Soudní dvůr EU nedávno rozhodoval o zásazích do soukromí, které představuje právní úprava tzv. jmenné evidence cestujících v letecké dopravě. Rozsudkem z 21. června 2022 Soudní dvůr rozhodl o omezeních, která v této oblasti vyplývají z práva EU pro vnitrostátní předpisy členských států EU. Konkrétně dle Soudního dvora zejména platí, že využití údajů jmenné evidence cestujících je možné pouze pro prevenci, odhalování, vyšetřování a stíhání teroristických a dalších závažných trestných činů. Kromě toho mohou národní právní předpisy uložit povinnost zpracovávat údaje jmenné evidence cestujících letů uvnitř EU, pouze pokud členský stát čelí „skutečné a aktuální či předvídatelné hrozbě terorismu“. V jiných případech takto postupovat nelze, některé členské státy tak přesto učinily. Rozsudek se kromě letecké přepravy uplatní také při přepravě uvnitř EU jinými dopravními prostředky. Text je rozdělen do dvou částí. První část, zveřejněná v minulém čísle DSM, vymezila pojem „Jmenné evidence cestujících“ a popsala jeho vývoj, včetně dosavadních kontroverzí. Tato druhá a závěrečná část analyzuje aktuální rozhodnutí Soudního dvora a zejména závěry, které z něj vyplývají.
PNR Soudní dvůr EU jmenná evidence cestujících ochrana soukromí
Aktuální rozsudek Soudního dvora EU
Jak je uvedeno výše, řada členských států včetně ČR využila možnosti obsažené ve Směrnici PNR a rozhodla se využívat údaje jmenné evidence cestujících i v případě letů uvnitř EU. Tak tomu bylo i v případě Belgického království, které k provedení této směrnice a také Směrnice API do belgického práva přijalo zákon ze dne 25. prosince 2016 o zprcování osobních údajů o cestujících1 . V případě, v němž se neziskové sdružení Ligue des droits humains (Liga pro lidská práva) žalobou domáhalo úplného nebo částečného zrušení tohoto belgického zákona, se belgický ústavní soud obrátil na Soudní dvůr EU se souborem deseti předběžných otázek2 . Předběžné otázky se týkaly výkladu Obecného nařízení o ochraně osobních údajů, platnosti a výkladu Směrnice PNR a Směrnice API, resp. jejich slučitelnosti s Listinou základních práv Evropské unie.
Dle hodnocení autora belgický ústavní soud přesně identifikoval a velmi výstižně pojmenoval hlavní problémové aspekty Směrnice PNR a plošného a nerozlišujícího zpracování osobních údajů všech cestujících na jejím základě. Konkrétně se belgický ústavní soud předběžnými otázkami dotazoval mj. na slučitelnost systému plošného shromažďování, předávání a zpracovávání údajů o cestujících podle Směrnice PNR s Listinou základních práv EU, pokud se tento systém vztahuje na každou osobu, která použije dotčený dopravní prostředek, „bez ohledu na jakoukoli objektivní skutečnost, na jejímž základě lze mít za to, že tato osoba může představovat riziko pro veřejnou bezpečnost“. Dále se belgický ústavní soud také tázal, zda musejí být Směrnice PNR ve spojení s Listinou základních práv EU vykládány tak, že „brání takovým vnitrostátním právním předpisům, jako je napadený zákon“, které stanoví pětiletou dobu uchovávání všech údajů bez rozlišení, zda „při předběžném posuzování vyjde najevo, že dotčení cestující mohou či nemohou představovat riziko pro veřejnou bezpečnost“.
Generální advokát Soudního dvora EU dospěl ve svém stanovisku zpracovaném pro Soudní dvůr3 k jednoznačným závěrům a Soudnímu dvoru navrhl konkrétní odpovědi na položené předběžné otázky. Autor považuje za nejvýznamnější návrh odpovědi generálního advokáta, dle které by Soudní dvůr měl odpovědět tak, že uchovávání údajů PNR po dobu pěti let je po provedení předběžného posouzení povoleno, pouze „pokud se na základě objektivních kritérií zjistí, že existuje vztah mezi těmito údaji a bojem proti terorismu nebo závažné trestné činnosti“. Generální advokát považuje plošné a nerozlišující uchovávání údajů PNR v neanonymizované formě za odůvodněné „pouze v případech závažného ohrožení bezpečnosti členských států“; toto závažné ohrožení se přitom musí jevit „jako skutečné a aktuální či předvídatelné“. Jako příklad zde generální advokát uvádí ohrožení, které je spojeno s terorismem. To vše podle generálního advokáta navíc platí, pouze pokud „doba tohoto uchovávání nepřekročí meze toho, co je nezbytně nutné“.
Dle generálního advokáta také dle Směrnice PNR vnitrostátní právní úprava nemůže umožnit, aby zpravodajské a bezpečnostní služby zpracovávaly údaje PNR za jinými účely nežli prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti.
Soudní dvůr EU v rozsudku ze dne 21. června 20224 konstatoval, že Směrnice PNR obsahuje značně závažné zásahy do základních práv, zejména tím, že „směřuje k za vedení nepřetržitého, necíleného a systematického režimu dohledu“ zahrnujícího „automatizované hodnocení osobních údajů všech osob využívajících služeb letecké dopravy“. Dle Soudního dvora je z tohoto důvodu nutno vykládat pravomoci dle Směrnice PNR restriktivně, dodržování základních práv vyžaduje omezení těchto pravomocí pouze na to, co „je nezbytně nutné“.
Z konkrétních závěrů Soudního dvora hodnotí autor jako zásadní především následující:
1. Nezbytná souvislost trestných činů s leteckou dopravou
Použití systému dle Směrnice PNR musí být dle Soudního dvora omezeno pouze na teroristické trestné činy a na závažné trestné činy, které „vykazují objektivní, byť jen nepřímou, souvislost s leteckou dopravou cestujících“. Systém tedy nelze rozšířit i na další trestné činy, i kdyby byly stejně závažné, avšak náležely by k „běžné trestné činnosti“.
2. Podmínky pro rozšíření PNR i na lety uvnitř EU
Rozhodnutí členského státu EU o rozšíření použití Směrnice PNR na všechny lety uvnitř EU nebo na jejich část je možné pouze v situaci, kdy daný členský stát „konstatuje existenci dostatečně konkrétních okolností“ o hrozbě terorismu, které čelí a která „se jeví jako skutečná a aktuální či předvídatelná“. I v takové situaci však musí jít o rozšíření pouze na omezenou dobu. Bez takovéto konkrétní hrozby může být použití Směrnice PNR rozšířeno uvnitř EU pouze na určitá letecká spojení, určité cestovní vzorce nebo některá letiště, u kterých existují indikace odůvodňující takovéto použití, nikoli však na všechny lety či všechna letiště.
3. Omezení pozdějšího užití údajů PNR
Po příletu nebo odletu konkrétní osoby lze užít její údaje PNR pouze na základě nových okolností a objektivních skutečností. Musí přitom jít buď o okolnosti či skutečností, které vyvolávají „důvodné podezření o zapojení této osoby do závažných trestných činů“, a to trestných činů vykazujících objektivní, alespoň nepřímou, souvislost s leteckou dopravou cestujících, anebo o okolnosti či skutečnosti umožňující dospět k závěru, že by údaje „mohly v konkrétním případě účinně přispět k boji proti teroristickým trestným činům vykazujícím takovou souvislost“. Sdělování údajů PNR pro účely takovéhoto pozdějšího posouzení musí v zásadě, až na řádně odůvodněné naléhavé výjimky, podléhat předchozímu přezkumu ze strany soudu nebo nezávislého správního orgánu na základě odůvodněné žádosti příslušných orgánů.
4. Účely užití údajů PNR
Vnitrostátní právní předpisy nemohou umožnit zpracování údajů PNR shromážděných v souladu se Směrnicí PNR pro jiné účely nežli výhradně pro účely prevence, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti – jen tyto účely totiž Směrnice PNR výslovně stanoví.
5. Doba uchovávání údajů PNR
Dle Soudního dvora konečně také vnitrostátní právní předpisy nemohou stanovit obecnou pětiletou dobu uchovávání údajů PNR, která by se uplatnila bez rozdílu na všechny cestující v letecké dopravě.
V této souvislosti je nutno dodat, že Soudní dvůr EU se v současné době zabývá dalšími třemi žádostmi o rozhodnutí o předběžné otázce, které se týkají mimo jiné přímo posouzení slučitelnosti Směrnice PNR s Listinou základních práv EU. Všechny tři žádosti datované 16. a 17. března 2020 podal k Soudnímu dvoru Amtsgericht Köln ve třech věcech týkajících se společnosti Deutsche Lufthansa AG. V těchto kauzách zatím nebylo předloženo ani stanovisko generálního advokáta, nelze tedy předjímat výsledek posuzování.
Jmenná evidence cestujících v právním řádu ČR
Do právního řádu České republiky byla Směrnice PNR transponována novelou5 zákona o civilním letectví a novelou zákona o Policii ČR přijatými v roce 2019 jako součást legislativy připravené v souvislosti s adaptací právního řádu ČR na Obecné nařízení o ochraně osobních údajů – GDPR a související předpisy6 ; tento novelizační zákon bývá s ohledem na značný počet novelizovaných zákonů (celkem 39) označován jako „změnový zákon“. V novele zákonodárce vymezil povinnosti leteckých dopravců předávat údaje jmenné evidence cestujících Policii ČR, a to „24 až 48 hodin před plánovaným časem odletu a bezprostředně po nástupu cestujících na palubu letadla připraveného k odletu“7 a také na žádost Policie ČR.
Ještě před přijetím novely rozhodla vláda ČR na návrh ministra vnitra vytvořit Národní jednotku využívající jmennou evidenci cestujících v boji s terorismem a závažnou trestnou činností8 . Oddělení informací o cestujících bylo vytvořeno k 1. lednu 2018 a je součástí Národního kontaktního bodu pro terorismus NCOZ SKPV PČR9,10.
Dle údajů zveřejněných v Úředním věstníku EU patří Česká republika mezi členské státy, které se rozhodly používat Směrnici PNR i na lety uvnitř EU. Autor má silné pochybnosti o korektnosti zvoleného legislativního řeše ní, při kterém zákon o civilním letectví nestanoví jednoznačně, zda povinné osoby – letečtí dopravci působící v ČR – mají povinnost předávat údaje jmenné evidence cestujících i u letů uvnitř EU, místo toho zákon o civilním letectví obsahuje velmi vágní a obtížně srozumitelnou formulaci11 zmiňující možnost zveřejnění informace v Úředním věstníku EU a samotný závěr o tom, zda se tak Česká republika rozhodla učinit či nikoli, je možno učinit až po pečlivém prohledání Úředního věstníku EU. Pro adresáty právní normy, natož pak pro dotčené fyzické osoby – subjekty údajů, je tak velmi obtížné zjistit, zda Česká republika patří mezi členské státy, v nichž jejich údaje jmenné evidence cestujících jsou předávány i v případě letů uvnitř EU či nikoli.
Závěry
- Dle hodnocení autora je na tomto místě zapotřebí zmínit, že povinné shromažďování osobních údajů v rámci jmenné evidence cestujících je pouze jedním z příkladů povinného zpracování osobních údajů, kterých v poslední době přibývá. Jejich společným rysem je to, že jsou uloženy právním předpisem, nejčastěji normou evropského práva, a týkají se velmi širokého okruhu osob, často prakticky celé populace EU, jak výstižně v jednom ze stanovisek Soudního dvora poznamenal jeden z jeho generálních advokátů. Dalšími příklady jsou např. povinnost Data Retention ukládající operátorům elektronických komunikací povinně uchovávat po dobu šesti měsíců až dvou let provozní a lokalizační údaje všech účastníků a uživatelů služeb elektronických komu nikací či povinná montáž jednotky eCall do všech nově vyráběných osobních vozidel, jednotka obsahující integrovanou předaktivovanou SIM kartu poté nepřetržitě shromažďuje informace o jízdě osobního vozidla pro účely možného přivolání rychlé pomoci v případě dopravní nehody.
- V tomto textu diskutovaný rozsudek Soudního dvora dle hodnocení autora plně zapadá do kontextu dosavadního rozhodování Soudního dvora v podobných otázkách povinného zpracování osobních údajů značného množství osob. Zejména v otázkách povinného shromažďování provozních a lokalizačních údajů účastníků a uživatelů elektronických komunikací Soudní dvůr zaujal velmi restriktivní postoj jak k samotnému shromažďování údajů, tak k jejich možnému využití.
- Dle hodnocení autora právní úprava České republiky obsahuje některé aspekty obdobné těm, které Soudní dvůr v diskutovaném rozsudku označil za neslučitelné s Listinou základních práv EU – minimálně pokud jde o použití PNR i na lety uvnitř EU. Je tedy otázkou, jak by dopadlo případné posuzování Soudního dvora ve vztahu k relevantním pasážím zákona o civilním letectví platného a účinného v ČR. Autorovi však není známo, že by kterýkoli ze soudů ČR podal žádost Soudnímu dvoru k takovému posouzení předběžných otázek. Obecně přitom platí, že rozsudky Soudního dvora k předběžným otázkám se vztahují pouze k posuzované národní právní úpravě, nemají tedy dopad do právních řádů jiných členských států, ačkoli tyto často obsahují zcela obdobná ustanovení.
- Nad rámec závěrů Soudního dvora autor dlouhodobě zdůrazňuje, že nejzásadnějším aspektem je v obdobných případech informovanost dotčených osob o tom, že k podobnému zpracování, tedy k zásahu do soukromí, vůbec dochází, a samozřejmě také informace o jeho obecných parametrech. Teprve na jejich základě každý z nás může posoudit, zda považuje konkrétní zpracování ve svém případě za zásah do svých základních práv a svobod. Proto je dle autora nutno zaměřit se do budoucna právě na informační povinnost u zákonem uložených povinných zpracování. Paradoxně totiž platí, že ačkoli se tyto případy týkají značného množství osob, naše informovanost o nich je výrazně nižší nežli o údajích, které o nás zpracovávají např. supermarkety, pojišťovny, banky a další – u nich máme totiž zpravidla k dispozici záplavu podrobných informačních textů.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.