DOMSTOLENS DOM (Store Afdeling)

4. oktober 2024 ( *1 )

»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger – direktiv (EU) 2016/680 – artikel 3, nr. 2) – begrebet »behandling« – artikel 4 – principper for behandling af personoplysninger – artikel 4, stk. 1, litra c) – princippet om »dataminimering« – artikel 7, 8 og 47 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder – krav om, at en begrænsning af udøvelsen af en grundlæggende rettighed skal være »fastlagt i lovgivningen« – proportionalitet – vurdering af proportionaliteten ud fra alle relevante forhold – forudgående kontrol foretaget af en retsinstans eller en uafhængig forvaltningsmyndighed – artikel 13 – oplysninger, der skal stilles til rådighed for eller gives til den registrerede – grænser – artikel 54 – adgang til et effektivt retsmiddel over for en dataansvarlig eller databehandler – politiefterforskning i en sag om narkotikahandel – politimyndighedernes forsøg på oplåsning af en mobiltelefon for med henblik på denne efterforskning at få adgang til de oplysninger, der er indeholdt i denne telefon«

I sag C-548/21,

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Landesverwaltungsgericht Tirol (den regionale forvaltningsdomstol i Tyrol, Østrig) ved afgørelse af 1. september 2021, indgået til Domstolen den 6. september 2021, i sagen

CG

mod

Bezirkshauptmannschaft Landeck,

har

DOMSTOLEN (Store Afdeling),

sammensat af præsidenten, K. Lenaerts, vicepræsidenten, L. Bay Larsen, afdelingsformændene K. Jürimäe, C. Lycourgos, E. Regan, T. von Danwitz, Z. Csehi og O. Spineanu-Matei samt dommerne P.G. Xuereb (refererende dommer), I. Jarukaitis, A. Kumin, N. Jääskinen og M. Gavalec,

generaladvokat: M. Campos Sánchez-Bordona,

justitssekretær: fuldmægtig C. Di Bella,

på grundlag af den skriftlige forhandling og efter retsmødet den 16. januar 2023,

efter at der er afgivet indlæg af:

–

den østrigske regering ved A. Posch, J. Schmoll, K. Ibili og E. Riedl, som befuldmægtigede,

–

den danske regering ved M.P.B. Jespersen, V. Pasternak Jørgensen, M. Søndahl Wolff og Y.T. Thyregod Kollberg, som befuldmægtigede,

–

den tyske regering ved J. Möller og M. Hellmann, som befuldmægtigede,

–

den estiske regering ved M. Kriisa, som befuldmægtiget,

–

Irland ved Chief State Solicitor M. Browne samt A. Joyce og M. Lane, som befuldmægtigede, bistået af R. Farrell, SC, D. Fennelly, BL, og solicitor D. O’Reilly,

–

den franske regering ved R. Bénard, A. Daniel, A.-L. Desjonquères og J. Illouz, som befuldmægtigede,

–

den cypriotiske regering ved I. Neophytou, som befuldmægtiget,

–

den ungarske regering ved Zs. Biró-Tóth og M.Z. Fehér, som befuldmægtigede,

–

den nederlandske regering ved M.K. Bulterman, A. Hanje og J. Langer, som befuldmægtigede,

–

den polske regering ved B. Majczyna, som befuldmægtiget,

–

den finske regering ved A. Laine, som befuldmægtiget,

–

den svenske regering ved J. Lundberg, H. Eklinder, C. Meyer-Seitz, A.M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev og O. Simonsson, som befuldmægtigede,

–

den norske regering ved F. Bergsjø, H. Busch, K. Moe Winther og P. Wennerås, som befuldmægtigede,

–

Europa-Kommissionen ved G. Braun, S.L. Kalėda, H. Kranenborg og F. Wilman, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 20. april 2023,

afsagt følgende

Dom

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 5 og artikel 15, stk. 1, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT 2002, L 201, s. 37), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009 (EUT 2009, L 337, s. 11) (herefter »direktiv 2002/58«), sammenholdt med artikel 7, 8, 11, 41 og 47 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).

2

Denne anmodning er blevet indgivet i forbindelse med en tvist mellem CG og Bezirkshauptmannschaft Landeck (den administrative myndighed i distriktet Landeck, Østrig) vedrørende politimyndighedernes beslaglæggelse af CG’s mobiltelefon og disse myndigheders forsøg på som led i en efterforskning i en sag om narkotikahandel at låse denne telefon op for at få adgang til de oplysninger, der er indeholdt i denne telefon.

Retsforskrifter

EU-retten

Direktiv 2002/58

3

Artikel 1 i direktiv 2002/58 med overskriften »Anvendelsesområde og formål« bestemmer følgende:

»1.   Dette direktiv tager sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatliv og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor, og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i Fællesskabet.

[...]

3.   Dette direktiv gælder ikke for aktiviteter, der ikke er omfattet af [EUF-]traktaten [...], som f.eks. de aktiviteter, der er omfattet af afsnit V og VI i [EU-]traktaten [...], og under ingen omstændigheder for aktiviteter, der vedrører den offentlige sikkerhed, forsvaret, statens sikkerhed (herunder statens økonomiske interesser, når disse aktiviteter er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område.«

4

Dette direktivs artikel 3 med overskriften »Omfattede tjenester« fastsætter følgende:

»Dette direktiv finder anvendelse på behandling af persondata i forbindelse med, at offentligt tilgængelige elektroniske kommunikationstjenester stilles til rådighed via offentlige kommunikationsnet i Fællesskabet, herunder offentlige kommunikationsnet med dataindsamlings- og identifikationsudstyr.«

5

Det nævnte direktivs artikel 5 med overskriften »Kommunikationshemmelighed« bestemmer i stk. 1 følgende:

»Medlemsstaterne sikrer kommunikationshemmeligheden ved brug af offentlige kommunikationsnet og offentligt tilgængelige elektroniske kommunikationstjenester, både for så vidt angår selve kommunikationen og de dermed forbundne trafikdata, via nationale forskrifter. De forbyder især aflytning, registrering, lagring og andre måder, hvorpå samtaler kan opfanges eller overvåges af andre end brugerne, uden at de pågældende brugere har indvilget heri, bortset fra tilfælde, hvor det er tilladt ifølge lovgivningen, jf. artikel 15, stk. 1. Dette stykke er ikke til hinder for teknisk lagring, som er nødvendig for overføring af en kommunikation, forudsat at princippet om kommunikationshemmelighed ikke berøres heraf.«

6

Samme direktivs artikel 15 med overskriften »Anvendelsesområdet for visse bestemmelser i direktiv 95/46/EF« bestemmer i stk. 1 følgende:

»Medlemsstaterne kan vedtage retsforskrifter med henblik på at indskrænke rækkevidden af de rettigheder og forpligtelser, der omhandles i artikel 5, artikel 6, artikel 8, stk. 1, 2, 3 og 4, og artikel 9, hvis en sådan indskrænkning er nødvendig, passende og forholdsmæssig i et demokratisk samfund af hensyn til den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem efter artikel 13, stk. 1, i [Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31)]. Med henblik herpå kan medlemsstaterne bl.a. vedtage retsforskrifter om lagring af data i en begrænset periode, som kan begrundes i et af de hensyn, der er nævnt i dette stykke. Alle i dette stykke omhandlede forskrifter skal være i overensstemmelse med fællesskabsrettens generelle principper, herunder principperne i [...] artikel 6, stk. 1 og 2, [TEU].«

Direktiv (EU) 2016/680

7

2., 4., 7., 10., 11., 15., 26., 37., 44., 46. og 104. betragtning til Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89) har følgende ordlyd:

»(2)

Principperne og reglerne for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger bør, uanset deres nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Dette direktiv har til formål at bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed.

[...]

(4)

Den frie udveksling af personoplysninger mellem kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed i [Den Europæiske Union], og overførsel af sådanne personoplysninger til tredjelande og internationale organisationer, bør lettes samtidig med, at der sikres et højt niveau for beskyttelse af personoplysninger. Denne udvikling kræver, at der opbygges en stærk og mere sammenhængende ramme for beskyttelse af personoplysninger i Unionen, som understøttes af en effektiv håndhævelse.

[...]

(7)

Det er vigtigt at sikre et ensartet og højt niveau for beskyttelse af personoplysninger om fysiske personer og gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde. Med det formål bør niveauet for beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, være ensartet i alle medlemsstater. For at sikre en effektiv beskyttelse af personoplysninger i hele Unionen er det nødvendigt at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler personoplysninger, samt tilsvarende beføjelser til at kontrollere og sikre overholdelsen af reglerne om beskyttelse af personoplysninger i medlemsstaterne.

[...]

(10)

I erklæring nr. 21 om beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, der er knyttet som bilag til slutakten fra den regeringskonference, der vedtog Lissabontraktaten, erkendte konferencen, at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri bevægelighed for personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i TEUF som følge af disse områders specifikke karakter.

(11)

Det er derfor hensigtsmæssigt, at disse områder behandles i et direktiv, der fastsætter særlige regler for beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, idet disse aktiviteters særlige karakter respekteres. Disse kompetente myndigheder kan omfatte ikke blot offentlige myndigheder som judicielle myndigheder, politi eller andre retshåndhævende myndigheder, men også alle andre organer eller enheder, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed eller offentlige beføjelser med henblik på dette direktiv. Hvis det pågældende organ eller den pågældende enhed behandler personoplysninger til andre formål end med henblik på dette direktiv, finder [Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1)] anvendelse. Forordning [2016/679] finder derfor anvendelse i tilfælde, hvor et organ eller en enhed indsamler personoplysninger til andre formål og viderebehandler disse personoplysninger for at opfylde en retlig forpligtelse, som det/den er underlagt. [...]

[...]

(15)

For at sikre et ensartet beskyttelsesniveau for fysiske personer ved hjælp af rettigheder, som kan håndhæves i hele Unionen, og for at hindre, at forskelle hæmmer den frie udveksling af personoplysninger mellem kompetente myndigheder, bør dette direktiv fastsætte harmoniserede regler for beskyttelse og fri udveksling af personoplysninger, der behandles med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Den indbyrdes tilnærmelse af medlemsstaternes lovgivninger bør ikke resultere i en forringelse af den beskyttelse af personoplysninger, de indeholder, men bør tværtimod søge at sikre et højt beskyttelsesniveau i Unionen. Medlemsstaterne bør ikke forhindres i at fastsætte højere standarder end dem, der er indeholdt i dette direktiv, for beskyttelse af den registreredes rettigheder og frihedsrettigheder med hensyn til kompetente myndigheders behandling af personoplysninger.

[...]

(26)

[...] Personoplysningerne bør være tilstrækkelige og relevante i forhold til de formål, hvortil de behandles. Det bør navnlig sikres, at de indsamlede personoplysninger ikke er for omfattende og ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de behandles. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. [...]

[...]

(37)

Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandlingen af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. Disse oplysninger bør omfatte personoplysninger om racemæssig eller etnisk oprindelse, idet anvendelsen af udtrykket »racemæssig oprindelse« i dette direktiv ikke betyder, at Unionen accepterer teorier, der søger at fastslå, at der findes forskellige menneskeracer. Sådanne personoplysninger bør ikke behandles, medmindre behandling er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, der er fastsat ved lov, og er tilladt i tilfælde hjemlet ved lov; hvis ikke allerede er hjemlet i henhold til en sådan lov, behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser; eller behandlingen vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede. Fornødne garantier for den registreredes rettigheder og frihedsrettigheder kan omfatte muligheden for kun at indsamle disse oplysninger i forbindelse med andre oplysninger om den pågældende fysiske person, muligheden for tilstrækkelig sikring af de indsamlede oplysninger, skærpede regler for den kompetente myndigheds personales adgang til oplysningerne og forbud mod videregivelse af disse oplysninger. Behandlingen af sådanne oplysninger bør desuden tillades ved lov, hvis den registrerede udtrykkeligt har givet sit samtykke til en behandling, som er særlig indgribende for vedkommende. Den registreredes samtykke bør dog ikke i sig selv udgøre et retsgrundlag for de kompetente myndigheders behandling af sådanne følsomme personoplysninger.

[...]

(44)

Medlemsstaterne bør have beføjelse til at vedtage lovgivningsmæssige foranstaltninger, der udsætter, begrænser eller afskærer meddelelse af oplysninger til de registrerede eller helt eller delvis begrænser deres ret til indsigt i oplysningerne, i det omfang og så længe en sådan foranstaltning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser, for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, for at undgå, at forebyggelsen, efterforskningen, afsløringen eller retsforfølgningen af strafbare handlinger skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner, for at beskytte den offentlige sikkerhed eller statens sikkerhed eller for at beskytte andres rettigheder og frihedsrettigheder. Den dataansvarlige bør gennem en konkret og individuel undersøgelse af de enkelte tilfælde vurdere, hvorvidt indsigtsretten helt eller delvis bør begrænses.

[...]

(46)

Enhver begrænsning af den registreredes rettigheder skal overholde chartret og [den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950,] som fortolket i retspraksis henholdsvis ved [Den Europæiske Unions Domstol] og ved Den Europæiske Menneskerettighedsdomstol og navnlig respekten for det væsentlige indhold i disse rettigheder og frihedsrettigheder.

[...]

(104)

I dette direktiv overholdes de grundlæggende rettigheder og principper, der anerkendes i chartret som forankret i [EUF-traktaten], navnlig retten til respekt for privatliv og familieliv, retten til beskyttelse af personoplysninger og adgang til effektive retsmidler og til en retfærdig rettergang. I overensstemmelse med chartrets artikel 52, stk. 1, kan der indføres begrænsninger af udøvelsen af disse rettigheder, såfremt de er nødvendige for at nå mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og frihedsrettigheder.«

8

Dette direktivs artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 1 og 2, følgende:

»1.   I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.

2.   Medlemsstaterne sikrer i overensstemmelse med dette direktiv:

a)

at fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, beskyttes, og

b)

at udvekslingen af personoplysninger mellem kompetente myndigheder i Unionen, hvor en sådan udveksling kræves i henhold til EU-retten eller medlemsstaternes nationale ret, hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.«

9

Det nævnte direktivs artikel 2 med overskriften »Anvendelsesområde« fastsætter i stk. 1 og 3, følgende:

»1.   Dette direktiv finder anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på artikel 1, stk. 1.

[...]

3.   Dette direktiv gælder ikke for behandling af personoplysninger:

a)

under udøvelse af aktiviteter, der falder uden for EU-retten

[...]«

10

Samme direktivs artikel 3 med overskriften »Definitioner« har følgende ordlyd:

»I dette direktiv forstås ved:

1)

»personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en online-identifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

2)

»behandling«: enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse

[...]

7)

»kompetent myndighed«:

a)

enhver offentlig myndighed, der er kompetent med hensyn til at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, eller

b)

ethvert andet organ eller enhver anden enhed, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed

[...]«

11

Artikel 4 i direktiv 2016/680 med overskriften »Principper for behandling af personoplysninger« bestemmer i stk. 1 følgende:

»Medlemsstaterne fastsætter bestemmelser om, at personoplysninger skal:

a)

behandles lovligt og rimeligt

b)

indsamles til udtrykkeligt angivne og legitime formål og ikke behandles på en måde, der er uforenelig med disse formål

c)

være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles

[...]«

12

Dette direktivs artikel 6 med overskriften »Sondring mellem forskellige kategorier af registrerede« har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede såsom:

a)

personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling

b)

personer, der er dømt for en strafbar handling

c)

ofre for en strafbar handling eller personer, om hvem visse faktiske omstændigheder giver anledning til at tro, at de kunne blive offer for en strafbar handling, og

d)

andre parter i forbindelse med en strafbar handling, såsom personer, der kan blive indkaldt som vidner i efterforskninger i forbindelse med strafbare handlinger eller i efterfølgende straffesager, personer, der kan tilvejebringe oplysninger om strafbare handlinger, eller kontakt- eller ledsagepersoner for en af de i litra a) og b) omhandlede personer.«

13

Det omhandlede direktivs artikel 10 med overskriften »Behandling af særlige kategorier af personoplysninger« er affattet således:

»Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering må kun tillades, når det er strengt nødvendigt, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, og kun:

a)

hvis hjemlet i EU-retten eller medlemsstaternes nationale ret

b)

for at beskytte den registreredes eller en anden fysisk persons vitale interesser, eller

c)

hvis denne behandling vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede.«

14

Artikel 13 i direktiv 2016/680 med overskriften »Oplysninger, der skal stilles til rådighed for eller gives til den registrerede« bestemmer følgende:

»1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige som minimum stiller følgende oplysninger til rådighed for den registrerede:

a)

identitet på og kontaktoplysninger for den dataansvarlige

b)

kontaktoplysninger for en eventuel databeskyttelsesrådgiver

c)

formålene med den behandling, som personoplysningerne skal bruges til

d)

retten til at indgive en klage til en tilsynsmyndighed og kontaktoplysningerne for tilsynsmyndigheden

e)

retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger og begrænsning af behandling af personoplysningerne vedrørende den registrerede.

2.   Ud over de oplysninger, der er omhandlet i stk. 1, fastsætter medlemsstaterne ved lov bestemmelser om, at den dataansvarlige i særlige tilfælde skal give den registrerede følgende yderligere oplysninger, for at vedkommende kan udøve sine rettigheder:

a)

retsgrundlaget for behandlingen

b)

det tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

c)

hvor det er relevant, kategorierne af modtagere af personoplysningerne, herunder i tredjelande eller internationale organisationer

d)

hvis det er nødvendigt, yderligere oplysninger, navnlig hvis personoplysningerne indsamles uden den registreredes vidende.

3.   Medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger, der udsætter, begrænser eller afskærer meddelelse af oplysninger til de registrerede, jf. stk. 2, i det omfang og så længe en sådan foranstaltning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser for at:

a)

undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer

b)

undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner

c)

beskytte den offentlige sikkerhed

d)

beskytte statens sikkerhed

e)

beskytte andres rettigheder og frihedsrettigheder.

[...]«

15

Dette direktivs artikel 54 med overskriften »Adgang til et effektivt retsmiddel over for en dataansvarlig eller databehandler« har følgende ordlyd:

»Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 52, fastsætter medlemsstaterne bestemmelser om, at en registreret skal have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder fastsat i bestemmelser, der er vedtaget i henhold til dette direktiv, er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med dette direktiv.«

Østrigsk ret

16

§ 27, stk. 1, i Suchtmittelgesetz (lov om narkotika) af 5. september 1997 (BGBl. I, 112/1997) i den affattelse, der finder anvendelse på tvisten i hovedsagen, bestemmer følgende:

»Den, der ulovligt

1.

erhverver, besidder, fremstiller, transporterer, importerer, eksporterer eller tilbyder, giver eller fremskaffer narkotika til en anden person

[...]

straffes med fængsel indtil et år eller med en bøde på op til 360 dagbøder.

[...]«

17

§ 17 i Strafgesetzbuch (straffeloven) af 1. januar 1975 (BGBl., 60/1974) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »den østrigske straffelov«), bestemmer følgende:

»(1)   Forbrydelser er forsætlige handlinger, der straffes med fængsel på livstid eller med fængsel i mere end tre år.

(2)   Alle andre lovovertrædelser er strafbare forhold.«

18

§ 18 i Strafprozessordnung (strafferetsplejeloven) af 30. december 1975 (BGBl., 631/1975) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »den østrigske strafferetsplejelov«), fastsætter følgende:

»(1)   Kriminalpolitiet varetager opgaver inden for strafferetsplejen (§ 10, stk. 1, nr. 6, [i Bundes-Verfassungsgesetz (forbundsforfatningsloven)]).

(2)   Kriminalpolitiets efterforskninger henhører under sikkerhedsmyndighedernes ansvar, hvis organisering og stedlige kompetence er reguleret i bestemmelserne i Sicherheitspolizeigesetz [(lov om sikkerhedspolitiet)] angående den offentlige sikkerhedstjenestes organisering.

(3)   Den offentlige sikkerhedstjenestes organer (§ 5, stk. 2, i Sicherheitspolizeigesetz [(lov om sikkerhedspolitiet)]) varetager kriminalpolitiets udøvende funktion, som består i at efterforske og retsforfølge strafbare handlinger i henhold til denne lovs bestemmelser.

[...]«

19

Den østrigske strafferetsplejelovs § 99, stk. 1, bestemmer følgende:

»Kriminalpolitiet efterforsker ex officio eller på grundlag af en anmeldelse og skal følge anklagemyndighedens og retternes anordninger (§ 105, stk. 2).«

Tvisten i hovedsagen og de præjudicielle spørgsmål

20

Den 23. februar 2021 blev en pakke adresseret til CG, som indeholdt 85 gram cannabis, beslaglagt af medarbejdere ved toldkontoret i Innsbruck (Østrig) i forbindelse med en narkotikakontrol. Denne pakke blev fremsendt til den centrale politistation i St. Anton am Arlberg (Østrig) til undersøgelse.

21

Den 6. marts 2021 foretog to politibetjente fra denne politistation en ransagning af CG’s bopæl, hvorunder de afhørte ham om afsenderen af den nævnte pakke og undersøgte hans bolig. Under denne ransagning anmodede politibetjentene om at få adgang til CG’s mobiltelefons forbindelsesdata. Efter at CG havde nægtet dette, beslaglagde disse politibetjente denne mobiltelefon, som indeholdt et SIM-kort og et SD-kort, og udleverede en beslaglæggelsesrapport til CG.

22

Den nævnte mobiltelefon blev efterfølgende indleveret til en ekspert ved distriktspolitistationen i Landeck (Østrig) med henblik på at blive låst op. Da det ikke lykkedes denne at låse den pågældende mobiltelefon op, blev telefonen sendt til Bundeskriminalamt (forbundskriminalpolitiet) i Wien (Østrig), hvor der blev gjort et nyt forsøg på oplåsning.

23

Beslaglæggelsen af CG’s mobiltelefon og de efterfølgende forsøg på at bearbejde denne telefon blev foretaget af de pågældende politibetjente på eget initiativ, uden at anklagemyndigheden eller en dommer havde givet dem tilladelse hertil.

24

Den 31. marts 2021 anlagde CG sag ved Landesverwaltungsgericht Tirol (den regionale forvaltningsdomstol i Tyrol, Østrig), som er den forelæggende ret, med henblik på at anfægte lovligheden af beslaglæggelsen af hans mobiltelefon. Mobiltelefonen blev tilbageleveret til CG den 20. april 2021.

25

CG blev ikke straks underrettet om forsøgene på at bearbejde sin mobiltelefon. Han fik først kendskab hertil, da den politibetjent, der havde beslaglagt denne mobiltelefon og efterfølgende havde taget skridt til at bearbejde telefonens digitale data, blev afhørt som vidne i sagen, der verserer for den forelæggende ret. Disse forsøg blev heller ikke dokumenteret i kriminalpolitiets sagsakter.

26

For det første ønsker den forelæggende ret, henset til disse forhold, oplyst, om artikel 15, stk. 1, i direktiv 2002/58, sammenholdt med chartrets artikel 7 og 8, på baggrund af præmis 52-61 i dom af 2. oktober 2018, Ministerio Fiscal (C-207/16, EU:C:2018:788), og den retspraksis, der er nævnt i disse præmisser, skal fortolkes således, at en omfattende og ukontrolleret adgang til samtlige de oplysninger, der er indeholdt i en mobiltelefon – dvs. forbindelsesdata, indholdet af kommunikationen, fotografier og browsinghistorik, hvilke oplysninger kan give et meget detaljeret og indgående billede af næsten alle områder af den registreredes privatliv – udgør et så alvorligt indgreb i de grundlæggende rettigheder, der er fastsat i chartrets artikel 7 og 8, at denne adgang på området for forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger skal begrænses til bekæmpelse af grove lovovertrædelser.

27

I denne henseende har den forelæggende ret præciseret, at den lovovertrædelse, som CG foreholdes i forbindelse med den i hovedsagen omhandlede strafferetlige efterforskning, er fastsat i § 27, stk. 1, i lov om narkotika og kan straffes med fængsel i op til højst et år, og at den i forhold til klassificeringen i den østrigske straffelovs § 17 kun udgør strafbart forhold.

28

For det andet og efter at have henvist til den lære, der følger af præmis 48-54 i dom af 2. marts 2021, Prokuratuur (Betingelser for adgang til oplysninger om elektronisk kommunikation) (C-746/18, EU:C:2021:152), og af den retspraksis, der er nævnt i disse præmisser, ønsker den forelæggende ret oplyst, om artikel 15, stk. 1, i direktiv 2002/58 er til hinder for en national lovgivning såsom den, der fremgår af den østrigske strafferetsplejelovs § 18, sammenholdt med denne lovs § 99, stk. 1, hvorefter kriminalpolitiet under en strafferetlig efterforskning uden godkendelse fra en domstol eller et uafhængigt forvaltningsorgan kan skaffe sig omfattende og ukontrolleret adgang til alle de digitale data, der er lagret på en mobiltelefon.

29

Efter at den forelæggende ret har fremhævet, at den østrigske strafferetsplejelovs § 18, sammenholdt med denne lovs § 99, stk. 1, ikke fastsætter nogen forpligtelse for politimyndighederne til at dokumentere foranstaltninger vedrørende digital bearbejdning af en mobiltelefon eller til at oplyse mobiltelefonens ejer om, at der pågår sådanne foranstaltninger, således at denne i givet fald kan modsætte sig disse foranstaltninger gennem et forebyggende eller efterfølgende søgsmål, har denne ret for det tredje og til sidst udtrykt tvivl om, hvorvidt disse bestemmelser i den østrigske strafferetsplejelov er forenelige med princippet om processuel ligestilling og adgangen til effektive retsmidler som omhandlet i chartrets artikel 47.

30

På denne baggrund har Landesverwaltungsgericht Tirol (den regionale forvaltningsdomstol i Tyrol) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:

»1)

Skal artikel 15, stk. 1 (eventuelt sammenholdt med artikel 5) i direktiv 2002/58 [...] i lyset af [chartrets] artikel 7 og 8 [...] fortolkes således, at offentlige myndigheders adgang til data, der er lagret på en mobiltelefon, indebærer et indgreb i de grundlæggende rettigheder vedrørende disse data, der er fastsat i de nævnte artikler i chartret, som er så alvorligt, at denne adgang skal begrænses til forebyggelse, efterforskning, afsløring og retsforfølgning af straffelovsovertrædelser med henblik på bekæmpelse af grov kriminalitet?

2)

Skal artikel 15, stk. 1, i direktiv 2002/58 [...] i lyset af [chartrets] artikel 7, 8 og 11 og artikel 52, stk. 1, [...] fortolkes således, at [denne bestemmelse] er til hinder for en national lovgivning som [den østrigske strafferetsplejelovs] § 18, sammenholdt med [denne lovs] § 99, stk. 1, [...] hvorefter sikkerhedsmyndighederne i forbindelse med en strafferetlig efterforskning uden godkendelse fra en domstol eller et uafhængigt forvaltningsorgan skaffer sig omfattende og ukontrolleret adgang til alle de digitale data, der er lagret på en mobiltelefon?

3)

Skal [chartrets] artikel 47, eventuelt sammenholdt med [dettes] artikel 41 og 52, [...] henset til den processuelle ligestilling og adgangen til effektive retsmidler, fortolkes således, at den er til hinder for en lovgivning i medlemsstat, der som [den østrigske strafferetsplejelovs] § 18, sammenholdt med [denne lovs] § 99, stk. 1, muliggør, at en mobiltelefon udnyttes digitalt, uden at den berørte person forinden eller i det mindste efter iværksættelsen af foranstaltningen underrettes herom?«

Retsforhandlingerne for Domstolen

31

Den 20. oktober 2021 fremsendte Domstolen en anmodning om oplysninger til den forelæggende ret, hvorved den opfordrede denne ret til at oplyse, om direktiv 2016/680 kunne være relevant i forbindelse med hovedsagen, og i givet fald at redegøre for de bestemmelser i national ret, der gennemfører dette direktiv i østrigsk ret, og som kunne finde anvendelse i den foreliggende sag.

32

Den 11. november 2021 besvarede den forelæggende ret denne anmodning, idet den bl.a. anførte, at kravene i direktiv 2016/680 skulle overholdes i denne sag. Dette svar blev sammen med forelæggelsesafgørelsen meddelt de berørte parter, der er omhandlet i artikel 23 i statutten for Den Europæiske Unions Domstol.

33

Den 8. november 2022 anmodede Domstolen i henhold til artikel 61 i Domstolens procesreglement deltagerne i retsforhandlingernes mundtlige del om at koncentrere deres mundtlige indlæg om direktiv 2016/680 og om under den mundtlige forhandling at besvare visse spørgsmål vedrørende dette direktiv.

Anmodningen om genåbning af retsforhandlingernes mundtlige del

34

Efter generaladvokatens fremsættelse af forslag til afgørelse har den østrigske regering ved dokument indleveret til Domstolens Justitskontor den 17. maj 2023 fremsat en anmodning om berigtigelse af dette forslag til afgørelse med den begrundelse, at forslaget indeholder en upræcis redegørelse for det standpunkt, denne regering har givet udtryk for i sine skriftlige og mundtlige indlæg, og at det indeholder faktuelle fejl.

35

For det første antydes det nemlig ifølge den østrigske regering i punkt 50 i generaladvokatens forslag til afgørelse, sammenholdt med fodnote 14 til dette forslag, at et forsøg på adgang til oplysninger indeholdt i en mobiltelefon, såsom det i hovedsagen omhandlede forsøg, ifølge denne regering ikke kan udgøre en behandling af personoplysninger i den forstand, hvori udtrykket er anvendt i artikel 3, nr. 2), i direktiv 2016/680. Imidlertid hævdede den østrigske regering det modsatte i retsmødet ved Domstolen, idet den udtrykkeligt tilsluttede sig det standpunkt, som Europa-Kommissionen havde givet udtryk for i sit skriftlige indlæg, ifølge hvilket det fremgår af en systemisk fortolkning af dette direktiv læst i lyset af dets formål, at direktivet ikke blot regulerer de egentlige behandlinger, men ligeledes handlinger, der finder sted forud for disse behandlinger, såsom et forsøg på behandling, uden at anvendelsen af det nævnte direktiv er underlagt en betingelse om, at dette forsøg på behandling er lykkedes.

36

For det andet har den østrigske regering gjort gældende, at punkt 27 i generaladvokatens forslag til afgørelse hviler på urigtige faktiske omstændigheder, for så vidt som det heri antydes, at de forsøg på behandling, der er nævnt i nærværende doms præmis 22, ikke er blevet dokumenteret i kriminalpolitiets sagsakter. I denne henseende har den østrigske regering præciseret, at den i modsætning til, hvad der fremgår af dette punkt 27 og af anmodningen om præjudiciel afgørelse, i sit skriftlige indlæg har redegjort for, at disse forsøg på behandling blev indført i to rapporter udarbejdet af de politibetjente, der var ansvarlige for efterforskningen i hovedsagen, og at disse rapporter efterfølgende blev tilført anklagemyndighedens sagsakter.

37

Ved afgørelse truffet af Domstolens præsident den 23. maj 2023 blev den østrigske regerings anmodning om berigtigelse af generaladvokatens forslag til afgørelse ændret til en anmodning om genåbning af retsforhandlingernes mundtlige del som omhandlet i procesreglementets artikel 83.

38

I denne henseende bemærkes for det første, at der i statutten for Den Europæiske Unions Domstol og i Domstolens procesreglement ikke er fastsat en mulighed for, at de berørte personer, der er omfattet af denne statuts artikel 23, kan afgive indlæg som svar på generaladvokatens forslag til afgørelse. For det andet skal generaladvokaten i medfør af artikel 252, stk. 2, TEUF fuldstændig upartisk og uafhængigt offentligt fremsætte begrundede forslag til afgørelse af de sager, der i overensstemmelse med statutten for Den Europæiske Unions Domstol kræver dennes deltagelse. Domstolen er hverken bundet af disse forslag til afgørelse eller af den begrundelse, hvorpå generaladvokaten har støttet disse. En parts uenighed i generaladvokatens forslag til afgørelse, uanset hvilke spørgsmål der undersøges heri, kan følgelig ikke i sig selv udgøre et forhold, som kan begrunde genåbning af retsforhandlingernes mundtlige del (dom af 14.3.2024, f6 Cigarettenfabrik, C-336/22, EU:C:2024:226, præmis 25 og den deri nævnte retspraksis).

39

Ganske vist kan Domstolen i henhold til artikel 83 i sit procesreglement til enhver tid, efter at have hørt generaladvokaten, ved kendelse bestemme, at retsforhandlingernes mundtlige del skal genåbnes, navnlig hvis den finder, at sagen er utilstrækkeligt oplyst, eller såfremt en part, efter at denne del af retsforhandlingerne er afsluttet, er fremkommet med nye oplysninger vedrørende sagens faktiske omstændigheder, som er af afgørende betydning for Domstolens afgørelse, eller såfremt sagen bør afgøres på grundlag af et argument, som ikke har været drøftet.

40

Imidlertid er Domstolen i det foreliggende tilfælde af den opfattelse, at den efter afslutningen af retsforhandlingernes skriftlige del og efter det retsmøde, der er afholdt for den, råder over alle de oplysninger, der er nødvendige for at træffe afgørelse om den foreliggende anmodning om præjudiciel afgørelse. Desuden udgør de forhold, som den østrigske regering har påberåbt sig til støtte for sin anmodning om genåbning af retsforhandlingernes mundtlige del, ikke nye oplysninger vedrørende sagens faktiske omstændigheder, som er af afgørende betydning for den afgørelse, som Domstolen skal træffe i den foreliggende sag.

41

Hvad nærmere bestemt angår de forhold af faktuel karakter, der er nævnt i nærværende doms præmis 36, skal der erindres om, at det under en præjudiciel procedure ikke tilkommer Domstolen at afgøre, om de hævdede faktiske omstændigheder er påvist, men alene at foretage en fortolkning af de relevante EU-retlige bestemmelser (jf. i denne retning dom af 31.1.2023, Puig Gordi m.fl., C-158/21, EU:C:2023:57, præmis 36). Det fremgår nemlig af Domstolens praksis, at den nationale ret forelægger spørgsmål om EU-rettens fortolkning på baggrund af de retlige og faktiske omstændigheder, som den har ansvaret for at fastlægge, og hvis rigtighed det ikke tilkommer Domstolen at efterprøve (jf. i denne retning dom af 18.6.2024, Bundesrepublik Deutschland (Virkningen af en afgørelse om tildeling af flygtningestatus), C-753/22, EU:C:2024:524, præmis 44 og den deri nævnte retspraksis).

42

Under disse omstændigheder finder Domstolen, efter at have hørt generaladvokaten, at det er ufornødent at genåbne retsforhandlingernes mundtlige del.

Formaliteten vedrørende anmodningen om præjudiciel afgørelse

43

Flere af de berørte parter, der har afgivet skriftlige indlæg i den foreliggende sag, har bestridt, at anmodningen om præjudiciel afgørelse i sin helhed eller visse af de af den forelæggende ret stillede spørgsmål kan antages til realitetsbehandling.

44

I første omgang har den østrigske, den franske og den svenske regering gjort gældende, at forelæggelsesafgørelsen ikke opfylder de krav, der er fastsat i procesreglementets artikel 94, idet den ikke indeholder de faktiske og retlige oplysninger, der er nødvendige for at give denne ret et brugbart svar.

45

I anden omgang har den østrigske regering for det første anført, at den forelæggende ret med sit andet og sit tredje præjudicielle spørgsmål nærmere bestemt ønsker oplyst, om bestemmelserne i den østrigske strafferetsplejelovs §§ 18 og 99 læst under ét er i overensstemmelse med EU-retten. Da disse bestemmelser ikke fastsætter de betingelser, hvorunder bearbejdningen af beslaglagte databærere skal finde sted, har disse spørgsmål imidlertid ingen forbindelse med genstanden for tvisten i hovedsagen. Den østrigske regering har for det andet gjort gældende, at en kendelse fra anklagemyndigheden i henhold til østrigsk ret er nødvendig for at foretage en beslaglæggelse af en mobiltelefon eller for at forsøge at få adgang til de oplysninger, der er indeholdt i denne telefon. Den forelæggende ret bør derfor fastslå, at der foreligger en tilsidesættelse af østrigsk ret, således at de af denne ret forelagte spørgsmål ikke er nødvendige for løsningen af denne tvist, og at det derfor er ufornødent at træffe afgørelse om anmodningen om præjudiciel afgørelse.

46

Det skal indledningsvis bemærkes, at ifølge fast retspraksis tilkommer det, inden for rammerne af det samarbejde, der i henhold til artikel 267 TEUF er indført mellem Domstolen og de nationale retter, udelukkende den nationale ret, for hvilken tvisten er indbragt, og som har ansvaret for den retsafgørelse, der skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere, både om en præjudiciel afgørelse er nødvendig for, at den kan afsige dom, og relevansen af de spørgsmål, den forelægger Domstolen. Når de stillede spørgsmål vedrører fortolkningen af EU-retten, er Domstolen derfor principielt forpligtet til at træffe afgørelse (dom af 24.7.2023, Lin, C-107/23 PPU, EU:C:2023:606, præmis 61 og den deri nævnte retspraksis).

47

Heraf følger, at der foreligger en formodning for, at spørgsmål om EU-retten er relevante. Domstolen kan kun afvise at træffe afgørelse om et præjudicielt spørgsmål forelagt af en national ret, hvis det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, såfremt problemet er af hypotetisk karakter, eller såfremt Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en hensigtsmæssig besvarelse af de forelagte spørgsmål (dom af 24.7.2023, Lin, C-107/23 PPU, EU:C:2023:606, præmis 62 og den deri nævnte retspraksis).

48

Hvad for det første angår argumentet om, at de i procesreglementets artikel 94 fastsatte krav ikke er overholdt, skal det bemærkes, at det følger af fast retspraksis, der nu afspejles i denne artikel 94, litra a) og b), at det af hensyn til behovet for at opnå en fortolkning af EU-retten, som den nationale ret kan bruge, er påkrævet, at denne ret giver en beskrivelse af de faktiske omstændigheder og regler, som de forelagte spørgsmål hænger sammen med, eller i al fald forklarer de faktiske forhold, der er baggrunden for dens spørgsmål. Desuden er det, som anført i procesreglementets artikel 94, litra c), et krav, at anmodningen om præjudiciel afgørelse indeholder en fremstilling af grundene til, at den forelæggende ret finder, at der er tvivl om fortolkningen eller gyldigheden af visse EU-retlige bestemmelser, samt af sammenhængen mellem disse bestemmelser og den nationale lovgivning, som finder anvendelse på tvisten i hovedsagen (dom af 21.12.2023, European Superleague Company, C-333/21, EU:C:2023:1011, præmis 59 og den deri nævnte retspraksis).

49

I den konkrete sag har den forelæggende ret, hvad angår de faktiske omstændigheder, i sin anmodning om præjudiciel afgørelse præciseret, at de østrigske politimyndigheder efter at have beslaglagt CG’s mobiltelefon i forbindelse med en politiefterforskning i en sag om narkotikahandel to gange har forsøgt at få adgang til de oplysninger, der er indeholdt i denne telefon, på eget initiativ uden en forudgående tilladelse hertil fra anklagemyndigheden eller en dommer. Den forelæggende ret har ligeledes præciseret, at CG først fik kendskab til forsøgene på at få adgang til de oplysninger, der er indeholdt i hans mobiltelefon, på det tidspunkt, hvor han hørte en politibetjents vidneforklaring. Endelig har denne ret angivet, at disse forsøg på adgang heller ikke blev dokumenteret i den af kriminalpolitiet oprettede sagsmappe.

50

Hvad angår de retlige omstændigheder har den forelæggende ret præciseret, at de nationale bestemmelser, som den har nævnt i forelæggelsesafgørelsen, giver hjemmel til et forsøg på at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, med henblik på forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, uden at denne mulighed begrænses til alene at omfatte bekæmpelse af grov kriminalitet, uden at gøre dette forsøg på adgang betinget af en forudgående kontrol ved en domstol eller et uafhængigt forvaltningsorgan og uden at opstille et krav om, at de registrerede underrettes om dette forsøg, navnlig med henblik på at kunne modsætte sig dette ved at anlægge et søgsmål.

51

Som det fremgår af nærværende doms præmis 26-29, har den forelæggende ret desuden præciseret grundene til, at den har indgivet sin anmodning om præjudiciel afgørelse til Domstolen, og den forbindelse, der efter dens opfattelse består mellem de bestemmelser i EU-retten og i chartret, der er omhandlet i denne anmodning, og de bestemmelser i østrigsk ret, der ifølge denne ret finder anvendelse på tvisten i hovedsagen.

52

De oplysninger, der er nævnt i nærværende doms præmis 49-51, giver således grundlag for at fastslå, at anmodningen om præjudiciel afgørelse opfylder de krav, der er fastsat i procesreglementets artikel 94.

53

Hvad for det andet angår argumenterne om, at de bestemmelser i østrigsk ret, der er omhandlet i det andet og det tredje præjudicielle spørgsmål, ikke er relevante, og at den forelæggende ret burde have fastslået, at der forelå en tilsidesættelse af østrigsk ret, skal det bemærkes, at det ikke tilkommer Domstolen at udtale sig om fortolkningen af nationale bestemmelser og afgøre, hvorvidt den fortolkning, som den nationale ret har anlagt heraf, er korrekt, idet en sådan fortolkning henhører under de nationale domstoles enekompetence (dom af 15.6.2023, Getin Noble Bank (Udsættelse af opfyldelsen af en låneaftale), C-287/22, EU:C:2023:491, præmis 32 og den deri nævnte retspraksis).

54

I det foreliggende tilfælde fremgår det af anmodningen om præjudiciel afgørelse og navnlig af ordlyden af de præjudicielle spørgsmål, at den forelæggende ret er af den opfattelse dels, at disse bestemmelser i østrigsk ret finder anvendelse på tvisten i hovedsagen, dels at et forsøg på at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, uden forudgående tilladelse fra anklagemyndigheden eller fra en dommer, såsom det i hovedsagen omhandlede forsøg, er tilladt i henhold til østrigsk ret. I overensstemmelse med den retspraksis, der er nævnt i nærværende doms foregående præmis, tilkommer det ikke Domstolen at udtale sig om en sådan fortolkning af de nævnte bestemmelser.

55

Det følger heraf, at de spørgsmål, som den forelæggende ret har stillet, kan antages til realitetsbehandling.

Om realiteten

56

Den østrigske regering har i sit skriftlige indlæg gjort gældende, at Domstolen ikke har kompetence til at besvare det første og det andet præjudicielle spørgsmål, eftersom disse spørgsmål vedrører fortolkningen af artikel 5 og artikel 15, stk. 1, i direktiv 2002/58, selv om det er åbenbart, at dette direktiv ikke finder anvendelse på tvisten i hovedsagen. I retsmødet har flere regeringer gjort gældende, at det ikke er muligt at omformulere de præjudicielle spørgsmål i forhold til direktiv 2016/680. Navnlig har den østrigske regering fremhævet, at den omstændighed, at dette direktiv ikke indeholder bestemmelser, der svarer til artikel 5 og artikel 15, stk. 1, i direktiv 2002/58, er til hinder for denne omformulering. Den franske regering har for sin del anført, at en af begrænsningerne af beføjelsen til at omformulere de præjudicielle spørgsmål ligger i medlemsstaternes ret til at afgive skriftlige indlæg. Ifølge denne regering ville denne ret nemlig blive frataget enhver effektiv virkning, hvis de retlige rammer for proceduren kunne ændres radikalt i forbindelse med Domstolens omformulering af de præjudicielle spørgsmål.

57

I denne henseende skal det påpeges, at Domstolen navnlig med støtte i artikel 1, stk. 1 og 3, og artikel 3 i direktiv 2002/58 har fastslået, at når medlemsstaterne direkte vedtager foranstaltninger, der fraviger kravet om fortrolighed i forbindelse med elektronisk kommunikation uden at pålægge de udbydere, der tilbyder denne form for kommunikation, behandlingsforpligtelser, henhører beskyttelsen af de pågældende personoplysninger ikke under direktiv 2002/58, men udelukkende under national ret, dog med forbehold af anvendelsen af direktiv 2016/680 (domme af 6.10.2020, Privacy International, C-623/17, EU:C:2020:790, præmis 48, og La Quadrature du Net m.fl., C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 103).

58

Det er imidlertid ubestridt, at tvisten i hovedsagen vedrører et direkte forsøg fra politimyndighederne på at få adgang til personoplysninger, der er indeholdt i en mobiltelefon, uden at der er blevet anmodet om nogen som helst medvirken af en udbyder af elektroniske kommunikationstjenester.

59

Det er derfor åbenbart, at denne tvist ikke falder ind under anvendelsesområdet for direktiv 2002/58, som er omhandlet i det første og det andet præjudicielle spørgsmål.

60

Det skal dog bemærkes, at det fremgår af fast retspraksis, at det som led i den samarbejdsprocedure mellem de nationale retter og Domstolen, som er indført ved artikel 267 TEUF, tilkommer Domstolen at give den nationale ret et hensigtsmæssigt svar, som sætter den i stand til at afgøre den tvist, der verserer for den. Ud fra denne synsvinkel påhviler det Domstolen i givet fald at omformulere de spørgsmål, der forelægges den. Domstolen kan desuden inddrage EU-retlige regler, som den nationale ret ikke har henvist til i sine spørgsmål (dom af 15.7.2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, præmis 31 og den deri nævnte retspraksis, og af 18.6.2024, Generalstaatsanwaltschaft Hamm (Begæring om udlevering af en flygtning til Tyrkiet), C-352/22, EU:C:2024:521, præmis 47).

61

Den omstændighed, at en national ret rent formelt har udformet det præjudicielle spørgsmål under henvisning til bestemte EU-retlige bestemmelser, er nemlig ikke til hinder for, at Domstolen oplyser denne ret om alle de fortolkningsmomenter, der kan være til nytte ved afgørelsen af den sag, som verserer for denne, uanset om den henviser til dem i sine spørgsmål. Det tilkommer herved Domstolen af samtlige de oplysninger, der er fremlagt af den nationale ret, navnlig af forelæggelsesafgørelsens præmisser, at udlede de EU-retlige elementer, som det under hensyn til sagens genstand er nødvendigt at fortolke (dom af 22.6.2022, Volvo og DAF Trucks, C-267/20, EU:C:2022:494, præmis 28 og den deri nævnte retspraksis).

62

Det følger ganske vist af fast retspraksis, at de i forelæggelsesafgørelsen indeholdte spørgsmål ikke blot tjener til at sætte Domstolen i stand til at give hensigtsmæssige svar, men også til at give medlemsstaternes regeringer samt andre berørte parter mulighed for at afgive indlæg i henhold til artikel 23 i statutten for Den Europæiske Unions Domstol (dom af 21.12.2023, Royal Antwerp Football Club, C-680/21, EU:C:2023:1010, præmis 32 og den deri nævnte retspraksis).

63

Som det fremgår af nærværende doms præmis 31-33, har den forelæggende ret imidlertid, som svar på Domstolens anmodning til denne ret om oplysninger, anført, at direktiv 2016/680 finder anvendelse på tvisten i hovedsagen. De berørte parter har i deres skriftlige indlæg kunnet tage stilling til fortolkningen af dette direktiv og dets relevans for hovedsagen. Med henblik på den mundtlige forhandling har Domstolen desuden anmodet deltagerne i retsforhandlingernes mundtlige del om i dette retsmøde at besvare visse spørgsmål vedrørende det nævnte direktiv. Navnlig har Domstolen opfordret dem til at tage stilling til relevansen af direktivets artikel 4 i forhold til besvarelsen af det første præjudicielle spørgsmål og til relevansen af samme direktivs artikel 13 og 54 i forhold til besvarelsen af det tredje præjudicielle spørgsmål.

64

Den omstændighed, at det første og det andet præjudicielle spørgsmål vedrører fortolkningen af artikel 5 og artikel 15, stk. 1, i direktiv 2002/58 og ikke direktiv 2016/680, er følgelig ikke til hinder for en omformulering af den forelæggende rets spørgsmål i forhold til de bestemmelser i sidstnævnte direktiv, der er relevante for den foreliggende sag, og dermed for Domstolens kompetence til at besvare disse spørgsmål.

65

Denne konklusion drages ikke i tvivl af de argumenter, som er fremført af Irland samt den franske og den norske regering, om, at et forsøg på at få adgang til personoplysninger ikke er omfattet af anvendelsesområdet for direktiv 2016/680, eftersom dette direktiv kun finder anvendelse på faktisk foretagne behandlinger.

66

Disse regeringer har i denne henseende gjort gældende, at fortolkningen af dette direktivs bestemmelser ikke er nyttig for afgørelsen af tvisten i hovedsagen, og at det samme gælder fortolkningen af chartret, idet chartret kun finder anvendelse, når medlemsstaterne gennemfører EU-retten.

67

Når det ikke klart fremgår, at fortolkningen af en EU-retsakt ikke har nogen forbindelse med realiteten i hovedsagen eller dennes genstand – således som det er tilfældet med direktiv 2016/680 i den foreliggende sag – falder en indsigelse vedrørende denne retsakts uanvendelighed på hovedsagen imidlertid ind under realiteten i spørgsmålene (jf. analogt dom af 24.7.2023, Lin, C-107/23 PPU, EU:C:2023:606, præmis 66 og den deri nævnte retspraksis)

68

Det skal således først undersøges, om politimyndigheders forsøg på at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, er omfattet af dette direktivs materielle anvendelsesområde.

Anvendelsen af direktiv 2016/680 på et forsøg på at få adgang til de oplysninger, der er indeholdt i en mobiltelefon

69

I artikel 2, stk. 1, i direktiv 2016/680 defineres dette direktivs materielle anvendelsesområde. Ifølge denne bestemmelse finder dette direktiv »anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på [direktivets] artikel 1, stk. 1«, det vil navnlig sige »med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger«.

70

I dette direktivs artikel 3, nr. 2), defineres begrebet »behandling« som omfattende »enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. [...] genfinding, søgning« eller »formidling eller enhver anden form for overladelse«.

71

Det fremgår således af selve ordlyden af artikel 3, nr. 2), i direktiv 2016/680, og navnlig af brugen af udtrykkene »enhver aktivitet«, »række af aktiviteter« og »enhver anden form for overladelse«, at EU-lovgiver har haft til hensigt at give begrebet »behandling« og følgelig dette direktivs materielle anvendelsesområde en bred rækkevidde. Denne fortolkning støttes af den ikke-udtømmende karakter, udtrykt ved udtrykket »f.eks.«, af de aktiviteter, der er anført i den nævnte bestemmelse (jf. analogt dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 35).

72

Disse tekstmæssige elementer taler således for en fortolkning, hvorefter politimyndigheder indleder en behandling som omhandlet i artikel 3, nr. 2), i direktiv 2016/680, når de beslaglægger en telefon og manipulerer den med henblik på at genfinde og søge i de personoplysninger, der er indeholdt i denne telefon, selv om det af tekniske grunde ikke lykkes for disse myndigheder at få adgang til disse oplysninger.

73

Denne fortolkning bekræftes af den sammenhæng, hvori artikel 3, nr. 2), i direktiv 2016/680 indgår. I henhold til dette direktivs artikel 4, stk. 1, litra b), fastsætter medlemsstaterne nemlig bestemmelser om, at personoplysninger skal indsamles til udtrykkeligt angivne og legitime formål og ikke behandles på en måde, der er uforenelig med disse formål. Denne sidstnævnte bestemmelse fastsætter princippet om formålsbegrænsning (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 122). Den effektive virkning af dette princip kræver imidlertid nødvendigvis, at formålet med indsamlingen fastlægges fra det tidspunkt, hvor de kompetente myndigheder forsøger at få adgang til personoplysninger, eftersom et sådant forsøg, hvis det lykkes, bl.a. gør det muligt for disse myndigheder straks at indsamle, genfinde eller søge i de omhandlede oplysninger.

74

Hvad angår formålene med direktiv 2016/680 tilsigter dette direktiv bl.a., således som det fremgår af 4., 7. og 15. betragtning hertil, at sikre et højt beskyttelsesniveau for fysiske personers personoplysninger.

75

Dette formål ville imidlertid blive bragt i fare, hvis et forsøg på at få adgang til personoplysninger indeholdt i en mobiltelefon ikke kunne kvalificeres som »behandling« af disse oplysninger. En fortolkning af direktiv 2016/680 i denne retning ville nemlig udsætte de personer, der var berørt af et sådant forsøg på adgang, for en betydelig risiko for, at en tilsidesættelse af de i dette direktiv opstillede principper ikke længere kunne undgås.

76

Det skal endvidere bemærkes, at en sådan fortolkning er i overensstemmelse med retssikkerhedsprincippet, der i henhold til Domstolens faste praksis kræver, at anvendelsen af retsreglerne er forudsigelig for borgerne, især når de kan have bebyrdende virkninger (dom af 27.6.2024, Gestore dei Servizi Energetici, C-148/23, EU:C:2024:555, præmis 42 og den deri nævnte retspraksis). En fortolkning, hvorefter anvendeligheden af direktiv 2016/680 afhang af, om et forsøg på at få adgang til personoplysninger indeholdt i en mobiltelefon lykkedes, ville nemlig skabe en usikkerhed såvel for de kompetente nationale myndigheder som for borgerne, der ville være uforenelig med dette princip.

77

Det fremgår af det ovenstående, at et forsøg fra politimyndighedernes side på at få adgang til oplysninger indeholdt i en mobiltelefon med henblik på en strafferetlig efterforskning som den i hovedsagen omhandlede, således som generaladvokaten har anført i punkt 53 i forslaget til afgørelse, er omfattet af anvendelsesområdet for direktiv 2016/680.

Det første og det andet spørgsmål

78

Den forelæggende ret har i sit første og sit andet spørgsmål udtrykkeligt henvist for det første til artikel 15, stk. 1, i direktiv 2002/58, der bl.a. kræver, at de retsforskrifter, som den tillader medlemsstaterne at vedtage, og som indskrænker rækkevidden af de rettigheder og forpligtelser, der omhandles i flere bestemmelser i dette direktiv, er nødvendige, passende og forholdsmæssige i et demokratisk samfund af hensyn til den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem, for det andet til chartrets artikel 52, stk. 1, som fastsætter proportionalitetsprincippet i forbindelse med en begrænsning af udøvelsen af de rettigheder og friheder, der anerkendes ved chartret.

79

Ifølge ordlyden af artikel 4, stk. 1, litra c), i direktiv 2016/680 skal medlemsstaterne fastsætte bestemmelser om, at personoplysninger skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles. Denne bestemmelse kræver således, at medlemsstaterne overholder princippet om »dataminimering«, som er udtryk for dette proportionalitetsprincip (dom af 30.1.2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 41 og den deri nævnte retspraksis).

80

Det følger heraf, at bl.a. indsamling af personoplysninger i forbindelse med en straffesag og politimyndighedernes opbevaring af disse til de formål, der er fastsat i dette direktivs artikel 1, stk. 1, ligesom enhver behandling, der er omfattet af direktivets anvendelsesområde, skal overholde proportionalitetsprincippet (dom af 30.1.2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 42 og den deri nævnte retspraksis).

81

Det må således lægges til grund, at den forelæggende ret med sit første og sit andet spørgsmål, som skal behandles samlet, nærmere bestemt ønsker oplyst, om artikel 4, stk. 1, litra c), i direktiv 2016/680, sammenholdt med chartrets artikel 7 og 8 og artikel 52, stk. 1, er til hinder for en national lovgivning, som giver de kompetente myndigheder mulighed for at få adgang til oplysninger, der er indeholdt i en mobiltelefon, med henblik på at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger i almindelighed, og som ikke gør udøvelsen af denne mulighed betinget af en forudgående kontrol ved en domstol eller et uafhængigt forvaltningsorgan.

82

Indledningsvis skal det bemærkes, at samtidig med, at direktiv 2016/680 – således som det fremgår af anden og fjerde betragtning hertil – opbygger en stærk og sammenhængende ramme for beskyttelse af personoplysninger med henblik på at sikre overholdelsen af den grundlæggende ret for fysiske personer til beskyttelse i forhold til behandling af personoplysninger, der vedrører de pågældende, som er anerkendt i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF, har dette direktiv til formål at bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed inden for Unionen (jf. i denne retning dom af 25.2.2021, Kommissionen mod Spanien (Direktivet om personoplysninger – det strafferetlige område), C-658/19, EU:C:2021:138, præmis 75).

83

Med henblik herpå tilsigter direktiv 2016/680, således som det er anført i nærværende doms præmis 74, navnlig at sikre et højt beskyttelsesniveau for fysiske personers personoplysninger.

84

Der skal i denne henseende erindres om, at de begrænsninger, som dette direktiv tillader bliver indført af den ret til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 8, og af den ret til respekt for privatliv og familieliv, der er beskyttet i chartrets artikel 7 – som fremhævet i 104. betragtning til direktiv 2016/680 – skal fortolkes i overensstemmelse med kravene i chartrets artikel 52, stk. 1, der omfatter overholdelse af proportionalitetsprincippet (jf. i denne retning dom af 30.1.2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 33).

85

Disse grundlæggende rettigheder er nemlig ikke absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder. Enhver begrænsning af udøvelsen af disse grundlæggende rettigheder skal således i overensstemmelse med chartrets artikel 52, stk. 1, være fastlagt i lovgivningen og respektere disse rettigheders væsentligste indhold samt proportionalitetsprincippet. I medfør af sidstnævnte princip kan der kun indføres begrænsninger, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder. De skal holdes inden for det strengt nødvendige, og den lovgivning, som indebærer begrænsningerne, skal fastsætte klare og præcise regler, der regulerer rækkevidden og anvendelsen af disse begrænsninger (dom af 30.1.2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 39 og den deri nævnte retspraksis).

86

Hvad for det første angår det mål af almen interesse, der kan begrunde en begrænsning af udøvelsen af de grundlæggende rettigheder, der er sikret i chartrets artikel 7 og 8, såsom den begrænsning, der følger af den i hovedsagen omhandlede lovgivning, skal det fremhæves, at en behandling af personoplysninger i forbindelse med en politiefterforskning med henblik på bekæmpelse af en strafbar handling, såsom et forsøg på at få adgang til oplysninger indeholdt i en mobiltelefon, som udgangspunkt skal anses for faktisk at svare til et mål af almen interesse, der er anerkendt af Unionen i den forstand, hvori udtrykket er anvendt i chartrets artikel 52, stk. 1.

87

Hvad for det andet angår kravet om nødvendigheden af en sådan begrænsning er dette krav – således som det i det væsentlige er fremhævet i 26. betragtning til direktiv 2016/680 – ikke opfyldt, når det omhandlede mål af almen interesse med rimelighed kan nås lige så godt på en anden måde, som er mindre indgribende i de registreredes rettigheder (jf. i denne retning dom af 30.1.2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 40 og den deri nævnte retspraksis).

88

Derimod er kravet om nødvendighed opfyldt, når det formål, der forfølges med den omhandlede databehandling, ikke med rimelighed kan nås lige så godt på en anden måde, som er mindre indgribende i de registreredes grundlæggende rettigheder, navnlig den ret til respekt for privatlivet og familielivet og til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8 (dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 126 og den deri nævnte retspraksis).

89

Hvad for det tredje angår forholdsmæssigheden af den af sådanne behandlinger følgende begrænsning af udøvelsen af de grundlæggende rettigheder, der er sikret i chartrets artikel 7 og 8, indebærer denne forholdsmæssighed en afvejning af samtlige relevante elementer i den konkrete sag (jf. i denne retning dom af 30.1.2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 62 og 63 og den deri nævnte retspraksis).

90

Sådanne elementer omfatter bl.a. alvoren af den begrænsning, der således indføres af udøvelsen af de omhandlede grundlæggende rettigheder – en alvor, der afhænger af arten og følsomheden af de oplysninger, som de kompetente politimyndigheder vil kunne få adgang til – vigtigheden af det mål af almen interesse, der forfølges med denne begrænsning, den forbindelse, der består mellem mobiltelefonens ejer og den pågældende strafbare handling, eller relevansen af de pågældende oplysninger i forhold til at fastslå de faktiske forhold.

91

Hvad for det første angår alvoren af den begrænsning af de grundlæggende rettigheder, der følger af en lovgivning som den i hovedsagen omhandlede, fremgår det af forelæggelsesafgørelsen, at denne lovgivning gør det muligt for de kompetente politimyndigheder uden forudgående tilladelse at få adgang til de oplysninger, der er indeholdt i en mobiltelefon.

92

En sådan adgang kan – afhængigt af indholdet af den omhandlede mobiltelefon og de valg, som disse politimyndigheder træffer – ikke alene vedrøre trafikdata og lokaliseringsdata, men også fotografier og historik for den browsing, der er foretaget med denne telefon, eller endog en del af indholdet af den kommunikation, der er foretaget med denne telefon, bl.a. ved gennemgang af de meddelelser, der er lagret på telefonen.

93

Adgangen til en sådan helhed af oplysninger vil kunne gøre det muligt at drage meget præcise slutninger vedrørende den pågældende persons privatliv, såsom vedkommendes vaner i dagligdagen, varige eller midlertidige opholdssteder, daglige eller andre bevægelser, hvilke aktiviteter der udøves, denne persons sociale relationer og de sociale miljøer, denne frekventerer.

94

Endelig kan det ikke udelukkes, at de i en mobiltelefon indeholdte oplysninger kan indbefatte særligt følsomme oplysninger såsom personoplysninger om race eller etnisk oprindelse og politisk, religiøs eller filosofisk overbevisning, og denne følsomhed begrunder den særlige beskyttelse, som efter artikel 10 i direktiv 2016/680 kræves i forhold til disse oplysninger, hvilken beskyttelse tillige gælder for oplysninger, som indirekte gennem en intellektuel refleksion i form af sammenstilling eller deduktion afslører informationer af denne art (jf. analogt dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 344).

95

Det indgreb i de i chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, som anvendelsen af en lovgivning som den i hovedsagen omhandlede kan give anledning til, må derfor anses for at være alvorligt eller endog særdeles alvorligt.

96

Hvad for det andet angår vigtigheden af det forfulgte formål skal det fremhæves, at grovheden af den lovovertrædelse, der er genstand for efterforskningen, udgør et af de centrale parametre ved vurderingen af forholdsmæssigheden af det alvorlige indgreb, der sker ved adgangen til de personoplysninger, som er indeholdt i en mobiltelefon, og som gør det muligt at drage præcise konklusioner om den berørte persons privatliv.

97

En antagelse om, at det kun er bekæmpelse af grov kriminalitet, der kan begrunde adgang til oplysninger indeholdt i en mobiltelefon, ville imidlertid begrænse de kompetente myndigheders efterforskningsbeføjelser som omhandlet i direktiv 2016/680 i forhold til strafbare handlinger i almindelighed. Heraf ville følge en øget risiko for straffrihed for sådanne lovovertrædelser, henset til den betydning, som sådanne oplysninger kan have for de strafferetlige efterforskninger. En sådan begrænsning ville således ikke tage hensyn til den specifikke karakter af de opgaver, som disse myndigheder udfører med de formål, der er angivet i dette direktivs artikel 1, stk. 1 – en karakter, der er fremhævet i 10. og 11. betragtning til dette direktiv – og ville skade formålet om skabelsen af et område med frihed, sikkerhed og retfærdighed inden for Unionen, som forfølges med det nævnte direktiv.

98

Disse betragtninger berører imidlertid ikke det krav, der følger af chartrets artikel 52, stk. 1, hvorefter enhver begrænsning i udøvelsen af en grundlæggende rettighed skal være »fastlagt i lovgivningen«, idet dette krav indebærer, at det retsgrundlag, der fastsætter en sådan begrænsning, definerer dens rækkevidde klart og præcist (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 65 og den deri nævnte retspraksis).

99

Med henblik på at opfylde dette krav påhviler det den nationale lovgiver tilstrækkeligt præcist at definere de elementer, herunder arten eller kategorierne af de pågældende lovovertrædelser, der skal tages i betragtning.

100

Hvad for det tredje angår den forbindelse, der består mellem mobiltelefonens ejer og den pågældende strafbare handling, og relevansen af de pågældende oplysninger i forhold til at fastslå de faktiske forhold fremgår det af artikel 6 i direktiv 2016/680, at begrebet »den registrerede« omfatter forskellige kategorier af personer, nemlig i det væsentlige personer, der af væsentlige grunde er mistænkt for at have begået eller ville begå en strafbar handling, personer, der er dømt for en strafbar handling, ofre eller potentielle ofre for sådanne strafbare handlinger samt andre parter i forbindelse med en strafbar handling, der kan blive indkaldt som vidner i efterforskninger i forbindelse med strafbare handlinger eller i efterfølgende straffesager. Ifølge denne artikel er medlemsstaterne forpligtede til at fastsætte bestemmelser om, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om disse forskellige kategorier af registrerede.

101

Hvad navnlig angår adgangen til oplysninger, der er indeholdt i en mobiltelefon tilhørende en person, der – som det er tilfældet i hovedsagen – er genstand for en strafferetlig efterforskning, er det i denne forbindelse vigtigt, at tilstedeværelsen af en rimelig mistanke over for denne person om, at vedkommende har begået, er i færd med at begå eller planlægger at begå en lovovertrædelse, eller at vedkommende på den ene eller den anden måde er involveret i en sådan lovovertrædelse, understøttes af objektive og tilstrækkelige omstændigheder.

102

Det er navnlig med henblik på at sikre, at proportionalitetsprincippet overholdes i hvert enkelt konkret tilfælde ved at foretage en afvejning af samtlige relevante forhold, at det er afgørende, at de kompetente nationale myndigheders adgang til personoplysningerne er underlagt en forudgående kontrol, der foretages af enten en domstol eller et uafhængigt forvaltningsorgan, når denne adgang indebærer en risiko for et alvorligt eller endog særdeles alvorligt indgreb i den registreredes grundlæggende rettigheder.

103

Denne forudgående kontrol kræver, at den domstol eller det uafhængige forvaltningsorgan, der skal foretage denne kontrol, har alle de beføjelser og frembyder alle de garantier, der er nødvendige for at sikre en afvejning af de forskellige legitime interesser og de pågældende rettigheder. Hvad nærmere bestemt angår en strafferetlig efterforskning kræver en sådan kontrol, at denne domstol eller denne enhed er i stand til at sikre en rimelig ligevægt mellem dels de legitime interesser, der er forbundet med, hvad der er nødvendigt af hensyn til efterforskningen i forbindelse med bekæmpelsen af kriminalitet, dels den grundlæggende ret til respekt for privatlivet og beskyttelsen af personoplysninger for så vidt angår de personer, hvis oplysninger er berørt af adgangen.

104

Denne uafhængige kontrol skal i en situation som den, der er omhandlet i nærværende doms præmis 102, finde sted forud for ethvert forsøg på at få adgang til de omhandlede oplysninger, medmindre der foreligger et behørigt begrundet hastetilfælde, i hvilket tilfælde denne kontrol skal foretages hurtigst muligt. En senere kontrol vil nemlig ikke gøre det muligt at opfylde formålet med den forudgående kontrol, der består i at forhindre, at der gives tilladelse til en adgang til de omhandlede oplysninger, der går ud over, hvad der er strengt nødvendigt.

105

Navnlig skal den domstol eller det uafhængige forvaltningsorgan, der skal træffe afgørelse i forbindelse med en forudgående kontrol, som foretages efter en begrundet anmodning om adgang, der er omfattet af anvendelsesområdet for direktiv 2016/680, have beføjelse til at nægte eller begrænse denne adgang, når den konstaterer, at det indgreb i de grundlæggende rettigheder, som den nævnte adgang udgør, er uforholdsmæssigt, henset til samtlige relevante forhold.

106

De kompetente politimyndigheders adgang til oplysninger, der er indeholdt i en mobiltelefon, skal således nægtes eller begrænses, hvis en adgang til indholdet af kommunikationen eller til følsomme oplysninger, henset til overtrædelsens grovhed og de behov, der knytter sig til efterforskningen, ikke forekommer begrundet.

107

Hvad navnlig angår behandlinger af følsomme oplysninger skal der tages hensyn til de krav, der er opstillet i artikel 10 i direktiv 2016/680, hvis formål er at sikre en øget beskyttelse med hensyn til disse behandlinger, der, som det fremgår af 37. betragtning til dette direktiv, kan indebære betydelige risici for de grundlæggende rettigheder og frihedsrettigheder, såsom retten til respekt for privatlivet og familielivet og retten til beskyttelse af personoplysninger, der er sikret i chartrets artikel 7 og 8. Med henblik herpå, og som det fremgår af selve ordlyden af denne artikel 10, skal kravet om, at behandlingen af sådanne oplysninger »kun [må] tillades, når det er strengt nødvendigt«, fortolkes således, at det definerer strengere betingelser for, at behandlingen af følsomme oplysninger er lovlig, i forhold til de betingelser, der følger af dette direktivs artikel 4, stk. 1, litra b) og c), og artikel 8, stk. 1, som alene henviser til, at en behandling af oplysninger, som generelt er omfattet af det nævnte direktivs anvendelsesområde, er »nødvendig« (dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 116 og 117 og den deri nævnte retspraksis).

108

Dels indebærer anvendelsen af adverbiet »kun« før udtrykket »når det er strengt nødvendigt« således, at behandlingen af særlige kategorier af oplysninger som omhandlet i den nævnte artikel 10 kun kan anses for nødvendig i et begrænset antal tilfælde. Dels indebærer den omstændighed, at nødvendigheden af en behandling af sådanne oplysninger har »absolut« karakter, at denne nødvendighed skal undergives en særlig streng vurdering (dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 118).

109

I den konkrete sag har den forelæggende ret imidlertid oplyst, at de østrigske politimyndigheder under en strafferetlig efterforskning er beføjede til at skaffe sig adgang til de oplysninger, der er indeholdt i en mobiltelefon. Denne ret har desuden præciseret, at denne adgang som udgangspunkt ikke er betinget af en forudgående tilladelse fra en domstol eller et uafhængigt forvaltningsorgan. Det tilkommer dog alene denne ret at drage konsekvenserne i forhold til tvisten i hovedsagen af de præciseringer, der navnlig er anført i nærværende doms præmis 102-108.

110

Det følger af det ovenstående, at det første og det andet spørgsmål skal besvares med, at artikel 4, stk. 1, litra c), i direktiv 2016/680, sammenholdt med chartrets artikel 7 og 8 og artikel 52, stk. 1, skal fortolkes således, at denne bestemmelse ikke er til hinder for en national lovgivning, som giver de kompetente myndigheder mulighed for at få adgang til oplysninger, der er indeholdt i en mobiltelefon, med henblik på at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger i almindelighed, såfremt denne lovgivning:

–

tilstrækkeligt præcist definerer arten eller kategorierne af de pågældende lovovertrædelser

–

sikrer, at proportionalitetsprincippet overholdes, og

–

gør udøvelsen af denne mulighed betinget af en forudgående kontrol ved en domstol eller et uafhængigt forvaltningsorgan, medmindre der foreligger et behørigt begrundet hastetilfælde.

Det tredje spørgsmål

111

Det fremgår af forelæggelsesafgørelsen, at den forelæggende ret med det tredje spørgsmål nærmere bestemt ønsker at afgøre, om CG burde være blevet underrettet om forsøgene på at få adgang til de oplysninger, der var indeholdt i hans mobiltelefon, med henblik på at kunne udøve sin ret til effektive retsmidler, der er sikret ved chartrets artikel 47.

112

I denne henseende er de relevante bestemmelser i direktiv 2016/680 dels dette direktivs artikel 13 med overskriften »Oplysninger, der skal stilles til rådighed for eller gives til den registrerede«, dels dette direktivs artikel 54 med overskriften »Adgang til et effektivt retsmiddel over for en dataansvarlig eller databehandler«.

113

Det skal ligeledes påpeges – således som fremhævet i 104. betragtning til direktiv 2016/680 – at de begrænsninger, der ved dette direktiv indføres i retten til effektive retsmidler og til en upartisk domstol, der er beskyttet ved chartrets artikel 47, skal fortolkes i overensstemmelse med kravene i chartrets artikel 52, stk. 1, hvilke krav indbefatter overholdelse af proportionalitetsprincippet.

114

Det må derfor lægges til grund, at den forelæggende ret med sit tredje spørgsmål nærmere bestemt ønsker oplyst, om artikel 13 og 54 i direktiv 2016/680, sammenholdt med chartrets artikel 47 og artikel 52, stk. 1, skal fortolkes således, at disse bestemmelser er til hinder for en national lovgivning, der gør det muligt for de kompetente myndigheder på det strafferetlige område at forsøge at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, uden at underrette den berørte person herom.

115

Det følger af artikel 13, stk. 2, litra d), i direktiv 2016/680, at ud over de i stk. 1 omhandlede oplysninger, der skal stilles til rådighed for den registrerede, såsom den dataansvarliges identitet, formålet med denne behandling og retten til at indgive en klage til en tilsynsmyndighed, fastsætter medlemsstaterne ved lov bestemmelser om, at den dataansvarlige, hvis det er nødvendigt, skal give den registrerede yderligere oplysninger, for at vedkommende kan udøve sine rettigheder, navnlig hvis personoplysningerne indsamles uden den registreredes vidende.

116

Artikel 13, stk. 3, litra a) og b), i direktiv 2016/680 tillader imidlertid den nationale lovgiver at begrænse eller afskære meddelelsen af oplysninger til den registrerede, jf. stk. 2, »i det omfang og så længe en sådan foranstaltning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser«, navnlig for at »undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer«, eller »undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner«.

117

Endelig skal det bemærkes, at artikel 54 i direktiv 2016/680, som er udtryk for chartrets artikel 47, pålægger medlemsstaterne at fastsætte bestemmelser om, at en registreret skal have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder fastsat i bestemmelser, der er vedtaget i henhold til dette direktiv, er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med dette direktiv.

118

Det fremgår af retspraksis, at retten til adgang til effektive retsmidler, som er sikret ved chartrets artikel 47, principielt kræver, at den pågældende skal kunne få kendskab til begrundelsen for den afgørelse, som er truffet i forhold til den pågældende, såvel for at sætte vedkommende i stand til at forsvare sine rettigheder under de bedst mulige betingelser og at afgøre, om sagen bør prøves af de kompetente retsinstanser, på grundlag af et fuldt kendskab til sagen, som for at sætte sidstnævnte fuldt ud i stand til at udøve en legalitetsprøvelse af denne afgørelse (dom af 16.11.2023, Ligue des droits humains (Tilsynsmyndighedens kontrol med behandlingen af oplysninger), C-333/22, EU:C:2023:874, præmis 58).

119

Selv om denne ret ikke udgør en absolut rettighed, og selv om der i overensstemmelse med chartrets artikel 52, stk. 1, kan indføres begrænsninger heri, er det på betingelse af, at disse begrænsninger er fastlagt i lovgivningen, at de respekterer de omhandlede rettigheders og friheders væsentligste indhold, og at de under iagttagelse af proportionalitetsprincippet er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af EU, eller et behov for beskyttelse af andres rettigheder og friheder (dom af 16.11.2023, Ligue des droits humains (Tilsynsmyndighedens kontrol med behandlingen af oplysninger), C-333/22, EU:C:2023:874, præmis 59).

120

Det følger derfor af de bestemmelser, der er nævnt i nærværende doms præmis 115-119, at det påhviler de kompetente nationale myndigheder, der af en domstol eller et uafhængigt forvaltningsorgan har fået tilladelse til at skaffe sig adgang til de lagrede oplysninger, inden for rammerne af de gældende nationale procedurer at underrette de registrerede om de hensyn, der ligger til grund for denne tilladelse, fra det tidspunkt, hvor denne underretning ikke længere vil kunne skade disse myndigheders efterforskning, og at stille alle de oplysninger, der er omhandlet i artikel 13, stk. 1, i direktiv 2016/680, til rådighed for de registrerede. Disse oplysninger er nemlig nødvendige for at gøre det muligt for disse personer bl.a. at udøve den klageadgang, der udtrykkeligt er fastsat i artikel 54 i direktiv 2016/680 (jf. i denne retning dom af 17.11.2022, Spetsializirana prokuratura (Opbevaring af trafik- og lokaliseringsdata), C-350/21, EU:C:2022:896, præmis 70 og den deri nævnte retspraksis).

121

En national lovgivning, der generelt udelukker enhver ret til at få sådanne oplysninger, er derimod ikke i overensstemmelse med EU-retten (jf. i denne retning dom af 17.11.2022, Spetsializirana prokuratura (Opbevaring af trafik- og lokaliseringsdata), C-350/21, EU:C:2022:896, præmis 71).

122

I den konkrete sag fremgår det af forelæggelsesafgørelsen, at CG vidste, at hans mobiltelefon var blevet beslaglagt, da de østrigske politimyndigheder forgæves forsøgte at låse denne telefon op for at få adgang til de deri indeholdte oplysninger. Under disse omstændigheder synes det ikke, som om en underretning af CG om, at disse myndigheder ville forsøge at skaffe sig adgang til disse oplysninger, kunne skade efterforskningen, således at han forinden burde være blevet underrettet herom.

123

Det følger af det ovenstående, at det tredje spørgsmål skal besvares med, at artikel 13 og 54 i direktiv 2016/680, sammenholdt med chartrets artikel 47 og artikel 52, stk. 1, skal fortolkes således, at disse bestemmelser er til hinder for en national lovgivning, der tillader, at de kompetente myndigheder forsøger at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, uden inden for rammerne af de gældende nationale procedurer at underrette den registrerede om de hensyn, der ligger til grund for den tilladelse til at få adgang til sådanne oplysninger, som er meddelt af en domstol eller et uafhængigt forvaltningsorgan, og dét fra det tidspunkt, hvor denne underretning ikke længere vil kunne skade udførelsen af de opgaver, der i medfør af dette direktiv påhviler disse myndigheder.

Sagsomkostninger

124

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
 

På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:
 

1)

Artikel 4, stk. 1, litra c), i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA, sammenholdt med artikel 7 og 8 og artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder,

skal fortolkes således, at

denne bestemmelse ikke er til hinder for en national lovgivning, som giver de kompetente myndigheder mulighed for at få adgang til oplysninger, der er indeholdt i en mobiltelefon, med henblik på at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger i almindelighed, såfremt denne lovgivning:

–

tilstrækkeligt præcist definerer arten eller kategorierne af de pågældende lovovertrædelser

–

sikrer, at proportionalitetsprincippet overholdes, og

–

gør udøvelsen af denne mulighed betinget af en forudgående kontrol ved en domstol eller et uafhængigt forvaltningsorgan, medmindre der foreligger et behørigt begrundet hastetilfælde.

 

2)

Artikel 13 og 54 i direktiv 2016/680, sammenholdt med artikel 47 og artikel 52, stk. 1, i chartret om grundlæggende rettigheder,

skal fortolkes således, at

disse bestemmelser er til hinder for en national lovgivning, der tillader, at de kompetente myndigheder forsøger at få adgang til de oplysninger, der er indeholdt i en mobiltelefon, uden inden for rammerne af de gældende nationale procedurer at underrette den registrerede om de hensyn, der ligger til grund for den tilladelse til at få adgang til sådanne oplysninger, som er meddelt af en domstol eller et uafhængigt forvaltningsorgan, og dét fra det tidspunkt, hvor denne underretning ikke længere vil kunne skade udførelsen af de opgaver, der i medfør af dette direktiv påhviler disse myndigheder.

 

Underskrifter

( *1 ) – Processprog: tysk