HvJ EU, 21-12-2016, nr. C-203/15, nr. C-698/15

Volgens hoofdstuk 6, § 16 a, LEK zijn aanbieders verplicht de communicatiegegevens te bewaren die nodig zijn voor het identificeren van de bron en de bestemming van een communicatie, het bepalen van de datum, het tijdstip, de duur en de aard van een communicatie, de gebruikte communicatieapparatuur en de locatie van mobiele communicatieapparatuur bij de aanvang en de beëindiging van de communicatie. Welke soorten gegevens bewaard moeten worden is nader uitgewerkt in de §§ 38–43 LEK.

Die bewaringsverplichting betreft gegevens die zijn verwerkt in het kader van telefoondiensten, telefoondiensten via mobiele aansluitingspunten, systemen voor elektronisch berichtenverkeer, en diensten die toegang tot het internet verschaffen of capaciteit voor internettoegang ter beschikking stellen.

De te bewaren gegevens omvatten niet slechts alle gegevens die in het kader van richtlijn 2006/24 moesten worden bewaard, maar ook gegevens over niet tot stand gekomen communicaties en gegevens over de locatie bij de beëindiging van een communicatie via mobiele telefonie. Overeenkomstig de regeling die in die richtlijn was voorzien mag de inhoud van de communicaties niet worden bewaard.

De toegang tot bewaarde gegevens is geregeld in drie wetten, te weten de LEK, de Rättegångsbalken (wetboek van burgerlijke rechtsvordering; hierna: ‘RB’), en de lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet (wet 2012:278 betreffende de verzameling van gegevens over elektronische communicaties bij de opsporingsactiviteiten van handhavingsautoriteiten; hierna: ‘wet 2012:278’).

Uit hoofdstuk 6, § 16 d, LEK blijkt dat gegevens als bedoeld in § 16 a van dat hoofdstuk moeten worden bewaard gedurende zes maanden te rekenen vanaf de dag waarop de communicatie werd beëindigd. Zij moeten vervolgens onverwijld worden gewist, tenzij in hoofdstuk 6, § 16 d, tweede alinea, LEK anders is bepaald. Op grond van laatstgenoemde bepaling moeten gegevens die vóór het verstrijken van de bewaringstermijn zijn opgevraagd maar nog niet zijn verstrekt, na die verstrekking onverwijld worden gewist.

Hoofdstuk 6, § 20, eerste alinea, LEK verbiedt het zonder toestemming verspreiden of gebruiken van communicatiegegevens.

Volgens hoofdstuk 6, § 3 a, LEK, dienen de aanbieders passende technische en organisatorische maatregelen te nemen om de bescherming van gegevens bij de verwerking ervan te garanderen. Uit de totstandkomingsgeschiedenis van deze bepaling blijkt dat het beschermingsniveau niet mag worden bepaald op basis van een afweging tussen technische overwegingen, kosten, en de risico's van piraterij en hacking.

Nadere voorschriften voor gegevensbescherming zijn opgenomen in § 37, FEK en in de instructies en richtsnoeren van de Post- och telestyrelsen (Zweedse toezichthoudende autoriteit voor post en telecommunicatie; hierna: ‘PTS’) betreffende beschermingsmaatregelen in het kader van de bewaring en de verwerking van gegevens met het oog op misdaadbestrijding (PTSFS nr. 2012:4). Uit die voorschriften blijkt met name dat de aanbieders maatregelen dienen te nemen om gegevens te beschermen tegen onopzettelijke of ongeoorloofde vernietiging, tegen ongeoorloofde bewaring, verwerking en toegang, en tegen ongeoorloofde openbaarmaking. De aanbieder dient de gegevens tevens voortdurend en stelselmatig te beveiligen, rekening houdend met de aan de bewaringsverplichting verbonden bijzondere risico's.

In het Zweedse recht ontbreken bepalingen over de plaats waar de gegevens dienen te worden bewaard.

De toezichthoudende autoriteit is op grond van hoofdstuk 7 van de LEK bevoegd om bevelen en verboden uit te vaardigen tegen aanbieders die hun verplichtingen niet nakomen, eventueel op straffe van een dwangsom, en om een gehele of gedeeltelijke bedrijfsbeëindiging te gelasten.

Volgens section 1 van de DRIPA kan de Secretary of State for the Home Department (minister van Binnenlandse Zaken, Verenigd Koninkrijk; hierna: ‘minister’) aanbieders verplichten tot bewaring van alle communicatiegegevens. Die verplichting kan in wezen betrekking hebben op alle gegevens over communicaties die zijn verzonden via een postdienst of een telecommunicatiesysteem, met uitzondering van de inhoud van die communicaties. Die gegevens omvatten onder meer de locatie van de gebruiker van de dienst en de gegevens waarmee kan worden vastgesteld welk IP-adres (internet protocol), of andere identificator, toebehoort aan de afzender of de ontvanger van een communicatie.

Tot de doeleinden die een dergelijke bewaringsmaatregel kunnen rechtvaardigen behoren de belangen van de nationale veiligheid, de voorkoming en opsporing van strafbare feiten en de voorkoming van verstoringen van de openbare orde, de belangen van het economisch welzijn van het Verenigd Koninkrijk voor zover die belangen eveneens relevant zijn voor de belangen van de nationale veiligheid, de belangen van de openbare veiligheid, de bescherming van de volksgezondheid, de toetsing van de oplegging of inning van aan de overheid verschuldigde belastingen, bijdragen of andere bedragen, de voorkoming van lichamelijk of geestelijk letsel in noodsituaties, de ondersteuning van onderzoek naar gerechtelijke dwalingen, de identificatie van overledenen en van personen die zichzelf, anders dan als gevolg van een misdrijf, niet kunnen identificeren (bijvoorbeeld in het geval van een natuurramp of een ongeval), de uitoefening van functies met betrekking tot de regulering van financiële diensten en markten of met betrekking tot de financiële stabiliteit, en elk ander doel dat wordt vermeld in een door de minister krachtens section 22(2), DRIPA uitgevaardigd bevel.

De nationale wetgeving stelt het bewaringsbevel niet afhankelijk van de verlening van voorafgaande toestemming door een rechter of een onafhankelijke instantie. De minister moet nagaan of de bewaringsverplichting ‘noodzakelijk is voor en evenredig aan’ een of meer doeleinden waarvoor relevante communicatiegegevens mogen worden bewaard.

Op grond van section 22(4) RIPA kunnen overheidsinstanties door middel van een bevel aanbieders verplichten hen communicatiegegevens te verstrekken. De vorm en de inhoud van die bevelen is geregeld in section 23(2) RIPA. Een dergelijk bevel wordt beperkt in de tijd door bepalingen over de intrekking en de hernieuwing ervan.

De verkrijging van communicatiegegevens moet noodzakelijk zijn voor en evenredig zijn aan één of meer van de in section 22 RIPA genoemde doeleinden, die overeenkomen met de in punt 37 van deze conclusie beschreven doeleinden die de bewaring van gegevens kunnen rechtvaardigen.

Uit de code of practice on data acquisition blijkt dat rechterlijke toestemming is vereist indien met een verzoek om toegang wordt beoogd de bron van een journalist te achterhalen of indien het verzoek afkomstig is van een lokale autoriteit.

Buiten die gevallen is de toegang van overheidsinstanties onderworpen aan de toestemming van een daartoe aangewezen persoon binnen de betrokken overheidsinstantie. Dit is een persoon die bij die overheidsinstantie een ambt, rang of positie bekleedt en is aangewezen met het oog op de verkrijging van communicatiegegevens, overeenkomstig het besluit van 2015 tot regeling van de onderzoeksbevoegdheden betreffende communicatiegegevens.

Toestemming van een rechter of een onafhankelijke instantie is niet specifiek vereist voor de toegang tot communicatiegegevens die zijn beschermd door een wettelijk beroepsgeheim of betrekking hebben op communicaties van artsen, parlementsleden of geestelijken. De code of practice on data acquisition bepaalt slechts dat bijzondere aandacht moet worden besteed aan de noodzaak en de evenredigheid van verzoeken om toegang tot dergelijke gegevens.

Section 1(5) DRIPA en section 4(2) van de Regulations 2014 bepalen dat gegevens gedurende een periode van ten hoogste twaalf maanden mogen worden bewaard. Volgens de code of practice on data retention mag die periode niet langer zijn dan noodzakelijk en evenredig is. Regulation 6 van de Regulations 2014 verlangt van de minister dat hij bewaringsbevelen doorlopend evalueert.

Ingevolge section 1 DRIPA mogen aanbieders bewaarde gegevens slechts verstrekken indien die verstrekking in overeenstemming is met deel 1, hoofdstuk 2, RIPA, met een rechterlijke beslissing of elke andere rechterlijke goedkeuring of machtiging, of met een door de minister krachtens section 1 DRIPA vastgestelde regeling.

Volgens Regulation 7 en Regulation 8 van de Regulations 2014 moeten de aanbieders de integriteit en veiligheid van de bewaarde gegevens garanderen, ervoor zorgen dat de gegevens niet per ongeluk of onrechtmatig worden vernietigd, per ongeluk verloren gaan of worden gewijzigd, of zonder toestemming of onrechtmatig worden bewaard, verwerkt, geraadpleegd of openbaar gemaakt. Zij moeten de gegevens zodanig vernietigen dat ze niet langer meer kunnen worden geraadpleegd indien de bewaring ervan niet langer is toegestaan, en beveiligingssystemen installeren. Regulation 9 van de Regulations 2014 belast de Information Commissioner met het toezicht op de naleving van deze verplichtingen door de aanbieders.

De autoriteiten waaraan de aanbieders communicatiegegevens verstrekken dienen die gegevens, en ieder afschrift, uittreksel of samenvatting ervan, veilig te verwerken en te bewaren. Ingevolge de code of practice on data acquisition moeten de vereisten die zijn opgenomen in de Data Protection Act (hierna: ‘DPA’), waarbij richtlijn 95/46 is omgezet, worden nageleefd.

De RIPA voorziet in een Interception of Communications Commissioner (hierna: ‘commissioner’) die is belast met het onafhankelijk toezicht op de uitoefening en de vervulling van de in deel 1, hoofdstuk II, RIPA opgenomen bevoegdheden en verplichtingen. De commissioner houdt geen toezicht op het gebruik dat van section 1 DRIPA wordt gemaakt. Hij moet regelmatig voor het publiek en het parlement bestemde rapporten opstellen [sections 57(2) en 58 RIPA] en bijhouden wat de overheidsinstanties hebben bewaard en gerapporteerd (code of practice on data acquisition, sections 6.1–6.8). Indien er een reden is om te veronderstellen dat gegevens op onjuiste wijze zijn verworven, kan een klacht worden ingediend bij het Investigatory Powers Tribunal (section 65 RIPA).

Uit de code of practice on data acquisition blijkt dat de commissioner niet bevoegd is om een zaak naar dat gerecht te verwijzen. Hij mag iemand slechts informeren over een vermoedelijk onrechtmatig gebruik van bevoegdheden indien hij kan ‘aantonen dat een persoon is benadeeld door een door opzet of onvoorzichtigheid veroorzaakt verzuim’. Hij mag evenwel niet overgaan tot openbaarmaking indien daardoor de nationale veiligheid in gevaar wordt gebracht, zelfs niet indien hij van mening is dat er sprake is van een door opzet of onvoorzichtigheid veroorzaakt verzuim.

Geen van de partijen die schriftelijke opmerkingen hebben ingediend bij het Hof bestrijdt dat een algemene verplichting tot bewaring van gegevens zoals in de hoofdgedingen aan de orde is, valt onder het begrip ‘verwerking van persoonsgegevens in verband met de levering van openbare elektronischecommunicatiediensten over openbare communicatienetwerken in de [Unie]’ in de zin van artikel 3 van richtlijn 2002/58.

De Tsjechische, de Franse en de Poolse regering en de regering van het Verenigd Koninkrijk stellen echter dat een algemene verplichting tot bewaring van gegevens valt onder de uitzondering van artikel 1, lid 3, van richtlijn 2002/58. Enerzijds zouden de nationale bepalingen die de toegang tot de gegevens en het gebruik ervan door de politie en de justitiële autoriteiten van de lidstaten regelen verband houden met de openbare veiligheid, defensie of de staatsveiligheid, of op zijn minst onder het strafrecht vallen. Anderzijds zou de bewaring van gegevens slechts tot doel hebben om die politie en justitiële autoriteiten in staat te stellen om toegang tot die gegevens te krijgen en ze te gebruiken. Bijgevolg zou op grond van de hierboven genoemde bepaling een algemene verplichting tot bewaring van gegevens zijn uitgesloten van de werkingssfeer van die richtlijn.

Ik ben niet overtuigd van deze redenering om de volgende redenen.

In de eerste plaats bevestigen de bewoordingen van artikel 15, lid 1, van richtlijn 2002/58 dat door de lidstaten opgelegde bewaringsverplichtingen binnen de werkingssfeer van deze richtlijn vallen. Volgens deze bepaling ‘kunnen de lidstaten [namelijk] onder andere wetgevingsmaatregelen treffen om gegevens gedurende een beperkte periode te bewaren om de redenen die in dit lid worden genoemd’. Het lijkt mij op zijn minst moeilijk vol te houden dat bewaringsverplichtingen van de werkingssfeer van die richtlijn zijn uitgesloten terwijl artikel 15, lid 1, van die richtlijn het mogelijkheid maakt om dergelijke verplichtingen vast te stellen.

In feite, en zoals Watson, Brice en Lewis, de Belgische, de Deense, de Duitse en de Finse regering als ook de Commissie hebben aangevoerd, geeft een algemene verplichting tot bewaring van gegevens als in de hoofdgedingen aan de orde, uitvoering aan artikel 15, lid 1, van richtlijn 2002/58.

In de tweede plaats impliceert het feit dat de bepalingen die de toegang regelen kunnen vallen onder de uitzondering van artikel 1, lid 3, van richtlijn 2002/5815. niet dat de bewaringsverplichting daar eveneens onder valt en bijgevolg buiten de werkingssfeer van deze richtlijn blijft.

Het Hof heeft in dit verband reeds gelegenheid gehad te preciseren dat de activiteiten die worden genoemd in artikel 3, lid 2, eerste streepje, van richtlijn 95/46/EG16., dat bewoordingen van gelijke strekking bevat als artikel 1, lid 3, van richtlijn 2002/58, specifieke activiteiten van de staten of de overheidsdiensten zijn en niets van doen hebben met activiteiten van particulieren.17.

De in de hoofdgedingen betrokken bewaringsverplichtingen zijn evenwel, zoals de Commissie heeft opgemerkt, opgelegd aan particuliere aanbieders in het kader van private elektronischecommunicatiediensten. Bovendien gelden deze verplichtingen los van ieder toegangsverzoek van de politie of de justitiële autoriteiten, en meer in het algemeen los van elke handeling van overheidsinstanties op het gebied van de openbare veiligheid, defensie, de staatsveiligheid of het strafrecht.

In de derde plaats bevestigt de uitspraak van het Hof in het arrest Ierland/Parlement en Raad dat een algemene verplichting tot bewaring van gegevens niet onder het strafrecht valt.18. Het Hof oordeelde namelijk dat richtlijn 2006/24, die in een dergelijke verplichting voorzag, niet onder het strafrecht viel maar onder de werking van de interne markt, zodat artikel 95 EG (thans artikel 114 VWEU) de juiste rechtsgrondslag vormde voor de vaststelling van die richtlijn.

Het Hof heeft hieraan met name ten grondslag gelegd dat de bepalingen van die richtlijn voornamelijk waren beperkt tot de activiteiten van de aanbieders van diensten en niet de toegang tot gegevens noch het gebruik daarvan door de politie of de justitiële autoriteiten van de lidstaten regelden.19. Daaruit leidt ik af dat nationale bepalingen die een met die van richtlijn 2006/24 vergelijkbare verplichting tot bewaring van gegevens invoeren ook niet onder het strafrecht vallen.

Gelet op het voorgaande ben ik van mening dat een algemene verplichting tot bewaring van gegevens niet onder de uitzondering van artikel 1, lid 3, van richtlijn 2002/58 en bijgevolg wel degelijk binnen de werkingssfeer van die richtlijn valt.

Thans moet worden vastgesteld of een algemene verplichting tot bewaring van gegevens verenigbaar is met de regeling van richtlijn 2002/58.

In dit verband rijst de vraag of een lidstaat voor het opleggen van een dergelijke verplichting gebruik kan maken van de door artikel 15, lid 1, van richtlijn 2002/58 geboden mogelijkheid.

Daartegen zijn vier argumenten aangevoerd, met name door Open Rights Group en Privacy International.

Volgens het eerste argument zou het aan de lidstaten toekennen van de bevoegdheid om een algemene verplichting tot bewaring van gegevens vast te stellen afbreuk doen aan de harmonisatiedoelstelling die de bestaansgrond van richtlijn 2002/58 vormt. Deze richtlijn voorziet immers, volgens artikel 1, lid 1, ervan, in de harmonisatie van de regelgeving van de lidstaten die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden — met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid — bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen en om te zorgen voor het vrij verkeer van dergelijke gegevens en van elektronischecommunicatieapparatuur en -diensten in de Unie.

Derhalve zou artikel 15, lid 1, van richtlijn 2002/58 niet aldus kunnen worden uitgelegd dat het de lidstaten de bevoegdheid verleent om een zodanig vergaande uitzondering op de regeling van die richtlijn vast te stellen dat dit streven naar harmonisatie elk nuttig effect wordt ontnomen.

Volgens het tweede argument verzetten ook de bewoordingen van artikel 15, lid 1, van richtlijn 2002/58 zich tegen een dergelijke ruime uitlegging van de bevoegdheid van de lidstaten om af te wijken van de regeling van die richtlijn. Volgens deze bepaling kunnen de lidstaten immers ‘wettelijke maatregelen treffen ter beperking van de reikwijdte van de in de artikelen 5 en 6, artikel 8, leden 1, 2, 3 en 4, en artikel 9 van deze richtlijn bedoelde rechten en plichten’ (cursivering van mij).

Een algemene verplichting tot bewaring van gegevens zou echter niet slechts ‘de reikwijdte beperken’ van de in die bepaling vermelde rechten en plichten, maar die rechten en plichten volledig tenietdoen. Dit zou gelden voor:

Deze eerste twee argumenten moeten mijns inziens worden afgewezen om de volgende redenen.

Enerzijds vermelden de bewoordingen van artikel 15, lid 1, van richtlijn 2002/58 de mogelijkheid dat de lidstaten ‘wetgevingsmaatregelen treffen om gegevens gedurende een beperkte periode te bewaren’. Deze uitdrukkelijke verwijzing naar verplichtingen tot bewaring van gegevens bevestigt dat dergelijke verplichtingen op zichzelf niet onverenigbaar zijn met de regeling van richtlijn 2002/58. Hoewel die formulering niet uitdrukkelijk voorziet in de mogelijkheid van een algemene verplichting tot bewaring van gegevens, moet worden vastgesteld dat zij zich hiertegen ook niet verzet.

Anderzijds preciseert overweging 11 van richtlijn 2002/58 dat die richtlijn niets verandert ‘aan het bestaande evenwicht tussen het recht van personen op persoonlijke levenssfeer en de mogelijkheid voor de lidstaten om de in artikel 15, lid 1, van deze richtlijn bedoelde maatregelen te nemen die nodig zijn voor de bescherming van de openbare veiligheid, defensie, de staatsveiligheid (met inbegrip van het economisch welzijn van de staat wanneer de activiteit verband houdt met de staatsveiligheid) en de wetshandhaving op strafrechtelijk gebied’. Bijgevolg ‘doet deze richtlijn geen afbreuk aan de mogelijkheid voor de lidstaten om wettelijk toegestane intercepties van elektronische communicatie uit te voeren of andere maatregelen vast te stellen, wanneer dat voor één van voornoemde doeleinden noodzakelijk is, mits zij daarbij het [EVRM] in acht nemen’.

Uit deze overweging 11 volgt mijns inziens dat de Uniewetgever niet de bedoeling heeft gehad afbreuk te doen aan de bevoegdheid van de lidstaten om de in artikel 15, lid 1, van richtlijn 2002/58 bedoelde maatregelen te treffen, maar die bevoegdheid afhankelijk heeft willen stellen van bepaalde vereisten verbandhoudend met de door die maatregelen nagestreefde doelen en de evenredigheid ervan. Met andere woorden, een algemene verplichting tot bewaring van gegevens is mijns inziens niet onverenigbaar met de regeling van deze richtlijn, mits zij aan bepaalde voorwaarden voldoet.

Volgens het derde argument zou artikel 15, lid 1, van richtlijn 2002/58, als uitzondering op de regeling van die richtlijn, strikt moeten worden uitgelegd conform een uit de vaste rechtspraak van het Hof voortvloeiende uitleggingsregel. Die regel zou verbieden deze bepaling aldus uit te leggen dat zij de oplegging van een algemene verplichting tot bewaring van gegevens toelaat.

Ik ben in dit verband van mening dat de door artikel 15, lid 1, van richtlijn 2002/58 geboden mogelijkheid niet als uitzondering kan worden gekwalificeerd en derhalve niet strikt mag worden uitgelegd, zoals de Commissie terecht heeft aangevoerd. Deze mogelijkheid kan mijns inziens immers moeilijk als uitzondering worden gekwalificeerd gelet op de hierboven weergegeven overweging 11, volgens welke die richtlijn geen afbreuk doet aan de mogelijkheid voor de lidstaten om de in die bepaling bedoelde maatregelen vast te stellen. Ik merk bovendien op dat artikel 15 van die richtlijn het opschrift draagt ‘Toepassing van een aantal bepalingen van Richtlijn 95/46’, terwijl artikel 10 van die richtlijn is voorzien van het uitdrukkelijke opschrift ‘Uitzonderingen’. Die opschriften sterken mij in de gedachte dat de mogelijkheid waarin artikel 15 voorziet niet kan worden gekwalificeerd als ‘uitzondering’.

Volgens het vierde en laatste argument zou de onverenigbaarheid van een algemene verplichting tot bewaring van gegevens met de regeling van richtlijn 2002/58 worden ondersteund door de toevoeging van artikel 15, lid 1 bis, aan die richtlijn bij de vaststelling van de door het arrest DRI ongeldig verklaarde richtlijn 2006/24. Die onverenigbaarheid zou de Uniewetgever ertoe zou hebben gebracht artikel 15, lid 1, van richtlijn 2002/58 niet van toepassing te verklaren op de algemene bewaringsregeling van richtlijn 2006/24.

Dit argument lijkt mij voort te komen uit een onjuiste opvatting van de strekking van artikel 15, lid 1 bis, van richtlijn 2002/58. Volgens deze bepaling ‘[is artikel 15, lid 1, van richtlijn 2002/58] niet van toepassing op de uit hoofde van richtlijn [2006/24] te bewaren gegevens voor de in artikel 1, lid 1, van die richtlijn bedoelde doeleinden’.

Mijn lezing van die bepaling is de volgende. Ten aanzien van de gegevens waarvan de bewaring werd voorgeschreven door richtlijn 2006/24 en voor de erin neergelegde doeleneinden, verloren de lidstaten de in artikel 15, lid 1, van richtlijn 2002/58 genoemde bevoegdheid om de reikwijdte van de in die bepaling bedoelde rechten en plichten verder te beperken, met name door middel van aanvullende verplichtingen tot bewaring van gegevens. Met andere woorden, artikel 15, lid 1 bis, voorzag, wat de gegevens betreft waarvan de bewaring werd voorgeschreven door richtlijn 2006/24 en voor de erin neergelegde doeleinden, in een volledige harmonisatie.

Ik vind bevestiging voor deze uitlegging in overweging 12 van richtlijn 2006/24, volgens welke ‘[a]rtikel 15, lid 1, van richtlijn [2002/58] van toepassing [blijft] op gegevens, met inbegrip van gegevens met betrekking tot oproeppogingen zonder resultaat, die ingevolge de huidige richtlijn niet specifiek moeten worden bewaard en derhalve niet onder het toepassingsgebied daarvan [vallen], alsook [op de] bewaring van gegevens voor doelstellingen, inclusief van justitiële aard, andere dan die welke onder deze richtlijn vallen’ (cursivering van mij).

De invoeging van artikel 15, lid 1 bis, van richtlijn 2002/58 bevestigt derhalve niet de onverenigbaarheid van een algemene verplichting tot bewaring van gegevens met de regeling van die richtlijn, maar de wens van de Uniewetgever om bij de vaststelling van richtlijn 2006/24 een volledige harmonisatie tot stand te brengen.

Gelet op het voorgaande ben ik van mening dat een algemene verplichting tot bewaring van gegevens verenigbaar is met de regeling van richtlijn 2002/58 en dat een lidstaat bijgevolg gebruik kan maken van de mogelijkheid die artikel 15, lid 1, van die richtlijn biedt om een dergelijke verplichting op te leggen.20. Het beroep op die mogelijkheid is evenwel onderworpen aan de naleving van strikte vereisten, die niet slechts voortvloeien uit die bepaling maar eveneens uit de relevante bepalingen van het Handvest gelezen in het licht van het arrest DRI, die in een volgende paragraaf zullen worden onderzocht.21.

Zowel artikel 52, lid 1, van het Handvest als artikel 15, lid 1, van richtlijn 2002/58 stelt eisen aan de wettelijke grondslag die een lidstaat moet gebruiken voor het opleggen van een algemene verplichting tot bewaring van gegevens.

In de eerste plaats moet volgens artikel 52, lid 1, van het Handvest elke beperking van de uitoefening van de daarin erkende rechten ‘bij wet worden gesteld’. Ik wijs erop dat dit vereiste niet formeel is onderzocht door het Hof in het arrest DRI, dat betrekking had op een inmenging waarin was voorzien in een richtlijn.

Tot aan het recente arrest WebMindLicenses33. had het Hof zich nog nooit uitgesproken over de precieze draagwijdte van dit vereiste, zelfs niet wanneer het uitdrukkelijk vaststelde dat er wel34. of niet35. aan was voldaan. In punt 81 van dat arrest oordeelde het Hof als volgt:

Ik geef de Grote kamer van het Hof in overweging deze uitlegging in de onderhavige zaken te bevestigen om de volgende redenen.

Zoals advocaat-generaal Cruz Villalón terecht heeft opgemerkt in zijn conclusie in de zaak Scarlet Extended36., bestaat er een omvangrijke rechtspraak van het EHRM over dit vereiste in de context van het EVRM, die wordt gekenmerkt door een ‘materiële’ en niet door een ‘formele’ opvatting van de term ‘wet’.37.

Volgens die rechtspraak impliceert de uitdrukking ‘bij wet gesteld’ dat de wettelijke grondslag voldoende toegankelijk en voorzienbaar moet zijn, dat wil zeggen nauwkeurig genoeg geformuleerd om een persoon in staat te stellen — zo nodig na het inwinnen van deskundig advies — zijn gedrag erop af te stemmen. Die wettelijke grondslag moet eveneens naar behoren tegen willekeur beschermen en bijgevolg voldoende duidelijk de omvang en de wijze van uitoefening van de aan de autoriteiten toegekende bevoegdheid definiëren (beginsel van de rechtsstaat).38.

Ik ben van mening dat aan de in artikel 52, lid 1, van het Handvest gebruikte uitdrukking ‘bij wet gesteld’ dezelfde betekenis moet worden toegekend als deze uitdrukking heeft in de context van het EVRM, om de volgende redenen.

Enerzijds kan ingevolge artikel 53 van het Handvest en de toelichting op dat artikel het door het Handvest geboden beschermingsniveau nooit lager zijn dan het door het EVRM gewaarborgde niveau. Dit gebod om de ‘EVRM-drempel’ te bereiken impliceert dat de uitlegging door het Hof van de in artikel 52, lid 1, van het Handvest gebruikte uitdrukking ‘bij wet gesteld’ ten minste zo strikt moet zijn als die van het EHRM in de context van het EVRM.39.

Anderzijds zou het, gelet op de horizontale aard van dit vereiste, dat van toepassing kan zijn op vele soorten inmengingen, zowel in de context van het Handvest als in die van het EVRM40., niet juist zijn de lidstaten te onderwerpen aan verschillende criteria naargelang de inmenging wordt getoetst aan het ene of het andere van die instrumenten.41.

Ik ben derhalve van mening dat, zoals de Estse regering en de Commissie hebben aangevoerd, de uitdrukking ‘bij wet gesteld’ in artikel 52, lid 1, van het Handvest, in het licht van de rechtspraak van het EHRM die ik in punt 139 van deze conclusie heb samengevat, aldus moet worden uitgelegd dat een algemene verplichting tot bewaring van gegevens als in de hoofdgedingen aan de orde, enerzijds moet berusten op een voldoende toegankelijke en voorzienbare wettelijke grondslag en anderzijds naar behoren tegen willekeur moet beschermen.

In de tweede plaats moet de inhoud worden bepaald van de eisen die artikel 15, lid 1, van richtlijn 2001/58 stelt aan de wettelijke grondslag die moet worden gekozen door een lidstaat die gebruik wenst te maken van de door die bepaling geboden mogelijkheid.

In dit verband zij opgemerkt dat de taalversies van de eerste zin van deze bepaling onderling afwijken.

In de Engelse (‘legislative measures’), de Franse (‘mesures législatives’), de Italiaanse (‘disposizioni legislative’), de Portugese (‘medidas legislativas’), de Roemeense (‘măsuri legislative’) en de Zweedse (‘genom lagstiftning vidta åtgärder’) taalversie schrijft artikel 15, lid 1, eerste zin, van richtlijn 2002/58 mijns inziens maatregelen voor die zijn vastgesteld door de wetgevende macht.

Daarentegen kunnen de Deense (‘retsforskrifter’), de Duitse (‘Rechtsvorschriften’), de Zweedse (‘lagstiftning vidta åtgärder’), de Nederlandse (‘wettelijke maatregelen’) en de Spaanse (‘medidas legales’) taalversie van deze zin aldus worden uitgelegd dat zij maatregelen voorschrijven die ofwel door de wetgevende macht, ofwel door de uitvoerende macht zijn vastgesteld.

Volgens vaste rechtspraak brengt het vereiste van uniforme toepassing en dus uitlegging van een Uniehandeling mee dat deze handeling niet op zichzelf in een van haar versies mag worden beschouwd, maar moet worden uitgelegd zowel naar de werkelijke bedoeling van degene van wie de handeling afkomstig is als naar het doel dat hij nastreeft, gelet op onder meer de versies in alle andere officiële talen. Indien die versies onderling afwijken, dan moet die bepaling in principe worden uitgelegd met inachtneming van de algemene opzet en de doelstelling van de regeling waarvan zij een onderdeel vormt.42.

In casu regelt artikel 15, lid 1, van richtlijn 2002/58 de mogelijkheid voor de lidstaten om af te wijken van de door de artikelen 7 en 8 van het Handvest erkende grondrechten, in de bescherming waarvan deze richtlijn voorziet. Het lijkt mij dan ook juist om het door artikel 15, lid 1, van richtlijn 2002/58 gestelde vereiste van wettelijke grondslag uit te leggen in het licht van het Handvest en in het bijzonder van artikel 52, lid 1, ervan.

De door artikel 15, lid 1, van richtlijn 2002/58 voorgeschreven ‘maatregelen’ moeten derhalve dwingend beschikken over de in punt 143 van deze conclusie vermelde kenmerken, dus toegankelijk en voorzienbaar zijn en naar behoren beschermen tegen willekeur. Uit deze kenmerken, en met name uit het vereiste dat die maatregelen naar behoren moeten beschermen tegen willekeur, volgt dat deze maatregelen bindend moeten zijn voor de nationale autoriteiten die toegang krijgen tot de bewaarde gegevens. Het zou met name niet volstaan indien de waarborgen die de toegang tot die gegevens omgeven zouden zijn opgenomen in niet-bindende interne gedragscodes of richtsnoeren, zoals terecht is opgemerkt door de Law Society of England and Wales.

Bovendien sluit de uitdrukking ‘de lidstaten kunnen […] maatregelen treffen’, die in alle taalversies van artikel 15, lid 1, eerste zin, van richtlijn 2002/58 gelijk is, mijns inziens uit dat nationale rechtspraak, zelfs wanneer die vast is, een voldoende wettelijke grondslag kan vormen voor de toepassing van die bepaling. Ik wijs erop dat die bepaling in dit opzicht verder gaat dan de eisen die de rechtspraak van het EHRM stelt.43.

Ik voeg daaraan toe dat het mij, gelet op de ernst van de door een algemene verplichting tot bewaring van gegevens veroorzaakte inmenging in de door de artikelen 7 en 8 van het Handvest erkende grondrechten, wenselijk lijkt dat de wezenlijke inhoud van de betrokken regeling, en met name de waarborgen die deze verplichting omgeven, wordt vastgelegd in een door de wetgevende macht vastgestelde maatregel, waarvan de uitvoerende macht de uitvoeringsbepalingen preciseert.

Gelet op het voorgaande ben ik van mening dat artikel 15, lid 1, van richtlijn 2002/58 en artikel 52, lid 1, van het Handvest aldus moeten worden uitgelegd dat regelingen die een algemene verplichting tot bewaring van gegevens opleggen, als in de hoofdgedingen aan de orde, moeten worden vastgesteld bij wettelijke of bestuursrechtelijke maatregelen die voldoende toegankelijk en voorzienbaar zijn en naar behoren beschermen tegen willekeur.

Het staat aan de verwijzende rechters om de naleving van dit vereiste na te gaan, gelet op hun bevoorrechte positie waar het de beoordeling van hun respectieve nationale regelingen betreft.

Volgens artikel 52, lid 1, moeten beperkingen van de uitoefening van de door het Handvest erkende rechten en vrijheden ‘de wezenlijke inhoud van die rechten en vrijheden eerbiedigen’.44. Dit aspect, dat het Hof heeft onderzocht in de punten 39 en 40 van het arrest DRI in de context van richtlijn 2006/24, lijkt geen bijzondere problemen op te leveren in het kader van de onderhavige zaken, zoals is opgemerkt door de Spaanse en de Ierse regering en de Commissie.

In punt 39 van het arrest DRI besliste het Hof dat die richtlijn geen afbreuk deed aan de wezenlijke inhoud van het grondrecht op eerbiediging van het privéleven en de andere door artikel 7 van het Handvest erkende rechten, omdat zij niet toestond bood om kennis te nemen van de inhoud zelf van de elektronische communicaties.

Deze uitspraak is mijns inziens toepasbaar op de in de hoofdgedingen betrokken nationale regelingen, aangezien die ook niet toestaan kennis te nemen van de inhoud zelf van de elektronische communicaties.45.

In punt 40 van het arrest DRI oordeelde het Hof dat richtlijn 2006/24 geen afbreuk deed aan de wezenlijke inhoud van het door artikel 8 van het Handvest erkende grondrecht op bescherming van persoonsgegevens, gelet op de beginselen van gegevensbescherming en -beveiliging die de aanbieders ingevolge artikel 7 van die richtlijn moesten eerbiedigen, mits de lidstaten ervoor zorgden dat passende technische en organisatorische maatregelen werden genomen om te vermijden dat de gegevens per ongeluk of onrechtmatig werden vernietigd dan wel per ongeluk verloren raakten of werden gewijzigd.

Ook die uitspraak is mijns inziens toepasbaar op de in de hoofdgedingen betrokken nationale regelingen, aangezien deze vergelijkbare waarborgen bevatten voor de bescherming en de beveiliging van de door de aanbieders opgeslagen gegevens en deze waarborgen een doeltreffende bescherming van persoonsgegevens tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van deze gegevens mogelijk moet maken.46.

Het staat niettemin aan de verwijzende rechters om na te gaan of de in de hoofdgedingen betrokken nationale regelingen de wezenlijke inhoud van de door de artikelen 7 en 8 van het Handvest erkende rechten daadwerkelijk eerbiedigen in het licht van het voorgaande.

Zowel artikel 15, lid 1, van richtlijn 2002/58 als artikel 52, lid 1, van het Handvest vereist dat inmengingen in de door die instrumenten erkende rechten een doelstelling van algemeen belang nastreven.

In de punten 41–44 van het arrest DRI oordeelde het Hof enerzijds dat de door richtlijn 2006/24 opgelegde algemene verplichting tot bewaring van gegevens bijdroeg tot ‘de bestrijding van ernstige criminaliteit en aldus uiteindelijk tot de openbare veiligheid’, en anderzijds dat die bestrijding van ernstige criminaliteit een doelstelling van algemeen belang van de Unie vormde.

Uit de rechtspraak van het Hof blijkt namelijk dat de bestrijding van terrorisme ter handhaving van de internationale vrede en veiligheid een doel van algemeen belang van de Unie vormt. Hetzelfde geldt voor de bestrijding van ernstige criminaliteit ter waarborging van de openbare veiligheid. In dit verband zij voorts opgemerkt dat artikel 6 van het Handvest bepaalt dat eenieder niet alleen recht heeft op vrijheid, maar ook op veiligheid.47.

Dit oordeel is toepasbaar op de in de hoofdgedingen betrokken algemene verplichtingen tot bewaring van gegevens, die kunnen worden gerechtvaardigd door de doelstelling van bestrijding van ernstige criminaliteit.

Gelet op bepaalde voor het Hof aangevoerde argumenten moet niettemin worden vastgesteld of een dergelijke verplichting kan worden gerechtvaardigd door een andere doelstelling van algemeen belang dan de bestrijding van ernstige criminaliteit.

In dit verband verwijzen de bewoordingen van artikel 52, lid 1, van het Handvest in algemene zin naar ‘door de Unie erkende doelstellingen van algemeen belang’ en ‘de eisen van de bescherming van de rechten en vrijheden van anderen’.

Artikel 15, lid 1, van richtlijn 2002/58 omschrijft de doelstellingen die een inmenging in de door deze richtlijn erkende rechten kunnen rechtvaardigen preciezer. Volgens deze bepaling moeten de desbetreffende maatregelen namelijk bijdragen aan de ‘waarborging van de nationale, dat wil zeggen de staatsveiligheid, de landsverdediging, de openbare veiligheid, of het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronischecommunicatiesysteem als bedoeld in artikel 13, lid 1, van richtlijn 95/46’.

Het Hof oordeelde voorts in het arrest Promusicae48. dat deze bepaling moet worden uitgelegd in het licht van artikel 13, lid 1, van richtlijn 95/46, dat afwijkingen van de in die richtlijn neergelegde rechten toestaat wanneer deze worden gerechtvaardigd door ‘de bescherming van de rechten en vrijheden van anderen’. Het Hof oordeelde bijgevolg dat artikel 15, lid 1, van richtlijn 2002/58 de lidstaten de mogelijkheid bood om een aanbieder te verplichten persoonsgegevens te verstrekken, zodat in een civiele procedure kon worden vastgesteld of er sprake was van een inbreuk op auteursrechten op muzikale en audiovisuele opnamen.

De regering van het Verenigd Koninkrijk heeft op grond van dit arrest aangevoerd dat een algemene verplichting tot bewaring van gegevens kan worden gerechtvaardigd door ieder in artikel 15, lid 1, van richtlijn 2002/58 en artikel 13, lid 1, van richtlijn 95/46 vermeld doel. Volgens die regering kan een dergelijke verplichting worden gerechtvaardigd door het nut dat de bewaarde gegevens hebben voor de bestrijding van ‘lichte’ criminaliteit (tegenover ‘ernstige’) en zelfs in de context van niet-strafrechtelijke procedures die verband houden met de in die bepalingen vermelde doelen.

Dit argument overtuigt mij niet om de volgende redenen.

In de eerste plaats, en zoals Watson, Open Rights Group, en Privacy International terecht stellen, is de benadering die het Hof in het arrest Promusicae49. heeft gekozen niet toepasbaar op de onderhavige zaken, aangezien dat arrest een door een vereniging van houders van auteursrechten ingediend verzoek om toegang tot gegevens betrof die uit eigen beweging door een aanbieder, Telefónica de España, waren bewaard. Met andere woorden, dit arrest betrof niet de doelstellingen die de ernstige inmengingen in de grondrechten die inherent zijn aan algemene verplichtingen tot bewaring van gegevens als in de hoofdgedingen aan de orde, kunnen rechtvaardigen.

In de tweede plaats ben ik van mening dat het vereiste van evenredigheid in een democratische samenleving uitsluit dat de bestrijding van lichte criminaliteit of het goede verloop van niet-strafrechtelijke procedures een algemene verplichting tot bewaring van gegevens zou kunnen rechtvaardigen. De aanzienlijke risico's die een dergelijke verplichting met zich brengt staan immers niet in verhouding tot de voordelen die zij zou hebben voor de bestrijding van lichte criminaliteit of in de context van niet-strafrechtelijke procedures.50.

Gelet op het voorgaande ben ik van mening dat artikel 15, lid 1, van richtlijn 2002/58 en artikel 52, lid 1, van het Handvest aldus moeten worden uitgelegd dat de bestrijding van ernstige criminaliteit een doelstelling van algemeen belang vormt die een algemene verplichting tot bewaring van gegevens kan rechtvaardigen, in tegenstelling tot de bestrijding van lichte criminaliteit of het goede verloop van niet-strafrechtelijke procedures.

Bijgevolg moeten de redelijkheid, noodzakelijkheid en evenredigheid van een dergelijke verplichting worden onderzocht in het licht van de bestrijding van ernstige criminaliteit.

De vereisten van redelijkheid, noodzakelijkheid51. en evenredigheid52. vloeien zowel voort uit artikel 15, lid 1, van richtlijn 2002/58 als uit artikel 52, lid 1, van het Handvest.

Ingevolge het eerste van deze vereisten moeten algemene verplichtingen tot bewaring van gegevens, als hier aan de orde, geschikt zijn om bij te dragen tot de hiervoor onderscheiden doelstelling van algemeen belang, te weten de bestrijding van ernstige criminaliteit.

Dit vereiste levert geen bijzondere moeilijkheid op in de context van de onderhavige zaken. Zoals het Hof heeft opgemerkt in punt 49 van het arrest DRI, bieden de bewaarde gegevens de nationale strafvervolgingsautoriteiten een extra onderzoeksmiddel om ernstige gevallen van criminaliteit te voorkomen of op te helderen. Een dergelijke verplichting draagt derhalve bij aan de bestrijding van ernstige criminaliteit.

Ik wil niettemin verduidelijken welk nut een algemene verplichting tot bewaring van gegevens kan hebben voor de bestrijding van ernstige criminaliteit. Zoals de Franse regering terecht heeft aangevoerd, stelt een dergelijke maatregel, anders dan gerichte controlemaatregelen, de strafrechtelijke autoriteiten tot op zekere hoogte in staat om door de raadpleging van de bewaarde gegevens het ‘verleden te lezen’.

Een gerichte controlemaatregel heeft betrekking op personen van wie vooraf is vastgesteld dat zij betrokken kunnen zijn, al is het maar indirect of in de verte, bij een ernstig strafbaar feit. Dergelijke gerichte maatregelen geven de bevoegde autoriteiten toegang tot gegevens over door die personen gevoerde communicaties of zelfs tot de inhoud van die communicaties. Die toegang kan echter slechts communicaties betreffen die dergelijke personen hebben gevoerd nadat hun identiteit is vastgesteld.

Daarentegen betreft een algemene verplichting tot bewaring van gegevens alle communicaties van alle gebruikers, zonder dat enige betrokkenheid bij een ernstig strafbaar feit is vereist. Een dergelijke verplichting stelt de bevoegde autoriteiten in staat de communicatiegeschiedenis van een persoon te raadplegen vóórdat een dergelijke betrokkenheid van die persoon is vastgesteld. Het is in die zin dat een dergelijke verplichting de handhavingsautoriteiten een beperkt vermogen verleent om het verleden te lezen door hen toegang te bieden tot de communicaties die dergelijke personen hebben gevoerd voordat hun identiteit werd vastgesteld.53.

Met andere woorden, het nut van een algemene verplichting tot bewaring van gegevens voor de bestrijding van ernstige criminaliteit ligt in dat beperkte vermogen om het verleden te lezen aan de hand van gegevens die de geschiedenis weergeven van de communicaties die een persoon heeft gevoerd vóórdat hij ervan werd verdacht betrokken te zijn bij een ernstig strafbaar feit.54.

Bij de indiening van het richtlijnvoorstel dat heeft geleid tot de vaststelling van richtlijn 2006/24 heeft de Commissie dit nut verduidelijkt aan de hand van een aantal concrete voorbeelden van onderzoeken inzake, met name, daden van terrorisme, moord, ontvoering en kinderpornografie.55.

Een aantal gelijksoortige voorbeelden is voor het Hof uiteengezet in het kader van de onderhavige zaken, met name door de Franse regering, die heeft gewezen op de positieve verplichting die op de lidstaten rust om de veiligheid te garanderen van personen die zich op hun grondgebied bevinden. Volgens die regering speelt in het kader van de onderzoeken naar de ontmanteling van netwerken die het vertrek van Franse onderdanen naar conflictgebieden in Irak of Syrië organiseerden, de toegang tot bewaarde gegevens een doorslaggevende rol bij de identificatie van personen die dat vertrek hebben bevorderd. Zij voegt daaraan toe dat de toegang tot de communicatiegegevens van personen die betrokken waren bij de recente terroristische aanslagen van januari en november 2015 in Frankrijk voor de opsporingsambtenaren buitengewoon nuttig is geweest voor de opsporing van medeplichtigen van de daders van die aanslagen. In het kader van de opsporing van een vermiste persoon kunnen gegevens met betrekking tot de locatie van die persoon tijdens de communicaties die hij vóór zijn verdwijning heeft gevoerd een doorslaggevende rol spelen voor het onderzoek.

Gelet op het voorgaande ben ik van mening dat een algemene verplichting tot bewaring van gegevens geschikt is om bij te dragen tot de bestrijding van ernstige criminaliteit. Niettemin moet nog worden nagegaan of een dergelijke verplichting voor dit doel zowel noodzakelijk als evenredig is.

Volgens vaste rechtspraak kan een maatregel slechts worden geacht noodzakelijk te zijn indien er geen andere maatregel is die even passend maar minder ingrijpend is.56.

Het redelijkheidsvereiste komt neer op een toetsing van de ‘absolute’ doeltreffendheid — los van iedere andere denkbare maatregel — van een algemene verplichting tot bewaring van gegevens voor de bestrijding van ernstige criminaliteit. Het noodzakelijkheidsvereiste vergt daarentegen een beoordeling van de doelmatigheid ‒ of ‘relatieve’ doeltreffendheid, dat wil zeggen in vergelijking met andere denkbare maatregelen ‒ van een dergelijke verplichting.57.

In de context van de onderhavige zaken verplicht de noodzakelijkheidstoets ertoe enerzijds na te gaan of andere maatregelen even doeltreffend kunnen zijn als een algemene verplichting tot bewaring van gegevens voor de bestrijding van ernstige criminaliteit, en anderzijds of die eventuele maatregelen minder inbreuk maken op de door richtlijn 2002/58 en de artikelen 7 en 8 van het Handvest erkende rechten.58.

Ik herinner voorts aan de in punt 52 van het arrest DRI weergegeven vaste rechtspraak van het Hof, volgens welke de bescherming van het grondrecht op eerbiediging van het privéleven vereist dat de uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het ‘strikt noodzakelijke’ blijven.59.

Over twee vraagstukken die betrekking hebben op het vereiste van strikte noodzakelijkheid in de context van de onderhavige zaken is uitgebreid gediscussieerd door de partijen die opmerkingen hebben ingediend bij het Hof. Die vraagstukken komen in wezen overeen met de twee door de verwijzende rechter in zaak C-203/15 gestelde vragen:

Alvorens op deze vragen in te gaan wil ik het door de regering van het Verenigd Koninkrijk naar voren gebrachte argument afwijzen dat de in het arrest DRI geformuleerde criteria in de context van de onderhavige zaken niet relevant zijn omdat dat arrest geen betrekking had op een nationale regeling maar op een door de Uniewetgever vastgestelde regeling.

In dit verband wijs ik erop dat het arrest DRI uitlegging heeft gegeven aan de artikelen 7, 8 en 52, lid 1, van het Handvest en dat die bepalingen tevens het voorwerp vormen van de in de hoofgedingen gestelde vragen. Het is mijns inziens niet mogelijk om de bepalingen van het Handvest verschillend uit te leggen naargelang de betrokken regeling is vastgesteld op Unieniveau of op nationaal niveau, zoals Brice, Lewis en de Law Society of England and Wales terecht hebben opgemerkt. Wanneer is vastgesteld dat het Handvest van toepassing is, zoals in de onderhavige zaken het geval is60., moet het op dezelfde wijze worden toegepast, ongeacht de betrokken regeling. De door het Hof in het arrest DRI geformuleerde criteria zijn derhalve relevant voor de beoordeling van de in de hoofdgedingen betrokken nationale regelingen, zoals met name is aangevoerd door de Deense en de Ierse regering en door de Commissie.

Na beoordeling van de noodzakelijkheid van de in de hoofdgedingen betrokken nationale regelingen dienen de verwijzende rechters nog te toetsen of deze in een democratische samenleving evenredig zijn in het licht van de doelstelling van bestrijding van ernstige criminaliteit. Dit aspect is niet door het Hof onderzocht in het arrest DRI, aangezien de regeling van richtlijn 2006/24 de grenzen van het strikt noodzakelijke voor de bestrijding van ernstige criminaliteit overschreed.

Dit vereiste van evenredigheid in een democratische samenleving — of evenredigheid ‘stricto sensu’ — vloeit voort uit artikel 15, lid 1, van richtlijn 2002/58, uit artikel 52, lid 1, van het Handvest en uit vaste rechtspraak. Volgens die vaste rechtspraak kan een maatregel die inbreuk maakt op grondrechten slechts worden geacht evenredig te zijn indien de veroorzaakte nadelen niet onevenredig zijn aan het nagestreefde doel.78.

Anders dan de vereisten van redelijkheid en noodzakelijkheid van de betrokken maatregel, die een waardering van de doeltreffendheid ten opzichte van het nagestreefde doel omvatten, bestaat het evenredigheidsvereiste stricto sensu in het in evenwicht brengen van enerzijds de uit die maatregel voortvloeiende voordelen voor het nagestreefde legitieme doel, en anderzijds de eruit voortvloeiende nadelen voor de in een democratische samenleving erkende grondrechten.79. Dit vereiste zet aldus een discussie in gang over de waarden die in een democratische samenleving moeten gelden, en uiteindelijk over het type samenleving waarin wij wensen te leven.80.

Bijgevolg, en zoals ik heb aangegeven in punt 223 van deze conclusie, dient de globale beoordeling van de betrokken regeling plaats te vinden in het stadium van het onderzoek van de evenredigheid in strikte zin, en niet in het stadium van het onderzoek van de noodzakelijkheid, zoals de voorstanders van de ‘communicerende vaten’‒theorie hebben aangevoerd.81.

Volgens de in punt 247 van deze conclusie weergegeven rechtspraak moet een evenwicht worden gevonden tussen de voor- en de nadelen, in een democratische samenleving, van een algemene verplichting tot bewaring van gegevens. Deze voor- en nadelen zijn nauw verbonden met het wezenlijke kenmerk van een dergelijke verplichting, waarvan zij als het ware de zon- en de schaduwzijde vertegenwoordigen, namelijk het feit dat die verplichting alle communicaties van alle gebruikers betreft zonder dat enige betrokkenheid bij een ernstig strafbaar feit is vereist.

Ik heb in de punten 178–183 van deze conclusie reeds de voordelen uiteengezet die de bewaring van gegevens van alle op het nationale grondgebied gevoerde communicaties meebrengt voor de bestrijding van ernstige criminaliteit.

Anderzijds vloeien de nadelen van een algemene verplichting tot bewaring van gegevens voort uit het feit dat de overgrote meerderheid van de bewaarde gegevens personen betreft die nooit op enigerlei wijze betrokken zullen zijn bij een ernstig strafbaar feit. Het is in dit verband van belang te preciseren wat de aard is van de nadelen die deze personen ervan ondervinden. Die aard verschilt echter naargelang van de mate van inmenging in hun grondrechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens.

In het kader van een ‘individuele’ inmenging, die één bepaalde persoon betreft, zijn de nadelen die voortvloeien uit een algemene verplichting tot bewaring van gegevens zeer helder beschreven door advocaat‒generaal Cruz Villalón in de punten 72–74 van zijn conclusie in de zaak DRI.82. In zijn woorden kan de exploitatie van deze gegevens ‘een belangrijk deel van het gedrag van een persoon, dat strikt onder zijn privéleven valt, op getrouwe en uitputtende wijze in kaart […] brengen of zelfs een volledig en precies beeld […] schetsen van zijn privé‒identiteit’.

Met andere woorden, een algemene verplichting tot bewaring van gegevens kan, in een individuele context, net zulke ernstige inmengingen veroorzaken als gerichte controlemaatregelen, daaronder begrepen die welke de inhoud van de gevoerde communicaties onderscheppen.

Ofschoon de ernst van dergelijke individuele inmengingen niet kan worden onderschat, ben ik niettemin van mening dat de specifieke risico's die door een algemene verplichting tot bewaring van gegevens worden veroorzaakt aan het licht komen bij inmengingen ‘op grote schaal’.

Immers, anders dan gerichte controlemaatregelen kan een dergelijke verplichting inmengingen op grote schaal, dat wil zeggen inmengingen die een substantieel deel van of zelfs een gehele relevante bevolkingsgroep treffen, aanzienlijk bevorderen, zoals de volgende voorbeelden illustreren.

Stel, in de eerste plaats, dat een persoon die toegang heeft tot bewaarde gegevens van plan is binnen de bevolking van de lidstaat alle personen met een psychische stoornis te identificeren. De evaluatie van de inhoud van alle op het nationale grondgebied gevoerde communicaties zou een enorme inzet van middelen vergen. Daarentegen kunnen door de exploitatie van databestanden met communicatiegegevens onmiddellijk alle individuen worden geïdentificeerd die gedurende de bewaringstermijn contact hebben gehad met een psycholoog.83. Ik voeg hieraan toe dat deze techniek kan worden uitgebreid tot elke in een lidstaat geregistreerde medisch specialisme.84.

Stel, in de tweede plaats, dat diezelfde persoon degenen wil identificeren die het niet eens zijn met het beleid van de zittende regering. De evaluatie die dat doel zou moeten worden verricht van de inhoud van communicaties zou wederom een enorme inzet van middelen vergen. Daarentegen kunnen door de exploitatie van communicatiegegevens alle personen worden geïdentificeerd die staan ingeschreven op verzendlijsten voor e‒mailberichten waarin het regeringsbeleid wordt bekritiseerd. Die gegevens zouden het bovendien mogelijk maken personen te identificeren die deelnemen aan openbare antiregeringsmanifestaties.85.

Ik wijs erop dat de risico's die verband houden met de toegang tot communicatiegegevens (of ‘metagegevens’) gelijk aan of groter kunnen zijn dan die welke voortvloeien uit de toegang tot de inhoud van die communicaties, zoals is opgemerkt door Open Rights Group en Privacy International, de Law Society of England and Wales, alsook door de United Nations High Commissioner for Human Rights in een recent rapport.86. In het bijzonder, en zoals de hiervoor weergegeven voorbeelden aantonen, kunnen op basis van ‘metagegevens’ vrijwel onmiddellijk hele bevolkingsgroepen worden gecategoriseerd, hetgeen niet mogelijk is op basis van de inhoud van communicaties.

Ik voeg hieraan toe dat de risico's van ongerechtvaardigde of onrechtmatige toegang tot bewaarde gegevens zeker niet theoretisch zijn. Enerzijds moet het risico van ongerechtvaardigde toegang door bevoegde autoriteiten in verband worden gebracht met het extreem hoge aantal toegangsverzoeken dat is genoemd in de bij het Hof ingediende opmerkingen. In de context van de Zweedse regeling heeft Tele2 Sverige aangegeven ongeveer 10 000 toegangsverzoeken per maand te ontvangen, in welk cijfer niet zijn begrepen de verzoeken die worden ontvangen door andere aanbieders die op het Zweedse grondgebied actief zijn. Wat de regeling van het Verenigd Koninkrijk betreft heeft Watson cijfers genoemd uit een officieel rapport dat melding maakt van 517 236 schriftelijke toestemmingen en 55 346 mondelinge toestemmingen, wegens spoed, enkel in het jaar 2014. Anderzijds is het risico van onrechtmatige toegang, door wie dan ook, onlosmakelijk verbonden met het bestaan van op informatiedragers bewaarde gegevens.87.

Het staat mijns inziens aan de verwijzende rechters om te beoordelen of de nadelen die de in de hoofdgedingen betrokken algemene verplichtingen tot bewaring van gegevens veroorzaken in een democratische samenleving niet onevenredig zijn aan de nagestreefde doelen, gelet op de in punt 247 van deze conclusie weergegeven rechtspraak. In het kader van deze beoordeling moeten die rechters de aan een dergelijke verplichting verbonden risico's en voordelen tegen elkaar af wegen, namelijk:

Die beoordeling moet plaatsvinden met inachtneming van alle relevante kenmerken van de in de hoofdgedingen betrokken nationale regelingen. Ik benadruk in dit verband dat de door het Hof in de punten 60–68 van het arrest DRI genoemde dwingende waarborgen slechts minimumwaarborgen vormen om de inbreuk op de door richtlijn 2002/58 en de artikelen 7 en 8 van het Handvest erkende rechten te beperken tot het strikt noodzakelijke. Het is bijgevolg niet uitgesloten dat een nationale regeling die al die waarborgen bevat niettemin onevenredig moet worden geacht in een democratische samenleving vanwege de wanverhouding tussen de ernstige risico's die in een democratische samenleving door die verplichting worden veroorzaakt en de voordelen die eruit voortvloeien voor de bestrijding van ernstige criminaliteit.