| | |
| Številka: | U-I-152/17-53 |
| Datum: | 3. 9. 2020 |
Ustavno sodišče je v postopku za oceno ustavnosti, začetem z zahtevo Varuha človekovih pravic, na seji 3. septembra 2020
1. Sodišču se na podlagi 267. člena Pogodbe o delovanju Evropske unije predloži v predhodno odločanje naslednji vprašanji glede veljavnosti Direktive (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj (UL L 119, 4. 5. 2016), in sicer:
a) Ali je 8. točka Priloge I k Direktivi (EU) 2016/681 združljiva s 7. in 8. členom ter prvim odstavkom 52. člena Listine Evropske unije o temeljnih pravicah, glede na to, da ni jasno razvidno, ali vključuje le podatek, da ima oseba status pogostega potnika ali tudi druge podatke v zvezi z leti in rezervacijami iz programa pogostega potnika, kar bi lahko pomenilo, da se ne spoštuje zahteva po jasnosti in natančnosti pravil, s katerimi se posega v pravico do zasebnosti in pravico do varstva osebnih podatkov?
b) Ali je 12. točka Priloge I k Direktivi (EU) 2016/681 združljiva s 7. in 8. členom ter prvim odstavkom 52. člena Listine Evropske unije o temeljnih pravicah, glede na to, da zahtevani podatki niso navedeni izčrpno, hkrati pa navedena točka ne določa omejitve glede narave in obsega podatkov, kar bi lahko pomenilo, da se ne spoštuje zahteva po jasnosti in natančnosti pravil, s katerimi se posega v pravico do zasebnosti in pravico do varstva osebnih podatkov?
2. Postopek za oceno ustavnosti 31. točke prvega odstavka 125. člena Zakona o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr., 10/17 in 47/19) se prekine do odločitve Sodišča.
I. Postopek pred Ustavnim sodiščem
1. Varuh človekovih pravic (v nadaljevanju predlagatelj) je na podlagi pete alineje prvega odstavka 23.a člena Zakona o Ustavnem sodišču (Uradni list RS, št. 64/07 – uradno prečiščeno besedilo, 109/12 in 23/20 – v nadaljevanju ZUstS) vložil zahtevo za oceno ustavnosti treh med seboj neodvisnih sklopov določb Zakona o nalogah in pooblastilih policije (v nadaljevanju ZNPPol). Ustavno sodišče je o zahtevi predlagatelja že odločilo glede dveh sklopov, in sicer glede uporabe brezpilotnih zrakoplovov pri opravljanju policijskih nalog (četrti odstavek 113. člena ZNPPol) in glede uporabe tehničnega sredstva optične prepoznave registrskih tablic pri opravljanju policijskih nalog (tretja alineja drugega odstavka 114.a člena ZNPPol).1 Tretji sklop, ki se nanaša na obdelavo podatkov iz evidence podatkov o potnikih (PNR),2 pa je bil v času postopka pred Ustavnim sodiščem predmet zakonskih sprememb (Zakon o spremembah in dopolnitvah Zakona o nalogah in pooblastilih policije, Uradni list RS, št. 47/19 – v nadaljevanju ZNPPol-B). Zahtevo za oceno ustavnosti prej veljavne ureditve, ki se nanaša na obdelavo podatkov iz evidence podatkov o potnikih (PNR), je Ustavno sodišče zavrglo s sklepom št. U-I-152/17 z dne 3. 9. 2020.
2. Predlagatelj je zahtevo za oceno ustavnosti razširil tudi na zdaj veljavno ureditev (začetek veljavnosti od 10. 8. 2019), vendar le glede 31. točke 125. člena ZNPPol. Tej določbi očita kršitev 38. člena Ustave, ki zagotavlja pravico do varstva osebnih podatkov.
II. Navedbe udeležencev v postopku pred Ustavnim sodiščem
Navedbe predlagatelja v zahtevi za oceno ustavnosti
3. Predlagatelj zatrjuje, da sta osebna podatka iz 31. točke 125. člena ZNPPol (evidenca potnikov iz sistema rezervacij letalskih vozovnic (PNR)) navedena v neskladju s pravico do varstva osebnih podatkov, ker nista v zakonu določno opredeljena, kot to sicer terja 38. člen Ustave. Gre za podatek: »informacije v zvezi s programi za pogoste potnike« in »informacije o drugih morebitnih posebnostih, povezanih s potnikom«.
4. Predlagatelj opozarja, da je nejasna in nedoločna tudi Direktiva (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj (v nadaljevanju Direktiva (EU) 2016/681),ki v Prilogi I določa nabor osebnih podatkov, ki so jih dolžni letalski prevozniki posredovati pristojnim organom. Med njimi izpostavi podatek iz evidence podatkov o potnikih: »informacije v zvezi s programi za pogoste potnike« iz 8. točke, kot se glasi v slovenski različici. Opozarja, da naj bi besedna zveza »v zvezi« nakazovala na odprtost opredelitve in da lahko zato vključuje številne osebne podatke, med katerimi ni samo po sebi očitno, ali so potrebni za namen, ki ga Direktiva (EU) 2016/681 zasleduje. Meni, da je ta direktiva v tem delu zato v neskladju s 7. in 8. členom Listine Evropske unije o temeljnih pravicah (prečiščena različica, UL C 202, 7. 6. 2016 – v nadaljevanju Listina).
Odgovor Državnega zbora Republike Slovenije in mnenje Vlade Republike Slovenije
5. Državni zbor pojasnjuje, da je pri oblikovanju podatkovnih elementov iz evidence potnikov (PNR) zakonodajalec izhajal iz mednarodnih podatkovnih standardov PNR in API. Navaja, da je zakonodajno-pravna služba Državnega zbora opozarjala tudi na določnost obsega podatkov, ki so predmet posredovanja, saj pomensko nejasne, vendar za zakonsko urejanje bistvene določbe otežujejo presojo sorazmernosti posega v ustavno zagotovljeno varstvo zasebnosti. Zatrjuje, da gre pri obeh spornih podatkih (rubrikah) za prenos 8. oziroma 12. točke Priloge I Direktive (EU) 2016/681.
6. Vlada navaja, da je pri pripravi podatkovnih elementov PNR in API v 30. in 31. točki 125. člena ZNPPol upoštevala podatkovne standarde, ki jih podpira Evropska komisija, in ta tudi poziva države članice, naj jih upoštevajo. Gre za podatkovne standarde, ki so jih izoblikovali Mednarodno združenje za zračni transport (IATA), Mednarodna organizacija civilnega letalstva (ICAO) in Svetovna carinska organizacija (WCO) in so predstavljeni v smernicah »Guidelines on Passenger Name Record (PNR) Data« in »Guidelines on Advance Passenger Information (API)«.
7. Vlada na očitek o nedoločnosti rubrike »informacije v zvezi s programi za pogoste potnike« pojasni, da ta rubrika pomeni le status pogostega potnika. Sicer pa pomeni prenos 8. točke Priloge I Direktive (EU) 2016/681.
8. Glede druge rubrike »informacije o drugih morebitnih posebnostih, povezanih s potnikom« Vlada pojasni, da pomeni prenos 12. točke Priloge I Direktive (EU) 2016/681, torej »splošne opombe«. Navaja, da je ta rubrika jasna, določena z mednarodno priznanimi podatkovnimi standardi. Kot primer našteva, kaj vsebuje ta podatkovni element: informacije o mladoletnikih brez spremstva, mlajših od 18 let, kontaktne podatke skrbnika pri prihodu, sorodstveno razmerje skrbnika do mladoletnika, podatke o zastopniku, podatke o deportiranih osebah, ali ima oseba dovoljenje za nošenje orožja, ali oseba potuje z živaljo. Vlada meni, da se podatki iz te rubrike zbirajo in obdelujejo »po analogiji«. Takšen zakonodajni pristop naj ne bi pomenil težjega posega v pravico do varstva osebnih podatkov, kot če so podatki izrecno določeni z zakonom.
Odgovor predlagatelja na navedbe Državnega zbora in Vlade
9. V odgovoru predlagatelj vztraja, da je izpodbijana določba neskladna s standardi varstva človekovih pravic, kot jih je postavilo Ustavno sodišče. Hkrati pa predlaga, naj Ustavno sodišče, če bo podvomilo tudi o skladnosti Direktive (EU) 2016/681 z Listino, sproži postopek predhodnega odločanja po 267. členu Pogodbe o delovanju Evropske unije (prečiščena različica, UL C 202, 7. 6. 2016 – v nadaljevanju PDEU).
III. Upoštevne določbe prava Evropske unije
10. Listina v 7. in 8. členu ter prvem odstavku 52. člena določa:
Spoštovanje zasebnega in družinskega življenja
Vsakdo ima pravico do spoštovanja svojega zasebnega in družinskega življenja, stanovanja ter komunikacij.
1. Vsakdo ima pravico do varstva osebnih podatkov, ki se nanj nanašajo.
2. Osebni podatki se morajo obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom. Vsakdo ima pravico dostopa do podatkov, zbranih o njem, in pravico zahtevati, da se ti podatki popravijo.
3. Spoštovanje teh pravil nadzira neodvisen organ.
Obseg pravic in načel ter njihova razlaga
1. Kakršno koli omejevanje uresničevanja pravic in svoboščin, ki jih priznava ta listina, mora biti predpisano z zakonom in spoštovati bistveno vsebino teh pravic in svoboščin. Ob upoštevanju načela sorazmernosti so omejitve dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali če so potrebne zaradi zaščite pravic in svoboščin drugih.
[…]
11. Direktiva (EU) 2016/681 v upoštevnih določbah navaja:
1. Podatke PNR, ki jih posredujejo letalski prevozniki, zbira enota za informacije o potnikih zadevne države članice, kot je določeno v členu 8. Kadar podatki PNR, ki jih posredujejo letalski prevozniki, vključujejo podatke, ki niso navedeni v Prilogi I, enota za informacije o potnikih takšne podatke ob prejemu izbriše takoj in trajno.
Podatki iz evidence podatkov o potnikih, kolikor jih zbirajo letalski prevozniki
[…]
8. Informacije v zvezi s programi za pogoste potnike
[…]
12. Splošne opombe (vključno z vsemi razpoložljivimi informacijami o mladoletnikih brez spremstva, mlajših od 18 let, kot so ime in spol, starost, znanje jezikov, ime in kontaktni podatki skrbnika pri odhodu ter sorodstveno razmerje z mladoletnikom, ime in kontaktni podatki skrbnika pri prihodu in sorodstveno razmerje z mladoletnikom, podatki o zastopniku ob odhodu in prihodu)
IV. Upoštevne določbe Ustave in nacionalne zakonodaje
12. člen 38 Ustave se glasi:
(varstvo osebnih podatkov)
Zagotovljeno je varstvo osebnih podatkov. Prepovedana je uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja.
Zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon.
Vsakdo ima pravico seznaniti se z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi.
13. Spodaj navedene določbe ZNPPol, ki vključujejo tudi izpodbijano določbo, so bile poleg Zakona o spremembah in dopolnitvah Zakona o letalstvu (Uradni list RS, št. 47/19 – v nadaljevanju ZLet-E)3 in Predloga Zakona o varstvu osebnih podatkov (ZVOP-2)4 del zakonodajnega načrta za prenos Direktive (EU) 2016/681. Pravno upoštevne določbe ZNPPol se glasijo:
(prenos predpisov Evropske unije)
[…]
(2) S tem zakonom se v pravni red Republike Slovenije prenaša Direktiva (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj (UL L št. 119 z dne 4. 5. 2016, str. 132), v delu, ki ureja obdelavo, zbiranje, uporabo in hrambo podatkov iz evidence podatkov o potnikih (PNR) s strani pristojnega organa države ter izmenjavo informacij.
5. ZBIRANJE IN OBDELAVA PODATKOV
(1) Policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, […]
(zbiranje in obdelava podatkov iz evidence potnikov iz sistema rezervacij letalskih vozovnic (PNR))
(1) Policija zbira podatke iz 31. točke prvega odstavka 125. člena tega zakona (v nadaljnjem besedilu: podatki potnikov iz sistema rezervacij letalskih vozovnic) za vse redne in posebne lete od letalskih prevoznikov, ki svojo prevozno dejavnost opravljajo iz tretjih držav ali iz držav članic EU na ozemlje Republike Slovenije in v obratni smeri oziroma z vmesnim postankom na ozemlju Republike Slovenije.
(2) Policija podatke iz prejšnjega odstavka zbira in obdeluje zaradi preprečevanja, odkrivanja, preiskovanja in pregona terorističnih in drugih hudih kaznivih dejanj iz 112.č člena tega zakona.
(3) Osebni podatki potnikov iz 31. točke prvega odstavka 125. člena tega zakona se med seboj primerjajo za potrditev prave identitete potnikov, na katere se ti podatki nanašajo.
(4) Nacionalna enota za informacije o potnikih v skladu z namenom iz drugega odstavka tega člena podatke potnikov iz sistema rezervacij letalskih vozovnic obdeluje:
– s preverjanjem in ocenjevanjem potnikov pred njihovim prihodom na ozemlje Republike Slovenije ali pred njihovim odhodom s tega ozemlja, da se identificira tiste potnike, ki bi jih morali policija in drugi pristojni organi podrobneje varnostno obravnavati z vidika dejstva, da bi lahko sodelovali pri terorističnem ali drugem hudem kaznivem dejanju,
– z analitično obdelavo teh podatkov, da se oblikujejo nova nediskriminatorna ocenjevalna merila ali da se posodabljajo veljavna ocenjevalna merila z namenom identifikacije tistih potnikov, ki bi lahko sodelovali pri terorističnem ali drugem hudem kaznivem dejanju,
– s posredovanjem teh podatkov, da policija ali drugi pristojni organi izvedejo potrebne aktivnosti v posamičnih primerih.
(5) Preverjanje in ocenjevanje potnikov iz sistema rezervacij letalskih vozovnic iz prve alineje prejšnjega odstavka poteka tako, da se ti podatki po prejemu avtomatizirano preverijo z vnaprej določenimi ocenjevalnimi merili in v naslednjih evidencah policije iz drugega odstavka 123. člena tega zakona:
– v evidenci kaznivih dejanj,
– v evidenci operativnih informacij,
– v evidenci oseb, zoper katere so bili izvedeni prikriti preiskovalni ukrepi iz zakona, ki ureja kazenski postopek,
– v evidenci prikritih in namenskih kontrol in
– v evidenci odrejenih ukrepov sodišč.
(6) Vsa ujemanja pri avtomatizirani obdelavi podatkov iz prejšnjega odstavka se posamično pregledajo še z neavtomatiziranimi sredstvi, da se preverita njihova aktualnost in pravilnost.
(7) Ocenjevalna merila iz druge alineje četrtega odstavka tega člena se pripravljajo na podlagi analitične obdelave podatkov oziroma informacij, pridobljenih v skladu z zakonom, in predstavljajo specifične potovalne vzorce storilcev terorističnih in drugih hudih kaznivih dejanj oziroma njihovih žrtev ter zato omogočajo usmerjeno delo policije in drugih pristojnih organov na takšne osebe. Ocenjevalna merila na podlagi pisne in utemeljene ocene tveganja oblikuje in sproti posodablja nacionalna enota za informacije o potnikih v sodelovanju z drugimi enotami policije in drugimi organi s seznama iz osmega odstavka 112.c člena tega zakona.
[…]
(1) Policija upravlja in vzdržuje evidence, v katerih zaradi opravljanja policijskih nalog uslužbenci policije zbirajo in obdelujejo osebne in druge podatke.
(2) V zvezi z izvajanjem policijskih pooblastil policija vodi in vzdržuje naslednje evidence:
[…]
31. evidenco potnikov iz sistema rezervacij letalskih vozovnic (PNR),
[…]
(skupni osebni podatki v evidencah)
(1) V evidencah iz prejšnjega člena smejo biti naslednji skupni osebni podatki oseb:
– osebno ime,
– rojstni podatki (dan, mesec, leto, kraj),
– EMŠO, za tujega državljana pa številka, vrsta in država izdajateljica osebnega dokumenta,
– spol,
– naslov stalnega oziroma začasnega prebivališča,
– identifikacijska oznaka osebe, ki je v policijskih evidencah,
– državljanstvo.
(2) V evidencah iz prejšnjega člena smejo biti naslednji skupni podatki samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, pravne osebe in državnega organa:
– firma,
– pravnoorganizacijska oblika,
– sedež,
– matična številka in
– davčna številka.
V posameznih evidencah se poleg podatkov iz prejšnjega člena smejo obdelovati dodatni osebni podatki ter drugi podatki ali informacije, kot določa ta zakon:
[…]
31. evidenca potnikov iz sistema rezervacij letalskih vozovnic (PNR): datum rezervacije letalske vozovnice, datum in kraj izdaje ter drugi podatki z letalske vozovnice, identifikacijska številka potnika iz informacijskega sistema letalskega prevoznika, naslovi in drugi kontaktni podatki iz rezervacije letalske vozovnice, lažno ime potnika, potovalni status potnika, vključno s potrditvami, prijavo na let, informacijami o neizkoriščenih in neodpovedanih rezervacijah ter informacijami o letalskih vozovnicah brez rezervacije, podatki o načinu plačila letalske vozovnice, vključno z naslovom za izstavitev računa, podatki o sedežu in prtljagi potnika, informacije v zvezi s programi za pogoste potnike, informacije o drugih morebitnih posebnostih, povezanih s potnikom, predvideni datum potovanja, popoln načrt potovanja, podatki v zvezi z letom, vključno z informacijami o letih pod skupno oznako, število in osebna imena drugih potnikov, povezanih z isto rezervacijo, informacije o ločitvi skupne rezervacije letalskih vozovnic zaradi spremembe ali odpovedi poti enega ali več potnikov, podatki o potovalni agenciji oziroma potovalnem agentu, vse naknadne spremembe podatkov in vsi zbrani podatki potnika, prijavljenega na let (API): podatki o letu, načrtovani in dejanski datum, ura ter kraj vzleta in pristanka letala, število vseh potnikov na letalu, potovalni status osebe na letalu, vrsta, številka, država izdaje in datum izteka veljavnosti potovalnega dokumenta, kraj vkrcanja in izkrcanja potnika, mejni prehod vstopa potnika na ozemlje držav članic, podatki o sedežu in prtljagi potnika ter identifikacijska številka potnika iz informacijskega sistema letalskega prevoznika;
[…]
V. Pristojnosti Ustavnega sodišča in položaj predlagatelja v postopku pred Ustavnim sodiščem
14. Na podlagi prve in druge alineje prvega odstavka 160. člena Ustave je Ustavno sodišče pristojno odločati o skladnosti zakonov z Ustavo ter z ratificiranimi mednarodnimi pogodbami in s splošnimi načeli mednarodnega prava. Ustavno sodišče je protiustavne zakone pristojno v celoti ali delno razveljaviti (prvi odstavek 161. člena Ustave). Razveljavitev lahko učinkuje takoj ali v roku, ki ga določi Ustavno sodišče in ni daljši od enega leta (drugi odstavek 161. člena Ustave).
15. Peta alineja prvega odstavka 23.a člena ZUstS v zvezi z drugim odstavkom 162. člena Ustave določa, da lahko varuh človekovih pravic z zahtevo začne postopek za oceno ustavnosti predpisa ali splošnega akta, izdanega za izvrševanje javnih pooblastil, če meni, da nedopustno posega v človekove pravice ali temeljne svoboščine. Varuh aktivno legitimacijo za vložitev zahteve pred Ustavnim sodiščem izkazuje že zgolj na podlagi svoje ocene, da gre za nedopusten poseg v človekove pravice ali temeljne svoboščine. Z vložitvijo zahteve za oceno ustavnosti ZNPPol je svojo oceno utemeljil. Zato so izpolnjeni procesni pogoji, da Ustavno sodišče odloči o utemeljenosti zahteve.
VI. Ustaljena sodna praksa glede pravice do varstva osebnih podatkov
16. Iz Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo – v nadaljevanju ZVOP-1), Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (UL L 119, 4. 5. 2016 – v nadaljevanju Uredba (EU) 2016/679) in Direktive (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL L 119, 4. 5. 2016 – v nadaljevanju Direktiva (EU) 2016/680), ki so sprejeli široko, vsevključujočo opredelitev, izhaja, da je osebni podatek katerakoli informacija v zvezi z določenim ali določljivim posameznikom; določljiv posameznik pa je tisti, ki ga je mogoče neposredno ali posredno določiti.5 Podatki iz »evidence potnikov iz sistema rezervacij letalskih vozovnic (PNR)«6 oziroma »iz evidence podatkov o potnikih, kolikor jih zbirajo letalski prevozniki«,7 so osebni podatki, ker se očitno nanašajo na določenega posameznika. Zbiranje, shranjevanje in drugo delovanje oziroma niz delovanja, ki se izvaja v zvezi z njimi, pomeni obdelovanje osebnih podatkov.8 Iz sodne prakse Sodišča izhaja, da se spoštovanje pravice do zasebnega življenja v zvezi z obravnavo osebnih podatkov, ki jo določata 7. in 8. člen Listine, nanaša na vsako informacijo o določeni ali določljivi fizični osebi.9
17. Po ustaljeni ustavnosodni presoji pomeni vsako obdelovanje osebnih podatkov poseg v ustavno pravico do varstva osebnih podatkov iz 38. člena Ustave.10
18. Drugi odstavek 38. člena Ustave zahteva, da je obdelovanje osebnih podatkov predmet zakonskega urejanja.11 Poseg v pravico do varstva osebnih podatkov je dopusten, če je v zakonu med drugim določno opredeljeno, kateri podatki se smejo zbirati in obdelovati.12
19. Zahteva, da je obdelovanje osebnih podatkov predmet zakonskega urejanja, ne pomeni le golega obstoja zakonske določbe, ki omogoča obdelovanje osebnih podatkov na določen način, temveč mora biti taka zakonska določba tudi skladna s tistimi načeli pravne države iz 2. člena Ustave, ki terjajo, da so določbe opredeljene jasno in pomensko določljivo tako, da jih je mogoče izvajati, da ne omogočajo samovoljnega ravnanja izvršilne veje oblasti in da nedvoumno ter dovolj določno opredeljujejo pravni položaj subjektov, na katere se nanašajo. Pri ureditvi, ki se nanaša na občutljivo področje informacijske zasebnosti, v katero posega država z zbiranjem osebnih podatkov, je zahteva po jasnih in pomensko določljivih določbah posebnega pomena.13
20. Iz ustaljene sodne prakse ESČP izhaja zahteva po zakonitosti posega iz drugega odstavka 8. člena EKČP; ukrep mora biti predvidljiv v smislu, da so njegove določbe dovolj natančne, jasne in določne, da lahko državljani vedo, pod katerimi pogoji in v kakšnih okoliščinah lahko državni organi izvršujejo zadevni ukrep, domače pravo pa mora v skladu z načelom pravne države vsebovati primerne in učinkovite varovalke proti arbitrarnim posegom in zlorabam.14 V skladu s sodno prakso ESČP morajo ukrepi, s katerimi se posega v pravico do varstva osebnih podatkov, temeljiti na jasnih in natančnih pravnih normah, ki opredeljujejo obseg in uporabo ukrepa, kot tudi minimalna jamstva glede trajanja, hrambe, uporabe, dostopa tretjih oseb, postopkov za zagotavljanje celovitosti in zaupnosti podatkov ter postopka uničenja podatkov. Prav s tem se zagotavljajo zadostna jamstva zoper nevarnost zlorabe in samovolje. Le ukrepe, ki temeljijo na opisanih pravnih standardih, opredeljenih z zakonom, je v skladu z ustaljeno sodno prakso ESČP mogoče šteti za nujne v demokratični družbi.15
21. Podobno izhaja tudi iz ustaljene sodne prakse Sodišča. Zahteva, da mora biti kakršnakoli omejitev uresničevanja temeljnih pravic predpisana z zakonom, je izpolnjena le v primeru, če pravna podlaga, ki omogoča poseganje v te pravice, sama opredeljuje obseg omejitve uresničevanja zadevne pravice. Kar zadeva spoštovanje načela sorazmernosti, varstvo temeljne pravice do spoštovanja zasebnega življenja zahteva, da se odstopanja od varstva osebnih podatkov in njegove omejitve določijo v mejah nujno potrebnega. V ta namen mora ureditev določati jasna in natančna pravila, ki urejajo obseg in uporabo zadevnega ukrepa ter določajo minimalne zahteve, tako da imajo osebe, katerih podatki so bili preneseni, na voljo zadostna jamstva, ki omogočajo učinkovito varovanje njihovih osebnih podatkov pred tveganji zlorabe. Zlasti mora biti v ureditvi navedeno, v kakšnih okoliščinah in pod katerimi pogoji je mogoče sprejeti ukrep, ki določa obdelavo takih podatkov, s čimer se zagotovi, da je poseganje omejeno na to, kar je nujno potrebno. Nujnost obstoja takih jamstev je toliko pomembnejša, če se osebni podatki obdelujejo samodejno.16
VII. Razlogi za vložitev predloga za sprejetje predhodne odločbe (zveznost) in dvom o veljavnosti določb Direktive (EU) 2016/681
22. Republika Slovenija je s pristopom k Uniji na podlagi 3.a člena Ustave prenesla izvrševanje dela suverenih pravic na Evropsko unijo.17 Iz tretjega odstavka 3.a člena Ustave izhaja, da se pravni akti in odločitve, sprejeti v okviru Evropske unije, uporabljajo v skladu s pravno ureditvijo Evropske unije.18 Ta določba zavezuje tudi Ustavno sodišče, da pri izvrševanju svojih pristojnosti upošteva pravo Evropske unije tako, kot to iz njega izhaja.19
23. Izpodbijane določbe ZNPPol, kot bo pojasnjeno kasneje, prenašajo obveznosti, ki jih nalaga Direktiva (EU) 2016/681, torej njihovo izvrševanje pomeni uporabo prava Evropske unije. Glede na to, da se po prvem odstavku 51. člena Listine njene določbe uporabljajo za države članice, ko izvajajo pravo Evropske unije, gre tudi v tem pogledu za uporabo prava Evropske unije.
24. Ustavno sodišče je že sprejelo stališče, da njegova pristojnost za presojo ustavnosti predpisov, ki implementirajo direktive v notranji pravni red, ni izključena.20
25. Glede na to, da očitki o protiustavnosti zakonskih določb po vsebini pomenijo očitek neskladnosti določb Direktive (EU) 2016/681 z določbami 7. in 8. člena Listine, je odločitev o veljavnosti te direktive ključnega pomena za presojo ustavnosti določb nacionalne zakonodaje. O veljavnosti direktive je na podlagi točke b) prvega odstavka 267. člena PDEU izključno pristojno presojati Sodišče.21 Ker se v obravnavani zadevi postavlja vprašanje veljavnosti Direktive (EU) 2016/681, je odgovor Sodišča na to vprašanje ključen za nadaljnje odločanje Ustavnega sodišča.
26. O veljavnosti Direktive (EU) 2016/681 zaradi njene skladnosti s 7. in 8. členom Listine Sodišče v času tega postopka še ni odločilo. Je pa vprašanje o veljavnosti Direktive (EU) 2016/681 trenutno že bilo predloženo Sodišču v predhodno odločanje v zadevah C-817/19, C-148/20, C-149/20 in C-150/20.
Točka 8 Priloge I k Direktivi (EU) 2016/681– »informacije v zvezi s programi za pogoste potnike«
27. Podatek iz evidence potnikov iz sistema rezervacij letalskih vozovnic (PNR) iz 31. točke 125. člena ZNPPol »informacije v zvezi s programi za pogoste potnike« po navedbah Vlade in tudi na podlagi gradiva glede zakonodajnega postopka ZNPPol-B in ZLet-E pomeni prenos 8. točke Priloge I k Direktivi (EU) 2016/681, ki se v slovenski jezikovni različici glasi »Informacije v zvezi s programi za pogoste potnike«. Vlada zatrjuje, da ta rubrika vsebuje zgolj status pogostega potnika.
28. Razlaga določb prava Unije vključuje tudi primerjavo jezikovnih različic.22 Primerjava npr. angleške (Frequent flyer information), nemške (Vielflieger-Eintrag), francoske (Informations »grands voyageurs«) ali hrvaške različice (Podaci o programima vjernosti) ne odpravi dvoma, ali sporna rubrika pomeni le, kar zatrjuje Vlada v tem postopku, namreč da ima oseba le status pogostega potnika in da je vključena v program za pogoste potnike (kar bi morda lahko nakazovala nemška različica), ali pa nasprotno vključuje še druge podatke (hrvaška različica) oziroma informacije (angleška, francoska in slovenska različica) v zvezi z leti in rezervacijami iz tega programa. Slovenska, hrvaška in francoska različica uporabljajo množinsko obliko samostalnika, čeprav vsi trije jeziki poznajo tudi edninsko obliko samostalnikov »informacija« oziroma »podatek« (z razliko od angleške različice, pri kateri gre za množinski samostalnik). To lahko nakazuje, da ta rubrika lahko vsebuje več kot le status potnika. Vlada se je v postopku sklicevala na uveljavljene mednarodne standarde in smernice v zvezi s podatkovnimi elementi PNR. Iz smernic ICAO23 izhaja, da frequent flyer information vključuje številko računa in status potnika (frequent flyer account number and elite status).
29. Na podlagi navedenega se torej zastavlja vprašanje, ali ta rubrika pomeni le, da ima oseba status pogostega potnika in da je vključena v program za pogoste potnike, ali pa morda vključuje še druge podatke v zvezi z leti in rezervacijami iz tega programa. Ker odgovor na to vprašanje ni očitno jasen, po mnenju predložitvenega sodišča navedena določba vzbuja dvom, ali izpolnjuje zahtevo, da so odstopanje od varstva osebnih podatkov in njegove omejitve določeni v mejah tega, kar je nujno potrebno, kot to sicer izhaja iz ustaljene sodne prakse Sodišča.24 Za izpolnjevanje te zahteve mora ureditev, ki vsebuje poseganje, za izpolnjevanje te zahteve določati jasna in natančna pravila, ki urejajo obseg in uporabo zadevnega ukrepa.25 Sodišče je v omenjenem Mnenju št. 1/15, v katerem je presojalo veljavnost osnutka sporazuma med EU in Kanado, med drugim tudi glede rubrike iz PNR evidence »Dostopne informacije v zvezi s programi zvestobe in informacije o ugodnostih (tj. brezplačne vozovnice, potovanja v višjem potovalnem razredu itd.)«, zavzelo stališče:
»155. Kar zadeva podatke, na katere se predvideni sporazum nanaša, bi moral torej ta sporazum jasno in natančno opredeliti podatke iz PNR, ki naj bi jih letalski prevozniki v skladu z navedenim sporazumom prenesli v Kanado.
156. Glede tega je treba, čeprav 19 rubrik podatkov iz PNR, ki so vsebovane v Prilogi k predvidenemu sporazumu, v skladu s stališčem Komisije ustreza Prilogi I smernic Mednarodne organizacije civilnega letalstva (ICAO) v zvezi s podatki iz PNR, v skladu z navedbami generalnega pravobranilca v točki 217 sklepnih predlogov vseeno poudariti, da v rubriki 5, ki se nanaša na 'dostopne informacije v zvezi s programi zvestobe in informacije o ugodnostih (tj. brezplačne vozovnice, potovanja v višjem potovalnem razredu itd.)' […], niso dovolj jasno in natančno opredeljeni podatki iz PNR, ki jih je treba prenesti.
157. Kar zadeva rubriko 5, namreč uporaba izraza 'itd.' ne opredeljuje dovolj obsega podatkov, ki jih je treba prenesti. Poleg tega iz besedila te rubrike ni razvidno, ali se navedena rubrika nanaša na informacije, ki se nanašajo le na status letalskih potnikov v programih zvestobe, ali pa se nanaša na vse informacije v zvezi z letalskimi potovanji in transakcije, opravljene v okviru takih programov.«
30. To ugotovitev je po mnenju predložitvenega sodišča mogoče prenesti tudi na obravnavani primer. Čeprav 8. točka Priloge I k Direktivi (EU) 2016/681 ne uporablja izraza »itd«, kot jo je rubrika 5 v osnutku sporazuma med EU in Kanado, pa ostane še vedno odprto, kot že navedeno zgoraj, kolikšen je obseg teh podatkov.
31. Mnenje Sodišča št. 1/15 je bilo sicer izdano po začetku veljavnosti Direktive (EU) 2016/681. Evropski zakonodajalec te direktive ni spremenil ali dopolnil z zahtevami iz Mnenja Sodišča št. 1/15. To pa po oceni Ustavnega sodišča ne pomeni tudi, da stališča v Mnenju Sodišča št. 1/15 ne veljajo tudi za PNR ukrep, kot ga je vzpostavila Direktiva (EU) 2016/681. Ravno obratno, obstaja negotovost, ali bi Sodišče tudi slednjega razlagalo kot v Mnenju Sodišča št. 1/15.
32. Čeprav je šlo za presojo osnutka mednarodnega sporazuma, predložitveno sodišče meni, da so stališča Sodišča upoštevna tudi v tej zadevi; ker pravica do varstva osebnih podatkov zahteva tudi, da se kontinuiteta visoke ravni varstva temeljnih pravic in svoboščin, določena s pravom Unije, zagotavlja v primeru prenosa osebnih podatkov iz Unije v tretje države,26a fortiori velja to za ukrepe, ki jih sprejme Unija sama.
33. Na podlagi navedenega se predložitveno sodišče sprašuje, ali je navedena rubrika določena tako jasno in natančno, da je poseganje v pravico do varstva osebnih podatkov omejeno na tisto, kar je »nujno potrebno«, kot to izhaja iz ustaljene sodne prakse Sodišča. Zato se je predložitveno sodišče odločilo, da Sodišču postavi vprašanje, navedeno v izreku pod točko a, v predhodno odločanje.
Točka 12 Priloge I k Direktivi (EU) 2016/68 – »splošne opombe«
34. Drug v tem postopku sporen podatek iz 35. točke 125. člena ZNPPol (»informacije o drugih morebitnih posebnostih, povezanih s potnikom«) pomeni po mnenju Vlade, Državnega zbora in zakonodajnega predloga ZLet-E prenos 12. točke Priloge I k Direktivi (EU) 2016/681, ki se glasi:
12. Splošne opombe (vključno z vsemi razpoložljivimi informacijami o mladoletnikih brez spremstva, mlajših od 18 let, kot so ime in spol, starost, znanje jezikov, ime in kontaktni podatki skrbnika pri odhodu ter sorodstveno razmerje z mladoletnikom, ime in kontaktni podatki skrbnika pri prihodu in sorodstveno razmerje z mladoletnikom, podatki o zastopniku ob odhodu in prihodu)
35. V zvezi s tem predložitveno sodišče opozarja na stališče Sodišča v Mnenju št. 1/15, 160. točka:
»Kar zadeva rubriko 17, se ta nanaša na 'splošne opombe, vključno z drugimi dodatnimi informacijami (OSI), posebnimi informacijami v zvezi s storitvami (SSI) in posebnimi zahtevami v zvezi s storitvami (SSR)'. V skladu s pojasnili, ki jih je podala med drugim Komisija, gre pri tej rubriki za t. i. rubriko 'prosto besedilo' (free text), ki je namenjena vključitvi 'vseh dodatnih informacij' poleg tistih, ki so naštete drugje v prilogi k predvidenemu sporazumu. Iz take rubrike tako ni razvidno nič o naravi in obsegu informacij, ki jih je treba prenesti, zdi se celo, da bi lahko zajemala informacije, ki niso nikakor povezane s ciljem prenosa podatkov iz PNR. Poleg tega, ker so informacije iz navedene rubrike podane le primeroma, kot je razvidno iz uporabe izraza 'vključno', ta rubrika ne določa nobene omejitve glede narave in obsega informacij, ki jih lahko zajema. V teh okoliščinah ni mogoče šteti, da je rubrika 17 dovolj jasno in natančno omejena.«
36. Besedili 17. točke podatkovnega elementa, ki ga je vključeval osnutek sporazuma med EU in Kanado, in 12. točke Priloge I k Direktivi (EU) 2016/681 se sicer razlikujeta. Vendar pa tudi v 12. točki besedna zveza »vključno z« v slovenski jezikovni različici, including v angleški, einschließlich v nemški in uključujući v hrvaški jezikovni različici lahko nakazuje, da so podatki navedeni primeroma, ob tem pa ne določa omejitve glede narave in obsega informacij, ki jih lahko zajema. Zato je navedeno stališče Sodišča mogoče prenesti tudi na obravnavani primer.
37. Zato se zastavlja vprašanje, ali je 12. točka Priloge I k Direktivi (EU) 2016/681 določena tako jasno in natančno, da je poseganje v pravico do varstva osebnih podatkov omejeno na tisto, kar je nujno potrebno, kot to izhaja iz ustaljene sodne prakse Sodišča. Na podlagi tega se je predložitveno sodišče odločilo, da Sodišču postavi vprašanje, navedeno v izreku pod točko b, v predhodno odločanje.
VIII. Prekinitev postopka za oceno ustavnosti izpodbijanih določb
38. Glede na dvom o skladnosti ukrepa iz Direktive (EU) 2016/681 s primarnim pravom Evropske unije Ustavno sodišče o zadevi ne more odločiti, dokler Sodišče, ki je izključno pristojno presojati veljavnost navedene direktive, ne odloči o njeni veljavnosti. Zato je Ustavno sodišče predložilo v predhodno odločanje Sodišču vprašanji, navedeni v izreku tega sklepa (1. točka izreka), in do odločitve Sodišča prekinilo postopek odločanja o zahtevi za oceno ustavnosti izpodbijanih določb ZNPPol (2. točka izreka).
39. Ustavno sodišče je sprejelo ta sklep na podlagi 267. člena PDEU v zvezi s tretjim odstavkom 3.a člena Ustave in drugim odstavkom 41. člena ZUstS v sestavi: predsednik dr. Rajko Knez ter sodnice in sodniki dr. Matej Accetto, dr. Rok Čeferin, dr. Dunja Jadek Pensa, dr. Špelca Mežnar, dr. Marijan Pavčnik, Marko Šorli in dr. Katja Šugman Stubbs. Sklep je sprejelo soglasno.
1 Delni odločbi št. U-I-152/17 z dne 4. 7. 2019 (Uradni list RS, št. 46/19 in št. 48/19).
2 V 31. točki 125. člena ZNPPol imenovana tudi »evidenca potnikov iz sistema rezervacij letalskih vozovnic (PNR)«.
3 Novela je začela veljati 10. 8. 2019.
4 EVA 2018-2030-0045 – v času odločanja Ustavnega sodišča ta zakonodajni predlog še ni bil sprejet.
5 Prim. 1. točko 4. člena Uredbe (EU) 2016/679, 1. točko 3. člena Direktive (EU) 2016/680 ter 1. in 2. točko 6. člena ZVOP-1. Glej tudi mnenje št. 4/2007 Delovne skupine 29 o opredelitvi pojma osebni podatek.
6 31. točka 125. člena ZNPPol.
7 Priloge I k Direktivi (EU) 2016/681.
8 Prim. 2. točko 4. člena Uredbe (EU) 2016/679, 2. točko 3. člena Direktive (EU) 2016/680 in 3. točko 6. člena ZVOP-1.
9 Glej sodbo Sodišča v združenih zadevah Volker in Markus Schecke GbR in Hartmut Eifert proti Land Hessen, C-92/09 in C-93/09, z dne 9. 11. 2010, 52. točka, in tam navedene sodbe Evropskega sodišča za človekove pravice (v nadaljevanju ESČP).
10 Odločba Ustavnega sodišča št. U-I-411/06 z dne 19. 6. 2008 (Uradni list RS, št. 68/08, in OdlUS XVII, 43), 19. točka obrazložitve.
11 Odločbe Ustavnega sodišča št. U-I-238/99 z dne 9. 11. 2000 (Uradni list RS, št. 113/2000, in OdlUS IX, 257), 16. točka obrazložitve, št. U-I-92/01 z dne 28. 2. 2002 (Uradni list RS, št. 22/02, in OdlUS XI, 25), 25. točka obrazložitve, št. U-I-298/04 z dne 27. 10. 2005 (Uradni list RS, št. 100/05, in OdlUS XIV, 77), 7. točka obrazložitve, št. U-I-57/06 z dne 29. 3. 2007 (Uradni list RS, št. 33/07, in OdlUS XVI, 22), 62. točka obrazložitve, odločba št. U-I-411/06, 62. točka obrazložitve, in delna odločba U-I-152/17 z dne 4. 7. 2019 (Uradni list RS, št. 46/19), 22. točka obrazložitve.
12 Odločba Ustavnega sodišča št. U-I-238/99, 18. točka obrazložitve, in delna odločba Ustavnega sodišča št. U-I-152/17 z dne 4. 7. 2019 (Uradni list RS, št. 46/19), 22. točka obrazložitve.
13 Glej delno odločbo št. U-I-152/17 z dne 4. 7. 2019 (Uradni list RS, št. 46/19), 23. in 24. točka, ter prakso Ustavnega sodišča in ESČP, navedeno v njej.
14 Sodba ESČP v zadevi Benedik proti Sloveniji z dne 24. 4. 2018, 122. točka obrazložitve (in tam citirane sodbe).
15 Sodbi ESČP v zadevi S. in Marper proti Združenemu kraljestvu z dne 4. 12. 2008, 99. točka obrazložitve, in v zadevi Surikov proti Ukrajini z dne 26. 1. 2017, 73. točka obrazložitve.
16 Glej Mnenje Sodišča št. 1/15 z dne 26. 7. 2017, 139.–141. točka obrazložitve, in tam navedeno sodno prakso.
17 Pogodba med Kraljevino Belgijo, Kraljevino Dansko, Zvezno republiko Nemčijo, Helensko republiko, Kraljevino Španijo, Francosko republiko, Irsko, Italijansko republiko, Velikim vojvodstvom Luksemburg, Kraljevino Nizozemsko, Republiko Avstrijo, Portugalsko republiko, Republiko Finsko, Kraljevino Švedsko, Združenim kraljestvom Velike Britanije in Severne Irske (državami članicami Evropske unije) in Češko republiko, Republiko Estonijo, Republiko Ciper, Republiko Latvijo, Republiko Litvo, Republiko Madžarsko, Republiko Malto, Republiko Poljsko, Republiko Slovenijo in Slovaško republiko o pristopu Češke republike, Republike Estonije, Republike Ciper, Republike Latvije, Republike Litve, Republike Madžarske, Republike Malte, Republike Poljske, Republike Slovenije in Slovaške republike k Evropski uniji (UL L 236, 23. 9. 2003, in Uradni list RS, št. 12/04, MP, št. 3/04 – MPPEU).
18 Tretji odstavek 3.a člena Ustave določa: »Pravni akti in odločitve, sprejeti v okviru mednarodnih organizacij, na katere Slovenija prenese izvrševanje dela suverenih pravic, se v Sloveniji uporabljajo v skladu s pravno ureditvijo teh organizacij.«
19 Glej odločbo Ustavnega sodišča št. U-I-146/12 z dne 14. 11. 2013 (Uradni list RS, št. 107/13, in OdlUS XX,10).
20 Glej sklep Ustavnega sodišča št. U-I-113/04 z dne 7. 2. 2007 (Uradni list RS, št. 16/07, in OdlUS XVI, 16) in odločbo Ustavnega sodišča št. U-I-37/10 z dne 18. 4. 2013 (Uradni list RS, št. 39/13).
21 Tako tudi že Ustavno sodišče v sklepu št. U-I-114/04 z dne 8. 7. 2004.
22 Sodba Sodišča v zadevi Srl Cilfit in drugi C-283/81 z dne 6. 10. 1982,18. točka obrazložitve.
23 ICAO Guidelines on Passenger Name Record (PNR) Data (Doc 9944).
24 Mnenje Sodišča št. 1/15 z dne 26. julija 2017, 140. točka obrazložitve.
25 Prav tam, 141. točka obrazložitve.
26 Prav tam, 134. točka obrazložitve.
