OPINIA RZECZNIKA GENERALNEGO

HENRIKA SAUGMANDSGAARDA ØE

przedstawiona w dniu 3 maja 2018 r. ( 1 )

Sprawa C‑207/16

Ministerio Fiscal

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Audiencia Provincial de Tarragona (sąd prowincji Tarragona, Hiszpania)]

Odesłanie prejudycjalne – Łączność elektroniczna – Przetwarzanie danych osobowych – Prawo do prywatności i prawo do ochrony danych osobowych – Dyrektywa 2002/58/WE – Artykuł 1 i art. 15 ust. 1 – Karta praw podstawowych Unii Europejskiej – Artykuły 7 i 8 oraz art. 52 ust. 1 – Dane zebrane w ramach świadczenia usług łączności elektronicznej – Wniosek o dostęp złożony przez organ policji do celów dochodzenia w sprawie karnej – Zasada proporcjonalności – Pojęcie „poważnego przestępstwa” mogącego uzasadnić ingerencję w prawa podstawowe – Kryteria wagi czynu – Zagrożenie karą – Minimalny próg

I. Wprowadzenie

1. Niniejsze odesłanie prejudycjalne dotyczy zasadniczo interpretacji pojęcia „poważnego przestępstwa ( 2 )” w rozumieniu orzecznictwa Trybunału wynikającego z wyroków Digital Rights Ireland i in. ( 3 ) (zwanego dalej „wyrokiem Digital Rights”) oraz wyroku Tele2 Sverige i Watson i in. ( 4 ) (zwanego dalej „wyrokiem Tele2”), w którym pojęcie to zostało użyte jako kryterium oceny legalności i proporcjonalności ingerencji w prawa ustanowione w art. 7 i 8 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”), a mianowicie, odpowiednio, w prawo do poszanowania życia prywatnego i rodzinnego oraz w prawo do ochrony danych osobowych.

2. Rozpatrywane odesłanie prejudycjalne zostało skierowane w ramach skargi wniesionej przeciwko decyzji sądu odmawiającej organom policyjnym możliwości przekazywania niektórych danych dotyczących tożsamości, posiadanych przez operatorów sieci telefonii komórkowej, w celu identyfikacji poszczególnych osób do celów dochodzenia w postępowaniu karnym. Zaskarżona decyzja została uzasadniona w szczególności twierdzeniem, że – wbrew wymogom właściwych przepisów hiszpańskich – okoliczności leżące u podstaw postępowania nie wyczerpywały znamion poważnego przestępstwa.

3. Sąd odsyłający zwraca się do Trybunału w istocie z pytaniem, w jaki sposób należy określić próg wagi przestępstw, od którego może być uzasadniane, w świetle przytoczonego orzecznictwa, naruszenie praw podstawowych chronionych przez art. 7 i 8 karty przez właściwe organy krajowe przy dostępie do danych osobowych zatrzymanych przez dostawców usług łączności elektronicznej.

4. Po ustaleniu, że Trybunał jest właściwy do orzekania w przedmiocie tego wniosku o wydanie orzeczenia w trybie prejudycjalnym oraz że wniosek ten jest dopuszczalny, zamierzam wykazać, że dostęp do danych osobowych w okolicznościach takich jak okoliczności niniejszej sprawy stanowi ingerencję w wyżej wymienione prawa podstawowe, która nie jest zgodna z założeniem, iż wyłącznie walka z ciężkimi przestępstwami może uzasadnić naruszenie tych praw zgodnie z przywołanym wcześniej orzecznictwem.

5. Ponieważ uważam, że wobec szczególnego przedmiotu sporu w postępowaniu przed sądem krajowym nie ma potrzeby, aby Trybunał udzielił odpowiedzi na pytania prejudycjalne w ich pierwotnym brzmieniu, jedynie tytułem uzupełnienia przedstawię wskazówki dotyczące kryteriów, które pozwoliłyby ewentualnie zdefiniować pojęcie „poważnego przestępstwa” w rozumieniu tego orzecznictwa, w szczególności w świetle kryterium zagrożenia karą.

II. Ramy prawne

A. Prawo Unii

6. Dyrektywa Parlamentu Europejskiego i Rady 2002/58/WE z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) ( 5 ), zmieniona dyrektywą 2009/136/WE ( 6 ) (zwana dalej „dyrektywą 2002/58”), stanowi w swej preambule: „(2) Niniejsza dyrektywa dąży do poszanowania fundamentalnych praw i jest zgodna z zasadami uznanymi w szczególności przez [kartę]. W szczególności niniejsza dyrektywa zmierza do zapewnienia pełnego poszanowania praw określonych w art. 7 i 8 [karty]. […] (11) Niniejsza dyrektywa, podobnie jak dyrektywa 95/46/WE[ ( 7 )], nie odnosi się do kwestii ochrony podstawowych praw i wolności związanych z działalnością, która nie jest regulowana prawem wspólnotowym. Dyrektywa nie zmienia zatem istniejącej równowagi między prawem do prywatności osoby fizycznej a możliwością państw członkowskich do podejmowania środków, określonych w art. 15 ust. 1 niniejszej dyrektywy, niezbędnych do ochrony bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (włączając gospodarczy dobrobyt państwa, gdy działania dotyczą zagadnień bezpieczeństwa państwa) i wykonywania prawa karnego. Wskutek tego, niniejsza dyrektywa nie wpływa na możliwości państw członkowskich do zgodnego z prawem przejmowania danych w łączności elektronicznej lub podejmowania innych środków, jeżeli jest to konieczne dla któregokolwiek z tych celów i zgodne z europejską Konwencją o ochronie praw człowieka i podstawowych wolności [zwaną dalej »EKPC«], dla której wykładnię stanowi orzecznictwo Europejskiego Trybunału Praw Człowieka [zwanego dalej »ETPC«]. Środki tego rodzaju muszą być właściwe, współmierne do zamierzonego celu i niezbędne w ramach społeczeństwa demokratycznego oraz powinny podlegać stosownym zabezpieczeniom zgodnie z [EKPC][ ( 8 )]”.

7. Zgodnie z art. 1 dyrektywy 2002/58, zatytułowanym „Zakres i cel”: „1. Niniejsza dyrektywa przewiduje harmonizację przepisów krajowych wymaganych do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej […]. […] 3. Niniejsza dyrektywa nie ma zastosowania do działalności, która wykracza poza zakres Traktatu ustanawiającego Wspólnotę Europejską, takiej jak działalność określona w tytułach V i VI Traktatu o Unii Europejskiej, ani w żadnym wypadku do działalności dotyczącej bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (włączając dobrobyt gospodarczy państwa, gdy działalność odnosi się do spraw bezpieczeństwa państwa) i działalności państwa w dziedzinie prawa karnego”.

8. Artykuł 2 tej dyrektywy, zatytułowany „Definicje”, brzmi następująco: „Z zastrzeżeniem innych przepisów, stosuje się definicje z dyrektywy [95/46] i dyrektywy 2002/21/WE Parlamentu Europejskiego i Rady z dnia 7 marca 2002 r. w sprawie wspólnych ram regulacyjnych sieci i usług łączności elektronicznej (dyrektywa ramowa)[ ( 9 )]. Stosuje się również następujące definicje: a) »użytkownik« oznacza każdą osobę fizyczną korzystającą z publicznie dostępnych usług łączności elektronicznej, do celów prywatnych lub handlowych, niekoniecznie na podstawie abonamentu za te usługi; b) »dane o ruchu« oznaczają wszelkie dane przetwarzane do celów przekazywania komunikatu w sieci łączności elektronicznej lub naliczania opłat za te usługi; c) »dane dotyczące lokalizacji« oznaczają wszelkie dane przetwarzane w sieci łączności elektronicznej lub w ramach usług łączności elektronicznej, wskazujące położenie geograficzne urządzenia końcowego użytkownika publicznie dostępnych usług łączności elektronicznej; d) »komunikat« oznacza każdą informację wymienianą lub przekazaną między określoną liczbą stron za pośrednictwem usług publicznie dostępnej łączności elektronicznej. Nie obejmuje on informacji przekazanej jako część publicznych usług nadawczych przez sieć łączności elektronicznej, z wyjątkiem zakresu, w jakim informacja może się odnosić do możliwego do zidentyfikowania abonenta lub użytkownika otrzymującego informację; […]”.

9. Artykuł 15 dyrektywy 2002/58, zatytułowany „Stosowanie niektórych przepisów dyrektywy [95/46]”, stanowi w ust. 1, że „[p]aństwa członkowskie mogą uchwalić środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków przewidzianych w art. 5, 6, art. 8 ust. 1–4, i art. 9 tej dyrektywy, gdy takie ograniczenia stanowią środki niezbędne, właściwe i proporcjonalne w ramach społeczeństwa demokratycznego do zapewnienia bezpieczeństwa narodowego (i.e. bezpieczeństwa państwa), obronności, bezpieczeństwa publicznego oraz zapobiegania, dochodzenia, wykrywania i karania przestępstw kryminalnych lub niedozwolonego używania systemów łączności elektronicznej, jak określono w art. 13 ust. 1 dyrektywy [95/46]. W tym celu, państwa członkowskie mogą, między innymi, uchwalić środki ustawodawcze przewidujące przechowywanie danych przez określony czas uzasadnione na podstawie zasad ustanowionych w niniejszym ustępie. Wszystkie środki określone w niniejszym ustępie są zgodne z ogólnymi zasadami prawa wspólnotowego, w tym zasadami określonymi w art. 6 ust. 1 i 2 Traktatu o Unii Europejskiej”.

B. Prawo hiszpańskie

1. Ustawa 25/2007

10. Ley 25/2007 de conservación de datos relativos a las comunicaciones y a la redes públicas de comunicaciones (ustawą 25/2007 w sprawie zatrzymywania danych dotyczących łączności elektronicznej i publicznych sieci łączności) z dnia 18 października 2007 r. ( 10 ) (zwaną dalej „ustawą 25/2007”) dokonano transpozycji do prawa hiszpańskiego dyrektywy 2006/24 ( 11 ), która została uznana za nieważną przez Trybunał w wyroku Digital Rights.

11. Zgodnie z art. 1 ustawy 25/2007, w brzmieniu mającym zastosowanie do okoliczności faktycznych sporu w postępowaniu głównym: „1. Niniejsza ustawa ma na celu regulację ciążącego na operatorach obowiązku zatrzymywania danych generowanych lub przetwarzanych w związku ze świadczeniem usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz obowiązek przekazywania tych danych upoważnionym przedstawicielom na każdy wniosek w drodze odpowiedniej zgody sądu koniecznej w celu zapobiegania, wykrywania i ścigania poważnych przestępstw, o których mowa w kodeksie karnym lub w specjalnych ustawach. 2. Niniejsza ustawa ma zastosowanie do danych o ruchu i lokalizacji, dotyczących zarówno osób fizycznych, jak i prawnych oraz do powiązanych z nimi danych niezbędnych do identyfikacji abonenta lub zarejestrowanego użytkownika. […]”.

12. Artykuł 3 tej ustawy zawiera wykaz danych, które operatorzy są zobowiązani zatrzymywać. Dotyczy to w szczególności, na mocy art. 3 ust. 1 lit. a) pkt 1 ppkt (ii), danych niezbędnych do wykrywania i identyfikowania źródła komunikatu, takich jak, w przypadku telefonii komórkowej, nazwiska i adresu abonenta lub zarejestrowanego użytkownika.

2. Kodeks karny

13. Zgodnie z art. 13 ust. 1 hiszpańskiego kodeksu karnego, w brzmieniu mającym zastosowanie do okoliczności faktycznych sporu w postępowaniu głównym, „Stanowią poważne przestępstwa te, które są zagrożone w ustawie surową karą”.

14. Artykuł 33 kodeksu brzmi następująco: „1. Ze względu na ich charakter i okres trwania, kary dzielą się na surowe, mniej surowe oraz łagodne. 2. Karami surowymi są: a) dożywotnie pozbawienie wolności, które może podlegać zmianie; b) pozbawienie wolności powyżej 5 lat. […]”.

3. Kodeks postępowania karnego

15. Hiszpański kodeks postępowania karnego został zmieniony przez Ley Orgánica 13/2015 de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica (ustawę organiczną 13/2015 zmieniającą kodeks postępowania karnego w celu wzmocnienia gwarancji procesowych i uregulowania środków technologicznego dochodzenia) z dnia 5 października 2015 r. ( 12 ) (zwaną dalej „ustawą organiczną 13/2015”).

16. Ustawa ta, która weszła w życie w dniu 6 grudnia 2015 r., wprowadza do kodeksu postępowania karnego dziedzinę dostępu do danych dotyczących komunikatów telefonicznych i telematycznych, zatrzymywanych przez dostawców usług łączności elektronicznej.

17. Zgodnie z art. 579 ust. 1 kodeksu postępowania karnego, w brzmieniu wynikającym z wyżej wskazanej ustawy, „[s]ąd może zezwolić na przechwytywanie prywatnej korespondencji pocztowej i telegraficznej, w tym faksu, Burofaxu i międzynarodowych przekazów pocztowych, którą podejrzany wysyła lub otrzymuje, oraz otwarcie i ocenę tego, czy istnieją przesłanki pozwalające sądzić, że pozwoli to wykryć lub potwierdzić czyn lub okoliczność, lub czynnik istotne dla sprawy ze względu na to, że dochodzenie dotyczy: 1) przestępstw umyślnych zagrożonych karą, której górna granica wynosi co najmniej trzy lata pozbawienia wolności; 2) przestępstw popełnionych w ramach grupy lub organizacji przestępczej; 3) przestępstw o charakterze terrorystycznym”.

18. Artykuł 588 ter j tego kodeksu, zatytułowany „Dane zawarte w zautomatyzowanych archiwach usługodawców”, stanowi: „1. Dane elektroniczne zatrzymywane przez usługodawców lub osoby umożliwiające komunikowanie się zgodnie z ustawodawstwem o zatrzymywaniu danych o połączeniach elektronicznych albo z ich własnej inicjatywy z powodów handlowych, albo z innych, i które są związane z komunikowaniem się, będą mogły zostać przekazane w celu ich uwzględnienia w postępowaniu tylko za zgodą sądu. 2. W sytuacji gdy znajomość tych danych okaże się niezbędna dla dochodzenia, należy zwrócić się z wnioskiem do właściwego sądu o udzielenie zgody na zebranie informacji znajdujących się w zautomatyzowanych archiwach usługodawców, w szczególności krzyżowe lub inteligentne poszukiwanie danych, pod warunkiem że zostały określone charakter danych, które mają być znane, i powody uzasadniające przekazanie”.

III. Postępowanie główne, pytania prejudycjalne i postępowanie przed Trybunałem

19. P. Hernandez Sierra złożył na policji zawiadomienie o popełnieniu w dniu 16 lutego 2015 r. na jego szkodę rozboju, w wyniku którego dokonano zaboru jego portfela i telefonu komórkowego, a on sam doznał poważnych obrażeń.

20. Pismem z dnia 27 lutego 2015 r. policja kryminalna wniosła do Juzgado de Instrucción no 3 de Tarragona (sądu śledczego nr 3 w Tarragonie, Hiszpania, zwanego dalej „sądem śledczym”) o nakazanie poszczególnym operatorom telefonicznym udostępnienia z jednej strony numerów telefonów, które zostały aktywowane w okresie od 16 lutego do 27 lutego 2015 r. przy użyciu kodu IMEI ( 13 ) ukradzionego telefonu komórkowego, a z drugiej strony danych osobowych właścicieli lub użytkowników wszystkich numerów telefonów przypisanych do kart SIM aktywowanych ze wspomnianym kodem IMEI ( 14 ).

21. Postanowieniem z dnia 5 maja 2015 r. sąd śledczy odrzucił ten wniosek, uzasadniając, że środek taki byłby mało przydatny dla określenia sprawcy przestępstwa i że w każdym razie ustawa 25/2007 ogranicza przekazywanie danych zatrzymywanych przez operatorów telefonii do poważnych przestępstw – mianowicie, zgodnie z hiszpańskim kodeksem karnym ( 15 ), tych zagrożonych karą pozbawienia wolności powyżej pięciu lat, podczas gdy okoliczności niniejszej sprawy nie dają podstaw do uznania, iż dokonano poważnego przestępstwa.

22. Ministerio Fiscal (hiszpańska prokuratura), jedyna strona postępowania, wniosła do Audiencia Provincial de Tarragona (sądu prowincji Tarragona, Hiszpania) zażalenie na to postanowienie, podnosząc, iż sąd rejonowy, w obliczu okoliczności faktycznych niniejszej sprawy oraz orzeczenia Tribunalo Supremo (hiszpańskiego sądu najwyższego), opartego na podobnym stanie faktycznym, winien był autoryzować przekazanie przedmiotowych danych ( 16 ).

23. Postanowieniem z dnia 9 lutego 2016 r. wyżej wymieniony sąd prowincji orzekł, tytułem środka tymczasowego skierowanego do operatorów sieci telefonicznej, przedłużenie okresu zatrzymywania danych, których dotyczy przedmiotowy wniosek.

24. We wniosku o wydanie orzeczenia w trybie prejudycjalnym złożonym przez ten sąd wskazano, że już po wydaniu zaskarżonego postanowienia ustawodawca hiszpański wprowadził, na mocy ustawy organicznej 13/2015 ( 17 ), dwa alternatywne kryteria w celu ustalenia stopnia wagi przestępstwa. Pierwsze stanowi kryterium materialne, określone zachowaniami odpowiadającymi kwalifikacji karnej, których charakter przestępczy jest szczególny i poważny i które ponadto mają szczególnie niekorzystny skutek dla indywidualnych i zbiorowych interesów prawnych ( 18 ). Drugie jest kryterium formalnym, opierającym się wyłącznie na karze, jaką przewidziano za dane przestępstwo. Tymczasem próg trzech lat pozbawienia wolności, jak przewiduje to ostatnie, obejmuje właściwie większość kwalifikacji karnych. Ponadto sąd odsyłający zauważa, że interes państwa w ochronie obywateli i zwalczaniu bezprawnych czynów nie może uzasadniać nieproporcjonalnej ingerencji w prawa podstawowe jednostek.

25. W tej sytuacji postanowieniem z dnia 6 kwietnia 2016 r., które wpłynęło do Trybunału w dniu 14 kwietnia, Audienia Provincial de Tarragona (sąd prowincji Tarragona) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi: „1) Czy można określić wystarczającą wagę przestępstwa, jako kryterium uzasadniające ingerencję w prawa podstawowe uznane w art. 7 i 8 [karty], jedynie ze względu na karę grożącą za przestępstwo będące przedmiotem dochodzenia, czy też jest ponadto konieczne wskazanie w przestępnym zachowaniu szczególnie niekorzystnego skutku dla indywidualnych lub publicznych interesów prawnych? 2) W danym przypadku, gdyby określenie wagi przestępstwa jedynie w zależności od kary, która może zostać nałożona, było zgodne z podstawowymi zasadami Unii zastosowanymi przez Trybunał w wyroku [Digital Rights] jako kryterium ścisłej kontroli dyrektywy [uznanej tym wyrokiem za nieważną], jaki powinien być minimalny poziom tej kary? Czy dopuszczalne jest ustalenie tego minimalnego poziomu w sposób ogólny na trzy lata pozbawienia wolności?”.

26. Postępowanie przed Trybunałem zostało zawieszone decyzją przewodniczącego z dnia 23 maja 2016 r. w oczekiwaniu na ogłoszenie wyroku Trybunału Tele2.

27. Zapytany przez Trybunał po wydaniu tego wyroku w dniu 21 grudnia 2016 r. ( 19 ), sąd odsyłający wskazał, że zamierza podtrzymać swój wniosek o wydanie orzeczenia w trybie prejudycjalnym. Podniósł, że postawione pytania prejudycjalne pozostają istotne, jako że wyrok ten zawierał wprawdzie pewne przykłady poważnych przestępstw ( 20 ), jednak nie określał wystarczająco jasno treści pojęcia wagi przestępstwa, która może stanowić kryterium oceny ingerencji. Tymczasem z pojęciem tym wiąże się zdaniem sądu odsyłającego ryzyko, iż warunki zatrzymania danych i dostępu do nich zostaną na poziomie krajowym ustalone w sposób bardzo ogólny, który naruszałby prawa podstawowe określone w wyroku Tele2. I tak, przyjmując ustawę organiczną 13/2015, ustawodawca hiszpański, mimo kryteriów określonych w wyroku Digital Rights ( 21 ), znacznie obniżył – w porównaniu z poprzednimi przepisami ustawy 25/2007 – próg wagi przestępstw, w odniesieniu do których dopuszcza się zatrzymywanie i udostępnianie danych osobowych.

28. Wobec tej odpowiedzi postępowanie przed Trybunałem zostało podjęte w dniu 16 lutego 2017 r. Uwagi na piśmie zostały złożone przez rządy hiszpański, czeski, estoński, francuski, irlandzki, łotewski, węgierski, austriacki i Zjednoczonego Królestwa, a także przez Komisję Europejską.

29. W związku z rozprawą Trybunał zadał rządowi hiszpańskiemu dwa pytania w celu udzielenia odpowiedzi na piśmie, której rząd ten udzielił w dniu 9 stycznia 2018 r., a także skierował do wszystkich zainteresowanych stron, o których mowa w art. 23 statutu Trybunału Sprawiedliwości Unii Europejskiej, pytania wymagające odpowiedzi ustnej.

30. Na rozprawie, która odbyła się w dniu 29 stycznia 2018 r., hiszpańska prokuratura, rządy hiszpański, czeski, duński, estoński, irlandzki, francuski, łotewski, polski i Zjednoczonego Królestwa oraz Komisja przedstawiły uwagi ustne.

IV. Ocena

A. Uwagi wstępne

31. Zanim przejdę do szczegółowego zbadania kwestii poruszonych w niniejszym wniosku o wydanie orzeczenia w trybie prejudycjalnym, uważam za konieczne przedstawienie kilku uwag dotyczących jego szczególnego przedmiotu.

32. Po pierwsze, w świetle informacji zawartych w postanowieniu odsyłającym i dodatkowych informacji przedstawionych przez rząd hiszpański należy wskazać, że spór w postępowaniu głównym wykazuje szczególne istotne okoliczności, które odróżniają go zwłaszcza od kontekstu spraw, w których zapadły wyroki Digital Rights i Tele2 ( 22 ).

33. Okazuje się bowiem, że rozpatrywany w sprawie wniosek organów policji ma na celu uzyskanie jedynie danych pozwalających na identyfikację właścicieli lub użytkowników numerów telefonu, które są przypisane do kart SIM włożonych do ukradzionego telefonu komórkowego ( 23 ). Ponadto jest bezsporne, że wniosek ten dotyczy jasno określonego i krótkiego okresu, to znaczy 12 dni ( 24 ).

34. W tych okolicznościach liczba osób, które mogą zostać objęte spornym środkiem, nie jest nieograniczona, ale zawężona. Co więcej, osoby te to nie każdy posiadacz karty SIM, a jednostki o ściśle określonym profilu, ponieważ chodzi tu o osoby, które skorzystały ze skradzionego telefonu już po dokonaniu zaboru, a nawet będące jeszcze w jego posiadaniu, i które mogą zatem zgodnie z prawem znaleźć się w kręgu osób podejrzewanych, być sprawcami tego przestępstwa albo mieć z nimi związek.

35. Co więcej, chodzi tu dane, które nie są wszelkiego rodzaju „danymi osobowymi” ( 25 ) zatrzymywanymi przez dostawców usług łączności elektronicznej, lecz wyłącznie o dane dotyczące tożsamości wymienionych jednostek, to jest imię, nazwisko oraz, ewentualnie, adres ( 26 ); dane te można określić jako „kontaktowe”. Inne informacje dotyczące jednostek, które mogłyby się znajdować w archiwach tych dostawców ( 27 ), nie stanowią w mojej ocenie przedmiotu postępowania głównego.

36. Ponadto celem działań w sprawie w postępowaniu głównym jest moim zdaniem pozyskanie informacji, które nie są związane ani z lokalizacją, ani z komunikatami jako takimi ( 28 ), lecz z osobami fizycznymi, które są poszukiwane w związku z możliwością skorzystania przez nie z usługi łączności elektronicznej za pomocą skradzionego telefonu, nawet jeśli osoby te nie przeprowadziły konkretnej rozmowy telefonicznej. W istocie, jak wynika z wyjaśnień przedstawionych Trybunałowi przez hiszpańską prokuraturę, żądane dane osobowe, które uzyskuje się poprzez powiązanie określonej karty SIM z numerem IMEI skradzionego urządzenia, technicznie można uzyskać poprzez zwykłe połączenie się tego urządzenia ze stacją bazową telefonii komórkowej, mimo że żadne połączenie nie zostało zainicjowane przez posiadacza karty za pośrednictwem danego telefonu, a zatem niezależnie od jakiegokolwiek rzeczywistego komunikatu ( 29 ). Prawdziwość tego twierdzenia o charakterze faktycznym będzie musiał ocenić sąd odsyłający, wydaje mi się ono jednak wystarczająco prawdopodobne, aby rozsądnie oceniając, uznać je za prawdziwe.

37. W świetle wszystkich tych elementów podkreślam na wstępie, że spór przed sądem krajowym dotyczy danych osobowych, o których przekazanie się zwrócono nie w sposób ogólny i niezróżnicowany, lecz w sposób ukierunkowany na osoby i ograniczony co do czasu trwania. Ponadto żądane dane nie wydają się mieć charakteru danych szczególnie wrażliwych na pierwszy rzut oka, mimo że dostęp do danych tego typu może mieć wpływ na prawa podstawowe ustanowione w art. 7 i 8 karty ( 30 ).

38. Po drugie, zauważam, że – jak wynika z uzasadnienia postanowienia odsyłającego – pytania prejudycjalne przedłożone w niniejszej sprawie charakteryzują się tym, że nie odnoszą się do warunków zatrzymywania danych osobowych w sektorze łączności elektronicznej, ale raczej do warunków dostępu władz krajowych do danych zatrzymywanych przez dostawców usług działających w tym sektorze ( 31 ).

39. Sąd odsyłający wskazuje w szczególności, że na mocy art. 588 ter j kodeksu postępowania karnego wymagane jest uzyskanie zgody sądu na transfer danych elektronicznych archiwizowanych przez dostawców usług do kompetentnych organów, tak aby dane te mogły być wzięte pod uwagę w ramach postępowania. Ustęp 1 tego artykułu precyzuje, że dane takie mogą zostać zatrzymane przez dostawców albo na mocy odpowiednich przepisów, albo z własnej inicjatywy z przyczyn handlowych lub innych.

40. W niniejszym przypadku okazuje się, że dane osobowe, o dostęp do których zwracają się organy ścigania dla celów dochodzenia, mogły być przechowywane przez operatorów telefonii komórkowej w ramach wykonania obowiązku wynikającego z prawa hiszpańskiego ( 32 ). Choć sąd odsyłający nie podaje informacji na ten temat, należy mieć na uwadze, że jego wniosek o wydanie orzeczenia w trybie prejudycjalnym koncentruje się na ewentualnym dostępie do danych, które już zostały zatrzymane, oraz wiedzieć, że zgodność przechowywania danych z prawem wspólnotowym nie jest kwestionowana w postępowaniu przed sądem krajowym ( 33 ). Należy zatem moim zdaniem oprzeć się na założeniu, zgodnie z którym dane będące przedmiotem postępowania przed sądem krajowym zostały zatrzymane zgodnie z przepisami krajowymi, z poszanowaniem warunków określonych w art. 15 ust. 1 dyrektywy 2002/58, czego ocena należy wyłącznie do sądu odsyłającego ( 34 ).

41. W dalszych rozważaniach powrócę do skutków prawnych ustaleń przedstawionych tutaj tytułem wstępu ( 35 ).

B. W przedmiocie zarzutów proceduralnych podniesionych przez rząd hiszpański

42. Rząd hiszpański podniósł dwa rodzaje zarzutów proceduralnych: zarzut dotyczący właściwości Trybunału oraz zarzut dotyczący dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym, co do których Trybunał będzie musiał się ewentualnie wypowiedzieć przed wydaniem orzeczenia co do istoty sprawy.

1. W przedmiocie właściwości Trybunału w odniesieniu do zakresu stosowania prawa Unii

43. Przede wszystkim pragnę przypomnieć, że z utrwalonego orzecznictwa wynika, iż prawa podstawowe chronione w porządku prawnym Unii, a w szczególności zawarte w art. 7 i 8 karty, znajdują zastosowanie jedynie wówczas, gdy dana sytuacja jest uregulowana przez prawo Unii ( 36 ). Ponadto art. 51 ust. 1 karty stanowi, że jej postanowienia mają zastosowanie do państw członkowskich „wyłącznie w zakresie, w jakim stosują one prawo Unii” w rozumieniu orzecznictwa Trybunału dotyczącego tego pojęcia ( 37 ). Co za tym idzie, jeżeli stan prawny nie jest objęty zakresem stosowania prawa Unii, Trybunał nie jest właściwy do jego oceny, a przytaczane ewentualnie postanowienia karty nie mogą stanowić samodzielnej podstawy do nadania mu takiej właściwości ( 38 ).

44. W niniejszym przypadku pytania przedstawione przez sąd odsyłający dotyczą wyłącznie art. 7 i 8 karty oraz „podstawowych zasad Unii zastosowanych przez Trybunał w wyroku [Digital Rights]”. Niemniej jednak w ocenie Trybunału dyrektywy dotyczące ochrony danych osobowych, takie jak dyrektywa 95/46 oraz dyrektywa 2002/58, ustanawiają powiązanie wymagane, na mocy art. 51 ust. 1 karty, pomiędzy sprawą w postępowaniu głównym a prawem Unii.

45. W tym względzie pragnę zauważyć, po pierwsze, że rząd hiszpański twierdzi zasadniczo, iż Trybunał nie posiada właściwości wymaganej do orzekania w przedmiocie niniejszego odesłania, argumentując, że spór ten nie dotyczy stosowania prawa Unii. Podnosi on w szczególności, że spór przed sądem krajowym nie wchodzi w zakres stosowania prawa Unii ze względu na to, że dotyczy dostępu policji do danych objętych decyzją sądu w trakcie dochodzenia, co stanowi działalność państwa w dziedzinie prawa karnego ( 39 ), a zatem wchodzi w zakres wyjątków przewidzianych w art. 1 ust. 3 dyrektywy 2002/58, a także w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 ( 40 ). Na rozprawie rząd Zjednoczonego Królestwa wskazał, że podziela taki punkt widzenia rządu hiszpańskiego.

46. Niemniej jednak jestem zdania, że dyrektywa 2002/58 ma zastosowanie w odniesieniu do środków krajowych, takich jak rozpatrywane w postępowaniu głównym. W istocie Trybunał orzekł już w wyroku Tele2, że przepisy krajowe dotyczące zatrzymywania danych w celu zwalczania przestępczości wchodzą w zakres stosowania tej dyrektywy, nie tylko ponieważ określają obowiązki spoczywające na dostawcach usług łączności elektronicznej, ale także w zakresie, w jakim regulują dostęp organów krajowych do zatrzymanych w ten sposób danych ( 41 ). Podobnie jak Komisja, jestem zdania, że rozważania zawarte w tym wyroku można zastosować do przepisów krajowych mających zastosowanie w niniejszej sprawie, to jest wynikających z ustawy 25/2007 w związku z hiszpańskim kodeksem postępowania karnego zmienionym ustawą organiczną 13/2015 ( 42 ), a zatem również do przedmiotu sporu przed sądem krajowym.

47. Pragnę nadmienić, że nie należy mylić z jednej strony danych osobowych przetwarzanych bezpośrednio w ramach czynności – władczych ( 43 ) – państwa w dziedzinie prawa karnego ( 44 ), a z drugiej strony w ramach czynności – o charakterze handlowym – dostawcy usług łączności elektronicznej, które są następnie wykorzystywane przez właściwe organy państwa ( 45 ). Zauważam zresztą, że do Trybunału wpłynął niedawno wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczący w szczególności wykładni art. 1 ust. 3 dyrektywy 2002/58 w kontekście wykorzystywania przez służby bezpieczeństwa i wywiadu państwa członkowskiego danych, które powinny im być przekazywane w pakietach przez takich dostawców ( 46 ), lecz moim zdaniem nie ma potrzeby zajmowania się tą problematyką w niniejszej sprawie ( 47 ).

48. W drugiej kolejności pragnę zauważyć, że zostały podniesione także inne pytania dotyczące zakresu stosowania dyrektywy 2002/58, od których zależy właściwość Trybunału w niniejszej sprawie, biorąc pod uwagę rodzaj danych rozpatrywanych w postępowaniu głównym.

49. Jak już wskazałem ( 48 ), z informacji zawartych w aktach sprawy wynika, że sporny wniosek o udzielenie dostępu dotyczy informacji dotyczących tożsamości właścicieli lub użytkowników numerów telefonu przypisanych do kart SIM, które były uruchamiane za pomocą skradzionego telefonu komórkowego, aby odnaleźć osoby, które posiadały to urządzenie, a nie informacji na temat ewentualnych połączeń zainicjowanych przez te osoby.

50. Innymi słowy, nawet jeżeli szerszy zakres danych osobowych mógłby być w świetle prawa hiszpańskiego przedmiotem wniosku ( 49 ), niniejszy spór w postępowaniu przed sądem krajowym dotyczy danych, które odnoszą się wyłącznie do „użytkowników” w rozumieniu art. 2 akapit drugi lit. a) dyrektywy 2002/58, a nie „lokalizacji” ( 50 ) w rozumieniu art. 2 akapit drugi lit. c), ani „komunikatów” jako takich, w rozumieniu tego samego art. 2 akapit drugi lit. d) ( 51 ).

51. W ocenie hiszpańskiej prokuratury, rządów hiszpańskiego, duńskiego irlandzkiego, łotewskiego i Zjednoczonego Królestwa, a także Komisji informacje takie jak te, które stanowią przedmiot niniejszego postępowania, pod warunkiem iż uwzględniane są odrębnie, to jest niezależnie od komunikatów wykonanych w stosownych przypadkach, nie powinny w zasadzie być objęte pojęciem „danych o ruchu” w rozumieniu art. 2 akapit drugi lit. b), który definiuje je jako „wszelkie dane przetwarzane do celów przekazywania komunikatu w sieci łączności elektronicznej lub naliczania opłat za te usługi” ( 52 ).

52. Wprawdzie wydaje się, że w tym miejscu dane identyfikacyjne wymagane przez organy policyjne nie dotyczą „ruchu” komunikatów w ścisłym znaczeniu, w zakresie, w jakim okazuje się, że dane te mogą zostać uzyskane mimo ewentualnego braku połączeń z wykonanych ze skradzionego urządzenia, a zatem nawet jeżeli żaden interpersonalny komunikat nie był w danym okresie przekazywany przez operatora telefonii komórkowej ( 53 ).

53. Niemniej jednak uważam, że spór taki jak ten w postępowaniu przed sądem krajowym wchodzi w zakres stosowania dyrektywy 2002/58, ponieważ przetwarzanie informacji związanych z kartami SIM i ich posiadaczami, o których mowa w niniejszej sprawie, jest z handlowego punktu widzenia konieczne do świadczenia usług łączności elektronicznej ( 54 ), co najmniej do celów pobierania opłat za świadczoną usługę ( 55 ), niezależnie od tego, czy w ramach tego świadczenia były wykonywane połączenia.

54. W istocie, w świetle art. 1 ust. 1 i art. 3 dyrektywy 2002/58 ( 56 ) podzielam opinię wyrażoną w szczególności przez Komisję, zgodnie z którą to opinią dyrektywa ta powinna regulować, w sposób ogólny, przetwarzanie danych osobowych dokonywane w ramach świadczenia usług łączności elektronicznej w taki sposób, ażeby zakres obowiązywania obejmował dane dotyczące tożsamości użytkowników takich usług jak rozpatrywanych w niniejszej sprawie, a nie tylko tych, które wynikają z konkretnego komunikatu. Biorąc pod uwagę również cele ochronne, o których mowa w tej dyrektywie, polegające przede wszystkim na ochronie praw podstawowych zagwarantowanych w karcie ( 57 ), uważam zatem, że pojęcie „komunikatu” w rozumieniu tego aktu należy rozumieć w najszerszym rozumieniu, a zasada poufności komunikacji przewidzianej przez ten instrument ( 58 ) wchodzi w grę w niniejszej sprawie.

55. Jestem również zdania, że wykładnia ta znajduje potwierdzenie w poprzednim wyroku Trybunału, w którym uznał on, że zakres stosowania dyrektywy 2002/58 obejmuje spór dotyczący przekazywania nazw i adresów użytkowników usług łączności elektronicznej ( 59 ). Dodam, że art. 12 tej dyrektywy, który dotyczy spisu abonentów, obejmuje moim zdaniem z pewnością tego rodzaju dane ( 60 ), a jej motyw 15 odzwierciedla również elastyczną koncepcję pojęcia „informacji”, włączając w nie w szczególności „adresy dostarczone przez nadawcę komunikatu” ( 61 ).

56. Ponadto pogląd taki jest spójny z orzecznictwem Europejskiego Trybunału Praw Człowieka w tej materii ( 62 ), przy czym należy przypomnieć, że preambuła dyrektywy 2002/58 podkreśla, iż jej celem jest zapewnienie poufności komunikacji i prawa użytkowników do prywatności zgodnie z EKPC, tak jak jest ona interpretowana przez Europejski Trybunał Praw Człowieka ( 63 ), nawet jeśli ten ostatni akt nie został formalnie włączony do porządku prawnego Unii ( 64 ).

57. W związku z tym uważam, że spór taki jak ten w postępowaniu głównym wchodzi w zakres stosowania dyrektywy 2002/58 oraz że zarzut braku właściwości podniesiony przez rząd hiszpański powinien zatem zostać oddalony.

58. W celu przedstawienia pełnego obrazu sytuacji wyjaśnię jednak, że w przypadku gdyby dyrektywa 2002/58 nie została uznana za mającą zastosowanie w niniejszej sprawie, dyrektywa 95/46, przywołana zarówno przez sąd odsyłający, jak i przez rząd hiszpański, nie może stanowić podstawy właściwości Trybunału do orzekania w niniejszej sprawie.

59. W istocie, jak wskazuje Komisja, dyrektywa 95/46 stanowi bez wątpienia instrument o zasięgu ogólnym w dziedzinie przetwarzania danych osobowych ( 65 ), ale pytania zadane przez sąd krajowy zostałyby moim zdaniem pozbawione znaczenia, jeżeliby zostały przeanalizowane tylko pod tym kątem, jako że ich przedmiotem jest określenie progu, od którego przestępstwa mogą zostać zakwalifikowane jako „poważne” w rozumieniu orzecznictwa wynikającego z wyroków Digital Rights i Tele2, które nie dotyczyły wykładni wspomnianej dyrektywy ( 66 ).

2. W przedmiocie dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym

60. Rząd hiszpański utrzymuje pomocniczo, na wypadek gdyby Trybunał uznał, że jest właściwy do udzielenia odpowiedzi na przedstawione mu pytania, że wniosek o wydanie orzeczenia w trybie prejudycjalnym należy uznać za niedopuszczalny z dwóch powodów.

61. Po pierwsze, rząd ten twierdzi, że sąd odsyłający nie zakreśla w sposób jasny ram prawa Unii, w których Trybunał powinien się wypowiedzieć.

62. W tym względzie przypomina on utrwalone orzecznictwo, zgodnie z którym w ramach współpracy ustanowionej w art. 267 TFUE Trybunał może odmówić orzekania w przedmiocie pytań prejudycjalnych, które korzystają z domniemania posiadania znaczenia dla sprawy, tylko wtedy, gdy jest oczywiste, że wykładnia lub ocena ważności normy Unii, o którą wystąpiono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego niezbędnymi do udzielenia użytecznej odpowiedzi na pytania, które zostały mu przedstawione ( 67 ).

63. Uważam jednak, że w niniejszym przypadku zarzut podniesiony przez rząd hiszpański nie jest zasadny. W świetle informacji przekazanych przez sąd odsyłający uważam bowiem, że sąd ten wskazał w sposób wystarczający przepisy prawa Unii, które jego zdaniem są istotne. Przypominam, po pierwsze, że zadane pytania dotyczą w szczególności art. 7 i 8 karty, po drugie, że sąd ten wskazuje, iż dyrektywy 95/46 i 2002/58 tworzą konieczne powiązanie pomiędzy uregulowaniami krajowymi mającymi zastosowanie w postępowaniu głównym a prawem Unii ( 68 ), a także że celem dyrektywy 2002/58 jest, zgodnie z jej motywem 2, zwłaszcza zapewnienie pełnego poszanowania praw określonych w art. 7 i 8 karty ( 69 ).

64. Pragnę dodać, że nie ma znaczenia fakt, iż jeden z hiszpańskich przepisów wskazanych w postanowieniu odsyłającym, to jest ustawa 25/2007, miał na celu transpozycję dyrektywy 2006/24, która została uchylona w następstwie orzeczenia jej nieważności w wyroku Digital Rights ( 70 ). Jak sąd odsyłający słusznie zauważył, nieprawidłowe byłoby stwierdzenie, iż przedłożone tu pytania prejudycjalne zostały pozbawione znaczenia z powodu tej nieważności. W tym względzie wystarczy stwierdzić, że dziedzina, której dotyczą te pytania, to jest ochrona danych osobowych, wchodzi w zakres kompetencji Wspólnoty oraz że spór w postępowaniu głównym jest objęty zakresem stosowania aktu prawa Unii, a mianowicie dyrektywy 2002/58 ( 71 ), którą miała zmienić uznana za nieważną dyrektywa 2006/24.

65. Można ponadto zauważyć, że strony, które przedłożyły uwagi Trybunałowi, w większości opierają się na założeniu, iż niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym należy zbadać w świetle art. 15 ust. 1 dyrektywy 2002/58 w związku z art. 7 i 8 karty oraz na podstawie wskazówek wynikających z wyroków Digital Rights i Tele2. Taka jest również moja ocena, z tym że wyrażenie „przestępstwo”, a nie „poważne przestępstwo” występuje w dyrektywie 2002/58, wyłącznie w art. 15 ust. 1 ( 72 ).

66. Po drugie, rząd hiszpański podnosi, że art. 7 karty, który stanowi główny element niniejszego wniosku o wydanie orzeczenia w trybie prejudycjalnym, nie ma znaczenia, bowiem żądana czynność dochodzeniowa w sprawie przed sądem krajowym nie dotyczy przechwytywania komunikatów i nie może zatem mieć wpływu na poufność komunikacji, co sprawia, że zadane pytania są hipotetyczne.

67. Ze swej strony uważam, że art. 7 karty ma znaczenie w niniejszej sprawie i że wniosek o wydanie orzeczenia w trybie prejudycjalnym jest zatem pozbawiony charakteru hipotetycznego. O ile prawdą jest, że w niniejszej sprawie nie istnieje ryzyko naruszenia prawa do poszanowania tajemnicy komunikacji, z uwagi na przedmiot środka będącego przedmiotem sporu w postępowaniu głównym ( 73 ), o tyle nie zmienia to faktu, że taki środek może naruszać prawo do poszanowania życia prywatnego, zagwarantowane przez wspomniane postanowienie, nawet jeśli naruszenie to jest moim zdaniem małej wagi ( 74 ).

68. W istocie, jak Trybunał miał już sposobność orzec, udostępnianie danych osobowych podmiotowi trzeciemu, takiemu jak organ publiczny, stanowi ingerencję w prawo podstawowe gwarantowane w art. 7 karty, niezależnie od tego, w jaki sposób dane te zostaną później wykorzystane. To samo dotyczy zatrzymywania danych osobowych, w szczególności przez dostawców usług komunikacji elektronicznej, jak też dostępu do tych danych w celu ich wykorzystania przez organy publiczne ( 75 ).

69. Ca za tym idzie, uważam, że zarzut niedopuszczalności podniesiony przez rząd hiszpański powinien zatem zostać oddalony i że w związku z tym należy wydać rozstrzygnięcie co do istoty wniosku o wydanie orzeczenia w trybie prejudycjalnym.

C. W przedmiocie elementów wymaganych w celu określenia wystarczającej wagi naruszenia uzasadniającego ingerencję w prawa podstawowe (pytanie pierwsze)

70. W pytaniu pierwszym sąd odsyłający zwraca się do Trybunału w istocie o rozstrzygnięcie co do elementów, które należy uwzględnić, aby ustalić, że przestępstwa mają wystarczającą wagę, aby uzasadnić naruszenie praw podstawowych przyznanych przez art. 7 i 8 karty w kontekście zatrzymywania danych osobowych i dostępu do nich, zgodnie z orzecznictwem zapoczątkowanym wyrokiem Digital Rights i kontynuowanym w wyroku Tele2.

71. W tym względzie przypominam, że pojęcie „poważnych przestępstw” było używane przez Trybunał w wyroku Digital Rights ( 76 ), niekiedy w połączeniu z pojęciem „poważnej przestępczości” ( 77 ), jako kryterium weryfikowania celu i proporcjonalności ingerencji w prawa podstawowe, co było spowodowane wyżej wymienionymi przepisami prawa Unii w zakresie ochrony danych osobowych, a mianowicie dyrektywy 2006/24. Uściślam, że pojęcie to, które nie zostało zawarte w dyrektywie 2002/58 ( 78 ), występowało w dyrektywie 2006/24 ( 79 ), której nieważność stwierdzono w wyroku. Następnie Trybunał stosuje te dwa pojęcia w wyroku Tele2 ( 80 ) jako kryterium oceny, ale tym razem w odniesieniu do zgodności z prawem Unii ( 81 ), przepisów przyjętych przez państwa członkowskie.

72. Dokładniej rzecz ujmując, w pierwszym pytaniu prejudycjalnym zwrócono się do Trybunału o orzeczenie, czy do celów oceny istnienia „poważnego przestępstwa”, które mogłoby uzasadniać ingerencję w prawa podstawowe ustanowione w art. 7 i 8 karty w kontekście ochrony danych osobowych, należy wziąć pod uwagę wyłącznie zagrożenie karą w odniesieniu do spornego naruszenia, czy też dodatkowo szczególną szkodliwość czynu zabronionego dla występujących indywidualnych lub zbiorowych interesów prawnych.

73. Jednakże, podobnie jak Komisja, jestem zdania, że przed podjęciem decyzji w tej kwestii należy sprawdzić, czy ingerencja rozpatrywana w sporze w postępowaniu głównym ma wystarczająco poważny charakter, aby zezwolenie na nią wymagało – na podstawie prawa Unii – by była ona uzasadniona zwalczaniem przestępstwa o poważnym charakterze. Sądzę bowiem, że jeżeli tak nie jest, Trybunał powinien dokonać wykładni odpowiednich przepisów prawa Unii, nie ograniczając się do żądania sądu odsyłającego, ale po przeformułowaniu pierwszego z zadanych pytań ( 82 ), w zakresie, w jakim jest to konieczne w świetle okoliczności sporu w postępowaniu głównym ( 83 ).

1. W przedmiocie uwzględnienia braku poważnego charakteru spornej ingerencji

74. Przede wszystkim należy ustalić, że operacje takie jak te rozpatrywane w postępowaniu głównym mogą naruszać prawa podstawowe gwarantowane w art. 7 i 8 karty, a zatem stanowić ingerencję w te prawa w rozumieniu orzecznictwa wynikającego z wyroków Digital Rights i Tele2.

75. Co prawda, jak podnosiły rządy hiszpański i duński w swoich wystąpieniach ( 84 ) i jak już wspomniałem ( 85 ), dane, do których organy prowadzące rozpatrywane postępowanie karne chcą mieć dostęp, wydają się mieć charakter mniej wrażliwy niż niektóre inne kategorie danych osobowych ( 86 ) z uwagi na to, że wniosek wydaje się dotyczyć jedynie imienia, nazwiska i adresu osób objętych tym dochodzeniem, jako użytkowników numerów telefonu wybieranych ze skradzionego telefonu komórkowego, którego dotyczy dochodzenie.

76. Uważam jednak, że w celu ustalenia, czy dane osobowe muszą być objęte ochroną przewidzianą w prawie Unii, a w szczególności w dyrektywie 2002/58 ( 87 ), bez znaczenia jest to, czy informacje objęte wnioskiem o zatrzymanie lub udostępnienie mają charakter danych wrażliwych czy też nie. W istocie, jak to zostało wskazane w ramach pierwszych prac legislacyjnych w tym zakresie, „w zależności od celu zastosowania, wszelkie dane dotyczące osoby, choć pozornie nieszkodliwe, mogą mieć charakter wrażliwy (takie jak zwykły adres pocztowy)” ( 88 ). Ponadto Trybunał orzekł już, że do celów stwierdzenia istnienia ingerencji w prawo podstawowe ustanowione w art. 7 karty „nie ma znaczenia okoliczność, czy informacje związane z życiem prywatnym mają charakter szczególnie chroniony, ani też to, czy też ze względu na tę ingerencję zainteresowane osoby doświadczyły ewentualnych niedogodności” ( 89 ).

77. Ponadto przypominam, że przekazanie danych osobowych osobom trzecim, nawet organom publicznym, takim jak służby policji kryminalnej, stanowi ingerencję w prawo podstawowe zagwarantowane w art. 7 karty ( 90 ), również wtedy, gdy informacje te są przekazywane do celów postępowania karnego, która to sytuacja została wyraźnie przewidziana w art. 15 ust. 1 dyrektywy 2002/58 ( 91 ). Dodam, że tego rodzaju operacja może również wpływać na prawo podstawowe do ochrony danych osobowych zagwarantowane w art. 8 karty, gdyż wiąże się z przetwarzaniem danych osobowych ( 92 ).

78. Jestem zatem zdania, że należy stwierdzić, że środek taki jak ten, którego dotyczy sprawa w postępowaniu głównym, stanowi ingerencję w prawa podstawowe ustanowione w art. 7 i 8 karty.

79. Niemniej jednak jestem zdania, że w okolicznościach niniejszej sprawy brakuje istotnego elementu, który Trybunał uznał za konieczny – na etapie uzasadnienia takiej ingerencji – do przyjęcia, że zaistniało „poważne przestępstwo”, o którego zdefiniowanie wnosi sąd odsyłający, co da możliwość odstąpienia od zasady poufności komunikacji elektronicznej. Elementem, którego moim zdaniem w sprawie brakuje dla udzielenia odpowiedzi na pierwsze z pytań prejudycjalnych w słowach użytych przez ten sąd, jest waga spornej ingerencji; obecność tego czynnika powodowałaby konieczność wzmocnionego uzasadnienia.

80. W tym względzie zauważam, że w wyroku Digital Rights Trybunał zwrócił uwagę na szeroką skalę i szczególnie poważny charakter ingerencji spowodowanej spornym uregulowaniem, wskazując w szczególności, że „dyrektywa 2006/24 obejmuje generalnie wszystkie jednostki, środki łączności elektronicznej i dane o ruchu, przy czym nie przewidziano w niej jakiegokolwiek zróżnicowania w zależności od celu dotyczącego zwalczania poważnych przestępstw” ( 93 ).

81. W podobny sposób w wyroku Tele2 Trybunał orzekł, że „[a]rt. 15 ust. 1 dyrektywy 2002/58 […] stoi […] na przeszkodzie uregulowaniu krajowemu przewidującemu do celów zwalczania przestępczości uogólnione i niezróżnicowane zatrzymywanie wszystkich danych o ruchu oraz danych dotyczących lokalizacji wszystkich abonentów i zarejestrowanych użytkowników wszystkich środków łączności elektronicznej” ( 94 ). W wyroku tym wskazano również na korelację między z jednej strony szczególną „wagą ingerencji” a z drugiej strony koniecznością uzasadnienia tak dalece idącego naruszenia praw podstawowych zagwarantowanych w art. 7 i 8 karty w oparciu względy interesu ogólnego o tak pierwszorzędnym znaczeniu, jak „walka z poważną przestępczością” ( 95 ).

82. Powiązanie wagi stwierdzonej ingerencji z wagą względu umożliwiającego jej uzasadnienie zostało dokonane w zgodzie z zasadą proporcjonalności ( 96 ). Co więcej, sądzę, że ETPC ustalił w swoim orzecznictwie dotyczącym art. 8 EKPC ( 97 ) związek korelacji równoważny z tym, który w mojej ocenie wynika z wyroków Digital Rights i Tele2.

83. Tymczasem, jak wskazałem powyżej ( 98 ) i jak to podkreśliły w szczególności rządy francuski i Zjednoczonego Królestwa, a także Komisja, charakter ingerencji w niniejszym sporze w postępowaniu głównym jest, na różnych poziomach, odmienny od tych, które zostały zbadane przez Trybunał w dwóch poprzedzających wyrokach. Badanie zgodności z prawem Unii takiego środka jak tutaj musi zatem zostać dokonane w sposób odmienny.

84. W niniejszej sprawie nie chodzi o środek dotyczący uogólnionego i niezróżnicowanego obowiązku zatrzymywania danych dotyczących ruchu i lokalizacji któregokolwiek z abonentów lub zarejestrowanych użytkowników, który dotyczyłby wszystkich środków łączności elektronicznej. Jest to środek ukierunkowany, którego celem jest możliwość dostępu właściwych organów – do celów dochodzenia w postępowaniu karnym – do danych przechowywanych do celów handlowych przez dostawców usług i który dotyczy tylko tożsamości (imię, nazwisko i adres) ograniczonej kategorii abonentów lub użytkowników środków komunikacji, to jest tych, których numer telefonu został aktywowany z telefonu komórkowego, którego kradzież stanowi przedmiot dochodzenia, i to przez ograniczony czas, to znaczy 12 dni ( 99 ).

85. Dodam, że potencjalnie szkodliwe skutki dla osób, których dotyczy rozpatrywany wniosek o udzielenie dostępu, są umiarkowane i ograniczone. W istocie, ponieważ dane objęte wnioskiem mają być wykorzystywane w ramach określonego środka dochodzeniowego, publiczne ujawnienie nie jest ich przeznaczaniem ( 100 ). Co więcej, przysługującemu organom ścigania uprawnieniu do uzyskania dostępu towarzyszą gwarancje proceduralne na mocy prawa hiszpańskiego, ponieważ uprawnienie to wiąże się z kontrolą sądową, która zresztą doprowadziła do odrzucenia wniosku policji w sporze w postępowaniu głównym.

86. Ingerencja w wyżej wymienione prawa podstawowe spowodowana przekazaniem danych dotyczących tożsamości w mojej ocenie nie jest szczególnie poważna ( 101 ), ponieważ dane tego rodzaju i o tak ograniczonym zakresie same w sobie nie pozwalają na uzyskanie zróżnicowanych i precyzyjnych informacji o danych osobach ( 102 ) i w tych konkretnych okolicznościach nie naruszają bezpośrednio i w znacznym stopniu ich prywatności ( 103 ).

87. Co za tym idzie, podobnie jak Komisja jestem zdania, że aby dostarczyć sądowi krajowemu wskazówek, które byłyby istotne dla rozstrzygnięcia zawisłego przed nim sporu, należy przeformułować pierwsze pytanie prejudycjalne w taki sposób, że przyszła odpowiedź Trybunału będzie dotyczyła wykładni art. 15 ust. 1 dyrektywy 2002/58 w świetle okoliczności niniejszej sprawy, a mianowicie w obliczu ingerencji w wyżej wymienione prawa podstawowe, która nie jest szczególnie poważna, a która motywowana jest zwalczaniem kategorii przestępstw, których poważny charakter budzi wątpliwości.

88. W tym względzie należy przypomnieć, że w związku z tym, iż cele mogące uzasadniać przepisy krajowe stanowiące odstępstwo od zasady poufności komunikacji elektronicznej są wymienione w sposób wyczerpujący w art. 15 ust. 1 dyrektywy 2002/58, dostęp do zatrzymywanych danych powinien odpowiadać rzeczywiście i ściśle jednemu z tych celów ( 104 ). Należy do nich leżący w interesie ogólnym cel polegający na „zapewnieni[u] […] zapobiegania, dochodzenia, wykrywania i karania przestępstw” ( 105 ), bez dodatkowego uściślenia ich charakteru.

89. Z użytej tak terminologii wynika, że nie jest konieczne, aby przestępstwa usprawiedliwiające przedmiotowy restrykcyjny środek na podstawie art. 15 ust. 1 musiały być kwalifikowane jako „poważne” w rozumieniu orzecznictwa wynikającego z wyroków Digital Rights i Tele2. W mojej ocenie jedynie w sytuacji, gdy ingerencja jest szczególnie poważna, tak jak to miało miejsce w sprawach leżących u podstaw rzeczonych wyroków, przestępstwa uzasadniające ingerencje również muszą być szczególnie poważne. Natomiast w przypadku ingerencji, która nie jest poważna, należy wrócić do podstawowej zasady wynikającej z brzmienia tego przepisu, stanowiącej, że wszelkiego rodzaju „przestępstwa” mogą uzasadniać taką ingerencję.

90. Moim zdaniem należy zadbać o to, aby nie przyjmować zbyt szerokiej koncepcji wymogów ustanowionych przez Trybunał w tych dwóch wyrokach, aby nie ograniczać – a w każdym razie nie ograniczać nadmiernie – możliwości odstąpienia przez państwa członkowskie od systemu ustanowionego dyrektywą 2002/58, która to możliwość została im przyznana w art. 15 ust. 1, w przypadkach, w których ingerencje w prywatność mają zarówno zgodny z prawem cel, jak i ograniczony zakres, takie jak te, o które w niniejszej sprawie wnosi organ policji. Konkretniej, uważam, że prawo Unii nie sprzeciwia się temu, aby właściwe organy mogły mieć dostęp do danych identyfikacyjnych będących w posiadaniu dostawców usług łączności elektronicznej, pozwalających na odnalezienie domniemanych sprawców przestępstwa, które nie ma poważnego charakteru.

91. Zgodnie z powyższym proponuję, aby Trybunał udzielił następującej odpowiedzi na przeformułowane pytanie prejudycjalne: art. 15 ust. 1 dyrektywy 2002/58 w związku z art. 7, 8 i art. 52 ust. 1 karty należy interpretować w ten sposób, że środek pozwalający właściwym organom krajowym na dostęp, w celu zwalczania przestępstw, do danych identyfikacyjnych użytkowników numerów telefonu wybieranych z określonego telefonu komórkowego i przez ograniczony czas, w okolicznościach takich jak rozpatrywane w postępowaniu przed sądem krajowym, powoduje ingerencję w prawa podstawowe gwarantowane przez tę dyrektywę i kartę, która nie osiąga poziomu wagi wystarczającej do tego, aby należało ograniczyć taki dostęp do przypadków, gdy dane przestępstwo jest poważne.

92. W świetle proponowanej odpowiedzi całość poniższych uwag zostanie przedstawiona jedynie pomocniczo, dla kompletności opinii.

2. W przedmiocie określenia ewentualnych istotnych kryteriów dla wykazania odpowiedniej wagi naruszenia

93. Na wypadek gdyby Trybunał uznał, wbrew temu, co proponuję, mimo szczególnych okoliczności sporu w postępowaniu głównym, że w niniejszej sprawie należy ustalić, co należy rozumieć przez „poważne przestępstwo” w rozumieniu orzecznictwa wynikającego z wyroków Digital Rights i Tele2 ( 106 ), należałoby jeszcze zastanowić się, po pierwsze, czy taka kwalifikacja stanowi autonomiczne pojęcie prawa Unii, które należałoby zatem zdefiniować. Jednakże, zgadzając się z odpowiedzią zaproponowaną w pierwszej kolejności przez rząd francuski, nie podzielam takiego poglądu – z następujących powodów.

94. Po pierwsze, pragnę zauważyć, że dyrektywa 2006/24, z której pochodzi pojęcie „poważnego przestępstwa” ( 107 ), nie zawiera jego definicji, lecz odsyła w tym względzie do porządków prawnych państw członkowskich ( 108 ). Dodam, że zasadniczych rozważań zawartych w wyrokach w sprawie Digital Rights i Tele2 nie należy moim zdaniem rozumieć w ten sposób, że mają one na celu harmonizację obowiązujących w państwach członkowskich przepisów dotyczących treści tego pojęcia.

95. Przypominam w tym względzie, że ustawodawstwo karne i normy postępowania karnego należą do kompetencji państw członkowskich, nawet jeśli na ich porządek prawny mogą jednak mieć wpływ przepisy prawa Unii przyjęte w tej dziedzinie ( 109 ). Artykuł 83 ust. 2 TFUE stanowi, że jedynie w sytuacji, gdy zbliżanie przepisów ustawowych i wykonawczych państw członkowskich w sprawach karnych okaże się niezbędne w celu zapewnienia skutecznego wprowadzania w życie polityki Unii w dziedzinie, która stała się przedmiotem środków harmonizujących, Unia może przyjmować dyrektywy w celu ustanowienia norm minimalnych odnoszące się do określania przestępstw oraz kar w danej dziedzinie. Tymczasem w aktualnym stanie prawa Unii nie istnieje przepis o charakterze generalnym, który dawałby zharmonizowaną definicję pojęcia „poważnego przestępstwa” ( 110 ).

96. Sądzę, że uprawnienie do określenia, co stanowi „poważne przestępstwo”, co do zasady należy do właściwych władz państw członkowskich. Niemniej jednak dzięki odesłaniom prejudycjalnym, w których sądy państw członkowskich mogą zwrócić się do Trybunału, obowiązkiem tego ostatniego jest czuwanie nad przestrzeganiem wszystkich wymogów wynikających z prawa Unii, a w szczególności zapewnienie spójnego stosowania ochrony przewidzianej na mocy postanowień karty.

97. Pragnę zauważyć, że kwalifikacja prawna nie tylko może różnić się w poszczególnych państwach członkowskich w zależności od tradycji i priorytetów określonych przez każde z nich, lecz również może zmieniać się w czasie w zależności od nadawanych kierunków polityki karnej, mniej lub bardziej surowej, w celu uwzględnienia zmian przestępczości ( 111 ) oraz, bardziej ogólnie, transformacji społeczeństwa i istniejących potrzeb, w szczególności w zakresie ścigania przestępstw na szczeblu krajowym.

98. Ponadto podkreślam, że biorąc pod uwagę fakt, iż istnieją duże różnice w skali sankcji, które są tradycyjnie stosowane w różnych państwach członkowskich ( 112 ), waga przestępstwa nie wynika tylko z grożącej za dany czyn kary. To, czy przestępstwo jest poważne, ma charakter bardzo względny, w tym znaczeniu, że zależy on od skali kar, które są zwykle stosowane w danym państwie członkowskim. Zatem okoliczność, że państwo członkowskie przewiduje niską karę pozbawienia wolności, a nawet karę alternatywną względem pozbawienia wolności, nie przesądza jednak o inherentnej wadze danego typu przestępstw ( 113 ).

99. Należy moim zdaniem uszanować odrębności systemu prawa karnego poszczególnych państw członkowskich, także dlatego, że prawo Unii nie ustanawia zobowiązań wiążących te państwa w sposób ścisły, analogicznie do tego, co Trybunał orzekł odnośnie do ochrony bezpieczeństwa publicznego ( 114 ); moim zdaniem jest to pojęcie zbliżone do pojęcia walki z poważną przestępczością, a zwłaszcza w świetle brzmienia art. 15 ust. 1 zdanie pierwsze dyrektywy 2002/58.

100. W konsekwencji uważam, tytułem uzupełnienia, że pojęcie „poważnego przestępstwa” w rozumieniu orzecznictwa Trybunału wynikającego z wyroków Digital Rights i Tele2 nie stanowi autonomicznego pojęcia prawa Unii, którego treść powinna zostać określona przez Trybunał, nawet jeśli prawdą pozostaje, że odstępstwa przewidziane w art. 15 ust. 1 dyrektywy 2002/58 powinny zostać wdrożone przez państwa członkowskie zgodnie ze zobowiązaniami wynikającymi z prawa Unii, a w szczególności wynikającymi z praw podstawowych zagwarantowanych w karcie, pod kontrolą Trybunału.

101. W tej kwestii należy wskazać, że jak wynika w szczególności z orzecznictwa Trybunału, wspomniany art. 15 ust. 1, w zakresie, w jakim zezwala państwom członkowskim na ograniczenie zakresu pewnych praw i obowiązków określonych w tej dyrektywie, podlega ścisłej wykładni i nie może prowadzić do tego, że odstępstwa od tych praw i obowiązków staną się regułą ( 115 ). Co za tym idzie, zakres pojęcia „poważnego przestępstwa” nie może być rozumiany przez państwa członkowskie w sposób nadmiernie szeroki.

102. Po drugie, tytułem dalszego jeszcze uzupełnienia, w przypadku gdyby Trybunał uznał, że badane pojęcie ma charakter autonomiczny, Trybunał będzie musiał odpowiedzieć na pytanie sformułowane przez sąd krajowy, i co za tym idzie, wypowiedzieć się w kwestii określenia kryteriów pozwalających ocenić na poziomie prawa Unii, czy dane przestępstwo charakteryzuje się wystarczającą wagą, aby uzasadniać naruszenie praw podstawowych wynikających z art. 7 i 8 karty.

103. Ściślej rzecz ujmując, Trybunał będzie musiał określić, czy w celu ustalenia istnienia „poważnego przestępstwa” w rozumieniu tego orzecznictwa wystarczy oprzeć się na kryterium kary przewidzianej w przypadku domniemanego naruszenia, czy też konieczne jest ponadto, by popełnienie czynu zabronionego było szczególnie szkodliwe dla indywidualnych lub zbiorowych interesów prawnych. W związku z tym moim zdaniem należałoby, podobnie jak oceniły rządy duński, hiszpański, francuski, węgierski, austriacki, polski i Zjednoczonego Królestwa, optować nie za pierwszą częścią tej alternatywy, lecz zasadniczo za częścią drugą, z naciskiem na definicję opartą na wielu kryteriach oceny ( 116 ).

104. Co się tyczy wagi przestępstwa, która może uzasadniać dostęp do danych, byłoby moim zdaniem, w świetle zasady proporcjonalności, niemożliwe ustalenie wagi zarzucanych czynów, biorąc pod uwagę wyłącznie karę, która może zostać za nie wymierzona. Zważywszy bowiem na znaczne różnice istniejące między systemami karnymi państw członkowskich, uważam, że grożąca kara nie może być traktowana jako wyłączne odzwierciedlenie, czy to pod kątem jakościowym – rodzaju kary, czy to pod względem ilościowym – wymiaru kary, szczególnej wagi przestępstwa.

105. Nawet jeżeli kwestia kary ma istotne znaczenie, to w konkretnych przypadkach należy w tym celu uwzględnić także inne obiektywne czynniki. Chodzi w szczególności, po pierwsze, o kontekst, w jaki wpisuje się zarzucane przestępstwo: umyślny charakter czynu przestępnego, popełnienie go w warunkach powrotu do przestępstwa, a po drugie, o wagę interesów społeczeństwa, które mogły zostać naruszone przez sprawcę przestępstwa, jak również charakter lub zakres szkody, która mogła zostać poniesiona przez pokrzywdzonego ( 117 ), a wreszcie, skalę kar najczęściej stosowanych w danym państwie członkowskim ( 118 ). To na podstawie tego wachlarza kryteriów oceny, konkurujących i niewyczerpujących, należy moim zdaniem kwalifikować ewentualne przestępstwo jako „poważne” w rozumieniu odnośnego orzecznictwa Trybunału.

106. Dodam, że proponowana wykładnia jest zgodna z podejściem, jak mi się wydaje, przyjętym przez ETPC w orzecznictwie dotyczącym „zapobiegania przestępstwom” jako cel pozwalający uzasadnić ingerencję w prawo do poszanowania życia prywatnego ustanowione w art. 8 EKPC, z zastrzeżeniem spełnienia również pozostałych warunków ( 119 ). W mojej ocenie z tego orzecznictwa wynika, że na zwalczanie niektórych kategorii przestępstw państwa będące stroną EKPC mogą w tym kontekście skutecznie się powoływać ( 120 ) w świetle nie tyle samego zagrożenia karą, ile raczej rozmaitych czynników oceny, wśród których istotne miejsce zajmują charakter danych przestępstw oraz interesy publiczne i prywatne, które przestępstwo narusza ( 121 ).

107. W związku z powyższym jestem zdania, że gdyby pojęcie „poważnego przestępstwa” w rozumieniu orzecznictwa Digital Rights i Tele2 zostało uznane przez Trybunał za pojęcie autonomiczne prawa Unii, powinno być ono interpretowane w ten sposób, że poważny charakter przestępstwa, uzasadniający dostęp właściwych organów krajowych do danych osobowych na podstawie art. 15 ust. 1 dyrektywy 2002/58, należy oceniać z uwzględnieniem nie tylko grożącej kary, ale także szeregu innych kryteriów obiektywnej oceny, jak te opisane powyżej.

D. W przedmiocie subsydiarnej definicji minimalnego wymiaru kary wymaganego w celu określenia wystarczającej wagi przestępstwa uzasadniającej ingerencję w omawiane prawa podstawowe (pytanie drugie)

108. Poprzez pytanie drugie sąd odsyłający w istocie zwraca się do Trybunału, po pierwsze, by ten określił, jaki minimalny poziom powinna osiągnąć grożąca kara, aby przestępstwo można było uznać za „poważne” w rozumieniu orzecznictwa wynikającego z wyroków Digital Rights i Tele2, oraz po drugie, czy próg trzech lat pozbawienia wolności, przewidziany w hiszpańskim kodeksie postępowania karnego od czasu reformy z 2015 r. ( 122 ), jest zgodny z wymogami prawa Unii.

109. Pytania te zostały przedstawione jedynie posiłkowo, na wypadek gdyby Trybunał orzekł, w odpowiedzi na pierwsze pytanie prejudycjalne, że poważny charakter przestępstwa, to jest czynnik, który zgodnie z tym orzecznictwem może uzasadniać ingerencję w prawa podstawowe, powinien zostać określony przy uwzględnieniu wyłącznie wysokości kary pozbawienia wolności, która może zostać wymierzona.

110. Z uwagi na zaproponowaną przeze mnie odpowiedź na pierwsze pytanie prejudycjalne moim zdaniem nie ma potrzeby, aby Trybunał orzekał w przedmiocie pytania drugiego. Niemniej jednak w trosce o kompletność zamierzam przedstawić uwagi także w tym zakresie.

111. Co się tyczy pierwszej części pytania drugiego, stwierdzam – podobnie jak w szczególności rządy czeski i estoński – że wysokość grożącej kary, która sama w sobie pozwoliłaby na kwalifikację przestępstwa jako „poważne”, nie może zostać ustalona w sposób jednolity na całym terytorium Unii w świetle argumentów przedstawionych powyżej w odpowiedzi na pierwsze pytanie zadane przez sąd odsyłający ( 123 ).

112. Ponadto odmienności w zakresie definicji tego, co należy rozumieć przez „poważne przestępstwo”, w szczególności w odniesieniu do progu kary, którego osiągnięcie pozwala na przyjęcie tego określenia, są obecne także w aktach prawa Unii. Można bowiem zauważyć, że akty Unii przyjęte na podstawie art. 83 ust. 1 TFUE przewidują kary pozbawienia wolności na różnych poziomach dla przestępstw należących jednak do „szczególnie poważnej przestępczości ( 124 ), co ilustruje na przykład art. 3 dyrektywy 2011/93/UE ( 125 ) i art. 15 dyrektywy (UE) 2017/541 ( 126 ), które to akty dotyczą, odpowiednio, walki z wykorzystywaniem seksualnym dzieci oraz walki z terroryzmem. A zatem ustawodawca Unii nie zdecydował się na wprowadzenie jednolitej definicji pojęcia „poważnego przestępstwa” w świetle określonej wysokości grożącej kary.

113. Pragnę przypomnieć, że pozostawiona państwom członkowskim swoboda w zakresie podejmowania decyzji o minimalnym poziomie minimalnej kary wymaganym w celu przyjęcia, że przestępstwa są „poważne”, jest ograniczona normami zawartymi w przepisach prawa Unii w tej dziedzinie, jak również zasadą, zgodnie z którą odstępstwo nie może osiągnąć tak wielkiej skali, że stałoby się de facto regułą ( 127 ).

114. W niniejszej sprawie, mimo iż każde państwo członkowskie ma prawo ocenić, jaki próg kary będzie adekwatny dla scharakteryzowania poważnego przestępstwa, ma ono jednak obowiązek nieustalania tego progu na poziomie tak niskim w porównaniu ze zwykłym poziomem kar stosowanych w tym państwie ( 128 ), że wyjątki od zakazu przechowywania i wykorzystywania danych osobowych przewidziane w art. 15 ust. 1 będą co do zasady bezużyteczne, tak jak wskazał słusznie rząd irlandzki.

115. Ponadto jest bezsporne, że ingerencje w prawa gwarantowane w art. 7 i 8 karty, które mogą zostać dopuszczone przez państwa członkowskie na mocy art. 15 ust. 1 dyrektywy 2002/58, są nadal uzależnione od przestrzegania ogólnych wymogów wynikających z zasady proporcjonalności, zgodnie z art. 52 ust. 1 karty ( 129 ).

116. W odniesieniu do ostatniej części drugiego pytania rząd estoński i Komisja wskazują z jednej strony, że próg oparty wyłącznie na karze przynajmniej trzech lat pozbawienia wolności wydaje się wystarczający dla uznania, że naruszenie ma charakter „poważny” w rozumieniu orzecznictwa Trybunału dotyczącego dostępu do danych osobowych wynikającego z wyroku Digital Rights, a z drugiej strony, że próg taki nie jest w sposób oczywisty niezgodny prawem Unii w ogólności ( 130 ) oraz z art. 15 ust. 1 dyrektywy 2002/58 w szczególności.

117. Jednakże moim zdaniem byłoby pożądane, aby Trybunał zaniechał zajęcia stanowiska w sprawie dokładnej wysokości grożącej kary, ponieważ to, co jest odpowiednie dla niektórych państw członkowskich, niekoniecznie będzie takie dla innych, a to, co jest istotne dla określonych typów naruszeń dzisiaj, nie musi być takie nieodwołalnie w przyszłości, jak już wcześniej wskazywałem ( 131 ). W związku z tym, że określenie spornego progu wymaga złożonej oceny, która potencjalnie może ewoluować, moim zdaniem należy zachować ostrożność w tym przedmiocie i pozostawić tę operację do oceny ustawodawcy Unii w sferze jego kompetencji albo do oceny ustawodawców państw członkowskich w graniach wymogów wynikających z prawa Unii.

118. W odniesieniu do tej ostatniej kwestii pragnę zauważyć, że w niniejszym przypadku sąd odsyłający wskazuje na ryzyko inwersji zasady ogólnej i wyłączeń przewidzianych w dyrektywie 2002/58, które to ryzyko opisałem powyżej ( 132 ), wskazując, że „próg trzech lat pozbawienia wolności [wprowadzony w 2015 r. przez hiszpańskiego ustawodawcę ( 133 )] dotyczy znacznej większość kwalifikacji karnych”. Innymi słowy, zdaniem tego sądu obecny wykaz przestępstw, które mogą uzasadniać w Hiszpanii ograniczenia praw chronionych na mocy art. 7 i 8 karty, wprowadzony przez reformę kodeksu postępowania karnego, prowadzi w praktyce do tego, że większość przestępstw przewidzianych w kodeksie karnym mieści się w tym wykazie.

119. Tymczasem nawet przy założeniu, że ingerencja rozpatrywana w postępowaniu przed sądem krajowym zostanie przez Trybunał uznana za poważną, oraz przy założeniu, że urzeczywistni się rezultat wspomniany przez sąd odsyłający, ten ostatni sąd nie pozostanie w zgodzie z wymogiem proporcjonalności, któremu podlegają te ograniczenia ( 134 ). Jest tak moim zdaniem mimo istnienia kontroli sądowej, na którą powołuje się rząd hiszpański, ponieważ wykonywanie tej kontroli pozwala jedynie na niewykonywanie środków, które w konkretnych przypadkach oceniono jako arbitralne lub zbyt ingerujące, a nie na powstrzymanie, w sposób ogólny, korzystania z takich środków i ich rozwoju.

120. Pragnę wreszcie podkreślić, że podejście zaproponowane w tej części jest moim zdaniem zgodnie z interpretacją przyjętą przez ETPC w orzecznictwie dotyczącym ochrony danych osobowych. Prawdą jest, jak podnoszą rząd irlandzki i Komisja, że ETPC uznał za wystarczająco jasne przepisy krajowe, które definiowały „poważne” naruszenia jako takie, które mogą uzasadniać ingerencję w życie prywatne, odwołując się do grożącej kary pozbawienia wolności w wymiarze trzech lat lub wyższej ( 135 ). Niemniej jednak uważam, że ETPC nie ustaliła takiej wysokości jako kryterium absolutnego i stałego do celów tej definicji, ponieważ orzecznictwo to wydaje mi się koncentrować na wymogu przewidywalności i wystarczającej jasności dla obywateli w świetle nie tyle grożącej kary, ile raczej charakteru przestępstw, które uzasadniają taką ingerencję ( 136 ). Ponadto, o ile ETPC uznaje, że państwa mają pewną swobodę w zakresie oceny istnienia i zakresu konieczności takiej ingerencji, o tyle poddaje jednak ten zakres uznania kontroli na poziomie europejskim ( 137 ). W szczególności czuwa on nad zapobieganiem ryzyku nadużyć wynikających z przepisów odnoszących się do wachlarza przestępstw tak szerokiego, że większość przestępstw pozwala na uzasadnienie ingerencji ( 138 ).

121. Podsumowując, uważam, że gdyby Trybunał – w przeciwieństwie do tego, co proponuję – orzekł, że jedynie zagrożenie karą należy uznać za „poważne” przestępstwo w rozumieniu orzecznictwa wynikającego z wyroku Digital Rights, na pytanie drugie należy odpowiedzieć w ten sposób, że państwa członkowskie mogą ustalić w tym celu minimalny poziom kary, pod warunkiem spełnienia wymogów wynikających z prawa Unii, a w szczególności tych, zgodnie z którymi ingerencje w prawa podstawowe gwarantowane w art. 7 i 8 karty muszą mieć charakter wyjątkowy i być zgodne z zasadą proporcjonalności.

V. Wnioski

122. W świetle powyższych rozważań proponuję, aby Trybunał odpowiedział na pytania prejudycjalne zadane przez Audiencia Provincial de Tarragona (sąd prowincji Tarragona, Hiszpania) w następujący sposób: Artykuł 15 ust. 1 dyrektywy Parlamentu Europejskiego i Rady 2002/58/WE z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywy o prywatności i łączności elektronicznej), zmienionej dyrektywą Parlamentu Europejskiego i Rady 2009/136/WE z dnia 25 listopada 2009 r., w związku z art. 7 i 8, jak również art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej, należy interpretować w ten sposób, że środek pozwalający właściwym organom krajowym na dostęp, w celu zwalczania przestępstw, do danych identyfikacyjnych użytkowników numerów telefonu wybieranych z określonego telefonu komórkowego i przez ograniczony okres, w okolicznościach takich jak te w sprawie w postępowaniu głównym, powoduje ingerencję w prawa podstawowe gwarantowane w tej dyrektywę i w karcie, która nie osiąga wystarczającego poziomu wagi, by należało ograniczyć taki dostęp do przypadków, gdy dane przestępstwo jest poważne.

( 1 ) Język oryginału: francuski.

( 2 ) Wyrażenie należy rozumieć w tym miejscu jako odnoszące się wyłącznie do naruszeń o charakterze karnym.

( 3 ) Wyrok z dnia 8 kwietnia 2014 r. (C‑293/12 i C‑594/12, EU:C:2014:238), w którym Trybunał orzekł nieważność dyrektywy Parlamentu Europejskiego i Rady 2006/24/WE z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniającej dyrektywę 2002/58/WE (Dz.U. 2006, L 105, s. 54), ze względu na to, że „przyjmując dyrektywę 2006/24, prawodawca Unii przekroczył granice, które wyznacza poszanowanie zasady proporcjonalności na gruncie art. 7, 8 i [art.] 52 ust. 1 karty” (pkt 69).

( 4 ) Wyrok z dnia 21 grudnia 2016 r. (C‑203/15 i C‑698/15, EU:C:2016:970), w którym Trybunał orzekł, że prawo Unii z jednej strony„stoi […] na przeszkodzie uregulowaniu krajowemu przewidującemu do celów zwalczania przestępczości uogólnione i niezróżnicowane zatrzymywanie wszystkich danych o ruchu oraz danych dotyczących lokalizacji wszystkich abonentów i zarejestrowanych użytkowników wszystkich środków łączności elektronicznej”, a z drugiej strony„stoi […] na przeszkodzie obowiązywaniu uregulowań krajowych dotyczących ochrony i bezpieczeństwa danych o ruchu i danych o lokalizacji, a w szczególności dostępu właściwych organów krajowych do przechowywanych danych, które to przepisy, w ramach zwalczania przestępczości, nie ograniczają tego dostępu jedynie do celów walki z poważną przestępczością, nie uzależniają go od uprzedniej kontroli sprawowanej przez sąd lub niezależny organ administracyjny i nie ustanawiają wymogu, aby dane te były przechowywane na obszarze Unii” (pkt 1 i 2 sentencji).

( 5 ) Dz.U. 2002, L 201, s. 37 – wyd. spec. w jęz. polskim, rozdz. 13, t. 29, s. 514.

( 6 ) Dyrektywa Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r. (Dz.U. 2009, L 337, s. 11).

( 7 ) Dyrektywa Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31 – wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355).

( 8 ) W szczególności, zgodnie z art. 8 EKPC, który stanowi: „1. Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji. 2. Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności innych osób”.

( 9 ) Dz.U. 2002, L 108, s. 33 – wyd. spec. w jęz. polskim rozdz. 13, t. 29, s. 349.

( 10 ) BOE nr 251 z dnia 19 października 2007 r., s. 42517.

( 11 ) Wynika to zarówno z preambuły do tej ustawy, jak i z jej podstawowych przepisów, których brzmienie jest podobne do odpowiednich przepisów dyrektywy 2006/24.

( 12 ) BOE nr 239 z dnia 6 października 2015 r., s. 90192.

( 13 ) IMEI to skrót wyrażenia „International Mobile Equipment Identity” (międzynarodowy numer fabryczny mobilnego aparatu telefonicznego). IMEI to unikalny kod identyfikacyjny, składający się z 15 cyfr, zwykle umieszczony wewnątrz komory akumulatora telefonu komórkowego, jak również na pudełku i na rachunku przy zakupie urządzenia.

( 14 ) Rząd hiszpański wskazuje, że wniosek ten obejmował czterech operatorów telefonicznych, i wyjaśnił, że w przypadku gdyby IMEI zalogował się w sieci telefonicznej jednego z tych operatorów, podczas gdy sieć ta była zarządzana przez operatora wirtualnej sieci komórkowej, powyższe dane, które zostałyby zebrane przez tego ostatniego, powinny również zostać dostarczone.

( 15 ) Zobacz przepisy przywołane w pkt 13 i 14 niniejszej opinii.

( 16 ) Zobacz wyrok Sala de lo Penal (izby karnej) z dnia 26 lipca 2010 r. (nr 745/2010, ES:TS:2010:4200), dostępny pod następującym adresem internetowym: http://www.poderjudicial.es/search/contenidos.action?action=contentpdf&databasematch=TS&reference=5697924&links=&optimize=20100812&publicinterface=true.

( 17 ) Zobacz pkt 15 i nast. niniejszej opinii. Zdaniem sądu odsyłającego reforma ta jest w sposób oczywisty znamienna dla wniosku o wydanie orzeczenia w trybie prejudycjalnym. Na rozprawie rząd hiszpański oświadczył, że nowa regulacja ma zastosowanie w niniejszej sprawie.

( 18 ) Mianowicie przestępstwa terrorystyczne oraz popełnione w ramach organizacji przestępczej.

( 19 ) Zobacz przypis 4 do niniejszej opinii.

( 20 ) Zobacz pkt 103 wyroku Tele2, gdzie wymienione są „przestępczość zorganizowana i terroryzm”. Zwracam uwagę, że ten sam podwójny przykład znajdował się w pkt 24 i 51 wyroku Digital Rights, w związku z, jak się wydaje, brzmieniem motywów 7–10 dyrektywy 2006/24, uznanej tym wyrokiem za nieważną.

( 21 ) Sąd odsyłający odnosi się w szczególności do pkt 60 wyroku Digital Rights, w którym Trybunał wskazał, że „dyrektywa 2006/24 nie tylko nie wyznacza ogólnych granic swojego zakresu zastosowania, ale także nie przewiduje żadnego obiektywnego kryterium, które pozwoliłoby zagwarantować, że właściwe organy krajowe będą miały dostęp do danych i będą mogły je wykorzystywać wyłącznie w celu zapobiegania, wykrywania i ścigania przestępstw, które z uwagi na zakres i wagę ingerencji w prawa podstawowe ustanowione w art. 7 i 8 karty, można uznać za wystarczająco poważne, by taką ingerencję uzasadnić. Przeciwnie, dyrektywa 2006/24 ogranicza się do ogólnego odesłania, w art. 1 ust. 1, do pojęcia »poważnych przestępstw« określonych w ustawodawstwie każdego państwa członkowskiego”.

( 22 ) W tym względzie zob. w szczególności pkt 3 i 4 niniejszej opinii.

( 23 ) Moim zdaniem „właścicielami lub użytkownikami”, o których mowa w tym wniosku, muszą być abonenci, zarejestrowani albo co najmniej możliwi do zidentyfikowania (zob. także pkt 25 niniejszej opinii), a nie jednostki, które kupiły kartę SIM bez pozostawiania jakichkolwiek śladów.

( 24 ) Zobacz pkt 20 niniejszej opinii.

( 25 ) Zgodnie z definicją zawartą w art. 2 lit. a) dyrektywy 95/46, do którego odsyła art. 2 dyrektywy 2002/58, pojęcie „dane osobowe” obejmuje „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dane dotyczą«); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość”. Trybunał wskazał już, że „poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych odnosi się do wszelkich informacji odpowiadającą powyższej definicji” (zob. w szczególności wyrok z dnia 17 października 2013 r., Schwarz, C‑291/12, EU:C:2013:670, pkt 26) oraz że jego zakres jest bardzo szeroki (zob. w szczególności wyrok z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 33).

( 26 ) W ocenie rządu hiszpańskiego o adresy osób objętych wnioskiem nie wnioskowano wprost.

( 27 ) Informacje takie jak na przykład stan cywilny jednostki, numer jej dowodu tożsamości, rachunku bankowego oraz jej ewentualnego abonamentu telefonicznego.

( 28 ) Zapytania, które mogą dotyczyć numerów odnoszących się do połączeń przychodzących lub wychodzących, albo też z uwagi na datę, czas trwania, częstotliwość połączeń, a także ich treść. Rząd hiszpański uściślił, że w niniejszej sprawie policja wskazała wprost, że wniosek nie dotyczył uzyskania danych objętych tajemnicą.

( 29 ) Innymi słowy, dane mogłyby zostać uzyskane przez zwykłe aktywowanie danego telefonu komórkowego, niezależnie od tego, czy został on następnie wykorzystany przez właściciela lub posiadacza w konkretnym procesie komunikacji interpersonalnej.

( 30 ) Zobacz pkt 74 i nast. niniejszej opinii.

( 31 ) Pragnę uściślić, że dostęp do danych osobowych sam w sobie nie stanowi w mojej ocenie mniejszego ryzyka dla praw podstawowych ustanowionych w art. 7 i 8 karty niż zatrzymywanie takich danych. Zagrożenie można by nawet uznać za wyższe, ponieważ dostęp do zatrzymanych danych konkretyzuje możliwość potencjalnie szkodliwego ich użycia.

( 32 ) Rząd hiszpański wskazuje, że imię, nazwisko i ewentualnie adres posiadacza karty SIM mogą zostać w Hiszpanii zatrzymane zgodnie z prawem,. Jak sądzę, z art. 1 oraz art. 3 ust. 1 lit. a) pkt 1 ppkt (ii) ustawy 25/2007 (zob. pkt 10 i nast. niniejszej opinii) wynika w istocie, że operatorzy telefonii komórkowej mają obowiązek zatrzymywania danych generowanych lub przetwarzanych w ramach świadczenia przez nich usług, w tym nazwiska i adresu abonenta lub zarejestrowanego użytkownika, w zakresie, w jakim dane te mogą być niezbędne do wykrywania i identyfikowania źródła komunikatu, Przypominam, że te same wymogi zawarto w art. 3 i w art. 5 ust. 1 lit. a) pkt 1 ppkt (ii) dyrektywy 2006/24, która została transponowana przez tę ustawę.

( 33 ) Okoliczność, która została również wskazana przez Trybunał w wyroku z dnia 29 stycznia 2008 r., Promusicae (C‑275/06, EU:C:2008:54, pkt 45 in fine).

( 34 ) Zobacz podobnie wyrok z dnia 19 kwietnia 2012 r., Bonnier Audio i in. (GEMA/Komisja (C‑461/10, EU:C:2012:219, pkt 37).

( 35 ) W szczególności, jeżeli chodzi o właściwość Trybunału, jak również odniesieniu do odpowiedzi na pierwsze pytanie prejudycjalne, zob., odpowiednio, pkt 43 i nast. oraz pkt 70 i nast. niniejszej opinii.

( 36 ) Zobacz w szczególności wyrok z dnia 16 maja 2017 r., Berlioz Investment Fund (C‑682/15, EU:C:2017:373, pkt 49 i przytoczone tam orzecznictwo).

( 37 ) Zobacz w szczególności wyrok z dnia 6 października 2016 r., Paoletti i in. (C‑218/15/15, EU:C:2016:748, pkt 14 i nast.).

( 38 ) Zobacz w szczególności wyrok z dnia 1 grudnia 2016 r., Daouidi (C‑395/15, EU:C:2016:917, pkt 63).

( 39 ) Zdaniem rządu hiszpańskiego chodziłoby tu o wykonywanie prawa karania (ius puniendi) przez organy państwa. W tej kwestii zobacz opinia rzecznika generalnego M. Camposa Sáncheza‑Bordony w sprawie Breyer (C‑582/14, EU:C:2016:339, pkt 86–92).

( 40 ) Zasady określone w tych przepisach zostały również wymienione w motywie 11 dyrektywy 2002/58, odsyłającym do jej art. 15 ust. 1 (zob. pkt 6 i 7 niniejszej opinii).

( 41 ) Zobacz pkt 72–81 wyroku Tele2. W tym kontekście zob. również moja opinia w sprawach połączonych Tele2 Sverige i in. (C‑203/15 i C‑698/15, EU:C:2016:572, pkt 88–97, 124).

( 42 ) Zobacz w szczególności art. 1 ust. 1 ustawy 25/2007 i art. 579 ust. 1 kodeksu postępowania karnego, przytoczone w pkt 11 i 17 niniejszej opinii, jak również, w sprawie obowiązku prawnego ciążącego na tych dostawcach, pkt 40 niniejszej opinii.

( 43 ) Należy zaznaczyć, że działania państwa zwane „władczymi” odnoszą się do funkcji zastrzeżonych dla państwa lub jego części składowych, których nie może ono delegować podmiotom prywatnym, zwłaszcza funkcji odnoszących się do wymiaru sprawiedliwości, policji i wojska.

( 44 ) Takich jak dane przetwarzane przez organy policji lub sądy w celu wykrycia sprawców przestępstw (na przykład dane zebrane i przeanalizowane podczas przechwytywania rozmów telefonicznych dokonanego przez funkcjonariuszy policji na żądanie sędziego śledczego).

( 45 ) Takich jak dane użytkowników usług telefonicznych, które są wykorzystywane w związku z postępowaniem karnym, jak w sporze przed sądem krajowym.

( 46 ) Zobacz postanowienie odsyłające w zawisłej sprawie Privacy International (C‑623/17), w którym wspomniano w szczególności wyroki z dnia 30 maja 2006 r., Parlament/Rada i Komisja (C‑317/04 i C‑318/04, EU:C:2006:346, pkt 56–59), jak również z dnia 10 lutego 2009 r., Irlandia/Parlament i Rada (C‑301/06, EU:C:2009:68, pkt 88, 91), z których wynika, że przetwarzanie danych dotyczących przelotu pasażera będące przedmiotem pierwszego z tych wyroków było wymogiem wynikającym nie z wykonania usługi, lecz z ochrony bezpieczeństwa publicznego, a zatem było wyłączone z zakresu zastosowania dyrektywy 95/46.

( 47 ) Jako że, po pierwsze, spór w postępowaniu głównym dotyczy nie przesyłania pakietów danych, lecz danych ukierunkowanych, oraz po drugie, rozważania Trybunału w wyroku Tele2 znajdują moim zdaniem przełożenie na niniejszą sprawę, jak wskazałem w pkt 46 niniejszej opinii.

( 48 ) Zobacz pkt 33 i nast. niniejszej opinii.

( 49 ) Zobacz w szczególności art. 1 ust. 2 ustawy 25/2007 oraz art. 579 ust. 1 kodeksu postępowania karnego.

( 50 ) Wniosek organów policji nie miał bowiem na celu ustalenia położenia geograficznego skradzionego urządzenia lub osób, które je posiadały, lecz jego celem było ustalenie tożsamości tych ostatnich.

( 51 ) Postanowienia tego art. 2 przedstawione w pkt 8 niniejszej opinii.

( 52 ) Dane o ruchu, o których mowa w art. 6 dyrektywy 2002/58.

( 53 ) Zobacz pkt 36 niniejszej opinii.

( 54 ) Usługa łączności elektronicznej zzdefiniowana w art. 2 lit. c) dyrektywy 2002/21 (w którym określono ramy regulacyjne w tej dziedzinie) jako „usługa zazwyczaj świadczoną za wynagrodzeniem, polegająca całkowicie lub częściowo na przekazywaniu sygnałów w sieciach łączności elektronicznej […]”.

( 55 ) Okoliczność, że przetwarzanie danych może być konieczne do pobierania opłat za świadczone usługi, w szczególności w odniesieniu do abonentów, została wspomniana w kilku przepisach dyrektywy 2002/58 [w szczególności w motywach 26, 27 i 29, w art. 2 akapit drugi lit. g) oraz w art. 6 ust. 2 i 5]. W tej kwestii zob. także wyrok Tele2, pkt 86 i przytoczone tam orzecznictwo.

( 56 ) Przepisy dotyczące w sposób ogólny, odpowiednio, „przetwarzania danych osobowych w sektorze łączności elektronicznej” oraz „przetwarzani[a] danych osobowych w związku z dostarczaniem […] usług łączności elektronicznej”.

( 57 ) Zobacz motywy 2, 7 i 11 oraz art. 1 ust. 1 i art. 15 ust. 3 dyrektywy 2002/58.

( 58 ) Zobacz motyw 21, jak również art. 1 ust. 1 oraz art. 5 dyrektywy 2002/58, który dotyczy w szczególności poufności komunikacji.

( 59 ) Zobacz wyrok z dnia 29 stycznia 2008 r., Promusicae (C‑275/06, EU:C:2008:54, pkt 29–31, 45).

( 60 ) W przedmiocie wykładni tegoż art. 12 zob. w szczególności wyrok z dnia 15 marca 2017 r., Tele2 (Netherlands) i in. (C‑536/15, EU:C:2017:214, pkt 33 i nast. oraz przytoczone tam orzecznictwo).

( 61 ) Zgodnie z motywem 15 „[k]omunikat może obejmować wszelkiego rodzaju nazwy, liczby lub adresy dostarczone przez nadawcę komunikatu lub użytkownika połączenia w celu przeprowadzenia łączności […]”.

( 62 ) Pojęcie danych związanych z życiem prywatnym jednostki w rozumieniu art. 8 EKPC (przytoczonego w przypisie 8 do niniejszej opinii) jest przez Europejski Trybunał Praw Człowieka interpretowane w sposób rozszerzający (zob. w szczególności wyrok Europejskiego Trybunału Praw Człowieka z dnia 13 lutego 2018 r. w sprawie Ivashchenko/Rosja, CE:ECHR:2018:0213JUD006106410, §§ 63 i nast.), co zostało już zauważone (zob. wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, pkt 59; a także przytoczone orzecznictwo Europejskiego Trybunału Praw Człowieka).

( 63 ) Zobacz motywy 3, 11 i 24 dyrektywy 2002/58.

( 64 ) Zobacz w szczególności wyrok Tele2 (pkt 120, gdzie przeprowadzono porównanie z orzecznictwem Europejskiego Trybunału Praw Człowieka, a także pkt 126 i nast., przypominające sytuację Unii w kontekście EKPC).

( 65 ) Podczas gdy dyrektywa 2002/58 reguluje szczególny sektor łączności elektronicznej (zob. w szczególności motywy 4 i 10 oraz art. 1 ust. 1 i 2).

( 66 ) Przypominam, że pojęcie „poważnych przestępstw” jako kryterium ograniczające dla działania państw członkowskich zostało wprowadzone dyrektywą 2006/24 w sprawie zatrzymywania danych, która została uznana za nieważną wyrokiem Digital Rights, a następnie zostało zastosowane przez Trybunał w wyroku Tele2, przy dokonywaniu wykładni przepisów dyrektywy 2002/58 w kontekście przepisów krajowych dotyczących zatrzymywania danych i dostępu do nich (zob. także przypisy 3 i 4 do niniejszej opinii). Wynika z tego moim zdaniem, że gdyby dyrektywa 2002/58 została uznana za niemającą zastosowania w niniejszej sprawie, nie byłoby potrzeby dokonywania wykładni tego pojęcia, o którą wnosi sąd odsyłający.

( 67 ) Zobacz w szczególności wyroki: z dnia 16 czerwca 2015 r., Gauweiler i in. (C‑62/14, EU:C:2015:400, pkt 24, 25); a także z dnia 22 lutego 2018 r., Porras Guisado (C‑103/16, EU:C:2018:99, pkt 34).

( 68 ) Zobacz także pkt 44 niniejszej opinii.

( 69 ) Zobacz także wyrok Tele2 (pkt 82).

( 70 ) Zobacz także pkt 10 niniejszej opinii. Pragnę zauważyć, że była to sytuacja podobna do tej, na podstawie której wydano wyrok Tele2 (zob. pkt 15, 63).

( 71 ) W odniesieniu do tej ostatniej kwestii zob. pkt 45 i nast. niniejszej opinii.

( 72 ) Zobacz także pkt 71 niniejszej opinii.

( 73 ) Zobacz pkt 36 i 52 niniejszej opinii.

( 74 ) W przedmiocie wagi ingerencji spowodowanej w niniejszej sprawie zob. pkt 74 i nast. niniejszej opinii.

( 75 ) Zobacz w szczególności wyrok Digital Rights (pkt 26 i nast.); opinia 1/15 (umowa PNR między UE a Kanadą) z dnia 26 lipca 2017 r. (EU:C:2017:592, pkt 124 i przytoczone tam orzecznictwo).

( 76 ) Zobacz pkt 24, 41, 49 i 57–61 wyroku Digital Rights.

( 77 ) Zobacz pkt 41, 42, 51 i 59 wyroku Digital Rights.

( 78 ) Mając na względzie, że wyłącznie pojęcie „przestępstwa” widnieje w art. 15 ust. 1 zdanie pierwsze dyrektywy 2002/58.

( 79 ) Zasadniczo w motywie 9 dyrektywy 2006/24, jak również dosłownie w motywie 21 i w art. 1 ust. 1 tej dyrektywy.

( 80 ) Zobacz, w odniesieniu do pojęcia „poważnego przestępstwa”, pkt 105, 106 i 119, a także, w odniesieniu do pojęcia „poważnej przestępczości”, pkt 102, 103, 108, 110, 111, 114, 115, 118, 125 i 134 wyroku Tele2.

( 81 ) Mianowicie art. 15 ust. 1 zdanie pierwsze dyrektywy 2002/58, na mocy którego państwa członkowskie mogą przyjąć środki stanowiące odstępstwo od zasady poufności komunikacji i związanych z nią danych o ruchu, jeżeli jest to niezbędne, właściwe i proporcjonalne w ramach społeczeństwa demokratycznego w świetle celów wymienionych w tym przepisie.

( 82 ) Jako że drugie pytanie prejudycjalne zostało przedłożone wyłącznie pomocniczo.

( 83 ) Z utrwalonego orzecznictwa wynika, że w celu udzielenia sądowi odsyłającemu użytecznej odpowiedzi, która umożliwi mu rozstrzygnięcie zawisłego przed nim sporu, w stosownych przypadkach do Trybunału należy przeformułowanie przedstawionych mu pytań (zob. w szczególności wyrok z dnia 22 lutego 2018 r., SAKSA,C‑185/17, EU:C:2018:108, pkt 28).

( 84 ) Rząd hiszpański podkreślił, że dane będące przedmiotem sporu w postępowaniu przed sądem krajowym nie pozwalają na określenie na przykład profilu danej osoby.

( 85 ) Zobacz pkt 35–37 niniejszej opinii.

( 86 ) Przypominam, że dyrektywa 95/46 przewiduje w art. 8 szczególne zasady przetwarzania danych osobowych „ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzani[a] danych dotyczących zdrowia i życia seksualnego”. W przedmiocie pojęcia danych wrażliwych i ich przetwarzania zob. Podręcznik europejskiego prawa ochrony danych opracowany pod egidą Agencji Praw Podstawowych Unii Europejskiej i Rady Europy w 2014 r.; zaktualizowana wersja dostępna na stronie: https://www.coe.int/fr/web/data-protection/home, s. 46 i nast. i s. 94 nast.

( 87 ) O szczególnej ochronie niektórych danych wspomniano jedynie w motywie 35 dyrektywy 2002/58, lecz nie można stąd wywnioskować, że jest to ogólny wymóg.

( 88 ) Zobacz komunikat Komisji z dnia 13 września 1990 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych we Wspólnocie oraz bezpieczeństwa systemów informacyjnych [(COM(90) 314 wersja ostateczna, s. 20].

( 89 ) Zobacz opinia 1/15 (umowa PNR między UE a Kanadą) z dnia 26 lipca 2017 r. (EU:C:2017:592, pkt 124 i przytoczone tam orzecznictwo). ETPC wypowiedział się w ten sam sposób (zob. wyrok ETPC z dnia 16 lutego 2000 r. w sprawie Amann przeciwko Szwajcarii, ECLI:CE:ECHR:2000:0216JUD002779895, §§ 68–70).

( 90 ) Zobacz pkt 68 niniejszej opinii. Zobacz także wyrok ETPC z dnia 8 lutego 2018 r. w sprawie Ben Faiza przeciwko Francji (ECLI:CE:ECHR:2018:0208JUD003144612, §§ 66–88) w odniesieniu do nakazu sądu dotyczącego przekazania informacji dotyczących używania telefonu.

( 91 ) W następujący sposób: „zapewnienia […] zapobiegania, dochodzenia, wykrywania i karania przestępstw”.

( 92 ) Zobacz podobnie opinia 1/15 (umowa PNR między UE a Kanadą) z dnia 26 lipca 2017 r. (EU:C:2017:592, pkt 126 i przytoczone tam orzecznictwo).

( 93 ) Punkt 57 wyroku Digital Rights. Co do szczególnej wagi ingerencji zob. także pkt 37, 39, 47, 48, 60 i 65 tego wyroku.

( 94 ) Punkt 1 sentencji wyroku Tele2.

( 95 ) W myśl pkt 102 wyroku Tele2: „[z]e względu na wagę ingerencji w rozpatrywane prawa podstawowe, jaką niosą ze sobą przepisy krajowe przewidujące obowiązek zatrzymywania danych o ruchu i danych o lokalizacji do celów zwalczania przestępczości, uzasadniać taki środek może jedynie walka z poważną przestępczością (zob. analogicznie, w odniesieniu do dyrektywy 2006/24, wyrok Digital Rights, pkt 60) [gdzie widniało sformułowanie »z uwagi na zakres i wagę ingerencji«])” (wyróżnienie moje). Punkt 115 wyroku Tele2 przejmuje to rozumowanie w odniesieniu do dostępu do takich danych. Co do szczególnej wagi danej ingerencji zob. także pkt 97 i 100 tego wyroku.

( 96 ) Tak też w pkt 115 wyroku Tele2 podkreślono, że „ze względu na to, że cel realizowany przez [przepis krajowy wprowadzający odstępstwo od zasady poufności komunikacji elektronicznej] powinien być powiązany z wagą ingerencji w prawa podstawowe, jaką dostęp taki pociąga za sobą, dostęp do zatrzymanych danych w ramach zapobiegania, dochodzenia, wykrywania i ścigania przestępstw może uzasadniać jedynie walka z poważną przestępczością” (wyróżnienie moje).

( 97 ) Sąd ten wielokrotnie podkreślał konieczność zrównoważenia z jednej strony interesu państwa w ochronie bezpieczeństwa narodowego w kontekście środków dotykających danych osobowych, z drugiej zaś strony – wagi zamachu na prawo jednostki do poszanowania jej życia prywatnego, dwóch aspektów, które należą do uprawnień dyskrecjonalnych państwa, w szczególności gdy zamierza zapobiegać poważnym przestępstwom lub je ścigać (zob. wyrok ETPC z dnia 26 marca 1987 r. w sprawie Leander przeciwko Szwecji, ECLI:CE:ECHR:1987:0326JUD000924881, § 59; wyrok ETPC z dnia 26 czerwca 2006 r. w sprawie Weber i Saravia przeciwko Niemcom, CE:ECHR:2006:0629DEC005493400, §§ 106, 125, 126; wyrok ETPC z dnia 4 grudnia 2015 r w sprawie Roman Zakharov przeciwko Rosji, CE:ECHR:2015:1204JUD004714306, §§ 232, 244).

( 98 ) Zobacz pkt 32 i nast. niniejszej opinii.

( 99 ) Pragnę zauważyć, że w opinii 1/15 (umowa PNR między UE a Kanadą) z dnia 26 lipca 2017 r. (EU:C:2017:592, w szczególności pkt 194, 207–209) Trybunał dokonał również oceny konieczności ingerencji, które zawierała przewidywana umowa poprzez zbadanie przewidzianych w niej sposobów wykorzystywania i zatrzymywania danych pod kątem konkretnych okoliczności tych środków, ich specyfikacji oraz czasu ich trwania.

( 100 ) Co mogłoby mieć miejsce na przykład w przypadku opublikowania tożsamości osób w artykule prasowym lub na stronie internetowej.

( 101 ) W tym kontekście zob. zawarta pod auspicjami Rady Europy konwencja o cyberprzestępczości, sporządzona w Budapeszcie w dniu 23 listopada 2001 r. i podpisana przez wszystkie państwa członkowskie (dostępna pod adresem internetowym: https://www.coe.int/en/web/conventions/full-list/-/conventions/treaty/185?_coeconventions_WAR_coeconventionsportlet_languageId=fr_FR), której art. 18 nakłada obowiązek przyjęcia odpowiednich środków prawnych umożliwiających właściwym organom nakazanie dostawcy usług przekazania informacji odnoszących się do abonenta, takich jak „tożsamość, adres […], numer telefonu”, znajdujących się w posiadaniu dostawcy.

( 102 ) Tak jak słusznie podniósł rząd duński, policja, która uzyska, jak w niniejszej sprawie, dane dotyczące nazwiska i adres właściciela karty SIM używanej w świetle przestępstwa, nie jest w diametralnie innej sytuacji niż wtedy, gdy na przykład otrzymuje dane o właścicielu samochodu wykorzystanego do popełnienia przestępstwa.

( 103 ) Inaczej niż informacje szczególnie ingerujące, w szczególności dotyczące śledzenia komunikatów i profilu osób, których to dotyczy, co miało miejsce w sprawach zakończonych wyrokami Digital Rights (zob. pkt 26–29, 37) i Tele2 (zob. pkt 97–100).

( 104 ) Zobacz w szczególności pkt 90 i 115 wyroku Tele2.

( 105 ) Wyróżnienie moje.

( 106 ) Mianowicie w sytuacji, w której Trybunał uznałby, że albo ingerencja, której dotyczy postępowanie główne jest wystarczająco poważna, aby udzielić odpowiedzi na pierwsze pytanie w takiej formie, w jakiej zostało ono zadane przez sąd odsyłający, albo że w tym kontekście jest bez znaczenia okoliczność, iż ingerencja ta nie jest wystarczająco poważna.

( 107 ) Zobacz pkt 71 niniejszej opinii.

( 108 ) Artykuł 1 ust. 1 dyrektywy 2006/24 stanowił, że jej „celem […] jest zbliżenie przepisów państw członkowskich w zakresie obowiązków dostawców ogólnie dostępnych usług łączności elektronicznej […], aby zapewnić dostępność przedmiotowych danych do celu dochodzenia, wykrywania i ścigania poważnych przestępstw, określonych w ustawodawstwie każdego państwa członkowskiego” (wyróżnienie moje). Zobacz także motyw 21 tej dyrektywy.

( 109 ) Zobacz w szczególności wyroki: z dnia 15 września 2011 r., Dickinger i Ömer (C‑347/09, EU:C:2011:582, pkt 31); a także z dnia 6 grudnia 2011 r., Achughbabian (C‑329/11, EU:C:2011:807, pkt 33).

( 110 ) Zobacz w tym względzie pkt 112 niniejszej opinii.

( 111 ) Co do dynamicznego charakteru poważnej przestępczości zob. moja opinia w sprawach połączonych Tele2 Sverige i in. (C‑203/15 i C‑698/15, EU:C:2016:572, pkt 214).

( 112 ) Tytułem przykładu w przedmiocie walki z przestępczością zorganizowaną – w raporcie Komisji z dnia 7 lipca 2016 r. wskazano, że kary przyjęte przez państwa członkowskiego różnią się między sobą w znaczny sposób (od trzech miesięcy do 17 lat pozbawienia wolności) dla ciężkiego przestępstwa, jakim jest udział w organizacji przestępczej [sprawozdanie Komisji dla Parlamentu Europejskiego i Rady oparciu o art. 10 decyzji ramowej Rady 2008/841/WSiSW z dnia 24 października 2008 r. w sprawie zwalczania przestępczości zorganizowanej, COM(2016) 448 final, s. 7, pkt 2.1.4.1].

( 113 ) Jak wskazał rząd duński, w Danii stosowane są kary mniej uciążliwe w porównaniu z innymi państwami członkowskimi, lecz nie oznacza to, że dane przestępstwo nie jest uznawane za szczególnie poważne. Na przykład wymiar kary za posiadanie pornografii dziecięcej wynosi jeden rok pozbawienia wolności, a w innych państwach czółnowskich może wynosić nawet dziesięć lat pozbawienia wolności za te same czyny w innych państwach członkowskich, co jednak nie podważa stwierdzenia, że przestępstwo to jest szczególnie poważne ze swej istoty.

( 114 ) Zobacz w szczególności wyrok z dnia 22 maja 2012 r. w sprawie I (C‑348/09, EU:C:2012:300, pkt 21–23), zgodnie z którym: „prawo Unii nie narzuca państwom członkowskim jednolitej skali wartości, jeżeli chodzi o ocenę zachowań, które mogą zostać uznane za przeciwne bezpieczeństwu publicznemu” oraz „państwa członkowskie posiadają swobodę w określaniu – zgodnie z krajowymi potrzebami, które mogą być odmienne w różnych państwach i okresach – wymogów porządku publicznego i bezpieczeństwa publicznego, w szczególności jako uzasadnienie odstępstwa od zasady podstawowej swobodnego przemieszczania się osób”, ale „wymogi te powinny jednak być rozumiane w sposób wąski, aby ich zasięg nie był określany jednostronnie przez każde państwo członkowskie bez możliwości kontroli przez instytucje Unii”.

( 115 ) Zobacz w tym względzie pkt 89 i nast. wyroku Tele2 w odniesieniu do zasadniczego obowiązku zapewnienia poufności komunikacji i związanych z nią danych o ruchu.

( 116 ) Pragnę dodać, że rządy czeski i estoński proponują, aby w niniejszej sprawie odpowiedzieć, że możliwe jest ustalenie wagi naruszenia, jako kryterium uzasadniającego naruszenie praw podstawowych przyznanych w art. 7 i 8 karty, w oparciu wyłącznie o zagrożenie karą, ale rządy te uważają jednocześnie, że każde państwo członkowskie powinno mieć swobodę przyjęcia także innych obiektywnych kryteriów oddających specyfikę własnego porządku prawnego, jeżeli uzna to za konieczne.

( 117 ) Podzielam stanowisko rządu francuskiego, zgodnie z którym oczywiste jest, że naruszenia podstawowych interesów państwa, instytucji lub integralności terytorium krajowego zaliczają się do „poważnej przestępczości”, ale że w jej zakres inne powinny wchodzić również typy przestępstw, takie jak zamachy na życie, integralność fizyczną lub psychiczną i godność ludzką, jak również ataki na własność powodujące znaczne szkody dla ofiary, lu