SDEU k limitům zpracování osobních údajů cestujících v letecké dopravě
Začátek prázdnin přináší rozhodnutí Soudního dvora EU týkající letecké dopravy, osobních údajů cestujících a prevence terorismu. SDEU řešil primárně platnost směrnice o jmenné evidenci cestujících (PNR) a soulad zpracování osobních údajů cestujících v letecké dopravě s právem EU. V rozsudku dovodil, že unijní právo brání vnitrostátním právním předpisům, které ukládají systematické zpracování osobních údajů cestujících bez existence skutečné a aktuální či předvídatelné hrozby terorismu.
Směrnice PNR umožňuje systematické shromažďování řady osobních údajů cestujících, kteří jsou letecky přepravováni při vstupu do EU a jejím opuštění. Děje se tak kvůli prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti. Tyto osobní údaje zahrnují např. jméno, kontaktní údaje, datum vystavení letenky, číslo sedadla, informace o zavazadlech nebo dokonce informace o věrnostním programu cestujícího.
Členské státy mohou používat směrnici i na lety v rámci EU. V posuzovaném případě belgický zákon uložil leteckým dopravcům povinnost shromažďovat osobní údaje cestujících u letů uvnitř EU. Podle Ligy lidských práv však takové rozšíření působnosti směrnice může porušovat právo na respektování soukromí a na ochranu osobních údajů. Může také nepřímo obnovovat hraniční kontroly a narušit tak volný pohyb osob v rámci EU.
SDEU připustil, že směrnice PNR obsahuje závažné zásahy do práv zaručených Listinou základních práv EU. Směřuje totiž k zavedení nepřetržitého, necíleného a systematického dohledu, který zahrnuje automatizované hodnocení osobních údajů všech osob využívajících služeb letecké dopravy. Dle SDEU zásah do těchto práv ze strany členského státu musí splňovat přísné podmínky.
Členský stát tak může rozšířit použití směrnice PNR na všechny lety uvnitř EU v zásadě pouze za situace, kdy:
- čelí hrozbě terorismu, která se na základě dostatečně konkrétních okolností jeví jako skutečná a aktuální či předvídatelná;
- zpracování těchto osobních údajů cestujících je přiměřené potenciální hrozbě a
- nepřekračuje meze ani dobu nezbytně nutnou pro boj s terorismem.
Pokud by žádná taková hrozba neexistovala, musel by se systém předávání osobních údajů cestujících omezit pouze na určitá letecká spojení, cestovní vzorce nebo některá letiště, u nichž jsou indikace o možné hrozbě. Zpracování osobních údajů cestujících bude podléhat i dalším omezením. Například je nebude možné zpracovávat pro účely odhalování běžné trestné činnosti a až na výjimky ani po uplynutí šesti měsíců od jejich předání leteckým dopravcem příslušnému orgánu.
SDEU se také vyjádřil k používání umělé inteligence (systémů strojového učení) při předběžném posouzení údajů PNR za účelem identifikace osob, které by měly být před příletem nebo odletem dále prověřeny. Příslušné orgány tyto technologie nemohou používat zejména z důvodu jejich časté chybovosti.
Letečtí dopravci i příslušné orgány členského státu tedy musí při zpracování osobních údajů cestujících nejen dodržovat právní předpisy v oblasti letectví (např. zákon o civilním letectví), ale také postupovat v souladu s unijní legislativou a judikaturou týkající se ochrany osobních údajů. V opačném případě totiž mohou čelit přísným pokutám za porušení pravidel ochrany osobních údajů.