HvJ EU, 21-06-2022, nr. C-817/19

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 2, lid 2, onder d), en artikel 23 AVG aldus moeten worden uitgelegd dat deze verordening van toepassing is op de verwerking van persoonsgegevens waarin nationale wetgeving die tegelijkertijd de PNR-richtlijn, de API-richtlijn en richtlijn 2010/65 in nationaal recht beoogt om te zetten voorziet, en met name op de doorgifte, de bewaring en de verwerking van PNR-gegevens.

Blijkens artikel 2, lid 1, AVG is deze verordening van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of bestemd zijn om daarin te worden opgenomen. Het begrip ‘verwerking’ wordt in artikel 4, punt 2, van deze verordening ruim gedefinieerd als onder meer het verzamelen, vastleggen, opslaan, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of wissen van (een geheel van) persoonsgegevens.

De Belgische regering betoogt evenwel dat het doorgeven van PNR-gegevens door marktdeelnemers aan de PIE met het oog op het voorkomen en opsporen van strafbare feiten, zoals bedoeld in artikel 1, lid 1, onder a), artikel 1, lid 2, en artikel 8 van de PNR-richtlijn, een ‘verwerking’ van persoonsgegevens vormt in de zin van artikel 4, punt 2, AVG, net als het voorafgaand verzamelen ervan, en volgens artikel 2, lid 2, onder d), van deze verordening buiten de werkingssfeer van deze verordening valt, aangezien de uit het arrest van 30 mei 2006, Parlement/Raad en Commissie, C-317/04 en C-318/04, EU:C:2006:346, punten 57–59), voortvloeiende rechtspraak over artikel 3, lid 2, eerste streepje, van richtlijn 95/46 ook geldt voor deze bepaling van deze verordening.

Zoals het Hof reeds heeft geconstateerd, sloot artikel 3, lid 2, eerste streepje, van richtlijn 95/46, die met ingang van 25 mei 2018 is ingetrokken en vervangen door de AVG, ‘verwerkingen die betrekking hebben op de openbare veiligheid, defensie[ en] de veiligheid van de staat’ in het algemeen van haar werkingssfeer uit, zonder onderscheid te maken naar de persoon die de gegevensverwerkingshandeling uitvoerde. Aldus kon verwerking door particuliere marktdeelnemers die het gevolg was van door de overheid opgelegde verplichtingen in voorkomend geval onder die uitzondering vallen, aangezien die volgens haar formulering zag op elke verwerking die betrekking had op de openbare veiligheid, de defensie of de veiligheid van de staat, ongeacht de persoon die de handeling uitvoerde (zie in die zin arrest van 6 oktober 2020, La Quadrature du Net e.a., C-511/18, C-512/18 en C-520/18, EU:C:2020:791, punt 101).

Artikel 2, lid 2, onder d), AVG maakt dit onderscheid echter wel. Zoals de advocaat-generaal in de punten 41 en 46 van zijn conclusie heeft opgemerkt, blijkt uit de tekst van deze bepaling immers duidelijk dat aan twee voorwaarden moet zijn voldaan opdat gegevensverwerking onder de daarin genoemde uitzondering valt. De eerste voorwaarde betreft de doeleinden van de verwerking, die moet plaatsvinden met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. De tweede voorwaarde betreft de auteur van deze verwerking, waarbij het moet gaan om een ‘bevoegde autoriteit’ in de zin van die bepaling.

Zoals het Hof tevens heeft vastgesteld, blijkt uit artikel 23, lid 1, onder d) en h), AVG dat verwerkingen van persoonsgegevens die voor de in artikel 2, lid 2, onder d), van deze verordening genoemde doeleinden worden verricht door particulieren, binnen de werkingssfeer ervan vallen (zie in die zin arrest van 6 oktober 2020, La Quadrature du Net e.a., C-511/18, C-512/18 en C-520/18, EU:C:2020:791, punt 102).

Bijgevolg geldt de rechtspraak die is ontwikkeld in het arrest van 30 mei 2006, Parlement/Raad en Commissie (C-317/04 en C-318/04, EU:C:2006:346), waarop de Belgische regering zich beroept, niet voor de uitzondering op de werkingssfeer van de AVG als bedoeld in artikel 2, lid 2, onder d), ervan.

Verder dient deze uitzondering, net als de andere in artikel 2, lid 2, AVG genoemde uitzonderingen op de werkingssfeer van deze verordening, strikt te worden uitgelegd.

Blijkens overweging 19 van deze verordening is deze uitzondering ingegeven door de omstandigheid dat de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op onder meer de voorkoming en de opsporing van strafbare feiten, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, onder een specifiekere handeling van de Unie valt, te weten richtlijn 2016/680, die is vastgesteld op dezelfde dag als de AVG [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 69].

Zoals de overwegingen 9 tot en met 11 van richtlijn 2016/680 trouwens verduidelijken, zijn in deze richtlijn specifieke regels voor de bescherming van natuurlijke personen in verband met die verwerkingen vastgesteld, daarbij rekening houdend met de specifieke aard van deze activiteiten die onder de justitiële samenwerking in strafzaken en de politiële samenwerking vallen, terwijl in de AVG algemene regels voor de bescherming van die personen zijn vastgesteld die voor die verwerkingen gelden wanneer de specifiekere handeling — richtlijn 2016/680 — niet van toepassing is. Zo staat in overweging 11 van deze richtlijn dat de AVG van toepassing is op de verwerking van persoonsgegevens die door een ‘bevoegde autoriteit’ in de zin van artikel 3, punt 7, van deze richtlijn wordt verricht voor andere doeleinden dan die welke worden genoemd in deze richtlijn [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 70].

Wat de eerste van de in punt 67 van het onderhavige arrest genoemde voorwaarden betreft, namelijk de doeleinden van de verwerking van persoonsgegevens in de zin van de PNR-richtlijn, zij eraan herinnerd dat PNR-gegevens volgens artikel 1, lid 2, van deze richtlijn uitsluitend mogen worden verwerkt om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen. Deze doelstellingen vallen onder die welke in artikel 2, lid 2, onder d), AVG en artikel 1, lid 1, van richtlijn 2016/680 worden genoemd, zodat die verwerking onder de uitzondering van artikel 2, lid 2, onder d), van deze verordening en dus binnen de werkingssfeer van deze richtlijn kan vallen.

Dit is daarentegen niet het geval voor de verwerking waarin de API-richtlijn en richtlijn 2010/65 voorzien, die andere doeleinden hebben dan die welke in artikel 2, lid 2, onder d), AVG en artikel 1, lid 1, van richtlijn 2016/680 worden genoemd.

Zoals uit de overwegingen 1, 7 en 9 en artikel 1 van de API-richtlijn blijkt, beoogt deze immers grenscontroles te verbeteren en illegale immigratie te bestrijden, door te verlangen dat vervoerders vooraf passagiersgegevens verstrekken aan de bevoegde nationale autoriteiten. Verschillende overwegingen en bepalingen van de API-richtlijn maken trouwens duidelijk dat de hierin voorgeschreven gegevensverwerking binnen de werkingssfeer van de AVG valt. Zo luidt het in overweging 12 van deze richtlijn dat ‘richtlijn [95/46] van toepassing [is] op de verwerking van persoonsgegevens door de autoriteiten van de lidstaten’, en wordt in artikel 6, lid 1, vijfde alinea, ervan verduidelijkt dat de lidstaten de API-gegevens ook kunnen gebruiken voor wetshandhavingsdoeleinden ‘overeenkomstig […] de in [richtlijn 95/46] vervatte bepalingen inzake gegevensbescherming’, een uitdrukking die ook voorkomt in de derde alinea van deze bepaling. Evenzo staat onder meer in overweging 9 ‘zonder afbreuk te doen aan [richtlijn 95/46]’. Tot slot heet het in artikel 6, lid 2, van de API-richtlijn dat de vervoerders informatie moeten verstrekken aan de passagiers ‘overeenkomstig [richtlijn 95/46]’.

Richtlijn 2010/65 heeft dan weer tot doel, zoals uit overweging 2 en artikel 1, lid 1, ervan blijkt, de administratieve procedures die van toepassing zijn op het zeevervoer te vereenvoudigen en te harmoniseren door een algemene invoering van de elektronische overdracht van gegevens en door rationalisering van de meldingsformaliteiten. Artikel 8, lid 2, van deze richtlijn bevestigt dat de hierin geregelde gegevensverwerking binnen de werkingssfeer van de AVG valt, aangezien deze bepaling de lidstaten verplicht om er wat persoonsgegevens betreft op toe te zien dat wordt voldaan aan richtlijn 95/46.

Bijgevolg valt gegevensverwerking die wordt voorgeschreven in nationale wetgeving die de API-richtlijn en richtlijn 2010/65 in nationaal recht omzet, binnen de werkingssfeer van de AVG. Gegevensverwerking die wordt voorgeschreven in nationale wetgeving die de PNR-richtlijn omzet, valt daarentegen op grond van de uitzondering in artikel 2, lid 2, onder d), AVG buiten de werkingssfeer van deze verordening, mits de tweede in punt 67 van dit arrest aangehaalde voorwaarde is vervuld, namelijk dat de verwerking gebeurt door een bevoegde autoriteit in de zin van laatstgenoemde bepaling.

In verband met deze tweede voorwaarde heeft het Hof geoordeeld dat de in artikel 3, punt 7, van richtlijn 2016/680 gegeven definitie van ‘bevoegde autoriteit’ naar analogie behoort te gelden voor artikel 2, lid 2, onder d), AVG [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C-439/19, EU:C:2021:504, punt 69].

Volgens de artikelen 4 en 7 van de PNR-richtlijn moet elke lidstaat een instantie aanwijzen die als PIE bevoegd is om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken of te vervolgen, alsook een lijst opstellen van de instanties die de PIE om PNR-gegevens of het verwerkingsresultaat van deze gegevens mogen verzoeken of dergelijke gegevens of het verwerkingsresultaat ervan van de PIE mogen ontvangen. Artikel 7, lid 2, van deze richtlijn verduidelijkt dat ook deze instanties bevoegd moeten zijn om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken of te vervolgen.

Bijgevolg voldoet de door de PIE en de door deze bevoegde instanties voor deze doeleinden verrichte PNR-gegevensverwerking aan de twee voorwaarden van punt 67 van dit arrest en valt deze verwerking dus niet alleen onder de PNR-richtlijn zelf maar ook onder richtlijn 2016/680, en niet onder de AVG, wat overweging 27 van de PNR-richtlijn overigens bevestigt.

Marktdeelnemers, zoals luchtvaartmaatschappijen, worden daarentegen niet door deze richtlijn gemachtigd om openbaar gezag of openbare bevoegdheden uit te oefenen en kunnen dus, ondanks hun juridische verplichting om PNR-gegevens door te geven, niet beschouwd worden als bevoegde autoriteiten in de zin van artikel 3, lid 7, van richtlijn 2016/680 en artikel 2, lid 2, onder d), AVG, zodat het verzamelen van deze gegevens door luchtvaartmaatschappijen en het doorgeven ervan aan de PIE onder deze verordening vallen. Hetzelfde geldt in een situatie als die waarin de wet van 25 december 2016 voorziet, waarin het verzamelen en doorgeven gebeurt door andere vervoerders of door reisoperatoren.

Tot slot vraagt de verwijzende rechter zich af wat de mogelijke gevolgen zijn van het feit dat nationale wetgeving tegelijkertijd de PNR-richtlijn, de API-richtlijn en richtlijn 2010/65 beoogt om te zetten, zoals het geval is bij de wet van 25 december 2016. In dit verband zij eraan herinnerd dat, zoals uit de punten 72 en 75 tot en met 77 van dit arrest blijkt, de gegevensverwerking die bij deze twee laatste richtlijnen wordt voorgeschreven, binnen de werkingssfeer van de AVG valt, die algemene regels bepaalt voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.

Gegevensverwerking die op basis van die wetgeving gebeurt en die onder de API-richtlijn en/of richtlijn 2010/65 valt, is dus onderworpen aan de AVG. Hetzelfde geldt voor gegevensverwerking die op diezelfde basis gebeurt en die, wegens de doelstelling ervan, niet alleen onder de PNR-richtlijn maar ook onder de API-richtlijn en/of richtlijn 2010/65 valt. Wanneer gegevensverwerking die op die basis gebeurt tot slot wegens de doelstelling ervan enkel onder de PNR-richtlijn valt, is de AVG van toepassing voor zover het de verzameling en doorgifte van PNR-gegevens aan de PIE door de luchtvaartmaatschappijen betreft. Gebeurt deze verwerking daarentegen door de PIE of door de bevoegde autoriteiten voor de in artikel 1, lid 2, van de PNR-richtlijn genoemde doeleinden, dan valt die onder het nationale recht en onder richtlijn 2016/680.

Gelet op de voorgaande overwegingen dient op de eerste vraag te worden geantwoord dat artikel 2, lid 2, onder d), en artikel 23 AVG aldus moeten worden uitgelegd dat de AVG van toepassing is op de verwerking van persoonsgegevens die wordt voorgeschreven in nationale wetgeving die tegelijkertijd de API-richtlijn, richtlijn 2010/65 en de PNR-richtlijn in nationaal recht beoogt om te zetten, wanneer de verwerking door particuliere marktdeelnemers gebeurt of wanneer zij door overheidsinstanties wordt verricht en enkel of ook onder de API-richtlijn of richtlijn 2010/65 valt. Die verordening is daarentegen niet van toepassing op door dergelijke wetgeving voorgeschreven gegevensverwerking die enkel onder de PNR-richtlijn valt, die de PIE of de bevoegde autoriteiten verrichten voor de doeleinden die worden genoemd in artikel 1, lid 2, van deze richtlijn.

Met de tweede tot en met de vierde en de zesde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in essentie van het Hof te vernemen of de PNR-richtlijn geldig is in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest. Die vragen hebben met name betrekking op:

Vooraf zij eraan herinnerd dat een Uniehandeling volgens een algemeen uitleggingsbeginsel zo veel mogelijk aldus moet worden uitgelegd dat geen afbreuk wordt gedaan aan de geldigheid ervan en dat het gehele primaire recht, waaronder met name de bepalingen van het Handvest, in acht wordt genomen. Wanneer een bepaling van afgeleid Unierecht voor meer dan één uitlegging vatbaar is, verdient de uitlegging die ervoor zorgt dat de bepaling in overeenstemming is met het primaire recht dan ook de voorkeur boven de uitlegging die met zich meebrengt dat zij in strijd is met dat recht (arrest van 2 februari 2021, Consob, C-481/19, EU:C:2021:84, punt 50 en aldaar aangehaalde rechtspraak).

Ook is het vaste rechtspraak dat wanneer de bepalingen van een richtlijn de lidstaten een beoordelingsmarge laten om uitvoeringsmaatregelen vast te stellen die aangepast zijn aan de verschillende denkbare situaties, zij bij de tenuitvoerlegging van die maatregelen niet alleen hun nationale recht conform deze richtlijn moeten uitleggen, maar er ook op moeten toezien dat zij zich niet baseren op een uitlegging van deze richtlijn die in conflict zou komen met de door de rechtsorde van de Unie beschermde grondrechten of de andere algemene beginselen die in deze rechtsorde worden erkend [zie in die zin arresten van 15 februari 2016, N., C-601/15 PPU, EU:C:2016:84, punt 60 en aldaar aangehaalde rechtspraak, en 16 juli 2020, Belgische Staat (Gezinshereniging — Minderjarig kind), C-133/19, C-136/19 en C-137/19, EU:C:2020:577, punt 33 en aldaar aangehaalde rechtspraak].

Wat de PNR-richtlijn betreft, moet worden opgemerkt dat met name in de overwegingen 15, 20, 22, 25, 36 en 37 met de verwijzing naar een hoog niveau van gegevensbescherming wordt benadrukt hoeveel belang de Uniewetgever hecht aan de volledige eerbiediging van de in de artikelen 7, 8 en 21 van het Handvest neergelegde grondrechten en van het evenredigheidsbeginsel. Deze richtlijn moet dan ook, zoals staat aangegeven in overweging 36 ervan, ‘dienovereenkomstig […] worden uitgevoerd’.

In het bijzonder wordt in overweging 22 van de PNR-richtlijn benadrukt dat ‘gelet op de in recente relevante rechtspraak van het [Hof] uiteengezette beginselen[,] […] bij de toepassing van deze richtlijn [moet] worden gezorgd voor volledige eerbiediging van de grondrechten, het recht op bescherming van de persoonlijke levenssfeer en het evenredigheidsbeginsel’ en ‘erop [moet] worden toegezien dat de maatregelen werkelijk noodzakelijk en proportioneel zijn met het oog op het door de Unie erkende algemeen belang en noodzakelijk zijn om de rechten en vrijheden van anderen bij de bestrijding van terroristische misdrijven en ernstige criminaliteit te beschermen’. Deze overweging vermeldt verder dat de toepassing van deze richtlijn ‘naar behoren [moet] worden gemotiveerd’ en dat ‘er moet worden voorzien in de nodige waarborgen om de rechtmatigheid van de opslag, analyse, doorgifte of het gebruik van de PNR-gegevens te garanderen’.

Ook legt artikel 19, lid 2, van de PNR-richtlijn de Commissie de verplichting op om bij de evaluatie van deze richtlijn bijzondere aandacht te besteden aan ‘de naleving van de geldende normen voor de bescherming van persoonsgegevens’, ‘de noodzakelijkheid en evenredigheid van het verzamelen en het verwerken van PNR-gegevens voor elk van de in deze richtlijn genoemde doelen’ en ‘de lengte van de bewaartermijn’.

Er moet dus worden nagegaan of de PNR-richtlijn, overeenkomstig de vereisten in met name de overwegingen en bepalingen ervan die in de punten 88 tot en met 90 van dit arrest worden genoemd, zo kan worden uitgelegd dat de volledige eerbiediging van de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten en van het in artikel 52, lid 1, ervan neergelegde evenredigheidsbeginsel wordt verzekerd.

Met zijn vijfde vraag wenst de verwijzende rechter te vernemen of artikel 6 van de PNR-richtlijn, gelezen in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die toestaat dat overeenkomstig deze richtlijn verzamelde PNR-gegevens worden verwerkt zodat de inlichtingen- en veiligheidsdienst toezicht kan uitoefenen op activiteiten.

Uit het verzoek om een prejudiciële beslissing blijkt dat de verwijzende rechter met deze vraag meer in het bijzonder doelt op de activiteiten van de Veiligheid van de Staat (België) en de Algemene Inlichtingen- en Veiligheidsdienst (België) in het kader van hun respectieve taken op het gebied van de bescherming van de nationale veiligheid.

De Uniewetgever heeft ter eerbiediging van de beginselen van wettigheid en evenredigheid, waarop artikel 52, lid 1, van het Handvest met name ziet, duidelijke en nauwkeurige regels vastgesteld rond de doeleinden van de maatregelen van de PNR-richtlijn die inmengingen veroorzaken in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten.

Artikel 1, lid 2, van de PNR-richtlijn bepaalt namelijk uitdrukkelijk dat overeenkomstig deze richtlijn verzamelde PNR-gegevens uitsluitend mogen worden verwerkt ‘om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken en te vervolgen overeenkomstig artikel 6, lid 2, onder a), b) en c)[, van deze richtlijn]’. Laatstgenoemde bepaling bevestigt het principe van artikel 1, lid 2, en hanteert systematisch de begrippen ‘terroristisch misdrijf’ en ‘ernstige criminaliteit’.

Uit de bewoordingen van deze bepalingen blijkt dus duidelijk dat de daarin gegeven opsomming van de doelstellingen die met de verwerking van PNR-gegevens krachtens de PNR-richtlijn worden nagestreefd, exhaustief is.

Deze uitlegging vindt onder meer steun in overweging 11 van de PNR-richtlijn, volgens welke de verwerking van PNR-gegevens evenredig moet zijn aan ‘de specifieke veiligheidsdoelen’ die met deze richtlijn worden nagestreefd, en in artikel 7, lid 4, ervan, dat luidt dat PNR-gegevens en het verwerkingsresultaat daarvan die van de PIE zijn ontvangen, uitsluitend verder mogen worden verwerkt ‘met als specifieke doelstellingen het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit’.

Het exhaustieve karakter van de doelstellingen in artikel 1, lid 2, van de PNR-richtlijn impliceert voorts ook dat PNR-gegevens niet mogen worden bewaard in één databank die zowel voor deze als voor andere doeleinden kan worden geraadpleegd. Dit zou immers het risico inhouden dat de gegevens worden gebruikt voor andere doeleinden dan de in artikel 1, lid 2, genoemde.

Voor zover volgens de in het hoofdgeding aan de orde zijnde nationale wetgeving ‘toezien op activiteiten van de inlichtingen- en veiligheidsdienst’ een doelstelling van het verwerken van PNR-gegevens is, en deze doelstelling dus mee wordt begrepen in het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, zoals de verwijzende rechter meent, gaat deze wetgeving mogelijkerwijs voorbij aan het uitputtend karakter van de lijst van doeleinden die de verwerking van PNR-gegevens bij de PNR-richtlijn nastreeft. Het staat aan de verwijzende rechter om dit te verifiëren.

Bijgevolg dient op de vijfde vraag te worden geantwoord dat artikel 6 van de PNR-richtlijn, gelezen in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die toestaat dat overeenkomstig deze richtlijn verzamelde PNR-gegevens worden verwerkt voor andere doeleinden dan die welke uitdrukkelijk worden genoemd in artikel 1, lid 2, van deze richtlijn.

Met zijn zevende vraag wenst de verwijzende rechter in essentie te vernemen of artikel 12, lid 3, onder b), van de PNR-richtlijn aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving waarbij de instantie die wordt opgericht om als PIE op te treden ook de hoedanigheid heeft van nationale instantie die bevoegd is om de mededeling van PNR-gegevens na het verstrijken van de periode van zes maanden na doorgifte ervan aan de PIE goed te keuren.

Om te beginnen zij opgemerkt dat de Belgische regering betwijfelt of het Hof wel bevoegd is om deze vraag, zoals deze door de verwijzende rechter is geformuleerd, te beantwoorden, aangezien enkel deze laatste bevoegd is om nationale bepalingen uit te leggen en met name de uit de uit de wet van 25 december 2016 voortvloeiende vereisten te toetsen aan artikel 12, lid 3, onder b), van de PNR-richtlijn.

In dit verband volstaat het erop te wijzen dat de verwijzende rechter met deze vraag verzoekt om uitlegging van een bepaling van Unierecht. Bovendien is het in een krachtens artikel 267 VWEU ingeleide procedure weliswaar de taak van de rechterlijke instanties van de lidstaten en niet van het Hof om uitlegging te geven aan de nationale bepalingen en staat het niet aan het Hof om uitspraak te doen over de verenigbaarheid van nationale normen met de bepalingen van Unierecht, maar is het Hof wel bevoegd om de nationale rechter alle uitleggingselementen van Unierecht te geven die hem in staat stellen te beoordelen of de nationale normen verenigbaar zijn met de Unieregeling (arrest van 30 april 2020, CTT — Correios de Portugal, C-661/18, EU:C:2020:335, punt 28 en aldaar aangehaalde rechtspraak). Bijgevolg is het Hof bevoegd om de zevende vraag te beantwoorden.

Ten gronde zij erop gewezen dat artikel 12, lid 3, onder b), van de PNR-richtlijn, waarin in de punten i) en ii) wordt gesproken van ‘een gerechtelijke instantie’ respectievelijk ‘een andere nationale instantie die volgens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor mededeling is voldaan’, deze twee instanties op hetzelfde niveau plaatst, zoals blijkt uit het voegwoord ‘of’ tussen punt i) en punt ii). Uit deze bewoordingen blijkt dus dat de ‘andere’ bevoegde nationale instantie die hier wordt bedoeld, een alternatief is voor de gerechtelijke instantie en derhalve een vergelijkbaar niveau van onafhankelijkheid en onpartijdigheid moet hebben.

Deze analyse vindt steun in de in overweging 25 van de PNR-richtlijn genoemde doelstelling van deze richtlijn om het hoogste niveau van gegevensbescherming te waarborgen wanneer toegang tot de volledige PNR-gegevens wordt verleend en de betrokkene dus rechtstreeks kan worden geïdentificeerd. In diezelfde overweging wordt trouwens verduidelijkt dat ná de termijn van zes maanden na de doorgifte van de PNR-gegevens aan de PIE, een dergelijke volledige toegang slechts onder zeer strikte voorwaarden kan worden verleend.

Deze analyse wordt ook bevestigd door de ontstaansgeschiedenis van de PNR-richtlijn. Terwijl het in punt 155 van dit arrest vermelde voorstel van richtlijn, dat aan de PNR-richtlijn ten grondslag ligt, louter bepaalde dat ‘toegang tot de volledige PNR-gegevens enkel kan worden verleend door de verantwoordelijke van de passagiersinformatie-eenheid’, worden in de versie van artikel 12, lid 3, onder b), van deze richtlijn waarvoor de Uniewetgever uiteindelijk heeft gekozen enerzijds de gerechtelijke instanties aangewezen en anderzijds ‘andere nationale [instanties]’ die bevoegd zijn om na te gaan of de voorwaarden voor mededeling van de integrale PNR-gegevens zijn vervuld en om deze mededeling toe te staan, waarbij deze twee soorten instanties op hetzelfde niveau worden geplaatst.

Voorts is het overeenkomstig de in de punten 223, 225 en 226 van dit arrest aangehaalde rechtspraak vooral essentieel dat de toegang van de bevoegde autoriteiten tot de bewaarde gegevens wordt onderworpen aan een voorafgaande toetsing door een rechterlijke instantie of door een onafhankelijke bestuurlijke entiteit, en dat deze rechterlijke instantie of deze entiteit haar beslissing geeft op een met redenen omkleed verzoek van die autoriteiten dat met name wordt ingediend in het kader van procedures ter voorkoming, opsporing of vervolging van strafbare feiten. Het vereiste van onafhankelijkheid voor de instantie die de voorafgaande toetsing moet verrichten, impliceert ook dat zij de hoedanigheid van derde moet hebben ten opzichte van de autoriteit die om toegang tot de gegevens verzoekt, zodat zij de toetsing objectief en onpartijdig en zonder beïnvloeding van buitenaf kan verrichten. In het bijzonder impliceert het vereiste van onafhankelijkheid op strafrechtelijk gebied dat de instantie die belast is met die voorafgaande toetsing enerzijds niet betrokken mag zijn bij de uitvoering van het betrokken strafrechtelijk onderzoek en anderzijds neutraal moet zijn ten opzichte van de partijen in de strafprocedure.

Zoals de advocaat-generaal in punt 271 van zijn conclusie heeft opgemerkt, bepaalt artikel 4 van de PNR-richtlijn in de leden 1 en 3 dat de PIE die in elke lidstaat wordt opgericht of aangewezen een instantie moet zijn die bevoegd is om terroristische misdrijven en ernstige criminaliteit te voorkomen, op te sporen, te onderzoeken of te vervolgen, en dat het personeel van de PIE kan worden gedetacheerd uit de in artikel 7 van deze richtlijn bedoelde bevoegde instanties. De PIE lijkt dan ook noodzakelijkerwijs verbonden te zijn aan deze instanties. De PIE kan volgens artikel 6, lid 2, onder b), van deze richtlijn ook PNR-gegevens verwerken en het resultaat daarvan aan hen doorgeven. Bijgevolg kan de PIE niet worden geacht de hoedanigheid van derde ten aanzien van die instanties te hebben en dus over de nodige onafhankelijkheid en onpartijdigheid te beschikken om de in het vorige punt van dit arrest genoemde voorafgaande toetsing te verrichten en na te gaan of voldaan is aan de voorwaarden om de volledige PNR-gegevens mee te delen als bedoeld in artikel 12, lid 3, onder b), ervan.

Hieraan wordt niet afgedaan door het feit dat laatstgenoemde bepaling in punt ii) vereist dat wanneer de mededeling van de volledige PNR-gegevens wordt goedgekeurd door een ‘andere nationale instantie’, de functionaris voor gegevensbescherming van de PIE hiervan in kennis wordt gesteld en een controle achteraf verricht, terwijl dit niet wordt vereist wanneer een gerechtelijke instantie die goedkeuring verleent. Volgens vaste rechtspraak kan met een latere controle — zoals die welke de functionaris voor gegevensbescherming verricht — immers niet worden tegemoetgekomen aan het doel van een voorafgaande toetsing, dat erin bestaat te verhinderen dat tot de betrokken gegevens een toegang wordt verleend die verder gaat dan strikt noodzakelijk is (zie in die zin arrest van 5 april 2022, Commissioner of An Garda Síochána e.a., C-140/20, EU:C:2022:258, punt 110 en aldaar aangehaalde rechtspraak).

Gelet op al deze overwegingen dient op de zevende vraag te worden geantwoord dat artikel 12, lid 3, onder b), van de PNR-richtlijn aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving waarbij de instantie die wordt opgericht om als PIE op te treden ook de hoedanigheid heeft van nationale instantie die bevoegd is om de mededeling van PNR-gegevens na het verstrijken van de periode van zes maanden na doorgifte ervan aan de PIE goed te keuren.

Met de achtste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 12 van de PNR-richtlijn, gelezen in samenhang met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die voor PNR-gegevens een algemene bewaartermijn van vijf jaar voorschrijft, zonder onderscheid naargelang de betrokken passagiers wel of geen risico op het gebied van terroristische misdrijven of ernstige criminaliteit vormen.

Er zij aan herinnerd dat volgens artikel 12, leden 1 en 4, van deze richtlijn de PIE van de lidstaat waar de betrokken vlucht aankomt of vertrekt, de door de luchtvaartmaatschappijen doorgegeven PNR-gegevens gedurende vijf jaar na doorgifte bewaart in een databank, en daarna definitief wist.

Zoals in overweging 25 van de PNR-richtlijn in herinnering wordt gebracht, dient ‘de bewaartermijn voor PNR-gegevens […] zo lang te zijn als noodzakelijk is voor en evenredig te zijn aan de doelstellingen, namelijk het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit’.

Bijgevolg kan het krachtens artikel 12, lid 1, van de PNR-richtlijn bewaren van PNR-gegevens niet worden gerechtvaardigd indien er geen objectief verband is tussen de bewaring en de met deze richtlijn nagestreefde doelstellingen, namelijk het bestrijden van terroristische misdrijven en ernstige vormen van criminaliteit die minstens indirect een objectief verband vertonen met het luchtvervoer van passagiers.

Blijkens overweging 25 van de PNR-richtlijn moet een onderscheid worden gemaakt tussen de initiële bewaartermijn van zes maanden, zoals bedoeld in artikel 12, lid 2, van deze richtlijn, en de periode daarna, zoals bedoeld in artikel 12, lid 3.

Bij de uitlegging van artikel 12, lid 1, van de PNR-richtlijn moet rekening worden gehouden met de leden 2 en 3 van dit artikel, die de bewaring van en toegang tot PNR-gegevens na de initiële bewaartermijn van zes maanden regelen. Zoals uit overweging 25 van deze richtlijn volgt, geven deze bepalingen enerzijds het belang weer dat PNR-gegevens ‘lang genoeg […] worden bewaard om er een analyse mee te kunnen uitvoeren en ze bij onderzoek te kunnen gebruiken’, wat reeds tijdens de initiële bewaartermijn van zes maanden kan, en anderzijds de noodzaak om ‘onevenredig gebruik’ te voorkomen, door deze gegevens af te schermen, en ‘te zorgen voor het hoogste niveau van gegevensbescherming’ door toegang in een vorm waardoor de betrokkene rechtstreeks kan worden geïdentificeerd, ‘uitsluitend onder zeer strikte en restrictieve voorwaarden [toe te staan] na die initiële bewaartermijn’ en er aldus rekening mee te houden dat hoe langer de PNR-gegevens worden bewaard, hoe ernstiger de inmenging is.

Het onderscheid tussen de initiële bewaartermijn van zes maanden, (artikel 12, lid 2, van de PNR-richtlijn) en de periode daarna (artikel 12, lid 3, ervan) moet worden doorgetrokken naar het in punt 251 van dit arrest genoemde vereiste.

Gelet op de doelstellingen van de PNR-richtlijn en de noden die bestaan bij het onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, moet dan ook worden geoordeeld dat het gedurende de initiële termijn van zes maanden bewaren van PNR-gegevens van alle luchtreizigers die onder het systeem van deze richtlijn vallen, ook zonder enige aanwijzing dat zij betrokken zijn bij terroristische misdrijven of ernstige criminaliteit, in beginsel niet verder lijkt te gaan dan strikt noodzakelijk is, aangezien op die manier de nodige opzoekingen kunnen worden gedaan teneinde personen te identificeren die nog niet van terroristische misdrijven of ernstige criminaliteit worden verdacht.

Wat de periode daarna betreft daarentegen (artikel 12, lid 3, van de PNR-richtlijn), houdt het bewaren van PNR-gegevens van alle luchtreizigers die onder het systeem van deze richtlijn vallen niet alleen — gezien de aanzienlijke hoeveelheid gegevens die continu kunnen worden bewaard — inherente risico's van onevenredig gebruik en misbruik in (zie naar analogie arrest van 6 oktober 2020, La Quadrature du Net e.a., C-511/18, C-512/18 en C-520/18, EU:C:2020:791, punt 119), maar druist het ook in tegen het vereiste van overweging 25 van deze richtlijn, namelijk dat de gegevens niet langer worden bewaard dan noodzakelijk is voor en evenredig is aan de nagestreefde doelstellingen. De Uniewetgever heeft immers het hoogste niveau van gegevensbescherming willen invoeren voor PNR-gegevens waarmee de betrokkenen rechtstreeks kunnen worden geïdentificeerd.

Wat luchtreizigers betreft waarvoor noch uit de voorafgaande beoordeling [artikel 6, lid 2, onder a), van de PNR-richtlijn] noch uit eventuele controles in de periode van zes maanden (artikel 12, lid 2, van deze richtlijn) noch uit andere omstandigheden is gebleken dat er objectieve aanwijzingen bestaan dat zij een gevaar vormen op het gebied van terroristische misdrijven of ernstige criminaliteit met een minstens indirect objectief verband met de door hen genomen vlucht, lijkt er tussen hun PNR-gegevens en de doelstelling van deze richtlijn immers geen verband — zelfs geen indirect verband — te bestaan dat de bewaring van deze gegevens rechtvaardigt [zie naar analogie advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punten 204 en 205].

De duurzame opslag van de PNR-gegevens van alle reizigers na de initiële periode van zes maanden is dus niet beperkt tot wat strikt noodzakelijk is [zie naar analogie advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 206].

Wanneer in specifieke gevallen op basis van objectieve elementen, zoals PNR-gegevens die een geverifieerde positieve overeenkomst opleveren, kan worden aangenomen dat bepaalde reizigers een risico kunnen vormen op het gebied van terrorisme of ernstige criminaliteit, lijkt het echter wel toelaatbaar hun PNR-gegevens langer dan die initiële periode op te slaan [zie naar analogie advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 207 en aldaar aangehaalde rechtspraak].

Deze objectieve elementen leggen immers een verband met de doeleinden die de PNR-richtlijn met de verwerking nastreeft, zodat het gerechtvaardigd is de PNR-gegevens van die passagiers te bewaren gedurende de door deze richtlijn toegestane maximumtermijn, te weten vijf jaar.

Aangezien de wetgeving in het hoofdgeding lijkt te voorzien in een algemene bewaartermijn voor PNR-gegevens van vijf jaar die zonder onderscheid geldt voor alle passagiers, ook passagiers waarvoor noch uit de voorafgaande beoordeling [artikel 6, lid 2, onder a), van de PNR-richtlijn] noch uit eventuele controles tijdens de initiële periode van zes maanden noch uit andere omstandigheden is gebleken dat er objectieve aanwijzingen bestaan dat zij een gevaar vormen op het gebied van terroristische misdrijven of ernstige criminaliteit, is die wetgeving mogelijkerwijs in strijd met artikel 12, lid 1, van deze richtlijn, gelezen in het licht van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, tenzij daaraan een met deze bepalingen conforme uitlegging kan worden gegeven, wat de verwijzende rechter dient na te gaan.

Gelet op het voorgaande dient op de achtste vraag te worden geantwoord dat artikel 12, lid 1, van de PNR-richtlijn, gelezen in samenhang met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die voor PNR-gegevens een algemene bewaartermijn van vijf jaar voorschrijft die zonder onderscheid geldt voor alle luchtreizigers, ook luchtreizigers van wie noch uit de voorafgaande beoordeling [artikel 6, lid 2, onder a), van deze richtlijn], noch uit eventuele controles tijdens de periode van zes maanden (artikel 12, lid 2, van deze richtlijn), noch uit andere omstandigheden is gebleken dat er objectieve aanwijzingen bestaan dat zij een gevaar vormen op het gebied van terroristische misdrijven of ernstige criminaliteit met een minstens indirect objectief verband met het luchtvervoer van passagiers.

Met zijn negende vraag, onder a), wenst de verwijzende rechter in wezen te vernemen of de API-richtlijn geldig is in het licht van artikel 3, lid 2, VEU en artikel 45 van het Handvest, er daarbij van uitgaande dat de bij deze richtlijn opgelegde verplichtingen gelden voor vluchten binnen de EU.

Zoals de advocaat-generaal in punt 277 van zijn conclusie heeft aangegeven en de Raad, de Commissie en verschillende regeringen hebben opgemerkt, is deze premisse echter onjuist.

Artikel 3, lid 1, van de API-richtlijn bepaalt namelijk dat de lidstaten de nodige maatregelen moeten nemen om vervoerders te verplichten aan de autoriteiten die belast zijn met de controle van personen aan de buitengrenzen, vóór het eind van de instapcontroles desgevraagd informatie te verstrekken over de passagiers die zij zullen vervoeren naar een aangewezen grensdoorlaatpost via welke deze personen het grondgebied van een lidstaat binnenkomen. Deze gegevens worden volgens artikel 6, lid 1, van deze richtlijn verstrekt aan de autoriteiten die belast zijn met de controle aan de buitengrenzen via welke de passagier dit grondgebied zal binnenkomen, en worden onder de in deze bepaling genoemde voorwaarden verwerkt.

Uit deze bepalingen, gelezen in het licht van artikel 2, onder a), b) en d), van de API-richtlijn, waarin de begrippen ‘vervoerder’, ‘buitengrenzen’ en ‘grensdoorlaatpost’ worden gedefinieerd, blijkt duidelijk dat deze richtlijn luchtvaartmaatschappijen enkel verplicht de in artikel 3, lid 2, ervan bedoelde gegevens door te geven aan de met de controle van de buitengrenzen belaste autoriteiten indien passagiers worden gevlogen naar een aangewezen doorlaatpost aan de buitengrenzen van een lidstaat met een derde land, en dat enkel voor deze vluchten gegevens worden verwerkt.

Deze richtlijn legt geen enkele verplichting op voor gegevens van passagiers die enkel over interne grenzen van de lidstaten vliegen.

Hieraan moet worden toegevoegd dat de PNR-richtlijn, zoals uit overweging 9 en artikel 8, lid 2, ervan blijkt, de in artikel 3, lid 2, van de API-richtlijn genoemde gegevens die overeenkomstig deze richtlijn worden verzameld en door bepaalde luchtvaartmaatschappijen worden bewaard, tot PNR-gegevens rekent, en de lidstaten de mogelijkheid biedt om de PNR-richtlijn op grond van artikel 2 ervan toe te passen op door hen aan te wijzen vluchten binnen de EU. De PNR-richtlijn heeft dus niets veranderd aan de draagwijdte van de bepalingen van de API-richtlijn of aan de uit deze richtlijn voortvloeiende beperkingen.

Gelet op het voorgaande dient op de negende vraag, onder a), te worden geantwoord dat de API-richtlijn aldus moet worden uitgelegd dat zij niet van toepassing is op vluchten binnen de EU.

De verwijzende rechter spreekt in zijn negende vraag, onder b), weliswaar van de API-richtlijn, gelezen in samenhang met artikel 3, lid 2, VEU en artikel 45 van het Handvest, maar uit het verzoek om een prejudiciële beslissing blijkt dat hij zich afvraagt of het bij de wet van 25 december 2016 ingevoerde systeem van doorgifte en verwerking van passagiersgegevens wel verenigbaar is met het vrije personenverkeer en de afschaffing van controles aan de binnengrenzen als bedoeld in het Unierecht, voor zover dat systeem niet alleen op luchtvervoer van toepassing is maar ook op vervoer over het spoor, over de weg en over het water van of naar België, binnen de Unie, zonder dat er dus een buitengrens met een derde land wordt overgestoken.

Zoals uit de punten 265 tot en met 269 van dit arrest blijkt, is de API-richtlijn niet relevant voor het antwoord op deze vraag, aangezien zij niet van toepassing is op vluchten binnen de EU en geen doorgifte- en verwerkingsverplichting oplegt voor gegevens van passagiers die per vliegtuig of met enig ander vervoersmiddel binnen de Unie reizen en dus geen buitengrenzen met derde landen overschrijden.

Artikel 2 van de PNR-richtlijn daarentegen, waarop de Belgische wetgever zich — zo blijkt uit het verzoek om een prejudiciële beslissing — heeft gebaseerd bij de vaststelling van de in het hoofdgeding aan de orde zijnde wet van 25 december 2016, staat de lidstaten toe deze richtlijn toe te passen op vluchten binnen de EU, en dit niettegenstaande dat artikel 67, lid 2, VWEU bepaalt dat de Unie ervoor zorgt dat aan de binnengrenzen geen personencontroles worden verricht.

Teneinde de verwijzende rechter een nuttig antwoord te kunnen geven, moet de negende vraag, onder b), dan ook worden geherformuleerd in de zin dat hij daarmee in wezen wenst te vernemen of het Unierecht en met name artikel 2 van de PNR-richtlijn, gelezen in het licht van artikel 3, lid 2, VEU, artikel 67, lid 2, VWEU en artikel 45 van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen nationale wetgeving die een systeem invoert van doorgifte door vervoerders en reisoperatoren en verwerking door de bevoegde autoriteiten van PNR-gegevens voor vluchten en andere soorten vervoer binnen de Unie vanuit, naar of door de lidstaat die deze wetgeving heeft vastgesteld.

Om te beginnen voorziet artikel 45 van het Handvest in het vrije verkeer van personen, dat overigens een van de fundamentele vrijheden binnen de interne markt is [zie in die zin arrest van 22 juni 2021, Ordre des barreaux francophones et germanophone e.a. (Preventieve maatregelen met het oog op verwijdering), C-718/19, EU:C:2021:505, punt 54].

Lid 1 van dit artikel garandeert elke burger van de Unie het recht om zich vrij op het grondgebied van de lidstaten te verplaatsen en er vrij te verblijven. Dit recht stemt volgens de toelichtingen bij het Handvest voor de grondrechten (PB 2007, C 303, blz. 17) overeen met het recht dat door artikel 20, lid 2, eerste alinea, onder a), VWEU wordt gewaarborgd, en vindt overeenkomstig artikel 20, lid 2, tweede alinea, VWEU en artikel 52, lid 2, van het Handvest toepassing onder de voorwaarden en binnen de grenzen die in de Verdragen en de maatregelen ter uitvoering daarvan zijn vastgesteld.

Voorts biedt de Unie haar burgers overeenkomstig artikel 3, lid 2, VEU een ruimte van vrijheid, veiligheid en recht zonder binnengrenzen, waarin het vrije verkeer van personen gewaarborgd is in combinatie met passende maatregelen met betrekking tot onder meer controles aan de buitengrenzen en voorkoming en bestrijding van criminaliteit. Evenzo zorgt de Unie er overeenkomstig artikel 67, lid 2, VWEU voor dat aan de binnengrenzen geen personencontroles worden verricht en ontwikkelt zij een gemeenschappelijk beleid op het gebied van onder meer controle aan de buitengrenzen.

Volgens vaste rechtspraak van het Hof vormt een nationale wettelijke regeling die bepaalde nationale onderdanen benadeelt louter omdat zij hun recht om in een andere lidstaat vrij te reizen en te verblijven hebben uitgeoefend, een beperking van de vrijheden die elke burger van de Unie op grond van artikel 45, lid 1, van het Handvest geniet (zie in die zin voor artikel 21, lid 1, VWEU, arresten van 8 juni 2017, Freitag, C-541/15, EU:C:2017:432, punt 35 en aldaar aangehaalde rechtspraak, en 19 november 2020, ZW, C-454/19, EU:C:2020:947, punt 30).

Nationale wetgeving als die in het hoofdgeding, waarbij het systeem van de PNR-richtlijn niet alleen op vluchten naar of vanuit derde landen wordt toegepast maar ook, op grond van artikel 2, lid 1, van deze richtlijn, op vluchten binnen de EU alsook — en daarbij verdergaand dan deze bepaling — op andere soorten vervoer binnen de Unie, resulteert in een systematische en continue doorgifte en verwerking van PNR-gegevens van elke passagier die zijn vrijheid van verkeer uitoefent door zich met deze vervoersmiddelen te verplaatsen binnen de Unie.

Zoals in de punten 98 tot en met 111 van het onderhavige arrest is vastgesteld, veroorzaakt het doorgeven en verwerken van passagiersgegevens van vluchten naar of vanuit derde landen en vluchten binnen de EU volgens het systeem van de PNR-richtlijn, een inmenging van een zekere ernst in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten van de betrokkenen. Deze inmenging is des te ernstiger wanneer dit systeem bij uitbreiding wordt toegepast op andere soorten vervoer binnen de Unie. Om dezelfde redenen als die in de voormelde punten kunnen dergelijke inmengingen ook onderdanen van lidstaten met dergelijke wetgeving en, in het algemeen, Unieburgers die zich met deze transportmiddelen binnen de Unie verplaatsen van en naar dergelijke lidstaten, benadelen en dus ontmoedigen om hun vrijheid van verkeer uit te oefenen in de zin van artikel 45 van het Handvest. Dergelijke wetgeving houdt dan ook een beperking op deze fundamentele vrijheid in.

Volgens vaste rechtspraak kan een belemmering van het vrije verkeer van personen enkel worden gerechtvaardigd indien zij gebaseerd is op objectieve overwegingen en evenredig is aan het door het nationale recht rechtmatig nagestreefde doel. Een maatregel is evenredig wanneer hij geschikt is om het nagestreefde doel te verwezenlijken en niet verder gaat dan nodig is om dat doel te bereiken (zie in die zin arrest van 5 juni 2018, Coman e.a., C-673/16, EU:C:2018:385, punt 41 en aldaar aangehaalde rechtspraak).

Hieraan dient te worden toegevoegd dat een nationale maatregel die de uitoefening van het vrije verkeer van personen kan belemmeren, slechts kan worden gerechtvaardigd indien deze maatregel in overeenstemming is met de door het Handvest gewaarborgde grondrechten waarvan het Hof de eerbiediging verzekert (arrest van 14 december 2021, Stolichna obshtina, rayon ‘Pancharevo’, C-490/20, EU:C:2021:1008, punt 58 en aldaar aangehaalde rechtspraak).

Volgens de in de punten 115 en 116 van het onderhavige arrest aangehaalde rechtspraak kan een doelstelling van algemeen belang niet worden nagestreefd zonder rekening te houden met het feit dat deze doelstelling moet worden verzoend met de door de maatregel aangetaste grondrechten, zulks via een evenwichtige afweging tussen de doelstelling en de op het spel staande rechten. Bij de beoordeling of lidstaten een beperking op het door artikel 45, lid 1, van het Handvest gewaarborgde grondrecht kunnen rechtvaardigen, moet worden bepaald wat de ernst is van de inmenging die een dergelijke beperking meebrengt, en worden nagegaan of het belang van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst.

Zoals in punt 122 van dit arrest in herinnering is gebracht, is de met de PNR-richtlijn nagestreefde doelstelling van bestrijding van terroristische misdrijven en ernstige criminaliteit beslist een doelstelling van algemeen belang van de Unie.

Wat betreft de vraag of nationale wetgeving die is vastgesteld ter omzetting van de PNR-richtlijn en die het systeem van deze richtlijn uitbreidt naar vluchten binnen de EU en ook naar andere soorten vervoer binnen de Unie, geschikt is om het nagestreefde doel te bereiken, blijkt uit de informatie uit het dossier waarover het Hof beschikt dat dankzij PNR-gegevens personen kunnen worden geïdentificeerd die nog niet van terroristische misdrijven of ernstige criminaliteit werden verdacht maar die nader moeten worden onderzocht. Dergelijke nationale wetgeving lijkt dan ook geschikt om het beoogde doel van bestrijding van terroristische misdrijven en ernstige criminaliteit te bereiken.

Wat de vraag naar de noodzakelijkheid van dergelijke wetgeving betreft, zij erop gewezen dat de lidstaten de hun door artikel 2, lid 1, van de PNR-richtlijn, gelezen in het licht van de artikelen 7 en 8 van het Handvest, geboden mogelijkheid slechts mogen uitoefenen in de mate van wat strikt noodzakelijk is om dat doel te bereiken, gelet op de vereisten genoemd in de punten 163 tot en met 174 van dit arrest.

Deze vereisten gelden des te meer wanneer het systeem van de PNR-richtlijn wordt toegepast op andere vervoersmiddelen binnen de Unie.

Uit de in het verzoek om een prejudiciële beslissing verstrekte informatie blijkt bovendien dat met de nationale wetgeving in het hoofdgeding de PNR-richtlijn, de API-richtlijn en een deel van richtlijn 2010/65 bij een en dezelfde handeling worden omgezet. Het systeem van de PNR-richtlijn wordt daarbij toegepast op alle vluchten binnen de EU en alle vervoer over het spoor, over de weg en over het water binnen de Unie van, naar en door België, alsook op reisoperatoren, en er worden ook andere doelstellingen dan enkel het bestrijden van terroristische misdrijven en ernstige criminaliteit nagestreefd. Volgens diezelfde informatie lijkt het erop dat alle gegevens die met het bij die nationale wetgeving ingevoerde systeem worden verzameld, door de PIE worden bewaard in één databank met daarin de PNR-gegevens en de in artikel 3, lid 2, van de API-richtlijn bedoelde gegevens van alle onder die wetgeving vallende passagiers.

Voor zover de verwijzende rechter in zijn negende vraag, onder b), verwijst naar de doelstelling grenscontroles te verbeteren en illegale immigratie te bestrijden, wat de doelstelling van de API-richtlijn is, zij eraan herinnerd dat, zoals uit de punten 233, 234 en 237 van dit arrest blijkt, de lijst van doelstellingen die de PNR-richtlijn met de verwerking van PNR-gegevens nastreeft, limitatief is. Nationale wetgeving waarbij overeenkomstig deze richtlijn verzamelde PNR-gegevens kunnen worden verwerkt voor andere dan de in deze richtlijn genoemde doeleinden, zoals het verbeteren van grenscontroles en het bestrijden van illegale immigratie, is in strijd met artikel 6 van deze richtlijn, gelezen in het licht van het Handvest.

Zoals uit punt 235 van dit arrest blijkt, kunnen lidstaten evenmin één enkele databank oprichten met daarin én krachtens de PNR-richtlijn verzamelde PNR-gegevens voor vluchten naar of vanuit derde landen en vluchten binnen de EU én gegevens van passagiers die andere vervoersmiddelen nemen én de in artikel 3, lid 2, van de API-richtlijn bedoelde gegevens, zeker wanneer die databank kan geraadpleegd worden voor andere dan de in artikel 1, lid 2, van de PNR-richtlijn genoemde doeleinden.

Tot slot kunnen de artikelen 28 tot en met 31 van de wet van 25 december 2016, zoals de advocaat-generaal in punt 281 van zijn conclusie heeft aangegeven, hoe dan ook slechts verenigbaar zijn met het Unierecht en met artikel 67, lid 2, VWEU in het bijzonder indien zij zo worden uitgelegd en toegepast dat enkel API-gegevens van passagiers die de buitengrenzen van België met derde landen overschrijden, worden doorgegeven en verwerkt. Een maatregel waarmee een lidstaat, om grenscontroles te verbeteren en illegale immigratie te bestrijden, de API-richtlijn en met name de verplichting om passagiersgegevens door te geven (artikel 3, lid 1) zou uitbreiden naar vluchten binnen de EU en zelfs naar andere transportmiddelen waarmee passagiers uit, vanuit of door die lidstaat binnen de Unie reizen, zou er immers op neerkomen dat de bevoegde autoriteiten bij overschrijding van de binnengrenzen van die lidstaat systematisch kunnen nagaan of die passagiers het grondgebied mogen binnenkomen dan wel verlaten, en zou dus een gelijke werking hebben als een controle aan de buitengrenzen met derde landen.

Gelet op al het voorgaande dient op de negende vraag, onder b), te worden geantwoord dat het Unierecht en met name artikel 2 van de PNR-richtlijn, gelezen in het licht van artikel 3, lid 2, VEU, artikel 67, lid 2, VWEU en artikel 45 van het Handvest, aldus moet worden uitgelegd dat het zich verzet tegen:

Met zijn tiende vraag wenst de verwijzende rechter in wezen te vernemen of het Unierecht aldus moet worden uitgelegd dat een nationale rechter de werking in de tijd mag beperken van de ongeldigverklaring, die hij op grond van het nationale recht dient uit te spreken, van nationale wetgeving die luchtvaartmaatschappijen, spoorwegvervoerders, wegvervoerders en reisoperatoren verplicht om PNR-gegevens door te geven en die een verwerking en bewaring van deze gegevens voorschrijft die onverenigbaar is met de bepalingen van de PNR-richtlijn, gelezen in het licht van artikel 3, lid 2, VEU, artikel 67, lid 2, VWEU en de artikelen 7, 8 en 45 en artikel 52, lid 1, van het Handvest.

Het beginsel van voorrang van het Unierecht houdt in dat dit recht voorrang heeft op het recht van de lidstaten. Dit beginsel verplicht dus alle instanties van de lidstaten om volle werking te verlenen aan de verschillende bepalingen van het Unierecht, aangezien het recht van de lidstaten niet kan afdoen aan de werking die op het grondgebied van die staten aan deze bepalingen is verleend. Dit beginsel brengt mee dat, indien nationale wetgeving niet in overeenstemming met de vereisten van het Unierecht kan worden uitgelegd, de nationale rechter die in het kader van zijn bevoegdheid is belast met de toepassing van de bepalingen van het Unierecht, verplicht is de volle werking van deze bepalingen te verzekeren en daarbij zo nodig, op eigen gezag, elke, zelfs latere, strijdige bepaling van de nationale wetgeving buiten toepassing te laten, zonder dat hij de voorafgaande opheffing hiervan via de wetgeving of enige andere constitutionele procedure hoeft te vragen of af te wachten (arresten van 15 juli 1964, Costa, 6/64, EU:C:1964:66, blz. 1159 en 1160; 6 oktober 2020, La Quadrature du Net e.a., C-511/18, C-512/18 en C-520/18, EU:C:2020:791, punten 214 en 215, en 5 april 2022, Commissioner of An Garda Síochána e.a., C-140/20, EU:C:2022:258, punt 118).

Enkel het Hof kan, bij wijze van uitzondering en om dwingende redenen van rechtszekerheid, een voorlopige opschorting toestaan van het effect dat een regel van het Unierecht op het daarmee strijdige nationale recht heeft, namelijk de terzijdestelling daarvan. Een dergelijke beperking in de tijd van de werking van de door het Hof aan het Unierecht gegeven uitlegging kan slechts worden vastgesteld in het arrest waarin de gevraagde uitlegging wordt gegeven. Aan de voorrang en de uniforme toepassing van het Unierecht zou afbreuk worden gedaan indien de nationale rechterlijke instanties bevoegd waren om, al was het maar tijdelijk, aan nationale bepalingen voorrang te geven boven het Unierecht waarmee deze bepalingen in strijd zijn (arrest van 5 april 2022, Commissioner of An Garda Síochána e.a., C-140/20, EU:C:2022:258, punt 119 en aldaar aangehaalde rechtspraak).

Anders dan de niet-nakoming van een procedurele verplichting als de voorafgaande beoordeling van de gevolgen van een project voor het milieu, waarover het ging in de zaak die heeft geleid tot het arrest van 29 juli 2019, Inter-Environnement Wallonie en Bond Beter Leefmilieu Vlaanderen (C-411/17, EU:C:2019:622, punten 175, 176, 179 en 181), en waarin het Hof een voorlopige opschorting heeft toegestaan van voormeld effect van terzijdestelling, kan een schending van de bepalingen van de PNR-richtlijn, gelezen in het licht van de artikelen 7, 8 en 45 en artikel 52, lid 1, van het Handvest, niet worden geregulariseerd via een procedure die vergelijkbaar is met die welke in die zaak werd aanvaard. Handhaving van de gevolgen van nationale wetgeving als de wet van 25 december 2016 zou immers betekenen dat die regeling luchtvaartmaatschappijen, andere vervoerders en reisoperatoren verplichtingen blijft opleggen die in strijd zijn met het Unierecht en die leiden tot ernstige inmengingen in de grondrechten van de personen van wie de gegevens zijn doorgegeven, bewaard en verwerkt en tot beperkingen op hun vrijheid van verkeer die verder gaan dan noodzakelijk is (zie naar analogie arrest van 5 april 2022, Commissioner of An Garda Síochána e.a., C-140/20, EU:C:2022:258, punt 122 en aldaar aangehaalde rechtspraak).

Bijgevolg mag de verwijzende rechter niet de werking in de tijd beperken van een door hem op grond van het nationale recht uit te spreken ongeldigverklaring van de in het hoofdgeding aan de orde zijnde nationale wetgeving (zie naar analogie arrest van 5 april 2022, Commissioner of An Garda Síochána e.a., C-140/20, EU:C:2022:258, punt 123 en aldaar aangehaalde rechtspraak).

Voor zover de verwijzende rechter zich tot slot afvraagt wat de gevolgen zijn van de vaststelling van een eventuele onverenigbaarheid van de wet van 25 december 2016 met de PNR-richtlijn, gelezen in het licht van het Handvest, voor de ontvankelijkheid en het gebruik in strafprocedures van de bewijzen en inlichtingen die via de door de vervoerders en reisoperatoren doorgegeven gegevens zijn verkregen, volstaat het te verwijzen naar de rechtspraak van het Hof hierover en met name naar de beginselen in de punten 41 tot en met 44 van het arrest van 2 maart 2021, Prokuratuur (Voorwaarden voor toegang tot elektronische-communicatiegegevens) (C-746/18, EU:C:2021:152), waaruit blijkt dat die ontvankelijkheidskwestie overeenkomstig het beginsel van de procedurele autonomie van de lidstaten onder het nationale recht valt, op voorwaarde dat met name de beginselen van gelijkwaardigheid en doeltreffendheid worden geëerbiedigd (zie naar analogie arrest van 5 april 2022, Commissioner of An Garda Síochána e.a., C-140/20, EU:C:2022:258, punt 127).

Gelet op de voorgaande overwegingen dient op de tiende vraag te worden geantwoord dat het Unierecht aldus moet worden uitgelegd dat het zich ertegen verzet dat een nationale rechter de werking in de tijd beperkt van de ongeldigverklaring, die hij op grond van het nationale recht dient uit te spreken, van nationale wetgeving die luchtvaartmaatschappijen, spoorwegvervoerders, wegvervoerders en reisoperatoren verplicht om PNR-gegevens door te geven en die een verwerking en bewaring van deze gegevens voorschrijft die onverenigbaar is met de bepalingen van de PNR-richtlijn, gelezen in het licht van artikel 3, lid 2, VEU, artikel 67, lid 2, VWEU en de artikelen 7, 8 en 45 en artikel 52, lid 1, van het Handvest. De ontvankelijkheid van de op deze manier verkregen bewijzen is een kwestie die overeenkomstig het beginsel van de procedurele autonomie van de lidstaten onder het nationale recht valt, op voorwaarde dat met name de beginselen van gelijkwaardigheid en doeltreffendheid worden geëerbiedigd.