El Tribunal de Justicia de la Unión Europea ha avalado la capacidad de los estados para la vigilancia masiva de las comunicaciones por teléfono e internet cuando se realice únicamente por motivos de seguridad. Así, los países podrán obligar a los operadores a facilitarles estos datos cuando lo justifiquen por esta razón. 

En condiciones normales, el derecho europeo prohíbe la transmisión o la conservación generalizada e indiferenciada de datos relativos al tráfico y la localización. Sin embargo una nueva sentencia establece que hay excepciones a la norma.

El escrito que asienta este principio señala que "cuando un Estado haga frente a una amenaza grave para la seguridad nacional que se demuestre real, y actual o previsible, podrá derogar la obligación de garantizar la confidencialidad". Así, el TJUE abre la puerta a la vigilancia masiva siempre que los países la justifiquen y quede bajo el control de un juez o una autoridad administrativa independiente.

El mismo escrito también ratifica que estos datos solo podrán conservarse por una duración limitada de tiempo, que se ajustará a lo estrictamente necesario. También existe opción de renovar este plazo si la amenaza que lo había originado continua vigente.

Del mismo modo, cuando el peligro ataña a la seguridad nacional, los estados pueden también conservar los datos ya no solo de forma generalizada, sino también limitada a ciertas categorías o en función de ciertos criterios, como los geográficos. 

El TJUE había establecido en una sentencia anterior que los países no podían imponer a las compañías operadoras una obligación generalizada e indiferenciada de recopilación y conservación de datos relativos al tráfico de datos y a su localización. Tras el fallo, varios estados continuaron exigiendo que se les reconociese la capacidad de acceder a esta información para la Policía, la Justicia y los servicios de inteligencia.