1.

Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy w istocie warunków, które powinny spełnić organy policji w celu uzyskania dostępu do danych przechowywanych w telefonie komórkowym osoby, przeciwko której prowadzone jest postępowanie przygotowawcze.

2.

Jak postaram się wyjaśnić, odesłanie prejudycjalne zawiera istotne braki w odniesieniu do jego dopuszczalności. Gdyby, pomimo wszystko, Trybunał Sprawiedliwości zdecydował się zbadać istotę sprawy, będzie on musiał wypowiedzieć się w przedmiocie zakresu zastosowania, odpowiednio, dyrektywy 2002/58/WE ( 2 ) oraz dyrektywy (UE) 2016/680 ( 3 ).

I.

Ramy prawne

A.

Prawo Unii

1.

Rozporządzenie (UE) 2016/679 ( 4 )

3.

Artykuł 2 („Materialny zakres stosowania”) ust. 2 stanowi:

2.

Dyrektywa 2016/680

4.

W motywie 2 wskazano:

5.

Zgodnie z motywem 46:

6.

Motyw 49 brzmi następująco:

7.

Artykuł 1 („Przedmiot i cele”) stanowi:

8.

Artykuł 2 („Zakres zastosowania”) ust. 1 stwierdza:

9.

Artykuł 3 („Definicje”) wskazuje:

10.

Artykuł 4 („Zasady dotyczące przetwarzania danych osobowych”) ust. 1 stanowi:

11.

Artykuł 8 („Zgodność przetwarzania z prawem”) wskazuje:

12.

Artykuł 13 („Informacje udostępniane lub przekazywane osobie, której dane dotyczą”) przewiduje:

13.

Zgodnie z art. 15 („Ograniczenia prawa dostępu”) ust. 1:

14.

Na podstawie art. 27 („Ocena skutków dla ochrony danych”):

15.

Artykuł 28 („Uprzednie konsultacje z organem nadzorczym”) stanowi:

16.

Artykuł 54 („Prawo do skutecznego środka prawnego przed sądem przeciwko administratorowi lub podmiotowi przetwarzającemu”) stanowi:

B.

Prawo krajowe

17.

Paragraf 18 Strafprozessordnung ( 6 ) przyznaje policji kryminalnej zadania w służbie wymiaru sprawiedliwości w sprawach karnych (ust. 1). Postępowania przygotowawcze prowadzone przez policję kryminalną należą do obowiązków organów bezpieczeństwa (ust. 2). Organy służb bezpieczeństwa publicznego dokonują czynności wykonawczych policji kryminalnej obejmujących prowadzenie postępowania przygotowawczego i ściganie przestępstw (ust. 3).

18.

Zgodnie z § 99 StPO policja kryminalna prowadzi postępowanie przygotowawcze z urzędu lub na podstawie zawiadomienia, stosując się do nakazów prokuratora i sądu (ust. 1). Jeżeli czynność dokonywana w postępowaniu przygotowawczym wymaga nakazu prokuratora, policja kryminalna może, również bez nakazu, skorzystać z odpowiednich uprawnień w przypadku bezpośredniego zagrożenia. W takim przypadku powinna ona niezwłocznie wystąpić o zatwierdzenie czynności (ust. 2).

19.

Zgodnie z § 111 ust. 2 StPO, w przypadku gdy informacje przechowywane na nośnikach danych mają być przedmiotem zbierania danych, każdy jest zobowiązany umożliwić dostęp do wspomnianych informacji oraz, na wniosek, dostarczyć elektroniczny nośnik danych w powszechnie stosowanym formacie pliku lub umożliwić jego dostarczenie. Ponadto musi on umożliwić wykonanie kopii zapasowej informacji przechowywanych na nośnikach danych.

II.

Okoliczności faktyczne, postępowanie główne i pytania prejudycjalne

20.

C.G. jest obywatelem niemieckim, który pracuje i mieszka w Austrii.

21.

W dniu 23 lutego 2021 r., podczas kontroli na obecność narkotyków, urzędnicy urzędu celnego w Innsbrucku (Austria) przejęli adresowaną do C.G. paczkę, która zawierała 85 gramów marihuany.

22.

W dniu 6 marca 2021 r. dwaj funkcjonariusze policji przesłuchali C.G. na okoliczność nadawcy przesyłki i dokonali przeszukania jego mieszkania. W trakcie przeszukania zatrzymano jego telefon komórkowy (wraz z kartą SIM i kartą SD) oraz doręczono mu protokół zatrzymania rzeczy.

23.

Poproszony o umożliwienie wglądu do danych dotyczących połączeń zapisanych w jego telefonie komórkowym, C.G. nie wyraził na to zgody, jak również odmówił podania kodu dostępu do telefonu.

24.

W Bezirkspolizeikommando w Landeck (Austria) nie udało się usunąć blokady telefonu komórkowego. Telefon został przesłany do Bundeskriminalamt (głównego urzędu policji kryminalnej) w Wiedniu (Austria), gdzie ponownie podjęto bezskuteczną próbę odblokowania telefonu i odczytania przechowywanych w nim danych.

25.

W chwili zastosowania tych środków przez policję nie wydano w odniesieniu do nich nakazu prokuratury ani orzeczenia sądu.

26.

W dniu 31 marca 2021 r. C.G. wniósł do Landesverwaltungsgericht Tirol (regionalnego sądu administracyjnego w Tyrolu, Austria) skargę na zastosowany wobec niego środek przymusu, kwestionując zatrzymanie telefonu komórkowego. Telefon komórkowy zwrócono mu w dniu 20 kwietnia 2021 r.

27.

C.G. nie powiadomiono o próbie analizy zawartości telefonu komórkowego; dowiedział się o tym, ponieważ funkcjonariusz policji, który dokonał zatrzymania, a następnie rozpoczął analizę cyfrową, został przesłuchany w charakterze świadka pod przysięgą. Próba ta nie została również udokumentowana w aktach policji kryminalnej.

28.

W związku z powyższym Landesverwaltungsgericht Tirol (regionalny sąd administracyjny w Tyrolu) przedstawił Trybunałowi Sprawiedliwości następujące pytania prejudycjalne:

III.

Postępowanie przed Trybunałem Sprawiedliwości

29.

Wniosek o wydanie orzeczenia w trybie prejudycjalnym wpłynął do Trybunału Sprawiedliwości w dniu 6 września 2021 r.

30.

W dniu 20 października 2021 r. Trybunał Sprawiedliwości zwrócił się do sądu odsyłającego o wskazanie, czy dyrektywa 2016/680 może mieć znaczenie w sprawie.

31.

W dniu 11 listopada 2021 r. sąd odsyłający odpowiedział, że dyrektywa 2016/680 ma zastosowanie w postępowaniu głównym.

32.

Uwagi na piśmie zostały przedstawione przez rządy niemiecki, austriacki, cypryjski, duński, estoński, francuski, węgierski, irlandzki, niderlandzki, norweski, polski i szwedzki, jak również przez Komisję Europejską.

33.

Na rozprawie jawnej, która odbyła się w dniu 16 stycznia 2023 r., stawili się, z wyjątkiem rządów niemieckiego, węgierskiego i polskiego, uczestnicy postępowania, którzy przedstawili uwagi na piśmie, oraz rząd fiński. Wszyscy zostali wezwani przez Trybunał Sprawiedliwości o przedstawienie stanowisk przede wszystkim w odniesieniu do dyrektywy 2016/680 oraz o udzielenie ustnych odpowiedzi na określone pytania z nią związane.

IV.

Analiza

A.

Niedopuszczalność

34.

Sąd odsyłający początkowo tak sformułował swoje pytania, że zwracał się w nich o dokonanie wykładni jedynie dyrektywy 2002/58. Jednakże praktycznie wszyscy interwenienci w postępowaniu zgadzają się, że dyrektywa ta nie ma zastosowania w niniejszej sprawie, zatem jej wykładnia nie jest konieczna dla rozstrzygnięcia sporu.

35.

Zgodnie z art. 3 dyrektywy 2002/58 ma ona zastosowanie do „przetwarzania danych osobowych w związku z dostarczaniem publicznie dostępnych usług łączności elektronicznej w publicznych sieciach łączności [w Unii], włącznie z publicznymi sieciami łączności służącymi do zbierania danych i obsługi urządzeń identyfikacyjnych”.

36.

Trybunał Sprawiedliwości uznał, że „kiedy państwa członkowskie wprowadzają bezpośrednio środki stanowiące odstępstwo od poufności łączności elektronicznej, bez nakładania obowiązków przetwarzania na dostawców usług łączności elektronicznej, ochrona danych osób, których dane dotyczą, jest objęta nie dyrektywą 2002/58, ale jedynie prawem krajowym, z zastrzeżeniem stosowania [dyrektywy 2016/680]” ( 7 ).

37.

W niniejszej sprawie próba dostępu do danych została podjęta bezpośrednio przez organy policji w ramach postępowania przygotowawczego. Nie miały miejsca żadne działania ze strony dostawców usług łączności elektronicznej, którzy nie zostali zobowiązani do przekazywania danych osobowych. Z tego względu dyrektywa 2002/58 nie ma zastosowania.

38.

Aktem prawa Unii regulującym taki przypadek jest dyrektywa 2016/680, bowiem zgodnie z art. 2 ust. 1 tej dyrektywy ma ona zastosowanie do przetwarzania danych osobowych przez organy właściwe do „celów prowadzenia […] postępowań przygotowawczych [w sprawie] […] czynów zabronionych”.

39.

Powyższe wystarczałoby zatem do stwierdzenia, że odesłanie prejudycjalne, tak jak sformułował je sąd odsyłający, jest niedopuszczalne, ponieważ przepis prawa Unii, o którego wykładnię wniesiono, nie ma zastosowania w tej sprawie.

40.

Nie ma wątpliwości co tego, że art. 267 TFUE pozwala Trybunałowi Sprawiedliwości na przeformułowanie przedstawionych mu pytań prejudycjalnych lub na wskazanie istnienia innych przepisów prawa Unii, które mogą mieć znaczenie dla sprawy, w celu udzielenia krajowemu sądowi odsyłającemu użytecznej odpowiedzi ( 8 ).

41.

Trybunał Sprawiedliwości zwrócił się do sądu odsyłającego, aby ten wypowiedział się w przedmiocie ewentualnego wpływu dyrektywy 2016/680 na sprawę. Dał mu zatem możliwość uzupełnienia lub przeformułowania swoich pytań. Zamiast tego sąd odsyłający poprzestał na stwierdzeniu, że „w niniejszej sprawie należy w każdym razie przestrzegać wymogów ustanowionych w dyrektywie (UE) 2016/680”, jednak nie wskazał przepisów dyrektywy, w przedmiocie których powziął wątpliwości, ani nie przedstawił innych rozważań merytorycznych ( 9 ).

42.

Trybunał Sprawiedliwości stwierdził wielokrotnie, że „[j]est […] niezbędne, jak stanowi art. 94 lit. c) regulaminu postępowania, by wniosek o wydanie orzeczenia w trybie prejudycjalnym zawierał omówienie powodów, dla których sąd odsyłający rozpatruje kwestię wykładni lub ważności określonych przepisów prawa Unii, jak również związku, jaki dostrzega on między tymi przepisami a uregulowaniami krajowymi, które znajdują zastosowanie w postępowaniu głównym” ( 10 ).

43.

Jak wynika zatem z powyższego, uchybienie wymogom art. 94 regulaminu postępowania jest w niniejszym przypadku oczywiste. Chociaż Trybunał Sprawiedliwości wykazuje w tym zakresie pewną elastyczność, to współpraca z sądem odsyłającym musi być wzajemna: w przypadku nieuzasadnionego braku współpracy ze strony tego ostatniego w zakresie przedstawienia jego wątpliwości w przedmiocie wykładni prawa Unii, które uznaje on za mające zastosowanie (w tym przypadku dyrektywy 2016/680), logiczne wydaje mi się uznanie wniosku o wydanie orzeczenia w trybie prejudycjalnym za niedopuszczalny ( 11 ).

44.

Do powyższego dochodzi fakt, że sąd ten:

45.

W tych okolicznościach, zamiast przeformułować pytania sądu odsyłającego, Trybunał Sprawiedliwości powinien dokonać rzeczywistej rekonstrukcji odesłania prejudycjalnego, opartej zresztą częściowo na rozważaniach hipotetycznych, a nie na ustalonych faktach. Wszystko to, powtarzam, po umożliwieniu sądowi odsyłającemu samodzielnego uzupełnienia lub przeformułowania jego własnych pytań.

46.

Proponuję zatem, aby wniosek o wydanie orzeczenia w trybie prejudycjalnym został uznany za niedopuszczalny, jak podniosło kilka państw będących interwenientami w sprawie.

47.

Do uznania wniosku o wydanie orzeczenia w trybie prejudycjalnym za niedopuszczalny powinna również prowadzić wskazana na rozprawie okoliczność, że przed sądem odsyłającym nie toczy się już rzeczywiste postępowanie, które wymagałoby wykładni przepisów prawa Unii.

48.

Rząd austriacki (będący zwierzchnikiem organów policji prowadzących postępowanie przygotowawcze) przyznał bowiem, że działania tych organów były niezgodne z prawem i stanowiły one naruszenie praw skarżącego. Jako że zgodnie z postanowieniem odsyłającym żądanie skarżącego rozpoznawane przez sąd administracyjny skierowane było właśnie przeciwko działaniom organów policji, które to działania organ administracji, będący drugą stroną postępowania, uznał za niezgodne z prawem, nie istnieje już spór przed sądem odsyłającym.

49.

W każdym razie, na wypadek gdyby Trybunał Sprawiedliwości nie podzielał mojego stanowiska, w dalszej części rozważę, pomocniczo, kwestie merytoryczne leżące u podstaw pytań prejudycjalnych.

50.

W pierwszej kolejności wydaje mi się jednak konieczne wykluczenie istnienia innej podstawy niedopuszczalności podnoszonej przez niektórych interwenientów w niniejszym postępowaniu ( 14 ). Ich zdaniem, z tego względu, że dyrektywa 2016/680 dotyczy ochrony osób fizycznych w odniesieniu do przetwarzania ich danych, nie ma ona zastosowania w przypadkach takich jak niniejszy, w którym nie miało miejsca przetwarzanie, a jedynie próba uzyskania dostępu do danych, których ostatecznie nie uzyskano.

51.

Komisja wyraża całkowicie odmienne stanowisko i uważa, że skuteczność dyrektywy 2016/680 powinna sprzyjać takiej wykładni jej przedmiotu, która nie ogranicza się do przetwarzania danych w ścisłym znaczeniu, ale obejmuje również kwestie bezpośrednio z nim związane. Jedną z nich jest próba uzyskania dostępu do danych, które zamierza się przetwarzać ( 15 ).

52.

Moim zdaniem, bez potrzeby przesuwania granic zakresu zastosowania dyrektywy 2016/680 ( 16 ), jej stosowanie w niniejszej sprawie uzasadnia nie fakt zatrzymania telefonu komórkowego ( 17 ), lecz późniejsze działania organów policji zmierzające do uzyskania z niego określonych danych osobowych osoby, której dane dotyczą, w którym to celu podjęły one próbę jego odblokowania i umożliwienia dostępu do jego zawartości.

53.

Do operacji dokonywanych w toku postępowania przygotowawczego, a objętych zawartą w art. 3 pkt 2 dyrektywy 2016/680 definicją „przetwarzania”, zalicza się „innego rodzaju udostępniania” danych osobowych. Uważam, że kiedy organ policji dokonuje zatrzymania telefonu, w którym przechowywane są owe dane, i manipuluje nim w celu ich wydobycia, rozpoczyna „operację” przetwarzania, nawet jeśli zostanie ona udaremniona z przyczyn technicznych dotyczących bezpieczeństwa kryptograficznego.

54.

Nieudana próba uzyskania w toku postępowania przygotowawczego dostępu do danych osobowych przechowywanych w telefonie komórkowym jest regulowana dyrektywą 2016/680 z powodów podobnych do tych, które skłoniły Trybunał Sprawiedliwości do uznania, że dyrektywa 2002/58 ma zastosowanie do (również nieudanej) próby uzyskania zezwolenia sądu na dostęp do określonych danych osoby, przeciwko której toczy się postępowanie, a które to dane znajdowały się w posiadaniu operatora łączności elektronicznej ( 18 ).

55.

W związku z powyższym, gdyby sąd odsyłający miał orzec w przedmiocie niezgodności z prawem czynności dokonanej przez organ policji (co, jak już wskazałem, przyznał rząd austriacki), jego ocena mogłaby być uzależniona od zgodności z prawem zamierzonego celu tej czynności, jak również od tego, czy czynność ta okazała się skuteczna, czy też zaczęto jej dopiero, bezskutecznie, dokonywać.

B.

Co do istoty

1.

Pierwsze pytanie prejudycjalne

56.

Sąd odsyłający zmierza do ustalenia, czy zgodnie z art. 15 ust. 1 dyrektywy 2002/58 (ewentualnie w związku z jej art. 5) oraz w świetle art. 7 i 8 karty, „dostęp organów władzy publicznej do danych zapisanych na telefonach komórkowych stanowi ingerencję w prawa podstawowe opisane w przywołanych postanowieniach karty, która to ingerencja jest na tyle poważna, by pociągnąć za sobą ograniczenie dostępu w kontekście zapobiegania, dochodzenia, wykrywania i ścigania przestępstw do zwalczania poważnej przestępczości”.

57.

W przypadku dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym brak możliwości stosowania dyrektywy 2002/58 wymagałby przeformułowania pytania pierwszego w ten sposób, aby odpowiedź Trybunału Sprawiedliwości dotyczyła wykładni dyrektywy 2016/680.

58.

Odpowiedź ta powinna z kolei wyjaśnić, czy w przypadkach takich jak w niniejszej sprawie możemy mówić o ingerencji, a jeśli do niej doszło, to czy dyrektywa 2016/680 wymaga, aby dostęp do danych został ograniczony do przypadków zwalczania poważnej przestępczości.

59.

Operacje przetwarzania danych z definicji mogą naruszać prawo do poszanowania życia prywatnego (art. 7 karty) i prawo do ochrony danych osobowych (art. 8 karty). Organy publiczne muszą zatem spełniać warunki określone w art. 52 ust. 1 karty, aby uzasadnić swoją ingerencję w wykonywanie tych praw podstawowych.

60.

Ingerencja w prawa chronione na podstawie art. 7 i 8 karty będzie tym poważniejsza, że przez nią: a) dąży się do uzyskania dostępu do tych szczególnie chronionych danych, zazwyczaj zapisywanych w telefonach komórkowych, których znajomość może ujawnić różne aspekty życia ich właścicieli, a tym samym powinny one pozostać nieujawnione dla osób trzecich; oraz b) umożliwia się dostęp do treści komunikatów.

61.

Z ogólnej perspektywy i w świetle treści dyrektywy 2016/680 nie można zatem interpretować jej w ten sposób, że przetwarzanie danych, których ona dotyczy, ogranicza się jedynie do przypadków zwalczania poważnej przestępczości.

62.

Przedmiotem dyrektywy 2016/680 są wszelkie operacje przetwarzania ( 19 ) danych osobowych dokonywane przez organy właściwe do zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania wszelkiego rodzaju czynów zabronionych.

63.

Z zasad, które ustanowiono w dyrektywie 2016/680 w odniesieniu do przetwarzania danych osobowych w tych celach (art. 4), ani z warunków zgodności z prawem przetwarzania danych osobowych (art. 8) nie wynika, aby przetwarzanie danych osobowych było, co do zasady, możliwe jedynie w przypadku poważnych przestępstw.

64.

Ograniczenie sprowadzające się jedynie do przypadków zwalczania poważnych przestępstw nie może również opierać się na zwykłym zastosowaniu orzecznictwa Trybunału Sprawiedliwości dotyczącego dyrektywy 2002/58 ( 20 ) do przypadków takich, jak rozpatrywany w niniejszej sprawie.

65.

Moim zdaniem nie jest to możliwe, ponieważ – bez uszczerbku dla tego, co wyjaśnię później – orzecznictwo to dotyczy uogólnionego i niezróżnicowanego zatrzymywania danych osobowych rodzajowej i nieokreślonej grupy, dokonywanego systematycznie przez dostawców usług łączności elektronicznej. Skala ingerencji, jaką ten rodzaj zatrzymywania stanowi dla całego społeczeństwa, wyjaśnia, z jakiego powodu Trybunał Sprawiedliwości w sposób szczególnie rygorystyczny podchodził do kwestii zarówno zakazania go, jak i określenia wyjątków od tego zakazu.

66.

Inaczej jest w przypadku, w którym zamierzony dostęp nie dotyczy ogółu lub dużych grup ludności (tj. danych osobowych rodzajowej i nieokreślonej grupy), lecz informacji przechowywanych w danym telefonie komórkowym w ramach konkretnego postępowania przygotowawczego, do czego zastosowanie ma w szczególności dyrektywa 2016/680.

67.

Przedmiotem dyrektywy 2016/680 jest właśnie przetwarzanie danych osobowych przez organy właściwe do zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych. Co dotyczy wszystkich rodzajów czynów zabronionych, a nie jedynie tych o poważnym charakterze.

68.

Ponadto, jak wskazali niektórzy interwenienci w postępowaniu prejudycjalnym, wobec braku w dyrektywie 2016/680 jakichkolwiek wskazówek co do powagi czynów zabronionych, dyrektywa ta może nie być stosowana w jednolity sposób w państwach członkowskich, ponieważ oceny co do większej lub mniejszej wagi czynu karalnego, dokonywane z perspektywy każdego krajowego porządku prawnego, istotnie się różnią ( 21 ).

69.

Podsumowując, w dyrektywie 2016/680 nie wprowadzono, jako warunku zgodności z prawem, obowiązku, aby przetwarzanie regulowanych w niej danych osobowych było możliwe wyłącznie w celu zwalczania poważnej przestępczości.

70.

Niemniej jednak przy zastosowaniu zasady proporcjonalności i w poszczególnych przypadkach przetwarzanie danych, którego właściwe organy zamierzają dokonać na podstawie dyrektywy 2016/680, musi być dostosowane do: a) charakteru ściganych czynów zabronionych oraz b) jakości danych osobowych, których dotyczy to przetwarzanie.

71.

Zgadzam się w tym sensie z niektórymi twierdzeniami rządu niemieckiego w przedmiocie ograniczenia dostępu do danych pochodzących z telefonów, które zostały zatrzymane, jeżeli dane te pozwalają, w oparciu o zawartość cyfrową telefonu, na ustalenie pełnego profilu osobowości jego posiadacza. Zdaniem rządu niemieckiego dostęp ten powinien zostać ograniczony do danych, których posiadanie jest konieczne jako środek dowodowy w konkretnej sprawie, lecz nie można uznać go za właściwy w takich przypadkach, jak „znikoma waga przestępstwa będącego przedmiotem postępowania przygotowawczego lub niewielka wartość dowodowa danych, które mają być uzyskane” ( 22 ).

72.

Zasadniczo, z dyrektywy 2016/680 nie wynika zatem, że dostęp do danych osobowych przechowywanych w telefonie komórkowym w celu ułatwienia postępowania przygotowawczego w sprawie czynów mogących wchodzić w zakres kategorii przestępstw zwykłych, czy też pospolitych, jest systematycznie uznawany za niezgodny z prawem. Kwestia, czy w danej sprawie można uzyskać taki dostęp, będzie kwestią, którą organ właściwy musi w każdym przypadku ocenić, uwzględniając konieczność uzyskania takiego dostępu oraz kryterium proporcjonalności, do którego właśnie się odniosłem.

73.

Można to, moim zdaniem, wywieść z przepisów dyrektywy 2016/680, które określają warunki zgodności z prawem przetwarzania danych osobowych w ramach zwalczania przestępczości:

2.

Drugie pytanie prejudycjalne

74.

W drugim pytaniu prejudycjalnym sąd odsyłający zmierza do ustalenia, czy art. 15 ust. 1 dyrektywy 2002/58, w związku z art. 7, 8, 11 i art. 52 ust. 1 karty, „stoi […] na przeszkodzie uregulowaniu krajowemu, takiemu jak § 18 w związku z § 99 ust. 1 [StPO], które skutkuje tym, że organy bezpieczeństwa same, w trakcie postępowania karnego, bez zezwolenia sądu lub niezależnego organu administracyjnego zapewniają sobie obszerny i niekontrolowany dostęp do wszystkich danych cyfrowych zapisanych na telefonie komórkowym”.

75.

Brzmienie tego pytania nie jest jednoznaczne. Sąd odsyłający:

76.

Rząd austriacki przedstawił treść uregulowania krajowego w wersji, która nie odpowiada jego wersji przedstawionej w postanowieniu odsyłającym. W szczególności podnosi on, że zgodnie z prawem krajowym zarówno zatrzymanie telefonu (z wyjątkiem pilnych przypadków), jak i dostęp do przechowywanych w nim danych jest możliwy jedynie na podstawie zarządzenia prokuratora ( 23 ). Wykorzystanie przez organy policji danych przechowywanych w telefonie bez nakazu prokuratora jest niezgodne z prawem.

77.

Do sądu odsyłającego należy weryfikacja pojęć zawartych w uregulowaniu krajowym. W ramach procedury przewidzianej w art. 267 TFUE Trybunał nie jest właściwy do dokonywania wykładni prawa krajowego, a wyłącznie do sądu odsyłającego należy ustalenie dokładnego zakresu stosowania krajowych przepisów ustawowych, wykonawczych i administracyjnych ( 24 ).

78.

Nie zamierzam wdawać się w polemikę w przedmiocie wykładni prawa austriackiego, jednak wydaje mi się, że jedynie na podstawie treści przepisów prawa wskazanych przez sąd odsyłający (§ 18 StPO w związku z § 99 ust. 1 tej ustawy) trudno wywieść wniosek, do którego doszedł sąd odsyłający. Powtarzam jednak, że jest to kwestia, którą może rozstrzygnąć tylko ten sąd.

79.

W każdym razie sąd odsyłający uważa, że orzecznictwo dotyczące uprzedniej kontroli przez sąd lub niezależny organ dostępu do przechowywanych danych, zawarte w wyroku Prokuratuur ( 25 ), może znaleźć zastosowanie w sprawie takiej jak rozpatrywana.

80.

Zdaniem rządu niderlandzkiego, przeciwnie, orzecznictwo to należy rozumieć w kontekście uregulowania krajowego, które zezwala właściwym organom na ogólnie pojęty dostęp do wszystkich przechowywanych danych o ruchu i lokalizacji. Wyjaśniałoby to wymóg uzyskania uprzedniego zezwolenia sądu, który jednak mógłby nie być uzasadniony w przypadku dostępu do danych przechowywanych w konkretnym telefonie komórkowym.

81.

Rząd norweski podnosi podobnie, że wśród wielu gwarancji ustanowionych w dyrektywie 2016/680 ( 26 ) nie wymieniono wyraźnie gwarancji dotyczącej konieczności uzyskania uprzedniego zezwolenia organu sądowego lub niezależnego organu administracyjnego.

82.

Wychodząc z założenia, że przepisy dyrektywy 2016/680 należy interpretować w świetle karty, Komisja podnosi, że obowiązek nałożony na państwa członkowskie w art. 8 ust. 1 tej dyrektywy (warunki zgodności przetwarzania z prawem) wiąże się z koniecznością poszanowania praw podstawowych zagwarantowanych w art. 7 i 8 karty.

83.

Zgadzam się z Komisją, że ustawodawcy krajowi są zobowiązani do określenia, przy poszanowaniu przywołanych przepisów karty, niezbędnych zasad w celu zapewnienia, aby dostęp do danych był w każdym przypadku uzasadniony i ograniczał się do tego, co jest ściśle niezbędne i proporcjonalne.

84.

Tego rodzaju przepisy prawa krajowego nie muszą jednak dotyczyć wprost dostępu do danych osobowych zawartych, jak w niniejszym przypadku, w telefonie komórkowym, lecz mogą to być przewidziane w prawie krajowym przepisy o charakterze ogólnym dotyczące przeprowadzania dowodów.

85.

W tym względzie przytoczyłem już pkt 103 wyroku La Quadrature du Net w odniesieniu do środków państw członkowskich mających wpływ na poufność łączności elektronicznej bez nakładania obowiązku przetwarzania na dostawców takich usług łączności ( 27 ).

86.

Bez konieczności wywodzenia z dyrektywy 2016/680 szczegółowych przepisów o charakterze proceduralnym gwarantujących zgodność z prawem dostępu do danych przechowywanych w telefonie komórkowym ( 28 ), będą miały zatem zastosowanie przepisy prawa krajowego regulujące wykonywanie uprawnień do przeszukania i zatrzymania rzeczy w ramach postępowań przygotowawczych w sprawach karnych ( 29 ).

87.

Odesłanie do przepisów prawa krajowego w celu zapewnienia, w oparciu o dyrektywę 2016/680, zgodności dostępu z prawem jest ponadto zgodne z orzecznictwem ETPC. To właśnie bowiem w sprawie dotyczącej Republiki Austrii w związku z art. 8 EKPC (prawo do poszanowania życia prywatnego i rodzinnego, domu i korespondencji) ETPC stwierdził, że ustawodawstwo austriackie dotyczące zatrzymania przedmiotów, w szczególności dokumentów, ma zastosowanie do przeszukania i zatrzymania danych przechowywanych na nośnikach elektronicznych ( 30 ).

88.

Jeżeli, jak utrzymuje rząd austriacki, powołując się na orzecznictwo Oberster Gerichtshof (sądu najwyższego, Austria), organy policji nie są uprawnione do dostępu do danych przechowywanych w danym telefonie komórkowym bez zarządzenia prokuratora, drugie pytanie prejudycjalne traci w znacznym stopniu swoje znaczenie.

89.

W każdym razie odpowiedź na to pytanie nie wyklucza możliwości, że dostęp do danych osobowych przechowywanych w zatrzymanym telefonie pozwalałby „odtworzyć bardzo szczegółowy i dogłębny obraz niemal wszystkich obszarów życia prywatnego” osoby, której dane dotyczą ( 31 ). Jeśli tak jest, to organy policji nie mogłyby działać bez uprzedniego zezwolenia, o którym mowa w wyroku Prokuratuur.

90.

Na pierwszy rzut oka twierdzenie to wydawałoby się sprzeczne z niestosowaniem w niniejszej sprawie dyrektywy 2002/58 (której wykładni dokonano w wyroku Prokuratuur), co uzasadniłem powyżej. Uważam jednak, że uzasadnienie tego wyroku przemawia za takim samym rozwiązaniem.

91.

W sprawie, w której wydano wyrok Prokuratuur, chociaż dostęp został zrealizowany poprzez uzyskanie danych (metadanych) od dostawców usług łączności elektronicznej, to chodziło, podobnie jak w niniejszej sprawie, o określone postępowania przygotowawcze prowadzone przeciwko określonej osobie. Celem było uzyskanie „danych dotyczących szeregu numerów telefonów […] i różnych międzynarodowych identyfikatorów urządzenia mobilnego” ( 32 ).

92.

W wyroku Prokuratuur można, moim zdaniem, wyróżnić dwie płaszczyzny: a) dotyczącą zakwestionowania ogólnego uregulowania państwa członkowskiego w przedmiocie uogólnionego i niezróżnicowanego zatrzymywania oraz późniejszego dostępu do danych znajdujących się w posiadaniu dostawców usług oraz b) dotyczącą uprzedniej kontroli w konkretnym przypadku dostępu do takich metadanych, gdy umożliwiają one sporządzenie dokładnego profilu życia prywatnego danej osoby.

93.

Okoliczność, że w niniejszej sprawie dane ujawniające życie prywatne nie znajdują się w posiadaniu dostawców usług, lecz mają zostać uzyskane (czy też próbowano je uzyskać) z pojedynczego zatrzymanego telefonu, wydaje mi się mieć drugorzędne znaczenie dla uzasadnienia wymogu kontroli uprzedniej, do którego odnosi się wyrok Prokuratuur.

94.

Owa kontrola uprzednia ma swoją ostateczną podstawę w ochronie zagwarantowanej na podstawie art. 7 i 8 karty. Organ, który jej dokonuje, musi być „w stanie zapewnić właściwą równowagę pomiędzy z jednej strony interesami związanymi z potrzebami dochodzenia w ramach zwalczania przestępczości, a z drugiej strony prawami podstawowymi do poszanowania życia prywatnego i ochrony danych osobowych osób, których dane są udostępniane” ( 33 ).

3.

Trzecie pytanie prejudycjalne

95.

W ramach trzeciego pytania prejudycjalnego sąd odsyłający zmierza do ustalenia, czy art. 47 karty (ewentualnie w związku z art. 41 i 52) stoi na przeszkodzie uregulowaniu takiemu jak uregulowanie austriackie ( 34 ), które „zezwala na analizę danych cyfrowych z telefonu komórkowego bez uprzedniego poinformowania o tym zainteresowanego, względnie bez poinformowania go przynajmniej po zastosowaniu środka”.

96.

Uważam, że tak sformułowane pytanie może być zbędne dla rozstrzygnięcia sporu, ponieważ osoba, której dane dotyczą, mogła wykonać prawo, o którym mowa w art. 47 karty, zwracając się do sądu odsyłającego o stwierdzenie nieważności czynności dokonanej przez organ policji w odniesieniu do zatrzymanego telefonu, która to czynność obejmowała późniejsze (nieudane) wykorzystanie danych przechowywanych w tym telefonie.

97.

W odniesieniu do tych dwóch elementów czynności organu policji należy dokonać następującego rozróżnienia:

98.

Istnieją zatem pewne niejasności co do wykorzystania danych i wiedzy o tym osoby, której dane dotyczą, które – jak już wskazałem – powinny były zostać wyjaśnione przez sąd odsyłający w postanowieniu odsyłającym, a które uniemożliwiają udzielenie użytecznej odpowiedzi na trzecie pytanie prejudycjalne.

99.

W każdym razie, na wypadek gdyby Trybunał Sprawiedliwości nie uznał tego pytania za niedopuszczalne, wypowiem się w jego przedmiocie. W zaistniałej sytuacji, biorąc pod uwagę niemożność zastosowania dyrektywy 2002/58, należałoby to pytanie przeformułować w świetle dyrektywy 2016/680, której art. 13, 15 i 54 dostarczają wskazówek w celu udzielenia na nie odpowiedzi.

100.

Zgodnie z dyrektywą 2016/680 informacjami na temat przetwarzania danych osobowych, jakie należy udostępnić osobie, której dane dotyczą, są między innymi informacje dotyczące: a) wniesienie skargi do organu nadzorczego [art. 13 ust. 1 lit. d)] oraz b) uzyskanie skutecznego środka prawnego przed sądem w przypadku naruszenia praw zagwarantowanych dyrektywą 2016/680, bez uszczerbku dla dostępnych administracyjnych lub pozasądowych środków ochrony prawnej (art. 54).

101.

Nie można jednak zapominać, że zarówno art. 13 ust. 3, jak i art. 15 ust. 1 dyrektywy 2016/680 upoważniają państwa członkowskie do przyjęcia aktów prawnych pozwalających:

102.

W każdym razie zgodność przetwarzania danych osobowych z prawem nie jest uzależniona od wypełnienia przez właściwe organy (dalszych) obowiązków nałożonych na nie w art. 13 dyrektywy 2016/680, lecz od zgodności z prawem celu, w jakim zostało ono dokonane, to jest od tego, czy organy administracji były uprawnione do przetwarzania danych osobowych.

103.

W tym kontekście okoliczność, że osoba, której dane dotyczą, została poinformowana o próbach uzyskania dostępu do danych przechowywanych w zatrzymanym telefonie, sama w sobie pozostaje bez związku z materialną zgodnością z prawem danej czynności organów policji. Zachowanie administratora danych, które może być sprzeczne z obowiązkami nałożonymi na niego w art. 13 dyrektywy 2016/680, może wywoływać inne konsekwencje, lecz – powtarzam – samo w sobie nie wpływa na zgodność lub niezgodność z prawem danej operacji przetwarzania.

104.

Do sądu odsyłającego należy ustalenie, czy uregulowanie krajowe umożliwia skuteczne wykonywanie tych praw przez osobę, której dane dotyczą.

V.

Wnioski

105.

W świetle powyższego proponuję, aby Trybunał Sprawiedliwości uznał za niedopuszczalny wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Landesverwaltungsgericht Tirol (regionalny sąd administracyjny w Tyrolu, Austria).