Unionin tuomioistuimen tuomio (suuri jaosto) 6.10.2020 (ennakkoratkaisupyynnöt, jotka on esittänyt Conseil d’État – Ranska, ja Cour constitutionnelle – Belgia) – La Quadrature du Net (C-511/18 ja C-512/18), French Data Network (C-511/18 ja C-512/18), Fédération des fournisseurs d’accès à Internet associatifs (C-511/18 ja C-512/18) ja Igwan.net (C-511/18) v. Premier ministre (C-511/18 ja C-512/18), Garde des Sceaux, ministre de la Justice (C-511/18 ja C-512/18), Ministre de l’Intérieur (C-511/18) ja Ministre des Armées (C-511/18) sekä asiassa C-520/18; Ordre des barreaux francophones et germanophone, Académie Fiscale ASBL, UA, Liga voor Mensenrechten ASBL, Ligue des Droits de l’Homme ASBL, VZ, WY ja XX v. Conseil des ministres
(yhdistetyt asiat C-511/18, C-512/18 ja C-520/18)1
(Ennakkoratkaisupyyntö – Henkilötietojen käsittely sähköisen viestinnän alalla – Sähköisten viestintäpalvelujen tarjoajat – Hosting-palvelujen tarjoajat ja internetyhteyden tarjoajat – Liikenne- ja paikkatietojen säilyttäminen yleisesti ja erotuksetta – Tietojen automaattinen analysointi – Tietojen saaminen reaaliajassa – Kansallisen turvallisuuden takaaminen ja terrorismin torjunta – Rikollisuuden torjunta – Direktiivi 2002/58/EY – Soveltamisala – 1 artiklan 3 kohta ja 3 artikla – Sähköisen viestinnän luottamuksellisuus – Suojaaminen – 5 artikla ja 15 artiklan 1 kohta – Direktiivi 2000/31/EY – Soveltamisala – Euroopan unionin perusoikeuskirja – 4, 6–8 ja 11 artikla sekä 52 artiklan 1 kohta – SEU 4 artiklan 2 kohta)
Oikeudenkäyntikieli: ranska
Ennakkoratkaisua pyytänyt tuomioistuin
Conseil d’État
Pääasian asianosaiset
(asiat C-511/18 ja C-512/18)
Kantajat: La Quadrature du Net (C-511/18 ja C-512/18), French Data Network (C-511/18 ja C-512/18), Fédération des fournisseurs d’accès à Internet associatifs (C-511/18 ja C-512/18) ja Igwan.net (C-511/18)
Vastaajat: Premier ministre (C-511/18 ja C-512/18), Garde des Sceaux, ministre de la Justice (C-511/18 ja C-512/18), Ministre de l’Intérieur (C-511/18) ja Ministre des Armées (C-511/18)
Muut osapuolet: Privacy International (C‑512/18) ja Center for Democracy and Technology (C‑512/18)
(asia C-520/18)
Kantajat: Ordre des barreaux francophones et germanophone, Académie Fiscale ASBL, UA, Liga voor Mensenrechten ASBL, Ligue des Droits de l’Homme ASBL, VZ, WY ja XX
Vastaaja: Conseil des ministres
Muu osapuoli: Child Focus
Tuomiolauselma
1) Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi), sellaisena kuin se on muutettuna 25.11.2009 annetulla Euroopan parlamentin ja neuvoston direktiivillä 2009/136/EY, 15 artiklan 1 kohtaa, luettuna Euroopan unionin perusoikeuskirjan 7, 8 ja 11 artiklan sekä 52 artiklan 1 kohdan valossa, on tulkittava siten, että se on esteenä lainsäädännöllisille toimenpiteille, joissa säädetään kyseisessä 15 artiklan 1 kohdassa säädettyjä tarkoituksia varten ennakoivasti liikenne- ja paikkatietojen yleisestä ja erotuksetta tapahtuvasta säilyttämisestä. Direktiivin 2002/58, sellaisena kuin se on muutettuna direktiivillä 2002/58, 15 artiklan 1 kohta, luettuna perusoikeuskirjan 7, 8 ja 11 artiklan sekä 52 artiklan 1 kohdan valossa, ei sitä vastoin ole esteenä lainsäädännöllisille toimenpiteille, joissa
– sallitaan kansallisen turvallisuuden takaamiseksi se, että sähköisten viestintäpalvelujen tarjoajat määrätään säilyttämään liikenne- ja paikkatiedot yleisesti ja erotuksetta tilanteissa, joissa asianomaisen jäsenvaltion kansalliseen turvallisuuteen kohdistuu vakava uhka, joka osoittautuu todelliseksi ja olemassa olevaksi tai ennakoitavaksi olevaksi, ja joko tuomioistuin tai riippumaton hallinnollinen elin, jonka ratkaisu on sitova, voi kohdistaa päätökseen, jolla tällainen määräys annetaan, tehokasta valvontaa, jolla pyritään tarkastamaan, että kyseessä on jokin näistä tilanteista ja että niitä edellytyksiä ja takeita, joista on säädettävä, noudatetaan; mainittu määräys voidaan antaa ainoastaan ajanjaksoksi, joka on rajoitettu täysin välttämättömään mutta jota voidaan jatkaa, jos kyseinen uhka on edelleen olemassa,
– säädetään kansallisen turvallisuuden takaamiseksi, vakavan rikollisuuden torjumiseksi ja yleiseen turvallisuuteen kohdistuvien vakavien uhkien ehkäisemiseksi liikenne- ja paikkatietojen kohdennetusta säilyttämisestä, joka on objektiivisten ja syrjimättömien seikkojen perusteella rajattu asianomaisten henkilöiden ryhmien mukaan tai maantieteellisen kriteerin avulla ajanjaksoksi, joka on rajoitettu täysin välttämättömään mutta jota voidaan jatkaa,
– säädetään kansallisen turvallisuuden takaamiseksi, vakavan rikollisuuden torjumiseksi ja yleiseen turvallisuuteen kohdistuvien vakavien uhkien ehkäisemiseksi liittymän lähteelle annettujen IP-osoitteiden yleisestä ja erotuksettomasta säilyttämisestä ajanjaksoksi, joka on rajoitettu täysin välttämättömään,
– säädetään kansallisen turvallisuuden suojaamiseksi, rikollisuuden torjumiseksi ja yleisen turvallisuuden suojaamiseksi sähköisten viestintävälineiden käyttäjien henkilöllisyyttä koskevien tietojen yleisestä ja erotuksetta tapahtuvasta säilyttämisestä ja
– sallitaan vakavan rikollisuuden torjumiseksi ja varsinkin kansallisen turvallisuuden takaamiseksi se, että sähköisten viestintäpalvelujen tarjoajat määrätään toimivaltaisen viranomaisen päätöksellä, johon kohdistuu tehokas tuomioistuinvalvonta, varmistamaan nopeasti kyseisten palveluntarjoajien käytössä olevien liikenne- ja paikkatietojen säilyttäminen tietyn ajan,
jos näillä toimenpiteillä varmistetaan selvin ja täsmällisin säännöin, että kyseessä olevien tietojen säilyttämisen ehtona on, että näihin toimenpiteisiin liittyviä aineellisia ja menettelyllisiä edellytyksiä noudatetaan, ja että asianomaisilla henkilöillä on tehokkaat takeet väärinkäytön vaaroja vastaan.
2) Direktiivin 2002/58, sellaisena kuin se on muutettuna direktiivillä 2009/136, 15 artiklan 1 kohtaa, luettuna perusoikeuskirjan 7, 8 ja 11 artiklan sekä 52 artiklan 1 kohdan valossa, on tulkittava siten, että se ei ole esteenä kansalliselle säännöstölle, jonka mukaan sähköisten viestintäpalvelujen tarjoajien on yhtäältä analysoitava automaattisesti ja kerättävä reaaliajassa muun muassa liikenne- ja paikkatietoja ja toisaalta kerättävä reaaliajassa käytettyjen päätelaitteiden sijaintipaikkaa koskevia teknisiä tietoja, kun
– automaattinen analysointi rajoittuu tilanteisiin, joissa jäsenvaltion kansalliseen turvallisuuteen kohdistuu vakava uhka, joka osoittautuu todelliseksi ja olemassa olevaksi tai ennakoitavissa olevaksi, ja joko tuomioistuin tai riippumaton hallinnollinen elin, jonka ratkaisu on sitova, voi kohdistaa tähän analysointiin tehokasta valvontaa, jolla pyritään tarkastamaan, että kyseessä tilanne, joka oikeuttaa mainitun toimenpiteen, ja että niitä edellytyksiä ja takeita, joista on säädettävä, noudatetaan, ja
– liikenne- ja paikkatietojen kerääminen reaaliajassa on rajattu henkilöihin, joiden osalta on olemassa pätevä syy epäillä, että he osallistuvat tavalla tai toisella terrorismiin, ja se valvotaan etukäteen joko tuomioistuimessa tai riippumattomassa hallinnollisessa elimessä, jonka ratkaisu on sitova, sen varmistamiseksi, että tällainen reaaliajassa tapahtuva tietojen kerääminen sallitaan ainoastaan täysin välttämättömän rajoissa. Asianmukaisesti perustellussa kiireellisessä tapauksessa valvonta on suoritettava viipymättä.
3) Tietoyhteiskunnan palveluja, erityisesti sähköistä kaupankäyntiä, sisämarkkinoilla koskevista tietyistä oikeudellisista näkökohdista 8.6.2000 annettua Euroopan parlamentin ja neuvoston direktiivin 2000/31/EY (”Direktiivi sähköisestä kaupankäynnistä”) on tulkittava siten, että sitä ei sovelleta viestinnän luottamuksellisuuden suojaan ja yksilöiden suojeluun henkilötietojen käsittelyssä tietoyhteiskunnan palvelujen yhteydessä, koska tätä suojaa säännellään tapauksen mukaan direktiivillä 2002/58, sellaisena kuin se on muutettuna direktiivillä 2009/136, tai luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) 2016/679. Asetuksen 2016/679 23 artiklan 1 kohtaa, luettuna perusoikeuskirjan 7, 8 ja 11 artiklan sekä 52 artiklan 1 kohdan valossa, on tulkittava siten, että se on esteenä kansalliselle säännöstölle, jonka mukaan yhteyttä yleisölle tarkoitettuihin viestintäpalveluihin tarjoavien toimijoiden ja hosting-palvelujen tarjoajien on säilytettävä yleisesti ja erotuksetta muun muassa kyseisiin palveluihin liittyvät henkilötiedot.
4) Kansallinen tuomioistuin ei voi soveltaa kansallisen oikeutensa säännöstä, jossa sille annetaan toimivalta rajoittaa ajallisesti sellaisen lainvastaisuutta koskevan toteamuksen vaikutuksia, joka sen on kyseisen oikeuden nojalla tehtävä kansallisesta lainsäädännöstä, jonka mukaan sähköisten viestintäpalvelujen tarjoajien on muun muassa kansallisen turvallisuuden takaamista ja rikollisuuden torjuntaa koskeviin tavoitteisiin pyrittäessä säilytettävä direktiivin 2002/58, sellaisena kuin se on muutettuna direktiivillä 2009/136, 15 artiklan 1 kohdan, luettuna perusoikeuskirjan 7, 8 ja 11 artiklan sekä 52 artiklan 1 kohdan valossa, vastaisesti liikenne- ja paikkatietoja yleisesti ja erotuksetta. Kun kyseistä 15 artiklan 1 kohtaa tulkitaan tehokkuusperiaatteen valossa, siinä edellytetään, että kansallinen rikostuomioistuin jättää huomiotta tiedot ja todisteet, jotka on hankittu unionin oikeuden vastaisella liikenne- ja paikkatietojen yleisesti ja erotuksetta tapahtuvalla säilyttämisellä, rikosprosessissa, joka on pantu vireille sellaisia henkilöitä vastaan, joiden epäillään syyllistyneen rikoksiin, jos kyseiset henkilöt eivät voi tehokkaasti ilmaista käsitystään näistä tiedoista ja todisteista, jotka ovat peräisin alalta, joka ei ole tuomareiden tiedossa, ja jotka voivat vaikuttaa ratkaisevalla tavalla tosiseikkojen arviointiin.
____________
1 EUVL C 392, 29.10.2018. EUVL C 408, 12.11.2018.