvang van de beoordelingsbevoegdheid die de wetgever van de Unie in onderhavig geval heeft, waar het gaat om de sluiting van een internationale overeenkomst op grond van artikel 218 VWEU. Er is immers geen geldige rechtvaardiging voor een ruimere beoordelingsbevoegdheid voor de Europese wetgever wanneer het gaat om samenwerking met een derde land. Het (hoge) beschermingsniveau voor de grondrechten in de Unie moet in alle gevallen en situaties gelijk blijven, of het nu gaat om vaststelling van een binnen de Unie toe te passen wetgevingshandeling – zoals in de zaak Digital Rights Ireland – dan wel om een met een derde staat te sluiten overeenkomst, zoals in casu.
70.
De beoogde overeenkomst moet dus duidelijke en precieze regels betreffende de draagwijdte en de toepassing van de betrokken maatregel bevatten, met een minimum aan vereisten, zodat de mensen wier gegevens zijn verwerkt ervan verzekerd kunnen zijn dat hun persoonsgegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige inzage en aanwending van die gegevens51.
71.
De in de beoogde overeenkomst geregelde opzet voor verwerking van PNRgegevens
hoort
immers
duidelijk
thuis
in
de
categorie
van
"ruimere
observatiestelsels" in de zin van de EHRM-rechtspraak en dus moet de redenering van het Hof in de zaak Digital Rights Ireland ook in deze zaak worden gevolgd52.
50 51
52
Zie punten 47 en 48 van het arrest Digital Rights Ireland. Zie punt 54 van het arrest Digital Rights Ireland, en de aldaar aangehaalde rechtspraak van het EHRM. Zie met name het arrest van het EHRM, Liberty e.a./ Verenigd Koninkrijk, nr. 58243/00, 62 en 63, aangehaald in punt 54 van het arrest Digital Rights Ireland.
23 i. 72.
Algemene toepassing op alle passagiers
Hier is van belang dat de beoogde overeenkomst algemeen van toepassing is op alle personen die gebruikmaken van vluchten naar Canada, zonder dat de personen wier gegevens worden verwerkt zich echter, zelfs maar indirect, in een situatie bevinden die aanleiding kan geven tot strafrechtelijke vervolging. Zij is dus zelfs van toepassing op personen voor wie er geen enkele aanwijzing bestaat dat hun gedrag – zelfs maar indirect of van ver – een verband vertoont met zware criminaliteit53.
73.
Voorts vereist de beoogde overeenkomst geen enkel verband tussen de gegevens die moeten worden bewaard en een bedreiging van de openbare veiligheid. Zij beperkt met name de verwerking niet tot gegevens die betrekking hebben op een bepaalde periode en/of een bepaalde geografische zone en/of een kring van bepaalde personen die op een of andere wijze betrokken kunnen zijn bij zware criminaliteit, of op personen voor wie de bewerking van de gegevens om andere redenen zou kunnen helpen bij het voorkomen, opsporen of vervolgen van zware criminaliteit54. ii.
Zijn er voldoende objectieve criteria ter begrenzing van de toegang voor de Canadese autoriteiten tot de gegevens?
74.
In de tweede plaats moet men zich afvragen of de beoogde overeenkomst, afgezien van dit algeheel ontbreken van beperkingen, adequaat voorziet in objectieve criteria ter begrenzing van de toegang voor de Canadese autoriteiten tot de gegevens en later gebruik daarvan ter voorkoming, opsporing of strafrechtelijke vervolging van inbreuken die, gelet op de omvang en de ernst van de inmenging in de door de artikelen 7 en 8 van het Handvest erkende fundamentele rechten, voldoende ernstig kunnen worden geacht om een dergelijke inmenging te rechtvaardigen55.
75.
Op dit punt moet worden erkend dat artikel 3, lid 1, van de beoogde overeenkomst bepaalt dat Canada "erop toeziet dat de Canadese bevoegde autoriteit PNRgegevens die op basis van deze overeenkomst zijn verkregen, uitsluitend verwerkt met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en zware grensoverschrijdende criminaliteit". In artikel 3, leden 2 en 3, zijn daarnaast de definities te vinden van "terroristisch misdrijf" respectievelijk "zware grensoverschrijdende criminaliteit"; onder dit laatste wordt
53 54 55
Zie punt 58 van het arrest Digital Rights Ireland. Zie punt 59 van het arrest Digital Rights Ireland. Zie punt 60 van het arrest Digital Rights Ireland.
24 verstaan: "elk strafbaar feit waarop in Canada een maximumvrijheidsstraf staat van ten minste vier jaar of een zwaardere straf, zoals omschreven in het Canadese recht, voor zover dit strafbare feit een grensoverschrijdend karakter heeft" [onderstreping door ons]. 76.
Vastgesteld moet daarom worden dat de beoogde overeenkomst een aantal objectieve criteria bevat aan de hand waarvan de toegang voor de Canadese autoriteiten tot de gegevens kan worden beperkt, waardoor in deze zaak de situatie anders ligt dan in de zaak Digital Rights Ireland waarin het Hof vaststelde dat richtlijn 2006/24 helemaal "geen objectieve criteria" kent die de toegang voor de bevoegde nationale autoriteiten moeten begrenzen56. Niettemin blijft het zaak na te gaan of die criteria in artikel 3 van de beoogde overeenkomst werkelijk afdoende zijn om de toegang voor de Canadese autoriteiten te begrenzen?
77.
De formulering van de in de beoogde overeenkomst genoemde "criteria" is namelijk veelal vaag en laat de mogelijkheid open dat de verwerking van PNR-gegevens niet aan het evenredigheidsbeginsel beantwoordt.
78.
Zo valt op te merken dat het criterium inzake "zware grensoverschrijdende criminaliteit" zoals in de beoogde overeenkomst gedefinieerd, naar de repressieve wetgeving van een derde staat verwijst, namelijk Canada, en niet naar die van de Unie of van haar lidstaten. Daardoor wordt het voor de Europese burger wiens gegevens zouden worden verwerkt, moeilijk om precies te achterhalen welke feiten in Canada strafbaar zijn en onder dit criterium vallen. Niet uit te sluiten valt immers dat er feiten zijn die in het Canadese recht als delict worden aangemerkt maar in de Europese Unie niet strafbaar zijn, of die in de Unie ook strafbaar zijn maar in Canada veel zwaarder worden bestraft.
79.
Het criterium dat in lid 3 van artikel 3 van de beoogde overeenkomst is opgenomen, lijkt weliswaar op het eerste gezicht objectief, maar is in werkelijkheid een bijzonder "open" criterium dat verwijst naar de wetgeving van een derde land – te weten Canada – zonder dat die onderworpen is aan de door het recht van de Unie erkende beperkingen. Er bestaat derhalve onzekerheid over de vraag of de inmenging die de beoogde overeenkomst met zich meebrengt, tot het strikt noodzakelijke beperkt is.
56
Punt 60 van het arrest Digital Rights Ireland.
25 80.
Overigens lijkt het of artikel 3, lid 5, onder b), van de beoogde overeenkomst de verwerking van PNR-gegevens door "Canada" zelfs op andere gebieden dan het strafrecht toelaat, ingeval voldaan moet worden aan een gerechtelijke dagvaarding of een gerechtelijk bevel. Dit zou de doorgifte van PNR-gegevens door de "Canadese bevoegde autoriteit" naar andere Canadese autoriteiten, of zelfs naar particulieren mogelijk kunnen maken, indien, in het kader van een door een particulier in Canada gestarte civiele procedure een rechter hierom verzoekt voor doeleinden die geen betrekking hebben op de bestrijding van het terrorisme of zware grensoverschrijdende criminaliteit – bijvoorbeeld, in het kader van een contractueel of familierechtelijk geschil. Dit voorschrift mag niet als een beperking van de verwerking van persoonsgegevens door Canada worden opgevat maar als een uitbreiding van de criteria voor de verwerking van PNR-gegevens door Canada: indien een Canadese rechterlijke instantie in de verwerking van gegevens voorziet, zullen
de
andere
beperkende
voorwaarden,
zoals
de
duur
van
de
maximumvrijheidsstraf voor het betreffende strafbare feit, niet meer van toepassing zijn, zodat de gegevens in een bijna onbeperkt aantal situaties kunnen worden verwerkt. 81.
Voorts moet onder de aandacht van het Hof worden gebracht dat in de tekst van de beoogde overeenkomst niet nader wordt bepaald welke "Canadese bevoegde autoriteit" toegang heeft tot de PNR-gegevens. Ingevolge artikel 30, lid 2, van de "slotbepalingen" stelt Canada voor de inwerkingtreding van deze overeenkomst, de Commissie langs diplomatieke weg in kennis van onder meer "de identiteit" van "de Canadese bevoegde autoriteit bedoeld in artikel 2, onder d)".
82.
In deze context wordt voor wat betreft het objectieve criterium ter beperking van het aantal personen met toegangsbevoegdheid57, verwezen naar artikel 16, lid 2, van de beoogde overeenkomst, onder het kopje "Bewaring van PNR-gegevens", waarin wordt bepaald: "Canada beperkt de toegangsbevoegdheid tot een beperkt aantal daartoe door Canada specifiek gemachtigde ambtenaren". De omschrijving van "beperkt aantal" ambtenaren wordt in de beoogde overeenkomst verder niet gepreciseerd, zodat dit aantal geheel afhankelijk is van de beoordeling van het derde land, met inachtneming van zijn verplichtingen op grond van het internationale
57
Zie punt 62 van het arrest Digital Rights Ireland.
26 recht, zonder dat rekening gehouden wordt met de eisen die voortvloeien uit het Unierecht inzake de bescherming van persoonsgegevens. 83.
Ook wordt erop gewezen dat de beoogde overeenkomst niet voorziet in een voorafgaande controle van de gegevenstoegang van de Canadese bevoegde instanties – die nog niet nader aangeduid zijn en waarvan het aantal betrokken ambtenaren nog niet is vastgesteld – , door hetzij een rechterlijke instantie, hetzij een onafhankelijke administratieve instantie waarvan de beslissing beoogt om de toegang tot de gegevens en het gebruik ervan te beperken tot wat strikt noodzakelijk is ter verwezenlijking van het nagestreefde doel en die uitspraak doet op een gemotiveerd verzoek van deze autoriteiten, ingediend in het kader van procedures ter voorkoming, opsporing of vervolging van strafbare feiten58.
84.
Integendeel,
de
beoogde
overeenkomst
veronderstelt
dat
de
luchtvaartmaatschappijen – rechtstreeks of via gemachtigde agenten – onbelemmerd PNR-gegevens kunnen doorgeven aan de Canadese bevoegde autoriteit: zie artikel 4 van de beoogde overeenkomst. De beoogde overeenkomst voorziet niet in een eventuele voorafgaande controle door een
rechterlijke instantie
of een
onafhankelijke administratieve instantie. iii 85.
Bewaringstermijn van de gegevens - vijf jaar - motivering?
In de derde plaats wordt, ten aanzien van de bewaringstermijn van gegevens, in artikel 16 van de beoogde overeenkomst bepaald: "Canada bewaart PNR-gegevens niet langer dan vijf jaar nadat het de PNR-gegevens heeft ontvangen" [onderstreping door ons]. Welnu, deze beperking van de bewaringstermijn tot vijf jaar maakt geen enkel onderscheid tussen de in artikel 3 van die overeenkomst genoemde categorieën van gegevens naargelang van het nut ervan voor het nagestreefde doel in verband met het voorkomen en opsporen van "terroristische misdrijven" of "zware transnationale criminaliteit", of naargelang van de betrokken personen59.
86.
Deze bewaringstermijn van vijf jaar is in de beoogde overeenkomst opgenomen zonder dat gepreciseerd wordt – voor zover het Parlement bekend is – dat deze termijn op grond van objectieve criteria vastgesteld is om te waarborgen dat de
58 59
Zie punt 62 van het arrest Digital Rights Ireland. Zie punt 63 van het arrest Digital Rights Ireland.
27 termijn beperkt is tot wat strikt noodzakelijk is60. Noch de tekst van de beoogde overeenkomst, noch de toelichting op het oorspronkelijke Commissievoorstel van 18 juli 2013, bevatten een motivering, op basis van objectieve criteria, voor de vaststelling van de bewaringstermijn van vijf jaar. 87.
Het is van belang in dit verband te onderstrepen dat de beoogde overeenkomst een substantieel
langere
bewaringstermijn
behelst
in
vergelijking
met
de
bewaringstermijn van drie en een half jaar, zoals was opgenomen in de passendverklaring van de Commissie van 6 september 2005 die op 22 september 2009 is verstreken61. Zelfs als verondersteld wordt dat de eerder voorziene bewaringstermijn toegelaten zou zijn – quod non – , moet nog steeds worden onderzocht waarom de Raad en de Commissie het noodzakelijk hebben geacht deze reeds lange termijn nog eens met anderhalf jaar te verlengen. 88.
Op het moment dat de Raad een beoogde overeenkomst aan het Europees Parlement ter goedkeuring voorlegt, moet de Raad de noodzaak van elke inmenging in de grondrechten rechtens genoegzaam aantonen, in voorkomend geval door te verwijzen naar de voordien door de Commissie gegeven motivering. Bij gebrek daaraan is het Europees Parlement niet in staat zijn goedkeuring aan een internationale overeenkomst te geven, overeenkomstig het Handvest, en zal het Hof ook niet kunnen beoordelen of de overeenkomst verenigbaar is met het Handvest.
89.
Het Parlement verzoekt het Hof, op grond van de door de Raad en de Commissie aan het Parlement uiterlijk op het moment van het door de Raad in juli 2014 aan het Parlement verzonden goedkeuringsverzoek verstrekte informatie, vast te stellen dat er geen enkele motivering is gegeven op grond van objectieve criteria die kunnen worden onderworpen aan een rechterlijke toetsing, die kan garanderen dat de bewaringstermijn begrensd is tot het strikt noodzakelijke in overeenstemming met de jurisprudentie.
90.
In het uiterste geval zou het Hof ook kunnen vaststellen dat, op het moment van de indiening van het Parlement van deze adviesaanvraag, sinds juli 2014 nog steeds
60 61
Zie punt 64 van het arrest Digital Rights Ireland. Volgens artikel 8 van de "Verbintenissen", als bijlage opgenomen bij de beschikking van de Commissie over de passende bescherming: "Indien de API- en PNR-gegevens betrekking hebben op een persoon tegen wie in Canada [g]een onderzoek loopt in verband met een in punt 2 genoemd doel, worden zij in het PAXIS-systeem maximaal drieënhalf jaar bewaard" [onderstreping door ons].
28 geen motivering is gegeven door de Raad dan wel de Commissie, ondanks de verzoeken van leden van het Europees Parlement om aanvullende informatie. iv. Toezicht door een onafhankelijke autoriteit? 91.
Tot slot moet worden toegevoegd dat de beoogde overeenkomst – naar zijn aard gericht op de doorgifte van gegevens aan Canada – niet voorschrijft dat de betrokken gegevens op het grondgebied van de Unie moeten worden bewaard. Hierdoor kan niet ten volle gewaarborgd worden dat een onafhankelijke autoriteit toezicht houdt op de inachtneming van de vereisten inzake bescherming en beveiliging als bedoeld in de jurisprudentie62, zoals uitdrukkelijk wordt voorgeschreven door artikel 8, lid 3, van het Handvest, alsook artikel 16, lid 2, VWEU. Een dergelijk toezicht, uitgevoerd op basis van het Unierecht, is evenwel van wezenlijk belang voor de bescherming van personen bij de verwerking van persoonsgegevens63.
92.
De bepalingen in de beoogde overeenkomst ten aanzien van het toezicht door een onafhankelijke autoriteit laten ernstige twijfels bestaan over de al dan niet "gepaste" aard van de door de Canadese autoriteiten te treffen maatregelen. Artikel 10, onder het kopje "Toezicht", voorziet in toezicht door "een onafhankelijke openbare autoriteit of een met administratieve middelen ingestelde autoriteit die haar taken onpartijdig verricht en aantoonbaar autonoom handelt ("de toezichthoudende autoriteit")". Het onderscheid tussen enerzijds, "onafhankelijke openbare autoriteit" en anderzijds "een met administratieve middelen ingestelde autoriteit die haar taken onpartijdig verricht en aantoonbaar autonoom handelt" is allesbehalve duidelijk, maar in elk geval blijkt uitsluitend de eerstgenoemde autoriteit daadwerkelijk "onafhankelijk" te zijn, zodat men de conclusie kan trekken dat de tweede niet over de mate van onafhankelijkheid beschikt die voldoet aan het vereiste van artikel 8, lid 3, van het Handvest.
93.
Ook moet worden gewezen op artikel 30, lid 2, onder b), "Slotbepalingen", van de beoogde overeenkomst dat bepaalt dat Canada de Europese Commissie vóór de inwerkingtreding van de overeenkomst langs diplomatieke weg in kennis stelt van de identiteit van de "onafhankelijke openbare autoriteit of de met administratieve
62 63
Zie de punten 66 tot en met 68 van het arrest Digital Rights Ireland. Zie punt 68 van het arrest Digital Rights Ireland.
29 middelen ingestelde autoriteit bedoeld in artikel 10 en in artikel 14, lid 1" (die bevoegd is om klachten van particulieren te ontvangen en te onderzoeken). 94.
Gezien het feit dat de beoogde overeenkomst zelfs niet de naam aanduidt van de onafhankelijke autoriteit(en) die in Canada bevoegd zijn, is het voor het Europees Parlement bijzonder problematisch om te concluderen dat deze bepalingen kunnen voldoen aan de, toch essentiële, vereisten van artikel 8 van het Handvest en artikel 16 VWEU.
95.
Gezien het feit dat in artikel 10 van de beoogde overeenkomst bepaald wordt dat Canada erop toeziet "dat de toezichthoudende autoriteit beschikt over doeltreffende bevoegdheden om onderzoek te doen [...]", stelt de Unie zich tevreden met een belofte van Canada om tot een bepaald resultaat te komen met nog niet nader gepreciseerde middelen, die slechts in het licht van het internationaal recht te beoordelen zijn. Het Europees Parlement is echter van oordeel dat op grond van artikel 8, lid 3, van het Handvest en artikel 16, lid 2, VWEU, een veel concreter toezicht vereist is door een onafhankelijke autoriteit die van te voren bekend is en reeds over door de Canadese wetgeving toegekende bevoegdheden beschikt die in de zin van de betreffende Europese wetgeving als "passend" kunnen worden opgevat.
96.
In verband met de verplichting in artikel 9, lid 4, van de beoogde overeenkomst voor de "Canadese bevoegde autoriteit" om de "Europese Commissie" over elk significant incident in te lichten waarbij sprake is van accidentele, onwettige of ongeoorloofde toegang tot of verwerking, dan wel verlies van PNR-gegevens, is het voorts van belang op te merken dat de Commissie zelf niet kan worden opgevat als een "onafhankelijke autoriteit" in de zin van artikel 8, lid 3, van het Handvest en artikel 16, lid 2, VWEU.
97.
De beoogde overeenkomst verwijst op geen enkele wijze naar een "onafhankelijke autoriteit" die op grond van het Unierecht (bijvoorbeeld de EDPS of een nationale autoriteit van een lidstaat) bevoegd zou zijn en er is geen enkele vorm van samenwerking voorzien tussen de Canadese autoriteiten en de onafhankelijke Europese autoriteiten in verband met de "toezichts"problematiek. Hier is sprake van een grote tekortkoming betreffende de bescherming van natuurlijke personen in de Unie in verband met de verwerking van persoonsgegevens.
30 4. 98.
Tussentijdse conclusie
Gelet op alle bovenstaande overwegingen zijn er ernstige twijfels of de beoogde overeenkomst – in de aan het Europees Parlement voor goedkeuring voorgelegde versie van juli 2014 – artikel 16 VWEU en de artikelen 7, 8 en 52, lid 1, van het Handvest onverkort eerbiedigt64.
C.
Met betrekking tot de tweede vraag over de rechtsgrondslag van het besluit van de Raad betreffende sluiting van de beoogde overeenkomst
99.
Het Parlement plaatst met de tweede vraag vraagtekens bij de keuze van de rechtsgrondslag die aan de beoogde overeenkomst is gegeven. In de eerste aanhaling van het ontwerpbesluit betreffende de sluiting van de overeenkomst hebben zowel de Commissie als de Raad artikel 82, lid 1, onder d), en artikel 87, lid 2, onder a), VWEU (justitiële en politiële samenwerking) voorgesteld als rechtsgrondslag. In het licht van de jurisprudentie van het Hof op dit gebied, die we hieronder nader onderzoeken, stelt het Europees Parlement de vraag of de rechtsgrondslag juist is of dat artikel 16 VWEU (bescherming van persoonsgegevens) de rechtsgrondslag zou moeten zijn. 1.
Vaste jurisprudentie ten aanzien van de keuze van de rechtsgrondslag
100. Volgens vaste jurisprudentie kan een loutere praktijk van de Raad niet afwijken van regels van het Verdrag en bijgevolg geen precedent scheppen dat de instellingen van de Unie bindt voor de keuze van de juiste rechtsgrondslag. De keuze van de rechtsgrondslag van een Uniehandeling, daaronder begrepen een handeling die wordt vastgesteld met het oog op de sluiting van een internationale overeenkomst65, moet berusten op objectieve gegevens die voor rechterlijke toetsing vatbaar zijn en niet op de rechtsgrondslag die is gebruikt om andere gemeenschapshandelingen met, in voorkomend geval, soortgelijke kenmerken vast te stellen66. 101. Derhalve moet worden aangenomen dat het feit dat de Raad eerder besluiten heeft vastgesteld betreffende de sluiting van andere internationale overeenkomsten met
64 65
66
Zie punt 69 van het arrest Digital Rights Ireland. Arrest van het Hof (Grote kamer) van 11 juni 2014 in zaak C-377/12, Commissie/Raad, EU:C:2014:1903, punt 34. Arrest van het Hof (Grote kamer) van 24 juni 2014 in zaak C-658/11, Parlement/Raad, EU:C:2014:2025, punt 43. Advies 1/08 van het Hof (Grote kamer) van 30 november 2009, C:2009:739, punt 172 en de daar geciteerde rechtspraak.
31 andere derde landen67, met eventueel soortgelijke kenmerken, geenszins de keuze van de passende rechtsgrondslag in dit geval bepaalt. Het Parlement is van oordeel dat de keuze van de rechtsgrondslag in onderhavig geval moet berusten op objectieve elementen die voor rechterlijke toetsing vatbaar zijn. 102. De rechtspraak richt zich, wat betreft de voor rechterlijke toetsing vatbare objectieve elementen, op het doel en de inhoud van de handeling. Indien er in het Verdrag een specifiekere bepaling bestaat die als rechtsgrondslag voor de betrokken handeling kan dienen, moet de handeling op die bepaling worden gebaseerd68. 103. Indien na onderzoek van een maatregel blijkt dat hij een tweeledig doel heeft of dat er sprake is van twee componenten, waarvan er een kan worden gezien als hoofddoel of overwegende component, terwijl het andere doel of de andere component slechts ondergeschikt is, moet hij op één rechtsgrondslag worden gebaseerd, namelijk die welke vereist is gelet op het hoofddoel of de overwegende component69. 104. Van de beoogde overeenkomst moeten dan ook het doel en de inhoud worden onderzocht. 2.
Doel van de overeenkomst
105. Uit het eerste artikel, "Doel van de overeenkomst", blijkt dat de overeenkomst een tweeledig doel heeft, te weten, enerzijds "de veiligheid van het publiek waarborgen" en anderzijds, "voorschrijven op welke wijze (deze gegevens, hierna: "PNRgegevens") moeten worden beschermd". 106. Dit tweeledig doel geeft tevens de "algemene aanpak van de doorgifte van passagiersgegevens (Passenger Name Record - PNR) aan derde landen" weer die onderwerp is van de mededeling van de Commissie van 21 september 201070. In hoofdstuk 3.1 "Motivering voor een herziene algemene aanpak op PNR-gebied" wordt aangegeven dat in algemene zin de doorgifte van PNR-gegevens aan derde landen tot doel heeft enerzijds de "bestrijding van terrorisme en zware
67
68
69 70
Zie de overeenkomsten gesloten met de Verenigde Staten (PB L 215, van 11.8.2012, blz. 5) en Australië (PB L 186, van 14.7.2012, blz. 4). Zie het arrest van het Hof van 6 november 2008 in de zaak C-155/07 Parlement tegen Raad, EU:C:2008:605, punten 34 t/m 37 en aldaar aangehaalde rechtspraak. Ibid. COM(2010) 492 final.
32 grensoverschrijdende criminaliteit" en anderzijds, "de bescherming van het privéleven en persoonsgegevens"71. 107. Aangezien hier sprake is van een maatregel waarmee twee doelen worden nagestreefd, is het van belang te bepalen of één van de twee doelen het hoofddoel is en het andere slechts ondergeschikt. 108. In dit verband wijst het Europees Parlement het Hof op het belang van de toelichting op het voorstel van de Commissie van 18 juli 2013 voor een besluit van de Raad betreffende de sluiting van de overeenkomst72 en met name de vijfde alinea die als volgt luidt [onderstreping door ons]: De EU-wetgeving inzake gegevensbescherming staat niet toe dat Europese en andere luchtvaartmaatschappijen die vanuit de EU vliegen, de PNR-gegevens van hun passagiers doorgeven aan derde landen waar het niveau van bescherming van persoonsgegevens ontoereikend is, zonder dat passende waarborgen worden gegeven. Er is een regeling nodig die een rechtsgrondslag vormt voor de doorgifte van PNR-gegevens vanuit de EU aan Canada, waarbij de noodzaak en het belang worden erkend van het gebruik van PNR-gegevens bij de bestrijding van terrorisme en andere zware grensoverschrijdende criminaliteit en tegelijkertijd rechtszekerheid wordt geboden aan de luchtvaartmaatschappijen. Om de rechtszekerheid voor de luchtvaartmaatschappijen en de eerbiediging van het recht van individuele burgers op bescherming van hun persoonsgegevens en hun fysieke veiligheid te waarborgen, moet deze regeling bovendien voor de gehele Europese Unie zonder onderscheid gelden. 109. Deze passage illustreert het feit dat de beoogde overeenkomst een "oplossing" biedt voor een bepaald "probleem" dat een gevolg is van de "EU-wetgeving inzake gegevensbescherming". 110. De voorgestelde "oplossing" bestaat uit een soort "passendverklaring" – hoewel deze is opgenomen in een overeenkomst – die vaststelt dat het derde land passende garanties biedt en "de rechtsgrondslag vormt voor de doorgifte van PNR-gegevens vanuit
de
EU
aan
Canada",
overeenkomstig
de
EU-wetgeving
inzake
gegevensbescherming. 111. Deze benadering is niets nieuws gezien het feit dat dezelfde benadering gevolgd is in 2005-2006 toen de Europese Gemeenschap een overeenkomst gesloten heeft met
71
72
De genoemde mededeling van de Commissie verwijst nog naar andere redenen zoals "de behoefte aan rechtszekerheid en aan eenvormige verplichtingen voor de luchtvaartmaatschappijen", de "vaststelling van algemene voorwaarden met het oog op de samenhang en de verdere ontwikkeling van een internationale aanpak" en het "bijdragen tot een groter gemak voor de reizigers". COM(2013) 528 final.
33 de regering van Canada die ten doel had "te waarborgen dat bij de verstrekking van API/PNR-gegevens van personen op relevante vluchten de fundamentele rechten en vrijheden, met name het recht op privacy, ten volle worden geëerbiedigd" [onderstreping door ons]. In lijn met het voorgaande constateerde de Commissie, bij besluit 2006/253/EG van 6 september 200573, dat er sprake was van "passende bescherming van persoonsgegevens in het "Passenger Name Record"(PNR) van vliegtuigpassagiers die aan de "Canada Border Services Agency "worden doorgegeven". 112. De onderhavige beoogde overeenkomst moet de eerste "passendverklaring" van de Commissie uit 2006 vervangen die in september 2009 verstreken is. Het hoofddoel wordt nog steeds gevormd door de waarborging van "de bescherming van persoonsgegevens" door middel waarvan, indirect, "de veiligheid van het publiek" wordt gewaarborgd. 113. In deze bijzondere omstandigheden verzoekt het Parlement het Hof een van de doelen van de beoogde overeenkomst als hoofddoel te kwalificeren – dat wil zeggen "de waarborging van de bescherming van het privéleven en persoonsgegevens" – terwijl het andere doel slechts ondergeschikt is – dat wil zeggen "de waarborging van de veiligheid van het publiek". 114. Deze conclusie wordt ondersteund door de inhoud van de overeenkomst die hieronder nader wordt onderzocht. 3.
Inhoud van de overeenkomst
115. De dertig artikelen van de beoogde overeenkomst kunnen in drie categorieën ondergebracht worden, volgens de reeds in paragraaf 3.3 van de mededeling van de Commissie van 21 september 2010 "over de algemene aanpak van de doorgifte van passagiersgegevens (Passenger Name Record - PNR) aan derde landen"74, vermelde criteria, te weten 1) "bescherming van persoonsgegevens", 2) "praktische regeling van de doorgifte" en 3) "algemene begrippen"75. 116. Het is duidelijk dat de grote meerderheid van de artikelen van de beoogde overeenkomst
binnen
de
eerste
categorie
vallen,
"bescherming
van
persoonsgegevens". Het merendeel van de bepalingen van de beoogde 73 74 75
PB L 91 van 29.3.2006, blz. 49. COM(2010) 492 final. Zie respectievelijk de paragrafen 3.3.1, 3.3.2 en 3.3.3 van de mededeling van de Commissie.
34 overeenkomst kan worden gerangschikt volgens de "basisbeginselen voor de bescherming van persoonsgegevens die het aanvragende derde land in acht moet nemen" die in paragraaf 3.3.1 van de genoemde mededeling betreffende "de algemene aanpak" zijn vermeld:
Basisbeginselen voor de bescherming van
Het overeenkomstige artikel in de
persoonsgegevens vermeld in punt 3.3.1
beoogde overeenkomst tussen de Unie
van de mededeling van de Commissie
en Canada
betreffende de "algemene aanpak" Beperking van de doeleinden – gebruik van Artikel 3 "Gebruik van PNR-gegevens". de gegevens:
Artikel 15 "Beslissingen op basis van geautomatiseerde verwerking"
Beperking van de doeleinden – soort Artikel 2 "Definities", met name onder b), gegevens:
waarin verwezen wordt naar de elementen die in de bijlage bij de overeenkomst zijn vermeld. Artikel 4, lid 3 (wissing van gegevens die niet in de bijlage vermeld zijn).
Bijzondere categorieën persoonsgegevens Artikel
8
"Gebruik
van
gevoelige
(gevoelige gegevens):
gegevens".
Beveiliging van gegevens
Artikel 9 "Gegevensbeveiliging en integriteit" Artikel 17 "Vastlegging en protocollering van de verwerking van PNR-gegevens"
Toezicht en verantwoordingsplicht
Artikel 10 "Toezicht" Artikel 17 "Vastlegging en protocollering van de verwerking van PNR-gegevens"
Transparantie en kennisgeving
Artikel 11 "Transparantie"
Toegang, rectificatie en wissing
Artikel 12 "Toegang op verzoek van de betrokkene"
35 Artikel 13 "Correctie of annotatie op verzoek van de betrokkene" Rechtsmiddelen
Artikel
14
"Administratieve
en
gerechtelijke rechtsmiddelen" Geautomatiseerde individuele besluiten
Artikel 15 "Beslissingen op basis van geautomatiseerde verwerking"
Bewaringstermijn van de gegevens
Artikel 16 "Gebruik van PNR-gegevens".
Beperkingen op verdere doorgifte naar Artikel 18 "Vrijgave van gegevens binnen andere overheidsinstanties:
Canada"
Beperkingen op verdere doorgifte aan derde Artikel 19 "Vrijgave van gegevens buiten landen:
117.
Canada"
Wat betreft de derde categorie "Algemene begrippen", kunnen een bepaald aantal bepalingen van de overeenkomst – met name onder het kopje "Uitvoerings- en slotbepalingen" – geïdentificeerd worden die overeenkomen met de door de Commissie in haar mededeling vermelde criteria: • "Geldigheidsduur en herziening" = artikel 28 "Looptijd", artikel 27 "Beëindiging", • "Toezicht" = artikel 26 van de overeenkomst "Overleg, toetsing en wijziging", • "Beslechting van geschillen" = artikel 25 "Beslechting van geschillen en opschorting van de toepassing", • "Wederkerigheid" = artikel 23 van de overeenkomst "Wederkerigheid".
118.
Er blijven zeer weinig bepalingen in de overeenkomst over die kunnen worden ondergebracht in de tweede categorie "praktische regeling van de doorgifte", te weten de drie volgende bepalingen: • artikel 20 van de overeenkomst "Methode van doorgifte", • artikel 21 "Frequentie van de doorgifte" en • artikel 4, lid 2 (geen verplichting voor luchtvaartmaatschappijen om aanvullende gegevens te verzamelen) en lid 3 (PNR-gegevens kunnen via gemachtigde agenten worden doorgegeven).
119.
Opgemerkt dient te worden dat al deze bepalingen inzake de "praktische regeling van de doorgifte" de doorgifte betreffen door de luchtvaartmaatschappijen – d.w.z. particuliere ondernemingen – aan de Canadese autoriteiten, overeenkomstig de
36 toepasselijke Canadese wetgeving. Hier is in geen geval sprake van doorgifte van PNR-gegevens door Europese overheidsinstanties aan Canadese autoriteiten, noch van doorgifte van "relevante en passende analytische informatie met verkregen PNR-gegevens" door de Canadese autoriteiten aan Europese overheidsinstanties (wat het onderwerp is van artikel 6 van de overeenkomst). Op grond hiervan is het moeilijk te aanvaarden dat deze bepalingen (artikelen 20, 21, en 4, leden 2 en 3) vallen onder "justitiële en politiële samenwerking" in enge zin. 120.
Uit de vergelijking van de drie categorieën bepalingen blijkt dat de eerste categorie inzake bescherming van persoonsgegevens onbetwist de hoofdcomponent is terwijl de andere twee categorieën "praktische regeling van de doorgifte" en "algemene begrippen" slechts ondergeschikt zijn.
121.
Men kan de opvatting huldigen dat alle hierboven vermelde bepalingen in de categorie "bescherming van persoonsgegevens" uiteindelijk fungeren als motivering van de twee sleutelbepalingen van de beoogde overeenkomst in artikel 4, lid 1, en artikel 5 die als volgt luiden [onderstreping door ons]: Artikel 4, lid 1, "Verzekering dat PNR-gegevens verstrekt kunnen worden": "De Europese Unie draagt er zorg voor dat luchtvaartmaatschappijen er niet van worden weerhouden PNR-gegevens door te geven aan de Canadese bevoegde autoriteit conform deze overeenkomst". Artikel 5 "Passende bescherming": "Onder voorbehoud van de naleving van deze overeenkomst wordt de Canadese bevoegde autoriteit geacht ten aanzien van de verwerking en het gebruik van PNR-gegevens een passend beschermingsniveau te waarborgen in de zin van de relevante wetgeving van de Europese Unie inzake gegevensbescherming. Luchtvaartmaatschappijen die op grond van deze overeenkomst PNR-gegevens aan Canada verstrekken, worden geacht te voldoen aan de wettelijke vereisten van de Europese Unie voor de doorgifte van PNRgegevens van de Europese Unie naar Canada."
122.
Deze twee bepalingen vormen de hoeksteen van de beoogde overeenkomst aangezien zij de "regeling bieden die een rechtsgrondslag vormt voor de doorgifte van PNR-gegevens vanuit de EU aan Canada", overeenkomstig "het recht van de Europese Unie inzake gegevensbescherming", hetgeen waar de Commissie naar op zoek was76. Deze bepalingen, die eigenlijk met een "passendverklaring" overeenkomen, zouden zelfs kunnen worden gekwalificeerd als een conditio sine qua non voor de sluiting van onderhavige overeenkomst.
76
Zie de toelichting bij het voorstel van de Commissie van 18 juli 2013 voor een besluit van de Raad betreffende de sluiting van de overeenkomst, COM(2013) 528 final.
37 123.
Daarentegen is artikel 6, "Politiële en justitiële samenwerking"77, van ondergeschikt belang in vergelijking met de artikelen 4 en 5. Deze bepaling kan slechts toegepast worden als de met een "passendverklaring" vergelijkbare bepalingen van de artikelen 4 en 5 reeds worden toegepast. Artikel 6 bepaalt namelijk dat Canada "relevante en passende analytische informatie verstrekt met op grond van deze overeenkomst verkregen PNR-gegevens" aan Europol, Eurojust, of de politiële of justitiële autoriteiten van een lidstaat van de Europese Unie. Het spreekt voor zich dat Canada dergelijke informatie niet kan verstrekken zonder vooraf PNR-gegevens van de luchtvaartmaatschappijen te hebben ontvangen. De luchtvaartmaatschappijen hebben echter een passendverklaring nodig voordat zij de PNR-gegevens aan Canada kunnen doorgeven. De uitvoering van de "politiële en justitiële samenwerking" in de zin van artikel 6 is dus onvermijdelijk ondergeschikt aan de toepassing van de in de artikelen 4 en 5 van de overeenkomst opgenomen "passendverklaring".
124.
Hieraan moet toegevoegd worden dat op grond van artikel 6 van de overeenkomst Canada erop moet toezien dat deze informatie wordt verstrekt "conform de overeenkomsten en de regelingen inzake rechtshandhaving of informatieuitwisseling die Canada met Europol, Eurojust of de desbetreffende lidstaat heeft gesloten". Artikel 6 van onderhavige overeenkomst bevat geen regels voor de informatie-uitwisseling tussen de betreffende autoriteiten en verwijst slechts naar andere internationale overeenkomsten op dat gebied. Er is dus sprake van ondergeschikte bepalingen die afhankelijk zijn van de uitvoering van andere internationale overeenkomsten met Canada.
77
Artikel 6 "Politiële en justitiële samenwerking" bepaalt: "1. Zodra dat praktisch mogelijk is, verstrekt Canada relevante en passende analytische informatie met op grond van deze overeenkomst verkregen PNR-gegevens aan Europol, Eurojust, binnen de grenzen van hun respectieve mandaat, of de politiële of justitiële autoriteiten van een lidstaat van de Europese Unie. Canada ziet erop toe dat deze informatie wordt verstrekt conform de overeenkomsten en de regelingen inzake rechtshandhaving of informatie-uitwisseling die Canada met Europol, Eurojust of de desbetreffende lidstaat heeft gesloten. 2. Op verzoek van Europol of Eurojust, binnen de grenzen van hun respectieve mandaat, of van een politiële of justitiële autoriteit van een lidstaat van de Europese Unie, verstrekt Canada PNRgegevens of analytische informatie met op grond van deze overeenkomst verkregen PNR-gegevens wanneer dat in een specifieke zaak noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen binnen de Europese Unie van een terroristisch misdrijf of een ernstig grensoverschrijdend misdrijf. Canada stelt deze informatie beschikbaar conform de overeenkomsten en de regelingen inzake rechtshandhaving, justitiële samenwerking of informatie-uitwisseling die Canada met Europol, Eurojust of de desbetreffende lidstaat heeft gesloten".
38 4. 125.
Tussentijdse conclusie
In het licht van het voorgaande onderzoek van het onderwerp en de inhoud van de overeenkomst,
kan
weliswaar
geconcludeerd
worden
dat
de
beoogde
overeenkomst een tweeledig doel nastreeft en drie componenten bevat, maar dat een van deze doelen en componenten duidelijk als hoofddoel en hoofdcomponent gekwalificeerd moet worden terwijl het andere doel en de andere componenten slechts ondergeschikt zijn. 126.
Het is duidelijk dat het hoofddoel van de overeenkomst bestaat uit de vaststelling van een soort "passendverklaring" die de luchtvaartmaatschappijen in staat stelt PNR-gegevens aan Canada te verstrekken overeenkomstig het recht van de Unie op het gebied van gegevensbescherming.
127.
Voorts wordt de hoofdcomponent van de overeenkomst gevormd door talrijke bepalingen
die
beogen
de
vaststelling
te
motiveren
van
een
soort
"passendverklaring" overeenkomstig het recht van de Unie op het gebied van gegevensbescherming. 5. 128.
Andere relevante overwegingen
Het Europees Parlement wenst, subsidiair, het Hof te wijzen op andere relevante overwegingen, gezien het belang van de vraag en het feit dat er sprake is van nieuwe aspecten die voor het eerst sinds de inwerkingtreding van het Verdrag van Lissabon, aan de orde komen. a.
De door het Verdrag van Lissabon totstandgebrachte nieuwe structuur van het Verdrag betreffende de werking van de Europese Unie – algemeen toepasselijke bepalingen inzake de bescherming van persoonsgegevens
129.
In verband met de eventuele keuze voor artikel 16 VWEU als rechtsgrondslag, moet worden opgemerkt dat deze bepaling in het eerste deel, titel II "Algemeen toepasselijke bepalingen" van het Verdrag betreffende de werking van de Europese Unie, is opgenomen.
39 130.
Artikel 16 VWEU maakt het derhalve mogelijk op alle toepassingsgebieden van het Unierecht wetgeving vast te stellen betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.78
131.
Het is duidelijk dat artikel 16 VWEU samenhangt met de in de artikelen 7 en 8 van het Handvest erkende grondrechten, in de zin van artikel 52, lid 2, van het Handvest.
132.
De wetgeving die vastgesteld is op grond van artikel 16 VWEU is van toepassing op al het beleid en intern optreden van de Unie, zoals vermeld in het derde deel van het Verdrag betreffende de werking van de Europese Unie. Dit houdt in dat titel V, "De ruimte van vrijheid, veiligheid en recht" – met inbegrip van hoofdstuk 4 "Justitiële samenwerking in strafzaken" en hoofdstuk 5 "Politiële samenwerking" – wordt bestreken door de aan te nemen wetgeving op grond van artikel 16 VWEU.
133.
Op zich betekent dit een fundamentele wijziging van het rechtskader dat van toepassing is op de bescherming van persoonsgegevens op Europees niveau, in vergelijking met de juridische situatie voor de inwerkingtreding van het Verdrag van Lissabon.
134.
De beperkingen die voor de inwerkingtreding van het Verdrag van Lissabon golden ten aanzien van de toepasselijkheid van de wetgeving vastgesteld op grond van het vroegere artikel 95, lid 1,tweede volzin, EG, die de activiteiten vermeld in de titels V en VI van de oude versie van het Verdrag betreffende de Europese Unie inzake "openbare veiligheid" van zijn toepassingsgebied uitsloot, zijn derhalve niet meer van toepassing. Gezien het bovenstaande betreft de onderhavige zaak een geheel nieuwe juridische situatie. De rechtspraak inzake de sluiting – voor de inwerkingtreding van het Verdrag van Lissabon – van een andere overeenkomst met een ander derde land (namelijk de overeenkomst gesloten in 2004 tussen de Europese Gemeenschappen en de Verenigde Staten van Amerika inzake de verwerking en overdracht van PNR-gegevens) is dus niet rechtstreeks over te zetten naar de huidige situatie79.
78
79
Onverminderd de specifieke bepalingen op grond van artikel 39 VEU in het kader van het gemeenschappelijk buitenlands en veiligheidsbeleid. Arrest van het Hof (Grote kamer) van 30 mei 2006, Europees Parlement/Raad van de Europese Unie (C-317/04) en Commissie van de Europese Gemeenschappen (C-318/04), EU:C:2006:346, punten 54 t/m 61.
40 135.
Gezien het momenteel geldende Unierecht is de verwerking van persoonsgegevens in een door de overheid ingesteld kader dat betrekking heeft op de openbare veiligheid, niet uitgesloten van de toepassing van artikel 16 VWEU. Dit is bevestigd in Verklaring nr. 21 betreffende de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en op het gebied van politiële samenwerking80.
136.
Hoewel genoemde Verklaring nr. 21 de mogelijkheid erkent op grond van artikel 16 VWEU "specifieke regels" vast te stellen inzake de bescherming van persoonsgegevens op de gebieden justitiële samenwerking in strafzaken en politiële samenwerking, betreft het altijd "algemeen toepasselijke" bepalingen, in de zin van titel II van het eerste deel van het VWEU.
137.
Het is in het door het Verdrag van Lissabon ingevoerde stelsel niet mogelijk regels inzake bescherming van persoonsgegevens vast te stellen ten aanzien van ieder intern beleid of optreden van de Unie dat is vermeld in het derde deel van het VWEU. Titel V "De ruimte van vrijheid, veiligheid en recht" – met inbegrip van hoofdstuk 4 "Justitiële samenwerking in strafzaken" en hoofdstuk 5 "Politiële samenwerking" – bevat geen specifieke bepaling met betrekking tot de vaststelling van regels inzake bescherming van persoonsgegevens.
138.
De vaststelling, op basis van de artikelen 82 en 87 VWEU, van bepalingen met betrekking tot de bescherming van persoonsgegevens, lijkt in strijd met het stelsel van algemene toepasselijke bepalingen op grond van artikel 16 VWEU. Dit zou leiden tot een versnippering van het recht van de Unie betreffende de bescherming van persoonsgegevens en zou de totstandkoming van een eenvormig stelsel op basis van artikel 16 VWEU belemmeren. b.
139.
Oud artikel 30, lid 1, onder b), VEU en artikel 87, VWEU
Tegen deze achtergrond moet erop worden gewezen dat de tekst van artikel 87 VWEU verschilt van zijn voorganger, oud artikel 30, lid 1, onder b), VEU, met betrekking tot een aspect inzake bescherming van persoonsgegevens, nu bestreken door artikel 16 VWEU.
80
Gehecht aan de Slotakte van de Intergouvernementele Conferentie die het Verdrag van Lissabon heeft aangenomen op 13.12.2007.
41 140.
Oud artikel 30, lid 1, punt b, VEU bepaalt81 (wij hebben de woorden vetgedrukt die door het Verdrag van Lissabon geschrapt zijn): "1. Gezamenlijk optreden op het gebied van politiële samenwerking omvat: [...] b) de verzameling, opslag, verwerking, analyse en uitwisseling van relevante informatie, met inbegrip van informatie over meldingen van verdachte financiële transacties waarover instanties belast met wetshandhaving beschikken, met name via Europol, onder voorbehoud van passende bepalingen inzake de bescherming van persoonsgegevens […]".
141.
De schrapping van de woorden "onder voorbehoud van passende bepalingen inzake de bescherming van persoonsgegevens", die geen deel meer uitmaken van de tekst van artikel 87, lid 2, onder a), VWEU82 is zonder twijfel een gevolg van de totstandkoming van het nieuwe artikel 16 VWEU op grond van het Verdrag van Lissabon, dat nu op al het in het derde deel van het VEU vermelde beleid en optreden van toepassing is.
142.
De inwerkingtreding van het Verdrag van Lissabon heeft de rechtsgrondslag voor de aanneming van wetgeving betreffende bescherming van persoonsgegevens op het gebied van politiële samenwerking dus geheel veranderd.
143.
Ter illustratie wordt erop gewezen dat Kaderbesluit 2008/977/JBZ van de Raad van 27 november 2008 – vastgesteld voor de inwerkingtreding van het Verdrag van Lissabon – over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken, gebaseerd was op de artikelen 30, 31 en 34, van de oude, destijds geldende versie van het VEU83. Daarentegen is het huidige voorstel van de Commissie dat dit kaderbesluit moet vervangen uitsluitend gebaseerd op artikel 16 VWEU en niet op artikel 87 VWEU, de opvolger van oud artikel 30 VEU84.
81
82
83 84
Zie de geconsolideerde versie van het Verdrag betreffende de Europese Unie gepubliceerd in PB C 321 E van 29.12.2006. Dat slechts melding maakt van "de verzameling, opslag, verwerking, analyse en uitwisseling van relevante informatie". PB L 350 van 30.12.2008, blz. 60. Voorstel voor een richtlijn betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens. COM(2012) 10 final. 2012/0010 (COD).
42 c.
Hervorming van de Europese wetgeving inzake bescherming van persoonsgegevens – passendverklaringen op strafrechtelijk gebied in de ontwerprichtlijn
144.
Er wordt aan herinnerd dat de hervorming van de Europese wetgeving inzake bescherming van persoonsgegevens, die uitsluitend gebaseerd is op artikel 16 VWEU, twee delen omvat: enerzijds, een voorstel voor een algemene verordening betreffende gegevensbescherming85 en anderzijds een voorstel voor een richtlijn betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens86.
145.
Opgemerkt dient te worden dat dit tweede deel, de ontwerprichtlijn betreffende de verwerking van gegevens op strafrechtelijk gebied, voorziet in specifieke bepalingen die de vaststelling mogelijk maken door de Commissie van passendverklaringen op strafrechtelijk gebied, wat momenteel uitgesloten is van het toepassingsgebied van de richtlijn 95/46.
146.
Op grond van het eerste lid van artikel 34, in hoofdstuk V "Doorgifte van persoonsgegevens naar derde landen of internationale organisaties", van de ontwerprichtlijn van de Commissie is het mogelijk dat persoonsgegevens naar een derde land doorgegeven worden: "wanneer de Commissie overeenkomstig artikel 41 van Verordening (EU) ..../2012 of overeenkomstig lid 3 van dit artikel heeft besloten dat het betrokken derde land, of een gebied of een verwerkingssector in dat derde land, of de betrokken internationale organisatie een passend beschermingsniveau waarborgt. Voor een dergelijke doorgifte is geen verdere toestemming nodig" [onderstreping door ons].
147.
Vervolgens bepaalt het derde lid van genoemd artikel 34 van de ontwerprichtlijn dat: "De Commissie kan binnen de werkingssfeer van deze richtlijn bij besluit vaststellen dat een derde land, of een gebied of een verwerkingssector in dat derde land, of een internationale organisatie een passend beschermingsniveau in de zin van lid 2 waarborgt. Die uitvoeringshandelingen worden vastgesteld
85 86
COM(2012) 11 final. 2012/0011 (COD). COM(2012) 10 final. 2012/0010 (COD).
43 volgens de in artikel 57, lid 2, bedoelde onderzoeksprocedure" [dat verwijst naar artikel 5 van de Verordening (EU) nr. 182/2011] [onderstreping door ons]. 148.
Het Europees Parlement keurt met zijn standpunt dat zij in eerste lezing van 12 maart 2014 87, overeenkomstig artikel 294, lid 3, VWEU, heeft vastgesteld over de ontwerprichtlijn, onder voorbehoud van bepaalde voorgestelde amendementen van het Parlement zelf88, deze nieuwe bevoegdheid van de Commissie goed om besluiten te treffen waarbij het beschermingsniveau passend wordt verklaard, overeenkomstig artikel 34 van de ontwerprichtlijn zoals door de Commissie is voorgesteld.
149.
Zodoende heeft zowel de Commissie als het Europees Parlement formeel zijn standpunt bepaald ten aanzien van het scheppen van een bevoegdheid voor de Commissie om besluiten te treffen waarbij het beschermingsniveau passend wordt verklaard, binnen de door de Europese wetgeving gestelde grenzen, op hetzelfde gebied van de openbare veiligheid dat momenteel door de beoogde overeenkomst wordt bestreken.
150.
Voordat dit nieuwe stelsel in werking treedt moet de Raad alleen nog hetzij het standpunt van het Europees Parlement goedkeuren overeenkomstig artikel 294, lid 4, VWEU, hetzij zijn standpunt in eerste lezing vaststellen ingevolge artikel 294, lid 5, VWEU waarna de wetgevingsprocedure kan worden voortgezet. In verband hiermee wordt erop gewezen dat de Europese Raad tijdens zijn bijeenkomst van 24 en 25 oktober 2013, verklaard heeft dat het nieuwe rechtskader voor de bescherming van persoonsgegevens "tegen 2015"89 tot stand moet zijn gekomen. Meer recentelijk heeft het nieuwe Letse voorzitterschap verklaard dat de hervorming van de wetgeving op het gebied van de bescherming van persoonsgegevens een prioriteit is90 en de Raad in maart 2015 met een "algemene oriëntatie" over het ontwerp voor algemene verordening moet komen en in juni
87 88
89
90
P7_TA(2014)0219. Het Europees Parlement heeft een bepaald aantal amendementen (zie de amendementen 96 en 97) voorgesteld ten aanzien van de precieze tekst van de artikelen 33 en 34 van de ontwerprichtlijn, zonder evenwel afbreuk te doen aan het voorgestelde stelsel in zijn algemeenheid. Punt 8 van de conclusies van de Europese Raad van 24-25 oktober 2013 bepaalt: "Het is belangrijk om het vertrouwen van de burger en het bedrijfsleven in de digitale economie te bevorderen. De spoedige vaststelling van een sterk uniaal algemeen gegevensbeschermingskader alsook van de richtlijn cyberveiligheid is van doorslaggevend belang om de digitale eengemaakte markt in 2015 te kunnen voltooien". Zie het programma van het Letse voorzitterschap: https://eu2015.lv/images/PRES_prog_2015_ENfinal.pdf
44 2015 over de ontwerprichtlijn91. Volgens deze publieke verklaring is de vaststelling door de Europese wetgever van het nieuwe rechtskader voor de bescherming van persoonsgegevens in de nabije toekomst te verwachten. 151.
Tegen deze achtergrond moet worden benadrukt dat met de ontwerprichtlijn – zoals in eerste lezing door het Parlement goedgekeurd – een regeling wordt ingevoerd die op basis van een geheel andere rechtsgrondslag de doorgifte van PNR-regels naar Canada mogelijk maakt. Op grond van de op artikel 16 VWEU gebaseerde ontwerprichtlijn zal de Commissie, in voorkomend geval, bevoegd zijn een passendverklaring vast te stellen die de juridische basis legt voor de doorgifte door luchtvaartmaatschappijen van PNR-gegevens aan de Canadese autoriteiten, overeenkomstig de wetgeving van de Unie inzake gegevensbescherming.
152.
In de ontwerprichtlijn is derhalve voor een geheel andere "oplossing" gekozen dan in de beoogde overeenkomst. In plaats van te onderhandelen met een derde land over een internationale overeenkomst, op grond van artikel 218 VWUE, zal de Commissie bevoegd zijn om – eenzijdig–, overeenkomstig de op grond van artikel 16 VWUE vastgestelde wetgeving van de Europese wetgever, een maatregel vast te stellen die aan de toetsing van het Hof zal zijn onderworpen, overeenkomstig de toepasselijke bepalingen van het Verdrag betreffende de werking van de Europese Unie, alsook van het Handvest.
153.
In dit stadium zou sluiting van de beoogde overeenkomst ongetwijfeld negatieve consequenties hebben voor de toepassing van het nieuwe rechtskader van de Europese wetgeving op het gebied van de bescherming van persoonsgegevens, en met name voor de ontwerprichtlijn. Een dergelijke internationale overeenkomst zou voorrang kunnen hebben op de naderhand vastgestelde wetgeving, waardoor de juridische gevolgen van die wetgeving beperkt zouden zijn.
154.
Gezien het feit dat de beoogde overeenkomst gedurende een hernieuwbare termijn van zeven jaar van kracht zou zijn – zie artikel 28 "Looptijd" – zou er voor een lange periode sprake zijn van een overlapping tussen enerzijds het systeem van internationaal recht volgens de beoogde overeenkomst van de Raad en de Commissie en anderzijds het in de ontwerprichtlijn van de Commissie
91
Zie het persbericht van Agence Europe van 6 januari 2015: "Het Letse voorzitterschap heeft voor de eerste zes maanden van het jaar, waarin hij de leiding heeft van de Raad van de EU, zijn prioriteiten voor justitie en binnenlandse zaken uiteengezet". http://www.eprs.sso.ep.parl.union.eu/lis/site/newsContent.form?src=3&agId=14&id=39720#tag6
45 voorgestelde systeem van Europese wetgeving, zoals die door het Europees Parlement in eerste lezing goedgekeurd is, en wel ten nadele van het laatstgenoemde systeem. d.
In het Unierecht afwezige verplichting tot doorgifte van PNR-gegevens aan politiële autoriteiten
155.
Benadrukt moet worden dat de beoogde overeenkomst er niet toe strekt in het Unierecht een verplichting voor de luchtvaartmaatschappijen in te voeren om de PNR-gegevens aan politiële autoriteiten, de Europese autoriteiten, evenmin als de Canadese autoriteiten door te geven.
156.
Bij de huidige stand van het Unierecht bestaat er geen Europese wetgeving die luchtvaartmaatschappijen verplicht hun PNR-gegevens, die zij oorspronkelijk enkel voor commerciële doeleinden hadden verzameld, aan de nationale autoriteiten van een lidstaat door te geven, en wel voor andere doeleinden dan waarvoor zij waren bedoeld, namelijk met het oog op de openbare veiligheid of overheidsoptreden in het kader van het strafrecht. De beoogde overeenkomst bevat bovendien geen enkele bepaling die in het rechtsstelsel van de Unie een nieuwe verplichting in het leven roept voor de luchtvaartmaatschappijen om PNRgegevens aan Europese of Canadese autoriteiten door te geven.
157.
Artikel 4 van de overeenkomst bepaalt slechts: "1. De Europese Unie draagt er zorg voor dat luchtvaartmaatschappijen er niet van worden weerhouden PNR-gegevens door te geven aan de Canadese bevoegde autoriteit conform deze overeenkomst".
158.
De enige juridische verplichting voor de luchtvaartmaatschappijen tot doorgifte van PNR-gegevens aan de Canadese autoriteiten vloeit voort uit de Canadese wetgeving92. In dit opzicht is er derhalve geen enkele verplichting aan te wijzen op grond van het Unierecht.
159.
De beoogde overeenkomst bevat, wat betreft het recht van de Unie, slechts bepalingen die vergelijkbaar zijn met een "passendverklaring" en die de doorgifte mogelijk maken overeenkomstig de Europese wetgeving op het gebied van gegevensbescherming. Anders gezegd is deze met een "passendverklaring" te
92
Zie de eerste alinea van de toelichting op het voorstel van de Commissie van 18 juli 2013, voor een besluit van de Raad betreffende de sluiting van de overeenkomst tussen Canada en de Europese Unie, (COM(2013) 528 final. 2013/0250 (NLE)).
46 vergelijken maatregel erop gericht te voorkomen dat de Unie de doorgifte van persoonsgegevens "belemmert". 160.
Deze juridische situatie houdt in dat de overeenkomst uitsluitend betrekking heeft op de toepassing van de Europese wetgeving op het gebied van de bescherming van persoonsgegevens.
161.
Gezien het feit dat er geen verplichting in het stelsel van het Unierecht wordt gecreëerd inzake de doorgifte naar de Europese of Canadese autoriteiten op Europees strafrechtelijk gebied, los van de verplichting die de Canadese wetgeving kent inzake doorgifte naar Canadese autoriteiten, is het nog moeilijker de keuze te motiveren voor de artikelen 82 en 87 VWEU als rechtsgrondslag93. De beoogde overeenkomst is er niet op gericht (nieuwe) regels in te voeren op het gebied van (Europese) politiële samenwerking, maar beperkt zich ertoe te voorkomen dat de actuele Europese wetgeving inzake gegevensbescherming een obstakel vormt voor de uitvoering van de Canadese wetgeving inzake openbare veiligheid. e.
Protocol nr. 21 betreffende het Verenigd Koninkrijk en Ierland en protocol nr. 22 betreffende Denemarken
162.
De door de Commissie en de Raad voorgestelde rechtsgrondslag – artikel 82, lid 1, onder d) en artikel 87, lid 2, onder a) VWUE – heeft de toepasselijkheid tot gevolg van Protocol nr.21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht alsook de toepasselijkheid van Protocol nr.22 betreffende de positie van Denemarken, als bijlagen bijgevoegd bij het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie94.
93
94
In punt 157 van zijn Conclusie van 22 november 2005 in de gevoegde zaken Europees Parlement/Raad van de Europese Unie (C-317/04) en Commissie van de Europese Gemeenschappen (C-318/04), EU:C:2005:710, stelt advocaat-generaal Léger de vraag wat de passende rechtsgrondslag van het onderhavige besluit van de Raad zou moeten zijn, hoewel hij opmerkt dat het Hof deze "delicate vraag" niet hoeft te beantwoorden. Hij heeft derhalve slechts enkele opmerkingen geformuleerd over dit probleem en, meer in het algemeen, in punt 160 van zijn conclusie opgemerkt [onderstreping door ons]: "Bovendien komt het mij voor dat het feit dat een rechtspersoon wordt verplicht een dergelijke verwerking van gegevens uit te voeren en deze door te geven niet fundamenteel verschilt van een rechtstreekse uitwisseling van gegevens tussen overheidsinstanties.(76) Het gaat om de verplichte mededeling van gegevens ten behoeve van veiligheids‑ en strafvervolgingsdoeleinden, niet om de specifieke wijze waarop dit in een bepaalde situatie dient te geschieden. De onderhavige zaak betreft in feite een nieuwe problematiek, verband houdend met het gebruik van commerciële gegevens ten behoeve van strafvervolgingsdoeleinden". Zie de vijfde overweging van het ontwerpbesluit van de Raad betreffende de sluiting van de beoogde overeenkomst: "Overeenkomstig artikel 3 van het aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie gehechte Protocol nr. 21 betreffende de
47 163.
De artikelen 1 tot en met 6 van het Protocol nr. 21 en deel I (artikel 1 tot en met 4) van Protocol nr. 22 zijn van toepassing op de aanneming door de Raad van de voorgestelde maatregelen op basis van het "derde deel, titel V" van het Verdrag betreffende de werking van de Europese Unie.
164.
Daarentegen zijn deze bepalingen van de protocollen nr. 21 en 22 niet van toepassing indien ervan uitgegaan wordt dat artikel 16 VWEU de passende rechtsgrondslag is voor de vaststelling van het ontwerpbesluit van de Raad betreffende de sluiting van de beoogde overeenkomst.
165.
Artikel 16 VWEU is opgenomen in het eerste deel, titel II, "Algemeen toepasselijke bepalingen", van het Verdrag betreffende de werking van de Europese Unie.
166.
Protocol nr. 21 bevat in artikel 6 bis, een bijzondere bepaling wat betreft de "op grond van artikel 16 van het Verdrag betreffende de werking van de Europese Unie vastgestelde regels" die betrekking hebben op de verwerking van persoonsgegevens door de lidstaten bij de uitoefening van activiteiten die binnen het toepassingsgebied van "deel III, titel V, hoofdstuk 4 of 5" VWEU vallen. De eventuele toepassing van deze regel is uitsluitend afhankelijk van een objectieve factor95 die eruit bestaat of het Verenigd Koninkrijk en Ierland: "gebonden zijn door de regels van de Unie betreffende de vormen van justitiële samenwerking in strafzaken of van politiële samenwerking in het kader waarvan de op grond van artikel 16 vastgestelde bepalingen moeten worden nageleefd".
167. Wat betreft Protocol nr. 22 bepaalt artikel 2 bis dat artikel 296 van dit Protocol tevens van toepassing is op de op grond van artikel 16 VWEU vastgestelde regels
95
96
positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, nemen het Verenigd Koninkrijk en Ierland deel aan de vaststelling van dit besluit". "Overeenkomstig de artikelen 1 en 2 van het aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie gehechte Protocol nr. 22 betreffende de positie van Denemarken, neemt Denemarken niet deel aan de aanneming van dit besluit, en is de overeenkomst derhalve niet bindend voor, noch van toepassing in Denemarken". Deze bijzondere regel in artikel 6 bis van het Protocol nr. 21 bevat geen enkele verwijzing naar de keuzemogelijkheid in de artikelen 3 en 4 van genoemd protocol die het Verenigd Koninkrijk en Ierland de mogelijkheid geven kennis te geven van hun wens deel te nemen aan de aanneming en toepassing van een voorgestelde maatregel. Dit is logisch daar deze lidstaten in elk geval zullen deelnemen aan de aanneming van elke voorgestelde maatregel op grond van artikel 16 VWEU, van het eerste deel van het VWEU, op het gebied van de bescherming van persoonsgegevens, hoewel de toepassing van dergelijke regels afhankelijk zijn naargelang de bepalingen die in artikel 6 bis van het Protocol nr. 21 zijn opgenomen. Artikel 2 van het Protocol nr. 22 betreft de niet-toepassing van de vastgestelde maatregelen op Denemarken. Het is evenwel artikel 1 dat de deelname van Denemarken betreft aan de aanneming door de Raad van maatregelen die "overeenkomstig deel III, titel V van het Verdrag betreffende de werking van de Europese Unie" zijn voorgesteld. Gezien het feit dat artikel 2 bis geen verwijzing
48 die betrekking hebben op de verwerking van persoonsgegevens door de lidstaten bij de uitoefening van activiteiten die binnen het toepassingsgebied van "deel III, titel V, hoofdstuk 4 of 5", van dat Verdrag vallen. 168. Volgens de rechtspraak97 hebben de gevolgen die een Uniehandeling kan hebben voor de al dan niet toepasselijkheid van Protocol nr. 21 en Protocol nr. 22 geen invloed op de rechtmatigheid van de keuze van de rechtsgrondslag van die handeling. Het is de keuze van de rechtsgrondslag die de toepasselijkheid van een protocol bepaalt en niet van het tegendeel. 169. Dientengevolge bepaalt de keuze van de passende rechtsgrondslag voor de aanneming van het ontwerpbesluit van de Raad betreffende de sluiting van de beoogde overeenkomst98, de wettigheid van de huidige tekst van het ontwerpbesluit van de Raad betreffende de sluiting van de beoogde overeenkomst, alsook van de beoogde overeenkomst en met name artikel 29 daarvan, onder het kopje "Territoriale toepassing"99.
97
98 99
bevat naar artikel 2, zonder naar het eerste artikel te verwijzen, is het niet uitgesloten dat Denemarken deelneemt aan de aanneming van maatregelen die op grond van het eerste deel van het Verdrag betreffende de werking van de Europese Unie voorgesteld zijn, met inbegrip van de maatregelen op basis van artikel 16 VWEU betreffende de gegevensbescherming. Arrest van 27 februari 2014 in de zaak C-656/11, Verenigd Koninkrijk/Raad , EU:C:2014:97, punt 49. Zie met name de overwegingen 5 en 6. Zie artikel 29, lid 2: "Deze overeenkomst is slechts van toepassing op het grondgebied van Denemarken, het Verenigd Koninkrijk of Ierland indien de Europese Unie Canada via de Europese Commissie daarvan in kennis stelt".
49 V.
CONCLUSIES
170. In het licht van het voorgaande verzoekt het Europees Parlement het Hof eerbiedig om zijn advies over de verenigbaarheid van de beoogde overeenkomst met de Verdragen en met name over volgende vragen: "Is de beoogde overeenkomst verenigbaar met de verdragsbepalingen (artikel 16 VWEU) en het Handvest van de grondrechten van de Europese Unie (artikelen 7, 8 en 52, lid 1) waar het gaat om het recht van natuurlijke personen op bescherming van hun persoonsgegevens?" "Vormen artikel 82, lid 1, punt d), en artikel 87, lid 2, punt a), VWEU de juiste rechtsgrondslag voor de handeling van de Raad houdende sluiting van de beoogde overeenkomst, of moet die handeling worden gebaseerd op artikel 16 VWEU?"
Freddy Drexler
Antonio Caiola Gemachtigden van het Parlement
Dominique Moore
50 LIJST VAN BIJLAGEN Bijlage 1
Schrijven van 7 juli 2014, ingeschreven bij de officiële post van het Europees Parlement op 8 juli 2014, waarbij de Raad het Parlement gevraagd heeft om diens goedkeuring van het ontwerpbesluit betreffende de sluiting van de overeenkomst tussen Canada en de Europese Unie inzake de doorgifte en verwerking van gegevens uit het Passenger Name Record (1 bladzijde, genoemd in punten 1 en 29):
Bijlage 2
Ontwerpbesluit ("12652/13") van de Raad betreffende de sluiting van de overeenkomst tussen Canada en de Europese Unie inzake de doorgifte en verwerking van gegevens uit het Passenger Name Record, als bijlage bij het schrijven van de Raad op 7 juli 2014 voor goedkeuring aan het Europees Parlement verzonden (5 bladzijden, genoemd in punten 1 en 29).
Bijlage 3
Beoogde overeenkomst ("12657/13 rev") tussen Canada en de Europese Unie inzake de doorgifte en verwerking van gegevens uit het Passenger Name Record, als bijlage bij het schrijven van de Raad op 7 juli 2014 dat voor goedkeuring aan het Europees Parlement verzonden (42 bladzijden, genoemd in punten 1 en 29).
Bijlage 4
Resolutie aangenomen op 25 november 2014 door het Europees Parlement over het inwinnen van het advies van het Hof van Justitie (3 bladzijden, genoemd in punten 32 en 46).
