评析
旅客姓名记录数据系由旅客提供，并由航空公司在其业务过程中收集的用于预订和值机的信息。该类数据包含旅行日期、旅行路线、机票信息、联系信息、旅行社、支付方式、座位号码以及行李信息等。旅客姓名记录数据系防止、侦查和调查恐怖主义和其他形式的严重犯罪（例如毒品、人口贩卖、儿童性剥削等）的十分重要的执法工具。[2]目前，欧盟已经和美国、澳大利亚等国订立了传输和处理旅客姓名记录数据的协议。考虑到收集旅客姓名数据并将该数据传输至第三国影响了大量的个人及其个人数据，因此，这些协议是否与《宪章》规定的隐私权和个人数据保护权契合可谓至关重要。本案中，欧洲法院基于《宪章》的相关规定，就欧盟拟与加拿大订立的有关传输和处理旅客姓名记录数据的《涉案协议》进行了审查，并认定该协议与《宪章》不符。同时，欧洲法院还明确了欧盟在拟与第三国订立此类协议时所应遵循的原则。
第一，本案明确了欧盟拟与加拿大订立的《涉案协议》与《宪章》不符。一是就拟传输至加拿大的旅客姓名记录数据而言，《涉案协议》附件的标题5“可获得的常客和优惠信息（免费机票、升舱等）”、标题7“所有可获得的联系信息（包括汇款人信息）”、标题17“一般说明，包括其他补充信息（OSI）、特殊服务信息（SSI）和特殊服务请求信息（SSR）”均未以足够清晰和准确的方式就《涉案协议》对《宪章》第7条规定的私人生活获得尊重的权利、第8条规定的个人数据保护权的干预范围予以限制。
二是《涉案协议》将导致敏感个人数据从欧盟传输至加拿大。因为依照《涉案协议》收集的旅客姓名记录数据可能包括敏感个人数据，例如，显示种族或民族出身、宗教信仰或乘客健康状况的信息。鉴于将此类数据传输至加拿大并由加拿大机关使用和保留存在着违反《宪章》第21条规定的非歧视原则的风险，此类数据的传输、使用和保留需要其他准确且特别充分的正当理由，这些理由需建立在保护公共安全、打击恐怖主义和严重跨国犯罪之外的基础之上。但是，本案并不存在此种正当理由。
三是《涉案协议》第3条第5款（a）项和（b）项授权加拿大逐一处理旅客姓名记录数据，以确保公共行政部门的监督或问责，并遵守法院发出的传票、令状或命令。但是，这两项规定的措辞过于含糊和笼统，故无法满足清晰和准确的要求。因此，《涉案协议》第3条第5款（a）项和（b）项所载明的规则并未限于就实现《涉案协议》追求的目标系充分必要的情形。
四是《涉案协议》对所有已经离开加拿大的航空旅客的姓名记录数据进行持续存储并未限于充分必要的情形。同时，《涉案协议》并未确保航空旅客离开加拿大之后，加拿大机关对旅客姓名记录数据的保留和使用限于充分必要的范围。
五是《涉案协议》未确保将加拿大主管机关向其他加拿大政府机关或其他第三国政府机关披露旅客姓名记录数据限制在充分必要的范围之内。
六是《涉案协议》允许加拿大“在受限于合理的法律要求和限制……且适当考虑相关个人的合法利益的情况下，披露相关信息”。但是，该协议并未限制可以披露的信息性质，也未限制可以向其进行此种披露的人员，甚至未限制对该信息的使用。此外，《涉案协议》未对“法律要求和限制”或“相关个人的合法利益”予以界定，也未要求向个人披露旅客姓名记录数据与打击恐怖主义和严重跨国犯罪有联系，或以司法机关或独立行政机关的授权为条件。在这种情况下，《涉案协议》的上述规定超出了充分必要的限制范围。
七是《涉案协议》确立了航空旅客访问其姓名记录数据的权利和要求更正该数据的权利，但这些规定并未要求通知这些旅客其旅客姓名记录数据被传输至加拿大以及这些数据的使用情况。而这些信息对于航空旅客行使其访问其姓名记录数据的权利、在适当时更正该数据的权利，以及根据《宪章》第47条第1款的规定从法庭获取有效救济的权利均是必要的。
八是《涉案协议》并未以足够清晰和准确的方式，保证对该协议规定的相关规则（该规则与在旅客姓名记录数据方面保护个人相关）的遵守情况所进行的监督，将由《宪章》规定的独立机构进行。
据此，欧洲法院认定，欧盟拟与加拿大订立的《涉案协议》与《宪章》不符。
第二，本案明确了欧盟在拟与第三国订立有关传输和处理旅客姓名记录数据的协议时，所应遵循的原则。
一是以清晰准确的方式确定从欧盟传输至该第三国的旅客姓名记录数据。
二是原则上禁止从欧盟向该第三国传输敏感个人数据。
三是规定在自动处理旅客姓名记录数据的情况下使用的模型和标准是特定、可靠和非歧视的。规定所使用的数据库将限于第三国用于打击恐怖主义和严重跨国犯罪的数据库。(https://www.daowen.com)
四是除了就自动处理旅客姓名记录数据所依据的预先建立的模型和标准进行核查之外，第三国主管机关在航空旅客于该第三国停留期间以及离开该第三国之后，使用这些旅客的姓名记录数据以及向其他机关披露该等数据应受制于建立在客观标准之上的实质性和程序性条件；除非存在有效成立的紧急情况，该使用和披露应受制于法院或独立行政机关事先进行的审查。并且，该法院或独立行政机关授权进行该等使用的决定，应基于主管机关在防止、侦查或起诉犯罪的程序框架内提交的附具理由的请求而作出。
五是将航空旅客离开该第三国之后的姓名记录数据的保留限于以下方面，即从客观证据可以推断出，其将在打击恐怖主义和严重跨国犯罪方面带来风险的航空旅客的姓名记录数据。
六是该第三国主管机关可以向其他国家的政府机关披露旅客姓名记录数据，但前提条件是存在欧盟与该其他国家之间达成的等同于《涉案协议》的协议，或者存在由欧盟委员会根据《95/46指令》第25条第6款（现为《一般数据保护条例》第45条）作出的决定，该决定涵盖了拟向其披露旅客姓名记录数据的其他国家的政府机关。
七是若该第三国主管机关在航空旅客于第三国停留期间和离开第三国之后，对这些旅客的姓名记录数据予以使用，或者向其他机关或个人披露该等数据，则向航空旅客提供获得单独通知的权利。
八是保证对该协议规定的相关规则（该规则与在旅客姓名记录数据方面保护个人相关）的遵守情况所进行的监督，将由独立监督机构进行。
除此之外，根据《2016/681指令》，欧盟在拟与第三国订立有关传输和处理旅客姓名记录数据的协议时，还应遵循以下原则。
首先，旅客姓名记录数据的传输只能在个案的基础上进行，并且符合以下条件：一是欧盟理事会于2008年11月27日发布的《关于保护在有关刑事事宜的警察和司法合作框架中处理的个人数据的2008/977/JHA理事会框架决定》第13条规定的条件，包括①该传输对于预防、调查、侦查或起诉刑事犯罪或执行刑罚是必要的；②第三国的接收当局负责防止、调查、侦查或起诉刑事犯罪或执行刑罚；③相关欧盟成员国（旅客姓名记录数据系从该国取得）已依据其国内法同意该传输；④对于拟进行的数据处理，第三国确保了充分的保护水平。二是旅客姓名记录数据的传输对于预防、侦查、调查和起诉恐怖主义犯罪和严重犯罪是必需的。三是经第三国同意，将旅客姓名记录数据传输至其他国家，只有在该等传输对于预防、侦查、调查和起诉恐怖主义犯罪和严重犯罪系充分必要，并且获得相关欧盟成员国明确授权的情况下方可进行。四是第三国提出的提供旅客姓名记录数据的请求必须具备正当理由。
其次，未获得相关欧盟成员国（旅客姓名记录数据系从该国取得）事先同意的旅客姓名记录数据的传输，只有在例外情况下方可准许，且需满足以下条件：一是该传输对于应对欧盟成员国、第三国境内与恐怖主义犯罪或严重犯罪相关的、特定的和实际的威胁是必要的。二是相关欧盟成员国的事先同意无法适时获得。同时，负责作出同意的机关应被立即告知该传输，且该传输应被恰当记录并接受事后核查。
再次，欧盟成员国应仅在符合《2016/681指令》规定的条件，且认定接收方拟对旅客姓名记录数据进行的使用符合这些条件和保障措施的情况下，方得向第三国主管机关传输该数据。同时，欧盟成员国每次传输旅客姓名记录数据时，其旅客信息部门的数据保护官均应获得通知。
最后，旅客姓名数据应在其传输给欧盟成员国旅客信息部门6个月内进行匿名化处理，且应在其传输至欧盟成员国旅客信息部门的5年内删除。
【注释】
[1]http：//curia.europa.eu/juris/document/document.jsf？text=&docid=193216&page Index=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=2013814.
[2]Passenger Name Record（PNR）［EB/OL］.［2020-08-30］.https：//ec.europa.eu/home-affairs/what-we-do/policies/law-enforcement-cooperation/informationexchange/pnr_en.