OPINIA RZECZNIKA GENERALNEGO

PEDRA CRUZA VILLALÓNA

przedstawiona w dniu 12 grudnia 2013 r. ( 1 )

Sprawa C‑293/12

Digital Rights Ireland Ltd

przeciwko

Minister for Communications, Marine and Natural Resources,

Minister for Justice, Equality and Law Reform,

Commissioner of the Garda Síochána,

Ireland

i

The Attorney General

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez High Court of Ireland (Irlandia)]

oraz

Sprawa C‑594/12

Kärntner Landesregierung

Michael Seitlinger

oraz

Christof Tschohl

Andreas Krisch

Albert Steinhauser

Jana Herwig

Sigrid Maurer

Erich Schweighofer

Hannes Tretter

Scheucher Rechtsanwalt GmbH

Maria Wittmann-Tiwald

Philipp Schmuck

Stefan Prochaska

i in.

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verfassungsgerichtshof (Austria)]

„Łączność elektroniczna — Dyrektywa 2006/24/WE — Zatrzymywanie danych generowanych lub przetwarzanych w związku ze świadczeniem usług łączności elektronicznej — Ważność — Artykuł 5 ust. 4 TUE — Proporcjonalność działania Unii — Karta praw podstawowych — Artykuł 7 — Poszanowanie życia prywatnego — Artykuł 8 — Ochrona danych osobowych — Artykuł 52 ust. 1 — Ingerencja — Jakość ustawy — Proporcjonalność ograniczeń w korzystaniu z praw podstawowych”

1. W niniejszych sprawach Trybunałowi przedstawiono podwójne pytanie prejudycjalne w zakresie oceny ważności dyrektywy 2006/24/WE ( 2 ), które daje mu okazję do wypowiedzenia się na temat przesłanek konstytucyjnej dopuszczalności wprowadzenia przez Unię Europejską ograniczenia w korzystaniu z praw podstawowych w szczególnym rozumieniu art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej ( 3 ) za pomocą dyrektywy oraz krajowych przepisów transponujących tę dyrektywę ( 4 ). Przedmiotowe ograniczenie przybiera formę obowiązku wymagającego od podmiotów gospodarczych zbierania i przechowywania przez pewien określony czas znacznych ilości danych generowanych lub przetwarzanych w ramach połączeń elektronicznych wykonywanych przez obywateli na całym obszarze Unii w celu zapewnienia dostępności wspomnianych danych do celów dochodzenia i ścigania poważnych przestępstw oraz zapewnienia prawidłowego funkcjonowania rynku wewnętrznego. Zamierzam odpowiedzieć na to pytanie, dzieląc zagadnienie na trzy części.

2. W części pierwszej zajmę się kwestią proporcjonalności dyrektywy 2006/24 w rozumieniu art. 5 ust. 4 TUE. W drugiej zbadam, czy można uznać za spełniony warunek określony w art. 52 ust. 1 karty, zgodnie z którym wszelkie ograniczenia w korzystaniu z praw podstawowych muszą być „przewidziane ustawą”. Wreszcie w części trzeciej zbadam, czy dyrektywa 2006/24 nie narusza zasady proporcjonalności, również w rozumieniu art. 52 ust. 1 karty.

3. Jednak zanim rozpocznę badanie tych trzech zagadnień, zajmę się trzema kwestiami, które wydają mi się niezbędne do prawidłowego zrozumienia problemów poruszonych w zadanych przez High Court (Irlandia) oraz Verfassungsgerichtshof (Austria) pytaniach prejudycjalnych w odniesieniu do oceny ważności.

I – Ramy prawne

A – Prawo Unii

4. Najważniejsze przepisy prawa Unii istotne dla rozpatrzenia pytań prejudycjalnych zadanych Trybunałowi w niniejszych sprawach – oprócz przepisów dyrektywy 2006/24, której ważność jest kwestionowana w obydwu sprawach, oraz postanowień karty – to przepisy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych ( 5 ) oraz dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) ( 6 ). Dyrektywy te oraz ich najważniejsze przepisy będą przedstawiane kolejno w miarę potrzeby w toku poniższych wywodów.

B – Prawo krajowe

1. Prawo irlandzkie (sprawa C‑293/12)

5. Artykuł 29 ust. 4 pkt 6 konstytucji Irlandii stanowi, że żaden z przepisów konstytucji nie unieważnia ustaw uchwalonych, aktów wydanych lub środków przyjętych przez państwo, których uchwalenia, wydania czy przyjęcia wymagają zobowiązania wypływające z członkostwa w Unii Europejskiej lub we Wspólnotach, ani też nie stoi na przeszkodzie, by ustawy uchwalone, akty wydane lub środki przyjęte przez Unię Europejską lub Wspólnoty, ich instytucje lub organy właściwe na mocy traktatów obowiązywały z mocą ustawy.

6. Część 7 ustawy z 2005 r. Criminal Justice (Terrorist Offences) Act 2005 [ustawy karnej (przestępstwa terrorystyczne) z 2005 r.] ( 7 ), obecnie uchylona, zawierała przepisy dotyczące zatrzymywania danych związanych z połączeniami telefonicznymi. Nakładała ona na dostawców usług telekomunikacyjnych obowiązek zatrzymywania danych o ruchu i lokalizacji przez okres określony ustawą w celu zapobiegania i wykrywania przestępstw, prowadzenia czynności dochodzeniowo-śledczych oraz zapewnienia bezpieczeństwa państwa. W tym celu Criminal Justice Act 2005 zezwalała właściwym organom państwa, w szczególności Commissioner of the Garda Síochána, na żądanie ujawnienia tych danych zgodnie z określoną procedurą oraz wprowadzała gwarancje w formie procedury rozpatrywania skarg przez niezależną jednostkę o charakterze quasi-sądowym.

7. Communications (Retention of Data) Act 2011 [ustawą o łączności (zatrzymywanie danych) z 2011 r.], wydaną w celu transponowania dyrektywy 2006/24, uchylono część 7 Criminal Justice Act 2005 i ustanowiono nowe zasady zatrzymywania danych.

2. Prawo austriackie (sprawa C‑594/12)

8. Artykuł 1 Datenschutzgesetz 2000 [ustawy federalnej o ochronie danych osobowych] ( 8 ), która ma rangę konstytucyjną, przewiduje prawo podstawowe do ochrony danych.

9. Dyrektywa 2006/24 została transponowana do prawa austriackiego ustawą federalną ( 9 ), którą dodano nowy artykuł 102a do Telekommunikationsgesetz 2003 [ustawy telekomunikacyjnej z 2003 r.] ( 10 ), nakładający na dostawców ogólnodostępnych usług łączności obowiązek zatrzymywania wymienionych w nim danych ( 11 ).

II – Okoliczności faktyczne leżące u podstaw sporów rozpoznawanych w postępowaniach głównych

A – Sprawa C‑293/12 Digital Rights Ireland

10. Strona skarżąca w postępowaniu głównym, Digital Rights Ireland Ltd ( 12 ), jest spółką z ograniczoną odpowiedzialnością, której przedmiotem działalności, określonym w jej akcie założycielskim, jest promowanie i ochrona praw obywatelskich i praw człowieka, w szczególności w kontekście nowoczesnych technologii łączności.

11. DRI, będąca zgodnie z jej oświadczeniem właścicielem zarejestrowanego w dniu 3 czerwca 2006 r. telefonu komórkowego, z którego korzysta od tamtej pory, wytoczyła powództwo dwóm ministrom rządu irlandzkiego: Minister for Communications, Marine and Natural Resources oraz Minister for Justice, Equality and Law Reform, szefowi irlandzkiej policji (Commissioner of the Garda Síochána), Irlandii, a także Attorney General państwa irlandzkiego (prokuratorowi generalnemu), a w ramach tego powództwa twierdzi co do istoty, że władze irlandzkie nielegalnie przetwarzały, zatrzymywały i kontrolowały dane związane z jej połączeniami.

12. W konsekwencji DRI żąda, po pierwsze, stwierdzenia nieważności różnego rodzaju aktów prawa wewnętrznego upoważniających władze irlandzkie do wydawania przepisów nakazujących dostawcom usług telekomunikacyjnych zatrzymywanie danych telekomunikacyjnych, ponieważ uważa je za niezgodne z irlandzką konstytucją oraz prawem Unii. Po drugie, kwestionuje ważność dyrektywy 2006/24 w świetle karty praw podstawowych lub europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności ( 13 ) oraz zachęca sąd odsyłający do przedstawienia Trybunałowi kilku pytań prejudycjalnych związanych z oceną ważności wspomnianej dyrektywy.

B – Sprawa C‑594/12 Seitlinger i in.

13. W dniu 6 kwietnia 2012 r. Kärntner Landesregierung wniósł do Verfassungsgerichtshof na podstawie art. 140 ust. 1 Bundes-Verfassungsgesetz [federalnej ustawy konstytucyjnej Austrii] ( 14 ) skargę o stwierdzenie nieważności szeregu przepisów Telekommunikationsgesetz 2003, w szczególności jej art. 102a, w brzmieniu wynikającym z transpozycji dyrektywy 2006/24, obowiązującym od dnia 1 kwietnia 2012 r.

14. W dniu 25 maja 2012 r. Michael Seitlinger wniósł do Verfassungsgerichtshof skargę na podstawie art. 140 ust. 1 B-VG, zarzucając niekonstytucyjność art. 102a TKG 2003 w zakresie, w jakim naruszał jego prawa. Michael Seitlinger uważa, iż ten ostatni przepis, który przewiduje dla operatora sieci telekomunikacyjnej obowiązek zatrzymywania danych bez powodu, bez związku z wymogami technicznymi lub wystawianiem faktur oraz wbrew jego woli, stanowi w szczególności naruszenie art. 8 karty.

15. Wreszcie w dniu 15 czerwca 2012 r. do Verfassungsgerichtshof wpłynęła inna skarga na podstawie art. 140 B-VG, złożona przez 11 130 skarżących, którzy twierdzą, iż niekonstytucyjność obowiązku zatrzymywania danych ustanowionego art. 102a TKG 2003 narusza ich prawa, a w szczególności art. 8 karty.

III – Pytania prejudycjalne i postępowanie przed Trybunałem

A – W sprawie C‑293/12 Digital Rights Ireland

16. W sprawie C‑293/12 High Court zadał Trybunałowi następujące pytania prejudycjalne: „1) Czy wynikające z wymogów art. 3, 4 i 6 dyrektywy 2006/24/WE ograniczenie praw strony skarżącej w postępowaniu głównym w zakresie korzystania z telefonii komórkowej jest niezgodne z art. 5 ust. 4 TUE, ponieważ jest nieproporcjonalne, a także nie jest konieczne lub jest nieodpowiednie do realizacji uzasadnionych celów: a) zapewnienia dostępności określonych danych do celów wykrywania, prowadzenia czynności dochodzeniowo-śledczych i ścigania poważnych przestępstw lub b) zapewnienia prawidłowego funkcjonowania rynku wewnętrznego Unii Europejskiej? 2) W szczególności i) Czy dyrektywa 2006/24/WE jest zgodna z prawem obywateli do swobodnego przemieszczania się i przebywania na terytorium państw członkowskich określonym w art. 21 TFUE? ii) Czy dyrektywa 2006/24/WE jest zgodna z prawem do poszanowania życia prywatnego określonym w art. 7 karty i art. 8 [EKPC]? iii) Czy dyrektywa 2006/24/WE jest zgodna z prawem do ochrony danych osobowych określonym w art. 8 karty? iv) Czy dyrektywa 2006/24/WE jest zgodna z prawem do wolności wypowiedzi określonym w art. 11 karty i art. 10 EKPC? v) Czy dyrektywa 2006/24/WE jest zgodna z prawem do dobrej administracji określonym w art. 41 karty? 3) W jakim zakresie traktaty – a zwłaszcza zasada lojalnej współpracy określona w art. 4 ust. 3 TUE – zobowiązują sąd krajowy do badania i oceny zgodności krajowych przepisów wdrażających dyrektywę 2006/24/WE z gwarancjami określonymi w karcie, w tym w jej art. 7 (powtórzonym za art. 8 EKPC)?”.

B – W sprawie C‑594/12 Seitlinger i in.

17. W sprawie C‑594/12 Verfassungsgerichtshof zadał Trybunałowi następujące pytania prejudycjalne: „1) W przedmiocie ważności aktów instytucji unijnych: Czy art. 3–9 dyrektywy 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniającej dyrektywę 2002/58/WE są zgodne z art. 7, 8 i 11 [karty]? 2) W przedmiocie wykładni traktatów: 2.1 Czy – w świetle wyjaśnień odnoszących się do art. 8 karty, które zgodnie z art. 52 ust. 7 karty zostały sporządzone w celu wskazania wykładni karty i są należycie uwzględnione przez Verfassungsgerichtshof – dyrektywa 95/46/WE Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych oraz rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady [z dnia 18 grudnia 2000 r.] o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych [Dz.U. 2001, L 8, s. 1] powinny być brane pod uwagę przy ocenie dopuszczalności ingerencji na równi z warunkami określonymi w art. 8 ust. 2 oraz art. 52 ust. 1 karty? 2.2 Jaki jest stosunek między »praw[em] Unii«, o którym mowa w art. 52 ust. 3 ostatnie zdanie karty, a dyrektywami w dziedzinie ochrony danych? 2.3 Czy wobec okoliczności, że dyrektywa 95/46/WE oraz rozporządzenie (WE) nr 45/2001 ustalają warunki i ograniczenia dla wykonywania określonego w karcie prawa podstawowego do ochrony danych, przy wykładni art. 8 karty należy uwzględniać zmiany wynikające z późniejszego prawa wtórnego? 2.4 Czy – ze względu na art. 52 ust. 4 karty – konsekwencją zasady zachowania wyższego poziomu ochrony zawartej w art. 53 karty jest to, że granice określone w karcie dla ograniczeń, jakie można w sposób dopuszczalny ustalać na podstawie prawa wtórnego, powinny być ujmowane węziej? 2.5 Czy w świetle art. 52 ust. 3 karty, motywu piątego preambuły oraz wyjaśnień odnoszących się do art. 7 karty, zgodnie z którymi zagwarantowane w niej prawa odpowiadają prawom określonym w art. 8 EKPC, z orzecznictwa Europejskiego Trybunału Praw Człowieka dotyczącego art. 8 EKPC mogą wynikać wskazówki dla wykładni art. 8 karty, które mają wpływ na wykładnię tego ostatniego artykułu?”.

C – Postępowanie przed Trybunałem

18. Uwagi pisemne w sprawie C‑293/12 przedstawili: Irish Human Rights Commission ( 15 ), rządy irlandzki, francuski, włoski, polski oraz Zjednoczonego Królestwa, a także Parlament Europejski, Rada Unii Europejskiej i Komisja Europejska.

19. Uwagi pisemne w sprawie C‑594/12 przedstawili: M. Seitlinger i C. Tschohl, rządy hiszpański, francuski, austriacki i portugalski, a także Parlament, Rada oraz Komisja.

20. Obie sprawy zostały połączone do łącznego rozpoznania w ramach ustnego etapu postępowania i wydania wyroku na podstawie postanowienia prezesa Trybunału z dnia 6 czerwca 2013 r.

21. W związku z planowanym odbyciem połączonej rozprawy w obydwu sprawach Trybunał, na podstawie art. 61 regulaminu postępowania przed Trybunałem, wezwał strony zamierzające stawić się na rozprawie do uzgodnienia swoich odpowiednich stanowisk, do skoncentrowania się w swoich wystąpieniach na zgodności dyrektywy 2006/24 z art. 7 i 8 karty oraz do udzielenia odpowiedzi na określone pytania. Ponadto Trybunał wezwał Europejskiego Inspektora Ochrony Danych ( 16 ) do przekazania informacji na podstawie art. 24 akapit drugi statutu Trybunału Sprawiedliwości.

22. DRI oraz IHRC (sprawa C‑293/12), M. Seitlinger i C. Tschohl (sprawa C‑594/12), jak również rządy irlandzki, hiszpański, włoski, austriacki i Zjednoczonego Królestwa, a także Parlament, Rada, Komisja oraz EIOD przedstawili uwagi ustne podczas połączonej rozprawy na posiedzeniu jawnym, które odbyło się w dniu 9 lipca 2013 r.

IV – W przedmiocie dopuszczalności

23. W swoich uwagach pisemnych w sprawie C‑293/12 Parlament, Rada oraz Komisja twierdzą zasadniczo, iż High Court nie przedstawił w sposób wystarczający powodów, które wywołały u niego wątpliwości co do ważności dyrektywy 2006/24, zwłaszcza w świetle art. 21 TFUE oraz art. 11 i 41 karty. Zasygnalizowane w ten sposób niejasności przedłożonego przez High Court wniosku prejudycjalnego nie mogą jednak skłonić Trybunału do odrzucenia go jako niedopuszczalnego.

V – Co do istoty sprawy

24. Poszczególne odesłania prejudycjalne przekazane przez High Court w sprawie C‑293/12 oraz przez Verfassungsgerichtshof w sprawie C‑594/12 podnoszą wątpliwości, które można podzielić na cztery grupy.

25. Pierwsza grupa, na którą składa się pytanie pierwsze w sprawie C‑293/12, dotyczy ważności dyrektywy 2006/24 w świetle art. 5 ust. 4 TUE. High Court zastanawia się bowiem konkretnie nad tym, czy dyrektywa 2006/24 jest w ogólności proporcjonalna w rozumieniu tego postanowienia, tzn. czy jest konieczna i odpowiednia do osiągnięcia zamierzonych celów, przy czym cele te polegają na zapewnieniu dostępności niektórych danych do celów wykrywania, prowadzenia czynności dochodzeniowo-śledczych oraz ścigania poważnych przestępstw lub zapewnienia prawidłowego funkcjonowania rynku wewnętrznego.

26. Druga grupa zagadnień, na którą składają się pytanie drugie w sprawie C‑293/12 oraz pytanie pierwsze w sprawie C‑594/12, dotyczy zgodności kilku przepisów dyrektywy 2006/24 z kilkoma postanowieniami karty, głównie z jej art. 7 w zakresie prawa do poszanowania życia prywatnego oraz z jej art. 8 w zakresie prawa do ochrony danych osobowych, a szerzej rzecz ujmując, dotyczy proporcjonalności wymaganych przez dyrektywę środków w rozumieniu art. 52 ust. 1 karty. Kwestia ważności w tym aspekcie bezsprzecznie znajduje się w centralnym punkcie problemów podniesionych w niniejszych sprawach.

27. Pytanie drugie zadane przez Verfassungsgerichtshof w sprawie C‑594/12 podnosi trzecią grupę wątpliwości w zakresie interpretowania postanowień ogólnych karty dotyczących jej wykładni oraz stosowania, a dokładniej wykładni i stosowania jej art. 52 ust. 3, 4 i 7 oraz art. 53. Verfassungsgerichtshof zastanawia się konkretnie co do istoty nad relacjami tworzącymi się pomiędzy, z jednej strony, art. 8 karty, który sankcjonuje prawo do ochrony danych osobowych, a z drugiej strony, po pierwsze, przepisami dyrektywy 95/46 i rozporządzenia nr 45/2001 w związku z art. 52 ust. 1 i 3 karty (pytania 2.1, 2.2 i 2.3), po drugie, tradycjami konstytucyjnymi państw członkowskich (pytanie 2.4) w związku z art. 52 ust. 4 karty i, po trzecie, prawem EKPC, a zwłaszcza jej art. 8 w związku z art. 52 ust. 3 karty (pytanie 2.5).

28. Wreszcie w trzecim pytaniu prejudycjalnym w sprawie C‑293/12, które tworzy czwartą i ostatnią grupę zagadnień, High Court występuje do Trybunału o wykładnię art. 4 ust. 3 TUE, a dokładniej o ustalenie, czy z tytułu obowiązku lojalnej współpracy sądy krajowe są obowiązane badać i oceniać zgodność z postanowieniami karty, w szczególności jej art. 7, krajowych przepisów transponujących dyrektywę 2006/24.

29. Na samym wstępie trzeba uściślić, iż badanie w głównej mierze będzie dotyczyło dwóch pierwszych grup zagadnień oraz że ze względu na odpowiedź, jaką sformułuję w tym zakresie, nie będzie potrzeby odpowiadania osobno na dwie ostatnie grupy wątpliwości. Zanim jednak zajmę się tymi zagadnieniami, należy zacząć od wstępnych wyjaśnień w kilku kwestiach.

A – Uwagi wstępne

30. Aby zapewnić sobie możliwość udzielenia pełnej odpowiedzi na poszczególne wątpliwości podniesione przez sądy odsyłające, trzeba zwrócić uwagę na trzy aspekty, które w sposób decydujący przyczyniają się do określenia profilu niniejszych spraw, mianowicie chodzi, w pierwszej kolejności, o specyfikę dyrektywy 2006/24 pod względem funkcjonalnym, w drugiej kolejności, o kwalifikację ingerencji w przedmiotowe prawa podstawowe i wreszcie, w trzeciej kolejności, o konsekwencje dla niniejszych spraw wynikające z wyroku z dnia 10 lutego 2009 r. w sprawie Irlandia przeciwko Parlamentowi i Radzie ( 17 ), w którym to wyroku Trybunał oddalił skargę o stwierdzenie nieważności wspomnianej dyrektywy wniesioną pod zarzutem niewłaściwej podstawy prawnej.

1. W przedmiocie „dualizmu funkcjonalnego” dyrektywy 2006/24 oraz jej relacji z dyrektywą 95/46 i dyrektywą 2002/58

31. Należy zacząć od umieszczenia dyrektywy 2006/24 w odpowiednim dla niej kontekście, przypominając krótko ramy prawne, w jakie jest wpisana, na które składają się głównie, z jednej strony, dyrektywa 95/46, a z drugiej, dyrektywa 2002/58.

32. Celem dyrektywy 95/46, której podstawę podobnie jak w przypadku dyrektywy 2006/24 stanowi art. 114 TFUE, jest nałożenie na państwa członkowskie obowiązku zagwarantowania prawa do prywatności osób fizycznych w odniesieniu do przetwarzania danych osobowych ( 18 ) w celu umożliwienia swobodnego przepływu tych danych pomiędzy państwami członkowskimi ( 19 ). W tym celu dyrektywa ustala w szczególności cały szereg reguł określających warunki legalności przetwarzania danych osobowych, precyzujących prawa osób, których dane są zbierane i przetwarzane, a zwłaszcza prawo do informacji ( 20 ), prawo dostępu do danych ( 21 ), prawo sprzeciwu ( 22 ) oraz prawo do środków sądowych ( 23 ), zapewniających poufność i bezpieczeństwo przetwarzania danych.

33. System ochrony wprowadzony przez dyrektywę 95/46 zawiera zwolnienia i ograniczenia określone w art. 13. Zakres praw i obowiązków, jaki przewiduje w związku z jakością danych (art. 6 ust. 1), przejrzystością przetwarzania (art. 10 i art. 11 ust. 1), prawem dostępu do danych przysługującym osobom, których dane są przetwarzane (art. 12), oraz podawaniem do wiadomości publicznej operacji przetwarzania danych (art. 21), może zostać ograniczony przez środki ustawodawcze, jeżeli jest to konieczne do zapewnienia w szczególności bezpieczeństwa narodowego, obronności, bezpieczeństwa publicznego lub działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych.

34. Dyrektywa 2002/58, która uchyla i zastępuje dyrektywę 97/66/WE ( 24 ), dookreśla oraz uzupełnia ( 25 ) system ochrony danych osobowych wprowadzony przez dyrektywę 95/46 o przepisy szczegółowe mające zastosowanie do sektora łączności elektronicznej ( 26 ). Zawiera ona zwłaszcza przepisy wymagające od państw członkowskich zagwarantowania, z zastrzeżeniem pewnych wyjątków ( 27 ), poufności nie tylko komunikacji, lecz także danych o ruchu abonentów i użytkowników usług łączności elektronicznej ( 28 ). W jej art. 6 przewidziano dla dostawców usług łączności obowiązek usuwania lub anonimizacji informacji, które dostawcy przetwarzają i przechowują, dotyczących ruchu ich abonentów i użytkowników.

35. Artykuł 15 ust. 1 dyrektywy 2002/58, szczególnie ważny dla dalszych wywodów, przewiduje także, iż państwa członkowskie mogą ( 29 ) uchwalić środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, jakie dyrektywa przewiduje w szczególności w odniesieniu do poufności komunikacji (art. 5) oraz usuwania danych o ruchu (art. 6), na takich samych warunkach jak w art. 13 ust. 1 dyrektywy 95/46, do którego odsyła. Dalej dodano, że w tym celu państwa członkowskie mogą między innymi uchwalić środki ustawodawcze przewidujące przechowywanie danych przez określony czas z któregokolwiek z wymienionych powodów, z poszanowaniem praw podstawowych.

36. Dyrektywa 2006/24 w rzeczywistości dokonuje głębokich zmian w stanie prawnym właściwym dla danych związanych z łącznością elektroniczną, wynikającym z dyrektyw 95/46 oraz 2002/58 ( 30 ), przewidując wprowadzenie przez państwa członkowskie obowiązku zbierania i zatrzymywania danych o ruchu i lokalizacji, wpisującego się w ramy ograniczeń prawa do ochrony danych osobowych, przewidzianych w art. 13 ust. 1 dyrektywy 95/46 oraz w art. 15 ust. 1 dyrektywy 2002/58.

37. Dyrektywę 2006/24 charakteryzuje przede wszystkim jej cel w postaci harmonizacji, w tym przypadku regulacji prawnych państw członkowskich dotyczących zatrzymywania danych o ruchu i lokalizacji związanych z łącznością elektroniczną. Ze względu zaś na dziedzinę, którą ma objąć harmonizacja, oraz na panującą sytuację cel ten wymaga równocześnie nałożenia na państwa członkowskie, niedysponujące takimi uregulowaniami, obowiązku zbierania i zatrzymywania wspomnianych danych. Wynika stąd, że dyrektywa 2006/24 pełni podwójną funkcję, którą koniecznie trzeba wziąć pod uwagę, aby prawidłowo podejść do problemu podniesionego w rozpatrywanych wnioskach prejudycjalnych.

38. W istocie bowiem pierwszym celem dyrektywy 2006/24 jest harmonizacja regulacji krajowych, które już nałożyły na dostawców ogólnie dostępnych usług łączności elektronicznej lub publicznych sieci łączności ( 31 ) określony w niej obowiązek zatrzymywania danych o ruchu i lokalizacji, aby zapewnić ich dostępność „w celu dochodzenia, wykrywania i ścigania poważnych przestępstw, określonych w ustawodawstwie krajowym każdego państwa członkowskiego” ( 32 ). Tym samym więc dyrektywa 2006/24 harmonizuje część uregulowań wprowadzonych przez niektóre państwa członkowskie dzięki możliwości stworzonej na podstawie art. 15 ust. 1 dyrektywy 2002/58 ( 33 ).

39. Dyrektywa 2006/24 wprowadza w ten sposób odrębny reżim stanowiący odstępstwo ( 34 ) od zasad ustalonych przez dyrektywę 95/46 oraz dyrektywę 2002/58. Dokładniej rzecz ujmując, wprowadza odstępstwo od zasad stanowiących wyjątki, ustalonych przez art. 15 ust. 1 dyrektywy 2002/58, regulujących możliwość ograniczenia przez państwa członkowskie z powodów wymienionych w art. 13 ust. 1 dyrektywy 95/46 zakresu prawa do ochrony danych osobowych oraz, ogólniej, prawa do poszanowania prywatności w szczególnym kontekście świadczenia usług łączności elektronicznej lub udostępniania publicznych sieci łączności.

40. W art. 11 dyrektywy 2006/24 dodano zresztą w sposób znaczący ustęp 1a do art. 15 dyrektywy 2002/58, który precyzuje, że ust. 1 tego ostatniego artykułu nie stosuje się do danych, których zatrzymywanie jest wyraźnie wymagane na mocy dyrektywy 2006/24.

41. Jak zaznaczył Trybunał w swoim wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie, dyrektywa 2006/24 obejmuje zasadniczo działalność dostawców usług łączności elektronicznej ( 35 ), harmonizując uregulowania krajowe za pomocą przepisów, które są zasadniczo ograniczone ( 36 ) do zatrzymywania danych, kategorii danych przeznaczonych do zatrzymania, okresu zatrzymania danych, ochrony i bezpieczeństwa danych oraz ich przechowywania ( 37 ).

42. Właśnie ze względu na tę ograniczoną funkcję harmonizacyjną – jak zobaczymy dalej – Trybunał mógł orzec w wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie, że dyrektywa 2006/24 mogła zostać wydana na podstawie art. 95 WE. Chodziło o to, by w celu ochrony prawidłowego funkcjonowania rynku wewnętrznego ( 38 ) położyć kres rozbieżnej ewolucji istniejących uregulowań ( 39 ), zapobiegając równocześnie wystąpieniu tego zjawiska w przyszłości ( 40 ).

43. Otóż harmonizacja przewidziana dyrektywą 2006/24 musiała w tym przypadku zostać przeprowadzona poprzez wprowadzenie obowiązku zbierania i zatrzymywania danych, ciążącego na dostawcach usług łączności elektronicznej – przynajmniej w odniesieniu do państw członkowskich, które nie posiadały żadnych regulacji w tym zakresie – tj. obowiązku obejmującego w szczególności wymóg co do minimalnego i maksymalnego okresu, przez który dane powinny być przechowywane.

44. W tym względzie można podkreślić, że okoliczność, iż niektóre państwa członkowskie nie posiadały jeszcze żadnych uregulowań w zakresie zatrzymywania danych, stanowiła właśnie jeden z głównych argumentów uzasadniających wydanie dyrektywy 2006/24 na podstawie art. 95 WE ( 41 ).

45. W konsekwencji dyrektywa 2006/24 w ramach realizacji celu związanego z harmonizacją wprowadza dla państw członkowskich obowiązek albo dostosowania istniejącego reżimu prawnego do przepisów dyrektywy 2006/24, albo stworzenia w wyznaczonym terminie systemu zbierania i zatrzymywania przewidzianego przez dyrektywę 2006/24, a także w każdym przypadku obowiązek zapewnienia przestrzegania przepisów tejże dyrektywy, a zwłaszcza jej przepisów regulujących warunki i zasady dostępu do przechowywanych danych.

46. Podsumowując, dyrektywę 2006/24 charakteryzuje dualizm funkcjonalny. Jest to, z jednej strony, jak najbardziej klasyczna dyrektywa dążąca do zharmonizowania ( 42 ) przepisów krajowych, które są zbyt zróżnicowane ( 43 ) lub mogą takie się stać, wydana w interesie prawidłowego funkcjonowania rynku wewnętrznego i dokładnie dostosowana do tego celu, jak orzekł Trybunał w wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie. Jednak, z drugiej strony, jest to także dyrektywa dążąca – nawet w ramach swojej funkcji harmonizacyjnej – do wprowadzenia ( 44 ) w razie potrzeby obowiązków, w szczególności, zatrzymywania danych, które oznaczają – jak wykażę poniżej – daleko posuniętą ingerencję w korzystanie z praw podstawowych zagwarantowanych obywatelom Unii przez kartę, a zwłaszcza w prawo do poszanowania życia prywatnego i prawo do ochrony danych osobowych.

47. Wreszcie jest oczywiste, iż odpowiedzi na niniejsze pytania prejudycjalne powinny w sposób szczególny uwzględniać tę „drugą funkcję”, tzn. to, co określiłbym skutkiem „konstytutywnym” obowiązku zatrzymywania danych, co jednak wcale nie oznacza, że należy zignorować jej skutek wyłącznie harmonizujący uregulowania krajowe istniejące w tym zakresie.

2. W przedmiocie prawa podstawowego zasadniczo dotkniętego ograniczeniem oraz kwalifikacji ingerencji

48. W drugiej kolejności trzeba zająć się już na tym etapie kwestią kwalifikacji ingerencji w wykonywanie praw podstawowych, wynikającej ze zbierania i zatrzymywania danych, przewidzianych w dyrektywie 2006/24, skoro zostało ustalone, iż samo istnienie tej ingerencji nie budzi żadnych wątpliwości. Najpierw zidentyfikuję prawo podstawowe, na które w głównej mierze ma wpływ dyrektywa 2006/24, później zaś przystąpię do kwalifikacji ingerencji w wykonywanie tego prawa, jaką stanowi wspomniana dyrektywa.

a) W przedmiocie praw podstawowych objętych ograniczeniem

i) Wielość powołanych praw podstawowych

49. High Court w sprawie C‑293/12, podobnie jak Verfassungsgerichtshof w sprawie C‑594/12, zapytują Trybunał o zgodność dyrektywy 2006/24 z wieloma prawami podstawowymi, przede wszystkim zaś z prawem do poszanowania życia prywatnego zagwarantowanym przez art. 7 karty oraz z prawem do ochrony danych osobowych zagwarantowanym przez art. 8 karty, a także z prawem do wolności wypowiedzi gwarantowanym przez art. 11 karty.

50. High Court zapytuje ponadto Trybunał o zgodność dyrektywy 2006/24 z art. 21 TFUE dotyczącym prawa obywateli Unii do swobodnego przemieszczania się i przebywania oraz z art. 41 karty, który sankcjonuje prawo do dobrej administracji.

51. W tym względzie istnieje możliwość wprowadzenia pierwszego uproszczenia.

52. Przede wszystkim nie wolno oczywiście pominąć, iż niejasne poczucie inwigilacji ( 45 ), jakie może wywoływać wprowadzenie w życie dyrektywy 2006/24, jest w stanie wywierać decydujący wpływ na korzystanie przez obywateli Unii z przysługującej im wolności wypowiedzi i informacji oraz że w konsekwencji powinno się również stwierdzić, że mamy do czynienia z ingerencją w prawo zagwarantowane przez art. 11 karty ( 46 ). Jednakże można zauważyć, iż – poza tym, że Trybunał nie dysponuje informacjami wystarczającymi do tego, by umożliwić mu zajęcie stanowiska w tym zakresie – efekt ten stanowi jedynie dalszą konsekwencję ingerencji w prawo do poszanowania życia prywatnego, która w dalszej części zostanie poddana bardzo uważnemu i szczegółowemu badaniu.

53. High Court nie przedstawia zresztą żadnego wyjaśnienia na temat powodów, dla których uważa za odpowiedni wybór art. 21 TFUE (prawo obywateli Unii do pobytu i przemieszczania się) oraz art. 41 karty (prawo do dobrej administracji) dla celów oceny ważności dyrektywy 2006/24, ani nawet najmniejszej wskazówki odnośnie do wpływu wspomnianej dyrektywy na swobodne przemieszczanie się obywateli lub na zasadę dobrej administracji, wbrew wymogom określonym obecnie w art. 94 regulaminu postępowania przed Trybunałem. Trybunał również nie dysponuje więc informacjami, które pozwoliłyby mu na zajęcie stanowiska w tym zakresie.

54. Zatem to głównie w odniesieniu do art. 7 i 8 karty powinno się w zasadzie badać zgodność dyrektywy 2006/24.

ii) Sprzężenie prawa do poszanowania życia prywatnego i prawa do ochrony danych osobowych

55. Artykuł 8 karty ustanawia prawo do ochrony danych osobowych jako prawo odrębne od prawa do poszanowania życia prywatnego. Wprawdzie ochrona danych służy zapewnieniu poszanowania życia prywatnego, jednak przede wszystkim podlega odrębnym zasadom, określonym głównie przez dyrektywę 95/46, dyrektywę 2002/58, rozporządzenie nr 45/2001 oraz dyrektywę 2006/24, a także w zakresie związanym ze współpracą policyjną i sądową w sprawach karnych przez decyzję ramową 2008/977/WSiSW ( 47 ).

56. Dyrektywa 2006/24 ma znaczny wpływ na prawo do ochrony danych osobowych, ponieważ w art. 5 wprowadza obowiązek dla państw członkowskich zapewnienia zatrzymywania danych, które pozwalają lub mogą pozwalać na ustalenie tożsamości osoby ( 48 ), zarówno będącej źródłem, jak i odbiorcą połączenia, a także jej usytuowanie w przestrzeni i w czasie, czy to za pomocą numeru telefonu w przypadku telefonii, czy identyfikatora lub innego dowolnego elementu, który do niej należy, takiego jak adres IP w przypadku usług internetowych.

57. Artykuł 1 ust. 2 dyrektywy 2006/24 wskazuje zresztą wyraźnie, iż ma ona zastosowanie w szczególności do danych niezbędnych do identyfikacji abonentów lub zarejestrowanych użytkowników ogólnie dostępnych usług łączności elektronicznej lub publicznych sieci łączności. Dane te zaliczają się zatem do danych, których ujawnienie wymaga wyraźnej zgody każdej jednostki, wchodzących w zakres jej „prawa do informacyjnego samostanowienia” ( 49 ).

58. Dyrektywa 2006/24 na pierwszy rzut oka jawi się jako ingerencja w prawo do ochrony danych osobowych, wpisując się wyraźnie w postanowienia art. 8 ust. 2 i 3 karty. Stwierdzono w niej bowiem, iż do danych zatrzymywanych zgodnie z jej przepisami stosują się w pełni zarówno dyrektywa 95/46 oraz dyrektywa 2002/58 ( 50 ), jak i Konwencja Rady Europy z 1981 r. o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych ( 51 ).

59. Jednakże z powodów, które teraz przedstawię, największej czujności wymaga nie przetwarzanie przechowywanych danych – niezależnie od tego, czy chodzi o warunki gromadzenia danych przez dostawców usług łączności elektronicznej, czy też warunki wykorzystywania danych przez właściwe organy upoważnione przez państwa członkowskie – lecz samo gromadzenie przedmiotowych danych oraz ich zatrzymywanie, a także ich oddziaływanie na prawo do poszanowania życia prywatnego.

60. Przede wszystkim okoliczność, iż dyrektywa 2006/24 może doskonale spełniać wymogi art. 8 ust. 2 i 3 karty i można uważać, że nie jest ona niezgodna z art. 8 karty, nie oznacza jednak wcale, że jest ona całkowicie zgodna w wymogami wynikającymi z prawa do poszanowania życia prywatnego zagwarantowanego przez art. 7 karty.

61. W istocie, ponieważ „sfera prywatności” stanowi jądro „sfery osobistej”, nie można wykluczyć, iż uregulowanie ograniczające prawo do ochrony danych osobowych zgodnie z art. 8 karty może mimo wszystko zostać uznane za powodujące nieproporcjonalne naruszenie art. 7 karty.

62. Oczywiście prawo do ochrony danych osobowych wynika z prawa podstawowego do poszanowania życia prywatnego ( 52 ), tak że – jak Trybunał miał okazję podkreślić ( 53 ) – art. 7 i 8 karty są ściśle powiązane ( 54 ) do tego stopnia, że można je uznać za ustanawiające prawo do „życia prywatnego w kontekście przetwarzania danych osobowych” ( 55 ).

63. Jednakże taka sytuacja może nie występować w każdym przypadku. Związek łączący oba te prawa zależy w głównej mierze od danych, z jakimi ma się do czynienia, aczkolwiek w dalszym ciągu jest mowa o danych osobowych, tzn. dotyczących osoby, jednostki.

64. Istnieją bowiem dane, które jako takie są osobowe, tzn. indywidualizują określoną osobę, takie jak choćby – by przytoczyć pierwszy z brzegu przykład – dane, które kiedyś widniały w liście żelaznym. Często są to dane o charakterze w pewnym stopniu trwałym i często również niejako neutralne. Są po prostu osobowe, ni mniej ni więcej, i generalnie można by powiedzieć, że są to dane, względem których konstrukcja oraz gwarancje art. 8 karty są najlepiej dostosowane.

65. Istnieją jednak dane osobowe, które są w pewien sposób bardziej niż osobiste. Są to dane, które pod względem jakościowym odnoszą się głównie do życia prywatnego, do tajemnicy życia prywatnego, w tym także do sfery intymności. W istocie w takich przypadkach problem, jaki stwarzają dane osobowe, pojawia się, że tak się wyrażę, „awansem”. Problem, który powstaje, nie jest jeszcze problemem gwarancji związanych z przetwarzaniem danych, lecz pojawiającym się na wcześniejszym etapie problemem samych danych jako takich, a mianowicie chodzi o to, że fakty z życia prywatnego jakiejś osoby mogły były się skrystalizować w formie danych, tzn. danych, które w konsekwencji mogą być poddawane przetwarzaniu informatycznemu.

66. Właśnie w tym sensie można mówić, że w sytuacjach, gdy chodzi o takie dane, stwarzają one problem, który zasadniczo poprzedza problem ich przetwarzania, związany w pierwszym rzędzie z życiem prywatnym zagwarantowanym przez art. 7 karty i jedynie w drugiej kolejności z gwarancjami, które odnoszą się do przetwarzania danych osobowych określonych w art. 8 karty.

67. Zatem, jak wynika z powyższych wywodów, przy prawidłowym „pozycjonowaniu” praw podstawowych tworzących parę złożoną z prawa do poszanowania życia prywatnego (art. 7 karty) oraz prawa do ochrony danych osobowych (art. 8 karty) ważność dyrektywy 2006/24 powinna być oceniana głównie pod kątem ingerencji w prawo do poszanowania życia prywatnego.

b) Szczególnie daleko posunięta ingerencja w prawo do poszanowania życia prywatnego

68. Przede wszystkim nie ma żadnych wątpliwości, iż dyrektywa 2006/24 stanowi sama w sobie „ingerencję” w prawo do poszanowania życia prywatnego ( 56 ). Stwierdzono to w samej dyrektywie, określając ją jako „[instrument służący] zatrzymywaniu danych” niezbędny ze względu na „wymogi art. 8 EKPC” ( 57 ) lub art. 7 karty. Trybunał używa zresztą takiego wyrażenia w odniesieniu do tej dyrektywy ( 58 ).

69. Z kolei Europejski Trybunał Praw Człowieka wielokrotnie orzekał, że rejestrowanie przez organ władzy publicznej danych związanych z życiem prywatnym jednostki stanowi ingerencję w prawo do poszanowania jej życia prywatnego zagwarantowane przez art. 8 § 1 EKPC ( 59 ), dodając przy tym, iż sposób ich wykorzystania nie ma większego znaczenia ( 60 ).

70. Tutaj natomiast chodzi o to, by spróbować ustalić kwalifikację tej ingerencji. W tym sensie – jak to wykażę później bardziej szczegółowo – można twierdzić, iż dyrektywa 2006/24 stanowi szczególnie daleko posuniętą ( 61 ) ingerencję w prawo do poszanowania życia prywatnego.

71. Co prawda dyrektywa 2006/24 wyłącza ze swojego zakresu stosowania, w sposób wyraźny i konsekwentny ( 62 ), treść połączeń telefonicznych lub komunikatów elektronicznych oraz same przekazywane informacje.

72. Niemniej jednak zbieranie ( 63 ) i przede wszystkim przechowywanie ( 64 ) w gigantycznych bazach danych wielu różnych danych generowanych lub przetwarzanych w ramach większości zwykłych połączeń elektronicznych obywateli Unii ( 65 ) stanowi daleko posuniętą ingerencję w ich życie prywatne, nawet jeśli jest to tylko stworzenie warunków do zapewnienia możliwości wstecznej kontroli ich aktywności zarówno osobistej, jak i zawodowej. Gromadzenie tych danych tworzy warunki dla monitorowania, które chociaż odbywa się jedynie wstecznie przy okazji wykorzystywania danych, zagraża jednak w sposób ciągły przez cały okres ich przechowywania prawu obywateli Unii do tajemnicy życia prywatnego. Wywołane tym niejasne poczucie inwigilacji ( 66 ) stawia w wyjątkowo ostrym świetle kwestię długości okresu przechowywania danych.

73. W tym względzie należy przede wszystkim wziąć pod uwagę okoliczność, że skutki tej ingerencji są zwielokrotnione przez znaczenie, jakiego nabrały środki łączności elektronicznej w nowoczesnych społeczeństwach, zarówno cyfrowe sieci komórkowe, jak i Internet, oraz ich masowe i intensywne wykorzystywanie przez bardzo dużą część obywateli Unii na wszelkich polach ich aktywności prywatnej i zawodowej ( 67 ).

74. Przedmiotowe dane – trzeba to również jeszcze raz mocno podkreślić – nie są danymi osobowymi w klasycznym rozumieniu tego terminu, odnoszącym się do pojedynczych informacji związanych z tożsamością osób, lecz danymi osobowymi – że tak się wyrażę – kwalifikowanymi, których wykorzystanie jest w stanie umożliwić opracowanie mapy, równie wiernej co wyczerpującej, sporej części działań określonej osoby należących ściśle do jej życia prywatnego, wręcz stworzenie kompletnego i dokładnego wizerunku jej prywatnej tożsamości.

75. Skalę tej ingerencji pogłębiają czynniki zwiększające ryzyko, że pomimo obowiązków nałożonych przez dyrektywę 2006/24 zarówno na same państwa członkowskie, jak i na dostawców usług łączności elektronicznej, przechowywane dane zostaną użyte do nielegalnych celów potencjalnie naruszających życie prywatne lub, ogólniej, nieuczciwych, wręcz wrogich.

76. W istocie bowiem dane nie są przechowywane przez same władze publiczne, ani nawet pod ich bezpośrednim nadzorem, lecz przez samych dostawców usług łączności elektronicznej ( 68 ), na których spoczywa główny ciężar obowiązków zapewniających ich ochronę i bezpieczeństwo.

77. Dyrektywa 2006/24 wprawdzie nakłada ( 69 ) na państwa członkowskie obowiązek zagwarantowania, żeby dane były zatrzymywane zgodnie z tą dyrektywą. Warto jednak zaznaczyć, że chodzi tylko o zatrzymywanie „w sposób umożliwiający przekazanie właściwym organom na ich wniosek zatrzymywanych danych i wszelkich informacji odnoszących się do takich danych bez zbędnej zwłoki”. Dyrektywa 2006/24 przewiduje ponadto, iż państwa członkowskie powinny zagwarantować, że dostawcy usług łączności elektronicznej będą przestrzegać przynajmniej pewne minimum zasad dotyczących ochrony i bezpieczeństwa zatrzymanych danych.

78. Natomiast żaden przepis dyrektywy 2006/24 nie przewiduje dla wspomnianych dostawców usług obowiązku przechowywania przez nich samych danych, które mają być zatrzymywane na terytorium państwa członkowskiego, podlegających jurysdykcji państwa członkowskiego, co znacznie zwiększa ryzyko, że dane mogą być dostępne lub ujawnione z naruszeniem tej regulacji.

79. Taka „eksternalizacja” przechowywania danych pozwala wprawdzie trzymać zatrzymane dane z dala od władz publicznych państw członkowskich, a zatem usunąć je poza ich bezpośredni zasięg i spod wszelkiej kontroli ( 70 ), lecz tym samym równocześnie zwiększa ryzyko wykorzystania niezgodnie z wymogami wynikającymi z prawa do poszanowania życia prywatnego.

80. Dyrektywa 2006/24 stanowi więc – jak wynika z powyższych wywodów – szczególnie daleko posuniętą ingerencję w prawo do poszanowania życia prywatnego i jej ważność, a zwłaszcza jej proporcjonalność powinny być badane głównie właśnie pod kątem wymogów wynikających z tego prawa podstawowego.

3. W przedmiocie znaczenia wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie dla oceny ważności dyrektywy 2006/24

81. Na tym etapie niniejszych wywodów wstępnych pozostaje jeszcze zastanowić się nad wpływem wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie na obydwa wnioski o ocenę ważności dyrektywy 2006/24 skierowane do Trybunału.

82. W tym względzie należy przypomnieć, iż w tamtej sprawie Trybunał rozpoznawał bezpośrednią skargę o stwierdzenie nieważności dyrektywy 2006/24, w ramach zaś tej skargi twierdzono jedynie, że dyrektywa została oparta na nieodpowiedniej podstawie prawnej. W konsekwencji Trybunał wskazał wyraźnie w pkt 57 swojego wyroku, iż „skarga Irlandii dotyczy wyłącznie wyboru podstawy prawnej, a nie ewentualnego naruszenia praw podstawowych wynikających z ingerencji w wykonywanie prawa do poszanowania życia prywatnego, jakie powoduje dyrektywa 2006/24”.

83. Natomiast jako że złożone w obu sprawach wnioski prejudycjalne podnoszą kwestię proporcjonalności przepisów dyrektywy 2006/24 w rozumieniu, z jednej strony, art. 5 ust. 4 TUE (pytanie pierwsze w sprawie C‑293/12), a z drugiej strony, w rozumieniu art. 52 ust. 1 karty (pytanie drugie w sprawie C‑293/12 i pytanie pierwsze w sprawie C‑594/12), tak sformułowane przez Trybunał zastrzeżenie można interpretować na dwa sposoby, które mogą się okazać komplementarne.

84. Pierwsza możliwa interpretacja, która narzuca się ostatecznie w każdym stanie rzeczy, polegałaby na uznaniu, że Trybunał związany żądaniem Irlandii stwierdzenia nieważności dyrektywy z bardzo konkretnych powodów, nie był powołany do badania zgodności dyrektywy 2006/24 z prawami podstawowymi gwarantowanymi przez kartę, głównie z prawem do poszanowania życia prywatnego zagwarantowanym przez art. 7 karty. Sam Trybunał zadbał, żeby to zaznaczyć w pkt 57 swojego wyroku, nie musiał zatem badać kwestii zgodności pod względem wymogów zawartych w art. 52 ust. 1 karty, zwłaszcza wymogów związanych z jakością ustawy oraz proporcjonalnością.

85. Drugie znaczenie, jakie można przypisać temu zastrzeżeniu, dużo trudniejsze do zgłębienia, to uznanie, iż niezależnie od potwierdzenia prawidłowości podstawy prawnej dyrektywy 2006/24 w wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie Trybunał nie zbadał proporcjonalności tej dyrektywy w rozumieniu art. 5 ust. 4 TUE, i to w zakresie ingerencji w prawa podstawowe, jak o to formalnie występuje High Court w pytaniu pierwszym w sprawie C‑293/12. Chodziłoby mianowicie co do istoty o zbadanie, czy wziąwszy pod uwagę jej podstawę prawną, ingerencja w prawo do poszanowania życia prywatnego, jaką stanowi dyrektywa 2006/24, pozostaje w rozsądnym stosunku proporcjonalności – w rozumieniu tego postanowienia – do celów, którym dyrektywa ma służyć.

86. Rozpocznę od naświetlenia problematyki związanej z zasadą proporcjonalności w rozumieniu art. 5 ust. 4 TUE, co wymaga – jak zostało powiedziane – zbadania możliwości otwartych przez drugą dopuszczalną wykładnię pkt 57 wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie. Następnie w oparciu o pierwszą – nieproblematyczną – wykładnię tego punktu zajmę się badaniem sedna kwestii podniesionych przez obydwa sądy odsyłające, dotyczących warunków ograniczeń w korzystaniu z praw podstawowych.

B – W przedmiocie proporcjonalności, w rozumieniu art. 5 ust. 4 TUE, wydania dyrektywy 2006/24 (pytanie pierwsze w sprawie C‑293/12)

87. W swoim pierwszym pytaniu w sprawie C‑293/12 High Court zwraca się do Trybunału o ustalenie, czy w świetle art. 5 ust. 4 TUE dyrektywa 2006/24 jest proporcjonalna w stosunku do celów, którym służy, tj. albo zapewnienia dostępności zatrzymanych danych do celów wykrywania i ścigania poważnych przestępstw, albo zapewnienia prawidłowego funkcjonowania rynku wewnętrznego, albo do obydwu celów.

88. Pewna odpowiedź na to pytanie narzuca się sama tylko, o ile można przyjąć, że Trybunał w swoim wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie wypowiedział się wyłącznie w zakresie potwierdzenia prawidłowości wyboru art. 95 WE jako podstawy prawnej dyrektywy 2006/24, pozostawiając bez rozpoznania kwestię proporcjonalności samej dyrektywy w stosunku do celów, jakim może służyć w oparciu o wspomnianą podstawę prawną. Zatem wywody przedstawione poniżej należy rozumieć jako uwarunkowane określoną wykładnią wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie, która to wykładnia może jednak być dyskusyjna.

89. Ponieważ wniosek prejudycjalny High Court podnosi zarówno kwestię proporcjonalności dyrektywy 2006/24, czyli samego aktu Unii, w rozumieniu art. 5 ust. 4 TUE, jak i proporcjonalności ograniczeń w korzystaniu z praw podstawowych w rozumieniu art. 52 ust. 1 karty, należy pamiętać, iż kontrole dokonywane w świetle tych dwóch przepisów mają odmienny charakter ( 71 ). Proporcjonalność w rozumieniu art. 5 ust. 4 TUE jest w połączeniu z zasadą pomocniczości zasadą ogólną regulującą działania Unii i warunkującą wydawanie wszystkich aktów instytucji. W szczególności służy ona ukierunkowaniu angażowania się przez Unię z poszanowaniem kompetencji państw członkowskich. Proporcjonalność zaś w rozumieniu art. 52 ust. 1 karty jest przesłanką legalności każdego ograniczenia w korzystaniu z praw podstawowych. Wprawdzie kontrole przeprowadzane z tytułu tych dwóch przepisów mogą mieć taki sam przebieg, jednakże nie są wykonywane z takimi samymi obostrzeniami.

90. Po uściśleniu powyższego należy przypomnieć, iż w dziedzinie takiej jak rynek wewnętrzny, w której kompetencje są podzielone ( 72 ), zadaniem prawodawcy Unii jest określenie środków, jakie uważa on za niezbędne do osiągnięcia założonych celów, przy jednoczesnym poszanowaniu zasad pomocniczości i proporcjonalności znajdujących wyraz w art. 5 TUE ( 73 ).

91. W niniejszej sprawie, zgodnie z art. 5 protokołu w sprawie stosowania zasad pomocniczości i proporcjonalności, Komisja uzasadniła wydanie dyrektywy 2006/24 w odniesieniu do zasady proporcjonalności, jak wynika z jej wniosku z dnia 21 września 2005 r. ( 74 ).

92. Problem podniesiony przez High Court nie wiąże się jednak z odpowiedzią na pytanie, czy w niniejszym przypadku Komisja wypełniła swoje obowiązki, lecz czy sama dyrektywa 2006/24 jest zgodna z wymogami art. 5 ust. 4 TUE.

93. Zgodnie z wielokrotnie powtarzanym orzecznictwem Trybunału akt Unii może być uważany za proporcjonalny tylko wówczas, gdy środki, które wprowadza w życie, są odpowiednie do realizacji zamierzonego celu i nie wykraczają poza to, co jest konieczne do jego osiągnięcia ( 75 ).

94. Pytanie prejudycjalne High Court powoduje w tym względzie bardzo szczególną trudność. Problem, który powstaje w niniejszym przypadku, wiąże się z odpowiedzią na pytanie, czy proporcjonalność, w rozumieniu art. 5 ust. 4 TUE, środków przyjętych w dyrektywie 2006/24 powinna być oceniana w odniesieniu do obydwu zadeklarowanych w niej celów, tj. harmonizacji krajowych uregulowań dla potrzeb prawidłowego funkcjonowania rynku wewnętrznego oraz zapewnienia dostępności danych dla potrzeb ścigania karnego, czy też wręcz przeciwnie – w odniesieniu tylko do jednego celu bezpośrednio związanego z podstawą prawną, w oparciu o którą została wydana dyrektywa.

95. W związku z tym należy rozróżnić przeważający cel tej dyrektywy ( 76 ), a mianowicie funkcjonowanie rynku wewnętrznego, oraz dalsze cele, do których ostatecznie dąży i które można określać w taki lub w inny sposób, lecz które w każdym razie nie są dominujące. Dokładniej rzecz ujmując, trzeba najpierw zbadać proporcjonalność dyrektywy 2006/24 w zakresie, w jakim nakłada na dostawców usług łączności elektronicznej obowiązki zbierania, zatrzymywania oraz zapewnienia dostępności danych, mające skutek „konstytutywny”, w stosunku do potrzeby harmonizacji wspomnianych obowiązków.

96. W tym względzie należy przede wszystkim przypomnieć, iż dogłębność kontroli sądowej wykonywanej przez Trybunał w odniesieniu do odpowiedniego charakteru środka podjętego przez prawodawcę Unii jest bezpośrednio związana z uprawnieniami dyskrecjonalnymi, jakimi prawodawca dysponuje ( 77 ). Trybunał wielokrotnie orzekał, iż w dziedzinach, w których działania prawodawcy Unii wymagają podejmowania decyzji natury politycznej, gospodarczej i społecznej oraz dokonywania kompleksowych ocen, jak w dziedzinie wspólnej polityki rolnej ( 78 ) lub wspólnej polityki handlowej ( 79 ), prawodawca Unii dysponuje szerokimi uprawnieniami dyskrecjonalnymi ( 80 ) i w konsekwencji kontrola sądowa jest ograniczona. Do zadań sądu nie należy ustalanie, czy podjęty środek był jedynym możliwym lub najlepszym z możliwych, lecz zbadanie, czy opiera się on na obiektywnych kryteriach ( 81 ) oraz czy nie jest oczywiście nieodpowiedni w stosunku do zamierzonego celu ( 82 ).

97. W tym względzie nie jest kwestionowane, że dyrektywa 2006/24 stanowi środek odpowiedni do realizacji pierwszego formalnego celu, do którego dąży, a mianowicie zapewnienia prawidłowego funkcjonowania rynku wewnętrznego. Z całą pewnością jest przystosowana do usunięcia różnic prawnych i technicznych ( 83 ), obecnie istniejących oraz przyszłych, pomiędzy regulacjami krajowymi nakładającymi na dostawców usług łączności elektronicznej obowiązek zatrzymywania danych.

98. Ponadto z uwagi na uprawnienia dyskrecjonalne instytucji można założyć, że harmonizacja przeprowadzona przez dyrektywę 2006/24 była rzeczywiście konieczna w celu zredukowania różnic prawnych i technicznych pomiędzy wymogami nałożonymi na dostawców usług łączności elektronicznej odnośnie do rodzajów danych, które mają być zatrzymywane, oraz okresu i warunków zatrzymywania ( 84 ).

99. Na koniec pozostało do zbadania, czy dyrektywa 2006/24 może być uważana za proporcjonalną w ścisłym znaczeniu tego słowa.

100. Po dotarciu do ostatniego etapu badania proporcjonalności dyrektywy 2006/24 w rozumieniu art. 5 ust. 4 TUE należy stwierdzić, iż istnieje oczywista dysproporcja między skalą ingerencji w dziedzinie regulacji praw podstawowych, którą reprezentuje ingerencja w prawo do poszanowania życia prywatnego, wymagana od państw członkowskich w związku z wykonywaniem dyrektywy 2006/24, a celem związanym z potrzebą zapewnienia funkcjonowania rynku wewnętrznego, któremu to celowi służy w przeważającej mierze ( 85 ) i który uzasadnia jej wydanie na podstawie art. 95 WE. Nie można w tym względzie nie doceniać wpływu, jaki dyrektywa 2006/24 z uwagi na swój skutek konstytutywny wywiera na kompetencje państw członkowskich w zakresie regulowania i gwarantowania treści praw podstawowych.

101. Jak wskazałem powyżej, dyrektywa 2006/24 wprowadza obowiązek zbierania i zatrzymywania danych, nałożony na dostawców usług łączności elektronicznej, który stanowi – jako odstępstwo od zasad ustalonych przez dyrektywę 95/46 oraz dyrektywę 2002/58 – daleko posuniętą ingerencję w prawo do poszanowania życia prywatnego w szczególności, równocześnie pozostawiając państwom członkowskim starania o skuteczne zagwarantowanie poszanowania praw podstawowych.

102. Daleko posunięta ingerencja w prawo do poszanowania życia prywatnego, jaką państwa członkowskie powinny inkorporować do własnego porządku prawnego w wyniku skutku konstytutywnego dyrektywy 2006/24, wydaje się zatem niewspółmierna w stosunku do samej potrzeby zapewnienia funkcjonowania rynku wewnętrznego, aczkolwiek należy skądinąd uznać, iż zbieranie i zatrzymywanie danych stanowią środki adekwatne, a nawet konieczne do realizacji celu ostatecznego zakładanego przez tę dyrektywę, służącego zapewnieniu dostępności wspomnianych danych dla potrzeb dochodzenia i ścigania poważnych przestępstw. Mówiąc krótko, dyrektywa 2006/24 nie zdołałaby przejść testu proporcjonalności z tych samych powodów, które uzasadniały jej podstawę prawną. Względy przemawiające na korzyść prawidłowości jej podstawy prawnej paradoksalnie przemawiałyby na niekorzyść w odniesieniu do proporcjonalności.

103. Sprawa nie jest jednak taka prosta, ponieważ trzeba uwzględnić okoliczność, iż cel „przeważający” nie jest równoznaczny z celem „wyłącznym”, nawet jeśliby cel przeważający odgrywał decydującą rolę przy ustaleniu prawidłowej podstawy prawnej. Z tego punktu widzenia trzeba przyznać, iż rzeczywiście istnieje obszar wymagający, by w ramach badania proporcjonalności dyrektywy 2006/24 w rozumieniu art. 5 ust. 4 TUE wziąć pod uwagę zakładany przez nią cel ostateczny związany ze ściganiem poważnych przestępstw. W tej perspektywie można by bez trudu przyjąć, że dyrektywa 2006/24 jako akt Unii – jeśli świadomie pominąć badanie proporcjonalności w rozumieniu art. 52 ust. 1 karty – mogłaby przejść test proporcjonalności w rozumieniu właśnie art. 5 ust. 4 TUE i zostać uznana za odpowiednią, konieczną, a nawet proporcjonalną w ścisłym znaczeniu.

104. Ostatecznie pozostaje kwestia ustalenia, czy problemy proporcjonalności sensu stricto, jakie stwarza akt Unii w odniesieniu do przeważającego celu, któremu służy, mogą zostać rozwiązane przez uwzględnienie celu znajdującego się na „drugim planie”. Ta kwestia jest o tyle trudniejsza do rozstrzygnięcia, że pojawia się w sytuacji, w której podstawa prawa przedmiotowego aktu została uznana za prawidłową przy uwzględnieniu jego przeważającego celu.

105. Jednakże, ponieważ dyrektywa 2006/24 powinna jeszcze – jako akt ograniczający wykonywanie praw podstawowych – zostać poddana badaniu proporcjonalności w świetle art. 52 ust. 1 karty, uważam, iż nie ma potrzeby ostatecznego rozstrzygania tej kwestii w ramach niniejszych spraw.

C – W przedmiocie wymogów wynikających z art. 52 ust. 1 karty (pytanie drugie w sprawie C‑293/12 i pytanie pierwsze w sprawie C‑594/12)

106. Jak już podkreśliłem powyżej, dyrektywa 2006/24, która harmonizuje regulacje przyjęte przez państwa członkowskie w ramach – jak się wydaje – możliwości przewidzianej w art. 15 ust. 1 dyrektywy 2002/58, wprowadza reżim prawny stanowiący częściowo odstępstwo od zasad ustalonych przez tę ostatnią dyrektywę i dyrektywę 95/46 oraz gwarantujących prawo do ochrony danych osobowych i, szerzej, prawo do poszanowania życia prywatnego.

107. Bardziej ogólnie, ingerencja w prawo do poszanowania życia prywatnego, jaką stanowi dyrektywa 2006/24, jest dopuszczalna tylko wtedy, gdy spełnia przesłanki ustalone w art. 52 ust. 1 karty, a więc pod warunkiem że jest „przewidzian[a] ustawą”, a dokładniej spełnia wymogi związane z jakością ustawy, nie narusza istoty omawianego prawa, jest proporcjonalna, tzn. musi być konieczna i rzeczywiście odpowiadać celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób.

1. W przedmiocie jakości ustawy

108. W niniejszej sprawie nie trzeba chyba podkreślać, iż skoro zbieranie i zatrzymywanie danych w celu zapewnienia ich dostępności zostało przewidziane dyrektywą 2006/24, to ingerencja w prawo do poszanowania życia prywatnego, jaką stanowi ta dyrektywa, powinna być uważana za formalnie przewidzianą w drodze ustawy, w rozumieniu art. 52 ust. 1 karty.

109. Natomiast koncepcja Trybunału dotycząca przesłanki bycia „przewidzian[ym] ustawą” – wziąwszy pod uwagę postanowienia art. 52 ust. 3 karty – powinna być bliska koncepcji, za jaką opowiada się Europejski Trybunał Praw Człowieka, tzn. powinna to być przesłanka wykraczająca poza czysto formalny wymóg i obejmująca niedostateczną określoność ustawy („jakość ustawy”) ( 86 ), aby wyrazić to w możliwie najprostszych słowach ( 87 ).

110. Prawdą jest, iż takie badanie równie dobrze mogłoby się odbyć w ramach szczegółowej analizy proporcjonalności ograniczenia ( 88 ). Jednakże, jeśliby inne powody nie wystarczyły, to ze względu na dbałość o wierność wobec podejścia stosowanego w orzecznictwie Europejskiego Trybunału Praw Człowieka uważam, że należy wybrać pierwszą opcję.

111. Przy rozumieniu więcej niż formalnym wymogu, według którego każde ograniczenie musi być przewidziane ustawą, powstaje problem odpowiedzi na pytanie, czy ograniczenia w korzystaniu z praw podstawowych zawarte w dyrektywie 2006/24 cechuje niezbędny stopień szczegółowości, jaki muszą posiadać gwarancje, które powinny towarzyszyć takim ograniczeniom.

112. Artykuł 4 dyrektywy 2006/24 przewiduje, że to do państw członkowskich należy obowiązek podjęcia niezbędnych środków w celu zagwarantowania, żeby zatrzymywane dane były udostępniane jedynie właściwym organom krajowym, w określonych przypadkach i zgodnie z prawem krajowym. W zdaniu drugim uściślono, że „proces oraz warunki uzyskiwania dostępu do zatrzymanych danych, w przypadkach gdy został spełniony wymóg konieczności oraz proporcjonalności, są określone w prawie krajowym każdego państwa członkowskiego, podlegając odpowiednim przepisom prawa Unii Europejskiej lub międzynarodowego prawa publicznego, w szczególności EKOPC [EKPC], zgodnie z interpretacją Europejskiego Trybunału Praw Człowieka”.

113. Problem, jaki sprawia dyrektywa 2006/24 – niech mi będzie wolno jeszcze raz to powtórzyć – polega na tym, że chodzi tu o dyrektywę, która ma na celu jedynie wprowadzenie ciążącego na dostawcach usług łączności elektronicznej obowiązku zbierania i zatrzymywania danych o ruchu i lokalizacji związanych z łącznością elektroniczną, a nie gwarancji, które powinny regulować dostęp do tych danych oraz ich wykorzystanie. W tym zakresie dyrektywa 2006/24 zdaje się – jak to widzieliśmy – całkowicie na państwa członkowskie ( 89 ).

114. Przedstawiony w ten sposób problem, jaki trzeba rozstrzygnąć, polega właśnie na ustaleniu, czy wymóg, aby wszelkie ograniczenia praw podstawowych były „przewidziane ustawą”, można ograniczyć do takiego ogólnego odesłania, nawet jeśli wymienia się przy tym wyraźnie prawa zagwarantowane przez dyrektywę 95/46 oraz dyrektywę 2002/58.

115. W tym względzie należy najpierw uściślić, że sytuacja, w której Unia ogranicza się do wydania aktu prawnego rangi ustawowej dokonującego harmonizacji przepisów jak zawsze wydawanych przez ogół państw członkowskich, nie jest porównywalna z sytuacją, w której Unia postanawia dodatkowo o generalizacji takiej regulacji.

116. W pierwszym przypadku Unia może postąpić tak, jak to uczyniła z dyrektywą 2002/58, tzn. pozostawić zasadniczo ustawodawcom krajowym zadanie zapewnienia, by przepisy prawne wydane z ich własnej inicjatywy, pociągające za sobą ograniczenie praw podstawowych, zawierały wszystkie gwarancje niezbędne, aby te ograniczenia oraz ich stosowanie („dostęp”) spełniały wszelkie wymogi związane z jakością ustawy oraz z zasadą proporcjonalności.

117. W drugim przypadku wręcz przeciwnie, kiedy ograniczenie praw podstawowych wypływa z samego aktu Unii rangi ustawowej i w związku z tym można je przypisać Unii, zakres odpowiedzialności prawodawcy Unii jest całkiem inny. W przypadku dyrektywy jest jasne, iż to państwom członkowskim przypadnie zadanie dokładnego określenia gwarancji, które mają ująć ograniczenie praw podstawowych w odpowiednie ramy w przypadku takim jak ten, którym się zajmujemy. Natomiast – jak się również wydaje – prawodawca Unii powinien także odgrywać wiodącą rolę w samym zdefiniowaniu tych gwarancji. Właśnie z tego punktu widzenia należy zbadać spełnienie wymogu związanego z jakością ustawy.

118. Innymi słowy, przejściu od systemu fakultatywnego, takiego, jaki może być wprowadzony na podstawie art. 15 dyrektywy 2002/58, do systemu nakazowego z ustalonym terminem realizacji, takiego jak ustanowiony przez dyrektywę 2006/24, powinny były towarzyszyć równoczesne zmiany w zakresie gwarancji i w efekcie powinno to skłonić prawodawcę Unii do ustalenia ram w sposób zasadniczy dla bardzo szerokiej delegacji udzielonej państwom członkowskim w odniesieniu do dostępu do danych oraz ich wykorzystania poprzez przyjęcie założeń w formie zasad.

119. W istocie trzeba bowiem w tym względzie zaznaczyć przede wszystkim, iż zarówno dyrektywa 95/46, jak i dyrektywa 2002/58 uściślają, że ograniczające gwarantowane prawa środki, jakie państwa członkowskie są uprawnione podjąć, powinny mieć charakter ustawowy ( 90 ). Tymczasem w dyrektywie 2006/24 znajduje się jedynie marginalna wzmianka na temat tego wymogu formalnego ( 91 ), przez co powoduje się osłabienie poziomu gwarancji wprowadzonych przez dyrektywy, od których dyrektywa 2006/24 stanowi odstępstwo ( 92 ).

120. Prawodawca Unii nie może bowiem – wydając akt prawny, który nakłada obowiązki skutkujące daleko posuniętą ingerencją w prawa podstawowe obywateli Unii – przerzucać całkowicie na państwa członkowskie zadania określenia gwarancji zdolnych ją usprawiedliwić. Nie może poprzestać na przekazaniu właściwym organom ustawodawczym lub administracyjnym państw członkowskich powołanym, jeśli trzeba, do wydania krajowych środków wykonawczych do takiego aktu prawnego, zadania określenia i ustanowienia takich gwarancji, ani zdać się całkowicie na organy sądownicze, których obowiązkiem jest kontrolowanie konkretnego zastosowania aktu. Powinien – pod rygorem pozbawienia przepisów art. 51 ust. 1 karty wszelkiego znaczenia – wypełnić całkowicie swoją część obowiązków, ustalając przynajmniej zasady, które powinny kierować określaniem, ustanawianiem, stosowaniem oraz kontrolą poszanowania tych gwarancji.

121. Wielokrotnie zostało powiedziane, że dyrektywa 2006/24 – jak wskazuje jej art. 4 ( 93 ) – nie reguluje dostępu ( 94 ) do zgromadzonych i przechowywanych danych ani ich wykorzystania, zwłaszcza że ponadto nie mogła tego czynić ze względu na podział kompetencji między państwami członkowskimi a Unią ( 95 ). Natomiast kwestia, którą trzeba teraz rozstrzygnąć, wiąże się dokładnie z odpowiedzią na pytanie, czy Unia może ( 96 ) ustanowić środek, taki jak obowiązek zbierania i zatrzymywania rozpatrywanych danych przez pewien okres, bez równoczesnego ujęcia go w odpowiednie ramy za pomocą gwarancji w zakresie warunków, od których uzależniony ma być dostęp do danych i korzystanie z nich, przynajmniej w formie zasad. To właśnie to unormowanie warunków dostępu i korzystania ze zgromadzonych i zatrzymanych danych pozwala ocenić zakres tego, co taka ingerencja konkretnie pociąga za sobą, a zatem może uczynić ją konstytucyjnie dopuszczalną lub nie.

122. Istnieje bowiem bliski związek między konkretnym ukształtowaniem obowiązku zbierania i zatrzymywania danych a warunkami, na jakich dane są w razie potrzeby udostępniane właściwym organom krajowym i wykorzystywane przez nie. Należy nawet uznać, iż bez wiedzy na temat sposobu, w jaki może być uzyskany dostęp do danych oraz w jaki może odbywać się korzystanie z danych, nie ma tak naprawdę możliwości dokonania rzetelnej oceny ingerencji, do której prowadzi rozpatrywane zbieranie i zatrzymywanie.

123. Wziąwszy pod uwagę okoliczność, że podstawą prawną dyrektywy 2006/24 była podstawa dotycząca możliwości zapewnienia prawidłowego funkcjonowania rynku wewnętrznego oraz że wszystkie warunki dostępu do danych i ich wykorzystania nie mogły być objęte odnośnymi przepisami, konstytutywny skutek zawartego w dyrektywie obowiązku zbierania i zatrzymywania wymagał, by towarzyszył mu szereg podstawowych gwarancji, jako konieczne i niezbędne uzupełnienie. Do tego celu nie wystarcza ogólna delegacja dla państw członkowskich, a system ochronny wprowadzony przez dyrektywę 95/46 ( 97 ) albo przez decyzję ramową 2008/977 ( 98 ) nie może temu zaradzić, ponieważ nie ma tu zastosowania.

124. Nawet jeśli zaakceptować podział, o którym mówi rzecznik generalny Y. Bot w swojej opinii przedstawionej w ww. sprawie Irlandia przeciwko Parlamentowi i Radzie, oraz podzielić jego pogląd, że trudno było, przynajmniej w tamtym czasie, wprowadzić gwarancje dotyczące dostępu do zatrzymanych danych, nic nie stało na przeszkodzie, by prawodawca Unii, określając obowiązek zbierania i zatrzymywania danych, dodał do niego serię gwarancji w formie co najmniej zasad, wymagających rozwinięcia przez państwa członkowskie, służących unormowaniu wykorzystania danych i tym samym ustaleniu dokładnych rozmiarów oraz pełnego kształtu ingerencji, jaką obejmuje ten obowiązek.

125. Zatem, także przy braku wszelkiej dbałości o zupełność, prawodawca Unii miał obowiązek ustalić podstawowe zasady, które powinny regulować definiowanie minimalnych gwarancji normujących dostęp do zgromadzonych i przechowywanych danych oraz ich wykorzystanie, wśród nich zaś można by wymienić poniższe.

126. Ze względu na skalę ingerencji prawodawca Unii powinien był ukształtować opis działalności przestępczej, która może dawać podstawy do uzyskania przez właściwe organy krajowe dostępu do zgromadzonych i przechowywanych danych, w taki sposób, by wprowadzić stopień szczegółowości wykraczający poza sformułowanie „poważne przestępstwa” ( 99 ).

127. Prawodawca Unii powinien był koniecznie ukierunkować reglamentowanie przez państwa członkowskie zezwoleń na dostęp do zgromadzonych i przechowywanych danych, ograniczając go, jeśli nie do samych tylko organów sądowniczych ( 100 ), to przynajmniej do organów niezależnych, albo jeszcze inaczej, poddając każdy wniosek o dostęp kontroli organów sądowniczych lub organów niezależnych, oraz powinien był nakazać zindywidualizowane badanie wniosków o dostęp w celu ograniczenia przekazywania danych do niezbędnego minimum.

128. Można było także oczekiwać od prawodawcy Unii, by przewidział, jako zasadę, możliwość wprowadzenia przez państwa członkowskie wyjątków od dostępu do zatrzymanych danych w niektórych szczególnych okolicznościach lub też zaostrzone warunki dostępu w sytuacjach, gdy taki dostęp może naruszać prawa podstawowe gwarantowane przez kartę, jak na przykład w kontekście prawa do tajemnicy lekarskiej.

129. Prawodawca Unii powinien był ustanowić zasadę, że organy upoważnione do dostępu do danych mają obowiązek, po pierwsze, usunięcia ich, kiedy już przestaną być potrzebne, a po drugie informowania osób, których dane są udostępniane, przynajmniej po fakcie, kiedy już nie będzie żadnego ryzyka, że taka informacja może zaszkodzić skuteczności środków uzasadniających korzystanie z tych danych.

130. Potrzebę różnych gwarancji wymienionych powyżej przykładowo potwierdza okoliczność, iż sam prawodawca Unii już po wydaniu dyrektywy 2006/24, wydał decyzję ramową 2008/977, która zapewnia ochronę danych osobowych przetwarzanych w ramach współpracy policyjnej i sądowej w sprawach karnych, przewidując właśnie tego rodzaju gwarancje, aczkolwiek tylko w ramach przekazywania danych pomiędzy państwami członkowskimi. Decyzja ramowa 2008/977 wyłącza bowiem ze swojego zakresu stosowania wszystko, co nie wchodzi w zakres wymiany informacji pomiędzy państwami członkowskimi, jak wynika w szczególności z motywu 9 decyzji ramowej 2008/977 ( 101 ).

131. Podsumowując, dyrektywa 2006/24 jest w całości niezgodna z art. 52 ust. 1 karty, ponieważ ograniczeniom w korzystaniu z praw podstawowych, jakie zawiera w wyniku nałożonego przez nią obowiązku zatrzymywania danych, nie towarzyszą niezbędne zasady, które mają służyć unormowaniu gwarancji koniecznych do ujęcia w odpowiednie ramy dostępu do tych danych oraz ich wykorzystania.

132. Należy jeszcze w tym względzie zaznaczyć, że okoliczność, iż państwa członkowskie często z własnej inicjatywy i ze względu na wymogi wynikające ze swojego wewnętrznego porządku prawnego wprowadzały gwarancje, jakich sama dyrektywa 2006/24 nie próbuje nakreślić nawet w ogólnym zarysie ( 102 ), zostanie jak najbardziej wzięta pod uwagę – jak zobaczymy poniżej – lecz nie może ona z całą pewnością zwalniać z obowiązku prawodawcę Unii.

2. W przedmiocie proporcjonalności w rozumieniu art. 52 ust. 1 karty

133. Artykuł 52 ust. 1 karty wymaga nie tylko, by każde ograniczenie w korzystaniu z praw podstawowych było „przewidziane ustawą”, lecz także by odbywało się z poszanowaniem w sposób ścisły zasady proporcjonalności. Ten wymóg proporcjonalności – jak już podkreśliłem – nabiera w kontekście karty szczególnej mocy, jakiej nie ma w ramach art. 5 ust. 4 TUE. W istocie bowiem – jak twierdzę – nie chodzi tu o proporcjonalność jako zasadę ogólną działania Unii, lecz chodzi właśnie o proporcjonalność jako przesłankę konstytutywną każdego ograniczenia praw podstawowych.

134. Z tego punktu widzenia dążenie przez instytucje Unii do celu deklarowanego przez dyrektywę 2006/24, a mianowicie zapewnienia dostępności zatrzymanych danych dla celów ścigania poważnych przestępstw, może być dopuszczalne tylko pod warunkiem, że da się pogodzić w szczególności z prawem do poszanowania życia prywatnego ( 103 ).

135. Jednakże trzeba tu dodać, iż ze względu na zbadane powyżej wymogi nakazujące, aby „ustawa” ujęła w ramy wystarczających gwarancji, przynajmniej w formie zasad, dostęp do danych zgromadzonych i przechowywanych przez dostawców usług łączności elektronicznej oraz ich wykorzystanie, proporcjonalność samego zatrzymywania danych nakazanego przez dyrektywę 2006/24 nie wymaga już, poza jednym wyjątkiem, badania dokładniejszego niż to poniżej.

136. Dyrektywa 2006/24 dąży bowiem do celu jak najbardziej uzasadnionego, a mianowicie do zapewnienia dostępności danych zgromadzonych i przechowywanych do celów dochodzenia, wykrywania i ścigania poważnych przestępstw, i przy uwzględnieniu ograniczonej kontroli, jaką Trybunał może sprawować w tym zakresie, może zostać uznana za odpowiednią, a nawet – z zastrzeżeniem gwarancji, jakimi powinna być obwarowana – za konieczną do realizacji tego ostatecznego celu ( 104 ). To właśnie te gwarancje, w szczególności, mogą uzasadniać listę kategorii danych przeznaczonych do zatrzymywania, zawartą w art. 5 dyrektywy 2006/24, zdecydowanie bardzo długą listę.

137. Okoliczność, że istnieje możliwość, by uniknąć oddziaływania dyrektywy 2006/24 poprzez użycie niektórych środków łączności, jest niewątpliwie w stanie znacznie osłabić samą skuteczność systemu zbierania danych o ruchu i lokalizacji, jaki wprowadza dyrektywa, zwłaszcza jeśli chodzi o przestępczość zorganizowaną oraz terroryzm. Jednakże nie pozwala na uznanie, że zbieranie i zatrzymywanie danych samo w sobie jest całkowicie nieprzydatne do realizacji zamierzonych celów. Nie może także pozwolić Trybunałowi na stwierdzenie, że zbieranie i zatrzymywanie danych związanych ze zwykłymi połączeniami elektronicznymi jest na pewno całkowicie pozbawione jakiejkolwiek użyteczności.

138. Natomiast ważne jest, by – przy rozważaniu kwestii konieczności środka – podkreślić w tym miejscu znaczenie przepisów art. 14 dyrektywy 2006/24, który przewiduje dla Komisji obowiązek sporządzenia jednego ( 105 ) sprawozdania ( 106 ) na temat jej wdrożenia na podstawie w szczególności danych statystycznych, które mają być przygotowane przez państwa członkowskie na mocy art. 10 dyrektywy oraz zaproponowania na tej podstawie ewentualnych zmian, jeśli zachodzi potrzeba, zwłaszcza w odniesieniu do listy kategorii danych przeznaczonych do zatrzymywania oraz czasu przechowywania.

139. Podobnie, ze względu na to, że dyrektywa 2006/24 nie zawiera żadnego przepisu przewidującego jej wygaśnięcie („sunset clause”), do obowiązków prawodawcy Unii należy przeprowadzanie okresowo ponownej oceny okoliczności usprawiedliwiających zawarte w dyrektywie daleko posunięte ograniczenie korzystania z prawa do poszanowania życia prywatnego, umożliwiającej mu w ten sposób zbadanie, czy mają one charakter trwały, a w konsekwencji skorygowanie lub wręcz uchylenie tego ograniczenia.

140. Natomiast wyjątek, o którym właśnie wspominałem, dotyczy proporcjonalności art. 6 dyrektywy 2006/24 określającego długość okresu przechowywania zgromadzonych danych.

141. Artykuł 6 dyrektywy 2006/24 ustala jeden z podstawowych parametrów zatrzymywania danych, zharmonizowanego lub w niektórych przypadkach wprowadzonego przez dyrektywę, a mianowicie jego zasięg ograniczony w czasie. Wszystkie zatrzymane dane mają bowiem co do zasady zniknąć z czasem, przy czym zastrzeżono, że nie może stać się inaczej. Natomiast w odróżnieniu od zasady ustalonej w dyrektywie 2002/58, której art. 6 ust. 1 przewiduje usuwanie lub anonimizację przetwarzanych i przechowywanych danych o ruchu, gdy tylko przestaną być potrzebne do transmisji komunikatu ( 107 ), obowiązek spowodowania zniknięcia tych danych nie powstaje w sposób niemal natychmiastowy, lecz jedynie po upływie pewnego czasu. Państwa członkowskie mają obowiązek zagwarantować, żeby przechowywanie zebranych danych trwało przez okres, który w żadnym przypadku nie może być krótszy niż sześć miesięcy oraz, z zastrzeżeniem wyjątku przewidzianego w art. 12 dyrektywy 2006/24, nie może być dłuższy niż dwa lata, przy czym ustalenie konkretnej długości tego okresu należy do ustawodawców krajowych.

142. W wyniku tego zapisu zatrzymywanie danych („data retention”), którym się zajmujemy, przybiera wymiar ciągłości w czasie, który przyczynia się w sposób decydujący do pogłębienia ingerencji w prawo do poszanowania życia prywatnego, jaką zawiera dyrektywa 2006/24, zwłaszcza w zestawieniu z ingerencją wynikającą z zachowywania danych („data preservation”), które zwykło się nazywać „quick freeze” ( 108 ). Idea, że zbiór przedmiotowych danych nie może ulec zniszczeniu przez pewien czas, jest jednym z kluczowych aspektów środka, którego dążeniem jest zapewnienie władzom publicznym większej zdolności reagowania w obliczu niektórych groźnych form przestępczości. Problemem jest natomiast odpowiedź na pytanie, czy sposób ustalenia terminów zastosowany w art. 6 dyrektywy 2006/24, przez określenie dolnej granicy na 6 miesięcy oraz górnej na dwa lata, odpowiada w sposób adekwatny wymogom zasady proporcjonalności.

143. Zatem, gdy już można uznać za pewnik, że środek sam w sobie jest uzasadniony i adekwatny, pozostaje do przeprowadzenia ocena jego konieczności, a konkretnie zbadanie, czy środek w mniejszym stopniu zakłócający korzystanie z przedmiotowych praw podstawowych nie pozwoliłby na osiągnięcie zamierzonego celu. Z tego punktu widzenia pozwolę sobie zaznaczyć, iż nie można poprzestać na stwierdzeniu, że to wyłącznie państwa członkowskie ponoszą odpowiedzialność za ewentualne ustalenie okresu przechowywania wynoszącego aż dwa lata. Od momentu gdy dyrektywa 2006/24 w ramach swojej funkcji harmonizacyjnej ustala górną granicę okresu przechowywania danych na dwa lata, sam ten zapis powinien zostać poddany kontroli w zakresie proporcjonalności. W tej kwestii nie trzeba chyba przypominać, iż nie chodzi tu o odpowiedź na pytanie, czy z punktu widzenia ścigania poważnych przestępstw dłuższy okres przechowywania i dostępności jest bardziej korzystny od krótszego, lecz czy w ramach badania jego proporcjonalności okaże się specjalnie do tego konieczny.

144. W tym względzie należy przypomnieć w pierwszej kolejności, iż gromadzenie danych – takie jak to, o którym mówimy – w nieokreślonych miejscach w cyberprzestrzeni, danych dotyczących zawsze konkretnych i określonych osób, niezależnie od czasu trwania może być postrzegane jako nieprawidłowość. Co do zasady taka „retencja” danych związanych z życiem prywatnym – nawet gdyby nie chodziło o nic więcej – nie powinna nigdy mieć miejsca, a jeśli istnieje, to tylko z uwagi na inne nadrzędne względy życia społecznego. Taka sytuacja może występować jedynie wyjątkowo i w związku z tym nie powinna trwać dłużej, niż jest to konieczne.

145. Okres przechowywania, który można uznać za dopuszczalny w świetle zasady proporcjonalności, nie może być ustalany bez przyznania prawodawcy pewnego marginesu swobody. Nie oznacza to jednak, iż jakakolwiek kontrola proporcjonalności, nawet ostrożna, jest w tym zakresie wyłączona.

146. W tym względzie sądzę, iż warto przypomnieć, że istota ludzka wiedzie swoją egzystencję w czasie z definicji ograniczonym, w którym zbiega się zarówno przeszłość, jej własna historia i ostatecznie jej wspomnienia, jak i teraźniejszość, przeżycia mniej więcej bliskie w czasie, świadomość tego, co właśnie się przeżywa ( 109 ). Chociaż trudno jest ją zdefiniować, przeszłość od teraźniejszości oddziela granica, z pewnością inna dla każdego. To, co się natomiast wydaje niewątpliwe, to możliwość rozróżnienia między postrzeganiem czasu teraźniejszego a postrzeganiem czasu przeszłego. W każdym z tych rodzajów percepcji świadomość własnego życia, zwłaszcza „życia prywatnego”, jako życia „zarejestrowanego” może być ważna. I istnieje pewna różnica zależna od tego, czy to „życie zarejestrowane” jest tym, które postrzegamy jako teraźniejsze, czy też tym, które przeżywamy jako swoją własną historię.

147. Sądzę, że powyższe rozważania mogą rzutować na analizę proporcjonalności art. 6 dyrektywy 2006/24. Skoro zasada przechowywania całej tej dokumentacji osobistej przez pewien okres jest uważana za uprawnioną, pozostaje zastanowić się, czy jest rzeczą nie do uniknięcia, tzn. konieczną, narzucanie jej jednostkom przez okres, który rozciąga się nie tylko na „teraźniejszość”, lecz także na „czas historyczny”.

148. W związku z tym – z pełną świadomością subiektywizmu, który się z tym łączy – można uznać, iż okres przechowywania danych osobowych, „który mierzy się w miesiącach”, trzeba potraktować zdecydowanie inaczej niż okres „mierzony w latach”. Pierwszy odpowiada okresowi, który mieści się w życiu postrzeganym jako teraźniejsze, drugi zaś okresowi z życia, które postrzega się poprzez pryzmat pamięci. Ingerencja w prawo do poszanowania życia prywatnego jest z tego punktu widzenia za każdym razem inna, a konieczność każdej z tych ingerencji powinna dać się uzasadnić.

149. Otóż, o ile konieczność ingerencji w wymiar teraźniejszości wydaje się wystarczająco uzasadniona, o tyle nie widzę żadnego uzasadnienia dla ingerencji, która musiałaby się rozciągać na czas historyczny. Mówiąc bardziej bezpośrednio – przy czym nie przeczę, iż istnieją przestępstwa przygotowywane z dużym wyprzedzeniem – nie znalazłem w różnych stanowiskach, w których broniono proporcjonalności art. 6 dyrektywy 2006/24, żadnego uzasadnienia wystarczającego, aby okres przechowywania danych do ustalenia przez państwa członkowskie miał nie pozostawać w granicach jednego roku. Inaczej mówiąc, z zachowaniem całej ostrożności, jakiej zawsze wymaga ten wymiar kontroli proporcjonalności, żaden argument nie zdołał mnie przekonać o konieczności przedłużenia okresu przechowywania danych powyżej jednego roku.

150. Na koniec należy również podkreślić, że sama dyrektywa 2006/24 dostarcza dodatkowy argument w postaci zawartego w niej systemu przedłużania maksymalnego okresu przechowywania danych. Artykuł 12 wspomnianej dyrektywy daje bowiem państwom członkowskim znajdującym się w szczególnych okolicznościach, tutaj nieokreślonych, możliwość przedłużenia maksymalnego okresu zatrzymania ustalonego na podstawie art. 6. Takie przedłużenie jest jednak możliwe tylko o ograniczony okres, musi być uzasadnione i notyfikowane Komisji, której przysługuje termin sześciu miesięcy na rozstrzygnięcie w przedmiocie planowanych środków, tzn. zbadanie, czy nie stanowią one środka arbitralnej dyskryminacji lub ukrytego ograniczenia w handlu pomiędzy państwami członkowskimi oraz czy nie będą stanowiły przeszkody dla funkcjonowania rynku wewnętrznego.

151. Nawet jeśli Komisja może zgodnie z art. 12 ust. 2 dyrektywy 2006/24 odrzucić takie środki tylko z niewielu powodów, istnienie tego systemu przedłużania utwierdza mnie w przekonaniu, że ustalenie przez art. 6 wspomnianej dyrektywy maksymalnego okresu zatrzymywania danych dochodzącego aż do dwóch lat przy braku szczególnych okoliczności nie jest konieczne i powinno być uznane za niezgodne z wymogami wynikającymi z art. 7 i art. 52 ust. 1 karty.

152. Wynika stąd, iż art. 6 dyrektywy 2006/24 jest niezgodny z art. 7 i art. 52 ust. 1 karty w zakresie, w jakim wymaga od państw członkowskich zagwarantowania, żeby dane określone w jej art. 5 były zatrzymywane przez okres, który może dochodzić do dwóch lat.

D – W przedmiocie pytania trzeciego w sprawie C‑293/12

153. Biorąc pod uwagę odpowiedzi udzielone na dwie pierwsze serie pytań sądów odsyłających, dotyczące ważności dyrektywy 2006/24, nie wydaje się potrzebne udzielanie odpowiedzi na trzecie pytanie prejudycjalne zadane przez High Court w sprawie C‑293/12 na temat obowiązku badania i oceny przez sądy krajowe krajowych przepisów wdrażających dyrektywę w świetle gwarancji określonych w karcie. Niemniej jednak dla informacji dodam, iż według mnie – jak to podkreśliły wszystkie strony, które przedstawiły uwagi w tym zakresie – odpowiedź na to pytanie z całą pewnością, w świetle postanowień oraz w ramach art. 51 ust. 1 karty, powinna być twierdząca ( 110 ).

VI – W przedmiocie skutków w czasie stwierdzonej nieważności

154. W świetle wniosków, do których prowadzą mnie powyższe wywody, pozostaje zbadać konsekwencje czasowe stwierdzenia nieważności dyrektywy 2006/24.

155. Należy przypomnieć w tym względzie, iż w sytuacji, gdy w ramach postępowania wszczętego na podstawie art. 267 TFUE Trybunał stwierdza nieważność aktu przyjętego przez instytucje Unii, jego orzeczenie wywołuje skutek prawny w postaci nakazu podjęcia przez nie środków koniecznych do usunięcia stwierdzonej niezgodności z prawem, ponieważ obowiązek określony w art. 266 TFUE w przypadku orzeczenia o nieważności aktu ma zastosowanie w podobnych sytuacjach przez analogię ( 111 ).

156. Natomiast, jeśli jest to uzasadnione nadrzędnymi względami pewności prawa, Trybunał dysponuje na podstawie art. 264 akapit drugi TFUE, który przez analogię ma zastosowanie również w ramach odesłania prejudycjalnego dotyczącego oceny ważności aktów Unii zgodnie z art. 267 TFUE, uprawnieniem do wskazania w każdym konkretnym przypadku skutków danego aktu prawnego, które powinny być uważane za ostateczne ( 112 ).

157. W przypadkach, w których podstawą stwierdzenia nieważności aktu Unii jest naruszenie praw podstawowych, wyważenie różnych wchodzących w grę interesów musi być przeprowadzone bardzo uważnie. W niniejszym przypadku, z jednej strony, istotne znaczenie i wręcz pilny charakter ostatecznych celów ograniczenia rozpatrywanych praw podstawowych nie budzi wątpliwości. Z drugiej strony, stwierdzone nieprawidłowości mają szczególny charakter. Po pierwsze, dyrektywa 2006/24 jest wadliwa z powodu braku wystarczającego unormowania gwarancji regulujących dostęp do zgromadzonych i przechowywanych danych oraz ich wykorzystanie (jakość ustawy), co można było jednak skorygować w ramach przepisów transponujących wydawanych przez państwa członkowskie. Po drugie, państwa członkowskie generalnie – jak wynika z informacji przekazanych Trybunałowi – z umiarem korzystały ze swoich kompetencji, jeśli chodzi o maksymalną długość okresu przechowywania danych.

158. W tych okolicznościach należy utrzymać w zawieszeniu skutki stwierdzenia nieważności dyrektywy 2006/24 do czasu, aż prawodawca Unii podejmie działania konieczne do usunięcia stwierdzonej nieprawidłowości, z zastrzeżeniem, że działania te powinny nastąpić w rozsądnym terminie.

VII – Wnioski

159. W świetle powyższych wywodów proponuję, by Trybunał na pytania prejudycjalne zadane przez High Court w sprawie C‑293/12 oraz przez Verfassungsgerichtshof w sprawie C‑594/12 udzielił następujących odpowiedzi: 1) Dyrektywa 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE jest w całości niezgodna z art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej, ponieważ ograniczeniom w korzystaniu z praw podstawowych, jakie zawiera w wyniku nałożonego przez nią obowiązku zatrzymywania danych, nie towarzyszą niezbędne zasady, które mają służyć unormowaniu gwarancji koniecznych do ujęcia w odpowiednie ramy dostępu do tych danych oraz ich wykorzystania. 2) Artykuł 6 dyrektywy 2006/24 jest niezgodny z art. 7 i art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej w zakresie, w jakim wymaga od państw członkowskich zagwarantowania, żeby dane określone w jej art. 5 były przechowywane przez okres, którego górna granica jest ustalona na dwa lata.

( 1 ) Język oryginału: francuski.

( 2 ) Chodzi mianowicie o dyrektywę Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniającą dyrektywę 2002/58/WE (Dz.U. L 105, s. 54).

( 3 ) Zwanej dalej „kartą”.

( 4 ) Należy zauważyć, iż transpozycja dyrektywy 2006/24 była powodem wielu skarg o stwierdzenie uchybienia zobowiązaniom państwa członkowskiego oraz że jedna skarga wniesiona na podstawie art. 260 ust. 3 TFUE jest wciąż zawisła (sprawa C‑329/12 Komisja przeciwko Niemcom).

( 5 ) Dz.U. L 281, s. 31 – wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355. W zakresie sporów powstałych w związku z transpozycją tej dyrektywy zob. wyroki: z dnia 9 marca 2010 r. w sprawie C-518/07 Komisja przeciwko Niemcom, Zb.Orz. s. I-1885; z dnia 16 października 2012 r. w sprawie C‑614/10 Komisja przeciwko Austrii; zob. także więcej na ten temat – wyroki: z dnia 20 maja 2003 r. w sprawach połączonych C-465/00, C-138/01 i C-139/01 Österreichischer Rundfunk i in., Rec. s. I-4989; z dnia 6 listopada 2003 r. w sprawie C-101/01 Lindqvist, Rec. s. I-12971; wyroki z dnia 16 grudnia 2008 r.: w sprawie C-524/06 Huber, Zb.Orz. s. I-9705; w sprawie C-73/07 Satakunnan Markkinapörssi i Satamedia, Zb.Orz. s. I-9831; wyroki: z dnia 7 maja 2009 r. w sprawie C-553/07 Rijkeboer, Zb.Orz. s. I-3889; z dnia 9 listopada 2010 r. w sprawach połączonych C-92/09 i C-93/09 Volker und Markus Schecke i Eifert, Zb.Orz. s. I-11063; wyroki z dnia 24 listopada 2011 r.: w sprawie C-70/10 Scarlet Extended, Zb.Orz. s. I-11959; w sprawach połączonych C-468/10 i C-469/10 ASNEF i FECEMD, Zb.Orz. s. I-12181, a także wyrok z dnia 30 maja 2013 r. w sprawie C‑342/12 Worten.

( 6 ) Dz.U. L 201, s. 37 – wyd. spec. w jęz. polskim, rozdz. 13, t. 29, s. 514. W zakresie sporów powstałych w związku z transpozycją tej dyrektywy zob. wyroki z dnia 28 kwietnia 2005 r.: w sprawie C‑375/04 Komisja przeciwko Luksemburgowi; w sprawie C‑376/04 Komisja przeciwko Belgii; a także wyrok z dnia 1 czerwca 2006 r. w sprawie C‑475/04 Komisja przeciwko Grecji; zob. także więcej na ten temat – wyrok z dnia 29 stycznia 2008 r. w sprawie C-275/06 Promusicae, Zb.Orz. s. I-271; postanowienie z dnia 19 lutego 2009 r. w sprawie C-557/07 LSG-Gesellschaft zur Wahrnehmung von Leistungsschutzrechten, Zb.Orz. s. I-1227; wyroki: z dnia 5 maja 2011 r. w sprawie C-543/09 Deutsche Telekom, Zb.Orz. s. I-3441; ww. wyrok w sprawie Scarlet Extended; wyroki: z dnia 19 kwietnia 2012 r. w sprawie C‑461/10 Bonnier Audio i in.; z dnia 22 listopada 2012 r. w sprawie C‑119/12 Probst.

( 7 ) Zwana dalej „Criminal Justice Act 2005”.

( 8 ) BGBl I, 165/1999, w wersji ogłoszonej w BGBl. I, 112/2011, zwanej dalej „DSG”.

( 9 ) Bundesgesetz, mit dem das Telekommunikationsgesetz 2003 – TKG 2003 geändert wird, BGBl I, 27/2011.

( 10 ) Zwanej dalej „TKG 2003”.

( 11 ) Zobacz na temat brzmienia tego artykułu część III.2 załącznika I.

( 12 ) Zwana dalej „DRI”.

( 13 ) Zwanej dalej „EKPC”.

( 14 ) Zwanej dalej „B-VG”.

( 15 ) Zwana dalej „IHRC”.

( 16 ) Zwanego dalej „EIOD”.

( 17 ) Sprawa C-301/06, Zb.Orz. s. I-593.

( 18 ) Zobacz art. 1 ust. 1 dyrektywy 95/46.

( 19 ) Zobacz art. 1 ust. 2 dyrektywy 95/46.

( 20 ) Zobacz art. 10 i 11 dyrektywy 95/46.

( 21 ) Zobacz art. 12 dyrektywy 95/46.

( 22 ) Zobacz art. 14 dyrektywy 95/46.

( 23 ) Zobacz art. 22 dyrektywy 95/46.

( 24 ) Dyrektywa Parlamentu Europejskiego i Rady z dnia 15 grudnia 1997 r. dotycząca przetwarzania danych osobowych oraz ochrony prywatności w sektorze telekomunikacyjnym (Dz.U. L 24, s. 1).

( 25 ) Zgodnie z brzmieniem art. 1 ust. 2 dyrektywy 2002/58.

( 26 ) Zobacz art. 1 ust. 1 dyrektywy 2002/58.

( 27 ) Zobacz w szczególności art. 5 ust. 2 oraz art. 15 ust. 1 dyrektywy 2002/58.

( 28 ) Zobacz art. 5 ust. 1 dyrektywy 2002/58.

( 29 ) Wyróżnienie moje.

( 30 ) Zobacz w szczególności sześć pierwszych motywów dyrektywy 2006/24.

( 31 ) W dalszej części wywodów dla wygody językowej będę używać po prostu sformułowania „dostawcy usług łączności elektronicznej”.

( 32 ) Zobacz motyw 21 oraz art. 1 ust. 1 dyrektywy 2006/24.

( 33 ) Zobacz motywy 4 i 5 dyrektywy 2006/24.

( 34 ) W art. 3 ust. 1 dyrektywy 2006/24 uściślono, że przewidziany w tym artykule obowiązek zatrzymywania danych istnieje na zasadzie odstępstwa od art. 5, 6 i 9 dyrektywy 2002/58.

( 35 ) Zobacz pkt 84.

( 36 ) Zgodnie z wyrażeniem użytym przez Trybunał w pkt 80 wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie.

( 37 ) Zobacz pkt 80–81.

( 38 ) Zobacz pkt 72.

( 39 ) Zobacz pkt 63, 65–69.

( 40 ) Zobacz pkt 64, 70.

( 41 ) Chodziło mianowicie o zapobieżenie pogłębianiu się rozbieżności pomiędzy poszczególnymi uregulowaniami krajowymi; zob. ww. wyrok w sprawie Irlandia przeciwko Parlamentowi i Radzie, pkt 64, 70.

( 42 ) Wyróżnienie moje.

( 43 ) Motyw 5 dyrektywy 2006/24 wskazuje, że przepisy krajowe „różnią się od siebie w znacznym stopniu”.

( 44 ) Wyróżnienie moje.

( 45 ) Zobacz poniżej w pkt 72 wywody, które poświęcam temu wrażeniu.

( 46 ) Według tzw. doktryny „chilling effect” (efekt odstraszający). US Supreme Court, Wiemann v. Updegraff, 344 US 183 (1952); wyrok ETPC z dnia 25 października 2011 r. w sprawie Altuğ Taner Akçam przeciwko Turcji, skarga nr 27520/07, § 81; zob. w szczególności The Chilling Effect in Constitutional Law, Columbia Law Review, 1969, volume 69, nr 5, s. 808.

( 47 ) Decyzja ramowa Rady z dnia 27 listopada 2008 r. w sprawie ochrony danych osobowych przetwarzanych w ramach współpracy policyjnej i sądowej w sprawach karnych (Dz.U. L 350, s. 60).

( 48 ) Jak już miałem okazję to wyjaśnić w pkt 74–80 w opinii przedstawionej przeze mnie w postępowaniu, w którym zapadł ww. wyrok w sprawie Scarlet Extended.

( 49 ) Na temat tego pojęcia zob. w szczególności W. Hoffmann-Riem, Informationelle Selbstbestimmung in der Informationsgesellschaft – auf dem Wege zu einem neuen Konzept des Datenschutzes, Archiv des öffentlichen Rechts, 1998, Band 123, s. 513; a także Y. Poullet, A. Rouvroy, Le droit à l’autodétermination informationnelle et la valeur du développement personnel. Une réévaluation de l’importance de la vie privée pour la démocratie, w: État de droit et virtualité, K. Benyekhlef, P. Trudel, éd., Montréal, Thémis 2009, s. 158.

( 50 ) Zobacz motyw 15 dyrektywy 2006/24.

( 51 ) Zobacz motyw 20 dyrektywy 2006/24.

( 52 ) Podobnie pkt 51 opinii rzecznik generalnej J. Kokott przedstawionej w postępowaniu, w którym zapadł ww. wyrok w sprawie Promusicae.

( 53 ) Wyżej wymieniony wyrok w sprawach połączonych Volker und Markus Schecke i Eifert. Ten związek jest również wyraźnie przedstawiony w wyjaśnieniach dotyczących karty; zob. wyjaśnienie odnoszące się do art. 8 o ochronie danych osobowych, gdzie powiedziano, iż podstawą art. 8 karty jest między innymi art. 8 EKPC określający prawo do życia prywatnego.

( 54 ) Ten związek sprawia w szczególności, iż orzecznictwo Europejskiego Trybunału Praw Człowieka w zakresie wykładni art. 8 EKPC, określającego prawo do poszanowania życia prywatnego i rodzinnego, związane z ochroną danych osobowych jest zgodnie z art. 52 ust. 3 karty również w pełni przydatne dla wykładni art. 8 karty.

( 55 ) Wyżej wymieniony wyrok w sprawach połączonych Volker und Markus Schecke i Eifert, pkt 52.

( 56 ) Europejski Trybunał Praw Człowieka wielokrotnie orzekał, że nie ma „ani możliwości, ani potrzeby, by starać się stworzyć wyczerpującą definicję pojęcia życia prywatnego”; zob. w szczególności wyrok z dnia 16 grudnia 1992 r. w sprawie Niemietz przeciwko Niemcom, skarga nr 13710/88, seria A, nr 251-B, § 29. W każdym razie chodzi tu o „szerokie” pojęcie; zob. wyrok z dnia 19 kwietnia 2002 r. w sprawie Pretty przeciwko Zjednoczonemu Królestwu. Na temat pojęcia życia prywatnego zob. w szczególności J. Rubenfeld, The Right of Privacy, Harvard Law Review, 1989, Vol. 102, s. 737; O. De Schutter, La vie privée entre droit de la personnalité et liberté, Revue trimestrielle des droits de l’homme, 1999, s. 827, P. Wachsmann, Le droit au secret de la vie privé, w: Le droit au respect de la vie privée au sens de la Convention européenne des droits de l’homme, F. Sudre, Bruylant 2005, s. 119; i F. Rigaux, La protection de la vie privée en Europe, w: Le droit commun de l’Europe et l’avenir de l’enseignement juridique, B. Witte, C. Forder, éd., Metro, Kluwer 1992, s. 185.

( 57 ) Zobacz motyw 9 dyrektywy 2006/24.

( 58 ) Zobacz ww. wyrok w sprawie Irlandia przeciwko Parlamentowi i Radzie, pkt 57, oraz wywody, które poświęcam temu wyrokowi poniżej.

( 59 ) Zobacz w szczególności wyrok z dnia 26 marca 1987 r. w sprawie Leander przeciwko Szwecji, seria A, nr 116, s. 22, § 48.

( 60 ) Zobacz w szczególności wyrok z dnia 16 lutego 2000 r. w sprawie Amann przeciwko Szwajcarii, skarga nr 27798/95, EKPC 2000-II, §§ 65, 69, 80.

( 61 ) Wyróżnienie moje.

( 62 ) Zobacz motyw 13, art. 1 ust. 2 i art. 5 ust. 2.

( 63 ) Zobacz podobnie M. Nettesheim, Grundrechtsschutz der Privatheit, w: Der Schutzauftrag des Rechts, Veröffentlichungen der Vereinigung der Deutschen Staatsrechtslehrer, 2011, Band 70, s. 7.

( 64 ) Na temat ingerencji wynikającej z samego tylko posiadania informacji zgromadzonych zresztą przed wejściem w życie europejskiej konwencji praw człowieka zob. wyrok ETPC z dnia 4 maja 2000 r. w sprawie Rotaru przeciwko Rumunii, skarga nr 28341/95, EKPC 2000-V, § 46.

( 65 ) Motyw 13 dyrektywy 2006/24 precyzuje, iż obowiązek zatrzymywania odnosi się jedynie do „danych, które są dostępne”, co oznacza, że w przypadku danych związanych z internetową pocztą elektroniczną oraz telefonią internetową obowiązek ten „może zostać ograniczony do własnych usług dostawców [operatorów] lub dostawców sieci”.

( 66 ) Według wyrażenia użytego przez Bundesverfassungsgericht w orzeczeniu z dnia 2 marca 2010 r., 1 BvR 256/08, 1BvR 263/08 oraz 1BvR 586/08, http://www.bundesverfassungsgericht.de/entscheidungen/rs20100302_1bvr025608.html.

( 67 ) Na temat uwzględnienia efektu mnożnikowego nowoczesnych technologii informacyjnych, a zwłaszcza Internetu, zob. w szczególności wyroki ETPC z dnia 13 stycznia 2011 r. w sprawie Mouvement Raëlien Suisse przeciwko Szwajcarii, skarga nr 16354/06, § 54 i nast.; z dnia 16 lutego 2010 r. w sprawie Akdaş przeciwko Turcji, skarga nr 41056/04, § 28; z dnia 16 lipca 2009 r. w sprawie Willem przeciwko Francji, skarga nr 10883/05, §§ 36, 38.

( 68 ) Zobacz art. 3 ust. 1 dyrektywy 2006/24 definiujący obowiązek zatrzymywania danych.

( 69 ) Zobacz art. 8 dyrektywy 2006/24, zatytułowany „Wymogi dotyczące przechowywania zatrzymywanych danych”.

( 70 ) Jak podkreślił Bundesverfassungsgericht w ww. orzeczeniu z dnia 2 marca 2010 r. (§ 214).

( 71 ) Podobnie J. Bast, A. von Bogdandy, w: Grabitz, Hilf, Nettesheim, Das Recht der Europäischen Union, Beck, 50. Lieferung 2013, Artikel 5; R. Streinz, w: R. Streinz, ed., EUV/AEUV, Beck, 2. Aufl. 2012, Artikel 5.

( 72 ) Zobacz art. 4 ust. 2 lit. a) TFUE.

( 73 ) Zobacz wyroki z dnia 29 marca 2012 r.: w sprawie C‑504/09 P Komisja przeciwko Polsce, pkt 79; w sprawie C‑505/09 P Komisja przeciwko Estonii, pkt 81.

( 74 ) Wniosek dotyczący dyrektywy Parlamentu Europejskiego i Rady w sprawie zatrzymywania przetwarzanych danych w związku ze świadczeniem publicznych usług łączności elektronicznej (2002 r.), zmieniającej dyrektywę 2002/58/WE [COM(2005) 438 wersja ostateczna].

( 75 ) Zobacz w szczególności wyroki: z dnia 6 grudnia 2005 r. w sprawach połączonych C-453/03, C-11/04, C-12/04 i C-194/04 ABNA i in., Zb.Orz. s. I-10423, pkt 68; z dnia 8 czerwca 2010 r. w sprawie C-58/08 Vodafone i in., Zb.Orz. s. I-4999 pkt 51; ww. wyrok w sprawach połączonych Volker und Markus Schecke i Eifert, pkt 74.

( 76 ) Określenie przyjęte przez Trybunał w ww. wyroku w sprawie Irlandia przeciwko Parlamentowi i Radzie, pkt 85.

( 77 ) Zobacz w szczególności wyrok z dnia 14 maja 2009 r. w sprawie C-34/08 Azienda Agricola Disarò Antonio i in., Zb.Orz. s. I-4023, pkt 76–83.

( 78 ) Ibidem, pkt 76 i przytoczone tam orzecznictwo.

( 79 ) Zobacz w szczególności wyrok z dnia 19 listopada 1998 r. w sprawie C-150/94 Zjednoczone Królestwo przeciwko Radzie, Rec. s. I-7235.

( 80 ) Zobacz w szczególności wyroki: z dnia 1 lutego 2007 r. w sprawie C-266/05 P Sison przeciwko Radzie, Zb.Orz. s. I-1233, pkt 32–34; z dnia 16 grudnia 2008 r. w sprawie C-127/07 Arcelor Atlantique i Lorraine i in., Zb.Orz. s. I-9895, pkt 57; ww. wyrok w sprawie Vodafone i in., pkt 52.

( 81 ) Zobacz ww. wyrok w sprawie Vodafone i in., pkt 53.

( 82 ) Zobacz w szczególności wyroki: z dnia 12 lipca 2001 r. w sprawie C-189/01 Jippes i in., Rec. s. I-5689, pkt 82, 83; z dnia 10 grudnia 2002 r. w sprawie C-491/01 British American Tobacco (Investments) i Imperial Tobacco, Rec. s. I-11453, pkt 123; z dnia 12 lipca 2005 r. w sprawach połączonych C-154/04 i C-155/04 Alliance for Natural Health i in., Zb.Orz. s. I-6451, pkt 52; wyrok Trybunału z dnia 28 lipca 2011 r. w sprawie C-309/10 Agrana Zucker, Zb.Orz. s. I-7333, pkt 84.

( 83 ) Zobacz motyw 6 dyrektywy 2006/24.

( 84 ) Zobacz motyw 6 dyrektywy 2006/24. Zobacz także sprawozdanie Komisji dla Rady i Parlamentu Europejskiego z oceny dyrektywy w sprawie zatrzymywania danych (dyrektywa 2006/24/WE) z dnia 18 kwietnia 2011 r. [COM(2011) 225 wersja ostateczna, pkt 3.2, zwane dalej „sprawozdaniem z oceny dyrektywy 2006/24”].

( 85 ) Zobacz ww. wyrok w sprawie Irlandia przeciwko Parlamentowi i Radzie, pkt 85.

( 86 ) Do tej pory – co należy podkreślić – Trybunał nie miał okazji wypowiedzieć się ani na temat treści wymogów minimalnych związanych z „jakością ustawy”, ani na temat obowiązków w tym zakresie ciążących odpowiednio na instytucjach oraz państwach członkowskich Unii.

( 87 ) Zobacz na ten temat pkt 88–100 mojej opinii przedstawionej w sprawie Scarlet Extended.

( 88 ) Jak to zrobił Bundesverfassunsgericht w ww. orzeczeniu z dnia 2 marca 2010 r., §§ 197–203.

( 89 ) Podobnie zob. także ww. wyrok w sprawie Irlandia przeciwko Parlamentowi i Radzie.

( 90 ) Zobacz motyw 54 i art. 13 ust. 1 i 2 dyrektywy 95/46 oraz art. 15 ust. 1 dyrektywy 2002/58.

(