62021CJ0548_RES
Zadeva C‑548/21
CG
proti
Bezirkshauptmannschaft Landeck
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Landesverwaltungsgericht Tirol)
Sodba Sodišča (veliki senat) z dne 4. oktobra 2024
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj – Direktiva 2016/680/EU – Člen 3, točka 2 – Pojem ‚obdelava‘ – Člen 4 – Načela v zvezi z obdelavo osebnih podatkov – Člen 4(1)(c) – Načelo najmanjšega obsega podatkov – Členi 7, 8 in 47 ter člen 52(1) Listine Evropske unije o temeljnih pravicah – Zahteva, da je omejevanje uresničevanja temeljne pravice ‚predpisano z zakonom‘ – Sorazmernost – Presoja sorazmernosti glede na vse upoštevne elemente – Predhodni nadzor s strani sodišča ali neodvisnega upravnega organa – Člen 13 – Informacije, ki se dajo na voljo ali zagotovijo posamezniku, na katerega se nanašajo osebni podatki – Meje – Člen 54 – Pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca – Policijska preiskava v zvezi s trgovino s prepovedanimi drogami – Poskus policijskih organov, da bi za namene te preiskave odklenili mobilni telefon in tako pridobili dostop do podatkov, shranjenih v njem“
Približevanje zakonodaj – Telekomunikacijski sektor – Obdelava osebnih podatkov in varstvo zasebnosti na področju elektronskih komunikacij – Direktiva 2002/58 – Področje uporabe – Poskus dostopa policijskih organov do osebnih podatkov, shranjenih v mobilnem telefonu, zaradi kazenske preiskave – Neobstoj ukrepanja ponudnikov elektronskih komunikacijskih storitev – Izključitev
(Direktiva Evropskega parlamenta in Sveta 2002/58, kakor je bila spremenjena z Direktivo 2009/136, člena 1(1) in (3) ter 3)
(Glej točke od 57 do 59.)
Varstvo posameznikov pri obdelavi osebnih podatkov na kazenskem področju – Direktiva 2016/680 – Področje uporabe – Poskus dostopa policijskih organov do osebnih podatkov, shranjenih v mobilnem telefonu, zaradi kazenske preiskave – Vključitev
(Direktiva 2016/680 Evropskega parlamenta in Sveta, člena 2(1) in 3, točka 2)
(Glej točke od 71 do 77.)
Varstvo posameznikov pri obdelavi osebnih podatkov na kazenskem področju – Direktiva 2016/680 – Načela v zvezi z obdelavo osebnih podatkov – Načeli najmanjšega obsega podatkov in sorazmernosti – Policijska preiskava v zvezi s trgovino s prepovedanimi drogami – Nacionalna ureditev, ki pristojnim organom omogoča dostop do podatkov, shranjenih v mobilnem telefonu, za namene preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj na splošno – Dopustnost – Pogoji
(Listina Evropske unije o temeljnih pravicah, členi 7, 8 in 52(1); Direktiva Evropskega parlamenta in Sveta 2016/680, člen 4(1)(c))
(Glej točke od 84 do 86, od 89 do 93, od 95 do 106, 109, 110 ter točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov na kazenskem področju – Direktiva 2016/680 – Obveščanje posameznika, na katerega se nanašajo osebni podatki – Pravica do učinkovitega pravnega sredstva – Policijska preiskava v zvezi s trgovino s prepovedanimi drogami – Nacionalna ureditev, ki pristojnim organom dovoljuje, da poskusijo dostopati do podatkov, shranjenih v mobilnem telefonu, ne da bi posameznika, na katerega se nanašajo osebni podatki, seznanili z razlogi za tako dovoljenje – Nedopustnost – Obveznost pristojnih organov, da posameznika, na katerega se nanašajo osebni podatki, seznanijo s temi razlogi – Obseg
(Listina Evropske unije o temeljnih pravicah, člena 47 in 52(1); Direktiva Evropskega parlamenta in Sveta 2016/680, člena 13 in 54)
(Glej točke od 115 do 123 in točko 2 izreka.)
Povzetek
Veliki senat Sodišča, ki je odločal o predlogu za sprejetje predhodne odločbe, ki ga je vložilo Landesverwaltungsgericht Tirol (deželno upravno sodišče za Tirolsko, Avstrija), je na eni strani pojasnil pogoje, pod katerimi lahko pristojni nacionalni organi dostopajo do podatkov, shranjenih v mobilnem telefonu za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj na splošno, z vidika Direktive 2016/680. (
1
) Na drugi strani je priznal pravico posameznika, na katerega se nanašajo osebni podatki, da je seznanjen z razlogi, na katerih temelji dovoljenje za dostop do takih podatkov, in to od trenutka, ko seznanitev s temi informacijami ne more več ogroziti nalog, ki jih imajo ti organi.
Avstrijski carinski uradniki so 23. februarja 2021 med izvajanjem nadzora nad prepovedanimi drogami zasegli paket, ki je bil naslovljen na CG in je vseboval 85 gramov marihuane. Ta paket je bil poslan v pregled avstrijskim policijskim organom. Policista sta 6. marca 2021 v okviru policijske preiskave v zvezi s trgovino s prepovedanimi drogami opravila hišno preiskavo stanovanja CG in ga zaslišala glede pošiljatelja paketa. Ker je CG policistoma zavrnil dostop do podatkov o povezavi njegovega mobilnega telefona, sta ta telefon zasegla.
Mobilni telefon CG so različni policisti nato večkrat poskušali odkleniti. V obravnavani zadevi so policisti tako zaseg telefona kot poznejše poskuse pregleda tega telefona opravili brez dovoljenja državnega tožilstva ali sodišča.
CG je 31. marca 2021 pri predložitvenem sodišču vložil tožbo, s katero je izpodbijal zakonitost zasega svojega mobilnega telefona, ki mu je bil vrnjen 20. aprila 2021. CG ni bil takoj obveščen o poskusih pregleda mobilnega telefona in se je z njimi seznanil šele med postopkom pred predložitvenim sodiščem.
V tem okviru je predložitveno sodišče želelo izvedeti, ali z vidika Direktive o zasebnosti in elektronskih komunikacijah (
2
) vseobsežen in nenadzorovan dostop do vseh podatkov, shranjenih na mobilnem telefonu, pomeni tako resen poseg v temeljne pravice, (
3
) da je treba ta dostop omejiti na boj proti hudim kaznivim dejanjem. Spraševalo se je tudi, prvič, ali ta direktiva (
4
) nasprotuje nacionalni ureditvi, v skladu s katero si lahko kriminalistična policija med postopkom kazenske preiskave brez dovoljenja sodišča ali neodvisnega upravnega organa zagotovi vseobsežen in nenadzorovan dostop do vseh podatkov, shranjenih v mobilnem telefonu, in drugič, ali je ta nacionalna ureditev združljiva s pravico do učinkovitega pravnega sredstva, ker policijskim organom ne nalaga, da lastnika mobilnega telefona seznanijo z ukrepi digitalnega pregleda tega telefona.
Presoja Sodišča
Sodišče je uvodoma navedlo, da poskus policijskih organov, da bi neposredno dostopali do osebnih podatkov v mobilnem telefonu, ne da bi zaprosili za kakršno koli ukrepanje ponudnika elektronskih komunikacijskih sredstev, kot je ta v zvezi s CG, ne spada na področje uporabe Direktive o zasebnosti in elektronskih komunikacijah.
Na prvem mestu, Sodišče je ugotovilo, da tak poskus dostopa spada na področje uporabe Direktive 2016/680. V zvezi s tem je pojasnilo, da glede na širok obseg, ki ga je zakonodajalec Evropske unije želel dati pojmu „obdelava“, (
5
) kadar policijski organi zasežejo telefon ter poskušajo priklicati in dobijo vpogled v osebne podatke, shranjene v tem telefonu, začnejo „obdelavo“, in sicer tudi če iz tehničnih razlogov ne bi uspeli priti do teh podatkov. Učinkovitost načela omejitve namena (
6
) namreč nujno zahteva, da je namen zbiranja opredeljen že v fazi, ko pristojni organi poskušajo dostopati do osebnih podatkov, ker jim tak poskus, če se izkaže za uspešnega, lahko med drugim omogoči, da takoj zberejo ali prikličejo zadevne podatke ali dobijo vpogled vanje. Če takega poskusa ne bi bilo mogoče opredeliti kot „obdelavo“ podatkov, bi bila visoka raven varstva osebnih podatkov posameznikov ogrožena. Prav tako bi, če bi bila uporaba Direktive 2016/680 odvisna od uspeha poskusa dostopa do osebnih podatkov, shranjenih v mobilnem telefonu, to tako pri pristojnih nacionalnih organih kot pri pravnih subjektih povzročilo negotovost, ki ni združljiva z načelom pravne varnosti.
Na drugem mestu, Sodišče je analiziralo, ali načelo „najmanjšega obsega podatkov“ (
7
) kot izraz načela sorazmernosti nasprotuje nacionalni ureditvi, ki pristojnim organom daje možnost, da dostopajo do podatkov, shranjenih v mobilnem telefonu, za namene preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj na splošno, ne da bi izvajanje te možnosti pogojevalo s predhodnim nadzorom s strani sodišča ali neodvisnega upravnega organa. Sodišče je tako opozorilo, da morajo omejitve temeljnih pravic na področju zasebnega in družinskega življenja ter varstva osebnih podatkov (
8
) upoštevati načelo sorazmernosti ter so dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija. V tem smislu je Sodišče na eni strani ugotovilo, da je treba za obdelavo osebnih podatkov v okviru policijske preiskave, katere namen je pregon kaznivega dejanja, kot je poskus dostopa do podatkov v mobilnem telefonu, načeloma šteti, da dejansko izpolnjuje cilj v splošnem interesu, ki ga priznava Unija. Na drugi strani je navedlo, da zahteva sorazmernost omejitev uresničevanja temeljnih pravic na področju spoštovanja zasebnega življenja in varstva osebnih podatkov, ki izhajajo iz take obdelave, tehtanje vseh upoštevnih elementov obravnavane zadeve.
Tako je Sodišče, prvič, kar zadeva resnost omejitve teh temeljnih pravic, ki izhaja iz ureditve, ki pristojnim policijskim organom omogoča, da brez predhodnega dovoljenja dostopajo do podatkov, shranjenih v mobilnem telefonu, pojasnilo, da se lahko tak dostop glede na vsebino zadevnega mobilnega telefona in odločitve, ki jih sprejmejo ti organi, nanaša na zelo široko paleto podatkov in bi tako lahko omogočil zelo natančno sklepanje o zasebnem življenju posameznika, na katerega se nanašajo osebni podatki. Zato je treba tak poseg v temeljne pravice na področju spoštovanja zasebnega življenja in varstva osebnih podatkov šteti za resen ali celo posebno resen.
Drugič, Sodišče je navedlo, da je resnost kaznivega dejanja, ki je predmet preiskave, osrednji element pri presoji sorazmernosti resnega posega, ki ga pomeni dostop do osebnih podatkov, shranjenih v mobilnem telefonu. Vendar bi ugotovitev, da lahko dostop do takih podatkov utemeljuje le boj proti hudim oblikam kriminalitete, omejevala preiskovalna pooblastila pristojnih organov v zvezi s kaznivimi dejanji na splošno, ne bi upoštevala posebne narave nalog, ki jih opravljajo ti organi, ter bi škodila cilju dokončnega oblikovanja območja svobode, varnosti in pravice v Uniji. Nacionalni zakonodajalec pa mora za izpolnitev zahteve, da mora biti kakršno koli omejevanje uresničevanja temeljnih pravic „predpisano z zakonom“, (
9
) dovolj natančno opredeliti elemente, zlasti naravo ali kategorije zadevnih kaznivih dejanj, ki jih je treba upoštevati.
Tretjič, Sodišče je navedlo, da mora biti za zagotovitev spoštovanja načela sorazmernosti, kadar dostop pristojnih nacionalnih organov do osebnih podatkov vključuje tveganje resnega ali celo posebno resnega posega v temeljne pravice posameznika, na katerega se nanašajo osebni podatki, ta dostop pogojen s predhodnim nadzorom, ki ga opravi sodišče ali neodvisen upravni organ. Ta nadzor mora biti opravljen pred kakršnim koli poskusom dostopa do zadevnih podatkov, razen v ustrezno utemeljenih nujnih primerih, pri čemer mora biti ta nadzor izveden v kratkem času. V okviru tega nadzora mora biti sodišče ali neodvisen upravni organ pooblaščen, da zavrne ali omeji zahtevo za dostop, ki spada na področje uporabe Direktive 2016/680, kadar ugotovi, da bi bil poseg v temeljne pravice, ki bi ga pomenil ta dostop, nesorazmeren. V obravnavani zadevi je treba dostop pristojnih policijskih organov do podatkov, shranjenih v mobilnem telefonu, zavrniti ali omejiti, če se ob upoštevanju resnosti kaznivega dejanja in potreb preiskave dostop do vsebine komunikacij ali občutljivih podatkov ne zdi utemeljen.
Glede na navedeno je Sodišče ugotovilo, da načelo najmanjšega obsega podatkov v povezavi s pravicama do varstva osebnih podatkov in spoštovanja zasebnosti ne nasprotuje nacionalni ureditvi, ki pristojnim organom omogoča dostop do podatkov, shranjenih v mobilnem telefonu, za namene preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj na splošno. Vendar je dopustnost takega dostopa pogojena s spoštovanjem načel zakonitosti in sorazmernosti ter obstojem predhodnega nadzora sodišča ali neodvisnega upravnega organa nad izvajanjem pravice do dostopa do takih podatkov.
Na tretjem mestu, Sodišče se je izreklo o vprašanju, ali bi moral biti CG obveščen o poskusih dostopa do podatkov, shranjenih v njegovem mobilnem telefonu. (
10
) V zvezi s tem je ugotovilo, da morajo pristojni nacionalni organi, ki jim je sodišče ali neodvisen upravni organ dovolil dostop do shranjenih podatkov, posameznike, na katere se nanašajo osebni podatki, seznaniti z razlogi, na katerih temelji to dovoljenje, od trenutka, ko seznanitev s temi informacijami ne more več ogroziti preiskav, ki jih vodijo ti organi. Ti organi morajo posameznikom, na katere se nanašajo osebni podatki, dati na voljo vse informacije iz Direktive 2016/680, (
11
) da bi lahko ti med drugim uresničevali svojo pravico do učinkovitega pravnega sredstva. (
12
) Nacionalna ureditev, ki bi na splošno izključevala vsakršno pravico do pridobitve takih informacij, naj tako ne bi bila v skladu s pravom Unije. V obravnavani zadevi je Sodišče ugotovilo, da bi CG moral biti predhodno obveščen o poskusih dostopa do podatkov, shranjenih v njegovem mobilnem telefonu. Ker je bil mobilni telefon CG, ko so ga policijski organi poskušali odkleniti, že zasežen, namreč ni očitno, da bi seznanitev CG s temi poskusi dostopa lahko škodila preiskavi. Sodišče je zato ugotovilo, da določbe Direktive 2016/680 v povezavi z Listino (
13
) nasprotujejo nacionalni ureditvi, ki pristojnim organom dovoljuje dostop do podatkov, shranjenih v mobilnem telefonu, ne da bi posameznika, na katerega se nanašajo osebni podatki, seznanili z razlogi, na katerih temelji dovoljenje sodišča ali neodvisnega upravnega organa za dostop do teh podatkov, od trenutka, ko seznanitev s temi informacijami ne more več ogroziti nalog, ki jih imajo ti organi.
(
1
)	Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL 2016, L 119, str. 89).
(
2
)	Natančneje, z vidika člena 15(1) Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 514), kakor je bila spremenjena z Direktivo 2009/136/ES Evropskega parlamenta in Sveta z dne 25. novembra 2009 (UL 2009, L 337, str. 11) (v nadaljevanju: Direktiva o zasebnosti in elektronskih komunikacijah).
(
3
)	Določene v členih 7 in 8 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina).
(
4
)	Natančneje, člen 15(1) Direktive o zasebnosti in elektronskih komunikacijah.
(
5
)	V skladu s členom 3, točka 2, Direktive 2016/680 pomeni pojem „obdelava“„vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih […]“.
(
6
)	Člen 4(1)(b) Direktive 2016/680.
(
7
)	Kot je določeno v členu 4(1)(c) Direktive 2016/680, v skladu s katerim morajo države članice določiti, da so osebni podatki ustrezni, relevantni in ne prekomerni glede na namene, za katere se obdelujejo.
(
8
)	Člena 7 in 8 Listine.
(
9
)	Člen 52(1) Listine.
(
10
)	Člen 47 Listine.
(
11
)	Iz člena 13(1) Direktive 2016/680.
(
12
)	Člen 54 Direktive 2016/680.
(
13
)	Natančneje, člena 13 in 54 Direktive 2016/680 v povezavi s členoma 47 in 52(1) Listine.