SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
MANUELA CAMPOSA SÁNCHEZ‑BORDONE,
predstavljeni 30. marca 2023(1)
Zadeva C‑162/22
AG,
ob udeležbi
Lietuvos Respublikos generalinė prokuratūra
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Lietuvos vyriausiasis administracinis teismas (vrhovno upravno sodišče, Litva))
„Postopek za sprejetje predhodne odločbe – Telekomunikacije – Obdelava osebnih podatkov – Direktiva 2002/58/ES – Področje uporabe – Člen 15(1) – Dostop do podatkov, ki jih hranijo ponudniki elektronskih komunikacijskih storitev in so zbrani v okviru preiskovalnih postopkov – Naknadna uporaba podatkov med preiskavo službenega prekrška“
1. S tem predlogom za sprejetje predhodne odločbe se, če povzamem, želi izvedeti, ali se lahko osebni podatki, pridobljeni med kazensko preiskavo, pozneje uporabijo v okviru disciplinskega upravnega postopka zoper javnega funkcionarja.
2. Odgovor na to vprašanje daje Sodišču novo priložnost, da se izreče o področju uporabe Direktive 2002/58/ES(2) na eni strani ter področju uporabe Direktive (EU) 2016/680(3) in Uredbe (EU) 2016/679(4) na drugi strani.
3. V zvezi z Direktivo 2002/58 je Sodišče izoblikovalo ustaljeno sodno prakso v zvezi s primeri in pogoji, pod katerimi lahko države članice omejijo obseg pravic in obveznosti, ki jih določa.(5)
I. Pravni okvir
A. Pravo Unije
1. Direktiva 2002/58
4. Člen 1, naslovljen „Področje in cilj“, določa:
„1. Ta direktiva določa uskladitev določb držav članic, ki je potrebna za zagotovitev enakovredne ravni varstva temeljnih pravic in svoboščin ter zlasti pravice do zasebnosti in zaupnosti v zvezi z obdelavo osebnih podatkov na področju elektronskih komunikacij in za zagotovitev prostega pretoka takih podatkov ter elektronske komunikacijske opreme in storitev v Skupnosti.
2. Določbe te direktive podrobno opredeljujejo in dopolnjujejo Direktivo 95/46/ES[(6)] za namene, navedene v odstavku 1. Razen tega predvidevajo varstvo zakonitih interesov naročnikov, ki so pravne osebe.
3. Ta direktiva se ne uporablja za dejavnosti, ki so zunaj obsega [PDEU], kot na primer tiste, zajete v Oddelkih V in VI Pogodbe o Evropski uniji [PEU] in v vsakem primeru za dejavnosti v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno gospodarsko blaginjo države, kadar se dejavnosti nanašajo na zadeve v zvezi z državno varnostjo) ter dejavnosti države na področju kazenskega prava.“
5. Člen 5, naslovljen „Zaupnost sporočil“, v odstavku 1 določa:
„Države članice s svojo nacionalno zakonodajo zagotovijo zaupnost sporočil in s tem povezanih podatkov o prometu, ki se pošiljajo prek javnega komunikacijskega omrežja in javno razpoložljivih elektronskih komunikacijskih storitev. Zlasti prepovejo vsem osebam razen uporabnikom, da poslušajo, prisluškujejo, shranjujejo ali na druge načine prestrezajo ali nadzirajo komunikacije (sporočila) in z njimi povezane podatke o prometu, brez privolitve zadevnih uporabnikov, razen kadar je to zakonsko dovoljeno v skladu s členom 15(1). Ta odstavek ne preprečuje tehničnega shranjevanja, ki je potrebno za prenos sporočila, brez vpliva na načelo zaupnosti.“
6. Člen 15, naslovljen „Uporaba nekaterih določb Direktive 95/46/ES“, navaja:
„1. Države članice lahko sprejmejo zakonske ukrepe, s katerimi omejijo obseg pravic in obveznosti, določenih v členu 5, členu 6, členu 8(1), (2), (3) in (4) ter členu 9 te direktive, kadar takšna omejitev pomeni potreben, primeren in ustrezen ukrep znotraj demokratične družbe za zaščito državne [nacionalne] varnosti (to je [d]ržavne varnosti), obrambe, javne varnosti in preprečevanje, preiskovanje, odkrivanje in pregon kriminalnih dejanj ali nedovoljene uporabe elektronskega komunikacijskega sistema iz člena 13(1) Direktive 95/46/ES. V ta namen lahko države članice med drugim sprejmejo zakonske ukrepe, ki določajo zadrževanje podatkov za določeno obdobje, upravičeno iz razlogov iz tega odstavka. Vsi ukrepi iz tega odstavka so v skladu s splošnimi načeli zakonodaje Skupnosti, vključno s tistimi iz člena 6(1) in (2) [PEU].
[…]
2. Določbe poglavja III o pravnih sredstvih, odgovornosti in sankcijah direktive 95/46/ES se uporabijo v zvezi z nacionalnimi predpisi, sprejetimi v skladu s to direktivo in posameznimi pravicami, izhajajočimi iz te direktive.
[…]“
2. SUVP
7. Člen 2, naslovljen „Področje uporabe“, določa:
„1. Ta uredba se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke.
2. Ta uredba se ne uporablja za obdelavo osebnih podatkov:
(a) v okviru dejavnosti zunaj področja uporabe prava Unije;
[…]
(d) s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.
[…]“
8. Člen 5, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:
„1. Osebni podatki so:
[…]
(b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) ne velja za nezdružljivo s prvotnimi nameni („omejitev namena“);
[…]“
9. Člen 6, naslovljen „Zakonitost obdelave“, določa:
„1. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
[…]
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
[…]
3. Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:
(a) pravom Unije; ali
(b) pravom države članice, ki velja za upravljavca.
[…]
4. Kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, kar predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva:
(a) kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave;
(b) okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem;
(c) naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10;
(d) morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki;
[…]“
3. Direktiva 2016/680
10. Člen 1, naslovljen „Predmet urejanja in cilji“, v odstavku 1 določa:
„1. V tej direktivi so določena pravila o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“
11. Člen 2, naslovljen „Področje uporabe“, v odstavku 1 določa:
„Ta direktiva se uporablja za obdelavo osebnih podatkov, ki jih pristojni organi obdelujejo za namene iz člena 1(1)“
12. Člen 4, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:
„1. Države članice zagotovijo, da se osebni podatki:
[…]
(b) so zbrani za določene, izrecne in zakonite namene ter da se ne obdelujejo na način, ki je nezdružljiv s temi nameni;
[…]
2. Obdelava s strani istega ali drugega upravljavca za kateregakoli od namenov iz člena 1(1), ki ni namen, za katerega so bili podatki zbrani, je dovoljena, če:
(a) je upravljavec pooblaščen za obdelavo teh osebnih podatkov za takšen namen v skladu s pravom Unije ali države članice in
(b) je obdelava potrebna in sorazmerna s takšnim drugim namenom v skladu s pravom Unije ali države članice.
[…]“
13. Člen 9, naslovljen „Posebni pogoji za obdelavo“, v odstavku 1 določa:
„Osebni podatki, ki jih pristojni organi zbirajo za namene iz člena 1(1), se ne obdelujejo za druge namene kot za namene iz člena 1(1), razen če takšno obdelavo dovoljuje pravo Unije ali države članice. Kadar se osebni podatki obdelujejo v druge namene, se uporablja [SUVP], razen če se obdelava izvaja v okviru dejavnosti, ki ne spadajo na področje uporabe prava Unije“.
B. Nacionalno pravo
1. Lietuvos Respublikos elektroninių ryšių įstatymas(7)
14. Člen 65(2) ponudnikom elektronskih komunikacijskih storitev nalaga, da hranijo podatke, naštete v Prilogi 1 k temu zakonu, in da jih po potrebi dajo na voljo pristojnim organom, da jih lahko uporabijo v okviru boja proti hudemu kriminalu.(8)
15. V skladu s členom 77(1) morajo ponudniki elektronskih komunikacijskih storitev pristojnim organom predložiti informacije, ki jih zakonito hranijo in ki so potrebne zlasti za preprečevanje, odkrivanje in pregon kaznivih dejanj.
16. Člen 77(4) določa, da če obstaja obrazložena sodna odredba ali druga pravna podlaga, določena z zakonom, morajo ponudniki elektronskih komunikacijskih storitev v skladu s pogoji, določenimi v kazenski zakonodaji, zlasti organom pregona in preiskovalnim organom zagotoviti tehnično možnost nadzora nad vsebino komunikacij, ki se prenašajo prek elektronskih komunikacijskih omrežij.
2. Lietuvos Respublikos kriminalinės žvalgybos įstatymas(9)
17. Člen 6(3), točka 1, določa, da če so izpolnjeni pogoji, določeni v ZoKP, lahko preiskovalni organi(10) na podlagi predhodnega dovoljenja državnega tožilstva ali sodnega organa pridobijo informacije od ponudnikov elektronskih komunikacijskih storitev.
18. V skladu s členom 8(1) preiskovalni organi ukrepajo takoj, ko so na voljo informacije o pripravi ali storitvi zelo hudega, hudega ali razmeroma hudega kaznivega dejanja, pri čemer se kazenska preiskava začne takoj, če preiskava razkrije obstoj kaznivega dejanja.
19. V skladu s členom 19(1), točka 5, se lahko informacije, ki izvirajo iz kazenskih preiskav, uporabijo v primerih iz odstavkov 3 in 4 tega člena in v drugih primerih, določenih z zakonom.
20. V skladu s členom 19(3) se lahko informacijam v zvezi z dejanjem, ki ima značilnosti kaznivega dejanja, povezanega s korupcijo, v soglasju z državnim tožilstvom odpravi tajnost in se lahko uporabijo pri preiskavi disciplinskih ali službenih prekrškov.
3. Lietuvos Respublikos baudžiamojo proceso kodeksas(11)
21. V skladu s členom 154 („Nadzor, beleženje in hranjenje podatkov, posredovanih po elektronskih komunikacijskih omrežjih“), odstavka 1 in 5, lahko preiskovalec na podlagi odredbe preiskovalnega sodnika, sprejete na zahtevo državnega tožilstva, posluša, beleži in hrani pogovore, ki se posredujejo po elektronskih komunikacijskih omrežjih, če obstajajo razlogi za domnevo, da je mogoče pridobiti podatke v zvezi z zelo hudim ali hudim kaznivim dejanjem, ki je v fazi priprave, storitve ali ki je že storjeno, ali v zvezi z razmeroma hudim kaznivim dejanjem ali kaznivim dejanjem, ki ni hudo.
22. Člen 177 („Nerazkritje podatkov iz predkazenske preiskave“) v odstavku 1 določa, da so podatki o preiskavi zaupni in se lahko do sodnega preizkusa zadeve razkrijejo le z dovoljenjem državnega tožilstva in le če je to utemeljeno.(12)
II. Dejansko stanje, spor in vprašanje za predhodno odločanje
23. Lietuvos Respublikos generalinė prokuratūra (generalno državno tožilstvo Republike Litve; v nadaljevanju: generalno državno tožilstvo) je zaradi znakov kršitve pri opravljanju njegove funkcije sprožilo notranjo preiskavo dejanj AG, ki je bil takrat državni tožilec na apygardos prokuratūra (okrožno državno tožilstvo).
24. Komisija generalnega državnega tožilstva je ugotovila, da je AG kršil dolžnosti uradne osebe, in predlagala, da se mu izreče disciplinska sankcija prenehanja funkcije.
25. Navedeno ravnanje naj bi bilo dokazano na podlagi informacij, pridobljenih v upravni preiskavi, ki so izvirale iz delovanja kriminalističnih obveščevalnih služb, pojasnil drugih uradnikov in pritožnika ter ugotovitev dveh predkazenskih preiskav.
26. Natančneje, med predkazensko preiskavo, ki jo je vodil AG, naj bi obstajale telefonske komunikacije med AG in odvetnikom osumljenca v zvezi z zadevami, v katerih je bil navedeni odvetnik zagovornik.(13)
27. Spremljanje in beleženje podatkov, posredovanih po elektronskih komunikacijskih omrežjih, sta bila odobrena s sodnimi odredbami.
28. Generalni državni tožilec je izrekel sankcijo prenehanja funkcije AG, ki je pri Vilniaus apygardos administracinis teismas (regionalno upravno sodišče v Vilni, Litva) vložil pritožbo, s katero je predlagal njeno razveljavitev.
29. Ta pritožba je bila zavrnjena s sodbo z dne 16. julija 2021, ker je prvostopenjsko sodišče presodilo, da sta bila ukrepanje kriminalističnih obveščevalnih služb in uporaba podatkov, ki so jih zbrale te službe, v disciplinskem postopku, zakonita.
30. AG se je zoper prvostopenjsko sodbo pritožil pri Lietuvos vyriausiasis administracinis teismas (vrhovno upravno sodišče, Litva), ki je Sodišču predložilo to vprašanje za predhodno odločanje:
„Ali je treba člen 15(1) Direktive 2002/58 v povezavi s členi 7, 8, 11 in 52(1) Listine Evropske unije o temeljnih pravicah [v nadaljevanju: Listina] razlagati tako, da pristojnim javnim organom prepoveduje uporabo podatkov, ki jih hranijo ponudniki elektronskih komunikacijskih storitev in iz katerih so lahko razvidne informacije o komunikacijah, ki jih je opravil uporabnik elektronskih komunikacijskih sredstev, v preiskavah kršitev dolžnosti uradne osebe, povezanih z jemanjem podkupnin, ne glede na to, ali je bil dostop do teh podatkov v konkretnem primeru dovoljen zaradi boja proti hudim oblikam kriminala in preprečevanja resnih groženj javni varnosti?“
III. Postopek pred Sodiščem
31. Sodno tajništvo Sodišča je predlog za sprejetje predhodne odločbe prejelo 3. marca 2022.
32. Pisna stališča so predložili AG, češka, estonska, madžarska, irska, italijanska in litovska vlada ter Evropska komisija.
33. AG, francoska, madžarska, irska in litovska vlada ter Komisija so se udeležili javne obravnave 2. februarja 2023.
IV. Analiza
A. Dopustnost – Razmejitev odgovora na vprašanje za predhodno odločanje
34. Predložitveno sodišče je upravno sodišče, ki je pristojno za sodni nadzor upravnih odločb. Takšna je odločba generalnega državnega tožilca, ki je zaradi dejanj, ki pomenijo kršitev dolžnosti uradne osebe z okrožnega tožilstva, izrekel sankcijo prenehanja zaposlitve.
35. Obravnavani spor se torej ne nanaša na odločitve kazenskopravnih pravosodnih organov. Čeprav navedene odločitve soobstajajo z upravnim (disciplinskim) postopkom, ki je privedel do prenehanja funkcije,(14) je treba poudariti, da se spor nanaša le na zadnjenavedenega.
36. Vendar je v predložitveni odločbi mogoče zaznati določeno nenatančnost glede dejanska stanja, ki je ozadje za okvir, v katerega je umeščeno vprašanje za predhodno odločanje.
37. Kot sta poudarili češka vlada in Komisija, na podlagi predloga za sprejetje predhodne odločbe ni mogoče z gotovostjo ugotoviti, ali so pristojni organi: (a) ponudnike elektronskih komunikacijskih storitev zaprosili za sporne podatke, ali pa so (b) te podatke pridobili neposredno, sami.
38. To vprašanje nikakor ni nepomembno. Od tega je odvisno, katera ureditev Unije je upoštevna za odgovor na vprašanje za predhodno odločanje. Glede na to, ali je dejansko stanje nastalo na prvi ali na drugi način, je treba uporabiti:
– Direktivo 2002/58, če pridobljeni podatki izvirajo iz obveznosti obdelave, naložene ponudnikom elektronskih komunikacijskih storitev; oziroma
– Direktivo 2016/680, če je podatke neposredno pridobil javni organ, ne da bi pri tem navedenim ponudnikom naložil obveznosti.
39. V tem drugem primeru bi varstvo osebnih podatkov urejalo nacionalno pravo, brez poseganja v uporabo Direktive 2016/680.(15) Vprašanje za predhodno odločanje bi torej zaradi poudarka na Direktivi 2002/58 pomenilo neustrezen pristop.
40. Madžarska vlada je prepričana, da so bili osebni podatki pridobljeni prek telefonskega prestrezanja, ki so ga opravile kriminalistične obveščevalne službe, zato dvomi o dopustnosti predloga za sprejetje predhodne odločbe, saj se Direktiva 2002/58 glede na navedeno ne bi uporabila.
41. Vendar pa naj bi se po mnenju Komisije
–uporabila Direktiva 2016/680, če gre za uporabo osebnih podatkov, ki so jih organi neposredno zbrali in hranili v okviru predhodne kazenske preiskave, za poznejšo preiskavo;
– uporabila Direktiva 2002/58, če je bilo treba, kot je navedlo predložitveno sodišče,(16) vsaj nekatere podatke zbirati in hraniti v skladu z nacionalnim pravilom, sprejetim na podlagi člena 15(1) Direktive. Direktiva 2002/58 naj bi bila tako upoštevna za rešitev spora.
42. Strinjam se s tem pristopom Komisije, ki je poleg tega edini, ki omogoča preseganje (upravičenih) zadržkov, ki jih vzbuja predložitvena odločba v zvezi s svojo dopustnostjo.
43. Če se vprašanje za predhodno odločanje razume tako, upoštevnost Direktive 2002/58 za odgovor nanj:
– izhaja iz domneve, ki je povezana z vsemi predlogi za sprejetje predhodne odločbe glede nujnosti predložitve zadeve Sodišču, za katero je odgovoren sodnik, ki jo predloži;(17)
– je mogoče sprejeti, če se prosi za razlago Sodišča le v zvezi z Direktivo 2002/58, za katero sodišče meni, da je bistvena za rešitev spora.(18)
44. Predložitveno sodišče namreč meni, da sta za spor, o katerem odloča, upoštevna:
„(i) dostop do podatkov, ki jih hranijo ponudniki elektronskih komunikacijskih storitev, ne le zaradi boja proti hudemu kriminalu in preprečevanja resnih groženj javni varnosti, in
(ii) uporaba hranjenih podatkov za boj proti hudemu kriminalu in preprečevanje resnih groženj javni varnosti pri preiskovanju kršitev dolžnosti uradne osebe, povezanih s korupcijo pri opravljanju funkcije“.(19)
45. Zdi se torej, da vse kaže na to, da so bili ne glede na morebitni obstoj osebnih podatkov, katerih obdelava ne bi mogla spadati na področje uporabe Direktive 2002/58 (ampak na področje uporabe Direktive 2016/680), pri preiskavi, na podlagi katere je bila izrečena sankcija, uporabljeni osebni podatki, zbrani s strani ponudnikov elektronskih komunikacijskih storitev.
46. Odgovor Sodišča mora biti omejen na predlog predložitvenega sodišča, kot ga je to postavilo. Zato bo moralo pojasniti, ali se lahko osebni podatki, ki so bili pridobljeni in obdelani na podlagi člena 15(1) Direktive 2002/58 v okviru kazenske preiskave, pozneje uporabijo v okviru (upravnega) disciplinskega postopka zoper javnega funkcionarja.
47. Tako zamejena vsebina predloga za sprejetje predhodne odločbe, kot sem jo pravkar predstavil, pomeni, da za ta predlog niso upoštevna naslednja vprašanja:
– Prvič, tista, ki se nanašajo na zakonitost prvotnega zbiranja osebnih podatkov v skladu s členom 15(1) Direktive 2002/58. Vprašanje predložitvenega sodišča je omejeno na poznejšo uporabo teh podatkov v disciplinskem postopku, ne da bi dvomilo o zakonitosti njihovega prvotnega zbiranja.(20)
– Drugič, tista, ki se nanašajo na uporabo podatkov, ki so jih javni organi neposredno pridobili in obdelovali v okviru predhodnih kazenskih preiskav. V zvezi s to tematiko, ki spada na področje uporabe nacionalnega prava in Direktive 2016/680, predložitveno sodišče niti ne izraža dvomov.
48. Skratka, v vsebinskih preudarkih, ki sledijo, razlaga Direktive 2016/680(21) ne bo upoštevna. Glede Direktive 2002/58 pa bodo omejeni na uporabo osebnih podatkov, pridobljenih na njeni podlagi z obdelavami, za katere se domneva, da so prvotno zakonite, če v sporu o glavni stvari niso sporne.
B. Vsebinska presoja
1. Povzetek sodne prakse Sodišča v zvezi z uporabo Direktive 2002/58
49. Člen 15(1), prvi stavek, Direktive 2002/58 določa, da lahko države članice sprejmejo ukrep, ki odstopa od načela zaupnosti iz člena 5(1) te direktive, če je „potreben, primeren in ustrezen [sorazmeren] […] znotraj demokratične družbe“ in če je „dosledno“ sorazmeren z zastavljenim ciljem.(22)
50. Natančneje, možnost za države članice, da utemeljijo omejitev pravic in obveznosti, določenih zlasti s členi 5, 6 in 9 Direktive 2002/58, je treba presojati tako, da se oceni teža posega, ki ga vključuje taka omejitev, in preveri, ali je cilj splošnega interesa, ki se uresničuje s to omejitvijo, v sorazmerju s to težo.(23)
51. „Za izpolnitev zahteve po sorazmernosti mora ureditev določati jasna in natančna pravila, ki urejajo obseg in uporabo zadevnega ukrepa ter določajo minimalne zahteve, tako da imajo osebe, kar zadeva njihove osebne podatke, na voljo zadostna jamstva, ki omogočajo učinkovito varovanje teh podatkov pred tveganji zlorabe. Ta ureditev mora biti zakonsko zavezujoča v nacionalnem pravu, v njej pa mora biti zlasti navedeno, v kakšnih okoliščinah in pod katerimi pogoji je mogoče sprejeti ukrep, ki določa obdelavo takih podatkov […]“.(24)
52. Med cilji splošnega interesa, ki lahko upravičijo ukrep, sprejet na podlagi člena 15(1) Direktive 2002/58, v skladu z načelom sorazmernosti obstaja hierarhija glede na to, kako pomembni so, pomembnost cilja, ki ga tak ukrep uresničuje, pa mora biti povezana z resnostjo posega, ki iz njega izhaja.(25)
53. V tej hierarhiji ciljev je zaščita nacionalne varnosti, razlagana ob upoštevanju člena 4(2) PEU, pomembnejša od drugih ciljev, navedenih v členu 15(1) Direktive 2002/58, in sicer obrambe, javne varnosti ali preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj ali nedovoljene uporabe elektronskega komunikacijskega sistema. Cilj boja proti kriminalu na splošno, tudi hudemu, in zaščite javne varnosti je v tej drugi kategoriji.(26)
54. Iz te kategorizacije ciljev izhaja, da:
– obramba nacionalne varnosti, prva v hierarhičnem vrstnem redu, ki ga je navedlo Sodišče, dopušča tako resne posege, kot so odredbe, s katerimi se ponudnikom elektronskih komunikacijskih storitev naloži splošna in neselektivna hramba podatkov o prometu in podatkov o lokaciji;(27)
– cilj, ki mu neposredno sledi, in sicer boj proti hudim kaznivim dejanjem, lahko upraviči posege, kot je na primer ciljna hramba podatkov o prometu in podatkov o lokaciji ali naslovov IP, dodeljenih viru povezave, za obdobje, katerega trajanje je omejeno na to, kar je nujno potrebno.(28)
2. Uporaba navedene sodne prakse v tem predlogu za sprejetje predhodne odločbe
55. Po mnenju predložitvenega sodišča naj bi bili sporni podatki pridobljeni z resnimi posegi v pravice, zagotovljene s členi 7, 8 in 11 Listine.(29)
56. Ponavljam, tu ne gre za preučitev prvotne zakonitosti pridobitve teh podatkov, torej za presojo, ali je bil poseg dovolj utemeljen glede na resnost zadevnega kaznivega dejanja.
57. Predložitveno sodišče je o obeh vidikih (resnost posega in resnost kršitve) odločilo na način, ki se ne izpodbija v postopku v glavni stvari in torej ni upošteven za predlog za sprejetje predhodne odločbe.
58. Po besedah predložitvenega sodišča je zdaj pomembno določiti, ali se lahko navedeni podatki: (a) uporabijo tudi v okviru poznejših preiskav, katerih cilj je boj proti kriminalu na splošno (ob predpostavki, da ta pojem zajema ravnanje, ki je predmet sporne disciplinske sankcije); ali pa se lahko (b) uporabijo le v okviru preiskav v zvezi z bojem proti hudemu kriminalu.
59. Češka in irska vlada sta preučili, ali je treba zadevno ravnanje, ki ga obravnava predložitveno sodišče, opredeliti kot „hudo kršitev“, in prišli do zaključka, da je to treba storiti.
60. Vendar menim, da gre za vprašanje, o katerem se Sodišču ni treba izreči, saj je za opredelitev ravnanja pristojno predložitveno sodišče.
61. Predložitveno sodišče trdi, da če bi bila uporaba podatkov, pridobljenih z resnim posegom v temeljne pravice, lahko upravičena le z bojem proti hudemu kriminalu in preprečevanjem resnih groženj za javno varnost, teh podatkov ne bi bilo mogoče uporabiti v okviru preiskav v zvezi z disciplinskimi prekrški, povezanimi s korupcijo.(30) Torej v takšnih, kakršna je sporna preiskava v tej zadevi.
62. Na podlagi te presoje je treba razjasniti, ali so disciplinske kršitve, zaradi pregona katerih se želi uporabiti nekatere osebne podatke, glede na svojo resnost kvalitativno enakovredne kaznivim dejanjem, zaradi katerih je pridobitev takih podatkov upravičena.(31)
63. Litovska vlada je na obravnavi navedla, da je bilo prenehanje funkcije naloženo zaradi poklicne napake sankcioniranega državnega tožilca. Presoja, ali je napaka (odtekanje informacij v zvezi s predkazensko preiskavo) primerljiva s hudim kaznivim dejanjem ali resnim tveganjem za zaščito javne varnosti, je odvisna od skupka dejavnikov, ki jih lahko preveri le predložitveno sodišče.(32)
64. Na ustni obravnavi se je večkrat omenil boj proti korupciji kot pojav, ki je povezan z ravnanji, kakršno je predmet v obravnavani zadevi. Razprava o tem vprašanju bi zaradi strogosti, ki se zahteva za vse izkaze kaznovalne pristojnosti države, zahtevala veliko natančnejše izražanje. Na primer, ugotoviti bi bilo treba, ali se izraz „korupcija“ uporablja na splošno ali pa se nanaša na posebno vrsto obnašanja, v katero bi bilo morda pretirano – abstraktno – vključiti zgolj kršitev dolžnosti varovanja poklicne skrivnosti, če je ne bi spremljala sorazmerna korist za uradnika.(33)
65. Če bi predložitveno sodišče menilo, da je tu sankcionirana poklicna kršitev manj huda kot kaznivo dejanje, katerega preiskava je upravičevala ukrep, sprejet na podlagi člena 15 Direktive 2002/58, bi odgovor na vprašanje za predhodno odločanje vsekakor izhajal iz teh ugotovitev Sodišča:
– „[D]ostop do podatkov o prometu in podatkov o lokaciji, ki jih hranijo ponudniki na podlagi ukrepa, sprejetega na podlagi člena 15(1) Direktive 2002/58, ki ga je treba izvesti ob polnem spoštovanju pogojev, ki izhajajo iz sodne prakse, s katero je bila podana razlaga Direktive 2002/58, [je] načeloma mogoče upravičiti le s ciljem v splošnem interesu, za katerega je bila ta hramba naložena tem ponudnikom. Enako je [Drugače bi bilo le], če pomembnost cilja, ki se uresničuje z dostopom, presega pomembnost cilja, s katerim je bila utemeljena hramba“.(34)
– „[P]redvsem izhaja, da dostopa do takih podatkov za pregon in kaznovanje običajnega kaznivega dejanja nikakor ni mogoče odobriti, kadar je bila njihova hramba upravičena s ciljem boja proti hudemu kriminalu ali a fortiori z zaščito nacionalne varnosti“.(35)
66. V zvezi s tem torej obstaja neke vrste načelo enakovrednosti med cilji v splošnem interesu, ki upravičujejo pridobitev osebnih podatkov, na eni strani in tistimi, ki upravičujejo njihovo naknadno uporabo, na drugi. Edina izjema od tega načela je, kot je bilo navedeno, če pomembnost cilja, ki se uresničuje z dostopom, presega pomembnost cilja, s katerim je bila utemeljena hramba.
67. Drugačna presoja bi izkrivila sistem jamstev iz Direktive 2002/58: zaščitene pravice bi bile lahko predmet resnih posegov zunaj primerov, določenih v njenem členu 15, in pogojev, določenih s sodno prakso Sodišča.
68. Zlasti je žrtvovanje neokrnjenosti pravice do zaupnosti sporočil legitimno dopustno le glede na konkretni cilj v splošnem interesu, ki se uresničuje z njim. Zato je treba zakonitost dostopa do hranjenih podatkov preverjati od primera do primera, pri čemer je treba na eni strani tehtati med njegovo resnostjo in pomenom cilja v splošnem interesu, ki bi se uresničeval s tem posegom, na drugi.
69. Razlage Direktive 2002/58, da če je bil dostop mogoč ob prvem primeru, ki ga veljavno utemeljuje, obstaja prosta pot za naknadni dostop (v resnici za ponovno uporabo pridobljenih podatkov), ki temelji na cilju, ki je hierarhično nižje od cilja navedenega izvornega primera, ni mogoče sprejeti.
70. Zato je zahteve za prvotni dostop (vključno s tistimi, ki jih Sodišče zahteva v zvezi z dovoljenjem za ta dostop)(36) mogoče prenesti na naknadno uporabo istih podatkov s strani drugih organov.
C. Podredno: učinek Direktive 2016/680
71. Doslej sem pojasnil, kaj se mi zdi primernejše za odgovor na predlog za sprejetje predhodne odločbe v skladu z njegovo vsebino, to je z zagotovitvijo razlage Direktive 2002/58 predložitvenemu sodišču na način, ki ga zadnjenavedeno samo predlaga.
72. Če sporni podatki, ki se obravnavajo v tej zadevi, ne bi bili pridobljeni na podlagi člena 15(1) Direktive 2002/58, temveč bi jih v okviru kazenskega postopka neposredno pridobile kriminalistične obveščevalne službe države članice, bi bil scenarij drugačen.
73. V takem primeru bi se pravila nacionalnega prava uporabljala brez poseganja v uporabo Direktive 2016/680 v zvezi z obdelavo osebnih podatkov, pridobljenih v okviru kazenske preiskave. Menim, da se lahko šteje, da delovanje kriminalističnih obveščevalnih služb v primeru, kot je obravnavani, spada na področje uporabe Direktive 2016/680. To je bilo potrjeno na obravnavi.
74. Kot sem pojasnil v sklepnih predlogih v zadevi Inspektor v Inspektorata kam Visshia sadeben savet (Nameni obdelave podatkov – kazenska preiskava),(37) „SUVP in Direktiva 2016/680 tvorita skladen sistem, v okviru katerega:
– so v SUVP določena splošna pravila za varstvo fizičnih oseb v zvezi z obdelavo njihovih osebnih podatkov;
– Direktiva 2016/680 pa določa posebna pravila za obdelavo takih podatkov na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja“.(38)
75. Takrat sem spomnil,(39) da:
– „Varstvo, ki je zagotovljeno s sistemom, ki ga sestavljata oba predpisa, temelji na načelih zakonitosti, pravičnosti, preglednosti in, kar je upoštevno v tem primeru, na načelu, da se podatki zbirajo in obdelujejo le za namene, določene z zakonom“.
– „Člen 5(1)(b) SUVP konkretno določa, da so podatki ‚zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni‘. Tako določa tudi – kot lex specialis – člen 4(1)(b) Direktive 2016/680“.
– „Osebni podatki se torej ne smejo zbirati in obdelovati na splošno, temveč le za določene namene in ob spoštovanju pogojev za zakonitost, ki jih je določil zakonodajalec Unije“.(40)
– „Načelo dosledne povezave med zbiranjem in obdelavo podatkov na eni strani ter nameni, za katere se lahko ti dejavnosti izvajata, na drugi strani ni absolutno, saj je v SUVP in Direktivi 2016/680 dopuščena […] določena prožnost“.
76. Kakor pa je Sodišče razložilo člen 4(2) Direktive 2016/680,(41) je težko sprejeti, da se osebni podatki, zbrani v okviru kazenskega postopka, v isti namen uporabijo v okviru poznejšega disciplinskega postopka zoper javnega funkcionarja.
77. Vendar je treba spomniti, da je v skladu s členom 4(2) Direktive 2016/680 „[o]bdelava s strani istega ali drugega upravljavca za kateregakoli od namenov iz člena 1(1), ki ni namen, za katerega so bili podatki zbrani, […] dovoljena, če:
– je upravljavec pooblaščen za obdelavo teh osebnih podatkov za takšen namen v skladu s pravom Unije ali države članice in
– je obdelava potrebna in sorazmerna s takšnim drugim namenom v skladu s pravom Unije ali države članice“.
78. Na podlagi te premise bo moralo predložitveno sodišče preučiti, ali (drug) namen nadaljnje obdelave spada med namene, določene v členu 1(1) Direktive 2016/680, ali pa ne spada mednje:
– V prvem primeru (prerazporeditev ad intra) bo moralo preveriti, ali sta izpolnjena oba pogoja iz člena 4(2) Direktive 2016/680.
– V drugem primeru (prerazporeditev ad extra) je upošteven člen 9(1) Direktive 2016/680.
1. Uporaba podatkov na podlagi člena 4(2) Direktive 2016/680
79. Prvi od obeh pogojev, ki se zahtevata s to določbo, se lahko izpolni le, če pravo države članice z zakonom določa,(42) kdaj je upravljavec pooblaščen za obdelavo osebnih podatkov. Ta zakon mora poleg tega vsebovati zavezujoča, jasna in natančna pravila.(43)
80. Vendar je to vprašanje, ki ga mora seveda predložitveno sodišče preveriti po analizi člena 177 ZKP, člena 19(3) ZoKP in priporočil generalnega državnega tožilstva.(44) S temi elementi bo moralo preveriti, v kolikšni meri nacionalno pravo dopušča, da se lahko informacije, pridobljene v kazenskem postopku, pod nekaterimi pogoji uporabijo v okviru preiskave o disciplinskih kršitvah. Pri tej preveritvi mu lahko pridejo prav preudarki iz sodbe ESČP Adomaitis.(45)
81. V zvezi z drugim pogojem bo moralo predložitveno sodišče presoditi, ali je pri obdelavi podatkov, ki se obravnava v tej zadevi, poseg potreben in sorazmeren.(46)
82. Ugotovitve iz sodbe ESČP Adomaitis bi znova lahko prispevale k tej presoji:
– V zvezi s potrebnostjo bo moralo pretehtati, v kolikšni meri je bilo zaradi dokazne nezadostnosti drugih podatkov, ki so bili na voljo med disciplinskim postopkom, za uspeh preiskave, ki je potekala, dejansko treba uporabiti sporne podatke.(47)
– V zvezi s sorazmernostjo bo moralo oceniti resnost kršitve, zaradi katere je bil uveden disciplinski postopek, pri čemer bo moralo upoštevati, kot trdi litovska vlada in kot izhaja iz sodbe ESČP Adomaitis,(48) da se lahko osebni podatki uporabijo samo za primere kršitev, za katere je predpisana najstrožja disciplinska sankcija, in sicer prenehanje.
2. Uporaba podatkov na podlagi člena 9 Direktive 2016/680
83. V skladu s členom 9(1) Direktive 2016/680 se lahko osebni podatki, ki jih pristojni organi zbirajo za namene iz člena 1, obdelujejo za druge namene kot za namene iz člena 1(1), kadar takšno obdelavo dovoljuje pravo Unije ali države članice. V tem primeru se uporablja SUVP, razen če se obdelava ne izvaja v okviru dejavnosti, ki ne spadajo na področje uporabe prava Unije.(49)
84. Če bo predložitveno sodišče presodilo, da se člen 4(2) Direktive 2016/680 ne uporablja, bo moralo uporabiti SUVP. V skladu s to uredbo bo treba ugotoviti, ali je poleg zakonskih določb izpolnjen tudi eden od pogojev za zakonitost obdelave osebnih podatkov, ki so izčrpno našteti v njenem členu 6(1).
V. Predlog
85. Glede na navedeno Sodišču predlagam, naj Lietuvos vyriausiasis administracinis teismas (vrhovno upravno sodišče, Litva) odgovori:
1. Člen 15(1) Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) v povezavi s členi 7, 8, 11 in 52(1) Listine Evropske unije o temeljnih pravicah
je treba razlagati tako, da
pristojnim javnim organom ne dovoljuje, da zbirajo podatke, ki jih hranijo ponudniki elektronskih komunikacijskih storitev in iz katerih so lahko razvidne informacije o uporabniku, in jih uporabijo v okviru preiskav, ki se nanašajo na ravnanja, ki pomenijo manj hude kršitve, kot so tiste, katerih preiskava je lahko upravičila takratni dostop do navedenih podatkov.
2. Podredno:
člen 9(1) Direktive (EU) 2016/680 Evropskega parlamenta in Sveta z dne 2016. aprila 2008/977 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ v povezavi s členoma 6 in 10 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES ob upoštevanju členov 7 in 8 Listine Evropske unije o temeljnih pravicah
je treba razlagati tako, da
ne nasprotuje temu, da se v okviru disciplinskega upravnega postopka uporabijo osebni podatki, ki jih je javni organ pridobil zakonito in neposredno v okviru kazenske preiskave, če sta navedeni postopek in ta preiskava povezana v skladu z jasnimi, natančnimi in zavezujočimi pravili nacionalnega prava ter če ima uporaba podatkov zakonit namen ter je potrebna in sorazmerna, kar mora določiti sodišče.