62017CJ0623_RES
Mål C‑623/17
Privacy International
mot
Secretary of State for Foreign and Commonwealth Affairs m.fl.
(begäran om förhandsavgörande från Investigatory Powers Tribunal)
Domstolens dom (stora avdelningen) av den 6 oktober 2020
”Begäran om förhandsavgörande – Behandling av personuppgifter inom sektorn för elektronisk kommunikation – Leverantörer av elektroniska kommunikationstjänster – Generell och odifferentierad överföring av trafikuppgifter och lokaliseringsuppgifter – Skydd av nationell säkerhet – Direktiv 2002/58/EG – Tillämpningsområde – Artiklarna 1.3 och 3 – Konfidentialitet vid elektronisk kommunikation – Skydd – Artiklarna 5 och 15.1 – Europeiska unionens stadga om de grundläggande rättigheterna – Artiklarna 7, 8, 11 och 52.1 – Artikel 4.2 FEU”
Tillnärmning av lagstiftning – Telesektorn – Behandling av personuppgifter inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Tillämpningsområde – Nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att överföra trafik- och lokaliseringsuppgifter till nationella säkerhets- och underrättelsetjänster – Mål att skydda nationell säkerhet – Omfattas
(Artikel 4.2 FEU; Europaparlamentets och rådets direktiv 2002/58, i dess lydelse enligt direktiv 2009/136, artiklarna 1.1, 1.3, 3 och 15.1)
(se punkterna 35–39, 41–44, 46, 48 och 49 samt punkt 1 i domslutet)
Tillnärmning av lagstiftning – Telesektorn – Behandling av personuppgifter inom sektorn för elektronisk kommunikation – Direktiv 2002/58 – Rätt för medlemsstaterna att begränsa omfattningen av vissa rättigheter och skyldigheter – Nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att på ett generellt och odifferentierat sätt överföra trafik- och lokaliseringsuppgifter till nationella säkerhets- och underrättelsetjänster – Mål att skydda nationell säkerhet – Otillåtet
(Artikel 4.2 FEU; Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8, 11 och 52.1; Europaparlamentets och rådets direktiv 2002/58, i dess lydelse enligt direktiv 2009/136, artiklarna 5.1 och 15.1)
(se punkterna 55–62, 65–82 samt punkt 2 i domslutet)
Resumé
EU-domstolen bekräftar att unionsrätten utgör hinder för nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att, för ändamål hänförliga till brottsbekämpning i allmänhet eller skydd av nationell säkerhet, överföra eller att på ett generellt och odifferentierat sätt lagra trafik- och lokaliseringsuppgifter.
I situationer där en medlemsstat står inför ett allvarligt hot mot nationell säkerhet beträffande vilket det är visat att hotet är verkligt och aktuellt eller förutsebart, får medlemsstaten däremot genom lagstiftning göra undantag från skyldigheten att säkerställa konfidentialiteten vid elektronisk kommunikation genom att ålägga leverantörer av elektroniska kommunikationstjänster att på ett generellt och odifferentierad sätt lagra dessa uppgifter under en period som är tidsmässigt begränsad till vad som är strängt nödvändigt, men som kan förlängas om hotet består. När det gäller bekämpning av grov brottslighet och förhindrande av allvarliga hot mot allmän säkerhet får en medlemsstat även föreskriva riktad lagring av dessa uppgifter samt deras skyndsamma säkrande. Ett sådant ingrepp i de grundläggande rättigheterna måste vara förenat med effektiva garantier och kontrolleras av en domstol eller en oberoende myndighet. På samma sätt är det tillåtet för en medlemsstat att på ett generellt och odifferentierat sätt lagra de IP-adresser som tilldelats en kommunikationskälla när lagringstiden är begränsad till vad som är strängt nödvändigt eller att generellt och odifferentierat lagra uppgifter om den fysiska identiteten hos användarna av elektroniska kommunikationsmedel, utan att sistnämnda lagring är underkastad någon särskild tidsmässig begränsning
Domstolen har under de senaste åren i flera domar prövat frågan om lagring och åtkomst till personuppgifter på området för elektroniska kommunikationer. (
1
) Domstolen har i denna rättspraxis, i synnerhet i domen Tele2 Sverige och Watson m.fl., slagit fast att medlemsstaterna inte får ålägga leverantörer av elektroniska kommunikationstjänster en skyldighet att på ett generellt och odifferentierat sätt lagra trafik- och lokaliseringsuppgifter. Detta har föranlett farhågor hos vissa medlemsstater, vilka är oroliga för att ha blivit berövade ett instrument som de anser vara nödvändigt för att skydda nationell säkerhet och bekämpa brott.
Det är mot denna bakgrund som mål avseende lagenligheten av vissa medlemsstaters lagstiftning på dessa områden, i vilka det föreskrivs en skyldighet för leverantörer av elektroniska kommunikationstjänster att överföra användarnas trafik- och lokaliseringsuppgifter till en myndighet eller att på ett generellt och odifferentierat sätt lagra sådana uppgifter, kommit under Investigatory Powers Tribunals (Domstolen för utredningsbefogenheter, Förenade kungariket) (Privacy International, C‑623/17), Conseil d’États (Högsta förvaltningsdomstolen, Frankrike) (La Quadrature du Net m.fl., förenade målen C‑511/18 och C‑512/18) respektive Cour constitutionnelles (Författningsdomstolen, Belgien) (Ordre des barreaux francophones et germanophone m.fl., C‑520/18) prövning.
Domstolen (stora avdelningen) har i två domar meddelade den 6 oktober 2020 funnit att direktivet om integritet och elektronisk kommunikation är tillämpligt på nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att behandla personuppgifter, såsom lagring eller överföring av sådana uppgifter till myndigheter, i syfte att skydda nationell säkerhet eller bekämpa brott. Domstolen bekräftar, i linje med den praxis som bygger på domen Tele2 Sverige och Watson m.fl., att generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter är oproportionerlig, men lämnar vissa preciseringar angående bland annat omfattningen av de befogenheter som medlemsstaterna ges enligt detta direktiv för att lagra sådana uppgifter för ovannämnda ändamål.
Domstolen klarlägger först och främst tvivlen angående tillämpligheten om direktivet om integritet och elektronisk kommunikation i de aktuella målen. Flera medlemsstater hade nämligen uttryckt en avvikande uppfattning i sina skriftliga yttranden till domstolen. De gjorde bland annat gällande att direktivet inte var tillämpligt på de aktuella nationella lagstiftningarna, eftersom de hade till syfte att skydda nationell säkerhet, vilket är ett område som omfattas av medlemsstaternas exklusiva befogenhet i enlighet med vad som bland annat framgår av artikel 4.2 tredje stycket FEU. Domstolen anser emellertid att nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att, för detta ändamål, lagra trafik- och lokaliseringsuppgifter eller att överföra dem till nationella säkerhets- och underrättelsetjänster omfattas av direktivets tillämpningsområde.
Domstolen erinrar därefter om att direktivet om integritet och elektronisk kommunikation (
2
) inte tillåter att undantag från den principiella skyldigheten att garantera konfidentialitet för elektroniska kommunikationer och därmed förbundna uppgifter samt undantag från förbudet att lagra dessa uppgifter blir huvudregeln. Detta medför att det enligt direktivet endast är tillåtet för medlemsstaterna att, bland annat för ändamålet att skydda nationell säkerhet, anta lagstiftning som begränsar omfattningen av de rättigheter och skyldigheter som föreskrivs i direktivet, i synnerhet skyldigheten att garantera konfidentialiteten för kommunikationer och trafikuppgifter (
3
), under förutsättning att de allmänna principerna i unionsrätten iakttas, bland vilka ingår proportionalitetsprincipen och de grundläggande rättigheter som garanteras i stadgan. (
4
)
Mot denna bakgrund finner domstolen för det första, i målet Privacy International, att direktivet om integritet och elektronisk kommunikation, tolkat mot bakgrund av stadgan, utgör hinder för en nationell lagstiftning som ger en statlig myndighet rätt att ålägga leverantörer av elektroniska kommunikationstjänster att på ett generellt och odifferentierat sätt överföra trafikuppgifter och lokaliseringsuppgifter till säkerhets- och underrättelsetjänsterna i syfte att skydda nationell säkerhet. Domstolen finner för det andra, i de förenade målen La Quadrature du Net m.fl. och Ordre des barreaux francophones et germanophone m.fl., att nämnda direktiv utgör hinder för lagstiftning vilken ålägger leverantörer av elektroniska kommunikationstjänster generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter i förebyggande syfte. Skyldigheten att överföra och på ett generaliserat och odifferentierat sätt lagra sådana uppgifter utgör nämligen synnerligen allvarliga ingrepp i de grundläggande rättigheter som garanteras stadgan, utan att det finns något samband mellan de personer vilkas uppgifter berörs och det mål som eftersträvas med den aktuella lagstiftningen. På motsvarande sätt finner att domstolen artikel 23.1 i den allmänna dataskyddsförordningen (
5
), mot bakgrund av stadgan, ska tolkas så, att den utgör hinder för en nationell lagstiftning enligt vilken leverantörer som tillhandahåller allmänheten tillgång till internetkommunikationstjänster och värdtjänstleverantörer är skyldiga att generellt och odifferentierat lagra bland annat personuppgifter förbundna med dessa tjänster.
Domstolen anser däremot att i situationer där den aktuella medlemsstaten står inför ett allvarligt hot mot nationell säkerhet beträffande vilket det är visat att hotet är verkligt och aktuellt eller förutsebart, utgör direktivet om integritet och elektronisk kommunikation, jämfört med stadgan, inte hinder för att leverantörer av elektroniska kommunikationstjänster åläggs att på ett generellt och odifferentierat sätt lagra trafik- och lokaliseringsuppgifter. Domstolen preciserar i detta sammanhang att beslutet om åläggande av nämnda lagringsskyldighet måste kunna bli föremål för effektiv kontroll antingen av en domstol eller av en oberoende myndighet, vars avgörande har bindande verkan, i syfte att kontrollera om någon av dessa situationer föreligger och att de villkor och garantier som måste ställas upp är uppfyllda, och varvid åläggandet endast får meddelas för en period som måste vara tidsmässigt begränsad till vad som är strängt nödvändigt. Direktivet utgör inte, på samma villkor, hinder för automatiserad analys av uppgifter, bland annat trafik- och lokaliseringsuppgifter, från samtliga användare av elektroniska kommunikationsmedel.
Domstolen tillägger att direktivet om integritet och elektronisk kommunikation, jämfört med stadgan, inte utgör hinder mot en riktad lagring av trafik- och lokaliseringsuppgifter vilken, på grundval av objektiva och icke-diskriminerande faktorer, är avgränsad genom de kategorier av personer som berörs eller genom ett geografiskt kriterium, för en period som är tidsmässigt begränsad till vad som är strängt nödvändigt. Direktivet utgör inte heller hinder för åtgärder som föreskriver en generell och odifferentierad lagring av IP-adresser som tilldelats en kommunikationskälla, under förutsättning att lagringen är tidsmässigt begränsad till vad som är strängt nödvändigt. Direktivet utgör inte heller hinder för åtgärder som föreskriver lagring av uppgifter om den fysiska identiteten hos användare av elektroniska kommunikationsmedel och medlemsstater är inte beträffande lagringen av dessa uppgifter skyldiga att begränsa lagringen i tiden. Direktivet utgör dessutom inte hinder för en lagstiftningsåtgärd som gör det möjligt att skyndsamt säkra uppgifter som tjänsteleverantörer har tillgång till, när det uppstår situationer i vilka det finns behov att lagra dessa uppgifter längre än den lagstadgade fristen för lagring i syfte att klarlägga grova brott eller handlingar som utgör allvarligt men mot nationell säkerhet, när dessa brott eller handlingar redan har konstaterats eller rimligen kan misstänkas.
Domstolen slår dessutom fast att direktivet om integritet och elektronisk kommunikation, jämfört med stadgan, inte utgör hinder för nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att i realtid samla in trafik- och lokaliseringsuppgifter, om denna insamling är begränsad till personer beträffande vilka det finns ett giltigt skäl att misstänka att de på ett eller annat sätt är inblandade i terrorverksamhet och är underkastad en förhandskontroll antingen av en domstol eller av en oberoende myndighet, vars avgörande har bindande verkan, i syfte att säkerställa att en sådan insamling i realtid endast är tillåten inom ramen för vad som är strängt nödvändigt. I vederbörligen motiverade fall som ställer krav på skyndsamhet ska kontrollen ske utan dröjsmål.
Domstolen tar slutligen ställning till frågan om bibehållande av verkningarna i tiden av en nationell lagstiftning som konstaterats vara oförenlig med unionsrätten. Domstolen fann härvidlag att en nationell domstol inte får tillämpa en bestämmelse i nationell rätt som ger den behörighet att tidsmässigt begränsa verkningarna av en förklaring om rättsstridighet som den domstolen är skyldig att meddela enligt nationell rätt med avseende på nationell lagstiftning enligt vilken leverantörer av elektroniska kommunikationstjänster åläggs en skyldighet att generellt och odifferentierat lagra trafik- och lokaliseringsuppgifter som är oförenlig med direktivet om integritet och elektronisk kommunikation, jämfört med stadgan.
Domstolen preciserar emellertid att direktivet om integritet och elektronisk kommunikation, tolkat mot bakgrund av effektivitetsprincipen, innebär en skyldighet för en nationell brottmålsdomstol att – inom ramen för ett brottmålsförfarande mot personer som är misstänkta för brott – bortse från information och bevisning som erhållits genom en generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter som inte är förenlig med unionsrätten, om dessa personer inte bereds tillfälle att på ett effektivt sätt yttra sig över informationen och bevisningen.
(
1
)	I dom av den 8 april 2014, Digital Rights Ireland m.fl. (C‑293/12 och C‑594/12, EU:C:2014:238) (se PM nr 54/14) ogiltigförklarade domstolen Europaparlamentets och rådets direktiv 2006/24/EG av den 15 mars 2006 om lagring av uppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv 2002/58/EG (EUT L 105, 2006, s. 54), eftersom det ingrepp i rätten till skydd för privatlivet och rätten till skydd för personuppgifter, vilka erkänns i Europeiska unionens stadga (nedan kallad stadgan), som den i detta direktiv föreskrivna skyldigheten att generellt lagra trafik- och lokaliseringsuppgifter medförde inte var begränsad till vad som var strängt nödvändigt. I dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C‑203/15 och C‑698/15, EU:C:2016:970) (se PM nr 145/16) tolkade domstolen därefter artikel 15.1 Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 (EUT L 337, 2009, s. 11) (nedan kallat direktivet om integritet och elektronisk kommunikation). I den artikeln ges myndigheterna befogenhet att, av skäl hänförliga till bland annat skyddet av nationell säkerhet, anta ”lagstiftning” som begränsar omfattningen av vissa rättigheter och skyldigheter enligt direktivet. I dom av den 2 oktober 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788) (se PM nr 141/18) har domstolen tolkat nämnda artikel 15.1 i ett mål som avsåg myndigheters åtkomst till uppgifter om den fysiska identiteten hos användare av elektroniska kommunikationsmedel.
(
2
)	Artikel 15.1 och 15.3 i direktiv 2002/58.
(
3
)	Artikel 5.1 i direktiv 2002/58.
(
4
)	Särskilt artiklarna 7, 8, 11 och 52.1 i stadgan.
(
5
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning (EUT L 119, 2016, s. 1).