V návaznosti na návrhy skupiny Rady Evropy pro důkazy v cloudech přijal Výbor k Úmluvě o počítačové kriminalitě několik doporučení, mimo jiné prostřednictvím jednání o druhém dodatkovém protokolu k Úmluvě o počítačové kriminalitě o posílené mezinárodní spolupráci, aby řešil problematickou situaci, kdy poskytovatelé služeb v zahraničních jurisdikcích mají stále častěji k dispozici elektronické důkazy související s kyberkriminalitou a jinými trestnými činy, přičemž pravomoci donucovacích orgánů jsou i nadále omezovány územními hranicemi. V červnu 2017 schválil Výbor k Úmluvě o počítačové kriminalitě mandát k přípravě druhého dodatkového protokolu v období od září 2017 do prosince 2019. S ohledem na potřebu delší lhůty k završení jednání, jakož i na omezení, která přinesla pandemie COVID-19 v letech 2020 a 2021, prodloužil Výbor k Úmluvě o počítačové kriminalitě mandát dvakrát, nejprve do prosince 2020 a poté do května 2021.

Úmluva je otevřena členským státům Rady Evropy a nečlenským státům je otevřena na základě pozvání. V současné době je smluvními stranami úmluvy 66 zemí, včetně 26 členských států Evropské unie. Úmluva nepředpokládá, že by Evropská unie mohla k úmluvě přistoupit. Evropská unie je však uznávána jako pozorovatelská organizace Výboru k Úmluvě o počítačové kriminalitě (T-CY).

Snaha o zlepšení přeshraničního přístupu k elektronickým důkazům při vyšetřování trestných činů je vyvíjena po celém světě na vnitrostátní, celounijní a mezinárodní úrovni, a to i prostřednictvím protokolu. Pokud je vyžadován přeshraniční přístup k elektronickým důkazům, je důležité zajistit vzájemně slučitelná pravidla na mezinárodní úrovni, aby se zamezilo kolizi norem.

Na tomto základě stanoví čl. 14 odst. 2 až 15 základní zásady ochrany údajů, včetně účelového omezení, právního základu, kvality údajů a pravidel vztahujících se na zpracovávání zvláštních kategorií údajů, povinností správců údajů, jako jsou uchovávání a vedení záznamů, bezpečnost s ohledem na další předávání údajů, vymahatelná individuální práva, včetně oznamování, přístupu, opravy a automatizovaného rozhodování, nezávislého a účinného dohledu jednoho nebo více orgánů, jakož i správní a soudní ochrany. Záruky se vztahují na všechny formy spolupráce stanovené v protokolu, včetně nezbytných úprav prováděných v případě potřeby k řešení specifických rysů přímé spolupráce (např. v kontextu oznamování v případě porušení pravidel). Výkon některých práv jednotlivce lze pozdržet, omezit nebo odmítnout, je-li to nezbytné a přiměřené k dosažení důležitých cílů veřejného zájmu, zejména k zamezení rizika ohrožení probíhajících vyšetřování v oblasti vymáhání práva, což je rovněž v souladu s právem Unie.

Kapitola II protokolu stanoví opatření pro posílenou spolupráci. Ustanovení čl. 5 odst. 1 stanoví, že smluvní strany mají v co nejvyšší možné míře spolupracovat na základě protokolu. Ustanovení čl. 5 odst. 2 až 5 stanoví uplatňování opatření protokolu ve vztahu ke stávajícím smlouvám o vzájemné pomoci nebo ujednáním. Ustanovení čl. 5 odst. 7 stanoví, že opatření v kapitole II neomezují spolupráci mezi smluvními stranami, nebo s poskytovateli služeb či subjekty prostřednictvím dalších platných dohod, ujednání, postupů či vnitrostátních právních předpisů.

Článek 4 stanoví jazyky, v nichž by měly smluvní strany podle protokolu předkládat příkazy, žádosti či oznámení.

Článek 14 protokolu je rovněž třeba vykládat ve spojení s článkem 23 protokolu. Článek 23 posiluje účinnost záruk v protokolu stanovením, že Výbor k Úmluvě o počítačové kriminalitě posoudí provádění a uplatňování opatření přijatých ve vnitrostátních právních předpisech s cílem uvést v účinnost ustanovení protokolu. Ustanovení čl. 23 odst. 3 výslovně uvádí, že se provádění článku 14 smluvními stranami posoudí ve chvíli, kdy deset smluvních stran úmluvy vyjádřilo svůj souhlas s tím, že budou protokolem vázány. Další zárukou je – podle čl. 14 odst. 15 situace – to, že má-li jedna strana podstatný důkaz, že druhá strana soustavně nebo závažně porušuje záruky stanovené v protokolu, může po konzultaci (konzultace se nevyžaduje v naléhavém případě) pozastavit předávání osobních údajů uvedené smluvní straně. S veškerými osobními údaji předanými před tímto pozastavením je třeba i nadále zacházet v souladu s protokolem. S ohledem na mnohostrannou povahu protokolu umožňuje čl. 14 odst. 1 písm. b) a c) protokolu smluvním stranám, aby se v rámci svých dvoustranných vztahů za určitých podmínek dohodly na jiných způsobech zajištění ochrany osobních údajů předávaných podle protokolu. Ačkoli se záruky podle čl. 14 odst. 2 až 15 standardně použijí na smluvní strany přijímající osobní údaje, smluvní strany, pro něž je vzájemně závazná mezinárodní dohoda, která stanoví komplexní rámec pro ochranu osobních údajů v souladu s příslušnými požadavky právních předpisů dotčených stran, mohou na základě čl. 14 odst. 1 písm. b) takový rámec rovněž využít. Týká se to například úmluvy č. 108+ (pro ty smluvní strany, které podle úmluvy umožňují předávání údajů druhým smluvním stranám) nebo zastřešující dohody mezi EU a USA (v rámci oblasti její působnosti, tj. pro předávání osobních údajů mezi orgány a v kombinaci s konkrétním ujednáním o předávání údajů mezi USA a EU v případě přímé spolupráce mezi orgány a poskytovateli služeb). Kromě toho mohou na základě čl. 14 odst. 1 písm. c) smluvní strany rovněž vzájemně stanovit, že se předávání osobních údajů uskuteční na základě jiných dohod nebo ujednání mezi dotčenými stranami. Členské státy EU se na tyto alternativní dohody nebo ujednání mohou spoléhat pouze v případě předávání údajů podle protokolu, pokud takové předávání splňuje požadavky práva Unie v oblasti ochrany údajů, zejména požadavky kapitoly V směrnice (EU) 2016/680 (směrnice o prosazování práva) a (pro přímou spolupráci mezi orgány a poskytovateli služeb podle článků 6 a 7 protokolu) požadavky kapitoly V nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů).

2.2.4Závěrečná ustanovení

Kapitola IV protokolu stanoví závěrečná ustanovení. Ustanovením čl. 15 odst. 1 písm. a) je mimo jiné zajištěno, že smluvní strany mohou upravit své vztahy týkající se záležitostí stanovených v protokolu jinak, a to v souladu s čl. 39 odst. 2 úmluvy. Ustanovením čl. 15 odst. 1 písm. b) je zajištěno, že členské státy EU, které jsou smluvní stranou protokolu, mohou ve svých vzájemných vztazích nadále uplatňovat právo Unie. Ustanovení čl. 15 odst. 2 rovněž stanoví, že se čl. 39 odst. 3 úmluvy použije na protokol.

Z čl. 16 odst. 3 vyplývá, že protokol vstoupí v platnost v okamžiku, kdy pět smluvních stran úmluvy vyjádřilo svůj souhlas s tím, že budou protokolem vázány.

Ustanovení čl. 19 odst. 1 stanoví, že smluvní strany mohou využít výhrad v souvislosti s čl. 7 odst. 9 písm. a) a b), čl. 8 odst. 13 a článkem 17. Ustanovení čl. 19 odst. 2 stanoví, že smluvní strany mohou učinit prohlášení v souvislosti s čl. 7 odst. 2 písm. b) a odst. 8, čl. 8 odst. 11, čl. 9 odst. 1 písm. b) a odst. 5, čl. 10 odst. 9, čl. 12 odst. 3 a čl. 18 odst. 2. Ustanovení čl. 19 odst. 3 stanoví, že smluvní strana může učinit prohlášení, oznámení nebo sdělení uvedená v čl. 7 odst. 5 písm. a) a e), čl. 8 odst. 4 a 10 písm. a) a b), čl. 14 odst. 7 písm. c) a odst. 10 písm. b) a čl. 17 odst. 2.

Ustanovení čl. 23 odst. 1 stanoví základ pro konzultace mezi smluvními stranami, mimo jiné prostřednictvím Výboru k Úmluvě o počítačové kriminalitě, v souladu s článkem 46 úmluvy. Ustanovení čl. 23 odst. 2 rovněž poskytuje základ pro hodnocení použití a provádění ustanovení protokolu. Ustanovením čl. 23 odst. 3 je zajištěno, že hodnocení použití a provádění článku 14 o ochraně údajů bude zahájeno v okamžiku, kdy deset smluvních stran vyjádřilo svůj souhlas s tím, že bude protokolem vázáno.

2.3Právo Unie a oblast politiky

Na oblast řízenou protokolem se z velké části vztahují společná pravidla vycházející z čl. 82 odst. 1 a článku 16 SFEU. Současný právní rámec Evropské unie zahrnuje především nástroje týkající se prosazování práva a justiční spolupráce v trestních záležitostech, například směrnici 2014/41/EU o evropském vyšetřovacím příkazu v trestních věcech, Úmluvu o vzájemné pomoci v trestních věcech mezi členskými státy Evropské unie a rámcové rozhodnutí Rady 2002/465/SVV o společných vyšetřovacích týmech. Evropská unie externě uzavřela řadu dvoustranných dohod mezi Unií a třetími zeměmi, například dohody o vzájemné právní pomoci mezi Evropskou unií a Spojenými státy americkými,mezi Evropskou unií a Japonskem a mezi Evropskou unií a Norskem a Islandem. Současný právní rámec Evropské unie rovněž zahrnuje nařízení (EU) 2017/1939, kterým se provádí posílená spolupráce za účelem zřízení Úřadu evropského veřejného žalobce (EPPO). Členské státy, které se podílejí na posílené spolupráci, by měly zajistit, aby EPPO mohl při výkonu svých pravomocí ve smyslu článků 22, 23 a 25 nařízení (EU) 2017/1939 usilovat o spolupráci podle protokolu stejným způsobem jako státní žalobci těchto států. Tyto nástroje a dohody se týkají zejména článků 8, 9, 10, 11 a 12 protokolu.

Kromě toho Unie přijala několik směrnic, které posilují procesní práva podezřelých a obžalovaných osob. Tyto nástroje se týkají zejména článků 6, 7, 8, 9, 10, 11, 12 a 13 protokolu. Jedna konkrétní řada záruk se týká ochrany osobních údajů, což je základní právo zakotvené ve Smlouvách EU a v Listině základních práv Evropské unie. Osobní údaje je možné zpracovávat pouze v souladu s nařízením (EU) 2016/679 (obecné nařízení o ochraně osobních údajů) směrnicí (EU) 2016/680 (směrnice o prosazování práva). Základní právo jednotlivců na respektování jejich soukromého a rodinného života, obydlí a komunikace zahrnuje jako základní prvek právo na respektování soukromí komunikace. Údaje o elektronických komunikacích lze zpracovávat pouze v souladu se směrnicí 2002/58/ES (směrnice o soukromí a elektronických komunikacích). Tyto nástroje se týkají zejména článku 14 protokolu.

Ustanovení čl. 14 odst. 2 až 15 protokolu stanoví vhodné záruky na ochranu údajů ve smyslu pravidel Unie pro ochranu osobních údajů, zejména článku 46 obecného nařízení o ochraně osobních údajů a článku 37 směrnice o prosazování práva a příslušné judikatury Soudního dvora Evropské unie. V souladu s požadavky práva Unie a za účelem zajištění účinnosti záruk stanovených v článku 14 protokolu by členské státy měly zajistit, aby bylo osobám, jejichž údaje byly předány, v tomto smyslu zasláno oznámení, s výhradou některých omezení, například, aby nedošlo k ohrožení probíhajícího vyšetřování. Ustanovení čl. 14 odst. 11 písm. c) protokolu poskytuje základ pro plnění tohoto požadavku ze strany členských států. Soulad čl. 14 odst. 1 protokolu s pravidly Unie pro ochranu osobních údajů rovněž vyžaduje, aby následující skutečnosti členské státy zvážily s ohledem na možné alternativní způsoby zajištění vhodné ochrany osobních údajů předávaných podle protokolu. Pokud jde o jiné mezinárodní dohody, které stanoví komplexní rámec pro ochranu osobních údajů v souladu s použitelnými požadavky právních předpisů dotčených smluvních stran, členské státy by podle čl. 14 odst. 1 písm. b) měly vzít na vědomí, že pro přímou spolupráci musí být zastřešující dohoda mezi EU a USA doplněna dalšími zárukami – které budou stanoveny ve zvláštním ujednání o předávání údajů mezi USA a EU / jejími členskými státy –, jež zohlední jedinečné požadavky na předávání elektronických důkazů přímo poskytovateli služeb, a nikoliv mezi orgány. Podle čl. 14 odst. 1 písm. b) protokolu by členské státy rovněž měly vzít na vědomí, že pro členské státy EU, které jsou smluvními stranami úmluvy č. 108+, neposkytuje úmluva sama o sobě vhodný základ pro přeshraniční předávání údajů v rámci protokolu druhým smluvním stranám uvedené úmluvy. V tomto ohledu by měly zvážit poslední větu čl. 14 odst. 1 úmluvy č. 108+. Pokud jde o jiné dohody nebo ujednání podle čl. 14 odst. 1 písm. c), členské státy by měly vzít na vědomí, že mohou těchto jiných dohod nebo ujednání využít pouze v případě, že Evropská komise v souvislosti s dotčenou třetí zemí přijala – podle článku 45 obecného nařízení o ochraně osobních údajů (nařízení (EU) 2016/679) či podle článku 36 směrnice (EU) 2016/680 o prosazování práva – rozhodnutí o odpovídající ochraně, které se týká příslušných předávání údajů, nebo v případě, že tato jiná dohoda nebo ujednání samy o sobě poskytují přiměřené záruky ochrany údajů podle článku 46 obecného nařízení o ochraně osobních údajů nebo čl. 37 odst. 1 písm. a) směrnice o prosazování práva.

Je třeba, aby se přihlédlo nejen k současnému stavu práva Unie v dané oblasti, ale rovněž k jeho budoucímu vývoji do té míry, do jaké to lze předvídat v době provedení analýzy. Oblast, na níž se vztahuje protokol, je přímo relevantní pro předpokládaný budoucí vývoj práva Unie. V této souvislosti je třeba připomenout návrhy Komise o přeshraničním přístupu k elektronickým důkazům z dubna 2018.

Komise při účasti na jednáních jménem Unie zajistila, aby byl protokol plně slučitelný s právem Unie a povinnostmi členských států, které z něj vyplývají. Komise zejména zajistila, aby ustanovení protokolu umožnila členským státům dodržovat základní práva, svobody a obecné zásady práva Unie, jak jsou zakotveny ve Smlouvách EU a Listině základních práv, včetně proporcionality, procesních práv, presumpce neviny a práv na obhajobu osob, proti nimž je vedeno trestní řízení, jakož i práva na soukromí a ochranu osobních údajů a údajů o elektronických komunikacích při jejich zpracovávání, předávání údajů donucovacím orgánům v zemích mimo Evropskou unii, a veškerých povinností, které v této souvislosti mají donucovací a justiční orgány. Komise rovněž vzala na vědomí stanovisko evropského inspektora ochrany údajů a Evropského sboru pro ochranu osobních údajů.

Komise dále zajistila, aby byla ustanovení protokolu a návrhy Komise k elektronickým důkazům slučitelné – mimo jiné proto, že se tyto návrhy právních předpisů vyvíjely během diskusí se spolunormotvůrci – a aby protokol nevedl ke kolizi norem. Komise zejména zajistila, aby protokol obsahoval vhodné záruky týkající se ochrany údajů a soukromí, což umožňuje poskytovatelům služeb EU, aby dodržovali své povinnosti v rámci právních předpisů EU o ochraně osobních údajů a soukromí, pokud protokol stanoví právní důvod pro předání údajů v reakci na příkazy vydané nebo žádosti podané orgánem ze státu mimo EU, jenž je smluvní stranou protokolu, kterými se vyžaduje, aby správce nebo zpracovatel zpřístupnil osobní údaje nebo údaje o elektronických komunikacích.

2.4Výhrady, prohlášení, oznámení, sdělení a další komentáře

Protokol poskytuje základ k tomu, aby smluvní strany mohly využít některých výhrad a učinit prohlášení, oznámení nebo sdělení ve vztahu k některým článkům. Členské státy by měly zaujmout jednotný přístup k některým výhradám, prohlášením, oznámením a sdělením stanoveným v příloze tohoto rozhodnutí. Aby byl zajištěn soulad provádění protokolu s právem Unie, měly by členské státy EU ve vztahu k těmto výhradám a prohlášením zaujmout níže uvedený postoj. Stanoví-li protokol základ pro jiné výhrady a jiná prohlášení, oznámení nebo sdělení, opravňuje tento návrh členské státy k tomu, aby zvážily a učinily vlastní výhrady, prohlášení, oznámení nebo sdělení.