Združeni zadevi C‑203/15 in C‑698/15
Tele2 Sverige ABprotiPost- och telestyrelsen
in
Secretary of State for the Home DepartmentprotiTomu Watsonu in drugim
(predloga za sprejetje predhodne odločbe, ki sta ju vložila Kammarrätten i Stockholm in Court of Appeal (England & Wales) (Civil Division))
„Predhodno odločanje – Elektronske komunikacije – Obdelava osebnih podatkov – Zaupnost elektronskih komunikacij – Varstvo – Direktiva 2002/58/ES – Členi 5, 6, 9 in 15(1) – Listina Evropske unije o temeljnih pravicah – Členi 7, 8, 11 in 52(1) – Nacionalna zakonodaja – Ponudniki elektronskih komunikacijskih storitev – Obveznost splošne in neselektivne hrambe podatkov o prometu in o lokaciji – Nacionalni organi – Dostop do podatkov – Neobstoj predhodnega nadzora s strani sodišča ali neodvisnega upravnega organa – Skladnost s pravom Unije“
Povzetek – Sodba Sodišča (veliki senat) z dne 21. decembra 2016
1. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Možnost držav članic, da omejijo obseg nekaterih pravic in obveznosti – Področje uporabe – Zakonodajni ukrep, ki ponudnikom elektronskih komunikacijskih storitev nalaga, da hranijo podatke o prometu in podatke o lokaciji uporabnikov – Vključitev
(Direktiva Evropskega parlamenta in Sveta 2002/58, kakor je bila spremenjena z direktivo 2009/136, člena 5(1) in 15(1))
2. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Možnost držav članic, da omejijo obseg nekaterih pravic in obveznosti – Ozka razlaga – Razlogi, ki lahko upravičijo sprejetje omejitve – Izčrpnost
(Direktiva Evropskega parlamenta in Sveta 2002/58, kakor je bila spremenjena z direktivo 2009/136, člena 5(1) in 15(1))
3. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Možnost držav članic, da omejijo obseg nekaterih pravic in obveznosti – Nacionalna ureditev, ki določa splošno in neselektivno hrambo podatkov o prometu in podatkov o lokaciji uporabnikov zaradi boja proti kriminaliteti – Nedopustnost – Hud poseg v pravice do spoštovanja zasebnega življenja, varstva osebnih podatkov in svobode izražanja
(Listina Evropske unije o temeljnih pravicah, členi 7, 8, 11 in 52(1); Direktiva 2002/58 Evropskega parlamenta in Sveta, kakor je bila spremenjena z Uredbo št. 2009/136, člen 15(1))
4. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Možnost držav članic, da omejijo obseg nekaterih pravic in obveznosti – Nacionalna ureditev, ki omogoča ciljno hrambo podatkov o prometu in podatkov o lokaciji uporabnikov zaradi boja proti hudemu kriminalu – Dopustnost – Pogoji
(Listina Evropske unije o temeljnih pravicah, členi 7, 8, 11 in 52(1); Direktiva 2002/58 Evropskega parlamenta in Sveta, kakor je bila spremenjena z Uredbo št. 2009/136, člen 15(1))
5. Približevanje zakonodaj – Sektor za telekomunikacije – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Možnost držav članic, da omejijo obseg nekaterih pravic in obveznosti – Nacionalni predpisi, ki urejajo varovanje in varnost podatkov o prometu in lokaciji uporabnikov –Možnost nacionalnih organov, da do teh podatkov dostopajo brez predhodnega sodnega ali upravnega preizkusa – Nedopustnost – Neobstoj obveznosti za ponudnike elektronskih komunikacijskih storitev, da te podatke hranijo na ozemlju Unije – Nedopustnost
(Listina Evropske unije o temeljnih pravicah, členi 7, 8, 11 in 52(1); direktivi Evropskega parlamenta in Sveta 95/46, člen 22 in 2002/58, kakor je bila spremenjena z Direktivo 2009/136, člen 15(1) in (2))
6. Temeljne pravice – Evropska konvencija o človekovih pravicah – Instrument, ki ni formalno vključen v pravni red Unije
(člen 6(3) PEU; Listina Evropske unije o temeljnih pravicah, člen 52(3))
7. Vprašanja za predhodno odločanje – Pristojnost Sodišča – Meje – Splošna ali hipotetična vprašanja – Vprašanje, ki je glede na predmet spora o glavni stvari abstraktno in povsem hipotetično – Nedopustnost
(člen 267 PDEU)
1. Člen 15(1) Direktive 2002/58 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), kakor je bila spremenjena z Direktivo 2009/136, določa, da lahko države članice, ob upoštevanju pogojev, ki jih določa, sprejmejo zakonske ukrepe, s katerimi omejijo obseg pravic in obveznosti, določenih v členih 5 in 6, členu 8, od (1) do (4), ter členu 9 te direktive.
Med drugim na to področje uporabe spada zakonski ukrep, ki ponudnikom elektronskih komunikacijskih storitev nalaga, da hranijo podatke o prometu in podatke o lokaciji, saj takšna dejavnost nujno zahteva, da ti ponudniki obdelajo osebne podatke. Na to področje uporabe spada tudi zakonodajni ukrep, ki se nanaša na dostop nacionalnih organov do podatkov, ki jih hranijo ti ponudniki. Varstvo zaupnosti elektronskih komunikacij in z njimi povezanih podatkov o prometu, ki ga zagotavlja člen 5(1) Direktive 2002/58, se namreč uporablja za ukrepe, ki so jih sprejele katere koli osebe razen uporabnikov, ne glede na to, ali gre za zasebne osebe ali subjekte ali državne organe.
(Glej točke 71 in od 75 do 77.)
2. Člen 15(1) Direktive 2002/58 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), kakor je bila spremenjena z Direktivo 2009/136, državam članicam dopušča, da določijo izjeme od načelne obveznosti iz člena 5(1) te direktive, da se zagotavlja zaupnost osebnih podatkov ter od ustrezajočih obveznosti, ki so zlasti navedene v členih 6 in 9 te direktive. Vendar pa je treba člen 15(1) Direktive 2002/58 v delu, v katerem državam članicam dopušča, da omejijo obseg te načelne obveznosti, razlagati restriktivno. Taka določba torej ne more upravičiti tega, da odstopanje od te načelne obveznosti in zlasti od prepovedi hrambe teh podatkov, ki je določena v členu 5 te direktive, postane pravilo, saj bi se sicer tej slednji določbi v veliki meri odvzel pomen.
V zvezi s tem člen 15(1), prvi stavek, Direktive 2002/58 določa, da mora biti namen zakonskih ukrepov, na katere se nanaša in ki odstopajo od načela zaupnosti komunikacij in z njimi povezanih podatkov o prometu, zaščita državne varnosti (to je Državne varnosti), obramba, javna varnost ali preprečevanje, preiskovanje, odkrivanje in pregon kaznivih dejanj ali nedovoljena uporabe elektronskega komunikacijskega sistema ali morajo imeti drug cilj, naveden v členu 13(1) Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov. Tako naštevanje namenov je izčrpno, kot to izhaja iz člena 15(1), drugi stavek, te direktive, v skladu s katerim morajo biti zakonski ukrepi upravičeni iz „razlogov“ iz člena 15(1), prvi stavek, navedene direktive. Zato lahko države članice te ukrepe sprejmejo le zaradi ciljev, navedenih v tej zadnji določbi.
(Glej točke od 88 do 90.)
3. Člen 15(1) Direktive 2002/58 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), kakor je bila spremenjena z Direktivo 2009/136 je treba, glede na člene 7, 8, 11 in 52(1) Listine Evropske unije o temeljnih pravicah razlagati tako, da nasprotuje nacionalni zakonodaji, ki z namenom boja proti kriminalu določa splošno in neselektivno hrambo vseh podatkov o prometu in podatkov o lokaciji vseh naročnikov in registriranih uporabnikov glede vseh elektronskih komunikacijskih sredstev.
Na podlagi vseh teh podatkov je namreč mogoče izpeljati zelo natančne ugotovitve o zasebnem življenju oseb, katerih podatki so bili shranjeni, kot so vsakodnevne navade, kraji stalnega ali začasnega prebivališča, dnevne ali druge poti, dejavnosti, socialni odnosi teh oseb in socialna okolja, ki jih obiskujejo. Zlasti so ti podatki sredstva za ugotavljanje profila zadevnih oseb, kar so zelo občutljive informacije z vidika pravice do spoštovanja zasebnega življenja ter same vsebine komunikacij. Poseg, ki jo taka ureditev pomeni za temeljni pravici, ki jih zagotavljata člena 7 in 8 Listine, je širok in ga je treba obravnavati kot posebno resnega. Okoliščina, da se hramba podatkov izvede, ne da bi bili uporabniki elektronskih komunikacijskih storitev o tem obveščeni, lahko pri zadevnih osebah povzroči občutek, da se njihovo zasebno življenje stalno nadzoruje. Čeprav taka ureditev ne dovoljuje hrambe vsebine komunikacije in zato ne more posegati v bistveno vsebino teh pravic, bi hramba podatkov o prometu in podatkov o lokaciji vendar lahko vplivala na uporabo elektronskih komunikacijskih sredstev in posledično na to, kako uporabniki teh sredstev uresničujejo svojo pravico do svobodnega izražanja, ki jo zagotavlja člen 11 Listine.
Glede na resnost posega v zadevne temeljne pravice, ki jo pomeni taka nacionalna ureditev, lahko ta ukrep upraviči le boj proti hudemu kriminalu. Čeprav je učinkovitost boja proti hudemu kriminalu, zlasti organiziranem kriminalu in terorizmu, lahko v veliki meri odvisna od uporabe sodobnih tehnik preiskave, tak cilj v splošnem interesu, čeprav temeljen, sam po sebi ne more upravičiti tega, da se nacionalna ureditev, ki določa splošno in neselektivno hrambo vseh podatkov o prometu in podatkov o lokaciji, šteje za potrebno za namen tega boja. Po eni strani je učinek take ureditve to, da je hramba podatkov o prometu in podatkov o lokaciji pravilo, ureditev, ki jo je uvedla Direktiva 2002/58, pa zahteva, da je ta hramba podatkov izjema. Pa drugi strani taka nacionalna ureditev, ki na splošno zajema vse naročnike in registrirane uporabnike in se nanaša na vsa elektronska komunikacijska sredstva in na vse podatke o prometu, ne določa nobenega razlikovanja, omejitve ali izjeme glede na cilj, ki se ga poskuša doseči. Uporablja se tudi za osebe, v zvezi s katerimi ni nobenega indica, na podlagi katerega bi bilo mogoče sklepati, da obstaja povezava, čeprav posredna ali daljna, med njihovimi ravnanji in hudimi kaznivimi dejanji. Taka nacionalna ureditev torej presega meje nujno potrebnega in je torej ni mogoče šteti za upravičeno v demokratični družbi, kot to zahteva člen 15(1) Direktive 2002/58 glede na člene 7, 8, 11 in 52(1) Listine.
(Glej točke od 99 do 105, 107, 112 in točko 1 izreka.)
4. Člen 15(1) Direktive 2002/58 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), kakor je bila spremenjena z Direktivo 2009/136 glede na člene 7, 8, 11 in 52(1) Listine Evropske unije o temeljnih pravicah ne nasprotuje temu, da država članica sprejme ureditev, ki preventivno dopušča ciljno hrambo podatkov o prometu in podatkov o lokaciji za boj proti hudemu kriminalu, če se hramba podatkov glede kategorij hranjenih podatkov, uporabljenih navedenih komunikacijskih sredstev, vpletenih oseb in trajanja zadevne hrambe, omeji le na to, kar je nujno potrebno.
V tej nacionalni ureditvi morajo biti za to, da ustreza tem zahtevam, prvič, določena jasna in natančna pravila, ki urejajo obseg in uporabo takega ukrepa hrambe podatkov in ki določajo minimalne zahteve, tako da imajo osebe, katerih podatki so bili hranjeni, zadostna jamstva, ki jim omogočajo učinkovito varstvo njihovih osebnih podatkov pred tveganji zlorabe. Zlasti mora biti določeno, v kakšnih okoliščinah in pod kakšnimi pogoji se lahko preventivno sprejme ukrep hrambe podatkov in s tem zagotovi, da se ta ukrep omeji na nujno potrebno.
Drugič, glede vsebinskih pogojev, ki jih mora izpolniti nacionalna ureditev, da zagotovi, da je omejena na nujno potrebno, je treba navesti, da čeprav se lahko ti pogoji spreminjajo glede na ukrepe, sprejete z namenom preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj, mora hramba podatkov vedno ustrezati objektivnim merilom, ki določajo razmerje med podatki, ki jih je treba hraniti, in uresničevanim ciljem. Zlasti morajo taki pogoji v praksi dejansko omejiti obseg ukrepa in torej zadevno javnost. Glede omejitve mora nacionalna zakonodaja temeljiti na objektivnih elementih, na podlagi katerih se lahko cilja javnost, katere podatki lahko izkažejo zvezo, vsaj posredno, s hudimi kaznivimi dejanji, da tako ali drugače prispevajo k boju proti hudemu kriminalu ali da preprečijo resno nevarnost za javno varnost. Taka omejitev se lahko zagotovi z geografskim merilom, kadar pristojni nacionalni organi na podlagi objektivnih elementov menijo, da obstaja v enem ali več geografskih območjih visoko tveganje za pripravo ali izvršitev takih dejanj.
(Glej točke od 108 do 111.)
5. Člen 15(1) Direktive 2002/58 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), kakor je bila spremenjena z Direktivo 2009/136 glede na člene 7, 8, 11 in 52(1) Listine Evropske unije o temeljnih pravicah je treba razlagati tako, da nasprotuje nacionalni zakonodaji, ki ureja varstvo in varnost podatkov o prometu in podatkov o lokaciji, ter zlasti dostop pristojnih nacionalnih organov do hranjenih podatkov in pri tem v okviru boja proti kriminalu navedenega dostopa ne pogojuje z zgolj nameni boja proti hudemu kriminalu, ne da bi določala, da mora nadzor nad navedenim dostopom predhodno opraviti sodišče ali neodvisni upravni organ, in ne da bi zahtevala, da se zadevni podatki hranijo na ozemlju Unije.
V zvezi s tem mora za zagotovitev, da se dostop do hranjenih podatkov pristojnim nacionalnim organom omeji na nujno potrebno, vsekakor nacionalno pravo določiti pogoje, pod katerimi morajo ponudniki elektronskih komunikacijskih storitev zagotoviti ta dostop. Vendar se zadevna nacionalna ureditev ne sme omejiti le na to, da zahteva, da dostop ustreza kateremu od ciljev iz člena 15(1) Direktive 2002/58, čeprav gre za boj proti hudemu kriminalu. Taka nacionalna ureditev mora namreč določiti tudi vsebinske in postopkovne pogoje, ki urejajo dostop pristojnih nacionalnih organov do hranjenih podatkov. Ker torej ni mogoče šteti, da je splošni dostop do vseh hranjenih podatkov, neodvisno od kakršne koli vezi, tudi posredne, s ciljem, ki se mu sledi, omejen na nujno potrebno, se mora zadevna nacionalna ureditev pri določitvi okoliščin in pogojev, pod katerimi se pristojnim nacionalnim organom omogoči dostop do podatkov naročnikov ali registriranih uporabnikov, opreti na objektivna merila. V zvezi s tem je dostop v povezavi z namenom boja proti kriminalu načeloma mogoče odobriti le do podatkov oseb, za katere obstaja sum, da nameravajo izvršiti ali da so izvršile hudo kaznivo dejanje ali da so tako ali drugače povezane s tem kaznivim dejanjem. Vendar bi bilo mogoče v posebnih okoliščinah, kakršne so te, v katerih dejanja terorizma ogrožajo bistvene interese nacionalne varnosti, obrambe ali javne varnosti, dostop do podatkov drugih oseb prav tako odobriti, kadar obstajajo objektivni elementi, na podlagi katerih je mogoče šteti, da bi ti podatki lahko v konkretnem primeru učinkovito prispevali k boju proti takim dejavnostim.
Da bi se v praksi zagotovilo popolno spoštovanje teh pogojev, je bistveno, da za dostop pristojnih nacionalnih organov do hranjenih podatkov načeloma, razen v nujnih primerih, ki so ustrezno utemeljeni, sodišče ali neodvisen upravni organ opravi predhoden preizkus in da se odločba tega sodišča ali tega organa izda na obrazložen predlog teh organov, ki se ga predloži v postopku preprečevanja, odkrivanja ali pregona kaznivih dejanj. Prav tako je pomembno, da pristojni nacionalni organi, ki jim je bil odobren dostop do hranjenih podatkov, v okviru veljavnih nacionalnih postopkov o tem obvestijo zadevne osebe takoj, ko ta obvestitev ne more ogroziti preiskav, ki jih vodijo ti organi. Ta informacija je namreč dejansko nujna, da te osebe lahko izvršujejo zlasti pravico do pravnega sredstva, ki je izrecno določena v členu 15(2) Direktive 2002/58 v povezavi s členom 22 Direktive 95/46 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov, če bi bile njihove pravice kršene.
Poleg tega morajo glede na količino hranjenih podatkov, občutljivost teh podatkov in tveganje za nezakonit dostop do teh podatkov ponudniki elektronskih komunikacijskih storitev, da zagotovijo neokrnjenost in zaupnost teh podatkov, zagotoviti zelo visoko raven varstva in varnosti z ustreznimi tehničnimi in organizacijskimi ukrepi. Zlasti mora nacionalna ureditev določiti hrambo na ozemlju Unije in nepopravljivo uničenje teh podatkov po koncu obdobja njihove hrambe.
(Glej točke od 118 do 122, 125 in točka 2 izreka.)
6. Glej besedilo odločbe.
(Glej točke od 127 do 129.)
7. Glej besedilo odločbe.
(Glej točko 130.)