ECLI:NL:PHR:2021:1179

(1)dag, te weten 11 augustus 2021 tussen 16.30 uur en 17.00 uur. Beoordeling De vordering heeft betrekking op de diefstal van een motor. Toelichting officier van justitie De officier van justitie heeft in een mail d.d. 26 augustus 2021 toegelicht dat het openbaar ministerie zich op het standpunt stelt dat alle feiten waarvoor in Nederland voorlopige hechtenis is toegelaten, met andere woorden de feiten genoemd in artikel 67 van het Wetboek van Strafvordering, “serious crimes” zoals genoemd in de uitspraak van het Europees Hof van Justitie van de EU in de zaak H.K./Prokuratuur (C-746-18) betreffen. Deze opvatting past volgens de officier van justitie in de systematiek van het Wetboek van Strafvordering, dat toelaat dat in onderzoeken naar VH-feiten impactvolle opsporingsbevoegdheden worden toegepast. Deze misdrijven worden door de Nederlandse wetgever dus kennelijk aangemerkt als zonder meer “ernstig”. Ter vergelijking heeft de officier van justitie gewezen op de stelselmatige observatie van artikel 126g van het Wetboek van Strafvordering, een zeer impactvol bob-middel dat in beginsel voor elk VH-feit kan worden ingezet. Volgens de officier van justitie is, met verwijzing naar het arrest van het Hof Arnhem-Leeuwarden van 28 juni jl. (ECLI:NL:GHARL:2021:6245), het oordeel van enkele rechtbanken dat “serious crime” impliceert dat sprake moet zijn van een ernstige inbreuk op de rechtsorde (bijv. Rechtbank Rotterdam in ECLI:NL:RBROT:2021:4092) onjuist. Deze eis is, anders dan bijvoorbeeld in de artikelen 126m en 126nf van het Wetboek van Strafvordering, expliciet niet gesteld in art. 126n van het Wetboek van Strafvordering. Ook zou dit betekenen dat delicten als langdurige belaging en forse telefonische/digitale bedreigingen, waarbij zelden sprake is van een ernstige inbreuk op de rechtsorde, categorisch van toepassing van art. 126n van het Wetboek van Strafvordering worden uitgesloten. Ontvankelijkheid De rechter-commissaris overweegt dat de vordering betrekking heeft op een periode van een half uur en niet ziet op gegevens van een telefoon van de verdachte. Uit de uitspraak van het Europees Hof van Justitie van de EU in de zaak H.K./Prokuratuur (C-746/18) volgt dat, anders dan in de wet voorzien, een voorafgaande machtiging van de rechter-commissaris vereist is voor een vordering van de officier van justitie op grond van artikel 126n lid 1 Wetboek van Strafvordering als daarmee een meer dan geringe inbreuk wordt gemaakt op de privacy van de gebruiker. Het voormelde arrest beoogt te voorkomen tot zonder rechterlijke toets met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten toegang wordt verleend tot een reeks (“a set”) verkeers- of locatiegegevens die informatie kunnen verschaffen over de communicaties van een gebruiker van een elektronische-communicatiemiddel of over de locatie van de door hem gebruikte eindapparatuur en waaruit precieze conclusies kunnen worden getrokken over zijn persoonlijke levenssfeer. Naar het oordeel van de rechter-commissaris levert het vorderen van de gegevens slechts een geringe inbreuk op de privacy van de gebruiker op, zodat geen voorafgaande machtiging van de rechter-commissaris vereist is. De rechter-commissaris zal de officier van justitie daarom niet-ontvankelijk in de vordering verklaren. Beslissing De rechter-commissaris: verklaart de officier van justitie niet-ontvankelijk in de vordering.’ 5. Uit deze en andere beslissingen blijkt dat naar aanleiding van het arrest Prokuratuur in de praktijk twee kwesties spelen. De eerste betreft de strafbare feiten waarbij een vordering tot verstrekking van verkeers- en locatiegegevens mogelijk is. De tweede betreft de mogelijkheid van een machtiging door de rechter-commissaris. 6. De wet eist bij de vordering van gegevens ‘over een gebruiker van een communicatiedienst en het communicatieverkeer met betrekking tot die gebruiker’, verdenking van een misdrijf als omschreven in artikel 67, eerste lid, Sv (zie art. 126n, eerste lid, Sv). Ook een vordering die betrekking heeft op andere gegevens dan die welke gevorderd kunnen worden door toepassing van art. 126n Sv kan bij een dergelijke verdenking worden gericht tot de aanbieder van een communicatiedienst in de zin van art. 138g Sv (zie art. 126ng, eerste lid, jo. art. 126nd, eerste lid, Sv). In Rechtbank Rotterdam 26 april 2021, ECLI:NL:RBROT:2021:4092 wordt uit het arrest Prokuratuur, dat in verband met de toegang tot verkeers- en locatiegegevens spreekt over ‘zware criminaliteit’, afgeleid dat een vordering van deze gegevens slechts is toegestaan als het gaat om ‘een misdrijf als omschreven in artikel 67 lid 1 Sv, dat gezien zijn aard of de samenhang met andere door de verdachte begane misdrijven een ernstige inbreuk op de rechtsorde oplevert’. In andere beslissingen wordt niet een ander dan het wettelijk criterium tot uitgangspunt genomen maar wordt uit de verdenking waar het in het betreffende geval om gaat, afgeleid dat een vordering tot het verstrekken van verkeers- en/of locatiegegevens kon worden gedaan. Zo wordt in Gerechtshof Arnhem-Leeuwarden 28 juni 2021, ECLI:NL:GHARL:2021:6245 uit de omstandigheid dat het ‘gaat om de verdenking van meerdere woninginbraken met kostbare buit in een korte pleegperiode’ afgeleid dat deze zaak ‘een procedure ter bestrijding van zware criminaliteit’ betrof. Aldus blijkt van een verschil in benadering in lagere rechtspraak. 7. Uit het arrest Prokuratuur wordt in gepubliceerde rechtspraak van gerechtshoven afgeleid dat ‘een vordering tot gegevensverstrekking niet met toepassing van artikel 126n Sv’ mag worden gedaan door de officier van justitie. De gedachte lijkt dat een machtiging van de rechter-commissaris vereist is. Over de juridische basis op grond waarvan deze machtiging kan worden verstrekt biedt deze rechtspraak weinig duidelijkheid. De rechter-commissaris merkt de beslissing waar deze vordering zich tegen richt aan als een beslissing ‘op een vordering tot machtiging vordering tot verstrekking van historische verkeersgegevens (artikel 126n lid 1 Wetboek van Strafvordering)’. Daaruit lijkt te mogen worden afgeleid dat de rechter-commissaris meent dat een machtiging kan worden verstrekt in verband met een vordering op grond van art. 126n Sv. 8. Uit de beslissing blijkt voorts dat de rechter-commissaris van oordeel is dat een machtiging niet vereist is indien uit de gegevens (kort gezegd) geen precieze conclusies kunnen worden getrokken over de persoonlijke levenssfeer van de betrokkene, en dat de officier van justitie niet-ontvankelijk is in de vordering indien een machtiging niet vereist is. Dat standpunt lijkt ook de rechter-commissaris in de Rechtbank Rotterdam te huldigen, in een beslissing van 8 september 2021 (parketnummer 10.233028.21, ongepubliceerd). Deze rechter-commissaris leidde uit het arrest Prokuratuur af dat ‘een voorafgaande machtiging van de rechter-commissaris vereist is voor een vordering van de officier van justitie op grond van artikel 126ng lid 1 juncto 126nd Wetboek van Strafvordering als daarmee een meer dan geringe inbreuk wordt gemaakt op de privacy van de gebruiker’. Gelet op de korte periode waarover de gegevens waren verzocht, zou geen sprake zijn van een meer dan geringe inbreuk op de privacy van de gebruiker. Daarom was een voorafgaande rechterlijke machtiging volgens de rechter-commissaris niet vereist. De vordering werd niet-ontvankelijk verklaard. 9. Niet alle vragen die in verband met het arrest Prokuratuur spelen en in het navolgende worden besproken worden via de middelen ter beantwoording aan Uw Raad voorgelegd. Uw Raad heeft eerder bij een vordering tot cassatie in het belang der wet wel overwegingen geformuleerd betreffende rechtsvragen die verband houden met de vordering, ook als het middel niet expliciet deze vragen betrof. Ik ben ervan uitgegaan dat Uw Raad de gelegenheid daartoe weer zal benutten als dat Uw Raad opportuun voorkomt. 10. Ik ga in het navolgende nog in op de vraag of tegen de niet-ontvankelijkverklaring van het openbaar ministerie hoger beroep openstond. In verband met deze vordering tot cassatie in het belang der wet volstaat de vaststelling dat door het openbaar ministerie geen hoger beroep is ingesteld binnen de termijn die bij toepasselijkheid van artikel 446 Sv zou gelden. De beslissing van de rechter-commissaris is derhalve onherroepelijk geworden. Ingevolge art. 78, eerste lid, RO staat tegen de beslissing cassatie in het belang der wet open. 11. Ik merk nog op dat het oordeel van Uw Raad over de vorderingen tot cassatie in het belang der wet in een latere strafvervolging voor de zittingsrechter van belang kan zijn in verband met de vraag of zich in het voorbereidend onderzoek een vormverzuim heeft voorgedaan. Die vraag staat in deze vordering evenwel niet centraal. Wel besteed ik kort aandacht aan de vraag of het in de rede ligt aan (mogelijke) vormverzuimen als welke in deze vorderingen aan de orde zijn processuele sancties te verbinden. Wat aan het arrest Prokuratuur vooraf ging 12. In de jaren ’90 van de vorige eeuw kwam de Wet bijzondere opsporingsbevoegdheden tot stand. In de regeling van de bijzondere opsporingsbevoegdheden werd ook het onderzoek van telecommunicatie ondergebracht. In Titel IVA, met als opschrift ‘Bijzondere bevoegdheden tot opsporing’, zag art. 126m Sv op het opnemen van telecommunicatie met een technisch hulpmiddel. Art. 126n Sv betrof, kort gezegd, ‘verkeersgegevens’. Het eerste lid luidde: ‘In geval van ontdekking op heterdaad, verdenking van een misdrijf als omschreven in artikel 67, eerste lid, of het misdrijf, bedoeld in artikel 138a van het Wetboek van Strafrecht kan de officier van justitie in het belang van het onderzoek een vordering doen inlichtingen te verstrekken terzake van alle verkeer dat over de telecommunicatie-infrastructuur of over een telecommunicatie-inrichting die wordt aangewend voor dienstverlening aan het publiek, heeft plaatsgevonden en ten aanzien waarvan het vermoeden bestaat, dat de verdachte eraan heeft deelgenomen.’ 13. Kort daarvoor had de Telecommunicatiewet het Staatsblad bereikt. Deze bevatte in art. 13.4, eerste lid, een verplichting voor aanbieders van openbare telecommunicatienetwerken en openbare telecommunicatiediensten om aan de autoriteiten de informatie te verstrekken die noodzakelijk is om die autoriteiten in staat te stellen ‘de bij de wet in het belang van de strafvordering of in het belang van de veiligheid van de staat geregelde bevoegdheden tot het aftappen of opnemen van telecommunicatie, dan wel tot het vorderen van gegevens ter zake van alle verkeer dat over een openbaar telecommunicatienetwerk, dan wel met gebruikmaking van openbare telecommunicatiediensten, plaatsvindt, te kunnen uitoefenen.’ Het tweede lid bevatte onder meer een verplichting voor de aanbieders om bij algemene maatregel van bestuur aan te wijzen gegevens ‘voor een termijn van drie maanden, nadat de gegevens voor het eerst zijn verwerkt’ te bewaren. 14. Enkele jaren later kwam op Europees niveau richtlijn 2002/58/EG tot stand; de richtlijn betreffende privacy en elektronische communicatie. Deze richtlijn strekte in het bijzonder ‘tot volledige eerbiediging van de in de artikelen 7 en 8 bedoelde rechten van het Handvest van de grondrechten van de Europese Unie’ (ov. 2). Art. 7 Handvest luidt in de Nederlandse vertaling: ‘Eenieder heeft recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie’. Art. 8 Handvest bepaalt: ‘1. Eenieder heeft recht op bescherming van zijn persoonsgegevens. 2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht van inzage in de over hem verzamelde gegevens en op rectificatie daarvan. 3. Een onafhankelijke autoriteit ziet erop toe dat deze regels worden nageleefd.’ Richtlijn 2002/58/EG veranderde niets aan ‘de mogelijkheid voor de lidstaten om de in artikel 15, lid 1, van deze richtlijn bedoelde maatregelen te nemen, die nodig zijn voor (…) de wetshandhaving op strafrechtelijk gebied’ (ov. 11). Op deze richtlijn kom ik in het navolgende nog terug. 15. In 2004 werd de Wet vorderen gegevens telecommunicatie in het Staatsblad gepubliceerd. Deze wet leidde onder meer tot een aanpassing van strafvorderlijke bepalingen en de Telecommunicatiewet. Art. 126n, eerste lid, Sv bepaalde voortaan: ‘In geval van verdenking van een misdrijf als omschreven in artikel 67, eerste lid, kan de officier van justitie in het belang van het onderzoek een vordering doen gegevens te verstrekken over een gebruiker en het telecommunicatieverkeer met betrekking tot die gebruiker. De vordering kan slechts betrekking hebben op gegevens die bij algemene maatregel van bestuur zijn aangewezen en kan gegevens betreffen die: a. ten tijde van de vordering zijn verwerkt, dan wel b. na het tijdstip van de vordering worden verwerkt.’ 16. Voorts werd een nieuw art. 126na Sv ingevoegd, dat opsporingsambtenaren de bevoegdheid gaf in geval van verdenking van een misdrijf in het belang van het onderzoek een vordering te doen gegevens te verstrekken ‘terzake van naam, adres, postcode, woonplaats, nummer en soort dienst van een gebruiker van telecommunicatie’. In de Telecommunicatiewet werd een nieuw art. 13.2a ondergebracht. Uit het eerste lid volgde dat aanbieders van openbare telecommunicatienetwerken en openbare telecommunicatiediensten dienden te voldoen aan een vordering op grond van artikel 126n Sv ‘tot het verstrekken van gegevens over een gebruiker van een openbaar telecommunicatienetwerk dan wel een openbare telecommunicatiedienst en het telecommunicatieverkeer met betrekking tot die gebruiker’. 17. Tegelijk met deze Wet trad het Besluit vorderen gegevens telecommunicatie in werking. Daarin worden onder meer de ‘gegevens in de zin van artikel 126n, eerste lid, tweede volzin,’ Sv aangewezen (art. 2). Dat waren: ‘a. de naam, het adres en de woonplaats van de gebruiker; b. de nummers van de gebruiker; c. de naam, het adres, de woonplaats en het nummer van de natuurlijke persoon of rechtspersoon met wie de gebruiker verbinding heeft, heeft gehad of heeft getracht tot stand te brengen, of van de natuurlijke persoon of rechtspersoon die heeft getracht met de gebruiker verbinding tot stand te brengen; d. de datum en het tijdstip waarop de verbinding met de gebruiker tot stand is gebracht en beëindigd en de duur van de verbinding, dan wel, ingeval er geen verbinding tot stand is gekomen, de datum en het tijdstip waarop is getracht verbinding met de gebruiker tot stand te brengen, alsmede de afwijking van dit tijdstip van de wettelijke tijd, bedoeld in artikel 1, eerste lid, van de wet van 16 juli 1958 tot nadere regeling van de wettelijke tijd (Stb. 352); e. de locatiegegevens van het netwerkaansluitpunt dan wel gegevens betreffende de geografische positie van de randapparatuur van een gebruiker ingeval van een verbinding of poging daartoe; f. de nummers van de randapparatuur waarvan de gebruiker gebruik maakt of heeft gemaakt; g. de soorten diensten waarvan de gebruiker gebruik maakt of heeft gemaakt evenals de daarbij behorende gegevens; h. de naam, het adres en de woonplaats van degene die de rekening betaalt voor de openbare telecommunicatiediensten en telecommunicatienetwerken die de gebruiker ter beschikking heeft of heeft gehad, indien deze een ander is dan de gebruiker.’ 18. In 2005 bereikte de Wet bevoegdheden vorderen gegevens het Staatsblad. Deze wet bevatte de (nieuwe) artikelen 126nc tot en met 126nh Sv. Art. 126nc, eerste lid, Sv gaf de opsporingsambtenaar de bevoegdheid in geval van verdenking van een misdrijf van degene die anders dan ten behoeve van persoonlijk gebruik gegevens verwerkt, te vorderen bepaalde opgeslagen of vastgelegde identificerende gegevens van een persoon te verstrekken. De officier van justitie kon voortaan op grond van art. 126nd, eerste lid, Sv in geval van verdenking van een misdrijf als omschreven in art. 67, eerste lid, Sv vorderen ‘bepaalde opgeslagen of vastgelegde gegevens’ te verstrekken. Art. 126ng, eerste lid, Sv maakte het mogelijk een vordering als bedoeld in (onder meer) art. 126nc, eerste lid, of art. 126nd, eerste lid, Sv te richten ‘tot de aanbieder van een openbaar telecommunicatienetwerk, onderscheidenlijk de aanbieder van een openbare telecommunicatiedienst, voor zover de vordering betrekking heeft op andere gegevens dan die welke gevorderd kunnen worden door toepassing van de artikelen 126n en 126na’. Uit de Aanwijzing opsporingsbevoegdheden kan worden afgeleid dat art. 126ng, eerste lid, Sv als basis dient voor het vorderen van ‘locatiegegevens’ in het geval de telefoon slechts stand-by staat. In de Telecommunicatiewet werd een nieuw artikel 13.2b ondergebracht. Daaruit volgde dat aanbieders van openbare telecommunicatienetwerken en openbare telecommunicatiediensten dienden te voldoen aan een vordering op grond van (onder meer) de artikelen 126nc tot en met 126nh van het Wetboek van Strafvordering. 19. Op Europees niveau kwam vervolgens richtlijn 2006/24/EG tot stand. Achtergrond van deze richtlijn was dat ‘juridische en technische verschillen tussen de nationale bepalingen op het gebied van het bewaren van gegevens ten behoeve van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten’ de werking van ‘de interne markt voor elektronische communicatie’ zouden belemmeren (ov. 6). Er werd op gewezen dat in de conclusies van de Raad justitie en binnenlandse zaken van 19 december 2002 was ‘benadrukt dat wegens de opmerkelijke toename van de mogelijkheden van elektronische communicatie, gegevens betreffende het gebruik daarvan van bijzonder belang zijn en een waardevol instrument bij het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, met name in de strijd tegen de georganiseerde misdaad’ (ov. 7). En dat de Europese Raad in zijn verklaring betreffende de bestrijding van terrorisme van 25 maart 2004 aan de Raad opdracht had gegeven ‘maatregelen te bestuderen met het oog op het vaststellen van regels voor het bewaren van verkeersgegevens door telecommunicatieaanbieders’ (ov. 8). Omdat gebleken zou zijn ‘dat de bewaring van gegevens een noodzakelijk en doeltreffend onderzoeksinstrument is voor wetshandhaving in verschillende lidstaten, en met name bij ernstige aangelegenheden zoals georganiseerde misdaad en terrorisme’, diende gezorgd te worden ‘dat de bewaarde gegevens beschikbaar zijn voor de wetshandhavingsautoriteiten gedurende een bepaalde periode, onder specifieke voorwaarden’ (ov. 9). 20. Kern van richtlijn 2006/24/EG was een verplichting voor de lidstaten om bepalingen aan te nemen die waarborgden dat nader omschreven gegevens werden bewaard (art. 3). Daarbij ging het om gegevens die nodig waren om de bron of bestemming van een communicatie te (traceren

1. en)identificeren, gegevens die nodig waren om de datum, het tijdstip en de duur van een communicatie alsmede het type communicatie te bepalen, gegevens die nodig waren om de (vermoedelijke) communicatieapparatuur van de gebruikers te identificeren en om gegevens die nodig waren om de locatie van mobiele telecommunicatieapparatuur te bepalen (art. 5). 21. Deze richtlijn leidde op nationaal niveau in 2009 tot een aanpassing van de Telecommunicatiewet, door de Wet bewaarplicht telecommunicatiegegevens. Art. 13.2a, tweede lid, verplichtte aanbieders van openbare telecommunicatienetwerken of openbare telecommunicatiediensten voortaan ‘de in de bij deze wet behorende bijlage aangewezen gegevens, voorzover deze in het kader van de aangeboden netwerken of diensten worden gegenereerd of verwerkt, ten behoeve van het onderzoeken, opsporen en vervolgen van ernstige misdrijven’ te bewaren. Die bijlage omschreef onder A gegevens die bij telefonie over een mobiel of een vast netwerk bewaard dienden te worden, en onder B gegevens die bij internettoegang, e-mail over het internet en internettelefonie bewaard dienden te worden. 22. In het arrest Digital Rights waren prejudiciële vragen aan de orde die waren ingediend door hoogste rechters van Ierland en Oostenrijk (High Court en Verfassungsgerichtshof). Deze vragen betroffen onder meer de verenigbaarheid van richtlijn 2006/24/EG met de artikelen 7, 8 en 11 van het Handvest van de grondrechten van de Europese Unie. Uitkomst was dat het Hof voor recht verklaarde dat richtlijn 2006/24/EG ongeldig was. Daaraan lagen (onder meer) de volgende overwegingen ten grondslag: ‘Relevantie van de artikelen 7, 8 en 11 van het Handvest voor de geldigheid van richtlijn 2006/24 (…) ‘26. Dienaangaande zij opgemerkt dat de aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk op grond van de artikelen 3 en 5 van richtlijn 2006/24 met name die gegevens moeten bewaren die nodig zijn om de bron en de bestemming van een communicatie te traceren en te identificeren, om de datum, het tijdstip en de duur van de communicatie en het type communicatie te bepalen, om de communicatieapparatuur van de gebruikers te identificeren en om de locatie van mobiele communicatieapparatuur te bepalen. (…) 27. Uit deze gegevens, in hun geheel beschouwd, kunnen zeer precieze conclusies worden getrokken over het privéleven van de personen van wie de gegevens zijn bewaard, zoals hun dagelijkse gewoonten, hun permanente of tijdelijke verblijfplaats, hun dagelijkse of andere verplaatsingen, de activiteiten die zij uitoefenen, hun sociale relaties en de sociale kringen waarin zij verkeren. 28. Hoewel richtlijn 2006/24 niet het recht verleent om de inhoud van de communicatie en de met behulp van een elektronisch communicatienetwerk geraadpleegde informatie te bewaren, zoals blijkt uit de artikelen 1, lid 2, en 5, lid 2, ervan, is het dus niet uitgesloten dat de bewaring van de betrokken gegevens een invloed heeft op de wijze waarop abonnees of geregistreerde gebruikers de in deze richtlijn bedoelde communicatiemiddelen gebruiken en derhalve op de wijze waarop zij hun door artikel 11 van het Handvest gewaarborgde vrijheid van meningsuiting uitoefenen. (…) Bestaan van inmenging in de in de artikelen 7 en 8 van het Handvest neergelegde rechten (…) 34. Hieruit volgt dat de door de artikelen 3 en 6 van richtlijn 2006/24 aan aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk opgelegde verplichting om gegevens betreffende het privéleven van een persoon en zijn communicaties, zoals die welke zijn bedoeld in artikel 5 van deze richtlijn, gedurende een bepaalde tijd te bewaren, op zich een inmenging vormt in de door artikel 7 van het Handvest gewaarborgde rechten. 35. Bovendien vormt de toegang van de bevoegde nationale autoriteiten tot de gegevens een aanvullende inmenging in dat fundamentele recht (…). De artikelen 4 en 8 van richtlijn 2006/24, die de toegang van de bevoegde nationale autoriteiten tot de gegevens regelen, vormen dus eveneens een inmenging in de door artikel 7 van het Handvest gewaarborgde rechten. 36. Richtlijn 2006/24 vormt ook een inmenging in het door artikel 8 van het Handvest gewaarborgde fundamentele recht op bescherming van persoonsgegevens, aangezien zij voorziet in de verwerking van persoonsgegevens. 37. Vastgesteld moet worden dat richtlijn 2006/24 een zeer ruime en bijzonder zware inmenging vormt in de door de artikelen 7 en 8 van het Handvest gewaarborgde fundamentele rechten, zoals de advocaat-generaal met name in de punten 77 en 80 van zijn conclusie heeft opgemerkt. Bovendien kan het feit dat de gegevens worden bewaard en later worden gebruikt zonder dat de abonnee of de geregistreerde gebruiker hierover wordt ingelicht, bij de betrokken personen het gevoel opwekken dat hun privéleven constant in de gaten wordt gehouden, zoals de advocaat-generaal in de punten 52 en 72 van zijn conclusie heeft opgemerkt. Rechtvaardiging van de inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten 38. Volgens artikel 52, lid 1, van het Handvest moeten beperkingen op de uitoefening van de in dit Handvest erkende rechten en vrijheden bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen, en kunnen, met inachtneming van het evenredigheidsbeginsel, alleen beperkingen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen beantwoorden. 39. Wat de wezenlijke inhoud van het fundamentele recht op eerbiediging van het privéleven en de andere door artikel 7 van het Handvest erkende rechten betreft, moet worden vastgesteld dat de door richtlijn 2006/24 voorgeschreven bewaring van gegevens weliswaar een bijzonder zware inmenging in deze rechten vormt, maar niet raakt aan de inhoud ervan, aangezien deze richtlijn, zoals blijkt uit artikel 1, lid 2, ervan, niet de mogelijkheid biedt om kennis te nemen van de inhoud zelf van de elektronische communicaties. 40. Deze bewaring van gegevens doet evenmin afbreuk aan de wezenlijke inhoud van het door artikel 8 van het Handvest erkende fundamentele recht op bescherming van persoonsgegevens, aangezien richtlijn 2006/24 in artikel 7 ervan een regel inzake gegevensbescherming en beveiliging bevat op grond waarvan de aanbieders van openbaar beschikbare elektronischecommunicatiediensten of van een publiek communicatienetwerk, onverminderd de bepalingen die zijn goedgekeurd ingevolge de richtlijnen 95/46 en 2002/58, bepaalde beginselen van gegevensbescherming en beveiliging moeten respecteren. Volgens deze beginselen moeten de lidstaten ervoor zorgen dat passende technische en organisatorische maatregelen worden genomen om te vermijden dat de gegevens per ongeluk of onrechtmatig worden vernietigd dan wel per ongeluk verloren geraken of worden gewijzigd. 41. Met betrekking tot de vraag of deze inmenging voldoet aan een doel van algemeen belang, zij opgemerkt dat richtlijn 2006/24 weliswaar strekt tot harmonisatie van de bepalingen van de lidstaten betreffende de verplichtingen van bovengenoemde aanbieders inzake de bewaring van bepaalde gegevens die door hen worden gegenereerd of verwerkt, maar dat het materiële doel van deze richtlijn, zoals blijkt uit artikel 1, lid 1, ervan, erin bestaat te garanderen dat die gegevens beschikbaar zijn met het oog op het onderzoek, de opsporing en de vervolging van ernstige criminaliteit zoals gedefinieerd in de nationale wetgevingen van de lidstaten. Deze richtlijn heeft dus materieel tot doel om tot de bestrijding van ernstige criminaliteit en aldus uiteindelijk tot de openbare veiligheid bij te dragen. 42. Volgens de rechtspraak van het Hof vormt de bestrijding van terrorisme ter handhaving van de internationale vrede en veiligheid een doel van algemeen belang van de Unie (…). Hetzelfde geldt voor de bestrijding van ernstige criminaliteit ter waarborging van de openbare veiligheid (…). In dit verband zij voorts opgemerkt dat artikel 6 van het Handvest bepaalt dat eenieder niet alleen recht heeft op vrijheid, maar ook op veiligheid. (…) 45. In deze omstandigheden moet worden nagegaan of de vastgestelde inmenging evenredig is. (…) 48. Gelet op de belangrijke rol die de bescherming van persoonsgegevens speelt in het licht van het fundamentele recht op bescherming van het privéleven, alsook op de omvang en de ernst van de door richtlijn 2006/24 veroorzaakte inmenging in dit recht is de beoordelingsbevoegdheid van de Uniewetgever in casu beperkt, zodat een strikt toezicht moet worden uitgeoefend. 49. Met betrekking tot de vraag of het door richtlijn 2006/24 nagestreefde doel kan worden verwezenlijkt door de bewaring van de gegevens, moet worden vastgesteld dat de gegevens die op grond van deze richtlijn moeten worden bewaard, gelet op het groeiende belang van elektronischecommunicatiemiddelen de nationale strafvervolgingsautoriteiten extra mogelijkheden bieden om ernstige gevallen van criminaliteit op te helderen en in die zin dus een waardevol instrument vormen bij strafonderzoeken. De bewaring van dergelijke gegevens is derhalve geschikt voor de verwezenlijking van het door deze richtlijn nagestreefde doel. 50. Aan deze beoordeling wordt niet afgedaan door de omstandigheid dat er verschillende vormen van elektronische communicatie bestaan die niet binnen de werkingssfeer van richtlijn 2006/24 vallen of die anonieme communicatie mogelijk maken (…). Dit heeft weliswaar tot gevolg dat de bewaring van gegevens niet volstrekt geschikt is om het nagestreefde doel te bereiken, maar dat betekent nog niet dat deze maatregel daarvoor ongeschikt is, zoals de advocaat-generaal in punt 137 van zijn conclusie heeft opgemerkt. 51. Wat de noodzaak van de door richtlijn 2006/24 voorgeschreven bewaring van gegevens betreft, zij vastgesteld dat de bestrijding van zware criminaliteit, met name van georganiseerde misdaad en terrorisme, weliswaar van primordiaal belang is om de openbare veiligheid te waarborgen, en dat de doeltreffendheid ervan in aanzienlijke mate kan afhangen van het gebruik van moderne onderzoekstechnieken, maar dat een dergelijke doelstelling van algemeen belang, hoe wezenlijk zij ook is, op zich niet kan rechtvaardigen dat een bewaringsmaatregel zoals die welke door richtlijn 2006/24 is ingevoerd, noodzakelijk wordt geacht voor het voeren van deze strijd. 52. Wat het recht op eerbiediging van het privéleven betreft, zij opgemerkt dat de bescherming van dit fundamentele recht volgens vaste rechtspraak van het Hof hoe dan ook vereist dat de uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven (…). 53. Dienaangaande zij eraan herinnerd dat de bescherming van persoonsgegevens, die uitdrukkelijk wordt voorgeschreven door artikel 8, lid 1, van het Handvest, van bijzonder belang is voor het in artikel 7 van dit Handvest verankerde recht op eerbiediging van het privéleven. 54. De betrokken Unieregeling moet dus duidelijke en precieze regels betreffende de draagwijdte en de toepassing van de betrokken maatregel bevatten die minimale vereisten opleggen, zodat de personen van wie de gegevens zijn bewaard over voldoende garanties beschikken dat hun persoonsgegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van deze gegevens (…). 55. De noodzaak om over dergelijke garanties te beschikken is des te groter wanneer de persoonsgegevens, zoals is bepaald in richtlijn 2006/24, automatisch worden verwerkt en er een aanzienlijk risico bestaat dat deze gegevens op onrechtmatige wijze zullen worden geraadpleegd (…). 56. Met betrekking tot de vraag of de inmenging die richtlijn 2006/24 meebrengt, beperkt is tot het strikt noodzakelijke, zij opgemerkt dat artikel 3 van deze richtlijn, gelezen in samenhang met artikel 5, lid 1, ervan, voorschrijft om alle verkeersgegevens betreffende vaste en mobiele telefonie, internettoegang, e-mail over het internet en internettelefonie te bewaren. Deze richtlijn strekt zich dus uit tot alle wijdverspreide elektronischecommunicatiemiddelen, die een steeds belangrijker plaats innemen in het dagelijkse leven van de mensen. Bovendien ziet deze richtlijn ingevolge artikel 3 ervan op alle abonnees en geregistreerde gebruikers. Zij leidt dus tot inmenging in de fundamentele rechten van bijna de gehele Europese bevolking. 57. Dienaangaande zij in de eerste plaats vastgesteld dat richtlijn 2006/24 algemeen van toepassing is op alle personen, alle elektronischecommunicatiemiddelen en alle verkeersgegevens, zonder dat enig onderscheid wordt gemaakt, enige beperking wordt gesteld of enige uitzondering wordt gemaakt op basis van het doel, zware criminaliteit te bestrijden. 58. Richtlijn 2006/24 is om te beginnen algemeen van toepassing op alle personen die gebruikmaken van elektronischecommunicatiediensten, zonder dat de personen van wie de gegevens worden bewaard zich echter, zelfs niet indirect, in een situatie bevinden die aanleiding kan geven tot strafrechtelijke vervolging. Zij is dus zelfs van toepassing op personen voor wie er geen enkele aanwijzing bestaat dat hun gedrag – zelfs maar indirect of van ver – een verband vertoont met zware criminaliteit. Bovendien bevat de richtlijn geen uitzonderingen, zodat zij zelfs van toepassing is op personen van wie de communicaties volgens de nationale rechtsregels onder het zakengeheim vallen. 59. Voorts beoogt deze richtlijn weliswaar bij te dragen tot de strijd tegen zware criminaliteit, maar zij vereist geen enkel verband tussen de gegevens die moeten worden bewaard en een bedreiging van de openbare veiligheid. Zij beperkt met name de bewaring niet tot gegevens die betrekking hebben op een bepaalde periode en/of een bepaalde geografische zone en/of een kring van bepaalde personen die op een of andere wijze betrokken kunnen zijn bij zware criminaliteit, of op personen voor wie de bewaring van de gegevens om andere redenen zou kunnen helpen bij het voorkomen, opsporen of vervolgen van zware criminaliteit. 60. In de tweede plaats bevat richtlijn 2006/24 niet alleen geen beperkingen, maar ook geen objectieve criteria ter begrenzing van de toegang van de bevoegde nationale autoriteiten tot de gegevens en het latere gebruik ervan met het oog op het voorkomen, opsporen of strafrechtelijk vervolgen van inbreuken die, gelet op de omvang en de ernst van de inmenging in de door de artikelen 7 en 8 van het Handvest erkende fundamentele rechten, voldoende ernstig kunnen worden geacht om een dergelijke inmenging te rechtvaardigen. Integendeel, richtlijn 2006/24 verwijst in artikel 1, lid 1, ervan enkel op algemene wijze naar ernstige criminaliteit zoals gedefinieerd in de nationale wetgevingen van de lidstaten. 61. Bovendien bevat richtlijn 2006/24 geen materiële en procedurele voorwaarden betreffende de toegang van de bevoegde nationale autoriteiten tot de gegevens en het latere gebruik ervan. Artikel 4 van deze richtlijn, dat de toegang van deze autoriteiten tot de bewaarde gegevens regelt, bepaalt niet uitdrukkelijk dat deze toegang en het latere gebruik van de betrokken gegevens strikt gebonden zijn aan het doel, nauwkeurig afgebakende zware criminaliteit te voorkomen, op te sporen of strafrechtelijk te vervolgen, maar bepaalt enkel dat elke lidstaat de procedure en de te vervullen voorwaarden vaststelt voor toegang tot de bewaarde gegevens overeenkomstig de vereisten inzake noodzakelijkheid en evenredigheid. 62. In het bijzonder bevat richtlijn 2006/24 geen objectieve criteria op basis waarvan het aantal personen dat de bewaarde gegevens mag raadplegen en vervolgens gebruiken, kan worden beperkt tot wat strikt noodzakelijk is voor de verwezenlijking van het nagestreefde doel. Maar bovenal is de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens niet onderworpen aan enige voorafgaande controle door een rechterlijke instantie of een onafhankelijke administratieve instantie waarvan de beslissing beoogt om de toegang tot de gegevens en het gebruik ervan te beperken tot wat strikt noodzakelijk is ter verwezenlijking van het nagestreefde doel en die uitspraak doet op een gemotiveerd verzoek van deze autoriteiten, ingediend in het kader van procedures ter voorkoming, opsporing of vervolging van strafbare feiten. Aan de lidstaten is evenmin enige specifieke verplichting opgelegd om dergelijke beperkingen vast te stellen. 63. Wat in de derde plaats de termijn betreft gedurende welke de gegevens worden bewaard, bepaalt artikel 6 van richtlijn 2006/24 dat deze gedurende ten minste zes maanden moeten worden bewaard, zonder dat enig onderscheid wordt gemaakt tussen de in artikel 5 van deze richtlijn genoemde categorieën van gegevens naargelang van het nut ervan voor het nagestreefde doel of naargelang van de betrokken personen. 64. Bovendien varieert de bewaringstermijn van ten minste zes maanden tot ten hoogste vierentwintig maanden, zonder dat wordt gepreciseerd dat deze termijn op basis van objectieve criteria moet worden vastgesteld om te waarborgen dat hij beperkt is tot wat strikt noodzakelijk is. 65. Uit het bovenstaande volgt dat richtlijn 2006/24 geen duidelijke en precieze regels bevat betreffende de omvang van de inmenging in de door de artikelen 7 en 8 van het Handvest erkende fundamentele rechten. Vastgesteld moet dus worden dat deze richtlijn een zeer ruime en bijzonder zware inmenging in deze fundamentele rechten in de rechtsorde van de Unie impliceert, zonder dat deze inmenging nauwkeurig is omkaderd door bepalingen die kunnen waarborgen dat zij daadwerkelijk beperkt is tot het strikt noodzakelijke. 66. Bovendien moet met betrekking tot de regels inzake de beveiliging en de bescherming van de gegevens die worden bewaard door de aanbieders van openbaar beschikbare elektronischecommunicatiediensten of een openbaar communicatienetwerk worden vastgesteld dat richtlijn 2006/24 onvoldoende garanties biedt dat de bewaarde gegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik ervan, zoals wordt vereist door artikel 8 van het Handvest. In de eerste plaats bevat artikel 7 van richtlijn 2006/24 geen specifieke regels die aangepast zijn aan de enorme hoeveelheid gegevens die volgens deze richtlijn moeten worden bewaard, alsook aan het gevoelige karakter van deze gegevens en aan het risico dat zij op onrechtmatige wijze zullen worden geraadpleegd, en die met name ertoe strekken de bescherming en de beveiliging van de betrokken gegevens duidelijk en strikt te regelen om de volle integriteit en vertrouwelijkheid ervan te waarborgen. Bovendien is aan de lidstaten ook geen specifieke verplichting opgelegd om dergelijke regels vast te stellen. 67. 67. Artikel 7 van richtlijn 2006/24, gelezen in samenhang met artikel 4, lid 1, van richtlijn 2002/58 en artikel 17, lid 1, tweede alinea, van richtlijn 95/46, waarborgt niet dat bovengenoemde aanbieders via technische en organisatorische maatregelen een bijzonder hoog niveau van bescherming en beveiliging bieden, maar verleent deze aanbieders met name de mogelijkheid om bij de vaststelling van het door hen geboden beschermingsniveau rekening te houden met economische overwegingen, meer bepaald met de kosten voor het uitvoeren van de veiligheidsmaatregelen. In het bijzonder waarborgt richtlijn 2006/24 niet dat de gegevens na de bewaarperiode onherroepelijk worden vernietigd. 68. In de tweede plaats schrijft deze richtlijn niet voor dat de betrokken gegevens op het grondgebied van de Unie moeten worden bewaard, zodat niet ten volle is gewaarborgd dat een onafhankelijke autoriteit toezicht houdt op de inachtneming van de in de twee vorige punten bedoelde vereisten inzake bescherming en beveiliging, zoals uitdrukkelijk wordt voorgeschreven door artikel 8, lid 3, van het Handvest. Een dergelijk toezicht op basis van het Unierecht is evenwel van wezenlijk belang voor de bescherming van personen bij de verwerking van persoonsgegevens (…). 69. Gelet op een en ander moet worden geoordeeld dat de wetgever van de Unie met de vaststelling van richtlijn 2006/24 de door het evenredigheidsbeginsel gestelde grenzen heeft overschreden die hij in het licht van de artikelen 7, 8 en 52, lid 1, van het Handvest in acht dient te nemen.’ 23. Deze uitspraak kreeg op nationaal niveau in 2015 een staart door een uitspraak van de voorzieningenrechter van de Rechtbank Den Haag. Daarin stelde de voorzieningenrechter de Wet bewaarplicht telecommunicatiegegevens ‘buiten werking’. 24. Het jaar daarop werd bij de Tweede Kamer een Voorstel van wet aanpassing bewaarplicht telecommunicatiegegevens aanhangig gemaakt. Dat strekte tot aanpassing van strafvorderlijke bepalingen en de Telecommunicatiewet. Het wetsvoorstel wilde in art. 126n Sv een derde lid invoegen waarvan de eerste zin luidde: ‘Indien de vordering gegevens betreft als bedoeld in het eerste lid, tweede volzin, onder a, die door een aanbieder worden bewaard op grond van artikel 13.2a, tweede lid, van de Telecommunicatiewet, kan de vordering slechts worden gedaan indien gerechtvaardigd door de ernst van het misdrijf, bedoeld in het eerste lid, en na voorafgaande schriftelijke machtiging, op vordering van de officier van justitie te verlenen door de rechter-commissaris.’ De voorgestelde wijziging werd als volgt toegelicht: ‘Voorgesteld wordt dat een vordering van de officier van justitie tot verstrekking van historische verkeersgegevens, die door de aanbieders op grond van de verplichting van artikel 13.2a van de Telecommunicatiewet worden bewaard ten behoeve van de opsporing en vervolging van ernstige misdrijven, slechts kan worden gedaan na voorafgaande rechterlijke toetsing. Daarbij geldt dat de vordering een misdrijf moet betreffen dat van een zodanige ernst is dat dit in het concrete geval het vorderen van de bewaarde verkeersgegevens door de officier van justitie rechtvaardigt. Dit betreft een extra waarborg om de toegang tot de bewaarde gegevens daadwerkelijk te beperken tot hetgeen strikt noodzakelijk is voor de bestrijding van (enkel) ernstige criminaliteit. (…) Daarbij geldt het vereiste dat de vordering een misdrijf moet betreffen dat van een zodanige ernst is dat dit in het concrete geval het vorderen van de bewaarde verkeersgegevens rechtvaardigt. Met dit vereiste wordt in de wet geëxpliciteerd dat de vordering moet voldoen aan de vereisten van proportionaliteit en subsidiariteit met betrekking tot de ernst van het delict. Het doel van de bewaarplicht is te garanderen dat bepaalde telecommunicatiegegevens beschikbaar zijn met het oog op de bestrijding van ernstige criminaliteit. Strafbare feiten waarvoor voorlopige hechtenis is toegelaten zijn onder meer misdrijven waarop een gevangenisstraf van vier jaar of meer is gesteld. Een delict als fietsendiefstal geldt weliswaar als misdrijf waarvoor op grond van artikel 67, eerste lid, onder a, Sv voorlopige hechtenis mogelijk is, zodat een vordering van de officier van justitie tot verstrekking van de bewaarde verkeersgegevens mogelijk is, maar een bevel daartoe zal wegens de geringe ernst slechts in uitzonderlijke gevallen volgen. Het criterium van de ernst van het misdrijf vormt aldus een «ondergrens» voor het vorderen van de verkeersgegevens die door de aanbieders op grond van artikel 13.2a van de Telecommunicatiewet worden bewaard ten behoeve van de opsporing en vervolging van ernstige misdrijven, zodat de toegang tot de gegevens daadwerkelijk is beperkt tot hetgeen strikt noodzakelijk is voor de bestrijding van (enkel) ernstige criminaliteit. Hiermee wordt tevens uitvoering gegeven aan het arrest van het Hof van Justitie, waarin is overwogen dat de richtlijn dataretentie in het bijzonder geen objectief criterium bevatte met behulp waarvan de toegang en het gebruik van de gegevens werd beperkt tot hetgeen strikt noodzakelijk is in het licht van het nagestreefde doel (par. 62). Het staat in eerste instantie ter beoordeling van de officier van justitie of de ernst van het misdrijf het vorderen van de bewaarde verkeersgegevens rechtvaardigt. Bij de vraag of de machtiging kan worden verstrekt dient de rechter-commissaris te toetsen of aan deze voorwaarde is voldaan. (…) Aanvullende criteria om de rechter-commissaris houvast te bieden bij de beoordeling of met de vordering tot verstrekking van verkeersgegevens wordt voldaan aan de vereisten van proportionaliteit en subsidiariteit met betrekking tot de ernst van het misdrijf acht ik niet nodig. Zo zal bijvoorbeeld een nadere inkadering aan de hand van een lijst van bepaalde delicten of categorieën van delicten niet alleen een tamelijk arbitraire afweging weerspiegelen maar bovendien het risico van onvolledigheid in zich bergen. Hier komt bij dat de wettelijke regeling reeds de nodige criteria bevat om te komen tot een adequate toetsing van de vordering tot verstrekking van de bewaarde verkeersgegevens. Tot die waarborgen behoren criteria als een feit waarvoor voorlopige hechtenis mogelijk is en het belang van het onderzoek. Met dit wetsvoorstel wordt daaraan toegevoegd het vereiste van een voorafgaande toetsing door een rechter-commissaris. Met het aanvullend opnemen van het criterium van de rechtvaardiging van de ernst van het misdrijf wordt gewaarborgd dat de rechterlijke toetsing ook de ernst van het misdrijf in het concrete geval omvat. Het meer aanvullend opnemen van concrete criteria voor de beoordeling van de vereisten van proportionaliteit en subsidiariteit is minder goed te realiseren omdat de afweging in het concrete geval afhangt van een samenstel van factoren als de aard en ernst van het strafbare feit, de omstandigheden waaronder het feit is gepleegd en de betrokkenheid van slachtoffers, mede bezien in hun onderlinge verband. Dit laat zich niet eenvoudig in harde criteria vertalen, en kan beter worden overgelaten aan de rechterlijke oordeelsvorming.’ 25. Het arrest Digital Rights en de uitspraak van de voorzieningenrechter van de Rechtbank Den Haag brachten mee dat de verplichting tot het bewaren van gegevens die in richtlijn 2006/24/EG was neergelegd en inmiddels in de nationale wetgeving was geïmplementeerd, in de praktijk van tafel was. Wel bleef de mogelijkheid bestaan dat gegevens die – op andere grond – door de aanbieder van een telecommunicatiedienst werden bewaard, met het oog op de opsporing of vervolging van strafbare feiten werden gevorderd. Op die bewaring van gegevens was richtlijn 2002/58/EG van toepassing, die in 2009 inmiddels nog was aangepast. De geconsolideerde tekst van de meest relevante artikelen van deze richtlijn luidt als volgt (met weglating van voetnoten): ‘Artikel 1 Werkingssfeer en doelstelling (…) 3. Deze richtlijn is niet van toepassing op (…) de activiteiten van de staat op strafrechtelijk gebied. Artikel 2 Definities Tenzij anders is bepaald, zijn de definities van Richtlijn 95/46/EG van het Europees Parlement en de Raad en Richtlijn 2002/21/EG van het Europees Parlement en de Raad van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronische-communicatienetwerken en -diensten (kaderrichtlijn) van toepassing. Daarnaast wordt in deze richtlijn verstaan onder:
2. a)„gebruiker": natuurlijke persoon die gebruikmaakt van een openbare elektronische-communicatiedienst voor particuliere of zakelijke doeleinden zonder noodzakelijkerwijze op die dienst te zijn geabonneerd;
3. b)„verkeersgegevens": gegevens die worden verwerkt voor het overbrengen van communicatie over een elektronische-communicatienetwerk of voor de facturering ervan;
4. c)„locatiegegevens": gegevens die in een elektronischecommunicatienetwerk of door een elektronischecommunicatiedienst worden verwerkt, waarmee de geografische positie van de eindapparatuur van een gebruiker van een openbare elektronischecommunicatiedienst wordt aangegeven;
5. d)„communicatie": informatie die wordt uitgewisseld of overgebracht tussen een eindig aantal partijen door middel van een openbare elektronische-communicatiedienst. Dit omvat niet de informatie die via een omroepdienst over een elektronische-communicatienetwerk wordt overgebracht, behalve wanneer de informatie kan worden gerelateerd aan de identificeerbare abonnee of gebruiker die de informatie ontvangt; (…) Artikel 3 Betrokken diensten Deze richtlijn is van toepassing op de verwerking van persoonsgegevens in verband met de levering van openbare elektronischecommunicatiediensten over openbare communicatienetwerken in de Gemeenschap, met inbegrip van openbare communicatienetwerken die systemen voor gegevensverzameling en identificatie ondersteunen. Artikel 4 Beveiliging van de verwerking 1. De aanbieder van een openbare elektronische-communicatiedienst treft passende technische en organisatorische maatregelen om de veiligheid van zijn diensten te garanderen, indien nodig in overleg met de aanbieder van het openbare communicatienetwerk wat de veiligheid van het netwerk betreft. Die maatregelen waarborgen een beveiligingsniveau dat in verhouding staat tot het betrokken risico, rekening houdend met de stand van de techniek en de kosten van uitvoering ervan. (…) Artikel 5 Vertrouwelijk karakter van de communicatie 1. De lidstaten garanderen via nationale wetgeving het vertrouwelijke karakter van de communicatie en de daarmee verband houdende verkeersgegevens via openbare communicatienetwerken en via openbare elektronische-communicatiediensten. Zij verbieden met name het afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van de communicatie en de daarmee verband houdende verkeersgegevens door anderen dan de gebruikers, indien de betrokken gebruikers daarin niet hebben toegestemd, tenzij dat bij wet is toegestaan overeenkomstig artikel 15, lid 1. Dit lid laat de technische opslag die nodig is voor het overbrengen van informatie onverlet, onverminderd het vertrouwelijkheidsbeginsel. 2. Lid 1 laat de bij de wet toegestane registratie van communicatie en de daarmee verband houdende verkeersgegevens onverlet, wanneer die wordt uitgevoerd in het legale zakelijke verkeer ten bewijze van een commerciële transactie of van enigerlei andere zakelijke communicatie. 3. De lidstaten dragen ervoor zorg dat de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of gebruiker, alleen is toegestaan op voorwaarde dat de betrokken abonnee of gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie overeenkomstig Richtlijn 95/46/EG, onder meer over de doeleinden van de verwerking. Zulks vormt geen beletsel voor enige vorm van technische opslag of toegang met als uitsluitend doel de uitvoering van de verzending van een communicatie over een elektronisch communicatienetwerk, of, indien strikt noodzakelijk, om ervoor te zorgen dat de aanbieder van een uitdrukkelijk door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij deze dienst levert. Artikel 6 Verkeersgegevens 1. Verkeersgegevens met betrekking tot abonnees en gebruikers die worden verwerkt en opgeslagen door de aanbieder van een openbaar elektronische-communicatienetwerk of -dienst, moeten, wanneer ze niet langer nodig zijn voor het doel van de transmissie van communicatie, worden gewist of anoniem gemaakt, onverminderd de leden 2, 3 en 5, alsmede artikel 15, lid 1. 2. Verkeersgegevens die noodzakelijk zijn ten behoeve van de facturering van abonnees en interconnectiebetalingen mogen worden verwerkt. Die verwerking is slechts toegestaan tot aan het einde van de termijn waarbinnen de rekening in rechte kan worden aangevochten of de betaling kan worden afgedwongen. 3. De aanbieder van een openbare elektronischecommunicatiedienst mag ten behoeve van de marketing van elektronischecommunicatiediensten of voor de levering van diensten met toegevoegde waarde de in lid 1 bedoelde gegevens verwerken voor zover en voor zolang dat nodig is voor dergelijke diensten of marketing, indien de abonnee of de gebruiker waarop de gegevens betrekking hebben daartoe zijn voorafgaande toestemming heeft gegeven. Gebruikers of abonnees kunnen hun toestemming voor de verwerking van verkeersgegevens te allen tijde intrekken. (…) Artikel 9 Andere locatiegegevens dan verkeersgegevens 1. Wanneer andere locatiegegevens dan verkeersgegevens die betrekking hebben op gebruikers of abonnees van elektronische-communicatienetwerken of -diensten verwerkt kunnen worden, mogen deze gegevens slechts worden verwerkt wanneer zij anoniem zijn gemaakt of wanneer de gebruikers of abonnees daarvoor hun toestemming hebben gegeven, voorzover en voor zolang zulks nodig is voor de levering van een dienst met toegevoegde waarde. De dienstenaanbieder moet de gebruikers of abonnees, voorafgaand aan het verkrijgen van hun toestemming, in kennis stellen van de soort locatiegegevens anders dan verkeersgegevens, die zullen worden verwerkt, en van de doeleinden en de duur van die verwerking, en hun meedelen of deze gegevens aan een derde zullen worden doorgegeven ten behoeve van de levering van de dienst met toegevoegde waarde. Gebruikers of abonnees kunnen hun toestemming voor de verwerking van andere locatiegegevens dan verkeersgegevens te allen tijde intrekken. 2. Wanneer de gebruikers of abonnees toestemming hebben gegeven voor de verwerking van andere locatiegegevens dan verkeersgegevens, moet de gebruiker of abonnee de mogelijkheid behouden om op eenvoudige en kosteloze wijze tijdelijk de verwerking van dergelijke gegevens te weigeren voor elke verbinding met het netwerk of voor elke transmissie van communicatie. 3. De verwerking van locatiegegevens anders dan verkeersgegevens in overeenstemming met de leden 1 en 2, moet worden beperkt tot personen die werkzaam zijn onder het gezag van de aanbieder van het openbare elektronische-communicatienetwerk of de openbare elektronische-communicatiedienst of de derde die de dienst met toegevoegde waarde levert, en moet beperkt blijven tot hetgeen noodzakelijk is om de dienst met toegevoegde waarde te kunnen aanbieden. (…) Artikel 15 Toepassing van een aantal bepalingen van Richtlijn 95/46/EG 1. De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in de artikelen 5 en 6, artikel 8, leden 1, 2, 3 en 4, en artikel 9 van deze richtlijn bedoelde rechten en plichten, indien dat in een democratische samenleving noodzakelijk, redelijk en proportioneel is ter waarborging van de nationale, d.w.z. de staatsveiligheid, de landsverdediging, de openbare veiligheid, of het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronische-communicatiesysteem als bedoeld in artikel 13, lid 1, van Richtlijn 95/46/EG. Daartoe kunnen de lidstaten o.a. wetgevingsmaatregelen treffen om gegevens gedurende een beperkte periode te bewaren om de redenen die in dit lid worden genoemd. Alle in dit lid bedoelde maatregelen dienen in overeenstemming te zijn met de algemene beginselen van het Gemeenschapsrecht, met inbegrip van de beginselen als bedoeld in artikel 6, leden 1 en 2, van het Verdrag betreffende de Europese Unie. (…) 1 ter. Aanbieders zetten interne procedures op voor de afhandeling van verzoeken om toegang tot persoonsgegevens van gebruikers op de grondslag van nationale bepalingen die overeenkomstig lid 1 zijn aangenomen. Zij verstrekken aan de bevoegde nationale instantie op verzoek gegevens over deze procedures, het aantal ontvangen verzoeken, de aangevoerde wettelijke motivering en hun antwoord.’ 27. Aan het Hof van Justitie zijn nadien inmiddels een aantal zaken voorgelegd waarin de begrenzingen die richtlijn 2002/58/EG aan (onder meer) de strafrechtelijke handhaving stelt aan de orde zijn. In het arrest Tele2 zijn prejudiciële vragen beantwoord die waren gesteld door een Zweedse bestuursrechter en de Court of Appeal van Engeland en Wales. De Zweedse rechter vroeg of ‘een algemene verplichting tot bewaring van gegevens die van toepassing is op alle personen, alle elektronische-communicatiemiddelen en alle verkeersgegevens, zonder dat enig onderscheid wordt gemaakt, enige beperking wordt gesteld of enige uitzondering wordt gemaakt op basis van het nagestreefde doel, de bestrijding van ernstige criminaliteit, […], verenigbaar (
6. is)met artikel 15, lid 1, van richtlijn 2002/58, gelet op de artikelen 7 en 8 en artikel 52, lid 1 van het Handvest’ (ov. 51). Het Hof van Justitie overwoog onder meer: ‘Werkingssfeer van richtlijn 2002/58 (…) 69. Volgens artikel 1, lid 3, van deze richtlijn zijn van de werkingssfeer van deze richtlijn uitgesloten de „activiteiten van de staat” op de aldaar bedoelde gebieden, te weten met name de activiteiten van de staat op strafrechtelijk gebied en die welke verband houden met openbare veiligheid, defensie en staatsveiligheid, met inbegrip van het economische welzijn van de staat wanneer de activiteit verband houdt met de staatsveiligheid (…). 70. In artikel 3 van richtlijn 2002/58 staat dat deze richtlijn van toepassing is op de verwerking van persoonsgegevens in verband met de levering van openbare elektronischecommunicatiediensten over openbare communicatienetwerken in de Unie, met inbegrip van de openbare communicatienetwerken die systemen voor gegevensverzameling en identificatie ondersteunen (hierna: „elektronischecommunicatiediensten”). Bijgevolg moet worden geoordeeld dat deze richtlijn de activiteiten van de aanbieders van dergelijke diensten regelt. 71. Artikel 15, lid 1, van richtlijn 2002/58 staat de lidstaten toe om, met inachtneming van de aldaar geformuleerde voorwaarden „wettelijke maatregelen [te] treffen ter beperking van de reikwijdte van de in de artikelen 5 en 6, artikel 8, leden 1, 2, 3 en 4, en artikel 9 van deze richtlijn bedoelde rechten en plichten”. In artikel 15, lid 1, tweede zin, van die richtlijn worden als voorbeeld van maatregelen die de lidstaten aldus kunnen treffen, genoemd de maatregelen „om gegevens […] te bewaren”. 72. De in artikel 15, lid 1, van richtlijn 2002/58 bedoelde wettelijke maatregelen betreffen specifieke activiteiten van de staten of van de overheidsdiensten en hebben niets van doen met de gebieden waarop particulieren activiteiten ontplooien (…). Bovendien blijken de doelstellingen die dergelijke maatregelen volgens die bepaling moeten nastreven, in het onderhavige geval het waarborgen van de nationale veiligheid, de landsverdediging en de openbare veiligheid en het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronischecommunicatiesysteem, grotendeels overeen te stemmen met de doelstellingen van de in artikel 1, lid 3, van die richtlijn bedoelde activiteiten. 73. Gelet op de algemene opzet van richtlijn 2002/58, kan uit de in het voorgaande punt van het onderhavige arrest genoemde elementen echter niet worden afgeleid dat de in artikel 15, lid 1, van richtlijn 2002/58 bedoelde wettelijke maatregelen van de werkingssfeer van deze richtlijn zijn uitgesloten, omdat daardoor aan deze bepaling elk nuttig effect zou worden ontnomen. Deze bepaling vooronderstelt immers noodzakelijkerwijze dat de aldaar bedoelde nationale maatregelen, zoals die betreffende de bewaring van gegevens ter bestrijding van criminaliteit, binnen de werkingssfeer van die richtlijn vallen, omdat in deze laatste uitdrukkelijk wordt bepaald dat de lidstaten die maatregelen slechts mogen treffen met inachtneming van de aldaar geformuleerde voorwaarden. 74. Bovendien regelen de in artikel 15, lid 1, van richtlijn 2002/58 bedoelde wettelijke maatregelen de activiteit van de aanbieders van elektronischecommunicatiediensten voor de in die bepaling vermelde doeleinden. Artikel 15, lid 1, gelezen in samenhang met artikel 3 van die richtlijn, moet dus in die zin worden uitgelegd dat dergelijke wettelijke maatregelen binnen de werkingssfeer van die richtlijn vallen. 75. In het bijzonder een wettelijke maatregel als aan de orde in het hoofdgeding, die aan deze aanbieders de verplichting oplegt om de verkeersgegevens en de locatiegegevens te bewaren, valt dus binnen de werkingssfeer van deze richtlijn, omdat een dergelijke activiteit noodzakelijkerwijze inhoudt dat de aanbieders persoonsgegevens verwerken. 76. Binnen de werkingssfeer van de richtlijn valt ook een wettelijke maatregel als aan de orde in het hoofdgeding die betrekking heeft op de toegang van de nationale autoriteiten tot de door de aanbieders van elektronischecommunicatiediensten bewaarde gegevens. 77. De in artikel 5, lid 1, van richtlijn 2002/58 gewaarborgde bescherming van het vertrouwelijke karakter van de communicatie en van de daarmee verband houdende verkeersgegevens, geldt immers voor de door alle andere personen dan de gebruikers getroffen maatregelen, ongeacht of het daarbij gaat om particuliere personen of entiteiten dan wel om overheidsentiteiten. Zoals in overweging 21 van die richtlijn wordt gezegd, beoogt deze richtlijn „elke” onbevoegde „toegang” tot de communicatie, daaronder begrepen de toegang tot de „gegevens over die communicatie”, te verhinderen teneinde het vertrouwelijke karakter van de elektronische communicaties te beschermen. 78. In die omstandigheden heeft een wettelijke maatregel waarbij een lidstaat op grond van artikel 15, lid 1, van richtlijn 2002/58, ter verwezenlijking van de in die bepaling vermelde doelstellingen, aan de aanbieders van elektronischecommunicatiediensten de verplichting oplegt om de nationale autoriteiten onder de in een dergelijke maatregel genoemde voorwaarden toegang te verlenen tot de door die aanbieders bewaarde gegevens, betrekking op de verwerking van persoonsgegevens door die aanbieders, en deze verwerking valt binnen de werkingssfeer van die richtlijn. (…) Uitlegging van artikel 15, lid 1, van richtlijn 2002/58 tegen de achtergrond van de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest (…) 89. Omdat artikel 15, lid 1, van richtlijn 2002/58 de lidstaten toestaat, de draagwijdte van de principeverplichting tot waarborging van de vertrouwelijkheid van de communicatie en van de daarmee verband houdende gegevens te beperken, moet het volgens vaste rechtspraak van het Hof echter strikt worden uitgelegd (…). Een dergelijke bepaling kan dus niet rechtvaardigen dat de in artikel 5 van deze richtlijn bepaalde uitzondering op deze principeverplichting en, in het bijzonder, op het verbod om deze gegevens op te slaan de regel wordt, omdat laatstgenoemde bepaling in dat geval grotendeels haar inhoud zou verliezen. 90. In dit verband dient erop te worden gewezen dat artikel 15, lid 1, eerste zin, van richtlijn 2002/58 bepaalt dat de aldaar bedoelde wettelijke maatregelen die afwijken van het beginsel van vertrouwelijkheid van de communicaties en van de daarmee verband houdende verkeersgegevens, tot doel moeten hebben de „waarborging van de nationale [veiligheid], d.w.z. de staatsveiligheid, de landsverdediging, de openbare veiligheid, of het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronischecommunicatiesysteem”, of een van de andere doelen genoemd in artikel 13, lid 1, van richtlijn 95/46, waarnaar artikel 15, lid 1, eerste zin, van richtlijn 2002/58 verwijst (…). Een dergelijke opsomming van doelstellingen is exhaustief, zoals blijkt uit artikel 15, lid 1, tweede zin, van deze richtlijn, volgens welke de wettelijke maatregelen moeten worden gerechtvaardigd door „de redenen” die in artikel 15, lid 1, eerste zin, van die richtlijn „worden genoemd”. Bijgevolg mogen de lidstaten dergelijke maatregelen niet treffen voor andere doeleinden dan die welke in laatstgenoemde bepaling worden genoemd. 91. Bovendien wordt in artikel 15, lid 1, derde zin, van richtlijn 2002/58 bepaald dat „[a]lle in dit [artikel 15, lid 1,] bedoelde maatregelen in overeenstemming [dienen] te zijn met de algemene beginselen van het [Unierecht], met inbegrip van de beginselen als bedoeld in artikel 6, leden 1 en 2, [EU]”, waaronder de algemene beginselen en de grondrechten die thans worden gewaarborgd door het Handvest. Artikel 15, lid 1, van richtlijn 2002/58 moet aldus tegen de achtergrond van de door het Handvest gewaarborgde grondrechten worden uitgelegd (…). 92. In dit verband dient te worden beklemtoond dat de bij een nationale regeling als aan de orde in het hoofdgeding aan de aanbieders van elektronischecommunicatiediensten opgelegde verplichting om de verkeersgegevens te bewaren teneinde de bevoegde nationale autoriteiten in voorkomend geval toegang tot die gegevens te kunnen geven, niet alleen vragen doet rijzen betreffende de eerbiediging van de artikelen 7 en 8 van het Handvest, die in de prejudiciële vragen uitdrukkelijk worden genoemd, maar ook betreffende de eerbiediging van de door artikel 11 van het Handvest gewaarborgde vrijheid van meningsuiting (…). 93. Aldus moet zowel het belang van het door artikel 7 van het Handvest gewaarborgde recht op bescherming van het privéleven als dat van het door artikel 8 van het Handvest gewaarborgde recht op bescherming van de persoonsgegevens, zoals dat blijkt uit de rechtspraak van het Hof (…), in aanmerking worden genomen bij de uitlegging van artikel 15, lid 1, van richtlijn 2002/58. Hetzelfde geldt voor het recht op vrijheid van meningsuiting, gelet op het belang van deze vrijheid in een democratische samenleving. Dit in artikel 11 van het Handvest gewaarborgde grondrecht is een van de wezenlijke grondslagen van een democratische en pluralistische samenleving, die behoort tot de waarden waarop de Unie overeenkomstig artikel 2 VEU is gebaseerd (…). 94. In dit verband dient eraan te worden herinnerd dat volgens artikel 52, lid 1, van het Handvest beperkingen op de uitoefening van daarin erkende rechten en vrijheden bij wet moeten worden gesteld en de wezenlijke inhoud daarvan moeten eerbiedigen. Met inachtneming van het evenredigheidsbeginsel kunnen slechts beperkingen op de uitoefening van die rechten en vrijheden worden gesteld indien deze noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen (…). 95. Wat dit laatste betreft, wordt in artikel 15, lid 1, eerste zin, van richtlijn 2002/58 bepaald dat de lidstaten een maatregel waarbij wordt afgeweken van het beginsel van vertrouwelijkheid van de communicatie en van de daarmee verband houdende verkeersgegevens, kunnen treffen wanneer een dergelijke maatregel „in een democratische samenleving noodzakelijk, redelijk en proportioneel is” in het licht van de in die bepalingen genoemde doelstellingen. In overweging 11 van deze richtlijn wordt gepreciseerd dat een dergelijke maatregel „strikt” evenredig moet zijn met het nagestreefde doel. Wat in het bijzonder de bewaring van gegevens betreft, eist artikel 15, lid 1, tweede zin, van deze richtlijn dat deze gegevens slechts „gedurende een beperkte periode” worden bewaard „om de redenen” die in artikel 15, lid 1, eerste zin, van die richtlijn worden genoemd. 96. De eerbiediging van het evenredigheidsbeginsel vloeit ook voort uit de vaste rechtspraak van het Hof volgens welke de bescherming van het grondrecht op eerbiediging van het privéleven op het niveau van de Unie vereist dat de uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen daarvan binnen de grenzen van het strikt noodzakelijke blijven (…). 97. Met betrekking tot de vraag of een regeling als aan de orde in zaak C203/15 aan deze voorwaarden voldoet, dient erop te worden gewezen dat deze regeling voorziet in algemene en ongedifferentieerde bewaring van alle verkeersgegevens en locatiegegevens van alle abonnees en geregistreerde gebruikers betreffende alle elektronischecommunicatiemiddelen, en de aanbieders van elektronischecommunicatiediensten verplicht deze gegevens stelselmatig en voortdurend te bewaren zonder enige uitzondering. Zoals uit de verwijzingsbeslissing blijkt, komen de categorieën van gegevens waarop deze regeling ziet, grotendeels overeen met die waarvan richtlijn 2006/24 de bewaring voorschrijft. 98. Aan de hand van de gegevens die de aanbieders van elektronischecommunicatiediensten aldus moeten bewaren, kunnen de bron en de bestemming van een communicatie worden opgespoord en geïdentificeerd en kunnen de datum, het tijdstip, de duur en de aard van de communicatie, de communicatieapparatuur van de gebruikers en de locatie van de mobiele communicatieapparatuur worden bepaald. Die gegevens omvatten onder meer de naam en het adres van de abonnee of van de geregistreerde gebruiker, het telefoonnummer van de oproeper en het opgeroepen nummer en een IP-adres voor de internetdiensten. Aan de hand van deze gegevens kan in het bijzonder worden nagegaan met welke persoon en met welk middel een abonnee of geregistreerde gebruiker heeft gecommuniceerd, hoe lang de communicatie heeft geduurd en vanaf welke plaats zij heeft plaatsgevonden. Bovendien kan aan de hand van deze gegevens worden achterhaald hoe vaak de abonnee of de geregistreerde gebruiker gedurende een bepaalde periode met bepaalde personen heeft gecommuniceerd (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 26). 99. Uit deze gegevens, in hun geheel beschouwd, kunnen zeer precieze conclusies worden getrokken over het privéleven van de personen van wie de gegevens zijn bewaard, zoals hun dagelijkse gewoonten, hun permanente of tijdelijke verblijfplaats, hun dagelijkse of andere verplaatsingen, de activiteiten die zij uitoefenen, hun sociale relaties en de sociale kringen waarin zij verkeren (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 27). Zoals de advocaat-generaal in de punten 253, 254 en 257 tot en met 259 heeft opgemerkt, kan aan de hand van deze gegevens het profiel van de betrokken personen worden bepaald, informatie die, wat het recht op bescherming van het privéleven betreft, even gevoelig is als de inhoud zelf van de communicaties. 100. De ingreep die een dergelijke regeling in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten verricht, is groot en moet als bijzonder ernstig worden beschouwd. De omstandigheid dat de gegevens worden bewaard zonder dat de gebruikers van de elektronischecommunicatiediensten hierover worden ingelicht, kan bij de betrokken personen het gevoel opwekken dat hun privéleven constant in de gaten wordt gehouden (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 37). 101. Ook al staat een dergelijke regeling niet toe om de inhoud van een communicatie te bewaren, en maakt zij dus geen inbreuk op de wezenlijke inhoud van die rechten (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 39), toch kan de bewaring van de verkeersgegevens en van de locatiegegevens invloed hebben op het gebruik van de elektronischecommunicatiemiddelen en dus op de wijze waarop de gebruikers van deze communicatiemiddelen van hun in artikel 11 van het Handvest gewaarborgde vrijheid van meningsuiting gebruikmaken (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 28). 102. Gelet op de ernst van de ingreep in de betrokken grondrechten door een nationale regeling die ter bestrijding van criminaliteit voorziet in de bewaring van verkeersgegevens en van locatiegegevens, kan alleen de bestrijding van ernstige criminaliteit een dergelijke maatregel rechtvaardigen (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 60). 103. Daarbij komt dat de doeltreffendheid van de bestrijding van zware criminaliteit, met name van georganiseerde misdaad en terrorisme, weliswaar in aanzienlijke mate kan afhangen van het gebruik van moderne onderzoekstechnieken, maar dat een dergelijke doelstelling van algemeen belang, hoe wezenlijk zij ook is, op zich niet kan rechtvaardigen dat een nationale regeling die voorziet in algemene en ongedifferentieerde bewaring van alle verkeersgegevens en alle locatiegegevens, noodzakelijk wordt geacht voor het voeren van deze strijd (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 51). 104. In dit verband dient enerzijds erop te worden gewezen dat een dergelijke regeling, gelet op de in punt 97 van het onderhavige arrest beschreven kenmerken ervan, tot gevolg heeft dat de bewaring van de verkeersgegevens en van de locatiegegevens de regel is, terwijl het bij richtlijn 2002/58 ingevoerde stelsel eist dat deze bewaring van gegevens de uitzondering vormt. 105. Anderzijds voorziet een nationale regeling als aan de orde in het hoofdgeding, die algemeen geldt voor alle abonnees en geregistreerde gebruikers en ziet op alle elektronischecommunicatiemiddelen en op alle verkeersgegevens, in geen enkele differentiatie, beperking of uitzondering naargelang van het nagestreefde doel. Zij heeft algemeen betrekking op alle personen die gebruikmaken van elektronischecommunicatiediensten zonder dat deze personen zich, al was het maar indirect, in een situatie bevinden die aanleiding kan geven tot strafvervolging. Zij is dus zelfs van toepassing op personen voor wie er geen enkele aanwijzing bestaat dat hun gedrag – zelfs maar indirect of van ver – verband houdt met ernstige strafbare feiten. Bovendien bevat zij geen uitzonderingen, zodat zij zelfs van toepassing is op personen van wie de communicaties naar nationaal recht onder het beroepsgeheim vallen (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punten 57 en 58). 106. Een dergelijke regeling eist geen enkel verband tussen de gegevens die moeten worden bewaard en een bedreiging van de openbare veiligheid. Zij beperkt de bewaring met name niet tot gegevens die betrekking hebben op een bepaalde periode en/of een bepaald geografisch gebied en/of een kring van personen die op een of andere wijze betrokken kunnen zijn bij een ernstig strafbaar feit, of op personen van wie de bewaring van de gegevens om andere redenen zou kunnen helpen bij de bestrijding van criminaliteit (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 59). 107. Een nationale regeling als aan de orde in het hoofdgeding gaat dus verder dan strikt noodzakelijk is, en kan niet worden beschouwd als een regeling die in een democratische samenleving gerechtvaardigd is, zoals artikel 15, lid 1, van richtlijn 2002/58, gelezen tegen de achtergrond van de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest, eist. 108. Artikel 15, lid 1, van richtlijn 2002/58, gelezen tegen de achtergrond van de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest, staat daarentegen niet eraan in de weg dat een lidstaat een regeling vaststelt op grond waarvan de verkeersgegevens en de locatiegegevens ter bestrijding van zware criminaliteit preventief gericht kunnen worden bewaard, op voorwaarde dat de bewaring van die gegevens, wat de categorieën van te bewaren gegevens, de betrokken communicatiemiddelen, de betrokken personen en de duur van de bewaring betreft, tot het strikt noodzakelijke wordt beperkt. 109. Om aan de in het vorige punt van het onderhavige arrest genoemde eisen te voldoen, moet deze nationale regeling in de eerste plaats duidelijke en nauwkeurige regels voor de draagwijdte en de toepassing van een dergelijke maatregel van bewaring van gegevens bevatten en een minimum aan eisen stellen, zodat de personen wier gegevens zijn bewaard, voldoende garanties hebben dat hun persoonsgegevens doeltreffend worden beschermd tegen het risico van misbruik. Zij moet in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel van bewaring van gegevens preventief kan worden genomen, en aldus waarborgen dat een dergelijke maatregel tot het strikt noodzakelijke wordt beperkt (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 54 en aldaar aangehaalde rechtspraak). 110. In de tweede plaats dient – wat de materiële voorwaarden betreft waaraan een nationale regeling op grond waarvan de verkeersgegevens en de locatiegegevens preventief kunnen worden bewaard ter bestrijding van criminaliteit, moet voldoen om te waarborgen dat zij tot het strikt noodzakelijke is beperkt – erop te worden gewezen dat dergelijke voorwaarden weliswaar kunnen verschillen naargelang van de maatregelen die voor het voorkomen, onderzoeken, opsporen en vervolgen van zware criminaliteit worden getroffen, maar dat de bewaring van de gegevens niettemin steeds moet voldoen aan objectieve criteria die een verband leggen tussen de te bewaren gegevens en het nagestreefde doel. In het bijzonder moeten dergelijke voorwaarden in de praktijk van dien aard blijken te zijn dat zij de omvang van de maatregel, en dus de kring van betrokken personen, daadwerkelijk afbakenen. 111. Wat de afbakening van een dergelijke maatregel ter zake van de personen en situaties betreft die onder die maatregel kunnen vallen, moet de nationale regeling worden gebaseerd op objectieve elementen waarmee kan worden gemikt op een groep mensen wier gegevens, althans indirect, een band met handelingen van zware criminaliteit aan het licht kunnen brengen, waarmee op de een of andere wijze kan worden bijgedragen tot de bestrijding van zware criminaliteit of waarmee een ernstig risico voor de openbare veiligheid kan worden voorkomen. Een dergelijke afbakening kan aan de hand van een geografisch criterium worden verricht wanneer de bevoegde nationale autoriteiten op basis van objectieve elementen van mening zijn dat er in een of meer geografische gebieden een hoog risico bestaat dat dergelijke handelingen worden voorbereid of gepleegd.’ 28. Deze overwegingen leidden tot het antwoord dat art. 15, eerste lid, van richtlijn 2002/58/EG zich verzet ‘tegen een nationale regeling die, ter bestrijding van criminaliteit, voorziet in algemene en ongedifferentieerde bewaring van alle verkeersgegevens en locatiegegevens van alle abonnees en geregistreerde gebruikers betreffende alle elektronische-communicatiemiddelen’ (ov. 112). Met dat antwoord week het Hof af van de conclusie van A-G Saugmandsgaard Øe. 29. Het Hof van Justitie ging vervolgens in op vragen van beide verwijzende rechters die op de toegang tot bewaarde gegevens betrekking hadden. Het Court of Appeal had gevraagd of het arrest Digital Rights ‘dwingende vereisten van Unierecht’ oplegt ‘die van toepassing zijn op de nationale regeling van een lidstaat inzake de toegang tot gegevens die overeenkomstig de nationale wettelijke regeling worden bewaard, teneinde te voldoen aan de artikelen 7 en 8 van het Handvest’ (ov. 59). Het Hof van Justitie herformuleerde deze en een door de Zweedse rechter gestelde vraag, die samen dienden te worden beantwoord. De verwijzende rechters zouden in wezen willen vernemen of ‘artikel 15, lid 1, van richtlijn 2002/58, gelezen tegen de achtergrond van de artikelen 7 en 8 en artikel 52, lid 1, van het Handvest, in die zin moet worden uitgelegd dat het zich verzet tegen een nationale regeling die de bescherming en de beveiliging van de verkeersgegevens en de locatiegegevens en, in het bijzonder, de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens regelt zonder te bepalen dat die toegang alleen wordt verleend ter bestrijding van ernstige criminaliteit, dat die toegang aan een voorafgaand toezicht door een rechterlijke instantie of een onafhankelijke bestuurlijke autoriteit is onderworpen, en dat de betrokken gegevens op het grondgebied van de Unie moeten worden bewaard’ (ov. 114). Het Hof van Justitie overwoog vervolgens onder meer: ‘115. Met betrekking tot de doelstellingen die een rechtvaardiging kunnen vormen voor een nationale regeling die een uitzondering maakt op het beginsel van de vertrouwelijkheid van de elektronische communicatie, dient eraan te worden herinnerd dat, aangezien de in artikel 15, lid 1, eerste zin, van richtlijn 2002/58 gegeven opsomming van de doelstellingen exhaustief is, zoals in de punten 90 en 102 van het onderhavige arrest is vastgesteld, de toegang tot de bewaarde gegevens daadwerkelijk en strikt op een van die doelstellingen moet berusten. Daarbij komt dat, aangezien het met deze regeling nagestreefde doel in verhouding moet staan tot de ernst van de ingreep in de grondrechten die deze toegang meebrengt, ter zake van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten alleen de bestrijding van zware criminaliteit een dergelijke toegang tot de bewaarde gegevens kan rechtvaardigen. ‘115. 116. Wat de eerbiediging van het evenredigheidsbeginsel betreft, moet een nationale regeling betreffende de voorwaarden waaronder de aanbieders van elektronische-communicatiediensten aan de bevoegde nationale autoriteiten toegang tot de bewaarde gegevens moeten verlenen, waarborgen dat, overeenkomstig hetgeen in de punten 95 en 96 van het onderhavige arrest is vastgesteld, een dergelijke toegang niet verder gaat dan strikt noodzakelijk is. 117. Daarbij komt dat, aangezien de in artikel 15, lid 1, van richtlijn 2002/58 bedoelde wettelijke maatregelen overeenkomstig overweging 11 van deze richtlijn „adequate waarborgen [moeten] bevatten”, een dergelijke maatregel volgens de in punt 109 van het onderhavige arrest aangehaalde rechtspraak duidelijke en nauwkeurige regels moet bevatten over de omstandigheden waarin en de voorwaarden waaronder de aanbieders van elektronischecommunicatiediensten aan de bevoegde nationale autoriteiten toegang tot de gegevens moeten verlenen. Een maatregel van een dergelijke aard moet ook wettelijk verbindend zijn naar intern recht. 118. Om te waarborgen dat de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens niet verder gaat dan strikt noodzakelijk is, dient in het nationale recht in elk geval te worden bepaald onder welke voorwaarden de aanbieders van elektronischecommunicatiediensten een dergelijke toegang moeten verlenen. De betrokken nationale regeling mag zich echter niet ertoe beperken, te eisen dat de toegang wordt verleend voor een van de in artikel 15, lid 1, van richtlijn 2002/58 genoemde doelstellingen, zelfs indien dit de bestrijding van zware criminaliteit zou zijn. Een dergelijke nationale regeling moet immers ook de materiële en procedurele voorwaarden voor de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens bepalen (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 61). 119. Aangezien een algemene toegang tot alle bewaarde gegevens los van enig – zelfs ook maar indirect – verband met het nagestreefde doel niet kan worden geacht tot het strikt noodzakelijke te zijn beperkt, moet de betrokken nationale regeling dus aan de hand van objectieve criteria bepalen in welke omstandigheden en onder welke voorwaarden aan de bevoegde nationale autoriteiten toegang tot de gegevens van de abonnees of de geregistreerde gebruikers moet worden verleend. In dit verband kan in beginsel voor het doel van bestrijding van criminaliteit slechts toegang worden verleend tot de gegevens van personen die ervan worden verdacht een ernstig misdrijf te plannen, te plegen of te hebben gepleegd of op de een of andere wijze betrokken te zijn bij een dergelijk misdrijf ((zie naar analogie EHRM, 4 december 2015, Zakharov tegen Rusland, CE:ECHR:2015:1204JUD004714306, § 260). In bijzondere situaties, zoals die waarin vitale belangen van nationale veiligheid, landsverdediging of openbare veiligheid door terroristische activiteiten worden bedreigd, zou echter ook toegang tot de gegevens van andere personen kunnen worden verleend, wanneer op grond van objectieve elementen kan worden geoordeeld dat deze gegevens in het concrete geval een daadwerkelijke bijdrage tot de bestrijding van dergelijke activiteiten zouden kunnen leveren. ‘115. 120. Om te waarborgen dat deze voorwaarden in de praktijk ten volle in acht worden genomen, is het van wezenlijk belang dat de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens in beginsel, behalve in gevallen van naar behoren gerechtvaardigde spoedeisendheid, wordt onderworpen aan een voorafgaand toezicht door een rechterlijke instantie of door een onafhankelijke bestuurlijke entiteit, en dat deze rechterlijke instantie of deze entiteit haar beslissing geeft op een met redenen omkleed verzoek van deze autoriteiten dat met name is ingediend in het kader van procedures ter voorkoming, opsporing of vervolging van strafbare feiten (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punt 62; (…)). 121. Verder is het van belang dat de bevoegde nationale autoriteiten waaraan toegang tot de bewaarde gegevens is verleend, in het kader van de toepasselijke nationale procedures de betrokken personen daarvan op de hoogte brengen wanneer zulks de door deze autoriteiten gevoerde onderzoeken niet in gevaar kan brengen. Dit is immers noodzakelijk om de betrokken personen in staat te stellen om, in geval van schending van hun rechten, met name gebruik te maken van het recht van beroep, waarin artikel 15, lid 2, van richtlijn 2002/58, gelezen in samenhang met artikel 22 van richtlijn 95/46, uitdrukkelijk voorziet (…). 122. Wat de regels betreffende de beveiliging en de bescherming van de door de aanbieders van elektronischecommunicatiediensten bewaarde gegevens betreft, staat vast dat artikel 15, lid 1, van richtlijn 2002/58 de lidstaten niet toestaat om af te wijken van artikel 4, lid 1, en artikel 4, lid 1 bis, van deze richtlijn. Laatstgenoemde bepalingen eisen immers dat deze aanbieders passende technische en organisatorische maatregelen treffen om de bewaarde gegevens doeltreffend te beschermen tegen het risico van misbruik en tegen elke onrechtmatige toegang tot deze gegevens. Gelet op de hoeveelheid bewaarde gegevens, op het gevoelige karakter van deze gegevens en op het risico van onrechtmatige toegang tot deze gegevens, moeten de aanbieders van elektronischecommunicatiediensten, om de volle integriteit en vertrouwelijkheid van die gegevens te verzekeren, door middel van passende technische en organisatorische maatregelen een bijzonder hoog niveau van bescherming en beveiliging waarborgen. In het bijzonder moet de nationale regeling bepalen dat de gegevens op het grondgebied van de Unie worden bewaard en na afloop van de bewaarperiode onherstelbaar worden vernietigd (zie naar analogie, met betrekking tot richtlijn 2006/24, arrest Digital Rights, punten 66 tot en met 68). 123. In elk geval moeten de lidstaten waarborgen dat een onafhankelijke autoriteit toeziet op de inachtneming van het hoge niveau van bescherming dat wordt gewaarborgd door het Unierecht betreffende de bescherming van natuurlijke personen ter zake van de verwerking van hun persoonsgegevens, daar een dergelijk toezicht uitdrukkelijk wordt geëist door artikel 8, lid 3, van het Handvest en volgens vaste rechtspraak van het Hof een wezenlijk element van de bescherming van personen ter zake van de verwerking van hun persoonsgegevens vormt. Indien dit anders zou zijn, zou aan de personen van wie de persoonsgegevens zijn bewaard, het door artikel 8, leden 1 en 3, van het Handvest gewaarborgde recht worden ontnomen om zich ter bescherming van hun grondrechten tot de nationale toezichthoudende autoriteiten te wenden (zie in die zin arrest Digital Rights, punt 68, en (…)). 124. Het staat aan de verwijzende rechterlijke instanties, na te gaan of en in welke mate de in het hoofdgeding aan de orde zijnde nationale regelingen, zowel ter zake van de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens als ter zake van de bescherming en het niveau van beveiliging van deze gegevens, voldoen aan de eisen die voortvloeien uit artikel 15, lid 1, van richtlijn 2002/58, gelezen tegen de achtergrond van de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest, zoals die in de punten 115 tot en met 123 van het onderhavige arrest nader zijn uiteengezet.’ 30. Het Hof van Justitie oordeelde dat gelet op een en ander artikel 15, eerste lid, van richtlijn 2002/58, gelezen tegen de achtergrond van de artikelen 7, 8 en 11 en artikel 52, eerste lid, van het Handvest, ‘in die zin moet worden uitgelegd dat het zich verzet tegen een nationale regeling die de bescherming en de beveiliging van de verkeersgegevens en van de locatiegegevens en in het bijzonder de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens regelt zonder, in het kader van de bestrijding van criminaliteit, te bepalen dat die toegang alleen wordt verleend ter bestrijding van ernstige criminaliteit, dat die toegang aan een voorafgaand toezicht door een rechterlijke instantie of een onafhankelijke bestuurlijke autoriteit is onderworpen, en dat de betrokken gegevens op het grondgebied van de Unie moeten worden bewaard’ (ov. 125). 31. Ook op dit punt week het Hof af van de conclusie van A-G Saugmandsgaard Øe. De A-G had in het door hem voorgestelde antwoord niet een afzonderlijke normering van toegang tot bewaarde gegevens geformuleerd, maar ‘waarborgen inzake de toegang tot de gegevens’ aangemerkt als noodzakelijk onderdeel van de normering van een verplichting tot bewaring (randnummer 263). 32. Kort na het arrest Tele2 stuurde de Minister van Veiligheid en Justitie een brief naar de Tweede Kamer waarin hij aangaf dat de consequenties van het arrest voor het wetsvoorstel aanpassing bewaarplicht telecommunicatiegegevens zouden worden onderzocht. Iets meer dan een jaar later, in maart 2018, schreef de Minister van Justitie en Veiligheid een brief waarin een nota van wijziging in het vooruitzicht werd gesteld. Deze zou ertoe strekken de verplichting tot het bewaren van verkeers- en locatiegegevens te beperken tot een aangepaste regeling voor het bewaren van gebruikersgegevens. Een half jaar later deelde de Minister mee dat de uitvoering van dit voornemen werd vertraagd door een nieuw technisch vraagstuk: ‘het gebruik van de zogenaamde Carrier Grade Network Address Translation’. Sindsdien is het stil rond het wetsvoorstel. 33. In het arrest Ministerio Fiscal werd een prejudiciële vraag gesteld in de context van een strafvervolging. Het Ministerio Fiscal (openbaar ministerie) in Spanje had beroep ingesteld tegen de beslissing van de onderzoeksrechter die ‘de gerechtelijke politie toegang (had) geweigerd tot persoonsgegevens die worden bewaard door aanbieders van elektronische-communicatiediensten’ (ov. 2). Spanje kende een wet die verplichtte tot bewaring van gegevens betreffende elektronische communicatie en openbare communicatienetwerken (ov. 12 en 18). De strafzaak betrof een verdenking van diefstal met geweld van een portefeuille en een mobiele telefoon waarbij het slachtoffer gewond was geraakt (ov. 19). Aan de onderzoeksrechter was verzocht om verschillende aanbieders van elektronische-communicatiediensten te gelasten de telefoonnummers door te geven die tussen 16 en 27 februari 2015 waren geactiveerd met het IMEI-nummer van de gestolen mobiele telefoon, alsook de persoonsgegevens betreffende de civiele identiteit van de houders of gebruikers van de telefoonnummers die overeenkwamen met de simkaarten die met dat IMEI-nummer geactiveerd waren (ov. 20). De onderzoeksrechter had dat geweigerd, onder meer omdat de feiten in het hoofdgeding geen ernstige delicten (als omschreven in het Spaanse Wetboek van Strafrecht) leken te vormen (ov. 21). 34. De verwijzende rechter had ten eerste gevraagd naar het criterium ‘om te bepalen of een delict voldoende ernstig is om inmenging in de door de artikelen 7 en 8 van het [Handvest] erkende grondrechten te rechtvaardigen’. Was dat ‘uitsluitend de straf die kan worden opgelegd ter zake van het onderzochte delict of is het bovendien noodzakelijk dat door de strafbaar gestelde gedraging individuele en/of collectieve rechtsgoederen in bijzondere mate worden aangetast?’ (ov. 26). Het Hof van Justitie besprak eerst de ontvankelijkheid van het verzoek om een prejudiciële beslissing en haar bevoegdheid om dit te beantwoorden: ‘30. Volgens de Spaanse regering heeft het Hof in het arrest Tele2 Sverige en Watson e.a. weliswaar geoordeeld dat een wettelijke maatregel die de toegang van de nationale autoriteiten tot door aanbieders van elektronische-communicatiediensten bewaarde gegevens regelt, binnen de werkingssfeer van richtlijn 2002/58 valt, maar gaat het in casu om een verzoek van een overheidsinstantie om, krachtens een rechterlijke beslissing in het kader van een strafrechtelijk onderzoek, toegang te verkrijgen tot door aanbieders van elektronische-communicatiediensten bewaarde persoonsgegevens. De Spaanse regering leidt daaruit af dat het indienen van een dergelijk verzoek om toegang tot de uitoefening door nationale autoriteiten van het ius puniendi behoort, en dus een activiteit van de staat op strafrechtelijk gebied betreft die onder de uitzondering valt van artikel 3, lid 2, eerste streepje, van richtlijn 95/46 en artikel 1, lid 3, van richtlijn 2002/58. 31. Bij de beoordeling van deze exceptie van onbevoegdheid zij erop gewezen dat artikel 1 van richtlijn 2002/58 in lid 1 ervan bepaalt dat deze richtlijn voorziet in de harmonisering van de regelgeving van de lidstaten die nodig is om onder meer een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen. Lid 2 van artikel 1 van die richtlijn bepaalt dat deze richtlijn voor de doelstellingen van lid 1 een specificatie van en een aanvulling op richtlijn 95/46 vormt. 32. Volgens artikel 1, lid 3, van richtlijn 2002/58 zijn van de werkingssfeer ervan uitgesloten de „activiteiten van de staat” op de aldaar bedoelde gebieden, waaronder de activiteiten van de staat op strafrechtelijk gebied en die welke verband houden met openbare veiligheid, defensie en staatsveiligheid, met inbegrip van het economische welzijn van de staat wanneer de activiteit verband houdt met de staatsveiligheid (arrest Tele2 Sverige en Watson e.a., punt 69 en aldaar aangehaalde rechtspraak). De in die bepaling als voorbeeld genoemde activiteiten zijn in alle gevallen specifieke activiteiten van staten of overheidsdiensten en hebben niets van doen met de gebieden waarop particulieren activiteiten ontplooien (…). 33. Volgens artikel 3 van richtlijn 2002/58 is deze richtlijn van toepassing op de verwerking van persoonsgegevens in verband met de levering van openbare elektronische-communicatiediensten over openbare communicatienetwerken in de Unie, met inbegrip van de openbare communicatienetwerken die systemen voor gegevensverzameling en identificatie ondersteunen (hierna: „elektronische-communicatiediensten”). Bijgevolg moet worden aangenomen dat deze richtlijn de activiteiten van de aanbieders van dergelijke diensten regelt (arrest Tele2 Sverige en Watson e.a., punt 70). 34. Met betrekking tot artikel 15, lid 1, van richtlijn 2002/58 heeft het Hof reeds geoordeeld dat de daarin bedoelde wettelijke maatregelen binnen de werkingssfeer van die richtlijn vallen, ook al betreffen zij specifieke activiteiten van staten of overheidsdiensten die niets van doen hebben met de gebieden waarop particulieren activiteiten ontplooien, en zelfs al stemmen de met die maatregelen nagestreefde doelstellingen grotendeels overeen met de doelstellingen van de in artikel 1, lid 3, van richtlijn 2002/58 bedoelde activiteiten. Artikel 15, lid 1, van deze richtlijn vooronderstelt immers noodzakelijkerwijs dat de daarin bedoelde nationale maatregelen binnen de werkingssfeer van die richtlijn vallen, aangezien deze richtlijn uitdrukkelijk bepaalt dat lidstaten die maatregelen slechts met inachtneming van de in de richtlijn geformuleerde voorwaarden mogen treffen. Bovendien regelen de in artikel 15, lid 1, van richtlijn 2002/58 bedoelde wettelijke maatregelen de activiteit van aanbieders van elektronische-communicatiediensten voor de in die bepaling vermelde doeleinden (zie in die zin arrest Tele2 Sverige en Watson e.a., punten 7274). 35. Het Hof is tot de slotsom gekomen dat artikel 15, lid 1, gelezen in samenhang met artikel 3 van richtlijn 2002/58, aldus moet worden uitgelegd dat binnen de werkingssfeer van deze richtlijn niet alleen wettelijke maatregelen vallen die aanbieders van elektronische-communicatiediensten de verplichting opleggen om verkeers en locatiegegevens te bewaren, maar ook wettelijke maatregelen inzake de toegang van nationale autoriteiten tot door die aanbieders bewaarde gegevens (zie in die zin arrest Tele2 Sverige en Watson e.a., punten 7576). 36. De door artikel 5, lid 1, van richtlijn 2002/58 gewaarborgde bescherming van de vertrouwelijkheid van communicatie en daarmee verband houdende verkeersgegevens, geldt immers voor de door alle andere personen dan de gebruikers getroffen maatregelen, ongeacht of het daarbij gaat om particuliere personen of entiteiten dan wel om overheidsentiteiten. Zoals in overweging 21 van die richtlijn wordt bevestigd, beoogt deze richtlijn „elke” onbevoegde „toegang” tot communicatie, daaronder begrepen de toegang tot „gegevens over die communicatie”, te verhinderen teneinde het vertrouwelijke karakter van elektronische communicatie te beschermen (arrest Tele2 Sverige en Watson e.a., punt 77). 37. Hieraan moet worden toegevoegd dat wanneer wettelijke maatregelen aanbieders van elektronische-communicatiediensten de verplichting opleggen om persoonsgegevens te bewaren of om bevoegde nationale autoriteiten daar toegang toe te verlenen, dit noodzakelijkerwijs impliceert dat die aanbieders die gegevens verwerken (zie in die zin arrest Tele2 Sverige en Watson e.a., punten 7578). Dergelijke maatregelen, die dus de activiteiten van die aanbieders regelen, kunnen dan ook niet worden gelijkgesteld met de in artikel 1, lid 3, van richtlijn 2002/58 bedoelde specifieke activiteiten van staten. 38. Zoals in casu uit de verwijzingsbeslissing blijkt, is het verzoek in het hoofdgeding, waarmee de gerechtelijke politie via rechterlijke toestemming toegang wil verkrijgen tot door aanbieders van elektronische-communicatiediensten bewaarde persoonsgegevens, gebaseerd op wet 25/2007 die de toegang van overheidsinstanties tot dergelijke gegevens regelt, gelezen in samenhang met het wetboek van strafvordering zoals van toepassing ten tijde van de feiten in het hoofdgeding. Met deze regeling kan de gerechtelijke politie, wanneer zij de op grond van die regeling gevraagde rechterlijke toestemming verkrijgt, aanbieders van elektronische-communicatiediensten verplichten om persoonsgegevens ter beschikking te stellen en om deze gegevens zodoende, gelet op de definitie in artikel 2, onder b), van richtlijn 95/46, die volgens artikel 2, lid 1, van richtlijn 2002/58 van toepassing is in de context van laatstgenoemde richtlijn, te „verwerken” in de zin van deze twee richtlijnen. De betrokken regeling regelt dus activiteiten van aanbieders van elektronische-communicatiediensten en valt bijgevolg binnen de werkingssfeer van richtlijn 2002/58. 39. In die situatie kan de door de Spaanse regering aangevoerde omstandigheid dat het toegangsverzoek werd ingediend in het kader van een strafrechtelijk onderzoek, niet tot gevolg hebben dat richtlijn 2002/58 overeenkomstig artikel 1, lid 3, ervan niet van toepassing is op het hoofdgeding. 40. Het is dienaangaande eveneens irrelevant dat het toegangsverzoek in het hoofdgeding, zoals uit het schriftelijke antwoord van de Spaanse regering op een door het Hof gestelde vraag blijkt en zoals zowel deze regering als het openbaar ministerie ter terechtzitting hebben bevestigd, ertoe strekt toegang te verkrijgen tot uitsluitend de telefoonnummers die overeenstemmen met de met het IMEI-nummer van de gestolen mobiele telefoon geactiveerde simkaarten en de civiele-identiteitsgegevens van de houders van die kaarten, zoals hun naam, voornaam en, in voorkomend geval, adres, en niet tot gegevens betreffende de oproepen die met die simkaarten tot stand zijn gebracht of over de locatie van de gestolen mobiele telefoon. 41. Zoals de advocaat-generaal in punt 54 van zijn conclusie heeft opgemerkt, is richtlijn 2002/58 volgens artikel 1, lid 1, en artikel 3 ervan immers van toepassing op elke verwerking van persoonsgegevens in het kader van de levering van elektronische-communicatiediensten. Bovendien dekt het begrip „verkeersgegevens” volgens artikel 2, tweede alinea, onder b), van die richtlijn alle „gegevens die worden verwerkt voor het overbrengen van communicatie over een elektronische-communicatienetwerk of voor de facturering ervan”. 42. Aangaande dit laatste punt, en wat meer in het bijzonder civiele-identiteitsgegevens van simkaarthouders betreft, blijkt uit overweging 15 van richtlijn 2002/58 dat verkeersgegevens onder meer naam en adres kunnen omvatten van de persoon die een communicatie verzendt of een verbinding gebruikt om een communicatie tot stand te brengen. Civiele-identiteitsgegevens van simkaarthouders kunnen overigens noodzakelijk blijken om de geleverde elektronische-communicatiediensten te kunnen factureren en maken dus deel uit van de verkeersgegevens, zoals die in artikel 2, tweede alinea, onder b), van die richtlijn worden gedefinieerd. Bijgevolg vallen die gegevens binnen de werkingssfeer van richtlijn 2002/58.’ 35. Het Hof van Justitie achtte zichzelf bevoegd de prejudiciële vraag te beantwoorden (ov. 43). Vervolgens herformuleerde het Hof de gestelde vragen, die samen moesten worden onderzocht. De verwijzende rechter zou in wezen willen vernemen ‘of artikel 15, lid 1, van richtlijn 2002/58, gelezen in samenhang met de artikelen 7 en 8 van het Handvest, aldus moet worden uitgelegd dat de toegang van overheidsinstanties tot de identificatiegegevens van de houders van met een gestolen mobiele telefoon geactiveerde simkaarten – zoals hun naam, voornaam en, in voorkomend geval, adres – een zodanig ernstige inmenging in de door die artikelen van het Handvest gewaarborgde grondrechten van deze laatsten vormt dat die toegang, wat het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten betreft, zou moeten worden beperkt tot de bestrijding van zware criminaliteit en, zo ja, aan de hand van welke criteria de ernst van het betrokken delict moet worden beoordeeld’ (ov. 48). Naar aanleiding van die vraag overwoog het Hof van Justitie vervolgens onder meer: ‘49. In dit verband blijkt uit de verwijzingsbeslissing dat, zoals de advocaat-generaal in punt 38 van zijn conclusie in wezen heeft opgemerkt, het verzoek om een prejudiciële beslissing er niet toe strekt om uit te maken of de aanbieders van elektronische-communicatiediensten de in het hoofdgeding aan de orde zijnde persoonsgegevens hebben bewaard met inachtneming van de voorwaarden van artikel 15, lid 1, van richtlijn 2002/58, gelezen in samenhang met de artikelen 7 en 8 van het Handvest. Zoals uit punt 46 van het onderhavige arrest blijkt, betreft het verzoek uitsluitend de vraag of en in welke mate het doel dat met de in het hoofdgeding aan de orde zijnde nationale regeling wordt nagestreefd, kan rechtvaardigen dat overheidsinstanties zoals de gerechtelijke politie toegang hebben tot dergelijke gegevens, en gaat het verzoek niet over de andere toegangsvoorwaarden die uit voormeld artikel 15, lid 1, voortvloeien. 50. De verwijzende rechter vraagt zich in het bijzonder af welke elementen in aanmerking moeten worden genomen bij de beoordeling of delicten waarvoor politiediensten in het kader van een onderzoek toegang kan worden verleend tot persoonsgegevens die door aanbieders van elektronische-communicatiediensten worden bewaard, voldoende ernstig zijn om de inmenging die een dergelijke toegang betekent in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten, zoals uitgelegd door het Hof in zijn arrest van 8 april 2014, Digital Rights Ireland e.a. (…), en in het arrest Tele2 Sverige en Watson e.a., te rechtvaardigen. 51. Wat betreft de vraag of sprake is van inmenging in die grondrechten, zij eraan herinnerd dat, zoals de advocaat-generaal in de punten 76 en 77 van zijn conclusie heeft aangegeven, de toegang van overheidsinstanties tot dergelijke gegevens inmenging in het in artikel 7 van het Handvest neergelegde grondrecht op eerbiediging van het privéleven vormt, zelfs al kan die inmenging om bepaalde redenen niet als „ernstig” worden aangemerkt en zonder dat van belang is of de informatie over het privéleven al dan niet gevoelig is en of de betrokkenen door die inmenging enig nadeel hebben ondervonden. Een dergelijke toegang vormt tevens inmenging in het door artikel 8 van het Handvest gewaarborgde grondrecht op bescherming van persoonsgegevens, aangezien die toegang een verwerking van persoonsgegevens is […]. 52. Wat betreft de doelstellingen die een rechtvaardiging kunnen vormen voor een nationale regeling als die in het hoofdgeding, die de toegang van overheidsinstanties tot door aanbieders van elektronische-communicatiediensten bewaarde gegevens regelt en die aldus afwijkt van het beginsel van de vertrouwelijkheid van elektronische communicatie, zij eraan herinnerd dat de in artikel 15, lid 1, eerste zin, van richtlijn 2002/58 gegeven opsomming van doelstellingen exhaustief is, zodat die toegang daadwerkelijk en strikt op een van die doelstellingen moet berusten (zie in die zin arrest Tele2 Sverige en Watson e.a., punten 90 en 115). 53. Aangaande de doelstelling strafbare feiten te voorkomen, te onderzoeken, op te sporen en te vervolgen, dient te worden geconstateerd dat het daarbij volgens de bewoordingen van artikel 15, lid 1, eerste zin, van richtlijn 2002/58 evenwel niet alleen over de bestrijding van ernstige delicten maar over „strafbare feiten” in het algemeen gaat. 54. Stellig heeft het Hof in dit verband geoordeeld dat ter zake van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, alleen de bestrijding van zware criminaliteit kan rechtvaardigen dat overheidsinstanties toegang krijgen tot door aanbieders van elektronische-communicatiediensten bewaarde persoonsgegevens waaruit, in hun geheel beschouwd, precieze conclusies kunnen worden getrokken over het privéleven van de betrokken personen (zie in die zin arrest Tele2 Sverige en Watson e.a., punt 99). 55. Het Hof heeft die uitlegging echter gemotiveerd met de overweging dat de met een toegangsregeling nagestreefde doelstelling in verhouding moet staan tot de ernst van de inmenging in de betrokken grondrechten die deze ingreep meebrengt (zie in die zin arrest Tele2 Sverige en Watson e.a., punt 115). 56. Volgens het evenredigheidsbeginsel kan ter zake van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, ernstige inmenging immers slechts worden gerechtvaardigd door de doelstelling om – eveneens „ernstige” – criminaliteit te bestrijden. 57. Is de inmenging die een dergelijke toegang veroorzaakt daarentegen niet ernstig, dan kan die toegang worden gerechtvaardigd door de doelstelling van het voorkomen, onderzoeken, opsporen en vervolgen van „strafbare feiten” in het algemeen. 58. Allereerst moet dus worden uitgemaakt of in casu, gelet op de omstandigheden van de onderhavige zaak, de inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten die zou voortvloeien uit het feit dat aan de gerechtelijke politie toegang tot de in het hoofdgeding aan de orde zijnde gegevens wordt verleend, als „ernstig” moet worden beschouwd. 59. In dit verband heeft het verzoek in het hoofdgeding, waarmee de gerechtelijke politie in een strafrechtelijk onderzoek via rechterlijke toestemming toegang wil verkrijgen tot door aanbieders van elektronische-communicatiediensten bewaarde persoonsgegevens, louter tot doel de houders te identificeren van de simkaarten die gedurende een periode van twaalf dagen met het IMEI-nummer van de gestolen mobiele telefoon zijn geactiveerd. Zoals in punt 40 van het onderhavige arrest is uiteengezet, strekt dat verzoek er enkel toe om toegang te verkrijgen tot de telefoonnummers die overeenstemmen met die simkaarten en tot de civiele-identiteitsgegevens van de houders van die kaarten, zoals hun naam, voornaam en, in voorkomend geval, adres. Zoals zowel de Spaanse regering als het openbaar ministerie ter terechtzitting heeft bevestigd, gaat het daarbij echter niet over de communicatie die met de gestolen mobiele telefoon tot stand is gebracht of over de locatie van die telefoon. 60. Met de via het toegangsverzoek in het hoofdgeding beoogde gegevens is het dus blijkbaar alleen mogelijk om, gedurende een bepaalde periode, de met de gestolen mobiele telefoon geactiveerde simkaart(
7. en)in verband te brengen met de civiele identiteit van de houders van die simkaarten. Zonder aanvullende gegevens over de communicatie die met die simkaarten tot stand is gebracht en over de locatie, kan met die gegevens noch de datum, het uur, de duur of de ontvanger van de met de betrokken simkaart(
8. en)verrichte oproepen worden achterhaald, noch waar die communicatie heeft plaatsgevonden of hoe vaak in een gegeven periode met bepaalde personen is gecommuniceerd. Uit die gegevens kunnen dus geen nauwkeurige conclusies over het privéleven van de betrokken personen worden getrokken. 61. In die omstandigheden kan de toegang tot de in het verzoek in het hoofdgeding bedoelde gegevens niet worden aangemerkt als een „ernstige” inmenging in de grondrechten van de personen waarop de gegevens betrekking hebben. 62. Zoals uit de punten 53 tot en met 57 van dit arrest blijkt, kan de inmenging die een dergelijke gegevenstoegang zou veroorzaken dus worden gerechtvaardigd door de in artikel 15, lid 1, eerste zin, van richtlijn 2002/58 vermelde doelstelling om „strafbare feiten” in het algemeen te voorkomen, te onderzoeken, op te sporen en te vervolgen, zonder dat deze strafbare feiten als „ernstig” moeten worden aangemerkt.’ 36. Het Hof van Justitie oordeelde vervolgens dat ‘artikel 15, lid 1, van richtlijn 2002/58, gelezen in samenhang met de artikelen 7 en 8 van het Handvest, aldus moet worden uitgelegd dat de toegang van overheidsinstanties tot de identificatiegegevens van houders van met een gestolen mobiele telefoon geactiveerde simkaarten – zoals hun naam, voornaam en, in voorkomend geval, adres – geen zodanig ernstige inmenging in de door die artikelen van het Handvest gewaarborgde grondrechten van laatstgenoemden oplevert dat die toegang – op het gebied van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten – moet worden beperkt tot de bestrijding van zware criminaliteit’ (ov. 63). 37. A-G Saugmandsgaard Øe ging in zijn conclusie voor dit arrest nog wel in op de vraag die de verwijzende rechter zelf geformuleerd had. Daarbij stelde hij voorop dat de bevoegdheid om te bepalen wat ‘ernstige criminaliteit’ is, zijns inziens bij de bevoegde autoriteiten van de lidstaten ligt (randnummers 96, 100). Als het Hof van Justitie van oordeel zou zijn dat het gaat om een autonoom begrip, verdient een definitie gebaseerd op meerdere beoordelingscriteria naar zijn oordeel de voorkeur (randnummers 102, 103). Als in aanmerking te nemen factoren noemt hij naast de straf de context waarin het vermeende strafbare feit is gepleegd (opzet, verzwarende omstandigheden, recidive), de belangrijkheid van de mogelijk geschade maatschappelijke belangen, de aard en/of de omvang van de schade die mogelijk aan het slachtoffer is toegebracht, en de hoogte van de ‘algemeen geldende straffen in de betrokken lidstaat’ (randnummer 105). De A-G betoogt daarna nog eens uitdrukkelijk dat hij er geen voorstander van is een concrete mogelijk op te leggen straf (zoals een maximale gevangenisstraf van drie jaar, waar door de Estse regering en de Commissie aan was gerefereerd) tot uitgangspunt te nemen (randnummers 116-121). A-G Saugmandsgaard Øe is in dit standpunt later bijgevallen door A-G Pitruzzella, in de conclusie voor het arrest Prokuratuur. 38. In het arrest La Quadrature du Net e.a. ging het om vragen van de Franse Conseil d’État en het Belgisch Grondwettelijk Hof. Een eerste groep vragen werd door het Hof van Justitie aldus samengevat dat de verwijzende rechters in wezen wensten te vernemen ‘of artikel 15, lid 1, van richtlijn 2002/58 aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling die voor de in deze bepaling genoemde doeleinden aan aanbieders van elektronischecommunicatiediensten een verplichting tot algemene en ongedifferentieerde bewaring van verkeers en locatiegegevens oplegt’ (ov. 81). Het Hof ging, voordat het deze vragen beantwoordde, eerst weer in op de werkingssfeer van de richtlijn: ‘87. La Quadrature du Net, de Fédération des fournisseurs d’accès à Internet associatifs, Igwan.net, Privacy International en het Center for Democracy and Technology voeren in wezen aan dat uit de rechtspraak van het Hof betreffende de werkingssfeer van richtlijn 2002/58 volgt dat deze richtlijn zowel van toepassing is op de bewaring van de gegevens als op de toegang, al dan niet in real time, tot de bewaarde gegevens. Die partijen zijn namelijk van mening dat, aangezien de doelstelling van bescherming van de nationale veiligheid expliciet vermeld staat in artikel 15, lid 1, van richtlijn 2002/58, het nastreven van die doelstelling niet ertoe leidt dat deze richtlijn niet van toepassing is. Het door de verwijzende rechters genoemde artikel 4, lid 2, VEU doet in hun ogen niet aan dit oordeel af. 88. Met betrekking tot de inlichtingenmaatregelen die door de bevoegde Franse autoriteiten rechtstreeks worden toegepast zonder dat de activiteiten van aanbieders van elektronische-communicatiediensten worden geregeld doordat hun specifieke verplichtingen worden opgelegd, merkt het Center for Democracy and Technology op dat die maatregelen noodzakelijkerwijs binnen de werkingssfeer van richtlijn 2002/58 en het Handvest vallen, aangezien daarmee wordt afgeweken van het door artikel 5 van deze richtlijn gewaarborgde vertrouwelijkheidsbeginsel. Die maatregelen moeten volgens die partijen dan ook voldoen aan de vereisten die voortvloeien uit artikel 15, lid 1, van richtlijn 2002/58. 89. De regering van het Verenigd Koninkrijk, de Franse, de Tsjechische en de Estse regering, Ierland en de Cypriotische, de Hongaarse, de Poolse en de Zweedse regering stellen daarentegen in wezen dat richtlijn 2002/58 niet van toepassing is op nationale regelingen als die van de hoofdgedingen, aangezien deze tot doel hebben de nationale veiligheid te waarborgen. Die regeringen zijn van mening dat de activiteiten van de inlichtingendiensten behoren tot de essentiële functies van de lidstaten, daar zij verband houden met de handhaving van de openbare orde en de bescherming van de binnenlandse veiligheid en de territoriale integriteit, en dus onder de exclusieve bevoegdheid van de lidstaten vallen, zoals met name uit artikel 4, lid 2, derde zin, VEU volgt. 90. Die regeringen alsmede Ierland verwijzen bovendien naar artikel 1, lid 3, van richtlijn 2002/58, dat volgens hen activiteiten die verband houden met openbare veiligheid, defensie en staatsveiligheid van de werkingssfeer van deze richtlijn uitsluit, zulks in navolging van artikel 3, lid 2, eerste streepje, van richtlijn 95/46. Zij baseren zich in dit verband op de uitlegging die aan laatstgenoemde bepaling is gegeven in het arrest van 30 mei 2006, Parlement/Raad en Commissie (C317/04 en C318/04, EU:C:2006:346. 91. In dit verband zij erop gewezen dat richtlijn 2002/58 volgens artikel 1, lid 1, onder meer de nationale regelgeving harmoniseert die nodig is om een gelijk niveau van bescherming van fundamentele rechten en vrijheden – met name het recht op een persoonlijke levenssfeer en vertrouwelijkheid – bij de verwerking van persoonsgegevens in de sector elektronische communicatie te waarborgen. 92. Volgens artikel 1, lid 3, van die richtlijn zijn van de werkingssfeer ervan uitgesloten de „activiteiten van de staat” op de aldaar bedoelde gebieden, waaronder de activiteiten van de staat op strafrechtelijk gebied en die welke verband houden met openbare veiligheid, defensie en staatsveiligheid, met inbegrip van het economische welzijn van de staat wanneer de activiteit verband houdt met de staatsveiligheid. De in die bepaling als voorbeeld genoemde activiteiten zijn in alle gevallen specifieke activiteiten van staten of overheidsdiensten en hebben niets van doen met de gebieden waarop particulieren activiteiten ontplooien (arrest (…) Ministerio Fiscal, (…) punt 32 en aldaar aangehaalde rechtspraak). 93. Voorts bepaalt artikel 3 van richtlijn 2002/58 dat deze richtlijn van toepassing is op de verwerking van persoonsgegevens in verband met de levering van openbare elektronische-communicatiediensten over openbare communicatienetwerken in de Unie, met inbegrip van de openbare communicatienetwerken die systemen voor gegevensverzameling en identificatie ondersteunen (hierna: „elektronischecommunicatiediensten”). Bijgevolg moet worden aangenomen dat deze richtlijn de activiteiten van de aanbieders van dergelijke diensten regelt (arrest (…) Ministerio Fiscal, (…) punt 33 en aldaar aangehaalde rechtspraak). 94. Op grond van artikel 15, lid 1, van richtlijn 2002/58 kunnen de lidstaten in dat kader met inachtneming van de in deze bepaling geformuleerde voorwaarden „wettelijke maatregelen treffen ter beperking van de reikwijdte van de in de artikelen 5 en 6, artikel 8, leden 1, 2, 3 en 4, en artikel 9 van deze richtlijn bedoelde rechten en plichten” (arrest (…) Tele2, (…), punt 71). 95. Artikel 15, lid 1, van richtlijn 2002/58 vooronderstelt noodzakelijkerwijs dat de daarin bedoelde nationale wettelijke maatregelen binnen de werkingssfeer van deze richtlijn vallen, aangezien deze richtlijn uitdrukkelijk bepaalt dat de lidstaten die maatregelen slechts mogen treffen met inachtneming van de in de richtlijn geformuleerde voorwaarden. Bovendien regelen die maatregelen de activiteit van aanbieders van elektron