Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
M. CAMPOS SÁNCHEZ-BORDONA
van 30 maart 2023 (1)
Zaak C‑162/22
A. G.
in tegenwoordigheid van:
Lietuvos Respublikos generalinė prokuratūra
[verzoek van de Lietuvos vyriausiasis administracinis teismas (hoogste bestuursrechter, Litouwen) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Telecommunicatie – Verwerking van persoonsgegevens – Richtlijn 2002/58/EG – Werkingssfeer – Artikel 15, lid 1 – Toegang tot gegevens die worden bewaard door aanbieders van elektronischecommunicatiediensten en die zijn verzameld in het kader van gerechtelijke vooronderzoeken – Later gebruik van de gegevens in een onderzoek naar een ambtsmisdrijf”
1. In deze prejudiciële verwijzing wordt, kort samengevat, gevraagd of bepaalde persoonsgegevens die zijn verkregen in het kader van een strafrechtelijk onderzoek later kunnen worden gebruikt in een tuchtprocedure tegen een ambtenaar.
2. Het antwoord op deze vraag biedt het Hof een nieuwe gelegenheid om zich uit te spreken over de respectieve werkingssferen van richtlijn 2002/58/EG(2) enerzijds en richtlijn (EU) 2016/680(3) en verordening (EU) 2016/679(4) anderzijds.
3. Met betrekking tot richtlijn 2002/58 bestaat er reeds vaste rechtspraak van het Hof inzake de omstandigheden en voorwaarden waaronder de lidstaten de reikwijdte van de in die richtlijn neergelegde rechten en plichten kunnen beperken.(5)
I. Toepasselijke bepalingen
A. Unierecht
1. Richtlijn 2002/58
4. Artikel 1 („Werkingssfeer en doelstelling”) luidt:
„1. Deze richtlijn voorziet in de harmonisering van de regelgeving van de lidstaten die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen en om te zorgen voor het vrij verkeer van dergelijke gegevens en van elektronischecommunicatieapparatuur en ‑diensten in de [Unie].
2. Voor [...] de doelstellingen van lid 1 vormen de bepalingen van deze richtlijn een specificatie van en een aanvulling op richtlijn 95/46/EG[(6)]. Bovendien voorzien zij in bescherming van de rechtmatige belangen van abonnees die rechtspersonen zijn.
3. Deze richtlijn is niet van toepassing op activiteiten die niet onder het [VWEU] vallen, zoals die bedoeld in de titels V en VI van het [VEU], en in geen geval op activiteiten die verband houden met de openbare veiligheid, defensie, staatsveiligheid (met inbegrip van het economische welzijn van de staat wanneer de activiteit verband houdt met de staatsveiligheid) en de activiteiten van de staat op strafrechtelijk gebied.”
5. Artikel 5 („Vertrouwelijk karakter van de communicatie”), lid 1, schrijft voor:
„De lidstaten garanderen via nationale wetgeving het vertrouwelijke karakter van de communicatie en de daarmee verband houdende verkeersgegevens via openbare communicatienetwerken en via openbare elektronischecommunicatiediensten. Zij verbieden met name het afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van de communicatie en de daarmee verband houdende verkeersgegevens door anderen dan de gebruikers, indien de betrokken gebruikers daarin niet hebben toegestemd, tenzij dat bij wet is toegestaan overeenkomstig artikel 15, lid 1. Dit lid laat de technische opslag die nodig is voor het overbrengen van informatie onverlet, onverminderd het vertrouwelijkheidsbeginsel.”
6. In artikel 15 („Toepassing van een aantal bepalingen van richtlijn [95/46]”) kan worden gelezen:
„1. De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in de artikelen 5 en 6, artikel 8, leden 1, 2, 3 en 4, en artikel 9 van deze richtlijn bedoelde rechten en plichten, indien dat in een democratische samenleving noodzakelijk, redelijk en proportioneel is ter waarborging van de nationale, d.w.z. de staatsveiligheid, de landsverdediging, de openbare veiligheid, of het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronischecommunicatiesysteem als bedoeld in artikel 13, lid 1, van richtlijn [95/46]. Daartoe kunnen de lidstaten o.a. wetgevingsmaatregelen treffen om gegevens gedurende een beperkte periode te bewaren om de redenen die in dit lid worden genoemd. Alle in dit lid bedoelde maatregelen dienen in overeenstemming te zijn met de algemene beginselen van het [Unierecht], met inbegrip van de beginselen als bedoeld in artikel 6, leden 1 en 2, [VEU].
[...]
2. Het bepaalde in hoofdstuk III van richtlijn [95/46] inzake beroep op de rechter, aansprakelijkheid en sancties geldt voor de nationale bepalingen die uit hoofde van deze richtlijn worden aangenomen en ten aanzien van de individuele rechten die uit deze richtlijn voortvloeien.
[...]”
2. AVG
7. In artikel 2 („Materieel toepassingsgebied”) wordt bepaald:
„1. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:
a) in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;
[...]
d) door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.
[...]”
8. Artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) schrijft voor:
„1. Persoonsgegevens moeten:
[...]
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (‚doelbinding’);
[...]”
9. In artikel 6 („Rechtmatigheid van de verwerking”) wordt bepaald:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[...]
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
[...]
3. De rechtsgrond voor de in lid 1, [onder] c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
[...]
4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:
a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;
d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
[...]”
3. Richtlijn 2016/680
10. Artikel 1 („Onderwerp en doelstellingen”), lid 1, luidt:
„Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”
11. In artikel 2 („Toepassingsgebied”), lid 1, wordt bepaald:
„Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1.”
12. In artikel 4 („Beginselen inzake verwerking van persoonsgegevens”) kan worden gelezen:
„1. De lidstaten schrijven voor dat persoonsgegevens:
[...]
b) voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt;
[...]
2. Verwerking door dezelfde of een andere verwerkingsverantwoordelijke voor een ander doel van artikel 1, lid 1, dan dat waarvoor de persoonsgegevens worden verzameld, is toegelaten voor zover:
a) de verwerkingsverantwoordelijke overeenkomstig het Unierecht of het lidstatelijke recht gemachtigd is deze persoonsgegevens voor een dergelijk doel te verwerken; en
b) de verwerking noodzakelijk is en in verhouding staat tot dat andere doel overeenkomstig het Unierecht of het lidstatelijke recht.
[...]”
13. Artikel 9 („Specifieke verwerkingsvoorwaarden”), lid 1, schrijft voor:
„Persoonsgegevens die door bevoegde autoriteiten voor de in artikel 1, lid 1 omschreven doeleinden worden verzameld, worden niet verwerkt voor andere doeleinden, tenzij die verwerking krachtens het Unierecht of het lidstatelijke recht is toegestaan. Wanneer persoonsgegevens voor zulke andere doeleinden worden verwerkt, is [de AVG] van toepassing, tenzij de verwerking geschiedt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt.”
B. Nationaal recht
1. Lietuvos Respublikos elektroninių ryšių įstatymas
14. Artikel 65, lid 2, van de Lietuvos Respublikos elektroninių ryšių įstatymas(7) verplicht aanbieders van elektronischecommunicatiediensten om de in bijlage 1 bij die wet vermelde gegevens te bewaren en, in voorkomend geval, ter beschikking te stellen van de bevoegde autoriteiten zodat zij deze kunnen gebruiken bij de bestrijding van ernstige criminaliteit(8).
15. Krachtens artikel 77, lid 1, moeten aanbieders van elektronischecommunicatiediensten de bevoegde autoriteiten de informatie verstrekken die zij rechtmatig in bezit hebben en die noodzakelijk is voor met name de voorkoming, opsporing en vervolging van strafbare feiten.
16. Overeenkomstig artikel 77, lid 4, moeten aanbieders van elektronischecommunicatiediensten op basis van een gemotiveerde rechterlijke beslissing of een andere rechtsgrondslag waarin de wet voorziet, het met name voor strafrechtelijke onderzoeksinstanties en strafvervolgingsinstanties technisch mogelijk maken om volgens de procedures van het strafprocesrecht toezicht te houden op de inhoud van communicaties die worden verspreid via elektronischecommunicatienetwerken.
2. Lietuvos Respublikos kriminalinės žvalgybos įstatymas
17. Volgens artikel 6, lid 3, punt 1, van de Lietuvos Respublikos kriminalinės žvalgybos įstatymas(9) kunnen strafrechtelijke onderzoeksinstanties(10), indien aan de voorwaarden van deze wet is voldaan en na voorafgaande toestemming van het openbaar ministerie of een rechterlijke instantie, informatie verzamelen bij aanbieders van elektronischecommunicatiediensten.
18. Overeenkomstig artikel 8, leden 1 en 3, treden strafrechtelijke onderzoeksinstanties op zodra zij de beschikking krijgen over informatie inzake het voorbereiden of plegen van een zeer ernstig, ernstig of relatief ernstig strafbaar feit, en wordt onmiddellijk een strafrechtelijk vooronderzoek geopend indien uit het onderzoek blijkt dat er een strafbaar feit is gepleegd.
19. Volgens artikel 19, lid 1, punt 5, kan informatie die is verkregen in strafrechtelijke onderzoeksactiviteiten worden gebruikt in de in de leden 3 en 4 van die bepaling bedoelde gevallen en in andere gevallen waarin de wet voorziet.
20. Krachtens artikel 19, lid 3, kan informatie met betrekking tot een feit met de kenmerken van een met corruptie verband houdend strafbaar feit in overleg met het openbaar ministerie worden vrijgegeven en worden gebruikt in het kader van een onderzoek naar tuchtrechtelijke fouten of ambtsmisdrijven.
3. Lietuvos Respublikos baudžiamojo proceso kodeksas
21. Volgens artikel 154 („Monitoring, vastlegging en bewaring van via elektronischecommunicatienetwerken overgedragen informatie”), lid 1, van de Lietuvos Respublikos baudžiamojo proceso kodeksas(11) mag een rechercheur bij een op verzoek van het openbaar ministerie door een onderzoeksrechter gegeven beslissing gesprekken die via elektronischecommunicatienetwerken worden gevoerd, afluisteren, aftappen en bewaren indien er redenen zijn om aan te nemen dat er gegevens kunnen worden verkregen over een zeer ernstig of ernstig strafbaar feit dat wordt voorbereid, wordt gepleegd of is gepleegd, of over een relatief ernstig of niet-ernstig strafbaar feit.
22. Volgens artikel 177 („Niet-openbaarmaking van gegevens uit gerechtelijke vooronderzoeken”), lid 1, zijn onderzoeksgegevens vertrouwelijk en mogen zij, tot de rechterlijke behandeling van de zaak, alleen openbaar worden gemaakt met toestemming van het openbaar ministerie en voor zover gerechtvaardigd.(12)
II. Feiten, hoofdgeding en prejudiciële vraag
23. De Lietuvos Respublikos generalinė prokuratūra (parket-generaal van de Republiek Litouwen; hierna: „parket-generaal”) heeft een intern onderzoek naar het handelen van A. G., op dat moment openbaar aanklager bij een Apygardos prokuratūra (regionaal parket), geopend naar aanleiding van aanwijzingen voor door hem gepleegde ambtsmisdrijven.
24. De Commissie van het parket-generaal kwam tot de conclusie dat A. G. een ambtsmisdrijf had gepleegd en stelde voor hem als tuchtmaatregel ontslag uit zijn ambt op te leggen.
25. Het bewijs voor het ambtsmisdrijf bestond uit informatie die in de loop van het administratieve onderzoek was verkregen en afkomstig was van de criminele-inlichtingendiensten, de verklaringen van andere ambtenaren en van verzoeker in het hoofdgeding, en de bevindingen van twee vooronderzoeken.
26. Concreet had er telefonische communicatie plaatsgevonden tussen A. G. en de advocaat van een verdachte in het kader van een door A. G. geleid vooronderzoek dat verband hield met zaken waarin die advocaat als raadsman was opgetreden.(13)
27. Voor het monitoren en registreren van de via elektronischecommunicatienetwerken verzonden informatie was toestemming verkregen van de rechter.
28. De procureur-generaal heeft A. G. de sanctie van ontslag uit zijn ambt opgelegd, waartegen A. G. bij de Vilniaus apygardos administracinis teismas (regionale bestuursrechter Vilnius, Litouwen; hierna: „rechter in eerste aanleg”) is opgekomen met het verzoek om die sanctie nietig te verklaren.
29. Het beroep is afgewezen bij vonnis van 16 juli 2021; de rechter in eerste aanleg was van oordeel dat het optreden van de criminele-inlichtingendiensten rechtmatig was geweest, evenals het gebruik, in de loop van de tuchtprocedure, van de door die diensten verzamelde gegevens.
30. A. G. heeft tegen het vonnis in eerste aanleg hoger beroep ingesteld bij de Lietuvos vyriausiasis administracinis teismas (hoogste bestuursrechter, Litouwen), die het Hof de volgende prejudiciële vraag heeft voorgelegd:
„Dient artikel 15, lid 1, van richtlijn [2002/58], gelezen in samenhang met de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie [(hierna: ‚Handvest’)], aldus te worden uitgelegd dat het de bevoegde overheidsinstanties verbiedt om in onderzoeken naar ambtsmisdrijven die verband houden met corruptie gebruik te maken van persoonsgegevens die worden bewaard door aanbieders van elektronischecommunicatiediensten en die informatie kunnen verschaffen over de gegevens en communicaties van een gebruiker van een elektronisch communicatiemiddel, ongeacht of in het concrete geval toegang tot deze gegevens is verleend met het oog op de bestrijding van zware criminaliteit en de voorkoming van ernstige bedreigingen van de openbare veiligheid?”
III. Procedure bij het Hof
31. Het verzoek om een prejudiciële beslissing is op 3 maart 2022 ingekomen ter griffie van het Hof.
32. A. G., de Estse, de Hongaarse, de Ierse, de Italiaanse, de Litouwse en de Tsjechische regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend.
33. Aan de op 2 februari 2023 gehouden terechtzitting is deelgenomen door A. G., de Franse, de Hongaarse, de Ierse en de Litouwse regering en de Commissie.
IV. Analyse
A. Ontvankelijkheid – Afbakening van het antwoord op de prejudiciële vraag
34. De verwijzende instantie is een bestuursrechter die bevoegd is voor de rechterlijke toetsing van beslissingen die eveneens een bestuursrechtelijk karakter hebben. Ook de beslissing van de procureur-generaal, die een ambtenaar van een regionaal parket de sanctie van ontslag uit zijn ambt heeft opgelegd wegens feiten die ambtsmisdrijven vormen, heeft een dergelijk karakter.
35. Het hoofdgeding ziet derhalve niet op beslissingen van een strafrechter. Ook al zou er sprake zijn van dergelijke beslissingen naast de bestuursrechtelijke (tucht)procedure die tot het ontslag uit het ambt heeft geleid(14), onderstreept moet worden dat alleen dat ontslag voorwerp van het geschil is.
36. De verwijzingsbeslissing geeft evenwel blijk van een zekere onnauwkeurigheid met betrekking tot de feiten van het hoofdgeding, die de piketpaaltjes voor de context van de prejudiciële vraag vormen.
37. Zoals de Tsjechische regering en de Commissie hebben opgemerkt, kan uit de verwijzingsbeslissing niet met zekerheid worden opgemaakt of de bevoegde autoriteiten: a) zich tot de aanbieders van elektronischecommunicatiediensten hebben gewend om de betrokken gegevens te verkrijgen, of b) die gegevens zelf rechtstreeks hebben verzameld.
38. Dit is allerminst een onbeduidende kwestie, maar bepalend voor de vraag welke Unieregeling relevant is voor de beantwoording van de prejudiciële vraag. Afhankelijk van de wijze waarop de feiten zich hebben voorgedaan, is een van de volgende richtlijnen van toepassing:
– richtlijn 2002/58, indien de verkregen gegevens voortvloeien uit een verwerkingsverplichting voor aanbieders van elektronischecommunicatiediensten, of
– richtlijn 2016/680, indien de gegevens rechtstreeks zijn verzameld door een overheidsinstantie zonder die aanbieders verplichtingen op te leggen.
39. In dat tweede geval zou de bescherming van persoonsgegevens worden beheerst door het nationale recht, onverminderd de toepassing van richtlijn 2016/680.(15) Bijgevolg zou in de prejudiciële vraag, door de nadruk te leggen op richtlijn 2002/58, een onjuiste benadering zijn gevolgd.
40. De Hongaarse regering, die ervan overtuigd is dat de persoonsgegevens zijn verkregen door middel van telefonische intercepties die zijn verricht door de criminele-inlichtingendiensten, trekt de ontvankelijkheid van de prejudiciële verwijzing in twijfel op grond dat richtlijn 2002/58 juist om die reden niet van toepassing is.
41. Volgens de Commissie daarentegen,
– is richtlijn 2016/680 van toepassing voor zover in een later onderzoek gebruik wordt gemaakt van persoonsgegevens die in het kader van een strafrechtelijk vooronderzoek rechtstreeks door de autoriteiten zijn verzameld en bewaard;
– is richtlijn 2002/58 van toepassing indien, zoals de verwijzende rechter heeft opgemerkt(16), ten minste enkele van de gegevens moesten worden verzameld en bewaard overeenkomstig een krachtens artikel 15, lid 1, van die richtlijn vastgestelde nationale regeling. Volgens deze redenering zou richtlijn 2002/58 dus relevant zijn voor de beslechting van het geding.
42. Ik ben het eens met deze zienswijze van de Commissie, die bovendien de enige is waarin de door de verwijzingsbeslissing opgeroepen (en gerechtvaardigde) twijfels over de ontvankelijkheid ervan kunnen worden weggenomen.
43. Wordt de prejudiciële vraag aldus bezien, dan kan de relevantie van richtlijn 2002/58 voor de beantwoording ervan:
– worden afgeleid uit het aan elk verzoek om een prejudiciële beslissing inherente vermoeden betreffende de noodzaak van de indiening ervan, waarvan de beoordeling een zaak is van de nationale rechter die tot indiening overgaat(17);
– worden aanvaard voor zover alleen ten aanzien van richtlijn 2002/58, die de verwijzende rechter beschouwt als essentieel voor de beslechting van het geding, een uitlegging van het Hof wordt gevraagd.(18)
44. Volgens de verwijzende rechter zijn in de bij hem aanhangige procedure relevant:
„i) de toegang tot gegevens die niet alleen met het oog op de bestrijding van zware criminaliteit en de voorkoming van ernstige bedreigingen van de openbare veiligheid door aanbieders van elektronischecommunicatiediensten worden bewaard, en
ii) het gebruik, in het kader van onderzoeken van met corruptie verband houdende ambtsmisdrijven, van bewaarde gegevens die zijn verkregen met het oog op de bestrijding van zware criminaliteit en de voorkoming van ernstige bedreigingen van de openbare veiligheid.”(19)
45. Alles lijkt er dus op te wijzen dat er, los van het eventuele bestaan van persoonsgegevens waarvan de verwerking niet binnen de werkingssfeer van richtlijn 2002/58 valt (maar binnen die van richtlijn 2016/680), in het onderzoek dat is uitgemond in de opgelegde sanctie gebruik is gemaakt van persoonsgegevens die waren verkregen van aanbieders van elektronischecommunicatiediensten.
46. Het antwoord van het Hof moet worden beperkt tot het verzoek van de verwijzende rechter zoals hij dat heeft ingediend. Het Hof zal dus moeten ophelderen of persoonsgegevens die overeenkomstig artikel 15, lid 1, van richtlijn 2002/58 in het kader van een strafrechtelijk onderzoek zijn verzameld en verwerkt, vervolgens kunnen worden gebruikt in een (bestuursrechtelijke) tuchtprocedure tegen een ambtenaar.
47. Na de grenzen van de prejudiciële verwijzing aldus te hebben afgebakend, is de keerzijde van hetgeen ik hierboven heb uiteengezet dat de volgende kwesties buiten het bereik van de prejudiciële verwijzing vallen:
– In de eerste plaats is er de kwestie van de rechtmatigheid van de oorspronkelijke verzameling van persoonsgegevens op grond van artikel 15, lid 1, van richtlijn 2002/58. De vraag van de verwijzende rechter beperkt zich tot het latere gebruik van die gegevens in de tuchtprocedure, zonder de rechtmatigheid van de oorspronkelijke verzameling ervan in twijfel te trekken.(20)
– In de tweede plaats is er de kwestie van het gebruik van gegevens die rechtstreeks door overheidsinstanties zijn verzameld en verwerkt in het kader van eerdere strafrechtelijke onderzoeken. Ook ten aanzien van dit punt, dat binnen de werkingssfeer van het nationale recht en richtlijn 2016/680 valt, werpt de verwijzende rechter geen vragen op.
48. In de hiernavolgende overwegingen ten gronde zal een uitlegging van richtlijn 2016/680 daarom achterwege worden gelaten.(21) Wat richtlijn 2002/58 aangaat, zal ik mij in die overwegingen beperken tot het gebruik van persoonsgegevens die op grond van deze richtlijn zijn verkregen door middel van verwerkingen waarvan de initiële rechtmatigheid geacht moet worden vast te staan, aangezien die in het hoofdgeding niet ter discussie staat.
B. Ten gronde
1. Recapitulatie van de rechtspraak van het Hof betreffende de toepassing van richtlijn 2002/58
49. Uit artikel 15, lid 1, eerste volzin, van richtlijn 2002/58 volgt dat de lidstaten een maatregel kunnen vaststellen die afwijkt van het in artikel 5, lid 1, van diezelfde richtlijn vervatte beginsel van vertrouwelijkheid wanneer deze maatregel „in een democratische samenleving noodzakelijk, redelijk en proportioneel is” en „strikt” evenredig is aan het nagestreefde doel.(22)
50. Specifiek moet worden beoordeeld of de lidstaten een beperking van de omvang van de met name in de artikelen 5, 6 en 9 van richtlijn 2002/58 bedoelde rechten en plichten kunnen rechtvaardigen in het licht van de ernst van de inmenging die een dergelijke beperking meebrengt, en moet worden nagegaan of het belang van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst.(23)
51. „Om aan het evenredigheidsvereiste te voldoen, dient nationale wetgeving duidelijke en nauwkeurige regels te bevatten voor de reikwijdte en de toepassing van de betrokken maatregel en minimumeisen op te leggen, zodat degenen van wie de persoonsgegevens aan de orde zijn, over voldoende waarborgen beschikken dat die gegevens doeltreffend worden beschermd tegen het risico van misbruik. Die wetgeving moet wettelijk verbindend zijn naar intern recht en in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt.”(24)
52. Wat betreft de doelstellingen van algemeen belang die een maatregel krachtens artikel 15, lid 1, van richtlijn 2002/58 kunnen rechtvaardigen, blijkt dat er overeenkomstig het evenredigheidsbeginsel een hiërarchie tussen die doelstellingen bestaat op basis van hun respectieve belang: het belang van een met een dergelijke maatregel nagestreefde doelstelling moet in verhouding staan tot de ernst van de daaruit voortvloeiende inmenging.(25)
53. In die hiërarchie van doelstellingen overstijgt het belang van de doelstelling van bescherming van de nationale veiligheid, zoals uitgelegd in het licht van artikel 4, lid 2, VEU, dat van de andere doelstellingen die worden genoemd in artikel 15, lid 1, van richtlijn 2002/58. Het gaat om de landsverdediging, de openbare veiligheid en het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronischecommunicatiesysteem. De doelstellingen van bestrijding van criminaliteit in het algemeen, waaronder ook ernstige criminaliteit, en bescherming van de openbare veiligheid vallen onder deze tweede categorie.(26)
54. Uit deze categorisering van doelstellingen kan worden afgeleid dat:
– de doelstelling van bescherming van de nationale veiligheid, die de hoogste positie inneemt in de door het Hof aangegeven hiërarchie, inmengingen toestaat die even ernstig zijn als die welke voortvloeien uit wettelijke maatregelen die het mogelijk maken om aan aanbieders van elektronischecommunicatiediensten een bevel tot algemene en ongedifferentieerde bewaring van verkeers‑ en locatiegegevens op te leggen(27);
– de doelstelling die, wat het belang ervan betreft, onmiddellijk daarop volgt, te weten bestrijding van ernstige criminaliteit, voor een periode die niet langer is dan strikt noodzakelijk een rechtvaardiging kan vormen voor inmengingen als, bijvoorbeeld, een gerichte bewaring van verkeers- en locatiegegevens of van de IP-adressen die zijn toegewezen aan de bron van een verbinding.(28)
2. Toepassing van die rechtspraak op de prejudiciële verwijzing
55. Volgens de verwijzende rechter zijn de litigieuze gegevens verkregen door een ernstige inmenging in de door de artikelen 7, 8 en 11 van het Handvest gewaarborgde rechten.(29)
56. Wat hier wordt onderzocht is, zoals gezegd, niet de initiële rechtmatigheid van de verzameling van die informatie, zodat niet hoeft te worden beoordeeld of de inmenging voldoende gerechtvaardigd was door de ernst van het strafbare feit waartegen de autoriteiten wilden optreden.
57. Op beide punten (ernst van de inmenging en ernst van het strafbare feit) heeft de verwijzende rechter zich uitgesproken in bewoordingen die in het hoofdgeding niet ter discussie staan en derhalve niet relevant zijn voor de prejudiciële verwijzing.
58. Wat hier moet worden bepaald is, in de woorden van de verwijzende rechter, of die gegevens a) ook mogen worden gebruikt in latere onderzoeken die worden verricht met het oog op de bestrijding van criminaliteit in het algemeen (ervan uitgaande dat de gedraging waarop de litigieuze tuchtsanctie betrekking heeft onder dit begrip valt), of b) alleen mogen worden gebruikt in onderzoeken die worden uitgevoerd met het oog op de bestrijding van ernstige criminaliteit.
59. De Tsjechische en de Ierse regering hebben onderzocht of de voor de verwijzende rechter aan de orde zijnde gedraging al dan niet de kwalificatie „ernstige inbreuk” verdient, en hebben deze vraag bevestigend beantwoord.
60. Mijns inziens is dit echter een punt waarover het Hof zich niet hoeft uit te spreken, daar het aan de verwijzende rechter staat om die gedraging te kwalificeren.
61. De verwijzende rechter merkt op dat indien het gebruik van gegevens die zijn verkregen door een ernstige inmenging in de grondrechten alleen kan worden gerechtvaardigd door de bestrijding van ernstige criminaliteit en de voorkoming van ernstige bedreigingen van de openbare veiligheid, die gegevens niet mogen worden gebruikt voor onderzoeken naar tuchtrechtelijke fouten die verband houden met corruptie(30), dat wil zeggen in onderzoeken zoals het onderzoek dat in deze zaak aan de orde is.
62. Uitgaande van deze beoordeling moet hier de vraag worden beantwoord of de tuchtrechtelijke fouten voor de vervolging waarvan het gebruik van bepaalde persoonsgegevens wordt beoogd, qua ernst kwalitatief gelijkwaardig moeten zijn aan de strafbare feiten die het verzamelen van die gegevens rechtvaardigden.(31)
63. Ter terechtzitting heeft de Litouwse regering erkend dat het ontslag uit het ambt is opgelegd wegens een bij de uitoefening van het ambt begane fout van de bestrafte openbaar aanklager. Of die fout (het lekken van informatie over een vooronderzoek) kan worden gelijkgesteld met een ernstig strafbaar feit of een ernstig risico voor de bescherming van de openbare veiligheid kan inhouden, hangt af van een geheel aan factoren die alleen door de verwijzende rechter kunnen worden beoordeeld.(32)
64. Ter terechtzitting is meermaals verwezen naar de bestrijding van corruptie, waarbij corruptie het onderliggende verschijnsel van de hier vervolgde gedragingen is. Het debat over dit punt zou, omwille van de striktheid die is vereist in alle uitdrukkingen van de sanctiebevoegdheid van de staat, niet weinig nuanceringen vereisen. Bepaald zou bijvoorbeeld moeten worden of de term „corruptie” wordt gebruikt in algemene zin of verwijst naar een specifiek soort gedraging. In abstracto zou het misschien excessief zijn om een loutere schending van de geheimhoudingsplicht onder die term te laten vallen indien die gedraging niet gepaard gaat met een overeenkomstig voordeel voor de ambtenaar.(33)
65. Indien de verwijzende rechter van oordeel zou zijn dat de hier bestrafte fout minder ernstig is dan het strafbare feit waarvan het onderzoek de krachtens artikel 15 van richtlijn 2002/58 vastgestelde maatregel rechtvaardigde, kan het antwoord op zijn prejudiciële vraag hoe dan ook worden afgeleid uit de volgende overwegingen van het Hof:
– „[D]e toegang tot verkeers- en locatiegegevens die door aanbieders van elektronischecommunicatiediensten worden bewaard op grond van een krachtens artikel 15, lid 1, van richtlijn 2002/58 vastgestelde maatregel, die moet worden verleend met volledige inachtneming van de voorwaarden die voortvloeien uit de arresten waarin richtlijn 2002/58 is uitgelegd, [kan] in beginsel enkel worden gerechtvaardigd door de doelstelling van algemeen belang met het oog waarop de verplichting tot bewaring van die gegevens aan die aanbieders is opgelegd. Dit is enkel anders wanneer de met de toegang nagestreefde doelstelling belangrijker is dan die welke de bewaring rechtvaardigde”(34).
– „[M]et name [mag] in geen geval toegang tot dergelijke gegevens [...] worden verleend met het oog op de vervolging en bestraffing van een gewoon strafbaar feit, wanneer de bewaring van die gegevens haar rechtvaardiging vindt in de doelstelling van bestrijding van zware criminaliteit of, a fortiori, de doelstelling van bescherming van de nationale veiligheid.”(35)
66. In dit verband bestaat er dus een soort beginsel van gelijkwaardigheid tussen de doelstellingen van algemeen belang die het verkrijgen van persoonsgegevens rechtvaardigen aan de ene kant, en de doelstellingen die het latere gebruik ervan legitimeren aan de andere kant. De enige uitzondering op dit beginsel is, zoals zojuist is uiteengezet, dat het belang van de met de toegang nagestreefde doelstelling groter is dan dat van de doelstelling dat de bewaring rechtvaardigde.
67. Een andere uitlegging zou afbreuk doen aan het stelsel van garanties van richtlijn 2002/58: de rechten die die richtlijn waarborgt zouden kunnen worden blootgesteld aan ernstige inmengingen buiten de in artikel 15 van die richtlijn bedoelde gevallen en zonder dat de in de rechtspraak van het Hof vastgestelde voorwaarden in acht worden genomen.
68. In het bijzonder is het opofferen van de onschendbaarheid van het recht op vertrouwelijkheid van communicatie alleen rechtmatig toegestaan op grond van de specifieke doelstelling van algemeen belang waarop die opoffering betrekking heeft. Daarom moet de rechtmatigheid van de toegang tot bewaarde gegevens per geval worden vastgesteld, waarbij de ernst van de inmenging en het belang van de doelstelling van algemeen belang die met die inmenging wordt nagestreefd tegen elkaar worden afgewogen.
69. Wat niet als uitlegging van richtlijn 2002/58 kan worden aanvaard, is dat wanneer toegang is verleend in een eerste geval waarin dat op geldige wijze is gerechtvaardigd, de weg is vrijgemaakt voor latere toegang (die in werkelijkheid hergebruik van de verkregen gegevens behelst) op basis van een doelstelling die hiërarchisch op een lager niveau ligt dan die van dat oorspronkelijke geval.
70. In dit verband gelden de voorwaarden voor de initiële toegang (waaronder die welke het Hof vereist voor het verlenen van toestemming daarvoor)(36) ook voor het latere gebruik van dezelfde gegevens door andere autoriteiten.
C. Subsidiair: invloed van richtlijn 2016/680
71. Tot dusver heb ik uiteengezet wat in mijn ogen de meest geschikt wijze is om te antwoorden op het verzoek om een prejudiciële beslissing zoals dat is voorgelegd, dat wil zeggen om de verwijzende rechter de door hem verlangde uitlegging van richtlijn 2002/58 te verschaffen.
72. Indien de in casu aan de orde zijnde gegevens niet waren verkregen op grond van artikel 15, lid 1, van richtlijn 2002/58, maar rechtstreeks door de criminele-inlichtingendiensten van de lidstaat in het kader van een strafprocedure, zou het scenario anders zijn.
73. In die situatie zouden de regels van nationaal recht van toepassing worden, onverminderd de toepasselijkheid van richtlijn 2016/680 waar het de verwerking van de in het kader van een strafrechtelijk onderzoek verkregen persoonsgegevens betreft. Ik ga ervan uit dat het optreden van de criminele-inlichtingendiensten in gevallen als deze binnen de werkingssfeer van richtlijn 2016/680 valt. Dat is ter terechtzitting ook bevestigd.
74. Zoals ik in mijn conclusie in de zaak Inspektor v Inspektorata kam Visshia sadeben savet (Doeleinden van de verwerking van persoonsgegevens – Strafrechtelijk onderzoek) heb uiteengezet(37), „[vormen] [d]e AVG en richtlijn 2016/680 [...] een samenhangend stelsel waarin:
– de algemene voorschriften voor de bescherming van natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens zijn vastgesteld in de AVG;
– de specifieke voorschriften voor de verwerking van die gegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking zijn vastgesteld in richtlijn 2016/680”.(38)
75. Daarna heb ik gewezen op het volgende(39):
– „De bescherming die door de uit deze beide instrumenten bestaande regeling wordt verleend, is gebaseerd op de beginselen van rechtmatigheid, behoorlijkheid en transparantie en, voor zover hier van belang, op het beginsel van de strikte beperking van de gegevensverzameling en -verwerking tot de bij wet vastgestelde doeleinden.”
– „Concreet schrijft artikel 5, lid 1, onder b), AVG voor dat de gegevens ‚voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en [...] vervolgens niet verder op een met die doeleinden onverenigbare wijze [mogen] worden verwerkt’. Die bewoordingen komen ook terug in artikel 4, lid 1, onder b), van richtlijn 2016/680, als lex specialis.”
– „Persoonsgegevens mogen dus niet algemeen worden verzameld of verwerkt, maar alleen voor specifieke doeleinden [...] en volgens de door de Uniewetgever vastgestelde rechtmatigheidsvoorwaarden.”(40)
– „Het beginsel van strikte binding tussen de gegevensverzameling en ‑verwerking enerzijds, en de doeleinden die beide bewerkingen moeten dienen anderzijds, is niet absoluut, aangezien zowel de AVG als richtlijn 2016/680 een zekere flexibiliteit toelaat [...].”
76. Gelet op de wijze waarop het Hof artikel 4, lid 2, van richtlijn 2016/680 heeft uitgelegd(41), kan moeilijk worden aanvaard dat in het kader van een strafprocedure verzamelde persoonsgegevens worden gebruikt voor hetzelfde doel in het kader van een latere tuchtprocedure tegen een ambtenaar.
77. Ik herinner er evenwel aan dat volgens artikel 4, lid 2, van richtlijn 2016/680 „[v]erwerking door dezelfde of een andere verwerkingsverantwoordelijke voor een ander doel van artikel 1, lid 1, dan dat waarvoor de persoonsgegevens worden verzameld, is toegelaten voor zover:
a) de verwerkingsverantwoordelijke overeenkomstig het Unierecht of het lidstatelijke recht gemachtigd is deze persoonsgegevens voor een dergelijk doel te verwerken; en
b) de verwerking noodzakelijk is en in verhouding staat tot dat andere doel overeenkomstig het Unierecht of het lidstatelijke recht”.
78. Uitgaande van deze premisse moet de verwijzende rechter beoordelen of het (andere) doel van de latere verwerking een van de doelen van artikel 1, lid 1, van richtlijn 2016/680 is, dan wel daarbuiten valt:
– In het eerste geval (het gaat om een van de doelen) zal hij moeten nagaan of aan de twee voorwaarden van artikel 4, lid 2, van richtlijn 2016/680 is voldaan.
– In het tweede geval (het gaat niet om een van de doelen) wordt artikel 9, lid 1, van richtlijn 2016/680 relevant.
1. Gebruik van gegevens op grond van artikel 4, lid 2, van richtlijn 2016/680
79. Wat de eerste van de twee in die bepaling neergelegde voorwaarden betreft, is het zo dat die slechts zal worden vervuld indien het recht van de lidstaat is neergelegd in een wet(42) die regelt wanneer de verwerkingsverantwoordelijke bevoegd is om persoonsgegevens te verwerken. Die wet moet bovendien bindende, duidelijke en nauwkeurige regels bevatten.(43)
80. Het staat natuurlijk aan de verwijzende rechter om aan de hand van artikel 177 van het wetboek van strafvordering, artikel 19, lid 3, van de wet inzake criminele inlichtingen en de aanbevelingen van het openbaar ministerie(44) de betreffende beoordeling te verrichten. Met behulp van deze elementen zal moeten worden nagegaan in hoeverre het nationale recht toestaat dat in het kader van een strafprocedure verkregen informatie onder bepaalde voorwaarden kan worden gebruikt in het kader van het onderzoek naar tuchtrechtelijke fouten. Daarbij kunnen de overwegingen van het arrest Adomaitis van het EHRM de verwijzende rechter van nut zijn.(45)
81. Wat de tweede voorwaarde betreft, staat het aan de verwijzende rechter om te beoordelen of bij de verwerking van gegevens die in casu aan de orde is de inmenging noodzakelijk en evenredig was.(46)
82. Opnieuw kunnen de overwegingen in het arrest Adomaitis van het EHRM mogelijk helpen bij deze beoordeling:
– Wat de noodzaak betreft, zal moeten worden afgewogen in hoeverre de ontoereikende bewijskracht van andere gegevens die in de tuchtprocedure beschikbaar waren het gebruik van de litigieuze gegevens daadwerkelijk noodzakelijk maakte voor het welslagen van het lopende onderzoek.(47)
– Wat de evenredigheid betreft, zal de ernst van het strafbare feit dat tot de tuchtprocedure heeft geleid moeten worden beoordeeld, rekening houdend met het feit dat – zoals de Litouwse regering heeft betoogd en kan worden opgemaakt uit het arrest Adomaitis van het EHRM(48) – het gebruik van persoonsgegevens is voorbehouden voor strafbare feiten waarvoor de zwaarste tuchtsanctie is voorzien, te weten ontslag uit het ambt.
2. Gebruik van gegevens op grond van artikel 9 van richtlijn 2016/680
83. Blijkens artikel 9, lid 1, van richtlijn 2016/680 mogen persoonsgegevens die door bevoegde autoriteiten voor de in artikel 1, lid 1, van die richtlijn omschreven doeleinden worden verzameld, worden verwerkt voor andere doeleinden wanneer die verwerking krachtens het Unierecht of het lidstatelijke recht is toegestaan. In dat geval is de AVG van toepassing, tenzij de verwerking geschiedt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt.(49)
84. Indien de verwijzende rechter van oordeel is dat artikel 4, lid 2, van richtlijn 2016/680 niet van toepassing is, zal hij gebruik moeten maken van de AVG. Volgens deze verordening zal hij moeten nagaan of, behalve aan het feit dat de verwerking bij wet is geregeld, ook is voldaan aan ten minste een van de in artikel 6, lid 1, van die verordening exhaustief opgesomde voorwaarden voor rechtmatigheid van de verwerking van persoonsgegevens.
V. Conclusie
85. Gelet op een en ander geeft ik het Hof in overweging om de Lietuvos vyriausiasis administracinis teismas te antwoorden als volgt:
„1) Artikel 15, lid 1, van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie), gelezen in samenhang met de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie,
moet aldus worden uitgelegd dat
het bevoegde overheidsinstanties niet toestaat om gegevens die worden bewaard door aanbieders van elektronischecommunicatiediensten en die gedetailleerde informatie over een gebruiker kunnen verschaffen, te verzamelen en te gebruiken in het kader van onderzoeken naar gedragingen die minder ernstige strafbare feiten vormen dan die waarvan het eerdere onderzoek de toegang tot die gegevens heeft kunnen rechtvaardigen.
2) Subsidiair
moet artikel 9, lid 1, van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad, gelezen in samenhang met de artikelen 6 en 10 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), in het licht van de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie,
aldus worden uitgelegd dat
het zich niet verzet tegen het gebruik in een tuchtrechtelijke procedure van persoonsgegevens die door een overheidsinstantie rechtmatig en rechtstreeks zijn verkregen in het kader van een strafrechtelijk onderzoek, mits die procedure en dat onderzoek krachtens duidelijke, nauwkeurige en bindende regels van nationaal recht met elkaar verbonden zijn en voor zover het gebruik van de gegevens een legitiem doel heeft en noodzakelijk en evenredig is, hetgeen ter beoordeling staat aan de rechterlijke instantie.”