DOMSTOLENS DOM (Tredje Afdeling)
7. maj 2009 (*)
»Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46/EF – beskyttelse af privatlivets fred – slettelse af oplysninger – adgang til oplysninger og information om, hvem der modtager oplysningerne – frist for udøvelse af adgangen hertil«
I sag C-553/07,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 234 EF, indgivet af Raad van State (Nederlandene) ved afgørelse af 5. december 2007, indgået til Domstolen den 12. december 2007, i sagen:
College van burgemeester en wethouders van Rotterdam
mod
M.E.E. Rijkeboer,
har
DOMSTOLEN (Tredje Afdeling)
sammensat af afdelingsformanden, A. Rosas, og dommerne A. Ó Caoimh, J. Klučka, U. Lõhmus og P. Lindh (refererende dommer),
generaladvokat: D. Ruiz-Jarabo Colomer
justitssekretær: ekspeditionssekretær M. Ferreira,
på grundlag af den skriftlige forhandling og efter retsmødet den 20. november 2008,
efter at der er afgivet indlæg af:
– College van burgemeester en wethouders van Rotterdam ved advocaat R. de Bree
– M.E.E. Rijkeboer ved juridisch adviseur W. van Bentem
– den nederlandske regering ved C.M. Wissels og C. ten Dam, som befuldmægtigede
– den tjekkiske regering ved M. Smolek, som befuldmægtiget
– den græske regering ved E.-M. Mamouna og V. Karra, som befuldmægtigede
– den spanske regering ved M. Muñoz Pérez, som befuldmægtiget
– Det Forenede Kongeriges regering ved Z. Bryanston-Cross og H. Walker, som befuldmægtigede, bistået af barrister J. Stratford
– Kommissionen for De Europæiske Fællesskaber ved R. Troosters og C. Docksey, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 22. december 2008,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 12, litra a), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31, herefter »direktivet«).
2 Anmodningen er fremsat under en sag mellem M.E.E. Rijkeboer og College van burgemeester en wethouders van Rotterdam (kommunalbestyrelsen i Rotterdam, herefter »kommunalbestyrelsen«) vedrørende kommunalbestyrelsens delvise afslag på at give Rijkeboer adgang til information om, til hvem der var videregivet personlige oplysninger vedrørende ham inden for de sidste to år forud for hans anmodning om information.
Retsforskrifter
Fællesskabsbestemmelser
3 Anden og tiende betragtning til direktivet, som vedrører de grundlæggende rettigheder og frihedsrettigheder, indeholder følgende udtalelser:
»(2) [D]atabehandlingssystemer er til for menneskets skyld; de skal være i overensstemmelse med de grundlæggende rettigheder og frihedsrettigheder, der gælder for fysiske personer, uanset statsborgerskab og bopæl, herunder retten til privatlivets fred, og bidrage til at sikre økonomiske og sociale fremskridt og til at fremme samhandelen og det enkelte menneskes velfærd.
[…]
(10) [M]edlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder og frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder og i fællesskabsrettens generelle principper [...]«
4 Ifølge direktivets 25. betragtning skal principperne om beskyttelse af personer dels afspejles i de forskellige forpligtelser, der påhviler personer, som behandler data, navnlig for så vidt angår oplysningernes pålidelighed, dels i de rettigheder, der tilkommer de personer, hvis personoplysninger gøres til genstand for behandling, bl.a. retten til at blive underrettet om en behandling, til indsigt, til at kunne kræve oplysninger berigtiget, men også til under visse omstændigheder at gøre indsigelse mod en behandling.
5 Direktivets 40. betragtning, som vedrører forpligtigelsen til at informere den pågældende person, når oplysningerne ikke er indsamlet hos vedkommende, udtaler, at denne forpligtelse ikke gælder, hvis det viser sig umuligt eller uforholdsmæssigt vanskeligt at underrette den pågældende, og at der i den forbindelse kan tages hensyn til antallet af registrerede, oplysningernes alder samt de kompensatoriske foranstaltninger, der kan træffes.
6 Ifølge direktivets 41. betragtning skal enhver have ret til indsigt i de oplysninger om sig selv, som gøres til genstand for behandling, så den pågældende kan forvisse sig om oplysningerne rigtighed og behandlingens lovlighed.
7 Artikel 1, som ifølge overskriften vedrører »[d]irektivets formål«, indeholder følgende bestemmelser:
»1. Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.
2. Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde fri udveksling af personoplysninger mellem medlemsstaterne.«
8 Begrebet »personoplysninger« er defineret i direktivets artikel 2, litra a), som enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«).
9 Ved »behandling af personoplysninger« forstås ifølge direktivets artikel 2, litra b):
»enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse«.
10 Ifølge direktivets artikel 2, litra d), forstås ved »den registeransvarlige« den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger.
11 Direktivets artikel 2, litra g), definerer »modtager« som den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, hvortil oplysningerne meddeles, uanset om der er tale om en »tredjemand« eller ej, idet en »tredjemand« i direktivets artikel 2, litra f), er defineret som den, der er beføjet til at behandle oplysninger.
12 Direktivets artikel 6 fastsætter principper vedrørende kravene til oplysningerne. Hvad angår opbevaringen af oplysninger er det fastsat i stk. 1, litra e), at medlemsstaterne skal fastsætte bestemmelser, hvorefter personoplysninger »ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode«.
13 Direktivets artikel 10 og 11 indeholder bestemmelser om de oplysninger, som den registeransvarlige ellers dennes repræsentant er forpligtet til at give den pågældende person, når oplysningerne er indsamlet, henholdsvis ikke indsamlet hos denne.
14 Direktivets artikel 12, med overskriften »Ret til indsigt«, bestemmer:
»Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige:
a) frit og uhindret, med rimelige mellemrum og uden større ventetid eller større udgifter:
– at få oplyst, om der behandles personoplysninger om den pågældende selv, samt mindst formålene med behandlingen, hvilken type oplysninger det drejer sig om, og modtagerne eller kategorierne af modtagere af oplysningerne
– at få meddelt letforståelig information om, hvilke oplysninger der er omfattet af behandlingerne, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer
– at få at vide, hvilken logik der ligger bag edb-behandlingen af oplysningerne om den pågældende, i det mindste i forbindelse med edb-baserede afgørelser som omhandlet i artikel 15, stk. 1
b) efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige
c) at få udvirket, at tredjemand, til hvem sådanne oplysninger er blevet videregivet, underrettes om enhver berigtigelse, sletning eller blokering, der er foretaget i overensstemmelse med litra b), medmindre underretning viser sig umulig eller uforholdsmæssig vanskelig.«
15 Ifølge direktivets artikel 13, stk. 1, med overskriften »Undtagelser og begrænsninger«, kan medlemsstaterne bl.a. gøre undtagelse fra artikel 6 og 12, såfremt dette er nødvendigt for at tilgodese visse offentlige hensyn, herunder hensyn til statens sikkerhed, forsvaret, retsforfølgning i straffesager og en række andre hensyn såsom beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder.
16 Det bestemmes i direktivets artikel 14, at medlemsstaterne indrømmer den registrerede ret til på visse betingelser at modsætte sig en behandling af personoplysninger, der vedrører den pågældende.
17 Ifølge direktivets artikel 17, stk. 1, andet afsnit, påhviler det medlemsstaterne at fastsætte bestemmelser om, at den registeransvarlige skal iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at garantere, at der under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med foranstaltningernes iværksættelse, tilvejebringes et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som behandlingen indebærer, og arten af de oplysninger, som skal beskyttes.
18 Ifølge direktivets artikel 22 og artikel 23, stk. 1, skal medlemsstaterne fastsætte bestemmelser til sikring af, at enhver har ret til at anlægge sag ved en domstol i tilfælde af krænkelser af de rettigheder, der er garanteret den pågældende i henhold til de nationale love, der gælder for den omhandlede behandling, og til sikring af, at enhver, som har lidt skade som følge af en ulovlig behandling eller enhver anden handling, der er uforenelig med de nationale bestemmelser, der vedtages til gennemførelse af direktivet, har ret til erstatning for den forvoldte skade fra den registeransvarlige.
Nationale retsforskrifter
19 Direktivet er gennemført i nederlandsk ret ved en generel lov, nemlig loven om beskyttelse af personoplysninger (Wet bescherming persoonsgegevens). Endvidere er der fastsat særlige lovbestemmelser for at efterkomme direktivet. Det gælder således den lov, som er omtvistet i hovedsagen, nemlig lov om den kommunale forvaltningshåndtering af personoplysninger (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, nr. 494, herefter »Wet GBA«).
20 Artikel 103, stk. 1, i Wet GBA bestemmer, at kommunalbestyrelsen, såfremt den pågældende anmoder derom, inden fire uger skal give denne skriftlig meddelelse om de oplysninger vedrørende den pågældende, som kommunalforvaltningen har videregivet til en person eller en tredjemand i løbet af det år, der er gået forud for anmodningen.
21 Ifølge artikel 110 i Wet GBA skal kommunalbestyrelsen gøre optegnelser om videregivelsen af oplysninger inden for det år, som følger efter oplysningerne videregivelse, medmindre denne fremgår på anden måde af databasen.
22 Det fremgår af kommunalbestyrelsens skriftlige indlæg, at de oplysninger, som kommunen opbevarer, bl.a. vedrører navn, fødselsdato, administrativt registreringsnummer, personnummer, den kommune, hvori den pågældende er registreret, adresse og dato for registreringen i kommunen, civilstand, værgemål, forældremyndighed, nationalitet og udlændinges opholdsret.
Tvisten i hovedsagen og det præjudicielle spørgsmål
23 Ved skrivelse af 26. oktober 2005 anmodede M.E.E. Rijkeboer kommunalbestyrelsen om at informere ham om alle de tilfælde, hvor kommunalforvaltningen havde videregivet oplysninger vedrørende ham til andre inden for de sidste to år forud for hans anmodning. Han ønskede at blive gjort bekendt med, hvilke personer disse oplysninger var videregivet til, og indholdet af de videregivne oplysninger. Rijkeboer, som var flyttet til en anden kommune, ønskede navnlig at vide, til hvem oplysning om hans gamle adresse var videregivet.
24 Ved sine afgørelser af 27. oktober og 29. november 2005 efterkom kommunalbestyrelsen kun delvis Rijkeboers anmodning, idet den i medfør af artikel 103, stk. 1, i Wet GBA kun meddelte ham den pågældende information vedrørende det sidste år forud for hans anmodning.
25 Videregivelsen af oplysninger registreres i et system, der benævnes »Logisch Ontwerp GBA«. Det er et automatiseret system, som er oprettet af Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (ministeriet for indenrigsanliggender og anliggender inden for Kongeriget Nederlandene). Det fremgår af anmodningen om præjudiciel afgørelse, at den information, som Rijkeboer anmodede om, og som vedrørte tiden længere tilbage end året forud for hans anmodning, automatisk var blevet slettet i overensstemmelse med bestemmelserne i artikel 110 i Wet GBA.
26 Rijkeboer indgav en klage til kommunalbestyrelsen over afslaget på at give ham information om, til hvem der var videregivet oplysninger vedrørende ham for tiden længere tilbage end året forud for hans anmodning. Klagen blev imidlertid afvist ved afgørelse af 13. februar 2006, hvorefter Rijkeboer anlagde sag ved Rechtbank Rotterdam.
27 Denne ret gav ham medhold i sagen med den begrundelse, at den i artikel 103, stk. 1, i Wet GBA indeholdte begrænsning af retten til at modtage information om de oplysninger, som er videregivet til modtagere, til kun at omfatte året forud for anmodningen, er uforenelig med direktivets artikel 12. Rechtbank Rotterdam fastslog endvidere, at undtagelserne i direktivets artikel 13 ikke finder anvendelse i denne sag.
28 Kommunalbestyrelsen ankede dommen til Raad van State, som har fastslået, at direktivets artikel 12 vedrørende retten til indsigt i oplysninger ikke fastsætter nogen frist for udøvelse af denne ret. Efter Raad van States opfattelse indebærer denne bestemmelse dog ikke nødvendigvis, at den nationale lovgiver er udelukket fra at fastsætte en tidsmæssig begrænsning for den pågældende persons ret til at modtage information om, til hvem der er videregivet personoplysninger vedrørende den pågældende, men er i tvivl herom.
29 Raad van State har derfor besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:
»Er den tidsmæssige begrænsning i adgangen til at modtage information om, til hvem personoplysninger er videregivet, som er fastsat i [loven] til et år forud for indgivelsen af anmodningen herom, forenelig med [direktivets] artikel 12, litra a), eventuelt sammenholdt med direktivets artikel 6, stk. 1, litra e), og proportionalitetsprincippet?«
Det præjudicielle spørgsmål
30 Indledningsvis bemærkes, at det inden for rammerne af det retlige samarbejde, som er fastsat ved artikel 234 EF, tilkommer Domstolen at fortolke bestemmelser i fællesskabsretten. Derimod tilkommer det de nationale domstole at fortolke de nationale retsregler (jf. dom af 14.2.2008, sag C-449/06, Gysen, Sml. I, s. 553, præmis 17).
31 Det spørgsmål, som er stillet af den forelæggende ret, må derfor forstås således, at det nærmere betegnet ønskes oplyst, om det ifølge direktivet, og navnlig artikel 12, litra a), er muligt at begrænse en persons adgang til information om modtagerne eller kategorierne af modtagere af personoplysninger vedrørende den pågældende og information om indholdet af de videregivne oplysninger, til en etårsperiode forud for anmodningen om adgang til denne information.
32 Den forelæggende ret har fremhævet to bestemmelser i direktivet, nemlig artikel 6, stk. 1, litra e), om opbevaring af personoplysninger og artikel 12, litra a), om ret til indsigt i disse oplysninger. Derimod har hverken den forelæggende ret eller nogen af de parter, som har afgivet indlæg ved Domstolen, påberåbt sig undtagelserne i direktivet artikel 13.
33 Direktivets artikel 6 vedrører de krav, der stilles til oplysningerne. Ifølge stk. 1, litra e), skal medlemsstaterne fastsætte bestemmelser til sikring af, at personoplysninger ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller med henblik på hvilke de behandles på et senere tidspunkt. Oplysningerne skal altså slettes, når disse formål er opfyldt.
34 Direktivets artikel 12, litra a), bestemmer, at medlemsstaterne skal give den registrerede ret til indsigt i disse personoplysninger og til at få oplyst modtagerne eller kategorierne af modtagere af sådanne oplysninger, uden at bestemmelsen angiver nogen tidsfrist herfor.
35 Disse to artikler har altså til formål at beskytte den registrerede. Den forelæggende ret søger oplyst, om der er en forbindelse mellem disse to artikler i den forstand, at retten til at modtage information om modtagerne eller kategorierne af modtagere af personoplysninger og om indholdet af de videregivne oplysninger kan være afhængig af, hvor længe oplysningerne opbevares.
36 Det fremgår af indlæggene for Domstolen, at der er forskellige opfattelser vedrørende forbindelsen mellem disse to bestemmelser.
37 Kommunalbestyrelsen og den nederlandske, tjekkiske og spanske regering samt Det Forenede Kongeriges regering har gjort gældende, at retten ifølge direktivets artikel 12, litra a), til at modtage information om modtagerne eller modtagerkategorierne kun gælder for nutiden og ikke for fortiden. Når oplysningerne er blevet slettet i overensstemmelse med den nationale lovgivning, kan den registrerede ikke længere få adgang dertil. Denne følgevirkning er ikke i strid med direktivet.
38 Kommunalbestyrelsen og den nederlandske regering har nærmere gjort gældende, at bestemmelsen i artikel 103, stk. 1, i Wet GBA, hvorefter kommunen, når den pågældende anmoder derom, skal informere denne om de oplysninger, som er videregivet til andre inden for det sidste år forud for hans anmodning, er mere vidtgående end direktivets krav.
39 Kommissionen og den græske regering har gjort gældende, at retten til indsigt ifølge direktivet ikke blot gælder for nutiden, men også for perioden forud for anmodningen om indsigt. De er dog uenige om det præcise omfang af den periode, retten til indsigt omfatter.
40 For at vurdere omfanget af den ret til indsigt, som tilkommer den registrerede ifølge direktivet, skal det først afgøres, hvilke oplysninger retten til indsigt omfatter, og formålet med direktivets artikel 12, litra a), skal derpå vurderes i lyset af målene med direktivet.
41 Der er to kategorier af oplysninger, som har relevans i et tilfælde som Rijkeboers.
42 Den første kategori af oplysninger vedrører de private oplysninger, som en kommune råder over vedrørende en person, såsom dennes navn og adresse, der i det foreliggende tilfælde udgør basisoplysningerne. Det fremgår af de mundtlige indlæg, som er afgivet af kommunalbestyrelsen og den nederlandske regering, at disse oplysninger kan opbevares i lang tid. De udgør »personoplysninger« i den forstand, hvori dette udtryk er anvendt i direktivets artikel 2, litra a), da der er tale om oplysninger om en identificeret eller identificerbar fysisk person (jf. i denne retning dom af 20.5.2003, forenede sager C-465/00, C-138/01 og C-139/01, Österreichischer Rundfunk m.fl., Sml. I, s. 4989, præmis 64, af 6.11.2003, sag C-101/01, Lindqvist, Sml. I, s. 12971, præmis 24, og af 16.12.2008, sag C-524/06, Huber, endnu ikke trykt i Samling af Afgørelser, præmis 43).
43 Den anden kategori af oplysninger vedrører information om modtagerne eller kategorierne af modtagere, som disse basisoplysninger er videregivet til, og om indholdet af disse oplysninger, og vedrører derfor behandlingen af basisoplysningerne. Ifølge den nationale lovgivning, som er omtvistet i hovedsagen, opbevares denne information kun et år.
44 Den tidsmæssige begrænsning af retten til at modtage information om modtageren eller modtagerne af personoplysninger og om indholdet af de videregivne oplysninger, som er omhandlet i hovedsagen, vedrører altså denne anden kategori af oplysninger.
45 For at afgøre, om en sådan tidsmæssig begrænsning er lovlig efter direktivets artikel 12, litra a), må denne artikel fortolkes på grundlag af sit formål vurderet i lyset af målene med direktivet.
46 Ifølge artikel 1 er det direktivets formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger og dermed muliggøre den fri udveksling af sådanne oplysninger mellem medlemsstaterne.
47 Betydningen af at beskytte privatlivets fred er fremhævet i direktivets anden og tiende betragtning og understreget i Domstolens praksis (jf. i denne retning dommen i sagen Österreichischer Rundfunk m.fl., præmis 70, og Lindqvist-dommen, præmis 97 og 99, samt dom af 29.1.2008, sag C-275/06, Promusicae, Sml. I, s. 271, præmis 63, og af 16.12.2008, sag C-73/07, Satakunnan Markkinapörssi og Satamedia, endnu ikke trykt i Samling af Afgørelser, præmis 52).
48 I øvrigt skal principperne for denne beskyttelse, som det fremgår af direktivets 25. betragtning, afspejles dels i de forskellige forpligtelser, som påhviler dem, der er ansvarlige for databehandlingen – hvilke forpligtelser bl.a. vedrører kravene til oplysningerne, som er emnet for direktivets artikel 6 – dels i retten for de personer, hvis personoplysninger gøres til genstand for behandling, til at blive underrettet om en behandling, til indsigt i disse oplysninger, til at kunne kræve oplysningerne berigtiget, men også til under visse omstændigheder at gøre indsigelse mod en behandling.
49 Denne ret til respekt for privatlivets fred indebærer, at den registrerede skal kunne have sikkerhed for, at hans personoplysninger behandles korrekt og lovligt, dvs. navnlig, at basisoplysningerne om den pågældende er korrekte og videregives til nogen, som er berettiget til at modtage dem. Som det udtales i direktivets 41. betragtning, skal den registrerede have ret til indsigt i de oplysninger om ham selv, som gøres til genstand for behandling, for at kunne foretage den nødvendige efterprøvelse heraf.
50 Hvad dette spørgsmål angår bestemmer direktivets artikel 12, litra a), at den registrerede har ret til indsigt i basisoplysningerne og til at modtage information om modtagerne eller kategorierne af modtagerne af oplysningerne.
51 Denne ret til indsigt er nødvendig, for at den registrerede kan udøve sine rettigheder i henhold til direktivets artikel 12, litra b) og c), til at udvirke, dels at oplysninger, som ikke er blevet behandlet i overensstemmelse med direktivet, berigtiges, slettes eller blokeres af den registeransvarlige [litra b)], dels at den registeransvarlige underretter tredjemand om sådanne berigtigelser, slettelser eller blokeringer, medmindre underretning viser sig umulig eller uforholdsmæssig vanskelig [litra c)].
52 Denne ret til indsigt er også nødvendig for, at den registrerede kan udøve sin ret efter direktivets artikel 14 til at gøre indsigelse mod behandling af hans personoplysninger eller af hans adgang efter direktivets artikel 22 og 23 til at iværksætte retsmidler, såfremt han har lidt skade.
53 Hvad angår retten til at modtage information om modtagerne eller kategorierne af modtagere af basisoplysninger og om indholdet af de videregivne oplysninger præciserer direktivet ikke, om denne ret vedrører fortiden, og i givet fald hvilken periode i fortiden.
54 I den forbindelse må det konstateres, at denne ret nødvendigvis må vedrøre fortiden, såfremt den skal sikre den effektive virkning af de bestemmelser, som er nævnt i denne doms præmis 51 og 52. Hvis ikke dette var tilfældet, ville den pågældende ikke være i stand til effektivt at udøve sin ret til at sikre, at de oplysninger, som angiveligt er ulovlige eller urigtige, berigtiges, slettes eller blokeres, eller til at anlægge sag og opnå erstatning for den forvoldte skade.
55 Spørgsmålet i sagen er, hvilket omfang denne ret har hvad angår fortiden.
56 Domstolen har tidligere fastslået, at direktivets bestemmelser er relativt generelle, da de skal kunne finde anvendelse på mange, meget forskellige situationer, og da direktivet indeholder bestemmelser, der er kendetegnet ved en vis fleksibilitet, hvor det i mange tilfælde er overladt til medlemsstaterne at fastlægge detaljerne eller at vælge mellem forskellige muligheder (jf. Lindqvist-dommen, præmis 83). Domstolen har også anerkendt, at medlemsstaterne i mange henseender har et betydeligt råderum ved direktivet gennemførelse (jf. Lindqvist-dommen, præmis 84). Dette råderum, som bekræftes hvad angår gennemførelsen af direktivets artikel 12, litra a), er dog ikke ubegrænset.
57 Når der fastsættes en frist vedrørende retten til at modtage information om modtagerne eller kategorierne af modtagere af videregivne oplysninger og om indholdet af disse oplysninger, skal den fastsættes på en sådan måde, at den registrerede har mulighed for at udøve de forskellige rettigheder, der tilkommer ham ifølge direktivet, og som er nævnt i denne doms præmis 51 og 52.
58 Perioden for opbevaringen af basisoplysningerne kan udgøre et anvendeligt kriterium uden dog at være afgørende.
59 Direktivets anvendelsesområde er nemlig meget bredt, som Domstolen tidligere har anerkendt (jf. dommen i sagen Österreichischer Rundfunk m.fl., præmis 43, og Lindqvist-dommen, præmis 88), og de personoplysninger, som er omfattet af direktivet, er meget forskellige. Perioden for opbevaring af disse oplysninger, som i direktivets artikel 6, stk. 1, litra e), er angivet at være afhængig af de formål, hvortil oplysningerne indsamles, eller med henblik på hvilke de behandles på et senere tidspunkt, kan derfor variere. Når perioden for opbevaringen af basisoplysningerne er meget lang, kan det i visse tilfælde begrænse den registreredes interesse i at udnytte de aktionsmuligheder og retsmidler, som er nævnt i denne doms præmis 57. Hvis der f.eks. er mange modtagere af sådanne oplysninger, eller disse videregives med stor hyppighed til et begrænset antal modtagere, vil forpligtelsen til at opbevare informationen om modtagerne eller kategorier af modtagere og om indholdet af de videregivne oplysninger i lige så lang tid kunne medføre en uforholdsmæssig stor byrde for den registeransvarlige.
60 Direktivet kræver dog ikke, at medlemsstaterne pålægger den registeransvarlige sådanne forpligtelser.
61 Således fastsætter direktivets artikel 12, litra c), en udtrykkelig begrænsning i den registeransvarliges forpligtelse til at underrette tredjemænd om berigtigelser, slettelser eller blokeringer, nemlig når underretning viser sig umulig eller uforholdsmæssig vanskelig.
62 Ifølge andre af direktivets bestemmelser kan der tages hensyn til, at visse foranstaltninger kan være uforholdsmæssige. Hvad angår forpligtelsen til at informere den registrerede, udtales det i direktivets 40. betragtning, at der kan tages hensyn til antallet af registrerede og til oplysningernes alder. Endvidere bestemmes det i direktivets artikel 17, som vedrører behandlingssikkerheden, at medlemsstaterne skal fastsætte bestemmelser om, at den registeransvarlige iværksætter de fornødne tekniske og organisatoriske foranstaltninger til at tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som behandlingen indebærer, og arten af de oplysninger, som skal beskyttes, når henses til det aktuelle tekniske niveau og de omkostninger, som er forbundet med foranstaltningernes iværksættelse.
63 Der bør anlægges tilsvarende betragtninger hvad angår fastsættelsen af en frist for retten til at modtage information om modtagerne eller kategorierne af modtagere og om indholdet af de videregivne oplysninger. Ud over de betragtninger, som er nævnt i denne doms præmis 57, kan medlemsstaterne således tage hensyn til flere omstændigheder, bl.a. de nationale retsforskrifter vedrørende søgsmålsfrister, basisoplysningernes mere eller mindre følsomme karakter, varigheden af den periode, hvorunder oplysningerne opbevares, og antallet af de pågældende modtagere.
64 Det tilkommer således medlemsstaterne at fastsætte en frist for opbevaringen af information om modtagerne eller kategorierne af modtagere og om indholdet af de videregivne oplysninger, samt at fastsætte bestemmelser om adgangen til denne information, som udgør en rimelig afvejning af, på den ene side, hensynet til den registreredes interesse i beskyttelse af hans privatliv bl.a. i kraft af retten til berigtigelse, slettelse og blokering af oplysninger, såfremt disse er blevet behandlet i strid med direktivet, samt indsigelsesretten og adgangen til at iværksætte retsmidler og, på den anden side, hensynet til den byrde, som forpligtelsen til at opbevare denne information udgør for den registeransvarlige.
65 I øvrigt bør der ved fastsættelsen af denne frist også tages hensyn til forpligtelserne som følge af direktivets artikel 6, litra e), til at fastsætte bestemmelser om, at personoplysninger ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller med henblik på hvilke de behandles på et senere tidspunkt.
66 I den foreliggende sag udgør en lovgivning, som begrænser perioden for opbevaring af information om modtagerne eller kategorierne af modtagere af oplysninger og indholdet af de videregivne oplysninger til et år og begrænser adgangen til denne information til samme periode, selv om basisoplysningerne opbevares i meget længere tid, ikke en rimelig afvejning af de pågældende interesser og forpligtelser, medmindre det godtgøres, at en længere opbevaring af denne information vil udgøre en uforholdsmæssig stor byrde for den registeransvarlige. Det tilkommer dog den nationale ret at foretage de nødvendige efterprøvelser i lyset af de betragtninger, som er nævnt i de foregående præmisser.
67 Når henses til de foregående betragtninger, kan det argument, som er gjort gældende af visse medlemsstater, og hvorefter anvendelsen af direktivets artikel 10 og 11 medfører, at det ikke er nødvendigt hvad angår fortiden at give adgang til information om modtagerne eller kategorierne af modtagere i henhold til direktivet artikel 12, litra a), ikke tages til følge.
68 Det må nemlig fastslås, at der ifølge artikel 10 og 11 påhviler den registeransvarlige eller dennes repræsentant en række forpligtelser til på visse betingelser at informere den registrerede bl.a. om modtagerne eller kategorierne af modtagere af oplysninger. Den, som er ansvarlig for oplysningerne, eller dennes repræsentant skal af egen drift meddele den registrerede denne information bl.a. på tidspunktet for indsamlingen af oplysningerne eller tidspunktet for registreringen heraf, hvis oplysningerne ikke indsamles direkte hos den registrerede, eller eventuelt på tidspunktet for videregivelsen af disse oplysninger til en tredjemand.
69 De forpligtelser, som disse bestemmelser indebærer, er således forskellige fra dem, der følger af direktivet artikel 12, litra a). De indebærer derfor ingenlunde nogen afsvækkelse af medlemsstaternes forpligtelse til at fastsætte bestemmelser om, at den registeransvarlige skal give den registrerede adgang til information om modtagerne eller kategorierne af modtagere og om de videregivne oplysninger, når den registrerede beslutter at gøre brug af sin ret til indsigt ifølge artikel 12, litra a). Medlemsstaterne skal vedtage foranstaltninger, såvel til gennemførelse af bestemmelserne i direktivets artikel 10 og 11 om oplysningspligten som bestemmelserne i direktivets artikel 12, litra a), uden at de førstnævnte bestemmelser må afsvække forpligtelserne efter de sidstnævnte bestemmelser.
70 Det forelagte spørgsmål må derfor besvares på følgende måde:
– Ifølge direktivets artikel 12, litra a), er medlemsstaterne forpligtet til at fastsætte bestemmelser om retten til at modtage information vedrørende modtagerne eller kategorierne af modtagere af oplysninger og om indholdet af den videregivne information ikke blot hvad angår nutiden, men også hvad angår fortiden. Det tilkommer medlemsstaterne at fastsætte en frist for opbevaringen af denne information og om en tilsvarende adgang hertil, som udgør en rimelig afvejning mellem, på den ene side, hensynet til den registreredes interesse i beskyttelse af hans privatliv bl.a. i kraft af de aktionsmuligheder og retsmidler, som er fastsat i direktivet, og, på den anden side, hensynet til den byrde, som forpligtelsen til at opbevare denne information udgør for den registeransvarlige
– En lovgivning, som begrænser perioden for opbevaring af information om modtagerne eller kategorierne af modtagere af oplysninger og indholdet af de videregivne oplysninger til et år og begrænser adgangen til denne information til samme periode, selv om basisoplysningerne opbevares i meget længere tid, udgør ikke en rimelig afvejning af de pågældende interesser og forpligtelser, medmindre det godtgøres, at en længere opbevaring af denne information vil udgøre en uforholdsmæssig stor byrde for den registeransvarlige. Det tilkommer den nationale ret at foretage de nødvendige efterprøvelser.
Sagens omkostninger
71 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagens omkostninger. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
Ifølge artikel 12, litra a), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger er medlemsstaterne forpligtet til at fastsætte bestemmelser om retten til at modtage information vedrørende modtagerne eller kategorierne af modtagere af oplysninger og om indholdet af den videregivne information ikke blot hvad angår nutiden, men også hvad angår fortiden. Det tilkommer medlemsstaterne at fastsætte en frist for opbevaringen af denne information og om en tilsvarende adgang hertil, som udgør en rimelig afvejning mellem, på den ene side, hensynet til den registreredes interesse i beskyttelse af hans privatliv bl.a. i kraft af de aktionsmuligheder og retsmidler, som er fastsat i direktiv 95/46, og, på den anden side, hensynet til den byrde, som forpligtelsen til at opbevare denne information udgør for den registeransvarlige.
En lovgivning, som begrænser perioden for opbevaring af information om modtagerne eller kategorierne af modtagere af oplysninger og indholdet af de videregivne oplysninger til et år og begrænser adgangen til denne information til samme periode, selv om basisoplysningerne opbevares i meget længere tid, udgør ikke en rimelig afvejning af de pågældende interesser og forpligtelser, medmindre det godtgøres, at en længere opbevaring af denne information vil udgøre en uforholdsmæssig stor byrde for den registeransvarlige. Det tilkommer den nationale ret at foretage de nødvendige efterprøvelser.
Underskrifter