ΟΜΑ Α ΕΡΓΑΣΙΑΣ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΑΤΟΜΩΝ ΑΠΟ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

5085/99/EN/FINAL WP 25 ΟΜΑ Α ΕΡΓΑΣΙΑΣ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΑΤΟΜΩΝ ΑΠΟ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Σύσταση 3/99 σχετικά µε τη διατήρηση δεδοµένων κίνησης από τους παρόχους υπηρεσιών Internet για σκοπούς εφαρµογής του νόµου Εκδόθηκε στις 7 Σεπτεµβρίου 1999

Σύσταση 3/99 σχετικά µε τη διατήρηση δεδοµένων κίνησης από τους παρόχους υπηρεσιών Internet για σκοπούς εφαρµογής του νόµου Εισαγωγή Η καταπολέµηση του εγκλήµατος πληροφορικής είναι ένα θέµα στο οποίο αποδίδεται ολοένα και µεγαλύτερη σηµασία σε διεθνές επίπεδο 1. Οι χώρες του G8 2 ενέκριναν ένα σχέδιο δράσης 10 σηµείων 3, το οποίο υλοποιείται σήµερα µε τη βοήθεια µιας υποοµάδας ειδικευµένης στο έγκληµα υψηλής τεχνολογίας, η οποία αποτελείται από εκπροσώπους των οργανισµών εφαρµογής του νόµου των χωρών του G8. Ένα από τα σηµαντικότερα και πλέον αµφιλεγόµενα ζητήµατα είναι η διατήρηση των παρελθόντων και µελλοντικών δεδοµένων κίνησης από τους παρόχους υπηρεσιών Internet για σκοπούς εφαρµογής του νόµου και η αποκάλυψη των δεδοµένων αυτών στις αρµόδιες αρχές. Η υποοµάδα του G8 η οποία ασχολείται µε το έγκληµα υψηλής τεχνολογίας προτίθεται να διατυπώσει συστάσεις που να διασφαλίζουν τη δυνατότητα διατήρησης και αποκάλυψης των δεδοµένων κίνησης. Οι υπουργοί ικαιοσύνης και Εσωτερικών των χωρών του G8 ενδέχεται να συζητήσουν τις συστάσεις αυτές σε συνεδρίασή τους η οποία θα πραγµατοποιηθεί στη Μόσχα στις 19 και 20 Οκτωβρίου 1999. Η οµάδα εργασίας για την προστασία των ατόµων από την επεξεργασία δεδοµένων προσωπικού χαρακτήρα 4 γνωρίζει το σηµαντικό ρόλο τον οποίο µπορούν να διαδραµατίσουν τα δεδοµένα κίνησης για τη διερεύνηση εγκληµάτων τα οποία διαπράττονται στο ιαδίκτυο (Internet), επιθυµεί όµως να υπενθυµίσει στις εθνικές κυβερνήσεις τις αρχές που διέπουν την προστασία των θεµελιωδών δικαιωµάτων και 1 Βλέπε, π.χ., µελέτη "COMCRIME Study" "Legal Aspects of computer-related Crime in the Information Society-COMCRIME Study", Ιανουάριος 1997 η µελέτη αυτή εκπονήθηκε στα πλαίσια του σχεδίου δράσης της ΕΕ για την καταπολέµηση του οργανωµένου εγκλήµατος και βρίσκεται στον ιστοχώρο της Νοµικής Συµβουλευτικής Επιτροπής, στη διεύθυνση: http://www2.echo.lu/legal/en/comcrime/sieber.html. Το Συµβούλιο της Ευρώπης επεξεργάζεται αυτή την στιγµή ένα σχέδιο σύµβασης σχετικά µε τα εγκλήµατα που διαπράττονται στον κυβερνοχώρο. Το Συµβούλιο της ΕΕ εξέφρασε την υποστήριξή του για την εργασία αυτή στις 27 Μαΐου 1999. Ο όρος "εγκλήµατα πληροφορικής" καλύπτει όλα τα εγκλήµατα που διαπράττονται σε δίκτυα, όπως «επιθέσεις» σε υπολογιστές και δηµοσίευση παράνοµου υλικού σε ιστοχώρους, περιλαµβανοµένης της εγκληµατικής δραστηριότητας διεθνικών δικτύων οργανωµένου εγκλήµατος (π.χ., λαθρεµπόριο ναρκωτικών, παιδική πορνογραφία). 2 Οι χώρες του G8 είναι οι εξής: Καναδάς, Γαλλία, Γερµανία, Ιταλία, Ιαπωνία, Ηνωµένο Βασίλειο, Ηνωµένες Πολιτείες της Αµερικής και Ρωσία. 3 "Meeting of Justice and Interior Ministers of the Eight December 9-10, 1997, Communiqué, Washington D.C. December 10, Communiqué Annex : Principles and Action Plan to Combat High-tech Crime" 4 Συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδοµένων αυτών, ΕΕ L 281 της 23.11.1995, σ. 31. Η οδηγία υπάρχει στη διεύθυνση: http:// europa.eu.int/comm/dg15/en/media/dataprot/law/index.htm 2

ελευθεριών των φυσικών προσώπων, και ιδίως την προστασία της ιδιωτικής τους ζωής και του απορρήτου της αλληλογραφίας τους, στοιχεία τα οποία πρέπει να λαµβάνονται υπόψη στο πλαίσιο αυτό. Η οµάδα εργασίας εκτιµά ότι οι υπουργοί ικαιοσύνης και Εσωτερικών των χωρών του G8 ενδέχεται να κληθούν να προβούν σε µια εξισορροπητική ερµηνεία των δύο οδηγιών που έχει εκδώσει η ΕΕ για την προστασία των δεδοµένων 5 όσον αφορά τη φάση της εφαρµογής τους, ερµηνεία η οποία θα λαµβάνει υπόψη τα συµφέροντα που έχουν να κάνουν µε την εφαρµογή του νόµου, παράλληλα µε τα συµφέροντα που αφορούν την προστασία της ιδιωτικής ζωής. Η οµάδα εργασίας γνωρίζει επίσης την επιβάρυνση την οποία ενδέχεται να επωµισθούν οι τηλεπικοινωνιακοί οργανισµοί και οι πάροχοι υπηρεσιών. Ως εκ τούτου, στόχος της παρούσας σύστασης είναι να συµβάλει στην οµοιόµορφη εφαρµογή των οδηγιών 95/46/ΕΚ και 97/66/EΚ, προκειµένου να διαµορφωθούν σαφείς και προβλέψιµες συνθήκες για τους τηλεπικοινωνιακούς οργανισµούς και τους παρόχους υπηρεσιών Internet, καθώς και για τις αρχές εφαρµογής του νόµου, µε παράλληλο σεβασµό του δικαιώµατος προστασίας της ιδιωτικής ζωής. Νοµική κατάσταση Στην Ευρωπαϊκή Ένωση, η οδηγία 95/46/EΚ εναρµονίζει τους όρους προστασίας του δικαιώµατος της ιδιωτικής ζωής, το οποίο κατοχυρώνεται στα νοµικά συστήµατα των κρατών µελών. Η οδηγία αυτή δίνει ουσιαστική υπόσταση και διευρύνει τις αρχές που περιέχονται στην Ευρωπαϊκή Σύµβαση για την Προστασία των ικαιωµάτων του Ανθρώπου, της 4ης Νοεµβρίου 1950, και στη σύµβαση αριθ. 108 του Συµβουλίου της Ευρώπης, της 28ης Ιανουαρίου 1981, για την προστασία των φυσικών προσώπων από την αυτόµατη επεξεργασία δεδοµένων προσωπικού χαρακτήρα. Η οδηγία 97/66/ΕΚ εξειδικεύει τις διατάξεις αυτής της οδηγίας στον τηλεπικοινωνιακό τοµέα. Και οι δύο οδηγίες καλύπτουν την επεξεργασία δεδοµένων προσωπικού χαρακτήρα, περιλαµβανοµένων των δεδοµένων κίνησης που αφορούν συνδροµητές και χρήστες, στο Internet. 6 Ειδικότερα, τα άρθρα 6, 7, 13, 17, παράγραφοι 1 και 2, της οδηγίας 95/46/EΚ και τα άρθρα 4, 5, 6 και 14 της οδηγίας 97/66/EΚ ασχολούνται µε τη νοµιµότητα της επεξεργασίας δεδοµένων αυτού του είδους από τους τηλεπικοινωνιακούς οργανισµούς και τους παρόχους υπηρεσιών. Οι διατάξεις αυτές επιτρέπουν στους τηλεπικοινωνιακούς οργανισµούς και στους παρόχους τηλεπικοινωνιακών υπηρεσιών να επεξεργάζονται δεδοµένα για την τηλεπικοινωνιακή κίνηση υπό ορισµένες σαφώς περιορισµένες συνθήκες. 5 Οδηγία 95/46/EΚ, βλέπε υποσηµείωση 4, και οδηγία 97/66/EΚ του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου, της 15ης εκεµβρίου 1997, περί επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα και προστασίας της ιδιωτικής ζωής στον τηλεπικοινωνιακό τοµέα, ΕΕ L 24, 30 Ιανουαρίου 1998, σ. 1. Υπάρχει στη διεύθυνση, βλέπε υποσηµείωση 4. 6 Βλέπε "Working document: Processing of Personal Data on the Internet, που εκδόθηκε στις 23 Φεβρουαρίου 1999 και υπάρχει στη διεύθυνση: βλέπε υποσηµείωση 1. 3

Το άρθρο 6, παράγραφος 1, στοιχείο β), ορίζει ότι τα δεδοµένα προσωπικού χαρακτήρα µπορούν να συλλέγονται µόνο για καθορισµένους, σαφείς και νόµιµους σκοπούς, ενώ η µεταγενέστερη επεξεργασία τους πρέπει να συµβιβάζεται µε τους σκοπούς αυτούς. Το άρθρο 6, παράγραφος 1, στοιχείο ε), ορίζει ότι τα δεδοµένα προσωπικού χαρακτήρα πρέπει να διατηρούνται µόνο κατά τη διάρκεια περιόδου που δεν υπερβαίνει την περίοδο που απαιτείται για την επίτευξη των σκοπών για τους οποίους έχουν συλλεγεί ή για τους οποίους αργότερα υφίστανται επεξεργασία. Το άρθρο 13 επιτρέπει στα κράτη µέλη να περιορίζουν το πεδίο εφαρµογής, µεταξύ άλλων, του άρθρου 6, παράγραφος 1, όταν ο περιορισµός αυτός απαιτείται για τη διαφύλαξη της ασφάλειας του κράτους, της άµυνας, της δηµόσιας ασφάλειας ή της πρόληψης, διερεύνησης, διαπίστωσης και δίωξης παραβάσεων του ποινικού νόµου (ποινικών αδικηµάτων). Η εφαρµογή των αρχών αυτών εξειδικεύεται περαιτέρω στο άρθρο 5 και το άρθρο 6 παράγραφοι 2 έως 5, της οδηγίας 97/66/EΚ. Το άρθρο 5 εγγυάται το απόρρητο των επικοινωνιών που διενεργούνται µέσω του δηµόσιου τηλεπικοινωνιακού δικτύου και των διαθέσιµων στο κοινό τηλεπικοινωνιακών υπηρεσιών. Τα κράτη µέλη υποχρεούνται να απαγορεύουν την ακρόαση, υποκλοπή, αποθήκευση ή άλλο είδος παρακολούθησης των επικοινωνιών από πρόσωπα πλην των χρηστών χωρίς τη συγκατάθεση των χρηστών τους οποίους αναφέρονται, εκτός εάν υπάρχει σχετική νόµιµη άδεια, σύµφωνα µε το άρθρο 14, παράγραφος 1. Κατά γενικό κανόνα, τα δεδοµένα κίνησης πρέπει να απαλείφονται ή να καθίστανται ανώνυµα κατά τη λήξη της κλήσης (άρθρο 6, παράγραφος 1, της οδηγίας 97/66/EΚ). Η διάταξη αυτή δικαιολογείται από την ευαισθησία των δεδοµένων κίνησης, τα οποία αποκαλύπτουν τα ατοµικά τηλεπικοινωνιακά "χαρακτηριστικά" των χρηστών, περιλαµβανοµένων των πηγών πληροφόρησης και του γεωγραφικού εντοπισµού του χρήστη σταθερών ή κινητών τηλεφώνων, καθώς και των πιθανών κινδύνων οι οποίοι ενδέχεται να προκύψουν για την ιδιωτική ζωή από τη συλλογή, την αποκάλυψη ή την περαιτέρω χρήση τέτοιων δεδοµένων. Εξαίρεση γίνεται στο άρθρο 6, παράγραφος 2, όσον αφορά την επεξεργασία ορισµένων δεδοµένων κίνησης για τη χρέωση των συνδροµητών και την πληρωµή των διασυνδέσεων, µόνο όµως έως το τέλος της περιόδου εντός της οποίας µπορεί να αµφισβητηθεί νοµίµως ο λογαριασµός ή να επιδιωχθεί η πληρωµή. Το άρθρο 14, παράγραφος 1, επιτρέπει στα κράτη µέλη να περιορίζουν την εµβέλεια των υποχρεώσεων και των δικαιωµάτων που προβλέπονται στο άρθρο 6, εφόσον ο περιορισµός αυτός αποτελεί αναγκαίο µέτρο για τη διαφύλαξη της ασφάλειας του κράτους, της εθνικής άµυνας ή της δηµόσιας ασφάλειας, καθώς και για την πρόληψη, διερεύνηση, διαπίστωση και δίωξη ποινικών παραβάσεων, όπως προβλέπεται στο άρθρο 13, παράγραφος 1, της οδηγίας 95/46/EΚ. Από τις διατάξεις αυτές προκύπτει ότι οι τηλεπικοινωνιακοί οργανισµοί και οι πάροχοι υπηρεσιών Internet δεν επιτρέπεται να συλλέγουν και να αποθηκεύουν δεδοµένα αποκλειστικά για σκοπούς εφαρµογής του νόµου, εκτός εάν υποχρεούνται να το κάνουν βάσει σχετικής νοµοθετικής διάταξης, και τούτο για τους λόγους και υπό τους όρους που αναφέρονται παραπάνω. Η ρύθµιση αυτή συνάδει µε µακρόχρονες παραδόσεις των περισσότερων κρατών µελών, στα οποία η εφαρµογή των εθνικών αρχών περί προστασίας των δεδοµένων οδήγησε σε απαγόρευση, για τον ιδιωτικό τοµέα, να διατηρεί δεδοµένα προσωπικού χαρακτήρα αποκλειστικά και µόνο για κάποια πιθανή χρήση την οποία ίσως θελήσουν να κάνουν στο µέλλον οι αστυνοµικές αρχές ή οι δυνάµεις κρατικής ασφαλείας. 4

Στο πλαίσιο αυτό µπορεί να παρατηρηθεί ότι για σκοπούς εφαρµογής του νόµου και υπό τους όρους που θεσπίζονται στα άρθρα 13 της οδηγίας 95/46/EΚ και 14 της οδηγίας 97/66/EΚ, υπάρχουν στα περισσότερα κράτη µέλη νοµοθετικές ρυθµίσεις που προβλέπουν µε ακρίβεια τους όρους υπό τους οποίους οι αστυνοµικές αρχές και οι αρχές κρατικής ασφαλείας µπορούν να έχουν πρόσβαση στα δεδοµένα τα οποία αποθηκεύουν ιδιωτικοί τηλεπικοινωνιακοί οργανισµοί και πάροχοι υπηρεσιών Internet για δικούς τους, µη στρατιωτικούς σκοπούς. Όπως έχει ήδη διευκρινίσει η οµάδα εργασίας στη σύστασή της 2/99 σχετικά µε το σεβασµό της ιδιωτικής ζωής στα πλαίσια της παρακολούθησης των τηλεπικοινωνιών, σύσταση την οποία εξέδωσε στις 3 Μαΐου 1999 7, το γεγονός ότι ένας τρίτος λαµβάνει γνώση των δεδοµένων κίνησης που σχετίζονται µε τη χρήση τηλεπικοινωνιακών υπηρεσιών θεωρείται γενικά ως παρακολούθηση τηλεπικοινωνίας και, κατά συνέπεια, αποτελεί παραβίαση του δικαιώµατος σεβασµού της ιδιωτικής ζωής και του απορρήτου της επικοινωνίας, που κατοχυρώνεται από το άρθρο 5 της οδηγίας 97/66/EΚ 8. Επιπλέον, µια τέτοια αποκάλυψη δεδοµένων κίνησης παραβιάζει το άρθρο 6 της εν λόγω οδηγίας. Κάθε παραβίαση αυτών των δικαιωµάτων και υποχρεώσεων είναι απαράδεκτη, εκτός εάν πληροί τρεις θεµελιώδεις προϋποθέσεις, σύµφωνα µε το άρθρο 8, παράγραφος 2, της Ευρωπαϊκής Σύµβασης για την Προστασία των ικαιωµάτων του Ανθρώπου και των Θεµελιωδών Ελευθεριών, της 4ης Νοεµβρίου 1950, και την ερµηνεία της εν λόγω διάταξης από το Ευρωπαϊκό ικαστήριο Ανθρωπίνων ικαιωµάτων: το εξεταζόµενο µέτρο πρέπει να διαθέτει νοµική βάση, να είναι αναγκαίο στα πλαίσια µιας δηµοκρατικής κοινωνίας και να συνάδει µε έναν από τους νόµιµους στόχους που παρατίθενται στη σύµβαση. Η νοµική βάση πρέπει να καθορίζει επακριβώς τα όρια και τα µέσα εφαρµογής του µέτρου: οι σκοποί για τους οποίους τα δεδοµένα είναι δυνατόν να υποβληθούν σε επεξεργασία, το χρονικό διάστηµα για το οποίο µπορούν να φυλάσσονται (αν µπορούν) και η πρόσβαση σ αυτά πρέπει να είναι αυστηρώς περιορισµένα. Η διερευνητική ή γενική παρακολούθηση των τηλεπικοινωνιών σε ευρεία κλίµακα πρέπει να απαγορεύεται 9. Κατά συνέπεια, πρόσβαση των δηµόσιων 7 Η σύσταση αυτή υπάρχει στη διεύθυνση: βλέπε υποσηµείωση 1. 8 Οι αρχές εφαρµογής του νόµου ζητούν επίσης πρόσβαση σε πληροφορίες σύνδεσης πραγµατικού χρόνου, σε δεδοµένα που αφορούν τις ενεργές συνδέσεις (πρόκειται για τα καλούµενα "µελλοντικά δεδοµένα κίνησης"). 9 Βλέπε, κυρίως, τις αποφάσεις Klass της 6ης Σεπτεµβρίου 1978, σειρά A αριθ. 28, σσ. 23 και επ., και Malone, της 2ας Αυγούστου 1984, σειρά A αριθ. 82, σσ. 30 και επ. Τόσο η υπόθεση Klass, όσο και η υπόθεση Leander της 25ης Φεβρουαρίου 1987, τονίζουν την αναγκαιότητα ύπαρξης "επαρκών εγγυήσεων έναντι των καταχρήσεων, δεδοµένου ότι ένα σύστηµα µυστικής παρακολούθησης που αποσκοπεί στην προστασία της εθνικής ασφάλειας δηµιουργεί τον κίνδυνο υπονόµευσης ή ακόµη και καταστροφής της δηµοκρατίας µε τη δικαιολογία της υπεράσπισής της" (υπόθεση Leander, σειρά A αριθ. 116, σσ. 14 και επ.). Το ικαστήριο παρατηρεί στην απόφαση Klass (παράγραφοι 50 και επ.) ότι η αξιολόγηση της ύπαρξης κατάλληλων και επαρκών εγγυήσεων έναντι των καταχρήσεων εξαρτάται από το σύνολο των περιστάσεων της υπόθεσης. Το ικαστήριο υποστηρίζει στην εν λόγω υπόθεση ότι τα µέτρα παρακολούθησης που προβλέπονται από τη γερµανική νοµοθεσία δεν επιτρέπουν τη διερευνητική ή γενική παρακολούθηση και δεν αντιβαίνουν στο άρθρο 8 της Ευρωπαϊκής Σύµβασης για την Προστασία των ικαιωµάτων του Ανθρώπου. Οι εγγυήσεις που προβλέπονται από τη γερµανική νοµοθεσία είναι οι ακόλουθες: τα µέτρα παρακολούθησης µπορούν να τεθούν σε εφαρµογή µόνο στις περιπτώσεις στις οποίες υπάρχουν ενδείξεις ότι κάποιος σχεδιάζει, διαπράττει ή έχει 5

αρχών σε δεδοµένα κίνησης µπορεί να επιτραπεί µόνο κατά περίπτωση και ποτέ εκ των προτέρων ούτε κατά γενικό κανόνα. Τα κριτήρια αυτά συµπίπτουν µε τις προαναφερόµενες διατάξεις του άρθρου 13 της οδηγίας 95/46/EΚ και του άρθρου 14 της οδηγίας 97/66/EΚ. ιαφορές µεταξύ των εθνικών κανόνων 10 Όσον αφορά την περίοδο για την οποία µπορούν να αποθηκεύονται τα δεδοµένα κίνησης, η οδηγία 97/66/EΚ επιτρέπει τη διατήρηση των δεδοµένων αυτών µόνο για σκοπούς χρέωσης 11 και µόνο έως το τέλος της περιόδου εντός της οποίας µπορεί να αµφισβητηθεί νοµίµως ο λογαριασµός. Ωστόσο, η περίοδος αυτή διαφέρει σηµαντικά µεταξύ των επιµέρους κρατών µελών. Στη Γερµανία, π.χ., επιτρέπεται στους τηλεπικοινωνιακούς οργανισµούς και στους παρόχους τηλεπικοινωνιακών υπηρεσιών να αποθηκεύουν τα απαραίτητα για τη χρέωση δεδοµένα για περίοδο έως και 80 ηµερών, µε σκοπό να αποδεικνύουν την ορθότητα της χρέωσης 12. Στη Γαλλία, η περίοδος αυτή εξαρτάται από το καθεστώς του οργανισµού: ο "παραδοσιακός" τηλεπικοινωνιακός οργανισµός επιτρέπεται να διατηρεί τα δεδοµένα κίνησης για διάστηµα που µπορεί να φτάσει το ένα έτος, βάσει του νόµου ο οποίος καθορίζει την περίοδο εντός της οποίας είναι δυνατόν να αµφισβητηθεί ο λογαριασµός. Η περίοδος αυτή ανέρχεται σε 10 έτη για τους λοιπούς οργανισµούς. Στην Αυστρία, ο νόµος περί τηλεπικοινωνιών δεν καθορίζει συγκεκριµένη περίοδο κατά τη διάρκεια της οποίας µπορούν να διατηρούνται τα δεδοµένα κίνησης για σκοπούς χρέωσης, αλλά την περιορίζει στην περίοδο εντός της οποίας µπορεί να αµφισβητηθεί ο λογαριασµός ή να ζητηθεί η πληρωµή. Στο Ηνωµένο Βασίλειο, σύµφωνα µε τη σχετική νοµοθεσία, ο λογαριασµός µπορεί να αµφισβητηθεί εντός περιόδου 6 ετών, αλλά οι οργανισµοί και οι πάροχοι υπηρεσιών αποθηκεύουν τα σχετικά δεδοµένα επί 18 µήνες περίπου. Στο Βέλγιο, π.χ., ο νόµος δεν καθορίζει τέτοια περίοδο, αλλά ο µεγαλύτερος πάροχος τηλεπικοινωνιακών υπηρεσιών έχει καθορίσει την περίοδο αυτή, στο τεύχος των γενικών όρων βάσει των οποίων παρέχει τις υπηρεσίες του, σε 3 µήνες. Μια άλλη πρακτική παρατηρείται στην Πορτογαλία όπου, δεδοµένου ότι η εν λόγω περίοδος δεν καθορίζεται από το νόµο, η εθνική εποπτική αρχή προστασίας των δεδοµένων δ δ διαπράξει ορισµένες σοβαρές παραβάσεις τα µέτρα αυτά µπορούν να επιβληθούν µόνο εφόσον η τεκµηρίωση των γεγονότων µε κάποιον άλλο τρόπο είναι καταδικασµένη σε αποτυχία ή σηµαντικά δυσκολότερη ακόµη και στην περίπτωση αυτή, η παρακολούθηση µπορεί να αφορά µόνο τον ίδιο τον ύποπτο ή τα πρόσωπα τα οποία εικάζεται ότι επικοινωνούν µαζί του. 10 Η Επιτροπή αναλύει επί του παρόντος τις νοµοθετικές διατάξεις των κρατών µελών τα οποία της έχουν κοινοποιήσει τα εθνικά µέτρα εφαρµογής των οδηγιών 97/66/EΚ και 95/46/EΚ. Βλέπε τον πίνακα εφαρµογής σχετικά µε την οδηγία 95/46/EΚ, ο οποίος είναι διαθέσιµος στη διεύθυνση: βλέπε υποσηµείωση 4. 11 Και, όταν χρειάζεται, για την πληρωµή των διασυνδέσεων µεταξύ τηλεπικοινωνιακών οργανισµών, βλέπε άρθρο 6, παράγραφος 2, της οδηγίας 97/66/EΚ. 12 Αν ο λογαριασµός αµφισβητηθεί κατά τη διάρκεια αυτής της περιόδου, τα σχετικά δεδοµένα µπορούν, βεβαίως, να διατηρηθούν µέχρι την επίλυση της διαφοράς. 6

αποφασίζει κατά περίπτωση. Είναι αξιοσηµείωτο ότι στη Νορβηγία η περίοδος αυτή έχει καθοριστεί σε 14 ηµέρες. Η τρέχουσα πρακτική των παρόχων υπηρεσιών Internet (ISP) δεν είναι ούτε και αυτή οµοιογενής. Φαίνεται ότι οι µικροί ISP διατηρούν τα δεδοµένα κίνησης για πολύ σύντοµες περιόδους (λίγες ώρες) λόγω έλλειψης αποθηκευτικής ικανότητας. Οι µεγαλύτεροι ISP, που διαθέτουν αυτή την αποθηκευτική ικανότητα, µπορούν να διατηρούν τα δεδοµένα κίνησης για περίοδο έως λίγων µηνών (αυτό όµως εξαρτάται από τις τιµολογιακές πολιτικές τους: ανά χρόνο σύνδεσης ή ανά καθορισµένη περίοδο). Για τους σκοπούς εφαρµογής του νόµου, η ολλανδική νοµοθεσία περί τηλεπικοινωνιών υποχρεώνει τους τηλεπικοινωνιακούς οργανισµούς και τους παρόχους τηλεπικοινωνιακών υπηρεσιών να συλλέγουν και να αποθηκεύουν τα δεδοµένα κίνησης επί 3 µήνες. Εµπόδια στη λειτουργία της εσωτερικής αγοράς Οι διαφορές αυτές ενδέχεται να δηµιουργήσουν εµπόδια στην εσωτερική αγορά όσον αφορά τη διασυνοριακή παροχή τηλεπικοινωνιακών υπηρεσιών και υπηρεσιών Internet. Πέραν αυτού, όµως, αυτές οι διαφορετικές περίοδοι ενδέχεται να δηµιουργήσουν εµπόδια και στην αποτελεσµατική εφαρµογή του νόµου. Θα µπορούσε να ισχυριστεί κανείς ότι ένας ISP εγκατεστηµένος σε ένα κράτος µέλος δεν δικαιούται να αποθηκεύει δεδοµένα κίνησης για χρονικό διάστηµα µεγαλύτερο από το καθοριζόµενο στο κράτος µέλος στο οποίο ζει ο πελάτης και χρησιµοποιεί τις υπηρεσίες του. Ή ένας ISP ενδέχεται να πιεστεί να διατηρήσει δεδοµένα κίνησης για χρονικό διάστηµα µεγαλύτερο από το επιτρεπόµενο στο κράτος µέλος στο οποίο είναι εγκατεστηµένος, επειδή αυτό απαιτεί η νοµοθεσία της χώρας του χρήστη. Σε περίπτωση χρέωσης για περιαγωγή στην κινητή τηλεφωνία, αυτός ο οποίος εισπράττει το λογαριασµό δεν είναι ο αλλοδαπός οργανισµός, αλλά ο εθνικός οργανισµός της χώρας των αντίστοιχων συνδροµητών. Ως εκ τούτου, η ύπαρξη διαφορετικών περιόδων για την αποθήκευση των δεδοµένων που απαιτούνται για τη χρέωση ενδέχεται να οδηγήσει στα ίδια προβλήµατα µε αυτά τα οποία περιγράφονται για τους ISP. Ο κανόνας περί εφαρµοστέου δικαίου που θεσπίζεται στο άρθρο 4 της οδηγίας 95/46/EΚ λύνει το πρόβληµα αυτό µόνο εφόσον ο ISP είναι ο υπεύθυνος για την επεξεργασία των δεδοµένων φορέας και είναι εγκατεστηµένος µόνο σε ένα κράτος µέλος, αλλά όχι στις περιπτώσεις τις οποίες είναι εγκατεστηµένος σε περισσότερα του ενός κράτη µέλη στα οποία ισχύουν διαφορετικές περίοδοι αποθήκευσης των δεδοµένων ή στις περιπτώσεις στις οποίες επεξεργάζεται δεδοµένα κίνησης για λογαριασµό του υπεύθυνου επεξεργασίας. Σύσταση Ενόψει των ανωτέρω, η οµάδα εργασίας θεωρεί ότι το αποτελεσµατικότερο µέσο για τη µείωση των απαράδεκτων κινδύνων που απειλούν το σεβασµό της ιδιωτικής ζωής, αναγνωριζοµένης παράλληλα της ανάγκης για αποτελεσµατική εφαρµογή του νόµου, 7

είναι ο εξής κανόνας: τα δεδοµένα κίνησης δεν πρέπει κατ αρχήν να διατηρούνται αποκλειστικά και µόνο για σκοπούς εφαρµογής του νόµου, ενώ η εθνική νοµοθεσία δεν πρέπει να υποχρεώνει τους τηλεπικοινωνιακούς οργανισµούς, τους παρόχους τηλεπικοινωνιακών υπηρεσιών και τους παρόχους υπηρεσιών Internet να διατηρούν τα δεδοµένα κίνησης για χρονικό διάστηµα µεγαλύτερο από το απαιτούµενο για σκοπούς χρέωσης. Η οµάδα εργασίας συνιστά να προτείνει η Ευρωπαϊκή Επιτροπή κατάλληλα µέτρα για την περαιτέρω εναρµόνιση της περιόδου κατά τη διάρκεια της οποίας οι τηλεπικοινωνιακοί οργανισµοί, οι πάροχοι τηλεπικοινωνιακών υπηρεσιών και οι πάροχοι υπηρεσιών Internet επιτρέπεται να φυλάσσουν τα δεδοµένα κίνησης για τη χρέωση των συνδροµητών και την πληρωµή των διασυνδέσεων 13. Η οµάδα εργασίας θεωρεί ότι η περίοδος αυτή πρέπει να είναι τόσο µεγάλη όσο χρειάζεται για να µπορούν οι καταναλωτές να αµφισβητούν τη χρέωση, αλλά και όσο το δυνατόν συντοµότερη ώστε να µην επιβαρύνονται υπερβολικά οι τηλεπικοινωνιακοί οργανισµοί και οι πάροχοι υπηρεσιών. Επιπλέον, πρέπει να τηρεί τις αρχές αναλογικότητας και ειδικότητας, ως τµήµα του δικαιώµατος σεβασµού της ιδιωτικής ζωής. Η περίοδος αυτή πρέπει να είναι ευθυγραµµισµένη µε τα υψηλότερα πρότυπα προστασίας που υπάρχουν στα κράτη µέλη. Η οµάδα εφιστά την προσοχή στο γεγονός ότι σε αρκετά κράτη µέλη έχουν εφαρµοστεί µε επιτυχία περίοδοι που δεν υπερβαίνουν τους 3 µήνες. Επιπλέον, η οµάδα εργασίας συνιστά στις εθνικές κυβερνήσεις να λάβουν υπόψη τους τις σκέψεις αυτές. Βρυξέλλες, 7 Σεπτεµβρίου 1999 Για την Οµάδα Εργασίας Ο Πρόεδρος Peter HUSTINX 13 Σε σχέση µε το στόχο αυτό, δεν υπάρχει κανείς λόγος να γίνεται διάκριση µεταξύ των ιδιωτικών ή των δηµόσιων οργανισµών. 8