Article 7 - Respect for private and family life
Article 8 - Protection of personal data
Article 11 - Freedom of expression and information
Article 51 - Field of application
Key facts of the case:
This case is about objections to the Act on the Retention of Telecommunication Data. As the European Court of Justice has found the Directive on Data Retention invalid on the basis of the Charter, among other instruments, according to the claimants,the Dutch Act above mentioned, which is an almost literal implementation of the Directive, should be declared inapplicable (Dutch Courts cannot declare that an Act of Parliament is invalid, due to Constitutional provisions, so it continues to exist). According to the claimants, the current retention of data of among other innocent Dutch citizens is in conflict with the right to privacy, the right to the protection of personal data and the freedom of expression. The President of the District Court holds that the duty to retain telecommunication data is, indeed, an infringement of these provisions. However, such an infringement may be justified and proportional. The District Court judges the question whether the infringement is strictly necessary. It is clear that a limitation of the retention of data cannot easily be imagined in the context of the effective prosecution of heavy criminals. But it will be very difficult to make a difference between a first offender and citizens who are not suspected at all. Therefore, there should be strict safeguards. There is no independent authority which controls the requirements in terms of protection and safeguards when service providers retain data outside the territory of the European Union, and there are some smaller ones which do so. Moreover, Dutch authorities have access to the data also in the case of offences, such as the theft of a bicycle. There are no provisions that see to it that access to the data is really limited to what is strictly necessary of the combat of (only) serious crimes. Moreover, access is not subject to prior independent approval by, for example, a court. EU law (for example the Charter) has been applied and implemented in Dutch law on the basis of judicial precedent. This entails that when the Court decides that the Act is inapplicable, EU law provisions prevail, but the inapplicable national Act it will continue to exist. This decision will also be followed in possible subsequent cases, as this judgment has become the core of Dutch law in this area, replacing the provisions of the Act.
Outcome of the case:
The Court ruled that the Act on the Retention of Telecommunication Data is inapplicable because it is in conflict with the right to privacy and the right to the protection of personal data. The District Court judges that there is an infringement of these rights. It is clear that a limitation of the retention of data cannot easily be imagined in the context of the effective prosecution of heavy criminals. But it will be very difficult to make a difference between a first offender and citizens who are not suspected at all. Therefore, there should be strict safeguards. There is no independent authority which controls the requirements in terms of protection and safeguards when service providers retain data outside the territory of the European Union, and there are some smaller ones which do so. Moreover, Dutch authorities have access to the data also in the case of offences, such as the theft of a bicycle. There are no provisions that see to it that access to the data is really limited to what is strictly necessary of the combat of (only) serious crimes. Moreover, access is not subject to prior independent approval by, for example, a court.
Article 51 of the Charter stipulates that the Charter applies when Member States implement Union law. It follows from ECJ case law that the concept “Union law” in the sense of this article must be regarded as activities by the Member States within the scope of the law of the Union (among other things: ECJEU 30 April 2014, C-390/12, Pfleger). As the Act on the Retention of Telecommunication Data implements the so-called e-privacy Directive (Directive 2002/58/EC) and implies a limitation of the free movement of services, this Act falls within the scope of the Charter. It should therefore be checked whether the Act - as alleged by Privacy First and others - infringes Articles 7 and 8 of the Charter without any justification whatsoever. The State, in this context, has not denied that the Act contains, virtually, the same provisions as the Data Retention Directive, but it has - rightly so, according to the President of the Court in summary proceedings - stated that the whole of relevant national legislation should be involved in the question whether the Act is in agreement with Articles 7 and 8 of the Charter. It is clear that the objections against the Data Retention Directive by the Court in its judgement of 8 April 2014, apply, among other things, to the absence of certain safeguards for the safety of and access to the retained data. Those objections may as well be met by applicable provisions in other national rules and legislation.
3.5. Articles 7 and 8 of the Charter lay down the right of respect of private life, family life, house and communication and the right to the protection of personal data. Privacy First and others have put forward that the sole fact that the Act lays down that telecommunication data are retained is as such an unacceptable infringement of Articles 7 and 8 of the Charter. It is a fact, just as the Court considers under considerations 32 up to and including 37 of the judgement, that the duty to retain data about the communications of persons during a certain period of time (in this case imposed by the Act) is an infringement of Articles 7 and 8 of the Charter. This is in line with the case law of the European Court of Human Rights, relied on by Privacy First and others. For example, there is, in relation to Article 8 ECHR, a consideration: “The mere storing of data relating to the private life of an individual amounts to an interference within the meaning of article 8 (...). The subsequent use of the stored information has no bearing on that finding.” (ECtHR 4 December 2008, S. and Marper, appl.nos 30562/04 and 30566/04). Privacy First and others therefore justifiably allege that the use of the data is an independent, further infringement of the rights mentioned. In sofar as Privacy First and others, however, argue that the infringement of the rights mentioned is as such inadmissable, the District Court does not follow that argument. It is a fact that the question has to be judged whether such an infringement is justified and proportional.
...
3.8. The above-mentioned is without prejudice to the fact that the District Court should judge about the question whether the infringement of Articles 7 and 8 of the Charter is carefully framed by provisions which safeguard that the infringement is really limited to what is strictly necessary. In this context, it should be noted that a limitation of the data that must be retained to the data of suspected citizens cannot be easily imagined in view of the aim of the Act, efficiently tracking down heavy crime. In the case of a first offender, no distinction can be made between suspected and non-suspected citizens in advance. The need to provide safeguards and guarantees as to the access of those data, however, is all the more important now that the infringement goes very far, so that high requirements should be met.
3.10 In addition, legislation should contain objective standards to limit the access of the competent national authorities to the data and their subsequent use in view of the prevention, tracking down and prosecuting infringements which may be considered sufficiently serous to justify the interference with the fundamental rights, laid down in Articles 7 and 8 of the Charter. The District Court holds that this is not the case in the Act. It is true that in the Act there are clear boundaries, because consultation of the data is limited to tracking down and prosecuting facts which are punishable with detention under remand or terrorist crimes, but this category also comprises punishable facts which are not sufficiently serious to justify this interference. The provisions of the Data Retention Directive were a reaction to the terrorist attacks in London and Madrid in 2004 and 2005.
Artikel 51 van het Handvest bepaalt dat het Handvest van toepassing is indien de lidstaten het recht van de Unie ten uitvoer brengen. Uit jurisprudentie van het Hof volgt dat het begrip “uitvoering van Unierecht” in de zin van dit artikel aldus moet worden verstaan dat het gaat om optreden van de lidstaten binnen het toepassingsgebied van het recht van de Unie (onder meer: HvJ EU 30 april 2014, C-390/12, Pfleger). Aangezien de Wbt een invulling vormt van de zogenoemde e-privacyrichtlijn (richtlijn 2002/58/EG) en een belemmering van het vrij verkeer van diensten meebrengt, valt deze wet onder de werkingssfeer van het Handvest. Getoetst dient dan ook te worden of de Wbt – zoals Privacy First cs stellen – een ontoelaatbare inbreuk maakt op de artikelen 7 en 8 van het Handvest. De Staat heeft in dit verband weliswaar niet weersproken dat de Wbt vrijwel dezelfde inhoud heeft als de Dataretentierichtlijn, maar zich – naar het oordeel van de voorzieningenrechter terecht – op het standpunt gesteld dat het geheel van relevante nationale wetgeving dient te worden betrokken bij de beoordeling van de vraag of de Wbt in overeenstemming is met de artikelen 7 en 8 van het Handvest. De bezwaren tegen de Dataretentierichtlijn die het Hof in het arrest van 8 april 2014 formuleert, hebben immers onder meer betrekking op de afwezigheid van bepaalde waarborgen voor veiligheid van en toegang tot de opgeslagen gegevens. Die bezwaren kunnen evenzeer worden ondervangen door toepasselijke bepalingen in andere nationale regelgeving.
3.5.
De artikelen 7 en 8 van het Handvest formuleren het recht op eerbiediging van privé-leven, familie- en gezinsleven, woning en communicatie en het recht op bescherming van persoonsgegevens. Privacy First cs hebben aangevoerd dat het enkele feit dat de Wbt voorschrijft dat telecommunicatiegegevens worden bewaard van personen al een ontoelaatbare inbreuk vormt op de artikelen 7 en 8 van het Handvest. Vaststaat dat, zoals het Hof ook overweegt onder punt 32 tot en met 37 van het arrest, de (in dit geval door de Wbt) opgelegde verplichting om gegevens over de communicaties van personen gedurende een bepaalde tijd te bewaren een inmenging vormt op de artikelen 7 en 8 van het Handvest. Dat is in lijn met de jurisprudentie van het Europees Hof voor de Rechten van de Mens, waar Privacy First cs zich op beroepen. Daarin wordt bijvoorbeeld met betrekking tot artikel 8 EVRM overwogen “The mere storing of data relating to the private life of an individual amounts to an interference within the meaning of article 8 (...). The subsequent use of the stored information has no bearing on that finding.” (EHRM 4 december 2008, S. and Marper, appl.nos 30562/04 en 30566/04). Privacy First cs stellen dus terecht dat het gebruik van de gegevens een op zichzelf staande, verdergaande inmenging is in de genoemde rechten. Voor zover Privacy First cs evenwel betogen dat de inmenging in de genoemde rechten hoe dan ook ontoelaatbaar is, wordt dat betoog niet gevolgd. Beoordeeld dient immers te worden of de inmenging gerechtvaardigd en evenredig is.
3.6.
Partijen twisten in dat kader over de noodzaak en effectiviteit van de bewaarplicht zoals die door de Wbt wordt voorgeschreven. Ten aanzien daarvan wordt vooropgesteld dat dit geschilpunt bij uitstek binnen de beleidsvrijheid van de wetgever valt, die alle argumenten en belangen tegen elkaar af dient te wegen, zodat de voorzieningenrechter dit punt slechts marginaal zal toetsen. Het Hof heeft overwogen dat de bestrijding van zware criminaliteit van primordiaal belang is om de openbare veiligheid te waarborgen, dat de doeltreffendheid ervan in aanzienlijke mate kan afhangen van het gebruik van moderne onderzoekstechnieken (punt 51) en dat de gegevens die moeten worden bewaard extra mogelijkheden bieden om ernstige gevallen van criminaliteit op te helderen (punt 49). Daarbij komt dat de Staat in deze procedure voldoende aannemelijk heeft gemaakt dat bepaalde vormen van criminaliteit nagenoeg uitsluitend zijn op te sporen door het gebruik van historische telecommunicatiegegevens, uitgaande van het gegeven dat steeds meer criminaliteit op of met behulp van internet wordt gepleegd. De Staat heeft onweersproken aangevoerd dat enkele door hem genoemde omvangrijke strafzaken niet hadden kunnen worden opgelost zonder toepassing van de bewaarplicht. Uitgangspunt is dan ook dat de bewaarplicht noodzakelijk en effectief is.
3.7.
Het geschil van partijen spitst zich voorts toe op de vraag of met de Nederlandse wetgeving voldoende wordt tegemoetgekomen aan de bezwaren die ertoe hebben geleid dat het Hof heeft geoordeeld dat de Dataretentierichtlijn ongeldig is. Evenals de Dataretentierichtlijn is de Wbt zonder enige beperking van toepassing op alle personen die gebruik maken van elektronische communicatiemiddelen en dus zelfs op personen voor wie er geen enkele aanwijzing bestaat dat hun gedrag een verband vertoont met zware criminaliteit. Ook wordt geen verband vereist tussen de gegevens die moeten worden bewaard en een bedreiging van de openbare veiligheid (punt 57 tot en met 59 van het arrest). Anders dan Privacy First cs betogen, kan uit het arrest van het Hof niet worden afgeleid dat een dergelijke ruime bewaarplicht hoe dan ook niet evenredig is ten opzichte van het beoogde doel. Het Hof beoordeelt immers vervolgens de vraag of de Dataretentierichtlijn voldoende waarborgen biedt voor de toegang tot de bewaarde gegevens. Indien het betoog van Privacy First cs juist zou zijn, zou het Hof niet meer aan die vraag zijn toegekomen. Daarbij komt dat het Hof “gelet op een en ander” (“Having regard to all the foregoing considerations”, punt 69) oordeelt dat de wetgever de door het evenredigheidsbeginsel gestelde grenzen heeft overschreden. Daaruit volgt dat de opgesomde bezwaren in onderlinge samenhang beschouwd tot dat oordeel hebben geleid.
3.8.
Het voorgaande laat onverlet dat dient te worden beoordeeld of de inmenging in de artikelen 7 en 8 van het Handvest voldoende nauwkeurig is omkaderd door bepalingen die waarborgen dat zij daadwerkelijk beperkt is tot het strikt noodzakelijke. In dat verband wordt opgemerkt dat een beperking van de gegevens die moeten worden opgeslagen tot de gegevens van verdachte burgers niet goed denkbaar is met het oog op het doel van de Wbt, de doeltreffende opsporing van zware criminaliteit. In geval van een first offender kan immers niet reeds op voorhand een onderscheid worden gemaakt tussen verdachte en niet-verdachte burgers. De noodzaak voor het bieden van waarborgen en garanties ten aanzien van de toegang tot die gegevens is evenwel des te groter nu het gaat om een zeer ruime inmenging, zodat daaraan hoge eisen dienen te worden gesteld.
3.9
De Staat heeft terecht aangevoerd dat aanbieders van telecommunicatiediensten in Nederland op grond van het Besluit beveiliging gegevens telecommunicatie een hoog niveau van bescherming en beveiliging moeten bieden en dat het Agentschap Telecom en het College bescherming persoonsgegevens daar toezicht op houden. In zoverre wordt dus tegemoetgekomen aan het bezwaar tegen de Dataretentierichtlijn dat het Hof onder punt 67 van het arrest vermeldt. Uit punt 69 moet echter worden afgeleid dat een voorschrift dat de betrokken gegevens op het grondgebied van de Unie moeten worden bewaard van wezenlijk belang (“an essential component”) is voor de bescherming van personen bij de verwerking van persoonsgegevens, aangezien enkel met dat voorschrift ten volle is gewaarborgd dat een onafhankelijke autoriteit op basis van het Unierecht toezicht houdt op de vereisten inzake bescherming en beveiliging. Een dergelijk voorschrift ontbreekt in de Wbt. De Staat heeft ook erkend dat in de praktijk (enkele kleine) aanbieders hun gebruikersgegevens buiten het grondgebied van de EU bewaren.
3.10.
Voorts dient – aldus het Hof onder punt 60 van het arrest – de wetgeving objectieve criteria te bevatten ter begrenzing van de toegang van de bevoegde nationale autoriteiten tot de gegevens en het latere gebruik ervan met het oog op het voorkomen, opsporen en strafrechtelijk vervolgen van inbreuken die voldoende ernstig kunnen worden geacht om de inmenging in de door de artikelen 7 en 8 van het Handvest erkende fundamentele rechten te rechtvaardigen. De voorzieningenrechter is van oordeel dat hier geen sprake van is in de Wbt. De Wbt biedt weliswaar een duidelijke afbakening omdat raadpleging van de gegevens is beperkt tot de opsporing en vervolging van strafbare feiten waarvoor voorlopige hechtenis is toegestaan of van terroristische misdrijven, maar deze categorie bevat eveneens strafbare feiten die niet voldoende ernstig zijn om de inmenging te rechtvaardigen. De bepalingen van de Dataretentierichtlijn waren immers een reactie op de terreuraanslagen in Londen en Madrid in 2004 en 2005. Het materiële doel van de Dataretentierichtlijn, en dus van de daarop gebaseerde Wbt, bestond er in te garanderen dat bepaalde gegevens beschikbaar zijn met het oog op de bestrijding van ernstige criminaliteit. Strafbare feiten waarvoor voorlopige hechtenis is toegestaan, zijn onder meer misdrijven waarop een gevangenisstraf van ten minste vier jaar staat. De Staat heeft aangevoerd dat niet lichtvaardig wordt overgegaan tot het opvragen van de gegevens en dat bijvoorbeeld in geval van een fietsendiefstal (ook een strafbaar feit waarvoor voorlopige hechtenis is toegestaan) geen gegevens zullen worden opgevraagd. Feit is echter dat de mogelijkheid daartoe wel bestaat en dat geen waarborgen bestaan om de toegang tot de gegevens daadwerkelijk te beperken tot hetgeen strikt noodzakelijk is voor de bestrijding van (enkel) ernstige criminaliteit.
