62017CJ0623_RES
Vec C‑623/17
Privacy International
proti
Secretary of State for Foreign and Commonwealth Affairs a i.
[návrh na začatie prejudiciálneho konania, ktorý podal Investigatory Powers Tribunal (Súd pre kontrolu vyšetrovacích právomocí, Spojené kráľovstvo)]
Rozsudok Súdneho dvora (veľká komora) zo 6. októbra 2020
„Návrh na začatie prejudiciálneho konania – Spracovávanie osobných údajov v sektore elektronických komunikácií – Poskytovatelia elektronických komunikačných služieb – Všeobecné a nediferencované odovzdávanie údajov o prenose dát a polohe – Ochrana národnej bezpečnosti – Smernica 2002/58/ES – Pôsobnosť – Článok 1 ods. 3 a článok 3 – Dôvernosť elektronickej komunikácie – Ochrana – Článok 5 a článok 15 ods. 1 – Charta základných práv Európskej únie – Články 7, 8 a 11, ako aj článok 52 ods. 1 – Článok 4 ods. 2 ZEÚ“
Aproximácia právnych predpisov – Odvetvie telekomunikácií – Spracovávanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Smernica 2002/58 – Pôsobnosť – Vnútroštátna právna úprava, ktorá poskytovateľom elektronických komunikačných služieb ukladá povinnosť odovzdávať údaje o prenose dát a polohe bezpečnostným a spravodajským službám – Cieľ ochrany národnej bezpečnosti – Zahrnutie
(Článok 4 ods. 2 ZEÚ; smernica Európskeho parlamentu a Rady 2002/58, zmenená smernicou 2009/136, článok 1 ods. 1 a 3, článok 3 a článok 15 ods. 1)
(pozri body 35 – 39, 41 – 44, 46, 48, 49, bod 1 výroku)
Aproximácia právnych predpisov – Odvetvie telekomunikácií – Spracovávanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Smernica 2002/58 – Možnosť členských štátov obmedziť rozsah určitých práv a povinností – Vnútroštátna právna úprava, ktorá poskytovateľom elektronických komunikačných služieb ukladá povinnosť vyžadujúcu všeobecné a nediferencované odovzdávanie údajov o prenose dát a polohe bezpečnostným a spravodajským službám – Cieľ ochrany národnej bezpečnosti – Neprípustnosť
(Článok 4 ods. 2 ZEÚ; Charta základných práv Európskej únie, články 7, 8, 11 a článok 52 ods. 1; smernica Európskeho parlamentu a Rady 2002/58, zmenená smernicou 2009/136, článok 5 ods. 1 a článok 15 ods. 1)
(pozri body 55 – 62, 65 – 82, bod 2 výroku)
Zhrnutie
Súdny dvor potvrdzuje, že právo Únie bráni vnútroštátnej právnej úprave, ktorá na účely boja proti trestným činom vo všeobecnosti alebo na ochranu národnej bezpečnosti ukladá poskytovateľovi elektronických komunikačných služieb povinnosť vyžadujúcu všeobecné a nediferencované odovzdávanie alebo uchovávanie údajov o prenose dát a polohe
Naopak, v situáciách, keď členský štát čelí vážnej hrozbe pre národnú bezpečnosť, ktorá sa javí ako skutočná a aktuálna alebo predvídateľná, sa tento členský štát môže odchýliť od povinnosti zabezpečiť dôvernosť údajov týkajúcich sa elektronických komunikácií tým, že prostredníctvom legislatívnych opatrení stanoví povinnosť všeobecného a nediferencovaného uchovávania týchto údajov na časovo obmedzené obdobie, ktoré je striktne nevyhnutné, s možnosťou jeho predĺženia v prípade pretrvávania hrozby. V prípade boja proti závažnej trestnej činnosti a predchádzania vážnym hrozbám pre verejnú bezpečnosť môže členský štát stanoviť aj cielené uchovávanie uvedených údajov a ich urýchlené uchovanie. Takýto zásah do základných práv musí byť sprevádzaný účinnými zárukami a preskúmateľný zo strany súdu alebo nezávislého správneho orgánu. Rovnako môže členský štát vykonávať všeobecné a nediferencované uchovávanie IP adries pridelených zdroju komunikácie, pokiaľ doba uchovávania netrvá dlhšie, než je striktne nevyhnutné, alebo tiež všeobecné a nediferencované uchovávanie údajov týkajúcich sa občianskej totožnosti používateľov elektronických komunikačných prostriedkov, a to bez konkrétneho časového obmedzenia v tomto poslednom uvedenom prípade
V posledných rokoch Súdny dvor v niekoľkých rozsudkoch rozhodol o uchovávaní a prístupe k osobným údajom v oblasti elektronických komunikácií. (
1
) Judikatúra, ktorá z nich vzišla, predovšetkým rozsudok Tele2 Sverige a Watson a i., v ktorom Súdny dvor okrem iného rozhodol, že členské štáty nemôžu uložiť poskytovateľom elektronických komunikačných služieb povinnosť vyžadujúcu všeobecné a nediferencované uchovávanie údajov o prenose dát a polohe, znepokojila niektoré štáty, ktoré sa obávali, že ich zbavuje nástroja, ktorý považujú za nevyhnutný na ochranu národnej bezpečnosti a na boj proti trestnej činnosti.
Práve na tomto pozadí začali Investigatory Powers Tribunal (Súd pre kontrolu vyšetrovacích právomocí, Spojené kráľovstvo) (Privacy International, C‑623/17), Conseil d’État (Štátna rada, Francúzsko) (La Quadrature du Net a i., spojené veci C‑511/18 a C‑512/18), ako aj Cour constitutionnelle (Ústavný súd, Belgicko) (Ordre des barreaux francophones et germanophone a i., C‑520/18) konať v sporoch týkajúcich sa zákonnosti právnych predpisov, ktoré v týchto oblastiach prijali niektoré členské štáty a ktoré stanovujú najmä povinnosť poskytovateľov elektronických komunikačných služieb odovzdávať orgánom verejnej moci alebo všeobecne a nediferencovane uchovávať údaje používateľov o prenose dát a polohe.
Súdny dvor vo dvoch rozsudkoch vyhlásených vo veľkej komore 6. októbra 2020 najprv rozhodol, že smernica o súkromí a elektronických komunikáciách sa vzťahuje na vnútroštátne právne predpisy, ktoré poskytovateľom elektronických komunikačných služieb – na účely ochrany národnej bezpečnosti a boja proti trestnej činnosti – ukladajú povinnosť vyžadujúcu spracovávanie osobných údajov, ako je napríklad ich odovzdávanie orgánom verejnej moci alebo ich uchovávanie. Ďalej potvrdil svoje závery o neprimeranosti všeobecného a nediferencovaného uchovávania údajov o prenose dát a polohe, ktoré vyplývajú z rozsudku Tele2 Sverige a Watson a i., a spresnil najmä rozsah právomocí, ktoré táto smernica priznáva členským štátom v oblasti uchovávania takýchto údajov na vyššie uvedené účely.
Súdny dvor v prvom rade rozptýlil pochybnosti o uplatniteľnosti smernice o súkromí a elektronických komunikáciách, ktoré boli vznesené v rámci prejednávaných vecí. Niekoľko členských štátov, ktoré Súdnemu dvoru predložili písomné pripomienky, totiž vyjadrilo v tejto súvislosti odlišný názor. Tieto štáty predovšetkým tvrdili, že táto smernica sa neuplatňuje na také vnútroštátne právne predpisy, o aké ide vo veciach samých, keďže ich cieľom je ochrana národnej bezpečnosti, ktorá patrí do výlučnej právomoci každého štátu, o čom svedčí najmä článok 4 ods. 2 tretia veta ZEÚ. Súdny dvor však konštatuje, že vnútroštátne právne predpisy, ktoré poskytovateľom elektronických komunikačných služieb ukladajú na tento účel povinnosť uchovávať údaje o prenose dát a polohe alebo odovzdávať tieto údaje vnútroštátnym bezpečnostným a spravodajským orgánom, patria do pôsobnosti smernice.
Súdny dvor ďalej pripomína, že smernica o súkromí a elektronických komunikáciách (
2
) neumožňuje, aby sa výnimka zo zásadnej povinnosti zabezpečiť dôvernosť elektronických komunikácií a s ňou súvisiacich údajov a zo zákazu uchovávať tieto údaje stala pravidlom. Znamená to, že táto smernica umožňuje členským štátom prijať okrem iného na účely národnej bezpečnosti legislatívne opatrenia na obmedzenie rozsahu práv a povinností stanovených v tejto smernici, a to najmä povinnosti zabezpečiť dôvernosť komunikácie a údajov o prenose dát (
3
), pokiaľ sú tieto opatrenia v súlade so všeobecnými zásadami práva Únie, medzi ktoré patrí zásada proporcionality, a so základnými právami zaručenými Chartou (
4
).
V tejto súvislosti Súdny dvor na jednej strane vo veci Privacy International konštatuje, že smernica o súkromí a elektronických komunikáciách v spojení s Chartou bráni vnútroštátnej právnej úprave, ktorá na účely ochrany národnej bezpečnosti ukladá poskytovateľom elektronických komunikačných služieb povinnosť vyžadujúcu všeobecné a nediferencované odovzdávanie údajov o prenose dát a polohe bezpečnostným a spravodajským službám. Na druhej strane v spojených veciach La Quadrature du Net a i., ako aj vo veci Ordre des barreaux francophones et germanophone a i. Súdny dvor zastáva názor, že tá istá smernica bráni legislatívnym opatreniam, ktoré od poskytovateľov elektronických komunikačných služieb vyžadujú preventívne všeobecné a nediferencované uchovávanie údajov o prenose dát a polohe. Tieto povinnosti týkajúce sa odovzdávania a všeobecného a nediferencovaného uchovávania takýchto údajov totiž predstavujú obzvlášť závažné zásahy do základných práv zaručených Chartou, pokiaľ správanie osôb nemá spojitosť s cieľom sledovaným predmetnou právnou úpravou. Súdny dvor analogicky vykladá článok 23 ods. 1 všeobecného nariadenia o ochrane údajov (
5
) v spojení s Chartou, a to v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá ukladá poskytovateľom prístupu verejnosti ku komunikačným službám online a poskytovateľom hostingových služieb povinnosť všeobecne a nediferencovane uchovávať najmä osobné údaje súvisiace s týmito službami.
Naproti tomu Súdny dvor zastáva názor, že v situáciách, keď dotknutý členský štát čelí vážnej hrozbe pre národnú bezpečnosť, ktorá sa javí ako skutočná a aktuálna alebo predvídateľná, smernica o súkromí a elektronických komunikáciách v spojení s Chartou nebráni možnosti nariadiť poskytovateľom elektronických komunikačných služieb, aby všeobecne a nediferencovane uchovávali údaje o prenose dát a polohe. V tomto kontexte Súdny dvor spresňuje, že rozhodnutie, ktorým sa na nevyhnutne potrebnú dobu vydáva takýto príkaz, musí byť podrobené účinnému preskúmaniu zo strany súdu alebo nezávislého správneho orgánu, ktorého rozhodnutie má záväzný účinok, s cieľom overiť existenciu jednej z týchto situácií, ako aj dodržanie stanovených podmienok a záruk. Za tých istých podmienok uvedená smernica nebráni ani automatizovanej analýze údajov, a to najmä údajov o prenose dát a polohe, všetkých používateľov elektronických komunikačných prostriedkov.
Súdny dvor dodáva, že smernica o súkromí a elektronických komunikáciách v spojení s Chartou nebráni legislatívnym opatreniam, ktoré umožňujú použiť cielené uchovávanie údajov o prenose dát a polohe obmedzené na striktne nevyhnutnú dobu a vymedzené na základe objektívnych a nediskriminačných faktorov, podľa kategórií dotknutých osôb alebo prostredníctvom geografického kritéria. Táto smernica rovnako nebráni takým opatreniam, ktoré stanovujú všeobecné a nediferencované uchovávanie IP adries pridelených zdroju komunikácie, pokiaľ doba uchovávania netrvá dlhšie, než je striktne nevyhnutné, ani opatreniam, ktoré stanovujú všeobecné a nediferencované uchovávanie údajov týkajúcich sa občianskej totožnosti používateľov elektronických komunikačných prostriedkov, pričom členské štáty nie sú v tomto poslednom uvedenom prípade povinné časovo obmedziť uchovávanie. Uvedená smernica navyše nebráni ani legislatívnemu opatreniu umožňujúcemu použiť urýchlené uchovanie údajov, ktoré majú k dispozícii poskytovatelia služieb, ak nastanú situácie, keď je potrebné uchovať uvedené údaje aj po uplynutí zákonom stanovených lehôt uchovávania na účely objasnenia závažných trestných činov alebo narušení v oblasti národnej bezpečnosti, pokiaľ už boli tieto trestné činy alebo narušenia zistené alebo existuje o nich dôvodné podozrenie.
Okrem toho Súdny dvor rozhodol, že smernica o súkromí a elektronických komunikáciách v spojení s Chartou nebráni vnútroštátnej právnej úprave, ktorá od poskytovateľov elektronických komunikačných služieb vyžaduje, aby vykonali zber údajov v reálnom čase, a to predovšetkým údajov o prenose dát a polohe, pokiaľ sa tento zber obmedzí na osoby, v prípade ktorých existuje oprávnený dôvod k podozreniu, že sa určitým spôsobom podieľajú na teroristických aktivitách, a podlieha predchádzajúcemu preskúmaniu zo strany súdu alebo nezávislého správneho orgánu, ktorého rozhodnutie má záväzný účinok, aby sa zabezpečilo, že takýto zber údajov v reálnom čase je povolený iba v medziach toho, čo je prísne nevyhnutné. V naliehavých prípadoch sa musí preskúmanie uskutočniť v krátkom čase.
Súdny dvor sa napokon zaoberá otázkou zachovania časových účinkov vnútroštátnej právnej úpravy, ktorá bola vyhlásená za nezlučiteľnú s právom Únie. V tejto súvislosti rozhodol, že vnútroštátny súd nemôže uplatniť ustanovenie vnútroštátneho práva, ktoré ho oprávňuje obmedziť časové účinky vyhlásenia protiprávnosti, ktoré mu prislúcha urobiť, vo vzťahu k vnútroštátnej právnej úprave ukladajúcej poskytovateľom elektronických komunikačných služieb povinnosť všeobecného a nediferencovaného uchovávania údajov o prenose dát a polohe, o ktorom bolo rozhodnuté, že je nezlučiteľné so smernicou o súkromí a elektronických komunikáciách v spojení s Chartou.
Za týchto okolností a s cieľom poskytnúť vnútroštátnemu súdu užitočnú odpoveď Súdny dvor pripomína, že v rámci trestného konania vedeného proti osobám podozrivým zo závažnej trestnej činnosti sa na prípustnosť a posúdenie dôkazov získaných uchovávaním údajov, ktoré je v rozpore s právom Únie, vzťahuje za súčasného stavu práva Únie len vnútroštátne právo. Súdny dvor však spresňuje, že smernica o súkromí a elektronických komunikáciách vykladaná z hľadiska zásady efektivity vyžaduje, aby vnútroštátny trestný súd v rámci takého trestného konania vylúčil dôkazy získané prostredníctvom všeobecného a nediferencovaného uchovávania údajov o prenose dát a polohe, ktoré je nezlučiteľné s právom Únie, ak osoby podozrivé zo spáchania trestných činov nie sú schopné účinne sa k týmto dôkazom vyjadriť.
(
1
)	V rozsudku z 8. apríla 2014, Digital Rights Ireland a i. (C‑293/12 a C‑594/12, EU:C:2014:238) (pozri TK č. 54/14), Súdny dvor konštatoval neplatnosť smernice Európskeho parlamentu a Rady 2006/24/ES z 15. marca 2006 o uchovávaní údajov vytvorených alebo spracovaných v súvislosti s poskytovaním verejne dostupných elektronických komunikačných služieb alebo verejných komunikačných sietí a o zmene a doplnení smernice 2002/58/ES (Ú. v. EÚ L 105, 2006, s. 54) z dôvodu, že zásah do práva na rešpektovanie súkromného života a práva na ochranu osobných údajov uznaných Chartou základných práv Európskej únie (ďalej len „Charta“), ktorý predstavovala všeobecná povinnosť uchovávať údaje o prenose dát a polohe stanovenej v tejto smernici, nebol obmedzený na to, čo je prísne nevyhnutné. V rozsudku z 21. decembra 2016, Tele2 Sverige a Watson a i (pozri TK č. 145/16), Súdny dvor následne podal výklad článku 15 ods. 1 smernice Európskeho parlamentu a Rady2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514), zmenenej smernicou Európskeho parlamentu a Rady 2009/136/ES z 25. novembra 2009 (Ú. v. EÚ L 337, 2009, s. 11) (ďalej len „smernica o súkromí a elektronických komunikáciách“). Tento článok oprávňuje členské štáty – okrem iného z dôvodu ochrany národnej bezpečnosti – prijímať „legislatívne opatrenia“ s cieľom obmedziť rozsah niektorých práv a povinností stanovených v smernici. Napokon v rozsudku z 2. októbra 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788) (pozri TK č. 141/18), Súdny dvor podal výklad toho istého článku 15 ods. 1 vo veci týkajúcej sa prístupu orgánov verejnej moci k údajom o občianskej totožnosti používateľov elektronických komunikačných prostriedkov.
(
2
)	Článok 15 ods. 1 a 3 smernice 2002/58.
(
3
)	Článok 5 ods. 1 smernice 2002/58.
(
4
)	Konkrétne články 7, 8 a 11, ako aj článok 52 ods. 1 Charty.
(
5
)	Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1).