DOMSTOLENS DOM (Store Afdeling)
30. april 2024 (*)
»Præjudiciel forelæggelse – behandling af personoplysninger inden for den elektroniske kommunikationssektor – kommunikationshemmelighed – udbydere af elektroniske kommunikationstjenester – direktiv 2002/58/EF – artikel 15, stk. 1 – artikel 7, 8 og 11 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder – anmodning om adgang til disse oplysninger fra en kompetent national myndighed med henblik på retsforfølgning af lovovertrædelser i form af grove tyverier – definition af begrebet »alvorlig lovovertrædelse«, hvis retsforfølgning kan begrunde et alvorligt indgreb i de grundlæggende rettigheder – medlemsstaternes kompetence – proportionalitetsprincippet – omfanget af den forudgående domstolskontrol af anmodninger om adgang til oplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester«
I sag C-178/22,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Giudice delle indagini preliminari presso il Tribunale di Bolzano (forundersøgelsesdommeren ved retten i Bolzano, Italien) ved afgørelse af 20. februar 2022, indgået til Domstolen den 8. marts 2022, i straffesagerne mod
Ukendte,
procesdeltager:
Procura della Repubblica presso il Tribunale di Bolzano,
har
DOMSTOLEN (Store Afdeling),
sammensat af præsidenten, K. Lenaerts, vicepræsidenten, L. Bay Larsen, afdelingsformændene A. Arabadjiev, A. Prechal, K. Jürimäe, T. von Danwitz og Z. Csehi samt dommerne J.-C. Bonichot, S. Rodin, P.G. Xuereb (refererende dommer), D. Gratsias, M.L. Arastey Sahún og M. Gavalec,
generaladvokat: A.M. Collins,
justitssekretær: fuldmægtig C. Di Bella,
på grundlag af den skriftlige forhandling og efter retsmødet den 21. marts 2023,
efter at der er afgivet indlæg af:
– Procura della Repubblica presso il Tribunale di Bolzano ved sostituto procuratore della Repubblica F. Iovene,
– den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato S. Faraci,
– den tjekkiske regering ved A. Edelmannová, O. Serdula, M. Smolek, T. Suchá og J. Vláčil, som befuldmægtigede,
– den estiske regering ved M. Kriisa, som befuldmægtiget,
– Irland ved Chief State Solicitor M. Browne samt A. Joyce og M. Tierney, som befuldmægtigede, bistået af D. Fennelly, BL,
– den franske regering ved A. Daniel, A.-L. Desjonquères, B. Fodda og J. Illouz, som befuldmægtigede,
– den cypriotiske regering ved E. Neophytou, som befuldmægtiget,
– den ungarske regering ved Zs. Biró-Tóth og M.Z. Fehér, som befuldmægtigede,
– den nederlandske regering ved M.K. Bulterman, A. Hanje og J. Langer, som befuldmægtigede,
– den østrigske regering ved A. Posch, J. Schmoll, C. Gabauer, K. Ibili og E. Samoilova, som befuldmægtigede,
– den polske regering ved B. Majczyna, D. Lutostańska og J. Sawicka, som befuldmægtigede,
– Europa-Kommissionen ved S.L. Kalėda, H. Kranenborg, L. Malferrari og F. Wilman, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 8. juni 2023,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 15, stk. 1, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT 2002, L 201, s. 37), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009 (EUT 2009, L 337, s. 11) (herefter »direktiv 2002/58«), sammenholdt med artikel 7, 8 og 11 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).
2 Denne anmodning er blevet indgivet i forbindelse med, at Procura della Repubblica presso il Tribunale di Bolzano (anklagemyndigheden ved retten i Bolzano, Italien) (herefter »anklagemyndigheden«) har anmodet Giudice delle indagini preliminari presso il Tribunale di Bolzano (forundersøgelsesdommeren ved retten i Bolzano, Italien) om tilladelse til at få adgang til en række personoplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester, for at identificere gerningsmændene til to grove tyverier af mobiltelefoner.
Retsforskrifter
EU-retten
Direktiv 2002/58
3 2. og 11. betragtning til direktiv 2002/58 har følgende ordlyd:
»(2) Dette direktiv søger at overholde de grundlæggende rettigheder og respektere de principper, der anerkendes i især [chartret]. Direktivet søger især at sikre fuld overholdelse af rettighederne i [chartrets] artikel 7 og 8.
[...]
(11) Ligesom [Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281 s. 31)] finder dette direktiv ikke anvendelse på beskyttelse af grundlæggende rettigheder og frihedsrettigheder, der er forbundet med aktiviteter, der ikke er omfattet af fællesskabsretten. Det ændrer derfor ikke den nuværende balance mellem enkeltpersoners ret til privatlivets fred og medlemsstaternes mulighed for, jf. artikel 15, stk. 1, i dette direktiv, at træffe de foranstaltninger, der er nødvendige til beskyttelse af den offentlige sikkerhed, forsvaret, statens sikkerhed (herunder statens økonomiske interesser, når disse aktiviteter er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område. Dette direktiv berører derfor ikke medlemsstaternes mulighed for lovligt at opfange elektronisk kommunikation eller træffe andre foranstaltninger, hvis det er nødvendigt med et af disse formål for øje og i overensstemmelse med den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder[, undertegnet i Rom den 4. november 1950,] som fortolket i Den Europæiske Menneskerettighedsdomstols retspraksis. Sådanne foranstaltninger skal være passende, stå i åbenbart rimeligt forhold til det mål, der forfølges, og være nødvendige i et demokratisk samfund, og foranstaltningerne bør omfattes af passende beskyttelsesordninger i overensstemmelse med den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder.«
4 Dette direktivs artikel 2 med overskriften »Definitioner« bestemmer følgende:
»Medmindre andet angives, gælder i dette direktiv de definitioner, der er fastsat i direktiv [95/46] og Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7. marts 2002 om fælles rammebestemmelser for elektroniske kommunikationsnet og ‑tjenester (rammedirektivet) [(EFT 2002, L 108, s. 33)].
Følgende definitioner anvendes også:
a) »bruger«: en fysisk person, som anvender en offentligt tilgængelig elektronisk kommunikationstjeneste i privat eller forretningsmæssigt øjemed, uden nødvendigvis at abonnere på den pågældende tjeneste
b) »trafikdata«: data, som behandles med henblik på overføring af kommunikation i et elektronisk kommunikationsnet eller debitering heraf
c) »lokaliseringsdata«: data, som behandles i et elektronisk kommunikationsnet og angiver den geografiske placering af det terminaludstyr, som brugeren af en offentligt tilgængelig elektronisk kommunikationstjeneste anvender
d) »kommunikation«: oplysninger, som udveksles eller overføres mellem et begrænset antal parter via en offentligt tilgængelig elektronisk kommunikationstjeneste. Dette omfatter ikke oplysninger, der overføres som del af en radio- og fjernsynstransmissionstjeneste til offentligheden via et elektronisk kommunikationsnet, medmindre oplysningerne kan kædes sammen med en identificerbar abonnent eller bruger, der modtager oplysningerne
[...]«
5 Direktivets artikel 5 med overskriften »Kommunikationshemmelighed« fastsætter følgende:
»1. Medlemsstaterne sikrer kommunikationshemmeligheden ved brug af offentlige kommunikationsnet og offentligt tilgængelige elektroniske kommunikationstjenester, både for så vidt angår selve kommunikationen og de dermed forbundne trafikdata, via nationale forskrifter. De forbyder især aflytning, registrering, lagring og andre måder, hvorpå samtaler kan opfanges eller overvåges af andre end brugerne, uden at de pågældende brugere har indvilget heri, bortset fra tilfælde, hvor det er tilladt ifølge lovgivningen, jf. artikel 15, stk. 1. Dette stykke er ikke til hinder for teknisk lagring, som er nødvendig for overføring af en kommunikation, forudsat at princippet om kommunikationshemmelighed ikke berøres heraf.
[...]
3. Medlemsstaterne sikrer, at lagring af oplysninger eller opnåelse af adgang til oplysninger, der allerede er lagret i en abonnents eller brugers terminaludstyr, kun er tilladt på betingelse af, at abonnenten eller brugeren har givet sit samtykke hertil efter i overensstemmelse med direktiv [95/46] at have modtaget klare og fyldestgørende oplysninger, bl.a. om formålet med behandlingen. Dette er ikke til hinder for teknisk lagring eller adgang til oplysninger, hvis det alene sker med det formål at overføre kommunikation via et elektronisk kommunikationsnet eller er absolut påkrævet for at sætte udbyderen af en informationssamfundstjeneste, som abonnenten eller brugeren udtrykkelig har anmodet om, i stand til at levere denne tjeneste.«
6 Samme direktivs artikel 6 med overskriften »Trafikdata« bestemmer følgende:
»1. Trafikdata vedrørende abonnenter og brugere, som behandles og lagres af udbyderen af et offentligt kommunikationsnet eller en offentligt tilgængelig elektronisk kommunikationstjeneste, skal slettes eller gøres anonyme, når de ikke længere er nødvendige for fremføringen af kommunikationen, jf. dog stk. 2, 3 og 5, samt artikel 15, stk. 1.
2. Med henblik på debitering af abonnenten og afregning for samtrafik er det tilladt at behandle trafikdata. En sådan behandling er tilladt indtil udløbet af den lovbestemte forældelsesfrist for sådanne gældsforpligtelser eller fristen for anfægtelse af sådanne afregninger.
3. Med henblik på markedsføring af elektroniske kommunikationstjenester eller levering af værdiforøgende tjenester er det tilladt udbyderen af en offentligt tilgængelig elektronisk kommunikationstjeneste at behandle de i stk. 1 omtalte oplysninger i det omfang og tidsrum, som sådanne tjenester eller markedsføringen kræver, hvis den abonnent eller bruger, som oplysningerne vedrører, forudgående har givet sit samtykke hertil. Brugeren eller abonnenten skal på et hvilket som helst tidspunkt have mulighed for at trække sit samtykke til behandling af trafikdata tilbage.
[...]
5. Behandling af trafikdata i henhold til stk. 1, 2, 3 og 4 må kun foretages af personer, som handler efter bemyndigelse fra udbydere af de offentligt tilgængelige kommunikationsnet og ‑tjenester, og som er beskæftiget med debitering eller trafikstyring, kundeforespørgsler, afsløring af svig, markedsføring af elektroniske kommunikationstjenester eller levering af en tillægstjeneste, og skal begrænses til det for sådanne aktiviteter nødvendige.
[...]«
7 Artikel 9 i direktiv 2002/58 med overskriften »Lokaliseringsdata, bortset fra trafikdata« fastsætter i stk. 1 følgende:
»Hvis lokaliseringsdata, bortset fra trafikdata, vedrørende brugere af eller abonnenter på de offentlige kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester, kan behandles, må disse data kun behandles, når de er gjort anonyme, eller når brugeren eller abonnenten har givet sit samtykke hertil, og da kun i det omfang og i det tidsrum, som er nødvendigt for levering af en tillægstjeneste. Tjenesteudbyderen skal, inden brugernes eller abonnenternes samtykke indhentes, underrette dem om, hvilken type lokaliseringsdata, bortset fra trafikdata, der behandles, hvorfor og hvor længe de behandles, og om de videregives til en tredjemand med henblik på levering af tillægstjenesten. [...]«
8 Dette direktivs artikel 15 med overskriften »Anvendelsesområdet for visse bestemmelser i direktiv [95/46]« bestemmer i stk. 1 følgende:
»Medlemsstaterne kan vedtage retsforskrifter med henblik på at indskrænke rækkevidden af de rettigheder og forpligtelser, der omhandles i artikel 5, artikel 6, artikel 8, stk. 1, 2, 3 og 4, og artikel 9, hvis en sådan indskrænkning er nødvendig, passende og forholdsmæssig i et demokratisk samfund af hensyn til den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem efter artikel 13, stk. 1, i direktiv [95/46]. Med henblik herpå kan medlemsstaterne bl.a. vedtage retsforskrifter om lagring af data i en begrænset periode, som kan begrundes i et af de hensyn, der er nævnt i dette stykke. Alle i dette stykke omhandlede forskrifter skal være i overensstemmelse med fællesskabsrettens generelle principper, herunder principperne i [...] artikel 6, stk. 1 og 2, [TEU].«
Italiensk ret
Lovdekret nr. 196/2003
9 Artikel 132, stk. 3, i decreto legislativo n. 196 – Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (lovdekret nr. 196, lov om beskyttelse af personoplysninger, om bestemmelser om tilpasning af national ret til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF) af 30. juni 2003 (almindeligt tillæg til GURI nr. 174 af 29.7.2003) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »lovdekret nr. 196/2003«), fastsætter følgende:
»Inden for den lovbestemte lagringsperiode kan retten – hvis der foreligger tilstrækkelige indicier for dels lovovertrædelser, der i henhold til loven medfører livsvarig fængselsstraf eller fængselsstraf af en varighed, som ved maksimal strafudmåling svarer til mindst tre år, og som fastsættes i medfør af artikel 4 i [codice di procedura penale (strafferetsplejeloven)], dels trussel og chikane eller gener for personer via telefon, når truslen og generne er alvorlige – ved begrundet dekret, på anmodning fra anklagemyndigheden eller forsvareren af den tiltalte, den efterforskede, den skadelidte og de andre private parter, give tilladelse til adgang til trafikdata, hvis disse er relevante for at fastlægge de faktiske omstændigheder.«
10 Artikel 132, stk. 3a, i lovdekret nr. 196/2003 bestemmer følgende:
»I hastende tilfælde, når der er gyldig grund til at antage, at forsinkelsen kan medføre en alvorlig skade for efterforskningen, beslutter anklagemyndigheden at indhente trafikdata ved begrundet dekret, som umiddelbart – og under alle omstændigheder inden for 48 timer – meddeles den kompetente ret med henblik på, at der gives tilladelse efter den ordinære procedure. Inden for de efterfølgende 48 timer træffer retten ved begrundet dekret afgørelse om godkendelse.«
11 Endelig følger det af artikel 132, stk. 3c, i lovdekret nr. 196/2003, at »[d]ata, som er blevet indhentet i strid med bestemmelserne i stk. 3 og stk. 3a, [...] ikke [må] anvendes.«
Straffeloven
12 Artikel 624 i codice penale (straffeloven) med overskriften »Tyveri« bestemmer følgende:
»Den, som tilegner sig en andens løsøregenstand ved at borttage den fra indehaveren for at skaffe sig eller andre vinding, straffes med fængsel fra seks måneder indtil tre år og bøde på mellem 154 og 516 EUR.
[...]
Lovovertrædelsen straffes efter påtalebegæring fra den forurettede, medmindre en eller flere af betingelserne i artikel 61, stk. 7, og artikel 625 er opfyldt.«
13 Straffelovens artikel 625, stk. 1, med overskriften »Skærpende omstændigheder« fastsætter følgende:
»Det i artikel 624 omhandlede forhold straffes med fængsel fra to til seks år og bøde på mellem 927 og 1 500 EUR:
[...]
2) Såfremt den skyldige øver hærværk på genstandene eller gør brug af nogen form for svig.
3) Såfremt den skyldige bærer våben eller narkotika på sig uden at gøre brug heraf.
4) Såfremt der er tale om et lommetyveri.
5) Såfremt forholdet er begået af tre eller flere personer eller af en enkelt person, der er forklædt eller udgiver sig for en embedsmand eller en person, der udøver en offentlig funktion.
6) Såfremt forholdet vedrører bagage tilhørende rejsende i nogen form for befordringsmiddel, på banegårde, i lufthavne eller ved kajanlæg, på hoteller eller i nogen form for virksomhed, der sælger mad- eller drikkevarer.
7) Såfremt forholdet vedrører genstande, der befinder sig i offentlige kontorer eller institutioner, eller som er blevet konfiskeret eller beslaglagt eller udstillet af nødvendighed eller af sædvane eller til offentlig brug, eller som er bestemt til offentlig tjeneste eller offentlig gavn, til forsvaret eller til ærbødighed.
7a) Såfremt forholdet vedrører bestanddele af metal eller andre materialer, der er udtaget fra infrastrukturer, som er beregnet til levering af energi, transport- eller telekommunikationstjenester eller andre offentlige tjenester, og som drives af offentlige eller private enheder i henhold til en offentlig koncession.
8) Såfremt forholdet vedrører tre eller flere stykker kvæg, der er samlet i en hjord, eller kreaturer eller heste, selv om de ikke er samlet i en hjord.
8a) Såfremt forholdet er begået i offentlige transportmidler.
8b) Såfremt forholdet er begået over for en person, der er i færd med at anvende eller netop har anvendt tjenester hos et kreditinstitut, på et posthus eller ved en pengeautomat.«
Strafferetsplejeloven
14 Strafferetsplejelovens artikel 4 med overskriften »Kompetenceregler« bestemmer følgende:
»Kompetencen fastlægges med udgangspunkt i den lovbestemte straf for hver enkelt begået lovovertrædelse eller forsøg herpå. Der tages ikke højde for, om lovovertrædelsen er af vedvarende eller gentagen karakter, eller for dens omstændigheder, med undtagelse af de skærpende omstændigheder, for hvilke loven fastsætter en anden specifik straf end den ordinære for den konkrete lovovertrædelse, og de omstændigheder, som har særlige virkninger.«
15 Strafferetsplejelovens artikel 269, stk. 2, fastsætter følgende:
»[...] registrerede oplysninger skal opbevares, indtil der er afsagt endelig dom. For at beskytte fortroligheden kan de berørte parter imidlertid anmode den ret, der gav tilladelse til eller validerede opfangelsen af dataene, om at tilintetgøre registrerede oplysninger, når dokumenterne ikke er nødvendige for retssagen.«
Tvisten i hovedsagen og det præjudicielle spørgsmål
16 Efter at der var blevet indgivet to anmeldelser om tyverier af mobiltelefoner, begået henholdsvis den 27. oktober og den 20. november 2021, indledte anklagemyndigheden i henhold til straffelovens artikel 624 og 625 to straffesager mod ukendte gerningsmænd for grove tyverier.
17 Med henblik på at identificere gerningsmændene til disse tyverier anmodede anklagemyndigheden på grundlag af artikel 132, stk. 3, i lovdekret nr. 196/2003 henholdsvis den 7. december og den 30. december 2021 Giudice delle indagini preliminari presso il Tribunale di Bolzano (forundersøgelsesdommeren ved retten i Bolzano), som er den forelæggende ret, om tilladelse til at indhente trafikdata fra de stjålne telefoner hos samtlige telefonselskaber. Disse anmodninger omhandlede »alle data, som [telefonselskaberne] råder over (bl.a. brugere og eventuelt numre vedrørende international identitet for mobilstationsudstyr (IMEI) for de opkaldte/opkaldende forbindelser, besøgte/åbnede websteder, klokkeslæt og varighed af opkaldet/forbindelsen med angivelse af de berørte celler i telefonnettet og/eller mobilmaster, brugere og IMEI-numre for afsendere/modtagere af sms’er eller mms’er og, hvor muligt, identifikationsoplysninger vedrørende de respektive indehavere) ved hjælp af metoden bestående i sporing og lokalisering af foretagne indgående og udgående telefonopkald/‑kommunikationer og forbindelser, herunder via roaming, herunder ikke-fakturerede opkald (ubesvarede opkald) fra datoen for tyveriet til datoen for behandling af anmodningen«.
18 Den forelæggende ret nærer tvivl om, hvorvidt artikel 132, stk. 3, i lovdekret nr. 196/2003 er forenelig med artikel 15, stk. 1, i direktiv 2002/58 således som fortolket af Domstolen i dom af 2. marts 2021, Prokuratuur (Betingelser for adgang til oplysninger om elektronisk kommunikation) (C-746/18, EU:C:2021:152).
19 Den har anført, at det følger af denne doms præmis 45, at nationale bestemmelser, der giver offentlige myndigheder adgang til lister over telefonaktivitet indeholdende en samling af trafikdata eller lokaliseringsdata, som kan gøre det muligt at drage præcise slutninger om den pågældende brugers privatliv – henset til proportionalitetsprincippet i chartrets artikel 52, stk. 1, og til alvoren af indgrebet i de grundlæggende rettigheder vedrørende privatliv, beskyttelse af personoplysninger samt ytrings- og informationsfriheden, således som sikret i henholdsvis chartrets artikel 7, 8 og 11 – kun kan begrundes, hvis de skal tjene til retsforfølgning af alvorlige lovovertrædelser såsom alvorlige trusler mod den offentlige sikkerhed, forstået som statens sikkerhed, og andre former for grov kriminalitet.
20 Den forelæggende ret har i denne henseende angivet, at Corte suprema di cassazione (kassationsdomstol, Italien) i sin dom nr. 33116 af 7. september 2021 fastslog, at henset til fortolkningsmargenen ved fastlæggelsen af de lovovertrædelser, der udgør alvorlige trusler mod den offentlige sikkerhed eller andre former for grov kriminalitet som omhandlet i Domstolens praksis, havde denne retspraksis ikke de påkrævede kendetegn til at kunne anvendes direkte af de nationale retter. I konsekvens heraf har den italienske lovgiver ændret artikel 132, stk. 3, i lovdekret nr. 196/2003 med henblik på at kvalificere de lovovertrædelser, som loven straffer med en maksimal fængselsstraf på »mindst tre år«, som alvorlige lovovertrædelser, i forhold til hvilke der kan indhentes trafikdata.
21 Denne tærskel på tre år, hvorfra den maksimale fængselsstraf, som en lovovertrædelse kan straffes med, begrunder, at denne lovovertrædelse kan give anledning til en udlevering af trafikdata til de offentlige myndigheder, bevirker ifølge den forelæggende ret, at disse data kan udleveres til disse myndigheder med henblik på retsforfølgning af lovovertrædelser, som kun forvolder begrænset social uro, og som kun straffes efter påtalebegæring fra en borger, bl.a. tyverier af begrænsede værdier såsom mobil- eller cykeltyverier.
22 Den omhandlede nationale bestemmelse er således i givet fald i strid med proportionalitetsprincippet i chartrets artikel 52, stk. 1, som kræver, at grovheden af den lovovertrædelse, der retsforfølges, skal afvejes over for de grundlæggende rettigheder, der gøres indgreb i for at retsforfølge lovovertrædelsen. Dette princip er nemlig til hinder for, at et indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7, 8 og 11, kan begrundes ved retsforfølgningen af en lovovertrædelse såsom tyveri.
23 Den forelæggende ret har præciseret, at de italienske retter har en meget begrænset skønsmargen i forhold til at nægte en tilladelse til at indhente trafikdata, eftersom det følger af den omhandlede bestemmelse, at tilladelsen skal meddeles, hvis der foreligger »tilstrækkelige indicier for lovovertrædelser«, og hvis de ønskede data er »relevante for at fastlægge de faktiske omstændigheder«. De italienske retter har derfor ingen skønsmargen med hensyn til den konkrete alvor af den lovovertrædelse, der er genstand for efterforskningen. Den italienske lovgiver foretog på endelig vis dette skøn, da den bestemte, at der skal meddeles tilladelse til at indhente dataene for bl.a. alle de lovovertrædelser, der straffes med en maksimal fængselsstraf på mindst tre år.
24 På denne baggrund har Giudice delle indagini preliminari presso il Tribunale di Bolzano (forundersøgelsesdommeren ved retten i Bolzano) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:
»Er artikel 15, stk. 1, i [direktiv 2002/58] til hinder for en national bestemmelse såsom artikel 132[, stk. 3,] i lovdekret nr. 196 [...], som [...] fastsætter:
»3. Inden for den lovbestemte lagringsperiode (dvs. 24 måneder fra kommunikationens dato) kan retten – hvis der foreligger tilstrækkelige indicier for dels lovovertrædelser, der i henhold til loven medfører livsvarig fængselsstraf eller fængselsstraf af en varighed, som ved maksimal strafudmåling svarer til mindst tre år, og som fastsættes i medfør af strafferetsplejelovens artikel 4, dels trussel og chikane eller gener for personer via telefon, når truslen og generne er alvorlige – ved begrundet dekret, på anmodning fra anklagemyndigheden eller forsvareren af den tiltalte, den efterforskede, den skadelidte og de andre private parter, give tilladelse til adgang til trafikdata, hvis disse er relevante for at fastlægge de faktiske omstændigheder«?«
Formaliteten vedrørende anmodningen om præjudiciel afgørelse
25 Den italienske regering og Irland har gjort gældende, at anmodningen om præjudiciel afgørelse delvist ikke kan antages til realitetsbehandling. De har anført, at anmodningerne om adgang til oplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester, er blevet fremsat af anklagemyndigheden på grundlag af artikel 132, stk. 3, i lovdekret nr. 196/2003 med henblik på retsforfølgning af lovovertrædelser i form af grove tyverier af mobiltelefoner. Med sit præjudicielle spørgsmål har den forelæggende ret imidlertid ligeledes spurgt Domstolen, om artikel 15, stk. 1, i direktiv 2002/58 er til hinder for en national bestemmelse, der gør det muligt at få adgang til oplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester, med henblik på retsforfølgning af andre af artikel 132, stk. 3, i lovdekret nr. 196/2003 omfattede lovovertrædelser end de i hovedsagen omhandlede, såsom simpelt tyveri eller grov telefonchikane. Følgelig har anmodningen om præjudiciel afgørelse en hypotetisk karakter, idet den tager sigte på disse øvrige lovovertrædelser.
26 Det skal i denne henseende bemærkes, at det ifølge fast retspraksis inden for rammerne af det samarbejde, der i henhold til artikel 267 TEUF er indført mellem Domstolen og de nationale retter, udelukkende tilkommer den nationale ret, for hvilken tvisten er indbragt, og som har ansvaret for den retsafgørelse, der skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere, både om en præjudiciel afgørelse er nødvendig for, at den kan afsige dom, og relevansen af de spørgsmål, den forelægger Domstolen. Når de stillede spørgsmål vedrører fortolkningen af EU-retten, er Domstolen derfor principielt forpligtet til at træffe afgørelse (dom af 21.3.2023, Mercedes-Benz Group (Ansvar for fabrikanter af køretøjer udstyret med manipulationsanordninger), C-100/21, EU:C:2023:229, præmis 52 og den deri nævnte retspraksis).
27 Heraf følger, at der foreligger en formodning for, at spørgsmål om EU-retten er relevante. Domstolen kan kun afvise at træffe afgørelse om et præjudicielt spørgsmål fremsat af en national ret, hvis det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, såfremt problemet er af hypotetisk karakter, eller såfremt Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en hensigtsmæssig besvarelse af de forelagte spørgsmål (dom af 21.3.2023, Mercedes-Benz Group (Ansvar for fabrikanter af køretøjer udstyret med manipulationsanordninger), C-100/21, EU:C:2023:229, præmis 53 og den deri nævnte retspraksis).
28 Ved at indeholde en fuld gengivelse af artikel 132, stk. 3, i lovdekret nr. 196/2003 dækker det præjudicielle spørgsmål – selv om der ikke heri sondres mellem de typer af lovovertrædelser, som denne bestemmelse finder anvendelse på – dog nødvendigvis de lovovertrædelser i form af grove tyverier, i forhold til hvilke der i hovedsagen er blevet fremsat anmodninger om tilladelse til adgang til personoplysninger.
29 Følgelig har dette spørgsmål ikke en hypotetisk karakter, og det kan derfor antages til realitetsbehandling.
Om det præjudicielle spørgsmål
30 Som den franske regering har bemærket i sit skriftlige indlæg, anmodes Domstolen med den forelæggende rets spørgsmål, således som dette er formuleret, om at tage stilling til, hvorvidt artikel 132, stk. 3, i lovdekret nr. 196/2003 er forenelig med artikel 15, stk. 1, i direktiv 2002/58.
31 Der skal i denne forbindelse erindres om, at Domstolen inden for rammerne af proceduren efter artikel 267 TEUF hverken kan udtale sig om fortolkningen af bestemmelser i nationale love og administrative forskrifter eller om disses forenelighed med EU-retten. Det fremgår således af fast retspraksis, at Domstolen inden for rammerne af en præjudiciel forelæggelse i henhold til artikel 267 TEUF udelukkende kan fortolke EU-retten inden for grænserne af de kompetencer, som Unionen er tillagt (dom af 14.12.2023, Getin Noble Bank (Forældelsesfrist for krav om tilbagebetaling), C-28/22, EU:C:2023:992, præmis 53 og den deri nævnte retspraksis).
32 Det fremgår ikke desto mindre af en fast retspraksis, at hvis spørgsmålene ikke er passende formuleret eller overskrider rammerne for Domstolens beføjelser i henhold til artikel 267 TEUF, skal Domstolen af alle de elementer, der er anført af den nationale ret, og især af de i forelæggelsesafgørelsen anførte grunde, udlede de EU-retlige elementer, der under hensyn til sagsgenstanden kræver en fortolkning. Ud fra denne synsvinkel påhviler det Domstolen i givet fald at omformulere de spørgsmål, der forelægges den (dom af 14.12.2023, Sparkasse Südpfalz, C-206/22, EU:C:2023:984, præmis 20 og den deri nævnte retspraksis).
33 Domstolen kan desuden inddrage EU-retlige regler, som den nationale ret ikke har henvist til i sit spørgsmål (dom af 17.11.2022, Harman International Industries, C-175/21, EU:C:2022:895, præmis 31 og den deri nævnte retspraksis).
34 Henset til det ovenstående må det lægges til grund, at den forelæggende ret med sit spørgsmål nærmere bestemt ønsker oplyst, om artikel 15, stk. 1, i direktiv 2002/58, sammenholdt med chartrets artikel 7, 8 og 11 samt artikel 52, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for en national bestemmelse, der pålægger den nationale ret, som skal træffe afgørelse som led i en forudgående kontrol, der foretages efter en begrundet anmodning om adgang til en samling af trafikdata eller lokaliseringsdata, som kan gøre det muligt at drage præcise slutninger om privatlivet angående en bruger af et elektronisk kommunikationsmiddel, og som er lagret af udbydere af elektroniske kommunikationstjenester – hvilken begrundede anmodning fremsættes af en kompetent national myndighed som led i en strafferetlig efterforskning – at tillade denne adgang, hvis der anmodes herom med henblik på efterforskning af strafbare lovovertrædelser, som i national ret straffes med en maksimal fængselsstraf på mindst tre år, forudsat at der foreligger tilstrækkelige indicier for sådanne lovovertrædelser, og at disse data er relevante for at fastlægge de faktiske omstændigheder.
35 Indledningsvis og hvad angår de betingelser, hvorunder der, med henblik på forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager, i henhold til en retsforskrift vedtaget efter artikel 15, stk. 1, i direktiv 2002/58 kan gives offentlige myndigheder adgang til trafikdata og lokaliseringsdata, der er lagret af udbydere af elektroniske kommunikationstjenester, skal det påpeges, at Domstolen har fastslået, at en sådan adgang kun kan meddeles under forudsætning af, at disse udbydere har lagret disse oplysninger i overensstemmelse med dette direktiv (jf. i denne retning dom af dags dato, La Quadrature du Net m.fl. (Personoplysninger og bekæmpelse af immaterialretskrænkelser), C-470/21, præmis 65 og den deri nævnte retspraksis). Domstolen har ligeledes fastslået, at denne artikel 15, stk. 1, sammenholdt med chartrets artikel 7, 8 og 11 samt artikel 52, stk. 1, er til hinder for retsforskrifter, der med henblik på sådanne formål i forebyggende øjemed foreskriver generel og udifferentieret lagring af trafikdata og lokaliseringsdata (dom af 2.3.2021, Prokuratuur (Betingelser for adgang til oplysninger om elektronisk kommunikation), C-746/18, EU:C:2021:152, præmis 30 og den deri nævnte retspraksis).
36 Der skal ligeledes henvises til Domstolens praksis, hvorefter kun bekæmpelse af grov kriminalitet eller forebyggelse af alvorlige trusler mod den offentlige sikkerhed kan begrunde et alvorligt indgreb i de i chartrets artikel 7 og 8 fastsatte grundlæggende rettigheder i form af offentlige myndigheders adgang til en samling af trafikdata eller lokaliseringsdata, der kan tilvejebringe oplysninger om den kommunikation, som en bruger har foretaget ved hjælp af et elektronisk kommunikationsmiddel, eller om placeringen af det terminaludstyr, som den pågældende gør brug af, og som kan gøre det muligt at drage præcise slutninger vedrørende de berørte personers privatliv, uden at andre faktorer vedrørende forholdsmæssigheden af en anmodning om adgang, såsom varigheden af den periode, for hvilken der anmodes om adgang til sådanne data, kan føre til, at formålet om forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager i almindelighed kan begrunde en sådan adgang (jf. i denne retning dom af 2.3.2021, Prokuratuur (Betingelser for adgang til oplysninger om elektronisk kommunikation), C-746/18, EU:C:2021:152, præmis 35 og den deri nævnte retspraksis).
37 Den forelæggende ret ønsker med sit præjudicielle spørgsmål nærmere bestemt oplyst, om et sådant alvorligt indgreb kan tillades i forhold til lovovertrædelser som dem, der er angivet i den i hovedsagen omhandlede nationale lovgivning.
38 Hvad indledningsvis angår spørgsmålet om, hvorvidt former for adgang som de omhandlede kan kvalificeres som et alvorligt indgreb i de grundlæggende rettigheder, der er sikret i chartrets artikel 7 og 8, skal det bemærkes, at anklagemyndigheden for at identificere de formodede gerningsmænd til de tyverier, der ligger til grund for denne tvist, i forhold til hver enkelt af de omhandlede mobiltelefoner har anmodet den forelæggende ret om på grundlag af artikel 132, stk. 3, i lovdekret nr. 196/2003 at give tilladelse til at indhente alle de data, som telefonselskaberne er i besiddelse af, og som er tilvejebragt ved hjælp af en metode til sporing og lokalisering af de telefonopkald og ‑kommunikationer samt forbindelser, der er foretaget med disse telefoner. Disse anmodninger angår nærmere bestemt abonnenterne og IMEI-numrene til de apparater, der er blevet ringet til eller fra, de besøgte og åbnede websteder, tidspunktet for og varigheden af opkaldene og forbindelserne, angivelsen af de berørte celler i telefonnettet eller mobilmasterne samt abonnenterne og IMEI-numrene til de apparater, der har afsendt og modtaget SMS- eller MMS-beskeder.
39 Adgangen til en sådan samling af trafikdata eller lokaliseringsdata synes at kunne gøre det muligt at drage præcise slutninger vedrørende privatlivet for de personer, hvis data er blevet lagret, såsom vaner i dagligdagen, midlertidige eller varige opholdssteder, daglige eller andre rejser, hvilke aktiviteter der udøves, disse personers sociale relationer og de sociale miljøer, de frekventerer (jf. i denne retning dom af 2.3.2021, Prokuratuur (Betingelser for adgang til oplysninger om elektronisk kommunikation), C-746/18, EU:C:2021:152, præmis 36 og den deri nævnte retspraksis). Det indgreb i de i chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, der sker ved adgangen til sådanne oplysninger, synes derfor at kunne kvalificeres som alvorligt.
40 Som det fremgår af præmis 39 i dom af 2. marts 2021, Prokuratuur (Betingelser for adgang til oplysninger om elektronisk kommunikation) (C-746/18, EU:C:2021:152), kan denne vurdering ikke undlades, blot fordi de to omhandlede anmodninger om adgang til trafikdata eller lokaliseringsdata kun angår korte perioder på mindre end to måneder, som går fra datoerne for de formodede tyverier af mobiltelefonerne til datoerne for udfærdigelsen af disse anmodninger, eftersom disse anmodninger vedrører en samling af disse data, der kan tilvejebringe præcise informationer om privatlivet for de personer, der har anvendt de pågældende mobiltelefoner.
41 Det er ligeledes uden relevans for vurderingen af, om der foreligger et alvorligt indgreb i de i chartrets artikel 7 og 8 sikrede rettigheder, at de data, som anklagemyndigheden har anmodet om adgang til, ikke vedrører ejerne af de pågældende mobiltelefoner men de personer, der har kommunikeret med hinanden ved at anvende disse telefoner efter deres formodede tyverier. Det fremgår nemlig af artikel 5, stk. 1, i direktiv 2002/58, at den principielle forpligtelse til at sikre hemmeligheden i forhold til de elektroniske kommunikationer, der foretages ved brug af offentlige kommunikationsnet og offentligt tilgængelige elektroniske kommunikationstjenester, både for så vidt angår selve kommunikationen og de dermed forbundne trafikdata, omfatter de kommunikationer, der foretages af brugerne af dette net. I dette direktivs artikel 2, litra a), defineres begrebet »bruger« imidlertid som en fysisk person, som anvender en offentligt tilgængelig elektronisk kommunikationstjeneste i privat eller forretningsmæssigt øjemed, uden nødvendigvis at abonnere på den pågældende tjeneste.
42 Følgelig og henset til den retspraksis, der er nævnt i nærværende doms præmis 36, skal det bemærkes, at eftersom de indgreb i de grundlæggende rettigheder, der sker ved adgangen til data såsom de i hovedsagen omhandlede, kan anses for at være alvorlige, kan de kun begrundes med bekæmpelse af grov kriminalitet eller forebyggelse af alvorlige trusler mod den offentlige sikkerhed.
43 Dernæst skal det bemærkes, at selv om det er i national ret, der skal fastsættes de betingelser, hvorunder udbydere af elektroniske kommunikationstjenester skal give de kompetente nationale myndigheder adgang til de data, som de råder over, skal en sådan lovgivning fastsætte klare og præcise regler, der regulerer rækkevidden af og betingelserne for pålæggelse af en sådan adgang. I forbindelse med målet om bekæmpelse af kriminalitet kan der i princippet kun gives adgang til data vedrørende personer, der er mistænkt for at være involveret i en alvorlig lovovertrædelse. Med henblik på i praksis at sikre fuld iagttagelse af disse betingelser, som skal garantere, at indgrebet begrænses til det strengt nødvendige, er det afgørende, at de kompetente nationale myndigheders adgang til de lagrede data, undtagen i behørigt begrundede hastende tilfælde, er undergivet en forudgående kontrol, der foretages af enten en domstol eller en uafhængig administrativ enhed (jf. i denne retning dom af 2.3.2021, Prokuratuur (Betingelser for adgang til oplysninger om elektronisk kommunikation), C-746/18, EU:C:2021:152, præmis 48-51).
44 Hvad endelig angår definitionen af begrebet »alvorlig lovovertrædelse« fremgår det af retspraksis, at i det omfang Unionen ikke har lovgivet på området, henhører straffelovgivningen og strafferetsplejereglerne under medlemsstaternes kompetence. Medlemsstaterne skal dog udøve denne kompetence under overholdelse af EU-retten (jf. i denne retning dom af 26.2.2019, Rimšēvičs og ECB mod Letland, C-202/18 og C-238/18, EU:C:2019:139, præmis 57 og den deri nævnte retspraksis).
45 Det skal i denne forbindelse bemærkes, at definitionen af strafbare lovovertrædelser, af formildende og skærpende omstændigheder og af sanktioner afspejler såvel de sociale realiteter som de juridiske traditioner, som ikke blot varierer mellem medlemsstaterne, men også over tid. Disse realiteter og traditioner har imidlertid en klar betydning for fastlæggelsen af de lovovertrædelser, der anses for at være af en alvorlig karakter.
46 Følgelig og under hensyntagen til kompetencefordelingen mellem Unionen og medlemsstaterne i henhold til EUF-traktaten og til de betydelige forskelle, der består mellem medlemsstaternes retssystemer på det strafferetlige område, må det fastslås, at det tilkommer medlemsstaterne at definere de »alvorlige lovovertrædelser« med henblik på anvendelsen af artikel 15, stk. 1, i direktiv 2002/58.
47 Medlemsstaternes definition af de »alvorlige lovovertrædelser« skal imidlertid overholde de krav, der følger af denne artikel 15, stk. 1, sammenholdt med chartrets artikel 7, 8 og 11 samt artikel 52, stk. 1.
48 Det skal i denne henseende bemærkes, at artikel 15, stk. 1, i direktiv 2002/58, for så vidt som denne bestemmelse giver medlemsstaterne mulighed for at vedtage retsforskrifter med henblik på at »indskrænke rækkevidden« af de rettigheder og forpligtelser, der omhandles i bl.a. direktivets artikel 5, 6 og 9 – såsom dem, der følger af princippet om kommunikationshemmelighed og forbuddet mod lagring af de dermed forbundne data – fastsætter en undtagelse til hovedreglen i bl.a. artikel 5, 6 og 9, og bestemmelsen skal således i overensstemmelse med fast retspraksis fortolkes strengt. En sådan bestemmelse kan således ikke begrunde, at en fravigelse af den principielle pligt til at sikre fortroligheden af elektronisk kommunikation og de dermed forbundne data bliver hovedreglen, idet rækkevidden af det nævnte direktivs artikel 5 i så fald i høj grad ville blive udhulet (jf. i denne retning dom af 5.4.2022, Commissioner of An Garda Síochána m.fl., C-140/20, EU:C:2022:258, præmis 40).
49 Det fremgår endvidere af artikel 15, stk. 1, tredje punktum, i direktiv 2002/58, at de forskrifter, som medlemsstaterne vedtager i henhold til denne bestemmelse, skal være i overensstemmelse med EU-rettens generelle principper, som bl.a. omfatter proportionalitetsprincippet, ligesom de grundlæggende rettigheder, der er sikret ved chartrets artikel 7, 8 og 11, skal være overholdt (jf. i denne retning dom af 5.4.2022, Commissioner of An Garda Síochána m.fl., C-140/20, EU:C:2022:258, præmis 42).
50 Det følger heraf, at medlemsstaterne ikke kan fordreje begrebet »alvorlig lovovertrædelse« og i videre forstand begrebet »grov kriminalitet« ved med henblik på at anvende denne artikel 15, stk. 1, heri at inkludere lovovertrædelser, som åbenbart ikke er alvorlige i betragtning af de fremherskende samfundsforhold i den pågældende medlemsstat, selv om denne medlemsstats lovgiver har bestemt, at de skal straffes med en maksimal fængselsstraf på tre år.
51 Det er bl.a. med henblik på at efterprøve, at der ikke er sket en sådan fordrejning, at det er afgørende, at de kompetente nationale myndigheders adgang til de lagrede data er undergivet en forudgående kontrol, der foretages af enten en domstol eller en uafhængig administrativ enhed, når denne adgang indebærer en risiko for et alvorligt indgreb i den berørte persons grundlæggende rettigheder (jf. i denne retning dom af dags dato, La Quadrature du Net m.fl. (Personoplysninger og bekæmpelse af immaterialretskrænkelser), C-470/21, præmis 124-131).
52 I den konkrete sag fremgår det af forelæggelsesafgørelsen, at artikel 132, stk. 3, i lovdekret nr. 196/2003 fastsætter betingelserne for, at en ret, der er blevet forelagt en begrundet anmodning fra en offentlig myndighed, kan give adgang til oplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester. I denne bestemmelse defineres de lovovertrædelser, hvor der med henblik på retsforfølgning kan gives adgang til oplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester, med henvisning til en maksimal fængselsstraf på mindst tre år. Bestemmelsen underlægger denne adgang den dobbelte betingelse, at der foreligger »tilstrækkelige indicier for lovovertrædelser«, og at de nævnte oplysninger er »relevante for at fastlægge de faktiske omstændigheder«.
53 Den forelæggende ret ønsker imidlertid oplyst, om definitionen i denne bestemmelse af de »alvorlige lovovertrædelser«, hvor der med henblik på retsforfølgning kan gives adgang til oplysninger, er for bred, idet den dækker lovovertrædelser, som kun forvolder begrænset social uro.
54 I denne henseende skal det for det første bemærkes, at en definition, hvorefter de »alvorlige lovovertrædelser«, hvor der med henblik på retsforfølgning kan gives adgang til oplysninger, er dem, for hvilke den maksimale fængselsstraf er af mindst en lovbestemt varighed, er baseret på et objektivt kriterium. Dette er i overensstemmelse med kravet om, at den pågældende nationale lovgivning skal være baseret på objektive kriterier med henblik på fastlæggelsen af de omstændigheder og betingelser, hvorunder de kompetente nationale myndigheder skal gives adgang til de omhandlede data (dom af 5.4.2022, Commissioner of An Garda Síochána m.fl., C-140/20, EU:C:2022:258, præmis 105 og den deri nævnte retspraksis).
55 For det andet følger det af den retspraksis, der er nævnt i nærværende doms præmis 48, at definitionen i national ret af de »alvorlige lovovertrædelser«, der kan danne grundlag for en adgang til oplysninger, som er lagret af udbydere af elektroniske kommunikationstjenester, og som gør det muligt at drage præcise slutninger vedrørende de berørte personers privatliv, ikke må være så bred, at adgangen til disse oplysninger bliver reglen snarere end undtagelsen. Denne definition kan således ikke dække det store flertal af strafbare lovovertrædelser, hvilket ville være tilfældet, hvis den tærskel, over hvilken den maksimale fængselsstraf for en lovovertrædelse kunne begrunde, at denne lovovertrædelse blev kvalificeret som en alvorlig lovovertrædelse, blev fastsat til et uforholdsmæssigt lavt niveau.
56 En tærskel, der er fastsat ved henvisning til en maksimal fængselsstraf på tre år, forekommer imidlertid ikke i denne henseende at være uforholdsmæssigt lav (jf. i denne retning dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 150).
57 Eftersom definitionen af de »alvorlige lovovertrædelser«, i forhold til hvilke der kan anmodes om adgang til oplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester, er fastsat ved henvisning ikke til en minimumsstraf, men til en maksimumsstraf, er det ganske vist ikke udelukket, at der kan anmodes om en adgang til oplysninger, som udgør et alvorligt indgreb i de grundlæggende rettigheder, med henblik på retsforfølgning af lovovertrædelser, der ikke i realiteten henhører under grov kriminalitet (jf. analogt dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 151).
58 Fastsættelsen af en tærskel, hvorfra den maksimale fængselsstraf, som en lovovertrædelse straffes med, kan begrunde, at denne lovovertrædelse kvalificeres som en alvorlig lovovertrædelse, er imidlertid ikke nødvendigvis i modstrid med proportionalitetsprincippet.
59 For det første synes dette at være tilfældet med en bestemmelse som den i hovedsagen omhandlede, eftersom den, som det fremgår af forelæggelsesafgørelsen, på generel vis tager sigte på adgang til oplysninger, der er lagret af udbydere af elektroniske kommunikationstjenester, uden at præcisere disse oplysningers art. Denne bestemmelse synes således bl.a. at omfatte tilfælde, hvor adgangen ikke kan kvalificeres som et alvorligt indgreb, fordi den ikke omfatter en samling af oplysninger, som kan gøre det muligt at drage præcise slutninger om de berørte personers privatliv.
60 For det andet skal den retsinstans eller den uafhængige administrative enhed, som skal træffe afgørelse som led i en forudgående kontrol, der foretages efter en begrundet anmodning om adgang, være beføjet til at nægte eller begrænse denne adgang, når den konstaterer, at det indgreb i de grundlæggende rettigheder, som en sådan adgang udgør, er alvorligt, selv om det er åbenbart, at den omhandlede lovovertrædelse ikke i praksis falder ind under grov kriminalitet (jf. analogt dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 152).
61 Den retsinstans eller den enhed, der er ansvarlig for kontrollen, skal nemlig være i stand til at sikre en rimelig ligevægt mellem på den ene side de legitime interesser, der er forbundet med, hvad der er nødvendigt af hensyn til efterforskningen i forbindelse med bekæmpelsen af kriminalitet, og på den anden side den grundlæggende ret til respekt for privatlivet og beskyttelsen af personoplysninger for så vidt angår de personer, hvis oplysninger er berørt af adgangen (dom af dags dato, La Quadrature du Net m.fl. (Personoplysninger og bekæmpelse af immaterialretskrænkelser), C-470/21, præmis 125 og den deri nævnte retspraksis).
62 Når denne retsinstans eller denne enhed undersøger forholdsmæssigheden af det indgreb, der sker i de grundlæggende rettigheder for den person, der er berørt af anmodningen om adgang, skal den navnlig være i stand til at udelukke en sådan adgang, når der anmodes herom som led i retsforfølgningen af en lovovertrædelse, der åbenbart ikke er alvorlig som omhandlet i nærværende doms præmis 50.
63 Det følger af det ovenstående, at det præjudicielle spørgsmål skal besvares med, at artikel 15, stk. 1, i direktiv 2002/58, sammenholdt med chartrets artikel 7, 8 og 11 samt artikel 52, stk. 1, skal fortolkes således, at denne bestemmelse ikke er til hinder for en national bestemmelse, der pålægger den nationale ret, som skal træffe afgørelse som led i en forudgående kontrol, der foretages efter en begrundet anmodning om adgang til en samling af trafikdata eller lokaliseringsdata, som kan gøre det muligt at drage præcise slutninger om privatlivet angående en bruger af et elektronisk kommunikationsmiddel, og som er lagret af udbydere af elektroniske kommunikationstjenester – hvilken begrundede anmodning fremsættes af en kompetent national myndighed som led i en strafferetlig efterforskning – at tillade denne adgang, hvis der anmodes herom med henblik på efterforskning af strafbare lovovertrædelser, som i national ret straffes med en maksimal fængselsstraf på mindst tre år, forudsat at der foreligger tilstrækkelige indicier for sådanne lovovertrædelser, og at disse data er relevante for at fastlægge de faktiske omstændigheder, dog på betingelse af, at den nationale ret er beføjet til at nægte den nævnte adgang, hvis der anmodes herom som led i en efterforskning af en lovovertrædelse, som åbenbart ikke er alvorlig i betragtning af de fremherskende samfundsforhold i den pågældende medlemsstat.
Sagsomkostninger
64 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:
Artikel 15, stk. 1, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009, sammenholdt med artikel 7, 8 og 11 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder,
skal fortolkes således, at
denne bestemmelse ikke er til hinder for en national bestemmelse, der pålægger den nationale ret, som skal træffe afgørelse som led i en forudgående kontrol, der foretages efter en begrundet anmodning om adgang til en samling af trafikdata eller lokaliseringsdata, som kan gøre det muligt at drage præcise slutninger om privatlivet angående en bruger af et elektronisk kommunikationsmiddel, og som er lagret af udbydere af elektroniske kommunikationstjenester – hvilken begrundede anmodning fremsættes af en kompetent national myndighed som led i en strafferetlig efterforskning – at tillade denne adgang, hvis der anmodes herom med henblik på efterforskning af strafbare lovovertrædelser, som i national ret straffes med en maksimal fængselsstraf på mindst tre år, forudsat at der foreligger tilstrækkelige indicier for sådanne lovovertrædelser, og at disse data er relevante for at fastlægge de faktiske omstændigheder, dog på betingelse af, at den nationale ret er beføjet til at nægte den nævnte adgang, hvis der anmodes herom som led i en efterforskning af en lovovertrædelse, som åbenbart ikke er alvorlig i betragtning af de fremherskende samfundsforhold i den pågældende medlemsstat.
Underskrifter