62021CJ0548_RES
Predmet C-548/21
CG
protiv
Bezirkshauptmannschaft Landeck
(zahtjev za prethodnu odluku koji je uputio Landesverwaltungsgericht Tirol)
Presuda Suda (veliko vijeće) od 4. listopada 2024.
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka koju provode nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela – Direktiva 2016/680/EU – Članak 3. točka 2. – Pojam ‚obrada’ – Članak 4. – Načela vezana uz obradu osobnih podataka – Članak 4. stavak 1. točka (c) – Načelo ‚smanjenja količine podataka’ – Članci 7., 8. i 47. te članak 52. stavak 1. Povelje Europske unije o temeljnim pravima – Zahtjev da ograničenje pri ostvarivanju temeljnog prava treba biti ‚predviđeno zakonom’ – Proporcionalnost – Ocjena proporcionalnosti s obzirom na sve relevantne okolnosti – Prethodni nadzor suda ili neovisnog upravnog tijela – Članak 13. – Informacije koje se moraju staviti na raspolaganje ili dostaviti ispitaniku – Granice – Članak 54. – Pravo na djelotvoran pravni lijek protiv voditelja obrade ili izvršitelja obrade – Policijska istraga o trgovini drogom – Pokušaj policijskih tijela da otključaju mobilni telefon kako bi za potrebe te istrage pristupili podacima pohranjenima na tom telefonu”
Usklađivanje zakonodavstava – Telekomunikacijski sektor – Obrada osobnih podataka i zaštita privatnosti u sektoru elektroničkih komunikacija – Direktiva 2002/58 – Područje primjene – Pokušaj policijskih tijela da pristupe osobnim podacima pohranjenima na mobilnom telefonu za potrebe kaznene istrage – Nepostojanje intervencije pružatelja elektroničkih komunikacijskih usluga – Isključenost
(Direktiva 2002/58 Europskog parlamenta i Vijeća, kako je izmijenjena Direktivom 2009/136, čl. 1. st. 1 i 3., te čl. 3.)
(t. 57.-59.)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka u kaznenim stvarima – Direktiva 2016/680 – Područje primjene – Pokušaj policijskih tijela da pristupe osobnim podacima pohranjenima na mobilnom telefonu za potrebe kaznene istrage – Uključenost
(Direktiva 2016/680 Europskog parlamenta i Vijeća, čl. 2. st. 1. i čl. 2. st. 3. t. 2.)
(t. 71.-77.)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka u kaznenim stvarima – Direktiva 2016/680 – Načela vezana uz obradu osobnih podataka – Načelo smanjenja količine podataka i načelo proporcionalnosti – Policijska istraga o trgovini opojnim drogama – Nacionalni propis kojim se nadležnim tijelima daje mogućnost pristupa podacima pohranjenima na mobilnom telefonu u svrhu sprečavanja, istraživanja, otkrivanja i progona kaznenih djela općenito – Dopuštenost – Pretpostavke
(Povelja Europske unije o temeljnim pravima, čl. 7., čl. 8. i čl. 52. st. 1.; Direktiva 2016/680 Europskog parlamenta i Vijeća, čl. 4. st. 1. t. (c))
(t. 84.-86., 89.-93., 95.-106., 109., 110., t. 1. izreke)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka u kaznenim stvarima – Direktiva 2016/680 – Obavještavanje ispitanika – Pravo na djelotvoran pravni lijek – Policijska istraga o trgovini opojnim drogama – Nacionalni propis kojim se nadležnim tijelima dopušta da pokušaju pristupiti podacima pohranjenima na mobilnom telefonu bez obavještavanja ispitanika o razlozima takvog odobrenja – Nedopuštenost – Obveza nadležnih tijela da ispitanika obavijeste o tim razlozima – Doseg
(Povelja Europske unije o temeljnim pravima, čl. 47. i čl. 52. st. 1.; Direktiva 2016/680 Europskog parlamenta i Vijeća, čl. 13. i 54.)
(t. 115.-123., t. 2. izreke)
Kratak prikaz
Odlučujući o zahtjevu za prethodnu odluku koji je uputio Landesverwaltungsgericht Tirol (Zemaljski upravni sud u Tirolu, Austrija), veliko vijeće Suda pojašnjava, s jedne strane, uvjete pod kojima nadležna nacionalna tijela mogu pristupiti podacima pohranjenima na mobilnom telefonu u svrhu sprečavanja, istraživanja, otkrivanja ili progona kaznenih djela općenito, u kontekstu Direktive 2016/680 (
1
). S druge strane, ono priznaje pravo ispitanika da bude obaviješten o razlozima na kojima se temelji odobrenje za pristup takvim podacima, i to od trenutka kad prosljeđivanje te informacije više ne može ugroziti obavljanje zadaća tih tijela.
Austrijski su carinski službenici 23. veljače 2021. prilikom provjere u vezi s opojnim drogama zaplijenili paket naslovljen na osobu CG koji je sadržavao 85 grama kanabisa. Taj je paket bio proslijeđen na pregled austrijskim policijskim tijelima. Dva su policijska službenika 6. ožujka 2021. u okviru policijske istrage o trgovini opojnim drogama izvršila pretragu doma osobe CG ispitavši je pritom o pošiljatelju paketa. Nakon što je osoba CG odbila policijskim službenicima dati pristup podacima o vezi s njezina mobilnog telefona, oni su joj oduzeli telefon.
Nakon toga je više policijskih službenika više puta pokušalo otključati mobilni telefon osobe CG. U konkretnom slučaju, policijski službenici oduzeli su telefon i naknadno ga pokušali koristiti, a da pritom nisu imali odobrenje ni državnog odvjetništva ni suda.
Osoba CG je 31. ožujka 2021. podnijela tužbu sudu koji je uputio zahtjev radi osporavanja zakonitosti oduzimanja njezina mobilnog telefona koji joj je vraćen 20. travnja 2021. Osoba CG nije bila odmah obaviještena o pokušajima obrade njezina telefona i za njih je saznala u okviru postupka koji se vodi pred sudom koji je uputio zahtjev.
U tom kontekstu, sud koji je uputio zahtjev želi znati treba li, s gledišta Direktive o privatnosti i elektroničkim komunikacijama (
2
), sveobuhvatni i nekontrolirani pristup svim podacima pohranjenima na mobilnom telefonu tumačiti na način da predstavlja tako ozbiljno zadiranje u temeljna prava (
3
) da taj pristup mora biti ograničen samo na suzbijanje teških kaznenih djela. Također postavlja pitanje, s jedne strane, protivi li se toj direktivi (
4
) nacionalni propis kojim se određuje da kriminalistička policija može tijekom postupka kaznene istrage bez odobrenja suda ili neovisnog upravnog tijela ostvariti sveobuhvatan i nekontroliran pristup svim podacima pohranjenima na mobilnom telefonu i, s druge strane, je li taj isti nacionalni propis u skladu s pravom na djelotvoran pravni lijek, s obzirom na to da ne obvezuje policijska tijela da obavijeste vlasnika mobilnog telefona o mjerama digitalne obrade tog telefona.
Ocjena Suda
Sud uvodno ističe da pokušaj policijskih tijela da izravno pristupe osobnim podacima pohranjenima na mobilnom telefonu bez ikakve intervencije pružatelja elektroničkih komunikacijskih usluga, kao u slučaju osobe CG, nije obuhvaćen područjem primjene Direktive o privatnosti i elektroničkim komunikacijama.
U prvom redu, Sud utvrđuje da je takav pokušaj pristupa obuhvaćen područjem primjene Direktive 2016/680. S tim u vezi precizira da, imajući u vidu široko značenje koje je zakonodavac Europske unije namjeravao dati pojmu „obrada” (
5
), kada policijska tijela oduzmu telefon i koriste se njime za potrebe preuzimanja i pregledavanja osobnih podataka pohranjenih na tom telefonu, ta tijela time započinju „obradu”, čak i ako zbog tehničkih razloga ne uspiju pristupiti tim podacima. Naime, djelotvornost načela ograničavanja svrhâ (
6
) nužno zahtijeva da se svrha prikupljanja odredi već od trenutka kad nadležna tijela pokušaju pristupiti osobnim podacima jer ako se takav pokušaj pokaže uspješnim, ta tijela mogu, među ostalim, odmah prikupljati, izdvajati ili pregledavati predmetne podatke. Visoka razina zaštite osobnih podataka fizičkih osoba bila bi dovedena u pitanje ako se takav pokušaj ne bi mogao kvalificirati kao „obrada” podataka. Isto tako, ako bi primjenjivost Direktive 2016/680 ovisila o tome je li pokušaj pristupa osobnim podacima pohranjenima na mobilnom telefonu bio uspješan, za nadležna nacionalna tijela i za osobe stvorila bi se neizvjesnost koja ne bi bila u skladu s načelom pravne sigurnosti.
U drugom redu, Sud analizira protivi li se načelu „smanjenja količine podataka” (
7
), kao izrazu načela proporcionalnosti, nacionalni propis kojim se nadležnim tijelima omogućuje pristup podacima pohranjenima na mobilnom telefonu u svrhu sprečavanja, istrage, otkrivanja i progona kaznenih djela općenito, pri čemu se ostvarivanje te mogućnosti ne uvjetuje prethodnim nadzorom suda ili neovisnog upravnog tijela. Sud stoga podsjeća na to da ograničenja temeljnih prava na poštovanje privatnosti i obiteljskog života te na zaštitu osobnih podataka (
8
) moraju poštovati načelo proporcionalnosti te da mogu biti uvedena samo ako su nužna i ako zaista odgovaraju ciljevima u općem interesu koje priznaje Unija. U tom smislu, s jedne strane, Sud utvrđuje da u načelu treba smatrati da se obradom osobnih podataka u okviru policijske istrage čiji je cilj suzbijanje kaznenog djela, kao što je pokušaj pristupa podacima pohranjenima na mobilnom telefonu, stvarno ispunjava cilj u općem interesu koji priznaje Unija. S druge strane, napominje da proporcionalnost ograničavanja pri ostvarivanju temeljnih prava na poštovanje privatnosti i na zaštitu osobnih podataka, koji proizlaze iz te obrade, podrazumijeva odvagivanje svih relevantnih okolnosti konkretnog slučaja.
U tom smislu, prvo, kada je riječ o ozbiljnosti ograničavanja tih temeljnih prava na osnovi propisa koji nadležnim policijskim tijelima omogućuje da bez prethodnog odobrenja pristupe podacima pohranjenima na mobilnom telefonu, Sud precizira da se takav pristup može odnositi, ovisno o sadržaju mobilnog telefona o kojem je riječ i opcijama za koje se ta tijela odluče, na vrlo široku paletu podataka, te da bi se na taj način moglo doći do vrlo preciznih zaključaka o privatnom životu ispitanika. Stoga se takvo zadiranje u temeljna prava na poštovanje privatnosti i na zaštitu osobnih podataka treba smatrati ozbiljnim ili čak osobito ozbiljnim.
Drugo, Sud navodi da ozbiljnost kaznenog djela zbog kojeg se provodi istraga predstavlja središnji čimbenik prilikom ispitivanja proporcionalnosti ozbiljnog zadiranja koje čini pristup osobnim podacima pohranjenima na mobilnom telefonu. Međutim, kad bi se smatralo da samo suzbijanje teških kaznenih djela može opravdati pristup takvim podacima, time bi se ograničile istražne ovlasti nadležnih tijela u odnosu na kaznena djela općenito, povrijedila specifična priroda zadaća koje izvršavaju ta tijela te ugrozio cilj uspostave područja slobode, sigurnosti i pravde unutar Unije. Međutim, kako bi se ispunio zahtjev da svako ograničavanje pri ostvarivanju temeljnog prava mora biti „predviđeno zakonom” (
9
), zadaća je nacionalnog zakonodavca da dovoljno precizno definira čimbenike, osobito prirodu ili kategorije kaznenih djela o kojima je riječ, koje treba uzeti u obzir.
Treće, Sud napominje da s ciljem osiguravanja toga da se načelo proporcionalnosti poštuje u slučaju kada pristup nadležnih nacionalnih tijela osobnim podacima predstavlja rizik od ozbiljnog ili čak osobito ozbiljnog zadiranja u temeljna prava ispitanika, taj pristup mora podlijegati prethodnom nadzoru koji provodi sud ili neovisno upravno tijelo. Navedeni nadzor treba provesti prije bilo kakvog pokušaja pristupa predmetnim podacima, osim u slučaju valjano opravdane hitnosti, u kojem slučaju taj nadzor treba provesti u najkraćem roku. U okviru tog nadzora, sud ili neovisno upravno tijelo trebaju biti ovlašteni odbiti ili ograničiti zahtjev za pristup koji je obuhvaćen područjem primjene Direktive 2016/680, kada utvrde da bi zadiranje u temeljna prava do kojeg bi doveo taj pristup bilo neproporcionalno. U konkretnom slučaju, odbijanje ili ograničavanje pristupa nadležnih policijskih tijela podacima pohranjenima na mobilnom telefonu nužno je ako, s obzirom na ozbiljnost kaznenog djela i potrebe istrage, pristup sadržaju komunikacije ili osjetljivim podacima očito nije opravdan.
Imajući u vidu navedeno, Sud zaključuje da se načelu smanjenja količine podataka, u vezi s pravom na zaštitu osobnih podataka i pravom na poštovanje privatnosti, ne protivi nacionalni propis kojim se nadležnim tijelima omogućuje pristup podacima pohranjenima na mobilnom telefonu u svrhu sprečavanja, istrage, otkrivanja i progona kaznenih djela općenito. Međutim, takva je dopuštenost uvjetovana poštovanjem načela zakonitosti i proporcionalnosti te postojanjem prethodnog nadzora ostvarivanja prava na pristup takvim podacima koji provodi sud ili neovisno upravno tijelo.
U trećem redu, Sud se očituje o pitanju je li osoba CG trebala biti obaviještena o pokušajima pristupa podacima pohranjenima na njezinu mobilnom telefonu (
10
). S tim u vezi zaključuje da nadležna nacionalna tijela kojima su sud ili neovisno upravno tijelo dopustili pristup pohranjenim podacima moraju ispitanike obavijestiti o razlozima na kojima se temelji to odobrenje, i to od trenutka kad prosljeđivanje te informacije više ne može ugroziti istrage koje ta tijela vode. Ta ista tijela moraju ispitanicima staviti na raspolaganje sve informacije iz Direktive 2016/680 (
11
) kako bi oni mogli među ostalim ostvariti svoje pravo na djelotvoran pravni lijek (
12
). Stoga, nacionalni propis kojim bi se općenito isključivalo bilo kakvo pravo na dobivanje takvih informacija ne bi bio u skladu s pravom Unije. U konkretnom slučaju, Sud utvrđuje da je osoba CG trebala biti prethodno obaviještena o pokušajima pristupa podacima pohranjenima na njezinu mobilnom telefonu. Naime, budući da je mobilni telefon osobe CG već bio oduzet u trenutku kad su ga policijska tijela pokušavala otključati, ne čini se da je njezino obavještavanje o tim pokušajima pristupa moglo ugroziti istragu. Sud stoga zaključuje da se odredbama Direktive 2016/680 u vezi s Poveljom (
13
) protivi nacionalni propis kojim se nadležnim tijelima odobrava da pokušaju pristupiti podacima pohranjenima na mobilnom telefonu, a da pritom ispitanika ne obavijeste o razlozima na kojima se temelji odobrenje za pristup tim podacima, koje izdaje sud ili neovisno upravno tijelo, od trenutka kad prosljeđivanje te informacije više ne može ugroziti obavljanje zadaća koje imaju ta tijela.
(
1
)	Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14.)
(
2
)	I konkretno članka 15. stavka 1. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. (SL 2009., L 337, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 224. i ispravci SL 2017., L 162, str. 56. i SL 2018., L 74, str. 11.) (u daljnjem tekstu: Direktiva o privatnosti i elektroničkim komunikacijama)
(
3
)	Utvrđena u člancima 7. i 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja)
(
4
)	I konkretno članku 15. stavku 1. Direktive o privatnosti i elektroničkim komunikacijama
(
5
)	U skladu s člankom 3. točkom 2. Direktive 2016/680, pojam „obrada” definira se kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima […]”.
(
6
)	Članak 4. stavak 1. točka (b) Direktive 2016/680
(
7
)	Kako se određuje u članku 4. stavku 1. točki (c) Direktive 2016/680, u skladu s kojim države članice moraju osigurati da su osobni podaci primjereni i relevantni te da nisu pretjerani u odnosu na svrhe u koje se obrađuju.
(
8
)	Članci 7. i 8. Povelje
(
9
)	Članak 52. stavak 1. Povelje
(
10
)	Članak 47. Povelje
(
11
)	Navedene u članku 13. stavku 1. Direktive 2016/680
(
12
)	Članak 54. Direktive 2016/680
(
13
)	Konkretno, člancima 13. i 54. Direktive 2016/680 u vezi s člankom 47. i člankom 52. stavkom 1. Povelje