Spojeni predmeti C‑203/15 i C‑698/15
Tele2 Sverige ABprotivPost- och telestyrelsen
i
Secretary of State for the Home DepartmentprotivToma Watsona i dr.
(zahtjev za prethodnu odluku koji su uputili Kammarrätten i Stockholm i Court of Appeal (England & Wales) (Civil Division))
„Zahtjev za prethodnu odluku – Elektroničke komunikacije – Obrada osobnih podataka – Povjerljivost elektroničkih komunikacija – Zaštita – Direktiva 2002/58/EZ – Članci 5., 6. i 9. i članak 15. stavak 1. – Povelja Europske unije o temeljnim pravima – Članci 7., 8. i 11. i članak 52. stavak 1. – Nacionalno zakonodavstvo – Pružatelji elektroničkih komunikacijskih usluga – Obveza koja se odnosi na opće i neselektivno zadržavanje podataka o prometu i podataka o lokaciji – Nacionalna tijela – Pristup podacima – Nepostojanje prethodnog nadzora suda ili nadzora neovisnog upravnog tijela – Usklađenost s pravom Unije”
Sažetak – Presuda Suda (veliko vijeće) od 21. prosinca 2016.
1. Usklađivanje zakonodavstava – Sektor telekomunikacija – Obrada osobnih podataka i zaštita privatnosti u sektoru elektroničkih komunikacija – Direktiva 2002/58 – Mogućnost da države članice ograniče doseg određenih prava i obveza – Područje primjene – Zakonodavna mjera kojom se pružateljima telekomunikacijskih usluga nalaže zadržavanje podataka o prometu i lokaciji korisnika – Uključenost
(Direktiva Europskog parlamenta i Vijeća 2002/58, kako je izmijenjena Direktivom 2009/136, čl. 5. st. 1. i čl. 15. st. 1.)
2. Usklađivanje zakonodavstava – Sektor telekomunikacija – Obrada osobnih podataka i zaštita privatnosti u sektoru elektroničkih komunikacija – Direktiva 2002/58 – Mogućnost da države članice ograniče doseg određenih prava i obveza – Usko tumačenje – Razlozi kojima se može opravdati donošenje takvog ograničenja – Taksativna narav
(Direktiva Europskog parlamenta i Vijeća 2002/58, kako je izmijenjena Direktivom 2009/136, čl. 5. st. 1. i čl. 15. st. 1.)
3. Usklađivanje zakonodavstava – Sektor telekomunikacija – Obrada osobnih podataka i zaštita privatnosti u sektoru elektroničkih komunikacija – Direktiva 2002/58 – Mogućnost da države članice ograniče doseg određenih prava i obveza – Nacionalni propis kojim se određuje opće i neselektivno zadržavanje podataka o prometu i podataka o lokaciji korisnika u svrhu borbe protiv kriminaliteta – Nedopuštenost – Ozbiljno miješanje u prava u odnosu na privatni život, zaštitu osobnih podataka i slobodu izražavanja
(Povelja Europske unije o temeljnim pravima, čl. 7., 8., 11. i čl. 52. st. 1.; Direktiva Europskog parlamenta i Vijeća 2002/58, kako je izmijenjena Direktivom br. 2009/136, čl. 15. st. 1.)
4. Usklađivanje zakonodavstava – Sektor telekomunikacija – Obrada osobnih podataka i zaštita privatnosti u području elektroničkih komunikacija – Direktiva 2002/58 – Mogućnost da države članice ograniče doseg određenih prava i obveza – Nacionalni propis kojim se određuje ciljano zadržavanje podataka o prometu i lokaciji korisnika u svrhu borbe protiv teških kaznenih djela – Dopuštenost – Pretpostavke
(Povelja Europske unije o temeljnim pravima, čl. 7., 8., 11. i čl. 52. st. 1.; Direktiva Europskog parlamenta i Vijeća 2002/58, kako je izmijenjena Direktivom br. 2009/136, čl. 15. st. 1.)
5. Usklađivanje zakonodavstava – Sektor telekomunikacija – Obrada osobnih podataka i zaštita privatnosti u području elektroničkih komunikacija – Direktiva 2002/58 – Mogućnost da države članice ograniče doseg određenih prava i obveza – Nacionalni propis kojim se uređuje zaštita i sigurnost podataka o prometu i lokaciji korisnika – Mogućnost da nacionalna tijela pristupe navedenim podacima bez prethodnog sudskog ili upravnog nadzora – Nedopuštenost – Nepostojanje obveze pružatelja elektroničkih komunikacijskih usluga da zadržavaju te podatke na području Unije – Nedopuštenost
(Povelja Europske unije o temeljnim pravima, čl. 7., 8., 11. i čl. 52. st. 1.; direktive Europskog parlamenta i Vijeća 95/46, čl. 22., i 2002/58, kako je izmijenjena Direktivom br. 2009/136, čl. 15. st. 1. i 2.)
6. Temeljna prava – Europska konvencija o ljudskim pravima – Instrument koji formalno ne predstavlja dio pravnog poretka Unije
(čl. 6. st. 3. UEU‑a; Povelja Europske unije o temeljnim pravima, čl. 52. st. 3.)
7. Prethodna pitanja – Nadležnost Suda – Granice – Općenita ili hipotetska pitanja – Pitanje koje je apstraktno i posve hipotetsko u odnosu na predmet glavnog postupka – Nedopuštenost
(čl. 267. UFEU‑a)
1. Članak 15. stavak 1. Direktive 2002/58 o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama), kako je izmijenjena Direktivom 2009/136, dopušta državama članicama da, poštujući njome predviđene uvjete, donesu zakonodavne mjere čiji je cilj ograničiti doseg prava i obveza iz članaka 5. i 6., članka 8. stavaka 1. do 4. i članka 9. te direktive.
U područje te odredbe osobito spada zakonska mjera koja tim pružateljima nalaže zadržavanje podataka o prometu i lokaciji jer se takva aktivnost nužno odnosi na to da oni obrađuju osobne podatke. U navedeno područje primjene spada i zakonska mjera poput one u glavnom postupku o pristupu nacionalnih tijela podacima koje su zadržali pružatelji elektroničkih komunikacijskih usluga. Naime, zaštita povjerljivosti elektroničkih komunikacija i s njima povezanih podataka o prometu, zajamčena člankom 5. stavkom 1. Direktive 2002/58, primjenjuje se na mjere koje poduzimaju sve osobe osim korisnika, bez obzira na to radi li se o privatnim osobama odnosno tijelima ili državnim tijelima.
(t. 71., 75.‑77.)
2. Članak 15. stavak 1. Direktive 2002/58 o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama), kako je izmijenjena Direktivom 2009/136, omogućava državama da uvedu iznimke od načela, propisanog u članku 5. stavku 1. te direktive prema kojem su obvezne jamčiti povjerljivost osobnih podataka, kao i iznimke od odgovarajućih obveza, spomenutih osobito u člancima 6. i 9. navedene direktive. Ipak, u mjeri u kojoj članak 15. stavak 1. Direktive 2002/58 omogućuje državama članicama da ograniče doseg navedene obveze načela, treba ga usko tumačiti. Takva odredba stoga ne može opravdati to da odstupanje od obveznosti tog načela i osobito od zabrane pohrane tih podataka, određene u članku 5. te direktive, postane pravilo kako potonja odredba ne bi izgubila na svojem dosegu.
U tom pogledu valja navesti da prva rečenica članka 15. stavka 1. Direktive 2002/58 predviđa da njome određene zakonske mjere kojima se odstupa od načela povjerljivosti komunikacija i s njima povezanih podataka o prometu mora za cilj imati zaštitu nacionalne sigurnosti (odnosno državne sigurnosti), obrane, javne sigurnosti te sprečavanje, istrage, otkrivanja i progona kaznenih djela odnosno neovlaštene uporabe elektroničkog komunikacijskog sustava ili drugi cilj predviđen člankom 13. stavkom 1. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka. Takvo je nabrajanje ciljeva iscrpno, kao što to proizlazi iz druge rečenice članka 15. stavka 1. te direktive, na temelju kojeg zakonske mjere moraju biti opravdane razlozima određenima u prvoj rečenici članka 15. stavka 1. navedene direktive. Posljedično tomu, države članice ne mogu donijeti takve mjere u druge svrhe osim onih nabrojenih u potonjoj odredbi.
(t. 88.‑90.)
3. Članak 15. stavak 1. Direktive 2002/58 o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama), kako je izmijenjena Direktivom 2009/136, u vezi s člancima 7., 8. i 11. i člankom 52. stavkom 1. Povelje Europske unije o temeljnim pravima, treba tumačiti na način da mu se protivi nacionalni propis koji u cilju borbe protiv kriminaliteta određuje opće i neselektivno zadržavanje svih podataka o prometu i lokaciji svih pretplatnika i registriranih korisnika u pogledu svih sredstava elektroničke komunikacije.
Ti podaci, uzeti zajedno, mogu omogućiti donošenje vrlo preciznih zaključaka o privatnom životu osoba čiji su podaci zadržani, kao što su svakodnevne navike, mjesta trajnih ili privremenih boravišta, dnevna ili druga kretanja, obavljane aktivnosti, društveni odnosi i društvene sredine koje su te osobe posjećivale. Ti podaci osobito omogućuju utvrđivanje profila predmetnih osoba, što je jednako osjetljiva informacija s obzirom na pravo na poštovanje privatnog života, kao i sam sadržaj komunikacija. Miješanje takvog propisa u temeljna prava utvrđena člancima 7. i 8. Povelje širokog je dosega i treba ga smatrati osobito ozbiljnim. Okolnost da se zadržavanje podataka izvršava a da o tome korisnici elektroničkih komunikacija nisu obaviješteni može kod dotičnih osoba stvoriti osjećaj da je njihov privatni život predmet trajnog nadzora. Iako takvim propisom nije odobreno zadržavanje sadržaja komunikacije te on stoga ne može povrijediti bitan sadržaj navedenih prava, zadržavanje podataka o prometu i lokaciji može ipak imati utjecaja na uporabu elektroničkih komunikacijskih sredstava i stoga na uživanje tih korisnika njihove slobode izražavanja zajamčene u članku 11. Povelje.
S obzirom na ozbiljnost miješanja u predmetna temeljna prava utvrđenog nacionalnim propisom, samo borba protiv teških kaznenih djela može opravdati takvu mjeru. Nadalje, iako učinkovitost borbe protiv teških kaznenih djela, a osobito protiv organiziranog kriminala i terorizma, može u velikoj mjeri ovisiti o primjeni modernih istražnih tehnika, takav cilj u općem interesu, koliko god bio temeljan, ne može sâm opravdati da se nacionalni propis koji određuje opće i neselektivno zadržavanje svih podataka o prometu i lokaciji smatra nužnim u svrhu navedene borbe. S jedne strane, učinak takvog propisa je to da je zadržavanje podataka o prometu i lokaciji pravilo, iako sustav uspostavljen Direktivom 2002/58 zahtijeva da to zadržavanje podataka bude iznimka. S druge strane, nacionalni propis koji na općenit način obuhvaća sve pretplatnike i registrirane korisnike te se odnosi na sva sredstva elektroničke komunikacije kao i na sve podatke o prometu, ne predviđa nikakvo razlikovanje, ograničenje ili iznimku s obzirom na cilj koji se želi postići. On se, dakle, primjenjuje i na osobe za koje ne postoji nikakva naznaka koja bi navela na mišljenje da njihovo ponašanje može imati vezu, čak i posrednu ili daleku, s teškim kaznenim djelima. Nacionalni propis prelazi, dakle, granice strogo nužnog i ne može se smatrati opravdanim u demokratskom društvu, kao što to zahtijeva članak 15. stavak 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. i člankom 52. stavkom 1. Povelje.
(t. 99.‑105., 107., 112. i t. 1. izreke)
4. Članak 15. stavak 1. Direktive 2002/58 o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama), kako je izmijenjena Direktivom 2009/136, u vezi s člancima 7., 8. i 11. kao i člankom 52. stavkom 1. Povelje Europske unije o temeljnim pravima ne protivi se tome da država članica donese propis koji s ciljem prevencije omogućava ciljano zadržavanje podataka o prometu i lokaciji u svrhu borbe protiv teških kaznenih djela, pod uvjetom da zadržavanje podataka – kad je riječ o kategorijama podataka koji trebaju biti zadržani, predviđenim komunikacijskim sredstvima, osobama na koje se zadržavanje odnosi kao i njegovu trajanju – bude ograničeno na ono što je strogo nužno.
Kako bi bili ispunjeni ti zahtjevi, taj nacionalni propis mora, kao prvo, odrediti jasna i precizna pravila kojima se uređuje doseg i primjena takve mjere zadržavanja podataka te propisati minimalne uvjete, na način da osobe čiji su podaci zadržani raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu njihovih osobnih podataka od rizika zlouporabe. On mora osobito naznačiti u kojim okolnostima i pod kojim uvjetima mjera zadržavanja podataka može biti preventivno donesena, jamčeći njezino ograničavanje na ono što je strogo nužno.
Kao drugo, kad je riječ o materijalnim uvjetima koje mora ispuniti nacionalni propis kako bi se osiguralo da bude ograničen na ono što je strogo nužno, valja navesti da, iako se takvi uvjeti mogu razlikovati ovisno o mjerama donesenima s ciljem sprečavanja, istrage, otkrivanja i progona teških kaznenih djela, zadržavanje podataka ipak mora nastaviti ispunjavati objektivne kriterije, uspostavljajući vezu između podataka koje treba zadržati i cilja koji se nastoji postići. Konkretno, takvi uvjeti moraju se u praksi pokazati takvima da mogu učinkovito ograničiti doseg mjere i stoga javnosti na koju se ona odnosi. Kad je riječ o tom ograničenju, nacionalni propis mora se temeljiti na objektivnim kriterijima koji omogućuju obuhvaćanje javnosti čiji podaci mogu otkriti vezu, makar i posrednu, s teškim kaznenim djelima, doprinošenje na bilo koji način borbi protiv teških kaznenih djela ili sprečavanje ozbiljne opasnosti za javnu sigurnost. Takvo ograničenje može se osigurati na temelju zemljopisnog kriterija kad nadležna nacionalna tijela na temelju objektivnih elemenata utvrde da na jednom ili više zemljopisnih područja postoji pojačana opasnost od pripremanja ili počinjenja takvih djela.
(t. 108.‑111.)
5. Članak 15. stavak 1. Direktive 2002/58 o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama), kako je izmijenjena Direktivom 2009/136, u vezi s člancima 7., 8. i 11. i člankom 52. stavkom 1. Povelje Europske unije o temeljnim pravima, treba tumačiti na način da mu se protivi nacionalni propis kojim se uređuje zaštita i sigurnost podataka o prometu i lokaciji i osobito pristup nadležnih nacionalnih tijela zadržanim podacima kad svrha tog pristupa u okviru borbe protiv kriminaliteta nije ograničena na borbu protiv teških kaznenih djela, kad se navedeni pristup ne podvrgava prethodnom nadzoru suda ili neovisnog upravnog tijela i kad nije propisano da se predmetni podaci zadržavaju na području Unije.
Kako bi se osiguralo da pristup nadležnih nacionalnih tijela zadržanim podacima bude ograničen na ono što je strogo nužno, na nacionalnom je pravu da utvrdi uvjete pod kojima pružatelji elektroničkih komunikacijskih usluga moraju odobriti takav pristup. Ipak, predmetni nacionalni propis ne može se ograničiti na zahtjev da pristup odgovara jednom od ciljeva iz članka 15. stavka 1. Direktive 2002/58, čak i ako je taj cilj borba protiv teških kaznenih djela. Takav nacionalni propis također mora predvidjeti materijalne i postupovne uvjete kojima se uređuje pristup nadležnih nacionalnih tijela zadržanim podacima. Posljedično tomu, budući da se opći pristup svim zadržanim podacima, neovisno o tome postoji li ikakva veza, pa bilo i posredna, s ciljem koji se nastoji postići, ne može smatrati ograničenim na ono što je strogo nužno, predmetni nacionalni propis mora se temeljiti na objektivnim kriterijima kako bi definirao okolnosti i uvjete u kojima nadležnim nacionalnim tijelima treba biti odobren pristup podacima pretplatnika ili registriranih korisnika. U tom pogledu, pristup u načelu može biti odobren, s obzirom na cilj borbe protiv kriminaliteta, samo podacima osoba za koje postoji sumnja da namjeravaju počiniti ili su počinile teško kazneno djelo ili da su na kakav drugi način sudjelovale u tom djelu. Ipak, u posebnim okolnostima, poput onih u kojima terorističke aktivnosti predstavljaju prijetnju za vitalne interese nacionalne sigurnosti, obrane ili javne sigurnosti, pristup podacima drugih osoba može se također odobriti kad postoje objektivni elementi koji omogućavaju zaključak da ti podaci u konkretnom slučaju mogu dati stvaran doprinos borbi protiv takvih aktivnosti.
U svrhu osiguranja punog poštovanja tih uvjeta u praksi, bitno je da pristup nadležnih nacionalnih tijela zadržanim podacima u načelu, osim u valjano opravdanim hitnim slučajevima, bude podvrgnut prethodnom nadzoru suda ili neovisnog upravnog tijela i da odluka tog suda ili tijela bude donesena nakon obrazloženog zahtjeva nacionalnih tijela podnesenog osobito u okviru postupaka sprečavanja, otkrivanja ili progona kaznenih djela. Također, važno je da nadležna nacionalna tijela kojima je odobren pristup zadržanim podacima o tome obavijeste predmetne osobe, u okviru primjenjivih nacionalnih postupaka, čim takva obavijest ne može ugroziti istragu koju vode ta tijela. Ta je informacija zapravo potrebna kako bi im omogućila, među ostalim, ostvarivanje prava na pravni lijek, izričito propisanog člankom 15. stavkom 2. Direktive 2002/58, u vezi s člankom 22. Direktive 95/46 o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka, u slučaju povrede njihovih prava.
Nadalje, kad je riječ o količini zadržanih podataka, njihovu osjetljivom karakteru i riziku od nezakonitog pristupa tim podacima, pružatelji elektroničkih komunikacijskih usluga moraju prikladnim tehničkim i organizacijskim mjerama, u svrhu osiguranja punog integriteta i povjerljivosti navedenih podataka, jamčiti osobito visoku razinu zaštite i sigurnosti. Konkretno, nacionalni propis mora osobito propisati zadržavanje na području Unije kao i nepovratno uništenje podataka nakon isteka razdoblja njihova zadržavanja.
(t. 118.‑122., 125. i t. 2. izreke)
6. Vidjeti tekst odluke.
(t. 127.‑129.)
7. Vidjeti tekst odluke.
(t. 130.)