62021CJ0548_RES
Zaak C‑548/21
CG
tegen
Bezirkshauptmannschaft Landeck
(verzoek om een prejudiciële beslissing, ingediend door het Landesverwaltungsgericht Tirol)
Arrest van het Hof (Grote kamer) van 4 oktober 2024
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten – Richtlijn (EU) 2016/680 – Artikel 3, punt 2 – Begrip ‚verwerking’ – Artikel 4 – Beginselen inzake verwerking van persoonsgegevens – Artikel 4, lid 1, onder c) – Beginsel van ‚minimale gegevensverwerking’ – Artikelen 7, 8 en 47 alsmede artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie – Vereiste dat een beperking op de uitoefening van een grondrecht ‚bij wet wordt gesteld’ – Evenredigheid – Beoordeling van de evenredigheid in het licht van alle relevante elementen – Voorafgaande toetsing door een rechter of een onafhankelijk bestuursorgaan – Artikel 13 – Aan de betrokkene ter beschikking gestelde of verstrekte informatie – Grenzen – Artikel 54 – Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker – Politieonderzoek op het gebied van drugshandel – Poging van de politiediensten om een mobiele telefoon te ontgrendelen om in het kader van dat onderzoek toegang te krijgen tot de op die telefoon opgeslagen gegevens”
Harmonisatie van de wetgevingen – Telecommunicatiesector – Verwerking van persoonsgegevens en bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie – Richtlijn 2002/58 – Werkingssfeer – Poging van de politiediensten om in het kader van een strafrechtelijk onderzoek toegang te krijgen tot de op een mobiele telefoon opgeslagen persoonsgegevens – Geen tussenkomst van aanbieders van elektronische-communicatiediensten – Daarvan uitgesloten
(Richtlijn 2002/58 van het Europees Parlement en de Raad zoals gewijzigd bij richtlijn 2009/136, art. 1, leden 1 en 3, en art. 3)
(zie punten 57‑59)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens in strafzaken – Richtlijn 2016/680 – Werkingssfeer – Poging van de politiediensten om in het kader van een strafrechtelijk onderzoek toegang te krijgen tot de op een mobiele telefoon opgeslagen persoonsgegevens – Daaronder begrepen
(Richtlijn2016/680 van het Europees Parlement en de Raad, art. 2, leden 1 en 3, punt 2)
(zie punten 71‑77)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens in strafzaken – Richtlijn 2016/680 – Beginselen inzake verwerking van persoonsgegevens – Beginselen van minimale gegevensverwerking en evenredigheid – Politieonderzoek op het gebied van drugshandel – Nationale regeling die de bevoegde autoriteiten de mogelijkheid biedt om zich toegang te verschaffen tot de op een mobiele telefoon opgeslagen gegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten in het algemeen – Toelaatbaarheid – Voorwaarden
[Handvest van de grondrechten van de Europese Unie, art. 7, 8 en 52, lid 1; richtlijn 2016/680 van het Europees Parlement en de Raad, art. 4, lid 1, c)]
(zie punten 84‑86, 89‑93, 95‑106, 109, 110, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens in strafzaken – Richtlijn 2016/680 – Informatieverstrekking aan de betrokkene – Recht op een doeltreffende voorziening in rechte – Politieonderzoek op het gebied van drugshandel – Nationale regeling die toestaat dat de bevoegde autoriteiten proberen om toegang te verkrijgen tot de op een mobiele telefoon opgeslagen gegevens zonder de betrokkene in kennis te stellen van de gronden voor toestemming – Ontoelaatbaarheid – Verplichting van de bevoegde autoriteiten om de betrokkene te informeren over die gronden – Omvang
(Handvest van de grondrechten van de Europese Unie, art. 47 en 52, lid 1; richtlijn 2016/680 van het Europees Parlement en de Raad, art. 13 en 54)
(zie punten 115‑123, dictum 2)
Samenvatting
Het Hof (Grote kamer), dat om een prejudiciële beslissing is verzocht door het Landesverwaltungsgericht Tirol (bestuursrechter in eerste aanleg van de deelstaat Tirol, Oostenrijk), verduidelijkt de voorwaarden waaronder de bevoegde nationale autoriteiten zich toegang mogen verschaffen tot de op een mobiele telefoon opgeslagen gegevens met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten in het algemeen, in het licht van richtlijn 2016/680 (
1
). Voorts erkent het Hof het recht van de betrokkene om in kennis te worden gesteld van de gronden waarop de toestemming voor toegang tot die gegevens is gebaseerd, vanaf het moment waarop de mededeling van deze informatie de taken van die autoriteiten niet langer in gevaar kan brengen.
Op 23 februari 2021 hebben Oostenrijkse douanebeambten bij een drugscontrole een aan CG geadresseerd pakket met daarin 85 gram cannabis in beslag genomen. Dit pakket is voor onderzoek overgedragen aan de Oostenrijkse politiediensten. Op 6 maart 2021 hebben twee politieagenten, in het kader van een politieonderzoek op het gebied van drugshandel, de woning van CG doorzocht en hem ondervraagd over de afzender van dit pakket. Na de weigering van CG om de politieagenten toegang te verlenen tot de verkeersgegevens van zijn mobiele telefoon, hebben deze laatsten de telefoon in beslag genomen.
Vervolgens zijn er door verschillende politieagenten meerdere pogingen gedaan om de mobiele telefoon van CG te ontgrendelen. In casu zijn zowel de inbeslagneming van de telefoon als de latere pogingen om die uit te lezen door de politieagenten uitgevoerd zonder toestemming van het openbaar ministerie of een rechter.
Op 31 maart 2021 heeft CG beroep ingesteld bij de verwijzende rechter ter betwisting van de rechtmatigheid van de inbeslagneming van zijn mobiele telefoon, die hem werd terugbezorgd op 20 april 2021. CG is niet onmiddellijk in kennis gesteld van de pogingen om zijn telefoon uit te lezen en heeft hier pas kennis van gekregen in het kader van de bij de verwijzende rechter aanhangige procedure.
In dit verband wenst de verwijzende rechter te vernemen of, in het licht van de richtlijn betreffende privacy en elektronische communicatie (
2
), een volledige en ongecontroleerde toegang tot alle op een mobiele telefoon opgeslagen gegevens moet worden aangemerkt als een dermate ernstige inmenging in de grondrechten (
3
) dat deze toegang moet worden beperkt tot de bestrijding van ernstige strafbare feiten. Deze rechter vraagt zich ook af of deze richtlijn (
4
) zich verzet tegen een nationale regeling op grond waarvan de recherche zich in het kader van een strafrechtelijk onderzoek volledige en ongecontroleerde toegang kan verschaffen tot alle op een mobiele telefoon opgeslagen gegevens, zonder toestemming van een rechterlijke instantie of onafhankelijk bestuursorgaan, en voorts, of die nationale regeling verenigbaar is met het recht op een doeltreffende voorziening in rechte, voor zover die regeling de politiediensten niet verplicht om de eigenaar van een mobiele telefoon te informeren over de maatregelen die zijn genomen om die telefoon digitaal uit te lezen.
Beoordeling door het Hof
Om te beginnen merkt het Hof op dat een poging van de politiediensten om rechtstreeks toegang te verkrijgen tot de op een mobiele telefoon opgeslagen persoonsgegevens zonder enige tussenkomst van een aanbieder van elektronische-communicatiediensten, zoals de poging betreffende CG, niet binnen de werkingssfeer van de richtlijn betreffende privacy en elektronische communicatie valt.
In de eerste plaats stelt het Hof vast dat een dergelijke poging tot toegang binnen de werkingssfeer van richtlijn 2016/680 valt. In dit verband wijst het Hof erop dat, gelet op de ruime strekking die de Uniewetgever heeft willen geven aan het begrip „verwerking” (
5
), de politiediensten, wanneer zij een telefoon in beslag nemen en die manipuleren om de op die telefoon opgeslagen persoonsgegevens op te vragen en te raadplegen, een „verwerking” initiëren, ook als die diensten er om technische redenen niet in slagen om toegang te krijgen tot die gegevens. De doeltreffendheid van het beginsel van doelbinding (
6
) vereist immers noodzakelijkerwijs dat het doel van de gegevensverzameling wordt bepaald vanaf het moment waarop de bevoegde autoriteiten proberen om toegang te verkrijgen tot persoonsgegevens, aangezien een dergelijke poging, wanneer die succesvol is, hen met name in staat stelt om de betrokken gegevens onmiddellijk te verzamelen, op te vragen of te raadplegen. Indien een dergelijke poging niet zou kunnen worden aangemerkt als „verwerking” van gegevens, zou afbreuk worden gedaan aan de hoge mate van bescherming van de persoonsgegevens van natuurlijke personen. Indien de toepasselijkheid van richtlijn 2016/680 zou afhangen van het succes van de poging om toegang te verkrijgen tot op een mobiele telefoon opgeslagen persoonsgegevens, zou dit bovendien voor zowel de bevoegde nationale autoriteiten als de justitiabelen een onzekerheid met zich meebrengen die onverenigbaar is met het rechtszekerheidsbeginsel.
In de tweede plaats onderzoekt het Hof of het beginsel van de „minimale gegevensverwerking” (
7
), dat uitdrukking geeft aan het evenredigheidsbeginsel, zich verzet tegen een nationale regeling die de bevoegde autoriteiten de mogelijkheid biedt om zich toegang te verschaffen tot de op een mobiele telefoon opgeslagen gegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten in het algemeen, zonder het gebruik van die mogelijkheid afhankelijk te stellen van een voorafgaande toetsing door een rechter of een onafhankelijk bestuursorgaan. Zo brengt het Hof in herinnering dat de beperkingen op de grondrechten op het gebied van het privéleven en het familie‑ en gezinsleven alsmede de bescherming van persoonsgegevens (
8
) in overeenstemming moeten zijn met het evenredigheidsbeginsel en slechts kunnen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang. In die zin stelt het Hof vast dat een verwerking van persoonsgegevens in het kader van een politieonderzoek dat gericht is op de vervolging van een strafbaar feit, zoals een poging om toegang te verkrijgen tot de op een mobiele telefoon opgeslagen gegevens, in beginsel moet worden geacht daadwerkelijk te beantwoorden aan een door de Unie erkende doelstelling van algemeen belang. Voorts merkt het Hof op dat de evenredigheid van de beperking van de uitoefening van de grondrechten op het gebied van het privéleven en het familie‑ en gezinsleven alsmede de bescherming van persoonsgegevens, als gevolg van dergelijke verwerkingen, een afweging impliceert van alle relevante elementen van het geval.
Wat ten eerste de ernst betreft van de beperking van die grondrechten als gevolg van een regeling die de bevoegde politiediensten toestaat om zich zonder voorafgaande toestemming toegang te verschaffen tot de op een mobiele telefoon opgeslagen gegevens, wijst het Hof erop dat een dergelijke toegang, afhankelijk van de inhoud van de betrokken mobiele telefoon en de door die politiediensten gemaakte keuzes, betrekking kan hebben op een breed scala aan gegevens, waardoor het mogelijk is om zeer nauwkeurige conclusies te trekken over het privéleven van de betrokkene. Derhalve moet een dergelijke inmenging in de grondrechten op het gebied van het privéleven en de bescherming van persoonsgegevens worden beschouwd als ernstig of zelfs bijzonder ernstig.
Ten tweede geeft het Hof aan dat de ernst van het strafbare feit waarnaar het onderzoek loopt, een van de belangrijkste parameters is bij de toetsing van de evenredigheid van de ernstige inmenging die het gevolg is van de toegang tot de op een mobiele telefoon opgeslagen persoonsgegevens. Indien zou worden geoordeeld dat alleen de bestrijding van zware criminaliteit de toegang tot die gegevens kan rechtvaardigen, zou dit echter de onderzoeksbevoegdheden van de bevoegde autoriteiten beperken ten aanzien van strafbare feiten in het algemeen, de specifieke aard van de door deze autoriteiten uitgevoerde taken miskennen en afbreuk doen aan de doelstelling om een ruimte van vrijheid, veiligheid en recht tot stand te brengen binnen de Unie. Teneinde aan het vereiste te voldoen dat elke beperking op de uitoefening van een grondrecht „bij wet wordt gesteld” (
9
), staat het echter aan de nationale wetgever om voldoende nauwkeurig te bepalen met welke elementen rekening moet worden gehouden, met name de aard of de categorieën van de strafbare feiten in kwestie.
Ten derde merkt het Hof op dat, om de eerbiediging van het evenredigheidsbeginsel te waarborgen, de toegang van de bevoegde nationale autoriteiten tot de persoonsgegevens afhankelijk moet worden gesteld van een voorafgaande toetsing door een rechter of een onafhankelijk bestuursorgaan wanneer die toegang het risico van een ernstige of zelfs zeer ernstige inmenging in de grondrechten van de betrokkene met zich meebrengt. Die toetsing moet plaatsvinden voorafgaand aan elke poging tot het verkrijgen van toegang tot de betrokken gegevens, behalve in naar behoren gemotiveerde spoedeisende gevallen, waarin de toetsing op korte termijn dient plaats te vinden. In het kader van die toetsing moet de rechter of het onafhankelijke bestuursorgaan een verzoek om toegang dat binnen de werkingssfeer van richtlijn 2016/680 valt, kunnen weigeren of beperken wanneer wordt vastgesteld dat de inmenging in de grondrechten die deze toegang met zich meebrengt, onevenredig is. In het onderhavige geval moet de toegang tot de op een mobiele telefoon opgeslagen gegevens door de bevoegde politiediensten, worden geweigerd of beperkt indien, rekening houdend met de ernst van het strafbare feit en de behoeften van het onderzoek, de toegang tot de inhoud van de communicatie of tot gevoelige gegevens niet gerechtvaardigd wordt geacht.
Gelet op het voorgaande, oordeelt het Hof dat het beginsel van de minimale gegevensverwerking, gelezen in het licht van het recht op bescherming van persoonsgegevens en het recht op eerbiediging van het privéleven, zich niet verzet tegen een nationale regeling die de bevoegde autoriteiten de mogelijkheid biedt om zich toegang te verschaffen tot de op een mobiele telefoon opgeslagen gegevens, met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten in het algemeen. Daartoe geldt echter als voorwaarde dat de beginselen van rechtmatigheid en evenredigheid worden geëerbiedigd en dat de uitoefening van het recht op toegang tot die gegevens is onderworpen aan een voorafgaande toetsing door een rechter of een onafhankelijk bestuursorgaan.
In de derde plaats spreekt het Hof zich uit over de vraag of CG in kennis had moeten worden gesteld van de pogingen om toegang te verkrijgen tot de op zijn mobiele telefoon opgeslagen gegevens (
10
). Het Hof stelt in dit verband vast dat de bevoegde nationale autoriteiten, waaraan door een rechter of een onafhankelijk bestuursorgaan toestemming is verleend voor toegang tot de bewaarde gegevens, de betrokkenen moeten informeren over de gronden waarop deze toestemming is gebaseerd, vanaf het moment waarop de mededeling van deze informatie de door die autoriteiten uitgevoerde onderzoeken niet langer in gevaar kan brengen. Diezelfde autoriteiten moeten de betrokkenen alle in richtlijn 2016/680 bedoelde informatie ter beschikking stellen (
11
) zodat die laatsten met name hun recht op een doeltreffende voorziening in rechte (
12
) kunnen uitoefenen. Derhalve is een nationale regeling die op algemene wijze elk recht op verkrijging van die informatie uitsluit, onverenigbaar met het Unierecht. In casu stelt het Hof vast dat CG vooraf op de hoogte had moeten worden gesteld van de pogingen om toegang te verkrijgen tot de op zijn mobiele telefoon opgeslagen gegevens. Aangezien de mobiele telefoon van CG al in beslag was genomen toen de politiediensten probeerden om die te ontgrendelen, blijkt immers niet dat het voor het onderzoek schadelijk was om hem in kennis te stellen van deze pogingen tot toegang. Bijgevolg oordeelt het Hof dat de bepalingen van richtlijn 2016/680, gelezen in het licht van het Handvest (
13
), zich verzetten tegen een nationale regeling die toestaat dat de bevoegde autoriteiten zich toegang verschaffen tot op een mobiele telefoon opgeslagen gegevens zonder de betrokkene in kennis te stellen van de gronden waarop de door een rechter of een onafhankelijk bestuursorgaan verleende toestemming voor toegang tot die gegevens is gebaseerd, vanaf het moment waarop de mededeling van deze informatie de taken van die autoriteiten niet langer in gevaar kan brengen.
(
1
)	Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89).
(
2
)	En meer in het bijzonder artikel 15, lid 1, van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37), zoals gewijzigd bij richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 (PB 2009, L 337, blz. 11) (hierna: „richtlijn betreffende privacy en elektronische communicatie”).
(
3
)	Zoals neergelegd in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”).
(
4
)	En meer in het bijzonder artikel 15, lid 1, van de richtlijn betreffende privacy en elektronische communicatie.
(
5
)	In artikel 3, punt 2, van richtlijn 2016/680 wordt het begrip „verwerking” gedefinieerd als „een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés [...]”.
(
6
)	Artikel 4, lid 1, onder b), van richtlijn 2016/680.
(
7
)	Zoals neergelegd in artikel 4, lid 1, onder c), van richtlijn 2016/680, op grond waarvan de lidstaten voorschrijven dat de persoonsgegevens toereikend en ter zake dienend zijn en niet bovenmatig zijn in verhouding tot de doeleinden waarvoor zij worden verwerkt.
(
8
)	Artikelen 7 en 8 van het Handvest.
(
9
)	Artikel 52, lid 1, van het Handvest.
(
10
)	Artikel 47 van het Handvest.
(
11
)	Zoals bedoeld in artikel 13, lid 1, van richtlijn 2016/680.
(
12
)	Artikel 54 van richtlijn 2016/680.
(
13
)	Meer in het bijzonder de artikelen 13 en 54 van richtlijn 2016/680, gelezen in het licht van de artikelen 47 en 52, lid 1, van het Handvest.