HvJ EU, 08-04-2014, nr. C-293/12, nr. C-594/12

Blijkens artikel 1 en de punten 4, 5, 7 tot en met 11, 21 en 22 van de considerans van richtlijn 2006/24 heeft deze richtlijn voornamelijk tot doel een harmonisatie tot stand te brengen van de bepalingen op grond waarvan aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk bepaalde door hen gegenereerde of verwerkte gegevens moeten bewaren om te garanderen dat die gegevens beschikbaar zijn, teneinde de mogelijkheid te bieden ernstige criminaliteit, zoals georganiseerde misdaad en terrorisme, te voorkomen, te onderzoeken, op te sporen en te vervolgen, dit met inachtneming van de in de artikelen 7 en 8 van het Handvest neergelegde rechten.

De in artikel 3 van richtlijn 2006/24 bedoelde verplichting van aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk om de in artikel 5 van deze richtlijn genoemde gegevens te bewaren om ze in voorkomend geval ter beschikking te stellen van de bevoegde nationale autoriteiten roept vragen op betreffende de door artikel 7 van het Handvest geboden bescherming van het privéleven en communicaties, de door artikel 8 van dit Handvest geboden bescherming van persoonsgegevens en de eerbiediging van de door artikel 11 van het Handvest gewaarborgde vrijheid van meningsuiting.

Dienaangaande zij opgemerkt dat de aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk op grond van de artikelen 3 en 5 van richtlijn 2006/24 met name die gegevens moeten bewaren die nodig zijn om de bron en de bestemming van een communicatie te traceren en te identificeren, om de datum, het tijdstip en de duur van de communicatie en het type communicatie te bepalen, om de communicatieapparatuur van de gebruikers te identificeren en om de locatie van mobiele communicatieapparatuur te bepalen. Deze gegevens omvatten met name de naam en het adres van de abonnee of de geregistreerde gebruiker, het telefoonnummer van de oproeper en het opgeroepen nummer, alsook een IP-adres voor internetdiensten. Aan de hand van deze gegevens kan met name worden nagegaan met welke persoon en via welke weg een abonnee of geregistreerde gebruiker heeft gecommuniceerd, hoe lang de communicatie heeft geduurd en vanaf welke plaats zij heeft plaatsgevonden. Bovendien kan aan de hand van deze gegevens worden achterhaald hoe vaak de abonnee of de geregistreerde gebruiker gedurende een bepaalde periode met bepaalde personen heeft gecommuniceerd.

Uit deze gegevens, in hun geheel beschouwd, kunnen zeer precieze conclusies worden getrokken over het privéleven van de personen van wie de gegevens zijn bewaard, zoals hun dagelijkse gewoonten, hun permanente of tijdelijke verblijfplaats, hun dagelijkse of andere verplaatsingen, de activiteiten die zij uitoefenen, hun sociale relaties en de sociale kringen waarin zij verkeren.

Hoewel richtlijn 2006/24 niet het recht verleent om de inhoud van de communicatie en de met behulp van een elektronisch communicatienetwerk geraadpleegde informatie te bewaren, zoals blijkt uit de artikelen 1, lid 2, en 5, lid 2, ervan, is het dus niet uitgesloten dat de bewaring van de betrokken gegevens een invloed heeft op de wijze waarop abonnees of geregistreerde gebruikers de in deze richtlijn bedoelde communicatiemiddelen gebruiken en derhalve op de wijze waarop zij hun door artikel 11 van het Handvest gewaarborgde vrijheid van meningsuiting uitoefenen.

De bewaring van de gegevens met het oog op de eventuele raadpleging ervan door de bevoegde nationale autoriteiten, zoals bedoeld in richtlijn 2006/24, raakt rechtstreeks en specifiek het privéleven en dus de door artikel 7 van het Handvest gewaarborgde rechten. Een dergelijke bewaring van gegevens valt bovendien onder artikel 8 van dit Handvest omdat het gaat om een verwerking van persoonsgegevens in de zin van dit artikel. Zij moet bijgevolg noodzakelijkerwijs voldoen aan de uit dit artikel voortvloeiende vereisten inzake gegevensbescherming (arrest Volker und Markus Schecke en Eifert, C-92/09 en C-93/09, EU:C:2010:662, punt 47).

De prejudiciële verwijzingen in de onderhavige zaken werpen met name de principiële vraag op of de gegevens van abonnees en geregistreerde gebruikers al dan niet mogen worden bewaard, gelet op artikel 7 van het Handvest, maar zij hebben ook betrekking op de vraag of richtlijn 2006/24 voldoet aan de uit artikel 8 van het Handvest voortvloeiende vereisten inzake de bescherming van persoonsgegevens.

Gelet op het bovenstaande dient ter beantwoording van de tweede vraag, sub b tot en met d, in zaak C-293/12 en de eerste vraag in zaak C-594/12 de geldigheid van de richtlijn te worden getoetst aan de artikelen 7 en 8 van het Handvest.

Door te bepalen dat de in artikel 5, lid 1, van richtlijn 2006/24 genoemde gegevens moeten worden bewaard, en de bevoegde nationale autoriteiten de mogelijkheid te verlenen deze gegevens te raadplegen, wijkt deze richtlijn, zoals de advocaat-generaal met name in de punten 39 en 40 van zijn conclusie heeft opgemerkt, af van de regeling tot bescherming van het recht op eerbiediging van het privéleven bij de verwerking van persoonsgegevens in de sector van de elektronische communicatie, zoals deze is vastgesteld in de richtlijnen 95/46 en 2002/58, die bepaalden dat communicaties en verkeersgegevens vertrouwelijk zijn en dat deze gegevens moeten worden gewist of anoniem moeten worden gemaakt wanneer zij niet langer noodzakelijk zijn voor de transmissie van een communicatie, tenzij zij nodig zijn ten behoeve van de facturering, maar enkel zolang deze noodzaak bestaat.

Voor de vaststelling van een inmenging in het fundamentele recht op eerbiediging van de persoonlijke levenssfeer is het van weinig belang of de gegevens betreffende het privéleven al dan niet gevoelig zijn en of de betrokkenen door die inmenging enig nadeel hebben ondervonden (zie in die zin arrest Österreichischer Rundfunk e.a., C-465/00, C-138/01 en C-139/01, EU:C:2003:294, punt 75).

Hieruit volgt dat de door de artikelen 3 en 6 van richtlijn 2006/24 aan aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk opgelegde verplichting om gegevens betreffende het privéleven van een persoon en zijn communicaties, zoals die welke zijn bedoeld in artikel 5 van deze richtlijn, gedurende een bepaalde tijd te bewaren, op zich een inmenging vormt in de door artikel 7 van het Handvest gewaarborgde rechten.

Bovendien vormt de toegang van de bevoegde nationale autoriteiten tot de gegevens een aanvullende inmenging in dat fundamentele recht (zie met betrekking tot artikel 8 EVRM, arresten EHRM, Leander/Zweden, 26 maart 1987, reeks A nr. 116, § 48; Rotaru/Roemenië [Grote kamer], nr. 28341/95, § 46, CEDH 2000-V, en Weber en Saravia/Duitsland (dec.), nr. 54934/00, § 79, CEDH 2006-XI). De artikelen 4 en 8 van richtlijn 2006/24, die de toegang van de bevoegde nationale autoriteiten tot de gegevens regelen, vormen dus eveneens een inmenging in de door artikel 7 van het Handvest gewaarborgde rechten.

Richtlijn 2006/24 vormt ook een inmenging in het door artikel 8 van het Handvest gewaarborgde fundamentele recht op bescherming van persoonsgegevens, aangezien zij voorziet in de verwerking van persoonsgegevens.

Vastgesteld moet worden dat richtlijn 2006/24 een zeer ruime en bijzonder zware inmenging vormt in de door de artikelen 7 en 8 van het Handvest gewaarborgde fundamentele rechten, zoals de advocaat-generaal met name in de punten 77 en 80 van zijn conclusie heeft opgemerkt. Bovendien kan het feit dat de gegevens worden bewaard en later worden gebruikt zonder dat de abonnee of de geregistreerde gebruiker hierover wordt ingelicht, bij de betrokken personen het gevoel opwekken dat hun privéleven constant in de gaten wordt gehouden, zoals de advocaat-generaal in de punten 52 en 72 van zijn conclusie heeft opgemerkt.

Volgens artikel 52, lid 1, van het Handvest moeten beperkingen op de uitoefening van de in dit Handvest erkende rechten en vrijheden bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen, en kunnen, met inachtneming van het evenredigheidsbeginsel, alleen beperkingen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen beantwoorden.

Wat de wezenlijke inhoud van het fundamentele recht op eerbiediging van het privéleven en de andere door artikel 7 van het Handvest erkende rechten betreft, moet worden vastgesteld dat de door richtlijn 2006/24 voorgeschreven bewaring van gegevens weliswaar een bijzonder zware inmenging in deze rechten vormt, maar niet raakt aan de inhoud ervan, aangezien deze richtlijn, zoals blijkt uit artikel 1, lid 2, ervan, niet de mogelijkheid biedt om kennis te nemen van de inhoud zelf van de elektronische communicaties.

Deze bewaring van gegevens doet evenmin afbreuk aan de wezenlijke inhoud van het door artikel 8 van het Handvest erkende fundamentele recht op bescherming van persoonsgegevens, aangezien richtlijn 2006/24 in artikel 7 ervan een regel inzake gegevensbescherming en -beveiliging bevat op grond waarvan de aanbieders van openbaar beschikbare elektronischecommunicatiediensten of van een publiek communicatienetwerk, onverminderd de bepalingen die zijn goedgekeurd ingevolge de richtlijnen 95/46 en 2002/58, bepaalde beginselen van gegevensbescherming en -beveiliging moeten respecteren. Volgens deze beginselen moeten de lidstaten ervoor zorgen dat passende technische en organisatorische maatregelen worden genomen om te vermijden dat de gegevens per ongeluk of onrechtmatig worden vernietigd dan wel per ongeluk verloren geraken of worden gewijzigd.

Met betrekking tot de vraag of deze inmenging voldoet aan een doel van algemeen belang, zij opgemerkt dat richtlijn 2006/24 weliswaar strekt tot harmonisatie van de bepalingen van de lidstaten betreffende de verplichtingen van bovengenoemde aanbieders inzake de bewaring van bepaalde gegevens die door hen worden gegenereerd of verwerkt, maar dat het materiële doel van deze richtlijn, zoals blijkt uit artikel 1, lid 1, ervan, erin bestaat te garanderen dat die gegevens beschikbaar zijn met het oog op het onderzoek, de opsporing en de vervolging van ernstige criminaliteit zoals gedefinieerd in de nationale wetgevingen van de lidstaten. Deze richtlijn heeft dus materieel tot doel om tot de bestrijding van ernstige criminaliteit en aldus uiteindelijk tot de openbare veiligheid bij te dragen.

Volgens de rechtspraak van het Hof vormt de bestrijding van terrorisme ter handhaving van de internationale vrede en veiligheid een doel van algemeen belang van de Unie (zie in die zin arresten Kadi en Al Barakaat International Foundation/Raad en Commissie, C-402/05 P en C-415/05 P, EU:C:2008:461, punt 363, en Al-Aqsa/Raad, C-539/10 P en C-550/10 P, EU:C:2012:711, punt 130). Hetzelfde geldt voor de bestrijding van ernstige criminaliteit ter waarborging van de openbare veiligheid (zie in die zin arrest Tsakouridis, C-145/09, EU:C:2010:708, punten 46 en 47). In dit verband zij voorts opgemerkt dat artikel 6 van het Handvest bepaalt dat eenieder niet alleen recht heeft op vrijheid, maar ook op veiligheid.

Dienaangaande blijkt uit punt 7 van de considerans van richtlijn 2006/24 dat de Raad justitie en binnenlandse zaken van 19 december 2002 wegens de opmerkelijke toename van de mogelijkheden van elektronische communicatie heeft geoordeeld dat gegevens betreffende het gebruik daarvan van bijzonder belang zijn en dus een waardevol instrument vormen bij het voorkomen van strafbare feiten en het bestrijden van criminaliteit, met name van de georganiseerde misdaad.

De door richtlijn 2006/24 voorgeschreven bewaring van gegevens, die de bevoegde nationale autoriteiten de mogelijkheid moet bieden om deze eventueel te raadplegen, beantwoordt dus daadwerkelijk aan een doel van algemeen belang.

In deze omstandigheden moet worden nagegaan of de vastgestelde inmenging evenredig is.

Dienaangaande zij eraan herinnerd dat het evenredigheidsbeginsel volgens vaste rechtspraak van het Hof vereist dat handelingen van de instellingen van de Unie geschikt zijn om de door de betrokken regeling nagestreefde legitieme doelstellingen te verwezenlijken en niet verder gaan dan wat daarvoor geschikt en noodzakelijk is (zie in die zin arresten Afton Chemical, EU:C:2010:419, punt 45; Volker und Markus Schecke en Eifert, EU:C:2010:662, punt 74; Nelson e.a., C-581/10 en C-629/10, EU:C:2012:657, punt 71; Sky Österreich, C-283/11, EU:C:2013:28, punt 50, en Schaible, C-101/12, EU:C:2013:661, punt 29).

Wat het rechterlijk toezicht op de naleving van deze voorwaarden betreft, zij opgemerkt dat wanneer sprake is van een inmenging in fundamentele rechten, de omvang van de beoordelingsbevoegdheid van de wetgever van de Unie beperkt kan zijn. Dit hangt af van een aantal factoren, waaronder met name het betrokken domein, de aard van het door het Handvest gewaarborgde recht dat aan de orde is, alsook de aard, de ernst en het doel van de inmenging (zie naar analogie met betrekking tot artikel 8 EVRM, arrest EHRM, S en Marper/Verenigd Koninkrijk [Grote kamer], nrs. 30562/04 en 30566/04, § 102, CEDH 2008-V).

Gelet op de belangrijke rol die de bescherming van persoonsgegevens speelt in het licht van het fundamentele recht op bescherming van het privéleven, alsook op de omvang en de ernst van de door richtlijn 2006/24 veroorzaakte inmenging in dit recht is de beoordelingsbevoegdheid van de Uniewetgever in casu beperkt, zodat een strikt toezicht moet worden uitgeoefend.

Met betrekking tot de vraag of het door richtlijn 2006/24 nagestreefde doel kan worden verwezenlijkt door de bewaring van de gegevens, moet worden vastgesteld dat de gegevens die op grond van deze richtlijn moeten worden bewaard, gelet op het groeiende belang van elektronischecommunicatiemiddelen de nationale strafvervolgingsautoriteiten extra mogelijkheden bieden om ernstige gevallen van criminaliteit op te helderen en in die zin dus een waardevol instrument vormen bij strafonderzoeken. De bewaring van dergelijke gegevens is derhalve geschikt voor de verwezenlijking van het door deze richtlijn nagestreefde doel.

Aan deze beoordeling wordt niet afgedaan door de omstandigheid dat er verschillende vormen van elektronische communicatie bestaan die niet binnen de werkingssfeer van richtlijn 2006/24 vallen of die anonieme communicatie mogelijk maken, zoals met name Tschohl en Seitlinger alsook de Portugese regering in hun bij het Hof ingediende schriftelijke opmerkingen hebben aangevoerd. Dit heeft weliswaar tot gevolg dat de bewaring van gegevens niet volstrekt geschikt is om het nagestreefde doel te bereiken, maar dat betekent nog niet dat deze maatregel daarvoor ongeschikt is, zoals de advocaat-generaal in punt 137 van zijn conclusie heeft opgemerkt.

Wat de noodzaak van de door richtlijn 2006/24 voorgeschreven bewaring van gegevens betreft, zij vastgesteld dat de bestrijding van zware criminaliteit, met name van georganiseerde misdaad en terrorisme, weliswaar van primordiaal belang is om de openbare veiligheid te waarborgen, en dat de doeltreffendheid ervan in aanzienlijke mate kan afhangen van het gebruik van moderne onderzoekstechnieken, maar dat een dergelijke doelstelling van algemeen belang, hoe wezenlijk zij ook is, op zich niet kan rechtvaardigen dat een bewaringsmaatregel zoals die welke door richtlijn 2006/24 is ingevoerd, noodzakelijk wordt geacht voor het voeren van deze strijd.

Wat het recht op eerbiediging van het privéleven betreft, zij opgemerkt dat de bescherming van dit fundamentele recht volgens vaste rechtspraak van het Hof hoe dan ook vereist dat de uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven (arrest IPI, C-473/12, EU:C:2013:715, punt 39 en aldaar aangehaalde rechtspraak).

Dienaangaande zij eraan herinnerd dat de bescherming van persoonsgegevens, die uitdrukkelijk wordt voorgeschreven door artikel 8, lid 1, van het Handvest, van bijzonder belang is voor het in artikel 7 van dit Handvest verankerde recht op eerbiediging van het privéleven.

De betrokken Unieregeling moet dus duidelijke en precieze regels betreffende de draagwijdte en de toepassing van de betrokken maatregel bevatten die minimale vereisten opleggen, zodat de personen van wie de gegevens zijn bewaard over voldoende garanties beschikken dat hun persoonsgegevens worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van deze gegevens (zie naar analogie met betrekking tot artikel 8 EVRM, arresten EHRM, Liberty e.a./Verenigd Koninkrijk, nr. 58243/00, § 62 en 63, van 1 juli 2008; Rotaru/Roemenië, reeds aangehaald, § 57–59, en S en Marper/Verenigd Koninkrijk, reeds aangehaald, § 99).

De noodzaak om over dergelijke garanties te beschikken is des te groter wanneer de persoonsgegevens, zoals is bepaald in richtlijn 2006/24, automatisch worden verwerkt en er een aanzienlijk risico bestaat dat deze gegevens op onrechtmatige wijze zullen worden geraadpleegd (zie naar analogie met betrekking tot artikel 8 EHRM, arresten EHRM, S en Marper/Verenigd Koninkrijk, reeds aangehaald, § 103, en M. K./Frankrijk, nr. 19522/09, § 35, van 18 april 2013).

Met betrekking tot de vraag of de inmenging die richtlijn 2006/24 meebrengt, beperkt is tot het strikt noodzakelijke, zij opgemerkt dat artikel 3 van deze richtlijn, gelezen in samenhang met artikel 5, lid 1, ervan, voorschrijft om alle verkeersgegevens betreffende vaste en mobiele telefonie, internettoegang, e-mail over het internet en internettelefonie te bewaren. Deze richtlijn strekt zich dus uit tot alle wijd verspreide elektronischecommunicatiemiddelen, die een steeds belangrijker plaats innemen in het dagelijkse leven van de mensen. Bovendien ziet deze richtlijn ingevolge artikel 3 ervan op alle abonnees en geregistreerde gebruikers. Zij leidt dus tot inmenging in de fundamentele rechten van bijna de gehele Europese bevolking.

Dienaangaande zij in de eerste plaats vastgesteld dat richtlijn 2006/24 algemeen van toepassing is op alle personen, alle elektronischecommunicatiemiddelen en alle verkeersgegevens, zonder dat enig onderscheid wordt gemaakt, enige beperking wordt gesteld of enige uitzondering wordt gemaakt op basis van het doel, zware criminaliteit te bestrijden.

Richtlijn 2006/24 is om te beginnen algemeen van toepassing op alle personen die gebruikmaken van elektronischecommunicatiediensten, zonder dat de personen van wie de gegevens worden bewaard zich echter, zelfs niet indirect, in een situatie bevinden die aanleiding kan geven tot strafrechtelijke vervolging. Zij is dus zelfs van toepassing op personen voor wie er geen enkele aanwijzing bestaat dat hun gedrag — zelfs maar indirect of van ver — een verband vertoont met zware criminaliteit. Bovendien bevat de richtlijn geen uitzonderingen, zodat zij zelfs van toepassing is op personen van wie de communicaties volgens de nationale rechtsregels onder het zakengeheim vallen.

Voorts beoogt deze richtlijn weliswaar bij te dragen tot de strijd tegen zware criminaliteit, maar zij vereist geen enkel verband tussen de gegevens die moeten worden bewaard en een bedreiging van de openbare veiligheid. Zij beperkt met name de bewaring niet tot gegevens die betrekking hebben op een bepaalde periode en/of een bepaalde geografische zone en/of een kring van bepaalde personen die op een of andere wijze betrokken kunnen zijn bij zware criminaliteit, of op personen voor wie de bewaring van de gegevens om andere redenen zou kunnen helpen bij het voorkomen, opsporen of vervolgen van zware criminaliteit.

In de tweede plaats bevat richtlijn 2006/24 niet alleen geen beperkingen, maar ook geen objectieve criteria ter begrenzing van de toegang van de bevoegde nationale autoriteiten tot de gegevens en het latere gebruik ervan met het oog op het voorkomen, opsporen of strafrechtelijk vervolgen van inbreuken die, gelet op de omvang en de ernst van de inmenging in de door de artikelen 7 et 8 van het Handvest erkende fundamentele rechten, voldoende ernstig kunnen worden geacht om een dergelijke inmenging te rechtvaardigen. Integendeel, richtlijn 2006/24 verwijst in artikel 1, lid 1, ervan enkel op algemene wijze naar ernstige criminaliteit zoals gedefinieerd in de nationale wetgevingen van de lidstaten.

Bovendien bevat richtlijn 2006/24 geen materiële en procedurele voorwaarden betreffende de toegang van de bevoegde nationale autoriteiten tot de gegevens en het latere gebruik ervan. Artikel 4 van deze richtlijn, dat de toegang van deze autoriteiten tot de bewaarde gegevens regelt, bepaalt niet uitdrukkelijk dat deze toegang en het latere gebruik van de betrokken gegevens strikt gebonden zijn aan het doel, nauwkeurig afgebakende zware criminaliteit te voorkomen, op te sporen of strafrechtelijk te vervolgen, maar bepaalt enkel dat elke lidstaat de procedure en de te vervullen voorwaarden vaststelt voor toegang tot de bewaarde gegevens overeenkomstig de vereisten inzake noodzakelijkheid en evenredigheid.

In het bijzonder bevat richtlijn 2006/24 geen objectieve criteria op basis waarvan het aantal personen dat de bewaarde gegevens mag raadplegen en vervolgens gebruiken, kan worden beperkt tot wat strikt noodzakelijk is voor de verwezenlijking van het nagestreefde doel. Maar bovenal is de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens niet onderworpen aan enige voorafgaande controle door een rechterlijke instantie of een onafhankelijke administratieve instantie waarvan de beslissing beoogt om de toegang tot de gegevens en het gebruik ervan te beperken tot wat strikt noodzakelijk is ter verwezenlijking van het nagestreefde doel en die uitspraak doet op een gemotiveerd verzoek van deze autoriteiten, ingediend in het kader van procedures ter voorkoming, opsporing of vervolging van strafbare feiten. Aan de lidstaten is evenmin enige specifieke verplichting opgelegd om dergelijke beperkingen vast te stellen.

Wat in de derde plaats de termijn betreft gedurende welke de gegevens worden bewaard, bepaalt artikel 6 van richtlijn 2006/24 dat deze gedurende ten minste zes maanden moeten worden bewaard, zonder dat enig onderscheid wordt gemaakt tussen de in artikel 5 van deze richtlijn genoemde categorieën van gegevens naargelang van het nut ervan voor het nagestreefde doel of naargelang van de betrokken personen.

Bovendien varieert de bewaringstermijn van ten minste zes maanden tot ten hoogste vierentwintig maanden, zonder dat wordt gepreciseerd dat deze termijn op basis van objectieve criteria moet worden vastgesteld om te waarborgen dat hij beperkt is tot wat strikt noodzakelijk is.

Uit het bovenstaande volgt dat richtlijn 2006/24 geen duidelijke en precieze regels bevat betreffende de omvang van de inmenging in de door de artikelen 7 en 8 van het Handvest erkende fundamentele rechten. Vastgesteld moet dus worden dat deze richtlijn een zeer ruime en bijzonder zware inmenging in deze fundamentele rechten in de rechtsorde van de Unie impliceert, zonder dat deze inmenging nauwkeurig is omkaderd door bepalingen die kunnen waarborgen dat zij daadwerkelijk beperkt is tot het strikt noodzakelijke.

Bovendien moet met betrekking tot de regels inzake de beveiliging en de bescherming van de gegevens die worden bewaard door de aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk worden vastgesteld dat richtlijn 2006/24 onvoldoende garanties biedt dat de bewaarde gegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik ervan, zoals wordt vereist door artikel 8 van het Handvest. In de eerste plaats bevat artikel 7 van richtlijn 2006/24 geen specifieke regels die aangepast zijn aan de enorme hoeveelheid gegevens die volgens deze richtlijn moeten worden bewaard, alsook aan het gevoelige karakter van deze gegevens en aan het risico dat zij op onrechtmatige wijze zullen worden geraadpleegd, en die met name ertoe strekken de bescherming en de beveiliging van de betrokken gegevens duidelijk en strikt te regelen om de volle integriteit en vertrouwelijkheid ervan te waarborgen. Bovendien is aan de lidstaten ook geen specifieke verplichting opgelegd om dergelijke regels vast te stellen.

Artikel 7 van richtlijn 2006/24, gelezen in samenhang met artikel 4, lid 1, van richtlijn 2002/58 en artikel 17, lid 1, tweede alinea, van richtlijn 95/46, waarborgt niet dat bovengenoemde aanbieders via technische en organisatorische maatregelen een bijzonder hoog niveau van bescherming en beveiliging bieden, maar verleent deze aanbieders met name de mogelijkheid om bij de vaststelling van het door hen geboden beschermingsniveau rekening te houden met economische overwegingen, meer bepaald met de kosten voor het uitvoeren van de veiligheidsmaatregelen. In het bijzonder waarborgt richtlijn 2006/24 niet dat de gegevens na de bewaarperiode onherroepelijk worden vernietigd.

In de tweede plaats schrijft deze richtlijn niet voor dat de betrokken gegevens op het grondgebied van de Unie moeten worden bewaard, zodat niet ten volle is gewaarborgd dat een onafhankelijke autoriteit toezicht houdt op de inachtneming van de in de twee vorige punten bedoelde vereisten inzake bescherming en beveiliging, zoals uitdrukkelijk wordt voorgeschreven door artikel 8, lid 3, van het Handvest. Een dergelijk toezicht op basis van het Unierecht is evenwel van wezenlijk belang voor de bescherming van personen bij de verwerking van persoonsgegevens (zie in die zin arrest Commissie/Oostenrijk, C-614/10, EU:C:2012:631, punt 37).

Gelet op een en ander moet worden geoordeeld dat de wetgever van de Unie met de vaststelling van richtlijn 2006/24 de door het evenredigheidsbeginsel gestelde grenzen heeft overschreden die hij in het licht van de artikelen 7, 8 en 52, lid 1, van het Handvest in acht dient te nemen.

Derhalve hoeft de geldigheid van richtlijn 2006/24 niet te worden getoetst aan artikel 11 van het Handvest.

Bijgevolg moet op de tweede vraag, sub b tot en met d, in zaak C-293/12 en de eerste vraag in zaak C-594/12 worden geantwoord dat richtlijn 2006/24 ongeldig is.