ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
Г‑Н D. RUIZ-JARABO COLOMER
представено на 22 декември 2008 година(1)
Дело C‑553/07
College van burgemeester en wethouders van Rotterdam
срещу
г‑н E. E. Rijkeboer
(Преюдициално запитване, отправено от Nederlandse Raad van State (Нидерландия)
„Защита на данните — Основни права — Директива 95/46/ЕО — Право на достъп до лични данни — Заличаване — Разкриване на трети лица — Срок за упражняване на правото на достъп — Принцип на пропорционалност“
I – Въведение
1. Nederlandse Raad van State (Държавен съвет, Нидерландия) сезира Съда с преюдициален въпрос относно тълкуването на членове 6 и 12 от Директива 95/46/ЕО за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни(2). Това преюдициално запитване е отправено в деликатната област относно заличаването и предаването на трети лица на лични данни, пазени от общинската администрация, и относно произтичащото от това право на достъп до информацията, свързана с обработката на тези данни.
2. По принцип унищожаването на данните е защитно действие. От него обаче възникват различни последици, тъй като унищожаването на файловите системи също води до загуба на възможността за проследяване на използването им. В този смисъл лицето, което привидно се ползва от защита, се оказва и увредено, тъй като никога няма да научи по какъв начин лицето, което държи неговите лични данни, ги е използвало(3).
3. На фона на този дебат Съдът трябва да се произнесе по въпроса дали срокът за заличаване на данните изпълнява ролята на времева граница по отношение на правото на достъп до информация във връзка с обработването. При утвърдителен отговор следва да се определи дали периодът от една година е достатъчен и пропорционален за гарантиране на предвидените в Директива 95/46 права.
II – Фактите
4. Актът за преюдициално запитване сочи, че въз основа на архивите на общинската администрация г‑н E. E. Rijkeboer е поискал от College van burgemeester en wethouders van Rotterdam (Съвет на кмета и помощник-кметовете на Ротердам, наричан по-нататък „College“) списък със случаите на разкриване на трети лица на информация, която се отнася до него, извършено през предходните две години. С решения от 27 и 29 ноември 2005 г. College частично отхвърля искането на г‑н Rijkeboer, като му предоставя само данните за предходната година. Г‑н Rijkeboer, несъгласен с решението на общината, подава жалба, но и тя е отхвърлена на 13 февруари 2006 г.
5. След изчерпване на средствата за защита по административен ред Rechtbank Rotterdam (съдът в Ротердам) уважава жалбата на г‑н Rijkeboer. С решението си от 17 ноември 2006 г. Rechtbank Rotterdam отменя административното решение, с което се отхвърлят някои от исканията на заинтересованото лице, и разпорежда на College да приеме ново решение.
6. На 28 декември 2006 г. College подава жалба пред административното отделение на Raad van State, който с решение от 5 декември 2007 г. спира главното производство и сезира Съда с преюдициален въпрос.
III – Правна уредба
А – Общностна правна уредба
7. В член 6, параграфи 1 и 2 ЕС се провъзгласява, че Съюзът е обвързан от основните права по следния начин:
„Член 6
„1. Съюзът се основава на принципите на свободата, демокрацията, зачитането на правата на човека и основните свободи и на принципа на правовата държава, които са общи принципи за държавите членки.
2. Съюзът зачита основните права така, както те са гарантирани от Европейската конвенция за защита правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г., и така, както произтичат от конституционните традиции, общи за държавите членки, като общи принципи на правото на Общността.
[…]“
8. Основното право на зачитане на личния живот като общ принцип на общностното право намира нормативно изражение в Директива 95/46. Текстът, който принципно е възпроизведен в член 8 от Хартата на основните права на Европейския съюз, определя понятието „данни“ и предвижда заличаването им след определена по продължителност обработка. Член 2, буква а) и член 6 от посочената директива гласят:
„Член 2
[…]
а) „лични данни“ означава всяка информация, свързана с идентифицирано или подлежащо на идентификация лице („съответно физическо лице“); за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификационен номер или един или повече специфични признаци, отнасящи се до неговата физическа, физиологическа, психологическа, умствена, икономическа, културна или социална самоличност;
[…]
Член 6
1. Държавите членки предвиждат, че личните данни трябва:
[…]
д) да се поддържат във форма, която позволява идентифицирането на съответните физически лица за срок не по-дълъг от необходимия за целите, за които тези данни са събрани или обработени допълнително. Държавите членки предвиждат подходящи гаранции за личните данни, съхранявани за по-дълъг срок за исторически, статистически или научни цели.
[…]“
9. За да гарантират прозрачност при обработването на данни, членове 10 и 11 от Директива 95/46 предвиждат задължения за информиране на физическото лице, за което се отнасят данните, които зависят от това дали данните са събрани от това лице или не. Лицето, натоварено с администриране на файловите системи, по-специално изпълнява следните задължения:
„Член 10
Информация при събиране на данни от съответното физическо лице
Държавите членки предвиждат, че администраторът или неговият представител трябва да предостави на съответното физическо лице, от което се събират данни, отнасящи се за самия него, най-малкото следната информация, освен в случаите, когато то вече я притежава:
а) самоличността на администратора или на неговия представител, когато има такъв;
б) целта на обработването, за което данните са предназначени;
в) всякаква друга информация, например:
– получателите или категориите получатели на данни,
– дали отговорите на въпросите са задължителни или доброволни, както и евентуалните последици при липса на отговор,
– наличието на право на достъп и на право на поправка на данните, които се отнасят до него,
доколкото подобна допълнителна информация е необходима като се отчитат конкретните обстоятелства, при които се събират данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице.
Член 11
Информация в случаите, когато данните не са получени от съответното физическо лице
1. Когато данните не са получени от съответното физическо лице, държавите членки предвиждат, че администраторът или негов представител трябва, при записването на личните данни или ако се предвижда разкриването им на трета страна не по-късно от момента, когато данните се разкриват за пръв път, да предостави на съответното физическо лице най-малко следната информация, освен в случаите, когато то вече я притежава:
а) самоличността на администратора или на неговия представител, когато има такъв;
б) целите на обработването;
в) всякаква допълнителна информация, като:
– категориите данни,
– получателите или категориите получатели на данни,
– наличието на право на достъп и на право на поправка на данните, които се отнасят до него,
доколкото подобна информация е необходима, като се отчитат конкретните обстоятелства, при които се обработват данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице.
[…]“
10. Физическите лица, чиито данни се обработват, могат да следят за целесъобразното им използване, като упражняват своето „право на достъп“, основните характеристики на което са определени в член 12 от Директива 95/46. За целите на настоящото дело е релевантна първата предвидена в посочения член хипотеза:
„Член 12
Право на достъп
Държавите членки гарантират на всяко физическо лице правото да получи от администратора:
а) без [ограничение], на разумни интервали от време и без прекалено забавяне или разходи:
– потвърждение за това, дали отнасящи се до него данни се обработват, както и информация най-малкото за целите на тази обработка, категориите данни и получателите или категориите получатели, на които данните се разкриват,
– съобщение до него в разбираема форма относно данните, които се обработват, както и за всяка налична информация за техния източник,
– познания за логиката на всяка автоматизирана обработка на данни, отнасяща се до него, най-малкото за автоматизираните решения, упоменати в член 15, параграф 1;
[…].“
11. В хипотезите, изброени в член 13 от Директива 95/46, държавите членки могат да ограничат задължението за заличаване на данните, както и правото на достъп:
„Член 13
1. Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член 6, параграф 1, член 10, член 11, параграф 1, член 12 и член 21, ако подобно ограничаване представлява необходима мярка за гарантиране на:
а) националната сигурност;
б) отбраната;
в) обществената сигурност;
г) предотвратяването, разследването, разкриването и преследването на [престъпления] или за нарушения на етичните кодекси при регламентираните професии;
д) важни икономически и финансови интереси на държавата членка или на Европейския съюз, включително валутни, бюджетни и данъчни въпроси;
е) функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д);
ж) защита на съответното физическо лице или на правата и свободите на други лица.
[…]“
Б – Национална правна уредба
12. Директива 95/46 е транспонирана в нидерландския правен ред с помощта на общ текст — Закона за защита на личните данни (Wet bescherming persoonsgegevens). За целите на настоящото преюдициално производство този закон има вторично значение, тъй като общините са подчинени на специален правен режим, произтичащ от Закона за пазенето на лични данни от общинските администрации (Wet gemeentelijke basisadministratie persoonsgegevens). Член 103, параграф 1 от него предвижда условията, при които частноправен субект може да получи достъп до информацията за обработката на данните, отнасящи се до него:
„Член 103
1. По искане на съответното физическо лице College van burgemeester en wethouders писмено му съобщава в срок от четири седмици дали отнасящите се до него данни с източник общинската администрация са били разкрити на заявител или на трето лице през годината, предхождаща искането
[…]“
IV – Преюдициалният въпрос
13. На 12 декември 2007 г. в секретариата на Съда е получено преюдициалното запитване на Raad van State, съдържащо следния въпрос:
„Съвместимо ли е предвиденото от закона ограничение за разкриване на данни до една година преди подаване на съответното искане с член 12, встъпително изречение и буква а) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни във връзка или не с член 6, параграф 1, буква д) от тази директива и с принципа на пропорционалност?“
14. В определения от член 23 от Статута на Съда срок становища представят College, нидерландското, чешкото, гръцкото, испанското правителство и правителството на Обединеното кралство, както и Комисията на Европейските общности.
15. Представителите на College и на г‑н Rijkeboer, както и представителите на нидерландското, чешкото, гръцкото, испанското правителство и правителството на Обединеното кралство, както и на Комисията се явяват в съдебното заседание, проведено на 20 ноември 2008 г., за да представят устно твърденията си.
V – Очертаване на спорния въпрос
16. Настоящото дело повдига няколко въпроса, които се отличават с известна концептуална сложност. По същество следва да се определи дали може да съществува специален срок за заличаването на информация, свързана с обработването на лични данни. След изтриването в съответствие с Директива 95/46 на тези данни се пресича възможността за упражняване на правото на достъп, тъй като не е възможно да се поиска информация, която вече не съществува. Следователно спорът засяга ограничаването на правомощие, което също е изрично предвидено от Директива 95/46. Това напрежение между заличаването на данните и правото на достъп разкрива конфликт в рамките на посочената директива, по който трябва да се произнесе Съдът.
17. Ето защо следва да се отговори дали свързаните с обработването данни се ползват или могат да се ползват от режим, идентичен с този на личните данни. Следва да се определи и дали срокът за заличаване на данните трябва при всички случаи да изпълнява ограничителна функция по отношение на правото на достъп. Тези въпроси трябва да намерят отговора си в донякъде неясен фактически и правен контекст, тъй като Raad van State не сочи дали предвиденият за заличаването на данните относно обработката срок е еднакъв или по-кратък от предвидения за заличаването на личните данни. Ето защо следва двете хипотези да се анализират, с което да бъде даден полезен за запитващата юрисдикция отговор.
VI – Предварително обсъждане: претегляне на интересите в светлината на основните права на Съюза
А – Основното право на защита на личния живот и общностното му развитие
18. Съгласно разпоредбите на своята конституционна харта(4) Европейският съюз се основава на основните права, чието зачитане се осигурява от Съда(5). След няколко десетилетия развитие на съдебната практика, започнало с Решение по дело Stauder(6) и с Решение по дело Internationale Handelsgeselschaft(7), държавите членки напълно признават устройствения характер на тези права, като приемат член Е от Единния европейски акт, който впоследствие става член 6 ЕС. Тази разпоредба обявява, че Съюзът зачита основните права, както са гарантирани от Европейската конвенция за защита правата на човека и основните свободи (наричана по-нататък „ЕКПЧ“)(8) и както произтичат от конституционните традиции, общи за държавите членки.
19. Правото на защита на личния живот е част от тези традиции. След Решение по дело Stauder(9) съдебната практика включва защитата на личния живот сред основните принципи на общностното право. Първоначално това става в контекста на задълженията за разкриване на данни като името(10) или на медицинска информация(11) както на национално(12), така и на общностно(13) равнище. Скоро след това, през 90-те години, Съдът постановява, че това право се прилага в областта на личния(14) и семейния(15) живот.
20. През 1995 г. е отбелязан поврат с приемането на Директива 95/46 за защита на физическите лица при обработването на лични данни. По този начин практиката на Съда в тази област, дотогава разнопосочна и приемана в зависимост от случая, стъпва на по-солидна основа, тъй като директивата очертава подробно предмета(16), субектите(17) и възможните средства за защита, с които разполага физическото лице по отношение на движението на информация, отнасяща се до него(18). В съображение 10 от Директива 95/46 намира израз предназначението ѝ на инструмент за защита на основните права, както са признати от ЕКПЧ и от общите принципи на общностното право(19). В Решение по дело Österreichischer Rundfunk и др. се потвърждава, че макар да има за цел гарантирането на свободното движение на данни, Директива 95/46 има важна роля за защитата на основните права(20).
21. В обобщение, Директива 95/46 развива основното право на защита на личния живот в измерението му, свързано с автоматизираната обработка на лична информация(21).
22. Като доказателство за тази воля за кодификация е достатъчно да се посочи член 8 от Хартата на основните права на Европейския съюз(22), посветен на „[з]ащита[та] на личните данни“, който утвърждава правото на достъп, както и на добросъвестно обработване. Този член признава и правото на достъп до данните и правото да се изиска поправянето им. Независимо от предпазливостта, с която следва да се прилага Хартата(23), изглежда трудно да се пренебрегнат разпоредбите ѝ и да се отрече, че тези правни елементи са част от конституционните традиции, общи за държавите членки(24). Това разсъждение се потвърждава от обстоятелството, че от приемането на Директива 95/46 са изтекли над десет години и в тази област е проведена ефикасна хармонизация(25).
23. Именно член 8 от Хартата откроява два аспекта, които са от значение за спора по главното производство. Те се отразяват в член 6 и член 12 от Директива 95/46. От една страна се отнася до задължението за заличаване на данните след изтичането на срок, не по-дълъг от необходимия за целите, за които те са събрани (член 6, параграф 1, буква д), и от друга страна, до правото на достъп без ограничение до информация, отнасяща се до получателите, на които данните са били разкрити (член 12, буква а). Тъй като Хартата възпроизвежда тези аспекти и ги включва в същността на основното право на защита на личния живот, преюдициалният въпрос на Raad van State изисква претегляне на интересите, за да се постигне разумно решение, чрез което тези разпоредби да се впишат в съответстващата им конституционна рамка(26).
24. В самото начало в рамките на описанието на критериите за тълкуване на Директива 95/46 тя следва да бъде разгледана от телеологична гледна точка, за да се определи водещият интерес.
Б – Основното право на защита на личния живот и вътрешните му противоречия
25. Настоящото дело не се отнася до две основни права, а до два аспекта на едно и също право. За разлика от случаите, при които например правото на добро име и свободата на информация или правото на защита на личния живот и правото на собственост влизат в стълкновение, настоящият случай се отнася до две задължения, с които са натоварени публичноправните органи: задължението да се предвидят срокове за унищожаването на файловите системи, съдържащи лични данни, и задължението да се гарантира достъп на физическите лица, за които се отнасят тези данни. Тази особеност отличава случая на г‑н Rijkeboer от други дела, по които Съдът вече се е произнесъл, например делото Lindqvist(27) или Promusicae(28), в които защитата на личния живот влиза в стълкновение съответно с правото на свобода на религията и с правото на собственост(29). За сметка на това настоящият случай се отнася до едно-единствено вътрешно противоречиво право, което по подобие на д‑р Джекил и мистър Хайд е с раздвоено съзнание, тъй като в него съжителстват, както ще установя по-долу, добротата и хладнокръвната и пресметлива безмилостност.
26. Съхранението на данните от администраторите е ограничено във времето задължение, тъй като Директива 95/46 предвижда, че то не може да надвишава срока, необходим за целите, за които се събират данните или за които те се обработват допълнително. Изискването е установено с тази строгост в член 6, който оставя на държавите членки грижата да определят съответните срокове в зависимост от секторите и целите, които са в основата на създаването и последващото премахване на файловите системи. Независимо от предоставената от тази разпоредба гъвкавост на всяка национална правна система, член 13 от Директива 95/46 предвижда изключения от този принцип, като разрешава съхранение за по-дълъг период от обичайното, когато общественият интерес, например националната сигурност, борбата с престъпността или научните изследвания, изисква това.
27. Съображенията на Директива 95/46, в които това обстоятелство не се упоменава, не отдават особено значение на ограниченията по отношение на съхранението на данните. В този смисъл единствено членове 6 и 12 се отнасят до това задължение и предвид широката свобода на преценка, която Директива 95/46 предоставя на държавите членки, считам, че за общностния законодател този въпрос не е бил основен, както личи от съпоставянето на правилата, отнасящи се до него, с правилата, свързани с правото на достъп(30).
28. Възможността на физическото лице, за което се отнасят данните, да получи достъп до тях и да поиска поправянето, заличаването или блокирането им представлява един от основните аспекти на Директива 95/46. Съображения 38 и 40 от посочената директива подкрепят тази идея не само поради това, че потвърждават значението на правото на достъп, а и поради имплицитната връзка между информацията, с която разполага физическото лице, за което се отнасят данните, и обработването им. Действително, за да имат действие признатите от член 12 права, следва да се приложат ред основни принципи, тъй като в противен случай предвидените в тази разпоредба гаранции биха се изпразнили от съдържание. Съображение 41 показва това съвсем ясно, когато в него се установява, че „всяко лице трябва да може да упражнява правото си на достъп до данните, свързани с него, които се обработват, за да провери, в частност, точността на данните и законосъобразността“ на обработването им(31). В тази връзка „принципи[те], отнасящи се до качеството на данните“, залегнали в раздел I от глава ІІ на Директива 95/46, придобиват пълното си значение. Сред тези принципи е задължението данните да се съхраняват за срок, „не по-дълъг от необходимия за целите“, за които се събират. Задължението за унищожаване на файловите системи се свързва със задължението информацията да се обработва „справедливо и законно“ и със задължението да се гарантира нейното качество, за да бъде тя адекватна, релевантна, непрекомерна и точна(32).
В – Акцесорният характер на член 6 спрямо член 12 от Директива 95/46
29. Съзнавам трудността да се определи приоритетността между членове 6 и 12 от Директива 95/46. Съществуват доводи с определена тежест в подкрепа на това, че премахването на данните е основно положение в установената с Директива 95/46 система, която въвежда правото на достъп, даващо възможност на заинтересуваните лица да проверят изпълнението на задълженията за заличаване. По същия начин правото на защита е установено в член 12, тъй като достъпът е реалното субективно измерение на директивата, която в крайна сметка дава възможност на физическите лица да действат в защита на своите интереси.
30. В този контекст не мога да устоя на изкушението да припомня старата дилема за яйцето и кокошката. Кое се е появило първо? Може ли да се живее с този вечен въпрос и да се приеме, че той никога няма да има отговор, тъй като двете понятия представляват извечни реалности, както пише Аристотел(33)?
31. Съдилищата не се ползват със свободата на мисълта, характерна за философите, и трябва да положат усилия да намерят отговор, макар невинаги той да е най-точен. Следователно също както има учени, които заемат позиция във вечния спор за кокошката и яйцето(34), аз ще предложа разрешение на стълкновението между членове 6 и 12 от Директива 95/46.
32. От изложените в точки 29—35 от настоящото заключение съображения стигам до извода, че Директива 95/46 подчинява заличаването на данните на правото на достъп. Разпоредбите на директивата предоставят право, което възниква със създаването на файловата система и което се прекратява с нейното заличаване. Следователно заличаването на данните е само момент от съществуването на правото на достъп. Член 12 обуславя и обосновава тази характеристика.
33. Възприемането на тази логика позволява да се придобие убеждението, че целта на правото на достъп е съответното физическо лице да се запознае с данните, които се отнасят до него. Тази гледна точка може да се доразвие, ако се зададе въпросът каква е целта на изследванията на лицето. В редица случаи лицето, което има право на достъп, желае да провери законосъобразно ли е обработването на данни, които се отнасят до него. Директива 95/46 налага на администраторите някои принципи при упражняване на дейността им, но тя черпи сила и от механизмите за защита, сред които е правото на достъп като инструмент, позволяващ на физическото лице, за което се отнасят данните, да контролира и да предприема действия за спазването на установения ред.
34. Член 12 като централен елемент в системата от гаранции, установена от Директива 95/46, следователно би се оказал лишен от логика, ако субектите, пазещи лични данни на други лица, не се подчиняват на никакви правила. Както Комисията основателно излага в съдебното заседание, правото на достъп е установено именно поради наличието на принципи във връзка с обработването (член 6)(35). Правото на достъп се явява основен стълб в тази директива, както показва член 12 от нея, който набляга на смисловия оттенък в резултат от използването на израза „без ограничение“(36). Предвид защитния характер на Директива 95/46, който се съсредоточава върху защитата на физическите лица, за които се отнасят данните, става ясно, че задължението за съхраняване на данните е акцесорно спрямо правото на достъп. Силната субективна насоченост на директивата и целта ѝ да защитава основните права (в случая правото на защита на личния живот) потвърждават тази идея и поставят прилежащите интереси в член 6 на по-ниско нормативно равнище.
35. Този довод се потвърждава от структурата на член 8 от Хартата на основните права на Европейския съюз, чиято херменевтична стойност е несъмнена(37) и в който правото на достъп се урежда от параграф 1. След това параграф 2 от същия член изброява свързаните с обработването принципи, но при определена йерархичност, в която правото на физическото лице, за което се отнасят данните, има приоритет спрямо отговорностите на ползвателя на тези данни.
36. На фона на гореизложеното и като привличам вниманието на Съда към субективната насоченост на Директива 95/46, в рамките на която член 12 придобива особено значение спрямо член 6, ще разгледам въпроса на Raad van State.
VII – Лични данни и данни относно обработването
37. В съответствие с посоченото в точки 16 и 17 от настоящото заключение следва поотделно да се разгледат две хипотези, чиято релевантност зависи от обстоятелствата на отделния случай, като се анализира законосъобразността на срока, когато, от една страна, той е по-кратък от предвидения за основните данни и от друга страна, когато предвиденият срок за достъп до данните във връзка с обработването е идентичен на срока за основните данни. В първата хипотеза следва да се определи дали директивата допуска тази независимост между категориите достъп, основана на естеството на търсените данни. Във втората хипотеза е проблематичен въпросът за възможността да се получи достъп след заличаването на данните.
38. За да се даде издържан отговор на въпроса на Raad van State, е необходимо преди това да се определи дали сроковете за заличаване трябва да се прилагат общо за всички данни, включително за данните, свързани с обработването, или тези срокове могат да се диференцират в зависимост от естеството на личната информация. Съществува основна разлика, която се дължи на преследваните от всяка категория информация цели.
39. Гръцкото правителство, както и чешкото правителство подчертават в съдебното заседание, че всяка категория данни отговаря на различни цели. По-долу следва да се изложат предимствата и недостатъците на това съображение, както и отражението му върху главното производство.
40. Унищожаването на лични данни цели да осигури защита на съответното физическо лице, тъй като със заличаването на информацията изчезват всички опасности от незаконосъобразно обработване. Липсата на установен в член 6 от Директива 95/46 срок е донякъде логична, тъй като всяка файлова система обслужва собствените си цели и в съответствие с принципа на субсидиарност националният законодател е в по-благоприятно положение да вземе решение относно срока на съхранение, с който разполагат администраторите преди унищожаването на данните. Същевременно заличаването на данните във връзка с обработването обслужва различни цели, тъй като не защитава лицето, за което се отнасят данните, което губи възможността да проследи тази информация и не може да упражни правото си на достъп, тъй като съответните данни вече не са под контрола на администратора. Това заличаване на данните ползва третите лица, които са ги получили, чиито самоличност и намерения са изтрити.
41. Този подход набляга върху евентуалните концептуални трудности по настоящото дело. Ясно е, че може да се проведе разграничение между заличаването на данните и заличаването на данните относно обработването(38). Предмет на разглеждане са различни юридически блага и уредени поотделно от Директива 95/46 самостоятелни функции. Доведено докрай обаче, подобно съображение поражда нежелателни последици. Първо, за неравенството между двете категории данни липсва опора в текста на Директива 95/46, тъй като член 6 се отнася до заличаването на данни изобщо, докато член 12 изброява различни видове информация, за да се изпълни правото на достъп със съдържание, а не с оглед провеждането на разграничение(39). Второ, замисълът на правото на достъп — при разширително тълкуване — е то да се упражнява „без ограничение“. Както посочвам по-нататък, степента на защита на това право може да се ограничава в зависимост от обстоятелствата, но текстът на член 12 изключва съществуването на право на достъп първа и втора категория. Трето, както подчертават Комисията, Кралство Испания и Обединено кралство Великобритания и Северна Ирландия в съдебното заседание, двете категории данни образуват технологично единство, обикновено се обработват в рамките на едни и същи файлови системи и съвместното им управление не поражда особено значителна тежест за администраторите.
42. Следователно отхвърлям теорията, според която данните, отнасящи се до обработването, имат самостоятелно съществуване и самостоятелен правен режим. Информацията относно обработването е свързана с личните данни, които са предмет на обработване, тъй като тя изяснява начина и условията за работа с тях, поради което застъпвам идеята, че тези данни съставляват основна част от общностното определение за „данни“ по смисъла на член 2, буква а) от Директива 95/46. За да бъде отговорът полезен за запитващата юрисдикция, това твърдение следва да се разгледа в светлината на двете хипотези, за които стана дума в точки 16 и 17 от настоящото заключение.
VIII – Първа хипотеза: по-кратък срок за заличаване на данните относно обработването
43. Поставеният от Raad van State въпрос изглежда се отнася до тази хипотеза: нидерландското законодателство предвижда продължително съхраняване на личните данни, но определя по-кратък едногодишен срок за заличаването на данните относно обработването. Актът за препращане обаче не дава информация за разглежданите по главното производство данни и следователно поемам риска да предложа този първоначален отговор, като вземам предвид посочената хипотеза.
44. Поради изложените в точки 37 и 42 от настоящото заключение съображения считам, че Директива 95/46 не закрепва разграничение между личните данни и данните относно обработването. Като си давам сметка за проблемите във връзка със съхраняването, свързани с възприемането на този подход, считам, че предвиденият в член 6 от Директива 95/46 срок за заличаване е един и същ за двата вида данни. Въпреки че целта на заличаването е различна в зависимост от вида данни, трудно мога да си представя различни режими, основаващи се на толкова изкуствено разделение, още повече след като става въпрос за основно право.
45. Както посочих в точки 29—35 от настоящото заключение, текстът на директивата отдава предимство на правото на достъп, на което са подчинени задълженията за заличаване. За да се изпълни посочената цел, както личните данни, така и данните, свързани с обработването, са по-добре защитени, ако се съхраняват за един и същ срок.
46. Срокът за съхраняване в някои случаи изглежда дълъг, но се обосновава от общ интерес, който може да се изтъкне и за продължаване на срока на живот на данните относно обработването. Когато съхраняването стане прекалено дълго поради използването на файловите системи за исторически, статистически или научни цели, Директива 95/46 задължава държавите членки да приемат специални мерки, които приспособяват използването на тези файлови системи към обстоятелствата, обосноваващи продължителното им съхранение(40). Ето защо следва да се определят други мерки, които да гарантират защитата на физическото лице, за което се отнасят данните, макар същите да са приспособени за използване в областта на историята или културата по смисъла на член 6, буква д) от Директива 95/46.
47. Освен това, както сочи College в писменото си становище, потвърдено в съдебното заседание, съществуват други ограничения на задължението за съхраняване на данните относно обработването в рамките на срок, идентичен с този за личните данни. Представеният от College пример според мен е решаващ. Той се отнася до защитата на информацията относно трети лица, които на свой ред се ползват от защитата по Директива 95/46, което не означава, че физическото лице, за което първоначално се отнася предадената информация, трябва напълно да бъде лишено от правата си. Това ограничение означава, изключително по отношение на личните данни на получателя, че лицето, за което първоначално се отнасят данните, се подчинява на същите ограничения като всеки друг получател за целите на Директива 95/46.
48. Следователно ако за личните данни и за данните относно обработването се прилага общ срок за заличаване, не се налага да се преценява пропорционалността на едногодишния срок, предвиден в нидерландското законодателство. Ако срокът за съхраняването на лични данни е по-дълъг от срока за данните относно обработването, отговорът на преюдициалния въпрос се изчерпва дотук.
49. При различен нормативен контекст по делото би имало различно разрешение на преюдициалното запитване, доколкото би имало съвпадане на сроковете и доколкото физическото лице, за което се отнасят данните, би поискало достъп до информация, която вече е била унищожена.
IX – Втора хипотеза: общ срок за заличаване за двете категории данни
А – Текстът на член 12 от Директива 95/46
50. Кралство Испания, Чешката република и Кралство Нидерландия считат, че член 12 установява връзка между достъпа до данните и тяхното заличаване, предвидено в член 6, като се има предвид текстът на член 12, буква а), второ тире. Тази разпоредба задължава държавите членки да гарантират правото от администратора да се получи „съобщение […] в разбираема форма относно данните, които се обработват, както и за всяка налична информация за техния източник“. От текста на тази разпоредба личи, че Директива 95/46 ограничава правото на достъп до обработваните данни, което изключва исканията за достъп, отправени след края на обработването, т.е. след заличаването на данните. Това тълкуване се подкрепя от сравнението на различните езикови редакции, които се отличават по интензитета, с който е изразен временният и неизменен характер на правото на достъп.
51. Този довод не е убедителен, тъй като дори английската редакция да упоменава данните „undergoing processing“(41), испанската внася по-двусмислен оттенък („datos objeto de los tratamientos“). Приемам, че стриктното тълкуване на текста би било в по-голямо съответствие със задължението за заличаване по член 6. Все пак според мен съпоставянето на езиковите редакции не е определящо, още повече при наличието на съображения да не се взема предвид граматическата конструкция на член 12, които ще изложа по-долу(42).
52. Не подкрепям и позицията на Кралство Испания, че към член 12 би следвало да се добави още едно изключение, което да се съчетае с изключението по член 13 от Директива 95/46(43). След като приема, че достъпът би се ограничил до данните в процес на обработване, испанското правителство счита, че мълчаливото по естеството си ограничение, което по съдържание произтича от посоченото по-горе предвидено в член 6 от директивата задължение, се добавя към ограниченията по член 13 от Директива 95/46. Това обяснение според мен не е убедително и в значителна степен подкрепя тезата, която претендира да обори: ако член 13 съдържа набор от изключения от широкото право на достъп, те трябва да бъдат предмет на стриктно тълкуване. След като не може да се приеме широко тълкуване на тези ограничения, би било още по-недопустимо да се създават други категории ex novo.
53. В обобщение, текстът на разпоредбите на Директива 95/46 ме кара да отхвърля такава преценка на правото на достъп, която го стеснява. Тези съображения не водят до единна концепция за срока, тъй като по силата на вътрешната йерархия на Директива 95/46 правото на достъп е с предимство пред задължението за заличаване. Следователно заличаването на файловата система представлява ограничение на достъпа, което е законосъобразно само при условие че са спазени някои гаранции. Това означава, че е възможно упражняването на правото на достъп да се постави в зависимост от определени условия (като например се определи срок), след като физическото лице, за което се отнасят данните, е защитено с други средства. Ако това не е така, биха съществували срокове за заличаването на данни, които ще се окажат незаконосъобразни, тъй като биха парализирали правото на достъп, което обаче не означава, че трябва да се провежда разграничение между видовете информация и да се задължават администраторите да съхраняват за вечни времена данните относно обработването. Напротив, това означава, че срокът за заличаване на данните трябва да бъде продължен, за да се гарантира достъп до тях.
54. Следователно считам, че срокът за заличаване представлява и ограничение на предвиденото в член 12 от Директива 95/46 право. Този срок обаче може да накърни директивата, ако прекомерно препятства целите, които тя преследва.
Б – Изключение от правилото: информиране на заинтересованото лице
55. По току-що изложените съображения считам, че срокът за заличаване на данните е пречка за упражняването на правото на достъп, въпреки че съществуват обстоятелства, при които е налице разминаване между сроковете за заличаване и за достъп. Като използвам думата „разминаване“, имам предвид възможността срокът да е пропорционален с оглед на заличаването и непропорционален с оглед на достъпа или обратното. Давам си сметка за практическите усложнения, произтичащи от този подход, но такава последица може да настъпи в много особен контекст, когато заинтересованото лице не е било информирано в достатъчна степен за правата си.
56. Подобна последица настъпва ако — в съответствие с изложеното от Република Гърция и Комисията — се установи недостиг на информация във вреда на лицето, за което се отнасят данните. За да се разясни това положение, следва да се напомни, че членове 10 и 11 от Директива 95/46 предвиждат задължение за уведомяване на заинтересованото лице и задължение да му се поискат някои сведения и/или разрешения, сред които и информацията за предаването на данните на трети лица. Това задължение е неясно формулирано, поради което държавите членки имат голяма свобода на действие. Определянето на тези задължения в националните правни системи обуславя отговора по дело като настоящото. Няма никаква пречка лице, което не е било уведомено за самоличността на получателя на данните преди предаването им или за сроковете, в които да упражни правото на достъп, да се ползва от повишена степен на защита(44). Тази последица съответства на предимството, което директивата дава на субективното право на лицето, за което се отнасят данните, което трябва да се ограничи по такъв начин, че след заличаване на данните да се гарантира упражняването му.
57. В някои случаи, ако се приложи тази теория, процесът достига до невъзможно за изпълнение решение. Ако College служебно е унищожил всички данни за г‑н Rijkeboer отпреди предходната година, жалбата на заинтересованото лице не може да има до успех. Очевидно е, че кметството на Ротердам не може да даде нещо, с което не разполага. Възможно е този недостатък да обхваща и други национални правни системи, но само за ограничен период от време, съответстващ на срока, необходим за приспособяване на законодателството, което не е в съответствие с общностното право. Междувременно обаче заинтересованото лице си запазва възможността да търси имуществена отговорност на държавата поради незачитане на общностните ѝ задължения. При липсата на напълно удовлетворително за физическото лице изпълнение, тези правила поне дават възможност за парично обезщетение, с признаването на което са натоварени националните юрисдикции(45).
58. В крайна сметка, възпроизвеждайки американския израз, настоящото дело трябва да се разреши с „hard look“ към пропорционалността(46), ако Raad van State установи недостиг на информация по главното производство. В такъв случай е необходимо срокът за заличаване на данните да не се прилага автоматично като преграда пред правото на достъп. Контролът на пропорционалността трябва да се извърши при максимална степен на осигуряваната от него защита, което би направило трудно приемлив толкова краткия едногодишен срок.
59. В този контекст се присъединявам към лицата, които разглеждат заличаването на данните и достъпа до тях като елементи на една и съща действителност, които следователно се обединяват във връзка с определянето на техните срокове. Заличаването на данните, предвидено в член 6 от Директива 95/46, се отнася до всички информационни елементи, включително случаите на предаване на трети лица. Следователно времевото ограничение за заличаването индиректно изпълнява функцията и на срок, който определя продължителността на правото на достъп. Разграничаването на категориите данни от гледна точка на достъпа означава отново да се създаде разграничение, което не съществува в Директива 95/46 и което освен това не е очевидно ефикасно на практика(47).
60. Възможни са изключения при недостиг на прозрачност при съобщаването на правата на заинтересованото лице. В такъв случай срокът за заличаване на данните трябва да се продължи, за да се запази правото на достъп.
В – Едногодишният срок и принципът на пропорционалност
61. Нидерландското законодателство предвижда особен режим за обработването на данни от общините, в рамките на който, що се отнася до настоящото дело, се установява общ едногодишен срок за унищожаването на данни. Вече изложих съображенията, поради които следва този период да се разглежда едновременно както за целите на член 6, така и за целите на член 12 от Директива 95/46. На този етап следва да се определи съвместимостта на този срок с принципа на пропорционалност, чиято приложимост произтича от посочените членове, тъй като всеки от тях придава определена насоченост на разглежданото основно право.
62. Правителствата на Обединеното кралство, Испания и Чешката република посвещават всичките си усилия да обосноват трудностите, свързани с гарантирането на правото на достъп, когато данните са били изтрити. По тази причина те не отделят особено внимание на въпросния срок. За сметка на това в становищата на гръцкото правителство и на College се разглеждат последиците от нидерландския срок в светлината на Директива 95/46 и на принципа на пропорционалност. Според Република Гърция и Комисията този срок е изключително кратък и следователно несъвместим с общностния правов ред. College се застъпва в подкрепа на законосъобразността на този срок, като изтъква особеностите на нидерландската система, която компенсира краткия срок с други предпазни мерки, насочени към защита на лицето, за което се отнасят данните.
63. Преди да се разгледа пропорционалността на националния срок, следва да се припомнят някои правила, тъй като по други поводи Съдът е разглеждал подобни срокове. Съдебната практика разкрива прилагането на променлив подход в зависимост от контекста по всяко дело. В зависимост от обстоятелствата се упражнява по-интензивен или не толкова интензивен контрол(48). В случай на евентуално накърняване на основни права разглеждането на срока за упражняване на тези права трябва да се извърши щателно(49). При все това тази проверка зависи от редица фактори.
64. Както посочих в точки 55—60 от настоящото заключение, следва да се прецени нивото на информация, от която се е ползвало лицето, за което се отнасят данните, по време на обработването им. В това отношение могат да се упоменат следните критерии.
65. В съответствие с членове 10 и 11 от директивата заинтересованото лице разполага с правото да му бъдат съобщени различни сведения, сред които самоличността на „получателите или категориите получатели на данни, […] доколкото подобна допълнителна информация е необходима, като се отчитат конкретните обстоятелства, при които се събират данните, за гарантиране на справедливата им обработка […]“. Двата члена провеждат разграничение между получената от самото физическо лице информация и информацията с друг произход, макар и в двата случая да е необходимо предоставянето на информация относно предаването на данни на трети лица.
66. Националният законодател разполага с широка свобода на действие, що се отнася до прилагането на задължението, предвидено в членове 10 и 11 от Директива 95/46, но тези разпоредби имат за цел да информират заинтересованото лице за това, че отнасящите се до него данни са предадени, за да му се даде възможност, ако желае това, да получи достъп до обработването на данните и да провери дали то е в съответствие с принципите по член 6 от Директива 95/46. Информацията обаче се различава в зависимост от контекста и националната юрисдикция трябва да провери дали нидерландският правов ред, както и съответната практика в кметството отговарят на разпоредбите на членове 10 и 11. Следва да се определи дали г‑н Rijkeboer е бил уведомен за случаите на предаване на данни и информиран за едногодишния срок, с който разполага, за да упражни правото си на достъп. Държавите членки не са длъжни да уведомяват за срока, тъй като това не е предвидено в членове 10 и 11(50). В рамките на преценката на неговата продължителност обаче е много важно да се провери дали съответното физическо лице е било информирано относно тази подробност. Ако това не е така, трудно може да се допусне, че толкова кратък период, какъвто е периодът от една година, в отсъствието на допълнителни разяснения от страна на администратора, е в съответствие с принципа на пропорционалност, а оттам и с Директива 95/46.
67. Също така естеството на предадената информация придобива особено значение, защото както се приема в директивата, подлежащите на уведомление данни могат да включват самоличността на получателите, но и „категориите получатели“. Тази втора възможност означава, че предоставяните списъци не винаги сочат кой е имал достъп до файловите системи и поради това заинтересованото лице се оказва в неблагоприятно положение при упражняването на правото на достъп. Националният съд трябва да определи в каква степен и при какви условия получателите са информирали г‑н Rijkeboer. В рамките на разглеждането на този въпрос проверката относно срока трябва да се задълбочи, когато не е разкрита самоличността на третите лица, тъй като физическото лице, за което се отнасят данните, има право да се опасява, че обработването не е в съответствие с принципите по член 6.
68. Накрая, би следвало да се определят някои правила относно тежестта на доказване. Г‑н Rijkeboer като лице, което има основно право, е трябвало да установи по съдебен ред как са били обработени отнасящите се до него данни(51). Съответствието с Директива 95/46 зависи от редица казуистично изброени обстоятелства, които произтичат от самия национален закон и практиките на общинската администрация. Г‑н Rijkeboer трябва да установи основното си право по съдебен ред, но не би следвало да му се налага да доказва недостатъците на правния ред в собствената си страна в тази област, тъй като текстът на Директива 95/46 подсказва, както изложих в точки 29—35 от настоящото заключение, че правото на достъп се отличава с приоритетност и всяко изключение трябва да се разглежда много предпазливо. В този смисъл предвид предимството на субективното измерение на общностните правила относно защитата на данните администраторът на тези данни трябва да докаже, че правната уредба и практиките при обработването на данни осигуряват гаранции, обосноваващи толкова кратък срок, какъвто е срокът от една година за упражняването на правото, предвидено в член 12 от Директива 95/46.
69. В становището по настоящото преюдициално производство College дава някои указания по въпроса. Националното законодателство установява система от взаимни ограничения и противотежести („checks and balances“ според използваната от College терминология), която хармонизира правото на достъп, като предвижда определени гаранции като ограниченията по отношение на получателите, връзката, в определени случаи, с особени цели, предварителното разрешение на заинтересованото лице или механизъм за проверка, с която е натоварен независим орган. Освен това в съответствие с изложеното от College заинтересованото лице се уведомява за едногодишния срок както индивидуално, така и колективно (по Интернет и в обявления до населението)(52).
70. Осъзнавам възможното отражение на настоящото дело върху администраторите на файлови системи, попадащи под действието на Директива 95/46. Същевременно предимството на защитата на физическите лица ме кара да съвместя защитата на техните права с ефикасното управление на файловите системи. Следователно членове 6 и 12 от Директива 95/46 би трябвало да се тълкуват в смисъл, че са несъвместими с едногодишния срок, предвиден за упражняването на правото на достъп до обработването на данни, при положение че:
– заинтересованото лице не е било информирано за предаването им,
– или заинтересованото лице е било информирано за предаването им, но не е било уведомено за продължителността на срока,
– или заинтересованото лице е било информирано за предаването им, но не е било информирано в достатъчна степен за самоличността на получателите.
71. Тъй като се разглежда основно право, College трябва да докаже, че националните правила и административната практика гарантират достатъчно ниво на информация за заинтересованото лице, което да му позволи да упражнява правото си на достъп без ограничение.
72. В светлината на представените критерии и на правните и фактическите обстоятелства, изложени както в настоящото преюдициално производство, така и в спора по главното производство, Raad van State трябва да приложи членове 6 и 12 от Директива 95/46 в съответствие с посоченото от мен в точки 70 и 71 от настоящото заключение.
X – Заключение
73. С оглед на гореизложените съображения предлагам на Съда да отговори на преюдициалния въпрос на Nederlandse Raad van State по следния начин:
„Информацията относно обработването на данни, включително свързаната със случаите на предаване на трети лица, представлява лични данни по смисъла на член 2, буква а) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни. За да се гарантира полезното действие на Директива 95/46, срокът за заличаване, приложим към данните относно обработването, е идентичен с предвидения за личните данни, без да се накърняват правата и задълженията, които посочената директива предоставя на третите лица — получатели на тези данни.
Членове 6 и 12 от Директива 95/46 не допускат едногодишен срок за упражняването на правото на достъп до обработването на данни, при положение че:
– заинтересованото лице не е било информирано за предаването им,
– или заинтересованото лице е било информирано за предаването им, но не е било уведомено за продължителността на срока,
– или заинтересованото лице е било информирано за предаването им, но не е било информирано в достатъчна степен за самоличността на получателите.
Администраторът трябва да докаже, че националните правила и административната практика гарантират достатъчно ниво на информация за заинтересованото лице, което да му позволи да упражнява правото си на достъп без ограничение.“