Article 7 - Respect for private and family life
Article 8 - Protection of personal data
Article 11 - Freedom of expression and information
Article 52 - Scope and interpretation
Key facts of the case:
A group of applications to the Supreme Court challenged district court orders which had authorised access to their telephone data in the course of police investigations. The applicants argued that the data that the police was seeking to access had been unlawfully retained, because the data retention law (hereinafter ‘the law’), which provided the legal basis for the retention, did not comply with the EU Charter and CJEU related jurisprudence, for permitting the general and indiscriminate retention of data and location. The applicants further argued that the safeguards contained in the law as regards access to retained data did not meet the criteria of the EU acquis and especially Council Directive 58/2002 and the CJEU rulings in Tele2Sverige and in La Quadrature du Net.
Key legal question raised by the Court:
The purpose of the judicial examination was to assess compliance of the national data retention law with the EU acquis, in particular with Directive 2002/58, the principles established in Tele2Sverige and the EU Charter.
Outcome of the case:
The Court held that the law ought to transpose Directive 58/2002 in a manner compliant with the EU Charter and that its provisions permitting the retention of data of all subscribers and registered users for the purpose of investigating serious crime raised questions of compliance with the Charter. The Court rejected the respondents’ arguments that the special circumstances of Cyprus, like its small size, short distances and the non-concentration of crime at a particular local level make it impossible to define a specific geographical area of applicability smaller than the entire territory of the Republic; the small size of the country could not be used as justification for extending the geographical criterion of La Quadrature du Net, to cover the entire country. The Court also rejected the respondents’ allegations that the ceiling of six months for retaining data provides an effective and sufficient guarantee rebutting the presumption of generalised and indiscriminate retention. The Court finally rejected the respondents’ allegations that the law contained sufficient safeguards through its restrictions in the content that can be retained and the fact that only ‘authorised’ persons have access to ιτ. The Court clarified that Union law views retention of data and access to data as two distinct matters with their own preconditions each; by contrast, the Cypriot law lacked restrictions in the target group, which were required by the CJEU in the Tele2 Sverige ruling.
The Supreme Court plenary convened in order to assess the legal question of combatibility of the national data retention law with the Eu Charter and the acquis in general and did not focus on the individual right to privacy of the applicants. The Court concluded that certain provisions of the national data retention law infringe Directive 2002/58, rendering the retention of data premised on those provisions unlawfyl. The Court did not proceed to invalidate the law; this follows a judicial tradition in Cyprus which relies on the doctrine of separation of powers, refraining from invalidating laws which infringe the EU acquis. In theory, the decision must lead to an amendment of the national data retention law and to the termination of the practice of mass and indiscriminate retention of data for the purpose of combating crime, however no action was taken towards that direction by mid-December 2021.
(1). The respondents claim that the national legislation provides for the necessary criteria set out in the CJEU case law to regulate in a proportionate manner the need to derogate from the rights enshrined in Articles 7, 8 and 11 of the EU Charter of Fundamental Rights ("the Charter"), taking into account the specific circumstances of the country in terms of its size, population and geographical distribution of crime. The Law provides for strict data protection rules and sanctions for their violation, while the Personal Data Protection Commissioner is designated as the supervisory authority for the observance of these rules. They suggest, even if the retention of the data under infrignes the principles established in Tele2 Sverige, the data that was accessed could, in any case, be retained by the providers. Consequently, their retention was not illegal.
(2). Although the protection of telecommunication data is not absolute, the national legislature is obliged to transpose the Directive in a manner compatible with the Charter. In this case, articles 3, 6, 7, 8, 9 and 10 of the Law include provisions for the general and indiscriminate retention of telecommunication data, in the sense that it permits the retention of all movement data and location data of all subscribers and registered electronic media users, with a view to investigating serious criminal offenses, in a manner that raises the question of whether this "universal" data retention is compatible with EU law, as interpreted in CJEU case law and, in particular, as enshrined in the Charter.
(3). On 21 December 2016, the CJEU judgment in C-203/15 in Tele2 Sverige followed, as a result of an application for a preliminary ruling from Sweden and the United Kingdom, concerning the interpretation of Article 15 (1) of Directive 2002 / 58 / EC on the processing of personal data and the protection of privacy in the field of electronic communications in light of Articles 7, 8 and 11, as well as Article 52 par. 1 of the Charter. It was observed that "the system established by Directive 2002/58 requires data retention to be the exception", while in paragraphs 105-106, essentially following the approach in Digital Rights, it was stated that:
"Para.105: National legislation such as that at issue in the main proceedings, which covers, in a generalised manner, all subscribers and registered users and all means of electronic communication as well as all traffic data, provides for no differentiation, limitation or exception according to the objective pursued. It is comprehensive in that it affects all persons using electronic communication services, even though those persons are not, even indirectly, in a situation that is liable to give rise to criminal proceedings. It therefore applies even to persons for whom there is no evidence capable of suggesting that their conduct might have a link, even an indirect or remote one, with serious criminal offences. Further, it does not provide for any exception, and consequently it applies even to persons whose communications are subject, according to rules of national law, to the obligation of professional secrecy (see, by analogy, in relation to Directive 2006/24, the Digital Rights judgment, paragraphs 57 and 58).
Para.106: Such legislation does not require there to be any relationship between the data which must be retained and a threat to public security. In particular, it is not restricted to retention in relation to (i) data pertaining to a particular time period and/or geographical area and/or a group of persons likely to be involved, in one way or another, in a serious crime, or (ii) persons who could, for other reasons, contribute, through their data being retained, to fighting crime (see, by analogy, in relation to Directive 2006/24, the Digital Rights judgment, paragraph 59)."
It was held in that regard in paragraphs 107 and 108 that:
"Para. 107: National legislation such as that at issue in the main proceedings therefore exceeds the limits of what is strictly necessary and cannot be considered to be justified, within a democratic society, as required by Article 15(1) of Directive 2002/58, read in the light of Articles 7, 8 and 11 and Article 52(1) of the Charter.
Para. 108: However, Article 15(1) of Directive 2002/58, read in the light of Articles 7, 8 and 11 and Article 52(1) of the Charter, does not prevent a Member State from adopting legislation permitting, as a preventive measure, the targeted retention of traffic and location data, for the purpose of fighting serious crime, provided that the retention of data is limited, with respect to the categories of data to be retained, the means of communication affected, the persons concerned and the retention period adopted, to what is strictly necessary."
(1) Οι καθ' ων η αίτηση αντιτάσσουν ότι η εθνική νομοθεσία προβλέπει τα αναγκαία κριτήρια που τέθηκαν στη νομολογία του ΔΕΕ για τη διασφάλιση της αναγκαιότητας, κατά αναλογικό τρόπο, της παρέκκλισης από τα δικαιώματα τα οποία κατοχυρώνονται στα άρθρα 7, 8 και 11 του Χάρτη των Θεμελιακών Δικαιωμάτων της Ευρωπαϊκής Ένωσης («ο Χάρτης»), λαμβάνοντας υπόψη και τις ιδιαίτερες συνθήκες της χώρας όσον αφορά το μέγεθος της, τον πληθυσμό της και την γεωγραφική κατανομή της εγκληματικότητας σε αυτήν. Προβλέπονται στον Νόμο αυστηροί κανόνες διατήρησης των δεδομένων και κυρώσεις για την παραβίασή τους, ενώ καθορίζεται ως εποπτεύουσα αρχή τήρησης των κανόνων αυτών ο Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Εισηγούνται, διαζευκτικά, ότι κι αν ακόμα κριθεί ότι η διατήρηση των δεδομένων με βάση το Νόμο αντιβαίνει στις αρχές που καθιερώθηκαν στην Tele2 Sverige, τα δεδομένα στα οποία υπήρξε πρόσβαση μπορούσαν, εν πάση περιπτώσει, να διατηρούνται από τους παρόχους. Συνακόλουθα, η διατήρηση τους δεν ήταν παράνομη.
(2) Παρόλο που η προστασία των τηλεπικοινωνιακών δεδομένων δεν είναι απόλυτη, ο εθνικός νομοθέτης υποχρεούται να εφαρμόσει την Οδηγία κατά τρόπο που να είναι συμβατός με τον Χάρτη. Εν προκειμένω, τα άρθρα 3, 6 7, 8, 9 και 10 του Νόμου περιλαμβάνουν πρόνοιες για τη γενική και χωρίς διάκριση διατήρηση τηλεπικοινωνιακών δεδομένων, με την έννοια ότι προβλέπεται η διατήρηση όλων των δεδομένων κινήσεως και των δεδομένων θέσεως όλων των συνδρομητών και των εγγεγραμμένων χρηστών που αφορούν τα μέσα ηλεκτρονικής επικοινωνίας, με σκοπό τη διερεύνηση σοβαρών ποινικών αδικημάτων ώστε να εγείρεται το ερώτημα κατά πόσο, η «καθολική» αυτή διατήρηση δεδομένων είναι συμβατή με την ενωσιακή νομοθεσία, όπως έχει ερμηνευθεί στη νομολογία του ΔΕΕ, και ειδικότερα με τα δικαιώματα που κατοχυρώνονται στο Χάρτη.
(3) Την 21 Δεκεμβρίου 2016, ακολούθησε η απόφαση του ΔΕΕ στην C-203/15, Tele2 Sverige, κατόπιν αιτήσεων προδικαστικής απόφασης από τη Σουηδία και το Ηνωμένο Βασίλειο, η οποία αφορούσε στην ερμηνεία του άρθρου 15 παρ.1 της Οδηγίας 2002/58/ΕΚ σχετικά µε την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών υπό το πρίσμα των άρθρων 7, 8 και 11, καθώς και του άρθρου 52 παρ.1 του Χάρτη. Παρατηρήθηκε, ότι «το σύστημα που καθιερώνει η οδηγία 2002/58 απαιτεί η διατήρηση των δεδομένων να είναι η εξαίρεση», ενώ στις σκέψεις 105-106, ακολουθώντας ουσιαστικά την προσέγγιση στην Digital Rights λέχθηκε πως:
«105 .εθνική ρύθμιση όπως η επίμαχη ., η οποία καλύπτει κατά τρόπο γενικό όλους τους συνδρομητές και τους εγγεγραμμένους χρήστες και αφορά όλα τα μέσα ηλεκτρονικής επικοινωνίας καθώς και όλα τα δεδομένα κινήσεως, δεν προβλέπει καμία διαφοροποίηση, περιορισμό ή εξαίρεση σε σχέση προς τον επιδιωκόμενο σκοπό. Αφορά εν γένει το σύνολο των προσώπων που κάνουν χρήση των υπηρεσιών ηλεκτρονικών επικοινωνιών, χωρίς εντούτοις τα πρόσωπα αυτά να ευρίσκονται, έστω και εμμέσως, σε κατάσταση δυνάμενη να προκαλέσει ποινικές διώξεις.
106 Η ρύθμιση αυτή δεν απαιτεί να υφίσταται σχέση μεταξύ των δεδομένων, των οποίων η διατήρηση προβλέπει, και κάποιας απειλής για τη δημόσια ασφάλεια. Ιδίως, δε, δεν περιορίζεται σε διατήρηση η οποία αφορά είτε δεδομένα σχετικά με μια συγκεκριμένη περίοδο και/ή μια συγκεκριμένη γεωγραφική ζώνη και/ή έναν κύκλο προσώπων που θα μπορούσαν να είναι αναμεμειγμένοι, με τον έναν ή τον άλλο τρόπο, σε κάποια σοβαρή παράβαση είτε πρόσωπα που θα μπορούσαν, για άλλους λόγους, να συμβάλουν, μέσω της διατηρήσεως των δεδομένων που τους αφορούν, στην καταπολέμηση του εγκλήματος (βλ., κατ' αναλογίαν, όσον αφορά την οδηγία 2006/24, απόφαση Digital Rights, σκέψη 59)».
Κρίθηκε δε συναφώς στις σκέψεις 107 και 108 ότι:
«107 .εθνική ρύθμιση όπως η επίμαχη.υπερβαίνει τα όρια του απολύτως αναγκαίου και δεν θα μπορούσε να θεωρηθεί δικαιολογημένη σε μια δημοκρατική κοινωνία όπως απαιτεί το άρθρο 15, παράγραφος 1, της οδηγίας 2002/58, ερμηνευόμενο υπό το πρίσμα των άρθρων 7, 8 και 11 καθώς και του άρθρου 52, παράγραφος 1, του Χάρτη. 108 Αντιθέτως, το άρθρο 15, παράγραφος 1, της οδηγίας 2002/58, ερμηνευόμενο υπό το πρίσμα των άρθρων 7, 8 και 11 καθώς και του άρθρου 52, παράγραφος 1, του Χάρτη, δεν αντιτίθεται στη θέσπιση από κράτος μέλος ρυθμίσεως η οποία επιτρέπει, προληπτικώς, τη στοχευμένη διατήρηση των δεδομένων κινήσεως και των δεδομένων θέσεως, προς τον σκοπό καταπολεμήσεως του σοβαρού εγκλήματος, υπό την προϋπόθεση ότι η διατήρηση των δεδομένων περιορίζεται σε ό,τι είναι απολύτως αναγκαίο όσον αφορά τις κατηγορίες διατηρούμενων δεδομένων, τα πρόσωπα των οποίων τα δεδομένα διατηρούνται καθώς και το διάστημα για το οποίο γίνεται δεκτό ότι πραγματοποιείται η διατήρηση».
