Hotărârea C.J.U.E. C-548/21 din 4 octombrie 2024

III. ÎNTREBĂRILE PRELIMINARE ADRESATE DE TRIBUNALUL ADMINISTRATIV REGIONAL DIN TIROL

În aceste condiții, Tribunalul Administrativ Regional din Tirol a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

→ „1) Art. 15 alin. (1) din Directiva 2002/58, eventual coroborat cu art. 5 din aceasta, citit în lumina art. 7 și 8 din cartă, trebuie interpretat în sensul că accesul autorităților publice la datele stocate în telefoanele mobile constituie o atingere suficient de gravă adusă principiilor fundamentale consacrate la aceste articole din cartă încât, în domeniul prevenirii, investigării, depistării și urmăririi penale a unor infracțiuni, acest acces trebuie limitat la combaterea criminalității grave?”

→ „2) 15 alin. (1) din Directiva 2002/58 trebuie interpretat, în lumina art. 7, 8 și 11, precum și a art. 52 alin. (1) din cartă, în sensul că se opune unei reglementări naționale precum art. 18 coroborat cu art. 99 alin. (1) din StPO, potrivit căruia, în cursul unei proceduri de urmărire penală, autoritățile de securitate își obțin ele însele, fără autorizarea unei instanțe sau a unui organism independent, un acces complet și necontrolat la toate datele digitale stocate într‑un telefon mobil?”

→ „3) Art. 47 din cartă coroborat cu art. 41 și 52 din aceasta trebuie interpretat, din punctul de vedere al egalității armelor și al unei căi de atac efective, în sensul că se opune unei reglementări a unui stat membru, precum art. 18 coroborat cu art. 99 alin. (1) din StPO, care permite examinarea datelor digitale dintr‑un telefon mobil fără ca persoana vizată să fie informată cu privire la aceasta înainte sau măcar după adoptarea măsurii?”

IV. ASPECTELE REȚINUTE DE CURTEA DE JUSTIȚIE A UNIUNII EUROPENE

4.1. Aspecte reținute de C.J.U.E. cu privire la aplicarea în cauză a Directivei 2016/680

După o analiză aprofundată a mai multor dispoziții procedurale referitoare la admisibilitatea sesizării formulate de instanța de trimitere, cu precădere efectuată asupra modalității de formulare a întrebărilor, respectiv trimiterea expresă la Directiva 2002/58, iar nu la Directiva 2016/680, Curtea de Justiție a Uniunii Europene, în baza unei jurisprudențe deja consolidate, a considerat admisibile întrebările formulate și a procedat la analiza pe fond a acestora.

În ceea ce privește incidența Directivei 2016/680 în cazul unei tentative de accesare a datelor conținute într-un telefon mobil, Curtea a reținut că din însuși modul de redactare a art. 3 pct. 2 din directivă anterior citat și în special din utilizarea expresiilor „orice operațiune”, „orice set de operațiuni” și „punerea la dispoziție în orice alt mod”, rezultă că legiuitorul Uniunii a intenționat să confere o sferă largă noțiunii de „prelucrare” și, prin urmare, domeniului de aplicare material al directivei.

Astfel, Curtea a statuat că această interpretare este confirmată de caracterul neexhaustiv, exprimat prin locuțiunea „cum ar fi”, al operațiunilor menționate în articolul menționat^[1].

Prin urmare, atunci când autoritățile polițienești ridică un telefon și îl manipulează în scopul extragerii și al consultării datelor cu caracter personal conținute în telefon, acestea efectuează o prelucrare, în sensul art. 3 pct. 2 din Directiva 2016/680, chiar dacă acestea nu reușesc, din motive tehnice, să acceseze datele.

În final, Curtea reține că o asemenea interpretare este conformă cu principiul securității juridice, care impune ca aplicarea normelor de drept să fie previzibilă pentru justițiabili, mai ales atunci când ele pot produce consecințe defavorabile^[2]. Prin urmare, o interpretare potrivit căreia aplicabilitatea Directivei 2016/680 ar depinde de succesul tentativei de accesare a datelor cu caracter personal conținute într‑un telefon mobil ar crea atât pentru autoritățile naționale competente, cât și pentru justițiabili o incertitudine incompatibilă cu acest principiu.

4.2. Aspecte reținute de C.J.U.E. cu privire la primele două întrebări

Cu titlu prealabil, Curtea precizează că trebuie să se considere că, prin intermediul primei și al celei de a doua întrebări, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă art. 4 alin. (1) lit. (c) din Directiva 2016/680, interpretat în lumina art. 7 și 8, precum și a art. 52 alin. (1) din cartă, se opune unei reglementări naționale care acordă autorităților competente posibilitatea de a accesa datele conținute într‑un telefon mobil în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor în general și care nu supune exercitarea acestei posibilități unui control prealabil de către o instanță sau de către o entitate administrativă independentă.

Potrivit art. 4 alin. (1) litera (c) din Directiva 2016/680, statele membre trebuie să garanteze că datele cu caracter personal sunt adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate, astfel că această dispoziție impune respectarea de către statele membre a principiului „reducerii la minimum a datelor”^[3].

În această privință, trebuie precizat că astfel cum prevede considerentul (104) din directivă, limitările ce nu sunt permise să fie aduse dreptului la protecția datelor cu caracter personal, prevăzut la art. 8 din cartă, precum și dreptului la respectarea vieții private și de familie, protejat de art. 7 din această cartă, trebuie interpretate în conformitate cu cerințele art. 52 alin. (1) din aceasta, care includ respectarea principiului proporționalității^[4].

Prin urmare, aceste drepturi fundamentale nu sunt absolute, astfel că orice restrângere a exercițiului acestora trebuie, în conformitate cu art. 52 alin. (1) din cartă, să fie prevăzută de lege și să respecte substanța acelorași drepturi fundamentale, precum și principiul proporționalității.

În acest context, precum și în aplicarea principiului proporționalității, Curtea reține că pot fi impuse limitări numai în cazul în care acestea sunt necesare și numai dacă răspund efectiv obiectivelor de interes general recunoscute de Uniune sau necesității protejării drepturilor și a libertăților celorlalți, astfel că acestea trebuie să fie efectuate în limitele strictului necesar, iar reglementarea care cuprinde limitările trebuie să prevadă norme clare și precise care să guverneze conținutul și aplicarea acestor limitări^[5].

În ceea ce privește, în primul rând, obiectivul de interes general care poate justifica o restrângere a exercițiului drepturilor fundamentale consacrate la art. 7 și 8 din cartă, trebuie precizat că o prelucrare de date cu caracter personal în cadrul unei anchete polițienești privind sancționarea unei infracțiuni, cum ar fi o tentativă de accesare a datelor conținute într‑un telefon mobil, trebuie considerată în principiu ca răspunzând efectiv unui obiectiv de interes general recunoscut de Uniune, în sensul art. 52 alin. (1) din cartă.

În ceea ce privește, în al doilea rând, cerința caracterului necesar al unei asemenea restrângeri, astfel cu subliniază și considerentul (26) al directivei, această cerință nu este îndeplinită atunci când obiectivul de interes general vizat poate fi atins în mod rezonabil la fel de eficient prin alte mijloace, care să afecteze mai puțin drepturile fundamentale ale persoanelor vizate^[6].

În schimb, cerința necesității este îndeplinită atunci când obiectivul urmărit de prelucrarea datelor în cauză nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și de familie, precum și dreptul la protecția datelor cu caracter personal garantate la art. 7 și 8 din cartă^[7].

În ceea ce privește, în al treilea rând, caracterul proporțional al restrângerii exercițiului drepturilor fundamentale garantate la art. 7 și 8 din cartă, Curtea precizează că acesta implică o ponderare a tuturor elementelor relevante ale speței^[8].

4.2.1. Criteriile avute în vedere de Curte cu ocazia analizării respectării principiului proporționalității

Reține Curtea că printre aceste elemente relevante ale speței fac parte, printre altele:

→ gravitatea restrângerii aduse astfel exercițiului drepturilor fundamentale în cauză, care depinde de natura și de sensibilitatea datelor la care autoritățile polițienești competente pot avea acces;

→ importanța obiectivului de interes general urmărit prin această restrângere;

→ legătura existentă între titularul telefonului mobil și infracțiunea în cauză sau relevanța datelor în cauză pentru constatarea faptelor.

4.2.1.1. Criteriul referitor la gravitatea restrângerii aduse exercițiului drepturilor fundamentale în cauză

Din decizia de trimitere reiese că reglementarea austriacă permite autorităților polițienești competente să acceseze, fără o autorizație prealabilă, datele conținute într‑un telefon mobil.

Un asemenea acces poate privi, în funcție de conținutul telefonului mobil în cauză și de alegerile efectuate de polițiști, nu numai datele de transfer și de localizare, ci și fotografiile și istoricul de navigare pe internet sau chiar o parte a conținutului comunicațiilor efectuate cu telefonul respectiv.

Astfel, Curtea subliniază că accesul la un astfel de ansamblu de date poate permite deducerea unor concluzii foarte precise privind viața privată a persoanei vizate, precum obiceiurile sale din viața cotidiană, locurile de reședință permanentă sau temporară, deplasările zilnice sau alte deplasări, activitățile desfășurate, relațiile sociale ale acestei persoane și mediile sociale frecventate de ea.

Prin urmare, în ceea ce privește primul criteriu, respectiv gravitatea restrângerii drepturilor fundamentale care rezultă dintr‑o reglementare, Curtea conchide că ingerința în drepturile fundamentale garantate la art. 7 și 8 din cartă la care poate conduce aplicarea unei reglementări precum cea în discuție trebuie, prin urmare, să fie considerată gravă sau chiar deosebit de gravă.

4.2.1.2. Criteriul referitor la importanța obiectivului urmărit

În ceea ce privește al doilea criteriu, respectiv importanța obiectivului urmărit, Curtea subliniază că gravitatea infracțiunii care face obiectul anchetei constituie unul dintre parametrii centrali în cadrul examinării proporționalității ingerinței grave.

Cu toate acestea, Curtea precizează că a se considera că numai combaterea infracționalității grave poate justifica accesul la datele conținute într‑un telefon mobil ar limita competențele de investigare ale autorităților competente, în sensul Directivei 2016/680, în privința infracțiunilor în general, considerându-se că ar rezulta o creștere a riscului de impunitate pentru asemenea infracțiuni, ținând seama de importanța pe care o pot avea asemenea date pentru anchetele penale.

În aceste condiții, Curtea conchide că aspectele precizate anterior nu aduc atingere cerinței care decurge din art. 52 alin. (1) din cartă, potrivit căreia orice restrângere a exercițiului unui drept fundamental trebuie să fie „prevăzută de lege”, revenind legiuitorului național sarcina de a defini în mod suficient de precis elementele, printre altele natura sau categoriile de infracțiuni în cauză, care trebuie luate în considerare.

4.2.1.3. Criteriul referitor la legătura existentă între titularul telefonului mobil cu infracțiunea în cauză, precum și relevanța datelor în cauză pentru constatarea faptelor

În ceea ce privește al treilea criteriu, respectiv legătura existentă între titularul telefonului mobil cu infracțiunea în cauză, precum și relevanța datelor în cauză pentru constatarea faptelor, Curtea menționează că din art. 6 din Directiva 2016/680 reiese că noțiunea de „persoană vizată” acoperă diferite categorii de persoane, și anume, în esență:

→ persoanele suspectate, pentru motive serioase, că au săvârșit sau că urmează să săvârșească o infracțiune,

→ persoanele care au fost condamnate pentru săvârșirea unei infracțiuni,

→ victimele sau victimele potențiale ale unor astfel de infracțiuni, precum și

→ alte părți care au legătură cu o infracțiune care ar putea fi chemate să depună mărturie în cadrul anchetelor legate de infracțiuni sau în cadrul procedurilor penale ulterioare.

Astfel, în ceea ce privește accesul la datele conținute în telefonul mobil al persoanei care face obiectul unei anchete penale, precum în cauza principală, existența unor suspiciuni rezonabile în privința acesteia în sensul că a săvârșit, săvârșește sau intenționează să săvârșească o infracțiune ori că este implicată într‑un mod sau altul într‑o asemenea infracțiune trebuie să fie susținută de elemente obiective și suficiente.

Prin urmare, Curtea conchide că este esențial, în special pentru a asigura că principiul proporționalității este respectat în fiecare caz concret prin efectuarea unei ponderări a tuturor elementelor relevante, ca, atunci când accesul autorităților naționale competente la datele cu caracter personal implică riscul unei ingerințe grave sau chiar deosebit de grave în drepturile fundamentale ale persoanei vizate, acest acces să fie condiționat de un control prealabil efectuat fie de o instanță, fie de o entitate administrativă independentă.

În ceea ce privește o anchetă penală, un asemenea control impune ca această instanță sau entitate să fie în măsură să asigure un just echilibru între, pe de o parte, interesele legitime legate de nevoile anchetei în cadrul combaterii infracționalității și, pe de altă parte, drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal ale persoanelor ale căror date sunt vizate de acces.

Acest control independent trebuie să intervină înaintea oricărei tentative de accesare a datelor vizate, cu excepția cazurilor de urgență justificate corespunzător, caz în care controlul menționat trebuie să intervină în termen scurt. Astfel, un control ulterior nu ar permite îndeplinirea obiectivului controlului prealabil, care constă în împiedicarea autorizării unui acces la datele în cauză care depășește limitele strictului necesar.

Prin urmare, instanța sau entitatea administrativă independentă care intervine în cadrul unui control prealabil efectuat în urma unei cereri de acces motivate care intră în domeniul de aplicare al Directivei 2016/680 trebuie să fie abilitată să refuze sau să restrângă acest acces atunci când constată că ingerința în drepturile fundamentale pe care ar constitui‑o accesul menționat ar fi disproporționată ținând seama de ansamblul elementelor relevante.

4.2.2. Soluția pronunțată de C.J.U.E. la primele două întrebări

Sintetizând cele de mai sus, Curtea de Justiție a Uniunii Europene a formulat următorul răspuns la primele două întrebări preliminare:

→ Art. 4 alin. (1) lit. (c) din Directiva 2016/680, citit în lumina art. 7 și 8, precum și a art. 52 alin. (1) din cartă, trebuie interpretat în sensul că nu se opune unei reglementări naționale care acordă autorităților competente posibilitatea de a accesa datele conținute într‑un telefon mobil în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor în general, dacă această reglementare:

– definește într‑un mod suficient de precis natura sau categoriile de infracțiuni vizate;

– garantează respectarea principiului proporționalității și

– supune exercitarea acestei posibilități, cu excepția cazurilor de urgență justificate în mod corespunzător, unui control prealabil din partea unei instanțe sau a unei entități administrative independente.

4.3. Aspecte reținute de C.J.U.E. cu privire la a treia întrebare

Reformulând întrebarea adresată de instanța de trimitere, Curtea precizează că trebuie să se considere că se solicită în esență să se stabilească dacă art. 13 și 54 din Directiva 2016/680, citite în lumina art. 47 și a art. 52 alin. (1) din cartă, trebuie interpretate în sensul că se opun unei reglementări naționale care permite autorităților competente în materie penală să încerce să acceseze datele conținute într‑un telefon mobil fără a informa persoana în cauză cu privire la aceasta.

Din jurisprudența^[9] Curții reiese că dreptul la o cale de atac judiciară efectivă, garantat la art. 47 din cartă, impune în principiu ca persoana interesată să poată cunoaște motivele pe care se întemeiază decizia luată în privința sa pentru a‑i permite să își apere drepturile în cele mai bune condiții posibile și să decidă în deplină cunoștință de cauză dacă este util să sesizeze instanța competentă, precum și pentru a‑i permite pe deplin acesteia din urmă să exercite controlul legalității acestei decizii.

Deși acest drept nu constituie o prerogativă absolută și, în conformitate cu art. 52 alin. (1) din cartă, pot fi impuse restrângeri, există condiția ca aceste restrângeri să fie prevăzute de lege, să respecte substanța drepturilor și libertăților în cauză și, cu respectarea principiului proporționalității, să fie necesare și să răspundă efectiv obiectivelor de interes general recunoscute de Uniune sau necesității protejării drepturilor și libertăților celorlalți^[10].

Astfel, Curtea reține că revine autorităților naționale competente care au fost autorizate de o instanță sau de o entitate administrativă independentă să acceseze datele stocate sarcina de a informa persoanele vizate, în cadrul procedurilor naționale aplicabile, cu privire la motivele pe care se întemeiază această autorizație, din momentul în care acest lucru nu poate compromite investigațiile desfășurate de aceste autorități, și de a le pune la dispoziție toate informațiile prevăzute la art. 13 alin. (1) din Directiva 2016/680, aceste informații fiind necesare pentru a permite persoanei să își exercite, printre altele, dreptul la o cale de atac, prevăzut în mod explicit la art. 54 din Directiva 2016/680^[11].

În schimb, o reglementare națională care ar exclude în general orice drept de a obține astfel de informații nu ar fi conformă cu dreptul Uniunii^[12].

Astfel, Curtea de Justiție a Uniunii Europene a formulat următorul răspuns la a treia întrebare:

→ Art. 13 și 54 din Directiva 2016/680, citite în lumina art. 47 și a art. 52 alin. (1) din cartă, trebuie interpretate în sensul că se opun unei reglementări naționale care permite autorităților competente să încerce să acceseze date conținute într‑un telefon mobil fără a informa persoana în cauză, în cadrul procedurilor naționale aplicabile, cu privire la motivele pe care se întemeiază autorizația de a accesa astfel de date, emisă de o instanță sau de o entitate administrativă independentă, începând din momentul în care comunicarea acestei informații nu mai este susceptibilă să compromită misiunile care revin acestor autorități în temeiul directivei menționate.

V. CONCLUZII

Din cele prezentate, rezultă modalitatea de aplicare de către Curtea de Justiție a Uniunii Europene a dispozițiilor existente la nivel unional în materia protecției datelor cu caracter personal prelucrate în cadrul procedurilor penale, aceasta efectuând o amplă analiză a dreptului unional, stabilind noi linii directoare în această materie.

Totodată, Curtea a confirmat şi dezvoltat jurisprudenţa acumulată pe parcursul anilor cu privire la aplicarea concretă a principiului proporționalității, iar unde s-a impus, a adus noi clarificări cu privire la aplicabilitatea prin analogie a unor soluții pronunțate în situații similare.

Având în vedere toate aspectele prezentate, considerăm salutară hotărârea instanţei europene, aceasta aducând claritate, previzibilitate şi predictibilitate în interpretarea şi aplicarea dreptului unional în materia protecției datelor cu caracter personal prelucrate în cadrul procedurilor penale.

^[1] A se vedea, prin analogie, Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale), C‑175/20, EU:C:2022:124, punctul 35.

^[2] Hotărârea din 27 iunie 2024, Gestore dei Servizi Energetici, C‑148/23, EU:C:2024:555, punctul 42 și jurisprudența citată.

^[3] Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C‑118/22, EU:C:2024:97, punctul 41 și jurisprudența citată.

^[4] Ibidem, pct. 33.

^[5] Ibidem, pct. 39.

^[6] Ibidem, pct. 40.

^[7] Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 126 și jurisprudența citată.

^[8] A se vedea în acest sens Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C‑118/22, EU:C:2024:97, punctele 62 și 63 și jurisprudența citată.

^[9] Hotărârea din 16 noiembrie 2023, Ligue des droits humains (Verificarea prelucrării datelor de către autoritatea de supraveghere), C‑333/22, EU:C:2023:874, punctul 58.

^[10] Ibidem, pct. 59.

^[11] A se vedea în acest sens Hotărârea din 17 noiembrie 2022, Spetsializirana prokuratura (Conservarea datelor de trafic și localizare), C‑350/21, EU:C:2022:896, punctul 70 și jurisprudența citată.

^[12] Ibidem, pct. 71.