Förslag till avgörande av generaladvokat Maciej Szpunar föredraget den 3 september 2026
Preliminär utgåva
FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
MACIEJ SZPUNAR
föredraget den 3 september 2026( 1 )
Ordre des barreaux francophones et germanophone,
Académie Fiscale ASBL,
UA,
vzw Liga voor Mensenrechten,
Ligue des droits humains ASBL,
JU,
LV,
Ministry of Privacy
mot
Premier ministre/ Eerste Minister
(begäran om förhandsavgörande från Cour constitutionnelle (Författningsdomstolen, Belgien))
” Begäran om förhandsavgörande – Telesektorn – Behandling av personuppgifter och skydd av privatlivet inom sektorn för elektronisk kommunikation – Direktiv 2002/58/EG – Medlemsstaternas möjlighet att vidta åtgärder för lagring av uppgifter för förebyggande, undersökning, avslöjande och lagföring av obehörig användning av ett elektroniskt kommunikationssystem ”
I. Inledning
1. Genom antagandet av loi du 20 juillet 2022 relative à la collecte et à la conservation des données d’identification et des métadonnées dans le secteur des communications électroniques et à la fourniture de ces données aux autorités (lagen av den 20 juli 2022 om insamling och lagring av identifieringsuppgifter och metadata inom sektorn för elektronisk kommunikation och om tillhandahållande av sådana uppgifter till myndigheterna) (nedan kallad lagen av den 20 juli 2022), avsåg den belgiska lagstiftaren att anpassa den nationella lagstiftningen till den dom genom vilken Cour constitutionnelle (Författningsdomstolen, Belgien) upphävde loi du 29 mai 2016 relative à la collecte et à la conservation des données dans le secteur des communications électroniques (lagen av den 29 maj 2016 om insamling och lagring av uppgifter inom sektorn för elektronisk kommunikation).( 2 )
2. Denna dom meddelades till följd av EU-domstolens dom La Quadrature du Net m.fl.,( 3 ) vilken rörde tolkningen av artikel 15.1 i direktiv 2002/58/EG,( 4 ) jämförd med artiklarna 7, 9 och 11 samt artikel 52.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
3. Cour constitutionnelle (Författningsdomstolen), som nu har att pröva fem mål om fullständigt eller delvist upphävande av lagen av den 20 juli 2022, har på nytt beslutat att inhämta ett förhandsavgörande från EU-domstolen angående tolkningen av dessa bestämmelser, med avseende på den ovannämnda anpassningen av den nationella lagstiftningen, vilken enligt sin nya lydelse bland annat tillåter lagring av vissa trafik- och lokaliseringsuppgifter.
4. Förevarande mål ger således EU-domstolen tillfälle att precisera sin praxis på området, särskilt vad gäller räckvidden av den senaste utvecklingen på området som följer av domen La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång).( 5 )
II. Tillämpliga bestämmelser
A. Unionsrätt
5. I skälen 2, 6, 7, 11, 14, 15, 20, 22, 26, 29, 30, 35 och 36 i direktiv 2002/58 anges följande:
”(2) I detta direktiv eftersträvas respekt för de grundläggande rättigheterna och iakttagande av de principer som erkänns i synnerhet i [stadgan]. I synnerhet eftersträvas i detta direktiv att säkerställa full respekt för rättigheterna i artiklarna 7 och 8 i den stadgan.
...
(6) Internet bryter upp traditionella marknadsstrukturer genom att tillhandahålla en gemensam, global infrastruktur för leverans av en mängd olika elektroniska kommunikationstjänster. Allmänt tillgängliga kommunikationstjänster via Internet öppnar nya möjligheter för användarna, men för även med sig nya risker för deras personuppgifter och integritet.
(7) När det gäller allmänna kommunikationsnät bör särskilda rättsliga och tekniska bestämmelser antas för att skydda fysiska personers grundläggande fri- och rättigheter samt juridiska personers berättigade intressen, särskilt med hänsyn till den ökade kapaciteten för automatisk lagring och behandling av uppgifter om abonnenter och användare.
...
(11) I likhet med direktiv [95/46/EG]( 6 ) omfattar det här direktivet inte sådana frågor om skydd av grundläggande fri- och rättigheter som rör verksamhet som inte regleras av [unionslagstiftningen]. Det ändrar därför inte den befintliga jämvikten mellan den enskildes rätt till integritet och medlemsstaternas möjligheter att vidta sådana åtgärder, enligt artikel 15.1 i det här direktivet, som krävs för att skydda allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när verksamheten rör statens säkerhet) och brottsbekämpning. Det här direktivet påverkar följaktligen inte medlemsstaternas möjlighet att utföra laglig avlyssning av elektronisk kommunikation eller att vidta andra åtgärder om det är nödvändigt för något av dessa ändamål och sker i enlighet med Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna [som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen)] i den tolkning dessa fått i rättspraxis från Europeiska domstolen för de mänskliga rättigheterna [(nedan kallad Europadomstolen)]. Sådana åtgärder måste vara lämpliga, i strikt proportion till det avsedda ändamålet och nödvändiga i ett demokratiskt samhälle. De bör omfattas av lämpliga skyddsmekanismer i överensstämmelse med [Europakonventionen].
...
(14) Lokaliseringsuppgifter kan hänvisa till latituden, longituden eller altituden för användarens terminalutrustning, till meddelandets sändningsväg, till nivån på lokaliseringsuppgifternas korrekthet, till identifikation av den nätcell där terminalutrustningen finns vid en viss tidpunkt eller till den tid när lokaliseringsinformationen registrerades.
(15) En kommunikation kan innehålla alla slags uppgifter om namn, nummer eller adress från sändaren av en kommunikation eller användaren av en förbindelse för att genomföra kommunikationen. Trafikuppgifter kan innefatta varje omvandling av denna information via det nät genom vilket kommunikationen överförs i syfte att utföra överföringen. Trafikuppgifter kan bland annat utgöras av uppgifter om en kommunikations sändningsväg, varaktighet, tid eller volym, vilket protokoll som används, terminalutrustningens, sändarens eller mottagarens placering, det nät där kommunikationen börjar eller slutar samt en förbindelses början, slut eller varaktighet. De kan också bestå av det format i vilket kommunikationen överförs via nätet.
...
(20) Tjänsteleverantörer bör vidta lämpliga åtgärder för att säkerställa att deras tjänster är säkra, om nödvändigt tillsammans med den aktör som tillhandahåller nätet, och underrätta abonnenterna om alla särskilda risker till följd av brott mot nätsäkerheten. Sådana risker föreligger särskilt för elektroniska kommunikationstjänster över öppna nät som Internet eller analog mobiltelefoni. Det är framför allt viktigt att abonnenter och användare av sådana tjänster erhåller uttömmande information från tjänsteleverantören om existerande säkerhetsrisker som denne inte kan åtgärda. Tjänsteleverantörer som erbjuder allmänt tillgängliga elektroniska kommunikationstjänster via Internet bör informera användare och abonnenter om åtgärder som de kan vidta för att säkerställa säkerheten för sin kommunikation, t.ex. genom att använda särskilda typer av program eller krypteringsteknik. Kravet på att informera abonnenterna om särskilda säkerhetsrisker befriar inte en tjänsteleverantör från skyldigheten att på egen bekostnad vidta lämpliga och omedelbara åtgärder för att avhjälpa nya oförutsedda säkerhetsrisker och återställa tjänstens normala säkerhetsnivå. Tillhandahållandet av information om säkerhetsrisker till abonnenten bör vara gratis, förutom eventuella obetydliga kostnader som abonnenten kan åsamkas vid mottagning eller hämtning av informationen, till exempel vid nerladdning av ett e-postmeddelande. Säkerheten bedöms mot bakgrund av artikel 17 i direktiv [95/46].
...
(22) Förbudet mot lagring av kommunikationer och tillhörande trafikuppgifter av andra än användarna eller utan deras samtycke är inte avsett att förbjuda någon automatisk, mellanliggande och tillfällig lagring av denna information, i den mån lagringen enbart görs för att utföra överföringen i det elektroniska kommunikationsnätet och under förutsättning att informationen inte lagras längre än vad som är nödvändigt för överföringen och trafikstyrningen och att konfidentialiteten förblir garanterad under lagringsperioden ...
...
(26) De uppgifter om abonnenter som behandlas inom elektroniska kommunikationsnät i samband med uppkoppling och överföring av information innehåller upplysningar om fysiska personers privatliv och gäller rätten till skydd för deras korrespondens eller omsorgen om juridiska personers berättigade intressen. Sådana uppgifter får endast lagras i den utsträckning det är nödvändigt för att tillhandahålla tjänsten när det gäller fakturering och betalning av samtrafikavgifter, och endast under en begränsad tid. [Ytterligare behandling av sådana uppgifter får] endast ske om abonnenten givit sitt samtycke till detta efter att ha erhållit korrekt och uttömmande information av den berörda leverantören om vilka typer av ytterligare behandling som denne avser att företa och om abonnentens rätt att inte ge sitt samtycke eller att återkalla sitt samtycke till en sådan behandling. Trafikuppgifter som används för marknadsföring av kommunikationstjänster … bör också utplånas eller avidentifieras …
...
(29) Tjänsteleverantören får behandla trafikuppgifter som rör abonnenter och användare när det är nödvändigt i enskilda fall för att upptäcka tekniska brister eller fel vid överföringen av kommunikationer. Trafikuppgifter som är nödvändiga för fakturering får också behandlas av leverantören för att upptäcka eller stoppa bedrägerier som innebär obetald användning av den elektroniska kommunikationstjänsten.
(30) Systemen för tillhandahållande av elektroniska kommunikationsnät och elektroniska kommunikationstjänster bör utformas så att mängden nödvändiga personuppgifter begränsas till ett absolut minimum ...
...
(35) I digitala mobilnät behandlas lokaliseringsuppgifter som anger den geografiska positionen för mobilanvändarens terminalutrustning för att möjliggöra överföring av kommunikation. Sådana uppgifter är trafikuppgifter som omfattas av artikel 6 i detta direktiv. Digitala mobilnät kan emellertid också ha kapacitet att behandla lokaliseringsuppgifter som är mer exakta än vad som krävs för överföring av kommunikation och som används för tillhandahållande av mervärdestjänster, t.ex. individualiserad trafikinformation och vägledning åt förare. Behandlingen av sådana uppgifter för mervärdestjänster bör endast tillåtas om abonnenterna har givit sitt samtycke. Även i de fall då abonnenterna har givit sitt samtycke bör de enkelt och kostnadsfritt tillfälligt kunna hindra behandlingen av lokaliseringsuppgifter.
(36) Medlemsstaterna får begränsa användarnas och abonnenternas rätt till integritet avseende nummerpresentation när det är nödvändigt för att spåra okynnessamtal och avseende nummerpresentation och lokaliseringsuppgifter när det är nödvändigt att möjliggöra för larmtjänster att utföra sina uppgifter så effektivt som möjligt. Av denna anledning får medlemsstaterna anta särskilda bestämmelser för att möjliggöra för leverantörer av elektroniska kommunikationstjänster att tillåta nummerpresentation och lokaliseringsuppgifter utan föregående samtycke av berörda användare eller abonnenter.”
6. I artikel 1 (”Tillämpningsområde och syfte”) i direktiv 2002/58 föreskrivs följande i punkt 1:
”1. Genom detta direktiv möjliggörs en harmonisering av nationella bestämmelser för att säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, särskilt rätten till integritet och konfidentialitet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation, samt för att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom [unionen].”
7. I artikel 2 i direktiv 2002/58, med rubriken ”Definitioner”, anges följande:
”Om inte annat anges skall definitionerna i direktiv [95/46] och [Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv)]( 7 ) gälla i detta direktiv.
Dessutom skall följande definitioner gälla:
a) användare : en fysisk person som använder en allmänt tillgänglig elektronisk kommunikationstjänst för privat eller affärsmässigt bruk utan att nödvändigtvis ha abonnerat på denna tjänst.
b) trafikuppgifter : alla uppgifter som behandlas i syfte att överföra en kommunikation via ett elektroniskt kommunikationsnät eller för att fakturera den.
c) lokaliseringsuppgifter : alla uppgifter som behandlas i ett elektroniskt kommunikationsnät eller av en elektronisk kommunikationstjänst och som visar den geografiska positionen för terminalutrustningen för en användare av en allmänt tillgänglig elektronisk kommunikationstjänst.”
d) kommunikation : all information som utbyts eller överförs mellan ett begränsat antal parter genom en allmänt tillgänglig elektronisk kommunikationstjänst. Detta inbegriper inte information som överförs som del av en sändningstjänst för rundradio eller TV till allmänheten via ett elektroniskt kommunikationsnät utom i den mån informationen kan sättas i samband med den enskilde abonnenten eller användaren av informationen.
...”
8. I artikel 5 i direktiv 2002/58, med rubriken ”Konfidentialitet vid kommunikation”, föreskrivs följande:
”1. Medlemsstaterna skall genom nationell lagstiftning säkerställa konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. De skall särskilt förbjuda avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra metoder som innebär att kommunikationen och de därmed förbundna trafikuppgifterna kan fångas upp eller övervakas av andra personer än användarna utan de berörda användarnas samtycke, utom när de har laglig rätt att göra detta i enlighet med artikel 15.1. Denna punkt får inte förhindra teknisk lagring som är nödvändig för överföring av kommunikationen utan att det påverkar principen om konfidentialitet.
...
3. Medlemsstaterna ska se till att lagring av information eller tillgång till information som redan är lagrad i en abonnents eller användares terminalutrustning endast är tillåten på villkor att abonnenten eller användaren i fråga har gett sitt samtycke efter att ha fått tillgång till tydlig och fullständig information, i enlighet med direktiv [95/46], bland annat om ändamålen med behandlingen av uppgifterna. Detta får inte förhindra någon teknisk lagring eller åtkomst som endast sker för att utföra överföringen av en kommunikation via ett elektroniskt kommunikationsnät eller det som är absolut nödvändigt för att leverantören ska kunna tillhandahålla en av informationssamhällets tjänster som användaren eller abonnenten uttryckligen har begärt.”
9. I artikel 6 i direktiv 2002/58, med rubriken ”Trafikuppgifter”, föreskrivs följande:
”1. Trafikuppgifter om abonnenter och användare som behandlas och lagras av leverantören av ett allmänt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst skall utplånas eller avidentifieras när de inte längre behövs för sitt syfte att överföra en kommunikation, utan att det påverkar tillämpningen av punkterna 2, 3 och 5 i den här artikeln samt artikel 15.1.
2. Trafikuppgifter som krävs för abonnentfakturering och betalning av samtrafikavgifter får behandlas. Sådan behandling är tillåten endast fram till utgången av den period under vilken det lagligen går att göra invändningar mot fakturan eller kräva betalning.
3. I syfte att saluföra elektroniska kommunikationstjänster eller i syfte att tillhandahålla mervärdestjänster får en leverantör av en allmänt tillgänglig elektronisk kommunikationstjänst behandla de uppgifter som avses i punkt 1 i den utsträckning och under den tidsperiod som är nödvändig för sådana tjänster eller sådan marknadsföring, om den abonnent eller användare som uppgifterna gäller har samtyckt till detta. Användare eller abonnenter skall ha möjlighet att när som helst dra tillbaka sitt samtycke till behandling av trafikuppgifter.
...
5. Behandlingen av trafikuppgifter skall, i enlighet med punkterna 1, 2, 3 och 4, begränsas till sådana personer som av leverantören av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster getts i uppdrag att sköta fakturering, trafikstyrning, kundförfrågningar, spårning av bedrägerier, marknadsföring av elektroniska kommunikationstjänster eller tillhandahållande av en mervärdestjänst, och behandlingen skall begränsas till sådant som är nödvändigt för dessa verksamheter.
…”
10. Artikel 9 i direktiv 2002/58 har rubriken ”Andra lokaliseringsuppgifter än trafikuppgifter”, och där föreskrivs följande i punkt 1:
”Om andra lokaliseringsuppgifter än trafikuppgifter som rör användare eller abonnenter av allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster kan behandlas, får dessa uppgifter endast behandlas sedan de har avidentifierats eller om användarna eller abonnenterna givit sitt samtycke, i den utsträckning och för den tid som krävs för tillhandahållandet av en mervärdestjänst. Innan användaren eller abonnenten ger sitt samtycke skall tjänsteleverantören informera denne om vilken typ av andra lokaliseringsuppgifter än trafikuppgifter som kommer att behandlas, behandlingens syfte och varaktighet samt om uppgifterna kommer att vidarebefordras till tredje part för tillhandahållande av mervärdestjänsten. ...”
11. Artikel 15 i direktivet, med rubriken ”Tillämpningen av vissa bestämmelser i direktiv [95/46]”, har följande lydelse:
”1. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de rättigheter och skyldigheter som anges i artikel 5, artikel 6, artikel 8.1, 8.2, 8.3 och 8.4 och artikel 9 i detta direktiv när en sådan begränsning i ett demokratiskt samhälle är nödvändig, lämplig och proportionell för att skydda nationell säkerhet (dvs. statens säkerhet), försvaret och allmän säkerhet samt för förebyggande, undersökning, avslöjande av och åtal för brott eller vid obehörig användning av ett elektroniskt kommunikationssystem enligt artikel 13.1 i direktiv [95/46/EG. Medlemsstaterna får för detta ändamål bland annat vidta lagstiftningsåtgärder som innebär att uppgifter får bevaras under en begränsad period som motiveras av de skäl som fastställs i denna punkt. Alla åtgärder som avses i denna punkt skall vara i enlighet med de allmänna principerna i [unionsrätten], inklusive principerna i artikel 6.1 och 6.2 [FEU].
...
2. Bestämmelserna om rättslig prövning, ansvar och sanktioner i kapitel III i direktiv [95/46] skall gälla för de nationella bestämmelser som antas i enlighet med det här direktivet och för de individuella rättigheter som kan härledas från det här direktivet.
...”
B. Belgisk rätt
12. Genom lagen av den 20 juli 2022 ändrades bland annat loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges (lagen av den 17 januari 2003 om ställningen som regleringsmyndighet för belgisk post och telekommunikation) (nedan kallad lagen av den 17 januari 2003) och loi du 13 juin 2005 relative aux communications électroniques (lagen av den 13 juni 2005 om elektronisk kommunikation) (nedan kallad lagen av den 13 juni 2005).
1. Lagen av den 17 januari 2003
13. I artikel 25/1 i lagen av den 17 januari 2003, i dess lydelse enligt artikel 24 i lagen av den 20 juli 2022, föreskrivs följande:
”§ 1. I syfte att undersöka, fastställa eller väcka åtal för ett brott enligt artikel 145.3 eller 145.3bis i [lagen av den 13 juni 2005] eller enligt artikel 24.1 punkt 2, får en brottsutredare vid [Institut belge des services postaux et des télécommunications (belgiska institutet för post- och teletjänster) (nedan kallat IBTP)] skriftligen:
1° kräva att en operatör efterkommer en begäran om identifieringsuppgifter som är nödvändig för dessa ändamål,
2° begära samarbete med personer och institutioner som avses i artikel 46c.1 i Code d’instruction criminelle (förundersökningslagen) och sammanslutningar som företräder dem på grundval av en specifik på internetbetalningsreferens för en elektronisk kommunikationstjänst vilken tidigare har lämnats ut av en operatör i enlighet med punkt 1, för att identifiera den person som har betalat för den tjänsten,
3° begära samarbete med slutna mottagningsenheter eller inkvarteringsplatser i den mening som avses i artiklarna 74/8 och 74/9 i loi du 15 décembre 1980 sur l’accès au territoire, le séjour, l’établissement et l’éloignement des étrangers [(lagen av den 15 december 1980 om utlänningars inresa, vistelse, etablering och avlägsnande)], där abonnenten har ingått en elektronisk kommunikationstjänst, på grundval av enhetens eller inkvarteringsplatsens uppgifter som tidigare har lämnats ut av en operatör i enlighet med punkt 1, för att identifiera abonnenten,
4° begära samarbete med varje annan juridisk person som är abonnent hos en operatör eller som skaffar sig en elektronisk kommunikationstjänst i en fysisk persons namn och för dennes räkning, på grundval av uppgifter som tidigare har lämnats ut av en operatör i enlighet med punkt 1, för att identifiera abonnenten eller den vanliga användaren av tjänsten.
En begäran som avses i punkt 1 får endast översändas till en sådan aktör som avses i punkt 1 efter skriftligt tillstånd från en sådan kriminalpolistjänsteman som avses i artikel 24.2. Ett sådant bemyndigande får endast beviljas efter en skriftlig och motiverad begäran till tjänstemannen i enlighet med punkt 5.
§ 2. För att kunna fullgöra sina uppgifter får en brottsutredare vid IBTP begära att en operatör skriftligen besvarar en begäran om metadata, som är nödvändiga för att undersöka, fastställa eller väcka åtal för ett brott enligt artikel 145.3 eller 145.3bis i [lagen av den 13 juni 2005] eller enligt artikel 24.1 punkt 2.
Utom i vederbörligen motiverade och brådskande fall får brottsutredande polismän vid IBPT framställa begäran till operatören först efter att ha ingett en skriftlig och motiverad begäran till undersökningsdomaren och efter att ha erhållit dennes skriftliga tillstånd.
I sådana vederbörligen motiverade och brådskande fall som avses i andra stycket ska brottsutredaren vid kommunikation, utan dröjsmål efter att ha framställt begäran till operatören, tillställa undersökningsdomaren en kopia av denna begäran, skälen till denna och en motivering till att ärendet ställer krav på skyndsamhet. En efterföljande kontroll ska utföras av undersökningsdomaren.
Om undersökningsdomaren efter denna efterföljande kontroll vägrar att bekräfta giltigheten av den begäran som brottsutredaren vid IBPT har framställt till operatören, ska denna tjänsteman underrätta den berörda operatören utan dröjsmål och radera de metadata som har mottagits.
§ 3. Genom undantag från punkterna 1 och 2 ska en operatör, för att kontrollera efterlevnaden av artiklarna 126, 126/1, 126/2, 126/3 eller 127 i [lagen av den 13 juni 2005] och deras tillämpningsbestämmelser och på skriftlig och motiverad begäran från en kriminalpolistjänsteman vid IBTP, inom den frist som anges i stämningsansökan ge tillgång till de databaser som genomför en av dessa artiklar eller tillämpningsbestämmelser.
En begäran som avses i punkt 1 får endast översändas till en operatör efter skriftligt tillstånd från en sådan kriminalpolistjänsteman vid IBTP som avses i artikel 24.2. Ett sådant bemyndigande får endast beviljas efter en skriftlig och motiverad begäran i enlighet med punkt 5.
Begäran till operatören ska innehålla namnen på de polistjänstemän vid IBTP som kan använda databasen.
Dessa tjänstemän får endast ta kopior av de uppgifter och handlingar som de fått tillgång till inom ramen för punkt 1 i syfte att fastställa att operatören har gjort sig skyldig till överträdelser.
§ 4. Vid tillämpningen av punkterna 1 och 2 ska de aktörer som avses i punkt 1 stycke 1, från vilka en kriminalpolistjänsteman vid IBTP har begärt uppgifter, överlämna dessa uppgifter till IBTP i realtid eller, i förekommande fall, vid den tidpunkt som anges i stämningsansökan.
Vid tillämpning av punkterna 1–3 ska var och en som genom sina arbetsuppgifter får kännedom om åtgärden eller bistår i denna ha tystnadsplikt. Varje brott mot sekretessen ska bestraffas enligt artikel 458 i strafflagen.
Den som vägrar att lämna ut uppgifter eller inte lämnar ut dem i realtid eller, i förekommande fall, vid den tidpunkt som anges i stämningsansökan, döms till böter på mellan 26 euro och 10 000 euro.
Den som vägrar att ge tillgång till databasen i enlighet med punkt 3 eller inte ger sådan tillgång inom den tidsfrist som anges i stämningsansökan ska dömas till böter på lägst 26 euro och högst 10 000 euro.
§ 5. Vid tillämpningen av punkterna 1–3 ska motiveringen till den begäran som riktas till den brottsutredande tjänsteman som avses i artikel 24.2, eller till utredningsdomaren utformas med hänsyn till omständigheterna i utredningen.
För tillämpningen av punkterna 1 och 2 ska följande anges i motiveringen:
1° sambandet mellan de begärda uppgifterna och syftet att undersöka, fastställa eller väcka åtal för det specifika brott som ligger till grund för begäran.
2° huruvida de uppgifter som begärs inom ramen för utredningen är absolut nödvändiga.
§ 6. IBPT:s kriminalpolistjänstemän ska föra register över följande:
1° samtliga begäranden som avses i punkterna 1, 2 och 3:
2° skälen till begäran och skälen till att ärendet är brådskande, som ska meddelas undersökningsdomaren i enlighet med punkt 2 tredje stycket,
3° de tillstånd som föreskrivs i punkterna 1, 2 och 3.”
2. Lagen av den 13 juni 2005
14. I artikel 2 i lagen av den 13 juni 2005, i dess lydelse enligt artikel 2 i lagen av den 20 juli 2022, föreskrivs följande:
”Vid tillämpningen av denna lag avses med:
...
5/5° bedrägeri: oredligt handlande i syfte att vilseleda genom att bryta mot lag, föreskrifter eller avtal och att genom användning av en elektronisk kommunikationstjänst erhålla eller ge någon annan en olaglig fördel som är till nackdel för operatören eller slutanvändaren.
5/6° otillbörlig användning av nätet eller tjänsten: användning av det elektroniska kommunikationsnätet eller den elektroniska kommunikationstjänsten för att skapa olägenhet för sin kontakt eller orsaka skada,
...
11° operatör: varje person som har lämnat in en anmälan i enlighet med artikel 9.
...”
15. I artikel 122 i denna lag, i dess lydelse enligt artikel 5 i lagen av den 20 juli 2022, föreskrivs följande:
”§ 1. Operatörerna ska radera trafikuppgifter om abonnenter eller slutanvändare från sina trafikuppgifter eller göra dessa uppgifter anonyma så snart de inte längre behövs för överföringen av kommunikationen.
...
§ 4. Med avvikelse från punkt 1 får operatören, för att kunna vidta lämpliga åtgärder enligt artikel 121/8.1, fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem, under förutsättning att operatörerna behandlar eller genererar sådana uppgifter i samband med tillhandahållandet av det nätet eller den tjänsten,
1° i samband med tillhandahållande av en interpersonell kommunikationstjänst och i fyra månader från kommunikationsdagen, lagra de av följande trafikuppgifter som är nödvändiga för dessa ändamål, nämligen
– identifieringsuppgift för kommunikationens ursprung,
– identifieringsuppgift för kommunikationens slutmål,
– exakta datum och klockslag för kommunikationens början och slut, och
– lokalisering av kommunikationsparternas terminalutrustning vid kommunikationens början och slut,
2° i tolv månader från kommunikationsdagen lagra trafikuppgifter om inkommande kommunikation i samband med tillhandahållande av interpersonella kommunikationstjänster för att identifiera kommunikationens avsändare, nämligen
– telefonnummer till den inkommande kommunikationens ursprung, eller
– den IP-adress som har använts för att skicka den inkommande kommunikationen, tidsstämpeln och den port som använts, och
– exakta datum och klockslag för den inkommande kommunikationens början och slut,
3° lagra de uppgifter som avses i led 1° och som avser ett specifikt bedrägeri eller en specifik otillbörlig användning av nätet som konstaterats föreligga så länge som är nödvändigt för att utreda och komma till rätta med sådana gärningar, vid behov under längre tid än den lagringstid på fyra månader som avses i punkt 1,
4° lagra de trafikuppgifter som avses i punkt 2 och som avser en specifik otillbörlig användning av nätet så länge som är nödvändigt för att hantera denna, vid behov under längre tid än den lagringstid på tolv månader som avses i punkt 2, och
5° behandla de trafikuppgifter som är nödvändiga för dessa ändamål, inbegripet, om så är nödvändigt, de uppgifter som avses i punkt 2.
Med avvikelse från punkt 1 får operatören, för att kunna vidta lämpliga åtgärder enligt artikel 121/8.1, fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem, lagra och behandla andra uppgifter än dem som avses i första stycket och som anses vara nödvändiga för dessa ändamål.
Konungen får, genom kungörelse som antas av regeringen och efter att yttrande inhämtats från IBPT och Autorité de protection des données [(dataskyddsmyndigheten, Belgien) (nedan kallad dataskyddsmyndigheten)], specificera och utöka de trafikuppgifter som ska anses vara nödvändiga att lagra för att uppnå de syften som anges i denna punkt.
Vid misstanke om bedrägeri eller otillbörlig användning får operatörerna till de behöriga myndigheterna översända alla de uppgifter som lagligen har lagrats om det misstänkta bedrägeriet eller den misstänkta otillbörliga användningen.”
§ 4/1. Med avvikelse från punkt 1 får operatörerna lagra och behandla trafikuppgifter som är nödvändiga för att säkerställa att deras elektroniska kommunikationsnät och kommunikationstjänster är säkra och fungerar väl och i synnerhet för att avslöja och analysera en handling som potentiellt eller faktiskt är till men för denna säkerhet, inbegripet för att ta reda på upprinnelsen till denna skadliga handling.
Operatörerna får lagra sådana uppgifter i tolv månader från och med kommunikationsdagen.
Operatörerna får lagra sådana uppgifter som avses i första stycket och som avser en specifik överträdelse av nätsäkerheten så länge som detta är nödvändigt för att hantera denna, vid behov under längre tid än den lagringstid på tolv månader som avses i andra stycket.
Om det föreligger en handling som är till men för säkerheten i operatörernas elektroniska kommunikationsnät och kommunikationstjänster, får operatörerna till de behöriga myndigheterna översända alla de uppgifter som lagligen har lagrats och som rör den handling som är till men för säkerheten i deras elektroniska kommunikationsnät och kommunikationstjänster.
§ 4/2. Genom undantag från punkt 1 ska operatörerna lagra och behandla de trafikuppgifter som är nödvändiga för att uppfylla en skyldighet enligt en formell lagbestämmelse, under den tid som krävs för detta ändamål.
§ 5. De uppgifter som förtecknas i denna artikel får endast behandlas av de personer som av operatören anförtrotts fakturering eller trafikstyrning, behandling av abonnentförfrågningar, bekämpning av bedrägerier eller otillbörlig användning av nätet, nätsäkerhet, fullgörande av rättsliga skyldigheter, marknadsföring av egna elektroniska kommunikationstjänster eller tillhandahållande av tjänster som använder trafik- eller lokaliseringsuppgifter, och av medlemmarna i den samordningsgrupp som avses i artikel 127/3.
...”
16. I artikel 123 i lagen av den 13 juni 2005, i dess lydelse enligt lagen av den 20 juli 2022, föreskrivs följande:
”§ 1. Utan att det påverkar tillämpningen av [förordning (EU) 2016/679]( 8 ) och lagen av den 30 juli 2018, får mobilnätsoperatörer lagra och behandla andra lokaliseringsuppgifter än trafikuppgifter som hänför sig till en abonnent eller slutanvändare endast
1° när detta är nödvändigt för nätets eller tjänstens goda funktion eller säkerhet, varvid uppgifterna ska lagras i högst tolv månader från och med kommunikationsdagen, såvida det inte föreligger en specifik överträdelse av nätsäkerheten som kräver att de aktuella uppgifterna lagras under längre tid än denna lagringstid,
2° när detta är nödvändigt för att avslöja eller analysera bedrägeri eller otillbörlig användning av nätet, varvid uppgifterna ska lagras i högst fyra månader från och med kommunikationsdagen, såvida det inte föreligger ett specifikt bedrägeri eller en specifik otillbörlig användning som kräver att de aktuella uppgifterna lagras under längre tid än denna lagringstid,
3° när uppgifterna har avidentifierats,
4° när behandlingen sker i samband med tillhandahållande av en tjänst där trafik-eller lokaliseringsuppgifter används,
5° när behandlingen är nödvändig för att fullgöra en skyldighet som följer av en formell lagbestämmelse.
...
§ 4. De uppgifter som avses i denna artikel får endast behandlas av personer som arbetar under överinseende av operatören eller den tredje part som tillhandahåller tjänsten och som använder trafik- eller lokaliseringsuppgifter, eller av operatörens samordningsgrupp enligt artikel 127/3.
Behandlingen ska begränsas till vad som är absolut nödvändigt för att kunna tillhandahålla den berörda tjänsten trafik- eller lokaliseringsuppgifter.
...”
III. Målet vid den nationella domstolen, tolkningsfrågorna och förfarandet vid EU-domstolen
17. De ideella föreningarna Académie Fiscale ASBL, Ordre des barreaux francophones et germanophone, Liga voor Mensenrechten VZW, Ligue des droits humains ASBL, den privata stiftelsen Ministry of Privacy samt UA, LV och JU väckte talan om lagprövning vid Cour constitutionnelle (Författningsdomstolen, Belgien) (nedan gemensamt kallade lagprövningssökandena) och yrkade i de fem målen att lagen av den 20 juli 2022 helt eller delvis skulle upphävas. Som skäl anförde de att denna lag strider mot artiklarna 10, 11, 12, 13, 15, 22, 23, 29 i den belgiska konstitutionen, jämförda med artiklarna 5, 6, 8, 9, 10, 11, 14, 18 och 7 i Europakonventionen, artiklarna 7, 8, 11, 47, 52.1 i stadgan, artikel 5.4 FEU, artikel 6 i direktiv 2002/58, direktiv (EU) 2016/680( 9 ) och dataskyddsförordningen.
18. Cour constitutionnelle (Författningsdomstolen) anser att det endast är lagprövningssökandenas invändningar avseende artiklarna 5, 6 och 24 i lagen av den 20 juli 2022 som ger upphov till tvivel, i den mening som avses i den rättspraxis som följer av domen av den 6 oktober 1982, Cilfit m.fl. (283/81, EU:C:1982:335), och domen av den 6 oktober 2021, Consorzio Italian Management och Catania Multiservizi (C-561/19, EU:C:2021:799), vad gäller tolkningen av artikel 15 i direktiv 2002/58.
19. Vad för det första gäller artikel 5 i lagen av den 20 juli 2022 har lagprövningssökandena bland annat gjort gällande att denna artikel ålägger leverantörer av elektroniska kommunikationstjänster en skyldighet att på ett generaliserat och odifferentierat sätt lagra trafik- och lokaliseringsuppgifter under långa eller obestämda perioder, utan att en sådan lagring är nödvändig och begränsad till vad som är strängt nödvändigt.
20. Det framgår av förarbetena att artikel 5.4 och 5.5 i lagen av den 20 juli 2022 syftar till att införliva bland annat artikel 15.1 i direktiv 2002/58. Den belgiska lagstiftaren har enligt den hänskjutande domstolen preciserat i dessa förarbeten att det inte var möjligt att redan från början föreskriva en ”reaktiv och riktad” lagring av uppgifter, på grund av de berörda nätens och tjänsternas själva struktur. Den belgiska lagstiftaren ansåg dessutom enligt den hänskjutande domstolen att den lagring av trafikuppgifter som föreskrivs i artikel 5.4 och 5.5 i lagen av den 20 juli 2022 är ”av intresse för slutanvändarna av operatörens tjänster” och syftar till att göra det möjligt för dem som har utsatts för bedrägeri eller otillbörlig användning av nätet att identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem. Vidare presenteras denna lagring i förarbetena som att den ”till sin natur vara knuten till tillhandahållande av elektroniska kommunikationstjänster” och möjliggöra en modernisering av lagen av den 13 juni 2005 med hänsyn till det allt viktigare målet att bekämpa bedrägerier och otillbörlig användning av nätet i unionsrätten (Doc. parl., Chambre, 2021–2022, DOC 55 2572/001, s. 26–29).
21. Enligt den hänskjutande domstolen ska det prövas huruvida ingreppet i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter i artikel 122.4 och 122.4/1 i lagen av den 13 juni 2005, i dess lydelse enligt artikel 5.4 och 5.5 i lagen av den 20 juli 2022, får oproportionerliga följder för de personer vars uppgifter berörs.
22. I artikel 122.4 i lagen av den 13 juni 2005 föreskrivs en skyldighet för operatörerna att lagra flera olika trafikuppgifter i syfte att ”vidta lämpliga åtgärder enligt artikel 121/8.1, göra det möjligt att fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem”, under förutsättning att operatörerna behandlar dessa uppgifter ”i samband med tillhandahållandet av det nätet eller den tjänsten”. De trafikuppgifter som ska lagras är ”identifieringsuppgift för kommunikationens ursprung”, ”identifieringsuppgift för kommunikationens slutmål”, ”exakta datum och klockslag för kommunikationens början och slut” och ”lokalisering av kommunikationsparternas terminalutrustning vid kommunikationens början och slut” (artikel 122.4 första stycket 1°). Det föreskrivs även att operatörerna ska lagra flera olika trafikuppgifter om inkommande kommunikation för att identifiera kommunikationens avsändare, nämligen ”telefonnummer till den inkommande kommunikationens ursprung”, ”den IP-adress som har använts för att skicka den inkommande kommunikationen, tidsstämpeln och den port som använts” samt ”exakta datum och klockslag för kommunikationens början och slut” (artikel 122.4 första stycket 2°).
23. Förteckningen över de uppgifter som räknas upp i artikel 122.4 första stycket i lagen av den 13 juni 2005 är dock inte uttömmande, eftersom andra stycket i bestämmelsen gör det möjligt för operatörerna att lagra och behandla andra uppgifter än dem som avses i punkt 1, vilka anses nödvändiga för att fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller för att identifiera dess upphovsman och ursprung. Denna möjlighet för operatörerna att lagra och behandla andra uppgifter än dem som avses i artikel 122.4 första stycket förutsätter inte att det inhämtas ett yttrande från IBPT eller från dataskyddsmyndigheten eller att det görs en anmälan till dessa myndigheter. Denna möjlighet motiveras inte i förarbetena till den angripna bestämmelsen.
24. Vidare anges följande i artikel 122.4 tredje stycket: ”Konungen får, genom kungörelse som antas av regeringen och efter att yttrande inhämtats från IBPT och dataskyddsmyndigheten, specificera och utöka de trafikuppgifter som ska anses vara nödvändiga att lagra för att uppnå de syften som anges i denna punkt”. I förarbetena till den bestämmelsen motiveras den befogenheten med att bedrägerier utvecklas avsevärt med tiden och att de uppgifter som lagras kan skilja sig åt beroende på den elektroniska kommunikationstjänstens art, operatörens storlek, de verktyg som denne har tillgång till och användarna av tjänsten.
25. Vad gäller lagringstiderna lagras de uppgifter som avses i artikel 122.4 första stycket 1° i lagen av den 13 juni 2005 i regel i fyra månader, medan de uppgifter som avses i artikel 122.4 första stycket 2° lagras i tolv månader. Dessa lagringstider skulle kunna förlängas. I detta avseende föreskriver artikel 122.4 första stycket 3° i lagen av den 13 juni 2005 att uppgifter av det slag som avses i artikel 122.4 första stycket 1°, och som avser ett konstaterat enskilt fall av bedrägeri eller otillbörlig användning av nätet, får lagras ”så länge som är nödvändigt för att utreda och komma till rätta med sådana gärningar, vid behov under längre tid än den lagringstid på fyra månader som avses i led 1°”. I artikel 122.4 4° preciseras vidare att uppgifter av det slag som avses i led 2°, och som avser konstaterat enskilt fall av bedrägeri eller otillbörlig användning av nätet, får lagras ”så länge som är nödvändigt för att hantera denna, vid behov under längre tid än den lagringstid på tolv månader som avses i led 2°”.
26. I artikel 122.4/1 i lagen av den 13 juni 2005 föreskrivs däremot en möjlighet för operatörer att lagra och behandla uppgifter ”som är nödvändiga för att säkerställa att deras elektroniska kommunikationsnät och kommunikationstjänster är säkra och fungerar väl och i synnerhet för att avslöja och analysera en handling som potentiellt eller faktiskt är till men för denna säkerhet, inbegripet för att ta reda på upprinnelsen till denna skadliga handling”. Denna möjlighet för operatörerna förutsätter inte heller att det har inhämtats ett yttrande från IBPT och från dataskyddsmyndigheten eller att en anmälan har gjorts till dessa myndigheter. De uppgifter som avses här kan enligt artikel 122.4/1 tredje stycket i princip lagras i tolv månader. Uppgifter om en ”specifik” överträdelse av nätsäkerheten får dock lagras ”så länge som är nödvändigt för att hantera denna, vid behov under längre tid än den lagringstid på tolv månader som avses i andra stycket”.
27. Den hänskjutande domstolen har dragit slutsatsen att det i artikel 122.4 i lagen av den 13 juni 2005 föreskrivs en generaliserad och systematisk lagring av de trafikuppgifter som avses i den artikeln och att skyldigheten att lagra uppgifter inte utgör undantag utan regel. Detta konstaterande gäller i än högre grad eftersom trafikuppgifter som har lagrats av operatörer och som har samband med misstänkt bedrägeri eller misstänkt otillbörlig användning enligt artikel 122.4 fjärde stycket i lagen av den 13 juni 2005 får överföras till de behöriga myndigheterna, bland annat rättsliga myndigheter, polismyndigheter och brottsutredande polismän vid IBPT, vilket innebär att lagring och behandling av uppgifter som operatörer utför med stöd av artikel 122.4 i lagen av den 13 juni 2005 kan leda till åtal.
28. När det gäller artikel 122.4/1 i lagen av den 13 juni 2005 påpekar den hänskjutande domstolen att det i nämnda bestämmelse inte anges vilka uppgifter som får lagras. Dessutom får uppgifter om en ”specifik” handling som är skadlig för säkerheten i nätet lagras ”under längre tid än den lagringstid på tolv månader som avses i andra stycket”, utan att det i ordalydelsen i artikel 122.4/1 i lagen av den 13 juni 2005 eller i förarbetena till lagen av den 20 juli 2022 preciseras vad som avses med en ”specifik skadlig handling”.
29. Den hänskjutande domstolen har påpekat att EU-domstolen ännu inte har uttalat sig om tolkningen av artikel 15 i direktiv 2002/58 när det är fråga om åtgärder för lagring av uppgifter avseende elektronisk kommunikation i syfte att förebygga, utreda, avslöja och lagföra otillåten användning av det elektroniska kommunikationssystemet. Parterna har dessutom olika uppfattningar om tolkningen av artikel 15.1 i direktiv 2002/58.
30. Vad därefter gäller artikel 6 i lagen av den 20 juli 2022 har den hänskjutande domstolen påpekat att sökandenas anmärkningar avser lagringen av andra lokaliseringsuppgifter än trafikuppgifter, vilka omfattas av artikel 15.1 i direktiv 2002/58 och som avses i artikel 123.1 punkterna 1, 2 och 5 i lagen av den 13 juni 2005, i dess lydelse enligt artikel 6 i lagen av den 20 juli 2022.
31. I artikel 123.1 i lagen av den 13 juni 2005 föreskrivs att de berörda operatörerna endast får lagra och behandla ovannämnda lokaliseringsuppgifter avseende en abonnent eller slutanvändare ”om detta är nödvändigt för nätets eller tjänstens goda funktion och säkerhet” (led 1° i artikel 123.1) och ”när detta är nödvändigt för att avslöja eller analysera bedrägeri eller otillbörlig användning av nätet” (led 2° i artikel 123.1). De uppgifter som avses i artikel 123.1 1° i lagen lagras som princip i tolv månader från dagen för utlämnandet och de uppgifter som avses i artikel 123.1 2° lagras som princip i fyra månader.
32. De fall som avses i artikel 123.1 1° och 2° i lagen av den 13 juni 2005 gör det möjligt att säkerställa förebyggande, undersökning, avslöjande och lagföring av obehörig användning av ett elektroniskt kommunikationssystem, i den mening som avses i artikel 15.1 i direktiv 2002/58.
33. Det ankommer på den hänskjutande domstolen att kontrollera huruvida det ingrepp som dessa bestämmelser medför i den grundläggande rätten till skydd för privatlivet och i rätten till skydd av personuppgifter i ett demokratiskt samhälle är en nödvändig, lämplig och proportionerlig åtgärd för att förhindra otillbörlig användning av ett elektroniskt kommunikationssystem. Den hänskjutande domstolen har i detta avseende påpekat att det ankommer på operatörerna att identifiera andra lokaliseringsuppgifter än de trafikuppgifter som de anser vara nödvändiga att lagra och behandla. De ska även, i varje enskilt fall, bedöma behovet av att lagra och behandla sådana uppgifter. Det föreskrivs vidare att tolvmånadersperioden kan förlängas om det ”föreligger en specifik överträdelse av nätsäkerheten som kräver att de aktuella uppgifterna lagras under längre tid än denna lagringstid” och att den ovannämnda fyramånadersperioden kan förlängas om det ”föreligger ett specifikt bedrägeri eller en specifik otillbörlig användning som kräver att de aktuella uppgifterna lagras under längre tid än denna lagringstid”. Slutligen ankommer det på aktörerna att besluta huruvida lagringstiden ska förlängas.
34. Av samma skäl som de som gör sig gällande beträffande artikel 5 i lagen av den 20 juli 2022 ger artikel 6 i denna lag upphov till tvivel om tolkningen av artikel 15.1 i direktiv 2002/58.
35. Vad slutligen gäller artikel 24 i lagen av den 20 juli 2022 har den hänskjutande domstolen påpekat att denna bestämmelse inför en artikel 25/1 i lagen av den 17 januari 2003 som reglerar tillgång till metadata för brottsutredande polismän vid IBPT. Lagprövningssökandenas invändningar om ogiltigförklaring av nämnda artikel 24 avser åsidosättande av den grundläggande rätten till respekt för privatlivet och skydd av personuppgifter, vilka garanteras i artikel 22 i den belgiska konstitutionen, artikel 8 i Europakonventionen, artiklarna 7, 8 och 52 i stadgan, direktiv 2002/58, direktiv 2016/680 och dataskyddsförordningen. Eftersom det i artikel 24 i lagen av den 20 juli 2022 hänvisas till artiklarna 5 och 6 i samma lag, beträffande vilka det finns anledning att ställa tolkningsfrågor till EU-domstolen, anser den hänskjutande domstolen att prövningen av anmärkningarna avseende artikel 24 ska vilandeförklaras i avvaktan på EU-domstolens svar på dessa tolkningsfrågor.
36. Mot denna bakgrund beslutade Cour constitutionnelle (Författningsdomstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:
1. Ska artikel 15.1 i [direktiv 2002/58/EG], jämförd med artiklarna 7, 8 och 52.1 i [stadgan], tolkas på så sätt
a) att den utgör hinder för en nationell lagstiftning som föreskriver en skyldighet för tillhandahållare av elektroniska kommunikationstjänster att lagra och behandla trafikuppgifter av i lagstiftningen angivet slag i samband med tillhandahållande av nätet eller tjänsten under en period på fyra eller tolv månader, beroende på omständigheterna, för att de ska vidta lämpliga, proportionerliga, förebyggande och avhjälpande åtgärder i syfte att förhindra bedrägerier och otillbörlig användning av deras nät och förhindra att slutanvändarna lider skada eller olägenhet, samt för att fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller för att kunna identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem,
b) att den utgör hinder för en nationell lagstiftning som innebär att dessa operatörer vid konstaterade enskilda fall av bedrägerier eller otillbörlig användning av nätet får lagra och behandla de berörda trafikuppgifterna under längre tid än ovannämnda lagringstider, så länge som är nödvändigt för att utreda och komma till rätta med sådana gärningar eller så länge som är nödvändigt för att hantera den otillbörliga användningen,
c) att den utgör hinder för en nationell lagstiftning som innebär att dessa operatörer har rätt att, utan behöva inhämta ett yttrande från eller underrätta en oberoende myndighet, lagra och behandla andra uppgifter än de i lagen angivna, för att kunna fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller för att kunna identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem, och
d) att den utgör hinder för en nationell lagstiftning som innebär att dessa operatörer har rätt att, utan behöva inhämta ett yttrande från yttrande eller underrätta en oberoende myndighet, under en period på tolv månader lagra och behandla trafikuppgifter som de anser är nödvändiga för att säkerställa att deras elektroniska kommunikationsnät och kommunikationstjänster är säkra och fungerar väl och i synnerhet för att avslöja och analysera en handling som potentiellt eller faktiskt är till men för denna säkerhet, inbegripet för att ta reda på upprinnelsen till denna skadliga handling och, om det föreligger en specifik överträdelse av nätsäkerheten, så länge som är nödvändigt för att hantera denna?
2. Ska artikel 15.1 i direktiv 2002/58/EG, jämförd med artiklarna 7, 8 och 52.1 i [stadgan], tolkas på så sätt
a) att den utgör hinder för en nationell lagstiftning som innebär att mobilnätsoperatörer får lagra och behandla lokaliseringsuppgifterna, utan att det i lagstiftningen preciseras vilka uppgifter som avses, i samband med tillhandahållandet av nätet eller tjänsten, under en period på fyra eller tolv månader, beroende på omständigheterna, om detta är nödvändigt för nätets eller tjänstens goda funktion och säkerhet eller för att avslöja eller analysera bedrägerier eller otillbörlig användning av nätet, och
b) att den utgör hinder för en nationell lagstiftning som innebär att dessa operatörer får lagra och behandla lokaliseringsuppgifter under längre tid än ovannämnda lagringstider vid konstaterade enskilda fall av skadegörande handlingar, bedrägeri eller otillbörlig användning?
3) Om Cour constitutionnelle, på grundval av svaren på den första eller den andra tolkningsfrågan, skulle komma fram till att vissa bestämmelser i lagen av den 20 juli 2022 ’om insamling och lagring av identifieringsuppgifter och metadata inom sektorn för elektronisk kommunikation och om tillhandahållande av sådana uppgifter till myndigheterna’ strider mot en eller flera skyldigheter enligt de bestämmelser som nämns i dessa frågor, skulle den då kunna besluta att verkningarna av ovannämnda bestämmelser i lagen av den 20 juli 2022 tills vidare ska bestå för att undvika rättsosäkerhet och möjliggöra att tidigare insamlade och lagrade uppgifter fortfarande kan användas för de mål som uppställs i lagen?”
37. Skriftliga yttranden har inkommit till EU-domstolen från Ligue des droits humains, den belgiska, den estniska, den irländska, den spanska och den finska regeringen samt Europeiska kommissionen. De yttrade sig även muntligen vid förhandlingen den 14 april 2026, vilket också Académie fiscale och den italienska regeringen gjorde.
IV. Bedömning
A. Inledande anmärkningar
38. EU-domstolen har vid flera tillfällen uttalat sig om frågan huruvida de nationella regleringarna om lagring av och tillgång till trafik- och lokaliseringsuppgifter är förenliga med artikel 15.1 i direktiv 2002/58, jämförd med artiklarna 7 och 8 i stadgan.
39. Trots detta får domstolen fortfarande regelbundet frågor om detta. Att nationella domstolar fortsätter att begära förhandsavgörande avseende tolkningen av dessa bestämmelser förklaras säkerligen av att de frågor som ställs till domstolen på detta område i högsta grad är kasuistiska. Det kan således inte bortses från att denna rättspraxis nyligen har utvecklats väsentligt, eftersom domstolen för första gången fått i uppgift att ta ställning till frågan om lagring av och tillgång till trafikuppgifter vad gäller upptäckt och lagföring av brott som uteslutande sker på internet. Det förefaller därför lämpligt att kort erinra om rättspraxis, särskilt dess senaste utveckling (se nedan under B).
40. Det återkommande behovet av förhandsavgöranden på detta område kan dock även vara ett tecken på att nationella domare möter svårigheter i sitt dagliga arbete när de ska bedöma huruvida nationella bestämmelser om lagring av och tillgång till trafik- och lokaliseringsuppgifter är förenliga med unionsrätten. Jag anser nämligen att EU-domstolens relevanta praxis, genom sin kasuistiska utveckling, är komplex eller till och med i vissa avseenden svårläst (se nedan under C).
41. Jag kommer därför att försöka systematisera EU-domstolens praxis avseende lagring av trafik- och lokaliseringsuppgifter (se nedan under D), innan jag mot bakgrund av dessa principer prövar de tolkningsfrågor som EU-domstolen nu har att ta ställning till (se nedan under E).
B. Rättspraxis avseende tolkningen av artikel 15.1 i direktiv 2002/58 vad gäller nationella regleringar om lagring av trafik- och lokaliseringsuppgifter
1. Undantaget i artikel 15.1 i direktiv 2002/58
42. I direktiv 2002/58 anges ett antal principer för hur tillhandahållare av elektroniska kommunikationstjänster ska lagra och behandla trafik- och lokaliseringsuppgifter.
43. För det första fastställs i artikel 5.1 i direktiv 2002/58 principen om konfidentialitet för såväl elektronisk kommunikation som därmed förbundna trafikuppgifter. Detta innebär bland annat ett principiellt förbud för andra personer än användarna att, utan användarnas samtycke, lagra sådan kommunikation och sådana uppgifter.( 10 )
44. Vidare föreskrivs i artikel 6.1 i direktiv 2002/58 att trafikuppgifter om abonnenter och användare ska utplånas och avidentifieras när de inte längre behövs för överföringen av en kommunikation.( 11 )
45. I artikel 9 i direktivet föreskrivs slutligen att andra lokaliseringsuppgifter än trafikuppgifter endast får behandlas på vissa villkor och efter att ha avidentifierats eller med användarnas eller abonnenternas samtycke.( 12 )
46. Genom att anta direktiv 2002/58 har unionslagstiftaren således konkretiserat de rättigheter som är stadfästa i artiklarna 7 och 8 i stadgan, vilket innebär att användarna av elektroniska kommunikationsmedel i princip har rätt att förvänta sig att deras kommunikationer och därmed förbundna uppgifter förblir anonyma och inte kan registreras, såvida de inte har samtyckt till detta. Direktivet reglerar således inte bara tillgången till sådana uppgifter genom garantier i syfte att förhindra missbruk utan innehåller även, i synnerhet, ett förbud mot att de lagras av tredje part.( 13 )
47. Enligt artikel 15.1 i direktiv 2002/58 får medlemsstaterna just vidta lagstiftningsåtgärder för att ”begränsa omfattningen” av de rättigheter och skyldigheter som föreskrivs i bland annat artiklarna 5, 6 och 9 i direktivet, såsom de som följer av principerna om konfidentialitet vid kommunikation och förbud mot lagring av därmed förbundna uppgifter.
48. I denna bestämmelse fastställs dessutom en förteckning över mål som kan motivera en begränsning av de rättigheter och skyldigheter som föreskrivs i bland annat artiklarna 5, 6 och 9 i direktiv 2002/58. Det kan således röra sig om att skydda nationell säkerhet, försvar och allmän säkerhet eller att säkerställa förebyggande, undersökning, avslöjande av och åtal för brott eller vid obehörig användning av det elektroniska kommunikationssystemet. Domstolen har slagit fast att uppräkningen av mål i artikel 15.1 första meningen i detta direktiv är uttömmande. En lagstiftningsåtgärd som har vidtagits med stöd av denna bestämmelse måste därför faktiskt och strikt avse ett av dessa mål.( 14 )
49. Artikel 15.1 i direktiv 2002/58 utgör således ett undantag från huvudregeln i dessa bestämmelser och ska således, i enlighet med fast rättspraxis, tolkas restriktivt.( 15 )
50. Därigenom återspeglar artikel 15.1 i direktiv 2002/58 även den omständigheten att de rättigheter som stadfästs i artiklarna 7, 8 och 11 i stadgan inte några absoluta rättigheter utan måste bedömas utifrån sin funktion i samhället. Såsom framgår av artikel 52.1 i stadgan är det nämligen enligt stadgan tillåtet att begränsa utövandet av dessa rättigheter, under förutsättning att begränsningarna föreskrivs i lag, att de är förenliga med det väsentliga innehållet i dessa rättigheter och att de, med beaktande av proportionalitetsprincipen, är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller mot behovet av skydd för andra människors rättigheter och friheter. En tolkning av artikel 15.1 i direktiv 2002/58, jämförd med stadgan, kräver således även att det tas hänsyn till den betydelse som målen att skydda nationell säkerhet och bekämpa grov brottslighet har genom att bidra till skyddet för andra människors rättigheter och friheter och betydelsen av de rättigheter som är stadfästa i artiklarna 3, 4, 6 och 7 i stadgan, av vilka kan följa positiva skyldigheter för myndigheterna.( 16 )
51. Domstolen har således konsekvent slagit fast att det mot bakgrund av dessa olika positiva skyldigheter ska göras en avvägning mellan de olika legitima intressen och rättigheter som är i fråga. Det föreskrivs i artikel 15.1 första meningen i direktiv 2002/58 att medlemsstaterna får vidta en åtgärd som avviker från principen om konfidentialitet när en sådan åtgärd är ”nödvändig, lämplig och proportionerlig … i ett demokratiskt samhälle”. I skäl 11 i direktivet anges att en åtgärd av detta slag ska vara i ”strikt” proportion till det avsedda ändamålet.( 17 )
2. Proportionalitet som en central del av bedömningen av en nationell reglering om lagring av uppgifter mot bakgrund av artikel 15.1 i direktiv 2002/58
52. Som jag angav i mitt andra förslag till avgörande i målet Quadrature du Net II är proportionalitetsprincipen således central vid bedömningen av en nationell reglering om lagring av trafik- och lokaliseringsuppgifter mot bakgrund av artikel 15.1 i direktiv 2002/58 och består av två delar.( 18 )
53. Domstolen har för det första slagit fast att för att kravet på proportionalitet ska vara uppfyllt måste det i lagstiftning föreskrivas klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt anges minimikrav, så att de personer vars personuppgifter berörs har tillräckliga garantier för att uppgifterna på ett effektivt sätt är skyddade mot riskerna för missbruk. Denna lagstiftning ska vara rättsligt bindande enligt nationell rätt och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd avseende behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strängt nödvändigt.( 19 ) Med andra ord ska det säkerställas att den aktuella ordningen uppfyller ett antal villkor som syftar till att begränsa omfattningen av det ingrepp som den innebär.
54. För det andra framgår det av fast praxis att medlemsstaternas möjlighet att motivera en begränsning av de rättigheter och skyldigheter som föreskrivs i bland annat artiklarna 5, 6 och 9 i direktiv 2002/58 ska bedömas med hänsyn till hur allvarligt det ingrepp är som en sådan begränsning medför. Det ska också kontrolleras att betydelsen av det mål av allmänt samhällsintresse som eftersträvas med denna begränsning står i proportion till hur allvarligt ingreppet är.( 20 ) Det är med andra ord fråga om att säkerställa att de eftersträvade målens betydelse motsvarar allvaret i det ingrepp som systemet för lagring av trafik- och lokaliseringsuppgifter medför. Enligt domstolen finns det nämligen en hierarki mellan dessa mål beroende på deras respektive betydelse,( 21 ) eftersom skyddet av den nationella säkerheten kan motivera större ingrepp i de grundläggande rättigheterna, där kampen mot brottslighet i allmänhet endast kan ligga till grund för mindre allvarliga ingrepp.
55. Det är på grundval av dessa principer som domstolen bland annat har slagit fast att en nationell reglering som föreskriver generaliserad och odifferentierad lagring av trafik- och lokaliseringsuppgifter endast kan motiveras av målet att skydda den nationella säkerheten,( 22 ) medan det är uteslutet att en sådan reglering kan motiveras av målet att bekämpa brottslighet i allmänhet.( 23 )
56. På samma sätt tillåter domstolen en möjlighet till riktad lagring av samma uppgifter, bland annat på grundval av ett geografiskt kriterium, för att uppnå målet att bekämpa grov brottslighet,( 24 ) och lagring av IP-adresser som tilldelats källan till en anslutning i syfte att uppnå samma mål.( 25 )
57. När det däremot gäller uppgifter om användarnas fysiska identitet kan dessa, på grund av den mindre grad av ingrepp i de grundläggande rättigheterna som lagringen av dem innebär, bli föremål för lagring i syfte att bekämpa brottslighet i allmänhet.( 26 )
58. Detta synsätt är även det som Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) har tillämpat. Vid prövningen av huruvida en nationell åtgärd som föreskriver lagring av vissa trafik- och lokaliseringsuppgifter eventuellt strider mot artikel 8 i Europakonventionen, anser Europadomstolen att denna åtgärds proportionalitet är en central del av bedömningen. Med hänsyn till hur allvarligt ingreppet i sökandenas utövande av sina rättigheter som omfattas av artikel 8 i Europakonventionen är,( 27 ) anser Europadomstolen att en nationell lagstiftning som föreskriver en generaliserad och odifferentierad lagring av kommunikationsuppgifter strider mot denna artikel, eftersom den inte är tillräcklig för att begränsa det ingrepp som den medför i rätten till respekt för privatlivet till vad som är nödvändigt i ett demokratiskt samhälle.( 28 )
3. Den senaste anpassningen av rättspraxis avseende tolkningen av artikel 15.1 i direktiv 2002/58 med avseende på brott som uteslutande begås på internet
59. Mer nyligen har domstolen gjort vissa preciseringar när det gäller proportionalitetsprövningen av en åtgärd för lagring av vissa trafik- och lokaliseringsuppgifter, när den syftar till att upptäcka och lagföra brott som uteslutande begåtts på internet.( 29 ) Domstolen har således anpassat sin tolkning av artikel 15.1 i direktiv 2002/58 i två avseenden.
60. För det första vidareutvecklade domstolen prövningen av allvaret i det ingrepp som en åtgärd för lagring av vissa trafik- och lokaliseringsuppgifter innebär – i det fallet IP-adresser som tilldelats källan till en anslutning. Domstolen anser att en lagstiftningsåtgärd enligt artikel 15.1 i direktiv 2002/58, som gör det möjligt att generellt och odifferentierat lagra ip-adresser, i förekommande fall, kan vara motiverad av ändamålet att bekämpa brott i allmänhet( 30 ) när det är uteslutet att lagringen kan medföra allvarliga ingrepp i den berörda personens privatliv till följd av att det är möjligt att dra precisa slutsatser om vederbörande, bland annat genom att ip-adresserna knyts till en uppsättning av trafik- eller lokaliseringsuppgifter som leverantörerna även lagrar.( 31 )
61. Domstolen har dessutom preciserat att en medlemsstat som avser att ålägga leverantörer av elektroniska kommunikationstjänster en sådan skyldighet måste försäkra sig om att dessa uppgifter lagras under sådana former att det är uteslutet att ip-adresserna kombineras med andra lagrade uppgifter som skulle göra det möjligt att dra precisa slutsatser om privatlivet för de personer vilkas uppgifter sålunda lagras.( 32 ) Medlemsstaten måste således föreskriva att lagringsformerna avser lagringens själva struktur, som i princip ska vara utformad så, att den garanterar att det råder helt vattentäta skott mellan de olika kategorierna av lagrade uppgifter.( 33 )
62. Domen La Quadrature du Net II utgör således en utveckling av tidigare rättspraxis avseende tolkningen av artikel 15.1 i direktiv 2002/58. Det har inte bara tydligt angetts att ingreppets allvar beror på vilka slutsatser som kan dras om privatlivet för de personer vars uppgifter lagras, utan domstolen medger dessutom att medlemsstaterna har möjlighet att, genom att föreskriva särskilda metoder för lagring av de aktuella uppgifterna, påverka ingreppets allvarlighetsgrad.( 34 )
63. För det andra erinrar domstolen om att när det gäller brott som begås på internet kan åtkomst till ip-adressen utgöra den enda utredningsmetod som gör det möjligt att identifiera den person som fått sig tilldelad denna adress vid den tidpunkt då brottet begicks.( 35 )
64. Enligt domstolen talar denna enda omständighet för att lagringen av relevanta uppgifter, när det gäller bekämpning av brott som begås på internet, är strängt nödvändig för att uppnå det eftersträvade målet och således uppfyller det proportionalitetskrav som uppställs i artikel 15.11 i direktiv 2002/58.( 36 ) Avsaknaden av lagring av (och efterföljande tillgång till) dessa uppgifter medför nämligen en risk för systemisk straffrihet för brott som begås på internet som inte kan ignoreras för att, inom ramen för en avvägning mellan de olika aktuella rättigheterna och intressena, bedöma huruvida ett ingrepp i de rättigheter som garanteras i artiklarna 7, 8 och 11 i stadgan är en åtgärd som står i proportion till målet att bekämpa brott.( 37 )
65. Därigenom förefaller domen La Quadrature du Net II leda till en viss uppmjukning av domstolens praxis avseende artikel 15.1 i direktiv 2002/58 eller åtminstone till en pragmatisk tillämpning av dess principer.
66. En samlad tolkning av denna dom visar dock, enligt min mening, på vissa begränsningar.
C. Fallgroparna i rättspraxis avseende tolkningen av artikel 15.1 i direktiv 2002/58 vad gäller nationella regleringar om lagring av trafik- och lokaliseringsuppgifter
67. Den omständigheten att en flexibel rättspraxis vad gäller lagring av uppgifter som är nödvändiga för att bekämpa brott som begås på internet i enlighet med artikel 15.1 i direktiv 2002/58 existerar parallellt med domstolens klassiska praxis avseende tolkningen av denna bestämmelse förefaller ge upphov till två begränsningar.
68. För det första vill jag, ur ett praktiskt perspektiv, påpeka att en jämförelse mellan domen La Quadrature du Net II och de tidigare domarna leder till ett krav på att leverantörer av elektroniska kommunikationstjänster ska öka antalet register för lagring av uppgifter, vilka måste uppfylla olika tekniska egenskaper, beroende på det mål som eftersträvas med lagringen.
69. Även om en sådan problematik redan före domen La Quadrature du Net II kunde föreligga på grund av de olika nationella regleringarna om lagring av uppgifter beroende på det eftersträvade målet, är nu den ännu mer övertygande.
70. Domstolens praxis kräver nämligen numera att medlemsstaterna, när de för att uppnå ett mål av mindre betydelse än försvaret av den nationella säkerheten kräver lagring av trafik- och lokaliseringsuppgifter som i princip gör det möjligt att dra precisa slutsatser om användarnas privatliv, föreskriver lagringsmetoder som säkerställer att de olika kategorierna av uppgifter lagras helt åtskilda.( 38 )
71. Enligt domstolens praxis ska dessa lagringsmetoder säkerställa att det på det tekniska planet säkerställs att de olika kategorierna av lagrade uppgifter är helt åtskilda med vattentäta skott genom ett säkert och tillförlitligt it-system .( 39 ) Vidare ska sammankopplingen av de olika uppgifter som lagras på detta sätt ske med hjälp av en effektiv teknisk process som inte äventyrar effektiviteten av den vattentäta åtskillnaden mellan dessa kategorier av uppgifter.( 40 ) Dessutom måste tillförlitligheten av denna uppdelning med vattentäta skott vara föremål för regelbunden kontroll av en annan myndighet än den myndighet som söker åtkomst till de personuppgifter som lagras av leverantörerna av elektroniska kommunikationstjänster.( 41 )
72. Lagringen av trafik- och lokaliseringsuppgifter som är nödvändiga för att upptäcka och lagföra brott som uteslutande begåtts på internet förutsätter således, för att ske i enlighet med artikel 15.1 i direktiv 2002/58, att leverantörer av elektroniska kommunikationstjänster gör ett antal tekniska anpassningar.
73. Något sådant krav finns dock inte vad gäller de trafik- och lokaliseringsuppgifter som lagras i syfte att hantera ett allvarligt hot mot den nationella säkerheten. I ett sådant fall kan dessa uppgifter lagras i ett enda register, vilket underlättar överlappningen mellan dem, utan att detta påverkar frågan huruvida en sådan mekanism är förenlig med artikel 15.1 i direktiv 2002/58.
74. Av detta följer att de krav som följer av domstolens praxis avseende tolkningen av denna bestämmelse enligt min mening leder till en ökning av antalet register för lagring av trafik- och lokaliseringsuppgifter, vilka dessutom har olika särdrag.
75. En sådan lösning medför enligt min mening en icke försumbar risk vad gäller säkerheten för trafik- och lokaliseringsuppgifter som ska lagras i ett register som säkerställer att de skiljs åt på ett sådant sätt att det inte går att dra några exakta slutsatser om användarnas liv. Eftersom samma uppgifter är föremål för två olika lagringsmetoder, kan det inte uteslutas att den minst säkra databasen används, åtminstone av en olyckshändelse, för att erhålla uppgifter utan att det föreligger ett allvarligt hot mot den nationella säkerheten.
76. Vidare anser jag, såsom Ligue des droits humains påpekade vid förhandlingen, att ett ökat antal register för lagring av identiska uppgifter även medför en risk för att domstolens senaste praxis inte genomförs på ett effektivt sätt. Eftersom samtliga trafik- och lokaliseringsuppgifter redan samlas in i ett enda register för att skydda den nationella säkerheten, finns det en icke försumbar sannolikhet för att leverantörer av elektroniska kommunikationstjänster i slutändan inte kommer att strukturera uppgifterna när de lagras för att uppnå andra mål som anges i artikel 15.1 i direktiv 2002/58.
77. För det andra ger en samlad tolkning av domstolens praxis avseende tolkningen av artikel 15.1 i direktiv 2002/58 mig anledning att ifrågasätta själva logiken i direktivet.
78. Det framgår nämligen tydligt av denna bestämmelse att allvaret i det ingrepp som lagringen av trafik- och lokaliseringsuppgifter innebär beror på de slutsatser som kan dras av dessa uppgifter om användarnas privatliv. Domstolen medger dessutom att ingreppet kan begränsas genom tekniska åtgärder som just syftar till att säkerställa att sådana slutsatser inte kan dras.
79. Enligt min mening framgår det av dessa omständigheter, som står i centrum för proportionalitetstestet i artikel 15.1 i direktiv 2002/58, att fastställandet av graden av ingrepp i de grundläggande rättigheterna i huvudsak beror på den efterföljande användningen av de aktuella uppgifterna.
80. Det är sant att domstolen konsekvent slagit fast att lagring av trafik- och lokaliseringsuppgifter utgör ett ingrepp i de grundläggande rättigheterna, oberoende av om de uppgifter som avser privatlivet är av känslig art eller ej eller om de berörda har fått utstå eventuella olägenheter på grund av ingreppet.( 42 ) Det är inte heller relevant huruvida de lagrade uppgifterna därefter används eller inte, eftersom åtkomsten till sådana uppgifter, oberoende av hur de senare används, utgör ett separat ingrepp i de grundläggande rättigheter som avses i föregående punkt.( 43 )
81. Det rör sig således inte här om att ifrågasätta tanken att enbart lagringen av trafik- och lokaliseringsuppgifter i sig utgör ett ingrepp i de grundläggande rättigheterna.
82. Jag anser dock att detta ingrepp framför allt beror på att dessa uppgifter kan användas för att dra slutsatser om användarnas privatliv. Domstolen har även påpekat att datalagringen endast sker för att i förekommande fall ge behöriga nationella myndigheter tillgång till uppgifterna.( 44 ) I avsaknad av lagring av trafik- och lokaliseringsuppgifter uppkommer nämligen inte frågan om det ingrepp som tillgången till dessa uppgifter medför.( 45 )
83. Med andra ord anser jag att lagring av trafik- och lokaliseringsuppgifter utgör ett ingrepp i de grundläggande rättigheterna, eftersom det är en nödvändig förutsättning för senare åtkomst, oavsett om denna åtkomst sker eller inte.
84. Därmed anser jag, i likhet med kommissionen, att en ordning med generaliserad och odifferentierad lagring av trafik- och lokaliseringsuppgifter i princip inte bör anses vara otillåten redan av det skälet att den inte syftar till att skydda den nationella säkerheten. Jag anser nämligen att det ingrepp i de grundläggande rättigheterna som en sådan ordning innebär kan anses vara proportionerlig under förutsättning att den omgärdas av krav på hur lagringen av sådana uppgifter ska vara strukturerad – av det slag som domstolen ställt upp i domen La Quadrature du Net II – och av strikta tidsgränser.
85. Detta gäller i än högre grad eftersom domstolens praxis, även före domen La Quadrature du Net II, förefaller ligga till grund för en sådan lösning. Genom att godta möjligheten att lagra uppgifter på grundval av ett geografiskt kriterium, av andra skäl än för att skydda den nationella säkerheten,( 46 ) har domstolen nämligen underförstått medgett att en generaliserad och odifferentierad lagring av uppgifter under vissa förutsättningar kan vara tillåten enligt artikel 15.1 i direktiv 2002/58.
86. Att medge att ett sådant system för lagring av trafik- och lokaliseringsuppgifter är förenligt med artikel 15.1 i direktiv 2002/58 kan däremot endast gå hand i hand med en betydande skärpning av villkoren för tillgång till dessa uppgifter, särskilt när sådan tillgång begärs i syfte att uppnå de mål som är av mindre betydelse i denna bestämmelses hierarki.
87. I synnerhet ska, på ett schematiskt sätt, tillgång till de lagrade uppgifterna vägras när detta motiveras av ett mindre viktigt mål i artikel 15.1 i direktiv 2002/58, trots att det ingrepp i de grundläggande rättigheterna som den innebär är mycket allvarligt. Med andra ord försvinner inte kravet på överensstämmelse mellan hur allvarligt ingreppet i de grundläggande rättigheterna är och betydelsen av det eftersträvade målet, utan det är koncentrerat till det skede då ingreppet i de grundläggande rättigheterna på grund av tillgången till de aktuella uppgifterna prövas.
88. En sådan lösning skulle enligt min mening för det första göra det möjligt att överbrygga risken för systemisk straffrihet för brott som uteslutande begås på internet eller vars förövande eller förberedelse underlättas av särdragen på internet. Den garanterar nämligen att det finns uppgifter som är nödvändiga för att dessa brott ska kunna lagföras, trots att utvecklingen och den ständigt ökande betydelsen av internet samtidigt leder till att it-brott blir allt vanligare.( 47 )
89. Vidare säkerställer denna lösning, tillsammans med en skärpning av villkoren för tillgång till relevanta uppgifter, samtidigt en begränsning av det ingrepp i de grundläggande rättigheterna som en sådan lagring innebär.
90. Slutligen förhindrar denna lösning en ökning av antalet tekniker för lagring av dessa uppgifter, vilket därmed även gör det möjligt att förhindra att domstolens praxis kringgås – avsiktligt eller oavsiktligt – i medlemsstaterna genom att man ger tillgång till uppgifter som lagrats i ett allmänt ostrukturerat register till skydd av nationell säkerhet av skäl som saknar samband med detta skyddsändamål eller genom att leverantörerna av elektroniska kommunikationstjänster inte genomför denna praxis på ett effektivt sätt.
91. Jag anser därför att det är möjligt, och till och med önskvärt, att utvidga den lösning som domstolen utvecklade i domen La Quadrature du Net II till att omfatta samtliga nationella regleringar om lagring av trafik- och lokaliseringsuppgifter som antagits med stöd av artikel 15.1 i direktiv 2002/58.( 48 )
D. Ett förslag till systematisering
92. Artikel 15.1 i direktiv 2002/58 ska således tolkas på så sätt att den inte utgör hinder för en nationell lagstiftning som syftar till att uppnå i bestämmelsen angivna mål, och för detta ändamål föreskriver en generaliserad och odifferentierad lagring av trafik- och lokaliseringsuppgifter, förutsatt att denna lagstiftning föreskriver att uppgifterna ska lagras under förutsättningar och i tekniska former som säkerställer att det är uteslutet att lagringen gör det möjligt att dra precisa slutsatser om användarnas privatliv. Detta kan i synnerhet uppnås genom att leverantörer av elektroniska kommunikationstjänster åläggs en skyldighet att – under en tid som inte överstiger vad som är absolut nödvändigt – lagra olika kategorier av personuppgifter på ett sådant sätt att det garanteras att det råder helt vattentäta skott mellan de olika uppgiftskategorierna, vilket hindrar att de kan kombineras med varandra i lagringsskedet.
93. I en sådan lagstiftning måste det vidare föreskrivas klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt anges minimikrav, så att de personer vars personuppgifter berörs ges tillräckliga garantier som gör det möjligt att på ett effektivt sätt skydda deras personuppgifter. Denna lagstiftning ska vara rättsligt bindande enligt nationell rätt och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd för behandling av personuppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är absolut nödvändigt.
94. Det är på grundval av dessa principer som jag kommer att bedöma tolkningsfrågorna.
E. Prövning i sak
1. Den första tolkningsfrågan
95. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 15.1 i direktiv 2002/58, jämförd med artiklarna 7, 8 och 52.1 i stadgan, utgör hinder för en lagstiftning som
– föreskriver en skyldighet för tillhandahållare av elektroniska kommunikationstjänster att lagra och behandla trafikuppgifter av i lagstiftningen angivet slag under en period på fyra eller tolv månader, beroende på omständigheterna, för att de ska vidta lämpliga, proportionerliga, förebyggande och avhjälpande åtgärder i syfte att förhindra bedrägerier och otillbörlig användning av deras nät och förhindra att slutanvändarna lider skada eller olägenhet, samt för att fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller för att kunna identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem,
– ger tillhandahållare av elektroniska kommunikationstjänster rätt att, vid konstaterade enskilda fall av bedrägerier eller otillbörlig användning av nätet, lagra och behandla de berörda trafikuppgifterna under längre tid än ovannämnda lagringstider, så länge som är nödvändigt för att utreda och komma till rätta med sådana gärningar eller så länge som är nödvändigt för att hantera den otillbörliga användningen,
– ger tillhandahållare av elektroniska kommunikationstjänster rätt att, utan att behöva inhämta ett yttrande från eller underrätta en oberoende myndighet, lagra och behandla andra uppgifter än de i lagen angivna, för att kunna fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem, och
– ger tillhandahållare av elektroniska kommunikationstjänster rätt att, utan att behöva inhämta ett yttrande från eller underrätta en oberoende myndighet, under en period på tolv månader lagra och behandla trafikuppgifter som de anser är nödvändiga för att säkerställa att deras elektroniska kommunikationsnät och kommunikationstjänster är säkra och fungerar väl och i synnerhet för att avslöja och analysera en handling som potentiellt eller faktiskt är till men för denna säkerhet, inbegripet för att ta reda på upprinnelsen till denna skadliga handling och, om det föreligger en specifik överträdelse av nätsäkerheten, så länge som är nödvändigt för att hantera denna.
96. Den första tolkningsfrågan avser således artikel 122.4 och 122.4/1 i lagen av den 13 juni 2005. I denna bestämmelse föreskrivs både en skyldighet och en möjlighet för leverantörer av elektroniska kommunikationstjänster att lagra ett visst antal trafik- och lokaliseringsuppgifter i syfte att upptäcka eller identifiera den som gjort sig skyldig till bedrägeri eller otillbörlig användning av nätet eller tjänsten.
97. Den belgiska regeringen har hävdat att en sådan lagstiftning är motiverad av det mål som anges i artikel 15.1 i direktiv 2002/58, nämligen förebyggande, undersökning, avslöjande och lagföring av otillåten användning av systemet för elektronisk kommunikation, och att den dessutom är strikt proportionerlig i förhållande till detta mål.
98. Jag anser inte att så är fallet.
99. För det första vill jag påpeka att de uppgifter som avses i artikel 122.4 och 122.4/1 i lagen av den 13 juni 2005 avser en synnerligen stor mängd uppgifter. I denna bestämmelse berörs följande: identifieringsuppgift för kommunikationens ursprung och destination, exakta datum och klockslag för kommunikationen, lokalisering av kommunikationsparternas terminalutrustning, telefonnumret för den inkommande kommunikationens ursprung, den IP-adress som har använts för att skicka den inkommande kommunikationen, tidsstämpeln och den port som använts, exakta datum och klockslag för inkommande kommunikation samt alla uppgifter som är nödvändiga för att säkerställa att elektroniska kommunikationsnät och kommunikationstjänster är säkra och fungerar väl. De uppgifter som leverantörer av elektroniska kommunikationstjänster lagrar gör det möjligt att spåra och identifiera en kommunikationskälla, identifiera slutmålet för en kommunikation, identifiera en kommunikations datum, tidpunkt, varaktighet och typ och identifiera lokaliseringen av användarna.( 49 ) Det kan således inte förnekas att dessa uppgifter gör det möjligt att dra exakta slutsatser om användarnas privatliv.
100. Även om förekomsten av ett sådant ingrepp i de grundläggande rättigheterna, enligt min tolkning av domstolens praxis avseende artikel 15.1 i direktiv 2002/58, ändå kan motiveras med stöd av denna bestämmelse, är det endast under förutsättning att det i den aktuella lagstiftningen föreskrivs en exakt lagringsmetod för lagringen av dessa uppgifter på ett sådant sätt att det ingrepp som följer av lagringen av dessa uppgifter begränsas.
101. Det framgår dock inte på något sätt av den nationella lagstiftningen att dessa uppgifter lagras på villkor och på ett tekniskt sätt som säkerställer att det är uteslutet att så kan vara fallet. Det föreskrivs nämligen inte på något sätt hur de aktuella uppgifterna ska lagras på ett sådant sätt att det säkerställs att dessa olika kategorier av uppgifter faktiskt skiljs åt på ett sådant sätt att det vid lagringen förhindras att dessa olika kategorier av uppgifter används samtidigt.
102. Det ingrepp som lagringen av de uppgifter som avses i artikel 122.4 och 4/1 i lagen av den 13 juni 2005 innebär är således enligt min mening inte proportionerligt i förhållande till det eftersträvade målet.
103. Det ska under alla omständigheter påpekas att den lagstiftning som är aktuell i det nationella målet enligt min mening kännetecknas av en stor osäkerhet både vad gäller vilka uppgifter som faktiskt lagras av leverantörer av elektroniska kommunikationstjänster och hur länge lagringen kommer att pågå.
104. För det första konstaterar jag nämligen att artikel 122.4/1 i lagen av den 13 juni 2005, utöver de uppgifter som uttryckligen anges, tillåter leverantörer av elektroniska kommunikationstjänster att lagra trafikuppgifter ”som är nödvändiga för att säkerställa att deras elektroniska kommunikationsnät och kommunikationstjänster är säkra och fungerar väl”, och att den även föreskriver att de uttryckligen angivna uppgifterna kan kompletteras genom kungörelse av konungen.
105. För det andra ger artikel 122.4 och 4/1 i lagen av den 13 juni 2005 även leverantörer av elektroniska kommunikationstjänster rätt att lagra de aktuella uppgifterna under den tid som är nödvändig för att behandla ett identifierat bedrägeri eller missbruk av nätet, utöver den period som uttryckligen föreskrivs av lagstiftaren.
106. När de gör detta ankommer det i slutändan på leverantörerna av elektroniska kommunikationstjänster att besluta huruvida de ska lagra uppgifter och att fastställa omfattningen av de berörda uppgifterna och lagringstiden.
107. I avsaknad av klara och precisa bestämmelser om såväl omfattningen av de lagrade uppgifterna som lagringens varaktighet, vilket ger möjlighet till lagring som inte är begränsad på initiativ av leverantörer av elektroniska kommunikationstjänster, kan den nationella lagstiftning som är aktuell i det nationella målet inte anses stå i proportion till det eftersträvade målet.
108. På samma sätt anser jag att en sådan lagstiftning uppenbart strider mot kravet på att varje begränsning i utövandet av de grundläggande rättigheterna ska vara föreskriven i lag, vilket innebär att den rättsliga grund som tillåter ingreppet i dessa rättigheter i sig måste definiera räckvidden av begränsningen i utövandet av den berörda rättigheten.( 50 )
109. Jag anser därför att artikel 15.1 i direktiv 2002/58, jämförd med artiklarna 7, 8 och 52 i stadgan, ska tolkas så, att den utgör hinder för en sådan nationell lagstiftning som den som den hänskjutande domstolen har hänvisat till i sin första tolkningsfråga.
2. Den andra tolkningsfrågan
110. Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 15.1 i direktiv 2002/58, jämförd med artiklarna 7, 8 och 52.1 i stadgan, utgör hinder för en lagstiftning som
– innebär att tillhandahållare av elektroniska kommunikationstjänster får lagra och behandla lokaliseringsuppgifterna, utan att det i lagstiftningen preciseras vilka uppgifter som avses, i samband med tillhandahållandet av nätet eller tjänsten, under en period på fyra eller tolv månader, beroende på omständigheterna, om detta är nödvändigt för nätets eller tjänstens goda funktion och säkerhet eller för att avslöja eller analysera bedrägerier eller otillbörlig användning av nätet, och
– gör det möjligt för leverantörer av elektroniska kommunikationstjänster att lagra och behandla lokaliseringsuppgifter utöver ovannämnda tidsfrister, i händelse av specifikt intrång, specifikt bedrägeri eller specifik skadlig användning.
111. Den andra frågan avser således artikel 123 i lagen av den 13 juli 2005, i vilken det föreskrivs en skyldighet för leverantörer av elektroniska kommunikationstjänster att lagra lokaliseringsuppgifter under en period på fyra eller tolv månader, beroende på omständigheterna, och möjligheten att förlänga dessa lagringsperioder.
112. Frågan gäller lagring av andra lokaliseringsuppgifter än trafikuppgifter. Såsom anges i skäl 35 i direktiv 2002/58 ska det erinras om att lokaliseringsuppgifter som anger det geografiska läget för mobilanvändarens terminalutrustning är trafikuppgifter som omfattas av artikel 6 i detta direktiv när de behandlas för att möjliggöra överföring av kommunikation. Digitala mobilnät kan dock också ha kapacitet att behandla lokaliseringsuppgifter som är mer exakta än vad som krävs för överföring av kommunikation och som används för tillhandahållande av mervärdestjänster, exempelvis individualiserad trafikinformation och vägledning åt förare. Denna typ av uppgifter omfattas av artikel 9 i direktiv 2002/58, i vilken det föreskrivs att sådana uppgifter endast får behandlas anonymt eller med användarnas eller abonnenternas samtycke.( 51 )
113. Eftersom den nationella lagstiftning som är aktuell i det nationella målet begränsar omfattningen av de rättigheter och skyldigheter som föreskrivs i denna bestämmelse, måste den uppfylla kraven i artikel 15.1 i direktiv 2002/58, såsom den tolkats i domstolens praxis.
114. Det ska påpekas att den lagstiftning som är föremål för den andra tolkningsfrågan enligt min mening har samma kännetecken som den som avses i den första frågan och som har föranlett mig att anse att den strider mot artikel 15.1 i direktiv 2002/58.
115. För det första föreskrivs det nämligen inte något krav på att uppgifterna ska struktureras och för det andra är den inte tillräckligt precis vad gäller såväl de lagrade uppgifterna som lagringstiden, eftersom dessa två omständigheter överlåts åt leverantörerna av elektroniska kommunikationstjänster att själva bestämma.
116. Av samma skäl som angavs i mitt svar på den första frågan,( 52 ) anser jag därför att artikel 15.1 i direktiv 2002/58, jämförd med artiklarna 7, 8 och 52.1 i stadgan, ska tolkas så, att den utgör hinder för en sådan nationell lagstiftning som den som den hänskjutande domstolen har hänvisat till i sin andra tolkningsfråga.
3. Den tredje tolkningsfrågan
117. Den hänskjutande domstolen har ställt den tredje frågan för att få klarhet i huruvida den, för det fall de två första tolkningsfrågorna besvaras jakande, får förordna att verkningarna av de bestämmelser i lagen av den 20 juli 2022 som är oförenliga med unionsrätten tillfälligt ska bestå, för att undvika rättsosäkerhet och för att möjliggöra att de uppgifter som tidigare samlats in och lagrats kan användas i enlighet med de mål som eftersträvas med lagen.
118. Det ska i detta hänseende erinras om att EU-domstolen besvarat en liknande fråga nekande, bland annat i domen La Quadrature du Net I.( 53 ) Det saknas enligt min mening skäl att dra någon annan slutsats.
119. Domstolen har härvidlag erinrat om att principen om unionsrättens företräde innebär att unionsrätten har företräde framför medlemsstaternas nationella rätt och ålägger samtliga myndigheter i medlemsstaterna att säkerställa unionsbestämmelsernas fulla verkan, och att medlemsstaternas lagstiftning inte kan påverka verkan av de unionsrättsliga bestämmelserna inom medlemsstaterna.( 54 ) Av denna princip följer att för det fall det inte är möjligt att tolka nationell rätt i enlighet med kraven i unionsrätten, är den nationella domstol som inom ramen för sin behörighet ska tillämpa unionsbestämmelser skyldig att säkerställa att dessa bestämmelser ges full verkan genom att, med stöd av sin egen behörighet, vid behov, underlåta att tillämpa nationell lagstiftning som strider mot unionsbestämmelserna, även senare sådan, utan att vare sig begära eller avvakta ett föregående upphävande av denna genom ett lagstiftningsförfarande eller annat konstitutionellt förfarande.( 55 )
120. Det är endast EU-domstolen som, undantagsvis och av tvingande rättssäkerhetshänsyn, får förordna om ett tillfälligt uppskjutande av en unionsbestämmelses undanträngningsverkan i förhållande till nationell rätt som strider mot den förstnämnda bestämmelsen. Det får endast förordnas om en sådan begränsning i tiden av verkningarna av domstolens tolkning av unionsrätten i den dom varigenom den begärda tolkningen meddelas. Om de nationella domstolarna hade kunnat ge nationella bestämmelser som strider mot unionsrätten, ens tillfälligt, företräde, skulle det äventyra unionsrättens företräde och den enhetliga tillämpningen av unionsrätten.( 56 )
121. Det framgår dessutom av fast rättspraxis att den tolkning som domstolen gör av en unionsrättslig regel, vid utövandet av sin behörighet enligt artikel 267 FEUF, klargör och preciserar innebörden av och tillämpningsområdet för denna regel, såsom den ska eller skulle ha tolkats och tillämpats från och med ikraftträdandet. Av detta följer att den på detta sätt tolkade bestämmelsen kan och ska tillämpas av nationella domstolar även på rättsförhållanden som har uppstått och etablerats före den dom som meddelas avseende begäran om tolkning, om villkoren för att föra talan angående tillämpningen av nämnda bestämmelse vid de behöriga domstolarna är uppfyllda.( 57 )
122. Det ska i detta hänseende även preciseras att domstolen inte angav någon begränsning i tiden av rättsverkningarna av den tolkning den gjorde i domen Tele2 Sverige och Watson m.fl.,( 58 ) domen La Quadrature du Net I och domen Commissioner of An Garda Síochána m.fl.,( 59 ) vilket innebär att en sådan begränsning inte heller kan anges i en senare dom från domstolen.
123. Under dessa omständigheter anser jag att den tredje tolkningsfrågan ska besvaras så, att unionsrätten utgör hinder för att en nationell domstol tillämpar en tvingande bestämmelse i nationell rätt om begränsning av en ogiltighetsförklarings verkningar i tiden på en nationell lagstiftning som i strid med artikel 15.1 i direktiv 2002/58, jämförd med artiklarna 7, 8 och 11 samt artikel 52.1 i stadgan om de grundläggande rättigheterna, ålägger leverantörer av elektroniska kommunikationstjänster en generaliserad och odifferentierad skyldighet att lagra trafik- och lokaliseringsuppgifter.
V. Förslag till avgörande
124. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen besvarar de frågor som ställts av Cour constitutionnelle (Författningsdomstolen, Belgien) enligt följande:
1) Artikel 15.1 i Europaparlamentets och rådets direktiv 2002/58 av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009, jämförd med artiklarna 7, 8, 11 och 52.1 i Europeiska unionens stadga om de grundläggande rättigheterna,
ska tolkas på följande sätt:
Denna bestämmelse utgör hinder för en nationell lagstiftning
– som föreskriver en skyldighet för tillhandahållare av elektroniska kommunikationstjänster att lagra och behandla trafikuppgifter av i lagstiftningen angivet slag under en period på fyra eller tolv månader, beroende på omständigheterna, för att de ska vidta lämpliga, proportionerliga, förebyggande och avhjälpande åtgärder i syfte att förhindra bedrägerier och otillbörlig användning av deras nät och förhindra att slutanvändarna lider skada eller olägenhet, samt för att fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller för att kunna identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem,
– som innebär att dessa tillhandahållare av elektroniska kommunikationstjänster har rätt att, vid konstaterade enskilda fall av bedrägerier eller otillbörlig användning av nätet, lagra och behandla de berörda trafikuppgifterna under längre tid än ovannämnda lagringstider, så länge som är nödvändigt för att utreda och komma till rätta med sådana gärningar eller så länge som är nödvändigt för att hantera den otillbörliga användningen,
– som ger tillhandahållare av elektroniska kommunikationstjänster rätt att, utan att behöva inhämta ett yttrande från eller underrätta en oberoende myndighet, lagra och behandla andra uppgifter än de i lagen angivna för att kunna fastställa bedrägerier eller otillbörlig användning av nätet eller tjänsten eller identifiera vilka som ligger bakom sådana gärningar och ta reda på upprinnelsen till dem, och
– som ger tillhandahållare av elektroniska kommunikationstjänster rätt att, utan att behöva inhämta ett yttrande från eller underrätta en oberoende myndighet, under en period på tolv månader lagra och behandla trafikuppgifter som de anser är nödvändiga för att säkerställa att deras elektroniska kommunikationsnät och kommunikationstjänster är säkra och fungerar väl och i synnerhet för att avslöja och analysera en handling som potentiellt eller faktiskt är till men för denna säkerhet, inbegripet för att ta reda på upprinnelsen till denna skadliga handling och, om det föreligger en specifik överträdelse av nätsäkerheten, så länge som är nödvändigt för att hantera denna.
2) Artikel 15.1 i Europaparlamentets och rådets direktiv 2002/58 av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009, jämförd med artiklarna 7, 8, 11 och 52.1 i Europeiska unionens stadga om de grundläggande rättigheterna,
ska tolkas på följande sätt:
Denna bestämmelse utgör hinder för en nationell lagstiftning som
– ger tillhandahållare av elektroniska kommunikationstjänster rätt att lagra och behandla lokaliseringsuppgifter, utan att det i lagstiftningen preciseras vilka uppgifter som avses, i samband med tillhandahållandet av nätet eller tjänsten, under en period på fyra eller tolv månader, beroende på omständigheterna, om detta är nödvändigt för nätets eller tjänstens goda funktion och säkerhet eller för att avslöja eller analysera bedrägerier eller otillbörlig användning av nätet, och som
– ger leverantörer av elektroniska kommunikationstjänster rätt att lagra och behandla lokaliseringsuppgifter under längre tid än ovannämnda lagringstider i specifika fall av överträdelse av nätsäkerheten, bedrägeri eller otillbörlig användning av nätet.
3) Unionsrätten utgör hinder för att en nationell domstol tillämpar en tvingande bestämmelse i nationell rätt om begränsning av en ogiltighetsförklarings verkningar i tiden på en nationell lagstiftning som i strid med artikel 15.1 i direktiv 2002/58, jämförd med artiklarna 7, 8 och 11 samt artikel 52.1 i stadgan om de grundläggande rättigheterna, ålägger leverantörer av elektroniska kommunikationstjänster en generaliserad och odifferentierad skyldighet att lagra trafik- och lokaliseringsuppgifter.
1 Originalspråk: franska.
2 Dom nr 57/2021 av den 22 april 2021, ECLI:BE:GHCC:2021:AR.057.
3 Dom av den 6 oktober 2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 och C-520/18, EU:C:2020:791 (nedan kallad domen La Quadrature du Net I).
4 Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 (EUT L 337, 2009, s. 11) (nedan kallat direktiv 2002/58).
5 Dom av den 30 april 2024, La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång) C-470/21, EU:C:2024:370) (nedan kallad domen La Quadrature du Net II).
6 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).
7 EGT L 108, 2002, s. 33.
8 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
9 Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89).
10 Domen La Quadrature du Net I (punkt 107), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 35) och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 52).
11 Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl., (C-203/15 och C-698/15, EU:C:2016:970, punkt 86), domen La Quadrature du Net I (punkt 108), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 38) och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 55).
12 Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl., (C-203/15 och C-698/15, EU:C:2016:970, punkt 86), domen La Quadrature du Net I (punkt 108), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 38) och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 55).
13 Dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 39), och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 56).
14 Domen La Quadrature du Net I (punkt 112), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 41), dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 58), och domen La Quadrature du Net II (punkt 67),
15 Domen La Quadrature du Net I (punkterna 110 och 111), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 40) och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 57).
16 Domen La Quadrature du Net I (punkterna 120–122), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkterna 48 och 49) och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkterna 63 och 64).
17 Domen La Quadrature du Net I (punkterna 127–129), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkterna 50 och 51) och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkterna 65 och 66).
18 Förslag till avgörande av generaladvokaten Szpunar i målet La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång) (C-470/21, EU:C:2023:711, punkterna 42 och 43).
19 Domen La Quadrature du Net I (punkt 132).
20 Domen La Quadrature du Net I (punkt 131), dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 53) och dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 68).
21 Se även dom av den 20 september 2022, SpaceNet och Telekom Deutschland (C-793/19 och C-794/19, EU:C:2022:702, punkt 71).
22 Domen La Quadrature du Net I (punkt 168).
23 Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016:970, punkt 112).
24 Dom av den 8 april 2014, Digital Rights Ireland m.fl. (C-293/12 och C-594/12, EU:C:2014:238, punkt 59), dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016:970, punkt 108), och domen La Quadrature du Net I (punkt 168).
25 Domen La Quadrature du Net I (punkt 168).
26 Domen La Quadrature du Net I (punkt 168).
27 Europadomstolen, 28 maj 2024, Pietrzak och Bychawska-Siniardska m.fl. mot Polen, CE:ECHR:2024:0528JUD007203817, punkt 259.
28 Europadomstolen, 28 maj 2024, Pietrzak och Bychawska-Siniardska m.fl. mot Polen, CE:ECHR:2024:0528JUD007203817, punkt 264.
29 Domen La Quadrature du Net II.
30 Inte bara grov brottslighet, såsom slogs fast i domen La Quadrature du Net I.
31 Domen La Quadrature du Net II (punkt 83).
32 Domen La Quadrature du Net II (punkt 84).
33 Domen La Quadrature du Net II (punkt 85).
34 Domstolen har uppställt ett antal villkor som är ägnade att säkerställa en effektiv åtskillnad mellan de olika kategorierna av lagrade uppgifter. Se, för ett liknande resonemang, domen La Quadrature du Net II (punkterna 86–89). Se även punkt 71 i förevarande förslag till avgörande.
35 Domen La Quadrature du Net I (punkt 154) och domen La Quadrature du Net II (punkt 117).
36 Domen La Quadrature du Net II (punkt 118).
37 Se, för ett liknande resonemang, domen La Quadrature du Net II (punkt 119).
38 Domen La Quadrature du Net II (punkt 86).
39 Domen La Quadrature du Net II (punkt 87).
40 Domen La Quadrature du Net II (punkt 88).
41 Domen La Quadrature du Net II (punkt 89).
42 Domen La Quadrature du Net I (punkt 115) och domen La Quadrature du Net II (punkt 69).
43 Domen La Quadrature du Net I (punkt 116) och domen La Quadrature du Net II (punkt 69).
44 Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016:970, punkt 79).
45 Se, vad gäller behovet av att lagra trafik- och lokaliseringsuppgifter med tanke på efterföljande tillgång till uppgifterna, se Eurojust and Europol (2025), Common Challenges in Cybercrime – 2024 Review by Eurojust and Europol, Europeiska unionens publikationsbyrå, Luxemburg, 2025, s. 7.
46 Dom av den 8 april 2014, Digital Rights Ireland m.fl. (C-293/12 och C-594/12, EU:C:2014:238, punkt 59), dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016:970, punkt 108), och domen La Quadrature du Net I (punkt 168).
47 Se i detta avseende, gemensamt uttalande från de europeiska polischeferna i mars 2023 (länk till uttalandet: https://www.europol.europa.eu/cms/sites/default/files/documents/EDOC-%231384205-v1-Joint_Declaration_of_the_European_Police_Chiefs.PDF).
48 En sådan lösning förefaller mig dessutom vara i linje med Europadomstolens praxis som, genom att göra proportionaliteten av en åtgärd för lagring av uppgifter till kärnan i dess bedömning, just gör det möjligt att beakta eventuella skyddsåtgärder som införts för att begränsa det ingrepp som den innebär i användarnas rättigheter. Se, bland annat, angående behovet av att införa lämpliga skyddsåtgärder, Europadomstolen, 28 maj 2024, Pietrzak och Bychawska-Siniardska m.fl. mot Polen, CE:ECHR:2024:0528JUD007203817, punkterna 250 och 251.
49 Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016:970, punkt 98).
50 Dom av den 6 oktober 2020, Privacy International (C-623/17, EU:C:2020:790, punkt 65) och dom av den 21 juni 2022, Ligue des droits humains (C-817/19, EU:C:2022:491, punkt 114).
51 Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016:970, punkt 86).
52 Se särskilt punkt 99 och följande punkter i förevarande förslag till avgörande.
53 Punkterna 214–220.
54 Domen La Quadrature du Net I (punkt 214). Se även dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 118).
55 Dom av den 22 juni 2010, Melki och Abdeli (C-188/10 och C-189/10, EU:C:2010:363, punkt 43), domen La Quadrature du Net I (punkt 215), och dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 118).
56 Domen La Quadrature du Net I (punkterna 216 och 217) och dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 119).
57 Dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, punkt 125).
58 Dom av den 21 december 2016, Tele2 Sverige och Watson m.fl. (C-203/15 och C-698/15, EU:C:2016).
59 Dom av den 5 april 2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258).