DOMSTOLENS DOM (andra avdelningen)
den 20 december 2017 (*)
”Begäran om förhandsavgörande – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46/EG – Artikel 2 a – Begreppet personuppgifter – Skriftliga svar som en examinand lämnat på ett prov för yrkesexamen – Examinatorns anteckningar angående svaren – Artikel 12 a och b – Omfattningen av den registrerades rätt till tillgång respektive att erhålla rättelse”
I mål C‑434/16,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Supreme Court (Högsta domstolen, Irland) genom beslut av den 29 juli 2016, som inkom till domstolen den 4 augusti 2016, i målet
Peter Nowak
mot
Data Protection Commissioner,
meddelar
DOMSTOLEN (andra avdelningen)
sammansatt av avdelningsordföranden M. Ilešič (referent) samt domarna A. Rosas, C. Toader, A. Prechal, och E. Jarašiūnas,
generaladvokat: J. Kokott,
justitiesekreterare: handläggaren M. Aleksejev,
efter det skriftliga förfarandet och förhandlingen den 22 juni 2017,
med beaktande av de yttranden som avgetts av:
– Peter Nowak, genom G. Rudden, solicitor, och N. Travers, SC,
– Data Protection Commissioner, genom D. Young, solicitor, och P. A. McDermott, SC,
– Irland, genom E. Creedon, L. Williams och A. Joyce, samtliga i egenskap av ombud, biträdda av A. Caroll, barrister,
– Tjeckiens regering, genom M. Smolek och J. Vláčil, båda i egenskap av ombud,
– Greklands regering, genom G. Papadaki och S. Charitaki, båda i egenskap av ombud,
– Ungerns regering, genom M.Z. Fehér och A. Pálfy, båda i egenskap av ombud,
– Österrikes regering, genom G. Eberhard, i egenskap av ombud,
– Polens regering, B. Majczyna, i egenskap av ombud,
– Portugals regering, genom L. Inez Fernandes, M. Figueire, I. Oliveira, samtliga i egenskap av ombud,
– Europeiska kommissionen, genom D. Nardi och H. Kranenborg, båda i egenskap av ombud,
och efter att den 20 juli 2017 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).
2 Begäran har framställts i ett mål mellan Peter Nowak och Data Protection Commissioner (datatillsynsmyndigheten, Irland) angående myndighetens beslut att inte ge Peter Nowak tillgång till ett rättat exemplar av ett prov som han hade skrivit, med hänvisning till att uppgifterna i provet inte utgjorde personuppgifter.
Tillämpliga bestämmelser
Unionsrätt
Direktiv 95/46
3 Enligt artikel 1 i direktiv 95/46 är syftet med direktivet att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, samt att avlägsna begränsningar av det fria flödet av personuppgifter. I skälen 25, 26 och 41 i direktivet anges följande:
”(25) Principerna för skyddet måste avspeglas dels i de förpliktelser som åvilar personer, myndigheter, företag, institutioner, organ eller andra registeransvariga särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de omständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.
(26) Principerna för skyddet måste gälla all information som rör en identifierad eller identifierbar person. För att avgöra om en person är identifierbar skall härvid beaktas alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas antingen av den registeransvarige eller av någon annan person. Skyddsprinciperna gäller inte för uppgifter som gjorts anonyma på ett sådant sätt att den registrerade inte längre är identifierbar. …
…
(41) Alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling, för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten. …”
4 Begreppet personuppgifter är definierat på följande sätt i artikel 2 a i direktivet:
”personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,”
5 Artikel 6 i direktivet ingår i avdelning I med rubriken ”Principer om uppgifternas kvalitet”, vilken i sin tur ingår i kapitel II. Artikeln har följande lydelse:
”1. Medlemsstaterna skall föreskriva att personuppgifter
a) skall behandlas på ett korrekt och lagligt sätt,
b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder,
c) skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas,
d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,
e) förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.
2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”
6 Artikel 7 i direktivet ingår i avdelning II med rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”, vilken i sin tur ingår i kapitel II. Artikeln har följande lydelse:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
a) den registrerade otvetydigt har lämnat sitt samtycke,
eller
…
c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller
eller
…
e) behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut,
eller
f) behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.”
7 I artikel 12 i direktivet, med rubriken ”Rätt till tillgång”, föreskrivs följande:
”Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
a) utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader
– få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkategorierna till vilka uppgifterna utlämnas,
– få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer,
…
b) i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga,
c) få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning.”
8 I artikel 13 i direktivet, som har rubriken ”Undantag och begränsningar”, föreskrivs följande:
”1. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till
…
g) skydd av den registrerades eller andras fri- och rättigheter.
…”
9 I artikel 14 i direktiv 95/46, med rubriken ”Den registrerades rätt att göra invändningar”, föreskrivs följande:
”Medlemsstaterna skall tillförsäkra den registrerade rätten att
a) åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter,
…”
10 Artikel 28 i direktivet har rubriken ”Tillsynsmyndigheter” och föreskriver följande:
”1. Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv.
…
3. Varje tillsynsmyndighet ska framför allt ha
– undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,
– effektiva befogenheter att ingripa, som till exempel att kunna … besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling …
…
Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol.
4. Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen ska informeras om vilka följder klagomålet har fått.
…”
Förordning (EU) 2016/679
11 Enligt artikel 99.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) ska den förordningen, i enlighet med dess artikel 99.2, tillämpas från och med den 25 maj 2018. I artikel 94.1 i förordningen föreskrivs att direktiv 95/46 ska upphöra att gälla med verkan från den dagen.
12 Artikel 15 i förordningen har rubriken ”Den registrerades rätt till tillgång”. I den artikeln föreskrivs följande:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna …
…
3. Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. …
4. Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.”
13 I artikel 23 i förordning nr 2016/679, med rubriken ”Begränsningar”, föreskrivs följande:
”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 …, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa
…
e) andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,
…
i) skydd av den registrerade eller andras rättigheter och friheter,
…”
Irländsk rätt
14 Direktiv 95/46 har införlivats med irländsk rätt genom Data Protection Act 1988 (1988 års dataskyddslag), i dess lydelse enligt Data Protection (Amendment) Act 2003 (2003 års lag om ändring av dataskyddslagen). I section 1.1 i den lagen definieras personuppgifter på följande sätt:
”Varje uppgift som avser en identifierad eller identifierbar – genom uppgiften i sig eller i förening med annan information – levande fysisk person som är i den registeransvariges besittning eller som kan komma i dennes besittning.”
15 Rätten till tillgång regleras i section 4 i dataskyddslagen. Section 4.6 avser särskilt ansökningar om tillgång till provresultat och har följande lydelse:
”a) En ansökan avseende ett provresultat, vilken en person som deltagit i provet gör med stöd av subsection 1 i denna section ska anses vara framställd
i) den dag då provresultaten först offentliggjordes, eller
ii) dagen för ansökan,
beroende på vilken dag som är närmast i tiden, …
b) med avseende på denna section förstås med ’prov’ varje process som visar en persons kunskap, intelligens, färdighet eller förmåga i förhållande till personens prestation vid utförande av test, arbete eller annan aktivitet.”
16 Enligt section 6 i dataskyddslagen har den registrerade rätt att få tillgång till och erhålla rättelse av personuppgifter som behandlas på ett sätt som inte stämmer överens med den lagen.
17 I section 10.1 b i) i dataskyddslagen föreskrivs en skyldighet för datatillsynsmyndigheten att utreda ett klagomål, ”såvida myndigheten inte finner att klagomålet är grundlöst eller har ingetts mot bättre vetande”.
Målet vid den nationella domstolen och tolkningsfrågorna
18 Peter Nowak var revisorspraktikant och hade fått godkänt på första steget av revisorsexamen samt på tre prov i andra steget av revisorsexamen, vilka ordnades av Institute of Chartered Accountants of Ireland (institutet för auktoriserade revisorer i Irland, nedan kallat ICAI). Han fick dock underkänt på provet i strategisk finansiering och internredovisning, ett prov under vilket examinanderna hade möjlighet att använda litteratur (ett så kallat open book-prov).
19 Efter att hösten 2009 ha fått underkänt på detta prov en fjärde gång begärde Peter Nowak att provresultatet skulle omprövas. ICAI fann i mars 2010 vid omprövningen inte anledning att ändra sin bedömning. Peter Nowak ingav i maj 2010 med stöd av section 4 i dataskyddslagen en ansökan till ICAI om tillgång till de personuppgifter som rörde honom, vilka innehades av institutet.
20 I skrivelse av den 1 juni 2010 lämnade ICAI ut sjutton dokument till Peter Nowak, men lämnade inte ut hans prov med motiveringen att uppgifterna i provet inte utgjorde ”personuppgifter” i den mening som avses i dataskyddslagen.
21 Peter Nowak vände sig till datatillsynsmyndigheten i syfte att ifrågasätta huruvida det fanns grund för beslutet att inte lämna ut hans prov. I juni 2010 meddelade datatillsynsmyndigheten Peter Nowak i ett e-postmeddelande att ”att det i allmänhet inte görs någon bedömning av skriftliga prov [med avseende på skyddet av personuppgifter], eftersom denna typ av handlingar inte utgör personuppgifter”.
22 Datatillsynsmyndighetens svar följdes av en skriftväxling mellan Peter Nowak och myndigheten, vilken avslutades den 1 juli 2010 genom att Peter Nowak inkom med ett formellt klagomål.
23 Dataskyddsmyndigheten underrättade genom e-postmeddelande av den 21 juli 2010 Peter Nowak om att det, efter en genomgång av handlingarna i ärendet, inte framkommit något materiellt åsidosättande av dataskyddslagen och att myndigheten därför, med stöd av section 10.1 b i) i den lagen i vilken det finns bestämmelser om grundlösa klagomål och klagomål som getts in mot bättre vetande, beslutat att inte utreda saken vidare. I samma meddelande underrättades Peter Nowak om att de handlingar som denne hade begärt rättelse av ”inte utgjorde personuppgifter på vilka section 6 i dataskyddslagen var tillämplig”.
24 Peter Nowak överklagade beslutet till Circuit Court (Regiondomstolen, Irland). Circuit Court (Regiondomstolen) avvisade överklagandet eftersom det inte fanns något överklagbart beslut på grund av att dataskyddsmyndigheten inte hade utrett klagomålet. Den domstolen fann i andra hand att överklagandet skulle ogillas, eftersom ett prov inte utgör en personuppgift.
25 Peter Nowak överklagade Circuit Courts (Regiondomstolen) dom till High Court (Förvaltningsöverdomstolen, Irland), vilken fastställde underinstansens dom. High Courts (Förvaltningsöverdomstolen) dom fastställdes i sin tur av Court of Appeal (Appellationsdomstolen, Irland). Supreme Court (Högsta domstolen, Irland) har meddelat prövningstillstånd och funnit att Peter Nowak överklagande av dataskyddsmyndighetens beslut kan tas upp till prövning.
26 Supreme Court (Högsta domstolen) hyser emellertid tvivel beträffande frågan huruvida ett prov kan utgöra en personuppgift i den mening som avses i direktiv 95/46 och har därför beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen.
”1) Kan uppgifter som har angetts i eller som svar av en examinand under ett prov för yrkesexamen utgöra personuppgifter i den mening som avses i direktiv 95/46?
2) Om svaret på fråga 1 är att samtliga eller vissa av dessa uppgifter kan utgöra personuppgifter i den mening som avses i direktiv 95/46, vilka omständigheter är relevanta för att i varje enskilt fall bedöma huruvida en sådan skrivning utgör personuppgift, och vilken vikt ska fästas vid sådana omständigheter?”
Prövning av tolkningsfrågorna
27 Den hänskjutande domstolen söker med sina frågor klarhet i huruvida artikel 2 a i direktiv 95/46 ska tolkas så, att under sådana omständigheter som de som är aktuella i det nationella målet utgör de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen och examinatorns eventuella anteckningar angående nämnda svar personuppgifter, i den mening som avses i den bestämmelsen.
28 I detta hänseende erinrar domstolen om att i artikel 2 a i direktiv 95/46 definieras begreppet personuppgifter som ”varje upplysning som avser en identifierad eller identifierbar fysisk person”. Enligt samma bestämmelse är den person identifierbar ”som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifieringsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet”.
29 En examinand för ett prov för yrkesexamen är en fysisk person som antingen kan identifieras direkt genom sitt namn eller indirekt genom ett identifieringsnummer, vilka anges på provet eller på ett omslag till detta.
30 I motsats till vad dataskyddsmyndigheten förefaller göra gällande saknar det i detta sammanhang betydelse huruvida examinatorn kan identifiera examinanden i samband med rättningen och betygsättningen av provet.
31 För att en uppgift ska kunna kvalificeras som ”personuppgift”, i den mening som avses i artikel 2 a i direktiv 95/46, krävs det inte att det är en enda person som innehar alla upplysningar som är nödvändiga för att identifiera den registrerade (dom av den 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punkt 43). Det förhåller sig dessutom så, att i det fallet att examinatorn inte känner till examinandens identitet vid rättningen av de svar som vederbörande har lämnat på ett prov, har den organisation som anordnar provet, i förevarande fall ICAI, tillgång till de uppgifter som krävs för att det utan svårighet eller tvivel ska vara möjligt att identifiera examinanden utifrån personens identifieringsnummer, vilket är angivet på provet eller på provets omslag, och sålunda knyta svaren till examinanden.
32 Det ska emellertid prövas huruvida de skriftliga svar som en examinand lämnar på ett prov för en yrkesexamen och examinatorns eventuella anteckningar angående svaren utgör uppgifter som avser examinanden i den mening som avses i artikel 2 a i direktiv 95/46.
33 Såsom domstolen redan har konstaterat är direktivets tillämpningsområde mycket stort och de personuppgifter som omfattas av direktivet är av olika slag (dom av 7 maj 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punkt 59 och där angiven rättspraxis).
34 Användningen i definitionen av begreppet personuppgifter i artikel 2 a i direktiv 95/46 av uttrycket ”varje upplysning” avspeglar nämligen unionslagstiftarens målsättning att ge begreppet en vidsträckt innebörd. Begreppet är inte avgränsat till känsliga upplysningar eller upplysningar av privat karaktär, utan kan innefatta samtliga upplysningar, såväl objektiva upplysningar som subjektiva upplysningar som lämnas i form av åsikter eller bedömningar, under förutsättning att upplysningarna ”avser” den registrerade.
35 Detta villkor är uppfyllt när upplysningen på grund av sitt innehåll, syfte eller verkan är knuten till en bestämd person.
36 Såsom Peter Nowak, den tjeckiska, den grekiska, den ungerska, den österrikiska och den portugisiska regeringen samt Europeiska kommissionen har gjort gällande utgör de skriftliga svar som en examinand lämnar på ett prov för en yrkesexamen uppgifter som är knutna till vederbörandes person.
37 För det första avspeglar svarens innehåll examinandens kunskapsnivå och kompetens inom ett visst område samt, i förekommande fall, vederbörandes tankeprocesser, omdöme och förmåga till kritiskt tänkande. Med avseende på prov med handskrivna svar innehåller svaren dessutom upplysningar om examinandens handstil.
38 Syftet med insamlandet av nämnda svar är att utvärdera examinandens yrkeskvalifikationer och lämplighet att utöva det aktuella yrket.
39 Användningen av dessa upplysningar, vilken bland annat tar sig uttryck i examinandens godkända eller icke godkända resultat på det aktuella provet, är ägnad att påverka personens rättigheter och intressen, eftersom den kan avgöra eller inverka på vederbörandes möjligheter att få tillträder till det önskade yrket eller den önskade anställningen.
40 Konstaterandet att de skriftliga svar som lämnas av en examinand på ett prov för en yrkesexamen utgör upplysningar som på grund av sitt innehåll, syfte eller verkan avser personen i fråga gäller för övrigt även i samma utsträckning när det såsom i förevarande fall är fråga om ett så kallat open book-prov.
41 Domstolen delar generaladvokatens bedömning i punkt 24 i förslaget till avgörande att varje form av prov syftar till att fastställa och bedöma en specifik persons, det vill säga examinandens, individuella prestationer och inte till att erhålla upplysningar som är fristående från personen i fråga, vilket är fallet till exempel vid representativa undersökningar.
42 Domstolen konstaterar att, i likhet med examinandens svar på provet, utgör examinatorns anteckningar angående svaren upplysningar som avser examinanden.
43 Innehållet i dessa anteckningar avspeglar examinatorns åsikt om eller bedömning av examinandens individuella prestationer på provet, och särskilt beträffande vederbörandes kunskaper och kompetens inom ett visst område. Dessutom har anteckningarna just till syfte att dokumentera examinatorns bedömning av examinandens prestationer och är ägnade att ha verkningar för den personen, såsom angetts i punkt 39 i förevarande dom.
44 Konstaterandet att examinatorns anteckningar avseende examinandens svar på provet utgör upplysningar som på grund av sitt innehåll, syfte och verkan är knutna till examinanden påverkas inte av det faktum att anteckningarna även utgör upplysningar som avser examinatorn.
45 Samma upplysning kan nämligen avse flera fysiska personer och således utgöra en personuppgift rörande dessa personer, i den mening som avses i artikel 2 a i direktiv 95/46, under förutsättning att personerna i fråga är identifierade eller identifierbara.
46 I motsats till vad dataskyddsmyndigheten och Irland har gjort gällande, påverkas för övrigt inte kvalificeringen som personuppgifter av de skriftliga svar som en examinand lämnat på ett prov för en yrkesexamen och examinatorns eventuella anteckningar angående svaren av den omständigheten att en sådan kvalificering i princip ger examinanden rätt enligt artikel 12 a och b i direktiv 95/46 till tillgång och att erhålla rättelse.
47 Såsom kommissionen anförde vid förhandlingen, ska det först erinras om att ett flertal principer och garantier som är föreskrivna i direktiv 95/46 är förbundna med denna kvalificering och är beroende av den.
48 Enligt skäl 25 i direktiv 95/46 avspeglas principerna för det skydd som föreskrivs i direktivet dels i de förpliktelser som åvilar registeransvariga personer särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de omständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.
49 Att frånkänna upplysningar avseende en examinand, vilka återfinns i de svar som vederbörande lämnat på ett prov för en yrkesexamen och i examinatorns anteckningar angående svaren, kvalificeringen som ”personuppgifter” skulle få till följd att dessa upplysningar fullständigt undandrogs från tillämpningen av principerna och garantierna för skydd av personuppgifter, särskilt principen i artikel 6 direktiv 95/46 om uppgifternas kvalitet och principerna i artikel 7 i samma direktiv för att behandling av uppgifterna ska vara tillåten, den registrerades rätt enligt artiklarna 12 och 14 i direktivet till tillgång, att erhålla rättelse och göra invändningar samt principen om tillsynsmyndighetens övervakning enligt artikel 28 i direktivet.
50 Såsom generaladvokaten har funnit i punkt 26 i sitt förslag till avgörande, har en examinand som skriver ett prov bland annat ett berättigat intresse grundat på skyddet för sitt privatliv av att kunna invända mot att de svar som vederbörande lämnat på provet och examinatorns anteckningar angående svaren behandlas utanför provförfarandet och i synnerhet att de, utan vederbörandes samtycke, överförs till utomstående eller till och med offentliggörs. På samma sätt är den enhet som ordnar provet skyldig att, i egenskap av registeransvarig, se till att svaren och anteckningarna lagras på ett sätt som förhindrar att utomstående olovligen kan få åtkomst till dem.
51 Domstolen konstaterar därefter att rätten till tillgång respektive att erhålla rättelse, vilka föreskrivs i artikel 12 a respektive b i direktiv 95/46, även kan vara motiverade med avseende på de skriftliga svar som en examinand lämnar på ett prov för en yrkesexamen och examinatorns eventuella anteckningar angående svaren.
52 Det är förvisso uppenbart att rätten att erhålla rättelse i artikel 12 b i direktiv 95/46 inte kan innebära att det är möjligt för en examinand att i efterhand ”rätta” ”felaktiga” svar.
53 Det följer nämligen av artikel 6.1 d i direktiv 95/46 att riktigheten och fullständigheten av personuppgifter ska bedömas i förhållande till det ändamål för vilket de samlades in. Beträffande en examinands svar på ett prov utgörs ändamålet av att kunna bedöma examinandens kunskaps- och kompetensnivå den dag då provet skrivs. Eventuella fel i svaren avspeglar emellertid just nämnda nivå. Sådana fel utgör följaktligen inte en felaktighet i den mening som avses i direktiv 95/46, vilken skulle ge rätt till rättelse enligt artikel 12 b i direktivet.
54 Däremot är det möjligt att finns fall där en examinands svar på ett prov och examinatorns anteckningar angående svaren visar sig vara felaktiga, i den mening som avses i artikel 6.1 d i direktiv 95/46, till exempel på grund av att prov av misstag har förväxlats och att den aktuella examinandens svar har bytts ut mot en annan examinands svar, eller på grund av att en del av arken med examinandens svar har förlagts och att svaren därför är ofullständiga, eller på grund av att examinatorns eventuella anteckningar inte på ett riktigt sätt dokumenterar bedömningen av examinandens svar.
55 Såsom generaladvokaten har påpekat i punkt 37 i sitt förslag till avgörande är det inte uteslutet att en examinand har rätt att med stöd av artikel 12 b i direktiv 95/46 begära att den registeransvarige efter en viss tid ska utplåna, det vill säga förstöra, vederbörandes svar på proven och examinatorns anteckningar angående svaren. Enligt artikel 6.1 e i direktiv 95/46 får personuppgifter förvaras på ett sätt som möjliggör identifiering av den registrerade endast under en så lång tid som är nödvändig för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Med hänsyn till ändamålet med de svar som en examinand lämnar i ett prov och ändamålet med examinatorns anteckningar angående svaren, förefaller en lagring av dessa svar och anteckningar i en form som gör det möjligt att identifiera examinanden emellertid i princip inte längre nödvändig när provförfarandet är slutligt avslutat och inte längre kan vara föremål för överklagande och svaren och anteckningarna därför inte längre har något bevisvärde.
56 I den utsträckning som de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen och examinatorns eventuella anteckningar angående svaren således kan vara föremål för en kontroll, bland annat av deras riktighet och behovet av att de lagras, i den mening som avses i artikel 6.1 d och e i direktiv 95/46, och kan vara föremål för rättelse eller utplåning enligt artikel 12 b i samma direktiv, tjänar det faktum att examinanden med stöd av artikel 12 a i direktivet ges rätt till tillgång till svaren och anteckningarna den målsättning med direktivet som består i att garantera skyddet för examinandens privatliv med avseende på behandlingen av hans eller hennes personuppgifter (se, e contrario, dom av den 17 juli 2014, YS m.fl., C‑141/12 och C‑372/12, EU:C:2014:2081, punkterna 45 och 46), oberoende av huruvida examinanden även har en sådan rätt till tillgång enligt den nationella lagstiftning som är tillämplig på provförfarandet.
57 Domstolen erinrar i detta sammanhang om att skyddet för den grundläggande rätten till skydd för privatlivet bland annat innebär att den registrerade kan försäkra sig om att de personuppgifter som avser vederbörande är riktiga och att de behandlas på ett sätt som är tillåtet. Såsom framgår av skäl 41 i direktiv 95/46 är det för att kunna utföra nödvändiga kontroller som den registrerade, enligt artikel 12 a i direktivet, förfogar över en rätt att få tillgång till uppgifter om honom eller henne som behandlas. Denna rätt att få tillgång är nödvändig bland annat för att möjliggöra för den registrerade att, i förekommande fall, få uppgifterna rättade, utplånade eller blockerade av den registeransvarige och därigenom utöva den rätt som avses i artikel 12 b i direktivet (dom av den 17 juli 2014, YS m.fl., C‑141/12 och C‑372/12, EU:C:2014:2081, punkt 44 och där angiven rättspraxis).
58 Domstolen konstaterar för det första att rätten till tillgång respektive att erhålla rättelse i artikel 12 a respektive b i direktiv 95/46 inte omfattar provfrågorna, vilka i sig inte utgör personuppgifter avseende examinanden.
59 För det andra föreskrivs det i såväl direktiv 95/46 som i förordning 2016/679 vissa begränsningar av dessa rättigheter.
60 Enligt artikel 13.1 g i direktiv 95/46 får medlemsstaterna genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som bland annat föreskrivs i artiklarna 6.1 och 12 i direktivet i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till skydd av den registrerades eller andras fri- och rättigheter.
61 Artikel 23.1 e i förordning 2016/679 utvidgar den förteckning över begränsningar, vilken för närvarande är föreskriven i artikel 13.1 i direktiv 95/46, till att omfatta ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse”. För övrigt föreskrivs det i punkt 4 i artikel 15 i förordning 2016/679, vilken reglerar den registrerades rätt till tillgång, att rätten till en kopia av personuppgifter inte ska inverka menligt på andras rättigheter och friheter.
62 Mot bakgrund av det anförda ska de ställda frågorna besvaras enligt följande. Artikel 2 a i direktiv 95/46 ska tolkas så, att under sådana omständigheter som de som är aktuella i det nationella målet utgör de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen och examinatorns eventuella anteckningar angående nämnda svar personuppgifter, i den mening som avses i den bestämmelsen.
Rättegångskostnader
63 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (andra avdelningen) följande:
Artikel 2 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att under sådana omständigheter som de som är aktuella i det nationella målet utgör de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen och examinatorns eventuella anteckningar angående nämnda svar personuppgifter, i den mening som avses i den bestämmelsen.
Underskrifter