Stan faktyczny
Wobec VD i SR wszczęto sądowe postępowanie przygotowawcze w przedmiocie czynów mających znamiona przestępstwa polegającego na wykorzystywaniu i ukrywaniu informacji poufnych, korupcji oraz praniu pieniędzy. Postępowanie to było oparte na danych osobowych pochodzące z rozmów telefonicznych przeprowadzonych przez VD i SR, uzyskanych w ramach świadczenia usług łączności elektronicznej, które to dane zostały przekazane sędziemu śledczemu przez francuski urząd ds. rynków finansowych (AMF).
VD i SR twierdzili, że w celu zgromadzenia tych danych AMF oparł się na francuskich przepisach, które nie były zgodne z prawem Unii w zakresie, w jakim przewidywały uogólnione i niezróżnicowane zatrzymywanie danych dotyczących połączeń oraz nie określały żadnych ograniczeń w zakresie uprawnień śledczych AMF do uzyskania dostępu do zatrzymanych danych.
Wniosek prejudycjalny dotyczył zgodności francuskiego prawa z przepisami dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z 12.7.2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywy o prywatności i łączności elektronicznej) w świetle Karty praw podstawowych Unii Europejskiej (dalej jako: KPP) oraz z przepisami dyrektywy Parlamentu Europejskiego i Rady 2003/6/WE z 28.1.2003 r. w sprawie wykorzystywania poufnych informacji i manipulacji na rynku (nadużyć na rynku) i rozporządzenia Parlamentu Europejskiego i Rady (UE) Nr 596/2014 z 16.4.2014 r. w sprawie nadużyć na rynku (rozporządzenia w sprawie nadużyć na rynku). A precyzyjnie francuskich przepisów przewidujących nałożenie na operatorów świadczących usługi łączności elektronicznej, zapobiegawczo, w celu zwalczania naruszeń w postaci nadużyć na rynku, do których należy wykorzystywanie informacji poufnych, obowiązku uogólnionego i niezróżnicowanego zatrzymywania danych o ruchu przez rok od dnia ich zapisu. Jeśli francuskie przepisy byłyby niezgodne z prawem Unii, sąd odsyłający postawił pytanie o możliwość tymczasowego utrzymania w mocy skutków tego ustawodawstwa, tak aby uniknąć niepewności prawnej i pozwolić na wykorzystanie danych zatrzymanych na podstawie tego ustawodawstwa do celów wykrywania i ścigania przypadków wykorzystywania informacji poufnych.
Stanowisko TS
1. Uogólnione i niezróżnicowane zatrzymywanie danych
Artykuł 12 ust. 2 lit. d) dyrektywy 2003/6 odnosi się do uprawnienia organu właściwego w sprawach finansowych do „żądania wydania rejestrów połączeń i rejestrów przesyłu danych”, art. 23 ust. 2 lit. g) i h) rozporządzenia Nr 596/2014 odsyła do uprawnienia tego organu do żądania wydania, z jednej strony, „zapisów danych o ruchu przechowywanych przez firmy inwestycyjne, instytucje kredytowe lub instytucje finansowe”, a z drugiej strony, „żądania, w zakresie dozwolonym prawem krajowym, wydania istniejących zapisów danych o ruchu przechowywanych przez operatora telekomunikacyjnego”. Trybunał wskazał, że z treści tych przepisów wynika jednoznacznie, że ograniczają się one do zakreślenia ram uprawnienia tego organu do „żądania” lub „żądania wydania” danych, którymi dysponują te podmioty gospodarcze, co odpowiada dostępowi do tych danych. Ponadto, odwołanie się do zapisów „istniejących”, takich jak „przechowywane” przez danych operatorów, sugeruje, że prawodawca Unii nie zamierzał regulować możliwości ustanowienia przez ustawodawcę krajowego obowiązku przechowywania takich zapisów.
Zgodnie z utrwalonym orzecznictwem TS wykładnia przepisu prawa Unii nie może skutkować pozbawieniem wszelkiej skuteczności jasnego i precyzyjnego brzmienia tego przepisu. W związku z tym, jeżeli znaczenie unijnego przepisu wynika jednoznacznie z samej jego treści, Trybunał nie może odejść od tej wykładni (wyrok TS z 25.1.2022 r., VYSOČINA WIND, C 181/20, pkt 39). Zdaniem TS za wykładnią przemawia zarówno kontekst, w jaki wpisują się art. 12 ust. 2 lit. a) i d) dyrektywy 2003/6 i art. 23 ust. 2 lit. g) i h) rozporządzenia Nr 596/2014, jak i cele uregulowania, którego część stanowią te przepisy.
Co się tyczy kontekstu, w jaki wpisują się te przepisy, TS wskazał, że zgodnie z art. 12 ust. 1 dyrektywy 2003/6 i art. 23 ust. 3 rozporządzenia Nr 596/2014 interpretowanym w świetle motywu 62 tego rozporządzenia, prawodawca Unii zamierzał zobowiązać państwa członkowskie do podjęcia niezbędnych środków w celu zapewnienia, aby organy właściwe w sprawach finansowych dysponowały zestawem narzędzi, kompetencji i odpowiednich zasobów, jak również uprawnień nadzorczych i śledczych niezbędnych do zapewnienia skuteczności ich zadań. Jednak te przepisy nie regulują kwestii, czy państwa członkowskie mogą w tym celu nałożyć na operatorów usług łączności elektronicznej uogólniony i niezróżnicowany obowiązek zatrzymywania danych o ruchu, ani o warunkach, na jakich dane te powinny być zatrzymywane przez tych operatorów w celu przekazania ich w stosownych przypadkach właściwym organom. W art. 12 ust. 2 dyrektywy 2003/6 i art. 23 ust. 2 rozporządzenia Nr 596/2014 prawodawca Unii zamierzał jedynie przyznać organowi właściwemu w sprawach finansowych, w celu zapewnienia skuteczności jego zadań śledczych i nadzorczych, klasyczne uprawnienia śledcze, takie jak te, które umożliwiają temu organowi dostęp do dokumentów, przeprowadzanie inspekcji i przeszukań, a także wydawanie nakazów lub zakazów wobec osób podejrzanych o popełnienie naruszeń w postaci nadużyć na rynku, do których zalicza się w szczególności wykorzystywanie informacji poufnych. Ponadto TS stwierdził, że przepisy rozporządzenia Nr 596/2014, które szczegółowo regulują kwestię zatrzymywania danych, a mianowicie art. 11 ust. 5 akapit ostatni, ust. 6 akapit drugi, ust. 8 i ust. 11 lit. c), art. 17 ust. 1 akapit pierwszy art. 18 ust. 5 oraz art. 28 tego rozporządzenia, nakładają taki obowiązek zatrzymywania wyłącznie na podmioty finansowe wymienione w art. 23 ust. 2 lit. g) tego rozporządzenia, zatem dotyczą wyłącznie danych odnoszących się do transakcji finansowych i usług świadczonych przez te konkretne podmioty.
Odnośnie celów realizowanych przez rozporządzenie Nr 596/2014, TS wskazał, że z motywów 2 i 12 dyrektywy 2003/6, z jednej strony, oraz z art. 1 rozporządzenia Nr 596/2014 interpretowanego w świetle jego motywów 2 i 24, z drugiej strony, wynika, iż celem tych instrumentów jest zapewnienie integralności rynków finansowych Unii i zwiększenie zaufania inwestorów do tych rynków, które to zaufanie opiera się w szczególności na tym, że będą one traktowane na równych zasadach i chronione przed bezprawnym wykorzystywaniem informacji poufnych. Zakaz wykorzystywania informacji poufnych ustanowiony w art. 2 ust. 1 dyrektywy 2003/6 i w art. 8 ust. 1 rozporządzenia Nr 596/2014 ma zatem na celu zagwarantowanie równości stron transakcji giełdowej poprzez uniknięcie sytuacji, w której jedna z nich, posiadająca informacje poufne i znajdująca się w związku z tym w uprzywilejowanej sytuacji w stosunku do pozostałych inwestorów, osiąga w ten sposób korzyść ze szkodą dla innych inwestorów, którzy nie posiadają takich informacji (wyrok TS z 15.3.2022 r., Autorité des marchés financieres, C 302/20, pkt 43, 65, 77). O ile zgodnie z motywem 65 rozporządzenia Nr 596/2014 zapisy danych o połączeniach stanowią istotny, a niekiedy jedyny dowód pozwalający na wykrycie i udowodnienie wykorzystywania informacji poufnych lub manipulacji na rynku, o tyle motyw ten odnosi się jedynie do zapisów „przechowywanych” przez operatorów usług łączności elektronicznej, a także do uprawnienia organu właściwego w sprawach finansowych do „zażądania” od tych operatorów udostępnienia „istniejących” danych. Trybunał podkreślił, że z tego motywu nie wynika, aby prawodawca Unii zamierzał w drodze tego rozporządzenia przyznać państwom członkowskim uprawnienie do nałożenia na operatorów świadczących usługi łączności elektronicznej uogólnionego obowiązku zatrzymywania danych.
W świetle powyższych rozważań TS uznał, że ani dyrektywy 2003/6, ani rozporządzenia Nr 596/2014 nie można interpretować w ten sposób, iż mogą one stanowić podstawę prawną ogólnego obowiązku zatrzymywania zapisów danych o ruchu przechowywanych przez operatorów usług łączności elektronicznej w celu wykonywania uprawnień powierzonych organowi właściwemu w sprawach finansowych na podstawie dyrektywy 2003/6 i rozporządzenia Nr 596/2014.
Rzecznik generalny wskazał w pkt 53 i 61 opinii, że dyrektywa 2002/58 jest uregulowaniem stanowiącym punkt odniesienia w dziedzinie zatrzymywania i, bardziej ogólnie, przetwarzania danych osobowych w sektorze łączności elektronicznej. Zatem wykładnia dokonana przez Trybunał w świetle tej dyrektywy stosuje się również do zapisów danych o ruchu przechowywanych przez operatorów usług łączności elektronicznej, których organy właściwe w sprawach finansowych w rozumieniu art. 11 dyrektywy 2003/6 i art. 22 rozporządzenia Nr 596/2014 mogą zażądać od tych operatorów. Zgodnie bowiem z art. 1 ust. 1 dyrektywy 2002/58 przewiduje ona m.in. harmonizację przepisów krajowych wymaganych do zapewnienia równego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej, który obejmuje również sektor telekomunikacji. Ponadto z art. 3 tej dyrektywy wynika, że ma ona zastosowanie do przetwarzania danych osobowych w związku z dostarczaniem publicznie dostępnych usług łączności elektronicznej w publicznych sieciach łączności w Unii, włącznie z publicznymi sieciami łączności obsługującymi urządzenia służące do gromadzenia danych i identyfikacji. W konsekwencji TS uznał, że dyrektywa 2002/58 reguluje działalność dostawców takich usług, wśród których znajdują się m.in. operatorzy telekomunikacyjni (wyrok TS z 6.10.2020 r., La Quadrature du Net i in., C 511/18, C 512/18 i C 520/18, pkt 93).
Wobec powyższego Trybunał uznał, że ocena zgodności z prawem przetwarzania zapisów przechowywanych przez operatorów usług łączności elektronicznej w rozumieniu art. 12 ust. 2 lit. d) dyrektywy 2003/6 i art. 23 ust. 2 lit. g) i h) rozporządzenia Nr 596/2014 powinna być dokonywana w świetle przesłanek przewidzianych w dyrektywie 2002/58, a także wykładni tej dyrektywy w orzecznictwie TS. To stanowisko, zdaniem TS, potwierdza art. 3 ust. 1 pkt 27 rozporządzenia Nr 596/2014 w zakresie, w jakim przewiduje on, że zapisy danych o ruchu dla celów tego rozporządzenia oznaczają zapisy w rozumieniu art. 2 akapit drugi lit. b) dyrektywy 2002/58. Ponadto zgodnie z motywem 44 dyrektywy 2003/6, jak również z motywami 66 i 77 rozporządzenia Nr 596/2014, cele tych aktów powinny być realizowane z poszanowaniem praw podstawowych i zasad uznanych w KPP, w tym prawa do prywatności. W tym względzie prawodawca Unii wyraźnie wskazał w motywie 66 rozporządzenia Nr 596/2014, że w celu wykonywania uprawnień przyznanych organowi właściwemu w sprawach finansowych na mocy tego rozporządzenia, które mogą stanowić poważną ingerencję w prawo do poszanowania życia prywatnego i rodzinnego, miru domowego i komunikowania się – państwa członkowskie powinny dysponować wystarczającymi i skutecznymi zabezpieczeniami przed nadużyciami, np. w formie wymogu uzyskania w stosownych przypadkach uprzedniej zgody organów sądowych danego państwa członkowskiego. Państwa powinny dać właściwym organom możliwość wykonywania takich naruszających prywatność uprawnień wyłącznie w zakresie niezbędnym do właściwego przeprowadzenia czynności nadzorczych w poważnych przypadkach, w których nie istnieją równoważne środki pozwalające na uzyskanie takich samych rezultatów. Wynika z tego, że stosowanie środków regulowanych przez dyrektywę 2003/6 i rozporządzenie Nr 596/2014 nie może w żadnym razie naruszać ochrony danych osobowych przyznanej na podstawie dyrektywy 2002/58 (wyrok TS z 17.6.2021 r., M.I.C.M., C 597/19, pkt 124). W konsekwencji TS uznał, że art. 12 ust. 2 lit. a) i d) dyrektywy 2003/6 oraz art. 23 ust. 2 lit. g) i h) rozporządzenia Nr 596/2014 należy interpretować w ten sposób, iż nie zezwalają one na uogólnione i niezróżnicowane zatrzymywanie danych o ruchu i danych o lokalizacji w celu zwalczania przestępstw w postaci nadużyć na rynku, a w szczególności wykorzystywania informacji poufnych. Przy czym zgodność z prawem Unii przepisów krajowych przewidujących takie zatrzymywanie należy oceniać na podstawie art. 15 ust. 1 dyrektywy 2002/58, odczytywanego w świetle art. 7, 8, 11 i art. 52 ust. 1 KPP, tak jak interpretowany jest on w orzecznictwie TS.
Sporne francuskie uregulowanie odnosi się do wszystkich środków łączności telefonicznej i obejmuje wszystkich użytkowników tych środków, bez zróżnicowania czy wprowadzania wyjątku w tym względzie. Ponadto, to uregulowanie zobowiązuje operatorów usług łączności elektronicznej do zatrzymywania w szczególności danych niezbędnych do ustalenia źródła połączenia i jego przeznaczenia, określenia daty, godziny, czasu trwania i rodzaju połączenia, wskazania wykorzystanego urządzenia komunikacyjnego, a także ustalenia położenia urządzeń końcowych i umiejscowienia połączeń, tj. danych, wśród których znajdują się w szczególności nazwisko i adres użytkownika, jak też numery telefonu nadawcy i odbiorcy połączenia. W związku z tym dane, które zgodnie z rozpatrywanym uregulowaniem krajowym powinny być zatrzymywane na okres jednego roku, o ile nie obejmują treści danego połączenia, pozwalają w szczególności ustalić, kim jest osoba, z którą użytkownik środka komunikacji telefonicznej się łączył, i za pomocą jakiego środka nawiązano to połączenie, określić datę, godzinę i czas trwania połączeń oraz miejsce, z którego zostały nawiązane, oraz poznać lokalizację urządzeń końcowych bez konieczności realizacji połączenia. Co więcej, oferują one możliwość określenia częstotliwości połączeń użytkownika z pewnymi osobami w danym okresie. Trybunał stwierdził, że całokształt tych danych może dostarczyć bardzo precyzyjnych wskazówek dotyczących życia prywatnego osób, których dane są zatrzymywane, takich jak ich codzienne nawyki, miejsca stałego lub czasowego pobytu, codziennie lub okazyjnie pokonywane trasy, podejmowane czynności, relacje społeczne i środowiska społeczne, w których osoby te się obracają. W szczególności dane te dają możność ustalenia profilu danych osób, która to informacja jest z punktu widzenia prawa do poszanowania życia prywatnego równie newralgiczna co sama treść komunikatów (wyrok TS z 5.4.2022 r., Commissioner of An Garda Síochána i in., C 140/20, pkt 45).
Trybunał wskazał, że rozpatrywane uregulowanie dotyczy – obok innych celów – wykrywania, stwierdzania i ścigania przestępstw kryminalnych, w tym nadużyć na rynku, do których zalicza się wykorzystywanie informacji poufnych. W świetle okoliczności rozpatrywanej sprawy TS stwierdził, że w spornym uregulowaniu ustawodawca krajowy przewidział, w szczególności dla celów wykrywania, stwierdzania i ścigania przestępstw kryminalnych oraz zwalczania przestępczości, uogólnione i niezróżnicowane zatrzymywanie danych o ruchu przez okres jednego roku od dnia zapisu. Tymczasem w szczególności z pkt 140–168 wyroku w sprawie La Quadrature du Net i in. oraz z pkt 59–101 wyroku w sprawie Commissioner of An Garda Síochána i in., wynika, że takie zatrzymywanie nie może być uzasadnione powyższymi celami na podstawie art. 15 ust. 1 dyrektywy 2002/58. Z powyższego zdaniem TS wynika, że uregulowanie krajowe, takie jak rozpatrywane, nakładające na operatorów usług łączności elektronicznej obowiązek zatrzymywania zapobiegawczo w celu zwalczania naruszeń w postaci nadużyć na rynku, do których zalicza się wykorzystywanie informacji poufnych, w sposób uogólniony i niezróżnicowany danych o ruchu wszystkich użytkowników środków łączności elektronicznej, bez jakiegokolwiek zróżnicowania w tym względzie lub ustanowienia wyjątków i bez wykazania wymaganego związku, zgodnie z orzecznictwem przywołanym w poprzednim punkcie niniejszego wyroku, między danymi, które mają być zatrzymywane, a realizowanym celem, wykracza poza granice tego, co ściśle konieczne, i nie może być uznane za uzasadnione w społeczeństwie demokratycznym, jak tego wymaga art. 15 ust. 1 dyrektywy 2002/58, interpretowany w świetle art. 7, 8, 11 i art. 52 ust. 1 KPP (wyrok TS z 6.10.2020 r., Privacy International, C 623/17, pkt 81).
Trybunał orzekł, że art. 12 ust. 2 lit. a) i d) dyrektywy 2003/6 oraz art. 23 ust. 2 lit. g) i h) rozporządzenia Nr 596/2014, w zw. z art. 15 ust. 1 dyrektywy 2002/58 oraz w świetle art. 7, 8, 11 i 52 ust. 1 KPP, należy interpretować w ten sposób, że sprzeciwiają się one środkom ustawodawczym przewidującym zapobiegawczo w celu zwalczania przestępstw polegających na nadużyciach na rynku, do których zalicza się wykorzystywanie informacji poufnych, ogólne i niezróżnicowane zatrzymywanie danych o ruchu przez rok od dnia ich zapisu.
2. Ograniczenie w czasie skutków stwierdzenia nieważności
Zasada pierwszeństwa prawa Unii ustanawia prymat tego prawa nad prawem państw członkowskich. Zasada ta nakłada zatem na wszystkie organy państw członkowskich obowiązek zapewnienia pełnej skuteczności różnych norm prawa Unii, a prawo państw członkowskich nie może mieć wpływu na skuteczność przyznaną tym różnym normom na terytorium tych państw. Zgodnie z tą zasadą, w sytuacji braku możliwości dokonania wykładni ustawodawstwa krajowego zgodnej z wymogami prawa Unii, sąd krajowy, do którego należy w ramach jego kompetencji stosowanie przepisów prawa Unii, jest zobowiązany zapewnić pełną skuteczność tych przepisów, w razie konieczności odstępując z własnej inicjatywy od stosowania wszelkich sprzecznych z nim przepisów prawa krajowego, nawet późniejszych, bez konieczności żądania lub oczekiwania na ich uprzednie usunięcie w drodze ustawodawczej lub w ramach innej procedury konstytucyjnej (wyrok Commissioner of An Garda Síochána i in., pkt 118). Jedynie Trybunał może w drodze wyjątku, kierując się nadrzędnymi względami pewności prawa, tymczasowo zawiesić wywierany przez unijne prawo skutek w postaci uchylenia przepisów prawa krajowego sprzecznych z prawem Unii. Takie ograniczenie w czasie skutków wykładni prawa Unii dokonanej przez Trybunał może zostać orzeczone wyłącznie w samym wyroku, w którym Trybunał rozstrzyga w przedmiocie wykładni, o którą się do niego zwrócono. Do naruszenia pierwszeństwa i jednolitego stosowania prawa Unii doszłoby, gdyby sądy krajowe były uprawnione do przyznania, choćby tymczasowo, przepisom krajowym pierwszeństwa przed prawem Unii, z którym te przepisy są sprzeczne (wyrok Commissioner of An Garda Síochána i in., pkt 119).
Utrzymanie w mocy skutków przepisów krajowych takich jak rozpatrywane, zdaniem TS, oznaczałoby bowiem, że przepisy te w dalszym ciągu nakładają na dostawców usług łączności elektronicznej obowiązki, które są sprzeczne z prawem Unii i które powodują poważną ingerencję w prawa podstawowe osób, których dane są zatrzymywane (wyrok Commissioner of An Garda Síochána i in., pkt 122). W konsekwencji TS uznał, że sąd odsyłający nie może ograniczyć w czasie skutków stwierdzenia nieważności, którego ma on dokonać na podstawie prawa krajowego w odniesieniu do uregulowania krajowego rozpatrywanego w postępowaniu głównym (wyrok Commissioner of An Garda Síochána i in., pkt 123).
W ocenie TS z pkt 41–44 wyroku z 2.3.2021 r. w sprawie Prokuratuur (Warunki dostępu do danych dotyczących łączności elektronicznej) (C 746/18) wynika, że dopuszczalność dowodów podniesionych przeciwko VD i SR, jest zgodna z zasadą autonomii proceduralnej państw członkowskich kwestią prawa krajowego, z zastrzeżeniem poszanowania w szczególności zasad równoważności i skuteczności. Co się tyczy tej ostatniej zasady, TS przypomniał, że nakłada ona na krajowy sąd obowiązek nieuwzględniania informacji i dowodów uzyskanych w drodze uogólnionego i niezróżnicowanego zatrzymywania danych o ruchu i danych o lokalizacji niezgodnego z prawem Unii lub też w drodze dostępu właściwego organu do tych danych z naruszeniem tego prawa w ramach postępowania karnego wszczętego przeciwko osobom podejrzanym o popełnienie przestępstw, jeżeli osoby te nie są w stanie skutecznie ustosunkować się do tych informacji i dowodów, niepodlegających rozpoznaniu przez sąd i mogących mieć decydujący wpływ na ocenę okoliczności faktycznych [wyrok Prokuratuur (Warunki dostępu do danych dotyczących łączności elektronicznej), pkt 44].
Trybunał orzekł, że prawo Unii należy interpretować w ten sposób, iż sprzeciwia się ono temu, aby sąd krajowy ograniczył w czasie skutki stwierdzenia nieważności, którego na mocy prawa krajowego ma on dokonać w odniesieniu do przepisów krajowych, które z jednej strony, nakładają na operatorów świadczących usługi łączności elektronicznej uogólniony i niezróżnicowany obowiązek zatrzymywania danych o ruchu, a z drugiej strony, pozwalają na przekazywanie tych danych organowi właściwemu w sprawach finansowych bez uprzedniego zezwolenia sądu lub niezależnego organu administracyjnego, ze względu na niezgodność tych przepisów z art. 15 ust. 1 dyrektywy 2002/58 interpretowanym w świetle KPP. Dopuszczalność dowodów uzyskanych na podstawie krajowych przepisów ustawowych niezgodnych z prawem Unii podlega, zgodnie z zasadą autonomii proceduralnej państw członkowskich, prawu krajowemu, z zastrzeżeniem poszanowania w szczególności zasad równoważności i skuteczności.
Wyrok TS z 20.9.2022 r., VD, C 339/20 i C 397/20
Źródło: www.curia.eu
Opracowała: dr Ewa Skibińska - WPiA UKSW w Warszawie, ORCID: 0000-0003-4607-1448
