O kontekstu ovog predmeta pisali smo u članku objavljenom povodom mišljenja neovisnog odvjetnika donesenog u istom predmetu, a koje je prethodilo presudi.
U ovom članku dajemo prikaz najvažnijih stavova Suda EU-a o tome kakva se ograničenja prava na privatnost u vidu zadržavanja komunikacijskih podataka mogu smatrati sukladnima pravu EU-a.
Kratka rekapitulacija konteksta
U presudama Digital Rights i Tele2, Sud EU-a je proglasio nevaljanom Direktivu o zadržavanju podataka1 i utvrdio je da opće i neselektivno zadržavanje svih podataka o prometu i lokaciji svih pretplatnika i registriranih korisnika u pogledu svih sredstava elektroničke komunikacije nije sukladno temeljnim pravima EU-a. Nakon tih presuda pravni temelj za zadržavanje podataka ostao je članak 15. Direktive o e-privatnosti2. Međutim, presude su ostavile brojna pitanja neodgovorenima.
Ostalo je nejasno odnosi si li se utvrđenje suda samo na zadržavanje podataka u kontekstu kaznenih postupaka, ili su njime obuhvaćene i aktivnosti sigurnosnih službi, koje bi trebale biti izvan dosega prava EU-a. Također, Sud EU-a nije precizirao kakve se mjere zadržavanja i korištenja komunikacijskih podataka, osobito u kontekstu borbe protiv terorizma i teških kaznenih djela, mogu smatrati kompatibilnim s temeljnim pravima te kakav je status nacionalnih propisa koji su ostali na snazi nakon proglašenja Direktive o zadržavanju podataka nevaljanom.
Zbog toga je nakon Digital Rights i Tele 2 presuda podnesen niz novih zahtjeva Sudu EU-a za donošenje odluke o prethodnim pitanjima, u kojima su nacionalni sudovi tražili pojašnjenja vezana uz svoje nacionalne propise koji su se nastavili primjenjivati ili su doneseni nakon tih presuda.
U presudi La Quadrature du Net i dr. Sud EU je dao detaljne odgovore, prema kojima bi se nacionalni zakonodavci trebali voditi pri propisivanju uvjeta za zadržavanje i korištenje komunikacijskih podataka.
Primjena Direktive o e-privatnosti na područje nacionalne sigurnosti
U prethodnom članku o ovoj temi detaljnije smo analizirali ovaj aspekt predmeta, u svjetlu mišljenja neovisnog odvjetnika. Ovdje ćemo se ograničiti na to da je Sud EU-a potvrdio stav neovisnog odvjetnika da je Direktiva o e-privatnosti primjenjiva na nacionalne propise kojima se od pružatelja elektroničkih komunikacijskih usluga traži zadržavanje prometnih i lokacijskih podataka u svrhu zaštite nacionalne sigurnosti te da se ti propisi trebaju smatrati dopuštenim izuzetkom iz članka 15. Direktive o e-privatnosti, koji mora zadovoljiti određene uvjete da bi se mogao smatrati sukladnim toj Direktivi i temeljnim pravima EU-a.3
Pri donošenju ove odluke Sud EU-a je, slično kao i neovisni odvjetnik, napravio razliku između aktivnosti koje sigurnosne službe provode same i aktivnosti u kojima se traži suradnja pravnih osoba s tim službama. U ovom drugom slučaju ne može se isključiti primjena prava EU-a.
Kada se smatra da je nacionalni propis o zadržavanju podataka sukladan pravu EU?
Kritičari presuda Digital Rights i Tele2 smatrali su kako Sud EU-a nije u tim presudama u dovoljnoj mjeri analizirao odnos između ograničenja države u miješanje u temeljna prava pojedinaca na privatnost i zaštitu njihovih osobnih podataka s pozitivnim obvezama države u zaštiti života i sloboda svojih državljana, koje također proizlaze iz Povelje EU o temeljnim pravima i Konvencije za zaštitu ljudskih prava i temeljnih sloboda. Postojala su određena očekivanja da bi takva analiza mogla dovesti do ozbiljne revizije Digital Rights i Tele2 prakse.
U presudi La Quadrature du Net i dr. Sud EU je napravio traženu analizu4. Rezultat analize je dosljedno ostajanje Suda kod Digital Rights i Tele2 prakse, uz davanje vrlo konkretnih odgovora o dopuštenim razinama miješanja u temeljna prava, pri čemu se ta razina povećava zavisno od važnosti zaštićenog dobra.
Prema postavljenim pitanjima, Sud je opisao sljedeće slučajeve5:
a) Zakonodavne mjere kojima se predviđa preventivno zadržavanje prometnih i lokacijskih podataka za potrebe nacionalne sigurnosti
Sud prihvaća važnost zaštite nacionalne sigurnosti, kao cilja koji nadilazi općenitu borbu protiv kriminala i osiguravanja javne sigurnosti. Zaštita nacionalne sigurnosti znači borbu protiv aktivnosti, poput terorizma, koje mogu ozbiljno narušiti temeljne ustavne, političke i gospodarske strukture države te predstavljaju direktnu prijetnju društvu i stanovništvu. Stoga taj cilj može opravdati ozbiljna miješanja u temeljna prava koja se ne mogu opravdati drugim ciljevima.
Zato države, radi zaštite nacionalne sigurnosti i borbe protiv terorizma, mogu donijeti zakonske mjere kojima se nadležnim tijelima omogućava izdavanje naloga pružateljima elektroničkih komunikacijskih usluga za zadržavanjem prometnih i lokacijskih podataka svih korisnika u ograničenom razdoblju, sve dok postoje dovoljno jaki razlozi da se može smatrati kako je država o kojoj se radi suočena s ozbiljnom prijetnjom nacionalnoj sigurnosti koja je stvarna, postojeća ili predvidljiva.
Međutim, nalog za takvom vrstom preventivnog zadržavanja podataka svih korisnika mora biti ograničen na striktno neophodno razdoblje. Također, ovo zadržavanje ne smije biti po svojoj prirodi sistemsko. Nalozi upućeni pružateljima elektroničkih komunikacijskih usluga moraju biti podložni preispitivanju od strane suda ili neovisnog upravnog tijela, čija je odluka obvezujuća, a s ciljem ispitivanja postoji li opisana situacija te jesu li predviđeni i poštuju li se uvjeti i ograničenja.
b) Zakonodavne mjere kojima se propisuje preventivno zadržavanje prometnih i lokacijskih podataka radi borbe protiv kriminala i zaštite javne sigurnosti
U odnosu na ciljeve prevencije, otkrivanja i progona kaznenih djela, Sud smatra, da samo borba protiv teških kaznenih djela te mjere radi sprečavanja ozbiljnih prijetnji javnoj sigurnosti može opravdati miješanje u pravo na privatnost i zaštitu osobnih podataka, poput zadržavanja prometnih i lokacijskih podataka.
Nacionalno zakonodavstvo koje propisuje opću i neselektivnu obvezu zadržavanja prometnih i lokacijskih podataka radi borbe protiv teških kaznenih djela prekoračuje granice onoga što je neophodno te se ne može smatrati da je ono opravdano. U demokratskom društvu zadržavanje komunikacijskih podataka mora biti iznimka, a ne pravilo i podaci se ne smiju zadržavati sistematski i kontinuirano. Čak i pozitivne obveze države u smislu učinkovite borbe protiv kriminala ne mogu opravdati tako ozbiljno miješanje.
No, Sud dalje ističe, ciljevi borbe protiv teških kaznenih djela te sprečavanja ozbiljnih napada na javnu sigurnost a time očuvanje nacionalne sigurnosti, mogu opravdati ciljano zadržavanje prometnih i lokacijskih podataka. Takvo zadržavanje mora biti ograničeno u odnosu na kategorije podataka koji se zadržavaju, sredstva komunikacije i osobe te razdoblje zadržavanja. U tom smislu nije protivno Direktivi o e-privatnosti nacionalno zakonodavstvo koje, na temelju objektivnih dokaza, omogućava zadržavanje podataka onih osoba za koje se smatra da njihovi podaci mogu otkriti, barem indirektno, povezanost s teškim kaznenim djelima te da na jedan ili drugi način mogu doprinijeti borbi protiv teških kaznenih djela ili sprečavanju rizika za javnu ili nacionalnu sigurnost. Ograničenja u pogledu mjere zadržavanja podataka mogu se postaviti i korištenjem zemljopisnog kriterija, pri čemu nadležna nacionalna tijela mogu smatrati, na temelju objektivnih i nediskriminacijskih faktora, da na određenom području postoji visoki rizik pripreme ili počinjenja teških kaznenih djela. Ta područja mogu uključivati mjesta s visokom učestalošću teških kaznenih djela ili mjesta koja su posebno osjetljiva na počinjenje takvih djela, kao što je infrastruktura koju posjećuje veliki broj posjetitelja, strateške lokacije poput aerodroma ili postaja.
c) Zakonodavne mjere kojima se propisuje preventivno zadržavanje podataka o IP adresama i podataka o identitetu korisnika usluga, u svrhu borbe protiv kriminala ili zaštite javne sigurnosti
U odnosu na zadržavanje podataka o IP adresama, Sud je uzeo u obzir činjenicu da za kaznena djela počinjena na internetu, IP adresa može biti jedini način putem kojeg se može utvrditi kome je ta adresa dodijeljena u trenutku počinjenja djela, pa time može poslužiti kao jedino sredstvo identifikacije počinitelja. Dodatno, zadržavanje podataka o IP adresama od strane pružatelja usluga preko razdoblja za koje je adresa dodijeljena, u pravilu nije neophodno za potrebe obračuna naknade. Zbog toga bi se moglo dogoditi da progon kaznenih djela počinjenih na Internetu bude nemoguć bez zakonodavne mjere koja će osigurati zadržavanje podataka o IP adresama. To se posebice odnosi na osobito ozbiljna kaznena djela vezana uz dječju pornografiju.
U tim okolnostima, unatoč činjenici da zadržavanje podataka o IP adresama svih osoba obuhvaća i osobe koje nemaju nikakve veze s počinjenim djelima, zakonodavna mjera koja predviđa opće i neselektivno zadržavanje samo IP adresa dodijeljenih na izvoru komunikacije u pravilu nije protivna Direktivi o e-privatnosti, pod uvjetom da je ta mjera podložna striktnom poštivanju materijalnih i procesnih pravila kojima se treba urediti korištenje tih podataka. Ta mjera se može koristiti samo za borbu protiv teških kaznenih djela, prevenciju ozbiljnih prijetnji javnoj sigurnosti te osiguranju nacionalne sigurnosti. Razdoblje zadržavanja ne smije prekoračiti ono što je striktno neophodno. U konačnici, moraju postojati osigurači u odnosu na korištenje tih podataka, posebice putem praćenja, u odnosu na komunikacije i aktivnosti osoba na koje se podaci odnose.
U odnosu na podatke o identitetu korisnika elektroničkih komunikacijskih sustava, Sud je utvrdio da se samo pomoću tih podataka ne mogu dobiti informacije o komunikacijama i kretanju osoba i posljedično o njihovom privatnom životu. Stoga se zadržavanje ove vrste podataka, u pravilu, ne smatra ozbiljnim i može biti opravdano prevencijom i progonom kaznenih djela kao takvih odnosno zaštitom javne sigurnosti, bez potrebe dokazivanja njihove ozbiljnosti.
d) Zakonodavne mjere kojima se propisuje žurno zadržavanje prometnih i lokacijskih podataka za borbu protiv teških kaznenih djela
Prethodni slučajevi odnose se na situacije u kojima je dopušteno pružateljima usluga naložiti preventivno zadržavanje prometnih i lokacijskih podataka. Međutim, pružatelji usluga, prema Direktivi o e-privatnosti, imaju pravo prometne i lokacijske podatke koristiti u određenom razdoblju, npr. za potrebe obračuna i izdavanja računa. U tom kontekstu Sud se u ovom dijelu osvrnuo na slučajeve u kojima se može pokazati nužnim zadržati prometne i lokacijske podatke nakon razdoblja u kojem ih pružatelji usluga mogu koristiti, a kako bi se rasvijetlile okolnosti počinjenja teških kaznenih djela ili akata koji mogu ozbiljno ugroziti nacionalnu sigurnost. To se može dogoditi u slučajevima kada se utvrdi počinjenje takvih djela, ili kada se razumno može smatrati da ta djela mogu biti počinjena.
Sud smatra kako je državama članicama dopušteno zakonom propisati mogućnost da nadležno tijelo svojom odlukom, koja je podložna sudskom preispitivanju, naloži pružateljima elektroničkih komunikacijskih usluga žurno zadržavanje, za određeno razdoblje, prometnih i lokacijskih podataka kojima raspolažu, a koje bi inače trebali izbrisati.
Države članice moraju u zakonu javno navesti za koje svrhe se žurno zadržavanje može koristiti. Sud smatra kako se takva obveza može naložiti samo za prometne i lokacijske podatke putem kojih se rasvjetljavaju okolnosti teških kaznenih djela ili ozbiljnog narušavanja nacionalne sigurnosti. Trajanje ove mjere mora biti ograničeno na ono što je neophodno, ali se mjera može i produljiti ako je to potrebno.
Žurno zadržavanje, prema stavu Suda, ne mora biti ograničeno na podatke osumnjičenih osoba. Njime mogu biti obuhvaćeni i podaci drugih osoba, pod uvjetom da se putem njih mogu rasvijetliti okolnosti počinjenja kaznenih djela ili akata protiv nacionalne sigurnosti. To mogu biti i podaci vezani uz žrtvu, njezino društveno ili profesionalno okruženja ili uz određeno zemljopisno područje, poput mjesta gdje je djelo počinjeno ili pripremano.
Sud, međutim, smatra da se ova mjera ne može koristi za progon običnih kaznenih djela.
Činjenica je da proglašenje Direktive o zadržavanju podataka nevaljanom nije dovelo do automatskog ukidanja ili poništavanja nacionalnih propisa donesenih temeljem odredbi te direktive. Mnogi od njih su ostali na snazi i nastavili su se primjenjivati. Negdje su se ti propisi nastavili primjenjivati bez posebne odluke sudske ili zakonodavne vlasti, dok su nekim državama donesene odluke kojima je utvrđena neustavnost tih propisa, ali su posebnim odlukama privremeno ostavljeni na snazi.
U presudi La Quadrature du Net i dr., Sud je ponovio kako pravo EU-a ima prednost pred nacionalnim pravom država članica te da države članice moraju osigurati provedbu EU prava. U tom smislu, nacionalni sud ne bi smio primijeniti nacionalnu odredbu koja je protivna pravu EU-a, čak i ako je donesena naknadno. Nacionalni sud pri tome ne treba tražiti ili čekati da takva odredba bude ukinuta ili poništena u zakonodavnom ili drugom postupku predviđenom ustavom.
Samo Sud EU-a može, u iznimnim slučajevima, omogućiti privremenu suspenziju odredbe EU prava u odnosu na nacionalnu odredbu koja mu je protivna.
Polazeći od ovih utvrđenja, Sud dalje zaključuje kako bi zadržavanje učinaka nacionalnih propisa u vezi kojih su postavljena prethodna pitanja, značilo da bi ti propisi nastavili nametati obveze pružateljima elektroničkih komunikacijskih usluga koje su protivne pravu EU i koji predstavljaju ozbiljno miješanje u temeljna prava osoba čiji su podaci zadržani.
Sud se potom osvrnuo na pitanje korištenja u kaznenim postupcima dokaza dobivenih putem podataka koji su zadržani protivno pravu EU-a. Sud je prvo podsjetio da je, u načelu, isključivo na nacionalnom zakonodavstvu države članice utvrđivanje dopuštenosti dokaza dobivenih zadržavanjem podataka protivno pravu EU-a. Međutim, Sud smatra kako bi nacionalni sudovi u tom slučaju trebali postupati jednako kao da su ti dokazi prikupljeni uz kršenje domaćeg prava (načelo jednakosti).
Nadalje, iz prakse Suda EU-a proizlazi da se prilikom procjene treba li u kaznenom postupku isključiti dokaze dobivene kršenjem prava EU-a, mora voditi računa o tome je li pri tome došlo do povrede načela kontradiktornosti i time i do prava na pošteno suđenje. Načelo učinkovitosti nalaže da nacionalni kazneni sudovi isključe dokaze dobivene putem općeg i neselektivnog zadržavanja prometnih i lokacijskih podataka koje je protivno pravu EU, ako osoba koja je osumnjičena za kazneno djelo nije u poziciji učinkovito komentirati tako dobivenu informaciju ili dokaz te ako se ti dokazi odnose na područje o kojem sudac nema dovoljno znanja te ako ima odlučujući učinak na utvrđenje činjenica.
Ostala pitanja
Osim gore navedenih pitanja, u presudi La Quadrature du Net i dr., Sud je odgovorio i na prethodna pitanja koja izlaze iz okvira klasičnog zadržavanja lokacijskih i prometnih podataka te se osvrnuo i na odnos načela7 koja je utvrdio u odnosu na propise koji uređuju pružanje usluga informacijskog društva (Direktiva o elektroničkoj trgovini)8 te opću zaštiti osobnih podataka (GDPR)9.
Jedno od postavljenih prethodnih pitanja odnosilo se na odredbu nacionalnog zakona kojom se od operatora traži da u svojim mrežama implementiraju automatsku obradu podataka koja je dizajnirana da, u skladu s parametrima koji su im dani, detektira poveznice koje mogu predstavljati terorističku prijetnju.
Sud je u odnosu na tu mjeru utvrdio da ona predstavlja osobitu ozbiljno miješanje u temeljna prava, koje se može opravdati samo u situacijama u kojima je država suočena s ozbiljnom prijetnjom nacionalnoj sigurnosti koja je stvarna, postojeća ili predvidljiva te ako je trajanje takve mjere ograničeno na isključivo neophodno razdoblje.
Sud je ponovio kako ta mjera mora biti striktno neophodna za zaštitu nacionalne sigurnosti odnosno za borbu protiv terorizma. Ta mjera mora biti podložna preispitivanju od strane suda ili drugog neovisnog tijela čija je odluka obvezujuća. Modeli i kriteriji putem kojih se podaci obrađuju moraju biti specifični i pouzdani te omogućavati dobivanje rezultata putem kojih se mogu identificirati osobe za koje postoji osnovana sumnja da sudjeluju u terorističkim aktivnostima. Ti kriteriji ne smiju biti diskriminatorni i ne smiju počivati isključivo na osjetljivim podacima koji se odnose na rasno ili etničko porijeklo, političke stavove, vjerska ili filozofska uvjerenja, članstvo u sindikatu ili informacije o zdravstvenom ili seksualnom životu. Kriteriji i modeli moraju se redovno preispitivati.
Nadalje, pozitivni rezultati dobiveni putem ove automatske obrade podataka moraju biti podvrgnuti individualnom ne-automatskom preispitivanju prije nego što dovedu do donošenja neke mjere koja može pogoditi pojedinu osobu, kao što je primjerice prikupljanje lokacijskih i prometnih podataka te osobe u stvarnom vremenu.
U odnosu na mjeru putem koje se omogućava prikupljanje lokacijskih i prometnih podataka neke osobe u stvarnom vremenu, ona se može odobriti samo u odnosu na osobe za koje postoji utemeljeni razlozi da su na neki način uključene u terorističke aktivnosti. Ostale osobe mogu biti obuhvaćene drugim mjerama za koje je Sud utvrdio da su kompatibilne s Direktivom o e-privatnosti.
Osobe koje su bile obuhvaćene mjerom prikupljanja lokacijskih i prometnih podataka u stvarnom vremenu moraju o tome biti obaviještene nakon što se procijeni da ta obavijest ne može ugroziti zadatke tijela koje su tu mjeru naložile.
Kada je riječ o mjeri automatske analize prometnih i lokacijskih podataka prema postavljenim parametrima, nadležna nacionalna tijela dužna su objaviti općenitu informaciju o tome, bez obveze obavještavanja pojedinih osoba. No, u slučajevima u kojima je utvrđeno podudaranje parametara te ako je došlo do dublje analize podataka o određenoj osobi, tada se ta osoba o tome mora obavijestiti nakon proteka razdoblja u kojem neće biti ugroženi zadaci iz nadležnosti nacionalnih tijela.
U konačnici, Sud je utvrdio da Direktiva o elektroničkoj trgovini nije primjenjiva na područje zaštite povjerljivosti komunikacija te na zaštitu osobnih podataka fizičkih osoba, jer su ta prava uređena Direktivom o e-privatnosti i GDPR-om, pri čemu se članak 23. GDPR-a mora tumačiti na način da mu je protivno nacionalno zakonodavstvo koje od pružatelja javnih komunikacijskih usluga te usluga poslužitelja traži opće i neselektivno zadržavanje osobnih podataka koji se odnose na te usluge.
Zaključak
Zbog svog obima i važnosti utvrđenja Suda, presuda se još uvijek intenzivno analizira u svim državama članicama EU-a. No, nekoliko općih zaključaka moguće je izvući. Kao prvo, Sud EU-a nije odstupio od linije zauzete u Digital Rights i Tele2 presudama i nacionalna zakonodavstva morat će naći druga rješenja umjesto odredbi koje omogućavaju opće i neselektivno zadržavanje svih komunikacijskih prometnih podataka. Drugo, aktivnosti nacionalnih sigurnosnih tijela ulaze u doseg prava EU-a kada ta tijela traže uključivanje pružatelja usluga. Treće, Sud EU-a dao je putokaz u kojem pravcu se treba kretati, ograničavajući mogućnost neselektivnog i općeg zadržavanja svih podataka samo na borbu protiv terorizma i zaštitu nacionalne sigurnosti. Ostale, manje invazivne, mjere mogu se koristiti za borbu protiv teških kaznenih djela, odnosno „ozbiljnih zločina“.
Udruga (La Quadrature du Net) koja je pokrenula nacionalni postupak koji je doveo do presude, okarakterizirala ju je kao „pobjednički poraz“10, razočarana činjenicom da je Sud, iako potvrdivši da Francuska ne može više nametati sveobuhvatnu obvezu zadržavanja prometnih komunikacijskih podataka, zadržao nekoliko važnih iznimaka. Udruga ističe da presuda pokazuje kako je francusko pravo u očiglednoj kontradikciji s presudom jer predviđa načelo sveobuhvatnog zadržavanja podataka, koje je Sud EU-a odbio.
Domagoj Maričić
^ 1 Direktiva 2006/24/EZ od 15. ožujka 2006. o zadržavanju podataka dobivenih ili obrađenih u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga ili javnih komunikacijskih mreža i o izmjeni Direktive 2002/58/EZ
^ 2 Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama).
^ 3 La Quadrature du Net, stavci 87.-104.
^ 4 La Quadrature du Net, stavci 105.-133.
^ 5 La Quadrature du Net, stavci 134.-168.
^ 6 La Quadrature du Net, stavci 213.-228.
^ 7 La Quadrature du Net, stavci 169.-212.
^ 8 Direktiva 2000/31/EZ Europskog parlamenta i Vijeća od 8. lipnja 2000. o određenim pravnim aspektima usluga informacijskog društva na unutarnjem tržištu, posebno elektroničke trgovine (Direktiva o elektroničkoj trgovini)
^ 9 Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka
^ 10 https://www.laquadrature.net/en/2020/10/06/surveillance-victory-in-defeat/
