ROZSUDEK SOUDNÍHO DVORA (velkého senátu)
2. října 2018(*)
„Řízení o předběžné otázce – Elektronické komunikace – Zpracování osobních údajů – Směrnice 2002/58/ES – Články 1 a 3 – Působnost – Důvěrnost elektronických komunikací – Ochrana – Článek 5 a čl. 15 odst. 1 – Listina základních práv Evropské unie – Články 7 a 8 – Údaje zpracovávané v souvislosti s poskytováním služeb elektronických komunikací – Přístup vnitrostátních orgánů k údajům pro účely vyšetřování – Míra závažnosti trestného činu odůvodňující zpřístupnění údajů“
Ve věci C‑207/16,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU, rozhodnutím Audiencia Provincial de Tarragona (soud pro provincii Tarragona, Španělsko) ze dne 6. dubna 2016, došlým Soudnímu dvoru dne 14. dubna 2016, v řízení
Ministerio Fiscal,
SOUDNÍ DVŮR (velký senát),
ve složení K. Lenaerts, předseda, A. Tizzano, místopředseda, R. Silva de Lapuerta, T. von Danwitz (zpravodaj), J. L. da Cruz Vilaça, C. G. Fernlund a C. Vajda, předsedové senátů, E. Juhász, A. Borg Barthet, C. Toader, M. Safjan, D. Šváby, M. Berger, E. Jarašiūnas, a E. Regan, soudci,
generální advokát: H. Saugmandsgaard Øe,
vedoucí soudní kanceláře: L. Carrasco Marco, rada,
s přihlédnutím k písemné části řízení a po jednání konaném dne 29. ledna 2018,
s ohledem na vyjádření předložená:
– za Ministerio Fiscal E. Tejada de la Fuente,
– za španělskou vládu M. Sampol Pucurullem, jako zmocněncem,
– za českou vládu M. Smolkem a J. Vláčilem, jakož i A. Brabcovou, jako zmocněnci,
– za dánskou vládu J. Nymann-Lindegrenem a M. Wolff, jako zmocněnci,
– za estonskou vládu, N. Grünberg, jako zmocněnkyní,
– za Irsko M. Browne, L. Williams a E. Creedon, jakož i A. Joycem, jako zmocněnci, ve spolupráci s E. Gibson, BL,
– za francouzskou vládu D. Colasem, jakož i E. de Moustier a E. Armoet, jako zmocněnci,
– za lotyšskou vládu I. Kucina a J. Davidoviča, jako zmocněnkyněmi,
– za maďarskou vládu M. Fehérem a G. Koósem, jako zmocněnci,
– za rakouskou vládu C. Pesendorfer, jako zmocněnkyní,
– za polskou vládu B. Majczynou, jakož i D. Lutostańskou a J. Sawickou, jako zmocněnci,
– za vládu Spojeného království S. Brandonem a C. Brodie, jako zmocněnci, ve spolupráci s C. Knightem, barrister, a G. Facennou, QC,
– za Evropskou komisi I. Martínez del Peral a P. Costa de Oliveira, jakož i R. Troostersem a D. Nardim, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 3. května 2018,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 15 odst. 1 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (Úř. věst. 2009, L 337, s. 11) (dále jen „směrnice 2002/58“), s ohledem na články 7 a 8 Listiny základních práv Evropské unie (dále jen „Listina“).
2 Tato žádost byla předložena v rámci žaloby podané Ministerio Fiscal (státní zástupce, Španělsko) proti rozhodnutí Juzgado de Instrucción no 3 de Tarragona (vyšetřující soudce č. 3 v Tarragoně, dále jen „vyšetřovací soudce“) o odmítnutí povolit kriminální policii přístup k osobním údajům uchovávaným poskytovateli služeb elektronických komunikací.
Právní rámec
Unijní právo
Směrnice 95/46
3 Podle článku 2 písm. b) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355) se pro účely této směrnice „zpracováním osobních údajů“ rozumí „jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace“.
4 Článek 3 uvedené směrnice, nadepsaný „Oblast působnosti“, stanoví:
„1. Tato směrnice se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny.
2. Tato směrnice se nevztahuje na zpracování osobních údajů:
– prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny [které nespadají do oblasti působnosti práva Společenství, jako jsou činnosti uvedené] v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva,
– prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností.“
Směrnice 2002/58
5 V bodech 2, 11, 15 a 21 odůvodnění směrnice 2002/58 se uvádí:
„(2) tato směrnice usiluje o respektování základních práv a zachovává zásady uznané zejména v [Listině]. Tato směrnice zejména usiluje o to, aby byla plně dodržována práva stanovená v článcích 7 a 8 [Listiny].
[…]
(11) tato směrnice, obdobně jako směrnice 95/46/ES, se netýká ochrany základních práv a svobod ve vztahu k činnostem, které se neřídí právem Společenství. Proto tato směrnice nemění stávající rovnováhu mezi právem jednotlivce na soukromí a možností, aby členské státy přijaly opatření uvedená v čl. 15 odst. 1 této směrnice, která jsou nezbytná pro ochranu veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské prosperity státu, pokud jsou tyto činnosti spojeny s otázkami bezpečnosti státu) a pro prosazování trestního práva. Tato směrnice se tedy nedotýká možnosti členských států provádět zákonné zachycování elektronických sdělení nebo přijímat jiná opatření, je-li to nezbytné pro některý z těchto účelů a je-li to v souladu s Evropskou úmluvou o ochraně lidských práv a základních svobod, jak je vykládána v rozhodnutích Evropského soudu pro lidská práva. Tato opatření musí být vhodná, plně přiměřená vzhledem k zamýšlenému účelu a nezbytná v demokratické společnosti a musí být předmětem odpovídajících záruk v souladu s Evropskou úmluvou o ochraně lidských práv a základních svobod.
[…]
(15) sdělení může zahrnovat jakékoli informace o názvech, číslech nebo adresách, které poskytuje odesílatel sdělení nebo uživatel spojení za účelem přenosu sdělení. Provozní údaje mohou zahrnovat jakýkoli převod těchto informací sítí, po které se sdělení přenáší, za účelem provedení přenosu. […]
[…]
(21) měla by být přijata opatření pro zamezení neoprávněného přístupu ke sdělením, aby byla chráněna důvěrnost sdělení, včetně obsahu a údajů vztahujících se k takovým sdělením, přenášených prostřednictvím veřejných komunikačních sítí a veřejně dostupných služeb elektronických komunikací. Vnitrostátní právní předpisy některých členských států pouze zakazují úmyslný neoprávněný přístup ke sdělením;“.
6 Článek 1 směrnice 2002/58, nadepsaný „Oblast působnosti a cíl“, stanoví:
„1. Touto směrnicí se harmonizují předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb ve Společenství.
2. Ustanovení této směrnice upřesňují a doplňují směrnici [95/46] pro účely uvedené v odstavci 1. Navíc poskytují ochranu oprávněných zájmů účastníků, kteří jsou právnickými osobami.
3. Tato směrnice se nevztahuje na činnosti, které nespadají do oblasti působnosti Smlouvy o založení Evropského společenství, jako činnosti uvedené v hlavě V a VI Smlouvy o Evropské unii, a v žádném případě na činnosti týkající se veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské prosperity státu, pokud jsou tyto činnosti spojeny s otázkami bezpečnosti státu) a na činnosti státu v oblasti trestního práva.“
7 Článek 2 směrnice 2002/58, nadepsaný „Definice“, stanoví:
„Není-li stanoveno jinak, použijí se definice uvedené ve směrnici [95/46] a směrnici Evropského parlamentu a Rady 2002/21/ES ze dne 7. března 2002 o společném předpisovém rámci pro sítě a služby elektronických komunikací (rámcová směrnice) [Úř. věst. 2002, L 108, s. 33; Zvl. vyd. 13/29, s. 349].
Použijí se rovněž tyto definice:
[…]
b) ‚provozními údaji‘ se rozumějí jakékoli údaje zpracovávané pro účely přenosu sdělení sítí elektronických komunikací nebo pro jeho účtování;
c) ‚lokalizačními údaji‘ se rozumějí jakékoli údaje zpracovávané v síti elektronických komunikací nebo službou elektronických komunikací, které určují zeměpisnou polohu koncového zařízení uživatele veřejně dostupné služby elektronických komunikací;
d) ‚sdělením‘ se rozumí jakákoli informace, která se vyměňuje nebo přenáší mezi určitým počtem zúčastněných stran prostřednictvím veřejně dostupné služby elektronických komunikací; toto nezahrnuje informace přenášené jako součást vysílání pro veřejnost prostřednictvím sítě elektronických komunikací s výjimkou případů, kdy lze informace přiřadit k identifikovatelnému účastníku nebo uživateli, který tyto informace přijímá;
[…]“
8 Článek 3 směrnice 2002/58, nadepsaný „Dotčené služby“, stanoví:
„Tato směrnice se vztahuje na zpracování osobních údajů ve spojení s poskytováním veřejně dostupných služeb elektronických komunikací ve veřejných komunikačních sítích ve Společenství, včetně veřejných komunikačních sítí podporujících zařízení pro shromažďování a identifikaci údajů.“
9 Článek 5 směrnice 2002/58, nadepsaný „Důvěrný charakter sdělení“, stanoví:
„1. Členské státy zajistí prostřednictvím vnitrostátních právních předpisů důvěrný charakter sdělení přenášených pomocí veřejné komunikační sítě a veřejně dostupných služeb elektronických komunikací a s nimi souvisejících provozních údajů. Zejména zakáží příposlech, odposlech, uchovávání nebo jiné druhy zachycování či sledování sdělení a s nimi souvisejících provozních údajů osobami jinými než uživateli bez souhlasu dotčených uživatelů, pokud k takovému jednání nejsou zákonem oprávněny v souladu s čl. 15 odst. 1. […]
[…]
3. Členské státy zajistí, aby uchovávání informací nebo získávání přístupu k již uchovávaným informacím bylo v koncovém zařízení účastníka nebo uživatele povoleno pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí [95/46], mimo jiné o účelu zpracování. […]“
10 Článek 6 směrnice 2002/58, nadepsaný „Provozní údaje“, stanoví:
„1. Provozní údaje vztahující se k účastníkům a uživatelům zpracovávané a uchovávané provozovatelem veřejné komunikační sítě nebo poskytovatelem veřejně dostupné služby elektronických komunikací musí být vymazány nebo anonymizovány, jakmile již nejsou potřebné pro přenos sdělení, aniž by tímto byly dotčeny odstavce 2, 3 a 5 tohoto článku a čl. 15 odst. 1.
2. Je možno zpracovávat provozní údaje nezbytné pro účely účtování a stanovení plateb za propojení. Takovéto zpracování je přípustné pouze do konce období, v němž lze právně napadnout účet či uplatňovat nárok na platbu.
[…]“
11 Ustanovení článku 15 uvedené směrnice, nadepsaného „Použití některých ustanovení směrnice [95/46]“, zní:
„Členské státy mohou přijmout legislativní opatření, kterými omezí rozsah práv a povinností uvedených v článku 5, článku 6, čl. 8 odst. 1, 2, 3 a 4 a článku 9 této směrnice, pokud toto omezení představuje v demokratické společnosti nezbytné, vhodné a přiměřené opatření pro zajištění národní bezpečnosti (tj. bezpečnosti státu), obrany, veřejné bezpečnosti a pro prevenci, vyšetřování, odhalování a stíhání trestných činů nebo neoprávněného použití elektronického komunikačního systému, jak je uvedeno v čl. 13 odst. 1 směrnice [95/46]. Za tímto účelem mohou členské státy mimo jiné přijmout legislativní opatření umožňující uchovávání údajů po omezenou dobu na základě důvodů uvedených v tomto odstavci. Veškerá opatření uvedená v tomto odstavci musí být v souladu s obecnými zásadami práva Společenství, včetně zásad uvedených v čl. 6 odst. 1 a 2 Smlouvy o Evropské unii.“
Španělská právní úprava
Zákon 25/2007
12 Článek 1 Ley 25/2007 de comunicación de datos relativos a las redes comunicaciones electrónicas, případně públicas de comunicaciones (zákon 25/2007 o uchovávání údajů o elektronické komunikaci a veřejných komunikačních sítí), ze dne 18. října 2007 (BOE č. 251 ze dne 19. října 2007, s. 42517), stanoví:
„1. Tento zákon upravuje povinnost hospodářských subjektů uchovávat údaje vytvořené nebo zpracovávané v souvislosti s poskytováním služeb elektronických komunikací nebo veřejných komunikačních sítí, jakož i povinnost předávat tyto údaje oprávněným osobám, jsou-li o to požádány prostřednictvím soudního povolení pro účely odhalování, vyšetřování a stíhání závažných trestných činů uvedených v trestním zákoníku nebo ve zvláštních trestních zákonech.
2. Tento zákon se vztahuje na provozní a lokalizační údaje fyzických a právnických osob a na související údaje, které jsou nezbytné k identifikaci účastníka nebo registrovaného uživatele.
[…]“
Trestní zákoník
13 Článek 13 odst. 1 Ley Orgánica 10/1995 del Código Penal (trestní zákoník) ze dne 23. listopadu 1995 (BOE č. 281 ze dne 24. listopadu 1995, s. 33987), zní takto:
„Za závažný trestný čin se považuje čin, za jehož spáchání zákon ukládá závažný trest.“
14 Článek 33 uvedeného zákoníku stanoví:
„1. V závislosti na povaze a trvání jsou tresty kvalifikovány jako závažné, méně závažné a lehké.
2. Závažným trestem je:
a) doživotní trest odnětí svobody s možností přezkumu.
b) Trest odnětí svobody na dobu delší pěti let.
[…]“
Trestní řád
15 Po datu událostí rozhodných z hlediska skutečností v původním řízení byl Ley de Enjuiciamiento Criminal (trestní řád) změněn Ley Orgánica 13/2015 de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales y la regulación de las medidas de Investigación tecnológica (organický zákon 13/2015, kterým se mění trestní řád za účelem posílení procesních záruk a vyšetřovacích opatření) ze dne 5. října 2015 (BOE č. 239 ze dne 6. října 2015, s. 90192, dále jen „trestní řád ve znění organického zákona 13/2015“).
16 Tento zákon vstoupil v platnost dne 6. prosince 2015. Tímto zákonem byla do trestního řádu doplněna úprava přístupu k údajům týkajícím se telefonické komunikace a přenosu dat uchovávaných poskytovateli služeb elektronických komunikací.
17 Článek 579 odst. 1 trestního řádu ve znění organického zákona 13/2015 stanoví:
„1. Soud může povolit zásah do soukromé poštovní korespondence, telegramu včetně faxu, Burofaxu a mezinárodních poštovních peněžních poukázek, které podezřelá osoba odešle nebo obdrží, a může povolit jejich otevření a analýzu, jsou-li dány důvody k tomu se domnívat, že to umožní zjistit nebo ověřit skutečnost či faktor relevantní pro věc, jde-li o vyšetřování některého z těchto trestných činů:
1) Úmyslné trestné činy s horní hranicí trestní sazby minimálně tři roky;
2) Trestné činy spáchané v rámci zločinného spolčení.
3) Trestný čin terorismu.
[…]“
18 Článek 588bj uvedeného řádu stanoví:
„1. Elektronické údaje uchovávané poskytovateli služeb nebo osobami, které poskytují sdělení v souladu s právními předpisy o uchovávání údajů o elektronické komunikaci, nebo z vlastního podnětu z obchodních nebo jiných důvodů souvisejících s komunikačním procesem, lze poskytnout pro účely jejich zohlednění v rámci řízení pouze se souhlasem soudu.
2. Jeví-li se, že je nutné se s těmito údaji seznámit pro účely vyšetřování, je třeba si vyžádat souhlas příslušného soudu se zpřístupněním informací nacházejících se v datových archivech poskytovatelů služeb zejména pro účely křížového či automatizovaného vyhledávání údajů, je-li známa povaha údajů, s nimiž je nezbytné se seznámit, a důvody odůvodňující jejich poskytnutí.“
Původní řízení a předběžné otázky
19 Hernandez Sierra podal na policii trestní oznámení na loupež, k níž došlo dne 16. února 2015, během níž byl zraněn a byla mu odcizena peněženka a mobilní telefon.
20 Dne 27. února 2015 požádala kriminální policie vyšetřujícího soudce, aby několika poskytovatelům služeb elektronických komunikací uložil povinnost poskytnout telefonní čísla aktivovaná od 16. února do 27. února 2015 prostřednictvím kódu mezinárodní identifikace mobilní výbavy (dále jen „IMEI“) odcizeného mobilního telefonu, jakož i osobní údaje o totožnosti majitelů nebo uživatelů telefonních čísel odpovídajících SIM kartám aktivovaným s tímto kódem, jako jejich jméno, příjmení a případně adresu.
21 Usnesením ze dne 5. května 2015 vyšetřující soudce tuto žádost zamítl. Soudce rozhodl, že požadované opatření nebylo užitečné pro identifikaci pachatelů trestného činu. Dále odmítl vyhovět žádosti z důvodu, že zákon č. 25/2007 omezuje předávání údajů uchovávaných poskytovateli služeb elektronických komunikací na případy závažné trestné činnosti. Podle trestního zákoníku jsou závažné trestné činy trestány trestem odnětí svobody na dobu delší pěti let, kdežto ve věci v původním řízení podle všeho o takovou trestnou činnost nejde.
22 Státní zastupitelství podalo proti tomuto usnesení odvolání k předkládajícímu soudu s tím, že údaje měly být poskytnuty s ohledem na povahu činů a rozsudek Tribunal Supremo (Nejvyšší soud, Španělsko) ze dne 26. července 2010 týkající se obdobného případu.
23 Předkládající soud uvádí, že po přijetí výše uvedeného usnesení španělský zákonodárce změnil trestní řád organickým zákonem 13/2015. Tento zákon, který je relevantní pro výsledek žaloby v původním řízení, zavádí dvě nová alternativní kritéria za účelem určení míry závažnosti trestné činnosti. Jde o věcné kritérium vázané na jednání naplňující znaky trestné činnosti kvalifikované jako zvláštní, závažné a poškozující individuální a kolektivní právní zájmy. Vnitrostátní zákonodárce dále zavedl normativní formální kritérium vycházející z trestu za dotčený trestný čin. Hranice tří let odnětí svobody, kterou stanoví, však zahrnuje velkou většinu trestných činů. Předkládající soud má dále za to, že státní zájem na potlačení kriminálního chování nemůže být důvodem pro nepřiměřený zásah do základních práv zakotvených v Listině.
24 V tomto ohledu má uvedený soud za to, že ve věci v původním řízení vytváří vazbu na Listinu směrnice 95/46 a 2002/58. Vnitrostátní právní úprava dotčená v původním řízení tedy spadá v souladu s čl. 51 odst. 1 Listiny do její působnosti, ačkoli byla směrnice Evropského parlamentu a Rady 2006/24/ES ze dne 15. března 2006 o uchovávání údajů vytvářených nebo zpracovávaných v souvislosti s poskytováním veřejně dostupných služeb elektronických komunikací nebo veřejných komunikačních sítí a o změně směrnice 2002/58/ES (Úř. věst. 2006, L 105, s. 54) zrušena rozsudkem ze dne 8. dubna 2014, Digital Rights Ireland a další (C‑293/12 a C‑594/12, EU:C:2014:238).
25 V tomto rozsudku Soudní dvůr podle něj uznal, že uchovávání a poskytování provozních údajů zasahuje zvláště závažným způsobem do práv zaručených články 7 a 8 Listiny, a určil kritéria pro posouzení, zda byla dodržena zásada proporcionality včetně toho, zda závažnost trestného činu odůvodňuje to, aby byly tyto údaje uchovávány a zpřístupňovány pro účely vyšetřování.
26 Za těchto podmínek se Audiencia Provincial de de Tarragona (soud pro provincii Tarragona) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Lze dostatečnou závažnost trestných činů jako kritérium, které odůvodňuje zásah do základních práv zakotvených v článcích 7 a 8 Listiny, určit výlučně s ohledem na trest, který lze za vyšetřovaný trestný čin uložit, nebo je navíc nezbytné v trestném jednání identifikovat zvláštní míru poškození individuálních nebo kolektivních právních zájmů?
2) Jaký by měl být minimální práh trestu, pokud určení závažnosti trestného činu pouze s ohledem na tento trest, který lze uložit, případně vyhovuje základním zásadám Unie uplatněným Soudním dvorem Evropské unie v rozsudku ze dne 8. dubna 2014 [Digital Rights Ireland a další, C‑293/12 a C‑594/12, EU:C:2014:238] jako standardům přísného přezkumu směrnice [2002/58]? Byla by takto slučitelná obecně stanovená mez tří let odnětí svobody?“
Řízení před Soudním dvorem
27 Rozhodnutím předsedy Soudního dvora ze dne 23. května 2016 bylo řízení před Soudním dvorem přerušeno do vyhlášení rozsudku ve spojených věcech Tele2 Sverige a Watson a další, C‑203/15 a C‑698/15 (rozsudek ze dne 21. prosince 2016, EU:C:2016:970, dále jen „rozsudek Tele2 Sverige a Watson a další“). V návaznosti na tento rozsudek byl předkládající soud dotázán, zda setrvává na své žádosti o rozhodnutí o předběžné otázce, nebo si ji přeje vzít zpět. V odpovědi dopisem ze dne 30. ledna 2017, došlým Soudnímu dvoru dne 14. února 2017, předkládající soud uvedl, že tento rozsudek mu neumožňuje posoudit s dostatečnou jistotou vnitrostátní právní úpravu dotčenou v původním řízení z hlediska unijního práva. V návaznosti na tuto odpověď řízení před Soudním dvorem pokračovalo dne 16. února 2017.
K předběžným otázkám
28 Španělská vláda tvrdí, že Soudní dvůr nemá pravomoc odpovědět na žádost o rozhodnutí o předběžné otázce a že je tato žádost nepřípustná.
K pravomoci Soudního dvora
29 V písemných vyjádřeních předložených Soudnímu dvoru španělská vláda zastává názor, k němuž se připojila vláda Spojeného království na jednání a podle něhož nemá Soudní dvůr pravomoc odpovědět na žádost o rozhodnutí o předběžné otázce z důvodu, že spor v původním řízení nespadá v souladu s čl. 3 odst. 2 první odrážkou směrnice 95/46 a čl. 1 odst. 3 směrnice 2002/58 do působnosti těchto dvou směrnic. Tato věc proto podle ní nespadá do působnosti unijního práva, takže se Listina v souladu s jejím čl. 51 odst. 1 nepoužije.
30 Podle španělské vlády Soudní dvůr v rozsudku Tele2 Sverige a Watson a další rozhodl, že legislativní opatření upravující přístup vnitrostátních orgánů k údajům uchovávaným poskytovateli služeb elektronických komunikací spadá do působnosti směrnice 2002/85. V tomto případě se však jednalo o žádost o zpřístupnění osobních údajů uchovávaných poskytovateli služeb elektronických komunikací podanou orgánem veřejné moci na základě soudního rozhodnutí v rámci trestního řízení. Španělská vláda z toho vyvozuje, že vnitrostátní orgány tuto žádost podaly v rámci výkonu ius puniendi, takže se jedná o činnost státu v oblasti trestního práva, na kterou se vztahuje výjimka v čl. 3 odst. 2 první odrážce směrnice 95/46 a v čl. 1 odst. 3 směrnice 2002/58.
31 K tomu, aby bylo možné posoudit tuto námitku stran nedostatku pravomoci, je třeba uvést, že podle čl. 1 odst. 1 směrnice 2002/58 se touto směrnicí harmonizují vnitrostátní právní předpisy požadované zejména pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací. Podle čl. 1 odst. 2 uvedená směrnice upřesňuje a doplňuje směrnici 95/46 pro účely uvedené v uvedeném odstavci 1.
32 Článek 1 odst. 3 směrnice 2002/58 vylučuje z její působnosti „činnosti státu“ v oblastech, které jsou v něm uvedeny, včetně činnosti státu v oblasti trestního práva a činnosti týkající se veřejné bezpečnosti, obrany, bezpečnosti státu a hospodářské prosperity státu, jedná-li se o činnosti související s bezpečností státu (rozsudek Tele2 Sverige a Watson a další, bod 69 a citovaná judikatura). V něm uvedené činnosti jsou v každém případě příkladem činností státu či státních orgánů, které se liší od činnosti jednotlivců (obdobně, pokud jde o ustanovení čl. 3 odst. 2 první odrážky směrnice 95/46, viz rozsudek ze dne 10. července 2018, Jehovan Todistajat, C‑25/17, EU:C:2018:551, bod 38 a citovaná judikatura).
33 Článek 3 směrnice 2002/58 uvádí, že se tato směrnice vztahuje na zpracování osobních údajů ve spojení s poskytováním veřejně dostupných služeb elektronických komunikací ve veřejných komunikačních sítích v Unii, včetně veřejných komunikačních sítí podporujících zařízení pro shromažďování a identifikaci údajů (dále jen „služby elektronických komunikací“). Z toho vyplývá, že na uvedenou směrnici musí být nahlíženo tak, že upravuje činnosti poskytovatelů takových služeb (rozsudek Tele2 Sverige a Watson a další, bod 70).
34 Pokud jde o čl. 15 odst. 1 směrnice 2002/58, Soudní dvůr již rozhodl, že legislativní opatření, na něž míří toto ustanovení, spadají do působnosti této směrnice, i když se týkají činností, jež jsou vlastní státu či státním orgánům a nesouvisí s oblastmi činností jednotlivců, a to i v případě, že se účel takových opatření v podstatě kryje s účely sledovanými činnostmi, na které se vztahuje čl. 1 odst. 3 směrnice 2002/58. Článek 15 odst. 1 této směrnice totiž nutně počítá s tím, že v něm zmiňovaná vnitrostátní opatření spadají do působnosti uvedené směrnice, jelikož tato směrnice výslovně umožňuje členským státům přijmout je pouze v případě, že splní v ní stanovené podmínky. Legislativními opatřeními podle čl. 15 odst. 1 směrnice 2002/58 se dále pro účely, jež jsou uvedeny v tomto ustanovení, řídí činnost poskytovatelů služeb elektronických komunikací (v tomto smyslu viz rozsudek Tele2 Sverige a Watson a další, body 72 až 74).
35 Soudní dvůr konstatoval, že uvedený čl. 15 odst. 1 ve spojení s článkem 3 směrnice 2002/58 musí být vykládán v tom smyslu, že do působnosti této směrnice spadá nejen legislativní opatření, které poskytovatelům služeb elektronických komunikací ukládá povinnost uchovávat provozní a lokalizační údaje, ale i legislativní opatření upravující zpřístupňování údajů, které tito poskytovatelé uchovávají, vnitrostátním orgánům (v tomto smyslu viz rozsudek Tele2 Sverige a Watson a další, body 75 a 76).
36 Ochrana důvěrnosti elektronických komunikací a souvisejících provozních údajů, jež je zaručena čl. 5 odst. 1 směrnice 2002/58, se totiž vztahuje na opatření, která přijímají veškeré osoby s výjimkou uživatelů, ať již se jedná o soukromé fyzické nebo právnické osoby nebo o státní subjekty. Jak potvrzuje bod 21 odůvodnění této směrnice, jejím cílem je zamezit [„jakémukoli“] neoprávněnému „přístupu“ ke sdělením, včetně „[veškerých] údajů vztahujících se k takovým sdělením“, aby byla chráněna důvěrnost elektronických komunikací (rozsudek Tele2 Sverige a Watson a další, bod 77).
37 Je třeba dodat, že legislativní opatření ukládající poskytovatelům služeb elektronických komunikací povinnost uchovávat provozní a lokalizační údaje či povinnost zpřístupnit je příslušným vnitrostátním orgánům nutně znamená, že tito poskytovatelé s uvedenými údaji nakládají (v tomto smyslu viz rozsudek Tele2 Sverige a Watson a další, body 75 a 78). Taková opatření v rozsahu, v němž upravují činnosti uvedených poskytovatelů, tedy nemohou být považována za činnosti vlastní státům ve smyslu čl. 1 odst. 3 směrnice 2002/58.
38 V projednávaném případě, jak vyplývá z předkládacího rozhodnutí, vychází žádost dotčená ve věci v původním řízení, jíž se kriminální policie domáhá, aby jí soud umožnil přístup k osobním údajům uchovávaným poskytovateli služeb elektronických komunikací, ze zákona č. 25/2007 ve spojení s trestním řádem, ve znění použitelném na skutkový stav v původním řízení, který upravuje přístup orgánů veřejné moci k takovým údajům. Tato právní úprava tedy kriminální policii umožňuje v případě, že získá souhlas soudu, o jehož udělení požádala na základě tohoto zákona, požadovat, aby jí poskytovatelé služeb elektronických komunikací zpřístupnili osobní údaje a vzhledem k definici uvedené v čl. 2 písm. b) směrnice 95/46 použitelné v kontextu směrnice 2002/58 tak podle čl. 2 prvního pododstavce uvedené směrnice takové údaje „zpracovali“ ve smyslu obou těchto směrnic. Uvedená právní úprava tedy upravuje činnost poskytovatelů služeb elektronických komunikací, a spadá proto do působnosti směrnice 2002/58.
39 Za těchto podmínek tedy to, že tato žádost o přístup byla podána v rámci trestního vyšetřování, jak uvádí španělská vláda, nemůže vést k tomu, že se směrnice 2002/58 na věc v původním řízení neaplikuje na základě jejího čl. 1 odst. 3.
40 Rovněž v tomto ohledu není relevantní, že žádost o přístup dotčená ve věci v původním řízení směřuje, jak vyplývá z písemné odpovědi španělské vlády na otázku položenou Soudním dvorem a jak potvrdila tato vláda i státní zástupce na jednání, k umožnění přístupu pouze k telefonním číslům odpovídajícím SIM kartám aktivovaným prostřednictvím kódu IMEI odcizeného mobilního telefonu a k údajům o totožnosti držitelů těchto karet, jako je jejich jméno, příjmení a případně adresa, a nikoli k údajům o komunikaci uskutečněné prostřednictvím uvedených SIM karet a k lokalizačním údajům z odcizeného mobilního telefonu.
41 Jak totiž uvedl generální advokát v bodě 54 svého stanoviska, směrnice 2002/58 upravuje v souladu s čl. 1 odst. 1 a článkem 3 veškeré zpracování osobních údajů v souvislosti s poskytováním služeb elektronických komunikací. Článek 2 druhý pododstavec písm. b) této směrnice dále definuje „provozní údaje“ jako „jakékoli údaje zpracovávané pro účely přenosu sdělení sítí elektronických komunikací nebo pro jeho účtování“.
42 Pokud jde konkrétně o údaje o totožnosti držitelů SIM karet, z bodu 15 odůvodnění směrnice 2002/58 vyplývá, že provozní údaje mohou zejména zahrnovat jméno a adresu osoby, která odesílá sdělení nebo užívá spojení za účelem přenosu sdělení. Údaje o totožnosti držitelů SIM karet mohou být kromě toho nezbytné pro vyúčtování poskytovaných služeb elektronických komunikací, a jsou tedy součástí provozních údajů podle článku 2 druhého pododstavce písm. b) této směrnice. Tyto údaje tudíž spadají do působnosti směrnice 2002/58.
43 Soudní dvůr má tudíž pravomoc k tomu, aby odpověděl na otázky položené předkládajícím soudem.
K přípustnosti
44 Španělská vláda tvrdí, že žádost o rozhodnutí o předběžné otázce je nepřípustná, neboť jasně neuvádí ustanovení unijního práva, o kterých má Soudní dvůr rozhodnout. Žádost kriminální policie dotčená v původním řízení se navíc netýká odposlechu komunikace uskutečněné prostřednictvím SIM karet aktivovaných prostřednictvím kódu IMEI odcizeného mobilního telefonu, ale propojení těchto karet s jejich držiteli, takže důvěrnost komunikace není podle ní dotčena. Článek 7 Listiny, na nějž odkazují předběžné otázky, je tedy podle ní v kontextu projednávané věci irelevantní.
45 Podle ustálené judikatury Soudního dvora přísluší pouze vnitrostátnímu soudu, kterému byl spor předložen a který musí nést odpovědnost za soudní rozhodnutí, které bude vydáno, aby s ohledem na konkrétní okolnosti věci posoudil jak nezbytnost rozhodnutí o předběžné otázce pro vydání svého rozsudku, tak relevanci otázek, které klade Soudnímu dvoru. Jestliže se tedy položené otázky týkají výkladu unijního práva, je Soudní dvůr v zásadě povinen rozhodnout. Odmítnutí ze strany Soudního dvora rozhodnout o předběžné otázce položené vnitrostátním soudem je možné pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo také jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (rozsudek ze dne 10. července 2018, Jehovan Todistajat, C‑25/17, EU:C:2018:551, bod 31 a citovaná judikatura).
46 V projednávaném případě předkládací rozhodnutí obsahuje skutkové a právní poznatky dostatečné pro identifikaci ustanovení unijního práva, jichž se týkají předběžné otázky, i pro pochopení rozsahu těchto otázek. Z předkládacího rozhodnutí konkrétně vyplývá, že předběžné otázky mají předkládajícímu soudu umožnit posoudit, zda a v jakém rozsahu sleduje vnitrostátní právní úprava, z níž vychází žádost kriminální policie dotčená ve věci v původním řízení, cíl, jež může odůvodňovat zásah do základních práv zakotvených v článcích 7 a 8 Listiny. Podle tohoto soudu přitom tato vnitrostátní právní úprava spadá do působnosti směrnice 2002/58, takže je Listina použitelná na věc v původním řízení. Předběžné otázky tak mají přímý vztah k předmětu sporu v původním řízení, a nemohou tedy být považovány za hypotetické.
47 Za těchto okolností jsou předběžné otázky přípustné.
K věci samé
48 Podstatou dvou otázek předkládajícího soudu, které je třeba zkoumat společně, je zda musí být čl. 15 odst. 1 směrnice 2002/58 ve světle článků 7 a 8 Listiny vykládán v tom smyslu, že zpřístupnění takových údajů, jako je jméno, příjmení a případně adresa držitelů SIM karet aktivovaných v odcizeném mobilním telefonu za účelem jejich identifikace, orgánům veřejné moci zasahuje do základních práv těchto držitelů zakotvených v těchto článcích Listiny natolik závažným způsobem, že by přístup k nim měl být v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů omezen na boj proti závažné trestné činnosti, a v případně že tomu tak je, s ohledem na jaká kritéria je třeba posuzovat závažnost dotčeného trestného činu.
49 V tomto ohledu z předkládacího rozhodnutí vyplývá, jak v podstatě uvedl generální advokát v bodě 38 svého stanoviska, že smyslem žádosti o rozhodnutí o předběžné otázce není určit, zda byly osobní údaje dotčené ve věci v původním řízení uchovávány poskytovateli služeb elektronických komunikací v souladu s podmínkami uvedenými v čl. 15 odst. 1 směrnice 2002/58 vykládaného ve světle článků 7 a 8 Listiny. Tato žádost se týká, jak vyplývá z bodu 46 tohoto rozsudku, pouze toho, zda a do jaké míry může být cíl sledovaný právní úpravou dotčenou ve věci v původním řízení důvodem k tomu, aby měly orgány veřejné moci, jako je kriminální policie, přístup k takovým údajům, a ostatní podmínky pro přístup k údajům vyplývající z tohoto čl. 15 odst. 1 nejsou předmětem této žádosti.
50 Tento soud se konkrétně táže, jaké skutečnosti musí zohlednit pro účely posouzení, zda jsou trestné činy, v jejichž případě lze policii udělit pro účely vyšetřování souhlas k přístupu k osobním údajům uchovávaným poskytovateli služeb elektronických komunikací, natolik závažné, aby odůvodňovaly zpřístupnění, které takto zasahuje do základních práv zaručených články 7 a 8 Listiny, jak je vykládá Soudní dvůr ve svých rozsudcích ze dne 8. dubna 2014, Digital Rights Ireland a další (C‑293/12 a C‑594/12, EU:C:2014:238), a Tele2 Sverige a Watson a další.
51 Pokud jde o existenci zásahu do těchto základních práv, je třeba připomenout, jak uvedl generální advokát v bodech 76 a 77 svého stanoviska, že zpřístupnění takových údajů orgánům veřejné moci zasahuje do základního práva na respektování soukromého života zakotveného v článku 7 Listiny i v případě, že tento zásah nelze kvalifikovat jako „závažný“, a bez ohledu na to, zda jsou, či nejsou dotčené údaje o soukromém životě citlivé nebo zda tento zásah měl, či neměl pro dotčené osoby případně nepříznivé následky. Takový přístup zasahuje i do základního práva na ochranu osobních údajů zaručeného článkem 8 Listiny, jelikož jde o zpracování osobních údajů [v tomto smyslu viz posudek 1/15 (Dohoda PNR mezi EU a Kanadou) ze dne 26. července 2017, EU:C:2017:592, body 124 a 126 a citovaná judikatura].
52 Pokud jde o cíle, které mohou ospravedlňovat takovou vnitrostátní právní úpravu, jako je úprava dotčená ve věci v původním řízení, která upravuje přístup orgánů veřejné moci k údajům uchovávaným poskytovateli služeb elektronických komunikací a v zásadě stanoví výjimku ze zásady důvěrnosti elektronické komunikace, je třeba připomenout, že výčet cílů v čl. 15 odst. 1 první větě směrnice 2002/58 je taxativní, a proto musí přístup k údajům skutečně a nezbytně odpovídat některému z těchto cílů (v tomto smyslu viz rozsudek Tele2 Sverige a Watson a další, body 90 a 115).
53 Pokud však jde o účel spočívající v prevenci, vyšetřování, odhalování a stíhání trestných činů, je třeba poznamenat, že znění čl. 15 odst. 1 první věty směrnice 2002/58 neomezuje tento cíl na boj proti závažným trestným činům, ale míří pouze na „trestné činy“ obecně.
54 Soudní dvůr v tomto ohledu rozhodl, že v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů může být důvodem k tomu, aby byly údaje uchovávané poskytovateli služeb elektronických služeb, z nichž lze jako celku vyvodit přesné závěry o soukromém životě osob, jejichž údaje jsou tím dotčeny, zpřístupněny orgánům veřejné moci, pouze boj proti závažné trestné činnosti (v tomto smyslu viz rozsudek Tele2 Sverige a Watson a další, bod 99).
55 Soudní dvůr však tento výklad odůvodnil tím, že cíl sledovaný právní úpravou regulující tento přístup musí být úměrný závažnosti zásahu do základních práv v důsledku této operace (v tomto smyslu viz rozsudek Tele2 Sverige a Watson a další, bod 115).
56 V souladu se zásadou proporcionality totiž může být v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů odůvodněn závažný zásah pouze cílem spočívajícím v boji proti trestné činnosti, která musí být rovněž kvalifikována jako „závažná“.
57 Naproti tomu v případě, že zásah daný takovým zpřístupněním není závažný, lze jej odůvodnit cílem spočívajícím v prevenci, vyšetřování, odhalování a stíhání „trestných činů“ obecně.
58 Proto je třeba nejprve určit, zda je v projednávaném případě v závislosti na okolnostech projednávané věci nutné považovat zásah do základních práv zakotvených v článcích 7 a 8 Listiny způsobený tím, že se kriminální policii zpřístupní údaje dotčené ve věci, za „závažný“.
59 V tomto ohledu žádost dotčená ve věci v původním řízení, kterou se kriminální policie pro účely trestního vyšetřování domáhá zpřístupnění osobních údajů uchovávaných poskytovateli služeb elektronických komunikací, slouží pouze k identifikaci držitelů karet SIM aktivovaných během dvanácti dnů prostřednictvím kódu IMEI odcizeného mobilního telefonu. Jak bylo uvedeno v bodě 40 tohoto rozsudku, tato žádost se týká pouze telefonních čísel odpovídajících těmto SIM kartám a údajů o totožnosti držitelů uvedených karet, jako je jejich jméno, příjmení a případně adresa. Tyto údaje se naopak netýkají, jak potvrdila španělská vláda i státní zastupitelství na jednání, komunikace uskutečněné s pomocí odcizeného mobilního telefonu ani jeho lokalizace.
60 Údaje, kterých se týká žádost o přístup dotčená ve věci v původním řízení, proto podle všeho umožňují pro dané období pouze dohledat totožnost držitele SIM karty či SIM karet aktivovaných v odcizeném mobilním telefonu. Bez křížové kontroly údajů o komunikaci vedené z uvedených karet SIM a bez lokalizačních údajů nelze z těchto údajů zjistit datum, čas, dobu trvání ani adresáty komunikace uskutečněné prostřednictvím dotčené SIM karty či dotčených SIM karet, ani místo, kde se tato komunikace uskutečnila, či její četnost s určitými osobami v určitém období. Z uvedených údajů tedy nelze vyvodit přesné závěry o soukromí osob, o jejichž údaje se jedná.
61 Za těchto podmínek nelze poskytnutí přístupu pouze k údajům dotčeným v žádosti ve věci v původním řízení kvalifikovat jako „závažný“ zásah do základních práv osob, o jejichž údaje se jedná.
62 Jak vyplývá z bodů 53 až 57 tohoto rozsudku, zásah daný zpřístupněním takových údajů lze tedy odůvodnit cílem spočívajícím v prevenci, vyšetřování, odhalování a stíhání „trestných činů“ obecně, který zmiňuje čl. 15 odst. 1 první věta směrnice 2002/58, a není nutné, aby tyto trestné činy byly kvalifikovány jako „závažné“.
63 S ohledem na výše uvedené je třeba na položené otázky odpovědět tak, že čl. 15 odst. 1 směrnice 2002/58 musí být ve světle článků 7 a 8 Listiny vykládán v tom smyslu, že zpřístupnění takových údajů, jako je jméno, příjmení a případně adresa držitelů SIM karet aktivovaných v odcizeném mobilním telefonu za účelem jejich identifikace, orgánům veřejné moci nezasahuje do základních práv těchto držitelů zakotvených v těchto článcích Listiny natolik závažným způsobem, že by přístup k nim měl být v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů omezen na boj proti závažné trestné činnosti.
K nákladům řízení
64 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:
Článek 15 odst. 1 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 musí být ve světle článků 7 a 8 Listiny základních práv Evropské unie vykládán v tom smyslu, že zpřístupnění takových údajů, jako je jméno, příjmení a případně adresa držitelů SIM karet aktivovaných v odcizeném mobilním telefonu za účelem jejich identifikace, orgánům veřejné moci nezasahuje do základních práv těchto držitelů zakotvených v těchto článcích Listiny základních práv natolik závažným způsobem, že by přístup k nim měl být v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů omezen na boj proti závažné trestné činnosti.
Podpisy.