62021CJ0548_RES
Дело C‑548/21
CG
срещу
Bezirkshauptmannschaft Landeck
(Преюдициално запитване, отправено от Landesverwaltungsgericht Tirol)
Решение на Съда (голям състав) от 4 октомври 2024 година
„Преюдициално запитване — Защита на физическите лица във връзка с обработване на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления — Директива 2016/680/ЕС — Член 3, точка 2 — Понятие за „обработване“ — Член 4 — Принципи, свързани с обработването на лични данни — Член 4, параграф 1, буква в) — Принцип на „свеждане на данните до минимум“ — Членове 7, 8 и 47, както и член 52, параграф 1 от Хартата на основните права на Европейския съюз — Изискване, съгласно което ограничаването на упражняването на основно право трябва да е „предвидено в закон“ — Пропорционалност — Преценка на пропорционалността с оглед на съвкупност от релевантни фактори — Предварителен контрол от юрисдикция или независим административен орган — Член 13 — Информация, до която се осигурява достъп или която се предоставя на субекта на данните — Граници — Член 54 — Право на ефективна съдебна защита срещу администратор или обработващ лични данни — Полицейско разследване в областта на трафика на наркотични вещества — Опит за отключване на мобилен телефон от полицейските органи с цел достъп до данните, съдържащи се в този телефон, за целите на това разследване“
Сближаване на законодателствата — Сектор на далекосъобщенията — Обработка на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации — Директива 2002/58 — Приложно поле — Опит на полицейските органи за достъп до личните данни, съдържащи се в мобилен телефон за целите на наказателно разследване — Липса на намеса на доставчици на електронни съобщителни услуги — Изключване
(член 1, параграфи 1 и 3 и член 3 от Директива 2002/58 на Европейския парламент и Съвета, изменена с Директива 2009/136)
(вж. т. 57—59)
Защита на физическите лица във връзка с обработването на лични данни в областта на наказателното право — Директива 2016/680 — Приложно поле — Опит на полицейските органи за достъп до личните данни, съдържащи се в мобилен телефон за целите на наказателно разследване — Включване
(член 2, параграф 1 и параграф 3, точка 2) от Директива 2016/680 на Европейския парламент и на Съвета)
(вж. т. 71—77)
Защита на физическите лица във връзка с обработването на лични данни в областта на наказателното право — Директива 2016/680 — Принципи, свързани с обработването на лични данни — Принципи на свеждане на данните до минимум и на пропорционалност — Полицейско разследване в областта на трафика на наркотични вещества — Национална правна уредба, която предоставя на компетентните органи възможност за достъп до съдържащите се в мобилен телефон данни за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления като цяло — Допустимост — Условия
(членове 7, 8 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; член 4, параграф 1, буква в) от Директива 2016/680 на Европейския парламент и на Съвета)
(вж. т. 84—86, 89—93, 95—106, 109 и 110; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни в областта на наказателното право — Директива 2016/680 — Информация за субекта на данните — Право на ефективна съдебна защита — Полицейско разследване в областта на трафика на наркотични вещества — Национална правна уредба, която позволява на компетентните органи да извършват опит за достъп до съдържащи се в мобилен телефон данни, без да уведомят субекта на данните за мотивите за такова позволение — Недопустимост — Задължение на компетентните органи да уведомят субекта на данните за тези мотиви — Обхват
(член 47 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; членове 13 и 54 от Директива 2016/680 на Европейския парламент и на Съвета)
(вж. т. 115—123; т. 2 от диспозитива)
Резюме
Сезиран с преюдициално запитване, отправено от Landesverwaltungsgericht Tirol (Областен административен съд Тирол, Австрия), голям състав на Съда уточнява, от една страна, условията, при които националните компетентни органи могат да получат достъп до съдържащи се в мобилен телефон данни за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления като цяло с оглед на Директива 2016/680 (
1
). От друга страна, той признава правото на субекта на данните да бъде информиран за мотивите за разрешението за достъп до такива данни, при това считано от момента, в който съобщаването на тази информация вече не може да попречи на изпълнението на задачите, осъществявани от посочените органи.
На 23 февруари 2021 г. при проверка за наркотични вещества австрийски митнически служители изземват адресиран до CG пакет, съдържащ 85 грама канабис. Колетът е предаден за анализ на австрийските полицейски органи. На 6 март 2021 г. в хода на полицейско разследване в областта на трафика на наркотични вещества двама полицейски служители извършват претърсване в жилището на CG и го разпитват относно подателя на посочения пакет. След отказа на CG да предостави достъп до данните за телефонните си контакти на полицейските служители те изземват телефона.
Впоследствие са направени няколко опита за отключване на мобилния телефон на CG от различни полицейски служители. В случая както изземването на телефона, така и последващите опити за анализ на този телефон са извършени от полицейските служители, без разрешение от прокуратурата или от съд.
На 31 март 2021 г. CG подава жалба пред запитващата юрисдикция, за да оспори законосъобразността на изземването на мобилния си телефон, който му е върнат на 20 април 2021 г. CG не е била незабавно уведомен за опитите за използване на неговия телефон и узнава това в хода на висящото производство пред запитващата юрисдикция.
В този контекст запитващата юрисдикция иска да се установи дали с оглед на Директивата „личен живот и електронни комуникации“ (
2
) широк и неконтролиран достъп до всички съдържащи се в мобилен телефон данни, представлява толкова тежка намеса в основните права (
3
), че този достъп трябва да бъде ограничен до борбата с тежките престъпления. Тя иска също да се установи, от една страна, дали тази директива (
4
) допуска национална правна уредба, по силата на която в хода на наказателното разследване криминалната полиция може да има широк и неконтролиран достъп до всички съдържащи се в мобилен телефон данни, без разрешение от съд или независим административен орган, и от друга страна, дали същата национална правна уредба е съвместима с правото на ефективна съдебна защита, доколкото не предвижда задължение за полицейските органи да уведомяват собственика на мобилен телефон за мерките за анализ на цифрови данни на този телефон.
Съображения на Съда
В самото начало Съдът отбелязва, че опитът за достъп до съдържащи се в мобилен телефон лични данни директно от полицейските органи, без да е търсена каквато и да било намеса на доставчик на електронни съобщителни услуги като тази, която се отнася до CG, не попада в приложното поле на Директивата „за личния живот и електронните комуникации“.
На първо място, Съдът констатира, че подобен опит за достъп попада в обхвата на Директива 2016/680. В това отношение той уточнява, че с оглед на широкия обхват, който законодателят на Европейския съюз е искал да даде на понятието „обработване“ (
5
), когато полицейските органи изземват телефон и осъществяват манипулации с цел да извлекат и да преглеждат съдържащите се в този телефон лични данни, те започват „обработване“, дори тези органи да не успеят по технически причини да получат достъп до тези данни. Всъщност ефективността на принципа на ограничаване на целите (
6
) обаче изисква задължително целта на събирането да бъде определена още на етапа, на който компетентните органи се опитват да получат достъп до личните данни, тъй като опитът, ако се окаже успешен, е от естество да им позволи, по-конкретно да събират, да извличат или да преглеждат незабавно съответните данни. Ако такъв опит не може да се квалифицира като „обработване“ на данни, би било поставено под съмнение високото равнище на защита на личните данни на физическите лица. По същия начин, ако приложимостта на Директива 2016/680 зависеше от успеха на опита за достъп до съдържащите се в мобилен телефон лични данни, това би породило както за компетентните национални органи, така и за правните субекти, несъвместима с принципа на правна сигурност неяснота.
На второ място, Съдът анализира въпроса дали принципът на „свеждане на данните до минимум“ (
7
), като израз на принципа на пропорционалност, допуска национална правна уредба, която предоставя на компетентните органи възможността да получат достъп до съдържащите се в мобилен телефон данни за целите на превенцията, разследването, разкриването и преследването на престъпления, без да обвързват упражняването на тази възможност с предварителен контрол от съд или от независим административен орган. Така Съдът припомня, че ограниченията на основните права в областта на личния и семейния живот и защитата на личните данни (
8
) трябва да зачитат принципа на пропорционалност и могат да бъдат налагани само ако са необходими и ако действително отговарят на признати от Съюза цели от общ интерес. В този смисъл, от една страна, Съдът констатира, че обработване на лични данни като опит за достъп до съдържащите се в мобилен телефон данни в рамките на полицейско разследване с цел наказване на престъпление трябва да се приеме по принцип, че то действително отговаря на призната от Съюза цел от общ интерес. От друга страна, той отбелязва, че пропорционалния характер на ограничението на упражняването на основните права на зачитане на личния живот и защитата на личните данни, произтичащо от това обработване, предполага да се претегли съвкупност от релевантни за конкретния случай фактори.
Така, първо, що се отнася до тежестта на ограничението на основните права, произтичащо от правна уредба, позволяваща на компетентните полицейски органи да получат достъп без предварително разрешение до съдържащите се в мобилен телефон данни, Съдът уточнява, че в зависимост от съдържанието на разглеждания мобилен телефон и направения от тези органи избор подобен достъп може да се отнася до много широка гама от данни и по този начин да позволи да се направят много точни изводи относно личния живот на субекта на данните. Ето защо подобна намеса в основните права на зачитане на личния живот и на защита на личните данни трябва да се счита за тежка и дори особено тежка.
Второ, Съдът посочва, че тежестта на престъплението, което е предмет на разследването, е един от основните параметри при проверката на пропорционалността на тежката намеса, каквато е достъпът до съдържащите се в мобилен телефон лични данни. Да се приеме обаче, че единствено борбата с тежките престъпления може да обоснове достъпа до такива данни, би ограничило правомощията на компетентните органи за разследване на престъпленията по принцип, и би накърнило спецификата на задачите, изпълнявани от тези органи и би нарушило целта за изграждане на пространство на свобода, сигурност и правосъдие в рамките на Съюза. При това положение, за да отговори на изискването, съгласно което всяко ограничаване на упражняването на основно право трябва да бъде „предвидено в закон“ (
9
), националният законодател трябва да определи достатъчно точно факторите, по-специално естеството или категориите на съответните престъпления, които трябва да бъдат взети предвид.
Трето, Съдът отбелязва, че за да се гарантира спазването на принципа на пропорционалност, когато достъпът на компетентните национални органи до лични данни води до риск от тежка, дори особено тежка намеса в основните права на субекта на данни, този достъп да е обвързан с предварителен контрол или от съд, или от независим административен орган. Този независим контрол трябва да се извърши преди всеки опит за достъп до съответните данни, освен в надлежно обосновани неотложни случаи, в които този контрол трябва да бъде осъществен в кратък срок. В рамките на този контрол съдът или независимият административен орган трябва да има право да откаже или да ограничи заявление за достъп, попадащо в обхвата на Директива 2016/680, когато установи, че намесата в основните права, която би представлявал този достъп, би била непропорционална. В случая достъпът до данни, съдържащи се в мобилен телефон, от компетентните полицейски органи трябва да бъде отказан или ограничен, ако с оглед на тежестта на престъплението и на нуждите на разследването достъпът до съдържанието на комуникациите или до чувствителни данни не изглежда обоснован.
С оглед на гореизложеното Съдът заключава, че принципът на свеждане на данните до минимум, разглеждан в светлината на правото на защита на личните данни и на зачитане на личния живот, допуска национална правна уредба, която предоставя на компетентните органи възможността да получат достъп до съдържащите се в мобилен телефон данни за целите на превенцията, разследването, разкриването и преследването на престъпления като цяло. Тази допустимост обаче е обусловена от спазването на принципите на законност и пропорционалност, както и от наличието на предварителен контрол върху упражняването на правото на достъп до такива данни, осъществявано от съд или от независим административен орган.
На трето място, Съдът се произнася по въпроса дали CG е трябвало да бъде уведомен за опитите за достъп до данните, съдържащи се в мобилния му телефон (
10
). Съдът констатира в това отношение, че компетентните национални органи, получили разрешение от съд или независим административен орган, трябва да уведомят субектите на данни за мотивите, за разрешението за достъп до такива данни, от момента, в който съобщаването на тази информация вече не може да попречи на разследването, водено от посочените органи. Същите органи трябва да предоставят на субектите на данни цялата информация, предвидена в Директива 2016/680 (
11
), за да могат последните да упражнят по-специално ефективно правото си на жалба (
12
). Следователно национална правна уредба, която по принцип изключва всякакво право на такава информация, не би била в съответствие с правото на Съюза. В случая Съдът констатира, че CG е трябвало да бъде уведомен за опитите за достъп до данните, съдържащи се в мобилния му телефон. Всъщност, тъй като мобилният телефон на CG вече е бил иззет към момента на опитите за отключване на полицията, не изглежда, че уведомяването му за тези опити за достъп е можело да навреди на разследването. Ето защо Съдът стига до извода, че разпоредбите на Директива 2016/680, разглеждани във връзка с Хартата (
13
), не допускат национална правна уредба, която позволява на компетентните органи достъп до съдържащи се в мобилен телефон данни, без да уведомят субекта на данните за мотивите, на които се основава разрешението за достъп до тези данни, издадено от съдия или от независим административен орган, от момента, в който съобщаването на тази информация вече не може да попречи на изпълнението на задачите, осъществявани от посочените органи.
(
1
)	Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (OB, L 119, 2016 г., стр. 89).
(
2
)	И по-точно член 15, параграф 1 от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 г. (ОВ L 337, 2009 г., стр. 11) (наричана по-нататък „Директивата за личния живот и електронните комуникации“).
(
3
)	Предвидени в членове 7 и 8 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“).
(
4
)	По-специално член 15, параграф 1 от Директивата „за личния живот и електронните комуникации“.
(
5
)	Съгласно член 3, точка 2 от Директива 2016/680 понятието „обработване“ се определя като „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства […]“.
(
6
)	Член 4, параграф 1, буква б) от Директива 2016/680.
(
7
)	Предвиден в член 4, параграф 1, буква в) от Директива 2016/680, съгласно която държавите членки трябва преди всичко да гарантират, че личните данни са подходящи, относими и не надхвърлят необходимото във връзка с целите, за които данните се обработват.
(
8
)	Членове 7 и 8 от Хартата.
(
9
)	Член 52, параграф 1 от Хартата.
(
10
)	Член 47 от Хартата.
(
11
)	Посочени в член 13, параграф 1 от Директива 2016/680
(
12
)	Член 54 от Директива 2016/680.
(
13
)	По-специално членове 13 и 54 от Директива 2016/680 в светлината на член 47 и член 52, параграф 1 от Хартата.