Uitspraken

“feit 1 (Marktplaats)

in de periode van 13 maart 2014 tot en met 26 oktober 2015 zich heeft schuldig gemaakt aan het plegen van:

- oplichting door middel van phishing ten aanzien van Marktplaats- en Admarkt-accounts;

feit 2 (Marktplaats)

in de periode van 13 maart 2014 tot en met 26 oktober 2015 zich heeft schuldig gemaakt aan het plegen van:

- computervredebreuk ten aanzien van Marktplaats- en Admarkt-accounts;

feit 3 (Marktplaats)

in de periode van 13 maart 2014 tot en met 26 oktober 2015 zich heeft schuldig gemaakt aan het plegen van:

- manipulatie van computergegevens ten aanzien van Marktplaats- en Admarkt-accounts;

feit 4 (BCC)

in de periode van 13 maart 2014 tot en met 20 januari 2015 zich heeft schuldig gemaakt aan het deels in vereniging plegen van:

- oplichting van tenminste zes personen met behulp van malafide webwinkels die leken op de webwinkel van BCC;

feit 5 (Dixons)

in de periode van 2 en met 14 juni 2015 zich heeft schuldig gemaakt aan:

- oplichting van drie personen met behulp van een malafide webwinkel die leek op de webwinkel van Dixons;

feit 6 (GSM-wijzer)

in de periode van 17 december 2014 tot en met 4 januari 2015 zich schuldig heeft gemaakt aan het plegen van:

- oplichting van personen met behulp van een malafide webwinkels die leken op de webwinkel van GSM-wijzer;

en

op 12 maart 2015 aan:

- poging tot oplichting van een onbekend gebleven aantal personen met behulp van malafide webwinkels die leken op de webwinkel- van GSM-wijzer, alles meermalen gepleegd;

feit 13 (Phonespot)

op 26 oktober 2015 schuldig heeft gemaakt aan:

- het voorhanden hebben van toegangscodes tot geautomatiseerde werken van Phonespot B.V.”

“Overwegingen van het hof

1. Onderzoek van gegevensdragers

Voorafgaand aan de beoordeling van de afzonderlijk tenlastegelegde feiten dient te worden nagegaan of, zoals de verdachte heeft gesteld, onderzoek naar de geautomatiseerde werken van de verdachte is gedaan, terwijl daarvoor geen wettelijke bevoegdheid bestond en dat derhalve opsporing heeft plaatsgevonden op een wijze die niet bij wet is voorzien. Dit zou een onherstelbaar vormverzuim opleveren, hetgeen in verband met het bepaalde in artikel 359a van het Wetboek van Strafvordering (hierna: ‘Sv’) zou moeten leiden tot uitsluiting van het bewijs van al hetgeen is aangetroffen op de geautomatiseerde werken van de verdachte.

Dit standpunt van de verdachte betreft meer specifiek de volgende elementen.

In de eerste plaats zijn volgens de verdachte zijn digitale-gegevensdragers (concreet betreft het een Asus laptop (KL066.02.02.002.002, hierna: de ‘Asus laptop’), een iPad, een Toshiba laptop (KL066.02.03.002, hierna: de ‘Toshiba laptop’) en een Samsung Galaxy S5 (KL066.02.04.00, hierna: de ‘Samsung Galaxy’) op 26 oktober 2015 in beslag genomen tijdens een doorzoeking die plaatsvond bij de [medeverdachte] en is op 24 februari 2016 een proces-verbaal van bevindingen opgemaakt betreffende onderzoek naar de Asus laptop en de daarin geplaatste SD-kaart (hierna: de ‘SD-kaart’). Op beide momenten was hij (nog) niet aangemerkt als verdachte.

In de tweede plaats stelt de verdachte dat, als de materiële vereisten zoals opgenomen in artikel 126nba Sv zouden worden toegepast, geen onderzoek naar zijn digitale-gegevensdragers (het hof begrijpt: van de zich daarop bevindende gegevens) zou hebben mogen plaatsvinden.

In de derde plaats heeft de verdachte aangevoerd dat zijn digitale-gegevensdragers met speciale software zijn onderzocht, waardoor voorzienbaar was dat de inbreuk (op zijn persoonlijke levenssfeer, zo begrijpt het hof) zeer ingrijpend zou zijn.

In de vierde plaats heeft de verdachte een beroep gedaan op de prejudiciële beslissing inzake H.K. vs. Estland, C-746/18, van het Hof van Justitie van de Europese Unie (hierna: ‘het Prokuratuur Estonia-arrest’) dat een rechterlijke instantie voorafgaand moet toetsen of toegang tot gegevens van een verdachte kan worden verleend.

De advocaten-generaal hebben betoogd dat er een wettelijke bevoegdheid bestond tot inbeslagneming van (ook) de gegevensdragers die aan de verdachte toebehoorden op het moment dat hij nog niet als verdachte was aangemerkt en dat, nu die bevoegdheid is uitgeoefend door de rechter-commissaris, aan die gegevensdragers onderzoek mocht worden verricht. Derhalve zijn de gegevensdragers rechtmatig in beslag genomen en onderzocht en is geen sprake van een vormverzuim.

Het hof merkt op dat waar de verdediging consequent spreekt over geautomatiseerde werken en de advocaten-generaal over gegevensdragers als voorwerp van onderzoek, de hiervoor weergegeven standpunten in essentie betrekking hebben op onderzoek van gegevens in de zin van artikel 80quinquies van het Wetboek van Strafrecht (hierna: ‘Sr’). Het hof begrijpt de stelling van de verdediging aldus dat het onderzoek zoals dat heeft plaatsgevonden een zeer ingrijpende inbreuk op de grondrechten van de eigenaar maakt, waarbij (impliciet) het in artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: ‘EVRM’) neergelegde recht op eerbiediging van de persoonlijke levenssfeer wordt aangehaald. Nu een geautomatiseerd werk en een gegevensdrager op zichzelf ‘kleurloos’ zijn, zijn het de daarin of daarop aanwezige gegevens die informatie over de persoonlijke levenssfeer van de gebruiker kunnen bevatten. Nu een geautomatiseerd werk volgens de begripsomschrijving van artikel 80sexies Sr niet per definitie gegevens behoeft te bevatten, zal het hof uit praktische overwegingen in het navolgende de term ‘digitale-gegevensdrager’ gebruiken ter aanduiding van alle apparaten met de functionaliteit om digitale gegevens op te slaan, ook als deze daarnaast aangemerkt kunnen worden als geautomatiseerd werk in de zin van artikel 80sexies Sr.

Het hof gaat bij de beoordeling van de hiervoor weergegeven standpunten uit van de volgende feiten en omstandigheden.

Het onderzoek 26Meiberg (hierna: ‘onderzoek Meiberg’) is op 24 februari 2015 gestart. De [medeverdachte] is op 18 mei 2015 als verdachte van het namaken, plaatsen, beheren etcetera van malafide webwinkels aangemerkt.

Op 26 oktober 2015 heeft onder leiding van de rechter-commissaris een doorzoeking plaatsgevonden in de woning op het adres [a-straat 1] te [plaats], in gebruik bij de [medeverdachte]. In die woning was op het moment van de doorzoeking ook de verdachte aanwezig. Door de rechter-commissaris is onder meer de Asus laptop in beslag genomen en voor nader onderzoek overgedragen aan het onderzoeksteam. De verdachte verklaarde ter gelegenheid van die doorzoeking dat deze laptop aan hem toebehoorde.

Blijkens een proces-verbaal van 24 februari 2016 is met technische hulpmiddelen (Internet evidence finder en Encase) onderzoek gedaan naar gegevens op de Asus laptop en de SD-kaart. Hieruit is kort en zakelijk weergegeven gebleken dat zich daarop onder meer het volgende bevindt:

- Skype-gesprekken in de periode van 20 tot 28 juni 2015 tussen de accounts “[account 1]” en “[account 2]” waarin onder andere de e-mailadressen “[e-mail 1]@gmail.com”, [e-mail 2]@gmail.com, [e-mail 3]@gmail.com en [e-mail 4]@gmail.com worden genoemd;

- gegevens betreffende het Skype-account ”[account 3]”, met name dat daaraan het [IP-adres] gekoppeld was;

- een Skype-gesprek van 12 maart 2015 tussen “[account 3]” en “[account 4]” waarin onder meer “www.bcc-winkel.com” en “dixxons.com” worden genoemd;

- 24 afbeeldingen van paspoorten en identiteitsbewijzen.

Op 29 maart 2016 wordt de verdachte als verdachte aangemerkt. Uit het proces-verbaal van die datum blijkt dat dit is gebaseerd op de volgende informatiebronnen:

- TCI-informatie;

- een MMA-melding;

- afgeluisterde telefoongesprekken op een telefoonaansluiting van de [medeverdachte];

- historische telecommunicatiegegevens;

- antecedenten van de verdachte;

- een aangifte van ING uit maart 2014;

- onderzoek naar de inhoud van de Asus laptop.

Uit een proces-verbaal van 13 april 2016 blijkt dat onderzoek is gedaan ter vaststelling van de identiteit van de gebruiker van diverse bij de doorzoeking op 26 oktober 2015 aangetroffen digitale gegevensdragers. Het betreft de Samsung Galaxy, een harddisk en de SD-kaart, een iPad Air en de Toshiba laptop. In dit proces-verbaal wordt geconcludeerd dat de verdachte gebruiker van al deze gegevensdragers was.

Het hof zal allereerst de stelling van de verdachte beoordelen dat zijn gegevensdragers niet bij de doorzoeking op 26 oktober 2015 in beslag mochten worden genomen.

Ingevolge artikel 104 Sv is de rechter-commissaris tot inbeslagneming van alle daarvoor vatbare voorwerpen bevoegd, waaronder ingevolge artikel 94 Sv begrepen alle voorwerpen die kunnen dienen om de waarheid omtrent het strafbare feit waarop de verdenking betrekking heeft aan de dag te brengen.

Dit betekent dat de vraag, aan wie een voorwerp toebehoort als zodanig niet bepalend is voor de vraag of dat voorwerp in beslag mag worden genomen, maar dat het voor zover relevant in het kader van de voorliggende kwestie, erom gaat of de gegevens op de betreffende gegevensdragers konden dienen om de waarheid omtrent de tegen de [medeverdachte] bestaande verdenking van het namaken, plaatsen, beheren etcetera van malafide webwinkels aan de dag te brengen.

Die vraag beantwoordt het hof bevestigend. De verdenking betrof immers bij uitstek activiteiten die sporen achterlaten op digitale gegevensdragers. De enkele omstandigheid dat een ander dan de persoon op wie de verdenking is gericht stelt dat een bij die ‘verdachte’ persoon aangetroffen digitale gegevensdrager aan hem of haar toebehoort, betekent niet zonder meer dat die digitale gegevensdrager niet kan dienen om de waarheid aan de dag te brengen omtrent de tegen die persoon bestaande verdenking.

Namens de [medeverdachte] is een verweer gevoerd met betrekking tot de rechtmatigheid van het onderzoek van zich op digitale gegevensdragers bevindende gegevens en daarmee samenhangend de bruikbaarheid van de bevindingen uit dat onderzoek voor het bewijs. Nu deze bevindingen ook relevant zijn voor (onderdelen van) de bewijsoverwegingen met betrekking tot de verdachte zal het hof zich in dit geval ambtshalve omtrent deze kwestie uitlaten.

In de eerste plaats dient te worden beoordeeld of, zoals door het openbaar ministerie is betoogd, indien eenmaal sprake is van rechtmatig door de rechter-commissaris in beslag genomen voorwerpen, uit (de uitoefening van) die bevoegdheid zonder meer voortvloeit dat de gegevens op die gegevensdragers ongeclausuleerd mochten worden onderzocht.

Hoewel een dergelijk standpunt in zijn algemeenheid houdbaar is, geldt dat niet onverkort - zo begrijpt het hof de arresten van de Hoge Raad van 4 april 2017 (ECLI:NL:HR:2017:584; ECLI:NL:HR:2017:588; ECLI:NL:HR:2017:592) - indien het onderzoek van de gegevens op een digitale gegevensdrager zo verstrekkend is dat op voorhand is te voorzien dat een min of meer compleet beeld kan worden verkregen van bepaalde aspecten van het persoonlijk leven van de gebruiker van die gegevensdrager. In dat geval zal door de rechter-commissaris die de inbeslaggenomen gegevensdragers voor onderzoek overdraagt aan een opsporingsdienst, moeten worden bepaald of wel of niet beperkingen aan dat onderzoek worden verbonden. Bij die beslissing en bij het bepalen van aard en omvang van die eventuele beperkingen zullen factoren als de ingrijpendheid van de inbreuk op de persoonlijke levenssfeer van de gebruiker van de betreffende gegevensdragers door het onderzoek en de proportionaliteit en subsidiariteit van de te verrichten onderzoekshandelingen in relatie tot de aard en omvang van de verdenking waarop het onderzoek betrekking heeft een rol kunnen spelen. Daarbij kan onder meer worden gedacht aan beperkingen betreffende het aantal te onderzoeken gegevensdragers, beperkingen betreffende de te onderzoeken gegevens (zoals afbeeldingen, communicatie, internetgedrag etcetera) en beperkingen betreffende de periode waarbinnen de te onderzoeken gegevens zijn gegenereerd of op de betreffende digitale-gegevensdrager terecht zijn gekomen. Ook kan worden gekozen voor fasering van toegestane onderzoekshandelingen doordat de rechter-commissaris eventueel tussentijds beslist tot uitbreiding of (verdere) beperking van het toegestane onderzoek. In het onderhavige geval heeft een dergelijke toetsing niet kenbaar plaatsgevonden. Het proces-verbaal van doorzoeking bij de [medeverdachte] vermeldt slechts dat na telefonische opening en sluiting van de doorzoeking door de rechter-commissaris de in beslag genomen voorwerpen voor nader onderzoek zijn overgedragen aan de teamleider van het onderzoeksteam Meiberg. Tegen die achtergrond is thans slechts een beoordeling achteraf mogelijk van de vraag of de rechter-commissaris toestemming zou hebben gegeven voor het onderzoek van de gegevens op de digitale gegevensdragers van verdachte en de [medeverdachte], zoals dat heeft plaatsgevonden. Daartoe overweegt het hof het volgende.

Op basis van het dossier laat dit onderzoek zich in drie fasen onderverdelen.

In de eerste fase is op 24 februari 2016 hoofdzakelijk een aantal Skype-gesprekken onderzocht die waren vastgelegd op de Asus laptop en de SD-kaart. Op dat moment was de verdachte nog niet als zodanig aangemerkt. Uit het proces-verbaal waarin over dit onderzoek wordt gerelateerd blijkt dat dit niet specifiek op de verdachte was gericht, maar op de namen van enkele medeverdachten dan wel op specifieke strafbare feiten die in het onderzoek Meiberg aan de orde waren. Dit onderzoek had derhalve geen betrekking op de [medeverdachte], waardoor het eventueel ten onrechte ontbreken van toestemming daarvoor van de rechter-commissaris niet onrechtmatig jegens hem was.

In de tweede fase zijn op 13 april 2016 de hiervoor weergegeven digitale gegevensdragers onderzocht louter ter vaststelling van de identiteit van de gebruiker daarvan. Bij gebreke van andere mogelijkheden voor die vaststelling dan het onderzoeken van een beperkt aantal gegevens op de verschillende digitale gegevensdragers had de rechter-commissaris hiervoor toestemming mogen geven, zodat het hof dit onderzoek niet onrechtmatig [AEH: ik lees: acht].

Nadien zijn alle gegevensdragers uitvoerig onderzocht. Gegeven de zeer forse omvang van de strafbare feiten waarop het tegen de verdachte ingestelde onderzoek betrekking had en de vrijwel uitsluitend digitale aard van die strafbare feiten en daarmee ook van de mogelijke aanwijzingen van betrokkenheid van de verdachte daarbij, had de rechter-commissaris ook hiervoor toestemming mogen geven, zodat het hof ook dit onderzoek niet onrechtmatig acht.

Het hof is van oordeel dat, indien de materiële vereisten ingevolge artikel 126nba Sv toegepast zouden worden, voorgaande oordelen identiek zouden uitvallen.

Aangevoerd is tenslotte dat uit het Prokuratuur Estonia-arrest blijkt dat op grond van Richtlijn 2002/58/EG in casu voorafgaande toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke autoriteit had dienen plaats te vinden, nu het onderzoek van de betreffende gegevensdragers op één lijn gesteld kan worden met het vorderen van gegevens betreffende elektronische communicatie.

Het hof stelt vast dat deze stelling geen bespreking behoeft, nu het hof de conclusie die de verdediging daaruit trekt - weliswaar op andere gronden - deelt.”

Het juridisch kader

“2.5. Voor de waarheidsvinding mag onderzoek worden gedaan aan inbeslaggenomen voorwerpen teneinde gegevens voor het strafrechtelijk onderzoek ter beschikking te krijgen. In computers opgeslagen of beschikbare gegevens zijn daarvan niet uitgezonderd (vgl. HR 29 maart 1994, ECLI:NL:HR:1994:AD2076, NJ 1994/577). Dat geldt ook voor in andere inbeslaggenomen elektronische gegevensdragers en geautomatiseerde werken, waaronder smartphones, opgeslagen of beschikbare gegevens. De wettelijke basis voor dat onderzoek door opsporingsambtenaren is gelegen in het samenstel van de bepalingen waarop de bevoegdheid tot inbeslagneming is gebaseerd.

Voor het doen van onderzoek door een opsporingsambtenaar aan inbeslaggenomen elektronische gegevensdragers en geautomatiseerde werken teneinde de beschikking te krijgen over daarin opgeslagen of beschikbare gegevens vereist de wet geen voorafgaande rechterlijke toetsing of tussenkomst van de officier van justitie. Indien de met het onderzoek samenhangende inbreuk op de persoonlijke levenssfeer als beperkt kan worden beschouwd, biedt de algemene bevoegdheid van opsporingsambtenaren, neergelegd in art. 94, in verbinding met art. 95 en 96 Sv, daarvoor voldoende legitimatie. Dit zal het geval kunnen zijn indien het onderzoek slechts bestaat uit het raadplegen van een gering aantal bepaalde op de elektronische gegevensdrager of in het geautomatiseerde werk opgeslagen of beschikbare gegevens. Indien dat onderzoek zo verstrekkend is dat een min of meer compleet beeld is verkregen van bepaalde aspecten van het persoonlijk leven van de gebruiker van de gegevensdrager of het geautomatiseerde werk, kan dat onderzoek jegens hem onrechtmatig zijn. Daarvan zal in het bijzonder sprake kunnen zijn wanneer het gaat om onderzoek van alle in de elektronische gegevensdrager of het geautomatiseerde werk opgeslagen of beschikbare gegevens met gebruikmaking van technische hulpmiddelen.

[…]

Naar mijn mening moet de huidige wettelijke regeling als volgt worden verstaan. Uit de arresten van de Hoge Raad van 4 juli 2017 volgt dat art. 104 lid 1 Sv een toereikende wettelijke grondslag vormt voor het door de rechter-commissaris verrichten van onderzoek aan in beslag genomen voorwerpen, ook als dat een meer dan beperkte inbreuk op de persoonlijke levenssfeer meebrengt. Ik meen dat dit moet worden begrepen als “onderzoek (doen) verrichten” door de rechter-commissaris. De rechter-commissaris hoeft het onderzoek mijns inziens niet per se zelf te verrichten – de daarvoor vereiste kennis en/of apparatuur zal denkelijk ook niet altijd ter beschikking staan in het kabinet van de rechter-commissaris. Onderzoek door een (gespecialiseerde) opsporingsambtenaar is wel mogelijk, en daartoe kan de rechter-commissaris een bevel geven conform art. 177 lid 1 Sv. Uit de eerder genoemde Smartphone-arresten blijkt dat een dergelijk bevel ook later kan worden verkregen dan ten tijde van de eigenlijke inbeslagneming, bijvoorbeeld als gaande het opsporingsonderzoek blijkt dat een ingrijpend onderzoek van de gegevensdrager noodzakelijk is. Met een dergelijk bevel is de proportionaliteit en subsidiariteit van de inzet van dit middel gewaarborgd, meer dan met de algemene beslagbevoegdheid alleen.24Dit betekent dus dat het niet volstaat dat slechts blijkt dat de digitale gegevensdrager door of onder leiding van de rechter-commissaris in beslag is genomen, maar dat tevens moet blijken van een expliciet bevel van de rechter-commissaris tot het doen onderzoeken daarvan. Een zodanig bevel kan worden gegeven wanneer een digitale gegevensdrager voor nader onderzoek wordt overgedragen aan het onderzoeksteam en zal dan moeten specificeren hoever dat onderzoek kan strekken, in het bijzonder ook of de opdracht strekt tot onderzoek van alle in de elektronische gegevensdrager of het geautomatiseerde werk opgeslagen of beschikbare gegevens met gebruikmaking van technische hulpmiddelen. In gevallen waarin de in beslag genomen gegevensdrager zonder nadere aanduiding voor onderzoek is overgedragen aan opsporingsambtenaren kan niet worden gesproken van onderzoek door de rechter-commissaris en is voor situaties waarin op voorhand door de opsporingsambtenaar is te voorzien dat het te verrichten onderzoek een meer dan beperkte inbreuk op de persoonlijke levenssfeer zal meebrengen, een aanvullende beslissing van de rechter-commissaris vereist.

De Landeck-zaak

“1) Moet artikel 15, lid 1 (eventueel gelezen in samenhang met artikel 5), van richtlijn 2002/58, zoals gewijzigd bij richtlijn 2009/136/EG, in het licht van de artikelen 7 en 8 van het Handvest van de grondrechten, aldus worden uitgelegd dat de toegang van overheidsinstanties tot de op mobiele telefoons opgeslagen gegevens op dermate ernstige wijze inbreuk maakt op de door die artikelen van het Handvest gewaarborgde grondrechten dat die toegang op het gebied van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten moet worden beperkt tot de bestrijding van zware criminaliteit?

2) Moet artikel 15, lid 1, van richtlijn 2002/58, zoals gewijzigd bij richtlijn 2009/136, in het licht van de artikelen 7, 8 en 11 alsook artikel 52, lid 1, van het Handvest van de grondrechten, aldus worden uitgelegd dat het zich verzet tegen een nationale regeling als § 18 juncto § 99, lid 1, van de Strafprozessordnung [(wetboek van strafvordering; hierna: “StPO”)], op grond waarvan veiligheidsdiensten zichzelf in het kader van een strafrechtelijk onderzoek zonder toestemming van een rechterlijke instantie of onafhankelijk bestuursorgaan volledige en ongecontroleerde toegang kunnen verschaffen tot alle op een mobiele telefoon opgeslagen digitale gegevens?

3) Moet artikel 47 van het Handvest van de grondrechten, eventueel gelezen in samenhang met de artikelen 41 en 52 van het Handvest, vanuit het oogpunt van het beginsel van wapengelijkheid (equality of arms) en een doeltreffende voorziening in rechte aldus worden uitgelegd dat het zich verzet tegen een regeling van een lidstaat die, zoals § 18 juncto § 99, lid 1, StPO, toestaat dat een mobiele telefoon digitaal wordt uitgelezen zonder dat de betrokkene daarvan vooraf of op zijn minst na de toepassing van de maatregel in kennis wordt gesteld?”25

“The dispute in the main proceedings and the questions referred for a preliminary ruling

20 On 23 February 2021, while carrying out a narcotics check, officers of the customs office of Innsbruck (Austria) seized a package addressed to CG containing 85 grams of cannabis. That package was sent for examination to the central police station of St. Anton am Arlberg (Austria).

21 On 6 March 2021, two police officers of that station conducted a search of CG’s residence in the course of which they questioned him regarding the consignor of that package and went through his home. During that search, the police officers asked for access to the connection data on CG’s mobile telephone. Following CG’s refusal, those police officers seized that mobile telephone, which contained a SIM card and an SD card, and gave CG the seizure report.

22 Subsequently, that mobile telephone was handed over to an expert of the Landeck District (Austria) police station with a view to unlocking it. That expert not having succeeded in unlocking the mobile telephone at issue, it was sent to the Vienna Bundeskriminalamt (Federal Office of the Criminal Investigation Police) (Austria) where a new attempt to unlock the telephone was made.

23 The seizure of CG’s mobile telephone and the subsequent attempts to make use of that telephone were carried out at the personal initiative of the police officers concerned, without the authorisation of the Public Prosecutor’s Office or a court.

24 On 31 March 2021, CG brought an action before the Landesverwaltungsgericht Tirol (Regional Administrative Court, Tyrol, Austria), the referring court, challenging the lawfulness of the seizure of his mobile telephone. That telephone was returned to CG on 20 April 2021.

25 CG was not informed promptly of the attempts to make use of his mobile telephone. He only became aware of those attempts when the police officer who seized that telephone and subsequently took the first steps to exploit its digital data was questioned as a witness in the proceedings pending before the referring court. Nor were those attempts documented in the file compiled by the criminal investigation police.

26 In the light of the foregoing, the referring court asks, in the first place, whether, in the light of paragraphs 52 to 61 of the judgment of 2 October 2018, Ministerio Fiscal (C 207/16, EU:C:2018:788), and the case-law cited therein, Article 15(1) of Directive 2002/58, read in the light of Articles 7 and 8 of the Charter, must be interpreted as meaning that full and uncontrolled access to all digital data contained in a mobile telephone, that is to say connection data, the content of communications, photos and browsing history – which can provide a very detailed and in-depth picture of almost all areas of the private life of the data subjects – constitutes so serious an interference with the fundamental rights enshrined in Articles 7 and 8 of the Charter that, as regards the prevention, investigation, detection and prosecution of criminal offences, that access must be limited to fighting serious offences.

27 In that regard, that court states that the offence of which CG is accused in the criminal investigation at issue in the main proceedings is set out in Paragraph 27(1) of the Law on Narcotics and is punishable by a term of imprisonment of up to a year and constitutes, in the light of the classification set out in Paragraph 17 of the StGB, only a minor offence.

28 In the second place, after recalling the lessons to be drawn from paragraphs 48 to 54 of the judgment of 2 March 2021, Prokuratuur (Conditions of access to data relating to electronic communications) (C 746/18, EU:C:2021:152), and the case-law cited therein, the referring court asks whether Article 15(1) of Directive 2002/58 precludes a national legal rule such as that stemming from the combined provisions of Paragraph 18 and Paragraph 99(1) of the StPO pursuant to which, in the course of a criminal investigation, the criminal investigation police can gain, without the authorisation of a court or independent administrative body, full and uncontrolled access to all digital data contained in a mobile telephone.

29 In the third and last place, after stating that Paragraph 18 of the StPO, read in conjunction with Paragraph 99(1) thereof, does not impose any obligation on the police to document the measures for the digital exploitation of a mobile telephone, or to inform its owner of the existence of such measures, so that the latter may, as the case may be, object to such measures by means of a preventive or ex post facto challenge before the courts, the referring court is uncertain whether those provisions of the StPO are compatible with the principle of equality of arms and the right to an effective judicial remedy within the meaning of Article 47 of the Charter.

30 In those circumstances the Landesverwaltungsgericht Tirol (Regional Administrative Court, Tyrol) decided to stay the proceedings and to refer the following questions to the Court of Justice for a preliminary ruling:

‘(1) Is Article 15(1) [of Directive 2002/58 – as the case may be, in combination with Article 5 thereof –], read in the light of Articles 7 and 8 of the [Charter], to be interpreted as meaning that [access by public authorities] to data stored on mobile telephones [constitutes an] interference with [the] fundamental rights enshrined in those articles of the Charter which is sufficiently serious to [require] that that access [be] limited, in areas of prevention, investigation, detection and prosecution of criminal offences, to the objective of fighting serious crime?

(2) Is Article 15(1) of Directive [2002/58], read in the light of Articles 7, 8 and 11 and Article 52(1) of the [Charter], to be interpreted as meaning that it precludes a national rule, such as that enacted in Paragraph 18 of the [StPO], read in combination with Paragraph 99(1) thereof, which allows security authorities to grant themselves full and uncontrolled access to all digital data stored on a mobile telephone in the course of a criminal investigation without the authorisation of a court or independent administrative body?

(3) Is Article 47 of the [Charter], [as the case may be,] read in combination with Articles 41 and 52 thereof, to be interpreted, from the point of view of equality of arms and from the point of view of an effective remedy, as meaning that it precludes a national rule, such as that enacted in Paragraph 18 of the [StPO], read in combination with Paragraph 99(1) thereof, which allows [data stored on a mobile telephone to be exploited] without advising the data subject [of the measure concerned beforehand or, at the very least, after it is taken]?’”26

“The application of Directive 2016/680 to an attempt to access data contained in a mobile telephone

69 Article 2(1) of Directive 2016/680 defines its material scope. According to that provision, that directive ‘applies to the processing of personal data by competent authorities for the purposes set out in Article 1(1) [thereof]’, that is to say, inter alia, ‘the prevention, investigation, detection or prosecution of criminal offences’.

70 Article 3(2) of that directive defines the concept of ‘processing’ as including ‘any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as … retrieval, consultation’ or also ‘dissemination or otherwise making available’.

71 It is thus apparent from the very wording of Article 3(2) of Directive 2016/680 and, in particular, from the use of the expressions ‘any operation’, ‘any set of operations’ and ‘otherwise making available’ that the EU legislature intended the concept of ‘processing’ to be broad in scope and, consequently, for the material scope of that directive to be wide. That interpretation is supported by the non-exhaustive nature, expressed by the expression ‘such as’, of the list of operations mentioned in that provision (see, by analogy, judgment of 24 February 2022, Valsts ieņēmumu dienests (Processing of personal data for tax purposes), C 175/20, EU:C:2022:124, paragraph 35).

72 Those textual elements thus argue in favour of an interpretation according to which, where the police seize a telephone and handle it with a view to extracting and consulting personal data contained therein, they begin processing within the meaning of Article 3(2) of Directive 2016/680, even if they do not, for technical reasons, succeed in accessing those data.

73 That interpretation is confirmed by the context of Article 3(2) of Directive 2016/680. Under Article 4(1)(b) of that directive, Member States are to provide that personal data are to be collected for specified, explicit and legitimate purposes and not processed in a manner that is incompatible with those purposes. The latter provision lays down the principle of purpose limitation (see, to that effect, judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 122). The effectiveness of that principle necessarily requires that the purpose of the collection be determined as from when the competent authorities attempt to access personal data since such an attempt, if successful, is such as to enable those authorities, inter alia, to collect, extract or consult the data in question immediately.

74 As regards the objectives of Directive 2016/680, that directive seeks, inter alia, as is apparent from recitals 4, 7 and 15 thereof, to ensure a high level of protection of the personal data of natural persons.

75 That objective would be undermined should it not be possible to classify an attempt to access personal data contained in a mobile telephone as ‘processing’ of that data. An interpretation of Directive 2016/680 to that effect would expose the persons concerned by such an access attempt to a significant risk that it will no longer be possible to prevent the principles established by that directive from being breached.

76 It should also be noted that such an interpretation is consistent with the principle of legal certainty, which, in accordance with the Court’s settled case-law, requires the application of rules of law to be foreseeable by those subject to them, in particular where they may have adverse consequences (judgment of 27 June 2024, Gestore dei Servizi Energetici, C 148/23, EU:C:2024:555, paragraph 42 and the case-law cited). An interpretation according to which the applicability of Directive 2016/680 depends on the success of the attempt to access personal data contained in a mobile telephone would create uncertainty incompatible with that principle for both the competent national authorities and individuals.

77 It follows from the foregoing that an attempt by the police to access the data contained in a mobile telephone for the purposes of a criminal investigation, such as that at issue in the main proceedings, falls, as the Advocate General stated in point 53 of his Opinion, within the scope of Directive 2016/680.”27

“The first and second questions

78 The referring court expressly referred, in its first and second questions, first, to Article 15(1) of Directive 2002/58, which requires, inter alia, that the legislative measures which it allows the Member States to adopt to restrict the scope of the rights and obligations laid down in several provisions of that directive, constitute a necessary, appropriate and proportionate measure within a democratic society to safeguard national security – that is to say, State security – defence and public security, and the prevention, investigation, detection and prosecution of criminal offences or of unauthorised use of the electronic communications system, and, second, to Article 52(1) of the Charter, which enshrines the principle of proportionality in the context of limitations on the exercise of the rights and freedoms recognised by the Charter.

79 Under Article 4(1)(c) of Directive 2016/680, Member States are to provide for personal data to be adequate, relevant and not excessive in relation to the purposes for which they are processed. That provision thus requires the Member States to observe the principle of ‘data minimisation’, which gives expression to the principle of proportionality (judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 41 and the case-law cited).

80 It follows that, in particular, the collection of personal data in the context of criminal proceedings and their storage by police authorities, for the purposes set out in Article 1(1) of that directive, must, like any processing falling within the scope of that directive, comply with that principle (judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 42 and the case-law cited).

81 Thus, it must be held that, by its first and second questions, which it is appropriate to examine together, the referring court asks, in essence, whether Article 4(1)(c) of Directive 2016/680, read in the light of Articles 7 and 8 of the Charter and Article 52(1) thereof, precludes national legal rules which afford the competent authorities the possibility of accessing data contained in a mobile telephone, for the purposes of preventing, investigating, detecting and prosecuting criminal offences in general, and which do not make reliance on that possibility subject to prior review by a court or an independent administrative body.

82 As a preliminary point, it should be noted that, as is apparent from recitals 2 and 4 of Directive 2016/680, while establishing a strong and coherent framework for the protection of personal data in order to ensure respect for the fundamental right of protection of natural persons with regard to the processing of their personal data, recognised in Article 8(1) of the Charter and Article 16(1) TFEU, that directive is intended to contribute to the accomplishment of an area of freedom, security and justice within the European Union (see, to that effect, judgment of 25 February 2021, Commission v Spain (Personal Data Directive – Criminal law), C 658/19, EU:C:2021:138, paragraph 75).

83 To that end, Directive 2016/680 seeks, inter alia, as has been noted in paragraph 74 of the present judgment, to ensure a high level of protection of the personal data of natural persons.

84 In that regard, it should be recalled that, as recital 104 of Directive 2016/680 highlights, the limitations which, under that directive, can be placed on the right to the protection of personal data, provided for in Article 8 of the Charter, and on the right to respect for private and family life, protected by Article 7 of the Charter, must be interpreted in accordance with the requirements of Article 52(1) thereof, which include respect for the principle of proportionality (see, to that effect, judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 33).

85 Those fundamental rights are not absolute rights, but must be considered in relation to their function in society and be weighed against other fundamental rights. Any limitation on the exercise of those fundamental rights must, in accordance with Article 52(1) of the Charter, be provided for by law, respect the essence of those fundamental rights and observe the principle of proportionality. Under the principle of proportionality, limitations may be made only if they are necessary and genuinely meet objectives of general interest recognised by the European Union or the need to protect the rights and freedoms of others. They must apply only in so far as is strictly necessary and the legislation which entails the limitations in question must lay down clear and precise rules governing the scope and application of those limitations (judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 39 and the case-law cited).

86 As regards, in the first place, the objective of general interest capable of justifying a limitation on the exercise of the fundamental rights enshrined in Articles 7 and 8 of the Charter, such as that arising from the legal rule at issue in the main proceedings, it should be noted that the processing of personal data in the context of a police investigation aimed at the prosecution of a criminal offence – such as an attempt to access the data contained in a mobile telephone – must be regarded, in principle, as genuinely meeting an objective of general interest recognised by the European Union, within the meaning of Article 52(1) of the Charter.

87 As far as concerns, in the second place, the requirement that such a limitation be necessary, as stated, in essence, in recital 26 of Directive 2016/680, that requirement is not met where the objective of general interest pursued can reasonably be achieved just as effectively by other means less restrictive of the fundamental rights of the data subjects (see, to that effect, judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 40 and the case-law cited).

88 By contrast, the requirement of necessity is met where the objective pursued by the data processing at issue cannot reasonably be achieved just as effectively by other means less restrictive of the fundamental rights of data subjects, in particular the rights to respect for private life and to the protection of personal data guaranteed in Articles 7 and 8 of the Charter (judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 126 and the case-law cited).

89 As regards, in the third place, the proportionate nature of the limitation on the exercise of the fundamental rights guaranteed in Articles 7 and 8 of the Charter, resulting from such processing, it involves balancing all the relevant factors in the individual case (see, to that effect, judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraphs 62 and 63 and the case-law cited).

90 Such factors include, inter alia, the seriousness of the limitation thus placed on the exercise of the fundamental rights at issue, which depends on the nature and sensitivity of the data to which the competent police authorities may have access, the importance of the objective of general interest pursued by that limitation, the link existing between the owner of the mobile telephone and the criminal offence in question and the relevance of the data in question for the purpose of establishing the facts.

91 As regards, first, the seriousness of the limitation on fundamental rights resulting from a legal rule such as that at issue in the main proceedings, it is apparent from the order for reference that that rule authorises the competent police authorities to access, without prior authorisation, the data contained in a mobile telephone.

92 Such access is liable to concern, depending on the content of the mobile telephone in question and the choices made by the police, not only traffic and location data, but also photographs and the internet browsing history on that telephone, or even a part of the content of the communications made with that telephone, in particular by consulting the messages stored therein.

93 Access to such a set of data is liable to allow very precise conclusions to be drawn concerning the private life of the data subject, such as his or her everyday habits, permanent or temporary places of residence, daily or other movements, the activities carried out, the social relationships of that data subject and the places he or she frequents socially.

94 Last, it cannot be ruled out that the data contained in a mobile telephone may include particularly sensitive data, such as personal data revealing racial or ethnic origin, political opinions and religious or philosophical beliefs, such sensitivity justifying the specific protection afforded to them by Article 10 of Directive 2016/680, which also extends to data revealing information of that nature indirectly, following an intellectual operation involving deduction or cross-referencing (see, by analogy, judgment of 5 June 2023, Commission v Poland (Independence and private life of judges), C 204/21, EU:C:2023:442, paragraph 344).

95 The interference with the fundamental rights guaranteed in Articles 7 and 8 of the Charter to which the application of a rule such as that at issue in the main proceedings may give rise must therefore be regarded as serious, or even particularly serious.

96 As regards, second, the importance of the objective pursued, it should be noted that the seriousness of the offence which is the subject matter of the investigation is one of the main parameters when examining the proportionality of the serious interference which access to the personal data contained in a mobile telephone constitutes and which allow precise conclusions to be drawn concerning the private life of the data subject.

97 However, to consider that only combating serious crime may justify access to data contained in a mobile telephone would limit the investigative powers of the competent authorities, within the meaning of Directive 2016/680, in relation to criminal offences in general. This would increase the risk of impunity for such offences, given the importance that such data may have for criminal investigations. Accordingly, such a limitation would disregard the specific nature of the tasks performed by those authorities for the purposes set out in Article 1(1) of that directive, highlighted in recitals 10 and 11 thereof, and would undermine the objective of achieving an area of freedom, security and justice within the European Union pursued by that directive.

98 That being so, those considerations are without prejudice to the requirement, arising from Article 52(1) of the Charter, that any limitation on the exercise of a fundamental right must be ‘provided for by law’, that requirement implying that the legal basis authorising such a limitation must define its scope sufficiently clearly and precisely (see, to that effect, judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 65 and the case-law cited).

99 In order to satisfy that requirement, it is for the national legislature to define with sufficient precision the factors, in particular the nature or categories of the offences concerned, which must be taken into account.

100 As regards, third, the link that exists between the owner of the mobile telephone and the criminal offence in question and the relevance of the data in question for the purpose of establishing the facts, it is apparent from Article 6 of Directive 2016/680 that the concept of ‘data subject’ covers different categories of persons, namely, in essence, persons suspected, on serious grounds, of having committed or being about to commit a criminal offence, persons convicted of a criminal offence, victims or potential victims of such offences, and others parties to a criminal offence which may be called on to testify in investigations in connection with criminal offences or subsequent criminal proceedings. According to that article, Member States are required to provide for the controller, where applicable and as far as possible, to make a clear distinction between personal data of different categories of data subjects.

101 In that regard, so far as concerns, in particular, access to the data contained in the mobile telephone of a person who is subject to a criminal investigation, as in the case in the main proceedings, it is important that the existence of reasonable suspicions in relation to that person – in the sense that that person has committed, commits or plans to commit an offence, or that he or she is involved in one way or another in such an offence – is supported by objective and sufficient evidence.

102 It is essential – in particular in order to ensure that the principle of proportionality is observed in each specific case by balancing all the relevant factors – that, where access to personal data by the competent national authorities carries the risk of serious, or even particularly serious, interference with the fundamental rights of the data subject, that access be subject to a prior review carried out either by a court or by an independent administrative body.

103 That prior review requires that the court or independent administrative body entrusted with carrying it out must have all the powers and provide all the guarantees necessary in order to reconcile the various legitimate interests and rights at issue. As regards a criminal investigation in particular, it is a requirement of such a review that that court or body must be able to strike a fair balance between, on the one hand, the legitimate interests relating to the needs of the investigation in the context of combating crime and, on the other hand, the fundamental rights to respect for private life and protection of personal data of the persons whose data are concerned by the access.

104 That independent review, in a situation such as that referred to in paragraph 102 of the present judgment, must take place prior to any attempt to access the data concerned, except in cases of duly justified urgency, in which case that review must take place within a short time. A subsequent review would not enable the objective of a prior review, consisting in preventing the authorisation of access to the data in question that exceeds what is strictly necessary, to be met.

105 In particular, the court or independent administrative body, acting in the context of a prior review carried out following a reasoned request for access falling within the scope of Directive 2016/680, must be entitled to refuse or restrict that access where it finds that the interference with fundamental rights which that access would constitute would be disproportionate in the light of all the relevant factors.

106 A refusal to authorise the competent police authorities to access the data contained in a mobile telephone, or a restriction on that access, is therefore necessary if, taking into account the seriousness of the offence and the needs of the investigation, access to the content of the communications or to sensitive data does not appear to be justified.

107 As regards, in particular, the processing of sensitive data, account must be taken of the requirements laid down in Article 10 of Directive 2016/680, the purpose of which is to ensure enhanced protection with regard to that processing which is liable, as is apparent from recital 37 of that directive, to create significant risks to fundamental rights and freedoms, such as the right to respect for private and family life and the right to the protection of personal data, guaranteed by Articles 7 and 8 of the Charter. To that end, as follows from the very terms of Article 10 of Directive 2016/680, the requirement that the processing of such data be allowed ‘only where strictly necessary’ must be interpreted as establishing strengthened conditions for lawful processing of sensitive data, compared with those which follow from Article 4(1)(b) and (c) and Article 8(1) of that directive and refer only to the ‘necessity’ of data processing that falls generally, within the directive’s scope (judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraphs 116 and 117 and the case-law cited).

108 Thus, first, the use of the adverb ‘only’ before the words ‘where strictly necessary’ underlines that the processing of special categories of data, within the meaning of Article 10 of Directive 2016/680, will be capable of being regarded as necessary solely in a limited number of cases. Second, the fact that the necessity for processing of such data is an ‘absolute’ one signifies that that necessity is to be assessed with particular rigour (judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 118).

109 In the present case, the referring court states that, in the course of criminal investigation proceedings, the Austrian police are authorised to access data contained in a mobile telephone. In addition, it states that such access is not, in principle, subject to the prior authorisation of a court or independent administrative authority. It is, however, for that court alone to draw the appropriate conclusions from the clarifications provided, inter alia, in paragraphs 102 to 108 of the present judgment in the main proceedings.

110 It follows from the foregoing that the answer to the first and second questions is that Article 4(1)(c) of Directive 2016/680, read in the light of Articles 7 and 8 and Article 52(1) of the Charter, must be interpreted as not precluding national legal rules which afford the competent authorities the possibility to access data contained in a mobile telephone for the purposes of the prevention, investigation, detection and prosecution of criminal offences in general, provided those rules:

– define with sufficient precision the nature or categories of offences concerned,

– ensure respect for the principle of proportionality, and

– make reliance on that possibility, except in duly justified cases of urgency, subject to prior review by a judge or an independent administrative body.

The third question

111 It is apparent from the order for reference that, by its third question, the referring court seeks, in essence, to determine whether CG should have been informed of the attempts to access the data contained in his mobile telephone in order to be able to exercise his right to an effective remedy guaranteed in Article 47 of the Charter.

112 In that regard, the relevant provisions of Directive 2016/680 are, first, Article 13 of that directive, entitled ‘Information to be made available or given to the data subject’, and, second, Article 54 of that directive, entitled ‘Right to an effective judicial remedy against a controller or processor’.

113 It must also be borne in mind that, as recital 104 of Directive 2016/680 highlights, the limitations imposed by that directive on the right to an effective remedy and to a fair trial, protected by Article 47 of the Charter, must be interpreted in accordance with the requirements of Article 52(1) thereof, which include respect for the principle of proportionality.

114 It must therefore be held that, by its third question, the referring court asks, in essence, whether Articles 13 and 54 of Directive 2016/680, read in the light of Article 47 and Article 52(1) of the Charter, must be interpreted as precluding national legal rules which authorise the competent authorities in criminal matters to attempt to access data contained in a mobile telephone without informing the data subject.

115 It follows from Article 13(2)(d) of Directive 2016/680 that, in addition to the information referred to in paragraph 1, such as the identity of the controller, the purpose of that processing and the right to lodge a complaint with a supervisory authority which must be made available to the data subject, Member States are to provide by law for the controller to give the data subject further information to enable him or her to exercise his or her rights, where necessary, in particular where the personal data are collected without the knowledge of the data subject.

116 However, Article 13(3)(a) and (b) of Directive 2016/680 allows the national legislature to restrict the provision of information to the data subject pursuant to paragraph 2, or to omit to provide that information ‘to the extent that, and for as long as, such a measure constitutes a necessary and proportionate measure in a democratic society with due regard for the fundamental rights and the legitimate interests of the natural person concerned’, inter alia, to ‘avoid obstructing official or legal inquiries, investigations or procedures’ or to ‘avoid prejudicing the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties’.

117 Last, it should be noted that Article 54 of Directive 2016/680, which gives expression to Article 47 of the Charter, requires Member States to provide that, where a person considers that his or her rights laid down in the provisions adopted pursuant to that directive have been infringed as a result of the processing of his or her personal data in breach of those provisions, that person has the right to an effective judicial remedy.

118 It is apparent from the case-law that the right to an effective judicial remedy, guaranteed in Article 47 of the Charter, requires, in principle, that the person concerned must be able to ascertain the reasons on which the decision taken in relation to him or her is based, so as to make it possible for him or her to defend his or her rights in the best possible conditions and to decide, with full knowledge of the relevant facts, whether there is any point in his or her applying to the court with jurisdiction, and in order to put the latter fully in a position in which it may carry out the review of the lawfulness of that decision (judgment of 16 November 2023, Ligue des droits humains (Verification by the supervisory authority of data processing), C 333/22, EU:C:2023:874, paragraph 58).

119 Although that right is not an absolute right and, in accordance with Article 52(1) of the Charter, limitations may be placed upon it, that is on condition that those limitations are provided for by law, they respect the essence of the rights and freedoms at issue and, in compliance with the principle of proportionality, they are necessary and genuinely meet objectives of general interest recognised by the European Union or the need to protect the rights and freedoms of others (judgment of 16 November 2023, Ligue des droits humains (Verification by the supervisory authority of data processing), C 333/22, EU:C:2023:874, paragraph 59).

120 Therefore, it follows from the provisions cited in paragraphs 115 to 119 above that it is for the competent national authorities which have been authorised by a court or an independent administrative body to access the data stored to inform the data subjects, within the framework of the applicable national procedural rules, of the grounds on which that authorisation is based, as soon as such information is not liable to jeopardise the investigations carried out by those authorities, and to make available to them all the information referred to in Article 13(1) of Directive 2016/680. That information is indeed necessary to enable those persons to exercise, inter alia, the right to a remedy expressly provided for in Article 54 of Directive 2016/680 (see, to that effect, judgment of 17 November 2022, Spetsializirana prokuratura (Retention of traffic and location data), C 350/21, EU:C:2022:896, paragraph 70 and the case-law cited).

121 By contrast, national legal rules which exclude as a general rule any right to obtain such information are not consistent with EU law (see, to that effect, judgment of 17 November 2022, Spetsializirana prokuratura (Retention of traffic and location data), C 350/21, EU:C:2022:896, paragraph 71).

122 In the present case, it is apparent from the order for reference that CG knew that his mobile telephone had been seized when the Austrian police attempted in vain to unlock it in order to access the data contained therein. In those circumstances, it does not appear that informing CG of the fact that those authorities were going to attempt to access those data was liable to prejudice the investigations; accordingly, he should have been informed of those attempts beforehand.

123 It follows from the foregoing that the answer to the third question is that Articles 13 and 54 of Directive 2016/680, read in the light of Article 47 and Article 52(1) of the Charter, must be interpreted as precluding national legal rules which authorise the competent authorities to attempt to access data contained in a mobile telephone without informing the data subject, within the framework of the applicable national procedural rules, of the grounds on which the authorisation to access such data, issued by a court or an independent administrative body, is based, once the communication of that information is no longer liable to jeopardise the tasks of those authorities under that directive.

Costs

124 […]

On those grounds, the Court (Grand Chamber) hereby rules:

1. Articles 4(1)(c) of Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA, read in the light of Articles 7, 8 and Article 52(1) of the Charter of Fundamental Rights of the European Union,

must be interpreted as not precluding national legal rules which afford the competent authorities the possibility to access data contained in a mobile telephone for the purposes of the prevention, investigation, detection and prosecution of criminal offences in general, provided those rules:

– define with sufficient precision the nature or categories of offences concerned,

– ensure respect for the principle of proportionality, and

– make reliance on that possibility, except in duly justified cases of urgency, subject to prior review by a judge or an independent administrative body.

2. Articles 13 and 54 of Directive 2016/680, read in the light of Article 47 and Article 52(1) of the Charter of Fundamental Rights,

must be interpreted as precluding national legal rules which authorise the competent authorities to attempt to access data contained in a mobile telephone without informing the data subject, within the framework of the applicable national procedural rules, of the grounds on which the authorisation to access such data, issued by a court or an independent administrative body, is based, once the communication of that information is no longer liable to jeopardise the tasks of those authorities under that directive.”28

“In the present case, it is apparent from the request for a preliminary ruling and, in particular, from the wording of the questions referred, that the referring court considers, first, that those provisions of Austrian law are applicable to the dispute in the main proceedings and, second, that an attempt to access data contained in a mobile telephone, without prior authorisation from the Public Prosecutor’s Office or a court, such as that at issue in the main proceedings, is permitted under Austrian law. In accordance with the case-law cited in the preceding paragraph of the present judgment, it is not for the Court to rule on such an interpretation of those provisions.”33

In paragraaf 92 en verder wordt door het HvJ EU benadrukt dat de Oostenrijkse wet de toegang tot alle data betreft, waaruit het risico voortvloeit dat sprake is van een ernstige of zelfs zeer ernstige inbreuk op het recht op eerbiediging van de persoonlijke levenssfeer:

“92 Such access is liable to concern, depending on the content of the mobile telephone in question and the choices made by the police, not only traffic and location data, but also photographs and the internet browsing history on that telephone, or even a part of the content of the communications made with that telephone, in particular by consulting the messages stored therein.

93 Access to such a set of data is liable to allow very precise conclusions to be drawn concerning the private life of the data subject, such as his or her everyday habits, permanent or temporary places of residence, daily or other movements, the activities carried out, the social relationships of that data subject and the places he or she frequents socially.

94 Last, it cannot be ruled out that the data contained in a mobile telephone may include particularly sensitive data, such as personal data revealing racial or ethnic origin, political opinions and religious or philosophical beliefs, such sensitivity justifying the specific protection afforded to them by Article 10 of Directive 2016/680, which also extends to data revealing information of that nature indirectly, following an intellectual operation involving deduction or cross-referencing (see, by analogy, judgment of 5 June 2023, Commission v Poland (Independence and private life of judges), C 204/21, EU:C:2023:442, paragraph 344).

95 The interference with the fundamental rights guaranteed in Articles 7 and 8 of the Charter to which the application of a rule such as that at issue in the main proceedings may give rise must therefore be regarded as serious, or even particularly serious.”35

“130 Uit de rechtspraak van het Hof over het evenredigheidsbeginsel, dat volgens artikel 15, lid 1, eerste volzin, van richtlijn 2002/58 moet worden geëerbiedigd – met name uit de rechtspraak volgens welke, bij de beoordeling of de lidstaten een beperking van de omvang van de met name in de artikelen 5, 6 en 9 van deze richtlijn bedoelde rechten en plichten kunnen rechtvaardigen, moet worden bepaald wat de ernst is van de inmenging in de in de artikelen 7, 8 en 11 van het Handvest verankerde grondrechten die een dergelijke beperking meebrengt, en moet worden nagegaan of het belang van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst (arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 131) – volgt dat de mate van inmenging in de betrokken grondrechten die de toegang tot de persoonsgegevens in kwestie met zich meebrengt alsmede de gevoeligheid van die gegevens ook van invloed moeten zijn op de materiële en procedurele waarborgen voor die toegang, zoals het vereiste van een voorafgaande toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke autoriteit.

131 Gelet op dit evenredigheidsbeginsel moet derhalve worden geoordeeld dat het vereiste van voorafgaande toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke entiteit noodzakelijk is wanneer, in de context van een nationale regeling die voorziet in de toegang van een overheidsinstantie tot persoonsgegevens, die toegang het risico inhoudt van een ernstige inmenging in de grondrechten van de betrokkene, in die zin dat die overheidsinstantie op basis daarvan nauwkeurige gevolgtrekkingen over zijn privéleven kan maken en, in voorkomend geval, een gedetailleerd profiel van hem kan bepalen.

132 Omgekeerd is het niet de bedoeling dat dit vereiste van voorafgaande toetsing wordt toegepast wanneer de inmenging in de betrokken grondrechten die de toegang van een overheidsinstantie tot persoonsgegevens met zich meebrengt, niet als ernstig kan worden aangemerkt.

133 Dat is het geval met de toegang tot gegevens betreffende de burgerlijke identiteit van de gebruikers van elektronische-communicatiemiddelen met als enige doel de betrokken gebruiker te identificeren en zonder dat deze gegevens in verband kunnen worden gebracht met informatie over de tot stand gebrachte communicatie, omdat de inmenging die een dergelijke verwerking van die gegevens met zich meebrengt volgens het Hof in beginsel niet als ernstig kan worden aangemerkt (zie in die zin arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punten 157 en 158).

134 Wanneer een bewaringsmechanisme zoals beschreven in de punten 86 tot en met 89 van dit arrest wordt ingevoerd, is er bijgevolg in beginsel geen voorafgaande toetsing door een rechterlijke instantie of een onafhankelijk bestuurlijke autoriteit vereist voor de toegang van de overheidsinstantie tot de aldus bewaarde met een IP-adres overeenkomende gegevens betreffende de burgerlijke identiteit.”37

“2.4.1 […] Op basis van deze vaststellingen heeft het Hof geoordeeld dat art. 94 Sv een toereikende wettelijke grondslag vormt voor het door de opsporingsambtenaren verrichte nadere onderzoek aan de inbeslaggenomen smartphone en de daarbij behorende SD-kaart van de verdachte, aangezien daarmee niet meer dan een beperkte inbreuk op de persoonlijke levenssfeer is gemaakt.

Al met al denk ik dat naar aanleiding van de Landeck-zaak – in het voetspoor van de Smartphone-arresten – wel een redelijk samenhangend systeem kan worden gevolgd. Tot het verrichten van een slechts beperkt onderzoek in mobiele telefoons, elektronische gegevensdragers en geautomatiseerde werken blijft de opsporingsambtenaar bevoegd. Als naar redelijke verwachting is te voorzien dat het onderzoek een meer dan beperkte inbreuk op de persoonlijke levenssfeer meebrengt dan is onderzoek door de rechter-commissaris vereist. Daarbij kan worden aangetekend dat de rechter-commissaris zulk onderzoek ook kan opdragen aan een alsdan onder verantwoordelijkheid van de rechter-commissaris opererende opsporingsambtenaar. Van dat onderzoek dient in lijn met art. 126bb Sv de betrokkene op enig moment achteraf op de hoogte te worden gesteld.

Beoordeling van het middel

“Het nadeel dat door de schending is veroorzaakt

[…]

Het nadeel dat de burger ondervindt als gevolg van het schenden van het legaliteitsbeginsel

is dan ook dat er wel willekeurig en onbeperkt tegen hem is opgetreden en wordt hij

getroffen in zijn rechtsbescherming tegen de strafvorderlijke overheid doordat er

onrechtmatig verkregen bewijs tegen hem wordt gebruikt. In het geval van [verdachte] is dit

onrechtmatig verkregen bewijs zelfs het enige bewijs dat er tegen hem is.

Het concrete nadeel dat [verdachte] ondervindt doordat er willekeurig en onbeperkt tegen hem is

opgetreden, is dat hij strafrechtelijk wordt vervolgd op basis van uitsluitend onrechtmatig verkregen bewijs.

[verdachte] is geraakt in zijn rechtsbescherming tegen de overheid, omdat de norm dat opsporing alleen plaats heeft op de wijze bij wet voorzien hem juist beoogt te beschermen tegen willekeurig en onbeperkt optreden van de overheid en juist dient ter waarborging van een behoorlijk niveau van rechtsbescherming.
Dat is geen schending van zijn recht op een eerlijk proces, maar hij is daardoor wel in zijn verdediging is geschaad.”

De procureur-generaal

bij de Hoge Raad der Nederlanden

AG