Netherlands / Supreme Court / 22/03889
-
Netherlands / Supreme Court / 22/03889
Key facts of the case:
The case concerns a suspect accused of phishing fraud. The police investigated his smartphone without prior consent by a court or an administrative authority, or by means of an intervention by the Public Prosecutor. In earlier judgements the Supreme Court held that this was possible if the infringement of the right to private life and the protection of personal data was limited. But even then the Supreme Court did hold, that there could still be an infringement of the rights to private life and the protection of personal data which was unlawful, especially if the police could get a detailed impression of the suspect’s personal life. At the time the Supreme Court also held that there might be an infringement of the rights of the suspect if the data of the smartphone were investigated by the police by means of technical tools. In a recent CJEU judgement (CJEU 2 October 2024, C-548/21 Bezirkshauptmannschaft Landeck ECLI:EU:C:2024:830), the CJEU gave more details. The CJEU held that in the case of investigating an electronic device, prior consent by an investigating judge or an independent administrative body would be necessary. This consent should only be given if a possibly serious crime is under investigation. Therefore the Supreme Court reviewed its earlier opinion: prior consent by an investigating judge or an independent administrative body (not the Public Prosecutor) is required before the police access, for example, a smartphone. There is an exception if there is no risk of getting details of the suspect’s personal life or data, for example when the police only check the identity of the user or the actual use of (for example) a smartphone at the moment itself or in the immediate past, regarding recent contacts only. Urgent cases for which due reasons to investigate an electronic device without prior consent are given are also an exception.
Key legal question raised by the court:
May the police access a smartphone without prior consent by an investigating magistrate or an independent administrative body?
Outcome of the case:
The police may not access an electronic device if there is a risk of a serious or very serious infringement of the right to personal life or the protection of data without prior consent by an investigating magistrate or an independent administrative body. The Supreme Court gives more details about this risk and rules out that the Public Prosecutor may act or give consent. These details did not make a difference for the outcome of the case.
-
Paragraphs referring to EU Charter
4.4.2. In addition the following provisions of the Charter of Fundamental Rights of the European Union (hereinafter: Charter) are of importance.
- Article 7:
“Respect for private and family life
Everyone has the right to respect for his private and family life, his home and his correspondence.”
- Article 8:
“Protection of personal data
1. Everyone has the right to the protection of personal data concerning him or her.
2. Such data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law. Everyone has the right of access to data which has been collected concerning him or her, and the right to have it rectified.
3. Compliance with these rules shall be subject to control by an independent authority.”- Article 52 sections 1 and 3:
“Scope and interpretation
1. Any limitation on the exercise of the rights and freedoms recognised by this Charter must be provided for by law and respect the essence of those rights and freedoms. Subject to the principle of proportionality, limitations may be made only if they are necessary and genuinely meet objectives of general interest recognised by the Union or the need to protect the rights and freedoms of others.
3. In so far as this Charter contains rights which correspond to rights guaranteed by the Convention for the Protection of Human Rights and Fundamental Freedoms, the meaning and scope of those rights shall be the same as those laid down by the said Convention. This provision shall not prevent Union law providing more extensive protection.”...
4.4.5
The Court of Justice of the EU in the case La Quadrature du Net II briefly considered the question under which circumstances, in the light of Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications, hereinafter: Directive 2002/58/EC) a prior check by a judiical authority of an independent administrative authority may be skipped when, among other things, the fundamental rights laid down in Articles 7 and 8 of the Charter are interfered with (ECJ EU 30 April 2024, case C-470/21, ECLI:EU:C:2024:370 (La Quadrature du Net II)).
...
5.1.1. The following may be deducted from the judgement of the Court of Justice of the EU in the case CG/Landeck described under 4.4.4. That judgement is about a Member State’s legal provisions which gives the police the power without further requirements to access all data recorded by a mobile phone in the framework of a criminal investigation. Such access may, depending on the contents of the telephone and the nature and the methods of the investigation into that telephone, lead to getting an insight into the traffic and location data, but also into another kind of data (such as pictures, the browser history, the contents of the communication transferred by that telephone and sensitive data). Access to all those data may, especially if those data are combined, lead to very detailed conclusions about the private life of the user. The following infringement of the fundamental rights guaranteed by Articles 7 and 8 of the Charter must be regarded as serious, in particular if the “sensitive data” referred to in Article 10 of Directive 2016/680 may be involved. In the light of the prinicple of proportionality access of the compentent national authorities to personal data must therefore depend on a prior check by a court or an independent administrative body if access implies the risk of a serious interference with the fundamental rights of the user.
-
Paragraphs referring to EU Charter (original language)
4.4.2. Verder zijn de volgende bepalingen uit het Handvestvan de grondrechten van de Europese Unie (hierna: Handvest) van belang.
- Artikel 7:
“Eerbiediging van het privé-leven en het familie- en gezinsleven
Eenieder heeft recht op eerbiediging van zijn privé-leven, zijn familie- en gezinsleven, zijn woning en zijn communicatie.”
- Artikel 8:
“Bescherming van persoonsgegevens
1. Eenieder heeft recht op bescherming van de hem betreffende persoonsgegevens.
2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan.
3. Een onafhankelijke autoriteit ziet toe op de naleving van deze regels.”
- Artikel 52 leden 1 en 3:
“Reikwijdte en uitlegging van de gewaarborgde rechten en beginselen
1. Beperkingen op de uitoefening van de in dit Handvest erkende rechten en vrijheden moeten bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Met inachtneming van het evenredigheidsbeginsel kunnen slechts beperkingen worden gesteld, indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.
3. Voor zover dit Handvest rechten bevat die corresponderen met rechten welke zijn gegarandeerd door het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden, zijn de inhoud en reikwijdte ervan dezelfde als die welke er door genoemd verdrag aan worden toegekend. Deze bepaling verhindert niet dat het recht van de Unie een ruimere bescherming biedt.”
...
4.4.5
Het Hof van Justitie is in de zaak La Quadrature du Net II ingegaan op, kort gezegd, de vraag onder welke omstandigheden in het licht van Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie; hierna: Richtlijn 2002/58/EG) een voorafgaande toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke autoriteit achterwege kan blijven bij een inmenging in onder meer de in artikel 7 en 8 Handvest verankerde grondrechten (HvJ EU 30 april 2024, zaak C-470/21, ECLI:EU:C:2024:370 (La Quadrature du Net II)).
...
5.1.1
Uit het onder 4.4.4 weergegeven arrest van het Hof van Justitie in de zaak CG/Landeck kan het volgende worden afgeleid. Dat arrest heeft betrekking op een wettelijke bepaling in de betreffende lidstaat die de politie in het kader van een strafrechtelijk onderzoek zonder nadere vereisten de bevoegdheid geeft zich toegang te verschaffen tot alle op een mobiele telefoon opgeslagen gegevens. Die toegang kan, afhankelijk van de inhoud van de telefoon en de aard en de inrichting van het onderzoek dat aan die telefoon wordt verricht, ertoe leiden dat inzicht wordt verkregen in verkeers- en locatiegegevens, maar ook in andersoortige gegevens (zoals foto’s, de browsergeschiedenis, de inhoud van via die telefoon uitgewisselde communicatie, en gevoelige gegevens). De toegang tot al die gegevens kan, in het bijzonder als deze gegevens in onderling verband met elkaar worden gebracht, leiden tot zeer nauwkeurige conclusies over het privéleven van de gebruiker. De daaruit voortvloeiende inbreuk op de door artikel 7 en 8 Handvest gewaarborgde grondrechten moet worden aangemerkt als ernstig of bijzonder ernstig, in het bijzonder als daarbij ook de in artikel 10 Richtlijn 2016/680 bedoelde ‘gevoelige gegevens’ aan de orde kunnen zijn. In het licht van het evenredigheidsbeginsel moet de toegang van de bevoegde nationale autoriteiten tot persoonsgegevens daarom afhankelijk worden gesteld van een voorafgaande toetsing door een rechter of een onafhankelijk bestuursorgaan als die toegang het risico van een ernstige of zelfs zeer ernstige inmenging in de grondrechten van de gebruiker met zich brengt.