SODBA SODIŠČA
z dne 6. novembra 2003(*)
„Direktiva 95/46/ES – Področje uporabe – Objava osebnih podatkov na spletu – Kraj objave – Pojem ,prenos osebnih podatkov v tretje države‘ – Svoboda izražanja – Združljivost zakonodaje države članice, ki določa strožje varstvo osebnih podatkov, z Direktivo 95/46“
V zadevi C-101/01,
zaradi predloga Göta hovrätt (Švedska), naslovljenega na Sodišče, naj na podlagi člena 234 ES, v kazenskem postopku zoper
Bodil Lindqvist,
sprejme predhodno odločbo zlasti o razlagi Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL L 281, str. 31),
SODIŠČE,
v sestavi P. Jann, predsednik prvega senata, v funkciji predsednika, C. W. A. Timmermans, C. Gulmann, J. N. Cunha Rodrigues in A. Rosas, predsedniki senatov, D. A. O. Edward (poročevalec) in J.-P. Puissochet, sodnika, F. Macken, sodnica, in S. von Bahr, sodnik,
generalni pravobranilec: A. Tizzano,
sodni tajnik: H. von Holstein, namestnik sodnega tajnika,
ob upoštevanju pisnih stališč, ki so jih predložili:
– za B. Lindqvist S. Larsson, odvetnik,
– za švedsko vlado A. Kruse, zastopnik,
– za nizozemsko vlado H. G. Sevenster, zastopnica,
– za vlado Združenega kraljestva G. Amodeo, zastopnica, skupaj z J. Stratford, barrister,
– za Komisijo Evropskih skupnosti L. Ström in X. Lewis, zastopnika,
na podlagi poročila za obravnavo,
po ustni predstavitvi stališč B. Lindqvist, ki jo zastopa S. Larsson, švedske vlade, ki jo zastopata A. Kruse in B. Hernqvist, zastopnika, nizozemske vlade, ki jo zastopa J. van Bakel, zastopnica, vlade Združenega kraljestva, ki jo zastopa J. Stratford, Komisije, ki jo zastopata L. Ström in C. Docksey, ter Nadzornega organa EFTE, ki ga zastopa D. Sif Tynes, zastopnica, na obravnavi 30. aprila 2002,
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 19. septembra 2002
izreka naslednjo
Sodbo
1 Göta hovrätt je s sklepom z dne 23. februarja 2001, ki je prispel na Sodišče 1. marca 2001, na podlagi člena 234 ES predložilo sedem vprašanj za predhodno odločanje zlasti v zvezi z razlago Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL L 281, str. 31).
2 Ta vprašanja so bila postavljena v okviru kazenskega postopka, ki poteka pred navedenim sodiščem zoper B. Lindqvist, obtoženo, da je kršila švedsko zakonodajo v zvezi z varstvom osebnih podatkov, ker je na svoji spletni strani objavila osebne podatke nekaj oseb, ki tako kot ona prostovoljno delajo v eni od župnij švedske protestantske cerkve.
Pravni okvir
Zakonodaja Skupnosti
3 Iz člena 1(1) Direktive 95/46 je razvidno, da je njen namen varstvo temeljnih pravic in svoboščin fizičnih oseb in predvsem njihove pravice do zasebnosti pri obdelavi osebnih podatkov.
4 Člen 3 Direktive 95/46, v katerem je opredeljeno področje uporabe te direktive, določa:
„1. Ta direktiva se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatskimi sredstvi in za drugačno obdelavo kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke.
2. Ta direktiva se ne uporablja za obdelavo osebnih podatkov:
– med dejavnostjo, ki ne sodi na področje uporabe zakonodaje Skupnosti, kot so tiste, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, in v vsakem primeru v postopkih obdelave v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno z gospodarsko blaginjo države, kadar se postopek obdelave nanaša na zadeve državne varnosti) in pri dejavnostih države na področju kazenskega prava,
– s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti.“
5 Člen 8 Direktive 95/46, naslovljen „Obdelava posebnih vrst podatkov“, določa:
„1. Države članice prepovejo obdelavo osebnih podatkov, ki kažejo na rasni ali etnični izvor, politična mnenja, verska ali filozofska prepričanja, pripadnost sindikatu, in obdelavo podatkov v zvezi z zdravjem ali spolnim življenjem.
2. Odstavek 1 se ne uporablja, kadar:
(a) je posameznik, na katerega se osebni podatki nanašajo, dal svojo izrecno privolitev k obdelavi teh podatkov, razen kadar zakonodaja države članice določi, da se od prepovedi iz odstavka 1 ne sme odstopiti s tem, da posameznik, na katerega se osebni podatki nanašajo, da svojo privolitev;
ali
(b) je obdelava potrebna zaradi izpolnjevanja obveznosti in posebnih pravic upravljavca na področju prava zaposlovanja [delovnega prava], če jo dovoljuje nacionalna zakonodaja, ki zagotovi ustrezne zaščitne ukrepe;
ali
(c) je obdelava potrebna za varstvo življenjskih interesov posameznika, na katerega se osebni podatki nanašajo, ali druge osebe, kadar posameznik, na katerega se osebni podatki nanašajo, fizično ali pravno ni sposoben dati svoje privolitve;
ali
(d) obdelavo pri svojih zakonitih dejavnostih z ustreznimi garancijami izvaja ustanova, združenje ali kateri drug neprofitni organ s političnim, filozofskim, verskim ali sindikalnim ciljem in pod pogojem, da se obdelava nanaša samo na člane organa ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, in da se podatki ne posredujejo tretji stranki brez privolitve posameznikov, na katere se nanašajo;
ali
(e) se obdelava nanaša na podatke, ki jih posameznik, na katerega se nanašajo, javno objavi, ali je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.
3. Odstavek 1 se ne uporablja, kadar se podatki obdelujejo za potrebe preventivne medicine, zdravstvene diagnoze, za zagotovitev oskrbe, ali zdravljenja, ali vodenje zdravstvenih služb in kadar te podatke obdeluje zdravstveni delavec na podlagi nacionalne zakonodaje ali pravil, ki jih sprejmejo pristojni nacionalni organi glede dolžnosti poklicne molčečnosti, ali druga oseba, ki je prav tako zavezana enaki dolžnosti molčečnosti.
4. Ob upoštevanju ustreznih zaščitnih ukrepov lahko države članice zaradi javnega interesa bistvenega pomena določijo dodatne izjeme poleg tistih iz odstavka 2, bodisi z nacionalno zakonodajo ali odločitvijo nadzornega organa.
5. Obdelava podatkov v zvezi s prekrški, kazenskimi obsodbami ali varnostnimi ukrepi se lahko izvaja samo pod nadzorom uradnega organa ali pa če nacionalna zakonodaja določi ustrezne posebne zaščitne ukrepe ob upoštevanju odstopanj, ki jih lahko zagotovi država članica na podlagi nacionalnih predpisov, ki določajo ustrezne posebne zaščitne ukrepe. Vendar pa se popoln register kazenskih obsodb lahko vodi samo pod nadzorom uradnega organa.
Države članice lahko določijo, da se podatki v zvezi z upravnimi kaznimi ali sodbami v civilnih zadevah lahko tudi obdelujejo pod nadzorom uradnega organa.
6. Komisija je uradno obveščena o odstopanjih od odstavka 1, ki jih opredeljujeta odstavka 4 in 5.
7. Države članice določijo pogoje, pod katerimi se lahko obdela nacionalna identifikacijska številka ali kateri koli drug identifikator splošne uporabe.“
6 Člen 9 Direktive 95/46, naslovljen „Obdelava osebnih podatkov in svoboda izražanja“, določa:
„Države članice določijo izjeme ali odstopanja od določb tega poglavja, poglavja IV in poglavja VI za obdelavo osebnih podatkov, ki se izvaja zgolj v novinarske namene ali zaradi umetniškega ali literarnega izražanja samo, če so potrebna za uskladitev pravice do zasebnosti s predpisi, ki urejajo svobodo izražanja.“
7 Člen 13 Direktive 95/46, naslovljen „Izjeme in omejitve“, določa, da lahko države članice omejijo nekatere obveznosti, ki jih ta direktiva določa za upravljavca podatkov, med drugim v zvezi z informacijami, posredovanimi posamezniku, na katerega se osebni podatki nanašajo, če so navedene omejitve potrebne zaradi zaščite na primer državne varnosti, obrambe, javne varnosti, pomembnega gospodarskega ali finančnega interesa države članice ali Evropske unije ter odkrivanja in pregona kaznivih dejanj ali kršitve etike za zakonsko urejene poklice.
8 Člen 25 Direktive 95/46, ki je vključen v poglavje IV, naslovljeno „Prenos osebnih podatkov v tretje države“, določa:
„1. Države članice predvidijo, da se lahko prenos osebnih podatkov, ki so v obdelavi ali so namenjeni obdelavi po dovoljenem prenosu, v tretjo državo izvede le, če brez poseganja v skladnost z nacionalnimi določbami, ki so sprejete v skladu z drugimi določbami te direktive, ta tretja država zagotovi ustrezno raven varstva.
2. Ustreznost ravni varstva, ki jo nudi tretja država, se oceni glede na vse okoliščine, ki so povezane s postopkom prenosa ali z nizom postopkov prenosa podatkov; predvsem je treba upoštevati značaj podatkov, namen in trajanje predlaganega postopka ali postopkov obdelave, državo izvora in ciljno državo, pravno ureditev, bodisi splošno ali sektorsko, ki je v veljavi v tretji državi, ter strokovne predpise in varnostne ukrepe, ki se uporabljajo v tej državi.
3. Države članice in Komisija se medsebojno obveščajo o primerih, za katere menijo, da tretja država ne zagotavlja ustrezne ravni varstva v smislu odstavka 2.
4. Kadar Komisija na podlagi postopka iz člena 31(2) ugotovi, da tretja država ne zagotavlja ustrezne ravni varstva v smislu odstavka 2 tega člena, države članice sprejmejo ukrepe, ki so potrebni za preprečevanje kakršnih koli prenosov podatkov iste vrste v to tretjo državo.
5. Ko je ustrezno, Komisija začne pogajanja glede ureditve položaja, ki izhaja iz ugotovitve po odstavku 4.
6. Komisija lahko v skladu s postopkom iz člena 31(2) ugotovi, da tretja država zagotavlja ustrezno raven varstva v smislu odstavka 2 tega člena zaradi svoje domače zakonodaje ali mednarodnih obveznosti, ki jih je prevzela, predvsem na podlagi zaključka pogajanj iz odstavka 5, za zaščito zasebnega življenja in temeljnih svoboščin in pravic posameznikov.
Države članice sprejmejo ukrepe, ki so potrebni za uskladitev z odločitvijo Komisije.“
9 Kraljevina Švedska je ob sprejetju Direktive 95/46 v zvezi s členom 9 te direktive dala spodaj navedeno izjavo, ki je bila zapisana v zapisnik Sveta (dokument Sveta št. 4649/95 z dne 2. februarja 1995):
„Kraljevina Švedska meni, da se pojem ,umetniško in literarno izražanje‘ nanaša bolj na izrazna sredstva kakor na vsebino komunikacije ali njeno kakovost.“
10 V členu 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane v Rimu 4. novembra 1950 (v nadaljevanju: EKČP), je določena pravica do spoštovanja zasebnega in družinskega življenja, v členu 10 te konvencije pa so navedene določbe v zvezi s svobodo izražanja.
Nacionalna zakonodaja
11 Direktiva 95/46 je bila v švedsko pravo prenesena s Personuppgiftslag, SFS 1998, št. 204 (švedski zakon o osebnih podatkih, v nadaljevanju: PUL).
Zadeva iz postopka v glavni stvari in vprašanja za predhodno odločanje
12 B. Lindqvist je bila zaposlena kot vzdrževalka, hkrati pa je delala še kot katehetinja v župniji Alseda (Švedska). Udeležila se je računalniškega tečaja, v sklopu katerega je morala med drugim izdelati domačo spletno stran. B. Lindqvist je ob koncu leta 1998 doma na osebnem računalniku izdelala spletne strani, s katerimi je želela župljanom, ki so se pripravljali na birmo, omogočiti preprost dostop do informacij, ki bi jih lahko potrebovali. Na njeno prošnjo je skrbnik spletišča švedske cerkve na spletišče te cerkve dodal povezavo do njenih strani.
13 Zadevne strani so vsebovale informacije o B. Lindqvist in 18 njenih kolegih iz župnije, med katerimi je bilo navedeno njihovo ime in priimek, včasih pa samo njihovo ime. B. Lindqvist je poleg tega nekoliko šaljivo opisala naloge in prostočasne dejavnosti svojih kolegov. V več primerih so bili navedeni njihov družinski stan, telefonska številka in druge informacije. Poleg tega je navedla, da si je ena od kolegic poškodovala nogo in je delno odstotna z dela zaradi bolezni.
14 B. Lindqvist kolegov ni obvestila o obstoju teh strani in ni pridobila njihove privolitve niti ni svojega ravnanja prijavila Datainspektion (javni organ za varstvo računalniško prenesenih podatkov). Zadevne strani je odstranila, takoj ko je izvedela, da nekaterim kolegom niso všeč.
15 Državno tožilstvo je začelo kazenski pregon zoper B. Lindqvist zaradi kršitve PUL in predlagalo njeno obsodbo, ker je:
– obdelala osebne podatke z avtomatskimi sredstvi, ne da bi to prej pisno prijavila Datainspektion (člen 36 PUL);
– brez dovoljenja obdelala občutljive osebne podatke, tj. podatke v zvezi s poškodbo noge in delno odsotnostjo z dela zaradi bolezni (člen 13 PUL), ter
– v tretje države prenesla osebne podatke, obdelane brez dovoljenja (člen 33 PUL).
16 B. Lindqvist je priznala dejanje, vendar je zanikala, da bi storila prekršek. Po obsodbi na plačilo globe, ki jo je izreklo Eksjö tingsrätt (Švedska), je zoper tako odločitev vložila pritožbo na predložitveno sodišče.
17 Globa je znašala 4000 SEK, pri čemer je bila osnova 100 SEK, izračunana na podlagi finančnega položaja B. Lindqvist, pomnožena s faktorjem 40, ki je izražal resnost kršitve. B. Lindqvist je bila poleg tega obsojena na plačilo 300 SEK v švedski sklad za pomoč žrtvam kaznivih dejanj.
18 Göta hovrätt je, ker je podvomilo o razlagi prava Skupnosti, s katerim je urejeno to področje – zlasti Direktive 95/46 – prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1. Ali je navedba osebe – z imenom ali imenom in telefonsko številko – na domači spletni strani dejanje, ki spada na področje uporabe Direktive [95/46]? Ali je to, da je oseba na domači spletni strani, ki jo je sama izdelala, navedla nekaj oseb ter trditve in izjave o njihovih delovnih razmerah in preživljanju prostega časa, ,obdelava osebnih podatkov v celoti ali delno z avtomatskimi sredstvi‘?
2. Če je odgovor na prejšnje vprašanje nikalen: ali je mogoče šteti, da je to, da oseba na domači spletni strani oblikuje posebne strani za več kot 15 oseb s povezavami med stranmi, ki omogočajo iskanje po imenu, ,drugačna obdelava kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke‘ v smislu člena 3(1)?
Če je odgovor na katero od prejšnjih vprašanj pritrdilen, hovrätt postavlja še ta vprašanja:
3. Ali je mogoče okoliščino, da so taki podatki o kolegih vključeni na zasebno domačo spletno stran, ki pa je dostopna vsakomur, ki je seznanjen z naslovom strani, obravnavati kot odstopanje od uporabe Direktive [95/46] na podlagi ene od izjem iz člena 3(2)?
4. Ali je to, da je na domači spletni strani navedeno, da si je sodelavec, poimenovan z imenom, poškodoval nogo in je delno odsoten z dela zaradi bolezni, osebni podatek v zvezi z zdravjem, ki ga na podlagi člena 8(1) ni dovoljeno obdelovati?
5. Na podlagi Direktive [95/46] je v nekaterih primerih prepovedan prenos osebnih podatkov v tretje države. Ali je to, da oseba na Švedskem računalniško vnese osebne podatke na domačo spletno stran, shranjeno na strežniku na Švedskem, s čimer postanejo osebni podatki dostopni državljanom tretjih držav, prenos podatkov v tretje države v smislu Direktive [95/46]? Ali ostane odgovor enak, če se na podlagi razpoložljivih podatkov noben državljan tretje države dejansko ni seznanil s podatki ali če je zadevni strežnik s popolnoma fizičnega vidika v tretji državi?
6. Ali je mogoče šteti, da določbe Direktive [95/46] v primeru, kakršen je ta v obravnavani zadevi, pomenijo omejevanje, ki je v nasprotju s splošnimi načeli svobode izražanja ali drugimi pravicami in svoboščinami, ki veljajo v Evropski uniji in ustrezajo zlasti členu 10 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin?
Hovrätt nazadnje postavlja še to vprašanje:
7. Ali lahko država članica na področjih, na katera se nanašajo zgoraj navedena vprašanja, določi strožje varstvo osebnih podatkov ali širše področje uporabe, kot je določeno v Direktivi [95/46], čeprav ni podan nobeden od interesov iz člena 13?“
Prvo vprašanje
19 Predložitveno sodišče s prvim vprašanjem sprašuje, ali je postopek navedbe različnih oseb na spletni strani, pri čemer je njihova prepoznavnost omogočena z navedbo imena ali z drugimi sredstvi, na primer z navedbo telefonske številke ali informacij v zvezi z njihovimi delovnimi razmerami in preživljanjem prostega časa, „obdelava osebnih podatkov v celoti ali delno z avtomatskimi sredstvi“ v smislu člena 3(1) Direktive 95/46.
Stališča, predložena Sodišču
20 B. Lindqvist meni, da preproste omembe imena osebe ali osebnih podatkov v besedilu na spletni strani ne bi bilo razumno obravnavati kot obdelavo osebnih podatkov z avtomatskimi sredstvi. Nasprotno, za tako obdelavo bi bilo mogoče šteti navedbo takih podatkov v ključnih besedah v „meta oznakah“ („meta tags“) spletne strani, ki omogočajo indeksiranje in zadetek za to stran v iskalniku.
21 Švedska vlada trdi, da pojem „obdelava osebnih podatkov v celoti ali delno z avtomatskimi sredstvi“ iz člena 3(1) Direktive 95/46 zajema kakršno koli računalniško obdelavo, to je obdelavo v dvojiški obliki. Zato naj bi se štelo, da je osebni podatek predmet obdelave, zajete z Direktivo 95/46, vsakič, ko se obdela z računalnikom, ne glede na to, ali se na primer obdela s programom za urejanje besedila ali z namenom vnosa na spletno stran.
22 Nizozemska vlada navaja, da se vnos osebnega podatka na spletno stran opravi prek računalnika in strežnika, kar naj bi bila pomembna značilnost avtomatizacije in bi bilo zato treba šteti, da so taki podatki obdelani z avtomatskimi sredstvi.
23 Komisija trdi, da se Direktiva 95/46 uporablja za vsako obdelavo osebnih podatkov iz člena 3 te direktive ne glede na uporabljena tehnična sredstva. Dajanje osebnih podatkov na razpolago na splet naj bi bilo zato obdelava v celoti ali delno z avtomatskimi sredstvi, razen če obstajajo tehnične omejitve, s katerimi se obdelava omeji na popolnoma ročni postopek. Zato naj bi spletna stran že po naravi spadala na področje uporabe Direktive 95/46.
Odgovor Sodišča
24 Pojem „osebni podatki“ iz člena 3(1) Direktive 95/46 v skladu z opredelitvijo iz člena 2(a) te direktive pomeni „katero koli informacijo, ki se nanaša na določeno ali določljivo fizično osebo“. Ta pojem gotovo zajema ime zadevne osebe skupaj z njenimi telefonskimi podatki ali informacijami v zvezi z njenimi delovnimi razmerami oziroma preživljanjem prostega časa.
25 V zvezi s pojmom „obdelava“ takih podatkov iz člena 3(1) Direktive 95/46 je treba navesti, da ta v skladu z opredelitvijo iz člena 2(b) zajema „kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih“. V zadnjenavedeni določbi je naštetih več primerov takih postopkov, na primer posredovanje s prenosom, širjenje ali drugo dajanje podatkov na razpolago. Zato je treba postopek, s katerim se na spletno stran vnesejo osebni podatki, šteti za tako obdelavo.
26 Treba je še ugotoviti, ali se taka obdelava opravi „v celoti ali delno z avtomatskimi sredstvi“. Glede tega je treba opozoriti, da je treba za objavo informacij na spletni strani glede na tehnične in računalniške postopke, ki so trenutno v rabi, izvesti postopek nalaganja te strani na strežnik in postopke, potrebne za to, da postane ta stran dostopna osebam, ki se povežejo na splet. Ti postopki se vsaj delno opravijo z avtomatskimi sredstvi.
27 Torej je treba na prvo vprašanje odgovoriti, da je postopek navedbe različnih oseb na spletni strani, pri čemer je njihova prepoznavnost omogočena z navedbo imena ali z drugimi sredstvi, na primer z navedbo telefonske številke ali informacij v zvezi z njihovimi delovnimi razmerami in preživljanjem prostega časa, „obdelava osebnih podatkov v celoti ali delno z avtomatskimi sredstvi“ v smislu člena 3(1) Direktive 95/46.
Drugo vprašanje
28 Ker je odgovor na prvo vprašanje pritrdilen, ni treba odgovoriti na drugo vprašanje, ki je bilo postavljeno le, če je odgovor na prvo vprašanje nikalen.
Tretje vprašanje
29 Nacionalno sodišče s tretjim vprašanjem v bistvu sprašuje, ali je mogoče obdelavo osebnih podatkov, kakršna je obdelava iz prvega vprašanja, šteti za eno od izjem iz člena 3(2) Direktive 95/46.
Stališča, predložena Sodišču
30 B. Lindqvist trdi, da zasebnopravni subjekt, ki na podlagi svobode izražanja izdela spletne strani v okviru nepridobitne ali prostočasne dejavnosti, ne opravlja gospodarske dejavnosti in se torej zanj ne uporablja pravo Skupnosti. Če bi Sodišče menilo drugače, bi se postavilo vprašanje veljavnosti Direktive 95/46, saj bi zakonodajalec Skupnosti z njenim sprejetjem prekoračil pristojnosti, ki so mu podeljene s členom 100a Pogodbe ES (po spremembi postal člen 95 ES). Približevanje zakonodaj, katerega predmet je vzpostavitev in delovanje notranjega trga, naj namreč ne bi moglo biti pravna podlaga za ukrepe Skupnosti, ki urejajo pravico zasebnopravnih subjektov do svobode izražanja na spletu.
31 Švedska vlada navaja, da je švedski zakonodajalec med prenosom Direktive 95/46 v nacionalno pravo menil, da obdelave osebnih podatkov, ki jo opravi fizična oseba tako, da te podatke prenese nedoločenemu številu naslovnikov, na primer prek spleta, ni mogoče šteti za „popolnoma osebno ali domačo dejavnost“ v smislu člena 3(2), druga alinea, Direktive 95/46. Vendar ta vlada ne izključuje možnosti, da se izjema iz prve alinee tega odstavka uporablja za primere, ko fizična oseba objavi osebne podatke na spletni strani le v okviru izvajanja svoje svobode izražanja in brez kakršne koli povezave s poklicno ali trgovsko dejavnostjo.
32 Nizozemska vlada meni, da obdelave podatkov z avtomatskimi sredstvi, kakršna je obdelava iz postopka v glavni stvari, ni mogoče šteti za nobeno od izjem iz člena 3(2) Direktive 95/46. Natančneje, v zvezi z izjemo iz druge alinee tega odstavka ta vlada opozarja, da avtor spletne strani s podatki, ki jih vnese na zadevno stran, seznani skupino oseb, ki je načeloma neopredeljena.
33 Komisija trdi, da spletne strani, kakršna je sporna stran iz zadeve v glavni stvari, ni mogoče izključiti s področja uporabe Direktive 95/46 na podlagi člena 3(2) te direktive, ampak je zadevna stran glede na njene cilje umetniška in literarna stvaritev v smislu člena 9 navedene direktive.
34 Pri tem meni, da je mogoče člen 3(2), prva alinea, Direktive 95/46 razlagati na dva načina. Prvič, obseg te določbe bi bilo mogoče omejiti na področja, ki so navedena kot primer, to je dejavnosti, ki v bistvu spadajo na področja, ki se po dogovoru imenujejo drugi in tretji steber. Po drugi razlagi pa se s področja uporabe Direktive 95/46 izključi opravljanje vsake dejavnosti, ki ne spada na področje uporabe prava Skupnosti.
35 Komisija trdi, da pravo Skupnosti ni omejeno le na gospodarske dejavnosti, povezane s štirimi temeljnimi svoboščinami. Pri tem se sklicuje na pravno podlago Direktive 95/46, njen cilj, člen 6 EU, Listino o temeljnih pravicah Unije, ki je bila razglašena 18. decembra 2000 v Nici (UL C 364, str. 1), in Konvencijo Sveta Evrope z dne 28. januarja 1981 o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov ter na podlagi tega meni, da je namen zadevne direktive urediti prosti pretok osebnih podatkov pri opravljanju ne le gospodarske dejavnosti, ampak tudi družbene dejavnosti v okviru povezovanja in delovanja notranjega trga.
36 Komisija dodaja, da bi lahko splošna izključitev spletnih strani, ki ne vsebujejo nobenega elementa, povezanega s trgovino ali ponujanjem storitev, s področja uporabe Direktive 95/46 povzročila velike težave z razmejitvijo. Tako bi lahko bilo s področja uporabe te direktive izključenih veliko spletnih strani, ki vsebujejo osebne podatke, namenjene stigmatizaciji posameznikov v različne namene.
Odgovor Sodišča
37 Člen 3(2) Direktive 95/46 določa dve izjemi od uporabe te direktive.
38 Prva se nanaša na obdelavo osebnih podatkov med dejavnostjo, ki ne spada na področje uporabe zakonodaje Skupnosti, kot so dejavnosti, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, in vsekakor na obdelavo v zvezi z javno varnostjo, obrambo, državno varnostjo (vključno z gospodarsko blaginjo države, kadar se postopek obdelave nanaša na zadeve državne varnosti) in pri dejavnostih države na področju kazenskega prava.
39 Ker zadevne dejavnosti B. Lindqvist iz postopka v glavni stvari v bistvu niso gospodarske, ampak prostovoljne in verske, je treba preučiti, ali jih je treba šteti za obdelavo osebnih podatkov „med dejavnostjo, ki ne sodi na področje uporabe zakonodaje Skupnosti“ v smislu člena 3(2), prva alinea, Direktive 95/46.
40 Sodišče je v zvezi z Direktivo 95/46, ki temelji na členu 100a Pogodbe, že razsodilo, da sklicevanje na to pravno podlago ne predvideva obstoja dejanske zveze s prostim pretokom med državami članicami v vsakem primeru, predvidenem z aktom, ki temelji na tej pravni podlagi (glej sodbo z dne 20. maja 2003 v združenih zadevah Österreichischer Rundfunk in drugi, C‑465/00, C-138/01 in C-139/01, Recueil, str. I-4989, točka 41 in navedena sodna praksa).
41 Na podlagi drugačne razlage bi meje področja uporabe navedene direktive postale posebej negotove in naključne, kar bi bilo v nasprotju z njenim bistvenim ciljem, ki je približevanje zakonov in drugih predpisov držav članic za odstranjevanje ovir pri delovanju notranjega trga, ki izvirajo iz razlik med nacionalnimi zakonodajami (zgoraj navedena sodba Österreichischer Rundfunk in drugi, točka 42).
42 V takih okoliščinah ne bi bilo primerno, da bi izraz „dejavnost, ki ne sodi na področje uporabe zakonodaje Skupnosti“, razlagali tako, da ima tak obseg, da bi bilo treba v vsakem posameznem primeru preveriti, ali zadevna posebna dejavnost neposredno vpliva na prosti pretok med državami članicami.
43 Dejavnosti, navedene kot primer v členu 3(2), prva alinea, Direktive 95/46 (torej dejavnosti, opredeljene v naslovih V in VI Pogodbe o Evropski uniji, postopki obdelave v zvezi z javno varnostjo, obrambo in državno varnostjo ter dejavnosti države na področju kazenskega prava), so v vseh primerih dejavnosti, značilne za države ali državne organe in nepovezane s področjem dejavnosti posameznikov.
44 Treba je torej šteti, da je namen dejavnosti, navedenih kot primer v členu 3(2), prva alinea, Direktive 95/46, opredeliti obseg izjeme, določene v tej določbi, tako da ta izjema velja samo za dejavnosti, ki so v njej izrecno navedene ali ki jih je mogoče razvrstiti v isto kategorijo (ejusdem generis).
45 Prostovoljnih ali verskih dejavnosti, kakršne je opravljala B. Lindqvist, pa ni mogoče izenačiti z dejavnostmi, navedenimi v členu 3(2), prva alinea, Direktive 95/46, in torej ne spadajo na področje uporabe te izjeme.
46 V zvezi z izjemo iz člena 3(2), druga alinea, Direktive 95/46 je treba navesti, da sta v uvodni izjavi 12 te direktive v zvezi s to izjemo kot primer obdelave podatkov, ki jo izvaja fizična oseba med opravljanjem popolnoma osebne ali domače dejavnosti, navedena dopisovanje in beleženje naslovov.
47 To izjemo je treba torej razlagati tako, da se nanaša samo na dejavnosti, ki se izvajajo v zasebnem in družinskem življenju posameznikov, kar očitno ne velja za obdelavo osebnih podatkov, ki vključuje njihovo objavo na spletu, s čimer ti postanejo dostopni neopredeljenemu številu oseb.
48 Torej je treba na tretje vprašanje odgovoriti, da obdelava osebnih podatkov, kakršna je obdelava iz odgovora na prvo vprašanje, ne spada pod nobeno od izjem iz člena 3(2) Direktive 95/46.
Četrto vprašanje
49 Predložitveno sodišče s četrtim vprašanjem sprašuje, ali je navedba, da si je oseba poškodovala nogo in je delno odsotna z dela zaradi bolezni, osebni podatek v zvezi z zdravjem v smislu člena 8(1) Direktive 95/46.
50 Ob upoštevanju namena te direktive je treba pojem „podatki v zvezi z zdravjem“ iz člena 8(1) razlagati široko, tako da vključuje informacije v zvezi z vsemi vidiki zdravja osebe – fizičnimi in psihičnimi.
51 Torej je treba na četrto vprašanje odgovoriti, da je navedba, da si je oseba poškodovala nogo in je delno odsotna z dela zaradi bolezni, osebni podatek v zvezi z zdravjem v smislu člena 8(1) Direktive 95/46.
Peto vprašanje
52 Predložitveno sodišče želi s petim vprašanjem v bistvu izvedeti, ali gre za „prenos podatkov v tretjo državo“ v smislu člena 25 Direktive 95/46, kadar oseba, ki je v eni od držav članic, na spletno stran, shranjeno pri fizični ali pravni osebi, ki gosti spletišče, na katerem si je mogoče zadevno stran ogledati (v nadaljevanju: ponudnik storitev gostovanja), in ki ima stalno prebivališče ali sedež v isti ali drugi državi članici, vnese osebne podatke in tako omogoči dostop do njih vsakomur, ki se poveže na splet, tudi osebam v tretjih državah. Predložitveno sodišče še sprašuje, ali je odgovor na to vprašanje enak, če se ugotovi, da se s temi podatki dejansko ni seznanil noben državljan tretje države ali da je strežnik, na katerem je zadevna stran shranjena, s popolnoma fizičnega vidika v tretji državi.
Stališča, predložena Sodišču
53 Komisija in švedska vlada menita, da je računalniški vnos osebnih podatkov na spletno stran, s čimer ti postanejo dostopni državljanom tretjih držav, prenos podatkov v tretje države v smislu Direktive 95/46. Odgovor naj se ne bi spremenil, če se noben državljan tretje države ne bi dejansko seznanil z navedenimi podatki ali če bi bil strežnik, na katerem so ti shranjeni, s popolnoma fizičnega vidika v tretji državi.
54 Nizozemska vlada opozarja, da v Direktivi 95/46 pojem „prenos“ ni opredeljen. Po eni strani meni, da je treba ta pojem razumeti, kot da se nanaša na dejanje namernega prenosa osebnih podatkov z ozemlja države članice v tretjo državo, po drugi strani pa, da ni mogoče razlikovati med različnimi oblikami, v katerih postanejo podatki dostopni tretjim osebam. Na podlagi tega sklepa, da računalniškega vnosa osebnih podatkov na spletno stran ni mogoče šteti za prenos osebnih podatkov v tretjo državo v smislu člena 25 Direktive 95/46.
55 Vlada Združenega kraljestva meni, da se člen 25 Direktive 95/46 nanaša na prenose podatkov v tretje države, in ne na dostopnost takih podatkov iz tretjih držav. Pojem „prenos“ naj bi pomenil, da oseba, ki je na nekem kraju, posreduje podatek tretji osebi, ki je na drugem kraju. Le v takem primeru naj bi bilo državam članicam s členom 25 Direktive 95/46 naloženo, naj skrbijo za ustrezno raven varstva osebnih podatkov v tretjih državah.
Odgovor Sodišča
56 Pojem „prenos v tretjo državo“ ni opredeljen niti v členu 25 Direktive 95/46 niti v nobeni drugi določbi te direktive, zlasti ne v členu 2.
57 Za opredelitev, ali je vnos osebnih podatkov na spletno stran – le zato, ker zadevni podatki s tem postanejo dostopni osebam v tretjih državah – „prenos“ teh podatkov v tretje države v smislu člena 25 Direktive 95/46, je treba upoštevati po eni strani tehnično naravo tako izvedenih postopkov, po drugi strani pa namen in sistematiko poglavja IV navedene direktive, v katero je vključen člen 25.
58 Informacije na spletu si lahko skoraj kadar koli ogleda neopredeljeno število oseb, ki živijo v številnih krajih. Vseprisotnost teh informacij izhaja zlasti iz okoliščine, da so tehnična sredstva, ki se uporabljajo v okviru spleta, razmeroma preprosta in čedalje cenejša.
59 V skladu z načini uporabe spleta, ki so posameznikom, kot je B. Lindqvist, postali dostopni v 90. letih preteklega stoletja, avtor strani, ki naj bi bila objavljena na spletu, prenese podatke, ki sestavljajo to stran, ponudniku storitev gostovanja. Ta upravlja računalniško infrastrukturo, potrebno za zagotovitev shranjevanja teh podatkov in povezavo s strežnikom, na katerem je spletišče. Tako se omogoči poznejši prenos teh podatkov komur koli, ki se je povezal na splet in zahteva dostop do zadevnih podatkov. Računalniki, ki sestavljajo navedeno računalniško infrastrukturo, so lahko – in to se celo pogosto dogaja – nameščeni v eni ali več državah, ki niso država, v kateri ima ponudnik storitev gostovanja stalno prebivališče ali sedež, ne da bi bile stranke zadevnega ponudnika s tem seznanjene ali bi imele vsaj razumno možnost, da se s tem seznanijo.
60 Iz spisa izhaja, da se je moral uporabnik spleta, če je želel pridobiti informacije s spletnih strani, na katere je B. Lindqvist vnesla podatke o kolegih, najprej povezati in nato še sam opraviti dejanja, potrebna za ogled navedenih strani. Povedano drugače, spletne strani B. Lindqvist niso vsebovale tehničnih mehanizmov, ki bi omogočili samodejno pošiljanje teh informacij osebam, ki niso namerno želele dostopiti do teh strani.
61 Iz tega sledi, da osebni podatki, ki v okoliščinah, kakršne so okoliščine iz postopka v glavni stvari, pridejo od osebe, ki jih je naložila na spletno stran, do računalnika osebe v tretji državi, niso neposredno preneseni med tema osebama, ampak se prenesejo prek računalniške infrastrukture ponudnika storitev gostovanja, kjer je stran shranjena.
62 V tem okviru je treba preučiti, ali je zakonodajalec Skupnosti nameraval za uporabo poglavja IV Direktive 95/46 v pojem „prenos podatkov v tretjo državo“ v smislu člena 25 te direktive zajeti postopke, kakršni so postopki, ki jih je izvedla B. Lindqvist. Treba je poudariti, da peto vprašanje, ki ga je postavilo predložitveno sodišče, zadeva le take postopke, ne zadeva pa postopkov, ki jih izvede ponudnik storitev gostovanja.
63 S poglavjem IV Direktive 95/46, v katero je vključen člen 25, je uvedena posebna ureditev s posebnimi pravili, katere namen je omogočiti državam članicam nadzor nad prenosi osebnih podatkov v tretje države. S tem poglavjem je vzpostavljena ureditev, ki dopolnjuje splošno ureditev, določeno v poglavju II navedene direktive o zakonitosti obdelave osebnih podatkov.
64 Cilj poglavja IV je opredeljen v uvodnih izjavah od 56 do 60 Direktive 95/46, v katerih je med drugim določeno, da čeprav varstvo posameznikov, ki ga ta direktiva zagotavlja v Skupnosti, ne ovira prenosa osebnih podatkov v tretje države, ki zagotavljajo ustrezno raven varstva, pa je treba ustreznost te ravni varstva presoditi glede na vse okoliščine, ki spremljajo postopek prenosa ali niz postopkov prenosa. Če tretja država ne zagotavlja ustrezne ravni varstva, je treba prenos osebnih podatkov v to državo prepovedati.
65 S členom 25 Direktive 95/46 je državam članicam in Komisiji naloženih več obveznosti, katerih namen je nadzor nad prenosi osebnih podatkov v tretje države ob upoštevanju ravni varstva, ki jo vsaka od teh držav zagotavlja za take podatke.
66 V členu 25(4) Direktive 95/46 je še posebej določeno, da kadar Komisija ugotovi, da tretja država ne zagotavlja ustrezne ravni varstva, države članice sprejmejo ukrepe, ki so potrebni za preprečevanje kakršnih koli prenosov osebnih podatkov v to tretjo državo.
67 Poglavje IV Direktive 95/46 ne vsebuje nobene določbe v zvezi z uporabo spleta. Zlasti niso v tem poglavju navedena merila, na podlagi katerih bi bilo mogoče v zvezi s postopki, ki se izvajajo prek ponudnika storitev gostovanja, določiti, ali je treba upoštevati kraj ponudnikovega prebivališča, kraj, v katerem ima sedež, ali pa morda kraj ali kraje, v katerem ali katerih so nameščeni računalniki, ki sestavljajo njegovo računalniško infrastrukturo.
68 Ob upoštevanju stanja razvoja spleta v času nastanka Direktive 95/46 na eni strani in nevključitve meril v zvezi z uporabo spleta v poglavje IV te direktive na drugi strani ni mogoče predpostaviti, da je nameraval zakonodajalec Skupnosti v pojem „prenos podatkov v tretjo državo“ vnaprej vključiti vnos podatkov na spletno stran, ki ga opravi oseba v položaju, v kakršnem je B. Lindqvist, tudi če ti podatki s tem postanejo dostopni osebam iz tretjih držav, ki imajo tehnična sredstva za dostop do njih.
69 Če bi se člen 25 Direktive 95/46 razlagal tako, da obstaja „prenos podatkov v tretjo državo“ vsakič, ko se osebni podatki naložijo na spletno stran, bi bil ta prenos nujno prenos v vse tretje države, v katerih obstajajo tehnična sredstva, potrebna za dostop do spleta. Posebna ureditev iz poglavja IV navedene direktive bi torej, kar zadeva postopke na spletu, nujno postala splošna ureditev. Ko bi namreč Komisija na podlagi člena 25(4) Direktive 95/46 ugotovila, da ena sama tretja država ne zagotavlja ustrezne ravni varstva, bi morale vse države članice preprečiti kakršno koli nalaganje osebnih podatkov na splet.
70 V takih okoliščinah je treba skleniti, da je treba člen 25 Direktive 95/46 razlagati tako, da postopki, kakršni so postopki, ki jih je izvedla B. Lindqvist, sami po sebi niso „prenos podatkov v tretjo državo“. Zato ni treba ugotavljati, ali je kdo iz tretje države dostopil do zadevne spletne strani in ali je strežnik tega ponudnika fizično nameščen v tretji državi.
71 Torej je treba na peto vprašanje odgovoriti, da ne gre za „prenos podatkov v tretjo državo“ v smislu člena 25 Direktive 95/46, kadar oseba, ki je v eni od držav članic, na spletno stran, shranjeno pri ponudniku storitev gostovanja, ki ima stalno prebivališče ali sedež v isti ali drugi državi članici, vnese osebne podatke in tako omogoči dostop do njih vsakomur, ki se poveže na splet, tudi osebam v tretjih državah.
Šesto vprašanje
72 Predložitveno sodišče s šestim vprašanjem sprašuje, ali je treba šteti, da določbe Direktive 95/46 v primeru, kakršen je ta iz postopka v glavni stvari, pomenijo omejitev, ki je v nasprotju s splošnim načelom svobode izražanja ali drugimi pravicami in svoboščinami, ki veljajo v Evropski uniji in ustrezajo zlasti pravici iz člena 10 EKČP.
Stališča, predložena Sodišču
73 B. Lindqvist se sklicuje zlasti na sodbo z dne 6. marca 2001 v zadevi Connolly proti Komisiji (C-274/99 P, Recueil, str. I-1611), na podlagi katere trdi, da sta Direktiva 95/46 in PUL v nasprotju s splošnim načelom svobode izražanja, priznanim v pravu Skupnosti, ker določata pogoja predhodne privolitve in predhodnega obveščanja nadzornega organa ter načelo prepovedi obdelave občutljivih osebnih podatkov. Natančneje, glede tega trdi, da opredelitev „obdelave osebnih podatkov v celoti ali delno z avtomatskimi sredstvi“ ne ustreza meriloma predvidljivosti in natančnosti.
74 Poleg tega meni, da preprosta poimenska navedba fizične osebe, razkritje njene telefonske številke in delovnih razmer ter navedba informacij v zvezi z njenim zdravstvenim stanjem in prostočasnimi dejavnostmi, informacij, ki so javne, splošno znane ali vsakdanje, ni bistvena kršitev pravice do spoštovanja zasebnega življenja. B. Lindqvist meni, da so omejitve, postavljene z Direktivo 95/46, z vidika zastavljenega cilja, tj. varstva ugleda in zasebnega življenja druge osebe, vsekakor nesorazmerne.
75 Po mnenju švedske vlade Direktiva 95/46 omogoča uravnoteženje zadevnih interesov ter s tem ohranjanje svobode izražanja in varstvo zasebnega življenja. K temu dodaja, da lahko le nacionalno sodišče ob upoštevanju okoliščin vsakega posameznega primera presodi sorazmernost omejitve izvajanja pravice do svobode izražanja zaradi uporabe pravil, katerih namen je zavarovati pravice druge osebe.
76 Nizozemska vlada opozarja, da spadata svoboda izražanja in pravica do spoštovanja zasebnega življenja med splošna pravna načela, katerih spoštovanje zagotavlja Sodišče, in da z EKČP ni vzpostavljena nikakršna hierarhija med različnimi temeljnimi pravicami. Zato meni, da si mora nacionalno sodišče prizadevati za uskladitev različnih zadevnih temeljnih pravic in pri tem upoštevati okoliščine obravnavanega primera.
77 Združeno kraljestvo navaja, da je odgovor, ki ga predlaga na peto vprašanje in je predstavljen v točki 55 te sodbe, popolnoma v skladu s temeljnimi pravicami in da je z njim mogoče preprečiti nesorazmerno poseganje v svobodo izražanja. K temu dodaja, da bi bilo težko utemeljiti razlago, katere učinek bi bil, da bi za objavo osebnih podatkov v eni od oblik, tj. na spletni strani, veljale veliko strožje omejitve kakor za objavo v drugih oblikah, na primer na papirju.
78 Tudi Komisija meni, da Direktiva 95/46 ne pomeni omejevanja, ki bi bilo v nasprotju s splošnim načelom svobode izražanja ali drugimi pravicami in svoboščinami, ki veljajo v Evropski uniji in ustrezajo zlasti pravici iz člena 10 EKČP.
Odgovor Sodišča
79 Iz uvodne izjave 7 Direktive 95/46 je razvidno, da bi lahko razlike med nacionalnimi ureditvami, ki se uporabljajo za obdelavo osebnih podatkov, močno vplivale na vzpostavitev in delovanje notranjega trga. V skladu z uvodno izjavo 3 te direktive je treba z usklajevanjem teh nacionalnih ureditev slediti ne samo cilju prostega pretoka teh podatkov med državami članicami, ampak tudi cilju varstva temeljnih pravic posameznikov. Očitno je, da si lahko navedena cilja med seboj nasprotujeta.
80 Po eni strani se bodo z gospodarsko in družbeno integracijo kot posledico vzpostavitve in delovanja notranjega trga nujno močno okrepili tokovi osebnih podatkov med vsemi subjekti gospodarskega in družbenega življenja v državah članicah, pa naj gre za podjetja ali uprave držav članic. Navedeni subjekti za izvedbo svojih transakcij ali uresničitev nalog v okviru notranjega trga kot območja brez meja v določenem obsegu potrebujejo dostop do osebnih podatkov.
81 Po drugi strani osebe, katerih osebni podatki se obdelujejo, upravičeno zahtevajo učinkovito varstvo teh podatkov.
82 Mehanizmi, ki omogočajo uravnoteženje teh različnih pravic in interesov, so po eni strani vključeni v samo Direktivo 95/46, v kateri so določena pravila glede tega, v katerih okoliščinah in v kakšnem obsegu je obdelava osebnih podatkov zakonita in kakšno varstvo je treba predvideti. Po drugi strani pa izhajajo iz nacionalnih določb, ki so jih sprejele države članice za prenos te direktive, in morebitne uporabe teh določb s strani nacionalnih organov.
83 V zvezi z Direktivo 95/46 je treba navesti, da so njene določbe nujno razmeroma splošne, saj se uporablja v številnih zelo različnih okoliščinah. Torej v nasprotju s trditvami B. Lindqvist ta direktiva upravičeno vsebuje nekoliko prožna pravila in sta z njo državam članicam velikokrat upravičeno prepuščeni določitev podrobnosti ali izbira med možnostmi.
84 Res je, da imajo države članice za prenos Direktive 95/46 v več pogledih na voljo manevrski prostor. Vendar ni mogoče na podlagi ničesar sklepati, da ureditev, določena s to direktivo, ni dovolj predvidljiva ali da so njene določbe same po sebi v nasprotju s splošnimi načeli prava Skupnosti in zlasti s temeljnimi pravicami, varovanimi s pravnim redom Skupnosti.
85 Torej je treba ustrezno ravnotežje zadevnih pravic in interesov poiskati bolj na stopnji izvajanja predpisov, s katerimi je bila prenesena Direktiva 95/46 v posameznih primerih, na nacionalni ravni.
86 V tem okviru so temeljne pravice še posebej pomembne, kar se je pokazalo tudi v zadevi iz postopka v glavni stvari, v kateri je treba v bistvu uravnotežiti svobodo izražanja, ki jo ima B. Lindqvist v okviru svojega dela kot katehetinja, in svobodo opravljanja dejavnosti, ki prispevajo k verskemu življenju, na eni strani ter varstvo zasebnega življenja oseb, katerih podatke je B. Lindqvist vnesla na svojo spletno stran, na drugi strani.
87 Zato morajo organi in sodišča držav članic nacionalno pravo razlagati v skladu z Direktivo 95/46 ter se poleg tega ne smejo opirati na razlago te direktive, ki bi bila v nasprotju s temeljnimi pravicami, varovanimi s pravnim redom Skupnosti, ali drugimi splošnimi načeli prava Skupnosti, kakršno je na primer načelo sorazmernosti.
88 Čeprav je treba za varstvo zasebnega življenja osebe, ki osebne podatke obdelujejo v nasprotju z Direktivo 95/46, učinkovito kaznovati, pa je treba pri takih kaznih vedno upoštevati načelo sorazmernosti. To še toliko bolj velja, ker je področje uporabe Direktive 95/46 zelo široko in so obveznosti oseb, ki obdelujejo osebne podatke, številne in pomembne.
89 Predložitveno sodišče mora v skladu z načelom sorazmernosti upoštevati vse okoliščine zadeve, ki mu je predložena, zlasti trajanje kršitve pravil za izvedbo Direktive 95/46 in pomen varstva razkritih podatkov za zadevne osebe.
90 Torej je treba na šesto vprašanje odgovoriti, da določbe Direktive 95/46 same po sebi ne vsebujejo omejitve, ki bi bila v nasprotju s splošnim načelom svobode izražanja ali drugimi pravicami in svoboščinami, ki veljajo v Evropski uniji in ustrezajo zlasti členu 10 EKČP. Nacionalni organi in sodišča, pristojni za uporabo nacionalne zakonodaje, s katero je bila prenesena Direktiva 95/46, morajo zagotoviti ustrezno uravnoteženost zadevnih pravic in interesov, vključno s temeljnimi pravicami, varovanimi s pravnim redom Skupnosti.
Sedmo vprašanje
91 Predložitveno sodišče s sedmim vprašanjem v bistvu sprašuje, ali lahko države članice določijo strožje varstvo osebnih podatkov ali širše področje uporabe, kakor izhajata iz Direktive 95/46.
Stališča, predložena Sodišču
92 Švedska vlada trdi, da z Direktivo 95/46 niso določeni le minimalni pogoji varstva osebnih podatkov. Državam članicam naj bi bilo v okviru prenosa te direktive naloženo, da morajo uresničiti raven varstva, določeno s to direktivo, tako da naj ne bi mogle določiti strožjega ali šibkejšega varstva. Vendar bi bilo treba upoštevati diskrecijsko pravico držav članic pri navedenem prenosu, na podlagi katere lahko te v nacionalnem pravu natančneje opredelijo splošne pogoje zakonitosti obdelave osebnih podatkov.
93 Nizozemska vlada trdi, da Direktiva 95/46 ne nasprotuje temu, da države članice na nekaterih področjih določijo strožje varstvo. Iz členov 10, 11(1), 14, prvi odstavek, točka (a), 17(3), 18(5) in 19(1) navedene direktive na primer naj bi bilo razvidno, da lahko države članice določijo širše varstvo. Poleg tega naj bi lahko države članice prosto uporabile načela iz Direktive 95/46 za dejavnosti, ki ne spadajo na njeno področje uporabe.
94 Komisija navaja, da je bila Direktiva 95/46 sprejeta na podlagi člena 100a Pogodbe in da mora država članica, če želi ohraniti v veljavi ali sprejeti zakonodajo, ki bi odstopala od take direktive za uskladitev, o tem v skladu s členom 95(4) ali (5) ES uradno obvestiti Komisijo. Komisija zato trdi, da država članica ne sme določiti obsežnejšega varstva osebnih podatkov ali širšega področja uporabe, kakor izhajata iz navedene direktive.
Odgovor Sodišča
95 Kot je razvidno zlasti iz uvodne izjave 8 Direktive 95/46, je njen namen zagotoviti enakovredno raven varstva pravic in svoboščin posameznikov glede obdelave osebnih podatkov v vseh državah članicah. V uvodni izjavi 10 te direktive je dodano, da približevanje nacionalnih zakonodaj, ki veljajo na tem področju, ne sme povzročiti zmanjšanja varstva, ki ga zagotavljajo, ampak mora imeti, nasprotno, za cilj zagotovitev visoke ravni varstva v Skupnosti.
96 Usklajevanje navedenih nacionalnih zakonodaj torej ni omejeno le na minimalno uskladitev, ampak se načeloma konča s celovito uskladitvijo. S tega vidika je namen Direktive 95/46 zagotoviti prosti pretok osebnih podatkov in hkrati jamčiti visoko raven varstva pravic in interesov posameznikov, na katere se ti podatki nanašajo.
97 Res je sicer, da je z Direktivo 95/46 državam članicam na nekaterih področjih priznan manevrski prostor in da lahko na podlagi te direktive ohranijo v veljavi ali uvedejo posebne ureditve za posebne položaje, kot je razvidno iz številnih določb te direktive. Vendar je treba take možnosti uporabiti v skladu z Direktivo 95/46 in njenim ciljem, ki je ohranjanje ravnotežja med prostim pretokom osebnih podatkov in varstvom zasebnega življenja.
98 Vendar pa nič ne nasprotuje temu, da država članica veljavnost nacionalne zakonodaje, s katero so prenesene določbe Direktive 95/46, razširi na področja, ki niso vključena na področje uporabe te direktive, če temu ne nasprotuje nobena druga določba prava Skupnosti.
99 Torej je treba ob upoštevanju navedenega na sedmo vprašanje odgovoriti, da morajo biti ukrepi, ki jih sprejmejo države članice za zagotovitev varstva osebnih podatkov, v skladu z določbami Direktive 95/46 in njenim ciljem, ki je ohranjanje ravnotežja med prostim pretokom osebnih podatkov in varstvom zasebnega življenja. Vendar pa nič ne nasprotuje temu, da država članica veljavnost nacionalne zakonodaje, s katero so prenesene določbe Direktive 95/46, razširi na področja, ki niso vključena na področje uporabe te direktive, če temu ne nasprotuje nobena druga določba prava Skupnosti.
Stroški
100 Stroški, ki so jih priglasile švedska in nizozemska vlada ter vlada Združenega kraljestva in Komisija ter Nadzorni organ EFTE za predložitev stališč Sodišču, se ne povrnejo. Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških.
Iz teh razlogov je
SODIŠČE
v odgovor na vprašanja, ki jih je Göta hovrätt predložilo s sklepom z dne 23. februarja 2001, razsodilo:
1) Postopek navedbe različnih oseb na spletni strani, pri čemer je njihova prepoznavnost omogočena z navedbo imena ali z drugimi sredstvi, na primer z navedbo telefonske številke ali informacij v zvezi z njihovimi delovnimi razmerami in preživljanjem prostega časa, je „obdelava osebnih podatkov v celoti ali delno z avtomatskimi sredstvi“ v smislu člena 3(1) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov.
2) Taka obdelava osebnih podatkov ne spada pod nobeno od izjem iz člena 3(2) Direktive 95/46.
3) Navedba, da si je oseba poškodovala nogo in je delno odsotna z dela zaradi bolezni, je osebni podatek v zvezi z zdravjem v smislu člena 8(1) Direktive 95/46.
4) Ne gre za „prenos podatkov v tretjo državo“ v smislu člena 25 Direktive 95/46, kadar oseba, ki je v eni od držav članic, na spletno stran, shranjeno pri fizični ali pravni osebi, ki gosti spletišče, na katerem si je mogoče stran ogledati, in ki ima stalno prebivališče ali sedež v isti ali drugi državi članici, vnese osebne podatke in tako omogoči dostop do njih vsakomur, ki se poveže na splet, tudi osebam v tretjih državah.
5) Določbe Direktive 95/46 same po sebi ne vsebujejo omejitve, ki bi bila v nasprotju s splošnim načelom svobode izražanja ali drugimi pravicami in svoboščinami, ki veljajo v Evropski uniji in ustrezajo zlasti členu 10 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane v Rimu 4. novembra 1950. Nacionalni organi in sodišča, pristojni za uporabo nacionalne zakonodaje, s katero je bila prenesena Direktiva 95/46, morajo zagotoviti ustrezno uravnoteženost zadevnih pravic in interesov, vključno s temeljnimi pravicami, varovanimi s pravnim redom Skupnosti.
6) Ukrepi, ki jih sprejmejo države članice za zagotovitev varstva osebnih podatkov, morajo biti v skladu z določbami Direktive 95/46 in njenim ciljem, ki je ohranjanje ravnotežja med prostim pretokom osebnih podatkov in varstvom zasebnega življenja. Vendar pa nič ne nasprotuje temu, da država članica veljavnost nacionalne zakonodaje, s katero so prenesene določbe Direktive 95/46, razširi na področja, ki niso vključena na področje uporabe te direktive, če temu ne nasprotuje nobena druga določba prava Skupnosti.
Cunha Rodrigues | Rosas | Edward |
Puissochet | Macken | von Bahr |
Razglašeno na javni obravnavi v Luxembourgu, 6. novembra 2003.