C‑511/18., C‑512/18. és C‑520/18. sz. egyesített ügyek

La Quadrature du Net és társai

kontra

Premier ministre és társai

(a Conseil d’État [Franciaország] és a Cour constitutionnelle [Belgium] által benyújtott előzetes döntéshozatal iránti kérelmek)

A Bíróság ítélete (nagytanács), 2020. október 6.

„Előzetes döntéshozatal – A személyes adatok kezelése az elektronikus hírközlési ágazatban – Elektronikus hírközlési szolgáltatók – Tárhelyszolgáltatók és internet‑hozzáférést nyújtó szolgáltatók – A forgalmi és a helymeghatározó adatok általános és különbségtétel nélküli megőrzése – Automatizált adatelemzés – Az adatokhoz történő, valós idejű hozzáférés – A nemzetbiztonság védelme és a terrorizmus elleni küzdelem – Bűnözés elleni küzdelem – 2002/58/EK irányelv – Hatály – Az 1. cikk (3) bekezdése és a 3. cikk – Az elektronikus közlések titkossága – Védelem – 5. cikk és a 15. cikk (1) bekezdése – 2000/31/EK irányelv – Hatály – Az Európai Unió Alapjogi Chartája – 4., 6–8. és 11. cikk, valamint az 52. cikk (1) bekezdése – Az EUSZ 4. cikk (2) bekezdése”

1. Jogszabályok közelítése – Távközlési ágazat – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – 2002/58 irányelv – Hatály – Az elektronikus hírközlési szolgáltatókat a forgalmi és helymeghatározó adatok megőrzésére kötelező nemzeti szabályozás – A nemzetbiztonság védelmére és a bűnözés elleni küzdelemre irányuló cél – Bennfoglaltság

   (EUSZ 4. cikk, (2) bekezdés; a 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 1. cikk, (1) és (3) bekezdés, 3. cikk, és 15. cikk, (1) bekezdés)

   (lásd: 92–96., 98–101., 103., 104. pont)

2. Jogszabályok közelítése – Távközlési ágazat – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – 2002/58 irányelv – A tagállamok bizonyos jogok és kötelezettségek terjedelmének korlátozására vonatkozó lehetősége – Az elektronikus hírközlési szolgáltatókat a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli megőrzésére kötelező nemzeti intézkedések – A nemzetbiztonság védelmére irányuló cél – Megengedhetetlenség – A nemzetbiztonság súlyos és közvetlen fenyegetettsége esetén ezen adatok általános és különbségtétel nélküli megőrzését lehetővé tévő nemzeti intézkedések – Megengedhetőség – Ezen adatok objektív és hátrányos megkülönböztetéstől mentes tényezők alapján történő, meghatározott ideig tartó, célzott és gyors megőrzését lehetővé tevő nemzeti intézkedések – A csatlakozási forráshoz hozzárendelt IP‑címek általános és különbségtétel nélküli, a feltétlenül szükséges mértékre korlátozott időtartamú megőrzését előíró nemzeti intézkedések – Az elektronikus hírközlési eszközök felhasználóinak személyazonosságára vonatkozó adatok általános és különbségtétel nélküli megőrzését külön határidő megjelölése nélkül előíró nemzeti intézkedések – A nemzetbiztonság védelmére irányuló cél – Megengedhetőség – Feltételek

   (EUSZ 4. cikk, (2) bekezdés; az Európai Unió Alapjogi Chartája, 7., 8., 11. cikk, és 52. cikk, (1) bekezdés; a 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 5. cikk, (1) bekezdés, 15. cikk, (1) bekezdés)

   (lásd: 107., 109., 111–119., 122–128., 130–165., 168. pont és a rendelkező rész 1. pontja)

3. Jogszabályok közelítése – Távközlési ágazat – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – 2002/58 irányelv – A tagállamok bizonyos jogok és kötelezettségek terjedelmének korlátozására vonatkozó lehetősége – Az elektronikus hírközlési szolgáltatókat a forgalmi és helymeghatározó adatok automatizált elemzésére és valós idejű gyűjtésére kötelező nemzeti szabályozás – Megengedhetőség – Feltételek

   (EUSZ 4. cikk, (2) bekezdés; az Európai Unió Alapjogi Chartája, 7., 8., 11. cikk, és 52. cikk, (1) bekezdés; a 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 5. cikk, (1) bekezdés, 15. cikk, (1) bekezdés)

   (lásd: 172–174., 175–182., 186–192. és a rendelkező rész 2. pontja)

4. Jogszabályok közelítése – Elektronikus kereskedelem – 2000/31 irányelv – Hatály – Az információs társadalommal összefüggő szolgáltatások keretében a közlések és a természetes személyek titkosságának a személyesadat‑kezeléssel kapcsolatos védelme – Kizártság – Esettől függően a 2002/58 irányelv vagy a 2016/679 rendelet alkalmazhatósága

   (Az Európai Unió Alapjogi Chartája, 7., 8., 11. cikk, és 52. cikk, (1) bekezdés; 2016/679 európai parlamenti és tanácsi rendelet, (10) preambulumbekezdés, és 23. cikk, (1) és (2) bekezdés; 2001/31 európai parlamenti és tanácsi irányelv, (14) és (15) preambulumbekezdés és 1. cikk, (2) és (5) bekezdés, valamint 2. cikk, a) pont, valamint a 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 5. cikk, (1) bekezdés, és 15. cikk, (1) bekezdés)

   (lásd: 197–202., 204., 205., 207–212. pont és a rendelkező rész 3. pontja)

5. Jogszabályok közelítése – Távközlési ágazat – Az elektronikus hírközlési ágazatban a személyes adatok kezelése és a magánélet védelme – 2002/58 irányelv – A tagállamok bizonyos jogok és kötelezettségek terjedelmének korlátozására vonatkozó lehetősége – Az elektronikus hírközlési szolgáltatókat a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli megőrzésére kötelező nemzeti intézkedések – A nemzetbiztonság védelmére irányuló cél – Megengedhetetlenség – Az ezen irányelvből eredő kötelezettségekkel összeegyeztethetetlen intézkedések nemzeti bíróság általi megsemmisítése – Lehetőség ezen intézkedések joghatásainak fenntartására – Feltételek – Az adott ügyre való alkalmazhatatlanság – Ebből a nemzeti bíróságra nézve levonandó következtetések

   (Az Európai Unió Alapjogi Chartája, 7., 8., 11. cikk, és 52. cikk, (1) bekezdés; a 2009/136 irányelvvel módosított 2002/58 európai parlamenti és tanácsi irányelv, 5. cikk, (1) bekezdés, és 15. cikk, (1) bekezdés)

   (lásd: 216–220., 223–228. pont és a rendelkező rész 4. pontja)

Összefoglalás

A Bíróság megerősíti, hogy az uniós joggal ellentétes az olyan nemzeti szabályozás, amely az elektronikus hírközlési szolgáltatókat általánosságban a bűncselekmények elleni küzdelem vagy a nemzetbiztonság védelme céljából a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli továbbítására vagy megőrzésére kötelezi.

Ezzel szemben olyan helyzetekben, amikor a tagállamnak olyan súlyos nemzetbiztonsági fenyegetéssel kell szembenéznie, amely valós és közvetlen, illetve előre látható, eltérhet az elektronikus közlésekhez kapcsolódó adatok titkosságának biztosítására vonatkozó kötelezettségtől oly módon, hogy jogalkotási intézkedések útján, a feltétlenül szükséges mértékre korlátozott, de a fenyegetettség tartós fennállása esetén meghosszabbítható időtartamra az ilyen adatok általános és különbségtétel nélküli megőrzését írja elő. A súlyos bűncselekmények elleni küzdelem és a közbiztonságot érintő súlyos fenyegetettség megelőzése érdekében a tagállam rendelkezhet az említett adatok célzott megőrzéséről, valamint gyors megőrzéséről is. Az alapvető jogokba való ilyen beavatkozást tényleges biztosítékokkal kell ellátni, amelyeket független bíróságnak vagy hatósági szervnek kell ellenőriznie. Hasonlóképpen a tagállam a közlés forrásához hozzárendelt IP‑címek általános és különbségtétel nélküli megőrzését is előírhatja, amennyiben az adatmegőrzési idő a feltétlenül szükséges mértékre korlátozódik, illetve az elektronikus hírközlési eszközök felhasználóinak személyazonosságára vonatkozó adatok általános és különbségtétel nélküli megőrzését is, utóbbi esetben külön határidő megjelölése nélkül.

Az utóbbi években a Bíróság több ítéletben határozott az elektronikus hírközléssel kapcsolatos személyes adatok megőrzéséről és az azokhoz való hozzáférésről. ( 1 ) Az ebből eredő ítélkezési gyakorlat, különösen a Tele2 Sverige és Watson és társai ítélet, amelyben a Bíróság többek között megállapította, hogy a tagállamok nem írhatnak elő az elektronikus hírközlési szolgáltatások nyújtói számára a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli megőrzésére vonatkozó kötelezettséget, bizonyos államokban aggodalmakat váltott ki, mivel attól tartottak, hogy ezzel a nemzetbiztonság védelme és a bűnözés elleni küzdelem szempontjából általuk szükségesnek tartott eszköztől fosztották meg őket.

Ilyen előzmények után került sor arra, hogy az Investigatory Powers Tribunalhoz (nyomozati hatásköröket vizsgáló bíróság, Egyesült Királyság) (Privacy International, C‑623/17), a Conseil d’État‑hoz (államtanács, Franciaország) (La Quadrature du Net és társai, C‑511/18. és C‑512/18. sz. egyesített ügyek), valamint a Cour constitutionnelle‑hez (alkotmánybíróság, Belgium) (Ordre des barreaux francophones et germanophone és társai, C‑520/18) fordultak az egyes tagállamok által ezeken a területeken elfogadott, olyan szabályozások jogszerűségére vonatkozó jogvitákban, amelyek többek között a felhasználók forgalmi és helymeghatározó adatainak hatóság felé történő továbbítására, illetve általános és különbségtétel nélküli megőrzésére vonatkozó kötelezettséget írtak elő az elektronikus hírközlési szolgáltatók számára.

A Bíróság a nagytanácsban hozott, 2020. október 6‑i két ítéletében először is úgy ítéli meg, hogy az elektronikus hírközlési adatvédelmi irányelv alkalmazandó azokra a nemzeti szabályozásokra, amelyek arra kötelezik az elektronikus hírközlési szolgáltatókat, hogy a nemzetbiztonság védelme és a bűnözés elleni küzdelem céljából személyes adatokat kezeljenek, így például a hatóságoknak továbbítsák, vagy megőrizzék azokat. Ezenkívül a Bíróság a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli megőrzésének aránytalan jellegére vonatkozó, a Tele2 Sverige és Watson és társai ítéletből eredő ítélkezési gyakorlatának megerősítése mellett további pontosítással szolgál többek között azon jogkörök terjedelmét illetően, amelyeket ezen irányelv a tagállamoknak az ilyen adatoknak a fent hivatkozott célokból történő megőrzésével kapcsolatban biztosít.

Először is a Bíróság eloszlatja az elektronikus hírközlési adatvédelmi irányelv alkalmazhatóságával kapcsolatos, a jelen ügyekben felmerült kétségeket. Több, a Bírósághoz írásbeli észrevételt benyújtó tagállam e tekintetben ugyanis eltérő álláspontot fejtett ki. Többek között arra hivatkoztak, hogy ez az irányelv nem alkalmazható a szóban forgó nemzeti szabályozásokra, mivel azok a nemzetbiztonság védelmét tűzték ki célul, amely – amint ez többek között az EUSZ 4. cikk (2) bekezdésének harmadik mondatában is szerepel – kizárólag a tagállamok hatáskörébe tartozik. A Bíróság ugyanakkor úgy ítéli meg, hogy az irányelv hatálya alá tartoznak az elektronikus hírközlési szolgáltatókat a forgalmi és helymeghatározó adatoknak e célból történő megőrzésére, illetve a nemzeti biztonsági és hírszerző hatóságok részére történő továbbítására kötelező nemzeti szabályozások.

Ezt követően a Bíróság emlékeztet arra, hogy az elektronikus hírközlési adatvédelmi irányelv ( 2 ) nem teszi lehetővé, hogy az elektronikus közlések és az azokhoz kapcsolódó adatok titkosságának biztosítására vonatkozó elvi kötelezettségtől, valamint az ezen adatok tárolásának tilalmától való eltérés váljon főszabállyá. Ez azt jelenti, hogy az irányelv csak az uniós jog általános elveinek, köztük az arányosság elvének és a Charta által biztosított alapvető jogoknak ( 3 ) a tiszteletben tartása mellett hatalmazza fel a tagállamokat arra, hogy többek között nemzetbiztonsági célokból olyan jogszabályi intézkedéseket fogadjanak el, amelyek az ezen irányelvben előírt jogok és kötelezettségek, különösen a forgalmi adatok titkosságának biztosítására irányuló kötelezettség ( 4 ) hatályát korlátozzák.

Ezzel összefüggésben a Bíróság a Privacy International ügyben egyrészt úgy ítéli meg, hogy a Chartával összefüggésben értelmezett elektronikus hírközlési adatvédelmi irányelvvel ellentétes az olyan nemzeti szabályozás, amely az elektronikus hírközlési szolgáltatókat a nemzetbiztonság védelme érdekében a forgalmi és helymeghatározó adatoknak a biztonsági és hírszerző szolgálatok részére történő, általános és különbségtétel nélküli továbbítására kötelezi. Másrészt a La Quadrature du Net és társai egyesített ügyekben, valamint az Ordre des barreaux francophones et germanophone és társai ügyben a Bíróság úgy ítéli meg, hogy ugyanezen irányelvvel ellentétesek az olyan jogszabályi intézkedések, amelyek az elektronikus hírközlési szolgáltatókat a forgalmi és a helymeghatározó adatok általános és különbségtétel nélküli, megelőző jelleggel történő megőrzésére kötelezik. Az ilyen adatok általános és különbségtétel nélküli továbbítására és megőrzésére vonatkozó kötelezettségek ugyanis különösen súlyos beavatkozást jelentenek a Charta által biztosított alapvető jogokba, függetlenül attól, hogy a személyes adataik révén érintett személyek magatartása összefüggésben áll‑e a szóban forgó szabályozás által elérni kívánt céllal. A Bíróság hasonlóképpen úgy értelmezi az általános adatvédelmi rendelet ( 5 ) 23. cikkének (1) bekezdését a Chartával összefüggésben, hogy azzal ellentétes az olyan nemzeti szabályozás, amely a nyilvános online hírközlési szolgáltatásokhoz való hozzáférést nyújtókat és a tárhelyszolgáltatókat többek között az e szolgáltatásokhoz kapcsolódó személyes adatok általános és különbségtétel nélküli megőrzésére kötelezi.

A Bíróság ezzel szemben úgy véli, hogy olyan helyzetekben, amikor az érintett tagállamnak olyan súlyos nemzetbiztonsági fenyegetéssel kell szembenéznie, amely valós és közvetlen, illetve előre látható, a Chartával összefüggésben értelmezett elektronikus hírközlési adatvédelmi irányelvvel nem ellentétes az elektronikus hírközlési szolgáltatóknak a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli megőrzésére való kötelezése. Ebben az összefüggésben a Bíróság pontosítja, hogy a feltétlenül szükséges időtartamra korlátozott kötelezést előíró határozatnak bíróság, illetve kötelező erejű határozatot hozó, független közigazgatási szerv általi, tényleges ellenőrzés tárgyát kell képeznie, amely annak vizsgálatára irányul, hogy e helyzetek valamelyike fennáll‑e, valamint hogy tiszteletben tartják‑e az előírandó feltételeket és garanciákat. Ugyanezen körülmények között az említett irányelvvel nem ellentétes az elektronikus hírközlési eszközök valamennyi felhasználójára vonatkozó, többek között forgalmi és helymeghatározó adatok automatizált elemzése sem.

A Bíróság hozzáteszi, hogy a Chartával összefüggésben értelmezett elektronikus hírközlési adatvédelmi irányelvvel nem ellentétesek az olyan jogszabályi intézkedések, amelyek lehetővé teszik a forgalmi és helymeghatározó adatoknak a feltétlenül szükséges időtartamra korlátozott, olyan célzott megőrzését, amelyet objektív és hátrányos megkülönböztetéstől mentes tényezők alapján, az érintett személyek kategóriái szerint vagy földrajzi kritérium segítségével határoznak meg. Ugyanígy nem ellentétesek ezzel az irányelvvel a csatlakozási forráshoz hozzárendelt IP‑címek általános és különbségtétel nélküli megőrzését előíró intézkedések, amennyiben az adatmegőrzés időtartama a feltétlenül szükséges mértékre korlátozódik, sem pedig az elektronikus hírközlési eszközök felhasználóinak személyazonosságára vonatkozó adatok ilyen megőrzését előíró intézkedések, mivel a tagállamok ez utóbbi esetben nem kötelesek időben korlátozni az adatmegőrzést. Az említett irányelvvel továbbá nem ellentétes az olyan jogszabályi intézkedés, amely lehetővé teszi a szolgáltatásnyújtók számára rendelkezésre álló adatok gyors megőrzését olyan helyzet felmerülése esetén, amelyben az említett adatokat súlyos bűncselekmények vagy a nemzetbiztonságot ért támadások felderítése érdekében az adatmegőrzésre vonatkozó jogszabályi határidőn túl is meg kell őrizni, amennyiben ezek a bűncselekmények vagy támadások már megállapítást nyertek vagy észszerűen feltételezhetők.

Ezenkívül a Bíróság úgy ítéli meg, hogy a Chartával összefüggésben értelmezett elektronikus hírközlési adatvédelmi irányelvvel nem ellentétes az olyan nemzeti szabályozás, amely az elektronikus hírközlési szolgáltatókat többek között a forgalmi és helymeghatározó adatok valós idejű gyűjtésére kötelezi, amennyiben az adatgyűjtés azokra a személyekre korlátozódik, akik tekintetében alapos okkal feltételezhető, hogy valamilyen módon terrorcselekményekben működnek közre, valamint bíróság, illetve kötelező erejű határozatot hozó, független közigazgatási szerv előzetes ellenőrzése alá tartozik, biztosítva, hogy a valós idejű adatgyűjtést csak a feltétlenül szükséges mértékben engedélyezik. Sürgős esetben az ellenőrzést rövid határidőn belül el kell végezni.

Végül a Bíróság az uniós joggal összeegyeztethetetlennek ítélt nemzeti szabályozás időbeli hatályának fenntartására irányuló kérdéssel foglalkozik. E tekintetben úgy ítéli meg, hogy a nemzeti bíróság nem alkalmazhat olyan nemzeti jogi rendelkezést, amely felhatalmazza őt arra, hogy korlátozza azon ítéletének időbeli hatályát, amelyben olyan nemzeti jogszabályt kell a nemzeti szabályozás alapján jogellenesnek nyilvánítania, amely az elektronikus hírközlési szolgáltatókat a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli, a Chartával összefüggésben értelmezett elektronikus hírközlési adatvédelmi irányelvvel összeegyeztethetetlennek nyilvánított megőrzésére kötelezi.

Annak érdekében, hogy a nemzeti bíróság számára hasznos válasszal tudjon szolgálni, a Bíróság emlékeztet arra, hogy az uniós jog jelenlegi állapotában kizárólag a nemzeti jog hatálya alá tartozik az uniós joggal ellentétes adatmegőrzéssel szerzett bizonyítékoknak a súlyos bűncselekmények elkövetésével gyanúsított személyekkel szemben indított büntetőeljárás keretében való megengedhetősége és értékelése. Mindazonáltal a Bíróság pontosítja, hogy a tényleges érvényesülés elvére tekintettel értelmezett elektronikus hírközlési adatvédelmi irányelv alapján a nemzeti büntetőbíróság köteles az ilyen büntetőeljárásban kizárni azokat a bizonyítékokat, amelyekhez a forgalmi és helymeghatározó adatoknak az uniós joggal összeegyeztethetetlen, általános és különbségtétel nélküli megőrzésével jutottak, ha a bűncselekmény elkövetésével gyanúsított személyek e bizonyítékokkal kapcsolatban nem tudnak érdemben állást foglalni.

( 1 ) A 2014. április 8‑iDigital Rights Ireland és társai ítéletben (C‑293/12 és C‑594/12, EU:C:2014:238) (lásd: 54/14. sz. sajtóközlemény) a Bíróság azzal az indokkal nyilvánította érvénytelennek a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása, illetve a nyilvános hírközlő hálózatok szolgáltatása keretében előállított vagy feldolgozott [helyesen: kezelt] adatok megőrzéséről és a 2002/58/EK irányelv módosításáról szóló, 2006. március 15–i 2006/24/EK európai parlamenti és tanácsi irányelvet (HL 2006. L 105., 54. o.; helyesbítés: HL 2009. L 50., 52. o.), hogy a forgalmi és helymeghatározó adatokra vonatkozóan ezen irányelvben előírt általános megőrzési kötelezettség által megvalósított, az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) által elismert, a magánélet tiszteletben tartásához és a személyes adatok védelméhez való jogba való beavatkozás nem korlátozódik a feltétlenül szükséges mértékre. A 2016. december 21‑iTele2 Sverige és Watson és társai ítéletben (C–203/15 és C–698/15, EU:C:2016:970) (lásd: 145/16. sz. sajtóközlemény) a Bíróság továbbá a 2009. november 25‑i 2009/136/EK európai parlamenti és tanácsi irányelvvel (HL 2009. L 337., 11. o.; helyesbítés: HL 2013. L 241., 9. o.) módosított, az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról [helyesen: a személyes adatok kezeléséről] és a magánélet védelméről szóló, 2002. július 12‑i 2002/58/EK európai parlamenti és tanácsi irányelv (elektronikus hírközlési adatvédelmi irányelv) (HL 2002. L 201., 37. o.; magyar nyelvű különkiadás 13. fejezet, 29. kötet, 514. o.; a továbbiakban: elektronikus hírközlési adatvédelmi irányelv) 15. cikkének (1) bekezdését értelmezte. Ez a cikk felhatalmazza a tagállamokat arra, hogy – többek között a nemzetbiztonság védelme érdekében – „jogszabályi intézkedéseket” fogadjanak el az irányelvben előírt egyes jogok és kötelezettségek hatályának korlátozására. Végül a 2018. október 2‑iMinisterio Fiscal ítéletben (C‑207/16, EU:C:2018:788) (lásd: 141/18. sz. sajtóközlemény) a Bíróság ugyanezen 15. cikk (1) bekezdését értelmezte egy olyan ügyben, amely az elektronikus hírközlési eszközök felhasználóinak személyazonosságára vonatkozó adatokhoz való hatósági hozzáférésére vonatkozott.

( 2 ) A 2002/58 irányelv 15. cikkének (1) és (3) bekezdése.

( 3 ) Különösen a Charta 7., 8. és 11. cikke, valamint 52. cikkének (1) bekezdése.

( 4 ) A 2002/58 irányelv 5. cikkének (1) bekezdése.

( 5 ) A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (HL 2016. L 119., 1. o.; helyesbítés: HL 2016. L 314., 72. o.).