62017CJ0623_RES
Byla C‑623/17
Privacy International
prieš
Secretary of State for Foreign and Commonwealth Affairs ir kt.
(Investigatory Powers Tribunal pateiktas prašymas priimti prejudicinį sprendimą)
2020 m. spalio 6 d. Teisingumo Teismo (didžioji kolegija) sprendimas
„Prašymas priimti prejudicinį sprendimą – Asmens duomenų tvarkymas elektroninių ryšių sektoriuje – Elektroninių ryšių paslaugų teikėjas – Bendras ir nediferencijuotas srauto ir vietos nustatymo duomenų perdavimas – Nacionalinio saugumo užtikrinimas – Direktyva 2002/58/EB – Taikymo sritis – 1 straipsnio 3 dalis ir 3 straipsnis – Elektroninių ryšių konfidencialumas – Apsauga – 5 straipsnis ir 15 straipsnio 1 dalis – Europos Sąjungos pagrindinių teisių chartija – 7, 8, 11 straipsniai bei 52 straipsnio 1 dalis – ESS 4 straipsnio 2 dalis“
Teisės aktų derinimas – Telekomunikacijų sektorius – Asmens duomenų tvarkymas ir privatumo apsauga elektroninių ryšių sektoriuje – Direktyva 2002/58 – Taikymo sritis – Nacionalinės teisės aktai, kuriais elektroninių ryšių paslaugų teikėjai įpareigojami perduoti srauto ir vietos nustatymo duomenis saugumo ir žvalgybos tarnyboms – Nacionalinio saugumo užtikrinimo tikslas – Įtraukimas
(ESS 4 straipsnio 2 dalis, Europos Parlamento ir Tarybos direktyvos 2002/58, iš dalies pakeistos Direktyva 2009/136, 1 straipsnio 1 ir 3 dalys, 3 straipsnis ir 15 straipsnio 1 dalis)
(žr. 35–39, 41–44, 46, 48, 49 punktus ir rezoliucinės dalies 1 punktą)
Teisės aktų derinimas – Telekomunikacijų sektorius – Asmens duomenų tvarkymas ir privatumo apsauga elektroninių ryšių sektoriuje – Direktyva 2002/58 – Valstybių narių teisė riboti tam tikrų teisių ir pareigų apimtį – Nacionalinės teisės aktai, kuriais elektroninių ryšių paslaugų teikėjai įpareigojami bendrai ir nediferencijuotai perduoti srauto ir vietos nustatymo duomenis saugumo ir žvalgybos tarnyboms – Nacionalinio saugumo užtikrinimo tikslas – Neleistinumas
(ESS 4 straipsnio 2 dalis, Europos Sąjungos pagrindinių teisių chartijos 7, 8, 11 straipsniai ir 52 straipsnio 1 dalis; Europos Parlamento ir Tarybos direktyvos 2002/58, iš dalies pakeistos Direktyva 2009/136, 5 straipsnio 1 dalis ir 15 straipsnio 1 dalis)
(žr. 55–62, 65–82 punktus ir rezoliucinės dalies 2 punktą)
Santrauka
Teisingumo Teismas patvirtino, kad pagal Sąjungos teisę draudžiami nacionalinės teisės aktai, kuriais, siekiant kovoti su nusikalstamomis veikomis apskritai ar užtikrinti nacionalinį saugumą, elektroninių ryšių paslaugų teikėjai įpareigojami bendrai ir nediferencijuojant perduoti ar saugoti srauto ir vietos nustatymo duomenis
Vis dėlto susidūrusi su didele grėsme nacionaliniam saugumui, kuri yra tikra ir esama arba numatoma, valstybė narė gali nukrypti nuo pareigos užtikrinti su elektroniniais ryšiais susijusių duomenų konfidencialumą, teisėkūros priemonėmis nustatydama bendrą ir nediferencijuotą tokių duomenų saugojimą laikotarpiu, neviršijančiu to, kas griežtai būtina, tačiau kuris gali būti pratęsiamas, jeigu grėsmė išlieka. Kovos su sunkiomis nusikalstamomis veikomis ir didelės grėsmės visuomenės saugumui atveju valstybė narė taip pat gali numatyti tikslinį ir operatyvų minėtų duomenų saugojimą. Tokiam pagrindinių teisių suvaržymui turi būti taikomos veiksmingos garantijos ir teismo ar nepriklausomos administracinės institucijos kontrolė. Valstybė narė gali taip pat nustatyti bendrą ir nediferencijuotą ryšio šaltinio IP adresų saugojimą, kai saugojimo laikotarpis neviršija to, kas griežtai būtina, arba bendrą ir nediferencijuotą elektroninių ryšių priemonių naudotojų civilinės tapatybės duomenų saugojimą be konkretaus termino
Pastaraisiais metais Teisingumo Teismas keliose bylose priėmė ne vieną sprendimą dėl asmens duomenų apsaugos ir prieigos prie jų elektroninių ryšių sektoriuje (
1
). Šiuose sprendimuose, visų pirma Sprendime Tele2 Sverige ir Watson ir kt., kuriame Teisingumo Teismas, be kita ko, konstatavo, kad valstybės narės negali įpareigoti elektroninių ryšių paslaugų teikėjų bendrai ir nediferencijuotai saugoti srauto ir vietos nustatymo duomenų, suformuota jurisprudencija sukėlė susirūpinimą kai kurioms valstybėms narėms, nuogąstaujančioms, kad iš jų buvo atimta priemonė, kurią jos laikė būtina, siekiant užtikrinti nacionalinį saugumą ir kovoti su nusikalstamumu.
Esant šiam kontekstui, Investigatory Powers Tribunal (Bylų dėl tyrimų įgaliojimų teismas, Jungtinė Karalystė) (Privacy International, C‑623/17), Conseil d’État (Valstybės Taryba, Prancūzija) (La Quadrature du Net ir kt., sujungtos bylos C‑511/18 ir C‑512/18) bei Cour constitutionnelle (Konstitucinis Teismas, Belgija) (Ordre des barreaux francophones et germanophone ir kt., C‑520/18) nagrinėjo bylas dėl kai kurių valstybių narių šiose srityse priimtų teisės aktų, kuriais konkrečiai numatoma elektroninių ryšių paslaugų teikėjų pareiga perduoti valdžios institucijai arba bendrai ir nediferencijuotai saugoti naudotojų srauto ir vietos nustatymo duomenis, teisėtumo.
Dviem sprendimais, kuriuos 2020 m. spalio 6 d. paskelbė didžioji kolegija, Teisingumo Teismas visų pirma konstatavo, kad Direktyva dėl privatumo ir elektroninių ryšių taikytina nacionalinės teisės aktams, kuriais, siekiant užtikrinti nacionalinį saugumą ir kovoti su nusikalstamumu, elektroninių ryšių paslaugų teikėjai įpareigojami tvarkyti asmens duomenis, pavyzdžiui, juos perduoti valdžios institucijoms arba saugoti. Be to, patvirtinęs Sprendimu Tele2 Sverige ir Watson ir kt. suformuotą jurisprudenciją dėl bendro ir nediferencijuoto srauto ir vietos nustatymo duomenų saugojimo neproporcingumo Teisingumo Teismas patikslino visų pirma pagal šią direktyvą valstybėms narėms suteikiamų tokių duomenų saugojimo minėtais tikslais įgaliojimų apimtį.
Visų pirma Teisingumo Teismas išsklaidė šiose bylose iškeltas abejones dėl Privatumo ir elektroninių ryšių direktyvos taikymo. Iš tiesų kai kurios rašytines pastabas Teisingumo Teismui pateikusios valstybės narės išreiškė skirtingas nuomones šiuo klausimu. Jos visų pirma teigė, kad ši direktyva netaikytina nagrinėjamiems nacionalinės teisės aktams, nes jų tikslas – nacionalinio saugumo užtikrinimas, o tai priklauso išimtinai jų kompetencijai, kaip tai patvirtina ESS 4 straipsnio 2 dalies trečias sakinys. Vis dėlto Teisingumo Teismas nusprendė, kad nacionalinės teisės aktai, kuriais elektroninių ryšių paslaugų teikėjai įpareigojami saugoti srauto ir vietos nustatymo duomenis arba nurodytu tikslu perduoti šiuos duomenis nacionalinėms saugumo ir žvalgybos tarnyboms, patenka į direktyvos taikymo sritį.
Be to, Teisingumo Teismas priminė, kad pagal Direktyvą dėl privatumo ir elektroninių ryšių (
2
) neleidžiama, kad pagrindinės pareigos užtikrinti elektroninių ryšių ir su jais susijusių duomenų konfidencialumą ir draudimo saugoti šiuos duomenis išimtis taptų taisykle. Tai reiškia, kad pagal šią direktyvą valstybėms narėms, siekiant, be kita ko, užtikrinti nacionalinį saugumą, leidžiama imtis teisėkūros priemonių, kuriomis siekiama apriboti šioje direktyvoje nurodytų teisių ir pareigų, visų pirma pareigos užtikrinti pranešimų ir su jais susijusių srauto duomenų konfidencialumą, apimtį (
3
), tik laikantis bendrųjų Sąjungos teisės principų, įskaitant proporcingumo principą, ir Chartijoje garantuojamų pagrindinių teisių (
4
).
Esant šiam kontekstui Teisingumo Teismas, pirma, byloje Privacy International nusprendė, kad pagal Direktyvą dėl privatumo ir elektroninių ryšių, siejamą su Chartija, draudžiami nacionalinės teisės aktai, kuriais, siekiant užtikrinti nacionalinį saugumą, elektroninių ryšių paslaugų teikėjai įpareigojami bendrai ir nediferencijuotai perduoti srauto ir vietos nustatymo duomenis saugumo ir žvalgybos tarnyboms. Antra, sujungtose bylose La Quadrature du Net ir kt. ir Ordre des barreaux francophones et germanophone ir kt. Teisingumo Teismas konstatavo, kad pagal tą pačią direktyvą draudžiamos teisėkūros priemonės, kuriomis prevenciškai elektroninių ryšių paslaugų teikėjai įpareigojami bendrai ir nediferencijuotai saugoti srauto ir vietos nustatymo duomenis. Iš tiesų šie įpareigojimai bendrai ir nediferencijuotai perduoti ir saugoti tokius duomenis yra ypač dideli Chartijos garantuojamų pagrindinių teisių suvaržymai, nors asmenų, kurių duomenys tvarkomi, elgesys nėra susijęs su teisės aktais siekiamu tikslu. Pagal analogiją Teisingumo Teismas aiškino Bendrojo duomenų apsaugos reglamento (
5
) 23 straipsnio 1 dalį, siejamą su Chartija, taip, kad ji draudžia nacionalinės teisės aktus, kuriais prieigos prie visuomenei skirtų ryšių paslaugų internetu teikėjai ir prieglobos paslaugų teikėjai įpareigojami bendrai ir nediferencijuotai saugoti, be kita ko, su šiomis paslaugomis susijusius asmens duomenis.
Vis dėlto Teisingumo Teismas nustatė, kad tais atvejais, kai atitinkama valstybė narė susiduria su didele grėsme nacionaliniam saugumui, kuri yra tikra, esama arba numatoma, pagal Direktyvą dėl privatumo ir elektroninių ryšių, siejamą su Chartija, nedraudžiama elektroninių ryšių paslaugų teikėjus įpareigoti bendrai ir nediferencijuotai saugoti srauto ir vietos nustatymo duomenis. Esant tokiam kontekstui, Teisingumo Teismas patikslino, kad sprendimui, kuriuo nustatytas toks įpareigojimas laikotarpiu, neviršijančiu to, kas griežtai būtina, turi būti taikoma veiksminga teismo arba nepriklausomos administracinės institucijos, kurios sprendimas turi privalomąją galią, kontrolė, siekiant patikrinti, ar egzistuoja viena iš tokių situacijų, taip pat, ar laikomasi numatytų sąlygų ir garantijų. Tokiomis pačiomis sąlygomis pagal minėtą direktyvą taip pat nedraudžiama visų elektroninių ryšių priemonių naudotojų duomenų, visų pirma srauto ir vietos nustatymo, automatizuota analizė.
Teisingumo Teismas pridūrė, kad pagal Direktyvą dėl privatumo ir elektroninių ryšių, siejamą su Chartija, nedraudžiamos teisėkūros priemonės, numatančios tikslinį srauto ir vietos nustatymo duomenų saugojimą, kuris, remiantis objektyviais ir nediskriminaciniais veiksniais bei atsižvelgiant į duomenų subjektų kategorijas arba geografinius kriterijus, būtų apribotas laikotarpiu, neviršijančiu to, kas griežtai būtina. Minėta direktyva taip pat nedraudžia nei teisėkūros priemonių, numatančių bendrą ir nediferencijuotą ryšio šaltinio IP adresų saugojimą laikotarpiu, neviršijančiu to, kas griežtai būtina, nei priemonių, numatančių tokį bendrą ir nediferencijuotą duomenų, susijusių su elektroninių ryšių priemonių naudotojų civiline tapatybe, saugojimą; šiuo atveju valstybės narės nėra įpareigotos apriboti saugojimo laikotarpio. Be to, minėta direktyva nedraudžia teisėkūros priemonės, numatančios galimybę taikyti operatyvų paslaugų teikėjų turimų duomenų saugojimą, susiklosčius situacijoms, kai, siekiant išaiškinti sunkias nusikalstamas veikas ar nacionalinio saugumo pažeidimus, tokius duomenis saugoti yra būtina ilgiau, nei įstatyme nustatyti duomenų saugojimo terminai ir kai tokios nusikalstamos veikos ar pažeidimai jau yra konstatuoti arba kai pagrįstai įtariamas jų egzistavimas.
Be to, Teisingumo Teismas nusprendė, kad pagal Direktyvą dėl privatumo ir elektroninių ryšių, siejamą su Chartija, nedraudžiami nacionalinės teisės aktai, kuriais elektroninių ryšių paslaugų teikėjai įpareigojami realiuoju laiku rinkti duomenis, visų pirma srauto ir vietos nustatymo duomenis, jeigu toks rinkimas susijęs tik su tais asmenimis, dėl kurių yra pagrįsta priežastis įtarti, kad jie vienaip ar kitaip susiję su terorizmo veikla, ir jeigu tokiam duomenų rinkimui taikoma išankstinė teismo arba nepriklausomos administracinės institucijos, kurios sprendimas turi privalomąją galią, kontrolė, užtikrinant, kad toks duomenų rinkimas realiuoju laiku leidžiamas neviršijant to, kas griežtai būtina. Skubos atveju kontrolė turi būti vykdoma per trumpą laiką.
Galiausiai Teisingumo Teismas nagrinėjo klausimą dėl nesuderinamais su Sąjungos teise pripažintų nacionalinės teisės aktų galiojimo laiko atžvilgiu. Šiuo klausimu jis nusprendė, kad nacionalinis teismas negali taikyti nacionalinės teisės nuostatos, pagal kurią jam suteikta teisė apriboti laiko atžvilgiu aktų, kuriuos jis turi pripažinti negaliojančiais ir pagal kuriuos elektroninių ryšių paslaugų teikėjai įpareigojami taikyti bendrą ir nediferencijuotą srauto ir vietos nustatymo duomenų saugojimą, pripažintą nesuderinamu su Direktyva dėl privatumo ir elektroninių ryšių, siejama su Chartija, poveikį.
Atsižvelgiant į tai, siekdamas prašymą priimti prejudicinį sprendimą pateikusiam teismui pateikti naudingą atsakymą, Teisingumo Teismas priminė, kad pagal šiuo metu galiojančią Sąjungos teisę informacijos ir įrodymų, gautų prieštaraujant Sąjungos teisei saugant duomenis, priimtinumo ir vertinimo baudžiamajame procese, pradėtame dėl sunkiomis nusikalstamomis veikomis įtariamų asmenų, klausimas sprendžiamas remiantis tik nacionaline teise. Vis dėlto Teisingumo Teismas patikslino, kad remiantis Direktyva dėl privatumo ir elektroninių ryšių, aiškinama atsižvelgiant į veiksmingumo principą, vykstant baudžiamajam procesui, nacionalinis teismas turi atmesti įrodymus, gautus atliekant su Sąjungos teise nesuderinamą bendrą ir nediferencijuotą srauto ir vietos nustatymo duomenų saugojimą, jeigu asmenys, įtariami padarę nusikalstamas veikas, negali veiksmingai pateikti pastabų dėl šių įrodymų.
(
1
)	2014 m. balandžio 8 d. Sprendimu Digital Rights Ireland ir kt. (C‑293/12 ir C‑594/12, EU:C:2014:238) (žr. PS Nr. 54/14) Teisingumo Teismas pripažino 2006 m. kovo 15 d. Europos Parlamento ir Tarybos direktyvą 2006/24/EB dėl duomenų, generuojamų arba tvarkomų teikiant viešai prieinamas elektroninių ryšių paslaugas arba viešuosius ryšių tinklus, saugojimo ir iš dalies keičiančią Direktyvą 2002/58/EB (OL L 105, 2006, p. 54) negaliojančia dėl to, kad Europos Sąjungos pagrindinių teisių chartijoje (toliau – Chartija) pripažintų teisių į privatų gyvenimą ir asmens duomenų apsaugą suvaržymas, kurį lėmė šioje direktyvoje numatyta bendra pareiga saugoti srauto ir vietos nustatymo duomenis, viršijo tai, kas griežtai būtina. Be to, 2016 m. gruodžio 21 d. Sprendime Tele2 Sverige ir Watson ir kt. (C‑203/15 ir C‑698/15, EU:C:2016:970) (žr. PS Nr. 145/16) Teisingumo Teismas aiškino 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvos 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002, p. 37), iš dalies pakeistos 2009 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyva 2009/136/EB (OL L 337, 2009, p. 11; klaidų ištaisymai OL L 241, 2013, p. 9 ir OL L 275, 2014, p. 8) (toliau – Direktyva dėl privatumo ir elektroninių ryšių), 15 straipsnio 1 dalį. Šiuo straipsniu valstybėms narėms suteikiama galimybė apsaugos tikslais, be kita ko, nacionalinio saugumo užtikrinimo tikslu, priimti „teisėkūros priemones“, kad būtų apribota kai kurių direktyvoje numatytų teisių ir pareigų apimtis. Galiausiai 2018 m. spalio 2 d. Sprendimu Ministerio Fiscal (C‑207/16, EU:C:2018:788) (žr. PS Nr. 141/18) Teisingumo Teismas byloje dėl valdžios institucijų prieigos prie elektroninių ryšių priemonių naudotojų civilinės tapatybės duomenų išaiškino tą pačią 15 straipsnio 1 dalį.
(
2
)	Direktyvos 2002/58 15 straipsnio 1 ir 3 dalys.
(
3
)	Direktyvos 2002/58 5 straipsnio 1 dalis.
(
4
)	Konkrečiai kalbant, Chartijos 7, 8, 11 straipsniai ir 52 straipsnio 1 dalis.
(
5
)	2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1).