DOMSTOLENS DOM
6. november 2003 (1)

»Direktiv 95/46/EF – anvendelsesområde – offentliggørelse af personoplysninger på internettet – offentliggørelsessted – begrebet videregivelse af personoplysninger til tredjelande – ytringsfrihed – spørgsmålet, om en mere vidtgående beskyttelse af personoplysninger i en medlemsstats nationale lovgivning er forenelig med direktiv 95/46«

I sag C-101/01,

angående en anmodning, som Göta hovrätt (Sverige) i medfør af artikel 234 EF har indgivet til Domstolen for i den for nævnte ret verserende straffesag mod

Bodil Lindqvist

at opnå en præjudiciel afgørelse navnlig vedrørende fortolkningen af Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31),

har

DOMSTOLEN,

sammensat af formanden for Første Afdeling, P. Jann, som fungerende præsident, og afdelingsformændene C.W.A. Timmermans, C. Gulmann, J.N. Cunha Rodrigues og A. Rosas samt dommerne D.A.O. Edward (refererende dommer), J.P. Puissochet, F. Macken og S. von Bahr,

generaladvokat: A. Tizzano
justitssekretær: assisterende justitssekretær H. von Holstein,

efter at der er indgivet skriftlige indlæg af:

–

B. Lindqvist ved advokat S. Larsson

–

den svenske regering ved A. Kruse, som befuldmægtiget

–

den nederlandske regering ved H.G. Sevenster, som befuldmægtiget

–

Det Forenede Kongeriges regering ved G. Amodeo, som befuldmægtiget, bistået af barrister J. Stratford

–

Kommissionen for De Europæiske Fællesskaber ved L. Ström og X. Lewis, som befuldmægtigede,

på grundlag af retsmøderapporten,

efter at der i retsmødet den 30. april 2002 er afgivet mundtlige indlæg af B. Lindqvist ved S. Larsson, af den svenske regering ved A. Kruse og B. Hernqvist, som befuldmægtiget, af den nederlandske regering ved J. van Bakel, som befuldmægtiget, af Det Forenede Kongeriges regering ved J. Stratford, af Kommissionen ved L. Ström og C. Docksey, som befuldmægtiget, og af EFTA-Tilsynsmyndigheden ved D. Sif Tynes, som befuldmægtiget,

og efter at generaladvokaten har fremsat forslag til afgørelse den 19. september 2002,

afsagt følgende

Dom

1

Ved kendelse af 23. februar 2001, indgået til Domstolen den 1. marts 2001, har Göta hovrätt i medfør af artikel 234 EF forelagt syv præjudicielle spørgsmål, navnlig vedrørende fortolkningen af Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).

2

Spørgsmålene er blevet rejst i forbindelse med en straffesag for nævnte ret mod B. Lindqvist, der er tiltalt for at have overtrådt den svenske lovgivning om beskyttelse af personoplysninger, idet hun på sin hjemmeside på internettet har offentliggjort personoplysninger vedrørende en række personer, der ligesom hun arbejder som frivillige i en protestantisk sognekirke i Sverige.

Retsforskrifter

Fællesskabsretlige bestemmelser

3

Det fremgår af artikel 1, stk. 1, i direktiv 95/46, at det har til formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.

4

Artikel 3 i direktiv 95/46, der vedrører direktivets anvendelsesområde, bestemmer:

»1. Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2. Dette direktiv gælder ikke for sådan behandling af personoplysninger,

–

som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område

–

som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter.«

5

Artikel 8 i direktiv 95/46 med overskriften »Behandlinger, der vedrører særlige kategorier af oplysninger«, bestemmer:

»1. Medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold.

2. Stk. 1 finder ikke anvendelse, hvis

a)

den registrerede udtrykkeligt har givet sit samtykke til en sådan behandling, medmindre det i medlemsstatens lovgivning fastsættes, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke, eller

b)

behandlingen er nødvendig for overholdelsen af den registeransvarliges arbejdsretlige forpligtelser og specifikke rettigheder, for så vidt den er tilladt ifølge nationale lovbestemmelser, som fastsætter de fornødne garantier, eller

c)

behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den pågældende ikke fysisk eller juridisk er i stand til at give sit samtykke, eller

d)

behandlingen foretages af en stiftelse, en forening eller et andet almennyttigt organ, hvis sigte er af politisk, filosofisk, religiøs eller faglig art, som led i organets legitime aktiviteter og med de fornødne garantier, på betingelse af, at behandlingen alene vedrører organets medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt hermed, og at oplysningerne ikke videregives til tredjemand uden den registreredes samtykke, eller

e)

behandlingen vedrører oplysninger, som klart offentliggøres af den registrerede, eller er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.

3. Stk. 1 finder ikke anvendelse, hvis behandlingen af oplysningerne er nødvendig med henblik på forebyggende medicin, medicinsk diagnose, sygepleje eller patientbehandling eller forvaltning af læge- og sundhedstjenester, og hvis behandlingen af disse oplysninger foretages af en erhvervsudøvende i sundhedssektoren, der i henhold til den nationale lovgivning eller til regler, der er fastsat af kompetente nationale organer, har tavshedspligt, eller af en anden person med tilsvarende tavshedspligt.

4. Med forbehold af, at der gives tilstrækkelige garantier, kan medlemsstaterne af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser, fastsætte andre undtagelser end dem, der er nævnt i stk. 2, enten ved national lovgivning eller ved en afgørelse truffet af tilsynsmyndigheden.

5. Behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger må kun foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig myndighed.

Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile retssager ligeledes skal foretages under en offentlig myndigheds kontrol.

6. Undtagelser fra stk. 1 som omhandlet i stk. 4 og 5 meddeles til Kommissionen.

7. Medlemsstaterne bestemmer, på hvilke betingelser et nationalt identifikationsnummer eller andre almene midler til identifikation kan gøres til genstand for behandling.«

6

Artikel 9 i direktiv 95/46 med overskriften »Behandling af personoplysninger og ytringsfriheden« bestemmer:

»Medlemsstaterne fastsætter i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra bestemmelserne i dette kapitel og i kapitel IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.«

7

Artikel 13 i direktiv 95/46 med overskriften »Undtagelser og begrænsninger« bestemmer, at medlemsstaterne kan indføre begrænsninger af visse forpligtelser, der påhviler den registeransvarlige i henhold til direktivet, bl.a. vedrørende oplysninger til berørte personer, for så vidt som nævnte begrænsninger er nødvendige af hensyn til f.eks. statens sikkerhed, forsvaret, den offentlige sikkerhed, væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, samt efterforskning og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv.

8

Artikel 25 i direktiv 95/46, der er indeholdt i kapitel IV med overskriften »Videregivelse af personoplysninger til tredjelande«, er affattet således:

»1. Medlemsstaterne fastsætter bestemmelser om, at videregivelse til et tredjeland af personoplysninger, der gøres til genstand for behandling, eller som skal gøres til genstand for behandling efter videregivelsen, kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og forudsat at de nationale bestemmelser, der vedtages til gennemførelse af direktivets øvrige bestemmelser, overholdes.

2. Vurderingen af, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt, sker på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger; til grund for vurderingen lægges navnlig oplysningernes art, den eller de påtænkte behandlingers formål og varighed, oprindelseslandet og det endelige bestemmelsesland, de retsregler – almindelige regler eller sektorregler – der er i kraft i det pågældende tredjeland, samt de regler for god forretningsskik og de sikkerhedsforanstaltninger, der gælder i landet.

3. Medlemsstaterne og Kommissionen underretter gensidigt hinanden, hvis de mener, at et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med stk. 2.

4. Konstaterer Kommissionen efter proceduren i artikel 31, stk. 2, at et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2, træffer medlemsstaterne de foranstaltninger, der er nødvendige for at hindre enhver videregivelse af oplysninger af samme art til det pågældende tredjeland.

5. Kommissionen indleder på det rette tidspunkt forhandlinger med henblik på at afhjælpe den situation, der opstår som følge af en konstatering efter stk. 4.

6. Kommissionen kan efter proceduren i artikel 31, stk. 2, fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2, på grundlag af dets nationale lovgivning eller dets internationale forpligtelser med henblik på at beskytte privatlivet og personers grundlæggende rettigheder og frihedsrettigheder, herunder de forpligtelser, der er indgået efter de i stk. 5 nævnte forhandlinger.

Medlemsstaterne træffer de foranstaltninger, der er nødvendige for at efterkomme Kommissionens afgørelse.«

9

I forbindelse med vedtagelsen af direktiv 95/46 afgav Kongeriget Sverige en erklæring vedrørende dettes artikel 9, som blev indført i Rådets mødeprotokol (Rådets dokument nr. 4649/95 af 2.2.1995), der lyder som følger:

»Kongeriget Sverige finder, at udtrykket kunstnerisk eller litterær virksomhed henviser til ytringsmåder snarere end til indholdet af meddelelsen eller til dens kvalitet.«

10

Den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »menneskerettighedskonventionen«) fastsætter i artikel 8 retten til respekt for privatliv og familieliv og indeholder i artikel 10 bestemmelser om ytringsfrihed.

Nationale bestemmelser

11

Direktiv 95/46 er blevet gennemført i svensk ret ved Personuppgiftslag, SFS 1998, nr. 204 (den svenske lov om personoplysninger, herefter »personuppgiftslagen«).

Tvisten i hovedsagen og de præjudicielle spørgsmål

12

Ved siden af sit arbejde som rengøringsassistent arbejdede B. Lindqvist med forberedelse af konfirmander i Alseda sogn (Sverige). Hun deltog i et edb-kursus, hvor hun bl.a. skulle lave en hjemmeside på internettet. I slutningen af 1998 oprettede B. Lindqvist hjemme hos sig selv og på sin egen computer hjemmesider på internettet for at gøre det let for menighedsmedlemmer, der forberedte deres konfirmation, at indhente de oplysninger, som de kunne have brug for. På foranledning af administratoren af den svenske kirkes hjemmeside på internettet blev der oprettet et link mellem disse hjemmesider og kirkens hjemmeside.

13

De omhandlede hjemmesider indeholdt oplysninger om B. Lindqvist og 18 af hendes kolleger i sognet, herunder deres fulde navn og i andre tilfælde blot deres fornavne. B. Lindqvist beskrev desuden kollegernes arbejdsopgaver og fritidsvaner i en let humoristisk sprogbrug. I flere tilfælde var også familieforhold, telefonnummer og andre oplysninger anført. Hun oplyste endvidere om en kvindelig kollega, at hun havde beskadiget foden og var delvis sygemeldt.

14

B. Lindqvist havde ikke oplyst sine kolleger om eksistensen af disse hjemmesider, eller indhentet deres samtykke og indgav heller ikke anmeldelse til Datainspektionen (offentligt organ, der beskytter elektronisk overførte oplysninger). Så snart hun fik kendskab til, at nogle af kollegerne ikke brød sig om hendes tiltag, blev de pågældende hjemmesider fjernet.

15

Anklagemyndigheden rejste tiltale mod B. Lindqvist for overtrædelse af personuppgiftslagen og påstod hende dømt, idet hun havde

–

behandlet personoplysninger elektronisk uden først at have indgivet skriftlig anmeldelse til Datainspektionen (personuppgiftslagens § 36)

–

behandlet følsomme personoplysninger, nemlig oplysninger vedrørende en skadet fod og delvis sygemelding, uden tilladelse hertil (personuppgiftslagens § 13)

–

videregivet personoplysninger, som blev behandlet uden tilladelse, til et tredjeland (personuppgiftslagens § 33).

16

B. Lindqvist vedstod de faktiske omstændigheder, men bestred at have begået en strafbar overtrædelse. Eksjö tingsrätt (Sverige) idømte B. Lindqvist en bøde. Hun ankede afgørelsen til den forelæggende ret.

17

Bøden blev fastsat til 4 000 SEK, som fremkom ved at multiplicere 100 SEK, der blev beregnet ud fra B. Lindqvists økonomiske situation, med en faktor på 40, som repræsenterede overtrædelsens grovhed. B. Lindqvist blev desuden dømt til at betale 300 SEK til en svensk fond, der har til formål at hjælpe ofre for forbrydelser.

18

Da Göta hovrätt var i tvivl om fortolkningen af de fællesskabsretlige bestemmelser, der finder anvendelse på området, navnlig direktiv 95/46, har den udsat sagen og forelagt Domstolen følgende præjudicielle spørgsmål:

»1)

Udgør omtale af en person – med navn eller med navn og telefonnummer – på en såkaldt hjemmeside på internettet en handling, der falder ind under anvendelsesområdet for direktiv [95/46]? Udgør det en »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb«, at der på en egenhændigt oprettet hjemmeside på internettet anføres et antal personer tillige med udsagn og påstande om disse personers arbejdsforhold og fritidsinteresser mv.?

2)

Besvares spørgsmål 1 benægtende, kan det forhold, at der på en hjemmeside på internettet oprettes særlige sider for omkring femten personer med links mellem siderne, der gør det muligt at søge på fornavn, da anses for at udgøre en sådan »ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register«, som omhandlet i artikel 3, stk. 1?

Besvares et eller begge af disse spørgsmål bekræftende, har hovrätten også følgende spørgsmål.

3)

Kan det forhold, at der lægges oplysninger af den omtalte art om kolleger ud på en privat hjemmeside, som er tilgængelig for alle, der kender hjemmesidens adresse, anses for at falde uden for anvendelsesområdet for direktiv [95/46] på grund af en af undtagelserne i artikel 3, stk. 2?

4)

Er oplysninger på en hjemmeside om, at en navngiven kollega har beskadiget sin fod og er delvis sygemeldt, sådanne personoplysninger om helbredsforhold, som i henhold til artikel 8, stk. 1, ikke må gøres til genstand for behandling?

5)

Videregivelse af personoplysninger til et tredjeland er i henhold til direktiv [95/46] i visse tilfælde forbudt. Såfremt en person i Sverige ved hjælp af en computer lægger personoplysninger ud på en hjemmeside, som er lagret på en server i Sverige – hvorved personoplysningerne bliver tilgængelige for personer i et tredjeland – indebærer dette da en videregivelse af oplysninger til et tredjeland i direktivets forstand? Er svaret det samme, hvis der, så vidt vides, ikke er nogen fra tredjelande, der faktisk har indhentet oplysningerne, eller hvis den pågældende server rent fysisk befinder sig i et tredjeland?

6)

Kan bestemmelserne i direktiv [95/46] i en sag som den foreliggende anses for at medføre en begrænsning, der er i strid med de almindelige principper om ytringsfrihed eller andre friheder og rettigheder, der er gældende inden for EU, og som svarer til bl.a. artikel 10 i Europakonventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder?

Hovrätten har endelig følgende spørgsmål.

7)

Kan en medlemsstat – i de henseender, der er omtalt i de foregående spørgsmål – have en mere vidtgående beskyttelse af personoplysninger eller et videre anvendelsesområde end det, det følger af direktiv [95/46], selv om der ikke foreligger nogen af de i artikel 13 opregnede forhold?«

Det første spørgsmål

19

Med sit første spørgsmål ønsker den forelæggende ret oplyst, om en operation, der består i på en internetside at henvise til forskellige personer, og i at identificere dem ved navn eller på anden måde, f.eks. ved at oplyse deres telefonnummer eller ved at give oplysninger om deres arbejdsforhold og fritidsinteresser, udgør en »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 1, i direktiv 95/46.

Indlæg til Domstolen

20

Ifølge B. Lindqvist er det ikke rimeligt at antage, at den blotte omtale af en persons navn eller den blotte angivelse af personoplysninger i en tekst på en internetside udgør en behandling af oplysninger ved hjælp af edb. Derimod kan omtalen af sådanne oplysninger i et nøgleord i »meta tags« på en internetside, som gør det muligt at foretage en indeksering, og at finde siden ved hjælp af en søgemaskine, udgøre en sådan behandling.

21

Den svenske regering har anført, at begrebet »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb«, som omhandlet i artikel 3, stk. 1, i direktiv 95/46, omfatter enhver behandling i edb-format, dvs. i binært format. Dette indebærer, at så snart en personoplysning behandles ved hjælp af en computer, enten i et tekstbehandlingsprogram eller med henblik på at lægge oplysninger ud på en internetside, bliver den genstand for en behandling, der er omfattet af direktiv 95/46.

22

Den nederlandske regering har gjort gældende, at personoplysninger lægges ud på en internetside ved hjælp af en computer eller en server, hvilket er et væsentligt kendetegn ved edb-behandling, således at de pågældende oplysninger må betragtes som værende genstand for edb-behandling.

23

Kommissionen har gjort gældende, at direktiv 95/46 finder anvendelse på enhver behandling af personoplysninger, som omhandlet i dets artikel 3, uanset hvilke tekniske midler, der anvendes. At lægge personoplysninger ud på internettet udgør derfor en behandling, der helt eller delvis foretages ved hjælp af edb, såfremt der ikke foreligger tekniske begrænsninger, som bevirker, at behandlingen udelukkende bliver manuel. En internetside henhører derfor efter sin art under anvendelsesområdet for direktiv 95/46.

Domstolens besvarelse

24

Begrebet »personoplysninger« i artikel 3, stk. 1, i direktiv 95/46 omfatter i overensstemmelse med definitionen i artikel 2, litra a), »enhver form for information om en identificeret eller identificerbar fysisk person«. Dette begreb omfatter uden tvivl navnet på en person sammen med oplysninger om dennes telefonnummer, eller oplysninger vedrørende dennes arbejdsforhold eller fritidsinteresser.

25

Begrebet »behandling« af sådanne oplysninger i artikel 3, stk. 1, i direktiv 95/46 omfatter i overensstemmelse med definitionen i samme direktivs artikel 2, litra b),

»enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for«. I sidstnævnte bestemmelse anføres flere eksempler på sådanne operationer, herunder bl.a. videregivelse ved transmission, formidling eller enhver anden form for overladelse af oplysninger. Det følger heraf, at en operation, der består i at lægge personoplysninger ud på en internetside, skal anses for en sådan behandling.

26

Det skal herefter afgøres, om denne behandling »helt eller delvis foretages ved hjælp af edb«. Herved bemærkes, at en operation, hvorved oplysninger lægges ud på en internetside, ifølge de for nærværende anvendte tekniske edb-procedurer indebærer, at den pågældende side lægges ind på en server, samt udførelse af de operationer, der er nødvendige for at gøre denne siden tilgængelig for personer, som har koblet sig på internettet. Disse operationer udføres i det mindste delvist ved hjælp af edb.

27

Det første spørgsmål skal derfor besvares med, at en operation, der består i på en internetside at henvise til forskellige personer, og i at identificere dem ved navn eller på anden måde, f.eks. ved at oplyse deres telefonnummer eller ved at give oplysninger om deres arbejdsforhold og fritidsinteresser, udgør en »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 1, i direktiv 95/46.

Det andet spørgsmål

28

Da det første spørgsmål er blevet besvaret bekræftende, er det ufornødent at besvare det andet spørgsmål, der kun ønskes besvaret, såfremt det første spørgsmål skal besvares benægtende.

Det tredje spørgsmål

29

Med sit tredje spørgsmål ønsker den nationale ret nærmere bestemt oplyst, om en behandling af personoplysninger som den, der er omhandlet i det første spørgsmål, er omfattet af en af undtagelserne i artikel 3, stk. 2, i direktiv 95/46.

Indlæg til Domstolen

30

B. Lindqvist har gjort gældende, at borgere, som gør brug af deres ytringsfrihed og opretter internetsider i forbindelse med virksomhed uden økonomisk gevinst for øje eller i forbindelse med deres fritidsinteresser, ikke driver økonomisk virksomhed og dermed ikke er omfattet af fællesskabsretten. Såfremt Domstolen skulle nå frem til det modsatte resultat, kan der rejses tvivl om gyldigheden af direktiv 95/46, idet fællesskabslovgiver med vedtagelsen heraf har overskredet sin kompetence i henhold til EF-traktatens artikel 100 A (efter ændring nu artikel 95 EF). Tilnærmelsen af lovgivninger, hvis formål er det indre markeds oprettelse og funktion, kan ikke tjene som retsgrundlag for fællesskabsretlige foranstaltninger, der regulerer borgeres ret til ytringsfrihed på internettet.

31

Den svenske regering har gjort gældende, at i forbindelse med gennemførelsen af direktiv 95/46 i national ret, var den svenske lovgiver af den opfattelse, at en fysisk persons behandling af personoplysninger, som består i at videregive disse oplysninger til et ubestemt antal modtagere, f.eks. via internettet, ikke kunne kvalificeres som »rent personlige eller familiemæssige aktiviteter« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 2, andet led, i direktiv 95/46. Regeringen har derimod ikke udelukket, at undtagelsen i denne bestemmelses første led omfatter tilfælde, hvor en fysisk person offentliggør personlige oplysninger på en internetside, når dette alene sker som led i udøvelsen af dennes ytringsfrihed og uden nogen forbindelse med faglig eller kommerciel virksomhed.

32

Efter den nederlandske regerings opfattelse er edb-behandling af oplysninger, som omhandlet i hovedsagen, ikke omfattet af nogen af undtagelserne i artikel 3, stk. 2, i direktiv 95/46. Hvad nærmere angår undtagelsen i bestemmelsens andet led har regeringen anført, at den, som opretter en internetside, bringer de oplysninger, som lægges ud på en sådan side, til en i princippet ubestemt persongruppes kendskab.

33

Kommissionen har gjort gældende, at en internetside som den, der er omhandlet i hovedsagen, ikke kan anses for at falde uden for anvendelsesområdet for direktiv 95/46 i medfør af dettes artikel 3, stk. 2, men den udgør, henset til formålet med den i hovedsagen omhandlede internetside, en kunstnerisk og litterær frembringelse i den forstand, hvori udtrykket er anvendt i nævnte direktivs artikel 9.

34

Efter Kommissionens opfattelse kan artikel 3, stk. 2, første led, i direktiv 95/46 fortolkes på to forskellige måder. Efter den ene fortolkning begrænses rækkevidden af bestemmelsen til de områder, der er nævnt som eksempler, dvs. de aktiviteter, der i det væsentlige henhører under det, der er enighed om at kalde anden og tredje søjle. Efter den anden fortolkning udelukkes udøvelsen af enhver form for aktivitet, der ikke er omfattet af fællesskabsretten, fra anvendelsesområdet for direktiv 95/46.

35

Kommissionen har hævdet, at fællesskabsretten ikke er begrænset til kun at omfatte økonomisk aktivitet, der er knyttet til de fire grundlæggende friheder. Kommissionen har henvist til retsgrundlaget for direktiv 95/46, til dets formål, til artikel 6 EU, til Den Europæiske Unions charter om grundlæggende rettigheder, proklameret i Nice den 18. december 2000 (EFT C 364, s. 1), og til Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med databehandling af personoplysninger, og konkluderet, at direktivets formål er at regulere fri udveksling af personoplysninger ved udøvelsen af ikke blot økonomisk aktivitet, men også ved udøvelsen af social aktivitet i forbindelse med det indre markeds oprettelse og funktion.

36

Kommissionen har tilføjet, at en generel udelukkelse fra anvendelsesområdet for direktiv 95/46 af internetsider, der ikke indeholder elementer vedrørende handel eller tjenesteydelser, vil kunne medføre alvorlige afgrænsningsproblemer. Et stort antal internetsider, som indeholder personoplysninger, der har til formål at stigmatisere visse personer i særligt øjemed, kunne således blive udelukket fra direktivets anvendelsesområde.

Domstolens besvarelse

37

I artikel 3, stk. 2, i direktiv 95/46 fastsættes to undtagelser fra direktivets anvendelsesområde.

38

Den første undtagelse vedrører behandling af personoplysninger, som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under alle omstændigheder behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område.

39

Da B. Lindqvists aktiviteter i hovedsagen i det væsentlige er ikke-økonomiske, men frivillige og religiøse, bør det undersøges, om de udgør en behandling af personoplysninger, som »iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 2, første led, i direktiv 95/46.

40

Domstolen har tidligere fastslået vedrørende direktiv 95/46, som er udstedt med hjemmel i traktatens artikel 100 A, at anvendelsen af dette retsgrundlag ikke forudsætter, at der rent faktisk i enhver af de situationer, der er omfattet af den pågældende retsakt, skal foreligge en tilknytning til den frie bevægelighed mellem medlemsstater (jf. dom af 20.5.2003, forenede sager C-465/00, C-138/01 og C-139/01, Österreichischer Rundfunk m.fl., Sml. I, s. 4989, præmis 41 og den deri nævnte retspraksis).

41

Risikoen ved en fortolkning med modsat resultat ville være, at grænserne for nævnte direktivs anvendelsesområde ville blive særdeles usikre og uberegnelige, hvilket ville være uforeneligt med direktivets grundlæggende formål, der er at foretage en indbyrdes tilnærmelse af medlemsstaternes nationale love og administrative bestemmelser for at fjerne de hindringer for det indre markeds funktion, der netop hidrører fra forskellene i de nationale lovgivninger (Österreichischer Rundfunk m.fl.-dommen, præmis 42).

42

Under disse omstændigheder bør udtrykket »aktiviteter, der ikke er omfattet af fællesskabsretten« ikke fortolkes således, at det har en sådan rækkevidde, at det i hvert enkelt tilfælde skal efterprøves, om den pågældende specifikke aktivitet direkte påvirker den frie bevægelighed mellem medlemsstaterne.

43

De aktiviteter, der er nævnt som eksempler i artikel 3, stk. 2, første led, i direktiv 95/46 (dvs. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed og statens aktiviteter på det strafferetlige område), er under alle omstændigheder statens eller statslige myndigheders aktiviteter og har ikke noget at gøre med området for den enkelte borgers aktiviteter.

44

Det må derfor antages, at de aktiviteter, der er nævnt som eksempler i artikel 3, stk. 2, første led, i direktiv 95/46, skal fastlægge rækkevidden af de undtagelser, der er fastsat heri, således at denne undtagelse kun finder anvendelse på aktiviteter, der er udtrykkeligt nævnt i bestemmelsen, eller som kan henføres til samme kategori (ejusdem generis).

45

Frivillige eller religiøse aktiviteter som dem, B. Lindqvist udøver, kan ikke ligestilles med de aktiviteter, der er nævnt i artikel 3, stk. 2, første led, i direktiv 95/46, og er derfor ikke omfattet af denne undtagelse.

46

Hvad angår undtagelsen i artikel 3, stk. 2, andet led, i direktiv 95/46 nævnes i tolvte betragtning til direktivet vedrørende denne undtagelse korrespondance og føring af en adressefortegnelse som eksempler på en fysisk persons behandling af oplysninger som led i rent personlige eller familiemæssige aktiviteter.

47

Denne undtagelse skal derfor fortolkes således, at den udelukkende vedrører de aktiviteter, der indgår i den enkelte borgers privatliv eller familieliv, hvilket åbenbart ikke er tilfældet med hensyn til behandling af personoplysninger, som består i, at de offentliggøres på internettet, hvorved disse oplysninger bliver tilgængelige for et ubestemt antal personer.

48

Det tredje spørgsmål skal derfor besvares med, at en behandling af personoplysninger som den, der er nævnt i svaret på det første spørgsmål, ikke er omfattet af nogen af undtagelserne i artikel 3, stk. 2, i direktiv 95/46.

Det fjerde spørgsmål

49

Med sit fjerde spørgsmål ønsker den forelæggende ret oplyst, hvorvidt angivelsen af den omstændighed, at en person har beskadiget sin fod og er delvis sygemeldt, udgør en personoplysning om helbredsforhold i den forstand, hvori udtrykket er anvendt i artikel 8, stk. 1, i direktiv 95/46.

50

I betragtning af formålet med dette direktiv bør der anlægges en vid fortolkning af udtrykket i artikel 8, stk. 1, »oplysninger om helbredsforhold«, således at det omfatter oplysninger vedrørende alle aspekter, såvel fysiske som psykiske, af en persons helbred.

51

Det fjerde spørgsmål skal derfor besvares med, at angivelsen af den omstændighed, at en person har beskadiget sin fod og er delvis sygemeldt, udgør en personoplysning om helbredsforhold i den forstand, hvori udtrykket er anvendt i artikel 8, stk. 1, i direktiv 95/46.

Det femte spørgsmål

52

Med sit femte spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om der foreligger en »videregivelse til et tredjeland af personoplysninger« i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, når en person, der befinder sig i en medlemsstat, lægger personoplysninger ud på en internetside, der er lagret hos en fysisk eller juridisk person, som er internetvært for det websted, hvor hjemmesiden kan konsulteres (herefter »udbyder af webhoteltjenester«), og som er etableret i samme medlemsstat eller i en anden medlemsstat, hvorved personoplysningerne bliver tilgængelige for alle, der kobler sig på internettet, herunder personer i et tredjeland. Den forelæggende ret ønsker endvidere oplyst, om svaret på dette spørgsmål er det samme, hvis det fremgår, at ingen borger fra et tredjeland faktisk har fået kendskab til disse oplysninger, eller at den server, hvor siden er lagret, rent fysisk befinder sig i et tredjeland.

Indlæg til Domstolen

53

Kommissionen og den svenske regering er af den opfattelse, at en operation bestående i at lægge personoplysninger ud på en internetside ved hjælp af en computer, således at oplysningerne bliver tilgængelige for personer i tredjelande, udgør en videregivelse til et tredjeland af oplysninger i direktiv 95/46’s forstand. Svaret er det samme, såfremt ingen borger fra et tredjeland faktisk har fået kendskab til nævnte oplysninger, eller hvis den server, hvor oplysningerne er lagret, rent fysisk befinder sig i et tredjeland.

54

Den nederlandske regering har henvist til, at begrebet »videregivelse« ikke er defineret i direktiv 95/46. Regeringen er af den opfattelse dels, at dette begreb skal forstås således, at det omfatter en handling, hvorved det forsætligt tilsigtes at videregive personoplysninger fra en medlemsstats område til et tredjeland, dels at der ikke kan sondres mellem de forskellige måder, hvorpå oplysningerne gøres tilgængelige for tredjemand. Regeringen har på grundlag heraf konkluderet, at den omstændighed, at der lægges personoplysninger ud på en internetside ved hjælp af en computer, ikke kan anses for videregivelse til et tredjeland af personoplysninger i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46.

55

Det Forenede Kongeriges regering har gjort gældende, at artikel 25 i direktiv 95/46 vedrører videregivelse af oplysninger til tredjelande og ikke spørgsmålet om, hvorvidt de er tilgængelige fra tredjelande. Begrebet »videregivelse« indebærer en overførsel af en oplysning, som er foretaget af en person, der befinder sig et bestemt sted, til en person, der befinder sig et andet sted. Det er kun i tilfælde af en sådan videregivelse, at medlemsstaterne i henhold til artikel 25 i direktiv 95/46 er forpligtet til at sikre, at beskyttelsesniveauet for personoplysninger i et tredjeland er tilstrækkeligt.

Domstolens besvarelse

56

Direktiv 95/46 definerer hverken i artikel 25 eller i nogen anden bestemmelse, herunder artikel 2, begrebet »videregivelse til et tredjeland«.

57

Med henblik på at afgøre, hvorvidt en operation, der består i at lægge personoplysninger ud på en internetside, udgør en »videregivelse« af sådanne oplysninger til et tredjeland i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, fordi disse oplysninger derved bliver tilgængelige for personer, der befinder sig i et tredjeland, skal der tages hensyn dels til den tekniske karakter af de således udførte operationer, dels til formålet med og opbygningen af nævnte direktivs kapitel IV, der indeholder artikel 25.

58

De oplysninger, der er lagt ud på internettet, kan næsten når som helst indhentes af et ubestemt antal personer, som opholder sig mange forskellige steder. At disse oplysninger kan indhentes overalt, følger navnlig af den omstændighed, at de tekniske midler, der anvendes i forbindelse med internettet, er relativt enkle og forbundet med færre og færre omkostninger.

59

Mulighederne for at anvende internettet, såsom dem, der er blevet tilgængelige for borgere som B. Lindqvist i løbet af 1990’erne, indebærer, at den, der opretter en side til offentliggørelse på internettet, overfører de oplysninger, som udgør den pågældende side, til sin udbyder af webhoteltjenester. Denne tilvejebringer den edb-infrastruktur, som er nødvendig for at sikre lagring af disse oplysninger og forbindelsen til den server, der er vært for webstedet. Dette gør det muligt senere at overføre disse oplysninger til alle, der har koblet sig på internettet og ønsker at indhente dem. Computerne, som udgør denne edb-infrastruktur, kan være placeret – og er det til og med ofte – i et eller flere andre lande end det land, hvor udbyderen af webhoteltjenester er etableret, uden at dennes kunder har kendskab hertil eller med rimelighed kan få kendskab hertil.

60

Det fremgår af sagen, at for at kunne indhente oplysninger på de internetsider, som B. Lindqvist havde lagt oplysninger vedrørende sine kolleger ind på, skulle en internetbruger ikke blot koble sig på internettet, men også personligt foretage de nødvendige operationer for at læse de nævnte sider. Med andre ord indeholdt B. Lindqvists internetsider ikke de tekniske mekanismer til automatisk at sende disse oplysninger til personer, som ikke forsætligt havde søgt at få adgang til disse sider.

61

Heraf følger, at under omstændigheder som dem, der foreligger i hovedsagen, er personoplysninger, som kommer til en computer, der tilhører en person i et tredjeland, fra en person, der har lagt dem ud på en internetside, ikke blevet videregivet direkte mellem disse to personer, men gennem edb-infrastrukturen hos den udbyder af webhoteltjenester, hvor siden er lagret.

62

I denne sammenhæng er det nødvendigt at undersøge, om fællesskabslovgiver med henblik på anvendelsen af kapitel IV i direktiv 95/46 havde til hensigt at lade operationer som dem, B. Lindqvist har foretaget, være omfattet af begrebet »videregivelse til et tredjeland af personoplysninger« i direktivets artikel 25’s forstand. Det skal understreges, at den forelæggende rets femte spørgsmål kun vedrører disse operationer og ikke de operationer, som udføres af udbyderen af webhoteltjenester.

63

Ved kapitel IV i direktiv 95/46, hvori artikel 25 er indeholdt, er der indført en særlig ordning med særlige regler, der har til formål at sikre medlemsstaternes kontrol med videregivelse af personoplysninger til tredjelande. Ved kapitlet indføres en ordning, der supplerer den almindelige ordning, som er indført ved nævnte direktivs kapitel II vedrørende lovligheden af behandling af personoplysninger.

64

Formålet med kapitel IV er defineret i 56.-59. betragtning til direktiv 95/46, hvori det bl.a. anføres, at såfremt den beskyttelse, der ved dette direktiv garanteres personer inden for Fællesskabet, ikke er til hinder for, at der videregives personoplysninger til tredjelande, for så vidt disse sikrer et tilstrækkeligt beskyttelsesniveau, skal vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, foretages på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger. Hvis et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau, skal videregivelse af personoplysninger til det pågældende land forbydes.

65

Ved artikel 25 i direktiv 95/46 pålægges medlemsstaterne og Kommissionen en række forpligtelser med henblik på at kontrollere videregivelsen af personoplysninger til tredjelande under hensyn til det beskyttelsesniveau, som sådanne oplysninger gives i hvert af disse lande.

66

Artikel 25, stk. 4, i direktiv 95/46 bestemmer navnlig, at såfremt Kommissionen konstaterer, at et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau, træffer medlemsstaterne de foranstaltninger, der er nødvendige for at hindre enhver videregivelse af personoplysninger til det pågældende tredjeland.

67

Kapitel IV i direktiv 95/46 indeholder ingen bestemmelser vedrørende anvendelsen af internettet. Det er ikke i kapitlet præciseret, hvilke kriterier der gør det muligt at afgøre, om det med hensyn til operationer udført ved mellemkomst af udbydere af webhoteltjenester er det sted, hvor udbyderen er etableret, dennes forretningssted eller det eller de steder, hvor de computere, der udgør edb-infrastrukturen, er placeret, som skal lægges til grund.

68

Når henses dels til internettets udviklingstrin på tidspunktet for udarbejdelsen af direktiv 95/46, dels til de manglende kriterier i kapitel IV for anvendelsen af internettet, kan det ikke formodes, at fællesskabslovgiver har tilsigtet, at begrebet »videregivelse til et tredjeland af personoplysninger« fremtidigt skulle omfatte den omstændighed, at en person i B. Lindqvists situation lægger oplysninger ud på en internetside, selv om disse således er blevet gjort tilgængelige for personer i tredjelande, der har de tekniske muligheder for at få adgang hertil.

69

Såfremt artikel 25 i direktiv 95/46 blev fortolket således, at der foreligger en »videregivelse til et tredjeland af personoplysninger«, hver gang personoplysninger lægges ud på en internetside, vil denne videregivelse nødvendigvis være en videregivelse til alle de tredjelande, hvor der findes de nødvendige tekniske muligheder for at få adgang til internettet. Den særlige ordning i nævnte direktivs kapitel IV bliver derfor nødvendigvis, med hensyn til operationer på internettet, en ordning, der generelt finder anvendelse. Konstaterer Kommissionen i medfør af artikel 25, stk. 4, i direktiv 95/46, at blot et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau, er medlemsstaterne nemlig forpligtet til at hindre, at personoplysningerne lægges ud på internettet.

70

Det kan under disse omstændigheder konkluderes, at artikel 25 i direktiv 95/46 skal fortolkes således, at operationer som dem, B. Lindqvist foretog, ikke i sig selv udgør en »videregivelse til et tredjeland af personoplysninger«. Det er derfor ufornødent at undersøge, hvorvidt en person fra et tredjeland har haft adgang til den pågældende internetside, eller hvorvidt udbyderens server er fysisk placeret i et tredjeland.

71

Det femte spørgsmål skal derfor besvares med, at der ikke foreligger en »videregivelse til et tredjeland af personoplysninger« i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, når en person, der befinder sig i en medlemsstat, lægger personoplysninger ud på en internetside, der er lagret hos vedkommendes udbyder af webhoteltjenester, som er etableret i den samme medlemsstat eller i en anden medlemsstat, hvorved personoplysningerne bliver tilgængelige for alle, der kobler sig på internettet, herunder personer i et tredjeland.

Det sjette spørgsmål

72

Med sit sjette spørgsmål ønsker den forelæggende ret oplyst, om bestemmelserne i direktiv 95/46 i en sag som den, der foreligger i hovedsagen, medfører en begrænsning, der er i strid med det almindelige princip om ytringsfrihed eller andre friheder og rettigheder, der er gældende inden for EU, og som svarer til bl.a. menneskerettighedskonventionens artikel 10.

Indlæg til Domstolen

73

Med henvisning til bl.a. dom af 6. marts 2001 (sag C-274/99 P, Connolly mod Kommissionen, Sml. I, s. 1611) har B. Lindqvist gjort gældende, at direktiv 95/46 og personuppgiftslagen er i strid med det i fællesskabsretten almindeligt anerkendte princip om ytringsfrihed, idet de fastsætter betingelser om forudgående samtykke og forudgående anmeldelse til en tilsynsmyndighed samt et forbud mod behandling af følsomme personoplysninger. Hun har nærmere bestemt anført, at definitionen af »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb« ikke opfylder kriterierne om forudseelighed og præcision.

74

B. Lindqvist har endvidere anført, at den blotte omtale af en fysisk person ved navns nævnelse samt afgivelse af oplysninger om dennes telefonnummer, arbejdsforhold, helbredssituation og fritidsinteresser – oplysninger, der er alment tilgængelige, almindeligt kendte eller trivielle – ikke udgør en grundlæggende krænkelse af retten til respekt for privatlivet. B. Lindqvist er af den opfattelse, at de begrænsninger, der opstilles ved direktiv 95/46, under alle omstændigheder er uforholdsmæssige henset til det tilstræbte formål, nemlig beskyttelsen af andres omdømme og privatliv.

75

Efter den svenske regerings opfattelse tillader direktiv 95/46, at der foretages en afvejning af de omhandlede interesser, hvorved ytringsfriheden og beskyttelsen af privatlivets fred opretholdes. Regeringen har tilføjet, at det kun er den nationale ret, der under hensyn til omstændighederne i hver enkelt sag kan vurdere, om en begrænsning i udøvelsen af ytringsfriheden, der indebærer anvendelse af regler, der har til formål at beskytte andres rettigheder, er forholdsmæssig.

76

Den nederlandske regering har henvist til, at såvel ytringsfriheden, som retten til respekt for privatlivet, er blandt de almindelige retsprincipper, hvis overholdelse Domstolen sikrer, og at menneskerettighedskonventionen ikke opstiller noget hierarki mellem de forskellige grundlæggende rettigheder. Regeringen er derfor af den opfattelse, at den nationale ret bør bestræbe sig på at forene de omhandlede grundlæggende rettigheder, idet der tages hensyn til omstændighederne i den foreliggende sag.

77

Det Forenede Kongeriges regering har anført, at dens forslag til besvarelse af det femte spørgsmål, som er gengivet i denne doms præmis 55, fuldt ud er i overensstemmelse med de grundlæggende rettigheder og gør det muligt at undgå at gribe uforholdsmæssigt ind i ytringsfriheden. Den har tilføjet, at en fortolkning, som har til følge, at offentliggørelse af personoplysninger i en bestemt form, nemlig på en internetside, undergives begrænsninger, der er betydelig strengere end dem, der finder anvendelse på offentliggørelse i andre former, såsom i papirform, er vanskelig at begrunde.

78

Kommissionen har tillige hævdet, at direktiv 95/46 ikke medfører en begrænsning i strid med det almindelige princip om ytringsfrihed eller andre rettigheder og friheder, der er gældende inden for EU, og som svarer til bl.a. menneskerettighedskonventionens artikel 10.

Domstolens besvarelse

79

Det fremgår af syvende betragtning til direktiv 95/46, at det indre markeds oprettelse og funktion kan blive alvorligt påvirket af forskellene i de nationale ordninger, som finder anvendelse på behandling af personoplysninger. Ifølge samme direktivs tredje betragtning skal harmoniseringen af de pågældende nationale ordninger ikke blot have til formål at sikre, at personoplysninger kan cirkulere frit mellem medlemsstaterne, men også, at det enkelte menneskes grundlæggende rettigheder beskyttes. Disse formål kan naturligvis komme i konflikt med hinanden.

80

For det første vil den økonomiske og sociale integration, der er en følge af det indre markeds oprettelse og funktion, uvægerligt medføre en kraftigt vækst i strømmen af personoplysninger mellem alle aktører i medlemsstaternes økonomiske liv og samfundsliv, både inden for den private og den offentlige sektor. Nævnte aktører har i et vist omfang behov for adgang til personoplysninger for at kunne foretage deres transaktioner eller for at varetage deres opgaver inden for det område uden grænser, som det indre marked indebærer.

81

For det andet kræver de personer, som berøres af behandlingen af personoplysninger, med rette, at oplysningerne beskyttes effektivt.

82

De mekanismer, som gør det muligt at foretage en afvejning af de forskellige rettigheder og interesser, er for det første indeholdt i direktiv 95/46, idet der heri er fastsat regler, hvorved det fastlægges, i hvilke situationer og i hvilket omfang behandlingen af personoplysninger er lovlig samt hvilken beskyttelse der skal ydes. For det andet følger de af medlemsstaternes vedtagelse af nationale bestemmelser, der sikrer gennemførelsen af dette direktiv, og de nationale myndigheders eventuelle anvendelse af disse bestemmelser.

83

Hvad angår direktiv 95/46 er dets bestemmelser nødvendigvis relativt generelle, idet de skal kunne finde anvendelse på mange forskellige situationer. I modsætning til, hvad B. Lindqvist har gjort gældende, er det således med god grund, at dette direktiv indeholder bestemmelser, der er kendetegnet ved en vis fleksibilitet, og at det i mange tilfælde er overladt til medlemsstaterne at fastlægge detaljerne eller at vælge mellem de forskellige muligheder.

84

Medlemsstaterne har ganske vist i mange henseender et betydeligt råderum med henblik på gennemførelsen af direktiv 95/46. Der er imidlertid ikke grund til at antage, at den ordning, som er fastsat ved direktivet, ikke er forudseelig, eller at dets bestemmelser som sådanne er i strid med almindelige fællesskabsretlige principper og navnlig med grundlæggende rettigheder, der beskyttes ved Fællesskabets retsorden.

85

Det er snarere på det stadium, hvor bestemmelserne til gennemførelse af direktiv 95/46 anvendes på nationalt plan i de enkelte tilfælde, at der skal findes en ligevægt mellem de omhandlede rettigheder og interesser.

86

I denne sammenhæng har de grundlæggende rettigheder en særlig betydning, som det fremgår af hovedsagen, hvor det i det væsentlige er nødvendigt at foretage en afvejning mellem på den ene side B. Lindqvists ytringsfrihed i forbindelse med hendes arbejde med at forberede konfirmander samt friheden til at udøve aktiviteter, der bidrager til det religiøse liv, og på den anden side beskyttelsen af de personers privatliv, med hensyn til hvilke B. Lindqvist har lagt oplysninger ud på sin hjemmeside på internettet.

87

Følgelig påhviler det således ikke blot myndigheder og domstole i medlemsstaterne at fortolke deres nationale ret på en måde, der er forenelig med direktiv 95/46, men også at sikre, at de ikke lægger en fortolkning af sidstnævnte til grund, som kommer i konflikt med grundlæggende rettigheder, der beskyttes ved Fællesskabets retsorden, eller med andre generelle fællesskabsretlige principper, såsom proportionalitetsprincippet.

88

Selv om beskyttelsen af privatlivet ganske vist kræver, at der anvendes effektive sanktioner mod personer, der behandler personoplysninger på en måde, der ikke er forenelig med direktiv 95/46, skal sådanne sanktioner altid være i overensstemmelse med proportionalitetsprincippet. Dette gælder så meget desto mere som anvendelsesområdet for direktiv 95/46 er meget bredt og forpligtelserne for de personer, der behandler personoplysninger, er mange og betydelige.

89

Det tilkommer den forelæggende ret i overensstemmelse med proportionalitetsprincippet at tage hensyn til alle omstændighederne i den sag, som er forelagt den, herunder varigheden af overtrædelsen af bestemmelserne til gennemførelse af direktiv 95/46, samt betydningen for de berørte personer af beskyttelse af de offentliggjorte oplysninger.

90

Det sjette spørgsmål skal derfor besvares med, at bestemmelserne i direktiv 95/46 ikke i sig selv medfører en begrænsning, der er i strid med det almindelige princip om ytringsfrihed eller andre friheder og rettigheder, der er gældende inden for EU, og som svarer til bl.a. menneskerettighedskonventionens artikel 10. Det påhviler de nationale myndigheder og domstole, der skal anvende de nationale bestemmelser til gennemførelse af direktiv 95/46, at sikre en retfærdig ligevægt mellem de omhandlede rettigheder og interesser, herunder de grundlæggende rettigheder, der beskyttes ved Fællesskabets retsorden.

Det syvende spørgsmål

91

Med sit syvende spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om medlemsstaterne kan give personoplysninger en mere vidtgående beskyttelse eller et videre anvendelsesområde end det, der følger af direktiv 95/46.

Indlæg til Domstolen

92

Den svenske regering har anført, at der ved direktiv 95/46 ikke blot er fastsat minimumsbetingelser for beskyttelse af personoplysninger. Medlemsstaterne er i forbindelse med gennemførelsen af direktivet forpligtet til at tilvejebringe det beskyttelsesniveau, der er fastsat heri, og de har ikke bemyndigelse til at fastsætte en beskyttelse, der er mere eller mindre vidtgående. Der skal imidlertid tages hensyn til det skøn, som medlemsstaterne har i forbindelse med nævnte gennemførelse, til i national ret at præcisere de almindelige betingelser for lovligheden af behandlingen af personoplysninger.

93

Den nederlandske regering har hævdet, at direktiv 95/46 ikke er til hinder for, at medlemsstaterne fastsætter en mere vidtgående beskyttelse på visse områder. Det fremgår f.eks. af nævnte direktivs artikel 10, artikel 11, stk. 1, artikel 14, stk. 1, afsnit, litra a), artikel 17, stk. 3, artikel 18, stk. 5, og artikel 19, stk. 1, at medlemsstaterne kan fastsætte en mere vidtgående beskyttelse. Medlemsstaterne kan endvidere frit anvende principperne i direktiv 95/46 på aktiviteter, der ikke henhører under dets anvendelsesområde.

94

Kommission har gjort gældende, at direktiv 95/46 er baseret på traktatens artikel 100 A, og at en medlemsstat, såfremt den ønsker at opretholde eller indføre en lovgivning, der fraviger et sådant harmoniseringsdirektiv, er forpligtet til at give Kommissionen meddelelse herom i overensstemmelse med artikel 95, stk. 4 eller 5, EF. Kommissionen har anført, at en medlemsstat derfor ikke kan fastsætte en mere vidtgående beskyttelse for personoplysninger eller et videre anvendelsesområde end det, der følger af direktiv 95/46.

Domstolens besvarelse

95

Direktiv 95/46 har – således som det bl.a. fremgår af dets ottende betragtning – til formål at gøre beskyttelsen af det enkelte menneskes rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger ensartet i alle medlemsstater. I direktivets tiende betragtning tilføjes det, at tilnærmelsen af de nationale lovgivninger, der finder anvendelse på området, ikke må medføre en forringelse af den beskyttelse, disse yder, men at den tværtimod skal have til formål at sikre et højt beskyttelsesniveau inden for Fællesskabet.

96

Harmoniseringen af de nævnte nationale lovgivninger er således ikke begrænset til en minimumsharmonisering, men fører til en harmonisering, der i princippet er fuldstændig. Det er i dette perspektiv, at direktiv 95/46 tilsigter at sikre den frie udveksling af personoplysninger, idet der sikres en høj beskyttelse af de personers rettigheder og interesser, som oplysningerne vedrører.

97

Ved direktiv 95/46 indrømmes der ganske vist medlemsstaterne et råderum på visse områder, og de bemyndiges til at opretholde eller indføre særlige ordninger med henblik på specifikke tilfælde, hvilket mange af dets bestemmelser vidner om. Disse muligheder skal imidlertid anvendes på den måde, som er fastsat i direktiv 95/46, og i overensstemmelse med dets formål, som består i at opretholde en ligevægt mellem den frie udveksling af personoplysninger og beskyttelsen af privatlivet.

98

Derimod er der intet til hinder for, at en medlemsstat udvider rækkevidden af den nationale lovgivning, der gennemfører bestemmelserne i direktiv 95/46, til områder, der ikke er omfattet af dette direktivs anvendelsesområde, for så vidt som ingen anden fællesskabsretlig bestemmelse er til hinder herfor.

99

Under hensyn til disse betragtninger skal det syvende spørgsmål besvares med, at de foranstaltninger, som medlemsstaterne træffer med henblik på at sikre beskyttelsen af personoplysninger, skal være forenelige med såvel bestemmelserne i direktiv 95/46 som med dets formål, som består i at opretholde en ligevægt mellem den frie udveksling af personoplysninger og beskyttelsen af privatlivet. Derimod er der intet til hinder for, at en medlemsstat udvider rækkevidden af den nationale lovgivning, der gennemfører bestemmelserne i direktiv 95/46, til områder, der ikke er omfattet af dette direktivs anvendelsesområde, for så vidt som ingen anden fællesskabsretlig bestemmelse er til hinder herfor.

Sagens omkostninger

100

De udgifter, der er afholdt af den svenske regering, af den nederlandske regering og af Det Forenede Kongeriges regering samt af Kommissionen og EFTA-Tilsynsmyndigheden, som har afgivet indlæg for Domstolen, kan ikke erstattes. Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagens omkostninger.

På grundlag af disse præmisser

kender

DOMSTOLEN

vedrørende de spørgsmål, der er forelagt af Göta hovrätt ved kendelse af 23. februar 2001, for ret:

1)

En operation, der består i på en internetside at henvise til forskellige personer, og i at identificere dem ved navn eller på anden måde, f.eks. ved at oplyse deres telefonnummer eller ved at give oplysninger om deres arbejdsforhold og fritidsinteresser, udgør en »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 1, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger.

2)

En sådan behandling af personoplysninger er ikke omfattet af nogen af undtagelserne i artikel 3, stk. 2, i direktiv 95/46.

3)

Angivelsen af den omstændighed, at en person har beskadiget sin fod og er delvis sygemeldt, udgør en personoplysning om helbredsforhold i den forstand, hvori udtrykket er anvendt i artikel 8, stk. 1, i direktiv 95/46.

4)

Der foreligger ikke en »videregivelse til et tredjeland af personoplysninger« i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, når en person, der befinder sig i en medlemsstat, lægger personoplysninger ud på en internetside, der er lagret hos en fysisk eller juridisk person, som er internetvært for det websted, hvor siden kan konsulteres, og som er etableret i den samme medlemsstat eller i en anden medlemsstat, hvorved personoplysningerne bliver tilgængelige for alle, der kobler sig på internettet, herunder personer i et tredjeland.

5)

Bestemmelserne i direktiv 95/46 medfører ikke i sig selv en begrænsning, der er i strid med det almindelige princip om ytringsfrihed eller andre friheder og rettigheder, der er gældende inden for EU, og som svarer til bl.a. artikel 10 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950. Det påhviler de nationale myndigheder og domstole, der skal anvende de nationale bestemmelser til gennemførelse af direktiv 95/46, at sikre en retfærdig ligevægt mellem de omhandlede rettigheder og interesser, herunder de grundlæggende rettigheder, der beskyttes ved Fællesskabets retsorden.

6)

De foranstaltninger, som medlemsstaterne træffer med henblik på at sikre beskyttelsen af personoplysninger, skal være forenelige med såvel bestemmelserne i direktiv 95/46, som med dets formål, som består i at opretholde en ligevægt mellem den frie udveksling af personoplysninger og beskyttelsen af privatlivet. Derimod er der intet til hinder for, at en medlemsstat udvider rækkevidden af den nationale lovgivning, der gennemfører bestemmelserne i direktiv 95/46, til områder, der ikke er omfattet af dette direktivs anvendelsesområde, for så vidt som ingen anden fællesskabsretlig bestemmelse er til hinder herfor.

Jann	Timmermans	Gulmann
Cunha Rodrigues	Rosas	Edward
Puissochet	Macken	von Bahr

Afsagt i offentligt retsmøde i Luxembourg den 6. november 2003.

R. Grass V. Skouris

Justitssekretær Præsident

1 –

Processprog: svensk.