C-470/21

Trybunał Sprawiedliwości UE orzekł, że dostęp organu publicznego do danych identyfikacyjnych użytkowników Internetu w celu zwalczania naruszeń praw autorskich jest dopuszczalny, pod warunkiem spełnienia rygorystycznych wymogów dotyczących przechowywania danych, ograniczonego dostępu i nadzoru sądowego w określonych sytuacjach.

Sprawa dotyczyła zgodności francuskich przepisów umożliwiających organowi Hadopi dostęp do danych identyfikacyjnych użytkowników Internetu (w tym adresów IP) w celu zwalczania naruszeń praw autorskich z prawem UE, w szczególności dyrektywą o prywatności i łączności elektronicznej oraz Kartą praw podstawowych. Trybunał orzekł, że taki dostęp jest dopuszczalny, pod warunkiem ścisłego przestrzegania zasad dotyczących przechowywania danych, zapewniających ich odseparowanie i uniemożliwiających wyciąganie wniosków na temat życia prywatnego użytkowników. Ponadto, dostęp ten musi być ograniczony do identyfikacji sprawcy i wymagać nadzoru sądowego lub niezależnego organu administracyjnego w przypadku powtarzających się naruszeń lub gdy istnieje ryzyko ujawnienia wrażliwych danych.

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczył wykładni dyrektywy 2002/58/WE (o prywatności i łączności elektronicznej) w świetle Karty praw podstawowych UE. Sprawa wywodziła się ze skargi na francuski dekret umożliwiający organowi Hadopi (obecnie ARCOM) dostęp do danych identyfikacyjnych użytkowników Internetu (w tym adresów IP) w celu zwalczania naruszeń praw autorskich. Skarżący argumentowali, że takie przepisy naruszają prawo do prywatności i ochrony danych osobowych. Trybunał Sprawiedliwości Unii Europejskiej (TSUE) rozpatrzył trzy pytania prejudycjalne dotyczące wymogów związanych z przechowywaniem danych, dostępem do nich oraz kontrolą sądową. W odniesieniu do przechowywania danych, TSUE stwierdził, że obowiązek uogólnionego i niezróżnicowanego przechowywania adresów IP może być uzasadniony celem zwalczania ogółu czynów zabronionych, pod warunkiem wprowadzenia rygorystycznych zasad technicznych zapewniających ścisłe odseparowanie różnych kategorii danych (tożsamość cywilna, adresy IP, dane o ruchu, dane lokalizacyjne) i uniemożliwiających powiązanie ich w sposób pozwalający na wyciągnięcie precyzyjnych wniosków na temat życia prywatnego użytkowników. Okres przechowywania musi być ściśle niezbędny, a system przetwarzania danych podlegać regularnej kontroli niezależnego organu. Co do dostępu do danych, TSUE uznał, że dostęp organu publicznego do danych identyfikacyjnych odpowiadających adresom IP jest dopuszczalny, jeśli służy wyłącznie identyfikacji osoby podejrzanej o popełnienie czynu zabronionego i towarzyszą mu gwarancje wykluczające możliwość wyciągnięcia precyzyjnych wniosków na temat życia prywatnego. Wymaga to m.in. zakazu ujawniania treści przeglądanych plików i śledzenia historii aktywności. W kwestii kontroli sądowej, TSUE orzekł, że wymóg uprzedniej kontroli przez sąd lub niezależny organ administracyjny jest konieczny, gdy dostęp do danych wiąże się z ryzykiem poważnej ingerencji w życie prywatne, np. gdy istnieje możliwość ustalenia szczegółowego profilu użytkownika. W przypadku francuskiej procedury stopniowej odpowiedzi, taka kontrola jest wymagana na etapie, gdy dochodzi do powiązania danych identyfikacyjnych z informacjami o utworach, a zwłaszcza przed wysłaniem pisma informującego o możliwości popełnienia rażącego niedbalstwa lub przed zawiadomieniem prokuratury. Kontrola ta nie może być w pełni zautomatyzowana i musi uwzględniać wagę celu interesu ogólnego w stosunku do ingerencji w prawa podstawowe. TSUE podkreślił, że francuski system musi spełniać wymogi dyrektywy 2016/680 dotyczącej ochrony danych w kontekście działań organów ścigania, a nie RODO, które wyłącza takie przetwarzanie. Ostatecznie, TSUE stwierdził, że francuskie przepisy nie stoją na przeszkodzie dostępowi do danych, pod warunkiem spełnienia wszystkich wskazanych wymogów.

Zagadnienia prawne (4)

Rozstrzygnięcie

Strony

Przepisy (43)

Argumenty

Skład orzekający

Informacje dodatkowe

Powiązane tematy