62017CJ0623_RES
Zaak C‑623/17
Privacy International
tegen
Secretary of State for Foreign and Commonwealth Affairs e.a.
[verzoek van de Investigatory Powers Tribunal (rechter die toezicht uitoefent op de onderzoeksbevoegdheden van de overheid, Verenigd Koninkrijk) om een prejudiciële beslissing]
Arrest van het Hof (Grote kamer) van 6 oktober 2020
„Prejudiciële verwijzing – Verwerking van persoonsgegevens in de sector elektronische communicatie – Aanbieders van elektronischecommunicatiediensten – Algemene en ongedifferentieerde doorzending van verkeers‑ en locatiegegevens – Bescherming van de nationale veiligheid – Richtlijn 2002/58/EG – Werkingssfeer – Artikel 1, lid 3, en artikel 3 – Vertrouwelijk karakter van elektronische communicatie – Bescherming – Artikel 5 en artikel 15, lid 1 – Handvest van de grondrechten van de Europese Unie – Artikelen 7, 8 en 11 en artikel 52, lid 1 – Artikel 4, lid 2, VEU”
Harmonisatie van wetgevingen – Telecommunicatiesector – Verwerking van persoonsgegevens en bescherming van het privéleven in de sector elektronische communicatie – Richtlijn 2002/58 – Werkingssfeer – Nationale regeling waarbij aan aanbieders van elektronischecommunicatiediensten een verplichting tot doorzending van verkeers‑ en locatiegegevens aan de veiligheids‑ en inlichtingendiensten wordt opgelegd – Doelstelling van bescherming van de nationale veiligheid – Daaronder begrepen
(Art. 4, lid 2, VEU; richtlijn 2002/58 van het Europees Parlement en de Raad, zoals gewijzigd bij richtlijn 2009/136, art.1, leden 1 en 3, 3 en 15, lid 1)
(zie punten 35‑39, 41‑44, 46, 48, 49, dictum 1)
Harmonisatie van wetgevingen – Telecommunicatiesector – Verwerking van persoonsgegevens en bescherming van het privéleven in de sector elektronische communicatie – Richtlijn 2002/58 – Mogelijkheid voor de lidstaten om de omvang van bepaalde rechten en plichten te beperken – Nationale regeling waarbij aan aanbieders van elektronischecommunicatiediensten een verplichting tot algemene en ongedifferentieerde doorzending van verkeers‑ en locatiegegevens aan de veiligheids‑ en inlichtingendiensten wordt opgelegd – Doelstelling van bescherming van de nationale veiligheid – Ontoelaatbaarheid
(Art. 4, lid 2, VEU; Handvest van de grondrechten van de Europese Unie, art. 7, 8, 11 en 52, lid 1; richtlijn 2002/58 van het Europees Parlement en de Raad, zoals gewijzigd bij richtlijn 2009/136, art. 5, lid 1, en 15, lid1)
(zie punten 55‑62, 65‑82, dictum 2)
Samenvatting
Het Hof van Justitie bevestigt dat het Unierecht zich verzet tegen een nationale regeling waarbij ten behoeve van de bestrijding van criminaliteit in het algemeen of ten behoeve van de bescherming van de nationale veiligheid aan een aanbieder van elektronischecommunicatiediensten een verplichting tot algemene en ongedifferentieerde doorzending of bewaring van verkeers‑ en locatiegegevens wordt opgelegd
In situaties waarin een lidstaat wordt geconfronteerd met een werkelijke en actuele of voorzienbare bedreiging van de nationale veiligheid, mag die lidstaat daarentegen afwijken van de verplichting om de vertrouwelijkheid van de met elektronische communicatie verband houdende gegevens te waarborgen, door via wettelijke maatregelen een verplichting tot algemene en ongedifferentieerde bewaring van die gegevens op te leggen voor een periode die niet langer is dan strikt noodzakelijk, maar die kan worden verlengd indien de bedreiging voortduurt. Met het oog op de bestrijding van zware criminaliteit en ter voorkoming van ernstige bedreigingen van de nationale veiligheid mag een lidstaat ook wettelijke maatregelen vaststellen die voorzien in gerichte bewaring of spoedbewaring van genoemde gegevens. Een dergelijke inmenging in de grondrechten moet gepaard gaan met effectieve waarborgen en worden getoetst door een rechter of een onafhankelijke bestuurlijke autoriteit. Zo ook mag een lidstaat wettelijke maatregelen vaststellen die voorzien in algemene en ongedifferentieerde bewaring van de IP‑adressen die zijn toegewezen aan de bron van een verbinding, mits de bewaartermijn wordt beperkt tot wat strikt noodzakelijk is, dan wel in algemene en ongedifferentieerde bewaring van de gegevens inzake de burgerlijke identiteit van de gebruikers van elektronischecommunicatiemiddelen, in welk geval geen maximumbewaartermijn hoeft te worden vastgesteld
In de afgelopen jaren heeft het Hof zich in verschillende arresten uitgesproken over de bewaring van en de toegang tot persoonsgegevens in de sector elektronische communicatie. (
1
) De daaruit voortvloeiende rechtspraak, in het bijzonder het arrest Tele2 Sverige en Watson e.a., waarin het Hof met name heeft geoordeeld dat de lidstaten aan aanbieders van elektronischecommunicatiediensten geen verplichting tot algemene en ongedifferentieerde bewaring van verkeers‑ en locatiegegevens mogen opleggen, heeft geleid tot bezorgdheid bij bepaalde staten, die vrezen dat hun een instrument is ontnomen dat zij noodzakelijk achten om de nationale veiligheid te waarborgen en criminaliteit te bestrijden.
Tegen deze achtergrond zijn bij de Investigatory Powers Tribunal (rechter die toezicht uitoefent op de onderzoeksbevoegdheden van de overheid, Verenigd Koninkrijk) (Privacy International, C‑623/17), de Conseil d’État (hoogste bestuursrechter, Frankrijk) (La Quadrature du Net e.a., gevoegde zaken C‑511/18 en C‑512/18) en het Grondwettelijk Hof (België) (Ordre des barreaux francophones et germanophone e.a., C‑520/18) gedingen aanhangig gemaakt over de rechtmatigheid van door bepaalde lidstaten op die terreinen vastgestelde regelingen die met name voorzien in een verplichting voor aanbieders van elektronischecommunicatiediensten om verkeers‑ en locatiegegevens van gebruikers door te zenden aan een overheidsinstantie of om deze gegevens algemeen en ongedifferentieerd te bewaren.
In twee door de Grote kamer gewezen arresten van 6 oktober 2020 oordeelt het Hof om te beginnen dat de richtlijn „privacy en elektronische communicatie” van toepassing is op nationale regelingen die ten behoeve van de bescherming van de nationale veiligheid en de bestrijding van criminaliteit aan aanbieders van elektronischecommunicatiediensten een verplichting tot verwerking van persoonsgegevens opleggen, zoals een verplichting tot bewaring van dergelijke gegevens of een verplichting tot doorgifte ervan aan overheidsinstanties. Na zijn in het arrest Tele2 Sverige en Watson e.a. ontwikkelde rechtspraak over het onevenredige karakter van een algemene en ongedifferentieerde bewaring van verkeers‑ en locatiegegevens te hebben bevestigd, geeft het Hof nadere toelichting bij met name de omvang van de bevoegdheden die de richtlijn „privacy en elektronische communicatie” de lidstaten toekent op het gebied van de bewaring van dergelijke gegevens voor de genoemde doeleinden.
Het Hof neemt om te beginnen de twijfels weg die in het kader van de onderhavige zaken zijn geuit met betrekking tot de toepasselijkheid van de richtlijn „privacy en elektronische communicatie”. Verschillende lidstaten die schriftelijke opmerkingen hebben ingediend bij het Hof, hebben namelijk een afwijkend standpunt ingenomen dienaangaande. Zij hebben met name betoogd dat deze richtlijn niet van toepassing is op de aan de orde zijnde nationale regelingen, aangezien die regelingen tot doel hebben de nationale veiligheid te waarborgen, die onder hun exclusieve bevoegdheid valt, zoals met name uit artikel 4, lid 2, derde zin, VEU volgt. Het Hof is evenwel van oordeel dat nationale regelingen waarbij ten behoeve van de bescherming van de nationale veiligheid aan aanbieders van elektronischecommunicatiediensten een verplichting tot bewaring van verkeers‑ en locatiegegevens dan wel een verplichting tot doorgifte van die gegevens aan de veiligheids‑ en inlichtingendiensten wordt opgelegd, binnen de werkingssfeer van de richtlijn vallen.
Vervolgens brengt het Hof in herinnering dat de richtlijn „privacy en elektronische communicatie” (
2
) niet toestaat dat de uitzondering op de principeverplichting om de vertrouwelijkheid van elektronische communicatie en van de daarmee verband houdende gegevens te waarborgen, en op het verbod om deze gegevens op te slaan, de regel wordt. Dit impliceert dat deze richtlijn de lidstaten slechts toestaat om, onder meer ten behoeve van de nationale veiligheid, wettelijke maatregelen te treffen ter beperking van de omvang van de erin bedoelde rechten en plichten, met name de verplichting om de vertrouwelijkheid van elektronische communicatie en van de daarmee verband houdende gegevens te waarborgen (
3
), voor zover deze maatregelen in overeenstemming zijn met de algemene beginselen van het Unierecht, waaronder het evenredigheidsbeginsel, en met de door het Handvest gewaarborgde grondrechten (
4
).
In dit verband komt het Hof in de zaak Privacy International tot het oordeel dat de richtlijn „privacy en elektronische communicatie”, gelezen in het licht van het Handvest, zich verzet tegen een nationale regeling waarbij ten behoeve van de bescherming van de nationale veiligheid aan aanbieders van elektronischecommunicatiediensten een verplichting tot algemene en ongedifferentieerde doorzending van verkeers‑ en locatiegegevens aan de veiligheids‑ en inlichtingendiensten wordt opgelegd. In de gevoegde zaken La Quadrature du Net e.a. en in de zaak Ordre des barreaux francophones et germanophone e.a. oordeelt het Hof dat diezelfde richtlijn zich verzet tegen wettelijke maatregelen waarbij aan aanbieders van elektronischecommunicatiediensten preventief een verplichting tot algemene en ongedifferentieerde bewaring van verkeers‑ en locatiegegevens wordt opgelegd. Die verplichtingen tot doorzending en tot algemene en ongedifferentieerde bewaring van dergelijke gegevens vormen namelijk bijzonder ernstige inmengingen in de door het Handvest gewaarborgde grondrechten, zonder dat het gedrag van de personen van wie de gegevens aan de orde zijn, een verband vertoont met de doelstelling die door de betrokken regeling wordt nagestreefd. Het Hof geeft een vergelijkbare uitlegging aan artikel 23, lid 1, van de algemene verordening gegevensbescherming (
5
), gelezen in het licht van het Handvest, dat zich naar zijn oordeel verzet tegen een nationale regeling waarbij aan aanbieders die het publiek online toegang verlenen tot communicatiediensten en aanbieders van opslagdiensten een verplichting tot algemene en ongedifferentieerde bewaring van met name de met die diensten verband houdende persoonsgegevens wordt opgelegd.
Het Hof is daarentegen van mening dat in situaties waarin de betrokken lidstaat wordt geconfronteerd met een werkelijke en actuele of voorzienbare bedreiging van de nationale veiligheid, de richtlijn „privacy en elektronische communicatie”, gelezen in het licht van het Handvest, zich niet ertegen verzet dat aan aanbieders van elektronischecommunicatiediensten een bevel tot algemene en ongedifferentieerde bewaring van verkeers‑ en locatiegegevens wordt opgelegd. Het Hof preciseert in dit verband dat de beslissing waarbij dat bevel wordt opgelegd, voor een periode die niet langer is dan strikt noodzakelijk, effectief moet worden getoetst door een rechterlijke instantie of onafhankelijke bestuurlijke autoriteit waarvan de beslissing bindend is, waarbij het doel van die toetsing is om na te gaan of een van die situaties zich voordoet en of is voldaan aan de voorwaarden en waarborgen waarin is voorzien. In diezelfde omstandigheden verzet genoemde richtlijn zich evenmin tegen een geautomatiseerde analyse van met name de verkeers‑ en locatiegegevens van alle gebruikers van elektronischecommunicatiemiddelen.
Het Hof voegt hieraan toe dat de richtlijn „privacy en elektronische communicatie”, gelezen in het licht van het Handvest, zich niet verzet tegen wettelijke maatregelen die voorzien in een gerichte bewaring, gedurende een periode die niet langer is dan strikt noodzakelijk, van verkeers‑ en locatiegegevens, die op basis van objectieve en niet-discriminatoire factoren wordt afgebakend aan de hand van categorieën betrokken personen of aan de hand van een geografisch criterium. Die richtlijn verzet zich evenmin tegen wettelijke maatregelen die voorzien in algemene en ongedifferentieerde bewaring van de IP‑adressen die zijn toegewezen aan de bron van een verbinding, mits de bewaartermijn wordt beperkt tot wat strikt noodzakelijk is, noch tegen wettelijke maatregelen die voorzien in een dergelijke bewaring van de gegevens inzake de burgerlijke identiteit van de gebruikers van elektronischecommunicatiemiddelen, waarvoor de lidstaten geen maximumbewaartermijn hoeven vast te stellen. Verder verzet die richtlijn zich niet tegen een wettelijke maatregel die het mogelijk maakt de spoedbewaring te gelasten van de gegevens waarover de dienstenaanbieders beschikken, wanneer zich situaties voordoen die het noodzakelijk maken om die gegevens ook na het verstrijken van de wettelijke bewaartermijnen te bewaren teneinde ernstige strafbare feiten of verstoringen van de nationale veiligheid op te helderen, zowel wanneer die feiten of verstoringen reeds zijn vastgesteld als wanneer er een redelijke verdenking bestaat dat dergelijke feiten zijn gepleegd of dat de nationale veiligheid wordt bedreigd.
Voorts oordeelt het Hof dat de richtlijn „privacy en elektronische communicatie”, gelezen in het licht van het Handvest, zich niet verzet tegen een nationale regeling die aanbieders van elektronischecommunicatiediensten ertoe verplicht om met name verkeers‑ en locatiegegevens in real time op te vragen, wanneer die opvraging beperkt is tot personen ten aanzien van wie er een geldige reden bestaat om te vermoeden dat zij op de een of andere manier betrokken zijn bij terroristische activiteiten, en is onderworpen aan voorafgaande toetsing door een rechterlijke instantie of onafhankelijke bestuurlijke autoriteit waarvan de beslissing bindend is en die zich ervan vergewist dat een dergelijke maatregel slechts wordt toegestaan binnen de grenzen van het strikt noodzakelijke. In urgente gevallen dient die toetsing op korte termijn plaats te vinden.
Tot slot gaat het Hof in op de handhaving van de gevolgen van een nationale regeling die als onverenigbaar met het Unierecht is aangemerkt. Dienaangaande is het van oordeel dat een nationale rechterlijke instantie geen bepaling van haar nationale recht mag toepassen die haar machtigt om de werking in de tijd te beperken van de door haar uit te spreken onwettigverklaring van een nationale regeling waarbij aan aanbieders van elektronischecommunicatiediensten een verplichting tot algemene en ongedifferentieerde bewaring van verkeers‑ en locatiegegevens wordt opgelegd die als onverenigbaar is aangemerkt met de richtlijn „privacy en elektronische communicatie”, gelezen in het licht van het Handvest.
Om de verwijzende rechter een nuttig antwoord te verstrekken, brengt het Hof in herinnering dat de aanvaarding en de beoordeling van door middel van een met het Unierecht strijdige gegevensbewaring verkregen bewijzen in het kader van een strafrechtelijke procedure tegen personen die worden verdacht van ernstige strafbare feiten, bij de huidige stand van het Unierecht uitsluitend een zaak is van het nationale recht. Het Hof preciseert evenwel dat de nationale strafrechter op grond van de richtlijn „privacy en elektronische communicatie”, uitgelegd in het licht van het doeltreffendheidsbeginsel, bewijzen die door middel van een met het Unierecht onverenigbare algemene en ongedifferentieerde bewaring van verkeers‑ en locatiegegevens zijn verkregen, in het kader van een dergelijke strafrechtelijke procedure buiten beschouwing dient te laten indien de van strafbare feiten verdachte personen niet in de gelegenheid zijn om doeltreffend commentaar te leveren op die bewijzen.
(
1
)	Zo heeft het Hof in het arrest van 8 april 2014, Digital Rights Ireland e.a. (C‑293/12 en C‑594/12, EU:C:2014:238) (zie CP nr. 54/14), richtlijn 2006/24/EG van het Europees Parlement en de Raad van 15 maart 2006 betreffende de bewaring van gegevens die zijn gegenereerd of verwerkt in verband met het aanbieden van openbaar beschikbare elektronischecommunicatiediensten of van openbare communicatienetwerken en tot wijziging van richtlijn 2002/58/EG (PB 2006, L 105, blz. 54), ongeldig verklaard omdat de inmenging in het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, zoals gewaarborgd door het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”), die voortvloeide uit de bij deze richtlijn opgelegde algemene verplichting tot bewaring van verkeers‑ en locatiegegevens, niet beperkt was tot het strikt noodzakelijke. In het arrest van 21 december 2016, Tele2 Sverige en Watson e.a. (C‑203/15 en C‑698/15, EU:C:2016:970) (zie PC nr. 145/16), heeft het Hof vervolgens artikel 15, lid 1, van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37), zoals gewijzigd bij richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 (PB 2009, L 337, blz. 11) (hierna: „richtlijn ‚privacy en elektronische communicatie’”), uitgelegd. Die bepaling verleent de lidstaten de bevoegdheid om – ter bescherming van onder meer de nationale veiligheid – „wettelijke maatregelen” te treffen ter beperking van de omvang van bepaalde in die richtlijn bedoelde rechten en plichten. Tot slot heeft het Hof in het arrest van 2 oktober 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788) (zie CP nr. 141/18), datzelfde artikel 15, lid 1, uitgelegd in een zaak die betrekking had op de toegang van de overheid tot de gegevens inzake de burgerlijke identiteit van de gebruikers van elektronischecommunicatiemiddelen.
(
2
)	Artikel 15, leden 1 en 3, van richtlijn 2002/58.
(
3
)	Artikel 5, lid 1, van richtlijn 2002/58.
(
4
)	Met name de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest.
(
5
)	Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (PB 2016, L 119, blz. 1).