CELEX: 62020CC0339
Language: ro
Date: 2021-11-18
Title: Concluziile avocatului general M. Campos Sánchez-Bordona prezentate la 18 noiembrie 2021.###

Ediție provizorie
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL MANUEL CAMPOS SÁNCHEZ‑BORDONA
prezentate la 18 noiembrie 2021(1)

Cauzele conexate C‑339/20 și C‑397/20

VD (C‑339/20)

SR (C‑397/20)

[cerere de decizie preliminară formulată de Cour de cassation (Curtea de Casație) (Franța)]
„Întrebare preliminară – Utilizări abuzive ale informațiilor privilegiate și manipulări ale pieței – Directiva 2003/6/CE – Articolul 12 alineatul (2) literele (a) și (d) – Regulamentul (UE) nr. 596/2014 – Articolul 23 alineatul (2) literele (g) și (h) – Directiva 2002/58/CE – Articolul 15 alineatul (1) – Competențe de supraveghere și de investigare ale autorităților competente – Posibilitatea autorităților competente de a solicita înregistrările telefonice și înregistrările schimburilor de date existente – Reglementare națională care impune operatorilor de comunicații electronice păstrarea temporară, dar generalizată, a datelor de conectare”

1.        Cererile de decizie preliminară conexate în această procedură sunt strâns legate de cele formulate în cauzele C‑793/19, SpaceNet, C‑794/19, Telekom Deutschland, și C‑140/20, Commissioner of the Garda Síochána și alții, cu privire la care prezentăm concluzii la aceeași dată(2).

2.        În Concluziile prezentate în cauzele SpaceNet și Telekom Deutschland și, respectiv, Commissioner of the Garda Síochána expunem motivele care ne determină să sugerăm Curții să ofere Bundesverwaltungsgericht (Curtea Administrativă Federală, Germania) și Supreme Court (Curtea Supremă, Irlanda) un răspuns în linia jurisprudenței privind Directiva 2002/58/CE(3), care a fost „recapitulată” în Hotărârea La Quadrature du Net(4).

3.        Cu toate acestea, este cert că cele două cereri de decizie preliminară formulate de Cour de Cassation (Curtea de Casație, Franța) nu vizează în mod direct Directiva 2002/58, ci Directiva 2003/6/CE(5) și Regulamentul (UE) nr. 596/2014(6).

4.        Or, problema în discuție în aceste două proceduri este, în esență, aceeași ca în celelalte trimiteri preliminare, și anume dacă statele membre pot impune obligația de a păstra în mod generalizat și nediferențiat datele de transfer din domeniul comunicațiilor electronice(7).

5.        Prin urmare, deși, cu această ocazie, intră în joc Directiva 2003/6 și Regulamentul nr. 596/2014 (care vizează combaterea operațiunilor ce pot fi calificate drept abuz de piață)(8), considerăm că în acest context este aplicabilă jurisprudența Curții sintetizată în Hotărârea La Quadrature du Net.
I.      Cadrul normativ

A.      Dreptul Uniunii

1.      Directiva 2002/58

6.        Conform articolului 1 („Sfera de aplicare și scopul”):
„(1)      Prezenta directivă prevede armonizarea dispozițiilor  naționale, lucru necesar în vederea asigurării unui nivel echivalent de protecție a drepturilor și a libertăților fundamentale, în special a dreptului la confidențialitate  și la respectarea vieții private, în domeniul prelucrării de date cu caracter personal în sectorul comunicațiilor electronice și a asigurării liberei circulații a acestor date și a serviciilor și echipamentelor de comunicații electronice în interiorul [Uniunii].
(2)      Prevederile prezentei directive precizează și completează Directiva 95/46/CE [a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10)] în scopurile menționate la alineatul (1). Mai mult, acestea sunt menite a asigura protecția intereselor legitime ale abonaților persoane juridice.
(3)      Prezenta directivă nu se aplică activităților care nu sunt cuprinse în domeniul de aplicare al [TFUE], cum sunt cele menționate la titlurile V și VI ale Tratatului privind Uniunea Europeană, și în orice caz activităților legate de siguranța publică, de apărare, de siguranța statului (inclusiv de bunăstarea economică a acestuia, dacă activitățile respective sunt legate de chestiuni de siguranța statului) și activităților statului în domeniul legii penale.”

7.        Articolul 2 („Definiții”) prevede:
„Cu excepția cazurile în care se precizează altfel, se aplică definițiile din Directiva 95/46/CE și din Directiva 2002/21/CE a Parlamentului European și a Consiliului din 7 martie 2002 privind cadrul comun de reglementare a rețelelor și serviciilor de comunicații electronice (Directiva‑cadru) [JO 2002, L 108, p. 33, Ediție specială, 13/vol. 35, p. 195].
Se aplică de asemenea următoarele definiții:
[…]
(b)      «date de transfer» înseamnă orice date prelucrate în scopul transmiterii comunicației printr‑o rețea de comunicații electronice sau în vederea facturării;
(c)      «date de localizare» înseamnă orice date prelucrate într‑o rețea de comunicații electronice care indică poziția geografică a echipamentului terminal al unui utilizator al unui serviciu de comunicații electronice destinat publicului;
[…]”.

8.        Articolul 15 alineatul (1) precizează:
„Statele membre pot adopta măsuri legislative pentru a restrânge sfera de aplicare a drepturilor și obligațiilor prevăzute la articolul 5, articolul 6, articolul 8 alineatele (1), (2), (3) și (4) și articolul 9 ale prezentei directive, în cazul în care restrângerea lor constituie o măsură necesară, corespunzătoare și proporțională în cadrul unei societăți democratice pentru a proteja securitatea națională (de exemplu siguranța statului), apărarea, siguranța publică sau pentru prevenirea, investigarea, detectarea și urmărirea penală a unor fapte penale sau a folosirii neautorizate a sistemelor de comunicații electronice, în conformitate cu articolul 13 alineatul (1) al Directivei 95/46/CE. În acest scop, statele membre pot adopta, inter alia, măsuri legislative care să permită reținerea de date, pe perioadă limitată, pentru motivele arătate anterior în acest alineat. Toate măsurile menționate în acest alineat trebuie să fie conforme cu principiile generale ale legislației comunitare, inclusiv cu cele menționate la articolul 6 alineatele (1) și (2) al Tratatului privind Uniunea Europeană.”
2.      Directiva 2003/6

9.        Conform articolului 11:
„Fără a aduce atingere competențelor autorităților judiciare, fiecare stat membru desemnează o autoritate administrativă unică, cu competențe în asigurarea aplicării dispozițiilor adoptate în conformitate cu prezenta directivă.
[…]”.

10.      În temeiul articolului 12:
„(1)      Autoritatea competentă este investită cu toate competențele de supraveghere și de investigație necesare exercitării funcțiilor sale. […]
(2)      Fără a aduce atingere articolului 6 alineatul (7), competențele menționate la alineatul (1) din prezentul articol sunt exercitate în conformitate cu legislația internă și includ cel puțin următoarele drepturi:
(a)      dreptul de acces la orice document sub orice formă și dreptul de a primi o copie;
[…]
(d)      dreptul de a cere înregistrările telefonice și schimburile de date existente;
[…]”.
3.      Regulamentul nr. 596/2014

11.      Regulamentul conține următoarele considerente:
„(1)      O piață internă autentică a serviciilor financiare este esențială pentru creșterea economică și crearea de locuri de muncă în Uniune.
(2)      O piață financiară integrată, eficientă și transparentă necesită integritatea pieței. Funcționarea fără probleme a piețelor titlurilor de valoare și încrederea publică în piețe sunt condiții prealabile pentru creștere economică și bunăstare. Abuzul de piață periclitează integritatea piețelor financiare și încrederea publică în titlurile de valoare și instrumentele financiare derivate.
[…]
(62)      Un pachet de instrumente, competențe și resurse concrete cu care să fie învestite autoritățile competente din fiecare stat membru garantează eficacitatea măsurilor de supraveghere. În consecință, prezentul regulament prevede în special un set minim de competențe de supraveghere și investigare cu care autoritățile competente ale statelor membre ar trebui învestite în temeiul dreptului intern. Respectivele competențe ar trebui exercitate, în cazul în care dreptul intern o prevede, în baza unei cereri depuse la autoritățile judiciare competente. […]
[…]
(65)      Înregistrările existente ale convorbirilor telefonice și ale datelor de transfer de care dispun societățile de investiții, instituțiile de credit sau instituțiile financiare care execută și documentează execuțiile tranzacțiilor, precum și înregistrările telefonice și ale datelor de transfer existente de la operatorii de telecomunicații reprezintă probe cruciale, uneori chiar singurele probe, care ajută la detectarea și dovedirea utilizării abuzive a informațiilor privilegiate și a manipulărilor pieței. Aceste înregistrări pot stabili identitatea unei persoane responsabile de diseminarea informațiilor false sau înșelătoare, pot demonstra că anumite persoane s‑au aflat în contact la un anumit moment sau că există o relație între două sau mai multe persoane. Prin urmare, autoritățile competente ar trebui să poată solicita înregistrările existente ale convorbirilor telefonice, ale comunicațiilor electronice și ale datelor de transfer de care dispune o societate de investiții, o instituție de credit sau o instituție financiară în conformitate cu Directiva 2014/65/UE. Accesul la înregistrările cu schimburile de date și convorbirile telefonice este necesar pentru a furniza probe și piste de anchetă privind posibile utilizări abuzive ale informațiilor privilegiate sau manipulări ale pieței și, prin urmare, pentru detectarea și aplicarea de sancțiuni pentru abuzul de piață. […] Accesul la înregistrările convorbirilor telefonice și ale datelor de transfer deținute de operatorii de telecomunicații nu include și accesul la conținutul comunicațiilor prin voce prin telefon.
(66)      Prezentul regulament specifică un set minim de atribuții pe care autoritățile competente ar trebui să le aibă, însă aceste atribuții trebuie exercitate în cadrul unui sistem complet în dreptul intern, care garantează respectarea drepturilor fundamentale, inclusiv dreptul la viață privată. În cadrul exercitării acestor competențe, care poate presupune interferențe serioase cu dreptul la respectarea vieții private și de familie, a domiciliului și a secretului comunicațiilor, statele membre ar trebui să instituie mijloace adecvate și eficace de protecție împotriva oricărui abuz, de exemplu în cazul în care este necesară o obligație de a obține o autorizație prealabilă din partea autorităților judiciare ale statului membru respectiv. Statele membre ar trebui să permită autorităților competente să exercite astfel de atribuții care presupun intruziune în măsura în care acest lucru este necesar pentru investigarea corespunzătoare a cazurilor grave, când nu există mijloace echivalente pentru obținerea eficientă a aceluiași rezultat.
[…]
(77)      Prezentul regulament respectă drepturile fundamentale și principiile recunoscute de Carta drepturilor fundamentale a Uniunii Europene (carta). În consecință, prezentul regulament ar trebui interpretat și aplicat cu respectarea acestor drepturi și principii. […]
[…]”.

12.      Articolul 1 („Obiect”) prevede:
„Prezentul regulament stabilește un cadru comun de reglementare a utilizării abuzive a informațiilor privilegiate, a divulgării neautorizate a informațiilor privilegiate și a manipulării pieței (abuz de piață), precum și măsuri pentru prevenirea abuzului de piață pentru a asigura integritatea piețelor financiare în Uniune și pentru a consolida protecția și încrederea investitorilor în aceste piețe.”

13.      Articolul 3 („Definiții”) arată la punctul 27 că, în sensul său, „înregistrările datelor de transfer” înseamnă „înregistrările datelor de transfer astfel cum sunt definite la articolul 2 al doilea paragraf litera (b) din Directiva 2002/58 […]”.

14.      Articolul 22 („Autoritățile competente”) prevede:
„Fără a aduce atingere competențelor autorităților judiciare, fiecare stat membru desemnează o autoritate competentă administrativă unică, în sensul prezentului regulament […]”

15.      Articolul 23 („Atribuțiile autorităților competente”) arată:
„[…]
(2)      Pentru a‑și îndeplini atribuțiile în conformitate cu prezentul regulament, autoritățile competente dispun, conform dreptului intern, cel puțin de următoarele competențe de supraveghere și de investigație:
(a)      au acces la orice documente și date sub orice formă și dreptul de a primi sau de a face o copie a acestora;
[…]
(g)      să solicite înregistrări existente ale convorbirilor telefonice, ale comunicațiilor electronice și ale datelor de transfer deținute de societățile de investiții, instituțiile de creditare sau instituțiile financiare;
(h)      să solicite, în măsura în care dreptul intern permite acest lucru, înregistrări existente ale datelor de transfer deținute de operatorii de telecomunicații, dacă există bănuieli rezonabile privind o infracțiune și dacă aceste înregistrări ar putea fi concludente pentru investigarea unei încălcări a articolului 14 litera (a) sau (b) sau a articolului 15;
[…]
(3)      Statele membre se asigură că sunt în vigoare măsurile corespunzătoare astfel încât autoritățile competente să fie învestite cu toate competențele necesare de supraveghere și de investigare pentru a‑și îndeplini atribuțiile.
[…]
(4)      O persoană care pune informații la dispoziția autorității competente în conformitate cu prezentul regulament nu este considerată vinovată de încălcarea niciunei restricții privind divulgarea de informații impusă prin contract sau prin acte cu putere de lege și acte administrative și nu are niciun fel de obligații legale cu privire la notificarea respectivă.”

16.      Conform articolului 28 („Protecția datelor”):
„În ceea ce privește procedurile de prelucrare a datelor cu caracter personal în cadrul prezentului regulament, autoritățile competente își îndeplinesc sarcinile prevăzute de prezentul regulament în conformitate cu dreptul intern, regulamentele și actele administrative de transpunere a Directivei 95/46/CE. În ceea ce privește procedurile de prelucrare a datelor cu caracter personal de către [Autoritatea Europeană pentru Valori Mobiliare și Piețe (ESMA)]  în cadrul prezentului regulament, ESMA respectă prevederile Regulamentului (CE) nr. 45/2001  [al Parlamentului European și al ConsiliuluI din 18 decembrie 2000 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date (JO 2001, L 8, p. 1, Ediție specială, 13/vol. 30, p. 142)].
Datele cu caracter personal se păstrează pe o perioadă de maximum cinci ani.”
B.      Dreptul național

1.      Code monétaire et financier (Codul monetar și financiar, denumit în continuare „CMF”)

17.      Articolul L. 621-10 primul paragraf din CMF, în versiunea în vigoare la data faptelor, prevedea:
„În cazul în care este necesar în scopul investigării sau al inspecției, anchetatorii sau inspectorii pot solicita să li se pună la dispoziție orice document pe orice suport. Anchetatorii pot solicita de asemenea datele păstrate și prelucrate de operatorii de telecomunicații în temeiul articolului L. 34-1 din code des postes et des communications électroniques (Codul privind poșta și comunicațiile electronice, denumit în continuare „CPCE”) și de prestatorii de servicii menționați la articolul 6 alineatul I punctele 1 și 2 din loi n.º 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (Legea nr. 2004-575 din 21 iunie 2004 privind consolidarea încrederii în economia digitală [Legea nr. 2004-575]) și pot să primească o copie a datelor respective.”

18.      Conform articolului L. 621-10-2 din CMF aplicabil în speță:
„În scopul investigării abuzurilor de piață […], anchetatorii pot solicita datele păstrate și prelucrate de operatorii de telecomunicații, în condițiile și în limitele prevăzute la articolul L. 34-1 din [CPCE], și de prestatorii menționați la articolul 6 alineatul I punctele 1 și 2 din [Legea nr. 2004-575].
Comunicarea datelor menționate la primul paragraf al prezentului articol este supusă autorizării prealabile de către un controlor al cererilor de date de conectare.
[…]”.
2.      CPCE

19.      Conform articolului L. 34-1 din CPCE în vigoare la data faptelor:
„[…]
II.      Operatorii de comunicații electronice […] trebuie să șteargă sau să anonimizeze toate datele de transfer, sub rezerva dispozițiilor alineatului III […]
[…]
III.      În vederea investigării, a constatării și a urmăririi penale a infracțiunilor […] operațiunile care vizează eliminarea sau anonimizarea anumitor categorii de date tehnice pot fi amânate pentru o perioadă maximă de un an. […]
[…]
VI. Datele stocate și prelucrate în condițiile stabilite la alineatele III, IV și V se referă exclusiv la identificarea persoanelor care utilizează serviciile furnizate de operatori, la caracteristicile tehnice ale comunicațiilor asigurate de aceștia din urmă și la localizarea echipamentelor terminale.
Datele respective nu se pot referi în niciun caz la conținutul corespondenței schimbate sau al informațiilor consultate, în orice formă, în cadrul acestor comunicații.
[…]”.

20.      Articolul R. 10-13 din CPCE prevedea:
„I.      În temeiul alineatului III al articolului L. 34‑1, operatorii de comunicații electronice stochează, în scopul investigării, al constatării și al urmăririi penale a infracțiunilor:
a)      informațiile care permit identificarea utilizatorului;
b)      datele privind echipamentele terminale de comunicații utilizate;
c)      caracteristicile tehnice, precum și data, ora și durata fiecărei comunicații;
d)      datele referitoare la serviciile suplimentare solicitate sau utilizate și la furnizorii acestora;
e)      datele care permit identificarea destinatarului sau a destinatarilor comunicației.
II.      În cazul activităților de telefonie, operatorul stochează datele menționate la alineatul II și, în plus, pe cele care permit identificarea originii și a localizării comunicației.
III.      Perioada de stocare a datelor menționate la prezentul articol este de un an de la data înregistrării.
[…]”.

21.      Instanța de trimitere precizează că astfel de date de conexiune sunt cele care, fiind generate sau prelucrate ca urmare a unei comunicații, se referă la împrejurările acesteia și la utilizatorii serviciului, cu excepția oricărei indicații privind conținutul mesajelor.
II.    Situația de fapt, litigiile și întrebările preliminare

22.      Situațiile de fapt care stau la baza acestor două trimiteri preliminare sunt în esență identice.

23.      Prin rechizitoriul din 22 mai 2014, s‑a dispus începerea urmăririi penale privind faptele calificate drept utilizare abuzivă a informațiilor privilegiate și tăinuire.

24.      La date de 23 și de 25 septembrie 2015, Autorité des marchés financiers (Autoritatea Piețelor Financiare, denumită în continuare „AMF”) a transmis Ministerului Public o comunicare însoțită de înscrisuri provenite dintr‑o investigație efectuată de aceasta, care includeau, printre altele, date cu caracter personal referitoare la utilizarea liniilor telefonice.

25.      Pentru a colecta datele privind utilizarea acestor linii telefonice, agenții AMF s‑au bazat pe articolul L. 621-10 din CMF.

26.      Ca urmare a comunicării respective, cercetarea penală a fost extinsă prin trei rechizitorii suplimentare din 29 septembrie 2015, din 22 decembrie 2015 și din 23 noiembrie 2016 la anumite titluri și instrumente financiare conexe, pentru aceleași infracțiuni și pentru fapte calificate drept complicitate, corupție și spălare de bani.

27.      Fiind trimiși în judecată pentru infracțiunile de utilizare abuzivă a informațiilor privilegiate și de spălare de bani, VD și SR au formulat o acțiune în anulare, solicitând excluderea unor acte de procedură ca urmare a încălcării, printre altele, a articolelor 7, 8, 11 și 52 din cartă și a articolului 15 din Directiva 2002/58.

28.      Întrucât cererile lor au fost respinse prin hotărârile din 20 decembrie 2018 și, respectiv, din 7 martie 2019 ale chambre de l’instruction de la cour d’appel de Paris, 2e section (Camera de cercetare penală a Curții de Apel din Paris, secția a 2-a, Franța), inculpații au declarat recurs împotriva acestora la Cour de cassation (Curtea de Casație), care a adresat Curții următoarele întrebări preliminare:
„1)      Articolul 12 alineatul (2) literele (a) și (d) din Directiva 2003/6[…], precum și articolul 23 alineatul (2) literele (g) și (h) din Regulamentul (UE) 596/2014 […], interpretat în lumina considerentului (65) al acestui regulament, nu implică, ținând seama de caracterul secret al schimbului de informații și de caracterul general al publicului care poate fi supus investigației, posibilitatea ca legiuitorul național să impună operatorilor de comunicații electronice o păstrare temporară, dar generalizată a datelor de conectare pentru a permite autorității administrative menționate la articolul 11 din directivă și la articolul 22 din regulament, atunci când împotriva anumitor persoane apar bănuieli rezonabile că sunt implicate în practici de utilizare abuzivă a informațiilor privilegiate sau de manipulare a pieței, să solicite din partea operatorului înregistrările existente ale datelor de transfer în cazul în care există bănuieli rezonabile că aceste înregistrări legate de obiectul investigației ar putea fi concludente pentru a face dovada realității încălcării, permițând în special urmărirea contactelor stabilite între persoanele în cauză înainte de apariția bănuielilor?
2)      În cazul în care răspunsul Curții de Justiție ar fi de natură să determine Cour de cassation (Curtea de Casație) să considere că legislația franceză privind păstrarea datelor de conectare nu este conformă cu dreptul Uniunii, efectele acestei legislații ar putea fi menținute cu titlu provizoriu pentru a evita insecuritatea juridică și pentru a permite ca datele colectate și păstrate anterior să fie utilizate în unul dintre scopurile urmărite de această legislație?
3)      O instanță națională poate menține provizoriu efectele unei legislații care permite agenților unei autorități administrative independente însărcinate cu efectuarea investigațiilor în materie de abuz de piață să obțină, fără un control prealabil realizat de o instanță sau de o altă autoritate administrativă independentă, comunicarea datelor de conectare?”
III. Procedura în fața Curții

29.      Cererile de decizie preliminară au fost înregistrate la Curte la 24 iulie 2020 și, respectiv, la 20 august 2020.

30.      Au formulat observații scrise VD, SR, guvernele spaniol, estonian, francez, irlandez, polonez și portughez, precum și Comisia Europeană.

31.      La ședința publică desfășurată la 14 septembrie 2021 au participat VD, SR, guvernele francez, danez, estonian, spaniol și irlandez, Comisia Europeană și Autoritatea Europeană pentru Protecția Datelor.
IV.    Analiză

A.      Observații introductive

32.      Reglementarea națională relevantă în aceste două proceduri a făcut obiectul anumitor hotărâri judecătorești naționale pe care este oportun să le menționăm.
1.      Hotărârea Conseil constitutionnel (Consiliul constituțional, Franța) din 21 iulie 2017

33.      Instanța de trimitere a subliniat că primul paragraf al articolului L. 621-10 din CMF a fost declarat neconstituțional printr‑o hotărâre a Conseil constitutionnel (Consiliul constituțional) din 21 iulie 2017(9).

34.      Conseil constitutionnel (Consiliul constituțional) a amânat, însă, efectele declarației de neconstituționalitate la 31 decembrie 2018.

35.      Între timp, legiuitorul național a introdus articolul L. 621-10-2 în CMF, prin care a instituit un regim de autorizare prealabilă de către o autoritate administrativă independentă pentru accesul la datele de conectare.

36.      Potrivit instanței de trimitere:
–      ținând seama de amânarea în timp a efectelor declarației de neconstituționalitate a articolului L. 621-10 primul paragraf din CMF – în vigoare la momentul situației de fapt în discuție în procedurile a quibus –, nu se poate constata nulitatea dispoziției respective(10);
–      cu toate acestea, dispoziția respectivă, având în vedere că nu condiționa accesul  de efectuarea unui control prealabil de către o instanță sau o autoritate administrativă independentă, „nu era conformă cerințelor prevăzute la articolele 7, 8 și 11 din cartă […], astfel cum au fost interpretate de [Curte]”(11).

37.      În acest context, Cour de cassation (Curtea de Casație) concluzionează că „singura problemă care se ridică se referă la posibilitatea de a amâna efectele incompatibilității articolului L. 621-10 din [CMF]”(12).

38.      Prin urmare, instanța de trimitere nu solicită să se stabilească compatibilitatea articolului L. 621-10 din CMF cu dreptul Uniunii, ci, pe baza incompatibilității acestuia cu diverse dispoziții din cartă, solicită doar să se determine dacă, la fel cum s‑a întâmplat în dreptul național cu efectele declarării neconstituționalității dispoziției respective, există de asemenea posibilitatea amânării efectelor juridice corespunzătoare neconformității sale cu dreptul Uniunii. Acesta este obiectul celei de a treia întrebări preliminare.
2.      Hotărârea din 21 aprilie 2021 pronunțată de Conseil d’État (Consiliul de Stat, Franța)

39.      Ulterior introducerii acestor două cereri de decizie preliminară, Conseil d’État (Consiliul de Stat) a pronunțat hotărârea din 21 aprilie 2021(13) în procedura în care a fost formulată cererea de decizie preliminară care a condus la Hotărârea La Quadrature du Net.

40.      În hotărârea respectivă, Conseil d’État (Consiliul de Stat) a decis să excludă aplicarea articolului L. 34-1 din CPCE și să oblige guvernul ca, în termen de șase luni, să abroge articolul R. 10-13 din CPCE, întrucât acestea nu limitează în mod corespunzător scopurile obligației de păstrare generalizată și nediferențiată a datelor de transfer și de localizare(14).

41.      Conseil d’État (Consiliul de Stat) a făcut referire la conformitatea normelor naționale în discuție în prezenta cauză cu Directiva 2002/58. În opinia sa, din răspunsul dat de Curte în Hotărârea La Quadrature du Net rezultă că acestea trebuiau fie să nu se aplice (écarter) în procedura principală (în cazul articolului L. 34-1 din CPCE)(15), fie să fie abrogate (în cazul articolului R. 10-13 din CPCE)(16).

42.      Relevanța Hotărârii La Quadrature du Net pentru răspunsul la prima întrebare din aceste trimiteri preliminare este cu atât mai mare  cu cât hotărârea respectivă a luat deja în considerare, printre alte dispoziții, articolul R. 10-13 din CPCE(17), care, împreună cu articolul L. 34-I din CPCE, reprezintă elementul‑cheie pentru aplicarea articolului L. 621-10 din CMF.

43.      Amintim faptul că, pentru a colecta datele referitoare la utilizarea liniilor telefonice de către persoanele suspectate de infracțiunile care făceau obiectul investigației privind un posibil abuz de piață, agenții autorității administrative s‑au bazat tocmai pe articolul L. 621-10 din CMF.
3.      Pierderea obiectului cererilor de decizie preliminară?

44.      Astfel cum am arătat anterior, instanța de trimitere solicită să se stabilească dacă reglementarea națională în litigiu este conformă cu Directiva 2003/6 și cu Regulamentul nr. 596/2014, având în vedere că atât prima, cât și acesta din urmă pot oferi un temei specific pentru obligația de păstrare a datelor, diferit de cel conținut în Directiva 2002/58.

45.      În cazul unui răspuns afirmativ, considerăm că cererile de decizie preliminară nu și‑au pierdut obiectul, în pofida posibilelor efecte ale hotărârilor instanțelor franceze menționate anterior asupra reglementării naționale respective:
–      pe de o parte, nu se poate exclude faptul că, în temeiul dreptului național, articolul R. 10-13 din CPCE ar putea avea anumite efecte asupra procedurilor principale, aspect care trebuie stabilit de instanța de trimitere;
–      pe de altă parte, mandatul adresat guvernului de către Conseil d’État (Consiliul de Stat), pe lângă faptul că implică obligația de a abroga în mod formal dispoziția respectivă, conține  și o serie de orientări cu privire la condițiile pe care trebuie să le îndeplinească reglementarea care urmează să fie adoptată în locul dispoziției care trebuie abrogată(18).

46.      Astfel, Conseil d’État (Consiliul de Stat) nu s‑a limitat să impună guvernului obligația de a abroga articolul R. 10-13 din CPCE în termen de șase luni, ci îl somează în mod explicit să „limiteze scopurile urmărite de aceste articole și să adapteze cadrul de reglementare privind păstrarea datelor de conectare”(19).

47.      În consecință, hotărârea pe care o va pronunța Curtea pe fond poate fi utilă pentru instanța de trimitere, deoarece:
–      păstrarea datelor de transfer ar putea, teoretic, să aibă un temei autonom în Directiva 2003/6 și în Regulamentul 596/2014, diferit de cel oferit de Directiva 2002/58;
–      Directiva 2003/6 și Regulamentul 596/2014 ar putea să prevadă condiții speciale și specifice în ceea ce privește scopurile păstrării datelor.
B.      Prima întrebare preliminară

48.      Prima întrebare se referă la articolul 12 alineatul (2) literele (a) și (d) din Directiva 2003/6 și la articolul 23 alineatul (2) literele (g) și (h) din Regulamentul nr. 596/2014.

49.      Aceste dispoziții permit autorităților administrative competente să solicite operatorilor de comunicații electronice (și, dacă este cazul, societăților de investiții, instituțiilor de credit sau instituțiilor financiare), înregistrările(20) existente ale datelor de transfer și ale datelor telefonice, în cazul în care există bănuieli rezonabile că s‑a săvârșit o infracțiune de abuz de piață și aceste înregistrări pot fi relevante pentru investigarea sa.

50.      Instanța de trimitere pleacă de la premisa că accesul la aceste înregistrări presupune ca „legiuitorul național să impună operatorilor de telecomunicații electronice o păstrare temporară, dar generalizată a datelor de conectare pentru a permite autorității administrative […] să solicite din partea operatorului înregistrările existente ale datele de transfer […] permițând în special [urmărirea] contactelor [stabilite între] persoanele în cauză înainte de apariția bănuielilor”.

51.      Or, în ceea ce privește obligația de păstrare generalizată și nediferențiată a datelor de conectare în alte domenii decât cel al securității naționale (pentru ceea ce ne interesează aici, în domeniul combaterii abuzurilor de piață), jurisprudența Curții, recapitulată în Hotărârea La Quadrature du Net, este pe deplin aplicabilă.
1.      Un temei juridic autonom pentru obligația de păstrare a datelor în Directiva 2003/6 și în Regulamentul 596/2014?

52.      Desigur, jurisprudența stabilită prin Hotărârea La Quadrature du Net se referea la Directiva 2002/58, în timp ce normele vizate în prezenta cauză de Cour de cassation (Curtea de Casație) sunt Directiva 2093/6 și Regulamentul nr. 596/2014.

53.      Cu toate acestea, Directiva 2002/58 constituie dispoziția de referință în ceea ce privește, astfel cum indică titlul său, „prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice”.

54.      Atât Directiva 2003/6 (care are ca obiect utilizările abuzive ale informațiilor confidențiale  și manipularea pieței), cât și Regulamentul nr. 596/2014 (care vizează abuzul de piață) includ dispoziții care, asemenea celor enumerate în prima întrebare din prezentele trimiteri preliminare, privesc prelucrarea înregistrărilor datelor de transfer.

55.      Prin urmare, este vorba despre norme care, în această privință specifică, care este pur instrumentală în raport cu finalitatea și cu obiectul lor, trebuie interpretate în contextul regimului instituit de Directiva 2002/58.

56.      Acest aspect rezultă, în opinia noastră, din articolul 12 alineatul (2) litera (d) din Directiva 2003/6 și din articolul 23 alineatul (2) literele (g) și (h) din Regulamentul nr. 596/2014:
–      prima dintre dispozițiile menționate vizează dreptul de a „cere înregistrările schimburil[or] de date existente”(21);
–      articolul 23 alineatul (2) litera (g) din Regulamentul nr. 596/2014 se referă la „înregistrări[le] existente ale convorbirilor telefonice, ale comunicațiilor electronice și ale datelor de transfer deținute de societățile de investiții, instituțiile de creditare sau instituțiile financiare”(22);
–      în sfârșit, litera (h) a aceluiași articol 23 menționează de asemenea „înregistrări[le] existente ale datelor de transfer deținute de operatorii de telecomunicații […]”(23).

57.      În opinia noastră, niciuna dintre dispozițiile respective nu acordă autorizații specifice – altele decât cele prevăzute în Directiva 2002/58 – pentru păstrarea datelor. Acestea se limitează să autorizeze administrațiile competente să acceseze datele păstrate (existente) în conformitate cu reglementarea care guvernează în general prelucrarea datelor personale menționate în sectorul comunicațiilor electronice, și anume Directiva 2002/58.

58.      Nici articolul 28 din Regulamentul nr. 596/2014 (a cărui interpretare, de altfel, nu este solicitată de instanța de trimitere) nu ar putea fi invocat drept presupus temei juridic autonom pentru a impune obligația de păstrare a datelor în acest domeniu.

59.      Articolul respectiv, intitulat „Protecția datelor” și care vizează, din nou, „prelucrarea datelor cu caracter personal”:
–      confirmă dreptul și, în același timp, obligația autorităților competente de a‑și îndeplini „sarcinile prevăzute de prezentul regulament în conformitate cu dreptul intern, regulamentele și actele administrative de transpunere a Directivei 95/46/CE”;
–      nu se referă la obligația de păstrare a datelor(24) impusă operatorilor de comunicații electronice, ci se limitează să facă o trimitere la Directiva 95/46(25) în ceea ce privește protecția acestora.

60.      Tăcerea Directivei 2003/6 și a Regulamentului nr. 596/2014 în ceea ce privește păstrarea datelor impusă operatorilor de comunicații electronice este de înțeles, având în vedere proximitatea lor temporală față de Directiva 2002/58. Legiuitorul european dispunea deja de aceasta din urmă drept cadru de referință exhaustiv pentru definirea limitelor (și a excepțiilor) obligației respective, astfel încât era inutil un regim de păstrare separat pentru combaterea abuzurilor de piață.

61.      Prin urmare, interpretarea dată de Curte Directivei 2002/58 trebuie să se extindă în mod natural la păstrarea datelor care, fiind deținute de operatorii de comunicații electronice, pot fi utilizate de autoritățile de investigare în contextul combaterii abuzurilor de piață.

62.      „Înregistrările existente” la care fac referire Directiva 2003/6 și Regulamentul nr. 596/2014 nu pot fi decât „înregistrările existente în mod legal”, și anume cele efectuate în conformitate cu Directiva 2002/58. Această directivă este cea care, în dreptul Uniunii, „prevede printre altele armonizarea dispozițiilor naționale, lucru necesar în vederea asigurării unui nivel echivalent de protecție a drepturilor și a libertăților fundamentale, în special a dreptului la confidențialitate și la respectarea vieții private, în domeniul prelucrării de date cu caracter personal în sectorul comunicațiilor electronice”(26).

63.      Legalitatea „înregistrărilor existente” poate fi justificată numai atunci când, în definitiv, existența lor este acoperită de dispozițiile Directivei 2002/58.

64.      Guvernul francez contestă această abordare. El susține că răspunsul Curții trebuie să se limiteze la interpretarea Directivei 2003/6 și a Regulamentului nr. 596/2014. Ambele ar autoriza în mod implicit statele membre să introducă o obligație de păstrare generalizată și nediferențiată. În caz contrar, efectul lor util ar fi grav afectat.

65.      Nu împărtășim argumentele guvernului francez, însă chiar dacă am achiesa la ele, este cert faptul că această pretinsă „autorizare implicită” ar fi totuși supusă condițiilor care, potrivit jurisprudenței Curții, trebuie respectate de statele membre atunci când fac uz de posibilitatea de a impune obligația unei păstrări generalizate și nediferențiate a datelor în conformitate cu Directiva 2002/58.

66.      Cu alte cuvinte, dacă am accepta, în mod ipotetic, că Directiva 2003/6 și Regulamentul nr. 596/2014 oferă un temei autonom pentru păstrarea datelor (quod non), această păstrare ar fi supusă acelorași condiții care ar reglementa‑o în cazul în care s‑ar întemeia pe orice altă dispoziție a dreptului Uniunii.

67.      Aceasta deoarece, în ultimă instanță, condițiile respective decurg din protejarea drepturilor fundamentale consacrate de cartă, la a căror respectare fac trimitere Directiva 2003/6 și Regulamentul nr. 596/2014. Tocmai aceste drepturi au fost invocate de Curte în jurisprudența stabilită prin Hotărârea La Quadrature du Net.

68.      Guvernul francez însuși – și ceilalți intervenienți în această procedură – nu au putut să nu facă referire la jurisprudența stabilită în această din urmă hotărâre. În unele cazuri (precum cel al guvernului portughez sau al Comisiei), s‑a subliniat că jurisprudența respectivă oferă o orientare pentru a răspunde la aceste întrebări preliminare; în altele (precum, în special, cel al guvernului irlandez), s‑a solicitat în mod expres revizuirea sa.

69.      Prin urmare, dezbaterea din cadrul acestei proceduri s‑a axat pe aspectul dacă se impune confirmarea sau revizuirea jurisprudenței Curții cu privire la legalitatea păstrării generalizate și nediferențiate a datelor de transfer și de localizare în domeniul comunicațiilor electronice.
2.      Interzicerea păstrării generalizate și nediferențiate a datelor de transfer și măsuri legislative pentru protejarea securității naționale sau pentru combaterea infracționalității grave

70.      Astfel cum am arătat în Concluziile prezentate la aceeași dată în cauzele Commissioner of the Garda Síochána și, respectiv, SpaceNet și Telekom Deutschland, considerăm că nu este oportună revizuirea jurisprudenței Curții cu privire la articolul 15 alineatul (1) din Directiva 2002/58.

71.      În acest context, elementele esențiale pentru a răspunde instanței de trimitere rezultă, în opinia noastră, în mod direct din jurisprudența Curții, recapitulată în Hotărârea La Quadrature du Net.

72.      Prin urmare, trebuie să amintim, în primul rând, jurisprudența Curții stabilită prin hotărârea respectivă, care este sintetizează la punctul 168 după cum urmează:
„[A]rticolul 15 alineatul (1) din Directiva 2002/58, citit în lumina articolelor 7, 8 și 11, precum și a articolului 52 alineatul (1) din cartă, trebuie să fie interpretat în sensul că se opune unor măsuri legislative care prevăd, în scopurile prevăzute la acest articol 15 alineatul (1), cu titlu preventiv, o stocare generalizată și nediferențiată a datelor de transfer și a datelor de localizare. În schimb, articolul 15 alineatul (1) menționat, interpretat în lumina articolelor 7, 8 și 11, precum și a articolului 52 alineatul (1) din cartă, nu se opune unor măsuri legislative:
–      care permit, în scopul protejării securității naționale, impunerea unei obligații furnizorilor de servicii de comunicații electronice de a efectua o stocare generalizată și nediferențiată a datelor de transfer și a datelor de localizare, în situații în care statul membru în cauză se confruntă cu o amenințare gravă la adresa securității naționale, care se dovedește reală și actuală sau previzibilă, în condițiile în care decizia care prevede această obligație poate face obiectul unui control efectiv fie de către o instanță, fie de către o entitate administrativă independentă, a cărei decizie are efect obligatoriu, prin care se urmărește să se verifice existența uneia dintre aceste situații, precum și respectarea condițiilor și a garanțiilor care trebuie să fie prevăzute, iar obligația menționată nu poate fi impusă decât pentru o perioadă limitată în timp la strictul necesar, dar care poate fi reînnoită în cazul menținerii acestei amenințări;
–      care prevăd, în scopul protejării securității naționale, al combaterii infracționalității grave și al prevenirii amenințărilor grave la adresa siguranței publice, o stocare direcționată a datelor de transfer și a datelor de localizare care să fie delimitată, pe baza unor elemente obiective și nediscriminatorii, în funcție de categoriile de persoane vizate sau prin intermediul unui criteriu geografic, pentru o perioadă limitată în timp la strictul necesar, dar care poate fi reînnoită;
–      care prevăd, în scopul protejării securității naționale, al combaterii infracționalității grave și al prevenirii amenințărilor grave la adresa siguranței publice, o stocare generalizată și nediferențiată a adreselor IP atribuite sursei unei conexiuni, pentru o perioadă limitată în timp la strictul necesar;
–      care prevăd, în scopul protejării securității naționale, al combaterii infracționalității și al protejării siguranței publice, o stocare generalizată și nediferențiată a datelor referitoare la identitatea civilă a utilizatorilor de mijloace de comunicații electronice și
–      care permit, în scopul combaterii infracționalității grave și, a fortiori, al protejării securității naționale, impunerea unei obligații furnizorilor de servicii de comunicații electronice, prin intermediul unei decizii a autorității competente, supuse unui control jurisdicțional efectiv, de a realiza, pentru o perioadă determinată, conservarea rapidă a datelor de transfer și a datelor de localizare de care dispun acești furnizori de servicii,
din moment ce aceste măsuri garantează, prin norme clare și precise, că stocarea datelor în discuție este condiționată de respectarea condițiilor materiale și procedurale aferente acestora și că persoanele în cauză dispun de garanții efective împotriva riscurilor de abuz.”

73.      Ideea centrală a jurisprudenței Curții cu privire la Directiva 2002/58 este că utilizatorii mijloacelor de comunicare electronice sunt îndreptățiți să se aștepte ca, în principiu, comunicațiile lor și datele aferente acestora să rămână, în lipsa consimțământului lor, anonime și să nu poată face obiectul unei înregistrări(27).

74.      Articolul 15 alineatul (1) din Directiva 2002/58 admite excepții de la obligația de garantare a confidențialității. Hotărârea La Quadrature du Net examinează pe larg modul în care aceste excepții pot fi conciliate cu drepturile fundamentale a căror exercitare poate fi afectată(28).

75.      Potrivit Curții, păstrarea generalizată și nediferențiată a datelor de transfer nu poate fi justificată decât prin obiectivul de protejare a securității naționale, a cărui importanță „o depășește pe cea a celorlalte obiective prevăzute la articolul 15 alineatul (1) din Directiva 2002/58”(29).

76.      În acest caz (securitatea națională), Curtea a statuat că dispoziția respectivă, interpretată în lumina articolelor 7, 8 și 11, precum și a articolului 52 alineatul (1) din cartă, „nu se opune, în principiu, unei măsuri legislative care permite autorităților competente să impună furnizorilor de servicii de comunicații electronice să stocheze datele de transfer și datele de localizare ale tuturor utilizatorilor mijloacelor de comunicații electronice pentru o perioadă limitată, în măsura în care există împrejurări suficient de concrete care permit să se considere că statul membru în cauză se confruntă cu o amenințare gravă la adresa securității naționale […], care se dovedește a fi reală și actuală sau previzibilă”(30).

77.      În special, Curtea consideră că „obiectivul de protejare a securității naționale” „include prevenirea și sancționarea activităților de natură să destabilizeze grav structurile constituționale, politice, economice sau sociale fundamentale ale unei țări și în special să amenințe în mod direct societatea, populația sau statul ca atare”(31).

78.      Or, sensul Hotărârii La Quadrature du Net nu ar fi respectat dacă constatările sale privind securitatea națională ar putea fi extrapolate la infracțiuni, inclusiv la cele grave, care nu afectează securitatea națională, ci siguranța publică sau alte interese protejate de lege.

79.      Astfel, Curtea a făcut o distincție clară între măsurile legislative naționale care prevăd păstrarea preventivă, generalizată și nediferențiată a datelor de transfer și de localizare în vederea protejării securității naționale (punctele 134-139 din hotărârea La Quadrature du Net) și cele care privesc combaterea infracționalității și protejarea siguranței publice (punctele 140-151 din hotărârea respectivă). Cele două nu pot avea același domeniu de aplicare, deoarece, în caz contrar, această distincție ar fi lipsită de sens.

80.      Instrumentele de păstrare a datelor de transfer și de localizare pentru combaterea infracționalității grave sunt prezentate, astfel cum am menționat, la punctele 140-151 din Hotărârea La Quadrature du Net. La acestea se adaugă, în același scop, cele care autorizează stocarea preventivă a adreselor IP și a datelor referitoare la identitatea civilă a persoanei (punctele 152-159 din hotărârea respectivă), precum și „conservarea rapidă” a datelor de transfer și de localizare (punctele 160-166 din hotărârea menționată).

81.      Abuzurile de piață sunt în mod cert extrem de condamnabile, deoarece periclitează „integritatea piețelor financiare și încrederea publicului în valorile mobiliare [și] instrumentele financiare derivate”. În aceeași măsură, acestea pot fi calificate, după caz, drept infracțiuni sancționabile și, în cazurile cele mai severe, drept infracțiuni grave(32).

82.      Prin urmare, făcând referire la cooperarea reciprocă dintre autoritățile competente ale statelor membre pentru prevenirea și combaterea criminalității grave care afectează două sau mai multe state membre sau un interes comun care face obiectul unei politici a Uniunii, anexa I la Regulamentul (UE) 2016/794(33) include în noțiunea respectivă, alături de alte comportamente sancționabile, „utilizarea abuzivă a informațiilor privilegiate și manipularea piețelor financiare”.

83.      Or, natura lor penală, chiar atunci când este gravă, se regăsește în cazul multor altor infracțiuni care afectează interesele publice relevante și politicile Uniunii. Anexa I la Regulamentul 2016/794 enumeră, printre alte exemple de criminalitate gravă, traficul de droguri, activitățile de spălare de bani, introducerea ilegală de imigranți, traficul de ființe umane, răpirea, sechestrarea și luarea de ostatici, infracțiunile împotriva intereselor financiare ale Uniunii, contrafacerea și piratarea produselor, infracțiunile informatice, corupția și infracțiunile împotriva mediului, inclusiv poluarea cauzată de nave.

84.      Interesele publice protejate prin incriminarea unora dintre comportamentele respective pot fi la fel de sau chiar mai importante decât cele apărate prin sancționarea abuzurilor de piață. Acest lucru nu înseamnă însă că astfel de comportamente implică o amenințare la adresa securității naționale, în sensul Hotărârii La Quadrature du Net(34).

85.      După cum a susținut Comisia în ședință, obiectivele Directivei 2003/6 și ale Regulamentului nr. 596/2014 vizează realizarea unei piețe interne (în special în sectorul piețelor financiare), iar nu protejarea securității naționale(35).

86.      Extinderea noțiunii de „amenințare la adresa securității naționale” la infracțiunile de abuz de piață ar deschide posibilitatea de a proceda  în același mod în cazul multor altor încălcări la fel de importante ale intereselor publice, dar care ar fi dificil de încadrat de către o instanță penală în noțiunea respectivă, care este mult mai restrictivă. În cazul în care Curtea ar permite aceasta, echilibrul delicat care stă la baza Hotărârii La Quadrature du Net ar fi fost inutil.

87.      În definitiv, înregistrările „existente” menționate la articolul 12 alineatul (2) litera (d) din Directiva 2003/6 și la articolul 23 alineatul (2) literele (g) și (h) din Regulamentul nr. 596/2914 nu pot fi decât cele a căror păstrare este permisă de Directiva 2002/58, astfel cum a fost interpretată de Curte, în scopul combaterii infracționalității grave și al protejării siguranței publice. În niciun caz nu pot fi asimilate cu cele păstrate în mod preventiv, generalizat și nediferențiat, în vederea protejării securității naționale.
3.      A doua întrebare preliminară

88.      Prin intermediul celei de a doua întrebări, instanța de trimitere solicită să se stabilească dacă, în cazul în care legislația franceză privind păstrarea datelor de conectare nu este conformă cu dreptul Uniunii, este posibilă menținerea cu titlu provizoriu a efectelor acesteia.

89.      Având în vedere data la care a formulat trimiterile preliminare, instanța de trimitere nu a putut lua în considerare faptul că răspunsul la întrebările sale se află în Hotărârea (din 6 octombrie 2020) La Quadrature du Net (în special, la punctele 213-228), care, în această privință, a respectat jurisprudența tradițională.

90.      Conform Curții, în cazul constatării unei încălcări a articolului 15 alineatul (1) din Directiva 2002/58, citit în lumina articolelor 7, 8 și 11, precum și a articolului 52 alineatul (1) din cartă, „instanța de trimitere nu poate aplica o dispoziție a dreptului său național care îi permite să limiteze în timp efectele unei declarații de nelegalitate pe care trebuie să o facă, în temeiul acestui drept, în privința legislației naționale în discuție în litigiul principal”(36).

91.      Motivul constă în faptul că „[n]umai Curtea poate, cu titlu excepțional și pentru considerații imperative de securitate juridică, să acorde o suspendare provizorie a efectului de înlăturare avut de o normă din dreptul Uniunii asupra dreptului național contrar acesteia”(37). „O asemenea limitare în timp a efectelor interpretării acestui drept de către Curte nu poate fi acordată decât în însăși hotărârea care se pronunță asupra interpretării solicitate”(38), situație care nu s‑a regăsit în Hotărârea din 8 aprilie 2014, Digital Rights Ireland și alții(39).

92.      În consecință, dacă Curtea nu a considerat oportun să limiteze în timp efectele interpretării sale cu privire la Directiva 2002/58, instanța de trimitere nu poate decide să prelungească efectul util al unei reglementări naționale incompatibile cu dispozițiile dreptului Uniunii care, precum în cazul Directivei 2003/6 și al Regulamentului nr. 596/2014, trebuie să fie interpretate în lumina celei dintâi directive.
4.      A treia întrebare preliminară

93.      În aceeași linie cu întrebarea anterioară, prin intermediul celei de a treia întrebări preliminare, Cour de Cassation (Curtea de Casație) solicită să se stabilească dacă o instanță națională poate menține cu titlu provizoriu efectele unei reglementări „care permite agenților unei autorități administrative independente însărcinate cu efectuarea investigațiilor în materie de abuz de piață să obțină, fără un control prealabil realizat de o instanță sau de o altă autoritate administrativă independentă, comunicarea datelor de conectare”.

94.      Premisa acestei întrebări este, din nou, incompatibilitatea reglementării respective, în sine, cu dreptul Uniunii(40). Instanța de trimitere însăși arată acest lucru: deși AMF este o autoritate administrativă independentă, „posibilitatea oferită investigatorilor săi de a obține date de conectare fără controlul prealabil exercitat de o instanță sau de o altă autoritate  administrativă independentă nu era conformă cu cerințele prevăzute la articolele 7, 8 și 11 din cartă […], astfel cum au fost interpretate de [Curte]”(41).

95.      La aceeași soluție conduce Hotărârea Curții din 2 martie 2021, Prokuratuur (Condițiile de acces la datele de comunicații electronice)(42), care, la punctul 51 și următoarele, subliniază că accesul autorităților naționale competente la datele păstrate trebuie să facă obiectul unui control prealabil, realizat fie de o instanță, fie de o entitate administrativă independentă care are statutul de „terț” față de partea care solicită accesul la datele respective.

96.      În aceste condiții, răspunsul la cea de a treia întrebare preliminară trebuie să fie identic cu cel dat la a doua întrebare.
V.      Concluzie

97.      În temeiul considerațiilor anterioare, propunem Curții să răspundă Cour de cassation (Curtea de Casație, Franța) după cum urmează:
„1)      Articolul 12 alineatul (2) literele (a) și (d) din Directiva 2003/6/CE a Parlamentului European și a Consiliului din 28 ianuarie 2003 privind utilizările abuzive ale informațiilor privilegiate și manipulările pieței (abuzul de piață) și articolul 23 alineatul (2) literele (g) și (h) din Regulamentul (UE) nr. 596/2014 al Parlamentului European și al Consiliului din 16 aprilie 2014 privind abuzul de piață (Regulamentul privind abuzul de piață) și de abrogare a Directivei 2003/6/CE a Parlamentului  European și a Consiliului și a Directivelor 2003/124/CE, 2003/125/CE și 2004/72/CE ale Comisiei trebuie interpretate în sensul că se opun unei reglementări naționale care impune operatorilor de telecomunicații electronice obligația de a păstra datele de transfer în mod generalizat și nediferențiat în cadrul unei investigații privind utilizarea abuzivă a informațiilor privilegiate sau manipularea și abuzul de piață.
2)      O instanță națională nu poate limita în timp efectele neconformității cu dreptul Uniunii a unei reglementări naționale care impune furnizorilor de servicii de comunicații electronice o obligație de păstrare generalizată și nediferențiată a datelor de transfer, care este incompatibilă cu articolul 15 alineatul (1) din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice), citit în lumina articolelor 7, 8, 11 și a articolului 52 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene, și care permite autorității administrative însărcinate  cu efectuarea investigațiilor în materie de abuz de piață să obțină,  fără un control prealabil realizat de o instanță sau de o entitate administrativă independentă, comunicarea datelor de conectare”.

1      Limba originală: spaniola.

2      Denumite în continuare „Concluziile prezentate în cauza SpaceNet și Telekom Deutschland” și, respectiv, „Concluziile prezentate în cauza Commissioner of the Garda Síochána”.

3      Directiva Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO 2002, L 201, p. 37, Ediție specială, 13/vol. 36, p. 63).

4      Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții (C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791), denumită în continuare „Hotărârea La Quadrature du Net”.

5      Directiva Parlamentului European și a Consiliului din 28 ianuarie 2003 privind utilizările abuzive ale informațiilor confidențiale și manipulările pieței (abuzul de piață) (JO 2003, L 96, p. 16, Ediție specială, 06/vol. 5, p. 210).

6      Regulamentul Parlamentului European și al Consiliului din 16 aprilie 2014 privind abuzul de piață (Regulamentul privind abuzul de piață) și de abrogare a Directivei 2003/6/CE a Parlamentului European și a Consiliului și a Directivelor 2003/124/CE, 2003/125/CE și 2004/72/CE ale Comisiei (JO 2014, L 173, p. 1).

7      În acest caz, datele de localizare par a fi excluse, deși granița dintre cele două nu este în totalitate clară.

8      În accepțiunea sa largă, pe care o vom adopta în prezentele concluzii, abuzul de piață include „comportamentul ilegal pe piețele financiare și, în sensul prezentului regulament, ar trebui înțeles ca fiind compus din utilizarea abuzivă, divulgarea neautorizată a informațiilor privilegiate și manipularea pieței” [considerentul (7) al Regulamentului nr. 596/2014].

9      Conseil constitutionnel (Consiliul constituțional) ar fi constatat că procedura de acces la datele de conectare utilizată de AMF era incompatibilă cu dreptul la respectarea vieții private, consacrat la articolul 2 din Declarația drepturilor omului și ale cetățeanului.

10      Punctul 28 din decizia de trimitere în cauza C‑339/20 și punctul 43 din decizia de trimitere în cauza C‑397/20.

11      Loc. ult. cit.

12      Punctele 29 și 44 din deciziile de trimitere respective.

13      Hotărârea nr. 393099 (ECLI:FR:CEASS:2021:393099.20210421). Așa cum este logic, în contextul acestei cauze, nu putem să ne pronunțăm asupra conținutului hotărârii respective în ceea ce privește compatibilitatea cu dreptul Uniunii a vreunuia dintre pasajele sau constatările cuprinse în aceasta (în special, a celor referitoare la accesul în alte scopuri la datele păstrate pentru motive de securitate națională) sau în ceea ce privește modul în care interpretează Hotărârea La Quadrature du Net. În ședință, Comisia a declarat că evaluează dacă este oportună vreo reacție împotriva acelei hotărâri, dar încă nu a luat nicio decizie în această privință.

14      La solicitarea Curții, părțile au avut ocazia să își exprime punctul de vedere cu privire la această hotărâre în ședință.

15      Punctul 58 din hotărârea Conseil d’État (Consiliul de Stat).

16      Articolul 2 din dispozitivul hotărârii Conseil d’État (Consiliul de Stat).

17      Hotărârea La Quadrature du Net, punctul 70: „În ceea ce privește articolul R. 10‑13 din CPCE și obligația de stocare generalizată și nediferențiată a datelor referitoare la comunicații care este prevăzută la acesta, instanța de trimitere […] arată că o asemenea stocare permite autorității judiciare accesul la datele referitoare la comunicațiile pe care le‑a efectuat o persoană înainte de a fi suspectată de săvârșirea unei infracțiuni, astfel încât această stocare prezintă o utilitate fără echivalent pentru cercetarea, constatarea și urmărirea penală a infracțiunilor.”

18      În ședință, guvernul francez a informat cu privire la adoptarea Loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement (Legea nr. 2021-998 din 30 iulie 2021 privind prevenirea actelor de terorism și serviciile de informații) (JORF nr. 176 din 31 iulie 2021). Articolul 17 din aceasta modifică articolul L. 34-1 din CPCE. Un decret ulterior trebuie să stabilească, „în funcție de activitatea operatorilor și de natura comunicațiilor, informațiile și categoriile de date păstrate în aplicarea [alineatelor] II  bis și III”, astfel cum au fost modificate, ale articolului L. 34 din CPCE.

19      Punctul 59 din hotărârea Conseil d'État (Consiliul de Stat). În special, și astfel cum rezultă din articolul 1 din dispozitivul hotărârii respective, adaptarea impusă trebuie să includă „o reexaminare periodică a existenței unei amenințări grave, reale și actuale sau previzibile la adresa securității naționale”.

20      Conform articolului 3 din Regulamentul nr. 596/2004, „înregistrările datelor de transfer” înseamnă înregistrările definite la articolul 2 al doilea paragraf litera (b) din Directiva 2002/58, și anume „orice date prelucrate în scopul transmiterii comunicației printr‑o rețea de comunicații electronice sau în vederea facturării”.

21      Sublinierea noastră.

22      Sublinierea noastră.

23      Sublinierea noastră.

24      Se stabilește însă o perioadă de cinci ani pentru păstrarea lor.

25      Directivă abrogată prin Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1). Trebuie amintit că, în Hotărârea La Quadrature du Net, punctul 210, Curtea a statuat că „[…] precum în cazul articolului 15 alineatul (1) din Directiva 2002/58, puterea pe care articolul 23 alineatul (1) din Regulamentul 2016/679 o conferă statelor membre nu poate fi exercitată decât cu respectarea cerinței proporționalității, potrivit căreia derogările de la protecția datelor cu caracter personal și limitările acestora trebuie să fie efectuate în limitele strictului necesar (a se vedea prin analogie, în ceea ce privește Directiva 95/46, Hotărârea din 7 noiembrie 2013, IPI, C‑473/12, EU:C:2013:715, punctul 39 și jurisprudența citată)”.

26      Hotărârea La Quadrature du Net, punctul 91.

27      Hotărârea La Quadrature du Net, punctul 109.

28      Ibidem, punctele 111-133.

29      Ibidem, punctul 136.

30      Ibidem, punctul 137 (sublinierea noastră). Curtea arată în continuare că acest lucru este valabil „[c]hiar dacă o asemenea măsură vizează, în mod nediferențiat, toți utilizatorii de mijloace de comunicații electronice, fără ca aceștia să pară, la prima vedere, să prezinte un raport […] cu o amenințare la adresa securității naționale a acestui stat membru”, fiind necesar, prin urmare, „să se considere că existența unei astfel de amenințări este de natură, prin ea însăși, să stabilească acest raport” (loc. ult. cit.).

31      Hotărârea La Quadrature du Net, punctul 135. Desigur, astfel cum arătăm la punctul 39 din Concluziile prezentate în cauza SpaceNet și Telekom Deutschland, cerințele respective conduc la un regim mai riguros și mai strict decât cel care rezultă din jurisprudența Curții Europene a Drepturilor Omului (Curtea EDO) cu privire la articolul 8 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale. Acest lucru este, desigur, recunoscut la articolul 52 alineatul (3) in fine din cartă. Fără a aduce atingere faptului că, astfel cum am arătat la punctul 40 din prezentele concluzii, jurisprudența Curții EDO rezultată din Hotărârile sale din 25 mai 2002, Big Brother Watch și alții împotriva Regatului Unit (CE:ECHR:2021:0525JUD005817013) și Centrum för Rättvisa împotriva Suediei (CE:ECHR:2021:0525JUD003525208), precum și din Hotărârea din 4 decembrie 2015, Zakharov împotriva Rusiei (CE:ECHR:2015:1204JUD004714306), se referă la situații care nu pot fi asimilate celor analizate în aceste trimiteri preliminare. În definitiv, soluția trebuie găsită prin aplicarea reglementărilor naționale care sunt considerate conforme cu normele exhaustive ale Directivei 2002/58, astfel cum este interpretată de Curte.

32      A se vedea Directiva 2014/57/UE a Parlamentului European și a Consiliului din 16 aprilie 2014 privind sancțiunile penale pentru abuzul de piață (Directiva privind abuzul de piață) (JO 2014, L 173, p. 179).

33      Regulamentul Parlamentului European și al Consiliului din 11 mai 2016 privind Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO 2016, L 135, p. 53).

34      În ceea ce privește posibilitatea de a stabili un tertium genus de infracțiuni, care se află la granița dintre securitatea națională și infracționalitatea gravă, facem trimitere la punctele 52 și 53 din Concluziile noastre prezentate în cauza Commissioner of the Garda Síochána.

35      Dintr‑o postură mai critică, reprezentantul DV a reamintit în intervenția sa orală modul în care securitatea națională a fost legată de numeroase categorii de infracțiuni în sistemele politice totalitare, care identifică pretutindeni amenințări la adresa siguranței statului.

36      Hotărârea La Quadrature du Net, punctul 220.

37      Ibidem, punctul 216.

38      Loc. ult. cit.

39      Cauzele C-293/12 și C-594/12 (EU:C:2014:238).

40      După cum am amintit deja, Conseil Constitutionel (Consiliul Constituțional) a anulat articolul L. 621-10 din CMF. Hotărârea Conseil d’État (Consiliul de Stat) din 21 aprilie 2021 recunoaște, în diverse pasaje, că accesul la date trebuie să fie precedat de un control jurisdicțional sau de un control al unei autorități independente cu competență obligatorie.

41      Punctele 28 și 43 din respectivele decizii de trimitere. Jurisprudența la care face referire provine din Hotărârea din 21 decembrie 2016, Tele2 Sverige și Watson și alții (C‑203/15 și C‑698/15, EU:C:2016:970, punctul 120).

42      Cauza C‑746/18, EU:C:2021:152.