13.4.2006   

PL

Dziennik Urzędowy Unii Europejskiej

L 105/54

(1)

Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (3) wymaga od państw członkowskich ochrony praw i wolności osób fizycznych w zakresie przetwarzania danych osobowych, w szczególności prawa do prywatności, w celu zapewnienia swobodnego przepływu danych osobowych we Wspólnocie.

(2)

Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (4) przekłada zasady ustanowione w dyrektywie 95/46/WE na zasady szczególne dla sektora łączności elektronicznej.

(3)

Artykuły 5, 6 i 9 dyrektywy 2002/58/WE ustalają zasady odnoszące się do przetwarzania danych o ruchu i lokalizacji generowanych w wyniku korzystania z usług łączności elektronicznej przez dostawców sieci i usług. Takie dane powinny zostać usunięte lub uczynione anonimowymi, gdy nie są już potrzebne do celów transmisji komunikatu z wyjątkiem danych niezbędnych do naliczania opłat i rozliczeń międzyoperatorskich. Niektóre dane, za zgodą abonenta, mogą być też przetwarzane w celach marketingowych i świadczenia usług stanowiących wartość dodaną.

(4)

Artykuł 15 ust. 1 dyrektywy 2002/58/WE określa warunki, w jakich państwa członkowskie mogą ograniczyć zakres praw i obowiązków gwarantowanych przepisami art. 5, art. 6, art. 8 ust. 1, 2, 3 i 4 oraz art. 9 tej dyrektywy; wszelkie tego typu odstępstwa powinny być niezbędne, właściwe i proporcjonalne w ramach społeczeństwa demokratycznego dla celów porządku publicznego, tj. zachowania bezpieczeństwa narodowego (tj. bezpieczeństwa państwa), obronności, bezpieczeństwa publicznego czy też zapobiegania, dochodzenia, wykrywania i ścigania przestępstw lub nielegalnego wykorzystania systemów łączności elektronicznej.

(5)

Kilka państw członkowskich przyjęło przepisy przewidujące zatrzymywanie danych przez usługodawców w celu zapobiegania, dochodzenia, wykrywania i ścigania przestępstw. Te przepisy krajowe różnią się od siebie w znacznym stopniu.

(6)

Prawne i techniczne różnice pomiędzy przepisami krajowymi w zakresie zatrzymywania danych w celu zapobiegania, dochodzenia, wykrywania i ścigania przestępstw stanowią przeszkodę dla wewnętrznego rynku łączności elektronicznej; usługodawcy napotykają na różne wymogi odnośnie do rodzajów danych o ruchu i lokalizacji, które mają być zatrzymywane, oraz warunków i okresów zatrzymywania.

(7)

W konkluzjach z posiedzenia Rady ds. Wymiaru Sprawiedliwości i Spraw Wewnętrznych z dnia 19 grudnia 2002 r. podkreślono, że z uwagi na znaczny wzrost możliwości, jakie daje łączność elektroniczna, dane odnoszące się do korzystania z łączności elektronicznej są szczególnie ważne i w związku z tym stanowią istotne narzędzie służące zapobieganiu, dochodzeniu, wykrywaniu oraz ściganiu przestępstw, zwłaszcza przestępczości zorganizowanej.

(8)

Przyjęta w dniu 25 marca 2004 r. przez Radę Europejską deklaracja w sprawie zwalczania terroryzmu zaleca Radzie zbadanie środków w celu przyjęcia przepisów w sprawie zatrzymywania przez usługodawców danych o ruchu połączeń.

(9)

Zgodnie z art. 8 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności (EKOPC) każdy ma prawo do poszanowania swojego życia prywatnego i korespondencji. Władze publiczne mogą ingerować w to prawo jedynie w zgodzie z obowiązującym ustawodawstwem i jeżeli jest to konieczne dla dobra społeczeństwa demokratycznego, między innymi w interesie bezpieczeństwa narodowego i publicznego, w celu zapobiegania naruszaniu porządku lub przestępstwom bądź ochrony praw i swobód innych obywateli. Ponieważ zatrzymywanie danych okazało się niezbędnym i skutecznym narzędziem egzekwowania prawa w śledztwach prowadzonych w niektórych państwach członkowskich, a w szczególności dotyczących tak poważnych przypadków, jak przestępstwa zorganizowane i terroryzm, niezbędne jest zagwarantowanie, że zatrzymywane dane przez pewien okres mogłyby być udostępniane organom odpowiedzialnym za egzekwowanie prawa, zgodnie z warunkami określonymi w niniejszej dyrektywie. Przyjęcie instrumentu spełniającego wymogi art. 8 EKOPC, służącego zatrzymywaniu danych, jest więc działaniem niezbędnym.

(10)

W deklaracji z dnia 13 lipca 2005 r., potępiającej ataki terrorystyczne w Londynie, Rada podkreśla potrzebę możliwie szybkiego przyjęcia wspólnych środków w sprawie zatrzymywania danych dotyczących połączeń.

(11)

Zważywszy na znaczenie, jakie dane o ruchu i lokalizacji mają w dochodzeniu, wykrywaniu i ściganiu przestępstw, istnieje, jak to wykazały badania i doświadczenia kilku państw członkowskich, potrzeba zapewnienia na poziomie europejskim zatrzymywania przez pewien czas danych generowanych lub przetwarzanych przez dostawców dostępnej publicznie łączności elektronicznej lub sieci łączności publicznej podczas świadczenia usług łączności, zgodnie z warunkami określonymi w niniejszej dyrektywie.

(12)

Artykuł 15 ust. 1 dyrektywy 2002/58/WE powinien być stosowany w dalszym ciągu w odniesieniu do danych, w szczególności tych dotyczących nieudanych prób uzyskania połączenia, co do których nie istnieje szczególny wymóg zatrzymywania w świetle niniejszej dyrektywy i z tego względu nie zostały w niej ujęte, a także w odniesieniu do celów, które nie zostały uwzględnione w niniejszej dyrektywie.

(13)

Niniejsza dyrektywa odnosi się jedynie do danych generowanych lub przetwarzanych w wyniku połączenia lub usług w zakresie łączności, nie zaś do danych będących treścią przekazywanej informacji. Zatrzymywanie danych powinno odbywać się w ten sposób, by uniknąć powtórnego zatrzymywania danych. Dane generowane lub przetwarzane w ramach świadczenia usług w zakresie łączności odnoszą się do danych, które są dostępne. W szczególności przy zatrzymywaniu danych związanych z internetową pocztą elektroniczną i telefonią internetową cel może zostać ograniczony do własnych usług dostawców lub dostawców sieci.

(14)

Technologie mające znaczenie dla łączności elektronicznej ulegają szybkiemu rozwojowi i dlatego uzasadnione wymogi właściwych organów także mogą ulec zmianie. W celu uzyskania opinii i zachęcenia do dzielenia się doświadczeniami w zakresie najlepszych praktyk w tym zakresie, Komisja zamierza stworzyć zespół składający się z przedstawicieli organów ścigania państw członkowskich, przedstawicieli branży łączności elektronicznej, przedstawicieli Parlamentu Europejskiego oraz organów ochrony danych, w tym Europejskiego Pełnomocnika ds. Ochrony Danych.

(15)

Dyrektywa 95/46/WE oraz dyrektywa 2002/58/WE w pełni stosują się do danych zatrzymywanych zgodnie z niniejszą dyrektywą. Artykuł 30 ust. 1 lit. c) przewiduje wymóg przeprowadzania konsultacji z grupą roboczą ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, ustanowioną w art. 29 tej dyrektywy.

(16)

Spoczywające na usługodawcach obowiązki w zakresie środków zapewniających jakość danych, wynikające z art. 6 dyrektywy 95/46 WE, a także ich obowiązki w zakresie środków zapewniających poufność i bezpieczeństwo przetwarzania danych, wynikające z art. 16 i 17 tej dyrektywy, w pełni stosują się do danych zatrzymywanych w rozumieniu niniejszej dyrektywy.

(17)

Istotne jest, aby państwa członkowskie przyjęły środki legislacyjne zapewniające udostępnianie danych zatrzymywanych na mocy niniejszej dyrektywy jedynie właściwym organom krajowym zgodnie z ustawodawstwem krajowym przy pełnym poszanowaniu praw podstawowych zainteresowanych osób.

(18)

W tym kontekście należy przypomnieć, że art. 24 dyrektywy 95/46/WE nakłada na państwa członkowskie obowiązek ustanowienia kar za naruszanie przepisów przyjętych na mocy tej dyrektywy. Artykuł 15 ust. 2 dyrektywy 2002/58/WE nakłada podobny obowiązek w odniesieniu do przepisów krajowych przyjętych na mocy dyrektywy 2002/58/WE. Decyzja ramowa Rady 2005/222/WSiSW z dnia 24 lutego 2005 r. w sprawie ataków na systemy informacyjne (5) stanowi, że umyślny nielegalny dostęp do systemów informacyjnych, w tym do zatrzymywanych w nich danych, jest karalny jako przestępstwo.

(19)

Prawo każdej osoby poszkodowanej w wyniku niezgodnej z prawem operacji przetwarzania danych lub jakiegokolwiek działania niezgodnego z przepisami krajowymi, przyjętymi na mocy dyrektywy 95/46/WE, do otrzymania odszkodowania, wynikające z art. 23 tej dyrektywy, stosuje się także do niezgodnego z prawem przetwarzania jakichkolwiek danych osobowych, zgodnie z niniejszą dyrektywą.

(20)

Konwencja Rady Europy o cyberprzestępczości z 2001 r. oraz Konwencja Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych z 1981 r. dotyczą również danych zatrzymywanych w rozumieniu niniejszej dyrektywy.

(21)

Jako że cele niniejszej dyrektywy, mianowicie harmonizacja obowiązków spoczywających na dostawcach, dotyczących zatrzymywania pewnych danych, oraz zapewnienie dostępu do tych danych w celu dochodzenia, wykrywania i ścigania poważnych przestępstw, określonych w ustawodawstwie krajowym każdego państwa członkowskiego, nie mogą zostać osiągnięte w wystarczający sposób przez państwa członkowskie, a mogą z uwagi na zasięg i skutki niniejszej dyrektywy zostać lepiej osiągnięte na poziomie wspólnotowym, Wspólnota może przyjąć środki zgodnie z zasadą pomocniczości, przewidzianą w art. 5 Traktatu. Zgodnie z zasadą proporcjonalności, przewidzianą w tym samym artykule, zakres niniejszej dyrektywy nie wykracza poza to, co jest konieczne dla osiągnięcia powyższych celów.

(22)

Niniejsza dyrektywa respektuje prawa podstawowe i przestrzega zasad uznanych w szczególności w Karcie Praw Podstawowych Unii Europejskiej; w szczególności niniejsza dyrektywa wraz z dyrektywą 2002/58/WE mają na celu zwłaszcza zapewnienie pełnego przestrzegania praw podstawowych obywateli w zakresie poszanowania prywatności i tajemnicy korespondencji oraz ochrony danych osobowych, jak to zostało określone w art. 7 i 8 Karty.

(23)

Z uwagi na fakt, że obowiązki dostawców usług łączności elektronicznej powinny być proporcjonalne, niniejsza dyrektywa wymaga, by zatrzymywali oni jedynie dane generowane lub przetwarzane w trakcie świadczenia przez nich usług łączności. Obowiązek zatrzymywania takich danych nie powinien występować w przypadku gdy takie dane nie są generowane lub przetwarzane przez tych dostawców. Niniejsza dyrektywa nie ma na celu harmonizacji technologii zatrzymywania danych; wybór technologii jest sprawą do rozstrzygnięcia na poziomie krajowym.

(24)

Zgodnie z ust. 34 Porozumienia międzyinstytucjonalnego w sprawie lepszego stanowienia prawa (6) zachęca się państwa członkowskie do sporządzania, dla ich własnych celów i w interesie Wspólnoty, własnych tabel, które w możliwie najszerszym zakresie odzwierciedlają korelacje pomiędzy niniejszą dyrektywą a środkami transpozycji, oraz do podawania ich do wiadomości publicznej.

(25)

Niniejsza dyrektywa pozostaje bez uszczerbku dla możliwości przyjmowania przez państwa członkowskie określonych przez nie środków legislacyjnych dotyczących prawa dostępu i wykorzystania danych przez organy krajowe. Kwestie dostępu organów krajowych do danych zatrzymywanych zgodnie z niniejszą dyrektywą w związku z działaniami, o których mowa w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46/WE, nie są objęte zakresem prawa wspólnotowego. Mogą one jednak podlegać przepisom krajowym lub działaniom podejmowanym na mocy tytułu VI Traktatu o Unii Europejskiej, przy czym takie przepisy lub działania powinny zawsze być w pełni zgodne z prawami podstawowymi, wynikającymi ze wspólnych tradycji konstytucyjnych państw członkowskich oraz gwarantowanymi przez EKPC. Artykuł 8 EKPC, zgodnie z wykładnią Europejskiego Trybunału Praw Człowieka, wymaga, by ingerencja organów publicznych w prawo do prywatności spełniała wymogi konieczności i proporcjonalności i w związku z tym służyła konkretnym, wyraźnie określonym i uzasadnionym celom oraz była dokonywana w sposób adekwatny, odpowiedni i nie była nadmierna w stosunku do swojego celu,

a)

„dane” oznaczają dane o ruchu i lokalizacji oraz powiązane dane niezbędne do identyfikacji abonenta lub użytkownika;

b)

„użytkownik” oznacza każdą osobę fizyczną lub prawną korzystającą z ogólnie dostępnych usług łączności elektronicznej do celów prywatnych lub handlowych, niekoniecznie na podstawie abonamentu na te usługi;

c)

„usługa telefoniczna” oznacza połączenia (w tym połączenia głosowe, pocztę głosową oraz połączenia konferencyjne i transmisję danych), usługi dodatkowe (w tym przekazywanie połączeń i transfer połączeń), usługi w zakresie przekazywania wiadomości i usługi multimedialne (w tym krótkie wiadomości tekstowe (SMS), rozszerzone wiadomości tekstowe (EMS) i wiadomości multimedialne (MMS));

d)

„identyfikator użytkownika” oznacza osobny i niepowtarzalny identyfikator przypisany każdej osobie opłacającej abonament lub będącej zarejestrowanym użytkownikiem usług dostępu do Internetu lub usług komunikacji internetowej;

e)

„identyfikator komórki” oznacza identyfikację komórki, z której rozpoczęto połączenie komórkowe bądź na której je zakończono;

f)

„nieudana próba połączenia” oznacza nawiązanie łączności, w którym połączenie nie zostało odebrane lub nastąpiła interwencja sieci.

a)

dane niezbędne do ustalenia źródła połączenia:

b)

dane niezbędne do ustalenia odbiorcy połączenia:

c)

dane niezbędne do określenia daty, godziny i czasu trwania połączenia:

d)

dane niezbędne do określenia rodzaju połączenia:

e)

dane niezbędne do określenia narzędzia komunikacji lub tego, co może służyć za narzędzie komunikacji:

f)

dane niezbędne do identyfikacji lokalizacji urządzenia komunikacji ruchomej:

a)

zatrzymywane dane mają taką samą jakość i podlegają takim samym zasadom bezpieczeństwa i ochrony, jak dane w sieci;

b)

w stosunku do danych stosowane będą właściwe środki techniczne i organizacyjne w celu ochrony tych danych przed przypadkowym lub bezprawnym zniszczeniem, utratą lub zmianą, nieupoważnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem;

c)

w stosunku do danych stosowane będą właściwe środki techniczne i organizacyjne w celu zagwarantowania, że dostęp do danych ma jedynie upoważniony do tego personel;

oraz

d)

wszystkie dane, z wyjątkiem tych, które zostały udostępnione i zachowane, zostaną zniszczone pod koniec okresu zatrzymania.

—

przypadki, w których właściwym organom udzielone zostały informacje zgodnie z mającym zastosowanie prawem krajowym,

—

czas, jaki upłynął między datą zatrzymania danych a datą wniosku o przekazanie danych złożonego przez właściwy organ,

—

przypadki, w których wnioski o dane nie mogły zostać zrealizowane.