62021CC0470(01)
JULKISASIAMIEHEN RATKAISUEHDOTUS
MACIEJ SZPUNAR
28 päivänä syyskuuta 2023 (
1
)
Asia C‑470/21
La Quadrature du Net,
Fédération des fournisseurs d’accès à Internet associatifs,
Franciliens.net ja
French Data Network
vastaan
Premier ministre ja
Ministère de la Culture
(Ennakkoratkaisupyyntö – Conseil d’État (ylin hallintotuomioistuin, Ranska))
Ennakkoratkaisupyyntö – Henkilötietojen käsittely ja yksityisyyden suoja sähköisen viestinnän alalla – Direktiivi 2002/58/EY – 15 artiklan 1 kohta – Jäsenvaltioiden mahdollisuus rajoittaa tiettyjen oikeuksien ja velvollisuuksien soveltamisalaa – Tuomioistuimen tai riippumattoman hallinnollisen elimen, jolla on velvoittava toimivalta, etukäteisvalvontaa koskeva velvollisuus – IP‑osoitetta vastaavat henkilöllisyyttä koskevat tiedot
I Johdanto
1.
Unionin tuomioistuin päätti 7.3.2023 suuren jaoston unionin tuomioistuimen työjärjestyksen 60 artiklan 3 kohdan nojalla esittämästä pyynnöstä antaa nyt käsiteltävän asian täysistunnon ratkaistavaksi.
2.
Unionin tuomioistuin (täysistunto) päätti 23.3.2023 antamallaan määräyksellä aloittaa asian käsittelyn suullisen vaiheen uudelleen ja kutsui Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitetut osapuolet, Euroopan tietosuojavaltuutetun (EDPS) ja Euroopan unionin kyberturvallisuusviraston (ENISA) uuteen istuntoon.
3.
Esitin ensimmäisen ratkaisuehdotukseni tässä asiassa 27.10.2022 ennen asian käsittelyn suullisen vaiheen päättämistä. Tämä uusi ratkaisuehdotus tarjoaa näin ollen minulle tilaisuuden syventää perustelujani joiltakin osin tässä asiassa, joka liittyy henkilötietojen säilyttämistä ja saantia koskeviin keskeisiin kysymyksiin.
II Asiaa koskevat oikeussäännöt
A
Unionin oikeus
4.
Direktiivin 2002/58/EY (
2
) 2, 6, 7, 11, 22, 26 ja 30 perustelukappaleessa todetaan seuraavaa:
”(2)
Tässä direktiivissä pyritään kunnioittamaan perusoikeuksia ja siinä noudatetaan erityisesti Euroopan unionin perusoikeuskirjassa [(jäljempänä perusoikeuskirja)] tunnustettuja periaatteita. Tässä direktiivissä pyritään erityisesti varmistamaan mainitun perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen oikeuksien täysimääräinen kunnioittaminen.
– –
(6)
Internet mullistaa markkinoiden perinteisiä rakenteita tarjoamalla käyttöön yhteisen ja maailmanlaajuisen infrastruktuurin, jossa voidaan jakaa laajaa valikoimaa sähköisiä viestintäpalveluja. Internetissä yleisesti saatavilla olevat sähköiset viestintäpalvelut avaavat käyttäjille uusia mahdollisuuksia, mutta aiheuttavat samalla heidän henkilötietoihinsa ja yksityisyyteensä liittyviä uusia riskejä.
(7)
Yleisten viestintäverkkojen osalta olisi annettava erityiset lait, asetukset ja tekniset määräykset, jotta luonnollisten henkilöiden perusoikeudet ja ‑vapaudet sekä oikeushenkilöiden oikeutetut edut voidaan suojata ottaen erityisesti huomioon tilaajia ja käyttäjiä koskevien tietojen automaattisen tallennus‑ ja käsittelykapasiteetin lisääntyminen.
– –
(11)
Tämä direktiivi, samoin kuin direktiivi [95/46/EY (
3
)], ei koske perusoikeuksien ja ‑vapauksien turvaamista sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan. Tästä syystä se ei vaikuta tasapainoon, joka tällä hetkellä vallitsee yksittäisten henkilöiden yksityisyyden suojan ja niiden tämän direktiivin 15 artiklan 1 kohdassa tarkoitettujen toimenpiteiden välillä, joita jäsenvaltiot voivat toteuttaa yleisen turvallisuuden, maanpuolustuksen tai valtion turvallisuuden (valtion taloudellinen hyvinvointi mukaan lukien, kun toimet liittyvät valtion turvallisuuteen) suojelemiseksi sekä rikosoikeuden täytäntöönpanemiseksi. Näin ollen tämä direktiivi ei vaikuta jäsenvaltioiden mahdollisuuteen harjoittaa sähköisen viestinnän laillista telekuuntelua tai toteuttaa muita toimenpiteitä, jos ne ovat välttämättömiä edellä mainittuja tarkoituksia varten ja jos noudatetaan [Roomassa 4.11.1950 allekirjoitettua] ihmisoikeuksien ja perusvapauksien suojaamiseksi tehtyä eurooppalaista yleissopimusta sellaisena kuin sitä on Euroopan ihmisoikeustuomioistuimen päätöksissä tulkittu. Näiden toimenpiteiden on oltava asianmukaisia, niiden on ehdottomasti oltava oikeassa suhteessa niiden tarkoitukseen nähden sekä välttämättömiä demokraattisessa yhteiskunnassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn eurooppalaisen yleissopimuksen mukaisia asianmukaisia suojamääräyksiä olisi sovellettava niihin.
– –
(22)
Muiden kuin käyttäjien toimesta tai ilman käyttäjän suostumusta tapahtuvan viestinnän ja siihen liittyvien liikennetietojen tallentamisen kiellolla ei ole tarkoitus kieltää näiden tietojen automaatti‑, väli‑ tai väliaikaistallennusta, jos sen ainoana tarkoituksena on välittää viestintää sähköisessä viestintäverkossa, edellyttäen, että tietoja ei tallenneta pidempään kuin on tarpeen niiden välittämistä ja liikenteen hallintaa varten ja että niiden luottamuksellisuus voidaan taata myös niiden ollessa tallennettuina. – –
– –
(26)
Tilaajiin liittyvät tiedot, joita käsitellään sähköisissä viestintäverkoissa liittymien luomiseksi ja tietojen välittämiseksi, sisältävät tietoja luonnollisten henkilöiden yksityiselämästä ja koskevat heidän oikeuttaan viestintänsä suojaan tai oikeushenkilöiden oikeutettuja etuja. Tällaista tietoa voidaan tallentaa vain siinä määrin kuin se on palvelun tarjoamisen kannalta välttämätöntä laskutuksen tai yhteenliittämismaksujen vuoksi ja vain rajoitetun ajan. Kaikki muu tällaisen tiedon jatkokäsittely – – sallitaan ainoastaan, jos tilaaja on tähän suostunut yleisesti saatavilla olevan sähköisen viestintäpalvelun tarjoajan hänelle antamien täsmällisten ja täydellisten tietojen perusteella, jotka koskevat näitä suunniteltuja jatkokäsittelymuotoja ja tilaajan oikeutta olla antamatta suostumustaan tai peruuttaa suostumuksensa tällaiseen käsittelyyn. – –
– –
(30)
Sähköisiä viestintäverkkoja ja ‑palveluita tarjoavat järjestelmät olisi suunniteltava niin, että tarvittavien henkilötietojen määrä rajoitetaan mahdollisimman pieneksi. – –”
5.
Kyseisen direktiivin 2 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:
”– –
Lisäksi tässä direktiivissä tarkoitetaan
a)
’käyttäjällä’ luonnollisia henkilöitä, jotka käyttävät yleisesti saatavilla olevaa sähköistä viestintäpalvelua yksityis‑ tai liikeasioihin olematta välttämättä tämän palvelun tilaajia;
b)
’liikennetiedoilla’ tietoja, joita käsitellään sähköisessä viestintäverkossa välitettävää viestintää tai sen laskutusta varten;
c)
’paikkatiedoilla’ sähköisessä viestintäverkossa tai sähköisen viestintäpalvelun avulla käsiteltäviä tietoja, jotka ilmaisevat yleisesti saatavilla olevan sähköisen viestintäpalvelun käyttäjän päätelaitteen maantieteellisen sijainnin;
d)
’viestinnällä’ tietoa, jota vaihdetaan tai jota siirretään tiettyjen osapuolten kesken yleisesti saatavilla olevan sähköisen viestintäpalvelun avulla. Määritelmään ei sisälly tieto, joka välitetään yleisradiotoiminnan yhteydessä yleisölle sähköisessä viestintäverkossa, paitsi siltä osin kuin tieto voidaan yhdistää tietoa vastaanottavaan tunnistettavissa olevaan tilaajaan tai käyttäjään;
– –”
6.
Kyseisen direktiivin 3 artiklassa, jonka otsikko on ”Palvelut”, säädetään seuraavaa:
”Tätä direktiiviä sovelletaan henkilötietojen käsittelyyn, joka liittyy yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamiseen yleisissä viestintäverkoissa yhteisössä, mukaan luettuina tiedonkeruu‑ ja tunnistuslaitteita tukevat yleiset viestintäverkot.”
7.
Saman direktiivin 5 artiklassa, jonka otsikko on ”Viestinnän luottamuksellisuus”, säädetään seuraavaa:
”1.   Jäsenvaltioiden on kansallisella lainsäädännöllä varmistettava yleisen viestintäverkon ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen välityksellä tapahtuvan viestinnän ja siihen liittyvien liikennetietojen luottamuksellisuus. Niiden on erityisesti kiellettävä se, että muut henkilöt kuin käyttäjät ilman kyseisten käyttäjien nimenomaista suostumusta kuuntelevat, salakuuntelevat, tallentavat tai muulla tavalla sieppaavat tai valvovat viestintää ja siihen liittyviä liikennetietoja, jollei se ole laillisesti sallittua 15 artiklan 1 kohdan mukaisesti. Mitä tässä kohdassa säädetään, ei estä teknistä tallentamista, joka on tarpeen viestinnän välittämiselle, tämän rajoittamatta luottamuksellisuuden periaatteen soveltamista.
– –
3.   Jäsenvaltioiden on varmistettava, että tietojen tallentaminen tai tilaajan tai käyttäjän päätelaitteelle tallennettujen tietojen käyttäminen sallitaan ainoastaan sillä edellytyksellä, että kyseinen tilaaja tai käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot muun muassa käsittelyn tarkoituksesta direktiivin [95/46] mukaisesti. Tämä ei estä teknistä tallentamista tai käyttöä, jonka ainoana tarkoituksena on toteuttaa viestinnän välittäminen sähköisissä viestintäverkoissa tai joka on ehdottoman välttämätöntä tietoyhteiskuntapalvelun tarjoajalle sellaisen palvelun tarjoamiseksi, jota tilaaja tai käyttäjä on erityisesti pyytänyt.”
8.
Direktiivin 2002/58 6 artiklassa, jonka otsikko on ”Liikennetiedot”, säädetään seuraavaa:
”1.   Tilaajia ja käyttäjiä koskevat liikennetiedot, jotka yleisen viestintäverkon tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoaja käsittelee ja tallentaa, on poistettava tai tehtävä nimettömiksi, kun niitä ei enää tarvita viestinnän välittämiseen, sanotun kuitenkaan rajoittamatta tämän artiklan 2, 3 ja 5 kohdan sekä 15 artiklan 1 kohdan soveltamista.
2.   Tilaajalaskutusta ja yhteenliittämismaksuja varten tarvittavia liikennetietoja voidaan käsitellä. Tällainen käsittely on sallittua ainoastaan sen ajanjakson loppuun asti, jona lasku voidaan laillisesti riitauttaa tai maksu periä.
– –”
9.
Kyseisen direktiivin 15 artiklan, jonka otsikko on ”Direktiivin [95/46] tiettyjen säännösten soveltaminen”, 1 kohdassa säädetään seuraavaa:
”Jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla rajoitetaan tämän direktiivin 5 artiklassa, 6 artiklassa, 8 artiklan 1, 2, 3 ja 4 kohdassa sekä 9 artiklassa säädettyjen oikeuksien ja velvollisuuksien soveltamisalaa, jos tällaiset rajoitukset ovat välttämättömiä, asianmukaisia ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä kansallisen turvallisuuden (valtion turvallisuus) sekä puolustuksen, yleisen turvallisuuden tai rikosten tai sähköisen viestintäjärjestelmän luvattoman käytön torjunnan, tutkinnan, selvittämisen ja syyteharkinnan varmistamiseksi direktiivin [95/46] 13 artiklan 1 kohdan mukaisesti. Tätä varten jäsenvaltiot voivat muun muassa hyväksyä lainsäädännöllisiä toimenpiteitä, joissa säädetään tietojen säilyttämisestä sellaiseksi rajoitetuksi ajaksi, joka on perusteltua tässä kohdassa säädetyistä syistä. Kaikkien tässä kohdassa tarkoitettujen toimenpiteiden on oltava yhteisön oikeuden yleisten periaatteiden mukaisia, mukaan lukien [SEU] 6 artiklan 1 ja 2 kohdassa tarkoitetut periaatteet.”
B
Ranskan oikeus
1. Immateriaalioikeuskoodeksi
10.
Teollis- ja tekijänoikeuskoodeksin (code de la propriété intellectuelle), sellaisena kuin sitä sovelletaan pääasiaan (jäljempänä CPI), L. 331‑12 §:ssä säädetään seuraavaa:
”Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet [(Internetissä tapahtuvasta teosten jakelusta ja oikeuksien suojaamisesta vastaava korkea viranomainen, Ranska; jäljempänä Hadopi)] on riippumaton viranomainen.”
11.
CPI:n L. 331‑13 §:ssä säädetään seuraavaa:
”[Hadopi] hoitaa seuraavia tehtäviä:
– –
2. [Sähköisissä viestintäverkoissa tekijänoikeudella tai lähioikeuksilla suojattujen teosten ja aineistojen] suojaaminen yleisölle tarkoitettujen verkkoviestintäpalvelujen tarjontaan käytettävissä sähköisissä viestintäverkoissa tapahtuvilta oikeudenloukkauksilta; – –”
12.
CPI:n L. 331‑15 §:ssä säädetään seuraavaa:
”[Hadopi] muodostuu viranomaiskollegiosta ja oikeuksien suojaamisesta vastaavasta lautakunnasta. – –
– –
Toimivaltuuksiaan käyttäessään viranomaiskollegion ja oikeuksien suojaamisesta vastaavan lautakunnan jäsenet eivät saa ottaa ohjeita miltään muulta viranomaiselta.”
13.
Mainitun koodeksin L. 331‑17 §:ssä säädetään seuraavaa:
”Oikeuksien suojaamisesta vastaavan lautakunnan tehtävänä on toteuttaa L. 331‑25 §:ssä tarkoitetut toimenpiteet.”
14.
Saman koodeksin L. 331‑21 §:n sanamuoto on seuraava:
”[Hadopilla] on oikeuksien suojaamisesta vastaavan lautakunnan toimivaltuuksien käyttämistä varten valantehneitä julkisoikeudellisessa palvelussuhteessa olevia työtekijöitä, jotka [Hadopin] puheenjohtaja on valtuuttanut Conseil d’État’n [(ylin hallintotuomioistuin, Ranska)] kuulemisen jälkeen annetussa asetuksessa vahvistetuilla edellytyksillä. – –
Oikeuksien suojaamisesta vastaavassa lautakunnassa L. 331‑24 §:ssä säädetyillä edellytyksillä vireille pannut asiat toimitetaan kyseisen lautakunnan jäsenille ja ensimmäisessä momentissa mainituille työntekijöille. He suorittavat tosiseikkojen tutkinnan.
He voivat saada menettelyn tarpeita varten kaikki asiakirjat riippumatta siitä, missä muodossa ne ovat, mukaan lukien sähköisen viestinnän operaattorien postista ja sähköisestä viestinnästä annetun koodeksin [(code des postes et des communications électroniques)] L. 34‑1 §:n mukaisesti säilyttämät ja käsittelemät tiedot ja luottamuksesta digitaalisessa taloudessa 21.6.2004 annetun lain nro 2004‑575 [(loi no 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique)] 6 §:n 1 momentin 1 ja 2 kohdassa mainittujen palveluntarjoajien säilyttämät ja käsittelemät tiedot.
He voivat myös saada jäljennöksen edellisessä momentissa mainituista asiakirjoista.
He voivat muun muassa saada sähköisen viestinnän toimijoilta sellaisen tilaajan nimen, postiosoitteen, sähköpostiosoitteen ja puhelinyhteystiedot, jonka yhteyttä yleisölle tarkoitettuihin verkkoviestintäpalveluihin on käytetty kappaleen valmistamiseen suojatuista teoksista tai aineistoista, niiden esittämiseen, saattamiseen yleisön saataville tai yleisölle välittämiseen ilman – – oikeuksien haltijoiden lupaa, jos lupa vaaditaan.”
15.
CPI:n L. 331‑24 §:ssä säädetään seuraavaa:
”Oikeuksien suojaamisesta vastaava lautakunta toimii
–
lainmukaisesti perustettujen alan edunvalvonnasta vastaavien elinten,
–
yhteishallinnointiorganisaatioiden ja
–
Centre national du cinéma et de l’image animéen [(kansallinen elokuva‑ ja animaatiokuvakeskus, Ranska)]
nimeämien – – valantehneiden ja valtuutettujen työntekijöiden kyseisessä lautakunnassa vireille panemissa asioissa. Oikeuksien suojaamisesta vastaava lautakunta voi toimia asiassa myös syyttäjän [(procureur de la République)] sille toimittamien tietojen perusteella.
Lautakunnan käsiteltäväksi ei voida saattaa asiaa, joka koskee yli kuuden kuukauden takaisia tekoja.”
16.
CPI:n L. 331‑25 § koskee menettelyä, josta käytetään nimitystä ”porrastettu reagointi” (”réponse graduée”), ja siinä säädetään seuraavaa:
”Kun oikeuksien suojaamisesta vastaavan lautakunnan käsiteltäväksi saatetaan teko, joka voi merkitä [CPI:n] L. 336‑3 §:ssä määritellyn velvoitteen laiminlyöntiä, se voi antaa tilaajalle – – suosituksen, jossa muistutetaan L. 336‑3 §:n säännöksistä, kehotetaan tilaajaa noudattamaan kyseisissä säännöksissä määriteltyä velvoitetta ja varoitetaan L. 335‑7 ja L. 335‑7‑1 §:n mukaisesti määrättävistä seuraamuksista. Suosituksessa myös annetaan tilaajalle tietoja kulttuurisisältöjen lainmukaisesta verkkotarjonnasta ja ilmoitetaan suojaamiskeinoista, joiden avulla L. 336‑3 §:ssä määritellyn velvoitteen laiminlyöntejä voidaan ehkäistä, ja riskeistä, joita tekijänoikeutta ja lähioikeuksia loukkaavista käytännöistä aiheutuu luovan taiteellisen työn jatkumiselle ja kulttuurielinkeinolle.
Jos teot, jotka voivat merkitä L. 336‑3 §:ssä määritellyn velvoitteen laiminlyöntiä, toistuvat kuuden kuukauden kuluessa ensimmäisessä momentissa tarkoitetun suosituksen antamisesta, lautakunta voi antaa sähköisesti uuden suosituksen, joka sisältää samat tiedot kuin edellinen – –. Lautakunnan on toimitettava tämä suositus allekirjoitusta vastaan luovutettavalla kirjeellä tai muulla välineellä, jolla voidaan osoittaa suosituksen antamispäivämäärä.
Tämän pykälän perusteella annettavissa suosituksissa mainitaan päivämäärä ja kellonaika, joina teot, jotka voivat merkitä L. 336‑3 §:ssä määritellyn velvollisuuden laiminlyöntiä, on todettu. Suosituksissa ei kuitenkaan ilmaista niiden teosten tai suojattujen aineistojen sisältöä, joita tämä laiminlyönti koskee. Suosituksissa ilmoitetaan puhelinyhteystiedot, postiosoite ja sähköpostiosoite, joihin vastaanottaja voi ottaa yhteyttä halutessaan esittää oikeuksien suojaamisesta vastaavalle lautakunnalle huomautuksia ja joista hän voi saada pyynnöstä lisätietoja niiden teosten tai suojattujen aineistojen sisällöstä, joita laiminlyönti, josta häntä arvostellaan, koskee.”
17.
Mainitun koodeksin L. 331‑29 §:ssä säädetään seuraavaa:
”[Hadopilla] on oikeus sellaisten henkilötietojen automaattisen käsittelyjärjestelmän luomiseen, jotka koskevat menettelyn kohteena olevia henkilöitä tämän alajakson yhteydessä.
Kyseisen tietojenkäsittelyn tarkoituksena on oikeuksien suojaamisesta vastaavan lautakunnan toimesta tapahtuva tässä alajaksossa säädettyjen toimenpiteiden ja kaikkien menettelyyn liittyvien toimien toteuttaminen ja yksityiskohtaisten sääntöjen, jotka koskevat alan edunvalvonnasta vastaaville elimille ja yhteishallinnointiorganisaatioille tiedottamista asian mahdollisesta saattamisesta oikeusviranomaisen käsiteltäväksi, täytäntöönpano sekä L. 335‑7 §:n viidennessä momentissa säädettyjen tiedoksiantojen toteuttaminen.
Tämän pykälän soveltamista koskevat yksityiskohtaiset säännöt vahvistetaan – – asetuksella. Kyseisessä asetuksessa täsmennetään erityisesti
–
tallennettujen tietojen ryhmät ja niiden säilyttämisaika
–
vastaanottajat, jolla on oikeus saada näitä tietoja, erityisesti henkilöt, joiden toimintaan kuuluu pääsyn tarjoaminen yleisölle tarkoitettuihin verkkoviestintäpalveluihin
–
edellytykset, joilla asianomaiset henkilöt voivat käyttää [Hadopissa] oikeuttaan saada heitä koskevia tietoja – –”
18.
CPI:n R. 331‑37 §:ssä säädetään seuraavaa:
”– – sähköisen viestinnän operaattoreilla ja – – palveluntarjoajilla on velvollisuus välittää yhteydellä L. 331‑29 §:ssä mainittuun henkilötietojen automaattiseen käsittelyjärjestelmään tai käyttämällä tallennusvälinettä, joka varmistaa tietojen koskemattomuuden ja tietoturvan, henkilötiedot ja [CPI:n L. 331‑29 §:ssä sallitusta henkilötietojen automaattisesta käsittelystä, josta käytetään nimitystä ’Système de gestion des mesures pour la protection des œuvres sur internet’ (teosten suojaamista internetissä koskevien toimenpiteiden hallintajärjestelmä),] 5.3.2010 annetun asetuksen nro 2010‑236 (
4
) [(jäljempänä 5.3.2010 annettu asetus)] liitteen 2 kohdassa mainitut tiedot kahdeksan päivän kuluessa sen jälkeen, kun oikeuksien suojaamisesta vastaava lautakunta on välittänyt sellaisen tilaajan tunnistamiseen tarvittavat tekniset tiedot, jonka yhteyttä yleisölle tarkoitettuihin verkkoviestintäpalveluihin on käytetty kappaleen valmistamiseen suojatuista teoksista tai aineistoista, niiden esittämiseen, saattamiseen yleisön saataville tai yleisölle välittämiseen ilman – – oikeuksien haltijoiden lupaa, jos lupa vaaditaan.
– –”
19.
CPI:n R. 335‑5 §:ssä säädetään seuraavaa:
”I. – Törkeänä huolimattomuutena, josta rangaistaan viidennen luokan rikkomuksista säädetyllä sakolla, pidetään sitä, että yleisölle tarkoitettuja verkkoviestintäpalveluja koskevan yhteyden haltija on ilman perusteltua syytä ja jäljempänä II momentin mukaisten edellytysten täyttyessä menetellyt seuraavasti:
1° ei ole ottanut käyttöön mitään keinoa yhteyden suojaamiseksi tai
2° on toiminut huolimattomasti ottaessaan käyttöön kyseisen keinon.
II. – Edellä olevan I momentin säännöksiä ei sovelleta, jos seuraavat kaksi edellytystä täyttyvät:
1° Yhteyden haltija on L. 331‑25 §:n mukaisesti ja kyseisessä pykälässä tarkoitetuilla tavoilla saanut oikeuksien suojaamisesta vastaavalta lautakunnalta suosituksen ottaa yhteydensä suojaamiseksi käyttöön keinon, jolla varmistetaan, ettei kyseistä yhteyttä enää toistamiseen käytetä kappaleen valmistamiseen suojatuista teoksista tai aineistoista, niiden esittämiseen, saattamiseen yleisön saataville tai yleisölle välittämiseen ilman – – oikeuksien haltijoiden lupaa, jos lupa vaaditaan;
2° Kyseisen suosituksen antamista seuraavana vuonna kyseistä yhteyttä on toistamiseen käytetty tämän II momentin 1 kohdassa mainittuihin tarkoituksiin.”
20.
Kyseisen koodeksin L. 336‑3 §:ssä säädetään seuraavaa:
”Yleisölle tarkoitettuja verkkoviestintäpalveluja koskevan yhteyden haltija on velvollinen huolehtimaan siitä, ettei kyseistä yhteyttä käytetä kappaleen valmistamiseen tekijänoikeudella tai lähioikeudella suojatuista teoksista tai aineistoista, niiden esittämiseen, saattamiseen yleisön saataville tai yleisölle välittämiseen ilman – – oikeuksien haltijan lupaa, jos lupa vaaditaan.
Se, että yhteyden haltija laiminlyö ensimmäisessä momentissa tarkoitetun velvollisuuden, ei johda asianomaisen henkilön rikosoikeudelliseen vastuuseen – –”
2. 5.3.2010 annettu asetus
21.
5.3.2010 annetun asetuksen, sellaisena kuin sitä sovelletaan pääasian tosiseikkoihin, 1 §:ssä säädetään seuraavaa:
”Henkilötietojen automaattisen käsittelyn, josta käytetään nimitystä ’teosten suojaamista internetissä koskevien toimenpiteiden hallintajärjestelmä’, tarkoituksena on, että oikeuksien suojaamisesta vastaava [Hadopin] lautakunta
1° toteuttaa [CPI:n] lait sisältävän osion III osassa (III osaston I luvun 3 jakson 3 alajakso) ja [CPI:n] asetukset sisältävän osion III osassa (III osaston I luvun 2 jakson 2 alajakso) tarkoitetut toimenpiteet ja
2° saattaa teot, jotka voivat olla [CPI:n] L. 335‑2, L. 335‑3, L. 335‑4 ja R. 335‑5 §:ssä tarkoitettuja rikoksia, syyttäjän käsiteltäväksi ja ilmoittaa tästä käsiteltäväksi saattamisesta alan edunvalvonnasta vastaaville elimille ja yhteishallinnointiorganisaatioille
– –”
22.
Kyseisen asetuksen 4 §:ssä säädetään seuraavaa:
”I. – [Hadopin] puheenjohtajan [CPI:n] L. 331‑21 §:n mukaisesti valtuuttamilla valantehneillä julkisoikeudellisessa palvelussuhteessa olevilla työtekijöillä ja edellä 1 §:ssä mainitun oikeuksien suojaamisesta vastaavan lautakunnan jäsenillä on suoraan pääsy henkilötietoihin ja tämän asetuksen liitteessä mainittuihin tietoihin.
II. – Seuraavien tietojen vastaanottajia ovat sähköisen viestinnän operaattorit ja tämän asetuksen liitteessä olevassa 2 kohdassa mainitut palveluntarjoajat:
–
tilaajan tunnistamiseen tarvittavat tekniset tiedot
–
[CPI:n] L. 331‑25 §:ssä tarkoitetut suositukset, jotka on tarkoitettu lähetettäväksi sähköisesti tilaajille ja
–
tiedot, jotka syyttäjän ilmoitettua oikeuksien suojaamisesta vastaavalle lautakunnalle lisärangaistuksista, joilla keskeytetään yhteys yleisölle tarkoitettuun verkkoviestintäpalveluun, ovat tarpeen niiden täytäntöönpanoa varten.
III. – Sellaisten tietojen, jotka koskevat asian saattamista syyttäjän käsiteltäväksi, vastaanottajia ovat alan edunvalvonnasta vastaavat elimet ja yhteishallinnointiorganisaatiot.
IV. – Sellaisten tekojen toteamista, jotka voivat olla [CPI:n] L. 335‑2, L. 335‑3, L. 335‑4, L. 335‑7, R. 331‑37, R. 331‑38 ja R. 335‑5 §:ssä tarkoitettuja rikoksia, koskevien pöytäkirjojen vastaanottajia ovat oikeusviranomaiset.
Yhteyden keskeyttämistä koskevan rangaistuksen täytäntöönpanosta tehdään merkintä automaattiseen rikosrekisteriin.”
23.
5.3.2010 annetun asetuksen liitteessä säädetään seuraavaa:
”Tietojenkäsittelyjärjestelmään nimeltä ’teosten suojaamista internetissä koskevien toimenpiteiden hallintajärjestelmä’ tallennetaan seuraavat henkilötiedot ja muut tiedot:
1° Henkilötiedot ja lainmukaisesti perustetuilta alan edunvalvonnasta vastaavilta elimiltä, yhteishallinnointiorganisaatioilta ja Centre national du cinéma et de l’image animéelta sekä syyttäjältä saadut tiedot:
teoista, jotka voivat merkitä [CPI:n] L. 336‑3 §:ssä määritellyn velvollisuuden laiminlyöntiä:
tekojen päivämäärä ja kellonaika
asianomaisten tilaajien IP‑osoitteet
käytetty vertaisverkkoprotokolla
tilaajan käyttämä peitenimi
tiedot teoksista tai suojatuista aineistoista, joita teot koskevat
tiedostonimi, sellaisena kuin se on tilaajan laitteella (tarvittaessa)
internetyhteyden tarjoaja, jolta yhteys on tilattu tai joka on toimittanut teknisen IP‑resurssin.
– –
2° Henkilötiedot ja tilaajaan liittyvät muut tiedot, jotka on kerätty sähköisen viestinnän operaattoreilta – – ja palveluntarjoajilta – –:
sukunimi, etunimet
posti‑ ja sähköpostiosoite
puhelinyhteystiedot
tilaajan puhelinlaitteiston osoite
internetyhteyden tarjoaja, joka käyttää sen edellä 1 kohdassa mainitun internetyhteyden tarjoajan teknisiä resursseja, jonka kanssa tilaaja on tehnyt sopimuksen; asiakirjanumero;
päivämäärä, josta alkaen yhteys yleisölle tarkoitettuun verkkoviestintäpalveluun keskeytetään.
– –”
3. Postista ja sähköisestä viestinnästä annettu koodeksi
24.
Postista ja sähköisestä viestinnästä annetun koodeksin (code des postes et des communications électroniques), sellaisena kuin se on muutettuna 30.7.2021 annetun lain nro 2021‑998 (
5
) 17 §:llä (jäljempänä CPCE), L. 34‑1 §:n II bis momentissa säädetään seuraavaa:
”Sähköisen viestinnän operaattorien on säilytettävä:
1° rikosoikeudellisia menettelyjä, yleiseen turvallisuuteen kohdistuvien uhkien ehkäisemistä ja kansallisen turvallisuuden takaamista varten käyttäjän henkilöllisyyttä koskevat tiedot, kunnes viisi vuotta on kulunut hänen sopimuksensa voimassaolon päättymisestä
2° edellä 1 kohdassa mainittuja tarkoituksia varten muut tiedot, jotka käyttäjä antaa sopimusta tehtäessä tai tiliä perustettaessa, sekä tiedot maksusta, kunnes vuosi on kulunut hänen sopimuksensa voimassaolon päättymisestä tai tilinsä päättämisestä
3° rikollisuuden ja vakavan rikollisuuden torjumista, yleiseen turvallisuuteen kohdistuvien vakavien uhkien ehkäisemistä ja kansallisen turvallisuuden takaamista varten tekniset tiedot, joiden avulla voidaan yksilöidä liittymän lähde, tai käytettyjä päätelaitteita koskevat tekniset tiedot, kunnes vuosi on kulunut päätelaitteiden liittämisestä tai käytöstä.”
III Asian käsittely unionin tuomioistuimessa
25.
Vastauksena Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitetuille osapuolille osoitettuun kehotukseen pääasian kantajat sekä Ranskan, Tanskan, Viron, Irlannin, Alankomaiden, Suomen ja Ruotsin hallitukset sekä Euroopan komissio ovat vastanneet unionin tuomioistuimen esittämiin kirjallisiin kysymyksiin.
26.
Samat osapuolet Suomen hallitusta lukuun ottamatta sekä Tšekin, Espanjan, Kyproksen, Latvian ja Norjan hallitukset sekä EDPS ja ENISA osallistuivat 15.5.2023 pidettyyn istuntoon.
IV Asian tarkastelu
27.
Tarkasteltuani ensimmäisessä ratkaisuehdotuksessani ennakkoratkaisukysymyksiä päädyin ehdottamaan, että unionin tuomioistuin katsoo, että direktiivin 2002/58 15 artiklan 1 kohtaa on tulkittava siten, ettei se ole esteenä kansalliselle lainsäädännölle, jonka nojalla sähköisten viestintäpalvelujen tarjoaja voi säilyttää ja Hadopin (
6
) kaltaisen hallintoviranomainen voi saada tietoja, jotka rajoittuvat IP‑osoitetta vastaaviin henkilöllisyyttä koskeviin tietoihin, jotta tämä viranomainen voi yksilöidä IP‑osoitteiden haltijat, joiden epäillään syyllistyneen tekijänoikeuden ja lähioikeuksien loukkaukseen, ja tarvittaessa kohdistaa heihin toimenpiteitä ilman, että tämän tietojen saannin edellytyksenä on tuomioistuimen tai riippumattoman hallinnollisen elimen suorittama etukäteisvalvonta, jos nämä tiedot ovat ainoa tutkintakeino, jolla voidaan yksilöidä henkilö, jolle kyseinen osoite oli annettu kyseisen rikoksen tekohetkellä.
28.
Tässä ratkaisuehdotuksessa pyrin syventämään tiettyjä aiempaan tarkasteluuni sisältyviä seikkoja ja 15.5.2023 pidetyssä istunnossa käsiteltyjä seikkoja esittääkseni syyt, joiden vuoksi pidän voimassa sekä ennakkoratkaisukysymyksiin ehdottamani vastauksen että siihen johtaneen päättelyn. (
7
)
29.
Osoitan erityisesti, että IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen säilyttämisen ja saannin salliminen ilman etukäteisvalvontaa rikoksentekijöiden tunnistamiseksi, jos nämä tiedot ovat heidän ainoa tunnistamiskeinonsa, täyttää unionin tuomioistuimen asettamat vaatimukset, jotka koskevat direktiivin 2002/58 15 artiklan 1 kohdan nojalla toteutettujen toimenpiteiden tutkimista (B osa).
30.
Tuon tässä yhteydessä esiin, ettei tällainen ratkaisu tarkoita muutosta unionin tuomioistuimen tuomiosta Tele2 Sverige ja Watson ym. (
8
) ja tuomiosta La Quadrature du Net ym. (
9
) lähtien luomaan, perusoikeuksia tiukasti suojaavaan oikeuskäytäntöön, vaan sen väistämätöntä kehitystä, joka on mielestäni tuomioistuimen vahvistamien periaatteiden mukaista. Ero ei ole pelkästään semanttinen. Ehdottamallani ratkaisulla ei nimittäin pyritä kyseenalaistamaan nykyistä oikeuskäytäntöä vaan mahdollistamaan sen mukauttaminen tietyn pragmaattisuuden nimissä erityisiin ja hyvin tarkasti rajattuihin olosuhteisiin (C osa).
31.
Selvyyden vuoksi ja koska istunnossa käydyt keskustelut ovat osoittaneet, että täsmennykset ovat tältä osin tarpeen, aloitan tarkasteluni kertaamalla, miten Hadopin käyttämä porrastetun reagoinnin menettely toimii (A osa).
A
Hadopin käyttämä porrastetun reagoinnin menettely
32.
Hadopi on riippumaton hallintoviranomainen, jonka tehtävänä on suojata tekijänoikeutta ja lähioikeuksia internetissä tapahtuvilta loukkauksilta. Tätä varten on perustettu niin sanottu porrastetun reagoinnin menettely, jonka täytäntöönpano on annettu oikeuksien suojaamisesta vastaavan Hadopin lautakunnan tehtäväksi.
33.
Asioita panevat tässä lautakunnassa vireille oikeudenhaltijoita edustavat järjestöt, joissa tietyt valantehneet ja kulttuuriministerin valtuuttamat työntekijät keräävät vertaisverkoissa sellaisten internetin käyttäjien IP‑osoitteita, jotka asettavat teoksia yleisön saataville ilman oikeuksien haltijoiden lupaa. Kustakin tapauksesta laaditaan pöytäkirja. Se sisältää muun muassa tekijänoikeuden loukkaukseen käytetyn internetyhteyden IP‑osoitteen, todetun loukkauksen päivämäärän ja kellonajan sekä kyseessä olevan teoksen nimen, ja se toimitetaan oikeuksien suojaamisesta vastaavalle Hadopin lautakunnalle. Tältä osin on korostettava, kuten Euroopan tietosuojavaltuutettu on todennut, että Commission nationale de l’informatique et des libertés (tietojenkäsittelystä ja perusvapauksista vastaava kansallinen elin, Ranska; jäljempänä CNIL), joka on Ranskan tietosuojaviranomainen, on hyväksynyt tämän työntekijöiden suorittaman henkilötietojen käsittelyn oikeudenhaltijoita edustavissa järjestöissä. (
10
)
34.
Kun oikeuksien suojaamisesta vastaava Hadopin lautakunta on vastaanottanut pöytäkirjat ja suorittanut automaattisen tarkastuksen sen varmistamiseksi, että ne sisältävät kaikki vaaditut tiedot, se voi saada sähköisten viestintäpalvelujen tarjoajilta tekijänoikeuden loukkaukseen käytetyn liittymän haltijan nimen, postiosoitteen, sähköpostiosoitteen ja puhelinyhteystiedot.
35.
Hadopi voi tällöin antaa kyseiselle henkilölle ”suosituksen”, jossa ilmoitetaan, että hänen internetyhteyttään on käytetty tekijänoikeuden vastaisesti, ja jossa kehotetaan henkilöä, jonka epäillään laiminlyöneen velvoitteensa huolehtia siitä, että tekijänoikeudella tai lähioikeudella suojattuja teoksia kunnioitetaan internetissä, noudattamaan tätä velvoitetta. Suositus on toisin sanoen osoitettu internetyhteyden haltijalle, joka voi tosiasiallisesti olla eri henkilö kuin se, joka on saattanut teoksen saataville tekijänoikeuden vastaisesti. Jos saman internetyhteyden kautta todetaan tehdyn uusi loukkaus, voidaan antaa toinen suositus. Jos loukkaus vielä toistuu, oikeuksien suojaamisesta vastaava Hadopin lautakunta voi päättää saattaa asian syyttäjän (procureur de la République) käsiteltäväksi syyteharkintaa varten. Kuten Ranskan hallitus on täsmentänyt ensimmäisissä huomautuksissaan, porrastetun reagoinnin menettelystä vastaavat työntekijät ovat valantehneitä ja Hadopin puheenjohtajan valtuuttamia, heillä on salassapitovelvollisuus ja he ovat Hadopissa ainoita, joilla on oikeus tutustua kyseisen menettelyn yhteydessä käsiteltäviin henkilötietoihin.
36.
Tässä yhteydessä on täsmennettävä, että silloin, kun vertaisverkkojen käyttäjät ainoastaan lataavat verkosta kyseisenlaisia sisältöjä, heidän tietojaan ei kerätä eikä siirretä Hadopille; (
11
) näin tehdään ainoastaan sellaisten henkilöiden tiedoille, jotka ovat saattaneet saataville oikeuksia loukkaavia sisältöjä eli ladanneet niitä verkkoon.
37.
Esimerkiksi vuonna 2021 Hadopi sai oikeudenhaltijoita edustavilta järjestöiltä lähes neljä miljoonaa pöytäkirjaa, lähetti 210595 ensimmäistä suositusta ja 53564 toista suositusta ja saattoi asian syyttäjän käsiteltäväksi 1484 tapauksessa.
38.
Tämän kertauksen jälkeen osoitan, miksi tällainen menettely, joka tarkoittaa IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen säilyttämistä ja saantia, täyttää mielestäni vaatimukset, jotka on asetettu direktiivin 2002/58 15 artiklan 1 kohdan nojalla toteutettuja kansallisia toimenpiteitä koskevassa oikeuskäytännössä.
B
Direktiivin 2002/58 15 artiklan 1 kohdan tulkintaa koskevaan unionin tuomioistuimen oikeuskäytäntöön perustuvien vaatimusten noudattaminen
39.
Koska olen ensimmäisessä ratkaisuehdotuksessani jo palauttanut mieleen unionin tuomioistuimen oikeuskäytännön, joka koskee liittymän lähteelle annettujen IP‑osoitteiden säilyttämistä ja saantia, (
12
) keskityn tässä ratkaisuehdotuksessa siihen, mikä on mielestäni tämän oikeuskäytännön ydin, eli yhtäältä oikeasuhteisuusvaatimukseen ja toisaalta siihen, onko näiden tietojen saannin edellytykseksi asetettava tuomioistuimen tai riippumattoman hallintoviranomaisen etukäteisvalvonta.
1. Kyseessä olevan toimenpiteen oikeasuhteisuus
40.
Jotta voidaan määrittää, onko IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen säilyttämistä tai saantia koskeva toimenpide yhteensopiva unionin oikeuden kanssa, on – kuten unionin tuomioistuin on toistuvasti korostanut – sovitettava yhteen kyseessä olevat legitiimit intressit ja oikeudet, joita ovat yhtäältä perusoikeuskirjan 7 ja 8 artiklassa taatut yksityisyyden suojaa ja henkilötietojen suojaa koskevat oikeudet (
13
) ja toisaalta muiden henkilöiden oikeuksien ja vapauksien sekä perusoikeuskirjan 3, 4, 6 ja 7 artiklassa vahvistettujen oikeuksien suoja. (
14
) Lisään, että käsiteltävässä asiassa yksityisyyden suojaa ja henkilötietojen suojaa koskevat oikeudet on myös sovitettava yhteen perusoikeuskirjan 17 artiklassa vahvistetun omaisuudensuojan kanssa, koska porrastetun reagoinnin menettely koskee viime kädessä tekijänoikeuden ja lähioikeuksien suojaa.
41.
Unionin tuomioistuin on tältä osin täsmentänyt, että direktiivin 2002/58 15 artiklan 1 kohdan mukaisen yhteensovittamisen nojalla jäsenvaltiot voivat toteuttaa luottamuksellisuuden periaatteesta poikkeavan toimenpiteen, jos tällainen toimenpide on ”välttämätön, asianmukainen ja oikeasuhteinen demokraattisen yhteiskunnan toimenpide” (kursivointi tässä). Kyseisen direktiivin johdanto‑osan 11 perustelukappaleessa täsmennetään, että tällaisen toimenpiteen on ”ehdottomasti” oltava oikeassa suhteessa sen tarkoitukseen nähden. (
15
)
42.
Unionin tuomioistuin on lisäksi viitannut suhteellisuusperiaatteeseen toistuvasti direktiivin 2002/58 15 artiklan 1 kohdan tulkintaa koskevassa päättelyssään ja on näin ollen pitänyt sitä kulmakivenä tutkittaessa tämän säännöksen nojalla toteutettua henkilötietojen säilyttämistä tai saantia koskevaa kansallista toimenpidettä.
43.
Tämän päättelyn perusteellisempi tarkastelu osoittaa, että suhteellisuusperiaate sisältää direktiivin 2002/58 15 artiklan 1 kohdan yhteydessä eri osia, jotka koskevat yhtäältä sitä, kuinka vakavaa perusoikeuksiin puuttumista liikennetietojen säilyttäminen tai saanti merkitsee, ja toisaalta kyseessä olevan toimenpiteen tarpeellisuutta.
44.
Siitä, että säilytetään IP‑osoitetta vastaavia henkilöllisyyttä koskevia tietoja ja että Hadopi pääsee niihin, katson, että sekä puuttumisen vakavuuden että näiden tietojen välttämättömyyden vuoksi unionin tuomioistuimen pitäisi mukauttaa tapaa, jolla se tarkastelee direktiivin 2002/58 15 artiklan 1 kohdan nojalla toteutetun kansallisen toimenpiteen oikeasuhteisuutta.
a) Perusoikeuksiin puuttumisen suhteellinen vakavuus
45.
Unionin tuomioistuimen vakiintuneesta oikeuskäytännöstä ilmenee selvästi, että suhteellisuusperiaatteen mukaisesti tavoitteen, johon direktiivin 2002/58 15 artiklan 1 kohdan nojalla toteutetulla toimenpiteellä pyritään, tärkeyden on oltava oikeassa suhteessa siitä aiheutuvan puuttumisen vakavuuteen nähden. (
16
)
46.
Kuten olen ensimmäisessä ratkaisuehdotuksessani korostanut, unionin tuomioistuin on todennut erityisesti, että vakava puuttuminen voi olla oikeutettu rikosten ehkäisemisen, tutkinnan, selvittämisen ja syyteharkinnan alalla vain sellaisen rikollisuuden torjumisen tavoitteella, joka on myös luokiteltava vakavaksi. (
17
)
47.
Unionin tuomioistuin on todennut IP‑osoitteista, että vaikka ne ovat vähemmän arkaluonteisia kuin muut liikennetiedot, niiden säilyttäminen ja analysointi merkitsevät kuitenkin vakavaa puuttumista perusoikeuksiin, koska niitä voidaan käyttää muun muassa internetin käyttäjän selailupolun kattavaan jäljittämiseen ja siten hänen yksityiskohtaisen profiilinsa selvittämiseen ja täsmällisten päätelmien tekemiseen hänen yksityiselämästään. (
18
)
48.
Pääasiassa IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen säilyttämisen ja saannin tavoitteena on torjua tekijänoikeuden ja lähioikeuksien loukkauksia. Mielestäni on kuitenkin selvää, ettei tämä torjunta voi olla vakavan rikollisuuden torjuntaa, (
19
) vaikka loukkausten määrä olisi suuri. Kyseessä olevan toimenpiteen aiheuttaman perusoikeuksiin puuttumisen vakavuus ja tavoite, johon toimenpiteellä pyritään, eivät siis vastaa toisiaan.
49.
Olen ensimmäisessä ratkaisuehdotuksessani katsonut unionin tuomioistuimen oikeuskäytännön mukaisesti, että se, että Hadopi saa IP‑osoitetta vastaavia henkilöllisyyttä koskevia tietoja, merkitsee tosiaan vakavaa puuttumista perusoikeuksiin. Olen myös katsonut, että käsiteltävässä asiassa näiden tietojen säilyttäminen ja saanti on kuitenkin sallittava, mutta nyt, istunnon jälkeen, on syytä esittää vielä joitakin täsmennyksiä.
50.
Porrastetun reagoinnin menettelyn ansiosta Hadopi voi yhdistää oikeudenhaltijoita edustavien järjestöjen ilmoittaman sellaisen henkilön IP‑osoitteen, jonka epäillään käyttäneen internetyhteyttään tekijänoikeuden loukkaamiseen vertaisverkossa, kyseisen henkilön henkilöllisyyteen ja verkkoon tekijänoikeuden vastaisesti ladattuun tiedostoon. Kuten komissio ja Euroopan tietosuojavaltuutettu ovat istunnossa todenneet, tällaisten seikkojen perusteella ei kuitenkaan voida tehdä hyvin tarkkoja päätelmiä henkilön yksityiselämästä, vaikka ne varmasti antavatkin enemmän tietoja kuin pelkkä epäillyn rikoksentekijän henkilöllisyys. Kuten olen ensimmäisessä ratkaisuehdotuksessani todennut, (
20
) kyse on nimittäin ainoastaan tietyn sisällön yksittäisen hakemiskerran paljastamisesta, eikä pelkästään sen perusteella voida selvittää haun suorittajan yksityiskohtaista profiilia.
51.
Lisäksi on ensinnäkin niin, että valtaosa Hadopille ilmoitetuista IP‑osoitteista on niin sanottuja dynaamisia IP‑osoitteita, jotka ovat luonteeltaan muuttuvia ja vastaavat tiettyä henkilöllisyyttä vain sillä hetkellä, kun kyseinen sisältö saatetaan saataville. Niiden avulla ei siis voida jäljittää selailupolkua kattavasti.
52.
Toiseksi on korostettava, ettei perusoikeuksien suojelemisella internetissä mielestäni voida perustella pelkästään IP‑osoitetta, teoksen sisältöä ja sen henkilön henkilöllisyyttä, joka on saattanut teoksen saataville tekijänoikeuden vastaisesti, koskevien tietojen saantikieltoa, vaan sillä voidaan perustella ainoastaan sitä, että tietojen säilyttämiseen ja saantiin on liityttävä takeet. Tosielämän esimerkki kuvaa tätä mielestäni hyvin: henkilö, jota epäillään varkaaksi, ei voi vedota yksityisyyden suojaa koskevaan oikeuteensa estääkseen kyseistä rikosta koskevasta rikosoikeudellisesta menettelystä vastaavia henkilöitä tutustumasta varastettuun sisältöön. Kyseinen henkilö voi sitä vastoin perustellusti vedota perusoikeuksiinsa estääkseen menettelyn aikana tutustumisen muihin kuin niihin tietoihin, jotka ovat tarpeen väitetyn teon luonnehtimiseksi.
53.
Huomautan lopuksi, että toisin kuin kantajat ovat väittäneet, porrastetun reagoinnin menettely ei näytä tarkoittavan, että vertaisverkkojen käyttäjiä valvottaisiin kattavasti. Ei nimittäin ole kyse siitä, että näiden käyttäjien kaikki toiminta tietyssä verkossa tarkastettaisiin sen selvittämiseksi, ovatko he asettaneet teoksen saataville tekijänoikeuden vastaisesti, vaan siitä, että sellaisen tiedoston perusteella, jonka on todettu loukkaavan tekijänoikeutta, määritetään sen internetyhteyden haltija, jonka kautta internetin käyttäjä on saattanut teoksen saataville. Kuten Euroopan tietosuojavaltuutettu on istunnossa korostanut, kyse ei myöskään ole vertaisverkkojen kaikkien käyttäjien vaan ainoastaan niiden henkilöiden toiminnan valvonnasta, jotka lataavat verkkoon oikeuksia loukkaavia tiedostoja; tällaisten tiedostojen lataaminen verkkoon kertoo erityisen vähän henkilön yksityiselämästä, koska käyttäjät voivat ladata niitä verkkoon vain, jotta he voisivat sen jälkeen ladata verkosta muita tiedostoja.
54.
Näin ollen syitä, joiden vuoksi unionin tuomioistuin on katsonut IP‑osoitteiden säilyttämisen ja saannin tarkoittavan vakavaa puuttumista perusoikeuksiin, ei mielestäni voida soveltaa Hadopin käyttöön ottaman kaltaiseen porrastetun reagoinnin menettelyyn. Tästä seuraa, että kun tämän säilyttämisen ja saannin tarkoittamaa puuttumista tarkastellaan suhteellisuusperiaatteen valossa, sen ei pitäisi olla yhtä vakavaa.
55.
Toisin sanoen katson, ettei unionin tuomioistuimen oikeuskäytäntöä, joka koskee IP‑osoitteiden säilyttämisestä ja saannista johtuvan perusoikeuksiin puuttumisen vakavuutta, pitäisi tulkita siten, että puuttuminen on aina vakavaa, vaan siten, että se on vakavaa vain silloin, kun IP‑osoitteiden avulla voidaan jäljittää kattavasti internetin käyttäjän selailupolku ja tehdä hyvin tarkkoja päätelmiä hänen yksityiselämästään.
56.
Koska näin ei ole pääasiassa kyseessä olevan kaltaisessa tilanteessa, tästä seuraa, että puuttuminen, joka aiheutuu tekijänoikeutta loukkaavan sisällön saataville saattamiseen käytettyä IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen säilyttämisestä ja saannista, olisi voitava oikeuttaa pelkän vakavan rikollisuuden torjuntaa koskevaa tavoitetta laajemmalla rikollisuuden torjuntaa koskevalla tavoitteella.
57.
Täsmennän lisäksi, että pääasiassa kyseessä olevan kaltaisessa tilanteessa puuttumista perusoikeuksiin, jota IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen säilyttäminen ja saanti tarkoittavat, ei tee vakavammaksi se, ettei oikeuksia loukkaavan sisällön saataville saattamiseen käytetyn internetyhteyden haltija välttämättä itse ole saattanut kyseistä sisältöä saataville, jolloin Hadopin antama suositus saattaa paljastaa yhteyden haltijalle kyseisen sisällön, johon kolmas osapuoli on voinut tutustua. Muistutan yhtäältä, että Hadopi tutkii rikosta, jossa on jätetty noudattamatta velvollisuutta huolehtia siitä, ettei internetyhteyttä käytetä sisällön saataville saattamiseen tekijänoikeuden vastaisesti. Siksi tiedot, joiden perusteella teko voidaan luonnehtia, on toimitettava teon oletetulle tekijälle. Toisaalta, kuten olen jo todennut, kyseiseen teokseen liittyvien tietojen perusteella ei mielestäni voida tehdä tarkkoja päätelmiä sisällön saataville saattaneen henkilön yksityiselämästä. Näiden tietojen mahdollinen toimittaminen internetyhteyden haltijalle ei näin ollen ylitä sitä, mikä on tarpeen kyseistä tekijänoikeusloukkausta koskevaa rikosoikeudellista menettelyä varten.
b) Kyseessä olevien tietojen välttämättömyys rikoksen selvittämisen ja syyteharkinnan kannalta
58.
Direktiivin 2002/58 15 artiklan 1 kohdan nojalla toteutetun, IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen kaltaisten liikennetietojen säilyttämistä ja saantia koskevan toimenpiteen oikeasuhteisuuden varmistamiseksi siitä aiheutuvan puuttumisen on unionin tuomioistuimen oikeuskäytännön mukaisesti oltava täysin välttämätöntä tavoitellun päämäärän toteuttamiseksi. (
21
) Mielestäni pääasiassa on kyseessä juuri tällainen toimenpide.
59.
Olen ensimmäisessä ratkaisuehdotuksessani korostanut (
22
) unionin tuomioistuimen samasta oikeuskäytännöstä ilmenevän, että vertaisverkossa tapahtuvien tekijänoikeusloukkausten kaltaisissa yksinomaan verkossa tehdyissä rikoksissa IP‑osoite voi olla ainoa tutkintakeino, jolla voidaan yksilöidä henkilö, jolle kyseinen osoite oli annettu kyseisen rikoksen tekohetkellä. (
23
) Tästä seuraa nähdäkseni, että IP‑osoitteita vastaavien henkilöllisyyttä koskevien tietojen säilyttäminen ja saanti verkossa tehtyjen tekijänoikeusloukkausten selvittämiseksi ja niistä syyttämiseksi on oikeuskäytännön mukaisesti täysin välttämätöntä tavoitellun päämäärän toteuttamiseksi.
60.
On totta, että kaikki henkilötietojen suojaa koskevat vaatimukset tarkoittavat tutkintavaltuuksien rajoittamista. Tämä johtuu vastakkaisten etujen yhteensovittamista koskevasta periaatteesta eikä siksi ole sellaisenaan kiistettävissä. Tilanne, jossa IP‑osoite on ainoa tapa tunnistaa henkilö, jota epäillään verkossa tehdystä immateriaalioikeuden loukkauksesta, poikkeaa kuitenkin useimmista rikosoikeudellisista menettelyistä, joista unionin tuomioistuin toteaa, että ”[niiden] tehokkuus ei yleensä riipu yhdestä ainoasta tutkintavälineestä vaan kaikista tätä varten toimivaltaisten kansallisten viranomaisten käytettävissä olevista tutkintavälineistä”. (
24
) IP‑osoitteita vastaavien henkilöllisyyttä koskevien tietojen säilyttämisen ja saannin kieltäminen pääasiassa kyseessä olevan kaltaisessa tilanteessa ei johtaisi pelkästään tutkintavaltuuksien rajoittamiseen, joka seuraa kaikista liikennetietoja suojaavista toimenpiteistä, vaan siihen, että kansalliset viranomaiset menettäisivät ainoan keinon, jolla tiettyjä rikoksia voidaan selvittää ja niistä voidaan syyttää.
61.
Direktiivin 2002/58 15 artiklan 1 kohdasta ehdottamani tulkinnan mukaan ei toisin sanoen ole tarkoitus, että tutkimalla tällaisen toimenpiteen välttämättömyyttä mahdollistetaan sellaisten tietojen säilyttäminen ja saanti, jotka ainoastaan helpottavat rikosten selvittämistä ja niistä syyttämistä, kun rikokset voidaan myös selvittää ja niistä voidaan syyttää muiden, jopa vähemmän tehokkaiden keinojen avulla. Tarkoitus on sen sijaan mahdollistaa kyseisten tietojen säilyttäminen ja saanti silloin, kun ne ovat välttämättömiä sellaisen henkilön tunnistamiseksi, jonka epäillään syyllistyneen rikokseen ja johon ei voitaisi kohdistaa rikosoikeudellisia menettelyjä ilman näitä keinoja, koska kyseiset tiedot ovat ainoa keino tunnistaa kyseinen internetin käyttäjä, kun rikos on tehty yksinomaan verkossa.
62.
Tällainen tulkinta on mielestäni välttämätön, ellei hyväksytä, ettei suureen määrään rikoksia koskaan voida kohdistaa rikosoikeudellisia menettelyjä. (
25
)
63.
Kaikesta edellä esitetystä seuraa, että kansallinen lainsäädäntö, jonka nojalla sähköisten viestintäpalvelujen tarjoajat voivat säilyttää ja hallintoviranomainen voi saada tietoja, jotka rajoittuvat IP‑osoitetta vastaaviin henkilöllisyyttä koskeviin tietoihin, on mielestäni täysin oikeassa suhteessa tavoiteltuun päämäärään eli rikosoikeudellisten menettelyjen kohdistamiseen internetissä tehtyihin tekijänoikeuden ja lähioikeuksien loukkauksiin, koska tästä tietojen säilyttämisestä ja niiden saannista muodostuva puuttuminen perusoikeuksiin on vakavuudeltaan vähäistä ja koska kyseiset tiedot ovat ainoa tutkintakeino, jonka avulla voidaan tunnistaa henkilö, jolle kyseinen osoite oli annettu rikoksen tekohetkellä.
64.
Näin ollen katson, että direktiivin 2002/58 15 artiklan 1 kohtaa olisi tulkittava siten, ettei se ole esteenä tällaiselle lainsäädännölle.
2. Riittävien aineellisten ja menettelyllisten takeiden olemassaolo
65.
IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen saannin osalta unionin tuomioistuimen oikeuskäytännöstä ilmenee, ettei pelkkä toimenpiteen täysi oikeasuhteisuus riitä tekemään toimenpiteestä yhteensopivaa direktiivin 2002/58 15 artiklan 1 kohdan kanssa.
66.
Sen varmistamiseksi, että liikenne‑ ja paikkatietojen saanti rajoittuu täysin välttämättömään, unionin tuomioistuin on nimittäin katsonut olevan olennaista, että saanti edellyttää joko tuomioistuimen tai riippumattoman hallinnollisen elimen etukäteisvalvontaa ja että tällä tuomioistuimella tai riippumattomalla hallinnollisella elimellä on kaikki valtuudet ja kaikki takeet, jotka ovat välttämättömiä sen varmistamiseksi, että kyseessä olevat eri legitiimit intressit ja oikeudet sovitetaan yhteen. (
26
)
67.
Oikeuskäytäntöä tiukasti tulkittaessa voitaisiin näin ollen päätellä, että sen edellytyksenä, että Hadopi saa IP‑osoitetta vastaavia henkilöllisyyttä koskevia tietoja henkilöistä, joiden epäillään syyllistyneen tekijänoikeusloukkauksiin internetissä, olisi oltava tällainen etukäteisvalvonta, jota nykyiseen porrastetun reagoinnin menettelyyn ei sisälly.
68.
Kuten Irlannin hallitus on istunnossa ja itse olen ensimmäisessä ratkaisuehdotuksessani todennut, mielestäni vaatimus tuomioistuimen tai riippumattoman hallinnollisen elimen etukäteisvalvonnasta ei kuitenkaan ole systemaattinen vaan riippuu kyseisen toimenpiteen kokonaisvaltaisemmasta arvioinnista, jossa otetaan huomioon sekä toimenpiteen edellyttämän puuttumisen vakavuus että takeet, joita siihen sisältyy.
69.
Korostan nimittäin, että kaikissa tuomioissa, joissa tämä vaatimus tuomioistuimen tai riippumattoman hallinnollisen elimen etukäteisvalvonnasta on todettu, on kyse kansallisesta lainsäädännöstä, joka mahdollistaa pääsyn käyttäjien kaikkiin liikenne‑ ja paikkatietoihin, jotka liittyvät käyttäjien kaikkiin sähköisiin viestintävälineisiin (
27
) tai ainakin yksilöityjen käyttäjien puhelin‑ tai matkapuhelinviestintään (
28
).
70.
Päättelen tästä, että tällaista etukäteisvalvontaa koskeva vaatimus määräytyy kulloinkin kyseessä olevan puuttumisen vakavuuden perusteella. Unionin tuomioistuin onkin korostanut, että tällaiset tiedot voivat ”tosiasiallisesti antaa mahdollisuuden tehdä tarkkoja tai jopa hyvin tarkkoja päätelmiä [henkilöiden] yksityiselämästä, kuten elämäntavoista, vakituisista tai tilapäisistä oleskelupaikoista, päivittäisestä tai muusta liikkumisesta, toiminnasta sekä näiden henkilöiden sosiaalisista suhteista ja heidän sosiaalisesta ympäristöstään”. (
29
) Lisäksi kyseisissä tuomioissa tiedot koskivat jo tunnistettuja henkilöitä, joita epäiltiin rikoksesta muista syistä, jolloin kyseiset tiedot vahvistivat kyseistä internetin käyttäjää vastaan vaikuttavia seikkoja antamalla lisätietoja hänestä.
71.
Olen korostanut pääasiassa kyseessä olevasta lainsäädännöstä, että henkilöllisyyttä koskevan tiedon ja IP‑osoitteen yhdistämisen aiheuttama puuttuminen on selvästi vähemmän vakavaa kuin puuttuminen, joka seuraa henkilön kaikkien liikenne‑ ja paikkatietojen saannista, koska yhdistäminen ei tuo esiin mitään seikkaa, jonka perusteella voitaisiin tehdä tarkkoja päätelmiä asianomaisen henkilön yksityiselämästä.
72.
Olen ensimmäisessä ratkaisuehdotuksessani lisäksi todennut, (
30
) että kyseiset tiedot koskevat ainoastaan sellaisten henkilöiden tietoja, jotka ovat oikeudenhaltijoita edustavien järjestöjen puolueettomasti toteaman IP‑osoitteen tekijänoikeuden vastaisen käytön perusteella menetelleet tavalla, joka voi merkitä CPI:n L. 336‑3 §:ssä säädetyn huolehtimisvelvoitteen laiminlyöntiä. Niitä ei ole etukäteen yksilöity muilla keinoilla, ja IP‑osoitteen yhdistäminen henkilöllisyyttä koskeviin tietoihin on ainoa keino tunnistaa kyseinen henkilö. Toisin kuin asioissa, jotka unionin tuomioistuin on aiemmin ratkaissut, näihin tietoihin pääsy ei siis mahdollista tarkkojen lisätietojen tietojen saamista muista syistä jo epäiltyjen henkilöiden toiminnasta, sillä sen avulla ainoastaan muutoin merkityksettömästä IP‑osoitteesta tulee käyttökelpoinen. Näin ollen tiedot, joihin Hadopilla on pääsy, ovat tosiasiallisesti rajalliset.
73.
Mielestäni henkilöllisyyttä koskevien tietojen saanti rikoksesta epäillystä henkilöstä hänen syyllisyytensä osoittamiseksi eroaa perustavanlaatuisella tavalla sellaisten tietojen saannista, jotka voivat paljastaa jo todetun rikoksen tekijän henkilöllisyyden.
74.
Näin on mielestäni etenkin siksi, että IP‑osoitteiden kerääminen vertaisverkoissa edellyttää etukäteislupaa, joka koskee ainoastaan näitä tietoja, joten Hadopilla ei koskaan ole hallussaan rajoittamatonta tietokokonaisuutta niistä internetin käyttäjistä, joiden epäillään syyllistyneen tekijänoikeuden loukkaukseen internetissä. (
31
)
75.
Näin ollen tuomioistuimen tai riippumattoman hallinnollisen elimen suorittamaa etukäteisvalvonta koskevan vaatimuksen taustalla olevaa logiikkaa ei voida soveltaa pääasiassa kyseessä olevan kaltaiseen porrastetun reagoinnin menettelyyn, joten tällainen vaatimus ei ole nähdäkseni välttämätön sen varmistamiseksi, että menettelyn tarkoittama puuttuminen perusoikeuksiin rajoittuu täysin välttämättömään.
76.
Kaikesta edellä esitetystä seuraa, että kansallinen lainsäädäntö, jossa sallitaan Hadopin kaltaisen riippumattoman hallintoviranomaisen säilyttää ja saada IP‑osoitetta vastaavia henkilöllisyyttä koskevia tietoja, jotta se voi yksilöidä tekijänoikeuden loukkauksiin syylliseksi epäillyt osoitteiden haltijat, ilman, että tämä tietojen saanti edellyttää tuomioistuimen tai riippumattoman hallinnollisen elimen etukäteisvalvontaa, on viime kädessä unionin tuomioistuimen oikeuskäytännössä vahvistettujen periaatteiden mukainen silloin, kun nämä tiedot ovat ainoa keino tunnistaa henkilö, jolle IP‑osoite oli annettu kyseessä olevan rikoksen tekohetkellä, mikä tarkoittaa, että direktiivin 2002/58 15 artiklan 1 kohtaa olisi tulkittava siten, ettei se ole esteenä tällaiselle lainsäädännölle.
77.
Näiden pääasiaa koskevien erityisten seikkojen lisäksi minun on vielä esitettävä yleisempiä huomautuksia siitä, miksi unionin tuomioistuimen oikeuskäytäntöä on tarpeen kehittää tällä tavoin.
C
Välttämätön ja rajoitettu oikeuskäytännön kehittäminen
78.
On useita syitä tarkentaa unionin tuomioistuimen oikeuskäytäntöä, joka koskee henkilöllisyyttä koskeviin tietoihin yhdistettyjen IP‑osoitteiden kaltaisten tietojen säilyttämistä ja saantia.
79.
Ensinnäkin ja kuten olen jo korostanut, (
32
) pääasiassa kyseessä olevassa tilanteessa oikeus saada IP‑osoitetta vastaavia henkilöllisyyttä koskevia tietoja on ainoa tutkintakeino, jolla voidaan yksilöidä henkilö, jolle kyseinen osoite oli annettu kyseisen rikoksen tekohetkellä.
80.
Tästä seuraa väistämättä, että jos unionin tuomioistuin päätyisi katsomaan, että direktiivin 2002/58 15 artiklan 1 kohta on tästä huolimatta esteenä näiden tietojen säilyttämiselle ja saannille, kansalliset viranomaiset menettäisivät tosiasiassa tämän ainoan yksilöintikeinon eikä kyseisen rikoksen tekijöihin näin ollen voitaisi koskaan kohdistaa rikosoikeudellisia menettelyjä. (
33
) Ensimmäisessä ratkaisuehdotuksessani tämä sai minut pohtimaan mahdollisuutta, että tällaiset rikokset jäävät systemaattisesti rankaisematta. (
34
)
81.
Systemaattisen rankaisematta jäämisen riski ei rajoitu vertaisverkoissa tehtyihin tekijänoikeusloukkauksiin, vaan se koskee kaikkia yksinomaan verkossa tehtyjä rikoksia, kuten Tšekin hallitus on istunnossa todennut.
82.
Rikoksiin, joiden tekijä voidaan tunnistaa ainoastaan IP‑osoitteen avulla, ei nimittäin koskaan voitaisi kohdistaa rikosoikeudellisia menettelyjä, eikä säädöksiä, joissa niistä säädetään seuraamuksia, koskaan voitaisi soveltaa, jos katsottaisiin, että sekä näiden tietojen säilyttäminen että niiden saanti ovat unionin oikeuden vastaisia.
83.
Huomautan tältä osin olevan totta, kuten pääasian kantajat ovat esittäneet, että tiettyjen yksinomaan verkossa tehtyjen rikosten tekijät voitaisiin teoriassa tunnistaa muin keinoin. Ne viittaavat muun muassa sosiaalisessa mediassa käytettyyn tunnisteeseen ja käyttäjän tiliin liittyviin tietoihin, hänen sähköpostiosoitteeseensa tai puhelinnumeroonsa taikka käyttäjän paljastamaan seikkaan, joka liittyy hänen yksityiselämäänsä. Jotta tällaiset tiedot voidaan yhdistää tiettyyn henkilöön, ne edellyttävät kuitenkin perusteellisia tutkimuksia, joissa tarkastellaan internetin käyttäjän toimintaa verkossa. Toisin kuin pelkkä IP‑osoite, tällaisten tutkintakeinojen käyttäminen siis mahdollistaisi mielestäni tarkkojen päätelmien tekemisen henkilöiden yksityiselämästä, jolloin näiden tietojen säilyttäminen ja saanti ovat tästä syystä direktiivin 2002/58 15 artiklan 1 kohdan vastaisia.
84.
Pääsy internetin käyttäjän IP‑osoitetta vastaaviin henkilöllisyyttä koskeviin tietoihin ei siis ole teoriassa ainoa tutkintakeino, jonka avulla voidaan tunnistaa henkilö, joka oli kyseisen osoitteen haltija rikoksen tekohetkellä, mutta se on tutkintakeino, joka mahdollistaa rikosoikeudellisen menettelyn kohdistamisen tähän henkilöön siten, että hänen perusoikeuksiinsa puututaan mahdollisimman vähän, ja näin ollen yleisen rankaisemattomuuden välttämisen.
85.
Toiseksi korostan jälleen, että mielestäni tällaisella ratkaisulla voitaisiin sovittaa yhteen unionin tuomioistuimen kaksi oikeuskäytäntölinjaa, joista aiheutuu ensimmäisessä ratkaisuehdotuksessani (
35
) ja ratkaisuehdotuksessani M.I.C.M. (
36
) mainitsemani tietty jännite sellaisten oikeuskäytäntöjen välille, jotka koskevat yhtäältä tietojen säilyttämistä ja saantia ja toisaalta liittymän lähteelle annettujen IP‑osoitteiden paljastamista näiden oikeuksien suojaamiseksi nostettujen, yksityisten vireille panemien kanteiden yhteydessä.
86.
Kolmanneksi on todettava, että vaikka tuomioista Tele2 ja La Quadrature du Net ym. alkanut unionin tuomioistuimen oikeuskäytäntö on tervetullutta, koska sen pohjalta on voitu luoda kehikko sähköisten viestintäpalvelujen käyttäjien perusoikeuksien suojaamiseksi, sille on kuitenkin ominaista eräänlainen tapauskohtaisuus. Unionin tuomioistuin on nimittäin hionut oikeuskäytäntöään asteittain sitä mukaa, kun sen käsiteltäväksi on saatettu asioita, joissa se on tarkastellut erilaisia kansallisia säännöksiä direktiivin 2002/58 15 artiklan 1 kohdan valossa. Unionin tuomioistuin ei kuitenkaan kykene ennakoimaan kaikkia käytännössä mahdollisia toimenpiteitä, joita voitaisiin tarkastella tämän säännöksen valossa. Tähän viittaa myös se, että tuomion Tele2 jälkeen kyseinen säännös on ollut useiden ennakkoratkaisupyyntöjen (
37
) kohteena, mikä mielestäni osoittaa, että kansallisilla tuomioistuimilla voi olla vaikeuksia soveltaa unionin tuomioistuimen oikeuskäytännössä esitettyjä periaatteita kyseisiin tuomioihin johtaneista tilanteista poikkeaviin tilanteisiin. (
38
)
87.
Tästä seuraa näin ollen, että tietty joustavuus on mielestäni tarpeen unionin tuomioistuimen tutkiessa toimenpiteitä, joita ei voitu ennakoida aikaisempien tuomioiden yhteydessä, kuten sellaisia rikoksia koskevaa lainsäädäntöä, joihin voidaan kohdistaa rikosoikeudellisia menettelyjä vain, jos IP‑osoitetta vastaavat henkilöllisyyttä koskevat tiedot on säilytetty ja ne ovat saatavissa; tällaista lainsäädäntöä unionin tuomioistuin ei ole toistaiseksi käsitellyt.
88.
Toisin kuin Tanskan hallitus on väittänyt, ei siis ole kyse unionin tuomioistuimen oikeuskäytännön uudelleentarkastelusta, vaan sen myöntämisestä, että tarkoin rajatuissa olosuhteissa oikeuskäytännön perusperiaatteiden pohjalta voidaan tehdä monivivahteisempi ratkaisu.
89.
Ehdottamani tulkinta direktiivin 2002/58 15 artiklan 1 kohdasta nimittäin mahdollistaa IP‑osoitetta vastaavien henkilöllisyyttä koskevien tietojen säilyttämisen ja saannin vain, kun on kyse sellaista rikosta koskevasta rikosoikeudellisesta menettelystä, jonka tekijää ei voitaisi tunnistaa ilman näitä tietoja. Se koskee siis ainoastaan rikoksia, jotka on tehty yksinomaan internetissä, eikä sillä kyseenalaisteta oikeuskäytäntöratkaisuja, jotka koskevat laajempien tietojen säilyttämistä ja saantia, joilla pyritään muihin tavoitteisiin.
V Ratkaisuehdotus
90.
Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Conseil d’État’n esittämiin ennakkoratkaisukysymyksiin seuraavasti:
Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi), sellaisena kuin se on muutettuna 25.11.2009 annetulla Euroopan parlamentin ja neuvoston direktiivillä 2009/136/EY, 15 artiklan 1 kohtaa, luettuna Euroopan unionin perusoikeuskirjan 7, 8 ja 11 artiklan sekä 52 artiklan 1 kohdan valossa,
on tulkittava siten, että
se ei ole esteenä kansalliselle lainsäädännölle, jonka nojalla sähköisten viestintäpalvelujen tarjoaja voi säilyttää ja hallintoviranomainen, joka vastaa tekijänoikeuden ja lähioikeuksien suojaamisesta internetissä tapahtuvilta näiden oikeuksien loukkauksilta, voi saada tietoja, jotka rajoittuvat IP‑osoitetta vastaaviin henkilöllisyyttä koskeviin tietoihin, jotta tämä viranomainen voi yksilöidä IP‑osoitteiden haltijat, joiden epäillään syyllistyneen kyseisiin oikeuksien loukkauksiin, ja tarvittaessa kohdistaa heihin toimenpiteitä ilman, että tämän tietojen saannin edellytyksenä on tuomioistuimen tai riippumattoman hallinnollisen elimen suorittama etukäteisvalvonta, jos nämä tiedot ovat ainoa tutkintakeino, jolla voidaan yksilöidä henkilöt, joille kyseiset osoitteet oli annettu kyseisen rikoksen tekohetkellä.
(
1
)	Alkuperäinen kieli: ranska.
(
2
)	Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annettu Euroopan parlamentin ja neuvoston direktiivi (sähköisen viestinnän tietosuojadirektiivi) (EYVL 2002, L 201, s. 37), sellaisena kuin se on muutettuna 25.11.2009 annetulla Euroopan parlamentin ja neuvoston direktiivillä 2009/136/EY (EUVL 2009, L 337, s. 11) (jäljempänä direktiivi 2002/58).
(
3
)	Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi (EYVL 1995, L 281, s. 31).
(
4
)	JORF 7.3.2010, teksti nro 19.
(
5
)	JORF 31.7.2021, teksti nro 1. Tämä versio 31.7.2021 lähtien voimassa olleen koodeksin L. 34‑1 §:stä hyväksyttiin sen jälkeen, kun Conseil d’État oli antanut 21.4.2021 päätöksen 393099 (JORF 25.4.2021), jolla hylättiin kyseisen pykälän edellinen versio, jossa säädettiin velvollisuudesta säilyttää henkilötietoja ”[CPI:n] L. 336‑3 §:ssä määritellyn velvollisuuden laiminlyönnin tutkintaa, toteamista ja syyteharkintaa varten” yksinomaan sen mahdollistamiseksi, että nämä tiedot asetetaan tarvittaessa muun muassa Hadopin saataville. Conseil constitutionnel (perustuslakituomioistuin, Ranska) totesi 25.2.2022 antamassaan tuomiossa nro 2021‑976‑977 QPC (Habib A. ym.) tämän kyseisen koodeksin L. 34‑1 §:n aikaisemman version Ranskan perustuslain vastaiseksi lähinnä siitä syystä, että ”riidanalaisilla säännöksillä, joilla sallitaan yhteystietojen yleinen ja erotuksetta tapahtuva säilyttäminen, loukataan suhteettomasti oikeutta nauttia yksityiselämän kunnioitusta” (13 kohta). Kyseinen tuomioistuin nimittäin totesi, että yhteystiedot, jotka kyseisten säännösten nojalla oli säilytettävä, liittyvät paitsi sähköisten viestintäpalvelujen käyttäjien tunnistautumiseen myös muihin tietoihin, jotka ”ottaen huomioon näiden tietojen luonne, moninaisuus ja se, miten niitä voidaan käsitellä, paljastavat käyttäjistä ja tapauksen mukaan kolmansista osapuolista monia täsmällisiä tietoja, jotka erityisen vakavasti loukkaavat heidän yksityisyyttään” (11 kohta).
(
6
)	Conseil supérieur de l’audiovisuel (CSA) (audiovisuaalisen viestinnän neuvosto, Ranska) ja Hadopi muodostivat 1.1.2022 Autorité de régulation de la communication audiovisuelle et numériquen (Arcom) (audiovisuaalialan ja digitaalisen viestinnän sääntelyviranomainen, Ranska). Pääasian tosiseikkojen tapahtumisajankohdan vuoksi viittaan kuitenkin tässä ratkaisuehdotuksessa Hadopiin.
(
7
)	Pidän myös voimassa ennakkoratkaisukysymysten uudelleenmuotoilua koskevan ehdotukseni sekä käsitykseni niiden kohteesta. On nimittäin niin, että vaikka ennakkoratkaisukysymyksissä mainitaan ainoastaan oikeus saada IP‑osoitetta vastaavia henkilöllisyyttä koskevia tietoja, kysymys pääsystä tietoihin liittyy erottamattomasti siihen, että sähköisten viestintäpalvelujen tarjoajat säilyttävät kyseisiä tietoja, joten ennen kuin tarkastellaan sitä, onko pääsy tietoihin unionin oikeuden mukainen, on välttämättä tarkasteltava tietojen säilyttämisen yhteensopivuutta unionin oikeuden kanssa. Ks. tältä osin ensimmäisen ratkaisuehdotukseni 45 kohta ja sitä seuraavat kohdat. Samalla tavoin on niin, että vaikka ennakkoratkaisukysymykset koskevat ”IP‑osoitetta vastaavia henkilöllisyyttä koskevia tietoja”, ne on ymmärrettävä siten, että ne koskevat myös pääsyä IP‑osoitteeseen, jonka avulla liittymän lähde voidaan tunnistaa. Ks. tältä osin ensimmäisen ratkaisuehdotukseni 41 kohta ja sitä seuraavat kohdat.
(
8
)	Tuomio 21.12.2016 (C‑203/15 ja C‑698/15, EU:C:2016:970; jäljempänä tuomio Tele2).
(
9
)	Tuomio 6.10.2020 (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791; jäljempänä tuomio La Quadrature du Net ym.).
(
10
)	Ks. tältä osin CNIL:n 10.6.2010 tekemä päätös nro 2010‑225, jolla muutettiin Société des auteurs, compositeurs et éditeurs de musiquen (SACEM) (musiikkialan tekijänoikeusjärjestö, Ranska) lupaa sellaiseen henkilötietojen käsittelyyn, jonka tarkoituksena on tiedostojen vaihtoon käytettävien vertaisverkkojen kautta tehtyjen oikeudenloukkausrikosten tutkiminen ja toteaminen (lupa nro 1425421).
(
11
)	Vertaisverkkojen toiminnasta ja näiden verkkojen käyttäjien erilaisista profiileista ks. ratkaisuehdotukseni M.I.C.M. (C‑597/19, EU:C:2020:1063, 37 kohta ja sitä seuraavat kohdat).
(
12
)	Ks. ensimmäisen ratkaisuehdotukseni 53 kohta ja sitä seuraavat kohdat.
(
13
)	Yksityisyyden suojaa ja henkilötietojen suojaa koskevat oikeudet ilmenevät direktiivin 2002/58 yhteydessä siinä säädettyinä viestinnän luottamuksellisuuden ja siihen liittyvien tietojen tallentamisen kiellon periaatteina.
(
14
)	Tuomio La Quadrature du Net ym. (120–122, 127 ja 128 kohta); tuomio 5.4.2022, Commissioner of An Garda Síochána ym. (C‑140/20, EU:C:2022:258, 48 ja 50 kohta; jäljempänä tuomio Commissioner of An Garda Síochána ym.) ja tuomio 20.9.2022, SpaceNet ja Telekom Deutschland (C‑793/19 ja C‑794/19, EU:C:2022:702, 63 ja 65 kohta; jäljempänä tuomio SpaceNet ja Telekom Deutschland).
(
15
)	Tuomio La Quadrature du Net ym. (129 kohta); tuomio Commissioner of An Garda Síochána ym. (51 kohta) ja tuomio SpaceNet ja Telekom Deutschland (66 kohta).
(
16
)	Tuomio Commissioner of An Garda Síochána ym. (56 kohta) ja tuomio SpaceNet ja Telekom Deutschland (71 kohta).
(
17
)	Tuomio Tele2 (115 kohta); tuomio 2.10.2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, 56 kohta) ja tuomio 2.3.2021, Prokuratuur (Sähköiseen viestintään liittyvien tietojen saannin edellytykset) (C‑746/18, EU:C:2021:152, 33 kohta; jäljempänä tuomio Prokuratuur). Ks. myös ensimmäisen ratkaisuehdotukseni 92 kohta.
(
18
)	Ks. tuomio Quadrature du Net ym. (152 ja 153 kohta); tuomio Commissioner of An Garda Síochána ym. (73 kohta) ja tuomio SpaceNet ja Telekom Deutschland (103 kohta). Ks. myös ensimmäisen ratkaisuehdotukseni 63, 64 ja 93 kohta.
(
19
)	Olen ensimmäisessä ratkaisuehdotuksessani todennut, että vakavan rikollisuuden käsitteelle olisi annettava itsenäinen tulkinta, jotta jäsenvaltiot eivät voisi kiertää direktiivin 2002/58 15 artiklan 1 kohdassa asetettuja vaatimuksia. Olen yhä samaa mieltä. On kuitenkin korostettava, että vaikka unionin tuomioistuin katsoisi, että on jäsenvaltioiden tehtävänä määritellä vakavan rikollisuuden käsite, se olisi joka tapauksessa määriteltävä unionin oikeudessa asetetuissa rajoissa, eikä määritelmä saisi olla niin laaja, että kyseinen säännös menettää merkityksensä.
(
20
)	Ensimmäisen ratkaisuehdotukseni 101 kohta.
(
21
)	Tuomio La Quadrature du Net ym. (120–122 ja 132 kohta); tuomio Commissioner of An Garda Síochána ym. (48 ja 54 kohta) ja tuomio SpaceNet ja Telekom Deutschland (63 ja 69 kohta).
(
22
)	Ensimmäisen ratkaisuehdotukseni 78 kohta.
(
23
)	Tuomio La Quadrature du Net ym. (154 kohta); tuomio Commissioner of An Garda Síochána ym. (73 kohta) ja tuomio SpaceNet ja Telekom Deutschland (100 kohta).
(
24
)	Tuomio Commissioner of An Garda Síochána ym. (69 kohta).
(
25
)	Ensimmäisen ratkaisuehdotukseni 81 kohta. Ks. tästä myös tämän ratkaisuehdotuksen 79 kohta ja sitä seuraavat kohdat.
(
26
)	Tuomio Tele2 (120 kohta); tuomio Prokuratuur (51 ja 52 kohta) ja tuomio Commissioner of An Garda Síochána ym. (106 ja 107 kohta).
(
27
)	Tuomio Tele2 ja tuomio Commissioner of An Garda Síochána ym.
(
28
)	Tuomio Prokuratuur.
(
29
)	Tuomio Prokuratuur (36 kohta).
(
30
)	Ensimmäisen ratkaisuehdotukseni 102 kohta.
(
31
)	Tämän ratkaisuehdotuksen 33 kohta.
(
32
)	Tämän ratkaisuehdotuksen 59 kohta.
(
33
)	Tämän ratkaisuehdotuksen 62 kohta.
(
34
)	Ensimmäisen ratkaisuehdotukseni 78 kohta ja sitä seuraavat kohdat.
(
35
)	Ks. ensimmäisen ratkaisuehdotukseni 69 kohta ja sitä seuraavat kohdat.
(
36
)	C‑597/19, EU:C:2020:1063.
(
37
)	Tuomio 2.10.2018Ministerio Fiscal (C‑207/16, EU:C:2018:788); tuomio La Quadrature du Net ym.; tuomio Prokuratuur; tuomio Commissioner of An Garda Síochána ym. ja tuomio SpaceNet ja Telekom Deutschland.
(
38
)	Direktiivin 2002/58 15 artiklan 1 kohdan tulkintaa koskevien ennakkoratkaisupyyntöjen suuri määrä voi myös viitata siihen, että kansalliset tuomioistuimet ovat kansallisten oikeusjärjestysten erityispiirteiden vuoksi jossain määrin haluttomia soveltamaan unionin tuomioistuimen vahvistamia periaatteita tilanteisiin, jotka ovat hieman erilaisia. Ks. tästä erityisesti Cameron, I., ”Metadata retention and national security: Privacy international and La Quadrature du Net”, Common Market Law Review, 2021 osa 58(5), s. 1433–1471 tai Bertrand, B., ”L’audace sans le tact: jusqu’où la Cour de justice peut‑elle aller trop loin?”, Dalloz IP/IT, 2021 no 9, s. 468–472. Unionin tuomioistuimen ja jäsenvaltioiden tuomioistuinten välisen tuloksellisen vuoropuhelun ylläpitämiseksi olisikin mielestäni erityisen tärkeää, että unionin tuomioistuin voisi joustaa olosuhteiden sitä edellyttäessä. Kuten oikeuskirjallisuudessa on todettu, unionin tuomioistuimen oikeuskäytännössä vahvistettu suojan korkea taso ei voi olla tosiasiallisesti tehokas, jolleivät sen täytäntöönpanosta ensisijaisesti vastaavat kansalliset tuomioistuimet noudata sitä. Ks. tästä erityisesti Teyssedre, J., ”Strictly regulated retention and access regimes for metadata: Commissioner of An Garda Siochana”, Common Market Law Review, osa 60, nro 2, 2023 s. 569–588 ja Sirinelli, J., ”La protection des données de connexion par la Cour de justice: cartographie d’une jurisprudence européenne inédite”, Revue trimestrielle de droit européen, osa 57, nro 2, 2021 s. 313–329.