PRESUDA SUDA (veliko vijeće)
2. listopada 2018.(*)
„Zahtjev za prethodnu odluku – Elektroničke komunikacije – Obrada osobnih podataka – Direktiva 2002/58/EZ – Članci 1. i 3. – Područje primjene – Povjerljivost elektroničkih komunikacija – Zaštita – Članak 5. i članak 15. stavak 1. – Povelja Europske unije o temeljnim pravima – Članci 7. i 8. – Podaci prikupljeni u okviru pružanja usluga elektroničkih komunikacija – Pristup državnih tijela podacima u svrhu istrage – Stupanj težine kaznenog djela kojim se može opravdati pristup podacima”
U predmetu C‑207/16,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputila Audiencia Provincial de Tarragona (Provincijski sud u Tarragoni, Španjolska), odlukom od 6. travnja 2016., koju je Sud zaprimio 14. travnja 2016., u postupku
Ministerio Fiscal
SUD (veliko vijeće),
u sastavu: K. Lenaerts, predsjednik, A. Tizzano, potpredsjednik, R. Silva de Lapuerta, T. von Danwitz (izvjestitelj), J. L. da Cruz Vilaça, C. G. Fernlund i C. Vajda, predsjednici vijeća, E. Juhász, A. Borg Barthet, C. Toader, M. Safjan, D. Šváby, M. Berger, E. Jarašiūnas i E. Regan, suci,
nezavisni odvjetnik: H. Saugmandsgaard Øe,
tajnik: L.Carrasco Marco, administratorica,
uzimajući u obzir pisani postupak i nakon rasprave održane 29. siječnja 2018.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Ministerio Fiscal, E. Tejada de la Fuente,
– za španjolsku vladu, M. Sampol Pucurull, u svojstvu agenta,
– za češku vladu, M. Smolek, J. Vláčil i A. Brabcová, u svojstvu agenata,
– za dansku vladu, J. Nymann‑Lindegren i M. Wolff, u svojstvu agenata,
– za estonsku vladu, N. Grünberg, u svojstvu agenta,
– za Irsku, M. Browne, L. Williams, E. Creedon i A. Joyce, u svojstvu agenata, uz asistenciju E. Gibson, BL,
– za francusku vladu, D. Colas, E. de Moustier i E. Armoet, u svojstvu agenata,
– za latvijsku vladu, I. Kucina i J. Davidoviča, u svojstvu agenata,
– za mađarsku vladu, M. Fehér i G. Koós, u svojstvu agenata,
– za austrijsku vladu, C. Pesendorfer, u svojstvu agenta,
– za poljsku vladu, B. Majczyna, D. Lutostańska i J. Sawicka, u svojstvu agenata,
– za vladu Ujedinjene Kraljevine, S. Brandon i C. Brodie, u svojstvu agenata, uz asistenciju C. Knighta, barrister, i G. Facenne, QC,
– za Europsku komisiju, I. Martínez del Peral, P. Costa de Oliveira, R. Troosters i D. Nardi, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 3. svibnja 2018.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku u biti se odnosi na tumačenje članka 15. stavka 1. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. (SL 2009., L 337, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 224. i ispravci SL 2017., L 162, str. 56. i SL 2018., L 74, str. 11.) (u daljnjem tekstu: Direktiva 2002/58), u vezi s člancima 7. i 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).
2 Zahtjev je upućen u okviru žalbenog postupka koji je pokrenuo Ministerio Fiscal (Državno odvjetništvo, Španjolska), podnošenjem žalbe protiv odluke Juzgada de Instrucción n° 3 de Tarragona (Istražni sud br. 3 u Tarragoni, u daljnjem tekstu: istražni sud) kojom je policiji odbijen pristup osobnim podacima koje su zadržali pružatelji usluga elektroničkih komunikacija.
Pravni okvir
Pravo Unije
Direktiva 95/46
3 Člankom 2. točkom (b) Direktive Europskog parlamenta i Vijeća 95/46/EZ od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) predviđeno je da, u smislu te direktive, „obrada osobnih podataka” znači „bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje”.
4 Člankom 3. navedene direktive, naslovljenim „Područje primjene”, određeno je:
„1. Ova Direktiva se primjenjuje na osobne podatke koji se u cijelosti ili djelomično obrađuju automatskim putem i na obradu podataka koja nije automatska, a koja čini dio sustava arhiviranja ili će činiti dio sustava arhiviranja.
2. Ova se Direktiva ne primjenjuje na obradu osobnih podataka:
– tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. Ugovora o Europskoj uniji i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava,
– koju provodi fizička osoba tijekom aktivnosti isključivo osobne ili domaće naravi.”
Direktiva 2002/58
5 Uvodnim izjavama 2., 11., 15. i 21. Direktive 2002/58 navodi se:
„(2) Ova Direktiva traži poštovanje temeljnih prava te poštuje načela priznata posebno [Poveljom]. Direktiva posebno traži osiguranje punoga poštovanja prava određenih u člancima 7. i 8. [te povelje].
[…]
(11) Poput Direktive [95/46], ova Direktiva ne obuhvaća pitanja zaštite temeljnih prava i sloboda koj[a] se odnose na aktivnosti koje nisu uređene pravom Zajednice. Stoga se njome ne mijenja postojeća ravnoteža između prava na privatnost pojedinca i mogućnosti država članica da poduzmu mjere iz članka 15. stavka 1. ove Direktive, koje su nužne za zaštitu javne sigurnosti, obrane, državne sigurnosti (uključujući gospodarsko blagostanje države kada se aktivnosti odnose na sigurnosna pitanja države) te za provođenje odredaba kaznenog prava. Kao posljedica toga, ova Direktiva ne utječe na sposobnost država članica da provode zakonito presretanje elektroničkih komunikacija, odnosno da poduzimaju druge mjere ako je to nužno u neku od gore navedenih svrha te u skladu s Europskom konvencijom za zaštitu ljudskih prava i temeljnih sloboda, na način kako je tumači Europski sud za ljudska prava. Takve mjere moraju biti prikladne, strogo razmjerne svrsi za koju se poduzimaju i neophodne unutar demokratskog društva te trebaju biti podložne prikladnim zaštitnim mehanizmima u skladu s Europskom konvencijom za zaštitu ljudskih prava i temeljnih sloboda.
[…]
(15) Komunikacija može uključiti informacije o imenu, broju ili adresi koje pruža pošiljatelj komunikacije odnosno korisnik veze s ciljem prijenosa komunikacije. Podaci o prometu mogu uključiti svaku pretvorbu tih informacija u mreži preko koje se prenosi komunikacija u svrhu provedbe prijenosa. […]
[…]
(21) Treba poduzeti mjere kako bi se spriječio neovlašten pristup komunikacijama putem javnih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga, s ciljem zaštite povjerljivosti komunikacija, uključujući sadržaj te podatke koji se odnose na takve komunikacije. Nacionalna zakonodavstva u pojedinim državama članicama zabranjuju samo namjeran neovlašten pristup komunikacijama.”
6 Člankom 1. Direktive 2002/58, naslovljenim „Područje primjene i cilj”, predviđeno je:
„1. Direktiva osigurava usklađenost nacionalnih odredbi koje su potrebne kako bi se osigurala odgovarajuća razina zaštite osnovnih prava i sloboda, a posebno prava na privatnost i povjerljivost, s obzirom na obradu osobnih podataka u području elektroničkih komunikacija, te kako bi se osiguralo slobodno kretanje takvih podataka i elektroničke komunikacijske opreme i usluga u Zajednici.
2. Odredbe ove Direktive pojašnjavaju i nadopunjuju Direktivu [95/46] u svrhe spomenute u stavku 1. Štoviše, one pružaju zaštitu legitimnih interesa pretplatnika koji su pravne osobe.
3. Ova se Direktiva ne primjenjuje na aktivnosti koje su izvan područja primjene Ugovora o osnivanju Europske [z]ajednice, poput onih obuhvaćenih glavama V. i VI. Ugovora o Europskoj uniji, te, u svakom slučaju, na aktivnosti koje se odnose na javnu sigurnost, obranu, državnu sigurnost (uključujući gospodarsku dobrobit države kada se aktivnosti odnose na pitanja državne sigurnosti) te na aktivnosti države u području kaznenog prava.”
7 U skladu s člankom 2. Direktive 2002/58, naslovljenim „Definicije”:
„Definicije iz Direktive [95/46] i Direktive 2002/21/EZ Europskog parlamenta i Vijeća od 7. ožujka 2002. o zajedničkom regulatornom okviru za elektroničke komunikacijske mreže i usluge (Okvirna direktiva) [(SL 2002., L 108, str. 33.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 49., str. 25.)] primjenjuju se osim ako nije drukčije određeno.
Sljedeće definicije se također primjenjuju:
[…]
(b) ‚podaci o prometu’ znači svi podaci koji se obrađuju u svrhu prijenosa komunikacije na elektroničkoj komunikacijskoj mreži ili za njezino naplaćivanje;
(c) ‚podaci o lokaciji’ znači svi podaci koji se obrađuju u sklopu elektroničke komunikacijske mreže ili u sklopu usluga elektroničkih komunikacija, koji ukazuju na zemljopisnu lokaciju terminalne opreme korisnika javno dostupnih usluga elektroničkih komunikacija;
(d) ‚komunikacija’ znači svaka informacija koja se razmjenjuje ili prenosi između ograničenog broja stranaka putem javno dostupne elektroničke komunikacijske usluge. Ovo ne uključuje informaciju prenesenu kao dio usluge emitiranja za javnost putem elektroničke komunikacijske mreže, osim u onoj mjeri u kojoj se informacija može odnositi na pretplatnika ili na korisnika koji prima informaciju koji se mogu identificirati;
[…]”
8 Člankom 3. Direktive 2002/58, naslovljenim „Dotične usluge”, određeno je:
„Ova se Direktiva primjenjuje na obradu osobnih podataka vezanih uz pružanje javno dostupnih usluga elektroničkih komunikacija na javno dostupnim komunikacijskim mrežama u Zajednici, uključujući javne komunikacijske mreže koje podržavaju prikupljanje podataka i naprava za identifikaciju.”
9 U skladu s člankom 5. Direktive 2002/58, naslovljenim „Povjerljivost komunikacija”:
„1. Države članice putem svojih zakonodavstava osiguravaju povjerljivost komunikacija i s time povezanih podataka o prometu koji se šalju preko javne komunikacijske mreže i javno dostupnih elektroničkih komunikacijskih usluga. One posebno zabranjuju svim osobama koje nisu korisnici slušanje, prisluškivanje, pohranjivanje ili druge oblike presretanja odnosno nadzora nad komunikacijama i s time povezanim podacima o prometu, bez pristanka korisnika, osim u slučaju kada imaju zakonsko dopuštenje da to učine u skladu s člankom 15. stavkom 1. […]
[…]
3. Države članice osiguravaju da je pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi pretplatnika ili korisnika, dozvoljeno samo pod uvjetom da je dotični pretplatnik ili korisnik dao svoj pristanak, nakon što je iscrpno i razumljivo, u skladu s Direktivom [95/46], između ostalog obaviješten o namjeni postupka obrade. […]”
10 Člankom 6. Direktive 2002/58, naslovljenim „Podaci o prometu”, propisano je:
„1. Podaci o prometu koji se odnose na pretplatnike i korisnike i koje je davatelj javne komunikacijske mreže ili javno dostupne elektroničke komunikacijske usluge obradio i pohranio moraju se obrisati ili učiniti anonimnima kada više nisu potrebni u svrhu prijenosa komunikacije, ne dovodeći u pitanje stavke 2., 3. i 5. ovog članka te članak 15. stavak 1.
2. Podaci o prometu koji su nužni u svrhu naplaćivanja usluge od pretplatnika te u svrhu plaćanja međusobnog povezivanja mogu se obraditi. Takva je obrada dopustiva isključivo do kraja razdoblja tijekom kojega se račun može pravno pobijati ili tijekom kojega se može zahtijevati plaćanje.
[…]”
11 Člankom 15. stavkom 1. navedene direktive, naslovljenim „Primjena određenih odredaba Direktive [95/46]”, propisano je:
„Države članice mogu donijeti zakonske mjere kojima će ograničiti opseg prava i obveza koj[e] pružaju članak 5., članak 6., članak 8. stavci 1., 2., 3. i 4., te članak 9. ove Direktive kada takvo ograničenje predstavlja nužnu, prikladnu i razmjernu mjeru unutar demokratskog društva s ciljem zaštite nacionalne sigurnosti (odnosno državne sigurnosti), obrane, javne sigurnosti te s ciljem sprečavanja, istrage, otkrivanja i progona kaznenih djela odnosno neovlaštene uporabe elektroničkog komunikacijskog sustava iz članka 13. stavka 1. Direktive [95/46]. S tim u vezi, države članice mogu, između ostalog, donijeti zakonske mjere kojima se omogućuje zadržavanje podataka tijekom ograničenog razdoblja opravdane razlozima određenim u ovom stavku. Sve mjere iz ovog stavka moraju biti u skladu s općim načelima prava Zajednice, uključujući ona iz članka 6. stavaka 1. i 2. Ugovora o Europskoj uniji.”
Španjolsko pravo
Zakon 25/2007
12 Člankom 1. Leya 25/2007 de conservación de datos relativos a las comunicaciones electrónicas y a la redes públicas de comunicaciones (Zakon 25/2007 o zadržavanju podataka koji se odnose na elektroničke komunikacije i javne komunikacijske mreže) od 18. listopada 2007. (BOE br. 251 od 19. listopada 2007., str. 42517.) određeno je:
„1. Cilj ovog zakona je urediti obvezu operatora da zadržavaju podatke koji su dobiveni ili obrađeni u okviru pružanja elektroničkih komunikacijskih usluga ili javnih komunikacijskih mreža, kao i obvezu dostavljanja tih podataka ovlaštenim službenicima svaki put kad se to od njih zatraži uz potrebno sudsko odobrenje u svrhu otkrivanja, istrage i suđenja za teška kaznena djela predviđena Kaznenim zakonikom ili posebnim kaznenim zakonima.
2. Ovaj se zakon primjenjuje na podatke o prometu i lokaciji kako pravnih tako i fizičkih osoba te na s time povezane podatke nužne za identificiranje pretplatnika ili registriranog korisnika.
[…]”
Kazneni zakonik
13 Člankom 13. stavkom 1. Leya Orgánica 10/1995 del Código Penal (Kazneni zakonik) od 23. studenoga 1995. (BOE br. 281 od 24. studenoga 1995., str. 33987.) propisano je:
„Teška kaznena djela su ona za koja je zakonom predviđena teška kazna.”
14 Člankom 33. navedenog zakonika propisano je:
„1. Ovisno o svojoj naravi i trajanju, kazne se klasificiraju kao teške, manje teške i lakše.
2. Teške kazne su:
(a) kazna doživotnog zatvora s mogućnošću pomilovanja.
(b) kazna zatvora dulja od pet godina.
[…]”
Zakonik o kaznenom postupku
15 Nakon nastanka okolnosti o kojima je riječ u glavnom postupku, Ley de Enjuiciamiento Criminal (Zakonik o kaznenom postupku) izmijenjen je Leyom Orgánica 13/2015 de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica (Organski zakon 13/2015 o izmjeni Zakonika o kaznenom postupku u svrhu jačanja postupovnih jamstava i uređivanja mjera tehnološke istrage) od 5. listopada 2015. (BOE br. 239 od 6. listopada 2015., str. 90192.).
16 Taj je zakon stupio na snagu 6. prosinca 2015. Njime se u Zakonik o kaznenom postupku uvodi područje pristupa podacima o telefonskoj i telematskoj komunikaciji koje su zadržali pružatelji usluga elektroničkih komunikacija.
17 Člankom 579. stavkom 1. Zakonika o kaznenom postupku, u verziji koja proizlazi iz Organskog zakona 13/2015, propisano je:
„1. Sud može odobriti presretanje privatne, poštanske i telegrafske korespondencije, uključujući telefaks, Burofax i međunarodne novčane doznake, koje osumnjičenik šalje ili prima, kao i otvaranje i analizu te korespondencije ako postoje naznake na temelju kojih se može smatrati da bi se time omogućilo otkrivanje ili provjera djela ili čimbenika koji je relevantan za predmet, ako je predmet istrage jedno od sljedećih kaznenih djela:
1. namjerna kaznena djela za koja je gornja granica zaprijećene kazne najmanje tri godine;
2. kaznena djela počinjena u okviru zločinačke organizacije;
3. kaznena djela terorizma.
[…]”
18 Člankom 588.b (j) navedenog zakonika propisano je:
„1. Elektronički podaci koje zadržavaju pružatelji usluga ili osobe koje omogućavaju komunikaciju, u skladu sa zakonodavstvom koje se odnosi na zadržavanje podataka o elektroničkim komunikacijama ili na vlastitu inicijativu iz poslovnih ili drugih razloga, te koji su povezani s komunikacijskim procesom mogu se dostaviti radi uzimanja u obzir u sklopu postupka samo uz sudsko odobrenje.
2. Kada se uvid u te podatke pokaže nužnim za istragu, od nadležnog suda valja zatražiti odobrenje pristupa informacijama koje se nalaze u automatiziranim arhivima pružatelja usluga, među ostalim za unakrsno ili napredno pretraživanje podataka, ako se pojasni narav podataka u koje je potrebno steći uvid i razlozi kojima se opravdava njihovo dostavljanje.”
Glavni postupak i prethodna pitanja
19 G. Hernández Sierra policiji je prijavio nasilnu krađu svojeg novčanika i mobilnog telefona koja se dogodila 16. veljače 2015. i tijekom koje je bio ozlijeđen.
20 Policija je 27. veljače 2015. istražnom sudu podnijela zahtjev kojim traži da se različitim pružateljima usluga elektroničkih komunikacija naloži da dostave brojeve telefona koji su između 16. i 27. veljače 2015. aktivirani kodom međunarodnog identiteta mobilne opreme koji pripada ukradenom mobilnom telefonu (u daljnjem tekstu: IMEI kod) i osobne podatke o identitetu nositelja ili korisnika telefonskih brojeva koji odgovaraju SIM karticama aktiviranima navedenim kodom, poput njihova imena, prezimena i, prema potrebi, adrese.
21 Rješenjem od 5. svibnja 2015. istražni sud odbio je taj zahtjev. S jedne strane, ocijenio je da zahtijevana mjera nije mogla poslužiti za identifikaciju počiniteljâ kaznenog djela. S druge strane, odbio je zahtjev s obrazloženjem da je Zakonom 25/2007 dostava podataka koje su zadržali pružatelji usluga elektroničkih komunikacija moguća samo kad je riječ o teškim kaznenim djelima. U skladu s Kaznenim zakonikom, za teška kaznena djela zaprijećena je kazna zatvora iznad pet godina, a djelo o kojem je riječ u glavnom postupku nije se činilo takvim kaznenim djelom.
22 Državno odvjetništvo podnijelo je žalbu protiv tog rješenja sudu koji je uputio zahtjev navodeći da je, zbog naravi djela i s obzirom na presudu Tribunala Supremo (Vrhovni sud, Španjolska) od 26. srpnja 2010. koja se odnosila na sličan slučaj, dostavljanje predmetnih podataka trebalo odobriti.
23 Sud koji je uputio zahtjev navodi da je nakon tog rješenja španjolski zakonodavac, donošenjem Organskog zakona 13/2015, izmijenio Zakonik o kaznenom postupku. Tim su zakonom, relevantnim za rješavanje glavnog postupka, uvedena dva nova alternativna kriterija za utvrđivanje stupnja težine kaznenog djela. Riječ je, s jedne strane, o materijalnom kriteriju, koji se odnosi na postupanja koja odgovaraju kvalifikacijama kaznenog djela čija je kaznena narav posebna i teška i koja su osobito štetna za pravne interese pojedinaca i zajednice. S druge strane, nacionalni je zakonodavac upotrijebio formalni normativni kriterij, koji se temelji na kazni predviđenoj za kazneno djelo o kojem je riječ. Međutim, prag od tri godine zatvora, koji je od tada predviđen, obuhvaćao je veliku većinu kaznenih djela. Usto, sud koji je uputio zahtjev smatra da državni interes za kažnjavanje protupravnih postupanja ne može opravdati neproporcionalno zadiranje u temeljna prava priznata Poveljom.
24 U tom pogledu taj sud smatra da su u glavnom postupku poveznica s Poveljom direktive 95/46 i 2002/58. Nacionalni propisi o kojima je riječ u glavnom postupku stoga ulaze u područje primjene Povelje, u skladu s njezinim člankom 51. stavkom 1., unatoč tomu što je Direktiva 2006/24/EZ Europskog parlamenta i Vijeća od 15. ožujka 2006. o zadržavanju podataka dobivenih ili obrađenih u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga ili javnih komunikacijskih mreža i o izmjeni Direktive 2002/58/EZ (SL 2006., L 105, str. 54.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 50., str. 30.) presudom od 8. travnja 2014., Digital Rights Ireland i dr. proglašena nevaljanom (C‑293/12 i C‑594/12, EU:C:2014:238).
25 Sud je u toj presudi priznao da zadržavanje i priopćavanje podataka o prometu predstavljaju osobito ozbiljno zadiranje u prava zajamčena člancima 7. i 8. Povelje te je utvrdio kriterije za ocjenu poštovanja načela proporcionalnosti, među kojima je težina kaznenih djela koja opravdava zadržavanje i pristup tim podacima u svrhu istrage.
26 U tim je okolnostima Audiencia Provincial de Tarragona (Provincijski sud u Tarragoni) odlučila prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Može li se dovoljna težina kaznenog djela kao kriterij koji opravdava zadiranje u temeljna prava iz članaka 7. i 8. [Povelje] utvrditi samo na temelju zaprijećene kazne za kazneno djelo o kojem se vodi istraga ili je usto nužno utvrditi posebnu štetnost protupravnog postupanja za pravne interese pojedinaca ili zajednice?
2. Ako je utvrđivanje težine kaznenog djela samo na temelju zaprijećene kazne u skladu s temeljnim načelima prava Unije koja je Sud kao standard strogog nadzora Direktive [2002/58] primijenio u svojoj presudi [od 8. travnja 2014., Digital Rights Ireland i dr., C‑293/12 i C‑594/12, EU:C:2014:238], kolika bi trebala biti ta najniža kazna? Bi li opća odredba o najmanje tri godine zatvora bila u skladu s time?”
Postupak pred Sudom
27 Odlukom predsjednika Suda od 23. svibnja 2016., postupak pred Sudom prekinut je do donošenja presude u spojenim predmetima Tele2 Sverige i Watson i dr., C‑203/15 i C‑698/15 (presuda od 21. prosinca 2016., EU:C:2016:970, u daljnjem tekstu: presuda Tele2 Sverige i Watson i dr.). Nakon donošenja te presude, sud koji je uputio zahtjev upitan je ostaje li pri zahtjevu za prethodnu odluku ili ga želi povući. Dopisom od 30. siječnja 2017., koji je Sud zaprimio 14. veljače 2017., sud koji je uputio zahtjev odgovorio je da ne smatra da na temelju te presude može s dovoljnom sigurnošću ocijeniti nacionalne propise o kojima je riječ u glavnom postupku s obzirom na pravo Unije. Postupak pred Sudom stoga je nastavljen 16. veljače 2017.
O prethodnim pitanjima
28 Španjolska vlada tvrdi, s jedne strane, da Sud nije nadležan za odlučivanje o zahtjevu za prethodnu odluku i, s druge strane, da je taj zahtjev nedopušten.
Nadležnost Suda
29 Španjolska vlada u pisanim očitovanjima podnesenima Sudu iznijela je stav, s kojim se na raspravi složila vlada Ujedinjene Kraljevine, da Sud nije nadležan za odlučivanje o zahtjevu za prethodnu odluku, s obzirom na to da je glavni postupak, u skladu s člankom 3. stavkom 2. prvom alinejom Direktive 95/46 i člankom 1. stavkom 3. Direktive 2002/58, isključen iz područja primjene tih dviju direktiva. Taj predmet stoga ne ulazi u područje primjene prava Unije, slijedom čega Povelja, u skladu sa svojim člankom 51. stavkom 1., nije primjenjiva.
30 Španjolska vlada navodi da je točno da je Sud u presudi Tele2 Sverige i Watson i dr. presudio da zakonska mjera kojom se uređuje pitanje pristupa državnih tijela podacima koje su zadržali pružatelji usluga elektroničkih komunikacija ulazi u područje primjene Direktive 2002/58. Međutim, u ovom je slučaju riječ o zahtjevu za pristup osobnim podacima koje su zadržali pružatelji usluga elektroničkih komunikacija koji je u sklopu postupka kaznene istrage podnijelo državno tijelo na temelju sudske odluke. Španjolska vlada na temelju toga zaključuje da je taj zahtjev za pristup podnesen u okviru izvršavanja ius puniendi državnih tijela, slijedom čega je riječ o aktivnosti države koja se odnosi na područja kaznenog prava, obuhvaćenoj iznimkom iz članka 3. stavka 2. prve alineje Direktive 95/46 i članka 1. stavka 3. Direktive 2002/58.
31 Za razmatranje tog prigovora nenadležnosti valja istaknuti da je člankom 1. stavkom 1. Direktive 2002/58 određeno da se njome osigurava usklađenost nacionalnih odredaba koje su potrebne kako bi se osigurala odgovarajuća razina zaštite osnovnih prava i sloboda, a posebno prava na privatnost i povjerljivost, s obzirom na obradu osobnih podataka u području elektroničkih komunikacija. U skladu s člankom 1. stavkom 2. te direktive, njome se pojašnjava i nadopunjuje Direktiva 95/46 u svrhe spomenute u navedenom stavku 1.
32 Člankom 1. stavkom 3. Direktive 2002/58 iz njezina su područja primjene isključene „aktivnosti države” u područjima navedenima u tom članku, među ostalim, aktivnosti države u području kaznenog prava i aktivnosti koje se odnose na javnu sigurnost, obranu, državnu sigurnost, uključujući gospodarsku dobrobit države kada se aktivnosti odnose na pitanja državne sigurnosti (presuda Tele2 Sverige i Watson i dr., t. 69. i navedena sudska praksa). Aktivnosti koje su u tom članku navedene kao primjer u svakom su slučaju aktivnosti država odnosno državnih tijela koje ne ulaze u područje aktivnosti pojedinaca (vidjeti po analogiji, kad je riječ o članku 3. stavku 2. prvoj alineji Direktive 95/46, presudu od 10. srpnja 2018., Jehovan Todistajat, C‑25/17, EU:C:2018:551, t. 38. i navedenu sudsku praksu).
33 Člankom 3. Direktive 2002/58 određeno je da se ona primjenjuje na obradu osobnih podataka vezanih uz pružanje javno dostupnih usluga elektroničkih komunikacija na javno dostupnim komunikacijskim mrežama u Uniji, uključujući javne komunikacijske mreže koje podržavaju prikupljanje podataka i naprava za identifikaciju (u daljnjem tekstu: usluge elektroničkih komunikacija). Slijedom toga, valja smatrati da se tom direktivom uređuju aktivnosti pružatelja takvih usluga (presuda Tele2 Sverige i Watson i dr., t. 70.).
34 Kad je riječ o članku 15. stavku 1. Direktive 2002/58, Sud je već presudio da zakonske mjere iz te odredbe ulaze u područje primjene te direktive čak i ako se odnose na aktivnosti država ili državnih tijela koje ne ulaze u područje aktivnosti pojedinaca te čak i ako su ciljevi koje te mjere moraju imati u biti jednaki ciljevima aktivnosti iz članka 1. stavka 3. Direktive 2002/58. Naime, članak 15. stavak 1. te direktive nužno pretpostavlja da njime predviđene nacionalne mjere ulaze u područje primjene te direktive, s obzirom na to da se države članice njome izričito ovlašćuju na njihovo donošenje samo uz poštovanje njome predviđenih uvjeta. Usto, zakonskim mjerama iz članka 15. stavka 1. Direktive 2002/58 uređuju se, u svrhe spomenute u toj odredbi, aktivnosti pružatelja usluga elektroničkih komunikacija (vidjeti u tom smislu presudu Tele2 Sverige i Watson i dr., t. 72. do 74.).
35 Sud je zaključio da taj članak 15. stavak 1. u vezi s člankom 3. Direktive 2002/58 treba tumačiti na način da u područje primjene te direktive ne ulazi samo zakonska mjera koja pružateljima usluga elektroničkih komunikacija nalaže zadržavanje podataka o prometu i lokaciji, nego i zakonska mjera o pristupu državnih tijela podacima koje su zadržali ti pružatelji (vidjeti u tom smislu presudu Tele2 Sverige i Watson i dr., t. 75. i 76.).
36 Naime, zaštita povjerljivosti elektroničkih komunikacija i s time povezanih podataka o prometu, zajamčena člankom 5. stavkom 1. Direktive 2002/58, primjenjuje se na mjere koje su donijele sve osobe različite od korisnikâ, bilo da je riječ o privatnim osobama, privatnim subjektima ili državnim tijelima. Kao što to potvrđuje uvodna izjava 21. te direktive, njome se sprečava neovlašten „pristup” komunikacijama, uključujući sve „podatke koji se odnose na takve komunikacije”, kako bi se zaštitila povjerljivost elektroničkih komunikacija (presuda Tele2 Sverige i Watson i dr., t. 77.).
37 Valja dodati da zakonske mjere kojima se pružateljima usluga elektroničkih komunikacija nalaže zadržavanje osobnih podataka ili odobrenje pristupa tim podacima nadležnim državnim tijelima nužno podrazumijevaju da ti pružatelji obrađuju te podatke (vidjeti u tom smislu presudu Tele2 Sverige i Watson i dr., t. 75. i 78.). Budući da se takvim mjerama uređuju aktivnosti tih pružatelja, one se ne mogu izjednačiti s aktivnostima država, o kojima je riječ u članku 1. stavku 3. Direktive 2002/58.
38 U ovom slučaju, kao što to proizlazi iz zahtjeva za prethodnu odluku, zahtjev o kojem je riječ u glavnom postupku, kojim je policija zatražila sudsko odobrenje pristupa osobnim podacima koje su zadržali pružatelji usluga elektroničkih komunikacija, temelji se na Zakonu 25/2007, u vezi sa Zakonikom o kaznenom postupku, u verziji primjenjivoj na glavni postupak, kojim se uređuje pitanje pristupa državnih tijela takvim podacima. Tim se propisima policiji, kojoj je izdano sudsko odobrenje traženo na temelju tih propisa, dopušta da od pružatelja usluga elektroničkih komunikacija zahtijeva da joj stave na raspolaganje osobne podatke te da tako „obrade” te podatke, u smislu tih dviju direktiva, a imajući u vidu definiciju iz članka 2. točke (b) Direktive 95/46, koji se u kontekstu Direktive 2002/58 primjenjuje na temelju njezina članka 2. prvog stavka.
39 Slijedom navedenog, okolnost koju ističe španjolska vlada, odnosno to da je taj zahtjev za pristup podnesen u sklopu postupka kaznene istrage, ne može dovesti do toga da se Direktiva 2002/58, na temelju svojeg članka 1. stavka 3., ne može primijeniti u glavnom postupku.
40 U tom je pogledu nebitno i to što je zahtjevom za pristup o kojem je riječ u glavnom postupku – kao što to proizlazi iz pisanog odgovora španjolske vlade na pitanje Suda i kao što su to na raspravi potvrdili ta vlada i državno odvjetništvo – tražen samo pristup telefonskim brojevima koji odgovaraju SIM karticama aktiviranima IMEI kodom ukradenog mobilnog telefona kao i podacima o identitetu nositelja tih kartica, poput njihova imena, prezimena i, prema potrebi, adrese, a ne i pristup podacima o komunikacijama izvršenima tim SIM karticama i podacima o lokaciji ukradenog mobilnog telefona.
41 Naime, kao što je to istaknuo nezavisni odvjetnik u točki 54. svojeg mišljenja, u skladu s člankom 1. stavkom 1. i člankom 3. Direktive 2002/58, njome se uređuje pitanje svake obrade osobnih podataka u okviru pružanja usluge elektroničkih komunikacija. Usto, u skladu s člankom 2. drugim stavkom točkom (b) te direktive, pojam „podaci o prometu” znači „svi podaci koji se obrađuju u svrhu prijenosa komunikacije na elektroničkoj komunikacijskoj mreži ili za njezino naplaćivanje”.
42 Vezano uz potonje, kad je riječ, konkretnije, o podacima o identitetu nositelja SIM kartica, iz uvodne izjave 15. Direktive 2002/58 proizlazi da se podaci o prometu mogu sastojati, među ostalim, od imena i adrese osobe koja je pošiljatelj komunikacije odnosno korisnik veze s ciljem prijenosa komunikacije. Podaci o identitetu nositelja SIM kartica mogu se pokazati potrebnima i za naplatu pruženih usluga elektroničkih komunikacija te stoga čine dio podataka o prometu, kako su definirani člankom 2. drugim stavkom točkom (b) te direktive. Ti podaci stoga ulaze u područje primjene Direktive 2002/58.
43 Slijedom navedenog, Sud je nadležan za odgovor na pitanje suda koji je uputio zahtjev.
Dopuštenost
44 Španjolska vlada navodi da je zahtjev za prethodnu odluku nedopušten zbog toga što se u njemu ne navode jasno odredbe prava Unije o kojima bi se Sud trebao izjasniti. Štoviše, zahtjev policije o kojem je riječ u glavnom postupku ne odnosi se na presretanje komunikacija izvršenih putem SIM kartica aktiviranih IMEI kodom ukradenog mobilnog telefona, nego na povezivanje tih kartica s njihovim nositeljima, na način koji ne ugrožava povjerljivost komunikacija. U kontekstu ovog predmeta stoga nije relevantan članak 7. Povelje, koji se navodi u prethodnim pitanjima.
45 U skladu s ustaljenom sudskom praksom Suda, isključivo je na nacionalnom sudu pred kojim se vodi postupak i koji mora preuzeti odgovornost za sudsku odluku koja će biti donesena da, uvažavajući posebnosti predmeta, ocijeni nužnost prethodne odluke za donošenje svoje presude i relevantnost pitanja koja postavlja Sudu. Slijedom navedenog, ako se postavljena pitanja odnose na tumačenje prava Unije, Sud je u načelu dužan donijeti odluku. Odbijanje Suda da odluči o zahtjevu za prethodnu odluku koji je uputio nacionalni sud moguće je samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom glavnog postupka, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima za davanje korisnog odgovora na upućena pitanja (presuda od 10. srpnja 2018., Jehovan Todistajat, C‑25/17, EU:C:2018:551, t. 31. i navedena sudska praksa).
46 U ovom slučaju zahtjev za prethodnu odluku sadržava dostatne činjenične i pravne elemente kako za utvrđivanje odredaba prava Unije na koje se odnose prethodna pitanja tako i za razumijevanje dosega tih pitanja. Konkretnije, iz zahtjeva za prethodnu odluku proizlazi da je cilj prethodnih pitanja omogućiti sudu koji je uputio zahtjev da ocijeni može li i u kojoj mjeri cilj nacionalnih propisa na kojima se temelji zahtjev policije o kojem je riječ u glavnom postupku opravdati zadiranje u temeljna prava iz članaka 7. i 8. Povelje. U skladu s navodima istog suda, ti nacionalni propisi ulaze u područje primjene Direktive 2002/58, slijedom čega je Povelja primjenjiva na glavni postupak. Prethodna pitanja stoga su izravno povezana s predmetom glavnog postupka i ne mogu se smatrati hipotetskima.
47 Slijedom navedenog, prethodna pitanja su dopuštena.
Meritum
48 Svojim dvama pitanjima, koja valja razmotriti zajedno, sud koji je uputio zahtjev u biti pita treba li članak 15. stavak 1. Direktive 2002/58 u vezi s člancima 7. i 8. Povelje tumačiti na način da pristup državnih tijela podacima kojima je cilj identificirati nositelje SIM kartica aktiviranih ukradenim mobilnim telefonom, poput njihova imena, prezimena i, prema potrebi, adrese, predstavlja zadiranje u njihova temeljna prava priznata navedenim člancima Povelje koje je tako ozbiljno da bi taj pristup, kad je riječ o sprečavanju, istrazi, otkrivanju i progonu kaznenih djela, trebalo odobriti samo u kontekstu borbe protiv teškog kriminaliteta i, ako je odgovor potvrdan, koji su kriteriji za ocjenu težine kaznenog djela o kojem je riječ.
49 U tom pogledu, kao što je to u biti naveo nezavisni odvjetnik u točki 38. svojeg mišljenja, iz zahtjeva za prethodnu odluku proizlazi da se njime ne traži da se utvrdi jesu li pružatelji usluga elektroničkih komunikacija osobne podatke o kojima je riječ u glavnom postupku zadržali poštujući uvjete iz članka 15. stavka 1. Direktive 2002/58 u vezi s člancima 7. i 8. Povelje. Kao što to proizlazi iz točke 46. ove presude, taj se zahtjev odnosi samo na pitanje može li i u kojoj mjeri cilj propisa o kojima je riječ u glavnom postupku opravdati pristup državnih tijela poput policije takvim podacima, pri čemu ostali uvjeti za pristup iz tog članka 15. stavka 1. nisu predmet tog zahtjeva.
50 Konkretnije, taj sud nastoji doznati koje elemente treba uzeti u obzir prilikom ocjene pitanja jesu li kaznena djela u vezi s kojima policijska tijela mogu u svrhu istrage biti ovlaštena pristupiti osobnim podacima koje su zadržali pružatelji usluga elektroničkih komunikacija dovoljne težine za opravdanje zadiranja u temeljna prava zajamčena člancima 7. i 8. Povelje, kako ih je protumačio Sud u presudama od 8. travnja 2014., Digital Rights Ireland i dr. (C‑293/12 i C‑594/12, EU:C:2014:238) i Tele2 Sverige i Watson i dr., a koje takav pristup podrazumijeva.
51 Kad je riječ o zadiranju u ta temeljna prava, valja podsjetiti na to da, kao što je to istaknuo nezavisni odvjetnik u točkama 76. i 77. svojeg mišljenja, pristup državnih tijela takvim podacima predstavlja zadiranje u temeljno pravo na poštovanje privatnog života, priznato člankom 7. Povelje, čak i ako ne postoje okolnosti na temelju kojih se takvo zadiranje može ocijeniti „ozbiljnim” te neovisno o tome jesu li podaci o privatnom životu osjetljivi odnosno jesu li zainteresirane osobe zbog tog zadiranja pretrpjele eventualne neugodnosti. Takav pristup ujedno predstavlja zadiranje u temeljno pravo na zaštitu osobnih podataka, zajamčeno člankom 8. Povelje, s obzirom na to da je riječ o obradi osobnih podataka (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u između EU‑a i Kanade) od 26. srpnja 2017., EU:C:2017:592, t. 124. i 126. i navedenu sudsku praksu).
52 Kad je riječ o ciljevima kojima se mogu opravdati nacionalni propisi poput onih o kojima je riječ u glavnom postupku, kojima se uređuje pitanje pristupa državnih tijela podacima koje su zadržali pružatelji usluga elektroničkih komunikacija te time odstupa od načela povjerljivosti elektroničkih komunikacija, valja podsjetiti na to da su ciljevi u prvoj rečenici članka 15. stavka 1. Direktive 2002/58 navedeni taksativno, slijedom čega cilj tog pristupa doista treba strogo odgovarati jednom od tih ciljeva (vidjeti u tom smislu presudu Tele2 Sverige i Watson i dr., t. 90. i 115.).
53 Međutim, kad je riječ o cilju sprečavanja, istrage, otkrivanja i progona kaznenih djela, treba naglasiti da, u skladu s formulacijom prve rečenice članka 15. stavka 1. Direktive 2002/58, taj cilj nije ograničen na borbu protiv teških kaznenih djela, nego se spominju „kaznena djela” općenito.
54 U tom pogledu točno je da je Sud presudio da, u okviru sprečavanja, istrage, otkrivanja i progona kaznenih djela, samo borba protiv teškog kriminaliteta može opravdati pristup državnih tijela osobnim podacima koje su zadržali pružatelji komunikacijskih usluga na temelju kojih je, ukupno gledajući, moguće izvući precizne zaključke o privatnom životu osoba o čijim je podacima riječ (vidjeti u tom smislu presudu Tele2 Sverige i Watson i dr., t. 99.).
55 Međutim, Sud je takvo tumačenje obrazložio činjenicom da cilj propisa kojima se uređuje pitanje tog pristupa mora biti povezan s ozbiljnošću predmetnog zadiranja u temeljna prava koje takav pristup podrazumijeva (vidjeti u tom smislu presudu Tele2 Sverige i Watson i dr., t. 115.).
56 Naime, u skladu s načelom proporcionalnosti, ozbiljno zadiranje u okviru sprečavanja, istrage, otkrivanja i progona kaznenih djela može se opravdati samo ciljem borbe protiv kriminaliteta koji se također može okvalificirati „teškim”.
57 Međutim, kad zadiranje koje takav pristup podrazumijeva nije ozbiljno, taj se pristup može opravdati ciljem sprečavanja, istrage, otkrivanja i progona „kaznenih djela” općenito.
58 Stoga prije svega treba odrediti treba li u ovom slučaju, s obzirom na njegove okolnosti, zadiranje u temeljna prava iz članaka 7. i 8. Povelje koje podrazumijeva pristup policije podacima o kojima je riječ u glavnom postupku smatrati „ozbiljnim”.
59 U vezi s time, jedini je cilj zahtjeva o kojem je riječ u glavnom postupku – kojim policija za potrebe kaznene istrage traži sudsko odobrenje pristupa osobnim podacima koje su zadržali pružatelji usluga elektroničkih komunikacija – identificirati nositelje SIM kartica koje su u razdoblju od dvanaest dana aktivirane IMEI kodom ukradenog mobilnog telefona. Kao što je to istaknuto u točki 40. ove presude, cilj tog zahtjeva samo je pristup telefonskim brojevima koji odgovaraju tim SIM karticama kao i podacima o identitetu nositelja tih kartica, poput njihova imena, prezimena i, prema potrebi, adrese. S druge strane, ti se podaci ne odnose na komunikacije izvršene putem ukradenog mobilnog telefona ni na njegovu lokaciju, kao što su to na raspravi potvrdili španjolska vlada i državno odvjetništvo.
60 Slijedom toga, podaci na koje se odnosi zahtjev za pristup o kojem je riječ u glavnom postupku omogućuju samo to da se SIM kartica ili kartice aktivirane ukradenim mobilnim telefonom povežu s identitetom nositelja tih SIM kartica u određenom razdoblju. Samo na temelju tih podataka, bez podataka o komunikacijama izvršenima putem tih SIM kartica i podataka o lokaciji, nije moguće doznati datum, sat, trajanje ni sudionike komunikacija izvršenih SIM karticom ili karticama o kojima je riječ kao ni mjesta ni učestalost tih komunikacija s određenim osobama u nekom razdoblju. Na temelju tih podataka stoga nije moguće izvući precizne zaključke o privatnom životu osoba čiji su podaci u pitanju.
61 Slijedom navedenog, pristup samo podacima na koje se odnosi zahtjev o kojem je riječ u glavnom postupku ne može se okvalificirati kao „ozbiljno” zadiranje u temeljna prava osoba čiji su podaci u pitanju.
62 Kao što to proizlazi iz točaka 53. do 57. ove presude, zadiranje koje pristup takvim podacima podrazumijeva može se opravdati ciljem sprečavanja, istrage, otkrivanja i progona „kaznenih djela” općenito, koji je naveden u prvoj rečenici članka 15. stavka 1. Direktive 2002/58, pri čemu nije potrebno da su ta kaznena djela okvalificirana kao „teška”.
63 S obzirom na prethodna razmatranja, na postavljena pitanja valja odgovoriti na način da članak 15. stavak 1. Direktive 2002/58 u vezi s člancima 7. i 8. Povelje treba tumačiti na način da pristup državnih tijela podacima o identitetu nositelja SIM kartica aktiviranih ukradenim mobilnim telefonom, poput imena, prezimena i, prema potrebi, adrese tih nositelja, predstavlja zadiranje u njihova temeljna prava priznata navedenim člancima Povelje koje nije tako ozbiljno da bi taj pristup, u okviru sprečavanja, istrage, otkrivanja i progona kaznenih djela, trebalo odobriti samo kad je riječ o borbi protiv teškog kriminaliteta.
Troškovi
64 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (veliko vijeće) odlučuje:
Članak 15. stavak 1. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009., u vezi s člancima 7. i 8. Povelje Europske unije o temeljnim pravima treba tumačiti na način da pristup državnih tijela podacima o identitetu nositelja SIM kartica aktiviranih ukradenim mobilnim telefonom, poput imena, prezimena i, prema potrebi, adrese tih nositelja, predstavlja zadiranje u njihova temeljna prava priznata navedenim člancima Povelje o temeljnim pravima koje nije tako ozbiljno da bi taj pristup, u okviru sprečavanja, istrage, otkrivanja i progona kaznenih djela, trebalo odobriti samo kad je riječ o borbi protiv teškog kriminaliteta.
Potpisi