13.4.2006   

DA

Den Europæiske Unions Tidende

L 105/54

(1)

Efter Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (3) skal medlemsstaterne sikre beskyttelsen af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, især retten til privatlivets fred, så der sikres fri udveksling af personoplysninger i Fællesskabet.

(2)

I Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (4) omsættes principperne i direktiv 95/46/EF til specifikke regler for telesektoren.

(3)

I artikel 5, 6 og 9 i direktiv 2002/58/EF fastsættes de regler, som udbydere af telenet eller -tjenester skal overholde i forbindelse med behandling af trafikdata og lokaliseringsdata, der genereres ved brug af elektroniske kommunikationstjenester. Alle sådanne data skal slettes eller gøres anonyme, når de ikke længere er nødvendige for fremføringen af kommunikationen, dog ikke de data, der er nødvendige med henblik på debitering af abonnenten og afregning for samtrafik. Hvis der er givet samtykke hertil, kan visse data også behandles med henblik på markedsføring eller levering af tillægstjenester.

(4)

I artikel 15, stk. 1, i direktiv 2002/58/EF fastsættes de betingelser, i henhold til hvilke medlemsstaterne kan indskrænke rækkevidden af de rettigheder og forpligtelser, der omhandles i nævnte direktivs artikel 5, artikel 6, artikel 8, stk. 1, 2, 3 og 4, og artikel 9. En sådan indskrænkning skal være nødvendig, passende og forholdsmæssig i et demokratisk samfund af hensyn til den offentlige ro og orden, f.eks. den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem.

(5)

Mange medlemsstater har vedtaget lovgivning om tjenesteudbyderes lagring af data med henblik på forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger. Der er store forskelle mellem disse nationale bestemmelser.

(6)

De retlige og tekniske forskelle mellem nationale bestemmelser om lagring af data med henblik på forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger er en hindring for det indre marked for elektronisk kommunikation, idet tjenesteudbyderne skal opfylde forskellige krav for så vidt angår de typer trafikdata og lokaliseringsdata, der skal lagres, og for så vidt angår betingelserne for lagring og lagringsperioden.

(7)

I sine konklusioner af 19. december 2002 fremhæver Rådet (retlige og indre anliggender), at den betydelige vækst i de muligheder, der ligger i elektronisk kommunikation har medført, at data vedrørende anvendelsen af elektronisk kommunikation udgør et særdeles vigtigt og brugbart redskab i forebyggelse, efterforskning, afsløring og retsforfølgning af kriminalitet og strafbare handlinger, især organiseret kriminalitet.

(8)

I erklæringen om bekæmpelse af terrorisme, der blev vedtaget af Det Europæiske Råd den 25. marts 2004, blev Rådet pålagt at behandle foranstaltninger vedrørende opstilling af regler for tjenesteudbyderes lagring af kommunikationsdata.

(9)

Ifølge artikel 8 i konventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder (den europæiske menneskerettighedskonvention) har enhver ret til respekt for sit privatliv og familieliv, sit hjem og sin korrespondance. Offentlige myndigheder må kun gøre indgreb i udøvelsen af denne ret, hvis det sker i overensstemmelse med loven og er nødvendigt i et demokratisk samfund af hensyn til bl.a. den nationale sikkerhed og den offentlige tryghed for at forebygge uro eller forbrydelse eller for at beskytte andres rettigheder og friheder. Da lagring af data har vist sig at være et sådant nødvendigt og effektivt efterforskningsredskab for retshåndhævelsen i flere medlemsstater, herunder navnlig i alvorlige sager som organiseret kriminalitet og terrorisme, er det nødvendigt at sikre, at de lagrede data er tilgængelige i forbindelse med håndhævelsen af loven i en vis periode på de vilkår, der er fastsat i dette direktiv. Vedtagelsen af et instrument til lagring af data, der er i overensstemmelse med kravene i artikel 8 i den europæiske menneskerettighedskonvention, er således en nødvendig foranstaltning.

(10)

Den 13. juli 2005 bekræftede Rådet på ny i sin erklæring om fordømmelse af terroristangrebene i London, at det er nødvendigt snarest muligt at vedtage fælles foranstaltninger vedrørende lagring af telekommunikationsdata.

(11)

Det er i undersøgelser blevet påvist, og medlemsstaterne har praktisk erfaring for, at trafikdata og lokaliseringsdata har stor betydning i efterforskning, afsløring og retsforfølgning af strafbare handlinger, og det er derfor nødvendigt på europæisk plan at sikre, at data, som genereres eller behandles af udbydere af elektronisk kommunikation, når de tilbyder offentlige elektroniske kommunikationstjenester eller offentlige kommunikationsnet, lagres i en vis periode på de i dette direktiv fastsatte betingelser.

(12)

Artikel 15, stk. 1, i direktiv 2002/58/EF vil fortsat finde anvendelse for data, herunder data om forgæves opkaldsforsøg, der ikke udtrykkelig kræves lagret i henhold til nærværende direktiv og dermed falder uden for dets anvendelsesområde, samt for lagring til andre, herunder retlige, formål end dem, der er omfattet af nærværende direktiv.

(13)

Dette direktiv vedrører kun data, der genereres eller behandles som følge af en kommunikation eller en kommunikationstjeneste, og således ikke data, der udgør indholdet af den kommunikerede information. Lagring af data bør ske på en måde, så man undgår at lagre data mere end én gang. Data genereret eller behandlet i forbindelse med levering af de pågældende kommunikationstjenester refererer til tilgængelige data. Specielt kan pligten til at lagre data begrænses til kun at gælde udbydernes egne eller netudbydernes tjenester, når de lagrer data vedrørende internet, e-mail eller telefoni via internettet.

(14)

Elektronisk kommunikationsteknologi er under hastig forandring, og de kompetente myndigheders legitime behov kan ændre sig. Med henblik på rådgivning og på at tilskynde til udveksling af erfaringer med den bedste praksis vil Kommissionen oprette en gruppe, som skal bestå af medlemsstaternes retshåndhævende myndigheder, sammenslutninger af virksomheder fra telesektoren, repræsentanter for Europa-Parlamentet og databeskyttelsesmyndighederne, herunder Den Europæiske Tilsynsførende for Databeskyttelse.

(15)

Direktiv 95/46/EF og direktiv 2002/58/EF finder fuld anvendelse på data, der lagres i overensstemmelse med nærværende direktiv. Artikel 30, stk. 1, litra c), i direktiv 95/46/EF indeholder et krav om høring af den gruppe vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat i henhold til artikel 29 i samme direktiv.

(16)

De forpligtelser, der i medfør af artikel 6 i direktiv 95/46/EF påhviler tjenesteudbyderne med hensyn til foranstaltninger til at sikre datakvaliteten samt deres forpligtelser i medfør af artikel 16 og 17 i nævnte direktiv med hensyn til foranstaltninger til at sikre fortrolighed og behandlingssikkerhed, finder fuldt ud anvendelse på data, der lagres i overensstemmelse med nærværende direktiv.

(17)

Det er vigtigt, at medlemsstaterne træffer lovgivningsmæssige foranstaltninger til at sikre, at data, der lagres i henhold til dette direktiv, kun udleveres til de kompetente nationale myndigheder i overensstemmelse med national lovgivning og under fuld overholdelse af de berørte personers grundlæggende rettigheder.

(18)

Det bør i denne forbindelse erindres, at artikel 24 i direktiv 95/46/EF pålægger medlemsstaterne at fastsætte sanktioner for overtrædelse af de bestemmelser, der vedtages til gennemførelse af nævnte direktiv. Artikel 15, stk. 2, i direktiv 2002/58/EF pålægger den samme forpligtelse for så vidt angår nationale bestemmelser, der vedtages i medfør af direktiv 2002/58/EF. Efter Rådets rammeafgørelse 2005/222/RIA af 24. februar 2005 om angreb på informationssystemer (5) skal det gøres strafbart forsætligt at skaffe sig uretmæssig adgang til et informationssystem og til de data, det indeholder.

(19)

Den ret, som enhver person, der har lidt skade som følge af en ulovlig behandlingsprocedure eller enhver anden handling, der er uforenelig med de nationale bestemmelser, der er vedtaget i medfør af direktiv 95/46/EF, har til erstatning i medfør af artikel 23 i nævnte direktiv, gælder også i tilfælde af ulovlig behandling af personoplysninger i henhold til nærværende direktiv.

(20)

Europarådets konvention om it-kriminalitet fra 2001 og Europarådets konvention om beskyttelse af individet i forbindelse med automatisk behandling af personlige data fra 1981 dækker også data, der lagres i overensstemmelse med dette direktiv.

(21)

Målene for dette direktiv, nemlig at harmonisere udbydernes pligt til at lagre visse data og sikre, at disse data gøres tilgængelige i forbindelse med efterforskning, afsløring og retsforfølgning af alvorlige forbrydelser som defineret af de enkelte medlemsstater i deres nationale lovgivning, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor på grund af direktivets omfang og virkninger bedre gennemføres på fællesskabsplan. Fællesskabet kan derfor træffe foranstaltninger i overensstemmelse med subsidiaritetsprincippet, jf. traktatens artikel 5. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke ud over, hvad der er nødvendigt for at nå disse mål.

(22)

I dette direktiv overholdes de grundlæggende rettigheder og de principper, som bl.a. Den Europæiske Unions charter om grundlæggende rettigheder anerkender. Dette direktiv tilstræber sammen med direktiv 2002/58/EF navnlig at sikre, at de grundlæggende rettigheder overholdes i fuldt omfang, herunder at privatlivets fred og borgernes ret til kommunikation respekteres, samt at der sørges for beskyttelse af personoplysninger jf. artikel 7 og 8 i charteret.

(23)

Da de forpligtelser, der påhviler udbydere af offentlige elektroniske kommunikationstjenester, bør være forholdsmæssige, fastsætter dette direktiv kun et krav om, at de lagrer data, der genereres eller behandles, når de leverer deres kommunikationstjenester. For så vidt sådanne data ikke genereres eller behandles af disse udbydere, er der ingen forpligtelse til at lagre dem. Dette direktiv har ikke til formål at harmonisere teknologien for lagring af data, og valget af denne teknologi må træffes på nationalt plan.

(24)

I overensstemmelse med punkt 34 i den interinstitutionelle aftale om bedre lovgivning (6) tilskyndes medlemsstaterne til, i egen og Fællesskabets interesse, at udarbejde og offentliggøre deres egne oversigter, der så vidt muligt viser overensstemmelsen mellem dette direktiv og gennemførelsesforanstaltningerne.

(25)

Dette direktiv finder anvendelse uanset medlemsstaternes beføjelser til at træffe lovgivningsmæssige foranstaltninger vedrørende retten til adgang til og anvendelse af data for de af dem udpegede nationale myndigheder. Spørgsmål om adgangen til de data, som de nationale offentlige myndigheder lagrer i henhold til dette direktiv, til aktiviteter, der er omhandlet i artikel 3, stk. 2, første led, i direktiv 95/46/EF, falder uden for fællesskabslovgivningens rammer. De kan derimod være underlagt nationale love eller foranstaltninger i medfør af afsnit VI i traktaten om Den Europæiske Union. Sådanne love eller foranstaltninger skal altid fuldt ud respektere de grundlæggende frihedsrettigheder, der følger af medlemsstaternes fælles forfatningsmæssige traditioner, og som er sikret i den europæiske menneskerettighedskonvention. Ifølge Den Europæiske Menneskerettighedsdomstols fortolkning af artikel 8 i den europæiske menneskerettighedskonvention skal offentlige myndigheders indgreb i privatlivets fred overholde krav om nødvendighed og proportionalitet og skal derfor tjene nærmere angivne, eksplicitte og lovlige formål og udøves på en måde, der er passende og relevant, og som står i et rimeligt forhold til indgrebets formål —

a)

»data«: trafikdata, lokaliseringsdata og lignende data, der er nødvendige for at identificere abonnenten eller brugeren

b)

»bruger«: enhver juridisk eller fysisk person, der anvender en offentligt tilgængelig elektronisk kommunikationstjeneste til privat eller forretningsmæssig brug uden nødvendigvis at have abonneret på tjenesten

c)

»telefontjeneste«: opkald (herunder taleopkald, voice mail, konferenceopkald eller dataopkald), supplerende tjenester (herunder viderestilling og omstilling) samt besked- og multimedietjenester (herunder SMS-, EMS- og MMS-tjenester)

d)

»brugeridentitet«: en entydig identifikator, der tildeles en person, når vedkommende tegner abonnement eller lader sig registrere som bruger af en internetadgang eller internetkommunikationstjeneste

e)

»celle-ID«: identiteten på den celle, hvorfra et mobiltelefonopkald kommer, eller hvor det afsluttes

f)

»forgæves opkaldsforsøg«: telefonopkald, hvor der opnås forbindelse, men som ikke besvares, eller hvor netværkssystemet har grebet ind.

a)

data, der er nødvendige for at spore og identificere kilden til en kommunikation:

b)

data, der er nødvendige for at fastslå en kommunikations bestemmelsessted:

c)

data, der er nødvendige for at fastslå en kommunikations dato, klokkeslæt og varighed:

d)

data, der er nødvendige for at identificere kommunikationens type:

e)

data, der er nødvendige for at identificere brugernes kommunikationsudstyr eller det, der fremstår som værende deres udstyr:

f)

data, der er nødvendige for at foretage en lokalisering af mobilt udstyr:

a)

de lagrede data skal være af samme kvalitet og være omfattet af den samme sikkerhed og beskyttelse som de data, der findes på nettet

b)

dataene skal være omfattet af de fornødne tekniske og organisatoriske foranstaltninger, så de er beskyttet mod hændelig eller ulovlig tilintetgørelse eller hændeligt tab, mod forringelse, ubeføjet eller ulovlig lagring, behandling, adgang eller udbredelse

c)

dataene skal være omfattet af de fornødne tekniske og organisatoriske foranstaltninger, så det sikres, at kun særligt autoriserede personer får adgang til dataene,

og

d)

dataene skal tilintetgøres ved udløbet af lagringstiden, bortset fra data, der har været givet adgang til, og som er blevet gemt.

—

de tilfælde, hvor der er sendt data til de kompetente myndigheder i overensstemmelse med gældende national ret

—

tidsrummet mellem den dato, hvor dataene blev lagret, og den dato, hvor den kompetente myndighed anmodede om udlevering af dataene

—

de tilfælde, hvor anmodninger om data ikke kunne efterkommes.