1.

Domstolen har de senere år opretholdt en fast praksis om lagring af og adgang til personoplysninger, i hvilken forbindelse følgende domme fremhæves som milepæle:

2.

Disse domme (især den anden) bekymrer myndighederne i visse medlemsstater, eftersom de efter disse myndigheders opfattelse fratager dem et instrument, som de anser for nødvendigt for at beskytte den nationale sikkerhed og bekæmpe terrorisme. Derfor har nogle af disse medlemsstater opfordret til, at denne retspraksis ændres eller nuanceres.

3.

Visse af medlemsstaternes domstole har givet udtryk for samme bekymring i fire anmodninger om præjudiciel afgørelse ( 7 ), med hensyn til hvilke jeg også fremsætter mit forslag til afgørelse i dag.

4.

De fire sager rejser først og fremmest en problemstilling i forbindelse med anvendelsen af direktiv 2002/58 på aktiviteter, der er forbundet med den nationale sikkerhed og bekæmpelsen af terrorisme. Hvis dette direktiv finder anvendelse i denne sammenhæng, må det i det følgende afklares, i hvilket omfang medlemsstaterne kan begrænse den ret til privatlivets fred, som direktivet beskytter. Endelig bør det undersøges, i hvilket omfang de forskellige nationale lovgivninger (den britiske ( 8 ), den belgiske ( 9 ) og den franske ( 10 )) på dette område er i overensstemmelse med EU-retten som fortolket af Domstolen.

5.

Her henviser jeg til det tilsvarende afsnit i mit forslag til afgørelse i de forenede sager C-511/18 og C-512/18.

6.

I henhold til section 94 kan en minister (Secretary of State) udstede generelle eller specifikke påbud til en udbyder af et offentligt elektronisk kommunikationsnet, hvis de ifølge ministeren er nødvendige af hensyn til den nationale sikkerhed eller forbindelsen til en regering i et land eller et territorium, der befinder sig uden for Det Forenede Kongerige.

7.

Section 1 fastsætter:

»(1)   Secretary of State kan ved en lagringsmeddelelse pålægge en offentlig teleoperatør at lagre relevante kommunikationsdata, hvis Secretary of State er af den opfattelse, at kravet er nødvendigt og forholdsmæssigt for et eller flere af de formål, der er omfattet af section 22(2)(a)-(h) i Regulation of Investigatory Powers Act 2000 [lov af 2000 om efterforskningsbeføjelser, herefter »RIPA«].

(2)   En lagringsmeddelelse kan:

(3)   Secretary of State kan ved bekendtgørelse fastsætte nærmere bestemmelser om lagringen af relevante kommunikationsdata.

(4)   Sådanne bestemmelser kan navnlig omfatte bestemmelser om:

[…]

(5)   Den maksimale periode, der er fastsat i medfør af subsection (4)(b), må ikke overstige 12 måneder fra den dato, der er fastsat med hensyn til de data, som er omfattet af de i subsection (3) omhandlede bekendtgørelser.

(6)   En offentlig teleoperatør, der lagrer relevante kommunikationsdata i medfør af denne section, må ikke videregive disse data undtagen:

(7)   Secretary of State kan i regler fastsætte bestemmelser med hensyn til enhver bestemmelse, der er fastsat (eller kan fastsættes) i medfør af subsection (4)(d)-(g) eller subsection (6), med hensyn til kommunikationsdata, som lagres af udbydere af telekommunikationstjenester i medfør af en praksiskodeks i henhold til section 102 i Anti-terrorism, Crime and Security Act 2001 [lov om terrorbekæmpelse, kriminalitet og sikkerhed af 2001].«

8.

Section 21 bestemmer:

»[…]

(4)   I dette kapitel forstås ved »kommunikationsdata« enhver af følgende:

[…]

(6)   I denne afdeling forstås der ved »trafikdata« i forbindelse med enhver kommunikation:

[…]«

9.

Section 22 bestemmer:

»(1)   Nærværende section finder anvendelse, når en person, der er ansvarlig i henhold til dette kapitel, finder det nødvendigt at indsamle kommunikationsdata af de grunde, som er anført i subsection (2).

(2)   Det er nødvendigt at indsamle kommunikationsdata af grunde henhørende under nærværende subsection, såfremt disse kommunikationsdata er nødvendige:

(4)   Med forbehold af subsection (5) kan den ansvarlige person, når denne finder, at en postoperatør eller en teleoperatør er eller kan være i besiddelse af eller er i stand til at indsamle kommunikationsdata, ved meddelelse til postoperatøren eller teleoperatøren anmode operatøren om:

(5)   Den ansvarlige person skal ikke meddele tilladelse i henhold til subsection (3) eller indgive en anmodning i henhold til subsection (4), medmindre den pågældende er af den opfattelse, at en indsamling af de omhandlede data, der sker ved en tilladt eller krævet adfærd i medfør af tilladelsen eller anmodningen, står i forhold til det mål, der forfølges med en sådan indsamling af disse data.«

10.

I henhold til section 65 kan der indgives klage til Investigatory Powers Tribunal (domstol for efterforskningsbeføjelser, Det Forenede Kongerige), hvis der er en formodning om, at data er blevet indsamlet med urette.

11.

Ifølge den forelæggende ret omhandler hovedsagen Det Forenede Kongeriges sikkerheds- og efterretningsagenturers (Security and Intelligence Agencies, herefter »agenturerne«) indsamling og brug af bulk-kommunikationsdata (Bulk Communications Data, herefter »BCD«).

12.

Sådanne data omfatter oplysninger om »hvem, hvornår, hvor, hvordan og med hvem« i forbindelse med brug af både telefon og internet. De omfatter lokalisering af mobil- og fastnettelefoner, hvorfra der foretages eller modtages opkald, og lokalisering af computere, der bruges til at få adgang til internettet. De omfatter ikke indholdet af kommunikation, hvilket kræver en retskendelse.

13.

Sagsøgeren i hovedsagen (Privacy International, en ikkestatslig menneskerettighedsorganisation) har anlagt sag ved den forelæggende ret med påstand om, at agenturernes brug af BCD udgør en krænkelse af retten til privatlivets fred i henhold til artikel 8 i den europæiske menneskerettighedskonvention (herefter »EMRK«) og er i strid med EU-retten.

14.

De sagsøgte myndigheder ( 13 ) har gjort gældende, at deres brug af sådanne beføjelser er lovlig og afgørende for bl.a. beskyttelsen af den nationale sikkerhed.

15.

Ifølge forelæggelsesafgørelsens oplysninger modtager agenturerne bulk-kommunikationsdata fra operatørerne af offentlige elektroniske kommunikationsnet i medfør af en afgørelse truffet af Secretary of State i overensstemmelse med section 94 i lov af 1984.

16.

Disse data omfatter trafik- og lokalitetsdata med oplysninger om brugernes sociale, kommercielle og finansielle aktiviteter, kommunikation og rejseaktivitet. Agenturerne lagrer disse data, når de modtager dem, på en sikker måde ved hjælp af teknikker (f.eks. filtrering og sammenholdelse), som er generelle, dvs. ikke rettet mod specifikke, kendte mål.

17.

Den forelæggende ret anser det for godtgjort, at disse teknikker er afgørende for agenturernes arbejde med at bekæmpe alvorlige trusler mod den offentlige sikkerhed, navnlig terrorisme, kontraspionage og spredningen af atomvåben. Agenturernes beføjelse til at indsamle og anvende dataene er afgørende for beskyttelsen af Det Forenede Kongeriges nationale sikkerhed.

18.

Ifølge den forelæggende ret er de omtvistede foranstaltninger i overensstemmelse med national ret og EMRK’s artikel 8. Den nærer imidlertid tvivl om, hvorvidt de er forenelige med EU-retten, henset til dommen i sagen Tele2 Sverige og Watson.

19.

På denne baggrund har den forelæggende ret forelagt Domstolen følgende præjudicielle spørgsmål:

20.

Den forelæggende ret har præciseret sine spørgsmål som følger:

21.

Det præjudicielle spørgsmål indgik til Domstolen den 31. oktober 2017.

22.

Den belgiske, den tjekkiske og den tyske regering, Irland, den spanske, den estiske, den franske, den cypriotiske, den ungarske, den lettiske, den nederlandske, den polske, den portugisiske, den svenske, Det Forenede Kongeriges og den norske regering samt Kommissionen har afgivet skriftlige indlæg.

23.

Den 9. september 2019 blev der afholdt et retsmøde, som blev afholdt samtidig med retsmøderne i sag C-511/18, C-512/18 og C-520/18, med deltagelse af parterne i de fire præjudicielle procedurer, de ovennævnte regeringer, Kommissionen og Den Europæiske Tilsynsførende for Databeskyttelse.

24.

I det forslag til afgørelse, som jeg i dag fremsætter i de forenede sager C-511/18 og C-512/18, forklarer jeg grundene til, at direktiv 2002/58 efter min opfattelse »som udgangspunkt finder anvendelse, når udbydere af elektroniske tjenester ved lov er forpligtede til at lagre oplysninger om deres abonnenter og at tillade de offentlige myndigheder adgang hertil. Det ændrer ikke ved denne antagelse, at forpligtelserne pålægges udbyderne af nationale sikkerhedshensyn« ( 15 ).

25.

I forbindelse med min argumentation ser jeg nærmere på indvirkningen af Domstolens dom af 30. maj 2006, Parlamentet mod Rådet ( 16 ), og dommen i sagen Tele2 Sverige og Watson og foreslår en helhedsfortolkning af disse to domme ( 17 ).

26.

I samme forslag til afgørelse undersøger jeg efter en bekræftelse af, at direktiv 2002/58 finder anvendelse, udelukkelsen af den nationale sikkerhed, der fremgår heraf, og indvirkningen af artikel 4, stk. 2, TEU ( 18 ).

27.

Med forbehold af det nedenstående henviser jeg til mine betragtninger i ovennævnte forslag til afgørelse samt i mit forslag til afgørelse i sag C-520/18.

28.

I henhold til de omtvistede bestemmelser i denne sag pålægges udbydere af elektroniske kommunikationstjenester en forpligtelse, der ud over lagring indebærer en behandling af de data, som er i deres besiddelse på grund af de tjenester, som de leverer til brugere af offentlige kommunikationsnet i Unionen ( 19 ).

29.

De nævnte operatører har nærmere bestemt pligt til at overføre de pågældende data til agenturerne. Her rejses spørgsmålet, om artikel 15, stk. 1, i direktiv 2002/58 tillader, at denne overføring, på grund af dens formål, uden videre udelukkes fra EU-retten.

30.

Dette er efter min opfattelse ikke tilfældet. Lagringen af de pågældende data og den efterfølgende overføring kan kvalificeres som en behandling af personoplysninger forestået af udbyderne af elektroniske kommunikationstjenester og er således naturligt omfattet af anvendelsesområdet for direktiv 2002/58.

31.

Hensynet til den nationale sikkerhed kan ikke gå forud for denne konstatering, således som den forelæggende ret har foreslået, med den følge, at den omtvistede forpligtelse ikke omfattes af EU-rettens anvendelsesområde. Efter min opfattelse pålægges udbyderne som nævnt en behandling af data i forbindelse med, at offentligt tilgængelige elektroniske kommunikationstjenester stilles til rådighed via offentlige kommunikationsnet i Unionen, hvilket netop er anvendelsesområdet for direktiv 2002/58, jf. dets artikel 3, stk. 1.

32.

På denne baggrund drejer diskussionen sig ikke længere om agenturernes virksomhed (der som nævnt kan befinde sig uden for EU-retten, hvis den ikke berører operatører inden for elektronisk kommunikation), men derimod lagring og efterfølgende overføring af de data, som er i disse operatørers besiddelse. Efter disse betragtninger drejer spørgsmålet sig om de grundlæggende rettigheder, som sikres af Unionen.

33.

Nøglen til at afgøre denne diskussion er atter pligten til generel og udifferentieret lagring af data, som de offentlige myndigheder har adgang til.

34.

Eftersom den forelæggende ret har lagt særlig vægt på den del af agenturernes virksomhed, der berører den nationale sikkerhed, tillader jeg mig at gengive nogle af punkterne fra mit forslag til afgørelse af samme dato i de forenede sager C-511/18 og C-512/18 om dette emne:

[…]

[…]

[…]

35.

Den forelæggende ret har fokuseret på Domstolens fortolkning i dommen i sagen Tele2 Sverige og Watson og har gjort rede for de vanskeligheder, som anvendelsen af denne fortolkning på den foreliggende sag efter denne rets opfattelse medfører.

36.

Dommen i sagen Tele2 Sverige og Watson angav de betingelser, som skal opfyldes af en national lovgivning, der indfører en pligt til at lagre trafik- og lokaliseringsdata med henblik på, at de offentlige myndigheder efterfølgende får adgang til dem.

37.

Ligesom i de forenede sager C-511/18 og C-512/18 og af tilsvarende grunde er jeg af den opfattelse, at de nationale bestemmelser, som denne forelæggelse omhandler, ikke opfylder betingelserne efter dommen i sagen Tele2 Sverige og Watson, eftersom de indebærer en generel og udifferentieret lagring af personoplysninger, som skaber et detaljeret billede af de berørte personers liv over en længere periode.

38.

I forslaget til afgørelse i disse to sager overvejer jeg, om det ville være muligt at nuancere eller supplere retspraksis efter førnævnte dom i lyset af dens konsekvenser for bekæmpelsen af terrorisme eller for beskyttelsen af staten mod andre tilsvarende trusler mod den nationale sikkerhed.

39.

Jeg tillader mig også at gengive nogle af punkterne i det pågældende forslag til afgørelse, hvori jeg i det væsentlige anfører, at den nævnte retspraksis bør bekræftes i det væsentlige, selv om det er muligt at nuancere den.

40.

Den forelæggende ret har forelagt det andet spørgsmål i det tilfælde, at det første spørgsmål besvares bekræftende. I så fald ønsker den oplyst, hvilke »andre krav ud over kravene i EMRK« eller kravene efter dommen i sagen Tele2 Sverige og Watson der finder anvendelse.

41.

Den forelæggende ret har i denne retning fastslået, at fastsættelsen af de krav, der følger af dommen i sagen Tele2 Sverige og Watson, »ville begrænse de foranstaltninger, som agenturerne træffer for at beskytte den nationale sikkerhed«.

42.

Eftersom det svar, jeg foreslår med hensyn til det første spørgsmål, er benægtende, er det ikke nødvendigt at behandle det andet spørgsmål. Sidstnævnte er, således som den forelæggende ret har fremhævet, betinget af, at »[indsamlingen af] bulk-kommunikationsdata og bruge[n af] automatiserede behandlingsteknikker« med hensyn til personoplysningerne for alle brugerne i Det Forenede Kongerige, som udbyderne af elektroniske kommunikationstjenester skal overføre til agenturerne, fastslås at være forenelige med EU-retten.

43.

Såfremt Domstolen anser det for nødvendigt at besvare det andet spørgsmål, bør den efter min opfattelse bekræfte de nævnte betingelser efter dommen i sagen Tele2 Sverige og Watson med hensyn til:

44.

Det er som nævnt tilstrækkeligt at bekræfte disse betingelser, som er ufravigelige, af de grunde, som jeg har anført i forslagene til afgørelse i de forenede sager C-511/18 og C-512/18 og i sag C-520/18, og det er ikke nødvendigt at opstille eventuelle »andre« krav, således som den forelæggende ret har nævnt.

45.

På baggrund af det ovenstående foreslår jeg, at Domstolen svarer Investigatory Powers Tribunal (domstol for efterforskningsbeføjelser, Det Forenede Kongerige) således:

»Artikel 4 TEU og artikel 1, stk. 3, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) skal fortolkes således, at de er til hinder for en national lovgivning, der pålægger en udbyder af elektroniske kommunikationsnet en pligt til at udlevere »bulk-kommunikationsdata« til en medlemsstats sikkerheds- og efterrefatningsagenturer, som indebærer en forudgående generel og udifferentieret indsamling«.

Subsidiært:

»En medlemsstats sikkerheds- og efterretningsagenturers adgang til de data, som udbydere af elektronisk kommunikationsnet overfører, skal opfylde de betingelser, der er fastsat i dom af 21. december 2016, Tele2 Sverige og Watson (C-203/15 og C-698/15, EU:C:2016:970).«