CELEX ID: 62012CJ0293

--- ENGLISH ---

Document:
JUDGMENT OF THE COURT (Grand Chamber)
8 April 2014 (
*1
)
‛Electronic communications — Directive 2006/24/EC — Publicly available electronic communications services or public communications networks services — Retention of data generated or processed in connection with the provision of such services — Validity — Articles 7, 8 and 11 of the Charter of Fundamental Rights of the European Union’
In Joined Cases C‑293/12 and C‑594/12,
REQUESTS for a preliminary ruling under Article 267 TFEU from the High Court (Ireland) and the Verfassungsgerichtshof (Austria), made by decisions of 27 January and 28 November 2012, respectively, received at the Court on 11 June and 19 December 2012, in the proceedings
Digital Rights Ireland Ltd
 (C‑293/12)
v
Minister for Communications, Marine and Natural Resources,
Minister for Justice, Equality and Law Reform,
Commissioner of the Garda Síochána,
Ireland,
The Attorney General,
intervener:
Irish Human Rights Commission,
and
Kärntner Landesregierung
 (C‑594/12),
Michael Seitlinger,
Christof Tschohl and others,
THE COURT (Grand Chamber),
composed of V. Skouris, President, K. Lenaerts, Vice-President, A. Tizzano, R. Silva de Lapuerta, T. von Danwitz (Rapporteur), E. Juhász, A. Borg Barthet, C.G. Fernlund and J.L. da Cruz Vilaça, Presidents of Chambers, A. Rosas, G. Arestis, J.-C. Bonichot, A. Arabadjiev, C. Toader and C. Vajda, Judges,
Advocate General: P. Cruz Villalón,
Registrar: K. Malacek, Administrator,
having regard to the written procedure and further to the hearing on 9 July 2013,
after considering the observations submitted on behalf of:
—
Digital Rights Ireland Ltd, by F. Callanan, Senior Counsel, and F. Crehan, Barrister-at-Law, instructed by S. McGarr, Solicitor,
—
Mr Seitlinger, by G. Otto, Rechtsanwalt,
—
Mr Tschohl and Others, by E. Scheucher, Rechtsanwalt,
—
the Irish Human Rights Commission, by P. Dillon Malone, Barrister-at-Law, instructed by S. Lucey, Solicitor,
—
Ireland, by E. Creedon and D. McGuinness, acting as Agents, assisted by E. Regan, Senior Counsel, and D. Fennelly, Barrister-at-Law,
—
the Austrian Government, by G. Hesse and G. Kunnert, acting as Agents,
—
the Spanish Government, by N. Díaz Abad, acting as Agent,
—
the French Government, by G. de Bergues and D. Colas and by B. Beaupère-Manokha, acting as Agents,
—
the Italian Government, by G. Palmieri, acting as Agent, assisted by A. De Stefano, avvocato dello Stato,
—
the Polish Government, by B. Majczyna and M. Szpunar, acting as Agents,
—
the Portuguese Government, by L. Inez Fernandes and C. Vieira Guerra, acting as Agents,
—
the United Kingdom Government, by L. Christie, acting as Agent, assisted by S. Lee, Barrister,
—
the European Parliament, by U. Rösslein and A. Caiola and by K. Zejdová, acting as Agents,
—
the Council of the European Union, by J. Monteiro and E. Sitbon and by I. Šulce, acting as Agents,
—
the European Commission, by D. Maidani, B. Martenczuk and M. Wilderspin, acting as Agents,
after hearing the Opinion of the Advocate General at the sitting on 12 December 2013,
gives the following
Judgment
1
These requests for a preliminary ruling concern the validity of Directive 2006/24/EC of the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC (
OJ 2006 L 105, p. 54
).
2
The request made by the High Court (Case C‑293/12) concerns proceedings between (i) Digital Rights Ireland Ltd. (‘Digital Rights’) and (ii) the Minister for Communications, Marine and Natural Resources, the Minister for Justice, Equality and Law Reform, the Commissioner of the Garda Síochána, Ireland and the Attorney General, regarding the legality of national legislative and administrative measures concerning the retention of data relating to electronic communications.
3
The request made by the Verfassungsgerichtshof (Constitutional Court) (Case C‑594/12) concerns constitutional actions brought before that court by the Kärntner Landesregierung (Government of the Province of Carinthia) and by Mr Seitlinger, Mr Tschohl and 11 128 other applicants regarding the compatibility with the Federal Constitutional Law (Bundes-Verfassungsgesetz) of the law transposing Directive 2006/24 into Austrian national law.
Legal context
Directive 95/46/EC
4
The object of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (
OJ 1995 L 281, p. 31
), according to Article 1(1) thereof, is to protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with regard to the processing of personal data.
5
As regards the security of processing such data, Article 17(1) of that directive provides:
‘Member States shall provide that the controller must implement appropriate technical and organi[s]ational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.
Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.’
Directive 2002/58/EC
6
The aim of Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications), as amended by Directive 2009/136/EC of the European Parliament and of the Council of 25 November 2009 (
OJ 2009 L 337, p. 11
, ‘Directive 2002/58), according to Article 1(1) thereof, is to harmonise the provisions of the Member States required to ensure an equivalent level of protection of fundamental rights and freedoms, and in particular the right to privacy and to confidentiality, with respect to the processing of personal data in the electronic communication sector and to ensure the free movement of such data and of electronic communication equipment and services in the European Union. According to Article 1(2), the provisions of that directive particularise and complement Directive 95/46 for the purposes mentioned in Article 1(1).
7
As regards the security of data processing, Article 4 of Directive 2002/58 provides:
‘1.   The provider of a publicly available electronic communications service must take appropriate technical and organisational measures to safeguard security of its services, if necessary in conjunction with the provider of the public communications network with respect to network security. Having regard to the state of the art and the cost of their implementation, these measures shall ensure a level of security appropriate to the risk presented.
1a.   Without prejudice to Directive 95/46/EC, the measures referred to in paragraph 1 shall at least:
—
ensure that personal data can be accessed only by authorised personnel for legally authorised purposes,
—
protect personal data stored or transmitted against accidental or unlawful destruction, accidental loss or alteration, and unauthorised or unlawful storage, processing, access or disclosure, and,
—
ensure the implementation of a security policy with respect to the processing of personal data,
Relevant national authorities shall be able to audit the measures taken by providers of publicly available electronic communication services and to issue recommendations about best practices concerning the level of security which those measures should achieve.
2.   In case of a particular risk of a breach of the security of the network, the provider of a publicly available electronic communications service must inform the subscribers concerning such risk and, where the risk lies outside the scope of the measures to be taken by the service provider, of any possible remedies, including an indication of the likely costs involved.’
8
As regards the confidentiality of the communications and of the traffic data, Article 5(1) and (3) of that directive provide:
‘1.   Member States shall ensure the confidentiality of communications and the related traffic data by means of a public communications network and publicly available electronic communications services, through national legislation. In particular, they shall prohibit listening, tapping, storage or other kinds of interception or surveillance of communications and the related traffic data by persons other than users, without the consent of the users concerned, except when legally authorised to do so in accordance with Article 15(1). This paragraph shall not prevent technical storage which is necessary for the conveyance of a communication without prejudice to the principle of confidentiality.
…
3.   Member States shall ensure that the storing of information, or the gaining of access to information already stored, in the terminal equipment of a subscriber or user is only allowed on condition that the subscriber or user concerned has given his or her consent, having been provided with clear and comprehensive information, in accordance with Directive 95/46/EC, inter alia, about the purposes of the processing. This shall not prevent any technical storage or access for the sole purpose of carrying out the transmission of a communication over an electronic communications network, or as strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service.’
9
Article 6(1) of Directive 2002/58 states:
‘Traffic data relating to subscribers and users processed and stored by the provider of a public communications network or publicly available electronic communications service must be erased or made anonymous when it is no longer needed for the purpose of the transmission of a communication without prejudice to paragraphs 2, 3 and 5 of this Article and Article 15(1).’
10
Article 15 of Directive 2002/58 states in paragraph 1:
‘Member States may adopt legislative measures to restrict the scope of the rights and obligations provided for in Article 5, Article 6, Article 8(1), (2), (3) and (4), and Article 9 of this Directive when such restriction constitutes a necessary, appropriate and proportionate measure within a democratic society to safeguard national security (i.e. State security), defence, public security, and the prevention, investigation, detection and prosecution of criminal offences or of unauthorised use of the electronic communication system, as referred to in Article 13(1) of Directive 95/46/EC. To this end, Member States may, inter alia, adopt legislative measures providing for the retention of data for a limited period justified on the grounds laid down in this paragraph. All the measures referred to in this paragraph shall be in accordance with the general principles of Community law, including those referred to in Article 6(1) and (2) of the Treaty on European Union.’
Directive 2006/24
11
After having launched a consultation with representatives of law enforcement authorities, the electronic communications industry and data protection experts, on 21 September 2005 the Commission presented an impact assessment of policy options in relation to the rules on the retention of traffic data (‘the impact assessment’). That assessment served as the basis for the drawing up of the proposal for a directive of the European Parliament and of the Council on the retention of data processed in connection with the provision of public electronic communication services and amending Directive 2002/58/EC (COM(2005) 438 final, ‘the proposal for a directive’), also presented on 21 September 2005, which led to the adoption of Directive 2006/24 on the basis of Article 95 EC.
12
Recital 4 in the preamble to Directive 2006/24 states:
‘Article 15(1) of Directive 2002/58/EC sets out the conditions under which Member States may restrict the scope of the rights and obligations provided for in Article 5, Article 6, Article 8(1), (2), (3) and (4), and Article 9 of that Directive. Any such restrictions must be necessary, appropriate and proportionate within a democratic society for specific public order purposes, i.e. to safeguard national security (i.e. State security), defence, public security or the prevention, investigation, detection and prosecution of criminal offences or of unauthorised use of the electronic communications systems.’
13
According to the first sentence of recital 5 in the preamble to Directive 2006/24, ‘[s]everal Member States have adopted legislation providing for the retention of data by service providers for the prevention, investigation, detection, and prosecution of criminal offences’.
14
Recitals 7 to 11 in the preamble to Directive 2006/24 read as follows:
‘(7)
The Conclusions of the Justice and Home Affairs Council of 19 December 2002 underline that, because of the significant growth in the possibilities afforded by electronic communications, data relating to the use of electronic communications are particularly important and therefore a valuable tool in the prevention, investigation, detection and prosecution of criminal offences, in particular organised crime.
(8)
The Declaration on Combating Terrorism adopted by the European Council on 25 March 2004 instructed the Council to examine measures for establishing rules on the retention of communications traffic data by service providers.
(9)
Under Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms (ECHR) [signed in Rome on 4 November 1950], everyone has the right to respect for his private life and his correspondence. Public authorities may interfere with the exercise of that right only in accordance with the law and where necessary in a democratic society, inter alia, in the interests of national security or public safety, for the prevention of disorder or crime, or for the protection of the rights and freedoms of others. Because retention of data has proved to be such a necessary and effective investigative tool for law enforcement in several Member States, and in particular concerning serious matters such as organised crime and terrorism, it is necessary to ensure that retained data are made available to law enforcement authorities for a certain period, subject to the conditions provided for in this Directive. …
(10)
On 13 July 2005, the Council reaffirmed in its declaration condemning the terrorist attacks on London the need to adopt common measures on the retention of telecommunications data as soon as possible.
(11)
Given the importance of traffic and location data for the investigation, detection, and prosecution of criminal offences, as demonstrated by research and the practical experience of several Member States, there is a need to ensure at European level that data that are generated or processed, in the course of the supply of communications services, by providers of publicly available electronic communications services or of a public communications network are retained for a certain period, subject to the conditions provided for in this Directive.’
15
Recitals 16, 21 and 22 in the preamble to Directive 2006/24 state:
‘(16)
The obligations incumbent on service providers concerning measures to ensure data quality, which derive from Article 6 of Directive 95/46/EC, and their obligations concerning measures to ensure confidentiality and security of processing of data, which derive from Articles 16 and 17 of that Directive, apply in full to data being retained within the meaning of this Directive.
(21)
Since the objectives of this Directive, namely to harmonise the obligations on providers to retain certain data and to ensure that those data are available for the purpose of the investigation, detection and prosecution of serious crime, as defined by each Member State in its national law, cannot be sufficiently achieved by the Member States and can therefore, by reason of the scale and effects of this Directive, be better achieved at Community level, the Community may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty. In accordance with the principle of proportionality, as set out in that Article, this Directive does not go beyond what is necessary in order to achieve those objectives.
(22)
This Directive respects the fundamental rights and observes the principles recognised, in particular, by the Charter of Fundamental Rights of the European Union. In particular, this Directive, together with Directive 2002/58/EC, seeks to ensure full compliance with citizens' fundamental rights to respect for private life and communications and to the protection of their personal data, as enshrined in Articles 7 and 8 of the Charter.’
16
Directive 2006/24 lays down the obligation on the providers of publicly available electronic communications services or of public communications networks to retain certain data which are generated or processed by them. In that context, Articles 1 to 9, 11 and 13 of the directive state:
‘Article 1
Subject matter and scope
1.   This Directive aims to harmonise Member States’ provisions concerning the obligations of the providers of publicly available electronic communications services or of public communications networks with respect to the retention of certain data which are generated or processed by them, in order to ensure that the data are available for the purpose of the investigation, detection and prosecution of serious crime, as defined by each Member State in its national law.
2.   This Directive shall apply to traffic and location data on both legal entities and natural persons and to the related data necessary to identify the subscriber or registered user. It shall not apply to the content of electronic communications, including information consulted using an electronic communications network.
Article 2
Definitions
1.   For the purpose of this Directive, the definitions in Directive 95/46/EC, in Directive 2002/21/EC of the European Parliament and of the Council of 7 March 2002 on a common regulatory framework for electronic communications networks and services (Framework Directive) …, and in Directive 2002/58/EC shall apply.
2.   For the purpose of this Directive:
(a)
“data” means traffic data and location data and the related data necessary to identify the subscriber or user;
(b)
“user” means any legal entity or natural person using a publicly available electronic communications service, for private or business purposes, without necessarily having subscribed to that service;
(c)
“telephone service” means calls (including voice, voicemail and conference and data calls), supplementary services (including call forwarding and call transfer) and messaging and multi-media services (including short message services, enhanced media services and multi-media services);
(d)
“user ID” means a unique identifier allocated to persons when they subscribe to or register with an Internet access service or Internet communications service;
(e)
“cell ID” means the identity of the cell from which a mobile telephony call originated or in which it terminated;
(f)
“unsuccessful call attempt” means a communication where a telephone call has been successfully connected but not answered or there has been a network management intervention.
Article 3
Obligation to retain data
1.   By way of derogation from Articles 5, 6 and 9 of Directive 2002/58/EC, Member States shall adopt measures to ensure that the data specified in Article 5 of this Directive are retained in accordance with the provisions thereof, to the extent that those data are generated or processed by providers of publicly available electronic communications services or of a public communications network within their jurisdiction in the process of supplying the communications services concerned.
2.   The obligation to retain data provided for in paragraph 1 shall include the retention of the data specified in Article 5 relating to unsuccessful call attempts where those data are generated or processed, and stored (as regards telephony data) or logged (as regards Internet data), by providers of publicly available electronic communications services or of a public communications network within the jurisdiction of the Member State concerned in the process of supplying the communication services concerned. This Directive shall not require data relating to unconnected calls to be retained.
Article 4
Access to data
Member States shall adopt measures to ensure that data retained in accordance with this Directive are provided only to the competent national authorities in specific cases and in accordance with national law. The procedures to be followed and the conditions to be fulfilled in order to gain access to retained data in accordance with necessity and proportionality requirements shall be defined by each Member State in its national law, subject to the relevant provisions of EU law or public international law, and in particular the ECHR as interpreted by the European Court of Human Rights.
Article 5
Categories of data to be retained
1.   Member States shall ensure that the following categories of data are retained under this Directive:
(a)
data necessary to trace and identify the source of a communication:
(1)
concerning fixed network telephony and mobile telephony:
(i)
the calling telephone number;
(ii)
the name and address of the subscriber or registered user;
(2)
concerning Internet access, Internet e-mail and Internet telephony:
(i)
the user ID(s) allocated;
(ii)
the user ID and telephone number allocated to any communication entering the public telephone network;
(iii)
the name and address of the subscriber or registered user to whom an Internet Protocol (IP) address, user ID or telephone number was allocated at the time of the communication;
(b)
data necessary to identify the destination of a communication:
(1)
concerning fixed network telephony and mobile telephony:
(i)
the number(s) dialled (the telephone number(s) called), and, in cases involving supplementary services such as call forwarding or call transfer, the number or numbers to which the call is routed;
(ii)
the name(s) and address(es) of the subscriber(s) or registered user(s);
(2)
concerning Internet e-mail and Internet telephony:
(i)
the user ID or telephone number of the intended recipient(s) of an Internet telephony call;
(ii)
the name(s) and address(es) of the subscriber(s) or registered user(s) and user ID of the intended recipient of the communication;
(c)
data necessary to identify the date, time and duration of a communication:
(1)
concerning fixed network telephony and mobile telephony, the date and time of the start and end of the communication;
(2)
concerning Internet access, Internet e-mail and Internet telephony:
(i)
the date and time of the log-in and log-off of the Internet access service, based on a certain time zone, together with the IP address, whether dynamic or static, allocated by the Internet access service provider to a communication, and the user ID of the subscriber or registered user;
(ii)
the date and time of the log-in and log-off of the Internet e-mail service or Internet telephony service, based on a certain time zone;
(d)
data necessary to identify the type of communication:
(1)
concerning fixed network telephony and mobile telephony: the telephone service used;
(2)
concerning Internet e-mail and Internet telephony: the Internet service used;
(e)
data necessary to identify users’ communication equipment or what purports to be their equipment:
(1)
concerning fixed network telephony, the calling and called telephone numbers;
(2)
concerning mobile telephony:
(i)
the calling and called telephone numbers;
(ii)
the International Mobile Subscriber Identity (IMSI) of the calling party;
(iii)
the International Mobile Equipment Identity (IMEI) of the calling party;
(iv)
the IMSI of the called party;
(v)
the IMEI of the called party;
(vi)
in the case of pre-paid anonymous services, the date and time of the initial activation of the service and the location label (Cell ID) from which the service was activated;
3)
concerning Internet access, Internet e-mail and Internet telephony:
(i)
the calling telephone number for dial-up access;
(ii)
the digital subscriber line (DSL) or other end point of the originator of the communication;
(f)
data necessary to identify the location of mobile communication equipment:
(1)
the location label (Cell ID) at the start of the communication;
(2)
data identifying the geographic location of cells by reference to their location labels (Cell ID) during the period for which communications data are retained.
2.   No data revealing the content of the communication may be retained pursuant to this Directive.
Article 6
Periods of retention
Member States shall ensure that the categories of data specified in Article 5 are retained for periods of not less than six months and not more than two years from the date of the communication.
Article 7
Data protection and data security
Without prejudice to the provisions adopted pursuant to Directive 95/46/EC and Directive 2002/58/EC, each Member State shall ensure that providers of publicly available electronic communications services or of a public communications network respect, as a minimum, the following data security principles with respect to data retained in accordance with this Directive:
(a)
the retained data shall be of the same quality and subject to the same security and protection as those data on the network;
(b)
the data shall be subject to appropriate technical and organisational measures to protect the data against accidental or unlawful destruction, accidental loss or alteration, or unauthorised or unlawful storage, processing, access or disclosure;
(c)
the data shall be subject to appropriate technical and organisational measures to ensure that they can be accessed by specially authorised personnel only;
and
(d)
the data, except those that have been accessed and preserved, shall be destroyed at the end of the period of retention.
Article 8
Storage requirements for retained data
Member States shall ensure that the data specified in Article 5 are retained in accordance with this Directive in such a way that the data retained and any other necessary information relating to such data can be transmitted upon request to the competent authorities without undue delay.
Article 9
Supervisory authority
1.   Each Member State shall designate one or more public authorities to be responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to Article 7 regarding the security of the stored data. Those authorities may be the same authorities as those referred to in Article 28 of Directive 95/46/EC.
2.   The authorities referred to in paragraph 1 shall act with complete independence in carrying out the monitoring referred to in that paragraph.
…
Article 11
Amendment of Directive 2002/58/EC
The following paragraph shall be inserted in Article 15 of Directive 2002/58/EC:
“1a.   Paragraph 1 shall not apply to data specifically required by [Directive 2006/24/EC] to be retained for the purposes referred to in Article 1(1) of that Directive.”
…
Article 13
Remedies, liability and penalties
1.   Each Member State shall take the necessary measures to ensure that the national measures implementing Chapter III of Directive 95/46/EC providing for judicial remedies, liability and sanctions are fully implemented with respect to the processing of data under this Directive.
2.   Each Member State shall, in particular, take the necessary measures to ensure that any intentional access to, or transfer of, data retained in accordance with this Directive that is not permitted under national law adopted pursuant to this Directive is punishable by penalties, including administrative or criminal penalties, that are effective, proportionate and dissuasive.’
The actions in the main proceedings and the questions referred for a preliminary ruling
Case C‑293/12
17
On 11 August 2006, Digital Rights brought an action before the High Court in which it claimed that it owned a mobile phone which had been registered on 3 June 2006 and that it had used that mobile phone since that date. It challenged the legality of national legislative and administrative measures concerning the retention of data relating to electronic communications and asked the national court, in particular, to declare the invalidity of Directive 2006/24 and of Part 7 of the Criminal Justice (Terrorist Offences) Act 2005, which requires telephone communications service providers to retain traffic and location data relating to those providers for a period specified by law in order to prevent, detect, investigate and prosecute crime and safeguard the security of the State.
18
The High Court, considering that it was not able to resolve the questions raised relating to national law unless the validity of Directive 2006/24 had first been examined, decided to stay proceedings and to refer the following questions to the Court for a preliminary ruling:
‘1.
Is the restriction on the rights of the [p]laintiff in respect of its use of mobile telephony arising from the requirements of Articles 3, 4 … and 6 of Directive 2006/24/EC incompatible with [Article 5(4)] TEU in that it is disproportionate and unnecessary or inappropriate to achieve the legitimate aims of:
(a)
Ensuring that certain data are available for the purposes of investigation, detection and prosecution of serious crime?
and/or
(b)
Ensuring the proper functioning of the internal market of the European Union?
2.
Specifically,
(i)
Is Directive 2006/24 compatible with the right of citizens to move and reside freely within the territory of the Member States laid down in Article 21 TFEU?
(ii)
Is Directive 2006/24 compatible with the right to privacy laid down in Article 7 of the [Charter of Fundamental Rights of the European Union (“the Charter”)] and Article 8 ECHR?
(iii)
Is Directive 2006/24 compatible with the right to the protection of personal data laid down in Article 8 of the Charter?
(iv)
Is Directive 2006/24 compatible with the right to freedom of expression laid down in Article 11 of the Charter and Article 10 ECHR?
(v)
Is Directive 2006/24 compatible with the right to [g]ood [a]dministration laid down in Article 41 of the Charter?
3.
To what extent do the Treaties — and specifically the principle of loyal cooperation laid down in [Article 4(3) TEU] — require a national court to inquire into, and assess, the compatibility of the national implementing measures for [Directive 2006/24] with the protections afforded by the [Charter], including Article 7 thereof (as informed by Article 8 of the ECHR)?’
Case C–594/12
19
The origin of the request for a preliminary ruling in Case C‑594/12 lies in several actions brought before the Verfassungsgerichtshof by the Kärntner Landesregierung and by Mr Seitlinger, Mr Tschohl and 11 128 other applicants, respectively, seeking the annulment of Paragraph 102a of the 2003 Law on telecommunications (Telekommunikationsgesetz 2003), which was inserted into that 2003 Law by the federal law amending it (Bundesgesetz, mit dem das Telekommunikationsgesetz 2003 — TKG 2003 geändert wird, BGBl I, 27/2011) for the purpose of transposing Directive 2006/24 into Austrian national law. They take the view, inter alia, that Article 102a of the Telekommunikationsgesetz 2003 infringes the fundamental right of individuals to the protection of their data.
20
The Verfassungsgerichtshof wonders, in particular, whether Directive 2006/24 is compatible with the Charter in so far as it allows the storing of many types of data in relation to an unlimited number of persons for a long time. The Verfassungsgerichtshof takes the view that the retention of data affects almost exclusively persons whose conduct in no way justifies the retention of data relating to them. Those persons are exposed to a greater risk that authorities will investigate the data relating to them, become acquainted with the content of those data, find out about their private lives and use those data for multiple purposes, having regard in particular to the unquantifiable number of persons having access to the data for a minimum period of six months. According to the referring court, there are doubts as to whether that directive is able to achieve the objectives which it pursues and as to the proportionality of the interference with the fundamental rights concerned.
21
In those circumstances the Verfassungsgerichtshof decided to stay proceedings and to refer the following questions to the Court for a preliminary ruling:
‘1.
Concerning the validity of acts of institutions of the European Union:
Are Articles 3 to 9 of [Directive 2006/24] compatible with Articles 7, 8 and 11 of the [Charter]?
2.
Concerning the interpretation of the Treaties:
(a)
In the light of the explanations relating to Article 8 of the Charter, which, according to Article 52(7) of the Charter, were drawn up as a way of providing guidance in the interpretation of the Charter and to which regard must be given by the Verfassungsgerichtshof, must [Directive 95/46] and Regulation (EC) No 45/2001 of the European Parliament and of the Council [of 18 December 2000] on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data [
OJ 2001 L 8, p. 1
] be taken into account, for the purposes of assessing the permissibility of interference, as being of equal standing to the conditions under Article 8(2) and Article 52(1) of the Charter?
(b)
What is the relationship between “Union law”, as referred to in the final sentence of Article 52(3) of the Charter, and the directives in the field of the law on data protection?
(c)
In view of the fact that [Directive 95/26] and Regulation … No 45/2001 contain conditions and restrictions with a view to safeguarding the fundamental right to data protection under the Charter, must amendments resulting from subsequent secondary law be taken into account for the purpose of interpreting Article 8 of the Charter?
(d)
Having regard to Article 52(4) of the Charter, does it follow from the principle of the preservation of higher levels of protection in Article 53 of the Charter that the limits applicable under the Charter in relation to permissible restrictions must be more narrowly circumscribed by secondary law?
(e)
Having regard to Article 52(3) of the Charter, the fifth paragraph in the preamble thereto and the explanations in relation to Article 7 of the Charter, according to which the rights guaranteed in that article correspond to those guaranteed by Article 8 of the [ECHR], can assistance be derived from the case-law of the European Court of Human Rights for the purpose of interpreting Article 8 of the Charter such as to influence the interpretation of that latter article?’
22
By decision of the President of the Court of 11 June 2013, Cases C‑293/12 and C‑594/12 were joined for the purposes of the oral procedure and the judgment.
Consideration of the questions referred
The second question, parts (b) to (d), in Case C‑293/12 and the first question in Case C‑594/12
23
By the second question, parts (b) to (d), in Case C‑293/12 and the first question in Case C‑594/12, which should be examined together, the referring courts are essentially asking the Court to examine the validity of Directive 2006/24 in the light of Articles 7, 8 and 11 of the Charter.
The relevance of Articles 7, 8 and 11 of the Charter with regard to the question of the validity of Directive 2006/24
24
It follows from Article 1 and recitals 4, 5, 7 to 11, 21 and 22 of Directive 2006/24 that the main objective of that directive is to harmonise Member States’ provisions concerning the retention, by providers of publicly available electronic communications services or of public communications networks, of certain data which are generated or processed by them, in order to ensure that the data are available for the purpose of the prevention, investigation, detection and prosecution of serious crime, such as organised crime and terrorism, in compliance with the rights laid down in Articles 7 and 8 of the Charter.
25
The obligation, under Article 3 of Directive 2006/24, on providers of publicly available electronic communications services or of public communications networks to retain the data listed in Article 5 of the directive for the purpose of making them accessible, if necessary, to the competent national authorities raises questions relating to respect for private life and communications under Article 7 of the Charter, the protection of personal data under Article 8 of the Charter and respect for freedom of expression under Article 11 of the Charter.
26
In that regard, it should be observed that the data which providers of publicly available electronic communications services or of public communications networks must retain, pursuant to Articles 3 and 5 of Directive 2006/24, include data necessary to trace and identify the source of a communication and its destination, to identify the date, time, duration and type of a communication, to identify users’ communication equipment, and to identify the location of mobile communication equipment, data which consist, inter alia, of the name and address of the subscriber or registered user, the calling telephone number, the number called and an IP address for Internet services. Those data make it possible, in particular, to know the identity of the person with whom a subscriber or registered user has communicated and by what means, and to identify the time of the communication as well as the place from which that communication took place. They also make it possible to know the frequency of the communications of the subscriber or registered user with certain persons during a given period.
27
Those data, taken as a whole, may allow very precise conclusions to be drawn concerning the private lives of the persons whose data has been retained, such as the habits of everyday life, permanent or temporary places of residence, daily or other movements, the activities carried out, the social relationships of those persons and the social environments frequented by them.
28
In such circumstances, even though, as is apparent from Article 1(2) and Article 5(2) of Directive 2006/24, the directive does not permit the retention of the content of the communication or of information consulted using an electronic communications network, it is not inconceivable that the retention of the data in question might have an effect on the use, by subscribers or registered users, of the means of communication covered by that directive and, consequently, on their exercise of the freedom of expression guaranteed by Article 11 of the Charter.
29
The retention of data for the purpose of possible access to them by the competent national authorities, as provided for by Directive 2006/24, directly and specifically affects private life and, consequently, the rights guaranteed by Article 7 of the Charter. Furthermore, such a retention of data also falls under Article 8 of the Charter because it constitutes the processing of personal data within the meaning of that article and, therefore, necessarily has to satisfy the data protection requirements arising from that article (Cases C‑92/09 and C‑93/09 
Volker und Markus Schecke and Eifert
EU:C:2010:662
, paragraph 47).
30
Whereas the references for a preliminary ruling in the present cases raise, in particular, the question of principle as to whether or not, in the light of Article 7 of the Charter, the data of subscribers and registered users may be retained, they also concern the question of principle as to whether Directive 2006/24 meets the requirements for the protection of personal data arising from Article 8 of the Charter.
31
In the light of the foregoing considerations, it is appropriate, for the purposes of answering the second question, parts (b) to (d), in Case C‑293/12 and the first question in Case C‑594/12, to examine the validity of the directive in the light of Articles 7 and 8 of the Charter.
Interference with the rights laid down in Articles 7 and 8 of the Charter
32
By requiring the retention of the data listed in Article 5(1) of Directive 2006/24 and by allowing the competent national authorities to access those data, Directive 2006/24, as the Advocate General has pointed out, in particular, in paragraphs 39 and 40 of his Opinion, derogates from the system of protection of the right to privacy established by Directives 95/46 and 2002/58 with regard to the processing of personal data in the electronic communications sector, directives which provided for the confidentiality of communications and of traffic data as well as the obligation to erase or make those data anonymous where they are no longer needed for the purpose of the transmission of a communication, unless they are necessary for billing purposes and only for as long as so necessary.
33
To establish the existence of an interference with the fundamental right to privacy, it does not matter whether the information on the private lives concerned is sensitive or whether the persons concerned have been inconvenienced in any way (see, to that effect, Cases C‑465/00, C‑138/01 and C‑139/01 
Österreichischer Rundfunk and Others
EU:C:2003:294
, paragraph 75).
34
As a result, the obligation imposed by Articles 3 and 6 of Directive 2006/24 on providers of publicly available electronic communications services or of public communications networks to retain, for a certain period, data relating to a person’s private life and to his communications, such as those referred to in Article 5 of the directive, constitutes in itself an interference with the rights guaranteed by Article 7 of the Charter.
35
Furthermore, the access of the competent national authorities to the data constitutes a further interference with that fundamental right (see, as regards Article 8 of the ECHR, Eur. Court H.R., 
Leander v. Sweden
, 26 March 1987, § 48, Series A no 116; 
Rotaru v. Romania
 [GC], no. 28341/95, § 46, ECHR 2000-V; and 
Weber and Saravia v. Germany
 (dec.), no. 54934/00, § 79, ECHR 2006-XI). Accordingly, Articles 4 and 8 of Directive 2006/24 laying down rules relating to the access of the competent national authorities to the data also constitute an interference with the rights guaranteed by Article 7 of the Charter.
36
Likewise, Directive 2006/24 constitutes an interference with the fundamental right to the protection of personal data guaranteed by Article 8 of the Charter because it provides for the processing of personal data.
37
It must be stated that the interference caused by Directive 2006/24 with the fundamental rights laid down in Articles 7 and 8 of the Charter is, as the Advocate General has also pointed out, in particular, in paragraphs 77 and 80 of his Opinion, wide-ranging, and it must be considered to be particularly serious. Furthermore, as the Advocate General has pointed out in paragraphs 52 and 72 of his Opinion, the fact that data are retained and subsequently used without the subscriber or registered user being informed is likely to generate in the minds of the persons concerned the feeling that their private lives are the subject of constant surveillance.
Justification of the interference with the rights guaranteed by Articles 7 and 8 of the Charter
38
Article 52(1) of the Charter provides that any limitation on the exercise of the rights and freedoms laid down by the Charter must be provided for by law, respect their essence and, subject to the principle of proportionality, limitations may be made to those rights and freedoms only if they are necessary and genuinely meet objectives of general interest recognised by the Union or the need to protect the rights and freedoms of others.
39
So far as concerns the essence of the fundamental right to privacy and the other rights laid down in Article 7 of the Charter, it must be held that, even though the retention of data required by Directive 2006/24 constitutes a particularly serious interference with those rights, it is not such as to adversely affect the essence of those rights given that, as follows from Article 1(2) of the directive, the directive does not permit the acquisition of knowledge of the content of the electronic communications as such.
40
Nor is that retention of data such as to adversely affect the essence of the fundamental right to the protection of personal data enshrined in Article 8 of the Charter, because Article 7 of Directive 2006/24 provides, in relation to data protection and data security, that, without prejudice to the provisions adopted pursuant to Directives 95/46 and 2002/58, certain principles of data protection and data security must be respected by providers of publicly available electronic communications services or of public communications networks. According to those principles, Member States are to ensure that appropriate technical and organisational measures are adopted against accidental or unlawful destruction, accidental loss or alteration of the data.
41
As regards the question of whether that interference satisfies an objective of general interest, it should be observed that, whilst Directive 2006/24 aims to harmonise Member States’ provisions concerning the obligations of those providers with respect to the retention of certain data which are generated or processed by them, the material objective of that directive is, as follows from Article 1(1) thereof, to ensure that the data are available for the purpose of the investigation, detection and prosecution of serious crime, as defined by each Member State in its national law. The material objective of that directive is, therefore, to contribute to the fight against serious crime and thus, ultimately, to public security.
42
It is apparent from the case-law of the Court that the fight against international terrorism in order to maintain international peace and security constitutes an objective of general interest (see, to that effect, Cases C‑402/05 P and C‑415/05 P 
Kadi and Al Barakaat International Foundation
 v 
Council and Commission
EU:C:2008:461
, paragraph 363, and Cases C‑539/10 P and C‑550/10 P 
Al-Aqsa
 v 
Council
EU:C:2012:711
, paragraph 130). The same is true of the fight against serious crime in order to ensure public security (see, to that effect, Case C‑145/09 
Tsakouridis
EU:C:2010:708
, paragraphs 46 and 47). Furthermore, it should be noted, in this respect, that Article 6 of the Charter lays down the right of any person not only to liberty, but also to security.
43
In this respect, it is apparent from recital 7 in the preamble to Directive 2006/24 that, because of the significant growth in the possibilities afforded by electronic communications, the Justice and Home Affairs Council of 19 December 2002 concluded that data relating to the use of electronic communications are particularly important and therefore a valuable tool in the prevention of offences and the fight against crime, in particular organised crime.
44
It must therefore be held that the retention of data for the purpose of allowing the competent national authorities to have possible access to those data, as required by Directive 2006/24, genuinely satisfies an objective of general interest.
45
In those circumstances, it is necessary to verify the proportionality of the interference found to exist.
46
In that regard, according to the settled case-law of the Court, the principle of proportionality requires that acts of the EU institutions be appropriate for attaining the legitimate objectives pursued by the legislation at issue and do not exceed the limits of what is appropriate and necessary in order to achieve those objectives (see, to that effect, Case C‑343/09 
Afton Chemical
EU:C:2010:419
, paragraph 45; 
Volker und Markus Schecke and Eifert
EU:C:2010:662
, paragraph 74; Cases C‑581/10 and C‑629/10 
Nelson and Others
EU:C:2012:657
, paragraph 71; Case C‑283/11 
Sky Österreich
EU:C:2013:28
, paragraph 50; and Case C‑101/12 
Schaible
EU:C:2013:661
, paragraph 29).
47
With regard to judicial review of compliance with those conditions, where interferences with fundamental rights are at issue, the extent of the EU legislature’s discretion may prove to be limited, depending on a number of factors, including, in particular, the area concerned, the nature of the right at issue guaranteed by the Charter, the nature and seriousness of the interference and the object pursued by the interference (see, by analogy, as regards Article 8 of the ECHR, Eur. Court H.R., 
S. and Marper v. the United Kingdom
 [GC], nos. 30562/04 and 30566/04, § 102, ECHR 2008-V).
48
In the present case, in view of the important role played by the protection of personal data in the light of the fundamental right to respect for private life and the extent and seriousness of the interference with that right caused by Directive 2006/24, the EU legislature’s discretion is reduced, with the result that review of that discretion should be strict.
49
As regards the question of whether the retention of data is appropriate for attaining the objective pursued by Directive 2006/24, it must be held that, having regard to the growing importance of means of electronic communication, data which must be retained pursuant to that directive allow the national authorities which are competent for criminal prosecutions to have additional opportunities to shed light on serious crime and, in this respect, they are therefore a valuable tool for criminal investigations. Consequently, the retention of such data may be considered to be appropriate for attaining the objective pursued by that directive.
50
That assessment cannot be called into question by the fact relied upon in particular by Mr Tschohl and Mr Seitlinger and by the Portuguese Government in their written observations submitted to the Court that there are several methods of electronic communication which do not fall within the scope of Directive 2006/24 or which allow anonymous communication. Whilst, admittedly, that fact is such as to limit the ability of the data retention measure to attain the objective pursued, it is not, however, such as to make that measure inappropriate, as the Advocate General has pointed out in paragraph 137 of his Opinion.
51
As regards the necessity for the retention of data required by Directive 2006/24, it must be held that the fight against serious crime, in particular against organised crime and terrorism, is indeed of the utmost importance in order to ensure public security and its effectiveness may depend to a great extent on the use of modern investigation techniques. However, such an objective of general interest, however fundamental it may be, does not, in itself, justify a retention measure such as that established by Directive 2006/24 being considered to be necessary for the purpose of that fight.
52
So far as concerns the right to respect for private life, the protection of that fundamental right requires, according to the Court’s settled case-law, in any event, that derogations and limitations in relation to the protection of personal data must apply only in so far as is strictly necessary (Case C‑473/12 
IPI
EU:C:2013:715
, paragraph 39 and the case-law cited).
53
In that regard, it should be noted that the protection of personal data resulting from the explicit obligation laid down in Article 8(1) of the Charter is especially important for the right to respect for private life enshrined in Article 7 of the Charter.
54
Consequently, the EU legislation in question must lay down clear and precise rules governing the scope and application of the measure in question and imposing minimum safeguards so that the persons whose data have been retained have sufficient guarantees to effectively protect their personal data against the risk of abuse and against any unlawful access and use of that data (see, by analogy, as regards Article 8 of the ECHR, Eur. Court H.R., 
Liberty and Others v. the United Kingdom
, 1 July 2008, no. 58243/00, § 62 and 63; 
Rotaru v. Romania
, § 57 to 59, and 
S. and Marper v. the United Kingdom
, § 99).
55
The need for such safeguards is all the greater where, as laid down in Directive 2006/24, personal data are subjected to automatic processing and where there is a significant risk of unlawful access to those data (see, by analogy, as regards Article 8 of the ECHR, 
S. and Marper v. the United Kingdom
, § 103, and 
M. K. v. France
, 18 April 2013, no. 19522/09, § 35).
56
As for the question of whether the interference caused by Directive 2006/24 is limited to what is strictly necessary, it should be observed that, in accordance with Article 3 read in conjunction with Article 5(1) of that directive, the directive requires the retention of all traffic data concerning fixed telephony, mobile telephony, Internet access, Internet e-mail and Internet telephony. It therefore applies to all means of electronic communication, the use of which is very widespread and of growing importance in people’s everyday lives. Furthermore, in accordance with Article 3 of Directive 2006/24, the directive covers all subscribers and registered users. It therefore entails an interference with the fundamental rights of practically the entire European population.
57
In this respect, it must be noted, first, that Directive 2006/24 covers, in a generalised manner, all persons and all means of electronic communication as well as all traffic data without any differentiation, limitation or exception being made in the light of the objective of fighting against serious crime.
58
Directive 2006/24 affects, in a comprehensive manner, all persons using electronic communications services, but without the persons whose data are retained being, even indirectly, in a situation which is liable to give rise to criminal prosecutions. It therefore applies even to persons for whom there is no evidence capable of suggesting that their conduct might have a link, even an indirect or remote one, with serious crime. Furthermore, it does not provide for any exception, with the result that it applies even to persons whose communications are subject, according to rules of national law, to the obligation of professional secrecy.
59
Moreover, whilst seeking to contribute to the fight against serious crime, Directive 2006/24 does not require any relationship between the data whose retention is provided for and a threat to public security and, in particular, it is not restricted to a retention in relation (i) to data pertaining to a particular time period and/or a particular geographical zone and/or to a circle of particular persons likely to be involved, in one way or another, in a serious crime, or (ii) to persons who could, for other reasons, contribute, by the retention of their data, to the prevention, detection or prosecution of serious offences.
60
Secondly, not only is there a general absence of limits in Directive 2006/24 but Directive 2006/24 also fails to lay down any objective criterion by which to determine the limits of the access of the competent national authorities to the data and their subsequent use for the purposes of prevention, detection or criminal prosecutions concerning offences that, in view of the extent and seriousness of the interference with the fundamental rights enshrined in Articles 7 and 8 of the Charter, may be considered to be sufficiently serious to justify such an interference. On the contrary, Directive 2006/24 simply refers, in Article 1(1), in a general manner to serious crime, as defined by each Member State in its national law.
61
Furthermore, Directive 2006/24 does not contain substantive and procedural conditions relating to the access of the competent national authorities to the data and to their subsequent use. Article 4 of the directive, which governs the access of those authorities to the data retained, does not expressly provide that that access and the subsequent use of the data in question must be strictly restricted to the purpose of preventing and detecting precisely defined serious offences or of conducting criminal prosecutions relating thereto; it merely provides that each Member State is to define the procedures to be followed and the conditions to be fulfilled in order to gain access to the retained data in accordance with necessity and proportionality requirements.
62
In particular, Directive 2006/24 does not lay down any objective criterion by which the number of persons authorised to access and subsequently use the data retained is limited to what is strictly necessary in the light of the objective pursued. Above all, the access by the competent national authorities to the data retained is not made dependent on a prior review carried out by a court or by an independent administrative body whose decision seeks to limit access to the data and their use to what is strictly necessary for the purpose of attaining the objective pursued and which intervenes following a reasoned request of those authorities submitted within the framework of procedures of prevention, detection or criminal prosecutions. Nor does it lay down a specific obligation on Member States designed to establish such limits.
63
Thirdly, so far as concerns the data retention period, Article 6 of Directive 2006/24 requires that those data be retained for a period of at least six months, without any distinction being made between the categories of data set out in Article 5 of that directive on the basis of their possible usefulness for the purposes of the objective pursued or according to the persons concerned.
64
Furthermore, that period is set at between a minimum of 6 months and a maximum of 24 months, but it is not stated that the determination of the period of retention must be based on objective criteria in order to ensure that it is limited to what is strictly necessary.
65
It follows from the above that Directive 2006/24 does not lay down clear and precise rules governing the extent of the interference with the fundamental rights enshrined in Articles 7 and 8 of the Charter. It must therefore be held that Directive 2006/24 entails a wide-ranging and particularly serious interference with those fundamental rights in the legal order of the EU, without such an interference being precisely circumscribed by provisions to ensure that it is actually limited to what is strictly necessary.
66
Moreover, as far as concerns the rules relating to the security and protection of data retained by providers of publicly available electronic communications services or of public communications networks, it must be held that Directive 2006/24 does not provide for sufficient safeguards, as required by Article 8 of the Charter, to ensure effective protection of the data retained against the risk of abuse and against any unlawful access and use of that data. In the first place, Article 7 of Directive 2006/24 does not lay down rules which are specific and adapted to (i) the vast quantity of data whose retention is required by that directive, (ii) the sensitive nature of that data and (iii) the risk of unlawful access to that data, rules which would serve, in particular, to govern the protection and security of the data in question in a clear and strict manner in order to ensure their full integrity and confidentiality. Furthermore, a specific obligation on Member States to establish such rules has also not been laid down.
67
Article 7 of Directive 2006/24, read in conjunction with Article 4(1) of Directive 2002/58 and the second subparagraph of Article 17(1) of Directive 95/46, does not ensure that a particularly high level of protection and security is applied by those providers by means of technical and organisational measures, but permits those providers in particular to have regard to economic considerations when determining the level of security which they apply, as regards the costs of implementing security measures. In particular, Directive 2006/24 does not ensure the irreversible destruction of the data at the end of the data retention period.
68
In the second place, it should be added that that directive does not require the data in question to be retained within the European Union, with the result that it cannot be held that the control, explicitly required by Article 8(3) of the Charter, by an independent authority of compliance with the requirements of protection and security, as referred to in the two previous paragraphs, is fully ensured. Such a control, carried out on the basis of EU law, is an essential component of the protection of individuals with regard to the processing of personal data (see, to that effect, Case C‑614/10 
Commission
 v 
Austria
EU:C:2012:631
, paragraph 37).
69
Having regard to all the foregoing considerations, it must be held that, by adopting Directive 2006/24, the EU legislature has exceeded the limits imposed by compliance with the principle of proportionality in the light of Articles 7, 8 and 52(1) of the Charter.
70
In those circumstances, there is no need to examine the validity of Directive 2006/24 in the light of Article 11 of the Charter.
71
Consequently, the answer to the second question, parts (b) to (d), in Case C‑293/12 and the first question in Case C‑594/12 is that Directive 2006/24 is invalid.
The first question and the second question, parts (a) and (e), and the third question in Case C‑293/12 and the second question in Case C‑594/12
72
It follows from what was held in the previous paragraph that there is no need to answer the first question, the second question, parts (a) and (e), and the third question in Case C‑293/12 or the second question in Case C‑594/12.
Costs
73
Since these proceedings are, for the parties to the main proceedings, a step in the action pending before the national courts, the decision on costs is a matter for those courts. Costs incurred in submitting observations to the Court, other than the costs of those parties, are not recoverable.
On those grounds, the Court (Grand Chamber) hereby rules:
Directive 2006/24/EC of the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC is invalid.
[Signatures]
(
*1
)	Languages of the case: English and German.

Summary:
Balancing public security with data protection
SUMMARY OF:
Judgment of the Court — Joined Cases C-293/12 and C-594/12 concerning the EU data retention directive
WHAT IS THE EFFECT OF THIS JUDGMENT?
In its judgment, the 
Court of Justice of the European Union
 declared as invalid 
Directive 2006/24/EC
 on the retention of data generated or processed in connection with the supply of publicly available electronic communications services or networks.
KEY POINTS
The Court notes that the directive permits the retention of data that may 
provide very precise information on the private lives of the persons whose data are retained
 (e.g. on their daily routine, permanent or temporary places of residence, movements, activities, relationships and the social environments frequented).
The Court takes the view that, by requiring the retention of those data and by allowing the competent national authorities to access them, the directive 
interferes
 in a particularly serious manner with the 
fundamental rights
 to respect private life and to protect personal data.
While not disputing the aim of the directive, the Court recalls that it must be taken into account that 
measures must be proportionate
 with what is strictly necessary to protect the general interest from serious threats (such as the 
fight against terrorism
 or 
organised crime
).
In particular, the Court criticises the fact that the directive:
covers, in a 
generalised manner
, all individuals, all means of electronic communication and all traffic data without any differentiation, limitation or exception being made in the light of the objective of fighting against serious crime;
imposes a period of at least 6 months, 
without making any distinction
 between the categories of data based on the persons concerned or their possible usefulness in relation to the objective pursued;
does not provide for 
sufficient safeguards
 to ensure effective protection of the data against the 
risk of abuse
 and against any 
unlawful access or use
;
does not require that the data be retained within the EU and does not fully ensure the 
control of compliance
 on the basis of EU law.
BACKGROUND
The High Court (Ireland) and the 
Verfassungsgerichtshof
 (Constitutional Court, Austria) asked the Court of Justice to examine the validity of the Data Retention Directive, in particular in the light of 2 fundamental rights under the Charter of Fundamental Rights of the EU: to 
respect private life
 and to 
protect personal data
.
MAIN DOCUMENT
Joined Cases C-293/12 and C-594/12
: Judgment of the Court (Grand Chamber) of 8 April 2014 (requests for a preliminary ruling from the High Court of Ireland (Ireland) and the Verfassungsgerichtshof (Austria)) — Digital Rights Ireland Ltd (C-293/12) v Minister for Communications, Marine and Natural Resources, Minister for Justice, Equality and Law Reform, The Commissioner of the Garda Síochána, Ireland and the Attorney General, and Kärntner Landesregierung, Michael Seitlinger, Christof Tschohl and Others (C-594/12) (Electronic communications — Directive 2006/24/EC — Publicly available electronic communications services or public communications networks services — Retention of data generated or processed in connection with the provision of such services — Validity — Articles 7, 8 and 11 of the Charter of Fundamental Rights of the European Union) (OJ C 175, 10.6.2014, pp. 6-7)
RELATED ACTS
Directive 
2006/24/EC
 of the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC (OJ L 105, 13.4.2006, pp. 54-63)
Charter of Fundamental Rights
 of the European Union (OJ C 326, 26.10.2012, pp. 391-407)
last update 08.08.2016

--- DANISH ---

Document:
DOMSTOLENS DOM (Store Afdeling)
8. april 2014 (
*1
) (
1
)
»Elektronisk kommunikation — direktiv 2006/24/EF — offentligt tilgængelige elektroniske kommunikationstjenester eller elektroniske kommunikationsnet — lagring af data genereret eller behandlet i forbindelse med tilvejebringelse af sådanne tjenester — gyldighed — artikel 7, 8 og 11 i Den Europæiske Unions charter om grundlæggende rettigheder«
I de forenede sager C‑293/12 og C‑594/12,
angående anmodninger om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af High Court (Irland) og Verfassungsgerichtshof (Østrig) ved afgørelser af henholdsvis den 27. januar og den 28. november 2012, indgået til Domstolen den 11. juni og den 19. december 2012, i sagerne:
Digital Rights Ireland Ltd
 (sag C‑293/12)
mod
Minister for Communications, Marine and Natural Resources
Minister for Justice, Equality and Law Reform
Commissioner of the Garda Síochána
Irland
The Attorney General
,
procesdeltager:
Irish Human Rights Commission
,
og
Kärntner Landesregierung
 (sag C‑594/12)
Michael Seitlinger
Christof Tschohl m.fl.
,
har
DOMSTOLEN (Store Afdeling)
sammensat af præsidenten, V. Skouris, vicepræsidenten, K. Lenaerts, afdelingsformændene A. Tizzano, R. Silva de Lapuerta, T. von Danwitz (refererende dommer), E. Juhász, A. Borg Barthet, C.G. Fernlund og J.L. da Cruz Vilaça samt dommerne A. Rosas, G. Arestis, J.-C. Bonichot, A. Arabadjiev, C. Toader og C. Vajda,
generaladvokat: P. Cruz Villalón
justitssekretær: fuldmægtig K. Malacek,
på grundlag af den skriftlige forhandling og efter retsmødet den 9. juli 2013,
efter at der er afgivet indlæg af:
—
Digital Rights Ireland Ltd ved F. Callanan, SC, og F. Crehan, BL, begge for solicitor S. McGarr
—
Michael Seitlinger ved Rechtsanwalt G. Otto
—
Christof Tschohl m.fl. ved Rechtsanwalt E. Scheucher
—
Irish Human Rights Commission ved P. Dillon Malone, BL, for solicitor S. Lucey
—
Irland ved E. Creedon og D. McGuinness, som befuldmægtigede, bistået af E. Regan, SC, og D. Fennelly, JC
—
den østrigske regering ved G. Hesse og G. Kunnert, som befuldmægtigede
—
den spanske regering ved N. Díaz Abad, som befuldmægtiget
—
den franske regering ved G. de Bergues, D. Colas og B. Beaupère-Manokha, som befuldmægtigede
—
den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato A. De Stefano
—
den polske regering ved B. Majczyna og M. Szpunar, som befuldmægtigede
—
den portugisiske regering ved L. Inez Fernandes og C. Vieira Guerra, som befuldmægtigede
—
Det Forenede Kongeriges regering ved L. Christie, som befuldmægtiget, bistået af barrister S. Lee
—
Europa-Parlamentet ved U. Rösslein, A. Caiola og K. Zejdová, som befuldmægtigede
—
Rådet for Den Europæiske Union ved J. Monteiro, E. Sitbon og I. Šulce, som befuldmægtigede
—
Europa-Kommissionen ved D. Maidani, B. Martenczuk og M. Wilderspin, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 12. december 2013,
afsagt følgende
Dom
1
Anmodningerne om præjudiciel afgørelse vedrører gyldigheden af Europa-Parlamentets og Rådets direktiv 2006/24/EF af 15. marts 2006 om lagring af data genereret eller behandlet i forbindelse med tilvejebringelse af offentligt tilgængelige elektroniske kommunikationstjenester eller elektroniske kommunikationsnet og om ændring af direktiv 2002/58/EF (
EUT L 105, s. 54
).
2
Den af High Court indgivne anmodning (sag C‑293/12) vedrører en tvist mellem Digital Rights Ireland Ltd (herefter »Digital Rights«) og Minister for Communications, Marine and Natural Resources, Minister for Justice, Equality and Law Reform, Commissioner of the Garda Síochána, Irland og Attorney General om lovligheden af lovgivningsmæssige og administrative foranstaltninger, der angår lagring af data vedrørende elektronisk kommunikation.
3
Den af Verfassungsgerichtshof indgivne anmodning (sag C‑594/12) vedrører en række forfatningsretlige søgsmål, som er indbragt for denne ret af Kärntner Landesregierung (delstatsregeringen i Kärnten) samt af Michael Seitlinger, Christof Tschohl og 11128 andre sagsøgere vedrørende spørgsmålet, om den lov, der gennemfører direktiv 2006/24 i national østrigsk ret, er forenelig med Bundesverfassungsgesetz (den østrigske forfatning).
Retsforskrifter
Direktiv 95/46/EF
4
Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (
EFT L 281, s. 31
) har i henhold til dets artikel 1, stk. 1, til formål at sikre beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.
5
Med hensyn til sikkerheden af behandlingen af sådanne oplysninger bestemmer det nævnte direktivs artikel 17, stk. 1:
»Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelser af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.
Disse foranstaltninger skal under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som behandlingen indebærer, og arten af de oplysninger, som skal beskyttes.«
Direktiv 2002/58/EF
6
Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201, s. 37
), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009 (
EUT L 337, s. 11
, herefter »direktiv 2002/58«), har i henhold til dets artikel 1, stk. 1, til formål at harmonisere medlemsstaternes bestemmelser, som er nødvendige for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatliv og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor, og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i Den Europæiske Union. I henhold til samme artikels stk. 2 specificerer og supplerer dette direktivs bestemmelser direktiv 95/46 med henblik på at nå de førnævnte i stk. 1 omhandlede mål.
7
Med hensyn til sikkerhed i forbindelse med behandlingen af dataene bestemmer artikel 4 i direktiv 2002/58:
»1.   Udbyderen af en offentligt tilgængelig kommunikationstjeneste skal træffe passende tekniske og organisatoriske foranstaltninger for at beskytte sine tjenester, for netsikkerhedens vedkommende om nødvendigt sammen med udbyderen af det offentlige kommunikationsnet. Under hensyn til teknologiens stade og omkostningerne i forbindelse med gennemførelsen skal disse foranstaltninger garantere et sikkerhedsniveau, der står i forhold til risikoen.
1a.   Uden at det berører direktiv 95/46/EF, skal de i stk. 1 omhandlede foranstaltninger som minimum:
—
sikre, at kun autoriserede personer får adgang til personoplysningerne til lovlige formål
—
beskytte lagrede eller sendte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab eller ændring og ubeføjet eller ulovlig lagring, behandling, adgang eller videregivelse og
—
gennemføre en sikkerhedspolitik for behandling af personoplysninger.
De relevante nationale myndigheder skal kunne kontrollere foranstaltninger truffet af udbydere af offentligt tilgængelige elektroniske kommunikationstjenester og udstede henstillinger om bedste praksis vedrørende det sikkerhedsniveau, som disse foranstaltninger bør føre til.
2.   Hvor der er særlig risiko for brud på netsikkerheden, skal udbyderen af en offentligt tilgængelig kommunikationstjeneste informere abonnenterne herom samt, hvis risikoen ligger uden for de foranstaltninger, der skal træffes af udbyderen, om, hvorledes sådanne brud i givet fald kan forebygges, herunder angive de omkostninger, der sandsynligvis vil være forbundet hermed.«
8
For så vidt angår kommunikationshemmelighed og fortrolighed af trafikdata bestemmer det nævnte direktivs artikel 5, stk. 1 og 3:
»1.   Medlemsstaterne sikrer kommunikationshemmeligheden ved brug af offentlige kommunikationsnet og offentligt tilgængelige elektroniske kommunikationstjenester, både for så vidt angår selve kommunikationen og de dermed forbundne trafikdata, via nationale forskrifter. De forbyder især aflytning, registrering, lagring og andre måder, hvorpå samtaler kan opfanges eller overvåges af andre end brugerne, uden at de pågældende brugere har indvilget heri, bortset fra tilfælde, hvor det er tilladt ifølge lovgivningen, jf. artikel 15, stk. 1. Dette stykke er ikke til hinder for teknisk lagring, som er nødvendig for overføring af en kommunikation, forudsat at princippet om kommunikationshemmelighed ikke berøres heraf.
[…]
3.   Medlemsstaterne sikrer, at lagring af oplysninger eller opnåelse af adgang til oplysninger, der allerede er lagret i en abonnents eller brugers terminaludstyr, kun er tilladt på betingelse af, at abonnenten eller brugeren har givet sit samtykke hertil efter i overensstemmelse med direktiv 95/46/EF at have modtaget klare og fyldestgørende oplysninger, bl.a. om formålet med behandlingen. Dette er ikke til hinder for teknisk lagring eller adgang til oplysninger, hvis det alene sker med det formål at overføre kommunikation via et elektronisk kommunikationsnet eller er absolut påkrævet for at sætte udbyderen af en informationssamfundstjeneste, som abonnenten eller brugeren udtrykkelig har anmodet om, i stand til at levere denne tjeneste.«
9
Det hedder i artikel 6, stk. 1, i direktiv 2002/58:
»Trafikdata vedrørende abonnenter og brugere, som behandles og lagres af udbyderen af et offentligt kommunikationsnet eller en offentligt tilgængelig elektronisk kommunikationstjeneste, skal slettes eller gøres anonyme, når de ikke længere er nødvendige for fremføringen af kommunikationen, jf. dog stk. 2, 3 og 5 samt artikel 15, stk. 1.«
10
Artikel 15, stk. 1, i direktiv 2002/58 bestemmer:
»Medlemsstaterne kan vedtage retsforskrifter med henblik på at indskrænke rækkevidden af de rettigheder og forpligtelser, der omhandles i artikel 5, artikel 6, artikel 8, stk. 1, 2, 3 og 4, og artikel 9, hvis en sådan indskrænkning er nødvendig, passende og forholdsmæssig i et demokratisk samfund af hensyn til den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem efter artikel 13, stk. 1, i direktiv 95/46/EF. Med henblik herpå kan medlemsstaterne bl.a. vedtage retsforskrifter om lagring af data i en begrænset periode, som kan begrundes i et af de hensyn, der er nævnt i dette stykke. Alle i dette stykke omhandlede forskrifter skal være i overensstemmelse med fællesskabsrettens generelle principper, herunder principperne i EU-traktatens artikel 6, stk. 1 og 2.«
Direktiv 2006/24
11
Efter at have iværksat en høring med deltagelse af repræsentanter for de retshåndhævende myndigheder, den elektroniske kommunikationssektor og eksperter i databeskyttelse fremlagde Kommissionen den 21. september 2005 en konsekvensanalyse af de politiske alternativer vedrørende regler om lagring af trafikdata (herefter »konsekvensanalysen«). Denne analyse dannede grundlag for udarbejdelsen af forslaget til Europa-Parlamentets og Rådets direktiv om lagring af data behandlet i forbindelse med tilvejebringelse af offentlige elektroniske kommunikationstjenester og om ændring af direktiv 2002/58/EF (KOM(2005) 438 endelig, herefter »direktivforslaget«), der blev forelagt samme dag, og som førte til vedtagelsen af direktiv 2006/24 på grundlag af artikel 95 EF.
12
Fjerde betragtning til direktiv 2006/24 har følgende ordlyd:
»I artikel 15, stk. 1, i direktiv 2002/58/EF fastsættes de betingelser, i henhold til hvilke medlemsstaterne kan indskrænke rækkevidden af de rettigheder og forpligtelser, der omhandles i nævnte direktivs artikel 5, artikel 6, artikel 8, stk. 1, 2, 3 og 4, og artikel 9. En sådan indskrænkning skal være nødvendig, passende og forholdsmæssig i et demokratisk samfund af hensyn til den offentlige ro og orden, f.eks. den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem.«
13
Ifølge første punktum i femte betragtning til direktiv 2006/24 »[har] [m]ange medlemsstater […] vedtaget lovgivning om tjenesteudbyderes lagring af data med henblik på forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger«.
14
Syvende til ellevte betragtning til det 2006/24 har følgende ordlyd:
»(7)
I sine konklusioner af 19. december 2002 fremhæver Rådet (retlige og indre anliggender), at den betydelige vækst i de muligheder, der ligger i elektronisk kommunikation, har medført, at data vedrørende anvendelsen af elektronisk kommunikation udgør et særdeles vigtigt og brugbart redskab i forebyggelse, efterforskning, afsløring og retsforfølgning af kriminalitet og strafbare handlinger, især organiseret kriminalitet.
(8)
I erklæringen om bekæmpelse af terrorisme, der blev vedtaget af Det Europæiske Råd den 25. marts 2004, blev Rådet pålagt at behandle foranstaltninger vedrørende opstilling af regler for tjenesteudbyderes lagring af kommunikationsdata.
(9)
Ifølge artikel 8 i konventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder (den europæiske menneskerettighedskonvention) [undertegnet i Rom den 4. november 1950, herefter »EMRK«] har enhver ret til respekt for sit privatliv og familieliv, sit hjem og sin korrespondance. Offentlige myndigheder må kun gøre indgreb i udøvelsen af denne ret, hvis det sker i overensstemmelse med loven og er nødvendigt i et demokratisk samfund af hensyn til bl.a. den nationale sikkerhed og den offentlige tryghed for at forebygge uro eller forbrydelse eller for at beskytte andres rettigheder og friheder. Da lagring af data har vist sig at være et sådant nødvendigt og effektivt efterforskningsredskab for retshåndhævelsen i flere medlemsstater, herunder navnlig i alvorlige sager som organiseret kriminalitet og terrorisme, er det nødvendigt at sikre, at de lagrede data er tilgængelige i forbindelse med håndhævelsen af loven i en vis periode på de vilkår, der er fastsat i dette direktiv. […]
(10)
Den 13. juli 2005 bekræftede Rådet på ny i sin erklæring om fordømmelse af terroristangrebene i London, at det er nødvendigt snarest muligt at vedtage fælles foranstaltninger vedrørende lagring af telekommunikationsdata.
(11)
Det er i undersøgelser blevet påvist, og medlemsstaterne har praktisk erfaring for, at trafikdata og lokaliseringsdata har stor betydning i efterforskning, afsløring og retsforfølgning af strafbare handlinger, og det er derfor nødvendigt på europæisk plan at sikre, at data, som genereres eller behandles af udbydere af elektronisk kommunikation, når de tilbyder offentlige elektroniske kommunikationstjenester eller offentlige kommunikationsnet, lagres i en vis periode på de i dette direktiv fastsatte betingelser.«
15
16., 21. og 22. betragtning til direktivet præciserer:
»(16)
De forpligtelser, der i medfør af artikel 6 i direktiv 95/46/EF påhviler tjenesteudbyderne med hensyn til foranstaltninger til at sikre datakvaliteten samt deres forpligtelser i medfør af artikel 16 og 17 i nævnte direktiv med hensyn til foranstaltninger til at sikre fortrolighed og behandlingssikkerhed, finder fuldt ud anvendelse på data, der lagres i overensstemmelse med nærværende direktiv.
(21)
Målene for dette direktiv, nemlig at harmonisere udbydernes pligt til at lagre visse data og sikre, at disse data gøres tilgængelige i forbindelse med efterforskning, afsløring og retsforfølgning af alvorlige forbrydelser som defineret af de enkelte medlemsstater i deres nationale lovgivning, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor på grund af direktivets omfang og virkninger bedre gennemføres på fællesskabsplan. Fællesskabet kan derfor træffe foranstaltninger i overensstemmelse med subsidiaritetsprincippet, jf. traktatens artikel 5. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke ud over, hvad der er nødvendigt for at nå disse mål.
(22)
I dette direktiv overholdes de grundlæggende rettigheder og de principper, som bl.a. Den Europæiske Unions charter om grundlæggende rettigheder anerkender. Dette direktiv tilstræber sammen med direktiv 2002/58/EF navnlig at sikre, at de grundlæggende rettigheder overholdes i fuldt omfang, herunder at privatlivets fred og borgernes ret til kommunikation respekteres, samt at der sørges for beskyttelse af personoplysninger jf. artikel 7 og 8 i chartret.«
16
Direktiv 2006/24 fastsætter en pligt for udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet til at lagre visse data, der genereres eller behandles af dem. I denne henseende bestemmer dette direktivs artikel 1-9, 11 og 13:
»Artikel 1
Formål og anvendelsesområde
1.   Formålet med dette direktiv er at harmonisere medlemsstaternes bestemmelser om de pligter, der er pålagt udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet, for så vidt angår lagring af visse data, der genereres eller behandles af dem, med henblik på at sikre, at der er adgang til disse data i forbindelse med efterforskning, afsløring og retsforfølgning af grov kriminalitet som defineret af de enkelte medlemsstater i deres nationale lovgivning.
2.   Dette direktiv finder anvendelse på trafikdata og lokaliseringsdata vedrørende både juridiske og fysiske personer og på lignende data, der er nødvendige for at identificere abonnenten eller den registrerede bruger. Direktivet finder ikke anvendelse på indholdet af elektroniske kommunikationer, herunder oplysninger, der er indhentet over et elektronisk kommunikationsnet.
Artikel 2
Definitioner
1.   I dette direktiv anvendes definitionerne i direktiv 95/46/EF, Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7. marts 2002 om fælles rammebestemmelser for elektroniske kommunikationsnet og -tjenester (rammedirektivet) […] og i direktiv 2002/58/EF.
2.   I dette direktiv forstås ved:
(a)
»data«: trafikdata, lokaliseringsdata og lignende data, der er nødvendige for at identificere abonnenten eller brugeren
(b)
»bruger«: enhver juridisk eller fysisk person, der anvender en offentligt tilgængelig elektronisk kommunikationstjeneste til privat eller forretningsmæssig brug uden nødvendigvis at have abonneret på tjenesten
(c)
»telefontjeneste«: opkald (herunder taleopkald, voice mail, konferenceopkald eller dataopkald), supplerende tjenester (herunder viderestilling og omstilling) samt besked- og multimedietjenester (herunder SMS-, EMS- og MMS-tjenester)
(d)
»brugeridentitet«: en entydig identifikator, der tildeles en person, når vedkommende tegner abonnement eller lader sig registrere som bruger af en internetadgang eller internetkommunikationstjeneste
(e)
»celle-ID«: identiteten på den celle, hvorfra et mobiltelefonopkald kommer, eller hvor det afsluttes
(f)
»forgæves opkaldsforsøg«: telefonopkald, hvor der opnås forbindelse, men som ikke besvares, eller hvor netværkssystemet har grebet ind.
Artikel 3
Pligt til at lagre data
1.   Uanset artikel 5, 6 og 9 i direktiv 2002/58/EF vedtager medlemsstaterne foranstaltninger til at sikre, at de i artikel 5 i nærværende direktiv nævnte data, som genereres eller behandles af udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet inden for deres jurisdiktion, når de leverer de pågældende kommunikationstjenester, lagres i overensstemmelse med bestemmelserne i nærværende direktiv.
2.   Den i stk. 1 nævnte forpligtelse til lagring inkluderer den lagring af data, der er angivet i artikel 5, i forbindelse med forgæves opkaldsforsøg, hvor de pågældende data genereres eller behandles og lagres (for så vidt angår telefonidata) eller logges (for så vidt angår internetdata) af udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet inden for den pågældende medlemsstats jurisdiktion, når de leverer de pågældende kommunikationstjenester. Der stilles ikke i dette direktiv krav om lagring af data vedrørende opkald, hvor der ikke opnås forbindelse.
Artikel 4
Adgang til data
Medlemsstaterne træffer foranstaltninger til at sikre, at data, der lagres i overensstemmelse med dette direktiv, kun udleveres til de kompetente nationale myndigheder i særlige sager og i overensstemmelse med national lovgivning. Hver medlemsstat fastsætter i sin nationale lovgivning den procedure, der skal følges, og de betingelser, der skal være opfyldt for at få adgang til lagrede data i overensstemmelse med kravet om nødvendighed og proportionalitet, under hensyn til de relevante bestemmelser i EU-retten og folkeretten, herunder navnlig [EMRK], således som den er fortolket af Den Europæiske Menneskerettighedsdomstol.
Artikel 5
Kategorier af data, der skal lagres
1.   Medlemsstaterne sikrer, at følgende kategorier af data lagres i medfør af nærværende direktiv:
(a)
data, der er nødvendige for at spore og identificere kilden til en kommunikation:
1)
for så vidt angår fastnettelefoni og mobiltelefoni:
i)
A-nummeret
ii)
navn og adresse på abonnenten eller den registrerede bruger
2)
for så vidt angår internetadgang og e-mail og telefoni via internettet:
i)
tildelt brugeridentitet
ii)
den brugeridentitet og det telefonnummer, som er tildelt kommunikationer, der indgår i et offentligt telefonnet
iii)
navn og adresse på den abonnent eller registrerede bruger, til hvem en internetprotokol-adresse (IP-adresse), en brugeridentitet eller et telefonnummer var tildelt på kommunikationstidspunktet
b)
data, der er nødvendige for at fastslå en kommunikations bestemmelsessted:
1)
for så vidt angår fastnettelefoni og mobiltelefoni:
i)
det eller de valgte numre (B-nummeret/-numrene) og, hvis der er tale om supplerende tjenester såsom viderestilling og omstilling, det eller de numre, som opkaldet ledes videre til
ii)
navn og adresse på abonnent(en)(erne) eller de(n) registrerede bruger(e)
2)
for så vidt angår e-mail og telefoni via internettet:
i)
brugeridentitet eller telefonnummer på den modtager, som et internettelefonopkald er rettet til
ii)
navn og adresse på abonnent(en)(erne) eller de(n) registrerede bruger(e) og brugeridentitet på den modtager, som kommunikation er rettet til
c)
data, der er nødvendige for at fastslå en kommunikations dato, klokkeslæt og varighed:
1)
for så vidt angår fastnettelefoni og mobiltelefoni: dato og klokkeslæt for kommunikationens begyndelses- og sluttidspunkt
2)
for så vidt angår internetadgang og e-mail og telefoni via internettet:
i)
dato og klokkeslæt for ind- og udlogning af internetadgangstjenester baseret på en bestemt tidszone og den dynamiske eller statiske IP-adresse, som udbyderen af internetadgangstjenesten har tildelt en kommunikation, samt brugeridentitet på abonnenten eller den registrerede bruger
ii)
dato og klokkeslæt for ind- og udlogning af e-mailtjeneste og telefonitjenester på internettet baseret på en bestemt tidszone
d)
data, der er nødvendige for at identificere kommunikationens type:
1)
for så vidt angår fastnettelefoni og mobiltelefoni: den anvendte telefontjeneste
2)
for så vidt angår e-mail og telefoni via internettet: den anvendte internettjeneste
e)
data, der er nødvendige for at identificere brugernes kommunikationsudstyr eller det, der fremstår som værende deres udstyr:
1)
for så vidt angår fastnettelefoni: A-nummeret og B-nummeret
2)
for så vidt angår mobiltelefoni:
i)
A-nummeret og B-nummeret
ii)
A-abonnentens IMSI-nummer (international mobilabonnents identitet)
iii)
A-abonnentens IMEI-nummer (internationalt mobiludstyrs identitet)
iv)
B-abonnentens IMSI-nummer
v)
B-abonnentens IMEI-nummer
vi)
ved forudbetalte anonyme tjenester dato og tidspunkt for første aktivering af tjenesten og den lokaliseringskode (celle-ID), hvorfra aktiveringen blev foretaget
3)
for så vidt angår internetadgang og e-mail og telefoni via internettet:
i)
A-nummeret med henblik på dial-up-adgang
ii)
den digitale abonnentlinje (DSL) eller andet endepunkt for kommunikationens ophavsmand
f)
data, der er nødvendige for at foretage en lokalisering af mobilt udstyr:
1)
lokaliseringskoden (celle-ID) ved kommunikationens begyndelse
2)
data, der med henvisning til deres celle-ID viser cellernes geografiske lokalisering i den periode, hvori der lagres kommunikationsdata.
2.   Data, der afslører indholdet af kommunikationen, kan ikke lagres i medfør af dette direktiv.
Artikel 6
Lagringsperioder
Medlemsstaterne sørger for, at de i artikel 5 omhandlede kategorier af data lagres i mindst seks måneder og højst to år fra datoen for kommunikationen.
Artikel 7
Databeskyttelse og datasikkerhed
Med forbehold af bestemmelser vedtaget i medfør af direktiv 95/46/EF og direktiv 2002/58/EF skal hver medlemsstat sikre, at udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet som et minimum respekterer følgende datasikkerhedsprincipper for data, der lagres i overensstemmelse med nærværende direktiv:
a)
de lagrede data skal være af samme kvalitet og være omfattet af den samme sikkerhed og beskyttelse som de data, der findes på nettet
b)
dataene skal være omfattet af de fornødne tekniske og organisatoriske foranstaltninger, så de er beskyttet mod hændelig eller ulovlig tilintetgørelse eller hændeligt tab, mod forringelse, ubeføjet eller ulovlig lagring, behandling, adgang eller udbredelse
c)
dataene skal være omfattet af de fornødne tekniske og organisatoriske foranstaltninger, så det sikres, at kun særligt autoriserede personer får adgang til dataene,
og
d)
dataene skal tilintetgøres ved udløbet af lagringstiden, bortset fra data, der har været givet adgang til, og som er blevet gemt.
Artikel 8
Krav til lagringen af data
Medlemsstaterne sørger for, at de i artikel 5 nævnte data lagres i overensstemmelse med dette direktiv på en sådan måde, at de lagrede data og alle andre nødvendige oplysninger vedrørende disse data kan fremsendes uden unødig forsinkelse til de kompetente myndigheder på disses anmodning.
Artikel 9
Tilsynsmyndighed
1.   Hver medlemsstat udpeger en eller flere offentlige myndigheder, der har til opgave på dens område at påse overholdelsen af de bestemmelser om de lagrede datas sikkerhed, som medlemsstaten vedtager i medfør af artikel 7. Disse myndigheder kan være de samme myndigheder som dem, der er nævnt i artikel 28 i direktiv 95/46/EF.
2.   De i stk. 1 nævnte myndigheder handler i fuld uafhængighed i forbindelse med udførelsen af det i samme stykke omhandlede tilsyn.
[…]
Artikel 11
Ændring af direktiv 2002/58/EF
I artikel 15 i direktiv 2002/58/EF indsættes følgende stykke:
»1a.   Stk. 1 finder ikke anvendelse på data, der udtrykkelig kræves lagret i henhold til [direktiv 2006/24] til de formål, der er omhandlet i nævnte direktivs artikel 1, stk. 1.«
[…]
Artikel 13
Retsmidler, ansvar og sanktioner
»1.   Hver medlemsstat træffer de nødvendige foranstaltninger for at sikre, at de nationale foranstaltninger til gennemførelse af kapitel III i direktiv 95/46/EF om retsmidler, ansvar og sanktioner er iværksat i fuldt omfang for så vidt angår behandling af data i henhold til nærværende direktiv.
2.   Hver medlemsstat træffer navnlig de nødvendige foranstaltninger for at sikre, at forsætlig adgang til eller overførsel af data lagret i overensstemmelse med dette direktiv, som ikke er tilladt i henhold til national lovgivning vedtaget i medfør af dette direktiv, pålægges sanktioner, herunder administrative eller strafferetlige sanktioner, der er effektive, forholdsmæssige og har afskrækkende virkning.«
Tvisterne i hovedsagen og de præjudicielle spørgsmål
Sag C‑293/12
17
Digital Rights anlagde den 11. august 2006 sag ved High Court, og selskabet anførte herved, at det er ejer af en mobiltelefon, som blev registreret den 3. juni 2006, og som det har anvendt siden denne dato. Digital Rights anfægter lovligheden af nationale lovgivningsmæssige og administrative foranstaltninger, der angår lagring af data vedrørende elektronisk kommunikation, og har bl.a. nedlagt påstand for den forelæggende ret om, at det fastslås, at såvel direktiv 2006/24 som Part 7 i Criminal Justice (Terrorist Offences) Act 2005 (straffelov af 2005 (terrorhandlinger)), hvorefter telekommunikationsudbydere skal lagre trafik- og lokaliseringsdata vedrørende telekommunikation i et tidsrum, der er fastsat i loven, med henblik på forebyggelse, afsløring, efterforskning eller forfølgning af kriminalitet og beskyttelse af statens sikkerhed, er ugyldige.
18
High Court finder, at den ikke kan afgøre de spørgsmål vedrørende national ret, som er indbragt for den, uden en bedømmelse af gyldigheden af direktiv 2006/24, og har besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1)
Er begrænsningen af sagsøgerens rettigheder hvad angår dennes brug af mobiltelefoni, der fremgår af kravene i artikel 3, 4 og 6 i direktiv 2006/24, uforenelig med artikel 5, stk. 4, TEU, for så vidt som den er uforholdsmæssig og unødvendig eller uhensigtsmæssig i forhold til at opfylde de lovlige mål om at:
a)
sikre, at der er adgang til visse data i forbindelse med efterforskning, afsløring og retsforfølgning af grov kriminalitet
og/eller
b)
sikre den rette funktion af Den Europæiske Unions indre marked?
2)
Navnlig spørges, om
a)
direktiv 2006/24 er foreneligt med borgeres ret til at færdes og opholde sig frit på medlemsstaternes område, således som fastsat i artikel 21 TEUF
b)
direktiv 2006/24 er foreneligt med retten til privatliv, der er fastsat i chartrets artikel 7 og EMRK’s artikel 8
c)
direktiv 2006/24 er foreneligt med retten til beskyttelse af personlige oplysninger, således som fastsat i chartrets artikel 8
d)
direktiv 2006/24 er foreneligt med ytringsfriheden, således som fastsat i chartrets artikel 11 og EMRK’s artikel 10
e)
direktiv 2006/24 er foreneligt med retten til god forvaltning, således som fastsat i chartrets artikel 41.
3)
I hvilket omfang kræver traktaterne – navnlig princippet om loyalt samarbejde, der er opstillet i artikel 4, stk. 3, [TEU] – at en national ret skal undersøge og bedømme, om de nationale foranstaltninger til gennemførelse af direktiv 2006/24 er forenelige med den beskyttelse, der ydes med [chartret], herunder dettes artikel 7 (jf. EMRK’s artikel 8)?«
Sag C‑594/12
19
Til grund for anmodningen om præjudiciel afgørelse i sag C‑594/12 ligger en række sager anlagt ved Verfassungsgerichtshof af Kärntner Landesregierung samt af Michael Seitlinger, Christof Tschohl og 11128 andre sagsøgere, der har nedlagt påstand om annullation af § 102a i Telekommunikationsgesetz 2003 (lov af 2003 om telekommunikation), som blev indsat i denne lov ved Bundesgesetz, mit dem das Telekommunikationsgesetz 2003 – TKG 2003 geändert wird (forbundslov om ændring af lov om telekommunikation, BGBl I, nr. 27/2011) med henblik på at gennemføre direktiv 2006/24 i østrigsk ret. Disse parter er bl.a. af den opfattelse, at den nævnte § 102a tilsidesætter borgernes grundlæggende ret til beskyttelse af deres data.
20
Verfassungsgerichtshof finder det bl.a. tvivlsomt, om direktiv 2006/24 er foreneligt med chartret, for så vidt som det i henhold til direktivet er tilladt at lagre et stort antal datatyper vedrørende et ubegrænset antal personer over længere tid. Datalagringen omfatter næsten udelukkende personer, hvis adfærd på ingen måde begrunder, at der lagres data, der vedrører dem. Disse personer udsættes for en forhøjet risiko for, at myndighederne undersøger deres data, gør sig bekendt med indholdet heraf, får oplysninger om deres privatliv og anvender disse data til forskelligartede formål, henset til bl.a. det uafgrænsede antal personer, der har adgang til dataene i en periode på mindst seks måneder. Ifølge den forelæggende ret er det dels tvivlsomt, om dette direktiv er egnet til at nå de mål, det forfølger, dels om indgrebet i de berørte grundlæggende rettigheder er forholdsmæssigt.
21
Under disse omstændigheder har Verfassungsgerichtshof besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1)
Gyldigheden af retsakter udstedt af Unionens institutioner:
Er artikel 3-9 i direktiv 2006/24 forenelige med [chartrets] artikel 7, 8 og 11 […]?
2)
Fortolkning af traktaterne:
a)
Skal der, set i lyset af forklaringerne til chartrets artikel 8, der i henhold til chartrets artikel 52, stk. 7, er udarbejdet som en vejledning ved fortolkningen af [dette], og som Verfassungsgerichtshof skal inddrage behørigt, tages samme hensyn til direktiv 95/46 og Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger [(
EFT L 8, s. 1
)] som til betingelserne i chartrets artikel 8, stk. 2, og artikel 52, stk. 1, ved bedømmelsen af gyldigheden af indgreb?
b)
Hvilket forhold er der mellem »EU-retten« som nævnt i chartrets artikel 52, stk. 3, sidste punktum, og de databeskyttelsesretlige direktiver?
c)
Skal der, henset til, at direktiv 95/46/EF og forordning […] nr. 45/2001 indeholder betingelser og begrænsninger for udøvelse af den grundlæggende ret til databeskyttelse i henhold til chartret, ved fortolkning af [dettes] artikel 8 tages hensyn til ændringer, der følger af senere sekundærret?
d)
Følger det af princippet om overholdelse af det højeste beskyttelsesniveau, som opstilles i chartrets artikel 53, når der henses til chartrets artikel 52, stk. 4, at grænserne for tilladte sekundærretlige indskrænkninger skal drages snævrere?
e)
Kan der, henset til chartrets artikel 52, stk. 3, præamblens femte afsnit og forklaringerne til [dets] artikel 7, hvorefter de rettigheder, der sikres i artikel 7, svarer til dem, der er sikret ved EMRK’s artikel 8, udledes synspunkter af Den Europæiske Menneskerettighedsdomstols praksis vedrørende EMRK’s artikel 8, som påvirker fortolkningen af chartrets artikel 8?«
22
Ved afgørelse truffet af Domstolens præsident den 11. juni 2013 blev sagerne C‑293/12 og C‑594/12 forenet med henblik på den mundtlige forhandling og dommen.
Om de præjudicielle spørgsmål
Det andet spørgsmål, litra b)-d), i sag C‑293/12 og det første spørgsmål i sag C‑594/12
23
Med det andet spørgsmål, litra b)-d), i sag C‑293/12 og det første spørgsmål i sag C‑594/12, som behandles samlet, anmoder de forelæggende retter nærmere bestemt Domstolen om at bedømme gyldigheden af direktiv 2006/24 i lyset af chartrets artikel 7, 8 og 11.
Relevansen af chartrets artikel 7, 8 og 11 i relation til spørgsmålet om gyldigheden af direktiv 2006/24
24
Det fremgår af artikel 1 i direktiv 2006/24 og af 4., 5., 7.-11., 21. og 22. betragtning hertil, at hovedformålet med dette direktiv er at harmonisere medlemsstaternes bestemmelser om de pligter, der er pålagt udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet, for så vidt angår lagring af visse data, der genereres eller behandles af disse udbydere, med henblik på at sikre, at der er adgang til disse data i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af grov kriminalitet, såsom organiseret kriminalitet og terrorisme, under overholdelse af de rettigheder, som er fastslået i chartrets artikel 7 og 8.
25
Den pligt, der i henhold til artikel 3 i direktiv 2006/24 er pålagt udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet til at lagre de data, som er opregnet i direktivets artikel 5, med henblik på i påkommende tilfælde at gøre dem tilgængelige for de kompetente nationale myndigheder, rejser en række spørgsmål vedrørende beskyttelsen af såvel privatliv som kommunikation, som er fastslået i chartrets artikel 7, beskyttelsen af personoplysninger i henhold til chartrets artikel 8 samt respekten for ytringsfriheden, som er sikret ved chartrets artikel 11.
26
I denne henseende bemærkes, at de data, som udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet i henhold til artikel 3 og 5 i direktiv 2006/24 skal lagre, bl.a. er data, der er nødvendige for at spore og identificere kilden til en kommunikation og dens bestemmelsessted, fastslå en kommunikations dato, klokkeslæt, varighed og type, identificere brugernes kommunikationsudstyr og foretage en lokalisering af mobilt udstyr, dvs. data, der bl.a. omfatter navn og adresse på abonnenten eller den registrerede bruger, telefonnummer på den, der foretager opkaldet, og det kaldte nummer samt for internettjenester en IP-adresse. Disse data gør det bl.a. muligt at få kendskab til, med hvilken person og ved hjælp af hvilket kommunikationsmiddel en abonnent eller registreret bruger har kommunikeret, samt at tidsfæste kommunikationen og identificere det sted, hvorfra den har fundet sted. Desuden gør de det muligt at være bekendt med hyppigheden af abonnentens eller den registrerede brugers kommunikation med bestemte personer i en given periode.
27
Disse data vil tilsammen kunne gøre det muligt at drage meget præcise slutninger vedrørende privatlivet for de personer, hvis data er blevet lagret, såsom vaner i dagligdagen, midlertidige eller varige opholdssteder, daglige eller andre rejser, hvilke aktiviteter der udøves, disse personers sociale relationer og de sociale miljøer, de frekventerer.
28
Selv om direktiv 2006/24, som det fremgår af dets artikel 1, stk. 2, og artikel 5, stk. 2, ikke tillader lagring af indholdet af elektroniske kommunikationer, herunder oplysninger, der er indhentet over et elektronisk kommunikationsnet, er det på denne baggrund ikke udelukket, at den omhandlede lagring af data kan have indvirkning på abonnenters og registrerede brugeres brug af de kommunikationsmidler, som er omfattet af dette direktiv, og dermed på disse personers udøvelse af deres ytringsfrihed, som er sikret ved chartrets artikel 11.
29
Lagring af data med henblik på, at de kompetente nationale myndigheder eventuelt kan få adgang hertil, som omhandlet i direktiv 2006/24, vedrører direkte og specifikt privatlivet og dermed de rettigheder, som er sikret ved chartrets artikel 7. Herudover er en sådan lagring af data tillige omfattet af chartrets artikel 8, idet den udgør behandling af personoplysninger i denne artikels forstand og derfor nødvendigvis skal opfylde de krav vedrørende beskyttelse af sådanne oplysninger, der følger af denne artikel (dom Volker und Markus Schecke og Eifert, 
C‑92/09 og C‑93/09
, 
EU:C:2010:662
, præmis 
47
).
30
Selv om de præjudicielle forelæggelser i de foreliggende sager navnlig rejser det principielle spørgsmål om, hvorvidt abonnenters og registrerede brugeres data under hensyn til chartrets artikel 7 kan lagres, vedrører de også spørgsmålet, om direktiv 2006/24 opfylder de krav til beskyttelse af personoplysninger, som følger af chartrets artikel 8.
31
På baggrund af de ovenstående betragtninger skal der med henblik på at besvare det andet spørgsmål, litra b)-d), i sag C‑293/12 og det første spørgsmål i sag C‑594/12 foretages en bedømmelse af gyldigheden af direktivet under hensyn til chartrets artikel 7 og 8.
Spørgsmålet, om der foreligger et indgreb i de rettigheder, som er fastslået i chartrets artikel 7 og 8
32
Som generaladvokaten har påpeget i navnlig punkt 39 og 40 i forslaget til afgørelse, indebærer direktiv 2006/24, idet det foreskriver lagring af de i direktivets artikel 5, stk. 1, opregnede data, og idet det tillader, at de kompetente nationale myndigheder får adgang til disse data, en fravigelse af den ordning, som er indført ved direktiv 95/46 og 2002/58 med henblik på at beskytte retten til respekt for privatlivet, for så vidt angår behandling af personoplysninger inden for den elektroniske kommunikationssektor, idet de sidstnævnte direktiver foreskriver kommunikationshemmelighed og fortrolighed af trafikdata samt pligt til at slette disse data eller anonymisere dem, når de ikke længere er nødvendige for fremføringen af kommunikationen, medmindre – og kun så længe – de er nødvendige for faktureringen.
33
Ved afgørelsen af, om der foreligger et indgreb i den grundlæggende ret til respekt for privatlivet, er det uden betydning, om de videregivne oplysninger er følsomme oplysninger, eller om indgrebet har medført eventuelle ubehageligheder for de berørte (jf. i denne retning dom Österreichischer Rundfunk m.fl., 
C‑465/00, C‑138/01 og C‑139/01
, 
EU:C:2003:294
, præmis 
75
).
34
Heraf følger, at den pligt, der i henhold til artikel 3 og 6 i direktiv 2006/24 er pålagt udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet til i et nærmere bestemt tidsrum at lagre data vedrørende en persons privatliv og kommunikation som dem, der er omhandlet i dette direktivs artikel 5, i sig selv udgør et indgreb i de rettigheder, som er sikret ved chartrets artikel 7.
35
Desuden udgør de kompetente nationale myndigheders adgang til disse data et yderligere indgreb i denne grundlæggende ret (jf. for så vidt angår EMRK’s artikel 8 Den Europæiske Menneskerettighedsdomstols domme, Leander mod Sverige, 26.3.1987, serie A, nr. 116, § 48, og Rotaru mod Rumænien (Storkammeret), nr. 28341/95, § 46, ECHR 2000-V, samt Weber og Saravia mod Tyskland (afgørelse), nr. 54934/00, § 79, ECHR 2006-XI). Artikel 4 og 8 i direktiv 2006/24, der fastsætter regler om de kompetente nationale myndigheders adgang til dataene, indebærer derfor også et indgreb i de rettigheder, som er sikret ved chartrets artikel 7.
36
Direktiv 2006/24 indebærer ligeledes et indgreb i den grundlæggende ret til beskyttelse af personoplysninger, som er sikret ved chartrets artikel 8, eftersom det foreskriver en behandling af personoplysninger.
37
Det må fastslås, at det indgreb i de grundlæggende rettigheder, der er fastslået i chartrets artikel 7 og 8, som direktiv 2006/24 indebærer, således som generaladvokaten også har anført i navnlig punkt 77 og 80 i forslaget til afgørelse, er meget vidtrækkende og må anses for at være af særligt alvorlig karakter. Den omstændighed, at lagringen af data og den efterfølgende anvendelse af dem finder sted, uden at abonnenten eller den registrerede bruger oplyses herom, er desuden, som generaladvokaten har anført i punkt 52 og 72 i forslaget til afgørelse, egnet til at skabe en følelse hos de berørte personer af, at deres privatliv er genstand for konstant overvågning.
Spørgsmålet, om indgrebet i de rettigheder, som er sikret ved chartrets artikel 7 og 8, er begrundet
38
I henhold til chartrets artikel 52, stk. 1, skal enhver begrænsning i udøvelsen af de rettigheder og friheder, der anerkendes ved chartret, være fastlagt i lovgivningen og respektere disse rettigheders og friheders væsentligste indhold, og der kan under iagttagelse af proportionalitetsprincippet kun indføres begrænsninger, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder.
39
Hvad angår det væsentligste indhold af den grundlæggende ret til respekt for privatlivet og de øvrige rettigheder, som er fastslået i chartrets artikel 7, må det fastslås, at selv om den lagring af data, som foreskrives i direktiv 2006/24, udgør et særlig alvorligt indgreb i disse rettigheder, er det ikke af en sådan art, at det indebærer en krænkelse af det væsentligste indhold af disse rettigheder, eftersom direktivet, således som det fremgår af dets artikel 1, stk. 2, ikke giver adgang til at gøre sig bekendt med selve indholdet af de elektroniske kommunikationer.
40
Denne lagring af data vil heller ikke kunne indebære en krænkelse af det væsentligste indhold af den grundlæggende ret til beskyttelse af personoplysninger, som er fastslået i chartrets artikel 8, eftersom artikel 7 i direktiv 2006/24 indeholder en regel om databeskyttelse og datasikkerhed, hvorefter udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet med forbehold af bestemmelser vedtaget i medfør af direktiv 95/46 og 2002/52 skal respektere visse principper for databeskyttelse og datasikkerhed, i overensstemmelse med hvilke medlemsstaterne sikrer, at der iværksættes de fornødne tekniske og organisatoriske foranstaltninger mod hændelig eller ulovlig tilintetgørelse eller hændeligt tab eller forringelse af data.
41
Med hensyn til spørgsmålet, om det nævnte indgreb forfølger et mål af almen interesse, bemærkes, at selv om direktiv 2006/24 er tiltænkt at harmonisere medlemsstaternes bestemmelser om de pligter, der er pålagt de nævnte udbydere for så vidt angår lagring af visse data, der genereres eller behandles af dem, er det materielle mål med dette direktiv, således som det fremgår af dets artikel 1, stk. 1, at sikre, at der er adgang til disse data i forbindelse med efterforskning, afsløring og retsforfølgning af grov kriminalitet som defineret af de enkelte medlemsstater i deres nationale lovgivning. Det materielle mål med dette direktiv er derfor at bidrage til bekæmpelsen af grov kriminalitet og dermed i sidste ende til den offentlige sikkerhed.
42
Det fremgår af Domstolens praksis, at bekæmpelsen af international terrorisme med henblik på opretholdelse af international fred og sikkerhed udgør et mål for EU af almen interesse (jf. i denne retning domme Kadi og Al Barakaat International Foundation mod Rådet og Kommissionen, 
C‑402/05 P og C‑415/05 P
, 
EU:C:2008:461
, præmis 
363
, og Al-Aqsa mod Rådet, 
C‑539/10 P og C‑550/10 P
, 
EU:C:2012:711
, præmis 
130
). Det samme gælder for bekæmpelsen af grov kriminalitet med henblik på at sikre den offentlige sikkerhed (jf. i denne retning dom Tsakouridis, 
C‑145/09
, 
EU:C:2010:708
, præmis 
46
 og 
47
). I øvrigt bemærkes i denne henseende, at chartrets artikel 6 fastslår, at enhver har ret til ikke alene frihed, men også sikkerhed.
43
I denne henseende fremgår det af syvende betragtning til direktiv 2006/24, at Rådet (retlige og indre anliggender) på grund af den betydelige vækst i de muligheder, der ligger i elektronisk kommunikation, i sine konklusioner af 19. december 2002 påpegede, at data vedrørende anvendelsen af elektronisk kommunikation udgør et særdeles vigtigt og brugbart redskab til forebyggelse af strafbare handlinger og bekæmpelse af kriminalitet, især organiseret kriminalitet.
44
Det må derfor fastslås, at lagring af data med henblik på, at de kompetente nationale myndigheder eventuelt kan få adgang hertil, som omhandlet i direktiv 2006/24, faktisk forfølger et mål af almen interesse.
45
Under disse omstændigheder skal det efterprøves, om det indgreb, som er fastslået, er forholdsmæssigt.
46
I denne henseende skal der henvises til, at proportionalitetsprincippet ifølge Domstolens faste praksis indebærer et krav om, at EU-institutionernes retsakter skal være egnede til at gennemføre de lovlige mål, som forfølges med den omhandlede lovgivning, og ikke går videre, end hvad der er nødvendigt og passende for gennemførelsen af disse mål (jf. i denne retning domme Afton Chemical, 
C‑343/09
, 
EU:C:2010:419
, præmis 
45
, Volker und Markus Schecke og Eifert, 
EU:C:2010:662
, præmis 
74
, Nelson m.fl., 
C‑581/10 og C‑629/10
, 
EU:C:2012:657
, præmis 
71
, Sky Österreich, 
C‑283/11
, 
EU:C:2013:28
, præmis 
50
, og Schaible, 
C‑101/12
, 
EU:C:2013:661
, præmis 
29
).
47
Hvad angår domstolskontrollen med overholdelsen af disse betingelser, når der er tale om indgreb i grundlæggende rettigheder, vil rækkevidden af EU-lovgivers skønsbeføjelse kunne være begrænset under hensyn til en række faktorer, herunder navnlig det omhandlede område, karakteren af den omhandlede rettighed, som er sikret ved chartret, karakteren og alvoren af indgrebet samt formålet hermed (jf. analogt for så vidt angår EMRK’s artikel 8 Den Europæiske Menneskerettighedsdomstols dom, S og Marper mod Det Forenede Kongerige (Storkammeret), nr. 30562/04 og 30566/04, § 102, ECHR 2008-V).
48
I det foreliggende tilfælde er EU-lovgivers skønsbeføjelse, henset til dels den betydelige rolle, som beskyttelsen af personoplysninger spiller i forhold til den grundlæggende ret til respekt for privatlivet, dels rækkevidden og alvoren af det indgreb i denne ret, som direktiv 2006/24 indebærer, begrænset, hvorfor der skal foretages en streng efterprøvelse.
49
Hvad angår spørgsmålet, om lagring af data er egnet til at gennemføre det mål, som forfølges med direktiv 2006/24, må det fastslås, at de data, som skal lagres i henhold til dette direktiv, henset til den stadigt større betydning af elektroniske kommunikationsmidler, giver de kompetente nationale myndigheder på det strafferetlige område yderligere muligheder for at opklare grov kriminalitet og derfor i denne henseende udgør et brugbart redskab i efterforskningen af straffesager. Lagring af sådanne data kan dermed anses for at være egnet til at gennemføre det mål, som forfølges med det nævnte direktiv.
50
Det kan ikke føre til et andet resultat, at der, som anført af bl.a. Christof Tschohl og Michael Seitlinger samt af den portugisiske regering i de skriftlige bemærkninger, som de har indgivet til Domstolen, eksisterer adskillige former for elektronisk kommunikation, som ikke er omfattet af anvendelsesområdet for direktiv 2006/24, eller som muliggør anonym kommunikation. Dette vil ganske vist kunne begrænse datalagringens egnethed til at opnå det mål, som forfølges, men vil dog ikke, som generaladvokaten har anført i punkt 137 i forslaget til afgørelse, kunne gøre denne lagring uegnet.
51
Hvad angår spørgsmålet, om den datalagring, som er foreskrevet i direktiv 2006/24, er nødvendig, skal det fastslås, at bekæmpelse af grov kriminalitet, og navnlig organiseret kriminalitet og terrorisme, ganske vist er af afgørende betydning for at sikre den offentlige sikkerhed, og at effektiviteten heraf i vidt omfang kan være afhængig af anvendelse af moderne efterforskningsteknikker. Et sådant mål af almen interesse kan imidlertid, hvor grundlæggende det end er, ikke i sig selv begrunde, at en foranstaltning med henblik på datalagring som den, der er indført med direktiv 2006/24, anses for nødvendig af hensyn til bekæmpelsen af grov kriminalitet.
52
Hvad angår retten til respekt for privatlivet kræver hensynet til beskyttelsen af denne grundlæggende ret ifølge Domstolens faste praksis under alle omstændigheder, at undtagelserne fra og begrænsningerne af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige (dom IPI, 
C‑473/12
, 
EU:C:2013:715
, præmis 
39
 og den deri nævnte retspraksis).
53
I denne henseende skal der erindres om, at beskyttelsen af personoplysninger i medfør af den udtrykkelige pligt, som er fastsat i chartrets artikel 8, stk. 1, har en særlig betydning for retten til respekt for privatlivet, som er fastslået i chartrets artikel 7.
54
Den pågældende EU-lovgivning skal således fastsætte klare og præcise regler, som regulerer rækkevidden og anvendelsen af den omhandlede foranstaltning og opstiller en række mindstekrav, således at de personer, hvis data er blevet lagret, råder over tilstrækkelige garantier, der gør det muligt effektivt at beskytte deres personlige oplysninger mod risikoen for misbrug og mod ulovlig adgang til og anvendelse af disse oplysninger (jf. analogt for så vidt angår EMRK’s artikel 8 Den Europæiske Menneskerettighedsdomstols domme, Liberty m.fl. mod Det Forenede Kongerige, 1.7.2008, nr. 58243/00, §§ 62 og 63, Rotaru mod Rumænien, §§ 57-59, samt S og Marper mod Det Forenede Kongerige, § 99).
55
Behovet for at råde over sådanne garantier er så meget desto større, når personoplysningerne, som foreskrevet i direktiv 2006/24, undergives automatisk databehandling, og der eksisterer en betydelig risiko for ulovlig adgang til disse data (jf. analogt for så vidt angår EMRK’s artikel 8 Den Europæiske Menneskerettighedsdomstols domme, S og Marper mod Det Forenede Kongerige, § 103, samt M.K. mod Frankrig, 18.4.2013, nr. 19522/09, § 35).
56
Hvad angår spørgsmålet, om det indgreb, som direktiv 2006/24 indebærer, er begrænset til det strengt nødvendige, bemærkes, at dette direktiv i henhold til dets artikel 3, sammenholdt med dets artikel 5, stk. 1, foreskriver lagring af alle trafikdata vedrørende fastnettelefoni, mobiltelefoni, internetadgang samt e-mail og telefoni via internettet. Det omfatter således alle elektroniske kommunikationsmidler, hvis anvendelse er meget udbredt og af stadigt stigende betydning i den enkeltes dagligdag. Desuden omfatter dette direktiv i henhold til dets artikel 3 alle abonnenter og registrerede brugere. Det indebærer dermed et indgreb i de grundlæggende rettigheder for praktisk talt hele den europæiske befolkning.
57
I denne henseende skal det for det første fastslås, at direktiv 2006/24 generelt omfatter alle personer og alle elektroniske kommunikationsmidler og samtlige trafikdata uden nogen form for differentiering, begrænsning eller undtagelse under hensyn til målet om at bekæmpe grov kriminalitet.
58
Direktiv 2006/24 omfatter således dels generelt alle personer, der gør brug af elektroniske kommunikationstjenester, uden at de personer, hvis data lagres, dog – end ikke indirekte – befinder sig i en situation, der vil kunne give anledning til strafferetlig forfølgning. Direktivet finder dermed anvendelse selv på personer, for hvis vedkommende der ikke findes noget som helst indicium for, at deres adfærd kan have – selv en indirekte eller fjern – forbindelse til grov kriminalitet. Endvidere indeholder det ikke nogen undtagelsesbestemmelse, således at det finder anvendelse selv på personer, hvis kommunikation i henhold til nationale retsregler er omfattet af tavshedspligt.
59
Dels kræver det nævnte direktiv, skønt det har til formål at bidrage til bekæmpelsen af grov kriminalitet, ikke nogen sammenhæng mellem de data, som foreskrives lagret, og en trussel mod den offentlige sikkerhed, og det er navnlig ikke begrænset til en lagring, som er rettet mod data vedrørende et bestemt tidsrum og/eller et bestemt geografisk område og/eller en given personkreds, der på den ene eller anden måde vil kunne være indblandet i grov kriminalitet, eller mod personer, der af andre grunde gennem lagring af deres data ville kunne bidrage til forebyggelse, afsløring og retsforfølgning af grov kriminalitet.
60
Ud over dette generelle fravær af grænser fastsætter direktiv 2006/24 for det andet ikke noget objektivt kriterium, som gør det muligt at afgrænse de kompetente nationale myndigheders adgang til dataene og den efterfølgende anvendelse heraf med henblik på forebyggelse, afsløring eller strafferetlig forfølgning vedrørende kriminalitet, der, henset til rækkevidden og alvoren af indgrebet i de rettigheder, som er fastslået i chartrets artikel 7 og 8, kan anses for tilstrækkeligt grov til at begrunde et sådant indgreb. Direktiv 2006/24 begrænser sig derimod til i artikel 1, stk. 1, at henvise generelt til grov kriminalitet som defineret af de enkelte medlemsstater i deres nationale lovgivning.
61
Hvad angår de kompetente nationale myndigheders adgang til dataene og den efterfølgende anvendelse heraf indeholder direktiv 2006/24 desuden ingen materielle og processuelle betingelser herfor. Dette direktivs artikel 4, som regulerer disse myndigheders adgang til de lagrede data, foreskriver ikke udtrykkeligt, at denne adgang og den efterfølgende anvendelse af de omhandlede data skal være strengt begrænset til forebyggelse og afsløring af præcist afgrænsede strafbare handlinger eller strafferetlig forfølgning vedrørende sådanne, men begrænser sig til at foreskrive, at hver medlemsstat fastsætter den procedure, der skal følges, og de betingelser, der skal være opfyldt for at få adgang til lagrede data, i overensstemmelse med kravet om nødvendighed og proportionalitet.
62
Direktiv 2006/24 fastsætter navnlig ikke noget objektivt kriterium, der gør det muligt at begrænse antallet af personer, der er bemyndigede til at få adgang til og efterfølgende anvende lagrede data til det strengt nødvendige, henset til det mål, som forfølges. Særligt er de kompetente nationale myndigheders adgang til lagrede data ikke undergivet en forudgående kontrol, der udøves af enten en retsinstans eller en uafhængig administrativ enhed, hvis afgørelse tjener til at begrænse adgangen til og anvendelsen af data til det strengt nødvendige med henblik på at nå det mål, som forfølges, og træffes på grundlag af en begrundet anmodning, som fremsættes af disse myndigheder inden for rammerne af procedurer med henblik på forebyggelse, afsløring eller strafferetlig forfølgning. Der er heller ikke foreskrevet en præcis forpligtelse for medlemsstaterne til at fastsætte sådanne begrænsninger.
63
Med hensyn til varigheden af datalagringen foreskriver direktiv 2006/24 i artikel 6 for det tredje, at dataene skal lagres i et tidsrum af mindst seks måneder, uden at der på nogen måde foretages en sondring mellem de kategorier af data, som er fastsat i dette direktivs artikel 5, efter deres relevans for det mål, som forfølges, eller afhængigt af, hvilke personer der er berørt.
64
Lagringen er endvidere af en varighed på mellem mindst seks og højst 24 måneder, uden at det er præciseret, at fastsættelsen af lagringsperioden skal være baseret på objektive kriterier for at sikre, at den begrænses til det strengt nødvendige.
65
Det fremgår af det ovenstående, at direktiv 2006/24 ikke fastsætter klare og præcise regler, der regulerer rækkevidden af indgrebet i de grundlæggende rettigheder, som er fastslået i chartrets artikel 7 og 8. Det må derfor fastslås, at dette direktiv indebærer et indgreb i disse grundlæggende rettigheder, som er meget vidtrækkende og af særligt alvorlig karakter i EU’s retsorden, uden at dette indgreb er præcist afgrænset af bestemmelser, der gør det muligt at sikre, at det faktisk er begrænset til det strengt nødvendige.
66
Hvad angår reglerne om datasikkerhed og -beskyttelse for så vidt angår data, der lagres af udbydere af offentligt tilgængelige elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet, må det herudover fastslås, at direktiv 2006/24 ikke fastsætter tilstrækkelige garantier, således som foreskrevet i chartrets artikel 8, der gør det muligt at sikre en effektiv beskyttelse af lagrede data mod risikoen for misbrug og mod enhver ulovlig adgang til og anvendelse af disse oplysninger. For det første fastsætter artikel 7 i direktiv 2006/24 således ikke regler, som er specifikke og tilpasset til den meget store mængde data, hvis lagring er foreskrevet i dette direktiv, til disse datas følsomme karakter samt til risikoen for ulovlig adgang til dataene, og som navnlig ville skulle udgøre en klar og streng regulering af beskyttelsen og sikkerheden af de omhandlede data med henblik på at sikre deres integritet og fortrolighed. Der er desuden heller ikke fastsat en præcis forpligtelse for medlemsstaterne til at fastsætte sådanne regler.
67
Artikel 7 i direktiv 2006/24, sammenholdt med artikel 4, stk. 1, i direktiv 2002/58 og artikel 17, stk. 1, andet afsnit i direktiv 95/46, sikrer ikke, at de nævnte udbydere anvender et særlig højt beskyttelses- og sikkerhedsniveau ved hjælp af tekniske og organisatoriske foranstaltninger, men tillader bl.a. disse udbydere at tage økonomiske hensyn i betragtning ved fastsættelsen af det sikkerhedsniveau, de anvender, for så vidt angår udgifterne til iværksættelse af sikkerhedsforanstaltningerne. Navnlig sikrer direktiv 2006/24 ikke en irreversibel destruktion af dataene ved udløbet af lagringsperioden.
68
For det andet skal det tilføjes, at det nævnte direktiv ikke foreskriver, at de omhandlede data lagres på EU’s område, hvorfor det ikke kan antages, at det fuldt ud er sikret, at overholdelsen af de krav vedrørende beskyttelse og sikkerhed, som er omhandlet i de to foregående præmisser, kontrolleres af en uafhængig myndighed, således som det udtrykkeligt kræves i chartrets artikel 8, stk. 3. En sådan kontrol, som gennemføres på grundlag af EU-retten, er imidlertid et væsentligt led i beskyttelsen af personer i forbindelse med behandling af personoplysninger (jf. i denne retning dom Kommissionen mod Østrig, 
C‑614/10
, 
EU:C:2012:631
, præmis 
37
).
69
Henset til samtlige ovenstående betragtninger skal det fastslås, at EU-lovgiver ved vedtagelsen af direktiv 2006/24 har overskredet de grænser, som overholdelsen af proportionalitetsprincippet kræver, henset til chartrets artikel 7, 8 og 52, stk. 1.
70
Under disse omstændigheder er der ikke anledning til at behandle spørgsmålet om gyldigheden af direktiv 2006/24 i relation til chartrets artikel 11.
71
Det andet spørgsmål, litra b)-d), i sag C‑293/12 og det første spørgsmål i sag C‑594/12 skal derfor besvares med, at direktiv 2006/24 er ugyldigt.
Det første spørgsmål og det andet spørgsmål, litra a) og e), samt det tredje spørgsmål i sag C‑293/12 og det andet spørgsmål i sag C‑594/12
72
Det fremgår af det i den foregående præmis fastslåede, at der ikke er anledning til at besvare det første spørgsmål, det andet spørgsmål, litra a) og e), samt det tredje spørgsmål i sag C‑293/12 og det andet spørgsmål i sag C‑594/12.
Sagens omkostninger
73
Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den nationale ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:
Europa-Parlamentets og Rådets direktiv 2006/24/EF af 15. marts 2006 om lagring af data genereret eller behandlet i forbindelse med tilvejebringelse af offentligt tilgængelige elektroniske kommunikationstjenester eller elektroniske kommunikationsnet og om ændring af direktiv 2002/58/EF er ugyldigt.
Underskrifter
(
*1
) – Processprog: engelsk og tysk.
(
1
) – Der er foretaget en teknisk rettelse af denne teksts hoved og i angivelsen af visse parter efter den oprindelige offentliggørelse.

Summary:
Balance mellem offentlig sikkerhed og databeskyttelse
RESUMÉ AF:
Domstolens dom — Forenede sager C-293/12 og C-594/12 vedrørende EU’s direktiv om lagring af data
HVAD ER VIRKNINGEN AF DENNE DOM?
I sin dom erklærede 
Den Europæiske Unions Domstol
 
direktiv 2006/24/EF
 om lagring af data genereret eller behandlet i forbindelse med tilvejebringelse af offentligt tilgængelige elektroniske kommunikationstjenester eller elektroniske kommunikationsnet for ugyldigt.
HOVEDPUNKTER
Domstolen bemærker, at direktivet tillader lagring af data, som kan 
give meget detaljerede oplysninger om privatlivet for de personer, hvis data lagres
 (f.eks. om deres daglige rutiner, permanente eller midlertidige opholdssteder, bevægelser, aktiviteter, relationer og de sociale miljøer, der frekventeres).
Domstolen finder, at direktivet på en særdeles alvorlig måde 
griber
 ind i de 
grundlæggende rettigheder
 om privatlivets fred og beskyttelse af personoplysninger ved at kræve lagring af disse data og ved at tillade de kompetente nationale myndigheder at få adgang til dem.
Selv om Domstolen ikke anfægter formålet med direktivet, minder den om, at det skal tages i betragtning, at 
foranstaltninger skal stå i forhold til
, hvad der er strengt nødvendigt for at beskytte den almene interesse mod alvorlige trusler (såsom 
bekæmpelse af terrorisme
 eller 
organiseret kriminalitet
).
Særligt kritiserer Domstolen det faktum, at direktivet:
på en 
generel måde
 dækker alle personer, alle elektroniske kommunikationsmidler og alle trafikdata uden nogen differentiering, begrænsning eller undtagelse på baggrund af målet om at bekæmpe grov kriminalitet
pålægger en periode på mindst seks måneder 
uden at sondre
 mellem datakategorierne baseret på de pågældende personer eller deres mulige anvendelighed i forhold til det tilsigtede mål
ikke sørger for 
tilstrækkelige sikkerhedsforanstaltninger
 for at sikre en effektiv beskyttelse af data mod 
risiko for misbrug
 og imod enhver 
ulovlig adgang eller brug
ikke kræver, at dataene lagres inden for EU og ikke fuldt ud sikrer 
kontrol af overensstemmelse
 på basis af EU-lovgivning.
BAGGRUND
The High Court (Irland) og 
Verfassungsgerichtshof
 (Forfatningsdomstol, Østrig) bad Domstolen undersøge gyldigheden af direktivet om lagring af data specielt i lyset af to grundlæggende rettigheder under EU’s charter om grundlæggende rettigheder: at 
respektere privatlivets fred
 og at 
beskytte personoplysninger
.
HOVEDDOKUMENT
Forenede sager C-293/12 og C-594/12
: Domstolens dom (Store Afdeling) af 8. april 2014 (anmodning om præjudiciel afgørelse fra High Court of Ireland (Irland) og Verfassungsgerichtshof (Østrig) — Digital Rights Ireland Ltd (sag C-293/12) mod Minister for Communications, Marine and Natural Resources, Minister for Justice, Equality and Law Reform, The Commissioner of the Garda Síochána, Ireland og The Attorney General og Kärntner Landesregierung, Michael Seitlinger og Christof Tschohl m.fl. (sag C-594/12) (Elektronisk kommunikation — direktiv 2006/24/EF — offentligt tilgængelige elektroniske kommunikationstjenester eller elektroniske kommunikationsnet — lagring af data genereret eller behandlet i forbindelse med tilvejebringelse af sådanne tjenester — gyldighed — artikel 7, 8 og 11 i Den Europæiske Unions charter om grundlæggende rettigheder) (EUT C 175 af 10.6.2014, s. 6-7)
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets direktiv 
2006/24/EF
 af 15. marts 2006 om lagring af data genereret eller behandlet i forbindelse med tilvejebringelse af offentligt tilgængelige elektroniske kommunikationstjenester eller elektroniske kommunikationsnet og om ændring af direktiv 2002/58/EF (EUT L 105 af 13.4.2006, s. 54-63)
Den Europæiske Unions 
charter om grundlæggende rettigheder
 (EUT C 326 af 26.10.2012, s. 391-407)
seneste ajourføring 08.08.2016