DOMSTOLENS DOM (Anden Afdeling)
4. maj 2017 (1)
»Præjudiciel forelæggelse – direktiv 95/46/EF – artikel 7, litra f) – personoplysninger – betingelser for lovlighed af en behandling af personoplysninger – begrebet »nødvendig for, at tredjemand kan forfølge en legitim interesse« – anmodning om videregivelse af personoplysninger vedrørende en person, der er ansvarlig for et færdselsuheld, med henblik på at gøre et retskrav gældende – forpligtelse for den registeransvarlige til at efterkomme en sådan anmodning – foreligger ikke«
I sag C-13/16:
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Augstākās tiesas Administratīvo lietu departaments (afdeling for forvaltningssager ved den øverste domstol, Letland) ved afgørelse af 30. december 2015, indgået til Domstolen den 8. januar 2016, i sagen:
Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde
mod
Rīgas pašvaldības SIA »Rīgas satiksme«,
har
DOMSTOLEN (Anden Afdeling),
sammensat af afdelingsformanden, M. Ilešič, og dommerne A. Prechal, A. Rosas (refererende dommer), C. Toader og E. Jarašiūnas,
generaladvokat: M. Bobek,
justitssekretær: fuldmægtig M. Aleksejev,
på grundlag af den skriftlige forhandling og efter retsmødet den 24. november 2016,
efter at der er afgivet indlæg af:
– Rīgas pašvaldības SIA »Rīgas satiksme« ved L. Bemhens, som befuldmægtiget,
– den lettiske regering ved I. Kalniņš og A. Bogdanova, som befuldmægtigede,
– den tjekkiske regering ved J. Vláčil og M. Smolek, som befuldmægtigede,
– den spanske regering ved M.J. García-Valdecasas Dorrego, som befuldmægtiget,
– den østrigske regering ved G. Eberhard, som befuldmægtiget,
– den portugisiske regering ved L. Inez Fernandes, M. Figueiredo og C. Vieira Guerra, som befuldmægtigede,
– Europa-Kommissionen ved D. Nardi og H. Kranenborg samt ved I. Rubene, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse den 26. januar 2017,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 7, litra f), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31).
2 Denne anmodning er indgivet i forbindelse med en sag mellem Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (ordenspolitiets kontor for administrative færdselsforseelser, henhørende under det nationale politis afdeling i regionen Riga) (herefter »det nationale politi«) og Rīgas pašvaldības SIA »Rīgas satiksme« (herefter »Rīgas satiksme«), Riga bys trolleybusselskab, vedrørende en anmodning om videregivelse af identifikationsoplysninger vedrørende en person, der havde forårsaget et færdselsuheld.
Retsforskrifter
EU-retten
3 Artikel 1 i direktiv 95/46 med overskriften »Direktivets formål« har følgende ordlyd:
»1. Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.
2. Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde fri udveksling af personoplysninger mellem medlemsstaterne.«
4 Direktivets artikel 2 bestemmer:
»I dette direktiv forstås ved:
a) »personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) »behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
[…]
d) »den registeransvarlige« den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved nationale love eller forskrifter eller på fællesskabsplan, kan den registeransvarlige, eller de specifikke kriterier for udpegelse af denne, angives i den pågældende nationale ret eller i fællesskabsretten
[…]«
5 Artikel 5 i direktiv 95/46 bestemmer:
»Medlemsstaterne præciserer i henhold til bestemmelserne i dette kapitel, på hvilke betingelser behandling af personoplysninger er lovlig.«
6 Artikel 7 i direktiv 95/46, der er indeholdt i afdeling II med overskriften »Principper vedrørende grundlaget for behandling af oplysninger« i direktivets kapitel II, bestemmer følgende:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted, hvis:
a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke, eller
b) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning forud for indgåelsen af en sådan kontrakt, eller
c) behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige, eller
d) behandlingen er nødvendig for at beskytte den registreredes vitale interesser, eller
e) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt, eller
f) behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
7 Direktivets artikel 8, stk. 2, litra e), bestemmer, at forbuddet mod behandling af visse personoplysninger, såsom oplysninger om racemæssig baggrund eller politisk overbevisning, ikke finder anvendelse, hvis behandlingen vedrører oplysninger, som klart offentliggøres af den registrerede, eller er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.
Lettisk ret
8 Artikel 6 i Fizisko personu datu aizsardzības likums (lov om beskyttelse af personoplysninger) af 23. marts 2000 (Latvijas Vēstnesis, 2000, nr. 123/124) bestemmer:
»Enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende selv.«
9 Denne lovs artikel 7, hvormed det tilsigtes at gennemføre artikel 7 i direktiv 95/46, bestemmer, at behandling af personoplysninger kun er tilladt, medmindre andet er bestemt i loven, såfremt mindst en af følgende betingelser er opfyldt:
»1) Den registrerede har givet sit samtykke.
2) Behandlingen af oplysningerne følger af kontraktlige forpligtelser, som den registrerede har påtaget sig, eller, efter anmodning fra den registrerede, fordi behandlingen er nødvendig for indgåelsen af den pågældende kontrakt.
3) Behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige.
4) Behandlingen er nødvendig for at beskytte den registreredes vitale interesser, herunder dennes liv og helbred.
5) Behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt.
6) Behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en legitim interesse, under overholdelse af den registreredes grundlæggende rettigheder og frihedsrettigheder.«
10 Denne lovs artikel 12 bestemmer, at personoplysninger, der vedrører strafbare handlinger, domfældelser i kriminalsager og administrative sager samt retsafgørelser eller sagsakter i retssager, kun må behandles af de personer, som er angivet i loven, og i de tilfælde, der er fastsat heri.
11 Ifølge artikel 261 i Latvijas Administratīvo pārkāpumu kodekss (den lettiske lov om administrative forseelser) kan en person, der har lidt en skade, som er forårsaget af en forseelse, anerkendes som skadelidt part inden for rammerne af sagen vedrørende den administrative forseelse af det organ eller den embedsmand, der er beføjet til at behandle sagen. Denne bestemmelse fastsætter skadelidte parters rettigheder, herunder retten til at få adgang til sagens akter og til at gøre brug af sine processuelle rettigheder med henblik på at opnå erstatning.
Tvisten i hovedsagen og de præjudicielle spørgsmål
12 I december 2012 skete der et færdselsuheld i Riga. En taxachauffør havde standset sit køretøj i vejkanten. Idet en trolleybus fra Rīgas satiksme kørte op på siden af taxaen, åbnede en passager, som sad på bagsædet i taxaen, døren, som ramte og beskadigede trolleybussen. Der blev indledt en administrativ forseelsessag og optaget rapport vedrørende en administrativ forseelse.
13 Da Rīgas satiksme først mente, at ulykken skulle tilskrives taxachaufføren, fremsatte selskabet krav om erstatning mod det forsikringsselskab, som dækkede civilretligt erstatningsansvar for ejeren eller den retmæssige bruger af den omhandlede taxa. Dette forsikringsselskab oplyste imidlertid Rīgas satiksme om, at det ikke ville udbetale nogen erstatning til selskabet, fordi uheldet var sket på grund den adfærd, som taxaens passager, og ikke chaufføren, havde udvist. Det præciserede, at Rīgas satiksme kunne gøre kravet gældende over for passageren inden for rammerne af et civilretligt søgsmål.
14 Rīgas satiksme henvendte sig herefter til det nationale politi og anmodede om at få videregivet oplysninger om den person, der var blevet pålagt en administrativ sanktion på grund af uheldet, en genpart af taxachaufførens og passagerens forklaringer vedrørende omstændighederne ved uheldet samt taxapassagerens for- og efternavn, identifikationsnummer og adresse. Rīgas satiksme præciserede over for det nationale politi, at oplysningerne kun ville blive anvendt med henblik på at anlægge et civilt søgsmål.
15 Det nationale politi imødekom delvist Rīgas satiksmes anmodning, idet det videregav passagerens for- og efternavn, men afslog at videregive dennes identifikationsnummer og adresse. Det fremsendte heller ikke en genpart af de forklaringer, som var afgivet af de i uheldet implicerede personer.
16 Det nationale politis beslutning beror på den omstændighed, at det kun er parterne i en sag vedrørende en administrativ forseelse, der kan få udleveret oplysninger vedrørende denne sag. Rīgas satiksme er imidlertid ikke part i den omhandlede sag. I medfør af den lettiske lov om administrative forseelser anerkendes en person efter anmodning herom således som offer i en sag vedrørende en administrativ forseelse af det organ eller den embedsmand, der er beføjet til at behandle sagen. I det foreliggende tilfælde har Rīgas satiksme ikke udnyttet denne ret.
17 Rīgas satiksme anlagde sag ved administratīvā rajona tiesa (distriktsdomstol i forvaltningsretlige sager, Letland) til prøvelse af det nationale politis afgørelse, for så vidt som der herved blev givet afslag på videregivelse af identifikationsnummeret og adressen på den passager, der var impliceret i uheldet. Ved afgørelse af 16. maj 2014 tog denne ret Rīgas satiksmes søgsmål til følge og pålagde det nationale politi at videregive oplysningerne om denne passagers identifikationsnummer og vedkommendes bopælsadresse.
18 Det nationale politi iværksatte kassationsappel for den forelæggende ret. Denne anmodede om en udtalelse fra Datu valsts inspekcija (den nationale databeskyttelsesmyndighed, Letland), som i sit svar af 13. oktober 2015 anførte, at der i tvisten i hovedsagen ikke kunne videregives personoplysninger i henhold til artikel 7, stk. 6, i lov om beskyttelse af personoplysninger, henset til, at det i den lettiske lov om administrative forseelser er opregnet, til hvilke personer det nationale politi kan videregive oplysninger vedrørende en sag. Følgelig kan videregivelse af personoplysninger fra en sag vedrørende en administrativ forseelse ifølge den nationale databeskyttelsesmyndighed alene finde sted i overensstemmelse med denne artikels nr. 3) og 5) i de i denne lov foreskrevne tilfælde. Nævnte lovs artikel 7 pålægger ikke den registeransvarlige, i det foreliggende tilfælde det nationale politi, en forpligtelse til at behandle oplysningerne, men giver den blot ret dertil.
19 Den nationale databeskyttelsesmyndighed anførte, at Rīgas satiksme kunne få adgang til oplysningerne på to måder. Selskabet kunne henvende sig til folkeregistret med en begrundet anmodning eller i henhold til artikel 98-100 i lov om civil retspleje anlægge et søgsmål med krav om fremlæggelse af beviser med henblik på, at retten pålægger det nationale politi at fremlægge de personoplysninger, som er nødvendige for, at det kan anlægge sag mod den pågældende person.
20 Den forelæggende ret nærer tvivl med hensyn til effektiviteten af de fremgangsmåder med henblik på at få adgang til personoplysningerne, som den nationale databeskyttelsesmyndighed har anvist. Den har i denne henseende dels præciseret, at det, hvis en henvendelse til folkeregistret kun nævner navnet på taxapassageren, er muligt, at denne passager ikke kan individualiseres uden sit identifikationsnummer, eftersom flere personer kan have det samme for- og efternavn. Dels har den forelæggende ret anført, at sagsøgeren for at kunne anlægge et civilretligt søgsmål, henset til de nationale bestemmelser om fremlæggelse af beviser, i det mindste skal kende sagsøgtes bopælsadresse.
21 I denne henseende finder den forelæggende ret, at der foreligger tvivl med hensyn til fortolkningen af begrebet »nødvendighed« som omhandlet i dette direktivs artikel 7, litra f).
22 Under disse omstændigheder har Augstākās tiesas Administratīvo lietu departaments (afdeling for forvaltningssager ved den øverste domstol, Letland) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Skal formuleringen »behandlingen er nødvendig, for at […] den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse« som omhandlet i artikel 7, litra f), i direktiv 95/46 fortolkes således, at det nationale politi skal videregive de personoplysninger til Rīgas satiksme, som sidstnævnte har anmodet om, idet de er nødvendige for at kunne anlægge et civilt søgsmål?
2) Berøres besvarelsen af dette spørgsmål af den omstændighed, således som det fremgår af sagsakterne, at den taxapassager, hvis personoplysninger forsøges indhentet af Rīgas satiksme, var mindreårig på ulykkestidspunktet?«
Om de præjudicielle spørgsmål
23 Med spørgsmålene, som skal behandles samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 7, litra f), i direktiv 95/46 skal fortolkes således, at denne bestemmelse fastsætter en forpligtelse til at videregive personoplysninger til tredjemand for at gøre det muligt for denne at anlægge et søgsmål ved en civil domstol med påstand om erstatning for en skade, der er forvoldt af den person, som er omfattet af beskyttelsen af disse oplysninger, og om den omstændighed, at denne person er mindreårig, kan have indflydelse på fortolkningen af denne bestemmelse.
24 I hovedsagen er det ubestridt, at identifikationsnummeret og adressen på taxapassageren, som Rīgas satiksme har anmodet om at få udleveret, udgør information om en identificeret eller identificerbar fysisk person og dermed »personoplysninger« som omhandlet i artikel 2, litra a), i direktiv 95/46. Det er ligeledes ubestridt, at det nationale politi, som denne anmodning er rettet til, er den registeransvarlige for disse oplysninger og navnlig for deres eventuelle videregivelse som omhandlet i dette direktivs artikel 2, litra d).
25 Ifølge artikel 5 i direktiv 95/46 tilkommer det medlemsstaterne at præcisere i henhold til bestemmelserne i dette direktiv, på hvilke betingelser behandling af personoplysninger er lovlig. Nævnte direktivs artikel 7, som opstiller principperne vedrørende grundlaget for en sådan behandling, bestemmer i denne henseende, at »[m]edlemsstaterne fastsætter bestemmelser om, at [den] kun må finde sted«, hvis der foreligger en af de situationer, som er udtømmende opregnet i denne bestemmelse. I medfør af denne artikels litra f) kan behandling af personoplysninger finde sted, hvis den er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i direktiv 95/46, går forud herfor.
26 Det fremgår således af opbygningen af direktiv 95/46 og af ordlyden af dettes artikel 7, at artikel 7, litra f), i direktiv 95/46 ikke i sig selv fastsætter en forpligtelse, men en adgang til at foretage en behandling af oplysninger såsom videregivelse til tredjemand af oplysninger, der er nødvendige for, at vedkommende kan forfølge en legitim interesse. Som generaladvokaten har fremhævet i punkt 43-46 i forslaget til afgørelse, kan en sådan fortolkning ligeledes udledes af andre EU-retlige instrumenter, som vedrører personoplysninger (jf. i denne retning, for så vidt angår behandling af personoplysninger i den elektroniske kommunikationssektor, dom af 29.1.2008, Promusicae, C-275/06, EU:C:2008:54, præmis 54 og 55).
27 Det bemærkes imidlertid, at artikel 7, litra f), i direktiv 95/46 ikke er til hinder for en sådan videregivelse i tilfælde, hvor den sker på grundlag af national ret, under overholdelse af de betingelser, som er fastsat i denne bestemmelse.
28 I denne henseende fastsætter artikel 7, litra f), i direktiv 95/46 tre kumulative betingelser for, at en behandling af personoplysninger er lovlig, nemlig for det første, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, forfølger en legitim interesse, for det andet, at behandlingen af personoplysninger er nødvendig for at forfølge den legitime interesse, og for det tredje betingelsen om, at de grundlæggende rettigheder og frihedsrettigheder, der tilkommer den person, der er omfattet af beskyttelsen af oplysningerne, ikke går forud herfor.
29 Hvad angår betingelsen om forfølgelsen af en legitim interesse er der, således som generaladvokaten har anført i punkt 65, 79 og 80 i forslaget til afgørelse, ingen tvivl om, at tredjemands interesse i at få udleveret personoplysninger om en person, der har forvoldt skade på vedkommendes ejendom, med henblik på at anlægge erstatningssag kan kvalificeres som en legitim interesse (jf. i denne retning dom af 29.1.2008, Promusicae, C-275/06, EU:C:2008:54, præmis 53). Dette bestyrkes af artikel 8, stk. 2, litra e), i direktiv 95/46, som bestemmer, at forbuddet mod behandling af visse typer af personoplysninger, såsom oplysninger om racemæssig baggrund eller politisk overbevisning, bl.a. ikke finder anvendelse, hvis behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.
30 Med hensyn til betingelsen om, at behandlingen af oplysninger skal være nødvendig, skal der henvises til, at undtagelser fra og begrænsninger af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige (dom af 9.11.2010, Volker und Markus Schecke og Eifert, C-92/09 og C-93/09, EU:C:2010:662, præmis 86, af 7.11.2013, IPI, C-473/12, EU:C:2013:715, præmis 39, og af 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, præmis 28). I denne henseende skal det fastslås, at videregivelsen af alene for- og efternavn på skadevolderen ifølge den forelæggende rets oplysninger ikke gør det muligt at identificere denne tilstrækkelig præcist til, at vedkommende kan indstævnes. Det forekommer således nødvendigt med henblik herpå også at få udleveret denne persons adresse og/eller identifikationsnummer.
31 Hvad endelig angår betingelsen om en afvejning af de modstående rettigheder og interesser i sagen afhænger den principielt af de konkrete omstændigheder i det enkelte tilfælde (jf. i denne retning dom af 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 og C-469/10, EU:C:2011:777, præmis 40, og af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 62).
32 I denne henseende har Domstolen fastslået, at er det muligt at tage hensyn til, at grovheden af den krænkelse af den registreredes grundlæggende rettigheder, der er sket ved nævnte behandling, kan variere alt efter, om de pågældende oplysninger allerede fremgår af offentligt tilgængelige kilder (jf. i denne retning dom af 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 og C-469/10, EU:C:2011:777, præmis 44).
33 Hvad angår den anden del af det præjudicielle spørgsmål, således som det er blevet omformuleret i denne doms præmis 23, bemærkes, at den berørte persons alder kan være en af de faktorer, som der skal tages hensyn til i forbindelse med denne afvejning. Det skal imidlertid konstateres, at det, således som generaladvokaten har anført i punkt 82-84 i forslaget til afgørelse og med forbehold af den efterprøvelse, som den nationale ret skal foretage i denne henseende, ikke forekommer begrundet under omstændigheder som de i hovedsagen foreliggende at afslå videregivelse til en skadelidt af personoplysninger, som er nødvendige for at anlægge et erstatningssøgsmål mod skadevolder eller i givet fald forældremyndighedsindehaverne, med henvisning til, at skadevolder er mindreårig.
34 Det fremgår af det ovenstående, at artikel 7, litra f), i direktiv 95/46 skal fortolkes således, at denne bestemmelse ikke fastsætter en forpligtelse til at videregive personoplysninger til tredjemand for at gøre det muligt for denne at anlægge et søgsmål ved en civil domstol med påstand om erstatning for en skade, der er forvoldt af den person, som er omfattet af beskyttelsen af disse oplysninger. Dette direktivs artikel 7, litra f), er imidlertid ikke til hinder for en sådan videregivelse på grundlag af national ret.
Sagsomkostninger
35 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Anden Afdeling) for ret:
Artikel 7, litra f), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at denne bestemmelse ikke fastsætter en forpligtelse til at videregive personoplysninger til tredjemand for at gøre det muligt for denne at anlægge et søgsmål ved en civil domstol med påstand om erstatning for en skade, der er forvoldt af den person, som er omfattet af beskyttelsen af disse oplysninger. Dette direktivs artikel 7, litra f), er imidlertid ikke til hinder for en sådan videregivelse på grundlag af national ret.
Underskrifter