FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT

H. SAUGMANDSGAARD ØE

fremsat den 19. juli 2016 ( 1 )

Forenede sager C-203/15 og C-698/15

Tele2 Sverige AB

mod

Post- och telestyrelsen (sag C-203/15)

og

Secretary of State for the Home Department

mod

Tom Watson,

Peter Brice,

Geoffrey Lewis (sag C-698/15)

procesdeltagere:

Open Rights Group,

Privacy International,

Law Society of England and Wales

(anmodninger om præjudiciel afgørelse indgivet af Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm, Sverige) og Court of Appeal (England & Wales) (Civil Division) (appeldomstol (England og Wales) (afdelingen for civile sager), Det Forenede Kongerige)

»Præjudiciel forelæggelse — direktiv 2002/58/EF — behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor — national lovgivning, som fastsætter en generel pligt til lagring af data vedrørende elektronisk kommunikation — artikel 15, stk. 1 — Den Europæiske Unions charter om grundlæggende rettigheder — artikel 7 — ret til respekt for privatlivet — artikel 8 — ret til beskyttelse af personoplysninger — alvorligt indgreb — begrundelse — artikel 52, stk. 1 — betingelser — det legitime mål om bekæmpelse af grov kriminalitet — krav om et retsgrundlag i national ret — krav om streng nødvendighed — krav om proportionalitet i et demokratisk samfund«

Indhold

I – Indledning II – Retsforskrifter A – Direktiv 2002/58 B – Svensk ret 1. Om rækkevidden af lagringspligten 2. Om adgangen til de lagrede data a) LEK b) RB c) Lov 2012/278 3. Om varigheden af datalagringen 4. Om beskyttelse og sikkerhed med hensyn til de lagrede data C – Det Forenede Kongeriges ret 1. Om rækkevidden af lagringspligten 2. Om adgangen til de lagrede data 3. Om varigheden af datalagringen 4. Om beskyttelse og sikkerhed med hensyn til de lagrede data III – Tvisterne i hovedsagerne og de præjudicielle spørgsmål A – Sag C-203/15 B – Sag C-698/15 IV – Retsforhandlingerne for Domstolen V – Bedømmelse af de præjudicielle spørgsmål A – Om formaliteten med hensyn til det andet spørgsmål i sag C-698/15 B – Om foreneligheden af en generel pligt til datalagring med den ordning, der er fastsat i direktiv 2002/58 1. Om en generel pligt til datalagring er omfattet af anvendelsesområdet for direktiv 2002/58 2. Om muligheden for at fravige den ordning, der er fastsat i direktiv 2002/58, ved at fastsætte en generel pligt til datalagring C – Om chartret finder anvendelse på en generel pligt til datalagring D – Om foreneligheden af en generel pligt til datalagring med de krav, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58 og i chartrets artikel 7, artikel 8 og artikel 52, stk. 1 1. Om kravet om et retsgrundlag i national ret 2. Om respekten af det væsentligste indhold af de rettigheder, der er anerkendt ved chartrets artikel 7 og 8 3. Om der foreligger et mål af almen interesse, der er anerkendt i Unionen, og som kan begrunde en generel pligt til datalagring 4. Om en generel pligt til datalagring er passende, henset til bekæmpelsen af grov kriminalitet 5. Om en generel pligt til datalagring er nødvendig henset til bekæmpelsen af grov kriminalitet a) Om en generel pligt til datalagring er strengt nødvendig b) Om den ufravigelige karakter af de garantier, som Domstolen har opstillet i Digital Rights-dommens præmis 60-68, henset til kravet om streng nødvendighed 6. Om en generel pligt til datalagring er forholdsmæssig i et demokratisk samfund, henset til målet om bekæmpelse af grov kriminalitet VI – Forslag til afgørelse

I – Indledning

1. I 1788 skrev James Madison, en af ophavsmændene til den amerikanske forfatning: »If men were angels, no government would be necessary. If angels were to govern men, neither external nor internal controls on government would be necessary. In framing a government which is to be administered by men over men, the great difficulty lies in this: you must first enable the government to control the governed; and in the next place oblige it to control itself« ( 2 ).

2. I de foreliggende sager befinder vi os i kernen af denne »betydelige vanskelighed«, som James Madison identificerede. Sagerne vedrører spørgsmålet om foreneligheden med EU-retten af nationale lovgivninger, som for udbydere af elektroniske kommunikationstjenester, der er tilgængelige for offentligheden (herefter »udbyderne«), fastsætter en pligt til at lagre data vedrørende elektronisk kommunikation (herefter »kommunikationsdata«) for så vidt angår alle kommunikationsmidler og alle brugere (herefter »den generelle pligt til datalagring«).

3. For det første gør lagringen af kommunikationsdata det muligt for »regeringen at kontrollere dem, der regeres«, ved at give de kompetente myndigheder et efterforskningsmiddel, som kan være til en vis nytte i forbindelse med bekæmpelsen af grov kriminalitet, herunder navnlig bekæmpelsen af terrorisme. Denne datalagring giver nærmere bestemt myndighederne en begrænset mulighed for at »læse fortiden« ved at få adgang til data om kommunikation, som en person har taget del i, allerede inden den pågældende blev mistænkt for at have forbindelse til grov kriminalitet ( 3 ).

4. For det andet er det imidlertid bydende nødvendigt at »forpligte regeringen til at kontrollere sig selv« for så vidt angår såvel lagringen af som adgangen til de lagrede data, henset til de alvorlige risici, der følger af eksistensen af sådanne databaser, som omfatter al kommunikation, der foretages på det nationale område. Disse databaser af betydeligt omfang giver således enhver person, som har adgang til dem, magten til øjeblikkeligt at katalogisere hele den pågældende befolkning ( 4 ). Disse risici må belyses omhyggeligt ved hjælp af bl.a. en undersøgelse af, hvorvidt en generel pligt til datalagring som den i hovedsagerne omhandlede er strengt nødvendig og forholdsmæssig.

5. I forbindelse med nærværende sager skal Domstolen og de forelæggende retter således foretage en afvejning af den forpligtelse, der påhviler medlemsstaterne med hensyn til at garantere sikkerheden for de personer, der befinder sig på deres område, og overholdelsen af den grundlæggende ret til et privatliv og til beskyttelse af personoplysninger, som er fastsat i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).

6. Det er i lyset af denne »betydelige vanskelighed«, at jeg vil undersøge de spørgsmål, der er forelagt Domstolen i de foreliggende sager. Disse sager vedrører nærmere bestemt spørgsmålet om, hvorvidt nationale lovgivninger, som fastsætter en generel pligt til datalagring, er forenelige med direktiv 2002/58/EF ( 5 ) og chartrets artikel 7 og 8. Med henblik på besvarelsen af disse spørgsmål skal Domstolen bl.a. præcisere, hvilken fortolkning der i en national sammenhæng skal anlægges af dommen i sagen Digital Rights Ireland m.fl. (herefter »Digital Rights-dommen«) ( 6 ), hvor Domstolens Store Afdeling fastslog, at direktiv 2006/24/EF ( 7 ) var ugyldigt.

7. Af de grunde, som jeg i det følgende vil redegøre for, er det min opfattelse, at en generel pligt til datalagring, som en medlemsstat har indført, kan være forenelig med de grundlæggende rettigheder, der er sikret ved EU-retten, forudsat at den er strengt afgrænset ved en række garantier, som jeg vil identificere i min redegørelse.

II – Retsforskrifter

A – Direktiv 2002/58

8. Artikel 1 i direktiv 2002/58 med overskriften »Anvendelsesområde og formål« bestemmer: »1. Dette direktiv tager sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatliv og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i [Den Europæiske Union]. 2. Med henblik på at nå de i stk. 1 omhandlede mål specificerer og supplerer dette direktivs bestemmelser direktiv [95/46]. Nærværende bestemmelser beskytter desuden legitime interesser hos abonnenter, der er juridiske personer. 3. Dette direktiv gælder ikke for aktiviteter, der ikke er omfattet af [TEUF], som f.eks. de aktiviteter, der er omfattet af afsnit V og VI i [TEU], og under ingen omstændigheder for aktiviteter, der vedrører den offentlige sikkerhed, forsvaret, statens sikkerhed (herunder statens økonomiske interesser, når disse aktiviteter er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område.«

9. Artikel 15, stk. 1, i direktiv 2002/58 med overskriften »Anvendelsesområdet for visse bestemmelser i direktiv [95/46]« har følgende ordlyd: »Medlemsstaterne kan vedtage retsforskrifter med henblik på at indskrænke rækkevidden af de rettigheder og forpligtelser, der omhandles i artikel 5, artikel 6, artikel 8, stk. 1, 2, 3 og 4, og artikel 9, hvis en sådan indskrænkning er nødvendig, passende og forholdsmæssig i et demokratisk samfund af hensyn til den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem efter artikel 13, stk. 1, i direktiv [95/46]. Med henblik herpå kan medlemsstaterne bl.a. vedtage retsforskrifter om lagring af data i en begrænset periode, som kan begrundes i et af de hensyn, der er nævnt i dette stykke. Alle i dette stykke omhandlede forskrifter skal være i overensstemmelse med fællesskabsrettens generelle principper, herunder principperne i […] artikel 6, stk. 1 og 2[, TEU].«

B – Svensk ret

10. Direktiv 2006/24, der nu er ugyldigt, blev gennemført i svensk ret ved ændringer foretaget i lagen (2003:389) om elektronisk kommunikation (den svenske lov 2003:389 om elektronisk kommunikation, herefter »LEK«) og förordningen (2003:396) om elektronisk kommunikation (forordning 2003:396 om elektronisk kommunikation, herefter »FEK«), som begge trådte i kraft den 1. maj 2012.

1. Om rækkevidden af lagringspligten

11. Det fremgår af bestemmelserne i LEK’s kapitel 6, § 16a, at udbyderne er forpligtet til at lagre de data vedrørende elektronisk kommunikation, som er nødvendige for at identificere kommunikationskilden, kommunikationens bestemmelsessted, datoen og tidspunktet for og varigheden af kommunikationen, hvilket kommunikationsudstyr der er blevet anvendt, og lokaliseringen af mobilt kommunikationsudstyr, der er anvendt ved kommunikationens start og slut. Den type data, som skal lagres, er genstand for mere detaljerede bestemmelser i FEK’s § 38-43.

12. Denne lagringspligt vedrører data, der behandles i forbindelse med telefonitjenester, telefoni via en mobil forbindelse, beskedoverførsel, internetadgang og levering af kapacitet for internetadgang.

13. De data, der skal lagres, omfatter ikke kun alle de data, der skulle lagres inden for rammerne af direktiv 2006/24, men ligeledes data vedrørende mislykkede opkald og data om lokalisering af stedet for mobilsamtalers afslutning. I lighed med den ordning, der var fastsat ved nævnte direktiv, omfatter de data, der skal lagres, ikke indholdet af kommunikationen.

2. Om adgangen til de lagrede data

14. Adgangen til de lagrede data er reguleret ved tre retsakter, nemlig LEK, rättegångsbalken (retsplejeloven, herefter »RB«) og lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet (den svenske lov 2012:278 om indhentning af data vedrørende elektronisk kommunikation i de retshåndhævende myndigheders efterretningsvirksomhed).

a) LEK

15. Ifølge bestemmelserne i LEK’s kapitel 6, § 22, stk. 1, nr. 2, skal enhver udbyder udlevere abonnementsdata på forespørgsel fra anklagemyndigheden, politiet, Säkerhetspolisen (den svenske efterretningstjeneste, herefter »Säpo«) eller enhver anden retshåndhævende offentlig myndighed, såfremt disse data vedrører en formodet lovovertrædelse. I henhold til disse bestemmelser er det ikke et krav, at der er tale om grov kriminalitet.

16. Ved abonnementsdata forstås nærmere bestemt data vedrørende abonnentens navn, titel, adresse, telefonnummer og IP-adresse.

17. I medfør af LEK kræver udlevering af abonnementsdata ingen forudgående kontrol, men kan efterfølgende gøres til genstand for en administrativ kontrol. Der er desuden ikke fastsat nogen begrænsning for så vidt angår antallet af myndigheder, der kan få adgang til disse data.

b) RB

18. RB regulerer overvågningen af elektronisk kommunikation i forbindelse med indledende efterforskning.

19. Overvågning af elektronisk kommunikation kan nærmere bestemt kun iværksættes, hvis der er begrundet mistanke om, at en bestemt person har begået en lovovertrædelse, der straffes med fængsel i mindst seks måneder, eller andre specifikt opregnede lovovertrædelser, og hvis foranstaltningen i særlig grad er nødvendig for efterforskningen.

20. Ud over dette tilfælde kan der foretages overvågning med henblik på efterforskning af en lovovertrædelse, der straffes med fængsel i mindst to år, med henblik på at finde de personer, der begrundet kan mistænkes for at have begået lovovertrædelsen, hvis foranstaltningen i særlig grad er nødvendig for efterforskningen.

21. I henhold til RB’s kapitel 27, § 21, skal anklagemyndigheden normalt indhente tilladelse fra den kompetente ret, inden der kan iværksættes overvågning af elektronisk kommunikation.

22. Hvis overvågning af elektronisk kommunikation er tvingende nødvendig for efterforskningen, og det må antages, at en indhentning af tilladelse fra den kompetente ret til at foretage nævnte overvågning synes uforenelig med uopsætteligheden af overvågningens gennemførelse eller vil medføre hindringer, kan anklagemyndigheden imidlertid give tilladelse hertil, indtil den kompetente ret træffer afgørelse. Anklagemyndigheden skal omgående give den kompetente ret skriftlig underretning herom. Den kompetente ret skal herefter hurtigst muligt efterprøve, om foranstaltningen er begrundet.

c) Lov 2012/278

23. I forbindelse med indhentning af oplysninger og i henhold til § 1 i lov 2012:278 kan det svenske politi, Säpo og Tullverket (de svenske toldmyndigheder) på de betingelser, der er fastsat i loven og uden udbyderens vidende, indsamle kommunikationsdata.

24. I henhold til § 2 og 3 i lov 2012:278 kan der indsamles data, hvis omstændighederne er sådanne, at foranstaltningen i særlig grad er nødvendig med henblik på at forebygge, forhindre eller opdage kriminel virksomhed, der enten omfatter en eller flere lovovertrædelser, der straffes med fængsel i mindst to år, eller en af de lovovertrædelser, der er opregnet i § 3 (bl.a. forskellige former for sabotage eller spionage).

25. Afgørelsen om at iværksætte en sådan foranstaltning træffes af chefen for den relevante myndighed eller af en anden person, som er bemyndiget hertil.

26. Afgørelsen skal angive, hvilken kriminel virksomhed og tidsperiode samt hvilket telefonnummer, hvilke andre adresser, hvilket elektronisk kommunikationsudstyr eller hvilket geografisk område der er omfattet af denne. Tilladelsens varighed kan ikke være længere end nødvendigt og kan ikke overstige en måned for så vidt angår tidsperioden efter afgørelsen.

27. Denne type foranstaltning er ikke undergivet en forudgående kontrol. I medfør af § 6 i lov 2012:278 skal Säkerhets- och integritetsskyddsnämnden (sikkerheds- og integritetsbeskyttelsesnævnet, Sverige) imidlertid underrettes om enhver afgørelse om at tillade indsamling af data. I henhold til § 1 i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet (lov 2007:980 om tilsyn med visse retshåndhævende aktiviteter) skal nævnte myndighed føre tilsyn med de retshåndhævende myndigheders anvendelse af loven.

3. Om varigheden af datalagringen

28. Det fremgår af bestemmelserne i LEK’s kapitel 6, § 16d, at de data, der henvises til i samme kapitels § 16a, skal lagres i seks måneder fra den dag, hvor kommunikationen blev afsluttet. Disse data skal derefter øjeblikkeligt tilintetgøres, medmindre andet følger af LEK’s kapitel 6, § 16d, stk. 2. I henhold til sidstnævnte bestemmelser skal data, der er krævet udleveret før udløbet af lagringsfristen, men som endnu ikke er udleveret, øjeblikkeligt tilintetgøres, når udleveringen har fundet sted.

4. Om beskyttelse og sikkerhed med hensyn til de lagrede data

29. I henhold til LEK’s kapitel 6, § 20, er det forbudt for enhver at videregive eller udnytte kommunikationsdata uden tilladelse.

30. Ifølge bestemmelserne i LEK’s kapitel 6, § 3a, skal udbyderne træffe de tekniske og organisatoriske foranstaltninger, der kræves for at sikre databeskyttelsen under behandlingen. Det fremgår af forarbejderne til disse bestemmelser, at det ikke er tilladt at fastsætte beskyttelsesniveauet på grundlag af en afvejning af teknologi og omkostninger i forhold til risikoen for en krænkelse af privatlivets fred.

31. Flere regler om databeskyttelse findes i FEK’s § 37 og i Post- och telestyrelsens (den svenske myndighed for post- og teletilsyn) forskrifter og retningslinjer om beskyttelsesforanstaltninger ved lagring og anden behandling af data i forbindelse med kriminalitetsbekæmpelse (PTSFS nr. 2012:4). Af disse regler fremgår bl.a., at udbyderne skal træffe foranstaltninger til beskyttelse af data mod uforsætlig eller ulovlig destruktion, mod ulovlig lagring, behandling eller adgang og mod ulovlig udbredelse. Udbyderen skal ligeledes løbende og systematisk sørge for datasikkerheden under hensyntagen til de særlige risici, der er forbundet med lagringspligten.

32. Svensk ret indeholder ingen bestemmelser om, hvor data skal lagres.

33. I henhold til LEK’s kapitel 7 kan tilsynsmyndigheden i tilfælde af, at en udbyder ikke overholder sine forpligtelser, udstede påbud og forbud, eventuelt i forbindelse med bøder, og den kan endvidere træffe afgørelse om, at virksomheden helt eller delvis skal ophøre.

C – Det Forenede Kongeriges ret

34. De bestemmelser, der regulerer datalagring, findes i Data Retention and Investigatory Powers Act 2014 (lov om datalagring og efterforskningsbeføjelser af 2014, herefter »DRIPA«), i Data Retention Regulations 2014 (SI 2014/2042) (bekendtgørelse om datalagring af 2014, herefter »bekendtgørelsen af 2014«) og i Retention of Communications Data Code of Practice (praksiskodeks for lagring af datalagring).

35. De bestemmelser, der regulerer adgangen til data, findes i kapitel 2 i del 1 i Regulation of Investigatory Powers Act 2000 (lov om efterforskningsbeføjelser af 2000, herefter »RIPA«), i Regulation of Investigatory Powers (Communication Data) Order 2010 (SI 2010/480) (afgørelse om efterforskningsbeføjelser (kommunikationsdata) af 2015, som ændret ved Regulation of Investigatory Powers (Communications Data) (Amendment) Order 2015 (SI 2015/228)) og i Acquisition and Disclosure of Communications Data Code of Practice (praksiskodeksen for erhvervelse og videregivelse af kommunikationsdata, herefter »dataerhvervelseskodeksen«).

1. Om rækkevidden af lagringspligten

36. I medfør af DRIPA’s section 1 kan Secretary of State for the Home Department (Det Forenede Kongeriges indenrigsminister, herefter »Secretary of State«) pålægge udbyderne en pligt til at lagre alle kommunikationsdata. Denne pligt vedrører nærmere bestemt samtlige data, der genereres i forbindelse med en afsluttet kommunikation under anvendelse af en posttjeneste eller et telekommunikationssystem, bortset fra kommunikationens indhold. Disse data omfatter bl.a. det sted, hvor tjenestens bruger befinder sig, og data til fastlæggelse af IP-adressen (internetprotokol) eller enhver anden identifikator, der er knyttet til afsenderen eller modtageren af en kommunikation

37. De formål, der kan begrunde vedtagelsen af en sådan lagringsforanstaltning, omfatter hensynet til den nationale sikkerhed, forebyggelse eller afsløring af kriminalitet eller forebyggelse af forstyrrelse af den offentlige orden, hensynet til Det Forenede Kongeriges økonomiske velfærd, for så vidt som dette hensyn også er relevant for hensynet til den nationale sikkerhed, hensynet til den offentlige sikkerhed, beskyttelse af folkesundheden, fastsættelse eller opkrævning af enhver form for skat eller afgift eller andet beløb, der skal betales til en offentlig myndighed, i nødstilfælde forebyggelse af skader på den fysiske eller mentale sundhed, bistand i forbindelse med efterforskning af tilfælde af fejlagtig domfældelse, identificering af en person, som er afgået ved døden, eller som ikke er i stand til at identificere sig selv, af anden årsag end som følge af en forbrydelse (såsom en naturkatastrofe eller en ulykke), udøvelse af funktioner i forbindelse med regulering af finansielle tjenesteydelser og markeder eller finansiel stabilitet og ethvert formål, der er fastsat i en afgørelse truffet af Secretary of State i henhold til DRIPA’s section 22(2).

38. Det kræves ikke i henhold til national lovgivning, at udstedelsen af en meddelelse, som pålægger lagringspligt, skal være underlagt et krav om en forudgående retskendelse eller en tilladelse fra et uafhængigt organ. Secretary of State skal efterprøve, at lagringspligten er »nødvendig og forholdsmæssig« for et eller flere af de formål, der begrunder lagring af relevante kommunikationsdata.

2. Om adgangen til de lagrede data

39. I medfør af RIPA’s section 22(4) kan offentlige myndigheder ved meddelelse pålægge udbyderne at videregive kommunikationsdata til dem. Formen og indholdet af sådanne meddelelser reguleres i RIPA’s section 23(2). En sådan meddelelse er tidsbegrænset ved bestemmelser om ophævelse og forlængelse heraf.

40. Erhvervelsen af kommunikationsdata skal være nødvendig og forholdsmæssig for et eller flere af formålene i RIPA’s section 22, som svarer til de formål til begrundelse af lagring, som er beskrevet i punkt 37 i nærværende forslag til afgørelse.

41. Det fremgår af dataerhvervelseskodeksen, at der kræves en retskendelse i tilfælde, hvor en anmodning om dataadgang indgives med henblik på at identificere en journalists kilde, og i tilfælde, hvor lokale myndigheder anmoder om adgang.

42. Ud over disse tilfælde er offentlige myndigheders adgang underlagt et krav om, at der er indhentet tilladelse hos den person, der er udpeget til dette formål hos den pågældende offentlige myndighed. En person, der er udpeget til dette formål, er en person, der har et bestemt embede eller en bestemt rang eller stilling inden for den pågældende offentlige myndighed, og som er blevet udpeget med henblik på erhvervelse af kommunikationsdata på grundlag af afgørelsen om efterforskningsbeføjelser (kommunikationsdata) af 2015, som ændret.

43. Der er intet særligt krav om en retskendelse eller en tilladelse fra et uafhængigt organ for så vidt angår adgang til kommunikationsdata, der er omfattet af fortroligheden i korrespondancen mellem advokater og klienter, eller kommunikationsdata i forbindelse med læger, parlamentsmedlemmer eller præster. Dataerhvervelseskodeksen præciserer alene, at der i forbindelse med en anmodning om adgang til sådanne data skal udvises særlig opmærksomhed for så vidt angår nødvendigheden og forholdsmæssigheden.

3. Om varigheden af datalagringen

44. I DRIPA’s section 1(5) og i Regulation 4(2) i bekendtgørelsen af 2014 er der fastsat en maksimal datalagringsperiode på 12 måneder. Ifølge datalagringskodeksen må perioden ikke vare længere, end hvad der er nødvendigt og forholdsmæssigt. I henhold til Regulation 6 i bekendtgørelsen af 2014 skal Secretary of State løbende genoverveje en lagringsmeddelelse.

4. Om beskyttelse og sikkerhed med hensyn til de lagrede data

45. I henhold til DRIPA’s section 1 må udbyderne ikke videregive lagrede data, medmindre videregivelsen er i overensstemmelse med kapitel 2 i del 1 i RIPA, med en retsafgørelse eller enhver anden retlig afgørelse eller retskendelse eller med en bekendtgørelse vedtaget af Secretary of State i henhold til DRIPA’s section 1.

46. I medfør af Regulation 7 og 8 i bekendtgørelsen af 2014 skal udbyderne sikre de lagrede datas integritet og sikkerhed, beskytte dem mod hændelig eller ulovlig tilintetgørelse, hændeligt tab eller ændring eller ubeføjet eller ulovlig lagring, behandling, adgang eller videregivelse, tilintetgøre data for at gøre det umuligt at få adgang til dem, hvis lagringen ophører med at være tilladt, og indføre passende sikkerhedssystemer. Regulation 9 i bekendtgørelsen af 2014 pålægger Information Commissioner (informationskommissæren) at holde tilsyn med udbydernes overholdelse af disse krav.

47. De myndigheder, til hvilke udbyderne udleverer kommunikationsdata, skal behandle og opbevare disse data samt alle kopier, udskrifter og resuméer heraf sikkert. I henhold til dataerhvervelseskodeksen skal kravene i databeskyttelsesloven (Data Protection Act, herefter »DPA«), som gennemførte direktiv 95/46, overholdes.

48. Ved RIPA er indført en Interception of Communications Commissioner (kommissær med ansvar for aflytning af kommunikation, herefter »kommissæren med ansvar for aflytning«), der har til opgave at sørge for uafhængigt tilsyn med udøvelsen og udførelsen af beføjelserne og opgaverne i kapitel II i del I af RIPA. Kommissæren med ansvar for aflytning fører ikke tilsyn med anvendelsen af DRIPA’s section 1. Nævnte kommissær skal regelmæssigt udarbejde rapporter til offentligheden og parlamentet (RIPA’s section 57(2) og section 58) og gøre rede for, hvad de offentlige myndigheder lagrer og indberetter (dataerhvervelseskodeksens punkt 6.1-6.8). Der kan indgives klage til Investigatory Powers Tribunal (domstol for efterforskningsbeføjelser), hvis der er en formodning om, at data er blevet erhvervet med urette (RIPA’s section 65).

49. Det fremgår af dataerhvervelseskodeksen, at kommissæren med ansvar for aflytning ikke har beføjelse til at indbringe en sag for nævnte domstol. Nævnte kommissær må kun oplyse en person om en mistanke om ulovlig anvendelse af beføjelser, hvis kommissæren kan »godtgøre, at en person er blevet skadet af en forsætlig eller uforsvarlig fejl«. Selv hvis kommissæren med ansvar for aflytning finder, at der har været tale om en forsætlig eller uforsvarlig fejl, må denne imidlertid ikke videregive oplysninger, hvis en videregivelse ville bringe den nationale sikkerhed i fare.

III – Tvisterne i hovedsagerne og de præjudicielle spørgsmål

A – Sag C-203/15

50. Den 9. april 2014, dvs. dagen efter Digital Rights-dommen blev afsagt, meddelte Tele2 Sverige Post- och telestyrelsen, at selskabet havde besluttet at ophøre med at lagre de data, der er omhandlet i LEK’s kapitel 6. Tele2 Sverige ville også slette data, som frem til dette tidspunkt var lagret i henhold til dette kapitel. Det er Tele2 Sveriges opfattelse, at den svenske lovgivning, som gennemfører direktiv 2006/24, ikke er i overensstemmelse med chartret.

51. Den 15. april 2014 fremsendte Rikspolisstyrelsen (den nationale rigspolitistyrelse, Sverige) en klage til Post- och telestyrelsen, idet Tele2 Sverige var ophørt med at videregive data vedrørende visse former for elektronisk kommunikation til politiets tjenestegrene. I klagen anførte Rikspolisstyrelsen, at Tele2 Sveriges afvisning heraf ville få alvorlige konsekvenser for politiets retshåndhævende virksomhed.

52. Ved påbud af 27. juni 2014 pålagde Post- och telestyrelsen Tele2 Sverige at genoptage datalagringen i henhold til LEK’s kapitel 6, § 16a, og FEK’s §§ 37-43 senest den 25. juli 2014.

53. Tele2 Sverige påklagede Post- och telestyrelsens afgørelse til Förvaltningsrätten i Stockholm (forvaltningsdomstolen i Stockholm, Sverige). Ved dom af 13. oktober 2014 frifandt Förvaltningsrätten i Stockholm Post- och telestyrelsen.

54. Tele2 Sverige har iværksat appel af dommen afsagt af Förvaltningsrätten i Stockholm (forvaltningsdomstolen i Stockholm, Sverige) for den forelæggende ret og har herved nedlagt påstand om annullation af den anfægtede afgørelse.

55. Da Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm, Sverige) er af den opfattelse, at der foreligger argumenter både for og imod spørgsmålet om, hvorvidt en lagringspligt af et sådant omfang som den, der er fastsat i LEK’s kapitel 6, § 16a, er forenelig med bestemmelserne i artikel 15, stk. 1, i direktiv 2002/58 samt chartrets artikel 7, artikel 8 og artikel 52, stk. 1, har den besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål: »1) Er en generel forpligtelse til at lagre trafikdata, som omfatter alle personer, alle elektroniske kommunikationsmidler og alle trafikdata uden forskel, begrænsninger eller undtagelser med henblik på at bekæmpe strafbare lovovertrædelser (som beskrevet [i forelæggelsesafgørelsens] punkt 13-18) forenelig med artikel 15, stk. 1, i direktiv 2002/58/EF, henset til chartrets artikel 7, artikel 8 og artikel 52, stk. 1? 2) Hvis spørgsmål 1 besvares benægtende, kan lagringen da alligevel være tilladt, hvis a) de nationale myndigheders adgang til de lagrede data fastsættes som beskrevet [i forelæggelsesafgørelsens] punkt 19-36, og b) sikkerhedskravene er reguleret som beskrevet [i forelæggelsesafgørelsens] punkt 38-43, og c) alle relevante data lagres i seks måneder, regnet fra den dag, kommunikationen blev afsluttet, og herefter slettes som beskrevet [i forelæggelsesafgørelsens] punkt 37?«

B – Sag C-698/15

56. Tom Watson, Peter Brice og Geoffrey Lewis har anlagt sag ved High Court of Justice (England & Wales), Queen’s Bench Division (Administrative Court) (ret i første instans (England og Wales) (forvaltningsretlige sager)) med henblik på prøvelse af lovligheden (»judicial review«) af den ordning til datalagring, der er indeholdt i DRIPA’s section 1, hvorved Secretary of State er beføjet til at pålægge offentlige udbydere af telekommunikation at opbevare alle kommunikationsdata i højst 12 måneder, idet lagring af de omhandlede kommunikationers indhold er udelukket herfra.

57. Open Rights Group, Privacy International og Law Society of England and Wales har fået tilladelse til at intervenere i disse søgsmål.

58. Ved dom af 17. juli 2015 fastslog nævnte ret, at ordningen ikke er forenelig med EU-retten, for så vidt som den ikke overholder kravene i medfør af Digital Rights-dommen, der ifølge retten finder anvendelse på medlemsstaternes lovgivning vedrørende elektronisk kommunikation og adgangen til sådanne data. Secretary of State har iværksat appel til prøvelse af denne dom ved den forelæggende ret.

59. Court of Appeal (England & Wales) (Civil Division) (appeldomstol (England og Wales) (afdelingen for civile sager), Det Forenede Kongerige) har i dom af 20. november 2015 givet udtryk for den foreløbige opfattelse, at Digital Rights-dommen ikke fastsætter ufravigelige EU-retlige krav, som den nationale lovgivning skal overholde, men ganske enkelt identificerede og beskrev beskyttelsesforanstaltninger, der ikke fandtes i den harmoniserede EU-ordning.

60. Da Court of Appeal (England & Wales) (Civil Division) (appeldomstol (England og Wales) (afdelingen for civile sager), Det Forenede Kongerige) imidlertid er af den opfattelse, at svarene på disse EU-retlige spørgsmål ikke er klare, men er nødvendige for, at den kan træffe afgørelse i sagen, har den besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål: »1) Fastsætter [Digital Rights-dommen] (herunder navnlig dommens præmis 60 og 62) ufravigelige EU-retlige krav, der finder anvendelse på en medlemsstats nationale ordning for adgang til data, der er lagret i overensstemmelse med national lovgivning, med henblik på at overholde [chartrets] artikel 7 og 8 […]? 2) Udvider [Digital Rights-dommen] anvendelsesområdet for chartrets artikel 7 og/eller 8 ud over anvendelsesområdet for artikel 8 i den europæiske menneskerettighedskonvention (herefter »EMRK«), således som dette er fastslået i praksis fra Den Europæiske Menneskerettighedsdomstol […]?«

IV – Retsforhandlingerne for Domstolen

61. Anmodningerne om præjudiciel afgørelse blev registreret på Domstolens Justitskontor den 4. maj 2015 i sag C-203/15 og den 28. december 2015 i sag C-698/15.

62. Ved kendelse af 1. februar 2016 har Domstolen besluttet at undergive sag C-698/15 den fremskyndede procedure efter artikel 105, stk. 1, i Domstolens procesreglement.

63. I sag C-203/15 har Tele2 Sverige, den belgiske, den tjekkiske, den danske, den tyske, den estiske, den spanske, den franske, den ungarske, den nederlandske og den svenske regering, Irland, Det Forenede Kongeriges regering og Europa-Kommissionen indgivet skriftlige indlæg.

64. I sag C-698/15 har Tom Watson, Peter Brice, Geoffrey Lewis, Open Rights Group, Privacy International, Law Society of England and Wales, den tjekkiske, den danske, den tyske, den estiske, den franske, den cypriotiske, den polske og den finske regering, Irland, Det Forenede Kongeriges regering og Europa-Kommissionen indgivet skriftlige indlæg.

65. Ved Domstolens afgørelse af 10. marts 2016 er de to sager blevet forenet med henblik på den mundtlige forhandling og dommen.

66. Under retsmødet den 12. april 2016 blev der afgivet mundtlige indlæg af repræsentanterne for Tele2 Sverige, Tom Watson, Peter Brice, Geoffrey Lewis, Open Rights Group, Privacy International, Law Society of England and Wales, den tjekkiske, den danske, den tyske, den estiske, den spanske, den franske, den finske og den svenske regering, Irland, Det Forenede Kongeriges regering og Europa-Kommissionen.

V – Bedømmelse af de præjudicielle spørgsmål

67. Med det første spørgsmål i sag C-203/15 ønsker den forelæggende ret oplyst, om artikel 15, stk. 1, i direktiv 2002/58 og chartrets artikel 7, artikel 8 og artikel 52, stk. 1, i lyset af Digital Rights-dommen skal fortolkes således, at de er til hinder for, at en medlemsstat pålægger udbyderne en generel pligt til datalagring såsom den i hovedsagerne omhandlede, uafhængigt af hvilke garantier der eventuelt ledsager denne pligt.

68. Såfremt dette spørgsmål skal besvares benægtende, ønskes det med det andet spørgsmål i sag C-203/15 og det første spørgsmål i sag C-698/15 oplyst, om disse bestemmelser skal fortolkes således, at de er til hinder for, at en medlemsstat pålægger udbyderne en generel pligt til datalagring, såfremt denne pligt ikke ledsages af samtlige de garantier, som Domstolen fastslog i Digital Rights-dommens præmis 60-68 vedrørende dataadgang, lagringens varighed, databeskyttelse og datasikkerhed.

69. Da disse tre spørgsmål er nært forbundne, vil jeg i det følgende behandle dem samlet.

70. Det andet spørgsmål i sag C-698/15 skal derimod behandles særskilt. Med dette spørgsmål ønsker den forelæggende ret oplyst, om Digital Rights-dommen har udvidet anvendelsesområdet for chartrets artikel 7 og/eller 8 til at gå ud over anvendelsesområdet for EMRK’s artikel 8. Jeg vil i det følgende afsnit redegøre for grundene til, at dette spørgsmål bør afvises fra realitetsbehandling.

71. Inden undersøgelsen af disse spørgsmål påbegyndes, finder jeg det hensigtsmæssigt at nævne, hvilken type data der er omfattet af den i hovedsagerne omhandlede lagringspligt. Ifølge de forelæggende retters konstateringer svarer rækkevidden af denne pligt i det væsentlige til den forpligtelse, der er fastsat i artikel 5 i direktiv 2006/24 ( 8 ). De kommunikationsdata, der er genstand for lagringspligten, kan skematisk opdeles i fire kategorier ( 9 ): — data, der gør det muligt at identificere såvel kommunikationens kilde som bestemmelsessted — data, der gør det muligt at lokalisere såvel kommunikationens kilde som bestemmelsessted — data vedrørende en kommunikations dato, klokkeslæt og varighed og — data, der gør det muligt at fastslå kommunikationstypen, og hvilken type udstyr der er anvendt.

72. Indholdet af kommunikationen er udelukket fra den i hovedsagerne omhandlede generelle pligt til datalagring i lighed med, hvad der var fastsat i artikel 5, stk. 2, i direktiv 2006/24.

A – Om formaliteten med hensyn til det andet spørgsmål i sag C-698/15

73. Med det andet spørgsmål i sag C-698/15 ønskes det oplyst, om Digital Rights-dommen udvider anvendelsesområdet for chartrets artikel 7 og/eller 8 til at gå ud over anvendelsesområdet for EMRK’s artikel 8, således som denne bestemmelse fortolkes af Den Europæiske Menneskerettighedsdomstol.

74. Dette spørgsmål afspejler bl.a. et argument, som Secretary of State har fremført for den forelæggende ret, hvorefter det for det første i henhold til Den Europæiske Menneskerettighedsdomstols praksis ikke kræves, at adgangen til data er underlagt et krav om forudgående tilladelse fra et uafhængigt organ, og for det andet ikke kræves, at lagringen af og adgangen til data er begrænset til bekæmpelsen af grov kriminalitet.

75. Det er min vurdering, at dette spørgsmål af de følgende grunde ikke kan antages til realitetsbehandling. Den begrundelse og den løsning, som Domstolen fastslog i Digital Rights-dommen, er helt åbenlyst af afgørende betydning for at kunne afgøre tvisterne i hovedsagerne. Den omstændighed, at denne dom eventuelt måtte have udvidet anvendelsesområdet for chartrets artikel 7 og/eller 8 til at gå ud over anvendelsesområdet for EMRK’s artikel 8, er imidlertid ikke i sig selv relevant for afgørelsen af disse tvister.

76. I denne henseende bemærkes, at i overensstemmelse med artikel 6, stk. 3, TEU udgør de grundlæggende rettigheder, således som de er garanteret ved EMRK, generelle principper i EU-retten. Da Unionen imidlertid ikke har tiltrådt denne konvention, udgør den ikke et retligt instrument, der er formelt integreret i Unionens retsorden ( 10 ).

77. Chartrets artikel 52, stk. 3, første punktum, fastsætter ganske vist en fortolkningsregel, hvoraf følger, at i det omfang chartret indeholder rettigheder svarende til dem, der er sikret ved EMRK, »har de samme betydning og omfang som i konventionen«.

78. Det følger imidlertid af chartrets artikel 52, stk. 3, andet punktum, at »[d]enne bestemmelse [ikke er] til hinder for, at EU-retten kan yde en mere omfattende beskyttelse«. Efter min opfattelse følger det af dette punktum, at det er muligt for Domstolen at udvide anvendelsesområdet for chartrets bestemmelser til at gå ud over anvendelsesområdet for de tilsvarende bestemmelser i EMRK, såfremt den i en EU-retlig sammenhæng finder dette nødvendigt.

79. Subsidiært tilføjes, at chartrets artikel 8 som fortolket af Domstolen i Digital Rights-dommen fastsætter en rettighed, som ikke svarer til en ved EMRK sikret rettighed, nemlig retten til beskyttelse af personoplysninger, hvilket i øvrigt bekræftes af forklaringerne til chartrets artikel 52 ( 11 ). Fortolkningsreglen i chartrets artikel 52, stk. 3, første punktum, finder følgelig under alle omstændigheder ikke anvendelse på fortolkningen af chartrets artikel 8, således som Peter Brice, Geoffrey Lewis, Open Rights Group, Privacy International, Law Society of England and Wales, den tjekkiske og den finske regering samt Irland har anført.

80. Det følger af det ovenstående, at EU-retten ikke er til hinder for, at chartrets artikel 7 og 8 tillægger en mere omfattende beskyttelse end den, der er fastsat i EMRK. Den omstændighed, at Digital Rights-dommen eventuelt måtte have udvidet anvendelsesområdet for disse bestemmelser i chartret til at gå ud over anvendelsesområdet for EMRK’s artikel 8, er derfor ikke i sig selv relevant for afgørelsen af tvisterne i hovedsagerne. Løsningen af disse tvister afhænger grundlæggende af spørgsmålet om, på hvilke betingelser en generel pligt til datalagring kan anses for at være forenelig med artikel 15, stk. 1, i direktiv 2002/58 og med chartrets artikel 7, artikel 8 og artikel 52, stk. 1, fortolket i lyset af Digital Rights-dommen, hvilket netop er genstanden for de tre andre spørgsmål, der er stillet i de foreliggende sager.

81. Det følger af fast retspraksis, at det kun er muligt at afvise en national rets anmodning om en præjudiciel afgørelse, når det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en saglig korrekt besvarelse af de stillede spørgsmål ( 12 ).

82. Af de ovenfor anførte grunde forekommer det mig, at det andet spørgsmål i det foreliggende tilfælde alene er af teoretisk interesse, eftersom en eventuel besvarelse heraf ikke gør det muligt at udlede de elementer til fortolkning af EU-retten, som den forelæggende ret måtte finde relevante at benytte med henblik på at træffe afgørelse i den for retten verserende sag på grundlag af EU-retten ( 13 ).

83. På denne baggrund finder jeg, at dette spørgsmål bør afvises fra realitetsbehandling, således som Tom Watson, Law Society of England and Wales og den tjekkiske regering med rette har gjort gældende.

B – Om foreneligheden af en generel pligt til datalagring med den ordning, der er fastsat i direktiv 2002/58

84. Dette afsnit omhandler medlemsstaternes mulighed for at anvende den mulighed, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58, med henblik på at pålægge en generel pligt til datalagring. I dette afsnit vil der derimod ikke blive foretaget en undersøgelse af de særlige krav, som de medlemsstater, der ønsker at anvende denne mulighed, skal overholde, idet disse krav vil blive fyldestgørende undersøgt i senere afsnit ( 14 ).

85. Open Rights Group og Privacy International har således gjort gældende, at en sådan pligt er uforenelig med den harmoniserede ordning, der er indført ved direktiv 2002/58, og at dette er tilfældet uafhængigt af, om de krav, der følger af artikel 15, stk. 1, i direktiv 2002/58, er overholdt, eftersom en sådan pligt grundlæggende fratager de rettigheder og den ordning, der er fastsat i direktivet, deres væsentligste indhold.

86. Inden undersøgelsen af dette argument skal det efterprøves, om en generel pligt til datalagring er omfattet af nævnte direktivs anvendelsesområde.

1. Om en generel pligt til datalagring er omfattet af anvendelsesområdet for direktiv 2002/58

87. Ingen af de parter, der har indgivet indlæg til Domstolen, har bestridt den omstændighed, at en generel pligt til datalagring som den i hovedsagerne omhandlede er omfattet af begrebet »behandling af persondata i forbindelse med, at offentligt tilgængelige elektroniske kommunikationstjenester stilles til rådighed via offentlige kommunikationsnet i [Unionen]« som omhandlet i artikel 3 i direktiv 2002/58.

88. Den tjekkiske, den franske og den polske regering samt Det Forenede Kongeriges regering har imidlertid gjort gældende, at en generel pligt til datalagring er omfattet af den undtagelse, der er fastsat i artikel 1, stk. 3, i direktiv 2002/58. Dels vedrører de nationale bestemmelser, som regulerer dataadgang og ‑anvendelse for medlemsstaternes politi og retslige myndigheder, den offentlige sikkerhed, forsvaret eller statens sikkerhed, eller også er de i det mindste omfattet af strafferetten. Dels er det eneste formål med datalagringen at gøre det muligt for politiet og de retslige myndigheder at få adgang til disse data og anvende dem. En generel pligt til datalagring er derfor udelukket fra direktivets anvendelsesområde i henhold til nævnte bestemmelse.

89. Af de følgende grunde overbeviser denne argumentation mig ikke.

90. For det første bekræfter ordlyden af artikel 15, stk. 1, i direktiv 2002/58, at de lagringsforpligtelser, som medlemsstaterne indfører, er omfattet af direktivets anvendelsesområde. Det fremgår således af denne bestemmelse, at »[m]ed henblik herpå kan medlemsstaterne bl.a. vedtage retsforskrifter om lagring af data i en begrænset periode, som kan begrundes i et af de hensyn, der er nævnt i dette stykke«. Det forekommer mig i det mindste vanskeligt at hævde, at lagringsforpligtelser er udelukket fra direktivets anvendelsesområde, eftersom direktivets artikel 15, stk. 1, netop regulerer muligheden for at vedtage sådanne forpligtelser.

91. Som Tom Watson, Peter Brice, Geoffrey Lewis, den belgiske, den danske, den tyske og den finske regering samt Kommissionen har gjort gældende, udgør en generel pligt til datalagring som den i hovedsagerne omhandlede reelt en gennemførelse af artikel 15, stk. 1, i direktiv 2002/58.

92. For det andet indebærer den omstændighed, at de bestemmelser, som regulerer adgangen, kan være omfattet af undtagelsen i artikel 1, stk. 3, i direktiv 2002/58 ( 15 ), ikke, at lagringspligten også er omfattet heraf og dermed befinder sig uden for direktivets anvendelsesområde.

93. I denne henseende har Domstolen allerede haft lejlighed til at præcisere, at de aktiviteter, der er nævnt i artikel 3, stk. 2, første led, i direktiv 95/46/EF ( 16 ), hvis ordlyd har en rækkevidde, der svarer til rækkevidden af artikel 1, stk. 3, i direktiv 2002/58, er statens eller statslige myndigheders aktiviteter og ikke har noget at gøre med området for den enkelte borgers aktiviteter ( 17 ).

94. Den i hovedsagerne omhandlede lagringspligt pålægges imidlertid private erhvervsdrivende i forbindelse med private aktiviteter, der består i levering af elektroniske kommunikationstjenester, således som Kommissionen har anført. Denne pligt pålægges desuden uafhængigt af enhver anmodning om adgang indgivet af politiet eller retslige myndigheder og mere generelt uafhængigt af enhver handling fra statslige myndigheder på området for den offentlige sikkerhed, forsvaret, statens sikkerhed eller på det strafferetlige område.

95. For det tredje bekræfter Domstolens løsning i dommen i sagen Irland mod Parlamentet og Rådet, at en generel pligt til datalagring ikke henhører under det strafferetlige område ( 18 ). Domstolen fastslog således, at direktiv 2006/24, som fastsatte en sådan pligt, ikke henhørte under det strafferetlige område, men vedrørte det indre markeds funktion, således at artikel 95 EF (nu artikel 114 TEUF) udgjorde det korrekte retsgrundlag for vedtagelsen af nævnte direktiv.

96. For at nå frem til denne konklusion fastslog Domstolen bl.a., at direktivets bestemmelser i det væsentlige var begrænset til udbydernes virksomhed og ikke regulerede medlemsstaternes politi eller retslige myndigheders adgang til eller anvendelse af data ( 19 ). Jeg udleder heraf, at bestemmelser i national lovgivning, som fastsætter en lagringspligt, der svarer til den, der var fastsat i direktiv 2006/24, heller ikke henhører under det strafferetlige område.

97. Henset til det ovenstående er det min opfattelse, at en generel pligt til datalagring ikke er omfattet af den undtagelse, der er fastsat i artikel 1, stk. 3, i direktiv 2002/58, og dermed falder ind under direktivets anvendelsesområde.

2. Om muligheden for at fravige den ordning, der er fastsat i direktiv 2002/58, ved at fastsætte en generel pligt til datalagring

98. Det skal nu fastlægges, om en generel pligt til datalagring er forenelig med den ordning, der er indført ved direktiv 2002/58.

99. I denne forbindelse opstår spørgsmålet om, hvorvidt det er muligt for en medlemsstat at anvende den mulighed, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58, med henblik på at pålægge en sådan pligt.

100. Der er blevet fremsat fire argumenter mod en sådan mulighed, bl.a. af Open Rights Group og Privacy International.

101. Ifølge det første argument kan den omstændighed, at medlemsstaterne tillægges en beføjelse til at vedtage en generel pligt til datalagring, bringe det harmoniseringsformål, som er begrundelsen for direktiv 2002/58, i fare. Ifølge direktivets artikel 1, stk. 1, tager det nemlig sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatlivets fred og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i Unionen.

102. Artikel 15, stk. 1, i direktiv 2002/58 kan derfor ikke fortolkes således, at det giver medlemsstaterne beføjelse til at vedtage en undtagelse fra den ordning, der fastsættes i direktivet, af et sådant omfang, at denne harmoniseringsbestræbelse fratages enhver effektiv virkning.

103. Ifølge det andet argument er ordlyden af artikel 15, stk. 1, i direktiv 2002/58 ligeledes til hinder for en så vid fortolkning af medlemsstaternes beføjelse til at fravige den ordning, der er fastsat i direktivet. Det følger nemlig af denne bestemmelse, at »[m]edlemsstaterne kan vedtage retsforskrifter med henblik på at indskrænke rækkevidden af de rettigheder og forpligtelser, der omhandles i [direktivets] artikel 5, artikel 6, artikel 8, stk. 1, 2, 3 og 4, og artikel 9« (min fremhævelse).

104. En generel pligt til datalagring er imidlertid ikke begrænset til at »indskrænke rækkevidden« af de rettigheder og forpligtelser, der er nævnt i bestemmelsen, men fratager disse rettigheder og forpligtelser enhver virkning. Dette er tilfældet for: — forpligtelsen til at sikre trafikdatahemmeligheden og forpligtelsen til at undergive lagring af oplysninger en betingelse om brugerens samtykke, som henholdsvis er fastsat i artikel 5, stk. 1 og 3, i direktiv 2002/58 — forpligtelsen til at slette eller anonymisere trafikdata, som er fastsat i direktivets artikel 6, stk. 1, og — forpligtelsen til at anonymisere lokaliseringsdata eller til at opnå brugerens samtykke til behandlingen heraf, som er pålagt ved direktivets artikel 9, stk. 1.

105. Af de følgende grunde kan disse to første argumenter efter min opfattelse ikke tiltrædes.

106. For det første nævner ordlyden af artikel 15, stk. 1, i direktiv 2002/58 medlemsstaternes mulighed for at vedtage »retsforskrifter om lagring af data i en begrænset periode«. Denne udtrykkelige henvisning til datalagringsforpligtelser bekræfter, at sådanne forpligtelser ikke i sig selv er uforenelige med den ordning, der er fastsat i direktiv 2002/58. Selv om denne formulering ikke udtrykkeligt foreskriver en mulighed for at vedtage en generel pligt til datalagring, må det fastslås, at den heller ikke forbyder det.

107. For det andet præciseres det i 11. betragtning til direktiv 2002/58, at direktivet ikke ændrer »den nuværende balance mellem enkeltpersoners ret til privatlivets fred og medlemsstaternes mulighed for, jf. artikel 15, stk. 1, i dette direktiv, at træffe de foranstaltninger, der er nødvendige til beskyttelse af den offentlige sikkerhed, forsvaret, statens sikkerhed (herunder statens økonomiske interesser, når disse aktiviteter er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område. Dette direktiv berører derfor ikke medlemsstaternes mulighed for lovligt at opfange elektronisk kommunikation eller træffe andre foranstaltninger, hvis det er nødvendigt med et af disse formål for øje og i overensstemmelse med [EMRK]«.

108. Det følger efter min opfattelse af nævnte 11. betragtning, at EU-lovgivers hensigt ikke var at gribe ind i medlemsstaternes mulighed for at vedtage de foranstaltninger, der er omhandlet i artikel 15, stk. 1, i direktiv 2002/58, men derimod at undergive denne mulighed visse krav, som bl.a. vedrører de forfulgte mål og disse foranstaltningers forholdsmæssighed. Med andre ord er en generel pligt til datalagring efter min opfattelse ikke uforenelig med den ordning, der er fastsat i direktivet, såfremt den overholder visse betingelser.

109. Ifølge det tredje argument skal artikel 15, stk. 1, i direktiv 2002/58 i sin egenskab af undtagelse fra den ordning, der er fastsat i direktivet, være genstand for en streng fortolkning, hvilket følger af en fortolkningsregel i Domstolens faste praksis. Denne regel om en streng fortolkning forbyder, at denne bestemmelse fortolkes således, at den giver mulighed for at pålægge en generel pligt til datalagring.

110. I denne henseende er det min opfattelse, at den mulighed, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58, ikke kan kvalificeres som en undtagelse og følgelig ikke skal undergives en streng fortolkning, således som Kommissionen med rette har anført. Det forekommer mig således vanskeligt at kvalificere denne mulighed som en undtagelse, henset til den ovenfor nævnte 11. betragtning, ifølge hvilken direktivet ikke berører medlemsstaternes mulighed for at vedtage de foranstaltninger, der er omhandlet i bestemmelsen. Det bemærkes desuden, at direktivets artikel 15 har overskriften »Anvendelsesområdet for visse bestemmelser i direktiv 95/46/EF«, mens direktivets artikel 10 udtrykkeligt har overskriften »Undtagelsesbestemmelser«. Disse overskrifter bestyrker mig i den opfattelse, at den i artikel 15 fastsatte mulighed ikke kan kvalificeres som en »undtagelse«.

111. Ifølge det fjerde og sidste argument underbygges uforeneligheden af en generel pligt til datalagring med den ordning, der er fastsat i direktiv 2002/58, ved tilføjelsen af direktivets artikel 15, stk. 1a, i forbindelse med vedtagelsen af direktiv 2006/24, som blev kendt ugyldigt ved Digital Rights-dommen. I medfør af dette argument var det denne uforenelighed, der ledte EU-lovgiver til at fastslå, at artikel 15, stk. 1, i direktiv 2002/58 ikke finder anvendelse på den ordning for generel lagring, der var fastsat i direktiv 2006/24.

112. Dette argument synes efter min opfattelse at hvile på en fejlagtig forståelse af rækkevidden af artikel 15, stk. 1a, i direktiv 2002/58. I medfør af denne bestemmelse »[finder artikel 15, stk. 1, i direktiv 2002/58] ikke anvendelse på data, der udtrykkelig kræves lagret i henhold til [direktiv 2006/24] til de formål, der er omhandlet i nævnte direktivs artikel 1, stk. 1«.

113. Jeg fortolker denne bestemmelse på følgende måde. For så vidt angår data, som i medfør af direktiv 2006/24 kræves lagret til de formål, der er fastsat heri, har medlemsstaterne mistet den i artikel 15, stk. 1, i direktiv 2002/58 fastsatte mulighed til yderligere at indskrænke rækkevidden af de rettigheder og forpligtelser, der er omhandlet i bestemmelsen, herunder ved hjælp af supplerende forpligtelser til datalagring. Med andre ord fastsætter artikel 15, stk. 1a, en udtømmende harmonisering for så vidt angår data, som i medfør af direktiv 2006/24 kræves lagret til de formål, der er fastsat heri.

114. Efter min opfattelse bekræftes denne fortolkning af 12. betragtning til direktiv 2006/24, hvoraf fremgår, at »[a]rtikel 15, stk. 1, i direktiv [2002/58] [fortsat vil] finde anvendelse for data, herunder data om forgæves opkaldsforsøg, der ikke udtrykkelig kræves lagret i henhold til nærværende direktiv og dermed falder uden for dets anvendelsesområde, samt for lagring til andre, herunder retlige, formål end dem, der er omfattet af nærværende direktiv« (min fremhævelse).

115. Indsættelsen af artikel 15, stk. 1a, i direktiv 2002/58 vidner således ikke om uforeneligheden af en generel pligt til datalagring med den ordning, der er fastsat i direktivet, men derimod om EU-lovgivers ønske om at foretage en udtømmende harmonisering med direktiv 2006/24.

116. Henset til det ovenstående finder jeg, at en generel pligt til datalagring er forenelig med den ordning, der er fastsat i direktiv 2002/58, og følgelig, at det er muligt for en medlemsstat at anvende den mulighed, som direktivets artikel 15, stk. 1, giver med henblik på at pålægge en sådan pligt ( 20 ). Anvendelsen af denne mulighed er imidlertid undergivet en betingelse om overholdelse af strenge krav, som ikke alene følger af denne bestemmelse, men også af relevante bestemmelser i chartret, sammenholdt med Digital Rights-dommen, som vil blive behandlet i et efterfølgende afsnit ( 21 ).

C – Om chartret finder anvendelse på en generel pligt til datalagring

117. Inden undersøgelsen af indholdet af de krav, som pålægges ved chartret, sammenholdt med artikel 15, stk. 1, i direktiv 2002/58, såfremt en medlemsstat vælger at indføre en generel pligt til datalagring, skal det efterprøves, om chartret finder anvendelse på en sådan pligt.

118. Spørgsmålet om, hvorvidt chartret finder anvendelse på en generel pligt til datalagring, afhænger grundlæggende af, om direktiv 2002/58 finder anvendelse på en sådan pligt.

119. Det følger nemlig af chartrets artikel 51, stk. 1, første punktum, at »[b]estemmelserne i [chartret] er rettet til […] medlemsstaterne, dog kun når de gennemfører EU-retten«. Forklaringerne til chartrets artikel 51 henviser i denne henseende til Domstolens praksis, ifølge hvilken forpligtelsen til at respektere de grundlæggende rettigheder, der er fastlagt inden for rammerne af Unionen, kun påhviler medlemsstaterne, når de handler inden for rammerne af EU-retten ( 22 ).

120. Den tjekkiske, den franske og den polske regering samt Det Forenede Kongeriges regering, som har bestridt, at direktiv 2002/58 finder anvendelse på en generel pligt til datalagring ( 23 ), har ligeledes gjort gældende, at chartret ikke finder anvendelse på en sådan pligt.

121. Jeg har allerede redegjort for grundene til, at jeg finder, at en generel pligt til datalagring udgør en gennemførelse af den mulighed, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58 ( 24 ).

122. Det er følgelig min opfattelse, at chartrets bestemmelser i henhold til dets artikel 51, stk. 1, finder anvendelse på nationale foranstaltninger, som indfører en sådan pligt, således som Tom Watson, Peter Brice, Geoffrey Lewis, Open Rights Group, Privacy International, den danske, den tyske og den finske regering samt Kommissionen har gjort gældende ( 25 ).

123. Denne konklusion berøres ikke af den omstændighed, at de nationale bestemmelser, som regulerer adgangen til de lagrede data, ikke i sig selv falder ind under chartrets anvendelsesområde.

124. For så vidt som de vedrører »statens aktiviteter på det strafferetlige område«, er de nationale bestemmelser, som regulerer politiets og de retslige myndigheders adgang til de lagrede data med henblik på bekæmpelse af grov kriminalitet, ganske vist efter min opfattelse omfattet af undtagelsen i artikel 1, stk. 3, i direktiv 2002/58 ( 26 ). Sådanne nationale bestemmelser gennemfører følgelig ikke EU-retten, således at chartret heller ikke finder anvendelse herpå.

125. Begrundelsen for en datalagringspligt er imidlertid at gøre det muligt for de retshåndhævende myndigheder at få adgang til de lagrede data, således at problemstillingen med hensyn til henholdsvis lagring og adgang ikke fuldstændigt kan adskilles. Som Kommissionen med rette har fremhævet, har de bestemmelser, der regulerer adgangen, afgørende betydning med hensyn til bedømmelsen af, om de bestemmelser, der indfører en generel pligt til datalagring, og som gennemfører artikel 15, stk. 1, i direktiv 2002/58, er forenelige med chartret. De bestemmelser, der regulerer adgangen, skal nærmere bestemt tages i betragtning ved vurderingen af nødvendigheden og forholdsmæssigheden af en sådan pligt ( 27 ).

D – Om foreneligheden af en generel pligt til datalagring med de krav, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58 og i chartrets artikel 7, artikel 8 og artikel 52, stk. 1

126. Tilbage står nu at undersøge det vanskelige spørgsmål om, hvorvidt en generel pligt til datalagring er forenelig med de krav, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58 og i chartrets artikel 7, artikel 8 og artikel 52, stk. 1, sammenholdt med Digital Rights-dommen. Dette spørgsmål vedrører mere generelt den nødvendige tilpasning af den retlige ramme for staternes overvågningskapacitet, som er blevet udvidet betydeligt som følge af den seneste teknologiske udvikling ( 28 ).

127. Det første trin af enhver analyse i denne sammenhæng består i konstateringen af, at der foreligger et indgreb i de rettigheder, der er fastsat i direktiv 2002/58, og de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8.

128. En sådan pligt udgør således et alvorligt indgreb i retten til respekt for privatlivet, som er sikret ved chartrets artikel 7, og retten til beskyttelse af personoplysninger, som er sikret ved chartrets artikel 8. Jeg finder det ufornødent at uddybe yderligere med hensyn til konstateringen af, at der foreligger et indgreb, hvilket Domstolen klart fastslog i Digital Rights-dommens præmis 32-37 ( 29 ). En generel pligt til datalagring udgør ligeledes et indgreb i flere af de rettigheder, der er fastsat i direktiv 2002/58 ( 30 ).

129. Det andet trin af analysen består i at fastlægge, om dette alvorlige indgreb i de rettigheder, der er fastsat i direktiv 2002/58, og de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, kan begrundes, og under hvilke betingelser.

130. To bestemmelser fastsætter de betingelser, der skal være opfyldt, for at disse indgreb er begrundede: artikel 15, stk. 1, i direktiv 2002/58, som fastsætter medlemsstaternes mulighed for at begrænse rækkevidden af visse af de rettigheder, der er fastsat i direktivet, og chartrets artikel 52, stk. 1, sammenholdt med Digital Rights-dommen, som regulerer enhver begrænsning af udøvelsen af de rettigheder, der er sikret ved chartret.

131. Det skal fremhæves, at disse krav er kumulative. Overholdelsen af de krav, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58, indebærer således ikke i sig selv, at kravene i chartrets artikel 52, stk. 1, er opfyldt, og omvendt ( 31 ). En generel pligt til datalagring kan følgelig ikke anses for forenelig med EU-retten, medmindre den opfylder både de krav, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58, og de krav, der er fastsat i chartrets artikel 52, stk. 1, således som Law Society of England and Wales har fremhævet ( 32 ).

132. Disse to bestemmelser fastsætter seks krav, som skal være opfyldt, for at det indgreb, som en generel pligt til datalagring indebærer, kan begrundes: — Lagringspligten skal have et retsgrundlag. — Den skal respektere det væsentligste indhold af de rettigheder og friheder, der er sikret ved chartret. — Den skal forfølge et mål af almen interesse. — Den skal være passende med hensyn til at forfølge dette mål. — Den skal være nødvendig for at forfølge dette mål. — Den skal være forholdsmæssig i et demokratisk samfund ved forfølgelsen af dette mål.

133. Flere af disse betingelser er allerede blevet nævnt af Domstolen i Digital Rights-dommen. Af klarhedshensyn, og henset til de særlige omstændigheder i nærværende sager i forhold til Digital Rights-sagen, ønsker jeg imidlertid at behandle hver af disse betingelser ved at foretage en detaljeret undersøgelse af kravene vedrørende retsgrundlaget og den nødvendige og forholdsmæssige karakter af en generel pligt til datalagring i et demokratisk samfund.

1. Om kravet om et retsgrundlag i national ret

134. Såvel chartrets artikel 52, stk. 1, som artikel 15, stk. 1, i direktiv 2002/58 fastsætter krav til det retsgrundlag, som en medlemsstat skal anvende for at pålægge en generel pligt til datalagring.

135. For det første skal enhver begrænsning i udøvelsen af de rettigheder, der anerkendes ved chartret, være »fastlagt i lovgivningen« i medfør af chartrets artikel 52, stk. 1. Jeg præciserer, at dette krav ikke blev formelt behandlet af Domstolen i Digital Rights-dommen, som vedrørte et indgreb fastsat i et direktiv.

136. Frem til den nylige afsigelse af dom WebMindLicenses ( 33 ) havde Domstolen aldrig udtalt sig om den nøjagtige rækkevidde af dette krav, heller ikke i tilfælde, hvor den udtrykkeligt fastslog, at dette krav enten var ( 34 ) eller ikke var ( 35 ) opfyldt. I nævnte doms præmis 81 udtalte Domstolens Tredje Afdeling følgende: »I denne forbindelse må det fremhæves, at kravet om, at enhver begrænsning af udøvelsen af denne rettighed skal være fastlagt i lovgivningen, indebærer, at det retsgrundlag, som tillader afgiftsmyndigheden at anvende de beviser, der er nævnt i ovenstående præmis, skal være tilstrækkeligt klart og præcist, og at det ved selv at definere rækkevidden af begrænsningen af udøvelsen af rettigheden, der er sikret ved chartrets artikel 7, giver en vis beskyttelse mod eventuelle vilkårlige indgreb fra denne myndighed (jf. bl.a. Den Europæiske Menneskerettighedsdomstols dom i sagen Malone mod Det Forenede Kongerige, 2.8.1984, serie A, nr. 82, § 67, og i sagen Gillan og Quinton mod Det Forenede Kongerige, 12.1.2010, nr. 4158/05, § 77, ECHR 2010).«

137. Af de følgende grunde vil jeg opfordre Domstolens Store Afdeling til at bekræfte denne fortolkning i nærværende sager.

138. Som generaladvokat Cruz Villalón med rette anførte i forslag til afgørelse Scarlet Extended ( 36 ), har Den Europæiske Menneskerettighedsdomstol udviklet en rig retspraksis vedrørende dette krav inden for rammerne af EMRK, som er karakteriseret ved, at begrebet »lov« skal forstås materielt og ikke formelt ( 37 ).

139. Ifølge denne retspraksis indebærer udtrykket »i overensstemmelse med loven«, at retsgrundlaget skal være tilstrækkeligt tilgængeligt og forudsigeligt, dvs. være affattet tilstrækkeligt præcist til, at en person, om fornødent efter at have indhentet kyndige råd, kan tilpasse sin adfærd. Retsgrundlaget skal ligeledes yde en tilstrækkelig beskyttelse mod vilkårlighed og følgelig tilstrækkeligt klart fastsætte omfanget af og fremgangsmåden ved udøvelsen af de beføjelser, der tillægges de kompetente myndigheder (retsstatsprincippet) ( 38 ).

140. Af de følgende grunde er det efter min opfattelse nødvendigt, at udtrykket »fastlagt i lovgivningen«, som er anvendt i chartrets artikel 52, stk. 1, tillægges en tilsvarende rækkevidde, som ovennævnte udtryk er tillagt inden for rammerne af EMRK.

141. For det første følger det af chartrets artikel 53 og af forklaringerne til denne artikel, at det beskyttelsesniveau, der tillægges ved chartret, aldrig må være ringere end det, der er sikret ved EMRK. Dette forbud mod at underskride »EMRK-tærsklen« indebærer, at Domstolens fortolkning af udtrykket »fastlagt i lovgivningen« som anvendt i chartrets artikel 52, stk. 1, skal være mindst lige så streng som Den Europæiske Menneskerettighedsdomstols fortolkning inden for rammerne af EMRK ( 39 ).

142. Henset til den horisontale karakter af dette krav, som finder anvendelse på flere typer indgreb såvel inden for rammerne af chartret som inden for rammerne af EMRK ( 40 ), vil det for det andet være uhensigtsmæssigt at underlægge medlemsstaterne forskellige kriterier, alt efter om indgrebet undersøges i forhold til det ene eller det andet af disse instrumenter ( 41 ).

143. Det er derfor min vurdering, at udtrykket »fastlagt i lovgivningen« som anvendt i chartrets artikel 52, stk. 1, skal fortolkes i lyset af den retspraksis fra Den Europæiske Menneskerettighedsdomstol, som er sammenfattet i punkt 139 i nærværende forslag til afgørelse, således at en generel pligt til datalagring som den i hovedsagerne omhandlede skal være fastlagt i henhold til et retsgrundlag, som dels er tilstrækkeligt tilgængeligt og forudsigeligt, dels giver en tilstrækkelig beskyttelse mod vilkårlighed, således som den estiske regering og Kommissionen har gjort gældende.

144. For det andet skal det fastlægges, hvilke krav der følger af artikel 15, stk. 1, i direktiv 2002/58 for så vidt angår det retsgrundlag, som en medlemsstat skal anvende, hvis den ønsker at gøre brug af den mulighed, der er fastsat i nævnte bestemmelse.

145. I denne henseende vil jeg påpege, at der foreligger en afvigelse mellem sprogversionerne for så vidt angår bestemmelsens første punktum.

146. I den engelske (»legislative measures«), den franske (»mesures législatives«), den italienske (»disposizioni legislative«), den portugisiske (»medidas legislativas«), den rumænske (»măsuri legislative«) og den svenske sprogversion (»genom lagstiftning vidta åtgärder«) kræver artikel 15, stk. 1, første punktum, i direktiv 2002/58 efter min opfattelse, at den lovgivende magt vedtager foranstaltninger.

147. I den danske (»retsforskrifter«), den tyske (»Rechtsvorschriften«), den nederlandske (»wettelijke maatregele«) og den spanske sprogversion (»medidas legales«) kan dette punktum derimod fortolkes således, at det enten kræves, at den lovgivende magt vedtager lovgivningsmæssige foranstaltninger, eller at den udøvende magt vedtager administrative foranstaltninger.

148. Ifølge fast retspraksis udelukker nødvendigheden af en ensartet anvendelse og dermed fortolkning af en EU-retsakt, at denne betragtes isoleret i en af sine versioner, idet det tværtimod er påkrævet, at den fortolkes i overensstemmelse med såvel ophavsmandens virkelige vilje som det af denne forfulgte mål, navnlig i lyset af dens affattelse på alle de øvrige officielle sprog. I tilfælde af forskelle mellem disse skal den pågældende bestemmelse fortolkes på baggrund af den almindelige opbygning af og formålet med de retsforskrifter, som den indgår i ( 42 ).

149. I det foreliggende tilfælde regulerer artikel 15, stk. 1, i direktiv 2002/58 medlemsstaternes mulighed for at fravige de grundlæggende rettigheder, der er fastsat i chartrets artikel 7 og 8, hvis beskyttelse gennemføres ved direktivet. Jeg finder det derfor hensigtsmæssigt at fortolke det krav om retsgrundlag, der er fastsat i artikel 15, stk. 1, i direktiv 2002/58, i lyset af chartret, navnlig dets artikel 52, stk. 1.

150. De »forskrifter«, der kræves i henhold til artikel 15, stk. 1, i direktiv 2002/58, skal derfor nødvendigvis være kendetegnet ved tilgængelighed, forudsigelighed og en tilstrækkelig beskyttelse mod vilkårlighed som nævnt i punkt 143 i nærværende forslag til afgørelse. Det følger bl.a. af disse kendetegn, herunder navnlig kravet om tilstrækkelig beskyttelse mod vilkårlighed, at disse forskrifter skal være bindende for de nationale myndigheder, som får tildelt adgangsbeføjelser til lagrede data. Det er navnlig ikke tilstrækkeligt, at de garantier, der gælder for adgangen til disse data, er fastsat i kodekser eller interne retningslinjer, som ikke har en sådan bindende karakter, således som Law Society of England and Wales med rette har fremhævet.

151. Udtrykket »medlemsstaterne kan vedtage [forskrifter]«, som er fælles for alle sprogversionerne af artikel 15, stk. 1, første punktum, i direktiv 2002/58, forekommer mig desuden at udelukke muligheden for, at national retspraksis, selv hvis den er fast, kan udgøre et tilstrækkeligt retsgrundlag for at gennemføre denne bestemmelse. Det skal fremhæves, at nævnte bestemmelse for så vidt går videre end de krav, der følger af Den Europæiske Menneskerettighedsdomstols retspraksis ( 43 ).

152. Henset til alvorligheden af de indgreb, som en generel pligt til datalagring gør i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, vil jeg tilføje, at det efter min opfattelse er ønskeligt, at det væsentligste indhold af den omhandlede ordning, og navnlig indholdet af de garantier, der gælder i forbindelse med nævnte pligt, fastlægges i en forskrift, som vedtages af den lovgivende magt, hvorved den udøvende magt kan præcisere den nærmere fremgangsmåde for anvendelsen heraf.

153. På grundlag af det ovenstående finder jeg, at artikel 15, stk. 1, i direktiv 2002/58 og chartrets artikel 52, stk. 1, skal fortolkes således, at en ordning, som indfører en generel pligt til datalagring som den i hovedsagerne omhandlede, skal fastsættes ved retsforskrifter eller administrative foranstaltninger, som er kendetegnet ved tilgængelighed, forudsigelighed og en tilstrækkelig beskyttelse mod vilkårlighed.

154. Det tilkommer de forelæggende retter at efterprøve, om dette krav er opfyldt, da de er bedst egnede til at undersøge deres respektive nationale ordninger.

2. Om respekten af det væsentligste indhold af de rettigheder, der er anerkendt ved chartrets artikel 7 og 8

155. Det følger af chartrets artikel 52, stk. 1, at enhver begrænsning i udøvelsen af de rettigheder, der anerkendes herved, »skal respektere disse rettigheders […] væsentligste indhold« ( 44 ). Dette aspekt, som Domstolen behandlede i Digital Rights-dommens præmis 39 og 40 i sammenhæng med direktiv 2006/24, synes ikke at volde særlige problemer inden for rammerne af nærværende sager, således som den spanske regering, Irland og Kommissionen har anført.

156. I Digital Rights-dommens præmis 39 udtalte Domstolen, at nævnte direktiv ikke indebar en krænkelse af det væsentligste indhold af retten til respekt for privatlivet og de øvrige rettigheder, som er fastslået i chartrets artikel 7, eftersom direktivet ikke gav adgang til at gøre sig bekendt med selve indholdet af de elektroniske kommunikationer.

157. Denne vurdering kan efter min opfattelse overføres på de i hovedsagerne omhandlede nationale ordninger, eftersom disse heller ikke giver adgang til at gøre sig bekendt med selve indholdet af den elektroniske kommunikation ( 45 ).

158. I Digital Rights-dommens præmis 40 fastslog Domstolen, at direktiv 2006/24 ikke indebar en krænkelse af det væsentligste indhold af den grundlæggende ret til beskyttelse af personoplysninger, som er fastslået i chartrets artikel 8, henset til de principper om databeskyttelse og datasikkerhed, som udbyderne skulle respektere i medfør af direktivets artikel 7, og i overensstemmelse med hvilke medlemsstaterne skulle sikre iværksættelsen af de fornødne tekniske og organisatoriske foranstaltninger mod hændelig eller ulovlig tilintetgørelse eller hændeligt tab eller forringelse af data.

159. Det er igen min opfattelse, at denne vurdering kan overføres på de i hovedsagerne omhandlede nationale ordninger, eftersom disse ordninger forekommer mig at fastsætte tilsvarende garantier for så vidt angår beskyttelsen og sikkerheden af de data, som udbyderne lagrer, idet disse garantier skal gøre det muligt effektivt at beskytte personoplysninger mod risikoen for misbrug og mod ulovlig adgang til og anvendelse af disse oplysninger ( 46 ).

160. Det tilkommer imidlertid de forelæggende retter i lyset af ovenstående betragtninger at efterprøve, om de i hovedsagerne omhandlede nationale ordninger faktisk respekterer det væsentligste indhold af de rettigheder, der er sikret ved chartrets artikel 7 og 8.

3. Om der foreligger et mål af almen interesse, der er anerkendt i Unionen, og som kan begrunde en generel pligt til datalagring

161. Det kræves i medfør af såvel artikel 15, stk. 1, i direktiv 2002/58 som chartrets artikel 52, stk. 1, at ethvert indgreb i de rettigheder, som er sikret ved disse instrumenter, skal forfølge et mål af almen interesse.

162. I Digital Rights-dommens præmis 41-44 udtalte Domstolen dels, at den generelle pligt til datalagring, som var fastsat i direktiv 2006/24, bidrog til »bekæmpelsen af grov kriminalitet og dermed i sidste ende til den offentlige sikkerhed«, dels, at bekæmpelsen heraf udgør et mål af almen interesse for Unionen.

163. Det fremgår således af Domstolens praksis, at bekæmpelsen af international terrorisme med henblik på opretholdelse af international fred og sikkerhed udgør et mål af almen interesse for Unionen. Det samme gælder for bekæmpelsen af grov kriminalitet med henblik på at sikre den offentlige sikkerhed. I øvrigt bemærkes i denne henseende, at chartrets artikel 6 fastslår, at enhver har ret til ikke alene frihed, men også sikkerhed ( 47 ).

164. Denne vurdering kan overføres på den i hovedsagerne omhandlede generelle pligt til datalagring, som kan begrundes i målet om bekæmpelsen af grov kriminalitet.

165. Henset til visse argumenter, der er fremsat for Domstolen, skal det ikke desto mindre fastlægges, om en sådan pligt kan begrundes i et andet mål af almen interesse end målet om at bekæmpe grov kriminalitet.

166. I denne henseende nævner ordlyden af chartrets artikel 52, stk. 1, på generel vis »mål af almen interesse, der er anerkendt af Unionen«, og »et behov for beskyttelse af andres rettigheder og friheder«.

167. Ordlyden af artikel 15, stk. 1, i direktiv 2002/58 er mere præcis for så vidt angår de mål, som kan begrunde et indgreb i rettigheder, der er fastsat i direktivet. Ifølge denne bestemmelse skal de pågældende foranstaltninger således være »af hensyn til den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem efter artikel 13, stk. 1, i direktiv 95/46/EF«.

168. I Promusicae-dommen ( 48 ) fastslog Domstolen desuden, at bestemmelsen skal fortolkes i lyset af artikel 13, stk. 1, i direktiv 95/46, som tillader undtagelser fra de rettigheder, der er fastsat i nævnte direktiv, såfremt de er begrundet i »beskyttelsen af andres rettigheder og frihedsrettigheder«. Domstolen fastslog følgelig, at artikel 15, stk. 1, i direktiv 2002/58 giver medlemsstaterne mulighed for at fastsætte en pligt for en udbyder til under en civil retssag at videregive personoplysninger med henblik på fastlæggelsen af, om der foreligger en krænkelse af ophavsrettigheder til musikoptagelser og audiovisuelle optagelser.

169. Det Forenede Kongeriges regering har på baggrund af nævnte dom gjort gældende, at en generel pligt til datalagring kan begrundes i ethvert mål, der er nævnt i enten artikel 15, stk. 1, i direktiv 2002/58 eller artikel 13, stk. 1, i direktiv 95/46. Ifølge denne regering kan en sådan pligt begrundes i den omstændighed, at de lagrede data er nyttige i forbindelse med bekæmpelsen af »simpel« kriminalitet (i modsætning til »grov« kriminalitet) eller endog inden for ikke-strafferetlige procedurer i forbindelse med de mål, der er nævnt i disse bestemmelser.

170. Af de følgende grunde overbeviser denne argumentation mig ikke.

171. Som Tom Watson, Open Rights Group og Privacy International med rette har fremhævet, kan den tilgang, som Domstolen anvendte i Promusicae-dommen ( 49 ), for det første ikke overføres på nærværende sager, eftersom den vedrørte en anmodning indgivet af en sammenslutning af indehavere af ophavsrettigheder om adgang til data, som en udbyder, nemlig Telefónica de España, af egen drift havde lagret. Med andre ord vedrørte denne dom ikke de mål, der kan begrunde sådanne alvorlige indgreb i grundlæggende rettigheder, som en generel pligt til datalagring som de i hovedsagerne omhandlede indebærer.

172. Det er for det andet min vurdering, at kravet om forholdsmæssighed i et demokratisk samfund udelukker, at bekæmpelsen af simpel kriminalitet eller hensynet til sagsforløbet i sager, der ikke er straffesager, kan begrunde en generel pligt til datalagring. De betydelige risici, som en sådan pligt medfører, står ikke i et rimeligt forhold til de fordele, som en sådan pligt bibringer for bekæmpelsen af simpel kriminalitet eller inden for rammerne af sager, der ikke er straffesager ( 50 ).

173. Henset til det ovenstående finder jeg, at artikel 15, stk. 1, i direktiv 2002/58 og chartrets artikel 52, stk. 1, skal fortolkes således, at bekæmpelsen af grov kriminalitet udgør et mål af almen interesse, der kan begrunde en generel pligt til datalagring, til forskel fra bekæmpelsen af simpel kriminalitet eller hensynet til sagsforløbet i sager, der ikke er straffesager.

174. Det skal derfor undersøges, om en sådan pligt, henset til målet om bekæmpelse af grov kriminalitet, er passende, nødvendig og forholdsmæssig.

4. Om en generel pligt til datalagring er passende, henset til bekæmpelsen af grov kriminalitet

175. Kravene om en passende, nødvendig ( 51 ) og forholdsmæssig ( 52 ) karakter følger af såvel artikel 15, stk. 1, i direktiv 2002/58 som chartrets artikel 52, stk. 1.

176. I medfør af det første af disse krav skal en generel pligt til datalagring som den i hovedsagerne omhandlede være egnet til at bidrage til det mål af almen interesse, der er identificeret ovenfor, dvs. bekæmpelsen af grov kriminalitet.

177. Dette krav giver ikke anledning til særlige vanskeligheder i forbindelse med nærværende sager. Som Domstolen i det væsentlige fastslog i Digital Rights-dommens præmis 49, giver lagrede data de kompetente nationale myndigheder på det strafferetlige område et yderligere efterforskningsmiddel med henblik på at forebygge eller opklare grov kriminalitet. En sådan pligt bidrager følgelig til bekæmpelsen af grov kriminalitet.

178. Jeg ønsker imidlertid at præcisere, hvilken nytte en generel pligt til datalagring kan gøre i forbindelse med bekæmpelsen af grov kriminalitet. Som den franske regering med rette har gjort gældende, gør en sådan pligt det i et vist omfang muligt for de retshåndhævende myndigheder at »læse fortiden« ved at få adgang til de lagrede data, hvilket ikke er tilfældet for målrettede overvågningsforanstaltninger.

179. En målrettet overvågningsforanstaltning vedrører de personer, som på forhånd er identificeret som havende en – selv indirekte eller fjern – forbindelse til grov kriminalitet. Sådanne målrettede foranstaltninger gør det muligt for de kompetente myndigheder at få adgang til data om disse personers kommunikation eller til kommunikationens indhold. Denne adgang kan imidlertid kun omfatte den kommunikation, som disse personer foretager, efter de er blevet identificeret.

180. En generel pligt til datalagring omfatter derimod al kommunikation foretaget af alle brugere, uden at der herved er fastsat et krav om, at der består en forbindelse til grov kriminalitet. En sådan pligt gør det muligt for de kompetente myndigheder at få adgang til kommunikationshistorikken for en person, inden den pågældende er blevet identificeret som havende en sådan forbindelse. På denne måde giver en sådan pligt de retshåndhævende myndigheder en begrænset mulighed for at læse fortiden, idet den giver dem adgang til kommunikation foretaget af sådanne personer inden deres identifikation ( 53 ).

181. Med andre ord består nytten af en generel pligt til datalagring i forbindelse med bekæmpelsen af grov kriminalitet i denne begrænsede mulighed for at læse fortiden ved hjælp af data, som gengiver kommunikationshistorikken for en person, selv inden denne person var mistænkt for at have forbindelse til grov kriminalitet ( 54 ).

182. Ved fremlæggelsen af det direktivforslag, som førte til vedtagelsen af direktiv 2006/24, illustrerede Kommissionen denne nytte ved hjælp af flere konkrete eksempler fra efterforskninger om bl.a. terrorangreb, drab, bortførelse og børnepornografi ( 55 ).

183. Flere lignende eksempler er blevet fremlagt for Domstolen inden for rammerne af nærværende sager, bl.a. af den franske regering, som har fremhævet den positive pligt, der påhviler medlemsstaterne med hensyn til at garantere sikkerheden for de personer, der befinder sig på dens område. Ifølge denne regering har adgang til lagrede data i forbindelse med efterforskninger til opløsning af de netværk, som har organiseret franske statsborgeres afrejse til konfliktområder i Irak eller Syrien, spillet en afgørende rolle ved identificeringen af de personer, som var ansvarlige for denne afrejse. Nævnte regering har hertil tilføjet, at adgangen til kommunikationsdata for personer, der var indblandet i de nylige terrorangreb i januar og november 2015 i Frankrig, har været overordentligt nyttige for efterforskerne med henblik på at afdække de medskyldige i disse angreb. I forbindelse med eftersøgningen af forsvundne personer kan data om den forsvundne persons lokalitet under kommunikation foretaget inden den pågældendes forsvinden spille en afgørende rolle for efterforskningen.

184. Henset til de ovenstående betragtninger finder jeg, at en generel pligt til datalagring er egnet til at bidrage til bekæmpelsen af grov kriminalitet. Det skal imidlertid stadig undersøges, om en sådan pligt er både nødvendig og forholdsmæssig i forhold til dette mål.

5. Om en generel pligt til datalagring er nødvendig henset til bekæmpelsen af grov kriminalitet

185. Ifølge fast retspraksis kan en foranstaltning kun anses for nødvendig, såfremt der ikke findes andre foranstaltninger, der er lige så passende, men mindre indgribende ( 56 ).

186. I forbindelse med kravet om en passende karakter skal der foretages en undersøgelse af den »absolutte« effektivitet – uafhængigt af, hvilke andre foranstaltninger der er mulige – af en generel pligt til datalagring i forhold til bekæmpelsen af grov kriminalitet. Kravet om nødvendighed medfører for sit vedkommende, at virkningsgraden – eller den »relative« effektivitet, dvs. sammenlignet med enhver anden mulig foranstaltning – af en sådan pligt skal undersøges ( 57 ).

187. Inden for rammerne af nærværende sager kræver prøvelsen af nødvendigheden, at det efterprøves dels, om andre foranstaltninger ville kunne være lige så effektive som en generel pligt til datalagring ved bekæmpelsen af grov kriminalitet, dels, om disse eventuelle andre foranstaltninger er mindre indgribende i de rettigheder, der er sikret ved direktiv 2002/58 og chartrets artikel 7 og 8 ( 58 ).

188. Jeg henviser i øvrigt til fast retspraksis, som er nævnt i Digital Rights-dommens præmis 52, hvorefter hensynet til beskyttelsen af den grundlæggende ret til privatliv kræver, at undtagelserne fra og begrænsningerne af beskyttelsen af personoplysninger skal holdes inden for det »strengt nødvendige« ( 59 ).

189. To problemstillinger, der berører kravet om streng nødvendighed inden for rammerne af nærværende sager, er blevet drøftet indgående af de parter, som har indgivet indlæg for Domstolen, og disse svarer i det væsentlige til de to spørgsmål, som den forelæggende ret har stillet i sag C-203/15: — for det første spørgsmålet om, hvorvidt en generel pligt til datalagring i lyset af Digital Rights-dommens præmis 56-59 skal anses for i sig selv at overskride grænserne for, hvad der er strengt nødvendigt for bekæmpelsen af grov kriminalitet, uafhængigt af, hvilke garantier der ledsager denne pligt — for det andet spørgsmålet om, hvorvidt en sådan pligt, såfremt det antages, at den ikke i sig selv skal anses for at overskride grænserne for det strengt nødvendige, skal ledsages af samtlige de garantier, som Domstolen har opstillet i Digital Rights-dommens præmis 60-68, med henblik på at begrænse indgrebet i de rettigheder, der er sikret ved direktiv 2002/58 og chartrets artikel 7 og 8, til det strengt nødvendige.

190. Inden jeg undersøger disse spørgsmål, finder jeg det hensigtsmæssigt at forkaste et argument fremsat af Det Forenede Kongeriges regering, hvorefter de kriterier, der blev opstillet i Digital Rights-dommen, er uden relevans for nærværende sager, eftersom den dom ikke vedrørte en national ordning, men en ordning indført af EU-lovgiver.

191. I denne henseende fremhæves det, at chartrets artikel 7, artikel 8 og artikel 52, stk. 1, blev fortolket i Digital Rights-dommen, og at disse bestemmelser ligeledes er genstand for de spørgsmål, der er forelagt i tvisterne i hovedsagerne. Det er således efter min opfattelse ikke muligt at anlægge en anderledes fortolkning af chartrets bestemmelser, alt efter om den omhandlede ordning er fastsat på EU-plan eller på nationalt plan, således som Peter Brice, Geoffrey Lewis og Law Society of England and Wales med rette har fremhævet. Når det er fastslået, at chartret finder anvendelse, således som det er tilfældet i nærværende sager ( 60 ), skal chartret finde anvendelse på samme måde, uanset hvilken ordning der er tale om. De kriterier, som Domstolen fastsatte i Digital Rights-dommen, er derfor relevante med hensyn til vurderingen af de nationale ordninger, der er omhandlet i nærværende sager, således som bl.a. den danske regering, Irland og Kommissionen har gjort gældende.

a) Om en generel pligt til datalagring er strengt nødvendig

192. Ifølge en første tilgang, som Tele2 Sverige, Open Rights Group og Privacy International har forsvaret, skal en generel pligt til datalagring efter Digital Rights-dommen anses for i sig selv at overskride grænserne for, hvad der er strengt nødvendigt for bekæmpelsen af grov kriminalitet, uafhængigt af, hvilke garantier der ledsager denne pligt.

193. Ifølge en anden tilgang, som størstedelen af de øvrige procesdeltagere, der har indgivet indlæg for Domstolen, har gjort gældende, overskrider en sådan pligt ikke grænserne for, hvad der er strengt nødvendigt, såfremt pligten ledsages af visse garantier vedrørende dataadgang, lagringens varighed, databeskyttelse og datasikkerhed.

194. Jeg kan tiltræde denne anden tilgang af de følgende grunde.

195. For det første udtalte Domstolen ifølge min fortolkning af Digital Rights-dommen, at en generel pligt til datalagring overskrider grænserne for, hvad der er strengt nødvendigt, såfremt den ikke er ledsaget af strenge garantier vedrørende dataadgang, lagringens varighed, databeskyttelse og datasikkerhed. Domstolen udtalte sig derimod ikke om foreneligheden med EU-retten af en generel pligt til datalagring, som er ledsaget af sådanne garantier, eftersom en sådan ordning ikke var genstand for de spørgsmål, som Domstolen var forelagt i nævnte sag.

196. I denne henseende skal det fremhæves, at Digital Rights-dommens præmis 56-59 ikke indeholder noget udsagn fra Domstolen om, at en generel pligt til datalagring i sig selv overskrider grænserne for, hvad der er strengt nødvendigt.

197. I nævnte doms præmis 56 og 57 fastslog Domstolen, at den lagringspligt, der var fastsat i direktiv 2006/24, omfattede samtlige elektroniske kommunikationsmidler, samtlige brugere og samtlige trafikdata uden nogen form for differentiering, begrænsning eller undtagelse under hensyn til målet om at bekæmpe grov kriminalitet.

198. I samme doms præmis 58 og 59 redegjorde Domstolen mere detaljeret for de praktiske konsekvenser af denne manglende differentiering. Dels vedrørte lagringspligten selv personer, for hvis vedkommende der ikke fandtes noget som helst indicium for, at deres adfærd kunne have – selv en indirekte eller fjern – forbindelse til grov kriminalitet. Dels krævede direktivet ikke nogen sammenhæng mellem de data, som skulle lagres, og en trussel mod den offentlige sikkerhed, og det var navnlig ikke begrænset til en lagring, som var rettet mod data vedrørende et bestemt tidsrum og/eller et bestemt geografisk område og/eller en given personkreds, der på den ene eller anden måde kunne være indblandet i grov kriminalitet.

199. Domstolen fastslog herved, at en generel pligt til datalagring er karakteriseret ved den manglende differentiering under hensyn til målet om bekæmpelsen af grov kriminalitet. Domstolen udtalte imidlertid ikke, at denne manglende differentiering betyder, at en sådan pligt i sig selv overskrider grænserne for, hvad der er strengt nødvendigt.

200. Det var således først ved afslutningen af undersøgelsen af den ordning, der var fastsat i direktiv 2006/24, og efter at have konstateret, at visse garantier, som jeg vil undersøge nedenfor ( 61 ), ikke forelå, at Domstolen i Digital Rights-dommens præmis 69 udtalte: »Henset til samtlige ovenstående betragtninger skal det fastslås, at EU-lovgiver ved vedtagelsen af direktiv 2006/24 har overskredet de grænser, som overholdelsen af proportionalitetsprincippet kræver, henset til chartrets artikel 7, artikel 8 og artikel 52, stk. 1« (min fremhævelse).

201. Som den tyske og den nederlandske regering har gjort gældende, ville Domstolen ikke have behøvet på så indgående vis i dommens præmis 60-68 at have undersøgt de manglende garantier, såfremt den blotte generelle datalagring havde været nok til at kende direktiv 2006/24 ugyldigt.

202. Den generelle pligt til datalagring, som var fastsat i direktiv 2006/24, overskred derfor ikke i sig selv grænserne for, hvad der var strengt nødvendigt. Direktivet overskred grænserne for, hvad der var strengt nødvendigt, som følge af den kombinerede virkning af den generelle datalagring og de manglende garantier, som har til formål at begrænse indgreb i de rettigheder, der er sikret ved chartrets artikel 7 og 8, til de strengt nødvendige. Som følge af denne kombinerede virkning skulle direktivet kendes for ugyldigt i sin helhed ( 62 ).

203. For det andet bekræftes denne fortolkning af præmis 93 i Schrems-dommen ( 63 ), som jeg her vil gengive: »En lovgivning, der på generel vis tillader opbevaring af samtlige personoplysninger fra samtlige de personer, hvis oplysninger er blevet videregivet fra Unionen til USA, uden at der bliver foretaget nogen form for differentiering, begrænsning eller undtagelse under hensyn til det forfulgte mål, og uden at der bliver fastsat noget objektivt kriterium, som gør det muligt at afgrænse de offentlige myndigheders adgang til oplysningerne og deres senere anvendelse heraf med henblik på veldefinerede formål, der er strengt begrænsede, og som kan begrunde det indgreb, som såvel adgangen til disse oplysninger som anvendelsen heraf indebærer, er således ikke begrænset til det strengt nødvendige (jf. i denne retning for så vidt angår [direktiv 2006/24] [Digital Rights-dommens] præmis 57-61)« (min fremhævelse).

204. Det bemærkes endnu en gang, at Domstolen ikke fastslog, at den i nævnte sag omhandlede ordning overskred grænserne for, hvad der er strengt nødvendigt, alene af den grund, at den tillod en generel opbevaring af personoplysninger. I det pågældende tilfælde blev grænserne for, hvad der var strengt nødvendigt, overskredet som følge af den kombinerede virkning af muligheden for en sådan generel opbevaring og manglende garantier vedrørende adgangen med henblik på at begrænse indgrebet til det strengt nødvendige.

205. Jeg udleder af det ovenstående, at en generel pligt til datalagring ikke i alle tilfælde skal anses for i sig selv at overskride grænserne for, hvad der er strengt nødvendigt for bekæmpelsen af grov kriminalitet. En sådan pligt overskrider imidlertid altid grænserne for, hvad der er strengt nødvendigt, såfremt den ikke er ledsaget af garantier vedrørende dataadgang, lagringens varighed, databeskyttelse og datasikkerhed.

206. For det tredje underbygges mit synspunkt i denne henseende af nødvendigheden af konkret at efterprøve, om kravet om streng nødvendighed er overholdt inden for rammerne af de i hovedsagerne omhandlede nationale ordninger.

207. Som jeg har anført i punkt 187 i nærværende forslag til afgørelse, skal det i medfør af kravet om streng nødvendighed undersøges, om andre foranstaltninger vil kunne være lige så effektive som en generel pligt til datalagring ved bekæmpelsen af grov kriminalitet, men samtidig mindre indgribende i de rettigheder, der er sikret ved direktiv 2002/58 og chartrets artikel 7 og 8.

208. En sådan vurdering skal imidlertid foretages inden for den særlige sammenhæng, som hver af de nationale ordninger, der fastsætter en generel pligt til datalagring, indgår i. For det første kræver denne vurdering, at effektiviteten af denne pligt sammenlignes med enhver anden mulig foranstaltning i en national sammenhæng under hensyntagen til den omstændighed, at nævnte pligt giver de kompetente myndigheder en begrænset mulighed for at læse fortiden ved hjælp af de lagrede data ( 64 ).

209. Henset til kravet om streng nødvendighed er det tvingende nødvendigt, at disse retter undlader at begrænse sig til blot at efterprøve nytten af en generel pligt til datalagring, men foretager en streng prøvelse af, om der med nogen anden foranstaltning, eller en kombination af foranstaltninger, herunder en målrettet pligt til datalagring ledsaget af andre efterforskningsværktøjer, ville kunne opnås samme effektivitet i bekæmpelsen af grov kriminalitet. I denne henseende vil jeg fremhæve, at flere studier, som Domstolens opmærksomhed er blevet henledt på, sætter spørgsmålstegn ved nødvendigheden af denne type pligt i forbindelse med bekæmpelsen af grov kriminalitet ( 65 ).

210. Såfremt det for det andet antages, at andre foranstaltninger vil kunne være lige så effektive ved bekæmpelsen af grov kriminalitet, tilkommer det ligeledes de forelæggende retter i henhold til den faste retspraksis, der er nævnt i punkt 185 i nærværende forslag til afgørelse, at fastlægge, om disse foranstaltninger er mindre indgribende i de omhandlede grundlæggende rettigheder end en generel pligt til datalagring.

211. I lyset af Digital Rights-dommens præmis 59 påhviler det navnlig de nationale retter at undersøge, om der er mulighed for at begrænse det materielle omfang af lagringspligten og samtidig bevare foranstaltningens effektivitet i forbindelse med bekæmpelsen af grov kriminalitet ( 66 ). En sådan pligt kan således være af større eller mindre materielt omfang alt efter brugerne, geografiske områder og de omfattede kommunikationsmidler ( 67 ).

212. Efter min opfattelse ville det, hvis teknologien tillader det, under hensyn til de grundlæggende rettigheder, der er omhandlet i nærværende sager, bl.a. være ønskeligt at undtage særligt følsomme data fra lagringspligten, såsom data, der er omfattet af tavshedspligt, eller data, som gør det muligt at identificere journalisters kilder.

213. Der bør imidlertid ikke ses bort fra, at en væsentlig begrænsning af omfanget af en generel pligt til datalagring risikerer at medføre en betydelig reduktion af den nytte, som en sådan ordning har for bekæmpelsen af grov kriminalitet. For det første har flere regeringer fremhævet vanskeligheden, eller endog umuligheden, af på forhånd at fastlægge, hvilke data der vil vise sig at have forbindelse til grov kriminalitet. En sådan begrænsning vil følgelig kunne udelukke lagring af data, som senere viser sig at være relevante for bekæmpelsen af grov kriminalitet.

214. Som den estiske regering har gjort gældende, er grov kriminalitet for det andet et dynamisk fænomen, som tilpasser sig de efterforskningsværktøjer, som de retshåndhævende myndigheder råder over. En begrænsning til et bestemt geografisk område eller til et bestemt kommunikationsmiddel risikerer således at medføre en flytning af de aktiviteter, der har forbindelse til grov kriminalitet, til et geografisk område eller et kommunikationsmiddel, som ikke er omfattet af ordningen.

215. Eftersom der er behov for en kompleks vurdering af de i hovedsagerne omhandlede nationale ordninger, finder jeg, at denne vurdering skal foretages af de nationale retter, således som den tjekkiske, den estiske, den franske og den nederlandske regering samt Irland og Kommissionen har fremhævet.

b) Om den ufravigelige karakter af de garantier, som Domstolen har opstillet i Digital Rights-dommens præmis 60-68, henset til kravet om streng nødvendighed

216. Såfremt det antages, at en generel pligt til datalagring kan anses for strengt nødvendig inden for rammerne af den omhandlede nationale ordning, hvilket det tilkommer den nationale ret at vurdere, skal det også fastlægges, om en sådan pligt skal ledsages af samtlige de garantier, som Domstolen har opstillet i Digital Rights-dommens præmis 60-68, med henblik på at begrænse indgrebet i de rettigheder, der er sikret ved direktiv 2002/58 og chartrets artikel 7 og 8, til det strengt nødvendige.

217. Disse garantier vedrører de regler, der regulerer de kompetente myndigheders adgang til de lagrede data og anvendelsen heraf (Digital Rights-dommens præmis 60-62), datalagringens varighed (dommens præmis 63 og 64), og sikkerheden og beskyttelsen af de data, som udbyderne lagrer (dommens præmis 66-68).

218. I de indlæg, der er indgivet for Domstolen, står to synspunkter over for hinanden for så vidt angår disse garantiers art.

219. Ifølge det første synspunkt, som er fremført af Tom Watson, Peter Brice, Geoffrey Lewis, Open Rights Group og Privacy International, er de garantier, som Domstolen har opstillet i Digital Rights-dommens præmis 60-68, ufravigelige. Ifølge dette synspunkt har Domstolen fastsat minimumsgarantier, som alle skal være opfyldt i den omhandlede nationale ordning, med henblik på at begrænse indgrebet i de grundlæggende rettigheder til det strengt nødvendige.

220. Ifølge det andet synspunkt, som er gjort gældende af den tyske, den estiske og den franske regering, Irland samt Det Forenede Kongeriges regering, er de garantier, som Domstolen har opstillet i Digital Rights-dommens præmis 60-68, alene vejledende. Domstolen har foretaget en »helhedsvurdering« af de manglende garantier i den ordning, der var fastsat i direktiv 2006