VIII. Vlastní přezkum
41. Jak již Ústavní soud výše zmínil, napadená ustanovení § 97 odst. 3 a 4 se stala součástí zákona č. 127/2005 Sb. na základě zákona č. 247/2008 Sb., kterým se mění zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů. Dle důvodové zprávy přijetí této novely sloužilo k implementaci „některých článků“ Směrnice Evropského parlamentu a Rady 2006/24/ES ze dne 15. 3. 2006 o uchovávání údajů vytvářených nebo zpracovávaných v souvislosti s poskytováním veřejně dostupných služeb elektronických komunikací nebo veřejných komunikačních sítí a o změně směrnice 2002/58/ES, „které doposud nejsou do našeho právního řádu implementovány, či jsou implementovány jen částečně, (neboť) Směrnice o data retention je v České republice již transponována (...). Platná právní úprava je v některých ohledech širší než úprava obsažená ve Směrnici o data retention.“. Problematika uchovávání provozních a lokalizačních údajů je totiž v českém právním řádu v pozměněné podobě upravena již od přijetí samotného zákona o elektronických komunikacích č. 127/2005 Sb. s účinností od 1. 5. 2005 a od přijetí napadené vyhlášky Ministerstva informatiky č. 485/2005 Sb., o rozsahu provozních a lokalizačních údajů, době jejich uchovávání a formě a způsobu jejich předávání orgánům oprávněným k jejich využívání, s účinností od 15. 12. 2005. V dané době v EU pouze připravovaná Směrnice o data retention tak skutečně byla v České republice fakticky implementována s předstihem a samotné znění napadených ustanovení již dle požadavků Směrnice o data retention pouze představuje upřesnění povinnosti uchovávat provozní a lokalizační údaje a tyto údaje bezodkladně poskytovat orgánům oprávněným k jejich vyžádání. Napadená vyhláška Ministerstva informatiky navzdory této skutečnosti již ovšem změněna nebyla, což má za následek tu skutečnost, že se napadenou právní úpravou regulovaný rozsah uchovávaných údajů i nadále zcela zřetelně pohybuje nad rámcem rozsahu předvídaného předmětnou Směrnicí o data retention.
42. Podle napadeného ustanovení § 97 odst. 3 věty prvé a druhé zákona o elektronických komunikacích právnická nebo fyzická osoba zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací je povinna uchovávat provozní a lokalizační údaje, které jsou vytvářeny nebo zpracovávány při zajišťování jejích veřejných komunikačních sítí a při poskytovávání jejích veřejně dostupných služeb elektronických komunikací, a to včetně údajů o neúspěšných pokusech o volání, jsou-li i tyto údaje vytvářeny nebo zpracovávány a zároveň uchovávány nebo zaznamenávány. Podle § 90 zákona o elektronických komunikacích se provozními údaji rozumí „jakékoli údaje zpracovávané pro potřeby přenosu zprávy sítí elektronických komunikací nebo pro její účtování.“. Podle § 91 téhož zákona se za lokalizační údaje považují „jakékoli údaje zpracovávané v síti elektronických komunikací, které určují zeměpisnou polohu koncového zařízení uživatele veřejně dostupné služby elektronických komunikací.“. Konkretizaci a samotný rozsah provozních a lokalizačních údajů, dobu jejich uchovávání a formu a způsob jejich předávání orgánům oprávněným k jejich využívání pak podle napadeného ustanovení § 97 odst. 4 má vymezovat prováděcí právní předpis, kterým je napadená vyhláška č. 485/2005 Sb.
43. Konkrétně u služeb pevných telefonních linek a mobilní komunikace jsou provozovatelé povinni shromažďovat prakticky všechny dostupné údaje o uskutečněných hovorech i (pokud jsou zaznamenávány) o jejich neúspěšných pokusech (typicky „prozvánění“). Jedná se zejména o údaje o typu uskutečněné komunikace, o telefonních číslech volajícího a volaného, o datu a času zahájení a ukončení komunikace, označení základové stanice, která zajišťovala hovor v okamžiku spojení, identifikaci předplacené telefonní karty, veřejného telefonního automatu, u mobilní komunikace navíc data o jednoznačném kódu používaného k identifikaci každého mobilního telefonu, který je používán v rámci GSM sítě (IMEI), o jeho poloze a pohybu, a to i pokud komunikace neprobíhá (stačí zapnutý mobilní telefon), čísla dobíjecích kuponů a jejich přiřazení k dobíjenému číslu, vazbu mezi mobilním přístrojem a všemi vloženými SIM kartami aj. Ještě větší objem a rozsah dat a údajů, které dle napadené právní úpravy musí být uchovávány, se vztahují k tzv. veřejným sítím fungujícím na principu přepojování paketů a jejich služeb, nejtypičtěji internetu. V případě jeho použití je napadenou právní úpravou vyžadováno uchovávání údajů zejména o přístupu k síti (např. čas, místo a délka připojení, údaje o uživatelích a jejich uživatelských účtech, identifikátor počítače i serveru, k němuž bylo přistupováno, IP adresa, úplné doménové jméno, objem přenesených dat aj.), dále údaje vztahující se k přístupu ke schránkám elektronické pošty a přenosu zpráv elektronické pošty (v tomto případě jsou uchovávány prakticky veškeré údaje kromě obsahu samotných zpráv, tj. včetně identifikace adres, objemu přenesených dat aj.), a v neposlední řadě i údaje o serverových a ostatních službách [např. zadané URL adresy, druh požadavku, údaje o použití chatu, usenetu, instant messagingu (např. ICQ) a IP telefonie, a to včetně identifikace komunikujících stran, doby a použité služby (např. přenos souborů či transakce)]. Nad rámec předmětné Směrnice o data retention se u internetového připojení a služeb a e-mailové komunikace sleduje a uchovává množství přenesených dat, informace o použití šifrování, metoda a status požadavků na službu a její realizace a rovněž i informace o posílání SMS z internetových bran a další „zájmové identifikátory“. U telefonie nad rámec Směrnice o data retention napadená právní úprava vyžaduje uchovávat údaje o identifikaci předplacené telefonní karty, veřejného telefonního automatu, číslech dobíjecích kuponů a jejich přiřazení k dobíjenému číslu, vazbách mezi mobilním přístrojem a vloženými SIM kartami.
44. Ačkoliv se stanovená povinnost uchovávat provozní a lokalizační údaje nevztahuje na obsahy jednotlivých sdělení (viz čl. 1 odst. 2 Směrnice o data retention a napadené ustanovení § 97 odst. 3 věty čtvrté), z uvedených údajů o uživatelích, adresátech, přesných časech, datech, místech a formách telekomunikačních spojení, budou-li sledovány po delší časový úsek, lze v jejich kombinaci sestavit detailní informace o společenské nebo politické příslušnosti, jakož i o osobních zálibách, sklonech nebo slabostech jednotlivých osob. Ve výše rekapitulovaném vyjádření Senátu předestřený názor předkladatele návrhu zákona, že se „v žádném případě nejedná o něco, co by se dalo přirovnat k odposlechům, už jen proto, že se neuchovávají obsahy jednotlivých telefonátů nebo mailových zpráv“, je zcela mylný, neboť i pouze na jejich základě lze učinit dostatečné obsahové závěry spadající do soukromé (osobnostní) sféry daného jednotlivce. Z uvedených údajů lze až s 90% jistotou např. dovodit, s kým, jak často a dokonce v jakých hodinách se daný jednotlivec stýká, kdo jsou jeho nejbližší známí, kamarádi či kolegové z práce, anebo jaké aktivity a v jakých hodinách provozuje [srov. studii Massachusetts Institute of Technology (MIT), Relationship Inference, dostupnou na http://reality.media.mit.edu/dyads.php]. Sběr a uchovávání lokalizačních a provozních údajů tak rovněž představuje významný zásah do práva na soukromí, a z toho důvodu je nezbytné pod rozsah ochrany základního práva na respekt k soukromému životu v podobě práva na informační sebeurčení (ve smyslu čl. 10 odst. 3 a čl. 13 Listiny) zahrnout nejen ochranu vlastního obsahu zpráv podávaných prostřednictvím telefonní komunikace či komunikace prostřednictvím tzv. veřejných sítí, ale i provozní a lokalizační údaje o nich.
VIII. B) Posouzení napadené právní úpravy z hlediska ústavněprávních požadavků
45. Ústavní soud tak musel posoudit, zda napadená právní úprava, jíž je regulována problematika plošného a preventivního sběru a uchovávání stanovených provozních a lokalizačních údajů o elektronické komunikaci (tzv. data retention), odpovídá výše předestřeným ústavněprávním požadavkům na právní úpravu umožňující zásah do základních práv jednotlivců na soukromí v podobě práva na informační sebeurčení (ve smyslu čl. 10 odst. 3 a čl. 13 Listiny). Navíc s ohledem na intenzitu takového zásahu, která je v daném případě zvýrazněna tím, že se dotýká obrovského a nepředvídatelného počtu účastníků komunikace, neboť se jedná o plošný a preventivní sběr a uchovávání předmětných údajů, bylo nutné na splnění uvedených požadavků klást co nejpřísnější měřítka. Ústavní soud přitom dospěl k závěru, že napadená právní úprava výše předestřeným ústavněprávním požadavkům zdaleka neodpovídá, a to hned z několika důvodů.
46. Napadené ustanovení § 97 odst. 3 věty třetí zákona o elektronických komunikacích obsahuje pouze vágní a zcela neurčité stanovení povinnosti právnickým nebo fyzickým osobám, které ve výše uvedeném rozsahu provozní a lokalizační údaje uchovávají, „na požádání je bezodkladně poskytnout orgánům oprávněným k jejich vyžádání podle zvláštního právního předpisu.“. Ačkoliv napadená vyhláška v § 3 konkretizuje, jakým způsobem dochází v jednotlivých případech ke splnění této povinnosti vůči oprávněným orgánům, tj. relativně velmi podrobně vymezuje způsob předávání údajů, způsob komunikace (elektronicky), formát, užívané programy, kódy atd., přesto ze samotného znění napadeného ustanovení § 97 odst. 3 zákona o elektronických komunikacích, ba ani z důvodové zprávy dle názoru Ústavního soudu zřetelně nevyplývá, o jaké oprávněné orgány a o jaké zvláštní právní předpisy se konkrétně jedná. S ohledem na znění ustanovení § 97 odst. 1 zákona o elektronických komunikacích, jež právnickým nebo fyzickým osobám zajišťujícím veřejnou komunikační síť nebo poskytujícím veřejně dostupnou službu elektronických komunikací stanovuje povinnost na náklady žadatele zřídit a zabezpečit v určených bodech své sítě rozhraní pro připojení koncového telekomunikačního zařízení pro odposlech a záznam zpráv, lze jen předpokládat, že se i v případě povinnosti předávat uchovávané provozní a lokalizační údaje jedná o stejné oprávněné orgány a o podobné zvláštní právní předpisy, jejichž adresátem jsou orgány činné v trestním řízení, patrně podle § 88a trestního řádu, Bezpečnostní informační služba podle § 6 až 8a zákona č. 154/1994 Sb., o Bezpečnostní informační službě, ve znění pozdějších předpisů, a Vojenské zpravodajství podle § 9 a 10 zákona č. 289/2005 Sb., o Vojenském zpravodajství. Takto vymezená právní úprava umožňující masivní zásah do základních práv nesplňuje požadavky kladené na určitost a jasnost z pohledu právního státu (viz bod 37).
47. Stejně tak není zcela jasně a přesně vymezen účel, za jakým jsou provozní a lokalizační údaje oprávněným orgánům poskytovány, což znemožňuje posouzení napadené úpravy z hlediska její skutečné potřebnosti (když je jistě způsobilá naplnit účel, resp. je schopná dosáhnout cíle stanoveného Směrnicí - viz dále). Zatímco citovaná Směrnice o data retention v čl. 1 odst. 1 zřetelně vymezuje, že byla přijata za účelem harmonizace předpisů členských států, které se týkají povinností poskytovatelů veřejně dostupných služeb elektronických komunikací nebo veřejných komunikačních sítí, pokud jde o uchovávání provozních a lokalizačních údajů, které jsou nezbytné k identifikaci účastníka či registrovaného uživatele, s cílem „zajistit dostupnost těchto údajů pro účely vyšetřování, odhalování a stíhání závažných trestných činů,“ (byť blíže nedefinuje, o jaké trestné činy se jedná), neobsahuje napadená právní úprava, a dokonce ani citované ustanovení § 88a odst. 1 trestního řádu upravující podmínky použití uchovávaných údajů pro účely trestního řízení, žádné takové omezení. Možnost použití uchovávaných údajů v trestním řízení tak dle předmětné právní úpravy není zákonodárcem nijak vázána na důvodné podezření ze spáchání závažného trestného činu, stejně jako není upravena povinnost orgánů činných v trestním řízení o této skutečnosti dotčenou (sledovanou) osobu, byť i následně informovat, čímž nesplňuje nároky vyplývající z druhého kroku testu proporcionality, tj. potřebnosti při výběru prostředků, neboť z uvedeného je zřejmé, že nebyl použit ten prostředek, který je k základnímu právu na informační sebeurčení osob nejšetrnější.
48. Uvedený způsob (ne)vymezení spektra oprávněných orgánů veřejné moci, jakož i (ne)vymezení účelu, pro který jsou uchovávané údaje oprávněny požadovat, Ústavní soud nepovažuje za dostatečný a předvídatelný. Ačkoliv podle citovaného ustanovení § 88a odst. 1 trestního řádu použití uchovávaných údajů podléhá soudní kontrole, a to v podobě vydání povolení ze strany předsedy senátu (a v přípravném řízení soudce), bylo primárně povinností zákonodárce, aby v napadených ustanoveních anebo v citovaném ustanovení § 88a odst. 1 trestního řádu namísto zcela neurčitého vymezení podmínky použití uchovávaných údajů „o uskutečněném telekomunikačním provozu“ za účelem „objasnění skutečností důležitých pro trestní řízení“ zřetelněji a jednoznačněji stanovil jak předpoklady a podmínky pro jejich použití, tak i rozsah jejich použití. Zejména je nezbytné, aby s ohledem na závažnost a míru zásahu do základního práva jednotlivců na soukromí v podobě práva na informační sebeurčení (ve smyslu čl. 10 odst. 3 a čl. 13 Listiny), jež použití uchovávaných údajů představuje, zákonodárce omezil možnost použití uchovávaných údajů jen pro účely trestních řízení vedených pro zvlášť závažné trestné činy a jen pro případ, že nelze sledovaného účelu dosáhnout jinak. Tak to ostatně předpokládá nejen citovaná Směrnice o data retention, ale i ustanovení § 88 odst. 1 trestního řádu upravující podmínky pro nařízení odposlechu a záznamu telekomunikačního provozu („je-li vedeno trestní řízení pro zvlášť závažný trestný čin“), od níž se zmíněná právní úprava ustanovení § 88a trestního řádu jako celek (navzdory právním názorům Ústavního soudu obsaženým v citovaných nálezech sp. zn. II. ÚS 502/2000 či sp. zn. IV. ÚS 78/01 - oba viz výše) zcela bezdůvodně odchyluje a normuje úpravu, která je ve zřetelném rozporu s názory Ústavního soudu.
49. Absence řádné, ve smyslu ústavně konformní, právní úpravy, jak ostatně vyplývá ze statistických údajů, má v praxi za následek, že nástroj v podobě vyžádání si a použití uchovávaných údajů (včetně údajů o neuskutečněných hovorech, na které trestní řád vůbec nepamatuje) je orgány činnými v trestním řízení využíván (nadužíván) pro účely vyšetřování i běžné, tj. méně závažné trestné činnosti. Tak např. dle „zprávy o bezpečnostní situaci v ČR za období roku 2008“ bylo na území České republiky zjištěno celkem 343 799 trestných činů, z toho bylo objasněno 127 906 trestných činů, přičemž ve stejném období počet žádostí o poskytnutí provozních a lokalizačních údajů ze strany oprávněných orgánů veřejné moci dosáhl čísla 131 560 (srov. k tomu zprávu Komise EU - „The Evaluation of Directive 2006/24/EC and National Measures to Combat criminal Misuse and Anonymous Use of Electronic Data“, která si oficiální údaje od české strany vyžádala, přičemž reakce zástupců České republiky na otázky v dotazníku ze dne 30. 9. 2009 jsou dostupné na http://www.dataretention2010.net/docs.jsp). Následně, a to jen za období od ledna do října 2009 byla dle neoficiálních údajů žádost o poskytnutí lokalizačních a provozních údajů učiněna již ve 121 839 případech (srov. k tomu Herczeg, J.: Ústavněprávní limity monitoringu telekomunikačního provozu: konflikt mezi bezpečností a svobodou, Bulletin advokacie č. 5/2010, s. 29).
50. Navrhovateli napadená právní úprava dle názoru Ústavního soudu rovněž zcela nedostatečně, příp. vůbec nestanovuje jasná a detailní pravidla obsahující minimální požadavky na zabezpečení uchovávaných údajů, zejména v podobě zamezení přístupu třetích osob, stanovení procedury vedoucí k ochraně celistvosti a důvěrnosti údajů a procedury jejich ničení. Dále je třeba napadené úpravě vytknout, že dotčení jednotlivci nedisponují dostatečnými zárukami proti riziku zneužití údajů a svévole. Nezbytnost disponovat takovými zárukami se přitom v posuzovaném případě plošného a preventivního sběru a uchovávání údajů v rámci elektronické komunikace stává pro jednotlivce naléhavější právě v dnešní době, kdy díky enormnímu rozvoji a výskytu nových a komplikovanějších informačních technologií, systémů a komunikačních prostředků nevyhnutelně dochází k plynulému posunu hranice mezi privátním a veřejným prostorem, a to ve prospěch veřejné sféry, neboť ve virtuálním prostoru informačních technologií a elektronické komunikace (v tzv. kyberprostoru) jsou, zejména díky rozvoji internetu a mobilní komunikace, každou minutou zaznamenávány, shromažďovány a fakticky zpřístupněny tisíce, ba miliony dat, údajů a informací, které zasahují i do soukromé (osobnostní) sféry každého jednotlivce, ačkoliv on sám do ní vědomě nikoho vpustit nechtěl.
51. Ústavní soud za dostatečně jasné, podrobné a adekvátní záruky v žádném případě nepovažuje pouhé zakotvení povinnosti uložené právnickým nebo fyzickým osobám zajistit, „aby s vymezenými uchovávanými údaji nebyl uchováván i obsah zpráv“ (§ 97 odst. 3 věta čtvrtá), resp. povinnosti je „po uplynutí doby zlikvidovat, pokud nebyly poskytnuty orgánům oprávněným k jejich vyžádání podle zvláštního právního předpisu nebo tento zákon nestanoví jinak (§ 90)“ (§ 97 odst. 3 věta šestá). Za nejednoznačné a vzhledem k rozsahu a citlivosti uchovávaných údajů za zcela nedostačující lze již označit vymezení samotné doby jejich uložení, a to v rozmezí „ne kratší než 6 měsíců a delší než 12 měsíců“, od jejíhož uplynutí se odvíjí povinnost uvedené údaje zlikvidovat. U žádné z uvedených povinností nejsou nijak detailněji popsána pravidla a konkrétní postupy jejich plnění, nejsou striktně vymezeny požadavky na zabezpečení uchovávaných údajů, není dostatečně seznatelné, jak je s uvedenými údaji nakládáno, ať už samotnými právnickými nebo fyzickými osobami, které provozní a lokalizační údaje uchovávají, anebo po jejich vyžádání oprávněnými orgány veřejné moci, stejně jako není konkrétně stanoven způsob jejich likvidace. Rovněž není nijak definována odpovědnost a případné sankce za nesplnění takových povinností, včetně absence zakotvení možnosti dotčených jednotlivců domáhat se efektivní ochrany proti případnému zneužití, svévoli či nesplnění stanovených povinností. Zákonem o elektronických komunikacích (§ 87 a násl.) předvídaný dozor Úřadu pro ochranu osobních údajů „nad dodržováním povinností při zpracování osobních údajů“ a vymezené nástroje jeho činnosti a kontroly nelze považovat za adekvátní a efektivní prostředek k ochraně základních práv dotčených jednotlivců, neboť tento nástroj neovládají sami [viz přiměřeně nález sp. zn. Pl. ÚS 15/01 ze dne 31. 10. 2001 (N 164/24 SbNU 201; 424/2001 Sb.)]. Uvedené úkony, představující očividný zásah do základního práva jednotlivců na soukromí v podobě práva na informační sebeurčení (ve smyslu čl. 10 odst. 3 a čl. 13 Listiny), se tak vlivem nedostatečné a shora uvedeným ústavněprávním požadavkům neodpovídající právní úpravy ocitají mimo jakoukoliv bezprostřední, byť i následnou kontrolu, zejména pak kontrolu soudní, k jejíž nezbytnosti se vyjádřil i ESLP v citovaném rozhodnutí Camenzind v. Švýcarsko.
52. K obdobným závěrům dospěly i ústavní soudy v jiných evropských státech, které rovněž přezkoumávaly ústavnost právní úpravy implementující citovanou Směrnici o data retention. Např. Spolkový ústavní soud SRN v rozhodnutí ze dne 2. března 2010, 1 BvR 256/08, 1 BvR 263/08, 1 BvR 586/08, napadenou právní úpravu regulující problematiku preventivního uchovávání dat (Vorratsdatenspeicherung) (ve smyslu § 113a, 113b Telekommunikationsgesetz) a jejich užití v rámci trestního řízení (ve smyslu § 100g odst. 1 Strafprozessordnung) shledal protiústavní pro rozpor s čl. 10 odst. 1 Základního zákona, jenž garantuje nedotknutelnost listovního, poštovního a telekomunikačního tajemství. Spolkový ústavní soud SRN konstatoval, že napadená právní úprava neodpovídá požadavkům plynoucím ze zásady proporcionality, která mj. vyžaduje, aby zákonná úprava ukládání dat odpovídala zvláštní závažnosti tohoto zásahu do základních práv jednotlivců. Konkrétně, napadená právní úprava dostačujícím způsobem nevymezovala účel použití těchto dat, nezaručovala jejich dostatečné zabezpečení a v neposlední řadě jednotlivci dostatečně negarantovala adekvátní a efektivní záruky proti riziku zneužití, zejména v podobě soudní kontroly. Ke splnění těchto požadavků byl podle čl. 73 odst. 1 bodu 7 Základního zákona povolán spolkový zákonodárce. K obdobným závěrům dospěl i rumunský Ústavní soud v rozhodnutí ze dne 8. 10. 2009 (č. 1258), který tamní právní úpravu označil za protiústavní, neboť dostatečně nevymezovala účel použití takového nástroje, její znění bylo příliš vágní, aniž by blíže vymezovala pravomoci a povinnosti oprávněných orgánů veřejné moci, a dotčeným jednotlivcům neposkytovala, díky absenci soudní kontroly, dostatečné záruky proti zneužití (rozhodnutí v neoficiálním anglickém překladu dostupné na http://www.legi-internet.ro/english/jurisprudenta-it-romania/decizii-it/romanian constitutional-court-decision-regarding-data-retention.html), dále bulharský Nejvyšší správní soud v rozhodnutí ze dne 11. 12. 2008 (informace dostupné na http://www.edri.org/edri-gram/number6.24/bulgarian-administrative-case-data-retention) a také Nejvyšší soud Kypru v rozhodnutí ze dne 1. 2. 2011 (informace na http://www.edri.org/edrigram/number9.3/data-retention-un-lawful-cyprus). Právní úprava implementující citovanou Směrnici o data retention je dle zjištění Ústavního soudu v současné době nadto přezkoumávána i v Polsku či v Maďarsku. Nutnost zajištění co nejpřísnějších záruk a nástrojů k ochraně základních práv jednotlivců při nakládání s jejich osobními údaji z elektronické komunikace zdůraznil i Evropský soudní dvůr ve svém rozhodnutí v řízení o předběžné otázce ze dne 9. 11. 2010 ve spojených věcech Volker und Markus Schecke GbR GbR a Hartmut Eifert v. Land Hessen (C-92/09 a C-93/09).
53. S ohledem na výše uvedené Ústavní soud konstatuje, že napadená ustanovení § 97 odst. 3 a 4 zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů, a napadenou vyhlášku č. 485/2005 Sb., o rozsahu provozních a lokalizačních údajů, době jejich uchovávání a formě a způsobu jejich předávání orgánům oprávněným k jejich využívání, nelze považovat za ústavně konformní, neboť zřetelně porušují výše vyložené ústavněprávní limity, neboť nesplňují požadavky plynoucí z principu právního státu a jsou v kolizi s požadavky na omezení základního práva na soukromí v podobě práva na informační sebeurčení ve smyslu čl. 10 odst. 3 a čl. 13 Listiny, které plynou z principu proporcionality.
54. Nad rámec uvedeného považuje Ústavní soud za nutné zdůraznit, že uvedené nedostatky, které jej vedly k derogaci napadené právní úpravy, nejsou respektovány ani zvláštními právními předpisy, s nimiž napadené ustanovení § 97 odst. 3 zákona o elektronických komunikacích nepřímo počítá. Zejména pak citované ustanovení § 88a trestního řádu upravující podmínky použití uchovávaných údajů o uskutečněném telekomunikačním provozu pro účely trestního řízení dle názoru Ústavního soudu výše předestřené ústavněprávní limity a požadavky zdaleka nerespektuje, a z toho důvodu se Ústavnímu soudu jeví rovněž protiústavním. Nicméně vzhledem ke skutečnosti, že navrhovateli nebylo v návrhu napadeno, Ústavní soud považuje za nezbytné apelovat na zákonodárce, aby v důsledku derogace napadené právní úpravy zvážil i změnu citovaného ustanovení § 88a trestního řádu tak, aby se stalo ústavně konformním.
55. Pouze toliko ve formě obiter dicta Ústavní soud konstatuje, že si je samozřejmě vědom skutečnosti, že ruku v ruce s rozvojem moderních informačních technologií a komunikačních prostředků dochází i k výskytu nových a sofistikovanějších způsobů páchání trestné činnosti, kterým je nutné čelit. Nicméně Ústavní soud vyjadřuje pochybnosti nad tím, zda samotný nástroj plošného a preventivního uchovávání provozních a lokalizačních údajů téměř o veškeré elektronické komunikaci je z hlediska intenzity zásahu do soukromé sféry nepřeberného množství účastníků elektronické komunikace nástrojem nezbytným a přiměřeným. Tento názor není v evropském prostoru zdaleka ojedinělým, neboť samotná Směrnice o data retention od samého počátku své existence čelila obrovské vlně kritiky jednak ze strany členských států (např. vlády Irska, Nizozemí, Rakouska či Švédska dlouho otálely či stále ještě vyčkávají s její implementací, přičemž dvě posledně jmenované země tak činí i přes Komisí veřejně avizovanou hrozbu zahájení řízení před Evropským soudním dvorem), jednak ze strany zákonodárců v Evropském parlamentu, Evropského inspektora ochrany údajů (viz závěry z konference k problematice data retention pořádané Komisí dne 3. 12. 2010 v Bruselu, viz http://www.dataretention2010.net/docs.jsp) či Pracovní skupiny pro ochranu dat zřízené podle čl. 29 Směrnice 95/46/ES (srov. její stanoviska, která jsou dostupná na adrese http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm), anebo ze strany nevládních organizací (mimo jiné Statewatch, European Digital Rights či Arbeitskreis Vorratsdatenspeicherung - AK Vorrat). Všichni výše uvedení se domáhali buď úplného zrušení předmětné Směrnice o data retention a nahrazení nástroje plošného a preventivního uchovávání provozních a lokalizačních údajů jinými, více přiměřenými nástroji (např. tzv. data freezing, jež za splnění stanovených podmínek umožňuje sledování a uchovávání potřebných a vybraných údajů pouze u konkrétního, předem určeného účastníka komunikace), anebo se domáhali její změny, zejména v podobě poskytnutí dostatečných záruk a prostředků ochrany dotčeným jednotlivcům a zpřísnění požadavků na bezpečnost uchovávaných údajů před hrozbou jejich úniků a zneužití ze strany třetích osob.
56. K pochybnostem Ústavní soud dospěl i při zkoumání toho, zda nástroj plošného a preventivního uchovávání provozních a lokalizačních údajů je z pohledu jeho původního účelu (ochrana před bezpečnostními hrozbami a prevence před pácháním zvlášť závažné trestné činnosti) nástrojem efektivním, a to zejména při existenci tzv. anonymních SIM karet, které se vymykají z napadenou právní úpravou předvídaného rozsahu uchovávaných provozních a lokalizačních údajů a které jsou dle vyjádření Policie České republiky až ze 70 % využívány ke komunikaci při páchání trestné činnosti (srov. „Česká policie chce zakázat anonymní předplacené karty, operátoři se brání“, iDNES.cz, 18. 3. 2010). V této souvislosti lze odkázat na analýzu Spolkového úřadu vyšetřování SRN (Bundeskriminalamt) ze dne 26. 1. 2011, který na základě porovnání statistických údajů o spáchané závažné trestné činnosti na území SRN za období před a po přijetí předmětné právní úpravy k data retention dospěl k závěru, že použití nástroje plošného a preventivního uchovávání provozních a lokalizačních údajů nemělo téměř žádný vliv na snížení počtu spáchaných závažných trestných činů ani na míru jejich objasňování (samotná analýza a konkrétní statistické údaje jsou dostupné na http://www.vorratsdatenspeicherung.de/content/view/426/79/lang,de/). Obdobné závěry lze přitom učinit i při zběžném pohledu na statistické přehledy kriminality na území České republiky zveřejňované Policií České republiky, např. srovnání statistických údajů za období let 2008 až 2010 (dostupné na http://www.policie.cz/clanek/statisticke-prehledy-kriminality-650295.aspx).
57. V neposlední řadě považuje Ústavní soud za nutné vyjádřit pochybnosti i nad tím, zda je vůbec žádoucí, aby soukromé osoby (poskytovatelé služeb v oblasti internetu a telefonní a mobilní komunikace, zejm. mobilní operátoři a obchodní společnosti zajišťující připojení k internetu) byly nadány oprávněním uchovávat veškeré údaje o jimi poskytované komunikaci i o zákaznících, jimž jsou jejich služby poskytovány (tzn. údaje jdoucí i nad rozsah údajů, jež jsou dle napadené právní úpravy povinny uchovávat), a volně s nimi za účelem vymáhání pohledávek, rozvoje obchodní činnosti a marketingu disponovaly. Tato skutečnost se Ústavnímu soudu jeví jako nežádoucí zejména z toho důvodu, že v zákoně o elektronických komunikacích ani v jiných právních předpisech není toto oprávnění a jeho účel blíže a podrobněji regulován, nejsou striktně vymezena práva a povinnosti, rozsah uchovávaných údajů, doba a způsob uchovávání, stejně jako nejsou blíže konkretizovány požadavky na jejich zabezpečení a kontrolní mechanismy.
58. S ohledem na výše uvedené proto Ústavní soud rozhodl podle § 70 odst. 1 zákona o Ústavním soudu o zrušení napadených ustanovení § 97 odst. 3 a 4 zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů, a napadené vyhlášky č. 485/2005 Sb., o rozsahu provozních a lokalizačních údajů, době jejich uchovávání a formě a způsobu jejich předávání orgánům oprávněným k jejich využívání, dnem vyhlášení tohoto nálezu ve Sbírce zákonů (§ 58 odst. 1 zákona o Ústavním soudu).
59. Použitelnost již vyžádaných údajů pro účely trestního řízení bude třeba zkoumat ze strany obecných soudů z hlediska proporcionality zásahu do práva na soukromí v každém jednotlivém individuálním případu. Soudy budou muset především vážit závažnost trestného činu, který měl být naplněn skutkem, pro nějž je vedeno trestní řízení, ve kterém mají být vyžádané údaje využity.