62021CJ0548_RES
Kohtuasi C‑548/21
CG
versus
Bezirkshauptmannschaft Landeck
(eelotsusetaotlus, mille on esitanud Landesverwaltungsgericht Tirol)
Euroopa Kohtu (suurkoda) 4. oktoobri 2024. aasta otsus
Eelotsusetaotlus – Füüsiliste isikute kaitse seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise eesmärgil – Direktiiv (EL) 2016/680 – Artikli 3 punkt 2 – Mõiste „töötlemine“ – Artikkel 4 – Isikuandmete töötlemise põhimõtted – Artikli 4 lõike 1 punkt c – Võimalikult väheste andmete kogumise põhimõte – Euroopa Liidu põhiõiguste harta artiklid 7, 8 ja 47 ning artikli 52 lõige 1 – Nõue, mille kohaselt põhiõiguse teostamise piirang peab olema ette nähtud „seadusega“ – Proportsionaalsus – Proportsionaalsuse hindamine kõiki asjakohaseid tegureid arvestades – Kohtu või sõltumatu haldusasutuse eelnev kontroll – Artikkel 13 – Andmesubjektile kättesaadavaks tehtav või antav teave – Piirid – Artikkel 54 – Õigus tõhusale õiguskaitsevahendile vastutava töötleja või volitatud töötleja vastu – Politseiuurimine uimastikaubanduse valdkonnas – Politsei katse avada mobiiltelefoni lukustust, et pääseda selle uurimise eesmärgil juurde telefonis sisalduvatele andmetele
Õigusaktide ühtlustamine – Telekommunikatsiooni sektor – Isikuandmete töötlemine ja eraelu kaitse elektroonilise side sektoris – Direktiiv 2002/58 – Kohaldamisala – Politsei katse pääseda kriminaaluurimise eesmärgil juurde mobiiltelefonis sisalduvatele isikuandmetele – Elektroonilise side teenuste osutajate sekkumise puudumine – Väljajätmine
(Euroopa Parlamendi ja nõukogu direktiiv 2002/58, muudetud direktiiviga 2009/136, artikli 1 lõiked 1 ja 3 ning artikkel 3)
(vt punktid 57–59)
Füüsiliste isikute kaitse isikuandmete töötlemisel kriminaalasjades – Direktiiv 2016/680 – Kohaldamisala – Politsei katse pääseda kriminaaluurimise eesmärgil juurde mobiiltelefonis sisalduvatele isikuandmetele – Hõlmamine
(Euroopa Parlamendi ja nõukogu direktiiv 2016/680, artikli 2 lõige 1 ja artikli 3 punkt 2)
(vt punktid 71–77)
Füüsiliste isikute kaitse isikuandmete töötlemisel kriminaalasjades – Direktiiv 2016/680 – Isikuandmete töötlemise põhimõtted – Võimalikult väheste andmete kogumise põhimõte ja proportsionaalsuse põhimõte – Politseiuurimine uimastikaubanduse valdkonnas – Riigisisesed õigusnormid, mis annavad pädevatele asutustele võimaluse pääseda juurde mobiiltelefonis sisalduvatele andmetele üldiselt süütegude tõkestamiseks, uurimiseks, avastamiseks ja nende eest vastutusele võtmiseks – Lubatavus – Tingimused
(Euroopa Liidu põhiõiguste harta, artiklid 7, 8 ja artikli 52 lõige 1; Euroopa Parlamendi ja nõukogu direktiiv 2016/680, artikli 4 lõike 1 punkt c)
(vt punktid 84–86, 89–93, 95–106, 109 ja 110 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel kriminaalasjades – Direktiiv 2016/680 – Teave andmesubjektile – Õigus tõhusale kohtulikule kaitsele – Politseiuurimine uimastikaubanduse valdkonnas – Riigisisesed õigusnormid, mis lubavad pädevatel asutustel proovida juurde pääseda mobiiltelefonis sisalduvatele andmetele andmesubjekti sellise loa põhjustest teavitamata – Lubamatus – Pädevate asutuste kohustus teavitada andmesubjekti neist põhjustest – Ulatus
(Euroopa Liidu põhiõiguste harta artikkel 47 ja artikli 52 lõige 1; Euroopa Parlamendi ja nõukogu direktiiv 2016/680, artiklid 13 ja 54)
(vt punktid 115–123 ja resolutsiooni punkt 2)
Kokkuvõte
Landesverwaltungsgericht Tirol (Tirooli liidumaa halduskohus, Austria) pöördus Euroopa Kohtusse eelotsusetaotlusega, mida lahendades täpsustas Euroopa Kohtu suurkoda ühelt poolt tingimusi, mille täidetuse korral võivad pädevad riigisisesed asutused pääseda juurde mobiiltelefonis sisalduvatele andmetele üldiselt süütegude tõkestamiseks, uurimiseks, avastamiseks ja nende eest vastutusele võtmiseks, võttes arvesse direktiivi 2016/680 (
1
). Teiselt poolt tunnustas ta andmesubjekti õigust sellele, et teda teavitatakse põhjustest, millel põhineb nendele andmetele juurdepääsu luba, kohe, kui selle teabe esitamine ei saa enam seada ohtu nendel asutustel lasuvate ülesannete täitmist.
Narkootiliste ainete kontrolli käigus 23. veebruaril 2021 arestisid Austria tolliametnikud CG‑le saadetud paki, mis sisaldas 85 grammi kanepit. Pakk saadeti kontrolliks Austria politseile. Uimastikaubanduse valdkonna politseiuurimise käigus korraldasid kaks politseiametnikku 6. märtsil 2021 CG elukohas läbiotsimise ja küsitlesid teda nimetatud postipaki saatja kohta. Kuna CG keeldus võimaldamast politseiametnikele juurdepääsu oma mobiiltelefoni ühendusandmete, siis arestisid viimased telefoni.
Seejärel üritasid eri politseiametnikud CG mobiiltelefoni lukustust mitu korda avada. Politseiametnikud arestisid käesolevas asjas telefoni ning püüdsid hiljem seda kasutada, ilma et prokuratuur või kohtunik oleks neile selleks luba andnud.
CG esitas 31. märtsil 2021 eelotsusetaotluse esitanud kohtule kaebuse, et vaidlustada talle 20. aprillil 2021 tagastatud mobiiltelefoni arestimise õiguspärasus. CGd ei teavitatud kohe katsetest kasutada tema mobiiltelefoni ja ta sai neist teada eelotsusetaotluse esitanud kohtus pooleliolevas menetluses.
Selles kontekstis soovis eelotsusetaotluse esitanud kohus teada, kas arvestades eraelu puutumatust ja elektroonilist sidet käsitlevat direktiivi (
2
), kujutab täielik ja kontrollimatu võimalus pääseda juurde kõigile mobiiltelefonis sisalduvatele andmetele endast niivõrd tõsist sekkumist põhiõigustesse (
3
), et see võimalus peab piirduma võitlusega raskete süütegude vastu. Ta soovis samuti teada ühelt poolt, kas selle direktiiviga (
4
) on vastuolus riigisisesed õigusnormid, mille kohaselt on kriminaalpolitseil ilma kohtuniku või sõltumatu haldusasutuse loata kriminaaluurimise käigus täielik ja kontrollimatu võimalus pääseda juurde kõigile mobiiltelefonis sisalduvatele andmetele, ja teiselt poolt, kas need riigisisesed õigusnormid on kooskõlas õigusega tõhusale kohtulikule kaitsele, arvestades seda, et need ei näe politseile ette kohustust teavitada mobiiltelefoni omanikku selle telefoni digitaalse kasutamise meetmetest.
Euroopa Kohtu hinnang
Sissejuhatuseks märkis Euroopa Kohus, et eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi kohaldamisalasse ei kuulu – CG juhtumil toimunuga sarnane – politsei katse pääseda otse juurde mobiiltelefonis sisalduvatele isikuandmetele, ilma et oleks kuidagi sekkunud elektroonilise side teenuste osutaja.
Esimesena tuvastas Euroopa Kohus, et selline juurdepääsu katse kuulub direktiivi 2016/680 kohaldamisalasse. Ta täpsustas sellega seoses, et arvestades laia ulatust, mille Euroopa Liidu seadusandja soovis anda mõistele „töötlemine“ (
5
) juhul, kui politsei arestib telefoni ja käsitseb seda selles telefonis sisalduvate isikuandmete hulgast päringute tegemiseks ja nende lugemiseks, alustab politsei „töötlemist“, isegi kui tal ei ole tehnilistel põhjustel võimalik nendele andmetele juurde pääseda. Eesmärgi piirangu põhimõtte (
6
) tõhusus nõuab nimelt tingimata, et andmete kogumise eesmärk määrataks kindlaks alates etapist, kus pädevad asutused püüavad pääseda juurde isikuandmetele, kuna selline katse, kui see osutub edukaks, võimaldab neil eeskätt kõnealuseid andmeid vahetult koguda, nende kohta päringuid teha või neid lugeda. Kui sellist katset ei saaks kvalifitseerida andmete „töötlemiseks“, seaks see kahtluse alla füüsiliste isikute isikuandmete kõrgetasemelise kaitse. Samamoodi tekitaks see, kui direktiivi 2016/680 kohaldatavus sõltuks mobiiltelefonis sisalduvatele isikuandmetele juurdepääsu katse edust, nii pädevate riigisiseste asutuste kui ka õigussubjektide jaoks ebakindluse, mis on selle õiguskindluse põhimõttega vastuolus.
Teisena analüüsis Euroopa Kohus, kas võimalikult väheste andmete kogumise põhimõttega (
7
), milles väljendub proportsionaalsuse põhimõte, on vastuolus riigisisesed õigusnormid, mis annavad pädevatele asutustele võimaluse pääseda juurde mobiiltelefonis sisalduvatele andmetele üldiselt süütegude tõkestamiseks, uurimiseks, avastamiseks ja nende eest vastutusele võtmiseks, seadmata selle võimaluse kasutamist sõltuvusse kohtuniku või sõltumatu haldusasutuse eelnevast kontrollist. Euroopa Kohus tuletas nii meelde, et era- ja perekonnaelu valdkonna põhiõiguste piirangud (
8
) peavad vastama proportsionaalsuse põhimõttele ning neid saab seada vaid siis, kui need on vajalikud ning vastavad tegelikult liidu tunnustatud üldist huvi pakkuvatele eesmärkidele. Seda puudutavas tuvastas Euroopa Kohus ühelt poolt, et sellist isikuandmete töötlemist süüteo eest karistamise eesmärgil läbiviidavas politseiuurimises nagu katse pääseda juurde mobiiltelefonis sisalduvatele andmetele tuleb põhimõtteliselt pidada liidu poolt tunnustatud üldist huvi pakkuvale eesmärgile tegelikult vastavaks. Teiselt poolt märkis Euroopa Kohus, et sellisest töötlemisest tulenevate eraelu puutumatuse ja isikuandmete kaitse valdkonna põhiõiguste teostamise piirangute proportsionaalsus eeldab kõigi konkreetse juhtumi asjasse puutuvate asjaolude kaalumist.
Mis puudutab esiteks sellise põhiõiguste piirangu raskust, mis tuleneb niisugustest õigusnormidest, mis võimaldavad pädevatel politseiasutustel pääseda ilma eelneva loata juurde mobiiltelefonis sisalduvatele andmetele, siis täpsustas Euroopa Kohus, et selline juurdepääs võib olenevalt mobiiltelefoni sisust ja politseiasutuste valikutest puudutada väga laia andmete valikut ning võib seega võimaldada teha väga täpseid järeldusi andmesubjekti eraelu kohta. Seega tuleb niisugust eraelu puutumatuse ja isikuandmete kaitse valdkonna põhiõiguste riivet pidada raskeks või suisa erakordselt raskeks riiveks.
Teiseks märkis Euroopa Kohus, et uurimise esemeks oleva süüteo raskus on üks peamisi näitajaid selle tõsise riive proportsionaalsuse analüüsimisel, mis seisneb juurdepääsus mobiiltelefonis sisalduvatele isikuandmetele. Kui aga asuda seisukohale, et vaid raske kuritegevusega võitlemine saab õigustada juurdepääsu sellistele andmetele, piiraks see pädevate asutuste uurimispädevust seoses süütegudega üldiselt, eiraks nende asutuste poolt täidetavate ülesannete eripära ning kahjustaks eesmärki luua liidus vabadusel, turvalisusel ja õigusel rajanev ala. Seda arvestades peab liikmesriigi seadusandja selleks, et oleks täidetud nõue, mille kohaselt põhiõiguse teostamise piirang peab olema ette nähtud „seadusega“ (
9
), määratlema piisavalt täpselt elemendid, mida tuleb arvesse võtta, eelkõige asjaomaste süütegude laad või kategooria.
Kolmandaks märkis Euroopa Kohus, et proportsionaalsuse põhimõtte järgimise tagamiseks peab olukorras, kus liikmesriigi pädevate asutuste õigusega pääseda juurde isikuandmetele kaasneb oht, et andmesubjekti põhiõigusi riivatakse raskelt või isegi erakordselt raskelt, see juurdepääsu õigus sõltuma kohtu või sõltumatu haldusasutuse eelnevast kontrollist. Selline kontroll peab toimuma enne mis tahes katset pääseda juurde asjaomastele andmetele, välja arvatud nõuetekohaselt õigustatud kiireloomulisuse korral, millisel juhul peab see kontroll toimuma võimalikult kiiresti. Selle kontrolli raames peab kohtul või sõltumatul haldusasutusel olema õigus keelduda direktiivi 2016/680 kohaldamisalasse kuuluva juurdepääsu lubamisest või seda piirata, kui ta tuvastab, et põhiõiguste riive, mida see juurdepääs endast kujutab, oleks ebaproportsionaalne. Pädevatele politseiasutustele mobiiltelefonis sisalduvatele andmetele juurdepääsu lubamisest tuleb keelduda või seda tuleb piirata siis, kui süüteo raskust ja uurimise vajadusi arvesse võttes ei ole juurdepääs side sisule või tundlikele andmetele õigustatud.
Eeltoodust tulenevalt tegi Euroopa Kohus järelduse, et võimalikult väheste andmete kogumise põhimõttega ei ole – arvestades õigust isikuandmete kaitsele ja õigust eraelu puutumatusele – vastuolus riigisisesed õigusnormid, mis annavad pädevatele asutustele võimaluse pääseda juurde mobiiltelefonis sisalduvatele andmetele üldiselt süütegude tõkestamiseks, uurimiseks, avastamiseks ja nende eest vastutusele võtmiseks. Selle tingimuseks on siiski seaduslikkuse ja proportsionaalsuse põhimõtete järgimine ning sellistele andmetele juurdepääsu õiguse teostamise eelnev kontroll kohtu või sõltumatu haldusasutuse poolt.
Kolmandana vastas Euroopa Kohus küsimusele, kas CGd oleks tulnud teavitada tema mobiiltelefonis sisalduvatele andmetele juurdepääsu katsetest (
10
). Ta märkis sellega seoses, et liikmesriigi pädevad asutused, kellele kohtunik või sõltumatu haldusasutus on andnud loa pääseda juurde säilitatavatele andmetele, peavad teavitama andmesubjekte põhjustest, millel see luba põhineb, kohe, kui selle teabe andmine ei saa enam seada ohtu nende asutuste läbiviidavat uurimist. Need asutused peavad andmesubjektidele edastama kogu direktiivis 2016/680 ette nähtud teabe (
11
), et viimased saaksid teostada eeskätt oma õigust tõhusale õiguskaitsevahendile (
12
). Nii ei ole liidu õigusega kooskõlas riigisisesed õigusnormid, mis välistavad üldiselt igasuguse õiguse sellist teavet saada. Euroopa Kohus tuvastas käesoleval juhul, et CGd oleks tulnud eelnevalt teavitada tema mobiiltelefonis sisalduvatele andmetele juurdepääsu katsetest. Kuna CG mobiiltelefon oli juba arestitud siis, kui politsei püüdis selle lukustust avada, ei olnud tema teavitamine nendest juurdepääsu katsetest midagi sellist, mis oleks võinud uurimist kahjustada. Sellest tulenevalt tegi Euroopa Kohus järelduse, et direktiivi 2016/680 sätetega on hartat (
13
) arvestades vastuolus riigisisesed õigusnormid, mis võimaldavad pädevatel asutustel pääseda juurde mobiiltelefonis sisalduvatele andmetele, ilma et nad teavitaks andmesubjekti põhjustest, millel põhineb nendele andmetele juurdepääsu luba, mille on väljastanud kohtunik või sõltumatu haldusasutus, kohe, kui selle teabe esitamine ei saa enam seada ohtu nendel asutustel lasuvate ülesannete täitmist.
(
1
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT 2016, L 119, lk 89).
(
2
)	Täpsemalt Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT 2002, L 201, lk 37; ELT eriväljaanne 13/29, lk 514), mida on muudetud Euroopa Parlamendi ja nõukogu 25. novembri 2009. aasta direktiiviga 2009/136/EÜ (ELT 2009, L 337, lk 11) (edaspidi „eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv“), artikli 15 lõige 1.
(
3
)	Mis on ette nähtud Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artiklites 7 ja 8.
(
4
)	Täpsemalt eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi artikli 15 lõikega 1.
(
5
)	Direktiivi 2016/680 artikli 3 punktis 2 on mõiste „isikuandmete töötlemine“ määratletud nii, et see hõlmab „isikuandmete või nende kogumitega tehtav[at] automatiseeritud või automatiseerimata toiming[ut] või toimingute kogum[it]“.
(
6
)	Direktiivi 2016/680 artikli 4 lõike 1 punkt b.
(
7
)	Nagu see on ette nähtud direktiivi 2016/680 artikli 4 lõike 1 punktis c, mille kohaselt liikmesriigid peavad ette nägema, et isikuandmed oleks piisavad ja asjakohased ega oleks liiased nende töötlemise eesmärkide suhtes.
(
8
)	Harta artiklid 7 ja 8.
(
9
)	Harta artikli 52 lõige 1.
(
10
)	Harta artikkel 47.
(
11
)	Millele on viidatud direktiivi 2016/680 artikli 13 lõikes 1.
(
12
)	Direktiivi 2016/680 artikkel 54.
(
13
)	Täpsemalt direktiivi 2016/680 artiklid 13 ja 54, arvestades harta artiklit 47 ja artikli 52 lõiget 1.