Mål C‑746/18

H. K.

mot

Prokuratuur

(begäran om förhandsavgörande från Riigikohus)

Domstolens dom (stora avdelningen) av den 2 mars 2021

”Begäran om förhandsavgörande – Behandling av personuppgifter inom sektorn för elektronisk kommunikation – Direktiv 2002/58/EG – Leverantörer av elektroniska kommunikationstjänster – Konfidentialitet vid kommunikation – Begränsningar – Artikel 15.1 – Artiklarna 7, 8, 11 och 52.1 i Europeiska unionens stadga om de grundläggande rättigheterna – Lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster en generell och odifferentierad skyldighet att lagra trafik- och lokaliseringsuppgifter – Nationella myndigheters tillgång till de lagrade uppgifterna inom ramen för brottsutredningar – Allmän brottsbekämpning – Åklagarmyndighetens godkännande – Användning av uppgifterna som bevis inom ramen för ett straffrättsligt förfarande – Upptagande till prövning”

1. Tillnärmning av lagstiftning – Telekommunikationssektorn – Behandling av personuppgifter inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Rätt för medlemsstaterna att begränsa omfattningen av vissa rättigheter och skyldigheter – Nationella åtgärder som ålägger leverantörer av elektroniska kommunikationstjänster en generell och odifferentierad skyldighet att lagra trafik- och lokaliseringsuppgifter – Nationella myndigheters tillgång till de lagrade uppgifterna inom ramen för brottsutredningar – Mål bestående i allmän brottsbekämpning – Otillåtet – Den tidsperiod under vilken myndigheterna ges tillgång till uppgifterna, samt mängden och arten av de uppgifter som är tillgängliga under denna period – Saknar betydelse

   (Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8, 11 och 52.1; Europaparlamentets och rådets direktiv 2002/58, i dess lydelse enligt direktiv 2009/136, artiklarna 5.1 och 15.1)

   (se punkterna 29–35, 40, 45 och domslutet p. 1)

2. Tillnärmning av lagstiftning – Telekommunikationssektorn – Behandling av personuppgifter inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Rätt för medlemsstaterna att begränsa omfattningen av vissa rättigheter och skyldigheter – Nationella åtgärder som ålägger leverantörer av elektroniska kommunikationstjänster en generell och odifferentierad skyldighet att lagra trafik- och lokaliseringsuppgifter – Nationella myndigheters tillgång till de lagrade uppgifterna inom ramen för brottsutredningar – Tillgång till uppgifterna underkastas förhandskontroll av en oberoende myndighet – Tillgång till uppgifterna beviljas av åklagarmyndigheten – Otillåtet

   (Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8, 11 och 52.1; Europaparlamentets och rådets direktiv 2002/58, i dess lydelse enligt direktiv 2009/136, artiklarna 5.1 och 15.1)

   (se punkterna 48–59 och domslutet p. 2)

Resumé

Att i brottsutredande syfte ge tillgång till en mängd trafik- och lokaliseringsuppgifter från elektronisk kommunikation, vilka gör det möjligt att dra specifika slutsatser om de berörda personernas privatliv, är tillåtet endast för att bekämpa grov brottslighet eller förebygga allvarliga hot mot allmän säkerhet.

Unionsrätten utgör dessutom hinder mot nationell lagstiftning som ger åklagarmyndigheten behörighet att bevilja offentliga myndigheter tillgång till dylika uppgifter inom ramen för en brottsutredning.

I Estland inleddes ett straffrättsligt förfarande mot H.K., som åtalades för stölder, användning av tredje mans bankkort samt övergrepp i rättssak. H.K. dömdes för dessa brott av en domstol i första instans till fängelse i två år. Det avgörandet fastställdes i andra instans.

De protokoll som gjorde det möjligt att styrka att H.K. hade begått ovannämnda brott grundades bland annat på personuppgifter som genererats i samband med tillhandahållandet av elektroniska kommunikationstjänster. H.K. överklagade avgörandet i andra instans till Riigikohus (Högsta domstolen, Estland), som hyste tvivel om huruvida de utredande myndigheterna hade fått tillgång till dessa uppgifter på villkor som var förenliga med unionsrätten. ( 1 )

Dessa tvivel avsåg för det första frågan huruvida omfattningen av den period då de utredande myndigheterna fick tillgång till uppgifterna utgjorde ett kriterium som kunde ligga till grund för bedömningen av hur allvarligt ingreppet i de berörda personernas grundläggande rättigheter, bestående i myndigheternas tillgång till dessa uppgifter, skulle anses vara. Den hänskjutande domstolen ansåg att när denna period är mycket kort eller mängden av de insamlade uppgifterna är mycket begränsad, finns det anledning att fråga sig huruvida målet att bekämpa brottslighet i allmänhet, och inte enbart grov brottslighet, kan motivera ett sådant ingrepp. För det andra önskade den hänskjutande domstolen få klarhet i huruvida den estniska åklagarmyndigheten, med hänsyn till de olika uppdrag som den anförtrotts enligt nationell lagstiftning, kunde anses utgöra en ”oberoende” förvaltningsmyndighet i den mening som avses i Tele 2-domen, ( 2 ) och att åklagarmyndigheten således kunde ge de brottsutredande myndigheterna tillgång till de aktuella uppgifterna.

Genom sin dom slår domstolen (stora avdelningen) fast att direktivet om integritet och elektronisk kommunikation, mot bakgrund av stadgan, utgör hinder mot nationell lagstiftning som gör det möjligt för offentliga myndigheter att få tillgång till trafik- eller lokaliseringsuppgifter – vilka kan ge information om kommunikation som en användare har utfört medelst elektronisk kommunikationsutrustning eller om lokaliseringen av terminalutrustning som denna användare har använt, och ligga till grund för slutsatser beträffande användarens privatliv – i syfte att förebygga, undersöka, avslöja och väcka åtal för brott, utan att det uppställs något krav på att det ska röra sig om grov brottslighet eller förebyggande av allvarliga hot mot allmän säkerhet. Domstolen anser att den tidsperiod under vilken myndigheterna ges tillgång till dessa uppgifter, samt mängden och arten av de uppgifter som är tillgängliga under denna period, saknar betydelse i detta avseende. Domstolen finner även att nämnda direktiv, mot bakgrund av stadgan, utgör hinder mot nationell lagstiftning som ger åklagarmyndigheten behörighet att ge offentliga myndigheter tillgång till trafik- och lokaliseringsuppgifter inom ramen för en brottsutredning.

Domstolens bedömning

Vad gäller frågan under vilka villkor de offentliga myndigheterna kan få tillgång till trafik- och lokaliseringsuppgifter som leverantörer av elektroniska kommunikationstjänster har lagrat när dessa myndigheter förebygger, undersöker, avslöjar och väcker åtal för brott, inom ramen för en åtgärd som vidtagits med stöd av direktivet om integritet och elektronisk kommunikation, ( 3 ) erinrade domstolen om sina slutsatser i domen La Quadrature du Net m.fl. ( 4 ) Enligt direktivet om integritet och elektronisk kommunikation är det således tillåtet för medlemsstaterna att bland annat för nyssnämnda ändamål vidta lagstiftningsåtgärder för att begränsa omfattningen av de rättigheter och skyldigheter som föreskrivs i direktivet, däribland skyldigheten att säkerställa konfidentialiteten vid kommunikation och därmed förbundna trafikuppgifter, ( 5 ) endast för det fall att de allmänna principerna i unionsrätten, inklusive proportionalitetsprincipen, och de grundläggande rättigheter som garanteras i stadgan iakttas. ( 6 ) I detta sammanhang utgör direktivet hinder mot lagstiftningsåtgärder som ålägger leverantörer av elektroniska kommunikationstjänster en generell och odifferentierad skyldighet att lagra trafik- och lokaliseringsuppgifter i förebyggande syfte.

Vad gäller målet bestående i att förebygga, undersöka, avslöja och väcka åtal för brott som eftersträvas genom den aktuella nationella lagstiftningen, finner domstolen att det i enlighet med proportionalitetsprincipen endast är målen bestående i att bekämpa grov brottslighet eller förebygga allvarliga hot mot den allmänna säkerheten som kan motivera att offentliga myndigheter ska få tillgång till ett stort antal trafik- eller lokaliseringsuppgifter som gör det möjligt att dra precisa slutsatser om de berörda personernas privatliv, såvida inte andra faktorer för att bedöma huruvida ansökan om tillgång är proportionerlig – såsom under hur lång tid myndigheterna får tillgång till de begärda uppgifterna – kan leda till att målet bestående i att förebygga, undersöka, avslöja och väcka åtal för brott i allmänhet kan motivera att sådan tillgång ska beviljas.

I fråga om åklagarmyndighetens behörighet att ge en offentlig myndighet tillgång till trafik- eller lokaliseringsuppgifter när sistnämnda myndighet ska genomföra en brottsutredning, erinrade domstolen om att det ska fastställas i nationell rätt under vilka villkor leverantörer av elektroniska kommunikationstjänster ska ge behöriga nationella myndigheter tillgång till de uppgifter som de förfogar över. För att kravet på proportionalitet ska anses vara uppfyllt måste sådan lagstiftning emellertid innehålla klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt ange minimikrav, så att de personer vars personuppgifter berörs har tillräckliga garantier för att uppgifterna på ett effektivt sätt är skyddade mot riskerna för missbruk. Denna lagstiftning ska vara rättsligt bindande enligt nationell rätt och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd avseende behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strängt nödvändigt.

Domstolen anser att för att säkerställa att dessa villkor uppfylls till fullo i praktiken, är det väsentligt att behöriga nationella myndigheters tillgång till de lagrade uppgifterna är underkastad förhandskontroll av en domstol eller en oberoende myndighet, och att domstolen meddelar sitt avgörande eller myndigheten antar sitt beslut till följd av att dessa myndigheter har framställt en motiverad begäran inom ramen för exempelvis ett förfarande för förebyggande, avslöjande eller lagföring av brott. I vederbörligen motiverade fall som ställer krav på skyndsamhet ska denna kontroll ske utan dröjsmål.

I detta avseende framhåller domstolen att en sådan förhandskontroll bland annat innebär att den domstol eller det organ som ska utföra denna kontroll har alla befogenheter och lämnar alla nödvändiga garantier för att kunna göra en vederbörlig avvägning mellan de olika intressen och rättigheter som är i fråga. Vad särskilt gäller en brottsutredning kräver en sådan kontroll att denna domstol eller detta organ kan säkerställa en korrekt balans mellan de intressen som inom ramen för brottsbekämpning gör sig gällande för att svara mot utredningens behov, å ena sidan, och de grundläggande rättigheter avseende respekt för privatlivet och skydd av personuppgifter som tillkommer de personer vars uppgifter kan komma att lämnas ut, å den andra sidan. När denna kontroll inte utförs av en domstol utan av en oberoende förvaltningsmyndighet måste denna myndighet ha en ställning som innebär att den kan fullgöra sitt uppdrag på ett objektivt och opartiskt sätt, och den måste därför vara fri från all yttre påverkan.

Domstolen anser att det följer härav att det krav på oberoende som myndigheten med ansvar för sådan förhandskontroll ska uppfylla innebär att myndigheten måste vara fristående i förhållande till den som begär tillgång till uppgifterna, så att myndigheten kan utöva sin kontroll på ett objektivt och opartiskt sätt utan yttre påverkan. På det straffrättsliga området innebär kravet på oberoende att den myndighet som ska utföra förhandskontrollen dels inte får vara involverad i den aktuella brottsutredningen, dels ska ha en neutral ställning i förhållande till parterna i det straffrättsliga förfarandet. Så är inte fallet med en åklagarmyndighet som – såsom är fallet med den estniska åklagarmyndigheten – leder utredningsförfarandet och, i förekommande fall, väcker åtal för det allmännas räkning. Härav följer att åklagarmyndigheten inte kan utföra denna förhandskontroll.

( 1 ) Närmare bestämt artikel 15.1 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 (EUT L 337, 2009, s. 11) (nedan kallat direktivet om integritet och elektronisk kommunikation), jämförd med artiklarna 7, 8, 11 och 52.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

( 2 ) Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016:970, punkt 120).

( 3 ) Artikel 15.1 i direktiv 2002/58.

( 4 ) Dom av den 6 oktober 2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 och C-520/18, EU:C:2020:791, punkterna 166–169).

( 5 ) Artikel 5.1 i direktiv 2002/58.

( 6 ) Särskilt artiklarna 7, 8, 11 och 52.1 i stadgan.