Sag C-548/21

CG

mod

Bezirkshauptmannschaft Landeck

(anmodning om præjudiciel afgørelse indgivet af Landesverwaltungsgericht Tirol)

Domstolens dom (Store Afdeling) af 4. oktober 2024

»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger – direktiv (EU) 2016/680 – artikel 3, nr. 2) – begrebet »behandling« – artikel 4 – principper for behandling af personoplysninger – artikel 4, stk. 1, litra c) – princippet om »dataminimering« – artikel 7, 8 og 47 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder – krav om, at en begrænsning af udøvelsen af en grundlæggende rettighed skal være »fastlagt i lovgivningen« – proportionalitet – vurdering af proportionaliteten ud fra alle relevante forhold – forudgående kontrol foretaget af en retsinstans eller en uafhængig forvaltningsmyndighed – artikel 13 – oplysninger, der skal stilles til rådighed for eller gives til den registrerede – grænser – artikel 54 – adgang til et effektivt retsmiddel over for en dataansvarlig eller databehandler – politiefterforskning i en sag om narkotikahandel – politimyndighedernes forsøg på oplåsning af en mobiltelefon for med henblik på denne efterforskning at få adgang til de oplysninger, der er indeholdt i denne telefon«

1. Tilnærmelse af lovgivningerne – telekommunikationssektoren – behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor – direktiv 2002/58 – anvendelsesområde – politimyndighedernes forsøg på at få adgang til personoplysninger, der er indeholdt i en mobiltelefon, med henblik på en strafferetlig efterforskning – ingen medvirken af udbydere af elektroniske kommunikationstjenester – ikke omfattet

   (Europa-Parlamentets og Rådets direktiv 2002/58, som ændret ved direktiv 2009/136, art. 1, stk. 1 og 3, og art. 3)

   (jf. præmis 57-59)

2. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i straffesager – direktiv 2016/680 – anvendelsesområde – politimyndighedernes forsøg på at få adgang til personoplysninger, der er indeholdt i en mobiltelefon, med henblik på en strafferetlig efterforskning – omfattet

   [Europa-Parlamentets og Rådets direktiv 2016/680, art. 2, stk. 1, og art. 3, nr. 2)]

   (jf. præmis 71-77)

3. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i straffesager – direktiv 2016/680 – principper for behandling af personoplysninger – princippet om dataminimering og proportionalitetsprincippet – politiefterforskning i en sag om narkotikahandel – national lovgivning, som giver de kompetente myndigheder mulighed for at få adgang til oplysninger, der er indeholdt i en mobiltelefon, med henblik på at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger i almindelighed – tilladt – betingelser

   [Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8 samt art. 52, stk. 1; Europa-Parlamentets og Rådets direktiv 2016/680, art. 4, stk. 1, litra c)]

   (jf. præmis 84-86, 89-93, 95-106, 109 og 110 samt domskonkl. 1)

4. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i straffesager – direktiv 2016/680 – oplysningspligt over for den registrerede – ret til en effektiv domstolsprøvelse – politiefterforskning i en sag om narkotikahandel – national lovgivning, der tillader, at de kompetente myndigheder forsøger at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, uden at underrette den registrerede om de hensyn, der ligger til grund for en sådan tilladelse – ikke tilladt – pligt for de kompetente myndigheder til at underrette den registrerede om disse hensyn – rækkevidde

   (Den Europæiske Unions charter om grundlæggende rettigheder, art. 47 og art. 52, stk. 1; Europa-Parlamentets og Rådets direktiv 2016/680, art. 13 og 54)

   (jf. præmis 115-123 og domskonkl. 2)

Resumé

Efter at være blevet forelagt en anmodning om præjudiciel afgørelse fra Landesverwaltungsgericht Tirol (den regionale forvaltningsdomstol i Tyrol, Østrig) præciserede Domstolens Store Afdeling for det første de betingelser, hvorunder de kompetente nationale myndigheder på baggrund af direktiv 2016/680 ( 1 ) kan få adgang til oplysninger, der er indeholdt i en mobiltelefon, med henblik på at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger i almindelighed. For det andet anerkendte Domstolen den registreredes ret til at blive underrettet om de hensyn, der ligger til grund for tilladelsen til at få adgang til sådanne oplysninger, og dét fra det tidspunkt, hvor denne underretning ikke længere vil kunne skade udførelsen af de opgaver, der påhviler disse myndigheder.

Den 23. februar 2021 blev en pakke adresseret til CG, som indeholdt 85 gram cannabis, beslaglagt af østrigske toldmedarbejdere i forbindelse med en narkotikakontrol. Denne pakke blev fremsendt til de østrigske politimyndigheder til undersøgelse. Den 6. marts 2021 foretog to politibetjente, i forbindelse med en politiefterforskning i en sag om narkotikahandel, en ransagning af CG’s bopæl og afhørte ham om afsenderen af pakken. Efter at CG havde nægtet at give politibetjentene adgang til sin mobiltelefons forbindelsesdata, beslaglagde betjentene telefonen.

Efterfølgende forsøgte forskellige politibetjente flere gange at låse CG’s mobiltelefon op. I den konkrete sag blev såvel beslaglæggelsen af telefonen som de senere forsøg på oplåsning af denne foretaget af politibetjentene uden tilladelse fra anklagemyndigheden eller en dommer.

Den 31. marts 2021 anlagde CG sag ved den forelæggende ret med henblik på at anfægte lovligheden af beslaglæggelsen af sin mobiltelefon, som han fik tilbageleveret den 20. april 2021. CG blev ikke straks underrettet om forsøgene på at bearbejde sin telefon og fik kendskab hertil i sagen, der verserer for den forelæggende ret.

I denne sammenhæng ønskede den forelæggende ret oplyst, om en omfattende og ukontrolleret adgang til samtlige de oplysninger, der er indeholdt i en mobiltelefon, i forhold til »direktivet om databeskyttelse inden for elektronisk kommunikation« ( 2 ) udgør et så alvorligt indgreb i de grundlæggende rettigheder ( 3 ), at denne adgang skal begrænses til bekæmpelse af grove lovovertrædelser. Den forelæggende ret ønskede ligeledes oplyst, dels om dette direktiv ( 4 ) er til hinder for en national lovgivning, hvorefter kriminalpolitiet under en strafferetlig efterforskning uden godkendelse fra en domstol eller et uafhængigt forvaltningsorgan kan skaffe sig omfattende og ukontrolleret adgang til samtlige de oplysninger, der er indeholdt i en mobiltelefon, dels om denne samme nationale lovgivning er forenelig med adgangen til effektive retsmidler, såfremt den ikke forpligter politimyndighederne til at oplyse en mobiltelefons ejer om foranstaltningerne vedrørende digital bearbejdning af denne mobiltelefon.

Domstolens bemærkninger

Indledningsvis bemærkede Domstolen, at et direkte forsøg fra politimyndighederne på at få adgang til personoplysninger, der er indeholdt i en mobiltelefon, uden nogen som helst medvirken af en udbyder af elektroniske kommunikationstjenester, såsom forsøget angående CG, ikke falder ind under anvendelsesområdet for »direktivet om databeskyttelse inden for elektronisk kommunikation«.

I første omgang fastslog Domstolen, at et sådant forsøg på adgang falder ind under anvendelsesområdet for direktiv 2016/680. Den præciserede i denne forbindelse, at henset til den brede rækkevidde, som EU-lovgiver har haft til hensigt at give begrebet »behandling« ( 5 ), indleder politimyndigheder en »behandling«, når de beslaglægger en telefon og manipulerer den med henblik på at genfinde og søge i de personoplysninger, der er indeholdt i denne telefon, selv om det af tekniske grunde ikke lykkes for disse myndigheder at få adgang til disse oplysninger. Den effektive virkning af princippet om formålsbegrænsning ( 6 ) kræver nemlig nødvendigvis, at formålet med indsamlingen fastlægges fra det tidspunkt, hvor de kompetente myndigheder forsøger at få adgang til personoplysninger, eftersom et sådant forsøg, hvis det lykkes, bl.a. gør det muligt for disse myndigheder straks at indsamle, genfinde eller søge i de omhandlede oplysninger. Hvis et sådant forsøg ikke kunne kvalificeres som »behandling« af oplysningerne, ville det høje beskyttelsesniveau for fysiske personers personoplysninger blive bragt i fare. På samme måde ville en situation, hvor anvendeligheden af direktiv 2016/680 afhang af, om et forsøg på at få adgang til personoplysninger indeholdt i en mobiltelefon lykkedes, skabe en usikkerhed såvel for de kompetente nationale myndigheder som for borgerne, der ville være uforenelig med dette princip.

I anden omgang undersøgte Domstolen, om princippet om »dataminimering« ( 7 ), betragtet som et udtryk for proportionalitetsprincippet, er til hinder for en national lovgivning, som giver de kompetente myndigheder mulighed for at få adgang til oplysninger, der er indeholdt i en mobiltelefon, med henblik på at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger i almindelighed, uden at gøre udøvelsen af denne mulighed betinget af en forudgående kontrol ved en domstol eller et uafhængigt forvaltningsorgan. Domstolen påpegede således, at begrænsninger af de grundlæggende rettigheder angående privatlivet, familielivet og beskyttelse af personoplysninger ( 8 ) skal overholde proportionalitetsprincippet og kun kan indføres, såfremt de er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen. For det første fastslog Domstolen i denne henseende, at en behandling af personoplysninger i forbindelse med en politiefterforskning med henblik på bekæmpelse af en strafbar handling, såsom et forsøg på at få adgang til oplysninger indeholdt i en mobiltelefon, som udgangspunkt skal anses for faktisk at svare til et mål af almen interesse, der er anerkendt af Unionen. For det andet bemærkede den, at forholdsmæssigheden af de af en sådan behandling følgende begrænsninger af udøvelsen af de grundlæggende rettigheder angående respekten for privatlivet og beskyttelse af personoplysninger indebærer en afvejning af samtlige relevante elementer i den konkrete sag.

Hvad for det første angår alvoren af en begrænsning af disse grundlæggende rettigheder, der følger af en lovgivning, som gør det muligt for de kompetente politimyndigheder uden forudgående tilladelse at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, præciserede Domstolen således, at en sådan adgang – afhængigt af indholdet af den omhandlede mobiltelefon og de valg, som disse politimyndigheder træffer – kan vedrøre en meget bred vifte af oplysninger og således kan gøre det muligt at drage meget præcise slutninger vedrørende den pågældende persons privatliv. Et sådant indgreb i de grundlæggende rettigheder angående respekten for privatlivet og beskyttelse af personoplysninger må derfor anses for at være alvorligt eller endog særdeles alvorligt.

For det andet anførte Domstolen, at grovheden af den lovovertrædelse, der er genstand for efterforskningen, er et centralt element ved vurderingen af forholdsmæssigheden af det alvorlige indgreb, der sker ved adgangen til de personoplysninger, som er indeholdt i en mobiltelefon. En antagelse om, at det kun er bekæmpelse af grov kriminalitet, der kan begrunde adgang til sådanne oplysninger, ville imidlertid begrænse de kompetente myndigheders efterforskningsbeføjelser i forhold til strafbare handlinger i almindelighed, ville ikke tage hensyn til den specifikke karakter af de opgaver, som disse myndigheder udfører, og ville skade formålet om skabelsen af et område med frihed, sikkerhed og retfærdighed inden for Unionen. Med henblik på at opfylde kravet om, at enhver begrænsning i udøvelsen af en grundlæggende rettighed skal være »fastlagt i lovgivningen« ( 9 ), påhviler det imidlertid den nationale lovgiver tilstrækkeligt præcist at definere de elementer, herunder arten eller kategorierne af de pågældende lovovertrædelser, der skal tages i betragtning.

For det tredje bemærkede Domstolen, at med henblik på at sikre, at proportionalitetsprincippet overholdes, skal de kompetente nationale myndigheders adgang til personoplysningerne være underlagt en forudgående kontrol, der foretages af enten en domstol eller et uafhængigt forvaltningsorgan, når denne adgang indebærer en risiko for et alvorligt eller endog særdeles alvorligt indgreb i den registreredes grundlæggende rettigheder. Denne kontrol skal finde sted forud for ethvert forsøg på at få adgang til de omhandlede oplysninger, medmindre der foreligger et behørigt begrundet hastetilfælde, i hvilket tilfælde denne kontrol skal foretages hurtigst muligt. I forbindelse med denne kontrol skal domstolen eller det uafhængige forvaltningsorgan have beføjelse til at nægte eller begrænse en anmodning om adgang, der er omfattet af anvendelsesområdet for direktiv 2016/680, når den konstaterer, at det indgreb i de grundlæggende rettigheder, som denne adgang udgør, er uforholdsmæssigt. I den konkrete sag skulle de kompetente politimyndigheders adgang til oplysninger, der var indeholdt i en mobiltelefon, nægtes eller begrænses, hvis en adgang til indholdet af kommunikationen eller til følsomme oplysninger – henset til overtrædelsens grovhed og de behov, der knyttede sig til efterforskningen – ikke forekom begrundet.

På baggrund af det ovenstående konkluderede Domstolen, at princippet om dataminimering, sammenholdt med retten til beskyttelse af personoplysninger og retten til respekt for privatlivet, ikke er til hinder for en national lovgivning, som giver de kompetente myndigheder mulighed for at få adgang til oplysninger, der er indeholdt i en mobiltelefon, med henblik på at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger i almindelighed. En sådan tilladelighed er dog betinget af, at legalitetsprincippet og proportionalitetsprincippet overholdes, og af, at en domstol eller et uafhængigt forvaltningsorgan foretager en forudgående kontrol af udøvelsen af retten til adgang til sådanne oplysninger.

I tredje omgang tog Domstolen stilling til spørgsmålet om, hvorvidt CG burde være blevet underrettet om forsøgene på at få adgang til de oplysninger, der var indeholdt i hans mobiltelefon ( 10 ). Den fastslog i denne forbindelse, at de kompetente nationale myndigheder, der af en domstol eller et uafhængigt forvaltningsorgan har fået tilladelse til at skaffe sig adgang til de lagrede oplysninger, skal underrette de registrerede om de hensyn, der ligger til grund for denne tilladelse, fra det tidspunkt, hvor denne underretning ikke længere vil kunne skade disse myndigheders efterforskning. Disse samme myndigheder skal stille alle de oplysninger, der er omhandlet i direktiv 2016/680 ( 11 ), til rådighed for de registrerede, for at disse kan udøve bl.a. deres ret til effektive retsmidler ( 12 ). En national lovgivning, der generelt udelukker enhver ret til at få sådanne oplysninger, er således ikke i overensstemmelse med EU-retten. I den konkrete sag fastslog Domstolen, at CG på forhånd burde være blevet underrettet om forsøgene på at få adgang til de oplysninger, der var indeholdt i hans mobiltelefon. Eftersom CG’s mobiltelefon allerede var blevet beslaglagt på tidspunktet for politimyndighedernes forsøg på oplåsning, syntes det nemlig ikke, som om en underretning af CG om disse forsøg på adgang kunne skade efterforskningen. Følgelig konkluderede Domstolen, at bestemmelserne i direktiv 2016/680, sammenholdt med chartret ( 13 ), er til hinder for en national lovgivning, der tillader, at de kompetente myndigheder skaffer sig adgang til oplysninger, der er indeholdt i en mobiltelefon, uden at underrette den registrerede om de hensyn, der ligger til grund for en domstols eller et uafhængigt forvaltningsorgans tilladelse til at få adgang til sådanne oplysninger, og dét fra det tidspunkt, hvor denne underretning ikke længere vil kunne skade udførelsen af de opgaver, der påhviler disse myndigheder.

( 1 ) – Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89).

( 2 ) – Nærmere bestemt i forhold til artikel 15, stk. 1, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12.7.2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT 2002, L 201, s. 37), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25.11.2009 (EUT 2009, L 337, s. 11) (herefter »direktivet om databeskyttelse inden for elektronisk kommunikation«).

( 3 ) – Fastsat i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).

( 4 ) – Nærmere bestemt artikel 15, stk. 1, i »direktivet om databeskyttelse inden for elektronisk kommunikation«.

( 5 ) – I henhold til artikel 3, nr. 2), i direktiv 2016/680 er begrebet »behandling« defineret som »enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, […]«.

( 6 ) – Artikel 4, stk. 1, litra b), i direktiv 2016/680.

( 7 ) – Således som fastsat i artikel 4, stk. 1, litra c), i direktiv 2016/680, hvorefter medlemsstaterne skal fastsætte bestemmelser om, at personoplysninger skal være tilstrækkelige, relevante og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil de behandles.

( 8 ) – Chartrets artikel 7 og 8.

( 9 ) – Chartrets artikel 52, stk. 1.

( 10 ) – Chartrets artikel 47.

( 11 ) – Omhandlet i artikel 13, stk. 1, i direktiv 2016/680.

( 12 ) – Artikel 54 i direktiv 2016/680.

( 13 ) – Nærmere bestemt artikel 13 og 54 i direktiv 2016/680, sammenholdt med chartrets artikel 47 og artikel 52, stk. 1.