Siden 2007 har teleselskaber i hele EU gemt omfattende mængder information om kundernes brug af sms, tale og deres position, når telefonen var aktiv.
Men EU-reglerne - som Danmark oven i købet har suppleret med en omstridt internetlogning - er i strid med EU’s charter for grundlæggende rettigheder for borgerne. Det har EU-Domstolen afgjort tirsdag formiddag. Og dermed er hele telelogningsdirektivet ugyldigt, lyder afgørelsen fra domstolen.
»Direktivet indebærer et meget omfattende og særligt alvorligt indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, uden at dette indgreb er begrænset til det strengt nødvendige,« skriver domstolen i sin begrundelse for, at hele telelogningsdirektivet er ugyldigt.
Problemet er, at man med disse metadata om folks brug af deres telefon kan kortlægge deres liv alt for detaljeret, skriver domstolen.
»Disse data kan samlet give meget præcise oplysninger om privatlivet for de personer, som data er lagret for, såsom dagligdagsvaner, faste eller midlertidige opholdssteder, udøvede aktiviteter, sociale relationer og de sociale miljøer, de færdes i. Domstolen finder, at direktivet ved at stille krav om lagring af disse data og ved at give de kompetente nationale myndigheder adgang til disse i særligt alvorlig grad gør indgreb i den grundlæggende ret til respekt for privatliv og beskyttelse af personoplysninger,« skriver EU-Domstolen.
Sagen er taget op af EU-Domstolen, efter at reglerne blev udfordret i retten i Østrig og Irland af borgerrettighedsorganisationer. Også i Danmark har reglerne været debatteret, især på grund af den såkaldte sessionslogning, som ikke var et EU-krav, men som den danske VK-regering selv fandt på at tilføje.
Meningen med sessionslogning skulle være, at politi og efterretningsvæsen også skulle kunne se, hvilke hjemmesider og tjenester en borger brugte på internettet, men i mange år kunne disse data slet ikke læses af politiet. I dag gemmer teleselskaberne 3,5 billioner datapunkter om danskernes brug af telefon og internet, og over 90 procent af disse data stammer fra sessionslogning.
Version2 følger op på afgørelsen.
##Domstolen erklærer direktivet om lagring af data for ugyldigt
Direktivet indebærer et meget omfattende og særligt alvorligt indgreb i den grundlæggende ret til
respekt for privatlivet og til beskyttelse af personoplysninger, uden at dette indgreb er begrænset til
det strengt nødvendige.
###Direktivet om lagring af data
1.
har til formål at harmonisere medlemsstaternes bestemmelser om
lagring af visse data, der er genereret eller behandlet af udbydere af offentligt tilgængelige
elektroniske kommunikationstjenester eller af et offentligt kommunikationsnet. Det tilsigter således
at sikre, at der er adgang til disse data med henblik på forebyggelse, efterforskning, afsløring og
retsforfølgning af grov kriminalitet, især organiseret kriminalitet og terrorisme. Direktivet foreskriver
således, at ovennævnte udbydere skal lagre trafikdata, lokaliseringsdata samt lignende data, der
er nødvendige for at identificere abonnenten eller brugeren. Direktivet tillader derimod ikke lagring
af indholdet af kommunikationen eller af indhentede oplysninger.
High Court (Irlands øverste domstol) samt Verfassungsgerichtshof (Østrigs forfatningsdomstol) har
anmodet domstolen om at undersøge direktivets gyldighed, bl.a. i lyset af to grundlæggende
rettigheder, der er sikret ved Den Europæiske Unions charter om grundlæggende rettigheder,
nemlig den grundlæggende ret til respekt for privatlivet og den grundlæggende ret til beskyttelse af
personoplysninger.
High Court skal træffe afgørelse i en sag mellem det irske selskab Digital Rights og de irske
myndigheder angående lovligheden af nationale foranstaltninger, der vedrører lagring af data
vedrørende elektronisk kommunikation. Der er blevet anlagt adskillige søgsmål af forfatningsretlig
karakter for Verfassungsgerichtshof af Kärntner Landesregierung (regeringen i delstaten Kärnten)
samt af Seitlinger, Tschohl og yderligere 11.128 sagsøgere. Disse søgsmål tilsigter at opnå
annullation af den nationale bestemmelse, der gennemfører direktivet i østrigsk ret.
I dommen, der afsiges i dag, erklærer domstolen direktivet for ugyldigt.
2.
Domstolen fastslår for det første, at de data, der skal lagres, gør det muligt bl.a. at få at vide, med
hvem og med hvilket middel en abonnent eller en registreret bruger har kommunikeret, at
fastlægge kommunikationens varighed samt det sted, hvorfra kommunikationen fandt sted, og at
gøre sig bekendt med frekvensen af abonnentens eller den registrerede brugers kommunikationer
med visse personer i en given periode. Disse data kan samlet give meget præcise oplysninger om
privatlivet for de personer, som data er lagret for, såsom dagligdagsvaner, faste eller midlertidige
opholdssteder, udøvede aktiviteter, sociale relationer og de sociale miljøer, de færdes i.
Domstolen finder, at direktivet ved at stille krav om lagring af disse data og ved at give de
kompetente nationale myndigheder adgang til disse i særligt alvorlig grad gør indgreb i den
grundlæggende ret til respekt for privatliv og beskyttelse af personoplysninger. Endvidere
kan den omstændighed, at lagring og efterfølgende anvendelse af data sker, uden at abonnenten
eller den registrerede bruger informeres derom, i de pågældende personers bevidsthed skabe en
følelse af, at deres privatliv er genstand for konstant overvågning.
Domstolen undersøger dernæst, om et sådant indgreb i de omhandlede grundlæggende
rettigheder kan begrundes.
Domstolen fastslår, at den lagring af data, der kræves i henhold til direktivet, ikke er af en
karakter, der kan krænke det væsentlige indhold af den grundlæggende ret til respekt for
privatliv og beskyttelse af personoplysninger. Direktivet giver nemlig ikke mulighed for at gøre
sig bekendt med indholdet af den elektroniske kommunikation som sådan og bestemmer, at
udbydere af tjenester eller telenet skal overholde visse principper om beskyttelse og sikkerhed
vedrørende data.
Endvidere tjener lagring af data med henblik på en eventuel udlevering af disse til de
kompetente nationale myndigheder rent faktisk et formål af almen interesse, nemlig
bekæmpelse af grov kriminalitet samt i sidste ende den offentlige sikkerhed.
Domstolen finder imidlertid, at EU-lovgiver ved at vedtage direktivet om lagring af data
overskred de grænser, der følger af proportionalitetsprincippet.
Domstolen anfører i denne forbindelse, at EU-lovgivers skønsbeføjelse – henset dels til den vigtige
rolle, som beskyttelsen af personoplysninger spiller i forhold til den grundlæggende ret til respekt
for privatliv, dels til omfanget og alvoren af det indgreb i denne ret, som direktivet medfører – er
reduceret, således at der skal foretages en streng kontrol.
Selv om den lagring af data, der kræves i henhold til direktivet, kan anses for egnet til at
gennemføre det formål, der forfølges med direktivet, er det omfattende og særligt alvorlige
indgreb i de omhandlede grundlæggende rettigheder ikke tilstrækkeligt afgrænset med
henblik på at sikre, at det pågældende indgreb rent faktisk er begrænset til det strengt
nødvendige.
For det første omfatter direktivet nemlig på generel vis samtlige enkeltpersoner, elektroniske
kommunikationsmidler og trafikdata, uden at der foretages nogen sondring, begrænsning eller
undtagelse i forhold til formålet om bekæmpelse af grov kriminalitet.
For det andet fastsætter direktivet intet objektivt kriterium, der gør det muligt at sikre, at de
kompetente nationale myndigheder kun har adgang til data og kun kan anvende disse med
henblik på at forebygge, afsløre eller foretage retsforfølgning i straffesager af overtrædelser, der,
henset til omfanget og alvoren af indgrebet i de omhandlede grundlæggende rettigheder, kan
anses for tilstrækkeligt alvorlige til at begrunde et sådant indgreb. Tværtimod henviser direktivet
alene generelt til 'grov kriminalitet', der skal defineres af hver enkelt medlemsstat i national ret.
Endvidere angiver direktivet ikke de materielle og processuelle betingelser, hvorunder de
kompetente nationale myndigheder kan få adgang til data og anvende dem efterfølgende.
Adgangen til data er navnlig ikke betinget af en forudgående kontrol, som foretages af en
retsinstans eller af en uafhængig administrativ enhed.
Hvad for det tredje angår varigheden af lagringen af data fastsætter direktivet en varighed af
seks måneder uden at foretage nogen sondring mellem kategorier af data alt efter de pågældende
personer eller efter den eventuelle nytteværdi af data i forhold til det forfulgte formål. Endvidere
ligger varigheden mellem minimum seks måneder og maksimum fireogtyve måneder, uden at
direktivet præciserer de objektive kriterier, på grundlag af hvilke varigheden af lagringen skal
fastlægges med henblik på at sikre en begrænsning til det strengt nødvendige.
Domstolen fastslår endvidere, at direktivet ikke fastsætter tilstrækkelige garantier, der gør det
muligt at sikre en effektiv beskyttelse af data mod risiko for misbrug samt mod ulovlig adgang til
og benyttelse af data. Domstolen bemærker bl.a., at direktivet giver tjenesteudbyderne mulighed
for at tage hensyn til økonomiske betragtninger i forbindelse med fastlæggelsen af det
sikkerhedsniveau, de vil anvende (bl.a. for så vidt angår omkostningerne ved gennemførelsen af
sikkerhedsforanstaltningerne), og at direktivet ikke sikrer en uigenkaldelig sletning af data efter
lagringsperiodens ophør.
Domstolen kritiserer endelig det forhold, at direktivet ikke foreskriver, at data lagres på unionens
område. Direktivet sikrer således ikke fuldt ud en uafhængig myndigheds kontrol med
overholdelsen af kravene om beskyttelse og sikkerhed, således som det imidlertid er udtrykkeligt
foreskrevet i chartret. En sådan kontrol, der foretages på grundlag af EU-retten, udgør imidlertid et
væsentligt element ved overholdelsen af beskyttelsen af personer i forbindelse med behandling af
personoplysninger.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
