Ačkoliv členské státy a Evropský parlament se intenzivně vyhýbají jakékoliv aktivitě, která by vedla k revizi směrnice 2002/58/ES o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (nebo také e-privacy směrnice), Evropský soudní dvůr svými rozsudky dotváří prostředí a hranice pro využití provozních a lokalizačních údajů (data retention). Pojďme se podívat na dva rozsudky z konce dubna tohoto roku, které byly vypuštěny do světa lehce nepovšimnuty, ačkoliv jemně modifikují přístup Evropského soudního dvoru k dané problematice.
Rozsudek C470/21: Hadopi (la Quadrature du Net)
Rozsudek Hadopi se zabýval otázkou přístupu orgánů veřejné moci, v tomto případě kontroverzního francouzského úřadu Hadopi chránícího autorská práva na internetu, k provozním a lokalizačním údajům v rámci boje proti porušování autorských práv na internetu. Podstatou sporu byla otázka, zda směrnice 2002/58/ES ve spojení s Listinou základních práv Evropské unie brání tomu, aby úřad Hadopi měl přístup k údajům o totožnosti uživatelů odpovídajícím IP adresám, které byly předem shromážděny organizacemi zastupujícími nositele autorských práv.
Soudní dvůr rozhodl, že směrnice a Listina nebrání tomu, aby Hadopi měl přístup k takovým údajům za předpokladu, že jsou uchovávány odděleně a že způsoby uchovávání zajišťují ochranu soukromí. Úřad Hadopi nesmí tyto IP adresy používat k jiným účelům než k zjištění totožnosti pachatelů porušujících autorská práva. Soud rovněž zdůraznil, že uchovávané údaje musí být přístupné pouze pro účely stíhání závažných trestných činů a musí být zavedeny přísné procesní záruky, aby se zabránilo zneužití těchto údajů.
Povinnost zajistit plošné a nerozlišující uchovávání IP adres uložená poskytovatelům služeb elektronických komunikací legislativním opatřením podle čl. 15 odst. 1 směrnice 2002/58 může být případně odůvodněna cílem boje proti soudně trestným činům obecně, je-li skutečně vyloučeno, že by takové uchovávání mohlo způsobit závažné zásahy do soukromého života dotyčné osoby z důvodu možnosti vyvodit o ní přesné závěry zejména prostřednictvím propojení těchto IP adres se souborem provozních nebo lokalizačních údajů, které by tito poskytovatelé rovněž uchovávali.
Soud dále konstatoval, že členský stát, který hodlá poskytovatelům uložit povinnost plošného a nerozlišujícího uchovávání IP adres za účelem dosažení cíle souvisejícího s bojem proti soudně trestným činům obecně, se musí ujistit, že způsoby uchovávání těchto údajů zaručí, že je vyloučeno jakékoli kombinování uvedených IP adres s ostatními uchovávanými údaji, jak vyplývá ze směrnice 2002/58, které by umožnilo vyvodit přesné závěry o soukromém životě osob, jejichž údaje jsou takto uchovávány. Podle soudu totiž směrnice ani Listina základních práv Evropské unie nebrání takové úpravě, pokud tyto údaje jsou uchovávány za podmínek a podle technických postupů, které zajišťují, že uchovávání nemůže umožnit vyvození přesných závěrů o soukromém životě těchto držitelů, například vytvořením jejich podrobného profilu. To lze zvláště dosáhnout stanovením povinnosti poskytovatelům služeb elektronických komunikací uchovávat jednotlivé kategorie osobních údajů, jako jsou údaje o totožnosti, IP adresy a provozní a lokalizační údaje, tak, aby bylo zajištěno skutečně úplné oddělení těchto jednotlivých kategorií údajů a aby se ve fázi uchovávání údajů zabránilo jakémukoli kombinovanému použití těchto jednotlivých kategorií údajů, a to po dobu ne delší, než je nezbytně nutné.
Rozsudek C178/22: Procura della Repubblica presso il Tribunale di Bolzano
Případ Tribunale di Bolzano se týkal krádeže mobilních telefonů a následné snahy státního zastupitelství získat od telefonních operátorů výpisy hovorů a lokalizační údaje za účelem identifikace pachatelů. Předmětem otázky bylo, zda italská legislativa umožňuje přístup k těmto údajům i v případech, které nejsou závažnou trestnou činností, a zda je definice „závažných trestných činů“ v souladu s evropskou směrnicí.
Italský soud tak stál před otázkou, zda je povolen přístup k provozním a lokalizačním údajům v případech, kdy horní hranice trestní sazby za daný trestný čin je nižší než tři roky (italský zákonodárce změnil příslušnou úpravu tak, aby jako závažné trestné činy, pro které lze výpisy telefonních hovorů získat, byly kvalifikovány ty trestné činy, za které zákon ukládá trest odnětí svobody s horní hranicí trestní sazby nejméně tři roky).
Soudní dvůr EU rozhodl, že takový přístup lze povolit pouze pro účely boje proti závažné trestné činnosti, jakou je např. organizovaný zločin nebo terorismus. Přístup k těmto údajům musí být vázán na objektivní kritéria, která jasně vymezují okolnosti, za kterých je takový přístup přípustný, a nesmí se jednat o plošné a nerozlišující uchovávání dat. Směrnice a Listina tedy podle Evropského soudního dvora brání poskytování těchto údajů pro vyšetřování méně závažných trestných činů.
Soud nebo nezávislý správní orgán musí být v rámci předchozího přezkumu provedeného na základě odůvodněné žádosti o přístup k provozním a lokalizačním údajům oprávněn odepřít nebo omezit tento přístup, pokud zjistí, že zásah do základních práv, který by takový přístup představoval, je závažný a zároveň je zjevné, že dotčený trestný čin ve skutečnosti nespadá pod závažnou trestnou činnost.