Věc C‑470/21

La Quadrature du Net
a
Fédération des fournisseurs d’accès à Internet associatifs Odpůrci:
a
Franciliens.net et French Data Network

v.

Premier ministre
a
Ministère de la Culture

[žádost o rozhodnutí o předběžné otázce, kterou podala Conseil d’État (Státní rada, Francie)]

Rozsudek Soudního dvora (pléna) ze dne 30. dubna 2024

„Řízení o předběžné otázce – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58/ES – Důvěrnost elektronických komunikací – Ochrana – Článek 5 a čl. 15 odst. 1 – Listina základních práv Evropské unie – Články 7, 8 a 11 a čl. 52 odst. 1 – Vnitrostátní právní předpisy, jejichž cílem je boj proti porušováním autorských práv, k nimž dochází na internetu, prostřednictvím žaloby orgánu veřejné moci – Postup tzv. ‚odstupňované odpovědi‘ – Předchozí shromažďování IP adres používaných k činnostem porušujícím autorská práva nebo práva s nimi související organizacemi zastupujícími nositele práv – Následný přístup orgánu veřejné moci pověřeného ochranou autorských práv a práv s nimi souvisejících k údajům o totožnosti odpovídajícím těmto IP adresám uchovávaným poskytovateli služeb elektronických komunikací – Automatizované zpracování – Požadavek na předchozí přezkum ze strany soudu nebo nezávislého správního orgánu – Hmotněprávní a procesní podmínky – Záruky proti riziku zneužití a proti jakémukoliv neoprávněnému přístupu k těmto údajům a jejich protiprávnímu využívání“

1. Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Pojem zpracování osobních údajů – Shromažďování IP adres uživatelů peer-to-peer sítí organizacemi zastupujícími nositele práv za účelem jejich použití ve správních postupech nebo soudních řízeních – Zahrnutí

   [Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 bod a čl. 6 odst. 1 první pododstavec písm. f)]

   (viz body 54, 60–62)

2. Sbližování právních předpisů – Odvětví telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58/ES – Oblast působnosti – Porovnání shromážděných IP adres s držiteli uvedených adres poskytovateli služeb elektronických komunikací pro účely použití těchto údajů ve správních postupech nebo soudních řízeních – Zahrnutí

   (Směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, článek 3)

   (viz body 55, 63)

3. Sbližování právních předpisů – Odvětví telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58 – Možnost členských států omezit rozsah určitých práv a povinností – Vnitrostátní právní úprava, která stanoví plošné a nerozlišující uchovávání údajů o totožnosti odpovídajících IP adresám – Cíl boje proti soudně trestným činům obecně – Přípustnost – Podmínky – Povinnost členského státu stanovit přísné požadavky na způsoby uchovávání uvedených údajů

   (Listina základních práv Evropské unie, články 7, 8, 11 a čl. 52 odst. 1; směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, čl. 15 odst. 1)

   (viz body 65–70, 73–93)

4. Sbližování právních předpisů – Odvětví telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58 – Možnost členských států omezit rozsah určitých práv a povinností – Vnitrostátní právní úprava, která orgánu veřejné moci umožňuje přístup k údajům o totožnosti odpovídajícím IP adresám – Vnitrostátní právní úprava, jejímž cílem je boj proti porušování autorských práv a práv s nimi souvisejících, k nimž dochází na internetu – Přípustnost – Podmínky

   (Listina základních práv Evropské unie, články 7, 8, 11 a čl. 52 odst. 1; směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, čl. 15 odst. 1)

   (viz body 95–104, 110–114, 116–119, 122, 164 a výrok)

5. Sbližování právních předpisů – Odvětví telekomunikací – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58 – Možnost členských států omezit rozsah určitých práv a povinností – Vnitrostátní právní úprava, která orgánu veřejné moci umožňuje přístup k údajům o totožnosti odpovídajícím IP adresám – Vnitrostátní právní úprava, jejímž cílem je boj proti porušováním autorských práv a práv s nimi souvisejících, k nimž dochází na internetu – Požadavek na předběžný přezkum přístupu k uvedeným údajům prováděný soudem nebo nezávislým správním orgánem – Rozsah – Způsoby uvedeného předběžného přezkumu

   (Listina základních práv Evropské unie, články 7, 8, 11 a čl. 52 odst. 1; směrnice Evropského parlamentu a Rady 2002/58, ve znění směrnice 2009/136, čl. 15 odst. 1)

   (viz body 124–143, 145, 146, 148–151, 164 a výrok)

6. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů v trestních věcech – Směrnice 2016/680 – Působnost – Pojem „orgán veřejné moci“ – Vnitrostátní orgán bez rozhodovacích pravomocí pověřený varováním osob podezřelých ze spáchání soudně trestných činů – Zahrnutí – Použitelnost hmotněprávních a procesních záruk

   (Směrnice Evropského parlamentu a Rady 2016/680, článek 3)

   (viz body 157–163)

Shrnutí

V posledních letech byl Soudní dvůr několikrát vyzván, aby rozhodl o uchovávání osobních údajů a přístupu k nim v oblasti elektronických komunikací, a v důsledku toho vytvořil v této oblasti bohatou judikaturu ( 1 ). Plénum Soudního dvora, kterému Conseil d’État (Státní rada, Francie) předložila žádost o rozhodnutí o předběžné otázce, rozvíjí tuto judikaturu tím, že poskytuje upřesnění jednak podmínek, za nichž nelze mít za to, že plošné uchovávání IP adres poskytovateli služeb elektronických komunikací vede k závažnému zásahu do práv na respektování soukromého života, na ochranu osobních údajů a do svobody projevu zaručených Listinou ( 2 ), a jednak možnosti orgánu veřejné moci mít přístup k některým osobním údajům uchovávaným za takových podmínek v rámci boje proti porušováním práv duševního vlastnictví, k nimž dochází on-line.

V projednávané věci podala čtyři sdružení předsedovi vlády (Francie) návrh znějící na zrušení nařízení o automatizovaném zpracování osobních údajů ( 3 ). Vzhledem k tomu, že návrhu nebylo vyhověno, podala tato sdružení ke Conseil d’État (Státní rada) žalobu na neplatnost tohoto implicitního zamítavého rozhodnutí. Podle jejich názoru je toto nařízení, jakož i ustanovení, která tvoří jeho právní základ ( 4 ), v rozporu s unijním právem.

Podle francouzských právních předpisů je Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet (Vysoký úřad pro šíření děl a ochranu práv na internetu, dále jen „Hadopi“) k tomu, aby mohl zjistit totožnost osob, které v on-line prostou porušily autorská práva nebo práva s nimi související, oprávněn k přístupu k určitým údajům, které jsou povinni uchovávat poskytovatelé služeb elektronických komunikací. Tyto údaje se týkají totožnosti subjektu údajů odpovídající jeho IP adrese, kterou předtím shromáždily organizace zastupující nositele práv. Jakmile je identifikován držitel IP adresy použité pro činnosti vedoucí k takovému porušení, řídí se úřad Hadopi postupem tzv. „odstupňované odpovědi“. Konkrétně je úřad Hadopi oprávněn zaslat tomuto držiteli dvě doporučení, která mají podobou upozornění, a pokud činnost přetrvává, dopis, kterým držiteli IP adresy oznámí, že jeho činnost může být trestně stíhána. Nakonec je úřad Hadopi oprávněn obrátit se na státní zastupitelství za účelem trestního stíhání uvedené osoby ( 5 ).

V této souvislosti Conseil d’État (Státní rada) položila Soudnímu dvoru otázku týkající se výkladu směrnice „o soukromí a elektronických komunikacích“ ve spojení s Listinou ( 6 ).

Závěry Soudního dvora

Na prvním místě, pokud jde o uchovávání údajů o totožnosti a odpovídajících IP adres, Soudní dvůr zdůrazňuje, že jakékoli plošné a nerozlišující uchovávání IP adres nepředstavuje nutně závažný zásah do práv na respektování soukromého života, na ochranu osobních údajů, jakož i do svobody projevu zaručených Listinou.

Povinnost zajistit takové uchovávání může být odůvodněna cílem boje proti soudně trestným činům obecně, je-li skutečně vyloučeno, že by toto uchovávání mohlo způsobit závažné zásahy do soukromého života subjektu údajů tím, že by bylo možné vyvodit o subjektu údajů přesné závěry, zejména prostřednictvím propojení těchto IP adres se souborem provozních nebo lokalizačních údajů.

Členský stát, který hodlá poskytovatelům služeb elektronických komunikací uložit takovou povinnost, se tedy musí ujistit, že způsoby uchovávání těchto údajů vylučují, aby bylo možné vyvodit přesné závěry o soukromém životě subjektů údajů.

Soudní dvůr upřesnil, že způsoby uchovávání údajů se musí za tímto účelem týkat samotné struktury uchovávání, která musí být v podstatě organizována tak, aby bylo zaručeno skutečně úplné oddělení jednotlivých kategorií uchovávaných údajů. Vnitrostátní normy týkající se těchto způsobů tak musí zajistit, aby každá kategorie údajů, včetně údajů o totožnosti a IP adresách, byla uchovávána zcela odděleně od ostatních kategorií uchovávaných údajů a aby toto oddělení bylo skutečně úplné, a to prostřednictvím zabezpečeného a spolehlivého počítačového mechanismu. Navíc vzhledem k tomu, že tyto normy stanoví možnost propojení uchovávaných IP adres s údaji o totožnosti subjektu údajů pro účely boje proti trestným činům, musí takové propojení umožnit pouze za použití účinného technického postupu, který nezpochybňuje účinnost úplného oddělení těchto kategorií údajů. Spolehlivost tohoto úplného oddělení musí být pravidelně kontrolována třetím orgánem veřejné moci. Pokud použitelné vnitrostátní právní předpisy stanoví takové přísné požadavky, zásah vyplývající z tohoto uchovávání IP adres nelze kvalifikovat jako „závažný“.

Soudní dvůr proto dospěl k závěru, že je-li zavedena právní úprava, která zaručuje, že žádná kombinace údajů neumožní vyvodit přesné závěry o soukromém životě osob, jejichž údaje jsou uchovávány, nebrání směrnice „o soukromí a elektronických komunikacích“ ve spojení s Listinou tomu, aby členský stát uložil povinnost plošného a nerozlišujícího uchovávání IP adres po nezbytně nutnou dobu pro účely boje proti soudně trestným činům obecně.

Na druhém místě, pokud jde o přístup k údajům o totožnosti odpovídajícím IP adresám, Soudní dvůr rozhodl, že směrnice „o soukromí a elektronických komunikacích“ ve spojení s Listinou v zásadě nebrání vnitrostátní právní úpravě, která umožňuje orgánu veřejné moci přístup k těmto údajům uchovávaným poskytovateli služeb elektronických komunikací odděleně a skutečně samostatně, a to pouze za tím účelem, aby tento orgán mohl identifikovat držitele těchto adres podezřelé z toho, že jsou odpovědní za porušení autorských práv a práv s nimi souvisejících na internetu, a přijmout vůči nim opatření. V takovém případě musí vnitrostátní právní úprava zakázat zaměstnancům, kteří mají takový přístup, zaprvé zpřístupnit informace v jakékoli formě o obsahu souborů, do nichž tito držitelé nahlíželi, s výjimkou jediného účelu, kterým je postoupení věci státnímu zástupci, zadruhé sledovat postup prohlížení internetu těmito držiteli a zatřetí používat tyto IP adresy k jiným účelům než k přijetí uvedených opatření.

V této souvislosti Soudní dvůr zejména připomněl, že i když svoboda projevu a důvěrnost osobních údajů jsou prvořadými zájmy, tato základní práva nejsou přesto absolutní. Při vyvažování dotčených práv a zájmů musí tato základní práva někdy ustoupit jiným základním právům nebo požadavkům obecného zájmu, jako je obrana veřejného pořádku a předcházení soudně trestným činům nebo ochrana práv a svobod jiných. Tak je tomu zejména v případě, kdy převaha přiznaná uvedeným stěžejním zájmům může narušit účinnost trestního vyšetřování zejména tím, že znemožňuje nebo nadměrně ztěžuje účinné zjištění totožnosti pachatele soudně trestného činu a uložení sankce tomuto pachateli.

V téže souvislosti Soudní dvůr rovněž odkazuje na svou judikaturu, podle které pokud jde o boj proti soudně trestným činům porušujícím autorská práva nebo práva s nimi související, k nimž dochází on-line, okolnost, že přístup k IP adresám může být jediným vyšetřovacím prostředkem umožňujícím identifikace subjektu údajů, směřuje k prokázání toho, že uchovávání těchto adres a přístup k nim jsou nezbytně nutné k dosažení sledovaného cíle a splňují tedy požadavek přiměřenosti. Neumožnit takový přístup by ostatně znamenalo reálné riziko systémové beztrestnosti nejen soudně trestných činů, k nimž dochází on-line, nebo takových činů, jejichž spáchání či přípravu usnadňují specifické vlastnosti internetu. Existence takového rizika přitom představuje relevantní okolnost pro účely posouzení v rámci vyvažování jednotlivých dotčených práv a zájmů, zda je zásah do práva na respektování soukromého života, na ochranu osobních údajů, jakož i na svobodu projevu přiměřeným opatřením s ohledem na cíl boje proti soudně trestným činům.

Na třetím místě má Soudní dvůr při rozhodování o tom, zda přístup orgánu veřejné moci k údajům o totožnosti, které odpovídají IP adrese, musí podléhat předchozímu přezkumu ze strany soudu nebo nezávislého správního orgánu, za to, že požadavek na takový přezkum je závazný, pokud v kontextu vnitrostátní právní úpravy s sebou tento přístup nese riziko závažného zásahu do základních práv subjektu údajů v tom smyslu, že by mohl tomuto orgánu veřejné moci umožnit vyvodit přesné závěry o soukromém životě této osoby a případně vytvořit jeho podrobný profil. Naopak tento požadavek na předběžný přezkum se neuplatní, pokud zásah do základních práv nelze kvalifikovat jako závažný.

V tomto ohledu upřesnil Soudní dvůr, že v případě, kdy je zaveden mechanismus uchovávání, který zaručuje skutečně úplné oddělení jednotlivých kategorií uchovávaných údajů, není přístup orgánu veřejné moci k údajům o totožnosti, které odpovídají IP adresám, v zásadě podřízen požadavku na předchozí přezkum. Takový přístup pouze za účelem identifikace držitele IP adresy totiž obecně nepředstavuje závažný zásah do výše uvedených práv.

Soudní dvůr však nevylučuje, že v atypických situacích existuje riziko, že v rámci takového řízení, jako je postup odstupňované odpovědi dotčený ve věci v původním řízení, orgán veřejné moci může vyvodit přesné závěry o soukromém životě subjektu údajů, zejména v případě, že tato osoba opakovaně, či dokonce ve velkém rozsahu vykonává činnosti porušující autorská práva nebo práva s nimi související na peer-to-peer sítích v souvislosti s chráněnými díly určitého druhu, a odhalit tak informace, případně citlivé informace, o soukromém životě uvedené osoby.

V projednávané věci může být držitel IP adresy vystaven takovému riziku zvláště v případě, kdy se má orgán veřejné moci rozhodnout, zda věc předloží státnímu zastupitelství za účelem trestního stíhání. Intenzita zásahu do práva na respektování soukromého života se tak může zvyšovat s tím, jak postup odstupňované odpovědi, který je postupným procesem, prochází jednotlivými fázemi, z nichž se skládá. Přístup příslušného orgánu ke všem údajům týkajícím se subjektu údajů, které byly shromážděny v jednotlivých fázích tohoto postupu, může umožnit vyvození přesných závěrů o soukromém životě tohoto subjektu údajů. Vnitrostátní právní úprava tudíž musí stanovit předchozí přezkum, který musí být proveden předtím, než orgán veřejné moci může spojit údaje o totožnosti a takový soubor údajů, a předtím, než je tomuto subjektu zaslán dopis, ve kterém mu orgán veřejné moci oznámí, že se dopustil skutků, které lze trestně stíhat. Tento přezkum musí kromě toho zachovat účinnost postupu odstupňované odpovědi tím, že zvláště umožní identifikovat případy možného opakování dotčeného protiprávního jednání. Za tímto účelem musí být tento postup organizován a strukturován tak, aby údaje o totožnosti osoby odpovídající IP adresám, které byly předtím shromážděny na internetu, nemohly být osobami pověřenými posuzováním skutků u příslušného orgánu veřejné moci automaticky spojeny s informacemi, které má již orgán k dispozici, což by jim umožnilo vyvodit přesné závěry o soukromém životě této osoby.

Kromě toho, pokud jde dále o předmět předběžné kontroly, Soudní dvůr uvedl, že v případech, kdy je dotyčná osoba podezřelá ze spáchání trestného činu, který je soudně trestným činem obecně, musí soud nebo nezávislý správní orgán pověřený tímto přezkumem přístup odepřít, pokud by orgán veřejné moci mohl vyvodit přesné závěry o soukromém životě uvedené osoby. Naproti tomu i přístup umožňující vyvodit takové přesné závěry by měl být povolen v případech, kdy je subjekt údajů podezřelý ze spáchání činů, které dotyčný členský stát považuje za ohrožující základní zájem společnosti, a patří tak mezi závažné formy trestné činnosti.

Soudní dvůr rovněž upřesnil, že předběžný přezkum nemůže být v žádném případě zcela automatizován, neboť pokud jde o trestní vyšetřování, takový přezkum vyžaduje vyvážení legitimních zájmů souvisejících s bojem proti trestné činnosti na jedné straně a respektování soukromého života a ochrany osobních údajů na straně druhé. Takové vyvážení vyžaduje zásah fyzické osoby, který je o to nezbytnější, pokud automatická povaha a obrovský rozsah dotčeného zpracování údajů s sebou nesou rizika pro soukromí.

Soudní dvůr tak dospěl k závěru, že možnost osob pověřených posuzováním skutků v rámci orgánu veřejné moci propojit údaje o totožnosti osoby odpovídající IP adrese se soubory obsahujícími informace umožňující seznámit se s názvy chráněných děl, jejichž zpřístupnění na internetu odůvodnilo shromáždění IP adres organizacemi zastupujícími nositele práv, musí být v případech, že tatáž osoba opakovaně provádí činnost porušující autorská práva nebo práva s nimi související podmíněna přezkumem ze strany soudu nebo nezávislého správního orgánu. Tento přezkum nemůže být zcela automatizovaný a musí být proveden před takovým propojením, neboť takové propojení může v příslušných případech umožnit vyvození přesných závěrů o soukromém životě uvedené osoby, jejíž IP adresa byla použita k činnostem, které mohou porušovat autorská práva nebo práva s nimi související.

Na čtvrtém a posledním místě Soudní dvůr uvedl, že systém zpracování údajů používaný orgánem veřejné moci musí být pravidelně kontrolován nezávislým subjektem, který má ve vztahu k tomuto orgánu postavení třetí strany. Cílem této kontroly je ověřit integritu systému, včetně ověření účinných záruk proti rizikům protiprávního přístupu k těmto údajům a jejich zneužívajícímu nebo neoprávněnému použití, jakož i jeho účinnosti a spolehlivosti při odhalování případných neplnění povinností.

V tomto rámci Soudní dvůr poznamenal, že automatizované zpracování osobních údajů prováděné orgánem veřejné moci na základě informací o porušení autorského práva zjištěných organizacemi zastupujícími nositele práv může zahrnovat určitý počet falešně pozitivních případů a zejména riziko, že potenciálně velmi vysoký objem osobních údajů může být zneužit třetími osobami k protiprávním nebo neoprávněným účelům, což vysvětluje nezbytnost takového přezkumu.

Soudní dvůr kromě toho doplňuje, že toto zpracování musí dodržovat zvláštní pravidla ochrany osobních údajů stanovená ve směrnici 2016/680 ( 7 ). I když totiž v projednávané věci nemá orgán veřejné moci vlastní rozhodovací pravomoci v rámci postupu tzv. odstupňované odpovědi, musí být považován za „orgán veřejné moci“ zapojený do prevence a odhalování soudně trestných činů, a spadá tak do jeho působnosti. Osoby zapojené do takového postupu musí mít všechny hmotněprávní a procesní záruky stanovené ve směrnici 2016/680, u nichž přísluší ověřit předkládajícímu soudu, že jsou stanoveny vnitrostátními právními předpisy.

( 1 ) – Viz zejména rozsudky ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970), ze dne 2. října 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788), ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791), ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci) (C‑746/18, EU:C:2021:152), ze dne 17. června 2021, M. I. C. M. (C‑597/19, EU:C:2021:492), a ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další (C‑140/20, EU:C:2022:258).

( 2 ) – Články 7, 8 a 11 Listiny základních práv Evropské unie (dále jen „Listina“).

( 3 ) – Nařízení č. 2010–236 ze dne 5. března 2010 o automatizovaném zpracování osobních údajů povoleném článkem L. 331-29 zákona o duševním vlastnictví, s názvem „Systém pro správu opatření na ochranu děl na internetu“ (JORF č. 56 ze dne 7. března 2010, text č. 19), ve znění nařízení č. 2017–924 ze dne 6. května 2017 o správě autorských práv a práv s nimi souvisejících organizací pro správu práv a o změně zákona o duševním vlastnictví (JORF č. 109 ze dne 10. května 2017, text č. 176).

( 4 ) – Zejména čl. L. 331–21 třetí až pátý pododstavec zákona o duševním vlastnictví.

( 5 ) – Od 1. ledna 2022 se Hadopi a Conseil supérieur de l'audiovisuel (Nejvyšší rada pro audiovizuální vysílání, CSA), jiný nezávislý orgán veřejné moci, sloučily do Autorité de régulation de la communication audiovisuelle et numérique (Úřad pro regulaci audiovizuální a digitální komunikace, ARCOM). Od té doby se v podstatě postup odstupňované odpovědi nezměnil.

( 6 ) – Článek 15 odst. 1 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (Úř. věst. 2009, L 337, s. 11) (dále jen „směrnice ‚o soukromí a elektronických komunikacích‘“), ve spojení s články 7, 8, 11 a čl. 52 odst. 1 Listiny.

( 7 ) – Směrnice Evropského parlamentu a Rady (EU) ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89).