Decyzja 2023/436 upoważniająca państwa członkowskie do ratyfikowania, w interesie Unii Europejskiej, Drugiego protokołu dodatkowego do Konwencji o cyberprzestępczości dotyczącego wzmocnionej współpracy i ujawniania elektronicznego materiału dowodowego

DECYZJA RADY (UE) 2023/436 z dnia 14 lutego 2023 r. upoważniająca państwa członkowskie do ratyfikowania, w interesie Unii Europejskiej, Drugiego protokołu dodatkowego do Konwencji o cyberprzestępczości dotyczącego wzmocnionej współpracy i ujawniania elektronicznego materiału dowodowego

RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 16 i art. 82 ust. 1, w związku z art. 218 ust. 6,

uwzględniając wniosek Komisji Europejskiej,

uwzględniając zgodę Parlamentu Europejskiego ¹ ,

a także mając na uwadze, co następuje:

(1) W dniu 6 czerwca 2019 r. Rada upoważniła Komisję do uczestnictwa, w imieniu Unii, w negocjacjach w sprawie Drugiego protokołu dodatkowego do Konwencji Rady Europy o cyberprzestępczości (CETS nr 185) (zwanej dalej "Konwencją o cyberprzestępczości").

(2) Drugi protokół dodatkowy do Konwencji o cyberprzestępczości dotyczący wzmocnionej współpracy i ujawniania elektronicznego materiału dowodowego (zwany dalej "Protokołem") został przyjęty przez Komitet Ministrów Rady Europy w dniu 17 listopada 2021 r. i ma zostać otwarty do podpisu w dniu 12 maja 2022 r.

(3) Postanowienia Protokołu należą do dziedziny objętej w znacznym stopniu wspólnymi zasadami w rozumieniu art. 3 ust. 2 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), w tym instrumentami ułatwiającymi współpracę wymiarów sprawiedliwości w sprawach karnych, zapewniającymi minimalne standardy praw procesowych, a także zabezpieczenia służące ochronie danych i prywatności.

(4) Komisja przedłożyła również wnioski ustawodawcze dotyczące rozporządzenia w sprawie europejskiego nakazu wydania dowodów dotyczącego elektronicznego materiału dowodowego w sprawach karnych i europejskiego nakazu zabezpieczenia dowodów dotyczącego elektronicznego materiału dowodowego w sprawach karnych oraz dyrektywy ustanawiającej zharmonizowane przepisy dotyczące wyznaczania przedstawicieli prawnych w celu gromadzenia dowodów na potrzeby postępowań karnych, zawierające wymóg kierowania wiążących transgranicznych europejskich nakazów wydania dowodów i zabezpieczenia dowodów bezpośrednio do przedstawiciela dostawcy usług w innym państwie członkowskim.

(5) Uczestnicząc w negocjacjach w sprawie Protokołu, Komisja zapewniła jego zgodność z odpowiednimi wspólnymi zasadami Unii.

(6) Niektóre zastrzeżenia, deklaracje, notyfikacje i informacje dotyczące Protokołu wynikają z konieczności zapewnienia zgodności Protokołu z prawem i politykami Unii. Pozostałe są istotne dla zapewnienia jednolitego stosowania Protokołu przez państwa członkowskie Unii będące Stronami Protokołu (zwane dalej "państwami członkowskimi będącymi Stronami") w ich stosunkach z państwami trzecimi będącymi Stronami Protokołu (zwanymi dalej "państwami trzecimi będącymi Stronami"), a także skutecznego stosowania Protokołu.

(7) Zastrzeżenia, deklaracje, notyfikacje i informacje będące przedmiotem wytycznych skierowanych do państw członkowskich w załączniku do niniejszej decyzji pozostają bez uszczerbku dla innych zastrzeżeń lub deklaracji, które państwa te mogą chcieć złożyć indywidualnie, o ile pozwala na to Protokół.

(8) Państwa członkowskie, które w momencie podpisywania Protokołu nie złożyły zastrzeżeń, deklaracji, notyfikacji lub informacji zgodnie z załącznikiem do niniejszej decyzji, powinny tego dokonać przy składaniu instrumentu ratyfikacji, przyjęcia lub zatwierdzenia Protokołu.

(9) Po ratyfikacji, przyjęciu lub zatwierdzeniu Protokołu państwa członkowskie powinny ponadto postępować zgodnie ze wskazaniami określonymi w załączniku do niniejszej decyzji.

(10) W Protokole przewidziano szybkie procedury usprawniające transgraniczny dostęp do elektronicznego materiału dowodowego i wysoki poziom zabezpieczeń. Wejście w życie Protokołu przyczyni się zatem do walki z cyberprzes- tępczością i innymi formami przestępczości na poziomie światowym poprzez ułatwienie współpracy między państwami członkowskimi będącymi Stronami a państwami trzecimi będącymi Stronami, zapewni wysoki poziom ochrony osób fizycznych oraz uwzględni kwestię kolizji praw.

(11) W Protokole ustanowiono odpowiednie zabezpieczenia zgodnie z wymogami dotyczącymi międzynarodowego przekazywania danych osobowych na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 ²  i dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 ³ . Wejście Protokołu w życie przyczyni się zatem do propagowania unijnych standardów ochrony danych na poziomie światowym, ułatwi przepływ danych między państwami członkowskimi będącymi Stronami a państwami trzecimi będącymi Stronami, a także zapewni przestrzeganie przez państwa członkowskie będące Stronami ich obowiązków wynikających z unijnych przepisów o ochronie danych.

(12) Szybkie wejście w życie Protokołu potwierdzi ponadto status Konwencji o cyberprzestępczości jako głównych wielostronnych ram walki z cyberprzestępczością.

(13) Unia nie może ratyfikować Protokołu, ponieważ jego Stronami mogą być jedynie państwa.

(14) Do ratyfikowania Protokołu należy zatem upoważnić państwa członkowskie, działające wspólnie w interesie Unii.

(15) Zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 ⁴  skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 21 stycznia 2022 r.

(16) Zgodnie z art. 1 i 2 Protokołu nr 21 w sprawie stanowiska Zjednoczonego Królestwa i Irlandii w odniesieniu do przestrzeni wolności, bezpieczeństwa i sprawiedliwości, załączonego do Traktatu o Unii Europejskiej (TUE) i do TFUE, bez uszczerbku dla art. 4 tego protokołu, Irlandia nie uczestniczy w przyjęciu niniejszej decyzji i nie jest nią związana ani jej nie stosuje.

(17) Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do TUE i do TFUE, Dania nie uczestniczy w przyjęciu niniejszej decyzji i nie jest nią związana ani jej nie stosuje.

(18) Autentyczne wersje Protokołu to angielska i francuska wersja tekstu, przyjęte przez Komitet Ministrów Rady Europy w dniu 17 listopada 2021 r.,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Niniejszym upoważnia się państwa członkowskie do ratyfikowania, w interesie Unii, Drugiego protokołu dodatkowego do Konwencji o cyberprzestępczości dotyczącego wzmocnionej współpracy i ujawniania elektronicznego materiału dowodowego (zwanego dalej "Protokołem") ⁵ .

Artykuł  2

1. Ratyfikując Protokół, państwa członkowskie, które w momencie jego podpisania nie złożyły zastrzeżeń, deklaracji, notyfikacji lub informacji zgodnie z sekcją 1-3 załącznika do niniejszej decyzji, dokonują tego przy składaniu instrumentu ratyfikacji, przyjęcia lub zatwierdzenia Protokołu.

2. Po ratyfikacji, przyjęciu lub zatwierdzeniu Protokołu państwa członkowskie postępują ponadto zgodnie ze wskazaniami określonymi w sekcji 4 załącznika do niniejszej decyzji.

Artykuł  3

Niniejsza decyzja wchodzi w życie z dniem jej przyjęcia.

Artykuł  4

Niniejsza decyzja zostaje opublikowana w Dzienniku Urzędowym Unii Europejskiej.

Artykuł  5

Niniejsza decyzja skierowana jest do państw członkowskich.

Sporządzono w Brukseli dnia 14 lutego 2023 r.

ZAŁĄCZNIK

Niniejszy załącznik określa zastrzeżenia, deklaracje, notyfikacje, informacje oraz wskazania, o których mowa w art. 2.

1. Zastrzeżenia

Zgodnie z art. 19 ust. 1 Protokołu Strona może złożyć deklarację, zgodnie z którą korzysta ona z zastrzeżenia lub zastrzeżeń określonych w niektórych artykułach Protokołu.

Zgodnie z art. 7 ust. 9 lit. a) Protokołu Strona może zastrzec sobie prawo do niestosowania art. 7 (Ujawnianie informacji odnoszących się do abonenta). Państwa członkowskie powstrzymują się od złożenia takiego zastrzeżenia.

Zgodnie z art. 7 ust. 9. lit. b) Protokołu Strona może, z zastrzeżeniem warunków określonych w tym postanowieniu, zastrzec sobie prawo do niestosowania art. 7 do niektórych rodzajów numerów dostępu. Państwa członkowskie mogę złożyć takie zastrzeżenie, ale jedynie w odniesieniu do numerów dostępu innych niż numery dostępu, które są niezbędne ze względu na jedyny cel polegający na identyfikacji użytkownika.

Zgodnie z art. 8 ust. 13 Protokołu Strona może zastrzec sobie prawo do niestosowania art. 8 (Wykonywanie nakazów innej Strony dotyczących niezwłocznego dostarczenia informacji odnoszących się do abonenta i danych o ruchu) do danych o ruchu. Państwa członkowskie zachęca się do powstrzymania się od składania takiego zastrzeżenia.

W przypadku gdy art. 19 ust. 1 stanowi podstawę dla innych zastrzeżeń, państwa członkowskie są upoważnione do rozważenia takich zastrzeżeń i ich złożenia.

2. Deklaracje

Zgodnie z art. 19 ust. 2 Protokołu Strona może złożyć deklaracje określone w niektórych artykułach Protokołu.

Zgodnie z art. 7 ust. 2 lit. b) Protokołu Strona może - w odniesieniu do nakazów wydanych dostawcom usług na swoim terytorium - złożyć następującą deklarację:

"Nakaz na podstawie art. 7 ust. 1 musi być wydany przez prokuratora lub inny organ sądowy bądź pod nadzorem prokuratora lub innego organu sądowego, lub też wydany w inny sposób pod niezależnym nadzorem.".

Państwa członkowskie składają - w odniesieniu do nakazów wydanych dostawcom usług na ich terytorium - deklarację określoną w akapicie drugim niniejszej sekcji.

Zgodnie z art. 9 (Niezwłoczne ujawnienie przechowywanych danych informatycznych w sytuacji nadzwyczajnej) ust. 1 lit. b) Protokołu Strona może złożyć deklarację, zgodnie z którą nie będzie wykonywała wniosków wydanych na podstawie ust. 1 lit. a) tego artykułu, których przedmiotem jest jedynie ujawnienie informacji odnoszących się do abonenta. Państwa członkowskie zachęca się do powstrzymania się od składania takiej deklaracji.

W przypadku gdy art. 19 ust. 2 stanowi podstawę dla innych deklaracji, państwa członkowskie są upoważnione do rozważenia takich deklaracji i ich złożenia.

3. Deklaracje, notyfikacje lub informacje

Zgodnie z art. 19 ust. 3 Protokołu Strona składa wszelkie deklaracje, notyfikacje lub informacje określone w niektórych artykułach Protokołu zgodnie z określonymi w nich warunkami.

Zgodnie z art. 7 ust. 5 lit. a) Protokołu Strona może skierować do Sekretarza Generalnego Rady Europy notyfikację, zgodnie z którą w przypadku wydania dostawcy usług na jej terytorium nakazu na podstawie ust. 1 tego artykułu Strona ta będzie wymagała, w każdym przypadku lub w określonych okolicznościach, jednoczesnego powiadomienia o nakazie oraz przekazania informacji uzupełniających i streszczenia faktów związanych z dochodzeniem lub postępowaniem karnym. W związku z tym państwa członkowskie kierują do Sekretarza Generalnego Rady Europy następującą notyfikację:

"W przypadku wydania dostawcy usług na terytorium [państwa członkowskiego] nakazu na podstawie art. 7 ust. 1, [państwo członkowskie] wymaga w każdym przypadku jednoczesnego powiadomienia o nakazie oraz przekazania informacji uzupełniających i streszczenia faktów związanych z dochodzeniem lub postępowaniem karnym.".

Zgodnie z art. 7 ust. 5 lit. e) Protokołu państwa członkowskie wyznaczają jeden organ właściwy do otrzymywania powiadomień zgodnie z art. 7 ust. 5 lit. a) Protokołu oraz do wykonywania działań opisanych w art. 7 ust. 5 lit. b), c) i d) Protokołu, a w przypadku skierowania do Sekretarza Generalnego Rady Europy notyfikacji zgodnie z art. 7 ust. 5 lit. a) Protokołu po raz pierwszy - przekazują Sekretarzowi Generalnemu Rady Europy informacje kontaktowe tego organu.

Zgodnie z art. 8 ust. 4 Protokołu Strona może złożyć deklarację, zgodnie z którą do wykonania nakazów wydanych na podstawie ust. 1 tego artykułu wymagane będą dodatkowe informacje uzupełniające. W związku z tym państwa członkowskie składają następującą deklarację:

"Do wykonania nakazów wydanych na podstawie art. 8 ust. 1 wymagane są dodatkowe informacje uzupełniające. Wymagane dodatkowe informacje uzupełniające będą uzależnione od okoliczności wydanego nakazu i związanego z nim dochodzenia lub postępowania karnego.".

Zgodnie z art. 8 ust. 10 lit. a) i b) Protokołu państwa członkowskie przekazują i na bieżąco aktualizują informacje kontaktowe dotyczące organów wyznaczonych na potrzeby przekazania nakazu wydanego na podstawie art. 8 oraz organów wyznaczonych na potrzeby otrzymania nakazu wydanego na podstawie art. 8. Państwa członkowskie, które uczestniczą we wzmocnionej współpracy ustanowionej rozporządzeniem Rady (UE) 2017/1939 ⁶  wdrażającym wzmocnioną współpracę w zakresie ustanowienia Prokuratury Europejskiej, uwzględniają Prokuraturę Europejską - w ramach wykonywania przez nią właściwości określonych w art. 22, 23 i 25 tego rozporządzenia - wśród organów, o których informacje są przekazywane na podstawie art. 8 ust. 10 lit. a) i b) Protokołu i dokonują tego w sposób skoordynowany.

W związku z tym państwa członkowskie składają następującą deklarację:

"Zgodnie z art. 8 ust. 10 [państwo członkowskie] jako państwo członkowskie Unii Europejskiej uczestniczące we wzmocnionej współpracy w zakresie ustanowienia Prokuratury Europejskiej wyznacza Prokuraturę Europejską, w ramach wykonywania przez nią właściwości określonych w art. 22, 23 i 25 rozporządzenia (UE) 2017/1939 z dnia 12 października 2017 r. wdrażającego wzmocnioną współpracę w zakresie ustanowienia Prokuratury Europejskiej, jako właściwy organ.".

Zgodnie z art. 14 ust. 7 lit. c) Protokołu państwa członkowskie przekazują Sekretarzowi Generalnemu Rady Europy informację o organie lub organach, które należy zawiadomić zgodnie z art. 14 ust. 7 lit. b) Protokołu do celów rozdziału II sekcja 2 Protokołu, w związku z incydentem bezpieczeństwa.

Zgodnie z art. 14 ust. 10 lit. b) Protokołu państwa członkowskie przekazują Sekretarzowi Generalnemu Rady Europy informację o organie lub organach, które mogą udzielić zezwolenia do celów rozdziału II sekcja 2 Protokołu, w odniesieniu do dalszego przekazywania do innego państwa lub organizacji międzynarodowej danych otrzymanych na podstawie Protokołu.

W przypadku gdy art. 19 ust. 3 Protokołu stanowi podstawę dla innych deklaracji, notyfikacji lub informacji, państwa członkowskie są upoważnione do rozważenia takich deklaracji, notyfikacji lub informacji i ich złożenia.

4. Inne wskazania

Państwa członkowskie uczestniczące we wzmocnionej współpracy ustanowionej rozporządzeniem (UE) 2017/1939 zapewniają, aby Prokuratura Europejska mogła, w ramach wykonywania swoich właściwości określonych w art. 22, 23 i 25 tego rozporządzenia, wnioskować o współpracę na podstawie Protokołu w taki sam sposób jak prokuratorzy krajowi tych państw członkowskich.

W odniesieniu do stosowania art. 7, w szczególności w odniesieniu do niektórych rodzajów numerów dostępu, państwa członkowskie mogą poddać nakaz wydany na podstawie tego artykułu kontroli prokuratora lub innego organu sądowego, gdy ich właściwy organ otrzyma jednoczesne powiadomienie o nakazie przed ujawnieniem żądanych informacji przez dostawcę.

Zgodnie z art. 14 ust. 11 lit. c) Protokołu państwa członkowskie zapewniają, aby przy przekazywaniu danych do celów Protokołu strona otrzymująca została poinformowana o tym, że krajowe ramy prawne państw członkowskich wymagają osobistego zawiadomienia osoby fizycznej, której dane przekazano.

W odniesieniu do międzynarodowego przekazywania danych na podstawie Umowy między Stanami Zjednoczonymi Ameryki a Unią Europejską w sprawie ochrony informacji osobowych powiązanych z zapobieganiem przestępczości, prowadzeniem postępowań przygotowawczych, wykrywaniem i ściganiem czynów zabronionych ⁷  (zwanej dalej "Umową ramową") państwa członkowskie informują właściwe organy Stanów Zjednoczonych, do celów art. 14 ust. 1 lit. b) Protokołu, że Umowa ramowa ma zastosowanie do wzajemnego przekazywania danych osobowych na podstawie Protokołu między właściwymi organami. Państwa członkowskie biorą jednak pod uwagę, że Umowę ramową należy uzupełnić dodatkowymi zabezpieczeniami, które uwzględnią szczególne wymagania dotyczące przekazywania elektronicznego materiału dowodowego bezpośrednio przez dostawców usług, a nie między organami, jak przewidziano to w Protokole. W związku z tym państwa członkowskie przekazują właściwym organom Stanów Zjednoczonych następującą informację:

"Do celów art. 14 ust. 1 lit. b) Drugiego protokołu dodatkowego do Konwencji Rady Europy o cyberprzestępczości (zwanego dalej "Protokołem") [państwo członkowskie] uznaje, że Umowa między Stanami Zjednoczonymi Ameryki a Unią Europejską w sprawie ochrony informacji osobowych powiązanych z zapobieganiem przestępczości, prowadzeniem postępowań przygotowawczych, wykrywaniem i ściganiem czynów zabronionych (zwana dalej "Umową ramową") ma zastosowanie do wzajemnego przekazywania danych osobowych na podstawie Protokołu między właściwymi organami. W odniesieniu do przekazywania danych między dostawcami usług a organami na podstawie Protokołu Umowa ramowa ma zastosowanie jedynie w połączeniu z dalszą, szczególną umową w rozumieniu art. 3 ust. 1 Umowy ramowej, która odnosi się do szczególnych wymagań dotyczących przekazywania elektronicznego materiału dowodowego bezpośrednio przez dostawców usług, a nie między organami. W razie braku takiej szczególnej umowy dotyczącej przekazywania danych podstawą do takiego przekazywania może być Protokół; w takim przypadku stosuje się art. 14 ust. 1. lit. a) Protokołu w związku z art. 14 ust. 2-15.".

Państwa członkowskie zapewniają, aby art. 14 ust. 1 lit. c) Protokołu był przez nie stosowany wyłącznie wtedy, gdy Komisja Europejska przyjęła w odniesieniu do danego państwa trzeciego decyzję stwierdzającą odpowiedni stopień ochrony zgodnie z art. 45 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 ⁸  lub art. 36 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 ⁹ , która to decyzja obejmuje odpowiednie przekazywanie danych, lub na podstawie innej umowy zapewniającej odpowiednie zabezpieczenia w zakresie ochrony danych zgodnie z art. 46 ust. 2 lit. a) rozporządzenia (UE) 2016/679 lub art. 37 ust. 1 lit. a) dyrektywy (UE) 2016/680.

1 Zgoda z dnia 17 stycznia 2023 r. (dotychczas nieopublikowana w Dzienniku Urzędowym).

2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).

3 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).

4 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).

5 Zob. s. 28 niniejszego Dziennika Urzędowego.

6 Rozporządzenie Rady (UE) 2017/1939 z dnia 12 października 2017 r. wdrażające wzmocnioną współpracę w zakresie ustanowienia Prokuratury Europejskiej (Dz.U. L 283 z 31.10.2017, s. 1).

7 Dz.U. L 336 z 10.12.2016, s. 3.

8 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).

9 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).

• Identyfikator: Dz.U.UE.L.2023.63.48
• Rodzaj: Decyzja
• Tytuł: Decyzja 2023/436 upoważniająca państwa członkowskie do ratyfikowania, w interesie Unii Europejskiej, Drugiego protokołu dodatkowego do Konwencji o cyberprzestępczości dotyczącego wzmocnionej współpracy i ujawniania elektronicznego materiału dowodowego
• Data aktu: 14/02/2023
• Data ogłoszenia: 28/02/2023
• Data wejścia w życie: 14/02/2023