Source: https://www.juridice.ro/558844/intrebare-preliminara-cu-privire-la-serviciile-secrete-si-protectia-datelor-personale.html
Timestamp: 2020-03-28 21:28:37+00:00

Document:
JURIDICE » Întrebare preliminară cu privire la serviciile secrete și protecția datelor personale. UPDATE: Concluzii AG
„Articolul 4 TUE și articolul 1 alineatul (3) din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) trebuie interpretate în sensul că se opun unei reglementări naționale care impune furnizorului unei rețele de comunicații electronice obligația de a furniza «date referitoare la comunicații în masă» către agențiile de securitate și de informații dintr‑un stat membru, care implică colectarea prealabilă a acestora în mod generalizat și nediferențiat.”
„Accesul agențiilor de securitate și de informații dintr‑un stat membru la datele cu caracter personal transmise de furnizorii de rețele de comunicații electronice trebuie să respecte condițiile stabilite în Hotărârea din 21 decembrie 2016, Tele2 Sverige și Watson (C‑203/15 și C‑698/15, EU:C:2016:970).”
Notă MMB: Pentru o discuție despre incidența lui Tele2 Sverige în chiar acest context, a se vedea participarea mea la o conferință organizată de JURIDICE.ro acum doi ani, disponibilă aici.
24 ianuarie 2018: Judecătorul britanic se întreabă – atât cât mai poate – în legătură cu serviciile secrete și protecția datelor personale (C-623/17 Privacy International).
2. Apropierea legislațiilor
3. Telecomunicații
4. în împrejurările în care:
4.1. capacitățile agențiilor de securitate și de informații(ASI) de a utiliza datele în bloc referitoare la comunicații (DBC), care le sunt furnizate, sunt esențiale pentru a proteja securitatea națională a Regatului Unit, inclusiv în domeniul combaterii terorismului, al contraspionajului și al combaterii proliferării nucleare;
4.2. o trăsătură fundamentală a utilizării de către ASI a DBC este descoperirea amenințărilor până atunci necunoscute la adresa securității naționale prin intermediul unor tehnici nespecifice în bloc care se bazează pe agregarea DBC într-un singur loc, iar principala sa utilitate constă în identificarea și investigarea rapidă a țintei, precum și în furnizarea unei baze de acțiune în situații de amenințare iminentă;
4.3. furnizorul unei rețele de comunicații electronice nu are apoi obligația de a păstra DBC (dincolo de perioada în care trebuie să le păstreze în vederea exercitării activității sale obișnuite), care sunt păstrate numai de către stat (ASI);
4.4. instanța națională a constatat (sub rezerva anumitor aspecte rămase în pronunțare) că garanțiile legate de utilizarea DBC de către ASI sunt conforme cu dispozițiile CEDO; și
4.5.instanța națională a constatat că impunerea cerințelor specificate la punctele 119-125 din Hotărârea Tele2 Sverige Watson și alții (denumite în continuare „cerințele prevăzute de Hotărârea Watson”), dacă este cazul, ar submina măsurile luate pentru protejarea securității naționale de către ASI și, astfel, ar periclita securitatea națională a Regatului Unit;
5. necesitatea de a afla dacă o cerință inclusă într-o instrucțiune transmisă de un Secretary of State furnizorului unei rețele de comunicații electronice, conform căreia trebuie să furnizeze date în bloc referitoare la comunicații către agențiile de securitate și de informații (denumite în continuare „ASI”) ale unui stat membru, intră în domeniul de aplicare al dreptului Uniunii și al Directivei asupra confidențialității și comunicațiilor electronice
6. dacă da, necesitatea de a afla dacă unei astfel de instrucțiuni transmise de un Secretary of State i se aplică vreuna dintre cerințele prevăzute de Hotărârea Watson sau orice altă cerință suplimentară față de cele impuse de CEDO
7. și dacă da, necesitatea de a afla în ce mod și în ce măsură se aplică aceste cerințe, luând în considerare:
7.1. nevoia absolută a ASI de a utiliza tehnicile de obținere în bloc și de prelucrare automată pentru a proteja securitatea națională
7.2. și măsura în care astfel de capacități, dacă din alte puncte de vedere sunt conforme cu CEDO, pot fi grav afectate de impunerea acestor cerințe.
1. articolul 4 TUE și articolul 1 alineatul (3) din Directiva 2002/58/CE asupra confidențialității și comunicațiilor electronice
Articolul 4 TUE
Articolul 1 alin. (3) din Directiva 2002/58/CE (extras)
2. paragrafele 119-125 din Hotărârea din 21 decembrie 2016, Tele2 Sverige Watson și alții, C-203/15 și C-698/15 (EU:C:2016:970):
119 Prin urmare, întrucât un acces general la toate datele păstrate, independent de orice legătură, chiar indirectă, cu scopul urmărit, nu poate fi considerat limitat la strictul necesar, reglementarea națională în cauză trebuie să se întemeieze pe criterii obiective pentru a defini împrejurările și condițiile în care trebuie să se acorde autorităților naționale competente accesul la datele abonaților sau ale utilizatorilor înregistrați. În această privință, accesul nu poate fi acordat, în principiu, în raport cu obiectivul de combatere a infracționalității, decât la datele persoanelor bănuite că ar pregăti, că ar săvârși sau că ar fi săvârșit o infracțiune gravă ori că ar fi implicate în orice mod într‑o astfel de infracțiune (a se vedea prin analogie Curtea Europeană a Drepturilor Omului, Hotărârea Zakharov împotriva Rusiei din 4 decembrie 2015, CE:ECHR:2015:1204JUD004714306, § 260). Cu toate acestea, în situații speciale, precum cele în care interese vitale privind securitatea națională, apărarea sau securitatea publică sunt amenințate prin activități teroriste, ar putea de asemenea să fie permis accesul la datele altor persoane în cazul în care există elemente obiective care permit să se considere că aceste date ar putea aduce, într‑un caz concret, o contribuție efectivă la combaterea unor asemenea activități.
120 În scopul de a garanta, în practică, deplina respectare a acestor condiții, este esențial ca accesul autorităților naționale competente la datele păstrate să fie, în principiu, cu excepția unor situații de urgență justificate corespunzător, condiționat de un control prealabil efectuat fie de o instanță, fie de o entitate administrativă independentă și ca decizia acestei instanțe sau a acestei entități să intervină în urma unei cereri motivate formulate de autoritățile respective, printre altele în cadrul unor proceduri de prevenire, de detectare sau de urmărire penală (a se vedea prin analogie, în ceea ce privește Directiva 2006/24, Hotărârea Digital Rights, punctul 62; a se vedea de asemenea prin analogie în ceea ce privește articolul 8 din CEDO, Curtea Europeană a Drepturilor Omului, Hotărârea Szabó și Vissy împotriva Ungariei din 12 ianuarie 2016, CE:ECHR:2016:0112JUD003713814, § 77 și 80).
121 De asemenea, se impune ca autoritățile naționale competente cărora le‑a fost acordat accesul la datele păstrate să informeze persoanele în cauză, în cadrul procedurilor naționale aplicabile, din momentul în care această comunicare nu poate compromite anchetele desfășurate de autoritățile respective. Astfel, această informație este, de fapt, necesară pentru a le permite să își exercite printre altele dreptul de a introduce acțiunea, prevăzut expres la articolul 15 alineatul (2) din Directiva 2002/58 coroborat cu articolul 22 din Directiva 95/46, în cazul încălcării drepturilor lor (a se vedea prin analogie Hotărârea din 7 mai 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punctul 52, precum și Hotărârea din 6 octombrie 2015, Schrems, C‑362/14, EU:C:2015:650, punctul 95).
122 În ceea ce privește normele referitoare la securitatea și la protecția datelor păstrate de furnizorii de servicii de comunicații electronice, trebuie să se constate că articolul 15 alineatul (1) din Directiva 2002/58 nu permite statelor membre să deroge de la articolul 4 alineatul (1) și nici de la articolul 4 alineatul (1a) din aceasta. Aceste din urmă dispoziții impun ca respectivii furnizori să adopte măsurile de ordin tehnic și organizatoric adecvate care să permită să se asigure o protecție eficientă a datelor păstrate împotriva riscurilor de abuz, precum și împotriva oricărui acces ilicit la aceste date. Ținând seama de cantitatea datelor păstrate, de caracterul sensibil al respectivelor date, precum și de riscul de acces ilicit la acestea, furnizorii de servicii de comunicații electronice trebuie, în scopul de a asigura deplina integritate și confidențialitate a datelor menționate, să garanteze un nivel deosebit de ridicat de protecție și de securitate prin măsuri tehnice și organizatorice adecvate. În special, reglementarea națională trebuie să prevadă păstrarea pe teritoriul Uniunii, precum și distrugerea iremediabilă a datelor la finalul duratei de păstrare a acestora (a se vedea prin analogie, în ceea ce privește Directiva 2006/24, Hotărârea Digital Rights, punctele 66-68).
123 În orice caz, statele membre trebuie să garanteze controlul de către o autoritate independentă al respectării nivelului de protecție garantat de dreptul Uniunii în materie de protecție a persoanelor fizice față de prelucrarea datelor cu caracter personal, dat fiind că un astfel de control este impus în mod expres la articolul 8 alineatul (3) din cartă și constituie, conform jurisprudenței constante a Curții, un element esențial al respectării protecției persoanelor în ceea ce privește prelucrarea datelor cu caracter personal. În caz contrar, persoanele ale căror date cu caracter personal au fost păstrate ar fi private de dreptul, garantat la articolul 8 alineatele (1) și (3) din cartă, de a sesiza autoritățile naționale de supraveghere cu o cerere în vederea protejării drepturilor lor fundamentale (a se vedea în acest sens Hotărârea Digital Rights, punctul 68, precum și Hotărârea din 6 octombrie 2015, Schrems, C‑362/14, EU:C:2015:650, punctele 41 și 58).
124 Revine instanțelor de trimitere sarcina de a verifica dacă și în ce măsură reglementările naționale în discuție în litigiul principal respectă cerințele care decurg din cuprinsul articolului 15 alineatul (1) din Directiva 2002/58, interpretat în lumina articolelor 7, 8 și 11, precum și a articolului 52 alineatul (1) din cartă, astfel cum au fost clarificate la punctele 115-123 din prezenta hotărâre, în ceea ce privește atât accesul autorităților naționale competente la datele conservate, cât și protecția și nivelul de securitate al acestor date.
125 Având în vedere toate considerațiile care precedă, trebuie să se răspundă la a doua întrebare în cauza C‑203/15 și la prima întrebare în cauza C‑698/15 că articolul 15 alineatul (1) din Directiva 2002/58, citit în lumina articolelor 7, 8 și 11, precum și a articolului 52 alineatul (1) din cartă, trebuie interpretat în sensul că se opune unei reglementări naționale care guvernează protecția și securitatea datelor de transfer și a datelor de localizare și în special accesul autorităților naționale competente la datele păstrate, fără a limita acest acces, în cadrul combaterii infracționalității, numai la combaterea infracționalității grave, fără a supune respectivul acces unui control prealabil din partea unei instanțe sau a unei autorități administrative independente și fără a impune ca datele în cauză să fie păstrate pe teritoriul Uniunii.
Aflaţi mai mult despre C-623/17, Mihaela Mazilu-Babel

References: articolul 1
 articolul 4
 articolul 1

Articolul 4

Articolul 1
 articolul 8
 articolul 15
 articolul 22
 articolul 15
 articolul 4
 articolul 4
 articolul 8
 articolul 8
 articolul 15