ROZSUDEK SOUDNÍHO DVORA (velkého senátu)

20. září 2022(*)

[znění opravené usnesením ze dne 27. října 2022]

„Řízení o předběžné otázce – Zpracování osobních údajů v odvětví elektronických komunikací – Důvěrný charakter sdělení – Poskytovatelé služeb elektronických komunikací – Plošné a nerozlišující uchovávání provozních a lokalizačních údajů – Směrnice 2002/58/ES – Článek 15 odst. 1 – Listina základních práv Evropské unie – Články 6, 7, 8 a 11, jakož i čl. 52 odst. 1 – Článek 4 odst. 2 SEU“

Ve spojených věcech C‑793/19 a C‑794/19,

jejichž předmětem jsou žádosti o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podané rozhodnutími Bundesverwaltungsgericht (Spolkový správní soud, Německo) ze dne 25. září 2019, došlými Soudnímu dvoru dne 29. října 2019, v řízeních

Bundesrepublik Deutschland, zastoupená Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen,

proti

SpaceNet AG (C‑793/19),

Telekom Deutschland GmbH (C‑794/19),

SOUDNÍ DVŮR (velký senát),

ve složení K. Lenaerts, předseda, A. Arabadžev, A. Prechal, S. Rodin, I. Jarukaitis a I. Ziemele, předsedové senátů, T. von Danwitz, M. Safjan, F. Biltgen, P. G. Xuereb (zpravodaj), N. Piçarra, L. S. Rossi a A. Kumin, soudci,

generální advokát: M. Campos Sánchez-Bordona,

vedoucí soudní kanceláře: D. Dittert, vedoucí oddělení,

s přihlédnutím k písemné části řízení a po jednání konaném dne 13. září 2021,

s ohledem na vyjádření předložená:

–        za Bundesrepublik Deutschland, zastoupenou Bundesnetzagentur für Elektrizität Gas, Telekommunikation, Post und Eisenbahnen, C. Mögelinem, jako zmocněncem,

–        [ve znění oprav provedených usnesením ze dne 27. října 2022] za SpaceNet AG M. Bäckerem, Universitätsprofessor,

–        za Telekom Deutschland GmbH T. Mayenem, Rechtsanwalt,

–        za německou vládu J. Möllerem, F. Halibim, M. Hellmannem, D. Klebsem a E. Lankenauem, jako zmocněnci,

–        za dánskou vládu M. Jespersenem, J. Nymann-Lindegrenem, V. Pasternak Jørgensen a M. Søndahl Wolff, jako zmocněnci,

–        za estonskou vládu A. Kalbus a M. Kriisa, jako zmocněnkyněmi,

–        za Irsko A. Joycem a J. Quaney, jako zmocněnci ve spolupráci s D. Fennellym, BL, a P. Gallagherem, SC,

–        za španělskou vládu L. Aguilera Ruizem, jako zmocněncem,

–        za francouzskou vládu A. Daniel, D. Duboisem, J. Illouzem, E. de Moustier a T. Stéhelinem, jako zmocněnci,

–        za kyperskou vládu I. Neophytou, jako zmocněnkyní,

–        za nizozemskou vládu M. K. Bulterman, A. Hanje a C. S. Schillemans, jako zmocněnkyněmi,

–        za polskou vládu B. Majczynou, D. Lutostańskou a J. Sawickou, jako zmocněnci,

–        za finskou vládu A. Laine a M. Perem, jako zmocněnci,

–        za švédskou vládu H. Eklinder, A. Falk, J. Lundberg, C. Meyer-Seitz, R. Shahsavan Eriksson a H. Shev, jako zmocněnkyněmi,

–        za Evropskou komisi G. Braunem, S. L. Kalėdou, H. Kranenborgem, M. Wasmeierem a F. Wilmanem, jako zmocněnci,

–        za Evropského kontrolora pro ochranu údajů A. Buchta, D. Nardim, N. Stoličem a K. Ujazdowskim, jako zmocněnci,

po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 18. listopadu 2021,

vydává tento

Rozsudek

1        Žádosti o rozhodnutí o předběžné otázce se týkají výkladu čl. 15 odst. 1 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514; oprava Úř. věst. 2014, L 290, s. 11), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (Úř. věst. 2009, L 337, s. 11) (dále jen „směrnice 2002/58“), ve spojení s články 6 až 8 a 11, jakož i s čl. 52 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“) a čl. 4 odst. 2 SEU.

2        Tyto žádosti byly předloženy v rámci sporů mezi Bundesrepublik Deutschland (Spolková republika Německo), zastoupenou Bundesnetzagentur für Elektrizität Gas, Telekommunikation, Post und Eisenbahnen (Spolková agentura pro elektrické, plynové, telekomunikační, poštovní a železniční sítě, Německo), a SpaceNet AG (věc C‑793/19) a Telekom Deutschland GmbH (věc C‑794/19) ve věci povinnosti uložené těmto společnostem uchovávat provozní a lokalizační údaje týkající se telekomunikací jejich zákazníků.

 Právní rámec

 Unijní právo

 Směrnice 95/46/ES

3        Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355) byla s účinkem od 25. května 2018 zrušena nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46 (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1; oprava Úř. věst. 2018, L 127, s. 2).

4        Článek 3 odst. 2 směrnice 95/46 stanovil:

„Tato směrnice se nevztahuje na zpracování osobních údajů:

–        prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva,

–        prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností.“

 Směrnice 2002/58

5        Body 2, 6, 7 a 11 odůvodnění směrnice 2002/58 uvádějí:

„(2)      tato směrnice usiluje o respektování základních práv a zachovává zásady uznané zejména v [Listině]. Tato směrnice zejména usiluje o to, aby byla plně dodržována práva stanovená v článcích 7 a 8 uvedené listiny;

[…]

(6)      internet převrací tradiční struktury trhu tím, že poskytuje společnou, obecnou infrastrukturu pro široký okruh služeb elektronických komunikací. Veřejně dostupné služby elektronických komunikací prostřednictvím internetu otevírají uživatelům nové možnosti, ale zároveň vytvářejí i nová rizika pro jejich osobní údaje a soukromí;

(7)      v případě sítí veřejných komunikací je nutno přijmout zvláštní právní, regulační a technická ustanovení na ochranu základních práv a svobod fyzických osob a ochranu oprávněných zájmů právnických osob, zejména s ohledem na zvyšující se kapacitu automatického uchovávání a zpracování údajů týkajících se účastníků a uživatelů;

[…]

(11)      tato směrnice, obdobně jako směrnice [95/46], se netýká ochrany základních práv a svobod ve vztahu k činnostem, které se neřídí právem [Unie]. Proto tato směrnice nemění stávající rovnováhu mezi právem jednotlivce na soukromí a možností, aby členské státy přijaly opatření uvedená v čl. 15 odst. 1 této směrnice, která jsou nezbytná pro ochranu veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské prosperity státu, pokud jsou tyto činnosti spojeny s otázkami bezpečnosti státu) a pro prosazování trestního práva. Tato směrnice se tedy nedotýká možnosti členských států provádět zákonné zachycování elektronických sdělení nebo přijímat jiná opatření, je-li to nezbytné pro některý z těchto účelů a je-li to v souladu s evropskou Úmluvou o ochraně lidských práv a základních svobod [podepsanou v Římě dne 4. listopadu 1950], jak je vykládána v rozhodnutích Evropského soudu pro lidská práva. Tato opatření musí být vhodná, plně přiměřená vzhledem k zamýšlenému účelu a nezbytná v demokratické společnosti a musí být předmětem odpovídajících záruk v souladu s evropskou Úmluvou o ochraně lidských práv a základních svobod.“

6        Článek 1 této směrnice, nadepsaný „Oblast působnosti a cíl“, stanoví:

„1.      Touto směrnicí se harmonizují předpisy členských států požadované pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací, a pro zajištění volného pohybu těchto údajů a elektronických komunikačních zařízení a služeb ve Společenství.

2.      Ustanovení této směrnice upřesňují a doplňují směrnici [95/46] pro účely uvedené v odstavci 1. Navíc poskytují ochranu oprávněných zájmů účastníků, kteří jsou právnickými osobami.

3.      Tato směrnice se nevztahuje na činnosti, které nespadají do oblasti působnosti [Smlouvy o FEU], jako činnosti uvedené v hlavách V a VI Smlouvy [EU], a v žádném případě na činnosti týkající se veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské prosperity státu, pokud jsou tyto činnosti spojeny s otázkami bezpečnosti státu) a na činnosti státu v oblasti trestního práva.“

7        Článek 2 uvedené směrnice, nadepsaný „Definice“, stanoví:

„Není-li stanoveno jinak, použijí se definice uvedené ve směrnici [95/46] a směrnici Evropského parlamentu a Rady 2002/21/ES ze dne 7. března 2002 o společném předpisovém rámci pro sítě a služby elektronických komunikací (rámcová směrnice) [(Úř. věst. 2002, L 108, s. 33; Zvl. vyd. 13/29, s. 349)].

Použijí se rovněž tyto definice:

a)      ‚uživatelem‘ se rozumí jakákoli fyzická osoba používající veřejně dostupnou službu elektronické komunikace pro soukromé či obchodní účely, přičemž není nezbytně nutné, aby byla účastníkem této služby;

b)      ‚provozními údaji‘ se rozumějí jakékoli údaje zpracovávané pro účely přenosu sdělení sítí elektronických komunikací nebo pro jeho účtování;

c) ‚lokalizačními údaji‘ se rozumějí jakékoli údaje zpracovávané v síti elektronických komunikací nebo službou elektronických komunikací, které určují zeměpisnou polohu koncového zařízení uživatele veřejně dostupné služby elektronických komunikací;

d)      ‚sdělením‘ se rozumí jakákoli informace, která se vyměňuje nebo přenáší mezi určitým počtem zúčastněných stran prostřednictvím veřejně dostupné služby elektronických komunikací; toto nezahrnuje informace přenášené jako součást vysílání pro veřejnost prostřednictvím sítě elektronických komunikací s výjimkou případů, kdy lze informace přiřadit k identifikovatelnému účastníku nebo uživateli, který tyto informace přijímá;

[…]“

8        Článek 3 směrnice 2002/58, nadepsaný „Dotčené služby“, stanoví:

„Tato směrnice se vztahuje na zpracování osobních údajů ve spojení s poskytováním veřejně dostupných služeb elektronických komunikací ve veřejných komunikačních sítích ve Společenství, včetně veřejných komunikačních sítí podporujících zařízení pro shromažďování a identifikaci údajů.“

9        Článek 5 této směrnice, nadepsaný „Důvěrný charakter sdělení“, zní:

„1.      Členské státy zajistí prostřednictvím vnitrostátních právních předpisů důvěrný charakter sdělení přenášených pomocí veřejné komunikační sítě a veřejně dostupných služeb elektronických komunikací a s nimi souvisejících provozních údajů. Zejména zakáží příposlech, odposlech, uchovávání nebo jiné druhy zachycování či sledování sdělení a s nimi souvisejících provozních údajů osobami jinými než uživateli bez souhlasu dotčených uživatelů, pokud k takovému jednání nejsou zákonem oprávněny v souladu s čl. 15 odst. 1. Tento odstavec nebrání technickému uchovávání, které je nezbytné pro přenos sdělení, aniž by tím byla dotčena zásada důvěrnosti.

[…]

3.      Členské státy zajistí, aby uchovávání informací nebo získávání přístupu k již uchovávaným informacím bylo v koncovém zařízení účastníka nebo uživatele povoleno pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí [95/46], mimo jiné o účelu zpracování. To nebrání technickému ukládání nebo takovému přístupu, jehož jediným účelem je provedení přenosu sdělení prostřednictvím sítě elektronických komunikací, nebo je-li to nezbytně nutné k tomu, aby mohl poskytovatel služeb informační společnosti poskytovat služby, které si účastník nebo uživatel výslovně vyžádal.“

10      Článek 6 směrnice 2002/58, nadepsaný „Provozní údaje“, stanoví:

„1.      Provozní údaje vztahující se k účastníkům a uživatelům zpracovávané a uchovávané provozovatelem veřejné komunikační sítě nebo poskytovatelem veřejně dostupné služby elektronických komunikací, musí být vymazány nebo anonymizovány, jakmile již nejsou potřebné pro přenos sdělení, aniž by tímto byly dotčeny odstavce 2, 3 a 5 tohoto článku a čl. 15 odst. 1.

2.      Je možno zpracovávat provozní údaje nezbytné pro účely účtování a stanovení plateb za propojení. Takovéto zpracování je přípustné pouze do konce období, v němž lze právně napadnout účet či uplatňovat nárok na platbu.

3.      Pro potřeby marketingu služeb elektronických komunikací nebo pro poskytování služeb s přidanou hodnotou může poskytovatel veřejně dostupných služeb elektronických komunikací zpracovávat údaje uvedené v odstavci 1 pouze v rozsahu nezbytném a po dobu nezbytnou pro tyto služby nebo marketing, pokud k tomu dal předem souhlas účastník nebo uživatel, jehož se údaje týkají. Účastníci či uživatelé musí mít možnost kdykoliv svůj souhlas se zpracováním provozních údajů vzít zpět.

[…]

5.      Zpracování provozních údajů podle odstavců 1, 2, 3 a 4 musí být omezeno na osoby, které jednají z pověření provozovatelů veřejných komunikačních sítí a poskytovatelů veřejně dostupných služeb elektronických komunikací, a které se zabývají účtováním nebo řízením provozu, požadavky zákazníků, odhalováním podvodů, marketingem služeb elektronických komunikací nebo poskytováním služeb s přidanou hodnotou, a musí být omezeno na rozsah, který je nezbytný pro účely těchto činností.

[…]“

11      Článek 9 této směrnice, nadepsaný „Lokalizační údaje odlišné od provozních údajů“, v odstavci 1 stanoví:

„Mohou-li být zpracovávány lokalizační údaje odlišné od provozních údajů, které se vztahují k uživatelům nebo účastníkům veřejných komunikačních sítí nebo veřejně dostupných služeb elektronických komunikací, je možné tyto údaje zpracovávat pouze poté, co byly anonymizovány údaje, anebo se souhlasem uživatelů nebo účastníků v nezbytném rozsahu a po nezbytnou dobu pro poskytování služeb s přidanou hodnotou. Poskytovatel služeb musí informovat uživatele nebo účastníky před obdržením jejich souhlasu o druhu lokalizačních údajů odlišných od provozních údajů, které budou zpracovávány, o účelu a délce doby zpracování a o tom, zda budou údaje předány třetí osobě za účelem poskytování služeb s přidanou hodnotou. […]“

12      Článek 15 směrnice 2002/58, nadepsaný „Použití některých ustanovení směrnice [95/46]“, v odstavci 1 stanoví:

„Členské státy mohou přijmout legislativní opatření, kterými omezí rozsah práv a povinností uvedených v článku 5, článku 6, čl. 8 odst. 1, 2, 3 a 4 a článku 9 této směrnice, pokud toto omezení představuje v demokratické společnosti nezbytné, vhodné a přiměřené opatření pro zajištění národní bezpečnosti (tj. bezpečnosti státu), obrany, veřejné bezpečnosti a pro prevenci, vyšetřování, odhalování a stíhání trestných činů nebo neoprávněného použití elektronického komunikačního systému, jak je uvedeno v čl. 13 odst. 1 směrnice [95/46]. Za tímto účelem mohou členské státy mimo jiné přijmout legislativní opatření umožňující uchovávání údajů po omezenou dobu na základě důvodů uvedených v tomto odstavci. Veškerá opatření uvedená v tomto odstavci musí být v souladu s obecnými zásadami práva Společenství, včetně zásad uvedených v čl. 6 odst. 1 a 2 SEU.“

 Německé právo

 TKG

13      Ustanovení § 113a odst. 1 první věta Telekommunikationsgesetz (zákon o telekomunikacích) ze dne 22. června 2004 (BGBl. 2004 I, s. 1190) ve znění použitelném na spor v původním řízení (dále jen „TKG“), zní následovně:

„Povinnosti týkající se uchovávání, používání a bezpečnosti provozních údajů podle § 113b až § 113g se vztahují na poskytovatele veřejně dostupných telekomunikačních služeb koncovým uživatelům.“

14      Podle § 113b TKG:

„(1)      Poskytovatelé uvedení v § 113a odst. 1 musí uchovávat údaje v tuzemsku následujícím způsobem:

1.      údaje podle odstavců 2 a 3 po dobu deseti týdnů,

2.      lokalizační údaje podle odstavce 4 po dobu čtyř týdnů.

(2)      Poskytovatelé veřejně dostupných telefonních služeb uchovávají

1.      telefonní číslo nebo jiné označení volající a volané linky, jakož i každé další linky zúčastněné při přepnutí nebo při přesměrování,

2.      datum a čas začátku a konce spojení s uvedením příslušného časového pásma,

3.      údaje o použité službě, pokud lze v rámci telefonní služby použít různé služby,

4.      v případě mobilních služeb dále

a)      mezinárodní označení mobilního účastníka pro volající a volanou linku;

b)      mezinárodní označení volajícího a volaného koncového zařízení,

c)      datum a čas první aktivace služby s uvedením příslušného časového pásma, pokud byly služby zaplaceny dopředu,

5.      v případě internetových telefonních služeb také IP adresy volající a volané linky a přidělená označení uživatele.

První pododstavec se použije přiměřeně

1.      při komunikaci prostřednictvím krátké textové, multimediální nebo obdobné zprávy; v tom případě se údaje uvedené v prvním pododstavci bodě 2 nahrazují okamžikem odeslání a přijetí zprávy;

2.      na nepřijaté hovory nebo hovory neúspěšné z důvodu zásahu provozovatele soustavy […].

(3)      Poskytovatelé veřejně dostupných služeb internetového připojení uchovávají

1.      IP adresu přidělenou účastníkovi pro užívání internetu,

2.      jednoznačné označení linky umožňující přístup k internetu, jakož i přidělené označení uživatele,

3.      datum a čas začátku a konce užívání internetu z přidělené IP adresy s uvedením příslušného časového pásma.

(4)      V případě využití mobilních telefonních služeb je třeba uchovat označení buněk použitých volajícím a volaným na začátku spojení. U veřejně dostupných služeb připojení k internetu je třeba v případě mobilního použití uchovat označení buněk použitých na začátku internetového spojení. Dále je třeba uchovat údaje, ze kterých vyplývá zeměpisná poloha a maximální dosah antén, které využívají dotyčné buňky.

(5)      Na základě tohoto ustanovení nelze uchovávat obsah komunikace, údaje o navštívených internetových stránkách a údaje o službách elektronické pošty.

(6)      Na základě tohoto ustanovení nelze uchovávat údaje, jež se týkají spojení uvedených v § 99 odst. 2. To platí obdobně pro telefonní spojení vycházející od subjektů uvedených § 99 odst. 2. Ustanovení § 99 odst. 2 druhý až sedmý pododstavec se použije obdobně.

[…]“

15      Spojeními uvedenými v § 99 odst. 2 TKG, na která odkazuje § 113b odst. 6 TKG, jsou spojení s osobami, orgány a organizacemi sociální nebo náboženské povahy, které poskytují volajícím, v zásadě anonymním, telefonickou pomoc v případě psychického nebo sociálního stavu nouze a na které se vztahují nebo na jejichž pracovníky se v tomto ohledu vztahují zvláštní povinnosti důvěrnosti. Výjimka stanovená v čl. 99 odst. 2 druhé a čtvrté větě TKG je podmíněna zápisem volaných na jejich žádost na seznam sestaveného Spolkovou agenturou pro elektrické, plynové, telekomunikační, poštovní a železniční sítě poté, co držitelé telefonních čísel potvrdí povahu poskytovaných služeb předložením osvědčení vydaného veřejnoprávním orgánem, subjektem nebo nadací.

16      Podle § 113c odst. 1 a 2 TKG:

„(1)      Údaje uchovávané na základě § 113b mohou

1.      být předány orgánu činnému v trestním řízení, pokud o předání požádá na základě zákonného ustanovení, které jej opravňuje ke shromažďování údajů uvedených v § 113b za účelem stíhání zvláště závažných trestných činů;

2.      být předány bezpečnostnímu orgánu spolkových zemí, pokud o předání požádá na základě zákonného ustanovení, které jej opravňuje ke shromažďování údajů uvedených v § 113b k odvrácení konkrétního nebezpečí pro zdraví, život nebo svobodu osoby nebo pro existenci spolkového státu nebo spolkové země;

[…]

(2)      Údaje uchovávané podle § 113b nemohou být použity osobami povinnými podle § 113a odst. 1 pro jiné účely, než které jsou uvedeny v odstavci 1.“

17      Ustanovení § 113d TKG uvádí:

„Osoba povinná podle § 113a odst. 1 musí zajistit, aby údaje uchovávané na základě povinnosti uchovávání podle § 113b odst. 1 byly chráněny technickými a organizačními opatřeními odpovídajícími stavu techniky před nepovoleným seznámením se s nimi a použitím. Tato opatření zahrnují zejména:

1.      použití zvláště bezpečného procesu kódování,

2.      uchovávání v samostatných úložištích, oddělených od těch, které jsou určeny na běžné provozní funkce,

3.      uchovávání s vysokou úrovní ochrany před kybernetickými útoky v systémech na zpracování údajů nepřipojených k internetu,

4.      omezení přístupu k zařízením na zpracování údajů na osoby, které mají zvláštní oprávnění udělené povinnou osobou, a

5.      povinná účast minimálně dvou osob, které mají zvláštní oprávnění udělené povinnou osobou, při přístupu k údajům.“

18      Ustanovení § 113e TKG zní následovně:

„(1)      Osoba povinná podle § 113a odst. 1 musí zajistit, aby byl za účelem kontroly ochrany údajů zaznamenán každý přístup, zejména načítání, rozmnožení, změna, vymazání a zablokování údajů uchovávaných na základě povinnosti uchovávání podle § 113b odst. 1. Musí být zaznamenán

1.      čas přístupu,

2.      osoby, které k údajům přistupují,

3.      účel a druh přístupu.

(2)      Zaznamenané údaje nelze použít k jiným účelům než ke kontrole ochrany údajů.

(3)      Osoba povinná podle § 113a odst. 1 musí zajistit, aby byly zaznamenané údaje po uplynutí jednoho roku vymazány.“

19      K zajištění zvláště vysoké úrovně zabezpečení a kvality údajů stanoví Spolková agentura pro elektrické, plynové, telekomunikační, poštovní a železniční sítě v souladu s § 113f odst. 1 TKG soubor požadavků, které musí být podle § 113f odst. 2 tohoto zákona neustále vyhodnocovány a případně upraveny. Ustanovení § 113g TKG vyžaduje, aby byla zvláštní bezpečnostní opatření zahrnuta do prohlášení o bezpečnostní politice, které musí být předloženo osobou povinnou.

 StPO

20      Ustanovení § 100g odst. 2 první věta Strafprozessordnung (trestní řád, dále jen „StPO“) zní následovně:

„Odůvodňují-li určité skutečnosti podezření, že někdo se jako pachatel nebo spolupachatel dopustil některého ze zvláště závažných trestných činů uvedených v druhém pododstavci, nebo v případech, kdy je trestný pokus trestného činu, se pokusil spáchat takový trestný čin, a tento čin je i v konkrétním případě obzvlášť závažný, lze provozní údaje uchovávané podle § 113b [TKG] shromažďovat, pokud by jinak bylo šetření skutkového stavu nebo zjištění místa pobytu obviněného podstatně ztížené nebo neproveditelné a shromažďování údajů je přiměřené významu věci.“

21      Ustanovení § 101a odst. 1 podmiňuje shromažďování provozních údajů podle § 100g StPO soudním povolením. Podle § 101a odst. 2 StPO musí odůvodnění rozhodnutí obsahovat zásadní úvahy týkající se nezbytnosti a přiměřenosti opatření v daném konkrétním případě. Ustanovení § 101a odst. 6 StPO stanoví povinnost informovat účastníky dotyčné telekomunikace.

 Spory v původním řízení a předběžná otázka

22      Společnosti SpaceNet a Telekom Deutschland poskytují v Německu veřejně dostupné služby internetového připojení. Druhá z nich poskytuje kromě toho rovněž v Německu veřejně dostupné telefonní služby.

23      Tito poskytovatelé služeb napadli před Verwaltungsgericht Köln (správní soud v Kolíně nad Rýnem, Německo) povinnost uchovávat od 1. července 2017 telekomunikační provozní a lokalizační údaje jejich zákazníků, kterou jim ukládá ustanovení § 113a odst. 1 ve spojení s § 113b TKG.

24      Verwaltungsgericht Köln (správní soud v Kolíně nad Rýnem) rozsudky ze dne 20. dubna 2018 rozhodl, že společnosti SpaceNet a Telekom Deutschland nejsou povinny uchovávat provozní údaje uvedené v § 113b odst. 3 TKG, jež se týkají telekomunikací zákazníků, kterým poskytují přístup k internetu, a že společnost Telekom Deutschland mimoto není povinna uchovávat provozní údaje uvedené v § 113b odst. 2 první a druhé větě TKG, které se týkají telekomunikací zákazníků, kterým poskytuje přístup k veřejně dostupným telefonním službám. Tento soud měl totiž za to, že tato povinnost uchovávání je s ohledem na rozsudek ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970), v rozporu s unijním právem.

25      Spolková republika Německo podala proti těmto rozsudkům opravný prostředek „Revision“ k Bundesverwaltungsgericht (Spolkový správní soud, Německo), který je předkládajícím soudem.

26      Tento soud má za to, že otázka, zda povinnost uchovávání uložená ustanovením § 113a odst. 1 ve spojení s § 113b TKG je v rozporu s unijním právem, závisí na výkladu směrnice 2002/58.

27      V tomto ohledu předkládající soud uvádí, že Soudní dvůr již v rozsudku ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970), s konečnou platností rozhodl, že právní úprava týkající se uchovávání provozních a lokalizačních údajů, jakož i přístupu vnitrostátních orgánů k těmto údajům v zásadě spadají do působnosti směrnice 2002/58.

28      Předkládající soud rovněž uvádí, že povinnost uchovávání, o kterou se jedná ve věci v původním řízení, může být odůvodněna pouze na základě čl. 15 odst. 1 této směrnice, neboť omezuje práva vyplývající z čl. 5 odst. 1, čl. 6 odst. 1 a čl. 9 odst. 1 směrnice 2002/58.

29      V tomto ohledu připomíná, že z rozsudku ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970), vyplývá, že čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8 a 11, jakož i čl. 52 odst. 1 Listiny musí být vykládán v tom smyslu, že brání takové vnitrostátní právní úpravě, která za účelem boje proti trestné činnosti stanoví plošné a nerozlišující uchovávání veškerých provozních a lokalizačních údajů všech účastníků a registrovaných uživatelů, které se vztahuje na veškeré prostředky elektronické komunikace.

30      Podle předkládajícího soudu přitom vnitrostátní právní úprava dotčená v původním řízení podobně jako vnitrostátní právní úpravy dotčené ve věcech, v nichž byl vydán uvedený rozsudek, nevyžaduje žádný důvod pro uchovávání údajů ani jakoukoli souvislost mezi uchovávanými údaji a trestným činem nebo rizikem pro veřejnou bezpečnost. Tato vnitrostátní právní úprava totiž stanoví bezdůvodné, plošné a osobně, časově a místně nerozlišující uchovávání velké části relevantních telekomunikačních provozních údajů.

31      Předkládající soud má nicméně za to, že není vyloučeno, že povinnost uchovávání dotčená ve věci v původním řízení může být odůvodněna podle čl. 15 odst. 1 směrnice 2002/58.

32      Zaprvé uvádí, že na rozdíl od vnitrostátních právních předpisů dotčených ve věcech, v nichž byl vydán rozsudek ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970), vnitrostátní právní úprava dotčená v původním řízení nevyžaduje uchovávání veškerých telekomunikačních provozních údajů všech účastníků a registrovaných uživatelů vztahující se na veškeré prostředky elektronické komunikace. Jak vyplývá z § 113b odst. 5 a 6 TKG, nejen obsah komunikací je vyloučen z povinnosti uchovávání, ale také nemohou být uchovávány údaje týkající se navštívených internetových stránek, údaje o službách elektronické pošty a údaje o spojeních sociální či náboženské povahy na určité linky nebo z nich.

33      Zadruhé tento soud uvádí, že § 113b odst. 1 TKG stanoví dobu uchovávání čtyři týdny u lokalizačních údajů a deset týdnů u provozních údajů, zatímco doba uchovávání stanovená směrnicí Evropského parlamentu a Rady 2006/24/ES ze dne 15. března 2006 o uchovávání údajů vytvářených nebo zpracovávaných v souvislosti s poskytováním veřejně dostupných služeb elektronických komunikací nebo veřejných komunikačních sítí a o změně směrnice 2002/58/ES (Úř. věst. 2006, L 105, s. 54), z které vycházejí vnitrostátní právní předpisy dotčené ve věcech, v nichž byl vydán rozsudek ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970), je stanovena v rozmezí šesti měsíců až dvou let.

34      Předkládající soud má přitom za to, že i když vyloučení některých komunikačních prostředků nebo kategorií údajů a omezení doby uchovávání nepostačují k vyloučení jakéhokoli rizika vytvoření úplného profilu subjektů údajů, je toto riziko v rámci provádění vnitrostátní právní úpravy dotčené v původním řízení přinejmenším značně sníženo.

35      Zatřetí tato právní úprava obsahuje striktní omezení, pokud jde o ochranu uchovávaných údajů a přístup k nim. Zaručuje tak účinnou ochranu uchovávaných údajů před riziky zneužití, jakož i před jakýmkoliv neoprávněným přístupem k těmto údajům. Uchovávané údaje mohou být dále využívány pouze k boji proti závažným trestným činům nebo k odvrácení konkrétního nebezpečí pro zdraví, život nebo svobodu osoby nebo pro existenci spolkového státu nebo spolkové země.

36      Začtvrté výklad čl. 15 odst. 1 směrnice 2002/58 ve smyslu obecné neslučitelnosti jakéhokoliv bezdůvodného uchovávání údajů s unijním právem by mohl narážet na povinnost členských států jednat vyplývající z práva na bezpečnost zakotveného v článku 6 Listiny.

37      Zapáté má předkládající soud za to, že výklad článku 15 směrnice 2002/58 v tom smyslu, že brání plošnému uchovávání údajů, by značně omezil rozhodovací prostor vnitrostátního zákonodárce v oblasti týkající se stíhání zločinů a veřejné bezpečnosti, která podle čl. 4 odst. 2 SEU zůstává výhradní odpovědností každého členského státu.

38      Zašesté má předkládající soud za to, že je třeba zohlednit judikaturu Evropského soudu pro lidská práva (dále jen „ESLP“) a uvádí, že ESLP rozhodl, že článek 8 Evropské úmluvy o ochraně lidských práv a základních svobod (dále jen „EÚLP“) nebrání vnitrostátním ustanovením, která stanoví masivní zachycování přeshraničních toků údajů s ohledem na hrozby, kterým čelí v současné době řada států, a technologické nástroje, o které se nyní mohou opírat teroristé a zločinci při dopouštění se protiprávních jednání.

39      Za těchto okolností se Bundesverwaltungsgericht (Spolkový správní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:

„Musí být článek 15 směrnice [2002/58] ve světle článků 7, 8 a 11 a čl. 52 odst. 1 [Listiny] na jedné straně a článku 6 [Listiny] a článku 4 [SEU] na druhé straně vykládán v tom smyslu, že brání vnitrostátní právní úpravě, která ukládá poskytovatelům veřejně dostupných služeb elektronických komunikací povinnost uchovávat provozní a lokalizační údaje konečných uživatelů těchto služeb, pokud

1)      tato povinnost nevyžaduje žádný specifický důvod co do místního, časového nebo prostorového hlediska;

2)      předmětem povinnosti uchovávání při poskytování veřejně dostupné telefonní služby – včetně přenosu krátkých textových, multimediálních nebo obdobných zpráv, jakož i nepřijatých nebo neúspěšných hovorů – jsou následující údaje:

a)      telefonní číslo nebo jiné označení volající a volané linky, jakož i každé další linky zúčastněné při přepnutí nebo při přesměrování,

b)      datum a čas začátku a konce spojení nebo – při přenosu krátkých, multimediálních nebo obdobných zpráv – okamžik odeslání a přijetí zprávy s uvedením příslušného časového pásma,

c)      údaje o použité službě, pokud lze v rámci telefonní služby použít různé služby,

d)      v případě mobilních služeb dále

i)      mezinárodní označení mobilního účastníka pro volající a volanou linku;

ii)      mezinárodní označení volajícího a volaného koncového zařízení,

iii)      datum a čas první aktivace služby s uvedením příslušného časového pásma, pokud byly služby zaplaceny dopředu,

iv)      označení buněk použitých volající a volanou linkou na začátku spojení,

e)      jakož i v případě internetových telefonních služeb také IP adresy volající a volané linky a přidělená označení uživatele;

3)      při poskytování veřejně dostupných služeb internetového připojení jsou předmětem povinnosti uchovávání následující údaje:

a)      IP adresa přidělená účastníkovi pro užívání internetu,

b)      jednoznačné označení linky umožňující přístup k internetu, jakož i přidělené označení uživatele,

c)      datum a čas začátku a konce užívání internetu z přidělené IP adresy s uvedením příslušného časového pásma,

d)      v případě mobilního užívání označení buňky použité na začátku internetového spojení,

4)      nesmějí být uchovávány následující údaje:

a)      obsah komunikace,

b)      údaje o navštívených internetových stránkách,

c)      údaje o službách elektronické pošty,

d)      údaje týkající se spojení na určité linky osob, úřadů nebo organizací působících v sociální nebo náboženské oblasti nebo spojení z těchto linek;

5)      doba uchovávání lokalizačních údajů, tj. označení užité buňky, činí čtyři týdny a u ostatních údajů deset týdnů;

6)      je zaručena účinná ochrana uchovávaných údajů před riziky zneužití, jakož i před jakýmkoliv neoprávněným přístupem a

7)      uchovávané údaje smí být užity jen ke stíhání obzvláště závažných trestných činů a k odvrácení konkrétního nebezpečí pro zdraví, život nebo svobodu osoby nebo pro existenci spolkového státu nebo spolkové země, s výjimkou IP adresy přidělené účastníkovi pro užívání internetu, kterou lze použít v rámci poskytnutí informací o účastníkovi za účelem stíhání jakýchkoliv trestných činů, k odvrácení nebezpečí pro veřejnou bezpečnost a pořádek, jakož i k plnění úkolů zpravodajských služeb?“

 Řízení před Soudním dvorem

40      Rozhodnutím předsedy Soudního dvora ze dne 3. prosince 2019 byly věci C‑793/19 a C‑794/19 spojeny pro účely písemné i ústní části řízení, jakož i pro účely rozsudku.

41      Rozhodnutím předsedy Soudního dvora ze dne 14. července 2020 bylo řízení ve spojených věcech C‑793/19 a C‑794/19 přerušeno na základě čl. 55 odst. 1 písm. b) jednacího řádu Soudního dvora až do vyhlášení rozsudku ve věci La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18).

42      Vzhledem k tomu, že Soudní dvůr vydal dne 6. října 2020 rozsudek ve věci La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), nařídil předseda Soudního dvora dne 8. října 2020 pokračování v řízení ve spojených věcech C‑793/19 a C‑794/19.

43      Předkládající soud, kterému soudní kancelář oznámila tento rozsudek, uvedl, že trvá na své žádosti o rozhodnutí o předběžné otázce.

44      V tomto ohledu předkládající soud nejprve uvedl, že povinnost uchovávat údaje stanovená právní úpravou dotčenou ve věci v původním řízení se týká nižšího počtu údajů a kratší doby uchovávání, než stanoví vnitrostátní právní předpisy dotčené ve věcech, v nichž byl vydán rozsudek ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791). Tyto zvláštnosti omezují možnost, že uchovávané údaje mohou umožnit vyvodit velmi přesné závěry o soukromém životě osob, jejichž údaje byly uchovány.

45      Dále znovu uvedl, že vnitrostátní právní úprava dotčená v původním řízení zajišťuje účinnou ochranu uchovávaných údajů před riziky zneužití a neoprávněným přístupem.

46      Nakonec poukázal na to, že přetrvává nejistota ohledně otázky slučitelnosti uchovávání IP adres, stanoveného vnitrostátní právní úpravou dotčenou v původním řízení, s unijním právem z důvodu nesoudržnosti mezi body 155 a 168 rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791). Podle předkládajícího soudu tak z tohoto rozsudku vyplývá nejistota ohledně otázky, zda Soudní dvůr vyžaduje pro uchovávání IP adres důvod uchovávání spojený s cílem zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti, jak vyplývá z bodu 168 uvedeného rozsudku, nebo zda je uchovávání IP adres přípustné i při neexistenci konkrétního důvodu, přičemž pouze použití uchovávaných údajů je omezeno uvedenými cíli, jak vyplývá z bodu 155 téhož rozsudku.

 K předběžné otázce

47      Podstatou předběžné otázky předkládajícího soudu je, zda musí být čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 6 až 8 a 11, jakož i s čl. 52 odst. 1 Listiny a čl. 4 odst. 2 SEU, vykládán v tom smyslu, že brání vnitrostátnímu právnímu opatření, které s některými výjimkami ukládá poskytovatelům veřejně dostupných služeb elektronických komunikací pro účely uvedené v čl. 15 odst. 1 této směrnice, a zejména za účelem stíhání závažných trestných činů nebo odvrácení konkrétního nebezpečí pro národní bezpečnost, plošné a nerozlišující uchovávání zásadních provozních a lokalizačních údajů koncových uživatelů těchto služeb, přičemž stanoví dobu uchovávání v délce několika týdnů a pravidla, která mají zajistit účinnou ochranu uchovávaných údajů před riziky zneužití, jakož i před jakýmkoliv neoprávněným přístupem k těmto údajům.

 K použitelnosti směrnice 2002/58

48      Pokud jde o argumentaci Irska, jakož i francouzské, nizozemské, polské a švédské vlády, podle níž vnitrostátní právní úprava dotčená ve věci v původním řízení vzhledem k tomu, že byla přijata zejména za účelem ochrany národní bezpečnosti, nespadá do působnosti směrnice 2002/58, stačí připomenout, že taková vnitrostátní právní úprava, která ukládá poskytovatelům služeb elektronických komunikací povinnost uchovávat provozní a lokalizační údaje zejména za účelem zajištění národní bezpečnosti a boje proti trestné činnosti, jako je právní úprava dotčená ve věci v původním řízení, spadá do působnosti směrnice 2002/58 (rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 104).

 K výkladu čl. 15 odst. 1 směrnice 2002/58

 Připomenutí zásad vyplývajících z judikatury Soudního dvora

49      Podle ustálené judikatury je třeba pro výklad ustanovení unijního práva zohlednit nejen jeho znění, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí, a zejména genezi této právní úpravy (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 32, jakož i citovaná judikatura).

50      Ze samotného znění čl. 15 odst. 1 směrnice 2002/58 vyplývá, že legislativní opatření, která tato směrnice dovoluje členským státům přijmout za podmínek, které stanoví, mohou pouze „omez[it] rozsah“ práv a povinností uvedených mimo jiné v článcích 5, 6 a 9 směrnice 2002/58 (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 33).

51      Pokud jde o systém zavedený touto směrnicí, jehož součástí je čl. 15 odst. 1 této směrnice, je třeba připomenout, že podle čl. 5 odst. 1 první a druhé věty uvedené směrnice jsou členské státy povinny zajistit prostřednictvím svých vnitrostátních právních předpisů důvěrný charakter sdělení přenášených pomocí veřejné komunikační sítě a veřejně dostupných služeb elektronických komunikací a s nimi souvisejících provozních údajů. Zejména musí zakázat příposlech, odposlech, uchovávání nebo jiné druhy zachycování či sledování sdělení a s nimi souvisejících provozních údajů osobami jinými než uživateli bez souhlasu dotčených uživatelů, pokud k takovému jednání nejsou zákonem oprávněny v souladu s čl. 15 odst. 1 této směrnice (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 34).

52      V tomto ohledu již Soudní dvůr rozhodl, že čl. 5 odst. 1 směrnice 2002/58 zakotvuje zásadu důvěrného charakteru jak elektronických sdělení, tak s nimi souvisejících provozních údajů, a plyne z něj zejména zákaz – uložený v zásadě všem vyjma uživatelů – uchovávat tato sdělení a tyto údaje bez souhlasu uživatele (rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 107, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 35).

53      Toto ustanovení odráží cíl sledovaný unijním normotvůrcem při přijetí směrnice 2002/58. Z důvodové zprávy k návrhu směrnice Evropského parlamentu a Rady o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací [COM(2000) 385 final], z něhož vychází směrnice 2002/58, totiž vyplývá, že záměrem unijního normotvůrce bylo „zachovat i nadále vysokou úroveň ochrany osobních údajů a soukromí u všech služeb elektronických komunikací bez ohledu na použitou technologii“. Účelem uvedené směrnice tedy je, jak vyplývá zejména z bodů 6 a 7 jejího odůvodnění, ochránit uživatele služeb elektronických komunikací před riziky, která pro jejich osobní údaje a soukromí vyplývají z nových technologií, a zejména zvyšující se kapacity automatického uchovávání a zpracování údajů. Konkrétně, jak uvádí bod 2 odůvodnění téže směrnice, záměrem unijního normotvůrce je, aby byla plně dodržována práva stanovená v článku 7 Listiny, týkajícího se ochrany soukromého života, a článku 8 Listiny, týkajícího se a ochrany osobních údajů (v tomto smyslu viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 36, jakož i citovaná judikatura).

54      Přijetím směrnice 2002/58 tedy unijní normotvůrce konkretizoval tato práva, takže uživatelé prostředků elektronické komunikace mohou v zásadě právem očekávat, že jejich komunikace a s ní související údaje zůstanou anonymní a nebude možné je zaznamenat bez jejich souhlasu (rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 109, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 37).

55      Pokud jde o zpracování a uchovávání provozních údajů vztahujících se k účastníkům a uživatelům ze strany poskytovatelů služeb elektronických komunikací, článek 6 směrnice 2002/58 v odstavci 1 stanoví, že tyto údaje musí být vymazány nebo anonymizovány, jakmile již nejsou potřebné pro přenos sdělení, a v odstavci 2 upřesňuje, že provozní údaje nezbytné pro účely účtování a stanovení plateb za propojení mohou být zpracovávány pouze do konce období, v němž lze právně napadnout účet či uplatňovat nárok na platbu. V případě lokalizačních údajů odlišných od provozních údajů se v čl. 9 odst. 1 uvedené směrnice stanoví, že tyto údaje lze zpracovávat pouze tehdy, jsou-li splněny určité podmínky, a poté, co byly anonymizovány, anebo se souhlasem uživatelů nebo účastníků.

56      Směrnice 2002/58 se tudíž neomezuje na stanovení rámce pro přístup k takovým údajům prostřednictvím záruk, které mají zabránit zneužití, ale zakotvuje též zejména zásadu zákazu jejich uchovávání třetími osobami (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 39).

57      V rozsahu, v němž čl. 15 odst. 1 směrnice 2002/58 umožňuje členským státům přijmout taková legislativní opatření, kterými „omezí rozsah“ práv a povinností uvedených mimo jiné v článcích 5, 6 a 9 této směrnice, jako jsou práva a povinnosti vyplývající ze zásad důvěrnosti sdělení a zákazu uchovávání s nimi souvisejících údajů, připomenutých v bodě 52 tohoto rozsudku, stanoví toto ustanovení výjimku z obecného pravidla stanoveného mimo jiné v těchto článcích 5, 6 a 9, a musí být tedy v souladu s ustálenou judikaturou vykládáno restriktivně. Takové ustanovení tudíž nemůže odůvodňovat, aby se výjimka ze základní povinnosti zajistit důvěrný charakter elektronických sdělení a s nimi souvisejících údajů, a zejména ze zákazu uchovávat tyto údaje stanoveného v článku 5 uvedené směrnice, stala pravidlem, neboť jinak by posledně uvedené ustanovení bylo do značné míry zbaveno působnosti (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 40, jakož i citovaná judikatura).

58      Pokud jde o cíle, které mohou ospravedlňovat omezení práv a povinností stanovených zejména v článcích 5, 6 a 9 směrnice 2002/58, Soudní dvůr již rozhodl, že výčet cílů v čl. 15 odst. 1 první větě této směrnice je taxativní, a proto musí legislativní opatření přijaté na základě tohoto ustanovení skutečně a nezbytně odpovídat některému z těchto cílů (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 41 a citovaná judikatura).

59      Z článku 15 odst. 1 třetí věty směrnice 2002/58 dále vyplývá, že opatření přijatá členskými státy na základě tohoto ustanovení musí být v souladu s obecnými zásadami unijního práva, k nimž patří zásada proporcionality, a se základními právy zaručenými Listinou. Soudní dvůr v této souvislosti již rozhodl, že povinnost uložená poskytovatelům služeb elektronických komunikací členským státem prostřednictvím vnitrostátních právních předpisů a spočívající v uchovávání provozních údajů pro účely jejich případného zpřístupnění příslušným vnitrostátním orgánům vyvolává otázky, jež se týkají dodržování nejen článků 7 a 8 Listiny, ale i článku 11 Listiny týkajícího se svobody projevu, přičemž tato svoboda představuje jeden ze základních pilířů demokratické a pluralitní společnosti a je součástí hodnot, na kterých je podle článku 2 SEU založena Evropská unie (v tomto smyslu viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 42 a 43, jakož i citovaná judikatura).

60      V tomto ohledu je třeba upřesnit, že uchovávání provozních a lokalizačních údajů představuje samo o sobě jednak výjimku ze zákazu uloženého v čl. 5 odst. 1 směrnice 2002/58 jakékoli jiné osobě než uživatelům uchovávat tyto údaje a jednak zásah do základních práv na respektování soukromého života a na ochranu osobních údajů zakotvených v článcích 7 a 8 Listiny bez ohledu na to, zda dotyčné informace o soukromém životě představují citlivé údaje, zda dotyčné osoby utrpěly z důvodu tohoto zásahu případné nepříznivé následky nebo zda uchovávané údaje budou následně využity (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 44, jakož i citovaná judikatura).

61      Tento závěr se jeví o to více důvodný, že provozní a lokalizační údaje mohou odhalit informace o celé řadě aspektů soukromého života subjektů údajů včetně citlivých informací, jako jsou sexuální orientace, politické názory, náboženské, filozofické, sociálněprávní nebo jiné přesvědčení, jakož i zdravotní stav, přičemž takové údaje kromě toho požívají zvláštní ochrany v unijním právu. Z těchto údajů jako celku lze vyvodit velmi přesné závěry o soukromém životě osob, jejichž údaje byly uchovány, tedy o každodenních zvyklostech, o místech, kde trvale či přechodně pobývají, o denních či jiných přesunech, o aktivitách, společenských vztazích těchto osob a o společenských kruzích, s kterými se stýkají. Na základě těchto údajů lze zejména vytvořit profil subjektů údajů, který je s ohledem na právo na ochranu soukromého života informací stejně citlivé povahy, jako je samotný obsah sdělení (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 45 a citovaná judikatura).

62      Uchovávání provozních a lokalizačních údajů pro policejní účely tedy na jedné straně může být zásahem do práva na respektování komunikace zakotveného v článku 7 Listiny a odrazovat uživatele prostředků elektronické komunikace od výkonu jejich svobody projevu zaručené v článku 11 Listiny, přičemž tyto účinky jsou tím závažnější, čím větší je množství a rozmanitost uchovávaných údajů. Na druhé straně s ohledem na značné množství provozních a lokalizačních údajů, které mohou být průběžně uchovávány na základě plošného a nerozlišujícího opatření, a na citlivou povahu informací, které z těchto údajů mohou vyplynout, vzniká riziko zneužití a neoprávněného přístupu již samotným uchováváním těchto údajů poskytovateli služeb elektronických komunikací (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 46, jakož i citovaná judikatura).

63      Článek 15 odst. 1 směrnice 2002/58 ovšem tím, že umožňuje členským státům omezit práva a povinnosti uvedené v bodech 51 až 54 tohoto rozsudku, odráží skutečnost, že práva zakotvená v článcích 7, 8 a 11 Listiny se neprojevují jako absolutní výsady, ale musí být nahlížena ve vztahu k jejich společenské funkci. Jak totiž plyne z čl. 52 odst. 1 Listiny, Listina připouští omezení výkonu takových práv za předpokladu, že jsou tato omezení stanovena zákonem, respektují podstatu těchto práv a při dodržení zásady proporcionality jsou nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. Výklad čl. 15 odst. 1 směrnice 2002/58 ve světle Listiny proto vyžaduje, aby byl zohledněn rovněž význam práv zakotvených v článcích 3, 4, 6 a 7 Listiny a význam, který mají cíle zajištění národní bezpečnosti a boje proti závažné trestné činnosti tím, že přispívají k ochraně práv a svobod druhého (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 48 a citovaná judikatura).

64      Pokud jde konkrétně o účinný boj proti trestným činům, jejichž obětí jsou zejména nezletilé a jiné zranitelné osoby, je třeba zohlednit skutečnost, že z článku 7 Listiny mohou vyplývat pozitivní povinnosti orgánů veřejné moci za účelem přijetí právních opatření na ochranu soukromého a rodinného života. Takové povinnosti mohou rovněž vyplývat z uvedeného článku 7 v souvislosti s ochranou obydlí a komunikace, jakož i z článku 3 v souvislosti s ochranou fyzické a duševní nedotknutelnosti osob a z článku 4 v souvislosti se zákazem mučení a nelidského či ponižujícího zacházení (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 49 a citovaná judikatura).

65      Vzhledem k těmto jednotlivým pozitivním povinnostem je tedy třeba přistoupit k nezbytnému sladění jednotlivých dotčených zájmů a práv a vytvořit právní rámec, který toto sladění umožní (v tomto smyslu viz rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 50, jakož i citovaná judikatura).

66      V tomto rámci ze samotného znění čl. 15 odst. 1 první věty směrnice 2002/58 vyplývá, že členské státy mohou přijmout opatření odchylující se od zásady důvěrnosti zmíněné v bodě 52 tohoto rozsudku, pokud je takové opatření „v demokratické společnosti nezbytné, vhodné a přiměřené“, přičemž bod 11 odůvodnění této směrnice k tomu uvádí, že takové opatření musí být „plně“ přiměřené vzhledem k zamýšlenému účelu.

67      V tomto ohledu je třeba připomenout, že podle ustálené judikatury Soudního dvora ochrana základního práva na respektování soukromého života vyžaduje, aby výjimky z ochrany osobních údajů a omezení této ochrany byly činěny v mezích toho, co je nezbytně nutné. Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 52 a citovaná judikatura).

68      Z judikatury Soudního dvora konkrétně vyplývá, že možnost členských států odůvodnit omezení práv a povinností stanovených zejména v článcích 5, 6 a 9 směrnice 2002/58 musí být posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný závažnosti zásahu (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 53 a citovaná judikatura).

69      Za účelem splnění požadavku proporcionality musí právní úprava stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a stanovit minimální požadavky, tak aby osoby, o jejichž osobní údaje jde, měly dostatečné záruky umožňující účinně chránit tyto údaje před rizikem zneužití. Tato právní úprava musí být právně závazná ve vnitrostátním právu, a musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů, čímž zaručí, že se zásah omezí na to, co je nezbytně nutné. Potřeba takových záruk je o to významnější v případě, kdy jsou osobní údaje zpracovávány automaticky, zejména když existuje značné riziko neoprávněného přístupu k těmto údajům. Tyto úvahy platí zvláště tehdy, jedná-li se o ochranu oné konkrétní kategorie osobních údajů, již tvoří citlivé údaje (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 54 a citovaná judikatura).

70      Vnitrostátní právní úprava, která stanoví uchovávání osobních údajů, tedy musí vždy odpovídat objektivním kritériím, která vymezují vztah mezi údaji, které mají být uchovávány, a sledovaným účelem (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 55 a citovaná judikatura).

71      Pokud jde o cíle obecného zájmu, které mohou odůvodnit opatření přijaté na základě čl. 15 odst. 1 směrnice 2002/58, z judikatury Soudního dvora, zejména z rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), vyplývá, že v souladu se zásadou proporcionality panuje mezi těmito cíli hierarchie podle jejich příslušného významu a význam cíle sledovaného takovým opatřením musí být úměrný závažnosti zásahu, který z něj vyplývá (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 56).

72      Pokud jde tedy o ochranu národní bezpečnosti, jejíž význam přesahuje význam ostatních cílů uvedených v čl. 15 odst. 1 směrnice 2002/58, Soudní dvůr konstatoval, že toto ustanovení ve spojení s články 7, 8 a 11 a čl. 52 odst. 1 Listiny nebrání legislativním opatřením, která za účelem zajištění národní bezpečnosti umožňují přikázat poskytovatelům služeb elektronických komunikací, aby prováděli plošné a nerozlišující uchovávání provozních a lokalizačních údajů v situacích, kdy dotyčný členský stát čelí závažnému ohrožení národní bezpečnosti, které se jeví jako skutečné a aktuální nebo předvídatelné, přičemž rozhodnutí o uložení tohoto příkazu může být předmětem účinného přezkumu soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, a cílem tohoto přezkumu bude ověřit, že nastala některá z těchto situací, jakož i dodržení podmínek a záruk, které musí být stanoveny, a tento příkaz může být vydán pouze na dobu nezbytně nutnou, avšak s možností prodloužení, pokud ohrožení přetrvává (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 58 a citovaná judikatura).

73      Pokud jde o cíl prevence, vyšetřování, odhalování a stíhání trestných činů, Soudní dvůr uvedl, že podle zásady proporcionality platí, že takové závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny, jako jsou ty, které s sebou nese uchovávání provozních a lokalizačních údajů, mohou být odůvodněny pouze bojem proti závažné trestné činnosti a předcházením závažnému ohrožení veřejné bezpečnosti. Cílem spočívajícím v prevenci, vyšetřování, odhalování a stíhání trestných činů obecně proto mohou být odůvodněny pouze zásahy do uvedených základních práv, které nejsou závažné povahy (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 59 a citovaná judikatura).

74      Pokud jde o cíl boje proti závažné trestné činnosti, Soudní dvůr rozhodl, že vnitrostátní právní úprava, která za tímto účelem stanoví plošné a nerozlišující uchovávání provozních a lokalizačních údajů, překračuje meze toho, co je naprosto nezbytné, a nelze ji v demokratické společnosti považovat za odůvodněnou. Vzhledem k citlivé povaze informací, které mohou z provozních a lokalizačních údajů vyplynout, je totiž důvěrnost těchto údajů zásadní pro právo na respektování soukromého života. S ohledem jednak na odrazující účinky, které může mít uchovávání těchto údajů ve vztahu k výkonu základních práv zakotvených v článcích 7 a 11 Listiny a které jsou zmíněny v bodě 62 tohoto rozsudku, a jednak na závažnost zásahu, který takové uchovávání představuje, je v demokratické společnosti třeba, aby toto uchovávání bylo, jak stanoví systém zavedený směrnicí 2002/58, výjimkou, a nikoli pravidlem, a aby tyto údaje nemohly být uchovávány systematicky a průběžně. Tento závěr platí i ve vztahu k cílům boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti, jakož i k významu, který je třeba jim přiznat (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 65 a citovaná judikatura).

75      Soudní dvůr naproti tomu upřesnil, že čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8 a 11 a čl. 52 odst. 1 Listiny nebrání legislativním opatřením, která pro účely boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti stanoví

–        cílené uchovávání provozních a lokalizačních údajů, které je na základě objektivních a nediskriminačních kritérií vymezeno kategoriemi dotčených osob nebo prostřednictvím zeměpisného kritéria, na dobu nezbytně nutnou, avšak s možností prodloužení;

–        plošné a nerozlišující uchovávání IP adres přidělených zdroji připojení, a to po nezbytně nutnou dobu;

–        plošné a nerozlišující uchovávání údajů o totožnosti uživatelů prostředků elektronické komunikace a

–        možnost přikázat rozhodnutím příslušného orgánu, které podléhá účinnému soudnímu přezkumu, poskytovatelům služeb elektronických komunikací, aby po určenou dobu prováděli urychlené uchování (quick freeze) provozních a lokalizačních údajů, jimiž disponují,

pokud tato opatření pomocí jasných a přesných pravidel zajišťují při uchovávání dotčených údajů dodržení souvisejících hmotněprávních a procesních podmínek a pokud subjekty údajů mají k dispozici účinné záruky proti riziku zneužití (rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, bod 168, a ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 67).

 K opatření, které stanoví plošné a nerozlišující uchovávání většiny provozních a lokalizačních údajů na dobu několika týdnů

76      Právě s ohledem na tyto zásadní úvahy je třeba přezkoumat charakteristické znaky vnitrostátní právní úpravy dotčené v původním řízení, na které poukazuje předkládající soud.

77      Zaprvé, pokud jde o rozsah uchovávaných údajů, z předkládacího rozhodnutí vyplývá, že v rámci poskytování telefonních služeb se povinnost uchovávání stanovená touto právní úpravou týká zejména údajů nezbytných k identifikaci zdroje spojení a jeho určení, data a času začátku a konce spojení, nebo – při komunikaci prostřednictvím krátké textové, multimediální nebo obdobné zprávy – okamžiku odeslání a přijetí zprávy, jakož i v případě mobilního užívání označení buněk použitých volající a volanou linkou na začátku spojení. V rámci poskytování služeb přístupu k internetu se povinnost uchovávání týká mimo jiné IP adresy přidělené účastníkovi, data a času začátku a konce užívání internetu z přidělené IP adresy a v případě mobilního užívání označení buněk použitých na začátku internetového spojení. Uchovávají se rovněž údaje, ze kterých vyplývá zeměpisná poloha a maximální dosah antén, které využívají dotyčné buňky.

78      I když vnitrostátní právní úprava dotčená ve věci v původním řízení vylučuje z povinnosti uchovávání obsah komunikace a údaje týkající se prohlížených internetových stránek a vyžaduje uchovávání označení buňky pouze na začátku spojení, je třeba poznamenat, že totéž platilo v podstatě pro vnitrostátní právní předpisy provádějící směrnici 2006/24, které byly předmětem věcí, v nichž byl vydán rozsudek ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791). Navzdory těmto omezením Soudní dvůr v tomto rozsudku přitom rozhodl, že kategorie údajů uchovávaných na základě uvedené směrnice a těchto vnitrostátních právních předpisů mohou umožnit vyvodit velmi přesné závěry o soukromém životě subjektů údajů, jako jsou každodenní zvyklosti, místa, kde trvale nebo přechodně pobývají, denní nebo jiné přesuny, vykonávané činnosti, společenské vztahy těchto osob a společenské kruhy, se kterými se stýkají, a zejména tím, že lze na jejich základě vytvořit profil těchto osob.

79      Navíc je třeba konstatovat, že i když se právní úprava dotčená v původním řízení nevztahuje na údaje týkající se prohlížených internetových stránek, stanoví však uchovávání IP adres. Nicméně vzhledem k tomu, že tyto adresy mohou být použity zejména k provedení úplného sledování postupu prohlížení uživatelem internetu, a v důsledku toho i jeho on-line činnosti, umožňují tyto údaje vytvořit jeho podrobný profil. Uchovávání a analýza uvedených IP adres, které takové sledování vyžaduje, tak představují závažné zásahy do základních práv uživatele internetu zakotvených v článcích 7 a 8 Listiny (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 153).

80      Kromě toho, jak uvedla ve svém písemném vyjádření společnost SpaceNet, ačkoli se na údaje týkající se služeb elektronické pošty nevztahuje povinnost uchovávání stanovená právní úpravou dotčenou v původním řízení, představují tyto údaje pouze nepatrnou část dotčených údajů.

81      Jak v podstatě uvedl generální advokát v bodě 60 svého stanoviska, povinnost uchovávání stanovená vnitrostátní právní úpravou dotčenou v původním řízení se vztahuje na velmi široký soubor provozních a lokalizačních údajů, který v zásadě odpovídá údajům, které vedly k ustálené judikatuře připomenuté v bodě 78 tohoto rozsudku.

82      Navíc v odpovědi na otázku položenou na jednání německá vláda upřesnila, že pouze 1 300 subjektů je zapsáno na seznam osob, orgánů nebo organizací sociální nebo náboženské povahy, jejichž údaje týkající se elektronických komunikací nejsou uchovávány podle čl. 99 odst. 2 a čl. 113b odst. 6 TKG, což zjevně představuje malou část všech uživatelů telekomunikačních služeb v Německu, na jejichž údaje se vztahuje povinnost uchovávání stanovená vnitrostátní právní úpravou dotčenou v původním řízení. Jsou tak uchovávány zejména údaje uživatelů, na které se vztahuje profesní tajemství, jako jsou advokáti, lékaři a novináři.

83      Z předkládacího rozhodnutí tedy vyplývá, že uchovávání provozních a lokalizačních údajů stanovené touto vnitrostátní právní úpravou se týká téměř všech osob tvořících populaci, aniž se tyto osoby nacházejí, byť nepřímo, v situaci, která by mohla vést k trestnímu stíhání. Stejně tak stanoví bezdůvodné, plošné a osobně, časově a místně nerozlišující uchovávání podstatné části provozních a lokalizačních údajů, jejichž rozsah v podstatě odpovídá rozsahu údajů uchovávaných ve věcech, v nichž byla vydána judikatura uvedená v bodě 78 tohoto rozsudku.

84      S ohledem na judikaturu citovanou v bodě 75 tohoto rozsudku proto nelze v rozporu s tím, co tvrdí německá vláda, takovou povinnost uchovávání údajů, jako je povinnost dotčená ve věci v původním řízení, považovat za cílené uchovávání údajů.

85      Zadruhé, pokud jde o dobu uchovávání údajů, z čl. 15 odst. 1 druhé věty směrnice 2002/58 vyplývá, že doba uchovávání stanovená vnitrostátním opatřením ukládajícím plošnou a nerozlišující povinnost uchovávání je zajisté jedním z relevantních faktorů pro určení, zda unijní právo brání takovému opatření, přičemž uvedená věta vyžaduje, aby tato doba byla „omezená“.

86      Je přitom pravda, že v projednávané věci jsou tyto doby, které podle § 113b odst. 1 TKG činí čtyři týdny u lokalizačních údajů a deset týdnů u ostatních údajů, podstatně kratší než doby stanovené vnitrostátními právními předpisy stanovujícími plošné a nerozlišující uchovávání, které Soudní dvůr posuzoval v rozsudcích ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970), ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), a ze dne 5. dubna 2022, Commissioner of the Garda Síochána a další (C‑140/20, EU:C:2022:258).

87      Jak však vyplývá z judikatury citované v bodě 61 tohoto rozsudku, závažnost zásahu vyplývá z rizika, zejména s ohledem na jejich počet a různorodost, že z uchovávaných údajů jako celku lze vyvodit velmi přesné závěry o soukromém životě osoby či osob, jejichž údaje byly uchovávány, a zejména poskytují prostředky k vytvoření profilu dotyčné osoby či dotyčných osob, který je stejně citlivou informací z hlediska práva na soukromí, jako je samotný obsah komunikací.

88      Proto má uchovávání provozních nebo lokalizačních údajů, z nichž mohou vyplynout informace o komunikaci uživatele prostředku elektronické komunikace nebo o umístění koncových zařízení, která používá, v každém případě závažnou povahu bez ohledu na délku období uchovávání, množství či povahu uchovávaných údajů, pokud lze z uvedeného souboru údajů vyvodit přesné závěry o soukromém životě subjektu údajů nebo subjektů údajů [co se týká přístupu k takovým údajům, viz rozsudek ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci), C‑746/18, EU:C:2021:152, bod 39].

89      V tomto ohledu je třeba uvést, že velmi přesné informace o soukromém životě uživatele prostředku elektronické komunikace lze získat i na základě uchovávání omezeného množství provozních nebo lokalizačních údajů nebo uchovávání těchto údajů na krátkou dobu. Kromě toho množství dostupných údajů a z nich vyplývající velmi přesné informace o soukromém životě subjektu údajů lze posoudit až po zpřístupnění uvedených údajů. K zásahu vyplývajícímu z uchovávání uvedených údajů přitom dochází nutně před tím, než lze údaje a z nich vyplývající informace zpřístupnit. Posouzení závažnosti zásahu, k němuž dochází v důsledku uchovávání, se tedy musí provádět v závislosti na riziku, které obecně souvisí s kategorií uchovávaných údajů, pro soukromý život subjektů údajů; je přitom irelevantní, zda jsou z nich plynoucí informace o soukromém životě skutečně citlivé, či nikoli [v tomto smyslu viz rozsudek ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci), C‑746/18, EU:C:2021:152, bod 40].

90      V projednávaném případě, jak vyplývá z bodu 77 tohoto rozsudku a jak bylo potvrzeno při jednání, soubor provozních údajů uchovávaných po dobu deseti týdnů a lokalizačních údajů uchovávaných po dobu čtyř týdnů umožňuje vyvodit přesné závěry o soukromém životě osob, jejichž údaje jsou uchovávány, tedy o každodenních zvyklostech, o místech, kde trvale či přechodně pobývají, o denních či jiných přesunech, o aktivitách, společenských vztazích těchto osob a o společenských kruzích, se kterými se stýkají, a zejména vytvořit profil uvedených osob.

91      Zatřetí, pokud jde o záruky stanovené vnitrostátní právní úpravou dotčenou v původním řízení, jejichž cílem je chránit uchovávané údaje před riziky zneužití a před jakýmkoli protiprávním přístupem, je třeba uvést, že uchovávání těchto údajů a přístup k nim představují, jak vyplývá z judikatury připomenuté v bodě 60 tohoto rozsudku, samostatné zásahy do základních práv zaručených v článcích 7 a 11 Listiny vyžadující samostatné odůvodnění podle jejího čl. 52 odst. 1. Z toho vyplývá, že vnitrostátní právní předpisy zajišťující plné dodržování podmínek vyplývajících z judikatury, která vyložila směrnici 2002/58 v oblasti přístupu k uchovávaným údajům, nemohou být z povahy věci způsobilé omezit, či dokonce zhojit závažný zásah do práv zaručených v článcích 5 a 6 této směrnice a základními právy, jejichž konkrétním vyjádřením jsou tyto články, který by vyplýval z plošného uchovávání těchto údajů stanoveného těmito vnitrostátními právními předpisy (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 47).

92      Nakonec začtvrté, pokud jde o argument Evropské komise, podle kterého by zvlášť závažná trestná činnost mohla být považována za hrozbu pro národní bezpečnost, Soudní dvůr již rozhodl, že cíl zajistit národní bezpečnosti odpovídá prvořadému zájmu chránit základní funkce státu a základní zájmy společnosti prevencí a represí činností, které by mohly silně destabilizovat základní ústavní, politické, hospodářské nebo společenské uspořádání země, a zejména přímo ohrožovat společnost, obyvatelstvo nebo stát jako takový, jako jsou mimo jiné teroristické činnosti (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 61 a citovaná judikatura).

93      Na rozdíl od trestné činnosti, byť obzvláště závažné, musí být hrozba pro národní bezpečnost skutečná a aktuální nebo přinejmenším předvídatelná, což předpokládá existenci dostatečně konkrétních okolností, aby bylo možné odůvodnit plošné a nerozlišující uchovávání provozních a lokalizačních údajů po omezenou dobu. Taková hrozba se tedy svou povahou, závažností a specifickou povahou okolností, které ji vytvářejí, liší od obecného a trvalého rizika vzniku napětí nebo narušování, byť závažného, veřejné bezpečnosti nebo rizika závažných trestných činů (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 62, jakož i citovaná judikatura).

94      Trestnou činnost, byť obzvláště závažnou, tedy nelze postavit na roveň hrozbě pro národní bezpečnost. Takové postavení na roveň by totiž mohlo zavést kategorii na pomezí národní bezpečnosti a veřejné bezpečnosti, aby se na posledně uvedenou uplatnily požadavky vlastní prvně uvedené (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 63).

 K opatřením, která stanovují cílené uchovávání, urychlené uchovávání nebo uchovávání IP adres

95      Několik vlád, včetně francouzské vlády, zdůrazňuje, že pouze plošné a nerozlišující uchovávání umožňuje účinné dosažení cílů sledovaných opatřeními stanovujícími uchovávání, zatímco německá vláda v podstatě upřesňuje, že takový závěr není vyvrácen skutečností, že členské státy mohou použít opatření stanovující cílené uchovávání a urychlené uchovávání uvedená v bodě 75 tohoto rozsudku.

96      V tomto ohledu je třeba na prvním místě uvést, že účinnost trestního stíhání zpravidla nezávisí na jediném vyšetřovacím nástroji, nýbrž na všech vyšetřovacích nástrojích, které mají za tímto účelem k dispozici příslušné vnitrostátní orgány (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 69).

97      Na druhém místě čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8 a 11, jakož i čl. 52 odst. 1 Listiny, jak je vykládán judikaturou připomenutou v bodě 75 tohoto rozsudku, umožňuje členským státům přijmout za účelem boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti nejen opatření zavádějící cílené uchovávání a urychlené uchovávání, ale rovněž opatření, která stanoví plošné a nerozlišující uchovávání údajů o totožnosti uživatelů prostředků elektronické komunikace i IP adres přidělených zdroji připojení (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 70).

98      V tomto ohledu je nesporné, že uchovávání údajů o totožnosti uživatelů prostředků elektronické komunikace může přispět k boji proti závažné trestné činnosti, pokud tyto údaje umožňují identifikovat osoby, které takové prostředky použily v souvislosti s přípravou nebo spácháním činu spadajícího pod závažnou trestnou činnost (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 71).

99      Směrnice 2002/58 přitom nebrání plošnému uchovávání údajů o totožnosti pro účely boje proti trestné činnosti obecně. Za těchto podmínek je třeba upřesnit, že ani tato směrnice, ani žádný jiný akt unijního práva nebrání vnitrostátním právním předpisům, jejichž předmětem je boj proti závažné trestné činnosti, podle kterých je pořízení takového prostředku elektronické komunikace, jako je předplacená SIM karta, podmíněno ověřením úředních dokladů prokazujících totožnost kupujícího a registrací informací, které z nich vyplývají, prodávajícím, přičemž prodávající je případně povinen zpřístupnit tyto informace příslušným vnitrostátním orgánům (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 72).

100    Kromě toho je třeba připomenout, že plošné uchovávání IP adres zdroje připojení představuje závažný zásah do práv zakotvených v článcích 7 a 8 Listiny, jelikož tyto IP adresy mohou umožňovat přesné závěry o soukromém životě uživatele dotčeného prostředku elektronické komunikace, a může mít odrazující účinky na výkon svobody projevu zaručené v článku 11 Listiny. V souvislosti s takovým uchováváním však Soudní dvůr konstatoval, že pro účely nezbytného sladění dotčených práv a zájmů, které vyžaduje judikatura uvedená v bodech 65 až 68 tohoto rozsudku, je třeba zohlednit skutečnost, že v případě trestného činu spáchaného on-line, a obzvláště v případě získávání, šíření, předávání nebo zpřístupňování dětské pornografie na internetu ve smyslu čl. 2 písm. c) směrnice Evropského parlamentu a Rady 2011/93/EU ze dne 13. prosince 2011 o boji proti pohlavnímu zneužívání a pohlavnímu vykořisťování dětí a proti dětské pornografii, kterou se nahrazuje rámcové rozhodnutí Rady 2004/68/SVV (Úř. věst. 2011, L 335, s. 1), může IP adresa představovat jediný vyšetřovací prostředek umožňující identifikovat osobu, které byla tato adresa přidělena v okamžiku spáchání tohoto trestného činu (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 73).

101    Ačkoli je za těchto podmínek pravda, že legislativní opatření stanovící uchovávání IP adres všech fyzických osob, které jsou vlastníky koncového zařízení, z něhož může být přístup k internetu uskutečňován, se vztahuje na osoby, které nemají na první pohled ve smyslu judikatury citované v bodě 70 tohoto rozsudku žádnou spojitost se sledovanými cíli, a že uživatelé internetu mohou v souladu s tím, co bylo konstatováno v bodě 54 tohoto rozsudku, na základě článků 7 a 8 Listiny právem očekávat, že jejich totožnost v zásadě nebude odhalena, legislativní opatření stanovící plošné a nerozlišující uchovávání samotných IP adres přidělených zdroji připojení se v zásadě nejeví být v rozporu s čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8 a 11 a čl. 52 odst. 1 Listiny, pokud tato možnost podléhá přísným hmotněprávním i procesním podmínkám, kterými se použití těchto údajů musí řídit (rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 155).

102    S ohledem na závažnost zásahu do základních práv zakotvených v článcích 7 a 8 Listiny, který toto uchovávání představuje, může být tento zásah odůvodněn – stejně jako v případě zajištění národní bezpečnosti – pouze bojem proti závažné trestné činnosti a předcházením závažnému ohrožení veřejné bezpečnosti. Kromě toho doba uchovávání nemůže překročit dobu nezbytně nutnou s ohledem na sledovaný cíl. Konečně musí opatření této povahy stanovit přísné podmínky a záruky pro využívání těchto údajů, zejména prostřednictvím sledování, ve vztahu ke komunikacím a činnostem uskutečňovaným subjekty údajů na internetu (rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 156).

103    Na rozdíl od toho, na co poukázal předkládající soud, tak mezi body 155 a 168 rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791) neexistuje pnutí. Jak totiž v podstatě uvedl generální advokát v bodech 81 a 82 svého stanoviska, z tohoto bodu 155 ve spojení s bodem 156 a bodem 168 tohoto rozsudku jasně vyplývá, že pouze boj proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti mohou podobně jako zajištění národní bezpečnosti odůvodnit plošné uchovávání IP adres přidělených zdroji připojení bez ohledu na to, zda subjekty údajů mohou mít alespoň nepřímou souvislost se sledovanými cíli.

104    Na třetím místě, pokud jde o legislativní opatření, která stanoví cílené uchovávání a urychlené uchovávání provozních a lokalizačních údajů, z některých námitek členských států proti takovým opatřením je patrné užší chápání rozsahu těchto opatření, než z jakého vychází judikatura připomenutá v bodě 75 tohoto rozsudku. Tato ochranná opatření sice musí mít v souladu s tím, co bylo připomenuto v bodě 57 tohoto rozsudku, povahu výjimky ze systému zavedeného směrnicí 2002/58, avšak tato směrnice, vykládaná ve světle základních práv zakotvených v článcích 7, 8 a 11, jakož i v čl. 52 odst. 1 Listiny, nepodmiňuje možnost vydat soudní příkaz, kterým se ukládá cílené uchovávání, tím, aby byla předem známa místa, kde může dojít k závažnému trestnému činu, nebo osoby podezřelé z účasti na takovém činu. Stejně tak uvedená směrnice nevyžaduje, aby byl soudní příkaz požadující urychlené uchovávání omezen na podezřelé identifikované před vydáním takového příkazu (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 75).

105    Pokud jde zaprvé o cílené uchovávání, Soudní dvůr rozhodl, že čl. 15 odst. 1 směrnice 2002/58 nebrání vnitrostátní právní úpravě založené na objektivních skutečnostech, na jejichž základě lze vymezit okruh osob, jejichž provozní a lokalizační údaje mohou vykázat minimálně nepřímou souvislost se závažnou trestnou činností nebo určitým způsobem přispívat k boji proti závažné trestné činnosti či k předcházení závažnému ohrožení veřejné bezpečnosti nebo národní bezpečnosti (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 76 a citovaná judikatura).

106    Soudní dvůr v tomto ohledu upřesnil, že i když tyto objektivní skutečnosti mohou být různé v závislosti na opatřeních přijatých za účelem prevence, vyšetřování, odhalování a stíhání závažné trestné činnosti, takto dotčenými osobami mohou být zejména osoby, které byly předtím v rámci příslušných vnitrostátních postupů a na základě objektivních skutečností identifikovány jako osoby představující hrozbu pro veřejnou bezpečnost nebo národní bezpečnost dotčeného členského státu (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 77).

107    Členské státy tedy mají zejména možnost přijmout opatření spočívající v uchovávání údajů týkající se osob, které jsou na základě takové identifikace předmětem vyšetřování nebo jiných aktuálních opatření dohledu nebo mají záznam ve vnitrostátním rejstříku trestů o předchozím odsouzení za závažné trestné činy, které může znamenat zvýšené riziko opakování trestné činnosti. Pokud je přitom taková identifikace založena na objektivních a nediskriminačních skutečnostech vymezených vnitrostátním právem, je cílené uchovávání zaměřené na takto identifikované osoby odůvodněné (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 78).

108    Opatření spočívající v cíleném uchovávání provozních a lokalizačních údajů může být, podle rozhodnutí vnitrostátního zákonodárce a při striktním dodržení zásady proporcionality, založeno rovněž na zeměpisném kritériu, jestliže příslušné vnitrostátní orgány mají na základě objektivních a nediskriminačních skutečností za to, že v jedné nebo více z územních oblastí existuje zvýšené riziko přípravy či páchání závažných trestných činů. Těmito oblastmi mohou být zejména místa vyznačující se vysokým počtem závažných trestných činů, místa zvláště vystavená páchání závažné trestné činnosti, jako například místa nebo infrastruktury pravidelně navštěvované velmi vysokým počtem osob, nebo také strategická místa, jako jsou letiště, nádraží, námořní přístavy nebo zóny výběru mýtného (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 79 a citovaná judikatura).

109    Je třeba zdůraznit, že podle této judikatury mohou příslušné vnitrostátní orgány přijmout pro oblasti uvedené v předchozím bodě opatření spočívající v cíleném uchovávání údajů založené na takovém zeměpisném kritériu, jako je zejména průměrná míra trestné činnosti v zeměpisné oblasti, aniž by nutně měly k dispozici konkrétní indicie týkající se přípravy nebo páchání závažných trestných činů v dotčených oblastech. Vzhledem k tomu, že cílené uchovávání založené na takovém kritériu se může, v závislosti na dotčených závažných trestných činech a situaci jednotlivých členských států, týkat zároveň míst charakterizovaných vysokým počtem závažných trestných činů i míst zvláště vystavených páchání takových činů, nemůže v zásadě vést ani k diskriminaci, jelikož kritérium průměrné míry závažné trestné činnosti samo o sobě nemá žádnou spojitost s potenciálně diskriminačními prvky (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 80).

110    Kromě toho a především opatření spočívající v cíleném uchovávání údajů týkající se míst nebo infrastruktur pravidelně navštěvovaných velkým počtem osob nebo strategických míst, jako jsou letiště, nádraží, námořní přístavy nebo zóny výběru mýtného, umožňuje příslušným orgánům shromažďovat provozní údaje, a zejména lokalizační údaje všech osob, které v daném okamžiku používají na jednom z těchto míst prostředek elektronické komunikace. Takové cílené uchovávání může uvedeným orgánům umožnit získat, prostřednictvím přístupu k takto uchovávaným údajům, informace o přítomnosti těchto osob v místech nebo v zeměpisných oblastech, na které se toto opatření vztahuje, jakož i o jejich pohybu mezi nimi nebo v jejich rámci a vyvodit z toho pro účely boje proti závažné trestné činnosti závěry o jejich přítomnosti a činnosti v těchto místech nebo těchto zeměpisných oblastech v daném okamžiku během doby uchovávání (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 81).

111    Je třeba ještě uvést, že zeměpisné oblasti, na které se vztahuje takové cílené uchovávání, mohou, a případně musí být změněny v závislosti na vývoji podmínek, které vedly k jejich výběru, což zejména umožňuje reagovat na vývoj boje proti závažné trestné činnosti. Soudní dvůr již totiž rozhodl, že doba trvání opatření spočívajících v cíleném uchovávání popsaných v bodech 105 až 110 tohoto rozsudku nemůže přesáhnout dobu, která je nezbytně nutná s ohledem na sledovaný cíl, jakož i na okolnosti, které je odůvodňují, aniž je dotčena možnost případného obnovení, trvají-li důvody, ze kterých je takové uchovávání i nadále nezbytné (rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 151, a ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 82).

112    Pokud jde o možnost stanovit jiná rozlišující kritéria pro provádění cíleného uchovávání provozních a lokalizačních údajů, než je osobní nebo zeměpisné kritérium, nelze vyloučit, že mohou přicházet v úvahu jiná, objektivní a nediskriminační, kritéria k zajištění toho, aby se rozsah cíleného uchovávání omezil na to, co je nezbytně nutné, a k zajištění přinejmenším nepřímé souvislosti mezi závažnou trestnou činností a osobami, jejichž údaje jsou uchovávány. Nicméně vzhledem k tomu, že čl. 15 odst. 1 směrnice 2002/58 hovoří o legislativních opatřeních členských států, přísluší členským státům, a nikoli Soudnímu dvoru, aby taková kritéria určil, přičemž samozřejmě tímto způsobem nelze znovu zavést plošné a nerozlišující uchovávání provozních a lokalizačních údajů (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 83).

113    V každém případě, jak uvedl generální advokát v bodě 50 svého stanoviska, případná obtížnost přesného nastavení případů a podmínek, za nichž lze provádět cílené uchovávání, nemůže ospravedlnit to, aby členské státy z výjimky učinily pravidlo a stanovily plošné a nerozlišující uchovávání provozních a lokalizačních údajů (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 84).

114    Pokud jde zadruhé o urychlené uchovávání provozních a lokalizačních údajů zpracovávaných a uchovávaných poskytovateli služeb elektronické komunikace na základě článků 5, 6 a 9 směrnice 2002/58 nebo na základě legislativních opatření přijatých podle čl. 15 odst. 1 této směrnice, je třeba připomenout, že takové údaje musí být v zásadě buď vymazány, nebo anonymizovány po uplynutí zákonných lhůt, ve kterých má v souladu s vnitrostátními právními předpisy provádějícími tuto směrnici probíhat jejich zpracování a uchovávání. Soudní dvůr nicméně rozhodl, že v průběhu tohoto zpracování a uchovávání se mohou vyskytnout situace, v nichž se ukáže jako nezbytné uchovávat uvedené údaje po uplynutí těchto dob za účelem objasnění závažných trestných činů nebo narušení národní bezpečnosti, a to jak v situaci, kdy již bylo možné tato protiprávní jednání či narušení zjistit, tak v situaci, kdy lze na základě objektivního posouzení všech relevantních okolností jejich existenci důvodně předpokládat (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 85).

115    V takové situaci mohou členské státy s ohledem na nezbytné sladění dotčených práv a zájmů uvedené v bodech 65 až 68 tohoto rozsudku stanovit v právních předpisech přijatých na základě čl. 15 odst. 1 směrnice 2002/58 možnost přikázat rozhodnutím příslušného orgánu, které podléhá účinnému soudnímu přezkumu, poskytovatelům služeb elektronických komunikací, aby po určenou dobu prováděli urychlené uchování provozních a lokalizačních údajů, jimiž disponují (rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 163, a ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 86).

116    V rozsahu, v němž účel takového urychleného uchování již neodpovídá účelům, pro které byly údaje původně shromážděny a uchovávány, a každé zpracování údajů musí podle čl. 8 odst. 2 Listiny odpovídat stanoveným účelům, musí členské státy ve svých právních předpisech upřesnit účel, pro který může být urychlené uchování údajů provedeno. S ohledem na závažnost zásahu do základních práv zakotvených v článcích 7 a 8 Listiny, který může takové uchovávání představovat, může být tento zásah odůvodněn pouze bojem proti závažné trestné činnosti a a fortiori zajištěním národní bezpečnosti, za podmínky, že toto opatření, jakož i přístup k takto uchovávaným údajům respektují meze toho, co je nezbytně nutné, jak jsou uvedeny v bodech 164 až 167 rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791) (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 87).

117    Soudní dvůr upřesnil, že takové uchovávání údajů nemusí být omezeno na údaje osob dříve identifikovaných jako osoby ohrožující veřejnou bezpečnost nebo národní bezpečnost dotyčného členského státu nebo osob konkrétně podezřelých ze spáchání závažných trestných činů nebo z narušení národní bezpečnosti. Podle Soudního dvora totiž při zachování rámce vymezeného v čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8 a 11 a čl. 52 odst. 1 Listiny a se zřetelem k úvahám uvedeným v bodě 70 tohoto rozsudku může být takové opatření – podle rozhodnutí vnitrostátního zákonodárce a při dodržení mezí toho, co je nezbytně nutné – rozšířeno na provozní a lokalizační údaje týkající se jiných osob než těch, které jsou podezřelé z plánování nebo spáchání závažného trestného činu nebo narušení národní bezpečnosti, pokud tyto údaje mohou na základě objektivních a nediskriminačních kritérií přispět k objasnění takového trestného činu nebo takového narušení národní bezpečnosti, jako například údaje o oběti tohoto činu a o jejím sociálním nebo profesním zázemí (rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 165, a ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 88).

118    Legislativní opatření tedy může dovolovat, aby poskytovatelé služeb elektronických komunikací prováděli urychlené uchovávání provozních a lokalizačních údajů zejména osob, se kterými byla oběť před tím, než došlo k závažnému ohrožení veřejné bezpečnosti nebo spáchání závažného trestného činu, v kontaktu za použití svých prostředků elektronické komunikace (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 89).

119    Takové urychlené uchovávání může být podle judikatury Soudního dvora připomenuté v bodě 117 tohoto rozsudku a za stejných podmínek, jako jsou podmínky uvedené v tomto bodě, rozšířeno rovněž na určité zeměpisné oblasti, jako jsou místa spáchání a přípravy trestného činu nebo narušení bezpečnosti dotčeného státu. Je třeba upřesnit, že předmětem takového opatření mohou být i provozní a lokalizační údaje týkající se místa, kde osoba, potenciální oběť závažného trestného činu, zmizela, za podmínky, že toto opatření, jakož i přístup k takto uchovávaným údajům respektují meze toho, co je nezbytně nutné pro účely boje proti závažné trestné činnosti nebo ochrany národní bezpečnosti, jak jsou uvedeny v bodech 164 až 167 rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791) (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 90).

120    Kromě toho je třeba upřesnit, že čl. 15 odst. 1 této směrnice nebrání tomu, aby příslušné vnitrostátní orgány nařídily opatření spočívající v urychleném uchovávání již v první fázi vyšetřování týkajícího se vážného ohrožení veřejné bezpečnosti nebo případného závažného trestného činu, tedy od okamžiku, kdy tyto orgány mohou podle příslušných ustanovení vnitrostátního práva takové vyšetřování zahájit (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 91).

121    Pokud jde ještě o rozmanitost opatření k uchovávání provozních a lokalizačních údajů uvedených v bodě 75 tohoto rozsudku, je třeba upřesnit, že tato různá opatření mohou být – podle rozhodnutí vnitrostátního zákonodárce a při dodržení mezí toho, co je nezbytně nutné – uplatněna společně. Za těchto podmínek čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8 a 11 a čl. 52 odst. 1 Listiny, jak je vykládán judikaturou vycházející z rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), nebrání kombinaci těchto opatření (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 92).

122    Na čtvrtém a posledním místě je třeba zdůraznit, že přiměřenost opatření přijatých podle čl. 15 odst. 1 směrnice 2002/58 vyžaduje podle ustálené judikatury Soudního dvora, jak byla shrnuta v rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), dodržení nejen požadavků vhodnosti a nezbytnosti, ale i požadavku přiměřenosti těchto opatření ve vztahu ke sledovanému cíli (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 93).

123    V této souvislosti je třeba připomenout, že Soudní dvůr v bodě 51 rozsudku ze dne 8. dubna 2014, Digital Rights Ireland a další (C‑293/12 a C‑594/12, EU:C:2014:238), rozhodl, že i když má boj proti závažné trestné činnosti prvořadý význam pro zajištění veřejné bezpečnosti a jeho účinnost může do velké míry záviset na použití moderních vyšetřovacích metod, nemůže takový cíl obecného zájmu, přestože se jedná o cíl základní, sám o sobě odůvodnit, aby takové opatření spočívající v plošném a nerozlišujícím uchovávání provozních a lokalizačních údajů, jaké zavedla směrnice 2006/24, bylo považováno za nezbytné (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 94).

124    V témže smyslu Soudní dvůr v bodě 145 rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), upřesnil, že ani v důsledku pozitivních povinností členských států, které by případně mohly vyplývat z článků 3, 4 a 7 Listiny a týkají se, jak bylo uvedeno výše v bodě 64 tohoto rozsudku, zavedení pravidel umožňujících účinný boj proti trestným činům, přitom nelze odůvodnit tak závažné zásahy, jaké s sebou nese vnitrostátní právní úprava stanovící uchovávání provozních a lokalizačních údajů do základních práv zakotvených v článcích 7 a 8 Listiny, a to ve vztahu k téměř veškerému obyvatelstvu, aniž mají údaje dotyčných osob nějakou souvislost, byť nepřímou, se sledovaným cílem (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 95).

125    Kromě toho rozsudky ESLP ze dne 25. května 2021, Big Brother Watch a další v. Spojené království (CE:ECHR:2021:0525JUD 005817013), a ze dne 25. května 2021, Centrum för Rättvisa v. Švédsko (CE:ECHR:2021:0525JUD 003525208), kterých se některé vlády dovolávaly na jednání na podporu tvrzení, že EÚLP nebrání vnitrostátním právním úpravám, které v podstatě stanoví plošné a nerozlišující uchovávání provozních a lokalizačních údajů, nemohou zpochybnit výklad čl. 15 odst. 1 směrnice 2002/58 vyplývající z výše uvedených úvah. V těchto rozsudcích se totiž jednalo o hromadné zachycování údajů souvisejících s mezinárodními komunikacemi. Jak uvedla Komise na jednání, ESLP se tak v uvedených rozsudcích nevyjádřil k souladu plošného a nerozlišujícího uchovávání provozních a lokalizačních údajů na vnitrostátním území či rozsáhlého zachycování těchto údajů pro účely prevence, odhalování a vyšetřování závažných trestných činů s EÚLP. V každém případě je třeba připomenout, že cílem čl. 52 odst. 3 Listiny je zajistit nezbytný soulad mezi právy obsaženými v Listině a odpovídajícími právy zaručenými EÚLP, aniž je narušena autonomie unijního práva a Soudního dvora Evropské unie, takže je pro účely výkladu Listiny třeba zohlednit odpovídající práva zaručená EÚLP pouze jakožto minimální úroveň ochrany (rozsudek ze dne 17. prosince 2020, Centraal Israëlitisch Consistorie van België a další, C‑336/19, EU:C:2020:1031, bod 56).

 K přístupu k údajům, které byly uchovány plošně a nerozlišujícím způsobem

126    Dánská vláda na jednání uvedla, že příslušné vnitrostátní orgány by měly mít za účelem boje proti závažné trestné činnosti možnost přístupu k provozním a lokalizačním údajům, které byly uchovány plošně a nerozlišujícím způsobem v souladu s judikaturou vycházející z rozsudku ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, body 135 až 139), aby daný členský stát mohl čelit závažné hrozbě pro národní bezpečnost, která je skutečná a aktuální či předvídatelná.

127    Je třeba rovnou uvést, že povolení přístupu, za účelem boje proti závažné trestné činnosti, k provozním a lokalizačním údajům, které byly uchovány plošně a nerozlišujícím způsobem, by tento přístup činilo závislým na okolnostech nesouvisejících s tímto cílem podle toho, zda v dotčeném členském státě existuje, či neexistuje závažná hrozba pro národní bezpečnost, jak je uvedena v předchozím bodě, zatímco z hlediska samotného cíle boje proti závažné trestné činnosti, který má odůvodňovat uchovávání těchto údajů a přístup k nim, by nic neodůvodňovalo rozdíl v zacházení, zejména mezi členskými státy (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 97).

128    Jak Soudní dvůr již rozhodl, přístup k provozním a lokalizačním údajům uchovávaným poskytovateli služeb elektronických komunikací na základě opatření přijatého podle čl. 15 odst. 1 směrnice 2002/58, který musí být prováděn plně v souladu s podmínkami vyplývajícími z judikatury, která vyložila tuto směrnici, může být v zásadě odůvodněn pouze cílem obecného zájmu, pro který bylo těmto poskytovatelům toto uchovávání uloženo. Jinak je tomu pouze tehdy, když význam cíle sledovaného přístupem přesahuje význam cíle, který je důvodem uchovávání (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 98).

129    Argumentace dánské vlády se přitom týká situace, kdy cíl zamýšlené žádosti o přístup, a sice boj proti závažné trestné činnosti, má v hierarchii cílů obecného zájmu menší význam než cíl, který odůvodňoval uchovávání, a sice zajištění národní bezpečnosti. Povolit v takové situaci přístup k uchovávaným údajům by bylo v rozporu s touto hierarchií cílů obecného zájmu připomenutou v předchozím bodě, jakož i v bodech 68, 71, 72 a 73 tohoto rozsudku (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 99).

130    Kromě toho a především podle judikatury připomenuté v bodě 74 tohoto rozsudku nemohou být provozní a lokalizační údaje předmětem plošného a nerozlišujícího uchovávání pro účely boje proti závažné trestné činnosti, a tudíž přístup k těmto údajům nemůže být pro tyto účely odůvodněn. Pokud přitom byly tyto údaje výjimečně uchovávány plošně a nerozlišujícím způsobem pro účely zajištění národní bezpečnosti před hrozbou, která je skutečná nebo předvídatelná, za podmínek uvedených v bodě 71 tohoto rozsudku, vnitrostátní orgány příslušné v oblasti trestního vyšetřování nemohou mít k uvedeným údajům přístup v rámci trestního stíhání, neboť jinak by zákaz provádět takové uchovávání údajů pro účely boje proti závažné trestné činnosti, který je připomenut v uvedeném bodě 74, byl zbaven veškerého užitečného účinku (rozsudek ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 100).

131    S ohledem na všechny výše uvedené úvahy je třeba odpovědět na předběžnou otázku tak, že čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8 a 11 a čl. 52 odst. l Listiny musí být vykládán v tom smyslu, že brání vnitrostátním legislativním opatřením, která pro účely boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti preventivně stanoví plošné a nerozlišující uchovávání provozních a lokalizačních údajů. Naproti tomu uvedený čl. 15 odst. 1 ve spojení s články 7, 8 a 11 a čl. 52 odst. 1 musí být Listiny vykládán v tom smyslu, že nebrání vnitrostátním legislativním opatřením,

–        která za účelem zajištění národní bezpečnosti stanoví možnost přikázat poskytovatelům služeb elektronických komunikací, aby prováděli plošné a nerozlišující uchovávání provozních a lokalizačních údajů v situacích, kdy dotyčný členský stát čelí závažnému ohrožení národní bezpečnosti, které se jeví jako skutečné a aktuální nebo předvídatelné, přičemž rozhodnutí o uložení tohoto příkazu může být předmětem účinného přezkumu soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, a cílem tohoto přezkumu bude ověřit, že nastala některá z těchto situací, jakož i dodržení podmínek a záruk, které musí být stanoveny, a tento příkaz může být vydán pouze na dobu nezbytně nutnou, avšak s možností prodloužení, pokud ohrožení přetrvává;

–        která za účelem zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti stanoví cílené uchovávání provozních a lokalizačních údajů, které je na základě objektivních a nediskriminačních kritérií vymezeno kategoriemi dotčených osob nebo prostřednictvím zeměpisného kritéria, na dobu nezbytně nutnou, avšak s možností prodloužení;

–        která za účelem zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti stanoví plošné a nerozlišující uchovávání IP adres přidělených zdroji připojení, a to po nezbytně nutnou dobu;

–        která za účelem zajištění národní bezpečnosti, boje proti trestné činnosti a veřejné bezpečnosti stanoví plošné a nerozlišující uchovávání údajů o totožnosti uživatelů prostředků elektronické komunikace a

–        která za účelem boje proti závažné trestné činnosti a a fortiori zajištění národní bezpečnosti stanoví možnost přikázat rozhodnutím příslušného orgánu, které podléhá účinnému soudnímu přezkumu, poskytovatelům služeb elektronických komunikací, aby po určenou dobu prováděli urychlené uchování provozních a lokalizačních údajů, jimiž disponují,

pokud tato opatření pomocí jasných a přesných pravidel zajišťují při uchovávání dotčených údajů dodržení souvisejících hmotněprávních a procesních podmínek a subjekty údajů mají k dispozici účinné záruky proti riziku zneužití.

 K nákladům řízení

132    Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

Článek 15 odst. 1 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 ve spojení s články 7, 8 a 11, jakož i s čl. 52 odst. 1 Listiny základních práv Evropské unie,

musí být vykládán v tom smyslu, že

brání legislativním opatřením, která pro účely boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti preventivně stanoví plošné a nerozlišující uchovávání provozních a lokalizačních údajů;

nebrání vnitrostátním legislativním opatřením,

–        která za účelem zajištění národní bezpečnosti stanoví možnost přikázat poskytovatelům služeb elektronických komunikací, aby prováděli plošné a nerozlišující uchovávání provozních a lokalizačních údajů v situacích, kdy dotyčný členský stát čelí závažnému ohrožení národní bezpečnosti, které se jeví jako skutečné a aktuální nebo předvídatelné, přičemž rozhodnutí o uložení tohoto příkazu může být předmětem účinného přezkumu soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, a cílem tohoto přezkumu bude ověřit, že nastala některá z těchto situací, jakož i dodržení podmínek a záruk, které musí být stanoveny, a tento příkaz může být vydán pouze na dobu nezbytně nutnou, avšak s možností prodloužení, pokud ohrožení přetrvává;

–        která za účelem zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti stanoví cílené uchovávání provozních a lokalizačních údajů, které je na základě objektivních a nediskriminačních kritérií vymezeno kategoriemi dotčených osob nebo prostřednictvím zeměpisného kritéria, na dobu nezbytně nutnou, avšak s možností prodloužení;

–        která za účelem zajištění národní bezpečnosti, boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti stanoví plošné a nerozlišující uchovávání IP adres přidělených zdroji připojení, a to po nezbytně nutnou dobu;

–        která za účelem zajištění národní bezpečnosti, boje proti trestné činnosti a veřejné bezpečnosti stanoví plošné a nerozlišující uchovávání údajů o totožnosti uživatelů prostředků elektronické komunikace a

–        která za účelem boje proti závažné trestné činnosti a a fortiori zajištění národní bezpečnosti stanoví možnost přikázat rozhodnutím příslušného orgánu, které podléhá účinnému soudnímu přezkumu, poskytovatelům služeb elektronických komunikací, aby po určenou dobu prováděli urychlené uchování provozních a lokalizačních údajů, jimiž disponují,

pokud tato opatření pomocí jasných a přesných pravidel zajišťují při uchovávání dotčených údajů dodržení souvisejících hmotněprávních a procesních podmínek a subjekty údajů mají k dispozici účinné záruky proti riziku zneužití.

Podpisy.

*      Jednací jazyk: němčina.