Orzecznictwo Europejskiego Trybunału Praw Człowieka

WYROK

STRASBURG

24 kwietnia 2018 r.

WYROK OSTATECZNY

24.07.2018 r.

Wyrok ten stał się ostateczny na podstawie art. 44 ust. 2 Konwencji. Wyrok może podlegać korekcie wydawniczej.

W sprawie Benedik przeciwko Słowenii,

Europejski Trybunał Praw Człowieka (Sekcja Czwarta), zasiadając jako Izba w składzie:

Ganna Yudkivska, przewodnicząca,
Vincent A. De Gaetano,
Faris Vehabović,
Carlo Ranzoni,
Georges Ravarani,
Marko Bošnjak,
Péter Paczolay, sędziowie,
i Andrea Tamietti, Zastępca Kanclerza Sekcji,

obradując na posiedzeniu niejawnym w dniu 20 marca 2018 r.,

wydaje następujący wyrok, który został przyjęty w tym dniu:

POSTĘPOWANIE

1. Sprawa wywodzi się ze skargi (nr 62357/14) przeciwko Republice Słowenii, wniesionej do Trybunału na podstawie art. 34 Konwencji o ochronie praw człowieka i podstawowych wolności („Konwencji”) przez Igora Benedika.

2. Skarżący był reprezentowany przed Trybunałem przez M. Jeleniča Novaka, prawnika praktykującego w Lublanie. Rząd Słowenii („Rząd”) był reprezentowany przez swojego pełnomocnika, J. Morelę, prokurator generalną.

3. Skarżący zarzucał w szczególności, iż doszło do naruszenia jego praw wynikających z art. 8 Konwencji z uwagi na bezprawne uzyskanie przez policję od dostawcy usługi internetowej informacji, które doprowadziły do ustalenia jego tożsamości.

4. W dniu 8 kwietnia 2015 r. sprawa została zakomunikowana Rządowi.

FAKTY

I. OKOLICZNOŚCI SPRAWY

5. Skarżący urodził się w 1977 r. i mieszka w Kranj.

A. Postępowanie przygotowawcze

6. W 2006 r. szwajcarskie organy ścigania kantonu Valais prowadziły czynności polegające na nadzorowaniu użytkowników tzw. sieci „Razorback”. Szwajcarska policja ustaliła, że użytkownicy byli w posiadaniu pornografii dziecięcej w postaci zdjęć lub nagrań wideo i wymieniali się nią. Pliki zawierające nielegalne treści były przekazywane przy pomocy tzw. sieci wymiany plików „p2p” (peer-to-peer), w ramach której każdy z podłączonych komputerów występował zarówno w roli klienta, jak i w roli serwera. Z tego względu każdy z użytkowników mógł mieć dostęp do wszystkich plików udostępnianych przez innych użytkowników sieci i pobrać je na swój użytek. Wśród dynamicznych adresów protokołu internetowego („IP”) zarejestrowanych przez szwajcarską policję znalazł się również pewien dynamiczny adres IP powiązany na późniejszym etapie z osobą skarżącego.

7. Na podstawie danych uzyskanych przez szwajcarską policję w dniu 7 sierpnia 2006 r. słoweńska policja, nie uzyskawszy wcześniej postanowienia sądu, zwróciła się do spółki S., słoweńskiego dostawcy usługi internetowej (zwanego dalej „DUI”), o ujawnienie danych dotyczących użytkownika, do którego wspomniany adres IP był przypisany o godz. 13:28 dnia 20 lutego 2006 r. Policja oparła swój wniosek na art. 149b ust. 3 ustawy o postępowaniu karnym (zwanej dalej „ustawą o postępowaniu karnym”, zob. par. 36 poniżej), w którym przewidziano wymóg ujawnienia policji przez operatorów sieci łączności elektronicznej informacji o właścicielach lub użytkownikach określonych środków łączności elektronicznej, których szczegółowe dane nie były dostępne w odpowiedniej książce teleadresowej. W odpowiedzi w dniu 10 sierpnia 2006 r. DUI podał policji imię i nazwisko oraz adres ojca skarżącego, który był abonentem usług internetowej powiązanej z przedmiotowym adresem IP.

8. W dniu 12 grudnia 2006 r. policja zaproponowała, by Prokuratura Rejonowa w Kranj zwróciła się do sędziego Sądu Rejonowego w Kranji prowadzącego sprawę o wydanie postanowienia nakazującego DUI ujawnienie danych osobowych abonenta oraz danych o ruchu powiązanych z przedmiotowym adresem IP. W dniu 14 grudnia 2006 r. uzyskano postanowienie sądu na podstawie art. 149b ust. 1 ustawy o postępowaniu karnym, a DUI wydał policji żądane dane.

9. W dniu 12 stycznia 2007 r. sędzia Sądu Rejonowego w Kranji prowadzący sprawę wydał postanowienie w przedmiocie zatwierdzenia przeszukania domu będącego domem rodzinnym skarżącego. W postanowieniu wskazano ojca skarżącego jako podejrzanego. Podczas przeszukania policja i sędzia Sądu Rejonowego w Kranji prowadzący sprawę zajęli cztery komputery, a następnie skopiowali zawartość ich dysków twardych.

10. Na podstawie rozmowy z członkami rodziny skarżącego, która nie jest dostępna w formie zarejestrowanej, policja dokonała zmiany podejrzanego, wskazując na skarżącego.

11. Podczas przeglądu twardych dysków policja stwierdziła, że jeden z nich zawiera pliki z materiałami pornograficznymi z udziałem małoletnich. Policja ustaliła, że skarżący zainstalował na jednym z komputerów program eMule służący do udostępniania plików, przy pomocy którego mógł pobierać różne pliki od różnych użytkowników programu, a automatycznie oferował i dystrybuował im własne pliki. Niewielki procent wśród plików pobranych przez skarżącego stanowiła pornografia dziecięca.

12. W dniu 26 listopada 2007 r. prokurator rejonowy w Kranj wystąpił do sądu o wszczęcie postępowania przeciwko skarżącemu.

13. Na swoją obronę skarżący podnosił przed sędzią prowadzącym sprawę między innymi, że nie był świadomy zawartości przedmiotowych plików. Podnosił też, że DUI bezprawnie, bez nakazu sądowego, przekazał policji jego dane, w tym adres.

14. W dniu 5 marca 2008 r. sędzia Sądu Rejonowego w Kranj prowadzący sprawę wszczął postępowanie przeciwko skarżącemu na podstawie uzasadnionego podejrzenia, iż skarżący popełnił czyn zabroniony polegający na wyświetlaniu, produkcji, posiadaniu i rozpowszechnianiu materiałów pornograficznych, przewidziany w art. 187 ust. 3 kodeksu karnego. Sędzia zauważył między innymi, że posiadaczem zidentyfikowanego adresu IP był ojciec skarżącego, a skarżący miał być zalogowany do przedmiotowego programu pod nazwą użytkownika „Benet”.

15. W dniu 17 marca 2008 r. pełnomocnik skarżącego wniósł zażalenie na postanowienie o wszczęciu postępowania. Podnosił między innymi, iż materiał dowodowy dotyczący tożsamości użytkownika odnośnego adresu IP został uzyskany bezprawnie. Informacje obejmowały dane o ruchu, w związku z tym nie powinny były zostać uzyskane bez nakazu sądowego.

16. W dniu 21 marca 2008 r. skład sędziowski oddalił zażalenie, uznając, że chociaż pełnomocnik podnosił, iż tożsamość użytkownika adresu IP została ustalona bezprawnie, nie wnosił on o wyłączenie określonych dokumentów z akt.

B. Proces

17. W dniu 29 maja 2008 r. Prokuratura Rejonowa w Kranji wniosła akt oskarżenia przeciwko skarżącemu w związku ze wspomnianym czynem zabronionym.

18. Po rozprawie w dniu 8 października 2008 r. skarżący wniósł na piśmie o wyłączenie uzyskanego bezprawnie materiału dowodowego, w tym informacji dotyczących użytkownika przedmiotowego adresu IP uzyskanych bez postanowienia sądu.

19. W dniu 5 grudnia 2008 r. sąd oddalił wniosek skarżącego, uznając, że dane dotyczące użytkownika przedmiotowego adresu IP zostały uzyskane zgodnie z art. 149b ust. 3 ustawy o postępowaniu karnym.

20. W dniu 5 grudnia 2008 r. Sąd Rejonowy w Kranj uznał skarżącego winnym zarzucanego mu czynu zabronionego. Na podstawie opinii biegłego w dziedzinie informatyki Sąd Rejonowy orzekł, że skarżący musiał być świadomy pobrania 630 zdjęć pornograficznych i 199 plików wideo z udziałem małoletnich przez sieci p2p i udostępniania ich innym użytkownikom. Skarżącego skazano na karę ośmiu miesięcy pozbawienia wolności w zawieszeniu na dwa lata.

C. Postępowanie przed Sądem Wyższym w Lublanie

21. Zarówno skarżący, jak i prokurator rejonowy odwołali się od wyroku sądu pierwszej instancji. Skarżący podważał ustalenia faktyczne dokonane przez Sąd Rejonowy. Twierdził również, że dane abonenta, które słoweńska policja uzyskała bez postanowienia sądu, a więc bezprawnie, powinny były zostać wyłączone z materiału dowodowego. W rezultacie należało wyłączyć całość materiału dowodowego opierającego się na bezprawnie pozyskanych danych.

22. W dniu 4 listopada 2009 r. Sąd Wyższy w Lublanie uwzględnił częściowo apelację prokuratora, dokonując zmiany zasądzonej skarżącemu kary w zawieszeniu na karę sześciu miesięcy pozbawienia wolności. Apelację skarżącego oddalono jako bezpodstawną. Sąd Wyższy potwierdził, że sąd pierwszej instancji dokonał poprawnych ustaleń faktycznych w sprawie; orzekł, że dane dotyczące użytkownika adresu IP uzyskano zgodnie z prawem, ponieważ uzyskanie danych w tym celu nie wymagało uzyskania postanowienia sądu.

C. Postępowanie przed Sądem Najwyższym

23. Skarżący wniósł skargę kasacyjną do Sądu Najwyższego, powtarzając, że dynamicznego adresu IP nie można porównać do numeru telefonu, który nie jest podany w książce telefonicznej, ponieważ przy każdym logowaniu komputerowi przypisywany jest nowy adres IP. W związku z powyższym tego rodzaju dane powinny być uznawane za dane o ruchu wskazujące na okoliczności i fakty związane z łącznością elektroniczną, objęte ochroną prywatności komunikacji. Skarżący podnosił, że szwajcarska policja nie powinna była uzyskać przedmiotowego dynamicznego adresu IP bez postanowienia sądu ani też słoweńska policja nie powinna była otrzymać danych dotyczących tożsamości abonenta powiązanego z adresem IP bez takiego postanowienia.

24. W dniu 20 stycznia 2011 r. Sąd Najwyższy oddalił skargę kasacyjną skarżącego, wskazując w uzasadnieniu, że z uwagi na ogólną dostępność stron internetowych oraz fakt, iż szwajcarska policja mogła sprawdzić wymianę plików w sieci p2p poprzez monitorowanie użytkowników udostępniających określone treści, a więc bez szczególnej ingerencji w ruch internetowy, tego rodzaju komunikacji nie można uznać za prywatną, a przez to chronioną art. 37 Konstytucji. Co więcej, w ocenie Sądu Najwyższego słoweńska policja nie pozyskała danych o ruchu dotyczących łączności elektronicznej skarżącego, ale jedynie dane dotyczące użytkownika określonego komputera, z użyciem którego korzystano z internetu.

E. Postępowanie przed Trybunałem Konstytucyjnym

25. Skarżący wniósł do Trybunału Konstytucyjnego skargę konstytucyjną, przywołując ponownie zarzuty przedstawiane przed sądami niższej instancji.

26. Trybunał Konstytucyjny zwrócił się do Komisarza ds. Informacji o wyrażenie stanowiska w tej sprawie. Komisarz ds. Informacji wyraziła pogląd, iż podstawą ustalenia tożsamości indywidualnego użytkownika łączności elektronicznej było dokładnie to, że komunikował się przez mniej lub bardziej dostępne publicznie strony internetowe. W ocenie Komisarz ds. Informacji nie sposób rozdzielić danych o ruchu od danych abonenta, ponieważ same dane o ruchu nie mają żadnego sensu, jeżeli nie zostanie ustalone, kim jest osoba stojąca za tymi danymi – druga z informacji jest zatem uznawana za niezwykle ważny element prywatności komunikacji. Komisarz ds. Informacji podkreślił również, że przepisy ustawy o łączności elektronicznej obowiązującej w czasie istotnym dla sprawy wymagały postanowienia sądu w odniesieniu do wszystkich danych dotyczących łączności elektronicznej, niezależnie od tego, czy miały one związek z danymi o ruchu czy danymi identyfikacyjnymi. W ocenie Komisarz ds. Informacji art. 149b ust. 3 ustawy o postępowaniu karnym, w świetle którego do uzyskania danych o osobie komunikującej się wymagany jest jedynie pisemny wniosek policji, jest problematyczny z perspektywy konstytucyjnej.

27. W dniu 13 lutego 2014 r. Trybunał Konstytucyjny oddalił skargę skarżącego, orzekając, że nie doszło do naruszenia jego praw konstytucyjnych. Orzeczenie Trybunału Konstytucyjnego zostało przyjęte siedmioma głosami do dwóch. Sędziowie J. Sovdat i D. Jadek Pensa przedstawili zdania odrębne. Orzeczenie doręczono skarżącemu w dniu 11 marca 2014 r.

1. Orzeczenie Trybunału Konstytucyjnego

28. Trybunał Konstytucyjny zauważył na wstępie, że poza treścią komunikatów art. 37 Konstytucji chroni również dane o ruchu, a więc dane przetwarzane na potrzeby przesyłania komunikatów w sieci łączności elektronicznej. Uznał, że adresy IP należą do tego rodzaju danych o ruchu. Trybunał Konstytucyjny uznał jednakże, że skarżący, który w żaden sposób nie ukrył adresu IP, za pośrednictwem którego uzyskał dostęp do internetu, świadomie ujawnił się publicznie i nie mógł w sposób uzasadniony oczekiwać prywatności. W rezultacie dane dotyczące tożsamości użytkownika adresu IP nie podlegają ochronie na podstawie prywatności komunikacji przewidzianej art. 37 Konstytucji, ale jedynie na podstawie prywatności informacji przewidzianej art. 38 Konstytucji, w związku z czym do ujawnienia ich w sprawie skarżącego nie było konieczności wydania postanowienia sądu.

29. Najistotniejsze fragmenty orzeczenia Trybunału Konstytucyjnego (na podstawie wersji angielskiej zamieszczonej na stronie internetowej Trybunału Konstytucyjnego):

„ Kontrola zarzutów dotyczących dostępu szwajcarskiej policji do adresu IP wnoszącego skargę

11. Art. 37 akapit drugi Konstytucji przewiduje wyższy poziom ochrony niż art. 8 EKPC, ponieważ wymaga wydania przez sąd postanowienia na potrzeby wszelkich ingerencji w prawo do prywatności komunikacji […]. Prawo do prywatności komunikacji przewidziane w art. 37 akapit pierwszy Konstytucji chroni przede wszystkim treść przekazywanych komunikatów. […] Poza treścią komunikatu ochronie podlegają również okoliczności i fakty związane z łącznością. Zgodnie z tym poglądem w orzeczeniu nr Up-106/05 z dnia 2 października 2008 r. (dziennik urzędowy RS nr 100/08 i OdlUS XVII, 84) Trybunał Konstytucyjny rozszerzył zakres ochrony przewidzianej art. 37 Konstytucji na dane dotyczące połączeń telefonicznych, które za sprawą swojego charakteru stanowią integralną część łączności, wskutek czego dane tego rodzaju nie mogą być pozyskane bez postanowienia sądu. Wspomniane orzeczenie odnosi się do komunikacji telefonicznej, ale ten sam wniosek można zastosować odpowiednio do innych rodzajów komunikacji zdalnej. Istotnym testem na potrzeby kontroli konstytucjonalnej prowadzonej przez Trybunał Konstytucyjny na potrzeby ustalenia, czy dany komunikat jest chroniony na podstawie art. 37 Konstytucji, jest test uzasadnionego oczekiwania prywatności.

12. Komunikacja przez internet odbywa się, co do zasady, w sposób anonimowy, który jest istotny dla swobodnego rozwoju osobowości, wolności wypowiedzi, wyrażania poglądów, a w rezultacie – dla rozwijania wolnego i demokratycznego społeczeństwa. Prywatność komunikacji chroniona ścisłymi warunkami określonymi w art. 37 akapit drugi Konstytucji jest zatem ważnym prawem człowieka, które zyskuje na znaczeniu za sprawą postępu technologicznego i powiązanych z nim coraz większych możliwości monitorowania łączności. Wiąże się ona z uzasadnionym oczekiwaniem jednostek, iż państwo zostawi je w spokoju również w odniesieniu do łączności z wykorzystaniem współczesnych kanałów porozumiewania się i że nie muszą bronić się w związku z tym, co robią, mówią, piszą lub myślą. Jeżeli zachodzi podejrzenie popełnienia przestępstwa, policja musi mieć możliwość ustalenia tożsamości osoby, która uczestniczyła w określonej komunikacji związanej z domniemanym czynem zabronionym, ponieważ sprawców trudniej wykryć z uwagi na anonimowość w internecie. Warunki, na których policja może prowadzić czynności dochodzeniowo-śledcze, jak również zasady dotyczące ewentualnej konieczności uzyskania postanowienia sądu, zależą jednak od tego, czy określone czynności wiążą się z ingerencją w prawo do prywatności komunikacji.

13. Jak wspomniano powyżej, poza tym, iż art. 37 Konstytucji chroni treść komunikacji, chroni również dane o ruchu. Dane o ruchu oznaczają wszelkie dane przetwarzane w celu przesyłania komunikatów w sieciach łączności elektronicznej i rozliczania takiego przesyłania. Oznacza to, że adres IP należy do kategorii danych o ruchu. Trybunał Konstytucyjny musi zatem odpowiedzieć na pytanie, czy wnoszący skargę w sposób uzasadniony oczekiwał prywatności w odniesieniu do tego rodzaju danych.

14. W związku z prowadzoną kontrolą sądową należało wziąć pod uwagę dwa czynniki: oczekiwanie prywatności co do adresu IP oraz zasadność tego oczekiwania, co oznacza, że musi mieć ono taki charakter, by społeczeństwo było skłonne uznać je za uzasadnione. Wnoszący skargę w rozpoznawanej sprawie komunikował się z innymi użytkownikami sieci Razorbac, korzystając z aplikacji eMule w celu przesyłania różnych plików, w tym plików zawierających pornografię dziecięcą. Co się tyczy ogólnej anonimowości użytkowników internetu oraz zawartości plików, Trybunał Konstytucyjny nie ma wątpliwości, że wnoszący skargę oczekiwał, że jego komunikaty pozostaną prywatnymi i z pewnością oczekiwał również, że nie dojdzie do ujawnienia jego tożsamości. Pytanie zatem brzmi, na ile takie oczekiwanie prywatności było uzasadnione. Wnoszący skargę nie wykazał, że adres IP, przez który uzyskał dostęp do internetu był w jakikolwiek sposób ukryty – a więc niewidoczny dla innych użytkowników – ani że dostęp do sieci Razorback (a zatem i zawartość plików) był w jakikolwiek sposób ograniczony, przykładowo hasłem lub innymi środkami. […] Wręcz przeciwnie, w sprawie wnoszącego skargę każda osoba zainteresowana wymianą takich danych mogła uzyskać dostęp do spornych plików, a wnoszący skargę nie wykazał, by jego adres IP został w jakikolwiek sposób ukryty lub by był niedostępny dla innych użytkowników tej sieci. Prowadzi to do stwierdzenia, że oznaczało to otwartą linię komunikacji z nieokreślonym uprzednio kręgiem obcych sobie osób korzystających z internetu na całym świecie, które wykazywały zainteresowanie udostępnianiem określonych plików, a jednocześnie dostęp do adresów IP pozostałych użytkowników nie był ograniczony do użytkowników tej sieci. Z tego względu w ocenie Trybunału Konstytucyjnego oczekiwanie przez wnoszącego skargę prywatności nie było uzasadnione; jeżeli osoba świadomie ujawnia się publicznie, nawet jeżeli czyni to z komputera domowego i zacisza własnego domu, nie może podlegać ochronie przewidzianej art. 37 Konstytucji. W świetle powyższego zaskarżone stanowisko Sądu Najwyższego nie budzi wątpliwości z perspektywy prawa konstytucyjnego. Zważywszy na wszystkie okoliczności sprawy, uzyskanie danych dotyczących dynamicznego adresu IP wnoszącego skargę nie godzi w jego prawo do prywatności komunikacji przewidziane w art. 37 akapit pierwszy Konstytucji, dlatego też do uzyskania ich nie było konieczne postanowienie sądu. Swoim postępowaniem wnoszący skargę sam zrzekł się prawa do prywatności, w związku z czym nie mógł w sposób uzasadniony oczekiwać prywatności.

[…]

Kontrola zarzutów dotyczących dostępu do danych dotyczących użytkownika określonego adresu IP

16. Wnoszący skargę zakwestionował również stanowisko Sądu Najwyższego, w myśl którego policja, zwracając się do dostawcy usług na podstawie art. 149.b ustawy o postępowaniu karnym, nie uzyskała danych o ruchu, ale jedynie dane dotyczące konkretnego użytkownika określonego środka komunikacji […].

17. W przedmiotowej sprawie w dniu 7 czerwca 2006 r., policja na podstawie art. 149.b akapit trzeci ustawy o postępowaniu karnym zwróciła się do dostawcy usług o przekazanie danych dotyczących użytkownika, któremu w dniu 20 lutego 2006 r. o godz.13:28 przypisany był adres IP 195.210.223.200. W odpowiedzi uzyskała ona dane dotyczące imienia i nazwiska oraz adresu użytkownika, natomiast czas komunikacji w przybliżeniu do sekundy był już znany. Następnie w dniu 14 grudnia 2006 r. policja uzyskała również postanowienie wydane przez sędziego prowadzącego postępowanie na podstawie art. 149.b ustawy o postępowaniu karnym, zaś dostawca usług przekazał dane o ruchu na podstawie tego postanowienia. Głównym zagadnieniem wymagającym rozstrzygnięcia przez Trybunał Konstytucyjny na tym etapie było ustalenie, czy uzyskanie danych dotyczących tożsamości użytkownika określonego adresu IP wchodzi w zakres prywatności komunikacji.

18. Zgodnie ze stanowiskiem Trybunału Konstytucyjnego zawartym w orzeczeniu nr Up-106/05 art. 37 Konstytucji chroni również dane o ruchu, tj. dane dotyczące przykładowo tego, kto, kiedy, z kim i jak często się porozumiewał. Tożsamość osób komunikujących się jest jednym z najważniejszych aspektów prywatności komunikacji, dlatego też zgodnie z art. 37 akapit drugi Konstytucji konieczne jest uzyskanie postanowienia sądu celem ujawnienia takiej informacji. Niezależnie od tego stanowiska Trybunał Konstytucyjny orzekł, że podnoszony przez wnoszącego skargę zarzut naruszenia art. 37 Konstytucji jest w przedmiotowej sprawie bezzasadny. Swoim postępowaniem wnoszący skargę zrzekł się ochrony prywatności, ujawniając publicznie zarówno swój adres IP, jak i treść komunikacji, w związku z czym nie mógł powoływać się następnie na taką ochronę w związku z ujawnieniem jego tożsamości. Ponieważ zrzekł się również uzasadnionego oczekiwania prywatności, dane dotyczące tożsamości użytkownika adresu IP nie podlegały już ochronie na podstawie prywatności komunikacji, lecz jedynie na podstawie prywatności informacji [poufności danych osobowych] przewidzianej art. 38 Konstytucji. Z tego względu ujawniając dane dotyczące imienia, nazwiska oraz adresu użytkownika dynamicznego adresu IP, przez który wnoszący skargę się komunikował, policja nie dokonała ingerencji w jego prywatność komunikacji, dlatego też do ujawnienia tożsamości nie było konieczne postanowienie sądu. W świetle powyższego zaskarżone stanowisko Sądu Najwyższego nie stoi w sprzeczności z art. 37 Konstytucji, a zarzuty wnoszącego skargę są w tej części bezpodstawne”.

2. Rozbieżna opinia odrębna sędzi J. Sovdat

30. Sędzia J. Sovdat przyjęła z zadowoleniem odejście od stanowiska Sądu Najwyższego, iż przedmiotowe informacje nie stanowią danych o ruchu. W jej ocenie policja, chcąc uzyskać informacje o tożsamości abonenta, powinna była wystąpić do sądu o wydanie postanowienia. Wskazała, że z wniosków Trybunału Konstytucyjnego wynika, że ochrona prywatności danych o ruchu wynika każdorazowo z ochrony treści komunikacji. W związku z powyższym dane o ruchu dotyczące określonej komunikacji podlegały ochronie, o ile chroniona była treść tej komunikacji. W rezultacie jednostka nie mogła korzystać z oddzielnej i niezależnej ochrony danych o ruchu. Sędzia Sovdat nie zgodziła się z tym poglądem, zaznaczając, że skarżący nie występował publicznie pod własnym imieniem i nazwiskiem, ale pod cyframi dynamicznego adresu IP.

31. Sędzia Sovdat zgodziła się z Komisarz ds. Informacji, że policja nie była zainteresowana kwestią własności urządzenia, ale „tożsamością osoby komunikującej się i dokładnie ze względu na jej komunikowanie się”. Poparła opinię Komisarz, iż „treść komunikacji sama w sobie nie ma szczególnej wagi bez ustalenia tożsamości osób komunikujących się”. Zauważyła również, że zgodnie z art. 166 i 168 nowej ustawy o łączności elektronicznej („UŁE 1”, zob. par. 39 poniżej), dostawca internetu nie może przekazywać przechowywanych danych bez postanowienia sądu. W porównaniu z art. 149b ust. 3 ustawy o postępowaniu karnym ustawa o łączności elektronicznej jest zdecydowanie bardziej współczesna, a zatem decyzja większości składu orzekającego stoi w sprzeczności z osiągniętym już poziomem ochrony praw.

3. Rozbieżna opinia odrębna sędzi D. Jadek Pensy

32. Sędzia D. Jadek Pensa podnosiła, że gwarancje konstytucyjne określone w art. 37 Konstytucji miały na celu wzmocnienie oczekiwania prywatności w tej dziedzinie życia i zapobieżenie nieproporcjonalnym ingerencjom oraz nadużyciom władzy przez przedstawicieli egzekutywy.

33. Co się tyczy oczekiwania przez skarżącego anonimowości w internecie, sędzia Jadek Pensa podnosiła, że żadne z danych ujawnionych publicznie przez wnoszącego skargę nie powodowały ujawnienia jego tożsamości. W jej ocenie właśnie anonimowość była tym, co uniemożliwiło policji powiązanie konkretnego komunikatu z konkretną osobą, a więc powiązanie dynamicznego adresu IP i osoby z jej imieniem i nazwiskiem oraz adresem. Argumentowała ponadto, że kwestia tego, czy sposób komunikowania się przez skarżącego mógł prowadzić do uznania, iż jego oczekiwanie prywatności nie było obiektywnie uzasadnione, powinna zostać rozstrzygnięta z uwzględnieniem wszystkich okoliczności, w tym przepisów obowiązujących w czasie istotnym dla sprawy. Wyjaśniła, że ustawa o łączności elektronicznej (art. 103 ust. 1 pkt 2, art. 104 ust. 1 i art. 107 – zob. par. 37 poniżej) zawierały wymóg, by dostawcy internetu usuwali dane o ruchu, gdy tylko przestaną one być potrzebne do przesyłania komunikatów. Co więcej, art. 107 ustawy o łączności elektronicznej stanowił, że ingerencja w tajemnicę komunikacji może nastąpić wyłącznie na podstawie decyzji właściwego organu. Pismo z policji skierowane do dostawcy internetu nie może być uznane za tego rodzaju decyzję. Zatem nawet jeżeli art. 149b ust. 3 ustawy o postępowaniu karnym może być interpretowany w taki sposób, że policja może zwrócić się o informacje na temat abonenta internetowego, nie powinno mieć to zastosowania do sytuacji wchodzących w zakres stosowania ustawy o łączności elektronicznej, które wprost dotyczą „ochrony tajemnicy i poufności łączności elektronicznej”. W przeciwnym razie przepisy byłyby sprzeczne. Sędzia uznała, że w świetle obowiązujących ram prawnych nie można było zatem dojść do wniosku, że skarżący, jako osoba rozsądnie i dostatecznie poinformowana, nie mógł oczekiwać prywatności, tzn. ochrony swojej anonimowości.

34. Sędzia Jadek Pensa w dalszej części poświęciła sporo uwagi neutralności danych o ruchu, takich jak dane dotyczące użytkownika określonego dynamicznego adresu IP:

„9. Element danych o ruchu – dynamiczny adres IP przypisany losowo w danym momencie – ujawnia, jak rozumiem, w jaki sposób internet był wykorzystywany na pewnym komputerze, ponieważ nieodłącznie wiąże się z konkretnym połączeniem. […] Dzieje się tak, ponieważ te dwa elementy danych tylko w połączeniu dają informację o tym, jak korzystano z internetu w sposób anonimowy, tj. w przedmiocie korzystania z internetu w związku ze zidentyfikowaną osobą. Ta kluczowa okoliczności neguje w mojej opinii pojęcie neutralności elementu danych dotyczących konkretnego użytkownika usług określonego (znanego) dynamicznego adresu IP, którego policja stara się ustalić z udziałem dostawcy usług, a mianowicie neutralności takiego elementu danych pod względem uniemożliwienia przekazania danych wykraczających poza imię i nazwisko oraz adres określonej osoby (która zawarła umowę abonamentu z dostawcą usług). Dokładnie z racji nieodłącznego powiązania tego elementu danych z konkretną komunikacją dane o ruchu wchodzą w zakres prywatności komunikacji podlegającej ochronie.

10. Nawet jeżeli dostawca przekazał policji „jedynie” dane identyfikujące osobę, która zawarła z nim umowę abonamentową, dostawca usług poprzez takie działanie – jak rozumiem – faktycznie przekazuje (w uproszczeniu) dane o ruchu w sieci łączności elektronicznej dotyczące tej osoby. Policja, jak już wyjaśniałam, chciała również ustalić więcej niż tylko imię i nazwisko określonej osoby, która zawarła umowę. Ponieważ, jak rozumiem, zwróciła się o dane o ruchu powiązane z konkretną osobą, powinna była działać zgodnie z art. 149.b ustawy o postępowaniu karnym i uzyskać postanowienie wydane przez sędziego prowadzącego sprawę”.

II. ISTOTNE PRZEPISY PRAWA KRAJOWEGO

A. Konstytucja

35. Artykuły 37 i 38 Konstytucji, które przewidują ochronę prywatności korespondencji i innych form porozumienia się, jak również ochronę danych osobowych, stanowią – odpowiednio – co następuje:

Artykuł 37

„Zapewnia się tajemnicę korespondencji i porozumiewania się za pomocą innych środków.

Na podstawie ustawy i gdy jest to konieczne dla podjęcia albo prowadzenia postępowania karnego lub dla bezpieczeństwa państwa, sąd może zezwolić na podjęcie czynności naruszających na określony czas tajemnicę korespondencji i porozumiewania się za pomocą innych środków oraz prawo do prywatności”.

Artykuł 38

„Zapewnia się ochronę danych osobowych. Zakazane jest wykorzystywanie danych osobowych sprzeczne z celem, dla którego zostały zebrane.

Zasady zbierania, przetwarzania i wykorzystywania a także kontroli oraz ochrony poufności danych osobowych określa ustawa.

Każdy ma prawo zapoznać się z dotyczącymi go danymi osobowymi oraz ma prawo do sądowej ochrony przed ich nadużyciem”.

B. Ustawa o postępowaniu karnym

36. Artykuł 149b ustawy o postępowaniu karnym (dziennik urzędowy nr 8/06) w rozdziale dotyczącym środków stosowanych przez policję w postępowaniu przygotowawczym, stanowi, co następuje:

„(1) Jeżeli występują powody, by podejrzewać, że doszło do popełnienia czynu zabronionego, za który sprawca ścigany jest z oskarżenia publicznego, dochodzi właśnie do jego popełnienia lub trwają przygotowania do takiego czynu, a informacje o komunikacji z użyciem sieci łączności elektronicznej są konieczne w celu wykrycia czynu zabronionego lub jego sprawcy, sędzia prowadzący sprawę może na wniosek prokuratora, który przedstawi uzasadnienie, nakazać operatorowi sieci łączności elektronicznej przekazanie informacji o uczestnikach, okolicznościach i faktach łączności elektronicznej, takich jak: liczba lub inna forma identyfikacji użytkowników usług łączności elektronicznej; rodzaj, data, godzina i czas trwania połączenia lub innej formy łączności elektronicznej; ilość przesłanych danych; oraz miejsce realizacji usługi łączności elektronicznej.

(2) Wniosek i postanowienie muszą mieć formę pisemną i zawierać informacje umożliwiające określenie środka łączności elektronicznej, wskazanie uzasadnienia, okres, dla którego wymagane są informacje, jak również inne ważne okoliczności uzasadniające zastosowanie określonego środka.

(3) Jeżeli istnieją podstawy, by przypuszczać, że doszło do popełnienia czynu zabronionego, za który sprawca ścigany jest z oskarżenia publicznego, dochodzi właśnie do popełnienia takiego czynu lub prowadzone jest przygotowanie do jego popełnienia, a informacje o właścicielu lub użytkowniku określonego środka łączności elektronicznej nie są dostępne w odpowiedniej książce teleadresowej, natomiast uzyskanie informacji o czasie korzystania ze środka łączności jest konieczne do wykrycia czynu zabronionego lub jego sprawcy, policja może żądać od operatora sieci łączności elektronicznej przekazania takich informacji na pisemny wniosek, bez zgody osoby, której takie informacje dotyczą.

(4) Operator sieci łączności elektronicznej nie może ujawniać swoim klientom lub osobom trzecim faktu, iż podał określone informacje sędziemu prowadzącemu sprawę (akapit pierwszy niniejszego artykułu) lub policji (akapit poprzedni) lub że ma taki zamiar”.

C. Ustawa o łączności elektronicznej

37. W czasie pozyskania przedmiotowych danych (sierpień 2006 r.) obowiązywała ustawa o łączności elektronicznej (zwana dalej „ustawą o łączności elektronicznej”, dziennik urzędowy nr 43/04 i 86/04). Ustawa służyła między innymi wdrożeniu dyrektywy 2002/58/WE (zob. par. 56 poniżej). Istotne znaczenie miały następujące przepisy:

Artykuł 1

Zakres ustawy

„Niniejsza ustawa reguluje warunki dostarczania sieci łączności elektronicznej oraz świadczenia usług sieci łączności elektronicznej […] określa prawa użytkowników […] reguluje ochronę tajemnicy i poufności łączności elektronicznej, jak również reguluje inne zagadnienia związane z łącznością elektroniczną”.

Artykuł 3

Stosowane pojęcia

„Pojęcia stosowane w niniejszej ustawie mają zastępujące znaczenie:

[…]

25. Dane o ruchu oznaczają wszelkie dane przetwarzane w celu przekazania komunikatu w sieci łączności elektronicznej lub rozliczania takiego przekazania.

[…]”.

Artykuł 103

Poufność łączności

„(1) Poufność komunikacji odnosi się do:

1. treści komunikacji;

2. danych o ruchu i danych lokalizacyjnych związanych z komunikacją wspomnianą w ust. (1) pkt 1 powyżej;

3. faktami i okolicznościami związanymi z nieudanymi próbami nawiązania połączeń.

(2) Operator i inna osoba zaangażowana w dostarczanie i świadczenie tego rodzaju działań musi zapewnić poufność komunikacji nawet po zaprzestaniu realizacji świadczenia, co do którego była zobowiązana do zapewnienia poufności.

(3) Podmioty odpowiedzialne na mocy ustępu (2) powyżej mogą uzyskać informacje o komunikacji, o której mowa w ustępie (1) powyżej wyłącznie w zakresie niezbędnym do świadczenia konkretnych ogólnodostępnych usług komunikacyjnych i mogą korzystać z tych informacji lub przekazywać je [ posreduje] innym w celu świadczenia ww. usług.

(4) Jeżeli operatorzy uzyskują informację o treści komunikacji lub rejestrują bądź zachowują komunikaty i dane o ruchu z nimi powiązane na podstawie ustępu (3) powyżej, muszą zawiadomić o tym użytkowników z chwilą zawierania umowy abonamentowej lub z chwilą rozpoczęcia świadczenia ogólnodostępnej usługi komunikacyjnej, jak również usunąć informację o treści komunikacji lub samych komunikatach, gdy jest to technicznie możliwe, a informacja ta przestaje być niezbędna do świadczenia konkretnej ogólnodostępnej usługi komunikacyjnej.

(5) Zakazane są wszystkie formy nadzoru lub przechwytywania komunikacji, takie jak nasłuchy, podsłuchy, rejestrowanie, przechowywanie i przekazywanie [ posredovanje] komunikacji, o której mowa w ust. (1), chyba że zezwolono na nie na podstawie ust. (4) powyżej lub na podstawie art. 107 niniejszej ustawy, lub jeżeli dana forma nadzoru lub przechwytywania komunikacji jest niezbędna do wysłania wiadomości (np. faksy, poczta elektroniczna, poczta głosowa i usługi SMS).

[…]”.

Artykuł 104

Dane o ruchu

„(1) Dane o ruchu dotyczące abonentów i użytkowników, przetwarzane i przechowywane przez operatorów, powinny być usuwane lub poddawane anonimizacji, gdy tylko przestają być konieczne do przekazywania wiadomości.

(2) Bez uszczerbku dla przepisu ust. (1) powyżej, operator może do czasu dokonania pełnej opłaty za usługę, ale nie przez okres dłuższy niż wynikający z terminu przedawnienia, zachowywać i przetwarzać dane o ruchu wymagane na potrzeby obliczenia i dokonania zapłaty w związku z połączeniem wzajemnym.

(3) Dla celów sprzedaży usług łączności elektronicznej lub świadczenia usług o wartości dodanej dostawca ogólnodostępnej usługi łączności elektronicznej może przetwarzać dane, o których mowa w ust. (1) powyżej, w zakresie i przez okres niezbędny do realizacji takich usług lub sprzedaży, ale jedynie wówczas, gdy abonent lub użytkownik, którego dotyczą dane, wydał uprzednio zgodę w tym zakresie. Abonenci lub użytkownicy przed wyrażeniem zgody muszą zostać poinformowani o rodzajach danych o ruchu, które są przetwarzane, a także okresie takiego przetwarzania. Użytkownik lub abonent ma prawo do wycofania swojej zgody w dowolnej chwili.

(4) Dla celów, o których mowa w ust. (2) powyżej, dostawca usługi musi określić w ogólnych warunkach świadczenia usługi, jakie dane będą podlegać zatrzymaniu i przetwarzaniu i przez jaki okres, a także zadeklarować, że dane będą przetwarzane zgodnie z przepisami dotyczącymi ochrony danych.

(5) Dane o ruchu mogą być przetwarzane na podstawie ust. (1)–(4) powyżej jedynie przez osoby podlegające operatorowi oraz obsługujące rozliczenia lub zarządzanie ruchem, kontakty z klientami, wykrywające oszustwa, sprzedające usługi łączności elektronicznej lub świadczące usługi o wartości dodanej, a przetwarzanie to musi ograniczać się do zakresu koniecznego do realizacji takich działań.

(6) Bez uszczerbku dla przepisów ust. (1), (2), (3) i (5) powyżej operator na pisemny wniosek właściwego organu określa na potrzeby rozstrzygnięcia sporów, w szczególności sporów dotyczących połączenia wzajemnego lub rozliczenia, i zgodnie z obowiązującymi przepisami przekazuje takiemu organowi dane o ruchu”.

Artykuł 107

Zgodne z prawem przechwytywanie komunikatów

„[…] (2) Operator powinien umożliwić zgodne z prawem przechwytywanie komunikatów w określonym punkcie publicznej sieci łączności, gdy tylko otrzyma odpis części właściwej postanowienia wydanego przez właściwy organ wskazujący punkt […] zgodnego z prawem przychwytywania komunikatów, jak również inne dane dotyczące sposobu, zakresu i okresu zastosowania tego środka”.

38. Kolejna nowelizacja ustawy o łączności elektronicznej, tj. ustawa o zmianie ustawy o łączności elektronicznej, przyjęta w dniu 28 listopada 2006 r., a więc po zastosowaniu spornego środka w przedmiotowej sprawie (Dziennik Urzędowy nr 129/06), regulowały kwestię zachowania danych o ruchu na potrzeby – między innymi – postępowań karnych. Obejmowało to dane niezbędne do zidentyfikowania źródła łączności, takie jak imię i nazwisko oraz adres abonenta, któremu przypisano określony adres IP, dane konieczne do zidentyfikowania adresata komunikatów, jak również dane konieczne do określenia daty, godziny i czasu trwania komunikacji (artykuł 107.a i 107.b). Nie dokonano rozróżnienia między statycznymi a dynamicznymi adresami IP. Co więcej, w myśl zmiany wprowadzonej art. 107.č, operator miał obowiązek zapewnić dostęp do zachowanych danych lub przekazać je niezwłocznie i nie później niż trzy dni od otrzymania odpisu „postanowienia” wydanego przez „właściwy organ”. Artykuł 107.e ustawy po nowelizacji stanowił, iż „sąd, który nakazał udostępnienie określonych danych, prowadzi rejestr danych dotyczących postanowień w przedmiocie udostępnienia i przekazania zatrzymanych danych”. Ustanowiono również procedurę sprawozdawczości dotyczącej dostępu do zatrzymywanych danych: sądy składają sprawozdania do Ministerstwa Sprawiedliwości, a ministerstwo – do Komisji Europejskiej.

39. W dniu 20 grudnia 2012 r. przyjęto nową ustawę o łączności elektronicznej (zwaną dalej „nową ustawą o łączności elektronicznej”, dziennik urzędowy 109/2012). Artykuły 166 i 168 stanowią, co następuje:

Artykuł 166

Przekazywanie zatrzymanych danych organom właściwym

„(1) Operator musi niezwłocznie lub bez zbędnej zwłoki przekazać zatrzymane dane, gdy tylko otrzyma odpis właściwej części postanowienia wydanego przez właściwy organ zawierającego wszystkie wymagane informacje co do zakresu dostępu.

[…]

(4) Operator nie może ujawnić postanowienia osobom, których postanowienie […] dotyczy ani osobom trzecim, ani też nie może ujawnić faktu przekazania lub zamiaru przekazania zatrzymanych danych właściwemu organowi na mocy niniejszego artykułu.

[…]

(7) Komisarz ds. informacji monitoruje realizację przez dostawców usług obowiązków wynikających z niniejszego artykułu, o ile nie podlegają oni nadzorowi innych organów właściwych na podstawie innych ustaw”.

Artykuł 168

Postanowienie w przedmiocie udostępniania i przekazywania danych

„(1) Sąd, który nakazał udostępnienie danych, prowadzi rejestr postanowień w przedmiocie udostępnienia i przekazania zatrzymanych danych na podstawie art. 166 niniejszej ustawy, który zawiera:

1. liczbę spraw, w których wydano postanowienia nakazujące udostępnienie zatrzymanych danych;

2. wskazanie daty lub okresu, dla którego nakazano przekazanie danych, datę wydania przez właściwy organ postanowienia w przedmiocie udostępnienia danych oraz datę przekazania danych;

3. liczbę spraw, w których nie możliwe było wykonanie postanowienia w przedmiocie udostępnienia zatrzymanych danych.

(2) Sąd właściwy przekazuje rejestr, o którym mowa w ust. (1), za dany rok ministerstwu odpowiedzialnemu za wymiar sprawiedliwości nie później niż do 31 stycznia kolejnego roku.

(3) Ministerstwo odpowiedzialne za wymiar sprawiedliwości na podstawie rejestrów uzyskanych ze wszystkich sądów opracowuje wspólne sprawozdanie na temat dostępu do zatrzymanych danych nie później niż do 20 lutego każdego roku za rok poprzedni. Przekazuje je ministerstwu, które z kolei przekazuje je bez zbędnej zwłoki Komisji Europejskiej i komisji Zgromadzenia Narodowego odpowiedzialnej za nadzór nad wywiadem i służbami bezpieczeństwa.

(4) Ministerstwo odpowiedzialne za wymiar sprawiedliwości po uzyskaniu uprzednio opinii Prezesa Sądu Najwyższego Republiki Słowenii wydaje zarządzenie w sprawie wzoru sprawozdań opracowywanych na podstawie niniejszego artykułu”.

D. Ustawa o ochronie danych osobowych

40. W następstwie uzyskania przez Słowenię statusu państwa członkowskiego Unii Europejskiej Parlament Słowenii przyjął w dniu 15 lipca 2004 r. nową ustawę o ochronie danych osobowych (dziennik urzędowy nr 86/04), opartą na dyrektywie 95/46/WE (zob. par. 53 poniżej). W istotnym zakresie stanowi ona, co następuje:

„Artykuł 1

Przedmiot ustawy

W niniejszej ustawie określono prawa, obowiązki, zasady i środki służące zapobieganiu niekonstytucjonalnemu i nieuzasadnionemu ingerowaniu w prywatność i godność jednostki (zwanej dalej „jednostką”) w toku przetwarzania danych osobowych.

Artykuł 6

Znaczenie pojęć

Pojęcia stosowane w niniejszej ustawie mają zastępujące znaczenie:

1. Dane osobowe – wszelkie dane dotyczące jednostki, niezależnie od formy, w jakiej są wyrażone.

2. Osoba – zidentyfikowana lub możliwa do zidentyfikowania osoba fizyczna, której dotyczą dane osobowe; osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość, o ile metoda identyfikacji nie wiąże się z poniesieniem istotnych kosztów lub nieproporcjonalnego wysiłku lub nie jest bardzo czasochłonna.

[…]

18. Anonimizacja – zmiana formatu danych osobowych w taki sposób, że nie mogą one już zostać powiązane z osobą lub że powiązania takiego można dokonać jedynie pod warunkiem podjęcia nieproporcjonalnego wysiłku lub poświęcenia czasu.

19. Dane osobowe wrażliwe – dane dotyczące pochodzenia rasowego, przynależności państwowej lub pochodzenia etnicznego, przekonań politycznych, religijnych lub światopoglądowych, przynależności do związków zawodowych, stanu zdrowia, życia seksualnego […]”.

41. Artykuł 2 ustawy o ochronie danych osobowych stanowił, że dane osobowe należy przetwarzać zgodnie z prawem i rzetelnie. Artykuł 8 stanowił, że dane osobowe można przetwarzać, jeżeli przewiduje to ustawa, lub na podstawie zgody wydanej przez osobę, na którą przetwarzanie ma wpływ. Zgodnie z art. 12 dane osobowe można przetwarzać bez innej podstawy prawnej, jeżeli jest to niezbędne dla ochrony zdrowia lub życia osoby.

42. Ustawa o ochronie danych osobowych przewidywała również, że dane mogą być gromadzone jedynie w określonych i zgodnych z prawem celach i tak też przetwarzane (art. 16), a ponadto mogą być gromadzone i wykorzystywane jedynie pod warunkiem, iż jest to konieczne do realizacji tych celów (art. 21). Następnie powinny być one usunięte, zniszczone, zablokowane lub poddane anonimizacji (ibid). W ustawie określono również środki i procedury, które powinny być podejmowane przez operatorów i osoby przetwarzające dane na podstawie umów w celu zabezpieczenia danych osobowych oraz zapobiegania przypadkowemu lub celowemu nieuprawnionemu zniszczeniu danych, ich zmianie lub nieuprawnionemu przetwarzaniu (art. 24 i 25).

E. Kodeks karny

43. Kodeks karny mający zastosowanie w czasie istotnym dla sprawy w art. 187 zawierał zakaz przedstawiania materiałów pornograficznych małoletnim poniżej czternastego roku życia oraz wytwarzania i dystrybuowania materiałów pornograficznych z udziałem małoletnich. Odpowiednie przepisy stanowiły, co następuje:

„[…]

(2) Kto wykorzystuje osobę małoletnią w celu wyprodukowania pornograficznych obrazów, materiałów audiowizualnych lub innych przedmiotów o treści pornograficznej bądź wykorzystuje osobę małoletnią w działaniu o charakterze pornograficznym podlega karze pozbawienia wolności od sześciu miesięcy do pięciu lat.

(3) Kto produkuje, dystrybuuje, sprzedaje, importuje lub eksportuje materiały pornograficzne lub inne materiały o charakterze seksualnym przedstawiające osoby małoletnie, dostarcza je w inny sposób lub posiada takie materiały z zamiarem produkcji, dystrybucji, sprzedaży, importu, eksportu lub oferowania w inny sposób podlega tej samej karze, o której mowa w ust. (2).

[…]”.

F. Orzeczenie Trybunał Konstytucyjnego Up-106/05 z dnia 2 października 2008 r.

44. Sprawa o sygn. Up-106/05 dotyczyła wnoszącego skargę, który został skazany za nielegalną produkcję i handel narkotykami na podstawie danych (listy numerów telefonów i wiadomości tekstowych) uzyskanych z jego karty SIM bez postanowienia sądu. Podnosił on w skardze, że skazanie go było bezprawne ze względu na wykorzystanie materiału dowodowego pozyskanego niezgodnie z prawem, jako że policja monitorowała aktywność jego telefonu komórkowego bez postanowienia sądu. Trybunał Konstytucyjny uwzględnił skargę i uchylił wyroki sądów niższych instancji.

45. Trybunał Konstytucyjny uznał, że ochronie podlega nie tylko treść komunikacji, ale również okoliczności i fakty z nią związane, włączając w to dane przechowywane w pamięci telefonu, stanowiące integralny element prywatności komunikacji. Z tego względu uzyskanie danych na temat ostatniego wybranego numeru i ostatniego nieodebranego połączenia wiąże się z analizą treści i okoliczności komunikacji, a w konsekwencji z ingerencją w prawo przewidziane w art. 37 akapit pierwszy Konstytucji. Trybunał Konstytucyjny zauważył, że taka ingerencja zgodnie z art. 37 akapit drugi jest dopuszczalna, o ile spełnione zostaną następujące warunki: (1) ingerencja jest przewidziana ustawą; (2) ingerencja jest dozwolona na podstawie postanowienia sądu; (3) okres ingerencji jest ściśle określony; oraz (4) ingerencja jest konieczna w celu wszczęcia lub prowadzenia postępowania karnego lub ze względów bezpieczeństwa narodowego.

III. ISTOTNE PRZEPISY PRAWA MIĘDZYNARODOWEGO

A. Konwencja o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych

46. Konwencja o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (otwarta do podpisu w dniu 28 stycznia 1981 r., Seria Traktatów Europejskich nr 108, zwana dalej „Konwencją z 1981 r.”) została ratyfikowana przez wszystkie państwa członkowskie Rady Europy , a w Słowenii weszła w życie w dniu 1 września 1994 r. W art. 1 określono przedmiot i cel konwencji, którym było „zapewnienie każdej osobie fizycznej, bez względu na narodowość lub miejsce zamieszkania, poszanowania jej praw i podstawowych wolności na terytorium każdej ze stron konwencji, a w szczególności jej prawa do prywatności w związku z automatycznym przetwarzaniem dotyczących jej danych osobowych (»ochrona danych«)”. Konwencja z 1981 r. – między innymi – chroni osoby fizyczne przed nadużyciami i ma zastosowanie do wszelkiego rodzaju przetwarzania danych prowadzonego zarówno w sektorze prywatnym, jak i publicznym, w tym przetwarzania danych przez organy wymiaru sprawiedliwości oraz organy ścigania. W art. 2 „dane osobowe” określono jako każdą informację dotyczącą osoby fizycznej o określonej tożsamości lub dającej się zidentyfikować. W art. 5 przewidziano wymóg, by dane osobowe będące przedmiotem automatycznego przetwarzania były pozyskiwane rzetelnie i zgodnie z prawem.

B. Konwencja o cyberprzestępczości

47. Konwencja o cyberprzestępczości (otwarta do podpisu w dniu 23 listopada 2001 r.; weszła w życie z dniem 1 lipca 2004 r., Seria Traktatów Europejskich nr 185; zwana dalej „Konwencją o cyberprzestępczości”) stała się skuteczna w Słowenii z dniem 1 stycznia 2005 r.

48. Konwencja o cyberprzestępczości jest pierwszym międzynarodowym traktatem dotyczącym przestępstw popełnianych przez internet i jest otwarta dla wszystkich państw. Przewidziano w niej wymóg, by państwa uznały za przestępstwa między innymi pornografię dziecięcą.

49. W artykule 1 na potrzeby Konwencji o cyberprzestępczości zdefiniowano „dane dotyczące ruchu” [dane o ruchu] jako „dowolne dane informatyczne odnoszące się do komunikowania się za pomocą systemu informatycznego, wygenerowane przez system informatyczny, który utworzył część w łańcuchu komunikacyjnym, wskazujące swoje pochodzenie, przeznaczenie, ścieżkę, czas, datę, rozmiar, czas trwania lub rodzaj danej usługi”. W odpowiedniej części Uzasadnienia stwierdzono, co następuje (pkt 30):

„»Pochodzenie« odnosi się do numeru telefonu, adresu protokołu internetowego lub podobnego identyfikatora infrastruktury komunikacyjnej, na rzecz której usługodawca świadczy usługi. »Przeznaczenie« oznacza porównywalne wskazanie infrastruktury komunikacyjnej, do której przesyłane są komunikaty. Termin »rodzaj danej usługi« odnosi się do rodzaju usługi wykorzystywanego w ramach sieci, np. transfer plików, poczta elektroniczna lub komunikator internetowy”.

50. Zgodnie z Konwencją o cyberprzestępczości organy w celu zwalczania przestępczości powinny mieć dostęp do następujących środków:

„Artykuł 18 – Nakaz dostarczenia

1. Każda Strona przyjmie odpowiednie środki prawne i inne, które mogą być potrzebne dla nadania właściwym organom uprawnień do nakazania:

[…]

b) dostawcy usług oferowanych na terytorium Strony przekazania informacji odnoszących się do abonenta takich usług, znajdujących się w posiadaniu lub pod kontrolą tego dostawcy usług.

2. Uprawnienia i procedury wymienione w niniejszym artykule podlegają artykułom 14 i 15.

3. Dla celów niniejszego artykułu pojęcie »informacje odnoszące się do abonenta« oznacza wszelkie informacje w postaci danych informatycznych lub w dowolnej innej postaci, znajdujące się w posiadaniu dostawcy usług i odnoszące się do użytkowników tych usług, inne niż dane dotyczące ruchu lub treści, które pozwalają na ustalenie:

a) rodzaju usług komunikacyjnych, z jakich korzysta użytkownik, zastosowanych w związku z tym rozwiązań technicznych oraz okresu usługi;

b) tożsamości użytkownika, adresu pocztowego lub geograficznego, numeru telefonu lub innego numeru dostępu, wykazu połączeń i informacji o płatnościach dostępnych na podstawie umowy lub ustaleń dotyczących usługi;

c) wszelkich innych informacji związanych z miejscem zainstalowania sprzętu komunikacyjnego, dostępnych na podstawie umowy lub ustaleń dotyczących usługi”.

„Artykuł 20 – Gromadzenie w czasie rzeczywistym danych dotyczących ruchu

1. Każda Strona przyjmie odpowiednie środki prawne i inne, które mogą być potrzebne dla nadania właściwym organom uprawnień w zakresie:

a) gromadzenia lub rejestrowania przy pomocy środków technicznych istniejących na jej terytorium;

b. zmuszenia dostawcy usług, aby w ramach możliwości technicznych, jakimi dysponuje:

i. gromadził lub rejestrował przy pomocy środków technicznych istniejących na jej terytorium, lub

ii. współpracował i udzielał pomocy właściwym organom przy gromadzeniu lub rejestrowaniu,

w czasie rzeczywistym, danych dotyczących ruchu, wiążących się z konkretnymi przekazami realizowanymi na jej terytorium przy użyciu środków informatycznych.

[…]

4. Uprawnienia i procedury wymienione w niniejszym artykule podlegają artykułom 14 i 15”.

„Artykuł 21 – Przechwytywanie danych dotyczących treści

1. Każda Strona przyjmie odpowiednie środki prawne i inne, które mogą być potrzebne dla nadania właściwym organom uprawnień w zakresie:

a) gromadzenia lub rejestrowania przy pomocy środków technicznych istniejących na jej terytorium;

b. zmuszenia dostawcy usług, aby w ramach możliwości technicznych, jakimi dysponuje:

i. gromadził lub rejestrował przy pomocy środków technicznych istniejących na jej terytorium, lub

ii. współpracował i udzielał pomocy właściwym organom przy gromadzeniu lub rejestrowaniu,

w czasie rzeczywistym, danych dotyczących treści konkretnych przekazów realizowanych na jej terytorium przy użyciu środków informatycznych.

[…]

4. Uprawnienia i procedury wymienione w niniejszym artykule podlegają artykułom 14 i 15”.

51. Co się tyczy nakazu dostarczenia uzasadnienie do Konwencji o cyberprzestępczości (Budapeszt, 23 listopada 2001 r., Seria Traktatów Europejskich nr 185) stanowi, że w toku postępowania przygotowawczego informacje o abonencie mogą być konieczne głównie w dwóch sytuacjach. Po pierwsze, w celu określenia, które usługi i powiązane środki techniczne były wykorzystywane lub są wykorzystywane przez abonenta, takie jak rodzaj wykorzystywanej usługi telefonicznej, rodzaj innych wykorzystywanych usług powiązanych (przykładowo przekierowanie połączeń, poczta głosowa) lub numer telefonu lub inny adres techniczny (przykładowo adres e-mail). Po drugie, jeżeli adres techniczny jest znany, informacje o abonencie są konieczne do pomocy w ustaleniu tożsamości danej osoby. Zgodnie z uzasadnieniem nakaz dostarczenia stanowi mniej ingerujący i mniej obciążający środek, jaki organy ścigania mogą zastosować, w porównaniu ze środkami takimi jak przechwytywanie danych dotyczących treści oraz gromadzenie danych dotyczących ruchu w czasie rzeczywistym, które to środki muszą lub mogą być ograniczone wyłącznie do przypadków poważnych przestępstw.

52. Konwencja o cyberprzestępczości wymaga, by wspomniane środki przewidziane w art. 18, 20 i 21 były stosowane z uwzględnieniem warunków określonych w art. 14 i 15, które stanowią, co następuje:

„Artykuł 14 – Zakres przepisów proceduralnych

1. Każda Strona przyjmie odpowiednie środki prawne i inne, które są niezbędne dla ustanowienia uprawnień i procedur przewidzianych w niniejszej części dla celów prowadzenia specjalnych dochodzeń i postępowań karnych.

[…]”.

„Artykuł 15 – Warunki i gwarancje

1. Każda Strona zapewni, że ustanowienie, wdrożenie i stosowanie uprawnień i procedur, o jakich mowa w niniejszej części, podlega warunkom i gwarancjom przewidzianym w ich prawie wewnętrznym, które powinny zagwarantować odpowiednią ochronę wolności i praw człowieka, w tym praw wynikających – zgodnie z podjętymi zobowiązaniami – z Konwencji Rady Europy z 1950 roku o Ochronie Praw Człowieka i Podstawowych Wolności, Międzynarodowego Paktu Praw Obywatelskich i Politycznych z 1966 roku oraz innych mających zastosowanie międzynarodowych instrumentów z zakresu praw człowieka, i które powinny być oparte na zasadzie proporcjonalności.

2. Takie warunki i gwarancje powinny obejmować, stosownie do rodzaju danego uprawnienia lub procedury, m.in. sądową lub inną niezależną kontrolę, podawanie uzasadnienia dla ich stosowania, ograniczenia co do zakresu i czasu stosowania takich uprawnień i procedur”.

IV. ISTOTNE PRZEPISY PRAWA UNII EUROPEJSKIEJ

A. Dyrektywa 95/46/WE i rozporządzenie (UE) 2016/679

53. Artykuł 2 ust. 1 lit. a) dyrektywy Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995 L 281, s. 31, zwanej dalej „dyrektywą w sprawie ochrony danych osobowych”) stanowi, iż „dane osobowe” oznaczają „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dane dotyczą«)”. Co więcej, zgodnie ze wspomnianym przepisem „osoba możliwa do zidentyfikowania” to „osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość”. Dyrektywa w sprawie ochrony danych osobowych nie ma zastosowania w dziedzinie policji i wymiaru sprawiedliwości w sprawach karnych.

54. Motyw 26 stanowi, że przy określaniu, czy osoba jest możliwa do zidentyfikowania, „należy wziąć pod uwagę wszystkie sposoby, jakimi [można] posłużyć się […] w celu zidentyfikowania owej osoby”; zasady ochrony danych nie mają zastosowania do danych, którym nadano anonimowy charakter w taki sposób, że podmiot danych nie będzie mógł być zidentyfikowany.

55. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016 L 119/1, s. 1) weszło w życie w dniu 24 maja 2016 r. Gdy stanie się skuteczne (25 maja 2018 r.), zastąpi dyrektywę w sprawie ochrony danych osobowych. W art. 4 „możliwą do zidentyfikowania osobę” zdefiniowano jako „osobę, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy […]”. Ponadto motyw 26 stanowi, że przy stwierdzeniu, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby „należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny”. W dalszej części wyjaśniono, iż: „zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować”.

B. Dyrektywa 2002/58/EC

56. Ponadto, konkretnie w odniesieniu do dziedziny łączności elektronicznej w dniu 12 lipca 2002 r. przyjęto dyrektywę 2002/58/WE dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. 2002 L 201, s. 37). Nie ma ona zastosowania do sektora policji i wymiaru sprawiedliwości w sprawach karnych, ale ujednolica przepisy państw członkowskich wymagane do zapewnienia równoważnego poziomu ochrony podstawowych praw i swobód, w szczególności prawa do prywatności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej. W art. 2 „użytkownika” zdefiniowano jako „każdą osobę fizyczną korzystającą z publicznie dostępnych usług łączności elektronicznej, do celów prywatnych lub handlowych, niekoniecznie na podstawie abonamentu za te usługi”. W dalszej części zdefiniowano „dane o ruchu” jako „wszelkie dane przetwarzane do celów przekazywania komunikatu w sieci łączności elektronicznej lub naliczania opłat za te usługi”. Co więcej, „komunikat” zdefiniowano jako „każdą informację wymienianą lub przekazaną między określoną liczbą stron za pośrednictwem usług publicznie dostępnej łączności elektronicznej”.

C. Decyzja ramowa Rady 2008/977/WSiSW i dyrektywa (UE) 2016/680

57. Decyzja ramowa Rady 2008/977/WSiSW z dnia 27 listopada 2008 r. w sprawie ochrony danych osobowych przetwarzanych w ramach współpracy policyjnej i sądowej w sprawach karnych (Dz.U. 2008 L 350, s. 60, zwana dalej „decyzją ramową w sprawie ochrony danych osobowych”) służy zapewnieniu ochrony danych osobowych osób fizycznych, których dane osobowe są przetwarzane na potrzeby zapobiegania przestępstwom, ich ścigania, wykrywania lub karania lub w celu wykonywania sankcji karnych. Decyzja ramowa w sprawie ochrony danych osobowych opiera się w dużej mierze na zasadach i definicjach zawartych w Konwencji z 1981 r. oraz dyrektywie w sprawie ochrony danych osobowych.

58. Dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016 L 119, s. 89) uregulowano postępowanie przez właściwe organy – takie jak policja czy organy wymiaru sprawiedliwości w sprawach karnych – z danymi na potrzeby – między innymi – prowadzenia postępowań przygotowawczych i ścigania przestępstw. Artykuł 3 ust. 1 zawiera tę samą definicję „możliwej do zidentyfikowania osoby fizycznej”, a motyw 21 – to samo wyjaśnienie dotyczące sposobów identyfikowania, co ogólne rozporządzenie o ochronie danych (zob. par. 55 powyżej). Ponadto w art. 4 zawarto wymóg, by dane osobowe były przetwarzane – między innymi – zgodnie z prawem i rzetelnie. Artykuł 1 ust. 3 stanowi, że państwa członkowskie mogą ustanowić zabezpieczenia wyższe niż zawarte w dyrektywie.

59. Dyrektywa zastąpiła decyzję ramową 2008/977/WSiSW ze skutkiem od dnia 6 maja 2018 r.

D. Wybrane orzeczenia Trybunału Sprawiedliwości Unii Europejskiej

60. Co się tyczy pojęcia „danych osobowych” w rozumieniu art. 2 lit. a) dyrektywy w sprawie ochrony danych osobowych, Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzekł w wyroku z dnia 24 listopada 2011 r. wydanym w sprawie Scarlet Extended, C-70/10, EU:C:2011:771, pkt 51, że adresy IP użytkowników „stanowią chronione dane osobowe, jako że pozwalają na precyzyjną identyfikację tych użytkowników”.

61. W swoim wyroku z dnia 19 października 2016 r. wydanym w sprawie Breyer, C-582/14, EU:C:2016:779, TSUE zajmował się kwestią szczególnego charakteru dynamicznych adresów IP. Zauważył:

„(15) Adresy IP stanowią ciągi liczb, które są przypisywane komputerom podłączonym do Internetu, aby umożliwić ich komunikację za pomocą tej sieci. Przy konsultowaniu strony internetowej adres IP komputera wykorzystywanego do konsultacji danej strony jest przesyłany do serwera, na którym jest zarejestrowana konsultowana strona. Jest to konieczne, by konsultowane dane można było przesłać odpowiedniemu odbiorcy.

(16) Ponadto z postanowienia odsyłającego oraz z akt sprawy, którymi dysponuje Trybunał, wynika, że dostawcy dostępu do Internetu przyznają użytkownikom Internetu bądź »statyczny« adres IP, bądź »dynamiczny« adres IP, który zmienia się przy okazji każdego nowego połączenia z Internetem. W odróżnieniu od statycznych adresów IP, dynamiczne adresy IP nie umożliwiają powiązania – za pomocą publicznie dostępnych plików – danego komputera i fizycznego podłączenia do sieci wykorzystywanego przez dostawcę dostępu do Internetu”.

62. TSUE wyraził pogląd, że dynamiczny adres IP nie stanowi informacji odnoszącej się „zidentyfikowanej osoby fizycznej”, jako że taki adres nie ujawnia bezpośrednio tożsamości osoby fizycznej będącej właścicielem komputera, z którego była przeglądana strona internetowa, ani tożsamości innej osoby, która mogłaby korzystać z tego komputera (ibid, pkt 38). TSUE przeszedł w dalszej kolejności do ustalenia, czy dynamiczny adres IP, w tym przypadku zarejestrowany przez dostawcę usług medialnych online, może być traktowany jako dane dotyczące „możliwej do zidentyfikowania osoby fizycznej” w rozumieniu art. 2 lit. a) dyrektywy w sprawie ochrony danych. W celu TSUE, powołując się na motyw 26, rozważał, czy możliwość powiązania dynamicznego adresu IP, który w rozpoznawanej sprawie był w posiadaniu dostawcy usług medialnych online, z dodatkowymi danymi będącymi w posiadaniu dostawcy usługi internetowej stanowiło rozsądny sposób, jakim można posłużyć się w celu zidentyfikowania osoby, której dane dotyczą (pkt 41 i 45). TSUE wyciągnął w tym względzie następujący wniosek:

„(49) W świetle całości powyższych rozważań na pytanie pierwsze należy odpowiedzieć, iż art. 2 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że dynamiczny adres IP zarejestrowany przez dostawcę usług medialnych online przy okazji przeglądania przez daną osobę strony internetowej, którą dostawca ten udostępnia publicznie, stanowi wobec tego dostawcy dane osobowe w rozumieniu tego przepisu, w sytuacji gdy dysponuje on środkami prawnymi umożliwiającymi mu zidentyfikowanie osoby, której dane dotyczą, dzięki dodatkowym informacjom, jakimi dysponuje dostawca dostępu do Internetu dla tej osoby”.

V. KOMPARATYSTYKA PRAWNA

A. Niemiecki Federalny Trybunał Konstytucyjny

63. Skarżący powołał się na wyrok niemieckiego Federalnego Trybunału Konstytucyjnego („BVerfG”) z dnia 24 stycznia 2012 r., BVerfG, 1 BvR 1299/05. BVerfG częściowo uwzględnił zarzuty dotyczące między innymi ręcznego pozyskiwania informacji o dynamicznych adresach IP przechowywanych przez dostawców usług telekomunikacyjnych.

64. Zgodnie z art. 113 ustawy o telekomunikacji (zwanej dalej „ustawą o telekomunikacji”) dostawcy usług telekomunikacyjnych mieli obowiązek dostarczać na wniosek właściwych organów (w tym organów ścigania) informacje o pewnych zgromadzonych danych, między innymi w celu ścigania przestępstw kryminalnych lub administracyjnych. Zaskarżony przepis ustawy miał pozwolić – w miarę możliwości – na przypisanie wszystkich numerów telekomunikacyjnych odpowiednim abonentom (a w rezultacie – w miarę możliwości – ich użytkownikom). Jak stwierdził BVerfG, przepis nie przewidywał konkretnych progów ingerencji, które definiowałyby jego zakres w sposób bardziej szczegółowy. Zamiast tego zezwalał na przekazanie informacji w konkretnej sprawie zawsze, jeżeli było to konieczne do realizacji wspomnianych obowiązków. BVerfG nie uznał tego za samo w sobie niekonstytucyjne. Powstało jednak pytanie, czy zaskarżony przepis obejmował również informacje o właścicielu dynamicznego adresu IP. Na wstępie BVerfG odniósł się do sprawy powiązania między informacją o abonencie a istniejącą wcześniej informacją dotyczącą treści, do której można go przypisać. Orzekł, co następuje (§113, cytat za tłumaczeniem zamieszczonym na stronie BVerfG):

„[…] tajemnica telekomunikacji [art. 10 ust. 1 ustawy zasadniczej] nie chroni poufności okoliczności każdego świadczenia usług telekomunikacyjnych, jak przykładowo przypisania numerów telekomunikacyjnych przydzielonych przez dostawców usług konkretnym abonentom”.

65. BVerfG przeszedł następnie do uwag na temat rozróżnienia między statycznymi a dynamicznymi adresami IP, stwierdzając, co następuje (§115 i 116):

„[…] przypisanie statycznego adresu IP konkretnemu abonentowi, a mówiąc ściślej – sieciowemu interfejsowi abonenta – co do zasady daje również pośrednią informację o konkretnym zdarzeniu telekomunikacyjnym z udziałem danej osoby, ponieważ tego rodzaju adresy, nawet jeżeli są statyczne, są zarejestrowane i podlegają przypisaniu określającemu osobę nieomal wyłącznie w związku z konkretnymi zdarzeniami komunikacyjnymi. Niemniej jednak również w takim przypadku przekazanie informacji w związku z tym ogranicza się wyłącznie do abstrakcyjnego przypisania numeru i abonenta.

[…] Z kolei sytuacja wygląda inaczej, gdy dynamiczne adresy IP przypisuje się zidentyfikowanym osobom, ponieważ takie adresy są szczególnie ściśle powiązane z konkretnymi zdarzeniami telekomunikacyjnymi. Takie przypisanie należy do dziedziny objętej ochroną na podstawie art. 10 ust. 1 ustawy zasadniczej. Również jednak i w tym przypadku nie wynika to automatycznie z faktu, że przypisanie dynamicznego adresu IP w sposób konieczny zawsze wiąże się z konkretnym zdarzeniem telekomunikacyjnym, o którym zatem pośrednio przekazuje informacje. Dzieje się tak ponieważ również w przypadku tego połączenia sama informacja dotyczy wyłącznie danych abstrakcyjnie przypisanych abonentowi. Nie zachodzi zatem fundamentalna różnica względem sytuacji przypisania statycznych adresów IP. Niemniej jednak zastosowanie art. 10 ust. 1 ustawy zasadniczej wynika w tym przypadku z faktu, iż gdy przedsiębiorstwa telekomunikacyjne ustalają dynamiczny adres IP, muszą podjąć krok pośredni, w którym analizują odpowiednie dane o połączeniach własnych klientów, tj. muszą uzyskać dostęp do konkretnego zdarzenia telekomunikacyjnego. Takie połączenia telekomunikacyjne przechowywane osobno przez dostawców usług są objęte tajemnicą telekomunikacji, niezależnie od tego, czy muszą być przechowywane przez dostawców usług na podstawie obowiązku ustawowego […] czy też są przechowywane przez nich na podstawie umowy. W zakresie, w jakim ustawodawca nakłada na przedsiębiorstwa telekomunikacyjne obowiązek zapewnienia dostępu do tych danych i dokonywania ich oceny w interesie realizacji przez państwo jego obowiązków, stanowi to naruszenie art. 10 ust. 1 ustawy zasadniczej. Ma to miejsce nie tylko w sytuacji, gdy dostawcy usług muszą dostarczyć same dane o połączeniu, ale również jeżeli muszą skorzystać z tych danych jako punktu wyjścia do udzielenia informacji”.

66. BVerfG stwierdził, że art. 113 ust. 1 ustawy o łączności elektronicznej narusza art. 10 ust. 1 ustawy zasadniczej, w zakresie, w jakim stanowi podstawę do udzielania informacji o dynamicznych adresach IP.

67. Co więcej, chociaż BVerfG nie uznał zautomatyzowanego pozyskiwania danych (art. 12 ustawy o łączności elektronicznej) dotyczących statycznych adresów IP za niekonstytucyjne, za takowe uznano ograniczone wykorzystanie tego rodzaju adresów w następujących kontekstach (§ 160 i 161):

„[…] Przypisanie statycznych adresów IP, których przydzielenie jest obecnie każdorazowo w praktyce dostępne publicznie, ogranicza się zasadniczo do instytucji i użytkowników korzystających z usług na szeroką skalę. Możliwość uzyskania takich numerów ma niewielkie znaczenie w okolicznościach niniejszej sprawy.

Niemniej jednak § 112 ustawy o łączności elektronicznej może nabrać zdecydowanie większej wagi co do wystąpienia ingerencji, jeżeli w przyszłości statyczne adresy IP – przykładowo na podstawie protokołu internetowego w wersji 6 (IPv6) – staną się na większą skalę podstawą komunikacji internetowej. Co się tyczy kwestii wagi ingerencji polegającej na zidentyfikowaniu adresu IP, nie zależy ona w pierwszej kolejności – nawet jeżeli w sprawie występuje szereg praw podstawowych – od tego, czy adres IP jest adresem dynamicznym czy statycznym, ale od rzeczywistego znaczenia stworzenia obowiązku informacyjnego w tym zakresie. Jeżeli jednak w praktyce statyczne adresy IP są przydzielane w dużej mierze również osobom prywatnym, może to potencjalnie oznaczać, że tożsamość użytkowników internetu jest określona szeroko lub co najmniej w dużej mierze, a zdarzenia komunikacyjne w internecie nie są anonimowe i to nie przez ograniczony czas, ale na stałe. Tak daleko idąca możliwość deanonimizacji łączności w internecie wykracza poza skutek tradycyjnego rejestru numerów telefonicznych. […] Wagi tego faktu dla osoby, której dotyczy przypisanie adresu IP do abonenta, nie można porównać z wagą ustalenia numeru telefonu, ponieważ w pierwszej sytuacji możliwy jest dostęp do informacji o daleko szerszym zakresie i treści […]. Z uwagi na tak zwiększony potencjał informacji ogólna możliwość identyfikacji adresów IP byłaby dopuszczalna w świetle Konstytucji wyłącznie z zastrzeżeniem ograniczeń […]”.

B. Kanadyjski Sąd Najwyższy

68. Sprawa R v. Spencer (2014 SCC 43, [2014] 2 S.C.R. 212) dotyczyła pozyskania bez uprzedniego postanowienia sądu danych abonenta odnoszących się do jego siostry wnoszącego skargę, które powiązano z dynamicznym adresem IP, a które policja uzyskała w związku z udostępnianiem przez internet plików zawierającym materiały pornograficzne z udziałem małoletnich. Na podstawie danych abonenta otrzymanych od dostawcy usługi internetowej policja uzyskała nakaz przeszukania lokalu wnoszącego skargę. Wnoszący skargę wnosił o wyłączenie dowodu znalezionego na jego komputerze na tej podstawie, iż działania policji zmierzające do uzyskania jego adresu od dostawcy usługi internetowej bez uprzedniego zezwolenia sądu stanowiły nieuzasadnione przeszukanie, naruszające Kanadyjską Kartę Praw i Wolności. Wyrok kanadyjskiego Sądu Najwyższego z dnia 13 czerwca 2014 r., na korzyść wnoszącego skargę, wydał sędzia Cromwell.

69. Powołując się na wcześniejsze orzecznictwo w tej kwestii, w wyroku stwierdzono, że standard uzasadnionego oczekiwania prywatności miał charakter normatywny, a nie jedynie deskryptywny, i w sposób nieunikniony „obarczony był sądami wartościującymi, które [były] dokonywane z niezależnej perspektywy rozsądnej i poinformowanej osoby, która obawiała się o długofalowe konsekwencje działania władz dla ochrony prywatności” (par. 18). Sąd Najwyższy Kanady z kolei, wbrew stanowiska sędziego prowadzącego sprawę, uznał, że subiektywne oczekiwanie prywatności przez wnoszącego skargę było uzasadnione faktem, iż korzystał z połączenia sieciowego służącego do przesyłania danych wrażliwych. W dalszej części wyroku ustalano, czy subiektywne oczekiwanie prywatności wnoszącego skargę było uzasadnione. W tym celu zwrócono uwagę na dwie okoliczności: charakter interesu prywatności, którego dotyczyła sprawa, oraz ustawowe i umowne ramy regulujące ujawnianie przez dostawcę usługi internetowej danych abonenta. Co się tyczy pierwszej z wymienionych okoliczności sędzia Cromwell wyciągnął następujące wnioski:

„[31] Jasne jest zatem, że ukierunkowanie poszukiwań informacji mających poprzeć wnioski wyciągane w związku z innymi danymi osobowymi musi być brane pod uwagę przy charakteryzowaniu przedmiotu poszukiwania.

[36] […] W analizie należy zwrócić się ku prywatności obszaru lub przedmiotu poszukiwań i oddziaływania poszukiwań na osobę zainteresowaną, a nie zgodnemu lub niezgodnemu z prawem charakterowi poszukiwanych przedmiotów […].

[41] Istnieje również trzecia koncepcja prywatności informacji, która ma szczególne znaczenie w kontekście korzystania z internetu. Prywatność rozumiana jest w niej jako anonimowość. W mojej ocenie pojęcie prywatności potencjalnie chronionej przez s. 8 [prawo do ochrony przed nieuzasadnionym przeszukaniem lub zajęciem mienia] musi uwzględniać takie rozumienie prywatności.

[50] […] W okolicznościach niniejszej sprawy wniosek policji o powiązanie określonego adresu IP z danymi abonenta był de facto wnioskiem o powiązanie konkretnej osoby (lub ograniczonej liczby osób w przypadku współdzielonych usług internetowych) z konkretnymi działaniami online. Tego rodzaju wniosek wiąże się z aspektem anonimowości interesu prywatności danych poprzez próbę powiązania osoby podejrzewanej z podejmowaną anonimowo działalnością online, która została uznana przez Sąd w innych okolicznościach za wiążącą się w istotny sposób z interesem prywatności […].

[51] Uważam zatem, że wniosek policji do Shaw [dostawcy usługi internetowej] o dane abonenta odnoszące się do konkretnie zaobserwowanej, anonimowej działalności internetowej wpływa w wysokim stopniu na prywatność danych. Zgadzam się w tej kwestii z wnioskiem sędziego Caldwella:

. . rozsądna i poinformowana osoba przywiązująca wagę do ochrony prywatności oczekiwałaby, że jej działania na jej własnym komputerze w jej własnym domu pozostaną prywatne. . . . W mojej ocenie nie ma znaczenia, że cechy osobowe z informacji ujawnionych dotyczyły siostry p. Spencera, ponieważ to p. Spencer był osobiście i bezpośrednio narażony na konsekwencje postępowania prowadzonego przez policję w tej sprawie. W związku z powyższym czynności policji prima facie wiązały się z osobistym prawem p. Spencera do prywatności i w związku z tym jego interes w prywatności informacji ujawnionych miał charakter bezpośredni i osobisty […]”.

70. W wyroku odpowiedziano również na obawy prokuratury co do tego, że uznanie prawa do anonimowości w internecie uczyni internet przestrzenią sprzyjającą przestępczości. Zdając sobie sprawę, że obawy tej nie można lekceważyć, sędzia Cromwell wyjaśnił, że uznania interesu nie można zrównać z prawem do anonimowości i że przykładowo w niniejszej sprawie wydawało się jasne, że policja mogła w łatwy sposób uzyskać nakaz dostarczenia danych abonenta.

71. Co się tyczy kwestii, czy oczekiwanie prywatności było uzasadnione w świetle odpowiednich warunków umownych i ustawowych, w wyroku stwierdzono, że gromadzenie, wykorzystanie i ujawnianie danych osobowych abonentów przez dostawcę usługi internetowej podlega ustawie o ochronie danych osobowych i dokumentach elektronicznych, która chroni dane osobowe będące w posiadaniu organizacji zaangażowanych w działalność komercyjną przed ujawnieniem ich bez wiedzy lub zgody osoby, której te dane dotyczą. W wyroku stwierdzono, co następuje:

“[62] Artykuł 7 ust. 3) lit. c.1) pkt ii) przewiduje możliwość ujawnienia danych instytucji rządowej bez zgody, o ile instytucja ta określi zgodną z prawem podstawę uzyskania informacji. Kwestią sporną jest jednak, czy istniała taka zgodna z prawem podstawa, która z kolei częściowo zależy od tego, czy w odniesieniu do danych abonenta istniało uzasadnione oczekiwanie prywatności. Ustawy o ochronie danych osobowych i dokumentach elektronicznych nie można zatem potraktować jako czynnika przemawiającego przeciwko istnieniu uzasadnionego oczekiwania prywatności […]. Zważywszy, że celem ustawy o ochronie danych osobowych i dokumentach elektronicznych jest ustanowienie zasad regulujących między innymi ujawnianie „danych osobowych z poszanowaniem prawa do prywatności osób w zakresie ich danych osobowych” (art. 3), uzasadnione byłoby oczekiwanie przez użytkownika internetowego, że zwykły wniosek policji nie pociągałby obowiązku ujawnienia danych osobowych lub nie negowałby przewidzianego w ustawie ogólnego zakazu ujawniania danych osobowych bez zgody”.

72. W dalszej części wyroku stwierdzono, że wniosek policji nie zawierał zgodnej z prawem podstawy, w związku z czym dane uzyskano w sposób niezgodny z konstytucją. Sąd odmówił uznania sytuacji za analogiczną względem innych rutynowych czynności policyjnych, takich jak przesłuchanie ofiary przestępstwa. W odniesieniu do R. v. Duarte, [1990] 1 S.C.R. 30, stwierdził, co następuje:

“[67] […] W sprawie Duarte Sąd dokonał rozróżnienia między sytuacją, w której dana osoba powtarza policji rozmowę z podejrzanym, a sytuacją, w której policja uzyskuje nagranie tej rozmowy. Sąd orzekł, że zagrożeniem „nie jest ryzyko, że ktoś powtórzy nasze słowa, ale zdecydowanie bardziej podstępne zagrożenie wpisane w dopuszczenie do sytuacji, w której w sposób nieograniczony i według własnego uznania, nagrywa się i przekazuje nasze słowa” […]. Podobnie w niniejszej sprawie wniosek policji o ujawnienie przez dostawcę usługi internetowej danych abonenta był de facto wnioskiem o powiązanie p. Spencera z konkretną działalnością online, która była przedmiotem monitorowania przez policję, w związku z czym wiązała się z interesem prywatności w większym stopniu niż zwykłe pytanie zadane przez policję w toku postępowania przygotowawczego”.

PRAWO

I. ZARZUCANE NARUSZENIE ART. 8 KONWENCJI

73. Skarżący podnosił w skardze, że naruszono jego prawo do prywatności, ponieważ (i) dostawca usługi internetowej (zwany dalej „DUI”) bezprawnie zatrzymał jego rzekome dane osobowe oraz (ii) policja uzyskała dane abonenta powiązane z jego dynamicznym adresem IP, a w konsekwencji – ustaliła jego tożsamość w sposób arbitralny, bez postanowienia sądu i z naruszeniem art. 8 Konwencji, który stanowi:

„1. Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.

2. Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa z wyjątkiem przypadków przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności osób”.

A. Dopuszczalność

1. W przedmiocie zarzucanego bezprawnego zatrzymania danych osobowych przez dostawcę usługi internetowej (DUI)

74. Rząd zauważył, że skarżący nie podnosił przed sądami krajowymi kwestii bezprawnego zatrzymania jego danych osobowych przez DUI. W rezultacie sady krajowe nie poruszyły tego zagadnienia w zaskarżonych orzeczeniach. Rząd zauważył ponadto, że ponieważ DUI jest podmiotem prywatnym, skarżący mógł domagać się odszkodowania w postępowaniu cywilnym. Tak czy inaczej, skargę w tej części należy, zdaniem Rządu, uznać za niedopuszczalną ze względu na niewyczerpanie krajowych środków odwoławczych.

75. Ponadto Rząd utrzymywał, że skarżący nie może twierdzić, iż jest ofiarą zarzucanego naruszenia art. 8 związanego z zatrzymaniem danych osobowych, ponieważ dane te nie dotyczyły jego, ale abonenta usługi internetowej, a więc jego ojca.

76. Skarżący podnosił, że jego dane osobowe były zatrzymane przez DUI przez okres prawie sześciu miesięcy bez jasnych podstaw ku temu, a więc z naruszeniem art. 8 Konwencji. W swoich uwagach przedstawionych w dniu 15 października 2015 r. skarżący podnosił, że złożył skargę do Trybunału nie dlatego, że DUI nie zachował jego danych osobowych w tajemnicy ani dlatego że zatrzymał je przez okres wykraczający poza okres wynikający z ustawy, ale dlatego, że państwo uzyskało i wykorzystało przedmiotowe dane w postępowaniu karnym przeciwko niemu. Podnosił, że przez całe postępowanie karne twierdził, iż sądy powołują się na materiał dowodowy uzyskany niezgodnie z prawem.

77. Trybunał odnotowuje, że Rząd sprzeciwił się statusowi skarżącego jako ofiary w kontekście złożonej skargi. Nie uważa jednak za konieczne odnoszenie się do tego sprzeciwu, ponieważ przedmiotowa część skargi jest niedopuszczalna z przyczyn przedstawionych poniżej.

78. Trybunał zauważa, że celem art. 35 ust. 1 jest zapewnienie Układającym się Stronom możliwości zapobieżenia zarzucanemu naruszeniu lub naprawienia go, zanim zarzuty przedstawione zostaną organom konwencyjnym. Reguła ta stanowi ważny aspekt zasady, w myśl której mechanizm ochrony przewidziany Konwencją ma charakter pomocniczy względem krajowych systemów ochrony praw człowieka. W związku z powyższym skarga, która ma następnie trafić do Trybunału, musi w pierwszej kolejności trafić – przynajmniej w aspekcie merytorycznym – do właściwego organu krajowego, z zachowaniem wymogów formalnych i terminów przewidzianych w prawie krajowym (zob. między innymi orzecznictwo: Sejdovic przeciwko Włochom [WI], skarga nr 56581/00, § 43–44, ETPCz 2006–II).

79. W niniejszej sprawie skarżący podnosił w skardze do Trybunału, że DUI zatrzymał jego – jak twierdzi – dane osobowe. Nie wyczerpał jednak krajowych środków odwoławczych w tym względzie, ponieważ nie wniósł takiej skargi – przynajmniej w aspekcie merytorycznym – w postępowaniu krajowym.

80. W rezultacie tę część skargi należy uznać za niedopuszczalną na podstawie art. 35 ust. 1 i 4 Konwencji.

2. W przedmiocie ujawnienia informacji o abonencie

81. Rząd podnosił, że skarżący nie mógł twierdzić, iż jest ofiarą, ponieważ informacje o abonencie, które DUI ujawnił policji, dotyczyły jego ojca.

82. Skarżący zakwestionował ten pogląd. Podnosił, że to jego prywatność, a nie prywatność abonenta, została naruszona, jak również, że przedmiotem sporu nie jest kwestia własności, ale kwestia prawa do prywatności.

83. Trybunał zauważył, że kwestia ta jest ściśle związana z istotą skargi, w związku z czym należy rozpatrywać ją w powiązaniu ze sprzeciwem Rządu co do przedmiotu sprawy.

84. Uważa, że skarga nie jest w sposób oczywisty nieuzasadniona w rozumieniu art. 35 ust. 3 lit. a) Konwencji. Zauważa również, że nie jest niedopuszczalna na żadnym innym gruncie. Z tego względu należy uznać ją za dopuszczalną.

B. Przedmiot skargi

1. Stanowiska stron

(a) Skarżący

85. Skarżący powołał się na definicję danych osobowych zawartą w Konwencji z 1981 r. (zob. par. 46 powyżej), podnosząc, że uzyskanie danych bez postanowienia sądu (zob. par. 7 powyżej) doprowadziło do ustalenia jego tożsamości.

86. Podnosił również, że chociaż ujawnił treść komunikatów nieokreślonej grupie odbiorców, nie zrzekł się swojego prawa do prywatności w odniesieniu do danych (pomiarowych) o ruchu, a więc danych dotyczących czasu trwania i godziny korzystania z internetu, jak również danych dotyczących tego, kto korzystał z internetu i do jakich stron miał dostęp podczas korzystania. W jego ocenie tego rodzaju dane objęte są dodatkową ochroną na podstawie pojęcia życia prywatnego, obejmującego prywatność komunikacji i prywatność danych.

87. Stwierdził w związku z tym, że należy uwzględnić istotne rozróżnienie między statycznymi a dynamicznymi adresami IP. Chociaż istnieje możliwość wysnucia analogii między statycznym adresem IP, który jest na stałe przypisany do urządzenia, a numerem telefonu – dynamiczny adres IP był przypisywany każdorazowo, gdy komputer uzyskiwał dostęp do Internetu. Nawiązując do wyroku niemieckiego Federalnego Trybunału Konstytucyjnego z dnia 24 stycznia 2012 r. (zob. par. 63 powyżej), skarżący podnosił, że wybierając dynamiczny adres IP, jak uczynił to abonent w niniejszej sprawie, osoba decyduje się na ukrycie własnej tożsamości, ponieważ do zidentyfikowania komputera wykorzystywanego do korzystania z internetu, a więc i abonenta, konieczne są dodatkowe dane. W jego ocenie dynamiczny adres IP wchodził zatem w zakres pojęcia danych (pomiarowych) o ruchu, do których miał zastosowanie art. 149b ust. 1.

88. Skarżący wskazywał dalej, że dane dotyczące treści komunikatów zostały uzyskane bez udziału słoweńskich władz. Władze słoweńskie, by uzyskać takie dane, potrzebowałyby postanowienia sądu, ale uniknięto tego skądinąd koniecznego kroku, występując o dane abonenta na podstawie art. 149b ust. 3 ustawy o postępowaniu karnym. Co się tyczy pisma, skarżący utrzymywał, że w czasie, gdy słoweńska policja uzyskała dane wiążące jego adres IP z jego osobą, przepisy regulujące kwestię dostępu do takich danych nie był jasne ( lex certa), dlatego też nie spełniono warunku zgodności z ustawą zawartego w art. 8. W szczególności w czasie dokonania ingerencji (sierpień 2006 r.) przepisy prawa krajowego dotyczące tego zagadnienia były sprzeczne. Zgodnie z art. 37 akapit drugi Konstytucji ingerencja w prawo do prywatności komunikacji wymagała uzyskania postanowienia sądu. Ustawa o łączności elektronicznej stanowiła, że dane o ruchu należy zachować w tajemnicy, a łączność może być przechwytywana wyłącznie na podstawie postanowienia wydanego przez właściwy organ. W krajowym systemie prawnym mogło to być postanowienie sądu lub – teoretycznie – postanowienie prokuratora. Tak czy inaczej, na podstawie art. 107 możliwe było tylko „przechwytywanie” danych, ale nie przekazywanie pewnych zatrzymanych danych. Co więcej, dostawcy mieli obowiązek usuwania zatrzymanych danych zgodnie z art. 104, gdy tylko przestały być one konieczne do celów rozliczeniowych. Z drugiej strony art. 149b ust. 1 i ust. 3 ustawy o postępowaniu karnym przewidywały różne warunki dostępu do danych i nie było jasne, na czym polegało rozróżnienie między nimi. W konsekwencji tej niepewności w przepisach krajowych nie można było stwierdzić, że ochrona prawna przed arbitralną ingerencją organów publicznych w prawo do prywatności jest wystarczająca.

89. W opinii skarżącego ustawa o łączności elektronicznej stanowiła lex specialis względem ustawy o postępowaniu karnym i nie przewidywała możliwości przekazania danych osobowych policji. W sytuacji tego rodzaju luki prawnej Konstytucję należy stosować bezpośrednio, zaś Konstytucja stanowi jasno, że do przekazania takich danych wymagane jest postanowienie sądu.

(b) Rząd

90. Rząd wyjaśnił, że adresy IP są danymi osobowymi, tak jak i dynamiczne adresy IP są danymi osobowymi, ale nie są danymi o ruchu. Jedyna różnica pomiędzy nimi polega na tym, że statyczny adres IP jest przypisany do abonenta, dopóki nie zmieni on DUI, natomiast nowy dynamiczny adres IP jest przypisywany każdorazowo, gdy abonent korzysta z internetu. W odniesieniu do obydwu DUI przechowuje dane dotyczące czasu korzystania z konkretnego adresu IP.

91. Rząd podnosił, że w postępowaniu przygotowawczym skoncentrowano się na skarżącym dopiero po zajęciu i sprawdzeniu komputerów oraz przesłuchaniu osób mieszkających pod jego adresem. W związku z powyższym powiązanie między abonentem a skarżącym wyszło na jaw dopiero po przeszukaniu mieszkania, które przeprowadzono na podstawie ważnego postanowienia sądu.

92. Uznając, że adres IP jest elementem danych osobowych, ponieważ umożliwia identyfikację osoby, Rząd wskazał, że to każdy z użytkowników podejmuje decyzję o korzystaniu ze strony internetowej, która pozwala na ujawnienie danych osobowym lub treści komunikacji niemożliwemu do zidentyfikowania i nieograniczonemu kręgowi odbiorców. Rząd uznał, że skarżący nie twierdził, że ukrył adres IP, z którego korzystał w celu uzyskania dostępu do programu wymiany plików. Ponieważ ujawnienie adresu IP oznaczało ujawnienie danych abonenta, skarżący nie wykazał się zamiarem zachowania prywatności lub ukrycia swojej tożsamości, a zatem w niniejszej sprawie nie może się on powoływać na swoje prawo do życia prywatnego.

93. Rząd podnosił, że skarżący nie mógł oczekiwać, że dane abonenta powiązane z dynamicznym adresem IP nie zostaną ujawnione policji. W ocenie Rządu zaskarżone środki były przewidziane ustawą i proporcjonalne w świetle celu zabezpieczenia integralności dzieci, które jako osoby szczególnie podatne za zagrożenia są objęte na mocy Konwencji szczególną ochroną.

94. Rząd wysnuł analogię do sytuacji, w której podejrzany jest uchwycony podczas prowadzenia pojazdu przez monitoring przemysłowy. W takiej sytuacji zdjęcie podejrzanego i tablice rejestracyjne pojazdu wystarczą do ustalenia jego tożsamości. Podobnie w niniejszej sprawie należy zakładać, że z chwilą gdy policja jest w posiadaniu dynamicznego adresu IP oraz informacji o czasie korzystania z niego, tożsamość użytkownika jest ustalona poprzez takie dane. Rząd podnosił zatem, że sądy krajowe prawidłowo zastosowały art. 149b ust. 3 w miejsce art. 149b ust. 1, ponieważ drugi z wymienionych przepisów dotyczył danych o ruchu, a nie danych dotyczących właściciela lub użytkownika urządzenia komunikacyjnego.

2. Ocena Trybunału

(a) Uwagi wstępne oraz zakres oceny Trybunału

95. Na wstępie Trybunał pragnie zwrócić uwagę na szczególny kontekst niniejszej sprawy, która dotyczy ujawnienia danych abonenta powiązanych z dynamicznym adresem IP. Odnotowuje rozległe przepisy i orzecznictwo dotyczące ochrony danych osobowych i prywatności łączności elektronicznej w Unii Europejskiej, a dokonując oceny pewnych aspektów technicznych mających zastosowanie do niniejszej sprawy, będzie odwoływał się do nich, jak również do innych materiałów z zakresu komparatystyki prawnej. W stosownych przypadkach będzie również uwzględniał ukształtowane w nich zasady prawe.

96. Na wstępie Trybunał zauważa, że adres IP jest unikalnym numerem przypisanym każdemu urządzeniu w sieci, który pozwala urządzeniom komunikować się ze sobą nawzajem. W przeciwieństwie do statycznego adresu IP, który jest przypisany na stałe do konkretnego interfejsu sieci danego urządzenia, dynamiczny adres IP jest tymczasowo przypisany urządzeniu przez DUI, zazwyczaj za każdym razem, gdy urządzenie łączy się z internetem (zob. par. 61, 87 i 90 powyżej). Sam adres IP umożliwia ustalenie pewnych szczegółowych informacji, takich jak DUI, z którego usług korzysta użytkownik, czy szeroka lokalizacja fizyczna, odpowiadająca najpewniej lokalizacji DUI. Większość dynamicznych adresów IP wskazuje zatem na DUI, a nie na konkretny komputer. Aby uzyskać imię i nazwisko oraz adres abonenta korzystającego z dynamicznego adresu IP, DUI musi zazwyczaj wyszukać taką informację, a w tym celu przeanalizować odpowiednie dane o połączeniach swoich abonentów (zob. par. 61 i 65 powyżej).

97. W niniejszej sprawie informacje o dynamicznym adresie IP i czasie jego przypisania były gromadzone przez szwajcarską policję, która prowadziła nadzór nad użytkownikami konkretnej sieci internetowej wiążącej się z materiałami pornograficznymi z udziałem małoletnich. Przekazali oni informację policji słoweńskiej, która uzyskała od DUI imię i nazwisko oraz adres abonenta powiązanego z dynamicznym adresem IP – ojcem skarżącego (zob. par. 6 i 7 powyżej).

98. Rząd podnosił, że art. 8 Konwencji nie ma zastosowania w niniejszej sprawie, ponieważ zaskarżony środek nie dotyczył bezpośrednio skarżącego, jak również dlatego, że nawet gdyby ów środek dotyczył bezpośrednio skarżącego, umyślnie zrzekł się on prawa do prywatności, dokonując publicznej wymiany przedmiotowych plików (zob. 92 i 93 powyżej). W celu udzielenia odpowiedzi na powstałe pytania Trybunał musi rozważyć, czy skarżący lub inna osoba korzystająca z internetu miała uzasadnione oczekiwanie, że jego publiczna skądinąd działalność online pozostanie anonimowa (zob. par. 115 – 118 powyżej).

99. Trybunał przypomina w związku z tym, że wykorzystywanie seksualne jest bezsprzecznie odrażającym czynem, wywołującym poważne problemy u ofiar. Dzieci i inne osoby narażone na zagrożenia są uprawnione do ochrony państwa przybierającej formę skutecznego odstraszania – począwszy od tego rodzaju poważnej ingerencji w istotne aspekty życia prywatnego, a ochrona ta obejmuje konieczność ustalenia tożsamości sprawców i pociągnięcia ich do odpowiedzialności (zob. K.U. przeciwko Finlandii, skarga nr 2872/02, § 46, EKPCz 2008-V). Tym niemniej kwestie podniesione przez Rząd dotyczące możliwości zastosowania art. 8 wymagają odpowiedzi niezależnie od tego, czy dana działalność ma charakter legalny czy nielegalny, jak również bez uszczerbku dla przewidzianego Konwencją wymogu zapewnienia ochrony osób narażonych na zagrożenia przez Układające się Strony, o czym wspomniano między innymi w wyroku K.U. przeciwko Finlandii (op.cit.).

b) Możliwość zastosowania art. 8

(i) Przypomnienie istotnych zasad

100. Trybunał przypomina, że życie prywatne to termin szeroki, który nie ogranicza się do zamkniętej definicji. Artykuł 8 przewiduje między innymi ochronę prawa do tożsamości i rozwoju osobistego, a także prawa do nawiązania i rozwijania relacji z innymi ludźmi i światem zewnętrznym. Istnieje zatem strefa interakcji osoby z innymi, nawet w kontekście publicznym, która może wkraczać w zakres „życia prywatnego” (zob. Uzun przeciwko Niemcom, skarga nr 35623/05, § 43, ETPCz 2010-VI (fragmenty)).

101. Istnieje szereg elementów istotnych dla rozważań, czy działania realizowane poza domem lub terenem prywatnym danej osoby wchodzą w zakres jej życia prywatnego. W celu ustalenia, czy pojęcia „życia prywatnego” i „korespondencji” mają zastosowanie, Trybunał wielokrotnie analizował, czy jednostki miały uzasadnione oczekiwanie poszanowania i ochrony swojej prywatności (zob. Bărbulescu przeciwko Rumunii [WI], skarga nr 61496/08, § 73, ETPCz 2017, i Copland przeciwko Wielkiej Brytanii, skarga nr 62617/00, §§ 41–42, ETPCz 2007-I). W tym kontekście stwierdził, że uzasadnione oczekiwanie prywatności jest czynnikiem istotnym, choć niekonieczne rozstrzygającym (zob. Bărbulescu, op.cit., § 73).

102. W kontekście danych osobowych Trybunał zaznaczył, że pojęcia „życia prywatnego” nie można interpretować w sposób zawężający. Uznał, że szeroka wykładnia odpowiada wykładni Konwencji z 1981 r., której celem jest „zapewnienie każdej osobie fizycznej, […] poszanowania jej praw i podstawowych wolności na terytorium każdej ze stron konwencji, a w szczególności jej prawa do prywatności w związku z automatycznym przetwarzaniem dotyczących jej danych osobowych” (art. 1). Dane osobowe zdefiniowano w tym przypadku jako „każdą informację dotyczącą osoby fizycznej o określonej tożsamości lub dającej się zidentyfikować” (art. 2) (zob. Amann przeciwko Szwajcarii [WI], skarga nr 27798/95, § 65, ETPCz 2000–II; zob. również 46 powyżej).

103. Z utrwalonego orzecznictwa wynika również, że jeżeli doszło do kompilacji danych o danej osobie, przetwarzania lub wykorzystania danych osobowych lub opublikowania materiału w sposób lub w stopniu wykraczającym poza przewidywalny w normalnych okolicznościach, powstaje wówczas kwestia życia prywatnego (zob. Satakunnan Markkinapörssi Oy i Satamedia Oy przeciwko Finlandii [WI], skarga nr 931/13, § 136, ETPCz 2017 (fragmenty)). Artykuł 8 Konwencji przewiduje zatem prawo informacyjnego samostanowienia, które pozwala jednostkom powoływać się na przysługujące im prawo do prywatności w odniesieniu do danych, które, choć neutralne, są gromadzone, przetwarzane i rozpowszechniane zbiorczo i w takiej formie lub w taki sposób, że możliwe jest odniesienie ich do praw z art. 8 ( ibid., § 137).

104. Trybunał wcześniej uznawał informacje takie jak: dane pomiarowe dotyczące wybranych numerów telefonicznych (zob. Malone przeciwko Wielkiej Brytanii, 2 sierpnia 1984 r., § 84, Seria A nr 82), dane osobowe dotyczące korzystania z telefonu, poczty elektronicznej i internetu (zob. Copland, op.cit., § 41 i 43), informacje przechowywane przez prokuraturę na karcie dotyczącej faktów związanych z powiązaniami biznesowymi skarżącego (zob. Amann, op.cit., § 66) czy informacje publiczne przechowywane przez organy na temat odległej przeszłości skarżącego (zob. Rotaru przeciwko Rumunii [WI], skarga nr 28341/95, § 43 i 44, ETPCz 2000–V), za wchodzące w zakres art. 8.

105. Co więcej, Trybunał uznał już w wyroku Delfi AS przeciwko Estonii ([WI], skarga nr 64569/09, § 147, ETPCz 2015) znaczenie anonimowości w internecie, zauważając, że od długiego czasu stanowi ona sposób na uniknięcie represji lub niepożądanej uwagi. W związku z tym umożliwia ona promowanie swobodnego przepływu idei i informacji w ważny sposób, w tym w szczególności przez internet. Jednocześnie Trybunał nie traci z pola widzenia łatwości, zakresu i tempa rozpowszechniania informacji w internecie, jak również trwałości raz ujawnionej informacji, która może znacząco nasilać skutki niezgodnych z prawem wypowiedzi w internecie w porównaniu do mediów tradycyjnych (ibid).

106. We wspomnianej sprawie Trybunał wypowiedział się również na temat różnego stopnia anonimowości w działalności online, zauważając, co następuje ( ibid., § 148):

„Trybunał zauważa, że w internecie możliwa jest anonimowość różnego stopnia. Użytkownik internetowy może być anonimowy dla szerokiego kręgu odbiorców, będąc jednocześnie możliwym do zidentyfikowania przez dostawcę usług poprzez dane konta lub dane kontaktowe, które mogą być niezweryfikowane lub podlegać pewnego rodzaju weryfikacji – od weryfikacji ograniczonej (przykładowo poprzez aktywowanie konta przez adres e-mail lub konto w portalu społecznościowym) po bezpieczne uwierzytelnianie, czy to z wykorzystaniem krajowych elektronicznych dokumentów tożsamości lub danych uwierzytelniających w bankowości internetowej, pozwalających na bezpieczniejsze ustalenie tożsamości użytkownika. Dostawca usług może również zezwolić na szeroką anonimowość użytkowników, a wówczas użytkownicy nie muszą wcale podawać swojej tożsamości i mogą być wówczas wykryci – w ograniczonym zakresie – jedynie poprzez informacje zatrzymane przez dostawców usługi dostępu do internetu. Ujawnienie takich informacji na ogół będzie wymagało postanowienia wydanego przez organy śledcze lub sądowe i będzie obwarowane ograniczeniami. Tym niemniej może być to w niektórych przypadkach konieczne w celu ustalenia tożsamości sprawców i ich ścigania.

(ii) Zastosowanie powyższych zasad w niniejszej sprawie

(a) Charakter występujących interesów

107. Rząd nie kwestionował, że dane abonenta zasadniczo obejmowały dane osobowe (zob. par. 90 i 92 powyżej). Taki wniosek wynika również z definicji zawartej w Konwencji z 1981 r., prawodawstwa Unii Europejskiej, jak również przepisów krajowych służących wdrażaniu wymienionych (zob. par. 40, 46, 53 i 57 powyżej).

108. Ponadto Trybunał zauważa, że dane abonenta powiązane z konkretnym dynamicznym adresem IP przypisanym w określonym czasie nie stanowiły informacji publicznie dostępnych, w związku z czym nie można porównać ich do informacji znajdujących się w tradycyjnych książkach telefonicznych czy publicznej bazie danych numerów tablic rejestracyjnych, na które powoływał się Rząd (zob. par. 94 powyżej). W rzeczy samej wydawałoby się, że w celu ustalenia tożsamości abonenta, któremu przypisano konkretny dynamiczny adres IP w konkretnym czasie, DUI musi uzyskać dostęp do przechowywanych danych dotyczących konkretnych zdarzeń telekomunikacyjnych (zob. przykładowo par. 29, 61, 65 i 95 powyżej). Wykorzystanie tego rodzaju danych może samo w sobie doprowadzić do rozważań dotyczących życia prywatnego (zob. par. 103 powyżej).

109. Co więcej, Trybunał nie może ignorować szczególnego kontekstu, w którym dążono do ustalenia danych abonenta w niniejszej sprawie. Jedynym celem uzyskania danych abonenta było ustalenie tożsamości konkretnej osoby stojącej za niezależnie zgromadzonymi danymi ujawniającymi treści, która udostępniała ta osoba. Trybunał zauważa w związku z tym, że istnieje strefa interakcji danej osoby z innymi osobami, która może wchodzić w zakres „życia prywatnego” (zob. par. 100 powyżej). Informacje o takich działaniach zaczynają wiązać się z aspektem prywatności z chwilą, gdy zostają one powiązane lub przypisane zidentyfikowanej lub możliwej do zidentyfikowania osobie (w kwestii możliwości zidentyfikowania, choć w nieco innym kontekście – zob. Peck przeciwko Wielkiej Brytanii, skarga nr 44647/98, § 62, ETPCz 2003–I, i J.S. przeciwko Wielkiej Brytanii (dec.), skarga nr 445/10, § 70 i 72, 3 marca 2015 r.). Z tego względu to, co wydawać by się mogło peryferyjną informacją oczekiwaną przez policję, a więc imię i nazwisko oraz adres abonenta, w sytuacjach takich jak zaistniała w niniejszej sprawie muszą być traktowane jako nieodłącznie powiązane z odpowiednimi istniejącymi wcześniej danymi ujawniającymi treść (zob. zdania odrębne sędziów Trybunału Konstytucyjnego, przywołane w par. 31 i 34; por. stanowisko Sądu Najwyższego Kanady, przywołane w par. 69 i 72 powyżej, a także niemieckiego Federalnego Trybunału Konstytucyjnego, przywołanego w par. 64 i 65 powyżej). Twierdzenie, że jest inaczej, oznaczałoby odmowę koniecznej ochrony informacji, które mogą doprowadzić do ujawnienia wielu informacji na temat działalności online danej osoby, w tym danych wrażliwych na temat jej zainteresowań, poglądów i intymnego stylu życia.

110. W świetle powyższych rozważań Trybunał stwierdza, że niniejsza sprawa dotyczy obaw związanych z prywatnością, które mogą wiązać się z ochroną wynikającą z art. 8 Konwencji.

(β) W przedmiocie ustalenia tożsamości skarżącego z wykorzystaniem spornego środka

111. Trybunał musi w dalszej kolejności odnieść się do argumentu Rządu, iż przekazując dane abonenta uzyskane przez policję ujawniono jedynie imię i nazwisko oraz adres ojca skarżącego, a nie skarżącego (zob. par. 91 powyżej). W związku z tym Trybunał zauważa, że powszechnie przyjęte jest, że definicja danych osobowych dotyczy informacji nie tylko związanych z osobami zidentyfikowanymi, ale również możliwymi do zidentyfikowania (zob. par. 40, 47, 53, 54, 55 i 58 powyżej).

112. W niniejszym kontekście skarżący bez wątpienia był użytkownikiem przedmiotowej usługi internetowej (zob. par. 56 powyżej) i to jego działalność online była monitorowana przez policję. Trybunał zauważa również, że skarżący korzystał z internetu przy użyciu własnego komputera we własnym domu. Nie ma szczególnego znaczenia, że imię i nazwisko skarżącego nie pojawiło się w danych abonenta uzyskanych przez policję. W rzeczy samej nie jest rzeczą nietypową, by w gospodarstwie domowym istniał jeden abonament na usługę internetową, z której korzysta kilku członków rodziny. Fakt, iż określone osoby nie są osobiście abonentami usługi internetowej nie ma wpływu na ich oczekiwanie prywatności, która to kwestia pojawia się pośrednio z chwilą ujawnienia danych abonenta w związku z korzystaniem z internetu na użytek prywatny.

113. Jasnym jest, że celem zaskarżonego środka, a więc uzyskania przez policję – bez postanowienia sądu – danych abonenta powiązanych z dynamicznym adresem IP podanym przez szwajcarską policję (zob. par. 7 powyżej), było powiązanie korzystania z komputera z lokalizacją i potencjalnie – osobą. Dane abonenta, które obejmowały również adres, umożliwiły policji zidentyfikowanie domu, z którego dokonano przedmiotowych połączeń internetowych. To doprowadziło do ustalenia tożsamości skarżącego jako osoby podejrzanej następnie o korzystanie z sieci Razorback.

114. Mając na uwadze powyższe, jak również biorąc pod uwagę, że sądy krajowe nie oddaliły sprawy na tej podstawie, że skarżący nie był abonentem danej usługi internetowej, Trybunał stwierdza, że fakt ten nie może być uznawany za przeszkodę w stosowaniu art. 8 w niniejszej sprawie. W związku z powyższym oddala sprzeciw Rządu w zakresie twierdzenia, iż skarżącemu nie przysługuje status ofiary (zob. par. 83 powyżej).

(γ) W przedmiocie uzasadnionego oczekiwania prywatności przez skarżącego

115. W celu stwierdzenia, czy pojęcie „życia prywatnego” ma zastosowanie w niniejszej sprawie, Trybunałowi pozostaje ustalenie, czy w świetle publicznej dostępności przedmiotowej sieci skarżący mógł w uzasadniony sposób oczekiwać poszanowania i ochrony prywatności (zob. par. 101 powyżej). W związku z powyższym słoweński Trybunał Konstytucyjny i pozwany Rząd (zob. par. 14 i 18 orzeczenia Trybunału Konstytucyjnego, przywołanego w par. 29 powyżej; zob. również par. 92 powyżej) uznał za ważne, że skarżący uczestniczył w sieci Razorback, do której dostęp nie był ograniczony. Rząd uważał, że skarżący świadomie ujawnił swoją działalność online i powiązany z nią dynamiczny adres IP. Zatem w ich ocenie jego oczekiwanie prywatności nie było uzasadnione, a ponadto należy uznać, że zrzekł się jej (ibid.).

116. Trybunał, podobnie jak Trybunał Konstytucyjny, uznaje, że skarżący, dokonując udostępniania plików zawierających materiały pornograficzne przez sieć Razorback, oczekiwał – z własnej subiektywnej perspektywy – że jego działalność pozostanie prywatna, a jego tożsamość nie zostanie ujawniona (zob. par. 14 orzeczenia Trybunału Konstytucyjnego przywołanego w par. 29 powyżej). Niemniej jednak, w przeciwieństwie do Trybunału Konstytucyjnego, Trybunał uważa, że fakt, iż skarżący nie ukrył swojego dynamicznego adresu IP, zakładając, przy założeniu, że jest to możliwe, nie może mieć decydującego znaczenia przy ocenie, czy jego oczekiwanie prywatności było uzasadnione z perspektywy obiektywnej. W związku z tym Trybunał zauważa, że pytanie nie brzmi, czy skarżący mógł w uzasadniony sposób oczekiwać zachowania prywatności jego dynamicznego adresu IP, ale czy mógł w sposób uzasadniony oczekiwać prywatności co do tożsamości.

117. Trybunał uznał już aspekt anonimowości prywatności online (zob. wyrok Delfi AS, przytoczony w par. 105 powyżej, zob. również par. 12 orzeczenia Trybunału Konstytucyjnego, przytoczony w par. 29 powyżej) w odniesieniu do charakteru działalności online, w której użytkownicy uczestniczą, a zidentyfikowanie ich jest niekoniecznie możliwe. Pojęcie anonimowości w kontekście prywatności stanowi ważny czynnik, który należy uwzględnić w niniejszej ocenie. W szczególności nie podnoszono, że skarżący ujawnił swoją tożsamość w związku z przedmiotową aktywnością online (zob. w związku z tym zdanie odrębne sędzi Jadka Pensy, przytoczone w par. 33 powyżej) lub że przykładowo był możliwy do zidentyfikowania przez konkretnego dostawcę strony internetowej poprzez dane o koncie lub dane kontaktowe. Jego działalność online wiązała się zatem z wysokim stopniem anonimowości (zob. Delfi AS, przytoczony w par. 105 powyżej, par. 148), co potwierdza fakt, że przypisany dynamiczny adres IP, nawet jeżeli jest widoczny dla pozostałych użytkowników sieci, nie może doprowadzić do konkretnego komputera bez zweryfikowania przez DUI danych w następstwie wniosku policji.

118. Trybunał zauważa wreszcie, że obowiązujące ramy prawne i regulacyjne mogą być również istotnym, choć niekoniecznie decydującym, czynnikiem w ustalaniu uzasadnionego oczekiwania prywatności (zob. przykładowo J.S. przeciwko Zjednoczonemu Królestwu (dec.), op.cit., § 70, oraz Peev przeciwko Bułgarii, skarga nr 64209/01, § 39, 26 lipca 2007 r.). W niniejszej sprawie żadna ze stron nie przedstawiła informacji dotyczących warunków umowy, na podstawie której ojcu skarżącego świadczona była umowa usługi internetowej. Co się tyczy ram ustawowych Trybunał uznaje za wystarczające zauważyć, że art. 37 Konstytucji gwarantował prywatność korespondencji i porozumiewania się oraz zawierał wymóg, by wszelkie ingerencje w to prawo były oparte na postanowieniu sądu (zob. par. 35 powyżej). Z tego względu z perspektywy przepisów obowiązujących w czasie istotnym dla sprawy oczekiwań skarżącego w odniesieniu do jego aktywności online nie można uznać za niegwarantowane lub nieuzasadnione.

(δ) Wnioski

119. Ze wszystkich względów przytoczonych powyżej Trybunał uznaje, że interes skarżącego w ochronie jego tożsamości w odniesieniu do jego działalności online wchodzi w zakres pojęcia „życia prywatnego”, a art. 8 ma zastosowanie do niniejszej skargi.

(c) Zgodność z art. 8

(i) w przedmiocie wystąpienia ingerencji

120. Mając na uwadze powyższe rozstrzygnięcie, iż niniejsza sprawa dotyczy prawa skarżącego do poszanowania jego życia prywatnego gwarantowanego w art. 8 ust. 1, Trybunał uznaje ponadto, że wniosek policji skierowany do DUI oraz wykorzystanie przez nią danych abonenta prowadzące do ustalenia tożsamości skarżącego stanowiły ingerencję w to prawo (zob. odpowiednio Rotaru, op.cit., § 46, i Uzun, op.cit., § 52). W świetle powyższego Trybunał nie uznaje za konieczne ustalać, czy przedmiotowy środek stanowił również ingerencję w prawo skarżącego do poszanowania korespondencji.

121. Trybunał musi zatem zbadać, czy ingerencja w prawo skarżącego do prywatności była zgodna z wymogami art. 8, a więc innymi słowy, czy była „przewidziana przez ustawę”, służy realizacji jednego lub kilku uprawnionych celów określonych w tym ustępie oraz była „konieczna w demokratycznym społeczeństwie” dla osiągnięcia tego celu lub tych celów.

(ii) w przedmiocie ingerencji przewidzianej przez ustawę

122. Trybunał zauważa, że wyrażenie „przewidziany przez ustawę” w rozumieniu art. 8 ust. 2 wymaga w pierwszej kolejności, by zaskarżony środek miał podstawę w prawie krajowym. Po drugie prawo krajowe musi być dostępne dla osoby zainteresowanej. Po trzecie, osoba, której to dotyczy, musi być w stanie przewidzieć konsekwencje prawa krajowego, a po czwarte – prawo krajowe musi być zgodne z rządami prawa (zob. między innymi orzecznictwo: Rotaru, op.cit., § 52; Liberty i Inni przeciwko Wielkiej Brytanii, skarga nr 58243/00, § 59, 1 lipca 2008 r.; oraz Sallinen i Inni przeciwko Finlandii, skarga nr 50882/99, § 76, 27 września 2005 r.).

123. Trybunał przypomina, że to przede wszystkim do organów krajowych, szczególnie sądów, należy dokonywanie wykładni i stosowanie prawa krajowego. Niemniej jednak Trybunał ma obowiązek zweryfikować, czy sposób dokonywania wykładni prawa krajowego i stosowania go powoduje konsekwencje spójne z zasadami Konwencji rozumianymi w świetle orzecznictwa Trybunału (zob. Cocchiarella przeciwko Włochom [WI], skarga nr 64886/01, § 81 i 82, ETPCz 2006–V).

124. W niniejszej sprawie – zakładając, że uzyskanie przez policję danych abonenta powiązanych z dynamicznym adresem IP miało pewne podstawy w prawie krajowym, ponieważ art. 149b ust. 3 ustawy o postępowaniu karnym stanowił, że policja mogła uzyskać informacje o właścicielu lub użytkowniku określonych środków łączności elektronicznej od DUI (zob. par. 36 powyżej) – Trybunał musi zbadać, czy ustawa była dostępna i przewidywalna oraz spójna z rządami prawa.

125. Zauważa, że w niniejszej sprawie nie podniesiono kwestii dostępności ustawy. Co się tyczy pozostałych wymogów, Trybunał przypomina, że przepis jest „przewidywalny”, jeżeli sformułowany zostanie w sposób dostatecznie precyzyjny, by umożliwić dowolnej osobie – w razie konieczności korzystającej z odpowiedniej porady – uregulowanie własnego postępowania (zob. Rotaru, op.cit., § 55 i zasady tam podsumowane). Ponadto zgodność z rządami prawa wymaga, by prawo krajowe przewidywało odpowiednią ochronę przed arbitralną ingerencją w prawa z art. 8 (zob. odpowiednio Amann, op.cit., § 76–77; Bykov przeciwko Rosji [WI], skarga nr 4378/02, § 76, 10 marca 2009 r.; zob. również Weber i Saravia przeciwko Niemcom (dec.), skarga nr 54934/00, § 94, ETPCz 2006–XI; oraz Liberty i Inni, op.cit., § 62). Trybunał musi mieć zatem pewność, że istnieją odpowiednie i skuteczne zabezpieczenia przed nadużyciami. Ocena ta zależy od wszystkich okoliczności sprawy, takich jak charakter, zakres i okres trwania określonych środków, podstaw ich zarządzenia oraz organów właściwych do wydania zezwolenia na zastosowanie środków, ich przeprowadzenia i nadzorowania, jak również rodzaju środków odwoławczych przewidzianych prawem krajowym (zob. Association for European Integration and Human Rights i Ekimdzhiev przeciwko Bułgarii, skarga nr 62540/00, § 77, 28 czerwca 2007 r., w odniesieniu do Klass i Inni przeciwko Niemcom, 6 września 1978 r., § 50, Seria A nr 28, oraz Uzun, op.cit., § 63).

126. Mając na uwadze szczególny kontekst sprawy, Trybunał pragnie podkreślić, że konwencja o cyberprzestępczości zobowiązuje Państwa-Strony do umożliwienia organom stosowania środków, takich jak gromadzenie danych o ruchu w czasie rzeczywistym oraz wydawanie nakazów dostarczenia informacji między innymi w celu przeciwdziałania przestępczości związane z pornografią dziecięcą (zob. par. 47–51 powyżej). Niemniej jednak środki te, zgodnie z art. 15 Konwencji o cyberprzestępczości, „podlega[ją] warunkom i gwarancjom przewidzianym w ich [Państw-Stron] prawie wewnętrznym” oraz muszą obejmować „stosownie do rodzaju danego uprawnienia lub procedury, m.in. sądową lub inną niezależną kontrolę, podawanie uzasadnienia dla ich stosowania, ograniczenia co do zakresu i czasu stosowania takich uprawnień i procedur” (zob. par. 52 powyżej).

127. W niniejszej sprawie Trybunał zauważa, że art. 149b ust. 3 ustawy o postępowaniu karnym (zob. par. 36 powyżej), na który powoływały się organy krajowe, dotyczył wniosku o informacje o właścicielu lub użytkowniku określonego środka łączności elektronicznej. Nie zawierał on konkretnych zasad dotyczących powiązania dynamicznego adresu IP i danych abonenta. Trybunał zauważa, że art. 37 Konstytucji wymaga uzyskania postanowienia sądu w przypadku każdej ingerencji w prywatność komunikacji (zob. par. 35 powyżej). Co więcej, ustawa o łączności elektronicznej (zob. par. 37 powyżej), która reguluje konkretnie tajemnicę i poufność łączności elektronicznej, w czasie istotnym dla sprawy nie przewidywała możliwości dostępu do danych abonenta i powiązanym ruchu o danych ani przekazania ich na potrzeby postępowania w sprawach karnych. Stanowiła ona, że łączność elektroniczna, w tym powiązane dane o ruchu, są poufne i w związku z tym powinny być chronione przez DUI (zob. par. 37 powyżej). W dalszej części stanowiła ona, że DUI nie powinien przekazywać danych o ruchu innym, chyba że jest to konieczne do świadczenia usługi, za wyjątkiem zgodnego z prawem przechwytywania komunikatów na podstawie decyzji właściwego organu (zob. art. 103 ustawy o łączności elektronicznej przywołany w par. 37 powyżej). Z tego względu przepisy były co najmniej niespójne co do poziomu ochrony interesu prywatności przysługującego skarżącemu.

128. Niezależnie od powyższego, Trybunał starałby się wejść w kompetencje sądów krajowych, gdyby próbował orzec rozstrzygająco, która ustawa ma pierwszeństwo w niniejszej sprawie. Musi w związku z tym opierać się na toku rozumowania przedstawionym przez sądy krajowe. Zauważa w związku z tym, że Trybunał Konstytucyjny uznał, iż „tożsamość osób komunikujących się jest jednym z najważniejszych aspektów prywatności komunikacji”, a ujawnienie jej wymaga postanowienia sądu zgodnie z art. 37 akapit drugi Konstytucji (zob. par. 18 orzeczenia Trybunału Konstytucyjnego, przytoczonego w par. 29 powyżej). Ściślej mówiąc – zgodnie z wykładnią Trybunału Konstytucyjnego, która była spójna z wcześniejszym orzecznictwem uznającym, że dane o ruchu, zgodnie z definicją stosowaną w prawie krajowym, są objęte ochroną wynikającą z art. 37 Konstytucji (ibid.) – ujawnienie danych abonenta powiązanego z określonym dynamicznym adresem IP co do zasady wymaga postanowienia sądu i nie może odbyć się jedynie na podstawie pisemnego wniosku policji.

129. Trybunał zauważa w rzeczy samej, że jedynym powodem oddalenia przez Trybunał Konstytucyjny skargi skarżącego, a więc zatwierdzenia ujawnienia danych abonenta bez postanowienia sądu, było domniemanie, iż skarżący „zrzekł się również uzasadnionego oczekiwania prywatności” (zob. par. 18 orzeczenia Trybunału Konstytucyjnego, przytoczonego w par. 29 powyżej). Tym niemniej Trybunał, mając na uwadze własne ustalenia co do możliwości zastosowania art. 8, nie uznaje stanowiska Trybunału Konstytucyjnego w tej kwestii za możliwe do pogodzenia z zakresem prawa do prywatności przewidzianego Konwencją (zob. par. 115–118 powyżej). Mając na uwadze, że ustalenie Trybunału Konstytucyjnego, iż „tożsamość osób komunikujących się” wchodzi w zakres ochrony przewidzianej w art. 37 Konstytucji (zob. par. 128 powyżej) oraz ustalenia tutejszego Trybunału, iż skarżący mógł w uzasadniony sposób oczekiwać, iż jego tożsamość w odniesieniu do działalności online pozostanie prywatna (zob. par. 115 –118 powyżej), należy uznać, że w niniejszej sprawie postanowienie sądu było konieczne. Co więcej, żaden z przepisów prawa krajowego nie stał na przeszkodzie uzyskania przez policję danych, zważywszy, że kilka miesięcy po uzyskaniu danych abonenta, w którym to czasie w sprawie najwyraźniej nie podjęto żadnych czynności śledczych, wystąpiono do sądu i uzyskano postanowienie sądu nakazujące ujawnienie, przynajmniej w części, tych samych informacji, które były już w jej posiadaniu (zob. par. 8 powyżej). Powołanie się przez organy krajowe na art. 149b ust. 3 ustawy o postępowaniu karnym było zatem w sposób oczywisty niewłaściwe, a ponadto nie zapewniało żadnej ochrony przed arbitralną ingerencją.

130. W związku z tym Trybunał zauważa, że w czasie istotnym dla sprawy nie istniały uregulowania określające warunki zatrzymywania danych uzyskanych na podstawie art. 149b ust. 3 ustawy o postępowaniu karnym ani zabezpieczenia przed nadużyciami po stronie funkcjonariuszy państwowych w toku procedury uzyskiwania dostępu do danych i przekazywania ich. Co się tyczy drugiej z wymienionych kwestii, policja, mając do dyspozycji informacje o konkretnej aktywności online, mogła ustalić tożsamość autora zwracając się jedynie do DUI o sprawdzenie tej informacji. Ponadto, nie wykazano, by w czasie istotnym dla sprawy istniał niezależny nadzór nad wykorzystaniem tego rodzaj uprawnień policji, mimo że uprawnienia te, w świetle wykładni dokonanej przez sądy krajowe, zmuszały DUI do odzyskania przechowywanych danych i umożliwienia policji powiązanie dużej liczby informacji dotyczących aktywności online z konkretną osobą bez jej zgody (zob. par. 108 i 109 powyżej).

131. Trybunał zauważa ponadto, że wkrótce po zastosowaniu zaskarżonego środka przeciwko skarżącemu Parlament przyjął nowelizację ustawy o łączności elektronicznej (zob. par. 38 powyżej, jak również istotne przepisy w zmienionej ustawie przywołane w par. 39). Zmiany wprowadzały między innymi uregulowania dotyczące zatrzymywania danych dotyczących pochodzenia komunikatów, a więc między innymi imienia i nazwiska oraz adresu abonenta, któremu przypisano określony adres IP, jak również procedury uzyskiwania dostępu do takich danych i ich przekazywania. Nie miało to jednak żadnego wpływu na sytuację skarżącego.

132. Mając na uwadze powyższe, Trybunał jest zdania, że ustawa, na podstawie której zastosowano sporny środek, co doprowadziło do przekazania policji danych abonenta powiązanych z przedmiotowym dynamicznym adresem IP (zob. par. 7 powyżej), jak również sposób stosowania środka przez sądy krajowe, nie były jasne i nie zapewniono wystarczających zabezpieczeń przed arbitralną ingerencją w prawa przewidziane w art. 8 Konwencji.

133. W tych okolicznościach Trybunał uznaje, że ingerencja w prawo skarżącego do poszanowania jego życia prywatnego nie była „przewidziana przez ustawę”, czego wymaga art. 8 ust. 2 Konwencji. W rezultacie Trybunał nie musi badać, czy zaskarżony środek służył uprawnionemu celowi i był proporcjonalny.

134. W świetle wszystkich powyższych rozważań Trybunał uznaje, że doszło do naruszenia art. 8 Konwencji.

II. ZASTOSOWANIE ART. 41 KONWENCJI

135. Artykuł 41 Konwencji stanowi:

„Jeżeli Trybunał stwierdzi, że nastąpiło naruszenie Konwencji lub jej Protokołów, oraz jeżeli prawo wewnętrzne zainteresowanej Wysokiej Układającej się Strony pozwala tylko na częściowe usunięcie konsekwencji tego naruszenia, Trybunał orzeka, gdy zachodzi taka potrzeba, o przyznaniu słusznego zadośćuczynienia pokrzywdzonej stronie.

A. Szkoda

136. Skarżący dochodził kwoty 32 000 euro (EUR) tytułem zadośćuczynienia za szkodę niemajątkową, na którą składało się 7 000 EUR z tytułu cierpienia doznanego w wyniku prowadzonego przeciwko niemu procesu, 15 000 EUR z tytułu nieuzasadnionej kary pozbawienia wolności oraz 10 000 EUR z tytułu stygmatyzacji w społeczeństwie doznanej na skutek skazania.

137. Rząd zauważył, że roszczenie skarżącego dotyczące zadośćuczynienia za szkodę niemajątkową jest bezzasadne i nadmierne. Podnosił, że nie ma związku między naruszeniem art. 8 zarzucanym w niniejszej sprawie a domniemaną szkodą niemajątkową związaną z wydaniem przeciwko skarżącemu wyroku skazującego w sprawie karnej oraz zasądzeniem kary pozbawienia wolności. W szczególności, nawet gdyby przedmiotowe informacje wyłączono z akt, skarżący nie uniknąłby postępowania karnego prowadzonego przeciwko niemu. Co więcej, Rząd podtrzymywał, że skoro skarżący przyznał, iż mógłby wnioskować o ponowne wszczęcie postępowania w następstwie stwierdzenia naruszenia, samo stwierdzenie naruszenia przez Trybunał jest wystarczające.

138. Trybunał uznaje, że stwierdzenie naruszenia stanowi samo w sobie wystarczające słuszne zadośćuczynienie za wszelkie szkody niemajątkowe, jakie mogły być poniesione przez skarżącego.

B. Koszty i wydatki

139. Skarżący dochodził również kwoty 4 335,50 EUR tytułem kosztów i wydatków poniesionych przed sądami krajowymi oraz kwoty 2 600 EUR tytułem kosztów i wydatków poniesionych przed Trybunałem, powiększonej o podatek od wartości dodanej (VAT). Twierdził, że kwoty te obliczono na podstawie oficjalnych stawek honorariów dla prawników.

140. Rząd twierdził, że koszty, których dochodzi skarżący w odniesieniu do reprezentacji w postępowaniu krajowym, obejmowały podatek VAT. Ponadto obejmowały one koszty opinii prawnej, tj. 2 000 EUR, której w sposób oczywisty nie stworzono na potrzeby postępowania krajowego. Co się tyczy kosztów postępowania przed Trybunałem, Rząd uważa roszczenie za nadmierne. Co więcej, poza rachunkiem za wspomnianą opinię prawną, skarżący nie przedstawił żadnych dowodów na poniesienie kosztów z tytułu reprezentacji prawnej.

141. Zgodnie z orzecznictwem Trybunału skarżącemu przysługuje prawo do zwrotu poniesionych kosztów i wydatków wówczas, gdy wykazał, że były one rzeczywiście i koniecznie poniesione i były uzasadnione co do wysokości. W niniejszej sprawie, uwzględniając posiadaną dokumentację oraz powyższe kryteria, Trybunał uznaje, że uzasadnione będzie przyznanie kwoty w wysokości 922 EUR tytułem kosztów i wydatków poniesionych w postępowaniu krajowym oraz kwoty w wysokości 2 600 EUR tytułem kosztów i wydatków poniesionych w postępowaniu przed Trybunałem. Łącznie tytułem kosztów i wydatków należy zatem przyznać kwotę w wysokości 3 522 EUR.

C. Odsetki za zwłokę

142. Trybunał za słuszne uznaje wyznaczenie wysokości odsetek za zwłokę na podstawie marginalnej stopy procentowej Europejskiego Banku Centralnego powiększonej o trzy punkty procentowe.

ZWAŻYWSZY NA POWYŻSZE TRYBUNAŁ

1. podejmuje decyzję, sześcioma głosami do jednego, by włączyć sprzeciw Rządu przeciwko uznaniu skarżącego za ofiarę w związku z ujawnieniem danych abonenta w kontekście art. 8 Konwencji i oddala sprzeciw;

2. uznaje, większością głosów, skargę dotyczącą ujawnienia danych abonenta wnoszoną na podstawie art. 8 Konwencji za dopuszczalną, a w pozostałym zakresie – za niedopuszczalną;

3. orzeka, sześcioma głosami do jednego, że art. 8 Konwencji został naruszony;

4. orzeka, jednogłośnie, że stwierdzenie przez Trybunał naruszenia stanowi samo w sobie wystarczające słuszne zadośćuczynienie za wszelkie szkody niemajątkowe poniesione przez skarżącego;

5. orzeka, sześcioma głosami do jednego,

a) że pozwane państwo winno, w terminie trzech miesięcy od daty, w której niniejszy wyrok stanie się ostateczny zgodnie z art. 44 ust. 2 Konwencji, uiścić na rzecz skarżącego kwotę 3 522 EUR (trzy tysiące pięćset dwadzieścia dwa euro), powiększoną o wszelkie należne podatki, tytułem poniesionych kosztów i wydatków;

b) że od upływu wyżej wskazanego terminu trzech miesięcy aż do momentu uregulowania należności, należne będą odsetki zwykłe od określonej powyżej kwoty, naliczone według stopy równej marginalnej stopie procentowej Europejskiego Banku Centralnego obowiązującej w tym okresie, powiększonej o trzy punkty procentowe;

6. oddala jednogłośnie pozostałą część roszczenia skarżącego dotyczącego słusznego zadośćuczynienia.

Sporządzono w języku angielskim i obwieszczono pisemnie w dniu 24 kwietnia 2018 r., zgodnie z regułą 77 § 2 i 3 Regulaminu Trybunału.

Andrea Tamietti Ganna Yudkivska
Zastępca Kanclerza Przewodnicząca

Zgodnie z art. 45 ust. 2 Konwencji i regułą 74 § 2 Regulaminu Trybunału do wyroku załączono następujące opinie odrębne:

(a) zgodna opinia odrębna sędzi G. Yudkivskiej, do której przyłączył się sędzia M. Bošnjak;

b) rozbieżna opinia odrębna sędziego F. Vehabovića.

G.Y.
A.N.T.

ZGODNA OPINIA ODRĘBNA SĘDZI YUDKIVSKIEJ, DO KTÓREJ PRZYŁĄCZYŁ SIĘ SĘDZIA BOŠNJAK

Zgadzam się z rozstrzygnięciem przedstawionym w wyroku, jak również metodyką zastosowaną przez większość składu orzekającego. Zaskakuje mnie jednak wyraźna trudność w sformułowaniu wniosku co do istnienia ingerencji w rozpatrywanej sprawie, a w szczególności bardzo ostrożne podejście do kwestii uzasadnionego oczekiwania prywatności w par. 115–118.

Przedmiotowa sprawa daje wyjątkową okazję, by doprecyzować zakres uzasadnionego oczekiwania prywatności w erze cyfrowej, w której uderzająca ilość informacji na temat naszego życia prywatnego z łatwością krąży wokół, bez naszej kontroli. „Cywilizacja to postęp w kierunku społeczeństwa prywatności” stwierdziła Ayn Rand1. We współczesnej rzeczywistości prywatność w coraz większym stopniu staje się jednak cenioną wartością, która z dnia na dzień wymaga coraz większej ochrony. Niezliczeni akademicy ogłosili już „śmierć”, „kres” czy też „destrukcję” prywatności2. Uważa się, że aby chronić prywatność we współczesnych czasach, musimy ponownie rozważyć nieaktualne już rozumienie jej jako zwykłej tajemnicy i przejść w kierunku ochrony prawnej zaufania i poufności oraz praw do kontrolowania sposobu rozpowszechniania i wykorzystywania informacji3. Nam jako sędziom powierzono zadanie ponownego przemyślenia paradygmatu prywatności w przypadkach takich jak występujący w niniejszej sprawie.

W niniejszej sprawie Trybunał po raz pierwszy wdał się w – w zakresie koniecznym w przedmiotowych okolicznościach – w badanie protokołu internetowego i form adresowania IP, a więc adresów statycznych i dynamicznych. W sprawie Benedik mamy do czynienia z dynamicznym adresowaniem IP, a więc przypisywaniem nowych adresów IP z puli adresów przypisanych dostawcy usługi internetowej losowo za każdym razem, gdy użytkownik łączy się z internetem. Dzisiaj dynamiczne adresowanie IP to najpowszechniejsza forma adresowania przeznaczona dla konsumentów usługi internetowej, a zatem wnioski Trybunału dotyczące prywatności w niniejszej sprawie będą wpływać na zdecydowaną większość użytkowników internetu w całej Europie.

Powszechne w debacie nad prywatnością jest przywoływanie faktu, iż termin legalny „prywatność” nie występował do czasu opublikowania przez Samuela D. Warrena i Louisa D. Brandeisa ich głośnego artykułu „The Right to Privacy” – [Prawo do prywatności] – w roku 1890 r. Należy przy tym wspomnieć, że zainspirowała ich obawa, iż nowoczesne technologie, szczególnie wynaleziony niedługo wcześniej przenośny aparat i gwałtowny rozwój mediów drukowanych, będzie prowadził do ujawniania niepożądanych szczegółów życia zwykłych ludzi: „Fotografia natychmiastowa oraz przedsiębiorstwa prowadzące gazety naruszyły uświęcone strefy życia prywatnego i domowego; liczne urządzenia mechaniczne przynoszą groźbę realizacji przepowiedni, w myśl której »co wyszeptano w schowku zostanie obwieszczone wszem i wobec«”4.

Od tamtego czasu każdy przejaw rozwoju istniejących technologii oraz pojawienie się nowych prowadził do kolejnej zmiany doktryny prywatności oraz uzasadnionych oczekiwań: począwszy od obaw co do monitorowania rozmów telefonicznych na początku XX wieku po szeroko zakrojone dyskusje na temat masowej inwigilacji, gromadzenia i przetwarzania metadanych na początku XXI wieku. Już w 1966 r. sędzia William Douglas w zdaniu odrębnym wydanym w sprawie Osborn przeciwko Stanom Zjednoczonym ostrzegał: „Gwałtownie wkraczamy w erę braku prywatności, w której każdy będzie nadzorowany przez cały czas; gdzie nic nie ukryje się przed władzą”5. Techniczne możliwości istniejące dzisiaj opierają się na zdecydowanie większej ingerencji niż sędzia Douglas mógł przypuszczać pięćdziesiąt lat temu. Niemniej jednak szeroka ekspansja internetu stanowi jedynie nowy stopień intensywności starego problemu.

Pojęcie „uzasadnionego oczekiwania prywatności” Trybunał stosował w kilku sprawach, w tym niniejszej, ale sam termin przywędrował do nas z Sądu Najwyższego Stanów Zjednoczonych, który posłużył się nim w sprawie Katz przeciwko Stanom Zjednoczonym6, dotyczącej korzystania przez FBI z urządzeń podsłuchowych w celu uzyskania rozmów o nielegalnym hazardzie prowadzonych przez podejrzanego z publicznej budki telefonicznej. Jak zauważył Sąd Najwyższy, „osoba w budce telefonicznej może powoływać się na ochronę na podstawie czwartej poprawki w nie mniejszym stopniu niż osoba w biurze, w mieszkaniu znajomego czy w taksówce. Osoba zajmująca budkę, zamykająca za sobą drzwi i uiszczająca opłatę umożliwiającą jej wykonanie połączenia jest z pewnością uprawniona do tego, by zakładać, że słowa wypowiedziane przez nią do słuchawki nie będą ujawniane światu”.

Pojęcie to wprowadził w zgodnym zdaniu odrębnym sędzia Harlan, który napisał, że „rozumienie zasady wyłaniającej się z wcześniejszych orzeczeń opiera się na istnieniu dwuelementowego wymogu”: (1) osoba „wykazała się faktycznym (subiektywnym) oczekiwaniem prywatności”, oraz (2) społeczeństwo jest gotowe przyznać, że dane oczekiwanie jest (obiektywnie) uzasadnione. To właśnie ten test był następnie przywoływany w orzecznictwie Sądu Najwyższego USA dotyczącym czwartej poprawki.

Tutejszy Trybunał pojęcia „uzasadnionego oczekiwania prywatności” użył po raz pierwszy w sprawie Halford przeciwko Zjednoczonemu Królestwu7 . Trybunał uznał wówczas, że uzasadnione oczekiwanie prywatności występowało w przypadku funkcjonariusza policji i połączeń telefonicznych wykonywanych w miejscu pracy w sytuacji braku ostrzeżenia, że połączenia mogą być objęte podsłuchem. Trybunał odwołał się do tego samego pojęcia dziesięć lat później w sprawie Copland przeciwko Wielkiej Brytanii8, uznając, że w sytuacji braku ostrzeżenia pracownica college’u mogła powołać się na uzasadnione oczekiwanie prywatności w odniesieniu do korespondencji elektronicznej wysyłanej z uczelnianej skrzynki pocztowej.

W ostatnim czasie pojęcie to przywołała Wysoka Izba w sprawie Bărbulescu przeciwko Rumunii9 . Sprawa dotyczyła zwolnienia skarżącego z pracy w następstwie monitorowania jego komunikatów elektronicznych, wysyłanych głównie z konta Yahoo Messenger, które skarżący miał stworzyć do porozumiewania się z klientami. Stwierdzono, że korzystał z internetu w celach prywatnych w godzinach pracy, wbrew regulaminowi wewnętrznemu. Trybunał pozostawił otwartą kwestię, czy skarżącemu przysługiwało „uzasadnione oczekiwanie prywatności”, niezależnie od jasnych wytycznych pracodawcy dotyczących wstrzymania się od działań prywatnych w miejscu pracy, ponieważ „wytyczne pracodawcy nie mogą ograniczyć prywatnego życia społecznego w miejscu pracy do zera”.

W niniejszej sprawie podniesiono kwestię uzasadnionego oczekiwania prywatności w odniesieniu do danych o ruchu (danych pomiarowych czy też metadanych) i osobiście żałuję, że Trybunał nie wykorzystał okazji, by zająć jasne stanowisko w tej kwestii. Nie odniesiono się do interesującej dyskusji na ten temat, jaka toczyła się w Trybunale Konstytucyjnym Słowenii (zob. par. 28–34 wyroku).

Podobne dyskusje toczą się w amerykańskim wymiarze sprawiedliwości. Zgodnie z pierwotną koncepcją amerykańskiego prawa konstytucyjnego Sąd Najwyższy wyraźnie procedował na tej podstawie, że chociaż można mówić o uzasadnionym oczekiwaniu prywatności co do treści, takie uzasadnione oczekiwanie nie istnieje w przypadku metadanych (danych o ruchu). Około czterdzieści lat temu, w sprawie Smith przeciwko Stanowi Maryland10 Sąd Najwyższy rozważał kwestię postępowania z metadanymi przez przedsiębiorstwa telefoniczne, które dysponują informacjami o wybranych numerach i czasie trwania połączeń. Zauważył wówczas, że „byłoby przesadą oczekiwanie, że w tych okolicznościach abonentom telefonicznym przysługuje jakiekolwiek ogólne oczekiwanie, iż wybierane przez nich numery pozostaną tajemnicą”. Zatem w myśl tej koncepcji osobie nie przysługuje możliwość powołania się na uzasadnione oczekiwanie prywatności w odniesieniu do tego rodzaju informacji.

Sądy amerykańskie dokonały wykładni „doktryny osoby trzeciej” ustanowionej w sprawie Smith w ten sposób, że ma ona zastosowanie do adresów IP i orzekły, że użytkownikom internetu nie przysługuje uzasadnione oczekiwanie prywatności co do adresów IP, ponieważ dobrowolnie przekazują je osobom trzecim – własnym dostawcom usługi internetowej oraz dostawcom usług dostępnych w sieci11, zauważając przy tym jednak, że „sam akt korzystania z sieci nie wyklucza sam w sobie oczekiwania prywatności”12 a „osobom przysługuje obiektywnie uzasadnione oczekiwanie prywatności co do zawartości ich komputerów”13. Tym niemniej w 2008 r. Sąd Najwyższy New Jersey wydał wyrok w sprawie Stan przeciwko Reidowi14, w którym wyjaśnił, że „osoby potrzebują adresu dostawcy usługi internetowej, by korzystać z internetu”. Niemniej jednak, gdy użytkownicy korzystają z sieci z zacisza swojego domu, mają powody, by oczekiwać, że ich działania pozostaną poufne. Wiele osób nie ma świadomości, że ich numeryczne adresy IP mogą być pozyskane przez strony internetowe, które odwiedzają. Bardziej świadomi użytkownicy rozumieją, że unikalny ciąg liczb sam w sobie ujawnia niewiele informacji światowi zewnętrznemu, o ile w ogóle ujawnia jakiekolwiek. Tylko dostawca usługi internetowej może »przetłumaczyć« adres IP na imię i nazwisko użytkownika”.

W późniejszym czasie Sąd Nowego Jorku zajmował się niezwykle ważną kwestią zmiany wzorca prywatności, wymuszonej współczesną aktywnością w internecie: „[...] chociaż rozszyfrowane adresy IP nie ujawniają treści komunikatów internetowych, same dane abonenta mogą ujawnić wiele na temat danej osoby. Dysponując pełną listą adresów IP, można śledzić korzystanie przez osobę z internetu [...]. Tego rodzaju informacje mogą spowodować ujawnienie szczegółów na temat życia prywatnego osoby tak samo jak ujawnienie billingów telefonicznych. Chociaż treść komunikacji internetowej może ujawnić jeszcze więcej, obydwa rodzaje informacji wiążą się z interesem prywatności”.

W mojej ocenie to właśnie stanowi najważniejsze wyzwanie, które powinno być jasno wyartykułowane – dane o ruchu, czy też metadane, są obecnie gromadzone na dużo większą skalę niż dane dotyczące treści (faktyczne treść komunikatów), a tego rodzaju ingerencja musi być „przewidziana wcześniej ustawą i określona w sposób wyraźny, wyczerpujący, precyzyjny i jasny, zarówno pod względem materialnym, jak i proceduralnym”, wraz z określeniem „przyczyn i warunków umożliwiających państwu przechwytywanie komunikatów osób, gromadzenie danych pochodzących z łączności lub »metadanych” lub obejmowanie ich nadzorem lub monitorowaniem, które narusza strefy, w których występuje uzasadnione oczekiwanie prywatności”15. W rezolucji Zgromadzenia Parlamentarnego Rady Europy w sprawie masowej inwigilacji16 zaapelowano do państw członkowskich Rady Europy, „by zapewniły, aby ich przepisy krajowe dopuszczały możliwość gromadzenia i analizy danych osobowych (w tym tak zwanych metadanych) wyłącznie za zgodą danej osoby lub na podstawie postanowienia sądu wydanego w oparciu o uzasadnione przypuszczenie, że dana osoba jest zaangażowana w działalność przestępczą [...]”.

Wygląda na to, iż przyjmuje się, że gromadzenie metadanych było (i nadal jest) postrzegane jako stanowiące mniejszą ingerencję niż gromadzenie treści. W erze przedinternetowej, w 1984 r., Europejski Trybunał Praw Człowieka orzekł, że chociaż gromadzenie treści stanowi większą ingerencję niż gromadzenie metadanych, gromadzenie metadanych i tak stanowiłoby ingerencję w art. 8. Miało to miejsce w sprawie Malone przeciwko Wielkiej Brytanii17, odnoszącej się do sytuacji, w której policja skorzystała z urządzeń rejestrujących numery wybrane na konkretnym telefonie, jak również godzinę i czas trwania każdego z połączeń, bez podsłuchiwania rozmów. Rząd twierdził, że gromadzenie tego rodzaju informacji nie wiąże się z ingerencją w prawo zagwarantowane art. 8.

Trybunał w sprawie Malone zauważył, że „nie przyjmuje, iż [...] korzystanie z danych uzyskanych z pomiarów, niezależnie od okoliczności i celów, nie daje podstaw do powołania się na art. 8”, ponieważ numery wybrane, stanowią „integralny element łączności z użyciem telefonu”, a przekazanie takich informacji policji przez dostawcę usługi telefonicznej bez zgody abonenta stanowiło ingerencję w jego prawo zagwarantowane art. 8 ( Malone, § 84).

Stanowisko to musi być dzisiaj zdecydowanie wzmocnione. Pogląd, że metadane nie zasługują na ten sam poziom ochrony co dane dotyczące treści, nie utrzymuje się w konfrontacji z dzisiejszą rzeczywistością: obecnie istnieje tak wiele form metadanych – od połączeń telefonicznych, poczty elektronicznej, wyszukiwarek internetowych pokazujących historię odwiedzonych stron, po mapy Google pokazujące lokalizację, itp.; że jeżeli dane te zostaną połączone ze sobą, tworzy to stanowiący niezwykłą ingerencję obraz osoby zainteresowanej, ukazujący jej powiązania osobiste i zawodowe, pochodzenie etniczne, poglądy polityczne, przekonania religijne, przynależność do różnych grup, status finansowy, historię zakupów lub chorób itd. Aby uzyskać te informacje, nie jest konieczne zadanie sobie trudu słuchania rozmów lub czytania listów, jak miało to miejsce w starych, dobrych czasach. Zwrócono na to uwagę w rezolucji Rady Praw Człowieka ONZ w sprawie prawa do prywatności w erze cyfrowej, w której zauważono, że „choć metadane mogą przynosić korzyści, pewnego rodzaju metadane, gdy zostaną złączone ze sobą, mogą ujawniać dane osobowe, które wcale nie są mniej wrażliwe niż faktyczne treści komunikatów i mogą dostarczać wiedzy na temat zachowania osoby, jej powiązań społecznych, osobistych preferencji i tożsamości”18.

W książce „Dane i Goliat”19, poświęconej „złotemu wiekowi nadzoru”, Bruce Schneire, czołowy ekspert ds. bezpieczeństwa, podaje fascynujący przykład eksperymentu prowadzonego przez Uniwersytet Stanford, w którym analizowano metadane z telefonu grupy osób i z łatwością zidentyfikowano wśród nich, jedynie na podstawie danych o ruchu w odniesieniu do różnych połączeń telefonicznych, osobę, która miała atak serca, osobę hodującą marihuanę oraz kobietę w ciąży planującą aborcję.

Gromadzenie i łączenie ze sobą różnego rodzaju chronionych informacji pochodzących z różnych źródeł tworzy nowe zagrożenia dla praw człowieka, na które Trybunał nie może przymykać oczu, zważywszy, że nieomal wszystko, co robimy, pozostawia ślady w sieci.

Skarżący w niniejszej sprawie, podobnie jak wszyscy inni użytkownicy internetu, cieszył się anonimowością, ponieważ dynamiczne adresy IP można przypisać użytkownikowi wyłącznie, jeżeli informacja taka zostanie ujawniona przez dostawcę usługi w następstwie stosownego wniosku. Nie powinno zatem budzić żadnych wątpliwości, że jego oczekiwanie prywatności było w pełni uzasadnione, niezależnie od odrażającego i nielegalnego charakteru jego aktywności, co wyjaśniono w par. 99 (gdyby ingerencja była przewidziana przez ustawę, Trybunał badałby w dalszych krokach jej proporcjonalność oraz należycie uwzględnił charakter czynu zabronionego).

W świetle powyższego uważam, że Trybunał powinien był stwierdzić jednoznacznie, że z uwagi na techniczną anonimowość adresów IP użytkownicy internetu, korzystając z niego, mogą powołać się na uzasadnione oczekiwanie prywatności. Dalsze przetwarzanie metadanych może być prowadzone jedynie zgodnie z ustawą, która spełnia wymogi jakościowe, jak zauważono powyżej.

Ochrona prywatności stanowi kluczowe osiągnięcie europejskiej kultury politycznej i prawnej, szczególnie iż kształtowała się w kontekście horroru reżimu nazistowskiego i komunistycznego. W wymiarze długofalowym prywatność pozostanie prawem podstawowym tylko tak długo, jak długo będzie jej bronić społeczeństwo, natomiast zniknie, gdy społeczeństwo przestanie postrzegać ją jako zasadniczą wartość. Całkiem zasadnie oczekujemy, że nasza prywatność będzie chroniona, nawet online. Nasze prawo podstawowe polegające na kontrolowaniu tego, jak prezentujemy się przed światem zewnętrznym, ma kluczowe znaczenie i stanowisko to powinno być podkreślone przez Trybunał.

ROZBIEŻNA OPINIA ODRĘBNA SĘDZIEGO VEHABOVIĆA

Nie przychyliłem się do opinii większości składu orzekającego, który uznał, że doszło do naruszenia art. 8 Konwencji w odniesieniu do uzasadnionego oczekiwania prywatności skarżącego oraz istnienia ingerencji w prawa skarżącego wynikające z art. 8 Konwencji.

Informacje ujawnione w dniu 7 sierpnia 2006 r. organom lokalnym przez dostawcę usługi internetowej (DUI) nie były danymi o ruchu ani danymi osobowymi dotyczącymi skarżącego; był to adres oraz imię i nazwisko ojca skarżącego, który był abonentem usługi internetowej. Z powyższego faktu wynika, że skarżący nie mógł uważać się za ofiarę, ponieważ dane abonenta ujawnione przez DUI policji dotyczyły jego ojca, który nie jest skarżącym w sprawie, na co zwrócił uwagę Rząd.

Uzasadnione podejrzenie przekazywania plików zawierających pornografię z udziałem małoletnich, stanowiącego czyn zabroniony, wymagało podjęcia przez lokalne organy dalszych czynności śledczych, a informacje dotyczące skarżącego, a więc dane o ruchu związanym z aktywnością online prowadzoną z danego adresu IP, zostały ujawnione policji w dniu 14 grudnia 2006 r., po wydaniu przez Sąd Rejonowy postanowienia nakazującego DUI ujawnienie zarówno danych osobowych abonenta, jak i danych o ruchu powiązanych z przedmiotowych adresem IP. Ponadto, sędzia Sądu Rejonowego w Kranji prowadzący sprawę w dniu 12 stycznia 2007 r. wydał nakaz przeszukania lokalu mieszkalnego; dopiero wówczas powiązano skarżącego z przedmiotowymi danymi o ruchu i dopiero od tego momentu skarżący może uznawać się za ofiarę.

W mojej ocenie odzyskanego adresu IP, który doprowadził do adresu oraz imienia i nazwiska ojca skarżącego, nie można uznawać za dane osobowe samego skarżącego, ponieważ adres ten nie ujawniał tożsamości ani danych o ruchu skarżącego ani jego ojca.

Trybunał kilkakrotnie odwoływał się do Konwencji w sprawie ochrony danych osobowych, w której w art. 2 zdefiniowano dane osobowe, jako „każdą informację dotyczącą osoby fizycznej o określonej tożsamości lub dającej się zidentyfikować” (zob. Satakunnan Markkinapörssi Oy i Satamedia Oy przeciwko Finlandii, 931/13, § 133, oraz Amann przeciwko Szwajcarii, 27798/95, §65). Organy lokalne nie otrzymały informacji o skarżącym; skarżący nie był osobą o określonej tożsamości ani dającą się zidentyfikować przed wydaniem postanowienia sądu, co stanowiło podstawę do uznania przez Trybunał naruszenia art. 8 Konwencji. Nie zgadzam się zatem z rozstrzygnięciem większości składu orzekającego, że doszło do ingerencji w prawo skarżącego wynikające z art. 8 Konwencji.

Co się tyczy uzasadnionego oczekiwania prywatności, nie uważam, aby subiektywna perspektywa skarżącego w przedmiocie prywatności powinna być brana pod uwagę w przypadku, gdy sprawa dotyczy czynu zabronionego. Nieomal w każdym przypadku przestępcy nie chcą, by inne osoby miały wiedzę o ich działaniach. Tego rodzaju oczekiwanie prywatności nie byłoby uzasadnione, gdyby opierało się na niezgodnych z prawem, czy w tym przypadku karalnych, pobudkach. Oczekiwanie ukrycia działalności przestępczej nie powinno być uznawane za uzasadnione. W przedmiocie drugiego aspektu związanego z uzasadnionym oczekiwaniem prywatności należy zauważyć, że skarżący udostępniał pliki zawierające pornografię z udziałem małoletnich (co w mojej ocenie Izba umyślnie pominęła w par. 115), wykorzystując konto publicznej sieci, widoczne dla innych. Skarżący wiedział zatem, lub powinien był wiedzieć, że jego działania nie były anonimowe. Skarżący nie zamierzał ukrywać swojej działalności w chwili popełnienia czynu zabronionego.

Co więcej, w wielu przypadkach, w których stwierdzono ingerencję, Trybunał uważał zapobieżenie przestępstwu za uprawniony cel. Przykładowo w sprawie Nada przeciwko Szwajcarii Trybunał orzekł, że „skarżący najwyraźniej nie zaprzeczał temu, iż zaskarżone ograniczenia nałożono z myślą o realizacji uprawnionych celów. Trybunał uznaje, że ograniczenia służyły realizacji jednego lub kilku uprawnionych celów wyszczególnionych w art. 8 ust. 2: po pierwsze służyły zapobieżeniu przestępstwu ( Nada przeciwko Szwajcarii, skarga nr 10593/08, § 174). Również w sprawie S. i Marper przeciwko Wielkiej Brytanii „Trybunał zgadza się z Rządem, że zatrzymanie odcisków palców i danych DNA służy realizacji uprawnionego celu, jakim jest wykrycie przestępstwa oraz zapobieżenie mu. Podczas gdy pierwotne uzyskanie takich informacji służy celowi powiązana konkretnej osoby z konkretnym przestępstwem, o które jest podejrzewana, zatrzymanie tych materiałów służy szerszemu celowi pomocy w ustalaniu tożsamości przyszłych sprawców (zob. S. i Marper przeciwko Wielkiej Brytanii, skarga nr 30562/04 30566/04, § 100). Z uwagi na powyższe nie zgadzam się z rozstrzygnięciem większości składu orzekającego, iż doszło do naruszenia praw skarżącego wynikających z art. 8 Konwencji.

1. Ayn Rand, The Fountainhead.

2. Zob. Daniel Solove, „Speech, Privacy and Reputation on the Internet” w: Saul Levmore and Martha Nussbaum, red., The Offensive Internet: Speech, Privacy, and Reputation, Cambridge, Mass.: Harvard University Press, 2011, i przytoczone tam źródła.

3. Ibid., s. 20 i 22.

4. Warren & Brandeis, the Right to Privacy, 4 HARV. L. REV. 193 (1890).

5. Osborn v. United States, 385 U.S. 323 (1966).

6. Katz v. United States, 389 U.S. 347 (1967).

7. Halford przeciwko Wielkiej Brytanii, 25 czerwca 1997 r., Zbiór Orzeczeń i Decyzji 1997–III.

8. Copland przeciwko Wielkiej Brytanii, skarga nr 62617/00, ETPCz 2007–I.

9. WI, skarga nr 61496/08, ETPCz 2017 (fragmenty).

10. Smith v. Maryland, 442 U.S. 735 (1979).

11. Zob. Alexandra D. Vesalga, Location, Location, Location: Updating the Electronic Communications Privacy Act to Protect Geolocational Data, 43 GOLDEN GATE U.L.REV. 459(2013), w odniesieniu do United States v. Bynum, 604 F.3d 161, 164 & n.2 (4th Cir. 2010); United States v. Perrine, 518 F.3d 1196, 1204 (10th Cir. 2008); United States v. Forrester, 512 F.3d 500, 509-10 (9th Cir. 2008), itp.

12. United States v. Heckenkamp, 482 F.3d 1 142, 1 146 (9th Cir. 2007).

13. United States v. Howe, 2011 WL 2160472 at. 7 (W.D.N .Y. May 27, 2011).

14. State v. Reid, 945 A.2d 26, 28 (N.J. 2008).

15. Biuro Specjalnego Sprawozdawcy ds. Wolności Wypowiedzi przy Interamerykańskiej Komisji ds. Praw Człowieka, Wolności Wypowiedzi i Internetu (31 grudnia 2013 r.).

16. Rezolucja PACE nr 2045 w sprawie masowej inwigilacji (21 kwietnia 2015 r.).

17. Malone przeciwko Wielkiej Brytanii, 2 sierpnia 1984 r., Seria A nr 82.

18. Rezolucja Rady Praw Człowieka ONZ w sprawie prawa do prywatności w erze cyfrowej; ONZ. Doc. A/HRC/34/L.7/Rev.1 (22 marca 2017 r.).

19. Bruce Schneier, „Dane i Goliat: Ukryta bitwa o Twoje dane i kontrolę nad światem”, Nowy Jork, N.Y.: W.W. Norton & Company, 2015.