Правна уредба

Правото на Съюза

Общата уредба относно защитата на личните данни

– Директива 95/46/ЕО

– ОРЗД

Секторната уредба относно защитата на личните данни

– Директива 2002/58

– Директива (ЕС) 2016/680

Уредбата относно защитата на правата върху интелектуална собственост

Френското право

CPI

Декрет № 2010‑236

Code des postes et des communications électroniques (Кодекс за пощите и електронните съобщения)

Спорът в главното производство и преюдициалните въпроси

По преюдициалните въпроси

Предварителни бележки

По наличието на обосноваване на основание член 15, параграф 1 от Директива 2002/58 за достъпа на публичен орган до данни за самоличността, съответстващи на IP адрес, запазени от доставчиците на електронни съобщителни услуги за целите на борбата с фалшифицирането, извършено в интернет

По изискванията във връзка със съхраняването на данни за самоличността и съответните IP адреси от доставчиците на електронни съобщителни услуги

По изискванията за достъп до данните за самоличността, съответстващи на IP адрес, запазени от доставчиците на електронни съобщителни услуги

По изискването за предварителен контрол от юрисдикция или от независима административна структура преди достъпа на публичен орган до данните за самоличността, съответстващи на IP адрес

По изискванията, свързани с материалните и процесуалните условия, както и с гаранциите срещу рискове от злоупотреби и срещу всякакъв незаконен достъп и всякакво незаконно използване на тези данни, наложени за достъпа на публичен орган до данни за самоличността, съответстващи на IP адрес

По съдебните разноски

–

за La Quadrature du Net, Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net и French Data Network, от A. Fitzjean Ó Cobhthaigh, avocat,

–

за френското правителство, от A. Daniel, A.‑L. Desjonquères и J. Illouz, в качеството на представители,

–

за датското правителство, от J. F. Kronborg и V. Pasternak Jørgensen, в качеството на представители,

–

за естонското правителство, от M. Kriisa, в качеството на представител,

–

за финландското правителство, от H. Leppo, в качеството на представител,

–

за шведското правителство, от H. Shev, в качеството на представител,

–

за норвежкото правителство, от F. Bergsjø, S.‑E. Dahl, J. T. Kaasin и M. P. Wennerås, в качеството на представители,

–

за Европейската комисия, от S. L. Kalėda, H. Kranenborg, P.‑J. Loewenthal и F. Wilman, в качеството на представители,

–

за La Quadrature du Net, Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net и French Data Network, от A. Fitzjean Ó Cobhthaigh, avocat,

–

за френското правителство, от R. Bénard, J. Illouz и T. Stéhelin, в качеството на представители,

–

за чешкото правителство, от T. Suchá и J. Vláčil, в качеството на представители,

–

за датското правителство, от J. F. Kronborg и C. A.‑S. Maertens, в качеството на представители,

–

за естонското правителство, от M. Kriisa, в качеството на представител,

–

за Ирландия, от M. Browne, Chief State Solicitor, A. Joyce и D. O’Reilly, в качеството на представители, подпомагани от D. Fenelly, BL,

–

за испанското правителство, от A. Gavela Llopis, в качеството на представител,

–

за кипърското правителство, от I. Neophytou, в качеството на представител,

–

за латвийското правителство, от J. Davidoviča и K. Pommere, в качеството на представители,

–

за нидерландското правителство, от E. M. M. Besselink, M. K. Bultermann и A. Hanje, в качеството на представители,

–

за финландското правителство, от A. Laine и H. Leppo, в качеството на представители,

–

за шведското правителство, от F.‑D. Göransson и H. Shev, в качеството на представители,

–

за норвежкото правителство, от S.‑E. Dahl и P. Wennerås, в качеството на представители,

–

за Европейската комисия, от S. L. Kalėda, H. Кranenborg, P.‑J. Loewenthal и F. Wilman, в качеството на представители,

–

за Европейския надзорен орган по защита на данните, от V. Bernardo, C.‑A. Marnier, D. Nardi и M. Pollmann, в качеството на представители,

–

за Агенцията на Европейския съюз за мрежова и информационна сигурност, от A. Bourka, в качеството на представител,

1

Преюдициалното запитване се отнася до тълкуването на Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 г. (OB L 337, 2009 г., стр. 11) (наричана по-нататък „Директива 2002/58“) във връзка с Хартата на основните права на Европейския съюз (наричана по‑нататък „Хартата“).

2

Запитването е отправено в рамките на спор между сдруженията La Quadrature du Net, Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net и French Data Network, от една страна, и Premier ministre (министър‑председател, Франция) и Ministre de la Culture (министър на културата, Франция), от друга страна, по повод законосъобразността на Décret no 2010‑236, du 5 mars 2010, relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331‑29 du code de la propriété intellectuelle dénommé „Système de gestion des mesures pour la protection des œuvres sur internet“ (Декрет № 2010‑236 от 5 март 2010 г. относно автоматизираната обработка на лични данни, разрешена съгласно член L. 331‑29 от Кодекса на интелектуалната собственост, наречена „Система за управление на мерките за закрила на произведения в интернет“) (JORF, бр. 56 от 7 март 2010 г., текст № 19), изменен с Décret no 2017‑924, du 6 mai 2017, relatif à la gestion des droits d’auteur et des droits voisins par un organisme de gestion de droits et modifiant le code de la propriété intellectuelle (Декрет № 2017‑924 от 6 май 2017 г. относно управлението на авторското право и на сродните му права от организация за управление на правата и за изменение на Кодекса на интелектуалната собственост) (JORF, бр. 109 от 10 май 2017 г., текст № 176) (наричан по-нататък „Декрет № 2010‑236“).

3

В раздел II („Критерии за законосъобразност на обработването на лични данни“) от глава II от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10) член 7 предвижда следното:

„Държавите членки предвиждат, че обработването на лични данни може да се извършва […] само ако:

[…]

4

Член 13, параграф 1 от посочената директива гласи:

„Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член 6, параграф 1, член 10, член 11, параграф 1, член 12 и член 21, ако подобно ограничаване представлява необходима мярка за гарантиране на:

[…]

5

Член 2 („Материален обхват“), параграфи 1 и 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“) предвижда:

„1.   Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2.   Настоящият регламент не се прилага за обработването на лични данни:

[…]

6

В член 4 („Определения“) от ОРЗД се уточнява, че:

„За целите на настоящия регламент:

[…]“.

7

Член 6 („Законосъобразност на обработването“), параграф 1 от този регламент предвижда:

„Обработването е законосъобразно[…] само ако и доколкото е приложимо поне едно от следните условия:

[…]

Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи“.

8

Член 9 („Обработване на специални категории лични данни“), параграф 2, букви д) и е) от посочения регламент предвижда, че забраната за обработването на някои видове чувствителни данни, разкриващи, по-специално, данни за сексуалния живот или сексуалната ориентация на физическото лице, не се прилага, когато обработването е свързано с лични данни, които явно са направени обществено достояние от субекта на данните, или е необходимо, по-специално, с цел установяване, упражняване или защита на правни претенции.

9

Член 23 („Ограничения“), параграф 1 от ОРЗД предвижда:

„В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:

[…]

и) защитата на субекта на данните или на правата и свободите на други лица;

й) изпълнението по гражданскоправни искове“.

10

Съображения 2, 6, 7, 11, 26 и 30 от Директива 2002/58 гласят:

[…]

[…]

[…]

[…]

11

Съгласно член 2 („Дефиниции“) от Директива 2002/58:

„[…]

Прилагат се също следните дефиниции:

[…]“.

12

Член 3 („Обхванати услуги“) от тази директива предвижда:

„Настоящата директива се прилага при обработката на лични данни във връзка с предоставянето на обществено достъпни електронни съобщителни услуги в обществени съобщителни мрежи в Общността, включително обществени съобщителни мрежи, поддържащи събиране на данни и устройства за идентификация“.

13

Съгласно член 5 („Конфиденциалност на комуникациите“) от посочената директива:

„1.   Държавите членки гарантират конфиденциалност на съобщенията и свързани[те с тях данни за трафика] през публични комуникационни мрежи и публично достъпни електронни комуникационни услуги, чрез националното си законодателство. По‑специално[,] те забраняват слушане, записване, съхранение и други видове подслушване или наблюдение на съобщения и свързаните данни за трафика от страна на лица, различни от потребители[,] без съгласието на заинтересованите потребители, с изключение на законно упълномощени да извършват това в съответствие с член 15[,] параграф 1. Настоящият параграф не пречи на техническото съхранение, което е необходимо за пренасяне на комуникация, без да противоречи на принципа за конфиденциалност.

[…]

3.   Държавите членки гарантират, че съхраняването на информация или получаването на достъп до информация, вече съхранявана в крайното оборудване на абоната или ползвателя, е позволено само при условие че съответният абонат или ползвател е дал своето съгласие след получаване на предоставена ясна и изчерпателна информация в съответствие с Директива [95/46], inter alia, относно целите на обработката. […]“.

14

Член 6 („Данни за трафик“) от същата директива гласи:

„1.   Данни за трафик, отнасящи се до абонати и потребители, обработени и съхранени от доставчика на публични комуникационни мрежи или публично достъпни електронни комуникационни услуги, трябва да бъдат изтрити или да се направят анонимни, когато не са необходими повече за целите на предаване на комуникация, без да се накърнява[т] параграф[и] 2, 3 и 5 от настоящия член и член 15, параграф 1.

2.   Могат да бъдат обработени данни за трафик, необходими за целите на изготвяне на сметката на абоната и плащания при взаимна връзка. Такава обработка е допустима само до края на периода, през който сметката може законно да бъде оспорена или плащането търсено.

3.   С цел маркетинг на електронни съобщителни услуги или за предоставянето на услуги с добавена стойност, доставчикът на обществено достъпна електронна съобщителна услуга може да обработва данните, упоменати в параграф 1, до степен и продължителност, необходими за такива услуги или маркетинг, ако абонатът или ползвателят, за когото се отнасят данните, е дал предварително съгласието си. На ползватели или абонати трябва да бъде дадена възможността да оттеглят по всяко време съгласието си за обработка на данни за трафика.

[…]

5.   Обработка на данни за трафик, в съответствие с параграфи 1, 2, 3 и 4, трябва да бъде ограничена до лица, действащи под ръководството на доставчиците на публични комуникационни мрежи и публично достъпни електронни комуникационни услуги, които отговарят за изготвянето на сметки или управлението на трафика, за запитванията на клиенти, за разкриването на измами, за търговията с електронни комуникационни услуги или за обезпечаването на услуга с добавена стойност и трябва да бъде ограничена до това, което е необходимо за целите на тези дейности“.

15

Член 15 („Приложение на някои разпоредби от Директива [95/46]“) от Директива 2002/58 гласи:

„1.   Държавите членки могат да приемат законодателни мерки, за да ограничат обхвата на правата и задълженията, предвидени в член 5, член 6, член 8, параграф[и] 1, 2, 3[…] и 4 и член 9 от настоящата директива, когато такова ограничаване представлява необходима, подходяща и пропорционална мярка в рамките на демократично общество, за да гарантира национална сигурност (т.е. държавна сигурност), отбрана, обществена безопасност и превенцията, разследването, разкриването и преследването на [престъпления] или неразрешено използване на електронна комуникационна система, както е посочено в член 13, параграф 1 от Директива [95/46]. В тази връзка[…] държавите членки могат, inter alia, да одобрят законодателни мерки, предвиждащи съхранението на данни за ограничен период, оправдани на основанията, изложени в настоящия параграф. Всички мерки, упоменати в настоящия параграф, трябва да бъдат в съответствие с общите принципи на законодателството на Общността, включително онези, упоменати в член 6, параграф[и] 1 и 2 [ДЕС].

[…]

2.   Разпоредбите на глава III относно средствата за съдебна защита, отговорността и санкциите от Директива [95/46] трябва да се прилагат по отношение на национални разпоредби, одобрени съгласно настоящата директива и по отношение на правата на личността, произтичащи от настоящата директива.

[…]“.

16

Член 1 („Предмет и цели“), параграф 1 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 2016 г., стр. 89) предвижда:

„С настоящата директива се установяват правилата във връзка със защитата на физическите лица по отношение на обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване“.

17

Член 3 („Определения“) от посочената директива предвижда:

„За целите на настоящата директива:

[…]

7. „компетентен орган“ означава:

[…]“.

18

Член 8 („Право на информация“) от Директива 2004/48/ЕО на Европейския парламент и на Съвета от 29 април 2004 година относно упражняването на права върху интелектуалната собственост (ОВ L 157, 2004 г., стр. 45; Специално издание на български език, 2007 г., глава 17, том 2, стр. 56) гласи:

„1.   Държавите членки гарантират, че във връзка с производството [относно нарушение] на право върху интелектуална собственост и в отговор на основателно и пропорционално искане на предявителя компетентните съдебни органи могат да постановят информацията за произхода и мрежите за разпространение на стоките или услугите, с които се нарушава правото върху интелектуална собственост, да се предостави от нарушителя […].

2.   Информацията, посочена в алинея 1, съдържа съответно:

[…]

3.   Параграфи 1 и 2 се прилагат, без да се накърняват други законови разпоредби, с които:

19

Член L. 331‑12 от Code de la propriété intellectuelle (Кодекс за интелектуалната собственост, наричан по‑нататък „CPI“), в редакцията си, приложима към спора по главното производство, гласи:

„Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet [(Висш орган за разпространение на произведенията и защитата на правата в интернет, наричан по‑нататък „Hadopi“)] е независим публичен орган. […]“.

20

Член L. 331‑13 от този кодекс предвижда:

„[Hadopi] осигурява:

1° изпълнението на функции по насърчаване и развитие на законното предлагане и наблюдение на законното използване на произведения и обекти, по отношение на които са налице авторски или сродни права, когато тези произведения са предавани по електронни съобщителни мрежи, използвани за предоставяне на обществени съобщителни услуги в интернет;

2° изпълнението на функции по закрила на тези произведения и обекти по отношение на нарушения на тези права, извършени в електронните съобщителни мрежи, използвани за предоставяне на обществени съобщителни услуги в интернет;

[…]“.

21

Съгласно член L. 331‑15 от този кодекс:

„[Hadopi] се състои от Колегия и Комисия за защита на правата. […]

[…]

При изпълнение на правомощията си членовете на Колегията и на Комисията за защита на правата не получават указания от други органи“.

22

Член L. 331‑17, първа алинея от същия кодекс гласи:

„Комисията за защита на правата е компетентна да предприеме мерките по член L. 331‑25“.

23

Съгласно член L. 331‑21 от CPI:

„За да може Комисията за защита на правата да упражнява своите правомощия, [Hadopi] има на разположение заклети длъжностни лица, назначени от [неговия] председател при условия, определени с декрет, съгласуван с Държавния съвет. […]

Жалбите и сигналите до Комисията за защита на правата се получават от членовете на тази комисия и от посочените в алинея първа длъжностни лица при условията, предвидени в член L. 331‑24. Те извършват проверка на фактите.

За нуждите на производството те имат право да получат всички документи, независимо от информационния носител, включително данните, запазвани и обработвани от операторите на електронни съобщителни услуги по член L. 34‑1 от Code des postes et des communications électroniques (Кодекс за пощите и електронните съобщения) и от доставчиците по член 6, параграф I, точки 1 и 2 от Loi no 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique (Закон № 2004‑575 от 21 юни 2004 г. за доверието в цифровата икономика).

Те могат да получават също копия от посочените в предходната алинея документи.

Те могат по‑специално да получават от операторите на електронни съобщителни услуги данни за самоличността, пощенския адрес, адреса на електронна поща и телефонните номера на абоната, чийто достъп до обществени съобщителни услуги в интернет е бил използван за възпроизвеждане, представяне, предоставяне на публично разположение или публично разгласяване на произведения или други закриляни обекти без разрешението на титулярите на правата […], когато се изисква такова“.

24

Член L. 331‑24 от този кодекс гласи:

„Когато е сезирана, Комисията за защита на правата упражнява своите правомощия чрез заклети и упълномощени длъжностни лица […], които са назначени от:

Комисията за защита на правата може да предприема действия и въз основа на данни, които са ѝ предадени от прокурора на Републиката.

Тя не може да бъде сезирана за деяния, извършени преди повече от шест месеца“.

25

Съгласно член L. 331‑25 от посочения кодекс, който урежда процедурата, наречена „поетапен отговор“:

„Когато Комисията за защита на правата е сезирана за извършването на деяния, които могат да съставляват неизпълнение на задължението по член L. 336‑3 [от CPI], тя може да отправи препоръка до абоната […], с която да му припомни разпоредбата на член L. 336‑3, който повелява да се спазва задължението по този член, и да му посочи санкциите, които могат да бъдат налагани съгласно членове L. 335‑7 и L. 335‑7‑1. С тази препоръка абонатът се уведомява също за условията за законосъобразно предлагане на произведения с културно съдържание в интернет, за наличието на правни средства за защита, които позволяват да се избегне неизпълнение на задължението по член L. 336‑3, както и за опасностите за обновяване на художественото творчество и за икономиката на културния сектор в резултат на практики, които са в нарушение на авторското право и сродните му права.

В случай че в срок от шест месеца след изпращането на препоръката по алинея първа, бъдат повторно извършени деяния, които могат да съставляват неизпълнение на задължението по член L. 336‑3, Комисията може да отправи по електронен път нова препоръка, съдържаща същата информация като предходната […]. Комисията прилага към препоръката обратна разписка, потвърждаваща получаването срещу насрещен подпис или друго подходящо средство, с което може да се докаже на коя дата е връчена препоръката.

В препоръките, отправяни на основание на настоящия член, се посочват датата и часът, в които са установени извършените деяния, които могат да съставляват неизпълнение на задължението по член L. 336‑3. В тези препоръки обаче не се разкрива съдържанието на закриляните произведения или обекти, засегнати от неизпълнението на задължението. В препоръките се посочват телефонни номера, пощенски адрес и адрес на електронна поща, на които получателят може да представи по желание становище до Комисията за защита на правата и да получи при изрично направено искане уточнения относно съдържанието на закриляните произведения или обекти, засегнати от неизпълнението, в което е упрекнат“.

26

Член L. 331‑29 от CPI гласи:

„[Hadopi] може да въведе система за автоматизирана обработка на лични данни на лицата, срещу които е образувано производство по настоящия раздел.

Целта на тази обработка е Комисията за защита на правата да може да прилага предвидените в настоящия подраздел мерки, да издава всички свързани с производството актове и да спазва реда и начина за уведомяване на органите за професионална защита и на организациите за колективно управление на авторски права за евентуални жалби до съдебния орган, както и за уведомленията, предвидени в член L. 335‑7, пета алинея.

Редът и условията за прилагане на настоящия член се определят с декрет […]. С декрета по‑специално се уточняват:

27

Член L. 335‑2, първа и втора алинея от този кодекс уточнява:

„Всяко издание на писмени произведения, на музикална композиция, на рисунка, на картина или на всякакво друго произведение, което е отпечатано или гравирано, изцяло или частично, в нарушение на законите и подзаконовите актове относно авторските права, представлява фалшифициране, а всяко фалшифициране е престъпление.

Извършеното във Франция фалшифициране на произведения, публикувани във Франция или в чужбина, се наказва с три години лишаване от свобода и с глоба в размер на 300000 евро“.

28

Член L. 335‑4, първа алинея от посочения кодекс гласи:

„Всяко записване, възпроизвеждане, съобщаване или предоставяне на публично разположение — възмездно или безвъзмездно, или всяко радио- или телевизионно излъчване на изпълнение, на звукозапис, на видеозапис, на програма или на публикация в периодичния печат, извършено без разрешение, когато такова се изисква, от артист-изпълнителя, от продуцента на звукозаписи или на видеозаписи, от предприятието в аудио-визуалния съобщителен сектор, от издателя на периодично издание или от информационната агенция, се наказва с три години лишаване от свобода и с глоба в размер на 300000 евро“.

29

Член L. 335‑7 от CPI урежда правилата, по които на лицата, признати за виновни в извършването на престъпните деяния, посочени по-специално в членове L. 335‑2 и L. 335‑4 от този кодекс, се налага допълващото наказание спиране на достъпа до обществена съобщителна услуга в интернет за максимален срок от една година.

30

Член L. 335‑7‑1, първа алинея от посочения кодекс гласи следното:

„За предвидените в настоящия кодекс леки престъпления от пета категория, когато това е предвидено в разпоредба с ранг на нормативен административен акт, допълващото наказание по член L. 335‑7 може да бъде наложено при същите условия, в случай на груба небрежност, на лицето с право на достъп до обществена съобщителна услуга в интернет, до което Комисията за защита на правата, в приложение на член L. 331‑25, предварително е отправила с писмо с обратна разписка, потвърждаваща получаването срещу насрещен подпис или друго подходящо средство, с което може да се докаже на коя дата е връчено, препоръка, с която го приканва да приложи мерки за обезопасяване на достъпа си до интернет“.

31

Съгласно член L. 336‑3 от същия кодекс:

„Лицето с право на достъп до обществени съобщителни услуги в интернет е длъжно да следи този достъп да не се използва за възпроизвеждане, представяне, предоставяне на публично разположение или публично разгласяване на произведения или обекти, закриляни от авторско или сродно право, без разрешението на титулярите […], когато се изисква такова.

Неизпълнението на задължението по алинея първа от лицето с право на достъп до интернет не води до ангажиране на наказателната отговорност на заинтересованото лице […]“.

32

Член L. 331‑37, първа алинея от CPI предвижда:

„Операторите на електронни съобщителни услуги […] и доставчиците […] са длъжни чрез междусистемна връзка със системата за автоматизирана обработка на лични данни, посочена в член L. 331‑29, или чрез записването им на информационен носител, осигуряващ тяхната цялост и сигурност, да предоставят личните данни и информацията, посочена в точка 2 от приложението към Декрет [№ 2010‑236], в срок от осем дни, след като Комисията за защита на правата е получила техническите данни, необходими за установяването на самоличността на абоната, чийто достъп до обществени съобщителни услуги в интернет е използван за възпроизвеждане, представяне, предоставяне на публично разположение или публично разгласяване на закриляни произведения или обекти без разрешението на титулярите на правата […], когато се изисква такова“.

33

Съгласно член R. 331‑40 от този кодекс:

„Когато в срок от една година след отправянето на препоръката по член L. 335‑7‑1, първа алинея Комисията за защита на правата бъде сезирана за нови деяния, които могат да представляват деяния, извършени при условията на груба небрежност по смисъла на член R. 335‑5, тя уведомява абоната с писмо с обратна разписка, потвърждаваща получаването срещу насрещен подпис, за обстоятелството, че тези факти могат да доведат до наказателно преследване. С това писмо заинтересованото лице се приканва да представи становището си в петнадесетдневен срок. Тя уточнява, че в същия срок то може да поиска изслушване на основание член L. 331‑21‑1 и че има право да бъде подпомагано от защитник. Тя също така го приканва да уточни семейните си задължения за издръжка и средствата, с които разполага.

Комисията може по своя инициатива да призове заинтересованото лице за изслушване. В писмото се уточнява, че то има право да бъде подпомагано от защитник“.

34

Член R. 335‑5 от CPI гласи:

„I. — Когато са налице условията по параграф II, лицето с право на достъп до обществени съобщителни услуги в интернет извършва деяние при условията на груба небрежност, което се наказва с глобата, предвидена за леки престъпления от пета категория, ако това лице без основателна причина:

1° не е предприело мерки за обезопасяване на достъпа или

2° не е положило дължимата грижа при прилагането на тези мерки.

II. — Разпоредбите на параграф I се прилагат само ако са изпълнени следните две условия:

1° Ако в съответствие с член L. 331‑25 и в предвидените от този член форми Комисията за защита на правата е препоръчала на лицето с право на достъп да приведе в изпълнение мерки за обезопасяване на достъпа до обществени съобщителни услуги в интернет, с което да позволи да се избегне възможността този достъп да се използва отново за възпроизвеждане, представяне, предоставяне на публично разположение или публично разгласяване на произведения или обекти, закриляни от авторско или сродно право, без разрешението на титулярите на правата […], когато се изисква такова;

2° Ако през годината, след като е направена тази препоръка, този достъп е използван повторно за целите по точка 1 от настоящия параграф II“.

35

Считано от 1 януари 2022 г., в изпълнение на Loi no 2021‑1382, du 25 octobre 2021, relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique (Закон № 2021‑1382 от 25 октомври 2021 г. за регулиране и защита на достъпа до произведенията на културата в цифровата ера) (JORF, бр. 250 от 26 октомври 2021 г., текст № 2), Hadopi се слива с Conseil supérieur de l’audiovisuel (Висш съвет за аудио-визуални медии, наричан накратко „CSA“), друг независим публичен орган, за да се образува Autorité de régulation de la communication audiovisuelle et numérique (Регулаторен орган в областта на аудио-визуалната и цифровата комуникация, наричан накратко „ARCOM“).

36

Процедурата за поетапен отговор, посочена в точка 25 от настоящото решение, по същество е останала обаче непроменена, макар занапред да се прилага не от Комисията за защита на правата на Hadopi, състояща се от трима членове, определени съответно от Conseil d’État (Държавен съвет), Cour des comptes (Сметна палата) и Cour de cassation (Касационен съд), а от двама членове на колегиума на ARCOM, единият от които е определен от Conseil d’État (Държавен съвет), а другият — от Cour de cassation (Касационен съд).

37

Член 1 от Декрет № 2010‑236, приет по-специално на основание член L. 331‑29 от CPI, предвижда:

„Целта на обработването на лични данни, наречено „Система за управление на мерките за закрила на произведения в интернет“, е Комисията за защита на правата към [Hadopi] да може да:

1° прилага мерките, предвидени в книга III от част от [CPI] с ранг на закон (дял III, глава I, раздел 3, подраздел 3), и в книга III от част от същия кодекс с ранг на нормативен административен акт (дял III, глава I, раздел 2, подраздел 2);

2° сезира прокурора на Републиката за деяния, които могат да са съставомерни по членове L. 335‑2, L. 335‑3, L. 335‑4 и R. 335‑5 от същия кодекс, както и да уведомява организациите за професионална защита и организациите за колективно управление за действията по това сезиране;

[…]“.

38

Член 4 от този декрет гласи:

„I. — Упълномощените съгласно член L. 331‑21 от [CPI] от председателя на [Hadopi] заклети длъжностни лица и членовете на Комисията за защита на правата по член 1 имат пряк достъп до личните данни и до информацията, посочена в приложението към настоящия декрет.

II. — Операторите на електронни съобщителни услуги и доставчиците по точка 2 от приложението към настоящия декрет са получатели на:

III. — Органите за професионална защита и организациите за колективно управление са получатели на информация относно действията по сезиране на прокурора на Републиката.

IV. — Съдебните органи са получатели на протоколите за установяване на извършените деяния, които могат да са съставомерни по членове L. 335‑2, L. 335‑3, L. 335‑4, L. 335‑7, R. 331‑37, R. 331‑38 и R. 335‑5 от [CPI].

Автоматизираният регистър за съдимост се уведомява за изпълнението на наказанието спиране на достъпа до услугата“.

39

Приложението към посочения декрет предвижда:

„Лични данни и сведения, записани при обработката, наречена „Система за управление на мерките за закрила на произведения в интернет“, са следните:

1° Лични данни и сведения с източник от законосъобразно конституирани органи за професионална защита, организации за колективно управление на авторски права, Националния кинематографичен център и прокурора на Републиката:

По отношение на деянията, които могат да съставляват неизпълнение на задължението по член L. 336‑3 от [CPI]:

Дата и час на извършване на деянията;

IP адрес на съответните абонати;

Използван протокол с равноправен достъп (peer‑to‑peer);

Псевдоним, използван от абоната;

Информация за защитените произведения и обекти, засегнати от извършените деяния;

Име на файла, както фигурира на компютърната работна станция на абоната (евентуално);

Доставчик на достъп до интернет, с който е сключен договор за достъп до интернет или който предоставя техническото средство IP.

[…]

2° Лични данни и информация за абоната, събрани от операторите на електронни съобщителни услуги […] и от доставчиците […]:

Име и фамилно име;

Пощенски адрес и адрес на електронна поща;

Телефонни номера;

Местонахождение на телефонната инсталация на абоната;

Доставчик на достъп до интернет, използващ техническите ресурси на доставчика на достъп, посочен в точка 1, с който абонатът е сключил договор; номер на преписка;

Начална дата на спиране на достъпа до обществена съобщителна услуга в интернет.

[…]“.

40

Член L. 34‑1, параграф II bis от Code des postes и des communications électroniques (Кодекс на пощите и електронните съобщения) гласи следното:

„Операторите на електронни съобщителни услуги са длъжни да съхраняват:

1° За целите на наказателното преследване, с оглед на предотвратяването на заплахите срещу обществената сигурност и с цел опазване на националната сигурност — информация относно самоличността на ползвателя до изтичането на срок от пет години, считано от датата на изтичане на срока на действие на неговия договор;

2° За същите цели като посочените в точка 1 от настоящия [параграф] II bis — другата информация, предоставяна от ползвателя при сключването на договор или създаването на профил, както и информация за плащането, до изтичането на срок от една година от датата на изтичане на срока на действие на неговия договор или на закриване на неговия профил;

3° За целите на борбата с тежката престъпност и с престъпната дейност с висока степен на обществена опасност, с оглед на предотвратяване на сериозни заплахи срещу обществената сигурност и с цел опазване на националната сигурност — техническите данни, позволяващи да се идентифицира източникът на връзката, или данните за използваните крайни устройства — до изтичането на срок от една година от установяването на връзката или от използването на крайните устройства“.

41

След мълчалив отказ на министър‑председателя на искането им за отмяна на Декрет № 2010‑236, жалбоподателите в главното производство подават жалба на 12 август 2019 г. до Conseil d’État (Държавен съвет, Франция), от който искат да отмени този мълчалив отказ. Те изтъкват по същество, че член L. 331‑21, от трета до пета алинея от CPI, който съставлява част от правното основание на този декрет, от една страна, противоречи на правото на зачитане на личния живот, закрепено във френската Конституция, и от друга страна, нарушава правото на Съюза, и по-специално член 15 от Директива 2002/58 и на членове 7, 8, 11 и 52 от Хартата.

42

Що се отнася до частта от жалбата, в която се излагат твърдения за нарушение на Конституцията, Conseil d’État (Държавен съвет) сезира Conseil constitutionnel (Конституционен съвет, Франция) с приоритетен въпрос за конституционосъобразността.

43

С решение № 2020‑841 QPC от 20 май 2020 г., La Quadrature du Net и др. (Право на съобщаване на Hadopi), Conseil constitutionnel (Конституционен съвет) обявява за противоконституционни член L. 331‑21, трета и четвърта алинея от CPI, но обявява за съвместима с Конституцията пета алинея от посочения член, с изключение на съдържащата се в нея дума „по-специално“.

44

Що се отнася до частта от жалбата, в която се излагат твърдения за нарушение на правото на Съюза, жалбоподателите в главното производство поддържат по-специално, че Декрет № 2010‑236 и разпоредбите, които съставляват неговото правно основание, допускат по непропорционален начин достъп до данни за свързване относно извършвани в интернет престъпни деяния с по-ниска обществена опасност, с които се нарушават авторските права, без да се извършва предварителен съдебен или административен контрол, при който се осигурява изпълнение на изискванията за независимост и безпристрастност. По-специално, тези престъпни деяния не били свързани с „тежката престъпност“, разглеждана в решение от 21 декември 2016 г., Tele2 Sverige и Watson и др. (C‑203/15 и C‑698/15, EU:C:2016:970).

45

В това отношение Conseil d’État (Държавен съвет) припомня, от една страна, че в решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), Съдът приема по-специално, че член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8, и 11, както и с член 52, параграф 1 от Хартата допуска законодателни мерки, предвиждащи за целите на опазването на националната сигурност, борбата с тежката престъпност и опазването на обществената сигурност общо и неизбирателно запазване на данни относно самоличността на ползвателите на електронни съобщителни средства. Следователно, що се отнася до данните относно самоличността на ползвателите на електронни съобщителни средства, такова запазване било възможно за неопределен период за цели на разследването, разкриването и преследването на престъпления като цяло. Освен това Директива 2002/58 допускала достъп до тези данни за такива цели.

46

Въз основа на това запитващата юрисдикция стига до извода, че що се отнася до достъпа до данни за самоличността на ползвателите на електронни съобщителни средства, трябва да бъде отхвърлено основанието на жалбоподателите в главното производство, изведено от незаконосъобразност на Декрет № 2010‑236, доколкото той е приет по принцип в контекста на борбата с престъпни деяния с по-ниска степен на обществена опасност.

47

Тя припомня, от друга страна, че с решение от 21 декември 2016 г., Tele2 Sverige и Watson и др. (C‑203/15 и C‑698/15, EU:C:2016:970), Съдът приема по-специално, че член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8 и 11 и член 52, параграф 1 от Хартата трябва да се тълкува в смисъл, че не допуска национална правна уредба, която регламентира защитата и сигурността на данни за трафик и на данни за местонахождение, и по‑специално достъпа на компетентните национални органи до запазените данни, като не подчинява този достъп на предварителен контрол от юрисдикция или от независима административна структура.

48

Запитващата юрисдикция препраща по-специално към точка 120 от това решение, в която Съдът уточнява, че е от съществено значение достъпът на компетентните национални органи до запазените данни по принцип да се предоставя, освен в надлежно обосновани неотложни случаи, след предварителен контрол, осъществяван или от юрисдикция, или от независима административна структура, като решението на тази юрисдикция или на тази структура да се постановява след мотивирана молба от тези органи, подадена по‑специално в рамките на наказателни производства за предотвратяване, разкриване или наказателно преследване на престъпления.

49

Съдът припомня това изискване по отношение на събирането в реално време на данните за свързване от разузнавателните служби в решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), както и в решение от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения) (C‑746/18, EU:C:2021:152), що се отнася до достъпа на националните органи до данните за свързване.

50

Запитващата юрисдикция отбелязва също, че от създаването си през 2009 г. Hadopi е изпратил над 12,7 милиона препоръки до притежателите на абонаменти по процедурата за поетапен отговор, предвидена в член L. 331‑25 от CPI, включително 827791 препоръки само през 2019 г. Това обстоятелство означавало, че служителите на Комисията за защита на правата на Hadopi трябва да могат да събират всяка година значително количество данни относно самоличността на съответните ползватели. Тя приема, че предвид количеството на тези препоръки обвързването на това събиране на данни с предварителен контрол създавало опасност процедурата за отправяне на посочените препоръки да не може да бъде приложена.

51

При тези обстоятелства Conseil d’État (Държавен съвет) решава да спре производството по делото и да постави на Съда следните преюдициални въпроси:

52

С трите си преюдициални въпроса, които следва да се разгледат заедно, запитващата юрисдикция иска да се установи по същество дали член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8 и 11 и с член 52, параграф 1 от Хартата трябва да се тълкува в смисъл, че не допуска национална правна уредба, която разрешава на публичния орган, на който е възложена закрилата на авторските и сродните им права срещу извършените в интернет нарушения на тези права, достъп до запазени от доставчиците на обществено достъпни електронни съобщителни услуги данни за самоличността, съответстващи на IP адреси, събрани на предходен етап от организациите на титулярите на права, за да може този публичен орган да идентифицира притежателите на тези адреси, използвани за дейности, които могат да представляват такива нарушения, и евентуално да има възможност да предприеме мерки спрямо тях, без този достъп да е подчинен на изискването за предварителен контрол от юрисдикция или от независима административна структура.

53

В делото по главното производство се разглеждат две отделни и последователни операции по обработване на данни, извършвани в рамките на дейността на Hadopi, независим публичен орган, чиято задача съгласно член L. 331‑13 от CPI е по-специално закрилата на произведенията и обектите, обекти на авторско или сродно право, срещу нарушения на тези права, извършени в електронните съобщителни мрежи, използвани за предоставяне на обществени съобщителни услуги в интернет.

54

Първото обработване, което се извършва на първоначален етап от заклети и упълномощени длъжностни лица на организации на титулярите на права, се осъществява на два етапа. Първо, в мрежите с равноправен достъп (peer‑to‑peer мрежите) се събират IP адреси, които изглежда, че са били използвани за дейности, които могат да представляват нарушение на авторско или сродно право. Второ, на Hadopi се предоставят съвкупност от лични данни и информация под формата на протоколи. Съгласно списъка, съдържащ се в точка 1° от приложението към Декрет № 2010‑236, тези данни са датата и часът на извършване на деянията, IP адресът на съответните абонати, използваният протокол с равноправен достъп (peer‑to‑peer), използваният от абоната псевдоним, информацията за защитените произведения и обекти, засегнати от извършените деяния, името на файла, както фигурира на компютърната работна станция на абоната (евентуално), и доставчикът на достъп до интернет, с който е сключен договор за достъп до интернет или който предоставя техническото средство IP.

55

Второто обработване, извършвано на последващ етап от доставчиците на достъп до интернет по искане на Hadopi, също се осъществява на два етапа. Първо, събраните първоначално IP адреси се свързват с притежателите на тези адреси. На втория етап на този публичен орган се предоставят набор от лични данни и информация относно посочените притежатели на адреси, които се отнасят главно до тяхната самоличност. Съгласно списъка, съдържащ се в точка 2° от приложението към Декрет № 2010‑236, тези данни по същество са името и фамилното име, пощенският адрес и адресът на електронна поща, телефонните номера, както и местонахождението на телефонната инсталация на абоната.

56

Във връзка с последното член L. 331‑21, пета алинея от CPI, в редакцията му, произтичаща от решението на Conseil constitutionnel (Конституционен съвет), посочено в точка 43 от настоящото решение, предвижда, че членовете на Комисията за защита на правата на Hadopi и заклетите длъжностни лица на този орган, упълномощени от председателя му, могат да получат от операторите на електронни съобщителни услуги данни за самоличността, пощенския адрес, адреса на електронна поща и телефонните номера на абоната, чийто достъп до обществени съобщителни услуги в интернет е бил използван за възпроизвеждане, представяне, предоставяне на публично разположение или публично разгласяване на произведения или други закриляни обекти без разрешението на титулярите на правата, когато се изисква такова.

57

Целта на тези различни видове обработване на лични данни е да се позволи на Hadopi да предприеме спрямо така идентифицираните притежатели на IP адреси мерките, предвидени в административната процедура, наречена „поетапен отговор“, уредена в член L. 331‑25 от CPI. Тези мерки са, на първо място, изпращането на „препоръки“, които изглеждат като официални предупреждения; на следващо място, в случай че в срок от една година след изпращането на втората препоръка Комисията за защита на правата на Hadopi бъде сезирана за деяния, които могат да съставляват повторно нарушение на вече установеното, в съответствие с член R. 331‑40 от CPI абонатът се уведомява, че деянията могат да съставляват леко престъпление, извършено при условията на „груба небрежност“ по член R. 335‑5 от CPI, което е наказуемо с глоба в максимален размер от 1500 евро и до 3000 евро в случай на повторно извършване; накрая, след провеждане на обсъждане, може да бъде сезирана прокуратурата за деяния, които могат да съставляват такова леко престъпление, или в зависимост от конкретния случай — престъплението фалшифициране по член L. 335‑2 от CPI или по член L. 335‑4 от този кодекс, наказуемо с три години лишаване от свобода и глоба в размер на 300000 евро.

58

При това положение поставените от запитващата юрисдикция въпроси се отнасят единствено до описаното в точка 55 от настоящото решение последващо обработване, а не до първоначалното обработване, чиито основни характеристики са изложени в точка 54 от същото решение.

59

Следва обаче да се отбележи, че ако предварителното събиране на IP адресите от съответните организации на титулярите на права противоречи на правото на Съюза, това право би било пречка и за използването на тези данни в рамките на последващото обработване от страна на доставчиците на електронни съобщителни услуги, състоящо се в обвързване на посочените адреси с данните за самоличността на притежателите на тези адреси.

60

В този контекст, най-напред, следва да се припомни, че съгласно практиката на Съда IP адресите представляват както данни за трафик за целите на Директива 2002/58, така и лични данни по смисъла на ОРЗД (вж. в този смисъл решение от 17 юни 2021 г., M.I.C.M., C‑597/19, EU:C:2021:492, т. 102 и 113 и цитираната съдебна практика).

61

В това отношение обаче следва да се отбележи, че събирането на публични и видими за всички IP адреси от страна на длъжностни лица на организации на титулярите на права не попада в приложното поле на Директива 2002/58, тъй като такова обработване очевидно не се извършва „във връзка с предоставянето на електронни съобщителни услуги“ по смисъла на член 3 от тази директива.

62

За сметка на това подобно събиране на IP адреси, което, както е видно от преписката, с която разполага Съдът, е разрешено в определени количествени ограничения и при определени условия от Commission nationale de l’informatique et des libertés (Национална комисия по информационните технологии и свободите, наричана накратко „CNIL“) (Франция) с оглед на предаването им на Hadopi, за да се използват евентуално в последващи административни или съдебни производства, насочени към борба с дейностите, нарушаващи авторските и сродните им права, представлява „обработване“ по смисъла на член 4, точка 2 от ОРЗД, чиято законосъобразност зависи от условията по член 6, параграф 1, първа алинея, буква е), в светлината на практиката на Съда, изведена по-специално в решения от 17 юни 2021 г., M.I.C.M. (C‑597/19, EU:C:2021:492, т. 102 и 103), и от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа) (C‑252/21, EU:C:2023:537, т. 106—112 и цитираната съдебна практика).

63

Що се отнася до описаното в точка 55 от настоящото решение последващо обработване, то от своя страна попада в приложното поле на Директива 2002/58, тъй като се извършва „във връзка с предоставянето на обществено достъпни електронни съобщителни услуги“ по смисъла на член 3 от тази директива, доколкото разглежданите данни са получени от доставчиците на електронни съобщителни услуги в съответствие с член L. 331‑21 от CPI.

64

С оглед на изложените предварителни бележки се поставя въпросът дали, което иска да установи запитващата юрисдикция, ограничаването на основните права по членове 7, 8 и 11 от Хартата, което предполага, че публичен орган като Hadopi има достъп до данни за самоличността, съответстващи на IP адрес, с който той вече разполага, може да бъде обосновано на основание член 15, параграф 1 от Директива 2002/58.

65

Такъв достъп може да се предостави обаче само ако тези данни са били запазени в съответствие с Директива 2002/58 (вж. решение от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения), C‑746/18, EU:C:2021:152, т. 29).

66

Член 15, параграф 1 от Директива 2002/58 позволява на държавите членки да въвеждат изключения от установеното в член 5, параграф 1 от нея принципно задължение да гарантират поверителността на личните данни, както и от свързаните с него задължения, посочени по-специално в членове 6 и 9 от въпросната директива, когато такова ограничаване представлява необходима, подходяща и пропорционална мярка в рамките на демократично общество, за да гарантира националната сигурност, отбраната, обществената безопасност и да осигури превенцията, разследването, разкриването и преследването на престъпления или неразрешено използване на електронна съобщителна система. Във връзка с това държавите членки могат, inter alia, да одобрят законодателни мерки, предвиждащи съхранението на данни за ограничен период, когато това е оправдано с едно от тези основания. При това положение възможността за дерогиране от правата и задълженията, предвидени в членове 5, 6 и 9 от Директива 2002/58, не би могла да послужи като основание допускането на изключение от принципното задължение да се гарантира поверителността на електронните съобщения и на свързаните с тях данни, и по-специално от изрично предвидената в член 5 от тази директива забрана за съхраняване на тези данни, да се превърне в правило (решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 110 и 111).

67

Следователно законодателна мярка, приета на основание на тази разпоредба, трябва действително и строго да отговаря на някоя от посочените в предходната точка цели, тъй като изброяването им в член 15, параграф 1, първо изречение от Директива 2002/58 има изчерпателен характер, и да спазва общите принципи на правото на Съюза, сред които е принципът на пропорционалност, и основните права, гарантирани от Хартата. В това отношение Съдът вече е постановил, че задължението, наложено от държавите членки на доставчиците на електронни съобщителни услуги с национална правна уредба, за съхраняване на данни за трафик с цел да може, когато се налага, да се предоставя достъп до тях на компетентните национални органи, повдига въпроси относно зачитането не само на членове 7 и 8 от Хартата, отнасящи се съответно до защитата на личния живот и до защитата на личните данни, но и на член 11 от Хартата, отнасящ се до свободата на изразяване на мнение (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 112 и 113).

68

В този смисъл при тълкуването на член 15, параграф 1 от Директива 2002/58 трябва да се вземе предвид подчертаната в практиката на Съда важност както на правото на зачитане на личния живот, гарантирано с член 7 от Хартата, така и на правото на защита на личните данни, гарантирано с член 8 от нея, и на свободата на изразяване на мнение — основно право, гарантирано с член 11 от Хартата, което представлява един от основните стълбове на демократичното и плуралистичното общество, отразяващо ценностите, на които се основава Съюзът в съответствие с член 2 ДЕС (решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 114 и цитираната съдебна практика).

69

В това отношение следва да се подчертае, че съхранението на данни за трафик и на данни за местонахождение съставлява само по себе си, от една страна, дерогиране от предвидената в член 5, параграф 1 от Директива 2002/58 забрана всички лица, различни от потребителите, да съхраняват тези данни, и от друга страна, намеса в основните права на зачитане на личния живот и на защита на личните данни, закрепени в членове 7 и 8 от Хартата, независимо дали съответните данни за личния живот имат чувствителен характер и дали заинтересованите лица са претърпели евентуални неудобства поради тази намеса. Също така е без значение последващото използване на съхранените данни, тъй като достъпът до такива данни, независимо от използването им, което е последващ факт, представлява определена намеса в посочените в предходната точка основни права (решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 115 и 116).

70

При това положение, доколкото позволява на държавите членки да въведат дерогациите, посочени в точка 66 от настоящото решение, член 15, параграф 1 от Директива 2002/58 отразява обстоятелството, че правата, закрепени в членове 7, 8 и 11 от Хартата, не са абсолютни, а трябва да се разглеждат във връзка със своята социална функция. Всъщност, както следва от член 52, параграф 1 от Хартата, тя допуска ограничения на упражняването на тези права, стига тези ограничения да са предвидени в закон, да зачитат основното съдържание на посочените права и при спазване на принципа на пропорционалност да са необходими и действително да отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора (решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 120 и 121).

71

В случая следва да се отбележи, че макар формално Hadopi да има право на достъп само до данните за самоличността, съответстващи на IP адрес, особеното в този достъп е, че е необходимо предварително да бъде установена връзката между IP адреса и данните за самоличността на неговия притежател от съответните доставчици на електронни съобщителни услуги. Следователно посоченият достъп по необходимост предполага доставчиците да разполагат с IP адресите, както и с данните за самоличността на техните притежатели.

72

Освен това този публичен орган иска да получи достъп до тези данни единствено за да идентифицира притежателя на IP адрес, използван за дейности, с извършването на които могат да се нарушат авторските или сродните им права, при положение че той неправомерно е предоставил на разположение в интернет защитени произведения с цел изтеглянето им от други лица. При тези условия данните за самоличността трябва да се считат за тясно свързани както с IP адреса, така и с информацията относно произведението, предоставено на разположение в интернет, с която разполага Hadopi.

73

Такъв особен контекст обаче не може да се пренебрегне при разглеждането на евентуалното обосноваване на мярка за запазване на лични данни съгласно член 15, параграф 1 от Директива 2002/58, тълкуван във връзка с членове 7, 8 и 11 от Хартата (вж. по аналогия ЕСПЧ, решение от 24 април 2018 г., Benedik с/у Словения, CE:ECHR:2018:0424JUD006235714, § 109).

74

Ето защо, именно с оглед на изискванията в областта на запазването на IP адреси, произтичащи от посочения член 15, параграф 1, тълкуван във връзка с членове 7, 8 и 11 от Хартата, следва да се разгледа евентуалната обоснованост на намесата в основните права, закрепени в същите членове от Хартата, която предполага запазването от страна на доставчиците на обществено достъпни електронни съобщителни услуги на данните, до които Hadopi има право на достъп.

75

В този контекст следва да се посочи, че съгласно практиката на Съда, макар, както бе припомнено в точка 60 от настоящото решение, IP адресите да представляват данни за трафик за целите на Директива 2002/58, тези адреси се различават от другите категории данни за трафик, както и от данните за местонахождение.

76

В това отношение Съдът отбелязва, че IP адресите се генерират, без да са свързани с определено съобщение, и служат главно за идентифициране, посредством доставчиците на електронни съобщителни услуги, на собственика на крайно устройство, от което се осъществява комуникация чрез интернет. Така в областта на електронната поща и на интернет телефонията, доколкото са запазени само IP адресите на източника на съобщението, но не и тези на неговия адресат, тези адреси сами по себе си не разкриват никаква информация за третите лица, които са били в контакт с лицето, стоящо в основата на съобщението. При това положение тази категория данни е с по-ниска степен на чувствителност в сравнение с другите данни за трафика (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 152).

77

Действително, в точка 156 от решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), Съдът приема, че въпреки констатацията за по-малка чувствителност на IP адресите, когато те служат изключително за идентифициране на ползвателя на електронна съобщителна услуга, член 15, параграф 1 от Директива 2002/58 не допуска общото и неизбирателно запазване единствено на IP адресите, дадени на източника на свързването с интернет, да се извършва за цели, различни от борбата с тежката престъпност, предотвратяването на сериозни заплахи срещу обществената сигурност или опазването на националната сигурност. За да стигне до този извод обаче, Съдът изрично се основава на тежестта на намесата в основните права, закрепени в членове 7, 8 и 11 от Хартата, която намеса може да включва такова запазване на IP адресите.

78

Всъщност в точка 153 от същото решение Съдът приема, че тъй като IP адресите могат, по-специално когато се използват, за да се извърши „изчерпателното проследяване на пътя на потребителя в сайтовете и страниците в интернет („clickstream“)“ и следователно на неговата онлайн дейност, да позволят да се установи „подробният му профил“, съхраняването и анализът на посочените IP адреси, необходими за такова проследяване, представляват тежка намеса в основните права на субекта на данните, закрепени в членове 7 и 8 от Хартата, която намеса може да окаже възпиращо действие върху упражняването от страна на ползвателите на електронни съобщителни средства на свободата им на изразяване на мнение, гарантирана от член 11 от Хартата.

79

Следва обаче да се подчертае, че не всяко общо и неизбирателно запазване на съвкупност от статични и динамични IP адреси, използвани от дадено лице през определен период от време, представлява непременно тежка намеса в основните права, гарантирани в членове 7, 8 и 11 от Хартата.

80

В това отношение, най-напред, делата, по които е постановено решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), се отнасят до национална правна уредба, която включва задължение за съхраняване на съвкупност от данни, необходими за определяне на датата, часа, продължителността и естеството на комуникацията, за установяване на използваното съобщително оборудване и за определяне на местонахождението на крайните устройства и съобщенията — данни, сред които по-конкретно са името и адресът на ползвателя, телефонните номера на викащия и на повикания, както и IP адресът за интернет услугите. Освен това в две от тези дела разглежданата национална правна уредба, изглежда, обхваща и данните относно пренасянето на електронни съобщения чрез мрежите, които позволяват също да се установи естеството на консултираната в интернет информация (решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 82 и 83).

81

Следователно съхраняването на IP адресите, извършвано в рамките на такава национална правна уредба, е от естество — с оглед на другите данни, чието съхраняване е наложено от тази уредба, и на възможността за съчетаване на тези различни данни — да позволи да се изведат точни заключения за личния живот на лицата, чиито данни са засегнати, и следователно да доведе до тежка намеса в основните права, закрепени в членове 7 и 8 от Хартата, отнасящи се до защитата на личния живот и до защитата на личните данни, както и в член 11 от тази харта, отнасящ се до свободата на изразяване на мнение на тези лица.

82

За сметка на това задължението, наложено на доставчиците на електронни съобщителни услуги със законодателна мярка на основание член 15, параграф 1 от Директива 2002/58, съгласно което те трябва да осигурят общо и неизбирателно запазване на IP адреси, може евентуално да бъде обосновано с целта за борба с престъпленията като цяло, когато действително е изключено това съхраняване да може да доведе до тежка намеса в личния живот на субекта на данните поради възможността да се направят точни изводи за него, по-специално посредством свързването на тези IP адреси със съвкупност от данни за трафика или местонахождението, които също са били съхранени от тези доставчици.

83

Следователно държава членка, която възнамерява да наложи на доставчиците на електронни съобщителни услуги задължение за общо и неизбирателно запазване на IP адреси с оглед на постигането на цел, свързана с борбата с престъпленията като цяло, трябва да се увери, че условията за запазването на тези данни могат да гарантират, че е изключено всяко комбиниране на посочените IP адреси с други запазени данни, при спазване на Директива 2002/58, което би позволило да се направят точни изводи за личния живот на лицата, чиито данни биха били запазени по този начин.

84

За да се гарантира, че е изключено такова комбиниране на данни, което позволява да се направят точни изводи за личния живот на съответното лице, условията за запазване трябва да се отнасят до самата структура на съхраняването, което по същество трябва да бъде организирано така, че да се гарантира действително непреодолимо разделяне на различните категории запазени данни.

85

В това отношение несъмнено държавата членка, която цели да наложи на доставчиците на електронни съобщителни услуги задължение за общо и неизбирателно запазване на IP адреси с оглед на постигането на цел, свързана с борбата с престъпленията като цяло, трябва да предвиди в законодателството си ясни и точни правила относно посочените условия за запазване, като тези условия трябва да отговарят на строги изисквания. Съдът обаче може да внесе уточнения относно тези условия.

86

На първо място, посочените в предходната точка национални правила трябва да гарантират, че всяка категория данни, включително данните за самоличността и IP адресите, се съхранява напълно отделно от другите категории запазени данни.

87

На второ място, тези правила трябва да гарантират, че от техническа гледна точка разделянето на различните категории запазени данни, по-специално данните за самоличността, IP адресите, различните данни за трафик извън IP адресите и различните данни за местонахождение, действително е непреодолимо, посредством защитено и надеждно компютърно устройство.

88

На трето място, доколкото тези правила предвиждат възможност за свързване на съхранените IP адреси със самоличността на субекта на данните при спазване на изискванията, произтичащи от член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8 и 11 от Хартата, те трябва да позволяват такова свързване само чрез използването на ефикасен технически способ, който не поставя под въпрос ефективността на непреодолимото разделяне на тези категории данни.

89

На четвърто място, надеждността на това непреодолимо разделяне трябва да бъде предмет на редовен контрол от публичен орган, различен от този, който иска да получи достъп до личните данни, запазени от доставчиците на електронни съобщителни услуги.

90

Доколкото в приложимото национално законодателство са предвидени такива стриктни изисквания относно условията за общо и неизбирателно запазване на IP адреси и на други запазени от доставчиците на електронни съобщителни услуги данни, намесата, произтичаща от това запазване на IP адреси, не може да се квалифицира като „тежка“, поради самата структура на посоченото запазване.

91

Всъщност, в случай че е въведена такава законова уредба, така предвидените условия за запазване на IP адресите изключват възможността тези данни да се комбинират с други данни, запазени при спазване на Директива 2002/58, които позволяват да се направят точни изводи за личния живот на субекта на данните.

92

Следователно при наличието на законова уредба, отговаряща на изискванията, изложени в точки 86—89 от настоящото решение, която може да гарантира, че при никакво комбиниране на данни няма да могат да се направят точни изводи за личния живот на съответното лице, член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8 и 11 от Хартата допуска съответната държава членка да наложи задължение за общо и неизбирателно запазване на IP адреси с цел борба с престъпленията като цяло.

93

Накрая, тази законова уредба трябва, както следва от точка 168 от решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), да предвижда ограничен до строго необходимото период на запазване и да гарантира с ясни и точни правила, че запазването на разглежданите данни е подчинено на спазването на съответните материални и процесуални условия и че субектите на данните разполагат с ефективни гаранции срещу рисковете от злоупотреби, а също и срещу всеки незаконен достъп до тези данни или тяхното незаконно използване.

94

Запитващата юрисдикция следва да провери дали разглежданата в главното производство национална правна уредба отговаря на изискванията, припомнени в точки 85—93 от настоящото решение.

95

От практиката на Съда следва, че в областта на борбата с престъпността само целите за борба с тежката престъпност или за предотвратяване на сериозни заплахи за обществената сигурност са от естество да обосноват тежката намеса в основните права, закрепени в членове 7 и 8 от Хартата, която предполага достъпът на публичните органи до съвкупността от данни за трафика или данни за местонахождението, които могат да дадат информация за извършените комуникации от даден ползвател на средство за електронна комуникация, или за местонахождението на използваните от него крайни устройства, които позволяват да се направят точни изводи за личния живот на засегнатите лица, без други фактори, свързани с пропорционалността на подобно искане за достъп, като продължителността на периода, за който се иска достъп до подобни данни, да могат да имат за последица целта за предотвратяване, разследване, разкриване и преследване общо на престъпления да оправдае подобен достъп (решение от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения), C‑746/18, EU:C:2021:152, т. 35).

96

Когато обаче намесата в основните права, закрепени в членове 7 и 8 от Хартата, до която води достъпът на публични органи до данни за самоличността, запазени от доставчици на електронни съобщителни услуги, без тези данни да могат да бъдат обвързани с информация за извършените комуникации, не е тежка, когато в своята съвкупност тези данни не позволяват да се направят точни изводи относно личния живот на лицата, чиито данни са засегнати, посоченият достъп може да бъде обоснован от целта за превенция, разследване, разкриване и преследване общо на престъпленията (вж. в този смисъл решение от 2 октомври 2018 г., Ministerio Fiscal, C‑207/16, EU:C:2018:788, т. 54, 57 и 60).

97

Важно е също така да се добави, че съгласно утвърден в постоянната практика на Съда принцип достъпът до данни за трафика и до данни за местонахождението може да бъде обоснован на основание член 15, параграф 1 от Директива 2002/58 само с целта от общ интерес, за която доставчиците на електронни съобщителни услуги са длъжни да ги съхраняват, освен ако този достъп е оправдан от по-важна цел от общ интерес. От този принцип по-специално следва, че такъв достъп за целите на борбата с престъпността като цяло не може в никакъв случай да се предостави, когато запазването на посочените данни е било обосновано от целта за борба с тежката престъпност или, a fortiori, за опазване на националната сигурност (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 166).

98

Такава цел за борба с престъпленията като цяло позволява да се обоснове предоставянето на достъп до данни за трафик и до данни за местонахождение, които са били съхранени и така запазени, само ако и докато е необходимо за целите на пускането на пазара на услугите, фактурирането им или за предоставянето на услуги с добавена стойност, както се разрешава от член 6 от Директива 2002/58 (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 108 и 167).

99

В случая, на първо място, от разглежданата в главното производство национална правна уредба следва, че Hadopi няма достъп до „съвкупност от данни за трафика или данни за местонахождението“ по смисъла на съдебната практика, припомнена в точка 95 от настоящото решение, така че по принцип не могат да се направят точни изводи за личния живот на засегнатите лица. Достъп, който не позволява да се направят такива изводи, обаче не представлява тежка намеса в основните права, гарантирани в членове 7 и 8 от Хартата.

100

Всъщност съгласно тази правна уредба и обясненията на френското правителство във връзка с това, предоставеният на този публичен орган достъп е строго ограничен до определени данни за самоличността на притежателя на IP адрес и е разрешен единствено за да може да се идентифицира този притежател, за когото се подозира, че извършва дейност, нарушаваща авторските или сродните им права, при положение че той неправомерно е предоставил на разположение в интернет защитени произведения с цел изтеглянето им от други лица. Този достъп цели евентуално да се приеме по отношение на този притежател една от възпитателните или репресивни мерки, предвидени в процедурата за поетапен отговор, а именно изпращането на първа и втора препоръка, а след това на писмо, с което да му се съобщи, че тази дейност може да съставлява престъпно деяние, извършено при условията на груба небрежност, и накрая — сезирането на прокуратурата с цел преследване на това леко престъпление или на престъплението фалшифициране.

101

Освен това е необходимо посочената национална правна уредба да предвижда ясни и точни правила, които да гарантират, че запазените в съответствие с Директива 2002/58 IP адреси могат да бъдат използвани единствено за идентифициране на лицето, на което е бил предоставен определен IP адрес, като същевременно се изключва използване, което позволява чрез един или няколко от тези адреси да се наблюдава онлайн дейността на това лице. Когато IP адрес се използва по този начин единствено с цел да се идентифицира неговият притежател в рамките на конкретно административно производство, въз основа на което може да бъде предприето и наказателно преследване срещу него, а не с цел разкриване например на контактите или местонахождението на този притежател, достъпът до посочения адрес само за тази цел се отнася по-скоро до посочения адрес като част от данните за самоличността, отколкото като част от данните за трафика.

102

Освен това от принципа, залегнал в припомнената в точка 97 от настоящото решение постоянна съдебна практика, следва, че достъп като този, от който се ползва Hadopi съгласно разглежданата в главното производство национална правна уредба, когато тя преследва целта за борба с престъпленията като цяло, може да бъде обоснован само ако се отнася до IP адреси, които трябва да бъдат запазени от доставчиците на електронни съобщителни услуги с оглед на същата цел, а не на по-важна цел, каквато е борбата с тежката престъпност, без обаче да се засяга достъпът, обоснован с такава цел за борба с престъпленията като цяло, когато той се отнася до IP адреси, които се съхраняват и следователно се запазват при условията, предвидени в член 6 от Директива 2002/58.

103

Освен това, както следва от точки 85—92 от настоящото решение, съхраняването на IP адреси, основано на законодателна мярка по член 15, параграф 1 от Директива 2002/58, с оглед на целта за борба с престъпленията като цяло, може да бъде обосновано, когато установените със съответната законова уредба правила за това запазване отговарят на съвкупност от изисквания, които по същество имат за цел да осигурят действително непреодолимо разделяне на различните категории запазени данни, така че комбинирането на данни, принадлежащи към различни категории, наистина да е изключено. Всъщност, когато такива условия за запазване са наложени на доставчиците на електронни съобщителни услуги, общото и неизбирателно запазване на IP адреси не представлява тежка намеса в личния живот на техните притежатели, тъй като тези данни не позволяват да бъдат направени точни изводи относно личния им живот.

104

Следователно с оглед на припомнената в точки 95—97 от настоящото решение съдебна практика, при наличието на такава законова уредба достъпът до IP адресите, запазени за целите на борбата с престъпленията като цяло, може да бъде обоснован с оглед на член 15, параграф 1 от Директива 2002/58, когато този достъп е разрешен единствено с цел да се идентифицира лицето, заподозряно в участие в такива престъпления.

105

Впрочем да се позволи на публичен орган като Hadopi да получи достъп до данни за самоличността, съответстващи на публичен IP адрес — който му е предаден от организациите на титулярите на права единствено с цел да се идентифицира притежателят на този адрес, използван за дейности в интернет, с извършването на които могат да се нарушат авторските или сродните им права, тъй като на този притежател следва да се наложи някоя от мерките, предвидени в рамките на процедурата за поетапен отговор — е в съответствие с практиката на Съда относно „правото на информация“ в контекста на производство относно нарушение на право върху интелектуална собственост, предвидено в член 8 от Директива 2004/48 (вж. в този смисъл решение от 29 януари 2008 г., Promusicae, C‑275/06, EU:C:2008:54, т. 47 и сл.).

106

Всъщност в тази съдебна практика, като подчертава, че прилагането на мерките, предвидени в Директива 2004/48, не може да засяга действието на ОРЗД и Директива 2002/58, Съдът приема, че член 8, параграф 3 от Директива 2004/48 във връзка с член 15, параграф 1 от Директива 2002/58 и член 7, буква е) от Директива 95/46 допуска държавите членки да установяват задължение за доставчиците на електронни съобщителни услуги за предаване на лични данни на частноправни лица, за да могат те да предявят граждански искове срещу нарушенията на авторското право, но същевременно не изисква от тези държави да предвидят такова задължение (вж. в този смисъл решение от 17 юни 2021 г., M.I.C.M., C‑597/19, EU:C:2021:492, т. 124 и 125 и цитираната съдебна практика).

107

При това положение, на второ място, за целите на конкретната преценка на степента на намеса в личния живот, до която води достъпът на публичен орган до лични данни, не може да не се вземат предвид особеностите на контекста, в който се предоставя този достъп, и по-специално всички данни и информация, предоставени на този орган по силата на приложимата национална правна уредба, включително вече съществуващи данни и информация, разкриващи съдържанието (вж. по аналогия ЕСПЧ, решение от 24 април 2018 г., Benedik с/у Словения, CE:ECHR:2018:0424JUD006235714, § 109).

108

Ето защо в настоящия случай за целите на посочената преценка е важно да се вземе предвид фактът, че преди да получи достъп до данните за разглежданата самоличност, за който е оправомощен, Hadopi получава от организациите на титулярите на права по-специално „информация за защитените произведения и обекти, засегнати от извършените деяния“, и „евентуално“„името файла, както фигурира на компютърната работна станция на абоната“, в съответствие с точка 1° от приложението към Декрет № 2010‑236.

109

От преписката, с която разполага Съдът, е видно, като това обаче подлежи на проверка от страна на запитващата юрисдикция, че информацията за съответното произведение, съдържаща се в протокол, чието съдържание се очертава в рамките на разискванията на CNIL от 10 юни 2010 г., се ограничава основно до заглавието на съответното произведение, както и до откъс, наречен „chunk“, който е под формата на буквено-цифрова последователност, а не на аудио- или видеозапис на произведението.

110

В това отношение, разбира се, по принцип не може да се изключи, че достъпът на публичен орган до ограничен брой данни за самоличността на притежателя на IP адрес — който адрес му е бил съобщен от доставчик на електронни съобщителни услуги единствено с цел да се идентифицира този притежател, в положение, в което посоченият адрес е използван за дейности, с извършването на които могат да се нарушат авторските или сродните им права — когато този достъп е съчетан с анализ на данните, дори и да са ограничени, относно съдържанието на незаконно предоставеното на разположение в интернет произведение, изпратени му преди това от организациите на титулярите на права, може да предостави на този публичен орган сведения относно някои аспекти от личния живот на посочения притежател, включително относно чувствителна информация като сексуалната ориентация, политическите възгледи, религиозните, философските, обществените или други убеждения, както и относно здравословното състояние, независимо че подобни данни се ползват освен това от специална защита в правото на Съюза.

111

В настоящия случай обаче с оглед на естеството на данните и ограничената информация, с които разполага Hadopi, само в нетипични случаи те биха могли да разкрият евентуално чувствителна информация относно аспекти от личния живот на съответното лице, които, разглеждани в своята съвкупност, биха могли да позволят на този публичен орган да направи точни изводи относно личния му живот, например като се установи подробният му профил.

112

Такъв би могъл да бъде по-специално случаят на лице, чийто IP адрес е използван за дейности, които многократно или в голям мащаб нарушават в peer‑to‑peer мрежи авторските или сродните им права върху закриляни произведения от определен вид, които могат да бъдат групирани въз основа на термини от заглавието им и евентуално да разкрият чувствителна информация относно аспекти от личния му живот.

113

При това положение различни елементи допускат да се приеме, че в случая позволената от правна уредба като разглежданата в главното производство намеса в личния живот на лице, заподозряно в извършването на дейност в нарушение на авторските или сродните им права, не се характеризира непременно с висока степен на тежест. Най-напред, съгласно такава правна уредба достъпът на Hadopi до разглежданите лични данни е запазен за ограничен брой упълномощени и заклети длъжностни лица на този публичен орган, който впрочем има независим статут в съответствие с член L. 331‑12 от CPI. По-нататък, единствената цел на този достъп е да се идентифицира лицето, заподозряно в извършването на дейност, която нарушава авторските или сродните им права, когато се установи, че защитено произведение е предоставено незаконно чрез неговия достъп до интернет. Накрая, достъпът на Hadopi до разглежданите лични данни е строго ограничен до необходимите за тази цел данни (вж. по аналогия ЕСПЧ, решение от 17 октомври 2019 г., López Ribalda и др. с/у Испания, CE:ECHR:2019:1017JUD000187413, § 126 и 127).

114

Друг елемент, който може да намали още повече степента на тежест на намесата в основните права на защита на личния живот и на защита на личните данни, произтичаща от посочения достъп на Hadopi, който, изглежда, следва от преписката на разположение на Съда, но който запитващата юрисдикция трябва да провери, се отнася до факта, че по силата на приложимата национална правна уредба длъжностните лица на Hadopi, разполагащи с достъп до съответните данни и информация, имат задължение за поверителност, което им забранява да разгласяват тези данни и информация под каквато и да било форма, освен за сезирането на прокуратурата, и да ги използват за цели, различни от идентифицирането на притежателя на IP адрес, заподозрян в извършването на дейност, нарушаваща авторските или сродните им права, за да бъде наложена спрямо него една от мерките, предвидени в процедурата за поетапен отговор (вж. по аналогия ЕСПЧ, решение от 17 декември 2009 г., Gardel с/у Франция, CE:ECHR:2009:1217JUD001642805, § 70).

115

Ето защо, когато национална правна уредба отговаря на припомнените в точка 101 от настоящото решение условия, IP адресите, съобщени на публичен орган като Hadopi, не позволяват да се извърши проследяване на пътя на техния притежател в сайтовете и страниците в интернет, което потвърждава констатацията, че намесата, до която води достъпът на този орган до разглежданите в главното производство идентификационни данни, не може да се квалифицира като тежка.

116

На трето място, следва да се припомни, че за целите на необходимото съвместяване на разглежданите права и интереси, наложено от изискването за пропорционалност, предвидено в член 15, параграф 1, първо изречение от Директива 2002/58, макар свободата на изразяване на мнение и поверителността на личните данни да са съображения от първостепенна важност и макар да е необходимо ползвателите на съобщителните и интернет услуги да разполагат с гаранция, че ще бъдат запазени тяхната интимност и свобода на изразяване, тези основни права обаче не са абсолютни. Всъщност в контекста на претеглянето на разглежданите права и интереси те понякога трябва да отстъпят пред други основни права и пред императивни съображения от общ интерес, като защитата на обществения ред и превенцията на престъпления или защитата на правата и свободите на други лица. Такъв по-специално е случаят, когато първостепенното значение, отдадено на посочената основна грижа, може да възпрепятства ефективността на наказателно разследване, по-специално като направи невъзможни или прекомерно трудни ефективното идентифициране на извършителя на престъпление и неговото наказване спрямо него (вж. по аналогия ЕСПЧ, решение от 2 март 2009 г., K.U. с/у Финландия, CE:ECHR:2008:1202JUD000287202, § 49).

117

В този контекст трябва също да се вземе предвид обстоятелството, че както Съдът вече е приел, що се отнася до извършените онлайн престъпни деяния, достъпът до IP адресите може да е единственото средство за разследване, чрез което да се идентифицира ефективно на кого е предоставен този адрес в момента на извършване на престъпното деяние (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 154).

118

Това обстоятелство цели да докаже, както по същество посочва и генералният адвокат в точка 59 от представеното заключение от 28 септември 2023 г., че съхраняването на тези адреси и достъпът до тях са строго необходими за постигането на преследваната цел, що се отнася до борбата с престъпления като тези, свързани с извършено в интернет нарушение на авторските или сродните им права, и следователно отговарят на изискването за пропорционалност, наложено с член 15, параграф 1 от Директива 2002/58 във връзка със съображение 11 от тази директива, както и с член 52, параграф 2 от Хартата.

119

Впрочем, както по същество подчертава генералният адвокат в точки 78—80 от заключението си от 27 октомври 2022 г. и в точки 80 и 81 от заключението си от 28 септември 2023 г., забраната на такъв достъп би довела до реален риск от системна безнаказаност не само за престъпления, при които се нарушават авторските или сродните им права, но и за други видове престъпления, които са извършени в интернет или чието извършване или приготовление е улеснено от присъщите на интернет особености. Наличието на такъв риск обаче представлява релевантно обстоятелство, за да се прецени в рамките на претегляне на различните засегнати права и интереси дали намесата в правата, гарантирани в членове 7, 8 и 11 от Хартата, е пропорционална мярка с оглед на целта за борба с престъпленията.

120

Вярно е, че достъпът на публичен орган като Hadopi до данни за самоличност, съответстващи на IP адреса, от който е било извършено престъплението в интернет, не е непременно единственият възможен начин за разследване с цел идентифициране на лицето, което притежава този адрес към момента на извършване на това престъпление. Всъщност такова идентифициране би могло да бъде възможно a priori и при разглеждане на съвкупността от дейностите в интернет на субекта на данните, по-специално като се анализират „следи“, които той е могъл да остави в социалните мрежи, като например идентификатора, използван в тези мрежи, или неговите данни за контакт.

121

Както обаче отбелязва генералният адвокат в точка 83 от заключението си от 28 септември 2023 г., такова средство за разследване би било особено вмешателство, тъй като би могло да разкрие точна информация за личния живот на тези лица. Така то би довело до по-тежка намеса в правата, гарантирани в членове 7, 8 и 11 от Хартата, за тези лица, отколкото намесата, произтичаща от правна уредба като разглежданата в главното производство.

122

От изложеното следва, че член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8 и 11 и член 52, параграф 1 от Хартата трябва да се тълкува в смисъл, че по принцип допуска национална правна уредба, която позволява достъп на публичен орган, на който е възложена закрилата на авторските и сродните им права срещу извършени в интернет нарушения на тези права, до данни за самоличността, съответстващи на IP адреси, събирани предварително от организациите на титуляри на права и съхранявани от доставчиците на електронни съобщителни услуги отделно и непреодолимо разделени, единствено с цел този орган да може да идентифицира притежателите на посочените адреси, за които има подозрения, че носят отговорност за тези нарушения, и евентуално да предприеме мерки срещу тях. В тази хипотеза приложимата национална правна уредба трябва да забранява на длъжностните лица, които разполагат с такъв достъп, първо, да разкриват под каквато и да било форма, освен за целите на сезирането на прокуратурата, информация за съдържанието на файловете, ползвани от тези притежатели, второ, да извършват проследяване на пътя на тези притежатели в сайтовете и страниците в интернет и трето, да използват тези IP адреси за цел, различна от приемането на тези мерки.

123

Възниква все пак въпросът дали достъпът на публичния орган до данни за самоличността, съответстващи на IP адрес, трябва освен това да подлежи на предварителен контрол от юрисдикция или от независима административна структура.

124

В това отношение, за да се гарантира на практика пълното спазване на условията, които държавите членки са длъжни да предвидят, за да осигурят ограничаване на достъпа до строго необходимото, Съдът постановява, че е „от съществено значение“ достъпът на компетентните национални органи до данните за трафик и до данните за местонахождение да подлежи на предварителен контрол от юрисдикция или от независима административна структура (вж. в този смисъл решения от 21 декември 2016 г., Tele2 Sverige и Watson и др., C‑203/15 и C‑698/15, EU:C:2016:970, т. 120, от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 189, от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения), C‑746/18, EU:C:2021:152, т. 51, и от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 106).

125

Този предварителен контрол изисква, първо, юрисдикцията или независимата административна структура, натоварена с извършването му, да разполага с всички правомощия и да представи всички необходими гаранции, за да осигури съвместяване на различните разглеждани законни интереси и права. Що се отнася по-специално до наказателно разследване, подобен контрол изисква тази юрисдикция или структура да е в състояние да осигури справедливо равновесие между, от една страна, законните интереси, свързани с нуждите на разследването в рамките на борбата с престъпността, и от друга страна, основните права на зачитане на личния живот и на защита на личните данни на лицата, чиито данни са засегнати от достъпа (решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 107 и цитираната съдебна практика).

126

Второ, когато този контрол се извършва не от юрисдикция, а от независима административна структура, същата трябва да се ползва със статут, който ѝ позволява при упражняването на нейните функции да действа по обективен и безпристрастен начин и да бъде за тази цел защитена от всякакво външно влияние. Така изискването за независимост, на което трябва да отговаря структурата, натоварена с упражняването на предварителния контрол, налага тази структура да има качеството на трето лице по отношение на органа, който иска достъп до данните, така че въпросната структура да е в състояние да упражнява този контрол обективно и безпристрастно, без каквото и да било външно влияние. По-специално в наказателноправната област изискването за независимост предполага структурата, на която е възложен този предварителен контрол, от една страна, да не участва в провеждането на въпросното наказателно разследване и от друга страна, да заема неутрално положение по отношение на страните в наказателното производство (решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 108 и цитираната съдебна практика).

127

Трето, независимият контрол, изискван съгласно член 15, параграф 1 от Директива 2002/58, трябва да се осъществи преди всеки достъп, освен в надлежно обосновани спешни случаи, когато контролът трябва да се извърши в кратки срокове. Всъщност последващ контрол не би позволил да се отговори на целта на предварителния контрол, а именно да се предотврати разрешаването на достъп до разглежданите данни, който надхвърля границите на строго необходимото (решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 110).

128

При това положение, макар, както следва от припомнената в точка 124 от настоящото решение съдебна практика, Съдът да приема, че е „от съществено значение“ достъпът на компетентните национални органи до данните за трафик и до данните за местонахождение да подлежи на предварителен контрол от юрисдикция или от независима административна структура, тази съдебна практика се е развила в контекста на национални мерки, позволяващи — с оглед на цел, свързана с борбата с тежката престъпност — общ достъп до всички запазени данни за трафика и местонахождението, независимо от каквато и да е връзка, дори и индиректна, с преследваната цел, и които по този начин съдържат тежка и дори „особено тежка“ намеса в разглежданите основни права.

129

За сметка на това, когато става въпрос за условията, при които достъпът до данните за самоличността може да бъде обоснован с оглед на член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8 и 11 от Хартата, Съдът не посочва изрично изискването за такъв предварителен контрол (вж. в този смисъл решения от 2 октомври 2018 г., Ministerio Fiscal, C‑207/16, EU:C:2018:788, т. 59, 60 и 62, от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 157 и 158, и от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения), C‑746/18, EU:C:2021:152, т. 34).

130

Същевременно от практиката на Съда относно принципа на пропорционалност, чието спазване член 15, параграф 1, първо изречение от Директива 2002/58 налага, и по-конкретно от практиката, съгласно която възможността за държавите да обосноват ограничение на правата и задълженията, предвидени по-специално в членове 5, 6 и 9 от тази директива, трябва да се прецени, като се претегли тежестта на намесата в съответните основни права, закрепени в членове 7, 8 и 11 от Хартата, която включва подобно ограничение, и като се провери дали значението на преследваната с това ограничение цел от общ интерес е свързано с тази тежест (решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 131), следва обаче, че степента на намесата в съответните основни права, която произтича от разглеждания достъп до лични данни, както и тяхната степен на чувствителност трябва да въздействат върху материалните и процесуалните гаранции, които следва да съпътстват този достъп, една от които е изискването за предварителен контрол от юрисдикция или от независима административна структура.

131

Ето защо с оглед на принципа на пропорционалност следва да се приеме, че изискването за предварителен контрол от юрисдикция или от независима административна структура се налага, когато в контекста на национална правна уредба, предвиждаща достъп на публичен орган до лични данни, този достъп създава опасност от тежка намеса в основните права на субекта на данните в смисъл, че би могъл да позволи на този публичен орган да направи точни изводи относно личния живот на субекта на данните и евентуално да установи подробният му профил.

132

Обратно, това изискване за предварителен контрол не следва да се прилага, когато намесата в съответните основни права, до която води достъпът на публичен орган до лични данни, не може да се квалифицира като тежка.

133

Такъв е случаят с достъпа до данни за самоличността на ползвателите на електронни съобщителни средства единствено с цел установяване на самоличността на съответния ползвател и без тези данни да могат да се свържат с информация за осъществените комуникации, тъй като съгласно практиката на Съда намесата, до която води подобно обработване на данни, по принцип не може да се квалифицира като тежка (решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 157 и 158).

134

От това следва, че в случай че е въведен механизъм за съхраняване като описания в точки 86—89 от настоящото решение, достъпът на публичния орган до данните за самоличността, съответстващи на така запазените IP адреси, по принцип не е подчинен на изискването за предварителен контрол от юрисдикция или от независима административна структура.

135

При това положение, както вече бе посочено в точки 110 и 111 от настоящото решение, не може да се изключи, че в нетипични случаи ограничените данни и информация, предоставени на разположение на публичен орган в рамките на производство като разглежданата в главното производство процедура на поетапен отговор, могат да разкрият евентуално чувствителни данни относно аспекти от личния живот на субекта на данните — данни, които, взети заедно, биха могли да позволят на този публичен орган да направи точни изводи относно личния живот на този субект и евентуално да се установи подробният му профил.

136

Както следва от точка 112 от настоящото решение, такава опасност, свързана с личния живот, може да възникне по-специално когато дадено лице извършва дейности, които многократно или в голям мащаб нарушават в peer‑to‑peer мрежи авторските или сродните им права върху закриляни произведения от определен вид, които могат да бъдат групирани въз основа на термини от заглавието им и евентуално разкриват чувствителна информация относно личния му живот.

137

Така в настоящия случай, в рамките на административната процедура за поетапен отговор, притежателят на IP адрес може да бъде особено изложен на такъв риск по отношение на личния си живот, когато тази процедура достигне етапа, на който Hadopi трябва да реши дали да сезира, или не прокуратурата с цел преследването на този притежател за деяния, които биха съставлявали леко престъпление, извършено при условията на груба небрежност, или престъплението фалшифициране.

138

Всъщност това сезиране предполага по отношение на посочения притежател на IP адрес вече да са били отправени две препоръки и писмо, с които той е уведомен, че с оглед на извършваните от него дейности може да бъде образувано наказателно преследване — мерки, които предполагат, че всеки път Hadopi е имал достъп до данни за самоличността на притежателя, чийто IP адрес е бил използван за дейности, нарушаващи авторските или сродните им права, както и до файл относно това произведение, който по същество съдържа неговото заглавие.

139

Не може обаче да се изключи възможността, взети заедно и в рамките на провежданата административна процедура за поетапен отговор, така предоставените в различните стадии на тази процедура данни да могат да разкрият съвпадаща и евентуално чувствителна информация относно аспекти от личния живот на субекта на данните, позволяваща според случая да се установи неговият профил.

140

Така интензитетът на засягането на правото на зачитане на личния живот може да се увеличи постепенно, доколкото процедурата за поетапен отговор, която протича в рамките на последователен процес, преминава през различните етапи, от които се състои.

141

В конкретния случай достъпът на Hadopi до всички данни, свързани със субекта на данните, събрани в хода на различните етапи на тази процедура, може, чрез съпоставянето на тези данни, да позволи да се направят точни изводи за неговия живот. Следователно в рамките на процедура като разглежданата в главното производство процедура на поетапен отговор националната правна уредба трябва да предвижда на определен етап от посоченото производство предварителен контрол от юрисдикция или от независима административна структура, който да отговаря на условията, припомнени в точки 125—127 от настоящото решение, за да се изключи опасността от непропорционална намеса в основните права на защита на личния живот и на защита на личните данни на субекта на данните. Това на практика означава, че такъв контрол трябва да се извърши, преди Hadopi да може да свърже данните за самоличността на лице, съответстващи на IP адрес и получени от доставчик на електронни съобщителни услуги — тъй като към това лице вече са били отправени две препоръки — с файла за произведението, предоставено на разположение в интернет с оглед на изтеглянето му от други лица. Следователно въпросният контрол трябва да се осъществи преди евентуалното изпращане на уведомителното писмо, посочено в член R-331‑40 от CPI, с което се установява, че това лице е извършило деянието, което съставлява престъпление при условията на груба небрежност. Едва след осъществяването на такъв предварителен контрол от юрисдикция или от независим административен орган и разрешението на последния Hadopi ще може да изпрати подобно писмо и след това евентуално да сезира прокуратурата с цел преследването на това престъпление.

142

Следва да се позволи на Hadopi да установи случаите, в които притежателят на съответния IP адрес достига третия етап от такава процедура за поетапен отговор. Следователно тази процедура трябва да бъде организирана и структурирана така, че данните за самоличността на лице, съответстващи на предварително събрани в интернет IP адреси, събрани от доставчиците на електронни съобщителни услуги, да не могат автоматично да бъдат свързвани от лицата, на които е възложено разглеждането на фактите в рамките на Hadopi, с файловете, съдържащи елементи, които позволяват да се узнаят заглавията на закриляните произведения, чието предоставяне на разположение в интернет е обосновало това събиране.

143

Така това свързване за целите на третия етап от поетапния отговор трябва да бъде спряно, когато събирането на въпросните данни за самоличност, съответстващо на случай на възможно повторно извършване на дейност в нарушение на авторските или сродните им права, поражда изискването за предварителен контрол от юрисдикция или от независима административна структура, описано в точка 141 от настоящото решение.

144

Освен това уредбата на изискването за предварителен контрол, описана в точки 141—143 от настоящото решение, доколкото се ограничава до третия етап на процедурата за поетапен отговор и не се прилага към предходните ѝ етапи, позволява да се вземе предвид и доводът, че следва да се запази приложимостта на тази процедура, която, особено в етапите си преди евентуалното изпращане на уведомителното писмо и според случая сезирането на прокуратурата, се характеризира с масовия характер на исканията за достъп на публичния орган поради също толкова многобройните протоколи, с които той е сезиран от организациите на титулярите на права.

145

В допълнение, що се отнася до предмета на предварителния контрол, посочен в точки 141—143 от настоящото решение, от припомнената в точки 95 и 96 от това решение съдебна практика следва, че когато съответното лице е заподозряно в извършването на деяние при условията на „груба небрежност“ по член R. 335‑5 от CPI, което спада към общите престъпления, юрисдикцията или независимата административна структура, на която е възложен този контрол, трябва да откаже достъп, когато същият би позволил на поискалия го публичен орган да направи точни изводи относно личния живот на това лице.

146

За сметка на това дори достъп, позволяващ да се направят такива точни изводи, би трябвало да бъде разрешен в случаите, когато обстоятелствата, сведени до знанието на тази юрисдикция или на тази независима административна структура, позволяват да се подозира, че субектът на данните е извършил престъплението фалшифициране по член L. 335—2 от CPI или по член L. 335‑4 от този кодекс, като се има предвид, че е допустимо държава членка да приеме, че такова престъпление, доколкото засяга основен обществен интерес, се разглежда като проявна форма на престъпност с висока обществена опасност.

147

Накрая, що се отнася до реда и условията за този предварителен контрол, френското правителство счита, че с оглед на особените характеристики на достъпа на Hadopi до разглежданите данни, и по-специално на масовия му характер, е уместно предварителният контрол, ако се изисква такъв, да е изцяло автоматизиран. Всъщност такъв контрол, с чисто обективен характер, би имал за основна цел да се провери дали протоколът за сезиране на Hadopi съдържа цялата необходима информация и данни, без този орган да е длъжен да ги преценява.

148

Същевременно предварителният контрол в никакъв случай не може да бъде напълно автоматизиран, тъй като, както следва от съдебната практика, припомнена в точка 125 от настоящото решение, що се отнася до наказателно разследване, подобен контрол при всички положения изисква съответната юрисдикция или независима административна структура да е в състояние да осигури справедлив баланс между, от една страна, законните интереси, свързани с нуждите на разследването в рамките на борбата с престъпността, и от друга страна, основните права на зачитане на личния живот и на защита на личните данни на лицата, чиито данни са засегнати от достъпа.

149

Всъщност подобно претегляне на различните законни интереси и на съответните права изисква намесата на физическо лице, която е още по-необходима, тъй като разглежданото автоматично обработване на данни и неговият мащаб пораждат рискове за личния живот.

150

Освен това напълно автоматизираният контрол по принцип не може да гарантира, че достъпът не надхвърля границите на строго необходимото и че лицата, чиито лични данни са засегнати, разполагат с ефективни гаранции срещу рисковете от злоупотреби, както и срещу всякакъв незаконен достъп до тези данни и всякакво тяхно незаконно използване.

151

Така, макар автоматизираният контрол да може да позволи да се провери част от информацията, съдържаща се в протоколите на организациите на титулярите на права, този контрол при всички положения трябва да се извършва заедно с проверки от физически лица, които отговарят напълно на изискванията, припомнени в точки 125—127 от настоящото решение.

152

От практиката на Съда следва, че достъпът до лични данни може да бъде съобразен с изискването за пропорционалност, наложено от член 15, параграф 1 от Директива 2002/58, само ако законодателната мярка, която разрешава достъпа, предвижда ясни и точни правила, ако посоченият достъп се предоставя при спазване на съответните материални и процесуални условия и ако съответните лица разполагат с ефективни гаранции срещу рисковете от злоупотреба или незаконен достъп и незаконно използване на тези данни (вж. в този смисъл решения от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 132 и 173, и от 2 март 2021 г., Prokuratuur (Условия за достъп до данните за електронните съобщения), C‑746/18, EU:C:2021:152, т. 49 и цитираната съдебна практика).

153

Както подчертава Съдът, необходимостта от такива гаранции е още по-голяма, когато личните данни са подложени на автоматична обработка (решение от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, EU:C:2020:559, т. 176 и цитираната съдебна практика).

154

В това отношение в отговор на въпрос, поставен от Съда с оглед на съдебното заседание от 5 юли 2022 г., френското правителство потвърждава, че както впрочем се посочва в член L. 331‑29 от CPI, достъпът на Hadopi до данните относно самоличността в рамките на процедурата за поетапен отговор се извършва чрез по същество автоматизирана обработка на данни, което се обяснява с масовия характер на фалшифицирането, констатирано в peer‑to‑peer мрежите от организациите на титулярите на права — констатации, които се предават на Hadopi под формата на протоколи.

155

От предоставената на Съда преписка по-специално следва, че при това обработване на данни служителите на Hadopi проверяват, основно по автоматизиран начин и без преценка на съответните факти като такива, дали протоколите, с които е сезиран, съдържат цялата информация и всички данни, посочени в точка 1° от приложението към Декрет № 2010‑236, и по-специално фактите относно незаконно предоставяне на разположение в интернет и използваните за тази цел IP адреси. Тези действия на обработване обаче трябва да бъдат придружени от проверки от физически лица.

156

Тъй като резултатите от такава автоматизирана обработка могат да включват определен брой фалшиви положителни случаи, както и най-вече риска лични данни в потенциално много голям обем да бъдат отклонени от трети лица с цел злоупотреба или незаконно, е важно по силата на законодателна мярка използваната от публичен орган система за обработване на данни да се контролира редовно от орган, който е независим и има качеството на трето лице по отношение на този орган, с цел проверка на системния интегритет, включително на ефективните гаранции срещу рискове от злоупотреби, както и срещу всякакъв незаконен достъп и незаконно използване на тези данни, които тази система трябва да гарантира, както и нейната ефективност и надеждност за установяване на неизпълнение на задължения, които могат да бъдат квалифицирани, в хипотезата на повторно извършване, като деяние, извършено при условията на груба небрежност, или като фалшифициране.

157

Накрая, важно е да се добави, че обработването на лични данни от публичен орган като извършваното от Hadopi в процедурата за поетапен отговор трябва да спазва специалните правила за защита на тези данни, предвидени в Директива 2016/680, чиято цел съгласно член 1 е да се установят правилата във връзка със защитата на физическите лица по отношение на обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване.

158

Всъщност в конкретния случай, макар по силата на приложимото национално право той да не разполага със собствени правомощия за вземане на решения, когато в рамките на процедурата за поетапен отговор обработва лични данни и приема действия като препоръка или информиране на субекта на данните, че разглежданите деяния подлежат на наказателно преследване, Hadopi трябва да се квалифицира като „публичен орган“ по смисъла на член 3 от Директива 2016/680, участващ в предотвратяването и разследването на престъпления, а именно на леко престъпление, извършено при условията на груба небрежност, или на престъплението фалшифициране, и следователно попада в приложното поле на тази директива в съответствие с член 1 от нея.

159

В това отношение в отговор на поставен от Съда въпрос с оглед на съдебното заседание от 5 юли 2022 г. френското правителство посочва, че тъй като мерките, приети от Hadopi при прилагането на процедурата за поетапен отговор, „имат характер на производство, предхождащо наказателното, пряко свързано със съдебното производство“, въведената от Hadopi система за управление на мерките за закрила на произведения в интернет се подчинява, както следва от практиката на запитващата юрисдикция, на разпоредбите на националното право, с които се транспонира Директива 2016/680.

160

За сметка на това такова обработване на данни от Hadopi не попада в приложното поле на ОРЗД. Всъщност член 2, параграф 2, буква г) от ОРЗД гласи, че този регламент не се прилага за обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност.

161

Както отбелязва генералният адвокат в точка 104 от представеното заключение от 27 октомври 2022 г., при това положение в рамките на процедурата за поетапен отговор Hadopi трябва да спазва Директива 2016/680, като лицата, по отношение на които се провежда такава процедура, трябва да се ползват от съвкупност от материални и процесуални гаранции, които обхващат правото на достъп, на поправяне и заличаване на лични данни, обработвани от Hadopi, както и възможността за обжалване по административен ред пред независим надзорен орган, последвана, в зависимост от конкретния случай, от възможността да се потърси съдебна защита по общия ред.

162

В този контекст от разглежданото в главното производство национално законодателство следва, че в рамките на процедурата за поетапен отговор, по-конкретно при изпращането на втората препоръка и при последващото уведомяване, че установените деяния могат да бъдат квалифицирани като престъпление, адресатът на тези съобщения се ползва от някои процесуални гаранции, като правото да представи становище, правото да получи разяснения относно неизпълнението на задължение, в което е упрекнат, както и, що се отнася до посоченото уведомяване, правото да поиска изслушване и да бъде подпомаган от защитник.

163

При всички положения запитващата юрисдикция следва да провери дали това национално законодателство предвижда всички материални и процесуални гаранции, предвидени в Директива 2016/680.

164

С оглед на всички изложени по-горе съображения на трите преюдициални въпроса следва да се отговори, че член 15, параграф 1 от Директива 2002/58 във връзка с членове 7, 8 и 11 и член 52, параграф 1 от Хартата трябва да се тълкува в смисъл, че допуска национална правна уредба, която разрешава на публичния орган, на който е възложена защитата на авторските и сродните им права от извършени в интернет нарушения на тези права, да има достъп до съхранени от доставчиците на обществено достъпни електронни съобщителни услуги данни за самоличността, съответстващи на IP адреси, събрани на първоначалния етап от организациите на титулярите на права, за да може този орган да идентифицира притежателите на тези адреси, използвани за дейности, които могат да представляват такива нарушения, и евентуално да има възможност да предприеме мерки спрямо тях, при условие че съгласно тази правна уредба:

165

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (пленум) реши:

Член 15, параграф 1 от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 година, във връзка с членове 7, 8 и 11 и член 52, параграф 1 от Хартата на основните права на Европейския съюз,

трябва да се тълкува в смисъл, че

допуска национална правна уредба, която разрешава на публичния орган, на който е възложена защитата на авторските и сродните им права от извършени в интернет нарушения на тези права, да има достъп до съхранени от доставчиците на обществено достъпни електронни съобщителни услуги данни за самоличността, съответстващи на IP адреси, събрани на първоначалния етап от организациите на титулярите на права, за да може този орган да идентифицира притежателите на тези адреси, използвани за дейности, които могат да представляват такива нарушения, и евентуално да има възможност да предприеме мерки спрямо тях, при условие че съгласно тази правна уредба: