Les États membres ne peuvent pas ordonner aux opérateurs télécoms la collecte massive des données de connexion et de localisation de leurs usagers. Sauf si la sécurité nationale est en jeu.