CONCLUSIONES DEL ABOGADO GENERAL

SR. HENRIK SAUGMANDSGAARD ØE

presentadas el 19 de julio de 2016 ( 1 )

Asuntos acumulados C‑203/15 y C‑698/15

Tele2 Sverige AB

contra

Post‑ och telestyrelsen (C‑203/15)

y

Secretary of State for the Home Department

contra

Tom Watson,

Peter Brice,

Geoffrey Lewis (C‑698/15),

con intervención de:

Open Rights Group,

Privacy International,

Law Society of England and Wales

[Peticiones de decisión prejudicial presentadas por el Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo, Suecia) y la Court of Appeal (England & Wales) (Civil Division) [Tribunal de Apelación (Inglaterra y País de Gales) (Sección de lo Civil) (Reino Unido)]

«Cuestión prejudicial — Directiva 2002/58/CE — Tratamiento de datos de carácter personal y protección de la vida privada en el sector de las comunicaciones electrónicas — Legislación nacional que establece una obligación general de conservar los datos relativos a las comunicaciones electrónicas — Artículo 15, apartado 1, de la Directiva 2002/58 — Carta de los Derechos Fundamentales de la Unión Europea — Artículo 7 de la Carta — Derecho al respeto de la vida privada — Artículo 8 de la Carta — Derecho a la protección de datos de carácter personal — Injerencia grave — Justificación — Artículo 52, apartado 1, de la Carta — Requisitos — Objetivo legítimo de lucha contra los delitos graves — Requisito de una base legal de Derecho nacional — Requisito de estricta necesidad — Requisito de proporcionalidad en una sociedad democrática»

Índice

I. Introducción II. Marco jurídico A. Directiva 2002/58 B. Derecho sueco 1. Sobre el alcance de la obligación de conservación 2. Sobre el acceso a los datos conservados a) LEK b) RB c) Ley 2012:278 3. Sobre el período de conservación de los datos 4. Sobre la protección y la seguridad de los datos conservados C. Derecho del Reino Unido 1. Sobre el alcance de la obligación de conservación 2. Sobre el acceso a los datos conservados 3. Sobre el período de conservación de los datos 4. Sobre la protección y la seguridad de los datos conservados III. Litigios principales y cuestiones prejudiciales A. Asunto C‑203/15 B. Asunto C‑698/15 IV. Procedimiento ante el Tribunal de Justicia V. Análisis de las cuestiones prejudiciales A. Sobre la admisibilidad de la segunda cuestión planteada en el asunto C‑698/15 B. Sobre la compatibilidad de una obligación general de conservar datos con el régimen establecido por la Directiva 2002/58 1. Sobre la inclusión de una obligación general de conservar datos en el ámbito de aplicación de la Directiva 2002/58 2. Sobre la posibilidad de establecer una excepción al régimen establecido por la Directiva 2002/58 creando una obligación general de conservar datos C. Sobre la aplicabilidad de la Carta a una obligación general de conservar datos D. Sobre la compatibilidad de una obligación general de conservar datos con los requisitos establecidos por el artículo 15, apartado 1, de la Directiva 2002/58, así como por los artículos 7, 8 y 52, apartado 1, de la Carta 1. Sobre el requisito de tener una base legal de Derecho nacional 2. Sobre el respeto del contenido esencial de los derechos reconocidos por los artículos 7 y 8 de la Carta 3. Sobre la existencia de un objetivo de interés general reconocido por la Unión que puede justificar una obligación general de conservar datos 4. Sobre el carácter apropiado de una obligación general de conservar datos en relación con la lucha contra los delitos graves 5. Sobre el carácter necesario de una obligación general de conservar datos en relación con la lucha contra los delitos graves a) Sobre el carácter estrictamente necesario de una obligación general de conservar datos b) Sobre el carácter imperativo de las garantías enunciadas por el Tribunal de Justicia en los apartados 60 a 68 de la sentencia DRI en relación con el requisito de estricta necesidad 6. Sobre el carácter proporcionado, en una sociedad democrática, de una obligación general de conservar datos en relación con el objetivo de lucha contra los delitos graves VI. Conclusión

I. Introducción

1. En 1788, James Madison, uno de los autores de la Constitución de Estados Unidos, escribía: «If men were angels, no government would be necessary. If angels were to govern men, neither external nor internal controls on government would be necessary. In framing a government which is to be administered by men over men, the great difficulty lies in this: you must first enable the government to control the governed; and in the next place oblige it to control itself». ( 2 )

2. Los presentes asuntos nos sitúan en el núcleo de la «gran dificultad» identificada por Madison. Se refieren a la compatibilidad con el Derecho de la Unión de regímenes nacionales que imponen a los proveedores de servicios de comunicación electrónica accesibles para el público (en lo sucesivo, «proveedores»), una obligación de conservación de los datos relativos a las comunicaciones electrónicas (en lo sucesivo, «datos relativos a las comunicaciones»), referida al conjunto de los medios de comunicación y al conjunto de usuarios (en lo sucesivo, «obligación general de conservar datos»).

3. Por una parte, la conservación de los datos relativos a las comunicaciones permite «al gobierno controlar a los gobernados», brindando a las autoridades competentes un medio de investigación que puede revestir cierta utilidad en la lucha contra delitos graves, en particular, en la lucha contra el terrorismo. En sustancia, la conservación de estos datos dota a las autoridades una capacidad limitada de «leer el pasado», accediendo a los datos relativos a las comunicaciones realizadas por una persona antes de que se sospechara su relación con un delito grave. ( 3 )

4. Sin embargo, por otra parte, es imperativo «obligar […] al gobierno a que se controle a sí mismo», tanto en lo que se refiere a la conservación, como al acceso a los datos conservados, habida cuenta de los graves riesgos que entraña la existencia de tales bases de datos, que abarcan la totalidad de las comunicaciones realizadas en el territorio nacional. En efecto, esas bases de datos, de considerable tamaño, permiten a cualquier persona que acceda a las mismas catalogar en un instante el conjunto de la población pertinente. ( 4 ) Es preciso valorar escrupulosamente estos riesgos, en particular, analizando si una obligación general de conservar datos, como las que son objeto de los litigios principales, es estrictamente necesaria y proporcionada.

5. De este modo, en el marco de los presentes asuntos, el Tribunal de Justicia y los órganos jurisdiccionales remitentes han de definir un punto de equilibrio entre la obligación que corresponde a los Estados miembros de garantizar la seguridad de los individuos que se encuentran en su territorio y el respeto de los derechos fundamentales a la vida privada y a la protección de los datos de carácter personal, consagrados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

6. Examinaré, a la luz de esta «gran dificultad», las cuestiones planteadas al Tribunal de Justicia en los presentes asuntos. Éstas se refieren, más concretamente, a la compatibilidad de los regímenes nacionales que establecen una obligación general de conservar datos con la Directiva 2002/58/CE ( 5 ) y con los artículos 7 y 8 de la Carta. Para responder a dichas cuestiones, el Tribunal de Justicia deberá, en particular, perfilar la interpretación que debe darse en un contexto nacional a la sentencia Digital Rights Ireland y otros (en lo sucesivo, «sentencia DRI»), ( 6 ) en la que la Gran Sala del Tribunal de Justicia declaró inválida la Directiva 2006/24/CE. ( 7 )

7. Por los motivos que expondré a continuación, tengo la sensación de que una obligación general de conservar datos impuesta por un Estado miembro puede ser compatible con los derechos fundamentales consagrados por el Derecho de la Unión a condición de estar estrictamente delimitada por una serie de garantías que precisaré a lo largo de mi exposición.

II. Marco jurídico

A. Directiva 2002/58

8. El artículo 1 de la Directiva 2002/58, titulado «Objeto y ámbito de aplicación», dispone: «1. La presente Directiva establece la armonización de las disposiciones nacionales necesaria para garantizar un nivel equivalente de protección de las libertades y los derechos fundamentales y, en particular, del derecho a la intimidad y la confidencialidad, en lo que respecta al tratamiento de los datos personales en el sector de las comunicaciones electrónicas, así como la libre circulación de tales datos y de los equipos y servicios de comunicaciones electrónicas en la [Unión]. 2. Las disposiciones de la presente Directiva especifican y completan la Directiva [95/46] a los efectos mencionados en el apartado 1. Además, protegen los intereses legítimos de los abonados que sean personas jurídicas. 3. La presente Directiva no se aplicará a las actividades no comprendidas en el ámbito de aplicación del [TFUE], como las reguladas por las disposiciones de los títulos V y VI del [TUE], ni, en cualquier caso, a las actividades que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dichas actividades estén relacionadas con la seguridad del mismo) y a las actividades del Estado en materia penal.»

9. El artículo 15, apartado 1, de la Directiva 2002/58, titulado «Aplicación de determinadas disposiciones de la Directiva [95/46]», está así redactado: «Los Estados miembros podrán adoptar medidas legales para limitar el alcance de los derechos y las obligaciones que se establecen en los artículos 5 y 6, en los apartados 1 a 4 del artículo 8 y en el artículo 9 de la presente Directiva, cuando tal limitación constituya una medida necesaria proporcionada y apropiada en una sociedad democrática para proteger la seguridad nacional (es decir, la seguridad del Estado), la defensa, la seguridad pública, o la prevención, investigación, descubrimiento y persecución de delitos o la utilización no autorizada del sistema de comunicaciones electrónicas a que se hace referencia en el apartado 1 del artículo 13 de la Directiva [95/46]. Para ello, los Estados miembros podrán adoptar, entre otras, medidas legislativas en virtud de las cuales los datos se conserven durante un plazo limitado justificado por los motivos establecidos en el presente apartado. Todas las medidas contempladas en el presente apartado deberán ser conformes con los principios generales del Derecho comunitario, incluidos los mencionados en los apartados 1 y 2 del artículo 6 [TUE].»

B. Derecho sueco

10. La Directiva 2006/24, que ha dejado de tener validez en la actualidad, fue transpuesta al Derecho sueco a través de ciertas modificaciones de la lagen (2003:389) om elektronisk kommunikation [Ley (2003:389) sobre comunicaciones electrónicas; en lo sucesivo, «LEK»] y del förordningen (2003:396) om elektronisk kommunikation [Reglamento (2003:396) sobre comunicaciones electrónicas; en lo sucesivo, «FEK»], que entraron en vigor el 1 de mayo de 2012.

1. Sobre el alcance de la obligación de conservación

11. De lo dispuesto en el artículo 16 a del capítulo 6 de la LEK se desprende que los proveedores están obligados a conservar los datos relativos a las comunicaciones necesarios para identificar el origen y el destino de la comunicación, la fecha, hora y duración de la comunicación, el tipo de comunicación, el equipo de comunicación y la localización del equipo de comunicación móvil al comienzo y el término de la comunicación. Los tipos de datos que deben conservarse se regulan como mayor detalle en los artículos 38 a 43 del FEK.

12. Esta obligación de conservación se refiere a los datos tratados en relación con servicios telefónicos, servicios telefónicos a través de un punto de conexión móvil, transmisión de comunicaciones, acceso a Internet y prestación de capacidad para poder obtener acceso a Internet.

13. Los datos que deben conservarse incluyen no sólo todos los datos cuya conservación imponía la Directiva 2006/24, sino también los relativos a llamadas telefónicas infructuosas así como los relativos a la localización del lugar en que finalice una llamada de teléfono móvil. Al igual que ocurría en el régimen establecido por dicha Directiva, la obligación de conservación no incluye el contenido de las comunicaciones.

2. Sobre el acceso a los datos conservados

14. El acceso a los datos conservados se regula principalmente en tres normas: la LEK, el rättegångsbalken (Código de procedimiento judicial; en lo sucesivo, «RB») y la lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet [Ley (2012:278) sobre obtención de datos; en lo sucesivo, «Ley 2012:278»].

a) LEK

15. Del artículo 22, párrafo primero, punto 2, del capítulo 6 de la LEK se deriva que los proveedores están obligados a facilitar al Ministerio Fiscal, a los cuerpos de policía, al Säkerhetspolisen (policía de seguridad sueca, conocida por «Säpo»; en lo sucesivo, «Säpo») y a cualquier otra autoridad que vaya a actuar contra un delito, a instancia de estos, datos sobre el abono cuando dichos datos tengan relación con la sospecha de comisión de un delito. Con arreglo a dicha disposición, no es necesario que se trate de un delito grave.

16. Se entiende por datos sobre el abono, principalmente, los datos sobre el nombre, título, dirección postal, número y dirección IP del abonado.

17. Con arreglo a la LEK, la cesión de datos sobre el abono no exige ningún control previo, aunque puede ser objeto de un control administrativo posterior. Por otra parte, no se establece un límite al número de autoridades que pueden tener acceso a los datos.

b) RB

18. En el RB se regula la intervención de comunicaciones electrónicas en el contexto de investigaciones preliminares.

19. En síntesis, la intervención las de comunicaciones electrónicas sólo podrá practicarse cuando se sospeche razonablemente que una persona determinada es autora de un delito sancionado con una pena no inferior a seis meses de prisión u otros delitos enumerados específicamente, y si la medida tiene una importancia especial para la investigación.

20. Asimismo, podrá practicarse tal intervención con la finalidad de investigar una infracción sancionada con una pena de prisión de al menos un año con el fin de determinar quién podría ser razonablemente sospechoso de ser el autor, si la medida tiene una importancia especial para la investigación.

21. Con arreglo al artículo 21 del capítulo 27 del RB, con carácter general, el Ministerio Fiscal debe obtener la autorización del juez competente antes de proceder a la intervención de las comunicaciones electrónicas.

22. En caso de riesgo de que la obtención de la autorización judicial para la intervención de la comunicación electrónica suponga una demora o un perjuicio de importancia esencial para la investigación, la autorización de la medida será concedida por el Ministerio Fiscal a la espera de la resolución del juez. En tales casos, el Ministerio Fiscal notificará la medida por escrito al juez tan pronto como sea posible. A continuación, el juez controlará de modo urgente si existen motivos para la medida.

c) Ley 2012:278

23. Con arreglo al artículo 1 de la Ley 2012:278, la policía nacional, la Säpo y la Tullverket (Administración de Aduanas) podrán, de conformidad con los requisitos establecidos en dicha Ley, obtener datos relativos a las comunicaciones sin conocimiento del proveedor.

24. Conforme a los artículos 2 y 3 de la Ley 2012:278, podrán obtenerse datos cuando, habida cuenta de las circunstancias, la medida sea de especial importancia para prevenir, impedir o detectar actividades delictivas referidas a delitos castigados con una pena no inferior a dos años de prisión o delitos incluidos en la enumeración del artículo 3 (entre otros, diversas formas de sabotaje y espionaje).

25. La decisión de obtener datos es adoptada por el director de la administración de que se trate o por un empleado en el que dicho director haya delegado la facultad de tomar decisiones.

26. En la decisión, se indicará la actividad delictiva y el momento a que se refiere la decisión, así como el número de teléfono, cualquier otra dirección, el equipo de comunicación electrónica o ámbito geográfico a que se refiere la decisión. El período de tiempo al que se refiere la decisión no podrá ser superior al necesario y no podrá, respecto al tiempo posterior a la adopción de la decisión, superar un mes.

27. Para este tipo de obtención de datos no se exige ningún control previo. No obstante, con arreglo al artículo 6 de la Ley 2012:278, la Säkerhets‑ och integritetsskyddsnämnden (Comisión de seguridad y de protección de la integridad, Suecia) deberá ser informada sobre las decisiones de obtención de datos. Conforme al artículo 1 de la lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet [Ley (2007:980) de control de ciertas actividades de lucha contra la delincuencia], dicho organismo controla la aplicación de la ley realizada por las autoridades encargadas de la lucha contra la delincuencia.

3. Sobre el período de conservación de los datos

28. Conforme al artículo 16d del capítulo 6 de la LEK, los datos a que se refiere el artículo 16a del mismo capítulo deberán conservarse durante seis meses contados a partir del día en que haya finalizado la comunicación. Posteriormente, esos datos deberán ser destruidos lo antes posible, salvo que el párrafo segundo del citado artículo 16d (del capítulo 6) disponga otra cosa. Con arreglo a estas últimas disposiciones, los datos cuya comunicación se hubiera solicitado antes de finalizar el período de conservación, pero que no se hubieran facilitado antes de dicha fecha, deberán destruirse lo antes posible tras su cesión

4. Sobre la protección y la seguridad de los datos conservados

29. El artículo 20, apartado 1, del capítulo 6 de la LEK prohíbe la difusión o utilización no autorizada de la información relativa a las comunicaciones.

30. Conforme a lo dispuesto en el artículo 3a del capítulo 6 de la LEK, los proveedores están obligados a adoptar las medidas técnicas y organizativas necesarias para proteger los datos conservados en caso de tratamiento. De los trabajos preparatorios de estas disposiciones se desprende que no se ha dejado margen para que se determine el nivel de protección mediante una ponderación de consideraciones técnicas, de los costes y de los riesgos de piratería y de injerencia en la intimidad de las personas.

31. El artículo 37 del FEK establece otras disposiciones sobre protección de datos, al igual las instrucciones y directrices generales de la Post‑ och telestyrelsen (autoridad sueca de vigilancia del correo y de las telecomunicaciones; en lo sucesivo, «PTS») sobre medidas de seguridad en relación con la conservación y tratamiento de datos con la finalidad de luchar contra la delincuencia (PTSFS n.o 2012:4). De las citadas disposiciones, se desprende, en particular, que los proveedores deberán adoptar medidas para proteger los datos de la destrucción accidental o ilícita, del almacenamiento, tratamiento y acceso o divulgación no autorizados. Los proveedores deberán desarrollar también una actividad de seguridad continuada y sistemática teniendo en cuenta los riesgos especiales que conlleva la obligación de conservación.

32. El Derecho sueco no prevé normas que regulen el lugar en el que deben conservarse los datos.

33. Con arreglo al capítulo 7 de la LEK, las autoridades de control pueden, en el caso de que un proveedor incumpla sus obligaciones, dirigirle órdenes y prohibiciones, que podrán ir acompañadas de multas, así como ordenar que cese toda actividad o una parte de la misma.

C. Derecho del Reino Unido

34. Las disposiciones sobre la conservación de los datos se encuentran en la Data Retention and Investigatory Powers Act 2014 (Ley de 2014 sobre conservación de datos y poderes de investigación; en lo sucesivo, «DRIPA»), en el Data Retention Regulations 2014 (SI 2014/2042) (Reglamento de 2014 sobre la conservación de datos; en lo sucesivo, «Reglamento de 2014»), así como en el Retention of Comunicaciones Data Code of Practice (Código de buenas prácticas en materia de conservación de datos; en lo sucesivo, «Código de conservación de datos»).

35. El acceso a los datos aparece regulado en el capítulo 2 de la parte 1 de la Regulation of Investigatory Powers Act 2000 (Ley de 2000 sobre regulación de las facultades de investigación; en lo sucesivo, «RIPA»), en el Regulation of Investigatory Powers (Communication Data) Order 2010 (SI 2010/480) (Decreto de 2010 sobre regulación de las facultades de investigación en materia de datos relativos a las comunicaciones), en su versión modificada por el Regulation of Investigatory Powers (Communications Data) (Amendement) Order 2015 (SI 2015/228) [Decreto de 2015 sobre regulación de las facultades de investigación en materia de datos relativos a las comunicaciones (Enmienda); en lo sucesivo, «Decreto»], así como en el Acquisition and Disclosure of Comunicaciones Data Code of Practice (Código de buenas prácticas relativo a la obtención y divulgación de datos sobre comunicaciones; en lo sucesivo, «Código sobre obtención de datos»).

1. Sobre el alcance de la obligación de conservación

36. Con arreglo al artículo 1 de la DRIPA, el Ministro puede imponer a los proveedores una obligación de conservar todos los datos relativos a las comunicaciones. Esta obligación puede afectar, fundamentalmente, al conjunto de datos generados con ocasión de una comunicación realizada a través de un servicio postal o de un sistema de telecomunicación, a excepción del propio contenido de la comunicación. Estos datos incluyen, en particular, la ubicación del usuario del servicio, así como los datos que permitan identificar la IP (dirección de protocolo de internet) u otro identificador perteneciente al remitente o destinatario de una comunicación.

37. Entre los fines que pueden justificar la adopción de tal medida de conservación se incluyen la seguridad nacional, impedir o detectar la comisión de delitos o de impedir desórdenes, el bienestar económico del Reino Unido, en la medida en que tal interés sea igualmente relevante para los intereses de la seguridad nacional, la seguridad pública, proteger la salud pública, liquidar o recaudar cualquier impuesto, contribución u otra cantidad pagadera a la administración pública, impedir, en caso de emergencia, cualquier daño para la salud física o mental, prestar ayuda en investigaciones de errores judiciales, identificar a personas fallecidas o que no sean capaces de identificarse a sí mismas por causas que no sean la comisión de un delito (como, por ejemplo, un desastre natural o un accidente), desempeñar funciones relativas a la regulación de los servicios y mercados financieros o a la estabilidad financiera así como cualquier otro objetivo especificado en una orden adoptada por el Ministro en virtud del artículo 22, apartado 2, de la DRIPA.

38. En la legislación nacional no se exige que la expedición de una notificación de conservación esté sujeta a la autorización previa de un órgano jurisdiccional o de un organismo administrativo autónomo. El Ministro debe comprobar que la obligación de conservación sea «necesaria y proporcionada» a efectos de uno o varios de los fines por los que pueden conservarse los datos de comunicaciones relevantes.

2. Sobre el acceso a los datos conservados

39. En virtud del artículo 22, apartado 4, de la RIPA, las autoridades públicas podrán exigir, mediante notificación, a los proveedores que les entreguen datos de comunicaciones. La forma y el contenido de estas notificaciones se regula en el artículo 23, apartado 2, de la RIPA. La vigencia de estas notificaciones está limitada en virtud de disposiciones sobre cancelación y renovación.

40. La obtención de datos de comunicaciones deberá ser necesaria y proporcionada para uno o más de los fines establecidos en el artículo 22 de la RIPA, que se corresponden con los objetivos que pueden justificar la conservación de los datos descritos en el punto 37 de las presentes conclusiones.

41. Del Código sobre obtención de datos se desprende que se exigirá una orden judicial, en concreto, cuando se soliciten datos de comunicaciones para identificar las fuentes de periodistas así como cuando sean las autoridades locales las que formulen la solicitud de acceso.

42. Fuera de esos casos, el acceso de las autoridades está supeditado a la obtención de una autorización de las personas designadas de la autoridad pública pertinente. Una persona designada es una persona que ocupa un cargo, rango o posición prescrito en el seno de una autoridad pública pertinente que ha sido designada en el Decreto de 2015 sobre regulación de las facultades de investigación en materia de datos relativos a las comunicaciones, en su versión modificada.

43. No se exigirá ninguna autorización judicial o de un órgano independiente para acceder a datos de comunicaciones sujetos al secreto entre un abogado y su cliente ni a datos de comunicaciones relativos a médicos, miembros del Parlamento o ministros de cultos religiosos. El Código sobre obtención de datos sólo precisa que debe atribuirse particular importancia a la necesidad y a la proporcionalidad de la solicitud.

3. Sobre el período de conservación de los datos

44. El artículo 1, apartado 5, de la DRIPA y el artículo 4, apartado 2, del Reglamento de 2014 establecen un período máximo de conservación de datos de 12 meses. Según el Código de conservación de datos, dicho período tendrá únicamente la duración necesaria y deberá ser proporcionado. El artículo 6 del Reglamento de 2014 exige al Ministro que someta a revisión las notificaciones de conservación.

4. Sobre la protección y la seguridad de los datos conservados

45. En virtud del artículo 1 de la DRIPA, los proveedores no podrán comunicar los datos conservados excepto de conformidad con el capítulo 2 de la parte 1 de la RIPA, una orden de un tribunal o cualquier otra autorización o mandamiento judicial, o lo previsto en reglamento adoptado por el Ministro con arreglo al artículo 1 de la DRIPA.

46. Con arreglo a lo dispuesto en los artículos 7 y 8 del Reglamento de 2014, los proveedores deberán garantizar su integridad y seguridad; protegerlos de una destrucción accidental o ilegal, pérdida o modificación accidental o de una conservación, procesamiento, acceso o divulgación no autorizada o ilícita; destruir los datos para hacer imposible el acceso si la conservación de los datos deja de estar autorizada, y establecer sistemas de seguridad adecuados. Lo dispuesto en el artículo 9 del Reglamento de 2014 impone al Information Commissioner (Comisario de Información) la obligación de examinar el cumplimiento de estas obligaciones por parte de los proveedores.

47. Las autoridades a las que los proveedores comunican datos relativos a las comunicaciones deben tratar y almacenar dichos datos, así como todas las copias, extractos o resúmenes de los mismos en condiciones de seguridad. Con arreglo al Código sobre obtención de datos, deben respetarse los requisitos establecidos en la Data Protection Act (Ley relativa a la protección de datos; en lo sucesivo, «DPA»), que transpuso la Directiva 95/46.

48. La RIPA prevé la existencia de un Interception of Comunications Commissioner (Comisario para la interceptación de las comunicaciones, Reino Unido; en lo sucesivo, «Comisario para la interceptación de comunicaciones») cuya función consiste en supervisar con carácter independiente el ejercicio y el cumplimiento de las facultades y deberes establecidos en el capítulo II de la parte I de la RIPA. Este Comisario no supervisa la aplicación del artículo 1 de la DRIPA. Se prevé la publicación de informes y su entrega al Parlamento (artículos 57, apartado 2, y 58 de la RIPA). Tiene la obligación de elaborar regularmente informes dirigidos al público y al Parlamento (artículos 57, apartado 2, y 58 de la RIPA) y llevar un registro de los datos conservados por las autoridades públicas y de los informes elaborados por éstas (artículos 6.1 a 6.8 del Código sobre obtención de datos Pueden presentarse reclamaciones ante el Investigatory Powers Tribunal (Tribunal encargado de las facultades de investigación, Reino Unido) si se cree que los datos han sido obtenidos de forma inadecuada (artículo 65 de la RIPA).

49. A tenor del Código sobre obtención de datos, el Comisario no está facultado para someter un asunto a ese Tribunal. Únicamente puede informar a una persona de un supuesto uso ilícito de facultades si puede «demostrar que una persona ha resultado negativamente afectada por un incumplimiento intencionado o negligente». Sin embargo, el Comisario no podrá comunicar su existencia cuando ello ponga en riesgo la seguridad nacional aun cuando el Comisario tenga la convicción de que se ha cometido un incumplimiento intencionado o negligente.

III. Litigios principales y cuestiones prejudiciales

A. Asunto C‑203/15

50. El día 9 de abril de 2014, es decir, al día siguiente de que se dictara la sentencia DRI, Tele2 Sverige envió un escrito a PTS comunicándole que iba a dejar de conservar datos con arreglo al capítulo 6 de la LEK. Tele2 Sverige también iba a proceder a eliminar los datos conservados anteriormente con arreglo a dicho capítulo. Tele2 Sverige consideraba que la normativa sueca de transposición de la Directiva 2006/24 no era conforme a la Carta.

51. El 15 de abril de 2014, la Rikspolisstyrelsen (Dirección General de la Policía Nacional, Suecia; en lo sucesivo, «RPS») presentó una queja ante PTS denunciando que Tele2 Sverige había dejado de comunicarle datos relativos a determinadas comunicaciones electrónicas. En su queja, la RPS alegaba que la negativa Tele2 Sverige tenía graves consecuencias para el trabajo de la policía en esta materia.

52. Mediante orden de 27 de junio de 2014, PTS ordenó a Tele2 Sverige que, a más tardar el 25 de julio de 2014, volviera a conservar datos con arreglo al artículo 16a del capítulo 6 de la LEK y a los artículo 37 a 43 del FEK.

53. Tele2 Sverige recurrió la decisión de PTS ante el Förvaltningsrätten i Stockholm [Tribunal de lo Contencioso-Administrativo de Estocolmo, Suecia]. Dicho Tribunal desestimó el recurso mediante sentencia de 13 de octubre de 2014.

54. Tele2 Sverige presentó un recurso de apelación contra la sentencia del Förvaltningsrätten i Stockholm [Tribunal de lo Contencioso-Administrativo de Estocolmo] ante el órgano jurisdiccional remitente solicitando la anulación de la resolución recurrida.

55. El Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo), al considerar que existían motivos tanto a favor como en contra de considerar que una obligación de conservación de tal amplitud como la establecida en el artículo 16a del capítulo 6 de la LEK es compatible con el artículo 15, apartado 1, de la Directiva 2002/58, con los artículos 7, 8 y 52, apartado 1, de la Carta, resolvió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales: «1) Una obligación general de conservar datos de tráfico que se refiere a todas las personas, todos los medios de comunicación electrónica y todos los datos de tráfico sin establecer ninguna distinción, limitación o excepción en función del objetivo de la lucha contra la delincuencia [como se describe en los apartados 13 a 18 de la resolución de remisión], ¿es compatible con el artículo 15, apartado 1, de la Directiva 2002/58/CE habida cuenta de los artículos 7, 8 y 52, apartado 1, de la Carta? 2) En caso de respuesta negativa a la primera cuestión, ¿puede en todo caso ser admisible la conservación: a) si el acceso de las autoridades nacionales a los datos conservados se determina como [se describe en los apartados 19 a 36 de la resolución de remisión], y b) si las exigencias de protección y de seguridad se regulan como [se describe en los apartados 38 a 43 de la resolución de remisión], y c) si todos los datos de que se trata deben conservarse durante seis meses contados a partir del día en que haya finalizado la comunicación y posteriormente destruirse como [se describe en el apartado 37 de la resolución de remisión]?»

B. Asunto C‑698/15

56. Los Sres. Tom Watson, Peter Brice y Goofrey Lewis interpusieron ante la High Court of Justice (England & Wales), Queen’s Bench Division (Administrative Court) [Tribunal Superior de Justicia (Inglaterra y País de Gales), (Sección de lo Contencioso-Administrativo)] recursos contecioso-administrtativos («judicial review») contra la normativa sobre conservación de datos establecida en el artículo 1 de la DRIPA, por la que se faculta al Ministro del Interior a imponer a los operadores de telecomunicaciones públicos la obligación de conservar todos los dato relativos a comunicaciones por un periodo máximo de doce meses, excluyéndose el propio contenido de las comunicaciones de que se trate.

57. Se autorizó a Open Rights Group, Privacy Internacional y a la Law Society of England and Wales a intervenir en todos los procedimientos.

58. Mediante sentencia de 17 de julio de 2015, dicho órgano jurisdiccional declaró que tal normativa era contraria al Derecho de la Unión al no cumplir los requisitos establecidos en la sentencia DRI, que consideraba aplicables a las normativas de los Estados miembros en materia de conservación de datos relativos a comunicaciones electrónicas y al acceso a tales datos. El Ministro del Interior recurrió en apelación dicha sentencia ante el órgano jurisdiccional remitente.

59. Mediante sentencia de 20 de noviembre de 2015, la Court of Appeal (England & Wales) (Civil Division) [Tribunal de Apelación (Inglaterra y País de Gales) (Sección de lo Civil) (Reino Unido)] declaró, con carácter provisional, que la sentencia DRI no había determinado requisitos imperativos específicos de Derecho de la Unión, de obligado cumplimiento por las legislaciones nacionales, sino que se había limitado a determinar y describir medios de protección no previstos en la normativa armonizada de la Unión.

60. Sin embargo, al considerar que las respuestas a dichas cuestiones de Derecho de la Unión Europea no están claras y que eran necesarias para dictar sentencia en esos procedimientos, la Court of Appeal (England & Wales) (Civil Division) [Tribunal de Apelación (Inglaterra y País de Gales) (Sección de lo Civil) (Reino Unido)] resolvió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales: «1) ¿Determina la sentencia [DRI] (en particular, en sus apartados 60 a 62), requisitos imperativos de Derecho de la Unión que resulten aplicables al régimen nacional de un Estado miembro que regule el acceso a datos conservados de conformidad con la legislación nacional, al objeto de dar cumplimiento a los artículos 7 y 8 de la [Carta]? 2) ¿Amplía la sentencia [DRI] el alcance de los artículos 7 y/u 8 de la Carta más allá del ámbito de aplicación del artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales (“CEDH”), consagrado en la jurisprudencia del Tribunal Europeo de Derechos Humanos (“TEDH”)?»

IV. Procedimiento ante el Tribunal de Justicia

61. Las peticiones de decisión prejudicial fueron registradas en la Secretaría del Tribunal de Justicia el 4 de mayo de 2015, en el asunto C‑203/15, y el 28 de diciembre de 2015, en el asunto C‑698/15.

62. Mediante auto de 1 de febrero de 2016, el Tribunal de Justicia acordó tramitar el asunto C‑698/15 por el procedimiento acelerado establecido en el artículo 105, apartado 1, del Reglamento de Procedimiento del Tribunal de Justicia.

63. En el asunto C‑203/15, Tele2 Sverige, los Gobiernos checo, danés, alemán, estonio, irlandés, español, húngaro, neerlandés, sueco y del Reino Unido y la Comisión Europea han presentado observaciones escritas.

64. En el asunto C‑698/15, los Sres. Watson, Brice y Lewis, Open Rights Group, Privacy International, la Law Society of England and Wales, los Gobiernos checo, danés, alemán estonio, irlandés, francés, chipriota, polaco, finlandés y del Reino Unido y la Comisión han presentado observaciones escritas.

65. Mediante resolución de 10 de marzo de 2016, el Tribunal de Justicia ordenó acumular los dos asuntos a efectos de la fase oral y de la sentencia.

66. A la vista oral, celebrada el 12 de abril de 2016 comparecieron para presentar sus observaciones los representantes de Tele2 Sverige, los Sres. Watson, Brice y Lewis, Open Rights Group, Privacy Internacional y la Law Society of England and Wales, los Gobiernos checo, danés, alemán estonio, irlandés, español, francés, finlandés, sueco y del Reino Unido y la Comisión.

V. Análisis de las cuestiones prejudiciales

67. Mediante la primera cuestión prejudicial planteada en el asunto C‑203/15, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia si, a la luz de la sentencia DRI, el artículo 15, apartado 1, de la Directiva 2002/58, así como los artículos 7, 8 y 52, apartado 1, de la Carta han de interpretarse en el sentido de que se oponen a que un Estado miembro imponga a los proveedores una obligación general de conservar datos, como la obligación de la que se trata en los litigios principales, y ello con independencia de las garantías que lleve aparejadas tal obligación.

68. En el supuesto de que esta cuestión deba recibir una respuesta negativa, la segunda cuestión planteada en el asunto C‑203/15 y la primera cuestión planteada en el asunto C‑698/15 van dirigidas a determinar si dichas disposiciones han de interpretarse en el sentido de que se oponen a que un Estado miembro imponga a los proveedores una obligación general de conservar datos cuando tal obligación no lleve aparejado el conjunto de garantías enunciadas por el Tribunal de Justicia en los apartados 60 a 68 de la sentencia DRI en relación con el acceso a los datos, el período de conservación así como la protección y seguridad de los datos.

69. En la medida en que las tres cuestiones van íntimamente ligadas, las examinaré conjuntamente en mi exposición.

70. En cambio, la segunda cuestión planteada en el asunto C‑698/15 requiere un tratamiento separado. Mediante dicha cuestión, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia si la sentencia DRI ha extendido el ámbito de aplicación de los artículos 7 y/o 8 de la Carta más allá del artículo 8 del CEDH. En la sección siguiente, expondré los motivos por los que considero que dicha cuestión ha de desestimarse por inadmisible.

71. Antes de acometer el examen de dichas cuestiones, considero útil recordar a qué tipo de datos se refieren las obligaciones de conservación de que se trata en los litigios principales. A tenor de lo expuesto por los órganos jurisdiccionales remitentes, el alcance de dichas obligaciones es, en lo esencial, equivalente al de la obligación que establecía el artículo 5 de la Directiva 2006/24. ( 8 ) De forma esquemática, los datos relativos a las comunicaciones que son objeto de tales obligaciones de conservación pueden clasificarse en cuatro categorías: ( 9 ) — los datos que permiten identificar tanto el origen de la comunicación como su destino; — los datos que permiten localizar tanto el origen como el destino de la comunicación; — los datos relativos a la fecha, hora y duración de la comunicación, y — los datos que permitan determinar en tipo de comunicación y el tipo de material utilizado.

72. El contenido de las comunicaciones queda excluido de las obligaciones generales de conservación de datos de que se trata en los asuntos principales, a ejemplo de lo que establecía el artículo 5, apartado 2, de la Directiva 2006/24.

A. Sobre la admisibilidad de la segunda cuestión planteada en el asunto C‑698/15

73. Con la segunda cuestión planteada en el asunto C‑698/15 se solicita al Tribunal de Justicia que aclare si la sentencia DRI extiende el ámbito de aplicación de los artículos 7 y/u 8 de la Carta más allá del artículo 8 del CEDH en la interpretación que recibe del TEDH.

74. Esta cuestión refleja, en particular, un argumento invocado por el Secretary of State for the Home Department (Ministro del Interior) ante el órgano jurisdiccional remitente, según el cual la jurisprudencia del TEDH no exige, por una parte, que el acceso a los datos esté supeditado a la previa autorización de un órgano administrativo independiente ni, por otra parte, que la conservación y el acceso a los mismos deba circunscribirse al ámbito de la lucha contra delitos graves.

75. Considero que esta cuestión ha de declararse inadmisible por los siguientes motivos. Es evidente que los fundamentos y las soluciones adoptados por el Tribunal de Justicia en la sentencia DRI revisten una importancia determinante para dirimir los litigios principales. Sin embargo la cuestión de si dicha sentencia pudo ampliar el ámbito de aplicación de los artículos 7 y/u 8 de la Carta más allá del artículo 8 del CEDH no es pertinente, de por sí, para resolver dichos litigios.

76. A este respecto, es preciso recordar que, con arreglo al artículo 6 TUE, apartado 3, los derechos fundamentales que garantiza el CEDH forman parte del Derecho de la Unión como principios generales. Sin embargo, al no haberse adherido la Unión a dicho Convenio, el mismo no constituye un instrumento jurídico integrado formalmente en el ordenamiento jurídico de la Unión. ( 10 )

77. Ciertamente, la primera frase del artículo 52, apartado 3, de la Carta establece una pauta de interpretación según el cual, en la medida en que la Carta contenga derechos que correspondan a derechos garantizados por el CEDH, «su sentido y alcance serán iguales a los que les confiere dicho Convenio».

78. Sin embargo, a tenor de la segunda frase del artículo 52, apartado 3, de la Carta, «esta disposición no obstará a que el Derecho de la Unión conceda una protección más extensa». En mi opinión, de esta frase se desprende que, si lo considera necesario en el ámbito del Derecho de la Unión, el Tribunal de Justicia puede extender el ámbito de aplicación de las disposiciones de la Carta más allá del de las disposiciones correlativas del CEDH.

79. Debo añadir, con carácter subsidiario, que el artículo 8 de la Carta, interpretado por el Tribunal de Justicia en la sentencia DRI, crea un derecho que no se corresponde con ningún derecho garantizado por el CEDH, a saber el derecho a la protección de los datos personales, lo que, por otra parte corroboran las explicaciones relativas al artículo 52 de la Carta. ( 11 ) Por lo tanto, la pauta de interpretación establecida en el artículo 52, apartado 3, primera frase, de la Carta no es, en ningún caso, aplicable a interpretación del artículo 8 de la Carta, como señalaron los Sres. Brice y Lewis, Open Rights Group y Privacy International, la Law Society of England and Wales, así como los Gobiernos checo, irlandés y finlandés.

80. De lo anterior se infiere que el Derecho de la Unión no se opone a que los artículos 7 y 8 de la Carta confieran una protección más amplia que la prevista en el CEDH. Por lo tanto, el hecho de que la sentencia DRI haya podido ampliar el ámbito de aplicación de dichas disposiciones de la Carta más allá del artículo 8 del CEDH no es, en sí mismo, relevante a efectos de la resolución de los litigios principales. La solución que haya de darse a dichos litigios depende fundamentalmente de los requisitos necesarios para que obligación general de conservar datos pueda considerarse compatible con el artículo 15, apartado 1, de la Directiva 2002/58, así como con los artículos 7, 8 y 52, apartado 1, de la Carta, interpretados a la luz de la sentencia DRI, extremo que, precisamente, es el objeto de las otras tres cuestiones planteadas en los presentes asuntos.

81. Según reiterada jurisprudencia, la negativa a pronunciarse sobre una cuestión planteada por un órgano jurisdiccional nacional sólo es posible cuando resulta patente que la interpretación solicitada del Derecho de la Unión no tiene relación alguna con la realidad o con el objeto del litigio principal o también cuando el problema es de naturaleza hipotética o cuando el Tribunal de Justicia no dispone de los elementos de hecho o de Derecho necesarios para responder eficazmente a las cuestiones planteadas. ( 12 )

82. En el presente asunto, y por los motivos antes expuestos, considero que segunda cuestión planteada en el asunto C‑698/15 reviste únicamente un interés teórico, dado que una eventual respuesta a la misma no permitiría obtener elementos interpretativos del Derecho de la Unión que el órgano jurisdiccional remitente pudiera aplicar útilmente para resolver, en función de dicho Derecho, el litigio pendiente ante él. ( 13 )

83. En estas circunstancias, estimo que dicha cuestión ha de declararse inadmisible como señalaron, con razón, el Sr. Watson, la Law Society of England and Wales y el Gobierno checo.

B. Sobre la compatibilidad de una obligación general de conservar datos con el régimen establecido por la Directiva 2002/58

84. El presente apartado trata de la posibilidad de que los Estados miembros puedan hacer uso de la facultad ofrecida por el artículo 15, apartado 1, de la Directiva 2002/58 a efectos de imponer una obligación general de conservar datos. En cambio, no se examina en él los requisitos particulares que deben cumplir los Estados miembros que deseen hacer uso de esta facultad. Dichos requisitos serán analizados ampliamente más adelante. ( 14 )

85. En efecto, Open Rights Group y Privacy International han alegado que tal obligación resulta incompatible con el régimen armonizado establecido por la Directiva 2002/58, y ello con independencia de que se cumplan los requisitos establecidos en el artículo 15, apartado 1, de la Directiva 2002/58, en razón de que reduce a la nada lo esencial de los derechos y del régimen establecidos en dicha Directiva.

86. Antes de examinar este argumento, es preciso determinar si una obligación general de conservar datos está incluida en el ámbito de aplicación de dicha Directiva.

1. Sobre la inclusión de una obligación general de conservar datos en el ámbito de aplicación de la Directiva 2002/58

87. Ninguna de las partes que ha presentado observaciones ante Tribunal de Justicia ha puesto en duda el hecho de que una obligación general de conservar datos, como la que es objeto de los litigios principales, es subsumible en el concepto de «tratamiento de datos personales en relación con la prestación de servicios de comunicaciones electrónicas disponibles al público en las redes públicas de comunicaciones de la [Unión]», en el sentido del artículo 3 de la Directiva 2002/58.

88. Sin embargo, los Gobiernos checo, francés, polaco y del Reino Unido han alegado que una obligación general de conservar datos está comprendida en la exclusión establecida en el artículo 1, apartado 3, de la Directiva 2002/58. Consideran, por una parte, que las disposiciones nacionales que regulan el acceso a los datos y la explotación de éstos por parte de las autoridades policiales o judiciales de los Estados miembros afectan a la seguridad pública, a la defensa o a la seguridad del Estado o, cuando menos, tendrían que ver con la materia penal. Añaden, por otra parte, que la única finalidad de la conservación de los datos sería permitir a dichas autoridades policiales o judiciales el acceso a los mismos y su explotación. Concluyen que la obligación de conservación de los datos queda excluida del ámbito de aplicación de dicha Directiva con arreglo a la citada disposición.

89. Este razonamiento no consigue convencerme por las siguientes razones.

90. En primer lugar, la redacción del artículo 15, apartado 1, de la Directiva 2002/58 confirma que las obligaciones de conservación impuestas por los Estados miembros están incluidas en el ámbito de aplicación de dicha Directiva. En efecto, a tenor de dicha disposición, «los Estados miembros podrán adoptar, entre otras, medidas legislativas en virtud de las cuales los datos se conserven durante un plazo limitado justificado por los motivos establecidos en el presente apartado». Me parece, cuando menos, difícil sostener que las obligaciones de conservación estén excluidas del ámbito de aplicación de dicha Directiva cuando su propio artículo 15, apartado 1, regula la facultad de adoptar tales obligaciones.

91. En realidad, como han alegado el Sr. Watson, los Sres. Brice y Lewis, los Gobiernos belga, danés, alemán, finlandés, así como la Comisión, una obligación general de conservar datos, como la que es objeto de los litigios principales, no hace sino aplicar el artículo 15, apartado 1, de la Directiva 2002/58.

92. En segundo lugar, el hecho de que las disposiciones que regulan el acceso puedan estar contempladas en la exclusión establecida en el artículo 1, apartado 3, de la Directiva 2002/58 ( 15 ) no implica que la obligación de conservación también lo esté y se sitúe, por tanto, fuera del ámbito de aplicación de dicha Directiva.

93. Sobre esta cuestión, el Tribunal de Justicia ya tuvo la oportunidad de aclarar que las actividades citadas en el primer guión del artículo 3, apartado 2, de la Directiva 95/46/CE, ( 16 ) cuya redacción tiene un contenido equivalente a la del artículo 1, apartado 3, de la Directiva 2002/58, eran actividades propias del Estado o de las autoridades estatales y ajenas a la esfera de actividades de los particulares. ( 17 )

94. Pues bien, las obligaciones de conservación de que se trata en los litigios principales son impuestas a operadores privados en el marco de actividades privadas de prestación de servicios de comunicación electrónica, como señaló la Comisión. Además, dichas obligaciones se imponen con independencia de que se cursen solicitudes de acceso por parte de autoridades policiales o judiciales, así como, más en general, de cualquier acto de las autoridades estatales en relación con la seguridad pública, la defensa, la seguridad del Estado o el Derecho penal.

95. En tercer lugar, la solución adoptada por el Tribunal de Justicia en la sentencia Irlanda/Parlamento y Consejo confirma que una obligación general de conservar datos no está comprendida en la materia penal. ( 18 ) En efecto, el Tribunal de Justicia consideró que la Directiva 2006/24, que establecía tal obligación, no estaba comprendida en el ámbito penal, sino que tenía que ver con el funcionamiento del mercado interior, de manera que el artículo 95 CE (convertido en el artículo 114 TFUE) constituía la base jurídica apropiada para la adopción de dicha Directiva.

96. Para llegar a tal conclusión, el Tribunal de Justicia constató, en particular, que las disposiciones de dicha Directiva se limitaban en esencia a las actividades de los prestadores de servicios y no regulaban el acceso a los datos ni la explotación de éstos por las autoridades policiales o judiciales de los Estados miembros. ( 19 ) De ello deduzco que unas disposiciones de Derecho nacionales que establezcan una obligación de conservación similar a la prevista por la Directiva 2006/24 tampoco se sitúan en el ámbito penal.

97. A la vista de lo que antecede, soy de la opinión de que una obligación general de conservar datos no está comprendida en la exclusión contemplada en el artículo 1, apartado 3, de la Directiva 2002/58 y, por lo tanto, está comprendida en el ámbito de aplicación de dicha Directiva.

2. Sobre la posibilidad de establecer una excepción al régimen establecido por la Directiva 2002/58 creando una obligación general de conservar datos

98. Procede determinar si una obligación general de conservar datos es compatible con el régimen establecido por la Directiva 2002/58.

99. La cuestión que se plantea a este respecto es si un Estado miembro puede hacer uso de la facultad ofrecida por el artículo 15, apartado 1, de la Directiva 2002/58 con vistas a imponer tal obligación.

100. Son cuatro los argumentos aducidos contra tal posibilidad, en particular, por Open Rights Group y Privacy International.

101. Según un primer argumento, conceder a los Estados miembros la facultad de imponer una obligación general de conservar datos comprometería el objetivo de armonización que constituye la razón de ser de la Directiva 2002/58. Según su artículo 1, apartado 1, dicha Directiva establece, en efecto, una armonización de las disposiciones nacionales necesarias para garantizar un nivel equivalente de protección de las libertades y los derechos fundamentales y, en particular, del derecho a la intimidad y a la confidencialidad, en lo que respecta al tratamiento de los datos personales en el sector de las comunicaciones electrónicas, así como a la libre circulación de tales datos y de los equipos y servicios de comunicaciones electrónicas en la Unión.

102. Por ello, no cabe interpretar que el artículo 15, apartado 1, de la Directiva 2002/58 conceda a los Estados miembros la facultad de establecer una excepción al régimen establecido por dicha Directiva de tal amplitud que prive de efecto útil a estos esfuerzos de armonización.

103. De acuerdo con un segundo argumento, la redacción del artículo 15, apartado 1, de la Directiva 2002/58 también se opone a una interpretación tan extensa de la facultad de los Estados miembros de establecer excepciones al régimen establecido por dicha Directiva. En efecto, a tenor de dicha disposición, «los Estados miembros podrán adoptar medidas legales para limitar el alcance de los derechos y las obligaciones que se establecen en los artículos 5 y 6, en los apartados 1 a 4 del artículo 8 y en el artículo 9 de [dicha] Directiva» (el subrayado es mío).

104. Pues bien, según el mismo argumento, tal obligación general de conservar datos no se contenta con «limitar el alcance» de los derechos y de las obligaciones mencionados en dicha disposición, sino que reduce a la nada tales derechos y obligaciones. Así ocurriría con: — la obligación de garantizar la confidencialidad de los datos de tráfico y la obligación de supeditar el almacenamiento de información al consentimiento del usuario previstas, respectivamente, en los apartados 1 y 3 del artículo 5 de la Directiva 2002/58; — la obligación de eliminar o hacer anónimos los datos de tráfico, prescrita en el artículo 6, apartado 1, de dicha Directiva, y — la obligación de hacer anónimos los datos de localización o de obtener el consentimiento del usuario para tratar tales datos, impuesta por el artículo 9, apartado 1, de dicha Directiva.

105. Considero que estos dos primeros argumentos deben desestimarse por los siguientes motivos.

106. De una parte, la redacción del artículo 15, apartado 1, de la Directiva 2002/58 menciona la posibilidad de que los Estados miembros adopten «medidas legislativas en virtud de las cuales los datos se conserven durante un plazo limitado». Esta referencia explícita a las obligaciones de conservación de datos confirma que tales obligaciones no son, en sí mismas, incompatibles con el régimen establecido por la Directiva 2002/58. Si bien es cierto que esta formulación no contempla expresamente la posibilidad de establecer una obligación general de conservar datos, ha de reconocerse que tampoco se opone a la misma.

107. Por otra parte, el considerando 11 de la Directiva 2002/58 precisa que la misma no altera «el equilibrio actual entre el derecho de las personas a la intimidad y la posibilidad de que disponen los Estados miembros, según se indica en el apartado 1 del artículo 15 de [dicha] Directiva, de tomar las medidas necesarias para la protección de la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando las actividades tengan relación con asuntos de seguridad del Estado) y la aplicación del Derecho penal». En consecuencia, «[dicha] Directiva no afecta a la capacidad de los Estados miembros para interceptar legalmente las comunicaciones electrónicas o tomar otras medidas, cuando sea necesario, para cualquiera de estos fines y de conformidad con el [CEDH]».

108. En mi opinión, de este considerando 11 se desprende que la intención del legislador de la Unión no era menoscabar la facultad de los Estados miembros para adoptar las medidas contempladas en el artículo 15, apartado 1, de la Directiva 2002/58, sino sujetar tal facultad a las exigencias referidas, especialmente, al fin que se pretenda alcanzar y a la proporcionalidad de dichas medidas. En otros términos, una obligación general de conservar datos no es, en mi opinión, incompatible con el régimen establecido por dicha Directiva, siempre y cuando cumpla determinados requisitos.

109. Según un tercer argumento, el artículo 15, apartado 1, de la Directiva 2002/58 debiera, en tanto en cuanto constituye una excepción al régimen establecido por Directiva, ser objeto de una interpretación estricta, y ello, en virtud de una regla interpretativa que resulta de la reiterada jurisprudencia del Tribunal de Justicia. Según el mismo argumento, esta regla de interpretación estricta prohíbe interpretar dicha disposición en el sentido de que ofrece la posibilidad de imponer una obligación general de conservar datos.

110. En este sentido, mi impresión es que la facultad a que se refiere el artículo 15, apartado 1, de la Directiva 2002/58 no puede calificarse de excepción ni puede, por consiguiente, ser interpretada estrictamente, como ha alegado, con razón, la Comisión. En efecto, me parece difícil calificar de excepción tal facultad a la luz del considerando 11, antes citado, según el cual dicha Directiva no afecta a la capacidad de los Estados miembros para adoptar las medidas contempladas en dicha disposición. Por lo demás, debo señalar que el artículo 15 de dicha Directiva se titula «Aplicación de determinadas disposiciones de la Directiva 95/46», mientras que el artículo 10 de esa misma Directiva se titula expresamente «Excepciones». Estos títulos me confirman en la idea de que la facultad contemplada en el citado artículo 15 no puede calificarse de «excepción».

111. Según un cuarto y último argumento, la incompatibilidad de una obligación general de conservar datos con el régimen establecido por la Directiva 2002/58 viene corroborada por el hecho de que el apartado 1 bis se añadió al artículo 15 de dicha Directiva cuando se adoptó la Directiva 2006/24, invalidada por la sentencia DRI. En virtud de dicho argumento, esa incompatibilidad fue la que llevó al legislador de la Unión a declarar que el artículo 15, apartado 1, de la Directiva 2002/58 no es aplicable al régimen general de conservación establecido en la Directiva 2006/24.

112. Considero que este argumento obedece a una deficiente comprensión del alcance del artículo 15, apartado 1 bis, de la Directiva 2002/58. Con arreglo a dicha disposición, «[el artículo 15, apartado 1, de la Directiva 2002/58] no se aplicará a los datos que deben conservarse específicamente de conformidad con la Directiva [2006/24] para los fines recogidos en el artículo 1, apartado 1, de dicha Directiva».

113. La lectura que hago de dicha disposición es la siguiente. Por lo que se refiere a los datos cuya conservación venía exigida por la Directiva 2006/24, y a efectos establecidos por ésta, los Estados miembros perdían la facultad contemplada en el artículo 15, apartado 1, de la Directiva 2002/58 de limitar aún más el contenido de los derechos y de las obligaciones contemplados en dicha disposición, en particular, a través de obligaciones complementarias en materia de conservación de datos. En otros términos, el artículo 15, apartado 1 bis, contemplaba una armonización exhaustiva en lo relativo a los datos cuya conservación venía exigida por la Directiva 2006/24, y a los efectos establecidos por ésta.

114. A mi juicio, confirma esta interpretación el considerando 12 de la Directiva 2006/24, a cuyo tenor, «el artículo 15, apartado 1, de la Directiva [2002/58] sigue aplicándose a los datos, incluidos los datos relativos a las llamadas telefónicas infructuosas, cuya conservación no se prescribe específicamente en la presente Directiva y que, por consiguiente, quedan fuera del ámbito de aplicación de la misma, así como la conservación a efectos, incluidos judiciales, diferentes de los contemplados en la presente Directiva» (el subrayado es mío).

115. De esta manera, la inserción del artículo 15, apartado 1 bis, de la Directiva 2002/58 no demuestra la incompatibilidad de una obligación general de conservar datos con el régimen establecido por dicha Directiva, sino la voluntad del legislador de la Unión de proceder a una armonización exhaustiva al adoptar la Directiva 2006/24.

116. A la vista de lo anterior, estimo que una obligación general de conservar datos es compatible con el régimen establecido por la Directiva 2002/58 y, por lo tanto, que un Estado miembro puede hacer uso de la facultad ofrecida por el artículo 15, apartado 1, de dicha Directiva con el fin de imponer una obligación de esta índole. ( 20 ) El recurso a esa facultad está, no obstante, supeditado a que se cumplan estrictamente los requisitos establecidos no sólo en dicha disposición, sino también de las disposiciones pertinentes de la Carta leídas a la luz de la sentencia DRI, que serán analizadas en un apartado posterior. ( 21 )

C. Sobre la aplicabilidad de la Carta a una obligación general de conservar datos

117. Antes de examinar el contenido de los requisitos impuestos por la Carta, juntamente con el artículo 15, apartado 1, de la Directiva 2002/58, cuando un Estado decide establecer una obligación general de conservar datos, es preciso comprobar si la Carta es efectivamente aplicable a tal obligación.

118. La aplicabilidad de la Carta a una obligación general de conservar datos depende fundamentalmente de la aplicabilidad de la Directiva 2002/58 a tal obligación.

119. En efecto, según su artículo 51, apartado 1, primera frase, «las disposiciones de la Carta […] se dirigen a los Estados miembros únicamente cuando apliquen el Derecho de la Unión». Las explicaciones relativas al artículo 51 de la Carta se remiten, en este punto, a la jurisprudencia del Tribunal de Justicia según la cual la obligación de respetar los derechos fundamentales definidos en el marco de la Unión sólo se impone a los Estados miembros cuando actúan en el ámbito de aplicación del Derecho de la Unión. ( 22 )

120. Los Gobiernos checo, francés, polaco y del Reino Unido, que niegan que la Directiva 2002/58 sea aplicable a una obligación general de conservar datos, ( 23 ) también han sostenido que la Carta no era aplicable a una obligación de ese tipo.

121. Ya he expuesto los motivos por los que considero que una obligación general de conservar datos constituye una aplicación de la facultad contemplada en el artículo 15, apartado 1, de la Directiva 2002/58. ( 24 )

122. En consecuencia, considero que las disposiciones de la Carta son aplicables a las medidas nacionales que establecen tal obligación, con arreglo al artículo 51, apartado 1, de la Carta, como han alegado el Sr Watson, los Sres. Brice y Lewis, Open Rights Group y Privacy International, los Gobiernos danés, alemán, finlandés, así como la Comisión ( 25 ).

123. Esta conclusión no se ve desmentida por el hecho de que el ámbito de aplicación de la Carta no abarque las disposiciones nacionales que regulan el acceso a los datos conservados.

124. Ciertamente, en la medida en que afecten a «actividades del Estado en materia penal», las disposiciones nacionales que regulan el acceso a los datos conservados por las autoridades policiales o judiciales para luchar contra infracciones graves están, en mi opinión, comprendidas en la exclusión establecida en el artículo 1, apartado 3, de la Directiva 2002/58. ( 26 ) Por consiguiente, tales disposiciones nacionales no ejecutan el Derecho de la Unión, de manera que la Carta no les resulta aplicable.

125. No obstante, la razón de ser de una obligación de conservación de datos es permitir a las autoridades encargadas de combatir la delincuencia acceder a los datos conservados, de manera que los problemas que se refieren a la conservación y al acceso no pueden separarse totalmente. Como ha subrayado con razón la Comisión, las disposiciones que regulan el acceso revisten una importancia determinante para juzgar la compatibilidad con la Carta de las disposiciones que crean una obligación general de conservar datos, las cuales ejecutan el artículo 15, apartado 1, de la Directiva 2002/58. Más precisamente, las disposiciones que regulan el acceso han de ser tenidas en cuenta a la hora de apreciar la necesidad y la proporcionalidad de tal obligación. ( 27 )

D. Sobre la compatibilidad de una obligación general de conservar datos con los requisitos establecidos por el artículo 15, apartado 1, de la Directiva 2002/58, así como por los artículos 7, 8 y 52, apartado 1, de la Carta

126. Me queda ahora por abordar la difícil cuestión de la compatibilidad de una obligación general de conservar datos con los requisitos establecidos por el artículo 15, apartado 1, de la Directiva 2002/58, así como por los artículos 7, 8 y 52, apartado 1, de la Carta leídos a la luz de la sentencia DRI. Esta cuestión afecta, de forma más general, a la necesaria adaptación del marco legal que regula las facultades de vigilancia de los Estados, multiplicadas a causa de los recientes progresos tecnológicos. ( 28 )

127. La primera etapa de cualquier análisis en este ámbito consiste en comprobar si existe una injerencia en los derechos consagrados en la Directiva 2002/58 y en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta.

128. En efecto, dicha obligación constituye una injerencia grave en el derecho al respeto de la vida privada, consagrado en el artículo 7 de la Carta, y en el derecho a la protección de datos de carácter personal, garantizado por el artículo 8 de la Carta. No considero útil insistir en esta injerencia declarada, expuesta con claridad por el Tribunal de Justicia en los apartados 32 a 37 de la sentencia DRI. ( 29 ) De igual manera, una obligación general de conservar datos constituye una injerencia en varios derechos consagrados por la Directiva 2002/58. ( 30 )

129. La segunda etapa del análisis consiste en determinar si dicha injerencia grave en los derechos consagrados por la Directiva 2002/58, así como en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta puede estar justificada y, en su caso, con qué requisitos.

130. Existen dos disposiciones que establecen los requisitos que deben cumplirse para que esta doble injerencia esté justificada: el artículo 15, apartado 1, de la Directiva 2002/58, que delimita la facultad de los Estados miembros de limitar el alcance de ciertos derechos establecidos por dicha Directiva, y el artículo 52, apartado 1, de la Carta, leído a la luz de la sentencia DRI, que delimita cualquier limitación del ejercicio de los derechos reconocidos por la Carta.

131. Deseo subrayar que estas exigencias son acumulativas. En efecto, el cumplimiento de los requisitos fijados en el artículo 15, apartado 1, de la Directiva 2002/58 no supone de por sí que las exigencias establecidas en el artículo 52, apartado 1, de la Carta se cumplan, y viceversa. ( 31 ) Por consiguiente, sólo podrá considerarse que una obligación general de conservar datos es compatible con el Derecho de la Unión si cumple a la vez los requisitos establecidos en el artículo 15, apartado 1, de la Directiva 2002/58 y los que se prevén en el artículo 52, apartado 1, de la Carta, como ha subrayado la Law Society of England and Wales. ( 32 )

132. Entre las dos disposiciones se establecen seis requisitos que han de ser cumplidos para que pueda justificarse la injerencia generada por una obligación general de conservar datos: — la obligación de conservación debe tener una base legal; — debe respetar el contenido esencial de los derechos consagrados por la Carta; — debe perseguir un objetivo de interés general; — debe ser apropiada para la consecución de dicho objetivo; — debe ser necesaria para la consecución de dicho objetivo, y — debe ser proporcionada, en una sociedad democrática, para la consecución de ese mismo objetivo.

133. Varios de esos requisitos ya fueron evocados por el Tribunal de Justicia en la sentencia DRI. Sin embargo, con ánimo clarificador, y habida cuenta las particularidades de los presentes asuntos en relación con el asunto DRI, deseo volver sobre cada uno de ellos, examinando con mayor detalle los requisitos referidos a la base legal, al carácter necesario y al carácter proporcionado, dentro de una sociedad democrática, de una obligación general de conservar datos.

1. Sobre el requisito de tener una base legal de Derecho nacional

134. Tanto el artículo 52, apartado 1, de la Carta como el artículo 15, apartado 1, de la Directiva 2002/58 establecen requisitos en relación con la base legal que debe utilizar un Estado miembro para imponer una obligación general de conservar datos.

135. En primer lugar, cualquier limitación al ejercicio de los derechos reconocidos por la Carta deberá ser «establecida por la ley», con arreglo a su artículo 52, apartado 1. Debo precisar que esta exigencia no fue examinada formalmente por el Tribunal de Justicia en la sentencia DRI, que se refería a una injerencia prevista por una Directiva.

136. Hasta la reciente sentencia WebMindLicenses, ( 33 ) el Tribunal de Justicia jamás se había pronunciado sobre el alcance exacto de dicho requisito, incluso cuando la declaraba expresamente cumplida ( 34 ) o vulnerada. ( 35 ) En el apartado 81 de dicha sentencia, la Sala Tercera del Tribunal de Justicia se pronunció en los siguientes términos: «A este respecto, procede señalar que el requisito de que cualquier limitación del ejercicio de ese derecho debe establecerse por ley implica que la base jurídica que permita a la administración tributaria utilizar las pruebas mencionadas en el apartado anterior debe ser suficientemente clara y precisa, y que, al definir ella misma el alcance de la limitación del ejercicio del derecho garantizado por el artículo 7 de la Carta, ofrece una cierta protección contra posibles injerencias arbitrarias por parte de dicha administración (véanse TEDH, en particular, sentencias Malone c. Reino Unido de 2 de agosto de 1984, serie A n.o 82, § 67, y Gillan y Quinton c. Reino Unido de 12 de enero de 2010, n.o 4158/05, § 77, CEDH 2010).»

137. Invito a la Gran Sala del Tribunal de Justicia a que confirme esta interpretación en los presentes asuntos por las razones que expongo a continuación.

138. Como señaló acertadamente el Abogado General Cruz Villalón en las conclusiones que presentó en el asunto Scarlet Extended, ( 36 ) el TEDH ha elaborado un abundante corpus jurisprudencial en relación con este requisito en el contexto del CEDH, que se caracteriza por una acepción material y no formal del término «ley». ( 37 )

139. Según dicha jurisprudencia, la expresión «prevista por la ley» implica que la base legal sea suficientemente accesible y previsible, es decir, que se enuncie con la suficiente precisión como para permitir al individuo, buscando si es preciso asesoramiento jurídico adecuado, que ajuste su conducta a Derecho. Dicha base legal debe asimismo proporcionar una protección adecuada frente a la arbitrariedad y, en consecuencia, definir con la suficiente nitidez la amplitud y los modos de ejercer la facultad conferida a las autoridades competentes (principio de la primacía del Derecho). ( 38 )

140. Pues bien, considero necesario, por las razones que expondré seguidamente, que se atribuya a la expresión «prevista por la ley» utilizada en el artículo 52, apartado 1, de la Carta un alcance similar al que dicha expresión tiene en el contexto del CEDH.

141. Por una parte, en virtud del artículo 53 de la Carta y de las explicaciones relativas a ese artículo, el nivel de protección ofrecido por la Carta no puede ser jamás inferior al garantizado por el CEDH. Esta prohibición de traspasar el «umbral del CEDH» implica que la interpretación por el Tribunal de Justicia de la expresión «prevista por la ley» utilizada en el artículo 52, apartado 1, de la Carta debe ser al menos tan estricta como la del TEDH en el contexto del CEDH. ( 39 )

142. Por otra parte, a la vista de la naturaleza horizontal de este requisito, que puede aplicarse a muchos tipos de injerencias, tanto en el contexto de la Carta como en el del CEDH, ( 40 ) no sería oportuno someter a los Estados miembros a criterios diferentes en función de si la injerencia se examina a la luz de uno u otro de esos dos instrumentos. ( 41 )

143. Por lo tanto, considero que, como han alegado el Gobierno estonio y la Comisión, la expresión «prevista por la ley» que figura en el artículo 52, apartado 1, de la Carta ha de interpretarse a la luz de la jurisprudencia del TEDH, sintetizada en el punto 139 de las presentes conclusiones, en el sentido de que una obligación general de conservar datos, como las obligaciones de que se trata en los litigios principales, debe estar prevista en una base legal suficientemente accesible y previsible, por una parte, y que ofrezca una protección adecuada frente a la arbitrariedad, por otra parte.

144. En segundo lugar, procede determinar el contenido de los requisitos impuesto por el artículo 15, apartado 1, de la Directiva 2002/58 en relación con la base legal que debe utilizarse por un Estado miembro que desee utilizar la facultad que brinda esa disposición.

145. Sobre esta cuestión, tengo que señalar que existe una divergencia entre las versiones lingüísticas de la primera frase de dicha disposición.

146. En las versiones inglesa («legislative measures»), francesa («mesures législatives»), italiana («disposizioni legislative»), portuguesa («medidas legislativas»), rumana («măsuri legislative»), y sueca (« genom lagstiftning vidta åtgärder»), el artículo 15, apartado 1, primera frase de la Directiva 2002/58 impone, en mi opinión la adopción de medidas que emanen del poder legislativo.

147. En cambio, las versiones danesa («retsforskrifter»), alemana («Rechtsvorschriften»), neerlandesa («wettelijke maatregele») y española («medidas legales») de dicha frase pueden ser interpretadas en el sentido de que exigen que se adopten o bien medidas que emanen del poder legislativo, o bien medidas reglamentarias que emanen del poder ejecutivo.

148. Con arreglo a una jurisprudencia reiterada, la necesidad de una aplicación y, por ende, de una interpretación uniformes de un acto de la Unión excluye que éste sea considerado de manera aislada en una de sus versiones, exigiendo, por el contrario, que sea interpretado en función tanto de la voluntad real de su autor como del objetivo perseguido por éste a la luz, en particular, de las versiones adoptadas en todas las demás lenguas oficiales. En caso de divergencia entre las distintas versiones lingüísticas, la norma de que se trata debe interpretarse en función de la estructura general y de la finalidad de la normativa en que se integra. ( 42 )

149. En el asunto que nos ocupa, el artículo 15, apartado 1, de la Directiva 2002/58 regula la facultad de los Estados miembros de establecer excepciones a los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta, cuya protección del Directiva ejecuta. Estimo, por ello, oportuno interpretar la exigencia de una base legal impuesta por el artículo 15, apartado 1, de la Directiva 2002/58 a la luz de la Carta, y en particular de su artículo 52, apartado 1.

150. De esta manera, las «medidas» exigidas por el artículo 15, apartado 1, de la Directiva 2002/58 deben cumplir imperativamente las cualidades de accesibilidad, previsibilidad y protección adecuada frente a la arbitrariedad a las que me he referido en el punto 143 de las presentes conclusiones. De tales cualidades, en particular de la exigencia de una protección adecuada frente a la arbitrariedad, se desprende que dichas medidas han de ser vinculantes para las autoridades nacionales a las que se concede el poder de acceder a los datos conservados. Entre otras cosas, no sería suficiente que las garantías que rodean el acceso a dichos datos estén determinadas en códigos o directrices internas que no tengan tal carácter vinculante, como ha señalado con razón la Law Society of England and Wales.

151. Además, la expresión «los Estados miembros podrán adoptar medidas», común a todas las versiones lingüísticas del artículo 15, apartado 1, primera frase, de la Directiva 2002/58, parece excluir la posibilidad de que una jurisprudencia nacional, aunque sea reiterada, pueda constituir una base legal suficiente para ejecutar dicha disposición. Debo subrayar que, en ese aspecto, tal disposición va más allá de las exigencias impuestas por la jurisprudencia del TEDH. ( 43 )

152. Debo añadir que me parece deseable, a la vista de la gravedad de las injerencias que implica una obligación general de conservar datos en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta, se establezca el contenido esencial del régimen en cuestión, en particular el de las garantías que rodean tal obligación, en una medida adoptada por el poder legislativo, quedando el ejecutivo encargado de desarrollar la regulación de su aplicación.

153. A la vista de lo anterior, considero que el artículo 15, apartado 1, de la Directiva 2002/58 y el artículo 52, apartado 1, de la Carta han de interpretarse en el sentido de que el régimen que establezca una obligación general de conservar datos, como la que es objeto de los litigios principales, ha de fijarse mediante medidas legislativas o reglamentarias en que concurran las cualidades de accesibilidad, previsibilidad y protección adecuada frente a la arbitrariedad.

154. Corresponde a los órganos jurisdiccionales remitentes comprobar que se cumple este requisito habida cuenta de la posición privilegiada de que gozan en orden a valorar sus respectivos regímenes nacionales.

2. Sobre el respeto del contenido esencial de los derechos reconocidos por los artículos 7 y 8 de la Carta

155. Con arreglo al artículo 52, apartado 1, de la Carta, toda limitación en el ejercicio de los derechos reconocidos por la Carta debe «respetar el contenido esencial de dichos derechos». ( 44 ) No me parece que este aspecto, examinado por el Tribunal de Justicia en los apartados 39 y 40 de la sentencia DRI en el contexto de la Directiva 2006/24, plantee problemas especiales en el marco de los presentes asuntos, como han subrayado los Gobiernos español e irlandés, así como la Comisión.

156. En el apartado 39 de la sentencia DRI, el Tribunal de Justicia declaró que dicha Directiva no vulneraba el contenido esencial del derecho fundamental al respeto de la vida privada y de los otros derechos reconocidos en el artículo 7 de la Carta al no permitir conocer el contenido de las comunicaciones electrónicas como tal.

157. Desde mi punto de vista, esta apreciación puede transponerse a los regímenes nacionales de que se trata en los asuntos principales dado que éstos tampoco permiten conocer el contenido, en cuanto tal, de las comunicaciones electrónicas. ( 45 )

158. En el apartado 40 de la sentencia DRI, el Tribunal de Justicia consideró que la Directiva 2006/24 no vulneraba el contenido esencial del derecho fundamental a la protección de datos de carácter personal, reconocido en el artículo 8 de la Carta, a la vista de los principios de protección y de seguridad de los datos que deben respetar los proveedores en virtud del artículo 7 de dicha Directiva, debiendo los Estados miembros velar por que se adopten medidas técnicas y organizativas adecuadas contra la destrucción accidental o ilícita de los datos y su pérdida o alteración accidental.

159. Considero, una vez más, que esta apreciación puede transponerse a los regímenes nacionales de que se trata en los asuntos principales, dado que éstos parecen prever garantías comparables en cuanto a protección y seguridad de los datos conservados por proveedores, garantías que deben permitir proteger de manera eficaz los datos de carácter personal contra los riesgos de abuso y contra cualquier acceso o utilización ilícitos respecto de tales datos. ( 46 )

160. No obstante, corresponde a los órganos jurisdiccionales remitentes comprobar que los regímenes nacionales de que se trata en los litigios principales respetan de una manera efectiva el contenido esencial de los derechos reconocidos por los artículos 7 y 8 de la Carta, a la luz de las anteriores consideraciones.

3. Sobre la existencia de un objetivo de interés general reconocido por la Unión que puede justificar una obligación general de conservar datos

161. Tanto el artículo 15, apartado 1, de la Directiva 2002/58 como el artículo 52, apartado 1, de la Carta exigen que cualquier injerencia en los derechos consagrados por dichos instrumentos persiga un objetivo de interés general.

162. En los apartados 41 a 44 de la sentencia DRI, el Tribunal de Justicia consideró, por una parte, que la obligación general de conservar datos impuesta por la Directiva 2006/24 contribuía a «lucha contra la delincuencia grave y, en definitiva, a la seguridad pública» y, por otra, que dicha lucha constituía un objetivo de interés general de la Unión.

163. En efecto, de la jurisprudencia del Tribunal de Justicia se desprende que la lucha contra el terrorismo internacional para el mantenimiento de la paz y la seguridad internacionales es un objetivo de interés general de la Unión. Lo mismo ocurre en lo que respecta a la lucha contra la delincuencia grave para garantizar la seguridad pública. Por otra parte, en relación con esta cuestión procede señalar que el artículo 6 de la Carta establece el derecho de toda persona no sólo a la libertad, sino también a la seguridad. ( 47 )

164. Cabe transponer esta apreciación a las obligaciones generales de conservación de datos de que se trata en los litigios principales, que pueden estar justificadas por el objetivo de lucha contra los delitos graves.

165. No obstante, a la vista de algunos de los argumentos formulados ante el Tribunal de Justicia, procede determinar si tal obligación puede justificarse por otro objetivo de interés general, distinto del de la lucha contra los delitos graves.

166. Sobre este particular, la redacción artículo 52, apartado 1, de la Carta alude, de manera general, a «objetivos de interés general reconocidos por la Unión» y a «la necesidad de protección de los derechos y libertades de los demás».

167. La redacción del artículo 15, apartado 1, de la Directiva 2002/58 es más precisa en relación con los objetivos que pueden justificar una injerencia en los derechos establecidos en esa Directiva. En efecto, según dicha disposición, las medidas en cuestión deben contribuir a «proteger la seguridad nacional (es decir, la seguridad del Estado), la defensa, la seguridad pública, o la prevención, investigación, descubrimiento y persecución de delitos o la utilización no autorizada del sistema de comunicaciones electrónicas a que se hace referencia en el apartado 1 del artículo 13 de la Directiva 95/46».

168. Además, en la sentencia Promusicae, ( 48 ) el Tribunal de Justicia consideró que dicha disposición debía interpretarse a la luz del artículo 13, apartado 1, de la Directiva 95/46, que autoriza las excepciones a los derechos previstos en la Directiva cuando estén justificadas por «la protección de los derechos y libertades de otras personas». En consecuencia el Tribunal de Justicia consideró que el artículo 15, apartado 1, de la Directiva 2002/58 brindaba a los Estados miembros la posibilidad de imponer a los proveedores el deber de divulgar datos de carácter personal para que, en un procedimiento civil, se determinara si había habido una infracción de los derechos de autor en relación con grabaciones musicales y audiovisuales.

169. El Gobierno del Reino Unido se ha apoyado en dicha sentencia para alegar que una obligación general de conservar datos puede estar justificada por cualquier objetivo de los mencionados, ya sea en el artículo 15, apartado 1, de la Directiva 2002/58, ya sea en el artículo 13, apartado 1, de la Directiva 95/46. Según dicho Gobierno, tal obligación podría estar justificada por la utilidad que presentan los datos conservados en la lucha contra delitos «simples» (como contrapuestos a «graves») o incluso en el contexto de procedimientos no penales en relación con los objetivos mencionados por dichas disposiciones.

170. Este argumento no llega a convencerme, por las siguientes razones.

171. En primer lugar, y como han señalado acertadamente el Sr. Watson, así como Open Rights Group y Privacy International, el enfoque adoptado por el Tribunal de Justicia en la sentencia Promusicae ( 49 ) no puede transponerse a los presentes asuntos, al referirse dicha sentencia a una solicitud formulada por una asociación de titulares de derechos de autor, de acceder a datos conservados motu proprio por un proveedor, concretamente, Telefónica de España. En otros términos, dicha sentencia no se refería a objetivos susceptibles de justificar las graves injerencias en los derechos fundamentales que implica una obligación general de conservar datos, como la que es objeto de los litigios principales.

172. En segundo lugar, estimo que la exigencia de proporcionalidad en una sociedad democrática excluye que la lucha contra delitos simples o el buen desarrollo de procedimientos no penales pueda justificar una obligación general de conservar datos. En efecto, los considerables riesgos que genera tal obligación se presentan como desmedidos en comparación con las ventajas que puede aportar en la lucha contra delitos simples o en el contexto de procedimientos no penales. ( 50 )

173. A la vista de lo que antecede, considero que el artículo 15, apartado 1, de la Directiva 2002/58 y el artículo 52, apartado 1, de la Carta han de interpretarse en el sentido de que la lucha contra los delitos graves constituye un objetivo de interés general susceptible de justificar una obligación general de conservar datos, a diferencia de la lucha contra delitos simples o el buen desarrollo de procedimientos no penales.

174. En consecuencia, procede examinar si tal obligación reviste un carácter apropiado, necesario y proporcionado a la luz del objetivo de luchar contra delitos graves.

4. Sobre el carácter apropiado de una obligación general de conservar datos en relación con la lucha contra los delitos graves

175. Los requisitos relativos al carácter apropiado, necesario ( 51 ) y proporcionado ( 52 ) se derivan tanto del artículo 15, apartado 1, de la Directiva 2002/58 como del artículo 52, apartado 1, de la Carta.

176. En virtud del primero de esos requisitos, una obligación general de conservar datos como la que es objeto de los litigios principales debe contribuir al objetivo de interés general que se ha identificado más arriba, es decir, la lucha contra los delitos graves.

177. Esta exigencia no plantea especiales dificultades en el contexto de los presentes asuntos. Como señaló, en esencia, el Tribunal de Justicia, en el apartado 49 de la sentencia DRI, los datos conservados permiten a las autoridades nacionales competentes en materia penal disponer de un medio más de investigación para prevenir o esclarecer delitos graves. Por consiguiente, tal obligación contribuye a la lucha contra los delitos graves.

178. Sin embargo, tengo interés en aclarar la utilidad que puede presentar una obligación general de conservar datos en la lucha contra los delitos graves. Como ha alegado con razón el Gobierno francés, tal obligación permite, en cierta medida, a las autoridades encargadas de combatir la delincuencia «leer el pasado» consultando los datos conservados, a diferencia de lo que ocurre con las medidas de vigilancia dirigidas a un grupo o persona concretos.

179. Una medida de vigilancia dirigida a un grupo o personas concretos tiene por objeto personas previamente identificadas como posiblemente relacionadas, siquiera indirecta o remotamente, con un delito grave. Tales medidas dirigidas a un grupo o persona concretos permiten a las autoridades competentes tener acceso a los datos relativos a las comunicaciones mantenidas por dichas personas, incluso al contenido de dichas comunicaciones. Sin embargo, tal acceso sólo puede referirse a las comunicaciones mantenidas por tales personas posteriormente a su identificación.

180. En cambio, una obligación general de conservar datos abarca el conjunto de las comunicaciones mantenidas por el conjunto de los usuarios, sin que se exija ninguna relación con un delito grave. Tal obligación permite a las autoridades competentes tener acceso al historial de las comunicaciones realizadas por una persona antes de haber sido identificada como alguien que tiene tal relación. En este aspecto, dicha obligación otorga a las autoridades que encargadas de combatir la delincuencia una capacidad limitada de leer el pasado, ofreciéndoles un acceso a las comunicaciones realizadas por dichas personas antes de su identificación. ( 53 )

181. En otros términos, la utilidad que presenta una obligación general de conservar datos para la lucha contra los delitos graves reside en esa capacidad limitada de leer el paso a través de los datos que trazan el historial de las comunicaciones mantenidas por una persona antes que se sospeche que tiene una relación con un delito. ( 54 )

182. Al presentar la propuesta de Directiva que condujo a la adopción de la Directiva 2006/24, la Comisión ilustró esta utilidad valiéndose de varios ejemplos concretos de investigaciones relativas, en particular, a actos de terrorismo, homicidio, secuestro y pornografía infantil. ( 55 )

183. En los presentes asuntos, se han expuesto ante el Tribunal de Justicia varios ejemplos similares, en particular, por parte del Gobierno francés, que ha subrayado la obligación positiva que incumbe a los Estados miembros de garantizar la seguridad de las personas que se encuentran en su territorio. Según dicho Gobierno, en el marco de las investigaciones relativas al desmantelamiento de las redes que organizan la salida de residentes franceses hacia zonas de conflicto en Irak o en Siria, el acceso a los datos conservados tiene un papel determinante a la hora de identificar las personas que han facilitado tal salida. Dicho Gobierno añade que el acceso a los datos relativos a comunicaciones de las personas implicadas en los recientes atentados terroristas de enero y de noviembre de 2015 en Francia han sido extremadamente útiles para los investigadores a la hora de descubrir a los cómplices de los autores de dichos atentados. De la misma forma, en el marco de la búsqueda de una persona desaparecida, los datos relativos a la localización de dicha persona obtenidos de las comunicaciones mantenidas antes de su desaparición pueden ser determinantes en la investigación.

184. A la vista de las consideraciones que anteceden, considero que una obligación general de conservar datos puede contribuir a luchar contra los delitos graves. Sin embargo, queda por comprobar si tal obligación es a la vez necesaria y proporcionada a dicho objetivo.

5. Sobre el carácter necesario de una obligación general de conservar datos en relación con la lucha contra los delitos graves

185. Según una reiterada jurisprudencia, una medida sólo puede considerarse necesaria si no existe ninguna otra medida que sea igual de apropiada y que, al mismo tiempo, sea menos restrictiva. ( 56 )

186. El requisito del carácter apropiado implica evaluar la eficacia «absoluta» —con independencia de cualquier otra medida que pueda pensarse— de una obligación general de conservar datos en relación con la lucha contra delitos graves. El requisito de necesidad, conduce, por su parte, a valorar la eficiencia, o eficacia «relativa», es decir, en comparación con cualquier otra medida que pueda pensarse– de tal obligación. ( 57 )

187. En el contexto de los presentes asuntos, el test de necesidad obliga a comprobar, por una parte, si otra medidas podrían ser igual de eficaces que una obligación general de conservar datos en la lucha contra los delitos graves y, por otra parte, si, en su caso, dichas medidas son menos lesivas para los derechos consagrados por la Directiva 2002/58 y por los artículos 7 y 8 de la Carta. ( 58 )

188. Deseo, además, recordar la reiterada jurisprudencia, evocada en el apartado 52 de la sentencia DRI, según la cual la protección del derecho fundamental a la vida privada exige que las excepciones a la protección de los datos de carácter personal y las limitaciones de dicha protección deben establecerse sin sobrepasar los límites de lo «estrictamente necesario». ( 59 )

189. Las partes que han presentado observaciones ante el Tribunal de Justicia han debatido ampliamente dos problemáticas referidas a la exigencia de una estricta necesidad en el contexto de los presentes asuntos, problemáticas que concuerdan con las dos cuestiones planteadas por el órgano jurisdiccional remitente en el asunto C‑203/15: — por una parte, a la luz des apartados 56 a 59 de la sentencia DRI, ¿debe considerarse que una obligación general de conservar datos excede los límites de lo estrictamente necesario en relación con la lucha contra los delitos graves, y ello, con independencia de las garantías que pueda llevar aparejada tal obligación? — Por otra parte, suponiendo que pueda considerarse que tal obligación excede, en sí misma, los límites de lo estrictamente necesario, ¿debe llevar aparejado el conjunto de garantías enunciadas por el Tribunal de Justicia en los apartados 60 a 68 de la sentencia DRI con el fin de limitar a lo estrictamente necesario el menoscabo a los derechos consagrados por la Directiva 2002/58 y por los artículos 7 y 8 de la Carta?

190. Antes de abordar esas cuestiones, considero oportuno aportar un argumento formulado por el Gobierno del Reino Unido en el sentido de que los criterios sentados en la sentencia DRI carecen de pertinencia en el contexto de los presentes asuntos por referirse dicha sentencia no a un régimen nacional sino a un régimen establecido por el legislador de la Unión.

191. A este propósito, debo subrayar que la sentencia DRI interpretó los artículos 7, 8 y 52, apartado 1, de la Carta y que dichas disposiciones también son objeto de las cuestiones planteadas en los litigios principales. Pues bien, en mi opinión, resulta imposible interpretar las disposiciones de la Carta de manera diferente en función de si el régimen de que se trata ha sido establecido a escala de la Unión o a escala nacional, como, con razón, han subrayado los Sres. Brice y Lewis, así como la Law Society of England and Wales. Cuando esté comprobado que la Carta resulta aplicable, como ocurre en los presentes asuntos, ( 60 ) ésta ha de aplicarse de igual forma, con independencia del régimen de que se trate. Por lo tanto, los criterios establecidos por el Tribunal de Justicia en la sentencia DRI son pertinentes a efectos de apreciar los regímenes nacionales de que se trata en los presentes asuntos, como han alegado, en particular, los Gobiernos danés e irlandés, así como la Comisión.

a) Sobre el carácter estrictamente necesario de una obligación general de conservar datos

192. Según un primer enfoque, sostenido por Tele2 Sverige, así como por Open Rights Group y Privacy International, después de la sentencia DRI, debe considerarse que una obligación general de conservar datos excede, en sí misma, los límites de lo estrictamente necesario a efectos de la lucha contra los delitos graves, y ello, con independencia de las garantías que pueda llevar aparejadas esta obligación.

193. Según un segundo enfoque, sostenido por la mayoría de las demás partes que han presentado observaciones ante el Tribunal de Justicia, tal obligación no sobrepasa los límites de lo estrictamente necesario siempre que vaya lleve aparejadas ciertas garantías con respecto al acceso a los datos, al período de conservación, así como a la protección y la seguridad de los datos.

194. Éstas son las razones que me llevan a optar por este segundo enfoque.

195. En primer lugar, según la lectura que hago de la sentencia DRI, el Tribunal de Justicia consideró que una obligación general de conservar datos excede los límites de lo estrictamente necesario cuando no lleve aparejadas estrictas garantías en relación con el acceso a los datos, el período de conservación, así como la protección y la seguridad de los datos. En cambio, el Tribunal de Justicia no se pronunció sobre la compatibilidad con el Derecho de la Unión de una obligación general de conservar datos que estuviera sí llevara aparejadas tales garantías, por el motivo de que, en ese asunto, el objeto de las cuestiones planteadas al Tribunal de Justicia no era un régimen de tales características.

196. Sobre este extremo, debo subrayar que los apartados 56 a 59 de la sentencia DRI no recogen ninguna declaración del Tribunal de Justicia en el sentido de que una obligación general de conservar datos exceda, en sí misma, los límites de lo estrictamente necesario.

197. En los apartados 56 y 57 de dicha sentencia, el Tribunal de Justicia declara que la obligación de conservación establecida en la Directiva 2006/24 abarca el conjunto de medios de comunicación electrónica, el conjunto de los usuarios, así como el conjunto de los datos de tráfico, sin que se haga ninguna diferenciación, limitación o excepción en función del objetivo de lucha contra los delitos graves.

198. En los apartados 58 y 59 de dicha sentencia, el Tribunal de Justicia expone con mayor detalle las implicaciones prácticas de esta falta de diferenciación. Por una parte, esta obligación de conservación afecta incluso a personas respecto de las cuales no existen indicios que sugieran que su comportamiento puede guardar relación, ni siquiera indirecta o remota, con delitos graves. Por otra parte, dicha Directiva no exige ninguna relación entre los datos cuya conservación se establece y una amenaza para la seguridad pública y, en particular, la conservación no se limita a datos referentes a un período temporal o zona geográfica determinados o a un círculo de personas concretas que puedan estar implicadas de una manera u otra en un delito grave.

199. Con ello, el Tribunal de Justicia pone de relieve que una obligación general de conservar datos se caracteriza por su falta de diferenciación en función del objetivo de lucha contra los delitos graves. Sin embargo, no ha considerado que esta falta de diferenciación signifique que dicha obligación exceda, en sí misma, los límites de lo estrictamente necesario.

200. En realidad, hasta que no finaliza su examen del régimen establecido por la Directiva 2006/24, y comprueba la falta de determinadas garantías, que a continuación examinaré, ( 61 ) el Tribunal de Justicia concluye, en apartado 69 de la sentencia DRI que: «Habida cuenta de todas las consideraciones anteriores, ha de considerarse que, al adoptar la Directiva 2006/24, el legislador de la Unión sobrepasó los límites que exige el respeto del principio de proporcionalidad en relación con los artículos 7, 8 y 52, apartado 1, de la Carta.» (El subrayado es mío).

201. Como han alegado los Gobiernos alemán y neerlandés, si la conservación generalizada de datos hubiera bastado, por sí sola, para invalidar la Directiva 2006/24, el Tribunal de Justicia no habría tenido necesidad de examinar, además detalladamente, la falta de las garantías enunciadas en los apartados 60 a 68 de dicha sentencia.

202. Por lo tanto, la obligación general de conservar datos prevista en la Directiva 2006/24 no excedía, en sí misma, los límites de lo estrictamente necesario. Dicha Directiva excedía los límites de lo estrictamente necesario en razón del efecto combinado de la conservación generalizada de los datos y de la falta de garantías dirigidas a limitar a lo estrictamente necesario el menoscabo de los derechos consagrados en los artículos 7 y 8 de la