62021CJ0548_RES
Mål C‑548/21
CG
mot
Bezirkshauptmannschaft Landeck
(begäran om förhandsavgörande från Landesverwaltungsgericht Tirol)
Domstolens dom (stora avdelningen) av den 4 oktober 2024
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott – Direktiv (EU) 2016/680 – Artikel 3 led 2 – Begreppet ’behandling’ – Artikel 4 – Principer för behandling av personuppgifter – Artikel 4.1 c – Principen om uppgiftsminimering – Artiklarna 7, 8, 47 och 52.1 i Europeiska unionens stadga om de grundläggande rättigheterna – Krav på att en begränsning i utövandet av en grundläggande rättighet ska vara ’föreskriven i lag’ – Krav på proportionalitet – Proportionalitetsbedömning mot bakgrund av samtliga relevanta omständigheter – Förhandskontroll av en domstol eller en oberoende myndighet – Artikel 13 – Information som ska göras tillgänglig för eller lämnas till den registrerade – Gränser – Artikel 54 – Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde – Polisutredning om narkotikahandel – Försök av polisen att låsa upp en mobiltelefon för att i utredningssyfte bereda sig tillgång till uppgifter som finns lagrade i telefonen”
Tillnärmning av lagstiftning – Telesektorn – Behandling av personuppgifter inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Tillämpningsområde – Försök av polisen att bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon i samband med en brottsutredning – Åtgärd som vidtas utan att någon begäran om inhämtning framställts till en leverantör av elektroniska kommunikationstjänster – Omfattas inte
(Europaparlamentets och rådets direktiv 2002/58, i dess lydelse enligt direktiv 2009/136, artikel 15.1)
(se punkterna 57–59)
Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Tillämpningsområde – Försök av polisen att bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon i samband med en brottsutredning – Omfattas
(Europaparlamentets och rådets direktiv 2016/680, artiklarna 2.1 och 3 led 2)
(se punkterna 71–77)
Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Principer för behandling av personuppgifter – Principerna om uppgiftsminimering och proportionalitet – Polisutredning om narkotikahandel – Nationell lagstiftning enligt vilken behöriga myndigheter har möjlighet att bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon i syfte att förebygga, utreda, avslöja och lagföra brott i allmänhet – Tillåtet – Villkor
(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8 och 51.1; Europaparlamentets och rådets direktiv 2016/680, artikel 4.1 c)
(se punkterna 84–86, 89–93, 95–106, 109 och 110 samt punkt 1 i domslutet)
Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Information som ska göras tillgänglig för den registrerade – Rätt till ett effektivt rättsmedel inför domstol – Polisutredning om narkotikahandel – Nationell lagstiftning som medger att behöriga myndigheter försöker bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon utan att underrätta den registrerade om de skäl som ligger till grund för tillståndet till denna tvångsmedelsanvändning – Otillåtet – Skyldighet för de behöriga myndigheterna att underrätta den registrerade om dessa skäl – Räckvidd
(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 47 och 52.1; Europaparlamentets och rådets direktiv 2016/680, artiklarna 13 och 54)
(se punkterna 115–123 samt punkt 2 i domslutet)
Resumé
Med anledning av en begäran om förhandsavgörande från Landesverwaltungsgericht Tirol (Regionala förvaltningsdomstolen i Tyrolen, Österrike) preciserar EU-domstolen (stora avdelningen) under vilka förutsättningar behöriga nationella myndigheter kan ges möjlighet att bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon i syfte att förebygga, utreda, avslöja och lagföra brott i allmänhet, mot bakgrund av direktiv 2016/680 (
1
). EU-domstolen slår vidare fast att den registrerade har rätt att bli underrättad om vilka skäl som ligger till grund för tillståndet att använda detta tvångsmedel så snart en sådan upplysning inte längre riskerar att skada den verksamhet som ankommer på dessa myndigheter.
Bakgrunden till målet är följande. I samband med en narkotikakontroll den 23 februari 2021 beslagtog österrikiska tulltjänstemän ett paket som var adresserat till CG och som innehöll 85 gram cannabis. Paketet sändes för undersökning till polismyndigheten i St. Anton am Arlberg (Österrike). Den 6 mars 2021 genomförde två polismän från denna polismyndighet en husrannsakan i CG:s bostad inom ramen för en utredning avseende narkotikahandel, under vilken de hörde honom om vem som hade skickat paketet. I samband med husrannsakan begärde polismännen att få tillgång till uppkopplingsuppgifter avseende CG:s mobiltelefon. Sedan CG motsatt sig detta beslagtog polismännen telefonen.
Därefter gjorde olika polismän flera försök att låsa upp den beslagtagna mobiltelefonen. Beslaget av CG:s mobiltelefon, liksom de försök som därefter gjordes att låsa upp telefonen, skedde på de berörda polismännens eget initiativ. De vidtog således dessa åtgärder utan något tillstånd från åklagare eller domstol
Den 31 mars 2021 överklagade CG beslaget av mobiltelefonen till den hänskjutande domstolen och gjorde gällande att det saknade stöd i lag. Mobiltelefonen återlämnades till CG den 20 april 2021. CG underrättades inte omedelbart om polisens försök att låsa upp hans mobiltelefon för att undersöka den. Han fick kännedom om dessa försök först i samband med rättegången vid den hänskjutande domstolen.
Det är mot denna bakgrund som den hänskjutande domstolen har vänt sig till EU-domstolen för att få klarhet i huruvida datakommunikationsdirektivet (
2
) ska tolkas på så sätt att en möjlighet för polisen att få fullständig och okontrollerad tillgång till samtliga uppgifter som finns lagrade i en mobiltelefon utgör ett så allvarligt ingrepp i de grundläggande rättigheterna (
3
) att möjligheten att använda detta tvångsmedel måste vara begränsad till bekämpning av allvarlig brottslighet. Den hänskjutande domstolen vill även få klarhet i huruvida datakommunikationsdirektivet (
4
) utgör hinder för en nationell lagstiftning enligt vilken polisen har möjlighet att under en brottsutredning, utan tillstånd av en domstol eller en oberoende myndighet, bereda sig fullständig och okontrollerad tillgång till samtliga uppgifter som finns lagrade i en mobiltelefon. Dessutom undrar den om en sådan nationell lagstiftning är förenlig med rätten till en effektiv domstolsprövning, mot bakgrund av att den inte föreskriver någon skyldighet för en polismyndighet att underrätta ägaren till en beslagtagen mobiltelefon om åtgärder som den vidtar för att bereda sig tillgång till och undersöka elektroniskt lagrad information i denna telefon.
EU-domstolens bedömning
Inledningsvis påpekar EU-domstolen att datakommunikationsdirektivet inte är tillämpligt på ett fall som det som är aktuellt i det nationella målet, där det är fråga om att polisen har försökt att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon och att denna åtgärd har vidtagits direkt av polisen utan att någon begäran om inhämtning har framställts till en leverantör av elektroniska kommunikationstjänster.
Sedan detta klargjorts konstaterar EU-domstolen att direktiv 2016/680 är tillämpligt på ett sådant försök att bereda sig tillgång till uppgifter i en mobiltelefon och gör i detta avseende följande bedömning. Unionslagstiftaren har avsett att ge begreppet ”behandling” (
5
) en vid omfattning. Detta innebär att om polisen beslagtar en mobiltelefon och vidtar olika åtgärder med den i syfte att få fram och undersöka personuppgifter som finns lagrade i telefonen, så ska detta betraktas som att polisen påbörjar en ”behandling”, även om den av tekniska skäl inte skulle lyckas bereda sig tillgång till uppgifterna. För att principen om ändamålsbegränsning (
6
) ska få genomslag krävs nämligen att ändamålet med uppgiftsinsamlingen fastställs redan i det skede då de behöriga myndigheterna försöker bereda sig tillgång till personuppgifter, eftersom ett sådant försök, om det lyckas, bland annat kan ge myndigheterna möjlighet att omedelbart samla in, ta fram eller undersöka de aktuella uppgifterna. Målet att säkerställa en hög skyddsnivå för fysiska personers personuppgifter skulle undergrävas om ett sådant försök att bereda sig tillgång inte kunde betraktas som ”behandling” av uppgifter. En tolkning med innebörden att direktiv 2016/680 endast är tillämpligt vid ett framgångsrikt försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon skulle nämligen skapa osäkerhet för både behöriga nationella myndigheter och enskilda, vilket inte är förenligt med rättssäkerhetsprincipen.
EU-domstolen övergår därefter till att pröva huruvida principen om ”uppgiftsminimering” (
7
), vilken ger uttryck för proportionalitetsprincipen, utgör hinder för en nationell lagstiftning, enligt vilken behöriga myndigheter har möjlighet att bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon i syfte att förebygga, utreda, avslöja och lagföra brott i allmänhet och enligt vilken användning av detta tvångsmedel inte förutsätter en föregående prövning av en domstol eller en oberoende myndighet. I denna del påpekar EU-domstolen att begränsningar av de grundläggande rättigheterna avseende respekt för privatlivet och familjelivet och skydd av personuppgifter (
8
) måste vara förenliga med proportionalitetsprincipen och får endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen. I fråga om det sistnämnda kravet finner domstolen att behandling av personuppgifter inom ramen för en polisutredning av ett brott – såsom ett försök att bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon – i princip måste anses utgöra en åtgärd som faktiskt svarar mot ett mål av allmänt samhällsintresse som erkänns av unionen Den påpekar vidare att proportionalitetsbedömningen av de begränsningar av de grundläggande rättigheterna avseende respekt för privatlivet och familjelivet och skydd av personuppgifter som följer av en sådan personuppgiftsbehandling ska innefatta en avvägning av samtliga relevanta omständigheter i det enskilda fallet.
Vad först gäller frågan om en nationell lagstiftning som ger en möjlighet för polisen att utan förhandstillstånd bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon medför en allvarlig rättighetsinskränkning konstaterar EU-domstolen följande. En sådan möjlighet kan – beroende på innehållet i den aktuella mobiltelefonen och de val som polisen gör – medföra att polisen får tillgång till ett mycket brett urval av uppgifter utifrån vilka det i vissa fall skulle gå att dra mycket precisa slutsatser om den registrerades privatliv. Ett sådant ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter måste således anses vara allvarligt, eller till och med synnerligen allvarligt.
Vad sedan gäller proportionalitetsbedömningen av det allvarliga rättighetsingrepp som det innebär att polisen får tillgång till personuppgifter som finns lagrade i en mobiltelefon, anger EU-domstolen att allvaret i det brott som utredningen gäller är en av de viktigaste faktorerna vid denna bedömning. Om det endast var kampen mot allvarlig brottslighet som kunde rättfärdiga användning av detta tvångsmedel, skulle detta dock begränsa de brottsbekämpande myndigheternas utredningsbefogenheter med avseende på brott i allmänhet, vilket inte kan anses ligga i linje med den särskilda typ av verksamhet som fullgörs av dessa myndigheter, och även medföra en risk för att målet att skapa ett område med frihet, säkerhet och rättvisa i unionen inte kan uppnås. Det nu sagda påverkar dock inte det faktum att varje begränsning i utövandet av en grundläggande rättighet måste vara ”föreskriven i lag”. (
9
) En nationell lagstiftning ska, för att vara förenlig med detta krav, således innehålla bestämmelser där det på ett tillräckligt precist sätt anges vilka faktorer som ska beaktas, däribland vilken art eller vilka kategorier av brott som kan medföra användning av det aktuella tvångsmedlet.
Därutöver uttalar EU-domstolen följande. I fall där de behöriga nationella myndigheternas möjlighet att bereda sig tillgång till personuppgifter medför en risk för ett allvarligt, eller till och med synnerligen allvarligt, ingrepp i den registrerades grundläggande rättigheter måste frågan om tillstånd att använda detta tvångsmedel prövas av en domstol eller en oberoende myndighet, detta för att tillgodose kravet på proportionalitet. En sådan oberoende prövning ska ske innan ett försök görs för att bereda sig tillgång till uppgifter, utom i motiverade brådskande fall, då prövningen ska ske utan dröjsmål. Vid en sådan förhandskontroll krävs det att den domstol eller oberoende myndighet som ska pröva en ansökan om tillstånd till tvångsmedelsanvändning som omfattas av tillämpningsområdet för direktiv 2016/680 har möjlighet att avslå ansökan eller att endast bevilja en begränsad tillgång till uppgifter som finns lagrade i en mobiltelefon, om den finner att användningen av detta tvångsmedel skulle innebära ett oproportionerligt ingrepp i de grundläggande rättigheterna. Domstolen eller myndigheten ska alltid besluta om avslag eller begränsad tillgång till sådana uppgifter om den finner att det med hänsyn till det aktuella brottets allvar och den information som behövs för att utreda brottet inte finns grund för att ge tillstånd till ett tvångsmedel som innebär att polisen ges tillgång till innehållet i meddelanden eller till känsliga uppgifter.
Mot bakgrund av det ovan angivna slår EU-domstolen fast att principen om uppgiftsminimering, jämförd med rättigheterna avseende skydd av personuppgifter och respekt för privatlivet, inte utgör hinder för en nationell lagstiftning, enligt vilken behöriga myndigheter har möjlighet att bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon i syfte att förebygga, utreda, avslöja och lagföra brott i allmänhet. Detta gäller dock under förutsättning att lagstiftningen uppfyller kraven på legalitet och proportionalitet samt att den innehåller bestämmelser som anger att användningen av detta tvångsmedel kräver en förhandskontroll av en domstol eller en oberoende myndighet.
Slutligen gör EU-domstolen en prövning av frågan om CG borde ha underrättats om polisens försök att bereda sig tillgång till uppgifter som fanns i hans mobiltelefon. (
10
) Den konstaterar i detta avseende att behöriga nationella myndigheter som har fått tillstånd av en domstol eller en oberoende myndighet att bereda sig tillgång till lagrade uppgifter är skyldiga att underrätta de registrerade om de skäl som ligger till grund för tillståndet, så snart det kan ske utan men för den aktuella utredningen. Dessa myndigheter ska även se till att all information som avses i direktiv 2016/680 görs tillgänglig för de registrerade. (
11
) De registrerade behöver nämligen ha tillgång till denna information, bland annat för att kunna utöva sin rätt till ett effektivt rättsmedel. (
12
) En nationell lagstiftning som rent allmänt innebär att de registrerade inte har någon rätt att erhålla sådan information skulle således strida mot unionsrätten. Vad gäller det nu aktuella fallet konstaterar EU-domstolen att CG borde ha underrättats i förväg om polisens försök att bereda sig tillgång till uppgifterna i hans mobiltelefon. Enligt EU-domstolen kan det nämligen inte anses att det skulle ha kunnat vara till men för utredningen att underrätta CG om försöken att låsa upp hans mobiltelefon, eftersom telefonen redan hade beslagtagits när dessa försök gjordes. EU-domstolen slår därför fast att bestämmelserna i direktiv 2016/680, jämförda stadgan, (
13
) utgör hinder för en nationell lagstiftning som medger att behöriga myndigheter försöker bereda sig tillgång till uppgifter som finns lagrade i en mobiltelefon utan att underrätta den registrerade om de skäl som ligger till grund för beslutet från en domstol eller en oberoende myndighet att ge tillstånd att bereda sig tillgång till dessa uppgifter, så snart denna upplysning inte längre kan anses vara till men för den verksamhet som ankommer på dessa myndigheter.
(
1
)	Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89, och rättelse i EUT L 127, 2018, s. 16).
(
2
)	Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 (EUT L 337, 2009, s. 11) (nedan kallat datakommunikationsdirektivet). Frågan rör närmare bestämt tolkningen av artikel 15.1 detta direktiv.
(
3
)	Närmare bestämt de rättigheter som slås fast i artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
(
4
)	Även denna fråga rör tolkningen av artikel 15.1 i datakommunikationsdirektivet.
(
5
)	Med ”behandling” avses enligt artikel 3 led 2 i direktiv 2016/680 ”[varje] åtgärd eller [varje] kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej …”.
(
6
)	Denna princip kommer till uttryck i artikel 4.1 b i direktiv 2016/680.
(
7
)	Denna princip kommer till uttryck i artikel 4.1 c i direktiv 2016/680, där det anges att medlemsstaterna ska föreskriva att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.
(
8
)	Dessa rättigheter slås fast i artiklarna 7 och 8 i stadgan.
(
9
)	Detta är ett krav som följer av artikel 52.1 i stadgan.
(
10
)	Detta för att ge honom möjlighet att utöva sin rätt till ett effektivt rättsmedel enligt artikel 47 i stadgan.
(
11
)	Det rör sig närmare bestämt om den information som avses i artikel 13.1 i direktiv 2016/680.
(
12
)	En sådan rätt följer av artikel 54 i direktiv 2016/680.
(
13
)	Det rör sig närmare bestämt om artiklarna 13 och 54 i direktiv 2016/680, jämförda med artiklarna 47 och 52.1 i stadgan.