Věc C‑623/17

Privacy International

v.

Secretary of State for Foreign and Commonwealth Affairs a další

[žádost o rozhodnutí o předběžné otázce podaná Investigatory Powers Tribunal (tribunál pro kontrolu vyšetřovacích pravomocí, Spojené království)]

Rozsudek Soudního dvora (velkého senátu) ze dne 6. října 2020

„Řízení o předběžné otázce – Zpracování osobních údajů v odvětví elektronických komunikací – Poskytovatelé služeb elektronických komunikací – Plošné a nerozlišující předávání provozních a lokalizačních údajů – Zajištění národní bezpečnosti – Směrnice 2002/58/ES – Oblast působnosti – Článek 1 odst. 3 a článek 3 – Důvěrný charakter elektronických sdělení – Ochrana – Článek 5 a čl. 15 odst. 1 – Listina základních práv Evropské unie – Články 7, 8 a 11 a čl. 52 odst. 1 – Článek 4 odst. 2 SEU“

1. Sbližování právních předpisů – Odvětví telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58 – Oblast působnosti – Vnitrostátní právní úprava, která poskytovatelům služeb elektronických komunikací ukládá povinnost předávat provozní a lokalizační údaje bezpečnostním a zpravodajským službám – Cíl zajištění národní bezpečnosti – Zahrnutí

   (Článek 4 odst. 2 SEU; směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, čl. 1 odst. 1 a 3, článek 3 a čl. 15 odst. 1)

   (viz body 35–39, 41–44, 46, 48, 49, výrok 1)

2. Sbližování právních předpisů – Odvětví telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58 – Možnost členských států omezit rozsah určitých práv a povinností – Vnitrostátní opatření, kterým se poskytovatelům služeb elektronických komunikací ukládá povinnost plošného a nerozlišujícího předávání provozních a lokalizačních údajů bezpečnostním a zpravodajským službám – Cíl zajištění národní bezpečnosti – Nepřípustnost

   (Článek 4 odst. 2 SEU; Listina základních práv Evropské unie, články 7, 8, 11 a čl. 52 odst. 1; směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, čl. 5 odst. 1 a čl. 15 odst. 1)

   (viz body 55–62, 65–82, výrok 2)

Shrnutí

Soudní dvůr potvrzuje, že unijní právo brání vnitrostátní právní úpravě, která za účelem boje proti trestným činům obecně nebo za účelem zajištění národní bezpečnosti ukládá poskytovatelům služeb elektronických komunikací povinnost plošného a nerozlišujícího předávání nebo uchovávání provozních a lokalizačních údajů

Naproti tomu v situacích, kdy členský stát čelí závažnému ohrožení národní bezpečnosti, které se jeví jako skutečné a aktuální nebo předvídatelné, se tento členský stát může odchýlit od povinnosti zajistit důvěrnost údajů souvisejících s elektronickými sděleními a může prostřednictvím legislativních opatření stanovit povinnost plošného a nerozlišujícího uchovávání těchto údajů po dobu nezbytně nutnou, avšak s možností prodloužení, pokud ohrožení přetrvává. V případě boje proti závažné trestné činnosti a předcházení závažnému ohrožení veřejné bezpečnosti může členský stát stanovit i cílené uchovávání zmíněných údajů a jejich urychlené uchovávání. Takový zásah do základních práv musí být doprovázen účinnými zárukami a přezkoumatelný soudem nebo nezávislým správním orgánem. Členský stát může rovněž provádět plošné a nerozlišující uchovávání IP adres přidělených zdroji komunikace, pokud je doba uchovávání omezena na to, co je nezbytně nutné, nebo také plošné a nerozlišující uchovávání údajů o totožnosti uživatelů prostředků elektronické komunikace, a to bez bližšího časového omezení

V posledních letech Soudní dvůr v několika rozsudcích rozhodoval o uchovávání osobních údajů a přístupu k nim v oblasti elektronických komunikací ( 1 ). Judikatura, která z nich vzešla – především rozsudek Tele2 Sverige a Watson a další, ve kterém Soudní dvůr dospěl zejména k závěru, že členské státy nemohou poskytovatelům služeb elektronických komunikací uložit povinnost plošného a nerozlišujícího uchovávání provozních a lokalizačních údajů – znepokojila některé státy, které měly obavy, že byly zbaveny nástroje, jejž považují za nezbytný pro zajištění národní bezpečnosti a boj proti trestné činnosti.

V tomto kontextu byly k Investigatory Powers Tribunal (tribunál pro kontrolu vyšetřovacích pravomocí, Spojené království) (Privacy International, C‑623/17), Conseil d’État (Státní rada, Francie) (La Quadrature du Net a další, spojené věci C‑511/18 a C‑512/18) a Cour constitutionnelle (Ústavní soud, Belgie) (Ordre des barreaux francophones et germanophone a další, C‑520/18) předloženy spory týkající se legality právních úprav, které v těchto oblastech přijaly některé členské státy a které stanoví zejména povinnost poskytovatelů služeb elektronických komunikací předávat orgánům veřejné moci nebo plošně či nerozlišujícím způsobem uchovávat provozní a lokalizační údaje uživatelů.

Ve dvou rozsudcích ze dne 6. října 2020 velký senát Soudního dvora předně rozhodl, že směrnice o soukromí a elektronických komunikacích se vztahuje na vnitrostátní právní úpravy, kterými se poskytovatelům služeb elektronických komunikací ukládá povinnost zpracovávat – pro účely zajištění národní bezpečnosti a boje proti trestné činnosti – osobní údaje například jejich předáváním orgánům veřejné moci nebo jejich uchováváním. Soudní dvůr dále potvrdil své závěry o nepřiměřenosti plošného a nerozlišujícího uchovávání provozních a lokalizačních údajů vyslovené v rozsudku Tele2 Sverige a Watson a další a upřesnil zejména rozsah pravomocí, které tato směrnice přiznává členským státům v oblasti uchovávání zmíněných údajů pro uvedené účely.

Soudní dvůr nejprve rozptýlil pochybnosti o použitelnosti směrnice o soukromí a elektronických komunikacích, které v těchto věcech vyvstaly. Několik členských států, které Soudnímu dvoru předložily písemná vyjádření, totiž vyjádřilo v tomto ohledu odlišný názor. Tyto státy zejména tvrdily, že tato směrnice se na dotčené vnitrostátní právní úpravy nevztahuje, protože cílem těchto úprav je zajištění národní bezpečnosti, které spadá, jak dosvědčuje zejména čl. 4 odst. 2 třetí věta SEU, do jejich výhradních pravomocí. Soudní dvůr nicméně shledává, že vnitrostátní právní úpravy, kterými se poskytovatelům služeb elektronických komunikací ukládá pro uvedené účely povinnost uchovávat provozní a lokalizační údaje nebo předávat tyto údaje vnitrostátním bezpečnostním a zpravodajským službám, spadají do oblasti působnosti směrnice.

Následně Soudní dvůr připomíná, že směrnice o soukromí a elektronických komunikacích ( 2 ) neumožňuje, aby se výjimka ze základní povinnosti zajistit důvěrný charakter elektronických sdělení a s nimi souvisejících údajů a ze zákazu uchovávat tyto údaje stala pravidlem. Z toho plyne, že tato směrnice umožňuje členským státům přijmout – mj. pro účely národní bezpečnosti – legislativní opatření, kterými omezí rozsah práv a povinností uvedených v této směrnici, zejména povinnost zajistit důvěrný charakter sdělení a provozních údajů ( 3 ), jen tehdy, jsou‑li tato opatření v souladu s obecnými zásadami unijního práva, k nimž patří zásada proporcionality, a se základními právy zaručenými Listinou ( 4 ).

V této souvislosti dospěl Soudní dvůr ve věci Privacy International k závěru, že směrnice o soukromí a elektronických komunikacích ve spojení s Listinou brání vnitrostátní právní úpravě, kterou se poskytovatelům služeb elektronických komunikací ukládá – pro účely zajištění národní bezpečnosti – povinnost plošného a nerozlišujícího předávání provozních a lokalizačních údajů bezpečnostním a zpravodajským službám. Ve spojených věcech La Quadrature du Net a další a ve věci Ordre des barreaux francophones et germanophone a další má Soudní dvůr za to, že tato směrnice brání legislativním opatřením, kterými se poskytovatelům služeb elektronických komunikací ukládá povinnost preventivního plošného a nerozlišujícího uchovávání provozních a lokalizačních údajů. Tyto povinnosti spočívající v předávání a v plošném a nerozlišujícím uchovávání zmíněných údajů představují totiž zvlášť závažné zásahy do základních práv zaručených Listinou, nemá‑li chování osob, o jejichž údaje jde, žádnou souvislost s cílem sledovaným dotčenou právní úpravou. Soudní dvůr obdobně vykládá čl. 23 odst. 1 obecného nařízení o ochraně osobních údajů ( 5 ) ve spojení s Listinou v tom smyslu, že tento článek brání vnitrostátní právní úpravě, která poskytovatelům veřejných komunikačních služeb on‑line a poskytovatelům hostingových služeb ukládá povinnost plošného a nerozlišujícího uchovávání údajů, zejména osobních údajů souvisejících s těmito službami.

Naproti tomu v situacích, kdy dotyčný členský stát čelí závažnému ohrožení národní bezpečnosti, které se jeví jako skutečné a aktuální nebo předvídatelné, směrnice o soukromí a elektronických komunikacích ve spojení s Listinou nebrání podle názoru Soudního dvora možnosti přikázat poskytovatelům služeb elektronických komunikací, aby plošně a nerozlišujícím způsobem uchovávali provozní a lokalizační údaje. V tomto kontextu Soudní dvůr upřesňuje, že rozhodnutí, kterým se na nezbytně nutnou dobu ukládá poskytovatelům služeb elektronických komunikací povinnost provádět takové uchovávání údajů, musí být účinně přezkoumatelné soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, aby se ověřilo, že nastala některá z těchto situací a byly dodrženy stanovené podmínky a záruky. Za těchto podmínek směrnice nebrání ani automatizované analýze údajů, zejména provozních a lokalizačních, všech uživatelů prostředků elektronické komunikace.

Soudní dvůr dodává, že směrnice o soukromí a elektronických komunikacích ve spojení s Listinou nebrání ani legislativním opatřením umožňujícím stanovit cílené uchovávání provozních a lokalizačních údajů omezené na dobu nezbytně nutnou a vymezené na základě objektivních a nediskriminačních kritérií kategoriemi dotčených osob nebo prostřednictvím zeměpisného kritéria. Tato směrnice rovněž nebrání takovým opatřením, která stanoví plošné a nerozlišující uchovávání IP adres přidělených zdroji komunikace, pokud je doba uchovávání omezena na to, co je nezbytně nutné, ani opatřením, která stanoví plošné a nerozlišující uchovávání údajů o totožnosti uživatelů prostředků elektronické komunikace, přičemž v tomto posledně uvedeném případě nejsou členské státy povinny omezit uchovávání v čase. Uvedená směrnice nebrání ani legislativnímu opatření, které umožňuje stanovit urychlené uchovávání údajů, jimiž disponují poskytovatelé služeb, jakmile nastanou situace, v nichž se ukáže jako nezbytné uchovávat uvedené údaje po uplynutí zákonem stanovených dob za účelem objasnění závažných trestných činů nebo narušení národní bezpečnosti, pokud již došlo ke konstatování těchto trestných činů či narušení anebo lze jejich existenci důvodně předpokládat.

Kromě toho Soudní dvůr rozhodl, že směrnice o soukromí a elektronických komunikacích ve spojení s Listinou nebrání vnitrostátní právní úpravě, která poskytovatelům služeb elektronických komunikací ukládá povinnost shromažďovat provozní a lokalizační údaje v reálném čase, pokud je toto shromažďování omezeno na subjekty, u nichž existuje pádný důvod se domnívat, že jsou určitým způsobem zapojeny do teroristických činností, a podléhá předchozímu přezkumu prováděnému soudem nebo nezávislým správním orgánem, jehož rozhodnutí je závazné, aby se zajistilo, že takové shromažďování v reálném čase bude povoleno pouze v mezích toho, co je nezbytně nutné. V naléhavých případech musí být přezkum proveden v co nejkratší době.

Konečně se Soudní dvůr zabývá otázkou časového zachování účinků vnitrostátní právní úpravy uznané za neslučitelnou s unijním právem. V tomto ohledu rozhodl, že vnitrostátní soud nemůže uplatnit ustanovení svého vnitrostátního práva opravňující jej k tomu, aby časově omezil účinky prohlášení protiprávnosti, které mu přísluší, ve vztahu k vnitrostátní právní úpravě, kterou se poskytovatelům služeb elektronických komunikací ukládá plošné a nerozlišující uchovávání provozních a lokalizačních údajů a která byla uznána za neslučitelnou se směrnicí o soukromí a elektronických komunikacích ve spojení s Listinou.

V tomto ohledu a za účelem poskytnutí užitečné odpovědi předkládajícímu soudu Soudní dvůr připomíná, že přípustnost a hodnocení důkazů – v rámci trestního řízení zahájeného proti osobám podezřelým ze závažné trestné činnosti – získaných uchováváním údajů, které je v rozporu s unijním právem, spadá za současného stavu unijního práva výhradně do práva vnitrostátního. Soudní dvůr nicméně upřesňuje, že směrnice o soukromí a elektronických komunikacích vykládaná ve spojení se zásadou efektivity vyžaduje, aby vnitrostátní trestní soud nepřihlížel v rámci takového trestního řízení k důkazům, které byly získány prostřednictvím plošného a nerozlišujícího uchovávání provozních a lokalizačních údajů neslučitelného s unijním právem, pokud se osoby podezřelé ze spáchání trestných činů nemohou k těmto důkazům účinně vyjádřit.

( 1 ) – Například v rozsudku ze dne 8. dubna 2014, Digital Rights Ireland a další (C‑293/12 a C‑594/12, EU:C:2014:238) (viz tiskovou zprávu č. 54/14), Soudní dvůr rozhodl, že směrnice Evropského parlamentu a Rady 2006/24/ES ze dne 15. března 2006 o uchovávání údajů vytvářených nebo zpracovávaných v souvislosti s poskytováním veřejně dostupných služeb elektronických komunikací nebo veřejných komunikačních sítí a o změně směrnice 2002/58/ES (Úř. věst. 2006, L 105, s. 54) je neplatná, protože zásah do práva na respektování soukromého života a do práva na ochranu osobních údajů, uznaných Listinou základních práv Evropské unie (dále jen „Listina“), který představovala obecná povinnost uchovávat provozní a lokalizační údaje stanovená touto směrnicí, nebyl omezen na to, co je nezbytně nutné. V rozsudku ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970) (viz tiskovou zprávu č. 145/16), pak Soudní dvůr vyložil čl. 15 odst. 1 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514, oprava Úř. věst. 2014, L 290, s. 11), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (Úř. věst. 2009, L 337, s. 11) (dále jen „směrnice o soukromí a elektronických komunikacích“). Tento článek zmocňuje členské státy k tomu, aby – mj. z důvodů ochrany národní bezpečnosti – přijímaly „legislativní opatření“ s cílem omezit dosah některých práv a povinností upravených v uvedené směrnici. Konečně v rozsudku ze dne 2. října 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788) (viz tiskovou zprávu č. 141/18), Soudní dvůr vyložil týž čl. 15 odst. 1, tentokrát ve věci týkající se přístupu orgánů veřejné moci k údajům o totožnosti uživatelů prostředků elektronické komunikace.

( 2 ) – Článek 15 odst. 1 a 3 směrnice 2002/58.

( 3 ) – Článek 5 odst. 1 směrnice 2002/58.

( 4 ) – Konkrétně články 7, 8 a 11 a čl. 52 odst. 1 Listiny.

( 5 ) – Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1; oprava Úř. věst. 2018, L 127, s. 2).