EU-dom: Teleselskabers masseindsamling af data er ulovlig

Dom fra EU-domstolen: Teleselskabers masseindsamling af trafik- og lokaliseringsdata er ulovlig. Dataoverførsler til Storbritannien kan blive udfordret post Brexit.

EU-Domstolen fastslår i en ny dom (Tele2 Sverige), at det er i strid med EU-retten at have lovgivning, som generelt og udifferentieret forpligter teleudbydere at logge samtlige trafik og lokaliseringsdata om samtlige personer. Regler om logning skal være udformet klart og præcist, begrundet i objektive forhold og begrænset til det strengt nødvendige. De danske logningsregler kan derfor ikke videreføres efter dommen.

Endvidere fastslår domstolen, at myndigheders adgang til kommunikationsdata skal gøres betinget af, at formålet er at bekæmpe grov kriminalitet, og adgang til oplysninger skal undergives forudgående kontrol. Britiske myndigheders adgang til data kan være problematisk for dataoverførsler til Storbritannien efter Brexit.

Sagens baggrund

Dommen indeholder en afgørelse af to forenede sager, som er opstået parallelt på baggrund af en tidligere dom fra EU-Domstolen i Digital Rights-sagen (C-293/12) fra 2014, hvor domstolen erklærede logningsdirektivet ugyldigt. Direktivet tillod medlemsstaterne at pålægge teleselskaber at opbevare trafikdata i en periode på op til 12 måneder, såkaldt telelogning. EU-domstolen anså det for et alvorligt indgreb, der overskred grænserne for proportionalitet og uforeneligt med retten til privatliv og beskyttelse af personoplysninger.

I Tele2 Sverige skulle EU-Domstolen tage stilling til Digital Rights-sagens indflydelse på national lovgivning. Den første sag vedrører svenske logningsregler, der pålægger en teleudbyder (Tele2 Sverige) en generel og udifferentieret pligt til at lagre samtlige kunders trafik- og lokaliseringsdata. Tele2 Sverige havde efter afsigelsen af Digital Rights-sagen meddelt den svenske stat, at man vil ophøre med at lagre disse data, og man ville slette de data, man hidtil havde haft. Den svenske stat mente imidlertid ikke, at logningsreglerne var i strid med EU-Domstolens dom.

Den anden sag vedrørte en ny britisk overvågningslov om datalagring og om myndigheders adgang til disse kommunikationsdata. Efter de britiske regler kan myndigheder få adgang til disse data uden forudgående tilladelse. U.K. High Court fandt, at overvågningsloven var uforenelig med EU-retten i lystet af Digital Rights-sagen. Den britiske regering iværksatte en appel, hvorefter sagen endte hos EU-Domstolen.

I Danmark betød Digital Rights-sagen, at regeringen besluttede at afskaffe reglerne om sessionslogning.

E-privacy direktivet

Begge sager vedrører fortolkningen af reglerne i E-privacy direktivet. Siden Digital Rights-sagen har der fortsat været hjemmel i E-privacy direktivet for medlemsstaterne til at vedtage lovgivning om lagring af data i en begrænset periode, hvis overvågningen kan begrundes i bestemte hensyn, og er i overensstemmelse med grundlæggende rettigheder i EU, herunder kravet om proportionalitet.

For vidtgående svenske logningsregler

I Tele2 Sverige-dommen gentog EU-Domstolen sin præmis fra Digital Rights-sagen om, at det på området for efterforskning og forebyggelse af straffeovertrædelser, alene er bekæmpelse af grov kriminalitet, og navnlig organiseret kriminalitet og terrorisme, som kan begrunde en fravigelse af princippet om fortrolighed i forbindelse med elektronisk kommunikation.

EU-Domstolen fandt, at de svenske logningsregler går videre end hvad EU-retten tillader. Med dommen formuleres klart, at en udifferentieret lagring af data om alle personer er problematisk, og overskrider grænserne for privatlivets fred og retten til beskyttelse af personoplysninger.

Derimod har domstolen ikke udelukket, at medlemsstaterne kan vedtage regler om lagring af trafik- og lokaliseringsdata, men det kræver, at de er i overensstemmelse med retten til privatliv og beskyttelse af personoplysninger. Reglerne skal derfor bygges op efter en model, der sikrer, at overvågningen afgrænses og målrettes til det strengt nødvendige. Det betyder, at lovgivningen skal indeholde klare og præcise regler, der bestemmer, hvornår og under hvilke betingelser, der i forebyggende øjemed, kan lagres data. På den mådes sikres et effektivt værn mod risikoen for misbrug.

Endvidere skal betingelserne for overvågning baseres på objektive forhold, der gør det muligt at fokusere målrettet på en personkreds, hvis data kan afsløre en forbindelse til grov kriminalitet, bidrage til opklaringen eller forhindre kriminalitet.

Myndigheders adgang til kommunikationsdata

I den engelske del af sagen kommer EU-domstolen med en klar udmelding om, at myndigheders adgang til kommunikationsdata skal begrænses og gøres betinget af, at formålet er at bekæmpe grov kriminalitet. Derudover skal adgangen til oplysningerne være undergivet en forudgående kontrol. EU-domstolen fastslår dermed, at den britiske lovgivning ikke lever op til EU-rettens regler om retten til privat liv og beskyttelse af personoplysninger.

Usikkerhed om dataoverførsler post Brexit

For så vidt angår sikkerheden og beskyttelsen af de lagrede data, fastslår Domstolen, at der skal stilles krav om, at de pågældende data skal lagres på EU's område. Dette krav, som også blev anført i Digital Rights dommen, er meget vidtgående, men skal ses i lyset af de generelle persondataretlige udfordringer ved overførsel af lande uden for EU/EØS.

Konsekvenser for danske logningsregler

Med dommen vil alle medlemsstater være nødsaget til at genoverveje deres regler om lagring af trafik- og lokaliseringsdata for at sikre sig, at deres lovgivning opfylder deres EU-retlige forpligtelser.

I Danmark har teleselskaber efter logningsbekendtgørelsen pligt til at indsamle trafik- og lokaliseringsdata om alle danskere telekunder et år tilbage i tiden. Desuden har regeringen lagt op til et nyt lovforslag, der skal udvide logningsforpligtelserne. Det er tvivlsomt, om de eksisterende og kommende logningsregler vil være lovlige og kan videreføres efter dommen. Præcist hvilke konsekvenser dommen vil få for danske regler og det planlagte lovforslag vil afhænge af Justitsministeriets vurdering.

Læs hele dommen her

Seminar

Tele2-logningsdommen behandles på et seminar den 18. april 2017.

Læs mere

Seneste nyt om Persondata

Persondata