Povzetek mnenja evropskega nadzornika za varstvo podatkov o dveh predlogih sklepov Sveta o pooblastitvi držav članic, da v interesu Evropske unije podpišejo in ratificirajo Drugi dodatni protokol h Konvenciji o kibernetski kriminaliteti, ki obravnava okrepljeno sodelovanje in razkritje elektronskih dokazov

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP www.edps.europa.eu)

(2022/C 182/04)

Komisija je 25. novembra 2021 v skladu s členom 16, členom 82(1) ter členom 218(5) in (6) Pogodbe o delovanju Evropske unije sprejela dva predloga sklepov Sveta, enega o pooblastitvi držav članic, da v interesu Evropske unije podpišejo, in drugega, da ratificirajo Drugi dodatni protokol k Budimpeški konvenciji o kibernetski kriminaliteti. Priloga k predlogama vsebuje smernice Sveta za pridržke, izjave in sporočila ob podpisu in ratifikaciji protokola.

Preiskovanje in pregon kaznivih dejanj je legitimen cilj, mednarodno sodelovanje, vključno z izmenjavo informacij, pa je zdaj pomembnejše kot kdaj koli prej. ENVP že dalj časa opozarja, da EU potrebuje vzdržne dogovore za izmenjavo osebnih podatkov s tretjimi državami za namene kazenskega pregona, ki bodo v celoti usklajeni s pogodbami EU in Listino o temeljnih pravicah. Tudi pri preiskovanju notranjih zadev se organi kazenskega pregona vse pogosteje znajdejo v „čezmejnih primerih“, ker se informacije hranijo v elektronski obliki v tretji državi. Vse večji obseg zahtevkov in nestanovitnost digitalnih informacij sta obremenila obstoječe modele sodelovanja, kot so pogodbe o medsebojni pravni pomoči. ENVP razume, da organi tekmujejo s časom, ko želijo pridobiti podatke za svoje preiskave, in podpira prizadevanja za oblikovanje novih modelov sodelovanja, tudi v okviru sodelovanja s tretjimi državami.

Cilj protokola je izboljšati tradicionalne kanale sodelovanja in vključiti določbe za krepitev neposrednega sodelovanja med organi kazenskega pregona in ponudniki storitev v čezmejnem okviru. Protokol naj bi zlasti okrepil sodelovanje na področju kibernetske kriminalitete in zbiranje elektronskih dokazov o kaznivih dejanjih za namen posebnih kazenskih preiskavah ali postopkov.

ENVP priznava, da v večstranskem mednarodnem sporazumu ni mogoče v celoti ponoviti terminologije in opredelitev pojmov iz prava EU, vendar poudarja, da je treba za posameznike zagotoviti ustrezne zaščitne ukrepe, da se zagotovi popolna skladnost z zakonodajo EU.

Načela varstva podatkov, vključno s pošteno obdelavo, točnostjo in ustreznostjo informacij, neodvisnim nadzorom in individualnimi pravicami posameznikov, so enako pomembna za javne organe kot za zasebna podjetja. Ta temeljna načela so še toliko bolj pomembna glede na občutljivost podatkov, potrebnih za kazenske preiskave.

Cilj tega mnenja je zagotoviti objektivno analizo in konstruktivne nasvete institucijam EU, medtem ko Svet obravnava predloga Komisije za podpis in ratificiranje protokola in preden bo Evropski parlament pozvan k odobritvi sklenitve protokola.

ENVP pozdravlja, da v končno besedilo protokola ni bila vključena nobena določba o neposrednem dostopu organov kazenskega pregona do podatkov. Pozdravlja tudi, da protokol vsebuje namenski člen o varstvu osebnih podatkov. Poleg tega pozdravlja številne zaščitne ukrepe, ki so bili vključeni v protokol.

ENVP razume, da je potrjeno, da naj bi se krovni sporazum med EU in ZDA uporabljal za prenose iz EU v Združene države Amerike v okviru določb protokola, ki se nanašajo na sodelovanje med organi. ENVP obžaluje tak izid.

Če bi se sprejel sklep Sveta o pooblastitvi držav članic, da v interesu Unije podpišejo oziroma ratificirajo protokol, ENVP pozdravlja predloge Komisije, da naj države članice v interesu Unije podajo izjavo, obvestilo in sporočilo na podlagi člena 7(2)(b) in člena (5)(a) in (e) protokola. Ti predlogi zagotavljajo, da se od ponudnikov storitev v Uniji lahko zahteva prenos osebnih podatkov le na podlagi nalogov, ki jih v tretji državi prosilki, pogodbenici protokola, izda tožilec ali drug pravosodni organ oziroma so izdani pod njegovim nadzorom ali pod neodvisnim nadzorom in pod nadzorom pristojnega organa v zaprošeni državi članici.

ENVP pozdravlja tudi predlog, naj države članice podajo izjavo v skladu s členom 8(4) protokola (o sodelovanju med pristojnimi organi za izvršljivost nalogov za predložitev informacij o naročnikih in podatkov o prometu), da se zagotovi, da so za izvršljivost nalogov v skladu s to določbo potrebne dodatne podporne informacije.

Poleg tega ima ENVP naslednja priporočila v zvezi s prihodnjimi sklepi Sveta, če bodo države članice v interesu Unije podpisale in ratificirale protokol:

— nekateri podatki iz kategorije informacij o naročnikih v smislu Konvencije o kibernetski kriminaliteti lahko v skladu z zakonodajo EU štejejo kot podatki o prometu, kar pomeni velik poseg v temeljne pravice posameznika, na katerega se nanašajo osebni podatki, dostop do njih pa se lahko upraviči samo z bojem proti težjim oblikam kriminala. ENVP zato državam članicam priporoča, naj si v nasprotju s predlogom Komisije, pridržijo pravico, da ne uporabijo člena 7 protokola o razkritju podatkov o naročnikih s strani ponudnikov storitev neposredno pristojnim organom druge države v zvezi z nekaterimi vrstami številk za dostop v skladu s členom 7(9)(b);

— države članice bi morale v skladu s členom 7(5)(e) protokola imenovati pravosodni ali drug neodvisni organ;

— predlagano sporočilo držav članic organom Združenih držav ob podpisu ali ob deponiranju listine o ratifikaciji, sprejetju ali odobritvi v zvezi s krovnim sporazumom EU-ZDA bi bilo treba pojasniti;

— predlagani premislek v zvezi z drugimi sporazumi ali ureditvami v skladu s členom 14(1)(c) protokola, ki bi lahko nadomestili določbo protokola o varstvu podatkov (člen 14), bi bilo treba spremeniti.

1. UVOD IN OZADJE

1. Odbor za Konvencijo o kibernetski kriminaliteti pri Svetu Evrope je junija 2017 odobril mandat za pripravo Drugega dodatnega protokola h Konvenciji o kibernetski kriminaliteti med septembrom 2017 in decembrom 2019 ( 1 )

2. Komisija je 5. februarja 2019 sprejela Priporočilo ( 2 ) za sklep Sveta za odobritev sodelovanja Komisije v imenu Evropske unije v pogajanjih o Drugem dodatnem protokolu (v nadaljnjem besedilu: protokol) ( 3 ) h Konvenciji Sveta Evrope o okrepitvi mednarodnega sodelovanja na področju kibernetske kriminalitete in elektronskih dokazov (v nadaljnjem besedilu: Konvencija o kibernetski kriminaliteti) (CETS št. 185) ( 4 )

3. Evropski nadzornik za varstvo podatkov (v nadaljnjem besedilu: ENVP) je 2. aprila 2019 sprejel mnenje o priporočilu ( 5 ) . S sklepom z dne 6. junija 2019 je Svet Evropske unije pooblastil Komisijo, da v imenu Evropske unije sodeluje v pogajanjih o protokolu ( 6 )

4. Odbor za Konvencijo o kibernetski kriminaliteti je mandat dvakrat podaljšal, in sicer do decembra 2020 in nato do maja 2021. Protokol je med septembrom 2017 in majem 2021 pripravil Odbor za Konvencijo o kibernetski kriminaliteti. V tem obdobju je potekalo več kot 90 plenarnih sej Odbora za Konvencijo o kibernetski kriminaliteti, skupine in podskupin za pripravo osnutka protokola ter šest krogov posvetovanj z deležniki.

5. Evropski odbor za varstvo podatkov je objavil prispevke k javnim posvetovanjem o osnutku protokola 13. novembra 2019, 2. februarja 2021 in 4. maja 2021 ( 7 )

6. Evropski parlament je v svoji resoluciji iz leta 2021 o strategiji EU za kibernetsko varnost za digitalno desetletje priznal, da je treba delo v zvezi s protokolom zaključiti ( 8 )

7. Odbor ministrov Sveta Evrope je 17. novembra 2021 protokol sprejel. Na voljo za podpis naj bi bil maja 2022. Njegove spremembe lahko predlaga samo pogodbenica protokola, sprejeti pa jih mora Odbor ministrov. Spremembe protokola začnejo veljati, ko jih sprejmejo vse pogodbenice ( 9 )

8. Evropska unija ne more postati pogodbenica protokola, saj je pristop tako k protokolu kot h Konvenciji Sveta Evrope o kibernetski kriminaliteti odprt samo državam ( 10 )

9. Komisija je 25. novembra 2021 na podlagi člena 16, člena 82(1) ter člena 218(5) in (6) Pogodbe o delovanju Evropske unije (PDEU) sprejela dva predloga sklepov Sveta ( 11 )

10. V skladu s tema predlogoma ( 12 ) protokol spada na področje, ki ga večinoma urejajo skupna pravila v smislu člena 3(2) PDEU. S tema predlogoma želi Komisija pridobiti dva sklepa Sveta o pooblastitvi držav članic, da v interesu Evropske unije podpišejo oziroma ratificirajo protokol. Oba predloga spremlja priloga (v nadaljnjem besedilu: priloga), ki vsebuje navodila za države članice glede njihovih pridržkov, izjav, uradnih obvestil ali sporočil in drugih premislekov, ki jih izrazijo ob podpisu in ratificiranju protokola v interesu Evropske unije. Predlogu, ki se nanaša na ratifikacijo, je priloženo tudi besedilo protokola.

11. Če bi Svet pooblastil države članice za podpis sporazuma v interesu Unije, bi moral za sklenitev sporazuma po pridobitvi soglasja Evropskega parlamenta sprejeti sklep o pooblastitvi držav članic, da v interesu Unije ratificirajo sporazum. Protokol bo začel veljati prvi dan v mesecu po izteku trimesečnega roka od datuma, ko pet pogodbenic Konvencije o kibernetski kriminaliteti v skladu z določbami člena 16(1) in 2 protokola izrazi svoje soglasje, da jih protokol zavezuje ( 13 )

12. Evropska komisija se je o obeh predlogih po njunem sprejetju posvetovala z ENVP v skladu s členom 42(1) Uredbe (EU) 2018/1725 ( 14 ) . Sklic na to mnenje vsebujeta uvodni izjavi 12 in 13 predlogov o ratifikaciji oziroma podpisu protokola. ENVP želi poudariti, da to mnenje ne posega v morebitne dodatne pripombe, ki bi jih lahko podal na podlagi nadaljnjih razpoložljivih informacij.

7. SKLEPNE UGOTOVITVE

129. Glede na širjenje kibernetske kriminalitete in vse večji pomen elektronskih dokazov za kazenske preiskave ENVP ob upoštevanju zapletenosti pridobivanja takih dokazov v jurisdikciji zunaj držav članic razume, da morajo organi kazenskega pregona hitro in učinkovito pridobiti elektronske dokaze, da se lahko učinkovito bojujejo proti kriminalu.

130. ENVP zato podpira iskanje mednarodnega odziva z ustreznimi zaščitnimi ukrepi na obstoječa vprašanja v tem okviru.

131. Cilj protokola je izboljšati tradicionalne kanale sodelovanja in zagotoviti neposredno sodelovanje med organi kazenskega pregona in ponudniki storitev v čezmejnem okviru. Protokol ne vsebuje določb o neposrednem dostopu organov kazenskega pregona do podatkov, kar ENVP pozdravlja.

132. ENVP priznava, da v večstranskem mednarodnem sporazumu ni mogoče v celoti ponoviti terminologije in opredelitev pojmov prava EU, vendar poudarja, da je treba za posameznike zagotoviti ustrezne zaščitne ukrepe, da bi se zagotovila popolna skladnost s pravom EU.

133. ENVP je zadovoljen, da protokol vsebuje namenski člen o varstvu osebnih podatkov. Pozdravlja tudi številne zaščitne ukrepe, ki so bili vključeni v protokol.

134. ENVP razume, da je potrjeno, da naj bi se krovni sporazum uporabljal za prenose iz EU v Združene države Amerike v okviru določb protokola, ki se nanašajo na sodelovanje med organi. ENVP obžaluje tak izid.

135. Če bi sprejeli Sklep Sveta o pooblastitvi držav članic, da v interesu Unije podpišejo oziroma ratificirajo protokol, ENVP pozdravlja predloge Komisije, da naj države članice v interesu Unije podajo izjavo, obvestilo in sporočilo na podlagi člena 7(2)(b) ter člena (5)(a) in (e) protokola. Ti predlogi zagotavljajo, da se od ponudnikov storitev v Uniji lahko zahteva prenos osebnih podatkov samo na podlagi nalogov, ki jih v tretji državi prosilki, pogodbenici protokola, izda tožilec ali drug pravosodni organ oziroma so izdani pod njegovim nadzorom ali pod neodvisnim nadzorom in pod nadzorom pristojnega organa v zaprošeni državi članici.

136. Pozdravlja tudi predlog, naj države članice podajo izjavo v skladu s členom 8(4) protokola (o sodelovanju med pristojnimi organi za izvršljivost nalogov za predložitev informacij o naročnikih in podatkov o prometu), da se zagotovi, da so za izvršljivost nalogov v skladu s to določbo potrebne dodatne podporne informacije.

137. ENVP ima naslednja priporočila v zvezi s prihodnjimi sklepi Sveta, če bodo države članice v interesu Unije podpisale in ratificirale protokol: — nekateri podatki iz kategorije informacij o naročnikih v smislu Konvencije o kibernetski kriminaliteti lahko v skladu z zakonodajo EU štejejo kot podatki o prometu, kar pomeni velik poseg v temeljne pravice posameznika, na katerega se nanašajo osebni podatki, dostop do njih pa je mogoče upravičiti samo z bojem proti težjim oblikam kriminala. ENVP zato državam članicam priporoča, naj si v nasprotju s predlogoma Komisije pridržijo pravico, da ne uporabijo člena 7 Protokola o razkritju podatkov o naročnikih s strani ponudnikov storitev neposredno pristojnim organom druge države v zvezi z nekaterimi vrstami številk za dostop v skladu s členom 7(9)(b); — države članice bi morale v skladu s členom 7(5)(e) protokola imenovati pravosodni ali drug neodvisni organ; — predlagano sporočilo držav članic organom Združenih držav ob podpisu ali ob deponiranju listine o ratifikaciji, sprejetju ali odobritvi v zvezi s krovnim sporazumom EU-ZDA bi bilo treba pojasniti; — predlagani premislek v zvezi z drugimi sporazumi ali ureditvami v skladu s členom 14(1)(c) protokola, ki bi lahko nadomestili določbo protokola o varstvu podatkov (člen 14), bi bilo treba spremeniti.

138. ENVP na koncu poudarja, da bi moral imeti tožilec države članice in zato tudi Evropsko javno tožilstvo možnost predložitve naloga ali prenosa podatkov na podlagi naloga druge pogodbenice v skladu s členom 8 samo, če sta prepričana, da je ta nalog pregledal pravosodni organ ali neodvisni organ v smislu sodne prakse Sodišča Evropske unije.

139. ENVP bo Komisiji, Svetu in Evropskemu parlamentu še naprej na voljo za svetovanje med postopkom. To mnenje ne posega v morebitne dodatne pripombe, ki bi jih ENVP lahko dal na podlagi nadaljnjih razpoložljivih informacij.

Bruselj, 20. januar 2022 Wojciech Rafał WIEWIÓROWSKI

(1) https://rm.coe.int/t-cy-terms-of-reference-protocol/1680a03690

(2) Priporočilo za sklep Sveta o pooblastitvi sodelovanja v pogajanjih o drugem Dodatnem protokolu h Konvenciji Sveta Evrope o kibernetski kriminaliteti (CETS št. 185), COM(2019) 71 final.

(3) https://rm.coe.int/1680a49dab (začasna različica, kot jo je odobril Odbor ministrov).

(4) https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680081561

(5) Mnenje ENVP 3/2019 glede sodelovanja v pogajanjih glede Drugega dodatnega protokola h Konvenciji o kibernetski kriminaliteti iz Budimpešte z dne 2. aprila 2019.

(6) Sklep Sveta, sprejet 6. junija 2019, o pooblastitvi Evropske komisije, da v imenu Evropske unije sodeluje v pogajanjih o drugem Dodatnem protokolu h Konvenciji Sveta Evrope o kibernetski kriminaliteti (CETS št. 185).

(7) „Prispevek EOVP k posvetovanju o osnutku drugega dodatnega protokola h Konvenciji Sveta Evrope o kibernetski kriminaliteti (Budimpeška konvencija) z dne 13. novembra 2019“; „Izjava 02/2021 o novih osnutkih določb drugega dodatnega protokola h Konvenciji Sveta Evrope o kibernetski kriminaliteti (Budimpeška konvencija), kakor je bila sprejeta 2. februarja 2021“; „Evropski odbor za varstvo podatkov, Prispevek k šestemu krogu posvetovanj o osnutku drugega dodatnega protokola h Konvenciji Sveta Evrope o kibernetski kriminaliteti z dne 4. maja 2021“.

(8) Resolucija Evropskega parlamenta z dne 10. junija 2021 o strategiji EU za kibernetsko varnost za digitalno desetletje.

(9) Člen 21 protokola.

(10) Uvodna izjava 10 predlogov za sklep Sveta o pooblastitvi držav članic, da v interesu Evropske unije podpišejo in ratificirajo Drugi dodatni protokol h Konvenciji o kibernetski kriminaliteti, ki obravnava okrepljeno sodelovanje in razkritje elektronskih dokazov.

(11) Predlog sklepa Sveta o pooblastitvi držav članic, da v interesu Evropske unije podpišejo Drugi dodatni protokol h Konvenciji o kibernetski kriminaliteti, ki obravnava okrepljeno sodelovanje in razkritje elektronskih dokazov (COM(2021)718 final).

Predlog sklepa Sveta o pooblastitvi držav članic, da v interesu Evropske unije ratificirajo Drugi dodatni protokol h Konvenciji o kibernetski kriminaliteti, ki obravnava okrepljeno sodelovanje in razkritje elektronskih dokazov (COM(2021)719 final).

V skladu z uvodnima izjavama 14 in 15 predloga o podpisu ter uvodnima izjavama 13 in 14 predloga o ratifikaciji ima Irska možnost sodelovati pri sprejetju in uporabi sklepa, Danska pa ne sodeluje pri sprejetju tega sklepa, ki zato zanjo ni zavezujoč in se v njej ne uporablja.

(12) Uvodna izjava 3 predlogov.

(13) Člen 16(1): ‛[...][pogodbenice Konvencije] lahko svoje soglasje, da jih ta protokol zavezuje, izrazijo s::

a. podpisom brez pridržkov glede ratifikacije, sprejema ali odobritve, ali

b. s podpisom ob pridržku glede ratifikacije, sprejema ali odobritve, čemur sledi ratifikacija, sprejem ali odobritev.

2. Listine o ratifikaciji, sprejetju ali odobritvi se deponirajo pri generalnem sekretarju Sveta Evrope.

(14) UL L 295, 21.11.2018, str. 39.