Υπόθεση C-470/21
La Quadrature du Net και Fédération des fournisseurs d’accès à Internet associatifs και Franciliens.net και French Data Network
κατά
Premier ministre και Ministère de la Culture
[αίτηση του Conseil d’État (Συμβουλίου της Επικρατείας, Γαλλία)
για την έκδοση προδικαστικής αποφάσεως]
Απόφαση του Δικαστηρίου (ολομέλεια) της 30ής Απριλίου 2024
«Προδικαστική παραπομπή – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58/ΕΚ – Απόρρητο των ηλεκτρονικών επικοινωνιών – Προστασία – Άρθρο 5 και άρθρο 15, παράγραφος 1 – Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης – Άρθρα 7, 8 και 11 και άρθρο 52, παράγραφος 1 – Εθνική νομοθεσία η οποία αποσκοπεί στην καταπολέμηση, μέσω της δράσης δημόσιας αρχής, των προσβολών δικαιωμάτων διανοητικής ιδιοκτησίας οι οποίες διαπράττονται μέσω διαδικτύου – Διαδικασία της “κλιμακούμενης απάντησης” – Συλλογή, σε προγενέστερο στάδιο, από οργανισμούς δικαιούχων, των διευθύνσεων IP που χρησιμοποιούνται για δραστηριότητες οι οποίες προσβάλλουν δικαιώματα πνευματικής ιδιοκτησίας ή συγγενικά δικαιώματα – Πρόσβαση, σε μεταγενέστερο στάδιο, της δημόσιας αρχής που είναι επιφορτισμένη με την προστασία των δικαιωμάτων πνευματικής ιδιοκτησίας και των συγγενικών δικαιωμάτων σε δεδομένα σχετικά με την ταυτότητα που αντιστοιχούν σε αυτές τις διευθύνσεις IP τα οποία διατηρούνται από τους παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών – Αυτοματοποιημένη επεξεργασία – Απαίτηση προηγούμενου ελέγχου από δικαστήριο ή ανεξάρτητη διοικητική οντότητα – Ουσιαστικές και διαδικαστικές προϋποθέσεις – Εγγυήσεις κατά του κινδύνου καταχρήσεων καθώς και κατά οποιασδήποτε παράνομης πρόσβασης σε αυτά τα δεδομένα και οποιασδήποτε παράνομης χρήσης τους»
1.        Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Έννοια της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Συλλογή, από οργανισμούς δικαιούχων, των διευθύνσεων IP χρηστών διομότιμου δικτύου (peer-to-peer) με σκοπό τη χρήση τους σε διοικητικές ή ένδικες διαδικασίες – Εμπίπτει
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 4, σημείο 2, και 6 § 1, εδ. 1, στοιχείο στʹ)
(βλ. σκέψεις 54, 60-62)
2.        Προσέγγιση των νομοθεσιών – Τομέας των τηλεπικοινωνιών – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58 – Πεδίο εφαρμογής – Αντιστοίχιση, από τους παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών, των διευθύνσεων IP που συλλέχθηκαν με τους κατόχους των εν λόγω διευθύνσεων, με σκοπό τη χρήση των δεδομένων αυτών σε διοικητικές ή ένδικες διαδικασίες – Εμπίπτει
(Οδηγία 2002/58 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, όπως τροποποιήθηκε με την οδηγία 2009/136, άρθρο 3)
(βλ. σκέψεις 55, 63)
3.        Προσέγγιση των νομοθεσιών – Τομέας των τηλεπικοινωνιών – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58 – Δυνατότητα των κρατών μελών να περιορίζουν ορισμένα δικαιώματα και υποχρεώσεις – Εθνική ρύθμιση προβλέπουσα τη γενική και χωρίς διάκριση διατήρηση των δεδομένων σχετικά με την ταυτότητα που αντιστοιχούν σε διευθύνσεις IP – Σκοπός καταπολέμησης των ποινικών αδικημάτων εν γένει – Επιτρέπεται – Προϋποθέσεις – Υποχρέωση κράτους μέλους να προβλέπει αυστηρές απαιτήσεις σχετικά με τον τρόπο διατήρησης των εν λόγω δεδομένων
(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 7, 8, 11 και 52 § 1· οδηγία 2002/58 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, όπως τροποποιήθηκε με την οδηγία 2009/136, άρθρο 15 § 1)
(βλ. σκέψεις 65-70, 73-93)
4.        Προσέγγιση των νομοθεσιών – Τομέας των τηλεπικοινωνιών – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58 – Δυνατότητα των κρατών μελών να περιορίζουν ορισμένα δικαιώματα και υποχρεώσεις – Εθνική ρύθμιση επιτρέπουσα σε δημόσια αρχή να έχει πρόσβαση στα δεδομένα σχετικά με την ταυτότητα που αντιστοιχούν σε διευθύνσεις IP – Ρύθμιση με σκοπό την καταπολέμηση των προσβολών δικαιωμάτων πνευματικής ιδιοκτησίας και συγγενικών δικαιωμάτων που διαπράττονται μέσω διαδικτύου – Επιτρέπεται – Προϋποθέσεις
(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 7, 8, 11 και 52 § 1· οδηγία 2002/58 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, όπως τροποποιήθηκε με την οδηγία 2009/136, άρθρο 15 § 1)
(βλ. σκέψεις 95-104, 110-114, 116-119, 122, 164 και διατακτικό)
5.        Προσέγγιση των νομοθεσιών – Τομέας των τηλεπικοινωνιών – Επεξεργασία των δεδομένων προσωπικού χαρακτήρα και προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών – Οδηγία 2002/58 – Δυνατότητα των κρατών μελών να περιορίζουν ορισμένα δικαιώματα και υποχρεώσεις – Εθνική ρύθμιση επιτρέπουσα σε δημόσια αρχή να έχει πρόσβαση στα δεδομένα σχετικά με την ταυτότητα που αντιστοιχούν σε διευθύνσεις IP – Ρύθμιση με σκοπό την καταπολέμηση των προσβολών δικαιωμάτων πνευματικής ιδιοκτησίας και συγγενικών δικαιωμάτων που διαπράττονται μέσω διαδικτύου – Απαίτηση διενέργειας ελέγχου από δικαστήριο ή ανεξάρτητη διοικητική οντότητα πριν από την πρόσβαση στα εν λόγω δεδομένα – Περιεχόμενο – Διαδικασία του προηγούμενου ελέγχου
(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 7, 8, 11 και 52 § 1· οδηγία 2002/58 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, όπως τροποποιήθηκε με την οδηγία 2009/136, άρθρο 15 § 1)
(βλ. σκέψεις 124-143, 145, 146, 148, 151, 164 και διατακτ.)
6.        Προσέγγιση των νομοθεσιών – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα σε ποινικές υποθέσεις – Οδηγία 2016/680 – Πεδίο εφαρμογής – Έννοια της δημόσιας αρχής – Εθνική αρχή χωρίς εξουσίες λήψης αποφάσεως επιφορτισμένη με την ενημέρωση των προσώπων για τα οποία υπάρχουν υπόνοιες ότι έχουν διαπράξει ποινικά αδικήματα – Εμπίπτει – Δυνατότητα εφαρμογής των ουσιαστικών και διαδικαστικών εγγυήσεων
(Οδηγία 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 3)
(βλ. σκέψεις 157-163)
Σύνοψη
Τα τελευταία χρόνια το Δικαστήριο κλήθηκε επανειλημμένως να αποφανθεί σχετικά με τη διατήρηση των δεδομένων προσωπικού χαρακτήρα και την πρόσβαση σε τέτοια δεδομένα στον τομέα των ηλεκτρονικών επικοινωνιών, με αποτέλεσμα τη διαμόρφωση πλούσιας νομολογίας συναφώς (1). Επιληφθείσα αιτήσεως προδικαστικής αποφάσεως την οποία υπέβαλε το Conseil d’État (Συμβούλιο της Επικρατείας, Γαλλία), η ολομέλεια του Δικαστηρίου αναπτύσσει περαιτέρω την εν λόγω νομολογία παρέχοντας διευκρινίσεις, αφενός, σχετικά με τις προϋποθέσεις υπό τις οποίες μπορεί να θεωρηθεί ότι γενική διατήρηση διευθύνσεων IP από παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών δεν συνεπάγεται σοβαρή επέμβαση στα δικαιώματα του σεβασμού της ιδιωτικής ζωής, της προστασίας των δεδομένων προσωπικού χαρακτήρα και της ελευθερίας έκφρασης που κατοχυρώνονται στον Χάρτη (2), και αφετέρου, σχετικά με τη δυνατότητα δημόσιας αρχής να αποκτά πρόσβαση σε ορισμένα δεδομένα προσωπικού χαρακτήρα τα οποία διατηρούνται τηρουμένων των εν λόγω προϋποθέσεων, στο πλαίσιο της καταπολέμησης των αδικημάτων που προσβάλλουν τα δικαιώματα διανοητικής ιδιοκτησίας και διαπράττονται μέσω του διαδικτύου.
Στην υπό κρίση υπόθεση, τέσσερις ενώσεις υπέβαλαν στον Premier ministre (Πρωθυπουργό, Γαλλία) αίτηση κατάργησης του διατάγματος σχετικά με την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα (3). Λόγω της σιωπηρής απόρριψης της αίτησής τους, οι εν λόγω ενώσεις άσκησαν αίτηση ακυρώσεως ενώπιον του Conseil d’État (Συμβουλίου της Επικρατείας) με αίτημα την ακύρωση της εν λόγω σιωπηρής απορριπτικής απόφασης. Κατά τις αιτούσες, το επίμαχο διάταγμα και οι διατάξεις που συνιστούν τη νομική βάση του (4) παραβιάζουν το δίκαιο της Ένωσης.
Δυνάμει της γαλλικής νομοθεσίας, η Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (Ανώτατη Αρχή για τη διάδοση των έργων και την προστασία των δικαιωμάτων στο διαδίκτυο, στο εξής: Hadopi), προκειμένου να μπορεί να ταυτοποιήσει τους υπευθύνους προσβολών των δικαιωμάτων πνευματικής ιδιοκτησίας ή των συγγενικών δικαιωμάτων που διαπράττονται μέσω διαδικτύου, έχει εξουσία πρόσβασης σε ορισμένα δεδομένα τα οποία οφείλουν να διατηρούν οι πάροχοι υπηρεσιών ηλεκτρονικών επικοινωνιών. Πρόκειται για δεδομένα σχετικά με την ταυτότητα υποκειμένου δεδομένων σε αντιστοιχία με τη διεύθυνση IP του προσώπου αυτού την οποία έχουν συλλέξει προηγουμένως οργανισμοί δικαιούχων. Μόλις ταυτοποιηθεί ο κάτοχος της διεύθυνσης IP που χρησιμοποιήθηκε για δραστηριότητες που συνιστούν τέτοια προσβολή, η Hadopi εφαρμόζει την καλούμενη διαδικασία «κλιμακούμενης απάντησης». Συγκεκριμένα, η Hadopi εξουσιοδοτείται να αποστέλλει, στο συγκεκριμένο πρόσωπο, δύο συστάσεις οι οποίες ισοδυναμούν με προειδοποιήσεις και, σε περίπτωση συνέχισης των δραστηριοτήτων, επιστολή με την οποία το ενημερώνει ότι οι δραστηριότητές του μπορεί να έχουν ως αποτέλεσμα την άσκηση ποινικής δίωξης. Τέλος, η Hadopi έχει το δικαίωμα να παραπέμψει την υπόθεση στην εισαγγελική αρχή για την άσκηση ποινικής δίωξης εις βάρος του εν λόγω προσώπου (5).
Στο πλαίσιο αυτό, το Conseil d’État (Συμβούλιο της Επικρατείας) υπέβαλε στο Δικαστήριο προδικαστικά ερωτήματα σχετικά με την ερμηνεία της οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες, υπό το πρίσμα του Χάρτη (6).
Εκτίμηση του Δικαστηρίου
Κατά πρώτον, όσον αφορά τη διατήρηση των δεδομένων σχετικά με την ταυτότητα και των αντίστοιχων διευθύνσεων IP, το Δικαστήριο υπογραμμίζει ότι κάθε γενική και χωρίς διάκριση διατήρηση των διευθύνσεων IP δεν συνιστά κατ’ ανάγκην σοβαρή επέμβαση στα δικαιώματα του σεβασμού της ιδιωτικής ζωής, της προστασίας των δεδομένων προσωπικού χαρακτήρα και της ελευθερίας έκφρασης που κατοχυρώνονται στον Χάρτη.
Η υποχρέωση διασφάλισης τέτοιας διατήρησης μπορεί να δικαιολογείται από τον σκοπό της καταπολέμησης των ποινικών αδικημάτων εν γένει, όταν αποκλείεται πράγματι το ενδεχόμενο η εν λόγω διατήρηση να μπορεί να συνεπάγεται σοβαρές επεμβάσεις στην ιδιωτική ζωή του υποκειμένου των δεδομένων λόγω της δυνατότητας άντλησης επακριβών συμπερασμάτων σχετικά με αυτήν μέσω, μεταξύ άλλων, συσχέτισης των επίμαχων διευθύνσεων ΙΡ και ενός συνόλου δεδομένων κίνησης ή θέσης.
Επομένως, κράτος μέλος το οποίο επιθυμεί να επιβάλει στους παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών τέτοια υποχρέωση πρέπει να διασφαλίσει ότι ο τρόπος διατήρησης των επίμαχων δεδομένων αποκλείει τη δυνατότητα να αντληθούν ακριβή συμπεράσματα σχετικά με την ιδιωτική ζωή των υποκειμένων των δεδομένων.
Το Δικαστήριο διευκρινίζει ότι, προς τούτο, ο τρόπος διατήρησης πρέπει να αφορά την ίδια τη δομή της διατήρησης η οποία πρέπει, κατ’ ουσίαν, να είναι οργανωμένη κατά τρόπο ώστε να διασφαλίζει πραγματικά στεγανό διαχωρισμό των διαφόρων κατηγοριών των διατηρούμενων δεδομένων. Επομένως, οι εθνικοί κανόνες σχετικά με τον εν λόγω τρόπο πρέπει να διασφαλίζουν ότι κάθε κατηγορία δεδομένων, περιλαμβανομένων των δεδομένων σχετικά με την ταυτότητα και των διευθύνσεων IP, διατηρείται πλήρως διαχωρισμένη από τις λοιπές κατηγορίες διατηρούμενων δεδομένων και ότι ο εν λόγω διαχωρισμός είναι πραγματικά στεγανός, μέσω ασφαλούς και αξιόπιστου συστήματος πληροφορικής. Επιπλέον, στο μέτρο που οι ως άνω κανόνες προβλέπουν τη δυνατότητα συσχέτισης των διατηρούμενων διευθύνσεων IP και της ταυτότητας του υποκειμένου των δεδομένων με σκοπό την καταπολέμηση των αδικημάτων, η εν λόγω συσχέτιση πρέπει να καθίσταται δυνατή μόνον με τη χρήση τεχνικής μεθόδου υψηλών επιδόσεων που δεν κλονίζει την αποτελεσματικότητα του στεγανού διαχωρισμού των εν λόγω κατηγοριών δεδομένων. Η αξιοπιστία του διαχωρισμού πρέπει να ελέγχεται τακτικά από τρίτη δημόσια αρχή. Εφόσον η εφαρμοστέα εθνική νομοθεσία προβλέπει τέτοιες αυστηρές απαιτήσεις, η επέμβαση που προκύπτει από την ως άνω διατήρηση των διευθύνσεων IP δεν μπορεί να χαρακτηριστεί ως «σοβαρή».
Επομένως, το Δικαστήριο συμπεραίνει ότι, όταν υπάρχει νομοθετική ρύθμιση με την οποία διασφαλίζεται ότι από κανέναν συνδυασμό δεδομένων δεν θα μπορέσουν να αντληθούν ακριβή συμπεράσματα σχετικά με την ιδιωτική ζωή των προσώπων των οποίων τα δεδομένα διατηρούνται, η οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες, ερμηνευόμενη υπό το πρίσμα του Χάρτη, δεν αντιτίθεται στην επιβολή, από κράτος μέλος, υποχρέωσης γενικής και χωρίς διάκριση διατήρησης των διευθύνσεων IP, για διάρκεια που δεν υπερβαίνει την απολύτως αναγκαία, για τον σκοπό της καταπολέμησης των ποινικών αδικημάτων εν γένει.
Κατά δεύτερον, όσον αφορά την πρόσβαση σε δεδομένα σχετικά με την ταυτότητα τα οποία αντιστοιχούν σε διευθύνσεις IP, το Δικαστήριο αποφαίνεται ότι η οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες, ερμηνευόμενη υπό το πρίσμα του Χάρτη, δεν αντιτίθεται, κατ’ αρχήν, σε εθνική ρύθμιση η οποία επιτρέπει την πρόσβαση, εκ μέρους δημόσιας αρχής, στα εν λόγω δεδομένα που διατηρούν οι πάροχοι υπηρεσιών ηλεκτρονικών επικοινωνιών χωριστά και με τρόπο πραγματικά στεγανό, με αποκλειστικό σκοπό η εν λόγω αρχή να μπορέσει να ταυτοποιήσει τους κατόχους των εν λόγω διευθύνσεων για τους οποίους υπάρχουν υπόνοιες ότι είναι υπεύθυνοι για προσβολές των δικαιωμάτων πνευματικής ιδιοκτησίας και των συγγενικών δικαιωμάτων που διαπράττονται στο διαδίκτυο και να λάβει μέτρα έναντι αυτών. Σε τέτοια περίπτωση, η εθνική ρύθμιση πρέπει να απαγορεύει στους υπαλλήλους που διαθέτουν τέτοια πρόσβαση, πρώτον, να αποκαλύπτουν υπό οποιαδήποτε μορφή πληροφορίες σχετικές με το περιεχόμενο των αρχείων που συμβουλεύονται οι κάτοχοι των διευθύνσεων IP, εκτός αν πρόθεση των εν λόγω υπαλλήλων είναι αποκλειστικώς να επιληφθεί συναφώς η εισαγγελική αρχή, δεύτερον, να εντοπίζουν τη διαδρομή πλοήγησης των εν λόγω κατόχων των διευθύνσεων IP και, τρίτον, να χρησιμοποιούν τις εν λόγω διευθύνσεις IP για σκοπό άλλο πλην της λήψης των εν λόγω μέτρων.
Στο πλαίσιο αυτό, το Δικαστήριο υπενθυμίζει, μεταξύ άλλων, ότι, μολονότι η ελευθερία έκφρασης και το απόρρητο των δεδομένων προσωπικού χαρακτήρα είναι πρωταρχικής σημασίας μελήματα, εντούτοις τα εν λόγω θεμελιώδη δικαιώματα δεν είναι απόλυτα. Συγκεκριμένα, στο πλαίσιο στάθμισης των εμπλεκόμενων δικαιωμάτων και συμφερόντων, τα δικαιώματα αυτά πρέπει ενίοτε να υποχωρούν έναντι άλλων θεμελιωδών δικαιωμάτων και επιτακτικών λόγων γενικού συμφέροντος, όπως η προάσπιση της δημόσιας τάξης και η πρόληψη των ποινικών αδικημάτων ή η προστασία των δικαιωμάτων και των ελευθεριών των τρίτων. Τούτο συμβαίνει, ειδικότερα, όταν η πρωτοκαθεδρία που αναγνωρίζεται στα ως άνω πρωταρχικής σημασίας μελήματα είναι ικανή να παρακωλύσει την αποτελεσματικότητα ποινικής έρευνας, μεταξύ άλλων καθιστώντας αδύνατη ή υπέρμετρα δυσχερή την αποτελεσματική ταυτοποίηση του δράστη ποινικού αδικήματος και την επιβολή κύρωσης εις βάρος του.
Στο ίδιο πλαίσιο, το Δικαστήριο παραπέμπει επίσης στη νομολογία του κατά την οποία, όσον αφορά την καταπολέμηση των ποινικών αδικημάτων που προσβάλλουν δικαιώματα πνευματικής ιδιοκτησίας ή συγγενικά δικαιώματα και διαπράττονται μέσω του διαδικτύου, το γεγονός ότι η πρόσβαση στις διευθύνσεις IP μπορεί να συνιστά το μόνο μέσο έρευνας το οποίο καθιστά δυνατή την ταυτοποίηση του υποκειμένου των δεδομένων αποδεικνύει ότι η διατήρηση των εν λόγω διευθύνσεων και η πρόσβαση σε αυτές είναι απολύτως αναγκαίες για την επίτευξη του επιδιωκόμενου σκοπού και, επομένως, ανταποκρίνονται στην απαίτηση αναλογικότητας. Εξάλλου, το να μην επιτραπεί τέτοια πρόσβαση θα συνεπαγόταν πραγματικό κίνδυνο συστημικής ατιμωρησίας ποινικών αδικημάτων που διαπράττονται μέσω του διαδικτύου ή των οποίων η τέλεση ή η προετοιμασία διευκολύνεται από τα ιδιαίτερα χαρακτηριστικά του διαδικτύου. Η ύπαρξη τέτοιου κινδύνου συνιστά, όμως, κρίσιμη περίσταση προκειμένου να εκτιμηθεί, στο πλαίσιο στάθμισης των διαφόρων εμπλεκόμενων δικαιωμάτων και συμφερόντων, εάν επέμβαση στα δικαιώματα του σεβασμού της ιδιωτικής ζωής, της προστασίας των δεδομένων προσωπικού χαρακτήρα και της ελευθερίας έκφρασης είναι αναλογικό μέτρο σε σχέση με τον σκοπό της καταπολέμησης των ποινικών αδικημάτων.
Κατά τρίτον, αποφαινόμενο επί του αν η πρόσβαση της δημόσιας αρχής στα δεδομένα σχετικά με την ταυτότητα τα οποία αντιστοιχούν σε διεύθυνση IP πρέπει να εξαρτάται από προηγούμενο έλεγχο από δικαστήριο ή ανεξάρτητη διοικητική αρχή, το Δικαστήριο εκτιμά ότι η ύπαρξη τέτοιου ελέγχου είναι επιβεβλημένη όταν, στο πλαίσιο εθνικής ρύθμισης, η εν λόγω πρόσβαση συνεπάγεται τον κίνδυνο σοβαρής επέμβασης στα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων, υπό την έννοια ότι θα μπορούσε να παράσχει στην εν λόγω δημόσια αρχή τη δυνατότητα να αντλήσει ακριβή συμπεράσματα σχετικά με την ιδιωτική ζωή του συγκεκριμένου προσώπου και, ενδεχομένως, να προσδιορίσει λεπτομερώς το προφίλ του. Αντιστρόφως, η απαίτηση προηγούμενου ελέγχου δεν εφαρμόζεται όταν η επέμβαση στα θεμελιώδη δικαιώματα δεν μπορεί να χαρακτηριστεί ως σοβαρή.
Συναφώς, το Δικαστήριο διευκρινίζει ότι, σε περίπτωση που θεσπίζεται τέτοια ρύθμιση διατήρησης που διασφαλίζει πραγματικά στεγανό διαχωρισμό των διαφόρων κατηγοριών διατηρούμενων δεδομένων, η πρόσβαση της δημόσιας αρχής στα δεδομένα σχετικά με την ταυτότητα τα οποία αντιστοιχούν στις διευθύνσεις IP δεν εξαρτάται, κατ’ αρχήν, από την απαίτηση προηγούμενου ελέγχου. Πράγματι, τέτοια πρόσβαση με αποκλειστικό σκοπό την ταυτοποίηση του κατόχου διεύθυνσης IP δεν συνιστά, κατά κανόνα, σοβαρή επέμβαση στα προμνησθέντα δικαιώματα.
Εντούτοις, το Δικαστήριο δεν αποκλείει το ενδεχόμενο, σε ιδιάζουσες περιπτώσεις, να υπάρχει κίνδυνος, στο πλαίσιο διαδικασίας όπως η επίμαχη στην κύρια δίκη διαδικασία κλιμακούμενης απάντησης, η δημόσια αρχή να μπορεί να αντλήσει ακριβή συμπεράσματα σχετικά με την ιδιωτική ζωή του υποκειμένου των δεδομένων, μεταξύ άλλων όταν το εν λόγω πρόσωπο επιδίδεται σε δραστηριότητες που προσβάλλουν τα δικαιώματα πνευματικής ιδιοκτησίας ή τα συγγενικά δικαιώματα, σε διομότιμα δίκτυα, επανειλημμένως, ή ακόμη και σε μεγάλη κλίμακα, σε σχέση με προστατευόμενα έργα συγκεκριμένων ειδών, που αποκαλύπτουν πληροφορίες, ενδεχομένως ευαίσθητες, σχετικά με την ιδιωτική ζωή του.
Εν προκειμένω, ο κάτοχος διεύθυνσης IP μπορεί να εκτίθεται ιδιαιτέρως σε τέτοιο κίνδυνο, όταν η δημόσια αρχή καλείται να αποφασίσει αν θα παραπέμψει ή όχι την υπόθεση στην εισαγγελική αρχή για την άσκηση δίωξης εις βάρος του. Συγκεκριμένα, η ένταση της προσβολής του δικαιώματος σεβασμού της ιδιωτικής ζωής μπορεί να αυξάνεται καθώς διανύονται τα διάφορα στάδια που απαρτίζουν τη διαδικασία κλιμακούμενης απάντησης, η οποία περιλαμβάνει διαδοχικές ενέργειες. Η πρόσβαση της δημόσιας αρχής στο σύνολο των δεδομένων τα οποία αφορούν το υποκείμενο των δεδομένων και συγκεντρώθηκαν κατά τα διάφορα στάδια της προμνησθείσας διαδικασίας μπορεί να καταστήσει δυνατή τη συναγωγή επακριβών συμπερασμάτων σχετικά με την ιδιωτική ζωή του. Ως εκ τούτου, η εθνική ρύθμιση πρέπει να προβλέπει προηγούμενο έλεγχο ο οποίος πρέπει να διενεργείται προτού η δημόσια αρχή μπορέσει να συσχετίσει δεδομένα σχετικά με την ταυτότητα με ένα τέτοιο σύνολο δεδομένων, καθώς και πριν από την ενδεχόμενη αποστολή της επιστολής ενημέρωσης με την οποία διαπιστώνεται ότι το εν λόγω πρόσωπο τέλεσε πράξεις σε σχέση με τις οποίες μπορούν να ασκηθούν ποινικές διώξεις. Εξάλλου, ο εν λόγω έλεγχος πρέπει να διαφυλάσσει την αποτελεσματικότητα της διαδικασίας κλιμακούμενης απάντησης καθιστώντας, ειδικότερα, δυνατό τον εντοπισμό περιπτώσεων νέας ενδεχόμενης επανάληψης της επίμαχης παραβατικής συμπεριφοράς. Προς τούτο, η εν λόγω διαδικασία πρέπει να οργανώνεται και να διαρθρώνεται κατά τρόπο ώστε τα δεδομένα σχετικά με την ταυτότητα ενός προσώπου τα οποία αντιστοιχούν σε διευθύνσεις IP που συλλέχθηκαν προηγουμένως στο διαδίκτυο να μη μπορούν να συσχετιστούν αυτομάτως, από τα πρόσωπα που είναι επιφορτισμένα, εντός της αρμόδιας δημόσιας αρχής, με την εξέταση των πραγματικών περιστατικών, με τα στοιχεία τα οποία η δημόσια αρχή έχει στη διάθεσή της και τα οποία θα μπορούσαν να καταστήσουν δυνατή τη συναγωγή επακριβών συμπερασμάτων σχετικά με την ιδιωτική ζωή του εν λόγω προσώπου.
Επιπλέον, όσον αφορά το αντικείμενο του προηγούμενου ελέγχου, το Δικαστήριο επισημαίνει ότι, στις περιπτώσεις στις οποίες υπάρχουν υπόνοιες ότι το υποκείμενο των δεδομένων διέπραξε αδίκημα, το οποίο εμπίπτει στα ποινικά αδικήματα εν γένει, το δικαστήριο ή η ανεξάρτητη διοικητική οντότητα που είναι επιφορτισμένα με τον εν λόγω έλεγχο πρέπει να αρνηθούν την πρόσβαση όταν αυτή θα παρείχε στη δημόσια αρχή τη δυνατότητα να αντλήσει ακριβή συμπεράσματα σχετικά με την ιδιωτική ζωή του υποκειμένου των δεδομένων. Αντιθέτως, ακόμη και πρόσβαση που καθιστά δυνατή την συναγωγή τέτοιων επακριβών συμπερασμάτων θα πρέπει να επιτρέπεται σε περιπτώσεις στις οποίες υπάρχουν υπόνοιες ότι το υποκείμενο των δεδομένων διέπραξε πλημμελήματα τα οποία, κατά το οικείο κράτος μέλος, θίγουν θεμελιώδες συμφέρον της κοινωνίας και, επομένως, εμπίπτουν στις σοβαρές μορφές εγκληματικότητας.
Το Δικαστήριο διευκρινίζει επίσης ότι ο προηγούμενος έλεγχος δεν θα μπορούσε σε καμία περίπτωση να είναι πλήρως αυτοματοποιημένος δεδομένου ότι, καθόσον πρόκειται περί ποινικής έρευνας, τέτοιος έλεγχος απαιτεί τη στάθμιση, αφενός, των έννομων συμφερόντων που σχετίζονται με την καταπολέμηση της εγκληματικότητας και, αφετέρου, του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα. Η εν λόγω στάθμιση απαιτεί την παρέμβαση φυσικού προσώπου, η οποία είναι κατά μείζονα λόγο αναγκαία δεδομένου ότι η αυτοματοποίηση και η μεγάλη κλίμακα της επίμαχης επεξεργασίας δεδομένων συνεπάγονται κινδύνους για την ιδιωτική ζωή.
Επομένως, το Δικαστήριο συμπεραίνει ότι η δυνατότητα των προσώπων που είναι επιφορτισμένα, εντός της δημόσιας αρχής, με την εξέταση των πραγματικών περιστατικών να συσχετίζουν τα δεδομένα σχετικά με την ταυτότητα ενός προσώπου τα οποία αντιστοιχούν σε διεύθυνση IP με τα αρχεία που περιέχουν στοιχεία από τα οποία μπορεί να καταστεί γνωστός ο τίτλος προστατευόμενων έργων, των οποίων η διάθεση στο διαδίκτυο δικαιολόγησε τη συλλογή των διευθύνσεων IP από οργανισμούς δικαιούχων πρέπει να υπόκειται, σε περιπτώσεις περαιτέρω επανάληψης, από το ίδιο πρόσωπο, δραστηριότητας που προσβάλλει τα δικαιώματα πνευματικής ιδιοκτησίας ή τα συγγενικά δικαιώματα, σε έλεγχο εκ μέρους δικαστηρίου ή ανεξάρτητης διοικητικής οντότητας. Ο εν λόγω έλεγχος δεν μπορεί να είναι πλήρως αυτοματοποιημένος και πρέπει να διενεργείται πριν από την προμνησθείσα συσχέτιση, η οποία μπορεί σε τέτοιες περιπτώσεις να καταστήσει δυνατή τη συναγωγή επακριβών συμπερασμάτων σχετικά με την ιδιωτική ζωή του προσώπου η διεύθυνση IP του οποίου χρησιμοποιήθηκε για δραστηριότητες δυνάμενες να προσβάλουν τα δικαιώματα πνευματικής ιδιοκτησίας ή τα συγγενικά δικαιώματα.
Τέλος, κατά τέταρτον, το Δικαστήριο επισημαίνει ότι το σύστημα επεξεργασίας δεδομένων που χρησιμοποιεί η δημόσια αρχή πρέπει να ελέγχεται τακτικά από ανεξάρτητο φορέα που έχει την ιδιότητα τρίτου σε σχέση με την εν λόγω δημόσια αρχή. Σκοπός του ελέγχου είναι η εξακρίβωση της ακεραιότητας του συστήματος, συμπεριλαμβανομένων των αποτελεσματικών εγγυήσεων κατά των κινδύνων καταχρηστικής ή παράνομης πρόσβασης και χρήσης των δεδομένων αυτών, καθώς και η εξακρίβωση της αποτελεσματικότητας και της αξιοπιστίας του για τον εντοπισμό τυχόν παραβάσεων.
Στο πλαίσιο αυτό, το Δικαστήριο παρατηρεί ότι, εν προκειμένω, η αυτοματοποιημένη επεξεργασία των δεδομένων προσωπικού χαρακτήρα από τη δημόσια αρχή βάσει των πληροφοριών σχετικά με τις προσβολές δικαιώματος διανοητικής ιδιοκτησίας που διαπίστωσαν οργανισμοί δικαιούχων μπορεί να συνεπάγεται έναν αριθμό ψευδώς θετικών αποτελεσμάτων και, κυρίως, τον κίνδυνο ένας δυνητικώς πολύ μεγάλος αριθμός δεδομένων προσωπικού χαρακτήρα να υποκλαπεί από τρίτους για σκοπούς κατάχρησης ή για παράνομους σκοπούς, στοιχείο που δικαιολογεί την αναγκαιότητα τέτοιου ελέγχου.
Επιπλέον, το Δικαστήριο προσθέτει ότι η ως άνω επεξεργασία πρέπει να τηρεί τους ειδικούς κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα που προβλέπει η οδηγία 2016/680 (7). Συγκεκριμένα, εν προκειμένω, μολονότι δεν διαθέτει ίδιες εξουσίες λήψης αποφάσεως στο πλαίσιο της καλούμενης διαδικασίας κλιμακούμενης απάντησης, η δημόσια αρχή πρέπει να χαρακτηρίζεται ως «δημόσια αρχή» η οποία εμπλέκεται στην πρόληψη και τη διερεύνηση ποινικών αδικημάτων και, επομένως, εμπίπτει στο πεδίο εφαρμογής της ως άνω οδηγίας. Συνεπώς, τα πρόσωπα που εμπλέκονται σε τέτοια διαδικασία πρέπει να απολαύουν ενός συνόλου ουσιαστικών και διαδικαστικών εγγυήσεων που προβλέπονται από την οδηγία 2016/680, απόκειται δε στο αιτούν δικαστήριο να εξακριβώσει ότι οι εν λόγω εγγυήσεις προβλέπονται στην εθνική νομοθεσία.
1       Βλ., μεταξύ άλλων, αποφάσεις της 21ης Δεκεμβρίου 2016, Tele2 Sverige και Watson κ.λπ. (C-203/15 και C‑698/15, EU:C:2016:970), της 2ας Οκτωβρίου 2018, Ministerio Fiscal (C-207/16, EU:C:2018:788), της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C-511/18, C-512/18 και C-520/18, EU:C:2020:791)_της 2ας Μαρτίου 2021, Prokuratuur (Προϋποθέσεις πρόσβασης σε δεδομένα σχετιζόμενα με ηλεκτρονικές επικοινωνίες) (C-746/18, EU:C:2021:152), της 17ης Ιουνίου 2021, M.I.C.M. (C-597/19, EU:C:2021:492), και της 5ης Απριλίου 2022, Commissioner of An Garda Síochána κ.λπ. (C-140/20, EU:C:2022:258).
2       Άρθρα 7, 8 και 11 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης).
3       Décret no 2010-236, du 5 mars 2010, relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331-29 du code de la propriété intellectuelle dénommé «Système de gestion des mesures pour la protection des œuvres sur internet» (διάταγμα 2010-236, της 5ης Μαρτίου 2010, περί της αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που επιτρέπεται βάσει του άρθρου L. 331-29 του κώδικα διανοητικής ιδιοκτησίας με την ονομασία «Σύστημα διαχείρισης μέτρων προστασίας έργων στο διαδίκτυο») (JORF αριθ. 56 της 7ης Μαρτίου 2010, κείμενο αριθ. 19), όπως τροποποιήθηκε με το décret no 2017-924, du 6 mai 2017, relatif à la gestion des droits d’auteur et des droits voisins par un organisme de gestion de droits et modifiant le code de la propriété intellectuelle (διάταγμα 2017-924, της 6ης Μαΐου 2017, περί διαχειρίσεως των δικαιωμάτων πνευματικής ιδιοκτησίας και των συγγενικών δικαιωμάτων από οργανισμό διαχείρισης δικαιωμάτων και περί τροποποιήσεως του κώδικα διανοητικής ιδιοκτησίας) (JORF αριθ. 109 της 10ης Μαΐου 2017, κείμενο αριθ. 176).
4       Μεταξύ άλλων, το άρθρο L. 331-21, τρίτο έως πέμπτο εδάφιο, του code de la propriété intellectuelle (κώδικα διανοητικής ιδιοκτησίας).
5       Από την 1η Ιανουαρίου 2022, η Hadopi συγχωνεύθηκε με το Conseil supérieur de l’audiovisuel (Ανώτατο Ραδιοτηλεοπτικό Συμβούλιο, Γαλλία, στο εξής:CSA), άλλη ανεξάρτητη δημόσια αρχή, προκειμένου να συσταθεί η Autorité de régulation de la communication audiovisuelle et numérique (Ρυθμιστική Αρχή Οπτικοακουστικών και Ψηφιακών Επικοινωνιών, Γαλλία, στο εξής: ARCOM). Εντούτοις, η διαδικασία κλιμακούμενης απάντησης παρέμεινε κατ’ ουσίαν αμετάβλητη.
6       Άρθρο 15, παράγραφος 1, της οδηγίας 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία [της] ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες) (ΕΕ 2002, L 201, σ. 37), όπως τροποποιήθηκε με την οδηγία 2009/136/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 25ης Νοεμβρίου 2009 (ΕΕ 2009, L 337, σ. 11) (στο εξής: οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες), ερμηνευόμενο υπό το πρίσμα των άρθρων 7, 8 και 11, καθώς και του άρθρου 52, παράγραφος 1, του Χάρτη.
7       Οδηγία (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ 2016, L 119, σ. 89).