Cyprus / Supreme Court, Primary jurisdiction / Civil Application No. 78/2025

The Application of K.I. for the issue of certiorari order and the ex parte order dated 31/1/2025 issued by the District Court of Nicosia in the context of Application No. 30/2025
Deciding body type
National Court/Tribunal
Deciding body
Supreme Court – Primary jurisdiction
Type
Decision
Decision date
30/07/2025
  • Cyprus / Supreme Court, Primary jurisdiction / Civil Application No. 78/2025

    Key facts of the case:

    The first-instance court granted a request by the police to access the applicant’s telephone data under the national retention law, ordering the service provider to hand over to the police the data of an IP user on specific dates and times mentioned in the order, for the purpose of investigating offences relating to child pornography. The applicant challenged the first-instance court decision on the ground that the testimony presented by the police had been obtained unlawfully, that the prerequisites for issuing the access order were not met and that the IP address of a user was protected personal data which could not have been lawfully retained in a mass database. The police argued that the U.S. Government had provided them with free access to the program Internet Crimes against Children Child Online Protection System (ICACCOPS) which can monitor all databases known to contain child pornography content, shared or transferred through a Peer2Peer network. The police argued that it does not have or use the said program but only has access to its internet database where the users’ data are stored when they exchange or make available child pornography content. According to the police, the only data that the police are able to extract from this database are the IP address, the date and the time of making available or exchanging content.

    Key legal question raised by the court:

    Whether the retention by the internet service provider of the data sought by the police infringed well-established national case law, according to mass data retention is indiscriminate and unlawful.

    Whether the interference with the rights protected by Articles 7, 8 and 11 of the EU Charter is proportionate when contrasted with the purpose of combating crime and the risk of systemic impunity for crimes as a result of prohibiting access to such data.

    Outcome of the case:

    The Constitutional Court confirmed the findings of the first-instance court which had allowed the police to access to the applicant’s data. The Court rejected the argument that the IP address forms part of personal data or that the user may be identified on the basis of the IP address alone; the identification of the user is only possible after a court order sanctioning the processing of the data is secured. The IP address is a unique number attributed to a computer or a telephone upon connecting to the internet, for the purpose of identification. The Court confirmed, on the basis of U.S. case law, the submission of the police that the only information that could be extracted from the ICACCOPS was that date, the time, an IP address and an infohash (an infohash is a unique cryptographic identifier used in BitTorrents to identify contents). The said database can only monitor content relating to child pornography; no other data can be in it, rendering the applicant’s argument about mass retention invalid. The Court cited the CJEU’s case law confirming that the GDPR seen through the lenses of Articles 7, 8, 11 and 52(1) of the EU Charter, permits measures for combating crime such as the general and indiscriminate retention of IP addresses which are attributed to the connection source for a specific period of time limited to what is absolutely necessary provided such measures meet the preconditions and provide effective guarantees against the risk of abuse. 

    The ruling in Hadjioannou, cited by the applicant as the legal basis for invalidating access to data that was massively and indiscriminately retained, referred to different type of data than the subject matter of this case. According to both the national case law and the CJEU ruling in Brayer,IP addresses are not personal data and can lead to the individual concerned only if the internet service provider reveals the identity of the user of the IP address for the period under review, which cannot be done without a court order; the IP address becomes personal data when the party storing it has lawful means at its disposal to locate the identity of the person due to additional information at the disposal of the provider. Before the CJEU ruling in Brayer, IP addresses were considered personal data in the hands of the service provider. The CJEU ruling in La Quadrature Du Net established that the general and indiscriminate retention of IP does not constitute serious intervention with rights, provided national law distinguishes between the different categories of personal data and prevents the extraction of data on private life, permitting access for the purpose of combating crime. 

  • Paragraphs referring to EU Charter

    In the decision on civil application No. 61/2025, which granted the applicant permission to file an application by way of call for the purpose of issuing a privileged writ of certiorari in relation to the order for access to telecommunications data issued on 31/1/ 2025 by the Trial Court, reference was made to the recent case law of the CJEU regarding IP addresses. As pointed out, this case law highlights that Article 15.1 of Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications), interpreted in the light of Articles 7, 8, 11, and 52(1) of the Charter of Fundamental Rights of the European Union, allows the national legislature to adopt measures to combat serious crime, such as the general and indiscriminate retention of IP addresses assigned to the source of the connection for a period limited to what is strictly necessary, provided that such measures ensure, by means of clear and precise rules, that the retention of data is subject to compliance with relevant substantive and procedural conditions and that the persons concerned by such data have effective safeguards against any risks of abuse. It was further clarified that in the majority decision of the Plenary Session Regarding the Application of Hadjioannou, Civil Applications No. 97/2018 et al., dated 27/10/2021, the compatibility of the provisions of Articles 3 and 6-10 of Law 183(I)/2007, which provide for the obligation of service providers to retain "data," as this term is interpreted in Article 2 of the Law and means traffic and location data and related data necessary for the identification of the subscriber and/or user and specified in Articles 6-11 of the Law, with EU legislation and case law on IP addresses, given that the orders referred to by Hadjioannou concerned the retention of a different form and nature of telecommunications data than the case in question.  It was also stated that, as is apparent from Law 183(I)/2007, the national legislature imposes on service providers, with the aim of combating serious crime such as child pornography, general and indiscriminate retention of IP addresses for a minimum period of six months - as stipulated, inter alia, by Directive 2002/58/EC — with clear and precise rules ensuring that data retention is subject to compliance with the legislative conditions laid down and that, in principle, the data are well protected against possible risks of abuse.

    At this point, it is appropriate to refer again to Case C-470/2021 La Quadrature Du Net, dated 30/4/2024, which concerned whether access by a public authority to the identity of a person linked to an IP address, which is retained by electronic communications providers for the purpose of combating crimes committed online, can be justified by Article 15(1) of Directive 2002/58/EC. As mentioned in Civil Application No. 61/2025, dated 9/4/2024, which granted a license, as already noted above, the CJEU ruled that the general and indiscriminate retention of IP addresses does not necessarily constitute a serious interference with fundamental rights, provided that national legislation ensures a strict separation of the different categories of personal data, preventing the drawing of precise conclusions about an individual's private life. As has been said in this regard, access to IP addresses stored for the purpose of combating criminal offenses in general may be justified in the light of Article 15 (1) of Directive 2002/58/EC, where such access is permitted solely for the purpose of identifying the person suspected of being involved in such offences. As stated, among other things, "not allowing such access would entail a real risk of systemic impunity not only for criminal offenses that infringe copyright or related rights, but also other types of criminal offenses committed via the internet or whose commission or preparation is facilitated by the particular characteristics of the internet. The existence of such a risk is, however, a critical factor in assessing, in the context of balancing the various rights and interests involved, whether interference with the rights enshrined in Articles 7, 8, and 11 of the Charter is a proportionate measure in relation to the objective of combating criminal offenses.

  • Paragraphs referring to EU Charter (original language)

    Στην απόφαση στην Πολιτική Αίτηση με αρ. 61/2025 με την οποία παρεχωρήθη άδεια στον Αιτητή για να καταχωρίσει Αίτηση δια Κλήσεως προς το σκοπό έκδοσης Προνομιακού Εντάλματος Certiorari σε σχέση με το Διάταγμα για πρόσβαση σε τηλεπικοινωνιακά δεδομένα που εξεδόθη στις 31/1/2025 από το Κατώτερο Δικαστήριο, έγινε αναφορά  στην πρόσφατη νομολογία του ΔΕΕ αναφορικά με τις διευθύνσεις IP. Όπως επισημάνθηκε, η εν λόγω νομολογία αναδεικνύει ότι το Άρθρο 15.1 της Οδηγίας 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες), ερμηνευόμενο υπό το πρίσμα των Άρθρων 7, 8, 11 και 52(1) του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, επιτρέπει στον εθνικό νομοθέτη να θεσπίζει μέτρα για την καταπολέμηση της σοβαρής εγκληματικότητας, όπως η γενική και αδιάκριτη διατήρηση διευθύνσεων IP οι οποίες αποδίδονται στην πηγή της σύνδεσης για χρονικό διάστημα περιοριζόμενο στο απολύτως αναγκαίο, εφόσον τα μέτρα αυτά διασφαλίζουν με σαφείς και ακριβείς κανόνες ότι η διατήρηση των δεδομένων εξαρτάται από την τήρηση των σχετικών προς τούτο ουσιωδών και τυπικών προϋποθέσεων και ότι τα πρόσωπα τα οποία αφορούν τα εν λόγω δεδομένα διαθέτουν αποτελεσματικές εγγυήσεις έναντι των όποιων κινδύνων κατάχρησης. Διευκρινίστηκε περαιτέρω ότι στην απόφαση της πλειοψηφίας της Ολομέλειας Αναφορικά με την Αίτηση του Χατζηϊωάννου, Πολιτικές Αιτήσεις Αρ. 97/2018 κ.ά., ημερ. 27/10/2021, δεν εξετάστηκε ευθέως η συμβατότητα των διατάξεων των Άρθρων 3 και 6-10 του Ν. 183(Ι)/2007 τα οποία προνοούν για την υποχρέωση των παρόχων υπηρεσιών να διατηρούν τα «δεδομένα», όπως ο όρος αυτός ερμηνεύεται στο Άρθρο 2 του Νόμου και σημαίνει τα δεδομένα κίνησης και θέσης και τα συναφή δεδομένα που είναι αναγκαία για την αναγνώριση του συνδρομητή ή/και του χρήστη και που προσδιορίζονται στα Άρθρα 6-11 του Νόμου, με την ενωσιακή νομοθεσία και νομολογία αναφορικά με τις διευθύνσεις IP, δεδομένου ότι τα διατάγματα που αφορούσε η Χατζηϊωάννου συνδέονταν με τη διατήρηση διαφορετικής μορφής και υφής τηλεπικοινωνιακών δεδομένων από ό,τι η υπό συζήτηση περίπτωση.  Λέχθηκε, επίσης, ότι, ως προκύπτει από το Ν. 183(Ι)/2007, ο εθνικός νομοθέτης επιβάλλει στους παρόχους υπηρεσιών με στόχευση την καταπολέμηση της σοβαρής εγκληματικότητας, όπως η παιδική πορνογραφία, γενική και άνευ διάκρισης διατήρηση των διευθύνσεων IP για την ελάχιστη χρονική περίοδο των έξι μηνών - που οριοθετεί ανάμεσα σε άλλα και η Οδηγία 2002/58/ΕΚ - με σαφείς και ακριβείς κανόνες που κατοχυρώνουν ότι η διατήρηση των δεδομένων εξαρτάται από την τήρηση των προβλεπόμενων νομοθετικών προϋποθέσεων και πως κατά βάσιν τα δεδομένα προστατεύονται καλώς έναντι πιθανών κινδύνων κατάχρησης.

    Στο σημείο αυτό κρίνεται σκόπιμη η εκ νέου παραπομπή στην υπόθεση C - 470/2021 La Quadrature Du Net, ημερ. 30/4/2024, η οποία αφορούσε το κατά πόσο πρόσβαση από δημόσια αρχή στην ταυτότητα προσώπου που συνδέεται με διεύθυνση IP, η οποία διατηρείται από παρόχους ηλεκτρονικών επικοινωνιών για το σκοπό καταπολέμησης αδικημάτων τα οποία διαπράττονται διαδικτυακά, μπορεί να δικαιολογηθεί από το Άρθρο 15(1) της Οδηγίας 2002/58/ΕΚ.  Όπως είχε αναφερθεί στην Πολιτική Αίτηση με αρ. 61/2025, ημερ. 9/4/2024 με την οποία παραχωρήθηκε άδεια, ως ήδη πιο πάνω έχει σημειωθεί, το ΔΕΕ αποφάνθηκε ότι η γενική και αδιακρίτως διατήρηση διευθύνσεων IP δεν συνιστά απαραίτητα σοβαρή επέμβαση στα θεμελιώδη δικαιώματα, υπό την προϋπόθεση ότι η εθνική νομοθεσία διασφαλίζει τον αυστηρό διαχωρισμό των διαφόρων κατηγοριών δεδομένων προσωπικού χαρακτήρα, αποτρέποντας την εξαγωγή ακριβών συμπερασμάτων για την ιδιωτική ζωή του ατόμου. Όπως, συναφώς, λέχθηκε, η πρόσβαση στις διευθύνσεις IP που διατηρούνται για το σκοπό της καταπολέμησης των ποινικών αδικημάτων εν γένει, μπορεί να δικαιολογείται υπό το πρίσμα του Άρθρου 15(1) της Οδηγίας 2002/58/ΕΚ, όταν η εν λόγω πρόσβαση επιτρέπεται αποκλειστικά και μόνο για το σκοπό της ταυτοποίησης του προσώπου για το οποίο υπάρχουν υπόνοιες ότι εμπλέκεται σε τέτοια αδικήματα. Όπως, μεταξύ άλλων, τέθηκε, «το να μην επιτραπεί τέτοια πρόσβαση θα συνεπαγόταν πραγματικό κίνδυνο συστημικής ατιμωρησίας όχι μόνον ποινικών αδικημάτων που προσβάλλουν τα δικαιώματα πνευματικής ιδιοκτησίας ή συγγενικά δικαιώματα, αλλά και άλλων ειδών ποινικών αδικημάτων που διαπράττονται μέσω του διαδικτύου ή των οποίων η τέλεση ή η προετοιμασία διευκολύνεται από τα ιδιαίτερα χαρακτηριστικά του διαδικτύου. Η ύπαρξη τέτοιου κινδύνου συνιστά, όμως, κρίσιμη περίσταση προκειμένου να εκτιμηθεί, στο πλαίσιο στάθμισης των διαφόρων εμπλεκόμενων δικαιωμάτων και συμφερόντων, εάν επέμβαση στα δικαιώματα που κατοχυρώνονται στα άρθρα 7, 8 και 11 του Χάρτη είναι αναλογικό μέτρο σε σχέση με τον σκοπό της καταπολέμησης των ποινικών αδικημάτων».