Esialgne tõlge
KOHTUJURISTI ETTEPANEK
MACIEJ SZPUNAR
esitatud 28. septembril 2023(1)
Kohtuasi C‑470/21
La Quadrature du Net,
Fédération des fournisseurs d’accès à Internet associatifs,
Franciliens.net,
French Data Network
versus
Premier ministre,
Ministère de la Culture
(eelotsusetaotlus, mille on esitanud Conseil d’État (Prantsusmaa))
Eelotsusetaotlus – Isikuandmete töötlemine ja eraelu kaitse elektroonilise side sektoris – Direktiiv 2002/58/EÜ – Artikli 15 lõige 1 – Liikmesriikide õigus piirata teatavate õiguste ja kohustuste ulatust – Nõue, et kohus või sõltumatu haldusasutus, kellel on pädevus teha siduvaid otsuseid, teostaks eelkontrolli – IP‑aadressile vastavad identiteediandmed
I. Sissejuhatus
1. Euroopa Kohtu kodukorra artikli 60 lõike 3 alusel esitatud taotlusega otsustas suurkoda 7. märtsil 2023 saata käesolev kohtuasi Euroopa Kohtu täiskogu ette.
2. Euroopa Kohus (täiskogu) otsustas 23. märtsi 2023. aasta määrusega avada menetluse suulise etapi uuesti ja kutsus Euroopa Liidu Kohtu põhikirja artiklis 23 osutatud huvitatud isikuid, Euroopa Andmekaitseinspektorit ja Euroopa Liidu Küberturvalisuse Ametit (ENISA) osalema uuel kohtuistungil.
3. 27. oktoobril 2022 esitasin oma esimese ettepaneku selles kohtuasjas enne menetluse suulise etapi lõppu. See uus ettepanek annab mulle seega võimaluse laiendada oma põhjenduste teatavaid elemente selles kohtuasjas, mis käsitleb isikuandmete säilitamise ja nendele juurdepääsuga seotud põhiküsimusi.
II. Õiguslik raamistik
A. Liidu õigus
4. Direktiivi 2002/58/EÜ(2) põhjendustes 2, 6, 7, 11, 22, 26 ja 30 on märgitud:
„(2) Käesoleva direktiiviga püütakse austada põhiõigusi ja selles järgitakse eelkõige [Euroopa Liidu põhiõiguste hartas (edaspidi „harta“)] tunnustatud põhimõtteid. Eelkõige püütakse käesoleva direktiiviga tagada nimetatud harta artiklites 7 ja 8 sätestatud õiguste täielik austamine.
[…]
(6) Internet muudab radikaalselt traditsioonilisi turustruktuure, sest ühise globaalse infrastruktuurina võimaldab ta pakkuda suurt hulka erinevaid elektroonilisi sideteenuseid. Interneti vahendusel pakutavad üldkasutatavad elektroonilised sideteenused loovad kasutajatele uusi võimalusi, kuid samas tekitavad ka uusi ohte kasutajate isikuandmetele ja eraelu puutumatusele.
(7) Üldkasutatavate elektrooniliste sidevõrkude puhul tuleks ette näha konkreetsed õigusnormid ja tehnilised normid, et kaitsta füüsiliste isikute põhiõigusi ja -vabadusi ning juriidiliste isikute õigustatud huve, arvestades eelkõige abonentide ja kasutajate andmete automatiseeritud salvestamise ja töötlemise suurenevat mahtu.
[…]
(11) Nagu direktiivis 95/46/EÜ,(3) ei käsitleta ka käesolevas direktiivis põhiõiguste ja -vabaduste kaitsmist selliste toimingute puhul, mis ei kuulu ühenduse õiguse reguleerimisalasse. Seega ei muuda käesolev direktiiv senist tasakaalu üksikisiku eraelu puutumatuse õiguse ja liikmesriikide võimaluse vahel võtta käesoleva direktiivi artikli 15 lõikes 1 osutatud meetmeid, mis on vajalikud avaliku korra, riigikaitse, riigi julgeoleku (kaasa arvatud riigi majanduslik heaolu, kui tegevus on seotud riigi julgeolekuga) ja kriminaalõiguse rakendamise seisukohast. Seega ei mõjuta käesolev direktiiv liikmesriikide võimalust kuulata õiguspäraselt pealt elektroonilist sidet või võtta vajaduse korral meetmeid eespool nimetatud eesmärkidel ja kooskõlas [4. novembril 1950 Roomas allkirjastatud] inimõiguste ja põhivabaduste kaitse Euroopa konventsiooniga nii, nagu seda on tõlgendatud Euroopa Inimõiguste Kohtu otsustes. Sellised meetmed peavad olema asjakohased, rangelt proportsionaalsed kavandatud eesmärgiga ja vajalikud demokraatlikus ühiskonnas ning nendega peaksid kaasnema piisavad tagatised kooskõlas inimõiguste ja põhivabaduste kaitse Euroopa konventsiooniga.
[…]
(22) Sidet ja sellega seotud liiklusandmeid ei või salvestada muud kui ainult kasutajad ja isikud, kellel on nende nõusolek; selle keeluga ei taheta keelustada igasugust automaatset, vahepealset või lühiajalist teabe salvestamist, kui selle ainus eesmärk on edastuse toimumine elektroonilises sidevõrgus, tingimusel, et teavet ei salvestata kauemaks, kui on vaja edastuse ja liikluse haldamise seisukohast, ning et selle konfidentsiaalsus tagatakse ka salvestatuna. […]
[…]
(26) Abonentide kohta käivad andmed, mida töödeldakse elektroonilistes sidevõrkudes ühenduse loomiseks ja teabe edastamiseks, sisaldavad teavet füüsiliste isikute eraelu kohta ja on seotud õigusega vabale kirjavahetusele või on seotud juriidiliste isikute õigustatud huvidega. Selliseid andmeid võib säilitada ainult sel määral, kui on vaja teenuse osutamise puhul arveldamiseks ja sidumistasude maksmiseks, ning piiratud aja jooksul. Selliste andmete igasugust täiendavat töötlemist […] võib lubada ainult siis, kui abonent on sellega nõustunud täpse ja täieliku teabe põhjal, mille üldkasutatavate elektrooniliste sideteenuste osutaja on talle edastanud kavandatud täiendavate töötlemisviiside kohta ja abonendi õiguste kohta jätta oma nõusolek selliseks töötlemiseks andmata või tühistada selline nõusolek. […]
[…]
(30) Elektrooniliste sidevõrkude pakkumise ja elektrooniliste sideteenuste osutamise süsteemid peaksid olema välja töötatud nii, et vajalike isikuandmete hulk oleks minimaalne. […]“.
5. Selle direktiivi artiklis 2 „Mõisted“ on sätestatud:
„[…]
Kasutatakse ka järgmisi mõisteid:
a) kasutaja – füüsiline isik, kes kasutab üldkasutatavat elektroonilist sideteenust isiklikel või ärilistel eesmärkidel, ilma et ta oleks tingimata kõnealust teenust tellinud;
b) liiklusandmed – andmed, mida töödeldakse side edastamiseks elektroonilises sidevõrgus või sellise edastamisega seotud arveldamiseks;
c) asukohaandmed – elektroonilises sidevõrgus või elektrooniliste sideteenuste poolt töödeldavad andmed, mis näitavad üldkasutatavate elektrooniliste sideteenuste kasutaja lõppseadme geograafilist asukohta;
d) side – teave, mida vahetatakse või edastatakse määratud hulga osaliste vahel üldkasutatava elektroonilise side teenuse abil. Mõiste ei hõlma teavet, mida edastatakse üldsusele ringhäälinguteenuse raames elektroonilise sidevõrgu kaudu, välja arvatud juhul, kui sellist teavet võib seostada tuvastatava abonendi või kasutajaga, kes teavet saab;
[…]“.
6. Kõnealuse direktiivi artiklis 3 „Asjaomased teenused“ on ette nähtud:
„Käesolevat direktiivi kohaldatakse isikuandmete töötlemisele, mis toimub seoses üldkasutatavate elektrooniliste sideteenuste osutamisega ühenduse üldkasutatavates sidevõrkudes, sealhulgas andmete kogumist ja tuvastusseadmeid toetavates üldkasutatavates sidevõrkudes.“
7. Sama direktiivi artiklis 5 „Side konfidentsiaalsus“ on sätestatud:
„1. Liikmesriigid tagavad üldkasutatava sidevõrgu ja üldkasutatavate elektrooniliste sideteenuste kaudu toimuva side ja sellega seotud liiklusandmete konfidentsiaalsuse siseriiklike õigusaktidega. Eelkõige keelatakse nende õigusaktidega isikutel, kes ei ole kasutajad, kuulata, salaja pealt kuulata, salvestada või muul viisil pealt kuulata või jälgida sidet ja sellega seotud liiklusandmeid ilma asjaomaste kasutajate loata, kui see ei ole õiguspärane artikli 15 lõike 1 kohaselt. Käesolev lõige ei takista side edastamiseks vajalikku tehnilist salvestamist, ilma et see piiraks konfidentsiaalsuse põhimõtet.
[…]
3. Liikmesriigid tagavad, et teabe salvestamine abonendi või kasutaja lõppseadmesse ja juurdepääsu saamine sinna juba salvestatud teabele on lubatud ainult tingimusel, et asjaomane abonent või kasutaja on andnud selleks oma nõusoleku, ning talle on esitatud direktiivi [95/46] kohaselt selge ja arusaadav teave, muu hulgas andmete töötlemise eesmärgi kohta. See ei takista andmete tehnilist salvestamist ega juurdepääsu, mille ainus eesmärk on edastada sidet elektroonilises sidevõrgus või mis on teenuseosutajale hädavajalik sellise infoühiskonna teenuse osutamiseks, mida abonent või kasutaja on sõnaselgelt taotlenud.“
8. Direktiivi 2002/58 artiklis 6 „Liiklusandmed“ on sätestatud:
„1. Abonentide ja kasutajatega seotud liiklusandmed, mida töötleb üldkasutatava sidevõrgu pakkuja või üldkasutatavate elektrooniliste sideteenuste osutaja, tuleb kustutada või muuta anonüümseks, kui neid ei ole enam vaja side edastamiseks, ilma et see piiraks käesoleva artikli lõigete 2, 3 ja 5 ning artikli 15 lõike 1 kohaldamist.
2. Töödelda võib liiklusandmeid, mis on vajalikud abonentide arvete ja sidumistasude jaoks. Selline töötlemine on lubatud ainult selle tähtaja lõpuni, mille jooksul võib arve õiguspäraselt vaidlustada või mille jooksul võib võtta meetmeid arve sissenõudmiseks.
[…]“.
9. Direktiivi artikli 15 „Direktiivi [95/46] teatavate sätete rakendamine“ lõikes 1 on sätestatud:
„Liikmesriigid võivad võtta seadusandlikke meetmeid, millega piiratakse käesoleva direktiivi artiklites 5 ja 6, artikli 8 lõigetes 1, 2, 3 ja 4 ning artiklis 9 sätestatud õiguste ja kohustuste ulatust, kui selline piiramine on vajalik, otstarbekas ja proportsionaalne abinõu selleks, et kaitsta direktiivi [95/46] artikli 13 lõikes 1 nimetatud riiklikku julgeolekut (s.t riigi julgeolekut), riigikaitset, avalikku korda, kriminaalkuritegude või elektroonilise sidesüsteemi volitamata kasutamise ennetamist, uurimist, avastamist ja kohtus menetlemist. Selleks võivad liikmesriigid muu hulgas võtta seadusandlikke meetmeid, millega nähakse ette andmete säilitamine piiratud aja jooksul käesolevas lõikes sätestatud põhjustel. Kõik käesolevas lõikes osutatud meetmed on kooskõlas [liidu] õiguse üldpõhimõtetega, kaasa arvatud [ELL] artikli 6 lõigetes 1 ja 2 osutatud põhimõtetega.“
B. Prantsuse õigus
1. Intellektuaalomandi seadustik
10. Intellektuaalomandi seadustiku (Code de la propriété intellectuelle) põhikohtuasja suhtes kohaldatavas redaktsioonis on artiklis L. 331‑12 sätestatud:
„Internetis teoste edastamise ja õiguste kaitse ülemamet [(edaspidi „Hadopi“)] on sõltumatu avalik-õiguslik asutus.“
11. Intellektuaalomandi seadustiku artiklis L. 331‑13 on ette nähtud:
„[Hadopi] ülesanded on järgmised:
[…]
2. Ülesanne kaitsta [autoriõigusega või sellega kaasnevate õigustega kaitstud teoseid ja objekte elektroonilise side võrkudes] nende õiguste rikkumise eest, mis pannakse toime elektroonilise side võrkudes, mida kasutatakse üldkasutatavate veebipõhiste sideteenuste osutamiseks; […]“.
12. Sama seadustiku artiklis L. 331‑15 on märgitud:
„[Hadopi] koosneb kolleegiumist ja õiguste kaitse komisjonist. […]
[…]
Oma volituste teostamisel ei saa kolleegiumi ja õiguste kaitse komitee liikmed juhiseid üheltki ametiasutuselt.“
13. Kõnealuse seadustiku artikkel L. 331‑17 sätestab:
„Õiguste kaitse komisjon vastutab artiklis L. 331‑25 sätestatud meetmete võtmise eest.“
14. Sama seadustiku artiklis L. 331‑21 on sätestatud:
„Õiguste kaitse komisjoni volituste täitmiseks on [Hadopil] vannutatud avalikud teenistujad, kes on saanud volitused [oma] presidendilt Conseil d’État’ [(Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu)] dekreediga kehtestatud tingimustel. […]
Õiguste kaitse komisjoni liikmed ja esimeses lõigus nimetatud teenistujad saavad kõnealusele komisjonile esitatud taotlused artiklis L. 331‑24 ette nähtud tingimustel. Nad vaatavad asjaolud läbi.
Nad võivad menetluse tarbeks saada kõik dokumendid, olenemata nende andmekandjast, sealhulgas andmed, mida säilitavad ja töötlevad elektroonilise side operaatorid vastavalt posti- ja elektroonilise side seadustiku [(code des postes et des communications électroniques)] artiklile L. 34‑1, ning 21. juuni 2004. aasta seaduse nr 2004‑575 usalduse kohta digitaalmajanduses [(loi no 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique)] artikli 6 I punkti alapunktides 1 ja 2 nimetatud teenuseosutajad.
Nad võivad samuti saada eelmises lõigus nimetatud dokumentide koopiad.
Eelkõige võivad nad elektroonilise side operaatoritelt saada selle abonendi isikuandmed, postiaadressi, e-posti aadressi ja telefoninumbrid, kelle juurdepääsu üldkasutatavatele veebipõhistele sideteenustele on kasutatud kaitstud teoste või objektide reprodutseerimiseks, kujutamiseks, kasutusse andmiseks või üldsusele edastamiseks ilma […] õiguste omajate loata, kui see on nõutav.“
15. Intellektuaalomandi seadustiku artiklis L. 331‑24 on sätestatud:
„Õiguste kaitse komisjon tegutseb kaebuste alusel, mille on esitanud vannutatud ja volitatud esindajad […], kelle on määranud:
– nõuetekohaselt asutatud kutsealased kaitseühendused;
– kollektiivse esindamise organisatsioonid;
– riiklik kino- ja animatsioonikeskus [(Centre national du cinéma et de l’image animée)].
Õiguste kaitse komisjon võib tegutseda ka vabariigi prokuröri poolt talle edastatud teabe alusel.
Komisjoni poole võib pöörduda kuni kuue kuu taguste faktiliste asjaolude alusel.“
16. Vastavalt selle seadustiku artiklile L. 331‑25, mis reguleerib nn järkjärgulise reageerimise menetlust:
„Kui komisjonile on teatavaks saanud asjaolud, mis tõenäoliselt kujutavad endast [intellektuaalomandi seadustiku] artiklis L. 336‑3 määratletud kohustuse rikkumist, võib õiguste kaitse komisjon saata abonendile […] soovituse, milles viidatakse artikli L. 336‑3 sätetele, nõutakse nende sätetega talle kehtestatud kohustuse täitmist ja hoiatatakse artiklite L. 335‑7 ja L. 335‑7‑1 alusel määratavate karistuste eest. See soovitus sisaldab ka teavet abonendile kultuurilise veebisisu seadusliku pakkumise kohta, artiklis L. 336‑3 määratletud kohustuse rikkumise vältimiseks vajalike turvameetmete olemasolu kohta ning ohtude kohta, mida autoriõigust ja sellega kaasnevaid õigusi mittejärgivad tavad kujutavad endast kunstilise loomingu uuendamisele ja kultuurisektori majandusele.
Kui kuue kuu jooksul pärast esimeses lõigus osutatud soovituse saatmist ilmnevad uuesti asjaolud, mis võivad kujutada endast artiklis L. 336‑3 määratletud kohustuse rikkumist, võib komisjon saata elektrooniliselt uue soovituse, mis sisaldab sama teavet kui eelmine soovitus […]. Komisjon peab sellele soovitusele lisama allkirja vastu kätte toimetatud kirja või muu vahendi, millega saab tõendada selle soovituse esitamise kuupäeva.
Käesoleva artikli alusel esitatud soovitustes märgitakse kuupäev ja kellaaeg, mil tuvastati asjaolud, mis võivad kujutada endast artiklis L. 336‑3 määratletud kohustuse rikkumist. Siiski ei avaldata neis kaitstud teoste või objektide sisu, mida see rikkumine puudutab. Neis märgitakse telefoninumber, posti- ja e-posti aadress, mille kaudu adressaat võib soovi korral esitada vastuväiteid õiguste kaitse komisjonile ja saada, kui ta seda sõnaselgelt taotleb, üksikasjad kaitstud teoste või objektide sisu kohta, mida väidetav rikkumine puudutab.“
17. Kõnealuse seadustiku artikkel L. 331‑29 sätestab:
„[Hadopil] on lubatud välja töötada isikuandmete automaatse töötlemise süsteem, mis puudutab isikuid, kelle suhtes on algatatud menetlus käesoleva alajao raames.
See töötlemine on ette nähtud selleks, et õiguste kaitse komisjon saaks rakendada käesolevas alajaos ette nähtud meetmeid, teha kõiki seotud menetlustoiminguid ja rakendada korda, mille raames teavitatakse kutsealaseid kaitseühendusi ning kollektiivse esindamise organisatsioone võimalikust õigusasutuse poole pöördumisest, ning artikli L. 335‑7 viiendas lõigus ette nähtud teatavaks tegemise toiminguid.
Dekreediga […] sätestatakse käesoleva artikli kohaldamise üksikasjalikud eeskirjad. Selles täpsustatakse eelkõige:
– salvestatud andmete liigid ja nende säilitamise aeg;
– isikud, kellel on õigus neid edastatud andmeid saada, eelkõige isikud, kes tegelevad üldkasutatavatele veebipõhistele sideteenustele juurdepääsu pakkumisega;
– tingimused, kuidas huvitatud isikud saavad kasutada [Hadopis] oma õigust tutvuda neid puudutavate andmetega […]“.
18. Sama seadustiku artiklis R. 331‑37 on sätestatud:
„[…] [E]lektroonilise side operaatorid ning […] teenuseosutajad on kohustatud edastama omavahelise ühenduse teel artiklis L. 331‑29 nimetatud isikuandmete automaatse töötlemise süsteemi kaudu või andmekandjale salvestamise abil, mis tagab nende terviklikkuse ja turvalisuse, isikuandmed ja teabe, mida on nimetatud 5. märtsi 2010. aasta [dekreedi nr 2010‑236, mis käsitleb [intellektuaalomandi seadustiku] artiklis L. 331‑29 lubatud isikuandmete automatiseeritud töötlemist, tuntud kui „Loometööde kaitsemeetmete haldamise süsteem internetis“(4) (edaspidi „5. märtsi 2010. aasta dekreet“),] […] lisa punktis 2, kaheksa päeva jooksul pärast seda, kui õiguste kaitse komisjon on edastanud tehnilised andmed, mis on vajalikud selle abonendi tuvastamiseks, kelle ühendust üldkasutatavate veebipõhiste sideteenustega on kasutatud kaitstud teoste või objektide reprodutseerimiseks, kujutamiseks, kasutusse andmiseks või üldsusele edastamiseks ilma […] õiguste omajate loata, kui see on nõutav.
[…]“.
19. Intellektuaalomandi seadustiku artiklis R. 335‑5 on sätestatud:
„I.- Kui on täidetud II punktis sätestatud tingimused, siis kujutab endast rasket hooletust, mis on karistatav viienda astme süütegude puhul ette nähtud rahatrahviga, see, kui isik, kellel on ühendus üldkasutatavate veebipõhiste sideteenustega, ilma õiguspärase põhjuseta:
1. ei ole rakendanud vahendit selle ühenduse turvamiseks
2. või ei ole seda vahendit rakendanud nõuetekohase hoolsusega.
II.- I punkti sätteid kohaldatakse ainult siis, kui on täidetud kaks järgmist tingimust:
1. vastavalt artiklile L. 331‑25 ja selles artiklis sätestatud viisil on õiguste kaitse komisjon soovitanud ühenduse omanikule rakendada oma ühenduse turvamise vahendeid, mis takistavad selle ühenduse uuesti kasutamist autoriõigusega või sellega kaasneva õigusega kaitstud teoste või objektide reprodutseerimiseks, kujutamiseks või kasutusse andmiseks või üldsusele edastamiseks ilma õiguste omajate loata […], kui selline luba on nõutav;
2. nimetatud soovituse esitamisele järgneval aastal kasutatakse sellist ühendust uuesti kõnealuse II punkti alapunktis 1 nimetatud eesmärkidel.“
20. Kõnealuse seadustiku artiklis L. 336‑3 on sätestatud:
„Üldkasutatavate veebipõhiste sideteenuste ühenduse omanikul on kohustus tagada, et seda ühendust ei kasutata autoriõigusega või sellega kaasneva õigusega kaitstud teoste või objektide reprodutseerimiseks, kujutamiseks, kasutusse andmiseks või üldsusele edastamiseks ilma […] omajate loata, kui selline luba on nõutav.
Kui ühendust omav isik ei täida esimeses lõigus sätestatud kohustust, ei too see kaasa asjaomase isiku kriminaalvastutust […]“.
2. 5. märtsi 2010. aasta dekreet
21. 5. märtsi 2010. aasta dekreedi põhikohtuasja asjaolude suhtes kohaldatavas redaktsioonis on artiklis 1 sätestatud:
„Isikuandmete töötlemise süsteemi ehk „Teoste internetis kaitsmise meetmete haldamise süsteemi“ eesmärk on tagada, et [Hadopi] õiguste kaitse komisjon võtaks järgmised meetmed:
1. meetmed, mis on ette nähtud [intellektuaalomandi seadustiku] seadusandliku osa III raamatus (III jaotise I peatüki 3. jao 3. alajagu) ja sama seadustiku regulatiivosa III raamatus (III jaotise I peatüki 2. jao 2. alajagu);
2. vabariigi prokurörile teate esitamine asjaolude kohta, mis võivad endast kujutada sama seadustiku artiklites L. 335‑2, L. 335‑3, L. 335‑4 ja R. 335‑5 sätestatud süütegusid, ning samuti kutsealaste kaitseühenduste ja kollektiivse esindamise organisatsioonide teavitamine selle teate esitamisest;
[…]“.
22. Selle dekreedi artiklis 4 on sätestatud:
„I.- [Hadopi] presidendi poolt [intellektuaalomandi seadustiku] artikli L. 331‑21 alusel vannutatud ja volitatud esindajatel ja artiklis 1 nimetatud õiguste kaitse komisjoni liikmetel on otsene juurdepääs käesoleva dekreedi lisas nimetatud isikuandmetele ja teabele.
II.- Käesoleva dekreedi lisa punktis 2 nimetatud elektroonilise side operaatoritele ja teenuse osutajatele edastatakse:
– abonendi tuvastamiseks vajalikud tehnilised andmed;
– [intellektuaalomandi seadustiku] artiklis L. 331‑25 sätestatud soovitused elektrooniliseks edastamiseks nende abonentidele;
– teave, mis on vajalik selleks, et kohaldada lisakaristusi, mis seisnevad avaliku üldkasutatava veebipõhise sideteenuse kasutamise peatamises, millest prokurör on komisjoni teavitanud.
III.- Kutsealastele kaitseühendustele ja kollektiivse esindamise organisatsioonidele edastatakse teave vabariigi prokuröri esitatud kaebuse kohta.
IV.- Õigusasutustele edastatakse [intellektuaalomandi seadustiku] artiklite L. 335‑2, L. 335‑3, L. 335‑4, L. 335‑7, R. 331‑37, R. 331‑38 ja R. 335‑5 kohaste rikkumistega seotud asjaolude tuvastamise protokollid.
Automatiseeritud karistusregistrit teavitatakse peatamisotsuse täitmisest.“
23. 5. märtsi 2010. aasta dekreedi lisas on sätestatud:
„Andmetöötlussüsteemis „Teoste internetis kaitsmise meetmete haldamise süsteem“ salvestatavad isikuandmed ja teave on järgmised.
1. Isikuandmed ja teave, mis pärineb nõuetekohaselt asutatud kutsealastelt kaitseühendustelt, kollektiivse esindamise organisatsioonidelt, Centre national du cinéma et de l’image animéelt (riiklik kino- ja animatsioonikeskus) ja vabariigi prokurörilt,
seoses asjaoludega, mis võivad endast kujutada [intellektuaalomandi seadustiku] artiklis L. 336‑3 määratletud kohustuse rikkumist:
sündmuste kuupäev ja kellaaeg;
asjaomaste abonentide IP-aadress;
kasutatud võrdvõrgu protokoll;
abonendi kasutatud pseudonüüm;
teave faktiliste asjaoludega seotud kaitstud teoste või objektide kohta;
abonendi arvutis oleva faili nimi (vajaduse korral);
internetiühenduse pakkuja nimi, kellelt osteti ühendus või kes pakkus IP-tehnilist ressurssi.
[…]
2. Elektroonilise side operaatoritelt […] ja teenuseosutajatelt […] saadavad isikuandmed ja abonendi andmed:
perekonna- ja eesnimi;
postiaadress ja e-posti aadressid;
telefoninumbrid;
abonendi telefonipaigaldise aadress;
internetiühenduse pakkuja, kes kasutab sellise punktis 1 nimetatud ühenduse pakkuja tehnilisi vahendeid, kellega abonent on sõlminud lepingu; klienditoimiku number;
kuupäev, millest alates peatatakse üldkasutatava veebipõhise sideteenuse kasutamine.
[…]“.
3. Posti- ja telekommunikatsiooniseadustik (code des postes et des communications électroniques)
24. Posti- ja elektroonilise side seadustiku artikli L. 34‑1, mida on muudetud 30. juuli 2021. aasta seaduse nr 2021‑998(5) artikliga 17, II bis punktis on sätestatud, et „elektroonilise side operaatorid on kohustatud säilitama:
1. kriminaalmenetluste, avalikku julgeolekut ähvardava ohu ennetamise ja riigi julgeoleku kaitsmise eesmärgil kasutaja identiteeti puudutavad andmed kuni viie aasta jooksul alates tema lepingu kehtivusaja lõppemisest;
2. samadel eesmärkidel, mis on sätestatud käesoleva II bis punkti alapunktis 1, muud andmed, mille kasutaja esitab lepingu sõlmimisel või konto avamisel, ning maksmisega seotud andmed kuni ühe aasta jooksul alates tema lepingu kehtivusaja lõppemisest või konto sulgemisest;
3. kuritegevuse ja raskete kuritegude vastu võitlemise, avalikku julgeolekut ähvardavate suurte ohtude ennetamise ja riigi julgeoleku kaitsmise eesmärgil tehnilised andmed, mis võimaldavad tuvastada ühenduse allika või kasutatud lõppseadmetega seotud andmed kuni ühe aasta jooksul pärast ühenduse toimumist või lõppseadmete kasutamist.“
III. Menetlus Euroopa Kohtus
25. Vastuseks Euroopa Liidu Kohtu põhikirja artiklis 23 nimetatud huvitatud isikutele esitatud üleskutsele vastasid põhikohtuasja kaebajad, Prantsuse, Taani, Eesti, Iirimaa, Madalmaade, Soome ja Rootsi valitsus ning komisjon Euroopa Kohtu kirjalikele küsimustele.
26. Samad menetlusosalised, välja arvatud Soome valitsus, ning Tšehhi, Hispaania, Küprose, Läti ja Norra valitsus, Euroopa Andmekaitseinspektor ja Euroopa Küberturvalisuse Amet olid esindatud 15. mail 2023 toimunud kohtuistungil.
IV. Analüüs
27. Eelotsuse küsimuste analüüsi tulemusena tehtud esimeses ettepanekus leidsin, et Euroopa Kohus peaks otsustama, et direktiivi 2002/58 artikli 15 lõiget 1 tuleb tõlgendada nii, et sellega ei ole vastuolus liikmesriigi õigusnormid, mis lubavad elektroonilise side teenuste osutajatel säilitada ja haldusasutusel, nagu Hadopi,(6) saada piiratud juurdepääsu IP-aadressidele vastavatele identiteediandmetele, et see asutus saaks tuvastada nende aadresside omanikud, keda kahtlustatakse autoriõiguse ja sellega kaasnevate õiguste rikkumistes, ja võtta vajaduse korral nende vastu meetmeid, ilma et kohus või sõltumatu haldusorgan peaks sellist juurdepääsu enne kontrollima, kui sellised andmed on ainus uurimisvahend, mille abil saab tuvastada isiku, kellele see aadress süüteo toimepanemise ajal oli omistatud.
28. Käesolevas ettepanekus püüan põhjalikumalt selgitada oma eelneva analüüsi teatud elemente ja 15. mail 2023 toimunud kohtuistungil arutatud küsimusi, et tuua välja põhjused, miks ma ei muuda ei ettepanekut eelotsustele antava vastuse kohta ega põhjendusi, mis viisid selle ettepanekuni(7).
29. Konkreetsemalt näitan, et IP-aadressidele vastavate identiteediandmete säilitamise ja nendele juurdepääsu lubamine ilma eelneva kontrollita õigusrikkujate tuvastamiseks, kui need andmed on ainus vahend nende tuvastamiseks, vastab direktiivi 2002/58 artikli 15 lõike 1 alusel võetud meetmete läbivaatamisel Euroopa Kohtu kindlaks määratud nõuetele (B osa).
30. Seejuures rõhutan, et selline lahendus ei tähenda Euroopa Kohtu poolt alates kohtuotsustest Tele2 Sverige ja Watson jt(8) ning La Quadrature du Net jt(9) välja töötatud põhiõigusi kaitsva nõudliku kohtupraktika muutmist, vaid leian, et see on vajalik areng kooskõlas Euroopa Kohtu kehtestatud põhimõtetega. See eristamine ei ole pelgalt semantiline. Minu pakutud lahenduse eesmärk ei ole nimelt mitte seada kahtluse alla olemasolevat kohtupraktikat, vaid võimaldada teatud pragmaatilisuse nimel selle kohandamist konkreetsetes ja väga kitsalt piiritletud olukordades (C osa).
31. Selguse huvides ja kuivõrd arutelud kohtuistungil näitasid, et selles osas on vaja selgitusi, alustan oma analüüsi meeldetuletusega, kuidas Hadopi rakendatav järkjärgulise reageerimise mehhanism toimib (A osa).
A. Hadopi kasutatav järkjärgulise reageerimise mehhanism
32. Hadopi on sõltumatu haldusasutus, kelle vastutusel on kaitsmine autoriõiguste ja sellega kaasnevate õiguste internetis toime pandavate rikkumiste eest. Selleks on kasutusele võetud nn järkjärgulise reageerimise mehhanism, mille rakendamine on usaldatud Hadopi õiguste kaitse komisjonile.
33. Selle komisjoni poole pöörduvad õigusi omavad organisatsioonid, mille raames koguvad teatavad kultuuriministri kinnitatud ja vannutatud ametnikud võrdvõrkudes nende internetikasutajate IP-aadresse, kes teevad teoseid üldsusele kättesaadavaks ilma nende õiguste omajate loata. Seejärel koostatakse vastavad protokollid. Need sisaldavad eelkõige nende autoriõiguste rikkumiste toimepanemiseks kasutatud internetiühenduse IP-aadressi, täheldatud rikkumise kuupäeva ja kellaaega ning asjaomase teose pealkirja; need protokollid edastatakse Hadopi õiguste kaitse komisjonile. Sellega seoses tuleb rõhutada, nagu Euroopa Andmekaitseinspektor on märkinud, et isikuandmete töötlemiseks õigusi omavate organisatsioonide esindajate poolt on vaja Prantsusmaa andmekaitse järelevalveasutuse, Commission nationale de l’informatique et des libertés’ (riiklik andmetöötluse ja vabaduste komisjon, CNIL) luba(10).
34. Pärast protokollide saamist ja automaatset kontrollimist eesmärgiga tagada, et need sisaldavad kõiki nõutavaid andmeid, võib Hadopi õiguste kaitse komisjon saada elektroonilise side teenuste pakkujatelt autoriõiguste rikkumise toimepanemiseks kasutatud abonendi omaniku isikuandmed, postiaadressi, e-posti aadressi ja telefoninumbrid.
35. Seejärel võib Hadopi saata sellele isikule „soovituse“, milles teavitatakse teda sellest, et tema internetiühendust on kasutatud autoriõigust rikkuval viisil, ja antakse isikule teada, et ta ei ole täitnud oma hoolsuskohustust seoses autoriõiguse või sellega kaasnevate õigustega kaitstud teoste kaitsmisega internetis. Teisisõnu on soovitus adresseeritud internetiühenduse omanikule, kes võib tegelikult olla keegi muu kui isik, kes tegi teose kättesaadavaks autoriõigust rikkudes. Teise soovituse võib saata juhul, kui sama internetiühenduse kaudu tuvastatakse teine rikkumine. Rikkumiste jätkumise korral võib Hadopi õiguste kaitse komisjon otsustada pöörduda vabariigi prokuröri poole kriminaalmenetluse alustamiseks. Seejuures, nagu Prantsuse valitsus oma esialgsetes seisukohtades märkis, on Hadopi ametnikud, kes vastutavad järkjärgulise reageerimise mehhanismi eest, vannutanud ja volitanud Hadopi president; nad on kohustatud hoidma ametisaladust ja on ainsad, kellel on Hadopis juurdepääs selle mehhanismi raames töödeldavatele isikuandmetele.
36. Sellega seoses pean märkima, et kogutud ja Hadopile edastatud andmed ei hõlma kõiki võrdvõrkude kasutajaid, kes lihtsalt laadivad sellist sisu alla,(11) vaid ainult neid, kes on rikkumisega seotud sisu kättesaadavaks teinud, st kes on sellise sisu üles laadinud.
37. Näitena võib märkida, et 2021. aastal sai Hadopi ligi 4 miljonit protokolli õiguste omajate organisatsioonidelt, saatis 210 595 esimest soovitust ja 53 564 teist soovitust ning edastas 1484 juhtumit vabariigi prokurörile.
38. Pärast neid märkusi näitan, kuidas selline mehhanism, mis hõlmab IP‑aadressidele vastavate identiteediandmete säilitamist ja neile juurdepääsu, vastab minu arvates direktiivi 2002/58 artikli 15 lõike 1 alusel võetud liikmesriigi meetmeid käsitleva kohtupraktika nõuetele.
B. Kooskõla Euroopa Kohtu kohtupraktikast tulenevate nõuetega direktiivi 2002/58 artikli 15 lõike 1 tõlgendamisel
39. Olles juba oma esimeses ettepanekus vaadanud läbi Euroopa Kohtu kohtupraktika seoses ühenduse allikale omistatud IP-aadresside säilitamise ja nendele juurdepääsuga,(12) keskendun käesolevas ettepanekus sellele, mis minu arvates moodustab selle kohtupraktika tuuma, nimelt ühelt poolt proportsionaalsuse nõue ja teiselt poolt, seoses nendele andmetele juurdepääsuga, võimalik vajadus kohtu või sõltumatu haldusasutuse eelneva kontrolli järele.
1. Vaadeldava meetme proportsionaalsus
40. Selleks et teha kindlaks, kas IP-aadressile vastavate identiteediandmete säilitamise või neile juurdepääsu meede on kooskõlas liidu õigusega, tuleb, nagu Euroopa Kohus korduvalt rõhutab, ühitada erinevad õigustatud huvid ja asjaomased õigused, milleks on ühelt poolt harta artiklitega 7 ja 8 tagatud õigus eraelu kaitsele ja isikuandmete kaitsele ning teiselt poolt teiste isikute õiguste ja vabaduste kaitse(13) ning harta artiklites 3, 4, 6 ja 7 sätestatud õigused ja vabadused(14). Lisan, et vaadeldaval juhul tuleb eraelu puutumatuse ja isikuandmete kaitse õigused ühitada ka harta artiklis 17 sätestatud õigusega omandile, kuna järkjärgulise reageerimise mehhanismi eesmärk on lõppkokkuvõttes kaitsta autoriõigust ja sellega kaasnevaid õigusi.
41. Sellega seoses märgib Euroopa Kohus, et selline direktiivi 2002/58 artikli 15 lõike 1 kohane ühitamine võimaldab liikmesriikidel võtta meetmeid, mis kalduvad kõrvale konfidentsiaalsuse põhimõttest, kui selline meede on „demokraatlikus ühiskonnas vajalik, otstarbekas ja proportsionaalne“ (kohtujuristi kursiiv). Kõnealuse direktiivi põhjenduses 11 on selle kohta märgitud, et selline meede peab olema „rangelt“ proportsionaalne taotletava eesmärgiga(15).
42. Euroopa Kohus viitab kogu oma põhjenduskäigus direktiivi 2002/58 artikli 15 lõike 1 tõlgendamise kohta ka proportsionaalsuse põhimõttele ja teeb selle põhimõtte seega selle sätte alusel võetud isikuandmete säilitamise või neile juurdepääsu käsitleva liikmesriigi meetme kontrollimise nurgakiviks.
43. Selle põhjenduse põhjalikumal analüüsil ilmneb, et proportsionaalsuse põhimõttel on direktiivi 2002/58 artikli 15 lõike 1 kontekstis erinevad aspektid, mis on seotud ühelt poolt liiklusandmete säilitamise või neile juurdepääsu võimaldamisega kaasneva põhiõiguste riive raskusega ja teiselt poolt kõnealuse meetme vajalikkusega.
44. Seoses Hadopi poolt IP-aadressidele vastavate identiteediandmete säilitamise ja nendele juurdepääsu võimaldamisega olen seisukohal, et nii riive raskus kui ka nende andmete hädavajalikkus peaksid panema Euroopa Kohtu kohandama direktiivi 2002/58 artikli 15 lõike 1 alusel võetud liikmesriigi meetme proportsionaalsuse kontrollimist.
a) Põhiõiguste riive raskus
45. Euroopa Kohtu väljakujunenud kohtupraktikast tuleneb selgelt, et proportsionaalsuse põhimõtte kohaselt peab direktiivi 2002/58 artikli 15 lõike 1 alusel võetud meetmega järgitava eesmärgi olulisus olema vastavuses meetmest tuleneva riive raskusega(16).
46. Eelkõige leidis Euroopa Kohus, nagu ma oma esimeses ettepanekus rõhutasin, et rasket riivet süütegude ennetamisel, uurimisel, avastamisel ja menetlemisel saab põhjendada üksnes võitlusega sellise kuritegevuse vastu, mida tuleb samuti kvalifitseerida „raskeks“(17).
47. Seoses IP-aadressidega märgib Euroopa Kohus, et kuigi need on vähem tundlikud kui muud liiklusandmed, kujutab nende säilitamine ja analüüs siiski endast põhiõiguste rasket riivet, kuna neid võib kasutada internetikasutaja sirvimisajaloo ammendavaks jälgimiseks ja sellest tulenevalt tema üksikasjaliku profiili koostamiseks ning täpsete järelduste tegemiseks tema eraelu kohta(18).
48. Põhikohtuasjas on IP-aadressidele vastavate identiteediandmete säilitamise ja neile juurdepääsu eesmärk võidelda autoriõiguse ja sellega kaasnevate õiguste rikkumiste vastu. Minu arvates on aga selge, et see võitlus ei saa kuuluda raskete kuritegude vastase võitluse alla,(19) isegi kui nende rikkumiste arv on väga suur. Seega esineb lahknevus kõnealuse meetmega kaasneva põhiõiguste riive raskuse ja sellega taotletava eesmärgi vahel.
49. Oma esimeses ettepanekus leidsin kooskõlas Euroopa Kohtu praktikaga, et Hadopi juurdepääs IP-aadressile vastavatele identiteediandmetele kujutab endast rasket põhiõiguste riivet. Kuna ma leidsin ühtlasi, et selliste andmete säilitamine ja neile juurdepääs peaks siiski olema käesolevas kohtuasjas lubatud, pean ma pärast kohtuistungit esitama veel mõned selgitused.
50. Järkjärgulise reageerimise mehhanism võimaldab Hadopil seostada õiguste omajate organisatsioonide edastatud IP-aadressi, mis kuulub isikule, keda kahtlustatakse selles, et ta on kasutanud oma internetiühendust autoriõiguste rikkumiseks võrdvõrgus, selle isiku identiteediandmetega koos autoriõigusi rikkudes üleslaetud faili väljavõttega. Nagu komisjon ja Euroopa Andmekaitseinspektor kohtuistungil märkisid, ei võimalda sellised elemendid, kuigi need annavad kindlasti rohkem teavet kui ainult väidetava rikkuja isiku tuvastamine, siiski teha väga täpseid järeldusi selle isiku eraelu kohta. Nimelt, nagu ma oma esimeses ettepanekus nimetasin,(20) on tegemist üksnes konkreetsel ajal vaadatud failiga, mis eraldi võttes ei võimalda koostada selle toimingu teostanud isiku üksikasjalikku profiili.
51. See vastab tõele seda enam, et valdav osa Hadopile edastatud IP‑aadressidest on nn dünaamilised IP-aadressid, mis on oma olemuselt muutuvad ja vastavad konkreetsele identiteedile ainult ühel hetkel, mis langeb kokku asjaomase sisu kättesaadavaks tegemisega. Seega välistavad need mis tahes ammendava jälgimise.
52. Järgmiseks pean rõhutama, et põhiõiguste kaitse internetis ei näi mulle õigustavat juurdepääsu keelamist ainult IP-aadressi, teose sisu ja autoriõigust rikkuva teose kättesaadavaks teinud isiku andmetele, vaid üksnes seda, et selliste andmete säilitamise ja neile juurdepääsu andmisega peavad olema seotud kaitsemeetmed. Minu arvates on ilmekas analoogia reaalmaailmaga: isik, keda kahtlustatakse varguse toimepanemises, ei saa tugineda oma eraelu puutumatuse kaitsega seotud õigusele, et selle süüteo uurimise eest vastutavad isikud ei saaks teada varguse objektist. Teisalt võib see isik täiesti õigustatult tugineda oma põhiõigustele, tagamaks, et menetluse käigus ei antaks juurdepääsu andmekogumile, mis on laiem kui see, mis on vajalik väidetava süüteo kvalifitseerimiseks.
53. Lõpetuseks märgin, et vastupidi hagejate väitele ei näi järkjärgulise reageerimise mehhanism hõlmavat võrdvõrkude kasutajate üldist jälgimist. Tegelikult ei ole küsimus mitte selles, et kontrollida kogu nende tegevust konkreetses võrgus, et teha kindlaks, kas nad on teinud autoriõigust rikkuva teose kättesaadavaks, vaid pigem selles, et tuvastatud rikkumisega seotud faili põhjal tuleb kindlaks teha selle internetiühenduse omanik, mille kaudu internetikasutaja tegi teose kättesaadavaks. Samuti, nagu Euroopa Andmekaitseinspektor kohtuistungil rõhutas, ei ole küsimus kõigi võrdvõrkude kasutajate tegevuse jälgimises, vaid ainult nende isikute tegevuse jälgimises, kes laadivad üles rikkumisega seotud faile, kusjuures selliste failide üleslaadimine paljastab seda vähem üksikisiku eraelu puudutavaid elemente, kuivõrd see võib toimuda üksnes selleks, et võimaldada nendel internetikasutajatel hiljem teisi faile alla laadida.
54. Neil asjaoludel ei tundu mulle, et põhjused, mis viisid Euroopa Kohtu seisukohale, et IP-aadresside säilitamine ja neile juurdepääs on raske põhiõiguste riive, kehtivad sellise järkjärgulise reageerimise mehhanismi suhtes, mida kasutab Hadopi. Sellest järeldub, et sellise säilitamise ja juurdepääsuga kaasneva riive raskust tuleks proportsionaalsuse põhimõtte kontrollimisel kaaluda.
55. Teisisõnu olen seisukohal, et Euroopa Kohtu praktikat IP-aadresside säilitamise ja nendele juurdepääsu põhjustatud põhiõiguste riive raskuse kohta tuleks tõlgendada nii, et see ei tähenda, et selline riive on alati raske, vaid see on raske ainult siis, kui IP-aadressid võivad viia internetikasutaja navigeerimisharjumuste põhjaliku jälgimiseni ja väga täpsete järelduste tegemiseni tema eraelu kohta.
56. Kuna põhikohtuasjas käsitletava olukorra puhul ei olnud see nii, siis tuleneb sellest, et riivet, mis kaasneb autoriõigust rikkuva sisu kättesaadavaks tegemiseks kasutatud IP-aadressile vastavate identiteediandmete säilitamise ja neile juurdepääsu võimaldamisega, peaks olema võimalik õigustada kuritegevuse vastu võitlemise eesmärgiga, mis on laiem kui üksnes raske kuritegevus.
57. Juhin samuti tähelepanu sellele, et põhiõiguste riivet, mis kaasneb IP‑aadressile vastavate identiteediandmete säilitamise ja neile juurdepääsu võimaldamisega sellises olukorras nagu põhikohtuasjas, ei raskenda asjaolu, et rikkumisega seotud sisu kättesaadavaks tegemiseks kasutatud internetiühenduse omanik ei ole tingimata isik, kes selle sisu kättesaadavaks tegi, nii et Hadopi antud soovitus võib viia selle sisu omanikule avalikustamiseni, millele kolmandal isikul võis olla juurdepääs. Ühest küljest juhin tähelepanu sellele, et Hadopi välja toodud õigusrikkumine on selle kohustuse täitmata jätmine, et juurdepääsu ei kasutataks autoriõigust rikkuva sisu kättesaadavaks tegemiseks. Seetõttu on vajalik, et teave, mis võimaldab õigusrikkumist kvalifitseerida, edastatakse väidetavale õigusrikkujale. Teiselt poolt, nagu ma juba märkisin, olen seisukohal, et kõnealust teost puudutav teave ei võimalda teha täpseid järeldusi selle isiku eraelu kohta, kes selle kättesaadavaks tegi. Selle teabe võimalik edastamine internetiühenduse omanikule ei lähe seega kaugemale sellest, mis on vajalik kõnealuse autoriõiguse rikkumise menetlemiseks.
b) Kõnealused andmed on hädavajalikud kuriteo avastamiseks ja selle menetlemiseks
58. Selleks et tagada sellise direktiivi 2002/58 artikli 15 lõike 1 alusel võetud meetme proportsionaalsus, mis näeb ette selliste liiklusandmete nagu IP-aadressile vastavad identiteediandmed säilitamise ja nendele juurdepääsu, on Euroopa Kohtu praktika kohaselt vaja, et sellega kaasnev riive piirduks sellega, mis on hädavajalik taotletava eesmärgi saavutamiseks(21). Mulle tundub, et põhikohtuasjas käsitletava meetme puhul on see just nii.
59. Nagu ma oma esimeses ettepanekus rõhutasin,(22) tuleneb Euroopa Kohtu enda kohtupraktikast, et kui tegemist on üksnes veebis toime pandud rikkumisega, näiteks autoriõiguse rikkumisega võrdvõrgus, võib IP-aadress olla ainus uurimisvahend, mis võimaldab tuvastada isiku, kellele see aadress rikkumise toimepanemise ajal oli omistatud(23). Sellest järeldub minu arvates, et IP‑aadressidele vastavate identiteediandmete säilitamine ja neile juurdepääs veebis toime pandud autoriõiguse rikkumiste avastamiseks ja nende menetlemiseks on vastavalt kohtupraktikale hädavajalik taotletava eesmärgi saavutamiseks.
60. Vastab tõele, et igasugune nõue kaitsta isikuandmeid tähendab uurimisvolituste piiramist. See tuleneb vastuoluliste huvide ühitamise põhimõttest ja seda ei saa vaidlustada. Kui aga IP-aadress on ainus vahend veebis intellektuaalomandiõiguse rikkumises kahtlustatava isiku tuvastamiseks, erineb selline olukord enamikust kriminaalmenetlustest, mille puhul märgib Euroopa Kohus, et „[…] tõhusus ei sõltu üldiselt ühest uurimisvahendist, vaid kõigist pädevate riigiasutuste käsutuses olevatest uurimisvahenditest“(24). Kui tunnistada, et IP-aadressidele vastavaid identiteediandmeid ei tohiks sellises olukorras, nagu on kõne all põhikohtuasjas, säilitada ja neile juurdepääsu võimaldada, ei tooks see, nagu mis tahes liiklusandmete kaitset tagav meede, kaasa pelgalt uurimisvolituste piiramist, vaid pigem selle, et liikmesriigi ametiasutused jäetakse ilma ainsast vahendist, mis võimaldab teatud süütegude avastamist ja nende menetlemist.
61. Teisisõnu, vastavalt minu ettepanekus sisalduvale direktiivi 2002/58 artikli 15 lõike 1 tõlgendusele ei ole küsimus selles, et sellise meetme vajalikkuse kontrollimise abil lubatakse selliste andmete säilitamine ja neile juurdepääs, mis üksnes hõlbustavad rikkumiste avastamist ja nende menetlemist, kui neid rikkumisi saab tuvastada ja neid saab menetleda ka muude vahenditega, isegi kui need on vähem tõhusad. Tegemist on seevastu selliste andmete säilitamise ja nendele juurdepääsu lubamisega juhul, kui see on vajalik sellise isiku tuvastamiseks, keda kahtlustatakse süüteo toimepanemises, mille eest ei saaks teda ilma nende vahenditeta vastutusele võtta, kuna kõnealused andmed on ainus vahend internetikasutaja tuvastamiseks, kuivõrd süütegu on toime pandud üksnes veebis.
62. Minu arvates on selline tõlgendus vajalik, kui ei nõustuta sellega, et terve rea süütegude suhtes ei saa kunagi menetlust alustada(25).
63. Kõigest eelnevast tuleneb, et minu arvates on liikmesriigi õigusnormid, mis lubavad elektroonilise side teenuste osutajatel säilitada IP-aadressidele vastavaid identiteediandmeid ja võimaldavad haldusasutusel neile juurdepääsu, täielikult proportsionaalsed taotletava eesmärgiga, st kaitsta autoriõigusi ja sellega kaasnevaid õigusi nende õiguste suhtes internetis toime pandavate rikkumise eest, kui sellega seotud põhiõiguste riive on piiratud raskusastmega ja kui sellised andmed on ainus uurimisvahend, mille abil saab tuvastada isiku, kellele see aadress süüteo toimepanemise ajal oli omistatud.
64. Seetõttu olen seisukohal, et direktiivi 2002/58 artikli 15 lõiget 1 tuleb tõlgendada nii, et sellega ei ole sellised õigusnormid vastuolus.
2. Piisavate materiaalõiguslike ja menetluslike tagatiste olemasolu
65. Mis puudutab konkreetselt juurdepääsu IP-aadressidele vastavatele isikuandmetele, siis tuleneb Euroopa Kohtu praktikast, et ainult meetme rangest proportsionaalsusest ei piisa, et muuta see kokkusobivaks direktiivi 2002/58 artikli 15 lõikega 1.
66. Seejuures, tagamaks, et juurdepääs liiklus- ja asukohaandmetele piirduks üksnes hädavajalikuga, on Euroopa Kohus otsustanud, et sellist juurdepääsu peab enne kontrollima kas kohus või sõltumatu haldusorgan, kellel on kõik volitused ja kõik vajalikud tagatised, et tagada erinevate asjaomaste õigustatud huvide ja õiguste ühitamine(26).
67. Kohtupraktika range tõlgendamine viiks seega järeldusele, et Hadopi juurdepääs identiteediandmetele, mis vastavad internetis autoriõiguste rikkumises kahtlustatavate isikute IP-aadressidele, peaks olema allutatud sellisele eelnevale kontrollile, mis puudub praeguses järkjärgulise reageerimise mehhanismis.
68. Kuid nagu Iiri valitsus kohtuistungil väitis ja nagu ma väitsin oma esimeses ettepanekus, olen seisukohal, et kohtu või sõltumatu haldusorgani eelneva kontrolli nõue ei ole süstemaatiline nõue, vaid sõltub kõnealuse meetme üldisemast analüüsist, võttes arvesse nii sellega kaasneva riive raskust kui ka sellega ette nähtud kaitsemeetmeid.
69. Juhin nimelt tähelepanu sellele, et kõigis kohtuotsustes, milles sedastati kohtu või sõltumatu haldusorgani eelneva kontrolli nõue, oli tegemist liikmesriigi õigusnormidega, mis võimaldavad juurdepääsu kõikidele liiklus- ja asukohaandmetele, mis on seotud kasutajate kõikide elektroonilise side vahenditega(27) või vähemalt tuvastatud kasutajate laua- ja mobiiltelefonide andmetega(28).
70. Sellest järeldan, et sellise eelkontrolli nõue tuleneb kõnealustel juhtudel käsitletava riive raskusest. Euroopa Kohus rõhutas, et kõnealused andmed „võimaldavad teha väga täpseid järeldusi […] isikute eraelu kohta, […], näiteks nende igapäevaelu harjumuste, alalise või ajutise elukoha, igapäevaste või muude liikumiste, tegevuste, sotsiaalsete suhete ja ühiskonnagruppide kohta, kellega nad läbi käivad“(29). Lisaks sellele sisaldasid asjaomased andmed nende isikute andmeid, kes olid juba teiste tõendite alusel tuvastatud ja keda kahtlustati kuriteo toimepanemises, ning andmed võimaldasid tugevdada asjaomasele kasutajale esitatud süüdistust, laiendades teda puudutavate andmete ulatust.
71. Mis puutub aga põhikohtuasjas käsitletavatesse õigusnormidesse, siis nagu ma rõhutasin, on identiteediandmete ja IP-aadressi sidumisega kaasnev riive palju väiksem kui see, mis tuleneb juurdepääsust üksikisiku kõikidele liiklus- ja asukohaandmetele, kuivõrd see sidumine ei anna mingit teavet, mis võimaldaks teha täpseid järeldusi asjaomase isiku eraelu kohta.
72. Lisaks, nagu ma oma esimeses ettepanekus märkisin,(30) puudutavad need andmed ainult isikuid, kes pärast objektiivset tuvastamist, et IP-aadressi kasutamine rikub õiguste omajate organisatsioonide kehtestatud autoriõigust, on sooritanud toiminguid, mis võivad kujutada endast intellektuaalomandi seadustiku artiklis L.336‑3 sätestatud hoolsuskohustuse rikkumist. Andmed ei ole enne muul viisil tuvastatud, kuna IP-aadressi sidumine identiteediandmetega on ainus vahend andmesubjekti tuvastamiseks. Juurdepääs nendele andmetele ei võimalda seega, nagu Euroopa Kohtu varem lahendatud kohtuasjades, saada juba teiste elementide alusel täiendavat ja täpset teavet kahtlustatavate isikute tegevuse kohta, vaid üksnes muuta IP-aadress kasutatavaks, sest muidu ei pakuks see huvi. Sellises olukorras on Hadopi juurdepääs andmetele de facto piiratud.
73. Minu arvates on põhimõtteline erinevus selle vahel, kas juurdepääs sellise isiku isikuandmetele, keda kahtlustatakse süüteo toimepanemises, on vajalik tema süü tõendamiseks või juba tuvastatud süüteo toimepanija isiku tuvastamiseks.
74. Minu arvates vastab see tõele seda enam, et IP-aadresside kogumiseks võrdvõrkudes on vaja eelnevat luba, mis piirdub ainult nende andmetega, nii et Hadopi ei saa kunagi kasutada piiramatut hulka andmeid internetikasutajate kohta, keda kahtlustatakse autoriõiguste rikkumises internetis(31).
75. Järelikult ei ole kohtu või sõltumatu haldusorgani eelneva kontrolli nõude aluseks olev loogika kohaldatav sellise järkjärgulise reageerimise mehhanismi puhul, nagu on kõne all põhikohtuasjas, mistõttu ei tundu selline nõue mulle vajalik tagamaks, et selle mehhanismiga kaasnev põhiõiguste riive piirduks üksnes hädavajalikuga.
76. Kõigest eelpool esitatust tuleneb, et liikmesriigi õigusnormid, mis lubavad sellisel sõltumatul haldusasutusel nagu Hadopi säilitada ja võimaldada juurdepääsu IP-aadressidele vastavatele identiteediandmetele, et tuvastada nende aadresside omanikud, keda kahtlustatakse autoriõiguste rikkumises, ilma et see juurdepääs alluks kohtu või sõltumatu haldusasutuse eelnevale kontrollile, on in fine kooskõlas Euroopa Kohtu praktikas sätestatud põhimõtetega, kui need andmed on ainus vahend selle isiku tuvastamiseks, kellele IP-aadress oli süüteo toimepanemise ajal omistatud, mistõttu direktiivi 2002/58 artikli 15 lõiget 1 tuleb tõlgendada nii, et sellega ei ole kõnealused õigusnormid vastuolus.
77. Lisaks nendele põhikohtuasja spetsiifilistele kaalutlustele pean tegema mõned üldisemad märkused vajaduse kohta arendada Euroopa Kohtu praktikat sellisel viisil.
C. Kohtupraktika vajalik, kuid piiratud areng
78. Mitu argumenti räägivad selle poolt, et Euroopa Kohtu praktikat selliste andmete, nagu identiteediandmetega seotud IP-aadresside säilitamise ja nendele juurdepääsu kohta tuleb täpsustada.
79. Esiteks, nagu ma juba märkisin,(32) on põhikohtuasjas kõne all olevas olukorras IP-aadressile vastavate identiteediandmete saamine ainus uurimisvahend, mis võimaldab tuvastada isiku, kellele see aadress oli kõnealuse süüteo toimepanemise ajal omistatud.
80. Sellest järeldub paratamatult, et kui Euroopa Kohus peaks otsustama, et direktiivi 2002/58 artikli 15 lõige 1 keelab siiski nende andmete säilitamise ja neile juurdepääsu, jäävad liikmesriigi ametiasutused de facto ilma sellest ainsast identifitseerimisvahendist ja sellega seoses ei saaks kõnealuse süüteo toimepanijate suhtes kunagi menetlust alustada(33). Seetõttu tõstatasin oma esimeses ettepanekus võimaluse, et selle süüteo puhul on tegemist süsteemse karistamatusega(34).
81. Süsteemse karistamatuse oht ei piirdu ainult võrdvõrkudes toime pandud autoriõiguse rikkumistega, vaid laieneb, nagu Tšehhi valitsus kohtuistungil väitis, kõigile üksnes veebis toime pandud rikkumistele.
82. Nimelt ei saaks süütegude suhtes, mille toimepanijaid saab tuvastada ainult nende IP-aadresside alusel, kunagi menetlust läbi viia ja nende eest karistusi sätestavaid õigusakte ei saaks kunagi kohaldada, kui leitakse, et nii nende andmete säilitamine kui ka neile juurdepääs on vastuolus liidu õigusega.
83. Sellega seoses märgin, et nagu põhikohtuasja kaebajad on väitnud, vastab tõele, et teoreetiliselt võiksid teised vahendid võimaldada teatavate üksnes veebis toime pandud kuritegude toimepanijate tuvastamist. Eelkõige viidatakse sotsiaalvõrgustikes kasutatavale identifikaatorile ja kasutaja kontoga seotud andmetele, e-posti aadressile, telefoninumbrile või mis tahes elemendile tema eraelu kohta, mida isik on võinud avaldada. Selliste andmete sidumiseks isiku identiteediga on aga vaja põhjalikku uurimist, mille käigus analüüsitakse internetikasutaja tegevust internetis. Seega tundub mulle, et selliste uurimisvahendite kasutamine võimaldab tõenäoliselt teha väga täpseid järeldusi isikute eraelu kohta, erinevalt üksnes IP-aadresside kasutamisest, nii et selliste andmete säilitamine ja nendele juurdepääs oleks selles mõttes vastuolus direktiivi 2002/58 artikli 15 lõikega 1.
84. Sellises olukorras ei ole juurdepääs internetikasutaja IP-aadressile vastavatele identiteediandmetele kindlasti ainus teoreetiline uurimisvahend, mis võimaldab tuvastada isiku, kellele see aadress oli süüteo toimepanemise ajal omistatud, kuid see on ainus vahend, mis toob kaasa selle isiku põhiõiguste väikseima riive ja väldib seega tema üldist karistamatust.
85. Teiseks rõhutan veel kord, et selline lahendus võimaldaks minu arvates ületada vastuolu Euroopa Kohtu praktikas, mis on põhjustanud teatud pingeid, mida ma tuvastasin oma esimeses ettepanekus(35) ja M.I.C.M. kohtuasjaga seotud ettepanekus,(36) nimelt ühelt poolt kohtupraktika, mis käsitleb andmete säilitamist ja neile juurdepääsu, ning teiselt poolt kohtupraktika, mis käsitleb ühenduse allikale omistatud IP-aadresside edastamist eraisikute poolt esitatud intellektuaalomandi õiguste kaitse hagide raames.
86. Kolmandaks, kuigi Euroopa Kohtu praktika alates kohtuotsustest Tele2 ja La Quadrature du Net jt on tervitatav, kuna see on võimaldanud luua raamistiku elektroonilise side teenuste kasutajate põhiõiguste kaitsmiseks, iseloomustab seda siiski teatav kasuistlikkus. Nimelt on Euroopa Kohus menetluses olevate kohtuasjade käigus järk-järgult täpsustanud oma kohtupraktikat, mis võimaldab tal uurida erinevaid liikmesriikide õigusnorme direktiivi 2002/58 artikli 15 lõike 1 kontekstis. Siiski on Euroopa Kohtul võimatu ette näha kõiki võimalikke meetmeid, mida võiks selle sätte alusel analüüsida. Seda kinnitab ka hulk eelotsusetaotlusi,(37) mis on Euroopa Kohtule esitatud pärast kohtuotsust Tele2, mis minu arvates näitab, et liikmesriigi kohtutel võib olla raskusi Euroopa Kohtu praktikas sätestatud põhimõtete kohaldamisel olukordades, mis erinevad kõnealused kohtuotsused põhjustanud olukordadest(38).
87. Sellest järeldub, et teatav paindlikkus tundub mulle vajalik, kui Euroopa Kohtule esitatakse arutamiseks meetmeid, mida varasemates kohtuotsustes ei olnud võimalik ette näha, näiteks õigusnormid, mis käsitlevad süütegusid, mida saab menetleda ainult niivõrd, kuivõrd IP-aadressidele vastavad identiteediandmed on säilitatud ja kättesaadavad, ja millega Euroopa Kohus ei ole seni pidanud kunagi tegelema.
88. Seega ei ole küsimus, nagu Taani valitsus väitis, Euroopa Kohtu praktika uuesti läbivaatamises, vaid selles, et selle aluseks olevate põhimõtete alusel võib väga piiratud asjaoludel jõuda nüansirikkama lahenduseni.
89. Nimelt lubab minu ettepanekus sisalduv direktiivi 2002/58 artikli 15 lõike 1 tõlgendus IP-aadressidele vastavate identiteediandmete säilitamist ja neile juurdepääsu üksnes seoses selliste süütegude menetlemisega, mille toimepanijad ei ole selliste andmete puudumisel tuvastatavad. See tõlgendus on seega suunatud üksnes internetis toime pandud süütegudele ega sea kahtluse alla kohtupraktikas sätestatud lahendusi, mis on seotud laiemate andmete säilitamise ja neile juurdepääsuga ning muude eesmärkide saavutamisega.
V. Ettepanek
90. Tuginedes eelpool esitatud kaalutlustele, teen Euroopa Kohtule ettepaneku vastata Conseil d’État’ (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) esitatud eelotsuse küsimustele järgmiselt:
Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv), mida on muudetud Euroopa Parlamendi ja nõukogu 25. novembri 2009. aasta direktiiviga 2009/136/EÜ, artikli 15 lõiget 1 koostoimes Euroopa Liidu põhiõiguste harta artiklitega 7, 8 ja 11 ning artikli 52 lõikega 1
tuleb tõlgendada nii, et
sellega ei ole vastuolus liikmesriigi õigusnormid, mis lubavad elektroonilise side teenuste osutajatel koguda IP-aadressidele vastavaid identiteediandmeid ja võimaldavad haldusasutusele, kelle ülesanne on kaitsta autoriõigusi ja sellega kaasnevaid õigusi nende õiguste suhtes internetis toime pandavate rikkumiste eest, piiratud juurdepääsu neile andmetele, et see asutus saaks tuvastada nende aadresside omanikud, keda kahtlustatakse nende õiguste rikkumistes, ja võtta vajaduse korral nende vastu meetmeid, ilma et kohus või sõltumatu haldusorgan peaks sellist juurdepääsu enne kontrollima, kui sellised andmed on ainus uurimisvahend, mille abil saab tuvastada isikud, kellele need aadressid süüteo toimepanemise ajal olid omistatud.