b) Prejudikatura
56. Napadená právní úprava zákona o elektronických komunikacích a trestního řádu byla přijata v reakci na výše uvedené derogační nálezy Ústavního soudu sp. zn. Pl. ÚS 24/10 a sp. zn. Pl. ÚS 24/11. V navazující časové souslednosti vydal Soudní dvůr Evropské unie též výše uvedené rozsudky Digital Rights Ireland Ltd a Tele2 Sverige AB.
57. Prvním ze zmiňovaných nálezů sp. zn. Pl. ÚS 24/10 ze dne 22. 3. 2011 zrušil Ústavní soud ustanovení § 97 odst. 3 a 4 ZEK, v tehdejším znění, jakož i vyhlášku č. 485/2005 Sb., o rozsahu provozních a lokalizačních údajů, době jejich uchovávání a formě a způsobu jejich předávání orgánům oprávněným k jejich využívání. Ústavní soud aplikoval judikaturu Evropského soudu pro lidská práva (dále též jen "ESLP") vztahující se k užití odposlechů (zejména rozhodnutí ve věci Malone proti UK č. 8691/79 ze dne 2. 8. 1984) a zopakoval jeho požadavky na právní úpravu umožňující zásah do práva na soukromý život veřejnou mocí. Evropský soud pro lidská práva považuje za nutné vymezit na zákonné úrovni jasná pravidla upravující rozsah použití omezujících opatření, stanovit minimální požadavky na délku a způsob uložení získaných informací, na jejich použití i přístup třetích osob k nim a zakotvit procedury k ochraně důvěrnosti údajů i k jejich zničení; vše tak, aby jednotlivci disponovali dostatečnými zárukami ochrany proti jejich zneužití. V § 97 odst. 3 ZEK, v původním znění, nebyl jasně a přesně vymezen okruh oprávněných orgánů, účel poskytnutí provozních a lokalizačních údajů ani podmínky jejich použití, a to ani v návaznosti na zvláštní předpisy, na něž napadená norma odkazovala. Ústavní soud zkritizoval také absenci jasných a detailních pravidel obsahujících minimální požadavky na zabezpečení uchovávaných údajů (zamezení přístupu třetích osob, stanovení procedury vedoucí k ochraně důvěrnosti a celistvosti údajů, procedury jejich ničení) a záruk proti riziku jejich zneužití.
58. O několik měsíců později Ústavní soud v návaznosti na nález sp. zn. Pl. ÚS 24/10 zrušil nálezem sp. zn. Pl. ÚS 24/11 ze dne 20. 12. 2011 pro vágnost a neurčitost také § 88a trestního řádu. V testu proporcionality nebylo naplněno druhé kritérium nezbytnosti, neboť neurčitá a široká formulace účelu ("objasnění skutečností důležitých pro trestní řízení") umožňovala vyžádání a použití údajů v podstatě v jakékoli souvislosti s libovolným trestním řízením. Uvedený nedostatek nebylo podle Ústavního soudu možné překlenout ani ústavně konformním výkladem. Ústavní soud nenalezl důvod, pro který by se měl lišit rozsah zákonem stanovených garancí při využití nástrojů podle § 88 trestního řádu (odposlechy - budoucí telekomunikační provoz včetně obsahu komunikace) a § 88a trestního řádu (provozní a lokalizační údaje - v minulosti uskutečněný telekomunikační provoz bez obsahu komunikace), neboť v obou případech je intenzita zásahu do práva na soukromí srovnatelná. Nad rámec požadavků kladených na dotčenou právní úpravu v nálezu sp. zn. Pl. ÚS 24/10 zde Ústavní soud doplnil, že účinná ochrana před nezákonným zásahem do základních práv a svobod dotčených osob by měla být zaručena prostřednictvím povinnosti dodatečně informovat uživatele služeb elektronické komunikace o tom, že jeho provozní a lokalizační údaje byly sděleny orgánům činným v trestním řízení.
59. Soudní dvůr Evropské unie později rozsudkem Digital Rights Ireland Ltd ze dne 8. 4. 2014 prohlásil směrnici o data retention za neplatnou pro rozpor s čl. 7 (respektování soukromého a rodinného života) a čl. 8 (ochrana osobních údajů) Listiny základních práv EU. Přestože byla směrnice způsobilá dosáhnout sledovaného cíle (harmonizace úpravy data retention na poli boje proti závažné trestné činnosti), ani takový cíl sám o sobě nemohl odůvodnit, aby opatření týkající se všech prostředků elektronické komunikace a spočívající v uchovávání údajů téměř celé evropské populace bylo považováno za nezbytné. Soudní dvůr Evropské unie vyslovil požadavek cílené souvislosti mezi uchovávanými údaji a ohrožením veřejné bezpečnosti (údaje vztahující se k určitému časovému období, určité zeměpisné oblasti či okruhu určitých osob, jež mohou být jakýmkoli způsobem zapojeny do závažné trestné činnosti, anebo k osobám, které by prostřednictvím uchovávání jejich údajů mohly z jiných důvodů přispívat k boji proti závažné trestné činnosti).
60. Následně Soudní dvůr Evropské unie rozsudkem Tele2 Sverige AB ze dne 21. 12. 2016 zodpověděl předběžné otázky Velké Británie a Švédská ohledně výkladu čl. 15 odst. 1 e-privacy směrnice v souvislosti se zneplatněním směrnice o data retention a z toho plynoucích důsledků pro vnitrostátní právní úpravy členských států. Podle čl. 15 odst. 1 e-privacy směrnice členské státy mohou přijmout legislativní opatření omezující rozsah ochrany osobních údajů ve smyslu směrnice, představuje-li omezení v demokratické společnosti nezbytné, přiměřené a úměrné opatření pro zajištění národní bezpečnosti (tj. bezpečnosti státu), obrany, veřejné bezpečnosti a pro prevenci, vyšetřování, odhalování a stíhání trestných činů nebo prevenci neoprávněného použití elektronického komunikačního systému. Soudní dvůr Evropské unie uvedl, že citované ustanovení umožňující členským státům výjimku z pravidla poskytování ochrany osobním údajům je třeba vykládat restriktivně - nelze akceptovat stav, kdy se z výjimky stane pravidlo, jako je tomu v případě plošného a nevýběrového uchovávání velkého množství dat. Vnitrostátní právní úprava musí podle SDEU účinně vymezovat vztah mezi údaji, které mají být uchovávány, a sledovaným účelem, tj. musí umožňovat účinné vymezení rozsahu opatření (okruh osob z řad veřejnosti, jejichž údaje mohou vykázat minimálně nepřímou souvislost se závažnou trestnou činností nebo mohou přispívat k boji proti ní a k předcházení závažného ohrožení veřejné bezpečnosti).
61. Dalším rozsudkem ve věci C-207/16 ze dne 2. 10. 2018 (Ministerio Fiscal) SDEU částečně zmírnil přísný tón v otázce účelu zpřístupňování provozních a lokalizačních údajů; k samotnému principu data retention se zde nevyjádřil. K předběžné otázce španělského soudu ohledně výkladu téhož ustanovení jako v předchozím případě - čl. 15 e-privacy směrnice - konstatoval, že zpřístupnění údajů, jako je jméno, příjmení a adresa držitelů SIM karet aktivovaných v odcizeném mobilním telefonu, za účelem jejich identifikace orgánům veřejné moci nezasahuje do základních práv těchto držitelů zakotvených v čl. 7 a 8 Listiny základních práv EU natolik závažným způsobem, aby přístup k nim měl být v oblasti prevence, vyšetřování, odhalování a stíhání trestných činů omezen pouze na boj proti závažné trestné činnosti.
62. V nedávné době měl i Evropský soud pro lidská práva příležitost rekapitulovat svoji judikaturu vztahující se k odposlechům a při té příležitosti se vyjádřit k data retention. V rozsudku ze dne 13. 9. 2018, stížnosti č. 58170/13, 62322/14 a 24960/15, (Big Brother Watch proti Spojenému království) konstatoval v souvislosti s poskytnutím komunikačních údajů porušení nejen čl. 8 Úmluvy garantujícího respekt k soukromému životu, ale i čl. 10 Úmluvy, který zaručuje svobodu projevu. Porušení čl. 8 Úmluvy bylo konkrétně spatřováno ve vyžádání údajů o několika telefonních číslech ze strany vyšetřujících orgánů, jehož účelem bylo odhalení informačního zdroje novináře (nikoli cíl sledující vymezený veřejný zájem) a jež nepodléhalo předchozímu schválení soudem nebo nezávislým správním úřadem. V těchto dvou aspektech se podle závěrů ESLP postup dotčených orgánů a platná legislativa Velké Británie neslučovaly ani s požadavky plynoucími z prezentované judikatury SDEU. Soud spatřoval v absenci zvláštní právní úpravy, která by poskytovala přísnější ochranu využívání provozních a lokalizačních údajů ve vztahu k ochraně svobody tisku (činnost novinářů), také porušení svobody projevu ve světle čl. 10 Úmluvy.