Oczekuje się, że decyzja europejskiego sądu najwyższego doprowadzi do wyzwań prawnych w związku z wykorzystaniem dowodów z EncroChat i innych szyfrowanych sieci telefonicznych infiltrowanych przez organy ścigania.
Trybunał Sprawiedliwości Unii Europejskiej (TSUE) rządził w dniu 30 kwietnia 2022 r. państwa członkowskie muszą formalnie powiadomić inne państwa członkowskie o przechwyceniu komunikacji podlegającej ich jurysdykcji.
Niemiecki obrońca Christiana Loddena powiedział w tym tygodniu, że orzeczenie to otwiera drogę do wniesienia skargi prawnej przed przyszłymi postępowaniami karnymi w sprawie EncroChat w Niemczech i innych krajach.
Powiedział, że Francja nie przekazała Niemcom i innym państwom członkowskim formalnego powiadomienia o operacji hakerskiej zgodnie z wymogami prawa UE, dodając, że Francja „naruszyła [the law]”.
Orzeczenie jest najnowszym z serii skarg prawnych dotyczących zgodności z prawem dowodów zebranych przez francuską i holenderską policję w ramach nowatorskiej operacji włamania się do sieci telefonicznej EncroChat, która oferowała usługi szyfrowanych wiadomości.
Francuska i holenderska policja przechwyciła wiadomości od 4600 użytkowników telefonów EncroChat w Niemczech w 2020 r. i dziesiątek tysięcy użytkowników telefonów w innych krajach po infiltracji serwerów EncroChat znajdujących się w centrum danych OVH w Roubaix w północnej Francji.
The operacja doprowadziła do aresztowań na całym świecie 6500 osób i zajęcia prawie 900 mln euro po trzyletnim dochodzeniu prowadzonym przez policję w sprawie zorganizowanych grup przestępczych i narkotykowych korzystających z telefonów EncroChat.
Orzeczenie TSUE skupia się na wymianie dowodów między państwami UE
Trybunał Sprawiedliwości UE wydał swoje orzeczenie w zeszłym miesiącu w odpowiedzi na a seria pytań podnoszone przez Sąd Okręgowy w Berlinie w sprawie zgodności z prawem działania EncroChat.
Wyrok następuje a wstępna opinia rzecznika generalnego Europejskiego Trybunału Sprawiedliwości z 2023 r., w którym stwierdzono, że Niemcy uzyskały dane EncroChat legalnie od Francji, pozostawiły jednak do rozstrzygnięcia krytyczne kwestie prawne sądom krajowym.
Najnowsza decyzja TSUE ma na celu wyjaśnienie, czy europejskie nakazy dochodzeniowe (EIO) wydane przez niemiecką prokuraturę w celu uzyskania materiałów przechwyconych przez francuskich śledczych od użytkowników telefonów EncroChat w Niemczech są zgodne z prawem UE.
Sąd ustalił, że zgodnie z ww dyrektywa EIOFrancja była zobowiązana do formalnego powiadomienia Niemiec o przechwyceniu telefonów EncroChat na terytorium Niemiec i zapewnienia władzom niemieckim możliwości wyrażenia sprzeciwu wobec tej operacji w ciągu 96 godzin, jeśli tego chcą.
Powiadomienie Francji powinno było zawierać szczegółowe informacje na temat celów zidentyfikowanych na podstawie numeru telefonu, adresu IP lub poczty elektronicznej, tożsamości docelowych osób, w tym ich adresu, daty urodzenia i numeru ubezpieczenia społecznego, a także opis popełnionego przestępstwa, zgodnie z przykładowe powiadomienie zawarte w dyrektywie END.
Lödden argumentuje, że gdyby Francja formalnie powiadomiła Niemcy z góry, że planuje zinfiltrować ponad 4600 urządzeń w Niemczech za pomocą szkodliwego oprogramowania, niemiecki sędzia prawdopodobnie uznałby tę operację za niezgodną z niemieckim prawem.
Stało się tak, ponieważ Francja nie była w stanie wykazać konkretnego podejrzenia wymaganego przez niemieckie prawo, że każda z 4600 osób objętych pomocą była zamieszana w działalność przestępczą – dodał.
Lödden uważa, że od tego czasu niemieccy prokuratorzy zmienili swoje podejście. W roku 2021 operacja włamania do szyfrowanej sieci telefonicznej Sky ECCprokuratorzy wydali indywidualne END, powołując się na konkretne dowody popełnienia przestępstwa w przypadku każdego użytkownika telefonu objętego dochodzeniem, a nie pojedynczy END obejmujący wszystkich użytkowników telefonów w Niemczech, przy czym Lödden zauważył: „W SKY ECC zwolniono i musieli wydawać END dla każdego użytkownik.”
Decyzja o dopuszczeniu dowodu EncroChat w świetle orzeczenia Trybunału Europejskiego w przyszłych sprawach będzie teraz zależeć od uznania poszczególnych niemieckich sądów.
„Mamy dobre argumenty, ponieważ jest to teraz na papierze [France] złamał prawo” – stwierdził Lödden.
Tajemnica obronna
W innym istotnym orzeczeniu TSUE uznał, że sądy krajowe państw członkowskich powinny pomijać dowody, które mogą mieć istotny wpływ na ustalenia faktyczne, jeżeli pozwany nie ma możliwości ustosunkowania się do dowodów.
Obrońcy prawdopodobnie będą argumentować w przyszłych sprawach, że niemieckie sądy powinny zignorować dowody EncroChat na tej podstawie, że Francja odmówiła ujawnienia, w jaki sposób uzyskała i przetworzyła przechwycone wiadomości, powołując się na „tajemnicę obronną”.
Jednakże do sądów krajowych będzie należeć interpretacja wyroku TSUE i decydowanie w każdym przypadku z osobna, czy dowód z EncroChat jest dopuszczalny.
Śledztwo rozpoczęło się w 2018 roku
Policja rozpoczęła dochodzenie w sprawie EncroChat w 2018 r. po przejęciu zaszyfrowanych telefonów podczas szeregu operacji narkotykowych. Śledczym udało się pobrać kopie danych z serwerów EncroChat, które były przechowywane w centrum danych OVH w Roubaix w 2018 r. i ponownie w 2019 r.
Francuska policja, pracująca we wspólnym zespole dochodzeniowym z Holendrami, infiltrowała zaszyfrowaną sieć telefoniczną EncroChat w okresie od marca do czerwca 2000 r. Udało im się zainfekować około połowę z 66 000 telefonów w tej sieci za pomocą implantu programowego, umożliwiając policji dostęp do zawartości telefonów w 122 krajach.
Niemiecki Federalny Urząd Policji (BKA) dowiedział się o tej operacji podczas wideokonferencji z przedstawicielami Francji, Holandii, Wielkiej Brytanii i innych krajów, zorganizowanej przez europejską agencję współpracy wymiarów sprawiedliwości w sprawach karnych Eurojust w marcu 2020 r.
BKA następnie ogłosiła, że wszczyna dochodzenie wobec wszystkich użytkowników EncroChat w Niemczech, stwierdzając, że samo korzystanie z usługi EncroChat budzi podejrzenia, że dochodzi do poważnych przestępstw, w szczególności handlu narkotykami.
W dniu 7 marca 2020 r. BKA otrzymało od Europolu bezpieczną wiadomość wzywającą do pisemnego potwierdzenia, że zostali poinformowani o metodach stosowanych w celu uzyskania wiadomości EncroChat w Niemczech w celu uzyskania dostępu do wiadomości EncroChat zebranych przez francuską policję z niemieckich telefonów.
BKA codziennie pobierała dane z serwera Europolu w okresie od 2 kwietnia do 28 czerwca 2020 r., kiedy to administratorzy EncroChat wysyłali komunikat ostrzegający użytkowników, że bezpieczeństwo usługi zostało naruszone.
W dniu 2 czerwca 2020 r. prokuratura we Frankfurcie wydała pierwszy z trzech europejskich nakazów dochodzeniowych, zwracając się do władz francuskich o zezwolenie na wykorzystywanie danych EncroChat w postępowaniu karnym.
Prokuratura uzasadniła wniosek wyjaśnieniem, że Europol poinformował BKA, że w Niemczech nieznane osoby korzystają z telefonów szyfrowanych EncroChat, popełniając dużą liczbę poważnych przestępstw.
Niemieckie sądy nie zgadzają się co do prawa
Niemiecki Sąd Najwyższy, Federalny Trybunał Sprawiedliwości, wydał orzeczenie w sprawie 2 marca 2022 r że prokuratura jest organem właściwym do wydawania europejskich nakazów dochodzeniowych w celu przekazania dowodów z Francji do Niemiec
Sąd Najwyższy stwierdził również, że dowody EncroChat dostarczone Niemcom przez Francję mogą zostać wykorzystane w Niemczech jako dowód w dochodzeniach w sprawie poważnych przestępstw.
Z kolei Sąd Okręgowy Landgericht w Berlinie w październiku 2022 r. skierował szereg pytań do Europejskiego Trybunału Sprawiedliwości po tym, jak nie zgodził się z ustaleniami Sądu Najwyższego.
Sąd w Berlinie argumentował, że samo podejrzenie, że w Niemczech mogło dojść do wielu przestępstw, nie stanowiło wystarczającej podstawy, aby niemieccy prokuratorzy wydali END w celu uzyskania francuskich danych.
Kwestionowała także proporcjonalność europejskich nakazów dochodzeniowych, biorąc pod uwagę, że zgodnie z art Karta praw podstawowych UE i Konwencja o Ochronie Praw Człowieka i Podstawowych Wolnościoskarżeni muszą mieć „rzeczywistą możliwość” wypowiedzenia się na temat dowodów przedstawionych w sądzie.
Stwierdził, że prawo do sprawiedliwego procesu zostało naruszone przez fakt, że dane wymagane przez END nie mogły zostać zbadane przez ekspertów technicznych w Niemczech, ponieważ Francuzi sklasyfikowali technikę przechwytywania jako „tajemnicę obronną”.
Zdaniem Trybunału w Berlinie władze niemieckie mogły wydać europejski nakaz dochodzeniowy w celu uzyskania dowodów z państwa trzeciego, w tym przypadku Francji, jedynie wówczas, gdyby środek dochodzeniowy zostałby dozwolony w Niemczech w podobnej sprawie krajowej.
Trybunał w Berlinie przyjął stanowisko, w przeciwieństwie do Federalnego Trybunału Sprawiedliwości, że francuskie organy śledcze powinny były z wyprzedzeniem powiadomić Niemcy o swoim zamiarze infiltracji telefonów EncroChat w Niemczech za pośrednictwem niemieckiego sądu.
Kwestionuje także decyzje sądów krajowych zakładające, że dane z EncroChat mogą być wykorzystywane w postępowaniu karnym, a w przypadku potencjalnych naruszeń prawa UE dotyczących dowodów EncroChat, ze względu na powagę przestępstw, należy nadać pierwszeństwo postępowaniu karnemu.
Zgodnie z niemieckim postępowaniem karnym dane gromadzone za pomocą podsłuchu telefonicznego – w przypadku braku zgody sądu i braku konkretnych podejrzeń popełnienia konkretnego przestępstwa – byłyby prawnie niedopuszczalne, stwierdził sąd w Berlinie.
Aby informacje i dowody uzyskane niezgodnie z prawem nie wywarły na podejrzanego nadmiernego wrażenia, można by zapobiec, zakazując wykorzystywania tych materiałów jako dowodów. Alternatywnie można to osiągnąć poprzez uwzględnienie, czy materiał jest niezgodny z prawem przy ocenie dowodów lub przy ustalaniu wyroku, argumentował sąd w Berlinie.
Pod Orzecznictwo UEzwalczanie poważnych przestępstw nie może usprawiedliwiać powszechnego i masowego zatrzymywania danych osobowych, stwierdził Trybunał w Berlinie.
W rezultacie Sąd Okręgowy w Landgericht podjął decyzję o zawieszeniu postępowania i skierowaniu szeregu pytań do Europejskiego Trybunału Sprawiedliwości w celu uzyskania orzeczenia.
TSUE rozstrzyga o zgodności z prawem EncroChat EIOS
Wniosek sądu w Berlinie do TSUE dotyczy zgodności z prawem trzech nakazów dochodzeniowych wydanych przez prokuraturę we Frankfurcie, w których żądano od francuskiej policji przechwyconych danych użytkowników telefonów w Niemczech.
Europejski Trybunał Sprawiedliwości rozważył, czy Niemcy mają obowiązek posiadania konkretnych dowodów na to, że każdy indywidualny użytkownik EncroChat był podejrzany o popełnienie przestępstwa.
Do TSUE zwrócono się także z pytaniem, czy wydanie europejskiego nakazu dochodzeniowego było proporcjonalne w sytuacji, gdy nie można zweryfikować integralności danych zebranych przez Francuzów, ponieważ szczegóły operacji przechwytywania objęte były „tajemnicą obronną”.
Sąd uznał, że prokurator w Niemczech może wydać END, żądając przekazania przechwyconych wiadomości z Francji do Niemiec, pod warunkiem, że przekazanie danych byłoby zgodne z prawem również w sprawie krajowej w Niemczech.
TSUE stwierdził również, że sądy krajowe powinny ignorować informacje i dowody, jeżeli osoba oskarżona o popełnienie przestępstwa nie jest w stanie wypowiedzieć się na temat dowodów przeciwko niej, a informacje te mogą mieć istotny wpływ na ustalenia faktyczne.
Trybunał stwierdził, że dyrektywa END ma na celu nie tylko gwarancję suwerenności państw członkowskich, ale także ochronę praw użytkowników dotkniętych operacją przechwytywania telekomunikacji.
Wpływ orzeczenia
Prawnicy stwierdzili, że ustalenia TSUE spowodują kwestionowanie dopuszczalności dowodów EncroChat w Niemczech i innych krajach.
Jednak Lödden powiedział Computer Weekly, że decyzja nie będzie miała wpływu na sprawy w Niemczech, w których ludzie zostali już skazani za przestępstwa na podstawie dowodów z EncroChat, których nie można ponownie otworzyć bez nowych dowodów, i dodał: „To jest teraz decyzją sądu lub wszystkie pozostałe sądy w jaki sposób oceniają te naruszenia.”
Holenderski obrońca Justusa Reisingera stwierdziło, że jest mało prawdopodobne, aby operacja EncroChat została zatwierdzona przez holenderskiego sędziego, gdyby została przeprowadzona na szczeblu krajowym w Holandii. Powiedział, że Francja nie przekazała Holandii formalnego powiadomienia o działaniu EncroChat, zgodnie z wymogami prawa UE.
Stwierdził jednak, że sytuacja w Holandii jest bardziej skomplikowana niż w Niemczech, ponieważ Holandia była członkiem Wspólnego Zespołu Śledczego odpowiedzialnego za operację przechwytywania EncroChat z Francją.
Sprawa zostanie teraz skierowana ponownie do Sądu Okręgowego w Berlinie, który podejmie decyzję.