Language of document : ECLI:EU:C:2009:293

TEISINGUMO TEISMO (trečioji kolegija)

SPRENDIMAS

2009 m. gegužės 7 d.(*)

„Fizinių asmenų apsauga tvarkant asmens duomenis – Direktyva 95/46/EB – Privataus gyvenimo apsauga – Duomenų ištrynimas – Teisė gauti duomenis ir informaciją apie duomenų gavėjus – Terminas pasinaudoti teise gauti informaciją“

Byloje C‑553/07

dėl Raad van State (Nyderlandai) 2007 m. gruodžio 5 d. Sprendimu, kurį Teisingumo Teismas gavo 2007 m. gruodžio 12 d., pagal EB 234 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

College van burgemeester en wethouders van Rotterdam

prieš

M. E. E. Rijkeboer,

TEISINGUMO TEISMAS (trečioji kolegija),

kurį sudaro kolegijos pirmininkas A. Rosas, teisėjai A. Ó Caoimh, J. Klučka, U. Lõhmus ir P. Lindh (pranešėja),

generalinis advokatas D. Ruiz-Jarabo Colomer,

posėdžio sekretorė M. Ferreira, vyriausioji administratorė,

atsižvelgęs į rašytinę proceso dalį ir įvykus 2008 m. lapkričio 20 d. posėdžiui,

išnagrinėjęs pastabas, pateiktas:

–        College van burgemeester en wethouders van Rotterdam, atstovaujamos advocaat R. de Bree,

–        E. E. Rijkeboer, atstovaujamo juridisch adviseur W. van Bentem,

–        Nyderlandų vyriausybės, atstovaujamos C. M. Wissels ir C. ten Dam,

–        Čekijos vyriausybės, atstovaujamos M. Smolek,

–        Graikijos vyriausybės, atstovaujamos E.‑M. Mamouna ir V. Karra,

–        Ispanijos vyriausybės, atstovaujamos M. Muñoz Pérez,

–        Jungtinės Karalystės vyriausybės, atstovaujamos Z. Bryanston-Cross ir H. Walker, padedamų baristerio J. Stratford,

–        Europos Bendrijų Komisijos, atstovaujamos R. Troosters ir C. Docksey,

susipažinęs su 2008 m. gruodžio 22 d. posėdyje pateikta generalinio advokato išvada,

priima šį

Sprendimą

1        Prašymas priimti prejudicinį sprendimą susijęs su 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355; toliau – direktyva) 12 straipsnio a punkto išaiškinimu.

2        Prašymas pateiktas byloje tarp M. Rijkeboer ir College van burgemeester en wethouders van Rotterdam (Roterdamo burmistro ir miesto tarybos narių kolegija, toliau – College) dėl pastarosios dalinio atsisakymo suteikti jam informaciją apie jo asmens duomenų atskleidimo tretiesiems asmenims atvejus per dvejų metų iki prašymo suteikti informaciją pateikimo laikotarpį.

 Teisinis pagrindas

 Bendrijos teisės aktai

3        Direktyvos 2 ir 10 konstatuojamosiose dalyse, susijusiose su pagrindinėmis laisvėmis, skelbiama:

„(2)      kadangi duomenų tvarkymo sistemos skirtos tarnauti žmogui; kadangi nepriklausomai nuo fizinių asmenų tautybės ar gyvenamos vietos, duomenys turi būti tvarkomi gerbiant žmogaus teises ir laisves, ypač privatumo teisę, taip pat remiant ekonominę ir socialinę pažangą, prekybos plėtrą bei žmonių gerovę;

<…>

(10)      kadangi asmens duomenų tvarkymą reglamentuojančių nacionalinių įstatymų tikslas – apsaugoti pagrindines teises ir laisves, ypač privatumo teisę [teisę į privataus gyvenimo gerbimą], ir tai pripažįstama [pripažįstamą] Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 8 straipsnyje, taip pat Bendrijos teisės aktų bendruosiuose principuose; <...>“

4        Pagal direktyvos 25 konstatuojamąją dalį asmenų apsaugos principai turi būti išreikšti, viena vertus – atitinkamomis prievolėmis duomenis tvarkantiems asmenims, susijusiomis visų pirma su duomenų kokybe, ir, kita vertus – asmenims, apie kuriuos yra tvarkomi duomenys, suteiktomis teisėmis susipažinti su šiais duomenimis, reikalauti juos ištaisyti ir netgi tam tikromis aplinkybėmis prieštarauti, kad jie būtų tvarkomi.

5        Direktyvos 40 konstatuojamojoje dalyje, skirtoje pareigai informuoti duomenų subjektą, kai duomenys surinkti ne tiesiogiai iš jo, nurodoma, kad ši prievolė netaikoma tuomet, kai pateikti šią informaciją būtų neįmanoma arba reikalaujama pernelyg daug pastangų, ir kad šiuo atžvilgiu galima atsižvelgti į duomenų subjektų skaičių, duomenų senumą ir bet kurias įmanomas kompensacines priemones.

6        Pagal direktyvos 41 konstatuojamąją dalį bet kuriam asmeniui turi būti sudarytos galimybės pasinaudoti teise gauti su juo susijusius duomenis, kurie yra tvarkomi, ypač norint patikrinti duomenų tikslumą ir jų tvarkymo teisėtumą.

7        Direktyvos 1 straipsnis „Direktyvos paskirtis“ suformuluotas taip:

„1.      Pagal šią direktyvą valstybės narės saugo fizinių asmenų pagrindines teises ir laisves, o ypač jų privatumo teisę [privatų gyvenimą] tvarkant asmens duomenis.

2.      Valstybės narės nevaržo ir nedraudžia laisvo asmens duomenų judėjimo tarp valstybių narių dėl priežasčių, susijusių su apsauga, skiriama pagal šio straipsnio 1 dalį.“

8        Direktyvos 2 straipsnio a punkte sąvoka „asmens duomenys“ apibrėžiama kaip bet kuri informacija, susijusi su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta (duomenų subjektu).

9        Direktyvos 2 straipsnio b punkte „asmens duomenų tvarkymas“ apibrėžtas kaip reiškiantis:

„bet kurią operaciją ar operacijų rinkinį, automatiniais arba neautomatiniais būdais atliekamus su asmens duomenimis, kaip antai: rinkimas, užrašymas, rūšiavimas, saugojimas, adaptavimas ar keitimas, atgaminimas, paieška, naudojimas, atskleidimas perduodant, platinant ar kitu būdu padarant juos prieinamus, išdėstymas reikiama tvarka ar sujungimas derinant, blokavimas, trynimas ar naikinimas“.

10      Pagal direktyvos 2 straipsnio d punktą „duomenų valdytojas“ yra fizinis arba juridinis asmuo, valstybės valdžios institucija, agentūra ar bet kuris kitas organas, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir būdus.

11      Direktyvos 2 straipsnio g punkte „duomenų gavėjas“ apibrėžtas kaip fizinis ar juridinis asmuo, valstybės valdžios institucija, agentūra ar bet kuris kitas organas, kuriam atskleidžiami duomenys, net jei jis yra „trečioji šalis“ direktyvos 2 straipsnio f punkto prasme.

12      Direktyvos 6 straipsnyje įtvirtinti duomenų kokybės principai. Dėl duomenų saugojimo 1 straipsnio e punkte nurodoma, kad valstybės narės turi numatyti, jog asmens duomenys būtų „laikomi tokio pavidalo, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra reikalinga tais tikslais, dėl kurių duomenys buvo surinkti arba po to tvarkomi. Valstybės narės išdėsto asmens duomenų, ilgesnį laiką saugomų dėl istorinės, statistinės ar mokslinės paskirties, atitinkamas apsaugos priemones“.

13      Direktyvos 10 ir 11 straipsniuose nurodyta informacija, kurią duomenų valdytojas arba jo atstovas turi pateikti duomenų subjektui tais atvejais, kai renka duomenis iš jo arba ne iš jo.

14      Direktyvos 12 straipsnis „Teisė gauti informaciją“ suformuluotas taip:

„Valstybės narės garantuoja kiekvienam duomenų subjektui teisę reikalauti, kad duomenų valdytojas:

b)      be apribojimų, priimtinais laiko tarpais, per daug nedelsdamas ir be pernelyg didelių išlaidų, pateiktų:

–        patvirtinimą, ar su juo susiję duomenys yra tvarkomi, ir informaciją bent jau apie tvarkymo tikslus, duomenų kategorijas, gavėjus, kuriems atskleidžiami duomenys, arba jų kategorijas,

–        pranešimą suprantamu pavidalu apie tvarkomus duomenis ir bet kurią prieinamą informaciją apie jų šaltinius,

–        žinias apie loginius metodus, naudojamus automatiškai tvarkant duomenis apie duomenų subjektą, bent 15 straipsnio 1 dalyje nurodytų automatinių sprendimų atveju;

b)      tinkamai ištaisytų, ištrintų arba blokuotų duomenis, kurie tvarkomi nesilaikant šios direktyvos nuostatų, o ypač, kai tie duomenys yra neišsamūs ar netikslūs;

c)      praneštų trečiosioms šalims, kurioms duomenys buvo atskleisti, kad pagal b punktą duomenys buvo ištaisyti, ištrinti ar blokuoti, nebent tai padaryti būtų neįmanoma arba pernelyg sunku.“

15      Direktyvos 13 straipsnio 1 dalimi „Išimtys ir apribojimai“ valstybėms narėms leidžiama nukrypti, be kita ko, nuo 6 ir 12 straipsnių, kai tai yra būtina užtikrinant tam tikrus viešuosius interesus, kuriems priskiriamas nacionalinis saugumas, gynyba, kriminalinių nusikaltimų persekiojimas bei kitus interesus, pavyzdžiui, duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą.

16      Direktyvos 14 straipsnyje numatyta, kad valstybės narės suteikia duomenų subjektui teisę tam tikromis aplinkybėmis prieštarauti, kad jo asmens duomenys būtų tvarkomi.

17      Pagal direktyvos 17 straipsnio 1 dalies antrąją pastraipą valstybės narės numato duomenų valdytojui pareigą įgyvendinti tinkamas technines ir organizacines priemones, skirtas užtikrinti tokį saugumo lygį, kuris, atsižvelgus į technologijų lygį ir jų įdiegimo išlaidas, atitiktų tvarkymo keliamą riziką ir saugotinų duomenų pobūdį.

18      Direktyvos 22 straipsnyje ir 23 straipsnio 1 dalyje nurodyta, jog valstybės narės numato, kad kiekvienas asmuo turi teisę kreiptis į teismą, jei pažeidžiamos jam nacionalinės teisės aktais suteiktos teisės, ir kad bet kuris asmuo, patyręs žalos dėl neteisėtos tvarkymo operacijos ar bet kokio veiksmo, nesuderinamo su pagal šią direktyvą priimtomis nacionalinėmis nuostatomis, turi teisę iš duomenų valdytojo gauti žalos atlyginimą.

 Nacionalinės teisės aktai

19      Į Nyderlandų teisę direktyva buvo perkelta bendruoju teisės aktu – Asmens duomenų apsaugos įstatymu (Wet bescherming persoonsgegevens). Be to, atsižvelgiant į direktyvą, priimti specialieji įstatymai. Tai pasakytina ir apie pagrindinėje byloje nagrinėjamą teisės aktą – Įstatymą dėl komunų administracijų turimų asmens duomenų (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, Nr.°494, toliau – Wet GBA).

20      Wet GBA 103 straipsnio 1 dalyje numatyta, kad suinteresuoto asmens prašymu per keturias savaites Burmistro ir miesto tarybos narių kolegija (Collège des bourgmestre et échevins) raštu pateikia komunos administracijos apie jį turimus asmens duomenis, kurie buvo atskleisti šių duomenų pareikalavusiam ar kitam trečiajam asmeniui per vienerius metus iki suinteresuoto asmens prašymo.

21      Pagal Wet GBA 110 straipsnį Burmistro ir miesto tarybos narių kolegija saugo įrašą apie tokį atskleidimą vienerius metus nuo duomenų atskleidimo, nebent duomenų bazė suteikia galimybę gauti šią informaciją kitais būdais.

22      Iš College raštu pateiktų pastabų matyti, kad komunoje saugomi šie duomenys: vardas ir pavardė, gimimo data, administracinis numeris, socialinio draudimo – mokesčių mokėtojo numeris, užregistravusi komuna, šeiminė padėtis, globa (rūpyba), nepilnamečiams turima valdžia, pilietybė ir užsieniečių teisė gyventi.

 Pagrindinė byla ir prejudicinis klausimas

23      2005 m. spalio 26 d. laišku M. Rijkeboer paprašė College informuoti jį apie visus atvejus, kai komunos administracijos apie jį turimi asmens duomenys buvo atskleisti tretiesiems asmenims per dvejus metus iki jo prašymo. Jis pageidavo sužinoti šių asmenų tapatybę ir jiems pateiktos informacijos turinį. M. Rijkeboer, kuris buvo persikėlęs gyventi į kitą komuną, pageidavo konkrečiai sužinoti, kam buvo atskleistas jo senasis adresas.

24      2005m. spalio 27 d. ir lapkričio 29 d. sprendimais College patenkino šį prašymą tik iš dalies, pateikdama informaciją tik apie vienerių metų iki prašymo laikotarpį, kaip tai numatyta Wet GBA 103 straipsnio 1 dalyje.

25      Duomenų atskleidimas užregistruotas pagal Logisch Ontwerp GBA. Tai yra Nyderlandų Karalystės vidaus reikalų ministerijos (Ministerie van Binnenlandse Zaken en Koninkrijkrelaties) įsteigta automatinio duomenų tvarkymo sistema. Iš prašymo priimti prejudicinį sprendimą matyti, kad M. Rijkeboer prašomi senesni nei vienerių metų iki prašymo duomenys buvo automatiškai ištrinti ir kad tai atitinka Wet GBA 110 straipsnį.

26      M. Rijkeboer pateikė skundą College dėl atsisakymo suteikti informaciją apie gavėjus, kuriems asmens duomenys apie jį buvo atskleisti anksčiau nei vieneri metai iki prašymo. 2006 m. vasario 13 d. atmetus šį skundą, M. Rijkeboer pareiškė ieškinį Rechtbank Rotterdam.

27      Šis teismas patenkino ieškinį nusprendęs, kad Wet GBA 103 straipsnio 1 dalyje numatytas teisės būti informuotam apie duomenis, kurie gavėjams atskleisti daugiau nei vieneri metai iki prašymo, apribojimas neatitinka direktyvos 12 straipsnio. Jis taip pat nusprendė, kad nagrinėjamam atvejui netaikytinos šios direktyvos 13 straipsnyje numatytos išimtys.

28      Dėl šio sprendimo College pareiškė apeliacinį skundą Raad van State. Šis teismas konstatuoja, kad direktyvos 12 straipsnyje, susijusiame su teise gauti informaciją, neįtvirtintas galimybės pasinaudoti šia teise terminas. Tačiau, pasak jo, šis straipsnis nedraudžia nacionalinės teisės aktų leidėjui laike apriboti duomenų subjekto teisę būti informuotam apie gavėjus, kuriems asmens duomenys apie jį buvo atskleisti, tačiau šiuo klausimu jam lieka abejonių.

29      Tokiomis aplinkybėmis Raad van State nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šį prejudicinį klausimą:

„Ar įstatyme numatytas apribojimas suteikti informaciją tik apie tuos atskleidimus, kurie įvyko per vienerius metus iki atitinkamo prašymo, yra suderinamas su [Direktyvos] 95/46/EB [...] 12 straipsnio a punktu, skaitomu kartu su jos 6 straipsnio 1 dalies a punktu, ir proporcingumo principu?“

 Dėl prejudicinio klausimo

30      Pirmiausia reikia priminti, kad pagal EB 234 straipsnį numatytą teisminio bendradarbiavimo sistemą Teisingumo Teismas turi aiškinti Bendrijos teisės nuostatas. O nacionalinės teisės nuostatas aiškinti turi nacionaliniai teismai (žr. 2008 m. vasario 14 d. Sprendimo Gysen, C‑449/06, Rink. p. I‑553, 17 punktą).

31      Taigi, prašymą priimti prejudicinį sprendimą pateikusio teismo klausimą reikia suprasti kaip prašymą atsakyti, ar pagal direktyvą, konkrečiai – jos 12 straipsnio a punktą, asmens teisė gauti informaciją apie jo asmens duomenų gavėjus arba jų kategorijas bei šių atskleistų duomenų turinį gali būti apribota vienerių metų iki prašymo suteikti informaciją pateikimo trukmės laikotarpiu.

32      Šis teismas konkrečiai nurodo dvi direktyvos nuostatas: 6 straipsnio 1 dalies e punktą, susijusį su asmens duomenų laikymu, ir 12 straipsnio a punktą, susijusį su teise gauti šiuos duomenis. Kita vertus, nei šis teismas, nei kuri nors pastabas Teisingumo Teismui pateikusių šalių nesiremia direktyvos 13 straipsnyje nurodytomis išimtimis.

33      Direktyvos 6 straipsnis skirtas duomenų kokybei. Jo 1 dalies e punktu iš valstybių narių reikalaujama numatyti, kad asmens duomenys nebūtų laikomi ilgiau nei tai reikalinga tais tikslais, kuriais jie buvo surinkti arba po to tvarkomi. Taigi, pasiekus šiuos tikslus, šie duomenys turi būti ištrinti.

34      Direktyvos 12 straipsnio a punkte numatyta, kad valstybės narės suteikia duomenų subjektui teisę gauti asmens duomenis apie save bei informaciją apie šių duomenų gavėjus ir jų kategorijas, bet nenurodo termino.

35      Taigi, šiais dviem straipsniais siekiama apsaugoti duomenų subjektą. Prašymą priimti prejudicinį sprendimą pateikęs teismas nori sužinoti, ar šie du straipsniai susiję taip, kad teisė gauti informaciją apie asmens duomenų gavėjus ar jų kategorijas bei perduotų duomenų turinį gali priklausyti nuo šių duomenų saugojimo trukmės.

36      Iš Teisingumo Teismui pateiktų pastabų matyti, kad požiūriai į ryšį tarp šių dviejų nuostatų skiriasi.

37      College bei Nyderlandų, Čekijos, Ispanijos ir Jungtinės Karalystės vyriausybės tvirtina, kad direktyvos 12 straipsnio a punkte įtvirtinta teisė gauti informaciją tik apie dabarties, o ne praeities gavėjus arba jų kategorijas. Kadangi vadovaujantis nacionalinės teisės aktais duomenys buvo ištrinti, duomenų subjektas negali jų gauti. Ši pasekmė neprieštarauja direktyvai.

38      College ir Nyderlandų vyriausybė dar nurodo, kad Wet GBA 103 straipsnio 1 dalis, pagal kurį asmens prašymu komuna jam pateikia per vienerius metus iki prašymo gavėjams atskleistus duomenis, viršija direktyvoje nustatytus reikalavimus.

39      Komisija ir Graikijos vyriausybė tvirtina, kad direktyva suteikia teisę gauti informaciją ne tik apie dabartį, bet ir apie laikotarpį iki prašymo suteikti informaciją pateikimo. Jų požiūris išsiskiria tik dėl šios teisės konkrečios trukmės.

40      Siekiant įvertinti teisės gauti informaciją, kurią siekiama įtvirtinti direktyva, apimtį visų pirma reikia nustatyti duomenis, kurių atžvilgiu taikoma teisė gauti informaciją, o paskui – remtis direktyvos 12 straipsnio a punkto tikslu atsižvelgiant į bendrąjį direktyvos tikslą.

41      M. Rijkeboer atveju yra svarbūs dviejų rūšių duomenys.

42      Pirmai grupei priskirtini apie asmenį komunos turimi asmens duomenys, kaip antai jo vardas bei pavardė ir adresas, kurie nagrinėjamu atveju yra pagrindiniai duomenys. Iš College ir Nyderlandų vyriausybės pateiktų žodinių pastabų matyti, kad šie duomenys gali būti saugomi ilgai. Jie yra „asmens duomenys“ direktyvos 2 straipsnio a punkto prasme, nes yra „informacija, susijusi su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta“ (šiuo atžvilgiu žr. 2003 m. gegužės 20 d. Sprendimo Österreichischer Rundfunk ir kt., C‑465/00, C‑138/01 ir C‑139/01, Rink. p. I‑4989, 64 punktą; 2003 m. lapkričio 6 d. Sprendimo Lindqvist, C‑101/01, Rink. p. I‑12971, 24 punktą ir 2008 m. gruodžio 16 d. Sprendimo Huber, C‑524/06, Rink. p. I‑0000, 43 punktą).

43      Antrai grupei priskirtina informacija apie gavėjus arba jų kategorijas, kuriems šie pagrindiniai duomenys yra atskleidžiami, bei šių duomenų turinys, taigi – apie pagrindinių duomenų tvarkymą. Vadovaujantis pagrindinėje byloje nagrinėjamais nacionalinės teisės aktais, ši informacija saugoma tik vienerius metus.

44      Pagrindinėje byloje nagrinėjama teisė gauti informaciją apie asmens duomenų gavėją arba gavėjus bei perduotų duomenų turinį taikoma ir antros grupės duomenims.

45      Siekiant nustatyti, ar direktyvos 12 straipsnio a punktas leidžia tokį ribojimą laike, šį straipsnį reikia aiškinti atsižvelgiant į jo tikslą bendrųjų direktyvos tikslų kontekste.

46      Direktyvos 1 straipsnyje nurodyta, kad jos tikslas – saugoti fizinių asmenų pagrindines teises ir laisves, o ypač jų privatų gyvenimą tvarkant asmens duomenis, ir sudaryti sąlygas šių duomenų laisvam judėjimui tarp valstybių narių.

47      Privataus gyvenimo apsaugos svarba išsamiai paaiškinta direktyvos 2 bei 10 konstatuojamosios dalyse ir pripažįstama Teisingumo Teismo praktikoje (šiuo klausimu žr. minėtų sprendimų Österreichischer Rundfunk ir kt. 70 punktą; Lindqvist 97 ir 99 punktus; taip pat 2008 m. sausio 29 d. Sprendimo Promusicae, C‑275/06, Rink. p. I‑271, 63 punktą ir 2008 m. gruodžio 16 d. Sprendimo Satakunnan Markkinapörssi ir Satamedia, C‑73/07, Rink. p. I‑0000, 52 punktą).

48      Be to, kaip matyti iš direktyvos 25 konstatuojamosios dalies, šios apsaugos principai turi būti išreikšti, viena vertus, atitinkamomis prievolėmis duomenis tvarkantiems asmenims, visų pirma susijusiomis su duomenų kokybe, ir, kita vertus, asmenims, apie kuriuos yra tvarkomi duomenys, suteiktomis teisėmis susipažinti su šiais duomenimis, reikalauti juos ištaisyti ir netgi tam tikromis aplinkybėmis prieštarauti, kad jie būtų tvarkomi.

49      Ši teisė į privataus gyvenimo gerbimą reiškia, kad duomenų subjektas turi galimybę įsitikinti, ar tvarkomi jo asmens duomenys yra tikslūs ir tvarkomi teisėtai, t. y. konkrečiau tariant, ar pagrindiniai duomenys apie jį yra tikslūs ir teikiami teisėtiems jų gavėjams. Kaip nurodyta direktyvos 41 konstatuojamojoje dalyje, tam, kad duomenų subjektas galėtų atlikti reikiamus patikrinimus, jam turi būti suteikta teisė gauti savo asmens duomenis, kurie yra tvarkomi.

50      Šiuo atžvilgiu direktyvos 12 straipsnio a punkte numatyta teisė gauti pagrindinius duomenis bei informaciją apie gavėjus, kuriems šie duomenys atskleisti, arba šių gavėjų grupes.

51      Ši teisė gauti informaciją yra būtina tam, kad duomenų subjektas galėtų pasinaudoti direktyvos 12 straipsnio b ir c punktuose numatytomis teisėmis, t. y. pasiekti, kad duomenų valdytojas ištaisytų, ištrintų arba blokuotų duomenis tais atvejais, kai jie tvarkomi nesilaikant direktyvos (b punktas), arba praneštų trečiosioms šalims, kurioms duomenys buvo atskleisti, apie šiuos ištaisymus, ištrynimus ar blokavimus, nebent tai padaryti būtų neįmanoma arba pernelyg sunku (c punktas).

52      Ši teisė gauti informaciją taip pat būtina tam, kad duomenų subjektas galėtų pasinaudoti direktyvos 14 straipsnyje numatyta teise prieštarauti asmens duomenų apie jį tvarkymui arba jos 22 ir 23 straipsniuose numatyta teise pateikti ieškinį dėl patirtos žalos.

53      Teisės gauti informaciją apie pagrindinių duomenų gavėjus arba jų kategorijas bei atskleistų duomenų turinį atžvilgiu direktyvoje nenurodoma, ar ši teisė susijusi su praeitimi ir kokia galima laikotarpio praeityje trukmė.

54      Šiuo atžvilgiu reikia konstatuoti, kad siekiant užtikrinti šio sprendimo 51 ir 52 punktuose minėtų nuostatų veiksmingumą, ši teisė būtinai turi būti susijusi su praeitimi. Kitu atveju suinteresuotas asmuo negalėtų veiksmingai pasinaudoti turima teise pasiekti, kad neteisėtais arba neteisingais laikomi duomenys būtų ištaisyti, ištrinti arba užblokuoti, bei pareikšti ieškinį teisme ir prisiteisti patirtos žalos atlyginimą.

55      Kyla klausimas, kokia yra šio teisės apimtis praeityje.

56      Teisingumo Teismas yra nusprendęs, kad direktyvos nuostatos yra palyginti bendro pobūdžio dėl to, kad jos taikomos daugeliui labai įvairių situacijų, ir kad direktyvoje nurodytoms taisyklėms būdingas tam tikras lankstumas, t. y. daugeliu atveju valstybėms narėms paliekama galimybė priimti detalias nuostatas arba pasirinkti iš leidžiamų galimybių (žr. minėto sprendimo Lindqvist 83 punktą). Teisingumo Teismas taip pat pripažino, kad perkeldamos direktyvą valstybės narės daugeliu atžvilgiu turi diskreciją (žr. minėto sprendimo Lindqvist 84 punktą). Tačiau ši diskrecija, turima ir direktyvos 12 straipsnio a punkto perkėlimo atžvilgiu, nėra neribota.

57      Teisei gauti informaciją apie gavėjus arba jų kategorijas bei atskleistų duomenų turinį nustatytas terminas turi užtikrinti duomenų subjektui galimybę naudotis įvairiomis direktyvoje numatytomis ir šio sprendimo 51 ir 52 punktuose primintomis teisėmis.

58      Pagrindinių duomenų saugojimo laikotarpis gali būti svarbus kriterijus, tačiau nebūtinai – lemiamas.

59      Direktyvos taikymo sritis yra labai plati, tai Teisingumo Teismas jau pripažino (žr. minėtų sprendimų Österreichischer Rundfunk ir kt. 43 punktą ir Lindqvist 88 punktą), o asmens duomenys, kuriems skirta direktyva, įvairūs. Taigi, jų saugojimo trukmė, direktyvos 6 straipsnio 1 dalies e punkte apibrėžta atsižvelgiant į jų rinkimo ir vėlesnio tvarkymo tikslus, gali būti įvairi. Kai pagrindinių duomenų saugojimo trukmė yra labai ilga, tam tikrais atvejais duomenų subjekto interesas pasinaudoti šio sprendimo 57 punkte minėtomis įsiterpimo ir reikalavimų iškėlimo priemonėmis gali sumažėti. Pavyzdžiui, pareiga vienodai ilgai saugoti informaciją apie gavėjus arba jų kategorijas bei apie atskleistų duomenų turinį taip pat tais atvejais, kai atitinkamų pagrindinių duomenų gavėjų yra daug arba duomenų atskleidimas siauresnio rato gavėjams vyksta dažnai, gali būti pernelyg didelė našta duomenų valdytojui.

60      Tačiau iš valstybių narių direktyva nereikalaujama nustatyti tokias pareigas duomenų valdytojui.

61      Direktyvos 12 straipsnio c punkte numatyta aiški išlyga dėl duomenų valdytojo pareigos pranešti tretiesiems asmenims, kuriems atskleisti duomenys, apie ištaisymus, ištrynimus ar blokavimus, t. y. nurodytas atvejis, kai tai padaryti neįmanoma arba pernelyg sunku.

62      Iš kitų direktyvos dalių ištraukų matyti, kad galima atsižvelgti į kai kurioms priemonėms užtikrinti reikalingų pastangų neproporcingumą. Dėl pareigos informuoti duomenų subjektą 40 konstatuojamojoje dalyje nurodyta, kad gali būti atsižvelgta į duomenų subjektų skaičių ir duomenų senumą. Pagal direktyvos 17 straipsnį, susijusį su tvarkymo saugumu, valstybės narės turi numatyti duomenų valdytojui pareigą įgyvendinti tinkamas technines ir organizacines priemones, skirtas užtikrinti tokį saugumo lygį, kuris, atsižvelgus į technologijų lygį ir jų įdiegimo išlaidas, atitiktų tvarkymo keliamą riziką ir saugotinų duomenų pobūdį.

63      Analogiški motyvai taikytini nustatant terminą, taikytiną teisei gauti informaciją apie gavėjus arba jų kategorijas bei atskleistų duomenų turinį. Be šio sprendimo 57 punkte primintų motyvų, valstybės narės gali atsižvelgti į keletą kitų veiksnių, be kita ko, ieškinio senatį reglamentuojančias nacionalinės teisės nuostatas, pagrindinių duomenų didesnį ar mažesnį jautrumą, šių duomenų saugojimo trukmę ir duomenų subjektų kiekį.

64      Taigi valstybės narės turi nustatyti tokį informacijos apie gavėjus arba jų kategorijas bei atskleistų duomenų turinį saugojimo terminą ir sudaryti tokias šios informacijos gavimo sąlygas, kad būtų užtikrinta tinkama pusiausvyra tarp, viena vertus, duomenų subjekto intereso apsaugoti savo privatų gyvenimą pasinaudojant, be kita ko, teisėmis ištaisyti, ištrinti ir užblokuoti nesilaikant direktyvos nuostatų tvarkomus duomenis, prieštarauti bei pareikšti ieškinį teisme ir, kita vertus, naštos, kuri duomenų valdytojui tenka dėl pareigos saugoti šią informaciją.

65      Be to, nustatant šį terminą reikia atsižvelgti į pareigas numatyti, jog asmens duomenys būtų laikomi tokio pavidalo, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra reikalinga tais tikslais, dėl kurių duomenys buvo surinkti arba po to tvarkomi. Valstybės narės išdėsto asmens duomenų, ilgesnį laiką saugomų dėl istorinės, statistinės ar mokslinės paskirties, atitinkamas apsaugos priemones.

66      Nagrinėjamu reguliavimu, kai informacijos apie duomenų gavėjus arba jų kategorijas bei atskleistų duomenų turinį saugojimas ribojamas vieneriais metais ir atitinkamai ribojama galimybė gauti šią informaciją, nors pagrindiniai duomenys saugomi daug ilgesnį laiką, negali užtikrinti tinkamos pusiausvyros tarp nagrinėjamo intereso ir nagrinėjamos pareigos, nebent būtų įrodyta, kad ilgesnis šios informacijos saugojimas būtų pernelyg didelė našta duomenų valdytojui. Tačiau tai patikrinti, atsižvelgdamas į pirmesniuose punktuose nurodytus motyvus, turi nacionalinis teismas.

67      Turint omenyje nurodytus motyvus, reikia atmesti tam tikrų valstybių narių argumentą, jog atsižvelgiant į direktyvos 10 ir 11 straipsnius nereikalinga, kad direktyvos 12 straipsnio a punkte numatyta teisė gauti informaciją apie gavėjus arba jų kategorijas apimtų praeitį.

68      Reikia konstatuoti, kad šiais 10 ir 11 straipsniais įtvirtinamos pareigos duomenų valdytojui arba jo atstovui tam tikromis aplinkybėmis suteikti duomenų subjektui informaciją apie duomenų gavėjus arba jų kategorijas. Duomenų valdytojas arba jo atstovas privalo patys suteikti šią informaciją duomenų subjektui duomenų surinkimo momentu arba, jei duomenys surenkami ne tiesiogiai iš šio subjekto, šių duomenų užrašymo ar jų galimo atskleidimo trečiajam asmeniui momentu.

69      Taigi šiomis nuostatomis siekiama įtvirtinti kitokias pareigas nei tos, kurios išplaukia iš direktyvos 12 straipsnio a punkto. Todėl jos niekaip nesumažina valstybių narių pareigos numatyti, kad duomenų valdytojas privalo pateikti duomenų subjektui informaciją apie gavėjus arba jų kategorijas bei atskleistus duomenis, šiam nusprendus pasinaudoti jam pagal šį 12 straipsnio a punktą suteikta teise gauti informaciją. Valstybės narės privalo priimti priemones, perkeliančias, viena vertus, direktyvos 10 ir 11 straipsnių nuostatas dėl pareigos informuoti ir, kita vertus, direktyvos 12 straipsnio a punkto nuostatas taip, kad iš pirmųjų išplaukiančios pareigos nesumažintų išplaukiančių iš antrųjų.

70      Todėl į pateiktą klausimą reikia atsakyti, kad:

–        direktyvos 12 straipsnio a punktu iš valstybių narių reikalaujama numatyti teisę gauti tiek su dabartim, tiek su praeitim susijusią informaciją apie duomenų gavėjus arba jų kategorijas bei atskleistos informacijos turinį. Valstybės narės turi nustatyti šios informacijos saugojimo trukmę bei atitinkamą teisę gauti ją taip, kad būtų užtikrinta tinkama pusiausvyra tarp, viena vertus, duomenų subjekto intereso apsaugoti privatų gyvenimą pasinaudojant, be kita ko, Direktyvoje 95/46 numatytomis įsiterpimo ir reikalavimų iškėlimo priemonėmis ir, kita vertus, naštos, kuri duomenų valdytojui tenka dėl pareigos saugoti šią informaciją.

–        Reguliavimu, kai informacijos apie duomenų gavėjus arba jų kategorijas bei atskleistų duomenų turinį saugojimas ribojamas vieneriais metais ir atitinkamai ribojama galimybė gauti šią informaciją, nors pagrindiniai duomenys saugomi daug ilgiau, negali užtikrinti tinkamos pusiausvyros tarp nagrinėjamo intereso ir nagrinėjamos pareigos, nebent būtų įrodyta, kad ilgesnis šios informacijos saugojimas būtų pernelyg didelė našta duomenų valdytojui. Tai patikrinti turi nacionalinis teismas.

 Dėl bylinėjimosi išlaidų

71      Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (trečioji kolegija) nusprendžia:

1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 12 straipsnio a punktu iš valstybių narių reikalaujama numatyti teisę gauti tiek su dabartim, tiek su praeitim susijusią informaciją apie duomenų gavėjus arba jų kategorijas bei atskleistos informacijos turinį. Valstybės narės turi nustatyti šios informacijos saugojimo trukmę bei atitinkamą teisę gauti ją taip, kad būtų užtikrinta tinkama pusiausvyra tarp, viena vertus, duomenų subjekto intereso apsaugoti savo privatų gyvenimą pasinaudojant, be kita ko, direktyvoje numatytomis įsiterpimo ir reikalavimų iškėlimo priemonėmis ir, kita vertus, naštos, kuri duomenų valdytojui tenka dėl pareigos saugoti šią informaciją.

Reguliavimu, kai informacijos apie duomenų gavėjus arba jų kategorijas bei atskleistų duomenų turinį saugojimas ribojamas vieneriais metais ir atitinkamai ribojama galimybė gauti šią informaciją, nors pagrindiniai duomenys saugomi daug ilgesnį laiką, negali užtikrinti tinkamos pusiausvyros tarp nagrinėjamo intereso ir nagrinėjamos pareigos, nebent būtų įrodyta, kad ilgesnis šios informacijos saugojimas būtų pernelyg didelė našta duomenų valdytojui. Tai patikrinti turi nacionalinis teismas.

Parašai.


* Proceso kalba: olandų.