Soudní dvůr EU zveřejnil dne 30. dubna 2024 rozsudek ve věci C-470/21 | La Quadrature du Net a další (Osobní údaje a boj proti porušování autorských práv), v němž konstatoval, že vnitrostátní orgán veřejné moci odpovědný za boj proti porušováním autorských práv, k nimž dochází online, může mít přístup k identifikačním údajům na základě IP adresy. Soudní dvůr zároveň upřesnil požadavky týkající se podmínek uchovávání těchto údajů a přístupu k nim.
Za účelem ochrany děl, na která se vztahuje autorské právo nebo právo s ním související, před trestnými činy páchanými na internetu zavedlo francouzské nařízení dva způsoby zpracování osobních údajů. První způsob spočívá v tom, že organizace zastupující autory shromažďují IP adresy, které byly podle všeho použity na peer-to-peer sítích ke spáchání takových trestných činů, a poskytují je Haute autorité pour la diffusion des œuvres et la protection des droits sur internet1 (Vysoký úřad pro šíření děl a ochranu práv na internetu, dále jen „Hadopi“). Druhý způsob zahrnuje zejména porovnání IP adresy s údaji o totožnosti jejího držitele prováděné poskytovateli internetových služeb, kteří jednají na žádost Hadopi. Takové zpracování údajů umožňuje tomuto úřadu, aby proti identifikovaným osobám zahájil řízení kombinující výchovná a represivní opatření, které může v nejzávažnějších případech vést k předložení věci státnímu zastupitelství.
Čtyři sdružení na ochranu práv a svobod na internetu podala ke Conseil d’État (Státní rada, Francie) žalobu znějící na zrušení dotčeného nařízení. Conseil d’État (Státní rada) se Soudního dvora táže, zda jsou výše uvedená zpracování údajů slučitelná s unijním právem.
Soudní dvůr zasedající v plénu rozhodl, že plošné a nerozlišující uchovávání IP adres nutně nepředstavuje závažný zásah do základních práv. Takové uchovávání je povoleno v případě, že vnitrostátní právní úprava stanoví způsoby uchovávání, které zaručují skutečně úplné oddělení jednotlivých kategorií osobních údajů a vylučují tak možnost vyvodit přesné závěry o soukromém životě subjektu údajů.
Soudní dvůr rovněž upřesnil, že unijní právo nebrání vnitrostátní právní úpravě, která příslušnému orgánu veřejné moci umožňuje výhradně s cílem zjistit totožnost osoby podezřelé ze spáchání trestného činu, aby měl přístup k údajům o totožnosti odpovídajícím IP adrese, které poskytovatelé internetových služeb uchovávají odděleně a skutečně samostatně. Členské státy však musí zajistit, aby tento přístup neumožňoval vyvozování přesných závěrů o soukromém životě dotčených držitelů IP adres. To znamená, že zaměstnancům, kteří mají tento přístup, musí být zakázáno, aby zpřístupňovali informace o obsahu prohlížených souborů, sledovali vzorce vyhledávání z IP adres a používali tyto adresy k jiným účelům než k identifikaci jejich držitelů za účelem přijetí případných opatření.
V případě, že je účelem přístupu k údajům o totožnosti uživatelů prostředků elektronické komunikace výhradně identifikace dotčeného uživatele, nevyžaduje se předchozí přezkum tohoto přístupu ze strany soudu nebo nezávislého správního orgánu, jelikož takový přístup zahrnuje zásah do základních práv, který nelze kvalifikovat jako závažný. Tento přezkum však musí být upraven pro případ, kdy zvláštnosti vnitrostátního postupu upravujícího takový přístup mohou prostřednictvím propojení údajů a informací shromážděných postupně v jednotlivých fázích tohoto postupu umožnit vyvození přesných závěrů o soukromém životě subjektu údajů, a tudíž mohou představovat závažný zásah do základních práv. V takovém případě musí být tento přezkum ze strany soudu nebo nezávislého správního orgánu proveden před tímto propojením, přičemž musí být zachována účinnost uvedeného postupu, a zejména možnost identifikovat případy možného opakování dotčeného protiprávního jednání.
Členské státy mohou poskytovatelům internetových služeb uložit povinnost plošného a nerozlišujícího uchovávání IP adres pro boj proti trestným činům obecně za předpokladu, že takové uchovávání neumožňuje vyvodit přesné závěry o soukromém životě subjektu údajů. Toho lze dosáhnout pomocí způsobů uchovávání, které zajistí skutečně úplné oddělení IP adres od jiných kategorií osobních údajů, zejména údajů o totožnosti.
Členské státy mohou rovněž za určitých podmínek povolit příslušnému vnitrostátnímu orgánu přístup k údajům o totožnosti, které se týkají IP adres, za předpokladu, že je zaručeno takové uchovávání, které zajišťuje úplné oddělení jednotlivých kategorií údajů.
V případě, že v netypických situacích zvláštnosti vnitrostátního řízení upravujícího takový přístup umožňují prostřednictvím propojení shromážděných údajů a informací vyvodit přesné závěry o soukromém životě subjektu údajů, musí přístup podléhat předchozímu přezkumu ze strany soudu nebo nezávislého správního orgánu.
Úplné znění rozsudku, a případně jeho shrnutí jsou zveřejněny na curia.europa.eu v den vyhlášení.
Obrazový záznam z vyhlášení rozsudku je dostupný na „Europe by Satellite“
Zdroj: Soudní dvůr EU
Ilustrační foto: canva.com
1 Dne 1. ledna 2022 se Hadopi a Conseil supérieur de l’audiovisuel (Nejvyšší rada pro audiovizuální vysílání, CSA) sloučily do Autorité de régulation de la communication audiovisuelle et numérique (Úřad pro regulaci audiovizuální a digitální komunikace, dále jen „Arcom“). Od té doby v podstatě nezměněný mechanismus odstupňované odpovědi provádějí dva členové Rady Arcom, z nichž jeden je jmenován Conseil d’État (Státní rada) a druhý Cour de cassation (Kasační soud).
