Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w połączonych sprawach C-203/15 Tele2 Sverige AB/Post-ochtelestyrelsen i C-698/15 Secretary of State for the Home Department/Tom Watson i in. wydał 21 grudnia 2016 r. wyrok dotyczący zatrzymywania danych.
Krajowe przepisy wciąż obowiązują
W poprzednim takim wyroku z 8 kwietnia 2014 r. w połączonych sprawach C-293/12 i C-594/12 Digital Rights Ireland i Seitlinger i in. TSUE stwierdził nieważność dyrektywy 2006/24/WE Parlamentu Europejskiego i Rady z 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności oraz zmieniającej dyrektywę 2002/58/WE (dyrektywa 2006/24/WE). Uzasadniając wyrok, Trybunał stwierdził m.in., że w dyrektywie brakuje definicji „poważnych przestępstw" (art. 1 ust. 1 odsyła do pojęcia „poważnych przestępstw" w ustawodawstwie każdego państwa członkowskiego). Dyrektywa nie określa żadnych materialnych i proceduralnych przesłanek uzyskania przez właściwe organy krajowe dostępu do danych, a następnie ich wykorzystania. Uzyskanie przez właściwe organy krajowe dostępu do danych nie podlega uprzedniej kontroli sądu lub niezależnego organu administracyjnego. Trybunał wskazał, że dyrektywa ta obejmuje generalnie wszystkie jednostki, środki łączności elektronicznej i dane o ruchu. Nie przewidziano w niej żadnego zróżnicowania, ograniczenia ani wyjątku w zależności od celu dotyczącego zwalczania poważnych przestępstw. Brak również zróżnicowania, ograniczenia lub wyjątku, gdy chodzi o osoby.
Wreszcie dyrektywa nie tylko nie wyznacza ogólnych granic swojego zastosowania, ale także nie przewiduje żadnego obiektywnego kryterium, które pozwoliłoby zagwarantować, że właściwe organy krajowe będą miały dostęp do danych i będą mogły je wykorzystywać wyłącznie do zapobiegania, wykrywania i ścigania przestępstw.
Dyrektywa 2006/24/WE została implementowana do polskiego prawa nowelizacją prawa telekomunikacyjnego z 24 kwietnia 2009 r. Stała się podstawą do nałożenia na przedsiębiorców telekomunikacyjnych obowiązku zatrzymywania i przechowywania, a następnie – na żądanie określonych organów – udostępniania danych telekomunikacyjnych. Stworzyła prawne ramy dostępu do danych przez upoważnione podmioty.
Konsekwencją wyroku TSUE jest nieważność dyrektywy 2006/24/WE, co oznacza, że nie ma już aktu prawnego na poziomie EU, który zobowiązywałby państwa członkowskie do wprowadzenia lub utrzymania regulacji dotyczących przechowywania danych. Dyrektywa 2006/24/WE nie powinna być zatem dalej stosowana. Utrata stosowalności nie powoduje jednak nieważności przepisów implementujących tę dyrektywę w prawie krajowym. Nie stają się one automatycznie nieważne. W praktyce oznacza to, że do chwili, gdy przepisy krajowe nie zostaną zmienione, nadal obowiązują.
