Pravni okvir

Pravo Unije

Opći propisi o zaštiti osobnih podataka

– Direktiva 95/46/EZ

– OUZP

Sektorski propisi o zaštiti osobnih podataka.

– Direktiva 2002/58

– Direktiva (EU) 2016/680

Propisi o zaštiti prava intelektualnog vlasništva

Francusko pravo

CPI

Uredba br. 2010‑236

Zakonik o pošti i elektroničkim komunikacijama

Glavni postupak i prethodna pitanja

O prethodnim pitanjima

Uvodne napomene

Postojanje opravdanja, na temelju članka 15. stavka 1. Direktive 2002/58, pristupa javnog tijela podacima o građanskom identitetu koji odgovaraju određenoj IP adresi koje su zadržali pružatelji elektroničkih komunikacijskih usluga u svrhe borbe protiv povreda počinjenih na internetu

Zahtjevi kad je riječ o zadržavanju podataka o građanskom identitetu i odgovarajućih IP adresa od strane pružatelja elektroničkih komunikacijskih usluga

Zahtjevi kad je riječ o pristupu podacima o građanskom identitetu koji odgovaraju određenoj IP adresi koje su zadržali pružatelji elektroničkih komunikacijskih usluga

Zahtjev nadzora suda ili neovisnog upravnog tijela koji prethodi pristupu javnog tijela podacima o građanskom identitetu koji odgovaraju određenoj IP adresi

Zahtjevi koji se tiču materijalnih i postupovnih uvjeta te jamstava protiv opasnosti od zlouporabe te protiv bilo kakvog nezakonitog pristupa tim podacima i bilo kakve njihove nezakonite uporabe koji se primjenjuju na pristup javnog tijela podacima o građanskom identitetu koji odgovaraju određenoj IP adresi

Troškovi

–

za La Quadrature du Net, Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net i French Data Network, A. Fitzjean Ó Cobhthaigh, avocat,

–

za francusku vladu, A. Daniel, A.-L. Desjonquères i M. J. Illouz, u svojstvu agenata,

–

za dansku vladu, J. F. Kronborg i V. Pasternak Jørgensen, u svojstvu agenata,

–

za estonsku vladu, M. Kriisa, u svojstvu agenta,

–

za finsku vladu, H. Leppo, u svojstvu agenta,

–

za švedsku vladu, H. Shev, u svojstvu agenta,

–

za norvešku vladu, F. Bergsjø, S.-E. Dahl, J. T. Kaasin i P. Wennerås, u svojstvu agenata,

–

za Europsku komisiju, S. L. Kalėda, H. Kranenborg, P.-J. Loewenthal i F. Wilman, u svojstvu agenata,

–

za La Quadrature du Net, Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net i French Data Network, A. Fitzjean Ó Cobhthaigh, avocat,

–

za francusku vladu, R. Bénard, J. Illouz i T. Stéhelin, u svojstvu agenata,

–

za češku vladu, T. Suchá i J. Vláčil, u svojstvu agenata,

–

za dansku vladu, J. F. Kronborg i C. A.-S. Maertens, u svojstvu agenata,

–

za estonsku vladu, M. Kriisa, u svojstvu agenta,

–

za Irsku, M. Browne, Chief State Solicitor, A. Joyce i D. O’Reilly, u svojstvu agenata, uz asistenciju D. Fenellyja, BL,

–

za španjolsku vladu, A. Gavela Llopis, u svojstvu agenta,

–

za ciparsku vladu, I. Neophytou, u svojstvu agenta,

–

za latvijsku vladu, J. Davidoviča i K. Pommere, u svojstvu agenata,

–

za nizozemsku vladu, E. M. M. Besselink, K. Bultermann i A. Hanje, u svojstvu agenata,

–

za finsku vladu, A. Laine i H. Leppo, u svojstvu agenata,

–

za švedsku vladu, F.-D. Göransson i H. Shev, u svojstvu agenata,

–

za norvešku vladu, S.-E. Dahl i P. Wennerås, u svojstvu agenata,

–

za Europsku komisiju, S. L. Kalėda, H. Kranenborg, P.-J. Loewenthal i F. Wilman, u svojstvu agenata,

–

za Europskog nadzornika za zaštitu podataka, V. Bernardo, C.-A. Marnier, D. Nardi i M. Pollmann, u svojstvu agenata,

–

za Agenciju Europske unije za kibersigurnost, A. Bourka, u svojstvu agenta,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.; SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111. i ispravak SL 2017., L 162, str. 56.), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. (SL 2009., L 337, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 224. i ispravak SL 2018., L 74, str. 11.; u daljnjem tekstu: Direktiva 2002/58), u vezi s Poveljom Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).

2

Zahtjev je upućen u okviru spora između, s jedne strane, La Quadrature du Net, Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net i French Data Network, udrugâ, i, s druge strane, Premier ministrea (predsjednik Vlade, Francuska) i ministrea de la Culture (ministar kulture, Francuska) u pogledu zakonitosti décreta no 2010‑236, du 5 mars 2010, relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331‑29 du code de la propriété intellectuelle dénommé „Système de gestion des mesures pour la protection des œuvres sur Internet” (Uredba br. 2010‑236 od 5. ožujka 2010. o automatskoj obradi osobnih podataka, koja je odobrena člankom L. 331‑29 Zakonika o intelektualnom vlasništvu, pod nazivom „Sustav upravljanja mjerama za zaštitu djelâ na internetu” (JORF br. 56 od 7. ožujka 2010., tekst br. 19), kako je izmijenjen décretom no 2017‑924, du 6 mai 2017, relatif à la gestion des droits d’auteur et des droits voisins par un organisme de gestion de droits et modifiant le code de la propriété intellectuelle (Uredba br. 2017‑924 od 6. svibnja 2017. o upravljanju tijela za ostvarivanje pravâ autorskim i srodnim pravima i o izmjeni Zakonika o intelektualnom vlasništvu) (JORF br. 109 od 10. svibnja 2017., tekst br. 176; u daljnjem tekstu: Uredba br. 2010‑236).

3

Sadržan u odjeljku II., naslovljenom „Mjerila za zakonitost obrade podataka”, Poglavlja II. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.), njezin članak 7. glasio je kako slijedi:

„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:

[…]

4

Članak 13. stavak 1. navedene direktive određivao je:

„Države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava iz članka 6. stavka 1., članka 10., članka 11. stavka 1. te članka 12. i 21. ove Direktive kada takvo ograničavanje predstavlja potrebne mjere za zaštitu:

[…]

5

Članak 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP), naslovljen „Glavno područje primjene”, u stavcima 1. i 2. određuje:

„1.   Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

2.   Ova se Uredba ne odnosi na obradu osobnih podataka:

[…]

6

Člankom 4. OUZP‑a, naslovljenim „Definicije”, propisano je:

„Za potrebe ove Uredbe:

[…]”

7

Članak 6. te uredbe, naslovljen „Zakonitost obrade”, u stavku 1. predviđa:

„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.”

8

Člankom 9. navedene uredbe, naslovljenim „Obrada posebnih kategorija osobnih podataka”, stavkom 2. točkama (e) i (f) predviđeno je da se zabrana obrade određenih vrsta osobnih podataka, među ostalim, onih o spolnom životu ili seksualnoj orijentaciji pojedinca, ne primjenjuje kada se obrada odnosi na osobne podatke za koje je očito da ih je objavio ispitanik ili kada je ona nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva.

9

Člankom 23. OUZP‑a, naslovljenim „Ograničenja”, stavkom 1. određuje se:

„Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

[…]

(i) zaštite ispitanika ili prava i sloboda drugih;

(j) ostvarivanja potraživanja u građanskim sporovima.”

10

U uvodnim izjavama 2., 6., 7., 11., 26. i 30. Direktive 2002/58 navodi se:

[…]

[…]

[…]

[…]

11

U skladu s člankom 2. Direktive 2002/58, naslovljenim „Definicije”:

„[…]

Sljedeće definicije se također primjenjuju:

[…]”

12

Člankom 3. te direktive, naslovljenim „Usluge”, određuje se:

„Ova se Direktiva primjenjuje na obradu osobnih podataka vezanih uz pružanje javno dostupnih usluga elektroničkih komunikacija na javno dostupnim komunikacijskim mrežama u Zajednici, uključujući javne komunikacijske mreže koje podržavaju prikupljanje podataka i naprava za identifikaciju.”

13

U skladu s člankom 5. navedene direktive, naslovljenim „Povjerljivost komunikacija”:

„1.   Države članice putem svojih zakonodavstava osiguravaju povjerljivost komunikacija i s time povezanih podataka o prometu koji se šalju preko javne komunikacijske mreže i javno dostupnih elektroničkih komunikacijskih usluga. One posebno zabranjuju svim osobama koje nisu korisnici slušanje, prisluškivanje, pohranjivanje ili druge oblike presretanja odnosno nadzora nad komunikacijama i s time povezanim podacima o prometu, bez pristanka korisnika, osim u slučaju kada imaju zakonsko dopuštenje da to učine u skladu s člankom 15. stavkom 1. Ovaj stavak ne sprečava tehničko pohranjivanje koje je nužno za prijenos komunikacije, ne dovodeći u pitanje načelo povjerljivosti.

[…]

3.   Države članice osiguravaju da je pohranjivanje podataka ili uspostavljanje pristupa već pohranjenim podacima na terminalnoj opremi pretplatnika ili korisnika, dozvoljeno samo pod uvjetom da je dotični pretplatnik ili korisnik dao svoj pristanak, nakon što je iscrpno i razumljivo, u skladu s Direktivom [95/46], između ostalog obaviješten o namjeni postupka obrade. […]”

14

Člankom 6. te direktive, naslovljenim „Podaci o prometu”, određuje se:

„1.   Podaci o prometu koji se odnose na pretplatnike i korisnike i koje je davatelj javne komunikacijske mreže ili javno dostupne elektroničke komunikacijske usluge obradio i pohranio moraju se obrisati ili učiniti anonimnima kada više nisu potrebni u svrhu prijenosa komunikacije, ne dovodeći u pitanje stavke 2., 3. i 5. ovog članka te članak 15. stavak 1.

2.   Podaci o prometu koji su nužni u svrhu naplaćivanja usluge od pretplatnika te u svrhu plaćanja međusobnog povezivanja mogu se obraditi. Takva je obrada dopustiva isključivo do kraja razdoblja tijekom kojega se račun može pravno pobijati ili tijekom kojega se može zahtijevati plaćanje.

3.   Za potrebe marketinga usluga elektroničkih komunikacij[…]a ili za potrebe pružanja usluga s dodatnom vrijednošću, operator javno dostupnih usluga elektroničkih komunikacija može obraditi podatke iz stavka 1. u onoj mjeri te u onom vremenskom razdoblju koje je neophodno za takve usluge ili marketing, ako je pretplatnik ili korisnik na kojeg se odnose podaci prethodno dao svoj pristanak. Korisnicima ili pretplatnicima u svakome trenutku daje se mogućnost povlačenja njihovog odobrenja za obradu podataka o prometu.

[…]

5.   Obrada podataka o prometu, u skladu sa stavcima 1., 2., 3. i 4. mora se ograničiti na osobe koje djeluju pod nadzorom davatelja javnih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga i koje se bave naplaćivanjem usluga ili upravljanjem prometom, upitima potrošača, otkrivanjem prijevara, marketingom elektroničkih komunikacijskih usluga ili pružanjem usluga s posebnom tarifom, te mora biti ograničena na ono što je nužno u svrhe takvih aktivnosti.”

15

Članak 15. Direktive 2002/58, naslovljen „Primjena određenih odredaba Direktive [95/46]”, navodi:

„1.   Države članice mogu donijeti zakonske mjere kojima će ograničiti opseg prava i obveza koji pružaju članak 5., članak 6., članak 8. stavci 1., 2., 3. i 4., te članak 9. ove Direktive kada takvo ograničenje predstavlja nužnu, prikladnu i razmjernu mjeru unutar demokratskog društva s ciljem zaštite nacionalne sigurnosti (odnosno državne sigurnosti), obrane, javne sigurnosti te s ciljem sprečavanja, istrage, otkrivanja i progona kaznenih djela odnosno neovlaštene uporabe elektroničkog komunikacijskog sustava iz članka 13. stavka 1. Direktive [95/46]. S tim u vezi, države članice mogu, između ostalog, donijeti zakonske mjere kojima se omogućuje zadržavanje podataka tijekom ograničenog razdoblja opravdane razlozima određenim u ovom stavku. Sve mjere iz ovog stavka moraju biti u skladu s općim načelima prava Zajednice, uključujući ona iz članka 6. stavaka 1. i 2. [UEU‑a].

[…]

2.   Odredbe poglavlja III. o pravnim lijekovima, odgovornosti i sankcijama iz Direktive [95/46] primjenjuju se u vezi s nacionalnim odredbama donesenima prema ovoj Direktivi te u vezi s pravima pojedinaca koja proistječu iz ove Direktive.

[…]”

16

Članak 1. Direktive (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14.), naslovljen „Predmet i ciljevi”, u stavku 1. predviđa:

„Ovom se Direktivom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.”

17

Člankom 3. navedene direktive, naslovljenim „Definicije”, određuje se:

„Za potrebe ove Direktive:

[…]

7. ‚nadležno tijelo’ znači:

[…]”

18

Članak 8. Direktive 2004/48/EZ Europskog parlamenta i Vijeća od 29. travnja 2004. o provedbi prava intelektualnog vlasništva (SL 2004., L 157, str. 45.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 17., svezak 2., str. 74.), naslovljen „Pravo na informaciju”, određuje:

„1.   Države članice osiguravaju da, u okviru postupaka u vezi s povredom prava intelektualnog vlasništva i kao odgovor na opravdan i razmjeran zahtjev tužitelja, nadležna sudska tijela mogu narediti da informaciju o podrijetlu i distribucijskim mrežama robe ili usluga koje povrjeđuju prava intelektualnog vlasništva treba pružiti počinitelj povrede […]

2.   Podaci iz stavka 1., prema potrebi, obuhvaćaju:

[…]

3.   Stavci 1. i 2. primjenjuju se ne dovodeći u pitanje ostale zakonske odredbe koje:

19

Člankom L. 331‑12 codea de la propriété intellectuelle (Zakonik o intelektualnom vlasništvu), u verziji koja je bila na snazi na datum odluke koju osporavaju tužitelji iz glavnog postupka (u daljnjem tekstu: CPI), određuje se:

„Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (Visoko tijelo za emitiranje djelâ i zaštitu prava na internetu, Francuska, u daljnjem tekstu: Hadopi) neovisno je javno tijelo. […]”

20

Člankom L. 331‑13 tog zakonika propisuje se:

„[Hadopi] osigurava:

1° poticaj razvoja zakonske ponude i nadzor zakonitog i nezakonitog korištenja djelâ i predmeta kojima je pridruženo autorsko ili srodno pravo na elektroničkim komunikacijskim mrežama koje se koriste za pružanje javnih internetskih komunikacijskih usluga;

2° zaštitu tih djela i predmeta od povreda tih prava na elektroničkim komunikacijskim mrežama koje se koriste za pružanje javnih internetskih komunikacijskih usluga;

[…]”

21

U skladu s člankom L. 331‑15 navedenog zakonika:

„[Hadopi] je sastavljen od kolegija i povjerenstva za zaštitu prava. […]

[…]

Prilikom izvršavanja svojih ovlasti članovi kolegija i povjerenstva za zaštitu prava ne primaju upute ni od jednog tijela.”

22

Članak L. 331‑17 prvi stavak tog zakonika propisuje:

„Povjerenstvo za zaštitu prava zaduženo je za poduzimanje mjera predviđenih u članku L. 331‑25.”

23

U skladu s člankom L. 331‑21 CPI‑ja:

„Kako bi povjerenstvo za zaštitu prava moglo izvršavati svoje ovlasti, [Hadopi] ima na raspolaganju javne službenike koji su položili prisegu i koje je [njegov] predsjednik ovlastio pod uvjetima utvrđenima uredbom Državnog vijeća. […]

Članovi povjerenstva za zaštitu prava i službenici iz prvog stavka zaprimaju zahtjeve upućene navedenom povjerenstvu pod uvjetima iz članka L. 331‑24. Oni provode ispitivanje činjenica.

Za potrebe postupka mogu zatražiti sve dokumente, bez obzira na medij na kojem su pohranjeni, uključujući i podatke koje su operatori elektroničkih komunikacija zadržali i obradili na temelju članka L. 34‑1 codea des postes et des communications électroniques (Zakonik o pošti i elektroničkim komunikacijama) i koje su zadržali i obradili pružatelji usluga navedeni u članku 6. stavku I. točkama 1. i 2. loia no 2004‑575 du 21 juin 2004 pour la confiance dans l'économie numérique (Zakon br. 2004‑575 od 21. lipnja 2004. o povjerenju u digitalnu ekonomiju).

Također mogu dobiti preslike dokumenata navedenih u prethodnom stavku.

Među ostalim, od operatora elektroničkih komunikacija mogu zatražiti podatke o identitetu, adresi, adresi elektroničke pošte i telefonskom broju pretplatnika čiji je pristup javnim internetskim komunikacijskim uslugama upotrijebljen za reprodukciju, prikazivanje, stavljanje na raspolaganje ili priopćavanje javnosti zaštićenih djela ili predmeta bez odobrenja nositelja prava […] kad je ono potrebno.”

24

Članak L. 331‑24 tog zakonika određuje:

„Povjerenstvo za zaštitu prava postupa po zahtjevu ovlaštenih službenika koji su položili prisegu i […] koje imenuju:

Povjerenstvo za zaštitu prava može postupati i na temelju informacija koje mu dostavi Državno odvjetništvo.

Ne može mu se podnijeti zahtjev koji se odnosi na postupanja počinjena prije više od šest mjeseci.”

25

U skladu s člankom L. 331‑25 navedenog zakonika, koji uređuje postupak „postupnog odgovora”:

„Kada odlučuje o zahtjevu koji se odnosi na činjenice koje mogu predstavljati povredu obveze utvrđene u članku L. 336‑3 [CPI‑ja], povjerenstvo za zaštitu prava može poslati pretplatniku […] preporuku u kojoj ga podsjeća na odredbe članka L. 336‑3 te mu naložiti da poštuje obvezu koja je njima utvrđena i upozorava ga na sankcije koje se mogu primijeniti u skladu s člancima L. 335‑7 i L. 335‑7-1. Ta preporuka sadržava i informaciju za pretplatnika o zakonitoj ponudi kulturnih sadržaja na internetu, postojanju mjera za osiguranje kojima se može spriječiti povreda obveze utvrđene u članku L. 336‑3 te o opasnostima praksi kojima se povređuje autorsko pravo i srodna prava za ponavljanje umjetničkog ostvarenja i ekonomiju kulturnog sektora.

Ako se u roku od šest mjeseci od slanja preporuke iz prvog stavka ponove činjenice koje mogu predstavljati povredu obveze utvrđene u članku L. 336‑3, povjerenstvo može uputiti novu preporuku koja sadržava iste informacije kao i prethodna elektroničkim sredstvima […]. Toj preporuci treba priložiti dopis koji se dostavlja uz potpis ili bilo koje drugo sredstvo kojim se može dokazati datum uručenja te preporuke.

U preporukama koje se upućuju na temelju ovog članka navode se datum i vrijeme utvrđenja činjenica koje mogu predstavljati povredu obveze utvrđene u članku L.336‑3. Suprotno tomu, u njima se ne otkriva sadržaj zaštićenih djela ili predmeta na koje se odnosi ta povreda. U njima se navode telefonski broj, adresa i adresa elektroničke pošte na koje njihov adresat, ako to želi, može uputiti primjedbe povjerenstvu za zaštitu prava te, ako podnese izričit zahtjev za to, dobiti pojašnjenja o sadržaju zaštićenih djela ili predmeta na koje se odnosi povreda koja mu se stavlja na teret.”

26

Članak L. 331‑29 CPI‑ja određuje:

„[Hadopi] može uspostaviti sustav automatske obrade osobnih podataka u pogledu osoba na koje se odnosi postupak u okviru ovog pododjeljka.

Njegova je svrha omogućiti povjerenstvu za zaštitu prava provedbu mjera predviđenih ovim pododjeljkom, svih povezanih postupovnih radnji te pravila o obavješćivanju strukovnih tijela za zaštitu prava i tijela za kolektivno ostvarivanje prava o eventualnim postupcima pokrenutima pred sudskim tijelima kao i o dostavi predviđenoj u članku L. 335‑7 petom stavku.

Uredbom […] se utvrđuju pravila primjene ovog članka. U njoj se prije svega navode:

27

Članak L. 335‑2 prvi i drugi stavak tog zakonika glasi:

„Svako izdavanje pisanih djela, glazbenih skladbi, crteža, slika ili drugih djela koja su u cijelosti ili djelomično tiskana ili ugravirana u suprotnosti sa zakonima i propisima koji se odnose na autorska prava je povreda, a svaka povreda je kazneno djelo.

Povreda, u Francuskoj, djela objavljenih u Francuskoj ili u inozemstvu kaznit će se kaznom zatvora od tri godine i novčanom kaznom od 300000 eura.”

28

Članak L. 335‑4 prvi stavak navedenog zakonika propisuje:

„Svako snimanje, reprodukcija, priopćavanje ili stavljanje na raspolaganje javnosti, uz naplatu ili besplatno, ili bilo kakav televizijski prijenos izvedbe, fonograma ili videograma, programa ili objave u tisku, koji su izvršeni bez pristanka, kada je on potreban, umjetnika izvođača, proizvođača fonogramâ ili videogramâ, poduzeća za audiovizualne komunikacije, nakladnika ili novinske agencija, kaznit će se kaznom zatvora od tri godine i novčanom kaznom od 300000 eura.”

29

Članak L. 335‑7 CPI‑ja propisuje pravila o izricanju osobama koje su počinile kaznena djela iz osobito članaka L. 335‑2 i L. 335‑4 tog zakonika dodatne kazne ukidanja pristupa javnoj internetskoj elektroničkoj usluzi u trajanju od najviše jedne godine.

30

Članak 335‑7-1 prvi stavak navedenog zakonika glasi kako slijedi:

„Za laka kažnjiva djela pete kategorije u smislu ovog zakonika, ako uredba tako predviđa, dodatna kazna predviđena člankom L. 335‑7 može se izreći, u skladu s istim uvjetima, zbog krajnje nepažnje nositelju prava pristupa javnoj internetskoj elektroničkoj usluzi zbog grube nepažnje kojemu je povjerenstvo za zaštitu prava iz članka L. 331‑25 prethodno dopisom koji se uručuje uz potpis ili na drugi način prikladan za dokazivanje datuma dostave, dostavilo preporuku kojom se od njega traži da poduzme mjere za osiguranje svojeg pristupa internetu.”

31

U skladu s člankom L. 336‑3 tog zakonika:

„Nositelj prava pristupa javnim internetskim komunikacijskim uslugama obvezan je osigurati da se taj pristup ne upotrebljava za reprodukciju, prikazivanje, stavljanje na raspolaganje ili priopćavanje javnosti djela ili predmeta zaštićenih autorskim ili srodnim pravom bez odobrenja nositelja […] kad je ono potrebno.

Ako nositelj prava pristupa ne ispuni obvezu utvrđenu u prvom stavku, to ne dovodi do pokretanja postupka utvrđivanja kaznene odgovornosti zainteresirane osobe […].”

32

Člankom R. 331‑37 prvim stavkom CPI‑ja predviđeno je:

„Operatori elektroničkih komunikacija […] i pružatelji usluga […] dužni su, povezivanjem u sustavu automatske obrade osobnih podataka navedenom u članku L. 331‑29 ili upotrebom medija za snimanje kojima se osigurava njihov integritet i sigurnost, priopćiti osobne podatke i informacije navedene u točki 2. Priloga Uredbi [br. 2010‑236] u roku od osam dana nakon što povjerenstvo za zaštitu prava proslijedi tehničke podatke potrebne za identifikaciju pretplatnika čiji je pristup javnim internetskim komunikacijskim uslugama upotrijebljen za reprodukciju, prikazivanje, stavljanje na raspolaganje ili priopćavanje javnosti zaštićenih djela ili predmeta bez odobrenja nositelja prava […] kad je ono potrebno.”

33

U skladu s člankom R. 331‑40 tog zakonika:

„Ako se u roku od godinu dana od dostave preporuke navedene u prvom stavku članka L. 335–7–1 povjerenstvu za zaštitu podataka iznesu nove činjenice koje mogu predstavljati krajnju nepažnju definiranu u članku R. 335‑5, ono obavještava pretplatnika dopisom koji se uručuje uz potpis da se na temelju tih činjenica može pokrenuti kazneni progon. Tim se dopisom zainteresirana osoba poziva da dostavi svoja očitovanja u roku od petnaest dana. U njemu je pojašnjeno da ta osoba može u tom istom roku zahtijevati raspravu na temelju članka L. 331–21–1 i da ima pravo na savjetnika. U njemu se također poziva da pobliže navede svoje obiteljske troškove i svoja sredstva.

Povjerenstvo može i samo pozvati zainteresiranu osobu radi rasprave. U dopisu u kojem je sadržan poziv pobliže je određeno da ta osoba ima pravo na savjetnika.”

34

Člankom R. 335‑5 CPI‑ja određuje se:

„I. – Smatra se krajnjom nepažnjom, koja se kažnjava novčanom kaznom predviđenom za laka kažnjiva djela pete kategorije činjenica da, ako su ispunjeni uvjeti predviđeni u stavku II., nositelj prava pristupa javnim internetskim komunikacijskim uslugama bez opravdanog razloga

1° nije donio mjeru za osiguranje tog pristupa;

2° nije primijenio dužnu pažnju u provedbi te mjere.

II. – Odredbe iz stavka I. primjenjuju se samo ako su ispunjena sljedeća dva uvjeta:

1° U skladu s člankom L. 331‑25 te na načine predviđene tim člankom, povjerenstvo za zaštitu prava preporučuje nositelju prava pristupa poduzimanje mjere za osiguranje njegova pristupa kojom bi se spriječilo da se taj pristup ponovno upotrijebi za reprodukciju, prikazivanje, stavljanje na raspolaganje ili priopćavanje javnosti djela ili predmeta zaštićenih autorskim ili srodnim pravom bez odobrenja nositelja tih prava […] kad je ono potrebno;

2° U godini nakon dostave te preporuke taj je pristup ponovno upotrijebljen u svrhe navedene u ovom stavku II. točki 1°.”

35

Od 1. siječnja 2022., na temelju loia no 2021‑1382, du 25 octobre 2021, relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique (Zakon br. 2021‑1382 od 25. listopada 2021. o regulaciji i zaštiti pristupa kulturnim djelima u digitalnom dobu) (JORF br. 250 od 26. listopada 2021., tekst br. 2), Hadopi je spojen s Conseilom supérieur de l’audiovisuel (Vrhovno vijeće za audiovizualne medije, u daljnjem tekstu: CSA), drugim neovisnim javnim tijelom, te oni sada zajedno čine Autorité de régulation de la communication audiovisuelle et numérique (Jedinstveno tijelo nadležno za audiovizualnu i digitalnu komunikaciju, u daljnjem tekstu: ARCOM).

36

Postupak postupnog odgovora, naveden u točki 25. ove presude, ipak se u bitnome nije promijenio iako ga sada više ne provodi Hadopijevo povjerenstvo za zaštitu prava, koje se sastojalo od tri člana koja su imenovali Conseil d’État (Državno vijeće), Cour des comptes (Revizorski sud) odnosno Cour de cassation (Kasacijski sud), nego dva člana vijeća ARCOM‑a od kojih jednog imenuje Conseil d’État (Državno vijeće), a drugog Cour de cassation (Kasacijski sud).

37

Uredba 2010‑236, koja je, među ostalim, donesena na temelju članka L. 331‑29 CPI‑ja, u članku 1. predviđa:

„Sustav obrade osobnih podataka pod nazivom ‚Sustav upravljanja mjerama za zaštitu djelâ na internetu’ namijenjen je tomu da [Hadopijevo] povjerenstvo za zaštitu prava:

1° poduzima mjere predviđene knjigom III. zakonodavnog dijela [CPI‑ja] (glava III., poglavlje I., odjeljak 3., pododjeljak 3.) i knjigom III. regulatornog dijela tog zakonika (glava III., poglavlje I., odjeljak 2., pododjeljak 2.);

2° podnosi zahtjeve državnom odvjetništvu zbog činjenica koje mogu predstavljati kaznena djela predviđena člancima L. 335‑2, L. 335‑3, L. 335‑4 i R. 335‑5 tog zakonika te obavješćuje strukovna tijela za zaštitu prava i tijela za kolektivno ostvarivanje prava o tim zahtjevima;

[…]”

38

Člankom 4. te uredbe određuje se:

„I. – Javni službenici koji su položili prisegu i koje je ovlastio [Hadopijev] predsjednik u skladu s člankom L. 331‑21 [CPI‑ja] i članovi povjerenstva za zaštitu prava navedenog u članku 1. imaju izravan pristup osobnim podacima i informacijama navedenima u prilogu ovoj uredbi.

II. – Operatorima elektroničkih komunikacija i pružateljima usluga navedenima u točki 2. priloga ovoj uredbi dostavljaju se:

III – Strukovnim tijelima za zaštitu prava i tijelima za kolektivno ostvarivanje prava dostavlja se informacija o podnošenju zahtjeva državnom odvjetništvu.

IV – Pravosudnim tijelima dostavlja se zapisnik o utvrđenju činjenica koje mogu predstavljati kaznena djela predviđena člancima L. 335‑2, L. 335‑3, L. 335‑4, L. 335‑7, R. 331‑37, R. 331‑38 i R. 335‑5 [CPI‑ja].

Obavijest o izvršenju kazne ukidanja šalje se u automatsku kaznenu evidenciju.”

39

Prilog navedenoj uredbi predviđa:

„Sljedeći osobni podaci i informacije bilježe se u sustavu obrade pod nazivom ‚Sustav upravljanja mjerama za zaštitu djelâ na internetu’:

1° Osobni podaci i informacije iz propisno osnovanih strukovnih tijela za zaštitu prava, tijela za kolektivno ostvarivanje prava, Nacionalnog centra za film i animaciju te oni iz državnog odvjetništva:

što se tiče činjenica koje mogu predstavljati povredu obveze utvrđene u članku L.336‑3 [CPI‑ja]:

datum i vrijeme nastanka činjenica;

IP adresa pretplatnika o kojima je riječ;

korišteni P2P protokol;

pseudonim kojim se koristi pretplatnik;

informacije o zaštićenim djelima ili predmetima na koje se odnose činjenice;

naziv datoteke kako se nalazi na pretplatnikovu računalu (ovisno o slučaju);

pružatelj pristupa internetu s kojim je ugovoren pristup ili koji je osigurao IP tehnički resurs.

[…]

2° Osobni podaci i informacije o pretplatniku koje prikupljaju operatori elektroničkih komunikacija […] i pružatelji usluga […]:

prezime, imena;

adresa i adrese elektroničke pošte;

telefonski broj;

adresa pretplatnikova telefonskog priključka;

pružatelj internetskog pristupa koji se koristi tehničkim resursima pružatelja pristupa navedenog u točki 1., s kojim je pretplatnik sklopio ugovor; broj spisa;

datum na koji je privremeno ukinut pristup javnoj internetskoj komunikacijskoj usluzi.

[…]”

40

Članak L. 34‑1, II bis Zakonika o pošti i elektroničkim komunikacijama određuje:

„Operatori elektroničkih komunikacija dužni su zadržati:

1° za potrebe kaznenih postupaka, sprečavanja prijetnji javnoj sigurnosti i zaštite nacionalne sigurnosti, podatke o građanskom identitetu korisnika do isteka roka od pet godina od prestanka valjanosti njegova ugovora;

2° u iste svrhe kao što su one navedene u točki 1. ovog stavka II bis, druge podatke koje je korisnik pružio prilikom sklapanja ugovora ili otvaranja računa i podatke o plaćanju do isteka roka od godinu dana od isteka valjanosti njegova ugovora ili zatvaranja njegova računa;

3° za potrebe borbe protiv kriminaliteta i teških kaznenih djela, sprečavanja ozbiljnih prijetnji javnoj sigurnosti i zaštite nacionalne sigurnosti, tehničke podatke koji omogućuju identifikaciju izvora veze ili one koji se odnose na korištenu terminalnu opremu do isteka roka od godinu dana od spajanja ili korištenja terminalnom opremom.”

41

Budući da je Premier ministre (predsjednik Vlade) implicitno odbio njihov zahtjev za stavljanje izvan snage Uredbe br. 2010‑236, tužitelji iz glavnog postupka su 12. kolovoza 2019. Conseilu d’État (Državno vijeće, Francuska) podnijeli tužbu za poništenje te implicitne odluke o odbijanju. Oni su u biti isticali da su treći, četvrti i peti stavak članka L. 331‑21 CPI‑ja, koji je dio pravne osnove te uredbe, s jedne strane, u suprotnosti s poštovanjem prava na privatnost utvrđenim francuskim Ustavom, te da on, s druge strane, povrjeđuje pravo Unije, osobito članak 15. Direktive 2002/58 i članke 7., 8., 11. i 52. Povelje.

42

Što se tiče aspekta tužbe koji se odnosi na navodnu povredu Ustava, Conseil d’État (Državno vijeće) je Conseilu constitutionnel (Ustavno vijeće, Francuska) uputio prioritetno pitanje o ocjeni ustavnosti.

43

Svojom odlukom br. 2020‑841 QPC od 20. svibnja 2020. La Quadrature du Net i dr. [Pravo dostavljanja Hadopiju], Conseil constitutionnel (Ustavno vijeće) proglasio je nesuglasnim s Ustavom treći i četvrti stavak članka L. 331‑21 CPI‑ja, dok je peti stavak tog članka, osim u njemu sadržanog izraza „među ostalim”, proglasio suglasnim s Ustavom.

44

Kad je riječ o aspektu tužbe koji se odnosi na navodnu povredu prava Unije, tužitelji iz glavnog postupka su osobito tvrdili da se Uredbom br. 2010‑236 i odredbama koje čine njezinu pravnu osnovu odobren neproporcionalan pristup podacima o vezi za povrede autorskog prava počinjene na internetu koje nisu teške, a da pritom ne postoji prethodni nadzor suda ili tijela koje pruža jamstva neovisnosti i nepristranosti. Osobito, te povrede nisu obuhvaćene „teškim kriminalitetom” iz presude od 21. prosinca 2016., Tele2 Sverige i Watson i dr. (C‑203/15 i C‑698/15, EU:C:2016:970).

45

S tim u vezi, Conseil d’État (Državno vijeće) podsjeća na to da je, s jedne strane, presudom od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791) Sud, među ostalim, presudio da se članku 15. stavku 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. kao i člankom 52. stavkom 1. Povelje, ne protive zakonske mjere koje predviđaju, u svrhu zaštite nacionalne sigurnosti, borbe protiv kriminala i zaštite javne sigurnosti, opće i neselektivno zadržavanje podataka o građanskom identitetu korisnika elektroničkih komunikacijskih sredstava. Stoga, što se tiče podataka o građanskom identitetu korisnika elektroničkih komunikacijskih sredstava, takvo je zadržavanje moguće, bez posebnog roka, radi istrage, otkrivanja i progona kaznenih djela općenito. Direktivi 2002/58 također se ne protivi pristup tim podacima u takve svrhe.

46

Sud koji je uputio zahtjev iz toga zaključuje da, kad je riječ o pristupu podacima o građanskom identitetu korisnika elektroničkih komunikacijskih sredstava, valja odbiti razlog tužitelja iz glavnog postupka koji se temelji na tome da je Uredba br. 2010‑236 nezakonita jer je donesena u okviru borbe protiv kaznenih djela koja nisu teška.

47

S druge strane, on podsjeća na to da je presudom od 21. prosinca 2016., Tele2 Sverige i Watson i dr. (C‑203/15 i C‑698/15, EU:C:2016:970) Sud, među ostalim, presudio da članak 15. stavak 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. i člankom 52. stavkom 1. Povelje treba tumačiti na način da mu se protivi nacionalni propis kojim se uređuje zaštita i sigurnost podataka o prometu i lokaciji i osobito pristup nadležnih nacionalnih tijela zadržanim podacima, pri čemu navedeni pristup nije podvrgnut prethodnom nadzoru suda ili neovisnog upravnog tijela.

48

Sud koji je uputio zahtjev konkretnije upućuje na točku 120. te presude, u kojoj je Sud pobliže odredio da je bitno da takav pristup zadržanim podacima u načelu, osim u valjano opravdanim hitnim slučajevima, bude podvrgnut prethodnom nadzoru suda ili neovisnog upravnog tijela i da odluka tog suda ili tijela bude donesena nakon obrazloženog zahtjeva tih tijela podnesenog osobito u okviru postupaka sprečavanja, otkrivanja ili progona kaznenih djela.

49

Sud je podsjetio na taj zahtjev u presudi od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791), što se tiče prikupljanja obavještajnih službi podataka o vezi u stvarnom vremenu, kao i u presudi od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama) (C‑746/18, EU:C:2021:152), kad je riječ o pristupu nacionalnih tijela podacima o vezi.

50

Sud koji je uputio zahtjev također ističe da je Hadopi od svojeg osnivanja tijekom 2009. pretplatnicima uputio više od 12,7 milijuna preporuka na temelju postupka postupnog odgovora predviđenog člankom L. 331‑25 CPI‑ja, od čega 827791 samo tijekom 2019. Ta okolnost implicira da su službenici Hadopijeva povjerenstva za zaštitu prava svake godine nužno morali prikupiti znatan broj podataka o građanskom identitetu korisnika o kojima je riječ. S obzirom na količinu tih preporuka, on smatra da bi se, kad bi se to prikupljanje podvrgnulo prethodnom nadzoru, time mogla onemogućiti provedba navedenih preporuka.

51

U tim je okolnostima Conseil d’État (Državno vijeće) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

52

Svojim trima pitanjima, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 15. stavak 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. te člankom 52. stavkom 1. Povelje, tumačiti na način da mu se protivi nacionalni propis kojim se javnom tijelu zaduženom za zaštitu autorskih i srodnih prava od povreda tih prava počinjenih na internetu dopušta pristup podacima o građanskom identitetu koje su zadržali pružatelji javno dostupnih elektroničkih komunikacijskih usluga, a koji odgovaraju IP adresama koje su prethodno prikupile organizacije nositeljâ prava, kako bi to javno tijelo moglo identificirati nositelje tih adresa koje su upotrijebljene za aktivnosti koje mogu predstavljati takve povrede, te kako bi, ovisno o slučaju, moglo poduzeti mjere protiv njih a da taj pristup pritom ne podliježe zahtjevu prethodnog nadzora suda ili neovisnog upravnog tijela.

53

U glavnom predmetu riječ je dvjema različitim uzastopnim obradama osobnih podataka koje se odvijaju u okviru djelatnosti Hadopija, neovisnog javnog tijela čija je zadaća osobito, u skladu s člankom L. 331‑13 CPI‑ja, zaštita djelâ i predmeta koji su zaštićeni autorskim ili srodnim pravom od povreda tih prava na elektroničkim komunikacijskim mrežama koje se koriste za pružanje javnih internetskih komunikacijskih usluga.

54

Prva obrada, koju prethodno izvršavaju ovlašteni službenici organizacija nositeljâ prava koji su položili prisegu, odvija se u dvije faze. Najprije se na P2P mrežama prikupljaju IP adrese koje su upotrijebljene za aktivnosti koje mogu predstavljati povredu autorskog ili srodnog prava. Zatim se Hadopiju stavlja na raspolaganje skup osobnih podataka i informacija u obliku zapisnika. Ti su podaci, na temelju popisa sadržanog u točki 1° Priloga Uredbi br. 2010‑236, datum i vrijeme nastanka činjenica, IP adresa pretplatnika o kojima je riječ, korišteni P2P protokol, pseudonim kojim se koristi pretplatnik, informacije o zaštićenim djelima ili predmetima na koje se odnose činjenice, naziv datoteke kako se nalazi na pretplatnikovu računalu (ovisno o slučaju) i pružatelj pristupa internetu s kojim je ugovoren pristup ili koji je osigurao IP tehnički resurs.

55

Druga obrada, koju naknadno izvršavaju pružatelji pristupa internetu na zahtjev Hadopija, također se odvija u dvije faze. Najprije se prethodno prikupljene IP adrese povezuju s nositeljima tih adresa. Zatim se skup osobnih podataka i informacija o navedenim nositeljima, koji se u biti odnose na njihov građanski identitet, stavlja na raspolaganje tom javnom tijelu. Ti su podaci, na temelju popisa sadržanog u točki 2° Priloga Uredbi br. 2010‑236, u biti, prezime i imena, adresa i adrese elektroničke pošte, telefonski broj i adresa pretplatnikova telefonskog priključka.

56

U pogledu potonjeg, članak L. 331‑21 CPI‑ja u petom stavku, u verziji koja proizlazi iz odluke Conseila constitutionnel (Ustavno vijeće) navedene u točki 43. ove presude, predviđa da članovi Hadopijeva povjerenstva za zaštitu podataka i javni službenici tog tijela koji su položili prisegu i koje je ovlastio predsjednik tog tijela mogu od operatora elektroničkih komunikacija ishoditi podatke o identitetu, adresi, adresi elektroničke pošte i telefonskom broju pretplatnika čiji je pristup javnim internetskim komunikacijskim uslugama upotrijebljen za reprodukciju, prikazivanje, stavljanje na raspolaganje ili priopćavanje javnosti zaštićenih djela ili predmeta bez odobrenja nositelja prava kad je ono potrebno.

57

Svrha tih različitih obrada osobnih podataka je omogućiti Hadopiju da, u odnosu na tako identificirane nositelje IP adresa, poduzme mjere predviđene u okviru upravnog postupka „postupnog odgovora”, koji je uređen člankom L. 331‑25 CPI‑ja. Te su mjere, najprije, slanje „preporuka”, koje nalikuju upozorenjima, nadalje, u slučaju upoznavanja Hadopijeva povjerenstva za prava, u roku od godinu dana od slanja druge preporuke, sa činjenicama koje mogu predstavljati ponavljanje utvrđene povrede, informiranje pretplatnika iz članka R. 331‑40 CPI‑ja da činjenice mogu predstavljati kazneno djelo počinjeno „krajnjom nepažnjom”, definirano u članku R. 335‑5 CPI‑ja, što je lakše kažnjivo djelo kažnjivo najvećom kaznom od 1500 eura, a 3000 eura u slučaju ponavljanja, te naposljetku, nakon vijećanja, upoznavanje državnog odvjetništva sa činjenicama koje mogu predstavljati lakše kazneno djelo ili, ovisno o slučaju, kazneno djelo povrede iz članka L. 335‑2 CPI‑ja ili članka L. 335‑4 tog zakonika, za koje je propisana kazna zatvora do tri godine i novčana kazna od 300000 eura.

58

Međutim, pitanja koja postavlja sud koji je uputio zahtjev odnose se samo na naknadnu obradu opisanu u točki 55. ove presude, a ne na prethodnu obradu čije su glavne značajke opisane u točki 54. ove presude.

59

Ipak, valja istaknuti da, ako je prethodno prikupljanje organizacija nositeljâ prava o kojima je riječ IP adresa protivno pravu Unije, tom je pravu protivno i korištenje tih podataka u okviru naknadne obrade od strane pružatelja elektroničkih komunikacijskih usluga koja se sastoji u povezivanju navedenih adresa s podacima o građanskom identitetu nositelja tih adresa.

60

U tom kontekstu najprije valja podsjetiti na to da, u skladu sa sudskom praksom Suda, IP adrese predstavljaju kako podatke o prometu za potrebe Direktive 2002/58 tako i osobne podatke za potrebe OUZP‑a (vidjeti u tom smislu presudu od 17. lipnja 2021., M. I. C. M., C‑597/19, EU:C:2021:492, t. 102 i 113. i navedenu sudsku praksu).

61

Međutim, prikupljanje IP adresa koje su javne i vidljive svima od strane službenika organizacija nositeljâ prava nije obuhvaćeno područjem primjene Direktive 2002/58 jer se takva obrada očito ne odnosi na podatke „[vezane] uz pružanje […] usluga elektroničkih komunikacija”, u smislu članka 3. te direktive.

62

Suprotno tomu, takvo prikupljanje IP adresa koje je, kako proizlazi iz spisa kojim raspolaže Sud, u okviru određenih kvantitativnih ograničenja i pod određenim uvjetima, dopustio Commission nationale de l’informatique et des libertés (Državna komisija za informatičke tehnologije i slobode, Francuska, u daljnjem tekstu: CNIL), radi njihova prenošenja Hadopiju u svrhu njihova mogućeg korištenja u kasnijim upravnim ili sudskim postupcima čiji je cilj borba protiv aktivnosti kojima se povrjeđuju autorska i srodna prava, predstavlja „obradu” u smislu članka 4. točke 2. OUZP‑a, čija zakonitost ovisi o uvjetima predviđenima člankom 6. stavkom 1. prvim podstavkom točkom (f) te uredbe, s obzirom na sudsku praksu Suda razvijenu osobito u presudama od 17. lipnja 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, t. 102. i 103.) i od 4. srpnja 2023., Meta Platforms i dr. (Opću uvjeti uporabe društvene mreže) (C‑252/21, EU:C:2023:537, t. 106. do 112. i navedena sudska praksa).

63

Kad je riječ o naknadnoj obradi opisanoj u točki 55. ove presude, ona je pak obuhvaćena područjem primjene Direktive 2002/58 jer se odnosi na podatke „[vezane] uz pružanje […] usluga elektroničkih komunikacija”, u smislu članka 3. te direktive, pod uvjetom da su podaci o kojima je riječ dobiveni od pružatelja elektroničkih komunikacijskih usluga u skladu s člankom L. 331‑21 CPI‑ja.

64

S obzirom na prethodne uvodne napomene postavlja se pitanje može li, kao što se to pita sud koji je uputio zahtjev, ograničenje temeljnih prava sadržanih u člancima 7., 8. i 11. Povelje koje proizlazi iz pristupa javnog tijela, poput Hadopija, podacima o građanskom identitetu koji odgovaraju određenoj IP adresi kojom on već raspolaže biti opravdano na temelju članka 15. stavka 1. Direktive 2002/58.

65

Pristup takvim osobnim podacima može se odobriti samo ako su ti podaci zadržani u skladu s Direktivom 2002/58 (vidjeti u tom smislu presudu od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C‑746/18, EU:C:2021:152, t. 29.).

66

Članak 15. stavak 1. Direktive 2002/58 dopušta državama članicama da uvedu iznimke od načelne obveze, utvrđene u članku 5. stavku 1. te direktive, jamstva povjerljivosti osobnih podataka kao i od odgovarajućih obveza spomenutih osobito u člancima 6. i 9. navedene direktive, kada je takvo ograničenje nužna, prikladna i proporcionalna mjera unutar demokratskog društva s ciljem zaštite nacionalne sigurnosti, obrane i javne sigurnosti ili s ciljem sprečavanja, istrage, otkrivanja ili progona kaznenih djela odnosno neovlaštene uporabe elektroničkog komunikacijskog sustava. U tu svrhu države članice mogu, među ostalim, donijeti zakonske mjere kojima se omogućuje zadržavanje podataka tijekom ograničenog razdoblja opravdane jednim od tih razloga. Mogućnost odstupanja od prava i obveza predviđenih u člancima 5., 6. i 9. Direktive 2002/58 ipak ne može opravdati to da odstupanje od načelne obveze da se zajamči povjerljivost elektroničkih komunikacija i s time povezanih podataka, a osobito od zabrane pohrane tih podataka, koja je izričito predviđena u članku 5. te direktive, postane pravilo (presuda od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 110. i 111.).

67

Zakonska mjera donesena na temelju te odredbe stoga mora stvarno i strogo odgovarati jednom od ciljeva navedenih u prethodnoj točki, pri čemu je njihovo nabrajanje u članku 15. stavku 1. prvoj rečenici Direktive 2002/58 taksativno, i poštovati opća načela prava Unije, među kojima su načelo proporcionalnosti, te temeljna načela zajamčena Poveljom. U tom je pogledu Sud već presudio da obveza koju je nacionalnim propisom država članica naložila pružateljima elektroničkih komunikacijskih usluga da zadržavaju podatke o prometu kako bi se, u slučaju potrebe, ti podaci učinili dostupnima nadležnim nacionalnim tijelima, postavlja pitanja ne samo u vezi s poštovanjem članaka 7. i 8. Povelje, koji se odnose na zaštitu privatnosti i zaštitu osobnih podataka, nego i u vezi s člankom 11. Povelje koji se odnosi na slobodu izražavanja (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 112. i 113.).

68

Tako prilikom tumačenja članka 15. stavka 1. Direktive 2002/58 treba uzeti u obzir važnost kako prava na poštovanje privatnosti zajamčenog člankom 7. Povelje tako i prava na zaštitu osobnih podataka zajamčenog njezinim člankom 8., kako proizlazi iz sudske prakse Suda, kao i prava na slobodu izražavanja, pri čemu je to temeljno pravo, zajamčeno u članku 11. Povelje, jedan od osnovnih temelja demokratskog i pluralističkog društva te je dio vrijednosti na kojima, u skladu s člankom 2. UEU‑a, počiva Unija (presuda od 6. listopada 2020, La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 114. i navedena sudska praksa).

69

U tom pogledu valja istaknuti da zadržavanje podataka o prometu i lokaciji samo po sebi čini, s jedne strane, odstupanje od zabrane, predviđene u članku 5. stavku 1. Direktive 2002/58, određene svakoj osobi različitoj od korisnika da pohranjuje te podatke, i, s druge strane, zadiranje u temeljna prava na poštovanje privatnosti i zaštitu osobnih podataka, utvrđena u člancima 7. i 8. Povelje, pri čemu je nevažno jesu li informacije o privatnosti o kojima je riječ osjetljive, odnosno jesu li zainteresirane osobe zbog tog zadiranja pretrpjele eventualne neugodnosti. Također je irelevantno hoće li se zadržani podaci potom upotrebljavati jer je pristup takvim podacima, neovisno o njihovoj kasnijoj upotrebi, zasebno zadiranje u temeljna prava iz prethodne točke (presuda od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 115. i 116.).

70

S obzirom na to, budući da državama članicama dopušta da uvedu odstupanja, kao što je navedeno u točki 66. ove presude, članak 15. stavak 1. Direktive 2002/58 odražava okolnost da prava priznata člancima 7., 8. i 11. Povelje nisu apsolutna prava, nego ih treba uzeti u obzir s obzirom na njihovu funkciju u društvu. Naime, kao što proizlazi iz članka 52. stavka 1. Povelje, ona priznaje ograničenja pri ostvarivanju tih prava ako su ograničenja predviđena zakonom, ako poštuju bit tih prava te ako su, uz poštovanje načela proporcionalnosti, nužna i zaista odgovaraju ciljevima od općeg interesa koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba (presuda od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 120. i 121.)

71

U predmetnom slučaju valja istaknuti da, iako je formalno Hadopi ovlašten pristupiti samo podacima o građanskom identitetu koji odgovaraju određenoj IP adresi, specifičnost ovog pristupa jest ta da on prethodno zahtijeva da pružatelji elektroničkih komunikacijskih usluga o kojima je riječ povežu IP adresu i podatke o građanskom identitetu njezina nositelja. Stoga navedeni pristup nužno pretpostavlja da pružatelji raspolažu IP adresama kao i podacima o identitetu njihovih nositelja.

72

Usto, to javno tijelo nastoji ishoditi pristup tim podacima s jedinim ciljem identifikacije nositelja IP adrese koja je upotrijebljena za aktivnosti kojima se mogu povrjeđivati autorska i srodna prava, s obzirom na to da je on na internetu nezakonito stavio na raspolaganje zaštićena djela kako bi ih druge osobe preuzele. U tim okolnostima podatke o građanskom identitetu treba smatrati tijesno vezanima kako za IP adresu tako i za informacije o djelu koje je stavljeno na raspolaganje na internetu, a kojima raspolaže Hadopi.

73

Ne može se ne uzeti u obzir takav poseban kontekst u okviru ispitivanja eventualnog opravdanja mjere zadržavanja osobnih podataka na temelju članka 15. stavka 1. Direktive 2002/58, tumačenog s obzirom na članke 7., 8. i 11. Povelje (vidjeti analogijom presudu ESLJP‑a od 24. travnja 2018., Benedik protiv Slovenije, CE:ECHR:2018:0424JUD006235714, t. 109.).

74

Stoga eventualno opravdanje zadiranja u temeljna prava sadržana u tim potonjim člancima Povelje koje proizlazi iz zadržavanja, od strane pružatelja javno dostupnih elektroničkih komunikacijskih usluga, podataka kojima Hadopi ima ovlast pristupa, valja ispitati s obzirom na zahtjeve koji, u području zadržavanja IP adresa, proizlaze iz navedenog članka 15. stavka 1., protumačenog s obzirom na članke 7., 8. i 11. Povelje.

75

U tom kontekstu, valja istaknuti da, u skladu sa sudskom praksom Suda, iako, kao što je navedeno u točki 60. ove presude, IP adrese predstavljaju podatke o prometu za potrebe Direktive 2002/58, te se adrese razlikuju od drugih kategorija podataka o prometu kao i podataka o lokaciji.

76

S tim u vezi Sud je istaknuo da se IP adrese stvaraju a da nisu povezane s određenom komunikacijom i uglavnom služe za to da se pomoću pružateljâ elektroničkih komunikacijskih usluga identificira vlasnik terminalne opreme s koje se obavlja komunikacija posredstvom interneta. Tako u području elektroničke pošte kao i internetske telefonije, pod uvjetom da se zadržavaju samo IP adrese izvora komunikacije, a ne IP adrese njezina adresata, te adrese, kao takve, ne otkrivaju nikakvu informaciju o trećim osobama koje su bile u kontaktu s osobom na izvoru komunikacije. U toj je mjeri ta kategorija podataka manje osjetljiva od drugih podataka o prometu (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 152.).

77

Točno je da je u točki 156. presude od 6. listopada 2022., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791) Sud presudio da se, unatoč utvrđenju manje osjetljivosti IP adresa kada one služe isključivo identifikaciji korisnika elektroničkih komunikacijskih usluga, članku 15. stavku 1. Direktive 2002/58 protivi to da se opće i neselektivno zadržavanje samo IP izvora komunikacije obavlja samo zbog ciljeva koji se razlikuju od cilja borbe protiv teškog kriminaliteta, sprječavanja ozbiljnih prijetnji javnoj sigurnosti ili zaštite nacionalne sigurnosti. Međutim, Sud se prilikom donošenja tog zaključka izričito oslonio na ozbiljnost zadiranja u temeljna prava sadržana u člancima 7., 8. i 11. Povelje do kojeg može dovesti takvo zadržavanje IP adresa.

78

Naime, Sud je u točki 153. te presude smatrao da, budući da IP adrese mogu, kada se upotrebljavaju za „iscrpno praćenje tijeka pretraživanja korisnika interneta prilikom pregledavanja” i, potom, njegove aktivnosti na internetu, omogućiti da se utvrdi njegov „detaljan profil”, zadržavanje i analiza navedenih IP adresa koje zahtijeva takvo praćenje jesu ozbiljna zadiranja u temeljna prava korisnika interneta utvrđena u člancima 7. i 8. Povelje koja mogu imati i odvraćajuće učinke na korisnike elektroničkih komunikacijskih sredstava da se koriste svojom slobodom izražavanja zajamčenom člankom 11. Povelje.

79

Međutim, valja naglasiti da svako opće i neselektivno zadržavanje skupa, a ovisno o slučaju i velikog broja, statičnih i dinamičnih IP adresa koje upotrebljava neka osoba u određenom razdoblju nužno ne predstavlja ozbiljno zadiranje u temeljna prava zajamčena člancima 7., 8. i 11. Povelje.

80

S tim u vezi, najprije, predmeti u kojima je donesena presuda od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791), odnosili su se na nacionalne propise koji su podrazumijevali obvezu zadržavanja skupa podataka nužnih za određivanje datuma, vremena, trajanja i vrste komunikacije, identificiranje upotrijebljenog komunikacijskog materijala kao i utvrđivanje lokacije terminalne opreme i komunikacija, među kojima se nalaze, među ostalim, ime i adresa korisnika, telefonski brojevi pozivatelja i osobe koju se zvalo i IP adresa za internetske usluge. Usto, u dvama od tih predmeta činilo se da nacionalni propisi o kojima je bila riječ obuhvaćaju i podatke o prijenosu elektroničkih komunikacija preko mreža, pri čemu oni isto tako omogućuju određivanje naravi informacija koje su se pretraživale na internetu (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 82. i 83.).

81

Stoga je zadržavanje IP adresa koje se obavljalo u okviru takvih nacionalnih propisa moglo, s obzirom na druge podatke čije su zadržavanje nalagali takvi propisi i mogućnost kombiniranja tih različitih podataka, omogućiti donošenje konkretnih zaključaka o privatnom životu osoba o čijim je podacima bila riječ i, slijedom toga, dovesti do ozbiljnog zadiranja u temeljna prava sadržana u člancima 7. i 8. Povelje, koji se odnose na zaštitu privatnosti i osobnih podataka tih osoba, kao i članku 11. te povelje, koji se odnosi na njihovu slobodu izražavanja.

82

Suprotno tomu, obveza koja je pružateljima elektroničkih komunikacijskih usluga nametnuta zakonskom mjerom na temelju članka 15. stavka 1. Direktive 2002/58, osiguranja općeg i neselektivnog zadržavanja IP adresa može, ovisno o slučaju, biti opravdana ciljem borbe protiv kaznenih djela općenito ako je stvarno isključeno da takvo zadržavanje može dovesti do ozbiljnih zadiranja u privatnost osobe o kojoj je riječ zbog mogućnosti donošenja konkretnih zaključaka o njoj, među ostalim, povezivanjem tih IP adresa sa skupom podataka o prometu ili o lokaciji koje su ti pružatelji također zadržali.

83

Stoga se država članica koja namjerava pružateljima elektroničkih komunikacijskih usluga nametnuti obvezu općeg i neselektivnog zadržavanja IP adresa radi postizanja cilja povezanog s borbom protiv kaznenih djela općenito mora uvjeriti da su načini zadržavanja tih podataka takvi da jamče isključenost bilo kakvog kombiniranja navedenih IP adresa s drugim zadržanim podacima, uz poštovanje Direktive 2002/58, koje bi omogućilo donošenje konkretnih zaključaka o privatnom životu osoba čiji su podaci tako zadržani.

84

Kako bi osigurali da takvo kombiniranje podataka na temelju kojeg se mogu donijeti konkretni zaključci o privatnom životu osobe o kojoj je riječ bude isključeno, načini zadržavanja moraju se odnositi na samu strukturu zadržavanja koja u biti mora biti ustrojena na način da jamči stvarno nepropusno razdvajanje različitih kategorija zadržanih podataka.

85

S tim u vezi, točno je da je zadaća države članice – koja namjerava pružateljima elektroničkih komunikacijskih usluga nametnuti obvezu općeg i neselektivnog zadržavanja IP adresa radi postizanja cilja povezanog s borbom protiv kaznenih djela općenito – da u svojem zakonodavstvu predvidi jasna i precizna pravila o navedenim načinima zadržavanja, pri čemu ti načini moraju poštovati stroge zahtjeve. Sud ipak može pružiti pojašnjenja o tim načinima.

86

Kao prvo, nacionalna pravila navedena u prethodnoj točki moraju osigurati da je svaka kategorija podataka, uključujući i podatke o građanskom identitetu i IP adresama, zadržana potpuno odvojeno od drugih kategorija zadržanih podataka.

87

Kao drugo, ta pravila moraju, pomoću sigurnog i pouzdanog računalnog uređaja, jamčiti da je razdvajanje različitih kategorija zadržanih podataka, osobito podataka o građanskom identitetu, IP adresama, različitih podataka o prometu koji se razlikuju od IP adresa i različitih podataka o lokaciji u tehničkom smislu, stvarno nepropusno.

88

Kao treće, u dijelu u kojem navedena pravila predviđaju mogućnost povezivanja zadržanih IP adresa s građanskim identitetom osobe o kojoj je riječ uz poštovanje zahtjeva koji proizlaze iz članka 15. stavka 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. Povelje, ona smiju dopustiti takvo povezivanje samo upotrebom učinkovitog tehničkog postupka koji ne dovodi u pitanje učinkovitost nepropusnog razdvajanja tih kategorija podataka.

89

Kao četvrto, pouzdanost tog nepropusnog razdvajanja mora redovito nadzirati javno tijelo koje se razlikuje od onoga koje želi ishoditi pristup osobnim podacima koje su zadržali pružatelji elektroničkih komunikacijskih usluga.

90

Ako su u primjenjivom nacionalnom zakonodavstvu predviđeni takvi strogi zahtjevi koji se odnose na načine općeg i neselektivnog zadržavanja IP adresa i drugih podataka koje su zadržali pružatelji elektroničkih komunikacijskih usluga, zadiranje koje proizlazi iz tog zadržavanja IP adresa ne može, zbog same strukture navedenog zadržavanja, biti kvalificirano kao „ozbiljno”.

91

Naime, u slučaju u kojem je ustanovljeno takvo zakonsko uređenje, tako propisani načini zadržavanja IP adresa isključuju to da se ti podaci mogu kombinirati s drugim zadržanim podacima uz poštovanje Direktive 2002/58, što bi omogućilo donošenje konkretnih zaključaka o privatnom životu osobe o kojoj je riječ.

92

Slijedom toga, ako postoji zakonsko uređenje koje ispunjava zahtjeve navedene u točkama 86. do 89. ove presude te jamči da se na temelju nijedne kombinacije podatka ne mogu donijeti konkretni zaključci o privatnom životu osobe o kojoj je riječ, članku 15. stavku 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. Povelje, ne protivi se to da država članica o kojoj je riječ nametne obvezu općeg i neselektivnog zadržavanja IP adresa radi postizanja cilja borbe protiv kaznenih djela općenito.

93

Naposljetku, takvo zakonsko uređenje mora, kao što proizlazi iz točke 168. presude od 6. listopada 2020., La Quadrature du Net i dr. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791), predvidjeti da je trajanje zadržavanja ograničeno na ono što je strogo nužno te jasnim i preciznim pravilima osigurati da je zadržavanje podataka o kojima je riječ uvjetovano poštovanjem s time povezanih materijalnih i postupovnih uvjeta te da osobe o kojima je riječ imaju djelotvorna jamstva protiv opasnosti od zlouporabe i protiv bilo kojeg drugog nezakonitog pristupa tim podacima i bilo koje druge njihove nezakonite uporabe.

94

Zadaća je suda koji je uputio zahtjev provjeriti poštuje li nacionalni propis o kojem je riječ u glavnom postupku zahtjeve navedene u točkama 85. do 93. ove presude.

95

Iz sudske prakse Suda proizlazi da u području borbe protiv kaznenih djela samo ciljevi borbe protiv teškog kriminaliteta ili sprečavanje ozbiljnih prijetnji javnoj sigurnosti mogu opravdati ozbiljno zadiranje u temeljna prava sadržana u člancima 7. i 8. Povelje koje proizlazi iz pristupa javnih tijela skupu podataka o prometu ili lokaciji, koji mogu pružiti informacije o komunikacijama koje je korisnik izvršio sredstvom elektroničke komunikacije ili o lokaciji terminalne opreme kojom se koristi i na temelju kojih je moguće izvući konkretne zaključke o privatnom životu osobe o kojoj je riječ, a drugi čimbenici, koji se odnose na proporcionalnost zahtjeva za pristup, poput trajanja razdoblja za koje se traži pristup takvim podacima, ne mogu imati za posljedicu to da cilj sprečavanja, istrage, otkrivanja i progona kaznenih djela općenito može opravdati takav pristup (presuda od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C‑746/18, EU:C:2021:152, t. 35.).

96

Suprotno tomu, kada zadiranje u temeljna prava sadržana u člancima 7. i 8. Povelje koje proizlazi iz pristupa javnih tijela podacima o građanskom identitetu koje su zadržali pružatelji elektroničkih komunikacijskih usluga, a da se ti podaci ne mogu povezati s informacijama o izvršenim komunikacijama, nije ozbiljno jer se na temelju tih podataka, promatranih zajedno, ne mogu donijeti konkretni zaključci o privatnom životu osoba o čijim je podacima riječ, navedeni se pristup može opravdati ciljem sprječavanja, istrage, otkrivanja i progna kaznenih djela općenito (vidjeti u tom smislu presudu od 2. listopada 2018., Ministerio Fiscal, C‑207/16, EU:C:2018:788, t. 54., 57. i 60.).

97

Valja još dodati da se, u skladu s načelom sadržanim u ustaljenoj sudskoj praksi Suda, pristup podacima o prometu i lokaciji može u načelu opravdati na temelju članka 15. stavka 1. Direktive 2002/58 samo ciljem u općem interesu zbog kojeg je to zadržavanje naloženo pružateljima elektroničkih komunikacijskih usluga, osim ako je taj pristup opravdan važnijim ciljem u općem interesu. Iz tog načela osobito proizlazi da taj pristup radi borbe protiv kaznenih djela općenito ni u kojem slučaju ne može biti odobren ako je zadržavanje navedenih podataka opravdano ciljem borbe protiv teškog kriminaliteta ili, a fortiori, zaštite nacionalne sigurnosti (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 166.).

98

Suprotno tomu, takav cilj borbe protiv kaznenih djela općenito omogućuje opravdanje davanja pristupa podacima o prometu i lokaciji koji su pohranjeni i stoga zadržani u onoj mjeri te u onom razdoblju koje je neophodno za marketing usluga, izdavanje računa i pružanje usluga s dodatnom vrijednosti, kao što to dopušta članak 6. Direktive 2002/58 (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 108. i 167.).

99

U predmetnom slučaju, kao prvo, iz nacionalnog propisa o kojem je riječ u glavnom postupku proizlazi da Hadopi nema pristup „skupu podataka o prometu ili lokaciji”, u smislu sudske prakse navedene u točki 95. ove presude, tako da on u načelu ne može donijeti konkretne zaključke o privatnom životu osoba o kojima je riječ. Pristup koji ne omogućuje donošenje takvih zaključaka ne predstavlja ozbiljno zadiranje u temeljna prava zajamčena člancima 7. i 8. Povelje.

100

Naime, u skladu s tim propisom i objašnjenjima koja je podnijela francuska vlada u tom pogledu, pristup odobren tom javnom tijelu strogo je ograničen na određene podatke o građanskom identitetu nositelja određene IP adrese te je dopušten samo u svrhu omogućavanja identifikacije tog nositelja osumnjičenog da je obavljao aktivnost kojom se povrjeđuju autorska ili srodna prava, s obzirom na to da je na internetu nezakonito stavio na raspolaganje zaštićena djela kako bi ih druge osobe preuzele. Svrha tog pristupa je, ovisno o slučaju, donošenje u odnosu na tog nositelja jedne od pedagoških ili represivnih mjera predviđenih u okviru postupka postupnog odgovora, to jest slanje prve i druge preporuke, a zatim dopisa kojim se obavještava da ta aktivnost može predstavljati kazneno djelo počinjeno s krajnjom nepažnjom i, naposljetku, upućivanje predmeta državnom odvjetništvu radi progona tih lakših kaznenih djela ili kaznenog djela povrede.

101

Usto je potrebno da navedeno nacionalno zakonodavstvo predvidi jasna i precizna pravila koja mogu osigurati da se IP adrese zadržane uz poštovanje Direktive 2002/58 mogu upotrijebiti jedino za identifikaciju osobe kojoj je dodijeljena određena IP adresa, istodobno isključujući upotrebu koja omogućuje nadzor preko jedne ili više adresa aktivnosti te osobe na internetu. Kada se određena IP adresa tako upotrebljava samo u svrhu identifikacije njezina nositelja u okviru posebnog upravnog postupka koji može dovesti do kaznenog progona tog nositelja, a ne u svrhu, na primjer, otkrivanja njegovih kontakata ili lokacije, pristup toj adresi samo u tu konkretnu svrhu odnosi se na navedenu adresu kao na podatak o građanskom identitetu, a ne kao podatak o prometu.

102

Osim toga, iz načela sadržanog u sudskoj praksi navedenoj u točki 97. ove presude proizlazi da pristup poput onoga koji ima Hadopi na temelju nacionalnog propisa o kojem je riječ u glavnom postupku, s obzirom na to da se njime nastoji postići cilj borbe protiv kaznenih djela općenito, može biti opravdan samo ako se odnosi na IP adrese koje moraju zadržati pružatelji elektroničkih komunikacijskih usluga radi ostvarenja tog cilja, a ne radi ostvarenja važnijeg cilja poput onoga borbe protiv teškog kriminaliteta, ne dovodeći ipak u pitanje pristup opravdan takvim ciljem borbe protiv kaznenih djela općenito kad se on odnosi na IP adrese koje su pohranjene i stoga zadržane pod uvjetima predviđenima člankom 6. Direktive 2002/58.

103

Usto, kao što proizlazi iz točaka 85. do 92. ove presude, zadržavanje IP adresa koje se temelji na zakonskoj mjeri na temelju članka 15. stavka 1. Direktive 2002/58, radi ostvarivanja cilja borbe protiv kaznenih djela općenito, može biti opravdano ako načini tog zadržavanja ustanovljeni zakonskim uređenjem o kojem je riječ ispunjavaju niz zahtjeva kojima se u biti nastoji osigurati stvarna nepropusna razdvojenost različitih kategorija zadržanih podataka tako da je ustvari isključeno kombiniranje podataka iz različitih kategorija. Naime, u slučaju u kojem su takvi načini zadržavanja nametnuti pružateljima elektroničkih komunikacijskih usluga, opće i neselektivno zadržavanje IP adresa ne predstavlja ozbiljno zadiranje u privatnost njihovih nositelja jer se na temelju tih podataka ne mogu donijeti konkretni zaključci o njihovom privatnom životu.

104

Stoga, s obzirom na sudsku praksu navedenu u točkama 95. do 97. ove presude, u slučaju u kojem je uspostavljeno takvo zakonsko uređenje, pristup IP adresama zadržanima radi postizanja cilja borbe protiv kaznenih djela općenito može se opravdati s obzirom na članak 15. stavak 1. Direktive 2002/58 ako je on odobren samo u svrhu identifikacije osobe osumnjičene za upletenost u takva kaznena djela.

105

Uostalom, dopuštanje javnom tijelu poput Hadopija da ima pristup podacima o građanskom identitetu koji odgovaraju određenoj javnoj IP adresi koje su mu dostavile organizacije nositeljâ prava samo u svrhu identifikacije nositelja te adrese upotrijebljene za aktivnosti počinjene na internetu kojima se mogu povrijediti autorsko ili srodna prava kako bi mu se nametnule mjere predviđene u okviru postupka postupnog odgovora usklađeno je sa sudskom praksom Suda o „pravu na informacije” u kontekstu tužbe koja se odnosi na povredu prava intelektualnog vlasništva, poput onoga predviđenog člankom 8. Direktive 2004/48 (vidjeti u tom smislu presudu od 29. siječnja 2008., Promusicae, C‑275/06, EU:C:2008:54, t. 47. i sljedeće).

106

Naime, u okviru te sudske prakse Sud je istaknuo da primjena mjera predviđenih Direktivom 2004/48 ne može utjecati na OUZP ni na Direktivu 2002/58, ali je presudio da se članku 8. stavku 3. Direktive 2004/48, u vezi s člankom 15. stavkom 1. Direktive 2002/58 i člankom 7. točkom (f) Direktive 95/46, ne protivi to da države članice pružateljima elektroničkih komunikacijskih usluga nametnu obvezu da fizičkim osobama dostave osobne podatke kako bi mogle pred građanskim sudovima pokrenuti postupke protiv povreda autorskog prava, ali se njime tim državama ne nameće da ustanove takvu obvezu (vidjeti u tom smislu presudu od 17. lipnja 2021., M. I. C. M., C‑597/19, EU:C:2021:492, t. 124. i 125. i navedenu sudsku praksu).

107

Ipak, kao drugo, radi konkretne ocjene stupnja zadiranja u privatnost koje proizlazi iz pristupa javnog tijela osobnim podacima, ne mogu se ne uzeti u obzir posebnosti konteksta u kojem se odvija takav pristup i osobito svih podataka i informacija priopćenih tom tijelu na temelju primjenjivog nacionalnog propisa, uključujući već postojeće podatke i informacije iz kojih proizlazi sadržaj (vidjeti analogijom presudu ESLJP‑a od 24. travnja 2018., Benedik protiv Slovenije, CE:ECHR:2018:0424JUD006235714, t. 109.).

108

Tako u predmetnom slučaju valja uzeti u obzir, za potrebe navedene ocjene, činjenicu da prije pristupa podacima o građanskom identitetu o kojima je riječ koji ima, Hadopiju organizacije nositeljâ prava dostavljaju, među ostalim, „informacije o zaštićenim djelima ili predmetima na koje se odnose činjenice” i „ovisno o slučaju”„naziv datoteke kako se nalazi na pretplatnikovu računalu”, u skladu s točkom 1° Priloga Uredbi br. 2010‑236.

109

Iz spisa kojim raspolaže Sud, ali uz pridržaj provjere suda koji je uputio zahtjev, proizlazi da su informacije o djelu o kojem je riječ, poput zabilješki u zapisniku čiji je sadržaj reguliran odlukama CNIL‑a od 10. lipnja 2010. u biti ograničene na naslov djela o kojem je riječ i na izvadak nazvan chunk, koji ima oblik alfanumeričkog niza, a ne audiozapisa ili videozapisa djela.

110

S tim u vezi je točno da se općenito ne može isključiti da pristup javnog tijela ograničenom broju podataka o građanskom identitetu nositelja određene IP adrese koje mu je dostavio pružatelj elektroničkih komunikacijskih usluga samo u svrhu identifikacije tog nositelja u slučaju u kojem je ta adresa upotrijebljena za aktivnosti kojima se može povrijediti autorsko ili srodna prava, ako se kombinira s analizom informacija, makar i ograničenih, o sadržaju djela koje je nezakonito stavljeno na raspolaganje na internetu, koje su mu ranije dostavile organizacije nositeljâ prava, može informirati to javno tijelo o određenim aspektima privatnosti navedenog nositelja, uključujući o osjetljivim informacijama, poput seksualne orijentacije, političkih, vjerskih, filozofskih i društvenih ili drugih uvjerenja kao i zdravstvenog stanja, pri čemu takvi podaci osim toga uživaju posebnu zaštitu u pravu Unije.

111

Međutim, u predmetnom slučaju, s obzirom na prirodu ograničenih podataka i informacija kojima raspolaže Hadopi, oni samo u netipičnim situacijama mogu otkriti informacije, koje ovisno o slučaju mogu biti osjetljive, o aspektima privatnosti osobe o kojoj je riječ koje bi, promatrane zajedno, mogle tom javnom tijelu omogućiti donošenje konkretnih zaključaka o njezinu privatnom životu, na primjer izradom njezina detaljnog profila.

112

To bi mogao osobito biti slučaj kad je riječ o osobi čija je IP adresa upotrijebljena za aktivnosti kojima se opetovano, odnosno u velikoj mjeri, povrjeđuju autorska ili srodna prava na P2P mrežama, u vezi sa zaštićenim djelima posebnih vrsta koja se mogu regrupirati na temelju njihovih naslova koji mogu otkriti informacije koje, ovisno o slučaju, mogu biti osjetljive, o aspektima njezine privatnosti.

113

S obzirom na to, na temelju različitih elemenata može se smatrati da u predmetnom slučaju zadiranje u privatnost osobe osumnjičene za bavljenje aktivnostima kojima se povrjeđuju autorska ili srodna prava, koje dopušta propis poput onoga o kojem je riječ u glavnom postupku, nije nužno vrlo ozbiljno. Najprije, u skladu s takvim propisom, pristup koji Hadopi ima osobnim podacima o kojima je riječ rezerviran je za ograničen broj ovlaštenih službenika tog javnog tijela koji su položili prisegu, a osim toga to tijelo je i neovisno u skladu s člankom L. 331‑12 CPI‑ja. Nadalje, jedini cilj tog pristupa je identifikacija osobe osumnjičene za bavljenje aktivnošću kojom se povrjeđuju autorska ili srodna prava ako je utvrđeno da je zaštićeno djelo nezakonito stavljeno na raspolaganje koristeći njezin pristup internetu. Naposljetku, Hadopijev pristup osobnim podacima o kojima je riječ strogo je ograničen na podatke nužne u tu svrhu (vidjeti analogijom presudu ESLJP‑a od 17. listopada 2019., López Ribalda i dr. protiv Španjolske, CE:ECHR:2019:1017JUD000187413, t. 126. i 127.).

114

Još jedan element koji usto još više može smanjiti stupanj zadiranja u temeljna prava na zaštitu privatnosti i osobnih podataka – koji proizlazi iz navedenog Hadopijeva pristupa, a za koji se čini da proizlazi iz spisa kojim raspolaže Sud, što mora provjeriti sud koji je uputio zahtjev – odnosi se na činjenicu da se, na temelju primjenjivog nacionalnog propisa, na Hadopijeve službenike koji imaju pristup podacima i informacijama o kojima je riječ primjenjuje obveza povjerljivosti koja im zabranjuje da ih otkrivaju u bilo kojem obliku, osim za potrebe upućivanja predmeta državnom odvjetništvu, te da ih upotrebljavaju u svrhe koje nisu identifikacija nositelja određene IP adrese osumnjičenog za bavljenje aktivnošću kojom se povrjeđuje autorsko ili srodno pravo kako bi mu izrekli jednu od mjera predviđenih u okviru postupka postupnog odgovora.

115

Stoga, ako nacionalni propis ispunjava uvjete navedene u točki 101. ove presude, na temelju IP adresa dostavljenih javnom tijelu poput Hadopija ne može se pratiti tijek pretraživanja njihova nositelja, što potvrđuje utvrđenje da se zadiranje koje proizlazi iz pristupa tog tijela identifikacijskim podacima o kojima je riječ u glavnom postupku ne može kvalificirati kao ozbiljno.

116

Kao treće, valja podsjetiti na to da – za potrebe nužnog usklađivanja prava i interesa o kojima je riječ koje nameće zahtjev proporcionalnosti propisan člankom 15. stavkom 1. prvom rečenicom Direktive 2002/58 – iako su sloboda izražavanja i povjerljivost osobnih podataka prioritet te iako korisnici telekomunikacijskih i internetskih usluga moraju imati jamstvo poštovanja njihove intimnosti i slobode izražavanja, ta temeljna prava ipak nisu apsolutna. Naime, u okviru odvagivanja prava i interesa o kojima je riječ oni se ponekad moraju povući pred drugim temeljnim pravima i razlozima u općem interesu, poput zaštite javnog poretka i sprečavanja kaznenih djela ili zaštite prava i sloboda drugih osoba. To je osobito tako kada prevaga navedenih prioriteta može narušiti učinkovitost kaznene istrage, među ostalim, onemogućujući ili pretjerano otežavajući učinkovitu identifikaciju počinitelja kaznenog djela i izricanje sankcije u odnosu na njega (vidjeti analogijom presudu ESLJP‑a od 2. ožujka 2009., K. U. protiv Finske, CE:ECHR:2008:1202JUD000287202, t. 49.).

117

U tom kontekstu valja propisno uzeti u obzir činjenicu da, kao što je Sud već presudio, kad je riječ o kaznenim djelima počinjenima na internetu, pristup IP adresama može biti jedino istražno sredstvo kojim se može identificirati osoba kojoj je ta adresa bila dodijeljena u trenutku počinjenja tog djela (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 154.).

118

Ta okolnost pokazuje, kao što je u biti također istaknuo nezavisni odvjetnik u točki 59. svojega mišljenja od 28. rujna 2023., da su zadržavanje tih adresa i pristup njima, kad je riječ o borbi protiv kaznenih djela poput onih kojima se povrjeđuju autorska ili srodna prava počinjenih na internetu, strogo nužni za ostvarivanje cilja koji se nastoji postići i stoga ispunjavaju zahtjev proporcionalnosti propisan člankom 15. stavkom 1. Direktive 2002/58, u vezi s njezinom uvodnom izjavom 11. i člankom 52. stavkom 2. Povelje.

119

Nedopuštanje takvog pristupa bi, osim toga, dovelo do, kako je u biti istaknuo nezavisni odvjetnik u točkama 78. do 80. svojega mišljenja od 27. listopada 2022. i u točkama 80. i 81. svojega mišljenja od 28. rujna 2023., stvarne opasnosti od sustavnog nekažnjavanja ne samo kaznenih djela kojima se povrjeđuju autorska ili srodna prava, nego i druge vrste kaznenih djela počinjenih na internetu čiji je počinjenje ili priprema olakšana samim značajkama interneta. Postojanje takve opasnosti predstavlja okolnost koja je relevantna za ocjenu, u okviru odvagivanja različitih postojećih prava i interesa, toga je li zadiranje u prava zajamčena člancima 7., 8. i 11. Povelje mjera koja je proporcionalna s obzirom na cilj borbe protiv kaznenih djela.

120

Točno je da pristup javnog tijela poput Hadopija podacima o građanskom identitetu koji odgovaraju IP adresi s koje je počinjeno kazneno djelo na internetu nije nužno jedino moguće istražno sredstvo kako bi se identificirala osoba koja je nositelj te adrese u trenutku počinjenja tog kaznenog djela. Naime, takva identifikacija mogla bi isto tako biti a priori moguća ispitivanjem svih aktivnosti osobe o kojoj je riječ na internetu, osobito analizom „tragova” koje je mogla ostaviti na društvenim mrežama, poput korisničkog imena na tim mrežama ili njezinih podataka za kontakt.

121

Međutim, kao što je istaknuo nezavisni odvjetnik u točki 83. svojega mišljenja od 28. rujna 2023., takvo istražno sredstvo bilo bi osobito zadirujuće jer bi moglo otkriti konkretne informacije o privatnom životu osoba o kojima je riječ. Ono bi za te osobe također podrazumijevalo i zadiranje u prava zajamčena člancima 7., 8. i 11. Povelje koje je ozbiljnije od onoga koje proizlazi iz propisa poput onoga o kojem je riječ u glavnom postupku.

122

Iz prethodno navedenog proizlazi da članak 15. stavak 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. te člankom 52. stavkom 1. Povelje, treba tumačiti na način da mu se u načelu ne protivi nacionalni propis kojim se javnom tijelu zaduženom za zaštitu autorskih i srodnih prava od povreda tih prava počinjenih na internetu dopušta pristup podacima o građanskom identitetu koji odgovaraju IP adresama koje su prethodno prikupile organizacije nositeljâ prava, a koje su zasebno i stvarno nepropusno zadržali pružatelji javno dostupnih elektroničkih komunikacijskih usluga, samo kako bi to tijelo moglo identificirati nositelje tih adresa osumnjičene da su počinili te povrede i kako bi, ovisno o slučaju, moglo poduzeti mjere protiv njih. U takvom slučaju primjenjivi nacionalni propis mora službenicima koji imaju takav pristup zabraniti, prvo, da u bilo kojem obliku otkrivaju informacije o sadržaju datoteka kojima su pristupili ti nositelji, osim isključivo u svrhu upućivanja predmeta državnom odvjetništvu, drugo, da na bilo koji način prate tijek pretraživanja tih nositelja i, treće, da upotrebljavaju te IP adrese u svrhe različite od donošenja tih mjera.

123

Ipak, postavlja se pitanje treba li pristup javnog tijela podacima o građanskom identitetu koji odgovaraju određenoj IP adresi osim toga podvrgnuti prethodnom nadzoru suda ili neovisnog upravnog tijela.

124

S tim u vezi, kako bi se u praksi zajamčilo puno poštovanje uvjeta koje su države članice dužne predvidjeti kako bi osigurale da pristup bude ograničen na ono što je strogo nužno, Sud je presudio da je „bitno” da pristup nadležnih nacionalnih tijela podacima o prometu i lokaciji bude podvrgnut prethodnom nadzoru suda ili neovisnog upravnog tijela (vidjeti u tom smislu presude od 21. prosinca 2016., Tele2 Sverige i Watson i dr., C‑203/15 i C‑698/15, EU:C:2016:970, t. 120.; od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 189.; od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C‑746/18, EU:C:2021:152, t. 51. i od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 106.).

125

Taj prethodni nadzor zahtijeva, prvo, da sud ili neovisno upravno tijelo zaduženo za njegovo izvršavanje raspolaže svim ovlastima i pruža sva potrebna jamstva za usklađivanje različitih legitimnih interesa i prava o kojima je riječ. Konkretnije, kad je riječ o kaznenoj istrazi, takav nadzor zahtijeva da taj sud ili to tijelo može osigurati pravednu ravnotežu između, s jedne strane, legitimnih interesa povezanih s potrebama istrage u okviru borbe protiv kriminaliteta i, s druge strane, temeljnih prava na poštovanje privatnosti i zaštite osobnih podataka osoba čiji su podaci obuhvaćeni pristupom (presuda od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C ‑140/20, EU:C:2022:258, t. 107. i navedena sudska praksa).

126

Drugo, kada taj nadzor ne izvršava sud, nego neovisno upravno tijelo, ono mora uživati položaj koji mu omogućava da prilikom obavljanja svojih zadaća postupa objektivno i nepristrano i u tu svrhu mora biti zaštićeno od svakog vanjskog utjecaja. Tako zahtjev neovisnosti koji mora ispuniti tijelo zaduženo za obavljanje prethodnog nadzora nalaže da ono ima svojstvo treće strane u odnosu na tijelo koje zahtijeva pristup podacima, tako da navedeno tijelo može izvršavati taj nadzor objektivno i nepristrano, zaštićeno od svakog vanjskog utjecaja. Konkretno, zahtjev neovisnosti u kaznenom postupku podrazumijeva da tijelo zaduženo za taj prethodni nadzor, s jedne strane, nije uključeno u provođenje predmetne kaznene istrage i, s druge strane, da ima neutralan položaj u odnosu na stranke kaznenog postupka (vidjeti u tom smislu presudu od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 108. i navedenu sudsku praksu).

127

Treće, neovisan nadzor koji se zahtijeva u skladu s člankom 15. stavkom 1. Direktive 2002/58 mora se provesti prije bilo kakvog pristupa podacima o kojima je riječ, osim u slučaju valjano opravdane hitnosti, u kojem slučaju navedeni nadzor mora uslijediti u kratkim rokovima. Naime, naknadni nadzor ne omogućava ispunjenje cilja prethodnog nadzora, koji se sastoji u sprečavanju da se odobri pristup predmetnim podacima koji prekoračuje granice onog što je strogo nužno (presuda od 5. travnja 2022., Commissioner of An Garda Síochána i dr., C‑140/20, EU:C:2022:258, t. 110.).

128

Ipak, iako je, kao što proizlazi iz sudske prakse navedene u točki 124. ove presude, Sud presudio da je „bitno” da pristup nadležnih nacionalnih tijela podacima o prometu i lokaciji bude podvrgnut prethodnom nadzoru suda ili neovisnog upravnog tijela, ta se sudska praksa razvila u kontekstu nacionalnih mjera koje omogućuju, radi cilja povezanog s borbom protiv teškog kriminaliteta, opći pristup svim zadržanim podacima o prometu i lokaciji, neovisno o bilo kakvoj, pa i neizravnoj, vezi, s ciljem koji se nastoji postići i koje stoga dovode do ozbiljnih, pa i „osobito ozbiljnih” zadiranja u temeljna prava o kojima je riječ.

129

Međutim, kada je bila riječ o uvjetima pod kojima je pristup podacima o građanskom identitetu mogao biti opravdan na temelju članka 15. stavka 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. Povelje, Sud nije ni na koji način izrijekom naveo zahtjev takvog prethodnog nadzora (vidjeti, u tom smislu, presude od 2. listopada 2018., Ministerio Fiscal, C‑207/16, EU:C:2018:788, t. 59., 60. i 62.; od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 157. i 158. kao i od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C‑746/18, EU:C:2021:152, t. 34.).

130

Iz sudske prakse Suda o načelu proporcionalnosti, čije se poštovanje nalaže člankom 15. stavkom 1. prvom rečenicom Direktive 2002/58 – osobito iz one prema kojoj mogućnost država članica da opravdaju ograničenje prava i obveza predviđenih, među ostalim, člancima 5., 6. i 9. te direktive, treba ocijeniti tako da se odmjeri ozbiljnost zadiranja u temeljna prava sadržana u člancima 7., 8. i 11. Povelje koje proizlazi iz takvog ograničenja i provjeri da je važnost cilja u općem interesu koji se nastoji postići tim ograničenjem povezana s tom ozbiljnošću (presuda od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 131.) – proizlazi da stupanj zadiranja u temeljna prava o kojima je riječ koje proizlazi iz pristupa osobnim podacima o kojima je riječ kao i razina njihove osjetljivosti isto tako moraju utjecati na materijalna i postupovna jamstva u pogledu tog pristupa, među kojima je i zahtjev prethodnog nadzora suda ili neovisnog upravnog tijela.

131

Stoga, s obzirom na to načelo proporcionalnosti, valja smatrati da se zahtjev prethodnog nadzora suda ili neovisnog upravnog tijela nameće kada, u kontekstu nacionalnoga propisa kojim se predviđa pristup javnog tijela osobnim podacima, taj pristup podrazumijeva opasnost od ozbiljnog zadiranja u temeljna prava osobe o kojoj je riječ u smislu da bi on mogao omogućiti tom javnom tijelu da donese konkretne zaključke o privatnom životu te osobe i, ovisno o slučaju, da izradi njezin detaljan profil.

132

Za razliku od toga, taj se zahtjev prethodnog nadzora ne primjenjuje kada se zadiranje u temeljna prava o kojima je riječ, koje proizlazi iz pristupa javnog tijela osobnim podacima, ne može kvalificirati kao ozbiljno.

133

To je tako u slučaju pristupa podacima o građanskom identitetu korisnika elektroničkih komunikacijskih sredstava samo u svrhu identifikacije korisnika o kojem je riječ a da se pritom ti podaci ne mogu povezati s informacijama o obavljenim komunikacijama jer se, u skladu sa sudskom praksom Suda, zadiranje koje podrazumijeva takva obrada podataka u načelu ne može kvalificirati kao ozbiljno (vidjeti u tom smislu presudu od 6. listopada 2020, La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 157. i 158.).

134

Iz toga slijedi da, u slučaju u kojem se primjenjuje uređenje zadržavanja poput onoga opisanog u točkama 86. do 89. ove presude, pristup javnog tijela podacima o građanskom identitetu koji odgovaraju tako zadržanim IP adresama u načelu nije podvrgnut zahtjevu prethodnog nadzora suda ili neovisnog upravnog tijela.

135

Međutim, kao što je već istaknuto u točkama 110. i 111. ove presude, ne može se isključiti da u netipičnim situacijama ograničeni podaci i informacije stavljeni na raspolaganje javnom tijelu u okviru postupka kao što je postupak postupnog odgovora o kojem je riječ u glavnom postupku mogu otkriti informacije koje, ovisno o slučaju, mogu biti osjetljive, o aspektima privatnosti osobe o kojoj je riječ, koje bi, promatrane zajedno, mogle tom javnom tijelu omogućiti donošenje konkretnih zaključaka o njegovom privatnom životu i, ovisno o slučaju, izraditi njegov detaljan profil.

136

Kao što proizlazi iz točke 112. ove presude, takva opasnost za privatnost može nastati osobito kada se osoba bavi aktivnostima kojima se opetovano, pa i u velikoj mjeri, povrjeđuju autorska ili srodna prava na P2P mrežama u vezi sa zaštićenim djelima posebnih vrsta koja se mogu regrupirati na temelju njihovih naslova koji mogu otkriti informacije koje, ovisno o slučaju, mogu biti osjetljive, o njezinoj privatnosti.

137

Stoga u predmetnom slučaju u okviru upravnog postupka postupnog odgovora, nositelj određene IP adrese može biti osobito izložen takvoj opasnosti kada taj postupak uđe u fazu u kojoj Hadopi mora odlučiti o tome hoće li uputiti predmet državnom odvjetništvu radi kaznenog progona tog nositelja zbog činjenica koje mogu predstavljati lakše kazneno djelo počinjeno s krajnjom nepažnjom ili kazneno djelo povrede.

138

Naime, to upućivanje predmeta pretpostavlja da su nositelju određene IP adrese već poslane dvije preporuke i jedna obavijest o tome da njegove aktivnosti mogu biti predmet kaznenog progona, što su mjere koje podrazumijevaju da je Hadopi svaki put imao pristup podacima o građanskom identitetu tog nositelja čija je IP adresa upotrijebljena za aktivnosti kojima se povrjeđuju autorska ili srodna prava te datoteci koja se odnosi na to djelo koja sadržava u biti njegov naslov.

139

Ne može se isključiti da, promatrani zajedno i kako se odvija upravni postupak postupnog odgovora, podaci koji su tako dostavljeni tijekom različitih faza tog postupka mogu otkriti podudarajuće i, ovisno o slučaju, osjetljive informacije o aspektima privatnosti osobe o kojoj je riječ koje omogućuju, ovisno o slučaju, izradu njezina profila.

140

Stoga se intenzitet zadiranja u pravo na poštovanje privatnosti može povećati kako postupak postupnog odgovora, koji se odvija u etapama, prolazi kroz svoje različite faze.

141

U predmetnom slučaju Hadopijev pristup svim podacima osobe o kojoj je riječ koji su prikupljeni tijekom različitih faza tog postupka može, povezivanjem tih podataka, omogućiti da se donesu konkretni zaključci o njezinom privatnom životu. Stoga u okviru postupka kao što je postupak postupnog odgovora o kojem je riječ u glavnom postupku, nacionalni propis mora isto tako predvidjeti u određenoj fazi navedenog postupka prethodni nadzor suda ili neovisnog upravnog tijela koji ispunjava uvjete navedene u točkama 125. do 127. ove presude, kako bi se isključile opasnosti od neproporcionalnih zadiranja u temeljna prava na zaštitu privatnosti i osobnih podataka osobe o kojoj je riječ. To znači da se u praksi takav nadzor mora provesti prije nego što Hadopi može povezati podatke o građanskom identitetu osobe koji odgovaraju određenoj IP adresi i dobiveni su od pružatelja elektroničkih komunikacijskih usluga, pri čemu su toj osobi već poslane dvije preporuke, i datoteku o djelu koje je stavljeno na raspolaganje na internetu kako bi ga preuzele druge osobe. Stoga se navedeni nadzor mora provesti prije eventualnog slanja obavijesti iz članka R-331‑40 CPI‑ja, kojom se utvrđuje da je ta osoba postupala na način koji može predstavljati kazneno djelo počinjeno krajnjom nepažnjom. Tek će nakon takvog prethodnog nadzora suda ili neovisnog upravnog tijela i njihova odobrenja Hadopi moći poslati takav dopis i nadalje, ovisno o slučaju, uputiti predmet državnom odvjetništvu kako bi ono pokrenulo kazneni progon u odnosu na to kazneno djelo.

142

Valja dopustiti Hadopiju da identificira slučajeve u kojima nositelj IP adrese o kojoj je riječ uđe u tu treću fazu takvog postupka postupnog odgovora. Stoga taj postupak mora biti organiziran i strukturiran tako da podatke o građanskom identitetu osobe koji odgovaraju IP adresama koje su prethodno prikupljene na internetu, a koji su dobiveni od pružatelja elektroničkih komunikacijskih usluga, osobe zadužene za ispitivanje činjenica u Hadopiju ne mogu automatski povezati s datotekama koje sadržavaju elemente na temelju kojih se mogu saznati naslovi zaštićenih djela čije je stavljanje na raspolaganje na internetu opravdalo to prikupljanje.

143

Stoga se takvo povezivanje za potrebe treće faze postupnog odgovora mora obustaviti kada prikupljanje navedenih podataka o građanskom identitetu, što odgovara slučaju drugog mogućeg ponavljanja aktivnosti kojom se povrjeđuju autorska ili srodna prava, aktivira zahtjev prethodnog nadzora suda ili neovisnog upravnog tijela opisan u točki 141. ove presude.

144

Osim toga, uređenje zahtjeva prethodnog nadzora navedenog u točkama 141. do 143. ove presude, u mjeri u kojoj je ograničen na treću fazu postupka postupnog odgovora te se ne primjenjuje na faze koje joj prethode, također omogućuje uzimanje u obzir argumenta u skladu s kojim valja očuvati praktičnost ovog postupka kojem je svojstvena, pogotovo kad je riječ o fazama koje prethode eventualnom slanju obavijesti i, ovisno o slučaju, upućivanju predmeta državnom odvjetništvu, mnogobrojnost zahtjeva za pristup javnog tijela koja proizlazi iz isto tako velikog broja zapisnika koje su mu dostavile organizacije nositeljâ prava.

145

Kad je, usto, riječ o predmetu prethodnog nadzora iz točaka 141. do 143. ove presude, iz sudske prakse navedene u točkama 95. i 96. ove presude proizlazi da slučaj u kojem je osoba o kojoj je riječ osumnjičena za počinjenje kaznenog djela s „krajnjom nepažnjom” definiranog u članku R. 335‑5 CPI‑ja, koje je obuhvaćeno kaznenim djelima općenito, sud ili neovisno upravno tijelo zaduženo za taj nadzor mora uskratiti pristup kada on omogućuje javnom tijelu koje ga je zahtijevalo da donese konkretne zaključke o privatnom životu navedene osobe.

146

Suprotno tomu, trebalo bi odobriti čak i pristup koji omogućuje donošenje takvih konkretnih zaključaka u slučaju u kojem elementi dostavljeni tom sudu ili tom neovisnom upravnom tijelu opravdavaju sumnju da je osoba o kojoj je riječ počinila kazneno djelo povrede iz članka L. 335‑2 CPI‑ja ili članka L. 335‑4 tog zakonika, s obzirom na to da je moguće da država članica smatra da je takvo kazneno djelo, s obzirom da povrjeđuje temeljni interes društva, obuhvaćeno teškim oblicima kriminaliteta.

147

Naposljetku, kad je riječ o oblicima tog prethodnog nadzora, francuska vlada smatra da je, s obzirom na posebne značajke Hadopijeva pristupa podacima o kojima je riječ, osobito s obzirom na njegov opseg, prikladno da prethodan nadzor, ako je potreban, bude u potpunosti automatiziran. Naime, cilj takvog nadzora, koji je u potpunosti objektivan, u biti jest provjeriti sadržava li zapisnik kojim se pokreće postupak pred Hadopijem sve potrebne informacije i podatke, a da ih to tijelo ne treba ocijeniti.

148

Međutim, prethodni nadzor ni u kojem slučaju ne može biti u potpunosti automatiziran jer, kao što proizlazi iz sudske prakse navedene u točki 125. ove presude, kad je riječ o kaznenoj istrazi, takav nadzor u svakom slučaju zahtijeva da sud ili neovisno upravno tijelo o kojem je riječ budu u stanju osigurati pravednu ravnotežu između, s jedne strane, legitimnih interesa povezanih s potrebama istrage u okviru borbe protiv kriminaliteta i, s druge strane, temeljnih prava na poštovanje privatnosti i zaštite osobnih podataka osoba čiji su podaci obuhvaćeni pristupom.

149

Naime, takvo odvagivanje različitih legitimnih interesa i prava o kojima je riječ zahtijeva prisutnost fizičke osobe, koja je tim više potrebna kada automatizam i veliki opseg obrade podataka o kojima je riječ podrazumijevaju opasnost za privatnost.

150

Usto, u potpunosti automatiziran nadzor u načelu ne može osigurati da pristup ne prekorači granice onoga što je strogo nužno i da osobe o čijim je osobnim podacima riječ raspolažu učinkovitim jamstvima protiv opasnosti od zlouporabe i protiv bilo kakvog nezakonitog pristupa tim podacima i bilo kakve njihove nezakonite uporabe.

151

Stoga, iako automatizirani nadzor može omogućiti provjeru određenih informacija sadržanih u zapisnicima organizacija nositeljâ prava, takav se nadzor u svakom slučaju mora provoditi zajedno s nadzorom koji obavljaju fizičke osobe koje u potpunosti ispunjavaju zahtjeve navedene u točkama 125. do 127. ove presude.

152

Iz sudske prakse Suda proizlazi da je pristup osobnim podacima usklađen sa zahtjevom proporcionalnosti koji nameće članak 15. stavak 1. Direktive 2002/58 samo ako zakonska mjera koja ga odobrava jasnim i preciznim pravilima predviđa da je navedeni pristup uvjetovan poštovanjem s njima povezanih materijalnih i postupovnih uvjeta i da osobe o kojima je riječ imaju učinkovita jamstva protiv opasnosti od pristupa i zlouporaba ili nezakonitih uporaba tih podataka (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 132. i 173. i od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C 746/18, EU:C:2021:152, t. 49. i navedenu sudsku praksu).

153

Kao što je naglasio Sud, nužnost posjedovanja takvih jamstava još je značajnija kad su osobni podaci podvrgnuti automatskoj obradi (presuda od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 176. i navedena sudska praksa).

154

S tim u vezi, u odgovoru na pitanje koje je Sud postavio za potrebe rasprave od 5. srpnja 2022., francuska je vlada potvrdila da, kao što je uostalom navedeno u članku L. 331‑29 CPI‑ja, Hadopijev pristup podacima o građanskom identitetu u okviru postupka postupnog odgovora počiva u biti na automatiziranoj obradi podataka koja se primjenjuje zbog ogromnog broja kaznenih djela koja su organizacije nositeljâ prava ustanovile na P2P mrežama, a koja su dostavile Hadopiju u obliku zapisnika.

155

Iz spisa kojim raspolaže Sud osobito proizlazi da prilikom te obrade podataka službenici Hadopija u biti na automatiziran način i bez ocjene činjenica o kojima je riječ kao takvih provjeravaju sadržavaju li zapisnici koji su mu podneseni sve informacije i podatke navedene u točki 1° Priloga Uredbi br. 2010‑236, osobito činjenice nezakonitog stavljanja na raspolaganje na internetu o kojima je riječ i IP adrese upotrijebljene u tu svrhu. Takve se obrade moraju provoditi zajedno s nadzorima koje obavljaju fizičke osobe.

156

Budući da prilikom takve automatizirane obrade može doći do određenog broja lažnih pozitivnih slučajeva kao i osobito opasnosti od toga da potencijalno visok broj osobnih podataka treće osobe zloupotrijebe ili nezakonito upotrijebe, potrebno je da, na temelju zakonske mjere, sustav obrade podataka koji upotrebljava javno tijelo u pravilnim razmacima nadzire neovisno tijelo koje ima svojstvo treće strane u odnosu na to tijelo, s ciljem provjere integriteta sustava, uključujući učinkovitih jamstava protiv opasnosti od zlouporabe i bilo kakvog nezakonitog pristupa tim podacima i bilo kakve njihove nezakonite uporabe, koja taj sustav mora osigurati, kao i njegove učinkovitosti i pouzdanosti za detekciju povreda koje se, u slučaju ponavljanja, mogu kvalificirati kao krajnja nepažnja ili kažnjivo djelo povrede.

157

Naposljetku, valja dodati da obrada osobnih podataka koju provodi javno tijelo poput one koju provodi Hadopi u okviru postupka postupnog odgovora, mora poštovati posebna pravila o zaštiti tih podataka predviđena Direktivom 2016/680 čiji je cilj, u skladu s njezinim člankom 1., utvrđivanje pravila povezanih sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.

158

Naime, u predmetnom slučaju, iako, na temelju primjenjivog nacionalnog prava, on nema vlastite ovlasti odlučivanja, Hadopi se, kada u okviru postupka postupnog odgovora obrađuje osobne podatke i donosi mjere poput preporuke ili informacije osobi o kojoj je riječ, u kojima stoji da predmetna djela podliježu kaznenom progonu, mora kvalificirati kao „[javno tijelo]”, u smislu članka 3. Direktive 2016/680, uključeno u sprečavanje i istragu kaznenih djela, to jest lakšeg kaznenog djela počinjenog s krajnjom nepažnjom ili kaznenog djela povrede, te je stoga obuhvaćeno područjem primjene te direktive u skladu s njezinim člankom 1.

159

S tim u vezi francuska je vlada u odgovoru na pitanje koje je Sud postavio za potrebe rasprave od 5. srpnja 2022, navela da se, budući da su mjere koje Hadopi donosi u okviru provođenja postupka postupnog odgovora „pretkaznene prirode izravno povezane sa sudskim postupkom”, na sustav upravljanja mjerama za zaštitu djela na internetu, koji provodi Hadopi, primjenjuju, kao što proizlazi iz sudske prakse suda koji je uputio zahtjev, odredbe nacionalnog prava kojima se prenosi Direktiva 2016/680.

160

Suprotno tomu, takva Hadopijeva obrada podataka nije obuhvaćena područjem primjene OUZP‑a. Naime, članak 2. stavak 2. točka (d) OUZP‑a određuje da se ta uredba ne odnosi na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.

161

Kao što je istaknuo nezavisni odvjetnik u točki 104. svojega mišljenja od 27. listopada 2022., budući da stoga Hadopi u okviru postupka postupnog odgovora mora poštovati Direktivu 2016/680, osobe obuhvaćene tim postupkom moraju imati pravo na sva materijalna i postupovna jamstva koja obuhvaćaju pravo na pristup, ispravak i brisanje osobnih podataka koje je obradio Hadopi kao i mogućnost podnošenja pritužbe neovisnom nadzornom tijelu i nakon toga, ovisno o slučaju, pravnog lijeka pred sudom koji se podnosi u skladu s uvjetima općeg prava.

162

U tom kontekstu iz nacionalnog zakonodavstva o kojem je riječ u glavnom postupku proizlazi da, u okviru postupka postupnog odgovora, konkretnije prilikom slanja druge preporuke i prilikom kasnije obavijesti o tome da se utvrđene činjenice mogu kvalificirati kao kazneno djelo, adresat tih priopćenja ima određena postupovna jamstva poput prava na podnošenje očitovanja, prava na dobivanje pojašnjenja o povredi koja mu se stavlja na teret i, kad je riječ o navedenoj obavijesti, prava da zahtijeva održavanje rasprave i prava na savjetnika.

163

U svakom slučaju, zadaća je suda koji je uputio zahtjev da provjeri predviđa li to nacionalno zakonodavstvo sva materijalna i postupovna jamstva propisana Direktivom 2016/680.

164

S obzirom na sva prethodna razmatranja, na tri prethodna pitanja valja odgovoriti tako da članak 15. stavak 1. Direktive 2002/58, u vezi s člancima 7., 8. i 11. te člankom 52. stavkom 1. Povelje, treba tumačiti na način da mu se ne protivi nacionalni propis koji javnom tijelu zaduženom za zaštitu autorskih i srodnih prava od povreda tih prava počinjenih na internetu dopušta pristup podacima koje su zadržali pružatelji javno dostupnih elektroničkih komunikacijskih usluga, a odnose se na građanski identitet koji odgovara IP adresama koje su prethodno prikupile organizacije nositeljâ prava, kako bi to tijelo moglo identificirati nositelje tih adresa upotrijebljenih za aktivnosti koje mogu predstavljati takve povrede i kako bi, ovisno o slučaju, moglo poduzeti mjere u odnosu na njih, pod uvjetom da, na temelju tog propisa,

165

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (puni sastav) odlučuje:

Članak 15. stavak 1. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009., u vezi s člancima 7., 8. i 11. te člankom 52. stavkom 1. Povelje Europske unije o temeljnim pravima,

treba tumačiti na način da mu se:

ne protivi nacionalni propis koji javnom tijelu zaduženom za zaštitu autorskih i srodnih prava od povreda tih prava počinjenih na internetu dopušta pristup podacima koje su zadržali pružatelji javno dostupnih elektroničkih komunikacijskih usluga, a odnose se na građanski identitet koji odgovara IP adresama koje su prethodno prikupile organizacije nositeljâ prava, kako bi to tijelo moglo identificirati nositelje tih adresa upotrijebljenih za aktivnosti koje mogu predstavljati takve povrede i kako bi, ovisno o slučaju, moglo poduzeti mjere u odnosu na njih, pod uvjetom da, na temelju tog propisa,