null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
MANUELA CAMPOS SÁNCHEZ-BORDONY
přednesené dne 20. dubna 2023(1)
Věc C‑548/21
C. G.
proti
Bezirkshauptmannschaft Landeck
[žádost o rozhodnutí o předběžné otázce podaná Landesverwaltungsgericht Tirol (zemský správní soud spolkové země Tyrolsko, Rakousko)]
„Řízení o předběžné otázce – Telekomunikace – Ochrana osobních údajů – Směrnice (EU) 2016/680 – Trestní řízení – Pokus orgánů veřejné moci o zpřístupnění údajů uložených v mobilním telefonu bez povolení soudu nebo nezávislého správního orgánu“
1. Tato žádost o rozhodnutí o předběžné otázce se v podstatě týká podmínek, jež musí splnit policejní orgány, aby mohly zjednat přístup k údajům uloženým v mobilním telefonu osoby, proti níž je vedeno vyšetřovací řízení.
2. Jak se pokusím vysvětlit níže, tato žádost o rozhodnutí o předběžné otázce je stižena závažnými vadami, pokud jde o její přípustnost. Pokud se Soudní dvůr i přesto rozhodne zabývat se věcí samou, bude nutné se vyjádřit k působnosti směrnice 2002/58/ES(2) a směrnice (EU) 2016/680(3).
I. Právní rámec
A. Unijní právo
1. Nařízení (EU) 2016/679(4)
3. Článek 2 („Věcná působnost“) v odstavci 2 stanoví:
„Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:
[…]
d) příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“
2. Směrnice 2016/680
4. V bodě 2 odůvodnění je uvedeno:
„Zásady a pravidla ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů by […] měly respektovat jejich základní práva a svobody, zejména právo na ochranu osobních údajů. Cílem této směrnice je přispět k dotvoření prostoru svobody, bezpečnosti a práva.“
5. Bod 46 odůvodnění uvádí:
„Jakékoli omezení práv subjektu údajů musí být v souladu s Listinou a EÚLP, jak je vykládá judikatura Soudního dvora a Evropského soudu pro lidská práva[(5)], a především dodržovat podstatu těchto práv a svobod.“
6. V bodě 49 odůvodnění je uvedeno:
„Pokud jsou osobní údaje zpracovávány v průběhu trestního vyšetřování a soudního řízení v trestních věcech, mělo by být možné stanovit, že právo na informace, přístup k osobním údajům, jejich opravu nebo výmaz a omezení zpracování má být vykonáváno v souladu s vnitrostátní úpravou soudního řízení.“
7. Článek 1 („Předmět a cíle“) stanoví:
„1. Tato směrnice stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.
2. Členské státy v souladu s touto směrnicí:
a) chrání základní práva a svobody fyzických osob, zejména jejich právo na ochranu osobních údajů, a
[…]
3. Tato směrnice nebrání členským státům v tom, aby poskytovaly přísnější záruky ochrany práv a svobod subjektu údajů v souvislosti se zpracováním osobních údajů příslušnými orgány, než jaké stanoví tato směrnice.“
8. Článek 2 („Oblast působnosti“) stanoví v odstavci 1:
„Tato směrnice se vztahuje na zpracování osobních údajů příslušnými orgány pro účely uvedené v čl. 1 odst. 1.“
9. Článek 3 („Definice“) stanoví:
„Pro účely této směrnice se rozumějí:
[…]
2) ‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[…]
7) ‚příslušným orgánem‘:
a) jakýkoliv orgán veřejné moci příslušný k prevenci, vyšetřování, odhalování či stíhání trestných činů či výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení; nebo
[…]“
10. Článek 4 („Zásady zpracování osobních údajů“) stanoví v odstavci 1:
„Členské státy zajistí, aby byly osobní údaje:
a) zpracovávány zákonným a korektním způsobem;
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nebyly zpracovávány způsobem, který je s těmito účely neslučitelný;
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelům, pro které jsou zpracovávány;
[…]
e) uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány;
f) zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením.“
11. Článek 8 („Zákonnost zpracování“) stanoví:
„1. Členské státy stanoví, že zpracování je zákonné, pouze pokud je nezbytné ke splnění úkolu prováděného příslušným orgánem pro účely stanovené v čl. 1 odst. 1 a v rozsahu nezbytném pro tyto účely a pokud má základ v právu Unie nebo členského státu.
2. Právo členského státu upravující zpracování v oblasti působnosti této směrnice stanoví alespoň cíle zpracování, osobní údaje, jež mají být zpracovány, a účely zpracování.“
12. Článek 13 („Informace poskytované subjektu údajů“) stanoví:
„1. Členské státy stanoví, že správce poskytuje subjektu údajů alespoň:
[…]
d) informace o právu podat stížnost u příslušného dozorovému úřadu a kontaktní údaje tohoto úřadu;
[…]
3. Členské státy mohou přijmout legislativní opatření, aby poskytnutí informací subjektu údajů podle odstavce 2 odložily, omezily či od něho upustily, v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a) zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c) chránit veřejnou bezpečnost;
d) chránit národní bezpečnost;
e) chránit práva a svobody druhých.
[…]“
13. Článek 15 („Omezení práva na přístup“) odst. 1 stanoví:
„Členské státy mohou přijmout legislativní opatření, která přístup subjektů údajů k informacím úplně nebo částečně omezují v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a) zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c) chránit veřejnou bezpečnost;
d) chránit národní bezpečnost;
e) chránit práva a svobody druhých“.
14. Článek 27 („Posouzení vlivu na ochranu osobních údajů“) stanoví:
„1. Pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování mít za následek vysoké riziko pro práva a svobody fyzických osob, členské státy stanoví, že správce před zpracováním provede posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů.
2. Posouzení uvedené v odstavci 1 obsahuje alespoň obecný popis zamýšlených operací zpracování, posouzení rizik z hlediska práv a svobod subjektů údajů, plánovaná opatření k řešení těchto rizik, záruky, bezpečnostní opatření a mechanismy k zajištění ochrany osobních údajů a k doložení souladu s touto směrnicí, s přihlédnutím k právům a oprávněným zájmům subjektů údajů a dalších dotčených osob.“
15. Článek 28 („Předchozí konzultace dozorového úřadu“) stanoví:
„1. Členské státy stanoví, že správce nebo zpracovatel konzultuje s dozorovým úřadem před zpracováním osobních údajů, které budou součástí nové evidence, jež má být vytvořena, pokud:
a) z posouzení vlivu na ochranu osobních údajů podle článku 27 vyplývá, že by dané zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření ke zmírnění tohoto rizika; nebo
b) druh zpracování, zejména při využití nových technologií, mechanismů nebo postupů, s sebou nese vysoké riziko pro práva a svobody subjektů údajů.
[…]“
16. Článek 54 („Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“) stanoví:
„Aniž je dotčena jakákoli dostupná správní nebo mimosoudní ochrana, včetně práva podat stížnost u dozorového úřadu podle článku 52, stanoví členské státy právo subjektu údajů na účinnou soudní ochranu, pokud má za to, že práva mu přiznaná předpisy přijatými na základě této směrnice byla porušena v důsledku zpracování jeho osobních údajů v rozporu s uvedenými předpisy.“
B. Vnitrostátní právo
17. Ustanovení § 18 Strafprozessordnung(6) pověřuje soudní policii úkoly v rámci výkonu trestního soudnictví (odstavec 1). Za vyšetřování vedené soudní policií nesou odpovědnost bezpečnostní orgány (odstavec 2). Orgány služby veřejné bezpečnosti poskytují službu výkonu soudní policie, která spočívá ve vyšetřování a stíhání trestných činů (odstavec 3).
18. Podle § 99 StPO provádí soudní policie vyšetřování z vlastního podnětu nebo na základě oznámení, přičemž se musí řídit příkazy státního zastupitelství a soudů (odstavec 1). Pokud je u některého z opatření v rámci vyšetřování nutný příkaz státního zastupitelství, v případě bezprostředně hrozícího nebezpečí může soudní policie vykonat příslušnou pravomoc i bez tohoto příkazu. V takovém případě musí neprodleně požádat o povolení (odstavec 2).
19. Ustanovení § 111 odst. 2 StPO stanoví, že pokud mají být údaje shromážděny na základě informací uložených na nosičích dat, je každá osoba povinna umožnit přístup k těmto informacím a na vyzvání odevzdat nosič elektronických dat nebo umožnit jeho převedení do běžně používaného formátu. Kromě toho musí dát svolení k vyhotovení záložní kopie informací uložených na nosičích dat.
II. Skutkový stav, spor a předběžné otázky
20. C. G. je německým občanem, který pracuje a bydlí v Rakousku.
21. Dne 23. února 2021 zabavili úředníci celního úřadu v Innsbrucku (Rakousko) v rámci kontroly zaměřené na vyhledání omamných látek balíček adresovaný C. G., který obsahoval 85 gramů marihuany.
22. Dne 6. března 2021 položili dva policisté C. G. dotazy týkající se odesílatele balíčku a prohledali jeho obydlí. Během této prohlídky zajistili jeho mobilní telefon (který obsahoval SIM kartu a SD kartu) a předali mu zápis o zajištění.
23. Poté, co byl C. G. vyzván, aby umožnil nahlédnutí do údajů o telefonických spojeních uskutečněných prostřednictvím jeho mobilního telefonu, odmítl tak učinit a nesdělil ani přístupové heslo k telefonu.
24. Okresnímu policejnímu velitelství v Landecku (Rakousko) se nepodařilo překonat zabezpečení daného mobilního telefonu. Ten byl předán Bundeskriminalamt (Spolkový kriminální úřad, Rakousko) do Vídně, kde došlo k opětovnému neúspěšnému pokusu o odemčení telefonu a načtení dat, která v něm byla uložena.
25. Provedená opatření neměla v okamžiku, kdy je policie přijala, oporu ani v příkazu státního zastupitelství, ani v rozhodnutí soudu.
26. Dne 31. března 2021 podal C. G. stížnost k Landesverwaltungsgericht Tirol (zemský správní soud spolkové země Tyrolsko, Rakousko) proti donucovacímu opatření, jež bylo vůči němu uplatněno, a napadl v ní zajištění svého mobilního telefonu. Mobilní telefon mu byl vrácen dne 20. dubna 2021.
27. O tom, že došlo k pokusu o prozkoumání daného mobilního telefonu, nebyl C. G. informován; tato skutečnost vyšla najevo teprve tak, že příslušník policie, který provedl zajištění a následně dal pokyn k zahájení digitální analýzy, byl vyslechnut jako svědek vázaný povinností učinit pravdivou výpověď. Skutečnost, že došlo k pokusu o prozkoumání, nebyla ani zaznamenána do policejního spisu.
28. Za těchto okolností položil Landesverwaltungsgericht Tirol (zemský správní soud spolkové země Tyrolsko, Rakousko) Soudnímu dvoru tyto předběžné otázky:
„1) Musí být čl. 15 odst. 1 (popřípadě ve spojení s článkem 5) směrnice 2002/58 ve znění směrnice 2009/136/ES ve světle článků 7 a 8 Listiny […] vykládán v tom smyslu, že zpřístupnění údajů uložených v mobilních telefonech orgánům veřejné moci nezasahuje do základních práv zakotvených v těchto článcích Listiny […] natolik závažným způsobem, aby byl přístup k nim omezen v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů na boj proti závažné trestné činnosti?
2) Musí být čl. 15 odst. 1 směrnice 2002/58 ve znění směrnice 2009/136 ve světle článků 7, 8 a 11, jakož i čl. 52 odst. 1 Listiny […], vykládán v tom smyslu, že brání takové vnitrostátní právní úpravě, jako je právní úprava obsažená v § 18 ve spojení s § 99 odst. 1 [StPO], podle které si bezpečnostní orgány mohou v průběhu vyšetřování trestného činu bez povolení soudu nebo nezávislého správního orgánu samy zjednat neomezený a nekontrolovaný přístup k veškerým digitálním datům uloženým v mobilním telefonu?
3) Musí být článek 47 Listiny […], popřípadě ve spojení s články 41 a 52 Listiny […], s ohledem na zásadu rovnosti zbraní a právo na účinnou právní ochranu vykládán v tom smyslu, že brání takové vnitrostátní právní úpravě členského státu, která stejně jako § 18 ve spojení s § 99 odst. 1 [StPO] umožňuje, aby byl mobilní telefon prozkoumán pomocí digitální analýzy, aniž je o tom dotčená osoba informována předem nebo alespoň po provedení daného opatření?“
III. Řízení před Soudním dvorem
29. Žádost o rozhodnutí o předběžné otázce byla zapsána do rejstříku Soudního dvora dne 6. září 2021.
30. Soudní dvůr vyzval dne 20. října 2021 předkládající soud, aby se vyjádřil k tomu, zda by na daný případ mohla být použita směrnice 2016/680.
31. Dne 11. listopadu 2021 odpověděl předkládající soud, že je nutné, aby byla směrnice 2016/680 použita na spor v původním řízení.
32. Písemná vyjádření předložily německá, rakouská, kyperská, dánská, estonská, francouzská, maďarská, irská, nizozemská, norská, polská a švédská vláda, jakož i Evropská komise.
33. Jednání konaného dne 16. ledna 2023 se zúčastnily vlády, které předložily písemná vyjádření, s výjimkou německé, maďarské a polské vlády, a rovněž finská vláda. Všechny tyto vlády byly Soudním dvorem vyzvány k tomu, aby se ve svých vyjádřeních zaměřily na směrnici 2016/680 a ústně zodpověděly několik otázek týkajících se této směrnice.
IV. Analýza
A. Nepřípustnost
34. Původně se předkládající soud tázal pouze na výklad směrnice 2002/58. Téměř všichni účastníci řízení se nicméně shodují na tom, že se zmíněná směrnice na projednávanou věc nepoužije, a tudíž její výklad není pro vyřešení sporu nezbytný.
35. Jak je stanoveno v jejím článku 3, směrnice 2002/58 se vztahuje na „[…] zpracování osobních údajů ve spojení s poskytováním veřejně dostupných služeb elektronických komunikací ve veřejných komunikačních sítích [v Unii], včetně veřejných komunikačních sítí podporujících zařízení pro shromažďování a identifikaci údajů“.
36. Soudní dvůr prohlásil, že „v případech, kdy členské státy přímo provádějí opatření odchylující se od zásady důvěrnosti elektronických komunikací, aniž poskytovatelům služeb takových komunikací uloží povinnosti zpracování, nespadá ochrana údajů subjektů údajů do působnosti směrnice 2002/58, nýbrž jen do působnosti vnitrostátního práva – s výhradou použití [směrnice 2016/680]“(7).
37. Ve věci, jíž se nyní zabýváme, se o zpřístupnění údajů pokusily přímo policejní orgány v souvislosti s vyšetřováním trestného činu. Nepodíleli se na něm žádní poskytovatelé služeb elektronických komunikací, od nichž by bylo požadováno sdělování osobních údajů. Znamená to, že směrnice 2002/58 není relevantní.
38. Unijním právním předpisem, který upravuje tuto situaci, je směrnice 2016/680, která se podle jejího čl. 2 odst. 1 vztahuje na zpracování osobních údajů příslušnými orgány „pro účely […] vyšetřování […] trestných činů“.
39. Výše uvedené postačuje k tomu, abychom se přiklonili k závěru, že žádost o rozhodnutí o předběžné otázce, v té podobě, jak ji formuloval vnitrostátní soud, je nepřípustná, neboť unijní právní předpis, jehož výklad je požadován, nebyl na projednávaný případ použitelný.
40. Je nicméně pravda, že článek 267 SFEU umožňuje Soudnímu dvoru přeformulovat otázky, které mu jsou položeny, nebo upozornit na existenci jiných unijních právních předpisů, jež by mohly být relevantní, s cílem poskytnout vnitrostátnímu soudu užitečnou odpověď(8).
41. Soudní dvůr vyzval předkládající soud, aby se vyjádřil k případné relevantnosti směrnice 2016/680. Poskytl mu tím příležitost, aby sám doplnil nebo přeformuloval své otázky. Namísto toho předkládající soud uvedl pouze to, že „v projednávané věci je každopádně nutné dodržovat ustanovení směrnice 2016/680“, aniž přitom určil, o kterých ustanoveních této směrnice má pochybnosti, a aniž uvedl další faktické úvahy(9).
42. Soudní dvůr opakovaně prohlásil, že „[j]e […] nezbytné, jak uvádí čl. 94 písm. c) jednacího řádu, aby samo předkládací rozhodnutí obsahovalo uvedení důvodů, na základě kterých má předkládající soud pochybnosti o výkladu nebo platnosti určitých ustanovení unijního práva, jakož i vztah, který spatřuje mezi těmito ustanoveními a vnitrostátními právními předpisy použitelnými ve sporu v původním řízení“(10).
43. Z výše uvedeného tedy jednoznačně vyplývá, že v tomto řízení o předběžné otázce nebyly splněny požadavky, jež klade článek 94 jednacího řádu. I kdyby Soudní dvůr projevil v tomto ohledu určitou míru pružnosti, spolupráce s předkládajícím soudem musí být vzájemná: pokud zmíněný soud bezdůvodně odmítne spolupracovat a vyjádřit své pochybnosti týkající se výkladu unijního práva, jež považuje za použitelné (v projednávaném případě směrnice 2016/680), je podle mého názoru logické, aby nebyla žádost o rozhodnutí o předběžné otázce přijata(11).
44. Zmíněný soud rovněž
– neupřesnil povahu zpracování, o nějž se pokusily policejní orgány, ani povahu osobních údajů, jež byly konkrétně vyhledávány. V úvodu se jeví, že toto zpracování mělo být omezeno pouze na kontaktní údaje (tj. provozní a lokalizační údaje), avšak následně soud nevylučuje, že odemčení telefonu umožnilo přístup „k veškerým digitálním datům uloženým v mobilním telefonu“(12), dokonce i k obsahu komunikací a elektronických zpráv zasílaných prostřednictvím tohoto telefonu(13);
– odkazuje jak na odnětí telefonu a na přístup k údajům v něm uloženým či na pokus o získání tohoto přístupu, tak na následné „využití“ (Auswertung) těchto údajů ve smyslu jejich analýzy a výkladu. Dále dodává, že toto využití „znamená naprosto nekontrolovaný přístup k veškeré digitální komunikaci dotčené osoby“, s jehož pomocí „si lze vytvořit velmi podrobnou a důkladnou představu o téměř všech oblastech soukromého života“.
45. Za těchto okolností by Soudní dvůr namísto přeformulování otázek položených předkládajícím soudem provedl skutečnou rekonstrukci žádosti o rozhodnutí o předběžné otázce, která by byla ostatně založena spíše na hypotetických úvahách než na prokázaných skutečnostech. Znovu opakuji, že by tak učinil poté, co poskytl zmíněnému soudu příležitost k tomu, aby své otázky sám doplnil nebo přeformuloval.
46. Navrhuji tedy, aby byla žádost o rozhodnutí o předběžné otázce prohlášena za nepřípustnou, k čemuž se přiklánějí i některé ze států, které jsou vedlejšími účastníky řízení.
47. K témuž prohlášení nepřípustnosti by měla vést i okolnost uvedená na jednání, spočívající v tom, že před předkládajícím soudem již neprobíhá žádný skutečný spor, který by vyžadoval podání výkladu unijních právních předpisů.
48. Rakouská vláda (jíž jsou podřízeny policejní orgány, které se zúčastnily vyšetřování) totiž uznává, že tyto orgány jednaly protiprávně a porušily práva dotčené osoby. Vzhledem k tomu, že návrhové žádání, které předložil žalobce ke správnímu soudu, bylo namířeno právě proti policejním opatřením, které žalovaný správní orgán považuje za protiprávní, jak je uvedeno v předkládacím rozhodnutí, znamená to, že spor, o němž měl předkládající soud rozhodnout, již neexistuje.
49. V následujících bodech však pro případ, že by Soudní dvůr můj postoj nesdílel, podpůrně přezkoumám meritorní problémy, které vyplývají z předběžných otázek.
50. Nejprve však považuji za nutné odmítnout existenci dalšího důvodu nepřípustnosti, který uvedli někteří vedlejší účastníci tohoto řízení(14). Výše uvedení mají za to, že směrnice 2016/680 upravuje ochranu fyzických osob v souvislosti se zpracováním jejich údajů, a nevztahuje se tudíž na takové případy, jako je ten projednávaný, v němž nedošlo ke zpracování, nýbrž k pouhému pokusu o zpřístupnění údajů, jež se nakonec nepodařilo získat.
51. Komise se naopak domnívá, že s ohledem na užitečný účinek směrnice 2016/680 by měl být cíl této směrnice přednostně vykládán tak, že není omezen na zpracování údajů v úzkém slova smyslu, ale že zahrnuje také hlediska, která s tímto zpracováním přímo souvisí. Jedním z nich je podle názoru Komise i pokus o zpřístupnění údajů, o jejichž zpracování je usilováno(15).
52. Mám za to, že aniž je nutné překračovat působnost směrnice 2016/680(16), použití této směrnice na projednávaný případ je odůvodněno nikoli skutečností, že došlo k zajištění mobilního telefonu(17), nýbrž následným jednáním policejních orgánů, které se pokusily tento telefon odemknout a prozkoumat jeho obsah, aby získaly určité osobní údaje subjektu údajů.
53. K operacím, které jsou podle čl. 3 bodu 2 směrnice 2016/680 „zpracováním“, patří i „jakékoliv jiné zpřístupnění“ osobních údajů, k němuž dochází v průběhu trestního vyšetřování. Mám za to, že pokud policejní orgán zajistí telefon, v němž jsou tyto údaje uloženy, a nakládá s ním tak, aby z něj tyto údaje získal, zahajuje tím „operaci“ zpracování, a to i pokud je tato operace zmařena z technických důvodů souvisejících s kryptografickým zabezpečením.
54. Neúspěšný pokus o zpřístupnění osobních údajů uložených v mobilním telefonu v průběhu trestního vyšetřování podléhá směrnici 2016/680 z týchž důvodů, z jakých Soudní dvůr rozhodl o použitelnosti směrnice 2002/58 na (rovněž neúspěšný) pokus získat souhlas soudu se zpřístupněním určitých údajů vyšetřované osoby, které měl k dispozici poskytovatel služeb elektronických komunikací(18).
55. Pokud by se měl předkládající soud za těchto okolností vyjádřit k protiprávní povaze jednání policejních orgánů (kterou, jak jsem již uvedl výše, rakouská vláda uznala), jeho posouzení by mohlo záviset na tom, zda účel, jehož mělo být tímto jednáním dosaženo, byl v souladu s právem, a to jak v případě, že by bylo dané opatření úspěšně završeno, tak v případě, že by bylo pouze bez úspěchu zahájeno.
B. K věci samé
1. První předběžná otázka
56. Předkládající soud si přeje zjistit, zda na základě čl. 15 odst. 1 směrnice 2002/58 (případně ve spojení s jejím článkem 5) a ve světle článků 7 a 8 Listiny „zpřístupnění údajů uložených v mobilních telefonech orgánům veřejné moci nezasahuje do základních práv zakotvených v těchto článcích Listiny základních práv natolik závažným způsobem, aby byl přístup k nim omezen v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů na boj proti závažné trestné činnosti“.
57. Pokud bude žádost o rozhodnutí o předběžné otázce přípustná s ohledem na nepoužitelnost směrnice 2002/58, bude nezbytné první otázku přeformulovat takovým způsobem, aby odpověď poskytnutá Soudním dvorem obsahovala výklad směrnice 2016/680.
58. Tato odpověď by měla upřesnit nejprve to, zda lze v takových případech, jako je ten projednávaný, hovořit o zásahu do základních práv, a v kladném případě dále to, zda směrnice 2016/680 vyžaduje, aby byl přístup k údajům omezen na případy související s bojem proti závažné trestní činnosti.
59. Operace zpracování údajů mohou již ze své podstaty omezit práva na soukromí (článek 7 Listiny) a na ochranu osobních údajů (článek 8 Listiny). Orgány veřejné moci musí proto splnit podmínky stanovené v čl. 52 odst. 1 Listiny, aby odůvodnily svůj zásah do výkonu těchto základních práv.
60. Zásah do práv chráněných články 7 a 8 Listiny bude ještě závažnější, pokud je jeho účelem: a) zpřístupnění údajů citlivé povahy, jež bývají obvykle ukládány v mobilních telefonech a jejichž znalost může prozradit ty stránky života jejich majitelů, jež by měly zůstat skryty třetím osobám, a b) umožnění přístupu k obsahu komunikací.
61. Směrnice 2016/680 by tudíž z obecného hlediska a vzhledem ke svému obsahu neměla být vykládána v tom smyslu, že zpracování údajů, jehož se týká, jsou omezena pouze na případy boje proti závažné trestné činnosti.
62. Předmětem směrnice 2016/680 jsou veškeré operace zpracování(19) osobních údajů příslušnými orgány pro účely prevence, vyšetřování, odhalování či stíhání jakýchkoli trestných činů.
63. Ze zásad, jež zavádí směrnice 2016/680 v souvislosti se zpracováním osobních údajů pro výše uvedený účel (článek 4) ani z podmínek zákonnosti tohoto zpracování (článek 8) nevyplývá, že by zpracování údajů bylo ze zásady přípustné pouze v souvislosti se závažnou trestnou činností.
64. Omezení této působnosti pouze na případy boje proti závažné trestné činnosti by nemohlo být odůvodněno ani automatickým použitím judikatury Soudního dvora týkající se směrnice 2002/58(20) na takové případy, jako je ten projednávaný.
65. Podle mého mínění tak nelze učinit proto, že tato judikatura se s níže uvedenými výhradami týká plošného a nerozlišujícího uchovávání osobních údajů blíže neurčené skupiny osob, které systematicky uskutečňují poskytovatelé služeb elektronických komunikací. Zvýšenou přísnost, s níž Soudní dvůr zakazuje tento druh uchovávání a stanoví výjimky z tohoto zákazu, lze vysvětlit závažností dopadu tohoto uchovávání na celou společnost.
66. Jinak je tomu v případě, že se zamýšlené zpřístupnění údajů netýká celku či velkých skupin obyvatelstva (tj. osobních údajů blíže neurčené skupiny osob), nýbrž údajů uložených v konkrétním mobilním telefonu, a to v rámci konkrétního trestního řízení, což odpovídá situaci spadající do působnosti směrnice 2016/680.
67. Jediným předmětem směrnice 2016/680 je zpracování osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů. Jedná se přitom o veškeré trestné činy, tedy nikoli pouze ty, které mají závažnou povahu.
68. Jak ostatně zdůraznili někteří z vedlejších účastníků tohoto řízení o předběžné otázce, ve směrnici 2016/680 chybí jakýkoli odkaz na závažnost trestných činů, což znamená, že tato směrnice nemusí být používána ve všech členských státech jednotným způsobem, neboť posouzení míry závažnosti jednání, jež by mělo být stíháno, vykazuje v jednotlivých vnitrostátních právních řádech značné rozdíly(21).
69. Směrnice 2016/680 tedy nestanoví žádnou podmínku zákonnosti spočívající v tom, že by zpracování osobních údajů, jejž upravuje, bylo možné pouze pro účely boje proti závažné trestné činnosti.
70. Výše uvedené nebrání tomu, aby muselo být zpracování údajů, jež zamýšlejí příslušné orgány uskutečnit na základě směrnice 2016/680, s ohledem na zásadu proporcionality a případ od případu upraveno podle: a) povahy stíhaných trestných činů a b) vlastností osobních údajů, jež jsou předmětem tohoto zpracování.
71. V témže duchu souhlasím s některými názory německé vlády na omezení přístupu k údajům uloženým v zajištěných telefonech v případech, kdy digitální obsah daného telefonu umožňuje sestavit úplný profil osobnosti jeho majitelů. Podle mínění německé vlády by měl být tento přístup omezen pouze na údaje, které jsou nezbytné jakožto důkazní prostředek v konkrétním případě, a mohl by být nežádoucí, existují-li takové faktory, jako je „nízká závažnost protiprávního činu, který je předmětem vyšetřování, nebo nedostatečná důkazní hodnota údajů, o jejichž získání je usilováno“(22).
72. Ze směrnice 2016/680 tedy z abstraktního hlediska nevyplývá, že je za nezákonné systematicky považováno zpřístupnění osobních údajů uložených v mobilním telefonu, vedené snahou umožnit vyšetřování činů, které by mohly být zahrnuty do běžné trestné činnosti. Je-li takové zpřístupnění konkrétně namístě, je věcí příslušného orgánu, aby jej v jednotlivých situacích posoudily s ohledem na jeho nezbytnost a na míru proporcionality, kterou jsem právě zmínil.
73. Tentýž závěr lze podle mého mínění vyvodit z ustanovení směrnice 2016/680, jež stanoví podmínky platnosti zpracování osobních údajů v rámci boje proti trestné činnosti:
– článek 4 odst. 1 písm. a), podle něhož musí být údaje „zpracovávány zákonným […] způsobem“;
– článek 8 odst. 1, v němž je uvedeno, že zpracování musí být nezbytné a že musí mít základ v právu Unie nebo členského státu.
2. Druhá předběžná otázka
74. Podstatou druhé předběžné otázky předkládajícího soudu je, zda čl. 15 odst. 1 směrnice 2002/58 ve spojení s články 7, 8, 11 a čl. 52 odst. 1 Listiny „brání takové vnitrostátní právní úpravě, jako je právní úprava obsažená v § 18 ve spojení s § 99 odst. 1 [StPO], podle které si bezpečnostní orgány mohou v průběhu vyšetřování trestného činu bez povolení soudu nebo nezávislého správního orgánu samy zjednat neomezený a nekontrolovaný přístup k veškerým digitálním datům uloženým v mobilním telefonu“.
75. Znění této otázky není zcela jednoznačné. Předkládající soud:
– uznává, že § 110 odst. 2 StPO stanoví, že k zajištění či zabavení majetku je v zásadě nezbytné povolení státního zastupitelství. Policejní orgán může bez takového povolení přistoupit k tomuto zabavení pouze v mimořádných případech stanovených v odstavci 3 téhož článku (jež v projednávaném případě patrně nenastaly);
– nicméně dodává, že analýza údajů uložených v mobilních telefonech „není [v StPO] soudržně upraveno“ a že jej bezpečnostní orgány mohly uskutečnit i z vlastního podnětu a bez předchozího povolení.
76. Rakouská vláda poskytla znění vnitrostátního právního předpisu, které se neshoduje se zněním předpisu uvedeného v předkládacím rozhodnutí. Tvrdí zvláště, že podle vnitrostátního práva je zabavení telefonu (vyjma naléhavých případů) i analýza údajů v něm uložených možné pouze s povolením státního zastupitelství(23). Bez příkazu státního zastupitelství je protiprávní využívání policií údajů uložených v tomto telefonu.
77. Je věcí předkládajícího soudu, aby ověřil znění vnitrostátní právní úpravy. V rámci řízení podle článku 267 SFEU nemá Soudní dvůr pravomoc vykládat vnitrostátní právo a je pouze na vnitrostátním soudu, aby určil přesnou působnost vnitrostátních právních a správních předpisů(24).
78. Nemám v úmyslu účastnit se diskuse o výkladu rakouského práva, avšak považuji za nesnadné vyvodit tentýž závěr, k jakému dospěl předkládající soud, pouze na základě ustanovení, jež tento soud určil (§ 18 StPO ve spojení s § 99 odst. 1 téhož zákona). Znovu však opakuji, že tuto záležitost může vyřešit pouze výše uvedený soud.
79. Předkládající soud se v každém případě domnívá, že na takový případ, jako je ten projednávaný, lze vztáhnout judikaturu vyplývající z rozsudku Prokuratuur(25), který se týká předchozího přezkumu přístupu k uchovávaným údajům ze strany soudu nebo nezávislého správního orgánu.
80. Nizozemská vláda má naopak za to, že tato judikatura musí být chápána v souvislostech vnitrostátní právní úpravy, jež umožňovala obecný přístup příslušných orgánů ke všem uchovávaným provozním a lokalizačním údajům. Vysvětluje se tím, proč bylo vyžadováno předchozí soudní povolení, které nemusí být nicméně opodstatněné, jedná-li se o přístup k údajům uloženým v konkrétním mobilním telefonu.
81. V témže duchu tvrdí i norská vláda, že mezi mnohými zárukami, jež stanoví směrnice 2016/680(26), nenalezneme výslovnou záruku týkající se předchozího povolení ze strany soudu nebo nezávislého správního orgánu.
82. Komise, která vychází z předpokladu, že ustanovení směrnice 2016/680 musí být vykládána ve světle Listiny, tvrdí, že povinnost, kterou členským státům ukládá čl. 8 odst. 1 této směrnice (podmínky zákonnosti zpracování), zahrnuje i nutnost dodržovat základní práva zaručená v článcích 7 a 8 Listiny.
83. Souhlasím s Komisí v tom, že dodržením těchto ustanovení Listiny je vnitrostátním zákonodárcům uložena povinnost definovat pravidla nezbytná k tomu, aby bylo zaručeno, že přístup k údajům bude v každém případě odůvodněn a omezen pouze na to, co je nezbytně nutné a přiměřené.
84. Neexistuje nicméně žádný důvod k tomu, aby se tato vnitrostátní pravidla vztahovala přímo na přístup k osobním údajům, jež jsou, tak jako je tomu v projednávaném případě, uloženy v mobilním telefonu, ale postačí pravidla, jež vnitrostátní právo obecně stanoví v oblasti dokazování.
85. V této souvislosti jsem již citoval bod 103 rozsudku La Quadrature du Net, pokud jde o opatření členských států mající dopad na důvěrnost elektronických komunikací, aniž jsou poskytovatelům služeb takových komunikací uloženy povinnosti zpracování(27).
86. Namísto toho, aby bylo nutné vyvozovat ze směrnice 2016/680 zvláštní procesněprávní předpisy zaručující zákonnost přístupu k údajům uloženým v mobilním telefonu(28), se tedy použijí vnitrostátní právní předpisy upravující výkon oprávnění k prohlídce a zajištění v rámci vyšetřování trestných činů(29).
87. Možnost použít ustanovení vnitrostátního práva k zaručení zákonnosti přístupu ve smyslu směrnice 2016/680 je mimoto v souladu i s judikaturou ESLP. Konkrétně v případě, který se týkal Rakouské republiky v souvislosti s článkem 8 EÚLP (právo na respektování soukromého a rodinného života, obydlí a korespondence), ESLP konstatoval, že rakouská právní úprava týkající se zajištění předmětů, a zejména dokumentů se použije na prohlížení a zajištění údajů uložených na elektronických nosičích(30).
88. Pokud policejní orgány nejsou bez povolení státního zastupitelství oprávněny k přístupu k údajům uloženým v konkrétním mobilním telefonu, jak tvrdí rakouská vláda na základě citace z judikatury Oberster Gerichtshof (Nejvyšší soud), ztrácí druhá předběžná otázka zčásti smysl.
89. V odpovědi na tuto otázku každopádně nelze opomenout skutečnost, že pomocí přístupu k osobním údajům uloženým v zajištěném telefonu si lze „vytvořit velmi podrobnou a důkladnou představu o téměř všech oblastech soukromého života“ subjektu údajů(31). V takovém případě by se policejní orgány nemohly obejít bez předchozího povolení, na nějž upozorňuje rozsudek Prokuratuur.
90. Na první pohled by se mohlo zdát, že toto tvrzení není v souladu s tím, že se na projednávaný případ nepoužije směrnice 2002/58 (jejíž výklad je podán v rozsudku Prokuratuur), jak jsem již navrhl výše. Domnívám se nicméně, že smysl výše uvedeného rozsudku nasvědčuje témuž závěru.
91. Ve sporu, v němž byl vydán rozsudek Prokuratuur, bylo sice zpřístupnění uskutečněno na základě údajů (metadat) získaných od poskytovatelů služeb elektronických komunikací, avšak stejně jako v projednávaném případě se jednalo o konkrétní vyšetřování trestného činu vedené proti určité osobě. Cílem bylo získání „údajů souvisejících s několika telefonními čísly […] a s různými mezinárodními identifikacemi její mobilní výbavy“(32).
92. Podle mého názoru lze v rozsudku Prokuratuur spatřovat dvě roviny: a) rovinu zpochybnění obecné právní úpravy členského státu v oblasti plošného a nerozlišujícího uchovávání údajů a následného zpřístupnění údajů, jež mají k dispozici poskytovatelé služby, a b) rovinu předchozího přezkumu přístupu k těmto metadatům, který má být proveden v konkrétním případě, kdy tato metadata umožňují sestavit přesnou podobu soukromého života určité osoby.
93. Okolnost, že v případě, jímž se nyní zabýváme, nejsou údaje prozrazující soukromý život v držení poskytovatelů služby a byly získány (nebo měly být získány) z konkrétního zajištěného telefonu, považuji za podružnou v poměru ke smyslu povinného předchozího přezkumu, který je vyžadován v rozsudku Prokuratuur.
94. A konečně je tento předchozí přezkum odůvodněn ochranou, kterou zaručují články 7 a 8 Listiny. Orgán, který tento přezkum provádí, musí být schopen „zajistit spravedlivou rovnováhu mezi zájmy souvisejícími s potřebami vyšetřování v rámci boje proti trestné činnosti na jedné straně a základními právy na respektování soukromého života a na ochranu osobních údajů osob, jichž se přístup dotýká, na straně druhé“(33).
3. Třetí předběžná otázka
95. Podstatou třetí předběžné otázky předkládajícího soudu je, zda článek 47 Listiny (případně ve spojení s jejími články 41 a 52) brání takové právní úpravě, jako je rakouská právní úprava(34), která „umožňuje, aby byl mobilní telefon prozkoumán pomocí digitální analýzy, aniž je o tom dotčená osoba informována předem nebo alespoň po provedení daného opatření“.
96. Mám za to, že takto formulovaná otázka by mohla být pro vyřešení projednávaného sporu bezcenná, neboť subjekt údajů mohl uplatnit právo zakotvené v článku 47 Listiny a navrhnout přitom předkládajícímu soudu, aby prohlásil neplatnost policejního postupu týkajícího se zajištěného telefonu, včetně následného (zmařeného) pokusu o využití údajů, jež jsou v něm uloženy.
97. Pokud jde o dva výše uvedené okamžiky policejního postupu, je třeba rozlišovat:
– že co se týče samotného zajištění telefonu, z informací uvedených ve spisu vyplývá, že subjekt údajů o tomto zajištění věděl a odmítl poskytnout policejním orgánům přístupové heslo v okamžiku, kdy telefon zajistily;
– že co se týče pokusu o analýzu údajů, vše nasvědčuje tomu, že správce tuto operaci subjektu údajů neoznámil, přestože rakouská vláda tvrdí, že se subjekt údajů seznámil se zprávou, v níž bylo uvedeno, jakým způsobem postupovala soudní policie v případě předmětného telefonu(35).
98. V souvislosti s využitím údajů a oznámením tohoto využití subjektu údajů tedy přetrvávají určité nejasnosti, které měl, jak jsem již uvedl, objasnit předkládající soud v předkládacím rozhodnutí a které brání užitečnému zodpovězení třetí předběžné otázky.
99. Pro případ, že by Soudní dvůr nepovažoval tuto otázku za nepřípustnou, se k ní však každopádně vyjádřím. V takovém případě a s ohledem na nepoužitelnost směrnice 2002/58 by tato otázka musela být přeformulována ve světle směrnice 2016/680, jejíž články 13, 15 a 54 poskytují možnosti k jejímu zodpovězení.
100. Směrnice 2016/680 stanoví, že subjektu údajů musí být poskytovány informace týkající se zpracování jeho údajů, jež jsou nezbytné mimo jiné: a) k podání stížnosti u příslušného dozorového úřadu [čl. 13 odst. 1 písm. d)]; a b) k získání účinné soudní ochrany před porušením práv zaručených směrnicí 2016/680, aniž je dotčena jakákoli dostupná správní nebo mimosoudní ochrana (článek 54).
101. Současně však nelze zapomínat na to, že podle čl. 13 odst. 3 i čl. 15 odst. 1 směrnice 2016/680 mohou členské státy přijmout legislativní opatření,
– aby poskytnutí informací subjektu údajů podle čl. 13 odst. 2 odložily, omezily, či od něho upustily;
– která přístup subjektů údajů k informacím úplně nebo částečně omezují v takovém rozsahu a na takovou dobu, jak je to nutné a přiměřené, mimo jiné s cílem zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů nebo zabránit nepříznivému ovlivňování vyšetřování trestných činů(36).
102. Zákonnost zpracování údajů každopádně nezávisí na tom, zda příslušné orgány splnily (následné) povinnosti, které jim ukládá článek 13 směrnice 2016/680, nýbrž na tom, zda je v souladu s právem účel, kterým je toto zpracování odůvodněno, tj. na tom, zda byly tyto správní orgány oprávněny k tomu, aby provedly zpracování osobních údajů.
103. Otázka, zda byl subjekt údajů informován o pokusech získat přístup k údajům uloženým v telefonu, který mu byl zabaven, z tohoto hlediska nemá sama o sobě žádný dopad na zákonnost důvodů, jež vedly k postupu policejních orgánů. Pokud správce svým jednáním poruší povinnosti, které mu ukládá článek 13 směrnice 2016/680, tato okolnost může mít jiné následky, avšak – což je potřeba znovu zopakovat – nemá sama o sobě žádný dopad na zákonnost, či nezákonnost téhož zpracování údajů.
104. Náleží předkládajícímu soudu, aby určil, zda vnitrostátní právní úprava umožňuje, aby subjekt údajů účinně vykonával svá práva.
V. Závěry
105. S ohledem na výše uvedené navrhuji Soudnímu dvoru, aby prohlásil žádost o rozhodnutí o předběžné otázce položenou Landesverwaltungsgericht Tirol (zemský správní soud spolkové země Tyrolsko, Rakousko) za nepřípustnou.
Podpůrně navrhuji, aby byla tato žádost zodpovězena takto:
„1) Článek 4 odst. 1 písm. a) a čl. 8 odst. 1 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV, ve spojení s články 7, 8 a 52 Listiny základních práv Evropské unie,
musí být vykládány v tom smyslu, že
v rámci vyšetřování trestného činu není zpřístupnění osobních údajů uložených v mobilním telefonu orgány veřejné moci za účelem jejich zpracování omezeno na případy boje proti závažné trestné činnosti.
Toto zpřístupnění musí být v každém případě odůvodněno a musí být omezeno pouze na to, co je nezbytně nutné a přiměřené, s přihlédnutím k povaze stíhaných trestných činů a k osobním údajům, k nimž má být zjednán přístup.
Policejní orgány nemohou v průběhu vyšetřování trestného činu bez předchozího povolení soudu samy zjednat neomezený a nekontrolovaný přístup k veškerým údajům uloženým v mobilním telefonu, pokud si z nich lze vytvořit podrobnou představu o soukromém životě dané osoby.
2) Články 13, 15 a 54 směrnice 2016/680 ve spojení s články 47 a 52 Listiny
musí být vykládány v tom smyslu, že
s výhradou omezení povolených v čl. 15 odst. 1 směrnice 2016/680 či jakékoli dostupné správní nebo mimosoudní ochrany musí být majitel mobilního telefonu informován o tom, že osobní údaje, které jsou v něm uloženy, byly zpracovány příslušnými orgány, a to tehdy a takovým způsobem, jak je to nezbytné k zaručení účinného výkonu práva majitele mobilního telefonu na získání soudní ochrany proti případnému porušení práv uznaných směrnicí 2016/680.“