62021CJ0548_RES
Sprawa C‑548/21
CG
przeciwko
Bezirkshauptmannschaft Landeck
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Landesverwaltungsgericht Tirol)
Wyrok Trybunału (wielka izba) z dnia 4 października 2024 r.
Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych – Dyrektywa 2016/680/UE – Artykuł 3 pkt 2 – Pojęcie „przetwarzania” – Artykuł 4 – Zasady dotyczące przetwarzania danych osobowych – Artykuł 4 ust. 1 lit. c) – Zasada „minimalizacji danych” – Artykuły 7, 8, 47 i art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej – Wymóg, zgodnie z którym wszelkie ograniczenia w korzystaniu z praw podstawowych muszą być „przewidziane ustawą” – Proporcjonalność – Ocena proporcjonalności w świetle wszystkich istotnych okoliczności – Uprzednia kontrola sądowa lub niezależnego organu administracyjnego – Artykuł 13 – Informacje udostępniane lub przekazywane osobie, której dane dotyczą – Granice – Artykuł 54 – Prawo do skutecznego środka prawnego przed sądem przeciwko administratorowi lub podmiotowi przetwarzającemu – Postępowanie przygotowawcze w sprawie handlu środkami odurzającymi – Próba odblokowania telefonu komórkowego przez organy ścigania w celu uzyskania wglądu do zapisanych w tym telefonie danych na potrzeby tego postępowania
Zbliżanie ustawodawstw – Sektor telekomunikacji – Przetwarzanie danych osobowych i ochrona prywatności w sektorze łączności elektronicznej – Dyrektywa 2002/58 – Zakres stosowania – Próba uzyskania przez organy policyjne wglądu do danych osobowych zapisanych w telefonie komórkowym na potrzeby postępowania przygotowawczego – Brak interwencji dostawców usług łączności elektronicznej – Wyłączenie
(dyrektywa Parlamentu Europejskiego i Rady 2002/58, zmieniona dyrektywą 2009/136, art. 1 ust. 1, 3, art. 3)
(zob. pkt 57–59)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych w sprawach karnych – Dyrektywa 2016/680 – Zakres stosowania – Próba uzyskania przez organy policyjne wglądu do danych osobowych zapisanych w telefonie komórkowym na potrzeby postępowania przygotowawczego – Włączenie
(dyrektywa Parlamentu Europejskiego i Rady 2016/680, art. 2 ust. 1, art. 3 pkt 2)
(zob. pkt 71–77)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych w sprawach karnych – Dyrektywa 2016/680 – Zasady dotyczące przetwarzania danych osobowych – Zasady minimalizacji danych i proporcjonalności – Postępowanie przygotowawcze w sprawie handlu środkami odurzającymi – Uregulowanie krajowe przyznające właściwym organom możliwość uzyskania wglądu do danych zapisanych w telefonie komórkowym w celu zapobiegania przestępstwom w ogólności, dochodzenia ich, wykrywania i ścigania – Dopuszczalność – Przesłanki
[Karta praw podstawowych Unii Europejskiej, art. 7, 8, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/680, art. 4 ust. 1 lit. c)]
(zob. pkt 84–86, 89–93, 95–106, 109, 110; pkt 1 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych w sprawach karnych – Dyrektywa 2016/680 – Informowanie osoby, której dane dotyczą – Prawo do skutecznego środka prawnego przed sądem – Postępowanie przygotowawcze w sprawie handlu środkami odurzającymi – Uregulowanie krajowe zezwalające właściwym organom na podjęcie próby uzyskania wglądu do danych zapisanych w telefonie komórkowym bez poinformowania osoby, których dane dotyczą, o powodach udzielenia zgody na podjęcie tych czynności – Niedopuszczalność – Obowiązek poinformowania przez właściwe organy osoby, której dane dotyczą, o tych powodach – Zakres
(Karta praw podstawowych Unii Europejskiej, art. 47, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/680, art. 13, 54)
(zob. pkt 115–123; pkt 2 sentencji)
Streszczenie
Orzekając w składzie wielkiej izby w postępowaniu prejudycjalnym zainicjowanym przez Landesverwaltungsgericht Tirol (regionalny sąd administracyjny, Austria), Trybunał wyjaśnił, po pierwsze, warunki, w jakich właściwe organy krajowe mogą uzyskać wgląd do danych zapisanych w telefonie komórkowym w celu zapobiegania przestępstwom w ogólności, dochodzenia ich, wykrywania i ścigania w świetle dyrektywy 2016/680 (
1
). Po drugie, uznał prawo osoby, której dane dotyczą, do uzyskania informacji o powodach, dla których wydano zgodę na uzyskanie wglądu do takich danych, z chwilą gdy przestało to zagrażać prawidłowemu wykonywaniu zadań spoczywających na tych organach.
W dniu 23 lutego 2021 r., podczas kontroli na obecność narkotyków, austriaccy celnicy przejęli adresowaną do CG paczkę, która zawierała 85 gramów marihuany. Przesyłka została przekazana do zbadania austriackim organom policji. W dniu 6 marca 2021 r. w ramach postępowania przygotowawczego w sprawie handlu środkami odurzającymi dwaj funkcjonariusze policji dokonali przeszukania miejsca zamieszkania CG, w trakcie którego przesłuchali go na okoliczność nadawcy wspomnianej przesyłki. Ponieważ CG sprzeciwił się udostępnieniu funkcjonariuszom policji wglądu do danych dotyczących połączeń zapisanych w jego telefonie komórkowym jego telefon został zatrzymany.
Następnie różni funkcjonariusze kilkakrotnie podejmowali próby odblokowania telefonu komórkowego CG. W rozpatrywanej sprawie zatrzymanie telefonu komórkowego CG oraz późniejsze próby wykorzystania go zostały podjęte z inicjatywy funkcjonariuszy policji, bez uprzedniego uzyskania przez nich zgody prokuratora lub sądu.
W dniu 31 marca 2021 r. CG wniósł do sądu odsyłającego zażalenie, w którym zakwestionował zgodność z prawem zatrzymania jego telefonu komórkowego, który został mu zwrócony w dniu 20 kwietnia 2021 r. CG nie został od razu powiadomiony o próbach wykorzystania jego telefonu komórkowego. Dowiedział się o tym dopiero w trakcie postępowania zawisłego przed sądem odsyłającym.
W kontekście tego postępowania sąd odsyłający zastanawia się, czy w świetle dyrektywy „o prywatności i komunikacji elektronicznej” (
2
) uzyskanie pełnego i niekontrolowanego wglądu do wszystkich danych zapisanych w telefonie komórkowym stanowi na tyle poważną ingerencję w prawa podstawowe (
3
), że wgląd ten powinien być ograniczony tylko do przypadków zwalczania poważnej przestępczości. Sąd odsyłający dąży też do ustalenia, po pierwsze, czy owa dyrektywa (
4
) stoi na przeszkodzie uregulowaniu krajowemu, które zezwala policji kryminalnej w toku postępowania przygotowawczego na uzyskanie pełnego i niekontrolowanego wglądu do wszystkich danych zapisanych w telefonie komórkowym, bez uzyskania zgody sądu lub niezależnego organu administracyjnego, a po drugie, czy takie uregulowanie krajowe jest zgodne z prawem do skutecznego środka prawnego przed sądem w zakresie, w jakim nie zobowiązuje organów policyjnych do powiadomienia właściciela telefonu komórkowego o podjętych czynnościach cyfrowego wykorzystania tego telefonu.
Ocena Trybunału
Na początku Trybunał stwierdził, że próba uzyskania przez organy policyjne bezpośredniego wglądu do danych osobowych zapisanych w telefonie komórkowym, bez jakiejkolwiek interwencji ze strony dostawcy usług łączności elektronicznej, taka jak w przypadku CG, nie wchodzi w zakres stosowania dyrektywy o prywatności i komunikacji elektronicznej.
W pierwszej kolejności Trybunał uznał, że taka próba uzyskania wglądu jest objęta zakresem stosowania dyrektywy 2016/680. W tym względzie Trybunał wyjaśnił, że w świetle szerokiej definicji pojęcia „przetwarzania” przyjętej przez prawodawcę Unii (
5
), w przypadku zatrzymania telefonu przez organy policyjne i podjęcia przez nie próby uzyskania do niego wglądu w celu pobrania i przejrzenia zapisanych w tym telefonie danych osobowych, organy te dokonują „przetwarzania”, nawet jeśli ostatecznie nie zdołały one ze względów technicznych uzyskać wglądu do tych danych. Skuteczność zasady ograniczenia celów (
6
) z konieczności wymaga, aby cel gromadzenia danych był określony od momentu, w którym właściwe organy podejmują próbę uzyskania wglądu do danych osobowych, ponieważ taka próba, jeśli zakończy się powodzeniem, może umożliwić tym organom w szczególności natychmiastowe zgromadzenie, pobranie i przejrzenie tych danych. Gdyby próba uzyskania wglądu do danych osobowych zapisanych w telefonie komórkowym nie mogła zostać uznana za „przetwarzanie” tych danych, cel ten zostałby udaremniony. Idąc tym samym tokiem myślenia, gdyby stosowanie dyrektywy 2016/680 zależało od powodzenia próby uzyskania wglądu do danych osobowych zapisanych w telefonie komórkowym, powodowałby to niepewność zarówno po stronie właściwych organów krajowych, jak i po stronie jednostek, co jest nie do pogodzenia z zasadą pewności prawa.
W drugiej kolejności Trybunał przeanalizował, czy zasada „minimalizacji danych” (
7
), będąca wyrazem zasady proporcjonalności, stoi na przeszkodzie uregulowaniu krajowemu, które przyznaje właściwym organom możliwość uzyskania wglądu do danych zapisanych w telefonie komórkowym w celu zapobiegania przestępstwom w ogólności, dochodzenia ich, wykrywania i ścigania oraz które nie uzależnia tej możliwości od uprzedniej kontroli sądu lub niezależnego organu administracyjnego. Trybunał przypomniał, że ograniczenia praw podstawowych w dziedzinie poszanowania życia prywatnego i ochrony danych osobowych (
8
) muszą być zgodne z zasadą proporcjonalności i mogą być wprowadzane, tylko jeśli są one konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię. Trybunał uznał w tym względzie, po pierwsze, że przetwarzanie danych osobowych w ramach postępowania przygotowawczego prowadzonego przez policję w sprawie przestępstwa, przybierające postać próby uzyskania wglądu do danych zapisanych w telefonie komórkowym, należy co do zasady uznać za faktycznie odpowiadające interesowi ogólnemu uznanemu przez Unię. Po drugie, zauważył, że ustalenie, czy dane ograniczenie w korzystaniu z praw podstawowych w dziedzinie poszanowania życia prywatnego i ochrony danych osobowych będące wynikiem takiego przetwarzania, jest proporcjonalne, wymaga wyważenia wszystkich istotnych okoliczności danego przypadku.
W związku z tym, po pierwsze, co się tyczy wagi ograniczenia praw podstawowych wynikającego z uregulowania zezwalającego organom policyjnym na uzyskanie, bez wcześniejszej zgody, wglądu w dane zapisane w telefonie komórkowym, Trybunał wyjaśnił, że wgląd do takich danych może, w zależności od zawartości danego telefonu komórkowego i decyzji tych organów, obejmować bardzo szeroki zakres danych i wskutek tego być źródłem bardzo szczegółowych informacji na temat życia prywatnego danej osoby. Taką ingerencję w prawa podstawowe w dziedzinie poszanowania życia prywatnego i ochrony danych osobowych należy wobec tego uznać za poważną, a nawet szczególnie poważną ingerencję w te prawa.
Po drugie, Trybunał wskazał, że waga przestępstwa, w którego sprawie prowadzone jest postępowanie przygotowawcze, jest jednym z kluczowych elementów badania proporcjonalności poważnej ingerencji, jaką stanowi wgląd do danych osobowych zapisanych w telefonie komórkowym. Jednakże uznanie, że tylko zwalczanie poważnej przestępczości może uzasadniać wgląd do danych zapisanych w telefonie komórkowym, ograniczałoby uprawnienia dochodzeniowe właściwych organów w odniesieniu do ogólnie pojętej przestępczości, naruszałoby szczególny charakter zadań wykonywanych przez te organy oraz szkodziło celowi realizacji przestrzeni wolności, bezpieczeństwa i sprawiedliwości w Unii. Jednakże w celu spełnienia wymogu, zgodnie z którym wszelkie ograniczenia w korzystaniu z prawa podstawowego muszą być „przewidziane ustawą” (
9
), do ustawodawcy krajowego należy określenie w sposób wystarczająco precyzyjny elementów, w szczególności charakteru lub kategorii określonych przestępstw, które należy wziąć pod uwagę.
Po trzecie, Trybunał zauważył, że w celu zapewnienia poszanowania zasady proporcjonalności, w sytuacji gdy wgląd właściwych organów krajowych do danych osobowych wiąże się z ryzykiem poważnej, a nawet szczególnie poważnej ingerencji w prawa podstawowe osoby, której dane dotyczą, możliwość uzyskania tego wglądu musi być uzależniona od uprzedniej kontroli dokonywanej przez sąd albo przez niezależny organ administracyjny. Kontrola ta powinna zostać przeprowadzona przed każdą próbą uzyskania wglądu do określonych danych, z wyjątkiem należycie uzasadnionych pilnych przypadków, w których kontrola ta powinna nastąpić jak najszybciej. W ramach tej kontroli sąd lub niezależny organ administracyjny powinien być uprawniony do odrzucenia wniosku o uzyskanie wglądu, objętego zakresem stosowania dyrektywy 2016/680, lub ograniczenia tego wglądu, jeżeli stwierdzi, że ingerencja w prawa podstawowe, jaką stanowi wspomniany wgląd, byłaby nieproporcjonalna. W rozpatrywanym przypadku właściwym organom policyjnym należy odmówić wglądu do danych zapisanych w telefonie komórkowym lub ograniczyć ten wgląd, jeżeli, biorąc pod uwagę wagę przestępstwa i potrzeby prowadzonego postępowania, dostęp do treści komunikatów lub danych szczególnie chronionych nie wydaje się uzasadniony.
W świetle powyższego Trybunał stwierdził, że zasada „minimalizacji danych” w związku z prawem do ochrony danych osobowych i do poszanowania życia prywatnego nie stoi na przeszkodzie uregulowaniu krajowemu, które przyznaje właściwym organom możliwość uzyskania wglądu do danych zapisanych w telefonie komórkowym w celu zapobiegania przestępstwom w ogólności, dochodzenia ich, wykrywania i ścigania. Możliwość ta jest jednak uzależniona od przestrzegania zasad legalności i proporcjonalności oraz od istnienia uprzedniej kontroli korzystania z prawa wglądu do tych danych dokonywanej przez sąd albo przez niezależny organ administracyjny.
W trzeciej kolejności Trybunał wypowiedział się w przedmiocie kwestii, czy CG powinien był zostać poinformowany o próbach uzyskania wglądu do danych zapisanych w jego telefonie komórkowym (
10
). Trybunał stwierdził w tym względzie, że właściwe organy krajowe, które zostały upoważnione przez sąd lub niezależny organ administracyjny do wglądu do przechowywanych danych, muszą poinformować osoby, których dane dotyczą, o powodach, na których opiera się ta zgoda, z chwilą gdy przekazanie tych informacji przestało już zagrażać prawidłowemu przebiegowi postępowania przygotowawczego prowadzonego przez te organy. Wspomniane organy muszą udostępnić osobom, których dane dotyczą, wszystkie informacje określone w dyrektywie 2016/680 (
11
), tak aby miały one możliwość skorzystania w szczególności z prawa do skutecznego środka prawnego (
12
). W związku z tym uregulowanie krajowe, które w zasadzie całkowicie wyklucza prawo do uzyskania takich informacji, nie jest zgodne z prawem Unii. W niniejszej sprawie Trybunał uznał, że CG powinien był zostać poinformowany o próbach uzyskania wglądu do danych zapisanych w jego telefonie komórkowym. Otóż skoro przed podjęciem prób odblokowania telefonu komórkowego CG przez organy policyjne, telefon ten został już przez te organy zatrzymany, nie wydaje się, aby poinformowanie CG o tych próbach mogło w jakikolwiek stopniu zagrażać przebiegowi postępowania przygotowawczego. W związku z tym Trybunał doszedł do wniosku, że przepisy dyrektywy 2016/680 w związku ze stosownymi postanowieniami Karty (
13
) stoją na przeszkodzie uregulowaniu krajowemu zezwalającemu właściwym organom na uzyskanie wglądu do danych zapisanych w telefonie komórkowym bez poinformowania osoby, której dane dotyczą, o powodach, na których opiera się zgoda na wgląd do takich danych wydana przez sąd lub niezależny organ administracyjny, z chwilą gdy przekazanie tych informacji przestało już zagrażać prawidłowemu wykonywaniu spoczywających na tych organach zadań.
(
1
)	Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89; sprostowanie Dz.U. 2018, L 127, s. 10).
(
2
)	A konkretnie art. 15 ust. 1 dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. 2002, L 201, s. 37; sprostowania: Dz.U. 2013, L 241, s. 9; Dz.U. 2017, L 162, s. 56), zmienionej dyrektywą Parlamentu Europejskiego i Rady 2009/136/WE z dnia 25 listopada 2009 r. (Dz.U. 2009, L 337, s. 11), (zwanej dalej „dyrektywą o prywatności i łączności elektronicznej”).
(
3
)	Zagwarantowane w art. 7 i 8 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”).
(
4
)	A konkretnie art. 15 ust. 1 dyrektywy o prywatności i łączności elektronicznej.
(
5
)	Zgodnie z art. 3 pkt 2 dyrektywy 2016/680 pojęcie „przetwarzania” oznacza „każdą operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany […]”.
(
6
)	Artykuł 4 ust. 1 lit. b) dyrektywy 2016/680.
(
7
)	Przewidziana w art. 4 ust. 1 lit. c) dyrektywy 2016/680, w myśl którego to przepisu państwa członkowskie powinny zapewnić, by dane osobowe były adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane.
(
8
)	Artykuły 7 i 8 Karty.
(
9
)	Artykuł 52 ust. 1 Karty.
(
10
)	Artykuł 47 Karty.
(
11
)	W rozumieniu art. 13 ust. 1 dyrektywy 2016/680.
(
12
)	Artykuł 54 dyrektywy 2016/680.
(
13
)	W szczególności art. 13 i 54 dyrektywy 2016/680 w związku z art. 47 i art. 52 ust. 1 Karty.