En tredje belgisk lov falder, af en ny grund
Den 3. september 2026 fremlagde generaladvokat Maciej Szpunar sin udtalelse i sag C-661/24 og anbefalede EU-Domstolen at underkende Belgiens dataretentionslov fra 2022. Det er den tredje belgiske dataretentionslov i træk, der falder ved EU-Domstolen: EU's dataretentionsdirektiv faldt i 2014, en anden belgisk lov faldt efter domstolens La Quadrature du Net-afgørelse fra 2020, og denne erstatning fra 2022 står nu over for samme skæbne.
Loven fra 2022 krævede, at kommunikationsudbydere skulle gemme identifikations-, trafik- og lokationsdata for hver bruger, rettet mod cyberkriminalitet, netværkssikkerhedsbrud og onlinesvindel. Szpunar fandt, at den dækker et særligt bredt datasæt uden at påkræve lagringsmetoder, der holder de forskellige kategorier reelt adskilt, hvilket efter hans opfattelse gør indgrebet i privatlivsrettigheder uforholdsmæssigt.
Den test, der faktisk betyder noget: vandtæt adskillelse
Grunden til, at denne udtalelse rækker længere end en rutinemæssig underkendelse, er den målestok, Szpunar foreslår for, hvad der ville bestå prøven. Han argumenterer for, at stater må lagre et bredere udvalg af trafik- og lokationsdata uden skelnen, ikke kun IP-adresser, så længe tekniske kontroller holder kategorierne adskilt, indtil der findes et retsgrundlag for at kombinere dem, og kalder den adskillelse betingelsen for proportionalitet frem for mængden af indsamlede data.
Han rammer dette delvist ind som et svar på, hvordan cyberkriminalitet faktisk fungerer: internetfaciliterede lovovertrædelser har brug for metadataspor til retsforfølgning, argumenterer han, så generelle indsamlingsforbud risikerer systemisk straffrihed for en voksende kategori af kriminalitet.
Hvor denne test egentlig stammer fra
Szpunar opfinder ikke adskillelsestesten fra bunden. I 2024 afgjorde EU-Domstolen i en separat La Quadrature du Net-sag, denne gang rettet mod Frankrigs ophavsretshåndhævelsesregime, at udifferentieret indsamling og lagring af IP-adresser og kundeidentitetsdata er acceptabelt, selv for at bekæmpe kriminalitet under tærsklen for grov kriminalitet, så længe de forskellige metadatakategorier forbliver adskilt, indtil nogen etablerer et retsgrundlag for at kombinere dem.
Szpunars udtalelse beder domstolen om at udvide netop den logik fra IP-adresser specifikt til det bredere sæt af trafik- og lokationsdatatyper, som Belgiens lov dækker. En jurauddannet professor fra Dublin og mangeårig formand for Digital Rights Ireland kaldte det potentielt en meget vigtig udtalelse, en der inviterer EU-Domstolen til at genoverveje grundlaget for hele sin dataretentionspraksis omkring opbevarings- og adgangskontroller frem for selve indsamlingen.
Ikke alle læser dette som fremskridt
Digitale rettighedsgrupper organiseret under European Digital Rights har allerede signaleret, at de vil bekæmpe enhver ramme bygget på denne argumentation, med den begrundelse at udifferentieret lagring skaber sin egen sikkerhedsrisiko: de metadata, en stat gemmer til retshåndhævelse, er også metadata, der er sårbare over for det næste brud. De bestrider også præmissen om, at udifferentieret lagring faktisk reducerer kriminalitet, og siger, at der ikke findes nogen videnskabeligt bevist sammenhæng mellem de to.
Szpunars udtalelse er kun rådgivende. EU-Domstolen kan afgøre anderledes, selvom den ifølge juridiske iagttagere, der følger sagen, følger sine generaladvokaters udtalelser i de fleste tilfælde.
Hvad der sker nu, og tabellen der viser mønsteret
EU-Kommissionen forbereder i det stille nye EU-dækkende regler til at erstatte det længst døde dataretentionsdirektiv, efter at have gennemført en konsekvensanalyse og offentlig høring, og har lovet at undersøge foranstaltninger for grænseoverskridende lovlig aflytning inden 2027. En EU-domstolsafgørelse, der følger Szpunars udtalelse, ville give den udarbejdelsesproces et grønt lys til bredere lagring, som den ikke tidligere klart havde. Enhver virksomhed, der behandler kommunikationsmetadata under et EU-lagringsmandat, bør betragte denne udtalelse som det første signal om, hvor den ramme er på vej hen, måneder før en endelig afgørelse eller et kommissionsforslag findes.
| År | Afgørelse eller udtalelse | Effekt |
|---|---|---|
| 2014 | EU's dataretentionsdirektiv underkendt | Generel lagring af metadata i seks til 24 måneder dømt massovervågning |
| 2020 | La Quadrature du Net (Belgien) | Lagring kun tilladt hvis målrettet, med reelle adgangsgarantier |
| 2022 | Belgiens tredje lagringslov | Bred metadatalagringslov vedtaget, nu anfægtet |
| 2024 | La Quadrature du Net (Frankrig, ophavsret) | Udifferentieret IP-adresselagring tilladt hvis kategorier forbliver adskilt |
| 2026 | Szpunar-udtalelse, sag C-661/24 | Foreslår at udvide adskillelsestesten til bredere metadatatyper |
Servola Journal
Vi gør dette for alle, der prøver at følge med i, hvad teknologi gør ved vores liv. De mennesker, der bygger den, og de mennesker, det sker for. Servola Journal findes, så det, vi lærer, tilhører dem alle.
Ingen betaler os for dette. Ingen reklamer, ingen betalingsmur, gratis for alle. Vi tror simpelthen, at det at forstå, hvad der sker for os alle, ikke bør afhænge af, hvem der har råd til det.
Hvis det gav dig noget i dag, så sig det ved at blive ved med at følge os. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser hver eneste en, og de er det, der holder os i gang.
Læs videre: En GDPR-bøde for journaler, der fik lov at rådne i et badeværelse | Perplexitys lokale AI-tilstand er ikke en GDPR-genvej
