None
2


Deze verzoeken zijn ingediend in het kader van twee gedingen, het eerste tussen Tele2 Sverige AB en de Post- och telestyrelse (Zweedse toezichthoudende autoriteit voor post en telecommunicatie; hierna: „PTS”) over een door laatstgenoemde aan Tele2 Sverige gegeven bevel om de verkeersgegevens en de locatiegegevens van haar abonnees en geregistreerde gebruikers te bewaren (zaak C‑203/15), en het tweede tussen Tom Watson, Peter Brice en Geoffrey Lewis, enerzijds, en de Secretary of State for the Home Department (minister van Binnenlandse Zaken, Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland), anderzijds, over de overeenstemming met het Unierecht van section 1 van de Data Retention and Investigatory Powers Act 2014 (wet van 2014 betreffende de bewaring van gegevens en de onderzoeksbevoegdheden; hierna: „DRIPA”) (zaak C‑698/15).
Toepasselijke bepalingen


Unierecht

Richtlijn 2002/58





3


In de overwegingen 2, 6, 7, 11, 21, 22, 26 en 30 van richtlijn 2002/58 staat te lezen:





„(2)


Deze richtlijn strekt tot eerbiediging van de grondrechten en beginselen die tot uitdrukking zijn gebracht in met name het [Handvest]. In het bijzonder strekt deze richtlijn tot volledige eerbiediging van de in de artikelen 7 en 8 [van het Handvest] bedoelde rechten […].
[…]





(6)


Het internet vervangt traditionele marktstructuren door te voorzien in een gemeenschappelijke, wereldwijde infrastructuur voor de levering van een breed scala van elektronischecommunicatiediensten. Algemeen beschikbare elektronischecommunicatiediensten via het internet bieden de gebruikers nieuwe mogelijkheden, maar houden ook nieuwe gevaren in voor de bescherming van hun persoonsgegevens en persoonlijke levenssfeer.
(7)


Voor openbare communicatienetwerken moeten specifieke wettelijke, bestuursrechtelijke en technische bepalingen worden vastgesteld teneinde de fundamentele rechten en vrijheden van natuurlijke personen en de rechtmatige belangen van rechtspersonen te beschermen tegen met name de steeds grotere mogelijkheden in verband met de geautomatiseerde opslag en verwerking van gegevens met betrekking tot de abonnees en de gebruikers.
 […]





(11)


Deze richtlijn is evenmin als richtlijn 95/46/EG [van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31)] van toepassing op vraagstukken met betrekking tot de bescherming van fundamentele rechten en vrijheden in verband met niet onder het gemeenschapsrecht vallende activiteiten. Zij verandert bijgevolg niets aan het bestaande evenwicht tussen het recht van personen op persoonlijke levenssfeer en de mogelijkheid voor de lidstaten om de in artikel 15, lid 1, van deze richtlijn bedoelde maatregelen te nemen, die nodig zijn voor de bescherming van de openbare veiligheid, defensie, staatsveiligheid (met inbegrip van het economisch welzijn van de staat wanneer de activiteit verband houdt met de staatsveiligheid) en de wetshandhaving op strafrechtelijk gebied. Bijgevolg doet deze richtlijn geen afbreuk aan de mogelijkheid voor de lidstaten om wettelijk toegestane interceptie van elektronische communicatie uit te voeren of andere maatregelen vast te stellen, wanneer dat voor één van voornoemde doeleinden noodzakelijk is, mits zij daarbij het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden, zoals geïnterpreteerd in de uitspraken van het Europees Hof voor de rechten van de mens, in acht nemen. Zulke maatregelen dienen passend te zijn voor, en strikt evenredig met, het beoogde doel en noodzakelijk in een democratische samenleving en moeten adequate waarborgen bevatten overeenkomstig het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden.
 […]





(21)


Er moeten maatregelen worden getroffen om onbevoegde toegang tot communicatie te verhinderen, teneinde het vertrouwelijk karakter van communicatie via openbare communicatienetwerken en openbare elektronischecommunicatiediensten te beschermen, zowel ten aanzien van de inhoud zelf als van gegevens over die communicatie. De nationale wetgeving van sommige lidstaten verbiedt uitsluitend opzettelijke onbevoegde toegang tot communicatie.
 (22)


Het verbod op het opslaan van communicatie en de daarmee verband houdende verkeersgegevens door anderen dan de gebruikers of zonder hun toestemming is niet bedoeld om de automatische, tussentijdse en tijdelijke opslag van die informatie te verbieden, voor zover deze opslag uitsluitend dient voor het doorzenden in het elektronischecommunicatienetwerk en mits de informatie niet langer wordt opgeslagen dan nodig voor het doorzenden en het beheer van het verkeer, en het vertrouwelijk karakter tijdens de opslag gewaarborgd blijft. […]



[…]





(26)


De gegevens over abonnees die in elektronischecommunicatienetwerken worden verwerkt om verbindingen tot stand te brengen en informatie over te dragen, bevatten informatie over het privéleven van natuurlijke personen en betreffen het recht op respect voor hun correspondentie of de rechtmatige belangen van rechtspersonen. Dergelijke gegevens mogen slechts worden opgeslagen voor zover dat nodig is voor het leveren van de dienst, voor facturering en voor interconnectiebetalingen, en slechts gedurende een beperkte tijd. Elke verdere verwerking van dergelijke gegevens […] is slechts toegestaan indien de abonnee daarmee heeft ingestemd op basis van precieze en volledige informatie van de aanbieder van de openbare elektronischecommunicatiedienst over de door hem geplande verdere verwerking van de gegevens en over het recht van de abonnee een dergelijke verwerking niet toe te staan of de toestemming daartoe in te trekken. […]



[…]





(30)


Systemen voor elektronischecommunicatienetwerken en ‑diensten moeten op dusdanige wijze worden ontworpen dat het aantal persoonsgegevens tot het strikt noodzakelijke minimum wordt beperkt. […]”











4


Artikel 1, „Werkingssfeer en doelstelling”, van richtlijn 2002/58 bepaalt:
„1.   Deze richtlijn voorziet in de harmonisering van de regelgeving van de lidstaten die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen en om te zorgen voor het vrij verkeer van dergelijke gegevens en van elektronischecommunicatieapparatuur en ‑diensten in de Gemeenschap.
 2.   Voor de doelstellingen van lid 1 vormen de bepalingen van deze richtlijn een specificatie van en een aanvulling op richtlijn [95/46]. Bovendien voorzien zij in bescherming van de rechtmatige belangen van abonnees die rechtspersonen zijn.
3.   Deze richtlijn is niet van toepassing op activiteiten die niet onder het EG-Verdrag vallen, zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie, en in geen geval op activiteiten die verband houden met de openbare veiligheid, defensie, staatsveiligheid (met inbegrip van het economische welzijn van de staat wanneer de activiteit verband houdt met de staatsveiligheid) en de activiteiten van de staat op strafrechtelijk gebied.”








5


In artikel 2, „Definities”, van richtlijn 2002/58, staat:
„Tenzij anders is bepaald, zijn de definities van richtlijn [95/46] en richtlijn 2002/21/EG van het Europees Parlement en de Raad van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronischecommunicatienetwerken en ‑diensten (‚kaderrichtlijn’) [(PB 2002, L 108, blz. 33)] van toepassing.
 Daarnaast wordt in deze richtlijn verstaan onder:
[…]





b)


‚verkeersgegevens’: gegevens die worden verwerkt voor het overbrengen van communicatie over een elektronischecommunicatienetwerk of voor de facturering ervan;








c)


‚locatiegegevens’: gegevens die in een elektronischecommunicatienetwerk of door een elektronischecommunicatiedienst worden verwerkt, waarmee de geografische positie van de eindapparatuur van een gebruiker van een openbare elektronischecommunicatiedienst wordt aangegeven;








d)


‚communicatie’: informatie die wordt uitgewisseld of overgebracht tussen een eindig aantal partijen door middel van een openbare elektronischecommunicatiedienst. Dit omvat niet de informatie die via een omroepdienst over een elektronischecommunicatienetwerk wordt overgebracht, behalve wanneer de informatie kan worden gerelateerd aan de identificeerbare abonnee of gebruiker die de informatie ontvangt;



[…]”








6


Artikel 3, „Betrokken diensten”, van richtlijn 2002/58 bepaalt:
„Deze richtlijn is van toepassing op de verwerking van persoonsgegevens in verband met de levering van openbare elektronischecommunicatiediensten over openbare communicatienetwerken in de Gemeenschap, met inbegrip van openbare communicatienetwerken die systemen voor gegevensverzameling en identificatie ondersteunen.”








7


Artikel 4, „Beveiliging van de verwerking”, van deze richtlijn luidt als volgt:
„1.   De aanbieder van een openbare elektronischecommunicatiedienst treft passende technische en organisatorische maatregelen om de veiligheid van zijn diensten te garanderen, indien nodig in overleg met de aanbieder van het openbare communicatienetwerk wat de veiligheid van het netwerk betreft. Die maatregelen waarborgen een beveiligingsniveau dat in verhouding staat tot het betrokken risico, rekening houdend met de stand van de techniek en de kosten van uitvoering ervan.
 1 bis.   Onverminderd richtlijn [95/46] zorgen de in lid 1 bedoelde maatregelen ervoor dat in ieder geval:





—


wordt gewaarborgd dat alleen gemachtigd personeel voor wettelijk toegestane doeleinden toegang heeft tot de persoonsgegevens;








—


opgeslagen of verzonden persoonsgegevens worden beschermd tegen onbedoelde of onwettige vernietiging, onbedoeld verlies of wijziging, en niet-toegestane of onwettige opslag, verwerking, toegang of vrijgave, en








—


een beveiligingsbeleid wordt ingevoerd met betrekking tot de verwerking van persoonsgegevens.
[…]”








8


In artikel 5, „Vertrouwelijk karakter van de communicatie”, van richtlijn 2002/58 staat:
„1.   De lidstaten garanderen via nationale wetgeving het vertrouwelijke karakter van de communicatie en de daarmee verband houdende verkeersgegevens via openbare communicatienetwerken en via openbare elektronischecommunicatiediensten. Zij verbieden met name het afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van de communicatie en de daarmee verband houdende verkeersgegevens door anderen dan de gebruikers, indien de betrokken gebruikers daarin niet hebben toegestemd, tenzij dat bij wet is toegestaan overeenkomstig artikel 15, lid 1. Dit lid laat de technische opslag die nodig is voor het overbrengen van informatie onverlet, onverminderd het vertrouwelijkheidsbeginsel.
 […]
3.   De lidstaten dragen ervoor zorg dat de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of gebruiker, alleen is toegestaan op voorwaarde dat de betrokken abonnee of gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie overeenkomstig richtlijn [95/46], onder meer over de doeleinden van de verwerking. Zulks vormt geen beletsel voor enige vorm van technische opslag of toegang met als uitsluitend doel de uitvoering van de verzending van een communicatie over een elektronischecommunicatienetwerk, of, indien strikt noodzakelijk, om ervoor te zorgen dat de aanbieder van een uitdrukkelijk door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij deze dienst levert.”








9


Artikel 6, „Verkeersgegevens”, van richtlijn 2002/58 bepaalt:
„1.   Verkeersgegevens met betrekking tot abonnees en gebruikers die worden verwerkt en opgeslagen door de aanbieder van een openbaar elektronischecommunicatienetwerk of ‑dienst, moeten, wanneer ze niet langer nodig zijn voor het doel van de transmissie van communicatie, worden gewist of anoniem gemaakt, onverminderd de leden 2, 3 en 5, alsmede artikel 15, lid 1.
2.   Verkeersgegevens die noodzakelijk zijn ten behoeve van de facturering van abonnees en interconnectiebetalingen mogen worden verwerkt. Die verwerking is slechts toegestaan tot aan het einde van de termijn waarbinnen de rekening in rechte kan worden aangevochten of de betaling kan worden afgedwongen.
 3.   De aanbieder van een openbare elektronischecommunicatiedienst mag ten behoeve van de marketing van elektronischecommunicatiediensten of voor de levering van diensten met toegevoegde waarde de in lid 1 bedoelde gegevens verwerken voor zover en voor zolang dat nodig is voor dergelijke diensten of marketing, indien de abonnee of de gebruiker waarop de gegevens betrekking hebben daartoe zijn voorafgaande toestemming heeft gegeven. Gebruikers of abonnees kunnen hun toestemming voor de verwerking van verkeersgegevens te allen tijde intrekken.
 […]
5.   De verwerking van verkeersgegevens overeenkomstig de leden 1 tot en met 4 mag alleen worden uitgevoerd door personen die werkzaam zijn onder het gezag van de aanbieders van de openbare communicatienetwerken of ‑diensten voor facturering of verkeersbeheer, behandeling van verzoeken om inlichtingen van klanten, opsporing van fraude en marketing van elektronischecommunicatiediensten van de aanbieder of de levering van diensten met toegevoegde waarde, en moet beperkt blijven tot hetgeen noodzakelijk is om die activiteiten te kunnen uitvoeren.”








10


In artikel 9, „Andere locatiegegevens dan verkeersgegevens”, lid 1, van deze richtlijn staat:
„Wanneer andere locatiegegevens dan verkeersgegevens die betrekking hebben op gebruikers of abonnees van elektronischecommunicatienetwerken of ‑diensten verwerkt kunnen worden, mogen deze gegevens slechts worden verwerkt wanneer zij anoniem zijn gemaakt of wanneer de gebruikers of abonnees daarvoor hun toestemming hebben gegeven, voor zover en voor zolang zulks nodig is voor de levering van een dienst met toegevoegde waarde. De dienstenaanbieder moet de gebruikers of abonnees, voorafgaand aan het verkrijgen van hun toestemming, in kennis stellen van de soort locatiegegevens andere dan verkeersgegevens, die zullen worden verwerkt, en van de doeleinden en de duur van die verwerking, en hun meedelen of deze gegevens aan een derde zullen worden doorgegeven ten behoeve van de levering van de dienst met toegevoegde waarde. […]”








11


Artikel 15, „Toepassing van een aantal bepalingen van richtlijn [95/46]”, van deze richtlijn luidt als volgt:
„1.   De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in de artikelen 5 en 6, artikel 8, leden 1, 2, 3 en 4, en artikel 9 van deze richtlijn bedoelde rechten en plichten, indien dat in een democratische samenleving noodzakelijk, redelijk en proportioneel is ter waarborging van de nationale [veiligheid], d.w.z. de staatsveiligheid, de landsverdediging, de openbare veiligheid, of het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronischecommunicatiesysteem als bedoeld in artikel 13, lid 1, van richtlijn [95/46]. Daartoe kunnen de lidstaten o.a. wetgevingsmaatregelen treffen om gegevens gedurende een beperkte periode te bewaren om de redenen die in dit lid worden genoemd. Alle in dit lid bedoelde maatregelen dienen in overeenstemming te zijn met de algemene beginselen van het gemeenschapsrecht, met inbegrip van de beginselen als bedoeld in artikel 6, leden 1 en 2, van het Verdrag betreffende de Europese Unie.
 […]
1 ter.   Aanbieders zetten interne procedures op voor de afhandeling van verzoeken om toegang tot persoonsgegevens van gebruikers op de grondslag van nationale bepalingen die overeenkomstig lid 1 zijn aangenomen. Zij verstrekken aan de bevoegde nationale instantie op verzoek gegevens over deze procedures, het aantal ontvangen verzoeken, de aangevoerde wettelijke motivering en hun antwoord.
2.   Het bepaalde in hoofdstuk III van richtlijn [95/46] inzake beroep op de rechter, aansprakelijkheid en sancties geldt voor de nationale bepalingen die uit hoofde van deze richtlijn worden aangenomen en ten aanzien van de individuele rechten die uit deze richtlijn voortvloeien.
 […]”



Richtlijn 95/46





12


Artikel 22 van richtlijn 95/46, dat deel uitmaakt van hoofdstuk III van deze richtlijn, luidt als volgt:
„Onverminderd de administratieve voorziening die met name bij de in artikel 28 bedoelde toezichthoudende autoriteit kan worden getroffen voordat de zaak aanhangig wordt gemaakt voor de rechter, bepalen de lidstaten dat een ieder zich tot de rechter kan wenden wanneer de rechten die hem worden gegarandeerd door het op de betrokken verwerking toepasselijke nationale recht geschonden worden.”



Richtlijn 2006/24





13


Artikel 1, „Onderwerp en werkingssfeer”, lid 2, van richtlijn 2006/24/EG van het Europees Parlement en de Raad van 15 maart 2006 betreffende de bewaring van gegevens die zijn gegenereerd of verwerkt in verband met het aanbieden van openbaar beschikbare elektronischecommunicatiediensten of van openbare communicatienetwerken en tot wijziging van richtlijn 2002/58/EG (PB 2006, L 105, blz. 54) bepaalde:
„Deze richtlijn heeft betrekking op verkeers- en locatiegegevens van natuurlijke en rechtspersonen, evenals op de daarmee verband houdende gegevens die nodig zijn om de abonnee of geregistreerde gebruiker te identificeren. Zij is niet van toepassing op de inhoud van elektronische communicatie, de informatie die wordt geraadpleegd met behulp van een elektronischecommunicatienetwerk daaronder begrepen.”








14


Artikel 3, „Verplichting om gegevens te bewaren”, van deze richtlijn luidt als volgt:
„1.   In afwijking van de artikelen 5, 6 en 9 van richtlijn [2002/58] nemen de lidstaten bepalingen aan om te waarborgen dat de in artikel 5 bedoelde gegevens, voor zover deze in het kader van de aanbieding van de bedoelde communicatiediensten worden gegenereerd of verwerkt door onder hun rechtsmacht vallende aanbieders van openbare elektronischecommunicatiediensten of een openbaar communicatienetwerk bij het leveren van de betreffende communicatiediensten, worden bewaard overeenkomstig de bepalingen van deze richtlijn.
 2.   De verplichting tot gegevensbewaring voorzien in lid 1 omvat de bewaring van de in artikel 5 bedoelde gegevens betreffende oproeppogingen zonder resultaat waarbij die gegevens, voor zover die in verband met de aanbieding van de bedoelde communicatiediensten worden gegenereerd, verwerkt en opgeslagen (wat telefoniegegevens betreft) of gelogd (wat internetgegevens betreft) door onder de rechtsmacht van de betrokken lidstaat vallende aanbieders van openbaar beschikbare elektronischecommunicatiediensten of van een openbaar communicatienetwerk. Deze richtlijn bevat geen vereisten betreffende de bewaring van gegevens in verband met niet tot stand gekomen verbindingen.”




Zweeds recht






15


Uit de verwijzingsbeslissing in zaak C‑203/15 blijkt dat de Zweedse wetgever, om richtlijn 2006/24 in nationaal recht om te zetten, de lag (2003:389) om elektronisk kommunikation [wet (2003:389) betreffende elektronische communicatie; hierna: „LEK”] en de förordning (2003:396) om elektronisk kommunikation [verordening (2003:396) betreffende elektronische communicatie; hierna: „FEK”] heeft gewijzigd. Beide teksten, in de op het hoofdgeding toepasselijke versie ervan, bevatten regels over het bewaren van de gegevens betreffende elektronische communicatie en over de toegang van de nationale autoriteiten tot die gegevens.
16


De toegang tot die gegevens wordt bovendien geregeld in de lag (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet [wet (2012:278) betreffende de verzameling van gegevens over elektronische communicatie bij de opsporingsactiviteiten van handhavingsautoriteiten; hierna: „wet 2012:278”] en in de rättegångsbalk (wetboek van burgerlijke rechtsvordering; hierna: „RB”).
 Verplichting tot bewaring van de gegevens betreffende de elektronische communicatie





17


Volgens de door de verwijzende rechterlijke instantie in zaak C‑203/15 verstrekte gegevens legt § 16 a van hoofdstuk 6 van de LEK, gelezen in samenhang met § 1 van hoofdstuk 2 van deze wet, de aanbieders van elektronischecommunicatiediensten de verplichting op tot bewaring van de gegevens die volgens richtlijn 2006/24 dienden te worden bewaard. Het gaat om de gegevens betreffende de abonnementen en de elektronische communicatie die nodig zijn voor het opsporen en identificeren van de bron en de bestemming van een communicatie, voor het bepalen van de datum, het tijdstip, de duur en de aard van de communicatie, voor het identificeren van de gebruikte communicatieapparatuur en voor het bepalen van de locatie van de mobiele communicatieapparatuur bij de aanvang en de beëindiging van de communicatie. De bewaringsverplichting betreft gegevens die zijn gegenereerd of verwerkt in het kader van telefoondiensten, telefoondiensten via mobiele aansluitingspunten, systemen voor elektronischeberichtenverkeer, en diensten die toegang tot het internet verschaffen of capaciteit voor internettoegang ter beschikking stellen (connector). Deze verplichting geldt ook voor de gegevens betreffende niet tot stand gekomen communicaties. Zij ziet echter niet op de inhoud van de communicaties.
 18


In de §§ 38 tot en met 43 van de verordening (2003:396) betreffende elektronische communicatie wordt nader uiteengezet welke categorieën van gegevens moeten worden bewaard. Wat de telefoondiensten betreft, moeten met name het bellende en het opgebelde nummer worden bewaard, alsook de datum en het traceerbare tijdstip waarop de communicatie begon en eindigde. Met betrekking tot de telefoondiensten via mobiele aansluitingspunten worden aanvullende verplichtingen opgelegd, zoals bijvoorbeeld het bewaren van de locatiegegevens van het begin en het einde van de communicatie. Met betrekking tot de telefoondiensten waarbij internetprotocollen worden gebruikt, moeten, behalve bovengenoemde gegevens, met name ook de IP-adressen van de beller en van de opgebelde persoon worden bewaard. Met betrekking tot de systemen van elektronischeberichtenverkeer moeten met name de nummers en de IP-adressen of andere berichtadressen van de verzenders en de ontvangers worden bewaard. Ter zake van de diensten die toegang tot het internet verschaffen, moeten bijvoorbeeld het IP-adres van de gebruiker alsook de datum en het traceerbare tijdstip van de log‑in en log‑off van de internetsessie worden bewaard.
Bewaringstermijn van de gegevens





19


Volgens § 16 d van hoofdstuk 6 van de LEK moeten de in § 16 a van dat hoofdstuk bedoelde gegevens door de aanbieders van elektronischecommunicatiediensten worden bewaard gedurende zes maanden te rekenen vanaf de dag waarop de communicatie is beëindigd. Zij moeten vervolgens onverwijld worden gewist, tenzij in § 16 d, tweede alinea, van dat hoofdstuk anders is bepaald.
Toegang tot de bewaarde gegevens





20


De toegang tot de door de nationale autoriteiten bewaarde gegevens wordt geregeld door de bepalingen van wet 2012:278, van de LEK en van de RB.
 – Wet 2012:278





21


In het kader van de inlichtingsactiviteiten mogen de nationale politie, de Säkerhetspolis (inlichtingendienst, Zweden) en de Tullverk (douane, Zweden) op grond van § 1 van wet 2012:278 onder de in die wet gestelde voorwaarden buiten medeweten van degene die overeenkomstig de LEK een elektronischecommunicatienetwerk of een elektronischecommunicatiedienst aanbiedt, gegevens verzamelen over de berichten die in een elektronischecommunicatienetwerk zijn overgebracht, de elektronischecommunicatieapparatuur die in een bepaald geografisch gebied aanwezig was, en het geografische gebied of de geografische gebieden waarin bepaalde elektronischecommunicatieapparatuur aanwezig is of was.
22


Volgens de §§ 2 en 3 van wet 2012:278 kunnen de gegevens in beginsel worden verzameld indien de omstandigheden van dien aard zijn dat de maatregel bijzonder noodzakelijk is voor het voorkomen, verhinderen of vaststellen van een criminele activiteit die ofwel een of meer strafbare feiten omvat waarop ten minste twee jaar gevangenisstraf staat, ofwel een van de in § 3 van die wet genoemde handelingen, waaronder strafbare feiten waarop een gevangenisstraf van minder dan twee jaar staat. De redenen voor deze maatregel moeten opwegen tegen de aantasting of de schade die deze maatregel meebrengt voor degene die er het voorwerp van is, of voor een tegengesteld belang. Volgens § 5 van die wet mag de maatregel niet meer dan een maand duren.
23


De beslissing om een dergelijke maatregel te treffen wordt genomen door de directeur van de betrokken autoriteit of door een daartoe gemachtigde persoon. Zij is niet onderworpen aan voorafgaande toetsing door een rechterlijke instantie of door een onafhankelijke bestuurlijke autoriteit.
 24


Volgens § 6 van wet 2012:278 moet de Säkerhets- och integritetsskyddsnämnd (veiligheids- en integriteitscommissie, Zweden) in kennis worden gesteld van elke beslissing waarbij toestemming wordt verleend voor het verzamelen van gegevens. Op grond van § 1 van de lag (2007:980) om tillsyn över viss brottsbekämpande verksamhet [wet (2007:980) betreffende het toezicht op bepaalde wetshandhavingsactiviteiten] moet die autoriteit toezien op de toepassing van de wet door de handhavingsautoriteiten.
– LEK





25


Volgens § 22, eerste alinea, punt 2, van hoofdstuk 6 van de LEK moet iedere aanbieder van elektronischecommunicatiediensten op verzoek van het parket, van de nationale politie, van de inlichtingendienst of van enige andere strafrechtelijke autoriteit de abonnementsgegevens meedelen indien die gegevens verband houden met een vermoeden van een strafbaar feit. Volgens de door de verwijzende rechterlijke instantie in zaak C‑203/15 verstrekte gegevens is het niet noodzakelijk dat het daarbij gaat om een ernstig strafbaar feit.
– RB





26


De RB regelt de mededeling van de bewaarde gegevens aan de nationale autoriteiten in het kader van opsporingsonderzoeken. Volgens § 19 van hoofdstuk 27 van de RB is het „onder toezicht plaatsen van elektronische communicaties” buiten medeweten van derden in beginsel toegestaan in het kader van opsporingsonderzoeken naar, met name, strafbare feiten waarop een gevangenisstraf van ten minste zes maanden staat. Onder het „onder toezicht plaatsen van elektronische communicaties” dient volgens § 19 van hoofdstuk 27 van de RB te worden verstaan, het buiten medeweten van derden verkrijgen van gegevens over berichten die in een elektronischecommunicatienetwerk worden overgebracht, de elektronischecommunicatieapparatuur die in een bepaald geografisch gebied aanwezig is of was, en het geografische gebied of de geografische gebieden waarin bepaalde elektronischecommunicatieapparatuur aanwezig is of was.
 27


Volgens de door de verwijzende rechterlijke instantie in zaak C‑203/15 verstrekte gegevens kunnen op grond van § 19 van hoofdstuk 27 van de RB geen inlichtingen worden verkregen over de inhoud van een bericht. In beginsel kan op grond van § 20 van hoofdstuk 27 van de RB het onder toezicht plaatsen van elektronische communicaties slechts worden gelast wanneer een persoon op grond van plausibele aanwijzingen van een strafbaar feit wordt verdacht en de maatregel van bijzonder belang is voor het onderzoek, waarbij dit onderzoek betrekking moet hebben op een strafbaar feit waarop een gevangenisstraf van ten minste twee jaar staat of op de poging tot, de voorbereiding van of de strafbare samenspanning tot een dergelijk strafbaar feit. Volgens § 21 van hoofdstuk 27 van de RB moet het parket, behoudens in gevallen van spoedeisendheid, de bevoegde rechter toestemming vragen voor het onder toezicht plaatsen van elektronische communicaties.
Beveiliging en bescherming van de bewaarde gegevens





28


Volgens § 3 a van hoofdstuk 6 van de LEK moeten de aanbieders van elektronischecommunicatiediensten op wie een verplichting tot bewaring van de gegevens rust, passende technische en organisatorische maatregelen nemen om de bescherming van de gegevens bij de verwerking ervan te garanderen. Volgens de door de verwijzende rechterlijke instantie in zaak C‑203/15 verstrekte gegevens bevat het Zweedse recht echter geen bepalingen over de plaats waar de gegevens moeten worden bewaard.
 Recht van het Verenigd Koninkrijk

DRIPA





29


Section 1, „Aan waarborgen onderworpen bevoegdheden tot bewaring van relevante communicatiegegevens”, van de DRIPA bepaalt:
„(1)   De Secretary of State kan door middel van een handeling (de ‚aanzegging tot bewaring’) eisen dat een openbaar telecommunicatiebedrijf relevante communicatiegegevens bewaart, indien hij van mening is dat dit noodzakelijk en evenredig is met het oog op een of meer van de doelstellingen van de punten (a) tot en met (h) van section 22, lid 2, van de Regulation of Investigatory Powers Act 2000 [wet van 2000 houdende regeling van de onderzoeksbevoegdheden] (doelstellingen waarvoor communicatiegegevens mogen worden verzameld).
(2)   Een aanzegging tot bewaring kan





(a)


betrekking hebben op één bepaald bedrijf of een bepaalde categorie bedrijven;








(b)


de bewaring van alle gegevens of een bepaald type gegevens vereisen;








(c)


de periode of de perioden aangeven gedurende welke de gegevens moeten worden bewaard;








(d)


andere voorwaarden of beperkingen bevatten met betrekking tot de bewaring van de gegevens;








(e)


voor verschillende doeleinden verschillende regelingen treffen, en








(f)


betrekking hebben op gegevens die al dan niet bestaan op het moment waarop de aanzegging wordt gedaan of van kracht wordt.
(3)   De Secretary of State kan, bij wege van verordening, nadere regelingen over de bewaring van relevante communicatiegegevens vaststellen.
 (4)   Dergelijke regelingen kunnen met name betrekking hebben op:





(a)


de voorwaarden voor het doen van een aanzegging;








(b)


de maximumduur van de gegevensbewaring op grond van een aanzegging tot bewaring;








(c)


de inhoud, de vaststelling, het van kracht worden, de herziening, de wijziging of de herroeping van een aanzegging tot bewaring;








(d)


de volledigheid, de beveiliging of de bescherming van de op grond van deze section bewaarde gegevens, de toegang tot die gegevens en het openbaar maken of het vernietigen ervan;








(e)


de handhaving, of de controle op de naleving, van de relevante voorschriften of beperkingen;








(f)


een gedragscode met betrekking tot de relevante voorwaarden, beperkingen of bevoegdheden;








(g)


de (al dan niet aan voorwaarden verbonden) vergoeding door de Secretary of State van de kosten die openbare telecommunicatiebedrijven maken om te voldoen aan relevante voorschriften of beperkingen, en








(h)


de buitenwerkingtreding van de [Data Retention (EC Directive) Regulations 2009 (voorschriften van 2009 inzake gegevensbewaring in de zin van de EG-richtlijn)] en de overgang naar de gegevensbewaring op grond van deze section.
(5)   De maximumduur bedoeld in lid 4, onder b), bedraagt niet meer dan twaalf maanden vanaf de dag genoemd met betrekking tot de gegevens die worden beheerst door de in lid 3 bedoelde voorschriften.
[…]”








30


Section 2 van de DRIPA definieert „relevante communicatiegegevens” als „het type communicatiegegevens dat wordt genoemd in de bijlage bij de voorschriften van 2009 inzake gegevensbewaring in de zin van de EG-richtlijn, voor zover dergelijke gegevens in het Verenigd Koninkrijk ontstaan of worden verwerkt door openbare telecommunicatiebedrijven tijdens het aanbieden van de betrokken telecommunicatiediensten”.
 RIPA





31


In lid 4 van section 21 van de wet van 2000 houdende regeling van de onderzoeksbevoegdheden (hierna: „RIPA”), dat deel uitmaakt van hoofdstuk II, „Verkrijging en onthulling van communicatiegegevens”, van deze wet wordt gepreciseerd:
„In dit hoofdstuk wordt onder ‚communicatiegegevens’ een van de hieronder staande begrippen verstaan:





(a)


verkeersgegevens die deel uitmaken van een communicatie of daaraan zijn toegevoegd (door de afzender of anderszins) ten behoeve van de posterijen of van een telecommunicatiesysteem waardoor deze communicatie wordt of kan worden doorgeleid;








(b)


informatie die geen inhoud van een communicatie omvat [behalve informatie die onder a) valt] en betrekking heeft op het gebruik door een persoon





(i)


van de posterijen of van een telecommunicatiedienst, of








(ii)


in verband met het aanbieden aan of gebruik door een persoon van een telecommunicatiedienst of een onderdeel van een telecommunicatiesysteem;











(c)


informatie die niet onder (a) of (b) valt, die wordt bewaard of verkregen door een persoon die een post- of telecommunicatiedienst aanbiedt met betrekking tot personen aan wie hij de dienst aanbiedt.”











32


Volgens de verwijzingsbeslissing in zaak C‑698/15 omvatten deze gegevens de „locatiegegevens van een gebruiker”, maar niet de gegevens over de inhoud van een communicatie.
33


Met betrekking tot de toegang tot de bewaarde gegevens bepaalt section 22 van de RIPA:
„(1)   Deze section is van toepassing wanneer een voor de toepassing van dit hoofdstuk aangewezen persoon van mening is dat het om in lid 2) genoemde redenen noodzakelijk is communicatiegegevens te verkrijgen.
 (2)   Het is om in dit lid genoemde redenen noodzakelijk de communicatiegegevens te verkrijgen wanneer dit nodig is:





(a)


in het belang van de nationale veiligheid;








(b)


om criminaliteit te voorkomen of aan het licht te brengen of om verstoring van de openbare orde te voorkomen;








(c)


in het belang van het economisch welzijn van het Verenigd Koninkrijk;








(d)


in het belang van de openbare veiligheid;








(e)


ter bescherming van de volksgezondheid;








(f)


voor het vaststellen van de grondslag of voor het innen van aan de overheid verschuldigde belastingen, accijnzen, heffingen of andere imposten, bijdragen of lasten;








(g)


ter voorkoming, in een noodsituatie, van de dood, van verwondingen of van andere schade aan de lichamelijke of geestelijke gezondheid van een persoon, of ter leniging van verwondingen of schade aan de lichamelijke of geestelijke gezondheid van een persoon;








(h)


voor alle andere [niet onder (a) tot en met (g) vallende] doelen die nader worden bepaald in een door de Secretary of State uitgevaardigd bevel.
(4)   Onverminderd het bepaalde in lid 5) kan de verantwoordelijke, indien hij van mening is dat een post- of telecommunicatiebedrijf in het bezit is van gegevens, in het bezit van gegevens zou kunnen zijn of gegevens zou kunnen verkrijgen, van dit post- of telecommunicatiebedrijf eisen





(a)


dat het deze gegevens verkrijgt voor zover het deze niet al bezit, en








(b)


in elk geval alle in zijn bezit zijnde of later verkregen gegevens onthult.
 (5)   De verantwoordelijke mag geen toestemming in de zin van lid 3) geven en geen aanzegging in de zin van lid 4) doen, tenzij hij van oordeel is dat het verkrijgen van de betrokken gegevens op grond van een toegestane gedraging of van een aanzegging evenredig is met het doel dat met het verkrijgen van de gegevens wordt nagestreefd.”








34


Volgens section 65 van de RIPA kan bij het Investigatory Powers Tribunal (rechter die toezicht uitoefent op de onderzoeksbevoegdheden, Verenigd Koninkrijk) een klacht worden ingediend indien er een reden is om te veronderstellen dat gegevens op onjuiste wijze zijn verkregen.
Data Retention Regulations 2014





35


De Data Retention Regulations 2014 (voorschriften inzake gegevensbewaring van 2014) zijn vastgesteld op basis van de DRIPA en bestaan uit drie delen, waarvan het tweede deel de sections 2 tot en met 14 van deze voorschriften bevat. Section 4, „Aanzegging tot bewaring van gegevens”, bepaalt:
„(1)   In de aanzegging tot bewaring moet worden gepreciseerd:





(a)


het openbaar telecommunicatiebedrijf waartoe zij is gericht (of de beschrijving van het bedrijf),








(b)


de relevante communicatiegegevens die moeten worden bewaard,








(c)


de periode of de perioden gedurende dewelke de gegevens moeten worden bewaard,








(d)


alle andere eisen of beperkingen ter zake van de bewaring van de gegevens.
(2)   In een aanzegging tot bewaring kan niet worden geëist dat gegevens meer dan twaalf maanden worden bewaard, vanaf:





(a)


in geval van verkeersgegeven of gegevens betreffende het gebruik van de dienst, de dag van de betrokken communicatie, en








(b)


in geval van gegevens betreffende de abonnees, de dag waarop de betrokken persoon de betrokken communicatiedienst verlaat, of de dag waarop het gegeven is gewijzigd (indien dat op een eerdere datum is gebeurd).
 […]”








36


Section 7, „Volledigheid en beveiliging van de gegevens”, van deze voorschriften bepaalt:
„(1)   Een openbaar telecommunicatiebedrijf dat op grond van section 1 van de [DRIPA] communicatiegegevens bewaart, moet:





(a)


ervoor zorgen dat de gegevens even volledig en ten minste even beveiligd en beschermd zijn als de gegevens van de systemen waaruit zij afkomstig zijn,








(b)


door middel van technische en organisatorische maatregelen ervoor zorgen dat alleen daartoe speciaal gemachtigde personeelsleden toegang kunnen krijgen tot de gegevens, en








(c)


de gegevens, door middel van passende technische en organisatorische maatregelen, beschermen tegen onrechtmatige vernietiging, onvoorzien verlies of onvoorziene beschadiging, of niet-toegestane of ongeoorloofde bewaring, verwerking, toegang of onthulling.
(2)   Een openbaar telecommunicatiebedrijf dat op grond van section 1 van de [DRIPA] communicatiegegevens bewaart, moet de gegevens vernietigen wanneer de bewaring ervan niet langer is toegestaan op grond van deze section of op grond van een andere wetsbepaling.
(3)   De in lid 2 bedoelde eis van vernietiging van de gegevens betekent dat de gegevens moeten worden gewist op een wijze die de toegang tot die gegevens onmogelijk maakt.
(4)   Het volstaat dat het bedrijf de nodige maatregelen neemt om de gegevens maandelijks, of met kortere tussenpozen indien dat voor het bedrijf in de praktijk mogelijk is, te wissen.”








37


Section 8, „Onthulling van de bewaarde gegevens”, bepaalt:
„(1)   Een openbaar telecommunicatiebedrijf moet voorzien in een passende beveiliging (technische en organisatorische maatregelen daaronder begrepen) van de toegang tot de communicatiegegevens die op grond van section 1 van de [DRIPA] worden bewaard, teneinde elke niet onder section 1, lid 6, onder a), van de [DRIPA] vallende onthulling te voorkomen.
 (2)   Een openbaar telecommunicatiebedrijf dat op grond van section 1 van de [DRIPA] communicatiegegevens bewaart, moet de gegevens aldus bewaren dat zij zonder onnodige vertraging in antwoord op een aanzegging kunnen worden overgelegd.”








38


Section 9, „Toezicht door de Information Commissioner [(toezichthouder op de informatie)]”, bepaalt:
„De Information Commissioner ziet toe op de inachtneming van de in dit deel geformuleerde eisen of beperkingen in verband met de volledigheid, de beveiliging en de vernietiging van de op grond van section 1 van de DRIPA bewaarde gegevens.”



Gedragscode





39


De punten 2.5 tot en met 2.9 en 2.36 tot en met 2.45 van de Acquisition and Disclosure of Communications Data Code of Practice (gedragscode voor de verkrijging en de onthulling van communicatiegegevens; hierna: „gedragscode”) bevatten richtsnoeren over de noodzaak en de evenredigheid van het verkrijgen van communicatiegegevens. Volgens de door de verwijzende rechterlijke instantie in zaak C‑698/15 verstrekte uitleg moet overeenkomstig de punten 3.72 tot en met 3.77 van deze gedragscode bijzondere aandacht worden besteed aan de noodzaak en de evenredigheid wanneer de gevraagde communicatiegegevens betrekking hebben op een persoon die lid is van een beroepsgroep die beschikt over informatie waarvoor het beroepsgeheim geldt of over anderszins vertrouwelijke informatie.
40


Op grond van de punten 3.78 tot en met 3.84 van die gedragscode is een rechterlijk bevel vereist in het bijzondere geval van een verzoek om communicatiegegevens dat wordt gedaan om de bron van journalisten te achterhalen. Volgens de punten 3.85 tot en met 3.87 van die gedragscode is rechterlijke goedkeuring vereist in het geval van een door lokale autoriteiten geformuleerd verzoek om toegang. Daarentegen is geen rechterlijke machtiging of machtiging door een onafhankelijke entiteit vereist voor toegang tot communicatiegegevens waarvoor een in de wet verankerd beroepsgeheim geldt, of tot communicatiegegevens met betrekking tot artsen, parlementsleden of geestelijken.
 41


In punt 7.1 van de gedragscode wordt bepaald dat de communicatiegegevens die worden verworven of verkregen op grond van de bepalingen van de RIPA en alle uittreksels, samenvattingen en afschriften van deze gegevens veilig moeten worden bewaard en opgeslagen. Bovendien moeten de in de Data Protection Act (wet betreffende de bescherming van gegevens) gestelde eisen in acht worden genomen.
42


In punt 7.18 van de gedragscode staat dat wanneer een overheidsinstantie van het Verenigd Koninkrijk van plan is om communicatiegegevens aan buitenlandse instanties te onthullen, zij met name moet onderzoeken of die gegevens passend zullen worden beschermd. Uit punt 7.22 van deze gedragscode blijkt echter dat gegevens aan derde landen kunnen worden overgedragen wanneer die overdracht noodzakelijk is om redenen die verband houden met een aanzienlijk openbaar belang, zelfs ingeval het derde land geen passend niveau van bescherming garandeert. Volgens de uitleg die de verwijzende rechterlijke instantie in zaak C‑698/15 dienaangaande heeft verstrekt, kan de Secretary of State een nationaal veiligheidscertificaat afgeven, op grond waarvan voor bepaalde gegevens de bepalingen van de wet niet hoeven te worden geëerbiedigd.
43


In punt 8.1 van die gedragscode wordt eraan herinnerd dat de RIPA voorziet in een Interception of Communications Commissioner (toezichthouder op de onderschepping van communicaties, Verenigd Koninkrijk), wiens rol er met name in bestaat, op onafhankelijke wijze toezicht uit te oefenen op de uitoefening en de nakoming van de in hoofdstuk II van deel I van de RIPA genoemde rechten en plichten. Uit punt 8.3 van die gedragscode blijkt dat deze toezichthouder, wanneer hij kan „aantonen dat een persoon schade heeft geleden door een uit opzet of onvoorzichtigheid voortvloeiend verzuim”, deze persoon op de hoogte mag brengen van een vermoeden van onrechtmatig gebruik van bevoegdheden.
 Hoofdgedingen en prejudiciële vragen


Zaak C‑203/15






44


Op 9 april 2014 heeft Tele2 Sverige, een in Zweden gevestigde aanbieder van elektronischecommunicatiediensten, de PTS officieel ervan in kennis gesteld dat zij, ten vervolge op de ongeldigverklaring van richtlijn 2006/24 bij het arrest van 8 april 2014, Digital Rights Ireland e.a. (C‑293/12 en C‑594/12; hierna: „arrest Digital Rights, EU:C:2014:238), per 14 april 2014 de in de LEK bedoelde elektronischecommunicatiegegevens niet meer zou bewaren en de tot dan toe bewaarde gegevens zou vernietigen.
45


Op 15 april 2014 heeft de Rikspolisstyrelse (algemeen bestuur van de nationale politie, Zweden) bij de PTS een klacht ingediend wegens het feit dat Tele2 Sverige hem de betrokken gegevens niet langer meedeelde.
 46


Op 29 april 2014 heeft de justitieminister (minister van Justitie, Zweden) een bijzondere rapporteur belast met de toetsing van de Zweedse regeling aan het arrest Digital Rights. In een rapport van 13 juni 2014 met als opschrift „Datalagring, EU-rätten och svensk rätt, no Ds 2014:23” (Bewaring van gegeven, Unierecht en Zweeds recht; hierna: „rapport van 2014”) is de bijzondere rapporteur tot de slotsom gekomen dat de nationale regeling betreffende de bewaring van gegevens, zoals die is neergelegd in de §§ 16 a tot en met 16 f van de LEK, niet in strijd met het Unierecht was en evenmin met het op 4 november 1950 te Rome ondertekende Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: „EVRM”). De bijzondere rapporteur heeft beklemtoond dat het arrest Digital Rights niet in die zin kon worden uitgelegd dat het beginsel zelf van het algemeen en ongedifferentieerd bewaren van de gegevens daarin is gelaakt. Volgens hem mag het arrest Digital Rights ook niet in die zin worden begrepen dat het Hof daarin een aantal criteria heeft geformuleerd waaraan een regeling volledig moet voldoen om als evenredig te kunnen worden beschouwd. Om uit te maken of de Zweedse regeling in overeenstemming is met het Unierecht, zouden alle omstandigheden, zoals de omvang van de bewaring van de gegevens uit het oogpunt van de bepalingen betreffende de toegang tot de gegevens, de duur van de bewaring van de gegevens, de bescherming en de beveiliging daarvan, dienen te worden beoordeeld.
 47


Op basis daarvan heeft de PTS Tele2 Sverige op 19 juni 2014 laten weten dat deze laatste de krachtens de nationale regeling op haar rustende verplichtingen niet nakwam door de in de LEK bedoelde gegevens niet gedurende zes maanden te bewaren ten behoeve van de bestrijding van de criminaliteit. Op 27 juni 2014 heeft de PTS Tele2 Sverige gelast, deze gegevens uiterlijk per 25 juli 2014 te bewaren.
48


Van oordeel dat het rapport van 2014 op een onjuiste uitlegging van het arrest Digital Rights berustte, en dat de verplichting tot bewaring van de gegevens in strijd was met de door het Handvest gewaarborgde grondrechten, heeft Tele2 Sverige tegen het bevel van 27 juni 2014 beroep ingesteld bij de Förvaltningsrätt i Stockholm (bestuursrechter in eerste aanleg Stockholm, Zweden). Nadat deze rechterlijke instantie het beroep bij vonnis van 13 oktober 2014 had verworpen, heeft Tele2 Sverige tegen dit vonnis hoger beroep ingesteld bij de verwijzende rechterlijke instantie.
49


Volgens de verwijzende rechterlijke instantie moet de verenigbaarheid van de Zweedse regeling met het Unierecht worden beoordeeld tegen de achtergrond van artikel 15, lid 1, van richtlijn 2002/58. Waar deze richtlijn het beginsel formuleert dat de verkeersgegevens en de locatiegegevens moeten worden gewist of anoniem moeten worden gemaakt wanneer zij niet langer nodig zijn voor de transmissie van een communicatie, voorziet artikel 15, lid 1, van deze richtlijn echter in een uitzondering op dit beginsel, aangezien het de lidstaten toestaat om, wanneer dit wordt gerechtvaardigd door een van de aldaar genoemde redenen, de verplichting tot het wissen of anoniem maken van de gegevens te beperken of te bepalen dat de gegevens moeten worden bewaard. In bepaalde situaties zou het Unierecht aldus het bewaren van de elektronischecommunicatiegegevens toestaan.
 50


De verwijzende rechterlijke instantie vraagt zich niettemin af of een verplichting tot het algemeen en ongedifferentieerd bewaren van de elektronischecommunicatiegegevens, zoals die welke aan de orde is in het hoofdgeding, gelet op het arrest Digital Rights, verenigbaar is met artikel 15, lid 1, van richtlijn 2002/58, gelezen tegen de achtergrond van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest. Gelet op de uiteenlopende meningen van de partijen dienaangaande, zou het Hof ondubbelzinnig dienen te antwoorden op de vraag of, zoals Tele2 Sverige meent, het algemeen en ongedifferentieerd bewaren van de elektronischecommunicatiegegevens op zichzelf onverenigbaar is met de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, dan wel of, zoals uit het rapport van 2014 zou blijken, de verenigbaarheid van een dergelijke bewaring van gegevens moet worden getoetst aan de bepalingen betreffende de toegang tot de gegevens, de bescherming en beveiliging van de gegevens en de duur van de bewaring ervan.
