Dane te, rozpatrywane łącznie, mogą dostarczyć bardzo precyzyjnych wskazówek dotyczących życia prywatnego osób, których dane są przechowywane, takich jak nawyki życia codziennego, miejsca stałego lub czasowego pobytu, codziennie lub okazyjnie pokonywane trasy, podejmowane czynności, relacje społeczne i środowiska społeczne, w których osoby te się obracają.

Trybunał uznał, że nakładając obowiązek przechowywania danych i umożliwiając dostęp do nich właściwym organom krajowym, dyrektywa ingeruje w sposób szczególnie poważny w prawa podstawowe do poszanowania życia społecznego i do ochrony danych osobowych. Ponadto okoliczność, że przechowywanie i późniejsze wykorzystywanie danych jest dokonywane bez poinformowania o tym abonenta i zarejestrowanego użytkownika, może wywołać u zainteresowanych osób poczucie, iż ich życie prywatne podlega stałemu nadzorowi.

Trybunał zbadał następnie, czy taka ingerencja w omawiane prawa podstawowe jest uzasadniona.

Trybunał stwierdził, że przewidziane dyrektywą przechowywanie danych nie narusza zasadniczej treści praw podstawowych do poszanowania życia prywatnego i do ochrony danych osobowych. Dyrektywa nie pozwala bowiem na zapoznawanie się z treścią komunikatów elektronicznych jako taką i stanowi, że dostawcy usług lub sieci powinni przestrzegać określonych zasad ochrony i bezpieczeństwa danych.

Co więcej, przechowywanie danych w celu ich ewentualnego udostępnienia właściwym organom krajowym rzeczywiście odpowiada celowi w postaci interesu ogólnego, jakim jest zwalczanie poważnej przestępczości oraz - ostatecznie - bezpieczeństwo publiczne.

Jednakże, zdaniem Trybunału, przyjmując dyrektywę w sprawie przechowywania danych, prawodawca Unii przekroczył granice, które wyznacza poszanowanie zasady proporcjonalności.

W tym względzie Trybunał zauważył, że przy uwzględnieniu, po pierwsze, znaczącej roli, którą odgrywa ochrona danych osobowych w odniesieniu do prawa podstawowego do poszanowania życia prywatnego oraz, po drugie, zakresu i wagi ingerencji w to prawo, do której prowadzi dyrektywa, uprawnienia dyskrecjonalne prawodawcy Unii okazują się ograniczone, tak że należy przeprowadzić ścisłą kontrolę.

O ile można uważać, że wymagane dyrektywą zatrzymywanie danych jest w stanie realizować zakładany przez nią cel, o tyle przewidziana tą dyrektywą znaczna i szczególnie poważna ingerencja w omawiane prawa podstawowe nie ma wystarczających ram, by zagwarantować, aby wspomniana ingerencja była ograniczona do tego, co ściśle niezbędne.

Po pierwsze, dyrektywa obejmuje bowiem w sposób uogólniony wszystkie jednostki, środki łączności elektronicznej i dane o ruchu, przy czym nie przewidziano jakiegokolwiek zróżnicowania, ograniczenia lub wyjątku w zależności od celu dotyczącego zwalczania poważnych przestępstw.

Po drugie, dyrektywa nie przewiduje żadnego obiektywnego kryterium, które pozwoliłoby zagwarantować, by właściwe organy krajowe miały dostęp do danych i mogły je wykorzystywać wyłącznie do zapobiegania przestępstwom, które mogą być uważane w świetle zakresu i wagi ingerencji w omawiane prawa podstawowe za wystarczająco poważne, by uzasadnić taką ingerencję, oraz do wykrywania i ścigania karnego takich przestępstw. Przeciwnie, dyrektywa ogranicza się do odesłania w sposób ogólny do pojęcia „poważnych przestępstw” zdefiniowanych przez każde państwo członkowskie w jego prawie krajowym. Ponadto dyrektywa nie przewiduje materialnych i proceduralnych przesłanek dotyczących sytuacji, w których właściwe organy krajowe mogą uzyskać dostęp do danych i je później wykorzystywać. Dostęp do danych nie jest w szczególności podporządkowany uprzedniej kontroli sądu lub niezależnego organu administracyjnego.