Na podlagi predlogov skupine za dokazno gradivo v oblaku je Odbor za Konvencijo o kibernetski kriminaliteti sprejel več priporočil, da bi se, med drugim s pogajanji o Drugem dodatnem protokolu h Konvenciji o kibernetski kriminaliteti, ki obravnava okrepljeno sodelovanje, obravnaval izziv tega, da ponudniki storitev v tujih jurisdikcijah vse pogosteje hranijo elektronske dokaze v zvezi s kibernetsko kriminaliteto in drugimi kršitvami, medtem ko pooblastila glede kazenskega pregona ostajajo ozemeljsko omejena. Odbor za Konvencijo o kibernetski kriminaliteti je junija 2017 odobril mandat za pripravo Drugega dodatnega protokola med septembrom 2017 in decembrom 2019. Zaradi potrebe po več časa za dokončanje razprav in zaradi omejitev, ki jih je povzročila pandemija COVID-19 v letih 2020 in 2021, je Odbor za Konvencijo o kibernetski kriminaliteti mandat po tem dvakrat podaljšal, in sicer do decembra 2020, nato pa še do maja 2021.

Cilj „Budimpeške“ konvencije Sveta Evrope o kibernetski kriminaliteti (CETS št. 185) (v nadaljnjem besedilu: Konvencija) je olajšati boj proti kaznivim dejanjem, ki izkoriščajo računalniška omrežja. Konvencija (1) vsebuje določbe, ki usklajujejo nacionalne kazenskopravne elemente kaznivih dejanj in s tem povezane določbe na področju kibernetske kriminalitete, (2) določa nacionalna pooblastila kazenskega procesnega prava, potrebna za preiskovanje in pregon takih kaznivih dejanj in drugih kršitev, storjenih prek računalniškega sistema, ali kadar so dokazi v elektronski obliki ter (3) je namenjena vzpostavitvi hitre in učinkovite ureditve mednarodnega sodelovanja.

Prizadevanja za izboljšanje čezmejnega dostopa do elektronskih dokazov za kazenske preiskave potekajo po vsem svetu, na nacionalni ravni, na ravni Evropske unije in na mednarodni ravni, tudi prek Protokola. Pomembno je na mednarodni ravni zagotoviti združljiva pravila, da bi se pri zahtevah za čezmejni dostop do elektronskih dokazov izognili koliziji zakonov.

Elektronski dokazi so za kazenske preiskave vse pomembnejši. Komisija ocenjuje, da organi za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj in pravosodni organi danes potrebujejo dostop do elektronskih dokazov v 85 % kazenskih preiskav, vključno s kibernetsko kriminaliteto. Dokazi o morebitnih kaznivih dejanjih se vse pogosteje hranijo v elektronski obliki pri ponudnikih storitev v tujih jurisdikcijah, za učinkovit odziv kazenskega pravosodja pa so potrebni ustrezni ukrepi za pridobitev takih dokazov, da se ohrani pravna država.

Kibernetska kriminaliteta še naprej predstavlja znaten izziv za našo družbo. Ne glede na prizadevanja organov za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj ter pravosodnih organov se kibernetski napadi, vključno z izsiljevalskim programjem, množijo in postajajo vse bolj zapleteni. Zlasti zaradi brezmejnosti interneta so preiskave kibernetske kriminalitete skoraj vedno čezmejne narave, zato je potrebno tesno sodelovanje med organi v različnih državah.

Na tej podlagi so v členu 14(2) do (15) določeni temeljna načela varstva podatkov, vključno z vezanostjo na namen, pravno podlago, kakovostjo podatkov in pravili, ki se uporabljajo za obdelavo posebnih vrst podatkov, obveznosti, ki se uporabljajo za upravljavce, vključno s hrambo, vodenjem evidenc, varnostjo in nadaljnjim prenosom, izvršljive individualne pravice, vključno z obveščanjem, dostopom, popravki in avtomatiziranim odločanjem, neodvisen in učinkovit nadzor s strani enega ali več organov ter upravno in sodno varstvo. Zaščitni ukrepi se nanašajo na vse oblike sodelovanja, določene v Protokolu, po potrebi s prilagoditvami za obravnavo posebnih značilnosti neposrednega sodelovanja (npr. v okviru uradnega obveščanja o kršitvah). Uveljavljanje nekaterih pravic posameznikov se lahko odloži, omeji ali zavrne, kadar je to potrebno in sorazmerno za doseganje pomembnih ciljev javnega interesa, zlasti za preprečitev tveganja za tekoče preiskave na področju kazenskega pregona, kar je tudi v skladu s pravom Unije.

Protokol sledi pristopu, ki temelji na pravicah, s posebnimi pogoji in zaščitnimi ukrepi, od katerih so nekateri vključeni v posebne ukrepe sodelovanja in v poglavje III Protokola. Člen 13 Protokola od pogodbenic zahteva, da zagotovijo, da za pooblastila in postopke velja ustrezna raven varstva temeljnih pravic, kar v skladu s členom 15 Konvencije zagotavlja uporabo načela sorazmernosti.

Protokol tudi priznava, da so za učinkovito čezmejno sodelovanje za namene kazenskega pravosodja, tudi med organi javnega sektorja in subjekti zasebnega sektorja, potrebni učinkoviti pogoji in strogi zaščitni ukrepi za varstvo temeljnih pravic. V ta namen Protokol sledi pristopu, ki temelji na pravicah, ter določa pogoje in zaščitne ukrepe v skladu z mednarodnimi instrumenti o človekovih pravicah, tudi s Konvencijo Sveta Evrope o varstvu človekovih pravic in temeljnih svoboščin iz leta 1950. Ker elektronski dokazi pogosto zadevajo osebne podatke, Protokol vključuje tudi stroge zaščitne ukrepe za varstvo zasebnosti in osebnih podatkov.

Cilj Protokola je okrepiti sodelovanje na področju kibernetske kriminalitete in zbiranja dokazov o kaznivih dejanjih v elektronski obliki za namene posameznih kazenskih preiskav ali postopkov. Protokol priznava potrebo po okrepljenem in učinkovitejšem sodelovanju med državami in zasebnim sektorjem ter več jasnosti ali pravne varnosti za ponudnike storitev in druge subjekte glede okoliščin, v katerih se lahko odzovejo na zahteve organov kazenskega pravosodja drugih pogodbenic za razkritje elektronskih dokazov.

Člen 14 Protokola bi bilo treba razlagati tudi v povezavi s členom 23 Protokola. Člen 23 krepi učinkovitost zaščitnih ukrepov iz Protokola, saj določa, da Odbor za Konvencijo o kibernetski kriminaliteti oceni izvajanje in uporabo ukrepov, ki se v nacionalni zakonodaji sprejmejo za učinkovanje določb Protokola. Zlasti člen 23(3) izrecno priznava, da se bo izvajanje člena 14 s strani pogodbenic ocenilo, ko bo deset pogodbenic Konvencije izrazilo soglasje, da jih Protokol zavezuje. Kot nadaljnji zaščitni ukrep lahko pogodbenica v skladu s členom 14(15), kadar ima tehtne dokaze, da druga pogodbenica sistematično ali bistveno krši zaščitne ukrepe iz Protokola, po posvetovanju ustavi prenos osebnih podatkov navedeni pogodbenici (kar se ne zahteva v nujnih primerih). Vsi osebni podatki, preneseni pred ustavitvijo, se še naprej obravnavajo v skladu s Protokolom. Nazadnje, glede na večstranski značaj Protokola člen 14(1)(b) in (c) Protokola pogodbenicam v njihovih dvostranskih odnosih omogoča, da se pod določenimi pogoji dogovorijo o alternativnih načinih za zagotovitev varstva osebnih podatkov, prenesenih v skladu s Protokolom. Medtem ko se zaščitni ukrepi iz odstavkov člena 14(2) do (15) samodejno uporabljajo za pogodbenice, ki prejemajo osebne podatke, se lahko na podlagi člena 14(1)(b) na ta okvir sklicujejo tudi pogodbenice, ki jih vzajemno zavezuje mednarodni sporazum o vzpostavitvi celovitega okvira za varstvo osebnih podatkov v skladu z veljavnimi zahtevami zakonodaje zadevnih pogodbenic. To se na primer nanaša na Konvencijo 108+ (za tiste pogodbenice, ki dovoljujejo prenose podatkov drugim pogodbenicam na podlagi navedene konvencije) ali krovni sporazum EU-ZDA (v okviru njegovega področja uporabe, tj. za prenos osebnih podatkov med organi in, v povezavi s posebnim dogovorom o prenosu med ZDA in EU, za neposredno sodelovanje med organi in ponudniki storitev). Poleg tega lahko pogodbenici na podlagi člena 14(1)(c) vzajemno določita, da prenos osebnih podatkov poteka na podlagi drugih sporazumov ali ureditev med zadevnimi pogodbenicami. Države članice EU se lahko na tak alternativni sporazum ali ureditve za prenose podatkov na podlagi Protokola sklicujejo le, če so taki prenosi skladni z zahtevami prava Unije o varstvu podatkov, in sicer poglavja V Direktive (EU) 2016/680 (Direktiva o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj ) ter (za neposredno sodelovanje med organi in ponudniki storitev na podlagi členov 6 in 7 Protokola) poglavja V Uredbe (EU) 2016/679 (splošna uredba o varstvu podatkov).

2.2.4.Končne določbe

Poglavje IV Protokola določa končne določbe. Med drugim člen 15(1)(a) zagotavlja, da lahko pogodbenice vzpostavijo svoje odnose o zadevah, določenih v Protokolu, sicer v skladu z drugim odstavkom člena 39(2) Konvencije. Člen 15(1)(b) zagotavlja, da lahko države članice EU, ki so pogodbenice Protokola, v medsebojnih odnosih še naprej uporabljajo pravo Unije. Člen 15(2) določa tudi, da se za Protokol uporablja člen 39(3) Konvencije.

V členu 16(3) je navedeno, da bo Protokol začel veljati, ko bo pet pogodbenic Konvencije izrazilo soglasje, da jih Protokol zavezuje.

Člen 19(1) določa, da lahko pogodbenice uveljavljajo pridržke v zvezi s členom 7(9)(a) in (b), členom 8(13) in členom 17. Člen 19(2) določa, da lahko pogodbenice podajo izjave v zvezi s členom 7(2)(b) in členom 7(8), členom 8(11), členom 9(1)(b) in členom 9(5), členom 10(9), členom 12(3) ter členom 18(2). Člen 19(3) določa, da pogodbenica predloži izjave, uradna obvestila ali sporočila, opredeljena v členu 7(5)(a) in (e), členu 8(4) in členu 8(10)(a) in (b), členu 14(7)(c) in členu 14(10)(b) ter členu 17(2).

Člen 23(1) zagotavlja podlago za posvetovanja med pogodbenicami, tudi prek Odbora za Konvencijo o kibernetski kriminaliteti, v skladu s členom 46 Konvencije. Člen 23(2) zagotavlja tudi podlago za oceno uporabe in izvajanja določb Protokola. Člen 23(3) zagotavlja, da se ocenjevanje uporabe in izvajanja člena 14 o varstvu podatkov začne, ko deset pogodbenic izrazi soglasje, da jih Protokol zavezuje.

2.3.Pravo in politika Unije na tem področju

Področje, ki ga ureja Protokol, večinoma urejajo skupna pravila na podlagi člena 82(1) in člena 16 PDEU. Sedanji pravni okvir Evropske unije vključuje zlasti instrumente na področju kazenskega pregona in pravosodnega sodelovanja v kazenskih zadevah, kot so Direktiva 2014/41/EU o evropskem preiskovalnem nalogu v kazenskih zadevah, Konvencija o medsebojni pravni pomoči v kazenskih zadevah med državami članicami Evropske unije in Okvirni sklep Sveta 2002/465/PNZ o skupnih preiskovalnih enotah. Navzven je Evropska unija sklenila številne dvostranske sporazume med Unijo in tretjimi državami, kot so sporazumi o medsebojni pravni pomoči med Evropsko unijo in Združenimi državami Amerike, med Evropsko unijo in Japonsko ter medEvropsko unijo ter Norveško in Islandijo. Sedanji pravni okvir Evropske unije vključuje tudi Uredbo (EU) 2017/1939 o izvajanju okrepljenega sodelovanja v zvezi z ustanovitvijo Evropskega javnega tožilstva (EJT). Države članice, ki so vključene v okrepljeno sodelovanje, bi morale zagotoviti, da lahko EJT v obsegu izvajanja svojih pristojnosti, kot je določeno v členih 22, 23 in 25 Uredbe (EU) 2017/1939, zahteva sodelovanje v skladu s Protokolom na enak način kot nacionalna tožilstva navedenih držav članic. Ti instrumenti in sporazumi se nanašajo zlasti na člene 8, 9, 10, 11 in 12 Protokola.

Poleg tega je Unija sprejela več direktiv, ki krepijo procesne pravice osumljenih in obdolženih oseb. Ti instrumenti se nanašajo zlasti na člene 6, 7, 8, 9, 10, 11, 12 in 13 Protokola. Poseben sklop zaščitnih ukrepov se nanaša na varstvo osebnih podatkov, ki je temeljna pravica, zapisana v Pogodbah EU in Listini Evropske unije o temeljnih pravicah. Osebni podatki se lahko obdelujejo le v skladu z Uredbo (EU) 2016/679 (splošna uredba o varstvu podatkov) n Direktivo (EU) 2016/680 (Direktiva o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj). Temeljna pravica vsakega posameznika do spoštovanja njegovega zasebnega in družinskega življenja, stanovanja in komunikacij vključuje spoštovanje zasebnosti komunikacij kot bistven element. Elektronski komunikacijski podatki se lahko obdelujejo le v skladu z Direktivo 2002/58/ES (direktiva o zasebnosti in elektronskih komunikacijah). Ti instrumenti se nanašajo zlasti na člen 14 Protokola.

Odstavki člen 14(2) do (15) Protokola določa ustrezne zaščitne ukrepe za varstvo podatkov v smislu pravil Unije o varstvu podatkov, zlasti člena 46 Splošne uredbe o varstvu podatkov in člena 37 Direktive o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj ter zadevne sodne prakse Sodišča Evropske unije. Države članice bi morale v skladu z zahtevami prava Unije in za zagotovitev učinkovitosti zaščitnih ukrepov iz člena 14 Protokola poskrbeti za uradno obveščanje posameznikov, katerih podatki so bili preneseni, ob upoštevanju nekaterih omejitev, npr. da se ne ogrozijo tekoče preiskave. Člen 14(11)(c) Protokola je zagotavlja podlago za to, da države članice izpolnijo to zahtevo. Skladnost člena 14(1) Protokola s pravili Unije o varstvu podatkov zahteva tudi, da države članice preučijo naslednje alternativne možnosti za zagotovitev ustreznega varstva osebnih podatkov, prenesenih na podlagi Protokola. V zvezi z drugimi mednarodnimi sporazumi, ki vzpostavljajo celovit okvir za varstvo osebnih podatkov v skladu z veljavnimi zahtevami zakonodaje zadevnih pogodbenic, bi morale države članice v skladu s členom 14(1)(b) upoštevati, da je treba za neposredno sodelovanje krovni sporazum med EU in ZDA dopolniti z dodatnimi zaščitnimi ukrepi, ki jih je treba določiti v posebnem dogovoru o prenosu med ZDA in EU/njenimi državami članicami, ki upoštevajo edinstvene zahteve prenosa elektronskih dokazov neposredno s strani ponudnikov storitev in ne med organi. Poleg tega bi morale države članice v skladu s členom 14(1)(b) Protokola upoštevati, da za države članice EU, ki so pogodbenice Konvencije št. 108+, ta konvencija sama po sebi ne zagotavlja ustrezne podlage za čezmejne prenose podatkov na podlagi Protokola drugim pogodbenicam navedene konvencije. V zvezi s tem bi morale upoštevati člena 14(1), zadnji stavek, Konvencije 108+. Nazadnje bi morale države članice glede člena 14(1)(c) upoštevati, da se lahko opirajo na take druge sporazume ali ureditve le, če je Evropska komisija za zadevno tretjo državo sprejela sklep o ustreznosti v skladu s členom 45 splošne uredbe o varstvu podatkov (EU) 2016/679 ali členom 36 Direktive o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj (EU) 2016/680, ki zajema zadevne prenose podatkov, ali če tak drug sporazum ali ureditev zagotavlja ustrezne zaščitne ukrepe za varstvo podatkov v skladu s členom 46 splošne uredbe o varstvu podatkov ali členom 37(1)(a) direktive o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj.

Upoštevati je treba ne le trenutno veljavno pravo Unije na zadevnem področju, temveč tudi njegov prihodnji razvoj, če je tega mogoče predvideti v času analize. Področje, ki ga zajema Protokol, je neposredno povezano z predvidljivim prihodnjim razvojem prava Unije. V zvezi s tem je treba opozoriti na predloge Komisije o čezmejnem dostopu do elektronskih dokazov iz aprila 2018.

Komisija je med sodelovanjem v pogajanjih v imenu Unije zagotovila, da je Protokol v celoti skladen s pravom Unije in obveznostmi držav članic, ki izhajajo iz njega. Komisija je zlasti zagotovila, da določbe Protokola državam članicam omogočajo spoštovanje temeljnih pravic, svoboščin in splošnih načel prava Unije, kot so določeni v Pogodbah EU in Listini o temeljnih pravicah, vključno s sorazmernostjo, procesnimi pravicami, domnevo nedolžnosti in pravico do obrambe oseb, ki so v kazenskem postopku, ter zasebnostjo in varstvom osebnih podatkov in elektronskih komunikacijskih podatkov, kadar se taki podatki obdelujejo, vključno s prenosi organom kazenskega pregona v državah zunaj Evropske unije, ter vsemi obveznostmi organov za preprečevanje, odkrivanje in preiskovanje kaznivih dejanj in pravosodnih organov v zvezi s tem. Komisija je upoštevala tudi mnenje Evropskega nadzornika za varstvo podatkov in Evropskega odbora za varstvo podatkov.

Poleg tega je Komisija zagotovila, da so določbe Protokola in predlogi Komisije o elektronskih dokazih združljivi, tudi zato, ker se je osnutek zakonodaje razvijal med razpravami s sozakonodajalcema, Protokol pa ne povzroča kolizije zakonov. Komisija je zlasti zagotovila, da Protokol vključuje ustrezne zaščitne ukrepe za varstvo podatkov in zasebnosti, ki ponudnikom storitev iz EU omogočajo, da izpolnjujejo svoje obveznosti v skladu z zakonodajo EU o varstvu podatkov in zasebnosti, kolikor Protokol zagotavlja pravno podlago za prenose podatkov v odziv na naloge ali zahteve, ki jih izda organ, ki ni iz pogodbenice Protokola, ki je država članica EU, in ki od upravljavca ali obdelovalca EU zahteva razkritje osebnih podatkov ali elektronskih komunikacijskih podatkov.

2.4.Pridržki, izjave, obvestila in sporočila ter drugi premisleki

Protokol zagotavlja podlago za pogodbenice, da uveljavljajo nekatere pridržke in podajo izjave, uradna obvestila ali sporočila v zvezi z nekaterimi členi. Države članice bi morale sprejeti enoten pristop do nekaterih pridržkov in izjav, uradnih obvestil in sporočil, kakor je določeno v Prilogi k temu sklepu. Za zagotovitev skladnosti izvajanja Protokola s pravom Unije bi morale države članice EU v zvezi s temi pridržki in izjavami zavzeti spodaj navedeno stališče. Kadar Protokol zagotavlja podlago za druge pridržke, izjave, uradna obvestila ali sporočila, ta predlog pooblašča države članice, da preučijo in podajo svoje pridržke, izjave, uradna obvestila ali sporočila.