FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
D. RUIZ-JARABO COLOMER
fremsat den 22. december 2008 1(1)
Sag C-553/07
College van burgemeester en wethouders van Rotterdam
mod
M.E.E. Rijkeboer
(anmodning om præjudiciel afgørelse indgivet af Raad van State (Nederlandene))
»Beskyttelse af personoplysninger – grundlæggende rettigheder – direktiv 95/46/EF – ret til indsigt i personoplysninger – slettelse – videregivelse af oplysninger til tredjeparter – tidsbegrænsning på retten til indsigt – proportionalitetsprincippet«
I – Indledning
1. Raad van State (Statsrådet i Nederlandene) har forelagt EF-Domstolen et præjudicielt spørgsmål om fortolkning af artikel 6 og 12 i direktiv 95/46/EF om beskyttelse af fysiske personer i forbindelse med behandling af oplysninger om disse og om fri udveksling af sådanne oplysninger (2). Forelæggelsen berører et vanskeligt område: slettelse af personoplysninger hos en kommunal myndighed, når disse er videregivet til tredjeparter, og den deraf følgende ret til indsigt i oplysningerne om behandlingen.
2. Tilintetgørelsen af oplysningerne udgør i princippet en beskyttende handling. Ikke desto mindre fører den til forskellige konsekvenser, idet sporene om brugen forsvinder sammen med registrene. Således ender den person, som umiddelbart synes at være beskyttet, med også at blive krænket, for han vil aldrig få kendskab til de formål, som besidderen af hans personoplysninger har anvendt disse til (3).
3. På baggrund af denne problemstilling skal Domstolen afgøre, om fristen til at slette oplysningerne fungerer som en tidsbegrænsning for retten til indsigt i sagsbehandlingen. I så fald vil det være nødvendigt at belyse, om perioden på et år er tilstrækkelig og hensigtsmæssig nok til at beskytte de rettigheder, der er indeholdt i direktiv 95/46.
II – De faktiske omstændigheder
4. I forelæggelseskendelsen forklares det, at M.E.E. Rijkeboer anmodede College van burgemeester en wethouders van Rotterdam (Rotterdam Kommune, herefter »College«) om en liste over samtlige tilfælde, hvor der ifølge den kommunale forvaltnings arkiver var videregivet oplysninger om ham til tredjeparter i løbet af de to forudgående år. Ved afgørelser af 27. og 29. november 2005 afslog College delvist M.E.E. Rijkeboers anmodning, idet de kun udleverede oplysninger vedrørende det foregående år til ham. M.E.E. Rijkeboer var ikke tilfreds med den kommunale afgørelse og klagede derfor, men også klagen blev afvist den 13. februar 2006.
5. Efter at de administrative klagemuligheder var udtømt, tog Rechtbank Rotterdam (Byretten i Rotterdam) under en retssag M.E.E. Rijkeboers krav ifølge påstanden til følge. Ved dom af 17. november 2006 ophævede Rechtbank Rotterdam den administrative afgørelse, som afviste visse af den pågældendes anmodninger, og College blev tilpligtet at foretage en fornyet prøvelse med henblik på en senere afgørelse.
6. Den 28. december 2006 ankede College sagen til Raad van States forvaltningsdomstol, som ved kendelse af 5. december 2007 besluttede at udsætte hovedsagen og forelægge et præjudicielt spørgsmål for Domstolen.
III – Retsforskrifter
A – Fællesskabsbestemmelser
7. I artikel 6, stk. 1 og 2, i EU-traktaten bekendtgøres unionens tilknytning til de grundlæggende rettigheder med følgende ordlyd:
»1. Unionen bygger på principperne om frihed, demokrati og respekt for menneskerettighederne og de grundlæggende frihedsrettigheder samt retsstatsprincippet, der alle er principper, som medlemsstaterne har til fælles.
2. Unionen respekterer de grundlæggende rettigheder, således som de garanteres ved den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950, og således som de følger af medlemsstaternes fælles forfatningsmæssige traditioner, som generelle principper for fællesskabsretten.«
8. Som et af fællesskabslovgivningens generelle principper er den grundlæggende ret til privatlivets fred kommet til udtryk i direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger. Denne tekst, hvis indhold er kodificeret i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder, definerer begrebet »oplysning« og kræver slettelse heraf, når de har været underlagt behandling i et givent tidsrum. I artikel 2, litra a), og artikel 6 i nævnte direktiv formuleres det således:
»Artikel 2
a) »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person; ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet.
[…]
Artikel 6
1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger:
[…]
e) ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.
[…]«
9. For at sikre gennemsigtighed i behandlingen gives der i artikel 10 og 11 i direktiv 95/46 indsigtsbeføjelser til oplysningernes indehaver, alt afhængig af om de er indsamlet hos den registrerede person. Den registeransvarlige påtager sig bl.a. følgende forpligtelser:
»Artikel 10
Oplysningspligt ved indsamling af oplysninger hos den registrerede
Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige eller dennes repræsentant skal give den person, hos og om hvem der indsamles oplysninger, mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:
a) den registeransvarliges og eventuelt dennes repræsentants identitet
b) formålene med den behandling, hvortil oplysningerne er bestemt
c) alle yderligere informationer som f.eks.:
– modtagerne eller kategorierne af modtagere
– om det er obligatorisk eller frivilligt at besvare spørgsmålene samt mulige følger af ikke at svare
– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.
Artikel 11
Oplysningspligt, når oplysningerne ikke er indsamlet hos den registrerede
1. Når oplysningerne ikke er indsamlet hos den registrerede, fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige eller dennes repræsentant allerede ved registreringen af oplysningerne, eller senest når oplysningerne første gang videregives til tredjeparter, skal give den registrerede mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:
a) den registeransvarliges og eventuelt dennes repræsentants identitet
b) formålene med behandlingen
c) alle yderligere informationer som f.eks.:
– hvilken type oplysninger det drejer sig om
– modtagerne eller kategorierne af modtagere
– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.
[…]«
10. Indehaverne af de behandlede oplysninger kan holde øje med, at disse bliver anvendt korrekt, ved at udøve den såkaldte »ret til indsigt«, hvis overordnede træk opridses i artikel 12 i direktiv 95/46. I forbindelse med den aktuelle sag er især det første punkt i denne artikel relevant:
»Artikel 12
Ret til indsigt
Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige:
a) frit og uhindret, med rimelige mellemrum og uden større ventetid eller større udgifter:
– at få oplyst, om der behandles personoplysninger om den pågældende selv, samt mindst formålene med behandlingen, hvilken type oplysninger det drejer sig om, og modtagerne eller kategorierne af modtagere af oplysningerne
– at få meddelt letforståelig information om, hvilke oplysninger der er omfattet af behandlingerne, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer
– at få at vide, hvilken logik der ligger bag edb-behandlingen af oplysningerne om den pågældende, i det mindste i forbindelse med edb-baserede afgørelser som omhandlet i artikel 15, stk. 1.
[…]«
11. Medlemsstaterne kan indskrænke såvel pligten til slettelse som retten til indsigt i de tilfælde, der nævnes i artikel 13 i direktiv 95/46:
»Artikel 13
1. Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 6, stk. 1, artikel 10 og artikel 11, stk. 1, samt artikel 12 og 21, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til:
a) statens sikkerhed
b) forsvaret
c) den offentlige sikkerhed
d) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv
e) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, herunder valuta-, budget- og skatteanliggender
f) en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i litra c), d) og e) nævnte områder
g) beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder.
[…]«
B – Nationale bestemmelser
12. Det nederlandske retssystem har gennemført direktiv 95/46 ved en generel tekst, Wet bescherming persoonsgegevens (lov om beskyttelse af personoplysninger). I denne præjudicielle forelæggelse har den nævnte lovgivning sekundær betydning, for på det kommunale område gælder en særlig lovtekst, Wet gemeentelijke basisadministratie persoonsgegevens (lov om styring af den kommunale forvaltning). I dens artikel 103, stk. 1, nævnes de omstændigheder, ved hvilke den pågældende person kan få adgang til information om behandlingen af hans oplysninger:
»Artikel 103
1. Efter forudgående ansøgning giver College van burgemeester en wethouders skriftlig meddelelse til den registrerede inden for en frist på fire uger, såfremt de oplysninger om ham, som den kommunale forvaltning er i besiddelse af, er blevet videregivet til en køber eller en tredjemand i løbet af det år, der er gået forud for ansøgningen.
[…]«
IV – Det præjudicielle spørgsmål
13. Den 12. december 2007 blev Raad van States anmodning om præjudiciel afgørelse indført i Domstolens register. I anmodningen blev følgende spørgsmål forelagt:
»Er den i den nederlandske lov om den kommunale forvaltnings behandling af personoplysninger fastsatte begrænsning af adgangen til indsigt i oplysninger til ét år forud for indgivelsen af den pågældende anmodning forenelig med artikel 12, litra a), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, eventuelt sammenholdt med direktivets artikel 6, stk. 1, litra e), og proportionalitetsprincippet?«
14. Der er indgivet indlæg inden for den frist, der er fastsat i artikel 23 i EF-statutten for Domstolen, af College, regeringerne i Nederlandene, Det Forenede Kongerige, Den Hellenske Republik, Den Tjekkiske Republik og Kongeriget Spanien samt af Kommissionen.
15. Under retsmødet den 20. november 2008 blev der givet møde og afgivet mundtlige indlæg af repræsentanterne for College og for M.E.E. Rijkeboer samt af de befuldmægtigede for regeringerne i Nederlandene, Den Tjekkiske Republik, Kongeriget Spanien og Det Forenede Kongerige samt Kommissionen.
V – Afgrænsning af det spørgsmål, der er genstand for tvisten
16. Nærværende sag rejser flere forskellige spørgsmål, som er begrebsmæssigt komplekse. Der ønskes i alt væsentligt svar på, om der kan foreligge en bestemt tidsfrist til slettelse af de oplysninger, der vedrører behandlingen af personoplysninger. Hvis de slettes efter beføjelsen i direktiv 95/46, fjernes muligheden for at udøve retten til indsigt, for det er nytteløst at anmode om oplysninger, der ikke længere eksisterer. Tvisten handler således om indskrænkning af en rettighed, som også udtrykkeligt er nedfældet i direktiv 95/46. Denne spænding mellem slettelse og indsigt afslører en intern konflikt i den nævnte lovtekst, som Domstolen skal udtale sig om.
17. Det vil derfor være hensigtsmæssigt at undersøge, om oplysningerne vedrørende behandlingen fortjener eller kan fortjene en ordning, som er identisk med den, der gælder for personoplysninger. Det vil ligeledes være på sin plads at belyse, om fristen for slettelse i alle tilfælde skal fungere som en tidsbegrænsning på retten til indsigt. Disse tvivlsspørgsmål skal løses i en noget uklar faktisk og lovmæssig kontekst, idet Raad van State ikke har angivet, om den fastsatte frist for slettelse af oplysninger vedrørende behandlingen er lig med eller kortere end fristen ved personoplysninger. Det er således nødvendigt at undersøge begge tilfælde for at kunne give den forelæggende ret et brugbart svar.
VI – En indledende diskussion: afvejningen af interesser i lyset af de grundlæggende rettigheder i Unionen
A – Den grundlæggende ret til privatlivets fred og dens fællesskabsmæssige udvikling
18. Den Europæiske Union lægger i kraft af postulaterne i sit charter (4) vægt på de grundlæggende rettigheder, og Domstolen fører tilsyn med beskyttelsen af disse (5). Efter mange års udvikling inden for retspraksis, startende med Stauder-dommen (6) og Internationale Handelsgeselschaft-dommen (7), gav medlemsstaterne disse rettigheders strukturelle karakter fuld gyldighed ved at godkende artikel F i den europæiske fælles akt, som senere blev omdannet til artikel 6 EU. I denne bestemmelse erklæres det, at Unionen respekterer disse rettigheder, således som de garanteres ved den europæiske konvention til beskyttelse af menneskerettigheder (herefter »EMRK«) (8), og således som de følger af medlemsstaternes fælles forfatningsmæssige traditioner.
19. Retten til privatlivets fred er en integreret del af disse traditioner. Siden den tidlige Stauder-dom (9) har retsvidenskaben ophøjet beskyttelsen af privatlivets fred til at være et af de generelle principper i fællesskabslovgivningen. Det skete i første omgang, da man indførte forpligtelser til at afgive oplysninger, såsom navn (10) eller sundhedsoplysninger (11), i den nationale gennemførelse (12) eller i den fællesskabsmæssige (13). Kort tid efter – i løbet af halvfemserne – stadfæstede Domstolen virkningen af denne rettighed på områderne for privatliv (14) og familieliv (15).
20. Året 1995 blev et vendepunkt, idet direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af deres oplysninger blev vedtaget. Domstolens retspraksis på området, som indtil da havde været præget af splittelse og kasuisme, fandt nu en mere solid platform at støtte sine beslutninger på, for direktivet afgrænser på detaljeret vis formålet (16) og subjekterne (17) samt individets rettigheder, når der cirkulerer oplysninger, der vedrører ham eller hende (18). I direktivets tiende betragtning formes dette direktivs rolle som instrument til beskyttelse af de grundlæggende rettigheder, der er omhandlet i EMRK og i fællesskabsrettens generelle principper (19). Österreichischer Rundfunk-dommen bekræftede, at direktiv 95/46, på trods af at det har til hensigt at beskytte den frie udveksling af oplysninger, også repræsenterer en vigtig kilde til kontrol med grundrettighederne (20).
21. Kort sagt udvikler direktiv 95/46 den grundlæggende ret til privatlivets fred hvad angår edb-behandling af personoplysninger (21).
22. Som bevis på disse lovgivningsmæssige bestræbelser er det tilstrækkeligt at konstatere, at artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder (22), som omhandler »beskyttelse af personoplysninger«, fastslår retten til privatlivets fred og til en rimelig behandling, ligesom den også anerkender retten til indsigt i oplysningerne og berigtigelse heraf. På trods af den forsigtighed, hvormed charteret skal anvendes (23), er det svært at ignorere dets bestemmelser og afvise, at disse retlige elementer udgør en del af medlemsstaternes fælles forfatningsmæssige traditioner (24). Den vurdering bliver forstærket, når der huskes på, at der er gået mere end ti år siden vedtagelsen af direktiv 95/46, samtidig med at der er gennemført en effektiv harmonisering på området (25).
23. Netop charteret fremhæver i artikel 8 to aspekter, som har betydning for den foreliggende sag. De afspejles begge i artikel 6 og 12 i direktiv 95/46: på den ene side pligten til at slette oplysninger inden for et tidsrum, der ikke er længere, end hvad der er nødvendigt af hensyn til formålet [artikel 6, stk. 1, litra e)], og på den anden side retten til uhindret adgang til information om de modtagere, som oplysningerne er videregivet til [artikel 12, litra a)]. Idet charteret omfatter disse aspekter og indfører dem i den »væsentlige kerne« af den grundlæggende rettighed til privatlivets fred, kræver Raad van States præjudicielle spørgsmål en afvejning af goder og interesser, før der kan opnås et rationelt svar, som kan få disse regler til at harmonere med de relevante konstitutionelle rammer (26).
24. Ved gennemgangen af de fortolkningsmæssige hovedpunkter i direktiv 95/46 vil det være hensigtsmæssigt indledningsvis at undersøge direktivets teleologiske del med henblik på at fastslå den primære interesse.
B – Den grundlæggende ret til privatlivets fred og dens indre spændinger
25. Denne tvist vedrører ikke to grundrettigheder, men derimod to sider af samme sag. Til forskel fra de sager, hvor der er uoverensstemmelse mellem for eksempel retten til ære og informationsfriheden eller mellem retten til privatlivets fred og ejendomsretten, handler det nu om to forpligtelser, som påhviler de offentlige myndigheder: fastsættelse af frister for slettelse af registre med personoplysninger samt sikring af ejernes adgang til disse oplysninger. Denne særlige omstændighed betyder, at M.E.E. Rijkeboers situation er anderledes end de sager, som Domstolen tidligere har udtalt sig i, såsom Lindqvist-dommen (27) eller Promusicae-dommen (28), hvor beskyttelsen af privatlivets fred var i konflikt med henholdsvis retten til religionsfrihed og ejendomsretten (29). I den foreliggende sag er der derimod kun én rettighed, som er i intern konflikt, og som er delt mellem to sjæle, og derfor er dens skæbne magen til Dr. Jekylls og Mr. Hydes, for i dens indre lever godheden side om side med en kold og beregnende ubarmhjertighed.
26. De registeransvarliges opbevaring af oplysninger er en opgave, som har en udløbsdato, for i direktiv 95/46 bestemmes, at de kun må opbevares i en periode, der ikke er længere, end hvad der er absolut nødvendigt af hensyn til det formål, hvortil de er indsamlet, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Så håndfast udtrykkes det i artikel 6, og det er herefter op til medlemsstaterne at fastsætte de enkelte tidsfrister afhængigt af de forskellige områder og formål, der danner grundlag for oprettelsen og den efterfølgende slettelse af registrene. På trods af den fleksibilitet, som bestemmelsen giver de enkelte nationale retsordener, giver artikel 13 i direktiv 95/46 mulighed for at indføre undtagelser til denne bestemmelse, idet der gives tilladelse til at opbevare oplysningerne i en længere periode end normalt, hvis det er nødvendig af hensyn til den almene interesse, eksempelvis statens sikkerhed, bekæmpelsen af kriminalitet eller videnskabelig forskning.
27. Dette forhold nævnes ikke i præamblen til direktiv 95/46, og tidsbegrænsningen på opbevaringen tillægges ikke større relevans heri. Det er således kun i artikel 6 og 12, at denne forpligtelse behandles, og i betragtning af den rundhåndede skønsfrihed, som direktiv 95/46 tillægger medlemsstaterne, er det min opfattelse, at fællesskabslovgiveren ikke har fokuseret på dette område, hvilket kommer til udtryk, når ordningen herom sammenlignes med ordningen om retten til indsigt (30).
28. Muligheden for, at indehaveren af oplysningerne kan håndtere disse og ansøge om deres berigtigelse, slettelse eller blokering, udgør et af de væsentlige aspekter i direktiv 95/46. Denne opfattelse illustreres i 38. og 40. betragtning, ikke kun fordi de bekræfter vigtigheden af retten til indsigt, men ligeledes på grund af den tilknytning, der er mellem den information, som oplysningernes indehaver råder over, og behandlingen heraf. For at de rettigheder, der anerkendes i artikel 12, bliver gennemførlige, er det i virkeligheden nødvendigt at tage en række grundlæggende principper i betragtning, for i modsat fald ville bestemmelsens beskyttende virkning være uden mening. I 41. betragtning udtrykkes dette med stor tydelighed, da det fastslås, at »enhver skal have ret til indsigt i de oplysninger om sig selv, som gøres til genstand for behandling, så den pågældende kan forvisse sig om oplysningernes rigtighed og behandlingens lovlighed« (31). På dette punkt kommer de såkaldte »principper vedrørende oplysningernes pålidelighed« til deres fulde ret, således som de er formuleret i kapitel II, afdeling 1, i direktiv 95/46. Blandt disse findes ligeledes beføjelsen til at opbevare dem i et tidsrum, der »ikke er længere end hvad, der er nødvendigt af hensyn til det formål, hvortil de er indsamlet«. Pligten til at slette registrene er uløseligt forbundet med pligten til at behandle oplysningerne »rimeligt og lovligt« og pligten til at garantere deres pålidelighed, således at de er relevante, tilstrækkelige, korrekte og ikke omfatter mere, end hvad der kræves (32).
C – Den underordnede betydning af artikel 6 i forhold til artikel 12 i direktiv 95/46
29. Jeg er udmærket klar over vanskeligheden ved at skulle udpege en prioriteret betydning mellem artikel 6 og 12 i direktiv 95/46. Der findes vægtige motiver til at forsvare, at slettelsen er det væsentligste element i det system, som indføres ved direktiv 95/46, i henhold til hvilken der opstår en ret til indsigt, som giver individet mulighed for at kontrollere, at slettelsen vitterligt finder sted. På samme måde er beskyttelsesretten stadfæstet i artikel 12, for indsigten udgør direktivets virkelige subjektive karakter, som kort sagt giver individet mulighed for at reagere, når det ønsker at forsvare sine interesser.
30. I den henseende kan jeg ikke undgå at mindes den gamle problemstilling om hønen og ægget. Hvilken af de to kom først? Kan man leve til evig tid med dette spørgsmål og acceptere, at der aldrig findes en løsning, idet begge begreber består af evige realiteter, således som Aristoteles skrev (33)?
31. Til forskel fra filosoffen har domstolene ikke mulighed for at gøre brug af den samme tankefrihed, men skal bestræbe sig på at give et svar, også selv om det ikke altid rammer lige rigtigt. På samme måde som nogle videnskabsmænd har taget et standpunkt i den evindelige diskussion om hønen og ægget (34), vil jeg således forsøge at foreslå en løsning på konflikten mellem artikel 6 og 12 i direktiv 95/46.
32. Af punkt 29-35 i dette forslag til afgørelse udleder jeg, at slettelsen ifølge direktiv 95/46 indtager en underordnet stilling i forhold til retten til indsigt. Nævnte bestemmelser danner grundlag for en rettighed, som fødes ved forberedelsen af registeret og dør ved slettelsen heraf. Slettelsen af oplysningerne udgør således kun et øjeblik i adgangsrettens liv – en egenskab, som betinges og berettiges i artikel 12.
33. Hvis man bevæger sig længere ud ad denne tangent, bliver man mere og mere overbevist om, at retten til indsigt tilsigter at give oplysningernes ejer kendskab til de informationer, der findes om hans person. Det bliver desuden uddybet endnu mere, hvis man spørger ind til formålet med forespørgslerne. I mange tilfælde ønsker rettighedshaveren at undersøge lovligheden af behandlingen af hans oplysninger. Direktiv 95/46 pålægger de registeransvarlige nogle principper for udførelsen af deres arbejde, men samtidig fokuserer direktivet på beskyttelsesforanstaltningerne – blandt hvilke vi finder retten til indsigt – som oplysningernes ejer kan anvende som redskab til at kontrollere og sørge for, at loven overholdes.
34. Artikel 12 ville således, som hjørnesten for sikringsordningen i direktiv 95/46, mangle enhver form for logik, hvis de personer, der er i besiddelse af andres oplysninger, ikke skulle være underlagt nogen som helst regler. Kommissionen har med rette anført på retsmødet, at det netop er på grund af eksistensen af principper for behandlingen (artikel 6), at retten til indsigt opstår (35) og rejser sig som en grundpille i det nævnte direktiv. Dette bekræftes i artikel 12, hvor det fastholdes, at rettigheden skal være »uhindret« (36). I henhold til sikringsordningen i direktiv 95/46, hvor alle anstrengelser er koncentreret om at beskytte oplysningernes ejere, er det tydeligt, at beføjelsen til opbevaring af oplysningerne er underordnet retten til indsigt. Direktivets stærke individuelle orientering og dets hensigt om at beskytte de grundlæggende rettigheder (her retten til privatlivets fred) styrker denne tanke og placerer de underliggende interesser i artikel 6 på et lavere lovgivningsmæssigt niveau.
35. Dette argument understøttes af strukturen i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder, om hvis fortolkningsmæssige værdi der ikke hersker nogen tvivl (37), og hvor retten til indsigt er nedfældet i bestemmelsens stk. 1. Derefter nævnes i stk. 2 principperne for behandlingen, om end med en fremstilling af denne hierarkiske rækkefølge, hvor ejerens rettigheder er prioriteret højere end forpligtelserne hos den, der anvender oplysningerne.
36. Med udgangspunkt i dette perspektiv, og idet jeg henleder Domstolens opmærksomhed på den individuelle karakter af direktiv 95/46, hvor artikel 12 tillægges særlig vægt over for artikel 6, vil jeg undersøge spørgsmålet fra det nederlandske Statsråd.
VII – Personoplysninger og oplysninger vedrørende behandlingen
37. Som jeg gør rede for i punkt 16 og 17 i nærværende forslag til afgørelse, er det hensigtsmæssigt at foretage en separat undersøgelse af to tilfælde, hvis anvendelse afhænger af omstændighederne i hver enkelt af disse. Således analyseres tidsfristens lovlighed på den ene side, når den er kortere end den frist, der er fastsat for personoplysninger; og på den anden side, når tidsfristen for adgang til oplysningerne vedrørende behandlingen er identisk med den fastsatte frist for personoplysningerne. I det første tilfælde er det nødvendigt at fastslå, om direktivet giver mulighed for en sådan frihed i bestemmelserne om indsigt, som er baseret på typen af oplysninger, der anmodes om. I det andet tilfælde opstår vanskeligheden ved at præcisere, om det er muligt at få indsigt, efter at oplysningerne er slettet.
38. For at kunne give et nøjagtigt svar på spørgsmålet fra Raad van State er man nødsaget til først at klarlægge, om fristerne for slettelsen finder generel anvendelse på alle oplysninger, herunder dem, der vedrører behandlingen, eller om de kan variere afhængigt af typen af personoplysninger. Der er en væsentlig forskel alt afhængig af de formål, som hver type oplysning forfølger.
39. Den græske regering har, ligesom den tjekkiske regering, på retsmødet fremhævet, at hver enkelt type oplysning tjener forskellige formål. Følgelig er det interessant at forklare fordelene og ulemperne ved dette ræsonnement, såvel som dets konsekvenser for den foreliggende sag.
40. Tilintetgørelsen af personoplysninger har til hensigt at beskytte deres ejer, for ved at slette oplysningerne fjernes enhver risiko for ulovlig behandling heraf. Den kendsgerning, at der i direktiv 95/46 ikke fastsættes nogen tidsfrist i artikel 6, er på sin vis logisk, idet hvert register tjener sine egne formål, og den nationale lovgiver har, i overensstemmelse med subsidiaritetsprincippet, bedre mulighed for at afgøre, hvor lang tid de registeransvarlige skal have til rådighed inden slettelsen. Imidlertid opfylder slettelsen af de oplysninger, der vedrører behandlingen, andre formål. De værner nemlig ikke om oplysningernes ejer, da individet mister sporene efter brugen uden at udøve sin ret til indsigt, idet de relevante oplysninger ikke længere er i den ansvarliges besiddelse. Det er tværtimod de tredjeparter, som har modtaget oplysningerne, der får gavn af denne slettelse, idet deres identiteter og hensigter bliver slettet.
41. Denne problemstilling understreger de latente begrebsmæssige vanskeligheder her i sagen. Det er sandt, at man kan skelne mellem slettelsen af selve personoplysningerne og de oplysninger, der vedrører behandlingen(38). Der er forskellige retsgoder, der påvirkes heraf, ligesom der er selvstændige funktioner, som reguleres separat i direktiv 95/46. En sådan opbygning medfører dog, hvis den føres helt ud i ekstremerne, lidet ønskelige konsekvenser. For det første mangler der en begrebsmæssig gennemgang af forskelligheden i direktiv 95/46, da artikel 6 beskæftiger sig med slettelsen af oplysninger som helhed, mens artikel 12, om end den nævner flere forskellige slags oplysninger, kun gør det for at give indhold til retten til indsigt, og ikke med henblik på en kategorisering (39). For det andet er retten til indsigt udformet på en sådan måde, at den kan udøves »uhindret«, og at den er åben for bred fortolkning. Som jeg vil redegøre for i det følgende, kan styrken, hvormed denne rettighed beskyttes, begrænses alt efter omstændighederne, men udformningen af artikel 12 udelukker, at der eksisterer indsigt af første og anden kategori. For det tredje udgør begge slags oplysninger, som anført på retsmødet af Kommissionen, Kongeriget Spanien og Det Forenede Kongerige, en teknologisk enhed, de behandles almindeligvis i de samme registre, ligesom deres samlede behandling ikke medfører en særlig byrdefuld opgave for de registeransvarlige.
42. Jeg afviser således, at oplysningerne vedrørende behandlingen har deres eget liv og retsorden. Disse informationer påvirker de personoplysninger, der behandles, idet de forklarer måden og de betingelser, under hvilke de er blevet behandlet, og det leder mig hen imod et forsvar af, at disse oplysninger udgør en væsentlig del af fællesskabsdefinitionen af »personoplysninger« i henhold til artikel 2, litra a), i direktiv 95/46. For at kunne give den forelæggende ret et brugbart svar er det nødvendigt at uddybe denne påstand i lyset af de to omstændigheder, som jeg nævner i punkt 16 og 17 i dette forslag til afgørelse.
VIII – Første tilfælde: en kortere tidsfrist for slettelsen af oplysninger om behandlingen
43. Det spørgsmål, som Raad van State forelægger, lader til at vedrøre dette tilfælde: Den nederlandske lovgivning fastsætter en forlænget opbevaring af personoplysningerne, men samtidig fastsættes en kortere tidsfrist – på et år – for slettelsen af de oplysninger, der vedrører behandlingen. Men forelæggelseskendelsen specificerer ikke de oplysninger, som behandles i hovedsagen, og derfor drister jeg mig til at foreslå dette første svar med blikket rettet mod det nævnte tilfælde.
44. Ud fra de nævnte grunde i punkt 37 og 42 i dette forslag til afgørelse er det min opfattelse, at direktiv 95/46 ikke sondrer mellem personoplysninger og oplysninger vedrørende behandlingen. Om end jeg er klar over, hvilke lagringsmæssige vanskeligheder en accept af denne påstand vil kunne medføre, vurderer jeg, at fristen for slettelse i artikel 6 i direktiv 95/46 er den samme for begge slags oplysninger. Selv om formålet med slettelsen varierer alt efter oplysningstypen, har jeg svært ved at forestille mig, at der skulle findes forskellige ordninger baseret på en så kunstig opdeling, særligt når det har betydning for en grundlæggende rettighed.
45. Som jeg fremfører i punkt 29-35 i mit forslag til afgørelse, tillægges retten til indsigt prioritet i lovteksten, og pligten til slettelse underlægges denne. Til opfyldelse af det formål beskyttes personoplysningerne såvel som oplysningerne om behandlingen bedst, hvis de opbevares i lige lang tid.
46. Der vil være tilfælde, hvor lagringsperioden forekommer lang, men dette tidsrum retfærdiggøres af den almene interesse, som ligeledes vil kunne bruges til at forlænge levetiden for oplysningerne vedrørende behandlingen. Hvis opbevaringen bliver uforholdsmæssigt vidtstrakt, fordi registrene f.eks. har et historisk, statistisk eller videnskabeligt formål, kræves det i direktiv 95/46, at medlemsstaterne iværksætter særlige foranstaltninger, som tilpasser anvendelsen af disse registre til de omstændigheder, der berettiger den forlængede lagringsperiode (40). Det er derfor nødvendigt at foreslå andre foranstaltninger, som kan garantere beskyttelsen af oplysningernes ejer, selv om oplysningerne er tilpasset den historiske eller kulturelle brug, der nævnes i artikel 6, stk. 1, litra e), i direktiv 95/46.
47. Som College gør opmærksom på i sit skriftlige indlæg, og efterfølgende bekræfter på retsmødet, er der desuden andre begrænsninger af denne pligt til at opbevare oplysninger om behandlingen i samme tidsrum som personoplysningerne. Det eksempel, som College giver, forekommer mig at være afgørende hvad angår beskyttelsen af oplysningerne over for tredjemand, som på sin side vil være genstand for beskyttelse i direktiv 95/46, hvilket ikke betyder, at man skal lade de videregivne oplysningers oprindelige ejer fuldstændigt i stikken. Denne begrænsning bevirker – udelukkende hvad angår modtagerens personoplysninger – at den oprindelige ejer underlægges de samme begrænsninger som enhver anden erhverver i henhold til direktiv 95/46.
48. Hvis der således fastsættes en fælles tidsfrist for slettelse af personoplysningerne og oplysningerne vedrørende behandlingen, vil det ikke være nødvendigt at vurdere proportionaliteten af den etårige frist i den nederlandske lovgivning. Hvis den periode, som personoplysninger opbevares i, var længere end den fastsatte periode for oplysninger vedrørende behandlingen, ville svaret på det præjudicielle spørgsmål ende her.
49. Hvis sagens normative kontekst var en anden, ville løsningen på spørgsmålet variere, så længe der var et sammenfald mellem fristerne, og oplysningernes ejer krævede adgang til en oplysning, der tidligere var blevet slettet.
IX – Andet tilfælde: en fælles frist for slettelse af begge typer oplysninger
A – Affattelsen af artikel 12 i direktiv 95/46
50. Kongeriget Spanien, Den Tjekkiske Republik og Nederlandene hævder, at forbindelsen mellem indsigt og den slettelse, som er påkrævet i henhold til artikel 6, konstateres i artikel 12, idet de henviser til affattelsen af sidstnævnte artikels litra a), afsnit 2. I denne bestemmelse stilles der krav til medlemsstaterne om at sikre »retten til hos den registeransvarlige at få meddelt letforståelig information om, hvilke oplysninger der er omfattet af behandlingerne, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer«. Det kan af bestemmelsens formulering udledes, at retten til indsigt i de behandlede oplysninger begrænses i direktiv 95/46, idet denne mulighed udelukkes, når efterspørgslen foregår efter, at behandlingen er afsluttet, dvs. efter slettelsen. Denne fortolkning understøttes yderligere, hvis man sammenligner de talrige sproglige udgaver, som i forskellig grad peger på rettighedens midlertidige og permanente karakter.
51. Argumentet er ikke overbevisende, for selv når den engelske udgave refererer til oplysningerne som »undergoing processing« (41), har den spanske udgave et mere tvetydigt udtryk. Jeg erkender, at indholdet, såfremt det udsættes for en streng fortolkning, ville vise sig at stemme bedre overens med kravet om slettelse i artikel 6. Jeg tror imidlertid ikke, at sammenligningen fører noget afgørende med sig, navnlig ikke når der, som jeg vil redegøre for senere, findes grunde til at fravige fra den grammatiske ordlyd i artikel 12 (42).
52. Jeg tilslutter mig heller ikke Kongeriget Spaniens påstand om, at der bør tilføjes endnu en undtagelse til artikel 12, i tillæg til undtagelserne i artikel 13 i direktiv 95/46 (43). Efter at have accepteret, at indsigten ville blive begrænset til de oplysninger, der er genstand for den aktuelle behandling, vurderer den spanske regering, at der føjes endnu en begrænsning, af underforstået art, til begrænsningerne i artikel 13, hvis indhold udledes af den nævnte beføjelse i artikel 6 i direktiv 95/46. Forklaringen overbeviser mig ikke og støtter i væsentlig grad den påstand, som den forsøger at bekæmpe: at artikel 13 samler undtagelserne fra en omfattende ret til indsigt, mens disse undtagelser skal fortolkes strengt. Hvis ikke det er hensigtsmæssigt at foretage en rundhåndet undtagelse fra disse begrænsninger, vil det være endnu mere uacceptabelt at oprette nye kategorier.
53. Kort sagt får bestemmelsernes affattelse mig til at udelukke en snæver fortolkning af retten til indsigt. Disse hensigter ville ikke føre til en enhedsopfattelse af tidsfristen, da retten til indsigt ifølge det interne hierarki i direktiv 95/46 har forrang i forhold til slettelsen. Slettelsen af registeret medfører således en begrænsning i retten til indsigt, som kun kan tillades, hvis der opfyldes visse garantier. Dvs. at rettighedens udøvelse bør betinges (f.eks. ved indførelse af en tidsfrist), forudsat at oplysningernes indehaver er blevet beskyttet af andre midler. Hvis ikke det foregik på denne måde, ville der findes tidsfrister for slettelse, som var ulovlige, idet de ville udgøre en hindring for retten til indsigt. Det betyder dog ikke, at oplysningerne skal udsættes for en forskelsbehandling, og at de registeransvarlige skal forpligtes til at opbevare de oplysninger, der vedrører behandlingen, til evig tid. Tværtimod betyder det, at fristen for slettelse skal forlænges på en sådan måde, at indsigten sikres.
54. Jeg forsvarer således, at fristen for slettelse tillige udgør en begrænsning af rettigheden i artikel 12 i direktiv 95/46. Ikke desto mindre kan den pågældende periode krænke lovteksten, hvis den i for høj grad vanskeliggør formålet med bestemmelsen.
B – En undtagelse fra reglen: informering af den registrerede
55. På baggrund af de fremførte argumenter fastholder jeg, at fristen for slettelse fungerer som en hindring for udøvelsen af retten til indsigt, selv om der findes situationer, hvor der opstår et misforhold mellem fristen for slettelse og fristen for indsigt. Med ordet misforhold hentyder jeg til sandsynligheden for, at tidsfristen kan være passende for slettelsen og upassende for indsigten og omvendt. Jeg er klar over de praktiske vanskeligheder ved denne anskuelse, men der kan opstå en lignende konsekvens ved en meget snæver tilgangsvinkel, hvis den registrerede ikke i tilstrækkelig grad er blevet informeret om sine rettigheder.
56. Det er tilfældet, hvis der, i tråd med det, som Den Hellenske Republik og Kommissionen har fremført, konstateres en mangelfuld informering af oplysningernes ejer. For at forklare dette, er det værd at erindre, at der i artikel 10 og 11 i direktiv 95/46 indføres en pligt til at informere og anmode den berørte person om en række referencer og/eller tilladelser, herunder oplysninger om videregivelser til tredjeparter. Denne forpligtelse formuleres i vage termer og giver således de enkelte medlemsstater et omfattende råderum. Måden, hvorpå de enkelte nationale retsordener har struktureret disse pligter, er afgørende for løsningen af en sag som den foreliggende. Intet taler imod, at den person, som ikke inden videregivelsen er blevet informeret om modtagerens identitet eller om fristerne for udøvelsen af retten til indsigt, fortjener en øget grad af beskyttelse (44). Denne naturlige følge stemmer overens med den forrang, som i direktiv 95/46 tillægges oplysningernes ejers individuelle ret, hvis begrænsning nødvendigvis må formuleres på en sådan måde, at udøvelsen af retten garanteres, selv når slettelsen er foretaget.
57. I nogle tilfælde vil anvendelsen af denne praksis resultere i en domsafsigelse, som er umulig at fuldbyrde. Hvis College automatisk har slettet alle M.E.E. Rijkeboers oplysninger, der er ældre end et år, kan den pågældende persons krav vise sig at være nytteløst. Det er indlysende, at Rotterdam kommune ikke har mulighed for at udlevere noget, som den ikke længere er i besiddelse af. Det er muligt, at denne uhensigtsmæssighed også gør sig gældende for andre nationale retsordener, selv om det kun er i et begrænset tidsrum, nemlig i perioden indtil den lovgivning, der er uforenelig med fællesskabslovgivningen, bliver tilpasset. I mellemtiden bevarer den berørte part imidlertid et retsmiddel: statens økonomiske ansvar ved manglende opfyldelse af fællesskabsbestemmelserne. I mangel af en fuldbyrdelse, der tilfredsstiller individet fuldt ud, sikrer disse bestemmelser i det mindste en økonomisk erstatning, som de nationale retter er pligtige at anerkende (45).
58. Når alt kommer til alt, bør nærværende sag løses med et hard look – for at bruge et amerikansk udtryk – set fra et forholdsmæssigt synspunkt (46), hvis Raad van State oplyser, at der i hovedsagen er blevet konstateret mangelfuld information. I så tilfælde er det absolut nødvendigt, at fristen for slettelse ikke automatisk fungerer som en hindring for retten til indsigt. Proportionalitetskontrollen ville blive udøvet med den højeste grad af beskyttelse, og en så kortvarig frist som et år ville derfor næppe kunne godtages.
59. På baggrund af disse omstændigheder tilslutter jeg mig dem, der opfatter slettelsen og indsigten som dele af én enkelt virkelighed og dermed som forenede hvad angår udformningen af deres frister. Slettelsen i artikel 6 i direktiv 95/46 omfatter alle former for information, herunder videregivelser til tredjeparter. Følgelig fungerer tidsbegrænsningen for slettelsen også indirekte som en frist til at fastsætte varigheden af retten til indsigt. En afgrænsning af nogle oplysninger fra andre i forbindelse med indsigten forudsætter en sondring, som ikke findes i direktiv 95/46, og som i øvrigt ikke har en umiddelbar praktisk virkning (47).
60. Denne sondring tillader undtagelser, hvis der foreligger en mangel på gennemsigtighed, når den registrerede informeres om sine rettigheder. I sådanne tilfælde bør fristen for slettelse forlænges med henblik på at bevare retten til indsigt.
C – Fristen på et år og proportionalitetsprincippet
61. Den nederlandske lovgivning indeholder en særlig ordning vedrørende kommunernes behandling af personoplysninger, hvori den overordnede frist for slettelse på et år skiller sig ud i forbindelse med det, jeg her beskæftiger mig med. Jeg har allerede nævnt grundene til det hensigtsmæssige i at foretage en fælles bedømmelse af denne periode, både i henhold til artikel 6 og artikel 12 i direktiv 95/46. Det er nu på sin plads at vurdere den pågældende frists forenelighed med proportionalitetsprincippet, hvis anvendelighed udgør en forudsætning for de ovennævnte artikler, da de begge tilfører mening til en grundlæggende rettighed.
62. Det Forenede Kongeriges regering, den spanske regering og den tjekkiske regering har sat alle kræfter ind på at bevise det vanskelige i at garantere retten til indsigt, når oplysningerne er blevet slettet. Derfor har de ikke fokuseret særlig meget på den omstridte tidsfrist. Ikke desto mindre har den græske regering og College i deres indlæg fordybet sig i konsekvenserne af den nederlandske frist i lyset af direktiv 95/46 og proportionalitetsprincippet. Den græske regering og Kommissionen er af den opfattelse, at dette tidsrum er alt for kortvarigt og således uforeneligt med Fællesskabets retssystem. College søger tilflugt i fristens lovlighed og påberåber sig det nederlandske systems særegenheder, hvor fristens korte varighed kompenseres af andre sikkerhedsforanstaltninger til beskyttelse af oplysningernes ejer.
63. Inden jeg behandler forholdsmæssigheden ved den nationale frist, er det hensigtsmæssigt først at nævne nogle forskrifter, idet Domstolen ved andre lejligheder har undersøgt lignende frister. Der kan af retspraksis udledes en vekslende tilgangsvinkel, som afhænger af omstændighederne i hver enkelt sag, og som bevirker en større eller mindre grad af kontrol, alt afhængig af situationen (48). Når der foreligger en mulig påvirkning af grundlæggende rettigheder, bør vurderingen af en frist til udøvelsen heraf foretages meget omhyggeligt (49). Selv i et sådant tilfælde afhænger denne undersøgelse af flere forskellige faktorer.
64. Som jeg nævner i punkt 55-60 i dette forslag til afgørelse, er det nødvendigt at foretage en afvejning af den grad af information, som oplysningernes ejer har modtaget i løbet af behandlingen, og til det formål kan følgende kriterier opstilles.
65. I henhold til artikel 10 og 11 i direktivet begunstiges den registrerede af retten til at blive informeret om en række handlinger, blandt hvilke især skal nævnes identiteten på »modtagerne eller kategorierne af modtagere […], for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne«. De to bestemmelser skelner mellem de oplysninger, som er indhentet af ejeren selv, og dem, som stammer andetsteds fra, selv om der i begge tilfælde skal informeres om en eventuel videregivelse af oplysningerne til tredjeparter.
66. Den nationale lovgiver har et omfattende råderum, når den pligt, der er fastsat i omtalte artikel 10 og 11, skal videreudvikles, men formålet med disse bestemmelser er, at individet skal informeres om, at vedkommendes oplysninger er blevet videregivet, således at han eller hun, såfremt det ønskes, har mulighed for at få indsigt i behandlingen og overvåge, at den foregår i overensstemmelse med principperne i artikel 6 i direktiv 95/46. Informationspligten afhænger imidlertid af omstændighederne, og det påhviler således den forelæggende ret at undersøge, om det nederlandske retssystem, såvel som den respektive kommunale praksis, overholder bestemmelserne i nævnte artikel 10 og 11. Det ville være belejligt at vide, om M.E.E. Rijkeboer er blevet underrettet om videregivelserne, og om han er blevet informeret om den periode på et år, som er blevet ham tildelt til at udøve sin ret til indsigt. Medlemsstaterne er ikke tvunget til at give meddelelse om fristen, da det ikke fremgår af artikel 10 og 11 (50). Ved en bedømmelse af fristens varighed er det imidlertid af afgørende betydning at klarlægge, om denne oplysning er blevet givet til den berørte person. I modsat fald er det svært at godtage, at en så kort periode som et år – i mangel af nærmere begrundelser fra den registeransvarlige – skulle stemme overens med proportionalitetsprincippet og følgelig med direktiv 95/46.
67. På samme måde får typen af oplysninger, der videregives, særlig betydning, for som direktivet foreskriver, kan de oplysninger, der skal underrettes om, omfatte identiteten på modtagerne, men også »kategorierne af modtagere«. Sidstnævnte mulighed betyder, at de udleverede udskrifter ikke altid afspejler, hvem der har haft adgang til registrene, hvorfor den registrerede efterlades i en ufordelagtig situation, når han udøver sin ret til indsigt. Det påhviler den nationale domstol at fastslå, i hvor stort et omfang M.E.E. Rijkeboer er blevet underrettet om modtagerne af oplysningerne samt de vilkår, hvorunder det er sket. Ved denne undersøgelse bør der lægges særlig vægt på kontrollen med fristen, når identiteten på tredjemand ikke er udleveret, idet oplysningernes ejer kan frygte, at behandlingen ikke er sket i overensstemmelse med principperne i artikel 6.
68. Endelig burde der fastsættes nogle regler vedrørende bevisbyrden. Som indehaver af en grundlæggende rettighed har M.E.E. Rijkeboer været nødt til at gå rettens vej for at finde ud af, hvilken behandling hans personoplysninger har gennemgået (51). Foreneligheden med direktiv 95/46 afhænger af en række kasuistiske elementer, som er rodfæstede i den nationale lovgivning og i den kommunale praksis. M.E.E. Rijkeboer har set sig nødsaget til at indlede en retssag, hvor han påberåber sig sin grundlæggende rettighed, men det burde ikke være nødvendigt for ham at skulle bevise utilstrækkelighederne i hans eget lands retsorden på dette område, idet affattelsen af direktiv 95/46, i tråd med det i punkt 29-35 i dette forslag til afgørelse fremførte, giver anledning til at mene, at retten til indsigt har forrang, og at enhver undtagelse herfra skal overvejes med yderste forsigtighed. Idet den individuelle karakter af fællesskabsbestemmelserne vedrørende databeskyttelse således dominerer, påhviler det den pågældende registeransvarlige at godtgøre, at de retlige rammer og den herskende sædvane i behandlingen yder garantier, der retfærdiggør en så kort frist som et år til at udøve rettigheden i artikel 12 i direktiv 95/46.
69. I de indlæg, der er indgivet i den foreliggende sag, har College fremført nogle indicier på dette område. Den nationale lovgivning omfatter et system af vægt og modvægt (»checks and balances« i Colleges grafiske fremstilling), som forener retten til indsigt med visse beskyttelsesforanstaltninger, såsom begrænsning i typen af modtagere, tilknytning til specifikke formål i bestemte situationer, forudgående tilladelse fra den registrerede eller en kontrolmekanisme, der påhviler en uafhængig myndighed. College gør desuden gældende, at den registrerede bliver underrettet om fristen på et år, både individuelt og kollektivt (via internettet og i foldere, som er til rådighed for borgerne) (52).
70. Jeg er bevidst om de konsekvenser, som denne sag kan afstedkomme for de registeransvarlige, der er underlagt den nævnte lovtekst. Ikke desto mindre foranlediger vigtigheden af at beskytte individet mig til at forlige beskyttelsen af rettigheder med den effektive behandling af registrene. Artikel 6 og 12 i direktiv 95/46 bør derfor fortolkes derhen, at de ikke tillader fristen på et år til udøvelse af retten til indsigt i behandlingen, forudsat at
– den registrerede ikke er blevet informeret om videregivelsen
– vedkommende, såfremt denne er blevet informeret, ikke er blevet oplyst om fristens længde
– vedkommende, såfremt denne er blevet informeret, ikke er blevet underrettet i tilstrækkelig grad om modtagernes identitet.
71. Idet der er en grundlæggende rettighed på spil, skal College bevise, at de nationale bestemmelser og den administrative praksis sikrer den registrerede en passende grad af information, som giver vedkommende mulighed for uhindret at udøve sin ret til indsigt.
72. I lyset af de fremlagte kriterier samt de anførte retlige og faktiske omstændigheder, såvel i den foreliggende præjudicielle sag som i hovedsagen, påhviler det Raad van State at anvende artikel 6 og 12 i direktiv 95/46 i henhold til det fremførte i punkt 70 og 71 i dette forslag til afgørelse.
X – Forslag til afgørelse
73. På baggrund af alle disse overvejelser foreslår jeg Domstolen at besvare Raad van States præjudicielle spørgsmål på følgende måde:
»Oplysninger om behandlingen, herunder de, der vedrører videregivelse til tredjeparter, er personoplysninger i henhold til artikel 2, litra a), Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger. For at sikre den effektive virkning af direktiv 95/46 svarer fristen for slettelse af oplysninger om behandlingen til den fastsatte frist for personoplysningerne, uanset de rettigheder og forpligtelser, som det nævnte direktiv tildeler de tredjemænd, der modtager oplysningerne.
Artikel 6 og 12 i det omtalte direktiv 95/46 tillader ikke fristen på et år til udøvelse af retten til indsigt i behandlingen, forudsat at
– den registrerede ikke er blevet informeret om videregivelsen
– vedkommende, såfremt denne er blevet informeret, ikke er blevet oplyst om fristens længde
– vedkommende, såfremt denne er blevet informeret, ikke er blevet underrettet i tilstrækkelig grad om modtagernes identitet.
Det påhviler den registeransvarlige at bevise, at de nationale bestemmelser og den administrative praksis sikrer den registrerede en passende grad af information, som giver vedkommende mulighed for uhindret at udøve sin ret til indsigt.«