Spojené věci C‑793/19 a C‑794/19
Bundesrepublik Deutschland
v.
SpaceNet AG a Telekom Deutschland GmbH
(žádost o rozhodnutí o předběžné otázce podaná Bundesverwaltungsgericht)
Rozsudek Soudního dvora (velkého senátu) ze dne 20. září 2022
„Řízení o předběžné otázce – Zpracování osobních údajů v odvětví elektronických komunikací – Důvěrný charakter sdělení – Poskytovatelé služeb elektronických komunikací – Plošné a nerozlišující uchovávání provozních a lokalizačních údajů – Směrnice 2002/58/ES – Článek 15 odst. 1 – Listina základních práv Evropské unie – Články 6, 7, 8 a 11, jakož i čl. 52 odst. 1 – Článek 4 odst. 2 SEU“
1. Sbližování právních předpisů – Oblast telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58 – Rozsah působnosti – Vnitrostátní právní úprava, která ukládá poskytovatelům služeb elektronických komunikací povinnost uchovávat provozní a lokalizační údaje – Cíle zajištění národní bezpečnosti a boje proti trestné činnosti – Zahrnutí
(Článek 4 odst. 2 SEU; směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, čl. 1 odst. 1 a 3, článek 3 a čl. 15 odst. 1)
(viz bod 48)
2. Sbližování právních předpisů – Oblast telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58 – Možnost členských států omezit rozsah určitých práv a povinností – Vnitrostátní opatření, která stanoví poskytovatelům služeb elektronických komunikací povinnost plošného a nerozlišujícího uchovávání provozních a lokalizačních údajů – Cíl boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti – Nepřípustnost – Doba trvání plošného a nerozlišujícího uchovávání těchto údajů – Neexistence vlivu – Vnitrostátní opatření týkající se uchovávání některých kategorií údajů – Cíle zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti – Přípustnost – Podmínky
(Listina základních práv Evropské unie, články 7, 8, 11 a čl. 52 odst. 1; směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, čl. 15 odst. 1)
(viz body 49–75, 77–81, 83–85, 87–94, 97–99, 110, 113, 116–121, 127–131 a výrok)
Shrnutí
V posledních letech Soudní dvůr v několika rozsudcích rozhodoval o uchovávání osobních údajů a přístupu k nim v oblasti elektronických komunikací(1).
V nedávné době Soudní dvůr rozsudkem La Quadrature du net a další(2), vydaným ve velkém senátu dne 6. října 2020, potvrdil své závěry o nepřiměřenosti plošného a nerozlišujícího uchovávání provozních a lokalizačních údajů týkajících se elektronických komunikací vyslovené v rozsudku Tele2 Sverige a Watson a další(3). Upřesnil rovněž rozsah pravomocí, které směrnice „o soukromí a elektronických komunikacích“ přiznává členským státům v oblasti uchovávání takových údajů pro účely zajištění národní bezpečnosti, boje proti trestné činnosti a zajištění veřejné bezpečnosti.
V projednávaných spojených věcech byly podány dvě žádosti o rozhodnutí o předběžné otázce Bundesverwaltungsgericht (Spolkový správní soud, Německo), k němuž Spolková republika Německo podala opravný prostředek „Revision“ proti dvěma rozsudkům, jimiž bylo vyhověno žalobám podaným dvěma společnostmi, SpaceNet AG (věc C‑793/19) a Telekom Deutschland GmbH (věc C‑794/19), poskytujícími služby přístupu k internetu. Těmito žalobami napadly tyto dvě společnosti povinnost uchovávat provozní a lokalizační údaje týkající se elektronických komunikací jejich zákazníků, kterou ukládá německá právní úprava(4).
Pochybnosti vyjádřené předkládajícím soudem se týkaly zejména slučitelnosti vnitrostátní právní úpravy, která ukládá poskytovatelům veřejně dostupných služeb elektronických komunikací zejména za účelem stíhání závažných trestných činů nebo odvrácení konkrétního nebezpečí pro národní bezpečnost, plošné a nerozlišující uchovávání zásadních provozních a lokalizačních údajů uživatelů těchto služeb, přičemž stanoví dobu uchovávání v délce několika týdnů a pravidla, která mají zajistit účinnou ochranu uchovávaných údajů před riziky zneužití, jakož i před jakýmkoliv neoprávněným přístupem k těmto údajům, se směrnicí „o soukromí a elektronických komunikacích“(5), vykládanou ve světle Listiny základních práv Evropské unie (dále jen „Listina“)(6) a čl. 4 odst. 2 SEU.
Soudní dvůr zasedající ve velkém senátu potvrdil svým rozsudkem judikaturu vycházející z rozsudku La Quadrature du Net a další a v nedávné době z rozsudku Commissioner of An Garda Síochána a další(7). Připomněl zejména, že plošné a nerozlišující uchovávání provozních a lokalizačních údajů týkajících se elektronických komunikací, k němuž dochází preventivně, není pro účely boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti povoleno.
Závěry Soudního dvora
Soudní dvůr začal potvrzením použitelnosti směrnice „o soukromí a elektronických komunikacích“ na dotčenou vnitrostátní právní úpravu a poté didakticky připomněl zásady vyplývající z judikatury před tím, než přistoupil k podrobnému přezkumu charakteristiky dotčené vnitrostátní právní úpravy, na které poukázal předkládající soud.
Pokud jde nejprve o rozsah uchovávaných údajů, Soudní dvůr uvádí, že povinnost uchovávat údaje stanovená dotčenou vnitrostátní právní úpravou se vztahuje na velmi široký soubor provozních a lokalizačních údajů a týká se téměř všech osob tvořících populaci, aniž se tyto osoby nacházejí, byť nepřímo, v situaci, která by mohla vést k trestnímu stíhání. Rovněž uvádí, že tato právní úprava stanoví bezdůvodné, plošné a osobně, časově a místně nerozlišující uchovávání podstatné části provozních a lokalizačních údajů, jejichž rozsah v podstatě odpovídá rozsahu údajů uchovávaných ve věcech, v nichž byl vydán rozsudek La Quadrature du net a další, přičemž s ohledem na tuto judikaturu má Soudní dvůr za to, že povinnost uchovávat údaje, jako je povinnost dotčená v projednávané věci, nemůže být považována za cílené uchovávání údajů.
Dále, co se týče doby uchovávání údajů, Soudní dvůr připomíná, že ze směrnice „o soukromí a elektronických komunikacích“(8) vyplývá, že doba uchovávání stanovená vnitrostátním opatřením ukládajícím plošnou a nerozlišující povinnost uchovávání je zajisté jedním z relevantních faktorů pro určení, zda unijní právo brání takovému opatření, přičemž uvedená směrnice vyžaduje, aby tato doba byla „omezená“. Nicméně závažnost zásahu vyplývá z rizika, zejména s ohledem na jejich počet a různorodost, že z uchovávaných údajů jako celku lze vyvodit velmi přesné závěry o soukromém životě osoby či osob, jejichž údaje byly uchovávány, a zejména poskytují prostředky k vytvoření profilu dotyčné osoby či dotyčných osob, který je stejně citlivou informací z hlediska práva na soukromí, jako je samotný obsah komunikací. Uchovávání provozních nebo lokalizačních údajů je tudíž v každém případě závažné bez ohledu na dobu uchovávání, množství nebo povahu uchovávaných údajů, pokud lze z veškerých uchovávaných údajů vyvodit takové závěry(9).
Nakonec, pokud jde o záruky, jejichž cílem je chránit uchovávané údaje před riziky zneužití a před jakýmkoli protiprávním přístupem, uvádí Soudní dvůr na základě dřívější judikatury, že uchovávání údajů a přístup k nim představují samostatné zásahy do základních práv subjektů údajů vyžadující samostatné odůvodnění. Z toho vyplývá, že vnitrostátní právní předpisy zajišťující plné dodržování podmínek vyplývajících z judikatury v oblasti přístupu k uchovávaným datům, nemohou být z povahy věci způsobilé omezit, či dokonce zhojit závažný zásah do práv subjektů údajů, který by vyplýval z plošného uchovávání těchto údajů.
Kromě toho, aby odpověděl na předložené argumenty, Soudní dvůr zaprvé podotýká, že ohrožení národní bezpečnosti musí být skutečné a aktuální nebo přinejmenším předvídatelné, což předpokládá existenci dostatečně konkrétních okolností, aby bylo možné odůvodnit plošné a nerozlišující uchovávání provozních a lokalizačních údajů po omezenou dobu. Takové ohrožení se tedy svou povahou, závažností a specifickou povahou okolností, které jej vytvářejí, liší od obecného a trvalého rizika vzniku napětí nebo narušování, byť závažného, veřejné bezpečnosti nebo rizika závažných trestných činů. Trestnou činnost, byť obzvláště závažnou, tedy nelze postavit na roveň ohrožení národní bezpečnosti.
Zadruhé uvádí, že povolení pro účely boje proti závažné trestné činnosti přístupu k provozním a lokalizačním údajům uchovávaným plošně a nerozlišujícím způsobem, aby bylo možné čelit závažnému ohrožení národní bezpečnosti, by bylo v rozporu s hierarchií cílů obecného zájmu, které by mohly odůvodnit opatření přijaté na základě směrnice „o soukromí a elektronických komunikacích“(10). To by totiž znamenalo umožnit, aby přístup mohl být odůvodněn méně důležitým cílem, než je cíl, který odůvodňoval uchování údajů, tedy zajištění národní bezpečnosti, což by mohlo zbavit zákaz provádět plošné a nerozlišující uchovávání údajů pro účely boje proti závažné trestné činnosti jakéhokoli užitečného účinku.
Soudní dvůr potvrdil svou dřívější judikaturu a rozhodl, že směrnice „o soukromí a elektronických komunikacích“ vykládaná ve světle Listiny brání legislativním opatřením, která pro účely boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti preventivně stanoví plošné a nerozlišující uchovávání provozních a lokalizačních údajů.
Naproti tomu nebrání vnitrostátním legislativním opatřením, která za účelem zajištění národní bezpečnosti umožňují přikázat poskytovatelům služeb elektronických komunikací, aby prováděli plošné a nerozlišující uchovávání provozních a lokalizačních údajů v situacích, kdy dotyčný členský stát čelí závažnému ohrožení národní bezpečnosti, které se jeví jako skutečné a aktuální či předvídatelné. V tomto ohledu Soudní dvůr upřesňuje, že rozhodnutí o uložení tohoto příkazu může být předmětem účinného přezkumu soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, a cílem tohoto přezkumu bude ověřit, že nastala některá z těchto situací, jakož i dodržení podmínek a záruk, které musí být stanoveny, a tento příkaz může být vydán pouze na dobu nezbytně nutnou, avšak s možností prodloužení, pokud toto ohrožení přetrvává.
Tato směrnice vykládaná ve světle Listiny nebrání ani vnitrostátním legislativním opatřením, která za účelem zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti stanoví cílené uchovávání provozních a lokalizačních údajů, které je na základě objektivních a nediskriminačních kritérií vymezeno kategoriemi dotčených osob nebo prostřednictvím zeměpisného kritéria, na dobu nezbytně nutnou, avšak s možností prodloužení.
Totéž platí pro vnitrostátní legislativní opatření, která za účelem zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti stanoví plošné a nerozlišující uchovávání IP adres přidělených zdroji připojení, a to po nezbytně nutnou dobu, jakož i údajů o totožnosti uživatelů prostředků elektronické komunikace, u nichž je nesporné, že jejich uchovávání může přispět k boji proti závažné trestné činnosti, pokud tyto údaje umožňují identifikovat osoby, které takové prostředky použily v souvislosti s přípravou nebo spácháním činu spadajícího pod závažnou trestnou činnost.
Není tomu jinak, pokud jde o vnitrostátní legislativní opatření, která za účelem boje proti závažné trestné činnosti a a fortiori zajištění národní bezpečnosti stanoví možnost přikázat rozhodnutím příslušného orgánu, které podléhá účinnému soudnímu přezkumu, poskytovatelům služeb elektronických komunikací, aby po určenou dobu prováděli urychlené uchování provozních a lokalizačních údajů, jimiž disponují.
Soudní dvůr však uvádí, že veškerá výše uvedená opatření musejí zajistit pomocí jasných a přesných pravidel, že budou při uchovávání dotčených údajů dodrženy související hmotněprávní a procesní podmínky a že subjekty údajů budou mít k dispozici účinné záruky proti riziku zneužití. Tato různá opatření mohou být podle rozhodnutí vnitrostátního zákonodárce a při dodržení mezí toho, co je naprosto nezbytné, uplatněna společně.