La CJUE a affirmé que le droit de l’Union interdit la conservation généralisée et indifférenciée des données de trafic et de localisation par les fournisseurs de services de communications électroniques, même pour des raisons de sécurité nationale. Cependant, des exceptions existent : en cas de menace grave et actuelle, un État membre peut imposer une conservation limitée dans le temps, sous contrôle judiciaire. La Cour précise que toute ingérence doit respecter le principe de proportionnalité et être accompagnée de garanties effectives. Ainsi, la collecte préventive généralisée des données reste prohibée, sauf dans des circonstances exceptionnelles et strictement encadrées.